JPH11168459A

JPH11168459A - 同報暗号通信における暗復号化鍵の配送方法

Info

Publication number: JPH11168459A
Application number: JP10263498A
Authority: JP
Inventors: Masanori Yamazaki; 正憲山▲崎▼; Genji Nishioka; 玄次西岡; Susumu Matsui; 進松井
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1997-10-03
Filing date: 1998-09-17
Publication date: 1999-06-22
Anticipated expiration: 2018-09-17
Also published as: JP3657439B2

Abstract

(57)【要約】【課題】単一の受信者秘密情報によって複数の送信者と
の間の共通鍵を入手可能とする。【解決手段】鍵管理者は適当な有限集合Ｚの２個以上の
元からなる部分集合に対応させて受信者の受信者秘密情
報を作成し受信者に配布する。また、送信者の識別情報
ｔ_Aも作成する。送信者は自身の送信者秘密情報から暗
復号化鍵Ｋ_Aを作成する。受信者秘密情報と識別情報ｔ_A
を送信者に秘密にしながら、鍵管理者および送信者は、
共同して、有限集合Ｚの各元と送信者秘密情報に関連づ
けたデータと、受信者秘密情報に対応する部分集合と識
別情報ｔ_Aと送信者秘密情報に関連づけたデータとを作
成し、同報送信する。受信者ｘは、受信したデータと自
信の受信者秘密情報から暗復号化鍵Ｋ_Aを計算する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、同報暗号通信にお
ける復号に用いる鍵を限定された受信者に配送する鍵配
送の技術に関するものである。

【０００２】

【従来の技術】従来より、同報暗号通信の技術として、
幾つかの方式が提案されている。

【０００３】たとえば、文献「S.J.Kent:Security requ
irement and protocols for a broadcast scenario,IEE
E Trans. Commun.,COM-29,6,pp.778-786(1981)」に記載
のコピー鍵方式が知られている。

【０００４】このコピー鍵方式は、同報暗号通信の基本
的な方式であり、従来の１対１の暗号個別通信を単純に
同報通信に拡張したものである。すなわち、この方式で
は、１種類の鍵のコピーを送信者と複数の正規の受信者
に配送する。そして、送信者は配送されたコピー鍵を用
いて情報を暗号化して送信し、正規の各受信者は配送さ
れたコピー鍵を用いて暗号化された情報を復号化する。

【０００５】また、このコピー鍵のように、送信者と受
信者が共通に用いる鍵である共通鍵を、秘密裏に限定さ
れた受信者に配送する技術としては、文献「李、常盤
他：多重化・多重分離法を用いた同報通信、1986年暗号
と情報セキュリティシンポジウム」に記載の中国人の剰
余定理を用いた情報系列の多重化・多重分離法による鍵
配送方式や、文献「満保他：効率的な同報暗号通信方
式、信学技法ISEC93-34（1993-10）」に記載の方式など
が知られている。

【０００６】中国人の剰余定理を用いて情報系列の多重
化・多重分離法を行う方式は、次の処理を行うものであ
る。

【０００７】（１）鍵生成処理：受信者ｉ（１≦ｉ≦
ｒ）に対して、互いに素なｓ個の整数ｇ₁，
ｇ₂，．．．，ｇ_S（ｒ≦ｓ）を作成し、ｇ_iを受信者ｉ
の秘密情報として、予め受信者ｉに配布する。

【０００８】（２）暗号化処理：多重化すべきｓ個の情
報系列をＭ₁，Ｍ₂，．．．，Ｍ_sとする。送信者は、多
重化送信文Ｆを、

【０００９】

【数９７】

【００１０】により計算し、これを同報送信する。但
し、Ｇ、Ｇ_i，Ａ_iは、

【００１１】

【数９８】

【００１２】において、Ａ_iが最小の整数となる関係に
ある。

【００１３】（３）復号化処理：受信者ｉは、多重化送
信文Ｆからｇ_iを用いて、

【００１４】

【数９９】

【００１５】により、Ｍ_iを分離化する。

【００１６】ここで、Ｍ_iは、受信者ｉに配送すべき共
通鍵であってよい。したがって、この方式によれば、限
定された受信者のみに秘密裏にコピー鍵を配送すること
ができる。

【００１７】次に、文献「満保他：効率的な同報暗号通
信方式、信学技法ISEC93-34（1993-10）」に記載の方式
は、次の処理を行うものである。

【００１８】（１）鍵生成処理：信頼できるセンタは、
次の情報を作成する。

【００１９】秘密情報：

【００２０】

【数１００】

【００２１】公開情報：

【００２２】

【数１０１】

【００２３】センタは、σ∈Ｓに対して、

【００２４】

【数１０２】

【００２５】なるＳσを計算し、受信者Ｕσの秘密情報
として配布する。但し、集合Ｓ＝｛ｆ｜1対1写像ｆ：Ａ
＝｛１，２，．．．，ｋ｝→Ｂ＝｛１，２，．．．，
ｍ｝、ｍ＞ｋ｝とする。

【００２６】（２）鍵配送処理：送信者は整数ｒをラン
ダムに選び、共通鍵

【００２７】

【数１０３】

【００２８】を限定された受信者との間で共有すること
を目的として、

【００２９】

【数１０４】

【００３０】を計算し、ｚ_i（１≦ｉ≦ｍ）を同報送信
する、受信者Ｕσは、

【００３１】

【数１０５】

【００３２】にて、共通鍵Ｋを計算する。

【００３３】

【発明が解決しようとする課題】前述した中国人の剰余
定理を用いた多重化方法を利用した鍵配送では、受信者
一人一人用の共通鍵のデータをシリアルに並べて送信す
るので、受信者数に比例して同報通信するデータの長さ
が長くなる。このため、衛星放送サービスのように数百
万人以上の受信者を対象とする通信には適していない。

【００３４】これに対して、文献「満保他：効率的な同
報暗号通信方式、信学技法ISEC93-34（1993-10）」に記
載の方式によれば、受信者数が大きい場合であっても共
通鍵配送のためのデータを小さくできる。しかし、この
方式では、任意の受信者集合に属する限定された受信者
のみと鍵共有を行なうことができない。

【００３５】また、いずれの方式の場合も、送信者が複
数存在する場合には、受信者は情報を受信する送信者毎
に、それぞれ、前述した秘密情報を入手、管理しなけれ
ばならない。

【００３６】そこで、本発明は、受信者が唯一の秘密情
報によって、複数の送信者からの個々の共通鍵の配送を
受けることのできる鍵配送システムを提供することを課
題とする。また、このような鍵配送システムにおいて、
任意の送信者と任意の受信者集合に属する受信者のみと
のデータ暗復号のための共通鍵の共有を可能とするこ
と、および、受信者数が大きい場合に、これに伴い共通
鍵配送のための同報通信データを長くする必要がない共
通鍵配送を実現することを課題とする。

【００３７】

【課題を解決するための手段】前記課題達成のために、
本発明は、複数の送信者と、複数の受信者とが存在する
通信システムにおいて、前記送信者が行う同報暗号通信
の暗復号化鍵を、前記送信者と前記受信者との間で共有
するための鍵配送方法であって、鍵管理者を設け、当該
鍵管理者において、前記送信者と前記受信者との間で鍵
を共有するために用いる、前記複数の送信者について共
通の第１鍵情報を作成して所定の受信者に配布するとと
もに、前記送信者と前記受信者との間で鍵を共有するす
るために用いる第２鍵情報を作成して前記送信者に配布
し、前記送信者は、前記受信者が前記第１鍵情報を用い
て当該送信者が同報通信に用いる暗復号化鍵を算出する
ための第３鍵情報を、前記鍵管理者から配布された第２
鍵情報を用いて生成して、当該送信者と鍵を共有する前
記受信者に送信し、前記受信者は、前記鍵管理者から配
布された第１鍵情報と前記送信者から配布された第３鍵
情報とを用いて、第３鍵情報を配布した前記送信者が同
報通信に用いる暗復号化鍵を入手することを特徴とす
る。

【００３８】本鍵配送方法によれば、各受信者は、秘密
情報として鍵管理者から配布された第１鍵情報のみを所
持すればよく、新たな送信者の暗復号化鍵を入手する場
合にも、新たな秘密情報の配布を受ける必要がない。

【００３９】より詳細には、本発明は、前記課題達成の
ために、たとえば、複数の送信者と、複数の受信者と、
鍵管理者とが存在する通信システムを用い、前記送信者
が行う同報暗号通信の暗復号化鍵を、前記受信者に配送
する鍵配送方法であって、鍵管理者において、鍵管理者
秘密情報として、

【００４０】

【数１０６】

【００４１】を作成し、送信者Ａの送信者識別情報とし
て、

【００４２】

【数１０７】

【００４３】を作成し、受信者ｘの受信者秘密情報とし
て、σ_X∈Ｓ_kmと、

【００４４】

【数１０８】

【００４５】（但し、集合

【００４６】

【数１０９】

【００４７】に対して、σ、σ´∈Ｓ_kmのとき

【００４８】

【数１１０】

【００４９】とし、このとき、〜はＳ_km上の同値関係と
なり、

【００５０】

【数１１１】

【００５１】とする）とを作成し、受信者秘密情報
σ_X、ｓ_X（σ_X）を受信者ｘに配布するステップと、送
信者Ａにおいて、

【００５２】

【数１１２】

【００５３】（但し、

【００５４】

【数１１３】

【００５５】は、

【００５６】

【数１１４】

【００５７】なる最小の正整数ａを表す）なる送信者秘
密情報ｇ_A、Ｌ_Aおよび有限アーベル群Ｇ_Aを作成し、送
信者秘密情報ｇ_Aを鍵管理者に送信するステップと、鍵
管理者において、鍵管理者秘密情報ｅ_i、送信者識別情
報ｔ_Aおよび受信者秘密情報ｓ_X（σ_X）、σ_Xから、受信
者識別データ

【００５８】

【数１１５】

【００５９】を計算し、受信者識別データｓ_X（σ_X，
Ａ）を送信者Ａに送信し、送信者Ａから受信したｇ
_Aと、鍵管理者秘密情報ｅ_iと、送信者識別情報ｔ_Aか
ら、鍵配送データ

【００６０】

【数１１６】

【００６１】を算出し、鍵配送データｙ_Aiを送信者Ａに
送信するステップと、送信者Ａにおいて、整数ｒ、ｒ´
を生成し、鍵管理者から受信した受信者識別データｓ_X
（σ_X，Ａ）と、送信者秘密情報Ｌ_Aと、整数ｒ´から

【００６２】

【数１１７】

【００６３】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算
し、受信者識別情報ｒ_X（σ_X，Ａ）を受信者ｘに送信
し、鍵管理者から受信した鍵配送データｙ_Aiと、整数ｒ
から、鍵配送情報

【００６４】

【数１１８】

【００６５】を計算し、鍵配送情報ｚ_Aiを、各受信者に
同報送信するステップと、受信者ｘにおいて、送信者Ａ
から受信した受信者識別情報ｒ_X（σ_X，Ａ）および鍵配
送情報ｚ_Aiと、鍵管理者から配布された受信者秘密情報
σ_X、ｓ_X（σ_X）から、

