JPH11502035A

JPH11502035A - 令状の制限があるキー・エスクロー方法

Info

Publication number: JPH11502035A
Application number: JP8527619A
Authority: JP
Inventors: レンストラ，アージェン，クラース; ウィンクラー，ピーター，マン; ヤコビ，ヤコブ
Original assignee: ベルコミュニケーションズリサーチ，インコーポレイテッド
Priority date: 1995-03-10
Filing date: 1996-02-23
Publication date: 1999-02-16
Also published as: US5633928A; CA2215050C; EP0872064A1; CA2215050A1; WO1996028913A1

Abstract

(57)【要約】傍受（盗聴）の令状に対して制限することができるキー・エスクローの技法が開示されてる。特に、傍受に対して時間制限を強制することができる。その上、傍受は、ネットワーク内で通信している特定の当事者や、特定のペアを目的としている。

Description

【発明の詳細な説明】令状の制限があるキー・エスクロー方法発明の要点本発明はキー・エスクロー(key escrow)方法を電気通信ネットワークにおいて使用し、ワイヤタップ(wiretapping：傍受)に対する令状(warrants)を制限したた時間的期間で利用することに関する。１以上の通信当事者が傍受（ワイヤタップ）のターゲットとして特定できる。傍受に対する本発明のキー・エスクロー方法は単純で実用的であり、誤用に対する合理的保護を行う余裕がある。本発明の方法は、従来技術よりも大きいプライバシ保護とより効果的な法の執行を提供する。発明の背景キー暗号システムにおいて、ユーザはメッセージを秘密セッション・キー(ses sion key)ｋと慣用ブロック暗号化関数(conventional block cipher function) ｆとを用いて暗号化する。従来のブロック暗号化関数は、例えば合衆国標準ディジタル暗号化スキーマ(Digital Encryption Scheme：ＤＥＳ)または「トリプルＤＥＳ」のようなある種の変種とすることができる。送信当事者(transmitting party)は平文メッセージｍを暗号化して、暗号文メッセージｃをｃ＝ｆ（ｋ，ｍ）にしたがって得ることができる。受信当事者(rec eiving party)は、メッセージをｍ＝ｆ^-1（ｋ，ｃ）にしたがって復号化することができる。上述のｋ，ｍおよびｃはビット列である。ｋが既知でありかつその場合に限りｍがｃから効率的に導かれること、しかし、ｋはｃおよびｍから効率的に導くことができないことが仮定されている。一般的に、セッション・キーｋは両当事者により、両当事者が通信時に利用可能な情報に基づいて生成される。多くの場合、両当事者は委託された中央当局 (authority)（保管人(trustee)）により維持される情報にアクセスして、共通セッション・キーｋを生成しなければならない。他の場合、これら当事者は充分な情報を自ら有しており、共通セッション・キーｋを通信セッション開始時に生成する。合衆国の法執行機関(agencies)、例えば連邦捜査局(Federal Bureau of Inves tigation：ＦＢＩ)は、ディジタル電話と市販の暗号がワイヤタップの効率性をおびやかすと不平を訴えてきた。しかしながら多くの観点において、ディジタル通信技術はワイヤタップ（傍受）を容易にしてきた。ワイヤタップは目下のところ高くつく。１９９３年において、タップ(tap)の設置と監視の平均コストは、＄５７，２５６であった（例えば、合衆国裁判所の行政部門、１９９３、電信、口頭または電子通信のワイヤタップを許可または認可する命令の申請に関する報告（ワイヤタップ報告）、１９９３を参照）。約９００件のワイヤタップが毎年総合して州および連邦当局によって命令されており、これによって２００，０００から４００，０００件の間の告発用の会話(incri minating conversations)が毎年記録されている。各年毎に記録される非告発用の会話の数は増加しており、１７０万件を超えている。非告発用の会話は「手作業により」時間と費用のコストをかけ、潔白な当事者のプライバシのコストをかけて取り除かれている。電気通信技術の発展は、重要な効果をワイヤタップに及ぼす。コードレス電話と移動体電話（セルラ電話）は、傍受が当事者に対して現実の物理的財産の侵害を要求することなしに傍受されることを可能にする。プログラム可能なスイッチは、傍受のための特別なハードウェアの必要性を回避できる。ディジタル・メッセージは、会話の（宛先、内容等による）自動シフトを可能にしている。したがって、より廉価でより効率の良い傍受の使用に対する可能性が存在し、市民のプライバシに対する結果が注意深く検討されなければならない。公開鍵暗号(public-key cryptography)（例えば、ＲＳＡ技術、ディフィ・ヘルマン(Diffie Hellman)技術、キリアン・レイトン(Kilian-Leighton)技術、ラビン・モジュラ平方根(Rabin Modular Square Root)技術）の利用可能性と一般的に暗号に対する公衆の警戒の爆発とが、強いプライバシ増大ツールを市民の手に置いた。考えられるところでは、広範囲にわたる暗号の使用は傍受の法執行手段としての力を失わせることができるだろう。代替物を提供する努力において、ホワイト・ハウスは１９９３年４月１６日に「エスクロー暗号発議(Escrowed En cryption Initiative)」を発表した。