JP5512601B2 - 情報共有システム、方法、装置及びプログラム - Google Patents

Description

この発明は、情報セキュリティ技術に関する。特に、二者間で同じ情報を共有するための技術に関する。

二者間でセッション鍵等の情報を共有する技術として、以下のようなＨＭＱＶ、ＮＡＸＯＳが知られている。ＨＭＱＶの詳細については非特許文献１、ＮＡＸＯＳの詳細については非特許文献２を参照のこと。

『ＨＭＱＶ方式』
ＨＭＱＶは、次のような方式である。ＨＭＱＶの概要を図６に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H:{0,1}^*→Z_pとH’:{0,1}^*→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a∈Z_pを計算し、長期公開鍵A=g^aを公開する。同様にユーザU_Bに対して、長期秘密鍵b∈Z_pを計算し、長期公開鍵B=g^bを公開する。

＜鍵交換＞長期秘密鍵aをもつユーザU_Aと、長期秘密鍵bをもつユーザU_Bは、以下のようにして認証鍵交換を行い共有鍵Kを共有する。

１．ユーザU_Aは、短期秘密鍵x∈Z_pをランダムに選び、短期公開鍵をX=g^xとし、ユーザU_Bに送る。

２．ユーザU_Bは、Xを受信し、短期秘密鍵y∈Z_pをランダムに選び、短期公開鍵をY=g^yとし、ユーザU_Aに送る。

ユーザU_Bは、d=H(X,U_B)、e=H(Y,U_A)、σ=(XA^d)^y+ebを計算し、共有鍵K=H’(σ)を得る。

３．ユーザU_Aは、Yを受信し、d=H(X,U_B)、e=H(Y,U_A)、σ=(YB^e)^x+daを計算し、共有鍵K=H’(σ)を得る。

共有秘密情報は両方のユーザが計算した
σ=(XA^d)^y+eb=(YB^e)^x+da=g^(x+da)(y+eb)
から得られるので、両者で計算した共有鍵Kは一致する。

このようにして、同一の共有情報である共有鍵Kが共有される。

『ＮＡＸＯＳ方式』
ＮＡＸＯＳは、次のような方式である。ＮＡＸＯＳの概要を図７に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H:{0,1}→Z_pとH’:{0,1}→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a∈Z_pを計算し、長期公開鍵A=g^aを公開する。同様にユーザU_Bに対して、長期秘密鍵b∈Z_pを計算し、長期公開鍵B=g^bを公開する。

＜鍵交換＞長期秘密鍵aをもつユーザU_Aと、長期秘密鍵bをもつユーザU_Bは、以下のようにして認証鍵交換を行い共有鍵Kを共有する。

１．ユーザU_Aは、短期秘密鍵x∈Z_pをランダムに選び、x~=H(x,a)を計算し、短期公開鍵をX=g^x~とし、ユーザU_Bに送る。

２．ユーザU_Bは、Xを受信し、短期秘密鍵y∈Z_pをランダムに選び、y~=H(y,b)を計算し、短期公開鍵をY=g^y~とし、ユーザU_Aに送る。

ユーザU_Bは、σ₁=A^y~、σ₂=X^b、σ₃=X^y~を計算し、共有鍵K=H’(σ₁,σ₂,σ₃,U_A,U_B)を得る。

３．ユーザU_Aは、Yを受信し、σ₁=Y^a、σ₂=B^x~、σ₃=Y^x~を計算し、共有鍵K=H’(σ₁,σ₂,σ₃,U_A,U_B)を得る。

共有秘密情報は両方のユーザが計算した
σ₁=g^y~a,σ₂=g^x~b,σ₃=g^x~y~
から得られるので、両者で計算した共有鍵Kは一致する。

このようにして、同一の共有情報である共有鍵Kが共有される。

Hugo Krawczyk, "HMQV: A High-Performance Secure Diffie-Hellman Protocol", CRYPTO2005 Brian LaMacchia, Kristin Lauter, Anton Mityagin, "Stronger Security of Authenticated Key Exchange", ProvSec2007

背景技術に記載した技術では、安全性を保証するためにいわゆるギャップ問題の難しさを仮定する必要がある。ギャップ問題とは、探索問題を解くために判定オラクルの利用を許した問題のことであり、一般にいわゆる探索問題よりも解きやすい問題となる。よって、ギャップ問題の難しさを仮定するよりも、探索問題の難しさを仮定した方が仮定を弱めることができるので望ましい。

この発明の課題は、探索問題の難しさを仮定することにより安全性が保証される情報共有システム、方法、装置及びプログラムを提供することである。

この発明の一態様による情報共有システムは、nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i,e_iを所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵として、短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をX=g^xを計算する短期公開鍵生成部と、短期公開鍵Xを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Yを情報共有装置Ｕ_Ｂから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をY=g^yを計算する短期公開鍵生成部と、短期公開鍵Yを情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵Xを情報共有装置Ｕ_Ａから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(XA₁ ^di)^y+eib1、σ_i1’=(XA₁ ^di)^y+eib2、σ_i2=(XA₂ ^di)^y+eib1、σ_i2’=(XA₂ ^di)^y+eib2を計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。

この発明の一態様による情報共有システムは、nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i1,d_i2,e_i1,e_i2を所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^aを情報共有装置Ｕ_Ｂの長期公開鍵として、短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をX₁=g^x1,X₂=g^x2を計算する短期公開鍵生成部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ｂから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をY₁=g^y1,Y₂=g^y2を計算する短期公開鍵生成部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(X₁A^di1)^y1+ei1b、σ_i1’=(X₁A^di1)^y2+ei2b、σ_i2=(X₂A^di2)^y1+ei1b、σ_i2’=(X₂A^di2)^y2+ei2bを計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。

この発明の一態様による情報共有システムは、H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bは情報共有装置Ｕ_Ｂに対応する所定の値とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、x~₁=H(x,a₁),x~₂=H(x,a₂)を計算するハッシュ値計算部と、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ｂから受信する受信部と、σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y∈Z_pを生成する短期秘密鍵生成部と、y~₁=H(y,b₁),y~₂=H(y,b₂)を計算するハッシュ値計算部と、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する受信部と、nを正の整数とし、1≦i≦nのそれぞれのiについてのσ₁=A₁ ^y~1、σ₁’=A₂ ^y~1、σ₂=A₁ ^y~2、σ₂’=A₂ ^y~2、σ₃=X₁ ^b1、σ₃’=X₂ ^b1、σ₄=X₁ ^b2、σ₄’=X₂ ^b2、σ₅=X₁ ^y~1、σ₅’=X₁ ^y~2、σ₆=X₂ ^y~1、σ₆’=X₂ ^y~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。

この発明の一態様による情報共有システムは、H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^bを情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、x~₁=H(x₁,a)、x~₂=H(x₂,a)を計算するハッシュ値計算部と、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ｂから受信する受信部と、σ₁=Y₁ ^a、σ₁’=Y₂ ^a、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成部と、y~₁=H(y₁,b)、y~₂=H(y₂,b)を計算するハッシュ値計算部と、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成部と、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する受信部と、σ₁=A^y~1、σ₁’=A^y~2、σ₂=X₁ ^b、σ₂’=X₂ ^b、σ₃=X₁ ^y~1、σ₃’=X₂ ^y~1、σ₄=X₁ ^y~2、σ₄’=X₂ ^y~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。

