JP5643251B2 - 秘密情報通知システム、秘密情報通知方法、プログラム - Google Patents

Description

本発明は、パスワードや秘密鍵などの秘密情報をユーザに通知する秘密情報通知システム、秘密情報通知方法、プログラムに関する。

＜ＳＳＬ通信による秘密情報の通知＞
近年、様々なインターネットサービスが浸透するに従って、各サービスにログインするためのパスワードの管理が煩雑さを増している。従来、パスワード等の秘密情報の通知には、電子メールで通知サイトのＵＲＬを送付し、ユーザを通知サイトに誘導してＳＳＬ（Ｓｅｃｕｒｅ＿Ｓｏｃｋｅｔ＿Ｌａｙｅｒ）通信を行う方法が多く用いられていた。この手法は、通知サイトのＵＲＬ（Ｕｎｉｆｏｒｍ＿Ｒｅｓｏｕｒｃｅ＿Ｌｏｃａｔｏｒ）が他者に知られてしまうと、すなわち他者に秘密情報が漏れてしまうため、サイトＵＲＬに有効期限を設ける方法や、アクセス回数制限を設ける方法を併用して、最低限の秘匿性を担保していた。

＜電子メールによる秘密情報の通知＞
一方、Ｓ／ＭＩＭＥ（Ｓｅｃｕｒｅ／Ｍｕｌｔｉｐｕｒｐｏｓｅ＿Ｉｎｔｅｒｎｅｔ＿Ｍａｉｌ＿Ｅｘｔｅｎｓｉｏｎｓ、ＭＩＭＥ規格でカプセル化した電子メールの公開鍵方式による暗号化とデジタル署名に関する標準規格）のように一般的な電子メール暗号化プロトコルを用いて、電子メールで秘密情報を通知するためには、全てのユーザが認証局に公開鍵を登録している必要があり、現実的でなかった。そこで、暗号化以外の方法で通信の秘匿性を高める方法が用いられてきた。例えば暗号化ファイルのパスワードを送る場合、暗号化ファイルを添付したメールとパスワード通知メールを別にして、各々の送信時刻をずらすといった方法が多く用いられる。

＜従来の暗号通信＞
通信内容を第三者に知られないように、安全に送信する暗号通信の方式として共通鍵暗号方式が知られている。共通鍵暗号方式では、送受信者間で共通鍵と呼ばれる数十〜数千ｂｉｔのビット列を共有しておく必要がある。従って、事前に共通鍵を送受信者間で共有しておくために、共通鍵を第三者に知られないように、安全に配送しなければならない。これを共通鍵の配送問題という。共通鍵の配送問題は、公開鍵暗号方式、公開鍵基盤（ＰＫＩ、Ｐｕｂｌｉｃ＿Ｋｅｙ＿Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の普及により解決されたと考えられている。しかし、公開鍵基盤を用いる場合には認証局への公開鍵登録が必要になるため、認証局への公開鍵登録を行わないユーザ間の通信の場合は公開鍵基盤は有効でない。これに対し、ＩＤベース暗号方式（ＩＢＥ、ＩＤ−Ｂａｓｅｄ＿Ｅｎｃｒｙｐｔｉｏｎ）では、ユーザの個人識別情報（ＩＤ）を利用して、任意のユーザに公開鍵を生成することを許容するため、個々のユーザ間で通信に先立って鍵を配布することなく、メッセージを暗号化することができる。ＩＤベース暗号方式は、認証済みの鍵を先行配布するのが不便な場合などに有用である。ＩＤベース暗号に関する文献として、例えば非特許文献１がある。

また、公開鍵暗号を発展させた概念として、関数型暗号方式が知られている。関数型暗号とは、暗号文と秘密鍵にそれぞれパラメータが関与し、そのパラメータ間にある論理関係が成立するかどうかが、ある秘密鍵を用いてある暗号文を復号できるための条件となるような暗号である。つまり、秘密鍵と暗号文の関係が（公開鍵暗号のような）単純に固定された関係ではなく、（高度な）論理式で規定されるような暗号である。関数型暗号方式として、例えば岡本−高島関数型暗号が知られている（非特許文献２）。

D.Boneh and M.franklin, "Identity-based encryption from the Weil pairing", CRYPTO 2001, LNCS 2139 Springer-Verlag, pp.213-229. 2001. Tatsuaki Okamoto and Katsuyuki Takashima, "Fully Secure Functional Encryption with General Relations from the Decisional Linear Assumption", CRYPTO 2010, LNCS 6223, Springer-Verlag, pp.191-208, 2010.

