JP5457848B2

JP5457848B2 - Ｉｄベース認証鍵交換システム、認証鍵交換方法、認証鍵交換装置及びそのプログラムと記録媒体

Info

Publication number: JP5457848B2
Application number: JP2010007982A
Authority: JP
Inventors: 幸太郎鈴木; 淳藤岡; ウスタゴベルカント
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-01-18
Filing date: 2010-01-18
Publication date: 2014-04-02
Anticipated expiration: 2030-01-18
Also published as: JP2011147060A

Description

本発明は情報セキュリティ技術の分野における認証鍵交換、特に、ＩＤベース認証鍵交換システム、それに使用される認証交換方法、認証鍵交換装置、及びそのプログラムと記録媒体に関する。

安全性が保障されていないネットワークを介して２者間で情報の交換を安全に行う技術の１つとして２者が共通の秘密鍵（以下、共通鍵と呼ぶ）を共有し、互いに情報を共通鍵により暗号化して送信し、受信した暗号化情報を共通鍵により復号化する技術がある。このような共有鍵暗号化方式においては、２者間で予め共有鍵を安全に共有する（鍵交換する）必要がある。その技術の１つとしてペアリング技術を用いたＩＤベース認証鍵交換方式が提案されている（非特許文献１）。

このＩＤベース認証鍵交換方式について以下に説明する。ユーザU_A，U_Bの端末装置及び鍵発行装置がネットワークを介して接続されており、ユーザU_A，U_B間で鍵交換を行うものとする。鍵発行装置は公開パラメータとして、
Ｇ，G_T：ｋビットの素数ｑを位数とする巡回群、
ｇ：Ｇの生成元、
g_T＝e(g, g)：G_Tの生成元、
e(g, g)：G×G→G_Tをペアリングとする双線形関数、
Ｈ：任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換するハッシュ関数、
H₁：任意のビット長の情報{0, 1}*をＧの元に変換するハッシュ関数、
ID_prot：鍵交換方式の名称、
を公開しているものとする。

鍵発行装置は、マスタ鍵ｓ∈Z_qをランダムに選び、マスタ公開鍵Ｚ＝g^s∈Ｇを公開する。また、ユーザU_iから与えられた識別子ID_i∈{0, 1}*に対し、ユーザ情報
Q_i＝H₁(ID_i) ∈Ｇ
を計算し、マスタ秘密鍵ｓを用いてユーザ秘密鍵
D_i＝Q_i ^s∈Ｇ
を生成し、ユーザU_iに与える。ここで、ｉはユーザを区別するインデックスであり、ここではユーザU_A，U_Bに対しそれぞれi=A，i=Bである。

識別子ID_Aとユーザ秘密鍵D_A＝Q_A ^s∈Ｇを有するユーザU_Aと、識別子ID_Bとユーザ秘密鍵D_B＝Q_B ^s∈Ｇを有するユーザU_Bは、以下のようにして認証鍵交換を行なう。
ステップＳ１：ユーザU_Aは、短期秘密鍵y_A∈Z_qをランダムに選択し、短期公開鍵

を計算し、(ID_prot, ID_A, ID_B, X_A)をユーザU_Bに送る。
ステップＳ２：ユーザU_Bは(ID_prot, ID_A, ID_B, X_A)を受信し、短期秘密鍵y_B∈Z_qをランダムに選択し、短期公開鍵

を計算し、(ID_prot, ID_A, ID_B, X_A, X_B)をユーザU_Aに送る。
ステップＳ３：ユーザU_Bは共有鍵生成パラメータ

を計算し、共有鍵

を計算する。
ステップＳ４：ユーザU_Aは(ID_prot, ID_A, ID_B, X_A, X_B)を受信し、共有鍵生成パラメータ

を計算し、共有鍵

を計算する。ここで、ユーザU_Aが式(6) により計算した共有鍵Ｋと、ユーザU_Bが式(3) により計算した共有鍵Ｋが互いに同じものとなることが次のように証明される。

まず、Ｇ上の任意の点V，Wに対してG×G→G_Tで定義されるペアリング関数e(V, W)は次の性質を持つことが知られている。

e(aV, bW)=e(V, W)^ab=e(bV, aW) (7)
そこで、ユーザ情報を

とおき、

を使えば、ユーザU_Bの共有鍵生成パラメータσ₁及びσ₃は、

となる。一方、ユーザU_Aの共有鍵生成パラメータσ₁及びσ₂は、

となり、これらはユーザU_Bの式(8), (9)により計算した共有鍵生成パラメータと一致する。従って、ユーザU_A側とユーザU_B側の式(3) 及び(6) による共有鍵Ｋの計算結果も一致する。これにより共有鍵Ｋが両者U_A，U_B間で共有されることが証明された。

L. Chen, Z. Cheng, N.P. Smart, "Identity-based key agreement protocols from parings", Int. J. Inf. Sec. 6(4): 213-241 (2007)

ところが、上述の従来技術においては、短期秘密鍵x_A, x_Bの漏洩を考慮したeCK(extended Canetti-Krawzcyk)モデル（参考文献：B. LaMacchia, K. Lauter and A. Mityagin, "Stronger security of authenticated key exchange" in W. Susilo, J.K. Liu and Y. Mu, editors, Provable Security: First International Conference, ProvSec 2007, Vol. 4784 of LNCS, pages 1-16, Springer Verlag, 2007）では安全性の証明ができないという問題があった。この発明の目的は、短期秘密鍵が漏洩しても安全性が保てるeCKモデルでの安全性の証明が可能なＩＤベース認証鍵交換システム、認証鍵交換方法、認証鍵交換装置及びそのプログラムと記録媒体を提供することである。

この発明の第１の観点によれば、GとG_Tを素数ｑを位数とする巡回群、ｇをＧの生成元とすると、識別子ID_AとID_Bをそれぞれ有する互いに認証鍵交換を行う認証鍵交換装置ＡとＢは、予め鍵発行装置からそれぞれQ_A=H₁(ID_A)とQ_B=H₁(ID_B)からマスタ秘密鍵ｓを使って計算したユーザ秘密鍵D_A=Q_A ^sとD_B=Q_B ^sが与えられており、認証鍵交換装置Ａは短期秘密鍵y_Aを使って秘密鍵情報Z^yA, 短期公開鍵X_A=g^yAを生成し、認証鍵交換装置ＢからX_Bを受信し、Z^yA, X_A, X_B, D_A及びQ_B=H₁(ID_B)から、G×G→G_Tをペアリングとする双線形関数e(g, g)を使って認証鍵生成パラメータσ₁=e(D_AZ^yA, Q_BX_B), σ₂=e(D_A, Q_B), σ₃=X_B ^yAを生成し、共有鍵K=H(σ₁,σ₂,σ₃,C_m)を計算する。認証鍵交換装置Ｂは短期秘密鍵y_Bを使って秘密鍵情報Z^yB, 短期公開鍵X_B=g^yBを生成し、認証鍵交換装置ＡからX_Aを受信し、Z^yB, X_A, X_B, D_B及びQ_A=H₁(ID_A)から認証生成パラメータσ₁=e(Q_AX_A, D_BZ^yB), σ₂=e(Q_A, D_B), σ₃=X_A ^yBを生成し、共有鍵K=H(σ₁,σ₂,σ₃,C_m)を計算する。

