JPH07273757A - 鍵管理センタへのユーザ登録方法 - Google Patents

Abstract

(57)【要約】 【目的】鍵管理センタの不正、鍵管理センタとある特定
のエンティティとの結託、および鍵管理センタへの攻撃
等から全てのエンティティの秘密情報である復号鍵と署
名鍵を守ることにある。 【構成】エンティティまたは下位の鍵管理センタは、自
分の復号鍵（兼署名鍵）および暗号化鍵（兼検証鍵）を
生成し、暗号通信の通信路とは別の直接面会等の方法に
より、身分証明書と暗号化鍵(検証鍵)を上位の鍵管理セ
ンタに提示する。鍵管理センタは重複性チェックを行う
とともに、零知識対話証明の手法により正当性もチェッ
クする。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、エンティティ（法人ま
たは個人等の独立体）と下位の鍵管理センタの暗号通信
内容の機密性を保証でき、かつ鍵管理センタは他のエン
ティティとの暗号化鍵と復号鍵、検証鍵と署名鍵の重複
を判断できるような鍵管理センタへのユーザ登録方法に
関する。

【０００２】

【従来の技術】ディジタル暗号方式には、秘密鍵暗号方
式と公開鍵暗号方式とがある。このうち、秘密鍵暗号方
式では、暗号化鍵と復号鍵とに同じ鍵を使用するので、
それらの鍵を他のエンティティに知られないように、通
信両者のみが秘密に保持しなければならない。一方、公
開鍵暗号方式では、暗号鍵と復号鍵に異なる鍵を使用す
るので、復号鍵のみ秘密にして、暗号化鍵を公開するこ
とができる。従って、秘密鍵のように、鍵を秘密に配送
する必要がない。ところが、公開鍵暗号方式では、暗号
化鍵を公開するので、誰でも暗号文を生成することがで
きる。その結果、暗号化されて送られてきた通信文等に
対して、誰が暗号化したのかを証明することも必要にな
ってくる。この対策として考えられた方法が、相手認証
の方法である。なお、相手認証機能を備えた公開鍵暗号
の代表例としてＲＳＡ暗号がある（例えば、加藤正隆
著、サイエンス社発行『基礎暗号学Ｉ』pp.224〜228参
照）。この暗号方法では、暗号通信に関して、暗号化す
るときには暗号化鍵を利用し、復号するときには復号鍵
を利用する。さらに、認証通信に関して、署名を生成す
るときには署名鍵を利用し、検証するときには検証鍵を
利用する。ここで、署名鍵と復号鍵は同じ鍵であり、暗
号化鍵と検証鍵は同じ鍵である。

【０００３】ところで、どの公開鍵暗号を選ぶとして
も、互いに相手を認証するためには、暗号化鍵とその持
ち主とを偽りなく公開し、鍵を管理する鍵管理センタの
設立が必要となる。そこで、従来、あるＣＵＧ（Ｃlose
d Ｕser Ｇroup)で暗号通信を行う場合には、先ず最
初に鍵管理センタを設立して、その鍵管理センタが各エ
ンティティに暗号化鍵と復号鍵のペアを生成して渡すと
同時に、暗号化鍵を各エンティティの識別符号(ＩＤ)と
ともに公開し、復号鍵は秘密に渡す方法がとられてい
た。しかしながら、この方法は、下記のような問題があ
った。すなわち、この方法は、鍵管理センタがある特定
のエンティティと結託することがなく、また鍵管理セン
タが絶対に不正なことをしないという前提のもとに成立
していたので、これが破られた場合には大混乱が生じて
しまう。つまり、鍵管理センタが不正を働いたり、鍵管
理センタとある特定のエンティティとが結託したり、あ
るいは鍵管理センタへ攻撃が行われる等の不正があった
場合には、この暗号システム全体のセキュリティが脅か
されることになる。このように、従来の鍵管理センタ
は、全てのエンティティの復号鍵、署名鍵を知っている
ので、暗号システム全体のセキュリティが脅かされるよ
うになると、その被害は非常に大きくなるという重大な
弱点があった。

【０００４】さらに、エンティティが多くなり、適用範
囲も広域になると、１つの鍵管理センタだけでは全ての
エンティティを管理することが不可能となる。その結
果、従来、階層構成の鍵管理センタを設立する方法が考
えられた。そこで、いま、階層構成を持つ従来の鍵管理
センタを国際間の通信に適用する場合を仮定すると、種
々の利害関係を有する各国が参加する国際通信におい
て、絶対的に信頼性がある最上位の鍵管理センタを構築
する必要がある。しかしながら、現状の国際関係では、
そのような信頼性のある鍵管理センタの設立は、不可能
であると考えられる。そこで、現在ないし将来、要求さ
れる鍵管理センタとしては、いかなるエンティティの秘
密も知ることができず、かつ全てのエンティティの認証
機関として機能することが求められる。

【０００５】

【発明が解決しようとする課題】前述のように、従来の
鍵管理センタでは、鍵管理センタが不正を働いたとき、
鍵管理センタと特定のエンティティとが結託したとき、
あるいは鍵管理センタへ攻撃等の不正行為があったとき
等には、この暗号システム全体のセキュリティが失われ
るという問題があった。すなわち、この暗号システムの
問題点は、鍵管理センタが全てのエンティティの復号
鍵、署名鍵を知っていることにより、極めてリスクが大
きくなるという点にある。ただし、鍵管理センタには、
エンティティの登録時にそのエンティティが正しい暗号
化鍵と復号鍵のペア、正しい検証鍵と署名鍵のペアを持
っているか否か、およびそれらのペアが他のエンティテ
ィの暗号化鍵と復号鍵、検証鍵と署名鍵と重複していな
いか否か等を判断する機能を備えていることが必要であ
る。これにより、鍵管理センタは、エンティティの不正
および誤登録を防止することができ、正しい相手認証機
関として動作することができる。本発明の目的は、これ
ら従来の課題を解決し、鍵管理センタの不正、鍵管理セ
ンタとある特定のエンティティとの結託、鍵管理センタ
への攻撃等の心配がなく、かつ全てのエンティティおよ
び下位の鍵管理センタの暗号通信内容の機密性を保証
し、しかも鍵管理センタとしての判断機能を備えた鍵管
理センタへのユーザ登録方法を提供することである。ま
た、本発明の他の目的は、鍵管理センタは、他のエンテ
ィティとの暗号化鍵と復号鍵、および検証鍵と署名鍵の
重複を判断し、かつ各エンティティが正しい暗号化鍵と
復号鍵、および正しい検証鍵と署名鍵の各ペアを持って
いるか否かを判定することができ、かつ階層構成の鍵管
理センタにおける下位の鍵管理センタもエンティティと
同じように扱うことができる鍵管理センタへのユーザ登
録方法を提供することにある。

