JPH04297156A - 暗号通信装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 【０００１】 【産業上の利用分野】本発明は暗号通信方法およびその
装置に関し、特に通信システンにおける暗号鍵の安全な
配送を可能にする暗号通信方法およびその装置に関する
。 【０００２】 【従来の技術】近年、各種通信回線等を介して取り扱わ
れる情報がますます高度に、かつ比重が高まるに伴ない
、これら情報の意図的な攻撃等からの安全性を確保する
ことが要求されるに至っている。そのためこれら情報の
秘密保持、或いは認証のために暗号技術の利用が検討さ
れている。この暗号技術には共通鍵暗号技術、公開鍵暗
号技術等が開発されており、特に公開鍵暗号技術は、鍵
共有プロトコルや、ディジタル署名の実現に有効である
。具体的暗号系としてはＲＳＡ（Ｒｉｖｅｓｔ　Ｓｈａ
ｍｉｒＡｄｌｅｍａｎ　）暗号系やＤＨ（Ｄｉｆｆｉｅ
−Ｈｅｌｌｍａｎ）方式がある。 【０００３】また、公開鍵暗号技術等を用いて暗号通信
を実現する際には、通信に先立って暗号の鍵を通信の当
事者間で共有する必要がある。例えば、ＤＨ方式（Ｗ．
Ｄｉｆｆｉｅ＆　Ｍ．Ｅ．Ｈｅｌｌｍａｎ，”Ｎｅｗ　
ｄｉｒｅｃｔｉｏｎｓ　ｉｎ　ｃｒｙｐｔｏｇｒａｐｈ
ｙ”，ＩＥＥＥ　Ｔｒａｎｓ．ｏｎＩｎｆｏｒｍａｔｉ
ｏｎ　Ｔｈｅｏｒｙ，ＩＴ−２２，６，ｐｐ．６４４−
６４５（Ｊｕｎｅ　１９７６））は、大きい素数ｐを法
（除数）とする、べき乗演算の逆変換が困難であること
に基づいた２者間の鍵配送方式である。さらに、その後
共有される鍵が毎回変るように変形したり、２者以上の
グループ間でも鍵を配送できるようにした方式などが提
案されている。 【０００４】また、小山−太田方式（”Ｓｅｃｕｒｉｔ
ｙ　ｏｆ　ｉｍｐｒｏｖｅｄ　ｉｄｅｎｔｉｔｉｙ−ｂ
ａｓｅｄｃｏｎｆｅｒｅｎｃｅ　ｋｅｙ　ｄｉｓｔｒｉ
ｂｕｔｉｏｎ　ｓｙｓｔｅｍｓ”，Ｌｅｃｔｕｒｅ　Ｎ
ｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　ＳｃｉｅｎｃｅＡ
ｄｖａｎｃｅｓ　ｉｎｃｙｔｐｔｏｌｇｙ−Ｅｕｒｏｃ
ｒｙｐｔ　′８８−ｐｐ．１１−１９，Ｓｐｒｉｎｇｅ
ｒ−Ｖｅｒｌａｇ　１９８８）は、グループで鍵配送で
きる方式を提案しているが、そのために法を３つの素数
の積としている。この方式では、２つの素数の積を法と
する方式に比べ法の桁数が２倍となる。これは、メモリ
量と演算量の点で不利となる。例えば、べき乗計算の演
算量は概ね法の桁数の３倍に比例するから、１度のべき
乗の演算量は約８倍となる。このように演算量の多い点
が欠点である。 【０００５】一方、伊藤らは、公開鍵の認証機能付きで
、毎回、鍵が変り、かつグループ鍵配送に向いた方式を
提案している（伊藤、羽物、笹瀬、森：“ＩＤ情報に基
づく公開ファイル不要な一方向鍵配送方式”，１９９０
年電子情報通信学会春季全国大会講演論文集，Ｎｏ．Ａ
−２３８，ｐ．１−２８３，１９９０，　３月）。しか
しながら、伊藤らの方式は、グループ鍵共通に用いた場
合、第３者による再送攻撃による成り済ましが可能であ
る点が指摘されている。 すなわち、３者以上で構成されるグループ内で、一旦鍵
共有を行った後には、鍵共有情報の再送によってグルー
プ内のあるメンバが他のメンバに成り済ますことが可能
となる。さらに、２者間の鍵共有に限定して使用したと
しても、次のような問題が残る方式であった。すなわち
、何らかの理由により、ある通信セッションで共有され
た鍵の値を知った第３者は、その後、鍵共有情報の再送
によって鍵共有情報の送信ユーザになりすまして受信者
との間で鍵を共有することができる。 【０００６】この成り済ましを防止するために、時刻情
報をいわゆるタイムスタンプとして利用する方式が提案
されている（川村、新保：“公開された暗号文の復号能
力に基づく暗号方式について”，電子情報通信学会技術
報告書，ＩＳＥＣ９０−５，ｐｐ．２９−３４，１９９
０，５月）。 【０００７】以下、このタイムスタンプを利用する方式
の概略を図１２を参照して説明する。まず、送信者側の
局１０１　においては、発信時刻情報ｔを電文に付加す
ると共に、鍵を受信側の局１０２　に安全に送りつける
ための鍵配送情報Ｙをこの発信時刻に依存させることに
よって鍵配送情報Ｙの再使用を防止しようというもので
ある。受信者側の局１０２　においては、電文に付加さ
れた発信時刻情報ｔと受信した時刻に係る時刻情報とを
比較して、その時間差が事前に定めらた誤差以内であれ
ば正当な発信者側の局１０１　からのメッセージである
と判断して、鍵配送情報Ｙから鍵を取り出す処理に移る
。このとき正しい発信時刻情報ｔを用いないと鍵を鍵配
送情報Ｙから取り出せないようになっているので、ある
時刻の鍵配送情報Ｙを別の時刻に再使用できない。 【０００８】しかし、タイムスタンプを用いる方式には
、次の二つの点に課題がある。まず第一は、タイムスタ
ンプによる正当性の確認は、受信した電文に付加されて
いる発信時刻情報ｔと自分が受信した時刻情報とを比較
して、その差が事前に定められた誤差以内となっている
事を確認することで実現されているが、その許容誤差の
範囲の決定について、普遍的な規則が無い点である。 論理的には対象となる通信システムに予想される最大伝
送遅延を許容誤差とすれば良いが、最大伝送遅延は通信
システム毎に異なるから設計パラメータがシステム毎変
わることになり余り好ましくない。 【０００９】タイムスタンプを用いる方式の第２の課題
は、会議通信のように実時間で通信が行われる場合には
成り済まし対策としてのタイム・スタンプが十分有効に
働くものの、電子メールのように比較的伝送遅延時間が
大きい通信では、タイム・スタンプの有効性の判定が困
難となることである。何故ならば、電文に付加されてい
る発信時刻情報ｔと受信時刻との差が成り済ましによる
ものか、伝送遅延に起因するものか受信者が判断できな
いからである。従って、この様に伝送遅延時間の大きい
システムにおいては別の成り済まし・再送攻撃対策が必
要である。言い換えれば鍵配送情報の再送攻撃によるな
りすまし対策は、通信形態が実時間であるのか非実時間
であるのかによって区別して考える必要が生じる。但し
、ここで非実時間の通信とは電子メールのように伝送遅
延時間の大きい通信を指す。 【００１０】 【発明が解決しようとする課題】以上の点に鑑み本発明
では、２者間の鍵共有方式や３者以上の間での鍵共有方
式におけるメッセージの再送による成り済まし攻撃を防
止する事のできる方式を提供することを目的とする。さ
らには、受信側での正当性確認を曖昧さなしに行え、か
つ比較的伝送遅延の大きい通信に用いても安全で再送に
基づく成り済まし攻撃が不可能な暗号通信方法およびそ
の装置を提供することを目的とする。［発明の構成］【
００１１】 【課題を解決するための手段】上記課題を解決するため
に、本願第１の発明は、少なくとも暗号鍵の介在の下に
被送信情報を暗号化して得られる暗号文と、少なくとも
この暗号文と受信局の公開情報とから生成される鍵配送
情報によって送信局と受信局との間の暗号通信を行うこ
とを要旨する。 【００１２】本願第２の発明は、送信局においては、送
信局で生成された乱数を基に生成される暗号鍵の介在の
下に被送信情報を暗号化して得られる暗号文と、少なく
ともこの暗号文と受信局の公開情報とから生成される鍵
配送情報とを送信し、受信局においては、少なくとも受
信した鍵配送情報と暗号文及び当該受信局の秘密情報と
から暗号鍵を復元し、この暗号鍵の介在の下に受信した
