JP5945525B2 - 鍵交換システム、鍵交換装置、その方法、及びプログラム - Google Patents

Description

本発明は、情報セキュリティ技術の応用技術に関し、特に、二者間で共通の共通鍵を共有する鍵交換方式に関する。

二者間で共通のセッション鍵を共有する鍵交換方式として、鍵カプセル化メカニズムに基づく鍵交換方式のFSXY方式が知られている（非特許文献１参照）。

以下、図１を用いて従来技術の概要を説明する。
[定義]
κをセキュリティパラメータとする。

F={F_κ:Dom_κ×FS_κ→Rng_κ}_κを定義域{Dom_κ}_κ、鍵空間{FS_κ}_κ、値域{Rng_κ}_κを持つ関数族とする。このとき、もし多項式時間の識別者Dに対して、関数族F_κと真性ランダム関数RF_κ:Dom_κ→Rng_κが見分けられなければ、F={F_κ}_κを疑似ランダム関数と呼ぶ。

Ext:S×X→Yを有限シード空間S、有限定義域X、有限値域Yを持つ関数とする。このとき、もしH_∞(D_X)≧kとなるX上の任意分布D_Xに対して、Δ((U_S,Ext(U_S,D_X)),(U_S,U_Y))≦neglが成り立つならば、Extを強ランダム抽出器と呼ぶ。ただし、kは予め定められた所定の値であり、例えば、k=κとする。H_∞は最小エントロピーを表す。また、Δ（X,Y）は確率変数XとYの統計的距離を表す。統計的距離の詳細については非特許文献２を参照されたい。U_S,U_X,U_YはそれぞれS,X,Y上の一様分布を表し、|X|=n≧k、|Y|=k、|S|=dとする。neglは漸近的に無視できる程度に十分に小さな値である。|・|は集合・の長さ（言い換えると、集合・に含まれる元を表す際に必要となる情報量、例えば、対応するビット長）を表す。dは強ランダム抽出器Extに対して求められる安全性等により定まる所定の値である。

(KeyGen,EnCap,DeCap)を選択暗号文攻撃に対して識別不可能な鍵カプセル化メカニズム（「key encapsulation mechanism」、以下「KEM」ともいう）とする。KEMは、共通鍵暗号方式で用いる共通鍵を公開鍵暗号方式で暗号化し、二者間で鍵共有を行うためのメカニズムである。KEMについての詳細は非特許文献２を参照されたい。(wKeyGen,wEnCap,wDeCap)を選択平文攻撃に対して識別不可能な(「indistinguishable against chosen plaintext attacks 」、以下「IND-CPA」ともいう)KEMとする。なお、選択暗号文攻撃に対して識別不可能な(「indistinguishable against chosen ciphertext attacks 」、以下「IND-CCA」ともいう)KEMをIND-CCA secure KEMともいい、選択平文攻撃に対して識別不可能な(「indistinguishable against chosen plaintext attacks 」、以下「IND-CPA」ともいう)KEMをIND-CPA secure KEMともいう。

鍵生成アルゴリズムKeyGen及びwKeyGenは、セキュリティパラメータκとr_g∈RS_G（RS_Gは鍵生成の乱数空間）とを入力とし、公開鍵ekと秘密鍵dkとを出力する。

鍵カプセル化アルゴリズムEnCap及びwEnCapは、公開鍵ekとr_e∈RS_E（RS_Eは鍵カプセル化の乱数空間）を入力とし、KEM鍵K∈KS（KSはKEM鍵空間）と暗号文CT∈CS（CSは暗号文空間）を出力する。

復号アルゴリズムDeCap及びwDeCapは秘密鍵dkと暗号文CT∈CSとを入力とし、KEM鍵K∈KSを出力する。

[共通公開パラメータ]
F:{0,1}^*×FS→RS_E、F':{0,1}^*×FS→RS_E、G:{0,1}^*×FS→{0,1}^κをそれぞれ疑似ランダム関数とする。ただし、FSは疑似ランダム関数の鍵空間（|FS|=κ）、RS_Eは鍵カプセル化アルゴリズムの乱数空間、RS_Gは鍵生成アルゴリズムの乱数空間とする。Ext:SS×KS→FSをランダムに選んだシードs∈SSを用いる強ランダム抽出器とする。ただし、SSをシード空間、KSをKEM鍵の空間とする。
疑似ランダム関数F、F'及びG、強ランダム抽出器Ext、並びに、シードsを共通公開パラメータとする（図１参照）。

[長期公開鍵と長期秘密鍵]
ユーザU_Iはランダムにσ_I∈FSとr_I∈RS_Gを選び、鍵生成アルゴリズムより(ek_I,dk_I)←KeyGen(1^κ,r_I)を得る。U_Iの長期秘密鍵と長期公開鍵を((dk_I,σ_I),ek_I)とする。

[鍵交換]
ユーザU_Aは長期秘密鍵と長期公開鍵((dk_A,σ_A),ek_A)を持ち、ユーザU_Bは長期秘密鍵と長期公開鍵((dk_B,σ_B),ek_B)を持つ。

1.
ユーザU_Aはランダムにアドホック秘密鍵r_A,r'_A∈FSとr_TA∈RS_Gを選び、暗号文CT_AとKEM鍵K_Aとを次式により求める。

さらに、セキュリティパラメータκとアドホック秘密鍵r_TAを入力として、公開鍵ek_Tと秘密鍵dk_Tとを次式により計算する。
(ek_T,dk_T)←wKeyGen(1^κ,r_TA)

ユーザU_Aは求めた(U_A,U_B,CT_A,ek_T)をユーザU_Bに送信する。ただし、

は、排他的論理和を表す。なお、U_Iはユーザの識別子であり、ユーザの名前やメールアドレス、鍵交換方式のために用意した文字を含む記号列等の識別子、ユーザの操作する端末の識別子であってもよい。要は、ユーザを特定するための識別子であれば、どのようなものでもよく、利用方法に応じて適宜設定すればよい。

2.
(U_A,U_B,CT_A,ek_T)を受け取ったら、ユーザU_Bはランダムにアドホック秘密鍵r_B,r'_B∈FSとr_TB∈RS_Eをと選ぶ。次に、アドホック秘密鍵r_B,r'_B、長期秘密鍵(dk_B,σ_B)を用いて次式により暗号文CT_BとKEM鍵K_Bとを計算する。