＜ＳＳＬ通信による秘密情報の通知の問題点＞
しかし、秘密情報の通知サイトのＵＲＬに有効期限・アクセス回数制限を設ける方法は、サイトＵＲＬを知らせるメールが期限・制限内に盗聴される可能性があり、脆弱であった。また、秘密情報の通知サイトへ誘導する電子メールはフィッシングサイトへ誘導する電子メールと区別が付きにくいという側面があり、上記方法を安心・安全に運用するためにはユーザのリテラシーに依る部分が大きかった。加えて、ユーザがＷＥＢブラウザを満足に使用できず、例えば電子メールしか使用できない場合には、通知サイトに誘導する上記方法は利用できないという問題があった。

＜電子メールによる秘密情報の通知の問題点＞
例えば暗号化ファイルのパスワードを送る場合に、暗号化ファイルを添付したメールとパスワード通知メールを別にして、各々の送信時刻をずらすことで秘密情報の秘匿を図る場合、暗号化ファイルのパスワードが通信路上を平文で流れるため、パスワードを知らせるメールが盗聴される可能性があり、脆弱であった。

＜従来の暗号通信の鍵配送問題＞
前述したＩＤベース暗号方式では、秘密鍵生成局（ＰＫＧ、Ｐｒｉｖａｔｅ＿Ｋｅｙ＿Ｇｅｎｅｒａｔｏｒ）と呼ばれる信頼された第三者がマスター公開鍵を公開し、マスター秘密鍵（以下ではマスター鍵と呼ぶ）を秘密に保持する。マスター公開鍵が与えられると、ユーザは個人識別情報（ＩＤ）に対応する公開鍵を、マスター公開鍵と個人識別情報から計算できる。対応する秘密鍵を得るには、個人識別情報（ＩＤ）と認証された参加者が秘密鍵生成局にアクセスする。この際、秘密鍵生成局はマスター秘密鍵を用いて個人識別情報（ＩＤ）に対応する秘密鍵を生成する。従って、ユーザが秘密鍵を得ようとする場合、秘密鍵生成局とユーザとの間で、秘密鍵の受け渡しを行わなければならないため、ＩＤベース暗号方式においても共通鍵暗号方式と類似の鍵配送問題が発生する。

このように、公開鍵暗号方式以外の暗号方式については、未解決の鍵配送問題が多く存在し、認証局への公開鍵登録を行わないユーザ間の通信においては、安全な鍵配送を如何にして行うかが重要な問題であった。

そこで、本発明は、事前の公開鍵登録を必要とせず、秘密情報を安全に通知することができる秘密情報通知システムを提供することを目的とする。

本発明の秘密情報通知システムは、ユーザ端末と秘密情報管理局とからなる。

ユーザ端末は、第１の暗号化部と、第１のシーケンス番号生成部と、第１のＭＡＣ生成部と、第１の送信部と、第１の受信部と、第１のＭＡＣ検証部と、第１の復号部とを備える。

第１の暗号化部は、共通鍵とＭＡＣ鍵とを生成し、共通鍵とＭＡＣ鍵とを秘密情報管理局のみが復号できる方式で暗号化する。第１のシーケンス番号生成部は、秘密情報申請回数を示す第１のシーケンス番号を生成する。第１のＭＡＣ生成部は、ユーザ端末の操作者を一意に特定する個人識別情報、暗号化された共通鍵、暗号化されたＭＡＣ鍵、及びシーケンス番号にＭＡＣ鍵を用いて第１のメッセージ認証コード（ＭＡＣ、以下同じ）を付与する。第１の送信部は、個人識別情報、暗号化された共通鍵、暗号化されたＭＡＣ鍵、および第１のＭＡＣを第１のメッセージとして秘密情報管理局に送信する。第１の受信部は、秘密情報管理局から暗号化された秘密情報、および第２のＭＡＣを含む第２のメッセージを受信する。第１のＭＡＣ検証部は、ＭＡＣ鍵を用いて第２のＭＡＣを検証して第２のメッセージの完全性を確認する。第１の復号部は、第２のメッセージの完全性が確認された場合に、共通鍵を用いて暗号化された秘密情報を復号する。

秘密情報管理局は、第２の受信部と、第２の復号部と、第２のシーケンス番号生成部と、第２のＭＡＣ検証部と、秘密情報選択生成部と、第２の暗号化部と、第２のＭＡＣ生成部と、第２の送信部とを備える。

第２の受信部は、ユーザ端末から第１のメッセージを受信する。第２の復号部は、暗号化された共通鍵、および暗号化されたＭＡＣ鍵を復号する。第２のシーケンス番号生成部は、秘密情報申請回数を示す第２のシーケンス番号を生成する。第２のＭＡＣ検証部は、復号されたＭＡＣ鍵と、第２のシーケンス番号を用いて第１のＭＡＣを検証して第１のメッセージの完全性を確認する。秘密情報選択生成部は、第１のメッセージの完全性が確認された場合に、個人識別情報を参照して、当該個人識別情報に対応する秘密情報を選択、または生成する。第２の暗号化部は、秘密情報を復号された共通鍵で暗号化する。第２のＭＡＣ生成部は、暗号化された秘密情報にＭＡＣ鍵を用いて第２のＭＡＣを付与する。第２の送信部は、暗号化された秘密情報、および第２のＭＡＣを第２のメッセージとしてユーザ端末に送信する。