この発明の第２の観点によれば、GとG_Tを素数ｑを位数とする巡回群、ｇをＧの生成元とすると、識別子ID_AとID_Bをそれぞれ有する互いに認証鍵交換を行う認証鍵交換装置ＡとＢは、予め鍵発行装置からそれぞれQ_A=H₁(ID_A)とQ_B=H₁(ID_B)からマスタ秘密鍵ｓを使って計算したユーザ秘密鍵D_A=Q_A ^sとD_B=Q_B ^sが与えられており、認証鍵交換装置Ａは短期秘密鍵y_Aを使って秘密鍵情報Z^yA, 短期公開鍵X_A=g^yAを生成し、X_Aと認証鍵交換装置Ｂから受信したX_Bから公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、Z^yA, X_A, X_B, D_A, e_A, e_B及びQ_B=H₁(ID_B)から、G×G→G_Tをペアリングとする双線形関数e(g, g)を使って認証鍵生成パラメータσ₁=e(D_A ^eAZ^yA, Q_BX_B), σ₂=e(D_AZ^yA, Q_B ^eBX_B), σ₃=X_B ^yAを生成し、共有鍵K=H(σ₁,σ₂,σ₃,C_m)を計算する。認証鍵交換装置Ｂは短期秘密鍵y_Bを使って秘密鍵情報Z^yB, 短期公開鍵X_B=g^yBを生成し、X_Bと認証鍵交換装置Ａから受信したX_Aから公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、Z^yB, X_A, X_B, D_B, e_A, e_B及びQ_A=H₁(ID_A)から認証生成パラメータσ₁=e(Q_A ^eAX_A, D_BZ^yB), σ₂=e(Q_AX_A, D_B ^eBZ^yB), σ₃=X_A ^yBを生成し、共有鍵K=H(σ₁,σ₂,σ₃,C_m)を計算する。

従来技術では共有鍵生成パラメータσ₁=e(g, g)^{s(qA+yA)(qB+yB)}, σ₃=g^yAyBとy_Aとからe(g, g)^sqAqBを計算できないため、eCKモデルでの安全性の証明ができなかったが、この発明によればe(g, g)^sqAqBを計算できるよう３つの共有鍵生成パラメータσ₁, σ₂, σ₃を使用するため、安全性の証明が可能となる。

この発明による認証鍵交換システムの構成を示すブロック図。この発明における鍵発行装置の機能構成を示すブロック図。第１実施例における鍵交換を行う一方の認証鍵交換装置の機能構成を示すブロック図。第１実施例における鍵交換を行う他方の認証鍵交換装置の機能構成を示すブロック図。第１実施例における認証鍵交換の手順を示すフロー図。第２実施例における鍵交換を行う一方の認証鍵交換装置の機能構成を示すブロック図。第２実施例における鍵交換を行う他方の認証鍵交換装置の機能構成を示すブロック図。第２実施例における認証鍵交換の手順を示すフロー図。

以下、本発明の実施形態について図を参照して詳細に説明する。
［第１実施例］
図１はこの発明が実施されるＩＤベース認証鍵交換システム（以下、認証鍵交換システムと呼ぶ）の概略を示すブロック図である。認証鍵交換システムは鍵発行装置100と、複数の端末装置200A, 200Bがネットワークを介して互いに接続されて構成されている。各端末装置200A, 200Bはそれぞれこの発明による認証鍵交換装置20A, 20Bを有している。認証鍵交換は任意の２つの端末装置間で行われる。図では２つの端末装置のみ示している。端末装置200A, 200BはそれぞれユーザU_A, U_Bにより使用されているものとする。この発明では認証鍵交換にのみ係わるので、以下では認証鍵交換装置20A, 20Bがネットワークに接続されているものとして説明する。また、ユーザU_A, U_Bが所有している識別子ID_A, ID_Bは便宜的に認証鍵交換装置20A, 20Bの識別子でもあることとする。

鍵発行装置100は認証鍵交換装置20AからユーザU_Aの識別子ID_Aを受けてユーザ秘密鍵D_Aを生成し、認証鍵交換装置20Aに与える。同様に、認証鍵交換装置20BからユーザU_Bの識別子ID_Bを受けてユーザ秘密鍵D_Bを生成し、認証鍵交換装置20Ｂに与える。認証鍵交換装置20Aと20Bはそれぞれ与えられたユーザ秘密鍵D_A, D_Bを使って、この発明の認証鍵交換方法に従って認証鍵交換を実施する。

図２は鍵発行装置100の機能構成を示すブロック図であり、マスタ秘密鍵選択部110と、マスタ公開鍵生成部120と、受信部130と、ハッシュ部140と、ユーザ秘密鍵生成部150と、送信部160と、制御部１０と、公開パラメータ記憶部１１とから構成されている。公開パラメータ記憶部１１には、前述の従来技術と同様の、
Ｇ，G_T：ｋビットの素数ｑを位数とする巡回群、
ｇ：Ｇの生成元、
g_T＝e(g, g)：G_Tの生成元、
e(g, g)：G×G→G_Tをペアリングとする双線形関数、
Ｈ：任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換するハッシュ関数、
H₁：任意のビット長の情報{0, 1}*をＧの元に変換するハッシュ関数、
ID_prot：鍵交換方式の名称、
が格納されており、これら公開パラメータは公開されている。ペアリング関数として使用可能な双線形関数の例としては楕円曲線が知られている（参考文献１："IEEE P1636.3TM /D1 Draft Standard for Identity-based Public-key Cryptography Using Parings", [URL: http://grouper.ieee.org/groups/1363/IBC/material/P1363.3-D1-200805.pdg]）。制御部１０はユーザ秘密鍵発行手順のプログラムに従って各部110〜160の動作を制御する
鍵発行装置100において、マスタ秘密鍵選択部110は、素数ｑによる剰余群Z_qからランダムにマスタ秘密鍵ｓを選択する。マスタ公開鍵生成部120はマスタ秘密鍵ｓにより素数ｑをべき乗することによりマスタ公開鍵Z=q^s∈Gを生成し、公開する。Z∈GはＺが群Ｇの元であることを意味している。受信部130によりユーザU_iから識別子ID_iが密鍵発行要求として受信されると、ハッシュ部140は識別子U_iにハッシュ演算処理を行い、ユーザ情報Q_i=H₁(ID_i)を得る。ユーザ秘密鍵生成部150はユーザ情報Q_iをマスタ秘密鍵ｓでべき乗することによりユーザ秘密鍵D_i=Q_i ^s∈Gを生成し、送信部160からユーザU_iに送信する。なお、ｉは複数のユーザを区別するインデックスであり、例えばユーザU_A及びU_Bに対し、それぞれi=A及びi=Bである。

図２の例で鍵発行装置100が生成したユーザ秘密鍵D_iをユーザU_iに送る場合、安全性を確保するため、例えばSSL(Secure Socket Layer)による暗号化を行って送信してもよいし、あるいは鍵発行装置100と専用回線により直接接続された端末でユーザU_iが受けてもよいし、あるいは鍵発行装置100がユーザ秘密鍵D_iを記録した記録媒体をユーザU_iに搬送してもよいし、あるいはユーザU_iがその記録媒体を鍵発行装置100から直接受け取ってもよい。

図３はユーザU_Aの端末装置200A内の認証鍵交換装置２０Ａの機能構成ブロック図を示す。この第１実施例における認証鍵交換装置２０Ａは、記憶部２１Ａと、短期秘密鍵選択部２２Ａと、短期公開鍵生成部２３Ａと、送信部２４Ａと、べき乗部２５Ａと、受信部２６Ａと、ユーザ情報生成部２７Ａと、ペアリング演算部２８Ａと、共有鍵計算部２９Ａと、これら各部の動作を制御する制御部201Aとから構成されている。記憶部２１Ａには前述の公開パラメータ(G, G_T, g, g_T, e, H, H₁, ID_prot)、マスタ公開鍵Ｚ，ユーザU_Aの識別子ID_A等が予め格納されており、各部の演算処理において必要な情報が読み出され、使用される。