さらに、ユーザU_Bは、アドホック秘密鍵r_B,r'_B、長期秘密鍵(dk_B,σ_B)を用いて次式により暗号文CT_BとKEM鍵K_Bとを計算する。

ユーザU_Bは、(U_A,U_B,CT_B,CT_T)をユーザU_Aに送信する。さらに、U_Bは、

を計算し、セッション識別子ST=(U_A,U_B,ek_A,ek_B,CT_A,ek_T,CT_B,CT_T)を用いて、セッション鍵

を導出する。セッション鍵SKの生成に係るセッションを終了し、その際の全てのセッション情報を削除する。

3.
ユーザU_Aは、(U_A,U_B,CT_B,CT_T)を受け取ったら、

を計算し、セッション識別子ST=(U_A,U_B,ek_A,ek_B,CT_A,ek_T,CT_B,CT_T)を用いて、セッション鍵

を導出する。セッション鍵SKの生成に係るセッションを終了し、その際の全てのセッション情報を削除する。

ユーザU_A及びU_Bは、セッション鍵SKを用いて、データ暗号化し、安全に通信することができる。

Fujioka, A., Suzuki, K., Xagawa, K., Yoneyama, K., "Strongly Secure Authenticated Key Exchange from Factoring, Codes, and Lattices", In:Public Key Cryptography 2012, 2012, pp.467-484. D. Moriyama, R. Nishimaki, and T. Okamoto. "公開鍵暗号の数理" 共立出版, 2011.

非特許文献１の従来技術には、セッションにおけるオンライン計算の一部を耐タンパモジュールの内部で行わなくてはならないという問題点がある。以下、具体的に問題点を述べる。

非特許文献１の従来技術は、各秘密情報の漏洩に強い。例えば、ユーザU_AとU_Bのアドホック秘密鍵r_A,r'_A,r_TA,r_B,r'_B,r_TBが漏洩しても、長期秘密鍵(dk_A,σ_A),(dk_B,σ_B)が同時に漏洩しない限り、

の値が分からないため、セッション鍵SKの値に関する情報は一切漏れないことが証明できる。よって、アドホック秘密鍵r_A,r'_A,r_TA,r_B,r'_B,r_TBの生成を耐タンパモジュール（例：SIMカード）内ではなく、ホストマシン（例：スマートフォン）のメモリ上で行っても安全性が保証される。しかし、全ての計算をホストマシンで行うことはできない。ユーザU_Aは、

を、ユーザU_Bは、

を途中で計算する必要がある。もしこれらの値が漏洩した場合、この方式は安全ではない。よって、実装する場合にはこれらの値は耐タンパモジュール内で計算されなければならない。

しかし、一般に耐タンパモジュールは高コストなため、内蔵される計算資源が乏しく、頻繁にオンライン計算を行う環境では実行のボトルネックとなってしまう。よって、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式が望ましい。

本発明は、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式を用いる鍵交換システム、鍵交換装置、その方法、及びそのプログラムを提供することを目的とする。

上記の課題を解決するために、本発明の第一の態様によれば、鍵交換システムは、第一鍵交換装置と第二鍵交換装置とを含み、第一鍵交換装置と第二鍵交換装置との間で共通の共通鍵を共有する。秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、第一鍵交換装置以外の鍵交換装置に対して秘密にされ、秘密鍵dk_Aに対応する公開鍵ek_Aと秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、第二鍵交換装置に対してアクセス可能にされるものとし、秘密鍵dk_Bは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、秘密鍵dk_Bに対応する公開鍵ek_Bと秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを第一鍵交換装置に対してアクセス可能にされるものとする。第一鍵交換装置は、暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択部と、第二鍵交換装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成部と、秘密鍵dk_Aを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、第二鍵交換装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、秘密鍵dk_Tを用いて、第二鍵交換装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号部と、秘密鍵dk_SAを用いて、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号部と、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成部と、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成部とを含む。第二鍵交換装置は、暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択部と、公開鍵ek_Aを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、第二鍵生成アドホック秘密鍵r_TBを暗号化し、暗号文CT_Tを生成する第三暗号化部と、秘密鍵dk_Bを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、公開鍵ek_Tを用いて、暗号文CT_T及び第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、公開鍵ek_SAを用いて、第二暗号文CT_SB及び第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化部と、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成部と、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成部とを含む。

上記の課題を解決するために、本発明の他の態様によれば、鍵交換装置は、他の装置との間で共通の共通鍵を共有する。鍵交換装置は、秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、鍵交換装置以外の鍵交換装置に対して秘密にされ、秘密鍵dk_Aに対応する公開鍵ek_Aと秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、他の装置に対してアクセス可能にされるものとし、秘密鍵dk_Bは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、秘密鍵dk_Bに対応する公開鍵ek_Bと秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを鍵交換装置に対してアクセス可能にされるものとする。鍵交換装置は、暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択部と、他の装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成部と、秘密鍵dk_Aを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、他の装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、秘密鍵dk_Tを用いて、他の装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号部と、秘密鍵dk_SAを用いて、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号部と、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成部と、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成部とを含む。

上記の課題を解決するために、本発明の他の態様によれば、鍵交換装置は、他の装置との間で共通の共通鍵を共有する。秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、他の装置以外の鍵交換装置に対して秘密にされ、秘密鍵dk_Aに対応する公開鍵ek_Aと秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、鍵交換装置に対してアクセス可能にされるものとし、秘密鍵dk_Bは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、秘密鍵dk_Bに対応する公開鍵ek_Bと秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを他の装置に対してアクセス可能にされるものとする。鍵交換装置は、暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択部と、公開鍵ek_Aを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、第二鍵生成アドホック秘密鍵r_TBを暗号化し、暗号文CT_Tを生成する第三暗号化部と、秘密鍵dk_Bを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、他の装置から受信する第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、他の装置から受信する公開鍵ek_Tを用いて、暗号文CT_T及び第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化部と、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、公開鍵ek_SAを用いて、第二暗号文CT_SB及び第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化部と、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成部と、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成部とを含む。