その後、合衆国規格および技術協会(Natio nal Institute of Standards and Technology：ＮＩＳＴ)は「エスクロー暗号化規格(Escrowed Encryption Standard：ＥＥＳ)」を電話システムについて認可した（合衆国規格および技術協会、連邦情報処理規格出版物１８５、エスクロー暗号化規格、１９９４年２月９日、ワシントンＤＣを参照）。ＥＥＳ（しばしばそのチップ(chip)名「クリッパー(Clipper)」により知られる）は抗議を引き起こし、その一部は秘密アルゴリズムの使用に反対する暗号作成者(Cryptologists)からであり、一部はエスクロー・キーのアイデア全体に反対する権利擁護者(rights advocates)からである。秘密アルゴリズム（ＳＫＩＰＪＡＣＫとして知られる）およびその結果として生ずる耐干渉性(tamper proof) ハードウェアへの信頼は、確かにエスクロー・システムには不必要であり、種々の代替物が提案されてきた（例えば、J.Kilian．T.Leighton：「フェイルセーフ・キー・エスクロー(Failsafe Key Escrow)」Rump Crypto'94に提出、S.Micali 、「公平な公開鍵暗号システム(Fair public key cryptosystems)」、Proc．Cry pto '92を参照）。エスクロー問題自身はより厄介である。現在構成されているように、ＥＥＳは個々のキーが分割されて２つの「保管人」（すなわち、ＮＩＳＴおよび合衆国財務省(U.S.Treasury Department)の支局）の手に置かれることを要求している。これらの保管人は、適切な令状（例えば、裁判所により発行された令状）を供給された時、適切なキーの保管人の部分を各々法執行当局へ引き渡す。令状自身は、通常の制限をターゲット、内容および時間間隔（例えば指定された３０日期間）上に含むが、これらの制限はキーには適用されない。そのかわり、法執行当局はキーを両保管人へ令状の期間の経過した時点で「返還する」ことが想定される。しかしながら、この手続に対する不承諾(non-compliance)は、裁判所において電子的監視の証拠を隠す申立ての基礎を提供しない（例えば、合衆国規格および技術協会、連邦情報処理規格出版物１８５、エスクロー暗号化規格、１９９４年２月９日、ワシントンＤＣを参照）。実用上の観点から法執行当局が特定のキーを所有しているか否かを証明することは常に困難である。事実上、市民ａとｂが法執行機関へ、彼らが電話を所有または将来使用して犯罪を犯すことを信じさせる理由を与えるならば、彼らの各々は彼または彼女の「暗号化の権利」をいつも−過去、現在および未来にわたって渡してしまうことになる。そのような譲歩は、法執行当局がキーを誤用する意思がないと信じる場合であっても、度を超えたものとみることができる。電話の会話の自動シフトは、キーが保持される場合、ますます当局が大量のデータを集めて後の可能性のある使用に備える気にさせる。電気通信システムにおいて傍受令状を容易にするために使用するキー・エスクロー方法は、以下の所望の特性を有する。１．時間限界裁判所が保証の時間制限を、特定の時間の期間（例えば特定の一連の日）にわたってのみ有効なキーを供給することによって執行することは所望である。２．ターゲット柔軟性裁判所が(i) 特定のターゲットａを含むすべての通信が復号化できるノード監視(node surveillance)、または(ii)当事者ａとｂとの間の通信のみが復号化されるエッジ監視(edge surveillance)のいずれかを認めることは所望である。３．非迂回性(Non-circumventibility) 好適には、ユーザが一方的に彼の通信プロトコルを変更することは不可能（または非常に困難）であるべきである。そうでないと、ユーザは適切な当局による復号化にユーザ自身をさらすことなく、通信を暗号化できるからである。人々を共謀から予防することは困難である。というのも、どの２人の当事者も常に彼ら独特の暗号システムを使用できるからである。しかし、キー・エスクロー・システムまたは保証を提供する別のシステムはこれを簡単に行わせるべきではない。４．セキュリティキー・エスクロー方法は、よく知られた試験済みの暗号技術によるべきである。キー・エスクロー方法は、好適には、証明されていない技術または少なくとも築き上げられた経験的信頼性を有していない技術を避けるであろう。５．簡易性キー・エスクロー方法は、実用的で理解しやすいものであるべきである。特に、ユーザと保管人との間の繰り返された接触に頼るべきではない。通信当事者間の多くの準備が要求されるべきでもない。キー・エスクロー・システムは、電話、ファックスまたはＥ−メイル通信に対するどのような障害も供給するべきでない。システムは、数学的形式でないならば、例えば裁判所における素人に対してもわかるようにアウトラインを説明できるべきである。本発明の目的は、電気通信システムにおいて使用するキー・エスクロー方法を提供することであり、本方法は傍受に対する保証を容易化するだけでなく、上述の所望の特性を有しているものである。発明の概要キー・エスクロー・システムは、本発明の好ましい実施例によれば、下記のように動作する。１．各当事者ｕは、公開キーＰ（ｕ）および秘密キーＳ（ｕ）を有し、ｇ^s(u)＝Ｐ（ｕ）ｍｏｄｐである。すべてのｕに対して、ｐ，ｇおよびＰ（ｕ）から、Ｓ（ｕ）を導き出すことは計算上不可能であると仮定している。この仮定は、離散対数問題の困難性に基づいている。一つの実施例においては、すべての当事者のすべての秘密キーＳ（ｕ）（公開キーＰ（ｕ）もまた）を知っている単一の保管人が存在する。２．ｆを、（３重の）ＤＥＳのような従来のブロック暗号化関数とする。