JPH02246639A - 公開識別情報を用いる共有鍵配送方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 ［産業上の利用分野］ この発明は、通信回線により通信を行う二つ以上の通信
装置の間で、共通の暗号鍵（即ち、共有鍵）の配送を行
うための共有鍵配送方式に関するものである。ここで通
信装置は通信機能を有する装置、すなわち、電子計算機
、端末装置、電子交換機、通信制御装置、通信処理装置
、またはＩＣカード、などを表わすとする。

［従来の技術］ 通信装置の間で秘密情報の通信を安全に行うためには、
暗号を用いる通信が有効である。秘密通信として、通信
メツセージの秘匿を暗号で行う技術と、暗号を用いて認
証子を作成してメツセージの改ざんを検出する、メツセ
ージ認証の技術が知られている。暗号法には慣用暗号と
公開鍵暗号があることが知られている。慣用暗号では暗
号鍵の配送が必要である。

暗号鍵には、暗号化用の鍵である暗号化鍵と、復号化用
の鍵である復号化鍵がある。慣用暗号は暗号化鍵と復号
化鍵が同一な暗号法を意味する。

二つ以上の通信装置で共有する暗号鍵を共有鍵と呼ぶ。

慣用暗号の暗号アルゴリズムには、例えば、ＤＢＳ暗号
（Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ　５ｔａｎｄａｒｄ
”　、　Ｆａｄｅｒａｌ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｐ
ｒｏｃｅｓｓｉｎｇ　５ｔａｎｄａｒｄｓ　Ｐｕｂｌｉ
ｃａ−ｔｉｏｎ　４６＋口、Ｓ、Ａ、、　（１９７７年
））、及びＰＥＡＬ−８暗号（宮口ほか著：″ＦＥＡＬ
−８暗号アルゴリズム”、研究実用化報告、第３７巻第
４１５号、（１９８８年））などがある、公開鍵暗号の
アルゴリズムには、例えば、Ｒ３Ａ暗号（“Ｒ，Ｅ、Ｒ
ｉｖｅｓｔ他著：　Ａ　ＭｅｔｈｏｄｆｏｒＯｂｔａｉ
ｎｉｎｇ　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ　ａ
ｎｄ　Ｐｕｂｌｉｃ−ＫｅｙＣｒｙｐＬｏｓｙｓｔｅｍ
ｓ　　、　ＣｏｓｍｕｎｉｃａＬｉｏｎｓ　ｏｆ　ｔｈ
ｅ　ＡＣＭ＋Ｖｏ１．２１．Ｎｌ１２．ｐｐ、１２０−
１２６．（１９７８年））、などがある。

公開鍵暗号を用いた共有鍵配送では、公開溝の管理を行
う必要があり、このための対策として、通信システム内
で通信装置を一意に識別できる公開識別情報（即ち、通
信システム内で一意に付与された公開の識別情報であり
、例えば、電話番号、住所、通信装置識別子、など）を
用いる方式がある。従来、公開識別情報に基づく相手認
証およびディジタル署名の安全な方式として、Ｆｉａｔ
−５ｈａｍｉｒによる方式（＾、Ｆｉａｔ　ａｎｄ　Ａ
、Ｓｈａｍｉｒ著：　”Ｈｏｗ　Ｔ。

Ｐｒｏｖｅ　Ｙｏｕｒｓｅｌｆ　：　Ｐｒａｃｔｉｃａ
ｌ　５ｏｌｕｔｉｏｎｓ　ｔｏ　Ｉｄｅｎｔｉｆｊｃａ
ｔｉｏｎ　ａｎｄ　Ｓｉｇｎａｔｕｒｅ　Ｐｒｏｂｌｅ
＋ｗｓ　　、　Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ＣＲＹ
ＰＴＯ８６＋Ｓｐｒｉｎｇｅｒ＋Ｌｅｃｔｕｒｅ　Ｎｏ
ｔｅｓ　１ｎＣｏ＋＊ｐｕＬｅｒ　５ｃｉｅｎｃｅ　２
６３．ｐｐ、１８６−１９４（１９８７））が提案され
ているが、その方法では共有鍵の配送はできない。

［発明が解決しようとする課題］ 従来に提案されている公開識別情報を用いる共有鍵配送
方式では、管理用装置が通信装置の共有鍵を知ることが
できること等の秘密保護に問題がある。この発明の目的
は複数の通、信装置における共有鍵の配送において、公
開溝を不要とし、かつ通信装置の秘密保護が十分な共有
鍵配送方式を提供することである。

