JPH05224604A - パスフレーズを用いて公用および私用キーペアを生成する方法およびその装置 - Google Patents
パスフレーズを用いて公用および私用キーペアを生成する方法およびその装置Info
- Publication number
- JPH05224604A JPH05224604A JP4231284A JP23128492A JPH05224604A JP H05224604 A JPH05224604 A JP H05224604A JP 4231284 A JP4231284 A JP 4231284A JP 23128492 A JP23128492 A JP 23128492A JP H05224604 A JPH05224604 A JP H05224604A
- Authority
- JP
- Japan
- Prior art keywords
- key
- generating
- public key
- control vector
- private key
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
- G06F9/30003—Arrangements for executing specific machine instructions
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
- H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/26—Testing cryptographic entity, e.g. testing integrity of encryption key or encryption algorithm
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】 （修正有）
【目的】 パスフレーズを用いて公用、私用のキーを生
成し、機密保護を高める。 【構成】 ユーザに知られた第１のシード値を用いて第
１の公用キー、私用キーペアを生成し、第１の公用キ
ー、私用キーペアの第１の使用を定義する第１の制御ベ
クトルを生成する。次に、ユーザに知られない第２のシ
ード値を用いて第２の公用キー、私用キーペアを生成す
るステップを継続し、第２の公用キー、私用キーペアの
第２使用を定義する第２の制御ベクトルを生成する。次
に、第１の制御ベクトルを用いて第２の公用キー、私用
キーペアの使用を制御し、また第２の制御ベクトルによ
って第２公用キー、私用キーペアの使用を制御する。
成し、機密保護を高める。 【構成】 ユーザに知られた第１のシード値を用いて第
１の公用キー、私用キーペアを生成し、第１の公用キ
ー、私用キーペアの第１の使用を定義する第１の制御ベ
クトルを生成する。次に、ユーザに知られない第２のシ
ード値を用いて第２の公用キー、私用キーペアを生成す
るステップを継続し、第２の公用キー、私用キーペアの
第２使用を定義する第２の制御ベクトルを生成する。次
に、第１の制御ベクトルを用いて第２の公用キー、私用
キーペアの使用を制御し、また第２の制御ベクトルによ
って第２公用キー、私用キーペアの使用を制御する。
Description
【０００１】
【産業上の利用分野】本発明は、広くはデータ処理のシ
ステムと方法、更に詳しくは機密保護を高めるためデー
タ処理システムに於て使用する暗号システムおよび方法
に関する。
ステムと方法、更に詳しくは機密保護を高めるためデー
タ処理システムに於て使用する暗号システムおよび方法
に関する。
【０００２】
【従来の技術およびその課題】以下の特許および同時系
属出願の特許明細書は本発明に関連し参考としてここに
記載する。
属出願の特許明細書は本発明に関連し参考としてここに
記載する。
【０００３】B.Brachtl 等の「生成ステーション設定制
御値を経由する暗号キーの制御的使用」ＵＳＰ ４，８
５０，０１７（１９８９年７月１８日、譲受人 ＩＢＭ
Corporation ） S.M. Matyas 等の「制御ベクトルを用いるキーの機密保
護管理」ＵＳＰ ４，９４１，１７６（１９９０年７月
１０日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルを用いるデータ暗号演
算」ＵＳＰ ４，９１８，７２８（１９９０年４月１７
日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルを用いる個人識別番号
処理」ＵＳＰ ４，９２４，５１４（１９９０年５月８
日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「拡張制御キーを用いるキーの機密保
護管理」ＵＳＰ ４，９２４，５１５（１９９０年５月
８日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトル変換を用いる機密保護
キー管理」ＵＳＰ ４，９９３，０６９（１９９１年２
月１２日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「プログラム可能な制御ベクトル検査
を用いる機密保護キー管理」ＵＳＰ ５，００７，０８
９（１９９１年４月９日、譲受人 ＩＢＭ Corporatio
n ） B.Brachtl 等の「公用一方向暗号化機能に基く修正検出
コードを用いるデータ認証」ＵＳＰ ４，９０８，８６
１（１９９０年３月３日、譲受人 ＩＢＭ Corporatio
n ） D.Abraham 等「外部プログラム能力を有するスマートカ
ードおよび同じくつくる方法」出願番号００４，５０１
（１９８７年１月１９日ファイル、譲受人 ＩＢＭ Co
rporation ） S.M. Matyas 等の「ＲＳＡ暗号変数記憶装置を圧縮する
手法」ＵＳＰ ４，７３６，４２３（１９８８年４月５
日、譲受人 ＩＢＭ Corporation ） S.Schulzの「乱数発生器回路」ＵＳＰ ４，９０５，１
７６（１９９０年２月２７日、譲受人 ＩＢＭ Corpor
ation ） S.M. Matyas 等の「多重パス検査により制御ベクトルを
用いるキーの機密保護管理」出願番号０７／５９６，６
３７（１９９０年１０月１２日ファイル、譲受人 ＩＢ
Ｍ Corporation ） S.M. Matyas 等の「制御ベクトル実施の代替モードを用
いる安全な暗号演算」出願番号０７／５７４，０１２
（１９９０年８月２２日ファイル、譲受人 ＩＢＭ Co
rporation ） S.M. Matyas 等の「キーに対するインポート完全性レベ
ルに基き、公用キーの使用を制御する方法および装置」
出願番号０７／６０２，９８９（１９９０年１０月２４
日ファイル、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルに基づくハイブリッド
公用キーアルゴリズム／データ暗号化アルゴリズムキー
分散法」出願番号０７／７４８，４０７（１９９１年８
月２２日ファイル、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルに基づく公用キー暗号
システムキー管理」（本特許出願と同日出願、譲受人
ＩＢＭ Corporation ） 引用したS.M. Matyas 等による特許に述べられている暗
号体系は暗号キーとキーの創案者が意図するキーの使用
に対し認証を与える制御ベクトルとの連繋に基づいてい
る。S.M. Matyas 等による引用特許に述べられている暗
号体系はデータ暗号化アルゴリズム（ＤＥＡ）（米国標
準規格×３．９２−１９８１、データ暗号化アルゴリズ
ム、米国標準規格協会、New York（１９８１年１２月３
１日）参照）に基づいているのに対し、本発明はＤＥＡ
等の機密キーと公用キーアルゴリズムの両方に基づいて
いる。本発明に従って、各種キー管理機能、データ暗号
機能、その他データ処理機能が制御ベクトルを用いて可
能である。システム管理者は本発明に従う適当な制御ベ
クトルを選択することにより、その機密保護方針の実施
に当って柔軟性を発揮することが出来る。暗号体系中の
暗号ファシリティ（ＣＦ）は前に引用したS.M. Matyas
等の特許中に述べられている。ＣＦは暗号命令の集合に
対する命令処理装置であって、暗号化方法およびキー生
成方法を実行する。暗号ファシリティにおける記憶装置
が内部暗号変数の集合を記憶する。各暗号命令は入力パ
ラメータの集合を出力パラメータの集合に変換するのに
必要な一連の処理ステップに関し述べられている。暗号
ファシリティアプリケーションプログラム（ＣＦＡＰ）
もまた参照された特許および出願明細書中に述べられて
おり、これは対応する入力および出力パラメータと共に
命令略号およびアドレスからなる各暗号命令に対する呼
び出し方法を（呼び出し順序として）定義する。
御値を経由する暗号キーの制御的使用」ＵＳＰ ４，８
５０，０１７（１９８９年７月１８日、譲受人 ＩＢＭ
Corporation ） S.M. Matyas 等の「制御ベクトルを用いるキーの機密保
護管理」ＵＳＰ ４，９４１，１７６（１９９０年７月
１０日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルを用いるデータ暗号演
算」ＵＳＰ ４，９１８，７２８（１９９０年４月１７
日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルを用いる個人識別番号
処理」ＵＳＰ ４，９２４，５１４（１９９０年５月８
日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「拡張制御キーを用いるキーの機密保
護管理」ＵＳＰ ４，９２４，５１５（１９９０年５月
８日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトル変換を用いる機密保護
キー管理」ＵＳＰ ４，９９３，０６９（１９９１年２
月１２日、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「プログラム可能な制御ベクトル検査
を用いる機密保護キー管理」ＵＳＰ ５，００７，０８
９（１９９１年４月９日、譲受人 ＩＢＭ Corporatio
n ） B.Brachtl 等の「公用一方向暗号化機能に基く修正検出
コードを用いるデータ認証」ＵＳＰ ４，９０８，８６
１（１９９０年３月３日、譲受人 ＩＢＭ Corporatio
n ） D.Abraham 等「外部プログラム能力を有するスマートカ
ードおよび同じくつくる方法」出願番号００４，５０１
（１９８７年１月１９日ファイル、譲受人 ＩＢＭ Co
rporation ） S.M. Matyas 等の「ＲＳＡ暗号変数記憶装置を圧縮する
手法」ＵＳＰ ４，７３６，４２３（１９８８年４月５
日、譲受人 ＩＢＭ Corporation ） S.Schulzの「乱数発生器回路」ＵＳＰ ４，９０５，１
７６（１９９０年２月２７日、譲受人 ＩＢＭ Corpor
ation ） S.M. Matyas 等の「多重パス検査により制御ベクトルを
用いるキーの機密保護管理」出願番号０７／５９６，６
３７（１９９０年１０月１２日ファイル、譲受人 ＩＢ
Ｍ Corporation ） S.M. Matyas 等の「制御ベクトル実施の代替モードを用
いる安全な暗号演算」出願番号０７／５７４，０１２
（１９９０年８月２２日ファイル、譲受人 ＩＢＭ Co
rporation ） S.M. Matyas 等の「キーに対するインポート完全性レベ
ルに基き、公用キーの使用を制御する方法および装置」
出願番号０７／６０２，９８９（１９９０年１０月２４
日ファイル、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルに基づくハイブリッド
公用キーアルゴリズム／データ暗号化アルゴリズムキー
分散法」出願番号０７／７４８，４０７（１９９１年８
月２２日ファイル、譲受人 ＩＢＭ Corporation ） S.M. Matyas 等の「制御ベクトルに基づく公用キー暗号
システムキー管理」（本特許出願と同日出願、譲受人
ＩＢＭ Corporation ） 引用したS.M. Matyas 等による特許に述べられている暗
号体系は暗号キーとキーの創案者が意図するキーの使用
に対し認証を与える制御ベクトルとの連繋に基づいてい
る。S.M. Matyas 等による引用特許に述べられている暗
号体系はデータ暗号化アルゴリズム（ＤＥＡ）（米国標
準規格×３．９２−１９８１、データ暗号化アルゴリズ
ム、米国標準規格協会、New York（１９８１年１２月３
１日）参照）に基づいているのに対し、本発明はＤＥＡ
等の機密キーと公用キーアルゴリズムの両方に基づいて
いる。本発明に従って、各種キー管理機能、データ暗号
機能、その他データ処理機能が制御ベクトルを用いて可
能である。システム管理者は本発明に従う適当な制御ベ
クトルを選択することにより、その機密保護方針の実施
に当って柔軟性を発揮することが出来る。暗号体系中の
暗号ファシリティ（ＣＦ）は前に引用したS.M. Matyas
等の特許中に述べられている。ＣＦは暗号命令の集合に
対する命令処理装置であって、暗号化方法およびキー生
成方法を実行する。暗号ファシリティにおける記憶装置
が内部暗号変数の集合を記憶する。各暗号命令は入力パ
ラメータの集合を出力パラメータの集合に変換するのに
必要な一連の処理ステップに関し述べられている。暗号
ファシリティアプリケーションプログラム（ＣＦＡＰ）
もまた参照された特許および出願明細書中に述べられて
おり、これは対応する入力および出力パラメータと共に
命令略号およびアドレスからなる各暗号命令に対する呼
び出し方法を（呼び出し順序として）定義する。
【０００４】公用キー暗号化アルゴリズムはW.Diffie、
M.E.Hellman 共著の「プライバシーーと認証：暗号入門
“Privacy and Authentication:An Introduction to Cr
yptography”」米国電気電子学会誌（ＩＥＥＥ）、６７
巻３号、１９７９年３月、pp．３９７〜４２７に述べら
れている。公用キーシステムは、機密分散チャネルが充
分な完全性レベルを有する限り、そのチャネルなしです
ますことを基にしている。公用キー暗号システムでは、
２種のキーが使用され、その１は暗号化用であり他の１
は解読用である。公用キーアルゴリズムは(1) インバー
スキーＰＵ（暗号化用）およびＰＲ（解読用）の無作為
ペアを生成するのが容易であり、(2) ＰＵ、ＰＲによる
演算が容易であるが、(3) ＰＵからＰＲを計算すること
は計算上は実行不可能であるように設計されている。ユ
ーザは解読変換ＰＲを機密に保ち、暗号化変換ＰＵは、
それを公用辞書におくことで公用する。誰でもメッセー
ジを暗号化してそれをユーザに送信できるが、他の誰も
彼に向けられたメッセージを解読は出来ない。ＰＵでも
って暗号化し、ＰＲでもって解読することが可能であ
り、屡々望まれる。この理由で、ＰＵは一般に公用キー
と呼び、ＰＲを一般に私用キーと呼ぶ。公用キー暗号シ
ステムの系特徴はメッセージの送信者を独特に識別する
ディジタル署名を提供することである。もしユーザＡが
署名ずみのメッセージＭをユーザＢに送信しようと思う
と、彼は彼の私用キーＰＲでその上に操作し、署名ずみ
メッセージＳを作成する。ＰＲは機密が望ましい時はＡ
の解読キーとして用いられたが、ここでは彼の「暗号
化」キーとして用いる。ユーザＢがメッセージＳを受信
すると、彼はＡの公用ＰＵでもって暗号文Ｓに操作して
メッセージＭを回復できる。Ａのメッセージを連続的に
解読することにより、受信者Ｂはそれが送信者Ａから来
たという確証を得る。公用キー暗号の例は次の米国特
許、Hellman 等のＵＳＰ ４，２１８，５８２「公用キ
ー暗号装置および方法」、Hellman 等のＵＳＰ ４，２
００，７７０「暗号装置および方法」、Rivest等のＵＳ
Ｐ ４，４０５，８２９「暗号通信システムおよび方
法」に与えられている。
M.E.Hellman 共著の「プライバシーーと認証：暗号入門
“Privacy and Authentication:An Introduction to Cr
yptography”」米国電気電子学会誌（ＩＥＥＥ）、６７
巻３号、１９７９年３月、pp．３９７〜４２７に述べら
れている。公用キーシステムは、機密分散チャネルが充
分な完全性レベルを有する限り、そのチャネルなしです
ますことを基にしている。公用キー暗号システムでは、
２種のキーが使用され、その１は暗号化用であり他の１
は解読用である。公用キーアルゴリズムは(1) インバー
スキーＰＵ（暗号化用）およびＰＲ（解読用）の無作為
ペアを生成するのが容易であり、(2) ＰＵ、ＰＲによる
演算が容易であるが、(3) ＰＵからＰＲを計算すること
は計算上は実行不可能であるように設計されている。ユ
ーザは解読変換ＰＲを機密に保ち、暗号化変換ＰＵは、
それを公用辞書におくことで公用する。誰でもメッセー
ジを暗号化してそれをユーザに送信できるが、他の誰も
彼に向けられたメッセージを解読は出来ない。ＰＵでも
って暗号化し、ＰＲでもって解読することが可能であ
り、屡々望まれる。この理由で、ＰＵは一般に公用キー
と呼び、ＰＲを一般に私用キーと呼ぶ。公用キー暗号シ
ステムの系特徴はメッセージの送信者を独特に識別する
ディジタル署名を提供することである。もしユーザＡが
署名ずみのメッセージＭをユーザＢに送信しようと思う
と、彼は彼の私用キーＰＲでその上に操作し、署名ずみ
メッセージＳを作成する。ＰＲは機密が望ましい時はＡ
の解読キーとして用いられたが、ここでは彼の「暗号
化」キーとして用いる。ユーザＢがメッセージＳを受信
すると、彼はＡの公用ＰＵでもって暗号文Ｓに操作して
メッセージＭを回復できる。Ａのメッセージを連続的に
解読することにより、受信者Ｂはそれが送信者Ａから来
たという確証を得る。公用キー暗号の例は次の米国特
許、Hellman 等のＵＳＰ ４，２１８，５８２「公用キ
ー暗号装置および方法」、Hellman 等のＵＳＰ ４，２
００，７７０「暗号装置および方法」、Rivest等のＵＳ
Ｐ ４，４０５，８２９「暗号通信システムおよび方
法」に与えられている。
【０００５】たいていの暗号システムにおいては、一旦
暗号キーが生成されると、暗号キーデータセットの中に
暗号化した形で記憶することが出来るし、または生成装
置から受信装置に暗号化した形で伝送し、そこで受信装
置での記憶および使用に適当な形に再暗号化することも
出来る。適当な媒体（例えばディスケット、磁気テー
プ、メモリカード、スマートカード）にキーを書き込
み、その媒体を移送することにより、またはキーを電子
的に伝送することによりある装置から他の装置にキーは
ポートされる。しかし、移送または伝送されているキー
が対称キー暗号化アルゴリズム（例：データ暗号化アル
ゴリズム）と共に用いられる機密キーのような機密キー
であるか、または非対称キー暗号アルゴリズムと共に用
いる公用および私用キーペアの私用キーである時には、
キーが敵により傍受されるかも知れない危険が常に存在
する。機密または私用キーを安全に移送または伝送する
一つの方法は、送信装置と受信装置間で共有するキー
で、それらを暗号化することである。しかし、送信、受
信装置がかかる機密保護暗号化チャネルを容易にするで
あろうキーを共有していない場合、または送信、受信装
置がかかる機密保護チャネルを容易化するためにかかる
キーイング関係を設定するのが不便あるいは不可能な場
合がある。従って機密キーをある装置から他の装置にポ
ートする唯一の便利な方法はクリアキーをポートするこ
としかないことがたびたびある。
暗号キーが生成されると、暗号キーデータセットの中に
暗号化した形で記憶することが出来るし、または生成装
置から受信装置に暗号化した形で伝送し、そこで受信装
置での記憶および使用に適当な形に再暗号化することも
出来る。適当な媒体（例えばディスケット、磁気テー
プ、メモリカード、スマートカード）にキーを書き込
み、その媒体を移送することにより、またはキーを電子
的に伝送することによりある装置から他の装置にキーは
ポートされる。しかし、移送または伝送されているキー
が対称キー暗号化アルゴリズム（例：データ暗号化アル
ゴリズム）と共に用いられる機密キーのような機密キー
であるか、または非対称キー暗号アルゴリズムと共に用
いる公用および私用キーペアの私用キーである時には、
キーが敵により傍受されるかも知れない危険が常に存在
する。機密または私用キーを安全に移送または伝送する
一つの方法は、送信装置と受信装置間で共有するキー
で、それらを暗号化することである。しかし、送信、受
信装置がかかる機密保護暗号化チャネルを容易にするで
あろうキーを共有していない場合、または送信、受信装
置がかかる機密保護チャネルを容易化するためにかかる
キーイング関係を設定するのが不便あるいは不可能な場
合がある。従って機密キーをある装置から他の装置にポ
ートする唯一の便利な方法はクリアキーをポートするこ
としかないことがたびたびある。
【０００６】
【課題を解決するための手段】本発明の目的 本発明の目的は、ユーザが公用および私用キーをある暗
号システムから別の暗号システムにポートする改良され
た方法を提供することにある。
号システムから別の暗号システムにポートする改良され
た方法を提供することにある。
【０００７】本発明の別の目的はディスケット、磁気テ
ープ、メモリカード、またはスマートカード等の分離し
た記憶媒体を必要とすることなく、ユーザがある暗号シ
ステムから別の暗号システムに公用および私用キーをポ
ートすることが出来るようにすることにある。
ープ、メモリカード、またはスマートカード等の分離し
た記憶媒体を必要とすることなく、ユーザがある暗号シ
ステムから別の暗号システムに公用および私用キーをポ
ートすることが出来るようにすることにある。
【０００８】本発明の更に別の目的はユーザの公用およ
び私用キーを生成し、ユーザが暗号装置を実際に使用中
の期間に使用することができ、また、ユーザが暗号装置
を不使用中はそのキーを暗号装置からパージすることが
できるようにすることにある。
び私用キーを生成し、ユーザが暗号装置を実際に使用中
の期間に使用することができ、また、ユーザが暗号装置
を不使用中はそのキーを暗号装置からパージすることが
できるようにすることにある。
【０００９】本発明の更に別の目的はユーザが暗号サー
ビスを必要とする期間中は暗号能力を有するポータブル
コンピュータ内で、ユーザの公用および私用キーを初期
化し、また暗号システムが必要とされない時はそのキー
をポータブルコンピュータからパージさせることにあ
る。
ビスを必要とする期間中は暗号能力を有するポータブル
コンピュータ内で、ユーザの公用および私用キーを初期
化し、また暗号システムが必要とされない時はそのキー
をポータブルコンピュータからパージさせることにあ
る。
【００１０】本発明の更に別の目的はパスフレーズ等の
ユーザが記憶している事柄だけから、ユーザの公用およ
び私用キーペアを暗号装置ネットワーク内のいかなる暗
号装置においても生成または再生成できる方法を提供す
ることにある。
ユーザが記憶している事柄だけから、ユーザの公用およ
び私用キーペアを暗号装置ネットワーク内のいかなる暗
号装置においても生成または再生成できる方法を提供す
ることにある。
【００１１】本発明の更に別の目的はパスフレーズ組合
わせ数が２の１２８べき乗よりも大きく、なおそのパス
フレーズがユーザが容易にそれを記憶できるような充分
な冗長性を有することを保証するパスフレーズの構成法
を提供することにある。
わせ数が２の１２８べき乗よりも大きく、なおそのパス
フレーズがユーザが容易にそれを記憶できるような充分
な冗長性を有することを保証するパスフレーズの構成法
を提供することにある。
【００１２】本発明の更に別の目的はキー生成アルゴリ
ズムがRivest-Shamir-Adelman （ＲＳＡ）公用キー暗号
アルゴリズムに基づいているところで、入力パスフレー
ズから公用キーペアおよび私用キーペアを生成および再
生成するための方法を提供することにある。
ズムがRivest-Shamir-Adelman （ＲＳＡ）公用キー暗号
アルゴリズムに基づいているところで、入力パスフレー
ズから公用キーペアおよび私用キーペアを生成および再
生成するための方法を提供することにある。
【００１３】本発明の更に別の目的はキー生成アルゴリ
ズムがいかなる公用キー暗号アルゴリズムに基づいてい
るところでも、入力パスフレーズから公用キーおよび私
用キーペアを生成および再生成するための方法を提供す
ることにある。
ズムがいかなる公用キー暗号アルゴリズムに基づいてい
るところでも、入力パスフレーズから公用キーおよび私
用キーペアを生成および再生成するための方法を提供す
ることにある。
【００１４】本発明の更に別の目的はキー生成アルゴリ
ズムにパスフレーズに基づかない第１のタイプ、および
パスフレーズに基づく第２のタイプの公用キーおよび私
用キーペアを作成させるキー管理システムを提供するこ
とにある。
ズムにパスフレーズに基づかない第１のタイプ、および
パスフレーズに基づく第２のタイプの公用キーおよび私
用キーペアを作成させるキー管理システムを提供するこ
とにある。
【００１５】本発明の別の目的はパスフレーズに基づか
ない第１のタイプの公用および私用キーペアには、第１
のキー使用法が許されたキー使用法の第１の集合に基づ
くようにせしめ、またパスフレーズに基づく第２タイプ
の公用キーおよび私用キーペアには、第１のキー使用法
が許されたキー使用法の第２の集合に基づくようにせし
めるキー管理システムを提供することにある。
ない第１のタイプの公用および私用キーペアには、第１
のキー使用法が許されたキー使用法の第１の集合に基づ
くようにせしめ、またパスフレーズに基づく第２タイプ
の公用キーおよび私用キーペアには、第１のキー使用法
が許されたキー使用法の第２の集合に基づくようにせし
めるキー管理システムを提供することにある。
【００１６】本発明の別の目的はパスフレーズから生成
される公用キーおよび私用キーは、パスフレーズから生
成されない公用キーおよび私用キーとは暗号的に分離す
ることができ、従ってパスフレーズから生成される公用
キーおよび私用キーにより両タイプの生成される公用キ
ーおよび私用キーを利用する暗号システムの全体機密保
護を弱めることの起り得ないようなキー管理システムを
提供することにある。本発明の概要 上記その他の目的、特徴および効果はこゝに開示する本
発明により達成される。本発明は暗号装置のネットワー
クにおいて、ある装置から他の装置に機密または公用キ
ーをポートする代替手段を提供する。本発明はまた暗号
装置のユーザが実際には暗号装置を使用していない間は
その機密キーをパージし、また実際に暗号装置を使用し
ている間は機密キーを再生成するための手段を提供す
る。これはユーザによりキー生成アルゴリズムに提供さ
れるパスフレーズから公用キーおよび私用キーペアを先
づ生成することにより達成される。その後同じキーペア
の再生成が必要になるたびに、ユーザは同じパスフレー
ズを入力し、それからキー生成アルゴリズムが同じ公用
キーおよび私用キーペアを導出する。かゝる手続きは暗
号能力を有するポータブルのプログラマブルコンピュー
タ（ＰＣ）を所有する単一ユーザにより用いられる。ユ
ーザが移動中はそのキーはシステムからパージされる。
ユーザが暗号システムを使用中は、そのキーは再生成さ
れる。パスフレーズも、例えば８０文字以上と長いこと
がある点を除けば、考え方はパスワードと類似である。
パスフレーズはより多くの文字を含みうるので、パスワ
ードより多くの変異性を包含することができるが、ユー
ザがパスフレーズを記憶するのは容易である。
される公用キーおよび私用キーは、パスフレーズから生
成されない公用キーおよび私用キーとは暗号的に分離す
ることができ、従ってパスフレーズから生成される公用
キーおよび私用キーにより両タイプの生成される公用キ
ーおよび私用キーを利用する暗号システムの全体機密保
護を弱めることの起り得ないようなキー管理システムを
提供することにある。本発明の概要 上記その他の目的、特徴および効果はこゝに開示する本
発明により達成される。本発明は暗号装置のネットワー
クにおいて、ある装置から他の装置に機密または公用キ
ーをポートする代替手段を提供する。本発明はまた暗号
装置のユーザが実際には暗号装置を使用していない間は
その機密キーをパージし、また実際に暗号装置を使用し
ている間は機密キーを再生成するための手段を提供す
る。これはユーザによりキー生成アルゴリズムに提供さ
れるパスフレーズから公用キーおよび私用キーペアを先
づ生成することにより達成される。その後同じキーペア
の再生成が必要になるたびに、ユーザは同じパスフレー
ズを入力し、それからキー生成アルゴリズムが同じ公用
キーおよび私用キーペアを導出する。かゝる手続きは暗
号能力を有するポータブルのプログラマブルコンピュー
タ（ＰＣ）を所有する単一ユーザにより用いられる。ユ
ーザが移動中はそのキーはシステムからパージされる。
ユーザが暗号システムを使用中は、そのキーは再生成さ
れる。パスフレーズも、例えば８０文字以上と長いこと
がある点を除けば、考え方はパスワードと類似である。
パスフレーズはより多くの文字を含みうるので、パスワ
ードより多くの変異性を包含することができるが、ユー
ザがパスフレーズを記憶するのは容易である。
【００１７】図１は装置を使用中は公用キーおよび私用
キーを生成し、不使用中はそのキーをパージしている２
人のユーザｉ，ｊにより共有されている暗号システムＡ
のブロック図を示したものである。こゝで図１を参照
し、時刻ｔ１に第１のユーザ（ユーザｉ）は自己のパス
フレーズを入力しキー生成機能を呼び出すことにより自
身の公用キーおよび私用キーＰＵｉ，ＰＲｉが暗号シス
テムＡに再生成されるようにする。時刻ｔ０から時刻ｔ
１まで、ユーザｉは暗号キーを実際に使用する。時刻ｔ
１にユーザｉはキーパージ機能を呼び出して、公用キー
および私用キーＰＵｉ，ＰＲ１をパージする。時刻ｔ２
に、第２のユーザ（ユーザｊ）が自己のパスワードを入
力しキー生成機能を呼び出すことにより、彼の公用キー
および私用キーＰＵｊ，ＰＲｊが暗号システムＡに再生
成されるようにする。時刻ｔ２から時刻ｔ３まで、ユー
ザｊは実際に自己の暗号キーを使用する。時刻ｔ３に、
ユーザｊはキーパージ機能を呼び出して自己の公用キー
および私用キーＰＵｊ，ＰＲｊをパージする。こゝで述
べるキーパージ機能は公用キーおよび私用キーの両方と
もパージしている。現実には、私用キーのみをパージす
ることで充分であろう。
キーを生成し、不使用中はそのキーをパージしている２
人のユーザｉ，ｊにより共有されている暗号システムＡ
のブロック図を示したものである。こゝで図１を参照
し、時刻ｔ１に第１のユーザ（ユーザｉ）は自己のパス
フレーズを入力しキー生成機能を呼び出すことにより自
身の公用キーおよび私用キーＰＵｉ，ＰＲｉが暗号シス
テムＡに再生成されるようにする。時刻ｔ０から時刻ｔ
１まで、ユーザｉは暗号キーを実際に使用する。時刻ｔ
１にユーザｉはキーパージ機能を呼び出して、公用キー
および私用キーＰＵｉ，ＰＲ１をパージする。時刻ｔ２
に、第２のユーザ（ユーザｊ）が自己のパスワードを入
力しキー生成機能を呼び出すことにより、彼の公用キー
および私用キーＰＵｊ，ＰＲｊが暗号システムＡに再生
成されるようにする。時刻ｔ２から時刻ｔ３まで、ユー
ザｊは実際に自己の暗号キーを使用する。時刻ｔ３に、
ユーザｊはキーパージ機能を呼び出して自己の公用キー
および私用キーＰＵｊ，ＰＲｊをパージする。こゝで述
べるキーパージ機能は公用キーおよび私用キーの両方と
もパージしている。現実には、私用キーのみをパージす
ることで充分であろう。
【００１８】図２は単一ユーザｉがある装置使用を望む
ときは自己の公用キーおよび私用キーペアを生成し、そ
の装置使用を終了すると自己のキーをパージする単一ユ
ーザｉにより共用される暗号システムＡおよびＢのブロ
ック図による説明である。こゝで図２を参照し、時刻ｔ
０に、ユーザｉは自己のパスフレーズを入力しキー生成
機能を呼び出すことにより、自己の公用キーおよび私用
キーＰＵｉ，ＰＲｉが暗号システムＡに再生成されるよ
うにする。時刻ｔ０から時刻ｔ１まで、ユーザｉは実際
に暗号キーを使用する。時刻ｔ１に、ユーザｉはキーパ
ージ機能を呼び出すことにより、彼の公用キーおよび私
用キーＰＵｉ，ＰＲｉをパージする。時刻ｔ１から時刻
ｔ２まで、ユーザは暗号システムＡから暗号システムＢ
に移動する。時刻ｔ２に、ユーザｉは自己のパスフレー
ズを入力し、キー生成機能を呼び出すことにより自己の
公用キーおよび私用キーＰＵｉ，ＲＶｉが暗号システム
Ｂに再生成されるようにする。時刻ｔ２から時刻ｔ３ま
では、ユーザｉは暗号キーを実際に使用する。時刻ｔ３
に、ユーザｉはキーパージ機能を呼び出すことにより公
用キーおよび私用キーＰＵｉ，ＲＶｉをパージする。
ときは自己の公用キーおよび私用キーペアを生成し、そ
の装置使用を終了すると自己のキーをパージする単一ユ
ーザｉにより共用される暗号システムＡおよびＢのブロ
ック図による説明である。こゝで図２を参照し、時刻ｔ
０に、ユーザｉは自己のパスフレーズを入力しキー生成
機能を呼び出すことにより、自己の公用キーおよび私用
キーＰＵｉ，ＰＲｉが暗号システムＡに再生成されるよ
うにする。時刻ｔ０から時刻ｔ１まで、ユーザｉは実際
に暗号キーを使用する。時刻ｔ１に、ユーザｉはキーパ
ージ機能を呼び出すことにより、彼の公用キーおよび私
用キーＰＵｉ，ＰＲｉをパージする。時刻ｔ１から時刻
ｔ２まで、ユーザは暗号システムＡから暗号システムＢ
に移動する。時刻ｔ２に、ユーザｉは自己のパスフレー
ズを入力し、キー生成機能を呼び出すことにより自己の
公用キーおよび私用キーＰＵｉ，ＲＶｉが暗号システム
Ｂに再生成されるようにする。時刻ｔ２から時刻ｔ３ま
では、ユーザｉは暗号キーを実際に使用する。時刻ｔ３
に、ユーザｉはキーパージ機能を呼び出すことにより公
用キーおよび私用キーＰＵｉ，ＲＶｉをパージする。
【００１９】パスフレーズは自然言語例えば英語からと
ったワードまたはフレーズからなる。「時は風の如く、
果実はバナナの如く飛ぶ」、「心配するな、悪いことな
ど起らない」、「父は弟に犬を買ってやった、弟はまだ
子供だから」といったのがパスフレーズの例（必ずしも
良い例ではないが）である。
ったワードまたはフレーズからなる。「時は風の如く、
果実はバナナの如く飛ぶ」、「心配するな、悪いことな
ど起らない」、「父は弟に犬を買ってやった、弟はまだ
子供だから」といったのがパスフレーズの例（必ずしも
良い例ではないが）である。
【００２０】パスフレーズは意味をもったワードの列で
あるから、たとえパスフレーズが（空白を含み）８０文
字以上を含んでいたとしても、ユーザがそのパスフレー
ズで記憶し思い出すことが出来る。こういう訳で、パス
フレーズ組合せの数は容易に２の１２８べき乗（すなわ
ち倍長ＤＥＡキーの組合せ数以上）を越えることができ
る。ユーザにはパスフレーズを作るための命令の集合ま
たはガイドラインも同時に提供する。これによりユーザ
が不注意により敵が容易に推測できるようなパスフレー
ズを使用することがないようにする。例えば「メアリー
は小羊をもっていて…」といったパスフレーズは長くて
も、最初の２ワードを知られると、残りは分ってしま
う。「ドナルドダック，ジャックベニィ，アルフレッド
大王がゴルフボールを食べながらチェスをした」といっ
