JPS63225840A - 情報記憶システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の技術分野〕 本発明は情報を安全に記憶する情報記憶方式に関する。

〔従来技術およびその問題点〕

コンピュータやデータ記憶システムにおいて、ユーザが
情報を安全に（充分高いセキュリイをもって）、すなわ
ち正当性を確認して、記憶することができることが必要
とされる場合がある。これは情報の破壊に対しての耐久
力があると言うことを意味してはいない。と言うのは部
外者は記憶されている情報をほとんどいっても破壊し得
るからであり、情報を破壊から保護するには記憶手段の
物理的な安全性（ｓｅｃｕｒｉｔｙ）が必要とされる。

ここで意味していることは、記憶されれているデータが
干渉を受けないということであり、このことはいかなる
干渉も検出されるということを意味する。

実際には、これはメッセージ認証コード（ｎｅｓｓａｇ
ｅ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ　ｃｏｄｅ　、　Ｍ
　Ａ　Ｃ）によって達成される。ＭＡＣを計算するには
情報をＭＡＣ発生器に通し、これにより典型的には６４
ビツト長のＭＡＣを得る。このＭＡＣを記憶しておくこ
とができ、後にＭＡＣを再計算することにより情報を認
証する（ａｕｔｈｅｎｔｉｃａｔｅ）することができる
。

もし記憶しておいたＭＡＣと計算で得られたＭＡＣが一
致すればその情報は干渉を受けていない。

もちろん、このＭＡＣはそれ自身干渉から保護されてい
なければならない、つまりこのＭＡＣを計算する本にな
っている情報の修正に釣り合うように部外者がはじめの
ＭＡＣを修正することから保護されていなければならな
い。この保護を実現するには、ＭＡＣの計算に秘密のキ
ーを用いる。ＭＡＣを計算するに当たっての便利な、ま
た以下で選ばれている一つの方法は、Ｄ　Ｅ　Ｓ／Ｄ已
Ａ的なアルゴリズムとＤＥＳ／ＤＥＡ暗号化／解読ユニ
ットを使用することにより、キーおよび暗号ブロックチ
ェイニング（ｃｉｐｈｅｒ　ｂｌｏｃｋ　ｃｈａｉｎｉ
ｎｇ　、　ＣＢＣ）技術を用いる事である。このプロセ
スは情報を暗号化する場合と同じである。ただしＭＡＣ
を計算する際にはＤＢＳ／ＤＥＡユニットからの出力ブ
ロックのストリーム（暗号化された情報）は捨てられ、
最後のブロックだけがＭＡＣとして保存される点が違っ
ている。この技術を使用する場合は、ＭＡＣそれ自身は
情報と一緒に記憶され、ＭＡＣを計算する為に用いられ
たキーだけが秘密に保たれる。

実際には、ＭＡＣを安全な（正当性が確認された）情報
記憶に用いるというこの技術は幾分面倒なものである。

それはチェックしなければならない情報は非常に大量に
なりがちだからである。セツションの始めにユーザはチ
ェックを始めるが、そのチェックでは記憶されている情
報全体のＭＡＣの計算が行われる。セツションの終わり
ではユーザは情報全体についての新たなＭＡＣの計算を
しなければならない。この情報はこのセツション中にそ
の処理をすることによりユーザによって変更されている
ので、新しいＭＡＣはもちろん古いものとは異なってく
る。

本願発明者の知見によれば、チェックされるべき情報は
通常は多数の個別的なファイルまたは「メッセージ］か
らなっており、−回のセツシヨンではユーザは通常その
中の少数のものについてしか作業しない。従って、この
情報のＭＡＣの計算にあたってはＭＡＣの変化に唯一寄
与するところの変化したファイルに加えて、大量の変化
していない情報、つまり変化していないファイル、をＭ
ＡＣ発生器を用いてスキャンすることが行われる。しか
しながら、変化したファイルだけからＭＡＣの変化を計
算する簡単な方法はない。ＭＡＣは連鎖状のプロセスで
ある。先ず情報の６４ビツトの各々のブロックが順に先
行するブロック群より計算されたＭＡＣと組み合わされ
てこの現ブロックまで（このブロックも含む）の全ての
ブロックについてのＭＡＣを得る。この情報の途中のあ
るブロックに変化によるＭＡＣへの影響を計算すること
はできない。

〔発明の目的］ 本発明の目的は上述した従来技術の問題点を解消し、情
報の一部分しか変化しない場合のＭＡＣを簡単に計算す
ることである。

〔発明の概要〕

本発明の一実施例によれば、複数のファイルまたはメッ
セージからなり、認証を必要とする情報の本体全体につ
いてのグローバルＭＡＣ（全体的ＭＡＣ）の計算が、各
メッセージについての個別のＭＡＣを計算しこれら個別
のＭＡＣからグローバルＭＡＣを計算することにより行
われる。

最も単純な形では、メッセージの個別的なＭＡＣから直
接的に計算され、これらの個別的ＭＡＣは連結されてそ
れについてグローバルＭＡＣを計算すべき更に別のメッ
セージを実効的に形成すると見なされる。しかし、シス
テムは階層化されていてよいということが理解できるだ
ろう。このため、これらメッセージは夫々がかなりの数
のメッセージを含むブロックに分割される。各ブロック
毎にその全てのメッセージについてＭＡＣを計算し、そ
のブロックの全てのメッセージのＭＡＣについてのブロ
ックのＭＡＣを計算する。次にグローバルＭＡＣが全て
のブロックのブロックＭＡＣについて計算される。従っ
て、この場合でもグローバルＭＡＣはメッセージの個別
のＭＡＣから計算され、間接的であるが、情報全体、す
なわち全てのブロックの全てのメッセージ、の正当性を
確認する。ブロックＭＡＣはもちろん個々のブロックに
ついて見ればそのグローバルＭＡＣになっており、個々
にそのブロック中のメッセージの正当性を確認する。

記憶されている情報を何か改変すれば、それはＭＡＣの
突き合わせの失敗を引き起こし、その改変が検出される
。個々のメッセージの改変はそのＭＡＣの変化を引き起
こす。ＭＡＣは秘密に保たれているキーを用いて計算さ
れるので、部外者は彼が改変したメッセージのＭＡＣを
代えることはできず、そのメッセージのＭＡＣチェック
は失敗する。もし部外者が余計なメッセージを挿入した
り、完全なメッセージを取り除いたり、あるいはメッセ
ージの順序を変えたりすると、グローバルＭＡＣの突き
合わせの失敗が引き起こされる。記憶されている情報に
加えられた改変の性質を判定することは通常は可能では
ないが、このような改変の事実は常に明白になる。

この技術の利点は、もし実際のセツションでユーザが少
数のメッセージだけを変更したのであれば、このセツシ
ョンの終わりにおけるＭＡＣの計算では変化したメッセ
ージのＭＡＣの計算とグローバルＭＡＣの計算が行われ
るだけである。この技術では、グローバルＭＡＣの計算
はＭＡＣを一つだけ計算するものに比べるとオーバーヘ
ッドであるが、しかしこのオーバーヘッドは比較的小さ
い。それは個々のメッセージのＭＡＣはメッセージそれ
自体に比べて大幅に少ない情報しかないからである。メ
ッセージが処理される（生成される、あるいは変更され
る）際にはいつもそのＭＡＣを計算しなければならない
が、しかしどのセツションにおいても、そこで処理され
たメッセージだけが再計算を必要とし、変化していない
メッセージはそれにたいしていかなる計算も行われる必
要がない。

本発明の補足的な側面は個々のメッセージを秘密を保っ
て記憶することに関係するが、これはユーザがしばしば
必要とするもう一つの特徴である。

正当性の確認と同様に、これは情報が誤りに対して耐久
力があるということを意味するものではない。ここで意
味されていることは、記憶されている情報を部外者が読
み出すことができないという保証があることである。

従って、本発明の実施例にはまた、安全モジュール内に
一つあるいはもっと多くのキーを格納する手段と、暗号
化／解読手段と、メッセージを記憶する前に暗号化する
手段も設けられる。好ましくは、２以上の階層のキーが
用いられ、ここで最下層のキーは各メッセージ用に夫々
ランダムに生成されてメッセージ中に格納され、その階
層構造のすぐ上位のキーと組み合わせられて暗号化キー
をもたらし、階層構造が２よりも多い階層を有している
場合には、その階層構造の上の方に向かって存在する各
キーは最上位のキーを除いてはそのすぐ上にあるキーに
よって暗号化された上でメッセージの本体に夫々追加さ
れる。階層構造中の各キーは好ましくは予め定められた
回数だけ使用された後に変更される。

メッセージは従って暗号化された形で格納され、ここで
各メッセージはそのメッセージに固有のキーの下で格納
される（なんとなれば、暗号化するためのキーはメッセ
ージに固有のキーといくつかのメッセージに対して同一
であるキーの組み合わせによって形成されるからである
）。階層的キー構造を持つことおよび所与の量の使用の
後にキーを変えることにより、部外者の暗号解読による
攻撃の可能性が最小になる。

本発明は安全通信システムの分野に特に適用できる。パ
ーソナルコンピュータのような端末が多数相互接続され
ている通信ネットワークはよく知られている。（以下の
実施例では、セキュリティのため、暗号化キーを管理す
る端末であるキー分配センタ（ｋｅｙ　ｄｉｓｔｒｉｂ
ｕｔｉｏｎ　ｃｅｎｔｒｅ　、　Ｋ　Ｄ　Ｃ）とユーザ
が使用する端末であるユーザ機器（ｕｓｅｒａｇｅｎｔ
、　Ｕ　Ａ　）がネットワークに接続されている。

）このようなシステムでは公衆電話システムのような安
全でない、つまりセキュリティが充分でない通信媒体が
しばしば用いられる。このようなあまり安全ではない通
信媒体においては、受動的妨害（盗聴）や能動的妨害（
メッセージを横取りして除去する、メッセージを改変す
る、あるいは不正なメッセージを挿入する）を受けやす
い。これらの問題を克服するためには、暗号システムを
設けることが知られている。しかしながら、暗号化の理
論自体は明らかであるが、多数の端末を含むシステムを
設計するに当たって係わってくる実際上の問題はかなり
ある。そのような問題の中に、情報を安全に記憶するこ
とに関連する問題がある。

ここでの情報はユーザが生成したメッセージ（ユーザが
生成してそのユーザの端末に格納されるメッセージと他
のユーザによって受信されるメッセージの両者がある）
およびシステムの構成上の目的のために用いられる情報
の両方を指す。

本発明の更に別の局面は他の端末から受信したメッセー
ジをこのような端末に秘密裡に記憶することに関連する
。これもユーザがしばしば求める特徴である。

本発明の他の局面によれば、システムの遠方の端末から
階層構造のキーの下で暗号化されたメッセージを受信し
てそのようなメッセージを格納する手段と、遠方の端末
でそのメッセージの暗号化のために使用されたキーをキ
ー階層構造の上の方へ向かって全て、但しその最上位の
キーを除いてそのメッセージに追加する手段と、そのメ
ッセージと付属部のＭＡＣを計算しこのＭＡＣをグロー
バルＭＡＣの計算に含める手段を設けた情報記録〔発明
の実施例〕 方式が与えられる。

ン愕り入υし１２とから構成されている。また非を参照
して説明することにする。

説明は次の部分に分けて行う。

システムの全般的構成 システムの全般的動作−キーの階層 メッセージの構造とＵＡの構造 ＵＡとＫＤＣとの連鎖 各ＵＡ間の通話 システム・メッセージ・エラーの回復 ローカル・メッセージ記憶装置 ＵＡの変更 ＫＤＣのメッセージの記録 本発明の他の特徴は本願と同時に提出した二つの同時係
属特許出願に説明してあり特許請求されていることに注
意すべきである。

システムの全般的構成 第１図を参照して、システムは、すべて共通の通信媒体
１１に接続されている複数の端末１０．１０Ａ、ＩＯＢ
などと、キーの制御と分配とに責任りキーはＫＤＣ１２
から端末１０に分配されることができる。各端末１０は
、図示したとうりのパーソナル拳コンピュータＰＣｌ４
やディスクメモリ１５のような従来どうりの端末装置と
、各種暗号キーである安全モジュール（５ｅｃｕｒｉｔ
ｙ　ｍｏｄｕｌｅ　）１６とから構成されている。ＫＤ
Ｃ１２は安全モジ、−ル１７、計算ユニット１８、およ
び複数の記憶手段１９から構成されているのでデータが
失われる危険は無視できる。安全モジュール１６と１７
は、二重の囲み線で示したように、外部の妨害に対して
保護されている。

