WO2020240741A1 - 鍵交換システム、通信装置、鍵交換方法及びプログラム - Google Patents

鍵交換システム、通信装置、鍵交換方法及びプログラム Download PDF

Info

Publication number
WO2020240741A1
WO2020240741A1 PCT/JP2019/021377 JP2019021377W WO2020240741A1 WO 2020240741 A1 WO2020240741 A1 WO 2020240741A1 JP 2019021377 W JP2019021377 W JP 2019021377W WO 2020240741 A1 WO2020240741 A1 WO 2020240741A1
Authority
WO
WIPO (PCT)
Prior art keywords
key
communication device
short
term
communication
Prior art date
Application number
PCT/JP2019/021377
Other languages
English (en)
French (fr)
Inventor
潤一 富田
星野　文学
彰 永井
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2021521662A priority Critical patent/JP7298686B2/ja
Priority to US17/607,776 priority patent/US11909867B2/en
Priority to PCT/JP2019/021377 priority patent/WO2020240741A1/ja
Publication of WO2020240741A1 publication Critical patent/WO2020240741A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing

Definitions

  • the present invention relates to a key exchange system, a communication device, a key exchange method and a program.
  • IoT Internet of Things
  • the key exchange protocol with authentication is a protocol that generates a common key (shared key) when authentication is successful and enables encrypted communication with the shared key.
  • an authenticated key exchange protocol using ID-based cryptography is known.
  • a model called the id-eCK model is known as a security model that an authenticated key exchange protocol using ID-based cryptography should satisfy, and it is known that it is a model that requires extremely strong security.
  • an authenticated key exchange protocol using ID-based cryptography is generally realized by using a bilinear group in an elliptic curve on a finite field.
  • a bilinear group is also called a pairing group, and can be classified into a symmetric pairing group and an asymmetric pairing group.
  • an asymmetric pairing group is often used from the viewpoint of efficiency and security.
  • FSU Flujioka-Suzuki-Ustaoglu
  • ISO / IEC International Organization for Standardization / International Electrotechnical Commission
  • pairing operation it is necessary to perform a group operation called a pairing operation four times. Since the calculation cost of pairing calculation is generally high, when a device having limited calculation resources such as an IoT device performs key exchange by FSU, it may take time for key exchange.
  • An embodiment of the present invention has been made in view of the above points, and an object of the present invention is to reduce the calculation cost of an authenticated key exchange protocol using ID-based cryptography.
  • the key exchange system generates a shared key for performing encrypted communication between a plurality of communication devices by an authenticated key exchange protocol using ID-based cryptography.
  • each of the plurality of communication devices uses the secret key of the communication device to generate a short-term secret key, and the ID using the short-term secret key.
  • the other communication device can be contacted with the short-term private key. It is characterized by having a third generation means for generating a shared key for performing encrypted communication.
  • FIG. 1 is a diagram showing an example of the overall configuration of the key exchange system 1 according to the embodiment of the present invention.
  • the key exchange system 1 includes a key issuing device 10 and a plurality of communication devices 20. Further, the key issuing device 10 and each communication device 20 are communicably connected via a communication network N such as the Internet.
  • the key issuing device 10 is a computer or computer system that functions as a KGC (Key Generation Center).
  • KGC Key Generation Center
  • the key issuing device 10 generates a master public key in advance using the master private key, and then publishes the master public key. Further, when the key issuing device 10 receives the identifier of the communication device 20, the key issuing device 10 generates a user secret key from this identifier and then distributes the user secret key to the communication device 20 corresponding to the identifier.
  • any identifier can be used as the identifier of the communication device 20.
  • a manufacturing unique number, an IP (Internet Protocol) address, a physical address, or the like of the communication device 20 can be used as an identifier.
  • IP Internet Protocol
  • the user ID of the user of the communication device 20 the name of the user of the communication device 20, the e-mail address of the user of the communication device 20, and the like can be used as identifiers.
  • the communication device 20 is, for example, various IoT devices such as various sensor devices, embedded devices, wearable devices, digital home appliances, surveillance cameras, lighting devices, medical devices, and industrial devices.