探索問題の難しさを仮定して安全性を保証することができる。

情報共有システムの構成を説明するためのブロック図。 情報共有装置Ｕ_Ａの構成を説明するためのブロック図。 情報共有装置Ｕ_Ｂの構成を説明するためのブロック図。 情報共有装置Ｕ_Ａの処理を説明するためのフローチャート。 情報共有装置Ｕ_Ｂの処理を説明するためのフローチャート。 従来のＨＭＱＶの概要を説明するための図。 長期鍵二重化ＨＭＱＶの概要を説明するための図。 短期鍵二重化ＨＭＱＶの概要を説明するための図。 従来のＮＡＸＯＳの概要を説明するための図。 長期鍵二重化ＮＡＸＯＳの概要を説明するための図。 短期鍵二重化ＮＡＸＯＳの概要を説明するための図。

以下、図面を参照してこの発明の一実施形態を説明する。

［第一実施形態］
まず、第一実施形態のアルゴリズムである長期鍵二重化ＨＭＱＶについて説明する。

『長期鍵二重化ＨＭＱＶ』
長期鍵二重化ＨＭＱＶは、次のような方式である。長期鍵二重化ＨＭＱＶの概要を図７に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H_i:{0,1}^*→Z_p及びH’:{0,1}^*→{0,1}^kをハッシュ関数とする。kは、セキュリティパラメータであり正の整数である。また、1≦i≦nでありnは正の整数である。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a₁,a₂∈Z_pを計算し、長期公開鍵A₁=g^a1,A₂=g^a2を公開する。

g^a1の右肩の「a1」は「a₁」を意味する。このように、この明細書、特許請求の範囲及び図面において、ある文字の上付きの文字及び数字の一部がその上付きの中で更に上付き又は下付きである場合がある点に留意する。同様に、ある文字の下付きの文字及び数字の一部がその下付きの中で更に上付き又は下付きである場合がある点に留意する。

鍵生成者は、同様にユーザU_Bに対して、長期秘密鍵b₁,b₂∈Z_pを計算し、長期公開鍵B₁=g^b1,B₂=g^b2を公開する。

＜鍵交換＞長期秘密鍵a₁,a₂をもつユーザU_Aと、長期秘密鍵b₁,b₂をもつユーザU_Bは、以下のようにして認証鍵交換を行い共有情報Kを共有する。共有情報Kは、例えば共有鍵として用いられる。

１．ユーザU_Aは、短期秘密鍵x∈Z_pをランダムに選び、短期公開鍵をX=g^xとし、ユーザU_Bに送る。

２．ユーザU_Bは、Xを受信し、短期秘密鍵y∈Z_pをランダムに選び、短期公開鍵をY=g^yとし、ユーザU_Aに送る。

ユーザU_Bは、1≦i≦nについて、d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)、σ_i1=(XA₁ ^di)^y+eib1、σ_i1’=(XA₁ ^di)^y+eib2、σ_i2=(XA₂ ^di)^y+eib1、σ_i2’=(XA₂ ^di)^y+eib2を計算し、共有情報K=H’(σ₁₁,σ₁₁’, σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を得る。ただし、nは正の整数。d_iとe_iは、d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)以外の事前に定められた定数であっても良い。

３．ユーザU_Aは、Yを受信し、1≦i≦nについて、d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)、σ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算し、共有情報K=H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を得る。d_iとe_iは、d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)以外の事前に定められた定数であっても良い。

共有秘密情報は両方のユーザが計算した
σ_i1=g^{(x+dia1)(y+eib1)},σ_i1’=g^{(x+dia1)(y+eib2)},σ_i2=g^{(x+dia2)(y+eib1)},σ_i2’=g^{(x+dia2)(y+eib2)}
から得られるので、両者で計算した共有情報Kは一致する。

次に、上記『長期鍵二重化ＨＭＱＶ』の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。

情報共有装置Ｕ_Ａが『長期鍵二重化ＨＭＱＶ』の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが『長期鍵二重化ＨＭＱＶ』の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、短期公開鍵生成部１２、送信部１３、受信部１４、共有秘密情報生成部１５、共有情報生成部１６を例えば含む。

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、短期公開鍵生成部２２、送信部２３、受信部２４、共有秘密情報生成部２５、共有情報生成部２６を例えば含む。

情報共有の前に、ハッシュ関数H_i、セキュリティパラメータk、群G及び生成元g等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。

また、情報共有の前に、情報共有装置Ｕ_Ａには、長期秘密鍵a₁,a₂及び長期公開鍵A₁,A₂が予め定められ、必要に応じて記憶部１０に記憶されているものとする。同様に、情報共有の前に、情報共有装置Ｕ_Ｂには、長期秘密鍵b₁,b₂及び長期公開鍵B₁,B₂が予め定められ、必要に応じて記憶部１０に記憶されているものとする。長期秘密鍵a₁,a₂,b₁,b₂及び長期公開鍵A₁,A₂,B₁,B₂の計算は、鍵生成装置３（図１）により行われる。

これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて以下に説明する計算が行われる。

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに元を選び短期秘密鍵xとする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵xは、短期公開鍵生成部１２に送信される。

情報共有装置Ｕ_Ａの短期公開鍵生成部１２は、短期秘密鍵xを用いて短期公開鍵X=g^xを計算する（ステップＡ２）。短期公開鍵Xは、共有秘密情報生成部１５及び送信部１３に送信される。

情報共有装置Ｕ_Ａの送信部１３は、短期公開鍵Xを情報共有装置Ｕ_Ｂに送信する（ステップＡ３）。

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに元を選び短期秘密鍵yとする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵yは、短期公開鍵生成部２２に送信される。

情報共有装置Ｕ_Ｂの短期公開鍵生成部２２は、短期秘密鍵yを用いて短期公開鍵Y=g^yを計算する（ステップＢ２）。短期公開鍵Yは、共有秘密情報生成部２５及び送信部２３に送信される。

情報共有装置Ｕ_Ｂの送信部２３は、短期公開鍵Yを情報共有装置Ｕ_Ａに送信する（ステップＢ４）。

情報共有装置Ｕ_Ｂの受信部２４は、短期公開鍵Xを情報共有装置Ｕ_Ａから受信する（ステップＢ５）。

情報共有装置Ｕ_Ｂの共有秘密情報生成部２５は、1≦i≦nのそれぞれのiについての共有秘密情報σ_i1=(XA₁ ^di)^y+eib1、σ_i1’=(XA₁ ^di)^y+eib2、σ_i2=(XA₂ ^di)^y+eib1、σ_i2’=(XA₂ ^di)^y+eib2を計算する（ステップＢ６）。すなわち、計4n個の共有秘密情報σ₁₁，σ₁₁’,σ₂₁，σ₂₁’,…σ_1n，σ_1n’,σ_2n，σ_2n’を計算する。計算された共有秘密情報は、共有情報生成部２６に送信される。

ここで、d_i及びe_iは、所定の定数である。例えば、d_i=H_i(X,U_B),e_i=H_i(Y,U_A)である。第一実施形態の情報共有装置Ｕ_Ｂは、補助情報d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)を計算する補助情報生成部２８を有していても良い。

情報共有装置Ｕ_Ｂの共有情報生成部２６は、H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算して、その計算結果を共有情報Kとする（ステップＢ７）。この共有情報Kは、例えば認証鍵として用いられる。

