JPH04216587A - 公開鍵生成方法と鍵共有方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】データの秘匿や認証のために用い
られる暗号方法の１つに公開鍵暗号方式がある。公開鍵
暗号方式においては、公開鍵の完全性を確保することが
セキュリティ上重要である。本発明は端末の識別情報を
用いて公開鍵の完全性を確保する方法に関する。

【０００２】

【従来の技術】暗号方式の１つである公開鍵暗号方式は
、秘密に保持する鍵の種類が少ないため、端末数の多い
大規模ネットワークに適し、近年特に注目されている。 公開鍵暗号方式においては、公開鍵の完全性を確保する
ことが重要である。即ち、端末Ａの公開鍵として使用す
るデータが、間違いなくＡの公開鍵であることが保証さ
れていなければならない。

【０００３】ここでは、端末の識別情報（以降では、Ｉ
Ｄと称する）を用いて公開鍵の完全性を確保する方法に
ついて述べる。なお、ＩＤとは氏名、住所など誰でも知
っているその端末独自の識別情報で、いちいちリストに
して保持しなくても見るだけで相手がわかる情報である
。 （第１の従来例） ＩＤを用いて公開鍵の完全性を確保する第１の従来例と
して、公開情報とＩＤの対の情報に信頼のおける管理機
関（センター）が署名する方法がある。図３は、この種
の従来例であり、特にセンターの署名としてエルガマル
署名を用いた場合の手順を示したものである。なお、エ
ルガマル署名は離散対数問題の難しさをもとにした署名
法で、”ア　　パブリック　　キー　　クリプトシステ
ム　　アンド　　シグニチャスキーム　　ベイスト　　
オン　　ディスクリート　　ロガリズム”プロシーディ
ング　　オブ　　クリプト８４（Ｔ．Ｅ．ＥｌＧａｍａ
ｌ：”Ａ　ｐｕｂｌｉｃ　ｋｅｙ　ｃｒｙｐｔｏｓｙｓ
ｔｅｍ　ａｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ　
ｂａｓｅｄ　ｏｎ　ｄｉｓｃｒｅｔｅ　ｌｏｇａｒｉｔ
ｈｍ”，Ｐｒｏｃ．Ｃｒｙｐｔｏ８４）に詳しい。同図
において、１は端末ｉ、２はセンター、３は端末ｊであ
る。以下同図に沿ってこの従来例の手順を説明する。 ＜センターのセットアップのステップ＞（１）センター
は大きな素数ｐを決め、ＧＦ（ｐ）の原始元ｇを公開す
る。なお、ＧＦ（ｐ）はｐを法とする有限体である。 （２）センターの秘密情報Ｘを決め、Ｙ＝ｇＸ　ｍｏｄ
ｐを公開する。なお、ｍｏｄｐはｐで除したときの剰余
の算出を示す。 また、この式においてＸからＹを求めることは容易であ
るが、ＹからＸを求めることはｐが十分に大きいとき困
難である。このことは、離散対数問題としてよく知られ
ている。

【０００４】以上の情報のうち、（Ｘ）をセンターの秘
密情報、（ｐ，ｇ，Ｙ）をセンターの公開情報とする。 ＜端末による秘密鍵／公開鍵生成のステップ＞端末ｉは
秘密鍵ｘｉを決め、それに対する公開鍵ｙｉ＝ｇｘｉｍ
ｏｄｐ　を求める。このｙｉと自分の識別情報ＩＤｉを
センターに通知して、公開鍵ｙｉに対するセンターの署
名の発行を請求する。なお、これ以降の変数における添
字ｉは、任意の端末ｉ用の変数であることを示す。 ＜端末の公開鍵に対するセンターの署名発行のステップ
＞ （１）センターは端末ｉの正当性を確認する。 （２）センターは乱数ｋｉを発生する。 （３）センターは以下の（ｔｉ，ｓｉ）を求め、公開鍵
ｙｉに対する署名として端末ｉに配送する。ここでの署
名は公開可能な情報である。

【０００５】 ｔｉ＝ｇｋｉ　　ｍｏｄｐ ｓｉ＝（ｙｉ｜｜ＩＤｉ−Ｘ×ｔｉ）／ｋｉ　　ｍｏｄ
ｐ−１　（ここで、’　｜｜　’　は情報の結合を示す
）＜公開鍵の確認のステップ＞ 端末ｊは、端末ｉより、公開鍵ｙｉと共に上記署名（ｔ
ｉ，ｓｉ）を得る。そして ｇｙｉ｜｜ＩＤｉ＝Ｙｔｉ　×ｔｉｓｉ　　ｍｏｄｐ…
［１］が成り立つことにより公開鍵ｙｉの正当性を確認
する。

【０００６】ここで、ｙｉに対して上記式を満たす（ｔ
ｉ，ｓｉ）は、Ｘを知っているセンターしか作ることが
できない。従って、公開鍵ｙｉの完全性が確保できる。

【０００７】以上説明した公開鍵の完全性確保のための
第１の従来例は、以下のような課題を有する。 （１）端末ｉは公開鍵ｙｉと、それに対するセンターの
署名ｔｉ，ｓｉを常に対にして、相手端末に送る必要が
ある。 （２）［１］式に見られるように、端末ｊはセンターの
署名の正当性確認にＧＦ（ｐ）上のべき乗剰余演算を３
回行なう必要がある。離散対数問題が困難であるために
はｐは例えば５００ビット程度の数にしなければならな
い。この時この３回のべき乗剰余演算には多大な計算労
力が伴う。 （３）この公開鍵を用いて相手の認証や署名の確認を行
なう場合、まず、公開鍵の正当性確認を行なってから相
手や署名の正当性確認を行なう必要がある。すなわち、
２段構えの確認が必要となる。 （第２の従来例） 上述の第１の実施例の課題を改善する１つの手法として
従来から提案されている方法に、公開鍵生成方法がある
。公開鍵生成方法は、通信相手の公開鍵を、センターの
公開情報と通信相手のＩＤと通信相手からの情報を用い
て生成することによって、生成した公開鍵の完全性を確
保する方法である。ここで生成される公開鍵はＩＤによ
る間接的な認証機能を含んでいるため、完全性を確認せ
ずに用いることができる。