本発明の秘密情報通知システムによれば、事前の公開鍵登録を必要とせず、秘密情報を安全に通知することができる。

実施例１の秘密情報通知システムの構成を示すブロック図。 実施例１の秘密情報通知システムの動作を示すシーケンス図。 実施例２の秘密情報通知システムの構成を示すブロック図。 実施例２の秘密情報通知システムの動作を示すシーケンス図。 実施例１の秘密情報通知システムの往路の暗号化にＩＤベース暗号を用い秘密情報を秘密鍵とした構成例の動作を示すシーケンス図。 実施例１の秘密情報通知システムの往路の暗号化にＩＤベース暗号を用い秘密情報をユーザのパスワードとした構成例の動作を示すシーケンス図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

以下、図１、図２を参照して実施例１の秘密情報通知システムについて説明する。図１は本実施例の秘密情報通知システム１０００の構成を示すブロック図である。図２は本実施例の秘密情報通知システム１０００の動作を示すシーケンス図である。

図１に示すとおり、本実施例の秘密情報通知システム１０００は、ユーザ端末１と秘密情報管理局２とからなる。ユーザ端末１、秘密情報管理局２はいずれも、例えばコンピュータにより実現される。ユーザはユーザ端末１を通じて、秘密情報管理局２と通信をすることができる。以下、ユーザは自己の個人識別情報に対応したユーザ向けの秘密情報を秘密に受け取りたいものとする。秘密情報管理局２は、ユーザの秘密情報（例えば、パスワード、秘密鍵など）を秘密に管理している。秘密情報管理局２は、ユーザ端末１が暗号化した情報を復号できる唯一の装置である。このような往路の暗号通信を実現する具体的な方法はいくつか考えられる。例えばＩＤベース暗号方式、岡本−高島関数型暗号方式などである。また、秘密情報管理局２は、全てのユーザが送信した暗号情報を復号することができる唯一の装置であるため、信頼できる機関により運営されている必要がある。なお、秘密情報管理局２によってユーザの本人確認は既に行われているものとする。

図１に示す通り、ユーザ端末１は、第１暗号化部１０と、第１シーケンス番号生成部１４５と、第１ＭＡＣ生成部１５０と、第１送信部１５５と、第１受信部１６０と、第１ＭＡＣ検証部１６５と、第１復号部１７０と、第１秘密情報記憶部１７５と、識別情報記憶部１８０とを備える。第１暗号化部１０は、共通鍵・暗号化共通鍵生成手段１０５と、共通鍵記憶手段１１０と、ＭＡＣ鍵・暗号化ＭＡＣ鍵生成手段１１５と、ＭＡＣ鍵記憶手段１２０とを備える。識別情報記憶部１８０には個人識別情報が記憶されている。個人識別情報は例えばユーザのメールアドレスとすることができる。個人識別情報はメールアドレス以外でもよく、ユーザを特定する一意な情報であれば特に制限はない。

第１暗号化部１０は、共通鍵とＭＡＣ鍵とを生成し、共通鍵とＭＡＣ鍵とを秘密情報管理局２のみが復号できる方式で暗号化する（Ｓ１０）。詳細には、共通鍵・暗号化共通鍵生成手段１０５が、共通鍵と、秘密情報管理局２のみが復号できる方式で暗号化された共通鍵とを生成する（ＳＳ１０５）。生成された共通鍵は、共通鍵記憶手段１１０に格納される。ＭＡＣ鍵・暗号化ＭＡＣ鍵生成手段１１５が、ＭＡＣ鍵と、秘密情報管理局２のみが復号できる方式で暗号化されたＭＡＣ鍵とを生成する（ＳＳ１１５）。生成されたＭＡＣ鍵は、ＭＡＣ鍵記憶手段１２０に格納される。共通鍵・暗号化共通鍵生成手段１０５、ＭＡＣ鍵・暗号化ＭＡＣ鍵生成手段１１５は、専用に構築したモジュール（例えば後述するＩＤ−ＰＳＥＣ−ＫＥＭ）などで、共通鍵、ＭＡＣ鍵の暗号化に用いる鍵の生成動作を介さずに、共通鍵、ＭＡＣ鍵と、これらの暗号化情報が同時に生成されるように実現することが可能である。共通鍵は秘密情報管理局２からの復路通信を秘匿する用途に用いられる。ＭＡＣ鍵は、往路復路双方の通信内容を認証する用途に用いられる。