情報共有装置Ｕ_Ａの受信部１４（図２）は、短期公開鍵Yを情報共有装置Ｕ_Ｂから受信する（ステップＡ４）。

情報共有装置Ｕ_Ａの共有秘密情報生成部１５は、1≦i≦nのそれぞれのiについてのσ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算する（ステップＡ５）。すなわち、計4n個の共有秘密情報σ₁₁，σ₁₁’,σ₂₁，σ₂₁’,…σ_1n，σ_1n’,σ_2n，σ_2n’を計算する。計算された共有秘密情報は、共有情報生成部１６に送信される。

ここで、d_i及びe_iは、所定の定数である。例えば、d_i=H_i(X,U_B),e_i=H_i(Y,U_A)である。第一実施形態の情報共有装置Ｕ_Ａは、補助情報d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)を計算する補助情報生成部１８を有していても良い。

情報共有装置Ｕ_Ａの共有情報生成部１６は、H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算して、その計算結果を共有情報Kとする（ステップＡ６）。この共有情報Kは、例えば認証鍵として用いられる。

このようにして、情報共有が行われる。

［第二実施形態］
まず、第二実施形態のアルゴリズムである長期鍵二重化ＨＭＱＶについて説明する。

『短期鍵二重化ＨＭＱＶ』
短期鍵二重化ＨＭＱＶは、次のような方式である。短期鍵二重化ＨＭＱＶの概要を図８に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H_i:{0,1}^*→Z_p及びH’:{0,1}^*→{0,1}^kをハッシュ関数とする。kは、セキュリティパラメータであり正の整数である。また、1≦i≦nでありnは正の整数である。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a∈Z_pを計算し、長期公開鍵A=g^aを公開する。

＜鍵交換＞長期秘密鍵aをもつユーザU_Aと、長期秘密鍵bをもつユーザU_Bは、以下のようにして認証鍵交換を行い共有情報Kを共有する。共有情報Kは、例えば共有鍵として用いられる。

１．ユーザU_Aは、短期秘密鍵x₁,x₂∈Z_pをランダムに選び、短期公開鍵をX₁=g^x1,X₂=g^x2とし、ユーザU_Bに送る。

２．ユーザU_Bは、X₁,X₂を受信し、短期秘密鍵y₁,y₂∈Z_pをランダムに選び、短期公開鍵をY₁=g^y1,Y₂=g^y2とし、ユーザU_Aに送る。

ユーザU_Bは、1≦i≦nについて、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)、σ_i1=(X₁A^di1)^y1+ei1b、σ_i1’=(X₁A^di1)^y2+ei2b、σ_i2=(X₂A^di2)^y1+ei1b、σ_i2’=(X₂A^di2)^y2+ei2bを計算し、共有情報K=H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を得る。ただし、nは正の整数。d_i1,d_i2,e_i1,e_i2は、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)以外の事前に定められた定数であっても良い。

３．ユーザU_Aは、Y₁,Y₂を受信し、1≦i≦nについて、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)、σ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算し、共有鍵K=H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を得る。ただし、nは正の整数。d_i1,d_i2,e_i1,e_i2は、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)以外の事前に定められた定数であっても良い。

共有秘密情報は両方のユーザが計算した
σ_i1=g^{(x1+di1a)(y1+ei1b)},σ_i1’=g^{(x1+di1a)(y2+ei2b)},σ_i2=g^{(x2+di2a)(y1+ei1b)},σ_i2’=g^{(x2+di2a)(y2+ei2b)}
から得られるので、両者で計算した共有情報Kは一致する。

次に、上記『短期鍵二重化ＨＭＱＶ』の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。

情報共有装置Ｕ_Ａが『短期鍵二重化ＨＭＱＶ』の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが『短期鍵二重化ＨＭＱＶ』の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、短期公開鍵生成部１２、送信部１３、受信部１４、共有秘密情報生成部１５、共有情報生成部１６を例えば含む。

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、短期公開鍵生成部２２、送信部２３、受信部２４、共有秘密情報生成部２５、共有情報生成部２６を例えば含む。

情報共有の前に、ハッシュ関数H_i、セキュリティパラメータk、群G及び生成元g等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。

また、情報共有の前に、情報共有装置Ｕ_Ａには、長期秘密鍵a及び長期公開鍵Aが予め定められ、必要に応じて記憶部１０に記憶されているものとする。同様に、情報共有の前に、情報共有装置Ｕ_Ｂには、長期秘密鍵b及び長期公開鍵Bが予め定められ、必要に応じて記憶部１０に記憶されているものとする。長期秘密鍵a,b及び長期公開鍵A,Bの計算は、鍵生成装置３（図１）により行われる。

これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて以下に説明する計算が行われる。

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x₁,x₂∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵x₁,x₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵x₁,x₂は、短期公開鍵生成部１２に送信される。

情報共有装置Ｕ_Ａの短期公開鍵生成部１２は、短期秘密鍵x₁,x₂を用いて短期公開鍵X₁=g^x1,X₂=g^x2を計算する（ステップＡ２）。短期公開鍵X₁,X₂は、共有秘密情報生成部１５及び送信部１３に送信される。

情報共有装置Ｕ_Ａの送信部１３は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する（ステップＡ３）。

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y₁,y₂∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵y₁,y₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵yは、短期公開鍵生成部２２に送信される。

情報共有装置Ｕ_Ｂの短期公開鍵生成部２２は、短期秘密鍵y₁,y₂を用いて短期公開鍵Y₁=g^y1,Y₂=g^y2を計算する（ステップＢ２）。短期公開鍵Y₁=g^y1,Y₂=g^y2は、共有秘密情報生成部２５及び送信部２３に送信される。

情報共有装置Ｕ_Ｂの送信部２３は、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する（ステップＢ４）。

情報共有装置Ｕ_Ｂの受信部２４は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する（ステップＢ５）。

情報共有装置Ｕ_Ｂの共有秘密情報生成部２５は、1≦i≦nのそれぞれのiについての共有秘密情報σ_i1=(X₁A^di1)^y1+ei1b、σ_i1’=(X₁A^di1)^y2+ei2b、σ_i2=(X₂A^di2)^y1+ei1b、σ_i2’=(X₂A^di2)^y2+ei2bを計算する（ステップＢ６）。すなわち、計4n個の共有秘密情報σ₁₁，σ₁₁’,σ₂₁，σ₂₁’,…σ_1n，σ_1n’,σ_2n，σ_2n’を計算する。計算された共有秘密情報は、共有情報生成部２６に送信される。

ここで、d_i1,d_i2,e_i1,e_i2は、所定の定数である。例えば、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)である。第二実施形態の情報共有装置Ｕ_Ｂは、補助情報d_i=H_i(X,U_B)、e_i=H_i(Y,U_A)を計算する補助情報生成部２８を有していても良い。

情報共有装置Ｕ_Ｂの共有情報生成部２６は、H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算して、その計算結果を共有情報Kとする（ステップＢ７）。この共有情報Kは、例えば認証鍵として用いられる。

情報共有装置Ｕ_Ａの受信部１４（図２）は、短期公開鍵Yを情報共有装置Ｕ_Ｂから受信する（ステップＡ４）。

情報共有装置Ｕ_Ａの共有秘密情報生成部１５は、1≦i≦nのそれぞれのiについてのσ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算する（ステップＡ５）。すなわち、計4n個の共有秘密情報σ₁₁，σ₁₁’,σ₂₁，σ₂₁’,…σ_1n，σ_1n’,σ_2n，σ_2n’を計算する。計算された共有秘密情報は、共有情報生成部１６に送信される。