【０００８】公開鍵生成方法の例としては、特開昭６３
−３１４５８６で提案されている方法がある。　　この
従来例の手順を第４図に示す。同図において、１は端末
ｉ、２はセンター、３は端末ｊである。以下同図に沿っ
てこの従来例の手順を説明する。 ＜センターのセットアップのステップ＞（１）センター
は大きな秘密の素数ｐ，ｑを定め、ｎ＝ｐ×ｑを求める
。ＧＦ（ｐ），ＧＦ（ｑ）の共通原始元ｇを決定する。 （２）センターの秘密情報ｄを定め、ｅ×ｄ＝１　ｍｏ
ｄＬを満たすｅを求める。なお、ＬはＬＣＭ（ｐ−１，
ｑ−１）即ち、ｐ−１とｑ−１の最小公倍数である。ま
た、ここで公開のｅからｄを求めることはｎの素因数分
解に依存して困難である。センターは、（ｄ，ｐ，ｑ）
をセンターの秘密情報、（ｎ，ｅ，ｇ）をセンターの公
開情報とする。 ＜端末の秘密鍵生成のステップ＞ 端末ｉはセンターに自分の識別情報ＩＤｉを示して、秘
密鍵の生成を請求する。これに対し、センターは端末ｉ
の正当性を確認し、センターの秘密情報ｄを用いて端末
ｉの秘密鍵ｓｉ＝ＩＤｉ−ｄ　　ｍｏｄｎを生成し、秘
密の通信路を用いて端末ｉに配送する。 ＜端末の公開鍵生成のステップ＞ 端末ｊが端末ｉの公開鍵を生成する場合について説明す
る。 （１）端末ｉは乱数ｒｉ　を生成し、以下の送信データ
ｘｉを生成し、自身のＩＤとともに端末ｊに配送する。

【０００９】 ｘｉ＝ｓｉ×ｇｒｉ　　ｍｏｄｎ （２）上記ｘｉと端末ｉのＩＤを受け取った端末ｊは、
以下の計算を行なう。

【００１０】 ｙｉ＝ｘｉｅ×ＩＤｉ　　ｍｏｄｎ ここで、 上記右辺＝（ｓｉ×ｇｒｉ　　ｍｏｄｎ）ｅ×ＩＤｉ　
　ｍｏｄｎ＝ＩＤｉ−１×ＩＤｉ×　ｇｅ＊ｒｉ　　ｍ
ｏｄｎ＝ｇｅ＊ｒｉ　　ｍｏｄｎが成り立つため、この
値を離散対数をもとにした暗号系における、端末ｉの秘
密鍵ｅ×ｒｉに対する公開鍵ｙｉと考えることができる
。

【００１１】

【発明が解決しようとする課題】しかしながらここに示
した従来の公開鍵生成方法（第２の従来例）では、セン
ターが端末の秘密鍵を生成して配送するため、次のよう
な課題を有する。 （１）センターが端末の秘密鍵を生成するため、センタ
ーによる端末の秘密鍵を用いた攻撃が可能となる。その
ため、この公開鍵生成方法はセンターが完全に信頼でき
る場合にしか用いることができない。 （２）センターが端末に秘密鍵を配送する際、秘密の通
信路が必要である。例えばＩＣカードを配送時の媒体と
して用いることが必要である。 （３）端末が秘密鍵を紛失したときに、新たな秘密鍵の
再発行が困難である。これは、端末の秘密鍵が端末のＩ
Ｄとセンターの固定の秘密鍵から一意的に決定されるか
らである。そのため、ある端末の秘密鍵を再発行するに
はセンターの秘密鍵を変更し、他の端末の秘密鍵をも再
発行する必要がある。

【００１２】本発明は、従来例における上述の課題に鑑
みて試されたもので、以下の特徴を持つ公開鍵生成方法
を提供することを目的とする。 （ａ）センターが端末の秘密鍵を知りえない。 （ｂ）センターが端末に端末情報を配送する際、公開の
通信路を用いることができる。 （ｃ）端末の秘密鍵の更新が容易である。

【００１３】

【課題を解決するための手段】本発明は、固有の識別情
報を有する第１の端末と第２の端末とこれらを接続する
ネットワークと端末情報発行センターを用いた公開鍵生
成方法であって、センターが、素数もしくは素数のべき
乗値ｐと、ｐを法とする剰余体の原始元ｇと、公開の関
数ｈを決定し、ｐを法とし、センターの秘密鍵Ｘをべき
とする前記ｇのべき乗剰余値Ｙをセンターの公開鍵とし
て決定し、ｐ，ｇ，ｈおよびＹをセンターの公開情報と
して第１、第２の端末に通知するシステム初期設定ステ
ップと、第１の端末が乱数ｘを発生し、ｐを法として乱
数ｘをべきとするｇのべき乗剰余値ｙと第１の端末の識
別情報をセンターに通知し、端末情報を請求する端末情
報請求ステップと、センターが、乱数ｒを発生し、ｐを
法として乱数ｒをべきとするｇのべき乗剰余値と第１の
端末からの送信データｙの積ｔを求め、このｔと第１の
端末の識別情報を公開の関数ｈに入力し、ｐのオイラー
関数値を法としてｈの出力値とセンターの秘密鍵Ｘの積
と乱数ｒの和ｓを求め、このｔ，ｓを第１の端末の第１
、第２の端末情報として、第１の端末に発行する端末情
報発行ステップと、第１の端末が、ｐのオイラー関数値
を法として第２の端末情報ｓと乱数ｘの和を第１の端末
の秘密鍵ｕとする秘密鍵生成ステップと、第１の端末が
、第２の端末に第１の端末情報ｔと第１の端末の識別情
報を送信し、第２の端末が、第１の端末情報ｔと第１の
端末の識別情報を公開の関数ｈに入力し、ｐを法として
ｈの出力値をべきとするＹのべき乗剰余値と第１の端末
情報ｔの積を第１の端末の公開鍵とする公開鍵生成ステ
ップから構成されることを特徴とした公開鍵生成方法で
ある。

