JPH1020783A

JPH1020783A - 乱数生成装置及び乱数生成システム並びに暗号通信方式

Info

Publication number: JPH1020783A
Application number: JP8169869A
Authority: JP
Inventors: Eiji Watanabe; 榮治渡邊; Koji Take; 弘司武
Original assignee: AIRU KK; METEOOLA SYST KK
Current assignee: AIRU KK; METEOOLA SYST KK
Priority date: 1996-06-28
Filing date: 1996-06-28
Publication date: 1998-01-23

Abstract

(57)【要約】（修正有）【課題】オーブンなネットワーク環境下にあるパソコ
ン上でＯｎｅ−ＴｉｍｅＰａｄ暗号を成立させるこ
と、共通鍵を使い捨てできる方式を得ること。【解決手段】初期値Ｘｉを「秘密鍵」として入力して
（Ｓ１）、カオス的写像演算を行いながらカオス的起動
（Ｘ₁ →ｘ₂ →…→ｘ_n ）を次々と生成する（Ｓ２、Ｓ
３）。そして、この生成が終了すると、その終了時点で
の演算値を次回の初期値として保存する（Ｓ４）。つま
り、新しい秘密鍵として保存する。一方、ステップＳ２
で生成された軌道を用いて一方向圧縮によるバイナリー
乱数を生成し（Ｓ５）、これを乱数ストリームを暗号
（動的ワーク鍵）として出力する（Ｓ６）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】オープン環境下のネットワー
ク、特にインターネットとか衛星通信などに於ける暗号
技術、鍵配送技術、認証技術、暗号通信プロトコルなど
に関する。

【０００２】

【従来の技術】一般に近代的な暗号技術では、暗号・復
号をするときに「鍵」を用いる。この「鍵」管理の信頼
性と扱い易さを両立させることがインターネット等にお
ける様々な問題解決に役立つ。

【０００３】この「鍵」管理の信頼性を高めるために、
「鍵」の階層を作って「鍵」の管理を行なうことが知ら
れている。例えば、「暗号論入門共立出版株式会社、
岡本栄司１９９４年１０月１日」（以下文献１とい
う）によれば、暗号鍵は図９に示すように階層化されて
いる。１番下の鍵をデータ暗号鍵あるいはワーク鍵とい
い、下から２番目以上の鍵を鍵暗号化鍵、最上位の鍵を
マスター鍵という。ワーク鍵で実際のデータの暗号化／
復号化を行う。下からｎ−１段目の鍵を下からｎ段目の
鍵暗号化鍵で暗号化して相手側に送る。

【０００４】図９におけるマスター鍵はオフライン等の
手段により暗号化側と復号化側で伝えあう必要がある。
階層数が１のときは、ワーク鍵自体をオフラインなどで
伝えあうことになる。

【０００５】階層数を２として、対称暗号をデータ暗号
に用い、そのときのワーク鍵を非対称暗号で暗号化して
相手側に伝えることはよく行われている。このハイブリ
ッドタイプのメリットは、高速処理可能な対称暗号で大
量のデータを暗号化できること、およびそのときのワー
ク鍵を非対称暗号で暗号化すれば、マスター鍵を公開鍵
とすることができることである。全体としてみると、暗
号処理速度が大きくかつ暗号強度が高い暗号系を構築で
きる。

【０００６】この説明を見ても判るように、「鍵」の扱
い易さと信頼性とは、トレードオフしている。対称暗号
は、特に共通鍵を用いるので扱い易さは合格であるが、
同じ鍵を何度も用いるので、信頼性はそれだけ低下せざ
せるを得ない。特に、バリューデータ（電子マネーな
ど）のような高度なセキュリティーには不向きとされて
いる。

【０００７】この欠点を克服している対称暗号が古くか
ら知られている；Ｏｎｅ−ＴｉｍｅＰａｄ暗号とかＶｅ
ｒｎｕｍ暗号と言われている技術である。

【０００８】これは、図１０に示すような手順で平文を
１ビットずつ乱数ストリームのビット・ストリームと排
他的論理和（ＸＯＲ）するという、ごく簡単な手続きの
技術であり、一般的に「ストリーム暗号」（ｓｔｒｅａ
ｍｃｉｐｈｅｒ）と言われている。

【０００９】このような技術においては、特に乱数列が
真正乱数であるとき「暗号学的にもっとも安全である」
と考えられている。

【００１０】また、上記のＯｎｅ−ＴｉｍｅＰａｄと
は、「乱数列を使い捨て」とするのであるが、これは、
共通鍵の考え方に直すと、１回の通信毎に「共通鍵を捨
てる」ということを意味する。

【００１１】このＯｎｅ−ＴｉｍｅＰａｄ暗号は、し
かし、民間では利用できない。その理由は、真正乱数を
ソフトウェアで作れないことと、乱数を使い捨てにする
ということで極めて扱いが困難になるからである；最高
の秘密通信にのみ使用されているということである。
尚、真正乱数とは、０と１とが等確率に出現するビット
列を言う。

【００１２】このＯｎｅ−ＴｉｍｅＰａｄ暗号を民間
でも利用できるようにしようと考えると、ソフトウェアで真正乱数を作れること（少なくもル
ープしない乱数ストリームを作れること）。乱数ストリームを鍵によって１００％再現できるよ
うにすること。差別化された鍵の個数すなわち鍵空間は２¹²⁸ 個以
上のサイズでなければならない。鍵空間が２¹²⁸ 個以上
のサイズというのは、「ＵＮＩＸＭＡＧＡＺＩＮＥ１
９９５年１０月号Ｐ７０」（以下文献［３］という）
によれば、一秒間当たり１０⁹個の命令を実行できる計
算機を１００億の人間がそれぞれ持ち、それぞれいっせ
いに計算を始めたとすると、８０００億年もかかること
を述べている。鍵は、何らかの方法で使い捨てにする。何らかの方
法とは、ハイブリッド・タイプではない、扱い易い新し
いスキームである。

【００１３】以上少なくも〜を満たす新しい乱数ス
トリーム生成ソフトウェアを必要とする。ところが、従
来の乱数生成ソフトウェアは、乱数を作るのに“乱数”
すなわち真正乱数を入力するか、デタラメなタイプ入力
をさせて“偶然性”を人が作り出してやらねばならない
という“にせ者”である。実は、対称暗号の技術は、こ
ういう疑似乱数生成法を要素技術として使っているの
で、安全とは考えられていない。