ここで、d_i1,d_i2,e_i1,e_i2は、所定の定数である。例えば、d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)である。第二実施形態の情報共有装置Ｕ_Ａは、補助情報d_i1=H_i(X₁,U_B)、d_i2=H_i(X₂,U_B)、e_i1=H_i(Y₁,U_A)、e_i2=H_i(Y₂,U_A)を計算する補助情報生成部１８を有していても良い。

情報共有装置Ｕ_Ａの共有情報生成部１６は、H’(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算して、その計算結果を共有情報Kとする（ステップＡ６）。この共有情報Kは、例えば認証鍵として用いられる。

このようにして、情報共有が行われる。

［第三実施形態］
まず、第三実施形態のアルゴリズムである長期鍵二重化ＮＡＸＯＳについて説明する。

『長期鍵二重化ＮＡＸＯＳ』
長期鍵二重化ＮＡＸＯＳは、次のような方式である。長期鍵二重化ＮＡＸＯＳの概要を図９に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H:{0,1}^*→Z_p及びH’:{0,1}^*→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a₁,a₂∈Z_pを計算し、長期公開鍵A₁=g^a1,A₂=g^a2を公開する。鍵生成者は、同様にユーザU_Bに対して、長期秘密鍵b₁,b₂∈Z_pを計算し、長期公開鍵B₁=g^b1,B₂=g^b2を公開する。

＜鍵交換＞長期秘密鍵a₁,a₂をもつユーザU_Aと、長期秘密鍵b₁,b₂をもつユーザU_Bは、以下のようにして認証鍵交換を行い共有情報Kを共有する。共有情報Kは、例えば共有鍵として用いられる。

１．ユーザU_Aは、短期秘密鍵x∈Z_pをランダムに選び、x~₁=H(x,a₁),x~₂=H(x,a₂)を計算し、短期公開鍵をX₁=g^x~1,X₂=g^x~2とし、ユーザU_Bに送る。

２．ユーザU_Bは、X₁,X₂を受信し、短期秘密鍵y∈Z_pをランダムに選び、y~₁=H(y,b₁), y~₂=H(y,b₂)を計算し、短期公開鍵をY₁=g^y~1,Y₂=g^y~2とし、ユーザU_Aに送る。

ユーザU_Bは、σ₁=A₁ ^y~1、σ₁’=A₂ ^y~1、σ₂=A₁ ^y~2、σ₂’=A₂ ^y~2、σ₃=X₁ ^b1、σ₃’=X₂ ^b1、σ₄=X₁ ^b2、σ₄’=X₂ ^b2、σ₅=X₁ ^y~1、σ₅’=X₁ ^y~2、σ₆=X₂ ^y~1、σ₆’=X₂ ^y~2を計算し、K=H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を得る。

U_Aは、ユーザU_A（情報共有装置Ｕ_Ａ）に対応する所定の値である。同様に、U_Bは、ユーザU_B（情報共有装置Ｕ_Ｂ）に対応する所定の値である。

３．ユーザU_Aは、Yを受信し、σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算し、共有情報K=H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を得る。

共有秘密情報は両方のユーザが計算した
σ₁=g^y~1a1,σ₁’=g^y~1a2,σ₂=g^y~2a1,σ₂’=g^y~2a2,σ₃=g^x~1b1,σ₃’=g^x~1b2,σ₄=g^x~2b1,σ₄’=g^x~2b2,σ₅=g^x~1y~1,σ₅’=g^x~1y~2,σ₆=g^x~2y~1,σ₆’=g^x~2y~2から得られるので、両者で計算した共有鍵K は一致する。

次に、上記『長期鍵二重化ＮＡＸＯＳ』の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。

情報共有装置Ｕ_Ａが『長期鍵二重化ＮＡＸＯＳ』の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが『長期鍵二重化ＮＡＸＯＳ』の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、短期公開鍵生成部１２、送信部１３、受信部１４、共有秘密情報生成部１５、共有情報生成部１６、破線で示したハッシュ値計算部１７を例えば含む。

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、短期公開鍵生成部２２、送信部２３、受信部２４、共有秘密情報生成部２５、共有情報生成部２６、破線で示したハッシュ値計算部２７を例えば含む。

情報共有の前に、ハッシュ関数H、セキュリティパラメータk、群G及び生成元g等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。

また、情報共有の前に、情報共有装置Ｕ_Ａには、長期秘密鍵a₁,a₂及び長期公開鍵A₁,A₂が予め定められ、必要に応じて記憶部１０に記憶されているものとする。同様に、情報共有の前に、情報共有装置Ｕ_Ｂには、長期秘密鍵b₁,b₂及び長期公開鍵B₁,B₂が予め定められ、必要に応じて記憶部１０に記憶されているものとする。長期秘密鍵a₁,a₂,b₁,b₂及び長期公開鍵A₁,A₂,B₁,B₂の計算は、鍵生成装置３（図１）により行われる。

これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて以下に説明する計算が行われる。

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに元を選び短期秘密鍵xとする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵xは、ハッシュ値計算部１７に送信される。

情報共有装置Ｕ_Ａのハッシュ値計算部１７は、x~₁=H(x,a₁),x~₂=H(x,a₂)を計算する（ステップＡ７）。計算されたハッシュ値x~₁,x~₂は、短期公開鍵生成部１２及び共有秘密情報生成部１５に送信される。

情報共有装置Ｕ_Ａの短期公開鍵生成部１２は、計算されたハッシュ値x~₁,x~₂をそれぞれ用いて短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する（ステップＡ２）。短期公開鍵X₁,X₂は、共有秘密情報生成部１５及び送信部１３に送信される。

情報共有装置Ｕ_Ａの送信部１３は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する（ステップＡ３）。

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに元を選び短期秘密鍵yとする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵yは、ハッシュ値計算部２７に送信される。

情報共有装置Ｕ_Ｂのハッシュ値計算部２７は、y~₁=H(y,b₁),y~₂=H(y,b₂)を計算する。計算されたハッシュ値y~₁,y~₂は、短期公開鍵生成部２２及び共有秘密情報生成部２５に送信される。

情報共有装置Ｕ_Ｂの短期公開鍵生成部２２は、ハッシュ値y~₁,y~₂をそれぞれ用いて短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する（ステップＢ７）。短期公開鍵Y₁,Y₂は、共有秘密情報生成部２５及び送信部２３に送信される。

情報共有装置Ｕ_Ｂの送信部２３は、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する（ステップＢ４）。

情報共有装置Ｕ_Ｂの受信部２４は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する（ステップＢ５）。

情報共有装置Ｕ_Ｂの共有秘密情報生成部２５は、１２個の共有秘密情報σ₁=A₁ ^y~1、σ₁’=A₂ ^y~1、σ₂=A₁ ^y~2、σ₂’=A₂ ^y~2、σ₃=X₁ ^b1、σ₃’=X₂ ^b1、σ₄=X₁ ^b2、σ₄’=X₂ ^b2、σ₅=X₁ ^y~1、σ₅’=X₁ ^y~2、σ₆=X₂ ^y~1、σ₆’=X₂ ^y~2を計算する（ステップＢ６）。計算された共有秘密情報は、共有情報生成部２６に送信される。

