JPH11317733A - 暗号通信方法及び暗号化方法並びに暗号通信システム - Google Patents

Abstract

(57)【要約】 【課題】 エンティティが結託してもセンタの秘密パラ
メータが露呈することなく暗号文が復号されず、安全性
が極めて高い新規のＩＤ−ＮＩＫＳによる暗号通信方法
を提供する。 【解決手段】 各エンティティのＩＤ情報に基づく公開
された各エンティティ固有の第１の鍵（公開鍵）と、セ
ンタ１にてエンティティの第１の鍵から第１の関数にて
求められる各エンティティ固有の秘密の第２の鍵（秘密
鍵）と、自身の第２の鍵及び相手の第１の鍵の２変数に
よる第２の関数で表され、平文を暗号文に暗号化する際
及び暗号文を平文に復号する際に用いる２人のエンティ
ティ間に共有する第３の鍵（共有鍵）とが存在し、セン
タ１が管理する各エンティティ固有の乱数をパラメータ
とした第１の関数と、第２の関数に第１の関数を代入し
て得られる、自身及び相手の第１の鍵を変数とする第３
の関数とが、それぞれの変数について分離不可能な関数
である。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報の内容が当事
者以外にはわからないように情報を暗号化して通信する
安全性が高い暗号通信方法及びシステムに関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化鍵と復号鍵とは、等しくても良い
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザ（エンティティ）が
暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開
鍵リストにて公開し、復号鍵のみを秘密に保持するとい
う暗号系である。公開鍵暗号系では、この一対となる暗
号化鍵と復号鍵とが異なり、一方向性関数を利用するこ
とによって暗号化鍵から復号鍵を割り出せないという特
徴を持たせている。

【０００５】公開鍵暗号系は、暗号化鍵を公開するとい
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さを利用して実現されている。また、離
散対数問題を解くことの困難さ（離散対数問題）を利用
した公開鍵暗号系も種々の手法が提案されてきた。

【０００６】また、各エンティティの住所，氏名等の個
人を特定するＩＤ（Identity）情報を利用する暗号系が
提案された。この暗号系では、ＩＤ情報に基づいて送受
信者間で共通の暗号化鍵を生成する。また、このＩＤ情
報に基づく暗号技法には、（１）暗号文通信に先立って
送受信者間での予備通信を必要とする方式と、（２）暗
号文通信に先立って送受信者間での予備通信を必要とし
ない方式とがある。特に、（２）の手法は予備通信が不
要であるので、エンティティの利便性が高く、将来の暗
号系の中枢をなすものと考えられている。

【０００７】この（２）の手法による暗号系は、ＩＤ−
ＮＩＫＳ（ID-based non-interactive key sharing sch
eme)と呼ばれており、通信相手のＩＤ情報を用いて予備
通信を行うことなく暗号化鍵を共有する方式を採用して
いる。ＩＤ−ＮＩＫＳは、送受信者間で公開鍵，秘密鍵
を交換する必要がなく、また鍵のリスト及び第三者によ
るサービスも必要としない方式であり、任意のエンティ
ティ間で安全に通信を行える。

【０００８】図１３は、このＩＤ−ＮＩＫＳのシステム
の原理を示す図である。信頼できるセンタの存在を仮定
し、このセンタを中心にして共有鍵生成システムを構成
している。図１１において、エンティティＸの名前，住
所，電話番号等のＩＤ情報は、ハッシュ関数ｈ（・）を
用いてｈ（ＩＤ_X ）で表す。センタは任意のエンティテ
ィＸに対して、センタ公開情報｛ＰＣ_i ｝，センタ秘密
情報｛ＳＣ_i ｝及びエンティティＸのＩＤ情報ｈ（ＩＤ
_X ）に基づいて、以下のように秘密情報Ｓ_Xiを計算し、
秘密裏にエンティティＸへ配布する。 Ｓ_Xi＝Ｆ_i （｛ＳＣ_i ｝，｛ＰＣ_i ｝，ｈ（ＩＤ_X ））

【０００９】エンティティＸは他の任意のエンティティ
Ｙとの間で、暗号化，復号のための共有鍵Ｋ_XYを、エン
ティティＸ自身の秘密情報｛Ｓ_Xi｝，センタ公開情報
｛ＰＣ _i ｝及び相手先のエンティティＹのＩＤ情報ｈ
（ＩＤ_Y ）を用いて以下のように生成する。 Ｋ_XY＝ｆ（｛Ｓ_Xi｝，｛ＰＣ_i ｝，ｈ（ＩＤ_Y ）） また、エンティティＹも同様にエンティティＸへの鍵を
共有鍵Ｋ_YXを生成する。もし常にＫ_XY＝Ｋ_YXの関係が成
立すれば、この鍵Ｋ_XY，Ｋ_YXをエンティティＸ，Ｙ間で
暗号化鍵，復号鍵として使用できる。

【００１０】上述した公開鍵暗号系では、例えばＲＳＡ
暗号系の場合にその公開鍵の長さは現在の電話番号の十
数倍となり、極めて煩雑である。これに対して、ＩＤ−
ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録して
おけば、この名簿を参照して任意のエンティティとの間
で共有鍵を生成することができる。従って、図１１に示
すようなＩＤ−ＮＩＫＳのシステムが安全に実現されれ
ば、多数のエンティティが加入するコンピュータネット
ワーク上で便利な暗号系を構築できる。このような理由
により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると
期待されている。

【００１１】

【発明が解決しようとする課題】通信相手のＩＤ情報を
用いて予備通信を行うことなく暗号化鍵及び復号鍵とな
る共有鍵を互いに共有するようなＩＤ−ＮＩＫＳにあっ
ては、複数のエンティティの結託等の攻撃に対して十分
に安全であることが望まれる。しかしながら、以上のよ
うなＩＤ−ＮＩＫＳにおいては、攻撃法が検討されて、
適当な人数のエンティティが結託すればセンタの秘密パ
ラメータが露呈するという問題を含んでいる。暗号学的
に安全なＩＤ−ＮＩＫＳを構築できるか否かは、高度情
報化社会に重要な問題であり、より理想的な暗号方式の
探究が進められている。

