WO2018016330A1 - 通信端末、サーバ装置、プログラム - Google Patents

通信端末、サーバ装置、プログラム Download PDF

Info

Publication number
WO2018016330A1
WO2018016330A1 PCT/JP2017/024752 JP2017024752W WO2018016330A1 WO 2018016330 A1 WO2018016330 A1 WO 2018016330A1 JP 2017024752 W JP2017024752 W JP 2017024752W WO 2018016330 A1 WO2018016330 A1 WO 2018016330A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
function
ciphertext
communication terminal
common key
Prior art date
Application number
PCT/JP2017/024752
Other languages
English (en)
French (fr)
Inventor
裕樹 岡野
麗生 吉田
陵 西巻
鉄太郎 小林
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201780040705.8A priority Critical patent/CN109417472B/zh
Priority to EP17830850.8A priority patent/EP3490189B1/en
Priority to JP2018528480A priority patent/JP6556955B2/ja
Priority to EP21172365.5A priority patent/EP3879750B1/en
Priority to US16/315,321 priority patent/US11190499B2/en
Publication of WO2018016330A1 publication Critical patent/WO2018016330A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H04L9/16—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms the keys or algorithms being changed during operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/3013—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the discrete logarithm problem, e.g. ElGamal or Diffie-Hellman systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3006—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters
    • H04L9/302—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy underlying computational problems or public-key parameters involving the integer factorization problem, e.g. RSA or quadratic sieve [QS] schemes