【００１４】従って、使い難いけれども、安全性を採る
場合は物理乱数を加工して真正乱数を作り出しているの
である。

【００１５】この物理乱数とは、自然現象から抽出した
乱数であり、真正乱数とはならないが、それに近い信頼
性があるとされている。

【００１６】

【発明が解決しようとする課題】このように、オープン
なネットワーク環境下にあるパソコン上で（１）真正乱
数を無尽蔵に生成すること、（２）共通鍵を使い捨てに
すること、という二つの要請に答えることは従来技術で
はできない。従って、Ｏｎｅ−Ｔｉｍｅｐａｄ暗号は
コンピュータ技術の問題外であった。

【００１７】そこで前項に述べた〜の要請に応える
乱数生成ソフトウェアの考案と、共通鍵を使い捨てにす
る新しい暗号通信方式を考案することで、オーブンなネ
ットワーク環境下にあるパソコン上でも（Ａ）Ｏｎｅ−
ＴｉｍｅＰａｄ暗号を成立させること、（Ｂ）共通鍵
を使い捨てにすること、という二つの要請に答える。ま
た、上記（１）と（２）をベースにして、（３）通信当
事者の認証技術の問題及び、（４）イントラネットの普
及とともに、組織内の情報流出を防ぐ方策がないという
問題；現在外部からのアクセス制限を行なうことはファ
イアーウォールでしているが、内部からの流出は防げな
い。これらの（１）〜（４）の問題を解決する。

【００１８】

【課題を解決するための手段】請求項１と２は、乱数生
成ソフトウェアの構成法に関し、従来に無い新しいスキ
ームに関する、４０年以上前に考案され、ｄｅｆａｃ
ｔｏｓｔａｎｄａｒｄになったＬｅｈｍｅｒｇｌｎ
ｅｒａｔｏｒ以来、乱数生成には２進表現のレジスター
が用いられてきた。これはコンピュータの限界に挑んで
きたという明しでもある。しかし、当考案では、このコ
ンピュータの限界を楽に越える手段として、「１０進数
を記憶するレジスターでありながら、その一桁がさらに
任意の桁の数値を収容できるレジスターとなっている
“入れ籠構造”を成したレジスター」を考案した。この
考案が乱数を作る上でいかに画期的であるかを以下に説
明しなければならない。

【００１９】カオス的現象についてはコンピュータの助
けによって解明されてきたが、カオスそのものをコンピ
ュータの中で実現することには、未だ成功していない。
その根本的な理由は、カオスの舞台となっているところ
は、「連続量」の世界であるからである。；区間［０，
１］の間に埋っている実数の世界である。連続量は図１
２に示すようにさらに二つのカテゴリーに分けられる；
図１２のは整数のグループを無限に並べた世界を想像
すればよい。図１２のは、グループの中味が数えられ
ないというグループが無限にあるということで、さらに
想像不可能な世界である。

【００２０】一方、コンピュータの世界は、レジスター
の能力で決まる整数のグループが一つ有るだけである；
これを有限精度空間と言う。従って、カオスはもちろん
生れないし、カオス的現象も限られた範囲でしか作れな
い。こういう条件で現代の乱数生成法は、コンピュータ
のレジスターという２進表現の「有限な非連続量」の世
界の中で、その限界に挑んできた技術であると言える。

【００２１】これに対して当発明の原点は、コンピュー
タの有限精度を一つの「構造」と考えて、この構造自身
の「自己相似形」をその構造の中に組み込むという画期
的メカニズムを導入した。これによって連続量、特に
「可算個の無限」をコンピュータの中で取り扱うことが
可能になった。「連続量を非連続量で表現する」という
ことを具体的に述べると、パソコンのレジスターで扱え
る整数値は、せいぜい１０⁹ ＜２³¹〜２³²＜１０¹⁰ である。

【００２２】今、０から１０⁹ の数のグループを一つの
有限精度空間と受け入れて、この非連続量によって可算
個の無限、１０^L （Ｌ→∞）を法とする線分［０，１］
を表現してみよう；１０^L なる数値を１０⁹ 個のグループに分ける、ｇr1＝１０^L ／１０⁹ ⇔Δ＝１／１０⁹ 但し、Δは線分を１０⁹ 個の微小線分Δに分けたもので
ある。ｇr1をさらに１０⁹ 個のグループに分ける。ｇr2＝１０^L ／１０⁹ ×１０⁹ ⇔Δ² ＝１／１０⁹ ×１
０⁹ 以下同様にして、次々と１０⁹ 個のグループを作る；ｇrn＝１０^L ／１０^{9 n} ⇔（Δ）ⁿ ＝１／１０
^{9 n} このようにして、可算個の無限の中に「構造」を入れ
る。

【００２３】このネスティング（入れ籠）の回数ｎを増
やすことによって、小さな数１０⁹によっていくらでも
大きな数１０^L （Ｌ→∞）を取り扱えるようになる。あ
るいは［０，１］区間の写像であれば、いくらでも小さ
な数（Δ）ⁿ →０を取り扱えることとなるのである（こ
れは非連続量の中のフラクタル構造という側面から、カ
オス発生のメカニズムを論じるべきであるが、他に譲
る）。

【００２４】従って、請求項１の冒頭の「入れ籠構造を
成したレジスターを備え、該特殊一様レジスターの個数
と桁数とを任意に調整できる有限精度空間を備え、」と
いう手段は、カオス発生の舞台を用意するという（ネス
ティングｎ→∞；実用上ｎ＝ｓｅｖｅｒａｌ）画期的な
発明に関するのであることか判る。これ以降の手段は、
乱数をバイナリーコードで出力し、かつ暗号学上安全で
あることを保証する「一方向の圧縮関数」を備え、及び
カオス写像を実行する非線形関数を備え、かくしてカオ
ス的軌道（通常ストレンジ・アトラクターという）を生
成して、この初期値をもって、カオス的軌道と乱数列と
を制御するという手段と成す。

【００２５】すなわち、上記カオス的軌道値の任意の軌
道値、通常初期値を「秘密鍵（ｐｒｉｖａｔｅｋｅ
ｙ）」又は「マスター鍵」として利用するなら、一方向
圧線関数の出力であるバイナリーコードのストリームを
制御して暗号・信号を直接実行するところの暗号鍵、
「ワーク鍵」と成すことが可能になったのである。