【００１２】このような状況にあって、本発明者は、安
全かつ簡単なＩＤ情報に基づく予備通信が不要で結託攻
撃に強いＩＤ−ＮＩＫＳの暗号方式を提案している（特
願平９−８９７２号）。この方式は、後述する共有鍵公
開関数を分離不可能な関数とした特徴を有し、この特徴
と離散対数問題の難しさとにその安全性の根拠を置いて
いる。

【００１３】しかしながら、このＩＤ−ＮＩＫＳの暗号
方式では、特殊な素数（Ｐ＝２ｐｑ＋１（ｐ，ｑ：大き
な素数）で示される素数Ｐ）を用いる必要がある。この
素数は実用上、十分多く存在していることは証明されて
いるが、暗号システム上の設計の自由度が低いことは否
めない。また、鍵共有の手順が２段階の計算ステップを
踏まなけらばならず、その途中の段階で成立する有効な
攻撃法が存在しないとは言い切れず、攻撃を受けやす
い。この暗号方式には、このような問題点があり、改善
の余地がある。

【００１４】本発明は斯かる事情に鑑みてなされたもの
でありエンティティが結託してもセンタの秘密パラメー
タが露呈することなく暗号文が復号されず、安全性が極
めて高い新規のＩＤ−ＮＩＫＳによる暗号通信方法及び
暗号通信システムを提供することを目的とする。

【００１５】本発明の他の目的は、先願の特願平９−８
９７２号の方式における問題点を解決してその方式を改
良し、設計の自由度を高め、より安全性を高くできる暗
号通信方法及び暗号通信システムを提供することにあ
る。

【００１６】

【課題を解決するための手段】請求項１に係る暗号通信
方法は、センタから各エンティティへ各エンティティ固
有の秘密鍵を送付し、一方のエンティティが前記センタ
から送付された該エンティティ固有の秘密鍵と公開され
た他方のエンティティの公開鍵とを利用して平文を暗号
文に暗号化して他方のエンティティへ伝送し、該他方の
エンティティが伝送された暗号文を前記センタから送付
された該エンティティ固有の秘密鍵と公開された前記一
方のエンティティの公開鍵とを利用して元の平文に復号
することにより、エンティティ間で情報の通信を行う暗
号通信方法において、前記公開鍵としての公開された各
エンティティ固有の第１の鍵と、各エンティティの第１
の鍵から第１の関数にて前記センタで求められる、前記
秘密鍵に関連する各エンティティ固有の秘密の第２の鍵
と、自身の第２の鍵及び相手の第１の鍵の２変数で示さ
れる第２の関数で表され、平文を暗号文に暗号化する際
及び暗号文を平文に復号する際に用いる両エンティティ
間で共有する第３の鍵とを使用して、エンティティ間で
暗号化した情報の通信を行うこととし、前記センタが管
理する各エンティティ固有の乱数をパラメータとした第
１の関数と、第２の関数に第１の関数を代入して得られ
る、自身及び相手の第１の鍵を変数とする第３の関数と
を、それぞれの変数について下記に定義される分離不可
能な関数に設定することを特徴とする。 定義：適当な可換な算法を○として、関数ｆ（・）がｆ
（ｘ＋ｙ）≠ｆ（ｘ）○ｆ（ｙ）を満たす場合に、関数
ｆ（・）は算法○により分離不可能である。特徴とす
る。

【００１７】請求項２に係る暗号通信方法は、請求項１
において、前記第２の鍵は、各エンティティ固有の第１
の鍵と前記センタが管理する対称行列とから生成される
第１秘密鍵と、第１秘密鍵に乱数を乗じて生成される第
２秘密鍵と、乱数に基づいて生成される第３秘密鍵とを
含み、前記センタは生成した第２秘密鍵及び第３秘密鍵
を各エンティティに送付し、一方のエンティティにて、
第２秘密鍵及び第３秘密鍵と他方のエンティティの第１
の鍵とを用いて第３の鍵を生成することを特徴とする。

【００１８】請求項３に係る暗号通信方法は、請求項２
において、前記センタにおける第１秘密鍵，第２秘密鍵
及び第３秘密鍵を生成する際の演算式は以下であること
を特徴とする。

【００１９】

【数３】

【００２０】但し、 ベクトルｖ_i ：エンティティｉの第１の鍵 ベクトルｘ_i ：エンティティｉの第１秘密鍵 ベクトルｓ_i ：エンティティｉの第２秘密鍵 ｙ_i ：エンティティｉの第３秘密鍵 ｒ_i ：エンティティｉの乱数 Ｌ：Ｌ＝λ（Ｎ） Ｎ：Ｎ＝ＰＱ（Ｐ，Ｑは素数） Ｔ：対称行列（各成分はＬと互いに素） ｇ：Ｎを法とする最大生成元 ｅ：Ｌと互いに素な整数 λ（・）：Carmichael関数

【００２１】請求項４に係る暗号通信方法は、請求項３
において、一方のエンティティにおいて第２秘密鍵及び
第３秘密鍵と他方のエンティティの第１の鍵とに基づき
第３の鍵を生成する際の演算式は以下であることを特徴
とする。

【００２２】

【数４】

【００２３】請求項５に係る暗号通信方法は、請求項１
〜４の何れかにおいて、各エンティティの特定情報をハ
ッシュ関数を利用して計算することにより、各エンティ
ティ固有の第１の鍵を求めることを特徴とする。

【００２４】請求項６に係る暗号化方法は、センタから
各エンティティへ各エンティティ固有の秘密鍵を送付
し、エンティティが前記センタから送付された該エンテ
ィティ固有の秘密鍵を利用して平文を暗号文に暗号化す
る暗号化方法において、公開された各エンティティ固有
の第１の鍵と、前記センタにてエンティティの第１の鍵
から第１の関数にて求められる各エンティティ固有の秘
密の第２の鍵と、暗号化するエンティティ自身の第２の
鍵及び暗号文の送信先である相手エンティティの第１の
鍵の２変数による第２の関数で表され、平文を暗号文に
暗号化する際に用いる第３の鍵とを使用して、平文を暗
号文に暗号化することとし、前記センタが管理する各エ
ンティティ固有の乱数をパラメータとした第１の関数
と、第２の関数に第１の関数を代入して得られる、自身
及び相手の第１の鍵を変数とする第３の関数とを、それ
ぞれの変数について下記に定義される分離不可能な関数
に設定することを特徴とする。