［課題を解決するための手段］ この発明は、一つの管理用装置と複数の通信装置により
構成される通信システムに適用する。各通信装置は通信
システム内で一意に定まる公開識別情報を存することと
する。各通信装置はそれぞれ二重暗号演算装置を備えて
いる０通信装置の間の共有鍵の配送は次の二つの独立な
過程により実現する。

■共存鍵配送の第１の過程： 各通信装置が管理用装置に登録する時に、管理用装置は
通信システムで共通な公開情報と、通信装置の公開識別
情報に対応して生成した秘密情報を各通信装置に付与し
、各通信装置はそれらの公開情報と秘密情報を保持する
。なお、管理用装置は個々の通信装置対応に生成した秘
密情報を、通信装置に付与した後では、秘密情報を保持
する必要はない。

■共存鍵配送の第２の過程： 管理用装置から秘密情報を得て保持している通信装置が
、共有鍵の配送を行うときに、二重暗号演算装置を用い
て共有鍵の配送を行うとともに、互いに相手側の通信装
置の正当性を、公開識別情報と、管理用装置から得た秘
密情報および公開情報を用いて、相手側の通信装置と相
互に正当性を認証する。

［作　用］ 前述の手段において、通信装置の間で共有する共有鍵の
値は、相互認証の情報では生成できないので、管理用装
置は共有鍵を知ることができないため、通信装置の共有
鍵の秘密が保たれている。

また、公開溝は不要である。

［実施例］ この発明の実施例を述べる。

まず、記法を述べる。整数は、この発明の実施例では、
負でない整数を意味する。Ａ、Ｂ及びＮを任意の整数と
するとき、ＢについてのＮを法とする剰余がＡであるこ
とを、Ａ＝Ｂｓ＋ｏｄＮと表わす、ＡとＢがＮを法とし
て合同であることを、Ａ＝Ｂ　（＋ｗｏｄ　Ｎ）と表す
、ＡのＬ乗の法をＮとする剰余である。Ａ’　ｓｏｄ　
Ｎを、ｅｘｐ（Ａ、　　ｔ　）　５ｏｄＮと表わす、１
１は、二つ以上のデータのそのままの値の連結、■は排
他的論理和の演算をそれぞれ表わす。

通信装置Ｗの公開識別情報をＩＤ、とする、ここで、Ｗ
は任意の値であり、例えば、通信装置ａの識別子はｒＤ
、、通信装置すの識別子はＩＤ。

となる、公開識別情報は通信システム内では一意に定ま
るとする。

次に、二重暗号演算装置について述べる。各通信装置は
二重暗号演算装置を備えるものとする。

整数のパラメータを、平文をＭ、暗号文をＣ１暗号化鍵
をＫ、復号化鍵をに■、公開の整数を２とすると、 Ｃ＝ｅｘｐ（Ｍ、　　Ｋ）　ｓｏｄ　ｐＭ＝ｅｘｐ（Ｃ
，Ｋ　Ｉ　）　５ｈｏｄ　ｐとなる。ここで、Ｏ≦Ｍａ
ｐ、Ｏ≦Ｃａｐ、かつに−Ｋｌミｌ　（＋ｗｏｄφ（ｐ
）） である、ここで、φ（・）はオイラーの関数である。

ｐの素因数をＰ、Ｑ、Ｒ１・・・とすると、ｐ−ＰａＱ
″Ｒｃ・・； であるから、 φ＝　（ｐ）　　＝　ｐ　（１−１／Ｐ）　（１１／Ｑ
）　（１１／Ｒ）・・・となる、従って、ｐが素数のと
きは、 φ（ｐ）＝ｐ−１ である、二重暗号演算装置は、ハードウェア、又はハー
ドウェアとソフトウェアの組み合わせにより実現できる
。二重暗号演算装置における、ベキ乗剰余、および逆数
の計算法には、任意の方法を利用できる。それらの計算
法は、例えば、「池野ほか著“現代暗号理論”、電子情
報通信学会、（１９８６年）」などに述べられている。

複数の通信装置では、通信メツセージ（即ち、電文）に
、二重暗号演算装置によ名暗号化と復号化を交互に適用
することにより、通信装置の間で事前に秘密情報を共有
することなく、共有鍵配送を行うことができる。この原
理は、例えば「小林哲二著“暗号通信における２重暗号
型鍵配送方式”、電子情報通信学会論文誌、Ｖｏｌ、Ｊ
７１−Ｄ　、　Ｆｈ９．　ｐｐ、１８１５１８２２、　
（１９８８年）ｊなどに述べられている。