次に、第１シーケンス番号生成部１４５は、秘密情報申請回数を示す第１のシーケンス番号を生成する（Ｓ１４５）。ユーザ端末１と秘密情報管理局２の間では、シーケンス番号が共有される。シーケンス番号とは、後述するリプレイ攻撃を防ぐ目的で生成される番号であり、ユーザ端末１と秘密情報管理局２の間で、事前にネゴシエーションの必要なく共有することができる必要がある。シーケンス番号を、例えばユーザの秘密情報申請回数としておけば、事前のネゴシエーションなしにシーケンス番号を共有することができる。

次に、第１ＭＡＣ生成部１５０は、個人識別情報、暗号化された共通鍵、暗号化されたＭＡＣ鍵、及びシーケンス番号にＭＡＣ鍵を用いて第１のＭＡＣを付与する（Ｓ１５０）。第１送信部１５５は、個人識別情報、暗号化された共通鍵、暗号化されたＭＡＣ鍵、および第１のＭＡＣを第１のメッセージとして秘密情報管理局２に送信する（Ｓ１５５）。

以下は、秘密情報管理局２の動作である。秘密情報管理局２は、第２受信部２１０と、第２復号部２０と、第２シーケンス番号生成部２３０と、第２ＭＡＣ検証部２３５と、第２秘密情報記憶部２４０と、秘密情報選択生成部２４５と、第２暗号化部２５０と、第２ＭＡＣ生成部２５５と、第２送信部２６０とを備える。第２復号部２０は、秘密鍵生成手段２２０と、復号手段２２５とを備える。

第２受信部２１０は、ユーザ端末１から第１のメッセージを受信する（Ｓ２１０）。第２復号部２０は、暗号化された共通鍵、および暗号化されたＭＡＣ鍵を復号する（Ｓ２０）より詳細には、秘密鍵生成手段２２０は、暗号化された共通鍵、および暗号化されたＭＡＣ鍵の復号に用いる秘密鍵を生成する（ＳＳ２２０）。復号手段２２５は、当該秘密鍵を用いて、暗号化された共通鍵、および暗号化されたＭＡＣ鍵を復号する（ＳＳ２２５）。次に、第２シーケンス番号生成部２３０は、秘密情報申請回数を示す第２のシーケンス番号を生成する（Ｓ２３０）。シーケンス番号としてユーザが秘密情報のリクエストを行った回数（秘密情報申請回数）を用いることで、事前の通信の必要なく、ユーザ端末１と秘密情報管理局２との間でシーケンス番号を共有することができる。これにより、後述するリプレイ攻撃を有効に防止することができる。第２ＭＡＣ検証部２３５は、復号されたＭＡＣ鍵と、第２のシーケンス番号を用いて第１のＭＡＣを検証して第１のメッセージの完全性を確認する（Ｓ２３５）。秘密情報選択生成部２４５は、第１のメッセージの完全性が確認された場合に、第１のメッセージに含まれる個人識別情報を参照して、当該個人識別情報に対応する秘密情報を選択、または生成する（Ｓ２４５）。秘密情報選択生成部２４５は、例えば、第２秘密情報記憶部２４０に、個人識別情報と対応する秘密情報とをリストとして記憶しておき、個人識別情報に対応する秘密情報を選択することとしても良い。または、秘密情報選択生成部２４５は、個人識別情報と対応する秘密情報に何らかの加工を加えても良い。また、秘密情報選択生成部２４５は、ユーザ向けの秘密情報を新たに生成することとしても良い。ユーザ向けの秘密情報は例えばパスワードでも良いし、秘密鍵でも良い。秘密情報がパスワードであれば、本発明の秘密情報通知システムはパスワードの通知サービスに利用可能である。秘密情報が秘密鍵や共通鍵であれば、本発明の秘密情報通知システムはセキュアに鍵を配送するサービスに利用可能である。第２暗号化部２５０は、秘密情報を復号された共通鍵で暗号化する（Ｓ２５０）。第２ＭＡＣ生成部２５５は、暗号化された秘密情報にＭＡＣ鍵を用いて第２のＭＡＣを付与する（Ｓ２５５）。第２送信部２６０は、暗号化された秘密情報、および第２のＭＡＣを第２のメッセージとしてユーザ端末１に送信する（Ｓ２６０）。

以下は、ユーザ端末１の動作である。ユーザ端末１の第１受信部１６０は、秘密情報管理局２から暗号化された秘密情報、および第２のＭＡＣを含む第２のメッセージを受信する（Ｓ１６０）。第１ＭＡＣ検証部１６５は、ＭＡＣ鍵を用いて第２のＭＡＣを検証して第２のメッセージの完全性を確認する（Ｓ１６５）。第１復号部１７０は、第２のメッセージの完全性が確認された場合に、共通鍵を用いて暗号化された秘密情報を復号する（Ｓ１７０）。復号された秘密情報は第１秘密情報記憶部１７５に格納され、例えばユーザ端末１の表示部にユーザ向けに表示される。