【００２５】請求項７に係る暗号通信システムは、情報
である平文を暗号文に暗号化して送信する処理、及び、
送信された暗号文を元の平文に復号する処理を相互に行
う複数のエンティティと、各エンティティへ各エンティ
ティ固有の秘密鍵を送付するセンタとを備えた暗号通信
システムにおいて、公開された各エンティティ固有の第
１の鍵から第１の関数により各エンティティ固有の秘密
の第２の鍵を求めるセンタと、自身の第２の鍵及び通信
相手の第１の鍵の２変数による第２の関数で表され、平
文を暗号文に暗号化する際及び暗号文を平文に復号する
際に用いる第３の鍵を求める複数のエンティティとを有
し、前記センタが管理する各エンティティ固有の乱数を
パラメータとした第１の関数と、第２の関数に第１の関
数を代入して得られる、自身及び通信相手の第１の鍵を
変数とする第３の関数とを、それぞれの変数について下
記に定義される分離不可能な関数とすべくなしてあるこ
とを特徴とする。

【００２６】請求項８に係る暗号通信システムは、請求
項７において、前記第２の鍵は、第１秘密鍵，第２秘密
鍵及び第３秘密鍵を含み、前記センタは、各エンティテ
ィ固有の第１の鍵と前記センタが管理する対称行列とか
ら第１秘密鍵を計算する手段と、第１秘密鍵に乱数を乗
じて第２秘密鍵を計算する手段と、前記乱数に基づいて
第３秘密鍵を計算する手段とを備え、計算された第２秘
密鍵及び第３秘密鍵が各エンティティに送付されるべく
構成したことを特徴とする。

【００２７】請求項９に係る暗号通信システムは、請求
項８において、前記各エンティティは、前記センタから
送付された第２秘密鍵及び第３秘密鍵と通信相手の第１
の鍵とから第３の鍵を計算する手段を備えることを特徴
とする。

【００２８】以下、本発明の暗号通信方法におけるＩＤ
−ＮＩＫＳの概念について説明する。

【００２９】まず、線形の概念を一般化して、関数にお
ける分離可能を次のように定義する。適当な可換な算法
を○として、関数ｆ（・）が次の関係式を満たす場合
に、その関数ｆ（・）は算法○により分離可能であると
定義する。 ｆ（ｘ＋ｙ）＝ｆ（ｘ）○ｆ（ｙ） 例えば、ｆ（ｘ）＝ａｘ，ｆ（ｘ）＝ａ^x は、以下に示
すように分離可能である。 ｆ（ｘ＋ｙ）＝ａ（ｘ＋ｙ）＝ａｘ＋ａｙ＝ｆ（ｘ）＋
ｆ（ｙ） ｆ（ｘ＋ｙ）＝ａ^x+y ＝ａ^x ・ａ^y ＝ｆ（ｘ）・ｆ
（ｙ）

【００３０】また、行列のべき乗演算の定義を、以下の
ようにする。但し、各行列Ａ，Ｂ，Ｃはそれぞれｍ×
ｌ，ｌ×ｎ，ｍ×ｎの行列とする。

【００３１】

【数５】

【００３２】また、行列の各成分ごとに積をとる演算＊
を、以下のように定義する。但し、各行列Ａ，Ｂ，Ｃは
ｍ×ｎの行列とする。行列の成分積Ｃ＝Ａ＊Ｂを、 ｃ_ij＝ａ_ijｂ_ij （ｉ＝１，２，…，ｍ， ｊ＝１，
２，…，ｎ） と定義する。

【００３３】以上のような定義により、以下の性質が成
り立つ。但し、ｔは行列の転置を意味する。

【００３４】

【数６】

【００３５】次に、ＩＤ−ＮＩＫＳを実現するための条
件及び安全なＩＤ−ＮＩＫＳであるための条件について
考察する。但しｉ，ｊ，ｙ及びｚはエンティティを表
し、ｖ _i は多くの場合にＩＤのハッシュ値であるエンテ
ィティｉの公開鍵（特許請求の範囲の第１の鍵）、ｓ_i
はエンティティｉの秘密鍵（特許請求の範囲の第２の
鍵）、Ｋ_ijはエンティティｉが求めたエンティティｊと
の共有鍵（特許請求の範囲の第３の鍵）とする。

【００３６】ＩＤ−ＮＩＫＳを実現するためには、以下
の条件１〜３の３つの条件が必要である。

【００３７】〔条件１（秘密鍵生成条件）〕センタは、
秘密鍵生成関数ｆ（・）（特許請求の範囲の第１の関
数）を用いて、エンティティｉの公開鍵ｖ_i から対応す
る秘密鍵ｓ_i を求めることができる。 ｓ_i ＝ｆ（ｖ_i ）

【００３８】〔条件２（共有鍵生成条件）〕共有鍵生成
関数ｇ（・）（特許請求の範囲の第２の関数）を用い
て、エンティティｉの秘密鍵ｓ_i とエンティティｊの公
開鍵ｖ_j とから共有鍵Ｋ_ijを求めることができる。 Ｋ_ij＝ｇ（ｓ_i ，ｖ_j ）

【００３９】〔条件３（鍵共有条件）〕エンティティｉ
がエンティティｊに対して生成する共有鍵Ｋ_ijと、エン
ティティｊがエンティティｉに対して生成する共有鍵Ｋ
_jiとは等しい。 Ｋ_ij＝Ｋ_ji 従って、共有鍵生成関数ｇ（・）に秘密鍵生成関数ｆ
（・）を代入して得られる、公開鍵ｖ_i ，ｖ_j を変数と
する共有鍵公開関数Ｆ（・）（特許請求の範囲の第３の
関数）は対称関数である。 Ｆ（ｖ_i ，ｖ_j ）＝Ｆ（ｖ_j ，ｖ_i ） 但し、 Ｆ（ｖ_i ，ｖ_j ）＝ｇ（ ｆ（ｖ_i ），ｖ_j ）＝ｇ（ｓ
_i ，ｖ_j ）