  • the communication device 20 uses the user private key distributed from the key issuing device 10 to authenticate with another communication device 20 by an authenticated key exchange protocol using ID-based cryptography (that is, confirmation of validity). To exchange (generate) the key (shared key) for encrypted communication.
  • ID-based cryptography that is, confirmation of validity
  • the IoT device is assumed as the communication device 20, and the calculation resources of the communication device 20 are limited (that is, for example, a computer having a general processor processing performance and memory capacity). It is scarce compared to).
  • the present invention is not limited to this, and the embodiment of the present invention may be similarly applied even when the communication device 20 is a communication device 20 other than an IoT device (for example, a PC (personal computer), a server device, a smartphone, a tablet terminal, etc.). It is possible.
  • the configuration of the key exchange system 1 shown in FIG. 1 is an example, and may be another configuration.
  • the key exchange system 1 may include a terminal that transmits an identifier of each communication device 20 to the key issuing device 10.
  • FIG. 2 is a diagram showing an example of the hardware configuration of the key issuing device 10 according to the embodiment of the present invention.
  • the key issuing device 10 includes an input device 11, a display device 12, a RAM (RandomAccessMemory) 13, a ROM (ReadOnlyMemory) 14, and a processor 15.
  • Each of these hardware is communicably connected via the bus 19.
  • the input device 11 is, for example, a keyboard, a mouse, a touch panel, or the like, and is used for the user to input various operations.
  • the display device 12 is, for example, a display or the like, and is used to display various processing results or the like to the user.
  • the key issuing device 10 does not have to have at least one of the input device 11 and the display device 12.
  • RAM 13 is a volatile semiconductor memory that temporarily holds programs and data.
  • the ROM 14 is a non-volatile semiconductor memory capable of holding programs and data even when the power is turned off.
  • the processor 15 is, for example, a CPU (Central Processing Unit) or the like, and is an arithmetic unit that reads a program or data from a ROM 14 or an auxiliary storage device 18 or the like onto a RAM 13 and executes processing.
  • CPU Central Processing Unit
  • the external I / F16 is an interface with an external device.
  • the external device includes a recording medium 16a and the like.
  • Examples of the recording medium 16a include a CD (Compact Disc), a DVD (Digital Versatile Disk), an SD memory card (Secure Digital memory card), a USB (Universal Serial Bus) memory card, and the like.
  • the recording medium 16a may record one or more programs or the like that realize each function of the key issuing device 10.
  • the communication I / F 17 is an interface for connecting the key issuing device 10 to the communication network N.
  • the key issuing device 10 can perform data communication with the communication device 20 via the communication I / F17.
  • the auxiliary storage device 18 is a non-volatile storage device such as an HDD (Hard Disk Drive) or an SSD (Solid State Drive).
  • the auxiliary storage device 18 stores one or more programs or the like that realize each function of the key issuing device 10.
  • the key issuing device 10 can realize the key issuing process and the like described later.
  • FIG. 2 shows a case where the key issuing device 10 according to the embodiment of the present invention is realized by one device (computer), but the present invention is not limited to this.
  • the key issuing device 10 according to the embodiment of the present invention may be realized by a plurality of devices (computers). Further, one device (computer) may include a plurality of processors 15 and a plurality of memories (for example, RAM 13, ROM 14, auxiliary storage device 18, etc.).
  • FIG. 3 is a diagram showing an example of the hardware configuration of the communication device 20 according to the embodiment of the present invention.
  • the communication device 20 includes a processor 21, a memory device 22, and a communication I / F 23. Each of these hardware is connected so as to be able to communicate with each other via the bus 24.
  • the processor 21 is, for example, an MPU (Micro Processing Unit), a CPU, or the like, and is an arithmetic unit that reads a program or data from the memory device 22 and executes processing.
  • MPU Micro Processing Unit
  • CPU Central Processing Unit
  • the memory device 22 is, for example, a RAM, a ROM, a flash memory, or the like, and stores various data, programs, and the like.
  • the memory device 22 stores one or more programs or the like that realize each function of the communication device 20 according to the embodiment of the present invention.
  • the communication I / F 23 is an interface for connecting the communication device 20 to the communication network N.
