JPH1173104A - ディフィーヘルマン、ｒｓａ及びラビンに関する非対称暗号化の公に検証可能な回復方法 - Google Patents

ディフィーヘルマン、ｒｓａ及びラビンに関する非対称暗号化の公に検証可能な回復方法

Info

Publication number
JPH1173104A
JPH1173104A JP10156559A JP15655998A JPH1173104A JP H1173104 A JPH1173104 A JP H1173104A JP 10156559 A JP10156559 A JP 10156559A JP 15655998 A JP15655998 A JP 15655998A JP H1173104 A JPH1173104 A JP H1173104A
Authority
JP
Japan
Prior art keywords
key
encryption
rsa
information
mod
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP10156559A
Other languages
English (en)
Inventor
Eric R Verheul
エリク・エル・フエルフユール
Henk C A Tilborg
ヘンク・セー・アー・テイルボルフ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Individual
Original Assignee
Individual
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Individual filed Critical Individual
Publication of JPH1173104A publication Critical patent/JPH1173104A/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

(57)【要約】 （修正有） 【課題】 会話パートナ間の交換を監視するための一つ
または複数のモニタ（例えば会話パートナの一つ）から
なるシステムにおいて使用されるべきキー回復暗号のた
めの方法を提供する。 【解決手段】 前記の方法において、交換の一部として
の会話パートナ１は、上記の共聴取者が検索者ＴＲＰ
１，２の一人（または分割技法が使用されている場合に
はいくつか）から（同時またはいくらか遅れて）協力を
得る場合には、この共聴取者にも同じ情報を利用可能に
し、この過程で会話パートナはまた同時に結合データと
して知られる追加情報も送り、これによってモニタは、
モニタが自分の自由になる秘密情報を持つ必要なく、前
記の情報利用可能化が正しく実施可能でもあることを検
査できる。この方法は、交換において、秘密情報が、Ｒ
ＳＡ、ラビン、またはディフィ−ヘルマンという非対称
方式、またはこれらの組合せにより暗号化される。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
１．はじめに 「電子スーパーハイウェイ」を基にした世界的な情報社
会の発展は速いペースで前進しつつあり、インターネッ
トへの関心の増加がこれを示している。しかしながら、
多くの電子スーパーハイウェイ適用例において、送信ま
たは受信される情報の信頼性は非常に重要である。さら
に詳しくは、 ［機密性］ 情報が、例えばそれが機密にかかわる情報
であるために、許可されていない者によっては途中で見
られず、 ［正確性］ 情報が、例えばそれが財務上の情報である
ために、許可されていない者によっては途中で変更され
ないことが、多くの適用例において非常に重要である。
【０００２】情報社会が実際にうまく軌道に乗ることを
望むならば、これらの信頼性要件、つまり世界の多くの
政府によって共有される目的を保証することが可能でな
ければならない。公開キーインフラストラクチャ（ＰＫ
Ｉ）として知られる世界中に及ぶデータ保護インフラス
トラクチャを設定する必要があるであろう。ＰＫＩで
は、公開キーが（例えば公証人など）信頼できる当事者
のネットワークによって認定され、（ＲＳＡなどの）非
対称暗号化のために使用される。政府がＰＫＩ実現にお
ける主要当事者であるべきだと言明する理由は無数にあ
る。一つの理由を挙げると、ある意味では認定された公
開キーは情報社会のディジタルパスポートであり、パス
ポートの機構が政府の業務であることはもっともであ
る。
【０００３】しかしながら、原則として情報の機密性を
許可されていない者によって見られることから防止する
方法は、法の執行、安全保護、および諜報の機関など
の、許可された者によって見られることからも防止す
る。後者の当事者が裁判所の許可によって容疑者の通信
を傍受するとき、彼らは関係情報にアクセスすることが
できない。言い換えれば、政府が単にＰＫＩの発展を促
進させるならば、この方法で政府は犯罪者の生活を楽に
することにもなる。この事実は、もちろん公開キーイン
フラストラクチャの供給を簡単に推進することを政府に
とって困難にすることである。
【０００４】したがって問題は、法を守る市民及び組織
の間の信頼を促進するが、しかし犯罪者にとって情況を
楽にしないＰＫＩをいかに準備するかであり、換言すれ
ば、容疑者がＰＫＩを使用するやいなや、機密性に関し
てシステムによって提供される保護が、法の執行、安全
保護、および諜報の機関が裁判所の許可によって容疑者
の通信を盗聴するとき、これらの機関のために放棄され
ることが可能である。さらにまた、保護の除去は、その
ように行う必要と権利を有する他の者のためにも重要に
なり得る。ＰＫＩの実現における重要条件は、（クリッ
パチップなどの、［Ｃｌｉｐ］を参照）ハードウェアか
らのみではなく、ソフトウェアからＰＫＩを使用するこ
とも可能でなければならないことである。
【０００５】２．従来の技術 この問題の解析を可能にするために、機密性の（ハイブ
リッド）公開キー暗号化の下記の（記号式）説明を紹介