【００４０】また、複数のエンティティの結託攻撃に対
して安全なＩＤ−ＮＩＫＳを構成するためには、以下の
条件４〜６を満たせば良い。

【００４１】〔条件４（結託に対する秘密鍵の安全
性）〕秘密鍵生成関数ｆ（・）は、以下に示すように分
離不可能な関数である。 ｆ（ｘ＋ｙ）≠ｆ（ｘ）○ｆ（ｙ） 秘密鍵生成関数ｆ（・）が分離可能な関数である場合に
は、２人のエンティティｉ，ｊの秘密鍵ｓ_i ，ｓ_j によ
る結託攻撃により、他のエンティティｚの秘密鍵ｓ_z が
求められ、破られてしまう。例えば、ｖ_z ＝ｖ_i ＋ｖ_j
と表された場合に、秘密鍵ｓ_i ，ｓ_j を準備しておけ
ば、以下のようにして、エンティティｚの秘密鍵ｓ_z を
求めることが可能である。 ｓ_z ＝ｆ（ｖ_z ） ＝ｆ（ｖ_i ＋ｖ_j ） ＝ｆ（ｖ_i ）○ｆ（ｖ_j ） ＝ｓ_i ○ｓ_j

【００４２】〔条件５（結託に対する共有鍵の安全
性）〕共有鍵公開関数Ｆ（・）は、以下に示すように分
離不可能な関数である。 Ｆ（ａ，ｘ＋ｙ）≠Ｆ（ａ，ｘ）○Ｆ（ａ，ｙ） 〔条件３〕より、共有鍵公開関数Ｆ（・）は対称関数で
あるので、次式も成立する。 Ｆ（ｘ＋ｙ，ａ）≠Ｆ（ｘ，ａ）○Ｆ（ｙ，ａ） 共有鍵公開関数Ｆ（・）が、が分離可能な関数である場
合には、エンティティの結託に伴う共有鍵による結託攻
撃により破られてしまう。エンティティｉ，ｊが結託し
て、ｖ_z ＝ｖ_i ＋ｖ_j と表される場合には、Ｋ_iy（＝ｇ
（ｓ_i ，ｖ_y ）＝Ｆ（ｖ_i ，ｖ_y ））及びＫ_jy（＝ｇ
（ｓ_j ，ｖ_y ）＝Ｆ（ｖ_j ，ｖ_y ））を準備しておけ
ば、以下のようにして、エンティティｙ，ｚ間の共有鍵
Ｋ_yzを求めることができる。 Ｋ_yz＝Ｆ（ｖ_y ，ｖ_z ） ＝Ｆ（ｖ_y ，ｖ_i ＋ｖ_j ） ＝Ｆ（ｖ_y ，ｖ_i ）○Ｆ（ｖ_y ，ｖ_j ） ＝Ｆ（ｖ_i ，ｖ_y ）○Ｆ（ｖ_j ，ｖ_y ） ＝Ｋ_iy○Ｋ_jy

【００４３】この条件５は非常に厳しく、途中の計算に
かかわらず、鍵共有段階の関数形が分離可能となってい
るだけでは安全でないことを意味する。例えば、積和型
ＩＤ−ＮＩＫＳまたはべき積型ＩＤ−ＮＩＫＳはこの条
件を満たしていない。

【００４４】〔条件６（センタ秘密の安全性）〕いかな
る攻撃によってもセンタ秘密は求められない。

【００４５】本発明では、先願と同様に第３の関数（共
有鍵公開関数）を分離不可能な関数に設定する（条件
５）と共に、各エンティティ固有の秘密の乱数をパラメ
ータとして関数内に組み込んで第１の関数（秘密鍵生成
関数）を分離不可能な関数に設定する（条件４）。本発
明では、このような分離不可能な関数の特徴と、ＲＳＡ
暗号と同等の攻撃の難しさとに、安全性の根拠を置いて
いる。また、特殊な形の素数を予め準備しておく必要が
なくて設計の自由度が高く、両エンティティが共有する
第３の鍵（共有鍵）を求める計算ステップが１段階で済
み攻撃を受け難く安全性が高い。

【００４６】

【発明の実施の形態】図１は、本発明の暗号通信システ
ムの構成を示す模式図である。情報の隠匿を信頼できる
センタ１が設定されており、このセンタ１としては、例
えば社会の公的機関を該当できる。このセンタ１と、こ
の暗号系システムを利用するユーザとしての複数の各エ
ンティティａ，ｂ，…，ｚとは秘密通信路２ａ，２ｂ，
…，２ｚにより接続されており、この秘密通信路２ａ，
２ｂ，…，２ｚを介してセンタ１から秘密の鍵情報が各
エンティティａ，ｂ，…，ｚへ伝送されるようになって
いる。また、２人のエンティティの間には通信路３ab，
３az，３bz，…が設けられており、この通信路３ab，３
az，３bz，…を介して通信情報を暗号化した暗号文が互
いのエンティティ間で伝送されるようになっている。

【００４７】以下に、本発明のＩＤ−ＮＩＫＳの実施の
形態を説明する。まず、（センタ１での準備処理），
（エンティティの登録処理），（エンティティ間の共有
鍵の生成処理）の順序で、本発明の暗号系を説明する。

【００４８】（センタ１での準備処理）センタ１は以下
の公開鍵及び秘密鍵を準備し、公開鍵を公開する。 公開鍵 Ｎ Ｎ＝ＰＱ ｅ Ｌと互いに素な比較的小さな整数 秘密鍵 Ｐ，Ｑ 大きな素数 Ｌ Ｌ＝λ（Ｎ） ｇ Ｎを法とする最大生成元 Ｔ ｎ×ｎの対称行列（各成分はＬと互いに素） ｒ_i 個人秘密乱数