Definitions

  • the present invention relates to a communication terminal, a server device, and a program.
  • Non-Patent Document 1 is an example of a cloud-based message transmission system.
  • threats to the server device include “an external attack on the server device” and “internal fraud by the server administrator”.
  • a countermeasure for encrypting and storing messages against these threats can be considered.
  • the message can be decrypted on the server device side, there is still a possibility of message leakage from the server device against the above-described threat. It is important that a message sent to a server device that performs transmission / reception / storage is concealed from the server device (not intercepted by the server device).
  • Non-Patent Document 2 proposes a protocol for sharing a key (hereinafter referred to as a session key) between users without receiving any information from the authentication server in a star-type network having an authentication server in the center.
  • the session key is shared so that the message can be read only by the currently participating communication terminals, the session key is updated by an event such as addition / deletion of a user.
  • NTT Software “Group Chat TopicRoom for Business”, [online], NTT Software, [Search July 6, 2016], Internet ⁇ URL: https.//www.ntts.co.jp/products/topicroom/index .html> Tetsutaro Kobayashi, Kazuki Yoneyama, Reiki Yoshida, Yuto Kawahara, Hitoshi Fujimoto, Tomohide Yamamoto “Scalable Dynamic Multi-Key Distribution Protocol”, SCIS2016-Cryptography and Information Security Symposium-Proceedings, The Institute of Electronics, Information and Communication Engineers , January 2016, 4E2-3
  • the message can be exchanged while keeping the message secret from the server device by sharing the key between the communication terminals so that the server device does not know.
  • the session key since the session key is shared only by the current participating members, the session key is updated with the addition / deletion of a user such as a login / logout event, and other than that, the session key is regularly updated. It may be updated. Therefore, in order to make it possible to read messages accumulated in the past only by the communication terminals that are currently participating, the updated session key is obtained without decrypting the data previously stored in the server device on the server device side. There is a problem that the data must be updated to data that can be decoded on the communication terminal side. Therefore, in practice, it is difficult to apply the above protocol as it is to a cloud-based message transmission system.
  • the present invention provides a communication terminal capable of updating data that can be decrypted on the communication terminal side by using the updated session key without decrypting data previously stored in the server apparatus on the server apparatus side.
  • the purpose is to do.
  • the communication terminal of the present invention is a communication terminal that shares a session key with another communication terminal and transmits ciphertext to the other communication terminal via the server device, and includes a common key ciphertext acquisition unit, a function calculation result An acquisition unit, a public key ciphertext acquisition unit, and a ciphertext transmission unit are included.
  • the common key ciphertext acquisition unit encrypts the message based on the common key and acquires the common key ciphertext.
  • the function calculation result acquisition unit calculates a common key and a session key based on a predetermined first function and acquires a function calculation result.
  • the public key ciphertext obtaining unit obtains a public key ciphertext by encrypting the function operation result based on the public key.
  • the ciphertext transmission unit transmits the common key ciphertext and the public key ciphertext to the server device.
  • the communication terminal of the present invention it is possible to update the data previously stored in the server to data that can be decrypted on the communication terminal side using the updated session key without decrypting the data on the server side.
  • FIG. 1 is a block diagram illustrating a configuration of a communication system according to a first embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a communication terminal having a transmission function according to the first embodiment.
  • FIG. 2 is a block diagram illustrating a configuration of a communication terminal having a reception function according to the first embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a communication terminal having a key update function according to the first embodiment.
  • 1 is a block diagram illustrating a configuration of a server device according to a first embodiment.
  • 1 is a block diagram illustrating a configuration of a communication terminal that has all of a transmission function, a reception function, and a key update function according to a first embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a communication terminal having a transmission function according to the first embodiment.
  • FIG. 2 is a block diagram illustrating a configuration of a communication terminal having a reception function according to the first embodiment.
  • FIG. 3 is a sequence diagram illustrating a transmission / reception operation of the communication system according to the first embodiment.
  • FIG. 3 is a sequence diagram illustrating a key update operation of the communication system according to the first embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a communication system according to a second embodiment.
  • FIG. 4 is a block diagram illustrating a configuration of a communication terminal having a transmission function according to a second embodiment.
  • FIG. 5 is a block diagram illustrating a configuration of a communication terminal having a reception function according to a second embodiment.
  • FIG. 6 is a block diagram illustrating a configuration of a communication terminal having a key update function according to a second embodiment.
  • FIG. 3 is a block diagram illustrating a configuration of a server device according to a second embodiment.
  • FIG. 9 is a sequence diagram illustrating a transmission / reception operation of the communication system according to the second embodiment.
  • FIG. 9 is a sequence diagram illustrating a key update operation of the communication system according to the second embodiment.
  • DEM.Gen is an algorithm that takes a k-bit (k ⁇ N) sequence 1 k as an input and outputs a key K having a length of k 1 bits (k 1 ⁇ N).
  • DEM.Enc inputs the plaintext m and the key K, is an algorithm that outputs a ciphertext C DEM.
  • DEM.Dec as an input ciphertext C DEM and key K, is an algorithm that outputs the plaintext m.
  • KEM.Gen takes a k-bit (k ⁇ N) sequence 1 k as an input, and a set of a public key pk with a length of k 2 bits (k 2 ⁇ N) and a secret key sk with a length of k 3 bits (k 3 ⁇ N) ( pk, sk).
  • KEM.Enc is an algorithm that receives a public key pk and a plaintext M having a length of k 1 bits (k 1 ⁇ N) and outputs a ciphertext C KEM .
  • KEM.Dec is an algorithm that receives the secret key sk and ciphertext C KEM and outputs plaintext M.
  • the functions f k1 , h k1 , and g k1 are respectively
  • the following conditions (1), (2) and (3) are satisfied.
  • the condition (1) is not an essential condition, and is preferably satisfied.
  • the function family ⁇ f k1 : KEY 1 ⁇ KEY 1 ⁇ KEY 1 ⁇ k1 ⁇ N is suitable if it satisfies the following conditions. That is, the following proposition holds for any positive integer k 1 .
  • Y] represents the conditional probability of event X in event Y.
  • the above expression is an expression indicating a level suitable for the safety of the function f k1 .
  • the function f k1 is not limited to the above equation.
  • the above expression is an expression that defines the function g k1 .
  • the above expression is ciphertext c 1 (ciphertext obtained by encrypting the common key K and session key K 1 masked with function f k1 with public key pk) and ciphertext c 2 (session key K 1 and updated
  • ciphertext c 1 ciphertext obtained by encrypting the common key K and session key K 1 masked with function f k1 with public key pk
  • ciphertext c 2 session key K 1 and updated
  • (f k1 , g k1 , h k1 ) (((x 1 , x 2 ) ⁇ x 1 / x 2 ), ((y 1 , y 2 ) ⁇ y 1 ⁇ y 2 ), ((z 1 , z 2 ) ⁇ z 1 ⁇ z 2 )), which satisfy the above condition (f k1 , g k1 , h k1 ).
  • (f k1 , g k1 , h k1 ) (((x 1 , x 2 ) ⁇ x 1 -x 2 ), ((y 1 , y 2 ) ⁇ y 1 + y 2 ), ((z 1 , z 2 ) ⁇ z 1 + z 2 )), which satisfy the above condition (f k1 , g k1 , h k1 ).
  • the public key cryptosystem that can be used in the present invention is not limited to the above two (RSA cryptosystem, elliptical ElGamal cryptosystem).
  • the operation ⁇ means a difference in the additive (+) group when the key space has a structure as an additive group.
  • operation / means the quotient in the multiplicative (•) group when the key space has a structure as a multiplicative group.
  • the communication system 1 includes a communication terminal 11 having a transmission function, a communication terminal 12 having a reception function, a communication terminal 13 having a key update function, and a server device 14. It is. These devices are communicably connected via a network 9. A plurality of communication terminals 11, communication terminals 12, communication terminals 13, and server devices 14 may exist. For convenience of explanation, it is assumed below that each of these devices exists.
  • the communication terminal 11 includes a common key ciphertext acquisition unit 111, a common key storage unit 111A, a function calculation result acquisition unit 112, a session key storage unit 112A, and a public key ciphertext acquisition unit 113.
  • a public key storage unit 113A and a ciphertext transmission unit 114, and the common key storage unit 111A stores the common key K in advance, and the session key storage unit 112A shares it with other communication terminals. Assume that the session key K 1 is stored in advance, and the public key pk is stored in advance in the public key storage unit 113A.
  • the common key cipher sentence obtaining unit 111 encrypts the message m based on a common key K (DEM.Enc (K, m) ) and obtains the common key cipher text C DEM in (S111 ).
  • the function calculation result acquisition unit 112 calculates the common key K and the session key K 1 based on the function f k1 and acquires the function calculation result f k1 (K, K 1 ) (S112).
  • the public key ciphertext acquisition unit 113 encrypts the function operation result f k1 (K, K 1 ) based on the public key pk (KEM.Enc (pk, f k1 (K, K 1 ))) and public key
  • the ciphertext C KEM is acquired (S113).
  • the ciphertext transmission unit 114 transmits the common key ciphertext CDEM and the public key ciphertext C KEM to the server device 14 (S114).
  • the communication terminal 12 includes a ciphertext receiving unit 121, a function calculation result decrypting unit 122, a secret key storage unit 122A, a common key acquisition unit 123, a session key storage unit 123A, and a message decryption unit.
  • a configuration including a part 124, the secret key storage unit 122A stored secret key sk in advance, the session key storage unit 123A, which session key K 1 to be shared with another communication terminal are stored in advance
  • the secret key storage unit 122A stored secret key sk in advance
  • the session key storage unit 123A which session key K 1 to be shared with another communication terminal are stored in advance
  • the ciphertext receiving unit 121 receives the common key ciphertext CDEM and the public key ciphertext CKEM from the server device 14 (S121).
  • the function operation result decrypting unit 122 decrypts the received public key ciphertext C KEM based on the secret key sk (KEM.Dec (sk, C KEM )) to obtain the function operation result f k1 (K, K 1 ).
  • the common key acquisition unit 123 calculates the session key K 1 and the function calculation result f k1 (K, K 1 ) based on the function h k1 (h k1 (f k1 (K, K 1 ), K 1 )).
  • the common key K is acquired (S123).
  • Message decoding unit 124 the common key cipher text C DEM received, decoded on the basis of the common key K acquired (DEM.Dec (K, C DEM) ) to retrieve a message m by (S124).
  • the communication terminal 13 includes a key update function computation result acquisition unit 131, a session key storage unit 131A, a key update public key ciphertext acquisition unit 132, a public key storage unit 132A, a key a configuration including the update data transmission unit 133, the session key storage unit 131A, a session key K 1 to be shared with another communication terminal is stored in advance (such as the updated session key K 2 is also stored)
  • the public key storage unit 132A stores the public key pk in advance.
  • the key update function calculation result acquisition unit 131 obtains a session key K 1 and an updated session key K 2 (hereinafter also referred to as an updated session key K 2 ) based on the function f k1.
  • the key update function calculation result f k1 (K 1 , K 2 ) is obtained by calculation (S131).
  • the key update public key ciphertext acquisition unit 132 encrypts the key update function calculation result f k1 (K 1 , K 2 ) based on the public key pk (KEM.Enc (pk, f k1 (K 1 , K 2 ))) to obtain the public key ciphertext C ′ KEM for key update (S132).
  • the key update data transmission unit 133 transmits the key update public key ciphertext C ′ KEM to the server device 14 (S133).
  • the server device 14 includes a ciphertext receiving unit 141, a ciphertext storage unit 141A, a ciphertext sending unit 142, a key update data receiving unit 143, and a new data acquiring unit 144. It is.
  • the ciphertext receiving unit 141 receives the common key ciphertext CDEM and the public key ciphertext CKEM from the communication terminal 11 (S141).
  • Ciphertext storage unit 141A stores a public key ciphertext C KEM the common key cipher text C DEM received (S141A1).
  • the ciphertext transmission unit 142 transmits the common key ciphertext CDEM and the public key ciphertext C KEM to the communication terminal 12 (S142).
  • the key update data receiving unit 143 receives the key update public key ciphertext C ′ KEM from the communication terminal 13 (S143).
