JP6871200B2

JP6871200B2 - 鍵合意システム及び鍵生成装置

Info

Publication number: JP6871200B2
Application number: JP2018121633A
Authority: JP
Inventors: 大樹岡田; 清本　晋作; 晋作清本
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2018-06-27
Filing date: 2018-06-27
Publication date: 2021-05-12
Anticipated expiration: 2038-06-27
Also published as: JP2020005079A

Description

本発明は、グループ鍵共有を行う鍵合意システム及び鍵生成装置に関する。

従来、複数の端末間でグループ鍵を共有するプロトコルが使用されている。例えば、公開鍵暗号を用いた手法として、Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ鍵共有プロトコルに基づくグループ鍵共有方式が挙げられる。

ところが、近年、量子計算機による共有鍵の解読の可能性が指摘されており、ＩｏＴ端末等の非力な端末においても動作し、かつ、量子計算機による解読に対して耐性を持つ次世代公開鍵暗号が研究されている。
例えば、非特許文献１では、次世代公開鍵暗号により二者間で鍵共有できるＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルが提案されている。

ＤａｖｉｄＪａｏａｎｄＬｕｃａＤｅＦｅｏ．Ｔｏｗａｒｄｓｑｕａｎｔｕｍ−ｒｅｓｉｓｔａｎｔｃｒｙｐｔｏｓｙｓｔｅｍｓｆｒｏｍｓｕｐｅｒｓｉｎｇｕｌａｒｅｌｌｉｐｔｉｃｃｕｒｖｅｉｓｏｇｅｎｉｅｓ．ＩｎＢｏ−ＹｉｎＹａｎｇ，ｅｄｉｔｏｒ，Ｐｏｓｔ−ＱｕａｎｔｕｍＣｒｙｐｔｏｇｒａｐｈｙ，ｐａｇｅｓ１９−３４，Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ，２０１１．ＳｐｒｉｎｇｅｒＢｅｒｌｉｎＨｅｉｄｅｌｂｅｒｇ．

しかしながら、ＳＩＤＨ鍵共有プロトコルでは、楕円曲線間の同種写像を利用していることから二者の公開鍵及び共有鍵について、互いに異なる鍵空間が定義される。このため、二者間の共有鍵を公開鍵生成用の秘密情報として再利用することができない。この結果、二者間での鍵共有を繰り返してグループ鍵を共有することは難しかった。

本発明は、次世代公開鍵暗号によりグループ鍵を共有できる鍵合意システム及び鍵生成装置を提供することを目的とする。

本発明に係る鍵合意システムは、複数の端末が木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵合意システムであって、前記リーフノードのそれぞれにおいて、同一階層内の奇数ノード又は偶数ノードで互いに異なる空間から秘密情報の組を選択する秘密情報選択部と、共通の親ノードを持つノード間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成する鍵情報生成部と、前記鍵情報生成部により生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出する秘密情報算出部と、ルートノードの前記鍵情報に基づいて、前記グループ鍵を生成するグループ鍵生成部と、を備える。

前記鍵合意システムは、前記親ノードで前記鍵情報を生成する際に、当該親ノードの配下に対応付けられた各端末がそれぞれ少なくとも１回、前記鍵情報生成部により他の端末と鍵共有し、同一の前記鍵情報を取得してもよい。

前記鍵合意システムは、前記親ノードで前記鍵情報を生成する際に、子ノードそれぞれ少なくとも１台ずつの前記端末の間で、前記鍵情報生成部により鍵共有し、前記グループ鍵を、前記ノード間で共有された前記鍵情報により配送する鍵配送部を備えてもよい。

本発明に係る鍵合意方法は、複数の端末が木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵合意方法であって、前記リーフノードに対応付けられた端末のそれぞれが、同一階層内の奇数ノード又は偶数ノードで互いに異なる空間から秘密情報の組を選択し、共通の親ノードを持つノードの配下に対応付けられた端末間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成し、前記親ノードの配下に対応付けられた端末が、生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出し、ルートノードの前記鍵情報を生成した端末が、当該鍵情報に基づいて、前記グループ鍵を生成する。