【００４９】但し、λ（・）はCarmichael関数とする。
また、エンティティのＩＤ情報からｎ次元の公開鍵ベク
トルｖ（特許請求の範囲の第１の鍵）を計算するための
ハッシュ関数ｈ（・）も同時に公開する。ハッシュ関数
はデータ列を別のデータ列に変換する関数であり、一般
的には長いデータ列を短いデータ列に変換する関数であ
る。但し、このハッシュ関数を用いて公開鍵ベクトルｖ
を計算した場合に、全成分の和がｅとなるようにする。
即ち、以下の式が成り立つ。但し、ｖ_ikはベクトルｖ_i
の第ｋ成分を示す。具体的には、公開鍵ベクトルｖが２
値ベクトルである場合にはSchalkwijkアルゴリズムを用
いればよいし、一般的には、（ｎ−１）個の成分をハッ
シュ値で求め、最後の１個の成分を全体の和がｅとなる
ように求めればよい。

【００５０】

【数７】

【００５１】（エンティティの登録処理）エンティティ
ｉに登録を依頼されたセンタ１は、準備した鍵とエンテ
ィティｉの公開鍵ベクトルｖ_i （＝ｈ（ＩＤ_i ））とを
用いて以下の計算を行って、エンティティｉのベクトル
ｘ_i （特許請求の範囲の第１秘密鍵）とベクトルｓ
_i （特許請求の範囲の第２秘密鍵）とｙ_i （特許請求の
範囲の第３秘密鍵）とを順次求め、求めたベクトルｓ_i
及びｙ_i をエンティティｉへ秘密裏に送って、登録を完
了する。この際、直接エンティティｉに個人秘密である
ベクトルｘ_i を送らない。

【００５２】

【数８】

【００５３】（エンティティ間の共有鍵の生成処理）エ
ンティティｉは、エンティティｊとの鍵共有を行うため
に、以下のような高速指数演算法をｅ回繰り返すことに
より共有鍵Ｋ_ij（特許請求の範囲の第３の鍵）を求め
る。

【００５４】

【数９】

【００５５】次に、上述した暗号システムにおけるエン
ティティ間の情報の通信について説明する。図２は、２
人のエンティティａ，ｂ間における情報の通信状態を示
す模式図である。図２の例は、エンティティａが平文
（メッセージ）Ｍを暗号文Ｃに暗号化してそれをエンテ
ィティｂへ伝送し、エンティティｂがその暗号文Ｃを元
の平文（メッセージ）Ｍに復号する場合を示している。

【００５６】エンティティａ側には、エンティティｂの
個人識別情報ＩＤ_b を入力し、ハッシュ関数を利用して
ベクトルｖ_b （公開鍵）を得る公開鍵生成器１１と、セ
ンタ１から送られる秘密のベクトルｓ_a 及びｙ_a と公開
鍵生成器１１からの公開鍵であるベクトルｖ_b とに基づ
いてエンティティａが求めるエンティティｂとの共有鍵
Ｋ_abを生成する共有鍵生成器１２と、共有鍵Ｋ_abを用い
て平文（メッセージ）Ｍを暗号文Ｃに暗号化して通信路
３０へ出力する暗号化器１３とが備えられている。

【００５７】また、エンティティｂ側には、エンティテ
ィａの個人識別情報ＩＤ_a を入力し、ハッシュ関数を利
用してベクトルｖ_a （公開鍵）を得る公開鍵生成器２１
と、センタ１から送られる秘密のベクトルｓ_b 及びｙ_b
と公開鍵生成器２１からの公開鍵であるベクトルｖ_a と
に基づいてエンティティｂが求めるエンティティａとの
共有鍵Ｋ_baを生成する共有鍵生成器２２と、共有鍵Ｋ_ba
を用いて通信路３０から入力した暗号文Ｃを平文（メッ
セージ）Ｍに復号して出力する復号器２３とが備えられ
ている。

【００５８】図３は、図２の共有鍵生成器１２（２２）
の内部構成を示す図である。共有鍵生成器１２（２２）
は、センタ１から送られるベクトルｓを記憶する第１レ
ジスタ４１と、ベクトルｓの各成分を記憶する第２レジ
スタ４２と、センタ１から送られるｙを記憶する第３レ
ジスタ４３と、公開鍵生成器１１（２１）から送られる
ベクトルｖを記憶する第４レジスタ４４と、ベクトルｖ
の各成分を記憶する第５レジスタ４５と、自然数Ｎを記
憶する第６レジスタ４６と、第２，第３，第５，第６レ
ジスタ４２，４４，４５，４６の出力を用いて、数９に
示す指数演算を行う高速指数演算器４７とを有する。

【００５９】次に、動作について説明する。エンティテ
ィａからエンティティｂへ情報を伝送しようとする場
合、まず、エンティティｂの個人識別情報ＩＤ_b が公開
鍵生成器１１に入力されてベクトルｖ_b （公開鍵）が得
られ、得られたベクトルｖ_b が共有鍵生成器１２へ送ら
れる。また、センタ１から数８に従って求められたベク
トルｓ_a 及びｙ_a が共有鍵生成器１２へ入力される。図
３に示す構成を有する共有鍵生成器１２にて、数９に従
って共有鍵Ｋ_abが求められ、暗号化器１３へ送られる。
暗号化器１３において、この共有鍵Ｋ_abを用いて平文
（メッセージ）Ｍが暗号文Ｃに暗号化され、暗号文Ｃが
通信路３０を介して伝送される。

【００６０】通信路３０を伝送された暗号文Ｃはエンテ
ィティｂの復号器２３へ入力される。エンティティａの
個人識別情報ＩＤ_a が公開鍵生成器２１に入力されてベ
クトルｖ_a （公開鍵）が得られ、得られたベクトルｖ_a
が共有鍵生成器２２へ送られる。また、センタ１から数
８に従って求められたベクトルｘ_b 及びｙ_b が共有鍵生
成器２２へ入力される。図３に示す構成を有する共有鍵
生成器２２にて、数９に従って共有鍵Ｋ_baが求められ、
復号器２３へ送られる。復号器２３において、この共有
鍵Ｋ_baを用いて暗号文Ｃが平文（メッセージ）Ｍに復号
される。

【００６１】次に、このような本発明の暗号系が、前述
したＩＤ−ＤＩＫＳの実現性（条件１〜条件３）及びＩ
Ｄ−ＤＩＫＳの安全性（条件４〜条件６）を満たすこと
を検証する。

【００６２】（条件１について）秘密鍵生成関数ｆ
（・）は、個人秘密乱数ｒ_i をパラメータとして以下の
ように定義され、この秘密鍵生成関数ｆ（・）を用い
て、センタ１はエンティティの公開鍵から対応する秘密
鍵を求めることができる。