  • the new data acquisition unit 144 calculates a public key ciphertext C KEM and a key update public key ciphertext C ′ KEM based on the function g k1 (g k1 (C KEM , C ′ KEM )) and creates a new public key.
  • the ciphertext C ′′ KEM is acquired (S144).
  • step S122 when the new public key ciphertext C ′′ KEM is decrypted based on the secret key sk (KEM.Dec (sk, C ′′ KEM )), the function operation result f k1 (K, K 2 ) is obtained. can do. Further functions h k1 updated session key K 2 and function calculation result of based on f k1 in step S123 calculates (K, K 2) (h k1 (f k1 (K, K 2), K 2)) to it is possible to obtain the common key K in, it can be decoded message m using the session key K 2 after the update has been confirmed. Further, by C 'KEM and C' 'KEM being served by the server apparatus 14, it is difficult to know the session key K 2 after update, while concealing the session key to the server device 14 updates It was confirmed that it was possible to do.
  • the communication terminal 11 having the transmission function, the communication terminal 12 having the reception function, and the communication terminal 13 having the key update function are illustrated.
  • the communication terminal of the present invention is not limited to the above example.
  • Example A of Implementation 1 In the following implementation example A, an example in which the RSA encryption method is used as the public key encryption method will be described.
  • the communication terminal 11, the communication terminal 12, and the communication terminal 13 shall communicate with the server apparatus 14. Examples of the communication terminal 11, the communication terminal 12, and the communication terminal 13 include, but are not limited to, a personal computer and a smartphone.
  • a group of users who exchange messages can be formed. Each group will be called a message room here.
  • the identifier of the message room you belong to is roomID.
  • -For public key cryptography (KEM.Enc, KEM.Dec) the public key of the room (roomID) to which it belongs is set as pk roomID and the secret key is set as sk roomID .
  • the user of the communication terminal 11 is A, and the user of the communication terminal 12 is B.
  • Communication terminal 11, communication terminal 12 is set to already obtain the session key K 1, which each session key storage unit 112A, assumed to hold the session key storage unit 123A.
  • This session key K 1 server device 14 do not know. Assume that user A sends message m 1 to user B.
  • the communication terminal 11 generates a random number K in advance as a common key for message encryption, and stores it in the common key storage unit 111A in advance.
  • the common key encryption method used for message encryption is (DEM.Enc, DEM.Dec).
  • C DEM, C RSA ( Calculate DEM.Enc (K, m 1 ), RSA.Enc (pk roomID , K / K 1 )).
  • K / K 1 K ⁇ K 1 -1.
  • the communication terminal 11 transmits (C DEM , C RSA ) to the server device 14.
  • the server device 14 stores (C DEM , C RSA ) received from the communication terminal 11 in the ciphertext storage unit 141A. Note that (C DEM , C RSA ) needs to be saved for each message transmitted from the communication terminal 11.
  • the server device 14 transmits (C DEM , C RSA ) to the communication terminal 12.
  • the communication terminal 12 receives (C DEM , C RSA ) from the server device 14.
  • the communication terminal 13 transmits C ′ RSA to the server device 14.
  • Example B of Example 1 In the following implementation example B, an example using an elliptic ElGamal encryption method as a public key encryption method will be described.
  • KK 1 input to ECEG.Enc function, operation - means the difference in additive (+) group formed by points on an elliptic curve generated during setup of the elliptical ElGamal cryptosystem.
  • the communication terminal 11 transmits (C DEM , C ECEG ) to the server device 14.
  • the server device 14 receives (C DEM , C ECEG ) from the communication terminal 11 and stores it in the ciphertext storage unit 141A. It is necessary to save (C DEM , C ECEG ) for each message transmitted from the communication terminal 11.
  • the server device 14 transmits (C DEM , C ECEG ) to the communication terminal 12.
  • the communication terminal 12 receives (C DEM , C ECEG ) from the server device 14.
  • C DEM , C ECEG (DEM.Enc (K, m 1 ), ECEG.Enc (pk roomID , KK 1 )) from the communication terminal 11.
  • m 1 is a message transmitted before the key update by the communication terminal 11 in the message room indicated by roomID
  • K is a common key generated when the message is transmitted.
  • the communication terminal 13 transmits C ′ ECEG to the server device 14.
  • the communication system 2 includes a communication terminal 21 having a transmission function, a communication terminal 22 having a reception function, a communication terminal 23 having a key update function, and a server device 24. It is. These devices are communicably connected via a network 9. A plurality of communication terminals 21, communication terminals 22, communication terminals 23, and server devices 24 may exist. For convenience of explanation, it is assumed below that each of these devices exists.
  • the communication terminal 21 includes a common key ciphertext acquisition unit 111, a common key storage unit 111A, a function calculation result acquisition unit 112, a session key storage unit 112A, and a ciphertext transmission unit 214.
  • the configuration and the configuration requirements other than the ciphertext transmission unit 214 are the same as those in the first embodiment.
  • the public key ciphertext acquisition unit 113 and the public key storage unit 113A existing in the first embodiment are unnecessary.
  • the common key cipher sentence obtaining unit 111 encrypts the message m based on a common key K (DEM.Enc (K, m) ) and obtains the common key cipher text C DEM in (S111 ).
  • the function calculation result acquisition unit 112 calculates the common key K and the session key K 1 based on the function f k1 and acquires the function calculation result f k1 (K, K 1 ) (S112).
  • the function calculation result is also expressed as Z.
  • the ciphertext transmission unit 214 transmits the common key ciphertext CDEM and the function calculation result Z to the server device 14 (S214).
  • the communication terminal 22 includes a ciphertext receiving unit 221, a common key acquisition unit 123, a session key storage unit 123 ⁇ / b> A, and a message decryption unit 124, and is other than the ciphertext receiving unit 221.
  • the configuration requirements are the same as those in the first embodiment. In this embodiment, since public key cryptography is not used, the function calculation result decryption unit 122 and the secret key storage unit 122A that existed in the first embodiment are unnecessary.
  • the ciphertext receiving unit 221 receives the common key ciphertext CDEM and the function calculation result Z from the server device 14 (S221).
  • the common key acquisition unit 123 calculates the session key K 1 and the function calculation result f k1 (K, K 1 ) based on the function h k1 (h k1 (f k1 (K, K 1 ), K 1 )).
  • the common key K is acquired (S123).
  • Message decoding unit 124 the common key cipher text C DEM received, decoded on the basis of the common key K acquired (DEM.Dec (K, C DEM) ) to retrieve a message m by (S124).
  • the communication terminal 23 includes a key update function calculation result acquisition unit 131, a session key storage unit 131A, and a key update data transmission unit 233, and includes a key update data transmission unit.
  • the components other than 233 are the same as those in the first embodiment.
  • the key update public key ciphertext acquisition unit 132 and the public key storage unit 132A existing in the first embodiment are not necessary.
  • the key update function calculation result acquisition unit 131 obtains a session key K 1 and an updated session key K 2 (hereinafter also referred to as an updated session key K 2 ) based on the function f k1.
  • the key update function calculation result f k1 (K 1 , K 2 ) is obtained by calculation (S131).
  • the key update function calculation result is also expressed as Z ′.
  • the key update data transmission unit 233 transmits the key update function calculation result Z ′ to the server device 24 (S233).
  • the server device 24 includes a ciphertext receiving unit 241, a ciphertext storage unit 241A, a ciphertext transmitting unit 242, a key update data receiving unit 243, and a new data acquiring unit 244. It is.
  • the ciphertext receiving unit 241 receives the common key ciphertext CDEM and the function calculation result Z from the communication terminal 21 (S241).
  • Ciphertext storage unit 241A stores the common key cipher text C DEM and function calculation result Z received (S241A1).
  • the ciphertext transmission unit 242 transmits the common key ciphertext CDEM and the function calculation result Z to the communication terminal 22 (S242).
  • the key update data receiving unit 243 receives the key update function calculation result Z ′ from the communication terminal 23 (S243).
  • New data acquisition unit 244 obtains the 'calculates (g k1 (Z, Z' function calculation result Z and the key update function calculation result Z based on a function g k1)) and a new function calculation result Z '' (S244).
  • step S123 the updated session key K 2 and the function calculation result f k1 (K, K 2 ) are calculated based on the function h k1 (h k1 (f k1 (K, K 2 ), K 2 )).
  • the message m can be decrypted using the updated session key K 2 because the common key K can be acquired.
  • the session key is updated while keeping the server device 24 secret. Is confirmed to be possible.
  • the communication terminal 21 having a transmission function the communication terminal 22 having a reception function, and the communication terminal 23 having a key update function are exemplified.
  • the communication terminal of the present invention is not limited to the above example.
  • Example of implementation of Example 2 An example of implementation of the second embodiment is shown below.
  • the communication terminal 21 transmits (C DEM , Key) to the server device 24.
  • the server device 24 receives (C DEM , Key) from the communication terminal 21 and stores it in the ciphertext storage unit 241A. It is necessary to save (C DEM , Key) for each message transmitted from the communication terminal 21.
  • the server device 24 transmits (C DEM , Key) to the communication terminal 22.
  • m 1 is a message transmitted before the key update by the communication terminal 21 in the message room indicated by roomID
  • K is a common key generated when the message is transmitted.
  • the communication terminal 23 transmits Key ′ to the server device 24.
  • the communication system 2 of the above-described second embodiment it is possible to omit the implementation of the public key encryption algorithm while ensuring the same level of security as that of the first embodiment, thereby reducing the implementation cost. .
  • the apparatus of the present invention includes, for example, a single hardware entity as an input unit to which a keyboard or the like can be connected, an output unit to which a liquid crystal display or the like can be connected, and a communication device (for example, a communication cable) capable of communicating outside the hardware entity Can be connected to a communication unit,
  • CPU Central Processing Unit
  • RAM Random Access Memory
  • ROM Read Only Memory
  • the hardware entity may be provided with a device (drive) that can read and write a recording medium such as a CD-ROM.
  • a physical entity having such hardware resources includes a general-purpose computer.
  • the external storage device of the hardware entity stores a program necessary for realizing the above functions and data necessary for processing the program (not limited to the external storage device, for example, reading a program) It may be stored in a ROM that is a dedicated storage device). Data obtained by the processing of these programs is appropriately stored in a RAM or an external storage device.
  • each program stored in an external storage device or ROM or the like
  • data necessary for processing each program are read into a memory as necessary, and are interpreted and executed by a CPU as appropriate.
  • the CPU realizes a predetermined function (respective component requirements expressed as the above-described unit, unit, etc.).
  • the processing functions in the hardware entity (the device of the present invention) described in the above embodiment are realized by a computer, the processing contents of the functions that the hardware entity should have are described by a program. Then, by executing this program on a computer, the processing functions in the hardware entity are realized on the computer.
  • the program describing the processing contents can be recorded on a computer-readable recording medium.
  • a computer-readable recording medium for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used.
  • a magnetic recording device a hard disk device, a flexible disk, a magnetic tape or the like is used as an optical disc, and a DVD (Digital Versatile Disc), a DVD-RAM (Random Access Memory), a CD-ROM (Compact Disc Read Only Memory), a CD-R (Recordable).
  • DVD Digital Versatile Disc
  • DVD-RAM Random Access Memory
  • CD-ROM Compact Disc Read Only Memory
  • CD-R Recordable
  • MO Magneto-Optical disc
  • EEP-ROM Electrical Erasable and Programmable-Read Only Memory
  • this program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
  • a computer that executes such a program first stores a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, this computer reads the program stored in its own recording medium and executes the process according to the read program. As another execution form of the program, the computer may directly read the program from a portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Further, the above-described processing may be executed by a so-called ASP (Application Service Provider) type service that realizes a processing function only by an execution instruction and result acquisition without transferring a program from the server computer to the computer. Good. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).
  • ASP Application Service Provider
  • the hardware entity is configured by executing a predetermined program on the computer.
  • a predetermined program on the computer.
  • at least a part of these processing contents may be realized in hardware.

