JPH0648810B2 - 暗号化キー使用制御方法 - Google Patents

Description

【発明の詳細な説明】 以下のとおり本発明を説明する。

Ａ．産業上の利用分野 Ｂ．従来技術 Ｃ．発明が解決しようとする問題点 Ｄ．問題点を解決するための手段 Ｅ．実施例 Ｅ１．はじめに（第１図〜第３図） Ｅ２．定義（第４図〜第９図） Ｅ３．実施例の詳細な説明 第１の生成ステーション（第１０図〜第１２図） 第２の生成ステーション（第１３図〜第１７図） 第１の利用ステーション（第１８図） 第２の利用ステーション（第１９図） 第３の生成ステーション（第２０図） 第４の生成ステーション（第２１図） 第３の利用ステーション（第２４図） 第４の利用ステーション（第２５図） 管理ベクトルの一例（第２６図） Ａ．産業上の利用分野 本発明は概してメッセージ伝送システムに関し、さらに
具体的には、生成ステーションから１つまたは複数の利
用ステーションに暗号化キーを安全に生成、伝送するた
めのシステムに関するものであり、各利用ステーション
での暗号化キーの使用は、生成ステーションによって設
定された管理値を用いて管理される。本発明のプロトコ
ルのもとでは、生成ステーションは利用ステーションで
あってもよい。

Ｂ．従来技術 暗号は、電話回線であれ、マイクロ波であれ、あるいは
衛星通信であれ、大きな通信ネットワークを介して伝送
される情報を保護するための既知の唯一の実用的手段で
ある。どのようにすれば暗号を使って通信の安全保護を
行なうことができるかに関する詳細な考察は、カール
Ｈ．メイヤー(Carl H. Meyer)およびステファンＭ．マ
チアス(Stephen M. Matyas)の著書Cryptography：A New
Dimension in Computer Data Security（John Wiley &
Sons、1982年）に記載されている。暗号はファイルの安
全保護を行なうのにも使用でき、着脱可能な媒体に記憶
されたデータの暗号化のためのプロトコルが、上記のメ
イヤーとマチアスの著書で展開されている。この著書で
考察されている他の主題は、個人確認、メッセージ確
認、およびディジタル署名を含む、高機能の確認プロト
コルである。これらの主題は、金融業界における電子為
替およびクレジット・カード業務や、メッセージの発信
者、タイミング、内容、および所期の受信者を確認しな
ければならない他の分野に関係する人々にとって特に関
心があるところである。

従来技術では、幾つかの参考文献に、暗号で通信するノ
ード間に暗号化キーを配分するためのプロトコルが示さ
れている。さらに、セッション・キーの確立とは独立し
た手順としての確認が論じられている。これらの文献と
しては、“Cryptogra Phic Communcation Security for
Multiple Domain Networks”と題する米国特許第４２
２７２５３号、および“Method for Authenticating th
e Identity of a User of Information System”と題す
る米国特許第４２１８７３８号がある。米国特許第４２
１８７３８号は、パターンを端末に送り、端末がそのパ
ターンを修正して、比較照合できるようにその修正パタ
ーンをホストに送り返すことを要求するノードに関する
ものである。

米国特許第４２２７２５３号は、セッション・キーの確
立および定義域間キーの概念をもたらす通信安全保護シ
ステムについて記載している。米国特許第４２２７２５
３号は、一方ではノード間でセッション・キーを交換
し、他方ではノード・マスタ・キーの秘密を保護するた
めに使用される機構、すなわち、定義域用キーの使用を
特徴としている。さらに具体的に言うと、この特許はホ
スト・コンピュータ内の暗号機構について記載し、この
暗号機構はとりわけマスタ・キーＫＭ０を有し、マスタ
・キーの第１および第２の変形はＫＭ１およびＫＭ２で
表わされ、暗号化アプリケーションおよびキー管理をサ
ポートする暗号化動作はＥＣＰＨ、ＤＣＰＨ、ＲＦＭＫ
およびＲＴＭＫで表わされている。マスタ・キーの変形
は、マスタ・キーの指定ビットを反転して異なるキーを
生成することによって得られ、これはマスタ・キーで所
定のマスク値を排他的ＯＲ演算してマスタ・キーの変形
を生成することとまったく等価である。簡略記憶コード
ＥＣＰＨ、ＤＣＰＨ、ＲＦＭＫおよびＲＴＭＫはデータ
暗号化、データ解読、マスタ・キーからの再暗号化、お
よびマスタ・キーへの再暗号化のための暗号化動作を表
わす。これらの暗号化動作の正確な定義はこの開示にと
っては重要でない。しかし、この方法は、ＫＭＯのもと
で暗号化されたキーはＥＣＰＨおよびＤＣＰＨ機能と共
に有利に使用することができ、ＫＭ１のもとで暗号化さ
れたキーはＲＦＭＫ機能と共に使用することができ、Ｋ
Ｍ２のもとで暗号化されたキーはＲＴＭＫ機構と共に使
用することができるが、その逆はできないというもので
ある。Ｖ０、Ｖ１およびＶ２が、ＫＭと排他的ＯＲ演算
されたとき、それぞれＫＭＯ、ＫＭ１、ＫＭ１およびＫ
Ｍ２を生成するマスク値を表わす場合、どの暗号化キー
をこれらの暗号化機能のマスク値のどれが有利に使用で
きるかが、マスク値によって明示的に制御される。米国
特許第４２２７２５３号は、変形を暗号化動作に結合す
ることにより、変形を使って暗号化キーの使用を管理す
るが、暗号化動作と、各暗号化動作で許容されるキー・
パラメータの規定された変形との間には１対１の等価関
係がある。この特許のアーキテクチャでは、キーの変形
の異なる組合せを各々の暗号機能と共に使用することが
できない。すなわち、たとえば、ＥＣＰＨおよびＤＣＰ
Ｈがサポートされ、変形Ｖ１、Ｖ２およびＶ３を使って
暗号化のみ、解読のみ、および暗号化／解読の特性をも
つデータ・キーを実現したい場合に、これらの変形をＥ
ＣＰＨおよびＤＣＰＨ動作に割り当てて所望のデータ・
キー特性を実現する方法がない。すなわち、これらの動
作が目的を達成するのに十分なように変形が定義されて
いない。実際には、そのようなシステムを設計するに
は、Ｖ１と動作するＥＣＰＨ１、Ｖ３と動作するＥＣＰ
Ｈ２、Ｖ２と動作するＤＣＰＨ１、およびＶ４と動作す
るＤＣＰＨ２が必要である。したがって、精巧なアーキ
テクチャでこれらの変形を使って暗号化キーの使用を制
御するには、機能セットを拡張する必要があるが、この
機能セットの拡張は欠点を有し、その最も重大なものは
システムの複雑さおよびコストの増大である。

“Cryptographic Key Notarization Methods and Appar
atus”と題する米国特許第４３８６２３３号は、それぞ
れ暗号化機構および所期の解読機構に関連する識別子表
示から導かれる認証暗号化キーと、暗号機能の許可され
たユーザだけがアクセスできる交換キーとを使って、暗
号機能でキーを暗号化することにより、暗号機能のため
に暗号化キーを認証する手法について記載している。言
い換えると、この特許は、誰がキーを使用できるかを管
理するが、キーをどのように使用できるかについては管
理しない。この特許の認証キーは、暗号化機構の識別子
表示の２進等価値と解読機構の識別子表示の２進等価値
とを配列された対として連結し、連結された結果を排他
的ＯＲ演算で交換キーと論理的に組み合わせることによ
って得られる。

“Two-Tiered Communication Security Employing Asym
metric Session Keys”と題する米国特許第４５０３２
８７号は、２層式暗号通信安全保護装置および手順を用
いてホスト・コンピュータと別の遠隔コンピュータまた
は端末との間の通信の安全保護を保証するための手法に
ついて記載している。この特許の手法は２つのセッショ
ン・キー、すなわち、マスタ・キーのもとで暗号化さ
れ、遠隔施設からホストに伝送されてそこに記憶される
キーと、ホストで生成され、マスタ・キーのもとで暗号
化されて、遠隔施設に伝送され、そこでセッション解読
キーとして使用されるキーを使用する。

このように、従来技術は、暗号通信ノード間に暗号化キ
ーを分配するための種々のプロトコルを提供し、特定の
ノードで誰が暗号化キーを使用することができるかを管
理する方法さえ提供するものの、とくに、複雑なシステ
ムで、ノードでの暗号化キーの使用をどのように管理す
るかという問題に対する実質的かつ効果的な解決策はな
かった。様々な種類のキーを特定のシステム・ノードに
分配しなければならないことがよくある。

Ｃ．発明が解決しようとする問題点 したがって、本発明の目的は、受信ノードにおける暗号
化キー管理動作が送信ノードによって管理されるよう
な、キーの電子伝送のための手法を提供することであ
る。

本発明の他の目的は、受信側の利用ステーションでのキ
ーの悪用の可能性を減少させる手法を提供することであ
る。

本発明の別の目的は、通信ネットワーク内の生成ステー
ションが、分配された暗号化キーをどの利用ステーショ
ンが使用できるかを管理しながら、同時に、ネットワー
ク内の利用ステーションで暗号化キーをどのように使用
できるかを管理するようにした暗号化手法を提供するこ
とである。

Ｄ．問題点を解決するための手段 本発明による暗号化手法は、それぞれネットワーク暗号
化関数をサポートして暗号化動作を実行する暗号機構を
有する、複数のステーションからなる通信ネットワーク
で実現される。そのようなネットワークは、たとえば、
電子為替（ＥＦＴ）やＰＯＳネットワークでよいが、い
ずれにしても、少なくとも１台の生成ステーションと少
なくとも２台の利用ステーションとを備えている。ネッ
トワーク内の各ステーションにおける暗号機構は、キー
生成機能（ＫＧＦ）とキー使用機能（ＫＵＦ）とを有す
る。ＫＧＦで生成される各キーは、キーをどのように使
用できるかを規定する関連の管理値Ｃを有し、ＫＵＦ
は、要求されたキー使用が管理値Ｃに合致することを確
かめるためのキー許可機能を提供する。

この手法を実現するため、通信ネットワーク内の生成ス
テーションが暗号化キーの使用を管理するのに、次の２
つの方法を使用することができる。第１の方法では、各
キーおよび管理値が使用前に特別な確認コードを用いて
確認される。第２の方法では、正しい管理値が指定され
た場合にのみキーが回復されるように、キー生成中にキ
ーと管理値が結合される。

暗号化キーの使用を管理することに加え、生成ステーシ
ョンは、生成され分配された暗号化キーをどの生成ステ
ーションが使用できるかを管理する。さらに誰が暗号化
キーを使用できるかを管理するため、２つの方法が使用
される。第１の方法では、各利用ステーションは、生成
ステーションと共有される独自の秘密トランスポート・
キーを有し、生成ステーションはこのキーを使って、生
成されたデータ・キーを利用ステーションに分配する。
これらのキーは、指定された正しい秘密トランスポート
・キーを所有する指定された利用ステーションによって
のみ回復または再生できるように、生成ステーションに
よって生成される。第２の方法では、各利用ステーショ
ンは、それ自体に関連する一義的な秘密でない値を有
し、利用ステーションの各対は共通の秘密トランスポー
ト・キーを互いに共有し、また生成ステーションとも共
有する。キーは、指定された正しい秘密トランスポート
・キーを所有する指定された利用ステーションによって
のみ回復または再生されるように、生成ステーションに
よって生成される。しかし、トランスポート・キーは２
台の利用ステーションに共有されるので、各利用ステー
ションに関連する上記の公開値を使用することにより、
暗号化分離がさらに実現される。したがって、キーの生
成および回復手順は、各利用ステーションに分配された
キーが、指定された正しい公開値を使用する適当な利用
ステーションによってのみ回復または再生できるように
なっている。実際には、トランスポート・キーは、利用
ステーションｉおよびｊのために作成されたキーが、他
のいずれかの利用ステーションｋで回復または再生でき
ないことを保証し、一方、公開値は、利用ステーション
ｉのために作成されたキーが利用ステーションｊで回復
または再生できないこと（またはその逆）を保証する。

要約すると、特定の４つの場合について説明する。第１
の場合には、キー確認が使用され、異なる秘密トランス
ポート・キーを用いて暗号化分離が行なわれる。第２の
場合には、キー確認が使用され、各利用ステーションと
関連する異なる公開値を用いて、かつ共通の秘密トラン
スポート・キーを用いて暗号化分離が行なわれる。第３
の場合には、キー確認は使用されず、異なる秘密トラン
スポート・キーを用いて暗号化分離が行なわれる。第４
の場合には、キー確認は使用されず、各利用ステーショ
ンに関連する異なる公開値を用いて、かつ共通の秘密ト
ランスポート・キーを用いて暗号化分離が行なわれる。

キーの使用法を指定する管理値は以下の３通りの方法で
完全に実現することができる。

１．確認コードを用いて。キーと管理値は別々に分配さ
れるが、確認コードを用いて結合される。

２．キーを管理値と組み合わせるキー分配機能と秘密ト
ランスポート・キーとを用いて。分離は異なる利用ステ
ーション毎に異なる秘密トランスポート・キーによって
行なわれる。

３．キーを管理値と組み合わせるキー分配機能、受信ス
テーションと関連する一義的な公開値、および秘密トラ
ンスポート・キーを用いて。トランスポート・キーは各
受信利用ステーションで同じである。分離は、異なる各
受信利用ステーション毎に異なる公開値を用いて行なわ
れる。

本発明は、利用ステーションによりキーがどのように使
用されるかを管理する管理値が各キーに付随するという
キー分配法により、さらに安全保護の利点が得られると
いう認識に基づいている。本発明は、キーが生成ステー
ションで生成され、２台以上の利用ステーションに分配
され、そこで暗号化処理のための暗号化動作で使用でき
るように、暗号を使用する安全な方法でキーと管理値を
結合して、この概念を実現する便利で簡単かつ融通性の
ある方法をもたらすための方法を提供する。

本発明の場合、確認されるデータの一部である秘密キー
を使って確認コードが計算される。この点で、本発明は
メッセージ確認キーと確認されるデータとが切り離され
ている従来技術から区別される。メッセージ確認では、
確認キーを共有する一方の側からもう一方の側に送られ
たメッセージを確認するために秘密キーが繰り返して使
用されるが、本発明で使用される秘密キーは、そのキー
自体、管理値、および場合によってはそのキーと関連す
る他の秘密でないデータを確認するためにただ一度だけ
使用される。

上記に引用した米国特許第４２２７２５３号は、動的に
生成された秘密のキーを２台の利用ステーションに分配
するため、異なる２つの定義域間キー（またはトランス
ポート・キー）を用いて暗号化分離を行なう。上述した
ように、米国特許第４２２７２５３号で使用する変形
は、暗号化キーが適用できる有益な使用の暗示的管理を
もたらす。しかし、変形を使用すると、サポートできる
機能の範囲が厳しく制限される。管理値を使って暗号化
キーの使用を管理する本発明による方法は、管理値の各
ビットを異なる暗号化動作と関連づけることができるの
で、変形に関連する問題が回避できる。したがって、３
２通りの暗号化動作がある場合は、３２ビット以下の管
理値で可能なすべての組合せがカバーされるが、変形の
場合はすべての組合せを考慮するのに、理論上２³²通り
の異なる暗号化動作が必要となる。本発明は、変形に基
づいた米国特許第４２２７２５３号の方法に対して、明
らかにスケース・メリットがある。

キーおよびキー変形マスクと秘密トランスポート・キー
を組み合わせる考えは、たとえば、１９８５年４月１１
日出願の“A Method for Establishing User Authentic
ation with Composite Session Keys Among Cryptograp
hically Communicating Nodes”と題するウォルター・
エルンスト・バス(Walter Ernst Bass)等の米国特許出
願第７２２０９１号に記載されている。この出願では、
単一の定義域間キーの変形を使って２台の受信ステーシ
ョン間で単方向性を実現するので、侵入が妨げられる。
単方向性であるため、セッション・キーの確立の一部と
してある点から別の点に送られたある量を元の点に有利
に再生できない場合は、侵入が妨げられる。この場合、
定義域間キーと関連する変形マスクは、本発明で使用さ
れる管理値ではない。すなわち、キーの使用法を指定し
ない。

上記に引用した米国特許第４３８６２３３号に記載され
ているキー分配機能の使用は、分配すべきキーを受信ノ
ードおよび送信ノードのＩＤと、また秘密交換キーと組
み合わせることについて記載している。これは、誰が暗
号化キーを使用できるかを管理するが、暗号化キーをど
のように使用するかは管理しない。本発明で使用される
管理値は、米国特許第４３８６２３３号で使用される送
信ＩＤおよび受信ＩＤの連結に類似しているが、全く異
なる目的のためのものである。