暗号文を復号して被送信情報を得ることを要旨とする。 【００１３】本願第３の発明は、送信局においては、送
信局で生成された第１の乱数を基に生成される暗号鍵の
介在の下に被送信情報を暗号化して得られる暗号文と、
少なくとも受信局の公開情報および当該受信局で生成さ
れ当該送信局に送信された第２の乱数とから生成される
鍵配送情報とを送信し、受信局においては、少なくとも
受信した鍵配送情報と当該受信局の秘密情報及び第２の
乱数とから暗号鍵を復元し、この暗号鍵の介在の下に受
信した暗号文を復号して被送信情報を得ることを要旨す
る。 【００１４】本願第４の発明は、通信回線を介して接続
される複数の局からなる通信系で、各局は公開情報とこ
の公開情報に対応する秘密情報がそれぞれ発行され、こ
れらの各情報を用いて送信局から受信局へ暗号化された
被送信情報を配送する暗号通信装置において、送信局に
おいては、乱数を生成する乱数生成手段と、少なくとも
受信局の公開情報と乱数生成手段で生成された乱数と被
送信情報とから鍵配送情報を作成する鍵配送情報作成手
段と、前記乱数生成手段で生成された乱数から鍵情報を
作成する鍵情報作成手段と、この鍵情報作成手段で作成
された鍵情報によって被送信情報を暗号化する暗号化手
段とを有し、受信局においては、受信した鍵配送情報と
暗号化された被送信情報と受信局の秘密情報とから鍵情
報を復元する鍵情報復元手段と、この鍵情報復元手段で
復元された鍵情報を用いて暗号化された被送信情報を復
号する復号手段とを有することを要旨とする。 【００１５】本願第５の発明は、通信回線を介して接続
される複数の局からなる通信系で、各局は公開情報とこ
の公開情報に対応する秘密情報がそれぞれ発行され、こ
れらの各情報を用いて送信局から受信局へ暗号化された
被送信情報を配送する暗号通信装置において、送信局に
おいては、第１の乱数を生成する第１の乱数生成手段と
、少なくともこの第１の乱数生成手段で生成された第１
の乱数と入力される第２の乱数とから鍵配送情報を作成
する鍵配送情報作成手段と、前記第１の乱数生成手段で
生成された第１の乱数から鍵情報を作成する鍵情報作成
手段と、この鍵情報作成手段で作成された鍵情報によっ
て被送信情報を暗号化する暗号化手段とを有し、受信局
においては、第２の乱数を生成する第２の乱数生成手段
と、この第２の乱数生成手段で生成された第２の乱数と
受信した鍵配送情報と受信局の秘密情報とから鍵情報を
復元する鍵情報復元手段と、この鍵情報復元手段で復元
された鍵情報を用いて暗号化された被送信情報を復号す
る復号手段とを有することを要旨とする。 【００１６】 【作用】本願第１の発明の暗号通信方法は、送信局から
受信局へ被送信情報を暗号化して送信する際に、少なく
とも暗号鍵の介在の下に被送信情報を暗号化して得られ
る暗号文と、少なくともこの暗号文と受信局の公開情報
とから生成される鍵配送情報とを送信することによって
行うので、通信の度に異なる被送信情報が鍵配送情報の
生成に関与するため、常に送信される度に異なる鍵配送
情報が生成されるものである。 【００１７】本願第２、第４の発明においては、ＤＨ方
式に比べ、送信者と受信者が鍵共有しようとする場合乱
数情報に基づいて鍵を生成するので通信の度に簡単に鍵
を変えることができる。さらに、鍵を送信者から受信者
へ送るための鍵配送情報はメッセージに依存しているの
で、ある暗号文に付随した鍵共有情報を後に別の暗号文
を送るために再使用することが困難となっている。 【００１８】また、本願第３、第５の発明においては鍵
配送情報は受信者が生成した乱数情報に依存しているの
で、受信者が生成したある乱数情報に対して鍵共有情報
を後で別の受信者に対して再使用することが困難となっ
ている。そのため３者以上のグループ鍵共有においても
メッセージの再送による成り済まし攻撃が困難となって
いる。また実施例で述べる本発明の具体的実現法におい
ては１つの素数を法するのではなく、２つの素数の積を
法としているため公開鍵や通信者およびメッセージを認
証する機能を実現する事が容易である。これはまた、３
つ以上の素数の積を法とする方式に比べてメモリ、計算
量の節約となる。 【００１９】 【実施例】以下、図面を参照して本発明の実施例を説明
する。まず、図３のシステム構成図を参照して、以下に
具体的に示す幾つかの実施例に共通なシステムの基本構
成の一例を説明する。図３においては、システムを立ち
上げるセンタと、ユーザ１乃至ユーザｍに対応して設け
られる送信局であり受信局でもある複数の局Ｕ１　乃至
Ｕｍ　から通信ネットワークが構成される。各局Ｕには
説明の便宜上、通し番号ｉ（但しｉ＝１，…，ｍ）が付
され、局Ｕｉにはネットワーク上で一意に定まる名前Ｉ
Ｄｉ　が付与されているものとする。次に、センタ及び
局Ｕのそれぞれで行われる処理について説明する。まず
、センタによる前準備としてのセンタ鍵の作成について
説明する。 ＜センタ鍵の作成＞ 【００２０】センタは相異なる二つの大きい素数ｐ及び
ｑを生成し、その積ｎ＝ｐ・ｑと、（ｐ−１）と（ｑ−
１）との最小公倍数Ｌ＝ＬＣＭ（（ｐ−１），（ｑ−１
））を演算する。次に、素数ｐ及びｑに関して、ＧＦ（
ｐ），ＧＦ（ｑ）の両方で生成元となる整数ｇを一つ選
ぶ。また、Ｌと互いに素な整数ｕをセンタの公開鍵とし
て定め、公開鍵ｕに対応するセンタの秘密鍵ｖを、（ｍ
ｏｄ　　Ｌ）という数体系の上で、考えたときに、積ｕ
・ｖと１が合同、換言すれば積ｕ・ｖをＬで除したとき
の剰余が、１をＬで除したときの剰余と等しくなるよう
に作成する。このことを方式で示すと、【００２１】 【数１】 である。次に、センタによる局鍵の作成について、説明
する。 ＜局鍵の作成＞ 【００２２】センタはｉ番目の局Ｕｉに対して鍵のペア
ｄｉ　，Ｓｉ　を次のように定め、当該局Ｕｉに対して
発行する。鍵ｄｉ　は先に定めた公開鍵ｕと異なりかつ
最小公倍数Ｌと互いに素な整数で、ｉ≠ｊならばｄｉ　
≠ｄｊ　であるように選ぶ。次に鍵ｄｉに対して次式を
満足するｅｉ　を求める。 【００２３】 【数２】 またセンタは、先に定めた秘密鍵ｖを用いて局認証用の
秘密情報Ｓｉ　を次のように定め、各局Ｕｉに発行する
。 Ｉｉ　＝ｈ（ＩＤｉ　）ｍｏｄ　　ｎ Ｓｉ　＝Ｉｉ　−ｖｍｏｄ　　ｎ ここでｈ（）は疑似ランダム関数である。さらに法（除
数）ｎの下で、先に定めたｇ，ｅｉ　（＝Ａ），Ｓｉ　
を用いて局ｉの公開情報Ｐｉを定める。 Ｐｉ　＝Ｓｉ　・ｇＡ　ｍｏｄ　　ｎ この様にして、センタ鍵及び局鍵の作成手続きによって
設定された数値は運用上、次の３つのカテゴリに分類さ
れる。 （１）公開情報：ｕ，ｇ，ｎ，ｈ（），Ｐｉ　（ｉ＝１
，…，ｍ） （２）センタ秘密情報：ｖ，ｐ，ｑ，Ｌ，ｅｉ　（ｉ＝
１，…，ｍ） （３）局秘密情報：ｄｉ　・Ｓｉ 【００２４】ここで（１）　公開情報は全局が知ること
のできる情報であり、（２）　センタ秘密情報はセンタ
だけが知る情報であり、各局に対しては秘密が保持され
る。また（３）局秘密情報ｄｉ　はセンタと局ｉ以外に
は秘密が保持されることが要求される。なおセンタは局
秘密情報ｄｉ　，Ｓｉ　を発行した後は当該局秘密情報
ｄｉ　，Ｓｉを記録或いは記憶してしおく必要はない。 また、このようにして作成された局秘密情報ｄｉ　，Ｓ
ｉ　は、例えば安全が確保された記憶媒体等に記録され
て所定の各局Ｕｉに渡される。 【００２５】具体的な鍵配送処理は以上の準備で各局Ｕ
に配られた情報と公開情報とを用いて実現される。ここ
で、具体例の説明に入る前に、図４を参照して、本発明
による鍵配送方式を説明する上で関係の深い零知識証明
