JPH0295042A

JPH0295042A - 公開鍵暗号を用いた共通鍵配送システム

Info

Publication number: JPH0295042A
Application number: JP63248111A
Authority: JP
Inventors: Makoto Tatebayashi; 誠館林
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1988-09-30
Filing date: 1988-09-30
Publication date: 1990-04-05
Anticipated expiration: 2011-12-11
Also published as: JP2563518B2

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】産業上の利用分野本発明は共通鍵暗号による暗号通信における共通鍵の配
送を公開鍵暗号を用いて行なうシステムに関する。特に
多数の端末局と１つのセンター局が存在する通信システ
ムで、センター局を介して端末局間の暗号通信を行なう
際の共通鍵の配送を行なうシステムに関連する。

従来の技術共通鍵暗号による暗号通信における共通鍵の配送を公開
鍵暗号を用いて行なうシステムとしては、−松信監修「
データ保護と暗号化の研究」日本経済新聞社発行（１９
８３年）に示されているものが知られている。第２図は
この従来の共通鍵配送システムの一例のブロック図であ
り、４１は第１の端末局、４２は第２の端末局である。

４３〜４５は第１の端末局４１の構成要素であり、４３
は共通鍵として乱数Ｒを発生する乱数発生部、４４はこ
の乱数Ｒを第２の端末局４２の公開鍵によりＲ８Ａ暗号
化して暗号化鍵Ｃを出力する暗号化部、４５はこの暗号
化鍵Ｃを第２の端末局４２に送信する送信部である。４
６〜４７は第２の端末局４２の構成要素であり、４６は
暗号化鍵Ｃを受信する受信部、４７は受信された暗号化
鍵Ｃを第２の端末局の秘密鍵でＲ８Ａ復号化して前記乱
数Ｒを再現し、これを共通鍵きする復号化部である。

この装置では公開鍵暗号を用いて第１の端末局は第２の
端末局に対して次のようにして共通鍵の配送を行なう。

すなわち、第１の端末局４１において、乱数発生部４３
は共通鍵として乱数Ｒを発生し、暗号化部４４はこの乱
数Ｒを第２の端末局４２の公開鍵によりＲ８Ａ暗号化し
て暗号化鍵Ｃを出力し、送信部４５はこの暗号化鍵Ｃを
第２の端末局に送信する。第２の端末局４２では、受信
部４６は暗号化鍵Ｃを受信し、復号化部４７は受信され
た暗号化鍵Ｃを第２の端末局４２の秘密鍵でＲ８Ａ復号
化して前記乱数Ｒを再現し、これを共通鍵とする。

このようにして、第１の端末局４１は乱数Ｒを暗号通信
のための共通鍵として第２の端末局４２に配送すること
ができる。

この２局間の共通鍵配送システムを、第３図に示すよう
な多数の端末局と１つのセンター局（以降特定局という
）が存在する通信システムで、端末局間（以降第１の端
末局と第２の端末局という）の暗号通信を行なう際の共
通鍵の配送のために拡張した一つの具体例のブロック図
を第４図に示す。

なお、この場合、特定局が共通鍵を配送した後は、特定
局はこの共通鍵を保管しておく必要がなく、端末局間で
エンド・ツー・エンドの暗号通信がなされることが重要
である。

第４図において、５１は第１の端末局、５２は第２の端
末局、５３は特定局である。５４〜５８は特定局５３の
構成要素であり、５４は乱数Ｒを発生する乱数発生部、
５５は乱数発生部５４の出力である乱数を第１の端末局
５１の公開鍵Ｅ１で暗号化し第１の暗号化乱数Ｃ１を出
力する第１の暗号化部、５６は第１の暗号化部５５の出
力を第１の端末局５工に送信する第１の送信部である。

５７は乱数発生部５４の出力である乱数Ｒを前記第２の
端末局５２の公開鍵Ｅ２で暗号化し第２の暗号化乱数Ｃ
２を出力する第２の暗号化部、５８は第２の暗号化部５
７の出力を第２の端末局５２に送信する第２の送信部で
ある。５９と６０は第１の端末局５１の構成要素であり
、５９は特定局５３から送信された前記第１の暗号化乱
数ＣＩを受信する第１の受信部、６０は第１の受信部５
９で受信された前記第１の暗号化乱数Ｃ１を前記第１の
端末局５１の秘密鍵Ｄ１で復号しこの結果を前記暗号通
信の共通鍵として出力する第１の復号部である。６１と
６２は第２の端末局の構成要素であり、６１は特定局５
３から送信された前記第２の暗号化乱数Ｃ２を受信する
第１の受信部、６２は第２の受信部６１で受信された前
記暗号化乱数Ｃ２を前記第２の端末局５２の秘密鍵Ｄ２
で復号しこの結果を前記暗号通信の共通鍵として出力す
る第２の復号部である。

