JPWO2019198516A1 - 鍵配信システム、端末装置、鍵配信方法、及びプログラム - Google Patents

Abstract

Ｎ台の端末装置Ｕ_ｉと、セッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムであって、Ｎが偶数である場合、奇数番目の端末装置Ｕ_ｉが所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値を計算し、偶数番目の端末装置Ｕ_ｉが前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手段と、前記鍵配信サーバが、奇数番目の端末装置Ｕ_ｉにより計算された第１の公開値を端末装置Ｕ_ｉ−１及び端末装置Ｕ_ｉ＋１に配信し、偶数番目の端末装置Ｕ_ｉにより計算された第２の公開値を端末装置Ｕ_ｉ−１及び端末装置Ｕ_ｉ＋１に配信する配信手段と、前記配信手段により配信された第２の公開値を用いて奇数番目の端末装置Ｕ_ｉが前記セッション鍵を生成し、前記配信手段により配信された第１の公開値を用いて偶数番目の端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手段と、を有し、前記同種写像計算手段は、Ｎが奇数である場合、前記端末装置Ｕ_ｉのうち、所定の端末装置Ｕ_Ｉが前記第１のねじれ部分群の基底を用いた第１の公開値と、前記第２のねじれ部分群の基底を用いた第２の公開値とを計算する、ことを特徴とする鍵配信システム。

Description

本発明は、鍵配信システム、端末装置、鍵配信方法、及びプログラムに関する。

スマートフォンやタブレット端末等の各種ユーザ端末の普及に伴って、何等かのデータをサーバに預託することで、このデータを多人数で共有するようなサービスが増えてきた。このようなサービスとしては、例えば、オンラインストレージサービス、グループチャットサービス、グループメールサービス等が挙げられる。

上記のようなサービスを提供するシステムでは、例えば、通信路を暗号化することで通信経路上の盗聴防止が施されていたり、ユーザ端末にデータを残さないことによってユーザ端末の紛失や不正な持ち出しに起因する情報漏えい防止が施されていたりする。このように、上記のようなサービスを提供するシステムでは、通信経路に対する脅威（例えば、盗聴等）やユーザ端末に対する脅威（例えば、紛失や不正な持ち出し等）に対処が行われている場合が多い。

ここで、上記のようなサービスを提供するシステムにおいては、サーバに対する脅威に起因する情報漏えいの恐れも考えられる。サーバに対する脅威には、例えば、サーバに対する外部からの攻撃やサーバ管理者等による内部不正等がある。これらの脅威に起因する情報漏えいを防止する方法として、例えば、サーバに対してはデータを秘匿化し、ユーザ端末でのみデータの復号可能なエンドツーエンド暗号化を行う方法がある。

エンドツーエンド暗号化では、ユーザ端末間で用いる共通鍵をどのように共有するかが問題となる。これに対して、多者間鍵交換技術の１つとして、中央に認証サーバが配置されたスター型のネットワークにおいて、認証サーバに対していかなる情報も漏らさずにユーザ端末間で鍵（以下「セッション鍵」と表す。）を共有することが可能な動的多者鍵配布（ＤＭＫＤ：Dynamic Multi-Cast Key Distribution）プロトコルが知られている。ＤＭＫＤプロトコルによって、認証サーバに対してデータの内容を秘匿したままユーザ端末間でデータの送受信を行うことができるようになる。また、ＤＭＫＤプロトコルでは、データの送受信を行う複数のユーザ端末間でのみセッション鍵の共有を行うため、例えば、これらの複数のユーザ端末に対して新たなユーザ端末が追加された場合やこれらの複数のユーザ端末から或るユーザ端末が離脱した場合等にはセッション鍵が更新される。

ところで、以下の参考文献１では、ＤＨ（Diffie-Hellman）鍵交換を用いたＤＭＫＤプロトコルが提案されている。

［参考文献１］
K. Yoneyama, R. Yoshida, Y. Kawahara, T. Kobayashi, H. Fuji, and T. Yamamoto. 2016. Multi-Cast Key Distribution: Scalable, Dynamic and Provably Secure Construction. Cryptology ePrint Archive, Report 2016/833. (2016).
しかしながら、参考文献１で提案されているＤＭＫＤプロトコルは、ＤＨ鍵交換を用いているため、耐量子性がないことが知られている。このため、今後、量子コンピュータの実用化が進むにつれて、計算量仮定であるＣＤＨ（Computational Diffie-Hellman)・ＤＤＨ（Decisional Diffie-Hellman）問題が効率よく解かれてしまい、鍵共有の安全性が担保されない可能性がある。これに対して、鍵カプセル化メカニズム（ＫＥＭ：Key Encapsulation Mechanism）を用いることで、格子暗号や符号ベース暗号等の耐量子暗号に適用可能なＤＭＫＤプロトコルが提案されている（非特許文献１）。

金城皓羽、岡野裕樹、斉藤恒和、草川恵太、小林鉄太郎、星野文学、「KEMを用いた動的多者鍵配布プロトコル」、SCIS2018

しかしながら、非特許文献１で提案されている手法は耐量子があるものの、鍵カプセル化メカニズムを用いているため、ＤＨ鍵交換を用いたＤＭＫＤプロトコルよりも１ラウンド多い通信が必要である。このため、非特許文献１で提案されている手法は、ＤＨ鍵交換を用いたＤＭＫＤプロトコルよりも余分な通信コストが必要であった。

本発明は、上記の点に鑑みてなされたもので、耐量子性があり、かつ、通信コストが少ない多者間鍵交換を実現することを目的とする。

上記目的を達成するため、本発明の実施の形態は、Ｎ（ただし、Ｎ≧２）台の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ）と、該Ｎ台の端末装置Ｕ_ｉ間で同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムであって、Ｎが偶数である場合、前記端末装置Ｕ_ｉのうち、奇数番目の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ−１）が所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値を計算し、偶数番目の端末装置Ｕ_ｉ（ｉ＝２，・・・，Ｎ）が前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手段と、前記鍵配信サーバが、奇数番目の端末装置Ｕ_ｉにより計算された第１の公開値を端末装置Ｕ_ｉ−１（ただし、ｉ＝１である場合、Ｕ_０＝Ｕ_Ｎ）及び端末装置Ｕ_ｉ＋１（ただし、ｉ＝Ｎである場合、Ｕ_Ｎ＋１＝Ｕ_１）に配信し、偶数番目の端末装置Ｕ_ｉにより計算された第２の公開値を端末装置Ｕ_ｉ−１及び端末装置Ｕ_ｉ＋１に配信する配信手段と、前記配信手段により配信された第２の公開値を用いて奇数番目の端末装置Ｕ_ｉが前記セッション鍵を生成し、前記配信手段により配信された第１の公開値を用いて偶数番目の端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手段と、を有し、前記同種写像計算手段は、Ｎが奇数である場合、前記端末装置Ｕ_ｉのうち、予め決められた所定の端末装置Ｕ_Ｉが前記第１のねじれ部分群の基底を用いた第１の公開値と、前記第２のねじれ部分群の基底を用いた第２の公開値とを計算する、ことを特徴とする。

本発明によれば、耐量子性があり、かつ、通信コストが少ない多者間鍵交換を実現することができる。

本発明の実施の形態における鍵交換システムのシステム構成の一例を示す図である。 本発明の実施の形態における鍵配信サーバの機能構成の一例を示す図である。 本発明の実施の形態におけるユーザ端末の機能構成の一例を示す図である。 本発明の実施の形態における鍵交換システムの事前処理の流れの一例を説明するための図である。 本発明の実施の形態における鍵交換システムの鍵交換処理の流れの一例を説明するための図である。 本発明の実施の形態における鍵配信サーバ及びユーザ端末のハードウェア構成の一例を示す図である。

以下、本発明の実施の形態について説明する。本発明の実施の形態では、耐量子暗号として同種写像暗号を用いて、非特許文献１で提案されている手法よりも少ないラウンド（２ラウンド）の通信で多者間鍵交換を行う鍵交換システム１について説明する。

＜システム構成＞
図１に示すように、本発明の実施の形態における鍵交換システム１には、鍵配信サーバ１０と、複数のユーザ端末２０とが含まれる。鍵配信サーバ１０と各ユーザ端末２０とは、例えばインターネット等のネットワーク３０を介して通信可能に接続されている。

鍵配信サーバ１０は、各ユーザ端末２０間で共通鍵を共有するために、各ユーザ端末２０の公開鍵の配信を行うサーバである。鍵配信サーバ１０は、１台の情報処理装置（コンピュータ）又は複数台の情報処理装置で実現される。

ユーザ端末２０は、本発明の実施の形態における鍵交換システム１に登録されているユーザが利用する端末である。各ユーザ端末２０は、鍵配信サーバ１０を介して、他のユーザ端末２０との間で公開鍵を交換することで、共通鍵を共有することができる。ユーザ端末２０としては、例えば、スマートフォンやタブレット端末、ＰＣ（パーソナルコンピュータ）、ウェアラブルデバイス、ゲーム機器、家電製品、組み込み機器等の種々の情報処理装置を用いることができる。

本発明の実施の形態では、鍵交換システム１に登録されているユーザのうち、鍵交換を行うユーザの数をＮとし、これらのユーザが利用するユーザ端末２０をそれぞれ「ユーザ端末２０_１」、「ユーザ端末２０_２」、・・・、「ユーザ端末２０_Ｎ」と表す。したがって、本発明の実施の形態では、各ユーザ端末２０_ｉ（１≦ｉ≦Ｎ）をそれぞれ表す記号として、添え字ｉ（１≦ｉ≦Ｎ）を用いる。また、本発明の実施の形態では、鍵配信サーバ１０を表す記号として、Ｓを用いる。