上記の課題を解決するために、本発明の他の態様によれば、鍵交換方法は、第一鍵交換装置と第二鍵交換装置との間で共通の共通鍵を共有するためのものである。秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、第一鍵交換装置以外の鍵交換装置に対して秘密にされ、秘密鍵dk_Aに対応する公開鍵ek_Aと秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、第二鍵交換装置に対してアクセス可能にされるものとし、秘密鍵dk_Bは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、秘密鍵dk_Bに対応する公開鍵ek_Bと秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを第一鍵交換装置に対してアクセス可能にされるものとする。鍵交換方法は、第一鍵交換装置が、暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択ステップと、第一鍵交換装置が、第二鍵交換装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化ステップと、第一鍵交換装置が、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成ステップと、第二鍵交換装置が、暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択ステップと、第二鍵交換装置が、公開鍵ek_Aを用いて、鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化ステップと、第二鍵交換装置が、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、第二鍵生成アドホック秘密鍵r_TBを暗号化し、暗号文CT_Tを生成する第三暗号化ステップと、第一鍵交換装置が、秘密鍵dk_Aを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、第二鍵交換装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号ステップと、第一鍵交換装置が、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、秘密鍵dk_Tを用いて、第二鍵交換装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号ステップと、第一鍵交換装置が、秘密鍵dk_SAを用いて、公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号ステップと、第一鍵交換装置が、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成ステップと、第一鍵交換装置が、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成ステップと、第二鍵交換装置が、秘密鍵dk_Bを用いて、鍵カプセル化メカニズムの復号アルゴリズムにより、第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号ステップと、第二鍵交換装置が、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、公開鍵ek_Tを用いて、暗号文CT_T及び第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化ステップと、第二鍵交換装置が、公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、公開鍵ek_SAを用いて、第二暗号文CT_SB及び第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化ステップと、第二鍵交換装置が、第一鍵K_A、第二鍵K_B、鍵K_T及び鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成ステップと、第二鍵交換装置が、疑似ランダム関数Gにより、セッション識別子と、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成ステップとを含む。

本発明によれば、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式を実現することができるという効果を奏する。

FSXY方式の処理の概要を説明するための図。 鍵交換システムの構成例を示す図。 第一鍵交換装置の機能ブロック図。 第二鍵交換装置の機能ブロック図。 鍵交換システム１の処理フローの例を示す図。

以下、本発明の実施形態について説明する。なお、以下の説明に用いる図面では、同じ機能を持つ構成部や同じ処理を行うステップには同一の符号を記し、重複説明を省略する。以下の説明において、テキスト中で使用する記号「^」、「~」、「⁻」等は、本来直前の文字の真上に記載されるべきものであるが、テキスト記法の制限により、当該文字の直後に記載する。式中においてはこれらの記号は本来の位置に記述している。また、ベクトルや行列の各要素単位で行われる処理は、特に断りが無い限り、そのベクトルやその行列の全ての要素に対して適用されるものとする。

＜第一実施形態＞
本実施形態では、特殊なKEM（公開鍵独立暗号文生成可能KEM：「KEM with public-key-independent-ciphertext」、以下「PKIC-KEM」ともいう）を用いることで、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式を実現する。

PKIC-KEMとは、暗号文を公開鍵の情報無しで生成できるKEMのことである。本実施形態では、IND-CPA secure KEM(wKeyGen,wEnCap,wDeCap)をIND-CPA secure PKIC-KEM(wKeyGen,wEnCapC,wEnCapK,wDeCap)に置き換える。

IND-CPA secure PKIC-KEMの鍵生成アルゴリズムwKeyGenと復号アルゴリズムwDeCapとは、通常のIND-CPA secure KEMと同一である。

IND-CPA secure PKIC-KEMの暗号文生成アルゴリズムwEnCapCは鍵交換システムの公開パラメータとr_e∈RS_E（RS_Eは暗号文生成の乱数空間）を入力とし、暗号文CT∈CS（CSは暗号文空間）を出力する。

IND-CPA secure PKIC-KEMのKEM鍵生成アルゴリズムwEnCapKは公開鍵ek、暗号文CT、乱数r_eを入力とし、KEM鍵K∈KS（KSはKEM鍵空間）を出力する。このようなPKIC-KEMとして、例えば、参考文献１に詳細な構成法の１つが記述されている。
[参考文献１]Taher El Gamal, "A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms", IEEE Transactions on Information Theory, 1985, vol. IT-31, no. 4, pp. 469-472.

各ユーザU_Pは、PKIC-KEMを用いて(ek_SP,dk_SP)←wKeyGen(1^κ,r')とCT_SP←wEnCapC(r_SP)を事前に生成する。FSXY方式の長期秘密鍵(dk_P,σ_P)に代えて、(dk_P,dk_SP,r_SP)を長期秘密鍵に設定し、FSXY方式の長期公開鍵ek_Pに加えて、(ek_SP,CT_SP)を長期公開鍵に設定する。

また、FSXY方式の鍵交換セッションにおいて(K_A,K_B,K_T)を共有していたが、本実施形態では、K_Sも共有する。なお、ユーザU_AはK_S←wDeCap_{dk_SA}(CT_SB)、ユーザU_BはK_S←wEnCapK_{ek_SA}(CT_SB;r_SB)のように計算してK_Sを共有する。ここで、K_Sはお互いの長期秘密鍵(dk_A,dk_SA,r_SA)、(dk_B,dk_SB,r_SB)と長期公開鍵(ek_A,ek_SA,CT_SA)、(ek_B,ek_SB,CT_SB)だけに依存した情報であるため、アドホック秘密鍵r_A,r_TA,r_B,r_TBが漏洩しても影響がない。よって、FSXY方式のように