認証鍵交換装置２０Ａは送信部２４ＡからユーザU_Aの識別子ID_Aを秘密鍵発行要求として鍵発行装置100に送信し、鍵発行装置100から発行されたユーザ秘密鍵D_Aは受信部２６Ａで受信される。短期秘密鍵選択部２２Ａは素数ｑについての剰余群Z_qの中からランダムに短期秘密鍵y_Aを選択する。短期公開鍵生成部２３Ａはｇを短期秘密鍵y_Aでべき乗して短期公開鍵X_A=g^yAを生成する。短期公開鍵X_Aは識別子U_Aと共に送信部２４ＡからユーザU_Bの認証鍵交換装置２０Ｂに送信される。べき乗部２５Ａはマスタ公開鍵Ｚを短期秘密鍵y_Aでべき乗し、Z^yAを生成する。

一方、認証鍵交換装置２０ＢからユーザU_Bの短期公開鍵X_Bと識別子ID_Bが受信部２６Ａで受信され、ユーザ情報生成部２７Ａは識別子ID_Bをハッシュしてユーザ情報Q_B=H₁(ID_B)を生成する。ペアリング演算部２８Ａはこれらy_A, Z^yA, D_A, X_B, Q_Bを使って共有鍵生成パラメータσ₁、σ₂、σ₃を以下のように計算する。

共有鍵計算部２９Ａはこれら共有鍵生成パラメータσ₁、σ₂、σ₃と共有情報C_mを使ってハッシュ演算により共有鍵
K=H(σ₁, σ₂, σ₃, C_m) (15)
を計算し、出力する。共有情報として例えばC_m=(ID_prot, ID_A, ID_B, X_A, X_B)を使う場合は、ID_protは使用している鍵交換方式を特定し、ID_A, ID_Bは鍵交換を行う２者を特定し、X_A, X_Bはセッションを特定する。これらの予め決めた任意の組み合わせを共有情報として使用してもよいし、更に他の情報を加えてもよい。このような共有情報を埋め込むことにより、ユーザU_AとU_B以外のユーザ間で偶然に同じ共有鍵Ｋが生成されてしまうことを防ぐことができる。ハッシュの対象である情報σ₁, σ₂, σ₃, C_mの入力順序は、両認証鍵交換装置２０Ａ，２０Ｂで同じ順序をとる限り、どのような順序でもかまわない。なお、この第１実施例の共有鍵生成パラメータσ₁とσ₃は、従来技術における共有鍵パラメータσ₁とσ₃とそれぞれ同じであるが、この発明の特徴は共有鍵パラメータσ₂が更に設けられていることである。

図４はユーザU_Aと認証鍵交換を行うユーザU_Bの端末装置200B内の認証鍵交換装置２０Ｂの機能構成ブロック図を示す。基本的な構成は図３の構成と同じであり、記憶部２１Ｂと、短期秘密鍵選択部２２Ｂと、短期公開鍵生成部２３Ｂと、送信部２４Ｂと、べき乗部２５Ｂと、受信部２６Ｂと、ユーザ情報生成部２７Ｂと、ペアリング演算部２８Ｂと、共有鍵計算部２９Ｂと、これら各部の動作を制御する制御部201Bとから構成されている。記憶部２１Ｂには前述の公開パラメータ(G, G_T, g, g_T, e, H, H₁, ID_prot)、マスタ公開鍵Ｚ，ユーザU_Bの識別子ID_B等が予め格納されており、各部の演算処理において必要な情報が読み出され、使用される。

認証鍵交換装置２０Ｂは送信部２４ＢからユーザU_Bの識別子ID_Bを秘密鍵発行要求として鍵発行装置100に送信し、鍵発行装置100から発行されたユーザ秘密鍵D_Bは受信部２６Ｂで受信される。短期秘密鍵選択部２２Ｂは素数ｑについての剰余群Z_qの中からランダムに短期秘密鍵y_Bを選択する。短期公開鍵生成部２３Ｂはｇを短期秘密鍵y_Bでべき乗して短期公開鍵X_B=g^yBを生成する。短期公開鍵X_Bは識別子U_Bと共に送信部２４ＡからユーザU_Aの認証鍵交換装置２０Ａに送信される。べき乗部２５Ｂはマスタ公開鍵Ｚを短期秘密鍵y_Bでべき乗し、秘密鍵情報Z^yBを生成する。

一方、認証鍵交換装置２０ＡからユーザU_Aの短期公開鍵X_Aと識別子ID_Aが受信部２６Ｂで受信され、ユーザ情報生成部２７Ｂは識別子ID_Aをハッシュしてユーザ情報Q_A=H₁(ID_A)を生成する。ペアリング演算部２８Ｂはこれらy_B, Z^yB, D_B, X_A, Q_Aを使って共有鍵生成パラメータσ₁、σ₂、σ₃を以下のように計算する。

共有鍵計算部２９Ｂはこれら共有鍵生成パラメータσ₁、σ₂、σ₃と共有情報C_mを使ってハッシュ演算により共有鍵
K=H(σ₁, σ₂, σ₃, C_m) (19)
を計算し、出力する。共有情報C_mとしては、ユーザU_Aの使用した共有情報C_mと同じもの、例えばC_m=(ID_prot, ID_A, ID_B, X_A, X_B)を使用する。

ここで、ユーザU_Aが式(12), (13), (14)を使って式(15)により計算した共有鍵Ｋと、ユーザU_Bが式(16), (17), (18)を使って式(19)により計算した共有鍵Ｋが互いに同じものとなることが次のように証明される。

とおき、

を使えば、ユーザU_Bの共有鍵生成パラメータσ₁, σ₂, σ₃は、

となる。一方、ユーザU_Aの共有鍵生成パラメータσ₁, σ₂, σ₃は

となり、これらはユーザU_Bの式(20), (21), (22)により計算した共有鍵生成パラメータと一致する。従って、ユーザU_A側とユーザU_B側の共有鍵Ｋの計算結果も一致する。これにより共有鍵Ｋが両者U_A，U_B間で共有されることが証明された。

ところで、前述の従来技術においては共有鍵生成パラメータσ₁, σ₃の２つを使用しており、この場合、短期秘密鍵y_A, y_Bが漏洩した場合の安全性についての証明が不可能であった。この発明においては新たに共有鍵生成パラメータσ₂を追加している。簡単に述べれば、このパラメータσ₂には短期秘密鍵y_A, y_Bが含まれていないので、短期秘密鍵y_A, y_Bを知ったとしてもパラメータσ₂を計算することは不可能であり、従って共有鍵Ｋを計算することができず、安全性が高い。

認証鍵交換の安全性はgapBDH(Bilinear Diffie-Hellman)仮定に基づいている。gapBDH仮定とは、U, V, W∈Ｇから、DBDHオラクルにアクセスしながらBDH(U, V, W)を計算することが計算量的に難しいという仮定である。ここで、BDH(U, V, W)=e(g, g)^logUlogVlogWであり、DBDHオラクルは、入力(g^u, g^v, g^w, e(g, g)^x)に対してuvw=xのときb=1を返し、そうでない場合はb=0を返すオラクルである。例えば、マスタ公開鍵ＺをＵとし、q_A=log(Q_A)をランダムに選び、ユーザ秘密鍵D_AをZ^qAとする。ユーザU_Aの短期公開鍵X_AをＶとし、ユーザU_Bの情報Q_BをＷとする。