【００１４】また、公開鍵生成ステップにおいて、ｐを
法とするＹのべき乗剰余値を、あらかじめ計算しておい
た剰余値を用いて求める構成も含んでいる。また、シス
テム初期設定ステップにおいてセンターの複数の秘密鍵
とそれに対する公開鍵を決定し、公開鍵生成ステップに
おいて、このセンターの複数の公開鍵からｈの出力値に
対応した１個以上の公開鍵を選び、ｐを法としてこれら
の積と第１の端末情報ｔの積を第１の端末の公開鍵とす
る構成も含んでいる。

【００１５】

【作用】本発明による公開鍵生成方法では、上述の構成
によって、第２の端末は端末情報発行センターの公開情
報ｐ，ｇ，Ｙと、第１の端末の識別情報と、第１の端末
の端末情報ｔを用いて第１の端末の公開鍵を生成する。 このうち第１の端末の端末情報ｔは端末情報発行センタ
ーの秘密鍵Ｘなしでは都合の良いように改竄や変更がで
きないことが保証されている。従って生成された第１の
端末の公開鍵の完全性が確保され、確認せずにこれを用
いることができる。

【００１６】ここで第２の端末が公開鍵を生成するため
に必要となるべき乗剰余演算は、ｐを法として公開の関
数ｈの出力値をべきとする演算の１回だけである。

【００１７】さらに上述の構成において、センターおよ
び他の端末は第１の端末が秘密に発生した乱数ｘを知り
えない。そのため、センターおよび他の端末はこのｘと
センター生成の端末情報ｓを用いて生成した、第１の端
末の秘密鍵ｕを知りえない。このことによりセンターは
端末情報ｓを、公開の通信路を用いて配送することがで
きる。

【００１８】さらに、端末の秘密鍵生成ステップにおい
て、センターはその場その場で異なった乱数を用いてい
る。そのため、この乱数を変更することによって端末の
秘密鍵の再発行に対応することができる。

【００１９】また、公開鍵生成ステップにおいて、あら
かじめ求めておいた剰余値を用いることによって、べき
乗剰余値をより高速に求めることができる。

【００２０】さらに、べき乗剰余演算部を、平均すると
べき数のビット数の半分の回数の乗算剰余演算で置き換
えることによって、安全性を損なわずに処理を高速にす
ることもできる。

【００２１】

【実施例】図１は本発明の第１の実施例における公開鍵
生成方法の構成を示すものである。同図において１は端
末ｉ、２はセンター、３は端末ｊである。以下同図を参
照しながら第１の実施例の手順を説明する。 ＜センターのセットアップのステップ＞（１）センター
は、素数ｐを生成し、ｐを法とする有限体上の原始元ｇ
を生成する。また、あるハッシュ関数ｈを決定する。こ
こで、ハッシュ関数とは入力データを圧縮する一方向性
の関数であって、出力が一致する入力ペアを求めること
が困難な関数である。 （２）センターは秘密鍵Ｘを決定し、Ｙ＝ｇＸ　ｍｏｄ
ｐを生成する。 （３）（ｐ，ｇ，ｈ，Ｙ）をセンターの公開鍵としてシ
ステムに公開する。 ＜センターによる端末の秘密鍵生成のステップ＞以下で
は、端末ｉの秘密鍵を生成する場合を説明する。 （１）端末ｉは発生した乱数ｘｉを用いて、次のｙｉを
計算し、この生成値ｙｉと自分のＩＤｉをセンターに示
し、端末情報の生成を請求する。

【００２２】 ｙｉ＝ｇｘｉ　ｍｏｄｐ　　　　　　…［２］（２）セ
ンターは各端末ごとに異なる乱数ｒｉを発生し、端末か
ら送られた端末の生成値ｙｉとセンターの秘密鍵Ｘを用
いて、次の端末情報ｓｉ，ｔｉを生成する。

【００２３】 ｔｉ＝ｇｒｉ　×ｙｉ　ｍｏｄｐ　…［３］Ｈｉ＝ｈ（
ｔｉ，ＩＤｉ）　　　　　…［４］ｓｉ＝Ｈｉ×Ｘ＋ｒ
ｉ　　ｍｏｄｐ−１　　　　　　…［５］（３）センタ
ーは端末情報ｓｉ，ｔｉを公開の通信路を用いて端末ｉ
に配付する。 （４）センターからｓｉを受け取った端末ｉは、センタ
ーへの公開情報の請求時に生成した乱数ｘｉを用いて、
次式により自分の秘密鍵　ｕｉを生成する。

【００２４】 ｕｉ＝ｓｉ＋ｘｉ　ｍｏｄｐ−１　　…［６］＜相手の
公開鍵の生成のステップ＞ 端末ｊが端末ｉの公開鍵を生成する場合を説明する。 （１）端末ｊは端末ｉから端末情報ｔｉとＩＤｉを受け
取る。 （２）次の計算をして端末ｉの公開鍵Ｐｉを求める。