【０００６】

【課題を解決するための手段】上記目的を達成するた
め、本発明の鍵管理センタへのユーザ登録方法では、各
エンティティあるいは下位の鍵管理センタが自分の復号
鍵、署名鍵および検証鍵、暗号化鍵を生成し、そのうち
の復号鍵と署名鍵は自分のみが秘密にしておく。次に、
エンティティあるいは下位の鍵管理センタは、暗号通信
を行う通信路とは別個の直接面会等の方法により上位の
鍵管理センタに対して、身分証明書と検証鍵、暗号化鍵
を提示する。上位の鍵管理センタは、提示された身分証
明書からエンティティあるいは下位の鍵管理センタの登
録の可否を決定する。次に、上位の鍵管理センタは、提
示されたエンティティあるいは下位の鍵管理センタの検
証鍵、暗号化鍵が既に登録されていないか否かの重複チ
ェックを行い、さらにエンティティあるいは下位の鍵管
理センタが確実に、かつ相互に相手認証ができるよう
に、エンティティあるいは下位の鍵管理センタが生成し
た復号鍵、署名鍵および検証鍵、暗号化鍵が誤って生成
されていないか否かを、復号鍵および署名鍵を知らずに
チェックするため、零知識対話証明の手法を応用して判
断する。なお、零知識対話証明の手法としては、例えば
『ゼロ知識対話証明の原理と課題』小山謙二著、情報処
理学会誌、Vol.32,Ｎo.6,pp.643〜653に記載されてい
る。このように、鍵管理センタは、エンティティあるい
は下位の鍵管理センタの検証鍵、暗号化鍵とＩＤを公開
することにより、全てのエンティティあるいは下位の鍵
管理センタの認証機関としての機能を果す。そして、鍵
管理センタは、どのエンティティの秘密の復号鍵も署名
鍵も保持していないので、鍵管理センタの不正、鍵管理
センタとある特定のエンティティとの結託、あるいは鍵
管理センタへの攻撃等がなくなり、その結果、全てのエ
ンティティの秘密情報である復号鍵、署名鍵を秘密にす
ることができる。

【０００７】

【作用】本発明においては、鍵管理センタの不正、鍵管
理センタとある特定のエンティティとの結託、および鍵
管理センタへの攻撃等から全てのエンティティのセキュ
リティを守るために、鍵管理センタには、エンティティ
の秘密情報である復号鍵、署名鍵を知らせることなく、
エンティティのユーザ登録を行うことができるととも
に、鍵管理センタは、エンティティが正しい暗号化鍵と
復号鍵の正しいペア、および検証鍵と署名鍵の正しいペ
アを持っているか否かの判断、および他のエンティティ
との暗号化鍵と復号鍵、検証鍵と署名鍵の重複の判断を
行える。なお、エンティティが正しい暗号化鍵と復号鍵
の正しいペア、および検証鍵と署名鍵の正しいペアを持
っているか否かの判断は、鍵管理センタが零知識対話証
明（例えば、『ゼロ知識対話証明の原理と課題』情報処
理学会誌、Ｖol.132,Ｎo.6,pp643〜pp653参照)を利用し
て行う。本発明では、全てのエンティティの秘密情報で
ある復号鍵、署名鍵を所持したり、あるいは知ることも
できない鍵管理センタを構築することができる。

【０００８】

【実施例】 以下、本発明の実施例を、図面により詳細
に説明する。図１、図２および図３は、本発明の一実施
例を示す鍵管理センタへのユーザ登録方法のフローチャ
ートである。図において、左側は上位鍵管理センタの処
理であり、右側はユーザまたは下位鍵管理センタの処理
である。本発明の暗号システムでは、以下のフェーズを
経由して相手認証を行うための公開鍵を登録する。 （ｉ）鍵管理センタの選定（図１のステップ１） （ｉｉ）各エンティティあるいは下位の鍵管理センタに
よる鍵管理センタへの仮登録（図１のステップ２〜３） （ｉｉｉ）各エンティティあるいは下位の鍵管理センタ
による鍵管理センタへの暗号化鍵と検証鍵の正当性の独
自性のチェック（図１のステップ４〜５） （ｉｖ）各エンティティあるいは下位の鍵管理センタに
よる鍵管理センタへの本登録（図１〜図３のステップ６
〜２５） なお、上記のフェーズ（ｉ）はこの暗号システム全体で
１回だけ行えばよい。フェーズ（ｉｉ）〜（ｉｖ）はエ
ンティティあるいは下位の鍵管理センタ毎に１回ずつ行
う。