情報共有装置Ｕ_Ｂの共有情報生成部２６は、H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算して、その計算結果を共有情報Kとする（ステップＢ７）。この共有情報Kは、例えば認証鍵として用いられる。

情報共有装置Ｕ_Ａの受信部１４（図２）は、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ｂから受信する（ステップＡ４）。

情報共有装置Ｕ_Ａの共有秘密情報生成部１５は、σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する（ステップＡ５）。計算された共有秘密情報は、共有情報生成部１６に送信される。

情報共有装置Ｕ_Ａの共有情報生成部１６は、H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算して、その計算結果を共有情報Kとする（ステップＡ６）。この共有情報Kは、例えば認証鍵として用いられる。

このようにして、情報共有が行われる。

［第四実施形態］
まず、第四実施形態のアルゴリズムである短期鍵二重化ＮＡＸＯＳについて説明する。

『短期鍵二重化ＮＡＸＯＳ』
短期鍵二重化ＮＡＸＯＳは、次のような方式である。短期鍵二重化ＮＡＸＯＳの概要を図１０に示す。

＜公開パラメータ＞Gをkbitの素数位数pの巡回群、gをGの生成元、H:{0,1}^*→Z_p及びH’:{0,1}^*→{0,1}^kをハッシュ関数とする。

＜鍵生成＞鍵生成者は、ユーザU_Aに対して、長期秘密鍵a∈Z_pを計算し、長期公開鍵A=g^aを公開する。同様に、鍵生成者は、ユーザU_Bに対して、長期秘密鍵b∈Z_pを計算し、長期公開鍵B=g^bを公開する。

＜鍵交換＞長期秘密鍵aをもつユーザU_Aと、長期秘密鍵bをもつユーザU_Bは、以下のようにして認証鍵交換を行い共有情報Kを共有する。

１．ユーザU_Aは、短期秘密鍵x₁,x₂∈Zpをランダムに選び、x~₁=H(x₁,a)、x~₂=H(x₂,a)を計算し、短期公開鍵をX₁=g^x~1,X₂=g^x~2とし、ユーザU_Bに送る。

２．ユーザU_Bは、X₁,X₂を受信し、短期秘密鍵y₁,y₂∈Z_pをランダムに選び、y~₁=H(y₁,b)、y~₂=H(y₂,b)を計算し、短期公開鍵をY₁=g^y~1,Y₂=g^y~2とし、ユーザU_Aに送る。

ユーザU_Bは、σ₁=A^y~1、σ₁’=A^y~2、σ₂=X₁ ^b、σ₂’=X₂ ^b、σ₃=X₁ ^y~1、σ₃’=X₂ ^y~1、σ₄=X₁ ^y~2、σ₄’=X₂ ^y~2を計算し、共有情報K=H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を得る。

U_Aは、ユーザU_A（情報共有装置Ｕ_Ａ）に対応する所定の値である。同様に、U_Bは、ユーザU_B（情報共有装置Ｕ_Ｂ）に対応する所定の値である。

３．ユーザU_Aは、Y₁,Y₂を受信し、σ₁=Y₁ ^a、σ₁’=Y₂ ^a、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2を計算し、共有情報K=H′(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を得る。

共有秘密情報は両方のユーザが計算した
σ₁=g^y~1a,σ₁’=g^y~2a,σ₂=g^x~1b,σ₂’=g^x~2b,σ₃=g^x~1y~1,σ₃’=g^x~2y~1,σ₄=g^x~1y~2,σ₄’=g^x~2y~2
から得られるので、両者で計算した共有情報Kは一致する。

次に、上記『短期鍵二重化ＮＡＸＯＳ』の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。

情報共有装置Ｕ_Ａが『短期鍵二重化ＮＡＸＯＳ』の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが『短期鍵二重化ＮＡＸＯＳ』の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、短期公開鍵生成部１２、送信部１３、受信部１４、共有秘密情報生成部１５、共有情報生成部１６、破線で示したハッシュ値計算部１７を例えば含む。

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、短期公開鍵生成部２２、送信部２３、受信部２４、共有秘密情報生成部２５、共有情報生成部２６、破線で示したハッシュ値計算部２７を例えば含む。

情報共有の前に、ハッシュ関数H、セキュリティパラメータk、群G及び生成元g等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。

また、情報共有の前に、情報共有装置Ｕ_Ａには、長期秘密鍵a及び長期公開鍵Aが予め定められ、必要に応じて記憶部１０に記憶されているものとする。同様に、情報共有の前に、情報共有装置Ｕ_Ｂには、長期秘密鍵b及び長期公開鍵Bが予め定められ、必要に応じて記憶部１０に記憶されているものとする。長期秘密鍵a,b及び長期公開鍵A,Bの計算は、鍵生成装置３（図１）により行われる。

これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて以下に説明する計算が行われる。

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x₁,x₂∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵x₁,x₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵x₁,x₂は、ハッシュ値計算部１７に送信される。

情報共有装置Ｕ_Ａのハッシュ値計算部１７は、x~₁=H(x₁,a),x~₂=H(x₂,a)を計算する（ステップＡ７）。計算されたハッシュ値x~₁,x~₂は、短期公開鍵生成部１２及び共有秘密情報生成部１５に送信される。

情報共有装置Ｕ_Ａの短期公開鍵生成部１２は、計算されたハッシュ値x~₁,x~₂をそれぞれ用いて短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する（ステップＡ２）。短期公開鍵X₁,X₂は、共有秘密情報生成部１５及び送信部１３に送信される。

情報共有装置Ｕ_Ａの送信部１３は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する（ステップＡ３）。

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y₁,y₂∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに２つの元を選び短期秘密鍵y₁,y₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵y₁,y₂は、ハッシュ値計算部２７に送信される。

情報共有装置Ｕ_Ｂのハッシュ値計算部２７は、y~₁=H(y₁,b),y~₂=H(y₂,b)を計算する。計算されたハッシュ値y~₁,y~₂は、短期公開鍵生成部２２及び共有秘密情報生成部２５に送信される。

情報共有装置Ｕ_Ｂの短期公開鍵生成部２２は、ハッシュ値y~₁,y~₂をそれぞれ用いて短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する（ステップＢ７）。短期公開鍵Y₁,Y₂は、共有秘密情報生成部２５及び送信部２３に送信される。

情報共有装置Ｕ_Ｂの送信部２３は、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する（ステップＢ４）。

情報共有装置Ｕ_Ｂの受信部２４は、短期公開鍵X₁,X₂を情報共有装置Ｕ_Ａから受信する（ステップＢ５）。

情報共有装置Ｕ_Ｂの共有秘密情報生成部２５は、計８個の共有秘密情報σ₁=A^y~1、σ₁’=A^y~2、σ₂=X₁ ^b、σ₂’=X₂ ^b、σ₃=X₁ ^y~1、σ₃’=X₂ ^y~1、σ₄=X₁ ^y~2、σ₄’=X₂ ^y~2を計算する（ステップＢ６）。計算された共有秘密情報は、共有情報生成部２６に送信される。

情報共有装置Ｕ_Ｂの共有情報生成部２６は、H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算して、その計算結果を共有情報Kとする（ステップＢ７）。この共有情報Kは、例えば認証鍵として用いられる。

情報共有装置Ｕ_Ａの受信部１４（図２）は、短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ｂから受信する（ステップＡ４）。