安全モジュール１６は、制御目的で、ＰＣｌ４から制御
線により信号も供給され、ＰＣｌ４への双方向データ径
路を備えているように示しである。

この後者の径路はデータをＰＣｌ４から他の端末へ送る
暗号化のため安全モジュール１６に伝え、まｆ、−他の
モジュールからのデータの暗号を安全モジエール１６で
解説した後にＰＣｌ４へ伝えるのに使用される。この径
路は、端末内の局所的安全め、データをＰＣｌ４から伝
え、同じＰＣｌ４に戻すのにも使用される。安全モジュ
ール１６はまた直接通信媒体１１に接続されているよ５
に示しである。実際には、通信媒体１１との成る形態の
インターフェースが必要である。これは安全モジュール
１６でも行うことができるが、実際はこのためにはＰＣ
ｌ４で行うのが便利である。もちろん、これに関係する
ＰＣの部分は安全モジュールとの間で暗号化されていな
いデータのやり取りをする部分とは論理的に別である。

（また、もちろん、ＰＣは通常媒体１１と直接交信して
非安全メッモジを送受信する。） 安全モジュール１６と１７は既知の技術を使用して構成
されている。したがって各モジュールは暗号キーや他の
秘密の状態に保持しなければならない情報を格納するデ
ータ記憶手段、データの暗号化や解読およびチェック用
の数量の計算やモジニール内で必要なその他の処理のよ
うな動作を行う処理手段、および心安な動作を制御する
制御手段を備えている。各モジュールは、万−一時的に
局部的停電が起った場合にキーのような安全情報が失わ
れたいよ５Ｋ、電池も備えている。モジ−一ルはまたモ
ジュールに対する物理的攻撃を検知し、このような攻撃
が起った場合にモジュールに格納されているすべての情
報を、敵がモジュールを開き個人の構成安素に接続して
モジュールから有用な情報を抜取ろうとする可能性に反
撃を加えるようＫ、たとえばキーのような格納情報にラ
ンダムなデータを重ね書きすることにより、破壊する手
段を備えている。

各種レジスタ、カウンタ、および後に説明するよびこれ
ら構成要素に使用するメモリロケーションを規定したシ
その機能を実現したシする格納プログラム、ＩＣよシ実
現される。（ただし、乱数発生器や暗号化／解読ユニッ
トのような成る構成要素は種々な理由から特殊目的のハ
ードウェアで構成するのが都合がよい。）プログラムは
少くとも一部はＦＲＯＭまたは類似のものに格納される
ので少くともプログラムの一部は一旦書き込まれてしま
ったら変更することはできない。したがってプログラム
は格納キーまたは他の安全情報をモジー−ルから読み出
すことができるように修正することはできない。

システムは通信媒体１１に盗聴を行おうとする部外者２
０からの攻撃に対して開いているものと仮定している。

このような部外者２０はメッセージを傍受し、メッセー
ジを横取シして取出し、本物のメッセージを修正して偽
のメッセージを挿入しようとする。通信媒体１１は分散
していて、端末１０、ＩＯＡなどのいずれかのユーザの
単独制御のもとにはない。たとえば通信媒体１１は電話
回線網または格納・先送Ｆ）　（５ｔｏｒｅ　ａｎｄ　
ｆｏｒｗａｒｄ　）手段を備えたパケット・スイツチン
グ・システムのような公共通話システムの一部を含んで
いることがある。したがって部外者２０の活動は本質的
に検出できる性質のものではない。このような部外者に
よる攻撃の可能性に加えて、通信媒体１１は、メソセー
ジが失われたシ、その順序が変るようにメッセージに色
々な遅れが加わったり、メソセージが重複（「エコー」
）シたりというような障害を本質的に受けやすいものと
考えられていも上記したこのような傍受の可能性や安全
モジー−ルに対する物理的攻撃の可能性の他に、部外者
は合法ユーザの留守中にモジュールにアクセスしてシス
テムに入ろうとする。これと戦うには、各種の技術を利
用することができる。安全モジュールがパスワード制御
を行うように設定し、パスワードを合法ユーザが入力し
て、モジュールはこうしてそのパスワードにだけ応答す
るようにできる。

ユーザが彼の不在期間の長さを知っている場合には、時
間ロックを使用することができる。モジュールの内部電
池によシ時間ロックが確実に連続的に動作スる。パスワ
ードがモジュールによシ生成され、これが合法ユーザが
物理的に取外し且つ保持することができるフロッピーデ
ィスクに送られるようにすることもできる。

もちろん瓦いに多少異なる保護技術をユーザ端末の安全
モジュールおよびＫＤＣの安全モジ、−ルに使用するこ
とができる。それはＫＤＣは攻撃に対してユーザ端末よ
りｓつきにくいようであるが、−万Ｋｌ）Ｃに対する攻
撃が成功すればユーザ端末に対するよりもはるかに損害
が大きくなるからである。

システムの全般動作−キーの階層 本システムの動作はＫＤＣ１２により二つのレベルで制
御される。第１に、各ＵＡＫＫＤＣからユニークなユー
ザ・マスク・キー（ＵＭＫ）が割当てられる。このＵ　
Ｍ　Ｋは非電子式のキー分配径路１３を伝わってＵＡＫ
取込まれる。たとえばＫＤＣを操作するスタッフの一員
により、ＵＡ、（の安全モジュール１６内）に設置され
る。このキーはその後ＵＡとＫＤＣとの間のメッセージ
を確立したり確認したシするのに使用される。第２に、
ＵＡが他のＵＡと通話したい場合には、ＫＤＣを使用し
て二つのＵＡ間に安全なチャネルを設定しなければなら
ない。リンクを要求するＵＡは、ＫＤＣに通知し、Ｋ　
Ｄ　Ｃはこれにしたがってリンクを設定ロソ′、その後
リンクの使用には稀にしか（ＬＭＫが更新を必要とする
とき）参加しない。

第３のレベルのシステム動作も存在し、これは単独ＵＡ
における情報の安全格納に関するものである。この動作
はＫＤＣには関係しない。

キーの物理的位置とその階層、および使用する略号を第
１表に示す。各メッセージは、そのメソセージにどのレ
ベルの階層が関連していようと、そのメッセージのため
だけに発生された別々のメッセージ・キーで暗号化され
るので、メッセージ・キーは階層になっているようには
示してない。

事実、各メッセージは一対のキーを使用して暗号化され
る。一つのキーは、基本キーと言うが、階層から取られ
るキーであり、もう一つはそのメソセージに対するメッ
セージ・キーである。

第　　１　　表 物理的位置 ＫＤＣ−キー分配センタ ＵＡ−ユーザ機器（ｕｓｅｒ　ａｇｅｎｔ）　（端末ま
たはノード） キー ＵＭＫ−ユーザ・マスク・キー （ＫＤＣ４−＋　０人） ＣＫＤ−制御データ・　　　　ＭＫ−メッセージ・キー
キー （ＵＡ＋　ＵＡ） ＬＭＫ−リンク・マスター キー ＬＤＫ−ＩＪンク・データー　　ＭＫ−メッセージ・キ
ーキー （’ＵＡ内部） ＰＭＫ−パーソナル・マス タ・キー ＰＳＭＫ−パーソナル・サ ブマスタ・キー ＰＤＫ−バーンナル・デーＭＫ−メッセージ・キータ・
キ一 部外者が、同じキーで符号化した充分なメッセージを蓄
積することができれば、彼は窮極的にシステムを破って
キーを取戻すことができる。したがってこの理由のため
キーを適切な時間間隔で変更し、またそれ故部外者が何
とかしてキーを手に入れたとしてもこのようなキーの更
新の結果、それは結局波の役に立たなくなるようＫする
。ただし、ＵＭＫは物理的に分散されているのでこれら
を変更するのは困難である。したがってキーの階層シス
テムを使用するのであυ、このシステムでは、各キーは
階層的にその上に位置するキーに変更がなされる前に繰
返し変更される。上位のキーを使用して下位キーの変更
に関する情報を伝達することができる。したがってＫＤ
Ｃは比較的稀な時間間隔でキー（ｆｒＬいＵＭＫ）の物
理的輸送に関係するキー変更に関与することＫなるだけ
であシ、このような更新は甚だしく厄介になることはな
い。

メッセージの構造とＵＡの構造 各１ｆｌＵＡとＫＤＣはメッセージによって互いに通信
する。これらメッセージはすべてほとんど同じ構造をし
ているが、以下で示すとうり、変化がある。メッセージ
の基本的な分類の一つはシステム・メッセージとユーザ
・メッセージとに分けることである。前者はユーザから
は知ることなく、システムにより発生されシステムによ
シ操作するが、後者はユーザに応答して発生され、ユー
ザが組立てたデータを含んでいる。システム・メッセー
ジは一般にかなり短く、幾つかの異なる形式がある。ユ
ーザ・メッセージはその長さが非常に変動するが、実質
上一つの形式しかない。わかるように、幾つかのシステ
ム−メッセージを時々一つのパケットに組合せることが
できる。

メッセージの一般的構造、および始発ＵＡでその発生に
必要な、およびＵＡで受信した同様なメッセージに対す
る応、答に必要なハードウェアについて、始めにＵＡと
ＫＤＣとの間のメッセージを、特にこのような最初のメ
ッセージを参照して、ここに説明することにする。他の
システム・メッセージはおおむね同じ方法で取扱われる
が、小さな相異が、たとえば関連するキー・レベルに存
在する。

システムが始動するのはＵＭＫ（ユーザ・マスク・キー
）がすべてのＵＡ（ユーザ機器）に分配され設置されて
いるが他のキーは存在せず通信キーも存在しない状態か
らである。第２図を参照すると、説明すべき各種安素を
備えており、これら要素に対する一般的制御機能は制御
回路３０で行われている。ＵＡに対するＵＭＫはキー輸
送ユニット３１により物理的に輸送されるが、このユニ
ットはＵＡの安全モジー−ル１６に一時的に接続されて
ＵＭＫをＵＭＫレジスタ３２に移す。使用カウンタ４０
はＵＭＫレジスタ３２と関連してＵＭＫが使用された回
数のカウントを保持する。このカウンタは、他のすべて
の使用カウンタと同様に、キーが使用されるごとにイン
クリメントし、最初（システムが最初に始動するとき）
はＯにセットされ、関連するキーが更新される（すなわ
ち新しいキーで置き換えられる）ごとにＯにセットされ
る。

ＵＭＫは、比較的永続するが、充分使用してから、新し
いＵＭＫをＫＤＣから物理的に輸送することによって更
新することができる。そのためＵＭＫキ一番号レジスタ
４０Ａが設けられており。

これは最初０にセットされ、新しいＵＭＫが設置される
ごとにインクリメントする。（その代りに、Ｕ　Ｍ　Ｋ
キ一番号レジスタ４０Ａを、新しいＵ　Ｍ　Ｋが設置さ
れ、ＫＤＣが新しい値を発生するごとにキー輸送ユニッ
ト３１からセットすることができる。） ＵＭＫがＵＡに設置されるとすぐ、制御データ、キーＣ
ＤＫが発生されてＵＡのＣＤ　Ｋレジスタ３４に格納さ
れる。ここで関連する使用カウンタ３３とＣＤＫキ一番
号レジスタ３３Ａも設定される。キーはランダム信号発
生器３６から発生される。ランダム信号発生器は熱雑音
発生器または放射性崩壊カウンタのようなランダム信号
源を利用してキーが確実にランダムになるようにしてい
る。

こうして発生したＣＤＫは、適切なシステム・メッセー
ジにより、即座にＫＤＣに送られる。実際上は、このよ
うなランダム信号発生器は比較的ゆっくシした速さでビ
ットを発生し、したがって（典型的には６４ビツトの）
次のキーのためのレジスタ（図示せず）を備えている。

このレジスタの再補充はその内容が新しいキーのために
取出されるとすぐ開始されるので、次のランダム・キー
が即座に利用できる。このランダム信号発生器はしたが
って、平文の（すなわち暗号で保護されていない）キー
を持っているので、安全モジエールの中に入れられてい
る。

