JP7289478B2 - 鍵交換システム、機器、情報処理装置、鍵交換方法及びプログラム - Google Patents

Description

特許法第３０条第２項適用 ２０１９年暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１９）サイト ｈｔｔｐｓ：／／ｗｗｗ．ｉｗｓｅｃ．ｏｒｇ／ｓｃｉｓ／２０１９／ｐｒｏｇｒａｍ．ｈｔｍｌ＃３Ｅ３ ｈｔｔｐｓ：／／ｗｗｗ．ｉｗｓｅｃ．ｏｒｇ／ｓｃｉｓ／２０１９／ｒｅｇｉｓｔｒａｔｉｏｎ．ｈｔｍｌ にて公開

本発明は、鍵交換システム、機器、情報処理装置、鍵交換方法及びプログラムに関する。

近年、ＩｏＴ（Internet of Things）機器が普及したことに伴って、ＩｏＴ機器でも重要性の高い通信が行われるようになってきた。このため、通信時に互いが正しい機器であるかを確認するための認証技術がＩｏＴ機器でも重要になってきている。

ＩｏＴ機器向けの認証技術としてはパスワードや電子証明書等が従来から知られているが、近年では、より安全性が高い認証付き鍵交換プロトコルの導入が求められている。認証付き鍵交換プロトコルとは、認証が成功した際に互いに共通した鍵（共有鍵）を生成し、その共有鍵で暗号化通信が可能となるプロトコルである。このような認証付き鍵交換プロトコルの１つとして、ＩＤベース暗号を用いた認証付き鍵交換プロトコルが知られている。

ＩＤベース暗号を用いた認証付き鍵交換プロトコルは、一般に、有限体上の楕円曲線における双線形群を用いて実現される。このような双線形群はペアリング群とも呼ばれ、対称ペアリング群と非対称ペアリング群とに分類することができる。現在、ペアリング群を暗号で用いる場合には、効率性や安全性の観点から非対称ペアリング群が用いられることが多い。

非対称ペアリング群上で実現されるＩＤベース暗号を用いた認証付き鍵交換プロトコルとして、ＩＳＯ／ＩＥＣ（International Organization for Standardization / International Electrotechnical Commission）でも標準化されているＦＳＵ（Fujioka-Suzuki-Ustaoglu）が知られている（非特許文献１参照）。ＦＳＵはＩＤ－ｅＣＫ安全と呼ばれる最大漏洩攻撃耐性を持っていることが知られている。

NTT Secure Platform Laboratories, NTT Corporation: Specification of FSU version 1.0, ＜ＵＲＬ：https://info.isl.ntt.co.jp/crypt/eng/archive/dl/fsu/FSU.pdf＞

しかしながら、ＦＳＵでは、ペアリング演算と呼ばれる群演算を４回行う必要がある。ペアリング演算は一般に計算コストが高いため、ＩｏＴ機器等の計算リソースが限られた機器がＦＳＵによって鍵交換を行う場合、鍵交換に時間を要することがあった。例えば、動作クロック数が数百ＭＨｚ程度のプロセッサで４６２ビットのＢＮ（Barret-Naehrig）曲線上のペアリング演算を行った場合、１回あたり約６００ｍｓｅｃ程度の計算時間を要する。

また、例えば、ＦＳＵに用いられる非対称ペアリング群をＧ_１及びＧ_２（ただし、ｐを素数として、Ｇ_１は有限体Ｆ_ｐ上の楕円曲線上の群の部分群、Ｇ_２は有限体Ｆ_ｐの拡大体上の楕円曲線上の群の部分群）とした場合、Ｇ_１上の楕円スカラ倍算よりもＧ_２上の楕円スカラ倍算の方が、計算コストが高くなる。このため、Ｇ_１上の楕円スカラ倍算のみでプロトコルを構成することができれば鍵交換に要する時間を削減することができるが、ＦＳＵではＧ_１上の楕円スカラ倍算を３回（又は２回）、Ｇ_２上の楕円スカラ倍算を２回（又は３回）行う必要がある。

本発明の一実施形態は、上記の点に鑑みてなされたもので、ＩＤベース暗号を用いた認証付き鍵交換プロトコルで鍵交換に要する時間を削減することを目的とする。

上記目的を達成するため、本発明の一実施形態に係る鍵交換システムは、非対称ペアリング群Ｇ_１及びＧ_２上で実現されるＩＤベース暗号を用いた認証付き鍵交換により第１の通信装置と第２の通信装置との間で共有鍵を交換する鍵交換システムであって、前記Ｇ_１の生成元と乱数とを用いて前記第１の通信装置の短期公開鍵Ｘ_Ａ，１を生成する第１の短期公開鍵生成手段と、前記Ｇ_２の生成元と乱数とを用いて前記第２の通信装置の短期公開鍵Ｘ_Ｂ，２を生成する第２の短期公開鍵生成手段と、前記短期公開鍵Ｘ_Ｂ，２と前記第１の通信装置のユーザ秘密鍵Ｄ_Ａ，１とを用いて前記共有鍵を生成する第１の共有鍵生成手段と、前記短期公開鍵Ｘ_Ａ，１と前記第２の通信装置のユーザ秘密鍵Ｄ_Ｂ，２とを用いて前記共有鍵を生成する第２の共有鍵生成手段と、を有することを特徴とする。

ＩＤベース暗号を用いた認証付き鍵交換プロトコルで鍵交換に要する時間を削減することができる。

第一の実施形態に係る鍵交換システムの全体構成の一例を示す図である。 第一の実施形態に係る鍵発行装置及びサーバ装置のハードウェア構成の一例を示す図である。 第一の実施形態に係る機器のハードウェア構成の一例を示す図である。 第一の実施形態に係る鍵交換システムの機能構成の一例を示す図である。 第一の実施形態に係る鍵発行処理の一例を示すフローチャートである。 第一の実施形態に係る鍵交換処理の一例を示すシーケンス図である。 第二の実施形態に係る鍵発行処理の一例を示すフローチャートである。 第二の実施形態に係る鍵交換処理の一例を示すシーケンス図である。 第二の実施形態に係る鍵発行処理の他の例を示すフローチャートである。 第三の実施形態に係る鍵交換システムの全体構成の一例を示す図である。 第三の実施形態に係る鍵交換システムの機能構成の一例を示す図である。 第三の実施形態に係る鍵発行処理の一例を示すフローチャートである。 第三の実施形態に係る鍵交換処理の一例を示すシーケンス図である。

以下、本発明の各実施形態について説明する。本発明の各実施形態では、ＩＤベース暗号を用いた認証付き鍵交換プロトコルのペアリング演算の回数と楕円スカラ倍算の回数とを削減することで、鍵交換に要する時間を削減することが可能な鍵交換システム１について説明する。

ここで、ＦＳＵに用いられる非対称ペアリング群をＧ_１及びＧ_２（ただし、ｐを素数として、Ｇ_１は有限体Ｆ_ｐ上の楕円曲線上の群の部分群、Ｇ_２は有限体Ｆ_ｐの拡大体上の楕円曲線上の群の部分群）として、ユーザＵ_ＡをＳｅｎｄｅｒ（つまり、暗号化通信後のデータ送信側）、ユーザＵ_ＢをＲｅｃｅｉｖｅｒ（つまり、暗号化通信後のデータ受信側）として、ユーザＵ_ＡとユーザＵ_Ｂとの間で鍵交換を行う場合、上記の非特許文献１に記載されているように、ＦＳＵでは、Ｇ_１の生成元ｇ_１とＧ_２の生成元ｇ_２に対して乱数ｘ_Ａを掛けることでユーザＵ_Ａの短期公開鍵Ｘ_Ａ，１及びＸ_Ａ，２を生成している。このため、これらの短期公開鍵Ｘ_Ａ，１及びＸ_Ａ，２を受信したユーザＵ_Ｂはこれらの短期公開鍵Ｘ_Ａ，１及びＸ_Ａ，２が同じ乱数ｘ_Ａでスカラ倍されているかを確認する必要があり、その確認のためにペアリング演算ｅ（Ｘ_Ａ，１，ｇ_２）とペアリング演算ｅ（ｇ_１，Ｘ_Ａ，２）とを計算している。なお、ユーザＵ_Ｂの短期公開鍵Ｘ_Ｂ，１及びＸ_Ｂ，２をユーザＵ_Ａが受信した場合も同様に、ペアリング演算ｅ（Ｘ_Ｂ，１，ｇ_２）とペアリング演算ｅ（ｇ_１，Ｘ_Ｂ，２）とを計算している。

