JP7254296B2 - 鍵交換システム、情報処理装置、鍵交換方法及びプログラム - Google Patents

Description

本発明は、鍵交換システム、情報処理装置、鍵交換方法及びプログラムに関する。

近年、グループでの会話ができるコミュニケーションツールの普及に伴い、多者間で効率よく鍵交換を行う多者間鍵交換技術に注目が集まっている。多者間鍵交換技術の１つとして、ＩＤ－ＤＭＫＤと呼ばれるプロトコルが知られている（非特許文献１参照）。ＩＤ－ＤＭＫＤは同期型の多者間鍵交換プロトコルであり、サーバを中心としたスター型の通信ネットワーク上でユーザ同士がやり取りを行い、効率よく鍵の共有を行う技術である。また、ＩＤ－ＤＭＫＤはＩＤベースの鍵交換プロトコルであるため、公開鍵基盤が不要であるという特徴もある。

Kazuki YONEYAMA, Reo YOSHIDA, Yuto KAWAHARA, Tetsutaro KOBAYASHI, Hitoshi FUJI, Tomohide YAMAMOTO, "Exposure-Resilient Identity-Based Dynamic Multi-Cast Key Distribution", IEICE Transactions on Fundamentals of Electronics, Communications and Computer Sciences 2018 E101.A-6, pp929-944, 2018.

しかしながら、ＩＤ－ＤＭＫＤは同期型のプロトコルであるため、グループ内のユーザ全員がオンラインである必要がある。このため、適用できるアプリケーションが限られていた。

本発明の一実施形態は、上記の点に鑑みてなされたもので、非同期型のＩＤベース多者間鍵交換プロトコルを実現することを目的とする。

上記目的を達成するため、一実施形態に係る鍵交換システムは、第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムであって、前記第１の端末は、前記補助サーバで生成された暗号化鍵で前記グループ鍵を暗号化した暗号化グループ鍵を生成した後、前記１以上の第２の端末の識別情報を用いて前記暗号化グループ鍵をＩＤベース暗号により暗号化した第１の暗号文を生成する暗号化手段と、前記第１の暗号文を前記補助サーバに送信する第１の送信手段と、を有し、前記補助サーバは、前記第１の端末から受信した第１の暗号文を、前記１以上の第２の端末毎に分割した分割暗号文を生成する分割手段と、前記１以上の第２の端末のうち、オンラインの第２の端末に対して、該第２の端末に対応する分割暗号文を送信する第２の送信手段と、前記第２の端末からの復号依頼に応じて、該第２の端末から受信した第２の暗号文を、前記暗号化鍵に対応する復号鍵で復号する第１の復号手段と、前記第１の復号手段で復号された情報を前記第２の端末に送信する第３の送信手段と、を有し、前記第２の端末は、前記補助サーバから受信した分割暗号文を、前記第２の端末の識別情報に対応するユーザ秘密鍵により前記暗号化グループ鍵に復号する第２の復号手段と、前記暗号化グループ鍵に対してノイズを付加したノイズ付き暗号化グループ鍵を生成するノイズ付加手段と、前記ノイズ付き暗号化グループ鍵の復号依頼を前記補助サーバに依頼する依頼手段と、を有することを特徴とする。

非同期型のＩＤベース多者間鍵交換プロトコルを実現することができる。

本実施形態に係る鍵交換システムの全体構成の一例を示す図である。 コンピュータのハードウェア構成の一例を示す図である。 通信端末が送信端末である場合の機能構成の一例を示す図である。 通信端末が受信端末である場合の機能構成の一例を示す図である。 鍵交換補助サーバの機能構成の一例を示す図である。 秘密鍵生成サーバの機能構成の一例を示す図である。 セットアップ処理の一例を示すフローチャートである。 ＩＤベース秘密鍵の生成処理の一例を示すフローチャートである。 鍵交換処理の一例を示すシーケンス図である。 応用例１における鍵交換システムの全体構成の一例を示す図である。 メールサーバの機能構成の一例を示す図である。 メール送受信処理の一例を示すシーケンス図である。 応用例２における鍵交換システムの全体構成の一例を示す図である。 ファイル共有サーバの機能構成の一例を示す図である。 ファイル共有処理の一例を示すシーケンス図である。

以下、本発明の一実施形態について説明する。本実施形態では、非同期型のＩＤベース多者間鍵交換プロトコルを実現する鍵交換システム１について説明する。非同期型の多者間鍵交換プロトコルでは、鍵（グループ鍵）の交換を行う際にグループ内の全員がオンラインである必要がない。このため、非同期型のＩＤベース多者間鍵交換プロトコルは、同期的なアプリケーション（例えば、電話やＶＰＮ（Virtual Private Network）、オンラインチャット等）だけでなく、例えば、メールやファイル共有、オフラインチャット等の非同期的なアプリケーションにも適用することができる。なお、グループとは、鍵交換を行うユーザの集合のことである。

また、上述したように、ＩＤベースで鍵交換プロトコルを実現することにより、公開鍵基盤が不要となる。このため、ユーザと公開鍵とを公開鍵基盤で紐付けたり、ユーザが証明書管理を行ったりすること等が不要となる。

なお、非同期型の多者間鍵交換プロトコルの従来技術として、以下の参考文献１及び２に記載されている技術が知られている。

［参考文献１］
Katriel Cohn-Gordon, Cas Cremers, Luke Garratt, Jon Millican, and Kevin Milner, "On ends-to-ends encryption: Asynchronous group messaging with strong security guarantees", IACR Cryptology ePrint Archive, 2017.
［参考文献２］
Colin Boyd, Gareth T. Davies, Kristian Gjosteen, Yao Jiang, "Offline Assisted Group Key Exchange", International Conference on Information Security 2018, volume 11060 of LNCS, pp.268-285, Springer, 2018.
しかしながら、上記の参考文献１及び参考文献２に記載されている多者間鍵交換プロトコルはいずれも公開鍵ベースである（つまり、公開鍵基盤が必要となる）。加えて、上記参考文献１に記載されている多者間鍵交換プロトコルでは、鍵交換を行える回数に制限がある。例えば、メール等のアプリケーションではメッセージを一通受信する毎に新しいグループ鍵を用いる（つまり、鍵交換を行う）ことを前提に考えられているが、予め受信するメッセージの総数を予測することは困難であるため、鍵交換を行える回数に制限がないことが好ましい。