を計算しなくても、安全性が証明できる。そのため、耐タンパモジュール内でのオンライン計算を行う必要がない。

本実施形態の鍵交換方式を以下に示す。
[準備]
κをセキュリティパラメータとする。KDF:Salt×X→Yを有限ソルト空間Salt、有限定義域X、有限値域Yを持つ関数とする。このとき、もしH_∞(D_X)≧κとなるX上の任意分布D_Xと任意の多項式時間攻撃者Aとに対して、|Pr[y∈_RRng;1←A(y)]-Pr[x∈_RDom;s∈_RSalt;y←KDF(s,x);1←A(y)]|≦neglが成り立つならば、KDFを鍵導出関数と呼ぶ。ただし、A(・)は攻撃者Aに対してある値・を与えたときの出力を表す。つまり、上記式は、有限値域Yの元yを攻撃者Aに対して与えたときに、値域Rngからランダムに元yを選ぶ確率と、KDFの入力をソルトsと有限定義域Xの元xとして元yを出力し、有限値域Yの元yを攻撃者Aに対して与えたときに、有限ソルト空間Saltからランダムにソルトsを選び、定義域Domからランダムに元xを選ぶ確率との差が、漸近的に無視できる程度に十分小さな値以下であることを表している。ただし、|X|=n≧k、|Y|=k、|Salt|=dとする。dは鍵導出関数KDFに対して求められる安全性等により定まる所定の値である。

＜鍵交換システム１＞
図２は、鍵交換システム１の構成例を示す図である。鍵交換システム１は、第一鍵交換装置１０と第二鍵交換装置２０とサーバ３０とを含む。各装置は、通信回線を介して接続されている。第一鍵交換装置１０と前記第二鍵交換装置２０とは、その間で共通の共通鍵（この実施形態では、セッション鍵SK）を共有する。

図３は、第一鍵交換装置１０の機能ブロック図である。第一鍵交換装置１０は、第一記憶部１１と、第一秘密鍵選択部１２と、第一暗号化部１３と、鍵生成部１４と、第一復号部１５と、第二復号部１６と、第三復号部１７と、第一パラメータ生成部１８と、第一セッション鍵生成部１９とを含む。

図４は、第二鍵交換装置２０の機能ブロック図である。第二鍵交換装置２０は、第二記憶部２１と、第二秘密鍵選択部２２と、第二暗号化部２３と、第三暗号化部２４と、第四復号部２５と、第四暗号化部２６と、第五暗号化部２７、第二パラメータ生成部２８と、第二セッション鍵生成部２９とを含む。

図５は、鍵交換システム１の処理フローの例を示す図である。

[公開パラメータ]
サーバ３０は、疑似ランダム関数G、鍵導出関数KDF、公開ソルトsを公開パラメータとして、第一鍵交換装置１０と前記第二鍵交換装置２０とがアクセスできるように、図示しない記憶部に記憶しておく。

疑似ランダム関数Gは、次のように表される。G:{0,1}^*×FS→{0,1}^κ。ただし、FSは疑似ランダム関数の鍵空間（|FS|=κ）とする。鍵導出関数KDFは、ランダムに選んだ公開ソルトs∈Saltを用い、次のように表される。KDF:Salt×KS→FS。ただし、Saltをソルト空間、KSをKEM鍵の空間とする。

＜長期公開鍵と長期秘密鍵＞
ユーザU_Pはランダムにr,r'∈_RRS_Gとr_SP∈_RRS_Eを選び、鍵生成アルゴリズムより(ek_P,dk_P)←KeyGen(1^κ,r)と(ek_SP,dk_SP)←wKeyGen(1^κ,r')、暗号文生成アルゴリズムによりCT_SP←wEnCapC(r_SP)を計算する。U_Pの長期秘密鍵を(dk_P,dk_SP,r_SP)、長期公開鍵を(ek_P,ek_SP,CT_SP)とする。

[鍵交換]
＜第一記憶部１１及び第二記憶部２１＞
ユーザU_Aの操作する第一鍵交換装置１０は、r,r'∈_RRS_Gとr_SA∈_RRS_Eを選び、IND-CCA secure KEMの鍵生成アルゴリズムにより(ek_A,dk_A)←KeyGen(1^κ,r)を生成し、IND-CPA secure PKIC-KEMの鍵生成アルゴリズムにより(ek_SA,dk_SA)←wKeyGen(1^κ,r')を生成する。さらに、IND-CPA secure PKIC-KEMの暗号文生成アルゴリズムによりCT_SA←wEnCaAC(r_SA)を計算する。第一鍵交換装置１０は、(dk_A,dk_SA,r_SA)を第一長期秘密鍵SSK_Aとして第一記憶部１１に秘密に記憶し、(ek_A,ek_SA,CT_SA)を第一長期公開鍵SPK_Aとして、第一記憶部１１またはサーバ３０に、第二鍵交換装置２０がアクセスできるように、記憶する。

同様に、ユーザU_Bの操作する第二鍵交換装置２０は、第二長期秘密鍵SSK_B:=(dk_B,dk_SB,r_SB)を生成し、第二記憶部２１に秘密に記憶し、第二長期公開鍵SPK_B:=(ek_B,ek_SB,CT_SB)を生成し、第二記憶部２１またはサーバ３０に、第一鍵交換装置１０がアクセスできるように、記憶する。

［第一鍵交換装置１０の処理の流れ（図３及び５参照）］
＜第一秘密鍵選択部１２＞
第一秘密鍵選択部１２は、暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し（r_A∈_RRS_E）、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する（ｓ１１、r_TA∈_RRS_G）。第一秘密鍵選択部１２は、第一暗号文生成アドホック秘密鍵r_Aと第一鍵生成アドホック秘密鍵r_TAとを、第一記憶部１１に秘密に記憶する。

＜第一暗号化部１３＞
第一暗号化部１３は、第二長期公開鍵SPK_Bに含まれる第二IND-CCA公開鍵ek_Bを第二鍵交換装置２０またはサーバ３０から受け取る。第一暗号化部１３は、第二IND-CCA公開鍵ek_Bを用いて、IND-CCA secure KEMにより、第一記憶部１１から取り出した第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一IND-CCA暗号文CT_Aと第一IND-CCA鍵K_Aとの組を生成する（ｓ１２、(CT_A,K_A)←EnCap_{ek_B}(r_A)）。第一暗号化部１３は、第一IND-CCA鍵K_Aを第一記憶部１１に秘密に記憶する。なお、「秘密」とは、対象となる情報にアクセスするための正当性を有さないものに対してアクセスできないようにすることを意味する。

