JPS63217739A

JPS63217739A - 秘密鍵作成方式

Info

Publication number: JPS63217739A
Application number: JP62049971A
Authority: JP
Inventors: Kazuo Ota; 和夫太田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1987-03-06
Filing date: 1987-03-06
Publication date: 1988-09-09

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】〔産業上の利用分野〕本発明は、局と局の間で行われる暗号通信において、通
信文を暗号化するのに用いる暗号鍵、或いは暗号文を元
に戻すのに用いる復号鍵（ここで暗号鍵と復号鍵は同し
ものと考える）としての秘密鍵の作成方式に関するもの
である。

〔従来の技術〕

一般に慣用暗号は、暗号鍵と復号鍵が同じなので、秘密
通信で使用する秘密の暗号鍵を通信に先だって配送する
必要がある。配送方法として、暗号鍵を別の暗号鍵（以
降、鍵暗号化鍵と呼ぶ）で更に暗号化して配送する方法
がある（例えば、Ｌｅｎｎｏｎ、　　Ｒ，Ｅ、　　Ｃｒ
ｙｐｔｏｇｒａｐｈｙ　　Ａｒｃｈｉｔｅｃｔｕｒｅｆ
ｏｒ　　Ｉｎｆｏｒｍａｔｉｏｎ　　５ｅｃｕｒｉｔｙ
　、Ｉ８ＭＳｙｓｔ、Ｊ、、１７，２．　ｐｐ、１３８
−１５１（１９８３）。

及び日本電信電話公社：“ＤＣＮＡネットワーク管理プ
ロトコル”１日本データ通信協会（１９８■）、及び−
検体：“データ保護と暗号化の研究”。

日本経済新聞（１９８０）参照）。

この方式では、暗号鍵の配送に先立って、鍵暗号化鍵を
共有するために、次の事前処理が必要となる。

具体的には、暗号鍵の暗号化に慣用鍵暗号を用いる場合
、事前処理として通信局間で同一の鍵暗号化鍵を共有す
ることが必要となり、鍵暗号化鍵の配送についても暗号
鍵の配送と同じ問題が生じる。一方、暗号鍵または鍵暗
号化鍵（以降では、この２種類の鍵を特に区別する必要
がないときには、単に秘密鍵と呼ぶ）を公開鍵暗号を用
いて配送する場合、事前処理として、それぞれの局が生
成した公開鍵を公開ファイルを用いて公開することが必
要となる。このとき、公開ファイルの内容が改ざんされ
たり、不正者が公開鍵を登録できると、不正者によるな
りすましが可能となり、システムの安全性が低下する。

従って、公開ファイルに登録を希望する局を認証する処
理と、公開ファイルの内容を改ざんされずに配送する処
理が正しく実行されることが重要である。また、事前処
理が正常に行われた場合でも、それぞれの局では、相手
局毎に秘密鍵または公開鍵を記憶する必要が生じる。

〔発明が解決しようとする問題点〕

大規模なネットワーク内の任意の局間で通信を行う場合
、事前処理の手間と秘密鍵または公開鍵の記憶のための
メモリ量の増加が問題となる。

これらの問題を解決するために、鍵配送センタを設けて
鍵配送を集中的に管理して実行する方法がある。通信を
行う２つの局には、鍵配送センタを介して暗号鍵を配送
する。それぞれの局は鍵配送センタとの間の通信で使用
する鍵暗号化鍵だけを事前処理で入手すればよいので、
上記の問題を解決きる。しかし、鍵配送センタタの負荷
が大きいこと、鍵配送センタがダウンした場合ネットワ
ーク全体にその影響が及ぶこと等、新たな問題が生じる
。

本発明では、公開情報としての識別子ＩＤやアドレス等
の通常の通信で使用する情報を利用して、各局の秘密鍵
生成装置を用いて、局のペア（一対の通信相手局）毎に
固有の秘密鍵を共有できるようにするための秘密鍵作成
方式を提供することを目的とする。

