JPH04117826A - 認証機能付き鍵配送方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、　互いにヂャレンジとレスポンスをやり取り
することによって相手をに７ｊＪ　ｉＩＩ：Ｌ　　その
結果、秘密の共有鍵を得る認証機能付き鍵配送方式に関
する。な」べ　相手からのレスポンスの正当性Ｈ１ｌＫ
忍に用いる相手端末の公開情報は、　信頼のおけるセン
ターがあらかじめ生成した証明書によって保証されてい
る。

従来の技術 暗号系に秘密鍵暗号方式を用いる場合、各通信対で対ご
とに異なった鍵を秘密に共有する必要がある。従来の集
中鍵配送方式では　鍵共有のたびに　ネットワーク上に
ある鍵配送センターが各共有鍵を生成し　端末に秘密に
配送する必要があるため、鍵配送センターに鍵負担が集
中し　端末数の多い大規模ネットワークには適していな
い。

方、鍵の配送と同時に　鍵を共有する相手をきちんと認
証することも要望されている。したがって、ここではＳ
忍証機能を組み込んだ分散型の鍵配送方式について説明
する。分散型の鍵配送方法として、１９７６年にディフ
ィとヘルｖ　：／　（Ｄｉｆｆｅ、ｌｌｅｌｌｍａｎ）
によって提案されたディエイヂ（ＤＨ）６１配送方式が
ある。詳細について（表　アイイーイーイー・］・ラン
ザクションズ・オン・インフォメーション・セオリー（
ＩＥＥＥ　Ｔｒａｎｓ、　Ｉｎｆ、ＴｈｅｏｒｙＩＴ−
２２，６，ｐｐ６４４−６５４（Ｎｏｖ、　１９７６）
）を参照すること、ＤＨＷ配送方式（ｉ有限体ＧＦ（ｐ
）上での離散対数問題が難しいことに安全性の根拠をお
いている。ここではこれに認証機能を組み込んだ方法に
ついて説明する。認証を可能とするたム　信頼のおける
センター発行の証明書を用いる。

Ｄ　Ｉ−１鍵配送方式（第１の従来例）以下、この第１
の従来例の手順を、センターによる証明書の発行のフェ
ーズと、端末１と端末２の間の鍵配送のフェーズに分け
て説明する。

〈証明書の発行フェーズ〉 （１）システムの構築■敞　　素数ｐとＧＦ（ｐ）の原
始元ｇを決定し各端末に公開する。ここで安全性を確保
するたｙａ　　ｐは例えば５１２ビット程度の大きな素
数に決定する。

（２）端末１は秘密情報Ｘ１を生成して、ｙｌ、＝ｇ”
ｍａｄ　ｐを計算する。

な抵　ここで°Ｘ　ｍｏｄｐ”は値Ｘをｐで除した時の
剰余を示づ； （３）端末１はｙｌと名作Ｌ　住所など自分を特定でき
る情報（識別情報　又はＩＤ情報と称する）ＩＤＩを信
頼のおけるセンターに送信し　証明書を請求する。

（４）センターは端末１の正当性を調べ　センターだけ
が知っている秘密変換ｆを用いて、証明書Ｃｅｒｔｌを
生成し　例えば磁気カード等に格納して端末１に配付す
る。

Ｃｅｒｌ＝ｆ（ｙｌｉｉｌ　Ｄ　Ｉ） ここて　：：は連結を示している。な抵　秘密変換ｆの
逆変換１１はシステムにおいて公開であるとする。

従って、Ｃｅｒｔｌを得た任意の端末はｈ（Ｃｅｒｔｌ
）を計算することでミ　センターによって保証された端
末ｊの公開情報ｙ１を得ることができる。端末２につい
ても同様に証明書Ｃｅｒｔ２を発行する。