＜定義＞
ここで、本発明の実施の形態で用いる記号等を定義する。

整数をｎとして、整数環Ｚに対するｎを法とする剰余環（又は剰余類環）をＺ／ｎＺとする。

また、１以上の整数ｆを、

又は

が素数となるように選択する。ここで、ｌ_Ａ及びｌ_Ｂは小さい素数（例えば、２及び３）であり、ｅ_Ａ及びｅ_Ｂは整数である。

又は

が素数である場合、これらのうち素数である方（両方が素数である場合は任意に選んだ何れか一方）をｐと表す。

また、

を標数ｐの素体Ｆ_ｐの２次拡大体とする。Ｅを

上の楕円曲線とする。例えば、

とすると、Ｅは

上の楕円曲線である。ここで、Ｏは無限遠点である。以降、本発明の実施の形態では、楕円曲線Ｅは超特異楕円曲線であるものとする。

楕円曲線Ｅのｊ不変量を、

とする。楕円曲線Ｅの任意の点Ｐと任意の整数ｍとに対して、Ｐのｍ個の和を［ｍ］Ｐと表す。ただし、和は、楕円曲線上の加算である。

整数ｍに対して、楕円曲線Ｅのｍねじれ部分群Ｅ［ｍ］を、Ｅ［ｍ］＝｛Ｐ∈Ｅ｜［ｍ］Ｐ＝Ｏ｝と定義する。ｍねじれ部分群Ｅ［ｍ］は、ｐで割り切れない整数ｍに対して、

であることが知られている。ここで、

は２つの群Ａ及びＢの間に同型写像が存在することを意味する。

本発明の実施の形態では、ｋをセキュリティパラメータ、シードｓ∈｛０，１｝^ｋをインデックスとし、定義域Ｄｏｍ_ｋと値域Ｒｎｇ_ｋとを持つ関数族｛Ｆ_ｓ：Ｄｏｍ_ｋ→Ｒｎｇ_ｋ｝_ｓのうち、疑似ランダム関数と呼ばれる関数を使用する。また、本発明の実施の形態では、この疑似ランダム関数によるねじれ疑似ランダム関数ｔＰＲＦを使用する。なお、ねじれ疑似ランダム関数ｔＰＲＦは、入力の一部が知られたとしても、その関数の出力がランダム値と区別が困難であるという性質を有する関数である。

なお、ねじれ疑似ランダム関数については、例えば、以下の参考文献２に開示されている。

［参考文献２］
K. Yoneyama, R. Yoshida, Y. Kawahara, T. Kobayashi, H. Fuji, and T. Yamamoto. 2016. Multi-Cast Key Distribution: Scalable, Dynamic and Provably Secure Construction. Cryptology ePrint Archive, Report 2016/833. (2016).
＜機能構成＞
図２に示すように、本発明の実施の形態における鍵配信サーバ１０は、機能部として、セットアップ部１０１と、長期秘密ストリング生成部１０２と、短期秘密ストリング生成部１０３と、公開情報計算部１０４と、通信部１０５と、長期秘密ストリング記憶部１０６と、短期秘密ストリング記憶部１０７とを有する。これらの各機能部によって、鍵配信サーバ１０は、後述する事前処理（図４）及び鍵交換処理（図５）を実現することができる。

また、図３に示すように、本発明の実施の形態におけるユーザ端末２０は、機能部として、長期秘密ストリング生成部２０１と、短期秘密ストリング生成部２０２と、ねじれ疑似ランダム関数部２０３と、同種写像計算部２０４と、第１疑似ランダム関数部２０５と、秘密情報計算部２０６と、第２疑似ランダム関数部２０７と、通信部２０８と、長期秘密ストリング記憶部２０９と、短期秘密ストリング記憶部２１０と、セッション情報記憶部２１１とを有する。これら各機能部によって、各ユーザ端末２０は、後述する事前処理（図４）及び鍵交換処理（図５）を実現することができる。

＜事前処理＞
次に、本発明の実施の形態における鍵交換システム１の事前処理の流れについて、図４を参照しながら説明する。図４は、本発明の実施の形態における鍵交換システム１の事前処理の流れの一例を説明するための図である。なお、セキュリティパラメータｋは予め決められているものとする。例えば、ｋ＝２５６等に決められているものとする。

ステップＳ１０１：鍵配信サーバ１０のセットアップステップ
鍵配信サーバ１０のセットアップ部１０１は、ｋビットの数

が素数となるように整数ｆを選択する。ここで、ｌ_Ａ及びｌ_Ｂは素数、ｅ_Ａ及びｅ_Ｂは整数である。

また、鍵配信サーバ１０のセットアップ部１０１は、

上の超特異楕円曲線Ｅを生成し、

と

とを選択する。基底の選択方法は、例えば、以下の参考文献３に開示されている方法を用いることができる。

［参考文献３］
L. De Feo, D. Jao, Towards quantum-resistant cryptosystems from supersingular elliptic curve isogenies, In PQCrypto, pp.19-34, 2011.
更に、鍵配信サーバ１０のセットアップ部１０１は、Ｋｓｐａｃｅ_ｋを鍵空間とし、以下のねじれ疑似ランダム関数ｔＰＲＦ_Ａ，ｔＰＲＦ_Ｂ及びｔＰＲＦを生成する。

また、鍵配信サーバ１０のセットアップ部１０１は、以下の疑似ランダム関数Ｆ及びＦ´を生成する。

そして、鍵配信サーバ１０のセットアップ部１０１は、（ｐ，ｌ_Ａ，ｅ_Ａ，ｌ_Ｂ，ｅ_Ｂ，Ｅ，Ｐ_Ａ，Ｑ_Ａ，Ｐ_Ｂ，Ｑ_Ｂ，ｔＰＲＦ_Ａ，ｔＰＲＦ_Ｂ，ｔＰＲＦ，Ｆ，Ｆ´）を公開する。これにより、各ユーザ端末２０は、これらの公開された情報を利用することができる。

ステップＳ１０２：鍵配信サーバ１０の長期秘密ストリング生成ステップ
鍵配信サーバ１０の長期秘密ストリング生成部１０２は、長期秘密ストリングとして、ｓｔ_Ｓ∈Ｋｓｐａｃｅ_ｋと、ｓｔ´_Ｓ∈｛０，１｝^ｋとを一様ランダムに生成する。そして、鍵配信サーバ１０の長期秘密ストリング生成部１０２は、生成した長期秘密ストリング（ｓｔ_Ｓ，ｓｔ´_Ｓ）を長期秘密ストリング記憶部１０６に保存する。

ステップＳ１０３：各ユーザ端末２０の長期秘密ストリング生成ステップ
各ユーザ端末２０の長期秘密ストリング生成部２０１は、長期秘密ストリングとして、ｓｔ_ｉ∈Ｋｓｐａｃｅ_ｋと、ｓｔ´_ｉ∈｛０，１｝^ｋとを一様ランダムに生成する。なお、ｓｔ_ｉ及びｓｔ´_ｉは、ユーザ端末２０_ｉの長期秘密ストリング生成部２０１により生成された長期秘密ストリングである。

そして、各ユーザ端末２０の長期秘密ストリング生成部２０１は、生成した長期秘密ストリング（ｓｔ_ｉ，ｓｔ´_ｉ）を、自身の長期秘密ストリング記憶部２０９に保存する。

＜鍵交換処理＞
次に、本発明の実施の形態における鍵交換システム１の鍵交換処理の流れについて、図５を参照しながら説明する。図５は、本発明の実施の形態における鍵交換システム１の鍵交換処理の流れの一例を説明するための図である。

以降で説明する鍵交換処理は、鍵交換システム１の動作中に任意の回数実行が可能である。１回あたりの鍵交換の実行を「セッション」と呼ぶ。以降では、或るセッションにおける鍵配信サーバ１０及び各ユーザ端末２０の動作を説明する。なお、当該セッションを識別するセッション識別子をｓｉｄ∈｛０，１｝^ｋとする。セッション識別子ｓｉｄの生成方法としては、任意の方法を用いることができる。例えば、非特許文献１に開示されているように、コミットメントを用いて生成する方法が挙げられる。鍵配信サーバ１０及び各ユーザ端末２０は、このｓｉｄを知っているものとする。

また、各ユーザ端末２０の中で代表となるユーザ端末２０（代表ユーザ端末）を決めておく。ユーザ端末２０_１，ユーザ端末２０_２，・・・，ユーザ端末２０_Ｎのうち、任意のユーザ端末２０を代表ユーザ端末として良い。以降では、ユーザ端末２０_１が代表ユーザ端末であるものとする。代表ユーザ端末の選択及び代表ユーザ端末であることを示す通知は、例えば、鍵配信サーバ１０により行われても良い。

また、ユーザ端末２０の添え字ｉはリング状であるものとする。すなわち、ｉ＝Ｎに対して１が加算された場合ｉ＝１となり、ｉ＝１から−１が減算された場合ｉ＝Ｎとなるものとする。

ここで、同種写像暗号では、ＤＨ鍵交換と異なり、或る２つのユーザ端末２０において、基底｛Ｐ_Ａ，Ｑ_Ａ｝から秘密鍵を生成するか又は基底｛Ｐ_Ｂ，Ｑ_Ｂ｝から秘密鍵を生成するかのいずれかによって計算の非対称性が生じる。

このため、実施例１では、ユーザ端末２０の数Ｎの偶奇によって代表ユーザ端末の処理が異なる場合について説明する。すなわち、実施例１では、Ｎが偶数である場合は、ユーザ端末２０_１，ユーザ端末２０_３，・・・，ユーザ端末２０_Ｎ−１は基底｛Ｐ_Ａ，Ｑ_Ａ｝からそれぞれ公開値を計算し、ユーザ端末２０_２，ユーザ端末２０_４，・・・，ユーザ端末２０_Ｎは基底｛Ｐ_Ｂ，Ｑ_Ｂ｝からそれぞれ公開値を計算する。一方で、Ｎが奇数である場合は、代表ユーザ端末であるユーザ端末２０_１は基底｛Ｐ_Ａ，Ｑ_Ａ｝及び基底｛Ｐ_Ｂ，Ｑ_Ｂ｝の両方からそれぞれ公開値を計算し、ユーザ端末２０_３，ユーザ端末２０_５，・・・，ユーザ端末２０_Ｎ−１は基底｛Ｐ_Ａ，Ｑ_Ａ｝からそれぞれ公開値を計算し、ユーザ端末２０_２，ユーザ端末２０_４，・・・，ユーザ端末２０_Ｎは基底｛Ｐ_Ｂ，Ｑ_Ｂ｝からそれぞれ公開値を計算する。なお、公開値には、後述するφ_ｉ（Ｐ_Ａ），φ_ｉ（Ｑ_Ａ），φ_ｉ（Ｐ_Ｂ），φ_ｉ（Ｑ_Ｂ）が含まれる。

