JPH04191787A - 公開鍵生成方式および公開鍵生成システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は、複数の端末と端末情報発行センターからなる
システムにおいて、各端末が、センターの公開情報と相
手の端末の公開情報を用いて、相手端末の公開鍵を生成
する方式およびシステムに関する。

従来の技術 公開鍵を利用した相手認証、暗号通信、鍵配送、および
署名などのプロトコル（以下では単に公開鍵暗号系プロ
トコルと称する）は、大規模のネットワークに適してい
るため、近年特に注目を浴びている。しかし、公開鍵暗
号系プロトコルでは、公開鍵の完全性、すなわち、その
公開鍵がまさに当該の端末のものであるということが保
証されなければならない。公開鍵の完全性を保証する手
段として、信顛のおけるセンターが公開鍵を管理する方
法と、各端末がそれぞれの公開鍵を自分で管理し、暗号
プロトコルの開始に先だって、相手端末から公開鍵を配
送してもらう方法がある。

前者は、端末数の多い大規模ネットワークに使用する場
合、センターへのアクセスが集中し、センターの鍵管理
の負担が大きくなるという問題点がある。

一方、後者は、センターの負担が軽減される反面、その
公開鍵の完全性を保証するためｋ、センター発行の署名
情報（証明書と呼ばれることがある）を必要とし、端末
はその署名情報を用いて公開鍵の完全性を確認しなけれ
ばならない。

以上の方法とは別に信頼のおけるセンターが各端末の秘
密鍵と公開可能な数値（以下では単に公開値と称する。

この公開価は秘密鍵に対応する公開鍵そのものではない
）を、端末情報として発行し、この端末情報を用いて相
手認証を行なうプロトコルが、ベスによって、提案され
ている。このベスの方式は、公開値の完全性確認を単独
では行わず、相手端末を認証する時に同時ｋ、公開値の
完全性確認を行なう方式とみることができる。ただしこ
の方式では相手認証プロトコルのみに限定される。

ここでは、まずセンター発行の署名情報を用いて公開鍵
の完全性を確認する方法の一例としてエルガマル署名法
を用いた方法について述べ、次ｋ、ベスの提案した相手
認証の方式について述べる。

なお、エルガマル署名法は離散対数問題の難しさをもと
にした署名法で、”ア　パブリンク　キークリプトシス
テム　アンド　ア　シグニチャスキーム　ベイスト　オ
ン　ディスクリート　ロガリズムズ”アイイーイーイー
　トランザクションオン　インフォメイション　セオリ
（Ｔ、Ｅ、Ｅ］Ｇａｍａｌ：”Ａ　ｐｕｂｌｉｃ　ｋｅ
ｙ　ｃｒｙｐｔｏｓｙｓｔｅｍ　ａｎｄ　ａ　ｓｉｇｎ
ａｔｕｒｅ　５ｃｈｅ＋＋ｅ　　ｂａｓｅｄ　ｏｎ　ｄ
ｉｓｃｒｅｔｅ　　ｌｏｇａｒｉｔｈｍｓ’、ＩＥＥＥ
Ｔｒａｎｓ、　ｏｎ　ＩＴ、ｖｏｌ、ＩＴ−３１，ＮＯ
，４ＰＰ４６９−４７２）に詳しい。また、ヘスの方式
は、”エフィシェント　ゼロナレンジ　　アイデンティ
フィケーション　スキーム　フォ　スマートカード”ユ
ーロクリブビ８８　（Ｂｅｔｈ：　”　Ｅｆｆｉｃｉｅ
ｎｔ　ｚｅｒｏ−ｋｎｏｗｌｅｄｇｅ　１ｄｅｎｔｉｆ
ｉｃａｔｊｏｎ　　ｓｃｈｅｍｅ　ｆｏｒ　ｓｍａｒｔ
　ｃａｒｄｓ　”ＬｅｃｔＮｏｔｅｓ　Ｃｏｍｐｕｔ　
Ｓｃｉ　　ＶＯＬ３３０　　Ｐ７７−８４　　’８Ｂ）
に詳しい。

［従来例１］ ここでは、各端末が、各自の公開鍵を管理し、その公開
鍵の完全性をセンター発行の署名情報で保証する方法に
ついて述べる。なお完全性の確認された公開鍵を用いて
、任意の公開鍵暗号系プロトコルを実現できる。以下で
は、１）システム初期設定、２）端末の鍵生成、３）署
名情報の発行請求、４）署名情報の発行、５）公開鍵の
完全性確認の各ステップの順に述べる。なお、１）から
４）の各ステップは端末がこのシステムに加入する時に
一度だけ実行されるステップである。

■）システム初期設定 センターは以下の手順でシステムの初期設定を行なう。

［１］大きな素数もしくは素数のべき乗値ｑと、ＧＦ　
（ｑ）の原始九ｇを公開する。

ここで、ＧＦ（ｑ）はｑを法とする有限体を示す。

（２）センターの秘密鍵Ｘを決め、 Ｙ＝ｇＸｍｏｄｑ　　　　　　　（１，１）で定まるＹ
をセンターの公開鍵として公開する。

ここでｍｏｄｑはｑで除したときの剰余の算出を示す。

また式（１，１，）において、入力値χから出力値Ｙを
求めることは容易であるが、出力値Ｙから入力値Ｘを求
めることは離散対数問題に依存し困難である。このよう
な性質を満たす関数は一方向性関数と呼ばれる。

２）端末の鍵生成 端末ｉは秘密鍵ｘｉを決定し、ｘｉに対応する公開鍵 ｙｉ＝ｇ”　　ｍｏｄｑ　　　　　　　　（１，２）を
決定する。

３）署名情報の発行請求 端末ｉは、公開鍵！ｙｉと端末ｉの識別情報ＩＤｉを、
端末の公開情報として、センターに通知し、センターの
署名情報の発行を請求する。

なお、識別情報は名前や住所などの端末固有の公開情報
である。なお、以陣の変数における添字ｉは任意の端末
ｉ用の変数であることを示す。

４）署名情報の発行 センターは、端末ｉから受は取った端末の公開悄ｎ　（
ｙｉ、ＩＤ１）に対して、エルガマル署名法を使ってセ
ンター署名情報を発行する。センターによる署名情報の
発行手順は以下のとおりである。