Abstract

以前にサーバ装置に保存されたデータをサーバ装置側で復号することなく、更新されたセッション鍵を用いて通信端末側で復号可能なデータに更新することができる通信端末を提供する。他の通信端末とセッション鍵を共有し、サーバ装置を介して他の通信端末に暗号文を送信する通信端末であって、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得する共通鍵暗号文取得部と、所定の第１の関数に基づいて共通鍵とセッション鍵を演算して関数演算結果を取得する関数演算結果取得部と、関数演算結果を公開鍵に基づいて暗号化して公開鍵暗号文を取得する公開鍵暗号文取得部と、共通鍵暗号文と公開鍵暗号文をサーバ装置に送信する暗号文送信部を含む。

Description

通信端末、サーバ装置、プログラム
　本発明は、通信端末、サーバ装置、プログラムに関する。
　ビジネスでの使用を前提とするメッセージ送信システムとしてパソコンやスマートフォン等のマルチデバイスに対応可能なシステムが存在する。マルチデバイスに対応可能なシステムのうち、企業の機密情報漏えいを考慮し、通信端末にデータを残さないクラウドベース型のメッセージ送信システムが存在する。クラウドベース型のメッセージ送信システムの例として、非特許文献１が挙げられる。
　このようなメッセージ送信システムにおいては、通信路を暗号化することで通信経路上の盗聴防止がなされていたり、既に述べたように、通信端末にデータを残さないことによって通信端末の紛失や不正な持ち出しに起因する情報漏えい防止がなされていたりする。このように、従来のメッセージ送信システムは「通信経路」と「通信端末」に対する脅威に対処している一方、サーバ装置に対する脅威への対処は不十分である。
　ここでいうサーバ装置に対する脅威として「サーバ装置に対する外部からの攻撃」や「サーバ管理者等による内部不正」等が挙げられる。これらの脅威に対し、メッセージを暗号化して保存する、という対策が考えられる。しかしながら、サーバ装置側でメッセージを復号可能である以上、前述の脅威に対してサーバ装置からのメッセージ漏えいの可能性が依然として存在する。送受信・保存を行うサーバ装置に送られてくるメッセージがサーバ装置に対して秘匿化されている（サーバ装置側で盗聴されない）ことが重要である。
　１つの方法として、サーバ装置に対してメッセージを秘匿し、通信端末でのみ復号可能なエンドツーエンドの暗号化通信を実現することが考えられる。この場合、通信端末間で用いる共通鍵をどのように共有するかが問題となる。この問題の解決策として例えば非特許文献２が開示されている。非特許文献２では中央に認証サーバをもつスター型のネットワークにおいて、認証サーバに対していかなる情報ももらさずに利用者間で鍵（以下、セッション鍵）を共有するプロトコルが提案されている。
　これによって、サーバ装置に対しメッセージを秘匿したまま通信端末間でやりとりすることができる。また、現在参加している通信端末でのみメッセージが読めるようセッション鍵の共有を行うため、ユーザの追加・削除等のイベントによりセッション鍵が更新される。
ＮＴＴソフトウェア、"ビジネス向けグループチャットＴｏｐｉｃＲｏｏｍ"、［online］、ＮＴＴソフトウェア、[平成28年7月6日検索]、インターネット〈URL：https.//www.ntts.co.jp/products/topicroom/index.html〉 小林鉄太郎、米山一樹、吉田麗生、川原祐人、冨士仁、山本具英「スケーラブルな動的多者鍵配布プロトコル」、SCIS2016-暗号と情報セキュリティシンポジウム-講演論文集、一般社団法人電子情報通信学会、平成28年1月、4E2-3
　上記非特許文献２の技術によれば、サーバ装置に知られないよう、通信端末間で鍵を共有することで、サーバ装置に対しメッセージを秘匿したままやりとりすることができる。しかし、非特許文献２では、現在の参加メンバのみでセッション鍵を共有するため、セッション鍵はログイン・ログアウトイベントのようなユーザの追加・削除に伴って更新されたり、それ以外にも定期的に更新されたりすることがある。従って、現在参加している通信端末でのみ過去に蓄積されたメッセージを読めるようにするために、以前にサーバ装置に保存されたデータをサーバ装置側で復号することなく、更新されたセッション鍵を用いて通信端末側で復号可能なデータに更新しなければならない、という課題がある。そのため、実用上、クラウドベース型メッセージ送信システムに上記プロトコルをそのまま適用させることは難しい。
　そこで本発明は、以前にサーバ装置に保存されたデータをサーバ装置側で復号することなく、更新されたセッション鍵を用いて通信端末側で復号可能なデータに更新することができる通信端末を提供することを目的とする。
　本発明の通信端末は、他の通信端末とセッション鍵を共有し、サーバ装置を介して他の通信端末に暗号文を送信する通信端末であって、共通鍵暗号文取得部と、関数演算結果取得部と、公開鍵暗号文取得部と、暗号文送信部を含む。
　共通鍵暗号文取得部は、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得する。関数演算結果取得部は、所定の第１の関数に基づいて共通鍵とセッション鍵を演算して関数演算結果を取得する。公開鍵暗号文取得部は、関数演算結果を公開鍵に基づいて暗号化して公開鍵暗号文を取得する。暗号文送信部は、共通鍵暗号文と公開鍵暗号文をサーバ装置に送信する。
　本発明の通信端末によれば、以前にサーバに保存されたデータをサーバ側で復号することなく、更新されたセッション鍵を用いて通信端末側で復号可能なデータに更新することができる。
実施例１の通信システムの構成を示すブロック図。 実施例１の送信機能を有する通信端末の構成を示すブロック図。 実施例１の受信機能を有する通信端末の構成を示すブロック図。 実施例１の鍵更新機能を有する通信端末の構成を示すブロック図。 実施例１のサーバ装置の構成を示すブロック図。 実施例１の送信機能と受信機能と鍵更新機能を全て有する通信端末の構成を示すブロック図。 実施例１の通信システムの送受信動作を示すシーケンス図。 実施例１の通信システムの鍵更新動作を示すシーケンス図。 実施例２の通信システムの構成を示すブロック図。 実施例２の送信機能を有する通信端末の構成を示すブロック図。 実施例２の受信機能を有する通信端末の構成を示すブロック図。 実施例２の鍵更新機能を有する通信端末の構成を示すブロック図。 実施例２のサーバ装置の構成を示すブロック図。 実施例２の送信機能と受信機能と鍵更新機能を全て有する通信端末の構成を示すブロック図。 実施例２の通信システムの送受信動作を示すシーケンス図。 実施例２の通信システムの鍵更新動作を示すシーケンス図。
　以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
　本発明の実施形態の具体的な説明をするため、クラウドベース型のメッセージ送信システムに適用する場合のセットアップ（事前準備）について述べる。なお実施例１では、公開鍵暗号方式を用いた例を、実施例２では、公開鍵暗号方式を用いない例を開示するため、セットアップ（事前準備）についてもそれぞれの場合について記述する。
＜セットアップ：共通＞
　集合Nを正の整数全体の集合とする。以下で記載する共通鍵暗号方式(DEM.Gen,DEM.Enc,DEM.Dec)について述べておく。DEM.Genはkビット（k∈N）列1kを入力とし，k1ビット（k1∈N）長の鍵Kを出力するアルゴリズムである。DEM.Encは、平文mと鍵Kとを入力とし，暗号文CDEMを出力するアルゴリズムである。DEM.Decは暗号文CDEMと鍵Kを入力とし，平文mを出力するアルゴリズムである。
＜セットアップ：公開鍵暗号方式を用いる場合＞
　集合Nを正の整数全体の集合とする。以下で記載する公開鍵暗号方式(KEM.Gen,KEM.Enc,KEM.Dec)について述べておく。KEM.Genはkビット（k∈N）列1kを入力とし、k2ビット（k2∈N）長の公開鍵pkとk3ビット（k3∈N）長の秘密鍵skの組(pk,sk)を出力するアルゴリズムである。KEM.Encは公開鍵pkとk1ビット（k1∈N）長の平文Mを入力とし、暗号文CKEMを出力するアルゴリズムである。KEM.Decは秘密鍵skと暗号文CKEMを入力とし、平文Mを出力するアルゴリズムである。まず、k1ビット長の鍵空間をKEY1={0,1}k1、k2ビット長の鍵空間をKEY2={0,1}k2とし、関数fk1、hk1、gk1はそれぞれ以下の条件(1)(2)(3)を満たす。ただし、条件(1)は必須条件ではなく、満足することが好適な条件とされる。
(1)関数族{fk1:KEY1×KEY1→KEY1}k1∈Nは以下の条件を満たせば好適である。すなわち、任意の正整数k1に対し、次の命題が成り立つ。nビット列1nと関数fk1の出力とを入力とし、KEY1の元を出力する任意の確率的多項式時間アルゴリズムAと、任意のc>0に対し、以下を満たす正整数n'が存在する。
　n'よりも大きい任意の正整数nに対し、
Figure JPOXMLDOC01-appb-M000001
　Pr[X|Y]は事象Yにおける事象Xの条件つき確率を表す。上式は関数fk1の安全性として好適な水準を示す数式である。上式はいかなる確率的多項式時間アルゴリズムAによってfk1(K,K1)を演算したとしても、K'=KとなるK'を求めることができる確率が非常に低い（Pr[...]<1/nc）ことを示している。ただし、関数fk1が上式の安全性を満たすことは必須の条件ではなく、関数fk1は上式に限定されない。
(2)任意のk1∈N、任意のK,K1∈KEY1に対し、次式を満たす関数hk1:KEY1×KEY1→KEY1が存在する。
Figure JPOXMLDOC01-appb-M000002
(3)暗号化関数KEM.Enc:KEY2×KEY1→KEY1と関数fk1:KEY1×KEY1→KEY1に対し、関数gk1:KEY1×KEY1→KEY1が存在し、任意のK,K1,K2∈KEY1に対し次式を満たす。
Figure JPOXMLDOC01-appb-M000003
　上式は、関数gk1を定義する数式である。上式は、暗号文c1（共通鍵Kとセッション鍵K1を関数fk1でマスクした値を公開鍵pkで暗号化した暗号文）と暗号文c2（セッション鍵K1と更新後のセッション鍵K2を関数fk1でマスクした値を公開鍵pkで暗号化した暗号文）を関数gk1によってマスクして得た値を秘密鍵skで復号した場合、復号結果M'が必ずfk1(K,K2)（共通鍵Kとセッション鍵K2を関数fk1でマスクした値）となる（Pr[...]=1）ことを示している。
　上記のような公開鍵暗号として、例えばRSA暗号方式が考えられる。すなわち、(KEM.Gen,KEM.Enc,KEM.Dec)=(RSA.Gen,RSA.Enc,RSA.Dec)である。このとき(fk1,gk1,hk1)として例えば、(fk1,gk1,hk1)=(((x1,x2)→x1/x2),((y1,y2)→y1・y2),((z1,z2)→z1・z2))が挙げられ、これらは上記の(fk1,gk1,hk1)の条件を満たす。なお、演算/は、RSA暗号方式のセットアップ時に生成した2つの素数p,qの積n=pqを法とする剰余環での乗法を・とし、この演算におけるx2の逆元をx2 -1としたとき、x1/x2=x1・x2 -1と表される。
　また上記のような公開鍵暗号として、例えば楕円ElGamal暗号方式が考えられる。すなわち、(KEM.Gen,KEM.Enc,KEM.Dec)=(ECEG.Gen,ECEG.Enc,ECEG.Dec)である。このとき(fk1,gk1,hk1)として例えば、(fk1,gk1,hk1)=(((x1,x2)→x1-x2),((y1,y2)→y1+y2),((z1,z2)→z1+z2))が挙げられ、これらは上記の(fk1,gk1,hk1)の条件を満たす。なお、演算-は、楕円ElGamal暗号方式のセットアップ時に生成した楕円曲線上の点がなす加法（+）群におけるx2の逆元を-x2としたとき、x1-x2=x1+(-x2)と表される。