第１図は二重暗号演算装置ｌの一構成例である。

信号路２は二重暗号演算装置１へ入力データを入力する
ための信号路であり、任意の整数のデータを入力する。

信号路３は鍵（暗号化鍵または復号化鍵）の入力のため
の信号路であり、暗号化鍵を人力する例を示しである。

信号路４は法の値の入力のための信号路であり、法の値
を入力する。二重暗号演算装置ｔは、入力データについ
て、暗号化鍵の値を指数とする、ベキ乗の法の値による
剰余を計算して、計算結果を出力する。信号路５は二重
暗号演算装置ｌの処理結果である出力データを出力する
ための信号路である。二重暗号演算装Ｗ１６は二重暗号
演算装置ｌと同じ装置であり、復号化１！Ｋｌを鍵とし
て入力している例である。

次に、管理用装置と通信装置で使用する、関数ｆ（・）
および関数ｈ（・）について述べる。関数ｆ（・）は任
意の数値θを、 ０≦ｆ（θ）＜ｎ の値に変換する関数であり、ｒ（θ）からθを求めるに
は、計算時間から見て困難であるとする。

ｆ（・）は例えば次のようにして実現できる。θは長さ
がｎ未満のときは、必要により、０を後に付加して、θ
の長さがｎになるようにし、かつ個々のθｉ＋　　（ｉ
＝１．２．・・・３ｍ）、は暗号装置のブロック長にな
るように選択して、 θ＝θ１１１θ２１１・・・１１θ。

と分解する。Ｔを公開のデータとする。Ｅ（Ｚｌ。

Ｕ）を、任意のデータＵを暗号装置により、鍵Ｚ１を用
いて暗号化した値とする。この暗号装置には、任意の暗
号アルゴリズム（例えば、前述した、ＦＥＡＬ−８暗号
、ＤＢＳ暗号、Ｒ５Ａ５重暗ど）を使用できる。すると
、 Ｆ、　＝Ｅ　（θｌ　、　　Ｔ）　６９ＴＦ、　＝Ｅ　
（θｚ　、　　Ｆ＋　）　ＩＢＦ＋Ｆ、　　＝Ｅ　　（
θｗ＝　、ＦＭ−１）ｅＦ、−。

とし、 ｆ　（θ）　＝Ｆ＋　　Ｉｔ　Ｆｚ　　Ｉｔ・・・１１
Ｆ。

とすることができる０次に、ｈ（・）は、任意の数値１
．　　（１≧Ｈ）を、 ０≦ｈ（Ｄ　≦Ｈ の値に変換する関数であり、ｈ（・）の構成は、例えば
、ｆ（・）と同様にして計算した値の末尾部分の長さＨ
のビットを取ることにより実現できる。

次に、以下では、二重暗号演算装置による共有鍵配送に
、Ｆｉａｔ−Ｓｈａｍｉｒ方式による相手認証を適用し
て、通信装置で相互に相手側の正当性の認証を行う場合
について示す。

まず、管理用装置は各通信装置が管理用装置に登録を行
うときに、次の共存鍵配送の第１の過程を実行する。

管理用装置は管理用装置の秘密情報として、素数α、β
を生成し、保持する。

次に、 ｎ＝α・β を計算する。ｎは公開情報である０次に、公開情報とし
て、一つ以上の素数とそれによる整数ｐを生成し、保持
する０次に、公開の関数である、ｆ（・）とｈ（・）の
形式を定める。

ステ１１１： 任意の通信装置Ｗについての公開識別情報をＩＤ、とす
る。管理用装置は通信装置Ｗからの依頼により、ｊ＝１
．２・・・、ｋについて、Ｖ、＝ｆ　（１０，ＩＩ　ｊ
） を計算する。ここで、■１はｎを法とする平方剰余であ
るように、ｊ＝１，２．・・・、Ｋを選択する。

次に、ｊ＝１．２・・・、ｋについて、管理用装置と、
通信装置Ｗの秘密情報である。

Ｓｊ＝　（１／　ＶＪ）””　ｓｏｄ　ｎを求める。こ
こで、ＳＪは、１／■、の法をｎとする最小平方根とす
る。

スｊシ二乙よ： 管理用装置は通信装置Ｗに秘密情報として、Ｓｊ、（ｊ
＝１．２．・・・、ｋ） を与える。また、公開情報である、ｎＳｐ、ｆ（・）、
ｈ（・）も与える。ｐが合成数のときは、その素因数も
与える。