く鍵配送フェーズ〉 （１）端末１は自身の証明書Ｃｅｒｔｌを端末２に端末
２は自身の証明書Ｃｅｒｔ２を端末１にそれぞれ配送す
る。

（２）端末１はｈ（Ｃｅｒｔ２）＝ｙ２　ｉ！Ｉ　Ｄ　
２を計算し　自分の秘密情報ｘ１を用いて、 ＫＩ２＝ｙ２”ｍｏｄｐ＝ｇ”ｙ″’　ｍｏｄｐを求め
る。

（３）一方、端末２はｈ（Ｃｅｒｔ　］　）−ｙ　ｌ　
：：Ｉ　Ｄ　Ｉを計算し　自分の秘密情報Ｘ２を用いて
、 Ｋ２１＝ｙｌ”　ｍｏｃｌｐ＝ｇ””’　ｍｏｄｐを求
める。なｉ　　ＫＩ２＝に２＋は端末１と２の間の共有
鍵である。

ところで、暗号通信で用いられる暗号鍵（友　安全」−
時々変更することが望ましい。上記で述べたＤ　ＨＭＢ
配送方式では共有鍵を変更するのにもう１度センターに
依頼して証明書を発行してもらう必要があり、非常に手
間である。

第２の従来例 特開昭６１−３０８２９では　証明書は変更せずに共有
鍵を変更する方法が提案されている。証明書の発行フェ
ーズは第１の従来例と同じである。第２図に鍵配送フェ
ーズの手順を示している。端末１．２間の動作を以下に
示１− （１）端末）は次のようにして配送情報Ｚ１２を生成し
　これと自分の証明書Ｃｅｒｔｌを端末２に送付する。

（ａ）乱数ｒｌを発生する。

（ｂ）ＺＩ２＝ｙｌ”　ｍｏｄｐ　　　　　＝（Ｉ）（
２）端末２は次のようにして配送情報Ｚ２１を生成し　
これと自分の証明書Ｃｅｒｔ２を端末１に送（＝Ｊする
。

（ａ）乱数ｒ２を発生ずる。

（ｂ）Ｚ２１−ｙ２”　ｍｏｄｐ　　　　　”（２）ま
た、端末１から送付されてきた情報を用いて、以下のと
おり端末１との共有１ｆｉＫ２１を生成する。

（ａ）Ｃｅｒｔｌより、　ｈ（Ｃｅｒｔｌ）＝ｙｌ　Ｈ
Ｉ　Ｄ　Ｉを計算し　センターの認めた端末１の公開情
報ｙ１を得る６（ｂ）端末１からの配送情報ｚ１２より
次のように共有鍵を算出する。

Ｋ２１＝（Ｚ１２ｘ　ｙｌ”）”　　ｍｏｄｐ　　＝・
（３）（３）端末１（表　端末２から送付されてきた情
報を用いて、以下のとおり端末２との共有鍵共有鍵に１
２を生成する。

（ａ）Ｃｅｒｔ２より、　ｈ（Ｃｅｒｔ２）＝ｙ２　：
ｉＩ　Ｄ　２を計算し　センターの認めた端末２の公開
情報ｙ２を得る。

（ｂ）端末２からの配送情１１ｚ２＋より次のように共
有鍵を算出する。

Ｋ］２＝（Ｚ２］ｘｙ２”）”　ｍｏｄｐ　　・＝（４
）な抵　端末１における共有１１ＫＩ２と端末２におけ
る共有鍵生成手段に２１は（１）〜（４）式より同じ値
になる。

Ｋ１２＝（Ｚ２１ｘ　ｙ２”　）”ｍｏｄｐ＝（ｙ２”
′″ｒ’　）”ｍｏｄｐ＝ｇ”Ｘ　２　Ｘ　Ｉ　ｒ　Ｉ
　＋　ｒ　２１　ｍ　ｏ　ｄ　ｐＫ２１＝（Ｚ１２Ｘ　
、ｙｌ”）’″２１１１０ｄｌ）−（ｙｌ””　）ｙ２
ｍｏｄｐ＝ｇｙ’×２×＋ｒ＋＋＋２１ｍ０ｄｐ 発明が解決しようとする課題 第１の従来例では、　特定の２者間の鍵が毎回同じであ
るという欠点かある。第１の従来例で毎回の鍵を変更す
るためには、　センターにおいて端末の証明書を作り替
えてもられなくてはなら咀　かなり手間がかかる。また
　第２の従来例では証明書を変更せずに毎回の鍵を変更
することができる。