そこで、以降で説明する各実施形態に係る鍵交換システム１では、Ｇ_１及びＧ_２の両方の生成元ｇ_１及びｇ_２を使わずに、いずれか一方の生成元のみを使って鍵交換が可能となるようにプロトコルを構成する。これにより、上述した確認のためのペアリング演算を省略することが可能となる。

すなわち、ＦＳＵのＤＨ（Diffie-Hellman）鍵交換（つまり、非特許文献１に記載されているＦＳＵで、ユーザＵ_Ａ及びユーザＵ_Ｂ間で共有値σ_３及びσ_４を生成する処理）をペアリング演算ｅ（ｘ_ＡＺ_１，Ｘ_Ｂ，２）とｅ（Ｘ_Ａ，１，ｘ_ＢＺ_２）とにそれぞれ置き換えることで、ユーザＵ_Ａは短期公開鍵Ｘ_Ａ，１のみを生成すれば良くなり、ユーザＵ_Ｂは短期公開鍵Ｘ_Ｂ，２のみを生成すれば良くなる。これにより、ペアリング演算の回数を削減することができると共に、ユーザＵ_Ｂ側の楕円スカラ倍算の回数を０にすることができる。したがって、ユーザＵ_ＡとユーザＵ_Ｂとの間の鍵交換に要する時間を削減することができる。

［第一の実施形態］
以降では、第一の実施形態について説明する。第一の実施形態では、Ｇ_１及びＧ_２の両方の生成元ｇ_１及びｇ_２を使わずに、いずれか一方の生成元のみを使って鍵交換が可能なプロトコルの基本的な構成について説明する。

＜全体構成＞
まず、本実施形態に係る鍵交換システム１の全体構成について、図１を参照しながら説明する。図１は、第一の実施形態に係る鍵交換システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る鍵交換システム１には、１台以上の鍵発行装置１０と、１台以上の機器２０と、１台以上のサーバ装置３０とが含まれる。鍵発行装置１０と機器２０とサーバ装置３０とは、例えばインターネット等の通信ネットワークＮを介して通信可能に接続されている。

鍵発行装置１０は、ＫＧＣ（Key Generation Center）として機能するコンピュータ又はコンピュータシステムである。鍵発行装置１０は、マスター秘密鍵を用いてマスター公開鍵を生成した上で、当該マスター公開鍵を公開する。また、鍵発行装置１０は、機器２０やサーバ装置３０の識別子（ＩＤ）からユーザ秘密鍵を生成した上で、当該識別子に対応する機器２０やサーバ装置３０に当該ユーザ秘密鍵を配布する。

なお、機器２０やサーバ装置３０の識別子としては、任意の識別子を用いることが可能である。例えば、製造固有番号、ＩＰ（Internet Protocol）アドレス、物理アドレス等を用いることが可能である。これら以外にも、例えば、機器２０やサーバ装置３０を利用するユーザのユーザＩＤ、氏名、メールアドレス等を識別子として用いることも可能である。

機器２０は、例えば、各種センサデバイス、組み込み機器、ウェアラブルデバイス、デジタル家電、監視カメラ、照明機器、医療機器、産業用機器等の種々のＩｏＴ機器である。すなわち、機器２０は、一般的なコンピュータ等と比較して計算リソース（例えば、プロセッサの処理性能やメモリの容量等）が限られているＩｏＴ機器である。ただし、これに限られず、機器２０がＩｏＴ機器以外（ＰＣ（パーソナルコンピュータ、スマートフォン、タブレット端末等）であっても、本発明の各実施形態を同様に適用することが可能である。

機器２０は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、他の機器２０やサーバ装置３０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証（つまり、正当性の確認）を行って、暗号化通信のための鍵（共有鍵）を交換（生成）する。なお、以降では、複数の機器２０の各々を区別して表す場合は、「機器２０－１」、「機器２０－２」等と表す。

サーバ装置３０は、機器２０からデータ（例えば、センシングデータ等）を収集するコンピュータ又はコンピュータシステムである。サーバ装置３０は、機器２０からデータを収集する際に、当該機器２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って、暗号化通信のための共有鍵を交換する。

なお、図１に示す鍵交換システム１の構成は一例であって、他の構成であってもよい。例えば、鍵発行装置１０がユーザ秘密鍵を生成する際に、当該鍵発行装置１０に対して識別子（機器２０の識別子やサーバ装置３０の識別子）を送信する端末が鍵交換システム１に含まれていてもよい。また、機器２０同士でのみ暗号化通信を行う場合（つまり、ＩＤベース暗号を用いた認証付き鍵交換プロトコルによる認証及び共有鍵の交換が機器２０間でのみ行われる場合）、鍵交換システム１には、サーバ装置３０が含まれていなくてもよい。

以降の各実施形態では、一例として、ユーザＵ_Ａを機器２０、ユーザＵ_Ｂをサーバ装置３０として、機器２０とサーバ装置３０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って、暗号化通信のための共有鍵を交換する場合について説明する。ただし、例えば、ユーザＵ_Ａを機器２０－１、ユーザＵ_Ｂを機器２０－２として、機器２０－１と機器２０－２との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルによる認証を行って、暗号化通信のための共有鍵を交換してもよい。同様に、複数のサーバ装置３０（例えば、「サーバ装置３０－１」及び「サーバ装置３０－２」）が鍵交換システム１に含まれる場合、ユーザＵ_Ａをサーバ装置３０－１、ユーザＵ_Ｂをサーバ装置３０－２として、サーバ装置３０－１とサーバ装置３０－２との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルによる認証を行って、暗号化通信のための共有鍵を交換してもよい。すなわち、第１の通信装置を機器２０又はサーバ装置３０のいずれか、第２の通信装置を機器２０又はサーバ装置３０のいずれかとして、Ｓｅｎｄｅｒである第１の通信装置と、Ｒｅｃｅｉｖｅｒである第２の通信装置との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルによる認証を行って、暗号化通信のための共有鍵を交換してもよい。

＜ハードウェア構成＞
次に、本実施形態に係る鍵発行装置１０、機器２０及びサーバ装置３０のハードウェア構成について説明する。

≪鍵発行装置１０及びサーバ装置３０≫
以降では、本実施形態に係る鍵発行装置１０及びサーバ装置３０のハードウェア構成について、図２を参照しながら説明する。図２は、第一の実施形態に係る鍵発行装置１０及びサーバ装置３０のハードウェア構成の一例を示す図である。なお、鍵発行装置１０及びサーバ装置３０は同様のハードウェア構成で実現可能であるため、以降では、主に、鍵発行装置１０のハードウェア構成について説明する。

図２に示すように、本実施形態に係る鍵発行装置１０は、入力装置１１と、表示装置１２と、ＲＡＭ（Random Access Memory）１３と、ＲＯＭ（Read Only Memory）１４と、プロセッサ１５と、外部Ｉ／Ｆ１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。

入力装置１１は、例えば、キーボードやマウス、タッチパネル等である。表示装置１２は、例えば、ディスプレイ等である。なお、鍵発行装置１０やサーバ装置３０は、入力装置１１及び表示装置１２のうちの少なくとも一方を有していなくてもよい。