［１）センターはなんらかの手段で端末ｉの正当性を確
認する。

（２）乱数ｋｉを発生する。

１３］工ルガマル署名法を用いて、端末ｉの公開情報（
識別情報ＩＤｉ　と公開鍵ｙｉ）に対する署名情報（ｔ
ｉ、ｕｉ） ｔｉ＝ｇ”　　ｍｏｄｑ　　　　　　　　　（１，３）
ｕｉ＝（ｙｉ：：ＩＤ１−×Ｘｔｉ）／ｋｉ　ｍｏｄφ
　（１，４）　　（’　Ｇはデータの連結を示す。） を生成し、端末ｉに発行する。

ここでφは、ｑのオイラー関数値を示す。オイラー関数
については、例えば　”暗号と情報セキュリティ”の第
１章：基礎数学（昭晃堂）に詳しい。なお、発行される
署名情報（ｔｉ、ｕｉ）は公開可能な情報であり、端末
へは磁気カードなどを媒体として発行される。

５）公開鍵の完全性確認 ここでは、端末ｊが端末ｉの公開鍵の完全性をｔｉ認す
る場合について述べる。

１１］端末ｊは、端末ｉより端末ｉの公開情報（ｙｉ、
ＩＤ１）とセンター発行の署名情報（ｔ＋、ｕ＋）を受
は取る。

（２］端末ｊは、受は取った端末ｉの公開情報（ｙｉ、
　ｒＤｉ）とセンター発行の署名情１（ｔｉ、ｕｉ）が
ｇ　ＬＹ　ｓ　１口ｆ１″’＝Ｙ”　ｘ　ｔｉ”　　ｍ
ｏｄｑ　　（１，５）を満たすかどうか検査し、式（１
，５）が成立する場合ｋ、公開鍵ｙｉがまさに端末ｉの
公開鍵であると認識する。

この従来例によれば、次の（１）〜（４）に列挙のよう
な特徴がある。

（１）各端末が各自の秘密鍵Ｘと公開鍵ｙｉを生成し、
端末の公開情報（公開鍵ｙｉと識別情報ＩＤｉ　）に対
する署名情報をセンターが発行する。

（２）各端末は、相手端末の公開情報（ｙｉ、ＩＤ１）
とセンター発行の署名情報（１＋、υｉ）を用いて、相
手端末の公開鍵の完全性を確認する。

（３）完全性の確認された公開鍵を用いて任意の離散対
数演算ヘースの公開鍵暗号系プロトコルを構成できる。

（４）公開鍵の完全性確認ｋ、ｍｏｄｑ上のべき乗剰余
演算を３回行う必要がある。

［従来法２］ ヘスが提案した相手認証プロトコルは、センターの公開
情報と、端末の公開情報（端末の識別情報とセンター発
行の公開値）を用いて相手の認証を行なう方式である。

なお、端末の秘密鍵と公開値は、センターが発行する。

以下では、上述のヘスの文献において推奨されている方
式について、１）システム初期設定、２）端末情報の発
行請求、３）端末情報の発行、４）相手端末の認証の各
ステ、プの順に述べるが、ｌ）か８３）の各ステップは
端末がこのシステムに加入する時に一度だけ実行される
ステップである。

１）システム初期設定 センターは以下の手順でシステムを構成する。

［１］大きな素数または素数のべき乗（Ｉ！ｑとＧＦ（
ｑ）の原始元ｇを公開する。

（２）センターの秘密鍵Ｘを決め、 Ｙ”ｇＸｍａｄ　ｑ　　　　　　（２，１）を公開する
。

２）端末情報の発行請求 端末ｉは、識別情＠ｉｐｉをセンターに通知し、端末情
報として端末の秘密鍵×ｉと公開値ｙ１の発行を請求す
る。

３）端末情報の発行 センターは、端末情報の発行を以下の手順で行なう。

［１］センターはなんらかの手段で端末ｉの正当性を確
認する。

［２］乱数ｋｉを発生する。

（３）ユルガマル署名法を用いて、識別情報Ｉ　Ｄ　ｉ
に対する署名情報（ｙｉ、ｘｉ） ｙｉ＝ｇ”ｋｉ　　ｍｏｄｑ　　　　　　　（２，２）
ｘｉ＝（ＩＤｉ−×Ｘｙｉ）／ｋｉ　ｍｏｄφ　　（２
，３）を生成し、ｘｉは端末の秘密鍵として、ｙｉは端
末の公開値として、端末ｉに発行する。

なお、端末の秘密鍵ｘ１は、ＩＣカードなどの物理的に
安全なメモリを媒体として発行される。

４）相手端末の認証 端末ｉが端末ｊに自分の正当性を証明する場合について
説明する。

［１１端末ｉは、端末ｊに端末の公開情報として、識別
情報ｒＤｉおよび端末の公開値ｙｉを送付する。

［２］端末ｊは受は取った（ＩＤｉ、ｙｉ）を用いてρ
ｉ　＝Ｙ’凰　川。ｄｑ　　　　（２，４）を得る。

（３］端末ｉは、乱数Ｒ４を用いて Ｃ１＝ｙｉ−”　　ｍｏｄｑ　　　　（２，５）を計算
し、端末Ｊに送付する。

（４］端末ｊは、乱数Ｅを端末ｉに送付する。

［５］端末ｉは、自身の秘密鍵ｘｉを用いて、Ｃ２＝Ｅ
Ｘｘｉ　＋Ｒｉ　　ｍｏｄφ　（２，６）を計算し、端
末ｊに送付する。

［６］端末ｊは、ｖ　＝ＥｘｌＤｉ　　ｍｏｄφ　を求
めρＥ×ｙＣ２×（：ｌ＝　ｇ％’　　ｍｏｄ　　ｑ　
　（２，７）が成立するかどうかを検査し、弐（２，７
）が成り立つ場合ｋ、相手端末が、まさに端末ｉである
と認識する。