　ただし、本発明で利用できる公開鍵暗号方式は上記の二つ（RSA暗号方式、楕円ElGamal暗号方式）に限定されないものとする。
＜セットアップ：公開鍵暗号方式を用いない場合＞
　k1ビット長の鍵空間をKEY1とし、k2ビット（k2∈N）長の鍵空間をKEY2とし、関数fk1、hk1、gk1はそれぞれ上述の条件(1)(2)、および以下の(3a)を満たす。ただし、上述の条件(1)は必須条件ではなく、満足することが好適な条件とされる。
(3a)任意のk1∈Nに対し、関数gk1:KEY1×KEY1→KEY1が存在し、任意のK,K1,K2∈KEY1に対しgk1(fk1(K0,K1),fk1(K1,K2))=fk1(K0,K2)を満たす。
　このような関数の組(fk1,gk1,hk1)として例えば、(fk1,gk1,hk1)=(((x1,x2)→x1-x2),((y1,y2)→y1+y2),((z1,z2)→z1+z2))や、(fk1,gk1,hk1)=(((x1,x2)→x1/x2),((y1,y2)→y1・y2),((z1,z2)→z1・z2))があり、これらは上記の(fk1,gk1,hk1)の性質を満たす。なお、x1-x2について、演算-は鍵空間に加法群としての構造が入っているときの加法（+）群における差を意味する。x1/x2について、演算/は鍵空間に乗法群としての構造が入っているときの乗法（・）群における商を意味する。以下では、(fk1,gk1,hk1)=(((x1,x2)→x1-x2),((y1,y2)→y1+y2),((z1,z2)→z1+z2))や、(fk1,gk1,hk1)=(((x1,x2)→x1/x2),((y1,y2)→y1・y2),((z1,z2)→z1・z2))の場合で説明する。
　以下、公開鍵暗号を用いるバリエーションである、実施例１の通信システムについて説明する。
　図１に示すように、本実施例の通信システム１は、送信機能を有する通信端末１１と、受信機能を有する通信端末１２と、鍵更新機能を有する通信端末１３と、サーバ装置１４を含む構成である。これらの装置はネットワーク９を介して通信可能に接続されている。なお、通信端末１１、通信端末１２、通信端末１３、サーバ装置１４はそれぞれが複数存在してもよい。説明の便宜上、以下ではこれらの装置が各一つずつ存在するものとする。
　図２に示すように、通信端末１１は、共通鍵暗号文取得部１１１と、共通鍵記憶部１１１Ａと、関数演算結果取得部１１２と、セッション鍵記憶部１１２Ａと、公開鍵暗号文取得部１１３と、公開鍵記憶部１１３Ａと、暗号文送信部１１４を含む構成であって、共通鍵記憶部１１１Ａには共通鍵Kが予め記憶され、セッション鍵記憶部１１２Ａには他の通信端末と共有するセッション鍵K1が予め記憶され、公開鍵記憶部１１３Ａには公開鍵pkが予め記憶されているものとする。
　図７に示すように、共通鍵暗号文取得部１１１は、共通鍵Kに基づいてメッセージmを暗号化(DEM.Enc(K,m))して共通鍵暗号文CDEMを取得する（Ｓ１１１）。関数演算結果取得部１１２は、関数fk1に基づいて共通鍵Kとセッション鍵K1を演算して関数演算結果fk1(K,K1)を取得する（Ｓ１１２）。公開鍵暗号文取得部１１３は、関数演算結果fk1(K,K1)を公開鍵pkに基づいて暗号化(KEM.Enc(pk,fk1(K,K1)))して公開鍵暗号文CKEMを取得する（Ｓ１１３）。暗号文送信部１１４は、共通鍵暗号文CDEMと公開鍵暗号文CKEMをサーバ装置１４に送信する（Ｓ１１４）。
　図３に示すように、通信端末１２は、暗号文受信部１２１と、関数演算結果復号部１２２と、秘密鍵記憶部１２２Ａと、共通鍵取得部１２３と、セッション鍵記憶部１２３Ａと、メッセージ復号部１２４を含む構成であって、秘密鍵記憶部１２２Ａには秘密鍵skが予め記憶され、セッション鍵記憶部１２３Ａには、他の通信端末と共有するセッション鍵K1が予め記憶されているものとする。
　図７に示すように、暗号文受信部１２１は、サーバ装置１４から共通鍵暗号文CDEMと公開鍵暗号文CKEMを受信する（Ｓ１２１）。関数演算結果復号部１２２は、受信した公開鍵暗号文CKEMを秘密鍵skに基づいて復号（KEM.Dec(sk,CKEM)）して関数演算結果fk1(K,K1)を取得する（Ｓ１２２）。共通鍵取得部１２３は、関数hk1に基づいてセッション鍵K1と関数演算結果fk1(K,K1)を演算（hk1(fk1(K,K1),K1)）して共通鍵Kを取得する（Ｓ１２３）。メッセージ復号部１２４は、受信した共通鍵暗号文CDEMを、取得した共通鍵Kに基づいて復号（DEM.Dec(K,CDEM)）してメッセージmを取得する（Ｓ１２４）。
　図４に示すように、通信端末１３は、鍵更新用関数演算結果取得部１３１と、セッション鍵記憶部１３１Ａと、鍵更新用公開鍵暗号文取得部１３２と、公開鍵記憶部１３２Ａと、鍵更新用データ送信部１３３を含む構成であって、セッション鍵記憶部１３１Ａには、他の通信端末と共有するセッション鍵K1が予め記憶され(更新後のセッション鍵K2なども記憶される)、公開鍵記憶部１３２Ａには公開鍵pkが予め記憶されているものとする。
　図８に示すように、鍵更新用関数演算結果取得部１３１は、関数fk1に基づいてセッション鍵K1と更新済セッション鍵K2（以下、更新後のセッション鍵K2ともいう）とを演算して鍵更新用関数演算結果fk1(K1,K2)を取得する（Ｓ１３１）。鍵更新用公開鍵暗号文取得部１３２は、鍵更新用関数演算結果fk1(K1,K2)を公開鍵pkに基づいて暗号化（KEM.Enc(pk,fk1(K1,K2))）して鍵更新用公開鍵暗号文C'KEMを取得する（Ｓ１３２）。鍵更新用データ送信部１３３は、鍵更新用公開鍵暗号文C'KEMをサーバ装置１４に送信する（Ｓ１３３）。
　図５に示すように、サーバ装置１４は、暗号文受信部１４１と、暗号文記憶部１４１Ａと、暗号文送信部１４２と、鍵更新用データ受信部１４３と、新規データ取得部１４４を含む構成である。
　図７に示すように、暗号文受信部１４１は、通信端末１１から共通鍵暗号文CDEMと公開鍵暗号文CKEMを受信する（Ｓ１４１）。暗号文記憶部１４１Ａは、受信した共通鍵暗号文CDEMと公開鍵暗号文CKEMを記憶する（Ｓ１４１Ａ１）。暗号文送信部１４２は、通信端末１２に共通鍵暗号文CDEMと公開鍵暗号文CKEMを送信する（Ｓ１４２）。
　図８に示すように、鍵更新用データ受信部１４３は、通信端末１３から鍵更新用公開鍵暗号文C'KEMを受信する（Ｓ１４３）。新規データ取得部１４４は、関数gk1に基づいて公開鍵暗号文CKEMと鍵更新用公開鍵暗号文C'KEMを演算（gk1(CKEM,C'KEM)）して新たな公開鍵暗号文C''KEMを取得する（Ｓ１４４）。
　なお、ステップＳ１２２において新たな公開鍵暗号文C''KEMを秘密鍵skに基づいて復号（KEM.Dec(sk,C''KEM)）すると関数演算結果fk1(K,K2)を取得することができる。さらにステップＳ１２３において関数hk1に基づいて更新後のセッション鍵K2と関数演算結果fk1(K,K2)を演算（hk1(fk1(K,K2),K2)）することで共通鍵Kを取得することができるため、更新後のセッション鍵K2を用いたメッセージmの復号が可能であることが確認された。また、サーバ装置１４で取り扱われているC'KEMやC''KEMによっても、更新後のセッション鍵K2を知ることは困難であるため、サーバ装置１４に対してセッション鍵を秘匿しながら更新することが可能であることが確認された。
　上述の実施例１では、送信機能を有する通信端末１１、受信機能を有する通信端末１２、鍵更新機能を有する通信端末１３を例示した。しかし本発明の通信端末は上記の例に限定されない。例えば、送信機能、受信機能、鍵更新機能のうちいずれか二つの機能を備える通信端末として実現してもよい。また図６に示すように、送信機能、受信機能、鍵更新機能の全てを備える通信端末１０として実現してもよい。
［実施例１の実装例Ａ］
　以下の実装例Ａでは、公開鍵暗号方式としてRSA暗号方式を用いた例を説明する。通信端末１１、通信端末１２、通信端末１３は、サーバ装置１４と通信を行うものとする。通信端末１１、通信端末１２、通信端末１３はパソコンやスマートフォン等挙げられるが特に限定しない。なお、本実装例の通信システムにおいては、メッセージをやり取りするユーザのグループを形成することができる。各グループをここではメッセージルームと呼ぶことにする。
・所属するメッセージルームの識別子をroomIDとする。
・公開鍵暗号方式(KEM.Enc,KEM.Dec)に関する、所属するルーム（roomID）の公開鍵をpkroomIDと秘密鍵をskroomIDとする。
＜暗号化、メッセージ送信＞
　通信端末１１の利用者をＡ、通信端末１２の利用者をＢとする。通信端末１１、通信端末１２はセッション鍵K1を取得済みとし、これをそれぞれセッション鍵記憶部１１２Ａ、セッション鍵記憶部１２３Ａに保持しているものとする。このセッション鍵K1をサーバ装置１４は知らない。利用者Ａが利用者Ｂにメッセージm1を送るものとする。
　通信端末１１は、乱数Kをメッセージ暗号化のための共通鍵として予め生成し、共通鍵記憶部１１１Ａに予め記憶しておくものとする。メッセージ暗号化の際に用いる共通鍵暗号方式を(DEM.Enc,DEM.Dec)とする。
　通信端末１１は、共通鍵記憶部１１１Ａから共通鍵Kを、セッション鍵記憶部１１２Ａからセッション鍵K1を、公開鍵記憶部１１３Ａから公開鍵pkroomIDを取り出し、(CDEM,CRSA)=(DEM.Enc(K,m1),RSA.Enc(pkroomID, K/K1))を計算する。なお、RSA.Enc関数に入力するK/K1について、演算/は、RSA暗号方式のセットアップ時に生成した2つの素数p,qの積n=pqを法とする剰余環での乗法を・とし、この演算におけるK1の逆元をK1 -1としたとき、K/K1=K・K1 -1と表される。通信端末１１は、サーバ装置１４に(CDEM,CRSA)を送信する。
＜メッセージ受信、復号＞
　サーバ装置１４は通信端末１１から受信した (CDEM,CRSA)を暗号文記憶部１４１Ａに保存する。なお、通信端末１１から送信されたメッセージ毎に(CDEM,CRSA)は保存する必要がある。サーバ装置１４は、通信端末１２に(CDEM,CRSA)を送信する。通信端末１２はサーバ装置１４から(CDEM,CRSA)を受信する。
　通信端末１２は、秘密鍵記憶部１２２Ａから秘密鍵skroomIDを取り出し、Temp=RSA.Dec(skroomID,CRSA)を計算する。通信端末１２は、セッション鍵記憶部１２３Ａからセッション鍵K1を取り出し、共通鍵K=Temp・K1を得る。通信端末１２は、この共通鍵Kを用いてメッセージm1を復号（m1=DEM.Dec(K1,CDEM)）する。
＜セッション鍵更新＞
　通信端末１３はセッション鍵をK1からK2に更新するものとする。サーバ装置１４は事前に通信端末１１から(CDEM,CRSA)=(DEM.Enc(K,m1),RSA.Enc(pkroomID,K/K1))を得ているものとする。ここで、m1は通信端末１１がroomIDが指し示すメッセージルームにおいて鍵更新以前に送信したメッセージであり、Kはそのメッセージを送信する際に生成した共通鍵である。通信端末１３は、セッション鍵記憶部１３１Ａから古いセッション鍵K1と新しいセッション鍵K2、公開鍵記憶部１３２Ａから公開鍵pkroomIDを取り出し、C'RSA=RSA.Enc(pkroomID,K1/K2)を計算する。通信端末１３は、サーバ装置１４にC'RSAを送信する。サーバ装置１４は通信端末１３からC'RSAを受信し、さらに暗号文記憶部１４１ＡからCRSAを取り出し、C''RSA=CRSA・C'RSA=RSA.Enc(pkroomID,K /K2)を計算し、暗号文記憶部１４１Ａに既に保存されているCRSAをC''RSAに上書き保存する処理を実行する。
［実施例１の実装例Ｂ］
