JPH02288746A - 暗号システムにおける安全キー発生装置及び安全セッションキー発生方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 本発明は一般に暗号システムに関し、更に詳細には、無
保証の通信チャネル上の情報の交換を用い、その後に伝
送されるメツセージの暗号化及び解読のための共通暗号
キーを確立する暗号システムに関する。

〔従来の技術〕

暗号システムは、通信ネットワーク内の一つの点から他
の点へ情報を安全に伝送することが要求される種々の用
途において用いられる。安全な伝送はコンピュータ、電
話、ファクシミリ機、または他の装置相互間で必要とな
る。暗号化の主目的はどの場合においても同じであり、
通信されるデータを非合法な盗聴から安全に守るという
ことである。

次に、用語の定義について説明する。「平文」＜ｐｌａ
ｉｎｔｅｓｔ＞は、暗号システムによって処理される前
のメツセージについて云うのに用いられる。

「暗号文Ｊ　　＜ｃｉｐｈｅｒｔｅｘｔ）は、通信チャ
ネル上の伝送中にメツセージが採る形式である。「暗号
化」＜ｅｎｃｒｙｐｔｉｏｎまたはｅｎｃｉｐｈｅｒｍ
ｅｎｔ＞は、平文から暗号文への変換の処理である。［
解読Ｊ　　＜ｄｅｃｒｙｐ−ｔｉｏｎまたはｄｅｃｉｐ
ｈｅｒｍｅｎｔ＞は、暗号文から平文への変換の処理で
ある。暗号化及び解読はいずれも「暗号キーＪ　　＜ｃ
ｉｐｈｅｒ　ｋｅｙ）によって制御される。

暗号化キーを知っていないと、暗号化処理の知識があっ
ても、メツセージを暗号化することはできない。同様に
、解読キーを知っていないと、解読処理の知識があって
も、メツセージを解読することはできない。

詳述すると、暗号システムは暗号化変換ＥＫを有してい
ると考えられ、これは、全ての暗号化操作において用い
られる暗号化アルゴリズムＥ、及びこのアルゴリズムＥ
を用いてＥＫを他の操作から弁別するキーＫによって定
義される。変換Ｅｘは平文メツセージＭを暗号化済みメ
ツセージ、または暗号文Ｃに暗号化する。同様に、解読
は、解読アルゴリズムＤ及びキーＫによって定義される
変換り、によって行われる。

ドロシー・イー・アール・デニング（ＤｏｒｏｔｈｙＥ
、　Ｒ，Ｄｅｎｎｉｎｎｇ＞は、「暗号法及び秘密保護
」（Ｃｒｙｐｔｏｇｒａｐｈｙ　ａｎｄ　５ｅｃｕｒｉ
ｔｙ＞　　（アディソン命ウェスレイ・パブリジング社
（Ａｄｄｉｓｏｎ−ＷｅｓｌｅｙＰｕｂｌｉｓｈｉｎｇ
　Ｃｏ、　＞　　１９８３年）において、被伝送メツセ
ージの完全な秘密保護のためには、２つの要件が満たさ
れなければならない、ということを示唆している。即ち
、第１の要件は、対応の平文Ｍが知られておっても、盗
聴された暗号文Ｃから解読用変換り、を組織的に決定す
ることは誰もコンピュータで実行不可能であるべきであ
る、ということである。第２の要件は、盗聴された暗号
文Ｃから平文Ｍを組織的に決定することはコンピュータ
で実行不可能であるべきである、ということである。暗
号システムの他の目的はデータの信頼性である。このた
めには、誰も、検知されることなしに暗号文Ｃに対して
にせの暗号文Ｃ”を置き換えることが可能であるべきで
ない、ということが必要である。

また、暗号システムは「対称的Ｊ　　＜ｓｙｍｎ＋ｅｔ
ｒｉｃ　＞かまたは「非対称的Ｊ　　＜ａｓｙｍｍｅｔ
ｒｉｃ）に分類される。対称的システムにおいては暗号
化キー及び解読キーいずれも同じであってお互いから簡
単に決定される。２人の当事者が対称的暗号システムを
介して通信したいと欲する場合には、該当事者は先ずキ
ーについて合意することが必要であり、そしてこのキー
を何等かの安全手段によって一方の当事者から他方の当
事者へ伝送しなければならない。これには、通例、キー
を、合意されたタイムテーブルにおいて変更することは
あるが、前もって合意しておき、そして密使または何等
かの他の安全な方法によって伝送することが必要である
。

両当事者がキーを知ったら、暗号システムを介してメツ
セージの交換を進めることができる。

非対称暗号システムとは、暗号化キー及び解読キーが異
なっており、少なくとも一方のキーを他方のキーから決
定することがコンピュータで実行不可能である、という
システムである。即ち、−方の変換ＥＫまたはり、を、
他方を危険におとしいれることなしに明らかにすること
ができる。

１９７６年に「パブリックキーＪ　　（ｐｕｂｌｉｃ　
ｋｅｙ＞暗号化システムの考え方が、ダブりニー・デイ
フィー〈−０口１ｆｆｉｅ）及びエム・ヘルマン〈門。

Ｈｅｌｌｍａｎ　＞によって導入された。これは、情報
理論＜Ｉｎｆｏ、　Ｔｈｅｏｒｙ）に関するＩ　ＥＥＥ
会報＜ＩＥＥ／ＥＴｒａｎｓ、＞　、第ＴＴ−２２＜６
＞号、６４４〜６５４真（１９７６年、１１月）に所載
の「暗号法における新しい趨勢Ｊ　　＜Ｎｅｗ旧ｒｅｃ
ｔｉｏｎ　ｉｎ　Ｃｅｙｐｔｏｇｒａｐｈｙ＞なる論文
である。パブリックキーシステムにおいては、各ユーザ
はパブリックキー及びプライベートキー（ｐｒｉｖａｔ
ｅ　ｋｅｙ＞を有しており、そして２人のユーザは互い
にパブリックキーのみを知って通信することができる。

これにより、２人のユーザ間に安全な通信チャネルを確
立することができ、通信を始める前に「シークレット」
（ｓｅｃｒｅｔ＞キーを交換する必要がない。前掲のデ
ニングによる文献において指摘されているように、パブ
リックキーシステムを操作し、解読のためのプライベー
トキーを用いることによって秘密保守を、暗号化のため
のプライベートキーを用いることによって信頼性を、ま
たは、２組の暗号化キー及び解読キーを用いることによ
って両方を、提供することができる。