この従来例によれば、次の（１）〜（４）に列挙する特
徴がある。

（１）センターが、各端末に対して、各端末の秘密鍵と
端末の公開値を生成する。

（２）各端末は、センターの公開情報と相手端末の公開
情報（公開値ｙｉと識別情報ＩＤｉ　）を用いて、相手
端末の認証を行う。

（３）任意の離散対数演算ヘースの公開鍵暗号系プロト
コルを構成できない。

（４）相手認証時ｋ、ａ＋ｏｄｑ上のべき乗剰余演算を
３回行う必要がある。

発明が解決しようとする課題 ところで、従来例１によれば、相手端末の公開鍵の完全
性は、相手端末の公開情報（ｙｉ、　ＩＤ１）とセンタ
ー発行の署名情１１Ｂ　（ｔｉ、ｕｉ　）を用いなけれ
ば確認できないし、また、その確認にｍｏｄｑ上のべき
乗剰余演算を３回も行なわねばならず、計算量が大変多
いという課題がある。

一方、従来例２によれば、任意の離散対数演算ベースの
公開鍵暗号系プロトコルを構成できないし、相手認証時
ｋ、ｍｏｄｑ上のべき乗剰余演算を３回行わねばならず
、やはり計算量が多く煩瑣であるという課題がある。

本発明はこのような点にあって、生成された公開鍵を用
いて任意の離散対数演算ベースの公開暗号系プロトコル
を構成できると共ｋ、公開鍵の完全性の確認をあえて行
う必要がなく、また、べき乗剰余演算の計算蓋を少なく
することのできる公開鍵生成方式および公開鍵生成シス
テムを提案することを目的としている。

課題を解決するための手段 上記目的を達成するため、本発明は、端末情報発行セン
ターが、センターの秘密鍵Ｘと、ある秘密鍵生成関数Ｓ
を有し、ある一方向性関数Ｆと、ある公開鍵生成関数Ｐ
と、前記秘密ｓ！Ｘを一方向性関数Ｆに入力したときの
出力値Ｙ＝Ｆ　（Ｘ）を、第１および第２の端末に通知
する初期設定ステップと、 第１の端末が端末情報発行センターｋ、第１の端末固有
の識別情報ｉを通知し、端末情報の発行を請求する端末
情報発行請求ステップと端末情報発行センターが、ある
乱数値ｋを前記一方向性関数Ｆに入力したときの出力値
ｙ−Ｆ（ｋ）を生成し、センターの秘密鍵Ｘと、端末の
公開値ｙと、乱数値にと、端末の識別情報ｉを秘密鍵生
成関数Ｓに入力したときの出力値ｘを生成し、前記ｙと
前記Ｘを端末に発行する端末情報発行ステップと、 第１の端末が、第２の端末ｋ、端末の識別情報ｉと端末
の公開値ｙを転送する端末公開情報転送ステップと、 第２の端末が、センターの公開情報Ｙと、第１の端末の
公開値ｙと、第１の端末の識別情報ｉを公開鍵生成関数
Ｐに入力したときの出力値Ｃを生成する公開鍵生成ステ
ップを備えたものである。

また、端末情報発行センターが、ｑを素数もしくは素数
のべき乗値とし、ｇをｑを法とする剰余体の原始元とし
、Ｕを前記剰余体の元としたとき、前記ｑを法とし、前
記Ｕを入力とする前記ｇのべき乗剰余値 Ｖ＝ｇ’　　ｍｏｄｑ を出力する一方向性関数Ｆと、ｑのオイラー関数値φを
法とし、センターの秘密鍵Ｘと第１の端末の公開値ｙの
積と、センターの生成した乱数値にと第１の端末の識別
情報ｉの積との和 ｘ　＝　Ｘ　Ｘ　ｙ　＋　ｋ　Ｘ　ｉ　　ｍｏｄ　φを
出力する秘密鍵生成関数Ｓと、ｑを法とし、第１の端末
の公開値ｙをべきとしたセンターの公開情報Ｙのべき乗
剰余値と、第１の端末の識別情報ｉをべきとした前記第
１の端末の公開値ｙのべき乗剰余値との積 Ｃ＝　（Ｙ’）　Ｘ　（ｙ’）　　ｍｏｄｑを出力する
公開鍵生成関数Ｐを備えたものである。

また、端末情報発行センターが、第１の端末の公開値ｙ
と第１の端末の識別情報ｉをある定められた関数Ｈに入
力したときに得られる出力値りと、センターの秘密鍵Ｘ
の積と、センターの生成した乱数値にとの和 ｘ＝Ｈ（ｙ、１）×Ｘ＋ｋ　　ｍｏｄ　φ＝ｈｘｘ＋ｋ
　ｍｏｄ　φ を出力する秘密鍵生成関数Ｓと、前記ｑを法とし、第１
の端末の公開値ｙと第１の端末の識別情報ｉを前記関数
Ｈに入力したときに得られる出力値りをべきとしたセン
ターの公開値１１１Ｙのべき乗剰余値と、前記第１の端
末の公開値ｙとの積Ｃ＝　（ＹＨＫ”）　ｘｙ　　ｍｏ
ｄｑ＝　（￥’）　×ｙ　　ｍｏｄｑ を出力する公開鍵生成関数Ｐを備えたものである。

また、第１の端末が、検証用公開鍵として、第１の端末
の秘密鍵Ｘを一方向性関数Ｆに入力したときの出力値Ｖ
＝Ｆ　（ｘ）を生成する検証用公開鍵生成ステップと、
第１の端末が、第１の端末の識別情報Ｉと第１の端末の
公開値ｙと検証用公開鍵Ｖを第２の端末に転送する端末
公開情報転送ステップと、 第２の端末が、公開鍵生成ステップで得た第１の端末の
公開鍵Ｃと前記Ｖを比較し、一致するか否かを確認する
公開鍵確認ステップを備えたものである。

作用 本発明による公開鍵生成方式では、上述の構成によって
、第２の端末は、センターの公開情報Ｙと、第１の端末
から受は取った端末の公開情報（公開値ｙと識別情報ｉ
）を用いて、第１の端末の公開鍵の生成を行なう。端末
の公開鍵の生成ｋ、センター発行の公開情報を用いるた
め、あえて公開鍵の完全性を独立に確認する必要はない
。