　以下の実装例Ｂでは、公開鍵暗号方式として楕円ElGamal暗号方式を用いた例を説明する。
＜暗号化、メッセージ送信＞
　通信端末１１は、前述と同様に共通鍵K、セッション鍵K1、公開鍵pkroomIDを用いて、(CDEM,CECEG)=(DEM.Enc(K,m1),ECEG.Enc(pkroomID,K-K1))を計算する。なお、ECEG.Enc関数に入力するK-K1について、演算-は、楕円ElGamal暗号方式のセットアップ時に生成した楕円曲線上の点がなす加法（+）群における差を意味する。通信端末１１はサーバ装置１４に(CDEM,CECEG)を送信する。
＜メッセージ受信、復号＞
　サーバ装置１４は通信端末１１から(CDEM,CECEG)を受信し、暗号文記憶部１４１Ａに保存する。なお、通信端末１１から送信されたメッセージ毎に(CDEM,CECEG)は保存する必要がある。サーバ装置１４は、通信端末１２に(CDEM,CECEG)を送信する。通信端末１２はサーバ装置１４から(CDEM,CECEG)を受信する。通信端末１２は、秘密鍵記憶部１２２Ａから秘密鍵skroomIDを取り出し、Temp=ECEG.Dec(skroomID,CECEG)を計算する。通信端末１２は、セッション鍵記憶部１２３Ａからセッション鍵K1を取り出し、共通鍵K=Temp+K1を得る。この共通鍵Kを用いて、メッセージm1を復号（m1=DEM.Dec(K,CDEM)）する。
＜セッション鍵更新＞
　通信端末１３はセッション鍵をK1からK2に更新するものとする。サーバ装置１４は事前に通信端末１１から(CDEM,CECEG)=(DEM.Enc(K,m1),ECEG.Enc(pkroomID,K-K1))を得ているものとする。ここで、m1は通信端末１１がroomIDが指し示すメッセージルームにおいて鍵更新以前に送信したメッセージであり、Kはそのメッセージを送信する際に生成した共通鍵である。通信端末１３は、セッション鍵記憶部１３１Ａから古いセッション鍵K1と新しいセッション鍵K2、公開鍵記憶部１３２Ａから公開鍵pkroomIDを取り出し、C'ECEG=ECEG.Enc(pkroomID,K1-K2)を計算する。通信端末１３はサーバ装置１４にC'ECEGを送信する。
サーバ装置１４は通信端末１３からC'ECEGを受信し、さらに暗号文記憶部１４１ＡからCECEGを取り出し、C''ECEG=CECEG+C'ECEG=ECEG.Enc(pkroomID,K-K2)を計算し、暗号文記憶部１４１Ａに既に保存されているCECEGをC''ECEGに上書き保存する処理を実行する。
　以下、公開鍵暗号を用いないバリエーションである、実施例２の通信システムについて説明する。
　図９に示すように、本実施例の通信システム２は、送信機能を有する通信端末２１と、受信機能を有する通信端末２２と、鍵更新機能を有する通信端末２３と、サーバ装置２４を含む構成である。これらの装置はネットワーク９を介して通信可能に接続されている。なお、通信端末２１、通信端末２２、通信端末２３、サーバ装置２４はそれぞれが複数存在してもよい。説明の便宜上、以下ではこれらの装置が各一つずつ存在するものとする。
　図１０に示すように、通信端末２１は、共通鍵暗号文取得部１１１と、共通鍵記憶部１１１Ａと、関数演算結果取得部１１２と、セッション鍵記憶部１１２Ａと、暗号文送信部２１４を含む構成であって、暗号文送信部２１４以外の構成要件については、実施例１と同様である。なお、本実施例では公開鍵暗号を用いないため実施例１に存在した公開鍵暗号文取得部１１３、公開鍵記憶部１１３Ａは不要である。
　図１５に示すように、共通鍵暗号文取得部１１１は、共通鍵Kに基づいてメッセージmを暗号化(DEM.Enc(K,m))して共通鍵暗号文CDEMを取得する（Ｓ１１１）。関数演算結果取得部１１２は、関数fk1に基づいて共通鍵Kとセッション鍵K1を演算して関数演算結果fk1(K,K1)を取得する（Ｓ１１２）。以下、関数演算結果をZとも表記する。暗号文送信部２１４は、共通鍵暗号文CDEMと関数演算結果Zをサーバ装置１４に送信する（Ｓ２１４）。
　図１１に示すように、通信端末２２は、暗号文受信部２２１と、共通鍵取得部１２３と、セッション鍵記憶部１２３Ａと、メッセージ復号部１２４を含む構成であって、暗号文受信部２２１以外の構成要件については、実施例１と同様である。なお、本実施例では公開鍵暗号を用いないため実施例１に存在した関数演算結果復号部１２２と、秘密鍵記憶部１２２Ａは不要である。
　図１５に示すように、暗号文受信部２２１は、サーバ装置１４から共通鍵暗号文CDEMと関数演算結果Zを受信する（Ｓ２２１）。共通鍵取得部１２３は、関数hk1に基づいてセッション鍵K1と関数演算結果fk1(K,K1)を演算（hk1(fk1(K,K1),K1)）して共通鍵Kを取得する（Ｓ１２３）。メッセージ復号部１２４は、受信した共通鍵暗号文CDEMを、取得した共通鍵Kに基づいて復号（DEM.Dec(K,CDEM)）してメッセージmを取得する（Ｓ１２４）。
　図１２に示すように、通信端末２３は、鍵更新用関数演算結果取得部１３１と、セッション鍵記憶部１３１Ａと、鍵更新用データ送信部２３３を含む構成であって、鍵更新用データ送信部２３３以外の構成要件については、実施例１と同様である。なお、本実施例では公開鍵暗号を用いないため実施例１に存在した鍵更新用公開鍵暗号文取得部１３２と、公開鍵記憶部１３２Ａは不要である。
　図１６に示すように、鍵更新用関数演算結果取得部１３１は、関数fk1に基づいてセッション鍵K1と更新済セッション鍵K2（以下、更新後のセッション鍵K2ともいう）とを演算して鍵更新用関数演算結果fk1(K1,K2)を取得する（Ｓ１３１）。以下、鍵更新用関数演算結果をZ'とも表記する。鍵更新用データ送信部２３３は、鍵更新用関数演算結果Z'をサーバ装置２４に送信する（Ｓ２３３）。
　図１３に示すように、サーバ装置２４は、暗号文受信部２４１と、暗号文記憶部２４１Ａと、暗号文送信部２４２と、鍵更新用データ受信部２４３と、新規データ取得部２４４を含む構成である。
　図１５に示すように、暗号文受信部２４１は、通信端末２１から共通鍵暗号文CDEMと関数演算結果Zを受信する（Ｓ２４１）。暗号文記憶部２４１Ａは、受信した共通鍵暗号文CDEMと関数演算結果Zを記憶する（Ｓ２４１Ａ１）。暗号文送信部２４２は、通信端末２２に共通鍵暗号文CDEMと関数演算結果Zを送信する（Ｓ２４２）。
　図１６に示すように、鍵更新用データ受信部２４３は、通信端末２３から鍵更新用関数演算結果Z'を受信する（Ｓ２４３）。新規データ取得部２４４は、関数gk1に基づいて関数演算結果Zと鍵更新用関数演算結果Z'を演算（gk1(Z,Z')）して新たな関数演算結果Z''を取得する（Ｓ２４４）。
　なお、ステップＳ１２３において関数hk1に基づいて更新後のセッション鍵K2と関数演算結果fk1(K,K2)を演算（hk1(fk1(K,K2),K2)）することで共通鍵Kを取得することができるため、更新後のセッション鍵K2を用いたメッセージmの復号が可能であることが確認された。また、サーバ装置２４で取り扱われているZ'やZ''によっても、更新後のセッション鍵K2を知ることは困難であるため、サーバ装置２４に対してセッション鍵を秘匿しながら更新することが可能であることが確認された。
　上述の実施例２では、送信機能を有する通信端末２１、受信機能を有する通信端末２２、鍵更新機能を有する通信端末２３を例示した。しかし本発明の通信端末は上記の例に限定されない。例えば、送信機能、受信機能、鍵更新機能のうちいずれか二つの機能を備える通信端末として実現してもよい。また図１４に示すように、送信機能、受信機能、鍵更新機能の全てを備える通信端末２０として実現してもよい。
［実施例２の実装例］
　以下に、実施例２の実装例を示す。
＜暗号化、メッセージ送信＞
通信端末２１は、(CDEM,Key)=(DEM.Enc(K,m1),K/K1)(または、(CDEM,Key)=(DEM.Enc(K,m1),K-K1))を計算する。通信端末２１はサーバ装置２４に(CDEM,Key)を送信する。
＜メッセージ受信、復号＞
　サーバ装置２４は通信端末２１から(CDEM,Key)を受信し、暗号文記憶部２４１Ａに保存する。なお、通信端末２１から送信されたメッセージ毎に(CDEM,Key)は保存する必要がある。サーバ装置２４は、通信端末２２に(CDEM,Key)を送信する。通信端末２２はサーバ装置２４から(CDEM,Key)を受信する。ここから通信端末２２はK=Temp・K1（またはK=Temp+K1）を得る。通信端末２２は、この共通鍵Kを用いてメッセージm1を復号（m1=DEM.Dec(K,CDEM)）する。　
＜セッション鍵更新＞
　通信端末２３はセッション鍵をK1からK2に更新するものとする。
　サーバ装置２４は事前に通信端末２１から(CDEM,Key)=(DEM.Enc(K,m1),K/K1)(または、(CDEM,Key)=(DEM.Enc(K,m1),K-K1))を得ているものとする。ここで、m1は通信端末２１がroomIDが指し示すメッセージルームにおいて鍵更新以前に送信したメッセージであり、Kはそのメッセージを送信する際に生成した共通鍵である。通信端末２３はセッション鍵記憶部１３１Ａから古いセッション鍵K1と新しいセッション鍵K2を取り出し、Key'=K1/K2(または、Key'=K1-K2)を計算する。通信端末２３はサーバ装置２４にKey'を送信する。サーバ装置２４は通信端末２３からKey'を受信し、さらに暗号文記憶部２４１ＡからKeyを取り出し、Key''=Key・Key'=K/K2（または、Key''=Key+Key'=K-K2）を計算し、暗号文記憶部２４１Ａに既に保存されているKeyをKey''に上書き保存する処理を実行する。
　上述の実施例２の通信システム２によれば、実施例１と同程度の安全性を確保しながら、公開鍵暗号アルゴリズムの実装を省略することができるため、実装のコストを低減することができる。
＜補記＞
　本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（CentralProcessingUnit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ－ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。
　ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。
　ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。
　本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
　既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。
　この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（DigitalVersatileDisc）、ＤＶＤ－ＲＡＭ（RandomAccessMemory）、ＣＤ－ＲＯＭ（CompactDiscReadOnlyMemory）、ＣＤ－Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Opticaldisc）等を、半導体メモリとしてＥＥＰ－ＲＯＭ（ElectronicallyErasableandProgrammable-ReadOnlyMemory）等を用いることができる。
　また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（ApplicationServiceProvider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
　また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (10)