【００６６】

【数１１９】

【００６７】により、送信者Ａが

【００６８】

【数１２０】

【００６９】によって生成し、同報通信に用いる暗復号
化鍵Ｋ_Aを計算するステップと、を有することを特徴と
する。

【００７０】この鍵配送方法によれば、受信者は送信者
毎に異なる秘密鍵を持つ必要がない他、同報暗号通信に
おいて、受信者数が大きい場合であっても、これに伴い
鍵配送情報の長さを長くする必要がない。また、本鍵配
送方法においては、鍵管理者のみが秘密裏に所持する送
信者識別情報によって、受信者秘密情報は送信者に対し
て秘密化され、受信者に対して送信者秘密情報はより強
固に秘密化されるので、不正に対する安全性が向上す
る。

【００７１】

【発明の実施の形態】以下、本発明に係る鍵配送システ
ムの実施形態について説明する。

【００７２】まず、本発明の第１実施形態について説明
する。

【００７３】図１に、本発明の第１実施形態に係る鍵配
送システムの構成を示す。

【００７４】図示するように、本システムは、相互に通
信回線４００で接続された鍵管理者側装置１００、送信
者側装置２００、受信者側装置３００から構成される。
鍵管理者側装置１００は、システムに唯一の鍵管理者組
織が使用する装置であり、送信者装置２００、受信者側
装置３００はシステム中に複数存在する。

【００７５】図２に、鍵管理者側装置１００の構成を示
す。

【００７６】図示するように、鍵管理者側装置１００
は、乱数生成器１０１、素数生成器１０２、べき乗算器
１０３、剰余演算器１０４、演算装置１０５、メモリ１
０６、通信装置１０７から構成される。また、鍵管理者
側装置１００には、オフラインで受信者に配送する受信
者側携帯装置３０６が接続される。

【００７７】図３に、送信者側装置２００の構成を示
す。

【００７８】図示するように、送信者側装置２００は、
乱数生成器２０１、素数生成器２０２、べき乗算器２０
３、剰余演算器２０４、演算装置２０５、メモリ２０
６、通信装置２０７、暗復号化装置２０８、認証装置２
０９、課金装置２１０から構成される。

【００７９】図４に、受信者側装置３００の構成を示
す。

【００８０】図示するように、受信者側装置３００は、
べき乗算器３０１、剰余演算器３０２、演算装置３０
３、メモリ３０４、通信装置３０５、鍵管理者からオフ
ラインで配送された受信者側携帯装置３０６、暗復号化
装置３０７、認証装置３０８から構成される。

【００８１】以下、本システムが行う準備処理、鍵配送
処理、そして暗復号化処理の３つの処理について説明す
る。

【００８２】では、まず、準備処理について説明する。

【００８３】（１）準備処理送信者Ａは、送信者側装置２００内の乱数生成器２０
１、素数生成器２０２、べき乗算器２０３、剰余演算器
２０４、および演算装置２０５を用いて、次の情報を作
成し、そのうち、公開情報のみを公開する。

【００８４】秘密情報：

【００８５】

【数１２１】

【００８６】公開情報：

【００８７】

【数１２２】

【００８８】秘密情報はメモリ２０６に格納する。ま
た、秘密情報ｇ_A、Ｌ_Aを通信装置２０７を用いて鍵管理
者に送信する。

【００８９】信頼できる鍵管理者は、鍵管理者側装置
１００内の演算装置１０５を用いて、次の情報を作成す
る。

【００９０】鍵管理者秘密情報：

【００９１】

【数１２３】

【００９２】送信者Ａの送信者識別情報：

【００９３】

【数１２４】

【００９４】受信者ｘの受信者秘密情報：

【００９５】

【数１２５】

【００９６】これらは、σ_Xとともに全てメモリ１０６
に格納する。

【００９７】ただし、集合

【００９８】

【数１２６】

【００９９】に対して、σ、σ´∈Ｓ_kmのとき、

【０１００】

【数１２７】

【０１０１】とする。このとき、〜はＳ_km上の同値関係
となり、

【０１０２】

【数１２８】

【０１０３】とする。

【０１０４】また、鍵管理者は、メモリ１０６から受信
者秘密情報ｓ_X（σ_X）を取り出し、σ_Xとともに受信者
側携帯装置３０６に格納し、これを受信者ｘにオフライ
ンで配布する。もちろん、他の方法によって受信者に配
布するようにしてもよい。

【０１０５】次に、鍵配送処理について説明する。

【０１０６】（２）鍵配送処理本鍵配送処理における、鍵管理者、送信者、および受信
者間の情報の流れを図５に示す。

【０１０７】鍵管理者は、鍵管理者側装置１００内の
剰余演算器１０４、演算装置１０５を用いて、送信者Ａ
から受信したＬ_Aと、鍵管理者秘密情報ｅ_iと、受信者秘
密情報σ_X、ｓ_X（σ_X）と、送信者識別情報ｔ_Aから、

【０１０８】

【数１２９】

【０１０９】なる受信者ｘの受信者識別データｓ
_X（σ_X，Ａ）を計算し、通信装置１０７を用いて送信者
Ａに送信する。

【０１１０】また、鍵管理者は、鍵管理者側装置１００
内のべき乗算器１０３、剰余演算器１０４、演算装置１
０５を用いて、送信者Ａから受信したｇ_Aと、送信者Ａ
の送信者公開情報Ｎ_Aと、鍵管理者秘密情報ｅ_iから、

【０１１１】

【数１３０】

【０１１２】なる送信者Ａの送信者鍵配送データｙ_Aiを
計算し、通信装置１０７を用いて送信者Ａに送信する。

【０１１３】送信者Ａは、送信者側装置２００内の乱
数生成器２０１により、乱数ｒ、ｒ´を作成しメモリ２
０６に格納する。さらに、べき乗算器２０３、剰余演算
器２０４、演算装置２０５を用いて、この乱数ｒ、ｒ'
と、自身の秘密情報ｇ_Aと、自身の公開情報Ｎ_Aから、

【０１１４】

【数１３１】

【０１１５】なるデータ暗号化鍵Ｋ_Aを計算してメモリ
２０６に格納し、受信者ｘとの間で鍵Ｋ_Aを共有するこ
とを目的として、剰余演算器２０４、演算装置２０５を
用いて、自身の秘密情報Ｌ_Aと、乱数ｒ´と、鍵管理者
から受信した受信者ｘの受信者識別データｓ_X（σ_X，
Ａ）から、

【０１１６】

【数１３２】

【０１１７】なる受信者ｘの受信者識別情報ｒ_X（σ_X，
Ａ）を計算し、通信装置２０７を用いて受信者ｘに送信
する。

【０１１８】また、送信者Ａは、送信者側装置２００内
のべき乗算器２０３、剰余演算器２０４、演算装置２０
５を用いて、自身の公開情報Ｎ_Aと、乱数ｒと、鍵管理
者から受信した送信者鍵配送データｙ_Aiから、

【０１１９】

【数１３３】

【０１２０】なる受信者鍵配送データｚ_Aiを計算し、通
信装置２０７を用いて受信者に同報送信する。

【０１２１】ここで、以上の処理において、ｒ_X（σ_X，
Ａ）、ｚ_Aiを作成する処理の一部を、鍵管理者が行う理
由の一つは、送信者Ａに対して、受信者ｘの受信者秘密
情報σ_X、ｓ_X（σ_X）、送信者識別番号ｔ_Aを秘密にする
ことにより、送信者Ａの不正を防止するためである。

【０１２２】受信者ｘは、送信者Ａから受信した鍵配
送データｚ_Aiおよび受信者識別情報ｒ_X（σ_X，Ａ）、鍵
管理者から配送された受信者秘密情報σ_X、ｓ
_X（σ_X）、公開された送信者公開情報Ｎ_Aから、

【０１２３】

【数１３４】

【０１２４】により、データ暗号化鍵Ｋ_Aを計算し、メ
モリ３０４に格納する。

【０１２５】以上の処理で、送信者Ａと受信者ｘは鍵Ｋ
_Aを共有できる。他の任意の送信者と受信者についても
同様にして鍵を共有できる。また、この際、送信者Ａが
同報送信する受信者鍵配送データｚ_Aiは、各受信者につ
いて共通である。

【０１２６】また、以上の処理において、受信者ｘが送
信者Ａより受けとる鍵配送データｚ_Aiおよび受信者識別
情報ｒ_X（σ_X，Ａ）は、受信者に対して秘密化されてい
る送信者Ａの送信者識別番号ｔ_Aが作用したものとなっ
ている。したがって、以上の送信者識別番号ｔ_Aを用い
る構成により、受信者ｘが送信者Ａより受けとった鍵配
送データｚ_Ai、受信者識別情報ｒ_X（σ_X，Ａ）、他の送
信者Ｂの公開情報Ｎ_B、他の送信者Ｂが同報通信した鍵
配送データｚ_Biより、他の送信者Ｂのデータ暗号化鍵Ｋ
_Bを割り出すことを、きわめて困難とすることができ
る。

【０１２７】以下、暗復号化処理について説明する。

【０１２８】（３）暗復号化処理送信者Ａは、送信者側装置２００内の暗復号化装置２
０８を用いて、鍵配送処理で作成した共通鍵Ｋ_Aによ
り、データＰを暗号化する。そして、暗号文Ｃ＝Ｅ（Ｋ
_A：Ｐ）を通信装置２０７を用いて受信者ｘに送信す
る。

【０１２９】受信者ｘは、受信者側装置３００内の通
信装置３０５を用いて暗号文Ｃを受信し、暗復号化装置
３０７を用いてメモリ３０４に格納していた共通鍵Ｋ_A
により暗号文Ｃを復号化し、データを得る。

【０１３０】以上、本発明の第１実施形態について説明
した。

【０１３１】従来の技術では、新規に送信者がシステム
に参入する際、受信者秘密情報σ_X、ｓ_X（σ_X）を、送
信者自身が作成し受信者にオフラインで配布する必要が
あった。これに対し、第１実施形態に係る鍵配送システ
ムによれば、新規参入の送信者Ａは、送信者秘密情報Ｐ
_A、Ｑ_A、Ｌ_A、ｇ_Aと、送信者公開情報Ｎ_Aを作成するだ
けでよい。また、受信者が持つ受信者秘密情報は、全て
の送信者に対して唯一であり、新たな送信者からデータ
を受信したい場合に、新たな受信者秘密情報を入手する
必要がない。

【０１３２】また、受信者識別情報ｒ_X（σ_X，Ａ）によ
って、任意の受信者集合に属する受信者のみとのデータ
暗復号のための共通鍵の共有を可能とすることができ
る。また、受信者数が大きい場合であっても、共通鍵配
送のために同報通信する鍵配送データｚ_Aiを、これに伴
い長くする必要がない。

【０１３３】なお、以上の処理において、あらかじめ、
送信者Ａが送信者秘密情報Ｌ_Aを鍵管理者に送信してお
き、準備処理の段階で、鍵管理者は、送信者Ａから受信
した送信者秘密鍵Ｌ_Aから

【０１３４】

【数１３５】

【０１３５】となる鍵管理者秘密情報ｅ_i、送信者識別
情報ｔ_A、受信者秘密情報ｓ_X（σ_X）を作成し、鍵配送
処理の段階で、鍵管理者は、送信者秘密情報Ｌ_A、鍵管
理者秘密情報ｅ_i、送信者識別情報ｔ_A、受信者秘密情報
ｓ_X（σ_X）から、

【０１３６】

【数１３６】

【０１３７】によって、受信者識別データｓ_X（σ_X，
Ａ）を計算するようにしてもよい。

【０１３８】次に、本発明の第２実施形態について説明
する。

【０１３９】本発明の第２実施形態は、上記の第１実施
形態における受信者側携帯装置３０６に、図６に示すよ
うに、べき乗算器３０３６、剰余演算器３０６３、演算
装置３０６１、メモリ３０６２を備えるようにしたもの
である。そして、上記の第１実施形態の受信者側装置３
００におけるデータ暗号化鍵Ｋ_Aの計算処理の一部を、
受信者側携帯装置３０６で実施するようにしたものであ
る。