この装置では公開鍵暗号を用いて特定局５３は第１の端
末局と第２の端末局に対して次のようにして共通鍵の配
送を行なう。

すなわち、特定局５３において、乱数発生部５４は乱数
Ｒを発生し、第１の暗号化部５５は第１の端末局５１の
公開鍵Ｅ１でこの乱数Ｒを暗号化し第１の暗号化乱数Ｃ
１を出力する。第１の送信部５６はこれを前記第１の端
末局５１に送信する。

さらに第２の暗号化部５７はこの乱数Ｒを第２の端末局
５２の公開鍵Ｅ２で暗号化し第２の暗号化乱数Ｃ２を出
力する。第２の送信部５８はこれを第２の端末局５２に
送信する。次いで、第１の端末局５１では、第１の受信
部５９は特定局５３から送信された前記第１の暗号化乱
数Ｃ１を受信し、第１の復号部６０はこの第１の暗号化
乱数Ｃ１を第１の端末局５１の秘密鍵Ｄ１で復号してこ
れを前記暗号通信の共通鍵として出力する。また、第２
の端末局５２では、第２の受信部６１は特定局５３から
送信された前記第２の暗号化乱数Ｃ２を受信し、第２の
復号部６２はこの第２の暗号化乱数Ｃ２を第２の端末局
５２の秘密鍵Ｄ２で復号してこれを前記暗号通信の共通
鍵として出力する。

ここで」二連の従来例において用いられる公開鍵暗号の
一方式であるＲ８Ａ暗号について、前記特定局が前記第
１の端末局に乱数Ｒを配送する場合を例にとって説明す
る。

前提として、第１の端末局は大きな素数Ｐ１とＱｌを秘
密に保存し、その積Ｎ１＝Ｐ１＊Ｑ１を第１の端末局の
公開情報として通信システムのなかで公開しているもの
とする。すなわち特定局はは整数Ｎ１を記憶している。

また第１の端末局は公開鍵Ｅ１として（ＰＬ−１）と（
Ｑｌ−１）の最小公倍数りと互いに素でＬより小さな任
意の整数を選ぶ。また秘密鍵Ｄ１として、式（１）を満
足する法Ｎ１における整数を選ぶ。

ＥＩ＊Ｄ１　＝　１　ｍａｄ−（ＰＩ−１）＊（Ｑｌ−
］）　＝　（１）ここで　ｚｍｏｄ−ｍは法ｍにおける
整数２の剰余数（Ｚをｍで割ったときの余り）を表わす
。

そして第１の端末局は前記整数Ｅ１を公開情報として前
記整数Ｎ１と共にこの通信システムの各局に公開する。

また第１の端末局は前記整数Ｄ１を秘密情報として安全
に記憶する。

特定局３において乱数Ｒを第１の端末局の公開鍵Ｅ１で
Ｒ８Ａ暗号化するとは、式（２）に示すべき乗剰余演算
を行なうことを意味する。

Ｒ”Ｅｌ　ｍｏｄ−Ｎｌ　　−＝　（２）ただし　Ｘ”
Ｅは整数ＸのＥ乗を表わす。

そして特定局３はこの演算結果Ｃを転送情報として第１
の端末局に送信する。

第１の局において前記暗号化鍵Ｃを第１の端末局の秘密
鍵Ｄ１でＲ８Ａ復号化するとは、式（３）に示すべき乗
剰余演算を行なうことを意味する。

Ｃ−ＤＩ　ｍｏｄ−旧　・−・（３）いま、法Ｎ１の数Ｅ１とＤｌとが式（１）の関係を満た
しているとき、式（３）の演算結果Ｒ′が前記乱数Ｒに
他ならないことが数学的に証明される。また、２つの素
数ＰとＱが非常に大きいとき、例えば１０進１７０桁程
度の数であれば、前記第１の端末局の秘密鍵Ｄ１を用い
ることなく、前記転送情報Ｃから乱数Ｒを求めることが
事実上不可能であることが知られている。

