WO2003094422A1

WO2003094422A1 - Systeme de communication chiffree, serveur de remise de cle associe, terminal, et procede de partage de cle

Info

Publication number: WO2003094422A1
Application number: PCT/JP2003/005482
Authority: WO
Inventors: Yuji Watanabe; Masayuki Numao
Original assignee: International Business Machines Corporation
Priority date: 2002-04-30
Filing date: 2003-04-28
Publication date: 2003-11-13
Also published as: US7539315B2; TW200407023A; JPWO2003094422A1; US20050141720A1; JP4156588B2; TWI246298B; CN100505618C; EP1501237A1; CN1650570A; AU2003235971A1; EP1501237A4

Description

明細書暗号通信システム、その鍵配布サーバ、端末装置及び鍵共有方法技術分野

本発明は、暗号化された情報を復号するための鍵を加入者端末に配布する技術に関し、特に鍵の更新を安全かつ高速に行う技術に関する。背景技術

予め決められたグループに対して情報を提供するようなシステムを構築する際に、グループ加入者だけに鍵（グループ鍵）を配布して、その鍵を用いた暗号通信を行う場面が多く登場する。例えば、携帯電話に対するコンテンツ配信、 D V Dの復号再生器、 C D R O Mによるソフトウェア配信、警察無線、 P 2 Pサービスにおけるグループ内通信など、広い応用分野がある。

このようなシステムにおいて、一部の端末装置（復号器）が盗難等により紛失された場合、グループ加入者以外にグループ鍵が漏洩してしまうおそれがある。このため、古いグループ鍵を更新して、一刻も早く新しいグループ鍵を共有しなければならない。この鍵更新技術は、一度作られたインフラを長期間利用するようなシステムにおいて、極めて重要な意味を持つ。複数の加入者端末から構成されるこの種のシステム（以下、放送型暗号通信システム）において、任意に決定した単数または複数の加入者端末を除く全加入者端末に対してメッセージを配布することを考える。ここで、ある加入者端末をグループから除くことを「排除する」、その加入者端末を「排除対象端末」と呼ぶ。一般に、排除対象端末を排除するには、排除対象端末以外の個々の加入者端末に新たなグループ鍵を配送する必要がある。そのため、グループの規模の拡大に伴い、通信量や全加入者端末間で新しいグループ鍵の共有が完了するまでの遅延が増加する。従来、上述したグループ鍵の更新の際における遅延を減少させるため、種々の方法が検討されている。この種の従来技術としては、例えば特開 2 0 0 0 — 1 9 6 5 8 1 号公報に開示された技術がある（従来技術 1 )。

同公報に開示された従来技術 1 は、排除対象端末が決定後の通信量や遅延がグループ加入者総数 n に比例しない手法が用いられている。この手法では、排除対象端末の最大数を kであるとすると、各加入者端末がグループ鍵を計算するために、 kに比例した冪剰余演算が必要になる。したがって、 kが n に比べて非常に. 小さいならば（ k < < n )、一般的なグループ鍵配送法よりも大幅な効率化が実現できる。例えば、 1 0 0 0 0台の加入者端末を持つシステム（ n = 1 0 0 0 0 ) で、排除対象端末を 1 0 0 ( k = 1 0 0 ) とすると、一般的なグループ鍵配送法では 1 0 0 0 0 回に比例した処理が必要だったのに対し、同公報に記載された従来技術 1 によれば 1 0 0回に比例した処理で実現することが可能である。しかし、加入者端末数が数百万台に上るようなシステム（例えば携帯電話などのモパイル端末を対象としたシステム）等では、グループの大きさにあわせて、排除対象端末の最大数 kも大きく取る必要がある（例えば数千〜数万）。このため、計算能力が低い端末などでは、復号処理に要する kに比例した計算負荷が無視できない。したがって、 kに比例しない、可能ならば定数回の復号処理によリグループ鍵配送が望まれる。この問題を解決すべくなされた従来技術として、特開 2 0 0 1 — 2 0 3 6 8 2号公報がある（従来技術 2 )。

同公報に開示された従来技術 2は、加入者端末数 n、及び排除対象端末の最大数 kに依存せず、 2回の冪剰余演算のみで復号処理を実現する。したがって、非常に多くの加入者端末を持つシステムにおいても、高速にグループ鍵の配送を完了することができる。放送型暗号通信システムにおいて、プロトコル中のメンバーを次のように定義する。

鍵配布サーバ：セッ卜アップ時に、システムパラメータを決定し、各加入者端末に対して個人鍵を配布する信頼機関。グループ鍵配送時には、どの加入者端末を排除するかを決定した上で、グループ鍵をブロードキャス卜により配送する。鍵配布サーバを S と表す。

加入者端末：鍵配布サーバからのブロードキャストを受信する端末。加入者端末 i は、セットアップ時に鍵配布サーバから個人鍵を受け取る。加入者端末の集合を Φ = { 1 , ■ ■ ■ ， η } とする（ η = | Φ |は加入者端末の総数）。

排除された加入者端末：鍵配布サーバにより排除された加入者端末。 I 回目のグループ鍵配送において排除される d (< k ) 個の加入者端末の集合を Λ , ( C O ) とする。一度排除された加入者端末は、それ以降のラウンドでグループ鍵を復号することはできないため、複数のラウンドで重複して排除されることはない。すなわち、 Λ , (Ί Λ = { 0 } ( I ≠ ) を満たす。また、排除された加入者端末の総数は、ラウンド全体を通じて k を超えないものとする（即ち、 | υ Λ ,|≤ ι )。