但し　この方式における認証機能は間接的な認証であり
、自分の認識している相手とのみ同じ鍵を共有できるこ
とが保証されているというものであった　従って、　き
ちんと相手からのデータにより相手を認証するものでは
なしも　さらに共有鍵を得るに（ｉ　配送データの生成
に１＠　共有鍵の生成に２回の計３回のべき乗剰余演算
が必要である。

本発明の認証機能付き鍵配送方式は、　」二連の問題点
に鑑みて試みられたもので、証明書を変更せずに毎回の
鍵を変更する鍵配送方式であって、さら区　相手にデー
タ（チャレンジ）を与え、その応答（レスポンス）によ
ってきちんと相手をｊｌＩ　８？２する認証機能を付加
した鍵配送方式を提供することを目的とする。なお、こ
の際に従来の間接的認証を付加した方法に比べて計算量
の増加を最小限とする。

課題を解決するための手段 前記目的を達成するために　本発明にお（）るδ忍証機
能付き鍵配送方式は　重複しない固有の識別情報を持っ
た第１、第２の端末と、端末間を結ぶ通信路と、各端末
が生成した公開情報に署名を施して証明書を発行する信
頼のおけるセンターからなるシステムにおいて、証明書
の発行時（友　前記第１の端末は秘密情報Ｘ１を生成し
　システムで公開の数ｐとｐを法とする剰余環の原始元
ｇを用いてＸｌをべきとし前記ｐを法とするｇのべき乗
剰余値ｙ１を算出し　このｙ＋を第１の公開情報として
センタに通知し　前記第２の端末は秘密情ｔνｘ２を生
成しＸ２をへきとし前記ｐを法とするｇのべき乗剰余値
ｙ２を算出し　このｙ２を第２の公開情報としてセンタ
ーに通知し　センターは前記第１、２の公開情報に端末
の識別情報を含めて、署名を施して証明碧を生成し　各
端末それぞれに配付り、！ｌ↑配送１）范前記第１の端
末は　前記通信路に接続し・前記センターから配付され
た第１の端末の証明書を格納して、通信路を通じて第２
の端末に送信する第１の証明書格納手段と、乱数ｒ１を
生成する第１の乱数発生手段と、前記第１の乱数発生手
段と前記通信路に接続し　前記ｒ１をべきとし前記ｐを
法とするｇのべき乗剰余値Ｃ１を算出して、前記通信路
を通じて第２の端末にデータＣ１を送信する第１の送信
データ生成手段から構成され　前記第２の端末（友前記
通信路に接続し　前記センターから送信された第２の端
末の証明書を格納して、通信路を通じて第１の端末に送
信する第２の証明書格納手段と、前記第１の端末から送
信された第１の端末の証明書から第１の端末の第１の公
開情報ｙ１を求める第１の公開情報算出手段と、乱数ｒ
２を生成する第２の乱数発生手段と、前記第２の乱数発
生手段と前記通信路に接続し　前記「２をべきとし前記
ｐを法とするｇのべき乗剰余値Ｃ２を算出して、前記通
信路を通じて第１の端末にデータＣ２を送信する第２の
送信データ生成手段と、前記第２の端末の秘密情報Ｘ２
を格納する第１の秘密情報格納手段と前記第１の秘密情
報格納手段と前記第２の乱数発生手段と前記通信路に接
続し　前記乱数ｒ２と第２の端末の秘密情報Ｘ２の和を
べきとし　前記ｐを法とする前記送信データＣ１のべき
乗剰余値Ｒ２を算出し　前記通信路を通じて第１の端末
にデータＲ２を送信する第３の送信データ生成手段から
構成され　前記第１の端末（主　前記第２の端末から送
信された第２の端末の証明書から第２の端末の公開情報
ｙ２を求める第２の公開情報算出手段と、前記第２の公
開情報算出手段と前記第１の乱数発生手段と前記通信路
に接続し　前記乱数ｒ１をべきとし前記ｐを法とする前
記Ｃ２とｙ２の積のべき乗剰余値を求め、　これと前記
第２の端末から送信された第３の送信データＲ２を比較
してこれらが同じであることによって第２の端末を認証
する第１の認証手段と、前記第１の端末の秘密情報ｘ１
を格納する第２の秘密情報格納手段と、前記第２の秘密
情報格納手段と前記第１の乱数発生手段と前記通信路に
接続し　前記乱数ｒｌ（！：第１の端末の秘密情報ｘｉ
の和をべきとし、前記ｐを法とする前記第２の送信デー
タＣ２のべき乗剰余値Ｒ１を算出し　前記通信路を通じ
て第２の端末にデータＲ１を送信する第４の送信データ
生成手段と、前記第１の乱数発生手段と前記通信路に接
続し　乱数「１をべきとし前記ｐを法とする前記第２の
端末から送信された第２の送信データＣ２のべき乗剰余
値を、前記第２の端末との共有鍵とする第１の共有鍵生
成手段から構成され　前記第２の端末は、　前記第１の
公開情報算出手段と前記第２の乱数発生手段と前記通信
路に接続し　前記乱数「２をべきとし前記ｐを法とする
前記ＣＩとｙｉの積のべき乗剰余値を求ぬ　これと前記
第１の端末から送信された第４の送信データＲ１を比較
してこれらが同じであることによって第１の端末をδ忍
証する第２のδ忍証手段と、前記第２の乱数発生手段と
前記通信路に接続し　乱数ｒ２をべきとし前記ｐを法と
する前記第１の端末から送信された第１の送信データＣ
１のべき乗剰余値を前記第１の端末との共有鍵とする第
２の共有鍵生成手段から構成される。