する。人物アリスが暗号化された機密レポートＭを人物
ボブに送ろうとする場合、アリスは、ランダムセッショ
ンキーＳを発生させ、アリスは、Ｓを使用して従来の
（対称）暗号方式によってレポートＭを暗号化し、アリ
スは、ボブの公開キーによってＳを暗号化する。
【０００６】それからアリスは、パッケージｂとパッケ
ージｃをボブに送る。ボブは、パッケージｃを彼の専用
キーを用いて復号し、この方法で彼はＳを自由に使える
ようになり、Ｓによってパッケージｂを再び復号するこ
とによってメッセージＭが得られる。
【０００７】この構成は今では、さまざまな方法で、法
を守る市民にとっては安全化され、犯罪者にとっては安
全化されないようにすることができる。明白な一つの方
法は、Ａｍｅｒｉｃａｎ Ｏｆｆｉｃｅ ｏｆ ｔｈｅ
Ｐｒｅｓｉｄｅｎｔの起草案であるキー管理インフラ
ストラクチャ案である。ここでは、ユーザの専用キー
は、法の執行、安全保護、または諜報の機関の調査に協
力する信頼できる第三者がしかるべき裁判所の許可を有
する場合には、この第三者によって預けられる。
【０００８】これには多くの欠点がある。すなわち、例
えば解決策を国際的に適用するには困難である（例えば
キーはどこへ行くのか）。［ＶＫＴ］ではさらに多くの
問題が列挙される。もう一つの問題は、（上記の説明
で）アリスが容疑者であり、ボブはそうでない場合に
は、法の執行、安全保護、または諜報の機関は、容疑者
でないボブの専用キーを利用できなければならないこと
である。ロンドン大学の提案［ＲＨ］（Ｒｏｙａｌ Ｈ
ｏｌｌｏｗａｙ）は実際に同じ考えに基づくものである
が、Ｋｅｙ Ｅｓｃｒｏｗ Ａｇｅｎｔｓの複雑な方式
によってユーザの専用キーを作るもので、実際には、二
つの国においてＫｅｙ Ｅｓｃｒｏｗ Ａｇｅｎｔｓに
よって復元可能である（すなわち、Ｋｅｙ Ｅｓｃｒｏ
ｗ Ａｇｅｎｔｓ間の協力は必要ではない）。これは、
（たとえばノルウェーなど、キーにアクセスできること
を全く望まない国もあるが）原則として国際的解決策を
もたらすものである。Ｒｏｙａｌ Ｈｏｌｌｏｗａｙが
使用する公開暗号方式はかなり厳密なものであるから、
実際に点ａにおけるセッションキーは固定されている。
これは公開暗号化の原則に反するのみではなく、あらゆ
る種類の他の迷惑な結果ももたらす。
【０００９】もっと自由で柔軟な解決策は、各ユーザが
例えば法によって規制されるべき一つまたは複数の信頼
される検索者（ＴＲＰ）を選択し、パッケージｄが通信
に加えられることである。すなわちＳは選択されたＴＲ
Ｐの公開キーによって暗号化する。
【００１０】したがってこれらのＴＲＰは、それがある
かのように仮想受信人として働く。すなわち、これらの
ＴＲＰはメッセージを受信しないが、メッセージを受信
するならば、メッセージを復号すること（および読むこ
と）ができる。ここで、許可された者が通信を傍受した
場合には、この者はＴＲＰの助力によってブロックｄか
ら（唯一の！）セッションキーＳを得ることができ、そ
れからＳを用いてブロックｂを復号することによって再
びメッセージＭを探し出すことができる。原則として、
許可された者は、復号化を実施するためおよびブロック
ａ〜ｄに基づいてメッセージＭを戻すための両方をＴＲ
Ｐに頼むことができるが、これは直接的には望ましくな
いメッセージの表示をＴＲＰに与えることになる。
【００１１】キー回復の解決策における固有の危険性
は、ＴＲＰが改ざんされた場合に、そのユーザの（秘
密）情報が許可されない者に到達する可能性があること
である。これに対する解決策は「分割」及び「共有」技
法の使用である。これは、ＴＲＰに属する専用キーが一
個の人物または組織の思いのままにならないが、複数の
専用または組織、すなわちｙ個の「サブＴＲＰ」の間で
分けられていることを意味する。これらの部分は、 − ｙ個の「サブＴＲＰ」がすべて共に専用キーを復元
することができ、 − ｙ個より少ない「サブＴＲＰ」では専用キーについ
て知ることができない場合には、専用キーの「ｙからｙ
への分割」式型を形成する。
【００１２】− 任意のｘ個の「サブＴＲＰ」が専用キ
ーを復元することができ、 − ｘ個より少ない「サブＴＲＰ」では専用キーについ
て知ることができないような、ｘ（ｙより小さい）があ
る場合には、「ｙからｘの分割」と呼ぶ。
【００１３】この提案はユーザに、ユーザが信頼しよう
とする当事者（ユーザがＴＲＰとしてとる当事者）に関
する非常に広い選択を与えるのみならず、いくつかのＴ
ＲＰ（送信国から１つ、受信国から１つ）を使用するこ
とができるので、これは原則としてＲｏｙａｌ Ｈｏｌ
ｌａｗａｙと同じ国際的な利点を与える。しかしながら
一つの欠点は、これが犯罪者によって容易に悪用できる
ことである。わかり易くするために、悪用とは、人々が
システムを利用しようと望むが、（例えば契約によっ
て）システムのために作られた規則を順守しないことを
意味する。説明のために言えば、アリスがブロックｄの
代わりに何らかのデータを送るだけであれば、アリスは
実際にはシステムの利点を使用しており、犯罪的な「欠
点」は使用しない。
【００１４】ＴＩＳ−ＣＫＥ／キー回復式型［ＴＩＳ］
（特許権を受けており、米国特許第５５５７３４６号及
び同第５５５７７６５号の明細書を参照）においては、
この形式の一方的な悪用は、受信ソフトウェアに再構成
検査を実施させることによって防止することができる
（受取人はＳを知っており、したがってＴＲＰの公開キ
ーを用いてパッケージｄを再構成して結果をパッケージ
ｄと比較することができる）。しかしながら、この検査
はソフトウェアプログラムにおける（簡単な）操作によ
ってバイパスされることが可能である（常に構成検査を
「ＯＫ」とする）。言い換えれば、陰謀を企む犯罪者は
システムの利点を（容易に）利用することができるが、
犯罪的な欠点を利用することはできない。
【００１５】［ＶＫＴ］及び特に［ＶＴ］では、この問
題に対する（部分的）解決策が見つかっており、これ
は、（例えば上述のような）陰謀的な不正行為を防止す
る必要はないが、実際には（スポット検査によって）第