ここで用いる公開情報は通常の通信で使用する情報なの
で、公開情報を交換する手間は問題とならない。また、
各局は秘密情報だけを保持すれば、ネットワーク内の任
意の局と通信できるので、ネットワークの規模が拡大し
ても鍵共有のためのメモリ量の増加は生じない。これに
よって、大規模ネットワークでの秘密鍵の共有のための
事前処理の手間とメモリ量増加の問題を解決する。

〔問題点を解決するための手段〕

上記目的達成のため、本発明では、成る局ｉに固有であ
って公開の情報（局公開固有情９１）　Ｉ　Ｄ、を入力
されて当該局ｉに関する秘密情報Ｓｉと当該局ｉを含む
複数局に共通であって公開可の情報（公開共通情報）Ｎ
とを生成する秘密情報生成装置と、相手局ｊに固有であ
って公開の情報（相手局公開固有情報）ＩＤｊと、前記
秘密情報生成装置により生成された前記秘密情報Ｓｉお
よび公開共通情報Ｎと、を入力されて前記局ｉと相手局
ｊとの間の秘密通信に必要な暗号鍵または復号鍵として
の秘密鍵ＷＫｉｊを生成する秘密鍵生成装置と、を設け
た。

〔作用〕

前記秘密情報生成装置は、入力情報としての前記局公開
固有情報ＩＤ、を用い次の式１式％）を満足する前記秘密情報Ｓｉおよび公開共通情報Ｎを作
成し出力するし、前記秘密鍵生成装置は、入力情報とし
ての前記相手局公開固有情報ＩＤｊ、秘密情報Ｓｉおよ
び公開共通情報Ｎを用い次の式１式％）を満足する演算を行って前記秘密鍵ＷＫｉｊを作成する
。

但し、αは、成る素数ｐのガロア体ＧＦ（ｐ）と他の素
数ｑのガロア体ＣＦ（Ｑ）の原始元であり、Ｎは素数ｐ
とｑの積であり、ｐ（！：ｑは、（ｐ−１）と（ｑ−１
）の最大公約数が２となるようなぞれぞれ素数であり、
（ｍｏｄ　Ｎ）は、Ｎを法とする演算（モジュロＮの演
算）を行うことを表す。

なお実際的に説明すると、本発明では、鍵管理局ＫＭを
設ける。該管理局ＫＭは、秘密情報生成装置Ｇを用いて
、局ｉの公開情報ＩＤ、に対応した秘密情報Ｓ８を生成
し、安全な通信路を介して秘密情報Ｓｉを局ｉに秘密に
配送する。

局ｉは、局ｊと通信する時、秘密鍵生成装置Ｘに局ｊの
公開情報ＩＤｊと自らの秘密情報Ｓ□を入力して、局ｊ
との間で用いる秘密鍵ＷＫ、ｊを生成する。一方、局ｊ
も、秘密鍵生成装置Ｘに局ｉの公開情報ＩＤ、と自らの
秘密情報Ｓｉを入力して秘密鍵ＷＫｉｊを生成する。

秘密情報生成装置Ｇと秘密鍵生成装置ＸをＷＫ、Ｊ＝Ｗ
ＫＪ。

が成り立つように構成して、局ｉと局ｊが復号鍵または
暗号鍵としての秘密鍵を秘密に共有できるようにする。

〔実施例〕

次に図を参照して本発明の詳細な説明する。

第１図は本発明の一実施例を原理的、概念的に示した構
成図である。同図において、１００は鍵管理局ＫＭ、１
１０は該管理局ＫＭにより保有される秘密情報生成装置
、３００は局ｉ、３１０は核部ｉにより保有される秘密
鍵生成装置Ｘ、４００は局ｊ、４１０は核部ｊにより保
有される秘密鍵生成装置Ｘ、２００は鍵管理局ＫＭと局
ｉ、ｊ間の通信路、５００は局ｉと局ｊの間の通信路、
である。