暗号テキスト・メッセージｃは、平文のテキスト・メッセージｍ，関数ｆおよびセッション・キーｋから、ｃ＝ｆ（ｋ，ｍ）により得られる。平文のテキスト・メッセージｍは、ｍ＝ｆ^-1（ｋ，ｃ）により暗号解読される。ｋはｃおよびｍから導き出せないことに留意されたい。３．ｈを、所与のｄ，ｄ_i（ここで、ｄ≠ｄ_i），ｙi＝ｈ（ｘ，ｄ_i）（ここで、ｉ＝１，２，・・・Ｋ）のような一方通行のハッシュ関数であり、かつ、ある未知のｘに対して、ｙ＝ｈ（ｘ，ｄ）と計算上見いだすことができないと仮定する。このようなハッシュ関数の例として、下記のものがある：ｈ（Ｍ）をメッセージＭのＤＥＳを用いたラビンのハッシング(Rabin's hashing)を表すとする。６４＊Ｋのサイズのハッシングに対して、Ｍ＝Ｍ１，Ｍ２，．．．ＭＫをパースし、Ｈ′（Ｍ）＝（ｈ（Ｍ１），．．．ｈ（ＭＫ））を作成する。すなわち、Ｋ個の個々のラビン・ハッシングの連結である。最後に、ハッシングは、Ｈ（Ｍ）＝Ｈ′（Ｍ）＋Ａ＊Ｍｍｏｄ（６４Ｋ）であり、ここで、Ａは既知の定数である。ここで、公開および秘密キーＰ（ａ）およびＳ（ａ）を有する当事者ａと、公開および秘密キーＰ（ｂ）およびＳ（ｂ）を有する当事者ｂとの間の通信を考える。この通信は、期間ｄの間、下記のように進行する。ここで、ｄは、１または２以上の日の特定の集合からなる期間を示している。１．最初に、当事者ａおよびｂは、相互関連なく、自分のセッション・キーｋ（ａ，ｂ，ｄ）＝ｋ（ｂ，ａ，ｄ）を確立する。これは、当事者ａにより、ｋ（ａ，ｂ，ｄ）＝ｈ（Ｐ（ｂ）^s(a)，ｄ）、かつ、当事者ｂにより、ｋ（ｂ，ａ，ｄ）＝ｈ（Ｐ（ａ）^s(b)，ｄ）を計算する。２．つぎに、共通のセッション・キーｋ（ａ，ｂ，ｄ）を用いる実際の通信を始める前に、当事者ａおよびｂはメッセージを交換し、そのメッセージは、合法的なワイヤタッパ(wiretapper：傍受者)がｋ（ａ，ｂ，ｄ）を計算し、ａとｂとの間の通信を暗号解読することができるようにする。これは、次のように行われる。 (i) 当事者ａは、Ｓ（ａ，ｄ）＝ｈ（Ｓ（ａ），ｄ））を計算する。当事者ｂは、Ｓ（ｂ，ｄ）＝ｈ（Ｓ（ｂ），ｄ））を計算する。 (ii)当事者ａは、Ｓ（ａ，ｂ，ｄ）＝ｈ（Ｓ（ａ，ｄ）、Ｐ（ｂ））を計算する。当事者ｂは、Ｓ（ｂ，ａ，ｄ）＝ｈ（Ｓ（ｂ，ｄ）、Ｐ（ａ））を計算する。（Ｓ（ａ，ｄ）、Ｓ（ｂ，ｄ）、Ｓ（ａ，ｂ，ｄ）、Ｓ（ｂ，ａ，ｄ）のクオンティティは、保管人(trustee)にも知られている。これは、保管人がＳ（ａ）およびＳ（ｂ）を知っているからである。） (iii) 当事者ａは、メッセージｃ（ａ，ｂ，ｄ）＝ｆ（Ｓ(ａ，ｂ，ｄ)，ｋ（ａ，ｂ，ｄ））をｂに送る。当事者ｂは、メッセージｃ（ｂ，ａ，ｄ）＝ｆ（Ｓ（ｂ，ａ，ｄ），ｋ（ｂ，ａ，ｄ））をａに送る。当事者ａは、Ｓ（ａ，ｂ，ｄ）を暗号キーとして用いて、ｋ（ａ，ｂ，ｄ）を関数ｆを使用して暗号化することに注意されたい。このため、当事者ｂ（またはワイヤタッパ）は、ｃ（ａ，ｂ，ｄ）を暗号解読することにより、共通セッション・キーｋ（ａ，ｂ，ｄ）を決定する。このように、当事者ｂはステップ１中のように、共通セッション・キーを計算する必要がある。同様に、当事者ａ（またはワイヤタッパ）は、メッセージｃ（ｂ，ａ，ｄ）を暗号解読して、キー（ｂ，ａ，ｄ）を得ることができない。３．当事者ａおよびｂは、ｋ（ａ，ｂ，ｄ）をキーとして使用する従来のブロック暗号化関数ｆを用いて、通信する。４．(i) ワイヤタッパがａとｂとの間の通信を傍受するために、ワイヤタッパは、ｋ（ａ，ｂ，ｄ）を決定する必要がある。一般的に、ワイヤタッパは、ｃ（ａ，ｂ、ｄ）およびｃ（ｂ，ａ，ｄ）を傍受する。ワイヤタッパはまた、ｆ，ｈ，Ｐ（ａ），Ｐ（ｂ）も知っているが、Ｓ（ａ），Ｓ（ｂ）は知らない。 (ii)当事者ａのエッジ監視(edge surveillance)に対する令状がある場合、保管人は、ワイヤタッパに、令状が適用されるすべての特定の当事者ｂに対するＳ（ａ，ｂ，ｄ）を提供する。これで、ワイヤタッパはｃ（ａ，ｂ，ｄ）を暗号解読できて、ｋ（ａ，ｂ，ｄ）を得ることができる。 (iii) ノード監視(node surveillance)の令状がある場合、保管人は、ワイヤタッパにＳ（ａ，ｄ）を提供する。ここで、Ｐ（ｂ）を知っているワイヤタッパは、当事者ａと通信するすべての当事者ｂに対するＳ（ａ，ｂ，ｄ）を計算することができる。Ｓ（ａ，ｂ，ｄ）を知っているので、ワイヤタッパはｃ（ａ，ｂ，ｄ）を暗号解読でき、ｋ（ａ，ｂ，ｄ）を得ることができる。上述のキー・エスクローの技術は、多数の重要な利点を有している。まず、時間で制限されている。ワイヤタップ（傍受）は、期間ｄの間のみ行われる。当事者ａのプライバシーは、ワイヤタップ（傍受）を、特定の当事者ｂに制限することが可能である。この当事者ｂは、ａと、Ｓ（ａ，ｄ）ではなく、Ｓ（ａ，ｂ，ｄ）を提供することで通信している。（ワイヤタッパはＳ（ａ，ｂ，ｄ）をＳ（ａ，ｄ）から計算することができるが、ハッシュ関数ｈが一方通行であるので、Ｓ（ａ，ｂ，ｄ）からＳ（ａ，ｄ）を計算できないことに注意されたい。）その上、本発明のエスクロー・キーの技術は、時間が検証する暗号化関数に依存しており、高度の複雑性のものではない。当事者ａが欺瞞をして、改竄したｃ（ａ，ｂ，ｄ）をｂに送った場合、ワイヤタッパは正しいセッション・キーを取り出すことができないことに注意されたい。この問題は、この場合の保管人が、キーＳ（ａ）をワイヤタッパに提供することができるという規則を実行することで克服することができる。通信が、当事者ａから当事者ｂへの一方向のみである（例えば、ｅ−メイル）場合、プロトコルは当事者ａでのみ実行されることに注意されたい。当事者ｂは、応答するときに、プロトコルの自分の部分を実行する。