有効な加入者端末：排除されていない加入者端末。 I 回目のグループ鍵配送において有効な加入者端末の集合を Ω , ( = Φ \ U '_j=1A」) とする。以上のように定義された放送型暗号システムでは、 I ラウンドにおいて、加入者端末全体 Φ のうち、有効な加入者端末 Ω ,に対してが配送される。 U ,を用いてメッセージを暗号化することで、グループ Ω ,内における放送型暗号通信が可能になる。すなわち、

1 . Ω。= Φ とする。鍵配布サーバは、各加入者 i e φ に対して、グループ鍵 U。及び個人鍵 k e を Poi nt-to-Po int の鍵配送プ口トコルで配送する。

2 . I ≥ 1 に対して、以下の処理を繰り返す（この処理の 1 回の繰り返しを、以後 Γ I ラウンド」と呼ぶ）。

( a ) 鍵配布サーバが Λ ,C Ω _I を決定する。

( b ) k ≥ ∑ ₌₁ | Λ Jであれば、 Φ : = Ω ^、 U ₀: = U ,— , として 1 . へ戻る。

( c )鍵配布サーバが Ω ,に対して U ,を計算するためのヘッダ Η ,を配送する。

( d ) ν ^ Ω ,は、及び k e y _vを用いて U ,を計算する。

( e ) 鍵配布サーバ及び Ω ,は、 U ,を用いて放送型暗号通信を行

また、これ以降の説明では、次のパラメータを用いる。 p 、 q は q I P — 1 を満たす大きな素数であり、 gは有限体 Z _p上の位数 qの元とする。 p 、 qのサイズは、 g を生成元として構成される群 G F ( q )上での離散対数問題が計算量的に困難であるように設定するものとする。また、これ以降の説明において、特に記述のない場合、演算は、全て m o d p上で行われるものとする。なお、詳述はしないが、位数 pの素体の上での構成法以外にも、離散対数問題が計算量的に困難となるような任意の群 G F ( q ) 上で定義することができる。例えば、（ 1 ) 位数 pの素体上での乗法演算を、任意の有限体上の楕円曲線などの曲線上の加法演算に対応させることによリ構成される群、（ 2 ) 素数 pに代えて素数 P ' の冪乗数とし、素数 p ' を法とする剰余演算に代えて G F ( P ' )の拡大体上での演算を行なうことにより構成される群、などがある。

E (key, message)は、鍵（key) を用いた対称鍵暗号によるメッセージ（message) の暗号化を示す。 n は加入者端末の総数、 k ( < n ) は排除対象端末の最大数である。以上の前提の下で、放送型暗号通信システムは、以下のような安全性，効率上の 4つの要件を満たすことが要求される。

1 - 有効な加入者端末 V e Ω ,は、単独でグループ鍵 U ,を（多項式時間で）復号できる。

2 . 排除された k個の加入者端末の持つ個人鍵を用いても、排除されたラウンド以降のグループ鍵を（確率的多項式時間で）復号することができない。

3 . グループ鍵を配送するためのヘッダの長さや各加入者端末が持つ個人鍵のサイズが加入者端末の総数に依存しない。

4 . グループ鍵を計算するためのヘッダを受け取つてから、ダループ鍵の復号を完了するまで（復号処理）に要する冪剰余演算の回数が n、 kに依存しない。上記要件 1 は、加入者端末が単独で効率的に復号できるための要件である。放送型暗号通信において、加入者端末が復号時に他の端末と通信する必要がないときには、ネッ卜ワークに対して余計なトラフィックを発生させないために重要である。

要件 2は、排除された加入者端末が結託してもセッション鍵を復号できないために必要である。

要件 3は、非常に多くの加入者端末を持つ場合に処理が大きくなること防ぐために必要である。

要件 4は、大規模なグループにおいて kも大きく設定する必要がある場合に、 nや kに依存しない処理量でグループ鍵を復号するための要件である。

しゝゎゅる Spa re Shadow Attac k 及び r pu b I i s h att ack は、要件 2に包含される。 Sec ret Pu b I i s h Attac k は閾値型のプロトコルでは本質的に対応することはできない。ただし、秘密を公開して.しまう攻撃者を w人としたとき、不正者の結託が k一 w人以下であれば安全性が維持されることから、不正に加担する加入者端末が併せて k 以下という条件でプロ卜コルの安全性を評価することで、要件 2 と同じ枠組みで安全性を議論することは可能である。上述した従来技術 1 は、上記の要件 1 、 2、 3 を満足する。配布される暗号文の長さが定数時間の O (k )であり、かつ個人鍵のサイズが O ( 1 )であり、極めて効率が良い。しかし、グループ鍵の復号処理に要する幂剰余演算の回数は O (k )であり、またそれを事前計算に移行させることもできないため、要件 4を満たさない。

従来技術 2は、要件 4の必要性に着目し、これを満足する手法を提示している。だが、以下に示す分析により、従来技術 2は安全性上最も重要である要件 2を満たしていない。すなわち、有限回グループ鍵を配送されると、排除されていない加入者端末はシステム全体の秘密情報を求めることが可能であり、それ以後の排除を無効にすることが可能である（例えば k≥ 5の場合、 3回のグループ鍵配送で攻撃可能である'）。以下に、従来技術 2が要件 2を満足しないことを示す。まず、従来技術 2による放送型暗号通信の手法を説明する。