【００２５】 Ｈｉ＝ｈ（ｔｉ，ＩＤｉ）　　　　　…［７］Ｐｉ＝Ｙ
Ｈｉ×ｔｉ　ｍｏｄｐ　　…［８］なお、［８］式右辺
＝ＹＨｉ×ｔｉ　ｍｏｄｐ＝ｇＸ＊Ｈｉ×ｇ　ｒｉ　×
ｙｉ　ｍｏｄｐ　　（Ｙの定義と［３］より）＝ｇＨｉ
＊Ｘ×ｇ　ｒｉ　×ｇｘｉ　　ｍｏｄｐ　　（［２］よ
り） ＝ｇＨｉ＊Ｘ＋ｒｉ＋ｘｉ　ｍｏｄｐ＝ｇｓｉ＋ｘｉ　
　ｍｏｄｐ　　　（［５］より）＝ｇｕｉ　　ｍｏｄｐ
　　（［６］より）が成り立つため、［８］式右辺を離
散対数をもとにした暗号系における、秘密鍵ｕｉに対応
する公開鍵Ｐｉと考えてよい。以下では、第１の実施例
の安全性について説明する。 （１）センターの秘密鍵の安全性 本実施例では、センターは端末ｉが送ってきた端末の生
成値ｙｉに対して、自分の秘密鍵Ｘを用いて公開情報ｓ
ｉを生成する。そこで、端末ｉが自分の都合のよいｙｉ
を送り、それに対するｓｉからセンターの秘密鍵を得よ
うとする攻撃が考えられる。ところが、センターは端末
ｉの生成値ｙｉとセンターの秘密鍵Ｘを端末ごとに相異
なる秘密の乱数ｒｉで撹乱してｓｉを生成するため、ｓ
ｉ，ｙｉよりセンターの秘密鍵Ｘを求めることはできな
い。

【００２６】また、センターの公開鍵Ｙから秘密鍵Ｘを
求める攻撃が考えられる。しかしながら、法の数ｐを５
１２ビット程度の大きな素数とし、ｐ−１が大きな素数
を約数にもつようにとると、このことは莫大な計算量を
必要とする。従って、この攻撃に対しては計算量的に安
全であるといえる。

【００２７】次に複数の端末が結託してセンターの秘密
鍵を得ようとする攻撃を考える。もしセンターが同一の
ｒｉを用いて端末ｉ，ｊの秘密鍵ｓｉ，ｓｊを生成して
いる場合、ｉとｊが結託することによってＸ＝（ｓｉ−
ｓｊ）／（Ｈｉ−Ｈｊ）　ｍｏｄｐ−１の式でセンター
の秘密鍵が求められる。しかしながら、センターは端末
の秘密鍵生成ステップにおいて、乱数ｒｉを秘密鍵の生
成のたびに変更しているので以上のような攻撃は成立し
ない。また、任意の端末ｉ，ｊの秘密鍵の生成に用いる
センターの秘密情報であるｒｉ，ｒｊ間の関係、つまり
ｒｉ＝ｃ×ｒｊ　ｍｏｄｐ−１のｃがもし求まると、Ｘ
＝（ｓｉ−ｃ×ｓｊ）　／（Ｈｉ−ｃ×Ｈｊ）　ｍｏｄ
ｐ−１によってセンターの秘密鍵を求めることができる
。しかし、他の端末が公開情報ｔｉ，ｔｊからこのｃを
求めるにはｔｉ＝ｔｊｃ　ｍｏｄｐをｃについて解く必
要があり、これは自明な場合を除き離散対数問題に依存
して困難である。 （２）端末の秘密鍵の安全性 端末の秘密鍵ｕｉはセンターの生成した公開情報ｓｉと
端末の秘密ｘｉの和になっている。そして、たとえセン
ターであっても端末の秘密ｘｉを端末の生成値ｙｉから
求めることは、法ｐを大きく取れば離散対数問題に依存
して困難である。そのため、センターまたは他の端末が
端末ｉの秘密鍵ｕｉを求めることは困難である。

【００２８】また、端末ｊが端末ｉの公開鍵Ｐｉから秘
密鍵ｓｉを求める攻撃も同様に、離散対数問題に依存し
て困難である。

【００２９】さらに、センターから端末に配送する値ｓ
ｉ，ｔｉはこれらより端末の秘密鍵ｕｉを求められない
ため、公開の通信路を用いて配送することが可能である
。 （３）端末による公開鍵の偽造に対する安全性センター
の秘密鍵Ｘを用いずに、端末ｘの公開鍵を偽造するため
には、次の［９］式を満たすｔｘ，ｓｘを求める必要が
ある。

【００３０】 ｓｘ＝Ｙｈ（ｔｘ，ＩＤｘ）×ｔｘ　　ｍｏｄｐ　…［
９］これは［７］［８］式を用いて、ｔｘ，ＩＤｘから
算出されるＰｘを、偽造した端末ｘの秘密鍵ｓｘに対応
する公開鍵とするためである。

【００３１】ここで偽造者がｔｘを任意に決定し、［９
］式を満足するｓｘを求める困難さは離散対数問題に依
存して困難である。また、ｓｘを任意に決定し、［９］
式を満足するｔｘを求めることは少なくとも離散対数問
題と同程度に困難であると予測される。次に第１の実施
例を実現する際の処理速度やメモリ容量等について述べ
る。

【００３２】まず、公開鍵を生成するために必要となる
べき乗剰余演算は、ｐを法としてハッシュ関数の出力値
をべきとする演算の１回だけである。従って、べき乗剰
余演算が３回必要であった第１の従来例に比べ、計算量
を削減している。ハッシュ関数の出力値をｋビットとす
ると、この計算は高速指数演算法を用いて平均３×ｋ／
２回の乗算剰余演算に相当する。この計算量はハッシュ
関数の出力値を安全性を劣化させない限度（例えばｋ＝
１２８ビット）まで小さく取ることによって、より軽減
される。