ステ１１コノ 管理用装置は、通信装置Ｗに与えるために生成したＶ、
　、ｓ、、（Ｊ＝１．２．　・・・、ｋ）、の値を管理
用装置から消去する。

次に、第１の過程により、管理用装置から公開情報、お
よび秘密情報を得た通信装置は、任意の時点で共存鍵配
送の第２の過程により、共有鍵の配送を行う、第２図は
通信システムの構成例を示し、第３図は、共有鍵配送の
第２の過程における電文の交信例を示す。

廿　　　゛の　２の゛　′ニ ステップ１： 通信製Ｗａは通信装置ａと通信製Ｗｂの共を鍵ＫＣｏを
乱数により生成する０次に、乱数Ｒ１を生成し、 Ｘ−＝　ｈ　（（Ｒ，）”　ｓｏｄ　ｎ）を求める０次
に、二重暗号演算装置の暗号化鍵Ｋ。

を乱数により生成して保持する０次に、Ａ　ｌ　＝ｅｘ
ｐＣＫＣｓｂ　ＩＩ　ＩＤａ　　ｌｌ　Ｘｍ、Ｋａ　）
ｍａｄ　　ｐを計算し、ＡＩを含む電文ｌを通信製ｚｂ
に送信する。更に、 Ｋ　１．＝　１／に、ｓｏｄ　φ（ｐ）を計算して保持
する。

スｊシじ乙え： 通信装置すはＡ１を含む電文１を受信する。次に二重暗
号演算装置の暗号化鍵に、を乱数により生成する０次に
、 Ａ　Ｓ　２　＝ｅｘｐ　　（Ａｌ、　Ｋｂ　）　＋ｗｏ
ｄ　ｐ＝ｅｘｐ　　（ＫＣ，Ｉｔ　ｒＤａ　ＩＩに、　
、　Ｋ、　、　Ｋ、　）閣ｏｄ　　ｐ を計算する０次に、乱数ビット列ｃ、＝　ＩＧａ　（ｊ
）。

（ｊ−１，２，・・・、ｋ））を生成する（即ち、Ｇ。

（ｊ）＝Ｏまたは１）０次に、 Ａ２＝Ａ３２１１Ｇ。

を求める０次に、乱数Ｒ１を生成し、 Ｘｂ　　”’　ｈ　　＜＜Ｒｂ　　ン”　　ｅｘｏｄ　
　ｎ）を計算する０次に、 Ｂ１＝ＩＤ、１１Ｘｂ を作成する０次に、Ａ２とＢ１を含む電文２を通信装置
ａに送信する。次に、 Ｋ　Ｉ　ｂ　＝ｌ　／Ｋｍ　ｓｏｄ　φ（ｐ）を計算し
て保持する。

ス孟ヱエユ： 通信装置ａはＡ２とＢｌを含む電文２を受信して、二重
暗号演算装置により、 Ａ　Ｓ　３　＝ｅＸｐ　　（ＡＳ２．Ｋ１．）　ｎ＋ｏ
ｄ　ｐ＝ｅｘｐ　　（ＫＣａＪＩＩＤ−ｌｌＸｍ、Ｋ　
ｂ　）ｍａｄ　ｐを計算する。次に、 通信装置すはＡ３と８２を含む電文３を受信する。次に
、二重暗号演算装置により、 Ａ４　＝ｅｘｐ　　（ＡＳ　３．　　Ｋ　１ｂ　）　ｒ
＠ｏｄ　ｐ＝ＫＣ，ｌｌ　Ｉ　Ｄ、　　ＩＩ　Ｘ。

を計算して、共有鍵ＫＣ，ｂを得る０次に、受信したｒ
Ｄ、の値の正当性を確認する。更に、るｊについての、
Ｓ、の積を表す（なお、以下で現われる同様な記法も、
同様な意味である）、次に、 Ａ３＝ＡＳ３１１Ｙ。

を作成する。更に、Ｋピントの乱数ビットｆｌＪＧｂ−
（Ｇｂ　（Ｄ、ｊ　＝　１．　２．・・・ｋ）ｌを生成
する（即ちＧ、（ｊ）＝０または１）。次に、受信した
ＩＤ。

の値の正当性をＴ１１認する０次に、 Ｂ２＝Ｇ。

とする。次に、Ａ３とＢ２を含む電文３を、通信装置す
に送信する。

ス±ユ１土： が成立するかどうかを調べ、成立すれば、鍵配送時にお
いて、通信装置すによる通信装置ａの相手認証は正常、
不成立であれば異常である０次に、を求め、 Ｂ３＝Ｙｂ とし、Ｂ３を含む電文４を通信装置ａに送信する。