もし、攻撃者がDBDH(Z, Q_AX_A, Q_BX_B,σ₁)=1, DBDH(Z, Q_A, Q_B,σ₂)=1, e(X_A, X_B)=σ₃であり、かつX_A=V, Q_B=Wであるσ₁, σ₂, σ₃を計算できたとすると、gapBDH問題の答えを以下のように計算できる。

ここで

であり、log(Q_A)は計算できるので、gapBDH問題の答えを計算することができる。よって、攻撃者がσ₁, σ₂, σ₃を計算することができると、計算困難であるはずのgapBDH問題の答えを計算できてしまうことになり、仮定に矛盾する。つまり、攻撃者がσ₁, σ₂, σ₃を計算することはできないことが示され、eCKモデルでの安全性の証明ができる。

図５は、第１実施例によるユーザU_Aの認証鍵交換装置２０ＡとユーザU_Bの認証鍵交換装置２０Ｂとの間の認証鍵交換手順を示す。認証鍵交換装置２０Ａ，２０Ｂはそれぞれ鍵発行装置100から前述のようにして生成されたユーザ秘密鍵D_A, D_Bが与えられているものとする。

認証鍵交換装置２０ＡはステップS11Aで、素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Aを選択し、ステップS12Aで短期公開鍵X_A=g^yAを計算し、ステップS13Aで情報(ID_prot, ID_A, ID_B, X_A)を認証鍵交換装置２０Ｂに送信する。

認証鍵交換装置２０ＢはステップS11Bで、素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Bを選択し、ステップS12Bで短期公開鍵X_B=g^yBを計算し、ステップS13Bで受信情報にX_Bを含めて情報(ID_prot, ID_A, ID_B, X_A, X_B)として認証鍵交換装置２０Ａに送信する。

認証鍵交換装置２０ＡはステップS14Aでマスタ公開鍵Ｚを短期秘密鍵y_Aでべき乗して秘密鍵情報Z^yAを生成し、更に識別子ID_Bをハッシュ処理してユーザ情報Q_B=H₁(ID_B)を生成する。次に、ステップS15Aで公開パラメータ及び受信した情報を使って共有鍵生成パラメータσ₁, σ₂, σ₃を式(12), (13), (14)により計算し、ステップS16Aで式(15)により共有鍵Ｋを計算し、出力する。

認証交換装置２０ＢはステップS14Bでマスタ公開鍵Ｚを短期秘密鍵y_Bでべき乗して秘密鍵情報Z^yBを生成し、更に識別子ID_Aをハッシュ処理してユーザ情報Q_A=H₁(ID_A)を生成する。次に、ステップS15Bで公開パラメータ及び受信した情報を使って共有鍵生成パラメータσ₁, σ₂, σ₃を式(16), (17), (18)により計算し、ステップS16Bで共有鍵Ｋを式(19)により計算し、出力する。

図５に示す認証鍵交換は、セッション毎に行われ、従って、セッション毎に短期秘密鍵y_A, y_B、短期公開鍵X_A, X_B及び共有鍵Ｋが新しく生成され、セッションが終了すればそれらは廃棄される。従って、ステップS16A, S16Bの共有鍵計算においてハッシュの対象として共有鍵生成パラメータσ₁, σ₂, σ₃と共に含まれる共有情報C_m=(ID_prot, ID_A, ID_B, X_A, X_B)中の短期公開鍵X_A, X_Bは、現セッションを特定する情報でもある。
［第２実施例］
この発明の第２実施例における認証鍵交換システムの全体の構成は図１と同じであり、鍵発行装置の構成と処理機能は図２と同じであるので説明を省略する。ただし、公開パラメータ記憶部１１には先に示した公開パラメータに更に任意のビット長の情報をｑによる剰余群の元に変換するハッシュ関数H₂:{0, 1}* →Z_qが追加されている。

図６は第２実施例におけるユーザU_Aの認証鍵交換装置２０Ａの機能構成ブロック図を示す。この第２実施例における認証鍵交換装置２０Ａは、記憶部２１Ａと、短期秘密鍵選択部２２Ａと、短期公開鍵生成部２３Ａと、送信部２４Ａと、べき乗部２５Ａと、受信部２６Ａと、ユーザ情報生成部２７Ａと、ハッシュ部281Aと、ペアリング演算部282Aと、共有鍵計算部２９Ａと、これら各部の動作を制御する制御部201Aとから構成されている。

記憶部２１Ａには前述のハッシュ関数H₂を含む公開パラメータ(G, G_T, g, g_T, e, H, H₁, H₂, ID_prot)、マスタ公開鍵Ｚ，ユーザU_Aの識別子ID_A等が予め格納されており、各部の演算処理において必要な情報が読み出され、使用される。この構成は図３の構成に対し、更にハッシュ部281Aが追加され、ペアリング演算部２８Ａの代わりにペアリング演算部282Aが設けられている点が図３の構成と異なり、その他の構成は同じである。

認証鍵交換装置２０Ａは送信部２４ＡからユーザU_Aの識別子ID_Aを秘密鍵発行要求として鍵発行装置100に送信し、鍵発行装置100から発行されたユーザ秘密鍵D_Aは受信部２６Ａで受信される。短期秘密鍵選択部２２Ａは素数ｑについての剰余群Z_qの中からランダムに短期秘密鍵y_Aを選択する。短期公開鍵生成部２３Ａはｇを短期秘密鍵y_Aでべき乗して短期公開鍵X_A=g^yAを生成する。短期公開鍵X_Aは識別子U_Aと共に送信部２４ＡからユーザU_Bの認証鍵交換装置２０Ｂに送信される。べき乗部２５Ａはマスタ公開鍵Ｚを短期秘密鍵y_Aでべき乗し、秘密鍵情報Z^yAを生成する。

一方、認証鍵交換装置２０ＢからユーザU_Bの短期公開鍵X_Bと識別子ID_Bが受信部２６Ａで受信され、ユーザ情報生成部２７Ａは識別子ID_Bをハッシュしてユーザ情報Q_B=H₁(ID_B)を生成する。第２実施例で追加されたハッシュ部281Aは、生成した短期公開鍵X_Aと受信した短期公開鍵X_Bをそれぞれハッシュ関数H₂で処理して公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、ペアリング演算部282Aに与える。ペアリング演算部282Aはこれらy_A, Z^yA, D_A, X_B, Q_B, e_A, e_Bを使って共有鍵生成パラメータσ₁、σ₂、σ₃を以下のように計算する。

これら共有鍵生成パラメータσ₁, σ₂は第１実施例におけるσ₁, σ₂と異なるが、共有鍵生成パラメータσ₃は同じである。共有鍵計算部２９Ａはこれら共有鍵生成パラメータσ₁、σ₂、σ₃と共有情報C_mを使ってハッシュ演算により共有鍵
K=H(σ₁, σ₂, σ₃, C_m) (33)
を計算し、出力する。共有情報C_mとしてはID_prot, ID_A, ID_B, X_A, X_B)の任意の組み合わせを使用してもよいし、更に他の情報を加えてもよい。