一方で、上記の参考文献２に記載されている多者間鍵交換プロトコルは鍵交換を行える回数に制限はないものの、ＭＥＸ安全性を満たしていないため、ユーザの一時秘密鍵が漏洩した場合はグループ鍵の安全性が保証されない。なお、ＭＥＸ安全性とは、一時秘密鍵と長期秘密鍵の両方の漏洩に対する安全性のことである。

そこで、本実施形態では、非同期型のＩＤベース多者間鍵交換プロトコルとして、鍵交換を行える回数に制限がなく、かつ、グループに属する各ユーザの一時秘密鍵及び長期秘密鍵に関して、グループ鍵が明らかに計算できる組み合わせ（例えば、同一ユーザの一時秘密鍵と長期秘密鍵との組み合わせや、秘密鍵生成サーバのマスター鍵と或るユーザの一時秘密鍵との組み合わせ等）以外の漏洩があったとしても、グループ鍵の安全性は失われない多者間鍵交換プロトコルを構成する。

また、本実施形態では、多者間鍵交換プロトコルのＩＤベース暗号として、ＩＤベースマルチレシーバサインクリプションを用いる。これにより、ＩＤベース暗号における署名部分の計算と暗号文の長さとをグループ人数（グループに属するユーザ数）に比例しないように構成することができ、効率のよい多者間鍵交換を実現することができる。なお、ＩＤベースマルチレシーバサインクリプションについては、例えば、以下の参考文献３を参照されたい。

［参考文献３］
Fagen Li, Hu Xiong, and Xuyun Nie, "A New Multi-Receiver ID-Based Signcryption Scheme for Group Communications", In: Proceedings of International Conference on Communications, Circuits and Systems, pp. 296-300, IEEE CS, 2009.
＜全体構成＞
まず、本実施形態に係る鍵交換システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る鍵交換システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る鍵交換システム１には、複数の通信端末１０と、鍵交換補助サーバ２０と、秘密鍵生成サーバ３０とが含まれる。また、各通信端末１０と、鍵交換補助サーバ２０と、秘密鍵生成サーバ３０とは、例えば、インターネット等の通信ネットワークＮを介して通信可能に接続される。

通信端末１０は、グループ鍵の交換を行うユーザが利用する各種端末である。通信端末１０としては、例えば、ＰＣ（パーソナルコンピュータ）やスマートフォン、タブレット端末、電話機等を用いることが可能である。ただし、これらに限られず、通信端末１０として、任意の端末を用いることが可能である。

本実施形態では、グループの作成者（つまり、鍵交換を開始するユーザ）を「送信者」、当該グループに属する他のユーザを「受信者」として、送信者が利用する通信端末１０を「送信端末１１」、受信者が利用する通信端末１０を「受信端末１２」とも表す。また、受信端末１２はｎ台（ｎは１以上の整数）であるものとして、各受信端末１２の各々を区別する場合には「受信端末１２_ｉ」（ｉ＝１，・・・，ｎ）と表す。

鍵交換補助サーバ２０は、通信端末１０の間での鍵交換を補助するサーバ装置である。鍵交換補助サーバ２０は、例えば、グループ鍵を暗号化するための暗号化鍵やその復号を行うための復号鍵を生成する。

秘密鍵生成サーバ３０は、ＩＤベース暗号に用いられるマスター秘密鍵を生成したり、ユーザ秘密鍵（ＩＤベース秘密鍵）を生成したりするサーバ装置である。

＜非同期型のＩＤベース多者間鍵交換プロトコルの構成＞
ここで、本実施形態における非同期型ＩＤベース多者間鍵交換プロトコルの構成について説明する。まず、本実施形態における非同期型ＩＤベース多者間鍵交換プロトコルでは、以下の手順１～手順９によりグループ鍵の鍵交換を行う。ここで、各通信端末１０と鍵交換補助サーバ２０にはＩＤが割り振られており、各通信端末１０と鍵交換補助サーバ２０は自身のＩＤに対応するＩＤベース秘密鍵を保持しているものとする。また、各通信端末１０と鍵交換補助サーバ２０は、後述するハッシュ値の計算に用いられる長期秘密鍵を各自で予め生成し、保持しているものとする。なお、ＩＤとは、各通信端末１０やそのユーザ、鍵交換補助サーバ２０を識別する識別情報のことであり、任意の識別情報を使用することができる。ＩＤとして、例えば、ユーザのメールアドレス、ＳＮＳ（Social Networking Service）のユーザＩＤ、電話番号、住所、氏名、マイナンバー、ＤＮＡ等の生体情報、ＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレス、ＵＲＬ（Uniform Resource Locator）、クレジットカード番号、機器や装置の製造固有番号等が挙げられる。

手順１：送信端末１１は、鍵交換補助サーバ２０に暗号化鍵を要求する。鍵交換補助サーバ２０は、自身の長期秘密鍵と一時秘密鍵とのハッシュ値を用いて暗号化鍵と復号鍵とのペアを生成し、そのうちの暗号化鍵を送信端末１１に送信する。

手順２：送信端末１１は、グループ内のユーザで共有したいグループ鍵を生成し、暗号化鍵と、自身の長期秘密鍵と一時秘密鍵とのハッシュ値とを用いて当該グループ鍵を暗号化する。

手順３：送信端末１１は、自身の長期秘密鍵と一時秘密鍵とのハッシュ値と、当該グループに属する各受信者のＩＤとを用いて、暗号化されたグループ鍵をＩＤベース暗号により暗号化する。なお、上述したように、このＩＤベース暗号として、ＩＤベースマルチレシーバサインクリプションを用いる。

手順４：送信端末１１は、上記の手順３でＩＤベース暗号により暗号化されたグループ鍵の暗号文を鍵交換補助サーバ２０に送信する。

手順５：鍵交換補助サーバ２０は、暗号文を各受信者用に分割し、各受信者がオンラインになった時点で、当該受信者用の暗号文を送信する。

手順６：受信端末１２は、鍵交換補助サーバ２０から受け取った暗号文を自身のＩＤベース秘密鍵で復号し、上記の手順２で暗号化されたグループ鍵を得る。

手順７：受信端末１２は、上記の手順６で得られた暗号化されたグループ鍵にノイズを付加し、このノイズ付加後の暗号化されたグループ鍵の復号を鍵交換補助サーバ２０に依頼する。