以下、図５、図６を参照して、本実施例の秘密情報通知システム１０００の往路の通信をＩＤベース暗号方式を用いて実現した例について、シーケンス図を用いて説明する。図５は本実施例の秘密情報通知システム１０００の往路の暗号化にＩＤベース暗号を用い、秘密情報を秘密鍵とした構成例の動作を示すシーケンス図である。図６は本実施例の秘密情報通知システム１０００の往路の暗号化にＩＤベース暗号を用い、秘密情報をユーザのパスワードとした構成例の動作を示すシーケンス図である。

本実施例の秘密情報通知システム１０００をＩＤベース暗号方式（ＩＢＥ）にて実現する場合、ＰＫＧ（秘密鍵生成局）から各ユーザ端末への通信を秘匿する共通鍵及びＭＡＣ鍵をＰＫＧ（秘密鍵生成局）向けにＩＢＥ暗号化して送り、ＰＫＧは受信した情報の正当性を検証し、得られた共通鍵でレスポンスを暗号化してユーザ端末に送り返すことで、ＰＫＧから各ユーザ端末への通信の秘匿性・完全性を担保する通信方式が構築できる。ＰＫＧから各ユーザ端末への通信には、例えばＰＫＧで生成したユーザ秘密鍵を各ユーザ端末へ配送するケースなど、秘匿化が重要なケースが幾つか考えられる。本項で提案する方式は、こうした用途に応用可能である。図５において、ＩＢＥ暗号化モジュールとしては、ＩＤ−ＰＳＥＣ−ＫＥＭを採用した。これは、暗号化及び復号の双方に用いることができるモジュールであり、暗号化時には元データ及び暗号化データを同時に出力することが特徴である。ユーザ端末１は、ＩＤ−ＰＳＥＣ−ＫＥＭ暗号化モジュールを用いて、共通鍵ｋ及びＭＡＣ鍵ｋ’をそれぞれＣ_０、Ｃ_０’に暗号化する。ユーザ端末１は、Ｃ_０、Ｃ_０’に認証済のユーザ識別情報ＩＤ_{ｃｌｉｅｎｔ}とシーケンス番号Ｓｅｑ．を加えたメッセージに対して、ｋ’によりＭＡＣタグを付与し、秘密情報管理局２（ＰＫＧに相当）に送信する。

秘密情報管理局２は、ＩＤ−ＰＳＥＣ−ＫＥＭ復号鍵生成モジュールを用いてＰＫＧ用ＩＢＥ秘密鍵を生成し、この秘密鍵で復号処理を行い、ｋ、ｋ’を取得する。秘密情報管理局２は、ｋ’でＭＡＣタグの検証を行い、完全性が確認されたＩＤ_{ｃｌｉｅｎｔ}から、ＩＤ−ＰＳＥＣ−ＫＥＭ復号鍵生成モジュールを用いてユーザ用復号鍵ＳＫ_{ｃｌｉｅｎｔ}を生成する。秘密情報管理局２は、復号鍵ＳＫ_{ｃｌｉｅｎｔ}に対してＭＡＣ鍵ｋ’によりＭＡＣタグを付与し、共通鍵ｋにより暗号化してユーザ端末１に送信する。ユーザ端末１は、自身が生成した共通鍵ｋ及びＭＡＣ鍵ｋ’を用いて、検証済みのユーザ用ＩＢＥ秘密鍵を得る。

図６に示すように、ＰＫＧから各ユーザ端末への通信を秘匿すべき他のケース、例えばパスワードをクライアントに配送するといった用途であっても、本項で提案した方式が利用可能である。処理の流れは図５の場合と同様である。

以下、図３、図４を参照して、往路の通信を事前のネゴシエーションを要しない暗号方式（例えば前述したＩＤベース暗号方式、岡本−高島関数型暗号方式など）を用いて構成した実施例２の秘密情報通知システムについて説明する。図３は本実施例の秘密情報通知システム２０００の構成を示すブロック図である。図４は本実施例の秘密情報通知システム２０００の動作を示すシーケンス図である。

図３に示すとおり、本実施例の秘密情報通知システム２０００は、ユーザ端末３と秘密情報管理局４とからなる。ユーザ端末３、秘密情報管理局４はいずれも、例えばコンピュータにより実現される。以下、ユーザは自己の個人識別情報に対応したユーザ向けの秘密情報を秘密に受け取りたいものとする。実施例１と同様に、秘密情報管理局４は、ユーザの秘密情報を秘密に管理している。実施例１と同様、秘密情報管理局４は、全てのユーザが送信した暗号情報を復号することができる唯一の装置であるため、信頼できる機関により運営されている必要がある。なお、秘密情報管理局４によってユーザの本人確認は既に行われているものとする。