【００３３】また、各端末ごとの公開情報はｔｉだけで
あり、１端末につき１ワード（１ワード＝ｌｏｇ２ｐビ
ット）である。

【００３４】さらに、端末の秘密鍵生成においてセンタ
ーはその場その場で異なる乱数を用いているため、端末
が秘密鍵を紛失してこれを更新する場合も、新しい乱数
を用いて鍵を生成し、この乱数を登録しておくことによ
って容易に対応できる。

【００３５】ところで、第１の実施例におき、ｐを法と
し、べきとして取りうる値に対応したＹのべき乗剰余値
をあらかじめ求めてテーブルに格納しておき、このテー
ブルを参照することによって、公開鍵生成の処理を高速
化する方法を考えることができる。例えば、Ｙ２　ｍｏ
ｄｐ，Ｙ４　ｍｏｄｐ，Ｙ８　ｍｏｄｐ，…，Ｙ２＾（
ｋー１）　ｍｏｄｐ　（’＾’はべき乗を示す）をあら
かじめ求めてテーブルに格納しておく場合、ＹＨｉ　　
ｍｏｄｐを求めるにはＨｉを２進展開しその各ビットに
対応する上記テーブル値をＧＦ（ｐ）上で乗算すればよ
い。 この場合の乗算剰余演算の回数は平均してｋ／２回であ
り、テーブル値を用いない場合に比べて３倍の高速化が
実現できる。

【００３６】図２は、本発明の第２の実施例における公
開鍵生成方法の構成を示すものである。同図を参照しな
がら第２の実施例における公開鍵生成の手順について説
明する。 ＜センターのセットアップのステップ＞（１）センター
は、素数ｐを生成し、ｐを法とする有限体上の原始元ｇ
を生成する。（２）センターはｋ個の秘密鍵Ｘ１，Ｘ２
，…，Ｘｋを決定し、以下のＹ１，Ｙ２，…，Ｙｋを生
成する。 ここで、ｋは前記ハッシュ関数の出力のビット数とする
。

【００３７】 Ｙｊ＝ｇＸｊ　ｍｏｄｐ（ｊ＝１〜ｋ）（３）（ｐ，ｇ
，ｈ，Ｙ１，Ｙ２，…，Ｙｋ）をセンターの公開鍵とし
てシステムに公開する。 ＜端末の秘密鍵生成のステップ＞ 端末ｉの秘密鍵を生成する場合について説明する。 （１）端末ｉは発生した乱数ｘｉを用いて、次のｙｉを
計算し、このｙｉと自分のＩＤｉをセンターに示し、端
末情報の生成を請求する。

【００３８】 ｙｉ＝ｇｘｉ　ｍｏｄｐ　　　　　　…［１０］（２）
センターは各端末ごとに異なる乱数ｒｉを発生し、端末
から送られたｙｉとセンターの秘密鍵Ｘを用いて、次の
ｓｉ，ｔｉを生成する。

【００３９】 ｔｉ＝ｇｒｉ　×ｙｉ　ｍｏｄｐ　…［１１］Ｈｉ＝ｈ
（ｔｉ，ＩＤｉ） このＨｉを２進展開して｛ｈ１，ｈ２，…，ｈｋ｝　ｈ
ｊ＝１又は０　（ｊ＝１〜ｋ）…［１２］　　と表わす
。

【００４０】 ｓｉ＝ｈ１×Ｘ１＋ｈ２×Ｘ２＋…＋ｈｋ×Ｘｋ＋ｒｉ
　　ｍｏｄｐ−１　　　　…［１３］（３）センターは
端末情報ｓｉ，ｔｉを公開の通信路を用いて端末ｉに配
付する。 （４）センターからｓｉを受け取った端末ｉは、センタ
ーへの公開情報の請求時に生成した乱数ｘｉを用いて、
以下のとおり自分の秘密鍵　ｕｉを生成する。

【００４１】 ｕｉ＝ｓｉ＋ｘｉ　ｍｏｄｐ−１　　…［１４］＜相手
の公開鍵の生成のステップ＞ 端末ｊが端末ｉの公開鍵を生成する場合について説明す
る。 （１）端末ｊは端末ｉから端末情報ｔｉとＩＤｉを受け
取る。 （２）次の計算をして端末ｉの公開鍵Ｐｉを求める。

【００４２】 　　　　　　　　Ｈｉ＝ｈ（ｔｉ，ＩＤｉ）＝｛ｈ１，
ｈ２，…，ｈｋ｝　　ｈｊ＝１又は０　（ｊ＝１〜ｋ）
　…［１５］　　　　　　　　Ｐｉ＝Ｙ１ｈ１×Ｙ２ｈ
２×…×Ｙｋｈｋ×ｔｉ　ｍｏｄｐ　…［１６］　　な
お、［１６］式右辺＝Ｙ１ｈ１×Ｙ２ｈ２×…×Ｙｋｈ
ｋ×ｔｉ　　ｍｏｄｐ　　　　　　　　＝ｇｈ１＊Ｘ１
＋ｈ２＊Ｘ２＋…＋ｈｋ＊Ｘｋ＋ｒｉ　×ｙｉ　ｍｏｄ
ｐ　　（Ｙの定義と［１１］より）　　　　　　　　＝
ｇｓｉ＋ｘｉ　　ｍｏｄｐ　　　（［１０］［１３］よ
り）＝ｇｕｉ　　ｍｏｄｐ　　（［１４］より）が成り
立つため、［１６］式右辺を離散対数をもとにした暗号
系における、秘密鍵ｕｉに対応する公開鍵Ｐｉと考えて
よい。