本発明に係る鍵生成装置は、木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵生成装置であって、自装置が対応付けられたリーフノードが同一階層内において、奇数ノードか又は偶数ノードかに応じて、互いに異なる空間から秘密情報の組を選択する秘密情報選択部と、共通の親ノードを持つノードの配下に対応付けられた他の装置との間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成する鍵情報生成部と、生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出する秘密情報算出部と、ルートノードの前記鍵情報に基づいて、前記グループ鍵を生成するグループ鍵生成部と、を備える。

本発明によれば、次世代公開鍵暗号によりグループ鍵を共有できる。

第１実施形態に係る鍵合意システムの構成を例示する図である。第１実施形態に係るユーザ端末の機能構成を示すブロック図である。第１実施形態に係るＳＩＤＨ鍵共有プロトコルの手順を示す図である。第１実施形態に係るグループ鍵合意プロトコルの手順を示す図である。第２実施形態に係るユーザ端末の機能構成を示すブロック図である。

［第１実施形態］
以下、本発明の第１実施形態について説明する。
図１は、本実施形態に係る鍵合意システム１の構成を例示する図である。
鍵合意システム１は、複数のユーザ端末Ｕ（鍵生成装置）がそれぞれ木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する。

ｎ台のユーザ端末からなるグループを｛Ｕ_０，・・・，Ｕ_ｎ−１｝と表す。
木構造グラフを構成するノードを＜ｕ，ｖ＞（２^{ｕ＿ｍａｘ−１}＜ｎ≦２^{ｕ＿ｍａｘ}；ｕ＿ｍａｘはｕの最大値）と表す。
全てのノードは、配下に対応付けられた１台以上のユーザ端末Ｕがスポンサーとなる。ノード＜ｕ，ｖ＞のスポンサーをＳ_{＜ｕ，ｖ＞}と表す。

この例では、ユーザ端末Ｕ_０〜Ｕ_４の５台がグループ鍵を共有する場合を示している。
本実施形態のツリー型グループ鍵合意の手順では、まず、木構造グラフの最下層において、共通の親ノードを持つノード間、すなわち＜３，０＞と＜３，１＞とで鍵共有のプロトコルが実行される。
次に、１階層上位において、同様に、共通の親ノードを持つノード間、すなわち＜２，０＞と＜２，１＞との間、及び＜２，２＞と＜２，３＞との間で鍵共有のプロトコルが実行される。
最後に、＜１，０＞と＜１，１＞とで鍵共有され、ルートノード＜０，０＞の鍵情報が生成される。

このグループ鍵合意の手順において、ノード間の鍵共有のプロトコルは、ノードのスポンサーによって実行され、スポンサーとなったユーザ端末Ｕが共有鍵を記憶する。
本実施形態では、全てのユーザ端末Ｕが対応するリーフノードからルートノードに至るまでの全てのノードのスポンサーとなるものとする。
すなわち、あるノードで鍵情報を生成する際に、このノードの配下に対応付けられた各ユーザ端末Ｕ、すなわちスポンサーがそれぞれ少なくとも１回、他のユーザ端末Ｕと鍵共有し、同一の鍵情報を取得する。

具体的には、まず、ノード＜２，０＞の鍵情報を生成するために、子ノードの＜３，０＞及び＜３，１＞それぞれのスポンサーであるＵ_０とＵ_１とが鍵共有のプロトコルを実行する。
続いて、ノード＜１，０＞の鍵情報を生成するために、子ノード＜２，０＞のスポンサーであるＵ_０及びＵ_１と、＜２，１＞のスポンサーであるＵ_２との間で鍵共有のプロトコルを実行する。すなわち、Ｕ_０とＵ_２、Ｕ_１とＵ_２がそれぞれ鍵共有のプロトコルを実行することで、Ｕ_０〜Ｕ_２がそれぞれ共通のノード＜１，０＞の鍵情報を取得する。