＜鍵生成部１４＞
鍵生成部１４は、第一鍵生成アドホック秘密鍵r_TAを第一記憶部１１から取り出す。鍵生成部１４は、IND-CPA secure PKIC-KEMにより、第一鍵生成アドホック秘密鍵r_TAを用いて、IND-CPA公開鍵ek_TとIND-CPA秘密鍵dk_Tとの組を生成する（ｓ１３、(ek_T,dk_T)←wKeyGen(1^κ,r_TA)）。鍵生成部１４は、IND-CPA秘密鍵dk_Tを第一記憶部１１に秘密に記憶する。

第一鍵交換装置１０は、図示しない送信部を介して、(U_A,U_B,CT_A,ek_T)を第二鍵交換装置２０に送信する。
さらに、第一鍵交換装置１０は、図示しない受信部を介して、(U_A,U_B,CT_B,CT_T)を第二鍵交換装置２０から受信する。CT_B,CT_Tの詳細については後述する。

＜第一復号部１５＞
第一復号部１５は、第一記憶部１１から第一IND-CCA秘密鍵dk_Aを取り出し、これを用いて、IND-CCA secure KEMにより、第二鍵交換装置２０から受信した第二IND-CCA暗号文CT_Bを復号し、第二IND-CCA鍵K_Bを求める（ｓ１４、K_B←DeCap_{dk_A}(CT_B)）。

＜第二復号部１６＞
第二復号部１６は、IND-CPA secure PKIC-KEMにより、第一記憶部１１からIND-CPA秘密鍵dk_Tを取り出し、これを用いて、第二鍵交換装置２０から受信したIND-CPA暗号文CT_Tを復号し、IND-CPA鍵K_Tを求める（ｓ１５、K_T←wDeCap_{dk_T}(CT_T)）。

＜第三復号部１７＞
第三復号部１７は、第二鍵交換装置２０またはサーバ３０から第二IND-CPA暗号文CT_SB（公開パラメータ）を受け取る。第三復号部１７は、第一記憶部１１から第一IND-CPA秘密鍵dk_SAを取り出し、これを用いて、IND-CPA secure PKIC-KEMにより、第二IND-CPA暗号文CT_SBを復号し、IND-CPA鍵K_Sを求める（ｓ１６、K_S←wDeCap_{dk_SA}(CT_SB)）。

＜第一パラメータ生成部１８＞
第一パラメータ生成部１８は、サーバ３０から鍵導出関数KDF及び公開ソルトs（公開パラメータ）を受け取る。第一パラメータ生成部１８は、第一暗号化部１３、第一復号部１５、第二復号部１６及び第三復号部１７からそれぞれ第一IND-CCA鍵K_A、第二IND-CCA鍵K_B、IND-CPA鍵K_T及びIND-CPA鍵K_Sを受け取り、これらの値と、鍵導出関数KDF及び公開ソルトsとを用いて、次式により、セッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める（ｓ１７）。
K'₁←KDF(s,K_A)
K'₂←KDF(s,K_B)
K'₃←KDF(s,K_T)
K'₄←KDF(s,K_S)

＜第一セッション鍵生成部１９＞
第一セッション鍵生成部１９は、疑似ランダム関数G（公開パラメータ）をサーバ３０から受け取る。第一セッション鍵生成部１９は、第一パラメータ生成部１８からセッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を受け取り、疑似ランダム関数Gにより、セッション識別子ST=(U_A,U_B,SPK_A,SPK_B,CT_A,ek_T,CT_B,CT_T)と、セッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて、次式により、セッション鍵SKを生成する（ｓ１８）。

第一鍵交換装置１０は、セッション鍵SKの生成に係るセッションを終了し、全てのセッション情報を削除する。

［第二鍵交換装置２０の処理の流れ（図４及び５参照）］
＜第二秘密鍵選択部２２＞
第二秘密鍵選択部２２は、暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し（r_B∈_RRS_E）、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する（ｓ２１、r_TB∈_RRS_E）。第二秘密鍵選択部２２は、第二暗号文生成アドホック秘密鍵r_Bと第二鍵生成アドホック秘密鍵r_TBとを、第二記憶部２１に秘密に記憶する。

＜第二暗号化部２３＞
第二暗号化部２３は、第一長期公開鍵SPK_Aに含まれる第一IND-CCA公開鍵ek_Aを第一鍵交換装置１０またはサーバ３０から受け取る。第二暗号化部２３は、第一IND-CCA公開鍵ek_Aを用いて、IND-CCA secure KEMにより、第二記憶部２１から取り出した第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二IND-CCA暗号文CT_Bと第二IND-CCA鍵K_Bとの組を生成する（ｓ２２、(CT_B,K_B)←EnCap_{ek_A}(r_B)）。第二暗号化部は、第二IND-CCA鍵K_Bを第二記憶部２１に秘密に記憶する。

＜第三暗号化部２４＞
第三暗号化部２４は、第二鍵生成アドホック秘密鍵r_TBを第二記憶部２１から取り出し、IND-CPA secure PKIC-KEMの暗号文生成アルゴリズムwEnCapCにより、取り出した第二鍵生成アドホック秘密鍵r_TBを暗号化し、IND-CPA暗号文CT_Tを生成する（ｓ２３、CT_T←wEnCapC(r_TB)）。

第二鍵交換装置２０は、図示しない受信部を介して、(U_A,U_B,CT_A,ek_T)を第一鍵交換装置１０から受信する。
さらに、第二鍵交換装置２０は、図示しない送信部を介して、(U_A,U_B,CT_B,CT_T)を第一鍵交換装置１０に送信する。

＜第四復号部２５＞
第四復号部２５は、第二記憶部２１から第二IND-CCA秘密鍵dk_Bを取り出し、これを用いて、IND-CCA secure KEMにより、受信した(U_A,U_B,CT_A,ek_T)に含まれる第一IND-CCA暗号文CT_Aを復号し、第一IND-CCA鍵K_Aを求める（ｓ２４、K_A←DeCap_{dk_B}(CT_A)）。