三者によって検知できるという要件による解決法であ
る。この場合にモニタとも呼ばれる第三者は、ネットワ
ーク（の設備）のオペレータ及び（インターネット）サ
ービス提供者、すなわち実際に自由に使えるすべての
（暗号化された）データをすでに有する者を含むものと
考えられる。しかしながら、ユーザ自身の制御方式また
は制御ソフトウェアもしくはその両方によって実施され
る検知操作を考えることもできる。
【００１６】検知で構成される追加の要件は、第三者が
自分で自由に秘密情報を使うことなくこの不正行為を検
知できなければならないことである。したがって、ユー
ザのプライバシに不都合な影響があってはならない。あ
る第三者が不正行為を検知できなければならないという
要件は、ある者がプロバイダとして動作することを許さ
れる前に、法的要件として設定されることができる。検
知された不正行為について特定的に何が起こるべきかは
国内立法の問題である。
【００１７】さらに詳しくは、この概念は結合暗号と呼
ばれ、したがって追加情報ブロックの追加で構成され
る。
【００１８】ｅ．結合データ ブロックｅ（およびアドレス指定され選択されたＴＲＰ
の公開キー）によって、知られるべきか既知であるかも
しくはその両方を必要とする秘密情報なしに、ブロック
ｃにおいて暗号化されたセッションキーがブロックｄに
おいて暗号化されたそれと同じであるかどうかを確定す
ることが可能でなければならない。フォローアップ論文
［ＶＴ］では、公知の公開キー暗号方式のためのデータ
結合方法、すなわちエルガマルが設計されている。この
論文はまたエルガマルのための分割技法も述べており、
この技法によってＴＲＰの（既に述べた）改ざんの問題
を解決することができる。
【００１９】３．新しい発明 ここで、他の三つの公開キー方式、すなわちディフィ−
ヘルマン［ＤＨ］、ＲＳＡ［ＲＳＡ」及びそのラビン
［Ｒａｂｉｎ］の変形の複合結合構造について説明す
る。
【００２０】これらの方式については、同じメッセージ
を暗号化するために様々な公開キー暗号方式が使用され
る（例えばセッションキー）という点で、２．で述べた
一般的結合の提案からは僅かな偏りがある。結合データ
の機能性は変わらない。すなわち、秘密知識を必要とせ
ずまたこれを自由に使用できるようになることなく、
（様々な形式の）暗号による同じ秘密情報の保護を結合
データによって確立することができる。
【００２１】３．１ ＲＳＡ／ラビン（説明） ＲＳＡ方式［ＲＳＡ］においては、各関係者は、二つの
（大きな）素数ｐ、ｑの積であるモジュロｎ、及び、ｅ
・ｄ＝１（ｍｏｄ ｌｃｍ（ｐ−１，ｑ−１））の関係
を持つ公開指数ｅと専用指数ｄとを選択する。ここで、
「ｌｃｍ」は「最小公倍数」を表す。公開指数とモジュ
ロｎは公知にされ、信頼される当事者による信用証明と
組み合わせられる。
【００２２】（ｅ，ｎ）がアリスの公開ＲＳＡキーであ
れば、メッセージ０＜Ｓ＜ｎは（他の当事者）ボブによ
ってｃ＝Ｓe ｍｏｄ ｎとして暗号化される。アリス
はこのメッセージをｃd ｍｏｄ ｎを計算することに
よって復号する。
【００２３】ラビンの変形［Ｒａｂｉｎ］（以後単にラ
ビンと呼ぶ）では、ｅは２と等しく選択され、したがっ
てラビン公開キーはモジュロｎのみから成る。メッセー
ジＳ＜ｎはアリスによってｃ＝Ｓ2ｍｏｄ ｎとして暗
号化される。欠点は、ボブによる復号がもはや唯一では
なく、原則として、Ｓ2＝ｃ ｍｏｄ ｎを満たす四つ
の可能なメッセージＳがあることである。ラビン方式内
では、ボブは何とかして四つのＳから正しいＳを選択す
ることができなければならない。さらに、ラビンの場合
の素数ｐと素数ｑは、平方根の計算を行うのが簡単であ
るから、いわゆるブルム整数として選択されることが多
い。
【００２４】３．２ ディフィ−ヘルマン（説明） ディフィ−ヘルマンキー協定［ＤＨ］は、安全でない
（公開）チャネルによって共通秘密キーに到達するため
の二人の当事者の最初の実用的な解決策であった。この
方式は、（乗法的に書かれた）群Δの巡回部分群Гを利
用し、群Δにおいては、いわゆる離散的対数の問題を実
用的な方法で解決することができない。ｎをГオーダー
の大きな（例えば１６０ビット）数とし、γをГの生成
元とする。要素γ、Г、およびΔ（およびｎは必ずしも
必要ではない）は、発する当事者（ＩＰ）によってすべ
ての関係者に与えられる。群Г、Δについては様々な選
択が可能であるが、典型的な例ではГ＝Δであり、Δは
有限要素の乗法群または有限体にわたる楕円曲線上の点
群である。
【００２５】プロトコルの基本バージョンにおいて二人
の関与当事者Ａ、Ｂが秘密キーについて同意を望む場合
には、両者は下記を行う。
【００２６】１．Ａは、ｎより小さな任意の数ｋａ（ま
たはその上限）を生成し、ｚA＝γkaをＢに送る。
【００２７】２．Ｂは、ｎより小さな任意の数ｋｂ（ま
たはその上限）を生成し、ｚB＝γkbをＡに送る。
【００２８】３．Ａは、ｚBを受け取り、共通秘密キー
を（ｚB）kaとして計算する。
【００２９】４．Ｂは、ｚAを受け取り、共通秘密キー
を（ｚA）kbとして計算する。
【００３０】プロトコルのこの基本バージョンは共通キ
ーの機密性のみを保護し、当事者の真実性を保護しな
い。真実性を基本プロトコルに加えるプロトコルの様々
な変形が存在する。例えば、すべての関与当事者は（信
頼できる）第三者によって認証された固定公開キーを与
えられる。ディフィ−ヘルマンのステーション対ステー
ション［ＳＴＳ］およびＭＴＩ［ＭＴＩ］の変形におい
て、もっとよい解決策が見出だされている。
【００３１】３．３ マッカーリーのエルガマル変形
（説明） エルガマル公開キー方式［ＥＩＧ］は、ディフィ−ヘル
マンのように、いわゆる離散的対数の問題を実用的な方
法では解決できない（乗法的に書かれた）群Ｈの巡回部
分群Ｇを利用する。群Ｇ、Ｈについて様々な選択が可能
であるが、典型的な例においては、Ｇ＝Ｈであり、また
Ｈは有限要素の乗法群または有限体にわたる楕円曲線上
の点群である。
【００３２】要素ｇ、Ｇ、Ｈは公に知らされる。方式に
参加するために、参加者は自分の専用キーｘ（ｇオーダ