鍵管理局に’Ｍ（１００）は、その保有する秘密情報生
成装置Ｇ　（１１０）を用いて、各局に固有の公開情報
ＩＤから各局の秘密情報Ｓと、当該局を含むそれら複数
の局（例えばネックワークを構成する複数の局）に共通
であって公開可の情報（公開共通情報）Ｎを生成する。

そして安全な（秘密情報Ｓの秘密が洩れる恐れのない）
通信路（２００）を介して各局に、それぞれの秘密情報
Ｓと公開共通情ｆＩ！Ｎを配送する。例えば局ｉなら局
ｉが、ネックワークに加入するとき、ＩＣカード等に格
納して渡すようにしてもよい。

すると局ｉでは、その秘密情報ｓ１と公開共通情報Ｎを
秘密鍵生成装置Ｘ（３１０）に入力すると共に、通信相
手として局ｊを想定しているときは、その局ｊに固有の
公開情報ＩＤＪをも秘密鍵生成装置Ｘ（３１０）に入力
して、局ｉがら局ｊに向けて秘密通信（暗号通信）を行
うのに必要な秘密鍵ＷＫｉｊを生成する。

他方、局ｊでも、その秘密情ｉｓ、と公開共通情報Ｎを
秘密鍵生成装置Ｘ（４１０）に入力すると共に、通信相
手として局ｉを想定してその局ｉに固有の公開情報ＩＤ
、をも秘密鍵生成装置Ｘ（４１Ｏ）に入力して、局ｊが
ら局ｉに向けて秘密通信（暗号通信）を行うのに必要な
秘密鍵ｗＫＪ、を生成する。ここで、前記秘密鍵ＷＫ、
Ｊと秘密鍵ＷＫハが同じ鍵となるように前記秘密情報生
成装置Ｇと秘密鍵生成装置Ｘは構成されているので、局
ｉと局ｊは同じ秘密鍵を共有することとなり、両局は秘
密通信（暗号通信）を行うことができる。

第２図は、第１図における秘密情報生成装置Ｇ（１１０
）の詳細を示すブロック図である。同図において、１１
１は素数発生器、１１２はＧＣＤ計算器、１１３は乗算
器、１１４は乱数発生器、１１５は原始元利定器、１１
６と１１７はそれぞれ離散型対数計算器、１１８は減算
器、１１９は連立方程式解決器、である。

以下、秘密情報生成装置Ｇ　（１１０）において、局ｉ
に固有の公開情報ＩＤ、を用いて局ｉの秘密情報Ｓ直と
公開共通情報Ｎを生成する場合についての回路動作を説
明する。

ステップ１：　素数発生器（１１１）を用いて、相異な
る大きな素数ｐとｑを生成する。

ステップ２：　ＧＣＤ計算器（１１２）を用いて、（ｐ
−１）と（ｑ−１）の最大公約数ｇを求める。

ステップｌ　　ｇが２ならば、乗算器（１１３）を用い
て、素数ｐとｑの積Ｎを求める。ｇが２でないなら、ステラプ１に戻る。

ステップ４：　乱数発生器（１１４）と原始光判定器（
１１５）を用いて、ガロア体ＣＦ（ｐ）とガロア体ＧＦ（ｑ）の原始光である整数αを生成する。

ここで、ガロア体ＧＦ（ｐ）は、加法・乗法を施した結
果がｐ以上になれば、ｐで割った余りをとる演算を考え
た集合である。ガロア体ｃＦ（ｐ）上での原始光の判定
法は、例えば高橋磐部：“組合せ理論とその応用”、岩
波全書３ｔ６．ｐｐ、６゜−６１（１９７９）、に示さ
れている。

以降では、素数ｐ、ｑと整数（公開可の共通情報）Ｎと
素数αを固定して用いる。

ところで α”　＝　Ｉ　Ｄｔ　　（ｍｏｄ　ｐ）をみたすａをａ　＝　Ｌｏｇ、、　Ｉ　Ｄｔ　　（ｏｖｅｒ　　Ｇ　
Ｆ　（ｐ））と書いて、αを底とするＩＤ、に対するｃ
Ｆ（ｐ）上の離散型対数と呼ぶ。