図３に示す通り、ユーザ端末３は、第１暗号化部３０と、第１シーケンス番号生成部１４５と、第１ＭＡＣ生成部１５０と、第１送信部１５５と、第１受信部１６０と、第１ＭＡＣ検証部１６５と、第１復号部１７０と、第１秘密情報記憶部１７５と、識別情報記憶部１８０とを備える。第１暗号化部３０は、共通鍵記憶手段１１０と、ＭＡＣ鍵記憶手段１２０と、パラメータ取得手段１２５と、公開鍵生成手段１３５と、暗号化手段１４０とを備える。秘密情報管理局４は、第２受信部２１０と、第２復号部４０と、第２シーケンス番号生成部２３０と、第２ＭＡＣ検証部２３５と、第２秘密情報記憶部２４０と、秘密情報選択生成部２４５と、第２暗号化部２５０と、第２ＭＡＣ生成部２５５と、第２送信部２６０とを備える。第２復号部４０は、パラメータ記憶手段２０５と、マスター鍵記憶手段２１５と、秘密鍵生成手段２２０と、復号手段２２５とを備える。

ユーザ端末３の第１暗号化部３０以外の構成部は、実施例１におけるユーザ端末１の同一名称、同一番号の各構成部と全く同じである。また、秘密情報管理局４の第２復号部４０以外の構成部は実施例１における秘密情報管理局２の同一名称、同一番号の各構成部と全く同じである。従ってこれら、同一名称、同一番号の各構成部の説明は割愛する。

ユーザ端末３の第１暗号化部３０の共通鍵記憶手段１１０には予め生成された共通鍵が格納されている。ユーザ端末３の第１暗号化部３０のＭＡＣ鍵記憶手段１２０には予め生成されたＭＡＣ鍵が格納されている。

公開鍵生成用のパラメータはユーザ向けに公開されている。具体的には、公開鍵生成用のパラメータは秘密情報管理局４のパラメータ記憶手段２０５内に格納され、外部から通信で取得可能に公開されている。秘密情報管理局４はマスター秘密鍵（以下、マスター鍵）をマスター鍵記憶手段２１５に秘密に保持している。

ユーザ端末３の第１暗号化部３０のパラメータ取得手段１２５は、秘密情報管理局４から公開鍵生成用パラメータを取得する（ＳＳ１２５）。公開鍵生成手段１３５は、識別情報記憶部１８０に記憶された個人識別情報と、パラメータ取得手段１２５が取得した公開鍵生成用パラメータとを用いて、公開鍵を生成する（ＳＳ１３５）。暗号化手段１４０は、生成された公開鍵を用いて、共通鍵とＭＡＣ鍵とを暗号化する（ＳＳ１４０）。以下、実施例１と同様に、ユーザ端末３は第１のシーケンス番号の生成、第１のＭＡＣ付与、第１のメッセージの送信を実行する（Ｓ１４５、Ｓ１５０、Ｓ１５５）。秘密情報管理局４は、実施例１と同様に、第１のメッセージを受信する（Ｓ２１０）。次に、第２復号部４０の秘密鍵生成手段２２０は、パラメータ記憶手段２０５に格納された公開鍵生成用パラメータと、マスター鍵記憶手段２１５に格納されたマスター鍵と、個人識別情報とを用いて、ユーザ用の秘密鍵を生成する（ＳＳ２２０）。復号手段２２５は、生成された秘密鍵を用いて、暗号化された共通鍵、および暗号化されたＭＡＣ鍵を復号する（Ｓ２２５）。以下、実施例１と同様に、第２のシーケンス番号の生成、第１のＭＡＣの検証、秘密情報の選択または生成、秘密情報の暗号化、第２のＭＡＣ付与、第２のメッセージの送信が行われる（Ｓ２３０、Ｓ２３５、Ｓ２４５、Ｓ２５０、Ｓ２５５、Ｓ２６０）。ユーザ端末３は、実施例１と同様に、第２のメッセージを受信し、第２のＭＡＣの検証、秘密情報の復号、秘密情報の記憶、秘密情報の表示を実行する（Ｓ１６０、Ｓ１６５、Ｓ１７０、Ｓ１７５）。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

＜本発明の要点＞
本発明の技術的な要点として、以下３点が挙げられる。

１点目として、秘密情報管理局が自分自身用の復号鍵を生成できることが挙げられる。自身の復号鍵を生成できることで、ＳＳＬ方式のように事前のネゴシエーション通信や認証局への登録を必要とせずに、共通鍵及びＭＡＣ鍵を共有することが可能となる。事前のネゴシエーション通信を必要としないことで、ＭＡＣ鍵の共有前にユーザはＭＡＣを付与でき、簡潔な形で往路の通信の完全性を担保できる。

２点目として、往路の鍵配送通信により、復路で使う暗号化鍵を共有している点が挙げられる。往路においては、通信内容の秘匿性は要求されないために暗号化処理を行わないが、復路の暗号化用の共通鍵を往路の時点で配送しておくことで、簡潔な処理シーケンスに寄与している。