手順８：鍵交換補助サーバ２０は、ノイズが付加後の暗号化されたグループ鍵を、上記の手順１で生成した復号鍵を用いて復号し、当該受信端末１２に送り返す。

手順９：受信端末１２は、ノイズが付加されているグループ鍵を鍵交換補助サーバ２０から受け取り、そのノイズを除去し、グループ鍵を得る。

以上の手順１～手順９によってグループ内のユーザ間でグループ鍵が共有される。上記の手順１～手順９に示されているように、送信者と受信者との間で直接データのやり取りを行わないため、送信者が他のユーザと同時にオンラインである必要がなく、非同期型であることがわかる。また、暗号化や鍵生成、ノイズ付加の部分で長期秘密鍵とその場で生成される一時秘密鍵との両方を用いているため、同一ユーザのどちらか一方の秘密鍵（長期秘密鍵又は一時秘密鍵）のみからではグループ鍵を計算することができない。このため、ユーザの一時秘密鍵、長期秘密鍵どちらの漏洩も考慮した高い安全性を満たしていることがわかる。

更に、上記の手順７で暗号化されたグループ鍵にノイズを付加した上で鍵交換補助サーバ２０に復号を依頼しているため、鍵交換補助サーバ２０は、グループ鍵の情報を得ることができない。また、上記の手順３でＩＤベースマルチレシーバサインクリプションを用いている。これにより、ＩＤをそのままユーザの公開鍵とすることができるため公開鍵基盤が不要であると共に、署名部分の計算と暗号文の長さとがグループ人数に比例しないため効率のよい鍵交換を行うことができる。

上記の手順１～手順９によって鍵交換を行うために、本実施形態では、以下のハッシュ関数Hと、ＩＤベースマルチレシーバサインクリプション（IBE_Setup, IBE_Extract, IBE_Signcryption, Ciphertext_Division, IBE_Unsigncryption）（参考文献３参照）と、ブラインド鍵カプセル化メカニズム（KEM_Setup, KEM_Encap, Blind, KEM_Decap, Unblind）（参考文献２参照）とを用いて非同期型ＩＤベース多者間鍵交換プロトコルを構成する。以降では、送信端末１１をＡ，受信端末１２_ｉをｉとも表し、送信端末１１とｎ台の受信端末１２_ｉ（ｉ＝１，・・・，ｎ）との間でグループ鍵mekを共有する場合について説明する。

・ハッシュ関数
H(stk, epk)→r：通信端末１０又は鍵交換補助サーバ２０の長期秘密鍵stkと一時秘密鍵epkとを入力として、ハッシュ値rを出力するアルゴリズム。

すなわち、ハッシュ関数Hは長期秘密鍵と一時秘密鍵とから疑似乱数値を生成している。なお、本実施形態ではハッシュ関数Hを用いる場合について説明するが、これに限られず、ハッシュ関数Hの代わりに、例えば、ねじれ疑似ランダム関数（非特許文献１参照）を用いる等、任意の生成方法で長期秘密鍵と一時秘密鍵とから疑似乱数値を生成してもよい。

・ＩＤベースマルチレシーバサインクリプション
IBE_Setup(1^k)→(msk, Params_IBE)：セキュリティパラメータkを入力として、ＩＤベース暗号用のマスター秘密鍵mskと公開情報Params_IBEとを出力するアルゴリズム。ここで、公開情報Params_IBEには、マスター公開鍵P_pubと、各通信端末１０（つまり、送信端末１１と各受信端末１２_ｉ）及び鍵交換補助サーバ２０のＩＤとが含まれる。

IBE_Extract(ID_U, msk)→sk_U：通信端末１０又は鍵交換補助サーバ２０のＩＤ ID_Uとマスター秘密鍵mskとを入力として、通信端末１０又は鍵交換補助サーバ２０のＩＤベース秘密鍵sk_Uを出力する。ここで、鍵交換補助サーバ２０をserverとして、U∈｛A, 1, … ,n, server｝である。

IBE_Signcryption(ID₁, … ,ID_n, Cap, r)→c_mek：全ての受信端末１２_ｉのＩＤ ID₁, … ID_nと、ブラインド鍵カプセル化メカニズム（Blinded ＫＥＭ：Blinded Key Encapsulation Mechanism）の暗号化鍵の暗号文Capと、ハッシュ値rとを入力として、CapをID₁, … ID_nに対してＩＤベースマルチレシーバサインクリプションを行った暗号文c_mekを出力するアルゴリズム。ここで、stk_Aを送信端末１１の長期秘密鍵、epk_Aを送信端末１１の一時秘密鍵として、r=H(stk_A, epk_A)とする。

Ciphertext_Division(c_mek, ID_i)→c_mek,i：暗号文c_mekと、受信端末１２_ｉのＩＤ ID_iとを入力として、暗号文c_mekを各受信端末１２_ｉ（ｉ＝１，・・・，ｎ）用に分割し、その中の受信端末１２_ｉ用の暗号文c_mek,iを出力するアルゴリズム。

IBE_Unsigncryption(c_mek,i, sk_i, ID_A, P_pub)→Cap：受信端末１２_ｉ用の暗号文c_mek,iと、受信端末１２_ｉのＩＤベース秘密鍵sk_iと、送信端末１１のＩＤ ID_Aと、公開鍵P_pubとを入力として、送信者の署名の検証を行い、署名が正しければ暗号文c_mek,iの復号結果Capを出力し、署名が正しくなければ、復号に失敗したことを示す⊥を出力するアルゴリズム。

・ブラインド鍵カプセル化メカニズム
KEM_Setup(1^k, r)→(ek, dk)：セキュリティパラメータkとハッシュ値rとを入力として、ＫＥＭ用の暗号鍵ペア（暗号化鍵ek及び復号鍵dk）を出力するアルゴリズム。ここで、stk_serverを鍵交換補助サーバ２０の長期秘密鍵、epk_serverを鍵交換補助サーバ２０の一時秘密鍵として、r=H(stk_server, epk_server)とする。

KEM_Encap(ek, r)→(Cap, mek)：ＫＥＭ用の暗号化鍵ekとハッシュ値rとを入力として、グループ鍵mekと、グループ鍵mekを暗号化鍵ekで暗号化したグループ鍵暗号文Capとを出力するアルゴリズム。ここで、r=H(stk_A, epk_A)とする。

Blind(Cap, r)→(Cap_blind,i, bk_i)：グループ鍵暗号文Capとハッシュ値rとを入力として、Capにノイズを付加したノイズ付きグループ鍵暗号文Cap_blind,iと、このノイズを除去するためのノイズ除去鍵bk_iとを出力する。ここで、stk_iを受信端末１２_ｉの長期秘密鍵、epk_iを受信端末１２_ｉの一時秘密鍵として、r=H(stk_i, epk_i)とする。