【００２６】このようなスキームをネットワークの中に
組み込むと、ユーザの扱い易い、暗号学上安全なストリ
ーム暗号システムが可能となる。請求項３は、これを実
現する乱数列の制御手段を述べたものである。すなわ
ち、図１３に示すように、例えば一方の端末側が請求項
１又は２によって得た秘密鍵を用いてカオス的軌道を得
た後に、このカオス軌道に基づいた乱数で平文をＸＯＲ
してストリーム暗号にして送信し、他方の端末側では同
じ秘密鍵を用いて同じカオス的軌道を発生させ、この軌
道を用いて発生させた乱数と該ストリーム暗号とをＸＯ
Ｒしているので元の平文を得ることができるようにな
る。

【００２７】また、請求項４は、Ｏｎｅ−ＴｉｍｅＰ
ａｄを実現する目的で、暗号通信方式で「共有されてい
る秘密鍵」すなわち共通鍵［Ｘ₁ ］を、当該通信の作法
とタイミングを規定した暗号通信プロトコルの中に組
み、その「生成」、「利用」、「更新」の時を持たせる
ことを要旨としている。

【００２８】請求項５、６、７は、秘密鍵を共通鍵にし
てそれを「一回毎に捨てる」という具体的なメカニズム
に関する。すなわち、請求項５は、請求項４の暗号通信
方式にて、共通鍵［Ｘ₁ ］が当該暗号通信プロトコルに
よって「更新」される場合、当該暗号通信プロトコル
は、共通鍵［Ｘ₁ ］のカオス的軌道［Ｘ₁、Ｘ₂ …Ｘ_i］
に含まれる軌道値［Ｘ_i+1 ］を、新しい秘密鍵として指
定し、該秘密鍵をもって共通鍵の更新を行なうことを要
旨とする。

【００２９】請求項６は、暗号通信方式にて、共通鍵の
更新を、少なくとも二つの端末が同期して実施するため
に、該通信プロトコルは、通信状態のアプリケーション
ソフトを「送信モード」か「受信モード」のどちらかの
状態に置く一方、そこで送受信される情報は、固定長部
と可変長部とから成る統一された通信文フォーマットに
載せられねばならず、その固定長部には「今回使用する
共通鍵［Ｘ₁ ］」と「次回使用予定の共通鍵［Ｘ
_i+1 ］」と「付加情報」の三つの情報ユニットが載り、
対応した可変長部には「本文」が載ることを要旨とす
る。

【００３０】請求項７は、暗号通信方式にて、通信プロ
トコルの送信モードでは、固定長部の「今回使用する共
通鍵［Ｘ₁ ］」を用いて、共通鍵自体［Ｘ₁ ］と次回使
用予定の共通鍵［Ｘ_i+1 ］及び付加情報の三つの情報ユ
ニットを一緒に暗号化することを要旨とする。

【００３１】以上５、６、７のメカニズムによって共通
鍵が固定された不要の鍵ではなく、通信の毎に変化する
「無常鍵」あるいはＣｕｒｒｅｎｔＫｅｙとすること
ができるようになる。

【００３２】請求項８は、セッション管理がクライアン
ト、サーバー相方で実施されるメカニズムに関する。す
なわち、暗号通信方式にて、受信モードの下で暗号文を
受け取った端末は、自端末で保管していた共通鍵［Ｘ
₁ ］.decによって（受信モード側の鍵を［Ｘ］.decと記
号する）暗号文を復号し、復号された方の共通鍵のデー
タ［Ｘ₁ ］.encと（送信モード下の鍵を［Ｘ］.encと記
号する）受信モード下の共通鍵［Ｘ₁ ］.decとを比較
し、両者が等しければ該受信モードの端末は送信モード
の端末を正当な暗号通信の契約者と認定する一方、両者
が等しくなければ、受信モードの端末は送信者を「成り
すまし」、「詐称」の可能性があるものとして例外処理
を行なうか又は、送信者が「不正な通信歴」を経過した
可能性があるとして例外処理を行なうなどして、共通鍵
を通信プロトコルに組み入れたことによって送信者の
「認証」を可能としたこと要旨とする。

【００３３】これにより、もし他人の共通鍵を盗んで自
分の端末からコネクションを張ってきた場合とか、他人
のＩＰアドレスを使ってコネクションしてきた場合な
ど、上の条件は成立しない。ここで、鍵ファイルを備え
ることが必須要件である。

【００３４】請求項９は、６、７、８の請求項に該当す
る暗号通信方式にて、通信文を暗号化ファイルに保管す
る場合、固定長部の三つの情報ユニットを共通鍵で暗号
化するのではなく、固定長部の付加情報部に本文を暗号
化する際に使った秘密鍵を置き、固定長部全体の暗号化
をＩＣカード等に保管されている別途秘密鍵（マスター
鍵）によって実施することを要旨とする。これは、各端
末独自のファイルの暗号化保管とその通信とを融合した
メカニズムに関する考案である。

【００３５】これにより、秘密鍵を他人が知ることは不
可能であるから、オープンネットワーク上での詐称等の
犯罪が完全に抑制される。

【００３６】

【発明の実施の形態】入れ籠構造を成したレジスターを
ハードウェアとして実現するか、ソフトウェアで実現す
るかによって実施の形態は大きく異なる。以下にソフト
ウェアによる実施の形態を記載する。

【００３７】パソコンの乱数を作る有限精度空間は、そ
のレジスターの能力、すなわち２³¹オーダーの２進数を
記憶する能力で限定されていることを述べた（手段の項
にて）。これを使って「可算個の無限」をどうやって表
現するかを述べる。

【００３８】このレジスターは少なくも「１０⁹ 個」の
整数を表現する能力をもっている。そこで、先に述べた
ように、可算個の無限（１０^L ，Ｌ→∞）を「１０⁹
個」のグループに分けて、可算個の無限の中に「１０⁹
を法とした入れ籠の構造」を導入する。

【００３９】これをソフトウェアで表現すると、数値
「０〜１０⁹ −１」を一つの整数型の配列要素の中に収
容し、その配列要素が多数整列した配列を定義する。そ
して、この配列を“親”として、その配列要素の一つを
“子”と考えてこの“子”をさらに“親”と同様の配列
となるように新たな配列を定義する。