ＲＡＭ１３は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１４は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。プロセッサ１５は、例えばＣＰＵ（Central Processing Unit）等であり、ＲＯＭ１４や補助記憶装置１８等からプログラムやデータをＲＡＭ１３上に読み出して処理を実行する演算装置である。

外部Ｉ／Ｆ１６は、外部装置とのインタフェースである。外部装置には、記録媒体１６ａ等がある。記録媒体１６ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ１７は、通信ネットワークＮに接続するためのインタフェースである。補助記憶装置１８は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置１８には、各種データやプログラム等が記憶されている。

本実施形態に係る鍵発行装置１０は、図２に示すハードウェア構成を有することにより、後述する鍵発行処理等を実現することができる。同様に、本実施形態に係るサーバ装置３０は、図２に示すハードウェア構成を有することにより、後述する鍵交換処理等を実現することができる。

なお、図２では、本実施形態に係る鍵発行装置１０及びサーバ装置３０が１台の装置（コンピュータ）で実現されている場合を示したが、これに限られない。本実施形態に係る鍵発行装置１０やサーバ装置３０は、複数台の装置（コンピュータ）で実現されていてもよい。また、１台の装置（コンピュータ）には、複数のプロセッサ１５や複数のメモリ（例えば、ＲＡＭ１３、ＲＯＭ１４、補助記憶装置１８等）が含まれていてもよい。

≪機器２０≫
以降では、本実施形態に係る機器２０のハードウェア構成について、図３を参照しながら説明する。図３は、第一の実施形態に係る機器２０のハードウェア構成の一例を示す図である。

図３に示すように、本実施形態に係る機器２０は、プロセッサ２１と、メモリ装置２２と、通信Ｉ／Ｆ２３とを有する。これら各ハードウェアは、それぞれがバス２４を介して通信可能に接続されている。

プロセッサ２１は、例えば、ＭＰＵ（Micro Processing Unit）やＣＰＵ等であり、メモリ装置２２からプログラムやデータを読み出して処理を実行する演算装置である。

メモリ装置２２は、例えば、ＲＡＭやＲＯＭ、フラッシュメモリ等であり、各種データやプログラム等が記憶されている。通信Ｉ／Ｆ２３は、機器２０を通信ネットワークＮに接続するためのインタフェースである。

本実施形態に係る機器２０は、図３に示すハードウェア構成を有することにより、後述する鍵交換処理等を実現することができる。

＜機能構成＞
次に、本実施形態に係る鍵交換システム１の機能構成について、図４を参照しながら説明する。図４は、第一の実施形態に係る鍵交換システム１の機能構成の一例を示す図である。

≪鍵発行装置１０≫
図４に示すように、本実施形態に係る鍵発行装置１０は、鍵発行処理部１０１と、記憶部１０２とを有する。鍵発行処理部１０１は、鍵発行装置１０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。また、記憶部１０２は、例えば補助記憶装置やＲＡＭ等を用いて実現可能である。なお、記憶部１０２は、鍵発行装置１０と通信ネットワークＮを介して接続される記憶装置等を用いて実現されていてもよい。

鍵発行処理部１０１は、マスター秘密鍵とマスター公開鍵とを生成する。また、鍵発行処理部１０１は、機器２０やサーバ装置３０の識別子からユーザ秘密鍵を生成した上で、当該識別子に対応する機器２０やサーバ装置３０に当該ユーザ秘密鍵を配布する。記憶部１０２は、各種データ（例えば、マスター秘密鍵やマスター公開鍵等）を記憶する。

≪機器２０≫
図４に示すように、本実施形態に係る機器２０は、鍵交換処理部２０１と、記憶部２０２とを有する。鍵交換処理部２０１は、機器２０にインストールされた１以上のプログラムがプロセッサ２１に実行させる処理により実現される。また、記憶部２０２は、例えばメモリ装置２２等を用いて実現可能である。

鍵交換処理部２０１は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、サーバ装置３０や他の機器２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換する。記憶部２０２は、各種データ（例えば、ユーザ秘密鍵等）を記憶する。

≪サーバ装置３０≫
図４に示すように、本実施形態に係るサーバ装置３０は、鍵交換処理部３０１と、記憶部３０２とを有する。鍵交換処理部３０１は、サーバ装置３０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。また、記憶部３０２は、例えば補助記憶装置やＲＡＭ等を用いて実現可能である。なお、記憶部３０２は、サーバ装置３０と通信ネットワークＮを介して接続される記憶装置等を用いて実現されていてもよい。

鍵交換処理部３０１は、機器２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換する。記憶部３０２は、各種データ（例えば、ユーザ秘密鍵等）を記憶する。

＜鍵交換システム１の処理の詳細＞
次に、本実施形態に係る鍵交換システム１の処理の詳細について説明する。

≪記号の定義≫
まず、本実施形態で用いる記号を次のように定義する。なお、特に言及した場合を除き、第二の実施形態及び第三の実施形態でも本実施形態で定義された記号を用いるものとする。

ＩＤ_Ａ：機器２０（つまり、ユーザＵ_Ａ）の識別子
ＩＤ_Ｂ：サーバ装置３０（つまり、ユーザＵ_Ｂ）の識別子
Ｄ_Ａ，１：機器２０のユーザ秘密鍵
Ｄ_Ｂ，２：サーバ装置３０のユーザ秘密鍵
ｋ：セキュリティパラメータ
ｐ，ｑ：ｐ≠ｑを満たす素数
Ｇ_１：有限体Ｆ_ｐ上の楕円曲線をＥ_１として、楕円曲線Ｅ_１上の群Ｅ（Ｆ_ｐ）の部分群
Ｇ_２：有限体Ｆ_ｐのｋ次拡大体上の楕円曲線をＥ_２として、楕円曲線Ｅ_２上の群

の部分群
ｇ_１：Ｇ_１の生成元
ｇ_２：Ｇ_２の生成元
ｅ：Ｇ_１×Ｇ_２上で定義されたペアリング
Ｚ_ｑ：ｑを法とする剰余類
ｚ，ｙ∈Ｚ_ｑ：マスター秘密鍵
Ｚ_ｖ＝ｚｇ_ｖ∈Ｇ_ｖ（ｖ＝１，２）：マスター公開鍵
Ｙ_ｖ＝ｙｇ_ｖ∈Ｇ_ｖ（ｖ＝１，２）：マスター公開鍵
Ｈ_１：文字列（識別子）からＧ_１上の元を生成する関数
Ｈ_２：文字列（識別子）からＧ_２上の元を生成する関数
Ｈ：鍵導出関数
Ｋ：共有鍵
||：文字列の連結
また、任意の形式のデータを文字列に変換したものをハット「＾」を付与して表すものとする。例えば、短期公開鍵Ｘを文字列に変換したものを

と表す。同様に、例えば、共有値σを文字列に変換したものを

と表す。

≪鍵発行処理≫
以降では、本実施形態に係る鍵発行処理について、図５を参照しながら説明する。図５は、第一の実施形態に係る鍵発行処理の一例を示すフローチャートである。

鍵発行装置１０の鍵発行処理部１０１は、マスター秘密鍵ｚとマスター公開鍵Ｚ_１＝ｚｇ_１及びＺ_２＝ｚｇ_２とを生成する（ステップＳ１０１）。これらのマスター秘密鍵ｚやマスター公開鍵Ｚ_１及びＺ_２は、例えば、記憶部１０２に保存される。また、マスター公開鍵Ｚ_１及びＺ_２は公開される。なお、マスター秘密鍵ｚは、例えば、Ｚ_ｑからランダムに元を選択することで生成される。