情報共有装置Ｕ_Ａの共有秘密情報生成部１５は、σ₁=Y₁ ^a~1、σ₁’=Y₁ ^a~2、σ₂=Y₂ ^a~1、σ₂’=Y₂ ^a~2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する（ステップＡ５）。計算された共有秘密情報は、共有情報生成部１６に送信される。

情報共有装置Ｕ_Ａの共有情報生成部１６は、H’(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算して、その計算結果を共有情報Kとする（ステップＡ６）。この共有情報Kは、例えば認証鍵として用いられる。

このようにして、情報共有が行われる。

［変形例等］
情報共有装置Ｕ_Ａの各部間のデータのやり取りは直接行われてもよいし、記憶部１０を介して行われてもよい。同様に、情報共有装置Ｕ_Ｂの各部間のデータのやり取りは直接行われてもよいし、記憶部２０を介して行われてもよい。

上記の例では、共有情報生成部１６及び共有情報生成部２６は、ハッシュ関数H’を用いたが、任意の予め定められた関数Fを用いて共有情報を求めてもよい。すなわち、第一実施形態及び第二実施形態においてはF(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算してその計算結果を共有情報kとしても良いし、第三実施形態においてはF(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算してその計算結果を共有情報kとしても良いし、第四実施形態においては、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算してその計算結果を共有情報kとしても良い。

その他、この発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

［安全性の証明］
このように、長期秘密鍵又は短期秘密鍵を二重化し、共有情報を計算するための共有秘密情報であって長期秘密鍵又は短期秘密鍵に由来する共有秘密情報を短期秘密鍵ごとに計算する。これにより、ギャップ問題の難しさを仮定することなく探索問題の難しさをのみを仮定することで安全性を証明することができる。以下、その安全性の証明の概要を説明する。

まず、探索問題（探索Diffie-Hellman問題）及びギャップ問題（ギャップDiffie-Hellman問題）の定義を説明する。

探索Diffie-Hellman問題：κをセキュリティパラメータとし、pをκビット素数とする。Gをgを生成元とする位数pの巡回群とする。Diffie-Hellman関数CDH:G²→GをCDH(g^u,g^v)=g^uvとして定義し、判定Diffie-Hellman述語オラクルDDH:G³→{0,1}を(g^u,g^v,g^w)を入力としuv=w mod pが成り立つとき1を出力し、そうでなければ0を出力する関数として定義する。

解答者Sは、一様ランダムに選ばれたU=g^u,V=g^v∈Gと判定Diffie-Hellman述語オラクルDDH(・,・,・)へのアクセスを入力され、CDH(U,V)の出力を試みる。解答者Sのアドバンテージを次のように定義する。

ADV^GDH(S)=Pr[U,V∈G,S^{DDH(・,・,・)}(g,U,V)=CDH(U,V)],
ADV^GDH(S)が無視できない確率であるとき、解答者SはギャップDiffie-Hellman問題を解いたという。

ギャップ問題は上記のように判定オラクルのヒント付きの探索問題とみなせるので、ギャップ問題の方が真に易しい。

鍵交換方式（情報共有方式）の安全性証明を行う際は、「ギャップ問題、もしくは探索問題を解くことが難しいことを仮定すると、情報共有方式への攻撃者が存在しない」ことを示す必要がある。これは、対偶を取ることにより、「情報共有方式への攻撃者が存在すると仮定すると、問題を解く解答者を構成できる」ことを示すことと同値である。従って、安全性証明では実際に攻撃者から解答者を構成する必要がある。そのためには解答者は攻撃者を実際の攻撃環境と見分けがつかないように動作させなければならない。

HMQVでは、攻撃者が出力したσに対してσ=(XA^d)^y+ebを解答者が検証し、結果に応じて動作を変えねばならない。しかし、解答者はyとbを知ることができないので、自分で上記の検証を行うことができない。よって、判定オラクルに(XA^d,YB^e,σ)を聞き、検証式が成り立つかどうかの答えをもらうことによって証明を行う。このためギャップ問題の難しさを仮定する必要がある。

一方、第一実施形態の『長期鍵二重化HMQV』では、任意のsとrについて、解答者は証明中でa₂=s-ra₁と設定することでσ₁=(XA₁ ^d)^y+eb1、σ₁’=(XA₁ ^d)^y+eb2、σ₂=(XA₂ ^d)^y+eb1、σ₂’=(XA₂ ^d)^y+eb2の検証をyとb₁,b₂を知ること無しに行うことができる。具体的には、σ₁ ^rσ₂=(YB₁ ^e)^sの真理値がσ₁=(XA₁ ^d)^y+eb1∧σ₂=(XA₂ ^d)^y+eb1の真理値と一致することを利用して検証を行う。このテクニックは落とし戸試験と呼ばれる。

σ₁ ^rσ₂=(YB₁ ^e)^sは解答者の持つ情報のみで検証できるため、判定オラクルは不要であり、ギャップ問題の難しさを仮定する必要が無くなる。同様に、σ₁’^rσ₂’=(YB₂ ^e)^sの落とし戸試験を行うことで、σ₁’=(XA₁ ^d)^y+eb2∧σ₂’=(XA₂ ^d)^y+eb2の検証を行うことができる。

第二実施形態の『短期鍵二重化HMQV』でも同様に、シミュレータは証明中でx₂=s-rx₁と設定し、σ₁ ^rσ₂=(Y₁B^e1)^sとσ₁’^rσ₂’=(Y₂B^e2)^sの落とし戸試験を行うことによって、判定オラクル無しでσ₁=(X₁A^d1)^y1+e1b、σ₁’=(X₁A^d1)^y2+e2b、σ₂=(X₂A^d2)^y1+e1b、σ₂’=(X₂A^d2)^y2+e2bの検証を行うことができる。

第三実施形態の『長期鍵二重化NAXOS』でも同様に、シミュレータは証明中でa₂=s-ra₁、およびx~₂=s’-r’x~₁と設定し、σ₁ ^rσ₁’=Y₁ ^s、σ₂ ^rσ₂’=Y₂ ^s、σ₅ ^r’σ₅’=Y₁ ^s′、σ₆ ^r’σ₆’=Y₂ ^s’の落とし戸試験を行うことによって、判定オラクル無しでσ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₅=Y₁ ^x~1、σ₅’=Y₁ ^x~2、σ₆=Y₂ ^x~1、σ₆’=Y₂ ^x~2の検証を行うことができる。

第四実施形態の『短期鍵二重化NAXOS』でも同様に、シミュレータは証明中でx~₂=s-rx~₁と設定し、σ₁ ^rσ₁’=A^s、σ₂ ^rσ₂’=B^s、σ₃ ^rσ₃’=Y₁ ^s、σ₄ ^rσ₄’=Y₂ ^sの落とし戸試験を行うことによって、判定オラクル無しでσ₁=A^y~1、σ₁’=A^y~2、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2の検証を行うことができる。

Ｕ_Ａ 情報共有装置
１０ 記憶部
１１ 短期秘密鍵生成部
１２ 短期公開鍵生成部
１３ 送信部
１４ 受信部
１５ 共有秘密情報生成部
１６ 共有情報生成部
１７ ハッシュ値計算部
１８ 補助情報生成部
Ｕ_Ｂ 情報共有装置
２０ 記憶部
２１ 短期秘密鍵生成部
２２ 短期公開鍵生成部
２３ 送信部
２４ 受信部
２５ 共有秘密情報生成部
２６ 共有情報生成部
２７ ハッシュ値計算部
２８ 補助情報生成部