〔発明が解決しようとする課題〕

一般に、非対称暗号システムは暗号化及び解読のために
対称的暗号システムよりも多くのコンピュータ的「エネ
ルギー」を必要とする。それで、共通システムとして混
成＜ｈＹｂｒｉｄ＞　システムが開発された。この混成
システムにおいては、パブリックキーシステムのような
非対称システムを先ず用いて［セツションキーＪ　　＜
５ｅｓｓｉｏｎ　ｋｅｙ＞を確立し、通信することを望
む２人の当事者間で用いるようにする。次いで、この共
通セツションキーを、通例の対称的暗号システムにおい
て用いて一方のユーザから他方のユーザへメツセージを
伝送する。デイフィー及びヘルマンは、無保証の通信チ
ャネル上のキーの交換に対してこのようなパブリックキ
ーシステムを提案した。しかし、後述するよに、デイフ
ィー及びヘルマンのパブリックキーシステムは積極的な
盗聴に負ける。即ち、これは、そのメツセージについて
の絶対確実な証明を与えるものではない。パブリックキ
ーを知ってしまえば、盗聴者は、受信した暗号文を解読
し、次いで、その結果得た平文を再暗号化して望みの受
信者へ伝送することができる。この受信者は、このメツ
セージが盗聴されたものであるとは知るよしもない。本
発明の目的はパブリックキー交換またはパブリックキー
管理のための改良された手段を提供することにある。

パブリックキーの管理における証明問題に対する一つの
可能な解決法はキー分配センターを確立することであり
、このセンターは承認済みユーザにシークレットキーを
発行する。このセンターは伝送されたメツセージの身元
証明のための基礎を提供する。一つの典型的な手法にお
いては、他のユーザに伝送しようと望むユーザは、彼及
び該他のユーザの身元、例えば（Ａ、Ｂ）を前記センタ
ーへ送る。このセンターはＡへ暗号文メソセージＥＡ　
　（Ｂ、に、Ｔ、Ｃ）を送る。このメソセージにおいて
、ＥＡはＡのプライベートキーから引き出された暗号化
変換、Ｋはメンセージキー、Ｔは現在日時、そしてＣ＝
Ｅ＋ｔ　　（Ａ、に、Ｔ）であり、ここに、ＥｌｌはＢ
のプライベートキーから引き出された暗号化変換である
。次いで、ＡはＢヘメッセージＣを送る。このようにし
て、ＡはＢへＢのプライベートキーで暗号化されたセツ
ションキーＫを送ることができる。しかも、ＡはＢのプ
ライベートキーを知っていない。また、Ｂは、このメソ
セージが真にＡから来たものであるということを確かめ
ることができ、そして両当事者はその後のメソセージ身
元証明に対するタイムコードを持つ。云うまでもなく、
難点として、中央機能をプライベートキーの貯蔵所とし
て確立しなければならないということ、及び、これを、
全てのユーザに信任される誰かによって管理しなければ
ならないということがある。この難点は若干の適用にお
いては殆ど克服不可能である。そのために、パブリック
キー管理に対する前記に代わる手段が強く要望される。

本発明の他の目的はこの要望を満たす手段を提供するこ
とにある。

本発明は、パブリックキーの管理及び交換を用いる多く
の通信領域において汎用性を有するものであるが、その
開発途次の最初は、ファクシミリ（Ｆ　Ａ　Ｘ）機によ
る通信における特殊な必要性を満たすために開発された
のである。現在は周知であるように、ＦＡＸ機は図形画
像を、最初この画像をディジタルコードに還元すること
により、普通の電話ネットワーク上で送受し、次いで、
これを、適当な変調後、電話線上で伝送する。ＦＡＸ機
は業務情報の伝送のために急速に普及しつつあるが、こ
の業務情報の多くは機密性のものであり、これが無保証
の電話線上で伝送される。それで、意図的盗聴によるか
、または間違ってダイアルされた電話番号への不時の伝
送により、この情報の機密性逸失についてのかなりの危
険がある。

理想的には、必要なものは、ＦＡＸ機と電話線との間に
接続可能な暗号化／解読ボックスであり、これにより、
２人の同様装備を有するユーザ間で、完全なデータ秘密
保守及びユーザ間の身元証明をもって、安全な通信を行
うことができるようにするものである。大部分のユーザ
にとっては、シークレットキーを予め交換することはか
なり不便であり、同じシークレット手法でメツセージを
交換しようとする。パブリックキー交換システムは温か
に便利な解決法であるが、これらシステムの利用可能な
各変形手法には、前述したようなそれ自体の問題がある
。デイフィー及びヘルマンの提案はメツセージを適正に
証明するための手段を欠いており、そして、キー分配セ
ンターはこの問題を解決するよるに思われるのではある
が、実際問題として、ＦＡＸ機ユーザのためのかかるセ
ンターは存在しておらず、また近い将来に設立される見
込みもない。従って、本発明の更に他の目的は、ＦＡＸ
機を用いるデータ伝送に直接適用可能であるキー管理手
法を提供することにある。

〔課題を解決するための手段〕

本発明にかかるパブリックキー暗号システムは、キー分
配センターまたは他のパブリック機能の必要なしに、並
びにメツセージの２重暗号化及び２重解読の必要なしに
、秘密保守及び身元証明の両方を達成するものである。

基本的には、本発明は、各ユーザの通信装置に予め記憶
されているディジタル的に符号付けされた複合量を用い
ることによってこれら目的を達成するものである。各通
信セツションに対して乱数Ｘｉが選定される従来のデイ
フィー及びヘルマンの手法に対し、本発明においては、
製造される各装置内に一意数を予備選定して予備記憶さ
せることが必要である。また、この装置には、Ｙｉの符
号付き複合量及び公然と知られている装置識別子を記憶
させる。Ｙｉ値は、実際上不可逆的である変換を用いて
Ｘｉ値からの変換によって獲得される。

安全通信が確立される前に、２つの装置はこれらのディ
ジタル的符号付き量を交換する。これらの量は、次いで
、符号なしの形に簡単に変換される。その結果得られた
識別子情報を用いて他のユーザの身元を証明し、そして
、その結果得られた他の装置からのＹｉ値をＸｉでの変
換に用いてセツションキーを確立する。即ち、セツショ
ンキーは消極的または積極的盗聴の恐れなしに確立され
、そして、各ユーザは、前記確立されたセツションキー
で暗号化されたメツセージの転送を開始する前に他方の
身元についての保証をもつ。

本発明を定義する一つの方法はセツションキー発生器の
点からなされるのであり、このセツションキー発生器は
、このキー発生器を稼働させる前に選定された複数の第
１の型、及び、このセツションキー発生器の一意的且つ
公然と知られた識別子と、前記第１の型の数の実際上不
可逆的変換によって獲得された複数の第２の型との両方
を含むディジタル的符号付き複合量を記憶するための記
憶手段を備えている。このセツションキー発生器は、前
記第１の型の数を受信するように接続された第１の入力
端子と、他のセツションキー発生器から無保証通信チャ
ネル上で伝送される入力量を受信するように接続された
第２の入力端子とを有しており、前記入力量は、ディジ
タル的に符号付けされており、及び、前記他のセツショ
ンキー発生器の公然と知られた識別子と、前記他のセツ
ションキー発生器に記憶されている第１の型の数の実際
上不可逆的変換によって発生された複数の第２の型との
両方を含んでいる。このセツションキー発生器はまた、
前記記憶されているディジタル的符号付き複合量を前記
無保証通信チャネル上で前記他のセツションキー発生器
へ伝送するための第１の出力端子と、第２の出力端子と
、前記他のセツションキー発生器の識別子及び前記第２
の型の受信済み数を獲得するため、前記第２の入力端子
において受信された符号付き入力量をデコードするため
の手段と、前記第１の入力端子を介して受信された第１
の型の数を用い、前記第２の入力端子を介して受信され
た第２の型の数の実際上不可逆的変換を行うことにより
、前記第２の出力端子においてセツションキーを発生す
るための手段とを有す。