【０００９】 次に、図１〜図３のフローに従って詳述
する。ここでは、これ以降、２つの素数の合成数からな
る自然数の因数分解の困難さに安全性をおく公開鍵暗号
アルゴリズムにより、データの暗号化／復号機能と署名
／検証機能の両方の機能を備えたＲＳＡ暗号アルゴリズ
ムを例にして述べる（ここでは、暗号化鍵≡検証鍵、復
号鍵≡署名鍵）。また、上記フェーズ（ｉｉｉ）〜（ｉ
ｖ）は必ずしも機密性の高くない通信路を利用すること
ができる。従って、フェーズ（ｉｉｉ）〜（ｉｖ）を機
密性の高い通信路を利用して行った場合の説明を行った
後、次に必ずしも機密性の高くない通信路を利用した場
合の違いと補足説明を行う。 （ｉ）鍵管理センタの選定 先ず最初に、エンティティおよび下位の鍵管理センタは
上位の鍵管理センタ（以下、単に鍵管理センタと記す）
を選択する。次に、鍵管理センタは、エンティティの公
開鍵管理テーブルを作成し、自分自身で暗号化鍵（兼検
証鍵）ｅ_hと復号鍵（兼署名鍵）ｄ_hを生成する（ステッ
プ１）。以上により、鍵管理センタの設立準備が完了す
る。なお、本明細書における英字記号ｅ，ｄ，ｐ，ｖ，
ｒ，ｔ，Ｘ，Ｚ等は、その都度定義していないが、全て
行列式を表している。 （ｉｉ）各エンティティあるいは下位の鍵管理センタ
は、鍵管理センタに対して暗号化鍵と検証鍵を登録す
る。なお、全てのエンティティ／下位の鍵管理センタ
は、同一の準備と登録手順を経由するので、ここではあ
る特定のエンティティＡを例にとって述べる。勿論、下
位の鍵管理センタである場合も全く同じである。エンテ
ィティＡは、２つ以上の素数の合成数からなるｎの因数
分解の困難さに安全性をおくアルゴリズムで、かつ自ら
使用する公開鍵暗号アルゴリズムおよび認証アルゴリズ
ムに基づいて、公開鍵である自分の暗号化鍵（兼検証
鍵）ｅ₁と秘密鍵である復号鍵（兼署名鍵）ｄ₁を生成す
る（ステップ２）。ここでは（暗号化鍵＝検証鍵、復号
鍵＝署名鍵であるため、署名鍵ｐ₁および検証鍵ｖ₁も生
成されたことになる。エンティティＡは、復号鍵（兼署
名鍵）ｄ₁＝ｐ₁を極秘に保持する。次にエンティティＡ
は、通信路と別個の機密性の高い伝達媒体を利用して、
ＩＤおよび暗号化鍵を鍵管理センタに送信するか、ある
いは暗号化鍵（兼検証鍵）ｅ₁、ＩＤおよび身分証明書
を持って、鍵管理センタに行き、これらを提示する（ス
テップ３）。すなわち、エンティティＡ個人を特定でき
る社会的信頼のある証明書とエンティティＡのＩＤを鍵
管理センタに提示する。

【００１０】（ｉｉｉ）鍵管理センタは、各エンティテ
ィあるいは下位の鍵管理センタの暗号化鍵と検証鍵の正
当性（正しさ）と独自性（重複）をチェックする。すな
わち、鍵管理センタは、エンティティＡが提示した身分
証明書の正当性（有効性）を判断し、さらに鍵管理セン
タは、エンティティＡが提示した身分証明書の正当性を
確認できれば、次に暗号化鍵（検証鍵）ｅ₁＝｛ｅ₁，ｎ
₁｝を受け取り、公開鍵管理テーブルを参照して、既に
登録済みの他のエンティティあるいは他の鍵管理センタ
との暗号化鍵（検証鍵）と重複がないか否かの独自性を
チェックする（ステップ４）。一方、身分証明書の正当
性に疑問がある場合、あるいは他のエンティティ等との
重複がある場合には、身分証明無効として登録失敗を通
知する（ステップ５）。（ｉｖ）各エンティティあるい
は下位の鍵管理センタは、鍵管理センタへ本登録を行
う。 （ｉｖ−１）機密性の高い通信路を利用する場合、登録
済みの他のエンティティあるいは他の鍵管理センタとの
暗号化鍵（検証鍵）と重複がない場合、エンティティＡ
が本当に署名鍵ｄ₁＝｛ｄ₁，ｎ₁｝を保持しているか否
かを確認するために使用する乱数ｔ_h，ｒ_hを生成する
（ステップ６）。 次に、鍵管理センタは、生成した乱
数ｔ_h，ｒ_hと暗号化鍵（兼検証鍵）ｅ₁＝｛ｅ₁，ｎ₁｝
とから、次式Ｚ_h，Ｘ_hを計算する（ステップ７）。 Ｚ_h＝ｔ_h ²ｍｏｄｎ₁ ・・・・・・・・・・・・・・
・・・・・（１） Ｘ_h＝ｒ^h2ｍｏｄｎ₁ ・・・・・・・・・・・・・・
・・・・・（２） 鍵管理センタは、Ｘ_h，Ｚ_hをエンティティＡに送信する
（ステップ８）。

【００１１】エンティティＡは、受け取ったＸ_hと同じ
次元（ｋとする）のｂ₁を生成する（ステップ９）。す
なわち、基の複数個の乱数を得る。 ｂ₁＝｛０，１，０，・・・,ｂ_i，・・・,ｂ_k｝ ・・・・・
・・・・・・（３） なお、ｂ_iはランダムに０，１をとる。そして、エンテ
ィティＡは、生成したｂ₁、つまり復号した基の複数個
の乱数を鍵管理センタに送信する（ステップ１０）。鍵
管理センタは、受け取ったｂ₁を用いて次のＹ_hを計算す
る（ステップ１１）。 Ｙ_h＝（ｒ・ｔ^b1）ｍｏｄｎ₁ ・・・・・・・・・・
・・・・・・（４） そして、鍵管理センタは、計算して求めたＹ_hをエンテ
ィティＡに送信する（ステップ１２）。エンティティＡ
は、受け取ったＹ_hを用いて次式が成立することを確認
する（ステップ１３）。 （Ｚ_h ^be・Ｘ_h）ｍｏｄｎ₁−Ｙ_h ²ｍｏｄｎ₁＝０ ・・・
・・・・・（４） もし。上式（４）が０にならなかったときには、鍵管理
センタかあるいはエンティティＡが正しい鍵を所有して
いなかったことになる。従って、エンティティＡは、上
式（４）が不成立のときには、鍵管理センタに対して登
録失敗を通知する（ステップ１４）。一方、上式（４）
が成立したときには、エンティティＡは合成数ｎ₁の素
因数を知っていることを利用して、次の式を計算してＳ
_hを求める（ステップ１５）。 Ｓ_h ²＝Ｚ_hｍｏｄｎ ・・・・・・・・・・・・・・・
・・・・・・（５） 次に、エンティティＡは乱数ｔ₁，ｒ₁（ｋ次成）を生成
する（ステップ１６）。