Claims (16)

1. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i,e_iを所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵として、
   短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をX=g^xを計算する短期公開鍵生成部と、上記短期公開鍵Xを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Yを上記情報共有装置Ｕ_Ｂから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
   短期秘密鍵y∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をY=g^yを計算する短期公開鍵生成部と、上記短期公開鍵Yを情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵Xを上記情報共有装置Ｕ_Ａから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(XA₁ ^di)^y+eib1、σ_i1’=(XA₁ ^di)^y+eib2、σ_i2=(XA₂ ^di)^y+eib1、σ_i2’=(XA₂ ^di)^y+eib2を計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
   を含む情報共有システム。
2. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i1,d_i2,e_i1,e_i2を所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^aを情報共有装置Ｕ_Ｂの長期公開鍵として、
   短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をX₁=g^x1,X₂=g^x2を計算する短期公開鍵生成部と、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
   短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成部と、短期公開鍵をY₁=g^y1,Y₂=g^y2を計算する短期公開鍵生成部と、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信部と、1≦i≦nのそれぞれのiについてのσ_i1=(X₁A^di1)^y1+ei1b、σ_i1’=(X₁A^di1)^y2+ei2b、σ_i2=(X₂A^di2)^y1+ei1b、σ_i2’=(X₂A^di2)^y2+ei2bを計算する共有秘密情報計算部と、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
   を含む情報共有システム。
3. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
   短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、x~₁=H(x,a₁),x~₂=H(x,a₂)を計算するハッシュ値計算部と、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
   短期秘密鍵y∈Z_pを生成する短期秘密鍵生成部と、y~₁=H(y,b₁),y~₂=H(y,b₂)を計算するハッシュ値計算部と、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成部と、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信部と、nを正の整数とし、1≦i≦nのそれぞれのiについてのσ₁=A₁ ^y~1、σ₁’=A₂ ^y~1、σ₂=A₁ ^y~2、σ₂’=A₂ ^y~2、σ₃=X₁ ^b1、σ₃’=X₂ ^b1、σ₄=X₁ ^b2、σ₄’=X₂ ^b2、σ₅=X₁ ^y~1、σ₅’=X₁ ^y~2、σ₆=X₂ ^y~1、σ₆’=X₂ ^y~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
   を含む情報共有システム。
4. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^bを情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
   短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、x~₁=H(x₁,a)、x~₂=H(x₂,a)を計算するハッシュ値計算部と、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、σ₁=Y₁ ^a、σ₁’=Y₂ ^a、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
   短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成部と、y~₁=H(y₁,b)、y~₂=H(y₂,b)を計算するハッシュ値計算部と、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成部と、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信部と、σ₁=A^y~1、σ₁’=A^y~2、σ₂=X₁ ^b、σ₂’=X₂ ^b、σ₃=X₁ ^y~1、σ₃’=X₂ ^y~1、σ₄=X₁ ^y~2、σ₄’=X₂ ^y~2を計算する共有秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
   を含む情報共有システム。
5. 請求項１の情報共有システムにおいて、
   U_Aを上記情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを上記情報共有装置Ｕ_Ｂに対応する所定の値として、
   上記d_i=H_i(X,U_B)であり、上記e_i=H_i(Y,U_A)である、
   情報共有システム。
6. 請求項２の情報共有システムにおいて、
   U_Aを上記情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを上記情報共有装置Ｕ_Ｂに対応する所定の値として、
   上記d_i1=H_i(X₁,U_B)であり、上記d_i2=H_i(X₂,U_B)であり、上記e_i1=H_i(Y₁,U_A)であり、上記e_i2=H_i(Y₂,U_A)である、
   情報共有システム。
7. 請求項１から６の情報共有システムにおいて、
   上記関数Fは、ハッシュ関数H’:{0,1}^*→{0,1}である、
   情報共有システム。
8. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i,e_iを所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵として、
   情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ａの短期公開鍵生成部が、短期公開鍵をX=g^xを計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵Xを情報共有装置Ｕ_Ｂに送信する送信ステップと、
   情報共有装置Ｕ_Ａの受信部が、短期公開鍵Yを上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
   情報共有装置Ｕ_Ａの共有秘密情報計算部が、1≦i≦nのそれぞれのiについてのσ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算する共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成ステップと、
   情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ｂの短期公開鍵生成部が、短期公開鍵をY=g^yを計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵Yを情報共有装置Ｕ_Ａに送信する送信ステップと、
   情報共有装置Ｕ_Ｂの受信部が、短期公開鍵Xを上記情報共有装置Ｕ_Ａから受信する受信ステップと、
   情報共有装置Ｕ_Ｂの共有秘密情報計算部が、1≦i≦nのそれぞれのiについてのσ_i1=(XA₁ ^di)^y+eib1、σ_i1’=(XA₁ ^di)^y+eib2、σ_i2=(XA₂ ^di)^y+eib1、σ_i2’=(XA₂ ^di)^y+eib2を計算する共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成ステップと、
   を含む情報共有方法。
9. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i1,d_i2,e_i1,e_i2を所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^aを情報共有装置Ｕ_Ｂの長期公開鍵として、
   情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ａの短期公開鍵生成部が、短期公開鍵をX₁=g^x1,X₂=g^x2を計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信ステップと、
   情報共有装置Ｕ_Ａの受信部が、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
   情報共有装置Ｕ_Ａの共有秘密情報計算部が、1≦i≦nのそれぞれのiについてのσ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算する共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成ステップと、
   情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成ステップと、
   情報共有装置Ｕ_Ｂの短期公開鍵生成部が、短期公開鍵をY₁=g^y1,Y₂=g^y2を計算する短期公開鍵生成ステップと、
   情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信ステップと、
   情報共有装置Ｕ_Ｂの受信部が、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信ステップと、
   情報共有装置Ｕ_Ｂの共有秘密情報計算部が、1≦i≦nのそれぞれのiについてのσ_i1=(X₁A^di1)^y1+ei1b、σ_i1’=(X₁A^di1)^y2+ei2b、σ_i2=(X₂A^di2)^y1+ei1b、σ_i2’=(X₂A^di2)^y2+ei2bを計算する共有秘密情報計算ステップと、
   情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成ステップと、