【０１４０】すなわち、第２実施形態では、（１）準備
処理の段階で、鍵管理者はσ_Xと受信者秘密情報ｓ_X（σ
_X）とを、受信者携帯装置３０６（ＩＣカード等）に格
納して、受信者ｘに配布する。

【０１４１】そして、（２）鍵配送処理において、受信
者ｘは、受信者側装置３００内のメモリに格納されてい
る鍵配送データｚ_Aiを受信者携帯装置３０６に出力す
る。次に、受信者携帯装置３０６内で、べき乗算器３０
６４、剰余演算器３０６３を用いて、受信者秘密情報σ
_X、ｓ_X（σ_X）、鍵配送データｚ_Aiおよび送信者公開情
報Ｎ_Aから、

【０１４２】

【数１３７】

【０１４３】を計算し、この計算結果ξ_X（σ_X，Ａ）を
受信者側装置３００に出力する。

【０１４４】次に、受信者側装置３００内のべき乗算器
３０１、剰余演算器３０２、演算装置３０３を用いて、
受信者側装置３００に出力されたξ_X（σ_X，Ａ）と、メ
モリ３０４に格納している受信者識別鍵ｒ_X（σ_X，Ａ）
および送信者公開情報Ｎ_Aから、

【０１４５】

【数１３８】

【０１４６】により、データ暗号化鍵Ｋ_Aを計算し、メ
モリ３０４に格納する。

【０１４７】このように受信者秘密情報σ_X、ｓ
_X（σ_X）が受信者側携帯装置３０６外部に出力しないよ
うにすることにより、これが電子的複写などにより盗難
されることを防ぐことができる。

【０１４８】以上、本発明の第２実施形態について説明
した。

【０１４９】次に、本発明の第３実施形態について説明
する。

【０１５０】本発明の第３実施形態は、上記の第１実施
形態において、

【０１５１】

【数１３９】

【０１５２】のｒの値を短時間毎に、周期毎に変更し、
変更後のｒを用いたｚ_Aiを周期的に同報通信することに
より、送信者側装置２００および受信者側装置３００で
計算するデータ暗復号化鍵Ｋ_Aの更新を行うものであ
る。

【０１５３】また、ｒ´の値を送信データ固有の値とす
ることで、送信者が同報送信するデータの識別を行うよ
うにしたものである。すなわち、受信者ｘがある同報デ
ータもしくは同報データの集合を復号するために、ある
送信者から得た識別鍵ｒ_X（σ_X，Ａ）はその同報データ
固有のものであり、別の同報データもしくは同報データ
の集合を取得するためには、その送信者から別の同報デ
ータもしくは同報データの集合用の別のｒ_X（σ_X，Ａ）
を得る必要がある。

【０１５４】以上、本発明の第３実施形態について説明
した。

【０１５５】次に、本発明の第４実施形態について説明
する。

【０１５６】本発明の第４実施形態は、上記の第１実施
形態において、特定の受信者の認証を行い、送信者が鍵
Ｋ_Aを用いて暗号化し送信した有償のデータＰに対す
る、鍵Ｋ_Aを共有する受信者への課金を行うものであ
る。

【０１５７】すなわち、第４実施形態では、さらに、以
下の処理を行う。

【０１５８】（１）準備処理鍵管理者は、鍵管理者側装置１００内の演算装置１０
５を用いて、予め受信者ｘの番号ＵＩＤ_Xを作成し、こ
れを受信者秘密情報ｓ_X（σ_X）と一緒に受信者携帯装置
３０６内のメモリ３０６１に格納して配布する。また、
ＵＩＤ_Xを、ｓ_X（σ_X）と対応させて、鍵管理者側装置
１００内のメモリ１０６に格納しておく。

【０１５９】送信者Ａは、送信者側装置２００内の演
算装置２０５を用いて、自身の番号ＢＩＤ_Aを作成し、
メモリ２０６に格納しておく。また、ＢＩＤ_Aを通信装
置２０７を用いて鍵管理者に送信する。

【０１６０】鍵管理者は、鍵管理者側装置１００内の
通信装置１０７によって送信者Ａの番号ＢＩＤ_Aを受信
し、メモリ１０６に送信者識別情報ｔ_Aと対応させて格
納する。

【０１６１】受信者ｘは、受信者側装置３００内の認
証装置３０８を用いて、受信者秘密情報ｓ_X（σ_X）から
認証用の情報を作成し、送信者Ａに送信する。

【０１６２】送信者Ａは、該認証用の情報を、送信者
側装置２００内の認証装置２０９によって確認する。

【０１６３】この認証の方法は、受信者がｓ_X（σ_X）を
知らない限り、認証が成立しない認証方法であれば、従
来知られている各種認証方式を用いてかまわない（ただ
し、このとき、送信者は受信者秘密鍵ｓ_X（σ_X）自体は
知ることができないようにする必要がある）。

【０１６４】たとえば、ＲＳＡ（文献「R. L, Rivest,
A. Shamir, L. Adelman. :A methodfor obtaining digi
tal signatures and publickey cryptosystems, Commu
n. of the ACM, Vol. 21, No.2,pp.120-126, 1987.」に
掲載）による署名を用いた方法によって、受信者ｘの認
証を、以下の処理によって行えばよい。

【０１６５】1:鍵管理者は、受信者ｘに対して、

【０１６６】

【数１４０】

【０１６７】なる（ｙ_X，ｎ_X）を予め送信者に配布す
る。ただし、公開された関数πに対して、ｓ´_X＝π
（ｓ_X（σ_X））とする。

【０１６８】2:受信者ｘは、受信者側装置３００内の認
証装置３０８を用いて、同報送信データであるＷのハッ
シュ値を、公開情報である一方向性ハッシュ関数ｈによ
り計算し（０＜ｈ（Ｗ）＜ｎ_X）、ｈ（Ｗ）に対する署
名を秘密鍵ｓ´_Xを用いて、

【０１６９】

【数１４１】

【０１７０】にて作成し、データの送信要求とともに通
信装置３０５を用いて送信者Ａに送信する。

【０１７１】3:送信者Ａは、認証装置２０９を用いて、

【０１７２】

【数１４２】

【０１７３】が成立することを確認する。

【０１７４】さて、認証を行った後に、送信者Ａは、
送信者側装置２００内の通信装置２０７を用いて、自身
の番号ＢＩＤ_Aと受信者ｘの番号ＵＩＤ_Xを鍵管理者に送
信する。

【０１７５】鍵管理者は、鍵管理者側装置１００内の
演算装置１０５を用いて、受信した送信者番号ＢＩＤ_A
と受信者番号ＵＩＤ_Xに対応した、送信者識別鍵ｔ_Aと受
信者秘密情報ｓ_X（σ_X）から、

【０１７６】

【数１４３】

【０１７７】となる受信者識別データｓ_X（σ_X，Ａ）を
計算し、送信者Ａに送信する。

【０１７８】送信者Ａは、送信者側装置２００内の剰
余演算器２０４、演算装置２０５を用いて、鍵管理者か
ら受信した受信者識別データｓ_X（σ_X，Ａ）から、

【０１７９】

【数１４４】

【０１８０】となる受信者識別情報ｒ_X（σ_X，Ａ）を計
算し、通信装置２０７により受信者ｘに送信する。その
際、共通鍵Ｋ_Aによって、暗号化して配信するデータ
（受信者が送信要求したデータ）が有償の場合、送信者
Ａは、課金装置２１０を用いて受信者ｘに対して課金す
る。

【０１８１】以上、本発明の第４実施形態について説明
した。

【０１８２】次に、本発明の第５実施形態について説明
する。

【０１８３】本発明の第５実施形態は、従来の技術の欄
で述べたコピー鍵方式を、図１に示した複数の送信者と
複数の受信者と鍵管理者が存在するシステムに拡張した
ものである。

【０１８４】図７に、本発明の第５実施形態に係る鍵管
理者側装置１００の構成を示す。図示するように、鍵管
理者側装置１００は、乱数生成器１１１、演算装置１１
２、メモリ１１３、通信装置１１４から構成される。ま
た、図８に、本発明の第５実施形態に係る送信者側装置
２００の構成を示す。図示するように、送信者側装置２
００は、乱数生成器２１１、演算装置２１２、暗復号化
装置２１３、メモリ２１４、通信装置２１５から構成さ
れる。また、図９に、本発明の第５実施形態に係る受信
者側装置３００の構成を示す。図示するように、受信者
側装置３００は、演算装置３１１、暗復号化装置３１
２、メモリ３１３、通信装置３１４から構成される。

【０１８５】本実施形態では、まず、準備処理として、
以下の処理を行う。

【０１８６】（１）準備処理鍵管理者は、鍵管理者側装置１００内の乱数生成器１
１１を用いて、秘密情報Ｋ０を生成しメモリ１１３に格
納する。また、送信者と受信者に配布する。

【０１８７】送信者Ａは、送信者側装置２００内の乱
数生成器２１１を用いて送信者識別情報ＢＩＤ_Aを生成
し、通信装置１１４により受信者に送信する。

【０１８８】その後、鍵配送処理として、以下の処理を
行う。

【０１８９】（２）鍵配送処理送信者Ａは、送信者側装置２００内の演算装置２０５
を用いて、鍵管理者から配布された秘密鍵情報Ｋ０と送
信者識別情報ＢＩＤ_Aから、適当な一方向性関数Ｆによ
り、共通鍵Ｋ_A´＝Ｆ（Ｋ０、ＢＩＤ_A）を計算する。

【０１９０】受信者は、受信者側装置３００内の演算
装置３１２を用いて、鍵管理者から配布された秘密情報
Ｋ０と送信者から受信した送信者識別情報ＢＩＤ_Aか
ら、一方向性関数Ｆにより、共通鍵Ｋ_A´＝Ｆ（Ｋ０、
ＢＩＤ_A）を計算する。

【０１９１】送信者Ａは、送信者側装置２００内の乱
数生成器２１１を用いて適当な整数ｒを作成し、通信装
置２１５により受信者に送信する。また、演算装置２１
２を用いて、整数ｒと共通鍵Ｋ_A´から、適当な関数Ｆ
´によりデータ暗復号化鍵ＤＫ＝Ｆ´（ｒ，Ｋ_A´）を
計算し、メモリ２１４に格納する。

【０１９２】受信者は、受信者側装置３００内の演算
装置３１２を用いて、送信者Ａから受信した整数ｒと、
共通鍵Ｋ_A´から、関数Ｆ´により、データ暗復号化鍵
ＤＫ＝Ｆ´（ｒ，Ｋ_A´）を計算して、メモリ３１４に
格納する。

【０１９３】上記の鍵配送処理により、データ暗復号化
鍵ＤＫの配送が行われた後、暗復号化処理は、以下の要
領で行う。

【０１９４】（３）暗復号化処理送信者Ａは、データ暗復号化鍵ＤＫを用いて、送信者
側装置２００内の暗復号化装置２０３により配信データ
Ｐを暗号化し、通信装置２０５により受信者に送信す
る。

【０１９５】受信者は、受信者側装置３００内の通信
装置３０５により暗号化された配信データＰを受信し、
データ暗復号化鍵ＤＫを用いて暗復号化装置３０３によ
り復号化する。