ＧＦ（ｐ）上でのＬｏｇの計算方法は、例えばＣｏｐｐ
ｅｒｓｍｉｔｈ、　Ｄ　　ｅｔａｌ＋　　”Ｄｉｓｃｒ
ｅｔｅ　　Ｌｏｇａｒｉｔｈｍｓｉｎ　　ＧＦ（ｐ）、
　Ａ１ｇｏｒｉｔｈｍｉｃａ＋　１　＋　ｐｐ、１−１
５（１９８６）、及びＳｉＣ，Ｐｏｈｌｉｇ　　ａｎｄ
　　Ｍ、Ｅ。

Ｈｅｌ　１ｍａｎ　　：　　“Ａｎ　　ｉｍｐｒｏｖｅ
ｄ　　ａｌｇｏｒｉｔｈｍ　　ｆｏｒｃｏｍｐｕｔｉｎ
ｇ　　ｌｏｇａｒｉｔｈｌＩｌｏｖｅｒ　　ＧＦ（ｐ）
　　ａｎｄ　　ｉｔｓｃｒｙｐｔｏｇｒａｐｈｉｃ　　
　５１ｇｎ１ｆｉｃａｎｃ　　、　　ｒＥＥＥＴｒａｎ
ｓ、　　Ｉｎｆ、Ｔｈｅｏｒｙ　　ｌ　Ｉ　Ｔ　−２４
，１，ｐｐ。

１０６−１１０　　（Ｊａｎ、１９７８）に示されてい
る。

また、ａ　＝　ｂ　（ｍｏｄ　ｎ）は、（ａ　−ｂ）が
ｎの倍数になることを表す。

ステップ５：　離散型対数計算器（１１６と１１７）を
用いて、入力された公開情報ＩＤ、に対応したＬ　ｏｇ（ｚ　Ｉ　Ｄ　。

（ｏｖｅｒ　　ＧＦ（ｐ））とＬｏｇｔｔＩＤ。

（ｏｖｅｒ　　Ｇ　Ｆ　（Ｑ　））を計算する。

ステップ６：　減算器（１１８）を用いて計算した（　
ＬＯｇｔｔＩ　Ｄｔ　（ｏｖｅｒ　Ｇ　Ｆ　（ｐ））　
　　　Ｌｏｇ、２　１　　Ｄｚ　　（ｏｖｅｒ　　ＧＦ
（ｑ）））が２の倍数でないとき、警告メソセージｒＩＤとして別の値を入力せよ」を−出力して、ステップ５に戻る。

ステップ７：　連立方程式解決器（１１９）を用いて、
下記の連立方程式（１）と（２）をみたす秘密情報Ｓｉを求める。

Ｓｚ　＝ＬＯｇｔｘＩｏｔ　（ｏｖｅｒ　ＧＦ（ｐ））
（ｍｏｄ　ｐ−１）　　−（１）Ｓｚ　ｉ＝Ｌｏｇｃｔ
ＩＤｔ　（ｏｖｅｒ　ＧＦ（ｑ））（ｍｏｄ　ｑ−１）
　　−（２）連立方程式は中国人の剰余定理を用いて解
ける。

中国人の剰余定理の計算法は、例えば、Ｋｎｕｔｈ：”
Ｔｈｅ　　Ａｒｔ　　ｏｆ　　Ｃｏｍｐｕｔｅｒ　Ｐｒ
ｏｇｒａｍｍｉｎｇ　（Ｓｅｃｏｎｄ　Ｅｄｉｔｉｏｎ
）　　”　Ａｄｄｉｓｏｎ−Ｗｅｓ’ｌｅｙ、　ｐｐ、
　２６８−２７８．　（１９８０）、に示されている。