次に、ルートノード＜０，０＞の鍵情報を生成するために、子ノード＜１，０＞のスポンサーであるＵ_０、Ｕ_１及びＵ_２と、＜１，１＞のスポンサーであるＵ_３及びＵ_４との間で鍵共有のプロトコルを実行する。すなわち、例えば、Ｕ_０とＵ_３、Ｕ_１とＵ_３、Ｕ_２とＵ_４がそれぞれ鍵共有のプロトコルを実行することで、Ｕ_０〜Ｕ_４がそれぞれルートノード＜０，０＞の鍵情報を取得する。
なお、鍵共有のプロトコルを実行するスポンサーの組み合わせは、他にＵ_０とＵ_４、Ｕ_１とＵ_４、Ｕ_２とＵ_３があるが、全スポンサーが鍵共有するためには冗長なため、必ずしも必要ではない。つまり、各スポンサーが少なくとも１回鍵共有を行える組み合わせが選択されればよい。

図２は、本実施形態に係るユーザ端末Ｕの機能構成を示すブロック図である。
ユーザ端末Ｕは、パーソナルコンピュータ又はサーバ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、入出力デバイス及び外部装置との通信インタフェース等を備える。

制御部１０は、記憶部２０に格納されたソフトウェアを読み出し実行することにより、次の各部として機能する。
すなわち、制御部１０は、秘密情報選択部１１と、鍵情報生成部１２と、秘密情報算出部１３と、グループ鍵生成部１４とを備える。

秘密情報選択部１１は、木構造グラフにおけるリーフノードのそれぞれにおいて、同一階層内の奇数ノード（＜ｕ，ｖ＞のｖが奇数）又は偶数ノード（＜ｕ，ｖ＞のｖが偶数）で互いに異なる空間から秘密情報の組を選択する。

鍵情報生成部１２は、共通の親ノードを持つノード間、例えば共通の親ノード＜２，０＞を持つノード＜３，０＞と＜３，１＞との間で、秘密情報の組を用いてＳＩＤＨ鍵共有プロトコルを実行し、親ノードの鍵情報を生成する。

秘密情報算出部１３は、鍵情報生成部１２により生成されたあるノードの鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、このノードの秘密情報の組を算出する。

グループ鍵生成部１４は、ルートノードの鍵情報を、例えば所定のハッシュ関数を用いて所定の鍵長に整形しグループ鍵を生成する。

図３は、本実施形態に係るＳＩＤＨ鍵共有プロトコルの手順を示す図である。
ここでは、Ａｌｉｃｅ（Ａ）及びＢｏｂ（Ｂ）の双方が所定の手順により共有鍵を生成する（非特許文献１参照）。
なお、公開パラメータとして、素数ｐ＝ｌ_Ａ ^ｅＡｌ_Ｂ ^ｅＢｆ±１（ｌ_Ａ，ｌ_Ｂ，ｅ_Ａ，ｅ_Ｂ，ｆ：整数の定数）、楕円曲線Ｅ_０、及び楕円曲線Ｅ_０上の２組の２点｛Ｐ_Ａ，Ｑ_Ａ｝，｛Ｐ_Ｂ，Ｑ_Ｂ｝が定義されている。

（１−１）Ａｌｉｃｅは、秘密情報ｍ_Ａ，ｎ_Ａを、Ｚ／ｌ_Ａ ^ｅＡＺからランダムに選択する。
（１−２）Ａｌｉｃｅは、秘密情報ｍ_Ａ，ｎ_Ａを用いて、同種写像φ_Ａ：＝Ｅ_０／＜［ｍ_Ａ］Ｐ_Ａ＋［ｎ_Ａ］Ｑ_Ａ＞を計算する。
（１−３）Ａｌｉｃｅは、φ_Ａ（Ｐ_Ｂ），φ_Ａ（Ｑ_Ｂ），Ｅ_Ａ＝φ_Ａ（Ｅ_０）を計算し、Ｂｏｂに送る。

（２−１）Ｂｏｂは、秘密情報ｍ_Ｂ，ｎ_Ｂを、Ｚ／ｌ_Ｂ ^ｅＢＺからランダムに選択する。
（２−２）Ｂｏｂは、秘密情報ｍ_Ｂ，ｎ_Ｂを用いて、同種写像φ_Ｂ：＝Ｅ_０／＜［ｍ_Ｂ］Ｐ_Ｂ＋［ｎ_Ｂ］Ｑ_Ｂ＞を計算する。
（２−３）Ｂｏｂは、φ_Ｂ（Ｐ_Ａ），φ_Ｂ（Ｑ_Ａ），Ｅ_Ｂ＝φ_Ｂ（Ｅ_０）を計算し、Ａｌｉｃｅに送る。