また、実施例２では、ユーザ端末２０の数Ｎの偶奇によらずに、全てのユーザ端末２０が基底｛Ｐ_Ａ，Ｑ_Ａ｝及び基底｛Ｐ_Ｂ，Ｑ_Ｂ｝の両方からそれぞれ共通鍵を生成する場合について説明する。

（実施例１）
以降では、実施例１について説明する。

≪Ｎが偶数である場合≫
まず、Ｎが偶数である場合について説明する。

ステップＳ２０１：第一鍵生成ステップ（Ｒｏｕｎｄ１）
以降のＳ２０１−１１〜Ｓ２０１−１５は、ｉが奇数である各ユーザ端末２０_ｉ（ｉ＝１，３，・・・，Ｎ−１）が実行する。

Ｓ２０１−１１）短期秘密ストリング生成部２０２は、短期秘密ストリングとして、ｒ_ｉ ^（１）∈｛０，１｝^ｋと、ｒ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋと、ｒ_ｉ ^（３）∈｛０，１｝^ｋと、ｒ_ｉ ^（４）∈Ｋｓｐａｃｅ_ｋと、ｋ_ｉ ^（１）∈｛０，１｝^ｋと、ｋ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋとを一様ランダムに生成する。

そして、短期秘密ストリング生成部２０２は、短期秘密ストリング（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｋ_ｉ ^（１），ｋ_ｉ ^（２））を短期秘密ストリング記憶部２１０に保存する。

Ｓ２０１−１２）ねじれ疑似ランダム関数部２０３は、ｍ_ｉ＝ｔＰＲＦ_Ａ（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｎ_ｉ＝ｔＰＲＦ_Ａ（ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｋ_ｉ＝ｔＰＲＦ（ｋ_ｉ ^（１），ｋ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）とを生成する。なお、長期秘密ストリング（ｓｔ_ｉ，ｓｔ´_ｉ）は、長期秘密ストリング記憶部２０９は記憶されているものを使用する。

Ｓ２０１−１３）同種写像計算部２０４は、［ｍ_ｉ］Ｐ_Ａ＋［ｎ_ｉ］Ｑ_Ａで生成されるＥの部分群Ｋ_ｉを核に持つ同種写像φ_ｉ：Ｅ→Ｅ_ｉと、この同種写像φ_ｉに付随する楕円曲線Ｅ_ｉとを計算する。

なお、部分群Ｋ_ｉを核に持つ同種写像φ_ｉとは、Ｋｅｒφ_ｉ＝Ｋ_ｉとなる同種写像のことである。このような同種写像φ_ｉと部分群Ｋ_ｉとは１対１に対応することが知られている。また、同種写像φ_ｉに付随する楕円曲線Ｅ_ｉは、Ｅ_ｉ＝Ｅ／Ｋ_ｉとも表される。同種写像φ_ｉの計算方法は、例えば、以下の参考文献４又は５に開示されている方法を用いることができる。

［参考文献４］
J. Velu, Isogenies entre courbes elliptiques, C. R. Acad. Sci. Paris Ser. A-B, 273:A238-241, 1971.
［参考文献５］
Lawrence C.Washington. Elliptic curves: Number theory and cryptography, 2nd ed., CRC Press, 2008.
Ｓ２０１−１４）同種写像計算部２０４は、φ_ｉ（Ｐ_Ｂ）とφ_ｉ（Ｑ_Ｂ）とを計算する。

Ｓ２０１−１５）そして、通信部２０８は、（φ_ｉ（Ｐ_Ｂ），φ_ｉ（Ｑ_Ｂ），Ｅ_ｉ）を鍵配信サーバ１０に送信する。これより、各ユーザ端末２０_ｉ（ｉ＝１，３，・・・，Ｎ−１）の公開値（φ_ｉ（Ｐ_Ｂ），φ_ｉ（Ｑ_Ｂ），Ｅ_ｉ）が鍵配信サーバ１０に送信される。

以降のＳ２０１−２１〜Ｓ２０１−２５は、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ）が実行する。

Ｓ２０１−２１）短期秘密ストリング生成部２０２は、短期秘密ストリングとして、ｒ_ｉ ^（１）∈｛０，１｝^ｋと、ｒ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋと、ｒ_ｉ ^（３）∈｛０，１｝^ｋと、ｒ_ｉ ^（４）∈Ｋｓｐａｃｅ_ｋと、ｋ_ｉ ^（１）∈｛０，１｝^ｋと、ｋ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋとを一様ランダムに生成する。

そして、短期秘密ストリング生成部２０２は、短期秘密ストリング（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｋ_ｉ ^（１），ｋ_ｉ ^（２））を短期秘密ストリング記憶部２１０に保存する。

Ｓ２０１−２２）ねじれ疑似ランダム関数部２０３は、ｍ_ｉ＝ｔＰＲＦ_Ｂ（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｎ_ｉ＝ｔＰＲＦ_Ｂ（ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｋ_ｉ＝ｔＰＲＦ（ｋ_ｉ ^（１），ｋ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）とを生成する。なお、長期秘密ストリング（ｓｔ_ｉ，ｓｔ´_ｉ）は、長期秘密ストリング記憶部２０９は記憶されているものを使用する。

Ｓ２０１−２３）同種写像計算部２０４は、［ｍ_ｉ］Ｐ_Ｂ＋［ｎ_ｉ］Ｑ_Ｂで生成されるＥの部分群Ｋ_ｉを核に持つ同種写像φ_ｉ：Ｅ→Ｅ_ｉと、この同種写像φ_ｉに付随する楕円曲線Ｅ_ｉとを計算する。

Ｓ２０１−２４）同種写像計算部２０４は、φ_ｉ（Ｐ_Ａ）とφ_ｉ（Ｑ_Ａ）とを計算する。

Ｓ２０１−２５）そして、通信部２０８は、（φ_ｉ（Ｐ_Ａ），φ_ｉ（Ｑ_Ａ），Ｅ_ｉ）を鍵配信サーバ１０に送信する。これより、各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ）の公開値（φ_ｉ（Ｐ_Ａ），φ_ｉ（Ｑ_Ａ），Ｅ_ｉ）が鍵配信サーバ１０に送信される。

なお、上記のＳ２０１−１２及びＳ２０１−２２におけるｍ_ｉ及びｎ_ｉは、長期秘密ストリング記憶部２０９に記憶されている長期秘密ストリングと、短期秘密ストリング記憶部２１０に記憶されている短期秘密ストリングとを用いて、必要なときにねじれ疑似ランダム関数から生成することができる。このため、安全上、ｍ_ｉ及びｎ_ｉは保存しないことが好ましい。

ただし、安全性をあまり考慮しないのであれば、上記のＳ２０１−１２でｍ_ｉ及びｎ_ｉを

からランダムに生成して、保存しておいても良い。同様に、上記のＳ２０１−２２でｍ_ｉ及びｎ_ｉを

からランダムに生成して、保存しておいても良い。

ステップＳ２０２：鍵配信ステップ（Ｒｏｕｎｄ１）
Ｓ２０２−１）通信部１０５は、ｉが奇数である各ユーザ端末２０_ｉ（ｉ＝１，３，・・・，Ｎ−１）から公開値（φ_ｉ（Ｐ_Ｂ），φ_ｉ（Ｑ_Ｂ），Ｅ_ｉ）を受信すると共に、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ）から公開値（φ_ｉ（Ｐ_Ａ），φ_ｉ（Ｑ_Ａ），Ｅ_ｉ）を受信する。

Ｓ２０２−２）通信部１０５は、ｉが奇数である各ユーザ端末２０_ｉ（ｉ＝１，３，・・・，Ｎ−１）に対して、（ｓｉｄ，φ_ｉ−１（Ｐ_Ａ），φ_ｉ−１（Ｑ_Ａ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ａ），φ_ｉ＋１（Ｑ_Ａ），Ｅ_ｉ＋１）を送信する。

また、通信部１０５は、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ）に対して、（ｓｉｄ，φ_ｉ−１（Ｐ_Ｂ），φ_ｉ−１（Ｑ_Ｂ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ｂ），φ_ｉ＋１（Ｑ_Ｂ），Ｅ_ｉ＋１）を送信する。

なお、上述したように、ユーザ端末２０の添え字ｉはリング状である。したがって、例えば、ｉ＝１であるユーザ端末２０_１に対しては、（ｓｉｄ，φ_Ｎ（Ｐ_Ａ），φ_Ｎ（Ｑ_Ａ），Ｅ_Ｎ，φ_２（Ｐ_Ａ），φ_２（Ｑ_Ａ），Ｅ_２）が送信される。また、例えば、ｉ＝Ｎであるユーザ端末２０_Ｎに対しては、（ｓｉｄ，φ_Ｎ−１（Ｐ_Ｂ），φ_Ｎ−１（Ｑ_Ｂ），Ｅ_Ｎ−１，φ_１（Ｐ_Ｂ），φ_１（Ｑ_Ｂ），Ｅ_１）が送信される。

ステップＳ２０３：第二鍵生成ステップ（Ｒｏｕｎｄ２）
以降のＳ２０３−１１〜Ｓ２０３−１６は、ｉが１以外の奇数である各ユーザ端末２０_ｉ（ｉ＝３，５，・・・，Ｎ−１）が実行する。