メッセージを更に詳細に考察すると、ＵＡはいくつかの
区画を備えたメッセージ・アセンブリ・レジスタを備え
ており、ここでメッセージ（現在のものを含む）が組立
てられる。メッセージ・アセンブリ・レジスタ３７０Ｍ
Ｂ領域はメッセージ本体あるいはデータ部であり、メッ
セージの「意味」または「データ」（もしあれば）を入
れるのに使用される。メッセージ・アセンブリ・レジス
タ３７にはその左端に１ソ一ス区画ＳＣとデスティネー
ション区画ＤＮの二つの部分がある。ソース区画ＳＣに
はこのＵＡを表わす不変のソースコ−ドが格納されてお
り、デスティネーション区画にはそこに送り込むのに必
要なデスティネーションを示すコードが入る。次の区画
ＭＴは以下で説明するメッセージタイプ領域である。次
の２区画ＫＮは、以下で説明するキ一番号およびメッセ
ージ識別子区画である。その次の区画はＭＫ区画であっ
て、これはメッセージのメソセージ・キーＭＫを入れる
のに使用される。Ｍ８区両の次にはメッセージ父１話コ
ード（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
　Ｃｏｄｅ　）区画ＭＡＣが続き、前にはＰＭＡＣ（以
前のＭＡＣ）区画があって、これは当面無視する（ｉた
はＯが詰まっていると考える）ことがある。

メッセージタイプフォーマット記憶領域３８は、たとえ
ばＣＤＫが送られているというＫＤＣへのメンセージの
ような、システム・メッセージについての一組のメッセ
ージタイプフォーマットを保持しており、この領域から
適切なメッセージタイプが選択されてレジスタ３７のメ
ッセージ本体区画ＭＢに送られる。Ｋ　Ｄ　Ｃへのシス
テム・メッセージについては、この記憶領域はＫＤＣデ
スティネーションコードをも保持する。もちろん、他の
ＵＡへのメッセージ（ユーザまたはシステム）について
は、受信ＵＡのデスティネーションコードを発生しなけ
ればならない。他のＵ　Ａとの通信はほとんどユーザが
開始するので、受信ＵＡのデスティネーションコードは
ユーザが決める。このコードはそのＵＡへのユーザ・メ
ッセージによって使用される他に、もちろんそのＵＡへ
のシステム・メッセージによっても使用される。デステ
ィネーションのニモーニックからデスティネーションコ
ードを得る従来のテーブル探索システムをもちろん使用
することができる。また、通信媒体１１を通してのメッ
セージの径路決めあるいはアドレシングは通常以下に説
明するインターフェース・ユニット４３により処理され
る。

上に注記したとうり、各メッセージは二つのキー、すな
わちキー階層から生ずる基本キーとメッセージキー、を
用いて暗゛号化される。メッセージ−アセンブリ・レジ
スタ３７のキ一番号区画ＫＮにはメッセージに使用する
基本キーを識別するとともにメッセージをユニークに識
別するメッセージ番号としても働く、メッセージ用組合
せキ一番号が入りている。このメッセージ番号は、キー
のキ一番号を階層を下υながら基本キーに至るまで連結
しまた基本キーの使用カウントも連結することによって
得られる。各キー・レジスタは関連するキ一番号記憶部
、すなわちＵＭＫレジスタ３２についてはＵＭＫ用の４
ＯＡ、ＣＤＫレジスタ３４についてはＣＤ　Ｋ用の３３
Ａを備えている。したがって基本キーがＵＭＫであれば
、ＵＭＫキ一番号レジスタ４ＱＡおよび使用カウンタ４
０の内容を使用し、基本キーがＣＤＫであれば、ＣＭＫ
キ一番号ンジスタ４０Ａ、ＣＤＫキ一番号レジスタ３３
Ａ、および使用カウンタ３３の内容を使用する。各キ一
番号は関連キーが変るごとに１だけ増加する。したがっ
て所与のメッセージタイプに対して、メッセージ番号は
厳密に昇順である。何故なら各キーのキ一番号は通常上
昇し、このような番号がＯにリセットされることによシ
下降するときは、上位の番号の増加の結果だからである
。関連する階層の分岐および階層を下る距離はメッセー
ジタイプかられかる。たとえば、ここで考えているメッ
セージタイプｒＣＤＫがＫＤＣに送られている」につい
ては、キー階層は必然的にＵＭＫだけしか含んでいない
。

キーのキ一番号は階層中ですぐ上のキーの使用カウント
と類似しているが、この二つは必ずしも同一ではないこ
とに注意すべきである。これは成る状況では階層内の高
い方のキーを使用することができ、したがってその使用
カウントが、階層中で直下のキーを変更せずに、増加す
るからである。

このような問題を避けるには使用カウントとキ一番号と
をシステムを通じて別個に維持する。（このことはまた
メッセージ番号は必ずしも連続ではないことを意味して
いる。） （このシステムはメッセージタイプを平文で示すＭＴの
内容にある程度依存している。これはもちろん、たとえ
ばＭＴの゛内容を暗号化されるものの一部に含めること
によシ修正することができる。

この場合、メソセージ識別子（すなわちキ一番号）の長
さ、あるいは、これに相当する、階層内のキーのレベル
は別々に示さなければならない。）一般に、各メッセー
ジの本体はそのメッセージにユニークなキー、メッセー
ジ・キーＭＫ、を使用して暗号化される。このメッセー
ジ・キーはランダム信号発生器ＲＮＤ３６を用いてＵＡ
により発生され、メッセージ・キー・レジスタＭＫ３９
に送られる。

使用する暗号システムは、ＤＥＳ／ＤＥＡ規格または同
様なもののような、暗号化および解読に同、じキーを使
用するものであると仮定する。（「パブリック・キー」
システムのような、暗号化と解読とに異なるキーを用い
るシステムを使用することは可能であるが、キ一対の両
方のキーを格納しまた暗号化および解読のために適切な
方を使用すＯ） る必要がある博使用する暗号化技術はＣＢＣ（Ｃｉｐｈ
ｅｒ　Ｌ５１ｏｃｋ　Ｃｈａｉｎｉｎｇ　）であシ、こ
れには−１９８３ＤＥＡの動作モードに述べられている
。）初期設定ベクトル■は最初基本キーのもとでメッセ
ージ・キーＭＫを暗号化することにより作られる。次に
メソセージの暗号キーは基本キーのもとで再び■を暗号
化することにより得られる。メッセージ・キーＭＫは平
文で送られ、受信側は基本キーのコピーを備えているの
で、メッセージは、メッセージ・キーを基本キーのもと
で暗号化して初期設定ベクトルを得、栴び解読キーを得
ることＫよって、他端で解読することができる。■と解
読キーは次にメッセージを解読するのに使用される。各
メッセージに異なるＭＫを使用することは、メッセージ
がほとんど同じ形（たとえば同じユーザ・メッセージが
２回目にはおそらく時間の違いだけで送られる）で繰返
されても異なるキーのもとに暗号化されることになシ、
部外者は暗号を侵害しようとするに際し繰返しから多く
の援助を得ることができないことを意味する。

メッセージが暗号化されたら、メッセージ・アセンブリ
・レジスタ３９のＭＴ、ＫＮ、ＭＫ％ＰＭＡＣ，および
ＭＢの各部の内容がメッセージ認証コード計算ユニット
４２に送られ、ここでＭＡＣ値が計算され、この値がメ
ッセージ・アセンブリ・レジスタ３７０ＭＡＣ区画に送
り返される。

このようにしてＭＡＣ値がメッセージの一部として含ま
れる。Ｍ　Ａ　ＣはＣＢＣ技術を用いて暗号化類似プロ
セス（ｒＭＡＣ暗号化」）により計算される。このプロ
セスから得られる最終ブロックがＭＡＣを形成する。「
Ｍ　Ａ　Ｃ暗号化」はキーと初期設定ベクトル（ＩＶ）
を用いて行われる。キー（「ＭＡｃ暗号キー」）はメッ
セージを暗号化するのに使用する基本キーの固定された
関数として得られ、■はＯとされる。ソースコードおよ
びデスティネーションコードは認証される必要が無い。

何故なら、どちらかがどうにかして変化すれば、実際に
メッセージを受けるユニッＩ−（ＵＡまたはＫＤＣ）が
、ＭＡＣチェックによりｇ証を行なおうとする際適格な
キーを使用していないので、メッセージを認証すること
ができないからである。

暗号化／解読ユニット４１とメッセージ認証コード計算
ユニット４２はキーを平文で受取らなければならないか
ら、安全モジー−ルの内部になげればならない。同様に
、ＵＭＫレジスタ３２は、キーを平文で持っているので
、これも安全モジュールの内部になければならない。モ
ジュールの外部に他のキーを格納し、ＵＭＫのもとで暗
号化し必要なときモジー−ル内で解読することも可能で
あるが、すべてのキーをモジュール内のレジスタに平文
で格納するのがはるかに便利である。メッセージ・アセ
ンブリーレジスタ３７ももちろんモジュールの内部にあ
り、暗号化され認証される前にメッセージが侵されない
ようにしておく。

送受される各メッセージは、通信媒体１１と結合するの
に必要となる低レベルのプロトコル処理を行うインター
フェース・ユニット４３を通過する。特に、インターフ
ェース・ユニット４３は暗号メッセージの伝達に専念す
るメールボックス、あるいは、このような、一つはシス
テム−メッセージ用の、もう一つはユーザーメッセージ
用の、二つのメールボックスとすることができる。これ
により更に別のメールボックスを暗号化されないメッセ
ージのために使用することができ、これら暗号化されな
いメッセージは平文で（たとえば安全通信システムの一
部分を形成しない端末から）送受信される。上に注記し
たように、このインターフェース・ユニットはＰＣｌ３
（第１図）によシ好都合に実現される。

今度は受信回路を考察すると、通信媒体１１からインタ
ーフェース・ユニット４３を経て受信される着信メッセ
ージを受取るのにメッセージ春アセンブリ・レジスタ３
７が使用される。このメッセージのメッセージ番号ＫＮ
は対応する基本キーが利用できることをチェックするた
めに調べられる。次にメッセージのＭＡＣが、メッセー
ジ識別子Ｋ　Ｎによｐ　ｌ’−ＭＡＣ暗号化」キーとし
て識別される基本キーを使用して、メッセージ認証コー
ド発生器ユニット４２によりチェックされる。得られた
ＭＡＣはコンパレータ４４によυメッセージの（ＭＡＣ
区画にある）ＭＡＣと比較される。ＭＡＣの計算値とメ
ッセージのＭＡＣとが合致すれば、メッセージは本物と
判定される。合致しなげれば、どちらかに（おそらくは
送信雑音の結果）誤りが存在するかあるいは数置されて
いるので、メッセージは捨てられる。部外者２０がメッ
セージを修正しようとしても、部外者には未知のキーを
用いて計算することにより保護されているメッセージの
ＭＡＣを彼は訂正することができないので、変更された
メッセージと一貫していなければならないメッセージの
ＭＡＣを変更することはできないであろう。

次にメッセージのメッセージ番号ＫＮはメッセージが前
に受信されたものの繰返しではないことをチェックする
ために調べられる。メッセージ番号が合理的で前に受取
りたメッセージと関係があるかどうかを知るためにチェ
ックすることができる。（失なわれたメッセージ、重複
メッセージ、および受取シ順序が不良のメッセージに関
する備えについては後に詳細に説明する。） メッセージがＫＮ試験およびＭＡＣ試験を通過すれば、
（メッセージ本体部分ＭＢが空でないと仮定して）メッ
セージは解読される。このため、ＭＫ区画のメッセージ
・キーが（メッセージ番号により識別される）基本キー
のもとに暗号化／解読ユニット４１を用いて暗号化され
てＩＶを得、これが再び基本キーのもとで暗号化されて
解読キーを得る。（解読用の■および解読キーは暗号化
用の■および暗号キーと同じである。）■および解読キ
ーは直接暗号化／解読ユニット４１Ｖｃ送られてＭＢ区
画の内容を解読するのに使用される（成るシステム・メ
ッセージ、たとえば成る承認メッセージは「本体」を備
えていない。そのＭＢ区画は空である）。

それでＭＢ区画の内容は成る種のシステム中メッセージ
であシ、これは制御回路３０によ多処理される。なおこ
のメッセージがＫＤＣから受信されているものとすると
、メッセージはＣＤＫキーを備えてよい。もしそうなら
、その受信したキーはＣＤＫＩレジスタ４６またはＣＤ
Ｋ２レジスタ４７に送られる。ＫＤＣのＣＤＫが変化し
た場合でも以前のＣＤＫを使用しているメッセージが新
しいＣＤＫが受信された後でも受信されることがあるた
め、一対の受信ＣＤＫレジスタが存在する。