【００４０】このようにして順次「入れ籠」を構成する
のである。このようなアルゴリズムの実現はコンパイラ
ー言語の得意とするところである。

【００４１】この構成の中で「１０⁹ を法とする」代り
に「１０¹ を法とした入れ籠の構造」を動入しても理論
に変りはないことに着目する。

【００４２】この特殊なケース（ｍｏｄ）を我々は、た
またま１０進数と呼んでいるので、表面的には「１０進
の数列」も「１０¹ を法として、入れ籠の構造」も同じ
に見える。これは高速演算を実現する上で重要な着目点
である。

【００４３】つまり、入れ籠の個数ｎを増やすことは、
１０進数の桁数ｎを増やすことと等価になる。

【００４４】従って、通常の整数形の配列を大きくとる
ことが、入れ籠の数を増やすことと同じ効果を生むの
で、すでに提出済みの出願「特願平８−１０８０５８」
（周期性を考慮したカオス的乱数列の発生装置）では、
実施の形態としてこの特殊な法（１０¹ ）を採用した。

【００４５】アルゴリズムを詳細は、上記に譲って、そ
のアルゴリズムをシステム図としたのが図１であり、請
求項１に対応するものである。これを見ると、初期値Ｘ
ｉを「秘密鍵」として入力して（Ｓ１）、カオス的写像
演算を行いながらカオス的軌道（Ｘ₁ →ｘ₂ →…→ｘ
_n ）を次々と生成する（Ｓ２、Ｓ３）。そして、この生
成が終了すると、その終了時点での演算値を次回の初期
値として保存する（Ｓ４）。つまり、新しい秘密鍵とし
て保存する。

【００４６】一方、ステップＳ２で生成された軌道を用
いて一方向圧縮によるバイナリー乱数を生成し（Ｓ
５）、これを乱数ストリームを暗号鍵（動的ワーク鍵）
として出力する（Ｓ６）。

【００４７】すなわち、請求項１は、（１）外部入力部；初期値設定→“秘密鍵”（Ｓ１）カオス写像演算回数（２）出力部；乱数ビットストリーム →“動的ワーク鍵”（Ｓ６）最新の軌道値 →“新しい秘密鍵”（Ｓ４）（３）処理部；カオス的軌道生成部（Ｓ２）カオス写像制御部（Ｓ３）一方向圧縮関数部（Ｓ５）とから構成されるシステムであることを主張している。

【００４８】通常、ワーク鍵は固定の長さ、５６ビット
とか１２８ビットというように決められた長さで使われ
るが、このシステムでは、「カオス写像演算回数」を制
御することによって、任意の長さのワーク鍵を生み出す
ことができる。従って、これを「動的ワーク鍵」と言
う。

【００４９】これがストリーム暗号に最適な乱数生成シ
ステムであると主張するためには、さらに、この動的ワ
ーク鍵が、他の秘密鍵によってコントロールできて、し
かもどちらの鍵も同じパターンの鍵が実用上現われな
い、すなわち暗号学上安全であることと保証しなくては
ならない。

【００５０】今、該レジスターの１０進収容能力を配列
で１２８桁と設定してみよう。そうなると、カオス的軌
道がループする平均のループ周期は「Ｃｏｍｐｕｔｅｒ
ｓｍａｔｈ．ａｐｐｌｉｃ．ＶＯＬ２１ＮＯ８ｐｐ
９３―９４１９９１ＧｒｅａｔＢｒｉｔａｉｎ」
（以下文献２という）に示すように、

【数１】である；何を意味しているかと言うと初期値の個数は１
０¹²⁸個あり、同じ初期値が出現するのは、１０⁶⁴回使
った後である。

【００５１】これから作り出したワーク鍵も同じパター
ンに到達するには２¹⁹² ビット出しつくした後である。
すなわち、アタックは極めて困難であることが判る。

【００５２】よって、ここに任意の初期値（上の例で
は、初期値の個数＝１０¹²⁸ 個）を「秘密鍵」として
「動的なワーク鍵」を作り出す乱数生成装置及びシステ
ムが得られたことになる。

【００５３】尚、このビットストリームは、０．０１％
以下で「真正乱数」となることが確かめられた。真正乱
数とは０と１とが等確率で出現する乱数である。実際に
カオス写像がカオス的軌道を生成しているという一つの
例証である。

【００５４】この乱数生成システムのもう一つユニーク
な長所は、乱数の「再現性」を保証していることであ
る。再現性とは、コンピュータのハードウェアに依存し
ないこと、又ＯＳなどのプラットフォームに依存しない
ことで、しかも乱数を制御できることを言う。

【００５５】これが可能になった理由は、「１０進数を
記憶するレジスター」をカオス写像の舞台に使っている
からである。

【００５６】従来の乱数生成法では、２進のレジスター
上にベルヌーイ・シフトやオーバーフローという手法を
使っていたので、ハードウェアやソフトウェアに依存せ
ざるを得なかったのである。

【００５７】さらにこの再現性をサポートしている理由
がもう一つある。カオス写像は「それ自身への写像」で
あるから、もし１０⁹ を法としたら、全ての掛け算効果
をこの中に戻さねばならない、つまり割り算を行なわね
ばならない。

【００５８】例えば、１という数値と１００という数値
を１０⁹ で割り算したら、コンピュータはその割り算結
果を区別できないばかりか、ハード／ソフト毎に結果も
異なってしまう。これではストレンジ・アトラクターは
おろか、カオス的軌道にもならない。つまり、単に数学
的定理をコンピュータでシミュレーションしても乱数に
ならないし、ましてや鍵は作れないということを意味す
る。

【００５９】もし強引にそれらしくやっても、「同じ鍵
が多数出現してしまう」のである。従来は、このような
事態を避けるために、２進レジスターを援用してベルヌ
ーイ・シフトとかオーバーフロー演算を使って、割り算
を避けていたのである。もちろん、この場合は再現性が
犠牲となる。

【００６０】すなわち、請求項１は、これらのアポリア
を一挙に解決した発明に関するものであると言える。

【００６１】一方、請求項２は、実施の形態をシステム
論から、請求した内容である。また本発明の乱数生成シ
ステムをネットワークに組み込み、暗号通信のプロトコ
ルを考案したのが、請求項３〜８である。