【０１９６】以上説明した本発明の第５実施形態によっ
ても、受信者は、単一の秘密情報で、複数の送信者と、
各送信者個々の共通鍵を共有することができる。

【０１９７】次に、本発明の第６実施形態について説明
する。

【０１９８】本発明の第６実施形態は、送信者と受信者
が、受信者の個別の鍵を使った暗号通信により、共通鍵
を共有するものである。

【０１９９】本実施形態に係る全体のシステム、鍵管理
者側装置１００、送信者側装置２００、受信者側装置３
００の構成は、上述した本発明の第５実施形態のものと
同様である。

【０２００】さて、本実施形態では、準備処理におい
て、以下の処理を行う。

【０２０１】（１）準備処理鍵管理者は、鍵管理者側装置１００内の乱数生成器１
１１を用いて受信者ｘの秘密情報ｓ_Xを作成し、受信者
に配布する。さらに、乱数生成器１１１を用いて送信者
Ａの番号ＢＩＤ_Aを作成し、送信者Ａおよび受信者ｘに
配布する。

【０２０２】送信者Ａは、送信者側装置２００内の乱
数生成器２１１を用いて共通鍵Ｋ_Aを作成する。

【０２０３】その後、鍵配送処理において、以下の処理
を行う。

【０２０４】（２）鍵配送処理鍵管理者は、鍵管理者側装置１００内の演算装置１１
２を用いて、送信者Ａの番号ＢＩＤ_Aと受信者秘密情報
ｓ_Xから、適当な一方向性関数ＦによりＫ_AX＝Ｆ（ｓ_X、
Ｋ_A）なる、受信者ｘおよび送信者Ａ間でのセッション
鍵Ｋ_AXを計算し、メモリ１１３に格納する。

【０２０５】受信者ｘは、受信者側装置３００内の演
算装置３１２を用いて、送信者Ａの番号ＢＩＤ_Aと自身
の秘密情報ｓ_Xから、一方向性関数ＦによりＫ_AX＝Ｆ
（ｓ_X、ＢＩＤ_A）を計算し、メモリ３１３に格納する。

【０２０６】送信者Ａは、送信者側装置２００内の暗
復号化装置２１３を用いて、セッション鍵Ｋ_AXにより共
通鍵Ｋ_Aを暗号化し、その結果、得られた鍵配送データ
Ｋ_CXを、通信装置２１５により受信者に送信する。さら
に、乱数生成器２１１を用いて、適当な整数ｒを作成
し、通信装置２１５により受信者に送信するとともに、
演算装置２１２を用いて、整数ｒと共通鍵Ｋ_Aから、適
当な関数Ｆ´によりデータ暗復号化鍵ＤＫ＝Ｆ´（ｒ，
Ｋ_A）を計算し、メモリ２１４に格納する。

【０２０７】受信者ｘは、受信者側装置３００内の暗
復号化装置３０３を用いて、送信者Ａから受信した鍵配
送データＫ_CXをセッション鍵Ｋ_AXにより復号化する。そ
して、演算装置３０２を用いて、復号化した共通鍵Ｋ_A
と受信した整数ｒから、関数Ｆ´により、データ暗復号
化鍵ＤＫ＝Ｆ´（ｒ，Ｋ_A）を計算し、メモリ３０３に
格納する。

【０２０８】上記の鍵配送処理により、データ暗復号化
鍵ＤＫの配送が行われた後、暗復号化処理は、以下の要
領で行う。

【０２０９】送信者Ａは、送信者側装置２００内の暗
復号化装置２０３を用いて、データ暗復号化鍵ＤＫによ
り配信データＰを暗号化し、通信装置２０５により受信
者ｘに送信する。

【０２１０】受信者ｘは、受信者側装置３００内の通
信装置３０５により暗号化された配信データＰを受信す
る。そして、暗復号化装置３０３を用いて、受信した配
信データＰをデータ暗復号化鍵ＤＫにより復号する。

【０２１１】なお、送信者Ａは、共通鍵Ｋ_Aの値を周期
的に変更することで、データ暗復号化鍵ＤＫの値を周期
的に変更することができる。

【０２１２】以上説明した本発明の第６実施形態によっ
ても、受信者は、単一の秘密情報で、複数の送信者と、
各送信者個々の共通鍵を共有することができる。

【０２１３】次に、本発明の第７実施形態について説明
する。

【０２１４】本発明の第７実施形態は、上記の第６実施
形態と同様、送信者と受信者が、受信者の個別の鍵を使
った暗号通信により、共通の鍵を共有するものである。

【０２１５】本実施形態に係る全体のシステム、鍵管理
者側装置１００、送信者側装置２００、受信者側装置３
００の構成は、上述した本発明の第５実施形態のものと
同様である。

【０２１６】本発明の第７実施形態では、準備処理にお
いて、以下の処理を行う。

【０２１７】（１）準備処理鍵管理者は、鍵管理者側装置１００内の乱数生成器１
１１、演算装置１１２を用いて、適当な公開鍵暗号Ｅに
従った受信者ｘの秘密鍵ｓ_Xおよび公開鍵ｐ_Xを作成し、
ｓ_Xを受信者に配布する。さらに、乱数生成器１１１に
より送信者Ａの番号ＢＩＤ_Aを作成し、送信者Ａおよび
受信者ｘに配布または送信する。

【０２１８】送信者Ａは、送信者側装置２００内の乱
数生成器２０１を用いて共通鍵Ｋ_Aを作成し、メモリ１
１４に格納する。

【０２１９】その後、鍵配送処理として、以下の処理を
行う。

【０２２０】（２）鍵配送処理送信者Ａは、送信者側装置２００内の暗復号化装置２
１３を用いて、前記適当な公開鍵暗号Ｅにより、受信者
公開鍵ｐ_Xと共通鍵Ｋ_Aから鍵配送データＫ_CX＝Ｅ
（ｐ_X，Ｋ_A）を計算する。その後、通信装置２１５によ
りＫ_CXを受信者ｘに送信する。

【０２２１】受信者ｘは、受信者側装置３００内の暗
復号化装置３１３を用いて、送信者Ａから受信した鍵配
送データＫ_CXを自身の秘密鍵ｓ_Xにより復号化し、復号
化した共通鍵Ｋ_Aをメモリ３１４に格納する。

【０２２２】送信者Ａは、送信者側装置２００内の乱
数生成器２０１を用いて適当な整数ｒを生成し、通信装
置２１５により受信者ｘに送信する。また、演算装置２
１２を用いて、整数ｒと共通鍵Ｋ_Aから、適当な関数Ｆ
によりデータ暗復号化鍵ＤＫ＝Ｆ（ｒ，Ｋ_A）を計算
し、メモリ２０４に格納する。

【０２２３】受信者ｘは、受信者側装置３００内の演
算装置３１２を用いて、共通鍵ＫＡと送信者から受信し
た整数ｒから、関数Ｆによりデータ暗復号化鍵ＤＫ＝
（ｒ，Ｋ_A）を計算し、メモリ３１４に格納する。

【０２２４】上記の鍵配送処理により、データ暗復号化
鍵ＤＫの配送が行われた後、暗復号化処理は、以下の要
領で行う。

【０２２５】（３）暗復号化処理送信者Ａは、送信者側装置２００内の暗復号化装置２
０３を用いて、データ暗復号化鍵ＤＫにより配信データ
Ｐを暗号化し、通信装置２０５により受信者ｘに送信す
る。

【０２２６】受信者ｘは、受信者側装置３００内の通
信装置３０５を用いて、暗号化された配信データＰを受
信する。そして、暗復号化装置３０３を用いて、受信し
た配信データＰをデータ暗復号化鍵ＤＫにより復号化す
る。

【０２２７】送信者Ａは、共通鍵ＫＡの値を周期的に
変更することによりデータ暗復号化鍵ＤＫを変更する。

【０２２８】以上説明した本発明の第７実施形態によっ
ても、受信者は、単一の秘密情報で、複数の送信者と、
各送信者個々の共通鍵を共有することができる。

【０２２９】次に、本発明の第８実施形態について説明
する。

【０２３０】本発明の第８実施形態は、上述した本発明
の第６および第７実施形態において、送信者による鍵配
送データＫ_CXの受信者への送信を、以下のように修正し
たものである。

【０２３１】すなわち、第８実施形態では、送信者Ａ
は、受信者全体の集合をいくつかの部分集合にわける。
次に、鍵配送データＫ_Ci（１≦i≦ｎただし、ｎは受
信者数）を受信者に送信する際、前記受信者の部分集合
毎に通信チャンネルを割り当て、送信者側装置２００内
の通信装置２１５により受信者に送信する。

【０２３２】一方、任意の受信者ｘは、自身の属する部
分集合に割り当てられた通信チャンネルを通じて、受信
者側装置３００内の通信装置３０５により、鍵配送デー
タＫ_CXを受信する。

【０２３３】以上、本発明の第８実施形態について説明
した。

【０２３４】次に、本発明の第９実施形態について説明
する。

【０２３５】本実施形態に係る全体のシステム、鍵管理
者側装置１００、送信者側装置２００、受信者側装置３
００の構成は、上述した本発明の第１実施形態のものと
同様である。

【０２３６】以下、本システムが行う準備処理、鍵配送
処理、そして暗復号化処理の３つの処理について説明す
る。

【０２３７】では、まず、準備処理について説明する。

【０２３８】（１）準備処理送信者Ａは、送信者側装置２００内の乱数生成器２０
１、素数生成器２０２、べき乗算器２０３、剰余演算器
２０４、および演算装置２０５を用いて、次の情報を作
成し、そのうち、公開情報のみを公開する。

【０２３９】秘密情報：

【０２４０】

【数１４５】

【０２４１】公開情報：

【０２４２】

【数１４６】

【０２４３】秘密情報はメモリ２０６に格納する。ま
た、秘密情報ｇ_A、Ｌ_Aを通信装置２０７を用いて鍵管理
者に送信する。

【０２４４】信頼できる鍵管理者は、鍵管理者側装置
１００内の演算装置１０５を用いて、次の情報を作成す
る。

【０２４５】鍵管理者秘密情報：

【０２４６】

【数１４７】

【０２４７】送信者Ａの送信者識別情報：

【０２４８】

【数１４８】

【０２４９】受信者ｘの受信者秘密情報：

【０２５０】

【数１４９】

【０２５１】これらは、σ_Xとともに全てメモリ１０６
に格納する。

【０２５２】ただし、集合

【０２５３】

【数１５０】

【０２５４】に対して、σ、σ´∈Ｓ_kmのとき、

【０２５５】

【数１５１】

【０２５６】とする。このとき、〜はＳ_km上の同値関係
となり、

【０２５７】

【数１５２】

【０２５８】とする。

【０２５９】また、鍵管理者は、メモリ１０６から受信
者秘密情報ｓ_X（σ_X）を取り出し、σ_Xとともに受信者
側携帯装置３０６に格納し、これを受信者ｘにオフライ
ンで配布する。もちろん、他の方法によって受信者に配
布するようにしてもよい。

【０２６０】次に、鍵配送処理について説明する。

【０２６１】（２）鍵配送処理鍵管理者は、鍵管理者側装置１００内の剰余演算器１
０４、演算装置１０５を用いて、送信者Ａから受信した
Ｌ_Aと、鍵管理者秘密情報ｅ_iと、受信者秘密情報σ_X、
ｓ_X（σ_X）と、送信者識別情報ｔ_Aから、