前述の本発明のキー・エスクローの技術の実施例は、すべての秘密キーＳ（ｕ）を有している単一の保管人が存在している。しかしながら、本発明のいくつかの実施例では、ｍ人（ｍ＞１）の保管人が存在する。この場合、各保管人ｉは、ユーザｕの秘密キーＳ（ｕ）の検証可能な割り当て部分のＳ_i（ｕ）を有している。検証可能な部分割り当てＳ_i（ｕ）を有するｍ人の保管人からのある部分集合ｎがそのようなものであるので、完全なＳ（ｕ）を復元することができる。言い換えると、｛１，２，．．．ｍ｝の部分集合｛ｖ１，ｖ２，．．．ｖｎ｝に対して、Ｔ（Ｓ_v1（ｕ），Ｓ_v2（ｕ），．．Ｓ_vn（ｕ））＝Ｓ（ｕ）である関数Ｔが存在する。関数Ｔの例は、T.P.Pedersen “Distributed Provers with Application to Undeniable Signatures”，Proc ．Eurocript '91，Springer-Verlag LNCS 547，pp.221-238に開示されている。このような場合、各保管人は、ワイヤタッパに保管人の関連する情報の割り当て部分を提供する。このため、上述のプロトコルは変更され、Ｓ（ａ，ｄ）を計算する替わりに、当事者ａがＳ，（ａ，ｄ）＝ｈ（Ｓ_i（ａ），ｄ）、ｈ（Ｓ_i( ａ），ｄ）１≦ｉ≦ｎを計算し、Ｓ（ａ，ｂ，ｄ）を計算する替わりに、当事者ａがＳ_i（ａ，ｂ，ｄ）＝ｈ（Ｓ_i（ａ，ｄ），Ｐ（ｂ））を計算する。つぎに、当事者ａは、Ｓ（ａ，ｂ，ｄ）＝Ｔ（（Ｓ₁（ａ，ｂ，ｄ），Ｓ₂（ａ，ｂ，ｄ）．．．Ｓ_n （ａ，ｂ，ｄ））を計算する。この次に、ｃ（ａ，ｂ，ｄ）は、前述の様に計算される。当事者ｂは、当事者ａと同じ、保管人のｎ部分集合を使用する必要がないが、ｂに対する変更は同様である。認可されたワイヤタップ監視の種類によって、ワイヤタッパは、保管人からＳ_i （ａ，ｄ）（ノード監視）またはＳ_i（ａ，ｂ，ｄ）（エッジ監視）を得る。両方の場合、ワイヤタッパは、関連するＳ（ａ，ｂ，ｄ）を上述のように導き出すことができる。図面の簡単な説明図１は、キーエスクロー(key escrow)技法が傍受を容易にするのに用いられた電気通信ネットワークを示す概略図である。図２は、本発明の一実施例によるキー・エスクロー・プロトコルを示す図である。図３は、本発明の他の実施例による多数の保管人(trustees)を含むキー・エスクロー・プロトコルを示す図である。発明の詳細な説明１．電気通信ネットワーク合法的な当局によって令状が発行されたときに傍受（盗聴）を容易にする電気通信ネットワーク（通信網）を図１に示す。図１の電気通信ネットワーク１０は複数のサブネットワークを具える。例えば、電気通信ネットワーク１０は第１の市内電話網１２、長距離電話網１４および第２の市内電気通信ネットワーク１６を具える。第１の移動体通信網２０は第１の市内電話網１２に接続し、第２の移動体通信網２２が第２の市内電話網１６に接続している。市内電話網１６はローカル・エリア・ネットワーク（企業内情報電気通信ネットワーク）３０にも接続している。複数の利用者端末が電気通信ネットワーク１０内の種々のサブネットワークに接続している。例えば、移動体通信網２０に接続した利用者端末１０２、１０４は、携帯電話、携帯型ファックシミリ装置、パーソナルディジタルアシスタント（ＰＤＡ）、あるいは他の携帯型通信機器であるとしてよい。移動体通信網２２に接続した利用者端末１０６、１０８も携帯型通信機器である。市内電話網１２に接続した利用者端末１１０、１１２、および市内電気通信ネットワーク１６に接続した利用者端末１１４、１１６は一般的な電話機、あるいはファクシミリ装置であるとしてよい。これらの利用者端末はまたモデム（変復調装置）を通じて市内電話網に接続するパーソナルコンピュータあるいはワークステーションであるとしてもよい。ローカルエリアネットワーク３０に接続した利用者端末１１８、１２０もまたパーソナルコンピュータあるいはワークステーションであるとすることができる。図１の利用者端末はマイクロプロセッサのような小型処理装置あるいはＣＰＵ（中央演算処理装置）、および処理装置に接続したメモリを内蔵している。電気通信ネットワーク１０はある利用者端末間での二者間高度通信(pair wise communication)を容易にする。端末１１８がパーソナルコンピュータであって、端末１０２がパーソナルディジタルアシスタントである場合の事例を考えると、端末１１８はローカルエリアネットワーク３０、市内電話網１６、長距離電話網３０、市内電話網１２および移動体通信網２０を通じて端末１０２へＥメール（電子メール）通信を送ることができる。端末１０４が移動電話であって端末１１２が一般的な有線式電話(wire based telephone)である場合の事例を考えると、この事例では、移動体通信網２０と市内電話網１２を通じて端末１０４と１１２間に音声通信が成立する。以下に詳述するように、一般に、本発明に従うネットワーク１０内で二人の利用者が通信するには、二人の利用者はまず最初に共通セッションキー(commonses sion key)ｋを決める。それからメッセージ（通信文）が一般的な暗号化機能ｆおよび共通セッションキーｋを用いて暗号化される。電気通信ネットワーク１０にはワイヤタッパー端末(wiretapper terminal、傍受端末)４０も接続されている。ワイヤタッパー端末はコンピュータ４２とメモリ４４を具える。追加のワイヤタッパー端末４６および４８が移動体通信網２０と２２に接続して図示されている。一対の通信中の利用者端末間で交換された暗号化されたメッセージをワイヤタッパー端末４０で解読するために、ワイヤタッパー端末は共通セッションキーを獲得しなければならない。