セツションキーの一層の秘密保護のため、このセツショ
ンキー発生器は、ランダムに発生された他の数の第１の
型を受信するように接続された第３の入力端子と、ディ
ジタル的符号付き複合量をもって伝送するため、前記第
３の入力端子を介して受信された第１の型の数の実際上
不可逆的変換によって獲得された第２の型の数を前記第
１の入力端子において発生するための手段とを更に含ん
でいる。このセツションキー発生器はまた、他のセツシ
ョンキー発生器において発生されてこれから伝送される
他の数の第２の型を第２の入力端子から受信するための
手段を含んでいる。セツションキーを発生するための手
段は、前記第１及び第３の入力端子において受信された
第１の型の数、及び前記第２の入力端子において受信さ
れた第２の型の数を含む実際上不可逆的変換を行ない、
これにより、異なるセツションキーが各メソセージ伝送
セツションに対して発生される。

詳述すると、記憶手段内にディジタル的符号付きの形式
で記憶されている第２の型の数は、変換Ｙａ＝α”　ｍ
ｏｄ　ｐによって獲得される。ここに、Ｘａは記憶手段
に記憶されている第１の型の数、α及びｐは公然と知ら
れている変換パラメータである。他のセツションキー発
生器からのディジタル的符号付き複合量はＹｂと呼ばれ
、セツションキーを発生するための手段は変換Ｋ　＝　
Ｙｂ”　ｍｏｄ　ｐを行う。

伝送の前に追加の数Ａ’ａ及びｘ’ｂがまた発生される
場合には、セツションキーを発生するための手段が次式
の変換を行う。

Ｋ＝　（Ｙ’ｂ）”　ｍｏｄ　ｐ　　ｅ　　（Ｙｂ）　
””　ｍｏｄ　ｐここに、Ｘ’ａはランダムに発生され
る第１の型の数、Ｙ’ｂは他のセツションキー発生器か
ら受信される第２の型の追加の数、ｅ記号は排他的ＯＲ
演算を意味する。

本発明にかかる新規な方法は、各装置からディジタル的
符号付き複合量を他の装置へ伝送する段階を有し、前記
複合量は公然と知られている装置識別子ＩＤａと装置に
対して一意的であるシークレット数Ｘａの実際上不可逆
的変換によづて引き出される数Ｙａとを含んでおり、更
に、同様に構成されたディジタル的符号付き複合量を前
記他の装置から受信する段階と、前記受信されたディジ
タル的符号付き複合量を、前記他の装置の装置識別子Ｉ
Ｄｂ及び前記他の装置に対して一意的であるシークレッ
ト数Ｘｂから変換によって引き出された数Ｙｂを含んで
いる符号なし複合量に変換する段階とを有す。次いで、
この本発明方法においては、前記他の装置の身元を装置
識別子ＩＤｂから検査する段階と、数Ｘａ及びＹｂを含
んでいる実際上不可逆的変換を行うことによってセツシ
ョンキーを発生する段階とを行う。

理想的には、本発明方法はまた、セツションキー発生の
前に他の数Ｘ”ａをランダムに発生する段階と、実際上
不可逆的変換を用いて前記数Ｘ’ａを数Ｙ’ａに変換す
る段階と、前記数Ｙ″ａを他の装置へ伝送する段階と、
前記他の装置から数ｙ’ｂを受信する段階とを有す。こ
の場合、セツションキーを発生する段階は、数Ｘａ　、
Ｙ’ａ、Ｙｂ及びＹ’ｂを含む実際上不可逆的変換を含
む。

詳述すると、Ｘ数からＹ数への変換は、タイプＹ＝αＸ
ｍｏｄｐであり、ここに、α及びｐは変換の不可逆性を
最大にするように選定され、そして、セツションキーを
発生する段階は次式の変換を含む。

に＝　　（Ｙ’ｂ）”　ｍｏｄ　　ｐ　　ｅ　　（Ｙｂ
）　””　ｍｏｄ　　ｐここに、■は排他的ＯＲ演算を
示す。

以上の概略説明から解るように、本発明は暗号法の分野
において格段の進歩をもたらすものである。即ち、本発
明は、他のユーザと伝送を交換して共通セツションキー
を確立するときに秘密保守及び身元保証の両方を提供す
るものである。本発明の他の特徴及び利点は図面を参照
して行う本発明実施例についての以下の詳細な説明から
明らかになる。

〔実施例〕

以上説明したように、従来のパブリックキーシステムは
、通信チャネルの各端部において費用の高い２重変換を
行うか、またはキー分配センターを使用しないと、メツ
セージの秘密保守及び身元証明の両方を提供することが
できなかった。

以下、本発明について説明するが、本発明の説明に入る
前に、本発明の原理の理解の基礎となる先行技術につい
て説明する。即ち、米国特許第４．２００．７７０号に
暗号装置及び方法が開示されており、この特許はパブリ
ックキーシステムにおいて秘密保守及び身元証明の両方
を提供することを企図したものである。この米国特許に
よれば、２人の当事者は、先ず両者が無保証チャネル上
でメツセージを交換して同じセツションキーを発生する
ことにより、会話することができる。

米国特許第４．２００．７７０号の手法においては、２
つの数α及びｐを、システムの全てのユーザによる使用
のために選定し、そして公然化する。秘密保護を高めろ
ため、ｐは大きな素数であり、αはｐに対する所定の数
学的関係を持つ。しかし、これらの制約はこの説明の目
的に対して重要なものではない。通信を開始する前に、
第１図に参照番号１０及び２０で示す２人のユーザーＡ
及びＢはメツセージの交換を行い、その結果として、両
者の計算において、両者間でデータの送受に使用すべき
同じ暗号キーまたはセツションキーを発生する。このセ
ツションキーを確立する際の第１のステップは、各ユー
ザが乱数発生器１４．１６においてシークレット数を発
生することである。これらの数はそれぞれ、Ｘａ、Ｘｂ
と呼ばれ、ｐ−１までの一組の正の整数から選定される
。各ユーザはまたセツションキー発生器１８．２０を有
す。

その一つの機能は、次式の変換を用いて数Ｘ、α及びｐ
から他の数Ｙを発生することである。

Ｙａ　＝ｔＸ”　ＩＩＩｏｄ　ｐ Ｙｂ　＝　ｃｘ”　ｌ１ｏｄ　ｐ 次いで、値Ｙａ、Ｙｂを通例の送受信器２２．２４を介
して処理し、無保証通信チャネル２６上で交換する。