【０２６２】

【数１５３】

【０２６３】なる受信者ｘの受信者識別データρ_X（σ_X
（ｉ），Ａ）を計算し、通信装置１０７を用いて送信者
Ａに送信する。

【０２６４】また、鍵管理者は、鍵管理者側装置１００
内のべき乗算器１０３、剰余演算器１０４、演算装置１
０５を用いて、送信者Ａから受信したｇ_Aと、送信者Ａ
の送信者公開情報Ｎ_Aと、鍵管理者秘密情報ｅ_iから、

【０２６５】

【数１５４】

【０２６６】なる送信者Ａの送信者鍵配送データｙ_Aiを
計算し、通信装置１０７を用いて送信者Ａに送信する。

【０２６７】送信者Ａは、送信者側装置２００内の乱
数生成器２０１により、乱数ｒ、ｒ´を作成しメモリ２
０６に格納する。さらに、べき乗算器２０３、剰余演算
器２０４、演算装置２０５を用いて、この乱数ｒ、ｒ'
と、自身の秘密情報ｇ_Aと、自身の公開情報Ｎ_Aから、

【０２６８】

【数１５５】

【０２６９】なるデータ暗号化鍵Ｋ_Aを計算してメモリ
２０６に格納し、受信者ｘとの間で鍵Ｋ_Aを共有するこ
とを目的として、剰余演算器２０４、演算装置２０５を
用いて、自身の秘密情報Ｌ_Aと、乱数ｒ´と、鍵管理者
から受信した受信者ｘの受信者識別データρ_X（σ
_X（ｉ），Ａ）から、

【０２７０】

【数１５６】

【０２７１】なる受信者ｘの受信者識別情報ｒ_X（σ
_X（ｉ），Ａ）を計算し、通信装置２０７を用いて受信
者ｘに送信する。

【０２７２】また、送信者Ａは、送信者側装置２００内
のべき乗算器２０３、剰余演算器２０４、演算装置２０
５を用いて、自身の公開情報Ｎ_Aと、乱数ｒと、鍵管理
者から受信した送信者鍵配送データｙ_Aiから、

【０２７３】

【数１５７】

【０２７４】なる受信者鍵配送データｚ_Aiを計算し、通
信装置２０７を用いて受信者に同報送信する。

【０２７５】ここで、以上の処理において、ｒ_X（σ
_X（ｉ），Ａ）、ｚ_Aiを作成する処理の一部を、鍵管理
者が行う理由の一つは、送信者Ａに対して、受信者ｘの
受信者秘密情報σ_X、ｓ_X（σ_X）、送信者識別番号ｔ_Aを
秘密にすることにより、送信者Ａの不正を防止するため
である。

【０２７６】受信者ｘは、送信者Ａから受信した鍵配
送データｚ_Aiおよび受信者識別情報ｒ_X（σ_X（ｉ），
Ａ）、鍵管理者から配送された受信者秘密情報σ_X、ｓ_X
（σ_X）、公開された送信者公開情報Ｎ_Aから、

【０２７７】

【数１５８】

【０２７８】により、データ暗号化鍵Ｋ_Aを計算し、メ
モリ３０４に格納する。

【０２７９】以上の処理で、送信者Ａと受信者ｘは鍵Ｋ
_Aを共有できる。他の任意の送信者と受信者についても
同様にして鍵を共有できる。また、この際、送信者Ａが
同報送信する受信者鍵配送データｚ_Aiは、各受信者につ
いて共通である。

【０２８０】また、以上の処理において、受信者ｘが送
信者Ａより受けとる鍵配送データｚ_Aiおよび受信者識別
情報ｒ_X（σ_X（ｉ），Ａ）は、受信者に対して秘密化さ
れている送信者Ａの送信者識別番号ｔ_Aが作用したもの
となっている。したがって、以上の送信者識別番号ｔ_A
を用いる構成により、受信者ｘが送信者Ａより受けとっ
た鍵配送データｚ_Ai、受信者識別情報ｒ_X（σ_X（ｉ），
Ａ）、他の送信者Ｂの公開情報Ｎ_B、他の送信者Ｂが同
報通信した鍵配送データｚ_Biより、他の送信者Ｂのデー
タ暗号化鍵Ｋ_Bを割り出すことを、きわめて困難とする
ことができる。

【０２８１】以下、暗復号化処理について説明する。

【０２８２】（３）暗復号化処理送信者Ａは、送信者側装置２００内の暗復号化装置２
０８を用いて、鍵配送処理で作成した共通鍵Ｋ_Aによ
り、データＰを暗号化する。そして、暗号文Ｃ＝Ｅ（Ｋ
_A：Ｐ）を通信装置２０７を用いて受信者ｘに送信す
る。

【０２８３】受信者ｘは、受信者側装置３００内の通
信装置３０５を用いて暗号文Ｃを受信し、暗復号化装置
３０７を用いてメモリ３０４に格納していた共通鍵Ｋ_A
により暗号文Ｃを復号化し、データを得る。

【０２８４】以上、本発明の第９実施形態について説明
した。

【０２８５】本実施形態に係る鍵配送システムにおいて
も、上述した第１実施形態と同様、新規参入の送信者Ａ
は、送信者秘密情報Ｐ_A、Ｑ_A、Ｌ_A、ｇ_Aと、送信者公開
情報Ｎ_Aを作成するだけでよい。また、受信者が持つ受
信者秘密情報は、全ての送信者に対して唯一であり、新
たな送信者からデータを受信したい場合に、新たな受信
者秘密情報を入手する必要がない。

【０２８６】また、受信者識別情報ｒ_X（σ_X（ｉ），
Ａ）によって、任意の受信者集合に属する受信者のみと
のデータ暗復号のための共通鍵の共有を可能とすること
ができる。また、受信者数が大きい場合であっても、共
通鍵配送のために同報通信する鍵配送データｚ_Aiを、こ
れに伴い長くする必要がない。

【０２８７】なお、以上の処理において、あらかじめ、
送信者Ａが送信者秘密情報Ｌ_Aを鍵管理者に送信してお
き、準備処理の段階で、鍵管理者は、送信者Ａから受信
した送信者秘密鍵Ｌ_Aから、

【０２８８】

【数１５９】

【０２８９】となる鍵管理者秘密情報ｅ_i、送信者識別
情報ｔ_A、受信者秘密情報ｓ_X（σ_X）を作成し、鍵配送
処理の段階で、鍵管理者は、送信者秘密情報Ｌ_A、鍵管
理者秘密情報ｅ_i、送信者識別情報ｔ_A、受信者秘密情報
ｓ_X（σ_X）から、

【０２９０】

【数１６０】

【０２９１】によって、受信者識別データρ_X（σ
_X（ｉ），Ａ）を計算するようにしてもよい。

【０２９２】次に、本発明の第１０実施形態について説
明する。

【０２９３】本発明の第１０実施形態は、上記の第９実
施形態において、受信者側装置３００におけるデータ暗
号化鍵Ｋ_Aの計算処理の一部を、受信者側携帯装置３０
６で実施するようにしたものである。本実施形態で用い
る受信者側携帯装置３０６の構成は、上述した本発明の
第２実施形態のものと同様である。

【０２９４】本実施形態では、（１）準備処理の段階
で、鍵管理者は受信者秘密情報σ_X、ｓ_X（σ_X）を、受
信者携帯装置３０６（ＩＣカード等）に格納して、受信
者ｘに配布する。

【０２９５】そして、（２）鍵配送処理において、受信
者ｘは、受信者側装置３００内のメモリに格納されてい
る鍵配送データｚ_Aiを受信者携帯装置３０６に出力す
る。次に、受信者携帯装置３０６内で、べき乗算器３０
６４、剰余演算器３０６３を用いて、受信者秘密情報σ
_X、ｓ_X（σ_X）、鍵配送データｚ_Aiおよび送信者公開情
報Ｎ_Aから、

【０２９６】

【数１６１】

【０２９７】を計算し、この計算結果ξ_X（σ_X（ｉ），
Ａ）を受信者側装置３００に出力する。

【０２９８】次に、受信者側装置３００内のべき乗算器
３０１、剰余演算器３０２、演算装置３０３を用いて、
受信者側装置３００に出力されたξ_X（σ_X（ｉ），Ａ）
と、メモリ３０４に格納している受信者識別鍵ｒ_X（σ_X
（ｉ），Ａ）および送信者公開情報Ｎ_Aから、

【０２９９】

【数１６２】

【０３００】により、データ暗号化鍵Ｋ_Aを計算し、メ
モリ３０４に格納する。

【０３０１】このように受信者秘密情報σ_X、ｓ
_X（σ_X）が受信者側携帯装置３０６外部に出力しないよ
うにすることにより、これが電子的複写などにより盗難
されることを防ぐことができる。

【０３０２】以上、本発明の第１０実施形態について説
明した。

【０３０３】次に、本発明の第１１実施形態について説
明する。

【０３０４】本発明の第１１実施形態は、上記の第９実
施形態において、

【０３０５】

【数１６３】

【０３０６】のｒの値を短時間毎に、周期毎に変更し、
変更後のｒを用いたｚ_Aiを周期的に同報通信することに
より、送信者側装置２００および受信者側装置３００で
計算するデータ暗復号化鍵Ｋ_Aの更新を行うものであ
る。

【０３０７】また、ｒ´の値を送信データ固有の値とす
ることで、送信者が同報送信するデータの識別を行うよ
うにしたものである。すなわち、受信者ｘがある同報デ
ータもしくは同報データの集合を復号するために、ある
送信者から得た識別鍵ｒ_X（σ_X（ｉ），Ａ）はその同報
データ固有のものであり、別の同報データもしくは同報
データの集合を取得するためには、その送信者から別の
同報データもしくは同報データの集合用の別のｒ_X（σ_X
（ｉ），Ａ）を得る必要がある。

【０３０８】以上、本発明の第１１実施形態について説
明した。

【０３０９】次に、本発明の第１２実施形態について説
明する。

【０３１０】本発明の第１２実施形態は、上記の第９実
施形態において、特定の受信者の認証を行い、送信者が
鍵Ｋ_Aを用いて暗号化し送信した有償のデータＰに対す
る、鍵Ｋ_Aを共有する受信者への課金を行うものであ
る。

【０３１１】すなわち、第１２実施形態では、さらに、
以下の処理を行う。

【０３１２】（１）準備処理鍵管理者は、鍵管理者側装置１００内の演算装置１０
５を用いて、予め受信者ｘの番号ＵＩＤ_Xを作成し、こ
れを受信者秘密情報ｓ_X（σ_X）と一緒に受信者携帯装置
３０６内のメモリ３０６１に格納して配布する。また、
ＵＩＤ_Xを、ｓ_X（σ_X）と対応させて、鍵管理者側装置
１００内のメモリ１０６に格納しておく。

【０３１３】送信者Ａは、送信者側装置２００内の演
算装置２０５を用いて、自身の番号ＢＩＤ_Aを作成し、
メモリ２０６に格納しておく。また、ＢＩＤ_Aを通信装
置２０７を用いて鍵管理者に送信する。

【０３１４】鍵管理者は、鍵管理者側装置１００内の
通信装置１０７によって送信者Ａの番号ＢＩＤ_Aを受信
し、メモリ１０６に送信者識別情報ｔ_Aと対応させて格
納する。