その上、ワイヤタッパー端末がある１つの交換網と接続（例えば、ワイヤタッパー端末４０がしない電話網１２と接続）している場合には、サービスプロバイダー（例えば、市内電話オペレーティング会社）は解読のためにワイヤタッパー端末に対して傍受すべき通信を交換または経路付けしなければならない。共用伝送媒体を使用する移動体通信網あるいは他の通信網の場合には、ワイヤタッパー端末は全ての通信を“ 聞く”ことはできるが、ワイヤタッパー端末がセッションキーを持つときのみこれら通信を解読できる。複数の保管人端末５０−１、５０−２、…、５０−ｍもまた電気通信ネットワーク１０に接続している。これら保管人端末５０はワイヤタッパー端末がセッションキーを決定するのを可能にする情報を格納している。これら保管人端末は裁判所の命令に応じてのみワイヤタッパー端末にセッションキーを決定するための情報を提供する。保管人端末によって提供される情報はワイヤタッパー端末に対して特定の時間的限定期間、例えば一組の日の間にのみ傍聴を許容するようになっていることが、本発明の重要な利点である。その上、保管人端末よりワイヤタッパー端末に対して提供される情報は、一人の利用者の全ての通信を解読するのを許容するか、あるいは一定の指定された他の関係者との利用者の通信のみを解読するのを許容する。この情報は全てのｍ個の保管人端末で共有することができる。保管人端末ｎ個の全サブセットで完全に再構成できる。保管人端末をネットワークに必ずしも接続しておく必要はない。保管人端末は公衆回線１０を通じてワイヤタッパー端末と通信することができ、暗号化でその通信を安全に保護することができる。２．キーエスクローシステムｐおよびｑをｑ｜ｐ^-1を伴う２つの大きな素数、およびｑ∈Ｚ／ｐＺをオーダｑの要素と定義する。整数ｍに対し、Ｚ／ｍＺと｛０、１、…，ｍ−１｝間、および（Ｚ／ｐＺ）^*および｛１，２，…，ｐ−１｝間で識別が存在する。電気通信ネットワーク１０内の利用者端末の全ては同一のｐおよびｑを共有する本発明のキーエスクロー手法に加わることができる。各利用者端末は公開キーＰ（ｕ）∈（Ｚ／ｐＺ）^*およびｇ^s(u)∋Ｐ（ｕ）モードｐのような秘密キーＳ（ｕ）∈Ｚ／ｐＺを有する。全ての利用者端末ｕに関して、ｐ、ｑ、およびｐ（ｕ）からＳ（ｕ）を引き出すのは実行不可能であると仮定する。この仮定は個々別々の対数問題の困難性に基づく。キーＰ（ｕ）およびＳ（ｕ）は利用者端末ｕのパーマネントキーとして参照される。本発明の一実施例において、利用者端末ｕの秘密キーＳ（ｕ）が単一の保管人端末５０に格納されている（図１を参照）。本発明の別の実施例では、検証可能な割り当てＳ_v1（ｕ）が端末ｖ_i（ｉ＝１、２、…ｖｎの場合）に格納されている。保管人端末はワイヤタッパー端末がメッセージを解読できるように、Ｓ（ｕ）から引き出した暗号化された情報をワイヤタッパー端末に供給する、この情報はネットワーク１０を通じて、あるいはネットワーク１０の電子的あるいは手動チャンネル外側を通じて、保管人端末からワイヤタッパー端末へ供給してもよい。上記に示したように、クリア・テキスト・メッセージｍがｃ＝ｆ（ｋ、ｍ）に従って暗号化されており、ｍ−ｆ^-1（ｋ、ｃ）に従って解読される。クリア・テキスト・メッセージｍはｋが既知である場合だけでなく、ｋがｃとｍから効率的に引き出すことができない場合にも、ｃから引き出すことができる。ｈ：Ｚ／ｐＺ×Ｚ／ｐＺ→Ｚ／ｐＺを一方向ハッシュ関数とする。ｉ∈Ｚと未知数ｘの多項式数に関して、ｄおよびｄ_i≠ｄ、ｙｉ＝ｈ（ｘ，ｄｉ）とすれば、ｈ（ｘ，ｄ）を見つけることは実行可能である。３．期間ｄでのユーザａおよびユーザｂのためのプロトコルコートがユーザ端末ａ（たとえば移動体通信網２０に接続される携帯電話１０４）及び１つ以上のユーザ端末ｂ（例えば市内電話網１２に接続された電話１１０及び移動体通信網２２に接続された携帯電話１０８）を含む通信の傍受をオーダーする場合を考察する。傍受は移動体通信網２０の分けられた送信媒体上で立ち聞きする(eavesdrops)ワイヤタップ端末４６によって実現される。ユーザ端末ａ及びｂのパーマネント及び秘密キーをＰ（ａ），Ｓ（ａ）及びＰ（ｂ），Ｓ（ｂ）とする。ユーザ端末ａ及びｂによって実行されるプロトコルは、図２に示されており、以下に述べられている。１．第１ユーザ端末ａ及びｂは、それらの秘密セッションキーｋをノン・インタラクティブに確立する。当該秘密セッションｋ（ａ，ｂ，ｄ）＝ｋ（ｂ，ａ，ｄ）（ｋ（ｂ，ａ，ｄ）はユーザ端末ａによってｋ（ａ，ｂ，ｄ）＝ｈ（Ｐ（ｂ）^s(a)，ｄ）として、及びユーザ端末ｂによってｋ（ｂ，ａ，ｄ）＝ｈ（Ｐ（ａ）^s(b)，ｄ）として計算される）である。ｄが、特定の日又は特定の日のグループのような所定の隣接する時間期間を示すことを注目する（図２のステップ１）。２．ユーザ端末ａはＳ（ａ，ｄ）＝ｈ（Ｓ（ａ），ｄ）を計算する。ユーザ端末ｂはＳ（ｂ，ｄ）＝ｈ（Ｓ（ｂ），ｄ）を計算する（図２のステップ２）。３．ユーザ端末ａはＳ（ａ，ｂ，ｄ）＝ｈ（Ｓ（ａ，ｄ），Ｐ（ｂ））を計算する。ユーザ端末ｂはＳ（ｂ，ａ，ｄ）＝ｈ（Ｓ（ｂ，ｄ），Ｐ（ａ））を計算する（図２のステップ３）。４．ユーザ端末ａは、ネットワーク１０を介して、ユーザ端末ｂに暗号テキスト・メッセージｃ（ａ，ｂ，ｄ）＝ｆ（Ｓ（ａ，ｂ，ｄ），ｋ（ａ，ｂ，ｄ））を送る。ユーザ端末ｂは、ネットワーク１０を介して、ユーザ端末ａに暗号テキスト・メッセージｃ（ｂ，ａ，ｄ）＝ｆ（Ｓ（ｂ，ａ，ｄ），ｋ（ｂ，ａ，ｄ））を送る（図２のステップ４）。ユーザ端末ａが、ｆを用いてｋ（ａ，ｂ，ｄ）を暗号化するための暗号キーとしてＳ（ａ，ｂ，ｄ）を使用することに注目する。ユーザ端末ｂはそれゆえ、ｃ（ａ，ｂ，ｄ）を暗号解読することによって共通セッションキーｋ（ａ，ｂ，ｄ）＝ｋ（ｂ，ｄ，ａ）を決定することができない。