図７はユーザU_Aと認証鍵交換を行うユーザU_Bの端末装置200B内の認証鍵交換装置２０Ｂの機能構成ブロック図を示す。基本的な構成は図６の構成と同じであり、記憶部２１Ｂと、短期秘密鍵選択部２２Ｂと、短期公開鍵生成部２３Ｂと、送信部２４Ｂと、べき乗部２５Ｂと、受信部２６Ｂと、ユーザ情報生成部２７Ｂと、ハッシュ部281Bと、ペアリング演算部282Bと、共有鍵計算部２９Ｂと、これら各部の動作を制御する制御部201Bとから構成されている。記憶部２１Ｂには前述の公開パラメータ(G, G_T, g, g_T, e, H, H₁, ID_prot)、マスタ公開鍵Ｚ，ユーザU_Bの識別子ID_B等が予め格納されており、各部の演算処理において必要な情報が読み出され、使用される。

一方、認証鍵交換装置２０ＡからユーザU_Aの短期公開鍵X_Aと識別子ID_Aが受信部２６Ｂで受信され、ユーザ情報生成部２７Ｂは識別子ID_Aをハッシュしてユーザ情報Q_A=H₁(ID_A)を生成する。ハッシュ部281Bは、受信した短期公開鍵X_Aと生成した短期公開鍵X_Bとをそれぞれハッシュ関数H₂で処理して公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、ペアリング演算部282Bに与える。ペアリング演算部282Bはこれらy_B, Z^yB, D_B, X_A, Q_A, e_A, e_Bを使って共有鍵生成パラメータσ₁、σ₂、σ₃を以下のように計算する。

共有鍵計算部２９Ｂはこれら共有鍵生成パラメータσ₁、σ₂、σ₃と共有情報C_mを使ってハッシュ演算により共有鍵
K=H(σ₁, σ₂, σ₃, C_m) (37)
を計算し、出力する。共有情報C_mとしては、ユーザU_Aの使用した共有情報C_mと同じもの、例えばC_m=(ID_prot, ID_A, ID_B, X_A, X_B)を使用する。

ここで、ユーザU_Aが式(30), (31), (32)を使って式(33)により計算した共有鍵Ｋと、ユーザU_Bが式(34), (35), (36)を使って式(37)により計算した共有鍵Ｋが互いに同じものとなることが次のように証明される。

とおき、

となり、これらはユーザU_Bの式(38), (39), (40)により計算した共有鍵生成パラメータと一致する。従って、ユーザU_A側とユーザU_B側の共有鍵Ｋの計算結果も一致する。これにより共有鍵Ｋが両者U_A，U_B間で共有されることが証明された。

図８は、第２実施例によるユーザU_Aの認証鍵交換装置２０ＡとユーザU_Bの認証鍵交換装置２０Ｂとの間の認証鍵交換手順を示す。認証鍵交換装置２０Ａ，２０Ｂはそれぞれ鍵発行装置100から前述のようにして生成されたユーザ秘密鍵D_A, D_Bが与えられているものとする。

認証鍵交換装置２０ＢはステップS11Bで、素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Bを選択し、ステップS12Bで短期公開鍵X_A=g^yBを計算し、ステップS13Bで受信情報にX_Bを含めて情報(ID_prot, ID_A, ID_B, X_A, X_B)として認証鍵交換装置２０Ａに送信する。

認証鍵交換装置２０ＡはステップS14Aでマスタ公開鍵Ｚを短期秘密鍵y_Aでべき乗して秘密鍵情報Z^yAを生成し、更に識別子ID_Bをハッシュ処理してユーザ情報Q_B=H₁(ID_B)を生成する。次に、ステップS15'Aで短期公開鍵X_A, X_Bをそれぞれハッシュ処理して公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、更に公開パラメータ及び受信した情報を使って共有鍵生成パラメータσ₁, σ₂, σ₃を式(30), (31), (32)により計算し、ステップS16Aで共有鍵Ｋをハッシュ処理K=H(σ₁, σ₂, σ₃, ID_prot, ID_A, ID_B, X_A, X_B)により計算し、出力する。

認証交換装置２０ＢはステップS14Bでマスタ公開鍵Ｚを短期秘密鍵y_Bでべき乗して秘密鍵情報Z^yBを生成し、更に識別子ID_Aをハッシュ処理してユーザ情報Q_A=H₁(ID_A)を生成する。次に、ステップS15'Bで短期公開鍵X_A, X_Bをそれぞれハッシュ処理して公開鍵情報e_A=H₂(X_A), e_B=H₂(X_B)を生成し、更に公開パラメータ及び受信した情報を使って共有鍵生成パラメータσ₁, σ₂, σ₃を式(39) (40), (41)により計算し、ステップS16Bで共有鍵Ｋをハッシュ処理K=H(σ₁, σ₂, σ₃, ID_prot, ID_A, ID_B, X_A, X_B)により計算し、出力する。
［変形実施例］
第２実施例である図６の認証鍵交換装置２０Ａにおけるペアリング演算部282Aによる共有鍵生成パラメータσ₁, σ₂, σ₃を前式(30), (31), (32)の代わりに次式

のように規定し、図７の認証鍵交換装置２０Ｂにおけるペアリング演算部282Bによる共有鍵生成パラメータσ₁, σ₂, σ₃を前式(34), (35), (36)の代わりに次式

のように規定してもよい。ペアリング演算部282Aの共有鍵生成パラメータσ₁, σ₂の式(44), (45)は、第２実施例のペアリング演算部２８Ａの共有鍵生成パラメータσ₁, σ₂の式(30), (31)と比べ、Q_BとQ_B ^eBとが入れ替わっているだけである。同様に、ペアリング演算部282Bの共有鍵生成パラメータσ₁, σ₂の式(47), (48)は、第２実施例のペアリング演算部２８Ｂの共有鍵生成パラメータσ₁, σ₂の式(34), (35)と比べ、D_BとD_B ^eBが入れ替わっているだけである。この変形実施例の場合も第２実施例と同様に、ペアリング演算部282Aにおける共有鍵生成パラメータσ₁, σ_2, σ₃とペアリング演算部282Bにおける共有鍵生成パラメータσ₁, σ₂, σ₃は共にそれぞれ、

となることが容易に証明できる。

以上説明したこの発明によるＩＤベース認証鍵交換システムの実施例において、各認証鍵交換装置は、その機能を記録媒体に記録したプログラムに従ってコンピュータにより実行させるように構成してもよい。

本発明はネットワークを介した通信のセキュリティに利用することができる。

Claims

予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して他の認証鍵交換装置と認証鍵交換を行う認証鍵交換装置であり、
上記認証鍵交換装置は、上記鍵発行装置が上記認証鍵交換装置の識別子ID_Aを上記第２
ハッシュ関数H₁によりハッシュ処理して生成したユーザ情報Q_A=H₁(ID_A)を上記マスタ秘密鍵ｓでべき乗して生成したユーザ秘密鍵D_A=Q_A ^sが与えられており、
上記認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Aを選択する短期秘密鍵選択部と、
上記生成元ｇを短期秘密鍵y_Aでべき乗して短期公開鍵X_Aを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記短期秘密鍵y_Aでべき乗して秘密鍵情報Z^yAを生成するべき乗
部と、
上記短期公開鍵X_Aを含む情報を上記他の認証鍵交換装置に送信する送信部と、
上記他の認証鍵交換装置からその短期公開鍵X_Bを含む情報を受信する受信部と、
上記他の認証鍵交換装置の識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理し
てユーザ情報Q_B=H₁(ID_B)を生成するユーザ情報生成部と、
上記Z^yA, X_A, X_B, D_A, Q_Bを使って認証鍵生成パラメータ