＜第四暗号化部２６＞
第四暗号化部２６は、第二鍵生成アドホック秘密鍵r_TBを第二記憶部２１から取り出す。第四暗号化部２６は、IND-CPA secure PKIC-KEMのKEM鍵生成アルゴリズムwEnCapKにより、受信した(U_A,U_B,CT_A,ek_T)に含まれるIND-CPA公開鍵ek_Tを用いて、第三暗号化部２４で生成したIND-CPA暗号文CT_T及び取り出した第二鍵生成アドホック秘密鍵r_TBを暗号化し、IND-CPA鍵K_Tを生成する（ｓ２５、K_T←wEnCapK_{ek_T}(CT_T;r_TB)）。

＜第五暗号化部２７＞
第五暗号化部２７は、サーバ３０または第一鍵交換装置１０から長期公開鍵SPK_Aに含まれる第一IND-CPA公開鍵ek_SAを受け取る。第五暗号化部２７は、第二記憶部２１から第二長期秘密鍵SSK_Bに含まれる第二暗号文生成秘密鍵r_SBを取り出し、IND-CPA secure PKIC-KEMのKEM鍵生成アルゴリズムwEnCapKにより、受け取った第一IND-CPA公開鍵ek_SAを用いて、第二長期公開鍵SPK_Bに含まれる第二IND-CPA暗号文CT_SB及び取り出した第二暗号文生成秘密鍵r_SBを暗号化し、IND-CPA鍵K_Sを生成する（ｓ２６、K_S←wEnCapK_{ek_SA}(CT_SB,r_SB)）。

＜第二パラメータ生成部２８＞
第二パラメータ生成部２８は、サーバ３０から鍵導出関数KDF及び公開ソルトs（公開パラメータ）を受け取る。第二パラメータ生成部２８は、第二暗号化部２３、第四復号部２５、第四暗号化部２６及び第五暗号化部２７からそれぞれ第二IND-CCA鍵K_B、第一IND-CCA鍵K_A、IND-CPA鍵K_T及びIND-CPA鍵K_Sを受け取り、これらの値と、鍵導出関数KDF及び公開ソルトsとを用いて、次式により、セッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める（ｓ２７）。
K'₁←KDF(s,K_A)
K'₂←KDF(s,K_B)
K'₃←KDF(s,K_T)
K'₄←KDF(s,K_S)

＜第二セッション鍵生成部２９＞
第二セッション鍵生成部２９は、疑似ランダム関数G（公開パラメータ）をサーバ３０から受け取る。第二セッション鍵生成部２９は、第二パラメータ生成部２８からセッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を受け取り、疑似ランダム関数Gにより、セッション識別子ST=(U_A,U_B,SPK_A,SPK_B,CT_A,ek_T,CT_B,CT_T)と、セッション鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて、次式により、セッション鍵SKを生成する（ｓ２８）。

第二鍵交換装置２０は、セッション鍵SKの生成に係るセッションを終了し、全てのセッション情報を削除する。

＜効果＞
このような構成により、FSXY方式のように

を計算しなくても、安全性が証明できる。そのため、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式を実現することができる。また、なお、IND-CPA secure KEM(wKeyGen,wEnCap,wDeCap)をIND-CPA secure PKIC-KEM(wKeyGen,wEnCapC,wEnCapK,wDeCap)に置き換えることにより、FSXY方式では、ユーザU_Bは、ユーザU_Aから(U_A,U_B,CT_A,ek_T)を受信するまでセッション鍵SK生成のための処理（(U_A,U_B,CT_B,CT_T)を生成する処理）を開始することができないが、本実施形態では、ユーザU_Aの操作する第一鍵交換装置１０から(U_A,U_B,CT_A,ek_T)を受信する前に、第二鍵交換装置２０は(U_A,U_B,CT_B,CT_T)を生成することができる。よって、本実施形態の方式は、遅延に強い。

＜変形例＞
なお、本実施形態では、鍵カプセル化メカニズムとして、IND-CCA secure KEMを用いているが、必ずしも、選択暗号文攻撃に対して識別不可能でなく、また、公開鍵独立暗号文生成可能鍵カプセル化メカニズムとしてIND-CPA secure PKIC-KEMを用いているが、必ずしも、選択平文攻撃に対して識別不可能でなくとも、耐タンパモジュール内でオンライン計算を行うこと無く安全な方式を実現することができる。ただし、IND-CCA secure KEMとIND-CPA secure PKIC-KEMとを用いることで、数学的にも安全となる。

鍵導出関数KDFに代えて、強ランダム抽出器Ext及びシードsを公開パラメータとしてもよい。強ランダム抽出器Extは、ランダムに選んだシードs∈SSを用い、次のように表される。Ext:SS×KS→FS。ただし、SSをシード空間、KSをKEM鍵の空間とする。

本実施形態では、第一長期秘密鍵SSK_A等及び第二長期秘密鍵SSK_B等をそれぞれ第一記憶部１１及び第二記憶部２１に秘密に記憶しているが、必ずしも第一鍵交換装置１０及び第二鍵交換装置２０の内部に記憶する必要はなく、それぞれ第一鍵交換装置１０及び第二鍵交換装置２０以外の鍵交換装置に対して秘密にされていればよい。例えば、安全な通信回線を使ってサーバ３０に送信し、サーバ３０内部で記憶し、必要に応じて、安全な通信回線を使って取り出せばよい。

第一鍵交換装置１０の機能と第二鍵交換装置２０の機能とを一つの鍵交換装置上で実装し、その鍵交換装置を第一鍵交換装置１０として機能させてもよいし、第二鍵交換装置２０として機能させてもよい。その場合、第一記憶部１１と第二記憶部２１、第一秘密鍵選択部１２と第二秘密鍵選択部２２、第一暗号化部１３と第二暗号化部２３、第一パラメータ生成部１８と第二パラメータ生成部２８、第一セッション鍵生成部１９と第二セッション鍵生成部２９等は、同様の機能を有するため、入力及び出力を変えるだけでよく、共用することができる。

本発明は上記の実施形態及び変形例に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

＜プログラム及び記録媒体＞
また、上記の実施形態及び変形例で説明した各装置における各種の処理機能をコンピュータによって実現してもよい。その場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶部に格納する。そして、処理の実行時、このコンピュータは、自己の記憶部に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実施形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよい。さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、プログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、コンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (8)