以上に述べたＲ３Ａ暗号については、例えば油封、小山
著「現代暗号理論」第６章電子通信学会編（昭和６１年
）に詳しく記載されている。

発明が解決しようとする課題さて、本従来例の共通鍵配送システムが適用される通信
システムは、多数の端末局と１つの特定局からなるシス
テムであり、端末局間の暗号通信は前記特定局を介して
行なわれることを想定している。この時、端末局と特定
局が実現されるハードウェアの大きさには差があり、端
末局のハードウェアの大きさは特定局のハードウェアの
大きさよりもより制限されている場合が多い。このよう
な想定が成立する例としては、例えばこの通信システム
がディジタル移動通信システムであり、第１の端末局お
よび第２の端末局が移動物体、例えば自動車に組み込ま
れており、特定局は建造物内に設置されており通信セン
ターの機能を有する場合である。この場合、第１の端末
局および第２の端末局は小型かつ安価なものでなければ
ならず、従ってこれを実現すべきハードウェアは当然小
さなものにならざるをえない。一方、前記特定局は多数
の端末局からのアクセスに対応するためにそのハードウ
ェアは必然的に大きいものでならなければならない。

一般に、式（２）に示されるＲ８Ａ暗号化ないし式（３
）に示されるＲＳＡ復号化は非常に大きな数（例えば１
０進１７０桁の数）のべき乗剰余演算であるため、これ
を１６ビツトなり３２ビツトのマイクロプロセッサのソ
フトウェアで実現した場合にはその実行ステップ数は膨
大なものとなり、処理時間の面で大きな問題が残る。ま
た、このべき乗剰余演算を行なうための専用のハードウ
ェアを考案したとしてもその規模は非常に大きなものと
なってしまう。したがって、このべき乗演算は特に端末
局において大いに負担となるものであった。

Ｒ８Ａ暗号化・復号化において非常に大きな数を取り扱
わなければならない理由は秘密鍵を用いることなく暗号
文Ｃから平文Ｒを計算することが事実上不可能であるよ
うにするためである。ただ、式（２）の暗号化において
はべき数Ｅは３以上の整数であれば小さな値でも安全性
は低下しないことが知られている。　（デイーφクヌー
ス著、ジ・アート・オブ・コンピュータ・プログラミン
グ」第２巻１９８１年刊）。しかし、本従来例では特定
局においてデータの暗号化を行ない、端末局においてデ
ータの復号化を行なっているために、暗号化のべき数Ｅ
を小さくすることは端末局の負担を少なくすることには
ならない。

本発明は従来の公開鍵暗号を用いた共通鍵配送システム
の有していた上記の課題を解決するためＩＩになされたもので、ハードウェア資源の限定された端末
局における演算量を軽減し、端末局間のエンド・ツー・
エンドの暗号通信のための共通鍵配送を実用的な時間で
実現することを目的としている。

課題を解決しようとするための手段本発明は、ある特定局およびこの特定局を介して互いに
暗号通信を行なう第１の端末局と第２の端末局からなり
、前記第１の端末局は、第１の乱数を発生する第１の乱
数発生手段と、この第１の乱数を前記特定局の公開鍵で
暗号化して第１の暗号化乱数を出力する第１の暗号部と
を備え、前記第２の端末局は、第２の乱数を発生する第
２の乱数発生手段と、この第２の乱数を前記特定局の公
開鍵で暗号化して第２の暗号化乱数を出力する第２の暗
号部とを備え、前記特定局は、前記第１の端末局から送
信された前記第１の暗号化乱数をこの特定局の秘密鍵で
復号する第１の復号部と、前記第２の端末局から送信さ
れた前記第２の暗号化乱数をこの特定局の秘密鍵で復号
する第２の復号部と、第３の乱数を発生する第３の乱数
発生部と、この第３の乱数を前記第１の復号部の出力で
ある前記第１の乱数に依存して第１の符号に変換する第
１の符号変換部と、前記第３の乱数を前記第２の復号部
の出力である前記第２の乱数に依存して第２の符号に変
換する第２の符号変換部とを備え、前記第１の端末局は
さらに、前記特定局から送信された前記第１の符号を前
記第１の乱数に依存して変換し前記暗号通信の共通鍵と
する第３の符号変換部を備え、前記第２の端末局はさら
に、前記特定局から送信された前記第２の符号を前記第
２の乱数に依存して変換し前記暗号通信の共通鍵とする
第４の符号変換部を備えた共通鍵配送システムである。