を生成するペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記他の認証鍵交換装置と共有する共有
情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する共有鍵計算部、
とを含むことを特徴とする認証鍵交換装置。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して他の認証鍵交換装置と認証鍵交換を行う認証鍵交換装置であり、
上記認証鍵交換装置は、上記鍵発行装置が上記認証鍵交換装置の識別子ID_Bを上記第２
ハッシュ関数H₁によりハッシュ処理して生成したユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成したユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Bを選択する短期秘密鍵選択部と、
上記生成元ｇを短期秘密鍵y_Bでべき乗して短期公開鍵X_Bを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記短期秘密鍵y_Bでべき乗して秘密鍵情報Z^yBを生成するべき乗
部と、
上記短期公開鍵X_Bを含む情報を上記他の認証鍵交換装置に送信する送信部と、
上記他の認証鍵交換装置からその短期公開鍵X_Aを含む情報を受信する受信部と、
上記他の認証鍵交換装置の識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理し
てユーザ情報Q_A=H₁(ID_A)を生成するユーザ情報生成部と、
上記Z^yB, X_A, X_B, D_B, Q_Aを使って認証鍵生成パラメータ

を生成するペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記他の認証鍵交換装置と共有する共有
情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する共有鍵計算部、
とを含むことを特徴とする認証鍵交換装置。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して第１認証鍵交換装置と第２認証鍵交換装置が認証鍵交換を行うＩＤベース認証鍵交換システムであり、
上記第１認証鍵交換装置は、上記鍵発行装置が上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第１ユーザ情報Q_A=H₁(ID_A)
を上記マスタ秘密鍵ｓでべき乗して生成した第１ユーザ秘密鍵D_A=Q_A ^sが与えられており、上記第２認証鍵交換装置は、上記鍵発行装置が上記第２認証鍵交換装置の第２識別子ID_B
を上記第２ハッシュ関数H₁によりハッシュ処理して生成した第２ユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成した第２ユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記第１認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに第１短期秘密鍵y_Aを選択する第１短期秘密鍵選択部と、
上記生成元ｇを上記第１短期秘密鍵y_Aでべき乗して第１短期公開鍵X_Aを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記第１短期秘密鍵y_Aでべき乗して第１秘密鍵情報Z^yAを生成す
る第１べき乗部と、
上記第１短期公開鍵X_Aを含む情報を上記第２認証鍵交換装置に送信する第１送信部と、
上記第２認証鍵交換装置からその第２短期公開鍵X_Bを含む情報を受信する第１受信部と、
上記第２認証鍵交換装置の第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処
理して第２ユーザ情報Q_B=H₁(ID_B)を生成する第１ユーザ情報生成部と、
上記Z^yA, X_A, X_B, D_A, Q_Bを使って認証鍵生成パラメータ

を生成する第１ペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記第２認証鍵交換装置と共有する共有
情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する第１共有鍵計算部、
とを含んでおり、
上記第２認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに第２短期秘密鍵y_Bを選択する第２短期秘密鍵選択部と、
上記生成元ｇを上記第２短期秘密鍵y_Bでべき乗して第２短期公開鍵X_Bを生成する第２短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記第２短期秘密鍵y_Bでべき乗して第２秘密鍵情報Z^yBを生成す
る第２べき乗部と、
上記第２短期公開鍵X_Bを含む情報を上記第１認証鍵交換装置に送信する第２送信部と、
上記第１認証鍵交換装置からその第１短期公開鍵X_Aを含む情報を受信する第２受信部と、
上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処
理して第１ユーザ情報Q_A=H₁(ID_A)を生成する第２ユーザ情報生成部と、
上記Z^yB, X_A, X_B, D_B, Q_Aを使って認証鍵生成パラメータ

を生成する第２ペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記第１認証鍵交換装置と共有する上記
共有情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する第２共有鍵計算部、
とを含むことを特徴とするＩＤベース認証鍵交換システム。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して第１認証鍵交換装置と第２認証鍵交換装置が認証鍵交換を行うＩＤベース認証鍵交換方法であり、
上記第１認証鍵交換装置は、上記鍵発行装置が上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第１ユーザ情報Q_A=H₁(ID_A)を上記マスタ秘密鍵ｓでべき乗して生成した第１ユーザ秘密鍵D_A=Q_A ^sが与えられており、上記第２認証鍵交換装置は、上記鍵発行装置が上記第２認証鍵交換装置の第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第２ユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成した第２ユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記第１認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第１短期秘密鍵y_Aを選択し、第１短期公開鍵X_A=g^yAを計算する第１短期公開鍵生成ステップと、上記第１短期公開鍵X_Aを含む情報を上記第２認証鍵交換装置に送信する第１送信ステップと、
上記第２認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第２短期秘密鍵y_Bを選択し、第２短期公開鍵X _B=g^yBを計算する第２短期公開鍵生成ステップと、上記第２短期公開鍵X_Bを含む情報を上記第１認証鍵交換装置に送信する第２送信ステップと、
上記第１認証鍵交換装置が上記第２認証鍵交換装置からその第２短期公開鍵X_Bを含む情報を受信する第１受信ステップと、上記マスタ公開鍵Ｚを上記第１短期秘密鍵y_Aでべき乗して第１秘密鍵情報Z^yAを生成する第１秘密鍵情報生成ステップと、上記第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理して第２ユーザ情報Q_B=H₁(ID_B)を生成する第１ユーザ情報生成ステップと、上記Z^yA, X_A, X_B, D_A, Q_Bを使って共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第１ペアリング演算ステップと、上記共有鍵生成パラメータを含む情報を上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵Ｋを計算し、出力する第１共有鍵計算ステップと、
上記第２認証鍵交換装置が上記第１認証鍵交換装置からその第１短期公開鍵X_Aを含む情報を受信する第２受信ステップと、上記マスタ公開鍵Ｚを上記第２短期秘密鍵y_Bでべき乗して第２秘密鍵情報Z^yBを生成する第２秘密鍵情報生成ステップと、上記第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して第１ユーザ情報Q_A=H₁(ID_A)を生成する第２ユーザ情報生成ステップと、上記Z^yB,, X_A, X_B, D_B, Q_Aを使って共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第２ペアリング演算ステップと、上記共有鍵生成パラメータを含む情報を上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵Ｋを生成し、出力する第２共有鍵計算ステップ、
とを含むことを特徴とするＩＤベース認証鍵交換方法。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、任意のビット長の情報{0, 1}*をｑによる剰余群Z_qの元に変換
する第３ハッシュ関数H₂と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して他の認証鍵交換装置と認証鍵交換を行う認証鍵交換装置であり、
上記認証鍵交換装置は、上記鍵発行装置が上記認証鍵交換装置の識別子ID_Aを上記第２
ハッシュ関数H₁によりハッシュ処理して生成したユーザ情報Q_A=H₁(ID_A)を上記マスタ秘密鍵ｓでべき乗して生成したユーザ秘密鍵D_A=Q_A ^sが与えられており、
上記認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Aを選択する短期秘密鍵選択部と、
上記生成元ｇを短期秘密鍵y_Aでべき乗して短期公開鍵X_Aを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記短期秘密鍵y_Aでべき乗して秘密鍵情報Z^yAを生成するべき乗
部と、
上記短期公開鍵X_Aを含む情報を上記他の認証鍵交換装置に送信する送信部と、
上記他の認証鍵交換装置からその短期公開鍵X_Bを含む情報を受信する受信部と、
生成した上記短期公開鍵X_Aと受信した上記短期公開鍵X_Bをそれぞれ第３ハッシュ関数H₂によりハッシュ処理して第１公開鍵情報e_A=H₂(X_A)及び第２公開鍵情報 e_B=H₂(X_B)を生成
するハッシュ部と、
上記他の認証鍵交換装置の識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理し
てユーザ情報Q_B=H₁(ID_B)を生成するユーザ情報生成部と、
上記Z^yA, X_A, X_B, D_A, Q_B, e_A, e_Bを使って認証鍵生成パラメータ