   を含む情報共有方法。
10. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
    情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x∈Z_pを生成する短期秘密鍵生成ステップと、
    情報共有装置Ｕ_Ａのハッシュ値計算部が、x~₁=H(x,a₁),x~₂=H(x,a₂)を計算するハッシュ値計算ステップと、
    情報共有装置Ｕ_Ａの短期公開鍵生成部が、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成ステップと、
    情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信ステップと、
    情報共有装置Ｕ_Ａの受信部が、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
    情報共有装置Ｕ_Ａの共有秘密情報計算部が、σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する共有秘密情報計算ステップと、
    情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成ステップと、
    情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y∈Z_pを生成する短期秘密鍵生成ステップと、
    情報共有装置Ｕ_Ｂのハッシュ値計算部が、y~₁=H(y,b₁),y~₂=H(y,b₂)を計算するハッシュ値計算ステップと、
    情報共有装置Ｕ_Ｂの短期公開鍵生成部が、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成ステップと、
    情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信ステップと、
    情報共有装置Ｕ_Ｂの受信部が、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信ステップと、
    情報共有装置Ｕ_Ｂの共有秘密情報計算部が、nを正の整数とし、1≦i≦nのそれぞれのiについてのσ₁=A₁ ^y~1、σ₁’=A₂ ^y~1、σ₂=A₁ ^y~2、σ₂’=A₂ ^y~2、σ₃=X₁ ^b1、σ₃’=X₂ ^b1、σ₄=X₁ ^b2、σ₄’=X₂ ^b2、σ₅=X₁ ^y~1、σ₅’=X₁ ^y~2、σ₆=X₂ ^y~1、σ₆’=X₂ ^y~2を計算する共有秘密情報計算ステップと、
    情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成ステップと、
    を含む情報共有方法。
11. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^bを情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
    情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成ステップと、
    情報共有装置Ｕ_Ａのハッシュ値計算部が、x~₁=H(x₁,a)、x~₂=H(x₂,a)を計算するハッシュ値計算ステップと、
    情報共有装置Ｕ_Ａの短期公開鍵生成部が、短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成ステップと、
    情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信ステップと、
    情報共有装置Ｕ_Ａの受信部が、短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
    情報共有装置Ｕ_Ａの共有秘密情報計算部が、σ₁=Y₁ ^a、σ₁’=Y₂ ^a、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2を計算する共有秘密情報計算ステップと、
    情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算する共有情報生成ステップと、
    情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y₁,y₂∈Z_pを生成する短期秘密鍵生成ステップと、
    情報共有装置Ｕ_Ｂのハッシュ値計算部が、y~₁=H(y₁,b)、y~₂=H(y₂,b)を計算するハッシュ値計算ステップと、
    情報共有装置Ｕ_Ｂの短期公開鍵生成部が、短期公開鍵Y₁=g^y~1,Y₂=g^y~2を計算する短期公開鍵生成ステップと、
    情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵Y₁,Y₂を情報共有装置Ｕ_Ａに送信する送信ステップと、
    情報共有装置Ｕ_Ｂの受信部が、短期公開鍵X₁,X₂を上記情報共有装置Ｕ_Ａから受信する受信ステップと、
    情報共有装置Ｕ_Ｂの共有秘密情報計算部が、σ₁=A^y~1、σ₁’=A^y~2、σ₂=X₁ ^b、σ₂’=X₂ ^b、σ₃=X₁ ^y~1、σ₃’=X₂ ^y~1、σ₄=X₁ ^y~2、σ₄’=X₂ ^y~2を計算する共有秘密情報計算ステップと、
    情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成ステップと、
    を含む情報共有方法。
12. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i,e_iを所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵として、
    短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、
    短期公開鍵をX=g^xを計算する短期公開鍵生成部と、
    上記短期公開鍵Xを情報共有装置Ｕ_Ｂに送信する送信部と、
    短期公開鍵Yを上記情報共有装置Ｕ_Ｂから受信する受信部と、
    1≦i≦nのそれぞれのiについてのσ_i1=(YB₁ ^ei)^x+dia1、σ_i1’=(YB₂ ^ei)^x+dia1、σ_i2=(YB₁ ^ei)^x+dia2、σ_i2’=(YB₂ ^ei)^x+dia2を計算する共有秘密情報計算部と、
    F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、
    を含む情報共有装置Ｕ_Ａである情報共有装置。
13. nを正の整数とし、1≦i≦nとし、H_i:{0,1}^*→Z_pをハッシュ関数とし、d_i1,d_i2,e_i1,e_i2を所定の定数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^aを情報共有装置Ｕ_Ｂの長期公開鍵として、
    短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、
    短期公開鍵をX₁=g^x1,X₂=g^x2を計算する短期公開鍵生成部と、
    上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、
    短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、
    1≦i≦nのそれぞれのiについてのσ_i1=(Y₁B^ei1)^x1+di1a、σ_i1’=(Y₂B^ei2)^x1+di1a、σ_i2=(Y₁B^ei1)^x2+di2a、σ_i2’=(Y₂B^ei2)^x2+di2aを計算する共有秘密情報計算部と、
    F(σ₁₁,σ₁₁’,σ₁₂,σ₁₂’,…,σ_n1,σ_n1’,σ_n2,σ_n2’)を計算する共有情報生成部と、
    を含む情報共有装置Ｕ_Ａである情報共有装置。
14. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a₁,a₂∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A₁=g^a1,A₂=g^a2を情報共有装置Ｕ_Ａの長期公開鍵とし、b₁,b₂∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B₁=g^b1,B₂=g^b2を情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
    短期秘密鍵x∈Z_pを生成する短期秘密鍵生成部と、
    x~₁=H(x,a₁),x~₂=H(x,a₂)を計算するハッシュ値計算部と、
    短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、
    上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、
    短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、
    σ₁=Y₁ ^a1、σ₁’=Y₁ ^a2、σ₂=Y₂ ^a1、σ₂’=Y₂ ^a2、σ₃=B₁ ^x~1、σ₃’=B₁ ^x~2、σ₄=B₂ ^x~1、σ₄’=B₂ ^x~2、σ₅=Y₁ ^x~1、σ₅’=Y₂ ^x~1、σ₆=Y₁ ^x~2、σ₆’=Y₂ ^x~2を計算する共有秘密情報計算部と、
    F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,σ₅,σ₅’,σ₆,σ₆’,U_A,U_B)を計算する共有情報生成部と、
    を含む情報共有装置Ｕ_Ａである情報共有装置。。
15. H:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数とし、セキュリティパラメータkを正の整数とし、Gをkbitの素数位数pの巡回群、gをGの生成元とし、a∈Z_pを情報共有装置Ｕ_Ａの長期秘密鍵とし、A=g^aを情報共有装置Ｕ_Ａの長期公開鍵とし、b∈Z_pを情報共有装置Ｕ_Ｂの長期秘密鍵とし、B=g^bを情報共有装置Ｕ_Ｂの長期公開鍵とし、U_Aを情報共有装置Ｕ_Ａに対応する所定の値とし、U_Bを情報共有装置Ｕ_Ｂに対応する所定の値として、
    短期秘密鍵x₁,x₂∈Z_pを生成する短期秘密鍵生成部と、
    x~₁=H(x₁,a)、x~₂=H(x₂,a)を計算するハッシュ値計算部と、
    短期公開鍵X₁=g^x~1,X₂=g^x~2を計算する短期公開鍵生成部と、
    上記短期公開鍵X₁,X₂を情報共有装置Ｕ_Ｂに送信する送信部と、
    短期公開鍵Y₁,Y₂を上記情報共有装置Ｕ_Ｂから受信する受信部と、
    σ₁=Y₁ ^a、σ₁’=Y₂ ^a、σ₂=B^x~1、σ₂’=B^x~2、σ₃=Y₁ ^x~1、σ₃’=Y₁ ^x~2、σ₄=Y₂ ^x~1、σ₄’=Y₂ ^x~2を計算する共有秘密情報計算部と、
    F(σ₁,σ₁’,σ₂,σ₂’,σ₃,σ₃’,σ₄,σ₄’,U_A,U_B)を計算する共有情報生成部と、
    を含む情報共有装置Ｕ_Ａである情報共有装置。
16. 請求項１２から１５の何れかに記載の情報共有装置の各部としてコンピュータを機能させるためのプログラム。

Images