項ｒｍｏｄｐＪは、モジュロ（ｍｏｄｕｌｏ）　ｐ　％
またはモジュロｐ使用の演算を意味する。一つの式をモ
ジュロｐに変換するには、この式をｐで除し、そして剰
余だけを保有すればよい。例えば、３４ｍｏｄ１？−０
，３５ｍｏｄ１７＝１、等である。同様に、Ｙａに対す
る式を計算するには、先ず指数式ｏｔＸｂを計算し、次
いでその結果をｐで除し、そして剰余だけを保有すれば
よい。

α及びｐを適切に選定されておれば、ＹａからＸａを計
算することはコンピューターで実行不可能である。即ち
、このような仕事を行うことの費用は、必要なメモリ及
び計算時間の点で、極めて大きく、盗聴を思い止まらせ
る。いずれにせよ、新しいＸ及びＹの値を各メツセージ
に対して選定することができ、このメツセージは極めて
短いので、何等かのＹ値を対応のＹ値から計算するとい
う可能性がなくなる。

値Ｙａ　、Ｙｂの交換の後、各ユーザはそのセツション
キー発生器１８．２０においてセツションキーＫを計算
する。即ち、他方のユーザのＹ値を累乗し、このユーザ
自身のＹ値で現わされるべき乗にするのであり、これは
全てモジュロｐである。

ユーザＡに対しては、計算は次のようになる。

Ｋ＝Ｙｂ”ｍｏｄｐ Ｙｂに代入を行うと、 Ｋ　＝　（α＊ｂ）　Ｘｓ　１ＩＩｏｄ　ｐ　＝＝　ａ
　Ｘｓ　Ｘｂ　、ｏｄ　ｐユーザＢに対しては、計算は
次のようになる。

Ｋ＝Ｙａ”ｍｏｄｐ Ｙａに代入を行うと、 Ｋ　＝　（α”）Ｘｂｍｏｄ　ｐ＝　ｏｒ”Ｘｂｍｏｄ
　ｐそこで、２人のユーザＡ、Ｂは同じセツションキー
Ｋを持つこととなり、これを通例の暗号装置２８．３０
に入力する。送信用暗号装置、例えば２８は、平文メソ
セージＭを暗号文Ｃに変換し、これを通信シャネル２６
上で送信する。受信用暗号装置３０はこの逆の変換を行
い、平文Ｍに戻す。

米国特許第４，２００，７７０号においては、セツショ
ンキーの発生は盗聴から安全であると指摘されている。

即ち、無保証通信チャネル上で交換される情報はＹ値だ
けしか含んでおらず、これからは対応のＸ値を簡単には
計算することができないからである。しかし、この形式
のキー交換システムにもなお２つの大きな問題がある。

その一つは、このシステムは、この特許に記載されてい
る消極的盗聴に対しては格別問題はないが、積極的盗聴
からの攻撃を受は易いということである。もう一つの問
題は、身元証明がパブリックキー登録簿によってしか得
られないということである。

積極的盗聴は、非合法の人間が替え玉メソセージを通信
チャネル上の載せるときに生ずる。第２図は第１図と同
じ構成部材を使用する積極的盗聴の例を示すものである
。積極的盗聴者Ｅは無保証通信線２６のつながりを断ち
、そしてＡからメツセージを受信してこれをＢへ中継し
ており、しかもその間適切な応答をＡへ送っている。Ｅ
は装置ＥｂをもってＢであるかのように振るまい、また
、装置ＥａをもってＡであるかのように振るまう。

Ｅは、２つの暗号装置３４ａ、３４ｂ、２つのセツショ
ンキー発生器３６ａ、３６ｂ、及び２つの数発生器３８
ａ、３８ｂを有す。装置ＥｂがＡからＹａを受信すると
、該装置は数発生器３８ｂからＸｂ′を発生し、Ｘｂ′
からＹｂ’を計算し、そしてＹｂ′をＡへ送信する。装
置Ｅｂ及びユーザＡは同じセツションキーを計算し、そ
してデータの通信を開始することができる。同様に、装
置Ｈａ及びユーザＢはＹ数を交換し、そして、これらは
、Ａ及びＥｂによって使用されるものとは異なるセツシ
ョンキーを発生する。盗聴者Ｅは、暗号文Ｃを解読して
平文Ｍとなし、次いで再び暗号化してＢへ送信する。Ａ
及びＢは、彼等が互いに直接に通信してはいないという
ことを知らないでいる。

次に本発明について説明する。本発明においては、各ユ
ーザは彼が会話している相手の当事者の身元の証明を与
えられ、積極的及び消極的盗聴はいずれも事実上不可能
となる。第３図は本発明にかかるキー管理手法を説明す
るための図である。

図では、第１図及び第２図と同様構成部材には同様参照
番号を付しであるが、メツセージキー発生器には、本発
明のものはキー発生機能が異なるということを示すため
に、参照番号１８’及び２０’を付しである。ユーザ装
置はまた数記憶領域４０゜４２を有す。記憶領域４０は
、Ａの装置の製造時に記憶された所定の数Ｘａ、及び、
これも製造時に記憶された「符号付きＹａ　Ｊ　（ｓｉ
ｇｎｅｄ　Ｙａ）と呼ぶ他の数を格納している。Ｘａは
ランダムに選定されたものであり、この装置に対して一
意的である。Ｙａは次式の変換を用いてＸａから計算さ
れたものである。

Ｙａ＝αＸａｍｏｄｐ Ｙａは、次いで、製造者の通し番号のようなユーザＡ装
置を一意的に識別する数ＴＤａと連結され、そして、次
いで、信頬性のために製造者によってディジタル的に「
符号付け」されるというような仕方でエンコードされた
ものである。データをディジタル的に符号付けするため
の手法は暗号技術において知られているものであり、そ
のうちの若干については後で説明する。差し当たっては
、［符号付き　（Ｙａ　、　　Ｉ　Ｄ）　Ｊ　　（ｓｉ
ｇｎｅｄ　（Ｙａ、ＩＤａ　＞と呼ばれる数がＡ装置を
一意的に識別する値Ｙａ及び他の値ＩＤａを含んでおり
、これらは全て、余人ではなく製造者のみから創設され
た番号であるということを確認する「記号Ｊ　　＜ｓｉ
ｇｎａｔｕｒｅ　＞としてコード化されている、という
ことを考えるだけでよい。ユーザＢの装置１２は、その
記憶領域に、値Ｘｂ及び符号付き（Ｙｂ、ＩＤｂ）を記
憶させている。

ユーザＡ及びＢは符号付き（Ｙａ　、Ｉ　Ｄａ　）及び
符号付き（Ｙｂ、ＩＤｂ）の値を交換し、次いで、各セ
ツションキー発生器１８．２０はこの受信済み値から「
符号除去」し、そして、これが適正なユーザ装置と会話
しているということを検査する。ユーザ識別子ＩＤａ及
びＩＤｂは公然と知られており、それで、ユーザ装置Ａ
は、数ＩＤｂが受信済みの符号付き（Ｙｂ、ＩＤｂ）数
に含まれているということを検査する。同様に、ユーザ
装置Ｂは、符号付き数（Ｙａ、ＩＤａ）が既知の値ＩＤ
ａを含んでいるということを検査する。受信済みメツセ
ージの「符号除去」の処理を行うことにより、ユーザ装
置はまた、この符号付きデータが余人ではな（製造者の
みから創設されたものであるということを確認する。