二つの受信ＣＤＫ番号レジスタがあシ、これらには（や
はυＭＢ区画から）対応するＣＤＫ番号が送シ込まれて
いるので、ＣＤＫで暗号化されたメッセージを受信した
とき適切なＣＤＫを識別することができる。ＣＤＫはそ
のもとで暗号化された固定されたかなシの数のメッセー
ジが送出されてはじめて変えられるから、以前のＣＤ　
Ｋを二つ以上保存しておくことは決して必要が無いと仮
定しても危険ではない。（捨てられたＣＤＫが必要にな
った場合には何か他に根本的に悪いものがあるであろう
。） ＵＡとＫＤＣとのリンク システムは、すべてのＵＡ（ユーザ機器）ＫＵＭＫ（ユ
ーザーマスタ・キー）が設置されているが他にはキーが
存在せず通信リンクも存在しない状態で、始動する。Ｕ
　Ｍ　ＫがＵＡに設置されるとすぐ、ＵＡとＫＤＣとの
間Ｋ　リンクが設置されなければならない。これを始め
るには、制御データ・キーＣＤＫを発生してＵＡのＣＤ
Ｋレジスタ３４に格納し、システム・メッセージを（レ
ジスタ３９にあるそのユニークなメッセージ・キーＭＫ
を用いて）ＵＭＫのもとで暗号化して構成し、ＫＤＣに
送信する。こうしてＫＤＣはＵＡがＵＭＫを設置したこ
と、およびＣＤＫがＵＡとＫＤＣとの間のリンクの両端
に設置されたことを知るので、ＣＤＫをＵＡからＫＤＣ
への将来の通信に使用することができる。ＫＤＣは承認
メッセージをＵＡに送シ返してＣＤＫを受取ったことを
認める。

その他に、ＫＤＣは、同じ方法で、このＵＡ用にＫＤＣ
自身のＣＤＫを発生し、Ｕ　Ｍ　Ｋのもとで暗号化して
、ＵＡに送信する。Ｕ　Ａはこのメッセージを受信し、
これを解読してＫＤＣからのＣＤＫを得る。こうｌ−て
ＵＡとＫＤＣとの間に、各方向に一つづつの一対のＣＤ
Ｋを用いてリンクが設置される。リンクの両端は今後の
メッセージを暗号化するために発生されたＣＤＫを使用
するとともに、リンクの他端から受信する今後のメッセ
ージを解読するため他端から受信したＣＤＫを使用する
。メッセージを送ることができる二つの方向に対してこ
のように一対のキーを使用することはＵＡ同志の間のリ
ンクの場合にも行われる。

ＵＡからのＣＤＫを備えたメッセージをＫＤＣが受取っ
たことの承認を別々の異なったメッセージにする必要は
ないが、その代、９ＫＤＣから七のＣＤＫをＵＡに送信
するメンセージの一部として入れることができる。その
メッセージは今度はＵＡによシ承認される。したがって
Ｃ１）Ｋの交換は三つのメッセージで行われる。すなわ
ち、ＵＡからＫＤＣへのＣＤＫと、ＫＤＣからＵＡへの
ＣＤＫによる受信の承認と、ＵＡからＫＤＣへの承認と
である。

このようにＵＡとＫＤＣとの間のリンクは各方向に別個
のＣＤＫを備えた双方向のものである。

この方法でＵＡとＫＤＣとの間に一部リンクが設置され
ると、両ユニット間の今後のほとんどすべてのメッセー
ジはＣＤＫを基本キーとして用いる。

ＣＤＫの使用が所定限度を超えると、新しいＣＤＫが作
られ、上述のようにＵＭＫによる暗号のもとに送信され
る。ＵＡとＫＤＣとの間のメッセージの流れは比較的少
ないので、この２レベル（ＵＭＫとＣＤＫ）の階層は、
ＵＭＫの変更を稀にしか必要としないシステムき当分の
開動作させるのに充分である。事実、ＵＭＫの使用は、
以下でわかるようＫ、新しいＬＭＫが必要なとき、ＵＡ
間の成る通信にも依存する。ＵＡとＫＤＣとの間のメッ
セージは一般にユーザ（ＵＡ）が他のユーザ（ＵＡ）と
のリンクを設置または破壊したいときにのみ必要であり
、これは（リンクは実質的に永続的であると見なされて
いるので）稀に、しかもＬＭＫを更新する場合にしか起
らない。

一般に、リンクを伝わって二つの方向に流れるメッセー
ジ（ユーザであろうとシステムであろうと）の数は互い
に同じである必要はない。したがって続いて起る新しい
ＣＤＫの個々の更新ではリンクのＣＤＫの一方の更新し
か行なわれない。このような更新では新しいＣＤＫを成
る方向へ送出し、これに対する承認メッセージが逆方向
に送出される。

必要ならば、システムが最初に立上げられる際必要なす
べてのリンクを設定するように、ＫＤＣをプログラムす
ることができる。これを行なうには各ＵＡのキー輸送ユ
ニット３１（第２図）にかなシの数のシス′テム・メッ
セージを格納する。これらシステム・メッセージは暗号
化が不必要である（このメッセージはＵＭＫと共に輸送
され、その安全性は、ＵＭＫの安全性と同様に、物理的
であるため）。もしこうしなかつたなら、これらのシス
テム・メッセージは、システムが最初に動作状態になっ
たときＫＤＣと各ＵＡとの間で送信されなければならな
いことになるものである。これによりＫＤＣＩＣ関する
システム・メッセージの最初の数が著るしく減少する。

ＫＤＣの構造はＵＡの構造と同じであシ、第３図にブロ
ックの形で示しである。制御ユニット５０（第２図に示
すＵＡの制御ユニット３０に対応）と一つのメソセージ
・アセンブリ処理回路５１が設けられ、メッセージ拳ア
センブリ処理回路５１にはメッセージ・アセンブリ・レ
ジスタ５２（メッセージ・アセンブリ・レジスタ３７に
対応）がある。暗号化／解読ユニット、メッセージ認証
コード計算ユニット、およびＭＡＣコンパレータの関連
回路はここではメッセージ・アセンブリ処理回路５１の
一部と見なしてちゃ別個には図示してない。ＫＤＣには
各ＵＡに対してキー・レジスタと使用カウンタの集合体
が個別に設けられている。ここでは、送出の場合ＫＤＣ
が使用するキー（すなわちＶラスタ３２．３４、および
３９．および関連する便用カウンタおよびキ二番号レジ
スタに対応する）、およびＵＡがＫＤＣＫメッセージを
送る場合に使用するキー（すなわちレジスタ４６と４７
および関連レジスタ４８と４９に対応する）の各集合体
を、ブロック５３．５４．５５、・・・・・・で示して
あ不。ブロック５３．５４．５５、・・・・・・はセレ
クタ回路６１で制御されるマルチプレクサ６０によりメ
ッセージ・アセンブリ処理回路５１に対して多重化され
ている。セレクタ回路６１の内容によシ、ブロック５３
．５４．５５・・・・・・　から適切な一つを選択して
受信メッセージを処理し送出すべきメッセージを準備す
るキーを得る。このようにしてメッセージが受信される
と、セレクタ回路６１にメッセージ・アセンブリ・レジ
スタ５２のＳＣ区画の内容が入れられる。この区画に受
信メッセージのソースコードが入ワておシ、従ってとの
ＵＡからメンセージが来たかを識別する。受信メッセー
ジを送出したび人に応答メッセージを送シ返さなければ
ならない場合には、セレクタの内容は変更されず、これ
によジブロック５３．５４．５５・・・・・・のうちの
適切な一つが応答メッセージの準備のため選択されたま
まになる。しかし、メッセージを別のＵＡに送出しなけ
ればならない場合には、セレクタ回路６１の内容をもち
ろんそれに従って変えなければならない。これは、たと
えば、リンクを設置している最中に生ずる。ＵＡＩから
ＫＤＣへのリンクの設置を要求するメッセージには、そ
のＭＢ区画に、ＵＡＩ向けのコードが含まれておシ、こ
のコードは適切なメッセージをＵＡ２に送出するためセ
レクタ回路６１に転送しなければならない。二つのコー
ドはこの場合、メッセージがＵＡｌおよびＵＡ２へまた
これらから送受されるので、セレクタ回路６１によシ交
互に使用される。

ＵＡ間の通信 通信が可能なためには、ＵＡ対の間にリンクが設定され
なければならない。このような各リンクはＵＡｌＯＪ′
−ＫＤＣに自分と他の指定したＵＡとの間にリンクの設
定を要請することによって設定される。Ｋ　Ｄ　Ｃは、
リンクに含まれることになるいずれのＵＡも他ＯＤＡと
の間で備えることができるリンクの数に関する上限を超
えていす、要求されたリンクの「受信」端にあるＵＡが
リンクの受入れを拒絶しなければ、要求されたリンクを
設定する。一旦リンクが組立てられてしまうと、両端の
ＵＡは同等の立場に立っているという点で対称である。

どちらも他に対して送信することができ、あるいはリン
クを切る決断をすることができる。

リンクを設定するプロセスを第［［Ａ表に要約しである
が、この表ではリンクを要求するＵＡはＵＡｌと呼ばれ
、ＵＡｌがリンクを持ちたい相手のｔＪＡをＵＡ２と呼
んでいる。

第［Ａ表 ＵＡ１→ＫＤＣ：ＵＡＩがＫＤＣにＵＡ２とのリンクを
要請する。

ＵＡ２←ＫＤＣ：ＫＤＣがＵＡ２に送信ＬＭＫと受信Ｌ
ＭＫを送る。

ＵＡ２→ＫＤＣ：ＵＡ２が受信を確認する。

ＵＡＩ←ＫＤＣ：ＫＤＣがキーをＵＡＩＩＣ送る。

一層詳細には、ＵＡＩのユーザが、ＵＡＩのユーザによ
シ指定された他のＵＡであるＵＡ２とリンクを設定した
いとき、ＵＡＩはシステム・メッセージをＫＤＣに送る
。このシステム・メッセージは、ＵＡｌがＫＤＣへのシ
ステムＯメッセージに使用する（もちろんＣＤＫ更新に
関連するシステム・メッセージを除く）キーである、Ｕ
ＡＩのＣＤＫキーを基本キーとして使用し暗号化して送
られる。そのメッセージ−タイプはＵＡｌがリンクを設
定することを要求していることを示し、メッセージ本体
はＵＡ２のコードを含んでいる。このメッセージを受信
すると、ＫＤＣは一対のランダムなＬＭＫを作り、メッ
セージをＵＡ２に送る。

そのメッセージのメッセージタイプはＵＡ２にＵＡ１と
のリンクを受入れたいか否かを尋ね、またメッセージ本
体はＵＡＩおよび二つのＬＭＫのコードを有している。

これらはすべて基本キーとしてＫ　Ｄ　ＣからＵＡ２に
メッセージを送るのに使用されるＣＤＫを使用して暗号
化されている。ＵＡ２がこのメッセージを受取ると、そ
のユーザはリンクを受入れるか否かの意志決定をしなげ
ればならない。リンクが受入れられれば、メッセージは
ＵＡ２からＫＤＣに送られる。このメソセージはリンク
の受入れを示しまたＵＡＩのコードを含んでいる（ＵＡ
Ｉのコードをここに入れるのは他のＵＡに関連する設定
用メッセージから区別するためである）。このメッセー
ジはまた、メッセージをＵＡ２からＫＤＣに送るのに使
用されるＣＤＫを基本キーとして使用して暗号化される
。ＫＤＣは、このメッセージを受取ると、メンセージな
ＵＡＩＫ送ってＵＡ２によるリンクの受入れを示すとと
もに、メッセージをＫＤＣからＵＡＩに送るのに使用さ
れるＣＤＫを基本キーとして使用して暗号化したＵＡ２
のコードおよび二つのＬＭＫを取入れる。この結果、二
つのＵＡすなわちＵＡＩおよびＵＡ２は今は互いに直接
通信するのに使用することができる一組のＬＭＫを共有
することになる。