  1. 　他の通信端末とセッション鍵を共有し、サーバ装置を介して前記他の通信端末に暗号文を送信する通信端末であって、
    　共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得する共通鍵暗号文取得部と、
    　所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得する関数演算結果取得部と、
    　前記関数演算結果を公開鍵に基づいて暗号化して公開鍵暗号文を取得する公開鍵暗号文取得部と、
    　前記共通鍵暗号文と前記公開鍵暗号文を前記サーバ装置に送信する暗号文送信部
    を含む通信端末。
  2. 　他の通信端末とセッション鍵を共有し、前記他の通信端末が取得した共通鍵暗号文と公開鍵暗号文をサーバ装置を介して受信する通信端末であって、
    　前記他の通信端末は、共通鍵に基づいてメッセージを暗号化して前記共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得し、前記関数演算結果を公開鍵に基づいて暗号化して前記公開鍵暗号文を取得し、前記共通鍵暗号文と前記公開鍵暗号文を前記サーバ装置に送信するものとし、
    　前記通信端末は、
    　前記サーバ装置から前記共通鍵暗号文と前記公開鍵暗号文を受信する暗号文受信部と、
    　受信した前記公開鍵暗号文を秘密鍵に基づいて復号して前記関数演算結果を取得する関数演算結果復号部と、
    　所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得する共通鍵取得部と、
    　受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するメッセージ復号部
    を含む通信端末。
  3. 　複数の通信端末で共有されるセッション鍵を更新する通信端末であって、
    　前記複数の通信端末のうちの何れかの通信端末が、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得し、前記関数演算結果を公開鍵に基づいて暗号化して公開鍵暗号文を取得し、前記共通鍵暗号文と前記公開鍵暗号文をサーバ装置に送信するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記サーバ装置から前記共通鍵暗号文と前記公開鍵暗号文を受信し、受信した前記公開鍵暗号文を秘密鍵に基づいて復号して前記関数演算結果を取得し、所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得し、受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するものとし、
    　前記セッション鍵を更新する通信端末は、
    　前記第１の関数に基づいて前記セッション鍵と更新済セッション鍵とを演算して鍵更新用関数演算結果を取得する鍵更新用関数演算結果取得部と、
    　前記鍵更新用関数演算結果を公開鍵に基づいて暗号化して鍵更新用公開鍵暗号文を取得する鍵更新用公開鍵暗号文取得部と、
    　前記鍵更新用公開鍵暗号文を前記サーバ装置に送信する鍵更新用データ送信部
    を含む通信端末。
  4. 　複数の通信端末で共有されるセッション鍵を更新するサーバ装置であって、
    　前記複数の通信端末のうちの何れかの通信端末が、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得し、前記関数演算結果を公開鍵に基づいて暗号化して公開鍵暗号文を取得し、前記共通鍵暗号文と前記公開鍵暗号文を前記サーバ装置に送信するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記サーバ装置から前記共通鍵暗号文と前記公開鍵暗号文を受信し、受信した前記公開鍵暗号文を秘密鍵に基づいて復号して前記関数演算結果を取得し、所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得し、受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記第１の関数に基づいて前記セッション鍵と更新済セッション鍵とを演算して鍵更新用関数演算結果を取得し、前記鍵更新用関数演算結果を公開鍵に基づいて暗号化して鍵更新用公開鍵暗号文を取得し、前記鍵更新用公開鍵暗号文を前記サーバ装置に送信するものとし、
    　前記サーバ装置は、
    　所定の第３の関数に基づいて前記公開鍵暗号文と前記鍵更新用公開鍵暗号文を演算して新たな公開鍵暗号文を取得する新規データ取得部
    を含むサーバ装置。
  5. 　他の通信端末とセッション鍵を共有し、サーバ装置を介して前記他の通信端末に暗号文と関数演算結果を送信する通信端末であって、
    　共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得する共通鍵暗号文取得部と、
    　所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して前記関数演算結果を取得する関数演算結果取得部と、
    　前記共通鍵暗号文と前記関数演算結果を前記サーバ装置に送信する暗号文送信部
    を含む通信端末。
  6. 　他の通信端末とセッション鍵を共有し、前記他の通信端末が取得した共通鍵暗号文と関数演算結果をサーバ装置を介して受信する通信端末であって、
    　前記他の通信端末は、共通鍵に基づいてメッセージを暗号化して前記共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して前記関数演算結果を取得し、前記共通鍵暗号文と前記関数演算結果を前記サーバ装置に送信するものとし、
    　前記通信端末は、
    　前記サーバ装置から前記共通鍵暗号文と前記関数演算結果を受信する暗号文受信部と、
    　所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得する共通鍵取得部と、
    　受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するメッセージ復号部
    を含む通信端末。
  7. 　複数の通信端末で共有されるセッション鍵を更新する通信端末であって、
    　前記複数の通信端末のうちの何れかの通信端末が、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得し、前記共通鍵暗号文と前記関数演算結果をサーバ装置に送信するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記サーバ装置から前記共通鍵暗号文と前記関数演算結果を受信し、所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得し、受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するものとし、
    　前記セッション鍵を更新する通信端末は、
    　前記第１の関数に基づいて前記セッション鍵と更新済セッション鍵とを演算して鍵更新用関数演算結果を取得する鍵更新用関数演算結果取得部と、
    　前記鍵更新用関数演算結果を前記サーバ装置に送信する鍵更新用データ送信部
    を含む通信端末。
  8. 　複数の通信端末で共有されるセッション鍵を更新するサーバ装置であって、
    　前記複数の通信端末のうちの何れかの通信端末が、共通鍵に基づいてメッセージを暗号化して共通鍵暗号文を取得し、所定の第１の関数に基づいて前記共通鍵と前記セッション鍵を演算して関数演算結果を取得し、前記共通鍵暗号文と前記関数演算結果を前記サーバ装置に送信するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記サーバ装置から前記共通鍵暗号文と前記関数演算結果を受信し、所定の第２の関数に基づいて前記セッション鍵と前記関数演算結果を演算して前記共通鍵を取得し、受信した前記共通鍵暗号文を取得した前記共通鍵に基づいて復号して前記メッセージを取得するものとし、
    　前記複数の通信端末のうちの何れかの通信端末が、前記第１の関数に基づいて前記セッション鍵と更新済セッション鍵とを演算して鍵更新用関数演算結果を取得し、前記鍵更新用関数演算結果を前記サーバ装置に送信するものとし、
    　前記サーバ装置は、
    　所定の第３の関数に基づいて前記関数演算結果と前記鍵更新用関数演算結果を演算して新たな関数演算結果を取得する新規データ取得部
    を含むサーバ装置。
  9. 　コンピュータを請求項１、２、３、５、６、７の何れかに記載の通信端末として機能させるプログラム。
  10. 　コンピュータを請求項４または８に記載のサーバ装置として機能させるプログラム。
PCT/JP2017/024752 2016-07-19 2017-07-06 通信端末、サーバ装置、プログラム WO2018016330A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201780040705.8A CN109417472B (zh) 2016-07-19 2017-07-06 通信终端、服务器装置、程序
EP17830850.8A EP3490189B1 (en) 2016-07-19 2017-07-06 Communication terminals, server devices, and programs
JP2018528480A JP6556955B2 (ja) 2016-07-19 2017-07-06 通信端末、サーバ装置、プログラム
EP21172365.5A EP3879750B1 (en) 2016-07-19 2017-07-06 Communication terminals and programs
US16/315,321 US11190499B2 (en) 2016-07-19 2017-07-06 Communication terminals, server devices, and programs