ここで、上記のステップＳ１０１は、例えば、鍵交換システム１のシステム構築時に実行される。一方で、後述するステップＳ１０２～ステップＳ１０３は、ユーザ秘密鍵を生成する必要が生じるたびに繰り返し実行される。例えば、ステップＳ１０２～ステップＳ１０３は、鍵交換システム１のシステム構築時や、システム構築後に機器２０やサーバ装置３０が追加された場合等に実行される。以降では、一例として、機器２０（ユーザＵ_Ａ）のユーザ秘密鍵と、サーバ装置３０（ユーザＵ_Ｂ）のユーザ秘密鍵とを生成する場合について説明する。

鍵発行装置１０の鍵発行処理部１０１は、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）を計算した上でユーザ秘密鍵Ｄ_Ａ，１＝ｚＱ_Ａ，１を生成すると共に、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）を計算した上でユーザ秘密鍵Ｄ_Ｂ，２＝ｚＱ_Ｂ，２を生成する（ステップＳ１０２）。これにより、機器２０のユーザ秘密鍵Ｄ_Ａ，１とサーバ装置３０のユーザ秘密鍵Ｄ_Ｂ，２とが生成される。なお、ＩＤ_ＡやＩＤ_Ｂ、Ｈ_１、Ｈ_２は公開情報である。

次に、鍵発行装置１０の鍵発行処理部１０１は、上記のステップＳ１０２で生成されたユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ｂ，２を配布する（ステップＳ１０３）。すなわち、鍵発行処理部１０１は、ユーザ秘密鍵Ｄ_Ａ，１を機器２０（ユーザＵ_Ａ）に配布し、ユーザ秘密鍵Ｄ_Ｂ，２をサーバ装置３０（ユーザＵ_Ｂ）に配布する。これにより、ユーザ秘密鍵Ｄ_Ａ，１が機器２０の記憶部２０２に保存されると共に、ユーザ秘密鍵Ｄ_Ｂ，２がサーバ装置３０の記憶部３０２に保存される。

なお、ユーザ秘密鍵の配布は任意の方法で行われればよい。例えば、鍵発行装置１０はユーザ秘密鍵を機器２０やサーバ装置３０に送信してもよいし、機器２０やサーバ装置３０が鍵発行装置１０にアクセスしてユーザ秘密鍵を取得してもよいし、ユーザ秘密鍵を記録媒体に格納して配布してもよい。

≪鍵交換処理≫
以降では、機器２０（ユーザＵ_Ａ）とサーバ装置３０（ユーザＵ_Ｂ）との間で鍵交換処理を行う場合について、図６を参照しながら説明する。図６は、第一の実施形態に係る鍵交換処理の一例を示すシーケンス図である。なお、機器２０の記憶部２０２にはユーザ秘密鍵Ｄ_Ａ，１が保存されていると共に、サーバ装置３０の記憶部３０２にはユーザ秘密鍵Ｄ_Ｂ，２が保存されているものとする。

機器２０の鍵交換処理部２０１は、短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選択した上で、短期公開鍵Ｘ_Ａ，１＝ｘ_Ａｇ_１を生成する（ステップＳ２０１）。なお、短期秘密鍵ｘ_Ａ及び短期公開鍵Ｘ_Ａ，１は、例えば、記憶部２０２に保存される。

サーバ装置３０の鍵交換処理部３０１は、短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選択した上で、短期公開鍵Ｘ_Ｂ，２＝ｘ_Ｂｇ_２を生成する（ステップＳ２０２）。なお、短期秘密鍵ｘ_Ｂ及び短期公開鍵Ｘ_Ｂ，２は、例えば、記憶部３０２に保存される。

次に、機器２０の鍵交換処理部２０１は、短期公開鍵Ｘ_Ａ，１をサーバ装置３０に送信する（ステップＳ２０３）。同様に、サーバ装置３０の鍵交換処理部３０１は、短期公開鍵Ｘ_Ｂ，２を機器２０に送信する（ステップＳ２０４）。

機器２０の鍵交換処理部２０１は、以下により共有値σ_１，σ_２，σ_３を計算する（ステップＳ２０５）。

σ_１＝ｅ（Ｄ_Ａ，１，Ｑ_Ｂ，２）
σ_２＝ｅ（Ｄ_Ａ，１＋ｘ_ＡＺ_１，Ｑ_Ｂ，２＋Ｘ_Ｂ，２）
σ_３＝ｅ（ｘ_ＡＺ_１，Ｘ_Ｂ，２）
なお、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）は鍵交換処理部２０１が計算してもよいし、鍵発行装置１０より公開されたＱ_Ｂ，２が用いられてもよい。

また、サーバ装置３０の鍵交換処理部３０１は、以下により共有値σ_１，σ_２，σ_３を計算する（ステップＳ２０６）。

σ_１＝ｅ（Ｑ_Ａ，１，Ｄ_Ｂ，２）
σ_２＝ｅ（Ｑ_Ａ，１＋Ｘ_Ａ，１，Ｄ_Ｂ，２＋ｘ_ＢＺ_２）
σ_３＝ｅ（Ｘ_Ａ，１，ｘ_ＢＺ_２）
なお、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）は鍵交換処理部３０１が計算してもよいし、鍵発行装置１０により公開されたＱ_Ａ，１が用いられてもよい。

次に、機器２０の鍵交換処理部２０１は、以下によりｓｉｄを計算する（ステップＳ２０７）。なお、ｓｉｄはセッションＩＤを意味する。

同様に、サーバ装置３０の鍵交換処理部３０１は、以下によりｓｉｄを計算する（ステップＳ２０８）。

そして、機器２０の鍵交換処理部２０１は、以下により共有鍵Ｋを生成する（ステップＳ２０９）。

なお、共有鍵Ｋは、例えば、記憶部２０２に保存される。

同様に、サーバ装置３０の鍵交換処理部３０１は、以下により共有鍵Ｋを生成する（ステップＳ２１０）。

なお、共有鍵Ｋは、例えば、記憶部３０２に保存される。

これにより、機器２０とサーバ装置３０との間で共有鍵Ｋが共有される。したがって、機器２０及びサーバ装置３０は、この共有鍵Ｋを用いて暗号化通信を行うことができる。なお、上記のステップＳ２０９及びステップＳ２１０で共有鍵Ｋを生成する際に、機器２０とサーバ装置３０との間で予め決められた任意のデータ（例えば、マスター公開鍵Ｚ_１及びＺ_２やプロトコル名（アルゴリズム名）等）を文字列に変換したものが用いられてもよい。例えば、マスター公開鍵Ｚ_１及びＺ_２とプロトコル名「ＦＳＵ」とを文字列に変換したものを用いる場合、以下により共有鍵Ｋが生成されてもよい。

これにより、安全性をより向上させることができる。

以上のように、本実施形態に係る鍵交換システム１では、機器２０はＧ_１の生成元ｇ_１を用いて短期公開鍵Ｘ_Ａ，１のみを生成し、サーバ装置３０はＧ_２の生成元ｇ_２を用いて短期公開鍵Ｘ_Ｂ，２のみを生成する。これにより、ＦＳＵと比較して鍵交換システム１全体でのペアリング演算の回数を２回削減することができる（つまり、機器２０及びサーバ装置３０のそれぞれでペアリング演算の回数を１回ずつ削減することができる）と共に、機器２０におけるＧ_２上での楕円スカラ倍算の回数を０回にすることができる。したがって、本実施形態に係る鍵交換システム１によれば、鍵交換に要する時間を削減することができる。

［第二の実施形態］
以降では、第二の実施形態について説明する。第二の実施形態では、第一の実施形態で説明したプロトコルの安全性をより向上させて、ＩＤ－ｅＣＫ安全と同等の安全性を持つように構成した場合について説明する。なお、第二の実施形態では、主に、第一の実施形態との相違点について説明し、第一の実施形態と同様の構成要素については、その説明を省略する。