リンクを設立できない一定の状況が存在する。

実際問題として、ＵＡにはこのようなリンクを維持する
ための限られた容量しか設けられていない。

したがってＵＡＩが既に可能最大数リンクを持っている
場合には、他のリンクを設定しようとすることを拒むこ
とになる。ユーザには現存するリンクを切ってそのＵＡ
が新しいリンクを受入れる容量を作υ出すようにする選
択権がある。また、ＵＡ２が既に可能最大数のリンクを
持っていることもある。そのときはＫＤＣにシステム・
メッセージを戻してこの旨を示し、ＫＤＣは今度はシス
テム・メッセージをＵＡｌに送って要請したリンクが拒
絶されたことを示す。（望むならば、ＵＡ２をそのユー
ザにＵＡＩがリンクを要求していることを示し、そのユ
ーザが現存するリンクを切って、要求されたＵＡｌとの
リンクを受入れる容量な作）出すように構成することが
できる。）加えて、上に記したように、ＵＡ２にこのよ
うな能力があれば、そのユーザは要求されたリンクを受
入れるべきか否かを尋ねられ、もしユーザが拒絶すれば
、ＵＡ２は再びＫ　Ｄ　Ｃにこのことを示すシステム・
メソセージを送る。このようなシステム・メッモジをＫ
ＤＣに送るとＫＤＣは何が起ったかを示す対応メッセー
ジをＵＡＩに送、９．ＵＡＩのユーザは要求したリンク
が拒絶されたことを知る。（安全システムではユーザの
要求が拒絶されたとき、拒絶の理由が示されないのが普
通である。）第４図に、第２図に示したよシも概略的に
ＵＡの構成を示す。メソセージ・アセンブリ処理回路は
ブロック７５で示してあり、メッセージ會アセンブリ・
レジスタ３７、暗号化／解読ユニット４１、およびメッ
セージ認証コード計算ユニット４２を備えている。数ブ
ロックのキー・レジスタおよび関連回路が存在する。ブ
ロック７０は第２図に示す各種キー・レジスタとそれに
関連するカウンタとを含んでおシ、すべてＫＤＣとの通
信に関係する。ブロック７１．７２、・・・・・・は同
様なキー・レジスタとカウンタな備えているが、各ブロ
ックは別々のＵＡとの通信と関係するみ従って、これら
各ブロックはとのＵＡがそのブロックに関連しているか
を識別するＵＡアドレス・コード−レジスタ（レジスタ
７３）を備えている。これらレジスタには、当該ＵＡの
ユーザが他のＵＡとのリンクを要求して認可されたとき
、および他のＵＡが当該ＵＡとのリンクを要求し認可さ
れたとき、この他のＵＡのアドレス會コードが入れられ
る。ブロック７０．７１．７２、・・・・・・はマルチ
プレクサ７４により選択される。ＫＤＣ用のブロック７
ｏの場合、選択はメッセージ・アセンブリ・レジスタ３
７のＳＣ区画または制御回路３０により直接制御される
。他のブロックの場合には、選択は（着信メッセージに
応答して）メッセージ・アセンブリ・レジスタ３７のＳ
Ｃ区画にあるアドレス・コードと各種レジスタ７．３の
内容とを比較することＫより決定される。送信メッセー
ジの選択の場合には、選択はユーザが決定する（実際に
はそのアドレス・コードに対してユーザが定義したＤＡ
識別子を格納するＰＣｌ４に格納されている表を用いて
間接的に行なわれる）。

ブロック７１．７２、・間引まＵＭＫレジスタが含まれ
ておらず、ＵＡにはもちろん、ブロック７゜に入ってい
てキーの全階層の最高レベルを形成する送受用の唯一つ
のＵ　Ｍ　Ｋだけが存在することがわかるだろう。これ
ら各ブロックは二つの送信キーＬＭＫとＬＤＫ、および
受信キーの各レベル（この場合、ＬＤＫＩおよびＬＤＫ
２）ｌｃ２つのキーを有している。低レベル・キーＬＤ
Ｋは比較的稀にしか（たとえば５ｏメッセージおき′Ｖ
Ｃ１回）変らないので、現在のおよび直前のバージョン
以外のものを保存しておくことは不必要であり、また高
レベル・キーは、たとえ稀でも、変化するので、直前の
バージョンの他に現在のものをも保存して丁度それが変
化したときに対処しなければならない。

一部リンクが設定されると、ユーザ・メッセージをＵＡ
ＩからＵＡ２にまたはその逆に送ることができる。リン
クは明らかに一つのＵＡによる要求に応じて設定されな
ければならないが、一旦設定されてしまえば、それは対
象的である。ユーザ・メッセージを送るには、そのプロ
セスはシステム・メッセージの送出とほとんど同じであ
る。しかし、メッセージ・アセンブリーレジスタ３７の
メッセージ本体区画ＭＢは限られた長さしかない。

セレクタ・スイッチ７６はメッセージ・アセンブリ・レ
ジスタ３７０ＭＢ区画から暗号化／解読ユニット４１へ
の接続経路中に入っており、ユーザ・メッセージに対し
ては、メッセージの本体は、連続する６４ピツトのブロ
ックとして、レジスタ部分からではなくＰＣｌ４から暗
号化／解読ユニッ）４１に送シ込まれ、暗号化されたメ
ッセージは１ブロツクづつＰＣｌ４に送シ返される（Ｐ
Ｃｌ４はこの点ではインターフェース−ユニット４３と
して動作する）。次にメッセージのＭＡＣが計算されて
メッセージ・アセンブリ・レジスタ３７０ＭＡＣ区画に
送シ込まれる。メッセージの長さは、たとえば、ＭＴ区
画の一部としであるいはメッセージ本体の最初の部分と
して含まれている長さ値によって示される。

メッセージ認証コード計算ユニット４２は同時に暗号器
として動作するように構成することができるので、メソ
セージ本体の暗号化が始まる前へメッセージ・アセンブ
リ・レジスタ３７中のＭＢ区画の左側の内容をメッセー
ジ認証コード計算ユニット４２へ与え、次にメッセージ
本体がユニット４１から出て来るにつれて、１ブロツク
づつそこへ与える。これにより最後のＭＡＣがメッセー
ジ本体の最後の暗号化ブロックの直後に利用できる。た
だし、ＭＡＣの計算には実際暗号化と同一のプロセスが
含まれているので、実際には暗号化／解読ユニット４１
を用いて行うのが望ましい（それ故メッセージ認証コー
ド計算ユニット４２は物理的にユニット４１とはりき部
分れたユニットとしては存在しないが、もちろんその論
理的機能は明確に分かれている）。もちろん、この場合
には、ＭＡＣは暗号化と並行して計算することはできず
、暗号化の後で計算しなければならない。

ユーザ・メッセージが受信されると、受取シを確認する
特別なユーザ・メッセージが自動的に発生され、送信者
が要求する場合には、送信元ＵＡに戻される。このよう
な要求は適切なメッセージ・タイプＭＴで示される。

通信媒体１１は信頼性が充分ではないので、通信媒体１
１によるメッセージ喪失の可能性、二つのメッセージの
順序の反転、およびメッセージの重複に対する備えを設
ける必要がある。これら設備はユーザ会メッセージとシ
ステム・メッセージとでは異なる。ユーザ・メッセージ
に対する設備についてここに説明することにする。もち
ろんメッセージが失なわれたということは、以後のメッ
セージが受信されるまでは検出することは不可能である
。

これらの設備は主として、二つの受信ＬＤＫレジスタＬ
ＤＫ１とＬ　Ｄ　Ｋ　２に関連する１対のビット・レジ
スタ（ビット・マツプ）７７と７８から構成されている
。各ブロック７１．７２、・・団・はこれらレジスタの
それぞれの組を備えている。ブロック７１についての組
を第４Ａ図に示す。レジスタ７７と７８の長さは、ビッ
ト数で表わせば、対応する送信元ＵＡのＬＤＫキー・カ
ウンタが０にリセットされるときのカウントに等しい。

各ユーザ・メソセージが受信されるにつれて、送信元Ｕ
ＡのＬ　Ｄ　Ｋの使用カウントに対応するビット（これ
はメッセージ番号Ｋ　Ｎの一部である）がセントされる
。受信されたメッセージに対応するビットが既にセット
されている場合には、メッセージな既に受取っているこ
とを示す。したがって今回受取ったバージョンは重複し
ているものであり。

システムによって捨てられる。

ユーザ・メッセージが受信されなければ、通常はシステ
ム動作は起らない。事実、システムは、メッセージ番号
が必らずしも連続していないので、喪失されたユーザ・
メッセージを識別できるようにはしない。それ故セット
されているビットより順番が若いセットされていないビ
ットは、ユーザ・メッセージが末だ受信されていないと
いうことではなく、その番号を持つユーザ・メッセージ
が存在しないということを意味するかもしれない。

システムは、ユーザ・メッセージが脱落していることを
、次のメッセージを受取った時点で識別することができ
るように修正することができる。

これは、たとえば、ユーザ・メッセージに、既述のメッ
セージ番号とともに厳密に連続した番号をも与えること
によシ、あるいは各ユーザーメッセージに先行ユーザ・
メッセージのメッセージ番号を入れることによシ行５こ
とができる。ただし、これを行ったとしても、メッセー
ジが受信されなかったことがわかったときどんな処置を
取るかの決定権をユーザの手に残しておくのが望ましい
。

たとえば見掛は上失なわれたメッセージが無くなったの
ではなく単に遅れているだけでまだシステムの途中に存
在しているということがある。ユーザは事態をそのまま
にしておくかあるいは彼自身のユーザーメッセージを失
なわれたメッセージの再発信を要求している他のＵＡの
ユーザに送るかついずれかを選択することができる。こ
のような再発信はシステムに関するかぎυ全く新しいユ
ーザ・メッセージの送信として行われることになム新し
いメッセージが事実前に送りだが失われたメッセージの
繰返しであることの指示を入れるのは送信元ユーザの義
務である。

上述のとうり、ユーザ・メッセージが受信されると、確
認メッセージの送出が行われる。確認メッセージは特別
な種類のユーザ・メッセージとしてシステムによって自
動的に発生される。したがって、ＵＡは送られたこのよ
うなメッセージの記録を保存し、この記録は受信の確認
が返送されたとき更新されるように構成することができ
る。これを実現するには、たとえばそのメッセージ・タ
イプが自動確認であることを示しているメッセージにつ
いてのみビットがセットされるビット・マツプを用いた
り、あるいはこのようなメッセージのメッセージ番号の
記録を保存したりすればよい。

これが行われると、ユーザは、確認がとられることが必
要なそのユーザのユーザ・メッセージのうちのどれがま
だ確認されていないかをつきとめ、そのユーザが適白と
考えるところにしたがってそれらを再送することができ
る。もちろん、確認の無いことが必らずしも元のメッセ
ージが意図したデスティネーションに到達していないこ
とを意味するものではない。単にそれに対する確認のメ
ッージが意図するデスティネーションに到達していない
ことを意味することもある。したがって、ユーザに対し
て儀礼上の問題および良い慣習として、正しい繰返しで
あるメッセージを送ったときは必らず、それが前のメッ
セージの再送であることを示すようＫすることが望まれ
る。

リンクの最初の設定は二つのＵＡおよびＫＤＣの間の各
種の可能なメッセージのシーケンスによって行うことが
できることが理解されるであろう。

このようなシーケンスの二つの例を第［８表および第■
Ｃ表に示す。

第［１３表 ＵＡＩ−一−−→ＫＤＣ：ＵＡｔがＫＤＣＫＵＡ２との
リンクを要求する。

ＵＡ２←ＫＤＣ：ＫＤＣがＵＡ２に ＵＡＩとのリンクを受入れるか尋ねる。

ＵＡ２→ＫＤＣ：ＵＡ２が確認し同意する。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤｅが受信キーをＵＡ
ｌとＵＡ２に送る。

ＵＡＩおよびＵＡ２→ＫＤＣ：ＵＡｌとＵＡ２が受信を
確認する。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣが送信キーをＵＡ
ＩとＵＡ２に送る。

第■Ｃ表 ＵＡｌ−一→ＫＤＣ：ＵＡ１がＫＤＣにＵＡ２とのリン
クを要求する。

ＵＡｚおよびＵＡ２←ＫＤＣ：ＫＤＣが受信キーをＵＡ
ＩとＵＡ２に送る。

ＵＡＩおよびＵＡ２→ＫＤＣ：ＵＡＩとＵＡ２が受信を
確認し、ＵＡ２が受入れる。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣが送信キーをＵＡ
ＩとｔＪＡ２に送る。