上記２点により、主たる通信は往路・復路の２−ｗａｙで簡潔に構成され、電子メールでの利用に親和的となる。電子メールはＷＥＢブラウザと異なり、バックグラウンドで通信を継続することができず、通信が必要となる度にメール送受信を行う必要がある。これは、例えばパスワード発行システムにおける利用を想定すると、ユーザがパスワードを受け取るために送受信すべきメール数が増加することを意味し、ユーザビリティの観点で好ましくない。また、手順が増えるほど、ユーザの誤操作を誘発しやすくなり、余計なセキュリティインシデントの発生につながってしまう。簡潔な処理シーケンスが構成できることは、電子メールでの利用において想定される上記課題への対策となる。

技術的要点の３点目として、往路におけるＭＡＣ生成時にメッセージのシーケンス番号を含めている点が挙げられる。これにより、本方式は、悪意ある第三者によるユーザへのなりすまし及び改竄に対して耐性を有する。まず、悪意ある第三者が、往路の通信に対して攻撃を仕掛けることで、秘密情報管理局が返してくるユーザ用の秘密情報を奪おうとする状況を想定する。ＭＡＣが付与されているため、中間者攻撃は望めない。そこで、正しいＭＡＣが付与されたリクエストをそのまま複製して、秘密情報管理局に対して送り込むリプレイ攻撃が考えられる。これに対して、秘密情報申請回数のようなシーケンス番号がＭＡＣ付与時にナンスとして加えられていることで、同じ内容のリクエストであってもＭＡＣが毎回異なることとなり、複製したリクエストを無力化することができる。

尚、復路においては、往路で共有された共通鍵を用いて暗号化がなされ、ＭＡＣ鍵でＭＡＣが付与されていることで、盗聴も改竄も困難となっている。

＜本発明の効果＞
本発明の秘密情報通知システムによれば、電子メールにサイトＵＲＬを貼り付けてＷＥＢサイトに誘導し、ＳＳＬ通信によりパスワード等の秘密情報を通知する、従来の秘密情報の通知方法が抱える課題を解消できる。具体的には、電子メールで秘密情報の通知を完結させることにより、ＵＲＬが他者に知られて秘密情報が漏れてしまう従来手法の欠点を回避し、またフィッシング等の中間者攻撃・リプレイ攻撃が入りこむ余地を排除できる。また、ユーザが電子メールしか使えずＷＥＢブラウザが使えない条件下にある場合や、ユーザがＷＥＢブラウザを使い慣れておらず、誘導されたサイトがフィッシングサイトかどうか見分けることができない場合等に、従来手法では不可能であった秘密情報のセキュアな配送が可能となる。

また、電子メールで秘密情報を送る際は、秘密情報の申請時に共有した共通鍵により暗号化することで、秘密情報が平文で流れる状況を回避できる。

更に、秘密情報の申請から発行・配送までの流れを一体的に検討して、配送時に必要となる暗号化鍵を申請時に共有しておくことで、簡潔な処理シーケンスで配送時の秘匿性を担保することができる。これにより、バックグラウンド通信のできない電子メールのような通信方式においても、手間を増やさず有効に機能するシステムを構築できる。これは、パスワード等秘密情報発行システムの利便性向上に貢献する上、情報リテラシーの高くないユーザを想定した際に、手順が簡潔であることで誤操作を低減し、余計なセキュリティインシデントの発生を防ぐことにつながる。

Claims (5)