たパスフレーズは敵が推測できないことは、これを読め
ば容易に理解できる。キー生成中、キーを生成する過程
でキー生成アルゴリズムが用いる所要の乱数を生成する
シード値として、パスフレーズが用いられる。パスフレ
ーズから生成する乱数以外には、いかなる乱数をもキー
生成アルゴリズムは使用しない。生成された公用キーお
よび私用キーペア（ＰＵ，ＰＲ）はパスフレーズのみに
依存するので同じキー生成アルゴリズムを実行する暗号
装置ネットワークの中ならばどの暗号装置でも（ＰＵ，
ＰＲ）を再生成できる。ネットワークが単一の販売会社
から購入した暗号装置から成立している場合、またはキ
ー生成の方法が標準化されており、違う販売会社から入
手する数種の製品に実行されている場合がこういった場
合である。
あるから、たとえパスフレーズが（空白を含み）８０文
字以上を含んでいたとしても、ユーザがそのパスフレー
ズで記憶し思い出すことが出来る。こういう訳で、パス
フレーズ組合せの数は容易に２の１２８べき乗（すなわ
ち倍長ＤＥＡキーの組合せ数以上）を越えることができ
る。ユーザにはパスフレーズを作るための命令の集合ま
たはガイドラインも同時に提供する。これによりユーザ
が不注意により敵が容易に推測できるようなパスフレー
ズを使用することがないようにする。例えば「メアリー
は小羊をもっていて…」といったパスフレーズは長くて
も、最初の２ワードを知られると、残りは分ってしま
う。「ドナルドダック，ジャックベニィ，アルフレッド
大王がゴルフボールを食べながらチェスをした」といっ
たパスフレーズは敵が推測できないことは、これを読め
ば容易に理解できる。キー生成中、キーを生成する過程
でキー生成アルゴリズムが用いる所要の乱数を生成する
シード値として、パスフレーズが用いられる。パスフレ
ーズから生成する乱数以外には、いかなる乱数をもキー
生成アルゴリズムは使用しない。生成された公用キーお
よび私用キーペア（ＰＵ，ＰＲ）はパスフレーズのみに
依存するので同じキー生成アルゴリズムを実行する暗号
装置ネットワークの中ならばどの暗号装置でも（ＰＵ，
ＰＲ）を再生成できる。ネットワークが単一の販売会社
から購入した暗号装置から成立している場合、またはキ
ー生成の方法が標準化されており、違う販売会社から入
手する数種の製品に実行されている場合がこういった場
合である。
【００２１】
【実施例】暗号システムのユーザが与える文字列からキ
ーを生成するという概念はＩＢＭ社情報保護システム
（ＩＰＳ）で実行してきたものであって、ＶＭ／ＣＭＳ
ユーザガイド，Ｏｒｄｅｒ Ｎｏ．ＳＨ２０−２６２
１，ＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎ（１９８２年８
月）の情報保護システム暗号プログラムを参照された
い。この情報保護システムは、データファイルを暗号化
したり解読したりするのに用いるキーを暗号システムの
ユーザが制御，管理するという概念に基いて設計された
ファイル保護システムである。システム自身のキーは一
切ない。データの暗号化または解読が必要となった時
に、ユーザが暗号システムにキーを規定してやらなけれ
ばならない。ユーザは１６進数字キーまたは８０文字ま
での文字列のいずれかを規定すればよい。文字列が入力
された場合は、ＩＰＳは次の方法により入力文字列を５
６ビットキーに「クランチ」（なすわちハッシュ）す
る。入力文字列は８０文字の長さに空白つき右側に埋込
まれる。次に入力文字列は８文字のブロックに分割され
る。その結果の埋込データはその値がＸ「０１０１０１
０１０１０１０１０１」である一定キーおよびその値が
Ｘ「００００００００００００００００」である初期チ
ューニング値を用い、暗号化ブロック連鎖（ＣＢＣ）モ
ードを用いてＤＥＡで暗号される。最終６４ビットブロ
ックの暗号文の右端５６ビットが「クランチ」データキ
ー（パリティビットなし）として取り上げられる。
ーを生成するという概念はＩＢＭ社情報保護システム
（ＩＰＳ）で実行してきたものであって、ＶＭ／ＣＭＳ
ユーザガイド，Ｏｒｄｅｒ Ｎｏ．ＳＨ２０−２６２
１，ＩＢＭ Ｃｏｒｐｏｒａｔｉｏｎ（１９８２年８
月）の情報保護システム暗号プログラムを参照された
い。この情報保護システムは、データファイルを暗号化
したり解読したりするのに用いるキーを暗号システムの
ユーザが制御，管理するという概念に基いて設計された
ファイル保護システムである。システム自身のキーは一
切ない。データの暗号化または解読が必要となった時
に、ユーザが暗号システムにキーを規定してやらなけれ
ばならない。ユーザは１６進数字キーまたは８０文字ま
での文字列のいずれかを規定すればよい。文字列が入力
された場合は、ＩＰＳは次の方法により入力文字列を５
６ビットキーに「クランチ」（なすわちハッシュ）す
る。入力文字列は８０文字の長さに空白つき右側に埋込
まれる。次に入力文字列は８文字のブロックに分割され
る。その結果の埋込データはその値がＸ「０１０１０１
０１０１０１０１０１」である一定キーおよびその値が
Ｘ「００００００００００００００００」である初期チ
ューニング値を用い、暗号化ブロック連鎖（ＣＢＣ）モ
ードを用いてＤＥＡで暗号される。最終６４ビットブロ
ックの暗号文の右端５６ビットが「クランチ」データキ
ー（パリティビットなし）として取り上げられる。
【００２２】情報保護システムにおける文字列からデー
タキーを作成する方法は公用キーおよび私用キーペアの
作成には拡張されない。公用キー生成アルゴリズムはよ
り複雑なためである。ユーザが与えるパスフレーズから
公用キーおよび私用キーペアを生成するためには、キー
生成アルゴリズム自体を修正し、動的にシードされる擬
似乱数発生器を使わなければならない。動的にシードさ
れる擬似乱数発生器は発生器への入力として規定される
シード値から擬似乱数を生成するアルゴリズム処理手順
である。かゝる擬似乱数発生器は暗号システムでの大抵
の乱数を生成するのには適していない。というのは乱数
発生器の呼出し者は、入力として規定されうるシード値
を手許に持っていないか、または持たないことがよくあ
るからである。従って実際には、たいていの暗号システ
ムでは動的にシードされる擬似乱数発生器を用いる便利
な方法はない。代りに、これらの暗号システムでは初期
にシードされる擬似乱数発生器または真の乱数を作成で
きる特殊ハードウェアを用いる。従って本発明の方法を
実行するのが有利と考えられる所では、暗号システムは
次の２つの乱数発生器を実行するのが必要であろう。
（１）は初期にシードされる擬似乱数発生器また真の乱
数のハードウェア発生器であり、（２）は動的にシード
される擬似乱数発生器である。更に公用キーおよび私用
キーが動的にシードされる擬似乱数発生器を利用して生
成されることを許すキー生成アルゴリズムの設計を採用
することが必要であろう。本発明のこれらの様子は以下
に詳述する。
タキーを作成する方法は公用キーおよび私用キーペアの
作成には拡張されない。公用キー生成アルゴリズムはよ
り複雑なためである。ユーザが与えるパスフレーズから
公用キーおよび私用キーペアを生成するためには、キー
生成アルゴリズム自体を修正し、動的にシードされる擬
似乱数発生器を使わなければならない。動的にシードさ
れる擬似乱数発生器は発生器への入力として規定される
シード値から擬似乱数を生成するアルゴリズム処理手順
である。かゝる擬似乱数発生器は暗号システムでの大抵
の乱数を生成するのには適していない。というのは乱数
発生器の呼出し者は、入力として規定されうるシード値
を手許に持っていないか、または持たないことがよくあ
るからである。従って実際には、たいていの暗号システ
ムでは動的にシードされる擬似乱数発生器を用いる便利
な方法はない。代りに、これらの暗号システムでは初期
にシードされる擬似乱数発生器または真の乱数を作成で
きる特殊ハードウェアを用いる。従って本発明の方法を
実行するのが有利と考えられる所では、暗号システムは
次の２つの乱数発生器を実行するのが必要であろう。
（１）は初期にシードされる擬似乱数発生器また真の乱
数のハードウェア発生器であり、（２）は動的にシード
される擬似乱数発生器である。更に公用キーおよび私用
キーが動的にシードされる擬似乱数発生器を利用して生
成されることを許すキー生成アルゴリズムの設計を採用
することが必要であろう。本発明のこれらの様子は以下
に詳述する。
【００２３】前に引用したＵＳＰ４，７３６，４２３
「ＲＳＡ暗号変数記憶装置」は５６ビットの機密値Ｘか
ら５０ビットの非機密値Ｙを計算する方法を述べてお
り、４００ビットモジューラスおよび４００ビット指数
を有する公用キーおよび私用キーを再生成するのにその
後いつでも使用できる。これ以上大きな指数およびモジ
ューラス長に対しては、ｙの長さはＸが５６ビット一定
に留っている間はほんの少し増加する。機密キー値Ｘは
キー生成アルゴリズムへの入力として与えられ、公用キ
ーおよび私用キーＰＵ，ＰＲの計算に加え、ｙの５０ビ
ット値をも計算する。値ｙがＰＵ，ＰＲを生成するのに
始めにかゝった時間に比べ、値ｙがＸと共に公用キーお
よび私用ＲＳＡキーＰＵ，ＰＲを非常に迅速に再生成で
きるという点で、値ｙは特別である。この手法は一方で
はＰＵ，ＰＲ（すなわち全指数とモジュラス）を記憶
し、他方では必要になるたびにＰＵ，ＰＲを再生成する
という両者間の妥協である。ＵＳＰ４，７３６，４２３
の手法はキーを再生成する短い計算ステップを必要とす
る代りに記憶しなければならないビット数を減らしてい
る。本発明では、公用キーおよび私用キーをユーザが記
憶しているパスフレーズから全部生成する。ＵＳＰ４，
７３６，４２３の方法が、入力パスフレーズをハッシュ
することにより理論上は得られる５６ビットの独立変数
Ｘを利用しているのと対照に、数値Ｙは５０ビットの従
属変数である。すなわち公用キーおよび私用キーをポー
トするためには、ユーザは従属変数ｙをポートし、また
暗号システムが公用および私用キーペアを再生成するよ
うに独立変数Ｘと共にそれを入力しなければならない。
ＵＳＰ４，７３６，４２３は本発明の利点の一部は有し
ているが、本発明ではパスフレーズ以外の追加情報とは
独立に、キーをある装置から別の装置に移送することが
可能である。従って、本発明ではＵＰＳ４，７３６，４
２３の方法では達成できないキーポートの形式が可能に
なる。
「ＲＳＡ暗号変数記憶装置」は５６ビットの機密値Ｘか
ら５０ビットの非機密値Ｙを計算する方法を述べてお
り、４００ビットモジューラスおよび４００ビット指数
を有する公用キーおよび私用キーを再生成するのにその
後いつでも使用できる。これ以上大きな指数およびモジ
ューラス長に対しては、ｙの長さはＸが５６ビット一定
に留っている間はほんの少し増加する。機密キー値Ｘは
キー生成アルゴリズムへの入力として与えられ、公用キ
ーおよび私用キーＰＵ，ＰＲの計算に加え、ｙの５０ビ
ット値をも計算する。値ｙがＰＵ，ＰＲを生成するのに
始めにかゝった時間に比べ、値ｙがＸと共に公用キーお
よび私用ＲＳＡキーＰＵ，ＰＲを非常に迅速に再生成で
きるという点で、値ｙは特別である。この手法は一方で
はＰＵ，ＰＲ（すなわち全指数とモジュラス）を記憶
し、他方では必要になるたびにＰＵ，ＰＲを再生成する
という両者間の妥協である。ＵＳＰ４，７３６，４２３
の手法はキーを再生成する短い計算ステップを必要とす
る代りに記憶しなければならないビット数を減らしてい
る。本発明では、公用キーおよび私用キーをユーザが記
憶しているパスフレーズから全部生成する。ＵＳＰ４，
７３６，４２３の方法が、入力パスフレーズをハッシュ
することにより理論上は得られる５６ビットの独立変数
Ｘを利用しているのと対照に、数値Ｙは５０ビットの従
属変数である。すなわち公用キーおよび私用キーをポー
トするためには、ユーザは従属変数ｙをポートし、また
暗号システムが公用および私用キーペアを再生成するよ
うに独立変数Ｘと共にそれを入力しなければならない。
ＵＳＰ４，７３６，４２３は本発明の利点の一部は有し
ているが、本発明ではパスフレーズ以外の追加情報とは
独立に、キーをある装置から別の装置に移送することが
可能である。従って、本発明ではＵＰＳ４，７３６，４
２３の方法では達成できないキーポートの形式が可能に
なる。
【００２４】こゝで開示する本発明の環境説明として、
図３は通信ネットワーク１０を示すネットワークブロッ
ク図であり、これにデータ処理装置２０、データ処理装
置２０′、データ処理装置２０″を含む多数のデータ処
理装置が接続されている。また図３に示すように、各デ
ータ処理装置には暗号システムも含まれる。データ処理
装置２０は暗号システム２２を含み、データ処理装置２
０′は暗号システム２２′を含み、データ処理装置２
０″は暗号システム２２″を含む。アプリケーションデ
ータの暗号化、解読、認証や暗号キーの生成、導入等に
対する暗号サービスへのアクセスを要する複数のアプリ
ケーションの処理手順を、各データ処理装置がサポート
する。暗号サービスは各暗号システムの安全な暗号化機
構により与えられる。データ処理装置が暗号化したデー
タおよびキーを送受信する手段をネットワークが提供す
る。各種のプロトコル、すなわち書式と手順規則が通信
用データ処理装置間の相互使用性を確保するためその間
の暗号量の交換を支配する。
図３は通信ネットワーク１０を示すネットワークブロッ
ク図であり、これにデータ処理装置２０、データ処理装
置２０′、データ処理装置２０″を含む多数のデータ処
理装置が接続されている。また図３に示すように、各デ
ータ処理装置には暗号システムも含まれる。データ処理
装置２０は暗号システム２２を含み、データ処理装置２
０′は暗号システム２２′を含み、データ処理装置２
０″は暗号システム２２″を含む。アプリケーションデ
ータの暗号化、解読、認証や暗号キーの生成、導入等に
対する暗号サービスへのアクセスを要する複数のアプリ
ケーションの処理手順を、各データ処理装置がサポート
する。暗号サービスは各暗号システムの安全な暗号化機
構により与えられる。データ処理装置が暗号化したデー
タおよびキーを送受信する手段をネットワークが提供す
る。各種のプロトコル、すなわち書式と手順規則が通信
用データ処理装置間の相互使用性を確保するためその間
の暗号量の交換を支配する。
【００２５】図４はこゝで開示する発明の暗号システム
２２を示す。暗号システム２２において、暗号化機構
（ＣＦ）３０は物理的インタフェースからの入力３７を
有している。暗号化機構アクセスプログラム（ＣＦＡ
Ｐ）３４がインタフェース３１により暗号化機構３０に
結合される。暗号キーデータセット（ＣＫＤＳ）３２は
インタフェース３３により暗号化機構アクセスプログラ
ム３４に接続される。アプリケーションプログラム（Ａ
ＰＰＬ）３６はアンタフェース３５により暗号化機構ア
クセスプログラム３４に接続される。
２２を示す。暗号システム２２において、暗号化機構
（ＣＦ）３０は物理的インタフェースからの入力３７を
有している。暗号化機構アクセスプログラム（ＣＦＡ
Ｐ）３４がインタフェース３１により暗号化機構３０に
結合される。暗号キーデータセット（ＣＫＤＳ）３２は
インタフェース３３により暗号化機構アクセスプログラ
ム３４に接続される。アプリケーションプログラム（Ａ
ＰＰＬ）３６はアンタフェース３５により暗号化機構ア
クセスプログラム３４に接続される。
【００２６】典型的な暗号サービス要求はインタフェー
ス３５にあるＣＦＡＰ３４への機能呼出しを通じＡＰＰ
Ｌ３６により開始する。サービス要求にはキーとデータ
パラメータならびにインタフェース３３のＣＫＤ３２か
ら暗号化したキーにＣＦＡＰ３４がアクセスするのに用
いるキー識別子を含んでいる。ＣＦＡＰ３４はインタフ
ェース３１のＣＦ３０に複数の暗号アクセス命令を発行
することによりサービス要求を処理する。ＣＦ３０には
ＣＦ３０への暗号変数の直接入力のためのオプションの
物理的インタフェース３７を有することもできる。ＣＦ
３０によりＣＦＡＰ３４にリターンされる出力パラメー
タのセットを作成するために、ＣＦ３１に呼出される各
暗号アクセス命令にはＣＦ３０により処理される入力パ
ラメータのセットを有する。交替で、ＣＦＡＰ３４がＡ
ＰＰＬ３６に出力パラメータをリターンすることも出来
る。ＣＦＡＰ３４は以後の呼出し命令に出力パラメータ
および入力パラメータを使用することも可能である。も
し出力パラメータが暗号化されたキーを含むならば、そ
の時はＣＦＡＰ３４は、多くの場合これら暗号化された
キーをＣＫＤＳ３２に記憶することがある。
ス３５にあるＣＦＡＰ３４への機能呼出しを通じＡＰＰ
Ｌ３６により開始する。サービス要求にはキーとデータ
パラメータならびにインタフェース３３のＣＫＤ３２か
ら暗号化したキーにＣＦＡＰ３４がアクセスするのに用
いるキー識別子を含んでいる。ＣＦＡＰ３４はインタフ
ェース３１のＣＦ３０に複数の暗号アクセス命令を発行
することによりサービス要求を処理する。ＣＦ３０には
ＣＦ３０への暗号変数の直接入力のためのオプションの
物理的インタフェース３７を有することもできる。ＣＦ
３０によりＣＦＡＰ３４にリターンされる出力パラメー
タのセットを作成するために、ＣＦ３１に呼出される各
暗号アクセス命令にはＣＦ３０により処理される入力パ
ラメータのセットを有する。交替で、ＣＦＡＰ３４がＡ
ＰＰＬ３６に出力パラメータをリターンすることも出来
る。ＣＦＡＰ３４は以後の呼出し命令に出力パラメータ
および入力パラメータを使用することも可能である。も
し出力パラメータが暗号化されたキーを含むならば、そ
の時はＣＦＡＰ３４は、多くの場合これら暗号化された
キーをＣＫＤＳ３２に記憶することがある。
【００２７】図５はこゝで開示する本発明の暗号化機構
３０を説明する。暗号化機構３０は機密保護範囲１４０
内で保全される。暗号化機構３０には命令処理装置１４
２を含み、これに実行コードとして具体化した暗号アル
ゴリズム１４４が結合している。暗号化機構環境記憶装
置１４６は命令処理装置１４２に結合されている。図に
示すように物理的インタフェースはライン３７を通して
ＣＦ環境記憶装置１４６に結合できる。命令処理装置１
４２はインタフェース３１により暗号化機構アクセスプ
ログラム（ＣＦＡＰ）３４に結合される。
３０を説明する。暗号化機構３０は機密保護範囲１４０
内で保全される。暗号化機構３０には命令処理装置１４
２を含み、これに実行コードとして具体化した暗号アル
ゴリズム１４４が結合している。暗号化機構環境記憶装
置１４６は命令処理装置１４２に結合されている。図に
示すように物理的インタフェースはライン３７を通して
ＣＦ環境記憶装置１４６に結合できる。命令処理装置１
４２はインタフェース３１により暗号化機構アクセスプ
ログラム（ＣＦＡＰ）３４に結合される。
【００２８】命令処理装置１４２はインタフェース３１
でＣＦＡＰアクセス命令により呼出された暗号マイクロ
命令を実行する機能素子である。各アクセス命令に対
し、インタフェース３１は実行用特別マイクロ命令の選
択に用いる命令ニーモニックまたは演算コードを先づ定
義する。第２に入力パラメータのセットがＣＦＡＰ３４
からＣＦ３０にパスされる。第３に出力パラメータのセ
ットがＣＦ３０によりＣＦＡＰ３４にリターンされる。
命令処理装置１４２は暗号マイクロ命令記憶装置１４４
に記憶されたマイクロ命令として具象化された暗号処理
ステップの命令の特定順序を実施することにより選択さ
れた命令を実行する。制御流れおよび暗号処理ステップ
のそれに続く出力は入力パラメータの値とＣＦ環境記憶
装置１４６の内容により決る。ＣＦ環境記憶装置１４６
は例えば、キー，フラグ，カウンタ，ＣＦコンフイギュ
レーションデータ等のＣＦ３０内に収集的に記憶される
暗号変数のセットからなる。記憶装置１４６のＣＦ環境
変数はインタフェース３１を通して初期化されるが、そ
れは入力パラメータを読みとり、ＣＦ環境記憶装置１４
６にロードする、あるＣＦマイクロ命令の実行による。
代りに、初期化はオプションの物理的インタフェースを
通して行うこともできるが、これは暗号変数を例えば付
属キー入力装置を通す等、直接にＣＦ環境記憶装置にロ
ードすることができる。
でＣＦＡＰアクセス命令により呼出された暗号マイクロ
命令を実行する機能素子である。各アクセス命令に対
し、インタフェース３１は実行用特別マイクロ命令の選
択に用いる命令ニーモニックまたは演算コードを先づ定
義する。第２に入力パラメータのセットがＣＦＡＰ３４
からＣＦ３０にパスされる。第３に出力パラメータのセ
ットがＣＦ３０によりＣＦＡＰ３４にリターンされる。
命令処理装置１４２は暗号マイクロ命令記憶装置１４４
に記憶されたマイクロ命令として具象化された暗号処理
ステップの命令の特定順序を実施することにより選択さ
れた命令を実行する。制御流れおよび暗号処理ステップ
のそれに続く出力は入力パラメータの値とＣＦ環境記憶
装置１４６の内容により決る。ＣＦ環境記憶装置１４６
は例えば、キー，フラグ，カウンタ，ＣＦコンフイギュ
レーションデータ等のＣＦ３０内に収集的に記憶される
暗号変数のセットからなる。記憶装置１４６のＣＦ環境
変数はインタフェース３１を通して初期化されるが、そ
れは入力パラメータを読みとり、ＣＦ環境記憶装置１４
６にロードする、あるＣＦマイクロ命令の実行による。
代りに、初期化はオプションの物理的インタフェースを
通して行うこともできるが、これは暗号変数を例えば付
属キー入力装置を通す等、直接にＣＦ環境記憶装置にロ
ードすることができる。
【００２９】暗号化機構機密保護範囲１４０の物理的実
施例では次の物理的安全保護の特徴を備えている。物理
的実施例は暗号化機構３０へのアクセスを制限したイン
サイダアドバーサリによるプロービングに抵抗する。術
語「制限した」というのは日，週でなく分，時間単位で
測定される。アドバーサリ（敵）とは、高度の電子，機
械設備を用いてアドバーサリの管理区域で発射される試
験的攻撃と違い、制限された電子装置を用いてカストマ
ーの場所でのプロービング攻撃に限定される。物理的実
施例はまた各種の電気機械式検知装置を用いて物理的プ
ロービングまたはイントルージョンでの試みも検出す
る。またこの暗号化機構３０の物理的実施例ではすべて
の内部に記憶された機密暗号変数のゼロ化を規定してい
る。試みのブロービングまたはイントルージョンが検知
されることがあると、自動的にこのゼロ化が行われる。
物理的実施例はまた内部に記憶されている機密暗号変数
のゼロ化に対する手動機能も備えている。前に引用した
Ａｂｒａｈａｍ等の特許出願を参照すると、如何にして
こういった物理的機密保護の特徴を実行できるかの例が
示されている。
施例では次の物理的安全保護の特徴を備えている。物理
的実施例は暗号化機構３０へのアクセスを制限したイン
サイダアドバーサリによるプロービングに抵抗する。術
語「制限した」というのは日，週でなく分，時間単位で
測定される。アドバーサリ（敵）とは、高度の電子，機
械設備を用いてアドバーサリの管理区域で発射される試
験的攻撃と違い、制限された電子装置を用いてカストマ
ーの場所でのプロービング攻撃に限定される。物理的実
施例はまた各種の電気機械式検知装置を用いて物理的プ
ロービングまたはイントルージョンでの試みも検出す
る。またこの暗号化機構３０の物理的実施例ではすべて
の内部に記憶された機密暗号変数のゼロ化を規定してい
る。試みのブロービングまたはイントルージョンが検知
されることがあると、自動的にこのゼロ化が行われる。
物理的実施例はまた内部に記憶されている機密暗号変数
のゼロ化に対する手動機能も備えている。前に引用した
Ａｂｒａｈａｍ等の特許出願を参照すると、如何にして
こういった物理的機密保護の特徴を実行できるかの例が
示されている。
【００３０】キー生成プロセス：図６はこゝで開示する
本発明の暗号化機構３０に含まれる暗号アルゴリズム１
４４を説明するブロック図である。図６を参照し、暗号
アルゴリズム１４４には暗号化および解読演算を行う暗
号アルゴリズム１５０、キー作成用にキー生成アルゴリ
ズム（ＫＧＡ）１５１および乱数作成用に乱数生成アル
ゴリズム１５２が含まれる。当面は乱数と擬似乱数とを
区別しないこととする。すなわち乱数生成アルゴリズム
１５２は真の乱数発生器でも、または擬似乱数を作成す
るアルゴリズムであってもよい。乱数発生器と擬似乱数
発生器については以下に論ずる。暗号アルゴリズム１５
０はデータ暗号化アルゴリズム（米国標準規格Ｘ３．９
２−１９８１，データ暗号化アルゴリズム，米国規格協
会，ＮｅｗＹｏｒｋ（１９８１年１２月３１日））等の
対称アルゴリズムであってもよく、ＲＳＡアルゴリズム
のような非対称、または公用キー、アルゴリズムであっ
てもよい。公用キーアルゴリズムに対し、暗号化と解読
との数学的演算間に差があってもなくてもよい。例えば
ＲＳＡアルゴリズムでは暗号化も解読も共にべき乗演算
モジュロとして実行される。暗号アルゴリズム１５０に
はインタフェース１５３を通し命令処理装置１４２がア
クセスし、このインタフェース１５３が命令処理装置１
４２に暗号化および解読の基本演算を行わせている。イ
ンタフェース１５３は同時にキー，データ，その他の暗
号変数が暗号アルゴリズム１５０と命令処理装置１４２
との間を通るようにしている。同様の方法で、キー生成
アルゴリズム１５１には命令処理装置１４２がインタフ
ェース１５４を通してアクセスし、インタフェース１５
４は命令処理装置１４２にキー作成を要求させる。イン
タフェース１５４は同時にキー，データ，その他の暗号
変数が２つの各構成品間にパスされるようにする。キー
生成アルゴリズムはまた乱数生成アルゴリズムにインタ
フェース１５５を通してアクセスされる。これによりキ
ー生成アルゴリズム１５１は、キー生成プロセスに必要
な乱数生成アルゴリズム１５２からの乱数の要求，受理
を行なう。乱数生成アルゴリズム１５２はまた命令処理
装置１４２にインタフェース１５６を通してインタフェ
ースをとり、命令処理装置１４２にキー作成以外の暗号
化の目的に必要な乱数の作成を要求させる。
本発明の暗号化機構３０に含まれる暗号アルゴリズム１
４４を説明するブロック図である。図６を参照し、暗号
アルゴリズム１４４には暗号化および解読演算を行う暗
号アルゴリズム１５０、キー作成用にキー生成アルゴリ
ズム（ＫＧＡ）１５１および乱数作成用に乱数生成アル
ゴリズム１５２が含まれる。当面は乱数と擬似乱数とを
区別しないこととする。すなわち乱数生成アルゴリズム
１５２は真の乱数発生器でも、または擬似乱数を作成す
るアルゴリズムであってもよい。乱数発生器と擬似乱数
発生器については以下に論ずる。暗号アルゴリズム１５
０はデータ暗号化アルゴリズム（米国標準規格Ｘ３．９
２−１９８１，データ暗号化アルゴリズム，米国規格協
会，ＮｅｗＹｏｒｋ（１９８１年１２月３１日））等の
対称アルゴリズムであってもよく、ＲＳＡアルゴリズム
のような非対称、または公用キー、アルゴリズムであっ
てもよい。公用キーアルゴリズムに対し、暗号化と解読
との数学的演算間に差があってもなくてもよい。例えば
ＲＳＡアルゴリズムでは暗号化も解読も共にべき乗演算
モジュロとして実行される。暗号アルゴリズム１５０に
はインタフェース１５３を通し命令処理装置１４２がア
クセスし、このインタフェース１５３が命令処理装置１
４２に暗号化および解読の基本演算を行わせている。イ
ンタフェース１５３は同時にキー，データ，その他の暗
号変数が暗号アルゴリズム１５０と命令処理装置１４２
との間を通るようにしている。同様の方法で、キー生成
アルゴリズム１５１には命令処理装置１４２がインタフ
ェース１５４を通してアクセスし、インタフェース１５
４は命令処理装置１４２にキー作成を要求させる。イン
タフェース１５４は同時にキー，データ，その他の暗号
変数が２つの各構成品間にパスされるようにする。キー
生成アルゴリズムはまた乱数生成アルゴリズムにインタ
フェース１５５を通してアクセスされる。これによりキ
ー生成アルゴリズム１５１は、キー生成プロセスに必要
な乱数生成アルゴリズム１５２からの乱数の要求，受理
を行なう。乱数生成アルゴリズム１５２はまた命令処理
装置１４２にインタフェース１５６を通してインタフェ
ースをとり、命令処理装置１４２にキー作成以外の暗号
化の目的に必要な乱数の作成を要求させる。
【００３１】暗号アルゴリズム１５０がＤＥＡのような
対称または公用キー暗号アルゴリズムである場合は、キ
ー生成アルゴリズム１５１によるキーの生成ステップは
単純である。一般に、ｎビットキー（仮にｎ＝６４とす
る）で生成するプロセスは次のステップから成る。６４
ビット乱数ＲＮが乱数生成アルゴリズム１５２から要求
される。ある場合には、ＲＮは生成予定キーとして直接
とられてもよい。しかし多くの暗号システムでは、キー
生成には奇数パリティに対しキーの各バイトを調整する
ステップをも含んでいる。さらに他の場合では、キー値
がある知覚された望ましくない性質を有さない、例えば
キーが「実行時」あるいは「半実行時」ＤＥＡキーでな
いことを確めるため、キー生成アルゴリズムがキー値を
テストすることがある。「実行時」または「半実行時」
ＤＥＡキーの規格に関しては、ＭｅｙｅｒおよびＭａｔ
ｙａｓ共著、「暗号−コンピュータデータ保護の新次
元」Ｊｏｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ社、Ｎｅｗ
Ｙｏｒｋ，１９８２年を参照のこと。キーのパリティを
調節することは多くの暗号システムで共通の慣行である
が、大抵の場合、この追加テストは無視される。
対称または公用キー暗号アルゴリズムである場合は、キ
ー生成アルゴリズム１５１によるキーの生成ステップは
単純である。一般に、ｎビットキー（仮にｎ＝６４とす
る）で生成するプロセスは次のステップから成る。６４
ビット乱数ＲＮが乱数生成アルゴリズム１５２から要求
される。ある場合には、ＲＮは生成予定キーとして直接
とられてもよい。しかし多くの暗号システムでは、キー
生成には奇数パリティに対しキーの各バイトを調整する
ステップをも含んでいる。さらに他の場合では、キー値
がある知覚された望ましくない性質を有さない、例えば
キーが「実行時」あるいは「半実行時」ＤＥＡキーでな
いことを確めるため、キー生成アルゴリズムがキー値を
テストすることがある。「実行時」または「半実行時」
ＤＥＡキーの規格に関しては、ＭｅｙｅｒおよびＭａｔ
ｙａｓ共著、「暗号−コンピュータデータ保護の新次
元」Ｊｏｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ社、Ｎｅｗ
Ｙｏｒｋ，１９８２年を参照のこと。キーのパリティを
調節することは多くの暗号システムで共通の慣行である
が、大抵の場合、この追加テストは無視される。
【００３２】暗号アルゴリズム１５０がＲＳＡアルゴリ
ズム等の対象または公用キー暗号アルゴリズムの場合、
キー生成アルゴリズム１５１でもってキーを生成するス
テップがより多く含まれる。公用キー暗号システムで
は、公用キーおよび私用キーペア（ＰＵ１，ＰＲ１），
（ＰＵ２，ＰＲ２）等は特殊キー生成アルゴリズム（Ｋ
ＧＡ）の助けをかりて作成される。ＫＧＡには、時には
ＫＧＡがその時キーの作成に用いる乱数の作成をＫＧＡ
が作成または要求するプロセスの組合せを含んでいる。
これら乱数はテストされ拒否されることがあり、他の乱
数がある数学特性が満足されるまで要求されテストされ
ることもある。さらに別の場合には、ＫＧＡがある乱
数、またはある数学的特性あるいは複数の特性に対しテ
ストされた後に受け付けた乱数値をとることがあり、こ
の乱数値からその後１個以上の他の値を導出するであろ
う。一般に、ＫＧＡはキーの作成においてある単数およ
び複数の乱数構成要素（すなわち乱数）を要求する。さ
もなければ、ＫＧＡが呼び出される度に同一の公用キー
および私用キーペアが生成される恐れがある。この様な
ことは勿論許容されることでなく可能なキーペアのスペ
ースから無作為に抽出され、または少く共無作為に抽出
されているように思われ、従って敵がＫＧＡが作成した
キーペアを推測する手段がないことを保証するような公
用キーおよび私用キーペア（ＰＵ１，ＰＲ１），（ＰＵ
２，ＰＲ２）をＫＧＡは作成しなければならない。上記
のように、キーの作成において乱数を利用することに加
え、ＫＧＡは数学的プロセスの使用を行い、このプロセ
スでは値は他の値（すなわち、構成的プロセスの使用）
から計算または導出され、試行錯誤のプロセスを用いて
値を計算する（すなわち、所要の値が見つかる迄試行値
をテストし拒否する）。好ましい実施例ではキー生成ア
ルゴリズム中で直接シード値を用いるよりも寧ろ擬似乱
数発生器を初期化するのにシード値を用いている。その
理由はシード値が必然的に、キー生成アルゴリズムがシ
ードにおけるより多くのランダムビットを必要とするで
あろうという非ゼロ確率が存在していることを意味する
特定有限長であるのに対し、擬似乱数発生器はキー生成
アルゴリズムが必要とするだけ、任意長の擬似乱数を生
成することが可能だからである。もしキー生成アルゴリ
ズムがシードよりも多くのランダムビットを要するよう
なことが起れば、シード値の直接再使用は許容されない
ことになるであろう。その理由は、キー生成アルゴリズ
ムはすべてのテスト基準を満足する出力への値を見出せ
ないことがあるので、計算を完了できないことがあるか
らである。動的にシードされる擬似乱数生成アルゴリズ
ムを使用すると擬似ビットの任意数の使用可能性を保証
することにより、この潜在的無限くり返しは避けられ
る。
ズム等の対象または公用キー暗号アルゴリズムの場合、
キー生成アルゴリズム１５１でもってキーを生成するス
テップがより多く含まれる。公用キー暗号システムで
は、公用キーおよび私用キーペア（ＰＵ１，ＰＲ１），
（ＰＵ２，ＰＲ２）等は特殊キー生成アルゴリズム（Ｋ
ＧＡ）の助けをかりて作成される。ＫＧＡには、時には
ＫＧＡがその時キーの作成に用いる乱数の作成をＫＧＡ
が作成または要求するプロセスの組合せを含んでいる。
これら乱数はテストされ拒否されることがあり、他の乱
数がある数学特性が満足されるまで要求されテストされ
ることもある。さらに別の場合には、ＫＧＡがある乱
数、またはある数学的特性あるいは複数の特性に対しテ
ストされた後に受け付けた乱数値をとることがあり、こ
の乱数値からその後１個以上の他の値を導出するであろ
う。一般に、ＫＧＡはキーの作成においてある単数およ
び複数の乱数構成要素（すなわち乱数）を要求する。さ
もなければ、ＫＧＡが呼び出される度に同一の公用キー
および私用キーペアが生成される恐れがある。この様な
ことは勿論許容されることでなく可能なキーペアのスペ
ースから無作為に抽出され、または少く共無作為に抽出
されているように思われ、従って敵がＫＧＡが作成した
キーペアを推測する手段がないことを保証するような公
用キーおよび私用キーペア（ＰＵ１，ＰＲ１），（ＰＵ
２，ＰＲ２）をＫＧＡは作成しなければならない。上記
のように、キーの作成において乱数を利用することに加
え、ＫＧＡは数学的プロセスの使用を行い、このプロセ
スでは値は他の値（すなわち、構成的プロセスの使用）
から計算または導出され、試行錯誤のプロセスを用いて
値を計算する（すなわち、所要の値が見つかる迄試行値
をテストし拒否する）。好ましい実施例ではキー生成ア
ルゴリズム中で直接シード値を用いるよりも寧ろ擬似乱
数発生器を初期化するのにシード値を用いている。その
理由はシード値が必然的に、キー生成アルゴリズムがシ
ードにおけるより多くのランダムビットを必要とするで
あろうという非ゼロ確率が存在していることを意味する
特定有限長であるのに対し、擬似乱数発生器はキー生成
アルゴリズムが必要とするだけ、任意長の擬似乱数を生
成することが可能だからである。もしキー生成アルゴリ