本発明の上記およびその他の目的、実施態様、およびそ
の他の利点が、一層よく理解されるように、次に図面を
参照しながら好ましい実施例について詳細に説明する。

Ｅ．実施例 Ｅ１．はじめに 次に図面、具体的には第１図を参照すると、ステーショ
ン（コンピュータ、制御装置、端末等）がＰＴＴ（郵
便、電話、電信）相互接続ネットワークを介して接続さ
れるようになっているネットワークが示されている。そ
のような各ステーションは、ネットワーク内の他の任意
のステーションと端末間で暗号化を行なえる暗号化／解
読機構を有する。ここで言うネットワークは電子為替
（ＥＦＴ）またはＰＯＳネットワークでよい。

そのような各ステーションは、ネットワーク暗号化関数
をサポートして暗号化動作を実行する暗号機構を有し、
実施された暗号機構を備えたどのステーションも、ネッ
トワーク内の他の任意のステーションと端末間で暗号化
を行なう能力を有する。暗号化キーおよびキー管理機能
をサポートするために必要なメッセージを含めて、その
ような暗号通信をサポートするのに必要なネットワーク
・メッセージの書式およびプロトコルはここでは示さな
い。そのようなメッセージおよびプロトコルは従来技術
で知られている。

次に第２図を参照すると、暗号機構１０が示されてお
り、暗号機構１０は、チップ上に実現されたデータ暗号
化アルゴリズム（ＤＥＡ）１１、ハードウェア乱数発生
機構１２、マイクロプロセッサ１３、バッテリ１４、キ
ーやその他の暗号化変数を記憶するためのバッテリー支
援ランダム・アクセス・メモリ（ＲＡＭ）１５、および
システム・マイクロコードとプログラム・コードを記憶
するためのメモリ１６を含む。キーおよび暗号化変数は
キー入力インターフェース１７を介して暗号機構にロー
ドされ、安全な直接経路１８を介してメモリ１５に送ら
れる。暗号機構は不可侵のプロセッサ・インターフェー
ス１９のみを介して論理的にアクセスすることができ
る。プロセッサ・インターフェース１９は侵入、詐欺に
対して安全であり、処理要求２０およびデータ入力２１
を暗号機構に提示し、変換された出力２２を暗号機構か
ら受け取ることが可能である。

第１図のネットワーク構成の各ステーションにおける暗
号機構は、キー生成機能（ＫＧＦ）およびキー使用機能
（ＫＵＦ）を有する。ＫＧＦによって生成された各キー
には、キーをどのように使用することができるか、たと
えば、暗号化のみ、解読のみ、メッセージ確認コードの
生成、メッセージ確認コードの検査等を規定する管理値
Ｃが付随する。ＫＵＦは、キーの要求された使用法が管
理値Ｃと合致することを確認するためのキー確認機能を
もたらし、本発明の一実施態様では、要求されたキーお
よび管理値が有効であることをキーの使用許可前に確認
するための確認機能としても働く。したがって、ＫＵＦ
は、各利用ステーションでキーがどのように使用される
かを実効化する暗号機構の論理構成要素であり、この点
で、ＫＵＦは、ネットワーク・キーの使用法全体を生成
ステーションが指示するように集合的に強制するもので
ある。

第３図は、生成ステーションと２台の独立した利用ステ
ーションから成る、第１図のネットワーク構成中の３台
のステーションを示す。各ステーションはＫＧＦおよび
ＫＵＦを有するが、指定された生成ステーションのみが
ＫＧＦを働かせ、指定された利用ステーションのみがＫ
ＵＦを働かせる必要がある。したがって、第１図のネッ
トワーク構成中のどのステーションも、利用ステーショ
ンとして働いている他の任意のステーションに対して生
成ステーションとして働くことができ、生成ステーショ
ンは、所期の利用ステーションの１つとして働くことも
できることを理解されたい。さらに、本発明は２台の利
用ステーションのみに限定されるものではなく、生成ス
テーションが数台の利用ステーションに分配するために
キーを数種類の形式で生成する場合を扱うように本発明
を拡張することができることを理解されたい。これらの
組合せおよび変形のすべてを詳細に示してはいないが、
そのような状況はすべて本発明で企図されていることが
説明から明らかなはずである。

第３図を再び参照すると、生成ステーションでそのＫＧ
Ｆを用いて、第１の管理値Ｃを有する第１の形式と、第
１の管理値と同じまたは異なる第２の管理値Ｃを有する
第２の形式で生成されたキーが示されている。生成され
た第１の形式のキーと第１の管理値は第１の利用ステー
ションに伝送され、生成された第２の形式のキーと第２
の管理値は第２の利用ステーションに伝送される。した
がって、第１の利用ステーションにおけるＫＵＦを用い
ると、受け取られた第１の形式のキーが、受け取られた
第１の管理値で規定される方式でのみ使用できるように
なり、第２の利用ステーションにおけるＫＵＦを用いる
と、受け取られた第２の形式のキーが、第１の利用ステ
ーションで受け取る第１の管理値と同じまたは異なる、
受け取られた第２の管理値で規定される方式でのみ使用
できるようになる。

各形式のキー（第１の形式、第２の形式等）は、前に生
成されたキーを回復、再生または再構成するために必要
な情報またはデータを表わす１つまたは複数のパラメー
タ値から成ることができ、このキーの回復または再生手
順は、第３図には具体的に示されていないが、常に受信
利用ステーションにとってのみ使用可能かつ既知である
秘密キーの使用を必要とすることを理解されたい。これ
らの詳細を以下にさらに説明する。さらに、利用ステー
ション独自の公開値およびキー確認コード等、キーの形
式および管理値として定義される値以外の追加の暗号化
値が本発明のもとで定義されることを理解されたい。こ
れらの暗号化量の各々の目的および使用法は、本発明の
特定の変形または実施態様によって決まる。本発明のそ
のような各変形または実施態様について以下にさらに完
全に説明する。

本発明は、２つの異なる方法を使って実施することがで
き、利用ステーションで暗号化キーがどのように使用で
きるかを生成ステーションが管理することができる。第
１０図ないし第１９図に示す第１の方法では、受け取ら
れ回復されたキーが使用される前に、各キーおよび管理
値、さらに恐らくはその他のキー関連データを特別の確
認コードを用いて確認することが必要である。第２０図
ないし第２５図に示す第２の方法では、キー生成手順の
間にキーと管理値が結合され、正しい管理値が最初に指
定された場合のみ利用ステーションでキーが正しく回復
される。実際には、正しくない管理値が指定されると、
無作為の未知のキーＫが回復される。したがって、正し
くない別々の値ＣｉおよびＣｊが利用ステーションｉお
よびｊで指定された場合は、ｉとｊの間に共謀があった
としても、利用ステーションｉおよびｊによって回復さ
れるキーはにせものであり（すなわち、まったく偶然に
しか等しくならない）、したがって、そのような誤って
回復されたキーを有する利用ステーションｉとｊの間の
通信は不可能である。したがって、回復されたキーを使
用する短い確認メッセージを交換することにより、利用
ステーションｉおよびｊは、キーの使用前にキーが正し
く回復されたことを確認することができる。

本発明は、さらに２つの異なる方法を使って実施するこ
とができ、利用ステーション、または分配された暗号化
キーを使用することができるステーションを生成ステー
ションが管理することができる。この２つの方法を使う
と、第１の利用ステーションｉが、別の利用ステーショ
ンｊでの使用のために指定されたキーを使用、または有
利に悪用できないようになる。第１０図、第１１図、第
１２図、第１８図、第２０図、第２２図および第２４図
に示した第１の方法では、異なる秘密トランスポート・
キーを使って別々の利用ステーションでの使用のために
指定されたキーの間での暗号化分離を行なう。各利用ス
テーションは異なる秘密トランスポート・キー（ＫＲ）
を各生成ステーションと共有する。すなわち、生成ステ
ーションａでは、トランスポート・キーＫＲａｉを使っ
て、キーＫを利用ステーションｉに分配し、トランスポ
ート・キーＫＲａｊを使って、キーＫを利用ステーショ
ンｊに分配する。このキー分配手順のもとでは、適切な
トランスポート・キーＫＲａｉが最初に初期設定された
場合にのみ、分配されたキーＫとトランスポート・キー
が暗号式に結合され、キーＫが利用ステーションｉの暗
号化機構内で正しく回復される。同様に、適切なトラン
スポート・キーＫＲａｊが最初に初期設定された場合の
み、キーＫが利用ステーションｊの暗号機構内で正しく
回復される。第１３図、第１４図、第１５図、第１６
図、第１７図、第１９図、第２１図、第２３図および第
２５図に示す第２の方法では、個々の利用ステーション
の暗号機構で初期設定される独自の秘密でない値を各利
用ステーションに割り当て、関連づけ、かつそれぞれの
受信利用ステーションと生成ステーションの間で独自の
秘密トランスポート・キーを共有することによって、異
なる利用ステーションでの使用のために指定されたキー
の間での暗号化分離を行なう。したがって、生成ステー
ションａでは、トランスポート・キーＫＲｉｊを使って
キーＫを利用ステーションｉおよびｊに分配する。各利
用ステーションに関連づけられた秘密でない値、すなわ
ち、公開値をＰＶで表わすと、値ＰＶｉおよびＰＶｊが
キーをそれぞれ利用ステーションｉおよびｊに分配する
ために使用されることになる。このキー分配手順のもと
では、適切なトランスポート・キーＫＲｉｊおよび適切
な公開値ＰＶｉが最初に初期設定された場合のみ、分解
されたキーＫ、公開値ＰＶ、およびトランスポート・キ
ーＫＲが暗号式に結合され、利用ステーションｉの暗号
機構内でキーＫが正しく回復される。同様に、適切なト
ランスポート・キーＫＲｉｊおよび適切な公開値ＰＶｊ
が最初に初期設定された場合のみ、キーＫが利用ステー
ションｊの暗号機構内で正しく回復される。

上記説明から、当業者なら理解できるはずであるが、第
１０図、第１１図、第１２図および第１８図は、キー確
認を使用し、異なるトランスポート・キーを用いて暗号
化分離を行なう場合に関し、第２０図、第２２図および
第２４図は、キー確認を使用し、各利用ステーションと
関連する異なる公開値および共通の秘密トランスポート
・キーを用いて暗号化分離を行なう場合に関し、第１３
図、第１４図、第１５図、第１６図、第１７図および第
１９図は、キー確認を使用せず、異なるトランスポート
・キーを用いて暗号化分離を行なう場合に関し、第２１
図、第２３図および第２５図は、キー確認を使用せず、
各ステーションに関連する異なる公開値を各利用ステー
ションにおける共通の秘密トランスポート・キーととも
に用いて暗号化分離を行なう場合に関する。

Ｅ２．定義 本発明によれば、数種類の異なる暗号関数が定義され
る。これらの関数を関数ｆ１、ｆ２、ｆ３、ｆ４、ｆ
５、ｆ６、ｇ１、ｇ３、ｇ５およびｇ６として表わす。
これらの関数は、キー生成、キー回復およびキー確認の
ために、生成および利用ステーションの暗号機構内で使
用される。各関数の正確な定義を以下に示す。

１．第４図で、関数ｆ１およびｇ１は、以下の特性を備
えた一対の秘密でない暗号関数である。

ａ．ｆ１およびｇ１はそれぞれ２つの入力および１つの
出力を有する。

ｂ．式ｆ１（ｘ、ｙ）＝ｚは、ｆ１を入力ｘおよびｙに
適用するとｚが出力になることを意味する。同様に、式
ｇ１（ｘ、ｙ）＝ｙは、ｇ１を入力ｘおよびｚに適用す
るとｙが出力になることを意味する。

ｃ．ｆ１は、ｆ１（ｘ、ｙ）が入力ｘおよびｙの各々に
依存する関数であり、ｇ１は、ｇ１（ｘ、ｚ）が入力ｘ
およびｚの各々に依存する関数である。

ｄ．ｆ１およびｇ１は、ｆ１（ｘ、ｙ）＝ｚの場合にｇ
１（ｘ、ｚ）＝ｙとなる関数である。実際には、ｆ１お
よびｇ１の最初の入力パラメータが等しく設定されたと
き、ｇ１はｆ１の逆関数になる。大雑把に言うと、ｆ１
およびｇ１の最初の入力パラメータは暗号化キーであ
る。

ｅ．ｆ１（ｘ、ｙ）はｘおよびｙから容易に計算でき
る。同様に、ｇ１（ｘ、ｚ）はｘおよびｚから容易に計
算できる。

ｆ．任意のｆ１（ｘ、ｙ）＝ｚが与えられた場合（ｚお
よびｙは既知であり、ｘは未知である）、ｙおよびｚか
らｘを算出することは計算上不可能である。同様に、任
意のｇ１（ｘ、ｙ）＝ｙが与えられた場合（ｚおよびｙ
は既知であり、ｘは未知である）、ｙおよびｚからｘを
算出することは計算上不可能である。本発明でのｆ１お
よびｇ１の使用に関して、この特性により、たとえ秘密
の分配キーｙが危険にさらされたとしても、固定した秘
密の暗号化キーの秘密が保護される。

ｇ．任意のｆ１（ｘ、ｙ）＝ｚが与えられた場合（ｚは
既知であり、ｘおよびｙは未知である）、ｚからｙを算
出することは計算上不可能である。同様に、任意のｇ１
（ｘ、ｚ）＝ｙが与えられた場合（ｚは既知であり、ｘ
およびｙは未知である）、ｚからｙを算出することは計
算上不可能である。このため、動的に分配された秘密キ
ーｙの秘密が保護される。

ｈ．任意のｆ１（ｘ、ｙ）＝ｚが与えられた場合（ｚは
既知であり、ｘおよびｙは未知である）、ｆ１（ｘ、
ｙ′）＝ｚ′という関係を満たすｙ′およびｚ′（ｚ′
はｚに等しくてもよい）を発見することは計算上不可能
である。同様に、任意のｇ１（ｘ、ｚ）＝ｙが与えられ
た場合（ｚし既知であり、ｘおよびｙは未知である）、
ｆ１（ｘ、ｙ′）＝ｚ′という関係を満たすｙ′および
ｚ′（ｚ′はｚに等しくてもよい）を発見することは計
算上不可能である。このため、利用ステーションの受諾
を受ける動的に分配されたキーｙを侵入者が偽造するこ
とが防止される。

２．第５図で、関数ｆ２は以下の特性を備えた秘密でな
い暗号関数である。

ａ．ｆ２は２つの入力と１つの出力を有する。

ｂ．式ｆ２（ｘ、ｙ）＝ｚは、ｆ２を入力ｘおよびｙに
適用するとｚが出力になることを意味する。

ｃ．ｆ２は、ｆ２（ｘ、ｙ）が入力ｘおよびｙの各々に
依存する関数である。

ｄ．ｆ２（ｘ、ｙ）はｘおよびｙから容易に計算でき
る。

ｅ．任意のｆ２（ｘ、ｙ）＝ｚが与えられた場合（ｙお
よびｚは既知であり、ｘは未知である）、ｙおよびｚか
らｘを算出することは計算上不可能である。このため、
動的に分配された秘密キーｘの秘密が保護される。

ｆ．任意のｆ２（ｘ、ｙ）＝ｚが与えられた場合（ｙお
よびｚは既知であり、ｘは未知である）、ｆ２（ｘ、
ｙ′）＝ｚ′となるようなｙ′≠ｙおよびｚ′（ｚ′は
ｚに等しくてもよい）を発見することは計算上不可能で
ある。このため、利用ステーションの適切な確認と受諾
を受ける管理値Ｃおよび確認コードを侵入者が偽造する
ことが防止される。

３．第６図で、関数ｆ３およびｇ３は、以下の特性を備
えた一対の秘密でない暗号関数である。

ａ．ｆ３およびｇ３はそれぞれ２つの入力と１つの出力
を有する。

ｂ．式ｆ３（ｘ、ｙ）＝ｚは、ｆ３を入力ｘおよびｙに
適用するとｚが出力になることを意味する。同様に、表
記ｇ３（ｘ、ｚ）＝ｋは、ｇ３を入力ｘおよびｚに適用
するｋが出力になることを意味する。ｋの値は、分配さ
れる、動的に生成される秘密キーである。

