JPS63176043A

JPS63176043A - 秘密情報通信方式

Info

Publication number: JPS63176043A
Application number: JP62007886A
Authority: JP
Inventors: Tetsuji Kobayashi; 小林　哲二
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1987-01-16
Filing date: 1987-01-16
Publication date: 1988-07-20
Anticipated expiration: 2010-12-18
Also published as: JPH07118709B2

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】「産業上の利用分野」本発明は、通信回線を介して通信を行う二つの通信装置
の間で、暗号を用いて秘密情報の通信を行う方式に係り
、特に、端末装置とセンタ間のように、処理能力差の大
きい通信装置間での通信に適用して好適な秘密情報通信
方式に関する。

なお、本明細書でいう通信装置とは、例えば、端末装置
、通信処理装置、通信制御装置、交換機、電子計算機な
ど、通信機能を有する装置のことであり、以後は、簡単
のためにノードと呼ぶこともある。

「従来の技術」ノードの間で秘密情報の通信を安全に行うためには、暗
号を用いる通信か有効である。秘密情報の内容は任意で
あり、例えば、秘密文書、ノード間で共有する暗号鍵、
パスワードなどである。

暗号法には、慣用暗号と公開鍵暗号があることが知られ
ている。以下、これらの暗号法について説明する。なお
、以下の説明においては、「暗号鍵」のことを、単に「
鍵」と呼ぶことがある。

（１）慣用暗号慣用暗号は、暗号化用の鍵と復号化用の鍵とが同一で、
それぞれの鍵か秘密にされている暗号法である。ここで
、慣用暗号装置（即ち、慣用暗号を用いる暗号装置）の
動作の一般的な記述方法を述べる。＠にの暗号法により
、任意のデータＸをｌ！Ｋを用いて暗号化した値をＥ（
Ｋ；Ｘ）、鍵にの暗号法により、任意のデータＹを鍵■
くを用いて復号化した値をＤ（Ｋ、Ｙ）とすると、Ｄ　（Ｋ　；Ｅ　（Ｋ　；ｘ　））−Ｘ・・・・・・（
１）である。すなわち、ｉ！Ｋによって暗号化されたデ
ータを、同一の鍵Ｋによって復号化することにより、元
のデータＸを得ることができる。

この種の慣用暗号の暗号アルゴリズムには、例えば、Ｄ
ＥＳ暗号（“Ｄ　ａｔａ　　Ｅ　ｎｃｒｙｐｔｉｏｎ　
　Ｓ　ｔａｎｄａｒｄ″、　Ｆ　ｅｄｅｒａｌ　　Ｉ　
ｎｆｏｒｍａｔｉｏｎ　　Ｐ　ｒｏｃｅｓｓｉｎｇＳｔ
ａｎｄａｒｄｓ　　Ｐｕｂｌｉｃａｔｉｏｎ　　４６．
Ｕ、Ｓ、Ａ、、（１９７７年））、及びＦＥＡＬ暗号（
清水ほか著：“高速データ暗号アルゴリズムＰＥＡＬ“
、電子通信学会技術報告、（情報理論）、Ｖｏｌ、８０
．Ｎｏ、ｌ１３、ＩＴ８６−３３、ｐｐ、　１６、（１
９８６年））、などの暗号アルゴリズムがある。

慣用暗号では、暗号化と復号化を迅速に行なうことがで
きるが、暗号鍵にの配送が困難である。

（２）公開鍵暗号公開鍵暗号とは、対をなす公開鍵と秘密鍵とが異なり、
公開鍵を公開し、秘密鍵のみを秘密にしておく暗号であ
る。ここで、公開鍵は暗号化用の鍵であり、秘密鍵は復
号化用の鍵である。