に基づくＩＤベース相手認証方式について簡単に説明す
る。 【００２６】図４は、証明者（ｐｒｏｖｅｒ）側の局１
は自分がＩＤ１に関してセンタから秘密情報Ｓ１　を発
行された正当な人物である事を認証者（ｖｅｒｉｆｉｅ
ｒ）側の局２に示す事を目的とした２者間のプロトコル
を説明するものである。ここで重要なのは２者のやり取
りを第３者が盗聴したとしてもその人には秘密情報Ｓ１
　が何であるか一切分からず、成り済ましも出来ないよ
うにプロトコルが構成されていることである。例えば、
拡張Ｆｉａｔ−Ｓｈａｍｉｒ　方式の一つである（詳細
は例えば、文献：Ｋ．Ｏｈｔａ　ａｎｄＴ．Ｏｋａｍｏ
ｔｏ”Ａ　ｍｏｄｉｆｉｃａｔｉｏｎ　ｏｆ　ｔｈｅ　
Ｆｉａｔ−Ｓｈａｍｉｒ　ｓｃｈｅｍｅ”，ｃｒｙｐｔ
８８，Ｌｅｃｔｕｒｅｎｏｔｅ　ｏｎ　ｃｏｍｐｕｔｅ
ｒ　ｓｃｉｅｎｃｅ，Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ
　ｐｐ．２３２−２４３　を参照）がある。また、これ
までに提案されている実用的な零知識照明プロトコルと
してはこの方式を含めて次に挙げる４つが代表的な方式
である。 （１）　　Ｆｉａｔ−Ｓｈａｍｉｒ　法（文献：Ａ．Ｆ
ｉａｔ　ａｎｄ　Ａ．Ｓｈａｍｉｒ，”Ｈｏｗ　ｔｏ　
ｐｒｏｖｅ　ｙｏｕｒｓｅｌｆ：ｐｒａｃｔｉｃａｌｓ
ｏｌｕｔｉｏｎｓ　ｔｏ　ｉｄｅｎｔｉｆｉｃａｔｉｏ
ｎ　ａｎｄ　ｓｉｇｎａｔｕｒｅ　ｐｒｏｂｌｅｍｓ”
，Ｃｒｙｐｔｏ８６，Ｌｅｃｔｕｒｅ　ｎｏｔｅ　ｏｎ
　ｃｏｍｐｕｔｅｒ　ｓｃｉｅｎｃｅ，Ｓｐｒｉｎｇｅ
ｒ　Ｖｅｒｌａｇ　ｐｐ．１１６−１９４　）（２）　
　拡張Ｆｉａｔ−Ｓｈａｍｉｒ　法１（例えば、文献：
Ｋ．Ｏｈｔａ　ａｎｄ　Ｔ．Ｏｋａｍｏｔｏ，”Ａ　ｍ
ｏｄｉｆｉｃａｔｉｏｎ　ｏｆ　ｔｈｅＦｉａｔ−Ｓｈ
ａｍｉｒ　ｓｃｈｅｍｅ”，ｃｒｙｐｔ８８．Ｌｅｃｔ
ｕｒｅ　ｎｏｔｅ　ｏｎ　ｃｏｍｐｕｔｅｒ　ｓｃｉｅ
ｎｃｅ，Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ　ｐｐ．２３
２−２４３を参照） （３）　　拡張Ｆｉａｔ−Ｓｈａｍｉｒ　法２（文献：
太田“ＲＳＡ暗号を利用したＩＤに基づく認証方式とそ
の応用”第１１回情報理論とその応用シンポジウム、ｐ
ｐ．５６７−５７２，　１９８８年１２月）（４）　　
Ｂｅｔｈ法 （文献：Ｔ．Ｂｅｔｈ，　”Ｅｆｆｉｃｉｅｎｔ　ｚｅ
ｒｏ−ｋｎｏｗｌｅｄｇｅ　ｉｄｅｎｔｉｆｉｃｔｉｏ
ｎａ　ｓｃｈａｍｅｆｏｒ　ｓｍａｒｔ　ｃａｆｄｓ，
Ｅｕｒｏｒｙｐｔ’　８８，Ｌｅｃｔｕｒｅ　ｎｏｔｅ
　ｏｎｃｏｍｐｕｔｅｒｓｃｉｅｎｃｅ，Ｓｐｒｉｎｇ
ｅｒ　Ｖｅｒｌａｇ　ｐｐ．２３２−２４３） これらのプロトコルには各々について次のような３種類
の利用法がある。 （ａ）　　ｓｅｑｕｅｎｔｉａｌ版 （ｂ）　　ｐａｒａｌｌｅｌ版 （ｃ）　　ｎｏｎ−ｉｎｔｅｒａｃｔｉｖｅ版各々の詳
細については省略する。この内、説明は拡張Ｆｉａｔ−
Ｓｈａｍｉｒ法１に基づく構成のみついて行う。 【００２７】ここでは局１（記号Ｕ１で表す）が局２（
記号Ｕ２で表す）に対して、ｓ１　を所有している事を
証明するプロトコルの概要を示す。ただし、Ｕ１：｛処
理｝ という表記によって、局１の行う処理を、またＵ１→Ｕ
２：｛情報｝ という表記によって情報を局１から局２に送る処理を表
す。なお、以下に示す各実施例では、 ｛番号｝：｛処理｝ といった表記も用いるがこの場合には番号は処理ステッ
プの番号を表すものとする。 ＜拡張Ｆｉａｔ−Ｓｈａｂｉｒ　法１による認証プロト
コル＞　　Ｕ１：乱数Ｒを生成し、Ｘ＝Ｒｕ　ｍｏｄ　
　ｎを計算。　　…（ステップ４１１　）　　Ｕ２→Ｕ
２：ＩＤ１　，Ｘ　　　　　　　　　　　　　　　　　
　　　　　　　…（ステップ４０１，　４０２）　　Ｕ
２：乱数Ｅを生成。　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　…（ステップ４２１　）
　　Ｕ２→Ｕ１：Ｅ　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ４０３　）　　Ｕ１：Ｙ＝Ｒ・Ｓ１　Ｅ　ｍｏｄ　　
ｎを計算。　　　　　　　　　　　　…（ステップ４１
２　）　　Ｕ１→Ｕ２：Ｙ　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　…（
ステップ４０５　）　　Ｕ２：Ｘ０　＝Ｙｕ　・Ｉ１　
Ｅ　を計算し、　　　　　　　　　　　　　　　　…（
ステップ４２２　）Ｘと比較する。Ｘ０　とＸが等しけ
れば相手側の局を局１と認める。等しくなければ局１と
認めない。　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　…（ステップ４２３　）
【００２８】以上の準備の下で本発明に基づく第１の実
施例である鍵共有方式を図５を参照しつつ説明する。以
下の説明においては、いずれの例においても局１と局２
の間の鍵配送として説明する。鍵共有の手順は以下の通
りである。 　　Ｕ１：局２の公開情報Ｐ２　を入手し、　　　　　
　　　　　　　　　　　…（ステップ５１１　）乱数ｒ
（１≦ｒ≦ｎ−１）を生成し、　　　　　　　　　　　
　　　　　　　…（ステップ５１２　）これに基づいて
新たな乱数Ｒ，Ｘを次のように計算する。 　　　　Ｒ＝（Ｐ２　ｕ　・Ｉ２　）ｒ　ｍｏｄ　　ｎ
　　　　　　　　　　　　　　　　…（ステップ５１３
　）　　　　Ｘ＝Ｒｕ　ｍｏｄ　　ｎ　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　…（ス
テップ５１４　）　　また、乱数ｒを用いて、鍵Ｋを次
のように作る。　　　　　　…（ステップ５１５　）　
　　　Ｋ＝ｇｕ．ｕ．ｒ　ｍｏｄ　　ｎ　　Ｕ１→Ｕ２
：ＩＤ１　，Ｘ　　　　　　　　　　　　　　　　　　
　　　　　　…（ステップ５０１，５０４　）　　Ｕ２
：乱数Ｅを生成。 　　Ｕ２→Ｕ１：Ｅ 　　Ｕ１：Ｙ＝Ｒ・Ｓ１　Ｅ　ｍｏｄ　　ｎを計算。　
　　　　　　　　　　　…（ステップ５１６　）　　Ｕ
１→Ｕ２：Ｙ　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　…（ステップ５０
３　）　　Ｕ２：Ｘ０　＝Ｙｕ　・Ｉ１　Ｅ　ｍｏｄ　
　ｎを計算し、（ステップ５２１　）Ｘと比較する。　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　…（ステップ５２２　）【０
０２９】等しくなければ局１と認めず、処理を中止する
。Ｘ０　とＸが等しければ相手を局１と認めて、自分の
秘密鍵ｄ２　（＝Ｂ）を用いてＸからＫを次式によって
生成する。 　　Ｋ＝ＸＢ　ｍｏｄ　　ｎ　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ５２３　）【００３０】特徴：この第１の実施例によ
る方式は局２が生成した乱数Ｅに依存して鍵配送情報Ｙ
が生成されるので、同じＹを成り済ましのために再使用
することは困難となっている。また、本方式は受信者か
ら送信者への向きの通信（Ｕ２→Ｕ１：Ｅ）を含んでい
るので非実時間の通信には余り適さない。しかし、従来
のタイムスタンプ方式に比べた場合、送信局は正当性の
判断はＸとＸ０　が一致するか否かによって実現されて
いるのでタイムスタンプの場合のような判断の曖昧さが
無くなっており、システム設計が極めて容易になってい
る。次に第２の実施例を図６に基づいて説明する。 【００３１】ここでは暗号鍵Ｋを用いて平文Ｍから暗号