ｃ．ｆ３は、ｆ３（ｘ、ｙ）が入力ｙに依存するが、入
力ｘには依存してもしなくてもよい関数である。このた
め、関数ｆ１から関数ｆ３が区別される。

ｄ．ｆ１（ｘ、ｙ）＝ｚからｇ１（ｘ、ｚ）＝ｙが暗示
される関数ｆ１およびｇ１とは異なり、関数ｆ３および
ｇ３は、ｆ３（ｘ、ｙ）＝ｚからｇ３（ｘ、ｙ）＝ｙが
暗示されない関数である。この特性はｆ３およびｇ３に
あてはまることも、あてはならないこともある。この場
合に重要な特徴は、ｆ３およびｇ３が関数ｆ１およびｇ
１よりも制限的ではないが、同時に、関数関係ｇ３
（ｘ、ｆ３（ｘ、ｙ）＝ｋが保証されているために秘密
キーｋを動的に発生、分配、回復することができる関数
であるということである。実際には、ｆ３およびｇ３を
用いると、定義により逆機能または両方向機能である暗
号化および解読を使用するのではなく、一方向機能を使
用したキー分配が可能になる。

ｅ．ｆ３（ｘ、ｙ）はｘおよびｙから容易に計算でき
る。同様に、ｇ３（ｘ、ｙ）はｘおよびｚから容易に計
算できる。

ｆ．任意のｆ３（ｘ、ｙ）＝ｚが与えられた場合（ｚお
よびｙは既知であり、ｘは未知がある）、ｙおよびｚか
らｘを算出することは計算上不可能である。同様に、任
意のｇ３（ｘ、ｚ）＝ｋが与えられた場合（ｚおよびｋ
は既知であり、ｘは未知である）、ｋおよびｚからｘを
計算することは計算上不可能である。このため、たとえ
秘密の分配キーｙが危険にさらされたとしても、固定し
た秘密の暗号化キーの秘密が保護される。

ｇ．任意のｇ３（ｘ、ｚ）＝ｋが与えられた場合（ｚは
既知であり、ｘおよびｋは未知である）、ｚからｋを算
出することは計算上不可能である。このため、動的に分
配された秘密キーｋの秘密が保護される。

ｋ．関数ｆ３が、ｙからまたはｙおよび使用可能と想定
される他の秘密でないデータからｋを容易に誘導できる
関数である場合に、任意のｆ３（ｘ、ｙ）＝ｚが与えら
れた場合（ｚは既知であり、ｘおよびｙは未知であ
る）、ｚからｙを算出することは計算上不可能である。
この場合も、このために、動的に分配された秘密キーｋ
の秘密が保護される。

ｉ．任意のｇ３（ｘ、ｚ）＝ｋが与えられた場合（ｚは
既知であり、ｘおよびｋは未知である）、ｇ３（ｘ、
ｚ′）＝ｋ′という関係を満たすｚ′およびｋ′を発見
することは計算上不可能である。このため、利用ステー
ションの受諾を受ける、動的に分配されたキーｋを侵入
者が偽造することが防止される。

ｊ．関数ｆ３が、ｙからまたはｙおよび使用可能と想定
される他の秘密でないデータからｋが容易に誘導できる
関数である場合に、任意のｆ３（ｘ，ｙ）＝ｚが与えら
れた場合（ｚは既知であり、ｘおよびｙは未知であ
る）、ｆ３（ｘ、ｙ′）＝ｚ′という関係を満たすｙ′
およびｚ′（ｚ′はｚと等しくてもよい）を発見するこ
とは計算上不可能である。この場合も、このために、利
用ステーションの受諾を受ける、動的に分配されたキー
ｋを侵入者が偽造することが防止される。

４．第７図で、関数ｆ４は以下の特性を備えた秘密でな
い暗号関数である。

ａ．ｆ４は３つの入力と１つの出力を有する。

ｂ．式（ｗ、ｘ、ｙ）＝ｚは、ｆ４を入力ｗ、ｘおよび
ｙに適用するとｚが出力になることを意味する。

ｃ．ｆ４は、ｆ４（ｗ、ｘ、ｙ）が入力ｗ、ｘおよびｙ
の各々に依存する関数である。

ｄ．ｆ４（ｗ、ｘ、ｙ）はｗ、ｘおよびｙから容易に計
算できる。

ｅ．任意のｆ４（ｗ、ｘ、ｙ）＝ｚが与えられた場合
（ｘ、ｙおよびｚは既知であり、ｗは未知である）、
ｚ、ｙおよびｚからｗを算出することは計算上不可能で
ある。このため、動的に分配された秘密キーｗの秘密が
保護される。

ｆ．任意のｆ４（ｗ、ｘ、ｙ）＝ｚが与えられた場合
（ｘ、ｙおよびｚは既知であり、ｗは未知である）、ｆ
４（ｗ、ｘ′、ｙ′）＝ｚ′を満たすｘ′、ｙ′および
ｚ′（ｘ′またはｙ′、またはｘ′とｙ′の両方はそれ
ぞれｘおよびｙと異なる）を発見することは計算上不可
能である。このため、利用ステーションの適切な確認と
受諾を受ける、管理値Ｃと特定の公開値ＰＶに対する確
認コードとを侵入者が偽造することが防止される。

５．第８図で、関数ｆ５およびｇ５は以下の特性を有す
る一対の秘密でない暗号関数である。

ａ．ｆ５およびｇ５はそれぞれ３つの入力と１つの出力
を有する。

ｂ．式ｆ５（ｗ、ｘ、ｙ）＝ｚは、ｆ５を入力ｗ、ｘお
よびｙに適用するとｚが出力になることを意味する。同
様に、式ｇ５（ｘ、ｙ、ｚ）＝ｙは、ｇ５を入力ｗ、ｘ
およびｚに適用するとｙが出力になることを意味する。

ｃ．ｆ５は、ｆ５（ｗ、ｘ、ｙ）が入力ｗ、ｘおよびｙ
の各々に依存する関数である。ｇ５は、ｇ５（ｗ、ｘ、
ｚ）が入力ｗ、ｘおよびｚの各々に依存する関数であ
る。

ｄ．ｆ５およびｇ５は、ｆ５（ｗ、ｘ、ｙ）＝ｚである
場合にｇ５（ｗ、ｘ、ｚ）＝ｙとなる関数である。実際
には、第１および第２の入力パラメータが等しく設定さ
れたとき、ｇ５はｆ５の逆関数になる。実用上は、関数
ｆ５およびｇ５の入力パラメータｗは固定された秘密の
暗号化キーである。

ｅ．ｆ５（ｗ、ｘ、ｙ）はｗ、ｘおよびｙから容易に計
算できる。同様に、ｇ５（ｗ、ｘ、ｙ）はｗ、ｘおよび
ｚから容易に計算できる。

ｆ．任意のｆ５（ｗ、ｘ、ｙ）＝ｚが与えられた場合
（ｚ、ｘおよびｙは既知であり、ｗは未知である）、
ｚ、ｘおよびｙからｗを算出することは計算上不可能で
ある。同様に、任意のｇ５（ｗ、ｘ、ｚ）＝ｙが与えら
れた場合（ｚ、ｘおよびｙは既知であり、ｗは未知であ
る）、ｚ、ｘおよびｙからｗを算出することは計算上不
可能である。このため、たとえ秘密の分配キーｙが危険
にさらされたとしても、固定された秘密の暗号化キーの
秘密が保護される。

ｇ．任意のｆ５（ｗ、ｘ、ｙ）＝ｚが与えられた場合
（ｚおよびｘは既知であり、ｗおよびｙは未知であ
る）、ｚおよびｘからｙを算出することは計算上不可能
である。同様に、任意のｇ５（ｗ、ｘ、ｚ）＝ｙが与え
られた場合（ｚおよびｘは既知であり、ｗおよびｙは未
知である）、ｚおよびｘからｙを算出することは計算上
不可能である。このため、動的に分配された秘密キーｙ
の秘密が保護される。

ｈ．任意のｆ５（ｗ、ｘ、ｙ）＝ｚが与えられた場合
（ｚおよびｘは既知であり、ｗおよびｙは未知であ
る）、ｆ５（ｗ、ｘ′、ｙ′）＝ｚ′という関係を満た
すｘ′、ｙ′およびｚ′（ｚ′はｚに等しくてもよい
が、ｘ′またはｙ′、またはｘ′とｙ′の両方はそれぞ
れｘおよびｙと異なる）を発見することは計算上不可能
である。同様に、任意のｇ５（ｗ、ｘ、ｚ）＝ｙが与え
られた場合（ｚおよびｘは既知であり、ｗおよびｙは未
知である）、ｇ５（ｗ、ｘ′、ｙ′）＝ｙ′という関係
を満たすｘ′、ｙ′およびｚ′（ｚ′はｚに等しくても
よいが、ｘ′またはｙ′、またはｘ′とｙ′の両方はそ
れぞれｘおよびｙと異なる）を発見することは計算上不
可能である。このため、利用ステーションの受諾を受け
る、動的に分配されたキーｙまたは管理値ｘ、あるいは
その両方を侵入者が偽造することが防止される。

６．第９図で、関数ｆ６およびｇ６は以下の特性を有す
る一対の秘密でない暗号関数である。

ａ．ｆ６およびｇ６はそれぞれ４つの入力と１つの出力
を有する。

ｂ．式ｆ６（ｖ、ｗ、ｘ、ｙ）＝ｚは、ｆ６を入力ｖ、
ｗ、ｘおよびｙに適用するとｚが出力になることを意味
する。同様に、式ｇ６（ｖ、ｗ、ｘ、ｚ）＝ｙは、ｇ６
を入力ｖ、ｗ、ｘおよびｚに適用するとｙが出力になる
ことを意味する。

ｃ．ｆ６は、ｆ６（ｖ、ｗ、ｘ、ｙ）が入力ｖ、ｗ、ｘ
およびｙの各々に依存する関数である。ｇ６は、ｇ６
（ｖ、ｗ、ｘ、ｚ）が入力ｖ、ｗ、ｘおよびｚの各々に
依存する関数である。

ｄ．ｆ６およびｇ６は、ｆ６（ｖ、ｗ、ｘ、ｙ）＝ｚで
ある場合にｇ６（ｖ、ｗ、ｘ、ｚ）＝ｙとなる関数であ
る。実際には、ｆ６およびｇ６の第１、第２および第３
の入力が等しく設定されたとき、ｇ６はｆ６の逆関数に
なる。実用上は、関数ｆ６およびｇ６の入力パラメータ
ｖは固定された秘密の暗号化キーである。

ｅ．ｆ６（ｖ、ｗ、ｘ、ｙ）はｖ、ｗ、ｘおよびｙから
容易に計算できる。同様に、ｇ６（ｖ、ｗ、ｘ、ｚ）は
ｖ、ｗ、ｘおよびｚから容易に計算できる。

ｆ．任意のｆ６（ｖ、ｗ、ｘ、ｙ）＝ｚが与えられた場
合（ｚ、ｗ、ｘおよびｙは既知であり、ｖは未知であ
る）、ｚ、ｗ、ｘおよびｙからｖを算出することは計算
上不可能である。同様に、任意のｇ６（ｖ、ｗ、ｘ、
ｚ）＝ｙが与えられた場合（ｚ、ｗ、ｘおよびｙは既知
であり、ｙは未知である）、ｚ、ｗ、ｘおよびｙからｖ
を算出することは計算上不可能である。このため、たと
え秘密の分配キーｙが危険にされされたとしても、固定
した秘密の暗号化キーの秘密が保護される。

ｇ．任意のｆ６（ｖ、ｗ、ｘ、ｙ）＝ｚが与えられた場
合（ｚ、ｗおよびｘは既知であり、ｖおよびｙは未知で
ある）、ｚ、ｗおよびｘからｙを算出することは計算上
不可能である。同様に、任意のｇ６（ｖ、ｗ、ｘ、ｚ）
＝ｙが与えられた場合（ｚ、ｗおよびｘは既知であり、
ｖおよびｙは未知である）、ｚ、ｗおよびｘからｙを算
出することは計算上不可能である。このため、動的に分
配された秘密キーｙの秘密が保護される。

ｈ．任意のｆ６（ｖ、ｗ、ｘ、ｙ）＝ｚが与えられた場
合（ｚ、ｗおよびｘは既知であり、ｖおよびｙは未知で
ある）、ｆ６（ｖ、ｗ′、ｘ′、ｙ′）＝ｚ′という関
係を満たすｗ′、ｘ′、ｙ′およびｚ′（ｚ′はｚに等
しくしてもよいが、ｗ′またはｘ′またはｙ′、または
それらのある組合せはそれぞれｗ、ｘおよびｙとは異な
る）を発見することは計算上不可能である。同様に、任
意のｇ６（ｖ、ｗ、ｘ、ｚ）＝ｙが与えられた場合
（ｚ、ｗおよびｘは既知であり、ｖおよびｙは未知であ
る）、ｇ６（ｖ、ｗ′、ｘ′、ｚ′）＝ｙ′という関係
を満たすｗ′、ｘ′、ｙ′およびｚ′（ｚ′はｚに等し
くてもよいが、ｗ′またはｘ′またはｙ′、またはそれ
らのある組合せはそれぞれｗ、ｘおよびｙとは異なる）
を発見することは計算上不可能である。このため、関連
する公開値ＰＶを有する特定の利用ステーションに対し
て動的に分配されたキーｙまたは管理値ｘ、あるいはそ
の両方を侵入者が偽造することが防止される。

ｉ．任意のｇ６（ｖ、ｗ、ｘ、ｚ）＝ｙが与えられた場
合（ｗ、ｘおよびｚは既知であり、ｖおよびｙは未知で
ある）、ｇ６（ｖ、ｗ′、ｘ′、ｚ′）＝ｇ６（ｖ、
ｗ″、ｘ″、ｚ″）という関係を満たすｗ′、ｗ″、
ｘ′、ｘ″、ｚ′およびｚ″（ｗ′≠ｗ″であり、ｘ′
およびｘ″はＰＶの２つの異なる適切な値である）を発
見することは計算上不可能である。入力ｖ、ｗ′、ｘ′
およびｚ′または入力ｖ、ｗ″、ｘ″およびｚ″で表現
される関数ｇ６の値は既知である必要がないことに留意
されたい。このため、２人のシステム・ユーザが共謀し
て、たとえユーザ自身がｙ′＝ｙ″の値を知らなくて
も、関連する公開値がｘ′およびｘ″である２台の異な
る利用ステーションで同じ分配秘密キーｙ′＝ｙ″を初
期設定することができる、異なった管理値を有する別の
入力を作成するという、特殊なタイプのインサイダー・
アタックが防止される。この特性が必要なのは、２つの
異なる利用ステーションに分配される第１および第２の
形式のキーを計算するとき、生成ステーションは関数ｆ
６中で同じ値ｖを使用するためである。

上記の関数定義を満足する関数ｆ１ないしｆ６、ｇ１、
ｇ３、ｇ５およびｇ６の実施例を第１１図、第１２図、
第１５図、第１６図、第１７図、第２２図および第２３
図に示す。これらについては、以下でさらに詳細に説明
する。

Ｅ３．実施例の詳細な説明 第１の生成ステーション 次に第１０図を参照すると、生成ステーションの第１の
実施例が示されている。この実施例では、キーＫの第１
および第２の形式が第１の関数ｆ１を用いて生成され、
第１および第２のキー確認コードが第２の関数ｆ２を用
いて生成される。第１０図には、データ・ベース１００
と、コマンド・デコーダ１１５、ランダム・キー発生機
構１２０、キー生成機能１３０、コマンド・ポート１４
０、入力ポート１４５、および出力ポート１５０を含む
暗号機構１１０とが示されている。各利用ステーション
ｉは独自の秘密トランスポート・キーＫＲｉを生成ステ
ーションと共有し、生成ステーションは、このトランス
ポート・キーを使って、データ・キーを暗号化してその
利用ステーションに伝送する。これらのトランスポート
・キーＫＲ１、ＫＲ２、…は、生成ステーションのマス
タ・キーの規定された変形ＫＭ′のもとで暗号化され、
暗号化されたトランスポート・キーのこのリストは利用
ステーションのＩＤを指標として、データ・ベース１０
０に記憶される。

当業者なら理解できるように、生成ステーションは、ま
たキー生成手順を管理し制御する中央処理装置（ＣＰ
Ｕ）を有する。ＣＰＵ（図示せず）は、キー生成の対象
となる利用ステーションのＩＤを確認し、各利用ステー
ションに対するキーと関連する管理値を決定し、データ
・ベース１００内の暗号化されたトランスポート・キー
にアクセスし、キー生成コマンドを適当な管理値および
暗号化キーと共に暗号機構１１０に出す。ＣＰＵ、およ
びこの環境でＣＰＵによって実行される手順は当技術で
は周知であり、ＣＰＵ、およびＣＰＵによって実行され
る動作についてこれ以上の説明は、本発明を理解するた
めに必要ではない。