【００１２】次に、エンティティＡは、次式を計算して
Ｚ₁，Ｘ₁を求めた後（ステップ１７）、Ｚ₁，Ｘ₁を鍵管
理センタに送信する（ステップ１８）。 Ｚ₁＝ｔ₁ ²ｍｏｄｎ₁ ・・・・・・・・・・・・・・・
・・・・・・（６） Ｘ₁＝ｒ₁ ²ｍｏｄｎ₁ ・・・・・・・・・・・・・・・
・・・・・・（７） 鍵管理センタは、受け取ったＸ₁と同じ次元数（ｋとす
る）のｂ_hを生成する（ステップ１９）。 ｂ_h＝｛０，１，０，・・・，ｂ_i，・・・，ｂ_k｝ ・・・・
・・・・・・・（８） なお、ｂ_iはランダムに０，１をとるものとする。鍵管
理センタは、生成したｂ_hをエンティティＡに送信する
（ステップ２０）。エンティティＡは、受け取ったｂ_h
を用いて次式（９）を計算しＹ₁を求める（ステップ２
１）。 Ｙ₁＝（ｒ₁・ｔ₁ ^b）ｍｏｄｎ₁ ・・・・・・・・・・
・・・・・・（９） エンティティＡは求めたＹ₁を鍵管理センタに送信する
（ステップ２２）。鍵管理センタは、次式（１０）が成
立することを確認する（ステップ２３）。 （Ｚ₁ ^bＸ₁）ｍｏｄｎ₁−Ｙ₁ ²ｍｏｄｎ₁＝０ ・・・・
・・・・・（１０） もし、上式（１０）が成立しないときには、鍵管理セン
タかあるいはエンティティＡか、または通信回線のいず
れかで、改竄したことになる。従って、鍵管理センタは
エンティティＡに対して登録失敗を通知する（ステップ
２４）。一方、上式（１０）が成立したときには、鍵管
理センタはエンティティＡが生成した暗号化鍵（兼検証
鍵）ｅ₁と復号鍵（兼署名鍵）ｄ₁の正当性と独自性を認
めて、エンティティＡの所属・氏名等からなるＩＤ₁と
暗号化鍵（検証鍵）ｅ₁を公開し、公開登録を完了する
（ステップ２５）。これにより、エンティティＡは、鍵
管理センタに登録された全ての他のエンティティとの認
証通信を行うことが可能となる。

【００１３】（ｉｖ−２）必ずしも機密性のない通信路
を利用する場合、機密性の高くない通信路を利用した場
合にも、相互に送信し合うデータは（ｉｖ−１）の場合
と同じであるが、この場合には機密性が高くないため、
第三者に通信データを改竄されるおそれがある。データ
が改竄されると、正確なエンティティＡの鍵の正当性が
なくなるので、それを防止するため、以降に送信し合う
データに一方向性のハッシュ関数ｈとそれぞれ送信者の
署名鍵Ｓを利用してデータを送る。ただし、このフェー
ズでの署名鍵Ｓは、鍵管理センタに正式には認められて
いない。すなわち、機密性の高くない通信路を利用する
場合には、正式に認められていない署名鍵Ｓを用いて次
の形式でデータを送信する。 送信データ，Ｓ〔ｈ（送信データ）〕 ・・・・・・・
・・・・・（１１） なお、ここでＳは署名鍵、ｈはハッシュ関数を表わす。
すなわち、図１、図２および図３におけるステップ８で
は（送信データ）＝Ｚ_h，Ｘ_h、ステップ１０では（送信
データ）＝ｂ₁、ステップ１２では（送信データ）＝Ｙ_h
と置く。受信側では、最初に相手の検証鍵Ｖで検証し、
送信データにハッシュ関数で次の値を生成し、 ｈ（送信データ） ・・・・・・・・・・・・・・・・
・・・・・・（１２） さらにＳ〔ｈ（送信データ）〕に相手の検証鍵で検証
し、Ｖ〔Ｓ〔ｈ（送信データ）〕〕を生成する。送信デ
ータの改竄がなければ、次式（１３）が成立するはずで
ある。 ｈ（送信データ）＝Ｖ〔Ｓ〔ｈ（送信データ）〕〕 ・
・・・・・・（１３） 上式（１３）が成立すれば、送信データを信用して前述
の（ｉｖ−１）の機密性が保証された通信路を利用する
場合と同じ処理を続行する。

【００１４】以下、図１〜図３に従って、上記（ｉｖ−
２）の機密性の高くない通信路を利用した場合の鍵管理
センタへのユーザ登録方法の動作フローを説明する。な
お、全てのエンティティ／下位の鍵管理センタは、同一
の準備と登録手順を経由するので、ここではある特定の
エンティティＡを例にとって述べる。勿論、下位の鍵管
理センタである場合も全く同じである。最初のエンティ
ティ／下位鍵管理センタの登録受け付けの前に、鍵管理
センタはエンティティ／下位鍵管理センタの公開鍵管理
テーブルを作成し、公開鍵暗号アルゴリズムに基づい
て、暗号化鍵ｅ_h、復号鍵ｄ_hを生成し、認証アルゴリズ
ムに基づいて、署名鍵ｐ_h、検証鍵ｖ_hを生成する（ステ
ップ１）。その後、エンティティＡは２つ以上の素数の
合成数からなるｎの因数分解の困難さに安全性をおく公
開鍵暗号アルゴリズムに基づいて、暗号化鍵ｅ₁、復号
鍵ｄ₁を生成し、２つ以上の素数の合成数からなるｎの
因数分解の困難さに安全性をおく認証アルゴリズムに基
づいて、署名鍵ｐ₁、検証鍵ｖ₁を生成する（ステップ
２）。エンティティＡは、自ら生成した復号鍵ｄ₁と署
名鍵ｐ₁を極秘に保持し、通信路とは別個の機密性の高
い伝達媒体を介して自ら生成した暗号化鍵ｅ₁、検証鍵
ｖ₁とエンティティＡ個人を特定できる社会的信頼のあ
る証明書とエンティティＡのＩＤを鍵管理センタに提示
する（ステップ３）。