また、特許請求の範囲第２項記載の構成によって、各端
末が相手端末の公開鍵生成に必要な計算量を、べき乗剰
余演算２回にすることが可能である。また特許請求の範
囲第３項記載の構成によって、さらに計算量をべき乗剰
余演算１回に削減可能である。

また特許請求の範囲第４項記載の構成によって、公開鍵
の完全性の確認を独立に行なうことも可能としている。

実施例 第１図は本発明の第１の実施例におけるシステム構成の
概略を示すものであって、１０は端末情報発行センター
、２０は第１の端末、３０は第２の端末、４０はセンタ
ーと端末間で設定されている通信路、５０は第１の端末
と第２の端末間で設定されている通信路である。

第２図は本発明の第１の実施例による鍵生成方式におけ
る、１）システム初期設定ステップ、２）端末情報請求
ステップ、３）端末情報発行ステップの各ステップの概
略を示し、第３図は、４）端末情報転送ステップ、５〕
公開鍵生成ステップの各ステップの概略を示している。

次に第１の実施例における鍵生成方式の動作について第
２図および第３図を使って詳細に説明する。

工）システム初期設定ステップ センターは以下の手順でシステムを構成する。

［１］大きな素数または素数のべき乗値ｑとＧＦ（ｑ）
の原始光ｇを生成し、ｑを１１の法格納部ｋ、ｇを１２
の原始光格納部に格納する。

（２］センターの秘密鍵Ｘを決定し、１３の秘密鍵格納
部に格納し、１４の一方向性関数Ｆにセンターの秘密鍵
Ｘを入力して Ｙ＝Ｆ　（Ｘ）　＝ｇ”　　ＩＩＩｏｄ　Ｑ　　　（１
）を生成する。（ｑ、ｇ、Ｙ）と公開鍵生成ステップに
おいて使用する公開鍵生成関数Ｐをセンターの公開情報
として各端末に公開する。

２）端末情報請求ステップ 端末ｉは２１の識別情報格納部に格納された端末ｉ固有
の識別情報ＩＤｉを４１の端末情報の請求用の通信路を
通じて、センターに通知し、端末情報の発行を請求する
。なお、４１の端末情報の請求用の通信路は、相手端末
の正当性を確認できる通信路（認証可能な通信路）であ
るとする。

３）端末情報発行ステップ 端末ｉからの端末情報発行の請求に対して、センターは
端末情報の発行を以下の手順で行なう。

［１］センターは端末量の正当性をｙｉ認する。

［２］１５の乱数生成装置を用いて乱数ｋｉを発生する
。

［３］乱数ｋｉを１４の一方向性関数に入力して端末の
公開値 ｙｉ＝ｇ”　　ｍｏｄｑ　　　　　　（２）を生成し、
センターの秘密鍵Ｘと端末ｉの公開値ｙｉと乱数ｋｉと
端末ｉの識別情報ＩＤｉを１６の第１の秘密鍵生成関数
Ｓに入力して端末の秘密鍵ｘｉ＝Ｓ　（Ｘ、ｙｉ、ｋｉ
、ＩＤ１）　＝×Ｘｙｉ＋ｋｉＸＩＤｉｒｏｄ　φ（３
） を生成し、４２の端末情報発行用通信路を通して端末ｉ
に発行する。ここでφはｑのオイラー関数値を示す。

なお、４２の端末情報発行用通信路は、外部に対して安
全な通信路とする。例えばＩＣカードなどの物理的に安
全なメモリを媒体とする。

以上のステ、ブは端末がこのシステムに加入するときＤ
こ一度だけ実行されるステップである。

４）端末公開情報転送ステップ 端末ｉは、端末」ｋ、２１の格納部に格納された識別情
報Ｉ　Ｄ　ｉと２２の格納部格納されたセンター発行の
端末ｉの公開値ｙｉを、５１の端末情報転送用通信路を
通して送付する。

５）公開鍵生成ステップ 端末ｊは、受は取った（ＩＤｉ、ｙｉ）を、３１の第１
の公開鍵生成関数Ｐに入力して、端末ｉの公開鍵Ｐｉ＝
Ｐ　（Ｙ、ｙｉｊＤｉ）　−（Ｙ”）Ｘ（ｙｉ”’）　
ｍｏｄｑを生成する。

このようにして、センターの公開情報と端末の公開情報
を用いて、相手端末の公開鍵を生成する。

なお上述の手順で、相手端末の公開鍵を生成したのち、
次のステップとして、その公開鍵を用いて、さまざまな
公開鍵暗号系プロトコルが実現できる。

ここでは、−例として相手認証プロトコルの例について
以下で述べるが、他の公開鍵を用いた暗号プロ］・コル
に置き換えることもできる。

ここで示す相手認証プロトコルは、チャラムと木崎によ
って提案された相手認証方式をもとにし構成される例で
あり、第６図に概略を示す。なお、チャラムと木崎が提
案した認証方式については、”アン　インブルーブト　
ブロトコルフォーデモンストレーティングポゼション　
オブ　ディスクリート　ロガリズムズ　アント　サム　
ジェネラリゼイションズ”ユーロクリプト８７（Ｄ、Ｃ
ｈａｕｍ；Ａｎ　ｉｍｐｒｏｖｅｄ　ｐｒｏｔｏｃｏｌ
　ｆｏｒ　ｄｅｍｏｎｓｔｒａｔｉｎｇ　ｐｏｓｓｅｓ
ｓｉｏｎ　ｏｆ　ｄｉｓｃｒｅｔｅ　ｌｏｇａｒｉｔｈ
ｍｓ　ａｎｄ　ｓｏｍｅ　ｇｅｎｔ３１ａｌ　１ｚａｔ
ｉｏｎｓ″、　ＥＵＲＯＣＲＹＰＴ８７）、または、”
アノード　オン　ゼロルジ　プルーフ　フォーサ　ディ
スクリート　ロガリズム　プロブレム”、ザ　トランザ
クション　オプ　ザ　アイイーアイシーイー１９８８（
Ｋ、Ｋｉｚａｋｉ：’Ａ　ｎｏｔｅ　ｏｎ　ｚｅｒｏ−
ｋｎｏｗｌｅｄｇｅ　ｐｒｏｏｆ　ｆｏｒ　ｔｈｅ　ｄ
ｉｓｃｒｅｔｅ　ｌｏｇａｒｉｔｈｍ　ｐｒｏｂｌｅｍ
″、Ｔｈｅ　Ｔｒａｎｓ、ｏｆ　ｔｈｅ　ＩＥＩＣＥ、
Ｖｏｌ、Ｅ７１．Ｎｏ、１．Ｊａｎｕａｒｙ、　１９８
８）に詳しい。