利用ステーションｉおよびｊに対するデータ・キーＫの
生成に関係するステップを第１０図でたどることができ
る。ＣＰＵはまず、利用ステーションｉおよびｊ、すな
わち、識別子ＩＤｉおよびＩＤｊを有する利用ステーシ
ョンにデータ・キーが分配されること、および利用ステ
ーションｉおよびｊにおける管理値がそれぞれＣｉおよ
びＣｊであることを確認する。識別子ＩＤｉおよびＩＤ
ｊは、データ・ベース１００内の暗号化されたトランス
ポート・キーｅＫＭ′（ＫＲｉ）およびｅＫＭ′（ＫＲ
ｊ）にアクセスするために、線１６０を介して使用さ
れ、これらの暗号化キーは線１６５を介して読み取られ
る。「キー生成」コマンドは線１７０を介して暗号機構
のコマンド・ポート１４０に入力される。暗号化された
トランスポート・キーｅＫＭ′（ＫＲｉ）とｅＫＭ′
（ＫＲｊ）、および管理値ＣｉとＣｊは入力ポート１４
５にデータ入力として提示される。「キー生成」コマン
ドに応答して、コマンド・デコーダ１１５は線１２５上
にキー生成機能１３０を活動化にする、キー生成機能活
動化信号を発生する。キー生成機能１３０は、使用可能
状態になると、入力ポート１４５から入力Ｃｊ、ｅＫ
Ｍ′（ＫＲｊ）、ＣｉおよびｅＫＭ′（ＫＲｉ）を受け
取り、ランダム・キー発生機構１２０からランダム・キ
ーＫを受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉ）は、１３１でマスタ・キー変形ＫＭ′のもと
で解読される。ＫＭ′はマスタ・キーＫＭの動的に生成
された変形であり、ＫＭは、第２図に示すように、暗号
機構１１０のキー／パラメータ記憶装置に記憶され、キ
ー生成機能１３０により使用可能である。解読された出
力ＫＲｉおよびデータ・キーＫは１３３で組合せ関数ｆ
１を用いて処理され、出力ｆ１（ＫＲｉ、Ｋ）を発生す
る。データ・キーＫおよび入力管理値Ｃｉは１３４で組
合せ関数ｆ２を用いて処理され、出力ｆ２（Ｋ、Ｃｉ）
を発生する。値ｅＫＭ′（ＫＲｊ）はマスタ・キー変形
ＫＭ′のもとで、１３２で解読される。解読された出力
ＫＲｊおよびデータ・キーＫは１３５で組合せ関数ｆ１
を用いて処理され、出力ｆ１（ＫＲｊ、Ｋ）を発生す
る。データ・キーＫおよび入力管理値Ｃｊは１３６で組
合せ関数ｆ２を用いて処理され、出力ｆ２（ｋ、Ｃｊ）
を発生する。４つの値ｆ１（ＫＲｉ、Ｋ）、ｆ２（Ｋ、
Ｃｉ）、ｆ１（ＫＲｊ、Ｋ）およびｆ２（Ｋ、Ｃｊ）は
次に出力ポート１５０に出力として提示され、それぞれ
線１５１、１５２、１５３および１５４上に現われる。

当業者なら理解できるように、線１５１上のｆ１（ＫＲ
ｉ、Ｋ）で表わされる直列データおよび線１５２上の直
列データｆ２（Ｋ、Ｃｉ）は、それぞれ当該のシフト・
レジスタにロードされ、出力バッファに並列に読み出さ
れる。出力バッファには、別のレジスタからヘッダおよ
び同期データが並列にロードされる。出力バッファのデ
ータは次に直列に読み出され、通常の方法で通信リンク
を介して利用ステーションｉに送られる。同様にして、
線１５３上のｆ１（ＫＲｊ、Ｋ）で表わされる直列デー
タおよび線１５４上の直列データｆ２（Ｋ、Ｃｊ）がそ
れぞれ当該のシフト・レジスタにロードされ、出力バッ
ファに読み出される。出力バッファには、ヘッダおよび
同期データがロードされる。出力バッファのデータは次
に読み出され、利用ステーションｊに送られる。明らか
に、データをまず利用ステーションｉに伝送し、次に利
用ステーションｊに伝送するように、出力シフト・レジ
スタおよびバッファを多重化することができる。

第１１図は関数ｆ１の実施例の一例を示す。定義によ
り、ｆ１は２つの入力と１つの出力を有する。入力はＫ
およびＫＲである。ｆ１は暗号化機構Ｅを含み、暗号化
機構Ｅにより、入力ＫはＫＲで暗号化され、出力ｅＫＲ
（Ｋ）を発生する。

第１２図は関数ｆ２の実施例の一例を示す。定義によ
り、ｆ２は２つの入力と１つの出力を有する。この事例
では、入力はＫおよびＣである。ｆ２は暗号化機構Ｅを
含み、暗号化機構Ｅにより入力ＣはＫで暗号化される。
ｆ２はまた排他的ＯＲ論理を含み、この排他的ＯＲ論理
は暗号化機構の出力をＣと組み合わせて出力ｅＫ（Ｃ）
＋Ｃを発生する。

第２の生成ステーション 次に第１３図を参照すると、生成ステーションの第２の
実施例が示されている。この実施例では、キーＫの第１
および第２の形式が第３の関数ｆ３を用いて生成され、
第１および第２のキー確認コードが、関数ｆ３と関連す
る第４の関数ｇ３、および第４の関数ｆ４を用いて生成
される。第１３図には、暗号化されたキーのデータ・ベ
ース２００と、公開値のデータ・ベース２０５と、コマ
ンド・デコーダ２１５、乱数発生機構２２０、キー生成
機能２３０、コマンド・ポート２４６、入力ポート２４
５および出力ポート２５０を含む暗号機構２１０とが示
されている。通信可能な利用ステーションの各対ｉおよ
びｊは共通の秘密トランスポート・キーＫＲｉｊを共有
し、ＫＲｉｊはまた生成ステーションとも共有される。
生成ステーションはＫＲｉｊを使って幾つかの暗号変数
を生成し、これらの暗号変数は次に利用ステーションｉ
およびｊに送られる。これらの受け取られた暗号変数
は、利用ステーションｉおよびｊが共通のデータ・キー
Ｋを再生できるようにするのに十分である。組合せ関数
ｆ３およびｇ３を参照するとよく理解できるように、大
雑把に言えば、キー分配は、生成ステーションでＫを暗
号化し、受信利用ステーションで解読を行なってＫを回
復する方法を使用する代わりに、一方向機能を用いて実
現される。これらのトランスポート・キーＫＲ１，２、
ＫＲ１，３、…、ＫＲｎ，ｎ−１は生成ステーションの
マスタ・キーの規定された変形ＫＭ′のもとで暗号化さ
れ、暗号化されたトランスポート・キーは利用ステーシ
ョンのそれぞれのＩＤを指標として、データ・ベース２
００に記憶される。 公開値ＰＶｉも各利用ステーショ
ンｉと関連づけられている。これらの公開値は、個々の
利用ステーションに対して指定されかつ個々の利用ステ
ーションに伝送される暗号変数を暗号的に区別し分離す
るために使用され、キー分配の手順は、発生されて利用
ステーションｉに送られた暗号変数が別の利用ステーシ
ョンｊで有益に使用または悪用できないようになってい
る。これらの公開値ＰＶ１、ＰＶ２、…、ＰＶｎは利用
ステーションのＩＤを指標として、データ・ベース２０
５に記憶される。

生成ステーションはまた、キー生成手順を管理し制御す
る中央処理装置（ＣＰＶ）を有する。ＣＰＵはキー生成
の対象となる利用ステーションのＩＤを確認し、各利用
ステーションに対するキーと関連する管理値を決定し、
データ・ベース内の暗号化されたキーおよび公開値にア
クセスし、キー生成コマンドを適当な管理値、公開値お
よび暗号化キーと共に暗号機構に出す。

利用ステーションｉおよびｊに対するデータ・キーＫの
生成に関係するステップを第１３図でたどることができ
る。ＣＰＵは、まず利用ステーションｉおよびｊ、すな
わち、識別子ＩＤｉおよびＩＤｊを有する利用ステーシ
ョンにデータ・キーが分配されること、利用ステーショ
ンｉおよびｊにおける管理値がそれぞれＣｉおよびＣｊ
であること、利用ステーションｉおよびｊにおける公開
値がそれぞれＰＶｉおよびＰＶｊであることを確認す
る。識別子ＩＤｉおよびＩＤｊは、データ・ベース２０
０内の暗号化されたトランスポート・キーｅＫＭ′（Ｋ
Ｒｉｊ）にアクセスするために線２６０を介して使用さ
れ、この暗号化キーは線２６１を介して読み取られる。
識別子ＩＤｉおよびＩＤｊはまた、データ・ベース２０
５内の公開値ＰＶｉおよびＰＶｊにアクセスするために
線２６２を介して使用され、これらの公開値は線２６３
を介して読み取られる。「キー生成」コマンドは線２７
０を介して暗号機構２１０のコマンド・ポート２４０に
入力される。暗号化されたトランスポート・キーｅＫ
Ｍ′（ＫＲｉｊ）、公開値ＰＶｉとＰＶｊ、および管理
値ＣｉとＣｊは入力ポート２４５にデータ入力として提
示される。「キー生成」コマンドに応答して、コマンド
・デコーダ２１５はキー生成機能２３０を使用可能にす
る線２２５上にキー生成機能活動化信号を発生する。キ
ー生成機能２３０は、使用可能になると入力ポート２４
５から入力ｅＫＭ′（ＫＲｉｊ）、ＰＶｊ、Ｃｊ、ＰＶ
ｉおよびＣｉを受け取り、乱数発生機構２２０から乱数
ＲＮを受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉｊ）は２３１でマスタ・キー変形ＫＭ′のもと
で解読される。ＫＭ′はマスタ・キーＫＭの動的に生成
された変形であり、ＫＭは、第２図に示すように、暗号
機構のキー／パラメータ記憶装置に記憶され、キー生成
機能２３０により使用可能である。暗号化された出力Ｋ
Ｒｉｊおよび乱数ＲＮは２３２で組合せ関数ｆ３を用い
て処理され、出力ｆ３（ＫＲｉｊ、ＲＮ）を発生する。
解読された出力ＫＲｉｊとそのように発生された出力ｆ
３（ＫＲｉｊ、ＲＮ）は２３３で組合せ関数ｇ３を用い
て処理され、出力データ・キーＫを発生する。データ・
キーＫ、入力管理値Ｃｉ、および入力公開値ＰＶｉは２
３４で組合せ関数ｆ４を用いて処理され、出力ｆ４
（Ｋ、Ｃｉ、ＰＶｉ）を発生する。データ・キーＫ、入
力管理値Ｃｊ、および入力公開値ＰＶｊは２３５で組合
せ関数ｆ４を用いて処理され、出力ｆ４（Ｋ、Ｃｊ、Ｐ
Ｖｊ）を発生する。３つの値ｆ３（ＫＲｉｊ、ＲＮ）、
ｆ４（Ｋ、Ｃｉ、ＰＶｉ）およびｆ４（Ｋ、Ｃｊ、ＰＶ
ｊ）は次に出力ポート２５０に出力として提示され、そ
れぞれ出力線２５１、２５２および２５３に現われる。

線２５２上のｆ４（Ｋ、Ｃｉ、ＰＶｉ）で表わされる直
列データおよび線２５１上の直列データｆ３（ＫＲｉ
ｊ、ＲＮ）はそれぞれ当該のシフト・レジスタにロード
され、出力バッファに並列に読み出される。出力バッフ
ァには、別のレジスタからヘッダおよび同期データがロ
ードされる。出力バッファのデータは次に直列に読み出
され、利用ステーションｉに送られる。同様にして、線
２５３上のｆ４（Ｋ、Ｃｊ、ＰＶｊ）で表わされる直列
データおよび線２５１上の直列データｆ３（ＫＲｉｊ、
ＲＮ）がそれぞれ当該のシフト・レジスタにロードさ
れ、出力バッファに並列に読み出される。出力バッファ
には、別のレジスタからヘッダおよび同期データがロー
ドされる。出力バッファのデータは直列に読み出され、
利用ステーションｊに送られる。

第１４図は関数ｆ３およびｇ３の実施例の一例を示す。
定義により、これらの関数はそれぞれ２つの入力と１つ
の出力を有する。ｆ３の場合、入力はＫＲおよびＲＮで
あるが、出力は入力ＲＮの単純な接続である。ｇ３の場
合も、入力はＫＲおよびＲＮである。ｇ３は、暗号化機
構Ｅを含み、暗号化機構Ｅ中でＲＮがＫＲのもとで暗号
化される。ｇ３はまた排他的ＯＲ論理を含み、この排他
的ＯＲ論理は暗号化機構Ｅの出力を入力ＲＮと組み合わ
せて出力ｅＫＲ（ＲＮ）ＲＮを発生し、ｅＫＲ（Ｒ
Ｎ）ＲＮはデータ・キーＫとして定義される。

第１５図は関数ｆ３およびｇ３の実施例のもう１つの例
を示す。この事例では、ｆ３は、暗号化機構Ｅを含み、
暗号化機構ＥによりＲＮはＫＲのもとで暗号化されて出
力ｅＫＲ（ＲＮ）を発生する。ｇ３は、解読機構Ｄを含
み、解読機構ＤによりｅＫＲ（ＲＮ）がＫＲのもとで解
読されて出力としてＲＮを発生し、ＲＮはデータ・キー
Ｋとして定義される。

第１６図は関数ｆ４の実施例の一例を示す。定義によ
り、ｆ４は３つの入力と１つの出力を有する。入力は
Ｋ、ＣおよびＰＶである。ｆ４は第１および第２の暗号
化機構Ｅと排他的ＯＲ論理を含む。第１の暗号化機構は
ＫのもとでＣを暗号化してｅＫ（Ｃ）を発生し、ｅＫ
（Ｃ）は排他的ＯＲ論理中でＰＶと組み合わされてｅＫ
（Ｃ）ＰＶを発生する。排他的ＯＲ論理の出力は第２
の暗号化機構のもとで暗号化されて出力関数ｆ４（Ｋ、
Ｃ、ＰＶ）を発生する。

第１７図は関数ｆ４の実施例のもう１つの例を示す。こ
の例では、３つの暗号化機構と３つの排他的ＯＲ論理が
ある。第１の暗号化機構は、秘密でない固定キーである
ＫＩのもとでＫを暗号化してｅＫＩ（Ｋ）を発生し、ｅ
ＫＩ（Ｋ）はＫと排他的ＯＲ演算されてｅＫＩ（Ｋ）
Ｋを発生する。Ｋ１と呼ばれるこの出力は第２の暗号化
機構でＣを暗号化するために使用され、その出力はＣと
排他的ＯＲ演算されてｅＫ１（Ｃ）Ｃを発生する。Ｋ
２と呼ばれるこの出力が今度は第３の暗号化機構でＰＶ
を暗号化するために使用され、その出力はＰＶと排他的
ＯＲ演算されて出力ｅＫ２（ＰＶ）ＰＶ＝ｆ４（Ｋ、
Ｃ、ＰＶ）を発生する。

次に第１８図を参照すると、第１０図に示す生成ステー
ションの第１の実施例と関連する利用ステーションの第
１の実施例が示されている。この実施例では、受け取ら
れたキーＫは、関数ｆ１に関連する関数ｇ１を用いて回
復され、受け取られたキー確認コードは関数ｆ２を用い
て確認される。第１８図には、データ・ベース３００
と、コマンド・デコーダ３１５、「動作許可」手順３２
０、「動作打切り」手順３２７、検査手順３３０、コマ
ンド・ポート３４０、入力ポート３４５、出力ポート３
５０、および要求された動作を実行するためのマイクロ
コード３８０を含む暗号機構３１０とが示されている。
各利用ステーションｉは独自の秘密トランスポート・キ
ーＫＲｉを生成ステーションと共有し、受信ステーショ
ンは、このキーを使って、生成ステーションから暗号化
されたデータ・キーを受け取る。各生成ステーションと
共有されるトランスポート・キーは、利用ステーション
のマスタ・キーの規定された変形のもとで暗号化され、
これらの暗号化されたトランスポート・キーはデータ・
ベース３００に記憶される。１つの生成ステーション
と、その生成ステーションと共有される１つのキーだけ
がある場合は、データ・ベース３００には１つの暗号化
されたトランスポート・キーだけがあることになる。デ
ータ・ベース３００中の暗号化されたトランスポート・
キーは、識別子を指標として付けられる。この識別子は
「ＫＲのＩＤ」と呼ばれ、リスト内の各キーを一義的に
識別する。したがって、第１８図で、「ＫＲｉのＩＤ」
は、利用ステーションｉが生成ステーションと共有する
特定のＫＲｉを指し、生成ステーションが利用ステーシ
ョンｉと通信するために使用するものと同じＫＲｉであ
る。