（３−１）Ｂｏｂは、自身の同種写像φ_Ｂを用いて、φ_Ｂ（φ_Ａ（Ｐ_Ｂ）），φ_Ｂ（φ_Ａ（Ｑ_Ｂ）），Ｅ_ＡＢ＝φ_Ｂ（Ｅ_Ａ）を計算する。
（３−２）Ｂｏｂは、楕円曲線のｊ−不変量Ｋ：＝ｊ（Ｅ_ＡＢ）を、Ａｌｉｃｅと共通の値として得る。

（４−１）Ａｌｉｃｅは、自身の同種写像φ_Ａを用いて、φ_Ａ（φ_Ｂ（Ｐ_Ａ）），φ_Ａ（φ_Ｂ（Ｑ_Ａ）），Ｅ_ＢＡ＝φ_Ａ（Ｅ_Ｂ）を計算する。
（４−２）Ａｌｉｃｅは、楕円曲線のｊ−不変量Ｋ：＝ｊ（Ｅ_ＢＡ）を、Ｂｏｂと共通の値として得る。

図４は、本実施形態に係るツリー型グループ鍵合意プロトコルの手順を示す図である。
公開パラメータとして、以下が定義されているものとする。なお、グループ鍵の長さをｋビット、Ｚを有理整数環、Ｆ_ｐをｐ個の元を持つ有限体とする。

ステップ１において、ユーザ端末Ｕは、木構造グラフの最下層（ｕ＝ｕ_ｍａｘ）からルートノードの１階層下（ｕ＝１）まで、ステップ２〜３の処理を繰り返す。

ステップ２において、スポンサーＳ_{＜ｕ，ｖ＞}は、値ι＝ｖ（ｍｏｄ２）とすると、ノード＜ｕ，ｖ＞が奇数ノード（ι＝１）か偶数ノード（ι＝０）かに応じて、ノード毎の秘密情報ｍ_{＜ｕ，ｖ＞}，ｎ_{＜ｕ，ｖ＞}を設定する。
＜ｕ，ｖ＞がリーフノードの場合、スポンサーＳ_{＜ｕ，ｖ＞}は、Ｚ／ｌ_ι ^ｅιＺからランダムに秘密情報を選択する。
＜ｕ，ｖ＞がリーフノードでない場合、スポンサーＳ_{＜ｕ，ｖ＞}は、後述のステップで生成される鍵情報Ｋ_{＜ｕ，ｖ＞}を用いて、ιに応じて異なるハッシュ演算を行い、ιに応じた空間の秘密情報を算出する。

さらに、スポンサーＳ_{＜ｕ，ｖ＞}は、設定した秘密情報ｍ_{＜ｕ，ｖ＞}，ｎ_{＜ｕ，ｖ＞}を用いて、タプル｛Ｅ_{Ｓ＜ｕ，ｖ＞}，φ_{Ｓ＜ｕ，ｖ＞}（Ｐ_ι），φ_{Ｓ＜ｕ，ｖ＞}（Ｑ_ι）｝を計算し、Ｓ’_{＜ｕ，ｖ＞}へ送信する。
なお、Ｓ’_{＜ｕ，ｖ＞}は、ノード＜ｕ，ｖ＞と親ノードが共通であるノードのスポンサー、すなわちＳＩＤＨ鍵共有プロトコルの実行相手である。

ステップ３において、スポンサーＳ’_{＜ｕ，ｖ＞}は、Ｓ_{＜ｕ，ｖ＞}から受け取ったタプルと、自身の秘密情報を用いて、親ノードの鍵情報Ｋ_{＜ｕ−１，ｆｌｏｏｒ（ｖ／２）＞}＝ｊ（Ｅ_{Ｓ＜ｕ，ｖ＞Ｓ’＜ｕ，ｖ＞}）を計算する。なお、ｆｌｏｏｒ（ｘ）は、ｘを超えない最大の整数である。
親ノードのスポンサーは、前述のように、Ｓ_{＜ｕ，ｖ＞}∪Ｓ’_{＜ｕ，ｖ＞}となる。