端末ｉが端末Ｊに自分の正当性を証明する場合について
説明する。なお端末」は、既に端末工の公開鍵Ｐｉを上
述の手順で生成しているものとする。

６）相手認証ステップ ［１］端末１は、乱数Ｒｉを発生し、 Ｃ３＝ｇ”　　ｍｏｄｑ を計算し、端末ｊに送付する。

（２］端末ｊは、乱数Ｅを端末ｉに送付する。

［３）端末ｉは、自身の秘密鍵ｘｉを用いて、Ｃ２＝Ｅ
Ｘｘｉ　＋Ｒｉ　　ｍｏｄφ を計算し、端末ｊに送付する。

［４］端末ｊは、検証式 ％式％ が成立するか否かを検査し、検証式が成り立つ場合には
相手端末がまさに端末ｊであると認識する。

上記第１の実施例における特徴は以下のとおりである。

（１）センターが、各端末に対して、各端末の秘密鍵Ｘ
と端末の公開値ｙｉ　（公開鍵ではない）を生成する。

（２）各端末は、センターの公開情報Ｙと相手端末の公
開情報（公開値ｙｉと識別情報ＩＤ１）を用いて、相手
端末の公開鍵Ｐ】を生成する。

（３）生成された公開鍵Ｐｉを用いて、任意の離散対数
演算ヘースの公開鍵暗号系プロトコルを構成できる。

（４）公開鍵の生成に必要となる計算量は、ｍｏｄｑ上
のべき乗剰余演算２回である。なお、端末ｉが自身の秘
密鍵ｘｉを用いて、自分の公開鍵Ｖｉ＝ｇ”　　ｍｏｄ
ｑ を求め、端末ｊに送付し、端末ｊはＶｉを第１の公開鍵
生成関数Ｐで求めた公開鍵Ｐｉと比較することによって
公開鍵の完全性を単独に確認することもできる。

また、第１の秘密鍵の生成関数を次式の関数に置き換え
てもよい。

ｘｉ＝Ｓ　（Ｘ、ｙｉ、ｋｉ、ＩＤ１）　＝×ＸＴＤｉ
＋ｙｉＸｋｉＩｌｌＯｄφ この時、第１の公開鍵生成関数は、 Ｐｉ＝Ｐ　　（Ｙ、ｙｉ、ＩＤ１）　　＝（Ｙ”’）Ｘ
（ｙｉ”）　　ｍｏｄｑとなる。

第４図は本発明の第２の実施例による鍵生成方式におけ
る、１）システム初期設定ステップ、２）端末情報請求
ステップ、３）端末情報発行ステップの各ステップの概
略を示し、第５図は、４）端末情報転送ステ、プ、５）
公開鍵生成ステップの各ステ。

ブの概略を示している。

次に第２の実施例における鍵生成方式の動作について第
４図および第５図を使って詳細に説明する。この実施例
は、第１の実施例にハツシュ関数を導入することによっ
て、公開鍵生成における計算量を削減するものである。

なお、ハツシュ関数の計算量はべき乗剰余演算に比べて
極めて小さいとしている。

１）システム初期設定ステップ センターは以下の手順でシステムを構成する。

［１）大きな素数または素数のべき乗値ｑとＧＦ（ｑ）
の原始光ｇを生成し、ｑを１１の法格納部に格納し、ｇ
を１２の原始光格納部に格納する。

：２゛センターの秘密鍵Ｘを決定二、】３の秘密鍵格納
部ユニ格納し、■４の一方向性関数Ｆにセンターの秘密
鍵Ｘを入力巳で Ｙ＝Ｆ　　（Ｘ）　＝＠ｙｍｏｄ　ｑ　　　（５）を生
成する。

［３）ハツシュ関数ｈａｓｈ（）を決定し、公開する。

ここでハツシュ関数とは、複数の入力データに対′−て
それらに依存した１縮データを出力する関数のことであ
る。センターの公開情報と二で（Ｑ、ｇ。

Ｙ）と、ハツシュ関数ｈａｓｈ（）と、公開鍵生成ステ
ップにおいて使用する公開鍵生成関数Ｐを各端末に公開
する。

２）端末情報請求ステップ 端末ｊは２】の識別情報格納部に格納された端末ｉ固を
の識別情報ＩＤｉを４１０端末情報の請求用の通信路を
通じて、センター二二通知し、端末情報の発行を請求す
る。なお、４１の端末情報の請求用の通信路は、相手端
末の正当性を確認できる通信路（認証可能な通信路）で
あるとする。

３）端末情報発行ステップ 端末】からの端末情報発行の請求に対しで、センターは
端末情報の発行を以下の手順で行なう。

１１］センターは端末ｉの正当性を確認１する。

［２０５の乱数生成装置を用いて乱数に１を発生する。

１３）乱数ｋ］を１４の一方向性関数に入力して端末の
公開値 Ｖｉ　＝　ｇｋｌｍｏｄｑ　　　　（６）を生成し、識
別情報ｒ旧と乱数に１とセンターの秘密鍵χと端末の公
開値ｙｉを１７の第２の秘密鍵生成関数Ｓに入力して端
末の秘密鍵 ｘｉ＝Ｓ　（Ｘ、ｙｉ、ｋｉ、ＩＤ１）　−ｈａｓｈ（
ＩＤｉ、ｙｉ）ｘＸ＋ｋｉ　　ｍｏｄ　φ ＝×Ｘｈｉ＋ｋｉ　　ｍｏｄ　φ を生成し、４２の端末情報発行用通信路を通して端末ｉ
に発行する。ここでφはｑのオイラー関数値を示す。