文Ｃを求める手続きをＣ＝ｅＫ（Ｍ）と書き、逆に暗号
鍵Ｋを用いて暗号文Ｃから平文Ｍを求める手続きをＭ＝
ｄＫ（Ｃ）と書くことにする。なお関数ｆ（）は一方向
性関数、すなわち入力から出力を求めることは容易であ
るが出力から入力を求めることは計算量的に困難である
ような関数を表すものとする。まず局１ｂにおける処理
について説明する。 ＜局１ｂの処理＞ 　　１：局２ｂの公開情報Ｐ２　を入手。　　　　　　
　　　　　　　　　　　　…（ステップ６１１　）　　
２：乱数ｒ（１≦ｒ≦ｎ−１）を生成し、これに基づい
て乱数Ｒ，Ｘ，Ｋを次のように計算する。 　　　　Ｒ＝（Ｐ２　ｕ　・Ｉ２　）ｒ　ｍｏｄ　　ｎ
　　　　　　　　　　　　　　　　…（ステップ６１２
　）　　　　Ｘ＝Ｒｕ　ｍｏｄ　　ｎ　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　…（ス
テップ６１３　）　　　　Ｋ＝ｇｕ．ｕ．ｒ　ｍｏｄ　
　ｎ　　　　　　　　　　　　　　　　　　　　　　　
　　　…（ステップ６１４　）　　３：暗号文を作成。 Ｃ＝ｅＫ（Ｍ）　　　　　　　　　　　　　　　　　　
…（ステップ６１５　）　　４：Ｅ＝ｆ（Ｘ，Ｃ）を計
算。　　　　　　　　　　　　　　　　　　　　　　…
（ステップ６１６　）　　５：Ｙ＝ＲＥ　・Ｓ１　ｍｏ
ｄ　　ｎを計算。　　　　　　　　　　　　　　…（ス
テップ６１７　）　　６：ＩＤ１ｂ，Ｃ，Ｘ，Ｙを局２
ｂへ送付。　　　　　　…（ステップ６０１　〜６０４
　）【００３２】次に、局２ｂにおける処理について説
明する。 ＜局２ｂの処理＞ 　　１：Ｚ＝Ｙｕ　・Ｉ１　ｍｏｄ　　ｎを計算。　　
　　　　　　　　　　　　…（ステップ６２１　）　　
２：Ｅ０　＝ｆ（Ｘ，Ｃ）を計算。　　　　　　　　　
　　　　　　　　　　　…（ステップ６２２　）　　３
：Ｚ０　＝ＸＥ０ｍｏｄ　　ｎを計算。　　　　　　　
　　　　　　　　　　　…（ステップ６２３　）　　４
：ＺとＺ０　を比較して等しくなければ、局１ｂからの
通信と認めず、処理を中止する。またＺとＺ０　が等し
ければ、相手を局１ｂと認めて次の処理に移る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ６２４　）　　４：自局２ｂの秘密鍵
ｄ２　（＝Ｂ）を用いてＸからＫを次式によって生成す
　　る。　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ６２５　）　　　　Ｋ＝ＸＢ　ｍｏｄ
　　ｎ 　　５：Ｍ＝ｄＫ（Ｃ）によって平文を求める。　　　
　　　　　　　…（ステップ６２６　）【００３３】こ
の第２の実施例では送信者の認証メカニズムとして拡張
Ｆｉａｔ−Ｓｈａｍｉｒ　法２を用いた構成を示したが
、この方式はＦｉａｔ−Ｓｈａｍｉｒ　法、および拡張
Ｆｉａｔ−Ｓｈａｍｉｅ　法１を用いても実現できる。 次に、第３の実施例を図７に基づいて説明する。まず局
１ｃにおける処理について説明する。 ＜局１ｃの処理＞ 　　１：局２ｃの公開情報Ｐ２　を入手。　　　　　　
　　　　　　　　　　　　…（ステップ７１１　）　　
２：乱数ｒ（１≦ｒ≦ｎ−１）を生成し、これに基づい
て乱数Ｒ，Ｘ，Ｋを次のように計算する。 　　　　Ｒ＝（Ｐ２　ｕ　・Ｉ２　）ｒ　ｍｏｄ　　ｎ
　　　　　　　　　　　　　　　　…（ステップ７１２
　）　　　　Ｘ＝Ｒｕ　ｍｏｄ　　ｎ　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　…（ス
テップ７１３　）　　　　Ｋ＝ｇｕ．ｕ．ｒ　ｍｏｄ　
　ｎ　　　　　　　　　　　　　　　　　　　　　　　
　　　…（ステップ７１４　）　　３：暗号文作成。Ｃ
＝ｅＫ（Ｍ）　　　　　　　　　　　　　　　　　　　
　…（ステップ７１５　）　　４：Ｅ＝ｆ（Ｘ，Ｃ）　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　…（ステップ７１６　）　　５：Ｙ＝Ｒ・Ｓ１
　Ｅ　ｍｏｄ　　ｎを計算。　　　　　　　　　　　　
　　…（ステップ７１７　）　　６：ＩＤ１ｃ，Ｃ，Ｅ
，Ｙを局２ｃへ送付。　　　　　　…（ステップ７０１
　〜７０４　）【００３４】次に、局２ｃにおける処理
について説明する。 ＜局２ｃの処理＞ 　　１：Ｘ０　＝Ｙｕ　・Ｉ１　Ｅ　ｍｏｄ　　ｎ　　
　　　　　　　　　　　　　　　　…（ステップ７２１
　）　　２：Ｅ０　＝ｆ（Ｘ０　，Ｃ）　　　　　　　
　　　　　　　　　　　　　　　　　　　…（ステップ
７２２　）　　３：ＥとＥ０　を比較して等しくなけれ
ば局１ｃからの通信と認めず、処理を中止する。またＥ
とＥ０　が等しければ相手を局１ｃと認めて次の処理に
移る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ７２３　）　　４：自分の秘密鍵ｄ２
　（＝Ｂ）を用いてＸ０　からＫを次式によって生成す
る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ７２４　）　　　　Ｋ＝ＸＢ　ｍｏｄ
　　ｎ 　　５：Ｍ＝ｄＫ（Ｃ）によって平文を求める。　　　
　　　　　　　…（ステップ７２５　）【００３５】こ
の第３の実施例では、認証メカニズムとして拡張Ｆｉａ
ｔ−Ｓｈａｍｉｒ　法１を用いた構成を示したが、この
方式はＦｉａｔ−Ｓｈａｍｉｒ　法でも実現できる。ま
た、第２の実施例と第３の実施例を比較した場合、送受
信２つの局が行う処理量は大差ない。ただしステップ６
０１　〜６０４　で送られる送信情報の内、第３番目の
要素がステップ７０１〜７０４　ではＸからＥに代わっ
ている点が異なる。一般にＸは法ｎ程度の桁数となるが
、Ｅはそれよりも小さく取ることも可能であり、その分
だけ第３の実施例の方が通信量を削減できる利点がある
。 【００３６】つづいて、第３の実施例の変形方式として
処理量または通信量が削減されている第４、第５の実施
例を述べる。これらは第３の実施例を原形としているの
で拡張Ｆｉａｔ−Ｓｈａｍｉｒ　法１またはＦｉａｔ−
Ｓｈａｍｉｒ　法を用いて実現できる。 【００３７】まず、第４の実施例を図８に基づいて説明
する。 ＜局１ｄの処理＞ 　　１：局２ｄの公開情報Ｐ２　を入手。　　　　　　
　　　　　　　　　　　　…（ステップ８１１　）　　
２：乱数ｒ（１≦ｒ≦ｎ−１）を生成し、これに基づい
て乱数Ｒ，Ｘ，Ｋを次のように計算する。 　　　　Ｒ＝（Ｐ２　ｕ　・Ｉ２　）ｒ　ｍｏｄ　　ｎ
　　　　　　　　　　　　　　　　…（ステップ８１２
　）　　　　Ｋ＝ｇｕ．ｕ．ｒ　ｍｏｄ　　ｎ　　　　
　　　　　　　　　　　　　　　　　　　　　　…（ス
テップ８１３　）　　３：暗号文作成。Ｃ＝ｅＫ（Ｍ）
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ８１４　）　　４：Ｅ＝ｆ（Ｋ，Ｃ）　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　…（
ステップ８１５　）　　５：Ｙ＝Ｒ・Ｓ１　Ｅ　ｍｏｄ
　　ｎを計算。　　　　　　　　　　　　　　…（ステ
ップ８１６　）　　６：ＩＤ１ｄ，Ｃ，Ｅ，Ｙを局２へ
送付。　　　　　　　　…（ステップ８０１　〜８０４
　）【００３８】次に、局２ｄにおける処理について説
明する。 ＜局２ｄの処理＞ 　　１：Ｘ０　＝Ｙｕ　・Ｉ１　Ｅ　ｍｏｄ　　ｎ　　
　　　　　　　　　　　　　　　　…（ステップ８２１
　）　　２：自局の秘密鍵ｄ２　（＝Ｂ）を用いてＸか