ステップ４において、ルートノードまで鍵情報が計算されていない場合、ステップ１に戻ってループ処理が継続される。
ステップ５において、グループ内の全てのユーザ端末Ｕは、ステップ１〜４のループ処理により、ルートノードの鍵情報Ｋ_{＜０，０＞}を得る。
ユーザ端末Ｕは、このルートノードの鍵情報にハッシュ演算を行い、所定の長さのグループ鍵Ｋ＝Ｈ’_ｔ（ｊ（Ｅ_{Ｓ＜１，０＞Ｓ＜１，１＞}））を得る。

本実施形態によれば、鍵合意システム１は、ＳＩＤＨ鍵共有プロトコルで生成される鍵情報に対して所定の空間へのハッシュ演算を行うことで、さらにＳＩＤＨ鍵共有プロトコルで使用可能な秘密情報を算出できる。また、鍵合意システム１は、奇数ノード又は偶数ノードのいずれかによって空間（秘密情報の分布）が異なるＳＩＤＨ鍵共有プロトコルに対応して、個別にハッシュ関数を設けた。
したがって、鍵合意システム１は、リーフノードにユーザ端末Ｕが対応付けられた木構造グラフで定義されたグループにおいて、上位のノードの秘密情報を、二者間で共有された鍵情報から二者間で共通して算出できる。この結果、上位のノード間でさらにＳＩＤＨ鍵共有プロトコルを実行できるため、量子計算機に耐性を持つ次世代公開鍵暗号によりグループ鍵を共有できる。

また、鍵合意システム１は、グループ内の全ユーザ端末Ｕが各階層で少なくとも１回、鍵共有を行う。これにより、グループ内の全ユーザがルートノードの鍵情報を算出でき、グループ鍵を共有できる。

［第２実施形態］
以下、本発明の第２実施形態について説明する。
なお、第１実施形態と同様の構成については同一の符号を付し、説明を省略又は簡略化する。

第１実施形態では、あるノードの配下に対応付けられた全てのユーザ端末Ｕがこのノードのスポンサーとなった。本実施形態では、配下に対応付けられた全てのユーザ端末Ｕのうち、少なくとも１台がスポンサーとなる。
すなわち、親ノードの鍵情報を生成する際に、子ノードそれぞれ少なくとも１台ずつのユーザ端末Ｕの間で、鍵共有が行われる。

例えば、図１に示した木構造グラフの例では、まず、ノード＜２，０＞の鍵情報を生成するために、子ノードの＜３，０＞及び＜３，１＞それぞれのスポンサーであるＵ_０とＵ_１とが鍵共有のプロトコルを実行する。ここで、ノード＜２，０＞のスポンサーとして、子ノードのスポンサーから１台、例えばＵ_０が選択される。

続いて、ノード＜１，０＞の鍵情報を生成するために、子ノード＜２，０＞のスポンサーであるＵ_０と、＜２，１＞のスポンサーであるＵ_２との間で鍵共有のプロトコルを実行する。これにより、Ｕ_０及びＵ_２がそれぞれ共通のノード＜１，０＞の鍵情報を取得するが、Ｕ_１は、この時点でノード＜１，０＞の鍵情報を取得できていない。

同様に、ルートノード＜０，０＞の鍵情報を生成するために、子ノード＜１，０＞のスポンサーとして選ばれたＵ_０と、＜１，１＞のスポンサーとして選ばれたＵ_３との間で鍵共有のプロトコルを実行する。これにより、Ｕ_０及びＵ_３がそれぞれルートノード＜０，０＞の鍵情報を取得する。

本実施形態では、この後、ルートノード＜０，０＞の鍵情報を得られていないユーザ端末Ｕ_１，Ｕ_２，Ｕ_４に対して、後述のようにグループ鍵が配送される。

図５は、本実施形態に係るユーザ端末Ｕの機能構成を示すブロック図である。
制御部１０は、第１実施形態（図２）の構成に加えて、鍵配送部１５をさらに備える。
鍵配送部１５は、生成されたグループ鍵を、各階層のノード間で共有された鍵情報により配送する。