ズムがシードよりも多くのランダムビットを要するよう
なことが起れば、シード値の直接再使用は許容されない
ことになるであろう。その理由は、キー生成アルゴリズ
ムはすべてのテスト基準を満足する出力への値を見出せ
ないことがあるので、計算を完了できないことがあるか
らである。動的にシードされる擬似乱数生成アルゴリズ
ムを使用すると擬似ビットの任意数の使用可能性を保証
することにより、この潜在的無限くり返しは避けられ
る。
【００３３】図７は暗号アルゴリズム１５０がＲＳＡア
ルゴリズムである時のキー生成アルゴリズム１５１を説
明する流れ図である。キー生成アルゴリズム１５１は公
用キーおよび私用キーペアＰＵ＝（ｅ，ｎ）およびＰＲ
＝（ｄ，ｎ）を作成する。こゝでｅ，ｄは公用および私
用指数（ｅ，ｄはｎより小の正の整数）と呼ばれ、ｎは
公用モジュラスである。従って２個組（ｄ，ｎ）におい
て、私用指数ｄのみが機密保護を必要とする。図７を参
照し、ステップ１６１でｐの試行値が生成される。ステ
ップ１６２で、ｐの値が素数性に対しテストされる。素
数性テストの方法を以下に述べる。ｐが素数ならば、制
御はステップ１６３に進む。そうでなければ制御はステ
ップ１６１に戻る（すなわち新ｐが生成される）。ステ
ップ１６３でｐが「強」素数であるかどうかを調べるテ
ストが行われる。「強」素数とは、選定したｐが素数
ｐ，ｑにモジュラスｎを因数分解することにより暗号ア
ルゴリズムを「ブレーク」するための数学的解析を許可
しないことを保証する追加基準集合を満足する素数ｐを
表わす本手法での術語である。キー生成およびｐ，ｑが
暗号攻撃を妨げるのに充分強であることを保証するため
にｐ，ｑについて実施される追加テストの論議に対して
は、Ｒｉｖｅｓｔ，Ｒ．Ｌ、Ｓｈａｍｉｒ，Ａ．、Ａｄ
ｌｅｍａｎ，Ｌ．「デジタルシグニチャおよび公用キー
機密システムを得る方法」を参照のこと。ステップ１６
３でｐについて実施される追加テストには、ｐ−１が大
素数因数ｐ′を有することおよびｐ′−１が大素数因数
ｐ″を有することのテストが含まれる。ＲＳＡキー生成
について述べている文献で示唆されるその他のテストと
してｐ＋１が大素数因数を有することをテストするもの
もある。ｐが「強」素数ならば制御はステップ１６４に
進み、その他の時は制御はステップ１６１に戻る。（す
なわち新しいｐが生成される）。ステップ１６４でｑの
試行値が生成される。ステップ１６５ではｐの値が素数
性についてテストされる。ｐが素数なら、制御はステッ
プ１６６に進み、その他の時はステップ１６４に戻る
（すなわち新しいｑが生成される）。ステップ１６６で
ｑが「強」素数かどうかがテストされる。ステップ１６
６でｑに実施される追加テストにはｑ−１が大素数因数
ｑ′を有することおよびｑ′−１が大素数因数ｑ″を有
することのテストを含む。ＲＳＡキー生成を論ずる文献
が示唆する別のテストはｑ＋１が大素数因数を有するこ
とをテストすることである。もしｑが「強」素数なら
ば、制御はステップ１６７に進み、その他の時は制御は
ステップ１６４に戻る。（すなわち新しいｑが生成され
る）。ステップ１６７で公用モジュラスｎはｐとｑの乗
算積として形成される。ステップ１６８で、値ｒは（ｐ
−１）と（ｑ−１）の乗算積として構成される。ステッ
プ１６９で、キー生成アルゴリズムにより、公用指数ｅ
が入力として与えられているかどうかが決定される。も
し入力として与えられるならば、その時には制御はステ
ップ１７２に進み、与えられた値ｅがステップ１７１で
テストされた条件を満たすと仮定される。別の実施例と
しては、制御がステップ１７１にフローすることがで
き、与えられた値ｅをキー生成アルゴリズム１５１によ
りチェックすることもできる。もし入力として与えられ
なければ、制御はステップ１７０に進み、ステップ１７
０でｅの試行値を生成する。ステップ１７１でｅがｒに
対し相対的に素であることを確認するためのテストを行
なう。これは容易に実行され、ｅとｒの最大公約数（Ｇ
ＣＤ）が１であること、すなわちｅとｒが１以外の共通
因数を有しないことをチェックする。ｅとｒが互いに相
対的に素であれば、その時は制御はステップ１７２に進
み、その他の時は制御はステップ１７０に戻る。（すな
わち新しいｅが生成される。）ステップ１７２で、値ｄ
はｅとｄとの積が１モジュロｒと合同であるように計算
される。ステップ１７３でＰＵ＝（ｅ，ｎ）とＰＲ＝
（ｄ，ｎ）の計算値が出力としてリターンする。
ルゴリズムである時のキー生成アルゴリズム１５１を説
明する流れ図である。キー生成アルゴリズム１５１は公
用キーおよび私用キーペアＰＵ＝（ｅ，ｎ）およびＰＲ
＝（ｄ，ｎ）を作成する。こゝでｅ，ｄは公用および私
用指数（ｅ，ｄはｎより小の正の整数）と呼ばれ、ｎは
公用モジュラスである。従って２個組（ｄ，ｎ）におい
て、私用指数ｄのみが機密保護を必要とする。図７を参
照し、ステップ１６１でｐの試行値が生成される。ステ
ップ１６２で、ｐの値が素数性に対しテストされる。素
数性テストの方法を以下に述べる。ｐが素数ならば、制
御はステップ１６３に進む。そうでなければ制御はステ
ップ１６１に戻る（すなわち新ｐが生成される）。ステ
ップ１６３でｐが「強」素数であるかどうかを調べるテ
ストが行われる。「強」素数とは、選定したｐが素数
ｐ，ｑにモジュラスｎを因数分解することにより暗号ア
ルゴリズムを「ブレーク」するための数学的解析を許可
しないことを保証する追加基準集合を満足する素数ｐを
表わす本手法での術語である。キー生成およびｐ，ｑが
暗号攻撃を妨げるのに充分強であることを保証するため
にｐ，ｑについて実施される追加テストの論議に対して
は、Ｒｉｖｅｓｔ，Ｒ．Ｌ、Ｓｈａｍｉｒ，Ａ．、Ａｄ
ｌｅｍａｎ，Ｌ．「デジタルシグニチャおよび公用キー
機密システムを得る方法」を参照のこと。ステップ１６
３でｐについて実施される追加テストには、ｐ−１が大
素数因数ｐ′を有することおよびｐ′−１が大素数因数
ｐ″を有することのテストが含まれる。ＲＳＡキー生成
について述べている文献で示唆されるその他のテストと
してｐ＋１が大素数因数を有することをテストするもの
もある。ｐが「強」素数ならば制御はステップ１６４に
進み、その他の時は制御はステップ１６１に戻る。（す
なわち新しいｐが生成される）。ステップ１６４でｑの
試行値が生成される。ステップ１６５ではｐの値が素数
性についてテストされる。ｐが素数なら、制御はステッ
プ１６６に進み、その他の時はステップ１６４に戻る
（すなわち新しいｑが生成される）。ステップ１６６で
ｑが「強」素数かどうかがテストされる。ステップ１６
６でｑに実施される追加テストにはｑ−１が大素数因数
ｑ′を有することおよびｑ′−１が大素数因数ｑ″を有
することのテストを含む。ＲＳＡキー生成を論ずる文献
が示唆する別のテストはｑ＋１が大素数因数を有するこ
とをテストすることである。もしｑが「強」素数なら
ば、制御はステップ１６７に進み、その他の時は制御は
ステップ１６４に戻る。（すなわち新しいｑが生成され
る）。ステップ１６７で公用モジュラスｎはｐとｑの乗
算積として形成される。ステップ１６８で、値ｒは（ｐ
−１）と（ｑ−１）の乗算積として構成される。ステッ
プ１６９で、キー生成アルゴリズムにより、公用指数ｅ
が入力として与えられているかどうかが決定される。も
し入力として与えられるならば、その時には制御はステ
ップ１７２に進み、与えられた値ｅがステップ１７１で
テストされた条件を満たすと仮定される。別の実施例と
しては、制御がステップ１７１にフローすることがで
き、与えられた値ｅをキー生成アルゴリズム１５１によ
りチェックすることもできる。もし入力として与えられ
なければ、制御はステップ１７０に進み、ステップ１７
０でｅの試行値を生成する。ステップ１７１でｅがｒに
対し相対的に素であることを確認するためのテストを行
なう。これは容易に実行され、ｅとｒの最大公約数（Ｇ
ＣＤ）が１であること、すなわちｅとｒが１以外の共通
因数を有しないことをチェックする。ｅとｒが互いに相
対的に素であれば、その時は制御はステップ１７２に進
み、その他の時は制御はステップ１７０に戻る。（すな
わち新しいｅが生成される。）ステップ１７２で、値ｄ
はｅとｄとの積が１モジュロｒと合同であるように計算
される。ステップ１７３でＰＵ＝（ｅ，ｎ）とＰＲ＝
（ｄ，ｎ）の計算値が出力としてリターンする。
【００３４】素数性に対し多数をテストする適切な手法
の１つに、Ｒ．Ｓｏｌｏｖａｙ，Ｖ．Ｓｔｒａｓｓｅｎ
が「素数性に関する高速モンテカルロテスト」ＳＩＡＭ
Ｊｏｕｒｎａｌ ｏｎ Ｃｏｍｐｕｔｉｎｇ，１９７
７年３月，ページ８４，８５で述べた有効な「蓋然論
（probabilistic ）」アルゴリズムの使用がある。そこ
では乱数「ａ」を一様分布（１，２，…，Ｘ−１）から
とり、「ａ」の最大公約数およびＸが１であるかどう
か、すなわちＧＣＤ（ａ，Ｘ）＝１をチェックし、また
Ｊ（ａ，Ｘ）で表わす「ａ」とＸのヤコビの記号がＱモ
ジュロＸに合同かどうか（ただしＱは「ａ」の(X-1) ／
２べき乗に等しい）をテストする。こゝで整数（ａ１，
ａ２，等）の集合（但し集合中の各「ａ」はＸより小さ
い）を用いてＸを素数性に関してテストする。図７に示
すように、ＲＳＡキーを生成する場合には値Ｘを値ｐ，
ｑに置き換えることに注意する必要がある。このテスト
では、セット中の各「ａ」の値に対し、上記の両条件が
保持されることが必要である。従って集合中に両条件が
保持されない「ａ」があれば、Ｘは複素数であることが
分かる。その他の時はＸは素数として受容される。この
手順は選択した数が素数であることを保証するのではな
く、素数性のテストに失敗しなかったことのみを保証し
ている。集合中の整数ａ（ａ１，ａ２等）の数が大きい
程、選択した数が素数である確率が大きい。たゞし勿論
集合中の各整数「ａ」に対し両条件が満足されているこ
とが仮定されている。２整数の最大公約数、２整数の最
小公倍数、２整数のヤコビの記号の計算法は技術上周知
である。
の１つに、Ｒ．Ｓｏｌｏｖａｙ，Ｖ．Ｓｔｒａｓｓｅｎ
が「素数性に関する高速モンテカルロテスト」ＳＩＡＭ
Ｊｏｕｒｎａｌ ｏｎ Ｃｏｍｐｕｔｉｎｇ，１９７
７年３月，ページ８４，８５で述べた有効な「蓋然論
（probabilistic ）」アルゴリズムの使用がある。そこ
では乱数「ａ」を一様分布（１，２，…，Ｘ−１）から
とり、「ａ」の最大公約数およびＸが１であるかどう
か、すなわちＧＣＤ（ａ，Ｘ）＝１をチェックし、また
Ｊ（ａ，Ｘ）で表わす「ａ」とＸのヤコビの記号がＱモ
ジュロＸに合同かどうか（ただしＱは「ａ」の(X-1) ／
２べき乗に等しい）をテストする。こゝで整数（ａ１，
ａ２，等）の集合（但し集合中の各「ａ」はＸより小さ
い）を用いてＸを素数性に関してテストする。図７に示
すように、ＲＳＡキーを生成する場合には値Ｘを値ｐ，
ｑに置き換えることに注意する必要がある。このテスト
では、セット中の各「ａ」の値に対し、上記の両条件が
保持されることが必要である。従って集合中に両条件が
保持されない「ａ」があれば、Ｘは複素数であることが
分かる。その他の時はＸは素数として受容される。この
手順は選択した数が素数であることを保証するのではな
く、素数性のテストに失敗しなかったことのみを保証し
ている。集合中の整数ａ（ａ１，ａ２等）の数が大きい
程、選択した数が素数である確率が大きい。たゞし勿論
集合中の各整数「ａ」に対し両条件が満足されているこ
とが仮定されている。２整数の最大公約数、２整数の最
小公倍数、２整数のヤコビの記号の計算法は技術上周知
である。
【００３５】適切な暗号保護を達成するＲＳＡアルゴリ
ズムに対し、モジュラスｎがほぼ５１２ビットと１０２
４ビット間の数であることが必要なことは当業者によく
知っている。前記のキー生成アルゴリズムでは、公用キ
ー指数ｅはキー生成アルゴリズムに規定することも、キ
ー生成アルゴリズムにより生成することも可能である。
ｅをキー生成アルゴリズムに規定する利点は小さな値
（例えばｅ＝３）を規定できることである。公用キーで
暗号化する時はこれにより性能が向上する。私用指数ｄ
は従属変数であり、導出されなければならない。従って
実用上は、ｄはモジュラスと同一サイズになる。この場
合モジュラスが５１２ビットなら、選択した指数ｅのビ
ット数により、公用キーＰＵは５１４ビット〜１０２４
ビットであり、他方私用キーＰＲは１０２４ビットであ
る。６４ビットまたは１２８ビットのＤＥＡキーと比べ
ると、ＲＳＡキーはかなり大きい。当業者には公用キー
アルゴリズムが可成り計算的に強力な手順であることも
認められる。単一の公用キーおよび私用キーペアを生成
するのに必要な時間で、数千、恐らく数百万ものＤＥＡ
キーを生成できる。固定ブロックサイズのＤＥＡと違っ
て、ＲＳＡアルゴリズムは特定のブロックサイズを要し
ない。そのために選択したモジュラス長により、ＲＳＡ
キー生成が比較的短かったりまたは比較的長いプロセス
であったりすることができる。キー生成アルゴリズム１
５１が希望サイズ（すなわち規定ビット数）の公用キー
および私用キーを生成するためには、生成されたｐとｑ
が共に掛け合わせると希望のサイズ、あるいはビット長
のモジュラスｎを生ずるようにステップ１６１と１６４
とを設計する。ｐ，ｑに関する追加テストを図７の流れ
図に追加でき、これによりＩＳＯ Ｄｒａｆｔ Ｉｎｔ
ｅｒｎａｌ Ｓｔａｎｄａｒｄ ９７９６「メッセージ
回復を与えるデジタル署名計画」のような暗号規格中で
規定されることのある仕様に従って、キー生成を適合さ
せ得ることに当業者は理解するであろう。また図７に述
べたＲＳＡキー生成アルゴリズムは、ｐとｑの作成が単
に試行錯誤法ではなく、試行錯誤とその値を構成する方
法とを組合せるプロセスで行うならば、より効率が上る
ということを当業者は認めるであろう。ｐの生成、ｐ−
１が大素数ｐ′を有することのテスト、ｐ′−１が大素
数ｐ″を有することのテストの代りに、大素数ｐ″を生
成することから開始することも出来る。この場合、少数
をｐ″に乗じ、１を加え、次にプライマリティのテスト
をすることによりｐ″から素数ｐ′を見つける。この結
果得られたｐ′が素数でなければ、ｐ″に別の少数を乗
ずる以外は同じプロセスを繰り返す。同じ手法でｐ′か
らｐも見出すことができる。同様に、同じ手法を使って
ｑ″からｑを見出すことができる。
ズムに対し、モジュラスｎがほぼ５１２ビットと１０２
４ビット間の数であることが必要なことは当業者によく
知っている。前記のキー生成アルゴリズムでは、公用キ
ー指数ｅはキー生成アルゴリズムに規定することも、キ
ー生成アルゴリズムにより生成することも可能である。
ｅをキー生成アルゴリズムに規定する利点は小さな値
（例えばｅ＝３）を規定できることである。公用キーで
暗号化する時はこれにより性能が向上する。私用指数ｄ
は従属変数であり、導出されなければならない。従って
実用上は、ｄはモジュラスと同一サイズになる。この場
合モジュラスが５１２ビットなら、選択した指数ｅのビ
ット数により、公用キーＰＵは５１４ビット〜１０２４
ビットであり、他方私用キーＰＲは１０２４ビットであ
る。６４ビットまたは１２８ビットのＤＥＡキーと比べ
ると、ＲＳＡキーはかなり大きい。当業者には公用キー
アルゴリズムが可成り計算的に強力な手順であることも
認められる。単一の公用キーおよび私用キーペアを生成
するのに必要な時間で、数千、恐らく数百万ものＤＥＡ
キーを生成できる。固定ブロックサイズのＤＥＡと違っ
て、ＲＳＡアルゴリズムは特定のブロックサイズを要し
ない。そのために選択したモジュラス長により、ＲＳＡ
キー生成が比較的短かったりまたは比較的長いプロセス
であったりすることができる。キー生成アルゴリズム１
５１が希望サイズ（すなわち規定ビット数）の公用キー
および私用キーを生成するためには、生成されたｐとｑ
が共に掛け合わせると希望のサイズ、あるいはビット長
のモジュラスｎを生ずるようにステップ１６１と１６４
とを設計する。ｐ，ｑに関する追加テストを図７の流れ
図に追加でき、これによりＩＳＯ Ｄｒａｆｔ Ｉｎｔ
ｅｒｎａｌ Ｓｔａｎｄａｒｄ ９７９６「メッセージ
回復を与えるデジタル署名計画」のような暗号規格中で
規定されることのある仕様に従って、キー生成を適合さ
せ得ることに当業者は理解するであろう。また図７に述
べたＲＳＡキー生成アルゴリズムは、ｐとｑの作成が単
に試行錯誤法ではなく、試行錯誤とその値を構成する方
法とを組合せるプロセスで行うならば、より効率が上る
ということを当業者は認めるであろう。ｐの生成、ｐ−
１が大素数ｐ′を有することのテスト、ｐ′−１が大素
数ｐ″を有することのテストの代りに、大素数ｐ″を生
成することから開始することも出来る。この場合、少数
をｐ″に乗じ、１を加え、次にプライマリティのテスト
をすることによりｐ″から素数ｐ′を見つける。この結
果得られたｐ′が素数でなければ、ｐ″に別の少数を乗
ずる以外は同じプロセスを繰り返す。同じ手法でｐ′か
らｐも見出すことができる。同様に、同じ手法を使って
ｑ″からｑを見出すことができる。
【００３６】ＲＳＡキー生成には多くの変形がありうる
ことを当業者は認めるであろう。しかしどんな場合に
も、キー生成プロセスでは乱数が必要であり、この乱数
は乱数発生器または擬似乱数発生器を用いて作成するこ
とが出来る。図７に戻ると、ステップ１６１，１６４で
はｐ，ｑの試行値が無作為に生成される。一度生成され
ると最も重要性の少ない（低位または右端）ビットをＢ
「１」に等しく設定することができ、生成値が必ず整奇
数であることが確実となる。値２を除きすべての素数は
奇数であるから、これにより処理が速くなる。上述のよ
うにｐとｑをｐ″とｑ″とから生成する場合は、ｐ″と
ｑ″の試行値を無作為に生成する。公用指数ｅがキー生
成アルゴリズム１５１に入力として与えられていない時
には、ｅの試行値を無作為に生成する。このようにし
て、すべての場合に、ＲＳＡキー生成には乱数の作成と
使用の必要なことが分る。
ことを当業者は認めるであろう。しかしどんな場合に
も、キー生成プロセスでは乱数が必要であり、この乱数
は乱数発生器または擬似乱数発生器を用いて作成するこ
とが出来る。図７に戻ると、ステップ１６１，１６４で
はｐ，ｑの試行値が無作為に生成される。一度生成され
ると最も重要性の少ない（低位または右端）ビットをＢ
「１」に等しく設定することができ、生成値が必ず整奇
数であることが確実となる。値２を除きすべての素数は
奇数であるから、これにより処理が速くなる。上述のよ
うにｐとｑをｐ″とｑ″とから生成する場合は、ｐ″と
ｑ″の試行値を無作為に生成する。公用指数ｅがキー生
成アルゴリズム１５１に入力として与えられていない時
には、ｅの試行値を無作為に生成する。このようにし
て、すべての場合に、ＲＳＡキー生成には乱数の作成と
使用の必要なことが分る。
【００３７】乱数および擬似乱数：大抵の暗号システム
では乱数を作成、使用する手段が必要である。例えば、
ＤＥＡによる暗号化の暗号ブロック連鎖モードを使用す
る時など、乱数を初期化ベクトルまたは初期連鎖値とし
て使用する。例えば、ＤＥＡによる暗号化の暗号フィー
ドバックモードを使用する時などは、乱数を「シード」
値として使用する。多くの暗号ベース識別および認証プ
ロトコルでは乱数をその場限りに使用する。乱数作成能
力がないと、大抵の暗号システムは著しく制約を受ける
かまたは使いものにならないであろう。
では乱数を作成、使用する手段が必要である。例えば、
ＤＥＡによる暗号化の暗号ブロック連鎖モードを使用す
る時など、乱数を初期化ベクトルまたは初期連鎖値とし
て使用する。例えば、ＤＥＡによる暗号化の暗号フィー
ドバックモードを使用する時などは、乱数を「シード」
値として使用する。多くの暗号ベース識別および認証プ
ロトコルでは乱数をその場限りに使用する。乱数作成能
力がないと、大抵の暗号システムは著しく制約を受ける
かまたは使いものにならないであろう。
【００３８】図８および図９に暗号システムで乱数を生
成するのによく用いられる２方法を示す。図８は「真」
乱数発生器１８０のブロック図である。「真」乱数発生
器１８０にはハードウェア回路１８１を含み、乱数を作
成する能力がある。かゝるハードウェア発生器で乱数を
作成する手段はよく知られており従来技術で実行できる
（前記ＵＳＰ４，９０５，１７６、Ｒ．Ｓｃｈｕｌｚ
「乱数発生器回路」１９９０年２月２７日発行を参
照）。乱数の要求はインタフェース１８２を通して入力
される。生成された乱数（ＲＮ１，ＲＮ２等）はインタ
フェース１８３を通し出力される。実際には生成された
乱数の長さはアルゴリズムの固定定数例えば６４ビット
である。「真」乱数発生器はその出力値が予想不能であ
るという性質を有する。すなわち乱数発生器の出力を予
測するようなアルゴリズムを構成する筈はない。「真」
乱数発生器は初期化にシード値を必要とせず、従って発
生器の出力を繰り返させる方法は存在しない。この性質
が「真」乱数発生器を暗号システムでの実行を非常に望
ましいものにしている。しかし「真」乱数発生器のコス
トは擬似乱数発生器に比べて比較的高いため、大抵の商
用暗号システムは擬似乱数発生器を使用している。
成するのによく用いられる２方法を示す。図８は「真」
乱数発生器１８０のブロック図である。「真」乱数発生
器１８０にはハードウェア回路１８１を含み、乱数を作
成する能力がある。かゝるハードウェア発生器で乱数を
作成する手段はよく知られており従来技術で実行できる
（前記ＵＳＰ４，９０５，１７６、Ｒ．Ｓｃｈｕｌｚ
「乱数発生器回路」１９９０年２月２７日発行を参
照）。乱数の要求はインタフェース１８２を通して入力
される。生成された乱数（ＲＮ１，ＲＮ２等）はインタ
フェース１８３を通し出力される。実際には生成された
乱数の長さはアルゴリズムの固定定数例えば６４ビット
である。「真」乱数発生器はその出力値が予想不能であ
るという性質を有する。すなわち乱数発生器の出力を予
測するようなアルゴリズムを構成する筈はない。「真」
乱数発生器は初期化にシード値を必要とせず、従って発
生器の出力を繰り返させる方法は存在しない。この性質
が「真」乱数発生器を暗号システムでの実行を非常に望
ましいものにしている。しかし「真」乱数発生器のコス
トは擬似乱数発生器に比べて比較的高いため、大抵の商
用暗号システムは擬似乱数発生器を使用している。
【００３９】図９は初期にシードされる擬似乱数発生器
１９０のブロック図である。初期にシードされる擬似乱
数発生器１９０にはアルゴリズム１９１および乱数生成
にアルゴリズム１９１が使用するシード値記憶のための
シード記憶装置１９４を有する。（擬似乱数発生器によ
り作成された乱数は一見無作為に見えるだけであること
に注意を要する。より正確には、擬似乱数発生器により
作成される出力は擬似乱数と呼ぶべきである。しかし便
宜上これらも乱数と呼ぶことにする）。初期シード値は
インタフェース１９５を通し指定される。初期シード値
自体は暗号命令の１つを通し暗号機構にインタフェース
するユーティリティプログラムを通し暗号システムに入
力されるか、または入力されたパスワードあるいは物理
的なキー操作スイッチを用いて許可されたインストレー
ション要員のみが操作できる特殊前面パネルインタフェ
ースを通し入力される。キー生成に擬似乱数発生器を使
用する場合は、初期およびその後すべてのシード値は機
密にしておかなければならない。そうでなければ、擬似
乱数発生アルゴリズムは公用領域にあると考えられるか
ら、生成された乱数の機密度はシード値を秘密にしてお
くことに依存している。乱数を生成する時には、シード
値はアルゴリズム１９１の性質にもよるが、アルゴリズ
ム１９１により動的に更新されることがある。アルゴリ
ズム１９１にはまた、乱数作成中自動的に更新されるカ
ウンタ数またはシーケンス数の記憶装置のような、別個
の記憶装置を有するものがある。この場合には、シード
値は一定のまゝでカウンタ数またはシーケンス数のみが
更新される。カウンタ数またはシーケンス数を用いるケ
ースでは、シード記憶装置１９４にシード値がインタフ
ェース１９５を通して初期化される時に初期値がアルゴ
リズム１９１によりセットされる。乱数の要求はインタ
フェース１９２を通し入力される。生成された乱数（Ｒ
Ｎ１，ＲＮ２等）はインタフェース１９３を通し出力さ
れる。実際には生成された乱数の長さはある固定値、例
えば６４ビットである。擬似乱数発生器はその出力が完
全に予想可能であるという性質を有す。擬似乱数発生器
の出力は一見無作為に見える数値の列（ＲＮ１，ＲＮ２
等）である。アルゴリズムがいわば「メモリ」を有して
いる理由のみで、ＲＮ２はＲＮ１とは違っている。すな
わち、アルゴリズムは連続的に自身を更新しており、ア
ルゴリズムが呼び出される度に違った「出発」点から始
まる。しかし、もし同じアルゴリズム１９１の各場合が
同じシード値で初期化されたとしたら、各アルゴリズム
１９１により作成される乱数は完全に同一となろう。初
期シード値自体を無作為プロセスを通して選択すべきで
あるということが良い暗号実施法である。こうすると別
々の暗号装置で各々初期にシードされる擬似乱数発生器
１９０は異なる乱数を作成する。
１９０のブロック図である。初期にシードされる擬似乱
数発生器１９０にはアルゴリズム１９１および乱数生成
にアルゴリズム１９１が使用するシード値記憶のための
シード記憶装置１９４を有する。（擬似乱数発生器によ
り作成された乱数は一見無作為に見えるだけであること
に注意を要する。より正確には、擬似乱数発生器により
作成される出力は擬似乱数と呼ぶべきである。しかし便
宜上これらも乱数と呼ぶことにする）。初期シード値は
インタフェース１９５を通し指定される。初期シード値
自体は暗号命令の１つを通し暗号機構にインタフェース
するユーティリティプログラムを通し暗号システムに入
力されるか、または入力されたパスワードあるいは物理
的なキー操作スイッチを用いて許可されたインストレー
ション要員のみが操作できる特殊前面パネルインタフェ
ースを通し入力される。キー生成に擬似乱数発生器を使
用する場合は、初期およびその後すべてのシード値は機
密にしておかなければならない。そうでなければ、擬似
乱数発生アルゴリズムは公用領域にあると考えられるか
ら、生成された乱数の機密度はシード値を秘密にしてお
くことに依存している。乱数を生成する時には、シード
値はアルゴリズム１９１の性質にもよるが、アルゴリズ
ム１９１により動的に更新されることがある。アルゴリ
ズム１９１にはまた、乱数作成中自動的に更新されるカ
ウンタ数またはシーケンス数の記憶装置のような、別個
の記憶装置を有するものがある。この場合には、シード
値は一定のまゝでカウンタ数またはシーケンス数のみが
更新される。カウンタ数またはシーケンス数を用いるケ
ースでは、シード記憶装置１９４にシード値がインタフ
ェース１９５を通して初期化される時に初期値がアルゴ
リズム１９１によりセットされる。乱数の要求はインタ
フェース１９２を通し入力される。生成された乱数（Ｒ
Ｎ１，ＲＮ２等）はインタフェース１９３を通し出力さ
れる。実際には生成された乱数の長さはある固定値、例
えば６４ビットである。擬似乱数発生器はその出力が完
全に予想可能であるという性質を有す。擬似乱数発生器
の出力は一見無作為に見える数値の列（ＲＮ１，ＲＮ２
等）である。アルゴリズムがいわば「メモリ」を有して
いる理由のみで、ＲＮ２はＲＮ１とは違っている。すな
わち、アルゴリズムは連続的に自身を更新しており、ア
ルゴリズムが呼び出される度に違った「出発」点から始
まる。しかし、もし同じアルゴリズム１９１の各場合が
同じシード値で初期化されたとしたら、各アルゴリズム
１９１により作成される乱数は完全に同一となろう。初
期シード値自体を無作為プロセスを通して選択すべきで
あるということが良い暗号実施法である。こうすると別
々の暗号装置で各々初期にシードされる擬似乱数発生器
１９０は異なる乱数を作成する。
【００４０】図１０は動的にシードされる擬似乱数発生
器２００のブロック図である。動的にシードされる擬似
乱数発生器２００は乱数発生用にアルゴリズム２０１を
有する。乱数の要求はインタフェース２０２を通し入力
される。生成された乱数（ＲＮ１，ＲＮ２等）はインタ
フェース２０３を通し出力される。インタフェース２０
３で生成された乱数（ＲＮと名付ける）の長さはインタ
フェース２０２における長さパラメタにより規定される
値に等しい。アルゴリズム２０１には内部に記憶された
シード値を有しない。その代り要求されるシード値はイ
ンタフェース２０２においてアルゴリズム２０１に指定
される。このシード値は呼出し者に見えなければならな
いが、それは同一シードを入力すれば同一出力が生ずる
ことを保証しながら他の呼出し者による要求のインタリ
ーブを行なえるからである。便宜上、長さ値が生成され
る乱数長を決める所では、アルゴリズム２０１では長さ
パラメタをインタフェース２０２で指定してよい。実際
上は、シードの長さは大抵はアルゴリズム２０１が予め
設定した固定定数である。動的にシードされる擬似乱数
発生器２００の演算を説明するため次のことを仮定す
る。（１）パラメタ「長」はビットで指定され、（２）
パラメタ「シード」のビットでの長さは１２８であり、
Ｌは望ましい乱数（ＲＮと称する）のビットでの長さで
ある。その場合パラメタ「長」で指定される値は１２８
＋Ｌ、すなわち次期シードの長さプラス望ましい乱数の
長さで計算される。
器２００のブロック図である。動的にシードされる擬似
乱数発生器２００は乱数発生用にアルゴリズム２０１を
有する。乱数の要求はインタフェース２０２を通し入力
される。生成された乱数（ＲＮ１，ＲＮ２等）はインタ
フェース２０３を通し出力される。インタフェース２０
３で生成された乱数（ＲＮと名付ける）の長さはインタ
フェース２０２における長さパラメタにより規定される
値に等しい。アルゴリズム２０１には内部に記憶された
シード値を有しない。その代り要求されるシード値はイ
ンタフェース２０２においてアルゴリズム２０１に指定
される。このシード値は呼出し者に見えなければならな
いが、それは同一シードを入力すれば同一出力が生ずる
ことを保証しながら他の呼出し者による要求のインタリ
ーブを行なえるからである。便宜上、長さ値が生成され
る乱数長を決める所では、アルゴリズム２０１では長さ
パラメタをインタフェース２０２で指定してよい。実際
上は、シードの長さは大抵はアルゴリズム２０１が予め
設定した固定定数である。動的にシードされる擬似乱数
発生器２００の演算を説明するため次のことを仮定す
る。（１）パラメタ「長」はビットで指定され、（２）
パラメタ「シード」のビットでの長さは１２８であり、
Ｌは望ましい乱数（ＲＮと称する）のビットでの長さで
ある。その場合パラメタ「長」で指定される値は１２８
＋Ｌ、すなわち次期シードの長さプラス望ましい乱数の
長さで計算される。
【００４１】別の実施例では、次期シードの作成を自動
的に行うと、従ってパラメタ「長」は望ましい乱数ＲＮ
の長さを指定することになる。その場合は、インタフェ
ース２０３では２つの出力、次のシードとＲＮがある。
いずれの実施例も作動する。最初の場合では、動的にシ
ードされる擬似乱数発生器２００は次期シードを作成す
る方法については意識しない。次期シード値の作成、管
理は呼出し者の制御下にある。第２の場合では、動的に
シードされる擬似乱数発生器２００は呼出し者に次期シ
ード値を計算して戻す責任がある。
的に行うと、従ってパラメタ「長」は望ましい乱数ＲＮ
の長さを指定することになる。その場合は、インタフェ
ース２０３では２つの出力、次のシードとＲＮがある。
いずれの実施例も作動する。最初の場合では、動的にシ
ードされる擬似乱数発生器２００は次期シードを作成す
る方法については意識しない。次期シード値の作成、管
理は呼出し者の制御下にある。第２の場合では、動的に
シードされる擬似乱数発生器２００は呼出し者に次期シ
ード値を計算して戻す責任がある。
【００４２】さらに別の代替実施例では、初期にシード
される擬似乱数発生器のアルゴリズムと動的にシードさ
れる擬似乱数発生器のアルゴリズムとが同じアルゴリズ
ムであり、アルゴリズムには同一の回路および／または
ルーチンを用いることができる。初期にシードされる発
生器は普通のユーザではアクセスできないシステム記憶
装置を用いていてシステムシード値を有し、これは初期
にシードされたアルゴリズムが呼出されると必要に応じ
て自動的に更新される。また動的にシードされる発生器
は呼出し者にそのシード値をパス（および維持）するよ
う要求する。上記方法に対し小修正や変化を加えた多く
の実施例が可能であり、この相異点は本発明に何等影響
しないことを関係者は認めるであろう。
される擬似乱数発生器のアルゴリズムと動的にシードさ
れる擬似乱数発生器のアルゴリズムとが同じアルゴリズ
ムであり、アルゴリズムには同一の回路および／または
ルーチンを用いることができる。初期にシードされる発
生器は普通のユーザではアクセスできないシステム記憶
装置を用いていてシステムシード値を有し、これは初期
にシードされたアルゴリズムが呼出されると必要に応じ
て自動的に更新される。また動的にシードされる発生器
は呼出し者にそのシード値をパス（および維持）するよ
う要求する。上記方法に対し小修正や変化を加えた多く
の実施例が可能であり、この相異点は本発明に何等影響
しないことを関係者は認めるであろう。
【００４３】本発明では、公用キーおよび私用キーペア
（ＰＵ，ＰＲ）はユーガによる入力として機密パスフレ
ーズから生成されており、その実行のためにはキー生成
アルゴリズムが同じ順序の乱数を再生成するし、従って
同じパスフレーズがキー生成アルゴリズムに指定される
度に同じキーペア（ＰＵ，ＰＲ）を再生成することが出
来ることが極めて重要である。これと対照的に、暗号シ
ステムで乱数を要求する他の暗号アプリケーションは全
て、同じ順序の乱数を再生成する必要を有しない。実際
には、かゝる能力が暗号システムに存在するとキーが偶
然再生成されるような好ましくない状態に通ずる可能性
があると言われることもある。
（ＰＵ，ＰＲ）はユーガによる入力として機密パスフレ
ーズから生成されており、その実行のためにはキー生成
アルゴリズムが同じ順序の乱数を再生成するし、従って
同じパスフレーズがキー生成アルゴリズムに指定される
度に同じキーペア（ＰＵ，ＰＲ）を再生成することが出
来ることが極めて重要である。これと対照的に、暗号シ
ステムで乱数を要求する他の暗号アプリケーションは全
て、同じ順序の乱数を再生成する必要を有しない。実際
には、かゝる能力が暗号システムに存在するとキーが偶
然再生成されるような好ましくない状態に通ずる可能性
があると言われることもある。
【００４４】図８、および９に示す方法によりキー生成
アルゴリズムが要求する乱数を作成する場合には、再生
成従ってパスフレーズから公用キーおよび私用キーペア
（ＰＵ，ＰＲ）を生成することは不可能である。図８の
「真」乱数発生器１８０は、キーペア（ＰＵ，ＰＲ）を
満足に再生成するために必要となる同一順序の乱数を再
生成させる方法がないので、使用することが出来ない。
同様に、図９の初期にシードされる擬似乱数発生器１９
０も、同一順序の乱数を再生成せしめる方法を有しない
ので使用出来ない。実際には、暗号システムに電源が入
りラインにつながった時、または時には装置の電源が切
れていた期間の後で一度だけかゝる擬似乱数発生器が通
常初期化される。その後は単に乱数を要求するだけでよ
い。すなわち動的にシード値を再指定する用意はない。
多くの場合呼出し者は手許にシード値を有さないので、
擬似乱数発生器の各呼出し者に彼自身の「シード」値の
入力を要求するよりも、むしろ一度だけ擬似乱数発生器
に「シード」する業務を行うのが最も良い。事実多くの