KEM_Decap(Cap_blind,i,dk)→mek_blind,i：ノイズ付きグループ鍵暗号文Cap_blind,iと、ＫＥＭ用の復号鍵dkとを入力として、そのキャップを外したノイズ付きグループ鍵mek_blind,iを出力する。

Unblind(mek_blind,i, bk_i)→mek：ノイズ付きグループ鍵mek_blind,iと、ノイズ除去鍵bk_iとを入力として、そのノイズを除去したグループ鍵mekを出力する。

＜ハードウェア構成＞
次に、本実施形態に係る鍵交換システム１に含まれる通信端末１０、鍵交換補助サーバ２０及び秘密鍵生成サーバ３０のハードウェア構成について説明する。通信端末１０、鍵交換補助サーバ２０及び秘密鍵生成サーバ３０は一般的なコンピュータ（情報処理装置）のハードウェア構成により実現可能であり、例えば、図２に示すコンピュータ６００のハードウェア構成により実現可能である。図２は、コンピュータ６００のハードウェア構成の一例を示す図である。

図２に示すコンピュータ６００は、ハードウェアとして、入力装置６０１と、表示装置６０２と、外部Ｉ／Ｆ６０３と、通信Ｉ／Ｆ６０４と、プロセッサ６０５と、メモリ装置６０６とを有する。これら各ハードウェアは、それぞれがバス６０７を介して通信可能に接続されている。

入力装置６０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置６０２は、例えば、ディスプレイ等である。なお、コンピュータ６００は、入力装置６０１及び表示装置６０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ６０３は、外部装置とのインタフェースである。外部装置には、記録媒体６０３ａ等がある。なお、記録媒体６０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ６０４は、通信ネットワークＮに接続するためのインタフェースである。プロセッサ６０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。メモリ装置６０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

本実施形態に係る鍵交換システム１に含まれる通信端末１０、鍵交換補助サーバ２０及び秘密鍵生成サーバ３０は、例えば、図２に示すコンピュータ６００のハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２に示すコンピュータ６００のハードウェア構成は一例であって、他のハードウェア構成であってもよい。例えば、コンピュータ６００は、複数のプロセッサ６０５を有していてもよいし、複数のメモリ装置６０６を有していてもよい。

＜機能構成＞
次に、本実施形態に係る鍵交換システム１に含まれる通信端末１０（送信端末１１及び受信端末１２）、鍵交換補助サーバ２０及び秘密鍵生成サーバ３０の機能構成について説明する。

≪送信端末１１≫
通信端末１０が送信端末１１である場合の機能構成について、図３を参照しながら説明する。図３は、通信端末１０が送信端末１１である場合の機能構成の一例を示す図である。

図３に示すように、送信端末１１は、暗号化鍵要求処理部１１１と、グループ鍵生成暗号化処理部１１２と、ＩＤベース署名暗号化処理部１１３とを有する。これら各部は、例えば、送信端末１１にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、送信端末１１は、長期秘密鍵記憶部１１４と、公開情報記憶部１１５と、ＩＤベース秘密鍵記憶部１１６と、暗号化鍵記憶部１１７と、グループ鍵記憶部１１８とを有する。これら各部は、例えば、送信端末１１のメモリ装置等を用いて実現可能である。

暗号化鍵要求処理部１１１は、鍵交換補助サーバ２０に暗号化鍵を要求する。これにより、送信端末１１は、この要求に対する応答として、暗号化鍵ekを得る。

グループ鍵生成暗号化処理部１１２は、KEM_Encapアルゴリズムを実行してグループ鍵mekとグループ鍵暗号文Capとを生成する。

ＩＤベース署名暗号化処理部１１３は、IBE_Signcryptionアルゴリズムを実行して暗号文c_mekを生成し、鍵交換補助サーバ２０に送信する。

長期秘密鍵記憶部１１４は、長期秘密鍵stk_Aを記憶する。公開情報記憶部１１５は、公開情報Params_IBEを記憶する。ＩＤベース秘密鍵記憶部１１６は、ＩＤベース秘密鍵sk_Aを記憶する。暗号化鍵記憶部１１７は、暗号化鍵ekを記憶する。グループ鍵記憶部１１８は、グループ鍵mekを記憶する。

≪受信端末１２≫
通信端末１０が受信端末１２である場合の機能構成について、図４を参照しながら説明する。図４は、通信端末１０が受信端末１２である場合の機能構成の一例を示す図である。

図４に示すように、受信端末１２は、署名検証・復号処理部１２１と、ノイズ付加処理部１２２と、復号依頼処理部１２３と、ノイズ除去処理部１２４とを有する。これら各部は、例えば、受信端末１２にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、受信端末１２は、長期秘密鍵記憶部１２５と、公開情報記憶部１２６と、ＩＤベース秘密鍵記憶部１２７と、ノイズ除去鍵記憶部１２８と、グループ鍵記憶部１２９とを有する。これら各部は、例えば、受信端末１２のメモリ装置等を用いて実現可能である。

署名検証・復号処理部１２１は、IBE_Unsigncryptionアルゴリズムを実行して暗号文c_mek,iの署名検証及び復号を行って、グループ鍵暗号文Capを生成する。

ノイズ付加処理部１２２は、Blindアルゴリズムを実行してノイズ付きグループ鍵暗号文Cap_blind,iとノイズ除去鍵bk_iとを生成する。

復号依頼処理部１２３は、ノイズ付きグループ鍵暗号文Cap_blind,iの復号を鍵交換補助サーバ２０に依頼する。これにより、受信端末１２は、この依頼に対する結果として、ノイズ付きグループ鍵mek_blind,iを得る。

ノイズ除去処理部１２４は、Unblindアルゴリズムを実行してグループ鍵mekを生成する。

長期秘密鍵記憶部１２５は、長期秘密鍵stk_iを記憶する。公開情報記憶部１２６は、公開情報Params_IBEを記憶する。ＩＤベース秘密鍵記憶部１２７は、ＩＤベース秘密鍵sk_iを記憶する。ノイズ除去鍵記憶部１２８は、ノイズ除去鍵bk_iを記憶する。グループ鍵記憶部１２９は、グループ鍵mekを記憶する。

≪鍵交換補助サーバ２０≫
鍵交換補助サーバ２０の機能構成について、図５を参照しながら説明する。図５は、鍵交換補助サーバ２０の機能構成の一例を示す図である。

図５に示すように、鍵交換補助サーバ２０は、暗号鍵ペア生成処理部２０１と、暗号文分割処理部２０２と、暗号文復号処理部２０３とを有する。これら各部は、例えば、鍵交換補助サーバ２０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、鍵交換補助サーバ２０は、長期秘密鍵記憶部２０４と、公開情報記憶部２０５と、ＩＤベース秘密鍵記憶部２０６と、暗号鍵ペア記憶部２０７と、分割暗号文記憶部２０８と、紐付けリスト記憶部２０９とを有する。これら各部は、例えば、鍵交換補助サーバ２０のメモリ装置等を用いて実現可能である。