作用本発明は前記した構成により、前記第１の端末局は、第
１の乱数を発生しこれを前記特定局の公開鍵で暗号化し
てその出力である第１の暗号化乱数を前記特定局に送信
し、前記第２の端末局は、第２の乱数を発生しこれを前
記特定局の公開鍵で暗号化してその出力である第２の暗
号化乱数を前記特定局に送信し、前記特定局は、前記第
１の端末局から送信された前記第１の暗号化乱数をこの
特定局の秘密鍵で復号し、さらに前記第２の端末局から
送信された前記第２の暗号化乱数をこの特定局の秘密鍵
で復号し、さらに第３の乱数を発生しこの第３の乱数を
前記復号化された第１の乱数に依存して第１の符号に変
換して前記第１の端末局に送信し、さらにこの第３の乱
数を前記復号化された第２の乱数に依存して第２の符号
に変換して前記第２の端末局に送信し、前記第１の端末
局はさらに、前記特定局から送信された前記第１の符号
を前記第１の乱数に依存して変換し暗号通信の共通鍵と
し、前記第２の端末局はさらに、前記特定局から送信さ
れた前記第２の符号を前記第２の乱数に依存して変換し
前記暗号通信の共通鍵とするため、第１の端末局および
第２の端末局においては公開鍵暗号の暗号化のみを行な
い、復号化は行なわない。従ってハードウェア資源の限
定された第１の端末局もしくは第２の端末局における演
算量を軽減し、端末局間のエンド・ツー・エンドの暗号
通信のための共通鍵配送を実用的な時間で実現すること
が可能となる。

実施例第１図は本発明の公開鍵暗号を用いた共通鍵配送システ
ムの一実施例のブロック図である。同図において、１は
第１の端末局、２は第２の端末局、３は特定局であり、
第１の端末局１と第２の端末局２は特定局３を介して暗
号通信を行なうものである。そして４〜６は第１の端末
局１の構成要素であり、４は第１の乱数Ｒ１を発生する
第１の乱数発生部、５はこの第１の乱数を前記特定局の
公開鍵Ｅ３で暗号化する第１の暗号部、６はこの第１の
暗号部の出力である第１の暗号化乱数Ｃ１を前記特定局
３に送信する第１の送信部である。

７〜９は第２の端末局２の構成要素であり、７は第２の
乱数Ｒ２を発生する第２の乱数発生手段、８はこの第２
の乱数Ｒ２を特定局３の公開鍵Ｅ３で暗号化する第２の
暗号部、９はこの第２の暗号部８の出力である第２の暗
号化乱数Ｃ２を特定局３に送信する第２の送信部である
。１０〜１８は特定局３の構成要素であり、１０は第１
の送信部６から送信された前記第１の暗号化乱数Ｃ１を
受信する第１の受信部、１１は第１の受信部１０で受信
された前記第１の暗号化乱数Ｃ１をこの特定局３の秘密
鍵Ｄ３で復号する第１の復号部、１２は第２の送信部９
から送信された前記第２の暗号化乱数Ｃ２を受信する第
２の受信部、１３は第２の受信部１２で受信された前記
第２の暗号化乱数Ｃ２をこの特定局３の秘密鍵で復号す
る第２の復号部、１４は第３の乱数Ｒ３を発生する第３
の乱数発生部、１５はこの第３の乱数を第１の復号部１
１の出力である前記第１の乱数Ｒ１に依存して第１の符
号Ｙ１に変換する第１の符号変換部、１６はこの出力符
号Ｙ１を前記第１の端末局１に送信する第３の送信部、
１７は前記第３の乱数Ｒ３を第２の復号部１３の出力で
ある前記第２の乱数Ｒ２に依存して第２の符号Ｙ２に変
換する第２の符号変換部、１８はこの出力符号Ｙ２を前
記第２の端末局２に送信する第４の送信部である。

＋５− ＩＧさらに第１の端末局１において、１９は特定局３から送
信された前記第１の符号Ｙ１を受信する第３の受信部、
２０は第３の受信部１７で受信された前記第１の符号Ｙ
１を前記第１の乱数Ｒ１に依存して変換し前記暗号通信
の共通鍵とする第３の符号変換部である。また、２３は
第１の端末局１に対するメツセージを第３の符号変換部
２０の出力である暗号通信共通鍵により暗号化する第３
の暗号部、２４は第３の暗号部２４の出力である暗号化
メツセージを特定局３に送信する第５の送信部である。