同様に、ユーザ端末ａは、共通セッションキーを取得するために暗号テキストメッセージｃ（ｂ，ａ，ｄ）を暗号解読することができない。５．ユーザ端末ａおよびｂは、電気通信ネットワーク１０を介して互いに暗号化されたメッセージを送信することによって通信を行う。メッセージは、暗号関数ｆおよび共通セッションキーｋ（ａ，ｂ，ｄ）＝ｋ（ｂ，ａ，ｄ）（図５のステップ５）を使用して暗号化される。全てのパッケージは、ｆおよびｋを使用して暗号化され、これらｆおよびｋは暗号化の前のヘッダーに属するシステムによってプリフィックス(prefixed)されるものの１つのような特定の固定された構造を有する。６．コート(court)が、傍聴されたユーザ端末への、または当該端末からの特定の通信を許可するために令状(warrant)を発行するということを前提とする。令状は、Ｓ（ａ）を保持する保管人端末に与えられる（全秘密キーＳ（ａ）が１つの特定の保管人端末５０に保持されるということが本発明のこの実施例に対して前提とされる。）。ついで保管人は、エッジまたはノード監視の各々に対して、Ｓ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）のワイヤタッパ端末４６（図２のステップ５）を提供する。クオンティティ(quantity)Ｓ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）がネットワーク１０を介して保管人端末５０から送信されると、クオンティティは、ワイヤタッパ４６以外の端末がクオンティティを取得しないように（たとえばパブリックキー暗号法(cryptography)を使用して）暗号化される。また、クオンティティＳ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）は、ネットワーク１０の部分ではないチャンネルを通してワイヤタッパ端末に供給されるか、またはワイヤタッパ端末４６に手動で供給される。時間期間ｄの間、ユーザ端末に対しての、または当該端末からの傍受が認められるならば、クオンティティＳ（ａ，ｄ）はワイヤタッパ端末４６に供給される。ワイヤタッパ端末がＳ（ａ，ｄ）をいったん持つと、Ｐ（ｂ）がパブリックであるので、いずれのパーティ(party)ｂに対してもＣＰＵを使用してＳ（ａ，ｂ，ｄ）を計算することができる。ユーザ端末ａまたは１つ以上の特定の他の端末ｂに対しての、またはこれらからの通信のみの傍受が認められるならば、クオンティティＳ（ａ，ｂ，ｄ）は、ワイヤタッパに提供される。この場合、クオンティティＳ（ａ，ｂ，ｄ）は、そのような各端末ｂに供給される。いずれの場合も、ワイヤタッパ端末４６は、共通セッションキーｋ（ａ，ｂ，ｄ）を取得するためにｃ（ａ，ｂ，ｄ）を暗号解読することができる。このことは、端末ａと端末ｂとの間の適切な通信を暗号解読するためにワイヤタッパ端末４６を許可する。傍受が端末ａよりも端末ｂに対して向いていると、ワイヤタップ端末は、端末ｂでのノード監視に対するＳ（ｂ，ｄ）と、端末ｂでのエッジ監視に対するＳ（ｂ，ａ，ｄ）とが供給されるということが注目される。ワイヤタッパ（Ｓ（ａ，ｄ），Ｓ（ｂ，ｄ），Ｓ（ａ，ｂ，ｄ），Ｓ（ｂ，ａ，ｄ））に供給された情報は時間期間ｄの間、有効なだけであることが注目される。令状の時間境界は、容易に守られる(enforced)。ワイヤタッパによって取得された全てのデータは、電話会社によってタイム・スタンプされ、ワイヤタッパは、ある日からのデータを異なる日からのデータとしてパス(pass)することができない。すなわち、図２のプロトコルは主にノン・インタラクティブだからであり、ｅ - ｍａｉｌのようなアプリケーションに使用することができる。換言すると、端末ａだけが、例えば、そのステップを実行し、そして端末ｂが何もしないか又は異なる時間でそのステップを実行するだけならば、図２のプロトコルは機能する。Ｓ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）でワイヤタッパを供給することによって、ワイヤタッパは、端末ａから端末ｂへの片道(one way)メッセージを暗号解読することができる。プロトコルのステップ１の計算ｇ^s(a)s(b)は、プロトコルの最も重要な計算の部分である。この値は、時間期間ｄではなく、通信パーティ(parties)ａおよびｂにのみ依存する。それゆえ、この値は、普通の(frequent)パートナーに対して事前計算(precomputed)及び保持(stored)することができる。ｆ及びｈを含む比較的“安い”計算は、実時間ベース(real time basis)でなされることが必要である。端末ａが図２のステップ４でチート(cheats)し、そしてｃ（ａ，ｂ，ｄ）の破壊された値を端末ｂに対して送るならば、図２のプロトコルでの問題は何が起こるかである。この場合、Ｓ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）を持つワイヤタッパは、セッションキーｋ（ａ，ｂ，ｄ）を取得するためにｃ（ａ，ｂ，ｄ）を暗号解読することができない。この問題に対する解答は、Ｓ（ａ）をワイヤタッパに供給し、ワイヤタッパが、彼自身、Ｓ（ａ，ｄ）またはＳ（ａ，ｂ，ｄ）を決定することを許可することである。令状は、“フレーム(frame)”または“インパーソネイト(impersonate)”の他の端末、すなわち令状のサブジェクト(subject)である端末にワイヤタッパをイネーブルしない。それゆえ、むしろ端末は、それらのメッセージを知らせる。このメッセージは、ワイヤタッパまたは１以上の保管人によって組み立てられないことを保証するノン・エスクロード・キー(non-escrowed keys)での他の暗号法システムを使用するものである。