1 . セッ卜アップ

鍵配布サーバは、排除対象端末の最大数 kを設定し、次の数 1 式に示す Z _q上の k次多項式

数 1

^F(^X) ⁼∑j=o^aJ ^xj ^G(^x)

^j

をランダムに選択する。 F (0 ) = S、 G (0 ) = T (m o d q )は、鍵配布サーバだけが知る秘密鍵である。鍵配布サーバは、 k e y ,= ( s f = ( F ( ί ), g ^G(i)/F(i)) ( ί = 1 , , · ' , η ) を各加入者端末 i に秘密通信路を用いて配布する。また、鍵配布サーバは、 U。s G F (q )をランダムに選択しブロードキャストする。

2. グループ鍵暗号化 I (≥ 1 ) ラウンドにおけるグループ鍵 u , を次のように配送する。 r ,e z_qをランダムに選び、 X ,= g を求める。次に d個の排除される加入者端末の集合を決定する。 k一 d個の整数を n + k (R— 1 )と n + k Rの間から選び、それらからなる集合を Θ , とする。鍵配布サーバは、 M _M, ■ ' ■ , M _lkを次の数 2式にて求める。

数 2

M =r₁F(j) + G(j) modq (j€A, U Θ, ) 最後に、鍵配布サーバは、 E (U Β ,) = E (U X , | I [ ( j ， M _u.) I j G Λ , U Θ ,] )を求め、ブロードキャストする。 I ラウンドに共有されるグループ鍵は U , = g「 ^{1 S+T}である。

3. グループ鍵復号

I ラウンドの有効な加入者端末 V e Ω , は、 V e Ω Hであるから、 U ,を I — 1 ラウンドで得ている。加入者端末 Vは、受信した暗号文 E (Uトい Β ,)について、 Uト，を用いて Β , を復号する。次に、 Β ,の情報を用いて、グループ鍵 U ,を次の数 3式にて計算する。

数 3

ここで、

数 4

W_u = s_v L(v) mod q

また L ( j ) は Lagrangeの多項式補間係数で、

数 5

L(j) = Π t (t~ j) modq

teAj υθϊ u |v}\(j) 次に、上記従来技術 2の手法が要件 2を満たさないことを示す具体的に、 Rラウンドの有効な任意の加入者端末 V _v e Q _Rが、鍵配布サーバだけが知るべき秘密情報 S、 Tを導出する方法を示す Vは 1 〜 Rラウンドにおいて（ j , M , j ) ( I = 1 , ■ ■ ' , R , j = 1 , ■ ■ ■ , k ) を得るが、これは次の数 6式の関係を満たす。

数 6

M ij ^ri -^at J" ⁺∑^bt J'' modq (1 = 1, ...,R, j€A, U Θ, , |A₁ U @₁| = k)

o

こで、 j は既知であるため、 2 1< + 2 + 1^個の変数 3。 ' '， a k ' b o, - ■ ' , b _k、 rい ' ■ ■ ， r _Rに対し、 k R個の方程式を得ることができる。つまり、 Rが次の数 7式を満たす場合、鍵配布サーバが持つ全ての秘密鍵 S ( = a ₀) , T ( = b ₁₀) を導出することができてしまう。

数 7

2k + 2 + R kR = R > ² "、 + ¹ )

k - 1

例えば、 k ≥ 5であれば、 3ラウンドには全ての有効な加入者端末が鍵配布サーバの秘密鍵（ Sや Tなど）を求められる。これにより、従来技術 2が要件 2 を満たしていないことがわかる。そこで本発明は、上述した 4つの要件を全て満足し、安全性が高く高速なグループ鍵の更新方法を提供することを目的とする。

また本発明は、上記の目的に加えて、安全性が高く効率の良い放送型暗号通信を実現することを目的とする。発明の開示

上記の目的を達成する本発明は、暗号化された情報を復号するための鍵を配布する鍵配布サーバと、当該情報を使用する所定台数の加入者端末とを備えた暗号通信システムとして実現される。この鍵配布サーバは、情報の復号に用いる暗号化された第 1 のグループ鍵と、この第 1 のグループ鍵の復号処理を実行するための 5482

加入者端末ごとに個別の復号情報と、グループ鍵の更新後に更新された第 2のグループ鍵の復号処理の一部を実行するための加入者端末ごとに個別の鍵更新情報とを加入者端末に配布し、この加入者端末は、予め取得した第 1 のグループ鍵を復号するための鍵更新情報に基づく処理結果と鍵配布サーバから配布された復号情報とを用いて鍵配布サーバから配布された第 1 のグループ鍵を復号することを特徴とする。グループ鍵の復号処理を時間的に分散することにより、グループ鍵更新時の処理を軽減している , ここで、加入者端末は、鍵更新情報を用いたグループ鍵の復号処理の一部を、このグループ鍵の配布前に実行する。グループ鍵を復号する処理の一部を加入者端末において事前に行っておくことにより、グループ鍵の更新において、安全性を損なうことなく、新しいグループ鍵が配布された後の処理に要する時間の短縮を実現している。

また好ましくは、鍵配布サーバは、第 1 のグループ鍵を復号するための鍵更新情報を、この第 1 のグループ鍵に更新される前の第 3のグループ鍵と共に加入者端末に配布する。