【００４３】この第２の実施例では第１の実施例と比較
して、公開鍵生成の計算量をさらに削減できる。ハッシ
ュ関数の出力のビット数をｋとすると、第１の実施例で
は、公開鍵の生成に平均で３×ｋ／２回の乗算剰余演算
が必要である（高速指数演算法使用）。一方第２の実施
例は、平均でｋ／２回の乗算剰余演算で実現できる。従
って、第１の実施例に比べて平均で３倍の速度アップが
実現できる。

【００４４】ただし、第２の実施例は第１の実施例と比
較して、センターの公開情報が増加する。第１の実施例
においては、センターの公開鍵Ｙは１ワード（１ワード
は法ｐのビット数）である。一方第２の実施例において
は、ｋワードの公開鍵が必要となる（Ｙ１，Ｙ２，…，
Ｙｋ）。従って、第１の実施例に比べてｋ倍の、センタ
ーの公開鍵格納メモリが必要となる。

【００４５】以上に示した計算の高速化手法は、この第
２の実施例に対してのみ適用されるものではなく、シス
テムで固定の数のべき乗剰余演算を行なう場合に広く適
用することができる。以下ではこの手法をＤＨ鍵配送方
式に用いる場合について説明する。ＤＨ鍵配送方式につ
いては、”ニュー　　ディレクション　　インクリプト
グラフィ”，アイイーイーイー　　トランザクション　
　オン　　インフォメーションセオリー（Ｗ．Ｄｉｆｆ
ｉｅ　ａｎｄ　Ｍ．Ｈｅｌｌｍａｎ，”Ｎｅｗ　ｄｉｒ
ｅｃｔｉｏｎ　ｉｎ　ｃｒｙｐｔｏｇｒａｐｈｙ”，Ｉ
ＥＥＥ　Ｔｒａｎｓ．Ｉｎｆ．Ｔｈｅｏｒｙ，ＩＴ−２
２，６，ｐｐ６４４−６５４（Ｎｏｖ．１９７６））に
詳しい。

【００４６】まず、センターは大きな素数ｐ、ＧＦ（ｐ
）の原始元ｇ、生成数Ｘ１，…，Ｘｎ、Ｙ１，…，Ｙｎ
を公開する。ここで、Ｙｊ＝ｇＸｊ　　ｍｏｄｐ（ｊ＝
１〜ｎ）である。端末ｉと端末ｊが鍵共有する場合につ
いて述べる。

【００４７】端末ｉはｎビットの乱数ｘｉを生成し、こ
れを２進展開する（ｘｉ＝｛ｘｉ１，ｘｉ２．…，ｘｉ
ｎ｝）。端末ｉはこの２進展開した乱数を用いて次のＰ
ｉ，Ｓｉを求め、このうちＰｉを端末ｊに配送する。な
お、Ｙｊの生成の方法より明らかにＰｉ＝ｇＳｉ　　ｍ
ｏｄｐが成り立つ。

【００４８】 Ｐｉ＝Ｙ１ｘｉ１×Ｙ２ｘｉ２×…×Ｙｎｘｉｎ　　ｍ
ｏｄｐＳｉ＝Ｘ１×ｘｉ１＋Ｘ２×ｘｉ２＋…＋Ｘｎ×
ｘｉｎ　　ｍｏｄｐ−１端末ｊはｎビットの乱数ｘｊを
生成し、これを２進展開する（ｘｊ＝｛ｘｊ１，ｘｊ２
．…，ｘｊｎ｝）。端末ｊはこの２進展開した乱数を用
いて次のＰｊ，Ｓｊを求め、このうちＰｊを端末ｉに配
送する。なお、Ｙｊの生成の方法より明らかにＰｊ＝ｇ
Ｓｊ　　ｍｏｄｐが成り立つ。

【００４９】 Ｐｊ＝Ｙ１ｘｊ１×Ｙ２ｘｊ２×…×Ｙｎｘｊｎ　　ｍ
ｏｄｐ　　　　Ｓｊ＝Ｘ１×ｘｊ１＋Ｘ２×ｘｊ２＋…
＋Ｘｎ×ｘｊｎ　　ｍｏｄｐ−１端末ｉ，ｊはそれぞれ
、次の計算を行なって共有鍵Ｋｉｊ＝Ｋｊｉを得る。

【００５０】 Ｋｉｊ＝ＰｊＳｉ　　ｍｏｄｐ　　　　　　　　　　Ｋ
ｊｉ＝ＰｉＳｊ　　ｍｏｄｐこの例においては、従来の
ＤＨ鍵配送方式では、べき乗剰余演算を行なって求めて
いたＰｉ，Ｐｊを、より少ない乗算剰余演算の繰り返し
で実現している。

【００５１】なお、ここではｘｉまたはｘｊを２進展開
する場合について説明したが、これを一般的なｍ進展開
（ｍ＝２，４，８，…）して同様の処理を行なってもよ
い。

【００５２】なお、ここでは離散対数に基づいた公開鍵
生成方法について説明したが、一般的に一方向性関数ｆ
と４つの２項演算ｏｐ１，ｏｐ２，ｏｐ３，ｏｐ４が次
の関係式を満たす場合に、同様の公開鍵生成方法を構成
することができる。

【００５３】 ｆ（　ａ　ｏｐ１　ｂ　）　＝　ｆ（ａ）　ｏｐ２　ｂ
ｆ（　ａ　ｏｐ３　ｂ　）　＝　ｆ（ａ）　ｏｐ４　ｆ
（ｂ）

【００５４】

【発明の効果】以上の説明から明らかなように本発明に
おいては、各端末はセンターの公開情報と相手端末の公
開情報と識別情報を用いて公開鍵を生成する。このうち
相手端末の公開情報は端末情報発行センターの秘密鍵を
用いない限り、都合の良いように改竄や変更ができない
情報である。従って、生成された端末の公開鍵の完全性
が確保される。即ち、本発明による公開鍵生成法を用い
れば、公開鍵を用いた相手認証、暗号通信、署名などの
公開鍵暗号系プロトコルを実現する際に本来必要であっ
た、公開鍵の完全性確認のステップを省略することがで
きる。