  • the communication device 20 can perform data communication with another communication device 20, the key issuing device 10, and the like via the communication I / F23.
  • the communication device 20 according to the embodiment of the present invention has the hardware configuration shown in FIG. 3, so that the key exchange process described later can be realized.
  • FIG. 4 is a diagram showing an example of the functional configuration of the key exchange system 1 according to the embodiment of the present invention.
  • the key issuing device 10 As shown in FIG. 4, the key issuing device 10 according to the embodiment of the present invention has a communication unit 101 and a key issuing processing unit 102. Each of these parts is realized by a process of causing the processor 15 to execute one or more programs installed in the key issuing device 10.
  • the key issuing device 10 has a storage unit 103.
  • the storage unit 103 can be realized by using, for example, an auxiliary storage device 18.
  • the storage unit 103 may be realized by using a storage device or the like connected to the key issuing device 10 via the communication network N.
  • the communication unit 101 performs various communications with the communication device 20 and the like.
  • the key issuance processing unit 102 receives the identifier of the communication device 20
  • the key issuance processing unit 102 generates a user secret key from this identifier, and then distributes the user secret key to the communication device 20 corresponding to the identifier.
  • the storage unit 103 stores various data (for example, a master public key, a master private key, etc.).
  • the communication device 20 has a communication unit 201 and a key exchange processing unit 202.
  • the communication unit 201 performs various communications with another communication device 20, the key issuing device 10, and the like.
  • the key exchange processing unit 202 uses the user private key distributed from the key issuing device 10 to authenticate with another communication device 20 by an authenticated key exchange protocol using ID-based cryptography to obtain a shared key. Exchange.
  • the storage unit 203 stores various data (for example, a user private key, etc.).
  • ID A identifier ID B of the communication device 20A: identifier D
  • a communication device 20B user private key D B of the communication device 20A: user private key k communication device 20B: Security parameters p, q: prime satisfying p ⁇ q G 1: as E 1 an elliptic curve over a finite field F p, the group E on the elliptic curve E 1 (F p) of the subgroup G 2: the elliptic curve over k-th extension field of a finite field F p E 2 as a group on an elliptic curve E 2
  • FIG. 5 is a flowchart showing an example of the key issuance process according to the embodiment of the present invention. In the following, as an example, a case will be described in which to issue the user's private key D A and user private key D B.
  • the key issue processing unit 102 receives the identifier ID A of the communication device 20A and the identifier ID B of the communication device 20B (step S101).
  • the identifier of the communication device 20 may be transmitted from, for example, the communication device 20, a terminal or the like connected to the key issuing device 10 via the communication network N, or the key issuing device 10 may transmit the identifier. It may be input from the input device 11 that has.
  • the key issue processing unit 102 generates a user private key D A and user private key D B below (step S102).
  • Q A and Q B may be generated by the communication device 20, it may be generated by the key issuing device 10. That is, for example, in generating the user's private key D A, and generates a Q A may be published to the key issuing device 10 in the communication device 20, the key issuing device 10 may generate a Q A .. Similarly, for example, in generating the user's private key D B, also may be exposed to the key issuing device 10 in the communication device 20 generates a Q B, and generate a Q B in the key issuing device 10 Good.
  • each communication device 20A and the communication device 20B Although it is convenient to generate the Q A and Q B on each communication device 20A and the communication device 20B, for example, have limited computational resources of the communication device 20, a number of computational resources to calculate of an H 1 it is preferred to generate the Q a and Q B in the key issuing device 10 in such a case is required.
  • the key issue processing unit 102 is configured to distribute the user's private key D A to the communication device 20A, to distribute user private key D B to the communication device 20B (step S103).
  • the key issuance processing unit 102 may distribute the user private key by any method.
  • the key issuing processing unit 102 distributes the user private key by transmitting the corresponding user private key to the communication device 20 by the communication unit 101 in response to the distribution request of the user private key from the communication device 20. Just do it.
  • the user private key may be recorded on a recording medium or the like and then distributed to the communication device 20.
  • each communication device 20 can obtain a user private key used when exchanging (generating) a shared key with another communication device 20.