これらのシーケンスは、成る段階で、二つのメッセージ
が同時にＫ　Ｄ　Ｃから送出され、且つ二つのメッセー
ジが多かれ少かれ同時にＫＤＣに返送されるという点で
、第［Ａ表のシーケンスより複雑である。また、第ＪＩ
Ｂ表のシーケンスは４段階ではなく６段階から成るので
、第■Ｃ表のシーケンスは第１Ｂ表のシーケンスよシ望
ましい。

これら二つのシーケンスにおいて、プロセスはＵＡ２が
提案されたリンクの受入れを拒絶すれば３番目のメッセ
ージの段階でアボートする。この事態が発生すれば、Ｕ
Ａ２は拒絶のメッセージを３番目のメッセージとしてＫ
　Ｄ　Ｃに送り、ＫＤＣは「リンク拒絶」メソセージを
４番目および最終メッセージとしてＵＡＩに送る。最後
の二つのシーケンスの場合、各ＵＡはその受信キーを他
のＵＡがその送信キーを受信する前に受信することに注
意されたい。これはＵＡは他のＵ　Ａがそのメッセージ
を受信するのに必要なキーを所有するまではこの他のＵ
Ａにメッセージを送ることができないことを意味する。

第［Ａ表のシーケンスの場合、ＵＡＩはＵＡ２がＵＡＩ
の送信キーを受取るまではメッセージを送ることができ
ないが、ＵＡ２は送信キーをＵＡＩカＵ　Ａ　２の送信
キーを（ＵＡＩの受信キーとして）受信する前にその送
信キーを得るので、ＵＡ２はＵＡＩがこれを解読するた
めの必要キーを所有する前にＵＡＩＫメッセージを送信
することができる。この状況はリンクが最初に設定され
るときにのみ発生し得る。そこで、リンクき要求したＵ
Ａｌが最初にメッセージを送りたくなることはありそう
なことである。しかしＵＡＩが解読用キーを受取る前に
ＵＡ２がメッセージを送ろうとすることは起る可能性が
ある。その結果、メッセージは。

メッセージ番号からそれがメッセージを解読するに必要
なキーを所持していないことを知ったＵＡＩＫより拒絶
されることになる。ここで一つの選択は単にメッセージ
を却下して、それが実際上失われるようにすることであ
る。メッセージがシステム・メッセージである場合には
、後に説明するような処置が取られる。それがユーザ・
メッセージである場合には、これは上述のように処理さ
れ、この送信はおそらくメッセージが受信されないこと
を見つけるだめのユーザ自身のリソースに委ねられる。

あるいはＵＡはこのようなメッセージを格納してそれら
を解読するためのキーの受信を待つように構成すること
ができる。

リンクが確立された後、ユーザがリンクの他端のＵＡと
これ以上通信する必要がないことを確信していれば、ま
たは１−ザが他のリンクを設置したいがこのＵＡが収容
できる最大数のリンクを既に持っていてそのため現行の
リンクを終結して新しいリンクの余地を作ることだけし
かできなけれ＆くこのＵＡはこのリンクを終結させたい
かもしれない。これを達成するには、ＵＡＩはそれ自身
からリンクに関する情報をすべて削除してリンク終結シ
ステムφメッセージをＫ　Ｄ　Ｃに送る。ＫＬ）Ｃはこ
れを記録してシステム・メンセージをＵＡ２に送りＵＡ
２からこのリンクに関するすべての情報を削除すること
を指示する。ＫＤＣは、削除が存在しないリンクに関す
るものである場合にはエラーとしてリンク削除を記録す
る。（このような「エラー」はリンクの両端が同時にリ
ンクの終結を要求する場合には自然に発生する可能性が
ある。というのは、他のメッセージが他方のメッセージ
のＫＤＣへの到達前にＫＤＣに到達してリンクを終結す
るからである。） システム・メッセージ・エラーの回復 上に記したように、メッセージは種々な経緯で「失なわ
れる」ことがあシ、また（通信媒体１１のくせによるか
または部外者が記録しては故意に再生することにより）
重複することがある。ユーザ・メッセージに関しては、
このような事態を処理する方法について上述した。シス
テム・メッセージに関して、このような事態を処理する
方法を説明しよう。

システム・メッセージの場合、失なわれるものが皆無で
且つ正しい順序で処理されることが肝要である。ＵＡの
各リンク（すなわちＫＤＣとの永続リンクおよび他のＵ
Ａとの各リンク）毎に、そのリンク上に送出される（単
なる確認とは別の）システム・メソセージはすべて格納
される。これらは以下の二つの状況で記憶装置から除去
される。

すなわちそれらに対する確認メッセージを受信したとき
、またはそれらが冗長になったときである。

新しいシステム・メッセージが送出されるたびに、新し
いパケットが準備され、このパケットに、記憶装置に入
っているすべてのシステム・メッセージが新しいシステ
ム−メッセージをパケットの最後に置いて正しい順序で
入れられる。このようにして新しいシステム・メッセー
ジが発生するごとに、未確認でかつ冗長でない古いシス
テム・メッセージがすべてその前端に付加され、すべて
のメッセージ（つまシ、古いメッセージプラスこの新し
いメッセージ）はパケットとして送られる。それ故受信
側では、新しいシステム・メッセージが発生するごとに
、すべての未確認システム・メッセージの新しい組合せ
を正しい順序で受信する。

そこで、そのパケット中のどのメッセージの前にもすべ
ての未確認かつ非冗長メッセージが正しい順序で並んで
いるので、受信側は必然的にシステム・メッセージを正
しい順序で必らず処理することになる。もちろん、受信
側はその時点までにこれらのシステム・メッセージのう
ちのあるものな含んだより以前のパケットを受取ったこ
とがありそのシステム・メッセージについては既に処理
がなされていたかもしれない。受信側は、リンクごとに
、処理を行なった最後のメッセージの記録（メッセージ
番号による）を保存１−ニーるので、重複しているメッ
セージ、特に今受取ったパケットに入っているそのよう
なすべてのメッセージを含めて、すべて無視する。受信
側は新しいパケットが届くとすぐそのパケットに入って
いるメッセージへの応答を開始する。

確認メッセージはメソセージの受信を確認する以外の何
者でもない単なる確認メッセージであることがあり、あ
るいは成る情報を運ぶ普通のシステム・メッセージであ
ることもある。後者は着信システム・メッセージに応答
して発せられるので、その先行メッセージを暗黙裡に確
認する。システム・メッセージはその効果が後のものに
より取消されると冗長なもの忙なる。たとえば、リンク
の設定を要求するメッセージはそのリンクの解消を要求
する後のメッセージにより取消される。

厳密に言えば、重複メッセージは完全に無視されるので
はない。重複メッセージが検出されると、単なる確認が
送信側に送シ返されるが、このメッセージにはそれ以上
の処理が加えられることはない。これは通常のメッセー
ジの確認がシステム内で失なわれてしまっていることが
あるからである。

仮に送信側がそのメッセージに対する確認を以前に受取
っていれば、そのメッセージは再送されなかったであろ
う。そこで、もし重複メッセージの確認が送られなけれ
ば、送信側はそれを繰返して送シ続けるであろう。だが
、送信側がメッセージに対する確認を受取れば、確認メ
ッセージのメッセージ番号以上のメッセージ番号を持つ
すべてのメッセージを再送記憶装置から安全に削除する
ことができる。何故なら、メッセージは、すべての先行
メッセージが順当に受信されている場合に限り、受信側
によりて受信され、処理され、且つ確認されることがで
きるからである。

これにより、すべてのシステム・メッセージが正しい順
序で確実に処理を受けることが保障され、また新しいメ
ッセージが発生されるごとに行われる自動再送信により
最後のメンセージがより以前のメッセージの再送によっ
て遅れることがないということが保障される。その他に
、メッセージを再送する第２の方法がある。メッセージ
・パケットの送信後新しいメッセージを発生せずかつ確
認も受取らないままに充分長い時間が過ぎたら、記憶装
置９５に記憶されている現メッセージのパケットが自動
的に再送される。

このようなパケットを構成することにより、メッセージ
は常に正確に同じ形で送信される。ただし、メッセージ
は現在の基本キーのもとで再暗号化される。パッケージ
全体をひとつのユニットとしてまたは単一のメッセージ
として送信することが可能である。ただし、その中の個
々のメッセージが解読されるにつれて処理を受けること
ができるような形で送ることが望ましい。そうすれば、
メッセージが中断されたｂｔｉつけられたりした場合、
その一部分だけが失われ、受信側は最新の状態に向かっ
て途中まで進んだ状態に居ることができるからである。

これが意味しているのは、パッケージの認証は、ここの
事態は発生する可能性はあるがパケットはなお妨害から
保護されていて部外者がシステムを偽のメッセージに応
答するようにだますことができないようにτ′Ｌも丁し
なければならないということである。

パケットのフォーマットは、メソセージ・アセンブリ・
レジスタの左端（ＳＣ，ＤＮ、ＭＴ、ＫＮ、およびＭＫ
の各区画）にある通常の「ヘッダ」情報で始まる。ＭＴ
区画の内容はメッセージが二つ以上のメッセージのパケ
ットであることを示すインジケータ・ビットを含んでい
る。ＫＮ区画のメッセージ番号は今のメッセージのメッ
セージ番号である（このメッセージはパケットの最後に
あるもの）。パケットの最初のメッセージは格納されて
いるメッセージである。このため、パケットに入ってい
るすべての格納メッセージに関しては、ソースコードや
デスティネーシコンコードは心安がなく、特別なＭＫも
心安がない。したがってそれは省略形メッセージとして
組立てられ、そのメッセージタイプ（もしこれが一連の
格納メッセージの最後のものでない場合にはインジケー
タ・−ビットが付いている）、メッセージ番号ＫＮ、お
よびメッセージ本体ＭＢ（もしあれば）から構成される
。またＰＭＡＣ区画を備えており、これは（単一メソセ
ージに関して）空白である。このよ５１７Ｃ組立てられ
たパケットのＭＡＣが計算されてΔｉＡＣ区両に入れら
れる。

パケットの次の区画を今度は、次の格納メッセージを、
あるいは格納メッセージがもうすべて入れられてしまっ
た場合には、現行メッセージを、取入れて組立てる。こ
のため、パケットの前のメッセージに対して計算したば
かシのＭＡＣをＰＭＡＣ（前のＭＡｃ）部分に入れ、こ
のＰＭＡＣ値を暗号化し、パケットの現在の部分に取入
れられているメッセージについて計算された新しいＭＡ
Ｃによシカバーされているフィールドに入れる。

このプロセスは現メッセージがパケットの最終部分を形
成するまで続けられる。現メッセージのＭＢ区画にはＭ
Ｔ区画およびＫＮ区画は含まれない。

なぜならこれらは既にパケットのヘッダに入っているか
らである。） このパケット構造ではパケットを１メッセージづつ解体
し、解読し、処理することができることが明らかである
。その上、個々のメッセージおよびそのシーケンスはと
もにＭＡＣのシーケンス鎖によって認証される。各ＭＡ
Ｃはそれに先行するメッセージの完全性を確認し、各メ
ッセージはそれに入っている前のメンセージのＭＡＣを
所持しているので、シーケンスの変化（メッセージの順
序変え、削除、または繰返し）があれば、シーケンスを
逸脱したメッセージが届くとすぐにそのＭＡＣはチェッ
クを通らなくなることになる。

受信側は、パケット中の個々のメッセージに個別に応答
する。ただし、応答メッセージはどれも（単なる確認メ
ッセージ以外の）即座には送出されずにメッセージ記憶
装置に入れられ、その着信パケットが完全に処理されて
しまってはじめて、これらの応答メッセージは単一パケ
ットとして（古い未確認メッセージとともに）送出され
る。（もしこうしないならば、これら応答は、一連のよ
シ長いパケットとして、繰返し送出しなければならなく
なる。） 上記のように、パケットの長さは、メッセージを鎖状に
接続すること、および各メッセージのＭＴに、以後に続
くメッセージが存在するか否かを示すビットを入れるこ
とにより黙示的に示される。

これによりもちろん受信側は、ＭＢ本体にそのＭＴとＫ
Ｎが入っている再送信メッセージと、パケットのヘッダ
にそのＭＴとＫ　Ｎが入りている現メッセージ（パケッ
トの最後のメッセージ）とを区別することができる。代
シの技法は、ヘッダ中くたとえばＭＴ区画またはＫＮ区
画の一部としてバケット長さ値（メッセージの数）を入
れることである。