【０３１５】受信者ｘは、受信者側装置３００内の認
証装置３０８を用いて、受信者秘密情報ｓ_X（σ_X）から
認証用の情報を作成し、送信者Ａに送信する。

【０３１６】送信者Ａは、該認証用の情報を、送信者
側装置２００内の認証装置２０９によって確認する。

【０３１７】この認証の方法は、上述した本発明の第４
実施形態と同様、受信者がｓ_X（σ_X）を知らない限り、
認証が成立しない認証方法であれば、従来知られている
各種認証方式を用いてかまわない（ただし、このとき、
送信者は受信者秘密鍵ｓ_X（σ_X）自体は知ることができ
ないようにする必要がある）。

【０３１８】さて、認証を行った後に、送信者Ａは、
送信者側装置２００内の通信装置２０７を用いて、自身
の番号ＢＩＤ_Aと受信者ｘの番号ＵＩＤ_Xを鍵管理者に送
信する。

【０３１９】鍵管理者は、鍵管理者側装置１００内の
演算装置１０５を用いて、受信した送信者番号ＢＩＤ_A
と受信者番号ＵＩＤ_Xに対応した、送信者識別鍵ｔ_Aと受
信者秘密情報ｓ_X（σ_X）から、

【０３２０】

【数１６４】

【０３２１】となる受信者識別データρ_X（σ_X（ｉ），
Ａ）を計算し送信者Ａに送信する。

【０３２２】送信者Ａは、送信者側装置２００内の剰
余演算器２０４、演算装置２０５を用いて、鍵管理者か
ら受信した受信者識別データρ_X（σ_X（ｉ），Ａ）か
ら、

【０３２３】

【数１６５】

【０３２４】となる受信者識別情報ｒ_X（σ_X（ｉ），
Ａ）を計算し、通信装置２０７により受信者ｘに送信す
る。その際、共通鍵Ｋ_Aによって、暗号化して配信する
データ（受信者が送信要求したデータ）が有償の場合、
送信者Ａは、課金装置２１０を用いて受信者ｘに対して
課金する。

【０３２５】以上、本発明の各実施形態について説明し
た。

【０３２６】なお、以上に説明した鍵管理者側装置１０
０、送信者側装置２００、受信者側装置３００の各処理
は、コンピュータに各処理を実行させる手順を記述した
プログラムを実行させることにより実現するようにして
もよい。この場合、各処理を実行させる手順を記述した
各プログラムは、記憶媒体に格納して各コンピュータに
供給するようにしてもよい。あるいは、ネットワークな
どの通信媒体を介して各コンピュータに供給するように
してもよい。

【０３２７】

【発明の効果】以上説明したように、本発明によれば、
受信者が唯一の秘密情報によって、複数の送信者から個
々の共通鍵の配送を受けることができる。また、一部の
発明においては、このような鍵配送システムにおいて、
任意の送信者と任意の受信者集合に属する受信者のみと
のデータ暗復号のための共通鍵の共有を可能とすること
ができる。また、受信者数が大きい場合であっても、こ
れに伴い共通鍵配送のための同報通信データを長くする
必要がなくなる。

【図面の簡単な説明】

【図１】本発明の第１実施形態に係る鍵配送システムの
構成を示すブロック図である。

【図２】本発明の第１実施形態に係る鍵管理者側装置の
構成を示すブロック図である。

【図３】本発明の第１実施形態に係る送信者側装置の構
成を示すブロック図である。

【図４】本発明の第１実施形態に係る受信者側装置の構
成を示すブロック図である。

【図５】本発明の第１実施形態における鍵配送処理によ
る情報の流れを示した図である。

【図６】本発明の第２実施形態に係る受信者側携帯装置
の構成を示すブロック図である。

【図７】本発明の第５実施形態に係る鍵管理者側装置の
構成を示すブロック図である。

【図８】本発明の第５実施形態に係る送信者側装置の構
成を示すブロック図である。

【図９】本発明の第５実施形態に係る受信者側装置の構
成を示すブロック図である。

【符号の説明】

１００鍵管理者側装置１０１、１１１、２０１、２１１、３１１乱数生成器１０２、２０２素数生成器１０３、２０３、３０１、３０６４べき乗算器１０４、２０４、３０２、３０６３剰余演算器１０５、１１２、２０５、２１２、３０３、３１２、３
０６１演算装置１０６、１１３、２０６、２１４、３０４、３１４、３
０６２メモリ１０７、１１４、２０７、２１５、３０５、３１５通
信装置２００送信者側装置２０８、２１３、３０７、３１３暗復号化装置２０９、３０８認証装置２１０課金装置３００受信者側装置３０６受信者側携帯装置