なお、４２の端末情報発行用通信路は、外部↓二対して
安全な通信路とする。例えばＩＣカートなどの物理的５
二安全なメモリを媒体として発行することにより実現す
る。

以上のステップは端末がこのンステムに加入するときに
一度だけ実行されるステップである。

４）端末公開情報転送ステ・ノブ 端末１は、端末」ｋ、２１の識別情報格納部に格納され
た識別情報Ｉ　Ｄ　ｉと２２の格納部格納されたセンタ
ー発行の端末ｊの公開値ｙｉを、５１の端末情報転送用
通信路を通して送付する。

５）公開鍵生成ステップ 端末ｊは、受は取った（ＩＤｉ、ｙｉ）を、３２の第２
の公開鍵生成関数Ｐに入力して、端末ｉの公開鍵Ｐｉ＝
Ｐ　（ｙｉ、ＩＤｉ、Ｙ）　＝Ｙ”ｓ）＋Ｄ””×ｙｊ
　ｍｏｄｑ＝（Ｙ′′）×ｙｉ　　ｍｏｄｑ　（８）を
生成する。

このようにして、センターの公開情報と端末の公開情報
を用いて、相手端末の公開鍵を生成する。

なお上述の手順で、相手端末の公開鍵を生成したのち、
第１の実施例と同様ｋ、次のステップとして、その公開
鍵を用いで、さまざまな公開鍵暗号系プロトコルが実現
できる。

以上の第２の実施例にお：する特徴は、第１の実施例の
（１）〜（４）の特ｆ’Ｔｈ４こ加え、（５）公開鍵生
成までの計算量が、べき乗剰余演算１回とハツシュ関数
の演算１回で済むという点もある。

なお、端末ｉが自身の秘密鍵ｘｉを用いて、自分の公開
鍵 Ｖｉ＝ｇ”　　ｍｏｄｑ を求め、端末ｊに送付し、端末ｊ　は、このｖｌと、第
２の公開鍵生成関数Ｐを用いて生成した公開鍵Ｐｉを比
較することによって公開鍵の完全性を単独に確認するこ
ともできる。

また、第２の秘密鍵の生成関数を次式の関数に置き換え
てもよい。

ｘｉ＝Ｓ　（Ｘ、ｙｉ、ｋｊ、ＩＤ１）　＝Ｘ−ｈａｓ
ｈ（ＩＤｉ、ｙｉ）Ｘｋｉ　　ｍｏｄ　φ ＝Ｘ−＋−ｈｉＸｋｉ　　ｍｏｄφ この時、第２の公開鍵生成関数は、 Ｐｉ＝Ｐ　（Ｙ、ｙｉ、ＩＤ１）　＝Ｙ×ｙｉ””””
””　ｍｏｄｑ＝　Ｙ　Ｘ　　（ｙｉ”）　　ｍｏｄｑ
となる。

発明の効果 以上の説明から明らかなように本発明は、各端末が、セ
ンターの公開情報と、相手端末の公開情報（センター発
行の端末の公開値と端末の識別情報）を用いて、公開鍵
を生成する方式であるので、本発明による公開鍵生成方
式で生成した公開鍵を用いれば、相手認証、暗号通信、
署名などの公開鍵暗号系プロトコルを実現できると共ｋ
、その場合、従来独立に必要であった公開鍵の完全性確
認のステップを省略することができるという効果がある
。また、各端末が各自の秘密鍵を用いて直接生成じだ検
証用公開鍵と、各端末が、相手端末の公開情報から生成
した公開鍵を比較することで、公開鍵の完全性確認を独
立に行なうことも可能であるという効果もある。

蛍ｋ、公開鍵の生成に必要な計算量が、従来の技術では
べき乗剰余演算３回であったが、本発明では、べき乗剰
余演算２回に削減でき、さらにハフ・シュ関数を導入す
ることによって、べき乗剰余演算１回に削減している。

なお、本発明（こおいては端末の秘密鍵はセンターが生
成するので、センターから端末への配送には物理的安全
性が保証されたＴＣカートなどの媒体を用いることが必
要である。

【図面の簡単な説明】

第１図は本発明の第１の実施例による鍵生成方式のシス
テムの構成図。第２図は本発明の第１の実施例の構成図
（１）。第３図は本発明の第】の実施例の構成図（２）
。第４図は本発明の第２の実施例の構成図（１）。第５
図は本発明の第２の実施例の構成図（２）。第６図は従
来の技術による相手認証プロトコル。 １０・・・端末情報発行センター、２０・・・第１の端
末、３０・・・第２の端末、４０・・・センター・端末
間通信路、５０・・・第１の端末・第２の端末間通信路
、１１・・・法格納部、３１・・・第１の公開鍵生成関
数、１２・・・原始光格納部、３２・・・第２の公開鍵
生成関数、１３・・・秘密鍵格納部、４１・・・端末情
報発行請求用通信路、１４・・・一方向性関数、４２・
・・端末情報発行用通信路、１５・・・乱数生成装置、
５１・・・端末情報転送用通信路、１６・・・第１の秘
密鍵生成関数、１７・・・第２の秘密鍵生成関数、２２
・・・公開個格納部、２１・・・識別情報格納部。 代理人　　弁理士　　中　島　司　朗

Claims (8)