  • FIG. 6 is a sequence diagram showing an example of the key exchange process according to the embodiment of the present invention.
  • a shared key is exchanged (generated) between the communication device 20A and the communication device 20B will be described.
  • the key exchange processing unit 202 of the communication device 20A randomly selects r A ⁇ Z q , and then a short-term secret key.
  • the short-term private key x A and the short-term public key X A are stored in the storage unit 203 of the communication device 20A.
  • the key exchange processing unit 202 of the communication device 20B randomly selects r B ⁇ Z q and then a short-term secret key.
  • the short-term private key x B and the short-term public key X B are stored in the storage unit 203 of the communication device 20B.
  • the communication unit 201 of the communication device 20A transmits the identifier ID A and short public key X A to the communication device 20B (step S203). Similarly, the communication unit 201 of the communication device 20B transmits the identifier ID B and the short-term public key X B to the communication device 20B (step S204). As a result, the identifier and the short-term public key are exchanged between the communication devices 20.
  • the key exchange processing unit 202 of the communication device 20A deletes the short-term secret key x A generated in step S201 from the storage unit 203 (step S205). Similarly, the key exchange processing unit 202 of the communication device 20B deletes the short-term secret key x B generated in step S202 from the storage unit 203 (step S206).
  • the short-term secret key x A and the short-term secret key x B are deleted in steps S205 and S206, respectively, but this is until the identifier and the short-term public key are received from the other communication device 20. This is to prevent the short-term private key from being leaked. That is, for example, after the communication device 20A transmits an identifier ID A and short public key X A to the communication apparatus 20B, until the communication device 20A receiving the identifier ID B and short public key X B from the communication device 20B May take some time.
  • the communication device 20A transmits the identifier ID A and the short-term public key X A to the communication device 20B, and then sends the short-term secret key x A. It has been deleted. The same applies to the reason why the short-term private key x B is deleted.
  • the key exchange processing unit 202 of the communication device 20A is used as a short-term private key.
  • the short-term secret key x A is stored in the storage unit 203 of the communication device 20A.
  • the key exchange processing unit 202 of the communication device 20B is a short-term private key.
  • the short-term secret key x B is stored in the storage unit 203 of the communication device 20B.
  • the key exchange processing unit 202 of the communication device 20A calculates the shared value ⁇ 1 , the shared value ⁇ 2, and the shared value ⁇ 3 as follows (step S209).
  • ⁇ 1 e (X B, D A)
  • ⁇ 2 e (x A Z , Q B)
  • ⁇ 3 x A X B
  • the key exchange processing unit 202 of the communication device 20B calculates the shared value ⁇ 1 , the shared value ⁇ 2, and the shared value ⁇ 3 as follows (step S210).
  • the key exchange processing unit 202 of the communication device 20A calculates the side according to the following (step S211).
  • side means a session ID.
  • the key exchange processing unit 202 of the communication device 20B calculates the side according to the following (step S212).
  • the sid must be the same between the communication device 20A and the communication device 20B. Therefore, for example, the sender (sender) when performing encrypted communication is ID A.
  • the side may be the same by arranging in advance that the receiver is ID B , etc., or ID A , ID B , X A, and X B are sorted in alphabetical order and then concatenated. By doing so, the sid may be the same.
  • the master public key Z may be added, or a protocol name, an algorithm name, or the like may be added.
  • the key exchange processing unit 202 of the communication device 20A generates the shared key K by the following (step S213).
  • the shared key K is stored in the storage unit 203 of the communication device 20A.
  • the key exchange processing unit 202 of the communication device 20B generates the shared key K by the following (step S214).
  • the shared key K is stored in the storage unit 203 of the communication device 20B.
  • the shared key K is shared between the communication device 20A and the communication device 20B. Therefore, using this shared key K, encrypted communication can be performed between the communication device 20A and the communication device 20B.
  • the protocol is designed so that the technology of the NAXOS protocol, which is secure in the eCK model in the normal key exchange with authentication, can be applied to the key exchange protocol with authentication using ID-based cryptography.
  • the eCK model is a security model in a normal key exchange with authentication, and is the model that is the basis of the id-eCK model.