ーより小さな数またはその上限）を選択し、自分の公開
キーｙ＝ｇxを公に知らせ、信用証明その他と組み合わ
せる。
【００３３】ｙがアリスの公開エルガマルキーである場
合には、Ｈからの一要素であるメッセージＳは、任意の
ｋ（ｇ台より小さな数またはその上限）をまず選択し、
（ｔ，ｕ）：＝（ｇk，Ｓ・ｙk）を計算することによっ
て、（他の当事者）ボブによって暗号化される。アリス
はこのメッセージをｕ／ｔxを計算することによって復
号する。
【００３４】マッカーリーのエルガマル変形［ＭｃＣ］
では、Ｚ／ｎＺの乗法群はＨとしてとられ、この場合に
ｎはＲＳＡの場合と同様に、二つの（秘密）素数ｐ、ｑ
の積である。乗法群Ｚ／ｎＺからの任意の要素ｇによっ
て作られる群を群Ｇとしてとることができる。［Ｍｃ
Ｃ］では、特別素数が選択され、ｇは１６に等しくされ
る。この理由は、この選択においてはマッカーリーは、
エルガマルのこの形式を破ることができるものはモジュ
ロｎを因数分解することもできると証明できることであ
る。
【００３５】実際に、素数ｐ、ｑと生成元ｇのこの選択
は必要ではない。またＺ／ｎＺの乗法群における任意の
素数ｐ、ｑおよび任意のｇに考慮すべきである（したが
ってここでｎ＝ｐ・ｑ）。
【００３６】３．４ 多重回復可能ＲＳＡ／ラビン（発
明） 同じ秘密ＳのいくつかによるＲＳＡ／ラビン暗号化は安
全保護されない可能性がある［Ｈａｓ］。これは、ＲＳ
Ａ以外の方式、すなわちエルガマルのマッカーリーの変
形によってＴＲＰのために意図されるＳの暗号化された
コピーを作ることを選択する理由でもあり、この方式に
おいて、ユーザによって使用されるＲＳＡ／ラビンモジ
ュロｎが実際に使用され、生成元ｇはＺ／ｎＺにおいて
選択される。こうして、ｍ者のＴＲＰが関与する場合に
は、彼らの専用キーはｘ１、ｘ２、・・・、ｘｍ（数＜
ｎ）の形となり、彼らの公開キーはｙ１＝ｇx1、ｙ２＝
ｇx2、・・・、ｙｍ＝ｇxmの形となる。
【００３７】したがって、Ｒ＝Ｓe ｍｏｄ ｎがユー
ザの公開キー（ｅ，ｎ）による暗号化である場合には、
ＴＲＰのための写しは（Ａ1，Ｂ1）：＝（ｇk，Ｓ・
（ｙ1）k）、（Ａ2，Ｂ2）：＝（ｇk，Ｓ・
（ｙ2）k）、（Ａ3，Ｂ3）＝（ｇk，Ｓ・（ｙ3）k）、
・・・、（Ａm，Ｂm）＝（ｇk，Ｓ・（ｙm）k）の形と
なる（モジュロはすべてｎ）。これらのｍ個の暗号化の
場合に同じランダムｋはユーザによってｎより小さく選
択されることに留意されたい。
【００３８】換言すれば、セクション２において述べた
メッセージは次の形を有する。
【００３９】Ｅ． Ｓによって暗号化されたデータ Ａ． Ｒ＝Ｓe ｍｏｄ ｎ、 Ｂ． （Ａ1，Ｂ1）：＝（ｇk，Ｓ・（ｙ1）k）、
（Ａ2，Ｂ2）：＝（ｇk，Ｓ・（ｙ2）k）、（Ａ3，
Ｂ3）＝（ｇk，Ｓ・（ｙ3）k）、・・・、（Ａm，Ｂm）
＝（ｇk，Ｓ・（ｙm）k）、モジュロはすべてｎ。
【００４０】選択されたセッションキーＳが（より大き
な群Ｈの代わりに）群Ｇの中で（任意に）選択された、
すなわちＳがｇz ｍｏｄ ｎの形であって、ｚ＜ｎ任
意である場合には、エルガマル／マッカーリー回復領域
によるＲＳＡの中断はこれらの領域のない場合と同様に
困難であることを証明することができる。したがって
（形式）安全保護の考えから、群Ｇの中でＳを選択する
ことを決定できる。
【００４１】本出願人らによって作られた結合データ
は、（（Ａi）e，（Ｂi）e）は公開キーｙiに関するＳ
のエルガマル暗号化に関係することを証明し、これは、
ブロックＡ、Ｂが同じＳを含むことを証明するには十分
である。これは、１、２、・・・、ｍである各ｉについ
て、底ｇモジュロｎに関する式（Ａi）e ｍｏｄ ｎの
対数が、式（Ｂi）e ｍｏｄ ｎの対数を底ｙiに関す
るＲ ｍｏｄ ｎで割ったものと同じであることを証明
することと等価である。後者は［ＶＴ］に記載するよう
な非対話式プロトコルに基づく一変形によって簡単に達
成される。ここで、ｍ＝１についてこれを説明する。一
般的な場合も類似の方法で続く。ｍ＝１の場合には、結
合データは一つのｋが存在することを示さなければなら
ないので、 ａ＝ｇk＝（Ａ1）e ｍｏｄ ｎ ｂ＝（ｙ1）k＝（Ｂ1）e／Ｒ ｍｏｄ ｎ （＊） となる。
【００４２】これは次のように進む。まず第一に安全パ
ラメータｖが決められる。結合データは正しくない結論
をもたらすという１／２vの機会は容認可能と考えられ
る。安全パラメータは例えば８０（ビット）前後であ
る。さらに一方向安全ハッシュ関数が決定され、この出
力ビット数は十分に大きい（例えば１６０）。
【００４３】続いて、 １．この目的のために送信する会話パートナはｎより小
さな任意のｌを発生させ、結合データに加えられるｃ＝
ｇ1 ｍｏｄ ｎ及びｄ＝（ｙi）1 ｍｏｄｎを構成す
る。
【００４４】２．送信する会話パートナは公知の方法
で、ｃとｄ、及び多分結合データの一部として同時に送
られる可能性のある他の規定の情報（例えばａとｂ）
の、ｗと呼ばれる一方向安全ハッシュを計算する。
【００４５】３．送信する会話パートナはｚ＝ｗ・ｋ＋
１を計算し、この数がｋとｌに関する妥当な不確定性を
なおも与えるかどうか、言い換えれば、式ｚ＝ｗ・ｋ＋
１に基づく解ｋ、ｌの数がｋ、ｌの「推測」を事実上不
可能にするのに十分な大きさ（少なくとも＞２v）であ
るかどうかを調べる。そうである場合は、送信する会話
パートナはｚを結合データに加え、そうでない場合は方
法のステップ１から再び開始する。
【００４６】ここでモニタが、（ｃ、ｄ、ｚを含む）結
合データに基づいて、等式（＊）が満たされることを次
のように検査することができる。モニタは規定の方法
で、ｃとｄ及び多分他の規定の情報のｗと呼ばれる一方
向安全ハッシュを（再）計算し、 ｇz＝ａw・ｃおよびｙz＝ｂw・ｄ （＊＊） であることを検査する。そうである場合は、モニタは、
パッケージＲにおける暗号化されたＲＳＡキーが
（Ａ1，Ｂ1）におけると同じであることを受け入れ、そ
うでない場合はこれを受け入れない。
【００４７】上記の方法で作られた結合データは、「フ