【００５５】ここで、公開鍵を生成するまでに必要とな
るべき乗剰余演算も１回であり、従来に比べて削減して
いる。本発明の他の効果として、各端末は自身の秘密情
報を用いてセンターが発行した端末情報を変換し、自身
の秘密鍵を生成するため、他の端末はもちろんセンター
ですら端末の秘密鍵を求めることはできない。また、こ
のことによりセンターの発行する端末情報は公開可能と
なり、公開の通信路を用いて配送することができる。

【００５６】また、端末が秘密鍵を紛失して新しい鍵を
再発行する場合も、センターが新しい乱数を発生し、こ
れを用いて鍵を生成し、用いた乱数を登録しておくこと
によって容易に対応できる。

【００５７】さらに、公開鍵生成の部分の計算は、あら
かじめ求めておいた剰余値を用いたり、べき乗剰余演算
を乗算の繰り返しに置き換えることによって、安全性を
損なうことなく処理の高速化を実現することが可能であ
る。

【図面の簡単な説明】

【図１】本発明の第１の実施例による公開鍵生成方法の
構成図

【図２】本発明の第２の実施例による公開鍵生成方法の
構成図

【図３】センターによる署名を用いることによって公開
鍵の完全を保証する第１の従来例の構成図

【図４】公開
鍵生成方法の１例であって第２の従来例の構成図

【符号の説明】

１　　端末ｉ ２　　センター ３　　端末ｊ

Claims (5)