現在の代表的な公開鍵暗号として、ＲＳＡ暗号がある　
（たとえば、Ｒ１ｖｅｓｔ、　Ｒ、Ｅ　、ｅｔ　ａｌ、
“ＡＭｅｔｈｏｄ　ｆｏｒ　Ｏｂｔａｉｎｉｎｇ　Ｄ　
１ｇ１ｔａｌ　Ｓ　ｉｇｎａｔｕｒｅｓａｎｄ　Ｐ　ｕ
ｂｌｉｃ−Ｋ　ｅｙ　Ｃｒｙｐｔｏｓｙｓｔｅｍｓ”、
　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　ｏｆ　ｔｈｅ　Ａ　
ＣＭ、Ｖｏｌ、２１．Ｎｏ、２．ｐｐ、１２０−１２６
゜（１９７８年）参照）。以下、ＲＳＡ暗号について説
明する。

まず、記述方法について説明する。

Ａ、Ｂ、及びＬを任意の整数とするとき、Ｌを法とする
、Ｂの剰余がＡであることを、Ａ＝Ｂ　　（ｍｏｄ　　
Ｌ）・−・（２）と表す。このとき、０≦Ａ＜Ｌである
。また、Ａ１Ｂ１及びＬを任意の整数とするとき、整数
ＡとＢとが値りを法として合同であることを、Ａ　＝　
Ｂ　　（ｍｏｄ　　Ｌ　）・・−（３）と表す。さらに
、Ｎを任意の整数として、法をＮとする、ＡのＢ乗の剰
余Ａ”　　（ｍｏｄ　　Ｎ）を、Ｅ　Ｘ　Ｐ　（Ａ　、
Ｂ）　　（ｍｏｄ　　Ｎ）−・・（４）と表す。最後に
、ＲＳＡ暗号の整数のパラメータ、ずなわち、平文をＭ
１暗号文を０１公開鍵をｅ１秘密鍵をｄ１公開の法の値
をＮとすると、Ｃ＝ＥＸＰ（Ｍ、ｅ）（ｎｏｄ　　Ｎ）
−・・（５）Ｍ＝ＥＸＰ（Ｃ，ｄ）（ｍｏｄ　　Ｎ）−
−（６）となる。ここで、０≦Ｍ＜ＮＯ≦Ｃ＜’ＮＮ＝ｐ°ｑｃ　ｃ　Ｄ　（ｄ、（ｐ−１）・（ｑ−１））＝　１ｅ
−ｄ＝Ｉ　　（ｍｏｄ　　ＬＣＭ（ｐ−１，ｑＮ）・・
・・・・（７）であり、ｐとｑは異なる整数である。ＧＣＤ（）とＬＣ
Ｍ（）は、それぞれ、括弧内の二つの整数の、最大公約
数と最小公倍数を表す。

この公開鍵暗号によれば、送信側で（５）式により暗号
化して送り出したものを、受信側で受信して、（６）式
によって復号化することにより、元の平文Ｍを再現する
ことができる。

Ｒ９Ａ暗号の計算法およびＲ９Ａ暗号パラメー夕の生成
法は、例えば、前述のＲ１ｖｅｓｔ氏らの論文に述べら
れている。また、この計算に使用されるＲ９Ａ暗号装置
およびＲＳＡ暗号パラメータ生成装置は、ハードウェア
、又はハードウェアとソフトウェアの組み合わせにより
実現できる。なお、復号化処理は、法の値Ｎを構成する
素数を利用して計算することにより、処理速度の高速化
を図る方法が知られている（例えば、池野ばか著“現代
暗号理論”、電子通信学会（１９８６年）、のｐｐ、１
１７−１１９）。