らＫ０　を次式によって生成する。 　　　　　　Ｋ０　＝Ｘ０　Ｂ　ｍｏｄ　　ｎ　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ８２２　）　　３：Ｅ０　＝ｆ（Ｋ０　，Ｃ）　　　
　　　　　　　　　　　　　　　　　　　　　　　…（
ステップ８２３　）　　４：ＥとＥ０　を比較して等し
くなければ局１ｄからの通信と認めず、処理を中止する
。またＥとＥ０　が等しければ相手を局１ｄと認めて次
の処理に移る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ８２４　）　　５：Ｍ＝ｄＫ（Ｃ）に
よって平文を求める。　　　　　　　　　　…（ステッ
プ８２５　）【００３９】この第４の実施例の方式では
第３の実施例で送信側で作成していたＸを省略したので
その分だけ処理量が削減されている。これは多倍長整数
のべき乗剰余計算１回に相当するが、この計算は一般に
処理量が大きく、第３の実施例の代わりに第４の実施例
を用いることにより処理時間削減効果は大きい。Ｘを作
成しないのでＥをＫとＣから生成しているが、Ｋ＝ＸＢ
　ｍｏｄｎの関係に着目すると、 　　　　Ｅ＝ｆ（Ｋ，Ｃ）＝ｆ（ＸＢ　ｍｏｄ　　ｎ，
Ｃ）＝ｆ０　（Ｘ，Ｃ）　　　　（但し、ｆ０　（）は
一方向性関数）と変形できるのでこの方式の安全性は、
第３の実施例と同じであると考えられる。 【００４０】以上述べてきた第２から第３の実施例では
いずれも鍵共有情報を暗号文Ｃに依存するように作成し
ていた。これを平文Ｍに依存させるように変形してもこ
れらの実施例とまったく同様にして鍵共有情報の再送に
よる成り済まし攻撃を防ぐことができる。例えば、第４
の実施例において、局１ｄの処理のステップ８１５　を
Ｅ＝ｆ（Ｋ，Ｍ）に置き換えても良い。これに伴い局２
ｄの処理順序に多少の変更は必要であるがその変更は容
易である。ただし、実施例で示したように暗号文Ｃに依
存させる構成の方が受信側でＭを復号する前に送信者の
正当性確認ができるので、万一不正な送信者からのメッ
セージであった場合に無用な復号処理を行う前に処理を
中止することが可能となり、平文Ｍに依存させる構成よ
りも若干優れていると考えられる。 【００４１】第５の実施例を図９に基づいて説明する。 次に、局１ｅにおける処理について説明する。 ＜局１ｅの処理＞ 　　１：局２ｅの公開情報Ｐ２　を入手。　　　　　　
　　　　　　　　　　　　…（ステップ９１１　）　　
２：乱数ｒ（１≦ｒ≦ｎ−１）を生成し、これに基づい
て乱数Ｒ，Ｘ，Ｋを次のように計算する。 　　　　Ｒ＝（Ｐ２　ｕ　・Ｉ２　）ｒ　ｍｏｄ　　ｎ
　　　　　　　　　　　　　　　　…（ステップ９１２
　）　　　　Ｋ＝ｇｕ．ｕ．ｒ　ｍｏｄ　　ｎ　　　　
　　　　　　　　　　　　　　　　　　　　　　…（ス
テップ９１３　）　　３：暗号文作成。Ｃ＝ｅＫ（Ｍ）
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ９１４　）　　４：Ｅ＝ｆ（Ｃ）　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
…（ステップ９１５　）　　５：Ｙ＝Ｒ・Ｓ１　Ｅ　ｍ
ｏｄ　　ｎを計算。　　　　　　　　　　　　　　…（
ステップ９１６　）　　６：ＩＤ１ｅ，Ｃ，Ｅ，Ｙを局
２へ送付。　　　　　　　　…（ステップ９０１　〜９
０３　）　　次に、局２ｅにおける処理について説明す
る。 ＜局２ｅの処理＞ 　　１：Ｅ０　＝ｆ（Ｃ）　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　…（ステップ
９２１　）　　２：Ｘ０　＝Ｙｕ　・Ｉ１　Ｅ０ｍｏｄ
　　ｎ　　　　　　　　　　　　　　　　　　…（ステ
ップ９２２　）　　３：自局２ｅの秘密鍵ｄ２　（＝Ｂ
）を用いてＸからＫ０　を次式によって生成する。　　
Ｋ０　＝Ｘ０　Ｂ　ｍｏｄ　　ｎ　　　　　　　　　　
　　　　　　　　　　　　　　…（ステップ９２３　）
　　４：Ｍ０　＝ｄＫ０　（Ｃ）によって平文を求める
。　　　　　　…（ステップ９２４　）【００４２】こ
の第５の実施例の方式では第３の実施例で送信側で作成
していたＸを省略したのでその分だけ処理量が削減され
ていると共に鍵配送情報からＥを削除している。これに
よって処理量の削減と通信量の削減が実現されている。 これに伴ってＥをＣのみから作成する形となっているが
、Ｃ＝ｅＫ（Ｍ）という関係があり、Ｅ＝ｆ（Ｃ）＝ｆ
０　（Ｋ，Ｃ） （但し、ｆ０　（）は一方向性関数） と変形できるので受信側でＥ０　の正当性を確認できれ
ば、この方式の安全性は第３の実施例と同じであると考
えられる。局２ｅの処理ではＥ０　の正当性確認は顕に
は行われていないが、仮にＥ０　が送信側で作成したＥ
と異なっているならば、その影響はＭ０　まで伝搬し、
局２ｅのステップ９２４　で復号した平分は送信された
平分Ｍと一致しなくなる。この影響は例えばＭが日本語
の文章だった場合を例にとれば、Ｍ０　がでたらめな文
字列になるという形で検出される。より一般的には、平
分Ｍにある種の構造的な冗長度がある場合には復号文Ｍ
０　にもその冗長性があるかどうかを確認することによ
ってＥ０　の正当性の確認、すなわち送信局の認証が実
現できる。また平文Ｍに構造的な冗長度がない場合には
人為的に冗長度を付加することができる。例えば、メッ
セージ認証コードはその一手法として利用可能である。 【００４３】以上の鍵共有方式は全て、認証機能をＦｉ
ａｔ−Ｓｈａｍｉｒ　法をベースに構成しており、シス
テムの法ｎの素因数分解の困難さに基づいている。一方
、素因数分解と同様に計算量的に困難であると考えられ
ている問題に離散対数問題がある。次に、離散対数問題
の困難さに基づき、メッセージの再送攻撃に対抗可能な
鍵共有方式を第６の実施例として、図１０のシステム構
成図と図１１に基づいて説明する。 【００４４】まず、システム構成に関して説明する。 ＜センタ鍵の作成＞ センタは大きい素数ｐを生成し、ＧＦ（ｐ）の生成元と
なる整数ｇを選ぶ。また、一方向性の関数ｆを定め、こ
れらの情報を公開する。 ＜局鍵の作成＞局Ｕ１　は、秘密情報ｘ１　（１≦ｘ１
　≦ｐ−１）を定め、公開情報Ｐ１　を次式により定め
る。 Ｐ１　＝ｇｘ１ｍｏｄ　　ｎ 【００４５】＜公開鍵証明書の作成＞局Ｕ１　は、公開
情報Ｐ１　とＩＤ情報ＩＤ１　をセンタに送る。センタ
は、（ＩＤ１　，Ｐ１　）と局Ｕ１　の対応を確認した
後、（ＩＤ１　，Ｐ１　）のペアに対し、ＥｌＧａｍａ
ｌ　署名法もしくは、Ｓｃｈｎｏｒｒ　署名法を利用し
てディジタル署名情報Ｃｅｒｔ１　を作成する。この情
報は局Ｕ１　の公開情報Ｐ１　に対する証明書（Ｃｅｒ
ｔｉｆｉｃａｔｅ　）として利用される。すなわち、局
Ｕ１　の公開情報Ｐ１　の正当性は、それに対するセン
タの署名Ｃｅｒｔ１　を検査することで行える。全局の
公開情報Ｐ１　と証明書Ｃｅｒｔ１　は公開ファイルに
登録される。なお、ＥｌＧａｍａｌ　署名法の詳細は、
例えば文献：Ｔ．ＥｌＧａｍａｌ，”Ａ　ｐｕｂｌｉｃ
　ｋｅｙ　ｃｒｙｐｔｏｓｙｓｔｅｍ　ａｎｄ　ａ　ｓ
ｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎｄ
ｉｃｒｅｔｅ　ｌａｇａｒｉｔｈｍ　”，Ｌｅｃｔｕｒ
ｅ　ｎｏｔｅｓ　ｏｎ　ｃｏｍｐｕｔｅｒ　ｓｃｉｅｎ
ｃｅ，　Ａｄｖａｎｃｅｓ　ｉｎｃｒｙｐｕｔｏｌｏｇ
ｙ　−　Ｃｒｙｐｔｏ’８４，　Ｓｐｒｉｎｇｅｒ−Ｖ
ｅｒｌａｇ，　ｐｐ．１０−１８，　Ｓｃｈｎｏｒｒ　
　署名法の詳細は、例えば文献：Ｃ．Ｐ．Ｓｃｈｎｎｏ