＜鍵交換システム１の処理の詳細＞
本実施形態に係る鍵交換システム１の処理の詳細について説明する。

≪鍵発行処理≫
以降では、本実施形態に係る鍵発行処理について、図７を参照しながら説明する。図７は、第二の実施形態に係る鍵発行処理の一例を示すフローチャートである。

鍵発行装置１０の鍵発行処理部１０１は、マスター秘密鍵ｚ及びｙとマスター公開鍵Ｙ_１＝ｙｇ_１及びＹ_２＝ｙｇ_２とを生成する（ステップＳ３０１）。これらのマスター秘密鍵ｚ及びｙやマスター公開鍵Ｙ_１及びＹ_２は、例えば、記憶部１０２に保存される。また、マスター公開鍵Ｙ_１及びＹ_２は公開される。なお、マスター秘密鍵ｙは、例えば、Ｚ_ｑからランダムに元を選択することで生成される。

次に、鍵発行装置１０の鍵発行処理部１０１は、記憶部１０２に記憶されているマスター秘密鍵ｙを削除する（ステップＳ３０２）。本ステップは必ずしも実行される必要はないが、マスター秘密鍵ｙを記憶部１０２から削除することで、これ以降、マスター秘密鍵ｙの漏洩を防止することが可能となる。

次に、鍵発行装置１０の鍵発行処理部１０１は、マスター公開鍵Ｚ_１＝ｚｇ_１及びＺ_２＝ｚｇ_２を生成する（ステップＳ３０３）。これらのマスター公開鍵Ｚ_１及びＺ_２は、例えば、記憶部１０２に保存される。また、マスター公開鍵Ｚ_１及びＺ_２は公開される。

ここで、上記のステップＳ３０１～ステップＳ３０３は、例えば、鍵交換システム１のシステム構築時に実行される。一方で、ステップＳ３０４～ステップＳ３０５は、ユーザ秘密鍵を生成する必要が生じるたびに繰り返し実行される。なお、ステップＳ３０４～ステップＳ３０５は、図５のステップＳ１０２～ステップＳ１０３とそれぞれ同様であるため、その説明を省略する。

≪鍵交換処理≫
以降では、機器２０（ユーザＵ_Ａ）とサーバ装置３０（ユーザＵ_Ｂ）との間で鍵交換処理を行う場合について、図８を参照しながら説明する。図８は、第二の実施形態に係る鍵交換処理の一例を示すシーケンス図である。なお、ステップＳ４０１～ステップＳ４０４は、図６のステップＳ２０１～ステップＳ２０４とそれぞれ同様であるため、その説明を省略する。

機器２０の鍵交換処理部２０１は、以下により共有値σ_１，σ_２，σ_３を計算する（ステップＳ４０５）。

σ_１＝ｅ（Ｄ_Ａ，１，Ｑ_Ｂ，２）
σ_２＝ｅ（Ｄ_Ａ，１＋ｘ_ＡＺ_１，Ｑ_Ｂ，２＋Ｘ_Ｂ，２）
σ_３＝ｅ（ｘ_Ａ（Ｚ_１＋Ｙ_１），Ｘ_Ｂ，２）
なお、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）は鍵交換処理部２０１が計算してもよいし、鍵発行装置１０より公開されたＱ_Ｂ，２が用いられてもよい。

また、サーバ装置３０の鍵交換処理部３０１は、以下により共有値σ_１，σ_２，σ_３を計算する（ステップＳ４０６）。

σ_１＝ｅ（Ｑ_Ａ，１，Ｄ_Ｂ，２）
σ_２＝ｅ（Ｑ_Ａ，１＋Ｘ_Ａ，１，Ｄ_Ｂ，２＋ｘ_ＢＺ_２）
σ_３＝ｅ（Ｘ_Ａ，１，ｘ_Ｂ（Ｚ_２＋Ｙ_２））
なお、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）は鍵交換処理部３０１が計算してもよいし、鍵発行装置１０により公開されたＱ_Ａ，１が用いられてもよい。

以降のステップＳ４０７～ステップＳ４１０は、図６のステップＳ２０７～ステップＳ２１０とそれぞれ同様であるため、その説明を省略する。

以上のように、本実施形態に係る鍵交換システム１では、マスター公開鍵Ｙ_１＝ｙｇ_１及びＹ_２＝ｙｇ_２を用いて共有値σ_３を計算する。また、マスター公開鍵Ｙ_１及びＹ_２が生成された後は、マスター秘密鍵ｚと異なり、鍵発行装置１０はマスター秘密鍵ｙを保持しておく必要はないため、当該マスター秘密鍵ｙを削除することが可能である。このため、本実施形態に係る鍵交換システム１では、マスター秘密鍵ｙの漏洩を防止することができ、より安全性を高めることが可能となる。

なお、上記では鍵交換システム１に含まれる鍵発行装置１０が１台であるものとして説明したが、複数の鍵発行装置１０が鍵交換システム１に含まれる場合（例えば、機器２０やサーバ装置３０が利用するサービス毎に鍵発行装置１０が存在するような場合等）にはマスター秘密鍵が複数の鍵発行装置１０に分散されていてもよい。すなわち、例えば、鍵発行装置１０－１と鍵発行装置１０－２とが鍵交換システム１に含まれる場合、鍵発行装置１０－１がマスター秘密鍵ｚとマスター公開鍵Ｚ_１及びＺ_２とを生成及び保持すると共に、鍵発行装置１０－２がマスター秘密鍵ｙとマスター公開鍵Ｙ_１及びＹ_２とを生成及び保持していてもよい。

更に、例えば、鍵発行装置１０－１と鍵発行装置１０－２と鍵発行装置１０－３とが鍵交換システム１に含まれる場合、鍵発行装置１０－１がマスター秘密鍵ｚとマスター公開鍵Ｚ_１及びＺ_２とを生成及び保持し、鍵発行装置１０－２がマスター秘密鍵ｙとマスター公開鍵Ｙ_１及びＹ_２とを生成及び保持し、鍵発行装置１０－３がマスター秘密鍵ｗとマスター公開鍵Ｗ_１＝ｗｇ_１及びＷ_２＝ｗｇ_２とを生成及び保持してもよい。この場合、上記のステップＳ４０５ではσ_３＝ｅ（ｘ_Ａ（Ｚ_１＋Ｙ_１＋Ｗ_１），Ｘ_Ｂ，２）によりσ_３を計算し、ステップＳ４０６ではσ_３＝ｅ（Ｘ_Ａ，１，ｘ_Ｂ（Ｚ_２＋Ｙ_２＋Ｗ_２））によりσ_３を計算する。これにより、例えば、攻撃者等が全てのマスター秘密鍵を入手することが難しくなり、より安全性を向上させることが可能となる。なお、より一般に、Ｎ台の鍵発行装置１０が鍵交換システム１に含まれる場合、Ｎ個のマスター秘密鍵をＮ台の鍵発行装置１０に分散させることが可能である。

また、上記ではマスター公開鍵Ｙ_１及びＹ_２をマスター秘密鍵ｙから生成したが、別の方法でマスター公開鍵Ｙ_１及びＹ_２が生成されてもよい。例えば、マルチパーティプロトコルを使うことで機器２０とサーバ装置３０とでマスター秘密鍵ｙを生成することができるため、マスター公開鍵Ｙ_１及びＹ_２を生成することが可能である。この場合、マルチパーティプロトコルにより機器２０とサーバ装置３０とがマスター秘密鍵ｙを生成するため、鍵発行装置１０はマスター秘密鍵ｙを生成及び保持する必要はない（つまり、鍵発行装置１０は、第一の実施形態と同様に、マスター秘密鍵ｚのみを生成及び保持すればよい。）。