利用ステーションは、またキー回復手順およびキー使用
手順を管理し制御する中央処理装置（ＣＰＵ）を有す
る。ＣＰＵ（図示せず）は書式化されたメッセージを生
成ステーションから受け取り、このメッセージは生成ス
テーションのＩＤ、所期の受信ステーションのＩＤｉ、
ＫＲｉのＩＤ、管理値Ｃｉ、第１の値ｆ１（ＫＲｉ、
Ｋ）、および第２の値ｆ２（Ｋ、Ｃｉ）を含む。ＣＰＵ
は、生成ステーションから受け取ったメッセージを解析
し、データ・パラメータを取り出し、データ・ベース内
の暗号化されたトランスポート・キーにアクセスし、要
求された暗号化動作に関連してキーおよびデータ・パラ
メータを暗号機構３１０に提示する。

利用ステーションｉでのデータ・キーＫの使用に関係す
るステップを第１８図でたどることができる。ＣＰＵ
は、まず受け取ったデータ・キーＫが、要求された特定
の暗号化動作で使用されることを確認する。受け取った
「ＫＲｉのＩＤ」の値を使って、線３６０を介してデー
タ・ベース３００内の暗号化されたトランスポート・キ
ーｅＫＭ′（ＫＲｉ）にアクセスし、線３６５を介して
暗号化キーを読み取る。線３７０上の要求された動作は
暗号機構のコマンド・ポート３４０に入力される。デー
タ・ベース３００内でアクセスされた暗号化されたトラ
ンスポート・キーｅＫＭ′（ＫＲｉ）、受け取ったメッ
セージから取り出された管理値Ｃｉと値ｆ１（ＫＲｉ、
Ｋ）と値ｆ２（Ｋ、Ｃｉ）、および要求された暗号化動
作に必要なその他の入力が、入力ポート３４５にデータ
入力として提示される。要求された動作に応答して、コ
マンド・デコーダ３１５は「動作許可」手順３２０を活
動化する。「動作許可」手順３２０は、活動化される
と、入力ｆ２（Ｋ、Ｃｉ）、Ｃｉ、ｆ１（ＫＲｉ、
Ｋ）、およびｅＫＭ′（ＫＲｉ）を入力ポート３４５か
ら受け取る。これらの入力は暗号機構３１０に一時的に
記憶される。「動作許可」手順３２０は、読み取ったば
かりの値Ｃｉを使って、要求された動作でのデータ・キ
ーＫの使用が管理値Ｃｉ中のデータに基づいて許可され
るかどうか判定する。許可される場合は、「動作許可」
手順３２０は、検査手順３３０を活動化する検査手順活
動化信号を線３２５上に発生する。使用が許可されない
場合は、「動作許可」手順３２０は動作打切り手順活動
化信号を線３２６上に発生する。動作打切り手順３２７
は、活動化されると、入力ポート３４５から読み取って
暗号機構３１０に一時的に記憶されていた入力を消去
し、要求された別の動作をコマンド・ポート３４０を介
して活動化する。検査手順３３０は、活動化されると、
暗号機構３１０に一時的に記憶されていた入力ｆ２
（Ｋ、Ｃｉ）、Ｃｉ、ｆ１（ＫＲｉ、Ｋ）、およびｅＫ
Ｍ′（ＫＲｉ）を受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉ）は３３１でマスタ・キー変形ＫＭ′のもとで
解読される。ＫＭ′はマスタ・キーＫＭの動的に生成さ
れた変形であり、ＫＭは、第２図に示すように、暗号機
構３１０のキー／パラメータ記憶装置に記憶され、検査
手順３３０により使用可能である。解読された出力ＫＲ
ｉおよび入力値ｆ１（ＫＲｉ、Ｋ）は３３２で組合せ関
数ｇ１を用いて処理され、出力データ・キーＫを発生す
る。そのように発生されたデータ・キーＫおよび入力管
理値Ｃｉは３３３で組合せ関数ｆ２を用いて処理され、
出力ｆ２（Ｋ、Ｃｉ）を発生する。そのように発生され
た値ｆ２（Ｋ、Ｃｉ）および入力値ｆ２（Ｋ、Ｃｉ）は
３３４で等しいかどうか比較される。等しくない場合
は、動作打切り手順活動化信号が線３２８上に発生され
る。等しい場合は、「要求動作実行マイクロコード」活
動化信号が線３２９上に発生される。動作打切り手順３
２７は、活動化されると、入力ポート３４５から読み取
って暗号機構３１０に一時的に記憶されていた入力を消
去し、要求されたもう別の動作をコマンド・ポート３４
０を介して活動化する。要求動作実行マイクロコード３
８０は、活動化されると、入力ポート３４５を介して線
３８１上で要求された動作に対する入力を受け取り、線
３８２上で３３２における組合せ関数ｇ１からの出力で
あるそのように発生されたデータ・キーＫを受け取る。
次に、これらのキーおよびデータ入力を使って、要求さ
れた動作が３８０で実行される。要求された動作３８０
の出力が次に出力ポート３５０に提示され、線３８３上
に現われる。

次に第１９図を参照すると、第１３図に示す生成ステー
ションの第２の実施例と関連する利用ステーションの第
２の実施例が示されている。この実施例では、データ・
キーＫは、関数ｆ３に関連する関数ｇ３を用いて再生ま
たは回復され、受け取られたキー確認コードは関数ｆ４
を用いて確認される。第１９図には、データ・ベース
と、コマンド・デコーダ４１５、「動作許可」手順４２
０、「動作打切り」手順４２７、検査手順４３０、コマ
ンド・ポート４４０、入力ポート４４５、出力ポート、
および要求動作実行マイクロコード４８０を含む暗号機
構４１０とが示されている。利用ステーションの各対ｉ
およびｊは独自の秘密トランスポート・キーＫＲｉｊを
共有し、このキーは生成ステーションとも共有される。
利用ステーションｉは、このトランスポート・キーＫＲ
ｉｊを使って、生成ステーションから受け取った情報か
らデータ・キーを回復または再生し、そのように回復ま
たは再生されたデータ・キーは利用ステーションｊと通
信するために使用され、その逆も成り立つ。もう一方の
利用ステーションと共有され、生成ステーションとも共
有されるトランスポート・キーは、受信ステーションの
マスタ・キーの規定された変形ＫＭ′のもとで暗号化さ
れ、これの暗号化されたトランスポート・キーはデータ
・ベース４００に記憶される。データ・ベース４００内
の暗号化されたトランスポート・キーは、キーを利用ス
テーションｊに一義的に関連づける識別子を指標として
付けられる。したがって、第１９図で、「ＫＲｉｊのＩ
Ｄ」という用語は、利用ステーションｉが利用ステーシ
ョンｊと共有するトランスポート・キーであるＫＲｉｊ
の識別子である。

利用ステーションは、またキー回復手順およびキー使用
手順を管理し制御する中央処理装置（ＣＰＵ）を有す
る。ＣＰＵは書式化されたメッセージを生成ステーショ
ンから受け取り、このメッセージは生成ステーションの
ＩＤ、所期の利用ステーションのＩＤｉ、ＫＲｉｊのＩ
Ｄ、管理値Ｃｉ、第１の値ｆ４（Ｋ、Ｃｉ、ＰＶｉ）、
および第２の値ｆ３（ＫＲｉｊ、ＲＮ）を含む。ＣＰＵ
は、生成ステーションから受け取ったメッセージを解析
し、データ・パラメータを取り出し、データ・ベース内
の暗号化されたトランスポート・キーにアクセスし、要
求された暗号化動作に関連してキーおよびデータ・パラ
メータを暗号機構４１０に提示する。

利用ステーションｉでのデータ・キーＫの使用に関係す
るステップを第１９図でたどることができる。ＣＰＵ
は、まず受け取ったデータ・キーＫが、要求された特定
の暗号化動作で使用されることを確認する。受け取った
「ＫＲｉｊのＩＤ」の値を使って、線４６０を介してデ
ータ・ベース４００内の暗号化されたトランスポート・
キーｅＫＭ′（ＫＲｉｊ）にアクセスし、線４６５を介
して暗号化キーを読み取る。線４７０上の要求された動
作は暗号機構４１０のコマンド・ポート４４０に入力さ
れる。データ・ベース４００内でアクセスされた暗号化
されたトランスポート・キーｅＫＭ′（ＫＲｉｊ）、受
け取ったメッセージから取り出された値ｆ４（Ｋ、Ｃ
ｉ、ＰＶｉ）と管理値Ｃｉと値ｆ３（ＫＲｉｊ、Ｒ
Ｎ）、および生成ステーションからの上記メッセージで
は受け取らなかったが要求された暗号化動作にとって必
要であるその他の入力が、入力ポート４４５にデータ入
力として提示される。要求された動作に応答して、コマ
ンド・デコーダ４１５は「動作許可」手順４２０を活動
化する。「動作許可」手順４２０は、活動化されると、
入力ｆ４（Ｋ、Ｃｉ、ＰＶｉ）、Ｃｉ、ｆ３（ＫＲｉ
ｊ、ＲＮ）およびｅＫＭ′（ＫＲｉｊ）を入力ポート４
４５から受け取る。これらの入力は暗号機構４１０に一
時的に記憶される。「動作許可」手順は、読み取ったば
かりの値Ｃｉを使って、要求された動作でのデータ・キ
ーＫの使用が管理値Ｃｉ中のデータに基づいて許可され
るかどうか判定する。許可される場合は、「動作許可」
手順は、検査手順４３０を活動化する検査手順活動化信
号を線４２５上に発生する。許可されていない場合は、
「動作許可」手順４２０は動作打切り手順活動化信号を
線４２６上に発生する。動作打切り手順４２７は、活動
化されると、入力ポート４４５から読み取った暗号機構
４１０に一時的に記憶れていた入力を消去し、要求され
た別の動作をコマンド・ポート４４０を介して活動化す
る。検査手順は、活動化されると、暗号機構４１０に一
時的に記憶されていた入力ｆ４（Ｋ、Ｃｉ、ＰＶｉ）、
Ｃｉ、ｆ３（ＫＲｉｊ、ＲＮ）およびｅＫＭ′（ＫＲｉ
ｊ）を受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉｊ）は４３１でマスタ・キー変形ＫＭ′のもと
で解読される。ＫＭ′はマスタ・キーＫＭの動的に生成
された変形であり、ＫＭは、第２図に示すように、暗号
機構４１０のキー／パラメータ記憶装置に記憶され、検
査手順４３０により使用可能である。解読された処理Ｋ
Ｒｉｊおよび入力値ｆ３（ＫＲｉｊ、ＲＮ）は４３２で
組合せ関数ｇ３を用いて処理され、出力データ・キーＫ
を発生する。そのように発生されたデータ・キーＫ、入
力管理値Ｃｉおよび公開値ＰＶｉは４３３で組合せ関数
ｆ４を用いて処理され、出力ｆ４（Ｋ、Ｃｉ、ＰＶｉ）
を発生する。利用ステーションｉと関連する公開値ＰＶ
ｉは、第２図に示すように、暗号機構４１０のキー／パ
ラメータ記憶装置に記憶され、検査手順４３０により使
用可能である。そのように発生された値ｆ４（Ｋ、Ｃ
ｉ、ＰＶｉ）および入力値ｆ４（Ｋ、Ｃｉ、ＰＶｉ）は
４３４で等しいかどうか比較される。等しくない場合
は、動作打切り手順活動化信号が線４２８上に発生され
る。しかし、等しい場合は、「要求動作実行マイクロコ
ード」活動化信号が線４２９上に発生される。動作打切
り手順４２７は、活動化されると、入力ポート４４５か
ら読み取って暗号機構４１０に一時的に記憶されていた
入力を消去し、要求された別の動作をコマンド・ポート
４４０を介して活動化する。要求動作実行マイクロコー
ド４８０は、活動化されると、入力ポート４４５を介し
て線４８１上で要求された動作に対する入力を受け取
り、線４８２上で４３２における組合せ関数ｇ３からの
出力である。そのように発生されたキーＫを受け取る。
次に、これらのキーおよびデータ入力を使って、要求さ
れた動作が４８０で実行される。要求された動作４８０
の出力が次に出力ポート４５０に提示され、線４８３上
に現われる。

第３の生成ステーション 次に第２０図を参照すると、キーＫの第１および第２の
形式が第５の関数ｆ５を用いて生成される生成ステーシ
ョンの第３の実施例が示されている。第２０図には、デ
ータ・ベース５００と、コマンド・デコーダ５１５、ラ
ンダム・キー発生機構５２０、キー生成機構５３０、コ
マンド・ポート５４０、入力ポート５４５、および出力
ポート５５０を含む暗号機構５１０とが示されている。
各利用ステーションｉは独自の秘密トランスポート・キ
ーＫＲｉを生成ステーションと共有し、生成ステーショ
ンは、このトランスポート・キーを使って、データ・キ
ーを暗号化してその利用ステーションに伝送する。これ
らのトランスポート・キーＫＲ１、ＫＲ２、…、ＫＲｎ
は、生成ステーションのマスタ・キーの規定された変形
ＫＭ′のもとで暗号化され、暗号化されたトンラスポー
ト・キーのこのリストは利用ステーションのＩＤを指標
として、データ・ベース５００に記憶される。

生成ステーションは、またキー生成手順を管理し制御す
る中央処理装置（ＣＰＵ）を有する。ＣＰＵはキー生成
の対象となる利用ステーションのＩＤを確認し、各利用
ステーションに対するキーと関連する管理値を決定し、
データ・ベース内の暗号化キーにアクセスし、キー生成
コマンドを適当な管理値および暗号化キーと共に暗号機
構に出す。

利用ステーションｉおよびｊに対するデータ・キーＫの
生成に関係するステップを第２０図でたどることができ
る。ＣＰＵは、まず利用ステーションｉおよびｊ、すな
わち、識別子ＩＤｉおよびＩＤｊを有する利用ステーシ
ョンにデータ・キーが分配すること、および利用ステー
ションｉおよびｊにおける管理値がそれぞれＣｉおよび
Ｃｊであることを確認する。識別子ＩＤｉおよびＩＤｊ
は、データ・ベース５００内の暗号化されたトランスポ
ート・キーｅＫＭ′（ＫＲｉ）およびｅＫＭ′（ＫＲ
ｊ）にアクセスするために、線５６０を介して使用さ
れ、これらの暗号化キーは線５６５を介して読み取られ
る。「キー生成コマンド」は線５７０を介して暗号機構
５１０のコマンド・ポート５４０に入力される。暗号化
されたトランスポート・キーｅＫＭ′（ＫＲｉ）とｅＫ
Ｍ′（ＫＲｊ）、および管理値ＣｉとＣｊは入力ポート
５４５にデータ入力として提示される。「キー生成」コ
マンドに応答して、コマンド・デコーダ５１５は、線５
２５上にキー生成機能５３０を活動化するキー生成機能
活動化信号を発生する。キー生成機能５３０は、活動化
されると、入力ポート５４５から入力Ｃｊ、ｅＫＭ′
（ＫＲｊ）、ＣｉおよびｅＫＭ′（ＫＲｉ）を受け取
り、ランダム・キー発生機構５２０からランダム・デー
タ・キーＫを受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉ）は５３１でマスタ・キー変形ＫＭ′のもとで
解読される。ＫＭ′はマスタ・キーＫＭの動的に生成さ
れた変形であり、ＫＭは、第２図に示すように、暗号機
構５１０のキー／パラメータ記憶装置に記憶され、キー
生成機能５３０により使用可能である。解読された出力
ＫＲｉ、管理値Ｃｉおよびデータ・キーＫは５３３で組
合せ関数ｆ５を用いて処理され、出力ｆ５（ＫＲｉ、Ｃ
ｉ、Ｋ）を発生する。値ｅＫＭ′（ＫＲｊ）はマスタ・
キー変形ＫＭ′のもとで、５３２で解読される。解読さ
れた出力ＫＲｊ、管理値Ｃｊ、およびＫは５３４で組合
せ関数ｆ５を用いて処理され、出力ｆ５（ＫＲｊ、Ｃ
ｊ、Ｋ）を発生する。２つの値ｆ５（ＫＲｉ、Ｃｉ、
Ｋ）およびｆ５（ＫＲｊ、Ｃｊ、Ｋ）は次に出力ポート
５５０に出力として提示され、それぞれ線５５１および
５５２上に現われる。