暗号鍵ペア生成処理部２０１は、送信端末１１からの要求に応じてKEM_Setupアルゴリズムを実行して暗号化鍵ekと復号鍵dkとを生成して、この要求に対する応答として、暗号化鍵ekを当該送信端末１１に送信する。

暗号文分割処理部２０２は、送信端末１１から暗号文c_mekを受信すると、Ciphertext_Divisionアルゴリズムを実行して暗号文c_mekを各受信端末１２_ｉ用に分割した暗号文c_mek,iを生成する。また、暗号文分割処理部２０２は、受信端末１２_ｉがオンラインになった時点で、この受信端末１２_ｉ用の暗号文c_mek,iを当該受信端末１２_ｉに送信する。

暗号文復号処理部２０３は、ノイズ付きグループ鍵暗号文Cap_blind,iの復号を受信端末１２_ｉから依頼されると、KEM_Decapアルゴリズムを実行してノイズ付きグループ鍵mek_blind,iを生成し、この依頼に対する結果として、ノイズ付きグループ鍵mek_blind,iを当該受信端末１２_ｉに送信する。

長期秘密鍵記憶部２０４は、長期秘密鍵stk_serverを記憶する。公開情報記憶部２０５は、公開情報Params_IBEを記憶する。ＩＤベース秘密鍵記憶部２０６は、ＩＤベース秘密鍵sk_serverを記憶する。暗号鍵ペア記憶部２０７は、暗号化鍵ek及び復号鍵dkの暗号鍵ペアを記憶する。分割暗号文記憶部２０８は、各受信端末１２_ｉ用の暗号文c_mek,iを記憶する。紐付けリスト記憶部２０９は、同一グループの各通信端末１０と鍵交換補助サーバ２０とこれら各通信端末１０及び鍵交換補助サーバ２０のＩＤとを対応付けたリスト情報を記憶する。

≪秘密鍵生成サーバ３０≫
秘密鍵生成サーバ３０の機能構成について、図６を参照しながら説明する。図６は、秘密鍵生成サーバ３０の機能構成の一例を示す図である。

図６に示すように、秘密鍵生成サーバ３０は、秘密鍵生成処理部３０１を有する。秘密鍵生成処理部３０１は、例えば、秘密鍵生成サーバ３０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、秘密鍵生成サーバ３０は、公開情報記憶部３０２と、マスター秘密鍵記憶部３０３と、紐付けリスト記憶部３０４とを有する。これら各部は、例えば、秘密鍵生成サーバ３０のメモリ装置等を用いて実現可能である。

秘密鍵生成処理部３０１は、IBE_Setupアルゴリズムを実行してマスター秘密鍵mskと公開情報Params_IBEとを生成する。また、秘密鍵生成処理部３０１は、IBE_Extractアルゴリズムを実行して各通信端末１０及び鍵交換補助サーバ２０のＩＤベース秘密鍵sk_Uを生成し、該当の通信端末１０又は鍵交換補助サーバ２０に送信する。なお、U∈｛A, 1, … ,n, server｝である。

公開情報記憶部３０２は、公開情報Params_IBEを記憶する。マスター秘密鍵記憶部３０３は、マスター秘密鍵mskを記憶する。紐付けリスト記憶部３０４は、同一グループの各通信端末１０と鍵交換補助サーバ２０とこれら各通信端末１０及び鍵交換補助サーバ２０のＩＤとを対応付けたリスト情報を記憶する。

＜処理の流れ＞
以降では、本実施形態に係る鍵交換システム１が実行する処理の流れについて説明する。

≪セットアップ処理≫
まず、セットアップ処理について、図７を参照しながら説明する。図７は、セットアップ処理の一例を示すフローチャートである。

ステップＳ１０１：送信端末１１は、自身の長期秘密鍵stk_Aを生成し、長期秘密鍵記憶部１１４に保存する。同様に、受信端末１２_ｉは、自身の長期秘密鍵stk_iを生成し、長期秘密鍵記憶部１２５に保存する。同様に、鍵交換補助サーバ２０は、自身の長期秘密鍵stk_serverを生成し、長期秘密鍵記憶部２０４に保存する。

ステップＳ１０２：秘密鍵生成サーバ３０の秘密鍵生成処理部３０１は、所定のセキュリティパラメータ1^kを入力としてIBE_Setup(1^k)を実行し、マスター秘密鍵mskと公開情報Params_IBEとを生成する。そして、秘密鍵生成処理部３０１は、マスター秘密鍵mskをマスター秘密鍵記憶部３０３に保存すると共に、公開情報Params_IBEを公開情報記憶部３０２に保存する。

なお、上記のステップＳ１０１及びステップＳ１０２の実行順は順不同である。

ステップＳ１０３：秘密鍵生成サーバ３０は、各通信端末１０及び鍵交換補助サーバ２０に公開情報Params_IBEを公開する。これにより、送信端末１１の公開情報記憶部１１５と、各受信端末１２の公開情報記憶部１２６と、鍵交換補助サーバ２０の公開情報記憶部２０５とに公開情報Params_IBEが保存される。なお、秘密鍵生成サーバ３０は任意の方法で公開情報Params_IBEを公開すればよい。

≪ＩＤベース秘密鍵の生成処理≫
次に、ＩＤベース秘密鍵の生成処理について、図８を参照しながら説明する。図８は、ＩＤベース秘密鍵の生成処理の一例を示すフローチャートである。

ステップＳ２０１：鍵交換補助サーバ２０及び秘密鍵生成サーバ３０は、同一グループの各通信端末１０と鍵交換補助サーバ２０とこれら各通信端末１０及び鍵交換補助サーバ２０のＩＤとを対応付けたリスト情報をセキュアなチャネルを介して受け取る。なお、このリスト情報は、例えば、送信端末１１から受け取ってもよいし、送信端末１１とは異なる他の装置又は機器から受け取ってもよい。

ステップＳ２０２：次に、秘密鍵生成サーバ３０の秘密鍵生成処理部３０１は、各通信端末１０及び鍵交換補助サーバ２０のうちのいずれか１つのＩＤ ID_Uとマスター秘密鍵mskとを入力としてIBE_Extract(ID_U, msk)を実行し、ＩＤベース秘密鍵sk_Uを生成する。ここで、U∈｛A, 1, … ,n, server｝である。これにより、各通信端末１０及び鍵交換補助サーバ２０のＩＤベース秘密鍵sk_U（U∈｛A, 1, … ,n, server｝）が生成される。なお、ＩＤ ID_Uはリスト情報から取得される。