さらに特定局３において、２５は第５の送信部から出力
された暗号化メツセージを受信する第５の受信部、２６
は第５の受信部２５で受信された暗号化メツセージを第
２の端末局２に対して送信する第６の送信部である。

さらに第２の端末局２において、２１は前記特定局から
送信された前記第２の符号Ｙ２を受信する第４の受信部
、２２は第４の受信部２１で受信された前記第２の符号
Ｙ２を前記第２の乱数Ｒ２に依存して変換し前記暗号通
信の共通鍵とする第４の符号変換部である。また、２７
は特定局３から送信された暗号化メツセージを受信する
第６の受信部、２８はこの暗号化メツセージを第４の符
号変換部２２の出力である暗号通信共通鍵により復号化
する第３の復号部である。

ただし、この実施例においては公開鍵暗号としてＲ８Ａ
暗号を用いるものとする。さらに特定局の公開情報Ｎは
５１２ビツトの数とする。また特定局の公開鍵Ｅ３は３
であるものとし、秘密鍵Ｄ３は式（１）を満足する法Ｎ
の整数であるとする。

また、第１の符号変換部は、第３の乱数の２進数表現を
Ｘ３、第１の乱数の２進数表現をＸｌとしたとき、Ｘ３
とＸｌのビットごとの排他的論理和を施した結果を第１
の符号Ｙ１として出力するものとする。この入出力関係
をＹ１＝Ｘ３＋Ｘ１と表わすものとする。このとき第２の符号変換部はＹ２＝Ｘ３＋Ｘ２なる演算をおこなうものである。また同様に、第３の符
号変換部はＺ３＝Ｙｉ＋Ｘ１第４の符号変換部はＺ４＝Ｙ２＋Ｘ１なる演算をおこなうものである。

このとき、明らかにＺ３＝Ｙ１＋Ｘ１＝Ｘ３＋Ｘ１＋Ｘ１＝Ｘ３Ｚ４＝Ｙ２
＋Ｘ２＝Ｘ３＋Ｘ２＋Ｘ２＝Ｘ３であるから、Ｚ３＝２
４＝Ｘ３となる。

これらの演算はマイクロプロセッサを用いて極めて高速
に実行される。またこの部分をハードウェアで実現する
場合にはそのハードウェア量は僅かである。

以」二のように構成された本発明の一実施例において、
公開鍵暗号を用いて特定局３が第１の端末局１と第２の
端末局２に対して行なう共通鍵の配送を行なう動作と、
第１の端末局と第２の端末局の間でエンド・ツー・エン
ドの暗号通信がなされる動作の一例を説明する。

（１）特定局３は第１の端末局１に対して暗号化乱数を
送信するように指示する。

（２）第１の端末局工において、第１の乱数発生手段４
は第１の乱数Ｒ１を発生する。

（３）第１の端末局１において、第１の暗号部５はこの
第１の乱数Ｒ１を特定局３の公開鍵Ｅ３で暗号化する（４）第１の端末局１において、第１の送信部６はこの
第１の暗号部の出力である第１の暗号化乱数Ｃ１を特定
局３に送信する。

（５）特定局において、第１の受信部１０は第１の送信
部６から送信された前記第１の暗号化乱数Ｃ１を受信す
る。

（６）特定局において、第１の復号部１１は第１の受信
部１０で受信された前記第１の暗号化乱数Ｃ１をこの特
定局３の秘密鍵Ｄ３で復号してその出力Ｒ１を一時記憶
する。

（７）特定局３は第２の端末局２に対して暗号化乱数を
送信するように指示する。

２Ｏ− （８）第２の端末局２において、第２の乱数発生手段７
は第２の乱数Ｒ２を発生する。

（９）第２の端末局２において、第２の暗号部８はこの
第２の乱数Ｒ２を特定局３の公開鍵Ｅ３で暗号化する（１０）第２の端末局２において、第２の送信部９はこ
の第２の暗号部の出力である第２の暗号化乱数Ｃ２を特
定局３に送信する。