【特許請求の範囲】
1. 【請求項１】固有の識別情報を有する第１の端末と第２
   の端末とこれらを接続するネットワークと端末情報発行
   センターを用いた公開鍵生成方法であって、前記端末情
   報発行センターが、公開の一方向性関数ｆと公開の関数
   ｈを決定し、前記一方向性関数ｆは第１、第２のデータ
   の第１の演算の結果を入力とするｆの出力値が、前記第
   １のデータのｆの出力値と前記第２のデータとを入力と
   する第２の演算の結果と等しくなり、第１、第２のデー
   タの第３の演算の結果を入力とするｆの出力値が、前記
   第１のデータのｆの出力値と前記第２のデータのｆの出
   力値とを入力とする第４の演算の結果と等しくなる関数
   であって、端末情報発行センターの秘密鍵Ｘを入力とす
   る前記一方向性関数ｆの出力値Ｙを前記端末情報発行セ
   ンターの公開鍵として決定し、前記ｆ，ｈおよびＹを前
   記端末情報発行センターの公開情報として前記第１、第
   ２の端末に通知するシステム初期設定ステップと、前記
   第１の端末が乱数ｘを発生し、乱数ｘを入力とする前記
   一方向性関数ｆの出力値ｙと第１の端末の識別情報を前
   記端末情報発行センターに通知し、前記第１の端末の端
   末情報を請求する端末情報請求ステップと、前記端末情
   報発行センターが、乱数ｒを発生し、前記乱数ｒを入力
   とする前記一方向性関数ｆの出力値と前記第１の端末か
   らの送信データｙを入力とする第１の演算の結果ｔを求
   め、前記ｔと第１の端末の識別情報を前記公開の関数ｈ
   に入力し、端末情報発行センターの秘密鍵Ｘと前記関数
   ｈの出力値を入力とする第２の演算の結果を求め、前記
   第２の演算の結果と前記乱数ｒを入力とする第３の演算
   の結果ｓを求め、前記ｔ，ｓを第１の端末の第１、第２
   の端末情報として、第１の端末に発行する端末情報発行
   ステップと、前記第１の端末が、前記第２の端末情報ｓ
   と前記乱数ｘを入力とする第３の演算の結果を求め、こ
   れを第１の端末の秘密鍵ｕとする秘密鍵生成ステップと
   、前記第１の端末が、前記第２の端末に第１の端末情報
   ｔと第１の端末の識別情報を送信し、第２の端末が、第
   １の端末情報ｔと第１の端末の識別情報を前記公開の関
   数ｈに入力し、前記端末情報発行センターの公開鍵Ｙと
   前記関数ｈの出力を入力とする第４の演算の結果を求め
   、前記第４の演算の結果と前記端末情報ｔを入力とする
   第１の演算の結果を第１の端末の公開鍵とする公開鍵生
   成ステップから構成されることを特徴とした公開鍵生成
   方法。
2. 【請求項２】　　固有の識別情報を有する第１の端末と
   第２の端末とこれらを接続するネットワークと端末情報
   発行センターを用いた公開鍵生成方法であって、前記端
   末情報発行センターが、素数もしくは素数のべき乗値ｐ
   と、前記ｐを法とする剰余体の原始元ｇと、公開の関数
   ｈを決定し、前記ｐを法とし、端末情報発行センターの
   秘密鍵Ｘをべきとする前記ｇのべき乗剰余値Ｙを前記端
   末情報発行センターの公開鍵として決定し、前記ｐ，ｇ
   ，ｈおよびＹを前記端末情報発行センターの公開情報と
   して前記第１、第２の端末に通知するシステム初期設定
   ステップと、前記第１の端末が乱数ｘを発生し、前記ｐ
   を法として前記乱数ｘをべきとするｇのべき乗剰余値ｙ
   と第１の端末の識別情報を前記端末情報発行センターに
   通知し、前記第１の端末の端末情報を請求する端末情報
   請求ステップと、前記端末情報発行センターが、乱数ｒ
   を発生し、前記ｐを法として乱数ｒをべきとするｇのべ
   き乗剰余値と前記第１の端末からの送信データｙの積ｔ
   を求め、前記ｔと第１の端末の識別情報を前記公開の関
   数ｈに入力し、前記ｐのオイラー関数値を法としてｈの
   出力値と前記端末情報発行センターの秘密鍵Ｘの積と前
   記乱数ｒの和ｓを求め、前記ｔ，ｓを第１の端末の第１
   、第２の端末情報として、第１の端末に発行する端末情
   報発行ステップと、前記第１の端末が、前記ｐのオイラ
   ー関数値を法として第２の端末情報ｓと前記乱数ｘの和
   を求め、これを第１の端末の秘密鍵ｕとする秘密鍵生成
   ステップと、前記第１の端末が、前記第２の端末に第１
   の端末情報ｔと第１の端末の識別情報を送信し、第２の
   端末が、第１の端末情報ｔと第１の端末の識別情報を前
   記公開の関数ｈに入力し、ｐを法としてｈの出力値をべ
   きとする前記端末情報発行センターの公開鍵Ｙのべき乗
   剰余値と前記第１の端末情報ｔの積を第１の端末の公開
   鍵とする公開鍵生成ステップから構成されることを特徴
   とした公開鍵生成方法。
3. 【請求項３】　　請求項２記載の公開鍵生成方法であっ
   て、公開鍵生成ステップにおいて前記ｐを法とする前記
   端末情報発行センターの公開鍵Ｙのべき乗剰余値を、あ
   らかじめ計算しておいた前記ｐを法とする剰余値を用い
   て求めることを特徴とした公開鍵生成方法。
4. 【請求項４】　　固有の識別情報を有する第１の端末と
   第２の端末とこれらを含むネットワークと端末情報発行
   センターを用いた公開鍵生成方法であって、前記端末情
   報発行センターが、素数もしくは素数のべき乗値ｐと、
   前記ｐを法とする剰余体の原始元ｇと、公開の関数ｈを
   求め、前記ｐを法とし端末情報発行センターの複数の秘
   密鍵をそれぞれべきとする前記ｇの複数のべき乗剰余値
   を前記端末情報発行センターの公開鍵として求め、前記
   ｐ，ｇ，ｈおよび複数の公開鍵を前記端末情報発行セン
   ターの公開情報として前記第１、第２の端末に通知する
   システム初期設定ステップと、前記第１の端末が乱数ｘ
   を発生し、前記ｐを法として乱数ｘをべきとするｇのべ
   き乗剰余値ｙと第１の端末の識別情報を前記端末情報発
   行センターに通知し、前記第１の端末の端末情報を請求
   する端末情報請求ステップと、前記端末情報発行センタ
   ーが、乱数ｒを発行し、前記ｐを法として乱数ｒをべき
   とするｇのべき乗剰余値と前記第１の端末からの送信デ
   ータｙの積ｔを求め、前記ｔと第１の端末の識別情報を
   前記公開の関数ｈに入力し、前記端末情報発行センター
   の複数の秘密鍵からｈの出力値に対応した１個以上の秘
   密鍵を選び、前記ｐのオイラー関数値を法としてこれら
   の和と前記乱数ｒの和ｓを求め、前記ｔ，ｓを第１の端
   末の第１、第２の端末情報として、第１の端末に発行す
   る端末情報発行ステップと、前記第１の端末が、前記ｐ
   のオイラー関数値を法とし、第２の端末情報ｓと前記乱
   数ｘの和を求め、これを第１の端末の秘密鍵ｕとする秘
   密鍵生成ステップと、前記第１の端末が、前記第２の端
   末に第１の端末情報ｔと第１の端末の識別情報を送信し
   、第２の端末が、第１の端末情報ｔと第１の端末の識別
   情報を前記公開の関数ｈに入力し、前記端末情報発行セ
   ンターの複数の公開鍵からｈの出力値に対応した１個以
   上の公開鍵を選び、ｐを法としてこれらの積と前記第１
   の端末情報ｔの積を第１の端末の公開鍵とする公開鍵生
   成ステップから構成されることを特徴とした公開鍵生成
   方法。
5. 【請求項５】　　第１の端末と第２の端末とこれらを含
   むネットワークとセンターを用いた鍵共有方法であって
   、前記センターが、素数もしくは素数のべき乗値ｐと、
   前記ｐを法とする剰余体の原始元ｇと、前記ｐを法とし
   センターの複数の生成データＸと、前記ｐを法とし、前
   記生成データＸのそれぞれをべきとする前記ｇの複数の
   べき乗剰余値Ｙを前記センターの公開情報として前記第
   １、第２の端末に通知するシステム初期設定ステップと
   、前記第１の端末が乱数ｘを発生し、前記センターの公
   開情報Ｙから前記乱数ｘに対応した１個以上のデータを
   選び、前記ｐを法としてこれらの積Ｐを求め、前記セン
   ターの公開情報Ｘから前記乱数ｘに対応した１個以上の
   データを選び、前記ｐのオイラー関数値を法としてこれ
   らの和Ｓを求め、前記Ｐを前記第２の端末に送信し、前
   記第２の端末が乱数ｙを発生し、前記センターの公開情
   報Ｙから前記乱数ｙに対応した１個以上のデータを選び
   、前記ｐを法としてこれらの積Ｑを求め、前記センター
   の公開情報Ｘから前記乱数ｙに対応した１個以上のデー
   タを選び、前記ｐのオイラー関数値を法としてこれらの
   和Ｔを求め、前記Ｑを前記第１の端末に送信し、前記第
   １の端末は、前記ｐを法とし前記Ｓをべきとする前記Ｑ
   のべき乗剰余値を第２の端末との共有鍵とし、前記第２
   の端末は、前記ｐを法とし前記Ｔをべきとする前記Ｐの
   べき乗剰余値を第１の端末との共有鍵とする鍵共有方法
   。