新しいシステム・メッセージが発生するととに未確認シ
ステム・メッセージのすべてをこのように再送信する方
式では、不必要な再送信は非常洗わずかしか起らない。

再送信が不必決であると正当に言うことができるのは、
メッセージは正しく受信されたがその確認を元のＵＡが
未だ受取っていない場合か、あるいはその確認が道に迷
ってしまった場合だけである。代案としては、受信側が
受取った最後のメッセージのメッセージ番号の記録をと
っておき、新しいメンセージがその番号の次の順番のメ
ッセージ番号を持っていないことがわかった場合に、失
なわれたメソセージの再送信の要求を送ることである。

しかしこの技法は厳密に連続したメッセージ番号を使用
することを心安としており、また受信側が現メッセージ
を処理することができる前は二つのメッセージ伝達（要
求と応答）をするという遅れを生じ、これら「回復」メ
ッセージが道に迷りた場合には、なお更に遅れる。シス
テム・メッセージは比較的短く、それ故１つのパケット
によシ未確認メッセージを皆再送信する費用は高価にな
シそうもないということも注目しておいてよい。これは
ユーザ・メッセージの場合とは対照的である。ユーザ・
メッセージの長さは非常にばらつきやすく、且つ非常に
長いことがあるからである。

パケットは（単一のユーザ・メッセージと比較して）か
なシのまた可変の長さを持っているか板パケットは再送
信のためユーザ・メッセージと大まかには同じ方法で準
備され、連続するブロックは暗号化、解読ユニットに送
シ込まれ、暗号され認証されたメッセージは、発生され
るに従りてインターフェースｅユニット４３として働＜
ＰＣｌ４に蓄積される。

これらの動作に関係する装置を第３図、第４図、および
第５図に示す。端末（ＵＡまたはＫＤＣ）Ｋは、その端
末からの各リンク毎にそれぞれのシステム・メッセージ
格納ブロックがある。すなわち、ＫＤＣ内にはすべての
１末ＵＡＩ、ＵＡ２．ＵＡ３、・・・・・・へのリンク
についてブロック８５．８６．８７、・・・（第３図）
があシ、また各ＵＡ端末にはＫＤＣへのリンクとリンク
されている端末ＵＡ−Ｉ、ＵＡ−ｎ、・・・・・・とに
関するブロック９０，９１．９２、・・・（第４図）が
ある。これらブロックはもちろんメッセージアセンブリ
処理回路５１または７５にマルチプレクサ６０または７
４を介して接続されている。第５図はブロック８５の主
妾構成要素を示す。他のブロックは実質的に同じである
。未確認システム−メッセージを格納する記憶装ｆ！９
５があシ、これは幾分ＦＩＦＯ（先入れ先出し）記憶装
置のよ５に動作するが、非破１ａ読出しが行なわれる。

システム・メッセージは上からこの記憶装置９５に送シ
込まれ、それらが削除されるまで着実に下に移ってい（
。記憶装置９５の中のメッセージにはそれと対応してそ
のメッセージ番号ＫＮが区画９６に格納されている。レ
ジスタ９７は最後に確認されたメッセージのメッセージ
番号ＲＸＫＮを格納しており、これが変ると記憶装置９
５中のメッセージは、メッセージ番号ＲＸＫＮと一致す
るメッセージ番号を区画９６中に有しているメッセージ
まで上向きに削除される。新しいシステム・メッセージ
が用意されつつあるときは、なお記憶装置９５に入りて
いる古いメッセージはすべて上向きに、すなわち最も古
いものが最初に、非破壊的に読出される。次に新しいメ
ッセージが記憶装置９５の最上部に入る（また既に記憶
装置９５に入っているメッセージはすべて押し下げられ
る）。

事実には、キー階層内の基本キーのレベルによって、二
つのクラスのシステム・メッセージがあシ、それらはシ
ーケンスの異なるメッセージ番号Ｋ　Ｎを有している。

したがって記憶装置９５とレジスタ９７は二重になって
いるので、二つのクラスのメッセージは別々に格納され
、ブロック８５は二つのクラスのための二つの区画Ａお
よびＢから構成されている。高位の基本キー（すなわち
階層の高い基本キー）のメッセージはすべてパケット内
で低位の基本キーのメッセージに先行する。

このことはメッセージは元々発生した順序と厳密に同じ
シーケンスでは送られないということを意味する。ただ
し、この影響は幾つかの新しいキーがそうでない場合よ
りわずかに早く到達することがあるということだけであ
る。

ブロック８５はまた、システム・メンセージが最後に送
シ出されてから経過した時間を測定するのに使用される
タイマＴＭＲ９８を有し、このタイマ９８の時間が予め
設定された限界を超過したときまだ確認されていないシ
ステム・メッセージの再送信をトリガする。このタイマ
９８はバケットが送シ出されるごとにＯにリセットされ
る。

各ＵＡのブロック９０．９１．９２、・・・・・・は安
全モジュールに入っていて、再送信を待っているメッセ
ージのリストを考えられ得る部外者から安全に守るよう
になっている。ただし、Ｋ　Ｄ　Ｃでは、対応するブロ
ック８５．８６．８７、・・・・・・は安全モジュール
には入っていなくて、色々な理由のため、支援用記憶装
置に入りている。ＫＤＣにはすべてのＵＡとのリンクが
あるので、格納されているメッセージの数はＵＡのもの
よシはるかに多いと思われる。格納メッセージの喪失（
たとえば計算ユニットコンピュータ）１８の故障による
）は、（後に説明するように）ＫＤＣはバックアップお
よび復元の手続を所持しており、またＫＤＣはＵＡより
部外者による攻撃が少いと思われるので、ＵＡでの対応
する喪失はど重大ではない。支援用記憶装置に格納され
ているこのＫＤＣ情報は、偶然のまたは故意の変造に対
して、次に説明するローカル・メッセージ格納技法によ
って保護されている。

ローカル・メッセージ記憶装置 ＵＡにメッセージを安全に格納できることが望ましい状
況が存在する。したがってユーザは、ユーザ・メッセー
ジが受信されたときそこにいないかあるいはそのメッセ
ージを保存しておきたいかのいずれかのため、受信した
ユーザ・メッセージを安全に格納しておきたいことがあ
る。またユーザは、ＵＡ内に、自分が発生したユーザ・
メッセージのような資料を安全に格納したいことがある
。

本システムはこれら両方の設備を提供する。

受信したメッセージなＵＡに格納する場合には、受信し
たときの形、すなわち解読してない形でディスクメモリ
１５等の支援用記憶装置に格納する。

このことは、部外者が格納メッセージにアクセスするこ
とができたとしても、通信媒体１１に載りているメッセ
ージを傍受して得ることができた以上の知識を得ること
ができないこと、特に、通信媒体１１に現われたままの
メッセージを支援記憶装置に格納されているメッセージ
と比較しても何も得るところがないことを意味する。た
だしユーザはもちろん自分自身で後にメッセージを解読
することができなければならない。したがって、メッセ
ージにはそれを暗号化したＬＤＫが付属している。この
ＬＤＫは、キーが安全モジュールの外側に平文で存在す
ることを許容され得る状況はないので、それ自身暗号化
された形になっていなければならない。それでこれはキ
ー階層でその上にあるＬＭＫのもとで暗号化されて格納
されていもそのＬＭＫも、再び暗号化された形の、階層
の最上部にあるＬ　Ｍ　Ｋのもとで暗号化された、メッ
セージに付属している。ＬＭＫそれ自身は、階層の最上
部にあるので、暗号化することができず、メッセージの
一部として平文で格納することもできない。その代り、
メッセージが格納される時にこの識別番号を付加する。

キーは二つの異なる形で現われるべきではないというこ
とが重要である。各キー（ＵＭＫは別）は基本キー（そ
の上位のキー）およびメッセージ・キーのもとで暗号化
されて受信された。キーは安全モジュールのブロック７
０．７１．７２、・・・・・・に平文で（すなわち解読
されてから）格納される。

各キーはそのため受信されたときの暗号化された形で、
その暗号化に使用されたＭＫとともにこれらのブロック
に格納される。キーがメッセージに付加されると、格納
されている暗号化された形態および関連するＭＫが付属
部を形成するのに使用される。

ＵＡはＵＭＫａ歴記憶装置ＵＭＫＨ１０５（第４図）を
備えておυ、これには現在のおよび過去のＵ　Ｍ　Ｋが
そのシリアル番号（識別番号）とともに格納されている
。新しいＵ　Ｍ　ＫがＫＤＣブロック７０に入ると、そ
れはＵＭＫＨ履歴記憶装置１０５にも入る。メッセージ
への一連の付属部を発生するには、各種レベルのキーを
今度はメッセージ・アセンブリ処理回路７５の中で、そ
れぞれその上位のキーのもとで暗号化し、最後に現ＵＭ
Ｋのシリアル番号をブロック７０のＵ　Ｍ　Ｋキ一番号
レジスタ４０Ａ（第２図）から取る。（ＵｋｉＫ履歴記
憶装置１０５の容量は有限であるから、一杯になれば、
過去の古いＵ　Ｍ　Ｋがそれから取出されて、もっと最
近のＵ　Ｍ　Ｋのもとで暗号化された上でディスクメモ
リ１５に格納される。） 格納されたメッセージを回復するには、付属部を一つづ
つ第４図の回路に送る。この際、最初のものはＵ　Ｍ　
Ｋ　Ｈ歴記憶装置１０５から適切なＬ　Ｍ　Ｋを得るの
に使用するＵ　Ｍ　Ｋのシリアル番号であり、次の付ｉ
部はＵ　Ｍ　１＜のもとで解読してＬＭＫを得るために
メッセージ・アセンブリ処理回路７５に送られ、最後の
付属部はこのＬＭＫのもとで解読してＬ　Ｄ　Ｋを得る
ためメッセージ・アセンブリ処理回路７５に同様に送ら
れ、次にメッセージ自身がＬＤＫおよびメッセージに埋
込まれているＭＫのもとで解読してメッセージの本体を
得るためメッセージ・アセンブリ処理回路７５に送られ
る。

実質的に同じ技法がローカルに発生されたメッセージを
安全に格納するのに使用される。安全格納キーブロック
Ｓ　Ｓ　Ｋ　１０７は、ブロック７０．７１．７２、・
・・・・・と同様であるが、ローカル・キー階層ＰＭＫ
％ＰＳＭＫ、およびＰＤＫのための一組のキー・レジス
タを備えている。（安全格納キープロック１０６は、「
送信」キーに対応するキーだけしか備えていないので同
様なブロックよシ小さく示しである。

明らかに、「受信」キーに対応するキーを格納する必要
性はない。）メッセージを格納するには、メッセージを
、メッセージ・キーＫＭと現行のＰＤＫとを用いて通常
の方法で暗号化する。これによシ、メッセージには、Ｐ
ＳＭＫのもとで暗号化されたＰＤＫ、ＰＭＫのもとで暗
号化されたＰＳＭＫ、現行ＵＭＫのもとで暗号化された
Ｐ　Ｍ　Ｋ、および現行ＵＭＫのシリアル番号が皆格納
のため付加される。メッセージは他のＵＡから受取られ
安全に格納されたメッセージに関して行なうのと実質的
に同様にして解読することにより回復することができる
。

システムはまた、他のＤＡから受信したものであろうと
ローカルに発生したものであろうと、ローカルに格納さ
れているメッセージの認証を行う。

このような認証の目的はローカルに格納されているメッ
セージを、もちろん安全モジュール１６ではないがＰＣ
ｌ４やディクスメモＩＪ　１５等の記憶装置（第１図）
にアクセスすることができる部外者による妨害から防護
することである。このような部外者はメンセージを削除
し、メッセージを変更し、あるいはメッセージを挿入し
ようとするかもしれないからである。