【００６３】

【数１０】

【００６４】（条件２について）共有鍵生成関数ｇ
（・）は、以下のように定義され、一方のエンティティ
の秘密鍵と他方のエンティティの公開鍵とから共有鍵を
生成できる。

【００６５】

【数１１】

【００６６】（条件３について）共有鍵公開関数Ｆ
（・）は、以下の式で定義され、センタ秘密行列Ｔが対
称行列であるので、以下の式で示すように、Ｆ（・）は
対称関数であって、互いのエンティティが生成する共有
鍵は等しくなる。

【００６７】

【数１２】

【００６８】（条件４について）秘密鍵生成関数ｆ
（・）は、以下に示すように、パラメータｒを固定すれ
ば分離可能な関数となるが、本発明の暗号方式ではその
パラメータｒの値が各エンティティ毎に異なっているの
で、秘密鍵生成関数ｆ（・）は分離不可能な関数であ
る。

【００６９】

【数１３】

【００７０】例えば、ベクトルｖ_x ≡ベクトルｖ_i ＋ベ
クトルｖ_j の場合、ベクトルｘ_x ≡ベクトルｘ_i ＊ベク
トルｘ_j となるが、ベクトルｘ_i 自体をエンティティに
配布せず、それに個人乱数ｒ_i を乗じたベクトルｓ_i を
配布しているので、ベクトルｓ_x ≡ベクトルｓ_i ＊ベク
トルｓ_j とならず、個人秘密であるベクトルｓ_x ，ベク
トルｘ_x の何れも求めることができない。

【００７１】（条件５について）共有鍵公開関数Ｆ
（・）は、以下の式で示されるように、分離不可能な関
数であるので、複数のエンティティの結託によって、公
開鍵と秘密鍵とをいくら集めても、他のいかなるエンテ
ィティ間の共有鍵を求められない。

【００７２】

【数１４】

【００７３】（条件６について）センタ秘密（Ｐ，Ｑ，
Ｌ，ｇ，ｒ_i 及びＴ）は、複数のエンティティが結託し
ても露呈しない。センタ秘密の中のＰ，Ｑ，Ｌ，ｇ，及
びｒ_i が露呈しない根拠は以下の通りである。 Ｐ，Ｑ，Ｌ：素因数分解の難しさ ｇ：ｒ_i 未知による安全性 ｒ_i ：合成数を法とする離散対数問題の難しさ

【００７４】次に、センタ秘密行列Ｔの安全性について
考察する。ここでは、結託したエンティティが各自の秘
密鍵を持ち寄って高次連立合同式を解こうとする攻撃に
対するセンタ秘密行列Ｔの安全性について考える。

【００７５】本発明の暗号方式の場合、センタ秘密行列
Ｔのｎ（ｎ＋１）／２個のセンタ秘密変数に加え、更に
個人乱数もセンタ秘密変数と考えて攻撃する必要があ
る。例えばｍ人のエンティティが結託したとすると、セ
ンタ秘密変数は｛ｎ（ｎ＋１）／２＋ｍ｝個となる。こ
の結果、任意の人数のエンティティが結託しても、セン
タ秘密行列Ｔを解くことは不可能である。以下、これが
不可能である理由を、結託人数毎に分けて説明する。

【００７６】（ｎ人未満のエンティティが結託する場
合）センタ秘密変数の数が、結託によって得られる線形
独立な式の数を上回るので、センタ秘密行列Ｔを解くこ
とができない。

【００７７】（ｎ人のエンティティが結託する場合）ｎ
人のエンティティが結託する場合には、最大で｛ｎ（ｎ
＋１）／２＋（ｎ−１）｝個の線形独立な式が得られ
る。一方、センタ秘密変数は｛ｎ（ｎ＋１）／２＋ｎ｝
個であるので、線形独立な式の数がセンタ秘密変数の数
よりも１つ少なくなり、センタ秘密行列Ｔは解けない。

【００７８】（（ｎ＋１）人のエンティティが結託する
場合）ｎ人の場合に比べて新たに１つの個人秘密乱数が
加わるが、その他のｎ項は線形従属であるので、新たな
線形独立な式は１つしか得られない。このように、セン
タ秘密変数が１つ増加し、線形独立な式が１つ増加する
だけであるので、ｎ人の結託で解けなければ、（ｎ＋
１）人の結託でもセンタ秘密行列Ｔは解けない。

【００７９】以上より、（ｎ＋２）人以上のエンティテ
ィが結託しても、帰納的に、常に合同式の数は未知変数
の数より１つ以上少ないので、解の不定性を除くことは
できない。また、上記の連立合同式は一般に高次の連立
合同式となり、解くことは難しい。更に、最終的にＬを
法とする逆元を乗ずる演算が必ず必要となり、法Ｌが分
からない攻撃者にとって、これはＲＳＡ暗号を破ること
に等しい。

【００８０】また、もし仮に方程式を解くことなく合同
式の数が未知変数の数よりも１つ少ないことを利用して
一変数を消去できたとする。その場合、線型攻撃を利用
することが考えられるが、攻撃したいエンティティのベ
クトルｖ_x は定重みベクトルであるので、他のエンティ
ティの線型結合で表現するには必ず負の係数を必要とす
るため、この場合でも、法Ｌが分からない攻撃者にとっ
て、ＲＳＡ暗号を破ることに等しくなる。

【００８１】以上のようにして、本発明の暗号方式で
は、センタ秘密行列Ｔが結託攻撃に対して安全であると
言える。

【００８２】ここで、個人乱数を設ける場合と個人乱数
を設けない場合とにおけるセンタ秘密行列Ｔの安全性の
具体例について説明する。図４は、個人乱数を設けず、
５人のエンティティが結託した場合を示す。図４に示す
ように、５×５の行列Ｔは対称行列であるので、成分の
未知数は１５個である。また、図４に示すように、線形
独立な式の数は５＋４＋３＋２＋１＝１５となる。よっ
て、未知数の個数と線形独立な式の数とが一致するた
め、解くことができ、センタ秘密行列Ｔが求められてし
まうことになる。