線５３１上のｆ５（ＫＲｉ、Ｃｉ、Ｋ）で、表わされる
直列データはシフト・レジスタにロードされ、出力バッ
ファに読み出される。出力バッファには、ヘッダおよび
同期データもロードされる。出力バッファのデータは次
に直列に読み出され、利用ステーションｉに送られる。
同様にして、線５５２上のｆ５（ＫＲｊ、Ｃｊ、Ｋ）で
表わされる直列データはシフト・レジスタにロードさ
れ、出力バッファに読み出される。出力バッファには、
ヘッダおよび同期データもロードされる。出力バッファ
のデータは次に直列に読み出され、利用ステーションｊ
に送られる。

第４の生成ステーション 次に第２１図を参照すると、キーＫの第１および第２の
形式が第６の関数ｆ６を用いて生成される生成ステーシ
ョンの第４の実施例が示されている。第２１図には、暗
号化されたトランスポート・キーのデータ・ベース６０
０と、公開値のデータ・ベース６０５と、コマンド・デ
コーダ６１５、ランダム・キー発生機構６２０、キー生
成機能６３０、コマンド・ポート６４０、入力ポート６
４５および出力ポート６５０を含む暗号機構６１０とが
示されている。通信することができる利用ステーション
の各対ｉおよびｊは共通の秘密トランスポート・キーＫ
Ｒｉｊを共有する。このトランスポート・キーは生成ス
テーションとも共有される。生成ステーションは、この
ＫＲｉｊを使ってデータ・キーを暗号化し、利用ステー
ションｉおよびｊに伝送する。これらのトランスポート
・キーＫＲ１，２、ＫＲ１，３、…、ＫＲｎ，ｎ−１
は、生成ステーションのマスタ・キーの規定された変形
ＫＭ′のもとで暗号化され、暗号化されたトランスポー
ト・キーのこのリストは利用ステーションのそれぞれの
ＩＤを指標として、データ・ベース６００に記憶され
る。

公開値ＰＶｉも各利用ステーションｉと関連づけられて
いる。公開値ＰＶｉは、トランスポート・キーＫＲｉｊ
を用いて利用ステーションｉに送られたデータ・キー
を、同様にトンラスポート・キーＫＲｉｊを用いて利用
ステーションｊに送られたデータ・キーから区別するた
めに生成ステーションによって使用される。これらの公
開値ＰＶ１、ＰＶ２、…、ＰＶｎは利用ステーションの
ＩＤを指標として、データ・ベース６０５に記憶され
る。

生成ステーションは、またキー生成手順を管理し、制御
する中央処理装置（ＣＰＵ）を有する。ＣＰＵはキー生
成の対象となる利用ステーションのＩＤを確認し、各利
用ステーションに対するキーと関連する管理値を決定
し、データ・ベース内の暗号化キーおよび公開値にアク
セスし、キー生成コマンドを適当な管理値、公開値およ
び暗号化キーとともに暗号機構に出す。

利用ステーションｉおよびｊに対するデータ・キーＫの
生成に関係するステップを第２１図でたどることができ
る。ＣＰＵは、まず利用ステーションｉおよびｊ、すな
わち、識別子ＩＤｉおよびＩＤｊを有する利用ステーシ
ョンにデータ・キーが分配されること、および利用ステ
ーションｉおよびｊにおける管理値がそれぞれＣｉおよ
びＣｊであることを確認する。識別子ＩＤｉおよびＩＤ
ｊは、データ・ベース６００内の暗号化されたトランス
ポート・キーｅＫＭ′（ＫＲｉｊ）にアクセスするため
に、線６６０を介して使用され、この暗号化キーは線６
６１を介して読み取られる。識別子ＩＤｉおよびＩＤｊ
はまた、データ・ベース６０５内の公開値ＰＶｉおよび
ＰＶｊにアクセスするために、線６６２を介して使用さ
れ、これらの公開値は線６６３を介して読み取られる。
「キー生成」コマンドは線６７０を介して暗号機構６１
０のコマンド・ポート６４０に入力される。暗号化され
たトランスポート・キーｅＫＭ′（ＫＲｉｊ）、公開値
ＰＶｉとＰＶｊ、および管理値ＣｉとＣｊは入力ポート
６４５にデータ入力として提示される。「キー生成」コ
マンドに応答して、コマンド・デコーダ６１５は、線６
２５上にキー生成機能６３０を活動化するキー生成機能
活動化信号を発生する。キー生成機能６３０は、活動化
されると、入力ポート６４５から入力ｅＫＭ′（ＫＲｉ
ｊ）、ＰＶｊ、Ｃｊ、ＰＶｉおよびＣｉを受け取り、ラ
ンダム・キー発生機構６２０からランダム・データ・キ
ーＫを受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉｊ）は６３１でマスタ・キー変形ＫＭ′のもと
で解読される。ＫＭ′はマスタ・キーＫＭの動的に生成
された変形であり、ＫＭは、第２図に示すように、暗号
機構６１０のキー／パラメータ記憶装置に記憶され、キ
ー生成機能６３０により使用可能である。解読された出
力ＫＲｉｊ、管理値Ｃｉ、公開値ＰＶｉおよびランダム
・データ・キーＫは６３２で組合せ関数ｆ６を用いて処
理され、出力ｆ６（ＫＲｉｊ、Ｃｉ、ＰＶｉ、Ｋ）を発
生する。解読された出力ＫＲｉｊ、管理値Ｃｊ、公開値
ＰＶｊおよびランダム・データ・キーＫは６３３で組合
せ関数ｆ６を用いて処理され、出力ｆ６（ＫＲｉｊ、Ｃ
ｊ、ＰＶｊ、Ｋ）を発生する。２つの値ｆ６（ＫＲｉ
ｊ、Ｃｉ、ＰＶｉ、Ｋ）およびｆ６（ＫＲｉｊ、Ｃｊ、
ＰＶｊ、Ｋ）は次に出力ポート６５０に出力として提示
され、それぞれ線６５１および６５２上に現われる。

線６５１上のｆ６（ＫＲｉｊ、Ｃｉ、ＰＶｉ、Ｋ）で表
わされる直列データはシフト・レジスタにロードされ、
出力バッファに並列に読み出される。出力バッファに
は、ヘッダおよび同期データもロードされる。出力バッ
ファのデータは次に直列に読み出され、利用ステーショ
ンｉに送られる。同様にして、線６５２上のｆ６（ＫＲ
ｉｊ、Ｃｊ、ＰＶｊ、Ｋ）で表わされる直列データはシ
フト・レジスタにロードされ、出力バッファに並列に読
み出される。出力バッファには、ヘッダおよび同期デー
タもロードされる。出力バッファのデータは次に直列に
読み出され、利用ステーションｊに送られる。

第２２図は関数ｆ５および関連する関数ｇ５の実施例の
一例を示す。定義により、これらの関数は３つの入力と
１つの出力を有する。ｆ５の場合は、入力はＫＲ、Ｃお
よびＫである。ｆ５は第１および第２の暗号化機構を含
む。第１の暗号化機構中で、ＫがＣのもとで暗号化され
て、ｅＣ（Ｋ）を発生する。ｅＣ（Ｋ）は第２の暗号化
機構中でＫＲのもとで暗号化されて、ｅＫＲ（ｅＣ
（Ｋ））＝ｆ５（ＫＲ、Ｃ、Ｋ）を発生する。ｇ５の場
合、入力はＣ、ＫＲおよびｆ５（ＫＲ、Ｃ、Ｋ）＝Ｙで
ある。ｇ５は第１および第２の解読機構を含む。第１の
解読機構中でＹがＫＲのもとで解読されて、ｄＫＲ
（Ｙ）を発生する。ｄＫＲ（Ｙ）は第２の解読機構中で
Ｃのもとで解読されて、ｇ５（ＫＲ、Ｃ、Ｙ）＝Ｋを発
生する。

第２３図は関数ｆ６および関連する関数ｇ６の実施例の
一例を示す。定義により、それぞれ４つの入力と１つの
出力を有する。ｆ６に対する入力はＫＲ、ＲＶ、Ｃおよ
びＫである。ｆ６は第１、第２および第３の暗号化機構
を有する。第１の暗号化機構中で、ＫがＣのもとで暗号
化されて、ｅＣ（Ｋ）を発生する。ｅＣ（Ｋ）は第２の
暗号化機構中でＰＶのもとで暗号化されて、ｅＰＶ（ｅ
Ｃ（Ｋ））を発生する。最後に、第２の暗号化機構の出
力が第３の暗号化機構中でＫＲのもとで暗号化されて、
ｆ６（ＫＲ、Ｃ、ＰＶ、Ｋ）＝Ｙを発生する。ｇ６に対
する入力はＣ、ＰＶ、ＫＲおよびＹである。ｇ６は第
１、第２および第３の解読機構を有する。第１の解読機
構中でＹがＫＲのもとで解読されて、ｄＫＲ（Ｙ）を発
生する。ｄＫＲ（Ｙ）は第２の解読機構中でＰＶのもと
で解読されて、ｄＰＶ（ｄＫＲ（Ｙ））を発生する。最
後に、第２の解読機構の出力がＣのもとで解読されて、
出力ｇ６（ＫＲ、Ｃ、ＰＶ、Ｙ）＝Ｋを発生する。

第３の利用ステーション 第２４図を参照すると、第２０図に示す生成ステーショ
ンの第３の実施例と関連する利用ステーションの第３の
実施例が示されている。この実施例では、受け取られた
キーＫが、関数ｇ５に関連する関数ｆ５を用いて手回復
される。第２４図には、データ・ベース７００と、コマ
ンド・デコーダ７１５、「動作許可」手順７２０、「動
作打切り」手順７２７、キー回復機能７３０、コマンド
・ポート７４０、入力ポート７４５、出力ポート７５０
および要求された動作を実行するためのマイクロコード
７８０を含む暗号機構７１０とが示されている。各利用
ステーションｉは独自の秘密トランスポート・キーＫＲ
ｉを生成ステーションと共有し、受信ステーションは、
このキーを使って、生成ステーションから暗号化された
データ・キーを受け取る。各生成ステーションと共有さ
れるトランスポート・キーは、受信ステーションのマス
タ・キーの規定された変形ＫＭ′のもとで暗号化され、
これらの暗号化されたトランスポート・キーはデータ・
ベース７００に記憶される。１台の生成ステーション
と、その生成ステーションと共有される１つのキーのみ
がある場合は、データ・ベース７００には１つの暗号化
されたトランスポート・キーだけがあることになる。デ
ータ・ベース７００中の暗号化されたトランスポート・
キーは、識別子を指標として付けられる。この識別子は
「ＫＲのＩＤ」と呼ばれ、リスト内の各キーを一義的に
識別する。したがって、第２４図で、「ＫＲｉのＩＤ」
は、利用ステーションｉが生成ステーションと共有する
特定のＫＲｉを指し、生成ステーションが利用ステーシ
ョンｉと通信するために使用するものと同じＫＲｉであ
る。

利用ステーションは、またキー回復手順およびキー使用
手順を管理し制御する中央処理装置を有する。ＣＰＵは
書式化されたメッセージを生成ステーションから受け取
り、このメッセージは生成ステーションのＩＤ、所期の
利用ステーションのＩＤｉ、ＫＲｉのＩＤ、管理値Ｃｉ
および値ｆ５（ＫＲｉ、Ｃｉ、Ｋ）を含む。ＣＰＵは、
生成ステーションから受け取ったメッセージを解析し、
データ・パラメータを取り出し、データ・ベース内の暗
号化されたトランスポート・キーにアクセスし、要求さ
れた暗号化動作に関連してキーおよびデータ・パラメー
タを暗号機構に提示する。

利用ステーションｉでのデータ・キーＫの使用に関係す
るステップを第２４図でたどることができる。ＣＰＵ
は、まず受け取ったデータ・キーＫが、要求された特定
の暗号化動作で使用されることを確認する。受け取った
「ＫＲｉのＩＤ」の値を使って、線７６０を介してデー
タ・ベース７００内の暗号化されたトランスポート・キ
ーｅＫＭ′（ＫＲｉ）にアクセスし、線７６５を介して
暗号化キーを読み取る。線７７０上の要求された動作は
暗号機構７１０のコマンド・ポート７４０に入力され
る。データ・ベース７００内でアクセスされた暗号化さ
れたトランスポート・キーｅＫＭ′（ＫＲｉ）、受け取
ったメッセージから取り出された管理値Ｃｉと値ｆ５
（ＫＲｉ、Ｃｉ、Ｋ）、生成ステーションからの上記メ
ッセージでは受け取らなかったが要求された暗号化動作
に必要なその他の入力が、入力ポート７４５でデータ入
力として提示される。要求された動作に応答して、コマ
ンド・デコーダ７１５は「動作許可」手順７２０を活動
化する。「動作許可」手順７２０は、活動化されると、
入力ｆ５（ＫＲｉ、Ｃｉ、Ｋ）、ＣｉおよびｅＫＭ′
（ＫＲｉ）を入力ポート７４５から受け取る。これらの
入力は暗号機構７１０に一時的に記憶される。「動作許
可」手順７２０は、読み取ったばかりの値Ｃｉを使っ
て、要求された動作でのデータ・キーＫの使用が管理値
Ｃｉ中のデータに基づいて許可されるかどうか判定す
る。許可される場合は、「動作許可」手順７２０は、キ
ー回復機能７３０を活動化するキー回復機能活動化信号
を線７２５上に発生する。許可されない場合は、「動作
許可」手順７２０は動作打切り手順活動化信号を線７２
６上に発生する。動作打切り手順７２７は、活動化され
ると、入力ポート７４５から読み取って暗号機構７１０
に一時的に記憶されていた入力を消去し、要求された別
の動作をコマンド・ポート７４０を介して活動化する。
キー回復機能７３０は、活動化されると、暗号機構に一
時的に記憶されていた入力ｆ５（ＫＲｉ、Ｃｉ、Ｋ）、
ＣｉおよびｅＫＭ′（ＫＲｉ）を受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉ）は７３１でマスタ・キー変形ＫＭ′のもとで
解読される。ＫＭ′はマスタ・キーＫＭの動的に生成さ
れた変形であり、ＫＭは、第２図に示すように、暗号機
構７１０のキー／パラメータ記憶装置に記憶され、キー
回復機能７３０により使用可能である。解読された処理
ＫＲｉ、およびＣｉとｆ５（ＫＲｉ、Ｃｉ、Ｋ）の入力
値は７３２で組合せ関数ｇ５を用いて処理され、出力デ
ータ・キーＫを発生する。組合せ関数ｇ５が正しく完了
すると、要求された動作を実行するマイクロコードを活
動化する動作活動化信号も線７２９上に発生する。要求
動作実行マイクロコード７８０は、活動化されると、入
力ポート７４５を介して線７８１上で要求された動作に
対する入力を受け取り、線７８２上で７３２における組
合せ関数ｇ５からの出力である、そのように発生された
データ・キーＫを受け取る。次に、これらのキーおよび
データ入力を使って、要求された動作が７８０で実行さ
れる。要求された動作７８０の出力が次に出力ポート７
５０に提示され、線７８３上に現われる。

第４の利用ステーション 次に第２５図を参照すると、第２１図に示す生成ステー
ションの第４の実施例と関連する利用ステーションの第
４の実施例が示されている。この実施例では、受け取ら
れたキーＫが、関数ｆ６に関連する関数ｇ６を用いて回
復される。第２５図には、データ・ベース８００と、コ
マンド・デコーダ８１５、「動作許可」手順８２０、
「動作打切り」手順８２７、キー回復機能８３０、コマ
ンド・ポート８４０、入力ポート８４５、出力ポート８
５０および要求動作実行マイクロコード８７０を含む暗
号機構８１０とが示されている。利用ステーションの各
対ｉおよびｊは独自の秘密トランスポート・キーＫＲｉ
ｊを共有し、このキーは生成ステーションとも共有され
る。利用ステーションｉは、このキーＫＲｉｊを使っ
て、生成ステーションから受け取った情報からデータ・
キーを回復または再生し、そのように回復または再生さ
れたデータ・キーは利用ステーションｊと通信するため
に使用され、その逆も成り立つ。もう一方の利用ステー
ションと共有され、生成ステーションとも共有されるト
ランスポート・キーは、受信ステーションのマスタ・キ
ーの規定された変形ＫＭ′のもとで暗号化され、これら
の暗号化されたトランスポート・キーはデータ・ベース
８６０に記憶される。データ・ベース８００内の暗号化
されたトランスポート・キーは、キーを利用ステーショ
ンｊに一義的に関連づける識別子を指標として付けられ
る。したがって、第２５図で、「ＫＲｉｊのＩＤ」とい
う用語は、利用ステーションｉが利用ステーションｊと
共有するトランスポート・キーであるＫＲｉｊの識別子
である。