ディスクメモリ１５等の記憶装置（またはＰＣｌ４の内
部記憶装置）には長さがいろいろで巨つ記憶装置全体に
渡っているいろなロケーションに配置された各種のメッ
セージ１１１（第６図）が入っている。（もちろん個々
のメッセージは、ここに述べた原理に影響を与えること
なく、連続しないページの系列に普通の仕方で配置する
ことができる。）これらメッセージと関連してディレク
トリ１１２がある。このディレクトリ１１２は区画１１
３に各メッセージの識別用タイトルとディスクメモリ１
５の中のメッセージのロケーションをリストするもので
ある。メッセージがディスクメモリ１５に入ると、それ
に対応するＭＡＣがメッセージ認証コード計算ユニット
４２により、メッセージ自身がそのもとで暗号化された
基本キーを用いて、計算される。このＭＡＣはディレク
トリ１１２０区画１１４に、区画１１３に格納されてい
るメッセージのタイトルとロケーションに関連付けて格
納される。その他に、ディレクトリ１１２０ＭＡＣの全
体のリストが特殊メッセージとして取扱われ、これらＭ
ＡＣに対してグローバルＭＡＣすなわちスーパーＭＡＣ
が計算される。このグローバルＭＡＣは安全モジュール
１６の内部に設置されたグローμ／Ｌ／　Ｍ　Ａ　Ｃレ
ジスタ１１５に格納される。

ディレクトリ１１２にリストされているところの格納さ
れているファイルの個々の完全性をチェックしたい場合
には、そのＭＡＣを計算し、ディレクトリ１１２に格納
されているＭＡＣと比較する。

これらＭＡＣは暗号化キーを用いて計算されるので、部
外者がファイルを修正しようとしても、イエ正したファ
イルの正しいＭＡＣを作ることができない。したがって
ブイレフｌ−’Ｊ　１１２のＭＡＣはその個々のファイ
ルを認証する。ファイルの全セットの完全性をチェック
しなければならない場合には、ディレクトリのＭＡＣの
グローバルＭＡＣを計算し、安全モジュール１６の中の
ＭＡＣコンパレータ４４（第２図）により、グローバル
ＭＡＣレジスタ１１５に格納されているグローバルＭＡ
Ｃと比較する。部外者がブイレフ）ＩＪ１１２を何らか
らの仕方で、たとえばエントリを削除したシ、エントリ
の順序を変更し、あるいはエンＩ−ＩＪを挿入したりし
て、変更すれば、グローバルＭ、ＡＣが変ることになる
。そしてグローバルＭＡＣは安全モジュール１６に格納
されていてこれＫは部外者がアクセスすることができな
いから、部外者はそれを変更することができず、変造さ
れたディレクトリのグローバルＭＡＣはグローバルＭＡ
Ｃレジスタ１１５に格納されているグローバルＭＡＣと
合わないことになる。（ＭＡＣはすべてキーを用いて計
算されているので、部外者は変更されたファイルのグロ
ーバルＭＡＣを計算することはできない。

しかし仮にグローバルＭＡＣにアクセス可能であったと
すれば、部外者は前のバージョンによりファイル全体お
よびグローバルＭＡＣを交換することができる。） もちろん、個々のファイルのＭＡＣを格納されたファイ
ルの一部として格納することができることは理解される
であろう。この場合、グローバルＭＡＣの計算にあたっ
てはディレクトリ１１２を使用して、そのメソセージか
ら格納されている各ＭＡＣが探し出される。また、ディ
レクトリ１１２が充分大きければ、これを区画に分割し
て、区画ＭＡＣをその区画で識別されるメッセージのＭ
ＡＣから各区画について計算し５グロ一バルＭＡＣを区
画ＭＡＣから計算するようにすることができる。

区画Ｍ八〇は平文で格納することができる。この場合こ
れら区画ＭＡＣは部外者が修正することができるが、そ
のような区画Ｍ　Ａ　Ｃはその区画に関連するメッセー
ジから計算したＭＡＣとうまく合致しないか、あるいは
そのグローバルＭ　Ａ　ＣカｙローバルＭＡＣレジスタ
１１５に格納されているグローバルＭＡＣとうまく合致
しないことになる。

ディレクトリ１１２はもちろんディスクメモリ１５に設
置することができる。グローバルＭＡＣを安全モジュー
ル１６のレジスタに格納するかわりに、これを安全モジ
ュール１６の外部に格納することができる。ただし、こ
れは格納された情報のすべてを以前のバージョンで検出
されることなく置換えることができるという上に記した
危険を冒すことになる。

ユーザが格納されているメッセージを、たとえばメッセ
ージを変更し、新しいメッセージを追加し、あるいはメ
ッセージを削除して、変更したい場合には、付与された
。すなわち加えられたメッセージのＭＡＣを計算してブ
イレフｌ”１Ｊ１１２に格納するか、あるいはブイレフ
）　’Ｊ　１１２から削除されたメッセージのＭ　Ａ　
Ｃおよび新しいグローバルＭＡＣを計算してグローバル
ＭＡＣレジスタ１１５に格納するかしなければならない
。これには析しいＭＡＣの計算（これはメッセージの内
部の認証に心安である）とメッセージＭＡＣからの新し
いグローバルＭＡＣの計算が行なわれるだけである。

変更されないメッセージのＭＡＣは不変であり、これら
メッセージの処理は不要である。

ＵＡの変更 ユーザがＵＡを彼自身のＵＡであるＵＡＩから別のＵＡ
であるＵＡ２に一時的にまたは永久的に変えたいことが
ある。一時的に変えたい場合は、ユーザは自分の通常の
ＵＡに向けられたメッセージを読むのに一時的に新しい
ＵＡを使用することができるようにしたくなる。また永
久的に変えたい場合は、ユーザは自分の古いＵＡから新
しいＵＡに全てを転送したくなる。これら二つの場合の
取扱いは異なる。

前者の場合では、ユーザはＫＤＣに、他のどの端末を使
用したいかを指定して旅行キー（ｊｏｕｒｎｅｙｋｅｙ
　）を要求する。ＫＤＣはこれを受けると直ぐユーザに
旅行キーを発行し、ユーザが訪問して旅行キーに応答す
るＵＡを設定し、旅行キー（ＵＭ２のＵＭＫおよびＣＤ
Ｋのキー階層のもとで暗号化されている）をＵＡ２に送
り、ここでＵＡｌのアドレス・コードとともに旅行キー
−レジスタ１０７に格納される。ユーザはまた受信した
すべてのメッセージを格納するとともにＵＡ２からの呼
出しに対してそれらをＵＡ２に送って応答するため、彼
自身のＵＡを設定する。このメッセージの転送はＵＡｌ
がメッセージを解読し、これを再び旅行キー（通常のラ
ンダムなＭＫとともに）のもとで暗号化してから、修正
したメッセージなＵＡ２に送ることによシ行われる。Ｕ
Ａ２では、ユーザはメッセージを解読するのに彼の旅行
キーを使用する。この技法では同じメッセージを相異な
る複数キーのもとで暗号化して送信するということがあ
シ、また所与の使用後は旅行キーを更新できないので、
利用に当っては注意しなければならない。また、後者の
場合では、ユーザのＵ　ＭＫをＵＡ２に物理的に輸送し
、そこに設置しなければない。（’ｔｌ’９−１以前の
全てのＵＭＫも同様に設置して、安全に格納されている
メッセージを転送することができる。）次１ＣＫＤＣと
のリンクを上述のように確立し、次に他のＵＡとのリン
クを確立する。ＵＡ２に既に格納されてたキーはすべて
、もちろん、新しいユーザのＵＭＫが設置される前に破
壊され、ＵＡＩの中のキーもすべて同様に破壊される。

ＵＡＩに安全に格納されているすべてのキーは、更に暗
号化されることなく、すなわち暗号化されたメッセージ
の格納形態プラスＵ　Ｍ　Ｋのシリアル番号ずでの付属
部という形で、ＵＡ２に送られるので、新しく設置され
たＵＭＫのもとでＵＡ２において解読することができる
。

ＫＤＣメッセージの記録 ＵＡでは、キーに対する、すなわち安全モジュールの内
容に対するバックアップ・システムが存在しない。これ
は安全モジュール外で利用できるキーを設けることは重
大な弱点となるからである。

ＵＡで起きた障害はＵＡを再起動させることＫよっての
み回復できる。ＫＤＣは各ＵＡに対するＵＭＫの完全な
セットを保持しており、適切なセットをキー分配径路工
３を通して送り且つ設置することができるので、安全に
格納されて〜・るメッセージをすべて読取ることができ
る。そこでＵＡを再設して安全に格納されたメッセージ
を読取ることができるよ５ＫＬ、なければならない。次
ＫＵＡはまずＫＤＣとのリンクを、次に接続したい他の
ＵＡとのリンクを再び確立しなければならない。

（Ｕ　Ａ　ＩＪンクの最初の設定の場合のように、この
動作のうちの多（の部分はキー分配径路１３を通ってＫ
　Ｄ　Ｃから伝えられた一組の格納メッセージにより行
うことができる。）その障害期間中それに向けられたメ
ッセージはすべて失なわれており取出し不能になる。自
分のメッセージが失なわれてしまったユーザは、故障し
たＵＡが回復し、そのリンクが再確立された時点で、そ
のメッセージを再送したいか否かを決定する責任がある
。

ＫＤＣの故障を処理する設備はこれとは異なるＫＤＣは
自分が送受したすべてのメッセージの記録つまりログを
、それが処理を受けた順序に、保持している。このログ
は支援用の記憶手段１９に保持されている。また、ＫＤ
Ｃの状態が記憶手段１９に定期的に格納される。ＫＤＣ
Ｋ故障が発生すると、オペレータはＫＤＣを以前に格納
された状態まで記憶手段１９から回復しながらバックア
ップしなければならない。次にそのとき以後に発生した
すべてのメッセージのログをＫＤＣＩＣ再生して戻す。

これによりＫＤＣがその正しい現在の状態にまでなる。

ただし、その時間中にＫＤＣが発生し送出したキーはす
べて失なわれている。したがって、ログの再生中、キー
の発生および送出に関係しているメッセージは反復され
、したがって新しいキーがＵＡに送出されて、先に送出
されたがＫＤＣでは失なわれたものと置き換わる。この
ようにしてシステム全体が一貫した状態に回復する。

［発明の効果］ 以上詳細に説明したように、本発明によれば、通常部分
的な変更しかないシステムで認証コードの再計算が大幅
に簡単になる。

【図面の簡単な説明】

第１図は本発明の一実施例の全体的構成を説明するため
の図、第２図は第１図中の端末の主要部の構成を説明す
るための図、第３図は第１図中のＫＤＣの主要部の構成
を説明するための図、第４図は第１図中の端末の他の主
要部の構成を説明するための図、第４Ａ図は第４図の部
分的構成を示す図、第５図は第３図中のＫＤＣにおける
再送動作を説明するための図、第６図は第１図中の端末
の他の主要部の構成を説明するための図である。 １０　、ＩＯＡ、ＩＯＢ：端末 １１：通信媒体 １２：ＫＤＣ １３：キー分配径路 １４．１４Ａ：ＰＣ ｌ５．１５Ａ：ディスクメモリ １６．１６Ａ、１７　：安全モジー−ル１８二計算ユニ
ット １９：記憶手段 ２０：部外者 ３０：制御回路 ３１：キー輸送ユニット ３２：ＵＭＫレジスタ ３３　、４０　：使用カウンタ ３３Ａ：ＣＤＫキ一番号レジスタ ３４：ＣＤＫレジスタ ３６：ランダム信号発生器 ３７：メッセージ・アセンブリ・レジスタ３８：メッセ
ージタイプフォーマット記憶領域３９：ＭＫレジスタ ４０Ａ：ＵＭＫキ一番号レジスタ ４１：暗号化／解読ユニット ４２：メッセージ認証コード計算ユニット４３：インタ
フェース争ユニット ４４：コンパレータ ４６：ＣＤＫルジスタ ４７：ＣＤＫ２レジスタ ４８．４９　：　ＣＤＫ番号レジスタ ５０：制御ユニット ５１：メッセージ・アセンブリ処理回路５２：メッセー
ジ・アセンブリ・レジスタ６０：マルチプレクサ ６１：セレクタ回路 ７３ニレジスタ フ４：マルチプレクサ ７５：メッセージ・アセンブリ処理回路７６：セレクタ
スイッチ ７７．７８：ピット−レジスタ ９５：記憶装置 ９７：レジスタ ９８：タイマ １０５：ＵＭＫ履歴記憶装置 １０６二安全格納キー・ブロック １０７：旅行キー・レジスタ １１１　：メッセージ １１２：ディレクトリ

Claims (1)

1. 【特許請求の範囲】 複数の部分を含む情報の正しさをメッセー ジ認証コードにより検証する情報記憶方式において、 前記部分の各々について計算された個別の 認証コードに基づいて全体的な認証コードを計算するこ
   とを特徴とする情報記憶方式。