これは望ましいものである。つまり、本発明のシステムのようなエスクローシステムにおいては、ワイヤタッパがいったんセッションキーｋ（ａ，ｂ，ｄ）を持つと、彼は、他のパーティにメッセージを送ることによって、ａ又はｂをインパーソネイトすることを試すことがあるからである。４．プロトコルを共有するスレショルド秘密本発明の他の実施例では、ユーザ端末ａの秘密キーは、シェア(shares)Ｓ_i（ａ），１≦ｉ≦ｎを実証する(verifiabe)ｎに分けられる。そこにはｍ保管人端末のｎ- サブセットでの１つのそのような実証シェアがある（図１参照）。端末ａと端末ｂとの間の片道通信（例えばe-mail）の場合を考察する。この場合、端末ａは以下のステップ（図３参照）を実行する。１．端末ａはｋ（ａ，ｂ，ｄ）＝ｈ（Ｐ（ｂ）^s(a)，ｄ）を決定する（図３のステップ１）。２．端末ａは実証シェアＳ_i（ａ）の各々に対してＳ_i（ａ，ｄ）＝ｈ（Ｓ_i（ａ），ｄ）を決定する（図３のステップ２）。３．端末ａは各ｉに対してＳ_i（ａ，ｂ，ｄ）＝ｈ（Ｓ_i（ａ，ｄ），Ｐ（ｂ））を決定する（図３のステップ３）。４．端末ａはＳ（ａ，ｂ，ｄ）＝Ｔ（Ｓ₁（ａ，ｂ，ｄ），Ｓ₂（ａ，ｂ，ｄ），…，Ｓ_n（ａ，ｂ，ｄ））を決定する（図３のステップ４）。５．端末ａは暗号化メッセージｃ（ａ，ｂ，ｄ）＝ｆ（Ｓ（ａ，ｂ，ｄ），ｋ（ａ，ｂ，ｄ））を計算し、そしてメッセージをネットワーク１０を介して端末ａから端末ｂに送信する（図３のステップ５）。６．端末ａはｋ（ａ，ｂ，ｄ）およびｆを使用して暗号化されている端末ｂにネットワーク１０を介して情報メッセージを送信する（図３のステップ６）。７．有効な令状の受信によって、ｎ保管人は、ワイヤタッパに、端末ａのノード監視に対するＳ_i（ａ，ｄ）または端末ａと特定の１以上の端末ｂとの間の通信だけの（エッジ）監視に対するＳｉ（ａ，ｂ，ｄ）を供給する（図３のステップ７）。８．ワイヤタッパは、端末ａから端末ｂに送られたメッセージを暗号解読する（図３のステップ８）。結論ワイヤタッピング(wiretapping)令状での暗号の限界を許容するキー・エスクロー技術が開示された。特に、傍受(wiretaps)での時間制限ができる。さらに、傍受は、特定のパーティまたは通信パートナーの特定のペア(pairs)を対象とすることができる。最後に、上述の本発明の実施例は実例となることだけを意図している。多くの実施例が以下に示す特許請求の範囲から逸脱することなく当業者によって提案することができる。

───────────────────────────────────────────────────── フロントページの続き (72)発明者ウィンクラー，ピーター，マンアメリカ合衆国 07940 ニュージャージー州マディソンワシントンドライブ５ (72)発明者ヤコビ，ヤコブアメリカ合衆国 98040 ワシントン州マーサーアイランドウエストマーサーウエイ 5050

Claims

【特許請求の範囲】１．通信ネットワーク内の制限されたプライバシーを保証する方法において、（ａ）ある当事者の端末から、前記ネットワークを介して、１または２以上の当事者ｂの端末へ、ｃ（ａ，ｂ，ｄ）＝ｆ（Ｓ（ａ，ｂ，ｄ），ｋ（ａ，ｂ，ｄ））の形式の暗号テキスト・メッセージを送るステップと、ここで、Ｐ（ａ）は、当事者ａの公開キー；Ｓ（ａ）は、当事者ａの秘密キーで、ｇ^s(a)＝Ｐ（ａ）ｍｏｄであり、ｐ，ｐおよびｇは整数；Ｐ（ｂ）は、当事者ｂの公開キー；ｈは一方向ハッシュ関数；ｆは暗号化関数ｄは期間Ｓ（ａ，ｄ）＝ｈ（Ｓ（ａ），ｄ）；Ｓ（ａ，ｂ，ｄ）＝ｈ（Ｓ（ａ，ｄ），Ｐ（ｂ））；ｋ（ａ，ｂ，ｄ）＝ｈ（Ｐ（ｂ）^s(a)，ｄ）は時間ｄの期間に対して有効なセッション・キー；（ｂ）１または２以上の暗号化された情報メッセージを前記ネットワークを介して、前記当事者ａと前記１または２以上の当事者ｂとの間、ｆを暗号化関数としておよびｋ（ａ，ｂ，ｄ）をセッション・キーとして使用して、送るステップと、（ｃ）保管人から前記ネットワークに接続されているワイヤタッパ端末に、当事者ｂの当事者ａからおよび当事者ａへの通信は暗号解読されること承認されている各特定の当事者ｂに対応するＳ（ａ，ｂ，ｄ）を、または、ワイヤタッパ端末が当事者からおよび当事者ａへのすべての当事者ｂとの通信を暗号解読することが承認されている場合はＳ（ａ，ｄ）を提供するステップとを備えることを特徴とする方法。２．請求項１記載の方法において、さらに、（ａ）前記ワイヤタッパ端末において、Ｓ（ａ，ｂ，ｄ）をｃ（ａ，ｂ，ｄ）を暗号解読するのに使用してｋ（ａ，ｂ，ｄ）を得るステップと、（ｂ）ｋ（ａ，ｂ，ｄ）を使用して、前記ネットワークを介して前記当事者ａと１または２以上の当事者ｂとの間で、暗号化された情報メッセージを送るステップとを含むことを特徴とする方法。３．通信ネットワーク内の制限されたプライバシーを保証する方法において、（ａ）当事者ａから当事者ｂに前記ネットワークを介して、暗号メッセージを送るステップであって、前記暗号メッセージは当事者ａおよびｂの共通セッション・キーを含み、共通セッション・キーは、暗号化関数ｆおよび当事者ａの秘密キーから一方向のハッシュ関数を用いて当事者ａにより導出された暗号キーを用いて暗号化されており、（ｂ）前記ネットワークに接続されているワイヤタッパ端末に、前記ワイヤタッパ端末が前記暗号化メッセージを前記暗号キーを用いて暗号解読して、前記セッション・キーを、前記ワイヤタッパ端末が当事者ａの秘密キーを得ることなく、得ることができる十分な情報を供給するステップと、（ｃ）前記ネットワークを介して当事者ａおよびｂの間で、前記暗号化関数ｆおよび前記セッション・キーを用いて暗号化された情報メッセージを送るステップと、（ｄ）前記ワイヤタッパ端末において、当事者ａとｂとの間で送られた情報メッセージを暗号解読するステップとを備えることを特徴とする方法。