Ｒ９Ａ暗号では、暗号化と復号化の計算量が多く、処理
速度が遅い欠点がある。すなわち、ＲＳＡ暗号では、公
開情報のうちの一つのパラメータである法の値Ｎを素因
数分解することにより暗号を解読できるため、法の値Ｎ
は、二つの大きな素数（例えば、１０進数では約１００
桁の素数）の積にする必要がある。このため、法の値Ｎ
は、大きな整数（例えば、ｌＯ進数で約２００桁の整数
）となり、暗号化および復号化のための処理時間が大き
くなる。他の公開鍵暗号であるＲａｂｉｎ暗号（例えば
、Ｒａｂｉｎ、　Ｍ　、　Ｏ、”Ｄ　１ｇ１ｔａｌｉｚ
ｅｄ　Ｓ　ｉｇｎａｔｕｒｅｓａｎｄ　　Ｐ　ｕｂｌｉ
ｃ−Ｋｅｙ　　Ｆ　ｕｎｃｔｉｏｎｓ　　ａｓ　　Ｉ　
ｎｔａｒａｃｔａｂｌｅａｓ　　Ｆ　ａｃｔｏｒｉｚａ
ｔｉｏｎ“、　　Ｍ　Ｉ　Ｔ／Ｌ　ＣＳ　／Ｔ　Ｒ−２
１２（１９７９年））も同様である。

但し、ＲＳＡ暗号もＲａｂｉｎ暗号も、パラメータを適
当に選択すれば、暗号化の処理時間は復号化の処理時間
よりも小さくすることが可能である。

このような暗号法により、秘密情報の通信を行う場合、
秘密情報の受信側のノードでは、秘密情報の正当性（即
ち、秘密情報の送信側の）〜ドの正当性および秘密情報
に改ざんのないこと）を認証することが必要である。秘
密情報の正当性を認証する方式としては、公開鍵暗号の
ディジタル署名による方式が知られている。

秘密情報通信に必要な認証機能として、公開鍵暗号のデ
ィジタル署名を用いる場合は、例えば、以下のようにな
る。通信者Ａの公開鍵をＰＫａ、秘密鍵をＳＫａとし、
通信者Ｂの公開鍵をＰＫｂ。

秘密鍵をＳＫｂとする。通信者Ａから通信者Ｂへの秘密
情報Ｓの送信では、通信者Ａは、通信者Ａの秘密１！　
Ｓ　Ｋ　ａで、秘密情報Ｓを通信者Ａの公開の識別子と
共に復号化したデータを、更に、通信者Ｂの公開鍵ＰＫ
ｂで暗号化して、通信文として通信者Ｂに送信する。通
信者Ｂは、受信した通信文を、通信者Ｂの秘密鍵ＳＫｂ
で復号化したデータを、更に、通信者Ａの公開鍵ＰＫａ
で暗号化して、秘密情報Ｓを得る。秘密情報Ｓの正当性
は、秘密情報Ｓと共に得られた公開の識別子が通信者Ｂ
が事前に得ている通信者Ａの識別子と等しいことにより
確認する。

「発明が解決しようとする問題点」ところで、上述した従来の暗号処理技術には、次のよう
な問題があった。

すなわち、公開鍵暗号のディジタル署名を用いた秘密情
報通信では、秘密情報を得るまでに、各ノードでそれぞ
れ暗号化および復号化の計算か必要なので、計算量が増
大し、処理速度が遅くなる欠点がある。

本発明は、このような背景の下になされたもので、その
目的は、次のようなものである。

■複数のノードにおける秘密情報の通信において、公σ
ａ鍵暗号を用いる場合に、公開鍵としては、処理量の少
ないパラメータを用いることにより、一方の通信装置の
公開鍵暗号装置での暗号化処理の計算量を少なくする。

これにより、例えば、二つの通信装置が、通信回線によ
り相互接続されているセンタ（すなわち、電子計算機）
と端末装置である場合にも、比較的容易に適用できる秘
密情報の通信方式を提供する。

■秘密情報通信時の秘密情報の正当性の認証は、認証用
秘密データと一方向性関数演算装置とを用いて行うこと
により、認証用秘密データと秘密情報の通信を一挙に行
うことを可能とする。

「問題点を解決するための手段」上記問題点を解決するために、この発明は、それぞれが
公開鍵暗号装置と一方向性関数演算装置とを有する、第
１および第２の通信装置間で、秘密情報の通信を行う秘
密情報通信方式において、以下の［１］〜［４］の各過
程を有することを特徴とする。