なお、演算に用いる上記の公開情報ＩＤムは、公開情報
と云っても何らかの原理に従って数値化されたた数値情
報であることは勿論である。

第３図は第１図における秘密鍵生成装置Ｘの詳細を示す
ブロック図である。秘密鍵生成装置Ｘは（３１０）も（
４１０）も同じ構成であるから以下、（３１０）につい
て、局１（３００）が局ｊ（４００）を通信相手として
秘密鍵ＷＫＩＪを生成する場合について説明する。

第３図において、３１１は秘密情報保持メモリ、３１２
は剰余つきべき乗計算器、である。

局ｉはおのれに固有の情報ＩＤ、を公開し、秘密情報Ｓ
８は秘密に管理する。局ｉは、その公開情報ＩＤｊを、
秘密通信に先立って安全でない（秘密を保てない）通信
路（５００）を介して相手局ｊに送信しても良い。

局１（３００）は、秘密鍵生成装置Ｘ（３１０）を用い
て、相手局ｊより入手した相手局の公開情報ＩＤ、と秘
密情報保持メモリ　（３１１）に格納された自らの秘密
情報Ｓ８とネットワーク内で一意に定められた公開可の
共通情報Ｎを、剰余つきべき乗計算器（３１２）に入力
してＴＤＪ”　　　（ｍｏｄ　　Ｎ）を計算して、秘密鍵ＷＫｉｊを求める。

剰余つきべき乗計算の計算法は、例えば池野。

小山“現代暗号理論”電子通信学会、ｐｐ、１６−１７
（１９８６）、に示されている。

さて、これで局１（３００）の側では、局ｊ　（４００
）を相手として秘密通信を行うのに必要な秘密鍵ＷＫＩ
Ｊを生成して得たわけであるが、局ｊ（４００）の側に
おいても、同じ秘密鍵をもたなければ、両局間での秘密
通信（暗号化、復号化）は成立しない。局ｊ（４００）
の側でも、秘密鍵生成装置４１０を用い、同様の手順に
従って秘密鍵ＷＫ、、（局ｊが局ｉを相手として秘密通
信を行うのに必要な秘密鍵Ｗ　Ｋ　、ｉ）を生成するわ
けであるが、ここでＷＫ、、−ＷＫＪｉの関係が成立する必要のあることはすでに述べた通りで
ある。

そこで以下、この関係が成立することを説明する。

局ｊ（４００）が、秘密情報生成装置（４１０）を用い
て同様にして、相手局ｉの公開情報ＩＤｉと自らの秘密
情報Ｓｉと公開共通情報Ｎから秘密鍵ＷＫｉｊを求める
計算式は次の如くである。

ＷＫ＋Ｊ＝　Ｉ　Ｄ＋”　　　（ｍｏｄ　Ｎ）＝　（α
”）”　　（＋ｎｏｄ　Ｎ） −αＳｌｘｓＪ（ｍＯｄＮ） −　（α”）ＳＪ（ｍｏｄ　　Ｎ） −ＷＫＪ。

以上の関係が成り立つので、局ｉと局ｊは同一の秘密鍵
を共用する結果になることが分かる。これにより、ＷＫ
ｔｊとＷＫＪｉを暗号鍵または復号鍵として用いること
ができる。

〔発明の効果〕

不正者が公開情報ＩＤをもつ局になりすまそうとしても
、ＩＤに対応する秘密情報を求めるには、前記式（１）
と（２）の右辺の値が必要となる。公開共通情報Ｎが十
分に大きいとＮの因数分解が困難なのでｐとｑが求まら
ず、秘密情報を計算して算出することができない。従っ
て、不正者は秘密鍵を生成できない。これにより、公開
情報の交換にあたって、特に相手認証を行わなくても、
以降の秘密通信が正常に行えないことで異常を検出でき
るので、従来方式における公開ファイルの管理で必要だ
った認証処理とメソセージの改ざんの問題を回避できる
。

従って、本発明の秘密鍵作成方式では、相手局の公開情
報を交換するだけで秘密鍵を共有できる結果となるので
、操作が簡単である。特に、公開情報が予め知られてい
るときは、ＩＤの交換は不要である。