1. ユーザ端末と秘密情報管理局とからなる秘密情報通知システムであって、
   前記ユーザ端末は、
   個人識別情報と前記秘密情報管理局が公開するパラメータとを用いて公開鍵を生成する公開鍵生成手段と、前記公開鍵を用いて共通鍵とＭＡＣ鍵とを暗号化する暗号化手段を備える第１の暗号化部と、
   秘密情報申請回数を示す第１のシーケンス番号を生成する第１のシーケンス番号生成部と、
   ユーザ端末の操作者を一意に特定する個人識別情報、前記暗号化された共通鍵、前記暗号化されたＭＡＣ鍵、及び前記シーケンス番号に前記ＭＡＣ鍵を用いて第１のメッセージ認証コード（ＭＡＣ、以下同じ）を付与する第１のＭＡＣ生成部と、
   前記個人識別情報、前記暗号化された共通鍵、前記暗号化されたＭＡＣ鍵、および前記第１のＭＡＣを第１のメッセージとして前記秘密情報管理局に送信する第１の送信部と、
   前記秘密情報管理局から暗号化された秘密情報、および第２のＭＡＣを含む第２のメッセージを受信する第１の受信部と、
   前記ＭＡＣ鍵を用いて前記第２のＭＡＣを検証して前記第２のメッセージの完全性を確認する第１のＭＡＣ検証部と、
   前記第２のメッセージの完全性が確認された場合に、前記共通鍵を用いて前記暗号化された秘密情報を復号する第１の復号部とを備え、
   前記秘密情報管理局は、
   前記ユーザ端末から前記第１のメッセージを受信する第２の受信部と、
   前記個人識別情報と前記公開したパラメータとを用いて秘密鍵を生成する秘密鍵生成手段と、前記秘密鍵を用いて前記暗号化された共通鍵および暗号化されたＭＡＣ鍵を復号する復号手段を備える第２の復号部と、
   前記秘密情報申請回数を示す第２のシーケンス番号を生成する第２のシーケンス番号生成部と、
   前記復号されたＭＡＣ鍵と、前記第２のシーケンス番号を用いて前記第１のＭＡＣを検証して第１のメッセージの完全性を確認する第２のＭＡＣ検証部と、
   前記第１のメッセージの完全性が確認された場合に、前記個人識別情報を参照して、当該個人識別情報に対応する秘密情報を選択、または生成する秘密情報選択生成部と、
   前記秘密情報を前記復号された共通鍵で暗号化する第２の暗号化部と、
   前記暗号化された秘密情報に前記ＭＡＣ鍵を用いて前記第２のＭＡＣを付与する第２のＭＡＣ生成部と、
   前記暗号化された秘密情報、および前記第２のＭＡＣを前記第２のメッセージとして前記ユーザ端末に送信する第２の送信部と、
   を備えることを特徴とする秘密情報通知システム。
2. 請求項１に記載の秘密情報通知システムであって、
   前記第１の暗号化部、および前記第２の復号部が、
   ＩＤベース暗号方式または関数型暗号方式を用いること
   を特徴とする秘密情報通知システム。
3. ユーザ端末と秘密情報管理局とにより実行される秘密情報通知方法であって、
   前記ユーザ端末は、
   個人識別情報と前記秘密情報管理局が公開するパラメータとを用いて公開鍵を生成する公開鍵生成サブステップと、前記公開鍵を用いて共通鍵とＭＡＣ鍵とを暗号化する暗号化サブステップとを有する第１の暗号化ステップと、
   秘密情報申請回数を示す第１のシーケンス番号を生成する第１のシーケンス番号生成ステップと、
   ユーザ端末の操作者を一意に特定する個人識別情報、前記暗号化された共通鍵、前記暗号化されたＭＡＣ鍵、及び前記シーケンス番号に前記ＭＡＣ鍵を用いて第１のメッセージ認証コード（ＭＡＣ、以下同じ）を付与する第１のＭＡＣ生成ステップと、
   前記個人識別情報、前記暗号化された共通鍵、前記暗号化されたＭＡＣ鍵、および前記第１のＭＡＣを第１のメッセージとして前記秘密情報管理局に送信する第１の送信ステップと、
   前記秘密情報管理局から暗号化された秘密情報、および第２のＭＡＣを含む第２のメッセージを受信する第１の受信ステップと、
   前記ＭＡＣ鍵を用いて前記第２のＭＡＣを検証して前記第２のメッセージの完全性を確認する第１のＭＡＣ検証ステップと、
   前記第２のメッセージの完全性が確認された場合に、前記共通鍵を用いて前記暗号化された秘密情報を復号する第１の復号ステップとを実行し、
   前記秘密情報管理局は、
   前記ユーザ端末から前記第１のメッセージを受信する第２の受信ステップと、
   前記個人識別情報と前記公開したパラメータとを用いて秘密鍵を生成する秘密鍵生成サブステップと、前記秘密鍵を用いて前記暗号化された共通鍵および暗号化されたＭＡＣ鍵を復号する復号サブステップとを有する第２の復号ステップと、
   前記秘密情報申請回数を示す第２のシーケンス番号を生成する第２のシーケンス番号生成ステップと、
   前記復号されたＭＡＣ鍵と、前記第２のシーケンス番号を用いて前記第１のＭＡＣを検証して第１のメッセージの完全性を確認する第２のＭＡＣ検証ステップと、
   前記第１のメッセージの完全性が確認された場合に、前記個人識別情報を参照して、当該個人識別情報に対応する秘密情報を選択、または生成する秘密情報選択生成ステップと、
   前記秘密情報を前記復号された共通鍵で暗号化する第２の暗号化ステップと、
   前記暗号化された秘密情報に前記ＭＡＣ鍵を用いて前記第２のＭＡＣを付与する第２のＭＡＣ生成ステップと、
   前記暗号化された秘密情報、および前記第２のＭＡＣを前記第２のメッセージとして前記ユーザ端末に送信する第２の送信ステップと、
   を実行することを特徴とする秘密情報通知方法。
   
4. 請求項３に記載の秘密情報通知方法であって、
   前記第１の暗号化ステップ、および前記第２の復号ステップにおいて、
   ＩＤベース暗号方式または関数型暗号方式を用いること
   を特徴とする秘密情報通知方法。
5. コンピュータを、請求項１または２に記載の秘密情報通知システムを構成するユーザ端末、秘密情報管理局として機能させるためのプログラム。

Images