Ｓ２０３−１１）通信部２０８は、鍵配信サーバ１０から（ｓｉｄ，φ_ｉ−１（Ｐ_Ａ），φ_ｉ−１（Ｑ_Ａ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ａ），φ_ｉ＋１（Ｑ_Ａ），Ｅ_ｉ＋１）を受信する。

Ｓ２０３−１２）同種写像計算部２０４は、［ｍ_ｉ］φ_ｉ−１（Ｐ_Ａ）＋［ｎ_ｉ］φ_ｉ−１（Ｑ_Ａ）で生成されるＥ_ｉ−１の部分群Ｋ_{ｉ−１，ｉ}を核に持つ同種写像φ_{ｉ−１，ｉ}：Ｅ_ｉ−１→Ｅ_{ｉ−１，ｉ}と、この同種写像φ_{ｉ−１，ｉ}に付随する楕円曲線Ｅ_{ｉ−１，ｉ}とを計算する。

同様に、同種写像計算部２０４は、［ｍ_ｉ］φ_ｉ＋１（Ｐ_Ａ）＋［ｎ_ｉ］φ_ｉ＋１（Ｑ_Ａ）で生成されるＥ_ｉ＋１の部分群Ｋ_{ｉ＋１，ｉ}を核に持つ同種写像φ_{ｉ＋１，ｉ}：Ｅ_ｉ＋１→Ｅ_{ｉ＋１，ｉ}と、この同種写像φ_{ｉ＋１，ｉ}に付随する楕円曲線Ｅ_{ｉ＋１，ｉ}とを計算する。

Ｓ２０３−１３）同種写像計算部２０４は、楕円曲線Ｅ_{ｉ−１，ｉ}のｊ不変量ｊ（Ｅ_{ｉ−１，ｉ}）と、楕円曲線Ｅ_{ｉ＋１，ｉ}のｊ不変量ｊ（Ｅ_{ｉ＋１，ｉ}）とを計算する。

Ｓ２０３−１４）次に、第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ−１，ｉ}））と、Ｋ_ｉ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ＋１，ｉ}））とを計算する。

Ｓ２０３−１５）次に、第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）とＫ_ｉ ^（ｒ）とのビット毎の排他的論理和Ｔ_ｉを計算する。すなわち、第１疑似ランダム関数部２０５は、

を計算する。

Ｓ２０３−１６）そして、通信部２０８は、（ｋ_ｉ，Ｔ_ｉ）を鍵配信サーバ１０に送信する。なお、ｋ_ｉは、第一鍵生成ステップ（Ｓ２０１）で生成されたものである。

以降のＳ２０３−２１〜Ｓ２０３−２６は、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ）が実行する。

Ｓ２０３−２１）通信部２０８は、鍵配信サーバ１０から（ｓｉｄ，φ_ｉ−１（Ｐ_Ｂ），φ_ｉ−１（Ｑ_Ｂ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ｂ），φ_ｉ＋１（Ｑ_Ｂ），Ｅ_ｉ＋１）を受信する。

Ｓ２０３−２２）同種写像計算部２０４は、［ｍ_ｉ］φ_ｉ−１（Ｐ_Ｂ）＋［ｎ_ｉ］φ_ｉ−１（Ｑ_Ｂ）で生成されるＥ_ｉ−１の部分群Ｋ_{ｉ−１，ｉ}を核に持つ同種写像φ_{ｉ−１，ｉ}：Ｅ_ｉ−１→Ｅ_{ｉ−１，ｉ}と、この同種写像φ_{ｉ−１，ｉ}に付随する楕円曲線Ｅ_{ｉ−１，ｉ}とを計算する。

同様に、同種写像計算部２０４は、［ｍ_ｉ］φ_ｉ＋１（Ｐ_Ｂ）＋［ｎ_ｉ］φ_ｉ＋１（Ｑ_Ｂ）で生成されるＥ_ｉ＋１の部分群Ｋ_{ｉ＋１，ｉ}を核に持つ同種写像φ_{ｉ＋１，ｉ}：Ｅ_ｉ＋１→Ｅ_{ｉ＋１，ｉ}と、この同種写像φ_{ｉ＋１，ｉ}に付随する楕円曲線Ｅ_{ｉ＋１，ｉ}とを計算する。

Ｓ２０３−２３）同種写像計算部２０４は、楕円曲線Ｅ_{ｉ−１，ｉ}のｊ不変量ｊ（Ｅ_{ｉ−１，ｉ}）と、楕円曲線Ｅ_{ｉ＋１，ｉ}のｊ不変量ｊ（Ｅ_{ｉ＋１，ｉ}）とを計算する。

Ｓ２０３−２４）次に、第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ−１，ｉ}））と、Ｋ_ｉ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ＋１，ｉ}））とを計算する。

Ｓ２０３−２５）次に、第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）とＫ_ｉ ^（ｒ）とのビット毎の排他的論理和Ｔ_ｉを計算する。

Ｓ２０３−２６）そして、通信部２０８は、（ｋ_ｉ，Ｔ_ｉ）を鍵配信サーバ１０に送信する。なお、ｋ_ｉは、第一鍵生成ステップ（Ｓ２０１）で生成されたものである。

以降のＳ２０３−３１〜Ｓ２０３−３７は、代表ユーザ端末であるユーザ端末２０_１が実行する。

Ｓ２０３−３１）通信部２０８は、鍵配信サーバ１０から（ｓｉｄ，φ_Ｎ（Ｐ_Ａ），φ_Ｎ（Ｑ_Ａ），Ｅ_Ｎ，φ_２（Ｐ_Ａ），φ_２（Ｑ_Ａ），Ｅ_２）を受信する。

Ｓ２０３−３２）同種写像計算部２０４は、［ｍ_１］φ_Ｎ（Ｐ_Ａ）＋［ｎ_１］φ_Ｎ（Ｑ_Ａ）で生成されるＥ_Ｎの部分群Ｋ_Ｎ，１を核に持つ同種写像φ_Ｎ，１：Ｅ_Ｎ→Ｅ_Ｎ，１と、この同種写像φ_Ｎ，１に付随する楕円曲線Ｅ_Ｎ，１とを計算する。

同様に、同種写像計算部２０４は、［ｍ_１］φ_２（Ｐ_Ａ）＋［ｎ_１］φ_２（Ｑ_Ａ）で生成されるＥ_２の部分群Ｋ_２，１を核に持つ同種写像φ_２，１：Ｅ_２→Ｅ_２，１と、この同種写像φ_２，１に付随する楕円曲線Ｅ_２，１とを計算する。

Ｓ２０３−３３）同種写像計算部２０４は、楕円曲線Ｅ_Ｎ，１のｊ不変量ｊ（Ｅ_Ｎ，１）と、楕円曲線Ｅ_２，１のｊ不変量ｊ（Ｅ_２，１）とを計算する。

Ｓ２０３−３４）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_Ｎ，１））と、Ｋ_１ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_２，１））とを計算する。

Ｓ２０３−３５）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）とＫ_１ ^（ｒ）とのビット毎の排他的論理和Ｔ_１を計算する。

Ｓ２０３−３６）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）とｋ_１との排他的論理和Ｔ´を計算する。すなわち、第１疑似ランダム関数部２０５は、

を計算する。なお、ｋ_１は、第一鍵生成ステップ（Ｓ２０１）で生成されたものである。

Ｓ２０３−３７）そして、通信部２０８は、（Ｔ´，Ｔ_１）を鍵配信サーバ１０に送信する。

ステップＳ２０４：第三鍵生成ステップ（Ｒｏｕｎｄ２）
Ｓ２０４−１）通信部１０５は、ｉ＝１であるユーザ端末２０_１から（Ｔ´，Ｔ_１）を受信すると共に、ｉが１以外の各ユーザ端末２０_ｉ（ｉ＝２，３，・・・，Ｎ）から（ｋ_ｉ，Ｔ_ｉ）を受信する。

Ｓ２０４−２）短期秘密ストリング生成部１０３は、短期秘密ストリングとして、ｋ_Ｓ ^（１）∈｛０，１｝^ｋと、ｋ_Ｓ ^（２）∈Ｋｓｐａｃｅ_ｋとを一様ランダムに生成する。そして、短期秘密ストリング生成部１０３は、短期秘密ストリング（ｋ_Ｓ ^（１），ｋ_Ｓ ^（２））を短期秘密ストリング記憶部１０７に保存する。

Ｓ２０４−３）次に、短期秘密ストリング生成部１０３は、短期秘密ストリング生成部１０３は、ｋ_Ｓ＝ｔＰＲＦ（ｋ_Ｓ ^（１），ｋ_Ｓ ^（２），ｓｔ_Ｓ，ｓｔ´_Ｓ）と、

とを計算する。なお、ｓｔ_Ｓ及びｓｔ´_Ｓは、長期秘密ストリング記憶部１０６に保存されているものを使用する。

Ｓ２０４−４）次に、公開情報計算部１０４は、各ｉ∈｛２，・・・，Ｎ｝に対して、各Ｔ_ｊ（１≦ｊ≦ｉ−１）同士の排他的論理和Ｔ´_ｉを計算する。すなわち、公開情報計算部１０４は、

を計算する。

Ｓ２０４−５）そして、通信部１０５は、各ユーザ端末２０_ｉ（ｉ＝２，・・・，Ｎ）に対して、（ｋ´，Ｔ´_ｉ，Ｔ´）を送信する。また、通信部１０５は、ユーザ端末２０_１に対して、ｋ´を送信する。

ステップＳ２０５：セッション鍵生成ステップ
以降のＳ２０５−１１〜Ｓ２０５−１４は、ｉが１以外であるユーザ端末２０_ｉ（すなわち、代表ユーザ端末以外のユーザ端末２０）が実行する。