【００６２】従来技術の項で解説したように乱数を一回
使用する毎に捨てるという（Ｏｎｅ−ＴｉｍｅＰａ
ｄ）を通信規約にしようとすると、該乱数生成システム
の秘密鍵を「共通鍵」にして、「１回毎に捨てる」とい
うことになる。では、鍵を捨ててしまった後、どうやっ
て暗号通信をするかというところがこの考案のポイント
の一つである。

【００６３】請求項９は、イントラネットの欠陥を解決
した発明である。企業の秘情報を外部の者に盗られない
ようにする技術は色々あるが、内部から情報発信してし
まうとしたら、全く防ぎようがない。

【００６４】イントラネットの使い易さを制限すれば解
決つくかも知れないが、今度はオープンネットワークの
利便性を犠牲にしてしまうことになる。そこで秘情報を
常時暗号化したファイルの状態にして利用するというの
がそのポイントであり、又必要に応じて他の端末に共
通鍵で配達するという自由自在性がもう一つのボイント
である。

【００６５】それでは、請求項３〜９までの全体のスキ
ームを図２，図３に示すと同時に、その通信規約（プロ
トコル）の概要を、図４、図５、図６、図７、図８に示
して、実施の形態を述べる。

【００６６】クライアント／サーバーモデル（以下Ｃ／
Ｓモデルと略記する）を実施の形態にして、サーバー側
を図２に、クライアント側を図３に表わす。基本的な仕
組みはどちらも同じで、鍵の保管の仕方だけ異なる。

【００６７】図２のサーバ側及び図３のクライアント側
は、ＧＵＩ１０（ＧｒａｐｈｉｃａｌＵｓｅｒｉｎ
ｔｅｒｆａｃｅ）と、鍵処理部１１と、平文格納用のＨ
ＤＤ１２と、鍵ファイル格納用のＨＤＤ１３と、乱数生
成部１４と、乱数である動的ワーク鍵格納用のＨＤＤ１
５と、暗号文格納用のＨＤＤ１６と、暗号・復号部（Ｘ
ＯＲ）１７と、ＴＣ／ＩＰ部１９とを備えている。

【００６８】図３に示すクライアント側は「鍵」をＩＣ
カード２０に、図２に示すサーバー側はＨＤＤ１３に鍵
ファイルとして保管している。

【００６９】暗号・復号部（ＸＯＲ）１７は、排他的論
理和である。任意のファイルを乱数で“ＸＯＲ”を作
り、再び乱数で“ＸＯＲ”すると元のファイルに戻る；
これがストリーム暗号（対称暗号）の基本である。

【００７０】図３に示すクライアント側の「平文のＨＤ
Ｄ１２」にある平文ファイルをクライアント側のＧＵＩ
部１０で指定すると、その平文ファイルのビット数と等
量の乱数ストリームがクライアント側の「乱数のＨＤＤ
１５」から取り出される。

【００７１】これで暗号のファイルがもう一つの「暗号
のＨＤＤ１６」上に作られることとなる。

【００７２】つまり、図２に示すサーバー側の「暗号の
ＨＤＤ１６」の暗号ファイルは、暗号ファイル←平文ファイル“ＸＯＲ”乱数ストリームとなる。

【００７３】この暗号ファイルがクライアント側のＴＣ
Ｐ／ＩＰ部１９により、図２に示すサーバー側の「暗号
のＨＤＤ１６」に配送されると、そしてもし同じ乱数ス
トリームがサーバー側にあるかじめ備わっていたとする
と、平文ファイル←暗号ファイル“ＸＯＲ”乱数ストリームとして、元の平文が現われる。

【００７４】故に、同じ乱数ストリームを両端末で備え
る代りに、請求項１又は２の「乱数生成システムを両端
末で備える一方、秘密鍵を保管したＩＣカード２０等の
記憶媒体と、それを脱着自在とする入力装置を備え、あ
るいは端末の記憶装置に秘密鍵と、そのユーザーＩＤの
テーブルからなる鍵ファイルを備え」、その秘密鍵も両
端末で「共有する」としたのが請求項３である。

【００７５】ここで重要な、見落してはならないポイン
トは、秘密鍵は両端末だけで共有されねばならないとい
うことである。当然のことのようであるが、乱数生成シ
ステムが従来のように短い周期でループするようなシス
テムであるとすると、同じ鍵が多数出現してしまうので
ある。従って、従来の乱数生成技術を同じ環境に組み入
れても用を作さない。両端末だけで共有される鍵を「共
通鍵」と言う。

【００７６】従来の共通鍵方式の暗号通信は、鍵を割り
出すのは時間の問題であるという欠点がある。その理由
は、毎回同じワーク鍵を使って暗号文を作っている。短いワーク鍵で長い暗号文を作る場合がある。

【００７７】一方、Ｏｎｅ−ＴｉｍｅＰａｄ暗号は、
同じ乱数ストリームを二度使わない、すなわち、同じワ
ーク鍵を使わないということで、もっとも安全な暗号と
考えられている。あるいは、安全であることを証明でき
る唯一の暗号であるといわれている。これを請求項３に
適用すると、「ワーク鍵を使い捨てにすると同時に、ワ
ーク鍵を作り出す共通鍵も使い捨てにする」ということ
になる。このようなことを可能とする唯一の方法は、請
求項３の乱数生成システムが作り出す秘密鍵を「通信プ
ロトコルの中に組み入れる」ことである。このときの秘
密鍵が作り出したワーク鍵を「動的ワーク鍵」と言う。
動的とは、ワーク鍵の長さが平文や暗号文に依存するこ
とと、”Ｏｎｅ−Ｔｉｍｅ”（１回しか使われない）で
あるという二つの意味である。

【００７８】つまり、要約して関数式にすると、暗号文＝ｅ（平文、動的ワーク鍵）……（ａ）平文＝ｄ（暗号文、動的ワーク鍵）……（ｂ）動的ワーク鍵＝ｆ（共通鍵、平文、暗号文）……（ｃ）として示される。

【００７９】さらに上述を土台にして請求項４〜９が成
立する。これを図式にすると図４、図５、図６、図７に
表わすとおりである。これを用いて説明する。

【００８０】図４にて、クライアント（Ａ端末）がサー
バー（Ｂ端末）に対してコネクションを張る送信モード
の状態で、クライアント・ソフトは通信文全体のビット
数を計算する（ｄ１）。通信文のフォーマットは図６に
示すとおりである。この項目は請求項６に定義してあ
る。通信文全体のビット数を今、ｎビットとすると（Ｔ
ＣＰ／ＩＰ部を除く）、これからカオス写像演算回数
“ｉ”が決定される（ｄ２）。