ｒｒ，　“Ｅｆｆｉｃｉｎｅｔ　ｉｄｅｎｔｉｆｉｃａ
ｔｉｏｎ　ａｎｄ　ｓｉｇｎａｔｕｒｅｓ　ｆｏｒ　ｓ
ｍａｒｔ　ｃａｆｄｓ　”，　Ｌｅｃｔｕｒｅ　ｎｏｔ
ｅｓｏｎ　ｃｏｍｐｕｔｅｒ　ｓｃｉｅｎｃｅ　Ａｄｖ
ａｎｃｅｓ　ｉｎｃｒｙｐｔｏｌａｇｙ　−　Ｃｒｙｐ
ｔｏ’８９，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ．
２３９−２５２が挙げられる。次に、鍵配送手順を説明
する。ここでは、局１ｆが局２ｆとの間で一方向通信に
より鍵共有を行う手順を示す。 ＜局１ｆの処理＞ 　　１：公開フィルムから局２ｆの公開情報Ｐ２ｆと証
明書Ｃｅｒｔ２ｆを読み出す。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ１０１１）　　２：公開情報Ｐ２ｆと
証明書Ｃｅｒｔ２ｆから公開情報Ｐ２ｆの正当性を確認
する。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ１０１２）　　３：乱数ｔ（１≦ｔ≦
ｐ−１）を作成し、共有鍵Ｋを次式により求める。 　　　　Ｋ＝Ｐ２ｆｔ　ｍｏｄ　　ｐ＝ｇＸ　２ｆｔ　
ｍｏｄ　　ｐ　　　　　　　　…（ステップ１０１３）
　　４：鍵Ｋにより、暗号文を作成する。Ｃ＝ｅＫ（Ｍ
）　　…（ステップ１０１４）　　５：以上の情報と秘
密情報ｘ１ｆから次の計算を行う。 　　　　Ｘ＝ｇｔ　ｍｏｄ　　ｐ　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ１０１５）　　　　Ｅ＝ｆ（Ｘ，Ｃ）　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
…（ステップ１０１６）　　　　Ｙ＝ｘ１ｆ・Ｅ＋ｔ　
　ｍｏｄ　　ｐ−１　　　　　　　　　　　　　　　　
…（ステップ１０１７）　　６：ＩＤ１ｆ，Ｅ，Ｙ，Ｃ
，Ｐ１ｆ，Ｃｅｒｔ１ｆを局２ｆへ送信。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　…（ステ
ップ１０１８〜１０２３）＜局２ｆの処理＞ 　　１：Ｐ１ｆとＣｅｒｔ１ｆから公開情報Ｐ１ｆの正
当性を確認する。…（ステップ１０３１）　　２：局１
ｆからの送信情報と公開情報Ｐ１ｆから次の計算を行う
。 　　　　Ｘ０　＝ｇＹ　／Ｐ１ｆＥ　ｍｏｄ　　ｐ　　
　　　　　　　　　　　　　　　　　　…（ステップ１
０３２）　　　　Ｅ０　＝ｆ（Ｘ０　，Ｃ）　　　　　
　　　　　　　　　　　　　　　　　　　　　　　…（
ステップ１０３３）　　３：ＥとＥ０　が一致している
かどうかを確認。一致していれば相手を局１ｆと認める
。　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ１０３４）　　４：共有鍵Ｋを次式による求める。 　　　　Ｋ＝Ｘ０　ｘ２ｆｍｏｄ　　ｐ＝ｇｘ２ｆｔｍ
ｏｄ　　ｐ　　　　　　…（ステップ１０３５）　　５
：Ｍ＝ｄｋ（Ｃ）によって平文を求める。　　　　　　
　　　　…（ステップ１０３６）【００４６】この第６
の実施例の方式は、第３、４、５の実施例の方式と比べ
て、局１ｆの秘密情報がｘ１ｆの一つのみと少ないこと
、このｘ１ｆは離散対数問題が困難である限りセンタで
あっても求めることのできない情報であるため、センタ
の不正行為に対し、第３、４、５の実施例の方式よりも
安全性が高いという利点がある。なお、この第６の実施
例において、第１の実施例と同様に、Ｅを局２ｆが乱数
により生成し、局１ｆに送信するように変更してもよい
。このようにすると、双方向通信による鍵共有方式にな
る。 【００４７】以上、鍵配送方式として利用する方法につ
いて説明してきたが、ここに挙げた幾つかの方式はもと
もと零知識証明プロトコルの非対話版に基づくディジタ
ル署名法を発信者認証メカニズムとして利用しているの
で、ディジタル署名法としても利用可能である。次に、
第３の実施例に多少の変形を加える事によってディジタ
ル署名を実現した、第７の実施例を図１２に基づいて説
明する。 【００４８】 ＜ディジタル署名＞ 　　１：第３の実施例の処理と同様に、局１ｆは暗号文
Ｃを次のように作成する。 ただし、記号‖は連結を表すものとする。 　　　　Ｃ＝ｅｋ（Ｍ‖ｈ（Ｋ‖Ｍ））　　２：１ｇは
次のようなディジタル署名文１を、認証する局２ｇに送
る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ１１０１）　　　　署名文１：（ＩＤ
１ｆ，ＩＤ２ｆ，Ｃ，Ｙ，Ｅ）　　ここでＹ，Ｅは第３
の実施例同様に作成される。 　　３：局２ｇは自分の秘密鍵ｄ２　を用いて第３の実
施例と同じ要領で鍵Ｋを作成し、ＣをＫで復号して平文
が所定の構造（Ｍ‖ｈ（Ｋ‖Ｍ））を持つことを確認す
る。　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　…（
ステップ１１０２）　　４：さらに、第３者の署名確認
が必要な場合には局２ｇは第３者局３に　　　　署名文
２：（ＩＤ１ｆ，Ｃ，Ｙ，Ｅ，Ｋ）を開示する。　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　…（ステップ１１０３）　　
５：第３者は署名文２を次にような判断に従って確認す
る。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　…（ステップ１１０４）５−１：まず次のようにＸ
０　，Ｅ０　を計算する。 Ｘ０　＝Ｙｕ　・Ｉ１　Ｅ　ｍｏｄｎ Ｅ０　＝ｆ（Ｃ，Ｘ０　） ５−２：ＥとＥ０　が等しければ次のステップに進み、
等しくなければ局１ｇの署名では無いとして処理を終了
する。 ５−３：Ｍ０　＝ｄＫ（Ｃ）を求めて、Ｍ０　が所定の
構造（Ｍ‖ｈ（Ｋ‖Ｍ））を持つことを確認する。もし
所定の構造を持たないならば、局１ｇの署名では無いと
して処理を終了する。所定の構造を持つならば第３者は
これが局１ｇの作った署名文であると認める。 【００４９】この署名法の特徴は署名文１を認証できる
のは局２ｇに限られる事であり、正しいＫを公開しない
限り第３者は署名文の認証ができない。そのため当事者
である局１ｇ，２ｇがＫを秘密に保つ限りは第３者によ
る署名文の持ち逃げを防げる。なお、正しいＫと共に公
開される署名文２は、だれでも認証できるので従来の署
名文と同じ機能（メッセージの作成者を特定する機能）
を持っている。 【００５０】鍵共有としてのここまでの実施例では、基
本メカニズムとして零知識証明プロトコルを利用してい
たが、一般の公開鍵暗号を利用した鍵配送においても再
送攻撃防止のために本発明を利用できる。 【００５１】鍵共有としてのここまでの実施例は、全て
２者間の鍵共有に限定された方式であった。それは、送
信者の生成する乱数が共有鍵に関わる１種類しかなく、
３者以上のグループ鍵共有に利用すると、送信者秘密情
報が漏洩する構造になっているためである。次に、３者
以上のグループ鍵共有に適用できる方式をいくつか実施
例として説明する。グループ鍵共有においても、鍵配送
情報の再送によるなりすましの可能性があるので、それ
に対抗する手段を施している点に注意されたい。 【００５２】まず、第８の実施例として、第３の実施例
の方式をグループ鍵共有に利用できる形式に変更したも
のを説明する。 【００５３】センタによる前準備であるセンタ鍵の作成
、局鍵の作成の手順は、先に第１〜６の実施例において
説明したものと同じである。従って、図３に示したシス
テム構成となる。次に具体的なグループ鍵共有の手順を