【００１５】鍵管理センタは、公開鍵管理テーブルを参
照して、他のエンティティの暗号化鍵、検証鍵とＩＤの
重複がないか否かを確認する（ステップ４）。鍵管理セ
ンタは、提示された証明書からエンティティＡを特定で
きる場合には、そのエンティティＡに対して乱数ｔ_h，
ｒ_h（ｋ次元）を生成する（ステップ６）。 ここで鍵
管理センタは、ハッシュ関数ｈのアルゴリズムおよび暗
号化鍵ｅ_hをエンティティＡに通知する（図１〜３では
ステップが省略）。これ以降、必ずしも機密性の高くな
い上記通信路を利用して相互に送受信される。鍵管理セ
ンタは、Ｚ_h＝ｔ_h ²ｍｏｄｎ₁を計算するとともに、Ｘ_h
＝ｒ_h ²ｍｏｄｎ₁を計算する（ステップ７）。さらに、
ｐ_h〔ｈ（Ｚ_h，Ｘ_h）〕を計算し、Ｚ_h，Ｘ_h，ｐ_h〔ｈ
（Ｚ_h，Ｘ_h）〕をエンティティＡに送信する（ステップ
８）。なお、ここでｐ_h〔ｈ（Ｚ_h，Ｘ_h）〕は、Ｚ_h，Ｘ
_hをハッシュした結果を鍵管理センタの署名鍵ｐ_hで署名
したことを示す。エンティティＡは、鍵管理センタの検
証鍵ｖ_hを利用してｖ_h〔ｐ_h〔ｈ（Ｚ_h，Ｘ_h）〕〕を計
算した結果とＺ_h，Ｘ_hをハッシュ化したｈ（Ｚ_h，Ｘ_h）
とを比較し、一致すれば通信路上で改竄されずにＺ_h，
Ｘ_hを受け取ったことを確信する。エンティティＡは、
ｂ₁＝{１，０，０，・・・,b_i,・・・,b_k} （ｂ_iはランダム
に０，１をとる）を生成し、ｐ₁〔ｈ（ｂ₁）〕を計算し
て、ｂ₁，ｐ₁〔ｈ（ｂ₁）〕を鍵管理センタに送信する
（ステップ１０）。

【００１６】 鍵管理センタは、エンティティＡの検証
鍵ｖ₁を利用してｖ₁〔ｐ₁〔ｈ（ｂ₁）〕〕を計算した結
果と、ｂ₁をハッシュ化したｈ（ｂ₁）とを比較し、一致
すれば通信路上で改竄されずにｂ₁を受け取ったことを
確認する。鍵管理センタは、（ｒ・ｔ^b1）ｍｏｄｎ₁を
計算してこれをＹ_hとし、ｐ_h〔ｈ（Ｙ_h）〕を計算し
て、Ｙ_h，ｐ_h〔ｈ（Ｙ_h）〕をエンティティＡに送信す
る（ステップ１２）。エンティティＡは、鍵管理センタ
の検証鍵ｖ_hを利用してｖ_h〔ｐ_h〔ｈ（Ｙ_h）〕〕を計算
した結果と、Ｙ_hをハッシュ化したｈ（Ｙ_h）とを比較
し、一致すれば通信路上で改竄されずにＹ_hを受け取っ
たことを確認する。エンティティＡは、（Ｚ^b1・Ｘ_h）
ｍｏｄｎ₁−Ｙ_hｍｏｄｎ₁を計算し、０となることを確
認する（ステップ１３）。次に、エンティティＡは合成
数ｎ₁の素因数を知っていることを利用して、Ｓ_h ²＝Ｚ_h
ｍｏｄｎ₁を計算してＳ_hを求める（ステップ１５）。エ
ンティティＡは、乱数ｔ₁，ｒ₁（ｋ次元）を生成して
（ステップ１６）、ｔ₁ ²ｍｏｄｎ₁を計算してこれをＺ₁
とし、ｒ₁ ²ｍｏｄｎ₁を計算してこれをＸ₁とし、さらに
ｐ₁〔ｈ（Ｚ₁，Ｘ₁）〕を計算して、Ｚ₁，Ｘ₁，ｐ₁〔ｈ
（Ｚ₁，Ｘ₁）〕を鍵管理センタに送信する（ステップ１
８）。

【００１７】鍵管理センタは、エンティティＡの検証鍵
ｖ₁を利用して、ｖ₁〔ｐ₁〔ｈ（Ｚ₁，Ｘ₁〕〕を計算し
た結果と、Ｚ¹，Ｘ₁をハッシュ化したｈ（Ｚ₁，Ｘ₁）と
を比較し、一致すれば通信路上で改竄されずにＺ₁，Ｘ₁
を受け取ったことを確認する。次に、鍵管理センタは、
元の複数個の乱数ｂ_h＝{１，０，０，・・・,ｂ_i，・・・,
ｂ_k}を生成する（ステップ１９）。なお、ｂ_iはランダ
ムに０，１をとる。そして、ｐ_h〔ｈ（ｂ_h）〕を計算し
て、ｂ_h，ｐ_h〔ｈ（ｂ_h）〕をエンティティＡに送信す
る（ステップ２０）。エンティティＡは、鍵管理センタ
の検証鍵ｖ_hを利用してｖ_h〔ｐ_h〔ｈ（ｂ_h）〕〕を計算
した結果と、ｂ_hをハッシュ化したｈ（ｂ_h）とを比較
し、一致すれば通信路上で改竄されずにｂ_hを受け取っ
たことを確信する。エンティティＡは、（ｒ₁・ｔ₁ ^b）
ｍｏｄｎ₁を計算し、これをＹ₁とし（ステップ２１）、
さらにｐ₁〔ｈ（Ｙ₁）〕を計算して、Ｙ₁，ｐ₁〔ｈ（Ｙ
₁）〕を鍵管理センタに送信する（ステップ２２）。鍵
管理センタは、エンティティＡの検証鍵ｖ₁を利用して
ｖ₁〔ｐ₁〔ｈ（Ｙ₁）〕〕を計算した結果と、Ｙ₁をハッ
シュ化したｈ（Ｙ₁）とを比較し、一致すれば通信路上
で改竄されずにＹ₁を受け取ったことを確信する。鍵管
理センタは、（Ｚ₁ ^b・Ｘ₁）ｍｏｄｎ₁−Ｙ₁ ²ｍｏｄｎ₁
を計算し、０となることを確認する（ステップ２３）。
これにより、鍵管理センタは、エンティティＡが生成し
た暗号化鍵ｅ₁、復号鍵ｄ₁、署名鍵ｐ₁、および検証鍵
ｖ₁は正しく生成されたものであることを確信する。そ
して、鍵管理センタは、エンティティＡの暗号化鍵
ｅ₁、検証鍵ｖ₁を公開鍵管理テーブルに登録し、かつエ
ンティティＡの暗号化鍵ｅ₁、検証鍵ｖ₁およびエンティ
ティＡのＩＤを公開する（ステップ２５）。その結果、
鍵管理センタに各エンティティ秘密の復号鍵ｄ₁、署名
鍵ｐ₁を知られることなく認証通信を行うことができ
る。