【００８１】すなわち、１回の演算で一つの軌道値が作
られ、その一つのカオス的軌道値から乱数を作るのであ
るが、何ビットの乱数を作るかは、一方向圧縮変換のア
ルゴリズムに依存する。

【００８２】現在使われているアルゴリズムＳＨＡ（Ｓ
ｅｃｕｒｅＨａｓｈＡｌｇｏｒｉｔｈｍ）では、出
力は固定の１２８ビットである。

【００８３】一方、カオスビットは一つのカオス的軌道
値から１ビット作られるのが原則であるので、通信文が
ｎビットならとなる。つまり、請求項１と２のＳＨＡの
出力は変動する。すなわち”動的ワーク鍵”と言われる
由縁である。

【００８４】一方、請求項１及び２のカオス的軌道の圧
縮アルゴリズムをｇとすると、ｉ＝ｇ（ｎ）で与えられ、カオス写像演算回数“ｉ”が決まる。この
ｇの内容については請求外なので省略する。

【００８５】共通鍵［Ｘ₁ ］.enc（送信側には・ｅｎｃ
を、受信側には・ｄｅｃの拡張子を付す）と（ｄ３）、
上記“ｉ”からカオス的軌道［Ｘ₁ 、Ｘ₂ 、Ｘ₃ …Ｘ_i ］が生成される（ｄ４）。これから通信文（図６）を暗号
化するのに必要な動的ワーク鍵を作る（ｄ５）。

【００８６】そして、ｄ４で生成された乱数より次の軌
道値を生成する（ｄ６）。次回の共通鍵となる秘密鍵は
Ｘi のカオス写像から生成される（ｄ７）；Ｘ_i+1 ＝ｃ（Ｘ_i ），ｃ；カオス写像かくして［Ｘ_i ］.enc ［Ｘ_i+1 ］.enc 付加情報（今回無し）本文からなる平文ファイルを［Ｘ_i ］.encから生成された動
的ワーク鍵で１ビットずつ“ＸＯＲ”する（ｄ８）。

【００８７】これは丁度平文ファイルを“暗号の封筒”
に入れたというように解釈してよい。この封筒を開封で
きるのは共通鍵［Ｘ₁ ］.decを持っている人だけであ
る。

【００８８】上記“暗号封筒”をＴＣＰへ送り出した後
（ｄ９）、クライアントは受信モードに変わる。ネット
ワーク端末Ａは図６に示すように該封筒をＴＣＰパケッ
トにし、さらにＩＰパケットにして配送する。

【００８９】一方、端末Ｂ（サーバー）は、ＩＰパケッ
トを開封し、次にＴＣＰパケットを開封して、“暗号封
筒”を、受信モードにあるサーバーソフトへ渡す。

【００９０】図５にてサーバーソフトは、暗号封筒全体
のビット数を数える一方（ｄ１０）、ＩＰパケットの
“差出人”ＩＰアドレスを鍵ファイルへ送って、ＩＰア
ドレスに該当した共通鍵［Ｘ₁ ］.decを取り出す（ｄ１
２）。

【００９１】また、暗号封筒全体のビット数はｎビット
であるからｉ＝ｇ（ｎ）として“ｉ”が求まり（ｄ１１）、これからサーバーソ
フトは、カオス的軌道［Ｘ₁、Ｘ₂ Ｘ₃ …Ｘ_i ］を演算
してカオス的乱数を生成させ（ｄ１３）、動的ワーク鍵
を作る（ｄ１４）。そして、ｄ１３で生成された乱数に
基づいて次回の軌道値を生成し（Ｓ１５）、次回の秘密鍵［Ｘ_i+1 ］Ｘ_i+1 ＝ｃ（Ｘ_i ）より求める（ｄ１６）。

【００９２】結局、秘密鍵（カレント）は、次のような
関数式で与えられる；秘密鍵＝ｐ（前回の鍵、前回平文、前回暗号文）……（ｄ）これで復号化する準備ができた（ｄ１７）。

【００９３】該動的ワーク鍵で暗号封筒を“ＸＯＲ”す
れば元の平文に戻るはずである。しかし、元の平文に戻
るのは、次の必要条件が満たされている時だけである。

【００９４】［Ｘ₁ ］.enc（エンクリプション）＝［Ｘ
₁ ］.dec（デクリプション）すなわち、クライアントがもし他人の共通鍵を盗んで自
分の端末からコネクションを張ってきた場合とか、他人
のＩＰアドレスを使ってコネクションしてきた場合な
ど、上の条件は成立しない。そこで、図５のセッション
管理部で、鍵ファイルから取り出した［Ｘ₁ ］.decと、
復号化した後のデータ［Ｘ₁ ］.encとを比較する（ｄ１
９）。一致しない場合は、ただちにコネクションを切断
する（ｄ２０）。成りすまし、詐称というオープンネッ
トワーク上の詐欺行為はこれで防げる。

【００９５】また、セッションが一致した場合は、次へ
進み「次回の秘密鍵」［Ｘ_i+1］.decと［Ｘ_i+1 ］.enc
とを比較する（ｄ２１）。この比較は原則必要ではない
が、共通鍵方式の暗号通信の信頼性を確立するために行
なう。必要ではないという理由は、元の平文のビット数
と暗号文（サーバーへ届いた）のビット数はＴＣＰ／Ｉ
Ｐでは等しいことが保証されているからである。しか
し、ハッカーによって偽造パケットの挿入及びパケット
の変更、あるいはリプレイ攻撃といった介入によってｉ＝ｇ（ｎ）の計算結果が異なってしまう場合も予想される。

【００９６】従って、「次回の秘密鍵」が一致しない場
合は、サーバーはクライアントに再送を要求するなどの
（ｄ２２）、例外処理を行なう。一致した場合は、共通
鍵の更新を行なうと同時に、サーバーは送信モードに変
わる。結局、新しい共通鍵は、次のような関数式で与え
られる；共通鍵＝ｓ（次回秘密鍵．ｅｎｃ＝次回秘密鍵．ｄｅｃ）……（ｅ）このようにして共通鍵で次々と使い捨てにされる（更
新）。これは、ｕｎｉｘの標準技術になっているＯｎｅ
−ＴｉｍｅＰａｓｓｗｏｒｄ（ＯＴＰ）の効果を網羅
する。