ステップＳ２０３：次に、秘密鍵生成サーバ３０の秘密鍵生成処理部３０１は、上記のステップＳ２０２で生成したＩＤベース秘密鍵sk_Uを該当の通信端末１０又は鍵交換補助サーバ２０にセキュアなチャネルを介して配布する。これにより、送信端末１１のＩＤベース秘密鍵記憶部１１６にＩＤベース秘密鍵sk_Aが、各受信端末１２_ｉのＩＤベース秘密鍵記憶部１２７にＩＤベース秘密鍵sk_iが、鍵交換補助サーバ２０のＩＤベース秘密鍵記憶部２０６にＩＤベース秘密鍵sk_serverがそれぞれ保存される。

≪鍵交換処理≫
送信端末１１と受信端末１２との間でグループ鍵mekの鍵交換を行うための鍵交換処理について、図９を参照しながら説明する。図９は、鍵交換処理の一例を示すシーケンス図である。

まず、送信端末１１の暗号化鍵要求処理部１１１は、鍵交換補助サーバ２０に暗号化鍵を要求する（ステップＳ３０１）。

鍵交換補助サーバ２０の暗号鍵ペア生成処理部２０１は、暗号化鍵の要求を受信すると、一時秘密鍵epk_serverを生成した上で、セキュリティパラメータkとハッシュ値r=H(stk_server, epk_server)とを入力としてKEM_Setup(1^k, r)を実行し、暗号化鍵ekと復号鍵dkとの暗号鍵ペアを生成する（ステップＳ３０２）。なお、この暗号鍵ペアは暗号鍵ペア記憶部２０７に保存される。

次に、鍵交換補助サーバ２０の暗号鍵ペア生成処理部２０１は、上記のステップＳ３０２で生成した暗号鍵ペアのうち、暗号化鍵ekを送信端末１１に送信する（ステップＳ３０３）。なお、暗号化鍵ekを受信した送信端末１１は、当該暗号化鍵ekを暗号化鍵記憶部１１７に保存する。

送信端末１１のグループ鍵生成暗号化処理部１１２は、一時秘密鍵epk_Aを生成した上で、暗号化鍵ekとハッシュ値r=H(stk_A, epk_A)とを入力としてKEM_Encap(ek, r)を実行し、グループ鍵暗号文Capとグループ鍵mekとを生成する（ステップＳ３０４）。

次に、送信端末１１のＩＤベース署名暗号化処理部１１３は、全ての受信端末１２_ｉのＩＤ ID₁, … ID_nとグループ鍵暗号文Capとハッシュ値r=H(stk_A, epk_A)とを入力としてIBE_Signcryption(ID₁, … ,ID_n, Cap, r)を実行し、暗号文c_mekを生成する（ステップＳ３０５）。

次に、送信端末１１のＩＤベース署名暗号化処理部１１３は、上記のステップＳ３０５で生成した暗号文c_mekを鍵交換補助サーバ２０に送信する（ステップＳ３０６）。

鍵交換補助サーバ２０の暗号文分割処理部２０２は、暗号文c_mekを受信すると、この暗号文c_mekと受信端末１２_ｉのＩＤ ID_iとを入力としてCiphertext_Division(c_mek, ID_i)を実行し、暗号文c_mekを受信端末１２_ｉ用に分割した暗号文c_mek,iを生成する（ステップＳ３０７）。これにより、各ｉ（ｉ＝１，・・・，ｎ）に対して、暗号文c_mekが分割された暗号文c_mek,iが得られる。なお、これらの暗号文c_mek,iは分割暗号文記憶部２０８に保存される。

そして、鍵交換補助サーバ２０の暗号文分割処理部２０２は、受信端末１２_ｉがオンラインになった場合、この受信端末１２_ｉ用の暗号文c_mek,iを当該受信端末１２_ｉに送信する（ステップＳ３０８）。

暗号文c_mek,iを受信した受信端末１２_ｉの署名検証・復号処理部１２１は、当該暗号文c_mek,iと自身のＩＤベース秘密鍵sk_iと送信端末１１のＩＤ ID_Aと公開鍵P_pubとを入力としてIBE_Unsigncryption(c_mek,i, sk_i, ID_A, P_pub)を実行し、署名検証及び復号を行う（ステップＳ３０９）。これにより、署名が正しければ暗号文c_mek,iがグループ鍵暗号文Capに復号され、そうでなければ復号に失敗したことを示す⊥が出力される。以降では、グループ鍵暗号文Capが得られたものとして説明を続ける。

次に、受信端末１２_ｉのノイズ付加処理部１２２は、一時秘密鍵epk_iを生成した上で、グループ鍵暗号文Capとハッシュ値r=H(stk_i, epk_i)とを入力としてBlind(Cap, r)を実行し、ノイズ付きグループ鍵暗号文Cap_blind,iとノイズ除去鍵bk_iとを生成する（ステップＳ３１０）。なお、ノイズ除去鍵bk_iは、ノイズ除去鍵記憶部１２８に保存される。

次に、受信端末１２_ｉの復号依頼処理部１２３は、ノイズ付きグループ鍵暗号文Cap_blind,iの復号を鍵交換補助サーバ２０に依頼する（ステップＳ３１１）。

鍵交換補助サーバ２０の暗号文復号処理部２０３は、ノイズ付きグループ鍵暗号文Cap_blind,iの復号依頼を受信すると、このノイズ付きグループ鍵暗号文Cap_blind,iと復号鍵dkとを入力としてKEM_Decap(Cap_blind,i,dk)を実行し、ノイズ付きグループ鍵mek_blind,iに復号する（ステップＳ３１２）。

次に、鍵交換補助サーバ２０の暗号文復号処理部２０３は、上記のステップＳ３１２で得られたノイズ付きグループ鍵mek_blind,iを当該受信端末１２_ｉに送信する（ステップＳ３１３）。

受信端末１２_ｉのノイズ除去処理部１２４は、ノイズ付きグループ鍵mek_blind,iを受信すると、このノイズ付きグループ鍵mek_blind,iとノイズ除去鍵bk_iとを入力としてUnblind(mek_blind,i, bk_i)を実行し、ノイズを除去したグループ鍵mekを生成する（ステップＳ３１４）。これにより、受信端末１２_ｉでグループ鍵mekが得られる。なお、このグループ鍵mekはグループ鍵記憶部１２９に保存される。