【００８３】一方、図５は、個人乱数を設け、５人のエ
ンティティが結託した場合を示す。個人乱数もセンタ１
側での秘密であるので、図５に示すように、未知数は行
列Ｔ由来の１５個と乱数由来の５個との合計２０個であ
る。また、図５に示すように、線形独立な式の数は５＋
５＋４＋３＋２＝１９となる。よって、未知数の個数が
線形独立な式の数より多くなるため、解くことができ
ず、センタ１の秘密が求められない。図６に、この場合
の方程式を示す。

【００８４】次に、本発明の暗号通信方法における数値
例について説明する。図７，図８に第１の数値例（公開
鍵ベクトルｖの成分が２値であり、２人のエンティティ
ｉ，ｊが鍵を共有する場合）を示す。まず、センタ１に
て、図７（ａ）に示すように、公開鍵（Ｎ，ｅ）及び秘
密鍵（Ｐ，Ｑ，Ｌ，ｇ，Ｔ，ｒ_i ，ｒ_j ）を設定する。
また、各エンティティｉ，ｊのＩＤに基づく２値の公開
鍵ベクトルｖ_i ，ｖ_jを計算して、図７（ｂ）のように
設定する。このような設定条件に基づいて、各エンティ
ティｉ，ｊのｒ_i ^-e，ｒ_j ^-eを求めると図７（ｃ）のよ
うになる。更に、エンティティｉにおけるベクトル
ｓ_i ，ｙ_i 及び共有鍵Ｋ_ijを求めると図８（ａ）に示す
ようになり、同様に、エンティティｊにおけるベクトル
ｓ_j ，ｙ_j 及び共有鍵Ｋ_jiを求めると図８（ｂ）に示す
ようになる。

【００８５】図９〜図１２に第２の数値例（公開鍵ベク
トルｖの成分が多値であり、３人のエンティティｉ，
ｊ，ｋが鍵を共有する場合）を示す。まず、センタ１に
て、図９（ａ）に示すように、公開鍵（Ｎ，ｅ）及び秘
密鍵（Ｐ，Ｑ，Ｌ，ｇ，Ｔ，ｒ _i ，ｒ_j ，ｒ_k ）を設定
する。また、各エンティティｉ，ｊ，ｋのＩＤに基づく
多値の公開鍵ベクトルｖ_i ，ｖ_j ，ｖ_k を計算して、図
９（ｂ）のように設定する。このような設定条件に基づ
いて、各エンティティｉ，ｊ，ｋのｒ_i ^-e，ｒ_j ^-e，ｒ
_k ^-e、ベクトルｓ_i ，ｓ_j ，ｓ_k 及びｙ_i ，ｙ_j ，ｙ_k
を求めると図９（ｃ）のようになる。そして、エンティ
ティｉ，ｊ間の共有鍵Ｋ_ij＝Ｋ_ji、エンティティｉ，ｋ
間の共有鍵Ｋ_ik＝Ｋ_ki、エンティティｊ，ｋ間の共有鍵
Ｋ_jk＝Ｋ_kjは、それぞれ、図１０，図１１，図１２のよ
うに求まる。

【００８６】

【発明の効果】以上詳述したように、本発明では、前述
したＩＤ−ＮＩＫＳを実現するための３つの条件及びそ
の安全性を確保するための３つの条件を満足するので、
如何なる人数のエンティティが結託しても、センタの秘
密パラメータは露呈されず暗号文が復号されることがな
く、極めて高い安全性を達成できる。

【００８７】また、先願のように特殊な形の素数を予め
準備しておく必要がなくなって設計の自由度が高くな
り、また、鍵共有の手順が１段階の計算ステップで済
み、先願よりも攻撃に対する安全性を高くできる。

【図面の簡単な説明】

【図１】本発明の暗号通信システムの構成を示す模式図
である。

【図２】２人のエンティティ間における情報の通信状態
を示す模式図である。

【図３】図２の共有鍵生成器の内部構成を示す図であ
る。

【図４】個人乱数を設けない場合のセンタでの秘密の安
全性を説明する図である。

【図５】個人乱数を設けた場合のセンタでの秘密の安全
性を説明する図である。

【図６】本発明の安全性を表す数値例を示す図である。

【図７】本発明の第１の数値例を示す図である。

【図８】本発明の第１の数値例を示す図である。

【図９】本発明の第２の数値例を示す図である。

【図１０】本発明の第２の数値例を示す図である。

【図１１】本発明の第２の数値例を示す図である。

【図１２】本発明の第２の数値例を示す図である。

【図１３】ＩＤ−ＮＩＫＳのシステムの原理構成図であ
る。

【符号の説明】

１ センタ １１，２１ 公開鍵生成器 １２，２２ 共有鍵生成器 １３ 暗号化器 ２３ 復号器 ３０ 通信路

───────────────────────────────────────────────────── フロントページの続き (72)発明者 藤川 篤則 東京都町田市中町２−２−８ (72)発明者 村上 恭通 京都府宇治市槙島町本屋敷51−６ 村田機 械株式会社社宅Ｂ棟602号

Claims (9)