【００９７】クライアントとサーバーのやりとりを、も
う少しマクロで見たのが図８である。図中の（２）ホー
ムページをダウンロードすると、Ａ端末の画面には、
（３）本文入力や通信文作成の支援画面が提供される。
（４）は図４で説明した内容である。サーバーは図５で
説明したように、（５）認証、（６）復号化、（７）共
通鍵の更新ということで鍵処理部１１が鍵ファイルを
［Ｘ₁ ］.dec→［Ｘ_i+1 ］.decへ更新する。

【００９８】そして、送信モードへ入って、サーバーは
クライアントへ返答を出す（８）。このときの通信文フ
ォーマットも図６の通りである。この通信文フォーマッ
トは、固定長部と可変長部とから成る統一された通信文
フォーマットに載せられており、その固定長部には「今
回使用する共通鍵［Ｘ₁ ］」と「次回使用予定の共通鍵
［Ｘ_i+1 ］」と「付加情報」の三つの情報ユニットが載
せられている。また、対応した可変長部には「本文」が
載っている。

【００９９】従ってこの“暗号封筒”を受け取ったクラ
イアントをサーバーと同じく、（９）認証、（１０）復
号化、（１１）共通鍵の更新ということで、ＩＣカード
２０の内容を［Ｘ_i+1 ］.enc→［ｘ_i+j ］.encへ更新す
る。以下同様の手続をくり返して終了に至る。クライア
ントは終了メッセージをやはり図６の通信文としてサー
バーへ送る。

【０１００】この一連のＣ／Ｓモデルの通信で、共通鍵
が図１１に示すように次々と変化して、使い捨てにされ
ていることに注目する。

【０１０１】以上の説明から特徴的なスキームを拾い出
す；（１）乱数生成システムが通信プロトコルの中に組み込
まれている。従って、その秘密鍵もワーク鍵もプロトコ
ルの指示に従って「利用され」「生成され」そして「更
新される」。（２）共通鍵は次々と「使い捨てにされる」。これは、
色々な犯罪を抑止する。請求項３、４はこの（１）と
（２）を請求しているものである。この内容を実現する
具体論が請求項５、６及び７である。（３）共通鍵を通信プロトコルに組み入れたことによっ
て、セッション管理をクライアント、サーバーとも行な
えるようになった。これにより成りすまし、詐称など従
来の認証システムへの攻撃を抑止できる。

【０１０２】請求項８は、この（３）を請求したもので
ある。通信文フォーマット（図６）が、固定長部と可変
長部から構成されている理由を未だ述べていない。

【０１０３】インターネットツール類を特定の組織内で
利用する場合、特に“イントラネット”と言われている
が、社外の者が容易に社内へ侵入できてしまうので、色
々なアクセス制御が工夫されている。しかし、いかにア
クセス制御を工夫しても、社内の者が重要な機密情報を
社外へ発信してしまうのを防ぐことはできない。そこ
で、重要なファイルはあらかじめ暗号化して保管する方
法が残されている。例えば、鍵ファイルなどは暗号化し
て暗号ファイルにすべきものであろう。

【０１０４】例えば、既に特定の秘密鍵で暗号化されて
いるファイルを指定して図４、図５、図６のスキームに
載せるとしたら、暗号ファイルの秘密鍵を相手に伝える
手段が必要となる。

【０１０５】そこで、図７に示すように、固定長部の付
加情報部にその暗号ファイルの秘密鍵を載せることにす
ると、同一のスキームで任意の暗号ファイルを配送する
ことが可能となることが判る。そうすると、図４に戻っ
て、“暗号封筒”を作る際に秘密鍵の入っている固定長部を暗号化すると同時
に、暗号ファイルも、さらに共通鍵で暗号化する（図４
のスキームではそうなる）。又は固定長部のみ共通鍵で暗号化して、任意の暗号ファ
イルはそのまま固定長部にリンクする。の二つのやり方が可能である。の場合、これを受け取
った、図５のサーバーであれば、まず固定長部の復号化
を行なわねばならない。

【０１０６】従って鍵を収納する固定長部は、あらかじ
めそのビット数が決められている必要があるのである。
しかし、の場合を採用すれば、必ずしも固定長である
必要はない。どちらも、又はも可能なように、“暗
号封筒”は固定長と可変長とから構成することとした。

【０１０７】

【発明の効果】以上のように本発明は、まず「入れ籠構
造」を成した特殊レジスターを用いてカオス写像演算を
実現し、この結果生み出されるカオス的軌道の任意の軌
道値を秘密鍵とし、ワーク鍵として暗号通信に使用でき
るようにした。

【０１０８】また、このときの通信プロトコルは、この
秘密鍵を共通鍵とする一方、該共通鍵を更新できること
にしたので、オープンなネットワーク環境下にあるパソ
コン上で「Ｏｎｅ−ＴｉｍｅＰａｄ暗号」を成立させ
ること（共通鍵を使い捨てにする）ができるようになっ
た。これで「盗聴」をパーフェクトに排除する効果が得
られている。

【０１０９】さらに、送受信する情報の内、少なくとも
固定長部には今回使用する共通鍵と次回使用予定の共通
鍵という鍵情報が入っているので二重のセッション管理
が行われる。その結果、「始点アドレスの偽造」、「パ
ケットの変更、挿入」、「成りすまし」、「詐称」とい
うオープンネットワーク上の詐欺行為がこれで排除され
るという効果が得られている。

【図面の簡単な説明】

【図１】本発明の実施の形態の概略構成図である。

【図２】本発明を適用したサーバ側の概略構成図であ
る。

【図３】本発明を適用したクライアント側の概略構成図
である。

【図４】送信モード時の動作を説明する説明図である。

【図５】受信モード時の動作を説明する説明図である。

【図６】暗号封筒を説明する説明図である。

【図７】暗号封筒を説明する説明図である。

【図８】本発明による共通鍵の使い捨て通信プロトコル
を説明する説明図である。

【図９】鍵階層を説明する説明図である。

【図１０】ストリーム暗号の概念を説明する説明図であ
る。

【図１１】共通鍵が使い捨てにされることを説明する説
明図である。

【図１２】手段を説明する説明図である。

【図１３】手段を説明する説明図である。

【符号の説明】

１０ＧＵＩ１１鍵処理部１２平文格納用のＨＤＤ１３鍵ファイル格納用のＨＤＤ１４乱数生成部１５動的ワーク鍵格納用のＨＤＤ１６暗号文格納用のＨＤＤ１７暗号・復号部（ＸＯＲ）１９ＴＣ／ＩＰ部