具体的には、例えば、前述の例では、ユーザ端末Ｕ_０及びＵ_３においてグループ鍵が生成された。この後、例えばＵ_０とＵ_２との間で共有されたノード＜１，０＞の鍵情報を用いて、Ｕ_０がＵ_２へグループ鍵を配送する。同様に、Ｕ_０とＵ_１との間で共有されたノード＜２，０＞の鍵情報を用いて、Ｕ_０がＵ_１へグループ鍵を配送し、Ｕ_３とＵ_４との間で共有されたノード＜１，１＞の鍵情報を用いて、Ｕ_３がＵ_４へグループ鍵を配送する。

本実施形態によれば、鍵合意システム１は、木構造グラフの各ノードのスポンサーとして、少なくとも１台のユーザ端末Ｕを割り当て、この結果、スポンサーに選ばれなかったユーザ端末Ｕに対しては、各階層の二者間で共有された鍵情報によりグループ鍵を配送する。これにより、鍵合意システム１は、二者間の鍵共有プロトコルの実行回数を減らし、処理負荷を低減できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

鍵合意システム１による鍵合意方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

Ｕユーザ端末
１鍵合意システム
１０制御部
１１秘密情報選択部
１２鍵情報生成部
１３秘密情報算出部
１４グループ鍵生成部
１５鍵配送部
２０記憶部

Claims

複数の端末が木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵合意システムであって、
前記リーフノードのそれぞれにおいて、同一階層内の奇数ノード又は偶数ノードで互いに異なる空間から秘密情報の組を選択する秘密情報選択部と、
共通の親ノードを持つノード間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成する鍵情報生成部と、
前記鍵情報生成部により生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出する秘密情報算出部と、
ルートノードの前記鍵情報に基づいて、前記グループ鍵を生成するグループ鍵生成部と、を備える鍵合意システム。
前記親ノードで前記鍵情報を生成する際に、当該親ノードの配下に対応付けられた各端末がそれぞれ少なくとも１回、前記鍵情報生成部により他の端末と鍵共有し、同一の前記鍵情報を取得する請求項１に記載の鍵合意システム。
前記親ノードで前記鍵情報を生成する際に、子ノードそれぞれ少なくとも１台ずつの前記端末の間で、前記鍵情報生成部により鍵共有し、
前記グループ鍵を、前記ノード間で共有された前記鍵情報により配送する鍵配送部を備える請求項１に記載の鍵合意システム。
複数の端末が木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵合意方法であって、
前記リーフノードに対応付けられた端末のそれぞれが、同一階層内の奇数ノード又は偶数ノードで互いに異なる空間から秘密情報の組を選択し、
共通の親ノードを持つノードの配下に対応付けられた端末間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成し、
前記親ノードの配下に対応付けられた端末が、生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出し、
ルートノードの前記鍵情報を生成した端末が、当該鍵情報に基づいて、前記グループ鍵を生成する鍵合意方法。
木構造グラフのリーフノードに対応付けられたグループにおいて、グループ鍵を共有する鍵生成装置であって、
自装置が対応付けられたリーフノードが同一階層内において、奇数ノードか又は偶数ノードかに応じて、互いに異なる空間から秘密情報の組を選択する秘密情報選択部と、
共通の親ノードを持つノードの配下に対応付けられた他の装置との間で、前記秘密情報の組を用いてＳＩＤＨ（ＳｕｐｅｒｓｉｎｇｕｌａｒＩｓｏｇｅｎｙＤｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵共有プロトコルを実行し、当該親ノードの鍵情報を生成する鍵情報生成部と、
生成された前記鍵情報に対して、同一階層内の奇数ノード又は偶数ノードで互いに異なるハッシュ関数を用いて、前記秘密情報の組を算出する秘密情報算出部と、
ルートノードの前記鍵情報に基づいて、前記グループ鍵を生成するグループ鍵生成部と、を備える鍵生成装置。