ィアット−シャミール」ヒューリスティックを適用する
ことによって著しく減少することができる。この場合、
結合データはｃとｄとの代わりにハッシュｗを含み、し
たがって結合データはｚとｗを含む。モニタは等式（＊
＊）に基づいて要素ｃ、ｄを計算し、規定の方法でこの
ｃとｄおよび多分他の情報に基づいて一方向安全ハッシ
ュｗ’を計算し、そしてこれをこれと一緒に送られたハ
ッシュｗと比較する。ｗとｗ’が同じであれば、モニタ
はパッケージＲにおける暗号化されたＲＳＡキーが（Ａ
1，Ｂ1）におけると同じであることを受け入れ、そうで
ない場合はこれを受け入れない。
【００４８】さらに、エルガマルのための［ＶＴ］で述
べた分割技法はエルガマルのマッカーリーの変形にも適
用可能であり、こうして特に上記の回復可能ＲＳＡに適
用可能であることを指摘したい。
【００４９】３．５ 単一回復可能ディフィ−ヘルマン
（発明） ディフィ−ヘルマン方式のための結合方法は、ここで使
用される生成元ｇ（および生成された巡回群Гと周囲群
Δ）を、その位数がＲＳＡモジュロｎ、すなわち二つの
（大きな）秘密素数ｐ、ｑの積と等しいように選択する
ことから成る。単一の場合（唯一つのＴＲＰが関与して
いる場合）には、素数ｐ、ｑはＴＲＰ（または、分割技
法が素数ｐ、ｑのために使用されたいくつかのサブＴＲ
Ｐの場合には各部分）に知られていること、およびｎ＝
ｐ・ｑは公知である（たとえば公表されている）ことが
想定される。
【００５０】もちろんГも、Гにおける離散的対数の問
題を実用的な方法で解決することができないように選択
されなければならない。γ、Г、Δを選択することがで
きる方法は無数にある。例えば、ｓは小さな数で、Ｐ＝
ｓ・ｎ＋１の形の素数Ｐを選択することができる。それ
から要素γ（１ ｍｏｄ Ｐに等しくはない）を、γn
＝１ ｍｏｄ Ｐになるように選択すべきである。
【００５１】この形式のディフィ−ヘルマン方式を回復
可能にするために、本出願人らは、ある当事者がγS
ｍｏｄ Ｐの形式の典型的なディフィ−ヘルマンメッセ
ージを会話パートナに送っている場合には（Ｓは送って
いる当事者にのみ知られている）、回復はラビン暗号化
モジュロｎすなわちＳ2 ｍｏｄ ｎをこのメッセージ
に加えることによって構成されることを提案する。言い
換えば、典型的な回復可能ディフィ−ヘルマンメッセー
ジは（Ｈ，Ｒ）＝（γS ｍｏｄ Ｐ，Ｓ2 ｍｏｄ
ｎ）の形を有する。
【００５２】さらに、回復領域Ｓ2 ｍｏｄ ｎは、原
則として両方の当事者によって送られる必要はない。二
人の内の一人がこれを行えば十分である。これは、ディ
フィ−ヘルマンに基づく前述のＳＴＳプロトコル及びＭ
ＴＩプロトコルに全面的に適用される。
【００５３】本出願者が構成した結合データはここで、 Ｒは底（生成元）γに関する上述のブロックＨの対数の平方である ことを証明することになる。 （＊＊＊） このために、一方向安全ハッシュ関数がまず設定され、
この出力ビット数は十分大きい（例えば１６０）。した
がって、 １．送信する会話パートナは、ｎより小さな任意数Ｔを
発生させ、Ｔ２＝Ｔ2ｍｏｄ ｎを計算し、結合データ
に加えられるａ1＝γTおよびａ2＝γT2を計算する。
【００５４】２．送信する会話パートナは公知の方法
で、ａ1とａ2、及びありえる結合データの一部として同
時に送られる可能性のある他の規定の情報（例えばａと
ｂ）から、ｗと呼ばれる一方向安全ハッシュを計算す
る。
【００５５】３．送信する会話パートナはｚ＝ｗ・Ｓ＋
Ｔ ｍｏｄ ｎを計算し、これを結合データに加える。
【００５６】ここでモニタが、結合データに基づいて、
アサーション（＊＊＊）が真であることを次のように検
査することができる。
【００５７】４．モニタは、ａ1とａ2、及びありえる他
の規定の情報からｗと呼ばれる一方向安全ハッシュを
（再）計算し、Ｈ2γR、Ｗ２＝ｗ2 ｍｏｄ ｎを計算
し、γz＝Ｈw・ａ1および（Ｈ-w・ａ1）z＝（Ｈ2）-w2
・ａ2であることを検査する。そうである場合は、アサ
ーション（＊＊＊）が正しいことを受け入れ、そうでな
い場合は受け入れない。
【００５８】上記の方法で作られた結合データは、「フ
ィアット−シャミール」ヒューリスティックを適用する
ことによって著しく減少することができる。この場合、
結合データはｚとｗ（だけ）から成り、モニタは４項で
述べたものと同じ方法に基づいて要素ａ1、ａ2を計算
し、規定の方法でこのａ1、ａ2およびありえる他の情報
に基づいて一方向安全ハッシュｗ’を計算し、そしてこ
れをこれと一緒に送られたハッシュｗと比較する。ｗと
ｗ’が同じであれば、モニタはパッケージＲにおける暗
号化されたＲＳＡキーがパッケージＨにおけると同じで
あることを受け入れ、そうでない場合はこれを受け入れ
ない。
【００５９】３．６ 多重回復可能ディフィ−ヘルマン
（発明） ディフィ−ヘルマンの多重回復可能化は、３．５で述べ
た技法を３．４で述べた技法に単に組み合わせることか
ら成り、この場合（とりわけ）ラビン暗号化が多重回復
可能にされる。したがって、専用ラビンキー（すなわち
積がモジュロｎを形成する素数ｐ、ｑ）を破壊すること
は明らかで、すべてのＴＲＰはエルガマル専用キーのみ
を自由に利用することができる。この方法では、一つの
巡回部分群Ｇ、周囲群Ｈ、およびモジュロｎを、ディフ
ィ−ヘルマン交換を可能にするために使用することがで
き、（ＴＲＰの選択されたエルガマルキーに基づいて）
様々なＴＲＰを常に選択することができる。これは、国
際的コンテキストにおいては便利な特徴である。説明の
ために例示すれば、米国人のアリスが英国人のボブとデ
ィフィ−ヘルマン交換を望む場合には、アリスはボブの
公開エルガマルキーによって暗号化された英国のＴＲＰ
のための暗号化されたセッションキー（および結合デー
タ）を封入し、アリスがフランス人のフランクとディフ
ィ−ヘルマン交換を望む場合には、アリスはフランクの
公開エルガマルキーによって暗号化されたフランスのＴ
ＲＰのための暗号化されたセッションキー（および結合
データ）を封入する。両方の場合に、アリスは同じパラ