・応用例１
以降では、応用例１として、本実施形態に係る鍵交換システム１をグループ内でのメール送受信に応用した場合について説明する。なお、応用例１では、ＩＤとして、メールアドレスを想定するが、これに限られず、他の任意の識別情報が用いられてもよい。

＜全体構成＞
まず、応用例１における鍵交換システム１の全体構成について、図１０を参照しながら説明する。図１０は、応用例１における鍵交換システム１の全体構成の一例を示す図である。

図１０に示すにように、応用例１における鍵交換システム１には、更に、メールサーバ４０が含まれる。メールサーバ４０は、メールの送受信（転送も含む）を行う。

＜機能構成＞
次に、応用例１における鍵交換システム１に含まれるメールサーバ４０の機能構成について、図１１を参照しながら説明する。図１１は、メールサーバ４０の機能構成の一例を示す図である。

図１１に示すように、メールサーバ４０は、メール送受信処理部４０１と、メールデータ記憶部４０２とを有する。メール送受信処理部４０１は、通信端末１０から送信されたメールを受信すると共に、メールデータ記憶部４０２に記憶されているメールを通信端末１０に送信する。メールデータ記憶部４０２は、通信端末１０から受信したメールを記憶する。

＜メール送受信処理の流れ＞
以降では、応用例１における鍵交換システム１が実行するメール送受信処理の流れについて、図１２を参照しながら説明する。図１２は、メール送受信処理の一例を示すシーケンス図である。

まず、鍵交換システム１は、図９に示す鍵交換処理によって送信端末１１と受信端末１２との間でグループ鍵の共有を行う（ステップＳ４０１）。

送信端末１１は、宛先アドレスとして受信端末１２_ｉのメールアドレスが指定されたメールを作成した上で、上記のステップＳ４０１で共有されたグループ鍵を用いて当該メールを暗号化し、暗号化メールを作成する（ステップＳ４０２）。そして、送信端末１１は、この暗号化メールをメールサーバ４０に送信する（ステップＳ４０３）。

メールサーバ４０のメール送受信処理部４０１は、暗号化メールを受信すると、この暗号化メールをメールデータ記憶部４０２に保存する（ステップＳ４０４）。そして、メールサーバ４０のメール送受信処理部４０２は、例えば、受信端末１２_ｉがオンラインになった場合、メールデータ記憶部４０２に保存されている暗号化メールを当該受信端末１２_ｉに送信する（ステップＳ４０５）。

受信端末１２_ｉは、メールサーバ４０から暗号化メールを受信すると、上記のステップＳ４０１で共有されたグループ鍵を用いて当該暗号化メールを復号する（ステップＳ４０６）。これにより、宛先アドレスとして指定されたメールアドレスの受信端末１２_ｉ以外にはメールの中身が見られることなく、メールの送受信を行うことができる。

・応用例２
以降では、応用例２として、本実施形態に係る鍵交換システム１をファイル共有に応用した場合について説明する。なお、応用例２は社内のファイルサーバでのファイル共有を想定し、ＩＤとして、社員番号を想定する。ただし、ＩＤは、これに限られず、他の任意の識別情報が用いられてもよい。

＜全体構成＞
まず、応用例２における鍵交換システム１の全体構成について、図１３を参照しながら説明する。図１３は、応用例２における鍵交換システム１の全体構成の一例を示す図である。

図１３に示すように、応用例２における鍵交換システム１には、更に、ファイル共有サーバ５０が含まれる。ファイル共有サーバ５０は、複数のユーザ間でファイルの共有を行う。

＜機能構成＞
次に、応用例２における鍵交換システム１に含まれるファイル共有サーバ５０の機能構成について、図１４を参照しながら説明する。図１４は、ファイル共有サーバ５０の機能構成の一例を示す図である。

図１４に示すように、ファイル共有サーバ５０は、ファイルデータ記憶部５０１を有する。ファイルデータ記憶部５０１は、通信端末１０から送信（アップロード）されたファイルを記憶する。

＜ファイル共有処理の流れ＞
以降では、応用例２における鍵交換システム１が実行するファイル共有処理の流れについて、図１５を参照しながら説明する。図１５は、ファイル共有処理の一例を示すシーケンス図である。

まず、鍵交換システム１は、図９に示す鍵交換処理によって送信端末１１と受信端末１２との間でグループ鍵の共有を行う（ステップＳ５０１）。

送信端末１１は、上記のステップＳ５０１で共有されたグループ鍵を用いて、グループ内の他のユーザとの間で共有するファイル（電子ファイル）を暗号化し、暗号化ファイルを作成する（ステップＳ５０２）。そして、送信端末１１は、この暗号化ファイルをファイル共有サーバ５０に送信（アップロード）する（ステップＳ５０３）。これにより、ファイル共有サーバ５０のファイルデータ記憶部５０１に当該暗号化ファイルが保存される（ステップＳ５０４）。

その後、受信端末１２_ｉは、ファイル共有サーバ５０のファイルデータ記憶部５０１に保存されている暗号化ファイルをダウンロードし（ステップＳ５０５）、上記のステップＳ５０１で共有したグループ鍵を用いて当該暗号化ファイルを復号する（ステップＳ５０６）。これにより、同一グループのユーザの通信端末１０以外にはファイルの中身が見られることなく、ファイル共有を行うことができる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１ 鍵交換システム
１０ 通信端末
１１ 送信端末
１２ 受信端末
２０ 鍵交換補助サーバ
３０ 秘密鍵生成サーバ
１１１ 暗号化鍵要求処理部
１１２ グループ鍵生成暗号化処理部
１１３ ＩＤベース署名暗号化処理部
１１４ 長期秘密鍵記憶部
１１５ 公開情報記憶部
１１６ ＩＤベース秘密鍵記憶部
１１７ 暗号化鍵記憶部
１１８ グループ鍵記憶部
１２１ 署名検証・復号処理部
１２２ ノイズ付加処理部
１２３ 復号依頼処理部
１２４ ノイズ除去処理部
１２５ 長期秘密鍵記憶部
１２６ 公開情報記憶部
１２７ ＩＤベース秘密鍵記憶部
１２８ ノイズ除去鍵記憶部
１２９ グループ鍵記憶部
２０１ 暗号鍵ペア生成処理部
２０２ 暗号文分割処理部
２０３ 暗号文復号処理部
２０４ 長期秘密鍵記憶部
２０５ 公開情報記憶部
２０６ ＩＤベース秘密鍵記憶部
２０７ 暗号鍵ペア記憶部
２０８ 分割暗号文記憶部
２０９ 紐付けリスト記憶部
３０１ 秘密鍵生成処理部
３０２ 公開情報記憶部
３０３ マスター秘密鍵記憶部
３０４ 紐付けリスト記憶部
Ｎ 通信ネットワーク