Ｓ２０５−１１）通信部２０８は、鍵配信サーバ１０から（ｋ´，Ｔ´_ｉ，Ｔ´）を受信する。

Ｓ２０５−１２）秘密情報計算部２０６は、Ｔ´_ｉとＴ´との排他的論理和を計算する。この排他的論理和はＫ_１ ^（ｌ）と一致する。すなわち、

である。

Ｓ２０５−１３）次に、秘密情報計算部２０６は、Ｔ´とＫ_１ ^（ｌ）との排他的論理和を計算する。この排他的論理和はｋ_１と一致する。すなわち、

である。

Ｓ２０５−１４）次に、第２疑似ランダム関数部２０７は、

を計算する。このＫがセッション鍵となる。

そして、第２疑似ランダム関数部２０７は、セッション鍵Ｋをセッション情報記憶部２１１に保存する。

以降のＳ２０５−２１〜Ｓ２０５−２２は、ｉが１であるユーザ端末２０_１（すなわち、代表ユーザ端末）が実行する。

Ｓ２０５−２１）通信部２０８は、鍵配信サーバ１０からｋ´を受信する。

Ｓ２０５−２２）次に、第２疑似ランダム関数部２０７は、

を計算する。このＫがセッション鍵となる。

そして、第２疑似ランダム関数部２０７は、セッション鍵Ｋをセッション情報記憶部２１１に保存する。

これにより、各ユーザ端末２０_ｉ（ｉ＝１，２，・・・，Ｎ）間で同一のセッション鍵Ｋが共有される。このセッション鍵Ｋを用いて、各ユーザ端末２０間で送受信されるデータが暗号化される。

≪Ｎが奇数である場合≫
次に、Ｎが奇数である場合について説明する。なお、Ｎが偶数である場合に説明した処理と同様の処理を行う箇所については、適宜、その説明を省略又は簡略化する。

ステップＳ２０１：第一鍵生成ステップ（Ｒｏｕｎｄ１）
ｉが１以外の奇数である各ユーザ端末２０_ｉ（ｉ＝３，５，・・・，Ｎ）は、上記のＳ２０１−１１〜Ｓ２０１−１５を実行する。また、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ−１）は、上記のＳ２０１−２１〜Ｓ２０１−２５を実行する。

以降のＳ２０１−３１〜Ｓ２０１−３５は、ｉが１であるユーザ端末２０_１（すなわち、代表ユーザ端末）が実行する。

Ｓ２０１−３１）短期秘密ストリング生成部２０２は、短期秘密ストリングとして、ｒ_１ ^（１）∈｛０，１｝^ｋと、ｒ_１ ^（２）∈Ｋｓｐａｃｅ_ｋと、ｒ_１ ^（３）∈｛０，１｝^ｋと、ｒ_１ ^（４）∈Ｋｓｐａｃｅ_ｋと、ｒ_１ ^（５）∈｛０，１｝^ｋと、ｒ_１ ^（６）∈Ｋｓｐａｃｅ_ｋと、ｒ_１ ^（７）∈｛０，１｝^ｋと、ｒ_１ ^（８）∈Ｋｓｐａｃｅ_ｋと、ｋ_１ ^（１）∈｛０，１｝^ｋと、ｋ_１ ^（２）∈Ｋｓｐａｃｅ_ｋとを一様ランダムに生成する。

そして、短期秘密ストリング生成部２０２は、短期秘密ストリング（ｒ_１ ^（１），ｒ_１ ^（２），ｒ_１ ^（３），ｒ_１ ^（４），ｒ_１ ^（５），ｒ_１ ^（６），ｒ_１ ^（７），ｒ_１ ^（８），ｋ_１ ^（１），ｋ_２ ^（２））を短期秘密ストリング記憶部２１０に保存する。

Ｓ２０１−３２）ねじれ疑似ランダム関数部２０３は、ｍ_１＝ｔＰＲＦ_Ａ（ｒ_１ ^（１），ｒ_１ ^（２），ｓｔ_１，ｓｔ´_１）と、ｎ_１＝ｔＰＲＦ_Ａ（ｒ_１ ^（３），ｒ_１ ^（４），ｓｔ_１，ｓｔ´_１）と、ｍ_Ｎ＋１＝ｔＰＲＦ_Ｂ（ｒ_１ ^（５），ｒ_１ ^（６），ｓｔ_１，ｓｔ´_１）と、ｎ_Ｎ＋１＝ｔＰＲＦ_Ｂ（ｒ_１ ^（７），ｒ_１ ^（８），ｓｔ_１，ｓｔ´_１）と、ｋ_１＝ｔＰＲＦ（ｋ_１ ^（１），ｋ_１ ^（２），ｓｔ_１，ｓｔ´_１）とを生成する。なお、長期秘密ストリング（ｓｔ_１，ｓｔ´_１）は、長期秘密ストリング記憶部２０９は記憶されているものを使用する。

Ｓ２０１−３３）同種写像計算部２０４は、［ｍ_１］Ｐ_Ａ＋［ｎ_１］Ｑ_Ａで生成されるＥの部分群Ｋ_１を核に持つ同種写像φ_１：Ｅ→Ｅ_１と、この同種写像φ_１に付随する楕円曲線Ｅ_１とを計算する。

また、同種写像計算部２０４は、［ｍ_Ｎ＋１］Ｐ_Ｂ＋［ｎ_Ｎ＋１］Ｑ_Ｂで生成されるＥの部分群Ｋ_Ｎ＋１を核に持つ同種写像φ_Ｎ＋１：Ｅ→Ｅ_Ｎ＋１と、この同種写像φ_Ｎ＋１に付随する楕円曲線Ｅ_Ｎ＋１とを計算する。

Ｓ２０１−３４）同種写像計算部２０４は、φ_１（Ｐ_Ｂ）と、φ_１（Ｑ_Ｂ）と、φ_Ｎ＋１（Ｐ_Ａ）と、φ_Ｎ＋１（Ｑ_Ａ）とを計算する。

Ｓ２０１−３５）そして、通信部２０８は、（φ_１（Ｐ_Ｂ），φ_１（Ｑ_Ｂ），Ｅ_１，φ_Ｎ＋１（Ｐ_Ａ），φ_Ｎ＋１（Ｑ_Ｂ），Ｅ_Ｎ＋１）を鍵配信サーバ１０に送信する。これより、代表ユーザ端末であるユーザ端末２０_１の公開値（φ_１（Ｐ_Ｂ），φ_１（Ｑ_Ｂ），Ｅ_１，φ_Ｎ＋１（Ｐ_Ａ），φ_Ｎ＋１（Ｑ_Ｂ），Ｅ_Ｎ＋１）が鍵配信サーバ１０に送信される。

なお、上記のＳ２０１−３２におけるｍ_１，ｎ_１，ｍ_Ｎ＋１及びｎ_Ｎ＋１は、長期秘密ストリング記憶部２０９に記憶されている長期秘密ストリングと、短期秘密ストリング記憶部２１０に記憶されている短期秘密ストリングとを用いて、必要なときにねじれ疑似ランダム関数から生成することができる。このため、安全上、ｍ_１，ｎ_１，ｍ_Ｎ＋１及びｎ_Ｎ＋１は保存しないことが好ましい。

ただし、安全性をあまり考慮しないのであれば、上記のＳ２０１−３２でｍ_１及びｎ_１を

からランダムに生成すると共に、ｍ_Ｎ＋１及びｎ_Ｎ＋１を

からランダムに生成し、保存しておいても良い。

ステップＳ２０２：鍵配信ステップ（Ｒｏｕｎｄ１）
Ｓ２０２−３）通信部１０５は、ｉが１であるユーザ端末２０_１から公開値（φ_１（Ｐ_Ｂ），φ_１（Ｑ_Ｂ），Ｅ_１，φ_Ｎ＋１（Ｐ_Ａ），φ_Ｎ＋１（Ｑ_Ｂ），Ｅ_Ｎ＋１）を受信する。また、通信部１０５は、ｉが１以外の奇数である各ユーザ端末２０_ｉ（ｉ＝３，５，・・・，Ｎ）から公開値（φ_ｉ（Ｐ_Ｂ），φ_ｉ（Ｑ_Ｂ），Ｅ_ｉ）を受信すると共に、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ−１）から公開値（φ_ｉ（Ｐ_Ａ），φ_ｉ（Ｑ_Ａ），Ｅ_ｉ）を受信する。

Ｓ２０２−４）通信部１０５は、ｉが奇数である各ユーザ端末２０_ｉ（ｉ＝１，３，・・・，Ｎ）に対して、（ｓｉｄ，φ_ｉ−１（Ｐ_Ａ），φ_ｉ−１（Ｑ_Ａ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ａ），φ_ｉ＋１（Ｑ_Ａ），Ｅ_ｉ＋１）を送信する。

また、通信部１０５は、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ−１）に対して、（ｓｉｄ，φ_ｉ−１（Ｐ_Ｂ），φ_ｉ−１（Ｑ_Ｂ），Ｅ_ｉ−１，φ_ｉ＋１（Ｐ_Ｂ），φ_ｉ＋１（Ｑ_Ｂ），Ｅ_ｉ＋１）を送信する。

ステップＳ２０３：第二鍵生成ステップ（Ｒｏｕｎｄ２）
ｉが１以外の奇数である各ユーザ端末２０_ｉ（ｉ＝３，５，・・・，Ｎ）は、上記のＳ２０３−１１〜Ｓ２０３−１６を実行する。また、ｉが偶数である各ユーザ端末２０_ｉ（ｉ＝２，４，・・・，Ｎ−１）は、上記のＳ２０３−２１〜Ｓ２０３−２６を実行する。

以降のＳ２０３−４１〜Ｓ２０３−４７は、ｉが１であるユーザ端末２０_１（すなわち、代表ユーザ端末）が実行する。

Ｓ２０３−４１）通信部２０８は、鍵配信サーバ１０から（ｓｉｄ，φ_Ｎ（Ｐ_Ａ），φ_Ｎ（Ｑ_Ａ），Ｅ_Ｎ，φ_２（Ｐ_Ａ），φ_２（Ｑ_Ａ），Ｅ_２）を受信する。