メータ（ｇ、Ｇ、Ｈ、ｎ）を使用することができる。
【００６０】参考文献 ［Ｃｌｉｐ］ Computer Systems Laboratory, Nationa
l Institute of Standards and Technology, Escrowed
Encryption Standard (EES), Federal Information Pro
cessing Standards Publication, FIPS PUB 185, Feb.
9, 1994. [DH] W. Diffie, M.E. Hellman, New directions in cr
yptography, IEEETransactions on Information Theory
22, 1976, pp. 644-654. ［ＥＩＧ］ T. ElGamal, A Public Key Cryptosystem
and a Signature schemeBased on Discrete Logarithm
s, IEEE Transactions on Information Theory 31(4),
1985, pp.469-472. ［Ｈａｓ］ J. Hastad, On Using RSA with Low Expon
ent in a Public Key Network, Advances in Cryptolog
y - CRYPTO '85 Proceedings, Springer-Verlag,1993,
pp. 403-405. ［ＫＭ］ Interagency Working Group on Cryptograph
y Policy, Enabling Privacy, Commerce, Security and
Public Safety in the Global Information Infrastru
cture, 17 May 1996, see http://www.cdt.org/crypto/
clipper_III. ［ＭｃＣ］ K. McCurley, A Key Distribution System
Equivalent to Factoring, J. Cryptology, 1(1988),
pp. 95-105. ［ＭＴＩ］ T. Matsumoto, Y. Takashima, H. Imai, O
n Seeking smart public-key distribution systems, T
he Transactions of the IECE of Japan, E69, (1986),
99-106. ［Ｒａｂｉｎ］ M.O. Rabin, Digitalized signatures
and public-key functions as intractable as factor
ization, MIT/LCS/TR-212, MIT Laboratory forCompute
r Science, 1979. ［ＲＨ］ N. Jefferies, C. Mitchell, M. Walker, A
Proposed Architecturefor Trusted Third Party Servi
ces, Cryptography: Policy and Algorithms, Proceedi
ngs of the conference, Springer-Verlag (LNCS 102
9), 1996, pp. 98-104. ［ＲＳＡ］ R.L. Rivest, A. Shamir, and L. Adlema
n, A method for obtaining digital and public key C
ryptosystems, Commun. ACM, vol. 21, No. 2, pp. 158
-164, Feb. 1978. ［ＳＴＳ］ W. Diffie, P.C. van Oorschot, M.J. Wie
ner, Authentication an[sic] Authenticated key exch
anges, Designs, Codes and Cryptography, 2,(1992),
107-125. [TIS] D.M. Balenson, C.M. Ellison, S.B. Lipner, S.
T. Walker (TIS Inc.), A New Approach to Software K
ey EscrowEncryption, in: L.J. Hoffmann(ed.), Build
ing in Big Brother (Springer, New York, 1996), pp.
180-207.See also http://www.tis.com. ［ＶＴ］ E.R. Verheul, H.C.A. van Tilborg, Bindin
g ElGamal: a fraud-detectable alternative to key-e
scrow proposals, EuroCrypt97 proceedings, 1997. ［ＶＫＴ］ E.R. Verheul, B.-J. Koops, H.C.A. van
Tilborg, Binging Cryptography. A fraud-detectable
alternative to key-escrow solutions, Computer Law
and Security Report, January-February 1997, pp. 3
-14.
【図面の簡単な説明】
【図１】本発明が使用される通信システムを示す図であ
る。
───────────────────────────────────────────────────── フロントページの続き (72)発明者 エリク・エル・フエルフユール オランダ国、5644・カー・エー・エイント ホーフエン、ホウトスブルームストラー ト・14 (72)発明者 ヘンク・セー・アー・テイルボルフ オランダ国、5683・エル・イエー・ベス ト、クラボツツ・19