利用ステーションは、またキー回復手順およびキー使用
手順を管理し制御する中央処理装置（ＣＰＵ）を有す
る。ＣＰＵは書式化されたメッセージを生成ステーショ
ンから受け取り、このメッセージは生成ステーションの
ＩＤ、所期の利用ステーションのＩＤｉ、ＫＲｉｊのＩ
Ｄ、管理値Ｃｉ、および値ｆ６（ＫＲｉｊ、Ｃｉ、ＰＶ
ｉ、Ｋ）を含む。ＣＰＵは生成ステーションから受け取
ったメッセージを解析し、データ・パラメータを取り出
し、データ・ベース内の暗号化されたトランスポート・
キーにアクセスし、要求された暗号化動作に関連してキ
ーおよびデータ・パラメータを暗号機構に提示する。

利用ステーションｉでのデータ・キーＫの使用に関係す
るステップを第２５図でたどることができる。ＣＰＵ
は、まず受け取ったデータ・キーＫが、要求された特定
の暗号化動作で使用されることを確認する。受け取った
「ＫＲｉｊのＩＤ」の値を使って、線８６０を介してデ
ータ・ベース８００内の暗号化されたトランスポート・
キーｅＫＭ′（ＫＲｉｊ）にアクセスし、線８６５を介
して暗号化キーを読み取る。線８７０上の要求された動
作は暗号機構８１０のコマンド・ポート８４０に入力さ
れる。データ・ベース８００内でアクセスされた暗号化
されたトランスポート・キーｅＫＭ′（ＫＲｉｊ）、受
け取ったメッセージから取り出された値ｆ６（ＫＲｉ
ｊ、Ｃｉ、ＰＶｉ、Ｋ）と管理値Ｃｉ、および生成ステ
ーションからの上記メッセージは受け取らなかったが要
求された暗号化動作にとって必要なその他の入力が、入
力ポート８４５にデータ入力として提示される。要求さ
れた動作に応答して、コマンド・デコーダ８１５は「動
作許可」手順８２０を活動化する。「動作許可」手順８
２０は、活動化されると、入力ｆ６（ＫＲｉｊ、Ｃｉ、
ＰＶｉ、Ｋ）、ＣｉおよびｅＫＭ′（ＫＲｉｊ）を入力
ポートから受け取る。これらの入力は暗号機構８１０に
一時的に記憶される。「動作許可」手順８２６は、読み
取ったばかりのＣｉの値を使って、要求された動作での
データ・キーＫの使用が管理値Ｃｉ中のデータに基づい
て許可されるかどうか判定する。許可される場合は、
「動作許可」手順８２０は、キー回復機能８３０を活動
化するキー回復機能活動化信号を線８２５上に発生す
る。許可されない場合は、「動作許可」手順８２０は動
作打切り手順活動化信号を線８２６上に発生する。動作
打切り手順８２７は、活動化されると、入力ポート８４
５から読み取って暗号機構８１０に一時的に記憶されて
いた入力を消去し、要求された別の動作をコマンド・ポ
ート８４０を介して活動化する。キー回復機能８３０
は、活動化されると、暗号機構８１０に一時的に記憶さ
れていた入力ｆ６（ＫＲｉｊ、Ｃｉ、ＰＶｉ、Ｋ）、Ｃ
ｉおよびｅＫＭ′（ＫＲｉｊ）を受け取る。

これらの入力は以下のように処理される。値ｅＫＭ′
（ＫＲｉｊ）は８３１でマスタ・キー変形ＫＭ′のもと
で解読される。ＫＭ′はマスタ・キーＫＭの動的に生成
された変形であり、ＫＭは、第２図に示すように、暗号
機構８１０のキー／パラメータ記憶装置に記憶され、キ
ー回復機能８３０により使用可能である。解読された出
力ＫＲｉｊ、入力値Ｃｉ、値ＰＶｉおよび入力値ｆ６
（ＫＲｉ、ｊ、Ｃｉ、ＰＶｉ、Ｋ）は８３２で組合せ関
数ｇ６を用いて処理され、出力データ・キーＫを発生す
る。利用ステーションｉに関連する公開値ＰＶｉは、第
２図に示すように、暗号機構８１０のキー／パラメータ
記憶装置に記憶され、キー回復機能８３０により使用可
能である。組合せ関数ｇ６が正しく完了すると、要求さ
れた動作を実行するマイクロコードを活動化する動作活
動化信号も線８２９上に発生する。要求動作実行マイク
ロコード８８０は、活動化されると、入力ポート８４５
を介して線８８１上で要求された動作に対する入力を受
け取り、線８８２上で８３２における組合せ関数ｇ６か
らの出力である。そのように発生されたデータ・キーＫ
を受け取る。次に、これらのキーおよびデータ入力を使
って、要求された動作が８８６で実行される。要求され
た動作８８０の出力が次に出力ポート８５０に提示さ
れ、線８８３上に現われる。

利用ステーションでの、単一データ・キーの回復および
管理された使用について説明してきた。しかし、本発明
は、各利用ステーションで任意の数の任意のタイプのキ
ーの回復および管理された使用を同時に行なえるように
拡張することができる。公開値ＰＶ１…ＰＶｎはそれぞ
れ当該の利用ステーションのＩＤまたはＩＤの関数でよ
く、その場合は、２つのデータ・ベースを結合すること
になる。公開値はＲＳＡアルゴリズム形式のシステムに
おける公開値でも、または単に乱数でもよい。管理値は
特定のプロトコルのもとでは利用ステーションにあるの
で、指定された利用ステーションに管理値を送る必要は
ない。たとえば、利用ステーションは生成ステーション
に対する暗号化キーの要求と一緒に適当な管理値または
指定された管理値を送ることができる。

管理ベクトルの一例 第２６図は、本発明の実施に際して使用できる１つの可
能な管理ベクトルを示す。この管理ベクトルは、上で説
明した本発明の幾つかの実施例のいずれかで使用される
管理値を表わす、１次元のビット・マップと見なすこと
ができる。第２６図で下から上に、第１および第２のビ
ットは、データを暗号化または解読するため、あるいは
暗号化および解読するために暗号化キーを使用できるか
どうかを制御する１または０である。最初の２ビットの
次に初期連鎖値（ＩＣＶ）があり、ＤＥＳアルゴリズム
のもとで、本手順で使用されるブロック連鎖のモードを
制御する。ＩＣＶは、暗号化されたＩＣＶを示すビッ
ト、解読されたＩＣＶを示すビット、ＩＣＶなし（即
ち、ＩＣＶ＝０）を示すビットがあり、それらは互いに
排他的である。次に、暗号化キーをメッセージ確認コー
ド生成（ＭＡＣＧＥＮ）のために使用できるか、それと
もメッセージ確認コード検査（ＭＡＣＶＥＲ）のために
使用できるかを制御する２ビットがある。その次に、メ
ッセージ確認コード用のＩＣＶがある。次に、暗号テキ
ストを別の形式に、または別の形式から変換することを
制御する２ビットがある。最後に、個人識別番号（ＰＩ
Ｎ）の変換を制御する２ビットがある。

Ｆ．発明の効果 要約すると、送信側は、特定のキーが受信側でどのよう
に処理されるかを管理ブロックＣを用いて指定すること
により、受信側におけるキー管理動作を決定する。した
がって、暗号化動作の完全性が、たとえば、暗号機構に
よって保証されている場合は、受信側での露顕が最少に
なる。

【図面の簡単な説明】

第１図は、ＰＴＴ（郵便、電話、電信）相互接続ネット
ワークを介して接続された多数の通信ステーションから
成る、本発明による通信システムを示すブロック・ダイ
アグラムである。 第２図は、データ暗号化アルゴリズム（ＤＥＡ）を用い
て暗号化／解読を行なえる暗号機構を示すブロック・ダ
イアグラムである。 第３図は、生成ステーションと２台の利用ステーション
を含む第１のネットワーク構成内の３台のステーション
を示すブロック・ダイアグラムである。 第４図は、本発明で使用される関数ｆ１とｇ１の間の機
能的関係を示すブロック・ダイアグラムである。 第５図は関数ｆ２のブロック・ダイアグラムである。 第６図は、関数ｆ３とｇ３の間の機能的関係を示すブロ
ック・ダイアグラムである。 第７図は関数ｆ４のブロック・ダイアグラムである。 第８図は関数ｆ５とｇ５の間の機能的関係を示すブロッ
ク・ダイアグラムである。 第９図は関数ｆ６とｇ６の間の機能的関係を示すブロッ
ク・ダイアグラムである。 第１０図は、キーＫの第１および第２の形式が第１の関
数ｆ１を用いて生成され、第１および第２のキー確認コ
ードが第２の関数ｆ２を用いて生成されるように構成さ
れた、生成ステーションの第１の実施例のブロック・ダ
イアグラムである。 第１１図は、関数ｆ１に対する実施例の一例を示すブロ
ック・ダイアグラムである。 第１２図は、関数ｆ２に対する実施例の一例を示すブロ
ック・ダイアグラムである。 第１３図は、キーＫの第１および第２の形式が第３の関
数ｆ３を用いて生成され、第１および第２のキー確認コ
ードが関数ｆ３および第４の関数ｆ４に関連する第４の
関数ｇ３を用いて生成されるように構成された、生成ス
テーションの第２の実施例を示すブロック・ダイアグラ
ムである。 第１４図は関数ｆ３およびｇ３の実施例の一例のブロッ
ク・ダイアグラムである。 第１５図は関数ｆ３およびｇ３の実施例のもう１つの例
のブロック・ダイアグラムである。 第１６図は関数ｆ４の実施例の一例のブロック・ダイア
グラムである。 第１７図は関数ｆ４の実施例のもう１つの例のブロック
・ダイアグラムである。 第１８図は、受け取られたキーＫが、関数ｆ１に関連す
る関数ｇ１を用いて回復され、受け取られたキー確認コ
ードが関数ｆ２を用いて確認されるように構成された、
第１０図に示す生成ステーションの第１の実施例に関連
する利用ステーションの第１の実施例を示すブロック・
ダイアグラムである。 第１９図は、受け取られたキーＫが、関数ｆ３に関連す
る関数ｇ３を用いて回復され、受け取られたキー確認コ
ードが関数ｆ４を用いて確認されるように構成された、
第１３図に示す生成ステーションの第２の実施例に関連
する利用ステーションの第２の実施例を示すブロック・
ダイアグラムである。 第２０図は、キーＫの第１および第２の形式が第５の関
数ｆ５を用いて生成されるように構成された、生成ステ
ーションの第３の実施例のブロック・ダイアグラムであ
る。 第２１図は、キーＫの第１および第２の形式が第６の関
数ｆ６を用いて生成されるように構成された、生成ステ
ーションの第４の実施例のブロック・ダイアグラムであ
る。 第２２図は関数ｆ５および関連する関数ｇ５の実施例の
一例のブロック・ダイアグラムである。 第２３図は関数ｆ６および関連する関数ｇ６の実施例の
一例のブロック・ダイアグラムである。 第２４図は、受け取られたキーＫが、関数ｆ５に関連す
る関数ｇ５を用いて回復されるように構成された、第２
０図に示す生成ステーションの第３の実施例に関連する
利用ステーションの第３の実施例のブロック・ダイアグ
ラムである。 第２５図は、受け取られたキーＫが、関数ｆ６に関連す
る関数ｇ５を用いて回復されるように構成された、第２
１図に示す生成ステーションの第４の実施例に関連する
利用ステーションの第４の実施例のブロック・ダイアグ
ラムである。 第２６図は、本発明の実施に際して使用できる可能な１
つの管理ベクトルの図式的表示である。 １０……暗号機構、１１……データ暗号化アルゴリズム
（ＤＥＡ）、１２……ハードウェア乱数発生機構、１３
……マイクロプロセッサ、１４……バッテリ、１５……
バッテリ支援ランダム・アクセス・メモリ（ＲＡＭ）、
１６……メモリ、１７……キー入力インターフェース、
１９……プロセッサ・インターフェース。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ブルーノ・オズワルド・ブラークト ドイツ連邦共和国7033 ヘーレンバーグ、 ヴエインバーグ シユトラーベ20番地

Claims (8)