さらに、鍵配布サーバは、グループ鍵を更新した場合に、加入者端末のうち排除対象端末を設定し、この排除対象端末以外の加入者端末が更新されたグループ鍵を復号可能となる復号情報を、更新されたグループ鍵と共に加入者端末に配布する。また、上記の目的を達成する他の本発明は、暗号化された情報を復号するための鍵を配布する次のように構成された鍵配布サ —バとして実現される。この鍵配布サーバは、情報の復号に用いる第 1 のグループ鍵を生成し暗号化する手段と、この第 1 のダループ鍵の復号処理を実行するための加入者端末ごとに個別の復号情報を生成する手段と、グループ鍵の更新後に更新された第 2 のグループ鍵の復号処理の一部を実行するための加入者端末ごとに個別の鍵更新情報を生成する手段と、第 1 のグループ鍵と復号情報と鍵更新情報とを加入者端末に配布する手段とを備えることを特徴とする。また、上記の目的を達成するさらに他の本発明は、次のように構成された端末装置としても実現される。この端末装置は、暗号化された情報を復号するための暗号化されたグループ鍵とこのグループ鍵を復号するための復号情報とを所定の鍵配布サーバから取得する手段と、グループ鍵の復号処理の一部をこのグループ鍵の配布前に実行する手段と、このグループ鍵の復号処理の一部に基づく処理結果と鍵配布サーバから取得した復号情報とを用いてグループ鍵を復号する手段とを備えることを特徴とする。さらに本発明は、コンピュータを制御して上記の鍵配布サーバや端末装置として機能させるプログラムとしても実現される。このプログラムは、磁気ディスクや光ディスク、半導体メモリその他の記録媒体に格納して配布したり、ネッ卜ワークを介して配信したりすることにより、提供することができる。また、本発明は、暗号化された情報を復号するための鍵を、この情報を使用する所定台数の端末で共有する、次のような鍵共有方法として実現される。すなわち、この鍵共有方法は、情報の復号に用いる暗号化されたグループ鍵を復号するための復号処理の一部が、このグループ鍵の配布前に、端末において実行されるステップと、グループ鍵とこのグループ鍵の復号処理の残りの一部を実行するための端末ごとに個別の復号情報とが、端末に配布されるステップと、配布された復号情報と事前に実行された復号処理の一部の結果とを用いたグループ鍵の復号処理が、端末において実行されるステップとを含むことを特徴とする。図面の簡単な説明

図 1 は本実施の形態による放送型暗号通信システムの概略構成を説明する図である。

図 2は本実施の形態による暗号通信の処理の流れを説明するフローチヤ一卜である。

図 3は本実施の形態を適用したピア ■ ツー ■ ピア型ネットヮ一クシステムの構成を示す図である。

図 4は本実施の形態を適用したリアルタイムコンテンツ配信システムの構成を示す図である。

図 5は本実施の形態を適用した携帯電話を対象とするサービス提供システムの構成を示す図である。

図 6は本実施の形態を適用したマルチメディアコンテンツ配信システムの構成を示す図である。

図 7 は本実施の形態を適用した秘密放送システムの構成を示す図である。発明を実施するための最良の態様

以下、添付図面に示す実施の形態に基づいて、この発明を詳細に説明する。

図 1 は、本実施の形態による放送型暗号通信システムの概略構成を説明する図である。

図 1 を參照すると、本実施の形態による放送型暗号通信システムは、暗号通信に用いられるグループ鍵を生成し配布する鍵配布サーバ 1 0 と、鍵配布サーバ 1 0から配布されたグループ鍵を取得しこれを用いて暗号通信を行う加入者端末 2 0 とを備える。鍵配布サーバ 1 0は、ワークステーションやパーソナルコンビユータ、その他のネッ卜ワーク機能を備えたコンピュータ装置にて実現され、セッ卜アップ時に、システムパラメータを決定し、各加入者端末 2 0に対して個人鍵を配布する。グループ鍵配送時には、どの加入者端末 2 0を排除するかを決定した上で、グループ鍵を暗号化し、ブロードキャストにより配送する。個人鍵ゃグループ鍵の生成、配送等の処理は、例えばプログラム制御された C P Uの機能として実現される。

加入者端末 2 0は、ワークステーションやパーソナルコンビュータ携帯電話、 P D A (Personal Digital Assistant)、その他のネットワーク機能を備えた情報端末機器にて実現され、鍵配布サーバ 1 0からのブロードキャス卜を受信する。加入者端末 ί ( i 番目の加入者端末 2 0 ) は、セットアップ時に鍵配布サーバ 1 0から個人鍵 _{S i}を受け取る。そして、この個人鍵 _{S i}を用いて暗号化されているグループ鍵を復号し、さらにこのグループ鍵を用いて所定のメッセージを復号して使用する。これらの処理は、例えば、プログラム制御されたプロセッサにて実現される。加入者端末 2 0の集合を Φ = { 1 , ■ ■ ■ ， η } とする（ η = | Φ |は加入者端末 2 0の総数）。加入者端末 2 0は、全体で、鍵配布サーバ 1 0から配布されたグループ鍵を用いて暗号通信を行うグループ Φ を構成する。このグループを構成する個々の加入者端末 2 0は、初期的には全て暗号通信に参加できる「有効な加入者端末」であるが、何らかの理由により「排除された加入者端末 J となった後は、暗号通信には参加できない。すなわち、個人鍵を用いてグループ鍵を復元することができない。