Claims

【特許請求の範囲】

【請求項１】複数の送信者と、複数の受信者とが存在す
る通信システムにおいて、前記送信者が行う同報暗号通
信の暗復号化鍵を、前記送信者と前記受信者との間で共
有するための鍵配送方法であって、鍵管理者を設け、当該鍵管理者において、前記送信者と
前記受信者との間で鍵を共有するために用いる、前記複
数の送信者について共通の第１鍵情報を作成し、所定の
受信者に配布するとともに、前記送信者と前記受信者と
の間で鍵を共有するするために用いる第２鍵情報を作成
し、前記送信者に配布し、前記送信者は、受信者が前記第１鍵情報を用いて当該送
信者が同報通信に用いる暗復号化鍵を算出するための第
３鍵情報を、前記鍵管理者から配布された第２鍵情報を
用いて生成して、当該送信者と鍵を共有する受信者に送
信し、前記受信者は、前記鍵管理者から配布された第１鍵情報
と前記送信者から配布された第３鍵情報とを用いて、当
該第３鍵情報を配布した送信者が同報通信に用いる暗復
号化鍵を入手することを特徴とする鍵配送方法。
【請求項２】複数の送信者と、複数の受信者と、鍵管理
者とが存在する通信システムを用い、前記送信者が行う
同報暗号通信の暗復号化鍵を、前記送信者と前記受信者
との間で共有するための鍵配送方法であって、鍵管理者において、有限集合Ｓの部分集合Ｓ´に対応さ
せて、受信者ｘの受信者秘密情報ｓ_Xを作成し、当該受
信者ｘに配布するとともに、送信者Ａの送信者識別情報
ｔ_Aを作成する第１ステップと、送信者Ａにおいて、自身の送信者秘密情報Ｇ_Aを作成
し、送信者秘密情報Ｇ_Aより暗復号化鍵Ｋ_Aを計算する第
２ステップと、鍵管理者と送信者Ａとが協調して、送信者秘密情報Ｇ_A
と送信者識別情報ｔ_Aとを少なくとも作用させて鍵配送
情報Ｗを作成するとともに、受信者ｘの受信者秘密鍵情
報ｓ_Xと送信者識別情報ｔ_Aとを少なくとも作用させて、
送信者Ａに対する受信者ｘの受信者識別情報ｒ_Xを作成
する第３ステップと、送信者Ａにおいて、受信者識別情報ｒ_Xを受信者ｘに送
信し、鍵配送情報Ｗを各受信者に同報送信する第４ステ
ップと、受信者ｘにおいて、鍵管理者により配布された受信者秘
密情報ｓ_Xと、送信者Ａから受信した鍵配送情報Ｗおよ
び受信者識別情報ｒ_Xとから、送信者Ａが行う同報暗号
通信の暗復号化鍵Ｋ_Aを算出する第５ステップと、を有
し、前記受信者秘密情報ｓ_X、鍵配送情報Ｗ、および受信者
識別情報ｒ_Xは、前記受信者秘密情報ｓ_X、鍵配送情報
Ｗ、および受信者識別情報ｒ_Xと各受信者に公開される
他の情報とより、暗復号化鍵Ｋ_Aが導出可能な関係をも
って作成されることを特徴とする鍵配送方法。
【請求項３】請求項２記載の鍵配送方法であって、前記第２ステップにおいて、送信者Ａは、暗復号化鍵を
変更するための変数情報ｒ_A，ｒ_A´を作成し、送信者秘
密情報Ｇ_Aに変数情報ｒ_A，ｒ_A´を作用させて、暗復号
化鍵Ｋ_Aを計算し、前記第３ステップにおいて、鍵管理者は、送信者秘密情
報Ｇ_Aと送信者識別情報ｔ_Aとを作用させたデータＷ´を
作成して送信者Ａに送信するとともに、受信者ｘの受信
者秘密情報ｓ_Xと送信者識別情報ｔ_Aとを作用させたｒ_X
´を作成して、送信者Ａに送信し、かつ、送信者Ａは、
データＷ´に変数情報ｒ_Aを作用させて鍵配送情報Ｗを
作成し、データｒ_X´に変数情報ｒ_A´を作用させて送信
者Ａに対する受信者ｘの受信者識別情報ｒ_Xを作成する
ことを特徴とする鍵配送方法。
【請求項４】複数の送信者と、複数の受信者と、鍵管理
者とが存在する通信システムを用い、前記送信者が行う
同報暗号通信の暗復号化鍵を、前記送信者と前記受信者
との間で共有するための鍵配送方法であって、鍵管理者において、鍵管理者秘密情報として、【数１】を作成し、送信者Ａの送信者識別情報として、【数２】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数３】（但し、集合【数４】に対して、σ、σ´∈Ｓ_kmのとき【数５】とし、このとき、〜はＳ_km上の同値関係となり、【数６】とする）とを作成し、受信者秘密情報σ_X、ｓ_X（σ_X）
を受信者ｘに配布するステップと、送信者Ａにおいて、【数７】（但し、【数８】は、【数９】なる最小の正整数ａを表す）なる送信者秘密情報ｇ_A、
Ｌ_Aおよび有限アーベル群Ｇ_Aを作成し、送信者秘密情報
ｇ_Aを鍵管理者に送信するステップと、鍵管理者において、鍵管理者秘密情報ｅ_i、送信者識別
情報ｔ_Aおよび受信者秘密情報ｓ_X（σ_X）、σ_Xから、受
信者識別データ【数１０】を計算して、受信者識別データｓ_X（σ_X，Ａ）を送信者
Ａに送信するとともに、送信者Ａから受信したｇ_Aと、
鍵管理者秘密情報ｅ_iと、送信者識別情報ｔ_Aから、鍵配
送データ【数１１】を算出して、鍵配送データｙ_Aiを送信者Ａに送信するス
テップと、送信者Ａにおいて、整数ｒ、ｒ´を生成し、鍵管理者か
ら受信した受信者識別データｓ_X（σ_X，Ａ）と、送信者
秘密情報Ｌ_Aと、整数ｒ´から【数１２】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算して、受信者
識別情報ｒ_X（σ_X，Ａ）を受信者ｘに送信するととも
に、鍵管理者から受信した鍵配送データｙ_Aiと、整数ｒ
から、鍵配送情報【数１３】を計算し、鍵配送情報ｚ_Aiを、各受信者に同報送信する
ステップと、受信者ｘにおいて、送信者から受信した受信者識別情報
ｒ_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、鍵管理者から
配布された受信者秘密情報σ_X、ｓ_X（σ_X）から、【数１４】により、送信者Ａが【数１５】によって生成し、同報通信に用いる暗復号化鍵Ｋ_Aを計
算するステップと、を有することを特徴とする鍵配送方
法。
【請求項５】複数の送信者と、複数の受信者と、鍵管理
者とが存在する通信システムを用い、前記送信者が行う
同報暗号通信の暗復号化鍵を、前記送信者と前記受信者
との間で共有するための鍵配送方法であって、鍵管理者において、鍵管理者秘密情報として、【数１６】を作成し、送信者Ａの送信者識別情報として、【数１７】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数１８】（但し、集合【数１９】に対して、σ、σ´∈Ｓ_kmのとき【数２０】とし、このとき、〜はＳ_km上の同値関係となり、【数２１】とする）とを作成して、受信者秘密情報σ_X、ｓ
_X（σ_X）を受信者ｘに配布するステップと、送信者Ａにおいて、送信者Ａの送信者秘密情報として、【数２２】を作成し、送信者Ａの送信者公開情報として、【数２３】を作成し、送信者秘密情報ｇ_Aを鍵管理者に送信するス
テップと、鍵管理者において、鍵管理者秘密情報ｅ_i、送信者識別
情報ｔ_Aおよび受信者秘密情報ｓ_X（σ_X）、σ_Xから、受
信者識別データ【数２４】を計算し、受信者識別データｓ_X（σ_X，Ａ）を送信者Ａ
に送信し、送信者Ａから受信したｇ_Aと、鍵管理者秘密
情報ｅ_iと、送信者識別情報ｔ_Aから、鍵配送データ【数２５】を算出し、鍵配送データｙ_Aiを送信者Ａに送信するステ
ップと、送信者Ａにおいて、整数ｒ、ｒ´を生成し、鍵管理者か
ら受信した受信者識別データｓ_X（σ_X，Ａ）と、送信者
秘密情報Ｌ_Aと、整数ｒ´から【数２６】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算し、受信者識
別情報ｒ_X（σ_X，Ａ）を受信者ｘに送信するとともに、
鍵管理者から受信した鍵配送データｙ_Aiと整数ｒから、
鍵配送情報【数２７】を計算し、鍵配送情報ｚ_Aiを、各受信者に同報送信する
ステップと、受信者ｘにおいて、送信者から受信した受信者識別情報
ｒ_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、鍵管理者から
配布された受信者秘密情報σ_X、ｓ_X（σ_X）から【数２８】により、送信者Ａが【数２９】によって生成し同報通信に用いる暗復号化鍵Ｋ_Aを計算
するステップと、を有することを特徴とする鍵配送方
法。
【請求項６】請求項４または５記載の鍵配送方法であっ
て、送信者Ａは、鍵管理者が、前記鍵管理者秘密情報ｅ_i、
送信者識別情報ｔ_A、受信者秘密情報ｓ_X（σ_X）を生成
するのに先だって、前記秘密情報Ｌ_Aを生成して鍵管理
者に送信し、鍵管理者は、前記鍵管理者秘密情報ｅ_i、送信者識別情
報ｔ_A、受信者秘密情報ｓ_X（σ_X）として、送信者から
受信した送信者秘密情報Ｌ_Aから【数３０】となる鍵管理者秘密情報ｅ_i、送信者識別情報ｔ_A、受信
者秘密情報ｓ_X（σ_X）を作成し、前記受信者識別データ
ｓ_X（σ_X，Ａ）として、送信者秘密情報Ｌ_A、鍵管理者
秘密情報ｅ_i、送信者識別情報ｔ_A、受信者秘密情報ｓ_X
（σ_X）から【数３１】に従った受信者識別データｓ_X（σ_X，Ａ）を計算するこ
とを特徴とする鍵配送方法。
【請求項７】請求項４または５記載の鍵配送方法であっ
て、さらに、送信者Ａにおいて、前記整数ｒの値を変更し、変更後の
整数ｒに従って、暗復号化鍵Ｋ_Aの値を再計算し、変更
後の整数ｒに従って、鍵配送情報ｚ_Aiを再計算して各受
信者に、再同報送信するステップと、受信者ｘにおいて、再同報送信された鍵配送情報ｚ_Aiに
従って、暗復号化鍵Ｋ_Aを再計算するステップと、を有
することを特徴とする鍵配送方法。
【請求項８】請求項４または５記載の鍵配送方法であっ
て、送信者Ａは、前記整数ｒ´の値を、暗号化して同報通信
する情報もしくは情報の種類の各々に対応して生成し、
前記情報もしくは情報の種類毎に、当該情報もしくは情
報の種類に対応して生成した整数ｒ´の各々に従って、
各々暗復号化鍵Ｋ_Aを計算し、受信者ｘに復号化を許可
する前記情報もしくは情報の種類に対応して生成した各
整数ｒ´の各々に従って、受信者識別情報ｒ_X（σ_X，
Ａ）を各々計算して当該受信者ｘに送信し、受信者ｘは、受信した各受信者識別情報ｒ_X（σ_X，Ａ）
に従って、当該受信者ｘに復号化が許可された前記情報
もしくは情報の種類各々の暗復号化鍵Ｋ_Aを各々計算す
ることを特徴とする鍵配送方法。
【請求項９】請求項４または５記載の鍵配送方法であっ
て、送信者Ａが、受信者ｘであることを主張する受信者に受
信者識別情報ｒ_X（σ_X，Ａ）を送信するのに先だって、
当該受信者が、受信者秘密情報ｓ_X（σ_X）を所持してい
ることを、当該受信者が受信者ｘである場合にも受信者
秘密情報ｓ_X（σ_X）が送信者Aに秘密化される方式によ
って認証するステップを備えたことを特徴とする鍵配送
方法。
【請求項１０】請求項４、５または９記載の鍵配送方法
であって、送信者Ａにおいて、受信者ｘに受信者識別情報ｒ
_X（σ_X，Ａ）を送信する際に、当該受信者識別情報ｒ_X
（σ_X，Ａ）に対応する暗復号化鍵Ｋ_Aによって暗号化さ
れて同報通信される情報もしくは情報の種類に対する料
金を、受信者Ａに対する課金情報として算出するステッ
プを有することを特徴とする鍵配送方法。
【請求項１１】複数の送信者と、複数の受信者とが存在
する通信システムにおいて、前記送信者が行う同報暗号
通信の暗復号化鍵を、前記送信者と前記受信者との間で
共有するための鍵配送方法であって、鍵管理者を設け、当該鍵管理者において、秘密情報Ｋ０
を生成し、各送信者と各受信者に配布するステップと、送信者Ａにおいて、送信者識別情報ＢＩＤ_Aを生成して
受信者に送信するとともに、鍵管理者から配布された秘
密情報Ｋ０と送信者識別情報ＢＩＤ_Aから、所定の一方
向性関数Ｆにより、共有鍵Ｋ_A´＝Ｆ（Ｋ０，ＢＩＤ_A）
を計算するステップと、受信者において、鍵管理者から配布された秘密情報Ｋ０
と送信者Ａから受信した送信者識別情報ＢＩＤ_Aから、
前記一方向性関数Ｆにより、共有鍵Ｋ_A´を計算するス
テップと、送信者Ａにおいて、整数ｒを作成して受信者に送信する
ステップと、受信者において、送信者Ａから受信した整数ｒと共有鍵
Ｋ_A´から、所定の関数Ｆ´により、送信者Ａにおいて
Ｋ_A＝Ｆ´（ｒ，Ｋ_A´）によって計算される暗復号化鍵
Ｋ_Aを、Ｋ_A＝Ｆ´（ｒ，Ｋ_A´）によって計算するステ
ップと、を備えたことを特徴とする鍵配送方法。
【請求項１２】複数の送信者と、複数の受信者とが存在
する通信システムにおいて、前記送信者が行う同報暗号
通信の暗復号化鍵を、前記送信者と前記受信者との間で
共有するための鍵配送方法であって、鍵管理者を設け、当該鍵管理者において、受信者ｘの個
別鍵ｓ_Xを作成して、送信者Ａと受信者ｘに配布するス
テップと、送信者Ａにおいて、共有鍵Ｋ_Aを作成し、鍵管理者から
配布された受信者ｘの個別鍵ｓ_Xを使った暗号通信によ
り、共有鍵Ｋ_Aを受信者ｘと共有するステップと、送信者Ａにおいて、情報ｒを作成し、受信者ｘに送信す
るステップと、受信者ｘおよび送信者Ａにおいて、暗復号化鍵ＤＫを、
ＤＫ＝Ｆ（ｒ，Ｋ_A）に従って各々計算するステップ
と、を備えたことを特徴とする鍵配送方法。
【請求項１３】請求項１２記載の鍵配送方法であって、送信者Ａにおいて、共有鍵Ｋ_Aを変更し、変更した共有
鍵Ｋ_Aを、受信者ｘの個別鍵ｓ_Xを使った暗号通信により
受信者ｘと共有するステップと、送信者Ａおよび受信者ｘにおいて、暗復号化鍵ＤＫを、
変更した共有鍵Ｋ_Aにを用いて、ＤＫ＝Ｆ（ｒ，Ｋ_A）に
より再計算するステップと、を備えたことを特徴とする
鍵配送方法。
【請求項１４】請求項１２記載の鍵配送方法であって、送信者Ａにおいて、情報ｒを変更し、変更した情報ｒを
受信者に伝えるステップと、送信者Ａおよび受信者ｘにおいて、暗復号化鍵ＤＫを、