【００１８】

【発明の効果】以上説明したように、本発明によれば、
鍵管理センタがどのエンティティの秘密の復号鍵、署名
鍵をも保持していないため、鍵管理センタの不正、鍵管
理センタと特定のエンティティとの結託、あるいは鍵管
理センタへの攻撃等から全てのエンティティの秘密情報
である復号鍵、署名鍵を守ることができ、エンティティ
の暗号通信の内容の機密性を保証することができる。ま
た、鍵管理センタは、エンティティが正しい一対の暗号
化鍵と復号鍵、および検証鍵と署名鍵を持っているか否
か、ならびに他のエンティティの暗号化鍵と復号鍵、お
よび検証鍵と署名鍵との重複を判別することができる。

【図面の簡単な説明】

【図１】本発明の一実施例を示す鍵管理センタへのユー
ザ登録方法の動作フローチャート（その１）である。

【図２】同じく鍵管理センタへのユーザ登録方法の動作
フローチャート（その２）である。

【図３】同じく鍵管理センタへのユーザ登録方法の動作
フローチャート（その３）である。

【符号の説明】

ｅ・・・鍵管理センタが生成する暗号化鍵、d・・・同じく復
号鍵、p・・・同じく署名鍵、v・・・同じく検証鍵、e₁・・・エ
ンティティが生成した暗号化鍵、d₁・・・同じく復号鍵、p
₁・・・同じく署名鍵、v₁・・・同じく検証鍵、ＩＤ・・・エンテ
ィティの識別番号、t,r・・・乱数、

Claims (5)