1. 第一鍵交換装置と第二鍵交換装置とを含み、前記第一鍵交換装置と前記第二鍵交換装置との間で共通の共通鍵を共有する鍵交換システムであって、
   秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、前記第一鍵交換装置以外の鍵交換装置に対して秘密にされ、前記秘密鍵dk_Aに対応する公開鍵ek_Aと前記秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、前記第二鍵交換装置に対してアクセス可能にされるものとし、
   秘密鍵dk_Bは前記鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、前記秘密鍵dk_Bに対応する公開鍵ek_Bと前記秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを前記第一鍵交換装置に対してアクセス可能にされるものとし、
   前記第一鍵交換装置は、
   暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択部と、
   前記第二鍵交換装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、前記第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成部と、
   前記秘密鍵dk_Aを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記第二鍵交換装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、前記秘密鍵dk_Tを用いて、前記第二鍵交換装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号部と、
   前記秘密鍵dk_SAを用いて、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号部と、
   前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成部と、
   疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成部とを含み、
   前記第二鍵交換装置は、
   暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択部と、
   前記公開鍵ek_Aを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、前記暗号文CT_Tを生成する第三暗号化部と、
   前記秘密鍵dk_Bを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記公開鍵ek_Tを用いて、前記暗号文CT_T及び前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記公開鍵ek_SAを用いて、前記第二暗号文CT_SB及び前記第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化部と、
   前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成部と、
   前記疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成部とを含む、
   鍵交換システム。
2. 請求項１の鍵交換システムであって、
   κをセキュリティパラメータ、FSを疑似ランダム関数の鍵空間、|FS|=κ、G:{0,1}^*×FS→{0,1}^κを疑似ランダム関数、KSをKEM鍵の空間、Saltをソルト空間、KDF:Salt×KS→FSをランダムに選んだ公開ソルトs∈Saltを用いる鍵導出関数、Ext:SS×KS→FSをランダムに選んだ公開シードs'を用いる強ランダム抽出器とし、
   疑似ランダム関数G、鍵導出関数KDF及び公開ソルトs、または、強ランダム抽出器Ext及びシードs'を共通公開パラメータとし、
   前記第一パラメータ生成部及び前記第二パラメータ生成部は、
   K'₁←KDF(s,K_A)
   K'₂←KDF(s,K_B)
   K'₃←KDF(s,K_T)
   K'₄←KDF(s,K_S)
   または
   K'₁←Ext(s',K_A)
   K'₂←Ext(s',K_B)
   K'₃←Ext(s',K_T)
   K'₄←Ext(s',K_S)
   により、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求め、
   前記第一共通鍵生成部及び前記第二共通鍵生成部は、U_A及びU_Aをそれぞれ第一鍵交換装置及び第二鍵交換装置の操作者の識別子とし、セッション識別子ST=(U_A,U_B,SPK_A,SPK_B,CT_A,ek_T,CT_B,CT_T)を用いて、
   

   