■第１の通信装置において、第２の通信装置か該第１の
通信装置の正当性を認証するための認証用秘密データを
生成し、この認証用秘密データから一方向性関数演算装
置により認証用公開データを計算して公開する第１の過
程、 ■第２の通信装置において、第１の通信装置から送られ
てきた前記認証用公開データを保持する第２の過程、 ■第１の通信装置が、秘密情報および認証用秘密データ
を公開鍵暗号装置で暗号化して、その暗号文を第２の通
信装置に送信する第３の過程、■第２の通信装置が、受
信した暗号文を公開鍵暗号装置により復号化して、秘密
情報および認証用秘密データを得、その認証用秘密デー
タを一方向性関数演算装置に人力して得られる出力デー
タを、既に保持している第１の通信装置の認証用公開デ
ータと比較して、一致するときには、第１の通信装置か
ら送信された秘密情報であることを認証して秘密情報を
得る第４の過程。

１作用」上記手段によれば、送信側では、一方向性関数演算装置
に認証用秘密データを入力することにより、認証用公開
データを作成し、これを公開する。

また、公開鍵により、認証用秘密データを秘密情報と一
緒に暗号化し、暗号化したデータを送信側に送る。

一方、受信側では、送られてきたデータを、秘密鍵によ
って復号化し、秘密情報と認証用秘密データとを得る。

また、得られた認証用秘密データを一方向性関数演算装
置に入力して認証用公開データを作成し、これを事前に
保持している認証用公開データと照合する。そして、こ
れら２つの認証用公開データが一致したら、得られた秘
密情報の正当性を認証する。

すなわち、この発明による、ディジタル署名を用いた秘
密情報通信においては、送信側では、一方向性関数演算
装置による認証用公開データの算出と、公開鍵による暗
号化、受信側では、秘密鍵による復号化と、一方向性関
数演算装置による認証用公開データの算出とを実行する
ことにより、秘密情報の正当性を認証することができる
。

つまり、送信側では、公開鍵による暗号化だけでよく、
従来のように、自分の秘密鍵による復号化と相手側の公
開鍵による暗号化とを行う必要はない。よって、公開鍵
として、暗号化の計算機が小さくなる値（例えば、小さ
な値の公開ｍ＞を使用すれば、送信側の計算負担を小さ
くすることができる。したがって、端末装置のように処
理能力の小さい装置から、センタのように処理能力の大
きい装置に秘密情報を送るのに好適である。

なお、一方向性関数とは、パラメータθから関数値ｒ（
θ）を計算するのは容易であるが、逆に、関数値ｆ（θ
）からパラメータθを計算するのは、計算量が大である
ためきわめて困難な関数のことである。

この発明による秘密情報通信方式は、例えば、二つのノ
ードの間の通信、及び一つのノードと二つ以上のノード
の間の通信に適用できる。また、本発明の適用に際して
利用する通信網の物理的構成（例えば、専用線、交換回
線、構内網など）、通信網インタフェース、及び通信プ
ロトコルは、任意に選択できる。

「実施例」以下、図面を参照して、この発明の一実施例を説明する
。以下、この実施例で対象とする通信システム（すなわ
ち、ノード、及びノードを相互接続する通信網）におけ
るノードの識別名は、ノードｉとノードｊとする。また
、実施例として、公開鍵暗号にＲＳＡ暗号を用いる場合
を述べる。この場合の公開鍵暗号装置は、ＲＳＡ暗号装
置である。

なお、本実施例での整数は、負でない整数を意味する。

第１図は、ノードｉまたはノードｊとして使用される通
信装置Ｉの構成を示すブロック図である。

図において、１０はＲＳＡ暗号装置、２０は一方向性関
数演算装置であり、これらについては、後述する。また
、３０はＲＳＡ暗号パラメータ生成装置である。このＲ
ＳＡ暗号パラメータ生成装置３０は、素数を発生し、そ
の値と、上述したＲ９Ａ暗号アルゴリズムとにしたがっ
て、法の値Ｎ１公開鍵ＰＫ１および秘密鍵ＳＫを生成す
るものである。