説明する。まず、グループ内の任意の局がピボット局と
なり、ピボット局とそれ以外の複数の局とのスター状の
通信によりグループ鍵を共有する。以下では、ピボット
局を局１ｈとそれ以外の局２ｈとの間の手順を説明する
。まず、局１ｈにおける処理について説明する。 ＜局１ｈの処理＞ 　　１：局２ｈの公開情報Ｐ２ｈを取得。　　　　　　
　　　　　　　　　　　　…（ステップ１２１１）　　
２：グループ鍵用の乱数ｒ（１≦ｒ≦ｎ−１）を生成し
、これに基づいて共有鍵Ｋを次式により計算する。 　　　　Ｋ＝ｇｕｒｍｏｄ　　ｎ　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ１２１２）　　３：鍵Ｋで平文を暗号化する。Ｃ＝ｅ
Ｋ（Ｍ）　　　　　　　　…（ステップ１２１３）　　
４：乱数ｒを局２ｈ向けに暗号化した情報Ｚ２ｈを作成
する。 　　　　Ｚ２ｈ＝（Ｐ２ｈｕ　・Ｉ２ｈ）ｒ　ｍｏｄ　
　ｎ　　　　　　　　　　　　　　…（ステップ１２１
４）　　５：乱数ｔ２ｈを生成し、以下の計算により認
証情報を作成する。 　　　　Ｘ２ｈ＝ｔ２ｈｕ　ｍｏｄ　　ｎ　　　　　　
　　　　　　　　　　　　　　　　　　　　…（ステッ
プ１２１５）　　　　Ｅ２ｈ＝ｆ（Ｃ，Ｘ２ｈ）　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
…（ステップ１２１６）　　　　Ｙ２ｈ＝ｔ２ｈ・Ｓ１
ｈＥ２ｈｍｏｄ　　ｎ　　　　　　　　　　　　　　　
　　　…（ステップ１２１７）　　６：ＩＤ１ｈ，Ｃ，
Ｅ２ｈ，Ｙ２ｈ，Ｚ２ｈを局２ｈへ送信。 　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　…（ステ
ップ１２０１〜１２０５）【００５４】次に、局２ｈに
おける処理について説明する。 ＜局２ｈの処理＞ 　　１：Ｘ２ｈＯ　＝Ｙ２ｈｕ　・Ｉ１ｈＥ２ｈｍｏｄ
　　ｎ　　　　　　　　　　　　…（ステップ１２２１
）　　２：Ｅ１ｈＯ　＝ｆ（Ｃ，Ｘ２ｈＯ　）を計算。 　　　　　　　　　　　　　　…（ステップ１２２２）
　　３：ＥとＥ２ｈＯ　が一致しているかどうかを確認
。一致していれば相手を局１ｈと認める。　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　…（ステップ１２２３）　　４
：共有鍵Ｋを次式により求める。 　　　　Ｋ＝Ｚ２ｈＯ　ｄ２ｈｍｏｄ　　ｎ＝ｇｕｒｍ
ｏｄ　　ｎ　　　　　　　　…（ステップ１２２４）　
　５：Ｍ＝ｄＫ（Ｃ）によって平文を求める。　　　　
　　　　　　…（ステップ１２２５）【００５５】以上
の処理により、局１ｈと局２ｈの間で鍵Ｋが共有される
。次に、局１ｈは他の局３ｈとの間で前記手順を行うこ
とにより同じ鍵Ｋの配送を行う。このときに、グループ
鍵用の乱数ｒは固定値であるのに対し、認証情報（Ｅ３
ｈ，Ｙ３ｈ）の作成時に用いる乱数ｔ３ｈは局２ｈとの
手順で用いたものとは変更されることに注意が必要であ
る。 【００５６】上記手順は認証情報Ｅ２ｈ，Ｅ３ｈが暗号
文Ｃに依存している点が特徴であり、このことにより、
鍵配送情報の再送によるなりすましを防止している。こ
の実施例の手順は、前記拡張Ｆｉａｔ−Ｓｈａｍｉｒ法
１を利用して、暗号化情報Ｚ２ｈに対する署名を作成す
る構成となっているが、Ｆｉａｔ−Ｓｈａｍｉｒ　法や
拡張Ｆｉａｔ−Ｓｈａｍｉｒ法２を利用して署名を作成
することも可能である。なお、前記手順においてＥ２ｈ
を局１ｈが生成するのではなく、第１の実施例と同様に
、局２ｈが生成して局１ｈに送るように変更してもよい
。この場合には、ピボット局１ｈと他局２ｈとの双方向
の通信によるグループ鍵共有方式となる。 【００５７】次に第９の実施例として、代表的な公開鍵
暗号であるＲＳＡ暗号系（文献：Ｒ．Ｌ．Ｒｉｃｅｓｔ
，ｅｔ．ａｌ，　”Ａ　ｍｅｔｈｏｄ　ｆｏｒ　ｏｂｔ
ａｉｎｉｎｇ　ａ　ｐｕｂｌｉｃ−ｋｅｙ　ｃｒｙｐｔ
ｏｓｉｓｔｅｍ　ａｎｄａ　ｄｉｇｉｔａｌ　ｓｉｇｎ
ａｔｕｒｅ”，　Ｃｏｍｍ．ｏｆ　ＡＣＭ　，ｐｐ．１
２０−１２６，Ｆｅｂ．１９７８　）を利用した構成を
図１１に基づいて説明する。説明を簡単にするためにこ
こでは任意の局の公開鍵は改ざん不可能リストに登録さ
れているものとする。また、次のような記号の定義を行
う。 　　局ｉの公開鍵による暗号化処理：　　Ｃ＝ＰＫｉ　
（Ｍ）＝ＭＡｉｍｏｄ　　ｎｉ　　局ｉの秘密鍵による
復号処理　　：　　Ｍ＝ＳＫｉ　（Ｃ）＝ＣＢｉｍｏｄ
　　ｎｉ　 【００５８】次に、局１ｉにおける処理について説明す
る。 ＜局１ｇの処理＞ 　　１：乱数Ｋを生成し、これを鍵とする。　　　　　
　　　　　　　　　…（ステップ１３１１）　　２：Ｃ
＝ｅＫ（Ｍ）により平文Ｍを鍵Ｋで暗号化する。…（ス
テップ１３１２）　　３：Ｈ＝ｆ（Ｃ，Ｋ）によりハッ
シュ値Ｈを計算する。…（ステップ１３１３）　　４：
Ｙ＝ＰＫ２　（ＳＫ１　（ＩＤ１　‖Ｋ‖Ｈ））により
鍵共有情報Ｙを計算する。　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　…（ステップ１３１４）　　５：
ＩＤ１ｉ，Ｃ，Ｙを局２ｉへ送る。　　　　　　　　　
　…（ステップ１３０１〜１３０３）　　次に、局２ｉ
における処理について説明する。 ＜局２ｉの処理＞ 　　１：Ｚ＝ＰＫ１ｉ（ＳＫ２ｉ（Ｙ））　　　　　　
　　　　　　　　　　　　　　…（ステップ１３２１）
ＩＤ１ｉが所定の書式に従ってＺに含まれる事を確認す
る。含まれていない場合には処理を中止する。 　　２：ＺからＫ，Ｈを取りだし、Ｈ０　＝ｆ（Ｃ，Ｋ
）を計算し、　　　　　　　　　　　　　　　　　　　
　　　　　　　　　　　　　　　　　　　　　　　　　
　　　　　　　　…（ステップ１３２２）Ｈ０　が一致
する事を確認する。　　　　　　　　　　　　　　　　
　　　　　　　　…（ステップ１３２３）一致しない場
合には処理を中止する。 　　３：ステップ１３２２で取り出したＫを用いてＣを
復号する、　　なお、局１ｉにおけるステップ１３１４
を次のように変更することも可能である。 　　４′：Ｙ＝ＳＫ１ｉ（ＰＫ２ｉ（ＩＤ１ｉ‖Ｋ‖Ｈ
‖））により鍵共有情報Ｙを計算する。 【００５９】この場合局２ｉの処理におけるステップ１
１２１は次のようになる。１′：Ｚ＝ＳＫ２ｉ（ＰＫ１
ｉ（Ｙ））を求め、ＩＤ１ｉが所定の書式に従ってＺに
含まれることを確認する。含まれていない場合には処理
を中止する。 【００６０】上述した第９の実施例ではＲＳＡ暗号をデ
ィジタル署名と暗号化の両方に使用する例を説明したが
、ディジタル署名を実現できる方式と公開鍵暗号による
暗号化を実現できる方式の２つを用いれば上記手順と同
様にして鍵配送が実現できる。 【００６１】上述したように、上記各実施例によれば、
２者間の鍵共有方式や３者以上のグループ鍵共有方式に
おける鍵配送情報の再送による成り済ましを防止するこ
とができる。このとき、タイムスタンプを利用する従来
の対策と比べて、受信側での正当性確認を曖昧さなしに
行うことができ、さらにタイムスタンプが必ずしも有効
に働かないメール通信のように比較的伝送遅延の大きい
通信に用いても安全で再送に基づく成り済まし攻撃が不
可能となる等の効果を奏する。 【００６２】 【発明の効果】以上述べたように本発明によれば、鍵配
送情報の再送によるなりすましを防止できる鍵共有方式
を実現できる。特に、本発明による幾つかの方式は、電
子メールのような非実時間通信においても再送攻撃を簡
便に防止でき、受信側で、送信者の正当性確認を曖昧さ
なしに行えるという特徴を有する。