   により、前記共通鍵SKを生成する、
   鍵交換システム。
3. 請求項１または２の鍵交換システムであって、
   前記鍵カプセル化メカニズムは、選択暗号文攻撃に対して識別不可能であり、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムは、選択平文攻撃に対して識別不可能である、
   鍵交換システム。
4. 他の装置との間で共通の共通鍵を共有する鍵交換装置であって、
   秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、前記鍵交換装置以外の鍵交換装置に対して秘密にされ、前記秘密鍵dk_Aに対応する公開鍵ek_Aと前記秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、前記他の装置に対してアクセス可能にされるものとし、
   秘密鍵dk_Bは前記鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、前記秘密鍵dk_Bに対応する公開鍵ek_Bと前記秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを前記鍵交換装置に対してアクセス可能にされるものとし、
   暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択部と、
   前記他の装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、前記第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成部と、
   前記秘密鍵dk_Aを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記他の装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、前記秘密鍵dk_Tを用いて、前記他の装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号部と、
   前記秘密鍵dk_SAを用いて、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号部と、
   前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成部と、
   疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成部とを含む、
   鍵交換装置。
5. 他の装置との間で共通の共通鍵を共有する鍵交換装置であって、
   秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、前記他の装置以外の鍵交換装置に対して秘密にされ、前記秘密鍵dk_Aに対応する公開鍵ek_Aと前記秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、前記鍵交換装置に対してアクセス可能にされるものとし、
   秘密鍵dk_Bは前記鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、前記秘密鍵dk_Bに対応する公開鍵ek_Bと前記秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを前記他の装置に対してアクセス可能にされるものとし、
   暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択部と、
   前記公開鍵ek_Aを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、前記暗号文CT_Tを生成する第三暗号化部と、
   前記秘密鍵dk_Bを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記他の装置から受信する第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記他の装置から受信する公開鍵ek_Tを用いて、前記暗号文CT_T及び前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化部と、
   前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記公開鍵ek_SAを用いて、前記第二暗号文CT_SB及び前記第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化部と、
   前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成部と、
   前記疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成部とを含む、
   鍵交換装置。
6. 第一鍵交換装置と第二鍵交換装置との間で共通の共通鍵を共有するための鍵交換方法であって、
   秘密鍵dk_Aは鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SAは、暗号文を公開鍵の情報無しで生成できる公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第一暗号文生成秘密鍵r_SAは暗号文生成の乱数空間RS_Eからランダムに選択され、第一暗号文CT_SAは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第一暗号文生成秘密鍵r_SAが暗号化されて生成されるものであり、秘密鍵dk_Aと秘密鍵dk_SAと第一暗号文生成秘密鍵r_SAとを含む第一長期秘密鍵SSK_Aが、前記第一鍵交換装置以外の鍵交換装置に対して秘密にされ、前記秘密鍵dk_Aに対応する公開鍵ek_Aと前記秘密鍵dk_SAに対応する公開鍵ek_SAと第一暗号文CT_SAとを含む第一長期公開鍵SPK_Aとが、前記第二鍵交換装置に対してアクセス可能にされるものとし、
   秘密鍵dk_Bは前記鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、秘密鍵dk_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより生成され、第二暗号文生成秘密鍵r_SBは暗号文生成の乱数空間RS_Eからランダムに選択され、第二暗号文CT_SBは前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより第二暗号文生成秘密鍵r_SBが暗号化されて生成されるものであり、秘密鍵dk_Bと秘密鍵dk_SBと第二暗号文生成秘密鍵r_SBとを含む第二長期秘密鍵SSK_Bを秘密にされ、前記秘密鍵dk_Bに対応する公開鍵ek_Bと前記秘密鍵dk_SBに対応する公開鍵ek_SBと第二暗号文CT_SBとを含む第二長期公開鍵SPK_Bを前記第一鍵交換装置に対してアクセス可能にされるものとし、
   前記第一鍵交換装置が、暗号文生成の乱数空間RS_Eからランダムに第一暗号文生成アドホック秘密鍵r_Aを選択し、鍵生成の乱数空間RS_Gからランダムに第一鍵生成アドホック秘密鍵r_TAを選択する第一秘密鍵選択ステップと、
   前記第一鍵交換装置が、前記第二鍵交換装置にアクセス可能に記憶される第二長期公開鍵SPK_Bに含まれる公開鍵ek_Bを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第一暗号文生成アドホック秘密鍵r_Aを暗号化し、第一暗号文CT_Aと第一鍵K_Aとの組を生成する第一暗号化ステップと、
   前記第一鍵交換装置が、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの鍵生成アルゴリズムにより、前記第一鍵生成アドホック秘密鍵r_TAを用いて、公開鍵ek_Tと秘密鍵dk_Tとの組を生成する鍵生成ステップと、
   前記第二鍵交換装置が、暗号文生成の乱数空間RS_Eからランダムに第二暗号文生成アドホック秘密鍵r_Bを選択し、暗号文生成の乱数空間RS_Eからランダムに第二鍵生成アドホック秘密鍵r_TBを選択する第二秘密鍵選択ステップと、
   前記第二鍵交換装置が、前記公開鍵ek_Aを用いて、前記鍵カプセル化メカニズムの鍵カプセル化アルゴリズムにより、第二暗号文生成アドホック秘密鍵r_Bを暗号化し、第二暗号文CT_Bと第二鍵K_Bとの組を生成する第二暗号化ステップと、
   前記第二鍵交換装置が、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの暗号文生成アルゴリズムにより、前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、前記暗号文CT_Tを生成する第三暗号化ステップと、
   前記第一鍵交換装置が、前記秘密鍵dk_Aを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記第二鍵交換装置から受信する第二暗号文CT_Bを復号し、第二鍵K_Bを求める第一復号ステップと、
   前記第一鍵交換装置が、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、前記秘密鍵dk_Tを用いて、前記第二鍵交換装置から受信する暗号文CT_Tを復号し、鍵K_Tを求める第二復号ステップと、
   前記第一鍵交換装置が、前記秘密鍵dk_SAを用いて、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムの復号アルゴリズムにより、第二暗号文生成秘密鍵r_SBが暗号化されて生成される第二暗号文CT_SBを復号し、鍵K_Sを求める第三復号ステップと、
   前記第一鍵交換装置が、前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第一パラメータ生成ステップと、
   前記第一鍵交換装置が、疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第一共通鍵生成ステップと、
   前記第二鍵交換装置が、前記秘密鍵dk_Bを用いて、前記鍵カプセル化メカニズムの復号アルゴリズムにより、前記第一暗号文CT_Aを復号し、第一鍵K_Aを求める第四復号ステップと、
   前記第二鍵交換装置が、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記公開鍵ek_Tを用いて、前記暗号文CT_T及び前記第二鍵生成アドホック秘密鍵r_TBを暗号化し、鍵K_Tを生成する第四暗号化ステップと、
   前記第二鍵交換装置が、前記公開鍵独立暗号文生成可能鍵カプセル化メカニズムのKEM鍵生成アルゴリズムにより、前記公開鍵ek_SAを用いて、前記第二暗号文CT_SB及び前記第二暗号文生成秘密鍵r_SBを暗号化し、鍵K_Sを生成する第五暗号化ステップと、
   前記第二鍵交換装置が、前記第一鍵K_A、前記第二鍵K_B、前記鍵K_T及び前記鍵K_Sを用いて、共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求める第二パラメータ生成ステップと、
   前記第二鍵交換装置が、前記疑似ランダム関数Gにより、セッション識別子と、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄とを用いて共通鍵SKを生成する第二共通鍵生成ステップとを含む、
   鍵交換方法。
7. 請求項５の鍵交換方法であって、
   κをセキュリティパラメータ、FSを疑似ランダム関数の鍵空間、|FS|=κ、G:{0,1}^*×FS→{0,1}^κを疑似ランダム関数、KSをKEM鍵の空間、Saltをソルト空間、KDF:Salt×KS→FSをランダムに選んだ公開ソルトs∈Saltを用いる鍵導出関数、Ext:SS×KS→FSをランダムに選んだ公開シードs'を用いる強ランダム抽出器とし、
   疑似ランダム関数G、鍵導出関数KDF及び公開ソルトs、または、強ランダム抽出器Ext及びシードs'を共通公開パラメータとし、
   前記第一パラメータ生成ステップ及び前記第二パラメータ生成ステップは、
   K'₁←KDF(s,K_A)
   K'₂←KDF(s,K_B)
   K'₃←KDF(s,K_T)
   K'₄←KDF(s,K_S)
   または
   K'₁←Ext(s',K_A)
   K'₂←Ext(s',K_B)
   K'₃←Ext(s',K_T)
   K'₄←Ext(s',K_S)
   により、前記共通鍵生成パラメータK'₁、K'₂、K'₃及びK'₄を求め、
   前記第一共通鍵生成ステップ及び前記第二共通鍵生成ステップは、U_A及びU_Aをそれぞれ第一鍵交換装置及び第二鍵交換装置の操作者の識別子とし、セッション識別子ST=(U_A,U_B,SPK_A,SPK_B,CT_A,ek_T,CT_B,CT_T)を用いて、
   

   

   により、前記共通鍵SKを生成する、
   鍵交換方法。
8. 請求項４または５の鍵交換装置として、コンピュータを機能させるためのプログラム。

Images