Claims (7)

    【特許請求の範囲】
  1. 【請求項１】 公共遠隔通信インフラストラクチャによ
    って互いに秘密情報を暗号化された形で交換する（多分
    異なった国の）二人の会話パートナと、 自由に利用できる暗号化された情報を有するがそれを復
    号することができない、存在する可能性のある一人また
    は複数人の合法的な共聴取者（例えば、政府機関、また
    はいずれかの会話パートナの雇用主）と、 仮想的会話パートナとして働き、情報を復号することは
    できるが自由に利用できる暗号化された情報を持たな
    い、会話パートナとは原則として異なる（信頼される回
    復者（ＴＲＰ）として知られる）一人または複数人の信
    頼される者と、 会話パートナ間の交換を監視するための存在し得る一つ
    または複数のモニタ（例えば一方の会話パートナ（の装
    置）、ＰＴＴ、または会話パートナの雇用主）とからな
    るシステムにおいて使用されるキー回復暗号のための方
    法であって、 交換の一部としての会話パートナが、上記の共聴取者が
    ＴＲＰの一人（または分割あるいは共有技法が使用され
    ている場合には何人か）から（同時またはいくらか遅れ
    て）協力を得る場合に、この共聴取者にも同じ情報を利
    用可能にし、この過程で会話パートナはまた同時に結合
    データとして知られる追加情報も送り、これによってモ
    ニタは、モニタが自分の自由になる秘密情報を持つ必要
    なく、前記の情報利用可能化が適切に実施可能でもある
    ことを検査することができ、該方法は、Ｓと呼ばれる秘
    密情報が、 Ａ．Ｒ［Ｓ］、パラメータ（ｅ，ｎ）を有する公開ＲＳ
    ＡキーによるＲＳＡ暗号化、 Ｂ．Ｍ1［Ｓ］、Ｍ2［Ｓ］、・・・、Ｍm［Ｓ］、公知
    の要素ｇによって発生したＺ／ｎＺの乗法群における一
    連のエルガマル暗号化として、または Ａ．Ｒ［Ｓ］、パラメータｎを有する公開ＲＳＡキーに
    よってラビンの変形（ｅ＝２）によるＲＳＡ暗号化、 Ｂ．Ｍ1［Ｓ］、Ｍ2［Ｓ］、・・・、Ｍm［Ｓ］、公知
    の要素ｇによって発生したＺ／ｎＺの乗法群における一
    連のエルガマル暗号化、 ＤＨ［Ｓ］、（周囲群Δの）部分群ΓからＳのべき乗ま
    での公知の要素で、下記でγn＝１が適用される、 として暗号化される交換に関係し、 ブロックＡ、Ｂに属する専用キー（ただし必ずしもすべ
    てが必要ではない）が会話パートナ、またはＴＲＰのい
    ずれかに知られており、（または分割あるいは共有技法
    が使用されている場合には知られるようになり、）第一
    の場合には、専用ＲＳＡキーは例えば受信当事者に、専
    用エルガマルキー（またはその部分）は多くのＴＲＰに
    知られるようになるが、第二の場合には、例えば専用ラ
    ビンキーはだれの自由にもならず、そしてＴＲＰのみが
    専用エルガマルキー（またはその部分）を自由に使える
    ようになることを特徴とするキー回復暗号のための方
    法。
  2. 【請求項２】 請求項１の記載の暗号化が、 Ａ．Ｒ＝Ｓe ｍｏｄ ｎ、 Ｂ．（Ａ1，Ｂ1）：＝（ｇk，Ｓ・（ｙ1）k）、（Ａ2，
    Ｂ2）：＝（ｇk，Ｓ・（ｙ2）k）、（Ａ3，Ｂ3）＝（ｇ
    k，Ｓ・（ｙ3）k）、・・・、（Ａm，Ｂm）＝（ｇk，Ｓ
    ・ｙm）k）、すべてモジュロｎ、ｙ1、ｙ2、・・・ｙm
    は対応するエルガマルキー、または Ａ．Ｒ＝Ｓ2 ｍｏｄ ｎ、 Ｂ．（Ａ1，Ｂ1）：＝（ｇk，Ｓ・（ｙ1）k）、（Ａ2，
    Ｂ2）：＝（ｇk，Ｓ・（ｙ2）k）、（Ａ3，Ｂ3）＝（ｇ
    k，Ｓ・（ｙ3）k）、・・・、（Ａm，Ｂm）＝（ｇk，Ｓ
    ・ｙm）k）、すべてモジュロｎ、 Ｃ．Ｈ1＝γs として書かれる場合、請求項１に記載の結合データが、
    第一の場合には、各ｉ＝１、２、・・・、ｍについて、
    式（（Ａi）e，（Ｂi）e）が公開キーｙiに関するＳの
    エルガマル暗号化に関係し、第二の場合には、式（（Ａ
    i）2，（Ｂi）2）が公開キーｙiに関するＳのエルガマ
    ル暗号化に関係し、かつＲ ｍｏｄｕｌｏｎがｌｏｇγ
    （Ｈ1）の平方であることを証明するのに役立つ方法。
  3. 【請求項３】 請求項１に記載の結合データが、請求項
    ２に記載のように、各ｉ＝１、２、・・・、ｍについ
    て、式（（Ａi）e，（Ｂi）e）が公開キーｙiに関する
    Ｓのエルガマル暗号化に関係することを証明することに
    成功する方法であって、各ｉ＝１、２、・・・、ｍにつ
    いて、底ｇ ｍｏｄｕｌｏ ｎに関する式（Ａi）eの対
    数が式（Ｂi）eの対数を底ｙiに関するＲ ｍｏｄｕｌ
    ｏ ｎで割ったものと同じであることを証明することか
    ら成り、請求項１に記載の結合データが、請求項２に記
    載のように、各ｉ＝１、２、・・・、ｍについて、式
    （（Ａi）2，（Ｂi）2）が公開キーｙiに関するＳのエ
    ルガマル暗号化に関係することを証明することに成功す
    る方法は、各ｉ＝１、２、・・・、ｍについて、底ｇｍ
    ｏｄｕｌｏ ｎに関する式（Ａi）2の対数が式（Ｂi）2
    の対数を底（ｙi）に関するＲ ｍｏｄｕｌｏ ｎで割
    ったものと同じであることを証明することから成る方
    法。
  4. 【請求項４】 請求項１に記載の結合データが、請求項
    ２に記載のように、Ｒ ｍｏｄｕｌｏ ｎはｌｏｇ
    γ（Ｈ1）の平方であることを下記のように証明するの
    に役立ち、すなわち送信する会話パートナはｎより小さ
    な任意数Ｔを発生させ、Ｔ２＝Ｔ2 ｍｏｄ ｎを計算
    し、結合データに加えられるａ1＝γT及びａ2＝γT2を
    計算し、 送信する会話パートナは公知の方法で、ａ1とａ2、及び
    おそらく結合データの一部として同時に送られる可能性
    のある他の情報の、ｗと呼ばれる一方向安全ハッシュを
    計算し、 送信する会話パートナはｚ＝ｗ・Ｓ＋Ｔ ｍｏｄ ｎを
    計算し、これを結合データに加え、 請求項１に記載のモニタはここで、結合データに基づい
    て下記のように、Ｒｍｏｄｕｌｏ ｎが請求項２に記載
    のようにｌｏｇγ（Ｈ1）の平方であることを検査する
    ことができ、 モニタは、ａ1とａ2、及び可能性のある他の情報からｗ
    と呼ばれる一方向安全ハッシュを計算し、Ｈ2＝γR、Ｗ
    ２＝ｗ2 ｍｏｄ ｎを計算し、 γz＝（Ｈ1）w・ａ1及び・（（Ｈ1）-w・ａ1）z＝
    （Ｈ2）w2・ａ2であるか検査し、そうである場合は、請
    求項２に記載のようにＲ ｍｏｄｕｌｏ ｎがｌｏｇγ
    （Ｈ1）の平方であることを受け入れ、そうでない場合
    は受け入れない、方法。
  5. 【請求項５】 とりわけ請求項１と２に記載のセッショ
    ンキーＳがｇによって生成される群において（任意に）
    選択される、すなわちＳがｇz ｍｏｄ ｎの形で、ｚ
    がｎより任意に小さい場合に、ＲＳＡ／ラビンの（比較
    的）安全な回復が構成され、この場合ＲＳＡ／ラビンの
    破壊が回復を伴っても回復なしでも困難である方法。
  6. 【請求項６】 請求項４に記載の方法から、Ｈ1（また
    はＨ2）及びａ1（またはａ2）の役割を反対に、ｚとし
    てＳ＋ｗ・Ｔを選択し、４ｄに検査ステップを適合させ
    ることによって等価物が構築できる方法。
  7. 【請求項７】 フィアット−シャミールヒューリスティ
    ックを適用することによって、請求項４および５に記載
    の方法で構築される結合データを著しく減少することが
    できる方法。
JP10156559A 1997-04-28 1998-04-28 ディフィーヘルマン、ｒｓａ及びラビンに関する非対称暗号化の公に検証可能な回復方法 Pending JPH1173104A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
NL1005919 1997-04-28
NL1005919A NL1005919C1 (nl) 1997-04-28 1997-04-28 Een methode voor Publiekelijk verifieerbare örecoveryö van Diffie-Hellman, RSA en Rabin gerelateerde asymmetrische versleuteling.