本実施の形態における通信形態は、鍵配布サーバ 1 0あるいは所定のサーバと加入者端末 2 0 との間で情報がやりとリされるクライアントサーバ型のシステムであっても良いし、加入者端末 2 0相互間で情報をやりとりするピア ■ ッ一 ' ピア（P e e r to Pe e r ) 型のシステムであっても良い。すなわち、加入者端末 2 0 で使用されるメッセージ（コンテンツ）の提供者は、鍵配布サ一 /< 1 0 とは別個に存在しても良い。放送型暗号通信システムにおけるグループ鍵を用いた暗号通信は、グループ鍵のセッ卜アップ、グループ鍵を用いた情報の暗号化、グループ鍵を用いた情報の復号、及び鍵更新の 4つのフエーズを含む。

図 2は、本実施の形態による暗号通信の処理の流れを説明するフローチヤ一卜である。

本実施の形態では、暗号化されたグループ鍵の復号処理の中で排除対象端末の最大数 kに依存する計算部分を事前計算（鍵更新処理）に切り分ける。これにより、証明可能な安全性を保ちつつ、鍵更新処理を除く部分のグループ鍵の復号処理を 2回の冪剰余演算で高速に実行可能としている。以下、本実施の形態による暗号通信におけるプロ卜コルの構成法を説明する。なお、以下の説明において、受信者とは、加入者端末 2 0のユーザであり、加入者自身である。

1 . セッ卜アップ

Z _q上のランダムな k次一変数多項式

数 8

F ( X ) = S + y _x SLj X」

( x) = + — x^j を選択する。 F (0 ) = S 、 6 , (0 ) = !^を鍵配布サーバ 1 0の秘密鍵とする。鍵配布サーバ 1 0は、 k e _{y i}= ( s f ,,) = ( F ( i ) , を第 1 ラウンドの受信者 i の復号鍵として、各加入者端末 i e { 1 , ■ ■ ■ , η } に秘密に配布する。グループ鍵 U。e G F ( q )は、全ての加入者端末 2 0に対して配布される（ステップ 2 0 1 )。

2 . I ラウンドにおけるグループ鍵暗号化

鍵配布サーバ 1 0は、 r , s z _qをランダムに選択し、 X , :=g を求める。次に、 d個の排除される加入者端末 2 0の集合を決定する（ステップ 2 0 2 ) 。 k一 d個の整数を n + k ( R - 1 ) と n + k Rの間から選び、それらからなる集合を Θ , とする。鍵配布サーバ 1 0は M M, ■ ■ ■ , M _lkを次の数 9式にて求める。数 9

M -r U G j) modq (jeA!l^ また、有効な加入者端末 2 0である Ω , (以下、加入者端末 Ω , ) が I ラウンドの配送鍵 U ,を計算するために必要なヘッダ情報 H を、次の数 1 0式にて計算する（ステップ 2 0 3 )。

数 1 0

B₁ =く X, || {< €： U <5>, }> ここで、 I ラウンドにおいて有効な加入者端末 Ω ,にて共有されるグループ鍵は、

g ""¹である。

次に、 I + 1 ラウンドにグループ鍵を配送するための（すなわち、加入者端末 2 0が I + 1 ラウンドのグループ鍵の復号処理における鍵更新処理で用いる）鍵更新情報を生成する。鍵配布サーバ 1 0は、 b _{l +} Z_q( j = 〇， ■ ' ■ , k )をランダムに選択し、

bl+1 , 0 bl+1, k

( u 10， U 1 k ) = ( g g ) を求め、次の数 1 1 式により I ラウンドのグループ鍵 U ,で暗号化して C , を求める（ステップ 2 0 4 )。

C! =E "( VU "_]l ₅？u₁₀ | I|I.…..| I|Iu "_li_kk)

そして、鍵配布サーバ 1 0は、（ Η ,, C ,) を全ての加入者端末 2 0 (すなわち Φ ) に対してブロードキャストで配布する（ステップ 2 0 5 )。

3 . I ラウンドにおけるグループ鍵復号

I ラウンドにおける復号可能な加入者端末 2 0である加入者端末 V ( Ε Ω ,) は、次の数 1 2式により、 I ラウンドの復号を行う（ステップ 2 0 6 )。

数 1 2

W_n = s_v L ( v) mod a

W_I2 - ^M^LCj) modq

* < 、、、

L(j) = Tl t/(t- j) modq

八 ue> u〖v)ヽ（ jj

すなわち、ここでは I 一 1 ラウンドで配布された情報に基づい P T/JP03/05482

15

て事前計算された f _lvと、ステップ 2 0 5で配布された H ,から解読される B ,とを用いて I ラウンドのグループ鍵 U ,を復号している。

4 . 1 + 1 ラウンドへ向けての鍵更新処理（事前計算）

有効な各加入者端末 V e Ω ,は、鍵配布サーバ 1 0から配布されたに含まれる鍵更新情報を用い、次の数 1 3式にて事前計算（すなわち I + 1 ラウンドのグループ鍵の配布前の処理）である鍵更新処理を行う（ステップ 2 0 7 )。