上記構成要素ｔｏ、２０．３０は、信号路４１を介して
処理装置５１に接続されている。処理装置５１は、記憶
装置５２に格納されたプログラムにしたがって、種々の
計算と制御とを実行する。また、回線制御装置５３、通
信回線６１を介して外部の通信装置と通信を行う。なお
、処理装置５Ｉと記憶装置５２との間は信号路４２で、
処理装置５１と回線制御装置５３との間は信号路４３で
、それぞれ接続されている。

次に、第２図を参照して、ＲＳＡ暗号装置ＩＯの構成を
説明する。

ＲＳＡ暗号装置ＩＯは、（ａ）暗号化の場合は、上述した（５）式に示すように
、入力データＭについて、公Ｍｖ！１ＰＫ（（５）式の
ｅに相当）の値を指数とするべき乗の、法の値Ｎによる
剰余を演算して演算結果Ｃを出力し、（ｂ）復号化の場
合は、上述した（６）式に示すように、上記データＣに
ついて、秘密鍵５Ｋ（（６）式のｄに相当）を用いて復
号化し、データＭを出力するものである。

第２図において、信号路１２は、ＲＳＡ暗号装置１０へ
入ツノデータＭ（またはＣ）を入力するための信号路で
あり、任意の整数のデータＭ（またはＣ）を入力する。

信号路１３は鍵の入力のための信号路であり、暗号鍵（
公開鍵ＰＫまたは秘密鍵ＳＫ）を入力する。信号路１４
は法の値Ｎの人力のための信号路であり、法の値Ｎを入
力する。信号路１５は、Ｒ８Ａ暗号装置１０の処理結果
である出力データＣ（またはＭ）を出力するための信号
路である。

次に、第３図を参照して、上記一方向性関数演算装置２
０について説明する。一方向性関数を、ｆ（・）と表す
。一方向性関数とは、パラメータθからｒ（θ）を計算
するのは容易であるが、ｆ（θ）からθを計算するのは
、計算量が大であるために極めて困難な関数のことであ
る。一方向性関数演算装置は、ハードウェア、又はハー
ドウェアとソフトウェアの組み合わせにより、実現でき
る。

適当に選択した慣用暗号（例えば、ＤＢＳ暗号、ＰＥＡ
Ｌ暗号など）について、鍵をＫとすると、鍵Ｋによるデ
ータθの暗号化は、前述したように、Ｅ　（Ｋ　；θ）
と表されるから（（１）式参照）、一方向性関数ｆ（θ
）を、次のように設定することができる。

ｆ（θ）−Ｅ　（Ｋ　：θ）ｅθ・・・・・・（８）こ
こで、ｆ（θ）は認証用公開データには暗号鍵 θは認証用秘密データまた、記号のは、排他的論理和を表す。例えば、ＸΦＹ
は、ＸとＹの排他的論理和を表す。なお、公開情報は、
暗号化関数の暗号アルゴリズムと、￥ｉｌＫと、認証用
公開データｆ（θ）とである。

第３図は、上記演算を実行する一方向性関数演算装置２
０の構成例である。一方向性関数演算装置２０は、人力
データθを２方向に分流する分流装置２１と、暗号鍵Ｋ
により入力データθを暗号化する慣用暗号装置２２と、
慣用暗号装置２２から出力されたデータＥ（θ、Ｋ）と
人力データθとの排他的論理和をとる排他的論理和演算
装置２３と、信号路２４．２５．２６．２７．２８．２
９とから構成される。

信号路２９からは、慣用暗号装置２２への暗号鍵（ここ
では、暗号化用の鍵）Ｋを入力する。慣用暗号装置２２
は、常に暗号化の処理を行う。入力データθは、信号路
２４から入力する。人力データθは、分流装置２１によ
り、信号路２５と信号路２６とに出力され、信号路２７
には、入力データ０が暗号化されたデータＥ　（Ｋ　、
θ）が出力される。信号路２６と信号路２７のデータは
、排他的論理和演算装置２３により、排他的論理和の演
算が行われ、信号路２８に認証用公開データ「（θ）と
して出力される。