Ｓ２０３−４２）同種写像計算部２０４は、［ｍ_Ｎ＋１］φ_Ｎ（Ｐ_Ｂ）＋［ｎ_Ｎ＋１］φ_Ｎ（Ｑ_Ｂ）で生成されるＥ_Ｎの部分群Ｋ_{Ｎ，Ｎ＋１}を核に持つ同種写像φ_{Ｎ，Ｎ＋１}：Ｅ_Ｎ→Ｅ_{Ｎ，Ｎ＋１}と、この同種写像φ_{Ｎ，Ｎ＋１}に付随する楕円曲線Ｅ_{Ｎ，Ｎ＋１}とを計算する。

同様に、同種写像計算部２０４は、［ｍ_１］φ_２（Ｐ_Ａ）＋［ｎ_１］φ_２（Ｑ_Ａ）で生成されるＥ_２の部分群Ｋ_２，１を核に持つ同種写像φ_２，１：Ｅ_２→Ｅ_２，１と、この同種写像φ_２，１に付随する楕円曲線Ｅ_２，１とを計算する。

Ｓ２０３−４３）同種写像計算部２０４は、楕円曲線Ｅ_{Ｎ，Ｎ＋１}のｊ不変量ｊ（Ｅ_{Ｎ，Ｎ＋１}）と、楕円曲線Ｅ_２，１のｊ不変量ｊ（Ｅ_２，１）とを計算する。

Ｓ２０３−４４）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{Ｎ，Ｎ＋１}））と、Ｋ_１ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_２，１））とを計算する。

Ｓ２０３−４５）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）とＫ_１ ^（ｒ）とのビット毎の排他的論理和Ｔ_１を計算する。

Ｓ２０３−４６）次に、第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）とｋ_１との排他的論理和Ｔ´を計算する。

Ｓ２０３−４７）そして、通信部２０８は、（Ｔ´，Ｔ_１）を鍵配信サーバ１０に送信する。

以降のステップＳ２０４〜ステップＳ２０５は、Ｎが偶数である場合と同様であるため、その説明を省略する。

（実施例２）
以降では、実施例２について説明する。実施例２は、Ｎが偶数又は奇数のいずれであっても同様の処理を行うものである。すなわち、実施例２では、実施例１と異なり、Ｎの偶奇による場合分けが発生しない。

ステップＳ２０１：第一鍵生成ステップ（Ｒｏｕｎｄ１）
以降のＳ２０１−４１〜Ｓ２０１−４５は、各ユーザ端末２０_ｉ（ｉ＝１，２，・・・，Ｎ）が実行する。

Ｓ２０１−４１）短期秘密ストリング生成部２０２は、短期秘密ストリングとして、ｒ_ｉ ^（１）∈｛０，１｝^ｋと、ｒ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋと、ｒ_ｉ ^（３）∈｛０，１｝^ｋと、ｒ_ｉ ^（４）∈Ｋｓｐａｃｅ_ｋと、ｒ_ｉ ^（５）∈｛０，１｝^ｋと、ｒ_ｉ ^（６）∈Ｋｓｐａｃｅ_ｋと、ｒ_ｉ ^（７）∈｛０，１｝^ｋと、ｒ_ｉ ^（８）∈Ｋｓｐａｃｅ_ｋと、ｋ_ｉ ^（１）∈｛０，１｝^ｋと、ｋ_ｉ ^（２）∈Ｋｓｐａｃｅ_ｋとを一様ランダムに生成する。

そして、短期秘密ストリング生成部２０２は、短期秘密ストリング（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｒ_ｉ ^（５），ｒ_ｉ ^（６），ｒ_ｉ ^（７），ｒ_ｉ ^（８），ｋ_ｉ ^（１），ｋ_ｉ ^（２））を短期秘密ストリング記憶部２１０に保存する。

Ｓ２０１−４２）ねじれ疑似ランダム関数部２０３は、ｍ_ｉ ^（１）＝ｔＰＲＦ_Ａ（ｒ_ｉ ^（１），ｒ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｎ_ｉ ^（１）＝ｔＰＲＦ_Ａ（ｒ_ｉ ^（３），ｒ_ｉ ^（４），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｍ_ｉ ^（２）＝ｔＰＲＦ_Ｂ（ｒ_ｉ ^（５），ｒ_ｉ ^（６），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｎ_ｉ ^（２）＝ｔＰＲＦ_Ｂ（ｒ_ｉ ^（７），ｒ_ｉ ^（８），ｓｔ_ｉ，ｓｔ´_ｉ）と、ｋ_ｉ＝ｔＰＲＦ（ｋ_ｉ ^（１），ｋ_ｉ ^（２），ｓｔ_ｉ，ｓｔ´_ｉ）とを生成する。なお、長期秘密ストリング（ｓｔ_ｉ，ｓｔ´_ｉ）は、長期秘密ストリング記憶部２０９は記憶されているものを使用する。

Ｓ２０１−４３）同種写像計算部２０４は、［ｍ_ｉ ^（１）］Ｐ_Ａ＋［ｎ_ｉ ^（１）］Ｑ_Ａで生成されるＥの部分群Ｋ_ｉ ^（１）を核に持つ同種写像φ_ｉ ^（１）：Ｅ→Ｅ_ｉ ^（１）と、この同種写像φ_ｉ ^（１）に付随する楕円曲線Ｅ_ｉ ^（１）とを計算する。

また、同種写像計算部２０４は、［ｍ_ｉ ^（２）］Ｐ_Ｂ＋［ｎ_ｉ ^（２）］Ｑ_Ｂで生成されるＥの部分群Ｋ_ｉ ^（２）を核に持つ同種写像φ_ｉ ^（２）：Ｅ→Ｅ_ｉ ^（２）と、この同種写像φ_ｉ ^（２）に付随する楕円曲線Ｅ_ｉ ^（２）とを計算する。

Ｓ２０１−４４）同種写像計算部２０４は、φ_ｉ ^（１）（Ｐ_Ｂ）と、φ_ｉ ^（１）（Ｑ_Ｂ）と、φ_ｉ ^（２）（Ｐ_Ａ）と、φ_ｉ ^（２）（Ｑ_Ａ）とを計算する。

Ｓ２０１−４５）そして、通信部２０８は、（φ_ｉ ^（１）（Ｐ_Ｂ），φ_ｉ ^（１）（Ｑ_Ｂ），Ｅ_ｉ ^（１），φ_ｉ ^（２）（Ｐ_Ａ），φ_ｉ ^（２）（Ｑ_Ｂ），Ｅ_ｉ ^（２））を鍵配信サーバ１０に送信する。これより、各ユーザ端末２０_ｉの公開値（φ_ｉ ^（１）（Ｐ_Ｂ），φ_ｉ ^（１）（Ｑ_Ｂ），Ｅ_ｉ ^（１），φ_ｉ ^（２）（Ｐ_Ａ），φ_ｉ ^（２）（Ｑ_Ｂ），Ｅ_ｉ ^（２））が鍵配信サーバ１０に送信される。

なお、上記のＳ２０１−４２におけるｍ_ｉ ^（１），ｎ_ｉ ^（１），ｍ_ｉ ^（２）及びｎ_ｉ ^（２）は、長期秘密ストリング記憶部２０９に記憶されている長期秘密ストリングと、短期秘密ストリング記憶部２１０に記憶されている短期秘密ストリングとを用いて、必要なときにねじれ疑似ランダム関数から生成することができる。このため、安全上、ｍ_ｉ ^（１），ｎ_ｉ ^（１），ｍ_ｉ ^（２）及びｎ_ｉ ^（２）は保存しないことが好ましい。

ただし、安全性をあまり考慮しないのであれば、上記のＳ２０１−３２でｍ_ｉ ^（１）及びｎ_ｉ ^（１）を

からランダムに生成すると共に、ｍ_ｉ ^（２）及びｎ_ｉ ^（２）を

からランダムに生成し、保存しておいても良い。

ステップＳ２０２：鍵配信ステップ（Ｒｏｕｎｄ１）
Ｓ２０２−５）通信部１０５は、各ユーザ端末２０_ｉから公開値（φ_ｉ ^（１）（Ｐ_Ｂ），φ_ｉ ^（１）（Ｑ_Ｂ），Ｅ_ｉ ^（１），φ_ｉ ^（２）（Ｐ_Ａ），φ_ｉ ^（２）（Ｑ_Ｂ），Ｅ_ｉ ^（２））を受信する。

Ｓ２０２−６）通信部１０５は、各ユーザ端末２０_ｉに対して、（ｓｉｄ，φ_ｉ−１ ^（１）（Ｐ_Ｂ），φ_ｉ−１ ^（１）（Ｑ_Ｂ），Ｅ_ｉ−１ ^（１），φ_ｉ＋１ ^（２）（Ｐ_Ａ），φ_ｉ＋１ ^（２）（Ｑ_Ｂ），Ｅ_ｉ＋１ ^（２））を送信する。

ステップＳ２０３：第二鍵生成ステップ（Ｒｏｕｎｄ２）
以降のＳ２０１−５１〜Ｓ２０１−５６は、各ユーザ端末２０_ｉ（ｉ＝１，２，・・・，Ｎ）が実行する。ただし、Ｓ２０１−５４〜Ｓ２０３−５６は、代表ユーザ端末であるユーザ端末２０_１と、それ以外のユーザ端末２０_ｉ（ｉ＝２，３，・・・，Ｎ）とで処理内容が異なる。

Ｓ２０３−５１）通信部２０８は、鍵配信サーバ１０から（ｓｉｄ，φ_ｉ−１ ^（１）（Ｐ_Ｂ），φ_ｉ−１ ^（１）（Ｑ_Ｂ），Ｅ_ｉ−１ ^（１），φ_ｉ＋１ ^（２）（Ｐ_Ａ），φ_ｉ＋１ ^（２）（Ｑ_Ｂ），Ｅ_ｉ＋１ ^（２））を受信する。