作用 第２の端末は第１の端末の出力するヂャ゛レンジデータ
Ｃ１に対するレスポンスＲ２を、自分の秘密情報Ｘ２と
自分の生成した乱数ｒ２を用いて生成する。

従って、このレスポンスは正規の第２の端末しか生成す
ることができない。第１の端末はこのレスポンスを、第
２の端末の証明書から得た正規の公開情報ｙ２によって
認証する。また　レスポンスに自分の生成した秘密の乱
数ｒ２を含めているた敢第１の端末および第３者はレス
ポンスから第２の端末の秘密情報ｘ２を得ることはでき
ない。同様に端末２はヂ、トレンジデータＣ２に対する
レスポンスＲ１により端末１を認証する。そして互いに
相手を認証した後、相手からのヂ、トレンジデータを用
いて共有鍵を求める。

実施例 第１図は、　本発明の認証機能付き鍵配送方式の鍵配送
フェーズにおけるプロトコルを示ｔ　証明書発行フェー
ズは従来例と同じである。

（１）端末１は次のようにして配送情ＩＢｉを生成し　
これと自分の証明書Ｃｅｒｔｌを端末２に送（−１する
。

（ａ）乱数！・１を発生する。

（ｂ）ＣＩ＝ｇ”　ｍｏｄｐ （２）端末２は次のようにして配送情報Ｃ２を生成する
。

（ａ）乱数ｒ２を発生ずる。

（ｂ）Ｃ２＝ｇ”　ｍｏｃｌｐ また　前記Ｃ１に対するレスポンスとして以下のＲ２を
生成する。そして自分の証明書ＣＥＲＴ２ととも、に前
記Ｃ２，Ｒ２を第１の端末に送信する。

Ｒ２＝ＣＩ”４ｘ２ｍｏｄｐ （３）端末１は端末２から送信された証明書Ｃｅｒｔ２
から ｈ（Ｃｅｒｔ２）＝ｙ２：ｉＩ　Ｄ　２を計算し　セン
ターが認めた端末２の公開ｌ、ｙ２を得る。次（へ　こ
の公開鍵ｙ２を用いて、Ｒ２＝（Ｃ２ｘｙ２）″　　ｍ
ｏｄｐ が成り立つことを確かめる。　もし成り立ては　通信相
手が端末２であることを認証し　次の計算で端末２との
共有鍵を求める。異なっていれば　この鍵配送プロトコ
ルを取りやめる。