システムユーザが使用すると考えられるこの形式の擬似
乱数発生器に、通常のユーザがシード値を指定できない
ということは機密保持の観点から重要である。
アルゴリズムが要求する乱数を作成する場合には、再生
成従ってパスフレーズから公用キーおよび私用キーペア
（ＰＵ，ＰＲ）を生成することは不可能である。図８の
「真」乱数発生器１８０は、キーペア（ＰＵ，ＰＲ）を
満足に再生成するために必要となる同一順序の乱数を再
生成させる方法がないので、使用することが出来ない。
同様に、図９の初期にシードされる擬似乱数発生器１９
０も、同一順序の乱数を再生成せしめる方法を有しない
ので使用出来ない。実際には、暗号システムに電源が入
りラインにつながった時、または時には装置の電源が切
れていた期間の後で一度だけかゝる擬似乱数発生器が通
常初期化される。その後は単に乱数を要求するだけでよ
い。すなわち動的にシード値を再指定する用意はない。
多くの場合呼出し者は手許にシード値を有さないので、
擬似乱数発生器の各呼出し者に彼自身の「シード」値の
入力を要求するよりも、むしろ一度だけ擬似乱数発生器
に「シード」する業務を行うのが最も良い。事実多くの
システムユーザが使用すると考えられるこの形式の擬似
乱数発生器に、通常のユーザがシード値を指定できない
ということは機密保持の観点から重要である。
【００４５】以上の説明から図１０に図示する動的にシ
ードされる擬似乱数発生器は、本発明の要求を満足でき
るが、大抵の暗号システムにおいては乱数作成の一般要
求を満たさないことは明らかである。同様に前記の説明
から、図８に示す「真」乱数発生器および図９に示す初
期にシードされる擬似乱数発生器は大抵の暗号システム
における乱数作成の一般要求を満足できるが、キー生成
アルゴリズムがパスフレーズからキーを再生成しなけれ
ばならない時の乱数作成の要求を満足しない。従って、
本発明の好ましい実施例においては、図１１に示すよう
に乱数生成用に２手段が必要とされる。図１１を参照す
ると、図６で前に図示した暗号化機構の暗号アルゴリズ
ム１４４構成品は動的にシードされる擬似乱数発生器２
００およびキー生成アルゴリズム１５１と動的にシード
される擬似乱数発生器２００間のインタフェース２０４
を含むように拡張されており、乱数要求によりリターン
すべき乱数を生成せしめる。図１１の動的にシードされ
る擬似乱数発生器２００は既に述べた図１０の動的にシ
ードされる擬似乱数発生器２００と同一に作動すると仮
定されている。すなわち、乱数要求には長さとシードの
指定を含む。出力は乱数である。キー生成アルゴリズム
１５１はシード値を管理すると仮定される。例えば第１
シードはこれから述べる方法を用いてパスフレーズから
計算する。キー生成アルゴリズム１５１が長さＬの乱数
を要求する時はいつもＬ＋１２８の「長さ」パラメタを
指定する。すなわち次期シードを自動的に要求し、キー
生成アルゴリズム１５１にアクセスできる次期シード格
納域に保管する（例えばキー生成アルゴリズム１５１内
に）。図１１のキー生成アルゴリズムが図７のＲＳＡキ
ー生成アルゴリズムそのものである場合には、図７のス
テップ１６１，１６４，１７０が図１１のインタフェー
ス２０４での動的にシードされる擬似乱数発生器２００
に向けられる乱数の要求になるであろう。従って図７の
ステップ１６１，１６４または１７０が繰返される度
に、新乱数が得られる。満足な値を見出すまでにどれだ
けの試行を必要とするかを予め知る方法はなく、プロセ
スは試行錯誤であるから、乱数の順序を予め計算出来ず
必要の都度試行を行う。
ードされる擬似乱数発生器は、本発明の要求を満足でき
るが、大抵の暗号システムにおいては乱数作成の一般要
求を満たさないことは明らかである。同様に前記の説明
から、図８に示す「真」乱数発生器および図９に示す初
期にシードされる擬似乱数発生器は大抵の暗号システム
における乱数作成の一般要求を満足できるが、キー生成
アルゴリズムがパスフレーズからキーを再生成しなけれ
ばならない時の乱数作成の要求を満足しない。従って、
本発明の好ましい実施例においては、図１１に示すよう
に乱数生成用に２手段が必要とされる。図１１を参照す
ると、図６で前に図示した暗号化機構の暗号アルゴリズ
ム１４４構成品は動的にシードされる擬似乱数発生器２
００およびキー生成アルゴリズム１５１と動的にシード
される擬似乱数発生器２００間のインタフェース２０４
を含むように拡張されており、乱数要求によりリターン
すべき乱数を生成せしめる。図１１の動的にシードされ
る擬似乱数発生器２００は既に述べた図１０の動的にシ
ードされる擬似乱数発生器２００と同一に作動すると仮
定されている。すなわち、乱数要求には長さとシードの
指定を含む。出力は乱数である。キー生成アルゴリズム
１５１はシード値を管理すると仮定される。例えば第１
シードはこれから述べる方法を用いてパスフレーズから
計算する。キー生成アルゴリズム１５１が長さＬの乱数
を要求する時はいつもＬ＋１２８の「長さ」パラメタを
指定する。すなわち次期シードを自動的に要求し、キー
生成アルゴリズム１５１にアクセスできる次期シード格
納域に保管する（例えばキー生成アルゴリズム１５１内
に）。図１１のキー生成アルゴリズムが図７のＲＳＡキ
ー生成アルゴリズムそのものである場合には、図７のス
テップ１６１，１６４，１７０が図１１のインタフェー
ス２０４での動的にシードされる擬似乱数発生器２００
に向けられる乱数の要求になるであろう。従って図７の
ステップ１６１，１６４または１７０が繰返される度
に、新乱数が得られる。満足な値を見出すまでにどれだ
けの試行を必要とするかを予め知る方法はなく、プロセ
スは試行錯誤であるから、乱数の順序を予め計算出来ず
必要の都度試行を行う。
【００４６】図１２は本発明の要求を満足する動的にシ
ードされる擬似乱数発生器の例である。アルゴリズムは
１２８ビットを要し、これを６４ビットキーＫと６４ビ
ット初期連鎖値ＩＣＶとに分割する。シードの左側６４
ビットがＫになり、シードの右側６４ビットがＩＣＶに
なる。ｍを発生する無作為ビットの数とすると、６４ｎ
にｍより大の最小値を表わさせる。こゝでｎはｍビット
の擬似ランダムシーケンスを作成するのに充分の長さを
有する生成すべき暗号文の６４ビットブロックの数を表
わす。暗号文を生成するのに、２進ゼロのｎ６４ビット
ブロックでスタートし、ＤＥＡ暗号化の暗号ブロック連
鎖モードを用いてＤＥＡアルゴリズムで暗号化する。キ
ーと初期連鎖値は上記のＫとＩＣＶそのものである。長
さｍの出力乱数ＲＮは結果の暗号文における左側（最も
重要な）ｍビットそのものである。
ードされる擬似乱数発生器の例である。アルゴリズムは
１２８ビットを要し、これを６４ビットキーＫと６４ビ
ット初期連鎖値ＩＣＶとに分割する。シードの左側６４
ビットがＫになり、シードの右側６４ビットがＩＣＶに
なる。ｍを発生する無作為ビットの数とすると、６４ｎ
にｍより大の最小値を表わさせる。こゝでｎはｍビット
の擬似ランダムシーケンスを作成するのに充分の長さを
有する生成すべき暗号文の６４ビットブロックの数を表
わす。暗号文を生成するのに、２進ゼロのｎ６４ビット
ブロックでスタートし、ＤＥＡ暗号化の暗号ブロック連
鎖モードを用いてＤＥＡアルゴリズムで暗号化する。キ
ーと初期連鎖値は上記のＫとＩＣＶそのものである。長
さｍの出力乱数ＲＮは結果の暗号文における左側（最も
重要な）ｍビットそのものである。
【００４７】パスフレーズを使用するキー生成：図１３
は暗号システムを図示しており、暗号化機構（ＣＦ）３
０、暗号キーデータセット（ＣＫＤＳ）３２、暗号化機
構アクセスプログラム（ＣＦＡＰ）３４およびアプリケ
ーションプログラム（ＡＰＰＬ）３６を有する。こゝで
図１３を参照すると公用キーおよび私用キーペア（Ｐ
Ｕ，ＰＲ）を生成するステップをトレースできる。４０
においてアプリケーションプログラムＡ（ＡＰＰＬ
Ａ）４２がユーザにより呼び出される。ＡＰＰＬＡは
（１）アプリケーションが処理とつながる以前にユーザ
が自分のキーを生成または再生成することを要求するア
プリケーションであるか、または（２）ユーザがそれら
のキーを生成または再生成することを許容するユーティ
ティであることを仮定している。ＡＰＰＬ Ａは、ユー
ザが４１で入力するパスフレーズ（ＰＰと称する）をユ
ーザに催促する。応答して、ＡＰＰＬ Ａは４３でキー
生成機能４７をコールする。４３はＣＦＡＰ３４にあ
り、モードパラメータＰＰおよび制御情報をパスする。
制御情報は制御ベクトルまたは制御ベクトルをつくるの
に用いられる情報であってもよい。モードパラメータは
生成キーがパスフレーズベース（モード＝「ＰＰ」）で
生成されるか、されないか（モード＝「非ＰＰ」）いず
れをキー生成機能に指示する。従ってＰＰパラメータは
選択パラメータである。制御情報はキータイプ（すなわ
ち生成すべき公用キーおよび私用キーのタイプ）および
キー管理でのキーの使用法を示す取扱い制御情報であ
る。応答して、キー生成機能４７は（１）入力パラメー
タをパーズし、（２）もしモード＝「ＰＰ」なら入力パ
スフレーズＰＰから１２８ビットハッシュ値ＣＷを計算
し、入力制御情報を処理し、ＧＲＶＰＲ命令を指定され
る制御データパラメータを作り、ＧＰＵＰＲ命令５２を
呼び出して５０で暗号化機構３０の命令処理装置１４２
で実行する。５０はモードパラメータおよびもしモード
＝「ＰＰ」ならオプションコードワードＣＷ、および制
御データをパスする。制御データには生成すべき公用キ
ーＰＵと関係するキー関連情報を指定するＰＵ制御ベク
トルおよび生成すべき私用キーＰＲに関連するキー関連
情報を指定するＰＲ制御ベクトルを含む。各制御ベクト
ルには暗号システム内のキーを識別するキー名を含んで
いる。各制御ベクトルは同時にラベルまたはＣＦにより
初期化されるべきＣＫＤＳラベルの予約スペースを含
み、暗号キーデータセット（ＣＫＤＳ）３２からのキー
トークンの記憶、検索に用いることができる。応答し
て、ＧＰＵＲ命令５２は、図１４に、より詳細な記述が
あるように、入力としてモードパラメータ、またもしモ
ード＝「ＰＰ」ならコードワードＣＷをパスして、キー
生成アルゴリズムＫＧＡを呼び出す。応答して、ＫＧＡ
は図１４に詳細記述があるように公用キーおよび私用キ
ーＰＵ，ＰＲを生成し、ＧＰＵＰＲ命令５２にリターン
する。応答して、ＧＰＵＰＲ命令５２は生成されたＰＵ
を含むＰＵキートークンおよび生成されたＰＲを含むＰ
Ｒキートークンをつくる。ＰＵキートークンおよびＰＲ
キートークンは図１５に説明されており、以下詳しく述
べる。ＧＰＵＰＲ命令は以下詳細説明するように、同時
に５０で入力としパスされるモードおよび制御データに
ついて一貫性チェックを行う。一貫性チェックにより、
キータイプと各キートークンの制御ベクトル部分の取扱
い情報とがモードと一致していること、すなわちキーが
パスフレーズから生成されたか否かが確められる。Ｐ
Ｕ，ＰＲキートークンは次にキー生成機能４７に５１で
リターンされる。応答して、キー生成機能４７は必要な
らＰＵ，ＰＲキートークンを更新する。例えばＣＫＤＳ
ラベルの記憶装置に対するトークンの予約フィールドが
この時点で埋められる。次にキー生成機能４７はキー記
憶装置マネージャ４６にＣＫＤＳ３２の１個または２個
のキートークンを記憶させ、４４でＡＰＰＬ Ａにキー
名またはラベルのみをリターンさせるか、または４４で
ＡＰＰＬ Ａに１個または２個のキートークンをリター
ンする。こゝでの意図はＡＰＰＬ４２にキートークンを
管理、制御させる（もしそう望むなら）か、暗号システ
ムにキートークンを管理、制御させることである。どち
らの進め方にも利点があり、キートークンがＣＫＤＳ３
２に記憶されるにしても、あるいはＡＰＰＬ４２にリタ
ーンされるにせよ、キートークンの取扱いは４３でのキ
ー生成機能４７へのＡＰＰＬ Ａ４２により指定される
入力パラメータの制御下にあるように暗号システムを設
計することが可能である。応答して、ＡＰＰＬ Ａは必
要に応じキートークンを記憶するか、またはＣＦＡＰで
実行する他の暗号機能への入力として、ＰＵ，ＰＲキー
トークンが後で再指定できるキー名またはラベルを記憶
する。こゝでＡＰＰＬ Ａはユーザに、要求された公用
キーおよび私用キーが入力パスフレーズから生成された
ということを指示する。ＡＰＰＬ Ａは処理が完了する
時迄必要に応じ処理を続ける。生成したキートークンの
１個以上がＣＫＤＳ３２に記憶されたと仮定すると、Ａ
ＰＰＬ Ａは４５でキーパージ機能４８をコールする。
４５はＣＦＡＰ３４にあり、パージされるべき各キート
ークンのキー名またはラベルをパスする。応答して、キ
ーパージ機能４８はキー記憶装置マネージャ４６にＣＫ
ＤＳ３２から各キートークンを抹消させる。もしＡＰＰ
Ｌ Ａがキートークンを管理しているなら、キーパージ
機能４８をコールする代りに、ＡＰＰＬ Ａがキートー
クンをパージする。図１３には示されていないが、各呼
出しエンティティには適当なリターンコードおよび条件
コードを利用できると仮定されており、従って要求され
た処理が正常に完了したこと、あるいは追加の処置を要
するエラーが発生したかどうかの指示を呼出しエンティ
ティは有している。キー生成機能４７およびＧＰＵＰＲ
命令５２は次の２タイプのキー生成を操作するように設
計されていることを当業者なら認識できる。（１）Ｐ
Ｕ，ＰＲがパスフレーズから生成される場合（モード＝
「ＰＰ」）、（２）ＰＵ，ＰＲがパスフレーズから生成
されない場合（モード＝「非ＰＰ」）。すなわち、キー
生成機能およびＧＰＵＲ命令の設計は本発明の好ましい
実施例であると考えていることをベースにしている。そ
の理由は、いずれのモードとも両方の種類のキー生成を
行うことは出来ず、また各モードは今論じた通りキー管
理においてそれぞれ独自の異なる利点を有するからであ
る。
は暗号システムを図示しており、暗号化機構（ＣＦ）３
０、暗号キーデータセット（ＣＫＤＳ）３２、暗号化機
構アクセスプログラム（ＣＦＡＰ）３４およびアプリケ
ーションプログラム（ＡＰＰＬ）３６を有する。こゝで
図１３を参照すると公用キーおよび私用キーペア（Ｐ
Ｕ，ＰＲ）を生成するステップをトレースできる。４０
においてアプリケーションプログラムＡ（ＡＰＰＬ
Ａ）４２がユーザにより呼び出される。ＡＰＰＬＡは
（１）アプリケーションが処理とつながる以前にユーザ
が自分のキーを生成または再生成することを要求するア
プリケーションであるか、または（２）ユーザがそれら
のキーを生成または再生成することを許容するユーティ
ティであることを仮定している。ＡＰＰＬ Ａは、ユー
ザが４１で入力するパスフレーズ（ＰＰと称する）をユ
ーザに催促する。応答して、ＡＰＰＬ Ａは４３でキー
生成機能４７をコールする。４３はＣＦＡＰ３４にあ
り、モードパラメータＰＰおよび制御情報をパスする。
制御情報は制御ベクトルまたは制御ベクトルをつくるの
に用いられる情報であってもよい。モードパラメータは
生成キーがパスフレーズベース（モード＝「ＰＰ」）で
生成されるか、されないか（モード＝「非ＰＰ」）いず
れをキー生成機能に指示する。従ってＰＰパラメータは
選択パラメータである。制御情報はキータイプ（すなわ
ち生成すべき公用キーおよび私用キーのタイプ）および
キー管理でのキーの使用法を示す取扱い制御情報であ
る。応答して、キー生成機能４７は（１）入力パラメー
タをパーズし、（２）もしモード＝「ＰＰ」なら入力パ
スフレーズＰＰから１２８ビットハッシュ値ＣＷを計算
し、入力制御情報を処理し、ＧＲＶＰＲ命令を指定され
る制御データパラメータを作り、ＧＰＵＰＲ命令５２を
呼び出して５０で暗号化機構３０の命令処理装置１４２
で実行する。５０はモードパラメータおよびもしモード
＝「ＰＰ」ならオプションコードワードＣＷ、および制
御データをパスする。制御データには生成すべき公用キ
ーＰＵと関係するキー関連情報を指定するＰＵ制御ベク
トルおよび生成すべき私用キーＰＲに関連するキー関連
情報を指定するＰＲ制御ベクトルを含む。各制御ベクト
ルには暗号システム内のキーを識別するキー名を含んで
いる。各制御ベクトルは同時にラベルまたはＣＦにより
初期化されるべきＣＫＤＳラベルの予約スペースを含
み、暗号キーデータセット（ＣＫＤＳ）３２からのキー
トークンの記憶、検索に用いることができる。応答し
て、ＧＰＵＲ命令５２は、図１４に、より詳細な記述が
あるように、入力としてモードパラメータ、またもしモ
ード＝「ＰＰ」ならコードワードＣＷをパスして、キー
生成アルゴリズムＫＧＡを呼び出す。応答して、ＫＧＡ
は図１４に詳細記述があるように公用キーおよび私用キ
ーＰＵ，ＰＲを生成し、ＧＰＵＰＲ命令５２にリターン
する。応答して、ＧＰＵＰＲ命令５２は生成されたＰＵ
を含むＰＵキートークンおよび生成されたＰＲを含むＰ
Ｒキートークンをつくる。ＰＵキートークンおよびＰＲ
キートークンは図１５に説明されており、以下詳しく述
べる。ＧＰＵＰＲ命令は以下詳細説明するように、同時
に５０で入力としパスされるモードおよび制御データに
ついて一貫性チェックを行う。一貫性チェックにより、
キータイプと各キートークンの制御ベクトル部分の取扱
い情報とがモードと一致していること、すなわちキーが
パスフレーズから生成されたか否かが確められる。Ｐ
Ｕ，ＰＲキートークンは次にキー生成機能４７に５１で
リターンされる。応答して、キー生成機能４７は必要な
らＰＵ，ＰＲキートークンを更新する。例えばＣＫＤＳ
ラベルの記憶装置に対するトークンの予約フィールドが
この時点で埋められる。次にキー生成機能４７はキー記
憶装置マネージャ４６にＣＫＤＳ３２の１個または２個
のキートークンを記憶させ、４４でＡＰＰＬ Ａにキー
名またはラベルのみをリターンさせるか、または４４で
ＡＰＰＬ Ａに１個または２個のキートークンをリター
ンする。こゝでの意図はＡＰＰＬ４２にキートークンを
管理、制御させる（もしそう望むなら）か、暗号システ
ムにキートークンを管理、制御させることである。どち
らの進め方にも利点があり、キートークンがＣＫＤＳ３
２に記憶されるにしても、あるいはＡＰＰＬ４２にリタ
ーンされるにせよ、キートークンの取扱いは４３でのキ
ー生成機能４７へのＡＰＰＬ Ａ４２により指定される
入力パラメータの制御下にあるように暗号システムを設
計することが可能である。応答して、ＡＰＰＬ Ａは必
要に応じキートークンを記憶するか、またはＣＦＡＰで
実行する他の暗号機能への入力として、ＰＵ，ＰＲキー
トークンが後で再指定できるキー名またはラベルを記憶
する。こゝでＡＰＰＬ Ａはユーザに、要求された公用
キーおよび私用キーが入力パスフレーズから生成された
ということを指示する。ＡＰＰＬ Ａは処理が完了する
時迄必要に応じ処理を続ける。生成したキートークンの
１個以上がＣＫＤＳ３２に記憶されたと仮定すると、Ａ
ＰＰＬ Ａは４５でキーパージ機能４８をコールする。
４５はＣＦＡＰ３４にあり、パージされるべき各キート
ークンのキー名またはラベルをパスする。応答して、キ
ーパージ機能４８はキー記憶装置マネージャ４６にＣＫ
ＤＳ３２から各キートークンを抹消させる。もしＡＰＰ
Ｌ Ａがキートークンを管理しているなら、キーパージ
機能４８をコールする代りに、ＡＰＰＬ Ａがキートー
クンをパージする。図１３には示されていないが、各呼
出しエンティティには適当なリターンコードおよび条件
コードを利用できると仮定されており、従って要求され
た処理が正常に完了したこと、あるいは追加の処置を要
するエラーが発生したかどうかの指示を呼出しエンティ
ティは有している。キー生成機能４７およびＧＰＵＰＲ
命令５２は次の２タイプのキー生成を操作するように設
計されていることを当業者なら認識できる。（１）Ｐ
Ｕ，ＰＲがパスフレーズから生成される場合（モード＝
「ＰＰ」）、（２）ＰＵ，ＰＲがパスフレーズから生成
されない場合（モード＝「非ＰＰ」）。すなわち、キー
生成機能およびＧＰＵＲ命令の設計は本発明の好ましい
実施例であると考えていることをベースにしている。そ
の理由は、いずれのモードとも両方の種類のキー生成を
行うことは出来ず、また各モードは今論じた通りキー管
理においてそれぞれ独自の異なる利点を有するからであ
る。
【００４８】公用キーおよび私用キーペア（ＰＵ，Ｐ
Ｒ）が生成される時、このキーがパスフレーズから生成
されたものであるか否かを識別することが重要である。
基本的にはパスフレーズから生成されたキーはユーザに
知れるキーである。直接には知れなくとも、このキーは
ユーザが計算でき、従って厳密な意味ではユーザに知ら
れる。これはＰＵ，ＰＲの計算に用いられるアルゴリズ
ムは公用領域にあると推定されるからである。すなわち
機密が保たれる根拠がない。唯一の機密要素はパスフレ
ーズその物である。従って、パスフレーズを知る人はキ
ーを知る（または計算する）ことができる。しかし公用
キーおよび私用キーペア（ＰＵ，ＰＲ）がパスフレーズ
から生成されない時、すなわちキー生成プロセスに含ま
れる無作為要素または無作為値が真の乱数発生器（図
８）か、初期にシードされる擬似乱数発生器（図９）の
いずれかを用いて暗号機構で生成される時は、キー生成
アルゴリズムにより生成されるキーはすべての実用目的
に対してはユーザには知られないかまたは知ることがで
きないものである。（多くの場合、キーはマスタキーの
下で暗号化されており、生成されるキーはマスタキーと
同程度の機密度を有す。マスタキーを知る人は誰でも生
成されるＰＵとＰＲも知ることになるが、ＰＵは公用キ
ーであるから懸念する要はない。）「スマート」キー管
理設計では、両タイプの生成キーを利用することができ
る。パスフレーズから生成されない私用キーＰＲは、理
論上は暗号システム自体によってのみ知ることが出来
る。従って適正に実行するなら、完全性のシステムレベ
ルあるいは機密性のシステムレベルの実行にこういった
キーを用いることができる。これはＰＲがユーザに知ら
れるならば達成されないものである。反面ユーザに知ら
れるＰＲにより、よく利用される多くの機能がある。例
えば、暗号システムにそのユーザを認証する、またはそ
のユーザを他のユーザに認証する、または情報をそのユ
ーザから来ていると認証する（例えば、ユーザが計算し
て彼のメッセージにディジタル署名を添付する場合）の
にＰＲは使用される。キー管理設計は次の方法でこの差
を利用することがある。ＧＰＵＰＲ命令５２の処理の一
部として、ＰＵ，ＰＲキートークンを作るステップがあ
る。
Ｒ）が生成される時、このキーがパスフレーズから生成
されたものであるか否かを識別することが重要である。
基本的にはパスフレーズから生成されたキーはユーザに
知れるキーである。直接には知れなくとも、このキーは
ユーザが計算でき、従って厳密な意味ではユーザに知ら
れる。これはＰＵ，ＰＲの計算に用いられるアルゴリズ
ムは公用領域にあると推定されるからである。すなわち
機密が保たれる根拠がない。唯一の機密要素はパスフレ
ーズその物である。従って、パスフレーズを知る人はキ
ーを知る（または計算する）ことができる。しかし公用
キーおよび私用キーペア（ＰＵ，ＰＲ）がパスフレーズ
から生成されない時、すなわちキー生成プロセスに含ま
れる無作為要素または無作為値が真の乱数発生器（図
８）か、初期にシードされる擬似乱数発生器（図９）の
いずれかを用いて暗号機構で生成される時は、キー生成
アルゴリズムにより生成されるキーはすべての実用目的
に対してはユーザには知られないかまたは知ることがで
きないものである。（多くの場合、キーはマスタキーの
下で暗号化されており、生成されるキーはマスタキーと
同程度の機密度を有す。マスタキーを知る人は誰でも生
成されるＰＵとＰＲも知ることになるが、ＰＵは公用キ
ーであるから懸念する要はない。）「スマート」キー管
理設計では、両タイプの生成キーを利用することができ
る。パスフレーズから生成されない私用キーＰＲは、理
論上は暗号システム自体によってのみ知ることが出来
る。従って適正に実行するなら、完全性のシステムレベ
ルあるいは機密性のシステムレベルの実行にこういった
キーを用いることができる。これはＰＲがユーザに知ら
れるならば達成されないものである。反面ユーザに知ら
れるＰＲにより、よく利用される多くの機能がある。例
えば、暗号システムにそのユーザを認証する、またはそ
のユーザを他のユーザに認証する、または情報をそのユ
ーザから来ていると認証する（例えば、ユーザが計算し
て彼のメッセージにディジタル署名を添付する場合）の
にＰＲは使用される。キー管理設計は次の方法でこの差
を利用することがある。ＧＰＵＰＲ命令５２の処理の一
部として、ＰＵ，ＰＲキートークンを作るステップがあ
る。
【００４９】図１５にＰＵキートークンおよびＰＲキー
トークンの書式を示す。ＰＵキーは公用キーであるか
ら、ＰＵキートークンはクリアまたは暗号化されたフォ
ームｅＫＭ．Ｈ１（ＰＵ）でＰＵを記憶することがあ
る。こゝでＫＭ．Ｈ１はＣＦ３０のＣＦ環境記憶装置１
４６内に記憶されている機密マスタキーＫＭと暗号変数
Ｈ１との排他的論理和積であり、Ｈ１は中間ハッシュ値
１を作成するのにＣ１をハッシュし、またＨ１を作成す
るのにハッシュ１に数ビットをフィックスすることによ
りＰＵに対し制御ベクトルから作成される。ｅＫＭ．Ｈ
１（ＰＵ）の正確な規格は前記のＳ．Ｍ．Ｍａｔｙａｓ
等による同時係属特許出願「制御ベクトルを用いる公用
キー暗号システムキー管理」に述べられている。ＰＲキ
ーは私用キーであるから、ＰＲキートークンは暗号化し
たフォームｅＫＭ．Ｈ２（ＰＲ）でのみＰＲを記憶す
る。ｅＫＭ．Ｈ２（ＰＲ）の正確な規格は前記のＳ．
Ｍ．Ｍａｔｙａｓ等による同時係属特許出願「制御ベク
トルを用いる公用キー暗号システムのキー管理」に述べ
られている。ＰＵとＰＲを暗号化する暗号化変数Ｈ１と
Ｈ２は異なっている。Ｈ１は公用キーＰＵに関連する制
御ベクトルＣ１より導出し、Ｈ２は私用キーＰＲに関連
する制御ベクトルＣ２より導出する。ＰＵ，ＰＲキート
ークンは、それぞれキー名またはＣＫＤＳラベル、使用
法制御情報等のキー関連データである制御ベクトルＣ
１，Ｃ２も含む。ＰＵ，ＰＲキートークンにはまたフォ
ームｅＫＭ．Ｈ１′（ＫＡＲ）、ｅＫＭ．Ｈ２′（ＫＡ
Ｒ）の確証を含んでいる。たゞしＣＫＡＲはキー確証レ
コードであり、Ｈ１′，Ｈ２′はＨ１，Ｈ２に係わる暗
号化変数である。ＫＡＲはクリアまたは暗号化キーすな
わちＰＵ，ｅＫＭ．Ｃ（ＰＵ）またはｅＫＭ．Ｃ（Ｐ
Ｒ）の暗号機能である。ｅＫＭ．Ｈ１′（ＫＡＲ）およ
びｅＫＭ．Ｈ２′（ＫＡＲ）の正確な規格は前記のＳ．
Ｍ．Ｍａｔｙａｓ等による同時係属特許出願「制御ベク
トルを用いる公用キー暗号システムのキー管理」に述べ
られている。ＰＵ，ＰＲキートークンにはキートークン
中に他のフィールドの記憶位置と長さを識別する情報を
有するヘッダ部分も含んでいる。これによりそのフィー
ルドを可変長にすることができる。
トークンの書式を示す。ＰＵキーは公用キーであるか
ら、ＰＵキートークンはクリアまたは暗号化されたフォ
ームｅＫＭ．Ｈ１（ＰＵ）でＰＵを記憶することがあ
る。こゝでＫＭ．Ｈ１はＣＦ３０のＣＦ環境記憶装置１
４６内に記憶されている機密マスタキーＫＭと暗号変数
Ｈ１との排他的論理和積であり、Ｈ１は中間ハッシュ値
１を作成するのにＣ１をハッシュし、またＨ１を作成す
るのにハッシュ１に数ビットをフィックスすることによ
りＰＵに対し制御ベクトルから作成される。ｅＫＭ．Ｈ
１（ＰＵ）の正確な規格は前記のＳ．Ｍ．Ｍａｔｙａｓ
等による同時係属特許出願「制御ベクトルを用いる公用
キー暗号システムキー管理」に述べられている。ＰＲキ
ーは私用キーであるから、ＰＲキートークンは暗号化し
たフォームｅＫＭ．Ｈ２（ＰＲ）でのみＰＲを記憶す
る。ｅＫＭ．Ｈ２（ＰＲ）の正確な規格は前記のＳ．
Ｍ．Ｍａｔｙａｓ等による同時係属特許出願「制御ベク
トルを用いる公用キー暗号システムのキー管理」に述べ
られている。ＰＵとＰＲを暗号化する暗号化変数Ｈ１と
Ｈ２は異なっている。Ｈ１は公用キーＰＵに関連する制
御ベクトルＣ１より導出し、Ｈ２は私用キーＰＲに関連
する制御ベクトルＣ２より導出する。ＰＵ，ＰＲキート
ークンは、それぞれキー名またはＣＫＤＳラベル、使用
法制御情報等のキー関連データである制御ベクトルＣ
１，Ｃ２も含む。ＰＵ，ＰＲキートークンにはまたフォ
ームｅＫＭ．Ｈ１′（ＫＡＲ）、ｅＫＭ．Ｈ２′（ＫＡ
Ｒ）の確証を含んでいる。たゞしＣＫＡＲはキー確証レ
コードであり、Ｈ１′，Ｈ２′はＨ１，Ｈ２に係わる暗
号化変数である。ＫＡＲはクリアまたは暗号化キーすな
わちＰＵ，ｅＫＭ．Ｃ（ＰＵ）またはｅＫＭ．Ｃ（Ｐ
Ｒ）の暗号機能である。ｅＫＭ．Ｈ１′（ＫＡＲ）およ
びｅＫＭ．Ｈ２′（ＫＡＲ）の正確な規格は前記のＳ．
Ｍ．Ｍａｔｙａｓ等による同時係属特許出願「制御ベク
トルを用いる公用キー暗号システムのキー管理」に述べ
られている。ＰＵ，ＰＲキートークンにはキートークン
中に他のフィールドの記憶位置と長さを識別する情報を
有するヘッダ部分も含んでいる。これによりそのフィー
ルドを可変長にすることができる。
【００５０】図１６にはＰＵ、ＰＲキートークンの制御
ベクトル部分の追加規格を示す。図１６を参照すると、
制御ベクトルにはＣＶタイプと名付ける制御ベクトルタ
イプフィールドを含んでおり、キーが公用キーか私用キ
ーか、さらにそのキーはユーザキーか、キー管理キー
か、証明キーか、あるいは認証キーを示す。４つのキー
タイプ（ユーザ、キー管理、証明、認証）の正確な識別
は本発明では重要ではない。しかし、異なるキータイプ
はキー管理設計において異なる目的と用途を有すること
を理解するのは重要である。例えば、タイプ＝「ユー
ザ」と制限して、公用ユーザキーがディジタル署名を生
成するためのみに用いられることができる。他方タイプ
＝「キー管理」はより広範であり、私用キー管理キーを
暗号化の目的に、またある暗号装置から他の暗号装置に
ＤＥＡキーを分散する目的に使用することも、また公用
キー管理キーにディジタル署名を生成させることも可能
である。例えば、公用キー、私用キーペアはキーを暗号
化するＤＥＡキーを分散するために２つの暗号システム
間で用いることができる。その後は、キーを暗号化する
キーは他をＤＥＡキーを２つの夫々の暗号システム、例
えばデータキー間に分散するのに用いられる。この場合
は、一般にはこの目的に公用ユーザキー、私用ユーザキ
ーを用いようとはしないであろう。その理由は、この場
合は、自分の私用ユーザキーを知っているか、または理
論的に知りうるユーザ自身はキーを暗号化する暗号化さ
れたキーをインタセプトし（すなわち、ＰＵで暗号化さ
れたキーを暗号化するキー）、またそれを自分の私用キ
ーＰＲで解読することができるからである。このように
して、ユーザはキーを暗号化するクリアキーの値を見出
すことが可能であり、たいていの暗号システムではキー
分配プロトコルの所期の機密保護に打ち勝つことにな
る。従って、ＰＵ、ＰＲキートークンをＧＰＵＰＲ命令
５２が作る時点において、生成されたキーのキータイプ
および使用法が意図されたキー管理設計に合致すること
を確認するため５０での入力として指定されたモードに
対し、図１４の５０での入力として指定されたＰＵ、Ｐ
Ｒ制御ベクトル（または等価的には図１３の５０での制
御データ）に関する一貫性チェックをＧＰＵＰＲ命令が
実行しなければならないことは本発明の一部である。例
えばＣＦＡＰがモード＝「ＰＰ」を指定し、制御データ
がタイプ＝「キー管理」を指示するならば、その時はＧ
ＰＵＰＲ命令５２はこの不一致を検出し、キータイプに
対する不一致指示により処理を停止したというＣＦＡＰ
への指示でもって演算を打ち切らなければならない。他
方では、もしＣＦＡＰがモード＝「ＰＰ」を指定し、制
御データがタイプ＝「ユーザ」を指示するならば、その
時はＧＰＵＰＲ命令５２はキータイプの不一致により演
算を打ち切ってはならない。ここでは述べないが、追加
の一貫性チェックがＧＰＵＰＲ命令に演算を打ち切らせ
ることがあることに注意を要する。キートークンに生成
されたキーがキータイプおよび使用法を指定する制御情
報に連結されることは重要であるから、本発明の好まし
い実施例では図１５のＰＵキートークンは、暗号化され
た書式ｅＫＭ、Ｈ１（ＰＵ）でＰＵを記憶しなければな
らない。前記のように、Ｈ１をキートークンの制御ベク
トルに従属させることにより、これが達成される。Ｈ１
を制御ベクトルに従属させる正確な方法はここでは重要
でないが、前記のS.M. Matyas 等による同時保属特許出
願「制御ベクトルを用いる公用キー暗号システムのキー
管理」に詳細が述べられている。前述から、本発明はユ
ーザ供給のパスフレーズから公用キーおよび私用キーペ
アを生成する手段を提供することは理解されるであろ
う。しかし大抵の暗号システムでは、上記のようにユー
ザが私用キーＰＲの値を予測したり、決定する能力を有
さないような方法で、公用キーおよび私用キーを暗号シ
ステム内で生成する時には、より機密保護された設計が
可能である。従って本発明では、キーペアがパスフレー
ズから導出されたか、またはキーペアがパスフレーズか
らは導出されていないかによって、生成されるキーのタ
イプの双方の使用法を制御する手段も提供するものであ
る。従来技術（ＵＳＰ４，９４１，１７６、４，９１
８，７２８、４，９２４，５１４、４，９２４，５１
５、５，００７，０８９）では制御ベクトルを通してキ
ータイプおよびキー使用法を制御する手段が述べられて
いる。しかし、この従来技術は、キーが如何にして生成
されるかに従ってキーのタイプと使用法を制限する方法
は述べていない。対照的に、本発明は公用キーおよび私
用キーがパスフレーズから生成されるキーと、パスフレ
ーズから生成されていないキーとを区別し、指定される
キータイプが許可さるべきか、または許可さるべきでは
ないかをキー生成命令（すなわちＧＰＵＰＲ命令）内で
決定する手段として、この区分がキー管理に重要である
ことを示した。このようにして本発明は生成プロセスを
適当に制御する手段を提供し、そのため生成されるキー
は、キーのタイプおよびそれが暗号システム内で如何に
処理されるかを指定する制御ベクトル情報に、適当に暗
号的に連結されることになる。生成されるキーを制御す
るこういった手段がなければ、パスフレーズおよびパス
フレーズから生成されるキーの利点は暗号システムの全
体機密保護を弱めるように思われ、パスフレーズから導
出するキーの利点は利点ではなく欠点となるように思わ
れることになろう。従って、本発明は単にパスフレーズ
からキーを生成する手段を提供するのみではなく、キー
管理内で生成されたキーを制御する本質的な手段をも提
供するものである。
ベクトル部分の追加規格を示す。図１６を参照すると、
制御ベクトルにはＣＶタイプと名付ける制御ベクトルタ
イプフィールドを含んでおり、キーが公用キーか私用キ
ーか、さらにそのキーはユーザキーか、キー管理キー
か、証明キーか、あるいは認証キーを示す。４つのキー
タイプ（ユーザ、キー管理、証明、認証）の正確な識別
は本発明では重要ではない。しかし、異なるキータイプ
はキー管理設計において異なる目的と用途を有すること
を理解するのは重要である。例えば、タイプ＝「ユー
ザ」と制限して、公用ユーザキーがディジタル署名を生
成するためのみに用いられることができる。他方タイプ
＝「キー管理」はより広範であり、私用キー管理キーを
暗号化の目的に、またある暗号装置から他の暗号装置に
ＤＥＡキーを分散する目的に使用することも、また公用
キー管理キーにディジタル署名を生成させることも可能
である。例えば、公用キー、私用キーペアはキーを暗号
化するＤＥＡキーを分散するために２つの暗号システム
間で用いることができる。その後は、キーを暗号化する
キーは他をＤＥＡキーを２つの夫々の暗号システム、例
えばデータキー間に分散するのに用いられる。この場合