Ｓ２０３−５２）同種写像計算部２０４は、［ｍ_ｉ ^（２）］φ_ｉ−１ ^（１）（Ｐ_Ｂ）＋［ｎ_ｉ ^（２）］φ_ｉ−１ ^（１）（Ｑ_Ｂ）で生成されるＥ_ｉ−１ ^（１）の部分群Ｋ_{ｉ−１，ｉ} ^（１）を核に持つ同種写像φ_{ｉ−１，ｉ} ^（１）：Ｅ_ｉ−１ ^（１）→Ｅ_{ｉ−１，ｉ} ^（１）と、この同種写像φ_{ｉ−１，ｉ} ^（１）に付随する楕円曲線Ｅ_{ｉ−１，ｉ} ^（１）とを計算する。

同様に、同種写像計算部２０４は、［ｍ_ｉ ^（１）］φ_ｉ＋１ ^（２）（Ｐ_Ａ）＋［ｎ_ｉ ^（１）］φ_ｉ＋１ ^（２）（Ｑ_Ａ）で生成されるＥ_ｉ＋１ ^（２）の部分群Ｋ_{ｉ＋１，ｉ} ^（２）を核に持つ同種写像φ_{ｉ＋１，ｉ} ^（２）：Ｅ_ｉ＋１ ^（２）→Ｅ_{ｉ＋１，ｉ} ^（２）と、この同種写像φ_{ｉ＋１，ｉ} ^（２）に付随する楕円曲線Ｅ_{ｉ＋１，ｉ} ^（２）とを計算する。

Ｓ２０３−５３）同種写像計算部２０４は、楕円曲線Ｅ_{ｉ−１，ｉ} ^（１）のｊ不変量ｊ（Ｅ_{ｉ−１，ｉ} ^（１））と、楕円曲線Ｅ_{ｉ＋１，ｉ} ^（２）のｊ不変量ｊ（Ｅ_{ｉ＋１，ｉ} ^（２））とを計算する。

Ｓ２０３−５４）ユーザ端末２０_ｉ（ｉ＝２，３，・・・，Ｎ）の第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ−１，ｉ} ^（１）））と、Ｋ_ｉ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_{ｉ＋１，ｉ} ^（２）））とを計算する。

また、ユーザ端末２０_１の第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_Ｎ，１ ^（１）））と、Ｋ_１ ^（ｒ）＝Ｆ（ｓｉｄ，ｊ（Ｅ_２，１ ^（２）））とを計算する。

Ｓ２０３−５５）次に、ユーザ端末２０_ｉ（ｉ＝２，３，・・・，Ｎ）の第１疑似ランダム関数部２０５は、Ｋ_ｉ ^（ｌ）とＫ_ｉ ^（ｒ）とのビット毎の排他的論理和Ｔ_ｉを計算する。

また、ユーザ端末２０_１の第１疑似ランダム関数部２０５は、Ｋ_１ ^（ｌ）とＫ_１ ^（ｒ）との排他的論理和Ｔ_１を計算すると共に、Ｋ_１ ^（ｌ）とｋ_１との排他的論理和Ｔ´を計算する。なお、ｋ_１は、第一鍵生成ステップ（Ｓ２０１）で生成されたものである。

Ｓ２０３−５６）そして、ユーザ端末２０_ｉ（ｉ＝２，３，・・・，Ｎ）の通信部２０８は、（ｋ_ｉ，Ｔ_ｉ）を鍵配信サーバ１０に送信する。なお、ｋ_ｉは、第一鍵生成ステップ（Ｓ２０１）で生成されたものである。

また、ユーザ端末２０_１の通信部２０８は、（Ｔ´，Ｔ_１）を鍵配信サーバ１０に送信する。

以降のステップＳ２０４〜ステップＳ２０５は、実施例１と同様であるため、その説明を省略する。

＜ハードウェア構成＞
図６に示すように、本発明の実施の形態における鍵配信サーバ１０及びユーザ端末２０は、入力装置３０１と、表示装置３０２と、外部Ｉ／Ｆ３０３と、ＲＡＭ（Random Access Memory）３０４と、ＲＯＭ（Read Only Memory）３０５と、ＣＰＵ（Central Processing Unit）３０６と、通信Ｉ／Ｆ３０７と、補助記憶装置３０８とを有する。これら各ハードウェアは、それぞれがバスＢを介して通信可能に接続されている。

入力装置３０１は、例えばキーボードやマウス、タッチパネル等である。表示装置３０２は、例えばディスプレイ等である。なお、鍵配信サーバ１０は、入力装置３０１及び表示装置３０２のうちの少なくとも一方を有していなくても良い。

外部Ｉ／Ｆ３０３は、外部装置とのインタフェースである。外部装置には、記録媒体３０３ａ等がある。記録媒体３０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。記録媒体３０３ａには、鍵配信サーバ１０の各機能部を実現する１以上のプログラムやユーザ端末２０の各機能部を実現する１以上のプログラム等が記録されていても良い。

ＲＡＭ３０４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ３０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。

ＣＰＵ３０６は、ＲＯＭ３０５や補助記憶装置３０８等からプログラムやデータをＲＡＭ３０４上に読み出して処理を実行する演算装置である。鍵配信サーバ１０の各機能部やユーザ端末２０の各機能部は、ＣＰＵ３０６が１以上のプログラムを実行することによって実現される。

通信Ｉ／Ｆ３０７は、ネットワーク３０に接続するためのインタフェースである。なお、鍵配信サーバ１０の各機能部を実現する１以上のプログラムやユーザ端末２０の各機能部を実現する１以上のプログラム等は、通信Ｉ／Ｆ３０７を介して、所定のサーバ等から取得（ダウンロード）されても良い。

補助記憶装置３０８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置３０８には、鍵配信サーバ１０の各機能部を実現する１以上のプログラムやユーザ端末２０の各機能部を実現する１以上のプログラム等が記録される。

本発明の実施の形態における鍵配信サーバ１０及びユーザ端末２０は、図６に示すハードウェア構成を有することにより、上述した各種処理を実現することができる。なお、図６では、本発明の実施の形態における鍵配信サーバ１０が１台の情報処理装置で実現される場合を示したが、これに限られない。本発明の実施の形態における鍵配信サーバ１０は、複数台の情報処理装置で実現されていても良い。

＜まとめ＞
以上のように、本発明の実施の形態における鍵交換システム１では、ＤＭＫＤプロトコルにおけるＤＨ鍵交換を同種写像暗号に変更することで、耐量子性がある多者間鍵交換を実現することができる。

しかも、本発明の実施の形態における鍵交換システム１の実施例１では、ユーザ端末２０の台数Ｎが偶数である場合、例えば、ユーザ端末２０_１，ユーザ端末２０_３，・・・，ユーザ端末２０_Ｎ−１が基底｛Ｐ_Ａ，Ｑ_Ａ｝からそれぞれ公開値を計算し、ユーザ端末２０_２，ユーザ端末２０_４，・・・，ユーザ端末２０_Ｎが基底｛Ｐ_Ｂ，Ｑ_Ｂ｝からそれぞれ公開値を計算する。これにより、（論理的に）リング状に配置されるユーザ端末２０の隣り合うユーザ端末２０同士は、異なる基底を使用して公開値を計算することなり、隣り合うユーザ端末２０同士での同種写像暗号の鍵交換を少ないラウンド数（２ラウンド）で容易に行うことができるようになる。

一方で、ユーザ端末２０の台数Ｎが奇数である場合、代表ユーザ端末であるユーザ端末２０_１が基底｛Ｐ_Ａ，Ｑ_Ａ｝及び基底｛Ｐ_Ｂ，Ｑ_Ｂ｝の両方からそれぞれ公開値を計算し、ユーザ端末２０_３，ユーザ端末２０_５，・・・，ユーザ端末２０_Ｎ−１が基底｛Ｐ_Ａ，Ｑ_Ａ｝からそれぞれ公開値を計算し、ユーザ端末２０_２，ユーザ端末２０_４，・・・，ユーザ端末２０_Ｎが基底｛Ｐ_Ｂ，Ｑ_Ｂ｝からそれぞれ公開値を計算する。このように、代表ユーザ端末が両方の基底｛Ｐ_Ａ，Ｑ_Ａ｝及び｛Ｐ_Ｂ，Ｑ_Ｂ｝からそれぞれ公開値を計算することで、ユーザ端末２０全体として、Ｎが偶数である場合と同様の振る舞いを実現することができ、同種写像暗号の鍵交換を少ないラウンド数で容易に行うことができるようになる。

また、本発明の実施の形態における鍵交換システム１の実施例２では、ユーザ端末２０の台数Ｎの偶奇によらず、全てのユーザ端末２０が基底｛Ｐ_Ａ，Ｑ_Ａ｝及び基底｛Ｐ_Ｂ，Ｑ_Ｂ｝の両方からそれぞれ公開値を計算する。これにより、ユーザ端末２０全体として、実施例１のＮが偶数である場合と同様の振る舞いを実現することができ、同種写像暗号の鍵交換を少ないラウンド数で容易に行うことができるようになる。更に、実施例２では、ユーザ数の偶奇に関わらず、同一の処理内容を用いるため、例えば、ユーザの偶奇に応じて条件分岐等が発生しない鍵交換処理を実現することができる。

このように、本発明の実施の形態における鍵交換システム１では、耐量子性があり、かつ、非特許文献１と比べて少ないラウンド数（２ラウンド）の多者間鍵交換（すなわち、耐量子性があり、かつ、通信コストが少ない多者間鍵交換）を実現することができる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

本願は、日本国に２０１８年４月１１日に出願された基礎出願２０１８−０７６３４３号に基づくものであり、その全内容はここに参照をもって援用される。

１ 鍵交換システム
１０ 鍵配信サーバ
２０ ユーザ端末
１０１ セットアップ部
１０２ 長期秘密ストリング生成部
１０３ 短期秘密ストリング生成部
１０４ 公開情報計算部
１０５ 通信部
１０６ 長期秘密ストリング記憶部
１０７ 短期秘密ストリング記憶部
２０１ 長期秘密ストリング生成部
２０２ 短期秘密ストリング生成部
２０３ ねじれ疑似ランダム関数部
２０４ 同種写像計算部
２０５ 第１疑似ランダム関数部
２０６ 秘密情報計算部
２０７ 第２疑似ランダム関数部
２０８ 通信部
２０９ 長期秘密ストリング記憶部
２１０ 短期秘密ストリング記憶部
２１１ セッション情報記憶部