以上が通信装置１の構成である。なお、送信側のノード
ｉは、通信装置１からＲＳＡ暗号パラメータ生成装置３
０を除いた構成であり、受信側のノードｊは通信装置１
と同一の構成である。また、一方向性関数演算装置２０
の論理的な仕様、すなイつち、入力データと出力データ
の関係を定めるためのすべての要素（暗号アルゴリズム
、内部構造、及び鍵の値など））は、ノードｉとノード
ｊで共通であり、かつノードｉおよびノードｊでは公開
してよい。

次に、この実施例の動作を説明する。

（１）手順ｌ開始前の動作受信側のノードｊでは、後述する手順Ｉの開始前に、次
の処理を実行する。

■ＲＳＡ暗号パラメータ生成装置３０により、公開鍵Ｐ
Ｋｊおよび秘密鍵ＳＫｊを生成し、面記公開鍵ＰＫｊを
公開し、秘密鍵ＳＫｊを秘密に保持する。

■ノードｊの識別子ＮＩＤｊを公開する。

■ＲＳＡ暗号装置ＩＯで使用する法の値Ｎを、記憶装置
５２に保持する。法の値Ｎは、各ノードの公開情報であ
り、一度設定すれば、任意の回数の秘密情報の通信手順
に共通に使用できる。

■ノードｉの正当性を認証するための認証用公開データ
Ｉ’（Ｑ　ｉＤを、ノードｉから得て記憶装置５２に保
持する。

一方、送信側のノードｉは、次の処理を実行する。

■ノードｊから、公開鍵ＰＫｊを得て記憶装置５２に保
持する。

■ノードｊの識別子ＮＩＤｊの値をノードｊから得て記
憶装置５２に保持する。

■ＲＳＡ暗号装置１０で使用する法の値Ｎを、記憶装置
５２に保持する。

■ノードｊに対する認証用秘密データＱｉＪを設定する
。

■ノードｉで生成または取得した秘密情報Ｓの値を、記
憶装置５２に秘密に保存する。

（２）秘密情報通信上記の準備が整った後、以下の手順１で秘密情報の通信
を行う。手順１は、ノードｉの秘密情報Ｓをノードｊに
送信する、秘密情報の通信手順の例である。通信手順は
、一つのノードが先に開始し、他のノードは、先に通信
手順を開始したノードからの電文（即ち、通信回線によ
り通信される情報の単位）の受信により、通信手順を開
始する。

手順ｌにおいて、一つのステップは、一つのノードに閉
じた動作を記述しているので、各ノードにおける装置の
番号は区別しない。各ステップは数字の順に実行する。

なお、以下の説明中、記号■は、連結（二つの値をその
ままの値で結合すること）を表す。

（手順ｌ）ステップ　１：　ノードｉは、ノードｊのＲＳＡ暗号装
置１０の暗号化用の公開鍵ＰＫｊを用いて、自系のＲ９
Ａ暗号装置１０により、Ａ　Ｉ　＝ＥＸＰ（Ｓ＠Ｑｉｊ、ＰＫｊ）　　（ｍａｄ
　　Ｎ）・・・・・・（９）を計算する。つまり、秘密情報Ｓと認証用秘密データＱ
ｉｊとを連結°したデータを暗号化し、暗号文ＡＩを作
成する。そして、暗号文Ａ１を含む電文Ｃを、ノードｊ
に送信する。