≪鍵発行処理の他の例≫
ここで、図７に示す鍵発行処理ではＹ_１及びＹ_２をマスター公開鍵としたが、Ｙ_１及びＹ_２をユーザ秘密鍵として、機器２０（ユーザＵ_Ａ）及びサーバ装置３０（ユーザＵ_Ｂ）にそれぞれ配布してもよい。この場合の鍵発行処理について、図９を参照しながら説明する。図９は、第二の実施形態に係る鍵発行処理の他の例を示すフローチャートである。なお、マスター秘密鍵ｚ及びｙを同一の鍵発行装置１０が生成及び保持してもよいが、図９では、一例として、鍵発行装置１０－１がマスター秘密鍵ｚを生成及び保持し、鍵発行装置１０－２がマスター秘密鍵ｙを生成及び保持する場合について説明する。

鍵発行装置１０－１の鍵発行処理部１０１は、図５のステップＳ１０１と同様に、マスター秘密鍵ｚとマスター公開鍵Ｚ_１＝ｚｇ_１及びＺ_２＝ｚｇ_２とを生成する（ステップＳ５０１）。

ここで、上記のステップＳ５０１は、例えば、鍵交換システム１のシステム構築時に実行される。一方で、後述するステップＳ５０２～ステップＳ５０５は、ユーザ秘密鍵を生成する必要が生じるたびに繰り返し実行される。以降では、一例として、機器２０（ユーザＵ_Ａ）のユーザ秘密鍵と、サーバ装置３０（ユーザＵ_Ｂ）のユーザ秘密鍵とを生成する場合について説明する。

鍵発行装置１０－１の鍵発行処理部１０１は、図５のステップＳ１０２と同様に、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ｂ，２を生成する（ステップＳ５０２）。

次に、鍵発行装置１０－１の鍵発行処理部１０１は、図５のステップＳ１０３と同様に、上記のステップＳ５０２で生成されたユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ｂ，２を配布する（ステップＳ５０３）。すなわち、鍵発行処理部１０１は、ユーザ秘密鍵Ｄ_Ａ，１を機器２０（ユーザＵ_Ａ）に配布し、ユーザ秘密鍵Ｄ_Ｂ，２をサーバ装置３０（ユーザＵ_Ｂ）に配布する。

一方で、鍵発行装置１０－２の鍵発行処理部１０１は、マスター秘密鍵ｙとユーザ秘密鍵Ｙ_１＝ｙｇ_１及びＹ_２＝ｙｇ_２とを生成する（ステップＳ５０４）。なお、マスター秘密鍵ｙは、ユーザ秘密鍵Ｙ_１及びＹ_２が生成された後に削除されてもよい。

次に、鍵発行装置１０－２の鍵発行処理部１０１は、ユーザ秘密鍵Ｙ_１及びＹ_２を配布する（ステップＳ５０５）。すなわち、鍵発行処理部１０１は、ユーザ秘密鍵Ｙ_１を機器２０に配布し、ユーザ秘密鍵Ｙ_２をサーバ装置３０に配布する。

以上のように、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ｂ，２を鍵発行装置１０－１が機器２０及びサーバ装置３０にそれぞれ配布すると共に、Ｙ_１及びＹ_２をユーザ秘密鍵として鍵発行装置１０－２が機器２０及びサーバ装置３０にそれぞれ配布することで、より安全性を高めることが可能となる。すなわち、機器２０（及びサーバ装置３０）は鍵発行装置１０－１と鍵発行装置１０－２との両方からユーザ秘密鍵を取得する必要があるため、２重の認証が必要となり、不適切な機器に対する鍵配布を防止することが可能となる。

また、例えば、機器２０やサーバ装置３０が利用するサービス毎に鍵発行装置１０が存在する場合等には、全てのサービスからユーザ秘密鍵が発行されない限り、機器２０とサーバ装置３０との間で通信（暗号化通信）を開始できないようにすることが可能となる。

［第三の実施形態］
以降では、第三の実施形態について説明する。第三の実施形態では、安全性の向上のために複数のユーザ秘密鍵を用いると共に、機器２０の計算負荷削減のために当該機器２０での一部の共有値の計算を他の装置（後述する委託計算装置４０）に委託する場合について説明する。なお、第三の実施形態では、主に、第一の実施形態との相違点について説明し、第一の実施形態と同様の構成要素については、その説明を省略する。

＜全体構成＞
まず、本実施形態に係る鍵交換システム１の全体構成について、図１０を参照しながら説明する。図１０は、第三の実施形態に係る鍵交換システム１の全体構成の一例を示す図である。

図１０に示すように、本実施形態に係る鍵交換システム１には、更に、１台以上の委託計算装置４０が含まれる。委託計算装置４０は、例えばインターネット等の通信ネットワークＮを介して機器２０と通信可能に接続されている。

委託計算装置４０は、例えば、機器２０と物理的に近い場所に設置されたエッジコンピュータ又はフォグコンピュータ等である。委託計算装置４０は、機器２０がサーバ装置３０又は他の機器２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルによる認証及び共有鍵の生成を行う際に、この認証付き鍵交換プロトコルに用いられる複数のユーザ秘密鍵のうちの一部のユーザ秘密鍵を用いた共有値の計算等を行う。すなわち、機器２０は一部の共有値の計算を委託計算装置４０に委託し、この委託に応じて、委託計算装置４０は当該一部の共有値の計算を行う。なお、委託計算装置４０は、例えば、鍵発行装置１０やサーバ装置３０等と同様のハードウェア構成により実現可能である。

＜機能構成＞
次に、本実施形態に係る鍵交換システム１の機能構成について、図１１を参照しながら説明する。図１１は、第三の実施形態に係る鍵交換システム１の機能構成の一例を示す図である。

≪機器２０≫
図１１に示すように、本実施形態に係る機器２０は、更に、相互認証部２０３を有する。相互認証部２０３は、機器２０にインストールされた１以上のプログラムがプロセッサ２１に実行させる処理により実現される。

相互認証部２０３は、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに用いられる複数のユーザ秘密鍵のうちの一部のユーザ秘密鍵を用いた共有値の計算等を委託計算装置４０に委託する前に、記憶部２０２に予め記憶しておいた共通鍵を用いて、当該委託計算装置４０との間で相互に認証を行う。

≪委託計算装置４０≫
図１１に示すように、本実施形態に係る委託計算装置４０は、相互認証部４０１と、委託計算部４０２と、記憶部４０３とを有する。相互認証部４０１及び委託計算部４０２は、委託計算装置４０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。また、記憶部４０３は、例えば補助記憶装置やＲＡＭ等を用いて実現可能である。なお、記憶部４０３は、委託計算装置４０と通信ネットワークＮを介して接続される記憶装置等を用いて実現されていてもよい。

相互認証部４０１は、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに用いられる複数のユーザ秘密鍵のうちの一部のユーザ秘密鍵を用いた共有値の計算等を機器２０から受託する前に、記憶部４０３に予め記憶していた共有鍵を用いて、当該機器２０との間で相互に認証を行う。

委託計算部４０２は、機器２０から委託されたユーザ秘密鍵を用いた共有値の計算等を行う。記憶部４０３は、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに用いられる複数のユーザ秘密鍵のうちの一部のユーザ秘密鍵や機器２０との間の相互認証に用いる共通鍵等を記憶する。

＜鍵交換システム１の処理の詳細＞
本実施形態に係る鍵交換システム１の処理の詳細について説明する。

≪鍵発行処理≫
以降では、本実施形態に係る鍵発行処理について、図１２を参照しながら説明する。図１２は、第三の実施形態に係る鍵発行処理の一例を示すフローチャートである。

鍵発行装置１０の鍵発行処理部１０１は、図５のステップＳ１０１と同様に、マスター秘密鍵ｚとマスター公開鍵Ｚ_１＝ｚｇ_１及びＺ_２＝ｚｇ_２とを生成する（ステップＳ６０１）。これらのマスター秘密鍵ｚやマスター公開鍵Ｚ_１及びＺ_２は、例えば、記憶部１０２に保存される。また、マスター公開鍵Ｚ_１及びＺ_２は公開される。