Ｘａ　％　Ｘｂの値はシークレット値であり、そしてこ
れらを伝送された符号付き（Ｙａ、ＩＤａ）及び符号付
き（Ｙｂ、ＩＤｂ’）の値から獲得することは実行不可
能であるから、ユーザはいずれも、米国特許筒４．２０
０，７７０号に開示されているのと類似の仕方で一意的
セツションキーを計算する。盗聴者Ｅが交換済みメツセ
ージに対してにせのメツセージを置き換えようとしても
、彼は証明要件を満たすことができない。Ｅは符号付き
（Ｙａ、ＩＤａ）伝送を盗聴することができるであろう
し、このメゾセージから符号除去して値Ｙａ及びＩＤａ
を獲得することができるであろう。Ｅは同様に値Ｙｂ及
びＩＤｂを獲得することができるであろう。

しかし、Ｅ及びＡに対して同じセツションキーを使用す
るためには、Ｅは値Ｘｅを発生し、Ｙｅを計算してこれ
を既知のＩＤｂと連結し、次いで、製造者と同じ仕方で
この複合数にディジタル的に「符号付け」することが必
要となる。後で説明するように、ディジタル符号付けは
、一つの方向、即ち符号除去方向では極めて実行容易で
あるが、他の方向、即ち符号付は方向ではコンピュータ
で実行不可能である、という変換を含んでいる。従って
、盗聴者Ｅは、ＡまたはＢと共通のセツションキーを確
立することは不可能となる。即ち、盗聴者は証明要件を
満足するメツセージを発生することが不可能であるから
である。

前述したように、本発明の手法においては、製造時に装
置に記憶されたＸ及びＹの値から引き出されるセツショ
ンキーを確立する。理想的には、新しいセツションキー
をメツセージトラフィックの各交換に対して確立すべき
である。これを行うためには、追加の無保証交換が必要
である。

Ａ装置１０における数発生器１４は乱数Ｘ’ａを発生し
、Ｂ装置１２における数発生器１６は乱数Ｘ’ｂを発生
する。これらはセツションキー発器１８．２０にそれぞ
れ与えられ、該発生器は次式の変換に従って値Ｙｌａ及
びＹ’ｂを発生する。

Ｙ’　ａ　＝　ｅｘ””　ｓｏｄ　ｐ Ｙ’　ｂ　＝　ｏｒ”°ゝｓｏｄ　ｐ 此等の値も、符号付き（Ｙａ、ＩＤａ）及び符号付き（
Ｙｂ、ＩＤｂ）の値が交換されるのと同時に、Ａ装置と
Ｂ装置との間で交換する。メツセージの信軌性が確認さ
れた後、前述したように、セツションキー発生器は次式
の変換を行ってセツションキーを引き出す。即ち、Ａ装
置においては、セツションキーは次式で計算される。

Ｋａ　＝　（Ｙ’　ｂ）口ｓｏｄ　ｐ　　ｅ　　（Ｙｂ
）””　ｍｏｄ　ｐＢ装置においては、セツションキー
は次式で計算される。

Ｋｂ＝（Ｙ’ａ）”　ｓｏｄ　ｐ　　ｅ　　（Ｙ’ａ）
　　”’　ｓｏｄ　ｐここに「ｅ」は排他的ＯＲ演算を
意味する。

このようにして、セツションキーを、各装置において、
１つの固定数、即ち製造時に固定された固定数を、及び
、１つの可変数、即ちセツション時に選定された可変数
を用いて計算する。これらの数を１ビツトずつ一緒に排
他的ＯＲ処理する。

Ｙ値に対して代入を行うことにより、Ｋａ＝Ｋｂである
ことが示される。即ち、 にａ＝（αに”）”　ｍｏｄ　ｐ　　ｅ　　（α”）”
”　ｍｏｄ　ｐ＝（α口）”’　ｍｏｄ　ｐ　　ｅ　　
（αＸ’　ａ）口ｍｏｄ　ｐ＝（Ｙａ）”’　ＩＩＩｏ
ｄ　ｐ　　ＦＥＺ　　（Ｙ’ａ）Ｘｂｎ＋ｏｄ　ｐ＝（
Ｙ’ａ）”　ｓｏｄ　ｐ　　ｅ　　（Ｙａ）”’　ｓｏ
ｄ　ｐ＝Ｋｂ この共通セツションキーは秘密保守及び証明の要件を満
足するものであり、２重暗号化・解読またはパブリック
キー登録簿もしくはキー分配センターの使用を必要とし
ない。唯一の要件は、一意的装置１０及びこれにエンコ
ードされた選定されたＸ値を有する装置を供給すること
を引き受ける製造者の要件である。大きな会社または他
の組織体に対しては、この義務を、製造者ではなくｍｍ
体自体がとる場合がある。例えば、会社は多数の通信装
置を購入し、これをユーザに分配する前に、一意的ＩＤ
、Ｘ値、及び符号付きＹ値を装置内に装備することによ
って製造工程を完了する。これにより、製造者はこの義
務から免れる。

前述の過程は、若干の数値的制約を満たすパラメータを
用いる。長さの制約は十分な秘密保証を確保すべきもの
であり、他の要件は、モジュロ演算を用いる各変換が一
意的変換法み写しを作るということを確保すべきもので
ある。先ず、係数ｐは長さ５１２ビツトの強い素数でな
ければならない。強い素数とは、（ｐ−１）／２が少な
くとも１つの大きな素因数を有するか、または好ましく
はそれ自体が素数であるという追加の要件を満たす素数
である。底の数αは、次式の関係を満足させる５１２ビ
ツトの乱数でなければならない。

α””　／　２　ｍｏｄ　ｐ＝　ｐ　−１１〈α〈ｐ−
１ 最後に、値Ｘ及びＸ゛を、次式のような５１２ビツト乱
数として選定する。

１＜Ｘ、　Ｘ’　＜ｐ−１ 前述したように、本発明における証明の過程は、分配さ
れる各装置について符号付きＹ値を供給するという製造
者または多数の装置の所有者の能力に応じて定まる。デ
ィジタル記号は、創設者にとって秘密であるメソセージ
の特性である。基本的には、符号付は処理は、実行極め
て困難である変換によって行われるが、その逆変換、即
ち「符号除去」は、全てのユーザが簡華に行うことがで
きる。本発明は格別のディジタル記号手法の使用に限定
されるものではない。