は、一般にはこの目的に公用ユーザキー、私用ユーザキ
ーを用いようとはしないであろう。その理由は、この場
合は、自分の私用ユーザキーを知っているか、または理
論的に知りうるユーザ自身はキーを暗号化する暗号化さ
れたキーをインタセプトし（すなわち、ＰＵで暗号化さ
れたキーを暗号化するキー）、またそれを自分の私用キ
ーＰＲで解読することができるからである。このように
して、ユーザはキーを暗号化するクリアキーの値を見出
すことが可能であり、たいていの暗号システムではキー
分配プロトコルの所期の機密保護に打ち勝つことにな
る。従って、ＰＵ、ＰＲキートークンをＧＰＵＰＲ命令
５２が作る時点において、生成されたキーのキータイプ
および使用法が意図されたキー管理設計に合致すること
を確認するため５０での入力として指定されたモードに
対し、図１４の５０での入力として指定されたＰＵ、Ｐ
Ｒ制御ベクトル（または等価的には図１３の５０での制
御データ）に関する一貫性チェックをＧＰＵＰＲ命令が
実行しなければならないことは本発明の一部である。例
えばＣＦＡＰがモード＝「ＰＰ」を指定し、制御データ
がタイプ＝「キー管理」を指示するならば、その時はＧ
ＰＵＰＲ命令５２はこの不一致を検出し、キータイプに
対する不一致指示により処理を停止したというＣＦＡＰ
への指示でもって演算を打ち切らなければならない。他
方では、もしＣＦＡＰがモード＝「ＰＰ」を指定し、制
御データがタイプ＝「ユーザ」を指示するならば、その
時はＧＰＵＰＲ命令５２はキータイプの不一致により演
算を打ち切ってはならない。ここでは述べないが、追加
の一貫性チェックがＧＰＵＰＲ命令に演算を打ち切らせ
ることがあることに注意を要する。キートークンに生成
されたキーがキータイプおよび使用法を指定する制御情
報に連結されることは重要であるから、本発明の好まし
い実施例では図１５のＰＵキートークンは、暗号化され
た書式ｅＫＭ、Ｈ１（ＰＵ）でＰＵを記憶しなければな
らない。前記のように、Ｈ１をキートークンの制御ベク
トルに従属させることにより、これが達成される。Ｈ１
を制御ベクトルに従属させる正確な方法はここでは重要
でないが、前記のS.M. Matyas 等による同時保属特許出
願「制御ベクトルを用いる公用キー暗号システムのキー
管理」に詳細が述べられている。前述から、本発明はユ
ーザ供給のパスフレーズから公用キーおよび私用キーペ
アを生成する手段を提供することは理解されるであろ
う。しかし大抵の暗号システムでは、上記のようにユー
ザが私用キーＰＲの値を予測したり、決定する能力を有
さないような方法で、公用キーおよび私用キーを暗号シ
ステム内で生成する時には、より機密保護された設計が
可能である。従って本発明では、キーペアがパスフレー
ズから導出されたか、またはキーペアがパスフレーズか
らは導出されていないかによって、生成されるキーのタ
イプの双方の使用法を制御する手段も提供するものであ
る。従来技術（ＵＳＰ４，９４１，１７６、４，９１
８，７２８、４，９２４，５１４、４，９２４，５１
５、５，００７，０８９）では制御ベクトルを通してキ
ータイプおよびキー使用法を制御する手段が述べられて
いる。しかし、この従来技術は、キーが如何にして生成
されるかに従ってキーのタイプと使用法を制限する方法
は述べていない。対照的に、本発明は公用キーおよび私
用キーがパスフレーズから生成されるキーと、パスフレ
ーズから生成されていないキーとを区別し、指定される
キータイプが許可さるべきか、または許可さるべきでは
ないかをキー生成命令（すなわちＧＰＵＰＲ命令）内で
決定する手段として、この区分がキー管理に重要である
ことを示した。このようにして本発明は生成プロセスを
適当に制御する手段を提供し、そのため生成されるキー
は、キーのタイプおよびそれが暗号システム内で如何に
処理されるかを指定する制御ベクトル情報に、適当に暗
号的に連結されることになる。生成されるキーを制御す
るこういった手段がなければ、パスフレーズおよびパス
フレーズから生成されるキーの利点は暗号システムの全
体機密保護を弱めるように思われ、パスフレーズから導
出するキーの利点は利点ではなく欠点となるように思わ
れることになろう。従って、本発明は単にパスフレーズ
からキーを生成する手段を提供するのみではなく、キー
管理内で生成されたキーを制御する本質的な手段をも提
供するものである。
【００５１】図１４は、ＧＰＵＰＲ命令５２を呼び出す
結果としてＣＦ３０内で実行される演算の説明である。
図１４のＧＰＵＰＲ命令５２は、図１３のＧＰＵＰＲ命
令５２とは、図１４がキー生成アルゴリズム１５２およ
び動的にシードされる擬似乱数発生器２００を呼び出す
追加のステップがあるという点以外は全く同一である。
図１４を参照すると、５０での入力はモード、オプショ
ン命令語（ＣＷと呼ぶ）、ＰＵ制御ベクトル、ＰＲ制御
ベクトルよりなる。図１３では、ＰＵ制御ベクトルおよ
びＰＲ制御ベクトルは単に制御ベクトルと呼ばれてい
る。呼び出されたことに応答して、ＧＰＵＰＲ命令５２
は５３でキー生成アルゴリズムＫＧＡ１５２を呼び出
し、モードパラメータおよびオプションＣＷをパスす
る。応答して、ＫＧＡ１５２はキー生成を実行するステ
ップを遂行する。例えば、ＣＦ３０内で行われる暗号ア
ルゴリズムがＲＳＡアルゴリズムならば、その時にはキ
ー生成ステップは図７に示す通りのものである。ＫＧＡ
１５２が乱数を要求する最初の時に、ＣＷの値が初期シ
ードとして用いられ、パラメータ「長さ」の値を得るた
めに要求される乱数ＲＮの長さが値１２８に加算される
（これが次期シードの長さになる）。
結果としてＣＦ３０内で実行される演算の説明である。
図１４のＧＰＵＰＲ命令５２は、図１３のＧＰＵＰＲ命
令５２とは、図１４がキー生成アルゴリズム１５２およ
び動的にシードされる擬似乱数発生器２００を呼び出す
追加のステップがあるという点以外は全く同一である。
図１４を参照すると、５０での入力はモード、オプショ
ン命令語（ＣＷと呼ぶ）、ＰＵ制御ベクトル、ＰＲ制御
ベクトルよりなる。図１３では、ＰＵ制御ベクトルおよ
びＰＲ制御ベクトルは単に制御ベクトルと呼ばれてい
る。呼び出されたことに応答して、ＧＰＵＰＲ命令５２
は５３でキー生成アルゴリズムＫＧＡ１５２を呼び出
し、モードパラメータおよびオプションＣＷをパスす
る。応答して、ＫＧＡ１５２はキー生成を実行するステ
ップを遂行する。例えば、ＣＦ３０内で行われる暗号ア
ルゴリズムがＲＳＡアルゴリズムならば、その時にはキ
ー生成ステップは図７に示す通りのものである。ＫＧＡ
１５２が乱数を要求する最初の時に、ＣＷの値が初期シ
ードとして用いられ、パラメータ「長さ」の値を得るた
めに要求される乱数ＲＮの長さが値１２８に加算される
（これが次期シードの長さになる）。
【００５２】次にＫＧＡ１５２は５５で動的にシードさ
れる擬似乱数発生器２００を呼び出し、「長さ」とシー
ド＝ＣＷを入力パラメータとしてパスする。応答して、
動的にシードされる擬似乱数発生器２００はＣＷに等し
い入力シードから「長さ」に等しい長さの乱数を生成す
る。例えば、図１２に示すアルゴリズムを動的にシード
される擬似乱数発生器２００として用いることができ
る。「長さ」に等しい長さの生成された乱数ＲＮは５６
でＫＧＡ１５２にリターンされる。図１４は次期シード
およびＲＮとして５６での出力を示す。実際には、生成
される乱数ＲＮは（長さ１２８ビットの）次期シードお
よびＲＮ（「長さ」に等しい長さマイナス１２８ビット
の望ましい乱数）の単なる連結である。ＲＮを受理する
と、ＫＧＡ１５２は次期シードおよびＲＮを得るためそ
れをパーズする。ＫＧＡ１５２が動的にシードされる擬
似乱数発生器２００に別のコールをすることが必要と判
断した場合は、次期シード値はセーブされる。次にＲＮ
値がキー生成プロセスで用いられる。次回ＫＧＡ１５２
が乱数を要求する時に、次期シード値が検索され、シー
ドとして用いられ、また、要求される乱数ランの長さが
パラメータ「長さ」の値を得るために値１２８に加算さ
れる。プロセスはこういう風に連続する。もし、キー生
成アルゴリズムが図７の方法を用いてＲＳＡキーを生成
するならば、図７でステップ１６１，１６４，１７０に
入る時には、ＫＧＡ１５２は動的にシードされる擬似乱
数発生器２００にコールする必要がある。必要となる乱
数ＲＮ１，ＲＮ２等の長さはモジュラスの望みの長さに
より、またＫＧＡおよび暗号システム自体の特定の実行
によって変る。
れる擬似乱数発生器２００を呼び出し、「長さ」とシー
ド＝ＣＷを入力パラメータとしてパスする。応答して、
動的にシードされる擬似乱数発生器２００はＣＷに等し
い入力シードから「長さ」に等しい長さの乱数を生成す
る。例えば、図１２に示すアルゴリズムを動的にシード
される擬似乱数発生器２００として用いることができ
る。「長さ」に等しい長さの生成された乱数ＲＮは５６
でＫＧＡ１５２にリターンされる。図１４は次期シード
およびＲＮとして５６での出力を示す。実際には、生成
される乱数ＲＮは（長さ１２８ビットの）次期シードお
よびＲＮ（「長さ」に等しい長さマイナス１２８ビット
の望ましい乱数）の単なる連結である。ＲＮを受理する
と、ＫＧＡ１５２は次期シードおよびＲＮを得るためそ
れをパーズする。ＫＧＡ１５２が動的にシードされる擬
似乱数発生器２００に別のコールをすることが必要と判
断した場合は、次期シード値はセーブされる。次にＲＮ
値がキー生成プロセスで用いられる。次回ＫＧＡ１５２
が乱数を要求する時に、次期シード値が検索され、シー
ドとして用いられ、また、要求される乱数ランの長さが
パラメータ「長さ」の値を得るために値１２８に加算さ
れる。プロセスはこういう風に連続する。もし、キー生
成アルゴリズムが図７の方法を用いてＲＳＡキーを生成
するならば、図７でステップ１６１，１６４，１７０に
入る時には、ＫＧＡ１５２は動的にシードされる擬似乱
数発生器２００にコールする必要がある。必要となる乱
数ＲＮ１，ＲＮ２等の長さはモジュラスの望みの長さに
より、またＫＧＡおよび暗号システム自体の特定の実行
によって変る。
【００５３】本発明はかかる環境のすべてにおいて、ま
たＲＳＡアルゴリズム、ＲＳＡキー生成アルゴリズム、
ＲＳＡ暗号システムの実行において実践できることは当
業者は認めるであろう。さらに、これら他のアルゴリズ
ムによるキー生成が、キー生成に含まれるステップがプ
ロセス中のある時点、時期に、動的にシードされる擬似
乱数発生器２００により生成しうる乱数または無作為値
を要求しているという点で、ＲＳＡアルゴリズムのキー
生成と類似であることを、公用キーアルゴリズムに詳し
い人は認めるであろう。このように、本発明はＲＳＡキ
ーの作成のみに限定されず、一般的にパスフレーズから
公用キーおよび私用キーを生成する方法が、他の公用キ
ーアルゴリズムに同様に拡張することを当業者は認める
であろう。ＫＧＡ１５２がキー生成プロセスを完了後、
すなわちＰＵ、ＰＲが生成された後、ＰＵとＰＲはＧＰ
ＵＰＲ命令５２に５４でリターンされる。応答して、Ｇ
ＰＵＰＲ命令５２はＰＵ、ＰＲおよび５０で入力として
供給されたモードおよび制御ベクトルを用いてＰＵキー
トークンおよびＰＲキートークンを構成する。次に既に
述べたように、ＧＰＵＰＲ命令５２は５０で入力として
供給されたモードおよび制御ベクトルに一貫性チェック
を実行し、キータイプおよび使用法がキー生成法に一致
しているかどうか（すなわちパスフレーズに基づいてい
るか、パスフレーズに基づいていないか）を判定する。
一貫性チェックにパスすれば、ＰＵキートークンとＰＲ
キートークンは５１でＣＦＡＰ（キー生成機能）にリタ
ーンされる。一方もし、一貫性チェックにパスしない
と、ＧＰＵＰＲ命令５２は停止し、ＰＵキートークンと
ＰＲキートークンは５１でＣＦＡＰにリターンされな
い。
たＲＳＡアルゴリズム、ＲＳＡキー生成アルゴリズム、
ＲＳＡ暗号システムの実行において実践できることは当
業者は認めるであろう。さらに、これら他のアルゴリズ
ムによるキー生成が、キー生成に含まれるステップがプ
ロセス中のある時点、時期に、動的にシードされる擬似
乱数発生器２００により生成しうる乱数または無作為値
を要求しているという点で、ＲＳＡアルゴリズムのキー
生成と類似であることを、公用キーアルゴリズムに詳し
い人は認めるであろう。このように、本発明はＲＳＡキ
ーの作成のみに限定されず、一般的にパスフレーズから
公用キーおよび私用キーを生成する方法が、他の公用キ
ーアルゴリズムに同様に拡張することを当業者は認める
であろう。ＫＧＡ１５２がキー生成プロセスを完了後、
すなわちＰＵ、ＰＲが生成された後、ＰＵとＰＲはＧＰ
ＵＰＲ命令５２に５４でリターンされる。応答して、Ｇ
ＰＵＰＲ命令５２はＰＵ、ＰＲおよび５０で入力として
供給されたモードおよび制御ベクトルを用いてＰＵキー
トークンおよびＰＲキートークンを構成する。次に既に
述べたように、ＧＰＵＰＲ命令５２は５０で入力として
供給されたモードおよび制御ベクトルに一貫性チェック
を実行し、キータイプおよび使用法がキー生成法に一致
しているかどうか（すなわちパスフレーズに基づいてい
るか、パスフレーズに基づいていないか）を判定する。
一貫性チェックにパスすれば、ＰＵキートークンとＰＲ
キートークンは５１でＣＦＡＰ（キー生成機能）にリタ
ーンされる。一方もし、一貫性チェックにパスしない
と、ＧＰＵＰＲ命令５２は停止し、ＰＵキートークンと
ＰＲキートークンは５１でＣＦＡＰにリターンされな
い。
【００５４】パスフレーズ選択プロセス：ユーザにより
入力として供給される機密のパスフレーズから、公用キ
ーおよび私用キーペア（ＰＵ、ＰＲ）を生成するため
の、本発明の方法を述べてきた。この結果の私用キーＰ
Ｒは入力したパスフレーズの値に完全に依存しており、
またキー生成アルゴリズムは公用の知識であると仮定し
ているので、私用キーＰＲの機密保護は完全にパスフレ
ーズそのものの機密保護に依存するものと推測される。
敵が誰かのパスフレーズの入手または推測することが可
能だとしたら、その敵は既知のキー生成アルゴリズムと
パスフレーズを用いて私用キーＰＲを決定できるであろ
う。ユーザのパスフレーズの機密を保護するのに用いな
ければならない方策に２つの基本分類がある。即ち： ・選択したパスフレーズを無許可のパーティに開示する
ことを防止する方策と、 ・無許可のパーティが選択したパスフレーズを単純推定
することを防止する方策である。
入力として供給される機密のパスフレーズから、公用キ
ーおよび私用キーペア（ＰＵ、ＰＲ）を生成するため
の、本発明の方法を述べてきた。この結果の私用キーＰ
Ｒは入力したパスフレーズの値に完全に依存しており、
またキー生成アルゴリズムは公用の知識であると仮定し
ているので、私用キーＰＲの機密保護は完全にパスフレ
ーズそのものの機密保護に依存するものと推測される。
敵が誰かのパスフレーズの入手または推測することが可
能だとしたら、その敵は既知のキー生成アルゴリズムと
パスフレーズを用いて私用キーＰＲを決定できるであろ
う。ユーザのパスフレーズの機密を保護するのに用いな
ければならない方策に２つの基本分類がある。即ち： ・選択したパスフレーズを無許可のパーティに開示する
ことを防止する方策と、 ・無許可のパーティが選択したパスフレーズを単純推定
することを防止する方策である。
【００５５】第１分類の方策は一般にはユーザに原則や
指針のセットを提供することにより実行される。例え
ば、パスフレーズは記憶すべきでメモすべきでない。も
しパスフレーズをメモするなら、不慮の開示を避けるた
め管理された環境の下で行わなければならない。さらに
メモしたコピーは不使用時は確実に保管しなければなら
ない。これら規則の大部分は常識そのものであり、シス
テムパスワード、錠の組合せ、私用電話番号の取扱いの
ような毎日ユーザが扱っている多くの「秘密」に適用さ
れるものである。
指針のセットを提供することにより実行される。例え
ば、パスフレーズは記憶すべきでメモすべきでない。も
しパスフレーズをメモするなら、不慮の開示を避けるた
め管理された環境の下で行わなければならない。さらに
メモしたコピーは不使用時は確実に保管しなければなら
ない。これら規則の大部分は常識そのものであり、シス
テムパスワード、錠の組合せ、私用電話番号の取扱いの
ような毎日ユーザが扱っている多くの「秘密」に適用さ
れるものである。
【００５６】第２分類の方策は常識の原則から明示する
のはより困難なことが多い。この方策はユーザがパスフ
レーズ自体を選択するのに用いる方法に焦点をおく。パ
スフレーズは他より推定が容易なことは明白である。従
って、「良い」パスフレーズ（すなわち容易に推定でき
ないもの）を選択し、「悪い」パスフレーズ（すなわ
ち、容易に推定できるもの）を回避する体系的方法が提
供さるべきである。
のはより困難なことが多い。この方策はユーザがパスフ
レーズ自体を選択するのに用いる方法に焦点をおく。パ
スフレーズは他より推定が容易なことは明白である。従
って、「良い」パスフレーズ（すなわち容易に推定でき
ないもの）を選択し、「悪い」パスフレーズ（すなわ
ち、容易に推定できるもの）を回避する体系的方法が提
供さるべきである。
【００５７】図１７にパスフレーズ選択プロセスを示
す。第１ステップ３００は、パスフレーズ選択の原則と
指針のセットを準備し発行することである。パスフレー
ズ選択指針はユーザが「良い」パスフレーズを選択する
のを助けるために、ユーザに提供される。これら原則に
は後章で述べるようにパスフレーズ「フィルタ」を満足
するような基準のセットが書面で分り易い様式で含まれ
ている。
す。第１ステップ３００は、パスフレーズ選択の原則と
指針のセットを準備し発行することである。パスフレー
ズ選択指針はユーザが「良い」パスフレーズを選択する
のを助けるために、ユーザに提供される。これら原則に
は後章で述べるようにパスフレーズ「フィルタ」を満足
するような基準のセットが書面で分り易い様式で含まれ
ている。
【００５８】パスフレーズ選択指針の見本：本章では適
切なパスフレーズ作成をユーザに指導するため「べし」
と「べかず」のリストを提供する。良い選択と悪い選択
とを説明する特定の実施例が与えられる。敵がこの文書
を見ていることもあり得るので、実際にはいずれの見本
も使用すべきではない。
切なパスフレーズ作成をユーザに指導するため「べし」
と「べかず」のリストを提供する。良い選択と悪い選択
とを説明する特定の実施例が与えられる。敵がこの文書
を見ていることもあり得るので、実際にはいずれの見本
も使用すべきではない。
【００５９】基本的にパスフレーズは「構成」しなけれ
ばならない：敵が推定する恐れのあるレパートリーのフ
レーズから選択してはならない。さらに、パスワードの
構成に当っては語の「数」および語の使用「頻度」は、
実用上、敵が大規模、指向性探索を用いてもパスワード
を発見できないようなものにする。
ばならない：敵が推定する恐れのあるレパートリーのフ
レーズから選択してはならない。さらに、パスワードの
構成に当っては語の「数」および語の使用「頻度」は、
実用上、敵が大規模、指向性探索を用いてもパスワード
を発見できないようなものにする。
【００６０】「悪い」パスワード（例えば、自分の名前
とか電話番号）を使用すると、無作為に生成されている
ような見かけを有する暗号キーを作成し、この意味では
偶然の侵入者に対してはある程度の保護を与える。しか
し、こういったキーは真の暗号保護を与えない。
とか電話番号）を使用すると、無作為に生成されている
ような見かけを有する暗号キーを作成し、この意味では
偶然の侵入者に対してはある程度の保護を与える。しか
し、こういったキーは真の暗号保護を与えない。
【００６１】避けるべき習慣（過去にこれらを使用して
実際に暗号文が解読されたことがある）は次の通りであ
る。
実際に暗号文が解読されたことがある）は次の通りであ
る。
【００６２】１． パスフレーズを自分自身で構成する
代りに、パスフレーズリスト（例：a book）からパスフ
レーズを選択しないこと。
代りに、パスフレーズリスト（例：a book）からパスフ
レーズを選択しないこと。
【００６３】２． フレーズの中の数語が残りの手がか
りを与えるような推測のできるフレーズを用いないこ
と。例えば ・ よく知られている詩や子守歌からの１行 ・ よく知られている人、場所、事柄の名前 ・ 国家、文化、民族、宗教的へレディティからのフレ
ーズを使用しないこと。
りを与えるような推測のできるフレーズを用いないこ
と。例えば ・ よく知られている詩や子守歌からの１行 ・ よく知られている人、場所、事柄の名前 ・ 国家、文化、民族、宗教的へレディティからのフレ
ーズを使用しないこと。
【００６４】３． 以前のパスフレーズと同じ概念のフ
レーズを使用しないこと。例えば、もし前回、祖父に関
することを用いたとしたら、今回は祖母に関することを
用いないこと。
レーズを使用しないこと。例えば、もし前回、祖父に関
することを用いたとしたら、今回は祖母に関することを
用いないこと。
【００６５】４． パスフレーズとして１語だけという
のは使用しないこと。平均的辞書には約１０，０００語
含まれている。この多様性は２の１４乗以下であり、電
子的速度では直ぐに究明できる。
のは使用しないこと。平均的辞書には約１０，０００語
含まれている。この多様性は２の１４乗以下であり、電
子的速度では直ぐに究明できる。
【００６６】５． 最も普通の英語の単語「のみ」を使
用しないこと。（すなわち、アングロサクソン起源の基
本語）。こうすると敵の辞書のサイズは１０，０００語
以上から、約２，０００語またはそれ以下に減らすこと
ができよう。
用しないこと。（すなわち、アングロサクソン起源の基
本語）。こうすると敵の辞書のサイズは１０，０００語
以上から、約２，０００語またはそれ以下に減らすこと
ができよう。
【００６７】６． 小学校の教科書にある文を使用しな
いこと。効力のある習慣は次の通りである。
いこと。効力のある習慣は次の通りである。
【００６８】１． パスフレーズは新規に創造すること
（すなわち、オリジナルであるべきである） ２． パスフレーズの長さはアルファベット文字（Ａ〜
Ｚ）で空白を除き少くとも４０〜５０文字のこと。これ
で約１０語になり、徹底的なコンピュータ解析を妨げる
のに充分である。
（すなわち、オリジナルであるべきである） ２． パスフレーズの長さはアルファベット文字（Ａ〜
Ｚ）で空白を除き少くとも４０〜５０文字のこと。これ
で約１０語になり、徹底的なコンピュータ解析を妨げる
のに充分である。
【００６９】３． 次の１個あるいはそれ以上を行うこ
とにより、敵が必要とするアルファベットまたは辞書を
増加させることを考えること。
とにより、敵が必要とするアルファベットまたは辞書を
増加させることを考えること。
【００７０】・ 特殊記号を含めること（例えば、自分
のキーボードにもよるが、‖＠＃＄％「＆＊（）＿＋−
＝！¢：；，．？″′／＼｜｛｝＜＞） ・ 文章に数字を導入すること。
のキーボードにもよるが、‖＠＃＄％「＆＊（）＿＋−
＝！¢：；，．？″′／＼｜｛｝＜＞） ・ 文章に数字を導入すること。
【００７１】・ 故意に単語をミススペルすること。
（例：happen 3 stance ） ・ 外国語を使用すること。入力記号のセット を増し、またパスフレーズの各記号は、２６可能性の文
字の代りに、ずっと多くの可能性の文字数字記号を有す
ることになる。もちろんパスフレーズが記憶困難になる
という事実によりこの実施の阻害されることがある。
（例：happen 3 stance ） ・ 外国語を使用すること。入力記号のセット を増し、またパスフレーズの各記号は、２６可能性の文
字の代りに、ずっと多くの可能性の文字数字記号を有す
ることになる。もちろんパスフレーズが記憶困難になる
という事実によりこの実施の阻害されることがある。
【００７２】４． パスフレーズに固有名前を含んでい
ても支障ない。
ても支障ない。
【００７３】５． パスフレーズを記憶し易くするよう
努め、書き留める必要がないようにすること。逆にフレ
ーズは他の誰かが推定することができなくすべきで、自
分だけが知っている内輪の情報を含めることを考えるこ
と。
努め、書き留める必要がないようにすること。逆にフレ
ーズは他の誰かが推定することができなくすべきで、自
分だけが知っている内輪の情報を含めることを考えるこ
と。
【００７４】パスフレーズの例： 悪いパスフレーズの例： ・ 「Antidisestablismentarianism 」−単一の辞書語 ・ 「Dick and Jane see Spot run. Jump Spot jump.
」−小学１年の教科書 ・ 「A bee bit me. 」−短かすぎる ・ 「George Washington Carrer」−有名人 ・ 「Mary had a little l amb, ifs fleece was whit
e as snow.」−有名な詩 ・ 「Thon shalt have no other gods before Me.」−
宗教的ヘリテージ ・ 「Four score and sever years ago…」−国家的伝
統 良いパスフレーズの例： ・ 「I have never lived in Chicago at 278 Lake Sh
ore.」 ・ 「Why do you believe that fishies dan't float
in the sky? 」 ・ 「Did George Washington read Pascal or talk to
an ambassdor?」 ・ 「My favorite color is green or am I lieing &
it's Moorish Mist.」 ・ 「Counting"won, too, tree" is childish (but so
what)! 」 ・ 「Cannot I dance on my head? I dunno, perhaps
I shall.」 パスフレーズフィルタ：再び図１７を参照し、ユーザが
ステップ３０１でパスフレーズを一旦選択すると、その
選択の良否を判断するために発行されている選択指針に
対しユーザ選択を評価することは有益である。この評価
プロセスには指針と原則３００で発行されているもの以
上の追加基準を勿論含むことがある。追加基準を原則の
形で述べるのは困難かも知れないが、それにも拘らず選
択したパスフレーズの質を判定するには重要である。総
合評価基準として、試用パスフレーズを入力し３０１、
試用パスフレーズをテストし３０２、テスト３０２の結
果を基にして試用パスフレーズを受託または拒否する３
０３、といった具合に自動化することもできる。３０３
で受託されると、順に次のキー生成プロセスの使用可能
をトリガする。拒否されるとエラーメッセージをトリガ
し、ユーザに別のフレーズを選択するよう促す。パスフ
レーズテスト３０２はパスフレーズフィルタの形で実行
することがある。
」−小学１年の教科書 ・ 「A bee bit me. 」−短かすぎる ・ 「George Washington Carrer」−有名人 ・ 「Mary had a little l amb, ifs fleece was whit
e as snow.」−有名な詩 ・ 「Thon shalt have no other gods before Me.」−
宗教的ヘリテージ ・ 「Four score and sever years ago…」−国家的伝
統 良いパスフレーズの例： ・ 「I have never lived in Chicago at 278 Lake Sh
ore.」 ・ 「Why do you believe that fishies dan't float
in the sky? 」 ・ 「Did George Washington read Pascal or talk to
an ambassdor?」 ・ 「My favorite color is green or am I lieing &
it's Moorish Mist.」 ・ 「Counting"won, too, tree" is childish (but so
what)! 」 ・ 「Cannot I dance on my head? I dunno, perhaps
I shall.」 パスフレーズフィルタ：再び図１７を参照し、ユーザが
ステップ３０１でパスフレーズを一旦選択すると、その
選択の良否を判断するために発行されている選択指針に
対しユーザ選択を評価することは有益である。この評価
プロセスには指針と原則３００で発行されているもの以
上の追加基準を勿論含むことがある。追加基準を原則の
形で述べるのは困難かも知れないが、それにも拘らず選
択したパスフレーズの質を判定するには重要である。総
合評価基準として、試用パスフレーズを入力し３０１、
試用パスフレーズをテストし３０２、テスト３０２の結
果を基にして試用パスフレーズを受託または拒否する３
０３、といった具合に自動化することもできる。３０３
で受託されると、順に次のキー生成プロセスの使用可能
をトリガする。拒否されるとエラーメッセージをトリガ
し、ユーザに別のフレーズを選択するよう促す。パスフ
レーズテスト３０２はパスフレーズフィルタの形で実行
することがある。
【００７５】パスフレーズフィルタは「悪い」ユーザ構
成のパスフレーズすなわち敵が徹底した指向探索により
発見できる可能性のあるパスフレーズを拒否するための
ルーチンである。可能性のあるパスフレーズが生成され
ると、パスフレーズフィルタが呼び出され、パラメータ
入力としてパスフレーズが提供される。最も頻繁に使用
される１０，０００語を含む標準英語の辞書を用いて、
パスフレーズフィルタは敵のコンピュータプログラムが
ユーザのパスフレーズを再生成するまでに通常列挙しな
ければならないパスフレーズ数の下限を計算する。この
情報は呼び出し者に報告され、パスフレーズの放棄、修
正、受託を呼出し者が選ぶことができる。
成のパスフレーズすなわち敵が徹底した指向探索により
発見できる可能性のあるパスフレーズを拒否するための
ルーチンである。可能性のあるパスフレーズが生成され
ると、パスフレーズフィルタが呼び出され、パラメータ
入力としてパスフレーズが提供される。最も頻繁に使用
される１０，０００語を含む標準英語の辞書を用いて、
パスフレーズフィルタは敵のコンピュータプログラムが
ユーザのパスフレーズを再生成するまでに通常列挙しな
ければならないパスフレーズ数の下限を計算する。この
情報は呼び出し者に報告され、パスフレーズの放棄、修
正、受託を呼出し者が選ぶことができる。
【００７６】パスフレーズフィルタはそのパスフレーズ
が「良い」ことを自動的に保証するものではないが、大
抵の「悪い」パスフレーズを消去することができる。こ
の意味でパスフレーズ構成用に提供された原則と共にパ
スフレーズフィルタを用いると、「悪い」パスフレーズ
が不注意に用いられる機会を最小化し、従って全体の機
密保護が向上する。
が「良い」ことを自動的に保証するものではないが、大
抵の「悪い」パスフレーズを消去することができる。こ
の意味でパスフレーズ構成用に提供された原則と共にパ
スフレーズフィルタを用いると、「悪い」パスフレーズ
が不注意に用いられる機会を最小化し、従って全体の機
密保護が向上する。
【００７７】パスフレーズフィルタは概念的にはパスワ
ードフィルタと類似しており、「悪い」ユーザ設定のパ
スフレーズまたは徹底した指向探索により敵が発見でき
る可能性のあるパスフレーズを拒否するルーチンであ
る。
ードフィルタと類似しており、「悪い」ユーザ設定のパ
スフレーズまたは徹底した指向探索により敵が発見でき
る可能性のあるパスフレーズを拒否するルーチンであ
る。
【００７８】パスフレーズを含む例がこのチェック手順
の重要性を説明している。ユーザ選定のパスフレーズの
ような、ユーザ選定のパスワードはよりユーザに親しみ
易いアクセス制御とのインタフェースを与える。しかし
人間は「容易な道を選ぶ」傾向があることはよく知られ
ている。１０００人が選んだ６桁のパスワードを調べて
みると、その分布が一様ではないことは確実である。６
個の繰返し数字（００００００、１１１１１１等）、順
番の数字（１２３４５６、２３４５６７等）または明白
なパターンの数字からなるパスワードが不釣合に多いこ
とに気付くであろう。これを知っていると、敵は最もあ
りそうな候補を最初に探索するように徹底した指向探索
を組織化できる。多くの場合には、パスワードを見付け
るにほんの僅かの試行しか必要としない。対策として、
パスワード選択に含まれる潜在的リスクについてユーザ
に伝えておかなければならないし、またコンピュータシ
ステムの導入においてはパスワード選択において守るべ
き簡単な原則をセットでユーザに提供しなければならな
い。弱いパスワードをテストし拒否するために多くのコ
ンピュータシステムではパスワードチェックアルゴリズ
ムを提供することも可能である。
の重要性を説明している。ユーザ選定のパスフレーズの
ような、ユーザ選定のパスワードはよりユーザに親しみ
易いアクセス制御とのインタフェースを与える。しかし
人間は「容易な道を選ぶ」傾向があることはよく知られ
ている。１０００人が選んだ６桁のパスワードを調べて
みると、その分布が一様ではないことは確実である。６
個の繰返し数字（００００００、１１１１１１等）、順
番の数字（１２３４５６、２３４５６７等）または明白
なパターンの数字からなるパスワードが不釣合に多いこ
とに気付くであろう。これを知っていると、敵は最もあ
りそうな候補を最初に探索するように徹底した指向探索
を組織化できる。多くの場合には、パスワードを見付け
るにほんの僅かの試行しか必要としない。対策として、
パスワード選択に含まれる潜在的リスクについてユーザ
に伝えておかなければならないし、またコンピュータシ
ステムの導入においてはパスワード選択において守るべ
き簡単な原則をセットでユーザに提供しなければならな
い。弱いパスワードをテストし拒否するために多くのコ
ンピュータシステムではパスワードチェックアルゴリズ
ムを提供することも可能である。
【００７９】パスフレーズ構成においては、類似してい
るが、より複雑な原則のセットを守らなければならな
い。多くの場合、原則は直観的ではなく、従って、シス
テムに実行されるパスフレーズフィルタは尚更重要であ
る。パスフレーズフィルタは試用パスフレーズに適用さ
れる簡単な高速テストのセットからなる。各テストはパ
スフレーズの変異性を評価する。すべてのテストを実行
後、最小値をユーザに報告する。
るが、より複雑な原則のセットを守らなければならな
い。多くの場合、原則は直観的ではなく、従って、シス
テムに実行されるパスフレーズフィルタは尚更重要であ
る。パスフレーズフィルタは試用パスフレーズに適用さ
れる簡単な高速テストのセットからなる。各テストはパ
スフレーズの変異性を評価する。すべてのテストを実行
後、最小値をユーザに報告する。
【００８０】図１８には、暗号命令セット２を実行可能
な暗号化機構し、キー記憶装置３、暗号化機構アクセス
プログラム４、ユーザアプリケーションプログラム５よ
りなる暗号システムを示す。暗号化機構アクセスプログ
ラム４はパスフレーズフィルタユーティリティプログラ
ム６を含み、チェックパスフレーズ７と呼ばれるＣＦＡ
Ｐサービスを通してアクセスされる。試用パスフレーズ
をチェックするのに次のステップが含まれる。アプリケ
ーション５がチェックパスフレーズサービス７を呼び出
す。試用パスフレーズをチェックし、パスフレーズの変
異性推定を呼出し者にリターンする。呼出し者は受託の
ための最小変異性を設定しなければならない。例えばＤ