を生成するペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記他の認証鍵交換装置と共有する共有
情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する共有鍵計算部、
とを含むことを特徴とする認証鍵交換装置。
請求項５に記載の認証鍵交換装置において、上記ペアリング演算部は、上記認証鍵生成パラメータの代わりに、

を計算することを特徴とする認証鍵交換装置。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、任意のビット長の情報{0, 1}*をｑによる剰余群Z_qの元に変換
する第３ハッシュ関数H₂と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して他の認証鍵交換装置と認証鍵交換を行う認証鍵交換装置であり、
上記認証鍵交換装置は、上記鍵発行装置が上記認証鍵交換装置の識別子ID_Bを上記第２
ハッシュ関数H₁によりハッシュ処理して生成したユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成したユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに短期秘密鍵y_Bを選択する短期秘密鍵選択部と、
上記生成元ｇを短期秘密鍵y_Bでべき乗して短期公開鍵X_Bを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記短期秘密鍵y_Bでべき乗して秘密鍵情報Z^yBを生成するべき乗
部と、
上記短期公開鍵X_Bを含む情報を上記他の認証鍵交換装置に送信する送信部と、
上記他の認証鍵交換装置からその短期公開鍵X_Aを含む情報を受信する受信部と、
受信した上記短期公開鍵X_Aと生成した上記短期公開鍵X_Bをそれぞれ第３ハッシュ関数H₂でハッシュ処理して第１公開鍵情報e_A=H₂(X_A)と第２公開鍵情報e_B=H₂(X_B)を生成するハッシュ部と、
上記他の認証鍵交換装置の識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理し
てユーザ情報Q_A=H₁(ID_A)を生成するユーザ情報生成部と、
上記Z^yB, X_A, X_B, D_B, Q_A, e_A, e_Bを使って認証鍵生成パラメータ

を生成するペアリング演算部と、
上記認証鍵生成パラメータσ₁, σ₂, σ₃と、上記他の認証鍵交換装置と共有する共有
情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する共有鍵計算部、
とを含むことを特徴とする認証鍵交換装置。
請求項７記載の認証鍵交換装置において、上記ペアリング演算部は上記共有鍵生成パラメータの代わりに、

を計算することを特徴とする認証鍵交換装置。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、任意のビット長の情報{0, 1}*をｑによる剰余群Z_qの元に変換
する第３ハッシュ関数H₂と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して第１認証鍵交換装置と第２認証鍵交換装置が認証鍵交換を行うＩＤベース認証鍵交換システムであり、
上記第１認証鍵交換装置は、上記鍵発行装置が上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第１ユーザ情報Q_A=H₁(ID_A)
を上記マスタ秘密鍵ｓでべき乗して生成した第１ユーザ秘密鍵D_A=Q_A ^sが与えられており、上記第２認証鍵交換装置は、上記鍵発行装置が上記第２認証鍵交換装置の第２識別子ID_B
を上記第２ハッシュ関数H₁によりハッシュ処理して生成した第２ユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成した第２ユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記第１認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに第１短期秘密鍵y_Aを選択する第１短期秘密鍵選択部と、
上記生成元ｇを上記第１短期秘密鍵y_Aでべき乗して第１短期公開鍵X_Aを生成する短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記第１短期秘密鍵y_Aでべき乗して第１秘密鍵情報Z^yAを生成す
る第１べき乗部と、
上記第１短期公開鍵X_Aを含む情報を上記第２認証鍵交換装置に送信する第１送信部と、
上記第２認証鍵交換装置からその第２短期公開鍵X_Bを含む情報を受信する第１受信部と、
生成した上記第１短期公開鍵X_Aと受信した上記第２短期公開鍵X_Bをそれぞれ第３ハッシュ関数H₂によりハッシュ処理して第１公開鍵情報e_A=H₂(X_A)及び第２公開鍵情報 e_B=H₂(X_B)を生成する第１ハッシュ部と、
上記第２認証鍵交換装置の第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処
理して第２ユーザ情報Q_B=H₁(ID_B)を生成する第１ユーザ情報生成部と、
上記Z^yA, X_A, X_B, D_A, Q_B, e_A, e_Bを使って第１認証鍵生成パラメータ

を生成する第１ペアリング演算部と、
上記第１認証鍵生成パラメータσ₁, σ₂, σ₃と、上記第２認証鍵交換装置と共有する
共有情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する第１共有鍵計算部、
とを含んでおり、
上記第２認証鍵交換装置は、
素数ｑによる剰余群Z_qからランダムに第２短期秘密鍵y_Bを選択する第２短期秘密鍵選択部と、
上記生成元ｇを上記第２短期秘密鍵y_Bでべき乗して第２短期公開鍵X_Bを生成する第２短期公開鍵生成部と、
上記マスタ公開鍵Ｚを上記第２短期秘密鍵y_Bでべき乗して第２秘密鍵情報Z^yBを生成す
る第２べき乗部と、
上記第２短期公開鍵X_Bを含む情報を上記第１認証鍵交換装置に送信する第２送信部と、
上記第１認証鍵交換装置からその第１短期公開鍵X_Aを含む情報を受信する第２受信部と、
受信した上記第１短期公開鍵X_Aと生成した上記第２短期公開鍵X_Bをそれぞれ第３ハッシュ関数でハッシュ処理して第１公開鍵情報e_A=H₂(X_A)と第２公開鍵情報e_B=H₂(X_B)を生成する第２ハッシュ部と、
上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処
理して第１ユーザ情報Q_A=H₁(ID_A)を生成する第２ユーザ情報生成部と、
上記Z^yB, X_A, X_B, D_B, Q_A, e_A, e_Bを使って第２認証鍵生成パラメータ

を生成する第２ペアリング演算部と、
上記第２認証鍵生成パラメータσ₁, σ₂, σ₃と、上記第１認証鍵交換装置と共有する
上記共有情報C_mとを上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵K=H(σ₁, σ₂, σ₃, C_m)を生成し、出力する第２共有鍵計算部、
とを含むことを特徴とするＩＤベース認証鍵交換システム。
請求項９記載のＩＤベース認証鍵交換システムにおいて、上記第１ペアリング演算部は上記共有鍵生成パラメータの代わりに、