ステップ　２：　ノードｊは、電文Ｃを受信すると、Ｒ
ＳＡ暗号装置１０により、Ａ２＝ＥＸＰ（ＡＩ、ＳＫｊ）（ｍｏｄ　　Ｎ）−９＠
Ｑｉｊ　　　　・・・・・・（１０）を計算し、秘密情
報Ｓと認証用秘密データＱｉｊとを再現する。、さらに
、この認証用秘密データＱｉｊを、一方向性関数演算装
置２０に人力し、Ａ　３　＝　ｒ（Ｑ　ｉｊ）　　　−
（１１）を計算する。そして、このデータＡ３が、手順
ｌの開始以前にノードｉから得て、ノードｊで所有して
いる認証用公開データｆ（ＱｉＤと等しいことを確認す
ることにより、秘密情報Ｓの値の正当性を認証する。正
当性か認証できたときには、秘密情報Ｓの値を記憶装置
５２に秘密に保存する。また、（１０）式で得られた認
証用秘密データＱｉｊは、認証の後に消去する。

次に、ノードｊは、ＲＳＡ暗号装置１０により、Ａ４＝
ＥＸＰ（ＮＩＤｊ＠ＴＩＭＥｊ、ＳＫｊ）（ｍｏｄ　　
Ｎ）　　　　　　　−−（１２）を計算し、データＡ４
を含む電文Ｃａをノードｉに送信する。ここで、ＮＩＤ
ｊはノードｊの識別子、ＴＩＭＥｊは電文Ｃａの送信時
刻を近似するデータである。

ステップ　３二　ノードｉは、電文Ｃａを受信すると、Ａ５＝ＥＸＰ（Ａ４．ＰＫｊ）　　（ｍｏｄ　　Ｎ）＝
ＮＩＤｊ■ＴＩＭＥｊ　　・・・・・・（１３）を計算
する。次に、ノードｉは、この時刻データＴＩＭＥｊの
値の妥当性を、ノードｊからノードｉまでの通信時間を
考慮して検査し、且つ、既にノードｉの公開データとし
て得ている識別子Ｎ■Ｄｊと上記データＡ５から得た識
別子ＮＩＤｊの値が等しいことにより、秘密情報Ｓの値
がノードｊで正常に受信されたことを確認する。

（手順ｌ終り）この手順１によれば、送信側ノードｉの計算は、（９）
式と（Ｉ３）式に示すように、公開鍵ＰＫｊによる暗号
化の計算だけで済む。したがって、公開鍵ＰＫｊとして
、暗号化の計算量が小さくなる値を用いれば、送信側ノ
ードｉの計算能力は小さくて済むこととなる。

なお、本発明は、上記実施例に限定されるものではなく
、次のような変形が考えられる。

■上の実施例では、公開鍵暗号がＲＳＡ暗号の場合を述
べたが、Ｒａｂｉｎ暗号のような他の公開鍵暗号で乙、
同様に実施できる。

■上記実施例では、一方向性関数として、（８）式で与
えられるものを使用したが、これに限定されるものでは
ない。例えば、次の形の一方向性関数を使用してもよい
。

ｆ（θ）−ＥＸＰ（θ、ａ＞　　（ｍｏｄ　　Ｇ）・−
・（１４）ただし、ｆ（θ）は認証用公開データ、θは
認証用秘密データで、θとαは整数である。また、Ｇは
大きな素数（例えば、【００桁以上のｌＯ進数）で、０
≦θくＧを満足するものである。なお、αとＧは公開情
報である。

■上記実施例の慣用暗号装置２２は、ＤＥＳ暗号、ＦＥ
ＡＬ暗号のような慣用暗号の暗号アルゴリズムとは独立
に構成できるので、慣用暗号装置には、適度に安全な任
意の慣用暗号の暗号アルゴリズムを使用できる。ここで
、慣用暗号の暗号アルゴリズムに必要な安全性の度合は
、対象とする通信システムに依存する。

■秘密情報の通信手順において、（９）式の秘密情報Ｓ
や認証用秘密データＱｉｊに加えて、付加情報を連結す
ることにより、必要に応じて任意の付加情報を秘密情報
と共に転送できる。