ＥＡキー生成に対しては、変異性は最小２の５６乗であ
るべきである。
な暗号化機構し、キー記憶装置３、暗号化機構アクセス
プログラム４、ユーザアプリケーションプログラム５よ
りなる暗号システムを示す。暗号化機構アクセスプログ
ラム４はパスフレーズフィルタユーティリティプログラ
ム６を含み、チェックパスフレーズ７と呼ばれるＣＦＡ
Ｐサービスを通してアクセスされる。試用パスフレーズ
をチェックするのに次のステップが含まれる。アプリケ
ーション５がチェックパスフレーズサービス７を呼び出
す。試用パスフレーズをチェックし、パスフレーズの変
異性推定を呼出し者にリターンする。呼出し者は受託の
ための最小変異性を設定しなければならない。例えばＤ
ＥＡキー生成に対しては、変異性は最小２の５６乗であ
るべきである。
【００８１】図１９はパスフレーズフィルタルーチンの
処理ステップの流れ図である。パスフレーズフィルタは
次のチェックを行う。
処理ステップの流れ図である。パスフレーズフィルタは
次のチェックを行う。
【００８２】１． パターン分析−記号または記号列が
繰返されているか？ ２． 文字頻度分析−個々の文字、２重字、３重字等が
如何なる頻度で典型的な言語では表われ、また提案のパ
スフレーズに限定するとどうか？ ３． ワード頻度分析−特定のワードが如何なる頻度で
表われるか？ パスフレーズフィルタによりユーザに報告されるパスフ
レーズの推定変異性は上記分析のそれぞれから得られる
変異性の最小値である。これら分析の実行方法を以下に
述べる。
繰返されているか？ ２． 文字頻度分析−個々の文字、２重字、３重字等が
如何なる頻度で典型的な言語では表われ、また提案のパ
スフレーズに限定するとどうか？ ３． ワード頻度分析−特定のワードが如何なる頻度で
表われるか？ パスフレーズフィルタによりユーザに報告されるパスフ
レーズの推定変異性は上記分析のそれぞれから得られる
変異性の最小値である。これら分析の実行方法を以下に
述べる。
【００８３】パターン分析：試用パスフレーズの標準統
計分析で次のことが分る。
計分析で次のことが分る。
【００８４】１． パスフレーズに用いられた全アルフ
ァベット ２． 文字または文字グループの繰返し このデータから、統計的変異性の計算が容易にできる。
例えば、「有効アルファベット」がパスフレーズ中に表
わる記号のみで構成されると仮定し、またパスフレーズ
の「有効長さ」をすべての繰返しを除いたパスフレーズ
の長さと定義せよ。そうすると「ＩＩＩＩＩＩ」のよう
なパスフレーズは「悪い」と分類するであろう。
ァベット ２． 文字または文字グループの繰返し このデータから、統計的変異性の計算が容易にできる。
例えば、「有効アルファベット」がパスフレーズ中に表
わる記号のみで構成されると仮定し、またパスフレーズ
の「有効長さ」をすべての繰返しを除いたパスフレーズ
の長さと定義せよ。そうすると「ＩＩＩＩＩＩ」のよう
なパスフレーズは「悪い」と分類するであろう。
【００８５】数字や文字の自然の順番もある。この自然
の順番を用いると、パスフレーズは敵に推測されうるか
も知れない。数字やアルファベット順を検知する一方法
は各数字および文字にランク番号を割り当て、有限差分
計算法を用いることである。この方法は有限個数の指定
点を通る多項式の次数を計算するのに使われる方法であ
る。この方法を以下に示す。
の順番を用いると、パスフレーズは敵に推測されうるか
も知れない。数字やアルファベット順を検知する一方法
は各数字および文字にランク番号を割り当て、有限差分
計算法を用いることである。この方法は有限個数の指定
点を通る多項式の次数を計算するのに使われる方法であ
る。この方法を以下に示す。
【００８６】１． 数字０〜９にランク番号１〜１０を
割り当て、文字「Ａ」〜「Ｚ」にランク番号１１〜３６
を割り当てる。
割り当て、文字「Ａ」〜「Ｚ」にランク番号１１〜３６
を割り当てる。
【００８７】２． パスフレーズに対するランク番号の
リストを生成する。
リストを生成する。
【００８８】３． 左端から始めて、各要素から直ぐ右
側の要素を減算し、一次差分を計算する。リストの最後
の数字はそれに対し計算すべき差分を有しない。
側の要素を減算し、一次差分を計算する。リストの最後
の数字はそれに対し計算すべき差分を有しない。
【００８９】４． 一次差分の数に同じ操作を行って二
次差分を計算する。
次差分を計算する。
【００９０】例えば、パスフレーズを次のように仮定
し、 パスフレーズ：１ ２ ３ ４ ５ ランク番号： ０２ ０３ ０４ ０５ ０６ 一次差分： ０１ ０１ ０１ ０１ 二次差分： ００ ００ ００ 一次差分のリストにおいて入力がゼロの時は、隣接した
ランク番号が同一であることを意味する。二次差分のリ
ストにおいて入力がゼロの時は一次差分が同一すなわち
ランク番号が定数だけ変化していることを意味し、パス
フレーズの１片が「２４６」とか「ＡＢＣ」のような順
序になっていることを意味する。可変性計算では、パス
フレーズの有効長さは一次および二次差分リストにある
ゼロの数だけ減算される。（このようなゼロは繰返しま
たは単純パターンを示すので）。
し、 パスフレーズ：１ ２ ３ ４ ５ ランク番号： ０２ ０３ ０４ ０５ ０６ 一次差分： ０１ ０１ ０１ ０１ 二次差分： ００ ００ ００ 一次差分のリストにおいて入力がゼロの時は、隣接した
ランク番号が同一であることを意味する。二次差分のリ
ストにおいて入力がゼロの時は一次差分が同一すなわち
ランク番号が定数だけ変化していることを意味し、パス
フレーズの１片が「２４６」とか「ＡＢＣ」のような順
序になっていることを意味する。可変性計算では、パス
フレーズの有効長さは一次および二次差分リストにある
ゼロの数だけ減算される。（このようなゼロは繰返しま
たは単純パターンを示すので）。
【００９１】このランク番号分析は「qwerty」（または
他の）キーボードの数字と文字の順番でもって行うこと
も可能である。
他の）キーボードの数字と文字の順番でもって行うこと
も可能である。
【００９２】文字頻度分析：次の文字リストはGaimes
（参考文献２）からとったものである。
（参考文献２）からとったものである。
【００９３】英文での文字の頻度順リストは、 ＥＴＡＯＮＩＳＲＨＬＤＣＵＰＦＭＷＹＢＧＶＫＱＸＪ
Ｚ。
Ｚ。
【００９４】もし特殊記号が含まれるとすれば、その時
は最も普通の記号（「Ｅ」よりもさらに）はブランクす
なわちスペースである。英文での２重字の頻度順リスト
は ＴＨ ＨＥ ＡＮ ＩＮ ＥＲ ＲＥ ＥＳ ＯＮ Ｅ
Ａ ＴＩ ＡＴ ＳＴＥＮ ＮＤ ＯＲ ＴＯ ＮＴ
ＥＤ ＩＳ ＡＲ… 英文での３重字の頻度順リストは ＴＨＥ ＡＮＤ ＴＨＡ ＥＮＴ ＩＯＮ ＴＩＯ Ｆ
ＯＲ ＮＤＥ ＨＡＳＮＣＥ ＥＤＴ ＴＩＳ ＯＦＴ
ＳＴＨ ＭＥＮ… １． 各文字を頻度グループにグループ分けして、各グ
ループに変異性の推定値を与える。簡単のため、グルー
プの変異性は２の整数べきであるようにグループを定義
する。
は最も普通の記号（「Ｅ」よりもさらに）はブランクす
なわちスペースである。英文での２重字の頻度順リスト
は ＴＨ ＨＥ ＡＮ ＩＮ ＥＲ ＲＥ ＥＳ ＯＮ Ｅ
Ａ ＴＩ ＡＴ ＳＴＥＮ ＮＤ ＯＲ ＴＯ ＮＴ
ＥＤ ＩＳ ＡＲ… 英文での３重字の頻度順リストは ＴＨＥ ＡＮＤ ＴＨＡ ＥＮＴ ＩＯＮ ＴＩＯ Ｆ
ＯＲ ＮＤＥ ＨＡＳＮＣＥ ＥＤＴ ＴＩＳ ＯＦＴ
ＳＴＨ ＭＥＮ… １． 各文字を頻度グループにグループ分けして、各グ
ループに変異性の推定値を与える。簡単のため、グルー
プの変異性は２の整数べきであるようにグループを定義
する。
【００９５】ａ． ２の０乗 （２**０） Ｅ ｂ． ２の１乗 （２**１） Ｔ ｃ． ２の２乗 （２**２） ＡＯ ｄ． ２の３乗 （２**３） ＮＩＳＲ ｅ． ２の４乗 （２**４） ＨＬＤＣＵＰＥＭ ｆ． ２の５乗 （２**５） ＷＹＢＧＶＫＱＸＪＺ ｇ． ブランク以外の特殊記号には２の５乗の値を付け
る。
る。
【００９６】２． パスフレーズにおける文字の繰返し
パターンをチェックし、分析しようとするパスフレーズ
から繰返しパターンを取り除く。
パターンをチェックし、分析しようとするパスフレーズ
から繰返しパターンを取り除く。
【００９７】３． 分析しようとするパスフレーズから
すべてのブランクを取り除く。
すべてのブランクを取り除く。
【００９８】４． （パターンを取り去った後の）各文
字に対応する２のべき指数を合計する。合計値がこのテ
ストの変異性である。
字に対応する２のべき指数を合計する。合計値がこのテ
ストの変異性である。
【００９９】５． ２重字および３重字についても同じ
ことを行う。
ことを行う。
【０１００】ワード頻度分析：以下はJohn B. Carroll
の「The American Heritage WordFrequency Book」（１
９７１）からとったものである。最も普通の英語１００
ワードの頻度順リストは以下の通りである。
の「The American Heritage WordFrequency Book」（１
９７１）からとったものである。最も普通の英語１００
ワードの頻度順リストは以下の通りである。
【０１０１】THE OF AND A TO IN IS YOU THAT IT HE F
OR WAS ON ARE AS WITH HIS THEYAT BE THIS FROM I HA
VE OR BY ONE HAD NOT BUT WHAT ALL WERE WHEN WE THE
RECAN AN YOUR WHICH THEIR SAID IF DO WILL EACH ABO
UT HOW UP OUT THEM EHENSHE MANY SOME SO THESE WOUL
D OTHER INFO HAS MORE HER TWO LIKE HIM SEETIME COU
LD NO MAKE THAN FIRST BEEN ITS WHO NOW PEOPLE MY M
ADE OVER DIDDOWN ONLY WAY FIND USE MAY WATER LONG
LITTLE VERY AFTER WORDS CALLEDJUST WHERE MOST KNOW 最も頻繁に使われる１０，０００ワードを含む標準英語
の語彙を用い、ユーザのパスフレーズを再生成するまで
に敵のコンピュータプログラムが列挙しなければならな
いであろうパスフレーズ数の下限をユーティリティプロ
グラムが計算する。
OR WAS ON ARE AS WITH HIS THEYAT BE THIS FROM I HA
VE OR BY ONE HAD NOT BUT WHAT ALL WERE WHEN WE THE
RECAN AN YOUR WHICH THEIR SAID IF DO WILL EACH ABO
UT HOW UP OUT THEM EHENSHE MANY SOME SO THESE WOUL
D OTHER INFO HAS MORE HER TWO LIKE HIM SEETIME COU
LD NO MAKE THAN FIRST BEEN ITS WHO NOW PEOPLE MY M
ADE OVER DIDDOWN ONLY WAY FIND USE MAY WATER LONG
LITTLE VERY AFTER WORDS CALLEDJUST WHERE MOST KNOW 最も頻繁に使われる１０，０００ワードを含む標準英語
の語彙を用い、ユーザのパスフレーズを再生成するまで
に敵のコンピュータプログラムが列挙しなければならな
いであろうパスフレーズ数の下限をユーティリティプロ
グラムが計算する。
【０１０２】１． 次のようにワード頻度リストを構築
する。
する。
【０１０３】ａ． ２の０乗 （２**０） ＴＨＥ ｂ． ２の１乗 （２**１） ＯＦ ｃ． ２の２乗 （２**２） ＡＮＤ Ａ ｄ． ２の３乗 （２**３） ＴＯ ＩＮ ＩＳ ＹＯ
Ｕ ｅ． ２の４乗 （２**４） ＴＨＡＴ ＩＴ ＨＥ
ＦＯＲ ＷＡＳ ＯＮＡＲＥ ＡＳ ｆ． 等々 所望の長さにワード頻度リストに対するこのリストを構
築する。あるワードがそのリストに現れなければ、その
リストの最少頻度ワードと同じ頻度を有するものと仮定
する。
Ｕ ｅ． ２の４乗 （２**４） ＴＨＡＴ ＩＴ ＨＥ
ＦＯＲ ＷＡＳ ＯＮＡＲＥ ＡＳ ｆ． 等々 所望の長さにワード頻度リストに対するこのリストを構
築する。あるワードがそのリストに現れなければ、その
リストの最少頻度ワードと同じ頻度を有するものと仮定
する。
【０１０４】２． 繰返しワードをチェックし、分析し
ようとするパスフレーズから繰返しワードを取り除く。
ようとするパスフレーズから繰返しワードを取り除く。
【０１０５】３． パスフレーズの各ワードに対応する
２のべき指数を合計する。合計値がこのテストの変異性
である。
２のべき指数を合計する。合計値がこのテストの変異性
である。
【０１０６】本発明の特定の実施例を開示したが、本発
明の精神および目的から逸脱することなく、特定の実施
例に変更を行いうることは当業者には自明である。
明の精神および目的から逸脱することなく、特定の実施
例に変更を行いうることは当業者には自明である。
【０１０７】本発明の公用キー暗号システムを管理する
方法は、ユーザに知られている第１のシード値を用いて
第１の公用キー、私用キーペアを生成し、また第１の公
用キー、私用キーペアの第１の使用を定義する第１の制
御ベクトルを生成するステップと、ユーザに知られてい
る第２のシード値を用いて第２の公用キー、私用キーペ
アを生成し、また第２の公用キー、私用キーペアの第２
の使用を定義する第２の制御ベクトルを生成するステッ
プと、第１の制御ベクトルを用いて第１の公用キー、私
用キーペアの使用を制御ベクトルするステップと、第２
の制御ベクトルを用いて第２の公用キー、私用キーペア
の使用を制御ベクトルするステップとを含んでいる。
方法は、ユーザに知られている第１のシード値を用いて
第１の公用キー、私用キーペアを生成し、また第１の公
用キー、私用キーペアの第１の使用を定義する第１の制
御ベクトルを生成するステップと、ユーザに知られてい
る第２のシード値を用いて第２の公用キー、私用キーペ
アを生成し、また第２の公用キー、私用キーペアの第２
の使用を定義する第２の制御ベクトルを生成するステッ
プと、第１の制御ベクトルを用いて第１の公用キー、私
用キーペアの使用を制御ベクトルするステップと、第２
の制御ベクトルを用いて第２の公用キー、私用キーペア
の使用を制御ベクトルするステップとを含んでいる。
【０１０８】ここで、第１のシード値がパスフレーズか
ら生成されてもよく、第２のシード値が真の乱数であっ
てもよい。また、第１のシード値を用いて第１の乱数を
生成し、第１の生成ステップに第１の乱数を適用するス
テップを含んでもよい。さらに、擬似乱数発生器に前記
第２のシード値を用いて第２の乱数を生成し、第２の生
成ステップに第２の乱数を適用してもよい。
ら生成されてもよく、第２のシード値が真の乱数であっ
てもよい。また、第１のシード値を用いて第１の乱数を
生成し、第１の生成ステップに第１の乱数を適用するス
テップを含んでもよい。さらに、擬似乱数発生器に前記
第２のシード値を用いて第２の乱数を生成し、第２の生
成ステップに第２の乱数を適用してもよい。
【０１０９】また、第１の制御ベクトルが２つの構成要
素として、第１の公用キーの使用を制御するための第１
の公用キー制御ベクトルおよび第１の私用キーの使用を
制御するための第１の私用キー制御ベクトルを有しても
よい。
素として、第１の公用キーの使用を制御するための第１
の公用キー制御ベクトルおよび第１の私用キーの使用を
制御するための第１の私用キー制御ベクトルを有しても
よい。
【０１１０】あるいは、第２の制御ベクトルが２つの構
成要素として、第２の公用キーの使用を制御するための
第２の公用キー制御ベクトルおよび第２の私用キーの使
用を制御するための第２の私用キー制御ベクトルを有し
てもよい。
成要素として、第２の公用キーの使用を制御するための
第２の公用キー制御ベクトルおよび第２の私用キーの使
用を制御するための第２の私用キー制御ベクトルを有し
てもよい。
【０１１１】第１の制御ベクトルが第１の私用キーを制
御してその使用をディジタル署名の生成に制限しまた第
２の制御ベクトルが第２の私用キーを制御して、その使
用をディジタル署名の生成に制限し、かつキー分散プロ
トコルの一部として受信した暗号化されたキーを解読し
てもよい。
御してその使用をディジタル署名の生成に制限しまた第
２の制御ベクトルが第２の私用キーを制御して、その使
用をディジタル署名の生成に制限し、かつキー分散プロ
トコルの一部として受信した暗号化されたキーを解読し
てもよい。
【０１１２】または、第１の制御ベクトルが第１の公用
キーの使用をディジタルシグニチャの検証に制限し、ま
た第２の制御ベクトルが第２の公用キーの使用をディジ
タルシグニチャの検証およびキー分散プロトコルにおけ
るキーの暗号化に制限してもよい。
キーの使用をディジタルシグニチャの検証に制限し、ま
た第２の制御ベクトルが第２の公用キーの使用をディジ
タルシグニチャの検証およびキー分散プロトコルにおけ
るキーの暗号化に制限してもよい。
【０１１３】あるいは、第１の制御ベクトルは第１の私
用キーによりディジタルシグニチャの生成を制御し、ま
た第２の制御ベクトルは第２の私用キーの使用をディジ
タルシグニチャの生成には禁止してもよい。
用キーによりディジタルシグニチャの生成を制御し、ま
た第２の制御ベクトルは第２の私用キーの使用をディジ
タルシグニチャの生成には禁止してもよい。
【０１１４】また本発明の公用キー、私用キーペア発生
器を含む公用キー暗号システムを管理するための方法
は、ユーザに知れている第１のシードを用いて第１の公
用キー、私用キーペアを生成し、また第１の公用キー、
私用キーペアの第１の使用を定義する第１の制御ベクト
ルを生成するステップと、ユーザに知れない第２のシー
ド値を用いて第２の公用キー、私用キーペアを生成し、
また第２の公用キー、私用キーペアの第２の私用キーペ
アを定義する第２の制御ベクトルを生成するステップ
と、第１の制御ベクトルを用いて第１の公用キー、私用
キーペアの使用を制御するステップと、第２の制御ベク
トルにより第２の公用キー、私用キーペアの使用を制御
するステップとを含んでいる。
器を含む公用キー暗号システムを管理するための方法
は、ユーザに知れている第１のシードを用いて第１の公
用キー、私用キーペアを生成し、また第１の公用キー、
私用キーペアの第１の使用を定義する第１の制御ベクト
ルを生成するステップと、ユーザに知れない第２のシー
ド値を用いて第２の公用キー、私用キーペアを生成し、
また第２の公用キー、私用キーペアの第２の私用キーペ
アを定義する第２の制御ベクトルを生成するステップ
と、第１の制御ベクトルを用いて第１の公用キー、私用
キーペアの使用を制御するステップと、第２の制御ベク
トルにより第２の公用キー、私用キーペアの使用を制御
するステップとを含んでいる。
【０１１５】ここで、第１のシード値がパスフレーズか
ら生成されてもよく、また第２のシード値が真の乱数で
あってもよい。
ら生成されてもよく、また第２のシード値が真の乱数で
あってもよい。
【０１１６】また、第１のシード値を用いて第１の乱数
を生成し、また第１の生成ステップに第１の乱数を適用
するステップの遂行を含んでもよい。
を生成し、また第１の生成ステップに第１の乱数を適用
するステップの遂行を含んでもよい。
【０１１７】あるいは、擬似乱数発生器における第２の
シード値を用いて第２の乱数を生成し、また第２の生成
ステップに第２の乱数を適用するステップの遂行を含ん
でもよい。
シード値を用いて第２の乱数を生成し、また第２の生成
ステップに第２の乱数を適用するステップの遂行を含ん
でもよい。
【０１１８】第１の制御ベクトルが２つの構成要素とし
て、第１の公用キーの使用を制御するための第１の公用
キー制御ベクトルおよび第１の私用キーの使用を制御す
るための第１の私用キー制御ベクトルを有してもよい。
て、第１の公用キーの使用を制御するための第１の公用
キー制御ベクトルおよび第１の私用キーの使用を制御す
るための第１の私用キー制御ベクトルを有してもよい。
【０１１９】第２の制御ベクトルが２つの構成要素とし
て、第２の公用キーを制御するための第２の公用キー制
御ベクトルおよび第２の私用キーを制御するための第２
の私用キー制御ベクトルを有してもよい。
て、第２の公用キーを制御するための第２の公用キー制
御ベクトルおよび第２の私用キーを制御するための第２
の私用キー制御ベクトルを有してもよい。
【０１２０】第１の制御ベクトルが、第１の私用キーを
制御して、その使用をディジタル署名の生成に制限し、
また第２の制御が第２の私用キーを制御して、その使用
をディジタル署名の生成およびキー分散プロトコルの一
部として受信した暗号化されたキーの解読を制限しても
よい。
制御して、その使用をディジタル署名の生成に制限し、
また第２の制御が第２の私用キーを制御して、その使用
をディジタル署名の生成およびキー分散プロトコルの一
部として受信した暗号化されたキーの解読を制限しても
よい。
【０１２１】第１の制御ベクトルが、第１の公用キーの
使用をディジタル署名の検証に制限し、また第２制御ベ
クトルが第２公用キーの使用をディジタル署名の生成お
よびキー分散プロトコルにおけるキーの暗号化を制限し
てもよい。
使用をディジタル署名の検証に制限し、また第２制御ベ
クトルが第２公用キーの使用をディジタル署名の生成お
よびキー分散プロトコルにおけるキーの暗号化を制限し
てもよい。
【０１２２】第１制御ベクトルが第１私用キーでもって
ディジタル署名の生成を制御ベクトルし、また第２制御
ベクトルが第２私用キーの使用がディジタル署名の生成
を行うことを禁止してもよい。
ディジタル署名の生成を制御ベクトルし、また第２制御
ベクトルが第２私用キーの使用がディジタル署名の生成
を行うことを禁止してもよい。
【０１２３】本発明の公用キー、私用キーペア発生器を
含む公用キー暗号システムを管理するための装置は、ユ
ーザに知られる第１シード値を用いて第１公用キー、私
用キーペアを生成し、また第１公用キー、私用キーペア
の第１使用を定義する第１制御ベクトルを生成する第１
生成手段と、ユーザに知られない第２シード値を用いて
第２公用キー、私用キーペアを生成し、また第２公用キ
ー、私用キーペアの第２使用を定義する第２制御ベクト
ルを生成する第２生成手段と、第１制御ベクトルを用い
て第１公用キー、私用キーペアの使用を制御するため
の、第１生成手段に連結される制御手段と、第２制御ベ
クトルにより第２公用キー、私用キーペアの使用を制御
するための、第２生成手段に連結される制御手段とを含
んでいる。
含む公用キー暗号システムを管理するための装置は、ユ
ーザに知られる第１シード値を用いて第１公用キー、私
用キーペアを生成し、また第１公用キー、私用キーペア
の第１使用を定義する第１制御ベクトルを生成する第１
生成手段と、ユーザに知られない第２シード値を用いて
第２公用キー、私用キーペアを生成し、また第２公用キ
ー、私用キーペアの第２使用を定義する第２制御ベクト
ルを生成する第２生成手段と、第１制御ベクトルを用い
て第１公用キー、私用キーペアの使用を制御するため
の、第１生成手段に連結される制御手段と、第２制御ベ
クトルにより第２公用キー、私用キーペアの使用を制御
するための、第２生成手段に連結される制御手段とを含
んでいる。
【０１２４】ここで、第１シード値がパスフレーズから
生成されてもよく、第２シード値が真の乱数であっても
よい。
生成されてもよく、第２シード値が真の乱数であっても
よい。
【０１２５】第１生成手段が、第１シード値を用いて第
１乱数を生成し、また第１公用キー、私用キーペアの生
成に第１乱数を適用してもよい。
１乱数を生成し、また第１公用キー、私用キーペアの生
成に第１乱数を適用してもよい。
【０１２６】第２生成手段が、擬似乱数発生器において
第２シード値を用いて第２乱数を生成し、また第２公用
キー、私用キーペアの生成に第２乱数を適用してもよ
い。
第２シード値を用いて第２乱数を生成し、また第２公用
キー、私用キーペアの生成に第２乱数を適用してもよ
い。
【０１２７】第１制御ベクトルが２構成要素として、第
１公用キーの使用を制御するための第１公用キー制御ベ
クトルおよび第１私用キーの使用を制御するための第１
私用キー制御ベクトルを有してもよい。
１公用キーの使用を制御するための第１公用キー制御ベ
クトルおよび第１私用キーの使用を制御するための第１
私用キー制御ベクトルを有してもよい。
【０１２８】第２制御ベクトルが２構成要素として、第
２公用キーの使用を制御するための第２公用キー制御ベ
クトルおよび第２私用キーを制御ベクトルするための第
２私用キー制御ベクトルを有してもよい。
２公用キーの使用を制御するための第２公用キー制御ベ
クトルおよび第２私用キーを制御ベクトルするための第
２私用キー制御ベクトルを有してもよい。
【０１２９】第１制御ベクトルが第１私用キーの使用を
ディジタル署名の生成に制限するよう第１私用キーを制
御し、また第２制御ベクトルが第２私用キーの使用をデ
ィジタル署名の生成およびキー分散プロトコルの一部と
して受信される暗号化されたキーの解読に制限するよう
第２私用キーを制御してもよい。
ディジタル署名の生成に制限するよう第１私用キーを制
御し、また第２制御ベクトルが第２私用キーの使用をデ
ィジタル署名の生成およびキー分散プロトコルの一部と
して受信される暗号化されたキーの解読に制限するよう
第２私用キーを制御してもよい。
【０１３０】第１制御ベクトルが第１公用キーの使用を
ディジタル署名の検証に制限し、また第２制御ベクトル
が第２公用キーの使用をディジタル署名の検証およびキ
ー分散プロトコルにおけるキーの暗号化を制限してもよ
い。
ディジタル署名の検証に制限し、また第２制御ベクトル
が第２公用キーの使用をディジタル署名の検証およびキ
ー分散プロトコルにおけるキーの暗号化を制限してもよ
い。
【０１３１】第１制御ベクトルは第１私用キーでもって
ディジタル署名の生成を制御し、第２制御ベクトルは第
２私用キーの使用がディジタル署名の生成を禁止しても
よい。
ディジタル署名の生成を制御し、第２制御ベクトルは第
２私用キーの使用がディジタル署名の生成を禁止しても
よい。
【図１】ユーザｉ，ｊが共用する暗号システムＡにおい
てパスフレーズから公用キーおよび私用キーペア生成を
説明するブロック図。
てパスフレーズから公用キーおよび私用キーペア生成を
説明するブロック図。
【図２】ユーザｉによる暗号システムＡおよびＢにおい
てパスフレーズから公用キーおよび私用キーペア生成を
説明するブロック図。
てパスフレーズから公用キーおよび私用キーペア生成を
説明するブロック図。
【図３】各々が暗号システムを含む多数のデータ処理装
置を含む通信ネットワーク１０の説明図。
置を含む通信ネットワーク１０の説明図。
【図４】暗号システム２２の構成を示すブロック図。
【図５】暗号化機構３０の構成を示すブロック図。
【図６】暗号化機構３０の暗号アルゴリズム１４４の構
成要素のブロック図。
成要素のブロック図。
【図７】ＲＳＡキー生成に含まれるステップを説明する
暗号化機構３０のキー生成アルゴリズム１５１の構成要
素のブロック図。
暗号化機構３０のキー生成アルゴリズム１５１の構成要
素のブロック図。
【図８】「真の」乱数発生器１８０を説明するブロック
図。
図。
【図９】初期にシードされる擬似乱数発生器１９０を説
明するブロック図。
明するブロック図。
【図１０】動的にシードされる擬似乱数発生器２００を
説明するブロック図。
説明するブロック図。
【図１１】本発明により動的にシードされる擬似乱数発
生器２００を含むように修正された、暗号化機構３０の
暗号アルゴリズム１４４構成要素のブロック図。
生器２００を含むように修正された、暗号化機構３０の
暗号アルゴリズム１４４構成要素のブロック図。
【図１２】動的にシードされる擬似乱数発生器の特定例
を説明するブロック図。
を説明するブロック図。
【図１３】本発明に従って入力パスフレーズから公用キ
ーおよび私用キーペアの生成に含まれるステップを示す
ブロック図。
ーおよび私用キーペアの生成に含まれるステップを示す
ブロック図。
【図１４】本発明に従って公用キーおよび私用キーペア
生成（ＧＰＵＰＲ）命令を説明するブロック図。
生成（ＧＰＵＰＲ）命令を説明するブロック図。
【図１５】ＰＵキーおよびＰＲキートークンを説明する
ブロック図。
ブロック図。
【図１６】ＰＵ、ＰＲキートークンの制御ベクトル部分
を説明するブロック図。
を説明するブロック図。
【図１７】パスフレーズ選択プロセスを説明するブロッ
ク図。
ク図。
【図１８】ユーザアプリケーションが提供する試用パス
フレーズテストのためパスフレーズフィルタを用いる暗
号システムを説明するブロック図。
フレーズテストのためパスフレーズフィルタを用いる暗
号システムを説明するブロック図。
【図１９】パスフレーズフィルタの機能要素を説明する
ブロック図。
ブロック図。
１，３０ 暗号化機構（ＣＦ） ２ 暗号命令セット ３ キー記憶装置 ４ 暗号化機構アクセスプログラム ５ ユーザアプリケーションプログラム ６ パスフレーズフィルタユーティリティプログラム ７ チェックパスフレーズサービス １０ 通信ネットワーク ２０ データ処理装置 ２２ 暗号システム ３２ 暗号キーデータセット（ＣＫＤＳ） ３４ 暗号化機構アクセスプログラム（ＣＦＡＰ） ３６ アプリケーションプログラム（ＡＰＰＬ） ４２ アプリケーションプログラムＡ（ＡＰＰＬ Ａ） ４３，４４，４５ ４６ キー記憶装置マネージャ ４７ キー生成機能 ４８ キーパージ機能 ５２ ＧＰＵＰＲ命令 １４０ 機密保護範囲 １４２ 命令処理装置 １４４，１５０ 暗号アルゴリズム １４６ 暗号化機構環境記憶装置 １５１ キー生成アルゴリズム（ＫＧＡ） １５２ 乱数生成アルゴリズム １８０ 「真」乱数発生器 １８１ ハードウエア回路 １９０ 初期にシードされる擬似乱数発生器 １９１，２０１ アルゴリズム １９４ シード記憶装置 ２００ 動的にシードされる擬似乱数発生器
【手続補正書】
【提出日】平成４年１１月１６日
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】特許請求の範囲
【補正方法】変更
【補正内容】
【特許請求の範囲】
───────────────────────────────────────────────────── フロントページの続き (72)発明者 ドナルド、ビー、ジョンソン アメリカ合衆国バージニア州、マナサス、 クリスタル、クリーク、レーン、11635 (72)発明者 アン、ブイ、リ アメリカ合衆国バージニア州、マナサス、 バトルフィールド、ドライブ、10227 (72)発明者 ウィリアム、シー、マーティン アメリカ合衆国ノースカロライナ州、コン コード、ヒリアード、レーン、1835 (72)発明者 ロスティスロー、プリマク アメリカ合衆国バージニア州、ダンフリー ズ、フェアウェイ、ドライブ、15900 (72)発明者 ジョン、ディー、ウィルキンズ アメリカ合衆国バージニア州、サマービ ル、ピー、オー、ボックス、８
Claims (15)
- 【請求項１】データ処理システムにおいて、公用キー、
私用キーペア発生器を含む公用キー暗号システムを管理
する方法であって、 ユーザに知られている第１のシード値を用いて第１の公
用キー、私用キーペアを生成し、また前記第１の公用キ
ー、私用キーペアの第１の使用を定義する第１の制御ベ
クトルを生成するステップと、 ユーザに知られている第２のシード値を用いて第２の公
用キー、私用キーペアを生成し、また前記第２の公用キ
ー、私用キーペアの第２の使用を定義する第２の制御ベ
クトルを生成するステップと、 前記第１の制御ベクトルを用いて前記第１の公用キー、
私用キーペアの使用を制御するステップと、 前記第２の制御ベクトルを用いて前記第２の公用キー、
私用キーペアの使用を制御するステップとを含むことを
特徴とする方法。 - 【請求項２】データ処理システムにおいて、公用キー、
私用キーペア発生器を含む公用キー暗号システムを管理
する方法であって、 パスフレーズから導出される第１のシード値を用いて第
１の乱数を生成するステップと、 ユーザには知られない第２のシード値を用いて第２の乱
数を生成するステップと、 前記第１の乱数を用いて第１の公用キー、私用キーペア
を生成し、また前記第１の公用キーおよび前記第１の私
用キーの第１の使用を定義するために、それぞれ第１の
公用キー制御ベクトルおよび第１の私用キー制御ベクト
ルを生成するステップと、 前記第２の乱数を用いて第２の公用キー、私用キーペア
を生成し、また前記第２の公用キーおよび前記第２の私
用キーの第２の使用を定義するために、それぞれ第２の
公用キー制御ベクトルおよび第２の私用キー制御ベクト
ルを生成するステップと、 前記第１の公用キー制御ベクトルおよび前記第１の私用
キー制御ベクトルを用いて、それぞれ前記第１の公用キ
ーおよび前記第１の私用キーの使用を制御するステップ
と、 前記第２の公用キー制御ベクトルおよび前記第２の私用
キー制御ベクトルを用いて、それぞれ前記第２の公用キ
ーおよび前記第２の私用キーの使用を制御するステップ
とを含むことを特徴とする方法。 - 【請求項３】データ処理システムにおいて、キー発生器
を有する暗号システムを管理する方法であって、 パスフレーズから導出される第１のシード値を用いて第
１の乱数を生成するステップと、 ユーザに知られない第２のシード値を用いて第２の乱数
を生成するステップと、 前記第１の乱数を用いて第１キーを生成し、また前記第
１のキーの使用を制御するための第１の制御ベクトルを
生成するステップと、 前記第２の乱数を用いて第２のキーを生成し、また前記
第２のキーの第２の私用を制御するための第２の制御ベ
クトルを生成するステップと、 前記第１の制御ベクトルにより前記第１のキーの使用を
制御するステップと、 前記第２の制御ベクトルにより前記第２のキーの使用を
制御するステップと、 前記第１のキーの前記第１の使用が、前記第２のキーの
前記第２の使用と異なるステップとを含むことを特徴と
する方法。 - 【請求項４】データ処理システムにおいて、公用キー、
私用キーペア発生器を含む公用キー暗号システムを管理
するための方法であって、 パスフレーズから導出される第１のシード値を用いて乱
数を生成するステップと、 前記乱数を用いて公用キー、私用キーペアを生成し、前
記第１の制御ベクトルは前記公用キーの使用を制御する
もので、前記第２の制御ベクトルは前記私用キーの使用
を制御するものであり、前記公用キーに対して前記第１
の制御ベクトルを生成し、また前記私用キーに対して前
記第２の制御ベクトルを生成するためのステップを含む
ことを特徴とする方法。 - 【請求項５】データ処理システムにおいて、公用キー、
私用キーペアを含む公用キー暗号システムを管理するた
めの方法であって、 パスフレーズから導出されるシード値を用いて乱数を生
成するステップと、 前記乱数を用いて公用キー、私用キーペアを生成するス
テップとを含むことを特徴とする方法。 - 【請求項６】データ処理システムにおいて、公用キー、
私用キーペア発生器を含む公用キー暗号システムを管理
するための方法であって、 ユーザに知れている第１のシードを用いて第１の公用キ
ー、私用キーペアを生成し、また前記第１の公用キー、
私用キーペアの第１の使用を定義する第１の制御ベクト
ルを生成するステップと、 ユーザに知れない第２のシード値を用いて第２の公用キ
ー、私用キーペアを生成し、また前記第２の公用キー、