数 1 3

また、鍵配布サーバ 1 0は、 I + 1 ラウンドのグループ鍵の生成に先立って、次の数 1 4式の事前計算を実行する。

数 1 4

T_I+1 = b₁₊₁,₀ modq

k

G₁₊₁(x) = . b₁₊₁ x^J modq

=0 これら加入者端末 2 0及び鍵配布サーバ 1 0による鍵更新処理（事前計算）は、 I ラウンドのグループ鍵と共に配布された情報を用いて、 I + 1 ラウンドのグループ鍵が配布される前までに実行しておく。以上のように構成される本実施の形態による放送型暗号通信システムが、上述した安全性，効率上の 4つの要件を満たすかどうかを検討する。

まず、本実施の形態は、加入者端末 2 0間の通信を必要としていないことから、要件 1 を満たすことは明らかである。

また、本実施の形態において配布される暗号文の長さは O ( k ) 個人鍵のサイズは O ( 1 )であり、要件 3 も満たす。

さらに、本実施の形態における復号処理は 2回の幂剰余演算で構成されており、要件 4も満たしている。次に、本実施の形態が残る要件 2を満たすことを示す。

まず、要件 2で述べられている「排除された k個の加入者端末の持つ個人鍵を用いる」攻撃者をモデル化する。この攻撃者は、 Rラウンドまでに排除されたメンバ k人の復号鍵、及び Rラウンド以前に受け取った情報から Rラウンドのグループ鍵を多項式時間で求めるアルゴリズム M , としてモデル化できる。一般性を失わずに（ k個の）排除された加入者端末 2 0を ί = 1 , ■ ■ ■ ， k とする。のインプットは、

< , P , q , U ₀， ( s , s _k), 、 f " f _1kハ ( H C,) ( H _R, C_R)〉

である。このようにモデル化すると、要件 2は、 D D H問題（Decision Diff i e-He I Iman Problem) を用いて次のように言い換えることができる。

(命題）

Γ D D H問題を解く多項式時間アルゴリズムが存在しない限リ、 M ,は存在しない」

D D H問題とは、 g， h e G F (q ) , a , b s Z _qをランダムに選んだとき、 G F (q )上において、 D = < g , h , g ^a, h ^a> (この形を「Diff ie - Hel Imanの組」と呼ぶ）と R = < g , h , g h ^a〉とを有意な確率を持って区別する判定問題である。 D D H問題を多項式時間で解くァルゴリズムは知られていない。すなわち、計算量的に困難であると仮定できる数学的な問題であり、上記の命題から M ,は存在しない。したがって、本実施の形態は要件 2 を満足する。以上のように、本実施の形態による放送型暗号通信システムの 2

17

グループ鍵共有方法によれば、グループ鍵を更新するにあたって . 証明可能な安全性を確保でき、かつグループ鍵の復号処理の一部を事前計算にて当該グループ鍵が配布される前に行うことによリ、更新されたグループ鍵が配布された後の処理では加入者端末数 n、及び排除対象端末の最大数 kに依存せず、 2回の冪剰余演算のみで復号処理を実現できる。したがって、加入者端末 2 0の数が膨大であるネットワークシステムにおいて、特に有効である , 次に、本実施の形態による放送型暗号通信システムを種々のネッ卜ワークシステムに適用した場合の構成例を説明する。

〔ピア ■ ツー ■ ピアにおけるグループメンバー管理〕

ピア ■ ッ一 ' ピア（ Peer to Peer： P 2 P ) 型のネットワークシステムにおいて、グループ内通信を安全かつ高速に行うために本実施の形態を用いることができる。すなわち、ネットワークシステムにおけるグループ内の全てのピア（Peer) が 1 つの鍵（グループ鍵）を共有し、放送型暗号通信を行う。

図 3は、本実施の形態を適用したピア ' ツー ■ ピア型ネットヮークシステムの構成を示す図である。図 3において、対象であるネットワークシステムのグループマネージャ一が本実施の形態の鍵配布サーバ 1 0を構成し、グループ内の各ピア（Peer) が加入者端末 2 0 を構成する。

このようなネットワークシステムでは、例えば j xt aにおける leaveなどによって所定のピア（Peer) がグループから離脱した場合、それ以降のグループ内通信を安全に行うためには、新たなグループ鍵を残りのピア（Peer) の間で迅速に再共有する必要がある。一方で、ピア ' ツー ' ピア型ネッ卜ワークでは様々な端末がピア（Peer) となり得るため、非常に計算能力の限られた端末であっても容易にグループ鍵を入手できなければならない。本実施の形態は、このようなピア ■ ツー ■ ピア型ネッ卜ワークシステムにおけるグループメンバー管理に容易に適用できる。

本実施の形態を適用することにより、グループ鍵の復号処理は 2回の冪剰余乗算で完了するため、大きな計算能力を必要としない。また、大規模なネッ卜ワークで適用した場合でも効率性を損なわずに高速にグループ鍵の更新を行い利用可能とすることがでさる。〔リアルタイムコンテンツ配信システム〕

ゲーム機の高機能化に伴い、ゲーム機をピア（Pee r ) と見立ててピア ■ ッ一 ■ ピア型ネットワークを構成することにより、ユーザ間のインタラクションを容易にするようなオンラインゲームが出現している。すなわち、グループマネージャに相当するサ一バがゲームコンテンツを各ゲーム機に提供し、各ゲーム機間でピァ ■ ツー ■ ピア型の通信を行いながらゲームを進行する。