ＫＩ２＝Ｃ２”　ｍｏｄｐ また、前記第２の端末からヂャレンジＣ２に対するレス
ポンスとして以下のＲ１を生成する。そして第１の端末
に送信する。

ＲＩ＝Ｃ２””’　ｍｏｄｐ （４）端末２は端末１から送信された証明書Ｃｅｒｔｌ
から ｈ（Ｃｅｒｔｌ）−ｙｌ　ｊ；Ｉ　Ｄ　１を割算し　セ
ンターが認めた端末１の公開鍵ｙ１を得る。次に　この
公開鍵ｙｌを用いて、旧−（Ｃ１ｘ　ｙｌ）”　ｍｏｄ
ｐ が成り立つことを確かめる。もし成り立てば　通信相手
が端末１であることをＭＥ　Ｋ！Ｅ　Ｌ　　次の計算で
端末１との共有鍵を求める。異なっていれは　この鍵配
送プロトコルを取りやめる。

Ｋ２１＝ＣＩ”　ｍｏｄｐ なｋ　　Ｋ１２４２１＝ｇ””’　ｍｏｄｐである。

この実施例において、相手からヂャレンジに対するレス
ポンスを生成するためには、正規の秘密情報が必要であ
る。そして、　このレスポン°スをセンターの認めた公
開情報を用いて確認する。このた嵌　この方法は直接的
な相手認証を含んだ鍵配置８ 逆方式であるといえる。なｈｍの共有は相手からうけた
チャレンジを用いＤＨｍ配送方式と同様にして行なう。

まり鍵共有までの計算量については以下の通り評価する
。な耘　計算量の評価はべき乗剰余演算の回数を行なう
。これば　安全性を確保する（公開情報から端末の秘密
情報を得ることを困難にする）ために各計算の法ｐの数
を大きく　（例えば５１２ビツト）取ると、べき乗剰余
演算が全体の計算時間のネックとなるためである。双方
の端末とも艮 ・チャレンジの生成に１回 ・レスポンスの生成に１回 ・相手のレスポンスの正当性ｌｉ＆’ＩＥに１回・共有
針の生成に１回 の計４回のべき乗剰余演算が必要である。従って、従来
の間接的な認証機能が付加された鍵配送方式に比べてわ
ず力用回のべき乗剰余演算が増加しているだけである。

な耘　この実施例で゛は　チャレンジとレスポンスを用
いた認証を鍵配送と合わせて構成した力＜、認証方式単
独として取り扱つ１つ− てもよいことは言うまでもなｌ、％ 発明の効果 以上の説明から明らかなように本発明は、　証明書を変
更せずに毎回の共有針を変更することができる。また　
相手を自身が発したチャレンジに対する応答を、センタ
ーの認めた相手の公開鍵を用いて直接的に確認する。チ
ャレンジとレスポンスによる相手認証では、　レスポン
スに秘密の乱数を含めることによって端末の秘密情報を
保護している。また　これにかかる計算量はべき乗剰余
演算４回であり、間接的な認証しかできなかった従来の
鍵配送方式と比べても最小限の計算量の増加となってい
る。

【図面の簡単な説明】

第１図は本発明の認証機能付き鍵配送方式における一実
施例の鍵配送フェーズプロトコル図　第２図は従来にお
ける鍵配送フェーズプロトコル図である。 代理人の氏名　弁理士　小鍜治　明　ほか２名加−

Claims (1)