Claims

【特許請求の範囲】

【請求項１】乱数を生成する目的で、コンピュータに
通常備わっている２進表現レジスターとは異なり、１０
進数を記憶するレジスターでありながら、その一桁がさ
らに任意の桁の数値を収容できるレジスターとなってい
る「入れ籠構造」を成した特殊レジスターを備え、該特殊レジスターの個数と桁数とを任意に調整できる有
限精度空間（ＳｐｅｃｉａｌＦｉｎｉｔｅＰｒｅｃ
ｉｓｉｏｎ；ＳＦＰと略記する）を備え、該ＳＦＰのレジスターが表現する任意の１０進数の数値
から０／１のバイナリーコードを作り出す一方向変換メ
カニズムを備え（一方向の圧縮関数と同義）、該ＳＦＰのレジスターからＳＦＰ自身のレジスターへの
写像を実行する非線形関数を備え（カオス写像と略記す
る）、上記カオス写像をくり返して（カオス写像演算と言う）
該レジスターの数値をＸ₁→Ｘ₂ →…→Ｘ_n と次々と生
成し（この数列をカオス的軌道と略記する）、これに伴なって前記０／１のバイナリーコードのストリ
ームを作り出すことにより、上記カオス的軌道の任意の軌道値（通常、初期値）を
「秘密鍵」として利用する一方、前記バイナリーコード
のストリームを暗号・復号化する「ワーク鍵」として暗
号通信に利用することを可能としたことを特徴とする乱
数生成装置。
【請求項２】乱数を作る目的で、相当数桁の１０進数
を記憶できる１０進レジスターを備えることを特徴と
し、該１０進数値の、非線形関数によるそれ自身への写像を
くり返すカオス写像演算を備え、該カオス写像演算の結果生み出されるカオス的軌道の任
意の軌道値を「秘密鍵」とする一方、該秘密鍵からさらに一方向圧縮関数を介して作り出した
ビットストリームを、「ワーク鍵」とする、暗号通信を行う乱数生成システム。
【請求項３】ネットワーク上の端末群が前記１記載の
乱数生成装置又は２記載の乱数生成システムを備えて、一方、前記秘密鍵を保管したＩＣカードなどの携帯媒体
とそれを脱着自在とする入出力装置を備え、あるいは前
記端末の記憶装置に該秘密鍵とそのユーザーＩＤのテー
ブルから成る鍵ファイルを備え、前記乱数生成システムの秘密鍵を上記特定の端末群が
「共有する」ことによって該端末間に暗号通信を可能な
らしめたことを特徴とする暗号通信方式。
【請求項４】前記暗号通信方式で共有されている秘密
鍵すなわち共通鍵［Ｘ₁ ］は、当該通信の作法とタイミ
ングを規定した暗号通信プロトコルの中に組み込まれ
て、その「生成」、「利用」、「更新」の時を持つことを特
徴とした請求項３記載の暗号通信方式。
【請求項５】前記請求項４の暗号通信方式にて、共通鍵［Ｘ₁ ］が当該暗号通信プロトコルによって「更
新」される場合、当該暗号通信プロトコルは、共通鍵［Ｘ₁ ］のカオス的
軌道［Ｘ₁、Ｘ₂ …Ｘ_i］に含まれる軌道値［Ｘ_i+1 ］
を、新しい秘密鍵として指定し、該秘密鍵をもって共通
鍵の更新を行なうことを特徴とした請求項３又は４記載
の暗号通信方式。
【請求項６】前記暗号通信方式にて、前記共通鍵の更
新を、少なくとも二つの端末が同期して実施するため
に、該通信プロトコルは、通信状態のアプリケーションソフ
トを「送信モード」か「受信モード」のどちらかの状態
に置く一方、そこで送受信される情報は、固定長部と可変長部とから
成る統一された通信文フォーマットに載せられねばなら
ず、その固定長部には「今回使用する共通鍵［Ｘ₁ ］」
と「次回使用予定の共通鍵［Ｘ_i+1 ］」と「付加情報」
の三つの情報ユニットが載り、対応した可変長部には
「本文」が載ることを特徴とした請求項３、４又は５記
載の暗号通信方式。
【請求項７】前記暗号通信方式にて、該通信プロトコルの送信モードでは、固定長部の「今回
使用する共通鍵［Ｘ₁］」を用いて、該共通鍵自体［Ｘ₁
］と次回使用予定の共通鍵［Ｘ_i+1 ］及び付加情報の
三つの情報ユニットを一緒に暗号化することを特徴とし
た請求項３、４、５又は６記載の暗号通信方式。
【請求項８】前記暗号通信方式にて、受信モードの下で暗号文を受け取った端末は、自端末で
保管していた共通鍵［Ｘ₁ ］.decによって（受信モード
側の鍵を［Ｘ］.decと記号する）暗号文を復号し、復号された方の共通鍵のデータ［Ｘ₁ ］.encと（送信モ
ード下の鍵を［Ｘ］.encと記号する）受信モード下の共
通鍵［Ｘ₁ ］.decとを比較し、両者が等しければ該受信モードの端末は送信モードの端
末を正当な暗号通信の契約者と認定する一方、両者が等しくなければ、受信モードの端末は送信者を
「成りすまし」、「詐称」の可能性があるものとして例
外処理を行なうか又は、送信者が「不正な通信歴」を経
過した可能性があるとして例外処理を行なうなどして、該共通鍵を通信プロトコルに組み入れたことによって送
信者の「認証」を可能としたことを特徴とする請求項
３、４、５、６又は７記載の暗号通信方式。
【請求項９】前記６、７、８の請求項に該当する暗号
通信方式にて、通信文を暗号化ファイルに保管する場合、固定長部の三
つの情報ユニットを共通鍵で暗号化するのではなく、固定長部の付加情報部に本文を暗号化する際に使った秘
密鍵を置き、該固定長部全体の暗号化をＩＣカード等に
保管されている別途秘密鍵（マスター鍵）によって実施
することを特徴とした請求項６、７又は８記載の暗号通
信方式。