一つの方法はＲ３Ａパブリックキー記号手法を用いるこ
とである。Ｒ３Ａ手法という名は、その創設者であるＲ
ｉｖｅｓｔ　（リベスト）　、Ｓｈａｍｉｒ　（シャミ
ール）及びＡｄｌｅｍａｎ　（アドレマン）の頭文字か
らとった名称であり、べき乗法暗号として知られている
種類の暗号化法の一つである。べき乗法暗号は変換Ｃ＝
Ｐ”ｍｏｄｎを行う。ここに、ｅ及びｎは暗号化キーを
構成する。逆変換はＰ＝Ｃ’ｍｏｄ　ｎによって行われ
る。ｎ、ｄ及びｅを適切に選定すれば、暗号化変換にお
いて用いられる指数ｅを暴露することなしにｎ及びｄの
値を公然化することができる。従って、秘密の指数ｅで
べき乗法変換を行い、及び公然の解読指数ｄを提供する
ことにより、ディジタル記号をデータに適用することが
でき、これは、いうまでもなく、適切に「符号付け」さ
れたメツセージのみを解読するのに有効である。

本発明実施例においては、ディジタル記号に対しての他
の方法、即ちモジュラ平方根変換が用いられる。式ｘ＝
ｍ”ｍｏｄｎにおいて、数ｍは、Ｘｍｏｄ　ｎ　　の平
方根、またはＸのモジュラ平方根であると云われる。ｎ
を適切に選定すれば、変換を一つの方向において行うこ
とが極めて困難となる。

即ち、ｍからＸを計算することは容易であるが、Ｘから
ｍを計算することは極めて困難となる。係数ｎを２つの
大きな素数の積となるように選定すれば、この係数の因
数が解っているならば逆または平行板変換を行うことだ
けができる。従って、係数ｎは２つの素数の積とし゛Ｃ
選定され、そしてこの積は長さ１，０２４ビツトとなる
。また、前記因数は数ビットだけ長さが異なっていなけ
ればならない。本発明を用いる装置においては、値「符
号付き（Ｙａ、ＩＤａ）Ｊは、先ず、符号付けされるべ
きコードを集合または連結することによって計算される
。前記コードとしては次のものかある。

１、　　Ａ装置を一意的に識別する数値コード。本実施
例においては、これはＡＳＣＩＩフォーマットでエンコ
ードされた１０進数であるが、任意のフォーマットであ
ってよい。

２、装置の型番号を示す複数のＡＳＣ１１数値コード。

これは、装置の非互換性に関する問題を試験または解析
する装置に対して用いられる。

３、　選定され、１０進形にエンコードされたＸａの値
から計算された値Ｙａ　。

４、複合メソセージの最終端に追加され、この複合メソ
セージが完全モジュラ平方であることを確認するために
用いられる乱数値。

メツセージの最後の要素は、モジュラ平方処理の固有の
特性故に必要となる。モジュラ平方Ｘの１からｎ−１ま
での全ての可能な値、及びモジュラ平方根ｍの全ての対
応値をリストしようとすると、Ｘの値のうちの若干はｍ
の複数の可能値を持つが、Ｘの値の他のものはｍの対応
値を持たない。

メツセージの終わりに加えられる値は、モジュラ平方根
が計算されるべき数が、モジュラ平方根を実際に持って
いる数であるということを確実にする。このことを明ら
かにする助けとなる簡単な例を次に示す。

係数ｎが７８４９であると仮定する。９８の値Ｘが１か
らｎ−１までの範囲内で４つのｍの可能値、即ち、ｒｄ
　ｍｏｄ　　７８４９＝９８であるので、７４２４．１
４１２．６４３７及び４２５の４つの可能値を持つとい
うことは計算器によって簡単に検査することができる。

しかし、Ｘ値９９は可能なモジュラ平方根値ｍを持たな
い。符号付けされるべき複合メツセージが９９の数値を
持っている場合には、１のような値をこれに加え、１０
０の新しいＸ値を作ることが必要となる。この１００は
、１からｎ−１までの範囲内で４つの可能平方根値、即
ち１３２６．７８３９、ｌＯ及び６５２３を持つ。大部
分の場合、これらのうちのどれをモジュラ平方根処理に
取り上げても問題はない、即ち、平方または「符号除去
」処理は常に複合メツセージ値１００を再び与えるから
である。しかし、秘密保護を最大にするためには回避す
べき若干のｍの値がある。Ｘ値が通常演算にお′ける完
全平方（本例においては数１００のような）である場合
には、回避すべきｍの２つの値は、通常演算によるＸの
平方根（本例においては数１０）、及び係数ｎとＸの通
常演算平方根との間の差である数（即ち、本例において
は７８３９）である。この定義に適合する数を符号付き
メツセージ−として用いると、ｎの係数を知らない状態
で記号が［ねつ造Ｊ　　＜ｆｏｒｇｅ　）され易い。従
って、このような数は記号を割り当てる際に回避され、
そして、各装置を、符号付きメツセージがこれら回避さ
れた数のうちの一つの形をとるときに、交換を中断する
ように簡単に設計することができる。

各装置内に記憶されている複合データをディジタル的に
符号付けするためにモジュラ平方根処理を用いる場合に
は、符号付きメツセージを受信したときの「符号除去」
処理は単にメツセージ、即ちモジュロｎの平方化となる
。（ｔｉｎは、装置のうちの一つの綿密な試験によって
決定されるのであるが、公然と知らされない。しかし、
係数ｎを知っているとしても、モジュラ平方根の計算は
、ｎの因数分解の知識がないと、コンピュータで実行不
可能である。

係数ｎの因数分解の知識があれば、モジュラ平方根の計
算は、困難な仕事ではあるが、実行可能となり、任意の
既知の計算方法で行うことができる。前述したように、
この処理は装置分配の前に行われ、従って、計算問題は
重大な因子ではない。

本発明の暗号手法は、該当の用途に対して都合のよい任
意の形式で実行することができる。モジュラ演算は、現
在、当業者に周知であり、米国特許第４．２００，７７
０号に記載されいる仕方でハードウェア的に実施するこ
とができる。更に好都合なことには、既製のモジュラ演
算装置を利用して従来のマイクロプロセッサハードウェ
アに接続することができる。例えば、米国、カリフォル
ニア州、サニーベイル市のサイリンク（Ｃｙｌｉｎｋ　
＞社製のＣＹ１０２４型装置はモジュラ加算、乗算及び
累乗算を行う。

ファクシミリ通信への適用に対しては、本発明の手法は
ユーザに対して完全に「透過性」＜ｔｒａｎｓｐａｒｅ
ｎｔ　＞とならしめられる。第４図は、従来のＦＡＸ機
５０と電話線５２との間の接続用装置のアーキテクチャ
を示すものである。この装置は、ＦＡＸ機５０への接続
のための第１の通例の変復調装置５４と、電話線５２へ
の接続のための第２の変復調装置５６とを有す。変復調
装置５４．５６は、ＦＡＸ機または電話線からこの装置
に入ってくる全てのメツセージを復調するように、及び
メツセージを変調してＦＡＸ機へまたは電話線上に送信
するように働く。この装置は更に、２つの変復調装置５
４．５６間に接続された通信プロセッサ５８、及び通信
プロセッサ５８に接続された暗号プロセッサ６０を有す
。通信プロセッサ５Ｂは、変復調装置５４．５６へ及び
これから流れるメツセージトラフィック並びに暗号プロ
セッサ６０へ及びこれから流れるメツセージトラフイン
クを管理し、必要な通信プロトココルに確実に従うよう
にする。本発明の一実施例においては、通信プロセッサ
は、モトローラ社製のＭＣ６８０００型マイクロプロセ
ツサである。