【特許請求の範囲】
1. 【請求項１】共通の鍵管理センタの管理の元に、複数の
   エンティティが必ずしも機密性の高くない通信路を経由
   して相手認証を行うための準備として該鍵管理センタへ
   エンティティ登録を行う方法において、 上記鍵管理センタは、最初のエンティティの登録受け付
   けの前に、エンティティの登録情報を記録する公開鍵管
   理テーブルを作成し、次に自ら使用する公開鍵暗号アル
   ゴリズムおよび認証アルゴリズムに基づき公開鍵と秘密
   鍵を生成し、 上記エンティティは、各自の登録毎に、自ら使用する公
   開鍵暗号アルゴリズムおよび認証アルゴリズムに基づき
   公開鍵と秘密鍵を生成し、次に、上記通信路とは別個の
   機密性の高い伝達媒体を利用して、自ら生成した公開鍵
   と該エンティティ個人を特定できる社会的信頼のある証
   明書と該エンティティのＩＤを該鍵管理センタに提示
   し、 該鍵管理センタは、上記公開鍵管理テーブルを参照し
   て、他のエンティティの公開鍵とＩＤの重複がないか否
   かを確認し、次に提示された上記証明書からエンティテ
   ィを特定できる場合には、該エンティティに対して複数
   個の生成した乱数を該エンティティの公開鍵で別個に暗
   号化して、該暗号化された乱数を該エンティティに送信
   し、 該エンティティは、受け取った複数個の暗号化された乱
   数を該エンティティの秘密鍵で復号して、元の複数個の
   乱数を得た後、該複数個の乱数を該鍵管理センタの公開
   鍵で別々に暗号化し、該暗号化された乱数を該鍵管理セ
   ンタに送信し、 該鍵管理センタは、上記暗号化された複数個の乱数を自
   らの秘密鍵で復号し、復号した乱数が該鍵管理センタに
   より最初に生成された複数個の乱数と等しければ、該エ
   ンティティの公開鍵を公開鍵を上記公開鍵管理テーブル
   に登録し、該エンティティの公開鍵とＩＤを公開するこ
   とにより、 各エンティティは秘密鍵を該鍵管理センタに知られるこ
   となく認証通信を行うことを特徴とする鍵管理センタへ
   のユーザ登録方法。
2. 【請求項２】共通の鍵管理センタの管理の元に、複数の
   テンティティが必ずしも機密性の高くない通信路を経由
   して相手認証を行うための準備として該鍵管理センタへ
   エンティティ登録を行う方法において、 上記鍵管理センタは、最初のエンティティの登録受け付
   けの前に、エンティティの登録情報を記録する公開鍵管
   理テーブルを作成し、次に自ら使用する公開鍵暗号アル
   ゴリズムに基づき暗号化鍵ｅと復号鍵ｄを生成するとと
   もに、認証アルゴリズムに基づき署名鍵ｐと検証鍵ｖを
   生成し、 上記エンティティは、各自の登録毎に、２つ以上の素数
   の合成数からなるｎ₁の因数分解の困難さに安全性をお
   く公開鍵暗号アルゴリズムに基づき、暗号化鍵ｅ₁、復
   号鍵ｄ₁を生成するとともに、２つ以上の素数の合成数
   からなるｎ₁の因数分解の困難さに安全性をおく認証ア
   ルゴリズムに基づき、署名鍵ｐ₁と検証鍵ｖ₁を生成し、
   次に、自ら生成した復号鍵ｄ₁と署名鍵ｐ₁を極秘に保持
   する一方、上記通信路とは別個の機密性の高い伝達媒体
   を利用して、自ら生成した暗号化鍵ｅ₁と検証鍵ｖ₁と該
   エンティティ個人を特定できる社会的信頼のある証明書
   と該エンティティのＩＤを該鍵管理センタに提示し、 該鍵管理センタは、上記公開鍵管理テーブルを参照し
   て、他のエンティティの暗号化鍵とＩＤの重複がないか
   否かを確認し、次に提示された上記証明書からエンティ
   ティを特定できる場合には、該エンティティに対して２
   つの乱数ｒ，ｔ（ｋ次元）を生成し、かつｔ²ｍｏｄ
   ｎ₁，を計算してこれをＺとし、ｒ₁ ²ｍｏｄｎ₁を計算し
   てこれをＸとし、該暗号化された乱数Ｚ，Ｘを該エンテ
   ィティに送信し、 該エンティティは、元のｋ個の乱数ｂ₁＝｛１，０，
   ０，・・・,ｂ_i，・・・ｂ_k｝を生成し（ｂ_iはランダムに０，
   １をとる）、生成したｂ₁を該鍵管理センタに送信し、 該鍵管理センタは、受け取ったｂ₁により（ｒ・ｔ^b1）
   ｍｏｄｎ₁を計算してこれをＹとし、Ｙを該エンティテ
   ィに送信し、 該エンティティは、受け取ったＹにより（Ｚ^b1・Ｘ）ｍ
   ｏｄｎ₁−Ｙ²ｍｏｄｎ₁を計算し、計算の結果が０にな
   ることを確認し、次に合成数ｎ₁の素因数を知っている
   ことを利用してＳ₁ ²＝Ｚｍｏｄｎ₁を計算してＳ₁を求
   め、次に乱数ｔ₁，ｒ₁（ｋ次元）を生成し、ｔ₁ ²ｍｏｄ
   ｎ₁を計算してこれをＺ₁とし、ｒ₁ ²ｍｏｄｎ₁を計算し
   てこれをＸ₁とし、該暗号化された乱数Ｚ₁，Ｘ₁を該鍵
   管理センタに送信し、 該鍵管理センタは、上記複数個の乱数Ｚ₁，Ｘ₁を受け取
   ると、ｂ＝｛１，０，０，・・・,ｂ_i・・・ｂ_k｝を生成し
   （ｂ_iはランダムに０，１をとる）、ｂを該エンティテ
   ィに送信し、 該エンティティは、受け取ったｂにより（ｒ₁・ｔ₁ ^b）
   ｍｏｄｎ₁を計算してこれをＹ₁とし、該Ｙ₁を鍵管理セ
   ンタに送信し、 該鍵管理センタは、受け取ったＹ₁により（Ｚ₁ ^b・Ｘ₁）
   ｍｏｄｎ₁−Ｙ₁ ²ｍｏｄｎ₁を計算して、計算の結果が０
   になることを確認し、これによって該エンティティが生
   成した暗号化鍵ｅ₁、復号鍵ｄ₁、署名鍵ｐ₁および検証
   鍵ｖ₁が正しく生成されたものであることを確信し、該
   エンティティの暗号化鍵ｅ₁と検証鍵ｖ₁を上記公開鍵管
   理テーブルに登録し、該エンティティの公開鍵とＩＤを
   公開することにより、 各エンティティは秘密鍵である復号鍵ｄ₁、署名鍵ｐ₁を
   該鍵管理センタに知られることなく認証通信を行うこと
   を特徴とする鍵管理センタへのユーザ登録方法。
3. 【請求項３】請求項１または２に記載の鍵管理センタへ
   のユーザ登録方法において、前記共通の鍵管理センタを
   上位の鍵管理センタとし、その他の複数の鍵管理センタ
   を下位の鍵管理センタとし、さらに前記エンティティの
   全ての動作手順を該下位の鍵管理センタの動作手順に置
   き換えたことを特徴とする鍵管理センタへのユーザ登録