【特許請求の範囲】
1. 　重複しない固有の識別情報を持った第１、第２の端末
   と、端末間を結ぶ通信路と、各端末が生成した公開情報
   に署名を施して証明書を発行するセンターとからなるシ
   ステムにおいて、証明書の発行時は、前記第１の端末は
   秘密情報ｘ１を生成しシステムで公開の数ｐとｐを法と
   する剰余環の原始元ｇを用いてｘ１をべきとし前記ｐを
   法とするｇのべき乗剰余値ｙ１を算出Ｌこのｙ１を第１
   の公開情報としてセンターに通知し、前記第２の端末は
   秘密情報ｘ２を生成し、ｘ２をべきとし前記ｐを法とす
   るｇのべき乗剰余値ｙ２を算出し、このｙ２を第２の公
   開情報としてセンターに通知し、センターは前記第１、
   ２の公開情報に端末の識別情報を含めて、署名を施して
   証明書を生成し、各端末それぞれに配付し、鍵配送時、
   前記第１の端末は、前記通信路に接続し、前記センター
   から配付された第１の端末の証明書を格納して、通信路
   を通じて第２の端末に送信する第１の証明書格納手段と
   、乱数ｒ１を生成する第１の乱数発生手段と、前記第１
   の乱数発生手段と前記通信路に接続し、前記ｒ１をべき
   とし前記ｐを法とするｇのべき乗剰余値Ｃ１を算出して
   、前記通信路を通じて第２の端末にデータＣ１を送信す
   る第１の送信データ生成手段から構成され、前記第２の
   端末は、前記通信路に接続し、前記センターから送信さ
   れた第２の端末の証明書を格納して、通信路を通じて第
   １の端末に送信する第２の証明書格納手段と、前記第１
   の端末から送信された第１の端末の証明書から第１の端
   末の第１の公開情報ｙ１を求める第１の公開情報算出手
   段と、乱数ｒ２を生成する第２の乱数発生手段と、前記
   第２の乱数発生手段と前記通信路に接続し、前記ｒ２を
   べきとし前記ｐを法とするｇのべき乗剰余値Ｃ２を算出
   して、前記通信路を通じて第１の端末にデータＣ２を送
   信する第２の送信データ生成手段と、前記第２の端末の
   秘密情報ｘ２を格納する第１の秘密情報格納手段と、前
   記第１の秘密情報格納手段と前記第２の乱数発生手段と
   前記通信路に接続し、前記乱数ｒ２と第２の端末の秘密
   情報ｘ２の和をべきとし前記ｐを法とする前記送信デー
   タＣ１のべき乗剰余値Ｒ２を算出し、前記通信路を通じ
   て第１の端末にデータＲ２を送信する第３の送信データ
   生成手段から構成され、前記第１の端末は、前記第２の
   端末から送信された第２の端末の証明書から第２の端末
   の公開情報ｙ２を求める第２の公開情報算出手段と、前
   記第２の公開情報算出手段と前記第１の乱数発生手段と
   前記通信路に接続し、前記乱数ｒ１をべきとし前記ｐを
   法とする前記Ｃ２とｙ２の積のべき乗剰余値を求め、こ
   れと前記第２の端末から送信された第３の送信データＲ
   ２を比較してこれらが同じであることによって第２の端
   末を認証する第１の認証手段と、前記第１の端末の秘密
   情報ｘ１を格納する第２の秘密情報格納手段と、前記第
   ２の秘密情報格納手段と前記第１の乱数発生手段と前記
   通信路に接続し、前記乱数ｒ１と第１の端末の秘密・情
   報ｘ１の和をべきとし、前記ｐを法とする前記第２の送
   信データＣ２のべき乗剰余値Ｒ１を算出し前記通信路を
   通じて第２の端末にデータＲ１を送信する第４の送信デ
   ータ生成手段と、前記第１の乱数発生手段と前記通信路
   に接続し、乱数ｒ１をべきとし前記ｐを法とする前記第
   ２の端末から送信された第２の送信データＣ２のべき乗
   剰余値を、前記第２の端末との共有鍵とする第１の共有
   鍵生成手段から構成され、前記第２の端末は、前記第１
   の公開情報算出手段と前記第２の乱数発生手段と前記通
   信路に接続し、前記乱数ｒ２をべきとし前記ｐを法とす
   る前記Ｃ１とｙ１の積のべき乗剰余値を求め、これと前
   記第１の端末から送信された第４の送信データＲ１を比
   較してこれらが同じであることによって第１の端末を認
   証する第２の認証手段と、前記第２の乱数発生手段と前
   記通信路に接続し、乱数ｒ２をべきとし前記ｐを法とす
   る前記第１の端末から送信された第１の送信データＣ１
   のべき乗剰余値を前記第１の端末との共有鍵とする第２
   の共有鍵生成手段から構成される認証機能付き鍵配送方
   式。