（１１）特定局３において、第２の受信部１２は第２の
送信部９から送信された前記第２の暗号化乱数Ｃ２を受
信する。

（１２）特定局３において、第２の復号部１３は第２の
受信部１２で受信された前記第２の暗号化乱数Ｃ２をこ
の特定局３の秘密鍵Ｄ３で復号してその出力Ｒ２を一時
記憶する。

（１３）特定局３において、第３の乱数発生部１４は第
３の乱数Ｒ３を発生する。

（１４）特定局３において、第１の符号変換部１５はこ
の第３の乱数Ｒ３を第１の復号部１１の出力である前記
第１の乱数Ｒ１に依存して第１の符号Ｙ１に変換する。

ここで、Ｙ１＝Ｒ３＋Ｒ１である。

（１５）特定局３において、第３の送信部１６はこの出
力符号Ｙ１を前記第１の端末局１に送信する。

（１６）特定局３において、第２の符号変換部１７は前
記第３の乱数Ｒ３を第２の復号部１３の出力である前記
第２の乱数Ｒ２に依存して第２の符号Ｙ２に変換する。

ここで、Ｙ２＝Ｒ３＋Ｒ２である。

（１７）特定局３において、第４の送信部１８はこの出
力符号Ｙ２を前記第２の端末局２に送信する。

（１８）第１の端末局１において、第３の受信部１９は
特定局３から送信された前記第１の符号Ｙ１を受信する
。

（１９）第１の端末局１において、第３の符号変換部２
０は第３の受信部１７で受信された前記第１の符号Ｙ１
を前記第１の乱数Ｒ１に依存して変換しその符号ｚ３を
出力する。ここで、Ｚ３二Ｙｉ＋Ｒ１＝Ｒ３＋Ｒ１＋Ｒ
１＝Ｒ３である。これを前記暗号通信の共通鍵とする。

（２０）第２の端末局２において、第４の受信部２１は
前記特定局から送信された前記第２の符号Ｙ２を受信す
る。

（２１）第２の端末局２において、第４の符号変換部２
２は第４の受信部２１で受信された前記第２の符号Ｙ２
を前記第２の乱数Ｒ２に依存して変換しその出力Ｚ４を
出力する。ここで、Ｚ４＝Ｙ２＋Ｒ２＝Ｒ３＋Ｒ２＋Ｒ
２＝Ｒ３である。これを前記暗号通信の共通鍵とする。

（２２）第１の端末局１において、第３の暗号部２３は
入力メツセージを第３の符号変換部２０の出力である暗
号通信共通鍵Ｚ３により暗号化する。

（２３）第１の端末局１において、第５の送信部２４は
第３の暗号部の出力である暗号化メツセージを特定局３
に送信する。

（２４）特定局３において、第５の受信部２５は第５の
送信部から出力された暗号化メツセージを受信する。

（２５）特定局３において、第６の送信部２６は第５の
受信部で受信された暗号化メツセージを第２の端末局２
に刻して送信する。

（２６）第２の端末局２において、第６の受信部２７は
特定局３から送信された暗号化メツセージを受信する。

（２７）第２の端末局２において、２８はこの暗号化メ
ツセージを第４の符号変換部２２の出力である暗号通信
共通鍵Ｚ４（これはＺ３に等しい）により復号化する。

本実施例において、Ｒ８Ａ暗号がどこで利用されている
かに着目する。特定局３においてはステップ（６）およ
びステップ（１２）で各１回秘密鍵Ｄ３によるＲ８Ａ復
号化が行なわれている。前述のようにＤ３は５１２ビツ
トの数であり、この暗号化には多大な演算量が必要とな
る。これに対して第１の端末局ではステップ（３）で公
開鍵Ｅ３によるＲ８Ａ暗号化が行なわれている。しかし
前述のようにＥ３＝３であるのでこの暗号化には＝２４Ｄ３による復号化に比べてはるかに少ない演算量しか必
要としない。また第２の端末局ではステップ（９）で公
開鍵Ｅ３によるＲ８Ａ暗号化が行なわれている。しかし
前述のようにＥ３＝３であるのでこの暗号化にはＤ３に
よる復号化に比べてはるかに少ない演算量しか必要とし
ない。

従って本実施例において第１および第２の端末局で必要
となる演算は特定局において必要となる演算よりもはる
かに少ない量で済む。

なお、本実施例においては公開鍵暗号としてＲ８Ａ暗号
を例にとって説明したが、本発明の範囲はこれに限定さ
れるものではなく、暗号化処理が復号化処理に比べて少
ない演算量しか必要としないものであれば他の公開鍵暗
号であってもよい。