【特許請求の範囲】
1. 【請求項１】 センタから各エンティティへ各エンティ
   ティ固有の秘密鍵を送付し、一方のエンティティが前記
   センタから送付された該エンティティ固有の秘密鍵と公
   開された他方のエンティティの公開鍵とを利用して平文
   を暗号文に暗号化して他方のエンティティへ伝送し、該
   他方のエンティティが伝送された暗号文を前記センタか
   ら送付された該エンティティ固有の秘密鍵と公開された
   前記一方のエンティティの公開鍵とを利用して元の平文
   に復号することにより、エンティティ間で情報の通信を
   行う暗号通信方法において、前記公開鍵としての公開さ
   れた各エンティティ固有の第１の鍵と、各エンティティ
   の第１の鍵から第１の関数にて前記センタで求められ
   る、前記秘密鍵に関連する各エンティティ固有の秘密の
   第２の鍵と、自身の第２の鍵及び相手の第１の鍵の２変
   数で示される第２の関数で表され、平文を暗号文に暗号
   化する際及び暗号文を平文に復号する際に用いる両エン
   ティティ間で共有する第３の鍵とを使用して、エンティ
   ティ間で暗号化した情報の通信を行うこととし、前記セ
   ンタが管理する各エンティティ固有の乱数をパラメータ
   とした第１の関数と、第２の関数に第１の関数を代入し
   て得られる、自身及び相手の第１の鍵を変数とする第３
   の関数とを、それぞれの変数について下記に定義される
   分離不可能な関数に設定することを特徴とする暗号通信
   方法。 定義：適当な可換な算法を○として、関数ｆ（・）がｆ
   （ｘ＋ｙ）≠ｆ（ｘ）○ｆ（ｙ）を満たす場合に、関数
   ｆ（・）は算法○により分離不可能である。
2. 【請求項２】 前記第２の鍵は、各エンティティ固有の
   第１の鍵と前記センタが管理する対称行列とから生成さ
   れる第１秘密鍵と、第１秘密鍵に乱数を乗じて生成され
   る第２秘密鍵と、乱数に基づいて生成される第３秘密鍵
   とを含み、前記センタは生成した第２秘密鍵及び第３秘
   密鍵を各エンティティに送付し、一方のエンティティに
   て、第２秘密鍵及び第３秘密鍵と他方のエンティティの
   第１の鍵とを用いて第３の鍵を生成することを特徴とす
   る請求項１記載の暗号通信方法。
3. 【請求項３】 前記センタにおける第１秘密鍵，第２秘
   密鍵及び第３秘密鍵を生成する際の演算式は以下である
   ことを特徴とする請求項２記載の暗号通信方法。 【数１】 但し、 ベクトルｖ_i ：エンティティｉの第１の鍵 ベクトルｘ_i ：エンティティｉの第１秘密鍵 ベクトルｓ_i ：エンティティｉの第２秘密鍵 ｙ_i ：エンティティｉの第３秘密鍵 ｒ_i ：エンティティｉの乱数 Ｌ：Ｌ＝λ（Ｎ） Ｎ：Ｎ＝ＰＱ（Ｐ，Ｑは素数） Ｔ：対称行列（各成分はＬと互いに素） ｇ：Ｎを法とする最大生成元 ｅ：Ｌと互いに素な整数 λ（・）：Carmichael関数
4. 【請求項４】 一方のエンティティにおいて第２秘密鍵
   及び第３秘密鍵と他方のエンティティの第１の鍵とに基
   づき第３の鍵を生成する際の演算式は以下であることを
   特徴とする請求項３記載の暗号通信方法。 【数２】
5. 【請求項５】 各エンティティの特定情報をハッシュ関
   数を利用して計算することにより、各エンティティ固有
   の第１の鍵を求めることを特徴とする請求項１〜４の何
   れかに記載の暗号通信方法。
6. 【請求項６】 センタから各エンティティへ各エンティ
   ティ固有の秘密鍵を送付し、エンティティが前記センタ
   から送付された該エンティティ固有の秘密鍵を利用して
   平文を暗号文に暗号化する暗号化方法において、公開さ
   れた各エンティティ固有の第１の鍵と、前記センタにて
   エンティティの第１の鍵から第１の関数にて求められる
   各エンティティ固有の秘密の第２の鍵と、暗号化するエ
   ンティティ自身の第２の鍵及び暗号文の送信先である相
   手エンティティの第１の鍵の２変数による第２の関数で
   表され、平文を暗号文に暗号化する際に用いる第３の鍵
   とを使用して、平文を暗号文に暗号化することとし、前
   記センタが管理する各エンティティ固有の乱数をパラメ
   ータとした第１の関数と、第２の関数に第１の関数を代
   入して得られる、自身及び相手の第１の鍵を変数とする
   第３の関数とを、それぞれの変数について下記に定義さ
   れる分離不可能な関数に設定することを特徴とする暗号
   化方法。 定義：適当な可換な算法を○として、関数ｆ（・）がｆ
   （ｘ＋ｙ）≠ｆ（ｘ）○ｆ（ｙ）を満たす場合に、関数
   ｆ（・）は算法○により分離不可能である。
7. 【請求項７】 情報である平文を暗号文に暗号化して送
   信する処理、及び、送信された暗号文を元の平文に復号
   する処理を相互に行う複数のエンティティと、各エンテ
   ィティへ各エンティティ固有の秘密鍵を送付するセンタ
   とを備えた暗号通信システムにおいて、公開された各エ
   ンティティ固有の第１の鍵から第１の関数により各エン
   ティティ固有の秘密の第２の鍵を求めるセンタと、自身
   の第２の鍵及び通信相手の第１の鍵の２変数による第２
   の関数で表され、平文を暗号文に暗号化する際及び暗号
   文を平文に復号する際に用いる第３の鍵を求める複数の
   エンティティとを有し、前記センタが管理する各エンテ
   ィティ固有の乱数をパラメータとした第１の関数と、第
   ２の関数に第１の関数を代入して得られる、自身及び通
   信相手の第１の鍵を変数とする第３の関数とを、それぞ
   れの変数について下記に定義される分離不可能な関数と
   すべくなしてあることを特徴とする暗号通信システム。 定義：適当な可換な算法を○として、関数ｆ（・）がｆ
   （ｘ＋ｙ）≠ｆ（ｘ）○ｆ（ｙ）を満たす場合に、関数
   ｆ（・）は算法○により分離不可能である。
8. 【請求項８】 前記第２の鍵は、第１秘密鍵，第２秘密
   鍵及び第３秘密鍵を含み、前記センタは、各エンティテ
   ィ固有の第１の鍵と前記センタが管理する対称行列とか
   ら第１秘密鍵を計算する手段と、第１秘密鍵に乱数を乗
   じて第２秘密鍵を計算する手段と、前記乱数に基づいて
   第３秘密鍵を計算する手段とを備え、計算された第２秘
   密鍵及び第３秘密鍵が各エンティティに送付されるべく
   構成したことを特徴とする請求項７記載の暗号通信シス
   テム。
9. 【請求項９】 前記各エンティティは、前記センタから
   送付された第２秘密鍵及び第３秘密鍵と通信相手の第１
   の鍵とから第３の鍵を計算する手段を備えることを特徴
   とする請求項８記載の暗号通信システム。