私用キーペアの第２の使用を定義する第２の制御ベクト
ルを生成するステップと、 前記第１の制御ベクトルを用いて前記第１の公用キー、
私用キーペアの使用を制御するステップと、 前記第２の制御ベクトルにより前記第２の公用キー、私
用キーペアの使用を制御するステップとを含む方法を実
行することを特徴とする方法。 - 【請求項７】データ処理システムにおいて、公用キー、
私用キーペア発生器を含む公用キー暗号システムを管理
するための方法であって、 パスフレーズから導出される第１のシード値を用いて第
１の乱数を生成するステップと、 ユーザに知られない第２のシード値を用いて第２の乱数
を生成するステップと、 前記第１の乱数を用いて第１の公用キー、私用キーペア
を生成し、また前記第１の公用キーおよび前記第１の私
用キーの第１の使用をそれぞれ定義するための第１の公
用制御キーベクトルおよび第２の私用キー制御ベクトル
を生成するステップと、 前記第２の乱数を用いて第２の公用キー、私用キーペア
を生成し、また前記第２の公用キーおよび前記第２の私
用キーの第２の使用をそれぞれ定義するために、第２の
公用キー制御ベクトルおよび第２の私用キー制御ベクト
ルを生成するステップと、 前記第１の公用キー制御ベクトルおよび前記第１の私用
キー制御ベクトルを使用して、それぞれ前記第１の公用
キーおよび前記第１の私用キーの前記第１の使用を制御
するステップと、 前記第２の公用キー制御ベクトルおよび前記第２の私用
キー制御ベクトルを使用して、それぞれ前記第２の公用
キーおよび前記第２の私用キーの使用を制御するステッ
プとを含むことを特徴とする方法。 - 【請求項８】データ処理システムにおいて、キー発生器
を有する暗号システムを管理するための方法であって、 パスフレーズから導出される第１のシード値を用いて第
１の乱数を生成するステップと、 ユーザに知られない第２のシード値を用いて第２の乱数
を生成するステップと、 前記第１の乱数を用いて第１のキーを生成し、また前記
第１のキーの使用を制御するための第１の制御ベクトル
を生成するステップと、 前記第２の乱数を用いて第２のキーを生成し、また前記
第２のキーの第２の使用を制御するための第２の制御ベ
クトルを生成するステップと、 前記第１の制御ベクトルにより前記第１のキーの使用を
制御するステップと、 前記第２の制御ベクトルにより前記第２のキーの使用を
制御するステップと、 前記第１のキーの第１の使用が前記第２のキーの前記第
２の使用とは異なっているステップとを含むことを特徴
とする方法。 - 【請求項９】データ処理システムにおいて、公用キー、
私用キーペアを含む公用キー暗号システムを管理するた
めの方法であって、 パスフレーズから導出される第１のシード値を用いて乱
数を生成するステップと、 前記乱数を用いて公用キー、私用キーペアを生成し、ま
た前記公用キーに対する第１の制御ベクトルおよび前記
私用キーに対する第２の制御ベクトルを生成し、前記第
１の制御ベクトルが前記公用キーの使用を制御し、前記
第２の制御ベクトルが前記私用キーの使用を制御するス
テップとを含むことを特徴とする方法。 - 【請求項１０】データ処理システムにおいて、公用キ
ー、私用キーペア発生器を含む公用キー暗号システムを
管理するための方法であって、 パスフレーズから導出されるシード値を用いて乱数を生
成するステップと、 前記乱数を用いて公用キー、私用キーペアを生成するス
テップとを含むことを特徴とする方法。 - 【請求項１１】データ処理システムにおいて、公用キ
ー、私用キーペア発生器を含む公用キー暗号システムを
管理するための装置であって、 ユーザに知られる第１シード値を用いて第１公用キー、
私用キーペアを生成し、また前記第１公用キー、私用キ
ーペアの第１使用を定義する第１制御ベクトルを生成す
る第１生成手段と、 ユーザに知られない第２シード値を用いて第２公用キ
ー、私用キーペアを生成し、また前記第２公用キー、私
用キーペアの第２使用を定義する第２制御ベクトルを生
成する第２生成手段と、 前記第１制御ベクトルを用いて前記第１公用キー、私用
キーペアの使用を制御するための、前記第１生成手段に
連結される制御手段と、 前記第２制御ベクトルにより前記第２公用キー、私用キ
ーペアの使用を制御するための、前記第２生成手段に連
結される前記制御手段とを含むことを特徴とする装置。 - 【請求項１２】データ処理システムにおいて、公用キ
ー、私用キーペア発生器を含む公用キー暗号システムを
管理するための装置であって、 パスフレーズから導出される第１シード値を用いて第１
乱数を生成するための第１生成手段と、 ユーザに知られない第２シード値を用いて第２乱数を生
成するための第２生成手段と、 前記第１乱数を用いて第１公用キー、私用キーペアを生
成し、また前記第１公用キーおよび前記第１私用キーの
第１使用をそれぞれ定義するための第１公用キー制御ベ
クトルおよび第１私用キー制御ベクトルを生成する前記
第１生成手段と、 前記第２乱数を用いて第２公用キー、私用キーペアを生
成し、また前記第２公用キーおよび前記第２私用キーの
第２使用をそれぞれ定義するための第２公用キー制御ベ
クトルおよび第２私用キー制御ベクトルを生成する前記
第２生成手段と、 前記第１公用キー制御ベクトルおよび前記第１私用キー
制御ベクトルをそれぞれ用いて、前記第１公用キーおよ
び前記第１私用キーの使用を制御するための、前記第１
生成手段に連結される制御手段と、 前記第２公用キー制御ベクトルおよび前記第２私用キー
制御ベクトルをそれぞれ用いて、前記第２公用キーおよ
び前記第２私用キーの使用を制御するための、前記第２
生成手段に連結される制御手段とを含むことを特徴とす
る装置。 - 【請求項１３】データ処理システムにおいて、キー発生
器を有する暗号システムを管理するための装置であっ
て、 パスフレーズから導出される第１シード値を用いて第１
乱数を生成するための第１生成手段と、 ユーザに知られない第２シード値を用いて第２乱数を生
成するための第２生成手段と、 前記第１乱数を用いて第１キーを生成し、また前記第１
キーの使用を制御するための第１制御ベクトルを生成す
る前記第１生成手段と、 前記第２乱数を用いて第２キーを生成し、また前記第２
キーの第２使用を制御するための第２制御ベクトルを生
成する前記第２生成手段と、 前記第１制御ベクトルでもって前記第１キーの使用を制
御するための前記第１生成手段に連結される制御手段
と、 前記第２制御ベクトルでもって前記第２キーの使用を制
御するための前記第２生成手段に連結される前記制御手
段と、 前記第１キーの前記第１使用が前記第２キーの前記第２
使用と異なることを含むことを特徴とする装置。 - 【請求項１４】データ処理システムにおいて、公用キ
ー、私用キーペア発生器を含む公用キー暗号システムを
管理するための装置であって、 パスフレーズから導出される第１シード値を用いて乱数
を生成する生成手段と、 前記乱数を用いて公用キー、私用キーペアを生成し、ま
た前記公用キーに対する第１制御ベクトルおよび前記私
用キーに対する第２制御ベクトルを生成し、前記第１制
御ベクトルが前記公用キーの使用を制御し、前記第２制
御ベクトルが前記私用キーの使用を制御する前記生成手
段とを含むことを特徴とする装置。 - 【請求項１５】データ処理システムにおいて、公用キ
ー、私用キーペア発生器を含む公用キー暗号システムを
管理するための装置であって、 パスフレーズから導出されるシード値を用いて乱数を生
成する生成手段と、 前記乱数を用いて公用キー、私用キーペアを生成する前
記生成手段とを含むことを特徴とする装置。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US07/766,533 US5201000A (en) | 1991-09-27 | 1991-09-27 | Method for generating public and private key pairs without using a passphrase |
| US766533 | 2001-01-19 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH05224604A true JPH05224604A (ja) | 1993-09-03 |
| JP2690004B2 JP2690004B2 (ja) | 1997-12-10 |
Family
ID=25076731
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP4231284A Expired - Fee Related JP2690004B2 (ja) | 1991-09-27 | 1992-08-06 | 公開鍵暗号システムを管理する装置 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US5201000A (ja) |
| EP (1) | EP0534420A3 (ja) |
| JP (1) | JP2690004B2 (ja) |
| CA (1) | CA2075254A1 (ja) |
Cited By (11)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002515613A (ja) * | 1998-05-08 | 2002-05-28 | サーティコム コーポレーション | 秘密鍵の妥当性および確認 |
| JP2002523974A (ja) * | 1998-08-18 | 2002-07-30 | シーメンス アクチエンゲゼルシヤフト | 予め求められた非対称の暗号鍵対に対する秘密通信鍵を形成する方法および装置 |
| JP2005295570A (ja) * | 2004-04-02 | 2005-10-20 | Microsoft Corp | プライベートデータを露出せずに通信ネットワークを介してパスワードで保護されたプライベートデータを回復する方法およびシステム |
| JP2006513641A (ja) * | 2003-01-07 | 2006-04-20 | クゥアルコム・インコーポレイテッド | 暗号鍵を入れ替えるためのシステム、装置及び方法 |
| JP2007104731A (ja) * | 2001-11-16 | 2007-04-19 | Yazaki Corp | 暗号キー管理装置 |
| JP2007104732A (ja) * | 2001-11-16 | 2007-04-19 | Yazaki Corp | 復号化装置 |
| JP2010506310A (ja) * | 2006-10-04 | 2010-02-25 | マイクロソフト コーポレーション | 文字位置ベースのパスワードの回復 |
| JP2010093860A (ja) * | 1997-10-14 | 2010-04-22 | Certicom Corp | 鍵認証方式 |
| JP2013029618A (ja) * | 2011-07-27 | 2013-02-07 | Canon Inc | 情報処理装置、情報処理方法、及びプログラム |
| US8594324B2 (en) | 1998-10-14 | 2013-11-26 | Certicom Corp. | Key validation scheme |
| US8953787B2 (en) | 1996-05-17 | 2015-02-10 | Certicom Corp. | Strengthened public key protocol |
Families Citing this family (146)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5418854A (en) * | 1992-04-28 | 1995-05-23 | Digital Equipment Corporation | Method and apparatus for protecting the confidentiality of passwords in a distributed data processing system |
| US5491752A (en) * | 1993-03-18 | 1996-02-13 | Digital Equipment Corporation, Patent Law Group | System for increasing the difficulty of password guessing attacks in a distributed authentication scheme employing authentication tokens |
| WO1995009410A1 (fr) * | 1993-09-29 | 1995-04-06 | Pumpkin House Incorporated | Dispositif et procede de chiffrement/dechiffrement et systeme de communication a chiffrement/dechiffrement |
| JP2723365B2 (ja) * | 1993-11-08 | 1998-03-09 | ヒューズ・エアクラフト・カンパニー | キーイングおよび認定材料のための保護された分配プロトコル |
| US5541997A (en) * | 1994-01-31 | 1996-07-30 | Motorola, Inc. | Method and apparatus for detecting correctly decrypted communications |
| JPH07271865A (ja) | 1994-04-01 | 1995-10-20 | Mitsubishi Corp | データベース著作権管理方法 |
| US6088797A (en) * | 1994-04-28 | 2000-07-11 | Rosen; Sholom S. | Tamper-proof electronic processing device |
| US6185546B1 (en) | 1995-10-04 | 2001-02-06 | Intel Corporation | Apparatus and method for providing secured communications |
| US5588060A (en) * | 1994-06-10 | 1996-12-24 | Sun Microsystems, Inc. | Method and apparatus for a key-management scheme for internet protocols |
| US7302415B1 (en) * | 1994-09-30 | 2007-11-27 | Intarsia Llc | Data copyright management system |
| DE69532434T2 (de) | 1994-10-27 | 2004-11-11 | Mitsubishi Corp. | Gerät für Dateiurheberrechte-Verwaltungssystem |
| US6424715B1 (en) * | 1994-10-27 | 2002-07-23 | Mitsubishi Corporation | Digital content management system and apparatus |
| US5606613A (en) * | 1994-12-22 | 1997-02-25 | Pitney Bowes Inc. | Method for identifying a metering accounting vault to digital printer |
| US8595502B2 (en) | 1995-09-29 | 2013-11-26 | Intarsia Software Llc | Data management system |
| US5933503A (en) * | 1996-03-15 | 1999-08-03 | Novell, Inc | Controlled modular cryptography apparatus and method |
| JP2842389B2 (ja) * | 1996-07-11 | 1999-01-06 | 日本電気株式会社 | 乱数発生装置 |
| WO1998007253A1 (en) * | 1996-08-16 | 1998-02-19 | Bell Communications Research, Inc. | Accelerating public-key cryptography by precomputing randomly generated pairs |
| US6078667A (en) * | 1996-10-10 | 2000-06-20 | Certicom Corp. | Generating unique and unpredictable values |
| US5910956A (en) * | 1996-11-05 | 1999-06-08 | Northrop Gruman Corporation | Random time interval generator |
| US6317832B1 (en) * | 1997-02-21 | 2001-11-13 | Mondex International Limited | Secure multiple application card system and process |
| US6575372B1 (en) | 1997-02-21 | 2003-06-10 | Mondex International Limited | Secure multi-application IC card system having selective loading and deleting capability |
| US6328217B1 (en) | 1997-05-15 | 2001-12-11 | Mondex International Limited | Integrated circuit card with application history list |
| US6164549A (en) | 1997-05-15 | 2000-12-26 | Mondex International Limited | IC card with shell feature |
| US6385723B1 (en) | 1997-05-15 | 2002-05-07 | Mondex International Limited | Key transformation unit for an IC card |
| US6488211B1 (en) | 1997-05-15 | 2002-12-03 | Mondex International Limited | System and method for flexibly loading in IC card |
| US6220510B1 (en) | 1997-05-15 | 2001-04-24 | Mondex International Limited | Multi-application IC card with delegation feature |
| JP3076273B2 (ja) * | 1997-07-07 | 2000-08-14 | 日本電気株式会社 | 鍵回復条件暗号化装置および復号装置 |
| US6212635B1 (en) * | 1997-07-18 | 2001-04-03 | David C. Reardon | Network security system allowing access and modification to a security subsystem after initial installation when a master token is in place |
| US7047415B2 (en) | 1997-09-22 | 2006-05-16 | Dfs Linkages, Inc. | System and method for widely witnessed proof of time |
| US7017046B2 (en) | 1997-09-22 | 2006-03-21 | Proofspace, Inc. | System and method for graphical indicia for the certification of records |
| EP1018239A4 (en) * | 1997-09-22 | 2005-07-13 | Proofspace Inc | METHOD AND SYSTEM FOR DIGITAL HORODATORS WITH TRANSIENT KEYS |
| US6381696B1 (en) | 1998-09-22 | 2002-04-30 | Proofspace, Inc. | Method and system for transient key digital time stamps |
| FI105253B (fi) * | 1997-11-11 | 2000-06-30 | Sonera Oyj | Siemenluvun generointi |
| US6247127B1 (en) * | 1997-12-19 | 2001-06-12 | Entrust Technologies Ltd. | Method and apparatus for providing off-line secure communications |
| US6055316A (en) * | 1997-12-26 | 2000-04-25 | Sun Microsystems, Inc. | System and method for deriving an appropriate initialization vector for secure communications |
| US6357665B1 (en) | 1998-01-22 | 2002-03-19 | Mondex International Limited | Configuration of IC card |
| US6736325B1 (en) | 1998-01-22 | 2004-05-18 | Mondex International Limited | Codelets |
| US6742120B1 (en) | 1998-02-03 | 2004-05-25 | Mondex International Limited | System and method for controlling access to computer code in an IC card |
| JPH11225138A (ja) * | 1998-02-06 | 1999-08-17 | Matsushita Electric Ind Co Ltd | 暗号処理装置、暗号処理方法及びその方法を記録した記録媒体 |
| US5974144A (en) * | 1998-02-25 | 1999-10-26 | Cipheractive Ltd. | System for encryption of partitioned data blocks utilizing public key methods and random numbers |
| US6041122A (en) * | 1998-02-27 | 2000-03-21 | Intel Corporation | Method and apparatus for hiding crytographic keys utilizing autocorrelation timing encoding and computation |
| US6615350B1 (en) | 1998-03-23 | 2003-09-02 | Novell, Inc. | Module authentication and binding library extensions |
| US6751735B1 (en) | 1998-03-23 | 2004-06-15 | Novell, Inc. | Apparatus for control of cryptography implementations in third party applications |
| US6532451B1 (en) | 1998-03-23 | 2003-03-11 | Novell, Inc. | Nested strong loader apparatus and method |
| US6701433B1 (en) | 1998-03-23 | 2004-03-02 | Novell, Inc. | Method and apparatus for escrowing properties used for accessing executable modules |
| US7092523B2 (en) * | 1999-01-11 | 2006-08-15 | Certicom Corp. | Method and apparatus for minimizing differential power attacks on processors |
| GB9902687D0 (en) * | 1999-02-08 | 1999-03-31 | Hewlett Packard Co | Cryptographic protocol |
| DE19935285B4 (de) * | 1999-07-27 | 2012-07-05 | Deutsche Telekom Ag | Verfahren zur Generierung/Regenerierung eines Chiffrierschlüssels für ein Kryptographieverfahren |
| DE19935286A1 (de) * | 1999-07-27 | 2001-02-01 | Deutsche Telekom Ag | Verfahren zur sicheren verteilten Generierung eines Chiffrierschlüssels |
| US6886098B1 (en) * | 1999-08-13 | 2005-04-26 | Microsoft Corporation | Systems and methods for compression of key sets having multiple keys |
| AU6640500A (en) * | 1999-08-13 | 2001-03-19 | Microsoft Corporation | Methods and systems of protecting digital content |
| US7065216B1 (en) | 1999-08-13 | 2006-06-20 | Microsoft Corporation | Methods and systems of protecting digital content |
| JP2001066989A (ja) * | 1999-08-31 | 2001-03-16 | Fuji Xerox Co Ltd | 一方向性関数生成方法，一方向性関数値生成装置，証明装置，認証方法および認証装置 |
| US20080082446A1 (en) * | 1999-10-01 | 2008-04-03 | Hicks Christian B | Remote Authorization for Unlocking Electronic Data System and Method |
| US6834351B1 (en) | 1999-10-29 | 2004-12-21 | Gateway, Inc. | Secure information handling system |
| TW548940B (en) * | 1999-11-29 | 2003-08-21 | Gen Instrument Corp | Generation of a mathematically constrained key using a one-way function |
| FR2807245B1 (fr) * | 2000-03-30 | 2002-05-24 | France Telecom | Procede de protection d'une puce electronique contre la fraude |
| US7222233B1 (en) * | 2000-09-14 | 2007-05-22 | At&T Corp. | Method for secure remote backup |
| US6700076B2 (en) * | 2000-09-28 | 2004-03-02 | Eic Corporation | Multi-layer interconnect module and method of interconnection |
| US9047609B2 (en) * | 2000-11-29 | 2015-06-02 | Noatak Software Llc | Method and system for dynamically incorporating advertising content into multimedia environments |
| US7409061B2 (en) * | 2000-11-29 | 2008-08-05 | Noatak Software Llc | Method and system for secure distribution of subscription-based game software |
| US7120799B2 (en) * | 2000-12-15 | 2006-10-10 | International Business Machines Corporation | Method and apparatus for dual hardware and software cryptography |
| FR2823927A1 (fr) * | 2001-04-18 | 2002-10-25 | Romain Hudelot | Procede d'authentification avec securisation cryptographique asymetrique dynamique |
| US7251326B2 (en) | 2001-06-29 | 2007-07-31 | Harris Corporation | Method and apparatus for data encryption |
| US20030016823A1 (en) * | 2001-07-05 | 2003-01-23 | Shine Chung | Method and apparatus of using irrational numbers in random number generators for cryptography |
| FR2827981A1 (fr) * | 2001-07-27 | 2003-01-31 | Thomson Licensing Sa | Installation et procede de gestion d'achat de contenus numeriques diffuses, terminal, moyens de diffusion, de gestion de transactions et de telechargement pour une telle installation |
| JP2003216037A (ja) * | 2001-11-16 | 2003-07-30 | Yazaki Corp | 暗号キー、暗号化装置、暗号化復号化装置、暗号キー管理装置及び復号化装置 |
| JP4291970B2 (ja) * | 2001-12-20 | 2009-07-08 | 富士通株式会社 | 暗号処理装置 |
| US7136867B1 (en) * | 2002-04-08 | 2006-11-14 | Oracle International Corporation | Metadata format for hierarchical data storage on a raw storage device |
| US7672945B1 (en) | 2002-04-08 | 2010-03-02 | Oracle International Corporation | Mechanism for creating member private data in a global namespace |
| US6988204B2 (en) * | 2002-04-16 | 2006-01-17 | Nokia Corporation | System and method for key distribution and network connectivity |
| US7085933B2 (en) * | 2002-06-11 | 2006-08-01 | Lenvo (Singapore) Pte, Ltd. | Computer system apparatus and method for improved assurance of authentication |
| JP4007873B2 (ja) * | 2002-07-09 | 2007-11-14 | 富士通株式会社 | データ保護プログラムおよびデータ保護方法 |
| US7209561B1 (en) | 2002-07-19 | 2007-04-24 | Cybersource Corporation | System and method for generating encryption seed values |
| US7274792B2 (en) * | 2002-08-09 | 2007-09-25 | Broadcom Corporation | Methods and apparatus for initialization vector processing |
| US20040103325A1 (en) * | 2002-11-27 | 2004-05-27 | Priebatsch Mark Herbert | Authenticated remote PIN unblock |
| US20040109567A1 (en) * | 2002-12-05 | 2004-06-10 | Canon Kabushiki Kaisha | Encryption key generation in embedded devices |
| EP1435558A1 (en) * | 2003-01-02 | 2004-07-07 | Texas Instruments Incorporated | On-device random number generator |
| US7424115B2 (en) * | 2003-01-30 | 2008-09-09 | Nokia Corporation | Generating asymmetric keys in a telecommunications system |