Claims (8)

1. 第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムであって、
   前記第１の端末は、
   前記補助サーバで生成された暗号化鍵で前記グループ鍵を暗号化した暗号化グループ鍵を生成した後、前記１以上の第２の端末の識別情報を用いて前記暗号化グループ鍵をＩＤベース暗号により暗号化した第１の暗号文を生成する暗号化手段と、
   前記第１の暗号文を前記補助サーバに送信する第１の送信手段と、を有し、
   前記補助サーバは、
   前記第１の端末から受信した第１の暗号文を、前記１以上の第２の端末毎に分割した分割暗号文を生成する分割手段と、
   前記１以上の第２の端末のうち、オンラインの第２の端末に対して、該第２の端末に対応する分割暗号文を送信する第２の送信手段と、
   前記第２の端末からの復号依頼に応じて、該第２の端末から受信した第２の暗号文を、前記暗号化鍵に対応する復号鍵で復号する第１の復号手段と、
   前記第１の復号手段で復号された情報を前記第２の端末に送信する第３の送信手段と、を有し、
   前記第２の端末は、
   前記補助サーバから受信した分割暗号文を、前記第２の端末の識別情報に対応するユーザ秘密鍵により前記暗号化グループ鍵に復号する第２の復号手段と、
   前記暗号化グループ鍵に対してノイズを付加したノイズ付き暗号化グループ鍵を生成するノイズ付加手段と、
   前記ノイズ付き暗号化グループ鍵の復号依頼を前記補助サーバに依頼する依頼手段と、
   を有することを特徴とする鍵交換システム。
2. 前記第２の暗号文は前記ノイズ付き暗号化グループ鍵であり、
   前記第１の復号手段は、
   前記第２の端末から受信した前記ノイズ付き暗号化グループ鍵を、前記暗号化鍵に対応する復号鍵によりノイズ付きグループ鍵に復号し、
   前記第３の送信手段は、
   前記ノイズ付きグループ鍵を前記第２の端末に送信し、
   前記第２の端末は、
   前記ノイズ付きグループ鍵を前記補助サーバから受信すると、前記ノイズ付加手段で前記暗号化グループ鍵に付加したノイズを除去するためのノイズ除去鍵により前記ノイズ付きグループ鍵からノイズを除去するノイズ除去手段を有する、ことを特徴とする請求項１に記載の鍵交換システム。
3. 前記暗号化手段は、
   前記第１の端末の長期秘密鍵と一時秘密鍵とから生成された第１の乱数と、前記暗号化鍵とを用いて前記暗号化グループ鍵を生成した後、前記第１の乱数と前記１以上の第２の端末の識別情報とを用いて前記第１の暗号文を生成する、ことを特徴とする請求項１又は２に記載の鍵交換システム。
4. 前記ノイズ付加手段は、
   前記第２の端末の長期秘密鍵と一時秘密鍵とから生成された第２の乱数を用いて前記ノイズ付き暗号化グループ鍵を生成する、ことを特徴とする請求項１乃至３の何れか一項に記載の鍵交換システム。
5. 前記補助サーバは、
   前記補助サーバの長期秘密鍵と一時秘密鍵とから生成された第２の乱数を用いて前記暗号化鍵と前記復号鍵とを生成する鍵生成手段を有する、ことを特徴とする請求項１乃至４の何れか一項に記載の鍵交換システム。
6. 第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末との間でグループ鍵の交換を補助する情報処理装置であって、
   前記第１の端末からの要求に応じて、前記情報処理装置の長期秘密鍵と一時秘密鍵とから生成された乱数を用いて暗号化鍵と復号鍵とを生成し、前記暗号化鍵を前記第１の端末に送信する鍵生成手段と、
   前記暗号化鍵による暗号化とＩＤベース暗号による暗号化とが行なわれたグループ鍵の第１の暗号文を前記第１の端末から受信すると、前記第１の暗号文を、前記１以上の第２の端末毎に分割した分割暗号文を生成する分割手段と、
   前記１以上の第２の端末のうち、オンラインの第２の端末に対して、該第２の端末に対応する分割暗号文を送信する第１の送信手段と、
   前記第２の端末からの復号依頼に応じて、該第２の端末から受信したノイズ付きの第２の暗号文を、前記復号鍵で復号する復号手段と、
   前記復号手段の復号結果として得られたノイズ付きの情報を前記第２の端末に送信する第２の送信手段と、
   を有することを特徴とする情報処理装置。
7. 第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムにおける鍵交換方法であって、
   前記第１の端末が、
   前記補助サーバで生成された暗号化鍵で前記グループ鍵を暗号化した暗号化グループ鍵を生成した後、前記１以上の第２の端末の識別情報を用いて前記暗号化グループ鍵をＩＤベース暗号により暗号化した第１の暗号文を生成する暗号化手順と、
   前記第１の暗号文を前記補助サーバに送信する第１の送信手順と、を実行し、
   前記補助サーバが、
   前記第１の端末から受信した第１の暗号文を、前記１以上の第２の端末毎に分割した分割暗号文を生成する分割手順と、
   前記１以上の第２の端末のうち、オンラインの第２の端末に対して、該第２の端末に対応する分割暗号文を送信する第２の送信手順と、
   前記第２の端末からの復号依頼に応じて、該第２の端末から受信した第２の暗号文を、前記暗号化鍵に対応する復号鍵で復号する第１の復号手順と、
   前記第１の復号手順で復号された情報を前記第２の端末に送信する第３の送信手順と、を実行し、
   前記第２の端末が、
   前記補助サーバから受信した分割暗号文を、前記第２の端末の識別情報に対応するユーザ秘密鍵により前記暗号化グループ鍵に復号する第２の復号手順と、
   前記暗号化グループ鍵に対してノイズを付加したノイズ付き暗号化グループ鍵を生成するノイズ付加手順と、
   前記ノイズ付き暗号化グループ鍵の復号依頼を前記補助サーバに依頼する依頼手順と、
   を実行することを特徴とする鍵交換方法。
8. コンピュータを、請求項１乃至５の何れか一項に記載の鍵交換システムに含まれる第１の端末、第２の端末又は補助サーバおける各手段として機能させるためのプログラム。

Images