第５図に示すように、暗号プロセッサ６０は、データバ
ス６４及びアドレスバス６６を有する通例のマイクロプ
ロセッサ６２を有しており、前記バスには種々の他のモ
ジュールが接続されている。

マイクロプロセッサ６２は、例えば、ナショナル・セミ
コンダクタ社（Ｎａｔｉｏｎａｌ　Ｓｅｍｉｃｏｎｄｕ
ｃｔｏｒＣｏｍｐａｎｙ　＞のＮ５Ｃ８００型装置であ
る。接続されているモジュールとしては、ランダムアク
セメモリ　（ＲＡＭ）６８、Ｘ値及び符号付きＹ値に対
する記憶領域として働く続出専用メモリ　（ＲＯＭ）７
０、データ暗号標準（Ｄａｔａ　Ｅｎｃｒｙｐｔｉｏｎ
　５ｔａｎｄａｒｄ）（ＤＢＳ）の実施のための集積回
路チップ７２、ＣＹＬＩＮＫ　　ＣＹ１０２４型装置の
ようなモジュラ演算装置７４、及び通信プロセッサ５８
へに接続のためのデュアルポートＲＡＭの形式のインタ
フェースモジュール７６がある。

第４図及び第５図に示す装置の透明性動作のため、ユー
ザは宛先ＦＡＸ機の電話番号を与えるだけでなく、更に
この宛先ＦＡＸエンコード／デコード装置のＴＤを与え
る。ディジタル的符号付きＹ値を交換するとき、送信側
ユーザ装置はモジュラ平方化機能を行うことによって自
動的に伝送を「符号除去」し、次いでこの宛先ＩＤをＹ
値を持って戻ったユーザＩＤと比較し、そして、整合が
ない場合にはこのセツションを打ち切る。前述したキー
管理ステップは暗号プロセッサ６０の制御の下で自動的
に進み、そして、セツションキーが既に引き出されてい
た場合には、これは、ＤＢＳのような通例の暗号化処理
に適用され、ファクシミリ伝送を暗号化及び解読する。

［発明の効果］ 以上の説明から解るように、本発明は暗号システムにお
ける格段の進歩を提供するものである。

即ち、本発明は、無保証の通信チャネル上のメソセージ
の交換によって２人のユーザに対する共通セツションキ
ーを確立するための手法を提供する。

本発明が従来のパブリックキー交換システムと異なる点
として、本発明は、キー分配センターまたパブリックキ
ー登録簿の必要なしにユーザの身元証明を提供する。ま
た、本発明は消極的及び積極的のいずれの盗聴に対して
も抵抗性を有す。以上、本発明をその実施例について詳
細に説明したが、本発明はこれに限定されるものではな
く、特許請求の範囲に記載のごとき本発明の精神及び範
囲を逸脱することなしに種々の変形を行うことが可能で
ある。

【図面の簡単な説明】

第１図は従来のパブリックキー暗号システムを示すブロ
ック線図、第２図は従来どのようにして積極的盗聴を用
いてシステムを攻撃することができたかを示す第１図と
類似のブロック線図、第３図は本発明にかかるパブリッ
クキー暗号システムのブロック線図、第４図は本発明を
用いた安全ファクシミリシステムのブロック線図、第５
図は第４図の暗号プロセッサを詳細に示すブロック線図
である。 １４．１６・・・乱数発生器、 １８’　　　２０’　　・・、セッションキー発生器、
２２．２４・・・送受信器、 ２６・・・無保証通信チャネル、 ４０．４２・・・数記憶領域。

Claims (1)