さらに、各局は秘密情報だけを保持すればよく、ネット
ワークの規模が拡大しても鍵共有のためのメモリ量の増
加は生じない。また、相手局の公開情報は通常の通信で
も用いるＩＤやアドレスを利用できるので、従来方式で
指摘された鍵共有で必要となる秘密鍵または公開鍵を記
憶するためのメモリ量の増加はない。

以上より、本発明では、従来方式で問題だった鍵暗号化
鍵を配送するための手間と秘密鍵を共有するためのメモ
リ量の増加を解決できる。

【図面の簡単な説明】

第１図は本発明の一実施例を原理的、概念的に示した構
成図、第２図は第１図における秘密情報生成装置Ｇの詳
細を示すブロック図、第３図は第１図における秘密鍵生
成装置Ｘの詳細を示すブロック図、である。符号の説明１００・・・鍵管理局ＫＭ、１１０・・・秘密情報生成
装置Ｇ、２００・・・通信路、３００，４００・・・局
、３１０．４１０・・・秘密鍵生成装置Ｘ、５００・・
・通信路代理人　弁理士　並　木　昭　夫代理人　弁理士　松　崎　　　清第　ぞ　ロ第　３　図

Claims

【特許請求の範囲】１）或る局ｉに固有であって公開の情報（局公開固有情
報）ＩＤ＿ｉを入力されて当該局ｉに関する秘密情報Ｓ
＿ｉと当該局ｉを含む複数局に共通であって公開可の情
報（公開共通情報）Ｎとを生成する秘密情報生成装置と
、相手局ｊに固有であって公開の情報（相手局公開固有情
報）ＩＤ＿ｊと、前記秘密情報生成装置により生成され
た前記秘密情報Ｓ＿ｉおよび公開共通情報Ｎと、を入力
されて前記局ｉと相手局ｊとの間の秘密通信に必要な暗
号鍵または復号鍵としての秘密鍵ＷＫ＿ｉ＿ｊを生成す
る秘密鍵生成装置と、から成る秘密鍵作成方式において
、前記秘密情報生成装置は、入力情報としての前記局公開
固有情報ＩＤ＿ｉを用いて下記の（イ）式を満足する前
記秘密情報Ｓ＿ｉおよび公開共通情報Ｎを作成し出力す
る演算手段から成り、前記秘密鍵生成装置は、入力情報としての前記相手局公
開固有情報ＩＤ＿ｊ、秘密情報Ｓ＿ｉおよび公開共通情
報Ｎを用いて下記の（ロ）式を満足する演算を行って前
記秘密鍵ＷＫ＿ｉ＿ｊを作成し出力する演算手段から成
ることを特徴とする秘密鍵作成方式。記 α＾ｓ＾ｉ≡ＩＤ＿ｉ（ｍｏｄＮ）……（イ）ＩＤ＿ｊ
＾ｓ＾ｉ＝ＷＫ＿ｉ＿ｊ（ｍｏｄＮ）……（ロ）但し、
αは、或る素数ｐのガロア体ＧＦ（ｐ）と他の素数ｑの
ガロア体ＧＦ（ｑ）の原始元であり、Ｎは素数ｐとｑの
積であり、ｐとｑは、（ｐ−１）と（ｑ−１）の最大公
約数が２となるようなそれぞれ素数であり、（ｍｏｄＮ
）は、Ｎを法とする演算（モジュロＮの演算）を行うこ
とを表す。２）特許請求の範囲第１項記載の秘密鍵作成方式におい
て、局ｉが局ｊを通信相手として作成した秘密鍵ＷＫ＿
ｉ＿ｊと、局ｊが局ｉを通信相手として作成した秘密鍵
ＷＫ＿ｊ＿ｉと、の両者は、その何れか一方が暗号鍵と
なれば他方が復号鍵となり得る同一の鍵であり、局ｉと
局ｊの両局で同じ鍵を共有するようになることを特徴と
する秘密鍵作成方式。