【特許請求の範囲】
1. （１）固有の識別情報を有する第１の端末と第２の端末
   とこれらを含むネットワークと端末情報発行センターで
   構成されるシステムにおいて、 前記端末情報発行センターが、センターの秘密鍵Ｘと、
   端末の秘密鍵を生成するためのある秘密鍵生成関数Ｓを
   有し、端末の公開鍵を生成するためのある公開鍵生成関
   数Ｐと、ある一方向性関数Ｆと、前記センターの秘密鍵
   Ｘを前記一方向性関数Ｆに入力したときの出力値Ｙ＝Ｆ
   （Ｘ）を、センターの公開情報として、前記第１および
   第２の端末に通知するシステム初期設定ステップと、前
   記第１の端末が、第１の端末固有の識別情報ｉを前記端
   末情報発行センターに通知し、前記第１の端末の端末情
   報として、前記第１の端末の秘密鍵と公開値の発行を請
   求する端末情報請求ステップと 前記第１の端末からの端末情報発行請求を受けた前記端
   末情報発行センターが、前記第１の端末の公開値として
   、ある乱数値にを前記一方向性関数Ｆに入力したときの
   出力値ｙ＝Ｆ（ｋ）を生成し、前記第１の端末の秘密鍵
   として、前記センターの秘密鍵Ｘと、前記第１の端末の
   公開値ｙと、前記乱数値ｋと、前記第１の端末の識別情
   報ｉを前記秘密鍵生成関数Ｓに入力したときの出力値ｘ
   ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） を生成し、前記第１の端末の公開値ｙと、前記第１の端
   末の秘密鍵ｘを前記第１の端末の端末情報として発行す
   る端末情報発行ステップと、 前記端末情報発行センターから端末情報の発行を受けた
   前記第１の端末が、前記第２の端末に対して、前記第１
   の端末の公開情報として、前記第１の端末の公開値ｙと
   識別情報ｉを、前記通信ネットワークを介して転送する
   端末公開情報転送ステップと、 前記第１の端末から前記端末公開情報の転送を受けた前
   記第２の端末が、前記第１の端末の公開鍵として、前記
   センターの公開情報Ｙと、前記第１の端末の公開値ｙと
   、前記第１の端末の識別情報ｉを前記公開鍵生成関数Ｐ
   に入力したときの出力値 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） を生成する公開鍵生成ステップから構成されることを特
   徴とした公開鍵生成方式。
2. （２）請求項１記載の公開鍵生成方式において、ｑを素
   数もしくは素数のべき乗値とし、ｇを前記ｑを法とする
   剰余体の原始元とし、ｕを前記剰余体のある元としたと
   き、前記一方向性関数Ｆとして、前記ｑを法とし、前記
   ｕを入力とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）＝ｇ＾ｕｍｏｄｑ を出力する関数を使用し、φを前記ｑのオイラー関数値
   としたとき、前記秘密鍵生成関数Ｓとして、前記φを法
   とし、センターの秘密鍵Ｘと第１の端末の公開値ｙの積
   と、センターの生成した乱数値ｋと第１の端末の識別情
   報ｉの積との和 ｘ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） ＝Ｘ×ｙ＋ｋ×ｊｍｏｄφ を出力する関数を使用し、前記公開鍵生成関数Ｐとして
   、前記ｑを法とし、前記第１の端末の公開値ｙをべきと
   した前記センターの公開情報Ｙのべき乗剰余値と、前記
   第１の端末の識別情報ｉをべきとした前記第１の端末の
   公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） ＝（Ｙ＾ｙ）×（ｙ＾ｉ）ｍｏｄｑ を出力する関数を使用することを特徴とする公開鍵生成
   方式。
3. （３）請求項１記載の公開鍵生成方式において、ｑを素
   数もしくは素数のべき乗値とし、ｇを前記ｑを法とする
   剰余体の原始元とし、ｕを前記剰余体のある元としたと
   き、前記一方向性関数Ｆとして、前記ｑを法とし、前記
   ｕを入力とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）＝ｇ＾ｕｍｏｄｑ を出力する関数を使用し、φを前記ｑのオイラー関数値
   としたとき、前記秘密鍵生成関数Ｓとして、前記φを法
   とし、前記第１の端末の公開値ｙと前記第１の端末の識
   別情報ｉをある公開の関数Ｈに入力したときに得られる
   出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セン
   ターの生成した乱数値ｋとの和 ｘ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） ＝Ｈ（ｙ、ｉ）×Ｘ＋ｋｍｏｄφ ＝ｈ×Ｘ＋ｋｍｏｄφ を出力する関数を使用し、前記公開鍵生成関数Ｐとして
   、前記ｑを法とし、前記第１の端末の公開値ｙと前記第
   １の端末の識別情報ｉを前記関数Ｈに入力したときに得
   られる出力値ｈをべきとした前記センターの公開情報Ｙ
   のべき乗剰余値と、前記第１の端末の公開値ｙとの積 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） ＝（Ｙ＾Ｈ＾（＾ｙ＾、＾ｉ＾））×ｙｍｏｄｑ＝（Ｙ
   ＾ｈ）×ｙｍｏｄｑ を出力する関数を使用することを特徴とする公開鍵生成
   方式。
4. （４）請求項１記載の公開鍵生成方式であって、前記端
   末情報の発行ステップの後に、前記第１の端末が、検証
   用公開鍵として、前記第１の端末の秘密鍵ｘを前記一方
   向性関数Ｆに入力したときの出力値Ｖ＝Ｆ（ｘ）を生成
   する検証用公開鍵生成ステップを追加し、 前記端末公開情報転送ステップにおいて、前記第１の端
   末が、前記第２の端末に、前記検証用公開鍵Ｖと、前記
   第１の端末の識別情報ｉと、前記第１の端末の公開値ｙ
   を、前記第１の端末の公開情報として前記通信ネットワ
   ークを介して転送し、前記第１の端末から端末公開情報
   の転送を受けた前記第２の端末が、前記公開鍵生成ステ
   ップの後に、前記公開鍵生成ステップで生成された前記