| US7725740B2 (en) * | 2003-05-23 | 2010-05-25 | Nagravision S.A. | Generating a root key for decryption of a transmission key allowing secure communications |
| US20070100602A1 (en) * | 2003-06-17 | 2007-05-03 | Sunhee Kim | Method of generating an exceptional pronunciation dictionary for automatic korean pronunciation generator |
| KR101000918B1 (ko) * | 2003-09-01 | 2010-12-13 | 삼성전자주식회사 | 공개 키/개인 키 쌍을 재사용하는 장치 및 방법 |
| WO2005031545A1 (de) * | 2003-09-30 | 2005-04-07 | Siemens Aktiengesellschaft | Einräumung eines zugriffs auf ein computerbasiertes objekt |
| US7532723B2 (en) * | 2003-11-24 | 2009-05-12 | Interdigital Technology Corporation | Tokens/keys for wireless communications |
| US20070121939A1 (en) * | 2004-01-13 | 2007-05-31 | Interdigital Technology Corporation | Watermarks for wireless communications |
| US20050220322A1 (en) * | 2004-01-13 | 2005-10-06 | Interdigital Technology Corporation | Watermarks/signatures for wireless communications |
| TWI369091B (en) * | 2004-01-13 | 2012-07-21 | Interdigital Tech Corp | Orthogonal frequency division multiplexing (ofdm) method and apparatus for protecting and authenticating wirelessly transmitted digital information |
| AR047882A1 (es) * | 2004-02-18 | 2006-03-01 | Interdigital Tech Corp | Un metodo y un sistema para utilizar marcas de agua en sistemas de comunicacion |
| US7711120B2 (en) * | 2004-07-29 | 2010-05-04 | Infoassure, Inc. | Cryptographic key management |
| US7483943B2 (en) * | 2004-09-21 | 2009-01-27 | Microsoft Corporation | Reliable messaging using clocks with synchronized rates |
| US7536016B2 (en) * | 2004-12-17 | 2009-05-19 | Microsoft Corporation | Encrypted content data structure package and generation thereof |
| US8295484B2 (en) * | 2004-12-21 | 2012-10-23 | Broadcom Corporation | System and method for securing data from a remote input device |
| JP4372061B2 (ja) * | 2005-07-01 | 2009-11-25 | パナソニック株式会社 | 機密情報実装システム及びｌｓｉ |
| US20070143216A1 (en) * | 2005-12-16 | 2007-06-21 | Benaloh Josh D | Data Signal with a Database and a Compressed Key |
| US7499552B2 (en) | 2006-01-11 | 2009-03-03 | International Business Machines Corporation | Cipher method and system for verifying a decryption of an encrypted user data key |
| WO2008054512A2 (en) * | 2006-04-19 | 2008-05-08 | Stepnexus Holdings | Methods and systems for ic card application loading |
| KR100710271B1 (ko) * | 2006-05-10 | 2007-04-20 | 엘지전자 주식회사 | 외부기기와 티브이의 데이터 재생 방법 및 장치 |
| US8243930B2 (en) * | 2007-03-20 | 2012-08-14 | Harris Technology, Llc | Counterfeit prevention system based on random processes and cryptography |
| US8824672B1 (en) * | 2007-04-12 | 2014-09-02 | Iowa State University Research Foundation | Reconfigurable block encryption logic |
| US8060750B2 (en) * | 2007-06-29 | 2011-11-15 | Emc Corporation | Secure seed provisioning |
| US8307210B1 (en) | 2008-05-02 | 2012-11-06 | Emc Corporation | Method and apparatus for secure validation of tokens |
| US9087219B2 (en) * | 2008-06-16 | 2015-07-21 | Infineon Technologies Ag | Circuit with a plurality of modes of operation |
| MY151900A (en) * | 2008-08-08 | 2014-07-14 | Univ Putra Malaysia | Chaotic asymmetric encryption process for data security |
| FR2946207A1 (fr) * | 2009-05-28 | 2010-12-03 | Proton World Internat Nv | Protection d'une generation de nombres premiers pour algorithme rsa |
| WO2011077269A1 (en) * | 2009-12-24 | 2011-06-30 | Nds Limited | Private key compression |
| IL204565A0 (en) * | 2010-03-17 | 2010-11-30 | Nds Ltd | Data expansion using an approximate method |
| US8739260B1 (en) | 2011-02-10 | 2014-05-27 | Secsign Technologies Inc. | Systems and methods for authentication via mobile communication device |
| US8719952B1 (en) * | 2011-03-25 | 2014-05-06 | Secsign Technologies Inc. | Systems and methods using passwords for secure storage of private keys on mobile devices |
| US9092283B2 (en) * | 2012-03-30 | 2015-07-28 | Freescale Semiconductor, Inc. | Systems with multiple port random number generators and methods of their operation |
| US8856198B2 (en) | 2012-03-30 | 2014-10-07 | Freescale Semiconductor, Inc. | Random value production methods and systems |
| KR101301609B1 (ko) * | 2012-05-31 | 2013-08-29 | 서울대학교산학협력단 | 비밀키 생성 장치 및 방법, 그리고 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체 |
| US10075471B2 (en) | 2012-06-07 | 2018-09-11 | Amazon Technologies, Inc. | Data loss prevention techniques |
| US9286491B2 (en) | 2012-06-07 | 2016-03-15 | Amazon Technologies, Inc. | Virtual service provider zones |
| US9590959B2 (en) | 2013-02-12 | 2017-03-07 | Amazon Technologies, Inc. | Data security service |
| US10084818B1 (en) | 2012-06-07 | 2018-09-25 | Amazon Technologies, Inc. | Flexibly configurable data modification services |
| US9281943B1 (en) * | 2012-06-27 | 2016-03-08 | Emc Corporation | Defending against factoring by collision |
| US9547771B2 (en) | 2013-02-12 | 2017-01-17 | Amazon Technologies, Inc. | Policy enforcement with associated data |
| US9608813B1 (en) | 2013-06-13 | 2017-03-28 | Amazon Technologies, Inc. | Key rotation techniques |
| US9705674B2 (en) | 2013-02-12 | 2017-07-11 | Amazon Technologies, Inc. | Federated key management |
| US9367697B1 (en) | 2013-02-12 | 2016-06-14 | Amazon Technologies, Inc. | Data security with a security module |
| US9300464B1 (en) | 2013-02-12 | 2016-03-29 | Amazon Technologies, Inc. | Probabilistic key rotation |
| US10211977B1 (en) | 2013-02-12 | 2019-02-19 | Amazon Technologies, Inc. | Secure management of information using a security module |
| US10467422B1 (en) | 2013-02-12 | 2019-11-05 | Amazon Technologies, Inc. | Automatic key rotation |
| US10210341B2 (en) | 2013-02-12 | 2019-02-19 | Amazon Technologies, Inc. | Delayed data access |
| US9264222B2 (en) | 2013-02-28 | 2016-02-16 | Apple Inc. | Precomputing internal AES states in counter mode to protect keys used in AES computations |
| US9444694B1 (en) * | 2013-03-01 | 2016-09-13 | Tibco Software Inc. | Virtual clusters to provide fault containment |
| US9369276B2 (en) | 2013-03-14 | 2016-06-14 | Signority Inc. | Digital signature authentication without a certification authority |
| US9641328B1 (en) * | 2014-03-10 | 2017-05-02 | Ionu Security, Inc. | Generation of public-private key pairs |
| US10432398B1 (en) | 2014-04-29 | 2019-10-01 | Robert G. Batchko | Prime number prediction |
| US9397835B1 (en) | 2014-05-21 | 2016-07-19 | Amazon Technologies, Inc. | Web of trust management in a distributed system |
| US9438421B1 (en) | 2014-06-27 | 2016-09-06 | Amazon Technologies, Inc. | Supporting a fixed transaction rate with a variably-backed logical cryptographic key |
| US9866392B1 (en) | 2014-09-15 | 2018-01-09 | Amazon Technologies, Inc. | Distributed system web of trust provisioning |
| US10235399B2 (en) | 2014-11-05 | 2019-03-19 | Hewlett Packard Enterprise Development Lp | Methods and systems for determining hardware sizing for storage array systems |
| US10469477B2 (en) | 2015-03-31 | 2019-11-05 | Amazon Technologies, Inc. | Key export techniques |
| JP2018128783A (ja) * | 2017-02-07 | 2018-08-16 | ルネサスエレクトロニクス株式会社 | 乱数生成装置及び乱数生成方法 |
| US10985915B2 (en) | 2017-04-12 | 2021-04-20 | Blackberry Limited | Encrypting data in a pre-associated state |
| US11552795B2 (en) | 2018-01-22 | 2023-01-10 | Microsoft Technology Licensing, Llc | Key recovery |
| US10911215B2 (en) * | 2018-02-12 | 2021-02-02 | Gideon Samid | BitMap lattice: a cyber tool comprised of geometric construction |
| US11228583B2 (en) * | 2018-10-01 | 2022-01-18 | Citrix Systems, Inc. | Systems and methods for slogan based sharing of living SaaS objects |
| US11349671B2 (en) | 2019-01-24 | 2022-05-31 | Salesforce.Com, Inc. | Authenticating communication |
| US11509467B2 (en) | 2020-02-25 | 2022-11-22 | Microsoft Technology Licensing, Llc | Story assisted mnemonic phrase |
| US11329816B2 (en) | 2020-06-01 | 2022-05-10 | Hewlett Packard Enterprise Development Lp | Encryption keys for removable storage media |
| US11537740B2 (en) | 2021-01-04 | 2022-12-27 | Bank Of America Corporation | System for enhanced data security using versioned encryption |
| EP4327502A1 (en) * | 2021-04-23 | 2024-02-28 | Telefonaktiebolaget LM Ericsson (publ) | Systems and methods of physically unclonable function (puf)-based key derivation function |
| GR1010217B (el) * | 2021-07-21 | 2022-03-29 | Παναγιωτης Εμμανουηλ Ανδρεαδακης | Ειδικη συσκευη διαχειρισης κρυπτογραφικων κλειδιων μεσω συγχρονισμου |
| US20240056651A1 (en) * | 2022-08-09 | 2024-02-15 | Dish Network, L.L.C. | Digital rights management using a gateway/set top box without a smart card |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS63146631A (ja) * | 1986-12-10 | 1988-06-18 | Nec Corp | キ−生成装置 |
| JPH02300784A (ja) * | 1989-04-27 | 1990-12-12 | Internatl Business Mach Corp <Ibm> | 暗号キー検証方法及び装置 |
Family Cites Families (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US4196310A (en) * | 1976-04-09 | 1980-04-01 | Digital Data, Inc. | Secure SCA broadcasting system including subscriber actuated portable receiving terminals |
| US4200770A (en) * | 1977-09-06 | 1980-04-29 | Stanford University | Cryptographic apparatus and method |
| US4218582A (en) * | 1977-10-06 | 1980-08-19 | The Board Of Trustees Of The Leland Stanford Junior University | Public key cryptographic apparatus and method |
| US4405829A (en) * | 1977-12-14 | 1983-09-20 | Massachusetts Institute Of Technology | Cryptographic communications system and method |
| US4736423A (en) * | 1985-04-30 | 1988-04-05 | International Business Machines Corporation | Technique for reducing RSA Crypto variable storage |
| US4850017A (en) * | 1987-05-29 | 1989-07-18 | International Business Machines Corp. | Controlled use of cryptographic keys via generating station established control values |
| US4908861A (en) * | 1987-08-28 | 1990-03-13 | International Business Machines Corporation | Data authentication using modification detection codes based on a public one way encryption function |
| US4992783A (en) * | 1988-04-04 | 1991-02-12 | Motorola, Inc. | Method and apparatus for controlling access to a communication system |
| US4941176A (en) * | 1988-08-11 | 1990-07-10 | International Business Machines Corporation | Secure management of keys using control vectors |
| US4924514A (en) * | 1988-08-26 | 1990-05-08 | International Business Machines Corporation | Personal identification number processing using control vectors |
| US4924515A (en) * | 1988-08-29 | 1990-05-08 | International Business Machines Coprporation | Secure management of keys using extended control vectors |
| US4918728A (en) * | 1989-08-30 | 1990-04-17 | International Business Machines Corporation | Data cryptography operations using control vectors |
| US5073934A (en) * | 1990-10-24 | 1991-12-17 | International Business Machines Corporation | Method and apparatus for controlling the use of a public key, based on the level of import integrity for the key |
| US5142578A (en) * | 1991-08-22 | 1992-08-25 | International Business Machines Corporation | Hybrid public key algorithm/data encryption algorithm key distribution method based on control vectors |
| US5164988A (en) * | 1991-10-31 | 1992-11-17 | International Business Machines Corporation | Method to establish and enforce a network cryptographic security policy in a public key cryptosystem |
-
1991
- 1991-09-27 US US07/766,533 patent/US5201000A/en not_active Expired - Lifetime
-
1992
- 1992-08-05 CA CA002075254A patent/CA2075254A1/en not_active Abandoned
- 1992-08-06 JP JP4231284A patent/JP2690004B2/ja not_active Expired - Fee Related
- 1992-09-11 EP EP19920116309 patent/EP0534420A3/en not_active Ceased
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPS63146631A (ja) * | 1986-12-10 | 1988-06-18 | Nec Corp | キ−生成装置 |
| JPH02300784A (ja) * | 1989-04-27 | 1990-12-12 | Internatl Business Mach Corp <Ibm> | 暗号キー検証方法及び装置 |
Cited By (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8983064B2 (en) | 1996-05-17 | 2015-03-17 | Certicom Corp. | Strengthened public key protocol |
| US8953787B2 (en) | 1996-05-17 | 2015-02-10 | Certicom Corp. | Strengthened public key protocol |
| JP2010093860A (ja) * | 1997-10-14 | 2010-04-22 | Certicom Corp | 鍵認証方式 |
| JP2013042555A (ja) * | 1997-10-14 | 2013-02-28 | Certicom Corp | 鍵認証方式 |
| JP4731686B2 (ja) * | 1998-05-08 | 2011-07-27 | サーティコム コーポレーション | 秘密鍵の妥当性および確認 |
| JP2002515613A (ja) * | 1998-05-08 | 2002-05-28 | サーティコム コーポレーション | 秘密鍵の妥当性および確認 |
| JP2002523974A (ja) * | 1998-08-18 | 2002-07-30 | シーメンス アクチエンゲゼルシヤフト | 予め求められた非対称の暗号鍵対に対する秘密通信鍵を形成する方法および装置 |
| US8594324B2 (en) | 1998-10-14 | 2013-11-26 | Certicom Corp. | Key validation scheme |
| JP2007104732A (ja) * | 2001-11-16 | 2007-04-19 | Yazaki Corp | 復号化装置 |
| JP2007104731A (ja) * | 2001-11-16 | 2007-04-19 | Yazaki Corp | 暗号キー管理装置 |
| JP4800624B2 (ja) * | 2003-01-07 | 2011-10-26 | クゥアルコム・インコーポレイテッド | 暗号鍵を入れ替えるためのシステム、装置及び方法 |
| US8259947B2 (en) | 2003-01-07 | 2012-09-04 | Qualcomm Incorporated | Recreating a cryptographic key in a replacement device |
| JP2006513641A (ja) * | 2003-01-07 | 2006-04-20 | クゥアルコム・インコーポレイテッド | 暗号鍵を入れ替えるためのシステム、装置及び方法 |
| JP2005295570A (ja) * | 2004-04-02 | 2005-10-20 | Microsoft Corp | プライベートデータを露出せずに通信ネットワークを介してパスワードで保護されたプライベートデータを回復する方法およびシステム |
| JP2010506310A (ja) * | 2006-10-04 | 2010-02-25 | マイクロソフト コーポレーション | 文字位置ベースのパスワードの回復 |
| JP2013029618A (ja) * | 2011-07-27 | 2013-02-07 | Canon Inc | 情報処理装置、情報処理方法、及びプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| US5201000A (en) | 1993-04-06 |
| JP2690004B2 (ja) | 1997-12-10 |
| EP0534420A2 (en) | 1993-03-31 |
| EP0534420A3 (en) | 1994-06-08 |
| CA2075254A1 (en) | 1993-03-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP2690004B2 (ja) | 公開鍵暗号システムを管理する装置 | |
| Denning | Cryptography and data security | |
| Hellman | An overview of public key cryptography | |
| Stallings | Cryptography and network security, 4/E | |
| Diffie et al. | Privacy and authentication: An introduction to cryptography | |
| Coppersmith et al. | A proposed mode for triple-DES encryption | |
| Bishop | Introduction to Cryptography with java Applets | |
| US5073934A (en) | Method and apparatus for controlling the use of a public key, based on the level of import integrity for the key | |
| Bellare et al. | Big-key symmetric encryption: Resisting key exfiltration | |
| CN110235409A (zh) | 使用同态加密被保护的rsa签名或解密的方法 | |
| US11349668B2 (en) | Encryption device and decryption device | |
| US11336425B1 (en) | Cryptographic machines characterized by a Finite Lab-Transform (FLT) | |
| US20080165954A1 (en) | System for encrypting and decrypting data using derivative equations and factors | |
| Haunts | Applied Cryptography in .NET and Azure Key Vault | |
| Bowne | Hands-On Cryptography with Python: Leverage the power of Python to encrypt and decrypt data | |
| EP3475825B1 (en) | Cryptographic operations employing non-linear share encoding for protecting from external monitoring attacks | |
| Buell | Fundamentals of cryptography: introducing mathematical and algorithmic foundations | |
| Gjøsteen | Security notions for disk encryption | |
| Song | Optimization and guess-then-solve attacks in cryptanalysis | |
| Popoola | Data Integrity Using Caesar Cipher and Residue Number System | |
| Rubinstein-Salzedo et al. | The RSA cryptosystem | |
| Kaptchuk | New Applications of Public Ledgers | |
| Van Der Merwe et al. | Security in banking | |
| Dougherty et al. | Cryptology | |
| Hellwig et al. | Blockchain Cryptography: Part 1 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20070829 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080829 Year of fee payment: 11 |
|
| LAPS | Cancellation because of no payment of annual fees |