■通信装置ｌの内部の物理的構成は任意であり、通信装
置ｌ内部の各個別の二つ以上の装置を統合することも可
能である。

■ある一つのノードがデータを記憶装置に秘密に保存す
る場合の、「秘密」の確保手段（例えば、暗号化）は任
意であり、そのノード外への情報の漏洩が防止できれば
よい。

「発明の効果」以上説明したように、本発明の秘密情報通信方式によれ
ば、秘密情報の受信側のノードでは、一方向性関数演算
装置により認証用秘密データから計算した認証用公開デ
ータが、公開情報から得た認証用公開データと一致する
か否かにより、秘密情報の正当性、すなわち、秘密情報
の送信側のノードの正当性、および秘密情報に改ざんの
ないことを、確認できる。

また、公開鍵暗号としてＲ９Ａ暗号を用いる場合、Ｒ９
Ａ暗号のパラメータ生成、およびＲ９Ａ暗号の秘密鍵の
保持は、一方の通信装置のみか行えばよく、他方の通信
装置は、公開鍵による暗号化を行うだけで済むので、公
開鍵として、暗号化の計算量が小さくなる値、例えば小
さな値（３以上の１０進数）を使用すれば、該他方の通
信装置の計算量を大幅に減らずことができる。したかっ
て、センタと端末の秘密通信の場合におけるように、一
方の通信装置（センタ）の処理能力が大きく、他方の通
信装置（端末）の処理能力が小さい場合の通信システム
における秘密情報の通信への適用に、性能的に有効であ
る。

ＲＳＡ暗号以外の公開鍵暗号（例えば、Ｒａｂｉｎ暗号
）を用いる場合ら同様である。

【図面の簡単な説明】

第１図は、この発明の一実施例による通信装置（ノード
）の−構成例を示すブロック図、第２図は、同実施例の
Ｒ９Ａ暗号装置の一構成例を示すブロック図、第３図は
、同実施例の一方向性関数演算装置の一構成例を示すブ
ロック図である。 ■・・・・・・通信装置、１０・・・・・・Ｒ９Ａ暗号装置、 ■２〜１５．２４〜２９．４１〜４３・・・・・・信号
路、２０・・・・・・一方向性関数演算装置、２１・・
・・・・分流装置、２２・・・・・・慣用暗号装置、２３・・・・・・排他的論理和演算装置、３０・・・・
・・ＲＳＡ暗号パラメータ生成装置、５１・・・・・・
処理装置、５２・・・・・・記憶装置、５３・・・・・・回線制御装置、６１・・・・・通信回線。 θ、Ｑｉｊ・・・・・・認証用秘密データ、ｆ（θ）、
ｆ（ＱｉＤ・・・・・・認証用公開データ。

Claims

【特許請求の範囲】

（１）それぞれが公開鍵暗号装置と一方向性関数演算装
置とを有する、第１および第２の通信装置間で、秘密情
報の通信を行う秘密情報通信方式において、以下の［１
］〜［４］の各過程を有することを特徴とする秘密情報
通信方式。［１］第１の通信装置において、第２の通信装置が該第
１の通信装置の正当性を認証するための認証用秘密デー
タを生成し、この認証用秘密データから一方向性関数演
算装置により認証用公開データを計算して公開する第１
の過程、［２］第２の通信装置において、第１の通信装置から送
られてきた前記認証用公開データを保持する第２の過程
、［３］第１の通信装置が、秘密情報および認証用秘密デ
ータを公開鍵暗号装置で暗号化して、その暗号文を第２
の通信装置に送信する第３の過程、［４］第２の通信装
置が、受信した暗号文を公開鍵暗号装置により復号化し
て、秘密情報および認証用秘密データを得、その認証用
秘密データを一方向性関数演算装置に入力して得られる
出力データを、既に保持している第１の通信装置の認証
用公開データと比較して、一致するときには、第１の通
信装置から送信された秘密情報であることを認証して秘
密情報を得る第４の過程。
（２）公開鍵暗号として、ＲＳＡ暗号を用いることを特
徴とする特許請求の範囲第１項記載の秘密情報通信方式
。