Publications (1)

Publication Number Publication Date
JPH1173104A true JPH1173104A (ja) 1999-03-16

Family

ID=19764869

Family Applications (1)

Application Number Title Priority Date Filing Date
JP10156559A Pending JPH1173104A (ja) 1997-04-28 1998-04-28 ディフィーヘルマン、ｒｓａ及びラビンに関する非対称暗号化の公に検証可能な回復方法

Country Status (4)

Country Link
EP (1) EP0876028A3 (ja)
JP (1) JPH1173104A (ja)
CA (1) CA2235848A1 (ja)
NL (1) NL1005919C1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011511510A (ja) * 2008-01-11 2011-04-07 ノーテル・ネットワークス・リミテッド 暗号化されたトラフィックの適法な傍受を可能にするための方法及び装置

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB0215524D0 (en) 2002-07-05 2002-08-14 Hewlett Packard Co Method and apparatus for generating a cryptographic key
US10355859B2 (en) * 2017-03-27 2019-07-16 Certicom Corp. Method and system for selecting a secure prime for finite field diffie-hellman

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011511510A (ja) * 2008-01-11 2011-04-07 ノーテル・ネットワークス・リミテッド 暗号化されたトラフィックの適法な傍受を可能にするための方法及び装置

Also Published As

Publication number Publication date
CA2235848A1 (en) 1998-10-28
EP0876028A2 (en) 1998-11-04
EP0876028A3 (en) 1999-12-22
NL1005919C1 (nl) 1998-10-29

Similar Documents

Publication Publication Date Title
US5796833A (en) Public key sterilization
US7359507B2 (en) Server-assisted regeneration of a strong secret from a weak secret
US5907618A (en) Method and apparatus for verifiably providing key recovery information in a cryptographic system
Li et al. Oblivious signature-based envelope
Tatebayashi et al. Key distribution protocol for digital mobile communication systems
US5313521A (en) Key distribution protocol for file transfer in the local area network
US5124117A (en) Cryptographic key distribution method and system
Carlsen Optimal privacy and authentication on a portable communications system
US6249585B1 (en) Publicly verifiable key recovery
Blake et al. Scalable, server-passive, user-anonymous timed release public key encryption from bilinear pairing
CN111953479A (zh) 数据处理的方法及装置
KR20010013155A (ko) 자동 복구가능하고 자동 증명가능한 암호체계들
Knudsen et al. On the difficulty of software key escrow
KR20060078768A (ko) 사용자 개인키의 분산 등록을 이용한 키 복구 시스템 및그 방법
KR20030047148A (ko) Ｒｓａ를 이용한 클라이언트/서버 기반의 메신저 보안 방법
JPH07175411A (ja) 暗号システム
JPH1173104A (ja) ディフィーヘルマン、ｒｓａ及びラビンに関する非対称暗号化の公に検証可能な回復方法
Boyd Enforcing traceability in software
Chang et al. An efficient session key generation protocol
Phan Cryptanalysis of e-mail protocols providing perfect forward secrecy
Sakuraii et al. A key escrow system with protecting user's privacy by blind decoding
Mambo et al. On the difficulty of key recovery systems
Zhu et al. Using chaotic maps to construct anonymous multi-receiver scheme based on BAN logic
JP3862397B2 (ja) 情報通信システム
Suriadi et al. Conditional privacy using re-encryption