変更後の情報ｒを用いて、ＤＫ＝Ｆ（ｒ，Ｋ_A）により
再計算するステップと、を備えたことを特徴とする鍵配
送方法。
【請求項１５】請求１、２、３、１１または１２記載の
鍵配送方法であって、送信者Ａは、暗復号化鍵により情報を暗号化して同報通
信する通信チャネルとは異なる所定の通信チャネルを用
いて、受信者ｘが送信者Ａとの間で共有する暗復号化鍵
を算出するための鍵情報を送信するステップを備えたこ
とを特徴とする鍵配送方法。
【請求項１６】同報暗号通信を行う通信システムにおい
て、同報暗号通信に用いる暗復号化鍵を、送信者と受信
者との間で共有するための鍵配送システムであって、鍵管理者装置と、複数の送信者装置と、複数の受信者装
置とを含み、前記鍵管理者装置は、鍵管理者秘密情報として、【数３２】を作成し、送信者Ａの送信者識別情報として、【数３３】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数３４】（但し、集合【数３５】に対して、σ、σ´∈Ｓ_kmのとき、【数３６】とし、このとき、〜はＳ_km上の同値関係となり、【数３７】とする）とを作成し、受信者秘密情報σ_X、ｓ_X（σ_X）
を受信者ｘが使用する受信者装置ｘに配布する手段と、鍵管理者秘密情報ｅ_i、送信者識別情報ｔ_Aおよび受信者
秘密情報ｓ_X（σ_X）、σ_Xから、受信者識別データ【数３８】を計算して、受信者識別データｓ_X（σ_X，Ａ）を送信者
Ａが使用する送信者装置Ａに送信するとともに、前記送
信者装置Ａから受信したｇ_Aと、鍵管理者秘密情報ｅ
_iと、送信者識別情報ｔ_Aから、鍵配送データ【数３９】を算出し、鍵配送データｙ_Aiを前記送信者装置Ａに送信
する手段と、を有し、前記送信者装置Ａは、【数４０】（但し、【数４１】は、【数４２】なる最小の正整数ａを表す）なる送信者秘密情報ｇ_A、
Ｌ_Aおよび有限アーベル群Ｇ_Aを作成し、送信者秘密情報
ｇ_Aを前記鍵管理者装置に送信する手段と、整数ｒ、ｒ´を生成し、前記鍵管理者装置から受信した
受信者識別データｓ_X（σ_X，Ａ）と、送信者秘密情報Ｌ
_Aと、整数ｒ´から【数４３】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算し、受信者識
別情報ｒ_X（σ_X，Ａ）を前記受信者装置ｘに送信すると
ともに、前記鍵管理者装置から受信した鍵配送データｙ
_Aiと、整数ｒから、鍵配送情報【数４４】を計算し、鍵配送情報ｚ_Aiを、前記複数の受信者装置に
同報送信する手段と、を有し、前記受信者装置ｘは、前記送信者装置Ａから受信した受信者識別情報ｒ
_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、前記鍵管理者装
置から配布された受信者秘密情報σ_X、ｓ_X（σ_X）か
ら、【数４５】により、前記送信者装置Ａが【数４６】によって生成し、同報通信に用いる暗復号化鍵Ｋ_Aを計
算する手段と、を有することを特徴とする通信システ
ム。
【請求項１７】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムに用いられる
鍵管理者装置であって、鍵管理者秘密情報として、【数４７】を作成し、送信者Ａの送信者識別情報として、【数４８】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数４９】（但し、集合【数５０】に対して、σ、σ´∈Ｓ_kmのとき【数５１】とし、このとき、〜はＳ_km上の同値関係となり、【数５２】とする）とを作成し、受信者秘密情報σ_X、ｓ_X（σ_X）
を受信者ｘが使用する受信者装置ｘに配布する手段と、鍵管理者秘密情報ｅ_i、送信者識別情報ｔ_Aおよび受信者
秘密情報ｓ_X（σ_X）、σ_Xから、受信者識別データ【数５３】を計算し、受信者識別データｓ_X（σ_X，Ａ）を送信者Ａ
が使用する送信者装置Ａに送信するとともに、前記送信
者装置Ａから受信したｇ_Aと、鍵管理者秘密情報ｅ_iと、
送信者識別情報ｔ_Aから、鍵配送データ【数５４】を算出し、鍵配送データｙ_Aiを前記送信者装置Ａに送信
する手段と、を有することを特徴とする鍵管理者装置。
【請求項１８】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムに用いられる
送信者装置であって、【数５５】（但し、【数５６】は、【数５７】なる最小の正整数ａを表す）なる送信者秘密情報ｇ_A、
Ｌ_Aおよび有限アーベル群Ｇ_Aを作成し、送信者秘密情報
ｇ_Aを前記鍵管理者装置に送信する手段と、整数ｒ、ｒ´を生成し、前記鍵管理者装置から受信した
受信者識別データｓ_X（σ_X，Ａ）と、送信者秘密情報Ｌ
_Aと、整数ｒ´から【数５８】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算し、受信者識
別情報ｒ_X（σ_X，Ａ）を受信者ｘが使用する受信者装置
ｘに送信するとともに、前記鍵管理者装置から受信した
鍵配送データｙ_Aiと、整数ｒから、鍵配送情報【数５９】を計算し、鍵配送情報ｚ_Aiを、前記複数の受信者装置に
同報送信する手段と、【数６０】に従って同報通信に用いる暗復号化鍵Ｋ_Aを計算する手
段と、を有することを特徴とする送信者装置。
【請求項１９】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムに用いられる
受信者装置であって、送信者Ａが使用する送信者装置Ａから受信した受信者識
別情報ｒ_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、前記鍵
管理者装置から配布された受信者秘密情報σ_X、ｓ_X（σ
_X）から【数６１】により、前記送信者装置Ａが【数６２】によって生成し、同報通信に用いる暗復号化鍵Ｋ_Aを計
算する手段と、を有することを特徴とする受信者装置。
【請求項２０】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムに用いられる
受信者装置であって、本体装置と、補助装置とを有し、前記補助装置は、前記鍵管理者装置と接続する手段と、前記鍵管理者装置が作成した受信者秘密情報ｓ
_X（σ_X）、σ_Xを取り込んで記憶する記憶手段と、前記本体装置に接続する手段と、前記本体装置が送信者Ａの使用する送信者装置Ａから受
信した鍵配送情報ｚ_Aiを取り込み、鍵配送情報ｚ_Aiと、
前記記憶手段に記憶した受信者秘密情報σ_X、ｓ
_X（σ_X）から、【数６３】を計算して、計算結果ξ_X（σ_X，Ａ）を前記本体装置に
出力する手段と、を備え、前記本体装置は、前記送信者装置Ａから受信した鍵配送情報ｚ_Aiを前記補
助装置に出力する手段と、前記送信者装置Ａから受信した受信者識別情報ｒ
_X（σ_X，Ａ）と、前記補助装置が出力したξ_X（σ_X，
Ａ）から、【数６４】に従って、前記送信者装置Ａが【数６５】によって生成し、同報通信に用いる暗復号化鍵Ｋ_Aを計
算する手段と、を備えていることを特徴とする受信者装
置。
【請求項２１】同報通信を行う複数の送信者装置と、複
数の受信者装置と、前記送信者装置が同報暗号通信に用
いる暗復号化鍵の前記受信者装置への配送を支援する鍵
管理者装置とを有する通信システムにおいて、前記鍵管
理者装置および前記受信者装置に接続して用いられる補
助装置であって、前記鍵管理者装置と接続する手段と、前記鍵管理者装置が作成した受信者ｘの受信者秘密情報
ｓ_X（σ_X）、σ_Xを取り込んで記憶する記憶手段と、受信者ｘの使用する受信者装置ｘに接続する手段と、前記受信者装置ｘが送信者Ａの使用する送信者装置Ａか
ら受信した鍵配送情報ｚ_Aiを取り込み、鍵配送情報ｚ_Ai
と、前記記憶手段に記憶した受信者秘密情報σ_X、ｓ
_X（σ_X）から、【数６６】を計算して、計算結果ξ_X（σ_X，Ａ）を前記受信者装置
ｘに出力する手段と、を備えていることを特徴とする補
助装置。
【請求項２２】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムにおいて、前
記鍵管理者装置における処理をコンピュータに実行させ
るプログラムを記憶した記憶媒体であって、当該プログラムは、コンピュータに、鍵管理者秘密情報として、【数６７】を作成し、送信者Ａの送信者識別情報として、【数６８】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数６９】（但し、集合【数７０】に対して、σ、σ´∈Ｓ_kmのとき【数７１】とし、このとき、〜はＳ_km上の同値関係となり、【数７２】とする）とを作成し、受信者秘密情報σ_X、ｓ_X（σ_X）
を受信者ｘが使用する受信者装置ｘに配布する手順と、鍵管理者秘密情報ｅ_i、送信者識別情報ｔ_Aおよび受信者
秘密情報ｓ_X（σ_X）、σ_Xから、受信者識別データ【数７３】を計算して、受信者識別データｓ_X（σ_X，Ａ）を送信者
Ａが使用する送信者装置Ａに送信するとともに、前記送
信者装置Ａから受信したｇ_Aと、鍵管理者秘密情報ｅ
_iと、送信者識別情報ｔ_Aから、鍵配送データ【数７４】を算出し、鍵配送データｙ_Aiを前記送信者装置Ａに送信
する手順と、を実行させることを特徴とするプログラム
が記憶された記憶媒体。
【請求項２３】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムにおいて、前
記送信者装置における処理をコンピュータに実行させる
プログラムを記憶した記憶媒体であって、当該プログラムは、コンピュータに、【数７５】（但し、【数７６】は、【数７７】なる最小の正整数ａを表す）なる送信者秘密情報ｇ_A、
Ｌ_Aおよび有限アーベル群Ｇ_Aを作成し、送信者秘密情報
ｇ_Aを前記鍵管理者装置に送信する手順と、整数ｒ、ｒ´を生成し、前記鍵管理者装置から受信した
受信者識別データｓ_X（σ_X，Ａ）と、送信者秘密情報Ｌ
_Aと、整数ｒ´から、【数７８】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算し、受信者識
別情報ｒ_X（σ_X，Ａ）を受信者ｘが使用する受信者装置
ｘに送信するとともに、前記鍵管理者装置から受信した
鍵配送データｙ_Aiと、整数ｒから、鍵配送情報【数７９】を計算し、鍵配送情報ｚ_Aiを、前記複数の受信者装置に
同報送信する手順と、【数８０】に従って同報通信に用いる暗復号化鍵Ｋ_Aを計算する手
順と、を実行させることを特徴とするプログラムが記憶
された記憶媒体。
【請求項２４】同報暗号通信を行う複数の送信者装置
と、複数の受信者装置と、前記送信者装置が同報暗号通
信に用いる暗復号化鍵の前記受信者装置への配送を支援
する鍵管理者装置とを有する通信システムにおいて、前
記受信者装置における処理をコンピュータに実行させる
プログラムを記憶した記憶媒体であって、当該プログラムは、コンピュータに、送信者Ａが使用する送信者装置Ａから受信した受信者識
別情報ｒ_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、前記鍵
管理者装置から配布された受信者秘密情報σ_X、ｓ_X（σ
_X）から、【数８１】により、前記送信者装置Ａが【数８２】によって生成し、同報通信に用いる暗復号化鍵Ｋ_Aを計
算する手順と、を実行させることを特徴とするプログラ
ムが記憶された記憶媒体。
【請求項２５】同報暗号通信を行う通信システムにおい
て、同報暗号通信に用いる暗復号化鍵を、送信者と受信
者との間で共有するための鍵配送システムであって、鍵管理者装置と、複数の送信者装置と、複数の受信者装
置とを含み、前記鍵管理者装置は、鍵管理者秘密情報として、【数８３】を作成し、送信者Ａの送信者識別情報として、【数８４】を作成し、受信者ｘの受信者秘密情報として、σ_X∈Ｓ
_kmと、【数８５】（但し、集合【数８６】に対して、σ、σ´∈Ｓ_kmのとき【数８７】とし、このとき、〜はＳ_km上の同値関係となり、【数８８】とする）とを作成し、受信者秘密情報σ_X、ｓ_X（σ_X）
を受信者ｘが使用する受信者装置ｘに配布する手段と、鍵管理者秘密情報ｅ_i、送信者識別情報ｔ_Aおよび受信者
秘密情報ｓ_X（σ_X）、σ_Xから、受信者識別データ【数８９】を計算し、受信者識別データｓ_X（σ_X，Ａ）を送信者Ａ
が使用する送信者装置Ａに送信するとともに、送信者Ａ
から受信したｇ_Aと、鍵管理者秘密情報ｅ_iと、送信者識
別情報ｔ_Aから、鍵配送データ【数９０】を算出し、鍵配送データｙ_Aiを前記送信者装置Ａに送信
する手段と、を有し、前記送信者装置Ａは、送信者Ａの送信者秘密情報として、【数９１】を作成し、送信者Ａの送信者公開情報として、【数９２】を作成し、送信者秘密情報ｇ_Aを前記鍵管理者装置に送
信する手段と、整数ｒ、ｒ´を生成し、前記鍵管理者装置から受信した
受信者識別データｓ_X（σ_X，Ａ）と、送信者秘密情報Ｌ
_Aと、整数ｒ´から【数９３】なる受信者識別情報ｒ_X（σ_X，Ａ）を計算し、受信者識
別情報ｒ_X（σ_X，Ａ）を前記受信者装置ｘに送信すると
ともに、前記鍵管理者装置から受信した鍵配送データｙ
_Aiと、整数ｒから、鍵配送情報【数９４】を計算し、鍵配送情報ｚ_Aiを前記複数の受信者装置に同
報送信する手段と、を有し、前記受信者装置ｘは、前記送信者装置Ａから受信した受信者識別情報ｒ
_X（σ_X，Ａ）および鍵配送情報ｚ_Aiと、前記鍵管理者装
置から配布された受信者秘密情報σ_X、ｓ_X（σ_X）か
ら、【数９５】により、前記送信者装置Ａが【数９６】によって生成し，同報通信に用いる暗復号化鍵Ｋ_Aを計
算する手段と、を有することを特徴とする通信システ
ム。