ここで、上記のステップＳ６０１は、例えば、鍵交換システム１のシステム構築時に実行される。一方で、後述するステップＳ６０２～ステップＳ６０３は、ユーザ秘密鍵を生成する必要が生じるたびに繰り返し実行される。例えば、ステップＳ６０２～ステップＳ６０３は、鍵交換システム１のシステム構築時や、システム構築後に機器２０やサーバ装置３０が追加された場合等に実行される。以降では、一例として、機器２０（ユーザＵ_Ａ）のユーザ秘密鍵と、サーバ装置３０（ユーザＵ_Ｂ）のユーザ秘密鍵とを生成する場合について説明する。

鍵発行装置１０の鍵発行処理部１０１は、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）及びＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）を計算した上でユーザ秘密鍵Ｄ_Ａ，１＝ｚＱ_Ａ，１及びＤ_Ａ，２＝ｚＱ_Ａ，２を生成すると共に、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）及びＱ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）を計算した上でユーザ秘密鍵Ｄ_Ｂ，１＝ｚＱ_Ｂ，１及びＤ_Ｂ，２＝ｚＱ_Ｂ，２を生成する（ステップＳ６０２）。これにより、機器２０のユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２と、サーバ装置３０のユーザ秘密鍵Ｄ_Ｂ，１及びＤ_Ｂ，２とが生成される。

次に、鍵発行装置１０の鍵発行処理部１０１は、上記のステップＳ６０２で生成されたユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２とユーザ秘密鍵Ｄ_Ｂ，１及びＤ_Ｂ，２とを配布する（ステップＳ６０３）。すなわち、鍵発行処理部１０１は、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２を機器２０（ユーザＵ_Ａ）に配布し、ユーザ秘密鍵Ｄ_Ｂ，１及びＤ_Ｂ，２をサーバ装置３０（ユーザＵ_Ｂ）に配布する。これにより、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２が機器２０の記憶部２０２に保存されると共に、ユーザ秘密鍵Ｄ_Ｂ，１及びＤ_Ｂ，２がサーバ装置３０の記憶部３０２に保存される。

≪鍵交換処理≫
以降では、機器２０（ユーザＵ_Ａ）とサーバ装置３０（ユーザＵ_Ｂ）との間で鍵交換処理を行う場合について、図１３を参照しながら説明する。図１３は、第三の実施形態に係る鍵交換処理の一例を示すシーケンス図である。なお、機器２０の記憶部２０２にはユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２が保存されていると共に、サーバ装置３０の記憶部３０２にはユーザ秘密鍵Ｄ_Ｂ，１及びＤ_Ｂ，２が保存されているものとする。

機器２０の鍵交換処理部２０１は、ユーザ秘密鍵Ｄ_Ａ，１を委託計算装置４０に送信する（ステップＳ７０１）。

委託計算装置４０の委託計算部４０２は、ユーザ秘密鍵Ｄ_Ａ，１を受信すると、当該ユーザ秘密鍵Ｄ_Ａ，１を記憶部４０３に保存する（ステップＳ７０２）。

機器２０の鍵交換処理部２０１は、記憶部２０２に記憶されているユーザ秘密鍵Ｄ_Ａ，１を削除する（ステップＳ７０３）。これにより、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２のうち、機器２０の記憶部２０２にはユーザ秘密鍵Ｄ_Ａ，２のみが保存されていることになり、委託計算装置４０の記憶部４０３にはユーザ秘密鍵Ｄ_Ａ，１のみが保存されていることになる。

なお、上記のステップＳ７０１～ステップＳ７０３は、機器２０が一部の共有値の計算等を委託計算装置４０に最初に委託する前に１回行われればよい。すなわち、機器２０が一部の共有値の計算等を当該委託計算装置４０に委託することが２回目以降である場合には、上記のステップＳ７０１～ステップＳ７０３は実行されない。以降では、機器２０の記憶部２０２にはユーザ秘密鍵Ｄ_Ａ，２のみが保存されており、委託計算装置４０の記憶部４０３にはユーザ秘密鍵Ｄ_Ａ，１のみが保存されているものとする。なお、サーバ装置３０は、ユーザ秘密鍵Ｄ_Ｂ，１とユーザ秘密鍵Ｄ_Ｂ，２とを記憶部３０２に保存する。

ステップＳ７０４～ステップＳ７０７は、図６のステップＳ２０１～ステップＳ２０４とそれぞれ同様であるため、その説明を省略する。

機器２０の相互認証部２０３と、委託計算装置４０の相互認証部４０１とは、共通鍵による相互認証を行う（ステップＳ７０８）。すなわち、機器２０の相互認証部２０３は、記憶部２０２に予め記憶しておいた共通鍵を用いて委託計算装置４０を認証すると共に、委託計算装置４０の相互認証部４０１は、記憶部４０３に予め記憶しておいた共通鍵を用いて機器２０を認証する。これにより、機器２０と委託計算装置４０との間で、互いの正当性が確認される。このように共通鍵を用いることで、機器２０と委託計算装置４０との間の相互認証の処理時間を削減することができる。

以降では、上記のステップＳ７０８の相互認証に成功したものとする。なお、相互認証に成功した場合、機器２０と委託計算装置４０とはセッション鍵を生成し、このセッション鍵を用いて以降の通信を暗号化するものする。したがって、以降のステップＳ７１０及びステップＳ７１６の通信は、このセッション鍵によって暗号化されているものとする。

機器２０の鍵交換処理部２０１は、ｘ_ＡＺ_１を計算する（ステップＳ７０９）。次に、機器２０の鍵交換処理部２０１は、識別子ＩＤ_Ｂと、短期公開鍵Ｘ_Ｂ，２と、計算値ｘ_ＡＺ_１とを委託計算装置４０に送信する（ステップＳ７１０）。

委託計算装置４０の委託計算部４０２は、識別子ＩＤ_Ｂと、短期公開鍵Ｘ_Ｂ，２と、計算値ｘ_ＡＺ_１とを受信すると、以下により共有値σ_２，σ_３を計算する（ステップＳ７１１）。

σ_２＝ｅ（Ｄ_Ａ，１＋ｘ_ＡＺ_１，Ｑ_Ｂ，２＋Ｘ_Ｂ，２）
σ_３＝ｅ（ｘ_ＡＺ_１，Ｘ_Ｂ，２）
なお、Ｑ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）は委託計算部４０２が計算してもよいし、鍵発行装置１０より公開されたＱ_Ｂ，２が用いられてもよい。

機器２０の鍵交換処理部２０１は、以下により共有値σ_１を計算する（ステップＳ７１２）。

σ_１＝ｅ（Ｑ_Ｂ，１，Ｄ_Ａ，２）
なお、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）は鍵交換処理部２０１が計算してもよいし、鍵発行装置１０より公開されたＱ_Ｂ，１が用いられてもよい。

また、サーバ装置３０の鍵交換処理部３０１は、以下により共有値σ_１，σ_２，σ_３を計算する（ステップＳ７１３）。

σ_１＝ｅ（Ｄ_Ｂ，１，Ｑ_Ａ，２）
σ_２＝ｅ（Ｑ_Ａ，１＋Ｘ_Ａ，１，Ｄ_Ｂ，２＋ｘ_ＢＺ_２）
σ_３＝ｅ（Ｘ_Ａ，１，ｘ_ＢＺ_２）
なお、Ｑ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）は鍵交換処理部３０１が計算してもよいし、鍵発行装置１０により公開されたＱ_Ａ，２が用いられてもよい。