1. 【特許請求の範囲】 １、キー発生装置を稼働状態にする前に選定された複数
   の第１の型、並びにこのキー発生装置の一意的且つ公然
   知られた識別子及び前記複数の第１の型の事実上不可逆
   的変換によって獲得された複数の第２の型の両方を含む
   ディジタル的符号付き複合量を記憶するための記憶手段
   と、前記複数の第１の型を受信するように接続された第
   １の入力端子と、 他のキー発生装置から無保証通信チャネル上で伝送され
   る入力量を受信するように接続された第２の入力端子と
   を備え、前記入力量は、ディジタル的に符号付けされ、
   且つ、前記他のキー発生装置の公然知られた識別子、及
   び前記他のキー発生装置に記憶されている複数の前記第
   １の型の事実上不可逆的変換によって発生された複数の
   前記第２の型の両方を含んでおり、更に、 前記記憶されたディジタル的符号付き複合量を前記無保
   証通信チャネル上で前記他のキー発生装置へ伝送するた
   めの第１の出力端子と、第２の出力端子と、 前記他のキー発生装置の識別子及び前記受信された複数
   の第２の型を獲得するため、前記第２の入力端子で受信
   された前記符号付き入力量をデコードするための手段と
   、 前記第１の入力端子を介して受信された前記複数の第１
   の型を用い、前記第２の入力端子を介して受信された前
   記複数の第２の型の事実上不可逆的変換を行うことによ
   り、前記第２の出力端子においてセッションキーを発生
   するための手段とを備えて成る安全キー発生装置。 ２、ランダムに発生された他の複数の第１の型を受信す
   るように接続された第３の入力端子と、ディジタル的符
   号付き複合量をもって伝送するため、前記第３の入力端
   子を介して受信された前記複数の第１の型の事実上不可
   逆的変換によって獲得された複数の第２の型を第１の出
   力端子において発生するための手段と、 他のキー発生装置において発生されてこれから伝送され
   る他の複数の第２の型を第２の入力端子から受信するた
   めの手段とを更に備えており、 セッションキーを発生するための手段は、第１の入力端
   子及び前記第３の入力端子において受信された両方の複
   数の第１の型、並びに、前記第２の入力端子において受
   信された両方の複数の第２の型を含んで事実上不可逆的
   変換を行い、もって各メッセージ伝送セッションに対し
   て異なるキーが発生される、請求項１記載の安全キー発
   生装置。 ３、記憶手段にディジタル的符号付き形式で記憶される
   複数の第２の型は変換Ｙａ＝α＾Ｘ＾ａｍｏｄ　ｐによ
   って獲得され、この変換式においてＸａは前記記憶手段
   に記憶される第１の型の数であり、α及びｐは公然知ら
   れた変換パラメータであり、他のキー発生装置からディ
   ジタル的符号付き複合量として受信される前記複数の第
   ２の型はＹｂと呼ばれ、、 セッションキーを発生するための手段は変換Ｋ＝Ｙｂ＾
   Ｘ＾ａｍｏｄ　ｐを行う、請求項１記載の安全キー発生
   装置。 ４、記憶手段にディジタル的符号付き形式で記憶される
   複数の第２の型は変換Ｙａ＝α＾Ｘ＾ａｍｏｄ　ｐによ
   って獲得され、この変換式においてＸａは前記記憶手段
   に記憶される第１の型の数であり、α及びｐは公然知ら
   れた変換パラメータであり、他のキー発生装置からディ
   ジタル的符号付き複合量として受信される前記複数の第
   ２の型はＹｂと呼ばれ、 セッションキーを発生するための手段は変換Ｋ＝（Ｙ’
   ｂ）＾Ｘ＾ａｍｏｄ　ｐ■（Ｙｂ）＾Ｘ＾’＾ａｍｏｄ
   　ｐを行い、この変換式においてＸ’ａはランダムに発
   生される第１の型の数であり、Ｘ’ｂは他のキー発生装
   置から受信される追加の数の第２の型であり、■記号は
   排他的ＯＲ演算を示す、請求項２記載の安全キー発生装
   置。 ５、無保証通信チャネルによって接続された２つのユー
   ザ装置間に安全セッションキーを発生させる方法におい
   て、 ディジタル的符号付き複合量を他方の装置へ伝送する段
   階を有し、前記複合量は、公然知られた装置識別子ＩＤ
   ａ、及び前記装置に対して一意的であるシークレット数
   Ｘａの事実上不可逆的変換によって引き出された数Ｙａ
   を含んでおり、更に、 同様に構成されたディジタル的符号付き複合量を前記他
   方の装置から受信する段階と、 前記受信されたディジタル的符号付き複合量を、前記他
   方の装置の装置識別子ＩＤｄ、及び前記他方の装置に対
   して一意的であるシークレット数Ｘｂからの変換によっ
   て引き出された数Ｙｂを含む符号なし複合量に変換する
   段階と、前記装置識別子ＩＤｂから前記他方の装置の身
   元を検査する段階と、 前記数Ｘａ及びＹｂを含む事実上不可逆的変換を行うこ
   とによってセッションキーを発生する段階とを有する安
   全セッションキー発生方法。 ６、セッションキーの発生の前に他の数Ｘ’ａをランダ
   ムに発生する段階と、 事実上不可逆的変換を用いて前記数Ｘ’ａを数Ｙ’ａへ
   変換する段階と、 前記数Ｙ’ａを他方の装置へ伝送する段階と、前記他方
   の装置から数Ｙ’ｂを受信する段階とを更に有し、 セッションキーを発生する段階は、数Ｘａ、Ｘ’ａ、Ｙ
   ｂ及びＹ’ｂを含む事実上不可逆的変換を含んでいる、
   請求項５記載の安全セッションキー発生装置。 ７、Ｘ数からＹ数への変換は型Ｙ＝α＾Ｘｍｏｄ　ｐの
   ものであり、この式においてα及びｐは前記変換の不可
   逆性を最大にするように選定されたものであり、 セッションキーを発生する段階は変換 Ｋ＝（Ｙ’ｂ）＾Ｘ＾ａｍｏｄ　ｐ■（Ｙｂ）＾Ｘ＾’
   ＾ａｍｏｄ　ｐを含み、この式において■は排他的ＯＲ
   演算を示している、請求項６記載の安全セッションキー
   発生方法。 ８、分配されるべき各暗号装置に対して一意的乱数Ｘｉ
   を選定する段階と、 事実上不可逆的変換を用いて前記数Ｘｉを新しい数Ｙｉ
   に変換する段階と、 前記数Ｙｉを公然知られた装置識別子ＩＤｉと結合する
   ことによって複合量を形成する段階と、 Ｙｉ及びＩＤｉを含む前記複合量をディジタル的に符号
   付けする段階と、 前記符号付き複合量及び前記数Ｘｉを各装置に永久的に
   記憶させる段階と、 安全通信を確立することを望んで、２つの装置ａ及びｂ
   間で、各々に記憶されている前記符号付き複合量を交換
   する段階と、 前記２つの装置の各々において他方の装置の身元を証明
   する段階と、 前記２つの装置の各々において、安全通信のために使用
   されるべきセッションキーを発生する段階とを有するパ
   ブリックキー暗号システムにおける証明方法。 ９、他方の装置から受信されたディジタル的符号付き複
   合量を符号なし形式に変換する段階と、前記符号なし量
   内のＩＤｉの値を前記他方の装置の既知のＩＤｂと比較
   する段階とを有する、請求項８記載の証明方法。 １０、セッションキーを発生する段階は、他方の装置か
   ら受信された値Ｙｂ及びこの装置の値Ｘａを含む変換を
   行うことを含んでいる、請求項９記載の証明方法。 １１、ディジタル的符号付けの段階は複合量のモジュラ
   平方根を計算することを含み、 ディジタル的符号付き複合量を符号なし形式に変換する
   前記符号付き複合量のモジュラ平方を計算することを含
   んでいる、請求項１０記載の証明方法。 １２、モジュラ平方根を計算する段階及びモジュラ平方
   を計算する段階は、いずれも、２つの素数の積である係
   数を使用する、請求項１１記載の証明方法。 １３、２つの装置の各々において、他方の装置から受信
   されたディジタル的符号付き複合量を符号なし形式に変
   換する段階と、 ２つの装置ａ、ｂの各々において乱数Ｘ’ａ、Ｘ’ｂを
   発生する段階と、 事実上不可逆的である変換により、前記数 Ｘ’ａ、Ｘ’ｂをＹ’ａ、Ｙ’ｂに変換する段階と、前
   記２つの装置間で数Ｙ’ａ、Ｙ’ｂを交換する段階とを
   更に有しており、 セッションキーを発生する段階は、前記装置ａ内の数Ｘ
   ａ、Ｘ’ａ、Ｙｂ及びＹ’ｂ、並びに前記装置ｂ内の数
   Ｘｂ、Ｘ’ｂ、Ｙａ及びＹ’ａを含む事実上不可逆的変
   換を行うことを含んでる、請求項８記載の証明方法。 １４、Ｘ数からＹ数への変換は型Ｙ＝α＾Ｘｍｏｄ　ｐ
   のものであり、この式においてα及びｐは前記変換の不
   可逆性を最大にするように選定され、セッションキーを
   発生する段階は、装置ａに対する変換 Ｋ＝（Ｙ’ｂ）＾Ｘ＾ａｍｏｄ　ｐ■（Ｙｂ）＾Ｘ＾’
   ＾ａｍｏｄ　ｐ及び装置ｂに対する変換 Ｋ＝（Ｙ’ａ）＾Ｘ＾ｂｍｏｄ　ｐ■（Ｙａ）＾Ｘ＾’
   ＾ｂｍｏｄ　ｐを含み、これら式において■は排他的Ｏ
   Ｒ演算を示す、請求項１３記載の証明方法。 １５、ディジタル的符号付けの段階は複合量のモジュラ
   平方根を計算することを含み、 ディジタル的符号付き複合量を符号なし形式に変換する
   段階は符号付き量のモジュラ平方を計算することを含ん
   でいる、請求項１３記載の証明方法。 １６、モジュラ平方根を計算する段階及びモジュラ平方
   を計算する段階は、いずれも、２つの素数の積である係
   数を使用する、請求項１５記載の証明方法。