Claims (8)

1. Ｎ（ただし、Ｎ≧２）台の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ）と、該Ｎ台の端末装置Ｕ_ｉ間で同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムであって、
   Ｎが偶数である場合、前記端末装置Ｕ_ｉのうち、奇数番目の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ−１）が所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値を計算し、偶数番目の端末装置Ｕ_ｉ（ｉ＝２，・・・，Ｎ）が前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手段と、
   前記鍵配信サーバが、奇数番目の端末装置Ｕ_ｉにより計算された第１の公開値を端末装置Ｕ_ｉ−１（ただし、ｉ＝１である場合、Ｕ_０＝Ｕ_Ｎ）及び端末装置Ｕ_ｉ＋１（ただし、ｉ＝Ｎである場合、Ｕ_Ｎ＋１＝Ｕ_１）に配信し、偶数番目の端末装置Ｕ_ｉにより計算された第２の公開値を端末装置Ｕ_ｉ−１及び端末装置Ｕ_ｉ＋１に配信する配信手段と、
   前記配信手段により配信された第２の公開値を用いて奇数番目の端末装置Ｕ_ｉが前記セッション鍵を生成し、前記配信手段により配信された第１の公開値を用いて偶数番目の端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手段と、
   を有し、
   前記同種写像計算手段は、
   Ｎが奇数である場合、前記端末装置Ｕ_ｉのうち、予め決められた所定の端末装置Ｕ_Ｉが前記第１のねじれ部分群の基底を用いた第１の公開値と、前記第２のねじれ部分群の基底を用いた第２の公開値とを計算する、ことを特徴とする鍵配信システム。
2. Ｎ（ただし、Ｎ≧２）台の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ）と、該Ｎ台の端末装置Ｕ_ｉ間で同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムであって、
   前記端末装置Ｕ_ｉが所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値と、前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値とを計算する同種写像計算手段と、
   前記鍵配信サーバが、前記端末装置Ｕ_ｉにより計算された第１の公開値と第２の公開値とをそれぞれ端末装置Ｕ_ｉ−１（ただし、ｉ＝１である場合、Ｕ_０＝Ｕ_Ｎ）及び端末装置Ｕ_ｉ＋１（ただし、ｉ＝Ｎである場合、Ｕ_Ｎ＋１＝Ｕ_１）に配信する配信手段と、
   前記配信手段により配信された第１の公開値及び第２の公開値を用いて、前記端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手段と、
   を有することを特徴とする鍵配信システム。
3. 前記同種写像計算手段は、
   前記第１のねじれ部分群の基底を｛Ｐ_Ａ，Ｑ_Ａ｝、前記第２のねじれ部分群の基底を｛Ｐ_Ｂ，Ｑ_Ｂ｝、前記第１のねじれ部分群に関する第１のねじれ疑似ランダム関数値をｍ_ｉ、前記第１のねじれ部分群に関する第２のねじれ疑似ランダム関数値をｎ_ｉ、［ｍ_ｉ］Ｐ_Ａ＋［ｎ_ｉ］Ｑ_Ａで生成される前記楕円曲線の部分群を核に持つ同種写像φ_ｉとした場合に、前記第１の公開値として、φ_ｉ（Ｐ_Ｂ）及びφ_ｉ（Ｑ_Ｂ）を計算し、
   前記第２のねじれ部分群に関する第３のねじれ疑似ランダム関数値をｍ´_ｉ、前記第２のねじれ部分群に関する第４のねじれ疑似ランダム関数値をｎ´_ｉ、［ｍ´_ｉ］Ｐ_Ｂ＋［ｎ´_ｉ］Ｑ_Ｂで生成される前記楕円曲線の部分群を核に持つ同種写像φ´_ｉとした場合に、前記第２の公開値として、φ´_ｉ（Ｐ_Ａ）及びφ´_ｉ（Ｑ_Ａ）を計算する、
   ことを特徴とする請求項１又は２に記載の鍵配信システム。
4. 前記鍵生成手段は、
   前記配信手段により配信された第１の公開値φ_ｉ−１（Ｐ_Ｂ）及びφ_ｉ−１（Ｑ_Ｂ）並びにφ_ｉ＋１（Ｐ_Ｂ）及びφ_ｉ＋１（Ｑ_Ｂ）が配信された場合、［ｍ_ｉ］φ_ｉ−１（Ｐ_Ｂ）＋［ｎ_ｉ］φ_ｉ−１（Ｑ_Ｂ）で生成される楕円曲線の部分群を核に持つ同種写像に付随する楕円曲線の第１のｊ不変量と、［ｍ_ｉ］φ_ｉ＋１（Ｐ_Ｂ）＋［ｎ_ｉ］φ_ｉ＋１（Ｑ_Ｂ）で生成される楕円曲線の部分群を核に持つ同種写像に付随する楕円曲線の第２のｊ不変量とを計算し、計算された第１のｊ不変量及び第２のｊ不変量を用いて前記セッション鍵を生成し、
   前記配信手段により配信された第２の公開値φ_ｉ−１（Ｐ_Ａ）及びφ_ｉ−１（Ｑ_Ａ）並びにφ_ｉ＋１（Ｐ_Ａ）及びφ_ｉ＋１（Ｑ_Ａ）が配信された場合、［ｍ´_ｉ］φ´_ｉ−１（Ｐ_Ａ）＋［ｎ´_ｉ］φ´_ｉ−１（Ｑ_Ａ）で生成される楕円曲線の部分群を核に持つ同種写像に付随する楕円曲線の第３のｊ不変量と、［ｍ´_ｉ］φ´_ｉ＋１（Ｐ_Ａ）＋［ｎ´_ｉ］φ´_ｉ＋１（Ｑ_Ａ）で生成される楕円曲線の部分群を核に持つ同種写像に付随する楕円曲線の第４のｊ不変量とを計算し、計算された第３のｊ不変量及び第４のｊ不変量を用いて前記セッション鍵を生成する、
   ことを特徴とする請求項３に記載の鍵配信システム。
5. 同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバと接続される端末装置であって、
   所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値又は／及び前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手段と、
   前記セッション鍵を共有する１以上の他の端末装置のうち、所定の２台の端末装置でそれぞれ計算された第１の公開値又は／及び第２の公開値を前記鍵配信サーバから受信する受信手段と、
   前記受信手段が受信した第１の公開値又は／及び第２の公開値を用いて、前記セッション鍵を生成する鍵生成手段と、
   を有することを特徴とする端末装置。
6. Ｎ（ただし、Ｎ≧２）台の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ）と、該Ｎ台の端末装置Ｕ_ｉ間で同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムによる鍵配信方法であって、
   Ｎが偶数である場合、前記端末装置Ｕ_ｉのうち、奇数番目の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ−１）が所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値を計算し、偶数番目の端末装置Ｕ_ｉ（ｉ＝２，・・・，Ｎ）が前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手順と、
   前記鍵配信サーバが、奇数番目の端末装置Ｕ_ｉにより計算された第１の公開値を端末装置Ｕ_ｉ−１（ただし、ｉ＝１である場合、Ｕ_０＝Ｕ_Ｎ）及び端末装置Ｕ_ｉ＋１（ただし、ｉ＝Ｎである場合、Ｕ_Ｎ＋１＝Ｕ_１）に配信し、偶数番目の端末装置Ｕ_ｉにより計算された第２の公開値を端末装置Ｕ_ｉ−１及び端末装置Ｕ_ｉ＋１に配信する配信手順と、
   前記配信手順により配信された第２の公開値を用いて奇数番目の端末装置Ｕ_ｉが前記セッション鍵を生成し、前記配信手順により配信された第１の公開値を用いて偶数番目の端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手順と、
   を有し、
   前記同種写像計算手順は、
   Ｎが奇数である場合、前記端末装置Ｕ_ｉのうち、予め決められた所定の端末装置Ｕ_Ｉが前記第１のねじれ部分群の基底を用いた第１の公開値と、前記第２のねじれ部分群の基底を用いた第２の公開値とを計算する、ことを特徴とする鍵配信方法。
7. Ｎ（ただし、Ｎ≧２）台の端末装置Ｕ_ｉ（ｉ＝１，・・・，Ｎ）と、該Ｎ台の端末装置Ｕ_ｉ間で同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバとが含まれる鍵配信システムによる鍵配信方法であって、
   前記端末装置Ｕ_ｉが所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値と、前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値とを計算する同種写像計算手順と、
   前記鍵配信サーバが、前記端末装置Ｕ_ｉにより計算された第１の公開値と第２の公開値とをそれぞれ端末装置Ｕ_ｉ−１（ただし、ｉ＝１である場合、Ｕ_０＝Ｕ_Ｎ）及び端末装置Ｕ_ｉ＋１（ただし、ｉ＝Ｎである場合、Ｕ_Ｎ＋１＝Ｕ_１）に配信する配信手順と、
   前記配信手順により配信された第１の公開値及び第２の公開値を用いて、前記端末装置Ｕ_ｉが前記セッション鍵を生成する鍵生成手順と、
   を有することを特徴とする鍵配信方法。
8. 同種写像暗号によるセッション鍵の交換に用いられる鍵配信サーバと接続される端末装置を、
   所定の楕円曲線の第１のねじれ部分群の基底を用いた第１の公開値又は／及び前記楕円曲線の第２のねじれ部分群の基底を用いた第２の公開値を計算する同種写像計算手段、
   前記セッション鍵を共有する１以上の他の端末装置のうち、所定の２台の端末装置でそれぞれ計算された第１の公開値又は／及び第２の公開値を前記鍵配信サーバから受信する受信手段、
   前記受信手段が受信した第１の公開値又は／及び第２の公開値を用いて、前記セッション鍵を生成する鍵生成手段、
   として機能させるためのプログラム。

Images