４．請求項３記載の方法において、前記セッション・キーは、当事者ａの端末に位置しているユニットで、ｋ（ａ，ｂ，ｄ）＝ｈ（Ｐ^s(a)，ｄ）に従って処理されて決定されることを特徴とする方法。ここで、Ｐ（ａ）は、当事者ａの公開キー；Ｓ（ａ）は、当事者ａの秘密キー；ｄは期間を示しており、ｈは一方向ハッシュ関数；５．請求項３記載の方法において、前記暗号キーは、以下の形式の当事者ａの秘密キーから導出されることを特徴とする方法。Ｓ（ａ，ｂ，ｄ）＝ｈ（Ｓ（ａ，ｄ），Ｐ（ｂ））、ここで、Ｓ（ａ，ｄ）＝ｈ（Ｓ（ａ），ｄ）；Ｓ（ａ）は、当事者ａの秘密キーで、Ｐ（ｂ）は、当事者ｂの公開キー；ｄは期間を示すｈは一方向ハッシュ関数；６．請求項５記載の方法において、前記暗号関数は以下の形式を有することを特徴とする方法。ｃ（ａ，ｂ，ｄ）＝ｆ（Ｓ（ａ，ｂ，ｄ），ｋ（ａ，ｂ，ｄ））７．請求項３記載の方法において、前記ワイヤタッパ端末は、当事者ａと１または２以上の特定の当事者ｂとの間で送られている情報メッセージを暗号解読をすることを特徴とする方法。８．請求項７記載の方法において、１または２以上の保管人は前記ワイヤタッパ端末に、前記１または２以上の特定の当事者ｂに対する前記暗号メッセージを暗号解読するのに十分な情報を提供することを特徴とする方法。９．請求項８記載の方法において、単一の保管人が前記ワイヤタップ端末に情報を以下の形式で供給することを特徴とする方法。前記１または２以上の特定の当事者ｂに対してＳ（ａ，ｂ，ｄ）＝ｈ（Ｓ（ａ，ｄ），Ｐ（ｂ））１０．請求項７記載の方法において、１または２以上の保管人は前記ワイヤタッパ端末に、前記すべての当事者ｂに対する前記暗号メッセージを暗号解読するのに十分な情報を提供することを特徴とする方法。１１．請求項１０記載の方法において、単一の保管人が前記ワイヤタッパ端末に情報を以下の形式で供給することを特徴とする方法。Ｓ（ａ，ｄ）＝ｈ（Ｓ（ａ），ｄ）；ここで、前記ワイヤタッパ端末は前記暗号キーを前記情報Ｓ（ａ，ｄ）から導出する。１２．請求項３記載の方法において、前記暗号キーは、以下の形式の当事者ａの秘密キーから導出されることを特徴とする方法。Ｓ（ａ，ｂ，ｄ）＝Ｔ（（Ｓ₁（ａ，ｂ，ｄ），Ｓ₂（ａ，ｂ，ｄ），．．．，Ｓ_n（ａ，ｂ，ｄ））；ここで、Ｔは、スレッショルド関数；Ｓ_i（ａ，ｂ，ｄ）＝ｈ（Ｓ_i（ａ，ｄ），Ｐ（ｂ））；Ｓ_i（ａ，ｄ）＝ｈ（Ｓ_i（ａ），ｄ）；Ｓ_i（ａ）は、複数のｎ人の保管人内の特定の保管人ｉに知られている当事者ａの秘密キーの検証可能な割り当て；Ｐ（ｂ）は、当事者ｂの公開キー；ｄは期間を示すｈは一方向ハッシュ関数；１３．請求項３記載の方法において、前記暗号キーは、当事者ａの端末により下記の方法に従って決定され、前記方法は、（ａ）前記当事者ａの前記端末中の処理ユニットによりＳｉ（ａ，ｄ）＝ｈ（Ｓ_i（ａ），ｄ），１≦ｉ≦ｎを決定するステップと、ここで、Ｓ_i（ａ）は、複数のｎ人の保管人内の特定の保管人ｉに知られている当事者ａの秘密キーの検証可能な割り当てであり、ｄは期間を示し、ｈは一方向ハッシュ関数である。（ｂ）当事者ａの前記端末中の前記処理ユニットにより、Ｓ_i（ａ，ｂ，ｄ）＝ｈ（Ｓ_i（ａ，ｄ），Ｐ（ｂ）），１≦ｉ≦ｎを決定するステップと、（ｃ）当事者ａの前記端末中の前記処理ユニットにより、前記Ｓ_i（ａ，ｂ，ｄ）のクオンティティを結合し、前記暗号キーを得るステップとを備えることを特徴とする方法。１４．請求項１３記載の方法において、前記ワイヤタッパ端末は、当事者ａとすべての当事者ｂとの間で送られている情報メッセージを暗号解読をすることを特徴とする方法。１５．請求項１３記載の方法において、前記ワイヤタッパ端末は、当事者ａと１または２以上の当事者ｂとの間で送られている情報メッセージを暗号解読をすることを特徴とする方法。１６．請求項１５の方法において、前記複数の保管人からの各保管人ｉは、前記ワイヤタッパ端末に、各特定の当事者ｂに対するＳ_i（ａ，ｂ，ｄ）を提供することを特徴とする方法。１７．請求項３記載の方法において、前記暗号キーは、前記当事者ａの秘密キー情報、前記当事者ｂの公開キー、および、時間の期間の情報からハッシュ関数を用いて導出され、前記暗号キーは前記期間内のみ有効であることを特徴とする方法。１８．請求項３記載の方法において、前記セッション・キーは、前記当事者ａの秘密キー情報、前記当事者ｂの公開キー、および、時間の期間の情報から導出され、前記セッション・キーは前記期間内のみ有効であることを特徴とする方法。１９．通信ネットワークでワイヤタップを行う方法において、（１）前記ネットワークに接続されている端末ａにおいて、特定の期間に対して有効なセッション・キーを (i) 前記端末ａの秘密キー (ii)前記ネットワークに接続されている端末ｂの公開キー (iii) 期間を示している情報から導出するステップと、（２）前記端末ａにおいて、前記端末ａの秘密キーと前記端末ｂの公開キーから、前記特定の期間有効な暗号キーを導出するステップと、（３）前記ネットワークを介して、前記端末ａから前記端末ｂへ、暗号メッセージを送るステップであって、前記暗号メッセージには、前記暗号キーにより暗号化関数を用いて、前記セッション・キーが暗号化されており、（４）前記ネットワークを介して、前記端末ａから前記端末ｂへ、前記セッション・キーと前記暗号化関数を用いて暗号化された情報メッセージを送るステップと、（５）令状に応答して、前記ネットワークに接続されているワイヤタッパ端末に、前記ワイヤタッパ端末が前記端末ａの秘密キーの知識を得ることなく、暗号メッセージを暗号解読しセッション・キーを得ることができる情報を供給するステップとを備えることを特徴とする方法。