例えば、暗号化は法Ｎにおける２次の乗算を基礎とし、
復号化は法Ｎにおける２次方程式の求解を基礎とするラ
ビン暗号を用いてもよい。

また、本実施例においては第１から第４の符号変換部は
２つの入力のビットごとの排他的論理和を取るものとし
て構成したがこの構成には限らない。一般には、２人力
１出力の第ｉの符号変換部をｆ　　（ｘ、　　ｙ）のよ
うに関数で表現したとき、ｆ（ｘ＋　　ｙ）からＸやｙ
が容易に求められるものではなく、ｆ　　（ｆ　　（ｘ
、　　ｙ）＋　　ｙ）＝ｘ＋　　　ｆ　　（ｆ　（ｘ＋
　　ｙ）＋　　ｙ）＝ｘが成立する関数であればなにで
あってもよい。

発明の詳細な説明したように、本発明によれば、ハードウェア資源
の豊富な特定局では公開鍵暗号のための演算のうちで計
算量の多い復号化を行ない、計算量の少ない暗号化は第
１および第２の端末局で行なっているため、ハードウェ
ア資源の乏しい第１および第２の端末局における処理時
間が短縮され、端末局間のエンド・ツー・エンドの暗号
通信のための共通鍵配送を実用的な時間で実現すること
が可能となる。従って本発明になる公開鍵暗号を用いた
共通鍵配送システムの実用的効果は太きい。

【図面の簡単な説明】

第１図は本発明の一実施例における公開鍵暗号を用いた
共通鍵配送システムの一実施例のブロック図、第２図は
従来の公開鍵暗号を用いた２局間の共通鍵配送システム
の一実施例のブロック図、第３図は本発明の適用される
べき多数の端末局と１つのセンター局が存在する通信シ
ステムの概念図、第４図は従来の公開鍵暗号を用いた共
通鍵配送システムの一実施例のブロック図である。１・・・第１の端末局、２・・・第２の端末局、３・・
・特定局、４・・・第１の乱数発生部、５・・・第１の
暗号部、６・・・第１の送信部、７・・・第２の乱数発
生部、８・・・第２の暗号部、９・・・第２の送信部、
１０・・・第１の受信部、１１・・・第１の復号部、１
２・・・第２の受信部、１３・・・第２の復号部、１４
・・・第３の乱数発生部、１５・・・第１の符号変換部
、１６・・・第３の送信部、１７・・・第２の符号変換
部、工８・・・第４の送信部、１９・・・第３の受信部
、２０・・・第３の符号変換部、２１・・・第４の受信
部、２２・・・第４の符号変換部２３・・・第３の暗号
部、２４・・・第５の送信部、２５・・・第５の受信部
、２６・・・第６の送信部、２７・・・第６の受信部、

Claims

【特許請求の範囲】

ある特定局およびこの特定局を介して互いに暗号通信を
行なう第１の端末局と第２の端末局からなり、前記第１
の端末局は、第１の乱数を発生する第１の乱数発生手段
と、この第１の乱数を前記特定局の公開鍵で暗号化する
第１の暗号部を備え、前記第２の端末局は、第２の乱数
を発生する第２の乱数発生手段と、この第２の乱数を前
記特定局の公開鍵で暗号化する第２の暗号部を備え、前
記特定局は、前記第１の端末局から送信された前記第１
の暗号化乱数をこの特定局の秘密鍵で復号する第１の復
号部と、前記第２の端末局から送信された前記第２の暗
号化乱数をこの特定局の秘密鍵で復号する第２の復号部
と、第３の乱数を発生する第３の乱数発生部と、この第
３の乱数を前記第１の復号部の出力である前記第１の乱
数に依存して第１の符号に変換する第１の符号変換部と
、前記第３の乱数を前記第２の復号部の出力である前記
第２の乱数に依存して第２の符号に変換する第２の符号
変換部を備え、前記第１の端末局はさらに、前記特定局
から送信された前記第１の符号を前記第１の乱数に依存
して変換し前記暗号通信の共通鍵とする第３の符号変換
部を備え、前記第２の端末局はさらに、前記特定局から
送信された前記第２の符号を前記第２の乱数に依存して
変換し前記暗号通信の共通鍵とする第４の符号変換部を
備えたことを特徴とする公開鍵暗号を用いた共通鍵配送
システム。