図 4は、本実施の形態を適用したこの種のコンテンツ配信システムの構成を示す図である。図 4において、ゲームコンテンツを配信するサーバが本実施の形態の鍵配布サーバ 1 0 を構成し、各ゲーム機が加入者端末 2 0を構成する。

このような環境においては、グループ内での放送型暗号通信が頻繁に必要になることが予想されるが、その一方でグループからのメンバの離脱も頻繁に起こりえると考えられる。例えば、利用料金を滞納したユーザはグループへの接続を解除する必要がある。したがって、グループからメンバが離脱する際に要する、グループ鍵共有のための復号処理時間を短縮することは、アプリケーションの利用性を高める。

本実施の形態による放送型暗号通信は、高速な復号処理を実現し、大規模なネッ卜ワークに対応可能であるため、図 4に示すシステムにおけるコンテンツの配信に適用することができる。すなわち、グループ鍵を高速に共有することができ、これにより暗号化されたコンテンツを受信と同時にリアルタイムで復号することが可能になる。また、時間を要する鍵更新処理は、コンテンツ受信後に当該コンテンツ実行時の余剰処理能力を用いて行うことができる。なお、ここではオンラインゲームを実行するためのコンテンツ配信を例として説明したが、ゲームの他にもリアルタィムで実行するような種々のコンテンツを配信する場合に、本実施の形態による放送型暗号通信を適用できることは言うまでもない。

〔携帯電話加入者へのデータ配信〕

近年、携帯電話の利用は人口の過半数をカバ一するほどに拡大している。そこで、数百万の携帯電話加入者に対してグループ暗号化通信のサービスを行う場面を考える。例えば、グループを構成した端末に対して特定のサービスを提供する場合などがある。

図 5は、本実施の形態を適用した携帯電話を対象とするサービス提供システムの構成を示す図である。図 5において、サービスを提供するサーバが鍵配布サーバ 1 0を構成し、サービスの利用登録がなされている携帯電話が加入者端末 2 0を構成する。

このようなネッ卜ワークシステムでは、サービスの利用料金を滞納したり、端末の紛失や盗難があった場合に、特定の端末の持つグループへのアクセス権限を無効化する必要がある。本実施の形態は、本発明を適用することで、非力な携帯電話に対しても利用可能な放送型暗号通信を実現できる。

〔マルチメディアコンテンツ配信システム〕

近年、 D V Dを用いたマルチメディアコンテンツ配信システムが爆発的に普及している。

図 6は、本実施の形態を適用したマルチメディアコンテンツ配信システムの構成を示す図である。図 6において、マルチメディァコンテンツを提供するコンテンツプロバイダが本実施の形態の鍵配布サーバ 1 0を構成し、当該マルチメディアコンテンツの再生機が加入者端末 2 0を構成する。

このシステムにおいて、 D V Dメディアは暗号化されたデジタルコンテンツ（映画や音楽、ソフトウェアなど）が記憶された状態で配布される。暗号化されたコンテンツは再生機に搭載された再生復号器内に保管される復号鍵を用いて復号される。復号鍵は再生復号器のメーカーごとに異なり、再生復号器の安全なメモリエリアに格納されている。だが、クラッカーの解析やメーカーの不手際により、復号鍵が漏洩してしまう場面が起こり得る。この場合に、一部の復号鍵を使用不可能にする暗号化手法が必要となる。

本実施の形態を適用することにより、証明可能な安全性を確保して、一部の復号鍵を使用不可能にするための復号鍵の更新を行うことが可能となる。

〔警察無線機の紛失 ■ 盗難に対応する秘密放送システム〕

警察無線は、グループ内秘匿通信の代表例である。警察官の所持する無線機以外の無線受信機を用いても通信が傍受できないようにすることが必要となる。

図 7は、本実施の形態を適用した秘密放送システムの構成を示す図である。図 7において、秘密放送の放送局が鍵配布サーバ 1 0を構成し、各無線受信機が加入者端末 2 0を構成する。

上記のように、警察無線のような秘密放送では、警察官の所持する無線機以外の無線受信機では通信を傍受できないような工夫が必要であるが、警察官が無線機を紛失したり盗難されたりした場合、本実施の形態により、かかる無線機を加入者端末 2 0のグループ（ Φ ) から排除して新しいグループ鍵を共有することにより、紛失した無線機を利用不可能にすることができる。発明の効果

以上説明したように、本発明によれば、安全性が高く高速なグループ鍵の更新方法を提供することができる。

また本発明によれば、安全性が高く効率の良い放送型暗号通信を実現することができる。

Claims

請求の範囲

1 . 暗号化された情報を復号するための鍵を配布する鍵配布サ —バと、当該情報を使用する所定台数の加入者端末とを備えた暗号通信システムにおいて、

前記鍵配布サーバは、前記情報の復号に用いる暗号化された第

1 のグループ鍵と、当該第 1 のグループ鍵の復号処理を実行するための前記加入者端末ごとに個別の復号情報と、グループ鍵の更新後に更新された第 2のグループ鍵の復号処理の一部を実行するための前記加入者端末ごとに個別の鍵更新情報とを前記加入者端末に配布し、

前記加入者端末は、予め取得した前記第 1 のグループ鍵を復号するための前記鍵更新情報に基づく処理結果と前記鍵配布サ一バから配布された前記復号情報とを用いて前記鍵配布サーバから配布された前記第 1 のグループ鍵を復号することを特徴とする暗号通信システム。