ス天ヱ１工： 通信装置ａはＢ３を含む電文４を受信する０次に、二重
暗号演算装置により、 Ｂ　４　＝ｅｘｐ　　（ＢＳ３　、にＩｍ　）　＋ｓｏ
ｄ　ｐ＝ＩＤｂ　　ＩＩＸ　ｂ を計算する０次に、Ｉｎ、の値の正当性を確認する。

更に、 が成立するかどうかを調べ、成立すれば、通信装置ａに
よる通信装置すの相手認証は正常、不成立であれば相手
認証は異常である。

なお、以上の共有鍵配送の過程において、異常が発生時
はその過程は異常終了する。

以上では、この発明の一実施例を述べたが、この発明で
は以下の選択も可能である。

■　この発明の適用に際して利用する通信網の物理的構
成（例えば、専用線、交換回線、構内網など）、通信網
インタフェース、及び通信プロトコルは、任意に選択で
きる。

■　この発明の実施例では、二重暗号演算装置にＦｉａ
ｔ−５ｈａｍｔｒ方式による相手認証を適用する場合を
記述したが、Ｆｌａｔ−３ｈａｎ＋ｉｒ方式と類似の通
信形態を有する相手認証方式（例えばＦｉａｔＳｈａｍ
ｉｒ方式の、別のパラメータ選択の利用、拡張、改良、
およびＦｉａｔ−３ｈａｍｉｒのディジクル署名方式、
その拡張、改良）も、この発明に適用できることは明ら
かであり、そのような場合もこの発明は含んでいる。

■　二重暗号演算装置の法の値は整数の場合の実施例を
示したが、拡大体の演算を用いることもできる。

■　通信装置間の情報の送信で暗号化していない情報を
、二重暗号演算装置などの任意の暗号を用いて暗号化し
て送信してもよい。

■　実施例の共有鍵配送の第２の過程において次の選択
も可能である０通信装置ａではＩＤ、とＸｌのいずれも
二重暗号演算装置で暗号化して送信しているが、ＩＤ、
とＸ、のいずれか一方は、平文のままで送信してもよい
、別の方法として、通信装置ａでは、ＩＤ、と島から、
任意の公開の関数（例えば、関数ｈ（・））を用いて生
成した情報を、ＩＤ、ｌｌＸ、の代わりに、共有鍵ＫＣ
ｏと連結し、即ち、Ｋｃ、ｂｌｌｈ（ＩＤ、ｌｌＸ、）
を二重暗号演算装置で暗号化して送信する場合には、Ｉ
Ｄ、とＸ、のいずれも平文のままで電文１に連結して送
信してよく、その場合、通信装置すでは、受信した情報
から得たｈ　（ｆＤ、ＩＩＸ、）が、受信したＩＤ、１
ｌＸ−から関数ｈ（・）により計算した値と等しいこと
により、正当性を確認する必要がある。

［発明の効果］ この発明の鍵配送方式は次の効果がある。

（１）管理用装置の情報は通信装置では相手認証にのみ
用いられるので、万−第三者に漏洩しても、共有鍵が漏
れないので安全性が高い。また、管理用装置は共有鍵を
知ることが出来ないので、通信装置の共有鍵の秘密は保
たれる。

（２）鍵配送時に管理用装置との通信が不要であるので
、管理用装置が通信不能となっても、通信装置の間では
暗号通信が可能である。

（３）　　Ｒ５Ａ暗号などの公開鍵系の鍵配送方式を用
いて共有鍵の配送を行うときに必要な公開溝を管理する
必要がない。

【図面の簡単な説明】

第１図は二重暗号演算装置の一構成例を示すブロック図
、第２図は通信システムの一構成例を示すプロンク図、
第３図は共有鍵配送の第２の過程における電文の交信例
を示す図である。

Claims (1)

【特許請求の範囲】
1. （１）一つの管理用装置と、二つ以上の通信装置により
   構成される通信システムにおいて、上記各通信装置はそ
   れぞれ二重暗号演算装置を備え、上記一つの管理用装置
   が、上記通信システムで共通な公開情報および上記通信
   装置の識別用の公開識別情報を用いて生成した秘密情報
   を、上記各通信装置に付与し、上記各通信装置は、上記
   通信システムで共通な公開情報および通信装置ごとの秘
   密情報を保持する第１の過程、および、 上記二つ以上の通信装置が、共有鍵の配送を行うときに
   、上記二重暗号演算装置を用いてその共有鍵の配送を行
   うとともに、互いに相手側の通信装置の正当性を、上記
   各通信装置の公開識別情報と、上記管理用装置から得て
   保持している公開情報および秘密情報を用いて認証する
   第２の過程、を有することを特徴とする公開識別情報を
   用いる共有鍵配送方式。