【図面の簡単な説明】

【図１】　　本発明による暗号通信システムの概念図。

【図２】　　本発明による暗号通信システムの別の概念
図。

【図３】　　実施例１〜６に共通のシステム構成図。

【図４】　　拡張Ｆｉａｔ−Ｓｈａｍｉｒ　法の概念図
。

【図５】　　第１の実施例の鍵配送手順を示す図。

【図６】　　第２の実施例の鍵配送手順を示す図。

【図７】　　第３の実施例の鍵配送手順を示す図。

【図８】　　第４の実施例の鍵配送手順を示す図。

【図９】　　第５の実施例の鍵配送手順を示す図。

【図１０】　　第６の実施例におけるシステム構成図。

【図１１】　　第６の実施例の鍵配送手順を示す図。

【図１２】　　第７の実施例の鍵配送・ディジタル署名
手順を示す図。

【図１３】　　第８の実施例の鍵配送手順を示す図。

【図１４】　　第９の実施例の鍵配送手順を示す図。

【図１５】　　タイム・スタンプを用いた従来方式の鍵
配送手順を示す図。

【符号の説明】

１…局１ ２…局２

Claims (5)

【特許請求の範囲】
1. 【請求項１】　　少なくとも暗号鍵の介在の下に被送信
   情報を暗号化して得られる暗号文と、少なくともこの暗
   号文と受信局の公開情報とから生成される鍵配送情報に
   よって、送信局と受信局との間の暗号通信を行うことを
   特徴とする暗号通信方法。
2. 【請求項２】　　送信局においては、送信局で生成され
   た乱数を基に生成される暗号鍵の介在の下に被送信情報
   を暗号化して得られる暗号文と、少なくともこの暗号文
   と受信局の公開情報とから生成される鍵配送情報とを送
   信し、受信局においては、少なくとも受信した鍵配送情
   報と暗号文及び当該受信局の秘密情報とから暗号鍵を復
   元し、この暗号鍵の介在の下に受信した暗号文を復号し
   て秘送信情報を得ることを特徴とする暗号通信方法。
3. 【請求項３】　　送信局においては、送信局で生成され
   た第１の乱数を基に生成される暗号鍵の介在の下に被送
   信情報を暗号化して得られる暗号文と、少なくとも受信
   局の公開情報および当該受信局で生成され当該送信局に
   送信された第２の乱数とから生成される鍵配送情報とを
   送信し、受信局においては、少なくとも受信した鍵配送
   情報と当該受信局の秘密情報及び第２の乱数とから暗号
   鍵を復元し、この暗号鍵の介在の下に暗号文を復号して
   被送信情報を得ることを特徴とする暗号通信方法。
4. 【請求項４】　　通信回線を介して接続される複数の局
   からなる通信系で、各局は公開情報とこの公開情報に対
   応する秘密情報がそれぞれ発行され、これらの各情報を
   用いて送信局から受信局へ暗号化された被送信情報を配
   送する暗号通信装置において、送信局においては、乱数
   を生成する乱数生成手段と、少なくとも受信局の公開情
   報と乱数生成手段で生成された乱数と被送信情報とから
   鍵配送情報を作成する鍵配送情報作成手段と、前記乱数
   生成手段で生成された乱数から鍵情報を作成する鍵情報
   作成手段と、この鍵情報作成手段で作成された鍵情報に
   よって被送信情報を暗号化する暗号化手段とを有し、受
   信局においては、受信した鍵配送情報と暗号化された被
   送信情報と受信局の秘密情報とから鍵情報を復元する鍵
   情報復元手段と、この鍵情報復元手段で復元された鍵情
   報を用いて暗号化された被送信情報を復号する復号手段
   とを有することを特徴とする暗号通信装置。
5. 【請求項５】　　通信回線を介して接続される複数の局
   からなる通信系で、各局は公開情報とこの公開情報に対
   応する秘密情報がそれぞれ発行され、これらの各情報を
   用いて送信局から受信局へ暗号化された被送信情報を配
   送する暗号通信装置において、送信局においては、第１
   の乱数を生成する第１の乱数生成手段と、少なくともこ
   の第１の乱数生成手段で生成された第１の乱数と入力さ
   れる第２の乱数とから鍵配送情報を作成する鍵配送情報
   作成手段と、前記第１の乱数生成手段で生成された第１
   の乱数から鍵情報を作成する鍵情報作成手段と、この鍵
   情報作成手段で作成された鍵情報によって被送信情報を
   暗号化する暗号化手段を有し、受信局においては、第２
   の乱数を生成する第２の乱数生成手段と、この第２の乱
   数生成手段で生成された第２の乱数と受信した鍵配送情
   報と受信局の秘密情報とから鍵情報を復元する鍵情報復
   元手段と、この鍵情報復元手段で復元された鍵情報を用
   いて暗号化された被送信情報を復号する復号手段とを有
   することを特徴とする暗号通信装置。