2 . 前記加入者端末は、前記鍵更新情報を用いた前記グループ鍵の復号処理の一部を、当該グループ鍵の配布前に実行することを特徴とする請求項 1 に記載の暗号通信システム。

3 . 前記鍵配布サーバは、前記第 1 のグループ鍵を復号するための鍵更新情報を、当該第 1 のグループ鍵に更新される前の第 3 のグループ鍵と共に前記加入者端末に配布することを特徴とする請求項 1 に記載の暗号通信システム。

4 . 前記鍵配布サーバは、前記グループ鍵を更新した場合に、前記加入者端末のうち排除対象端末を設定し、当該排除対象端末以外の加入者端末が更新された当該グループ鍵を復号可能な前記復号情報を、更新された当該グループ鍵と共に前記加入者端末に配布することを特徴とする請求項 1 に記載の暗号通信システム。

5 . 暗号化された情報を復号するための鍵を配布する鍵配布サ ―バにおいて、前記情報の復号に用いる第 1 のグループ鍵を生成し暗号化する手段と、

前記第 1 のグループ鍵の復号処理を実行するための加入者端末ごとに個別の復号情報を生成する手段と、

グループ鍵の更新後に更新された第 2のグループ鍵の復号処理の一部を実行するための前記加入者端末ごとに個別の鍵更新情報を生成する手段と、

前記第 1 のグループ鍵と前記復号情報と前記鍵更新情報とを前記加入者端末に配布する手段と

を備えることを特徴とする鍵配布サーバ。

6 . 前記復号情報を生成する手段は、前記加入者端末のうち排除対象端末を設定し、当該排除対象端末以外の加入者端末が当該グループ鍵を復号可能な前記復号情報を生成することを特徴とする請求項 5に記載の鍵配布サーバ。

7 . 暗号化された情報を復号するための暗号化されたグループ鍵と当該グループ鍵を復号するための復号情報とを所定の鍵配布サーバから取得する手段と、

前記グループ鍵の復号処理の一部を当該グループ鍵の配布前に実行する手段と、

前記グループ鍵の復号処理の一部に基づく処理結果と前記鍵配布サーバから取得した前記復号情報とを用いて前記グループ鍵を復号する手段と

を備えることを特徴とする端末装置。

8 . コンピュータを制御して、暗号化された情報を復号するための鍵を配布するプログラムであって、

前記情報の復号に用いる第 1 のグループ鍵を生成し暗号化する機能と、

前記第 1 のグループ鍵の復号処理を実行するための加入者端末ごとに個別の復号情報を生成する機能と、

グループ鍵の更新後に更新された第 2のグループ鍵の復号処理の一部を実行するための前記加入者端末ごとに個別の鍵更新情報を生成する機能と、所定の通信手段を介して前記第 1 のグループ鍵と前記復号情報と前記鍵更新情報とを前記加入者端末に配布する機能と

を前記コンピュータに実現させることを特徴とするプロダラム。

9 . 前記復号情報を生成する機能は、前記加入者端末のうち排除対象端末を設定し、当該排除対象端末以外の加入者端末が当該グループ鍵を復号可能な前記復号情報を生成することを特徴とする請求項 8に記載のプログラム。

1 0 . コンピュータを制御して、所定の機能を実現するプログラムであって、

所定の通信手段を介して、暗号化された情報を復号するための暗号化されたグループ鍵と当該グループ鍵を復号するための復号情報とを所定の鍵配布サーバから取得する機能と、

前記グループ鍵の復号処理の一部を当該グループ鍵の配布前に実行する機能と、

前記グループ鍵の復号処理の一部に基づく処理結果と前記鍵配布サーバから取得した前記復号情報とを用いて前記グループ鍵を復号する機能と

を前記コンピュータに実現させることを特徴とするプログラ厶 ₀

1 1 . コンピュータを制御して暗号化された情報を復号するための鍵を配布するプログラムを、当該コンピュータが読み取り可能に記録した記録媒体であって、

前記プログラムは、

グループ鍵の更新後に更新された第 2のグループ鍵の復号処理の一部を実行するための前記加入者端末ごとに個別の鍵更新情報を生成する機能と、

所定の通信手段を介して前記第 1 のグループ鍵と前記復号情報と前記鍵更新情報とを前記加入者端末に配布する機能とを前記コンピュータに実現させることを特徴とする記録媒体。

1 2 . コンピュータを制御して所定の機能を実現するプロダラムを、当該コンピュータが読み取り可能に記録した記録媒体であつて、

前記プログラムは、

を前記コンピュータに実現させることを特徴とする記録媒体。

1 3 . 暗号化された情報を復号するための鍵を、当該情報を使用する所定台数の端末で共有する鍵共有方法において、

前記情報の復号に用いる暗号化されたグループ鍵を復号するための復号処理の一部が、当該グループ鍵の配布前に、前記端末において実行されるステップと、

前記グループ鍵と、当該グループ鍵の復号処理の残りの一部を実行するための前記端末ごとに個別の復号情報とが、当該端末に配布されるステップと、

配布された前記復号情報と事前に実行された前記復号処理の —部の結果とを用いた前記グループ鍵の復号処理が、前記端末において実行されるステップと

を含むことを特徴とする鍵共有方法。

1 4 . 前記グループ鍵の配布前に前記復号処理の一部を実行するための情報が、更新前の前記グループ鍵と共に前記端末に配布されることを特徴とする請求項 1 3に記載の鍵共有方法。