次に、機器２０の鍵交換処理部２０１は、図６のステップＳ２０７と同様に、ｓｉｄを計算する（ステップＳ７１４）。また、サーバ装置３０の鍵交換処理部３０１は、図６のステップＳ２０８と同様に、ｓｉｄを計算する（ステップＳ７１５）。

委託計算装置４０の委託計算部４０２は、上記のステップＳ７１１で計算された共有値σ_２，σ_３を機器２０に送信する（ステップＳ７１６）。

機器２０の鍵交換処理部２０１は、委託計算装置４０から共有値σ_２，σ_３を受信すると、図６のステップＳ２０９と同様に、共有鍵Ｋを生成する（ステップＳ７１７）。

また、サーバ装置３０の鍵交換処理部３０１は、図６のステップＳ２１０と同様に、共有鍵Ｋを生成する（ステップＳ７１８）。これにより、機器２０とサーバ装置３０との間で共有鍵Ｋが共有される。

以上のように、本実施形態に係る鍵交換システム１では、機器２０はユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２のうちのユーザ秘密鍵Ｄ_Ａ，１を委託計算装置４０に保存させた上で、共有値σ_２及びσ_３の計算を当該委託計算装置４０に委託する。これにより、機器２０での処理負荷を軽減させることができ、鍵交換に要する時間を削減することが可能となる。また、ユーザ秘密鍵Ｄ_Ａ，１及びＤ_Ａ，２が機器２０及び委託計算装置４０にそれぞれ分散して保持されるため、万が一、いずれか一方のユーザ秘密鍵が漏洩したとしも安全性を確保することが可能となる。

なお、本実施形態では、上記のステップＳ７１１及びステップＳ７１３でσ_３＝ｅ（ｘ_ＡＺ_１，Ｘ_Ｂ，２）を計算しているが、例えば、第二の実施形態と組み合わせて、σ_３＝ｅ（ｘ_Ａ（Ｚ_１＋Ｙ_１），Ｘ_Ｂ，２）を計算してもよい。この場合、上記のステップＳ７０９で機器２０は、ｘ_ＡＺ_１の代わりに、ｘ_Ａ（Ｚ_１＋Ｙ_１）を計算し、このｘ_Ａ（Ｚ_１＋Ｙ_１）を上記のステップＳ７１０で委託計算装置４０に送信すればよい。

本発明は、具体的に開示された上記の各実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、組み合わせ等が可能である。

１ 鍵交換システム
１０ 鍵発行装置
２０ 機器
３０ サーバ装置
１０１ 鍵発行処理部
１０２ 記憶部
２０１ 鍵交換処理部
２０２ 記憶部
３０１ 鍵交換処理部
３０２ 記憶部

Claims (8)

1. 第１の通信装置と第２の通信装置と鍵生成装置とが含まれ、非対称ペアリング群Ｇ_１及びＧ_２上で実現されるＩＤベース暗号を用いた認証付き鍵交換により前記第１の通信装置と前記第２の通信装置との間で共有鍵を交換する鍵交換システムであって、
   前記Ｇ_１の生成元と乱数とを用いて前記第１の通信装置の短期公開鍵Ｘ_Ａ，１を生成する第１の短期公開鍵生成手段と、
   前記Ｇ_２の生成元と乱数とを用いて前記第２の通信装置の短期公開鍵Ｘ_Ｂ，２を生成する第２の短期公開鍵生成手段と、
   前記鍵生成装置でマスター秘密鍵ｚと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｚ _１ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｙ _１ と、前記短期公開鍵Ｘ_Ｂ，２と、前記第１の通信装置のユーザ秘密鍵Ｄ_Ａ，１とを用いて前記共有鍵を生成する第１の共有鍵生成手段と、
   前記鍵生成装置でマスター秘密鍵ｚと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｚ _２ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｙ _２ と、前記短期公開鍵Ｘ_Ａ，１と、前記第２の通信装置のユーザ秘密鍵Ｄ_Ｂ，２とを用いて前記共有鍵を生成する第２の共有鍵生成手段と、
   を有することを特徴とする鍵交換システム。
2. 前記鍵交換システムには、複数の鍵生成装置が含まれ、
   前記マスター公開鍵Ｚ_１及びＺ_２と、前記マスター公開鍵Ｙ_１及びＹ_２とは異なる鍵生成装置でそれぞれ生成される、ことを特徴とする請求項１に記載の鍵交換システム。
3. 前記マスター秘密鍵ｙは、前記マスター公開鍵Ｙ_１及びＹ_２の生成後に前記鍵生成装置から削除される、ことを特徴とする請求項１又は２に記載の鍵交換システム。
4. 非対称ペアリング群Ｇ_１及びＧ_２上で実現されるＩＤベース暗号を用いた認証付き鍵交換により他の機器又はサーバ装置との間で共有鍵を交換する機器であって、
   前記Ｇ_１の生成元と乱数とを用いて短期公開鍵Ｘ_Ａ，１を生成する短期公開鍵生成手段と、
   鍵生成装置でマスター秘密鍵ｚと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｚ _１ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｙ _１ と、前記他の機器又はサーバ装置で前記Ｇ_２の生成元と乱数とを用いて生成された短期公開鍵Ｘ_Ｂ，２と、前記機器のユーザ秘密鍵Ｄ_Ａ，１とを用いて前記共有鍵を生成する共有鍵生成手段と、
   を有する機器。
5. 非対称ペアリング群Ｇ_１及びＧ_２上で実現されるＩＤベース暗号を用いた認証付き鍵交換により機器又は他の情報処理装置との間で共有鍵を交換する情報処理装置であって、
   前記Ｇ_２の生成元と乱数とを用いて短期公開鍵Ｘ_Ｂ，２を生成する短期公開鍵生成手段と、
   鍵生成装置でマスター秘密鍵ｚと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｚ _２ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｙ _２ と、前記機器又は他の情報処理装置で前記Ｇ_１の生成元と乱数とを用いて生成された短期公開鍵Ｘ_Ａ，１と、前記情報処理装置のユーザ秘密鍵Ｄ_Ｂ，２とを用いて前記共有鍵を生成する共有鍵生成手段と、
   を有することを特徴とする情報処理装置。
6. 第１の通信装置と第２の通信装置と鍵生成装置とが含まれ、非対称ペアリング群Ｇ_１及びＧ_２上で実現されるＩＤベース暗号を用いた認証付き鍵交換により第１の通信装置と第２の通信装置との間で共有鍵を交換する鍵交換システムにおける鍵交換方法であって、
   前記Ｇ_１の生成元と乱数とを用いて前記第１の通信装置の短期公開鍵Ｘ_Ａ，１を生成する第１の短期公開鍵生成手順と、
   前記Ｇ_２の生成元と乱数とを用いて前記第２の通信装置の短期公開鍵Ｘ_Ｂ，２を生成する第２の短期公開鍵生成手順と、
   前記鍵生成装置でマスター秘密鍵ｚと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｚ _１ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _１ の生成元とから生成されたマスター公開鍵Ｙ _１ と、前記短期公開鍵Ｘ_Ｂ，２と、前記第１の通信装置のユーザ秘密鍵Ｄ_Ａ，１とを用いて前記共有鍵を生成する第１の共有鍵生成手順と、
   前記鍵生成装置でマスター秘密鍵ｚと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｚ _２ と、前記鍵生成装置でマスター秘密鍵ｙと前記Ｇ _２ の生成元とから生成されたマスター公開鍵Ｙ _２ と、前記短期公開鍵Ｘ_Ａ，１と、前記第２の通信装置のユーザ秘密鍵Ｄ_Ｂ，２とを用いて前記共有鍵を生成する第２の共有鍵生成手順と、
   を有することを特徴とする鍵交換方法。
7. コンピュータを、請求項４に記載の機器として機能させるためのプログラム。
8. コンピュータを、請求項５に記載の情報処理装置として機能させるためのプログラム。

Images