   方法。
4. 【請求項４】共通の鍵管理センタの管理の元に、複数の
   エンティティが必ずしも機密性の高くない通信路を経由
   して相手認証を行うための準備として鍵管理センタへエ
   ンティティ登録を行う方法において、 該鍵管理センタは、最初のエンティティの登録受け付け
   の前に、該エンティティの公開鍵管理テーブルを作成
   し、公開鍵暗号アルゴリズムに基づいて、暗号化鍵
   ｅ_h、復号鍵ｄ_hを生成し、認証アルゴリズムに基づい
   て、署名鍵ｐ_h、検証鍵ｖ_hを生成し、 エンティティは、２つ以上の素数の合成数からなるｎの
   因数分解の困難さに安全性をおく公開鍵暗号アルゴリズ
   ムに基づいて、暗号化鍵ｅ₁、復号鍵ｄ₁を生成し、２つ
   以上の素数の合成数からなるｎの因数分解の困難さに安
   全性をおく認証アルゴリズムに基づいて、署名鍵ｐ₁、
   検証鍵ｖ₁を生成し、次に自ら生成した復号鍵ｄ₁と署名
   鍵ｐ₁を極秘に保持し、通信路とは別個の機密性の高い
   伝達媒体を介して自ら生成した暗号化鍵ｅ₁、検証鍵ｖ₁
   と該エンティティ個人を特定できる社会的信頼のある証
   明書と該エンティティのＩＤを鍵管理センタに提示し、 鍵管理センタは、公開鍵管理テーブルを参照して、他の
   エンティティの暗号化鍵、検証鍵とＩＤの重複がないか
   否かを確認し、かつ提示された証明書から該エンティテ
   ィを特定できる場合には、該エンティティに対して乱数
   ｔ_h，ｒ_h（ｋ次元）を生成し、さらに、ハッシュ関数ｈ
   のアルゴリズムおよび暗号化鍵ｅ_hを該エンティティに
   通知し、 これ以降、必ずしも機密性の高くない通信路を利用して
   相互に送受信され、 鍵管理センタは、Ｚ_h＝ｔ_h ²ｍｏｄｎ₁を計算するととも
   に、Ｘ_h＝ｒ_h ²ｍｏｄｎ₁を計算し、さらに、ｐ_h〔ｈ
   （Ｚ_h，Ｘ_h）〕を計算し、Ｚ_h，Ｘ_h，ｐ_h〔ｈ（Ｚ_h，Ｘ
   _h）〕を該エンティティに送信し、 該エンティティは、鍵管理センタの検証鍵ｖ_hを利用し
   てｖ_h〔ｐ_h〔ｈ（Ｚ_h，Ｘ_h）〕〕を計算した結果と
   Ｚ_h，Ｘ_hをハッシュ化したｈ（Ｚ_h，Ｘ_h）とを比較し、
   一致すれば通信路上で改竄されずにＺ_h，Ｘ_hを受け取っ
   たことを確信し、次にｂ₁＝{１，０，０，・・・,b_i,・・・,b
   _k} （ｂ_iはランダムに０，１をとる）を生成した後
   に、ｐ₁〔ｈ（ｂ₁）〕を計算して、ｂ₁，ｐ₁〔ｈ
   （ｂ₁）〕を鍵管理センタに送信し、 鍵管理センタは、該エンティティの検証鍵ｖ₁を利用し
   てｖ₁〔ｐ₁〔ｈ（ｂ₁）〕〕を計算した結果と、ｂ₁をハ
   ッシュ化したｈ（ｂ₁）とを比較し、一致すれば通信路
   上で改竄されずにｂ₁を受け取ったことを確認し、次に
   （ｒ・ｔ^b1）ｍｏｄｎ₁を計算してこれをＹ_hとし、ｐ_h
   〔ｈ（Ｙ_h）〕を計算して、Ｙ_h，ｐ_h〔ｈ（Ｙ_h）〕を該
   エンティティに送信し、 該エンティティは、鍵管理センタの検証鍵ｖ_hを利用し
   てｖ_h〔ｐ_h〔ｈ（Ｙ_h）〕〕を計算した結果と、Ｙ_hをハ
   ッシュ化したｈ（Ｙ_h）とを比較し、一致すれば通信路
   上で改竄されずにＹ_hを受け取ったことを確認し、次に
   （Ｚ^b1・Ｘ_h）ｍｏｄｎ₁−Ｙ_hｍｏｄｎ₁を計算し、０と
   なることを確認し、次に合成数ｎ₁の素因数を知ってい
   ることを利用して、Ｓ_h ²＝Ｚ_hｍｏｄｎ₁を計算してＳ_h
   を求め、次に乱数ｔ₁，ｒ₁（ｋ次元）を生成して、該乱
   数ｔ₁，ｒ₁を用いてｔ₁ ²ｍｏｄｎ₁を計算してこれをＺ₁
   とし、ｒ₁ ²ｍｏｄｎ₁を計算してこれをＸ₁とし、さらに
   ｐ₁〔ｈ（Ｚ₁，Ｘ_h）〕を計算して、Ｚ₁，Ｘ₁，ｐ₁〔ｈ
   （Ｚ₁，Ｘ₁）〕を該鍵管理センタに送信し、 鍵管理センタは、該エンティティの検証鍵ｖ₁を利用し
   て、ｖ₁〔ｐ₁〔ｈ（Ｚ₁Ｘ₁〕〕を計算した結果と、
   Ｚ₁，Ｘ₁をハッシュ化したｈ（Ｚ₁，Ｘ₁）とを比較し、
   一致すれば通信路上で改竄されずにＺ₁，Ｘ₁を受け取っ
   たことを確認し、元の複数個の乱数ｂ_h＝{１，０，０，
   ・・・,ｂ_i，・・・,ｂ_k}を生成し（ｂ_iはランダムに０，
   １）、ｐ_h〔ｈ（ｂ_h）〕を計算して、ｂ_h，ｐ_h〔ｈ（ｂ
   _h）〕を該エンティティに送信し、 該エンティティは、鍵管理センタの検証鍵ｖ_hを利用し
   てｖ_h〔ｐ_h〔ｈ(ｂ_h)〕〕を計算した結果と、ｂ_hをハッ
   シュ化したｈ（ｂ_h）とを比較し、一致すれば通信路上
   で改竄されずにｂ_hを受け取ったことを確信し、次に、
   （ｒ₁・ｔ₁ ^b）ｍｏｄｎ₁を計算してこれをＹ₁とし、さ
   らにｐ₁〔ｈ（Ｙ₁）〕を計算して、Ｙ₁，ｐ₁〔ｈ
   （Ｙ₁）〕を鍵管理センタに送信し、 該鍵管理センタは、該エンティティの検証鍵ｖ₁を利用
   してｖ₁〔ｐ₁〔ｈ（Ｙ₁）〕〕を計算した結果と、Ｙ₁を
   ハッシュ化したｈ（Ｙ₁）とを比較し、一致すれば通信
   路上で改竄されずにＹ₁を受け取ったことを確信し、次
   に（Ｚ₁ ^b・Ｘ₁）ｍｏｄｎ₁−Ｙ₁ ²ｍｏｄｎ₁を計算し、
   ０となることを確認し、これにより該エンティティが生
   成した暗号化鍵ｅ₁、復号鍵ｄ₁、署名鍵ｐ₁、および検
   証鍵ｖ₁が正しく生成されたものであることを確信し、
   該エンティティの暗号化鍵ｅ₁、検証鍵ｖ₁を上記公開鍵
   管理テーブルに登録し、かつ該エンティティの暗号化鍵
   ｅ₁、検証鍵ｖ₁およびエンティティＡのＩＤを公開し、 該エンティティは、該鍵管理センタに該エンティティ秘
   密の復号鍵ｄ₁、署名鍵ｐ₁を知られることなく認証通信
   を行うことを特徴とする鍵管理センタへのユーザ登録方
   法。
5. 【請求項５】請求項４に記載の鍵管理センタへのユーザ
   登録方法において、前記共通の鍵管理センタを上位の鍵
   管理センタとし、その他の複数の鍵管理センタを下位の
   鍵管理センタとし、さらに前記エンティティの全ての動
   作手順を該下位の鍵管理センタの動作手順に置き換えた
   ことを特徴とする鍵管理センタへのユーザ登録方法。