【特許請求の範囲】
1. 【請求項１】生成ステーション及び利用ステーションを
   有するネットワーク（例えば、第１図又は第３図）にお
   いて、 前記生成ステーションは指定された少なくとも２つの利
   用ステーションに対し暗号化されたキー（ｆ１，ｆ２）
   を生成し、前記２つの利用ステーションの１つは生成ス
   テーションになることもでき、前記利用ステーション及
   び生成ステーションの各々はマスタ・キー（ＫＭ）を安
   全に保持する暗号化機構（１１０，３１０）を有し、 前記生成ステーションが暗号化のためのキー（Ｋ）の使
   用を特定する管理値（Ｃ）を前記暗号化されたキーと共
   に送出することにより、前記利用ステーションにおける
   前記暗号化のためのキーの使用を制御する方法であっ
   て、 前記生成ステーションのデータベース（１００）に、前
   記利用ステーション各々に対し一意的であり且つ前記利
   用ステーションの識別子（ＩＤ）により索引付けられて
   いる、前記マスタ・キーのバリアント（ＫＭ′）の下で
   暗号化された複数の秘密トランスポート・キー（ｅＫ
   Ｍ′（ＫＲ））を格納するステップと、 使用の制限を伴う前記暗号化のためのキーを生成するた
   めであって且つ前記ネットワーク内の少なくとも２つの
   指定された利用ステーションに配布するためのコマンド
   を生成する（１７０）ステップと、 前記コマンドに応答して（１２５）、前記生成ステーシ
   ョンの前記暗号化機構内で前記暗号化のためのキーとし
   てランダム・キー（Ｋ）を生成するステップ（１２０）
   と、 前記利用ステーションの識別子を用いて、前記指定され
   た利用ステーションに対する前記暗号化された秘密トラ
   ンスポート・キーにアクセスする（１６５）ステップ
   と、 前記生成ステーションの暗号化機構で、前記マスタ・キ
   ーのバリアントを用いて、前記指定された利用ステーシ
   ョンに対する前記アクセスされた秘密トランスポート・
   キーを非暗号化するステップ（１３１，１３２）と、 前記生成ステーションの暗号化機構内で、前記非暗号化
   された秘密トランスポート・キーを前記生成された暗号
   化のためのキーと結合し、指定された利用ステーション
   の各々について組合せ関数ｆ１を生成するステップ（１
   ３３，１３５）と、 前記指定された利用ステーションの各々について前記暗
   号化のためのキーの管理値を読み出すステップと、 前記生成ステーションの暗号化機構内で、前記生成され
   た暗号化のためのキーを前記指定された利用ステーショ
   ンの各々に対する前記管理値と結合し、前記指定された
   利用ステーションの各々について組合せ関数ｆ２を生成
   するステップ（１３４，１３６）と、 前記指定された利用ステーションの各々に対する前記組
   合せ関数ｆ１及びｆ２を、前記管理値と共に対応する指
   定された利用ステーションに転送するステップと、 前記利用ステーションの識別子により索引付けされてい
   る指定された利用ステーションで、前記暗号化された秘
   密トランスポート・キーを格納するステップと、 前記生成ステーションにより生成された前記暗号化ため
   のキーの使用を必要とする所定の動作（３８０）を要求
   する（３７０）ステップと、 前記暗号化された秘密トランスポート・キーにアクセス
   し（３６５）、前記指定された利用ステーションの暗号
   化機構内に、前記暗号化された秘密トランスポート・キ
   ーと前記管理値、並びに前記生成ステーションから転送
   された前記組合せ関数ｆ１及びｆ２を、一時的に格納す
   るステップと、 前記暗号化された秘密トランスポート・キーを非暗号化
   した秘密トランスポート・キー、前記管理値、及び前記
   組み合わせ関数に関連して、前記指定された利用ステー
   ションにおいて前記要求された動作を行うかどうかを判
   定するステップと を含む暗号化キー使用制御方法。
2. 【請求項２】前記指定された利用ステーションにおい
   て、 前記利用ステーションの暗号化機構内で、前記管理値を
   検査し、前記要求された動作が前記管理値により許可さ
   れているかを判定するステップ（３２０）と、 前記要求された動作が許可されている場合、前記利用ス
   テーションの暗号化機構内で、前記マスタ・キーのバリ
   アントを用いて前記暗号化機構内に格納された前記暗号
   化された秘密トランスポート・キーを非暗号化し（３３
   １）、組合せ関数ｇ１を用いて前記非暗号化された秘密
   トランスポート・キーを前記組合せ関数ｆ１と結合して
   前記生成された暗号化のためのキーを復元し（３３
   ２）、前記復元された暗号化キーを前記管理値と結合し
   て真正の関数ｆ２を生成し（３３３）、前記一時的に格
   納された組合せ関数ｆ２を前記真正の関数ｆ２と比較し
   （３３４）、前記格納された組合せ関数ｆ２と前記真正
   の関数ｆ２とが等しい場合、前記要求された動作を可能
   にするステップ（３２９）、 又は、 前記要求された動作を拒絶し、前記利用ステーションの
   暗号化機構内に前記一時格納された管理値を消去するス
   テップ（３２８）と をさらに含む請求項１記載の暗号化キー使用制御方法。
3. 【請求項３】生成ステーション及び利用ステーションを
   有するネットワーク（例えば、第１図又は第３図）にお
   いて、 前記生成ステーションは指定された少なくとも２つの利
   用ステーションに対し暗号化されたキー（ｆ４）を生成
   し、前記２つの利用ステーションの１つは生成ステーシ
   ョンになることもでき、前記利用ステーション及び生成
   ステーションの各々はマスタ・キー（ＫＭ）を安全に保
   持する暗号化機構を有し、 前記生成ステーションが暗号化のためのキー（Ｋ）の使
   用を特定する管理値（Ｃ）を前記暗号化されたキーと共
   に送出することにより、前記利用ステーションにおける
   前記暗号化のためのキーの使用を制御する方法であっ
   て、 前記生成ステーション（例えば第１３図）において、 第１のデータベース（２００）に、前記ネットワーク内
   の利用ステーションの各対に対し一意的であり、秘密ト
   ランスポート・キー（ＫＲｉｊ）を共有する利用ステー
   ションの対の識別子（ＩＤｉ，ＩＤｊ）により索引付け
   された、前記マスタ・キーのバリアント（ＫＭ′）の下
   で暗号化された複数の秘密トランスポート・キー（ｅＫ
   Ｍ′（ＫＲｉｊ））を格納するステップと、 第２のデータベース（２０５）に、前記ネットワーク内
   の利用ステーションの各々に対し一意的であり、前記利
   用ステーションの識別子により索引付けされた、複数の
   公開値（ＰＶ）を格納するステップと、 使用の制限を伴う前記暗号化のためのキーを生成するた
   めのであって且つ前記ネットワーク内の少なくとも２つ
   の指定された利用ステーションに配布するためのコマン
   ドを生成する（２７０）ステップと、 前記コマンドに応答して（２２５）、前記暗号化機構内
   でランダム・ナンバ（ＲＮ）を生成するステップ（２２
   ０）と、 前記暗号化された秘密トランスポート・キーを共有する
   前記利用ステーションの対に対する識別子を用いて、指
   定された利用ステーションにより共有される前記暗号化
   された秘密トランスポート・キーにアクセスする（２６
   １）ステップと、 前記指定された利用ステーションに対する識別子を用い
   て、前記指定された利用ステーションの公開値にアクセ
   スする（２６３）ステップと、 前記生成ステーションの暗号化機構内で、前記マスタ・
   キーのバリアントを用いて、前記アクセスされた暗号化
   された秘密トランスポート・キーを非暗号化するステッ
   プ（２３１）と、 前記生成ステーションの暗号化機構内で、前記生成され
   たランダム・ナンバを前記非暗号化された秘密トランス
   ポート・キーと結合し、前記指定された利用ステーショ
   ンの各々について組合せ関数ｆ３を生成するステップ
   （２３２）と、 前記生成ステーションの暗号化機構内で、前記非暗号化
   された秘密トランスポート・キーを前記組合せ関数ｆ３
   とを結合し、前記暗号化のためのキーを生成するステッ
   プ（２３３）と、 前記指定された利用ステーションの各々に対する前記暗
   号化のためのキーの管理値を読み出すステップと、 前記指定された利用ステーションの各々に対し、前記生
   成された暗号化のためのキーを、前記指定された利用ス
   テーションに対する管理値及び公開値と結合し、前記指
   定された利用ステーションについて組合せ関数ｆ４を生
   成するステップ（２３４，２３５）と、 前記指定された利用ステーションの各々に対する前記組
   合せ関数ｆ３及びｆ４を、前記管理値と共に対応する指
   定された利用ステーションに転送するステップと、 前記指定された利用ステーションにおいて、前記生成ス
   テーションにおいて生成された前記暗号化のためのキー
   の使用を必要とする所定の動作が要求された場合に、前
   記転送ステップにおいて転送された前記管理値及び前記
   組み合わせ関数、並びに暗号化された秘密トランスポー
   ト・キーを非暗号化した秘密トランスポート・キー及び
   公開値に関連して、前記指定された利用ステーションに
   おいて前記要求された動作を行うかどうか判定するステ
   ップと を含む暗号化キー使用制御方法。
4. 【請求項４】指定された利用ステーション（例えば第１
   ９図）において、 データベース（４００）に、前記秘密トランスポート・
   キーを共有する前記利用ステーションの対の識別子によ
   り索引付けされた前記暗号化された秘密トランスポート
   ・キーを格納するステップと、 前記指定された利用ステーションの暗号化機構内に、前
   記指定された利用ステーションに対する前記公開値を格
   納するステップと、 前記生成ステーションにより生成された前記暗号化のた
   めのキーの使用を必要とする所定の動作（４８０）を要
   求する（４７０）ステップと、 前記暗号化された秘密トランスポート・キーにアクセス
   し（４６５）、前記指定された利用ステーションの暗号
   化機構内に、前記暗号化された秘密トランスポート・キ
   ーと前記管理値、並びに前記生成ステーションからの組
   合せ関数ｆ３及びｆ４を一時的に格納するステップと、 前記管理値を検査して、前記要求された動作が前記管理
   値により許可されているかを判定するステップ（４２
   ０）と、 前記要求された動作が許可されている場合、前記利用ス
   テーションの暗号化機構内で、前記マスタ・キーのバリ
   アントを用いて、前記利用ステーションの暗号化機構内
   に格納された前記暗号化された秘密トランスポート・キ
   ーを非暗号化し（４３１）、前記組合せ関数ｇ３を用い
   て、前記非暗号化された秘密トランスポート・キーを前
   記組合せ関数ｆ３とを結合して前記暗号化のためのキー
   を復元し（４３２）、前記復元された暗号化のためのキ
   ーを前記指定された利用ステーションに対する前記管理
   値及び前記公開値と結合して真正の関数ｆ４を生成し
   （４３３）、前記一時的に格納された組合せ関数ｆ４を
   前記真正の関数ｆ４と比較し（４３４）、前記格納され
   た組合せ関数ｆ４と前記真正の関数ｆ４が等しい場合、
   前記要求された動作を可能にするステップ（４２９）、 又は、 前記要求された動作を拒絶し、前記暗号化機構内に一時
   的に格納された値を消去するステップ（４２８）と をさらに含む請求項３記載の暗号化キー使用制御方法。
5. 【請求項５】生成ステーション及び利用ステーションを
   有するネットワーク（例えば、第１図及び第３図）にお
   いて、 前記生成ステーションは指定された少なくとも２つの利
   用ステーションに対し暗号化されたキー（ｆ５）を生成
   し、前記２つの利用ステーションの１つは生成ステーシ
   ョンになることもでき、前記利用ステーション及び生成
   ステーションの各々はマスタ・キー（ＫＭ′）を安全に
   保持する暗号化機構（５１０，７１０）を有し、 前記生成ステーションが暗号化のためのキー（Ｋ）の使
   用を特定する管理値（Ｃ）を前記暗号化されたキーと共
   に送出することにより、前記利用ステーションにおける
   前記暗号化のためのキーの使用を制御する方法であっ
   て、 前記生成ステーション（例えば第２０図）において、 データベース（５００）に、前記利用ステーション各々
   に対し一意的であり且つ前記利用ステーションの識別子
   （ＩＤ）により索引付けられている、前記マスタ・キー
   のバリアント（ＫＭ′）の下で暗号化された複数の秘密
   トランスポート・キー（ｅＫＭ′（ＫＲ））を格納する
   ステップと、 使用の制限を伴う前記暗号化のためのキーを生成するた
   めのであって且つ前記ネットワーク内の少なくとも２つ
   の指定された利用ステーションに配布のためのコマンド
   を生成する（５７０）ステップと、 前記コマンドに応答して（５２５）、前記暗号化機構内
   で前記暗号化のためのキーとしてランダム・キー（Ｋ）
   を生成するステップ（５２０）と、 前記利用ステーションの識別子を用いて、前記指示され
   た利用ステーションに対する前記暗号化された秘密トラ
   ンスポート・キーにアクセスするステップと、 前記生成ステーションの暗号化機構で、前記マスタ・キ
   ーのバリアントを用いて、前記指定された利用ステーシ
   ョンに対する前記アクセスされた秘密トランスポート・
   キーを非暗号化するステップ（５３１，５３２）と、 前記指定された利用ステーションの各々について前記暗
   号化のためのキーの管理値を読み出すステップと、 前記生成ステーションの暗号化機構内で、前記非暗号化
   された秘密トランスポート・キーを、前記生成された暗
   号化キーと前記指定された利用ステーションの各々に対
   する管理値とを結合し、前記指定された利用ステーショ
   ンの各々について組合せ関数を生成するステップ（５３
   ３，５３４）と、 前記指定された利用ステーションの各々に対する前記組
   合せ関数を、前記管理値と共に対応する指定された利用
   ステーションに転送するステップと、 前記指定された利用ステーションにおいて、前記生成ス
   テーションにおいて生成された前記暗号化のためのキー
   の使用を必要とする所定の動作が要求された場合に、前
   記転送ステップにおいて転送された前記管理値及び前記
   組み合わせ関数、並びに暗号化された秘密トランスポー
   ト・キーを非暗号化した秘密トランスポート・キーに関
   連して、前記指定された利用ステーションにおいて前記
   要求された動作を行うかどうか判定するステップと を含む暗号化キー使用制御方法。
6. 【請求項６】指定された利用ステーション（例えば第２
   ４図）において、 前記利用ステーションの識別子により索引付けされた前
   記暗号化された秘密トランスポート・キーを格納するス
   テップと、 前記生成ステーションにより生成された前記暗号化のた
   めのキーの使用を必要とする所定の動作（７８０）を要
   求する（７７０）ステップと、 前記暗号化された秘密トランスポート・キーにアクセス
   し（７６５）、前記指定された利用ステーションの暗号
   化機構内に、前記暗号化された秘密トランスポート・キ
   ーと前記管理値、並びに前記生成ステーションから転送
   された組合せ関数を一時的に格納するステップと、 前記管理値を検査して、前記要求された動作が前記管理
   値により許可されてるかを判定するステップ（７２０）
   と、 前記要求された動作が許可されている場合、前記利用ス
   テーションの暗号化機構内で、前記マスタ・キーのバリ
   アントを用いて、前記利用ステーションの暗号化機構内
   に格納された前記暗号化された秘密トランスポート・キ
   ーを非暗号化し（７３１）、第２の組合せ関数を用い
   て、前記非暗号化された秘密トランスポート・キーを前
   記生成ステーションから転送された組合せ関数と前記管
   理値とを結合して前記暗号化キーを復元し（７３２）、
   前記要求された動作を可能にするステップ（７８２，７
   ８９）、 又は、 前記要求された動作を拒絶し、前記暗号化機構内に一時
   的に格納された値を消去するステップ（７２７）と をさらに含む請求項５記載の暗号化キー使用制御方法。
7. 【請求項７】生成ステーション及び利用ステーションを
   有するネットワーク（例えば、第１図又は第３図）にお
   いて、 前記生成ステーションは指定された少なくとも２つの利
   用ステーションに対し暗号化されたキー（ｆ６）を生成
   し、前記２つの利用ステーションの１つは生成ステーシ
   ョンになることもでき、前記利用ステーション及び生成
   ステーションの各々はマスタ・キー（ＫＭ）を安全に保
   持する暗号化機構（６１０，８１０）を有し、 前記生成ステーションが暗号化のためのキー（Ｋ）の使
   用を特定する管理値（Ｃ）を前記暗号化されたキーと共
   に送出することにより、前記利用ステーションにおける
   前記暗号化のためのキーの使用を制御する方法であっ
   て、 前記生成ステーション（例えば第２１図）において、 第１のデータベース（６００）に、前記ネットワーク内
   の利用ステーションの各対に対し一意的であり、秘密ト
   ランスポート・キー（ＫＲｉｊ）を共有する利用ステー
   ションの対の識別子（ＩＤｉ，ＩＤｊ）により索引付け
   された、前記マスタ・キーのバリアント（ＫＭ′）の下
   で暗号化された複数の秘密トランスポート・キー（ｅＫ
   Ｍ′（ＫＲｉｊ））を格納するステップと、 第２のデータベース（６０５）に、前記ネットワーク内
   の利用ステーションの各々に対し一意的であり、前記利
   用ステーションの識別子により索引付けされた、複数の
   公開値（ＰＶ）を格納するステップと、 使用の制限を伴う前記暗号化のためのキーを生成するた
   めであって且つ前記ネットワーク内の少なくとも２つの
   指定された利用ステーションに配布のためのコマンドを
   生成する（６７０）ステップと、 前記コマンドに応答して（６２５）、前記暗号化機構内
   で前記暗号化のためのキーとしてランダム・キー（Ｋ）
   を生成するステップ（６２０）と、 前記暗号化された秘密トランスポート・キーを共有する
   前記利用ステーションの対に対する識別子を用いて、指
   定された利用ステーションにより共有される前記暗号化
   された秘密トランスポート・キーにアクセスするステッ
   プと、 前記指定された利用ステーションに対する識別子を用い
   て、前記指定された利用ステーションの公開値にアクセ
   スするステップと、 前記生成ステーションの暗号化機構内で、前記マスタ・
   キーのバリアントを用いて、前記アクセスされた秘密ト
   ランスポート・キーを非暗号化するステップ（６３１）
   と、 前記指定された利用ステーションの各々に対する前記暗
   号化のためのキーの管理値を読み出すステップと、 前記生成ステーションの暗号化機構内で、前記生成され
   た暗号化のためのキーを前記非暗号化された秘密トラン
   スポート・キー、前記指定された利用ステーションの各
   々に対する管理値及び公開値を結合し、前記指定された
   利用ステーションの各々について組合せ関数ｆ６を生成
   するステップ（６３２）と、 前記指定された利用ステーションの各々に対する前記組
   合せ関数ｆ６を、前記管理値と共に対応する指定された
   利用ステーションに転送するステップと、 前記指定された利用ステーションにおいて、前記生成ス
   テーションにおいて生成された前記暗号化のためのキー
   の使用を必要とする所定の動作が要求された場合に、前
   記転送ステップにおいて転送された前記管理値及び前記
   組み合わせ関数、並びに暗号化された秘密トランスポー
   ト・キーを非暗号化した秘密トランスポート・キー及び
   公開値に関連して、前記指定された利用ステーションに
   おいて前記要求された動作を行うかどうか判定するステ
   ップと を含む暗号化キー使用制御方法。
8. 【請求項８】前記指定された利用ステーション（例えば
   第２５図）において、 データベース（８００）に、前記秘密トランスポート・
   キーを共有する前記利用ステーションの対の識別子によ
   り索引付けされた前記暗号化された秘密トランスポート
   ・キーを格納するステップと、 前記指定された利用ステーションの暗号化機構内に、前
   記指定された利用ステーションに対する前記公開値を格
   納するステップと、 前記生成ステーションにより生成された前記暗号化のた
   めのキーの使用を必要とする所定の動作（８８０）を要
   求する（８７０）ステップと、 前記暗号化された秘密トランスポート・キー及び前記公
   開値にアクセスし、前記指定された利用ステーションの
   暗号化機構内に、前記暗号化された秘密トランスポート
   ・キーと前記管理値、並びに前記生成ステーションから
   の組合せ関数ｆ６を一時的に格納するステップと、 前記管理値を検査して、前記要求された動作が前記管理
   値により許可されてるかを判定するステップ（８２０）
   と、 前記要求された動作が許可されている場合、前記利用ス
   テーションの暗号化機構内で、前記マスタ・キーのバリ
   アントを用いて、前記利用ステーションの暗号化機構内
   に格納された前記暗号化された秘密トランスポート・キ
   ーを非暗号化し（８３１）、組合せ関数ｇ６を用いて、
   前記非暗号化された秘密トランスポート・キーを前記管
   理値、前記公開値、及び前記組合せ関数ｆ６を結合して
   前記生成された暗号化キーを復元し（８３２）、前記要
   求された動作を可能にするステップ（８８２，８２
   ９）、 又は、 前記要求された動作を拒絶し、前記暗号化機構内に一時
   的に格納された値を消去するステップ（８２７）と をさらに含む請求項７記載の暗号化キー使用制御方法。