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2016141707 2016-07-19
JP2016-141707 2016-07-19

Publications (1)

Publication Number Publication Date
WO2018016330A1 true WO2018016330A1 (ja) 2018-01-25

Family

ID=60992203

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2017/024752 WO2018016330A1 (ja) 2016-07-19 2017-07-06 通信端末、サーバ装置、プログラム

Country Status (5)

Country Link
US (1) US11190499B2 (ja)
EP (2) EP3879750B1 (ja)
JP (1) JP6556955B2 (ja)
CN (1) CN109417472B (ja)
WO (1) WO2018016330A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020053772A (ja) * 2018-09-25 2020-04-02 日本電信電話株式会社 通信システム、サーバ装置、通信端末、通信方法、及びプログラム
CN112311746A (zh) * 2019-07-31 2021-02-02 华为技术有限公司 一种数据共享方法及相关设备
CN112889240A (zh) * 2018-10-24 2021-06-01 日本电信电话株式会社 服务器装置、通信终端、通信系统、以及程序
JP7353375B2 (ja) 2019-02-05 2023-09-29 クリプト，インコーポレイテッド エポック鍵交換を用いたエンドツーエンドの二重ラチェット暗号化

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6456451B1 (ja) * 2017-09-25 2019-01-23 エヌ・ティ・ティ・コミュニケーションズ株式会社 通信装置、通信方法、及びプログラム
CN113170291B (zh) * 2021-03-09 2023-07-11 华为技术有限公司 安全通信的方法和装置

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013101260A (ja) * 2011-11-09 2013-05-23 Toshiba Corp 再暗号化システム、再暗号化装置及びプログラム
JP2015184490A (ja) * 2014-03-24 2015-10-22 富士通株式会社 暗号化装置、暗号化方法、情報処理装置および暗号化システム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020146127A1 (en) * 2001-04-05 2002-10-10 Marcus Wong System and method for providing secure communications between wireless units using a common key
JP2003069547A (ja) 2001-08-29 2003-03-07 Fujitsu Ltd マルチキャスト通信システム
US7376972B2 (en) 2004-04-14 2008-05-20 Microsoft Corporation Session key exchange key
US8281136B2 (en) * 2005-10-21 2012-10-02 Novell, Inc. Techniques for key distribution for use in encrypted communications
GB2436910B (en) * 2006-04-03 2011-02-16 Identum Ltd Electronic Data Communication System
US20110194698A1 (en) * 2008-10-22 2011-08-11 Tomoyuki Asano Key Sharing System
JP5322620B2 (ja) * 2008-12-18 2013-10-23 株式会社東芝 情報処理装置、プログラム開発システム、プログラム検証方法及びプログラム
CN101594228B (zh) * 2009-07-02 2011-06-01 西安电子科技大学 证书公钥系统与身份公钥系统之间的认证加密方法
JP4802274B2 (ja) * 2009-10-30 2011-10-26 インターナショナル・ビジネス・マシーンズ・コーポレーション メッセージ送信および受信方法
US8769260B1 (en) * 2012-04-10 2014-07-01 Trend Micro Incorporated Messaging system with user-friendly encryption and decryption
WO2015008623A1 (ja) * 2013-07-18 2015-01-22 日本電信電話株式会社 鍵保管装置、鍵保管方法、及びそのプログラム
US9917692B2 (en) * 2014-05-26 2018-03-13 Nec Corporation Key exchange system, key exchange method, key exchange device, control method thereof, and recording medium for storing control program
US20170034138A1 (en) * 2015-07-29 2017-02-02 Ecole Polytechnique De Lausanne (Epfl) Method and apparatus for wireless validation

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013101260A (ja) * 2011-11-09 2013-05-23 Toshiba Corp 再暗号化システム、再暗号化装置及びプログラム
JP2015184490A (ja) * 2014-03-24 2015-10-22 富士通株式会社 暗号化装置、暗号化方法、情報処理装置および暗号化システム

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
"TopicRoom: group chat for business", NTT SOFTWARE, 6 July 2016 (2016-07-06), Retrieved from the Internet <URL:https.//www.ntts.co.jp/products/topicroom/index.html>
See also references of EP3490189A4
TETSUTARO KOBAYASHI; KAZUKI YONEYAMA; REO YOSHIDA; YUTO KAWAHARA; HITOSHI FUJI; TOMOHIDE YAMAMOTO: "Proceedings of SCIS2016 Symposium on Cryptography and Information Security", January 2016, INFORMATION AND COMMUNICATION ENGINEERS, article "Scalable and Dynamic Multi-Cast Key Distribution", pages: 4E2 - 3
WANG LIHUA ET AL.: "PRINCESS: Proxy Angoka Gijutsu o Katsuyo shita Secure na Storage System", 2014 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS2014, vol. 2C3-4, 24 January 2014 (2014-01-24), pages 1 - 6, XP009515881 *
YOSHINORI AONO ET AL.: "Security Updatable Jundogata Ango o Mochiita Hitoku Data no Senkei Kaiki Keisan", 2015 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY SCIS2015, 23 January 2015 (2015-01-23), XP009508857 *

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020053772A (ja) * 2018-09-25 2020-04-02 日本電信電話株式会社 通信システム、サーバ装置、通信端末、通信方法、及びプログラム
JP7097581B2 (ja) 2018-09-25 2022-07-08 日本電信電話株式会社 通信システム、サーバ装置、通信方法、及びプログラム
CN112889240A (zh) * 2018-10-24 2021-06-01 日本电信电话株式会社 服务器装置、通信终端、通信系统、以及程序
JPWO2020085151A1 (ja) * 2018-10-24 2021-09-09 日本電信電話株式会社 サーバ装置、通信端末、通信システム、及びプログラム
EP3836479A4 (en) * 2018-10-24 2022-05-04 Nippon Telegraph And Telephone Corporation SERVER DEVICE, COMMUNICATION TERMINAL, COMMUNICATION SYSTEM AND PROGRAM
JP7212697B2 (ja) 2018-10-24 2023-01-25 日本電信電話株式会社 通信端末、通信システム、及びプログラム
US11902421B2 (en) 2018-10-24 2024-02-13 Nippon Telegraph And Telephone Corporation Server device, communication terminal, communication system, and program
JP7353375B2 (ja) 2019-02-05 2023-09-29 クリプト，インコーポレイテッド エポック鍵交換を用いたエンドツーエンドの二重ラチェット暗号化
CN112311746A (zh) * 2019-07-31 2021-02-02 华为技术有限公司 一种数据共享方法及相关设备

Also Published As

Publication number Publication date
EP3490189A1 (en) 2019-05-29
EP3490189A4 (en) 2020-11-25
JP6556955B2 (ja) 2019-08-07
EP3879750B1 (en) 2022-09-07
EP3879750A1 (en) 2021-09-15
CN109417472A (zh) 2019-03-01
US11190499B2 (en) 2021-11-30
EP3490189B1 (en) 2022-04-06
JPWO2018016330A1 (ja) 2019-04-18
US20190238523A1 (en) 2019-08-01
CN109417472B (zh) 2022-07-29

Similar Documents

Publication Publication Date Title
JP7011646B2 (ja) 量子通信及びトラステッドコンピューティングに基づくデータセキュリティのための方法及びシステム
JP6556955B2 (ja) 通信端末、サーバ装置、プログラム
US10785019B2 (en) Data transmission method and apparatus
JP6019453B2 (ja) 暗号化装置、復号化装置、及びプログラム
JP6363032B2 (ja) 鍵付替え方向制御システムおよび鍵付替え方向制御方法
JP6194886B2 (ja) 暗号化統計処理システム、復号システム、鍵生成装置、プロキシ装置、暗号化統計データ生成装置、暗号化統計処理方法、および、暗号化統計処理プログラム
JP6770075B2 (ja) 暗号化メッセージ検索方法、メッセージ送受信システム、端末、プログラム
TW202232913A (zh) 共享金鑰產生技術
Olumide et al. A hybrid encryption model for secure cloud computing
JP2019102970A (ja) データ共有サーバ装置、鍵生成サーバ装置、通信端末、プログラム
CN108599941A (zh) 随机非对称扩充字节通信数据加密方法
JP6840685B2 (ja) データ共有方法、データ共有システム、通信端末、データ共有サーバ、プログラム
JP2019125956A (ja) 鍵交換方法、鍵交換システム、鍵交換サーバ装置、通信装置、プログラム
US11177949B2 (en) Data sharing method, data sharing system, data sharing server, communication terminal and program
JP7097581B2 (ja) 通信システム、サーバ装置、通信方法、及びプログラム
CN111480313B (zh) 通信终端、服务器装置、记录介质
Ghanbarafjeh et al. Developing a secure architecture for internet of medical things using attribute-based encryption
JP7254296B2 (ja) 鍵交換システム、情報処理装置、鍵交換方法及びプログラム
Singh et al. Security of Data with 3DES & Watermarking Algorithm
Bakhtiari et al. Lightweight symmetric encryption algorithm in big data
Chavan et al. Secure Data Storage in Cloud Service using RC5 Algorithm

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17830850

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018528480

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2017830850

Country of ref document: EP

Effective date: 20190219