   第１の端末の公開鍵Ｃと前記検証用公開鍵Ｖを比較し、
   一致するか否かを確認する公開鍵確認ステップを追加す
   ることを特徴とした公開鍵生成方式。
5. （５）固有の識別情報を有する第１の端末と第２の端末
   とこれらを含むネットワークと端末情報発行センターで
   構成されるシステムであって、 前記端末情報発行センターは、センターの秘密鍵Ｘと、
   端末の秘密鍵を生成するためのある秘密鍵生成関数Ｓを
   有し、端末の公開鍵を生成するためのある公開鍵生成関
   数Ｐと、ある一方向性関数Ｆと、前記センターの秘密鍵
   Ｘを前記一方向性関数Ｆに入力したときの出力値Ｙ＝Ｆ
   （Ｘ）を、センターの公開情報として、前記第１および
   第２の端末に通知するシステム初期設定部と、 前記第１の端末は、第１の端末固有の識別情報ｉを前記
   端末情報発行センターに通知し、前記第１の端末の端末
   情報として、前記第１の端末の秘密鍵と公開値の発行を
   請求する端末情報請求部と、前記第１の端末からの端末
   情報発行請求を受けた前記端末情報発行センターが、前
   記第１の端末の公開値として、ある乱数値ｋを前記一方
   向性関数Ｆに入力したときの出力値ｙ＝Ｆ（ｋ）を生成
   し、前記第１の端末の秘密鍵として、前記センターの秘
   密鍵Ｘと、前記第１の端末の公開値ｙと、前記乱数値ｋ
   と、前記第１の端末の識別情報ｉを前記秘密鍵生成関数
   Ｓに入力したときの出力値ｘ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） を生成し、前記第１の端末の公開値ｙと、前記第１の端
   末の秘密鍵ｘを前記第１の端末の端末情報として発行す
   る端末情報発行部と、 前記端末情報発行センターから端末情報の発行を受けた
   前記第１の端末が、前記第２の端末に対して、前記第１
   の端末の公開情報として、前記第１の端末の公開値ｙと
   識別情報ｉを、前記通信ネットワークを介して転送する
   端末公開情報転送部と、 前記第１の端末から前記端末公開情報の転送を受けた前
   記第２の端末が、前記第１の端末の公開鍵として、前記
   センターの公開情報Ｙと、前記第１の端末の公開値ｙと
   、前記第１の端末の識別情報ｉを前記公開鍵生成関数Ｐ
   に入力したときの出力値 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） を生成する公開鍵生成部から構成されることを特徴とし
   た公開鍵生成システム。
6. （６）請求項５記載の公開鍵生成システムにおいて、ｑ
   を素数もしくは素数のべき乗値とし、ｇを前記ｑを法と
   する剰余体の原始元とし、ｕを前記剰余体のある元とし
   たとき、前記一方向性関数Ｆとして、前記ｑを法とし、
   前記ｕを入力とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）＝ｇ＾ｕｍｏｄｑ を出力する関数を使用し、φを前記ｑのオイラー関数値
   としたとき、前記秘密鍵生成関数Ｓとして、前記φを法
   とし、センターの秘密鍵Ｘと第１の端末の公開値ｙの積
   と、センターの生成した乱数値ｋと第１の端末の識別情
   報ｉの積との和 ｘ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） ＝Ｘ×ｙ＋ｋ×ｉｍｏｄφ を出力する関数を使用し、前記公開鍵生成関数Ｐとして
   、前記ｑを法とし、前記第１の端末の公開値ｙをべきと
   した前記センターの公開情報Ｙのべき乗剰余値と、前記
   第１の端末の識別情報ｉをべきとした前記第１の端末の
   公開値ｙのべき乗剰余値との積 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） ＝（Ｙ＾ｙ）×（ｙ＾ｉ）ｍｏｄｑ を出力する関数を使用することを特徴とする公開鍵生成
   システム。
7. （７）請求項５記載の公開鍵生成システムにおいて、ｑ
   を素数もしくは素数のべき乗値とし、ｇを前記ｑを法と
   する剰余体の原始元とし、ｕを前記剰余体のある元とし
   たとき、前記一方向性関数Ｆとして、前記ｑを法とし、
   前記ｕを入力とする前記ｇのべき乗剰余値 ｖ＝Ｆ（ｕ）＝ｇ＾ｕｍｏｄｑ を出力する関数を使用し、φを前記ｑのオイラー関数値
   としたとき、前記秘密鍵生成関数Ｓとして、前記φを法
   とし、前記第１の端末の公開値ｙと前記第１の端末の識
   別情報ｉをある公開の関数Ｈに入力したときに得られる
   出力値ｈと、前記センターの秘密鍵Ｘの積と、前記セン
   ターの生成した乱数値ｋとの和 ｘ＝Ｓ（Ｘ、ｙ、ｋ、ｉ） ＝Ｈ（ｙ、ｉ）×Ｘ＋ｋｍｏｄφ ＝ｈ×Ｘ＋ｋｍｏｄφ を出力する関数を使用し、前記公開鍵生成関数Ｐとして
   、前記ｑを法とし、前記第１の端末の公開値ｙと前記第
   １の端末の識別情報ｉを前記関数Ｈに入力したときに得
   られる出力値ｈをべきとした前記センターの公開情報Ｙ
   のべき乗剰余値と、前記第１の端末の公開値ｙとの積 Ｃ＝Ｐ（Ｙ、ｙ、ｉ） Ｈ（Ｙ＾Ｈ＾（＾ｙ＾、＾ｉ＾））×ｙｍｏｄｑ＝（Ｙ
   ＾ｈ）×ｙｍｏｄｑ を出力する関数を使用することを特徴とする公開鍵生成
   システム。
8. （８）請求項５記載の公開鍵生成システムであって、前
   記端末情報の発行ステップの後に、前記第１の端末が、
   検証用公開鍵として、前記第１の端末の秘密鍵ｘを前記
   一方向性関数Ｆに入力したときの出力値Ｖ＝Ｆ（ｘ）を
   生成する検証用公開鍵生成ステップを追加し、 前記端末公開情報転送ステップにおいて、前記第１の端
   末が、前記第２の端末に、前記検証用公開鍵Ｖと、前記
   第１の端末の識別情報ｉと、前記第１の端末の公開値ｙ
   を、前記第１の端末の公開情報として前記通信ネットワ
   ークを介して転送し、前記第１の端末から端末公開情報
   の転送を受けた前記第２の端末が、前記公開鍵生成ステ
   ップの後に、前記公開鍵生成ステップで生成された前記
   第１の端末の公開鍵Ｃと前記検証用公開鍵Ｖを比較し、
   一致するか否かを確認する公開鍵確認ステップを追加す
   ることを特徴とした公開鍵生成システム。