を計算し、上記第２ペアリング演算部は上記共有鍵生成パラメータの代わりに、

を計算することを特徴とするＩＤベース認証鍵交換システム。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をｋビット長の情報{0, 1}^kに変換する第１ハッシュ関数Ｈと、任意のビット長の情報{0, 1}*をＧの元に変換する第２ハッシュ関数H₁と、任意のビット長の情報{0, 1}*をｑによる剰余群Z_qの元に変換する第３ハッシュ関数H₂と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して第１認証鍵交換装置と第２認証鍵交換装置が認証鍵交換を行うＩＤベース認証鍵交換方法であり、
上記第１認証鍵交換装置は、上記鍵発行装置が上記第１認証鍵交換装置の第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第１ユーザ情報Q_A=H₁(ID_A)を上記マスタ秘密鍵ｓでべき乗して生成した第１ユーザ秘密鍵D_A=Q_A ^sが与えられており、上記第２認証鍵交換装置は、上記鍵発行装置が上記第２認証鍵交換装置の第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理して生成した第２ユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成した第２ユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記第１認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第１短期秘密鍵y_Aを選択し、第１短期公開鍵X_A=g^yAを計算する第１短期公開鍵生成ステップと、上記第１短期公開鍵X_Aを含む情報を上記第２認証鍵交換装置に送信する第１送信ステップと、
上記第２認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第２短期秘密鍵y_Bを選択し、第２短期公開鍵X _B=g^yBを計算する第２短期公開鍵生成ステップと、上記第２短期公開鍵X_Bを含む情報を上記第１認証鍵交換装置に送信する第２送信ステップと、
上記第１認証鍵交換装置が上記第２認証鍵交換装置からその第２短期公開鍵X_Bを含む情報を受信する第１受信ステップと、生成した上記短期公開鍵X_Aと受信した上記短期公開鍵X_Bをそれぞれ第３ハッシュ関数H₂によりハッシュ処理して第１公開鍵情報e_A=H₂(X_A)及び第２公開鍵情報 e_B=H₂(X_B)を生成する第１ハッシュステップと、上記マスタ公開鍵Ｚを上記第１短期秘密鍵y_Aでべき乗して第１秘密鍵情報Z^yAを生成する第１秘密鍵情報生成ステップと、上記第２識別子ID_Bを上記第２ハッシュ関数H₁によりハッシュ処理して第２ユーザ情報Q_B=H₁(ID_B)を生成する第１ユーザ情報生成ステップと、上記Z^yA, X_A, X_B, D_A, Q_B, e_A, e_Bを使って第１共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第１ペアリング演算ステップと、上記第１共有鍵生成パラメータを含む情報を上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵Ｋを計算し、出力する第１共有鍵計算ステップと、
上記第２認証鍵交換装置が上記第１認証鍵交換装置からその第１短期公開鍵X_Aを含む情報を受信する第２受信ステップと、受信した上記第１短期公開鍵X_Aと生成した上記第２短期公開鍵X_Bをそれぞれ第３ハッシュ関数でハッシュ処理して第１公開鍵情報e_A=H₂(X_A)と第２公開鍵情報e_B=H₂(X_B)を生成する第２ハッシュステップと、上記マスタ公開鍵Ｚを上記第２短期秘密鍵y_Bでべき乗して第２秘密鍵情報Z^yBを生成する第２秘密鍵情報生成ステップと、上記第１識別子ID_Aを上記第２ハッシュ関数H₁によりハッシュ処理して第１ユーザ情報Q_A=H₁(ID_A)を生成する第２ユーザ情報生成ステップと、上記Z^yB, X_A, X_B, D_B, Q_A,e_A, e_Bを使って第２共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第２ペアリング演算ステップと、上記第２共有鍵生成パラメータを含む情報を上記第１ハッシュ関数Ｈによりハッシュ処理して共有鍵Ｋを生成し、出力する第２共有鍵計算ステップ、
とを含むことを特徴とする認証鍵交換方法。
請求項１１に記載の認証鍵交換方法において、上記第１ペアリング演算ステップは、上記第１共有鍵生成パラメータの代わりに、

を計算し、上記第２ペアリング演算ステップは上記第２共有鍵生成パラメータの代わりに、

を計算することを特徴とするＩＤベース認証鍵交換方法。
請求項１，２，５，６，７，８のいずれか記載の認証鍵交換装置としてコンピュータを
機能させるプログラム。
請求項１３記載のプログラムを記録したコンピュータで読み取り可能な記録媒体。
予め素数ｑ、素数ｑを位数とする巡回群Ｇ及びG_T、巡回群Ｇの生成元ｇ、G×G→G_Tをペアリングとする双線形関数e(g, g)、任意のビット長の情報{0, 1}*をＧの元に変換するハッシュ関数H₁と、鍵発行装置がｑによる剰余群Z_qからランダムに選択したマスタ秘密鍵ｓによりｇをべき乗して生成したマスタ公開鍵Ｚと、が公開されており、ネットワークを介して第１認証鍵交換装置と第２認証鍵交換装置が認証鍵交換を行うＩＤベース認証鍵交換方法であり、
上記第１認証鍵交換装置は、上記鍵発行装置が上記第１認証鍵交換装置の第１識別子ID_Aを上記ハッシュ関数H₁によりハッシュ処理して生成した第１ユーザ情報Q_A=H₁(ID_A)を上記マスタ秘密鍵ｓでべき乗して生成した第１ユーザ秘密鍵D_A=Q_A ^sが与えられており、上記第２認証鍵交換装置は、上記鍵発行装置が上記第２認証鍵交換装置の第２識別子ID_Bを上記ハッシュ関数H₁によりハッシュ処理して生成した第２ユーザ情報Q_B=H₁(ID_B)を上記マスタ秘密鍵ｓでべき乗して生成した第２ユーザ秘密鍵D_B=Q_B ^sが与えられており、
上記第１認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第１短期秘密鍵y_Aを選択し、第１短期公開鍵X_A=g^yAを計算する第１短期公開鍵生成ステップと、上記第１短期公開鍵X_Aを含む情報を上記第２認証鍵交換装置に送信する第１送信ステップと、
上記第２認証鍵交換装置が素数ｑによる剰余群Z_qからランダムに第２短期秘密鍵y_Bを選択し、第２短期公開鍵X _B=g^yBを計算する第２短期公開鍵生成ステップと、上記第２短期公開鍵X_Bを含む情報を上記第１認証鍵交換装置に送信する第２送信ステップと、
上記第１認証鍵交換装置が上記第２認証鍵交換装置からその第２短期公開鍵X_Bを含む情報を受信する第１受信ステップと、上記マスタ公開鍵Ｚを上記第１短期秘密鍵y_Aでべき乗して第１秘密鍵情報Z^yAを生成する第１秘密鍵情報生成ステップと、上記第２識別子ID_Bを上記ハッシュ関数H₁によりハッシュ処理して第２ユーザ情報Q_B=H₁(ID_B)を生成する第１ユーザ情報生成ステップと、上記Z^yA, X_A, X_B, D_A, Q_Bを使って共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第１ペアリング演算ステップと、上記共有鍵生成パラメータを使って共有鍵Ｋを構成し、出力する第１共有鍵計算ステップと、
上記第２認証鍵交換装置が上記第１認証鍵交換装置からその第１短期公開鍵X_Aを含む情報を受信する第２受信ステップと、上記マスタ公開鍵Ｚを上記第２短期秘密鍵y_Bでべき乗して第２秘密鍵情報Z^yBを生成する第２秘密鍵情報生成ステップと、上記第１識別子ID_Aを上記ハッシュ関数H₁によりハッシュ処理して第１ユーザ情報Q_A=H₁(ID_A)を生成する第２ユーザ情報生成ステップと、上記Z^yB,, X_A, X_B, D_B, Q_Aを使って共有鍵生成パラメータσ₁, σ₂, σ₃を次式

により計算する第２ペアリング演算ステップと、上記共有鍵生成パラメータを使って共有鍵Ｋを構成し、出力する第２共有鍵計算ステップ、
とを含むことを特徴とするＩＤベース認証鍵交換方法。