  • G 1 and G 2 are asymmetric pairing groups, which The problem is whether to apply the NAXOS technology in this way.
  • G 1 is used for the calculation on the temporary key (that is, the short-term private key and the short-term public key)
  • G 2 is used as the element of the user private key for security (that is, for security That is, the safety that satisfies the id-eCK model) is achieved.
  • the NAXOS protocol uses a technology that takes a user private key and a short-term private key as inputs, calculates a hash function value, and creates a short-term public key from it, which is more secure than the CK model. It is a key exchange protocol.
  • a key exchange protocol For more information on the NAXOS protocol, see, for example, reference "B. LaMacchia, K. Lauter, and A. Mityagin," Stronger security of authenticated key exchange, "in Provable Security, ser. LNCS, vol. 4784. Springer, 2007.” Please refer to section 4 etc. of.
  • the shared key K can be exchanged only by performing the pairing operation twice in each communication device 20.
  • each communication device 20 can exchange keys in about half the time as compared with the prior art. Therefore, according to the embodiment of the present invention, it is possible to execute an authenticated key exchange protocol using ID-based cryptography at high speed even in, for example, an IoT device having limited computing resources.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

鍵交換システムは、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換システムであって、前記複数の通信装置の各々は、前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、前記短期秘密鍵を用いて、前記ＩＤベース暗号に用いられる非対称ペアリング群Ｇ１及びＧ２のうちの一方のペアリング群Ｇ１上で、前記通信装置の短期公開鍵を生成する第２の生成手段と、前記非対称ペアリング群Ｇ１及びＧ２のうちの他方のペアリング群Ｇ２上で生成された前記通信装置の秘密鍵と他の通信装置で生成された短期公開鍵とを用いた第１のペアリング演算と、前記通信装置の短期秘密鍵と前記他の通信装置の秘密鍵を生成する際に用いられた公開情報とを用いた第２のペアリング演算とを行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第３の生成手段と、を有することを特徴とする。

Description

鍵交換システム、通信装置、鍵交換方法及びプログラム
　本発明は、鍵交換システム、通信装置、鍵交換方法及びプログラムに関する。
　近年、ＩｏＴ（Internet of Things）機器が普及したことに伴って、ＩｏＴ機器でも重要性の高い通信が行われるようになってきた。このため、通信時に互いが正しい機器であるかを確認するための認証技術がＩｏＴ機器でも重要になってきている。
　ＩｏＴ機器向けの認証技術としてはパスワードや電子証明書等が従来から知られているが、近年では、より安全性が高い認証付き鍵交換プロトコルの導入が求められている。認証付き鍵交換プロトコルとは、認証が成功した際に互いに共通した鍵（共有鍵）を生成し、その共有鍵で暗号化通信が可能となるプロトコルである。このような認証付き鍵交換プロトコルの１つとして、ＩＤベース暗号を用いた認証付き鍵交換プロトコルが知られている。
　ＩＤベース暗号を用いた認証付き鍵交換プロトコルが満たすべき安全性のモデルとしてｉｄ－ｅＣＫモデルと呼ばれるモデルが知られており、非常に強い安全性を要求するモデルであることが知られている。
　また、ＩＤベース暗号を用いた認証付き鍵交換プロトコルは、一般に、有限体上の楕円曲線における双線形群を用いて実現される。このような双線形群はペアリング群とも呼ばれ、対称ペアリング群と非対称ペアリング群とに分類することができる。現在、ペアリング群を暗号で用いる場合には、効率性や安全性の観点から非対称ペアリング群が用いられることが多い。非対称ペアリング群上で実現されるＩＤベース暗号を用いた認証付き鍵交換プロトコルとして、ＩＳＯ／ＩＥＣ（International Organization for Standardization / International Electrotechnical Commission）でも標準化されているＦＳＵ（Fujioka-Suzuki-Ustaoglu）が知られている（非特許文献１参照）。
Fujioka, Hoshino, Kobayashi, Suzuki, Ustaoglu, Yoneyama, "id-eCK Secure ID-Based Authenticated Key Exchange on Symmetric and Asymmetric Pairing", IEICE TRANSACTIONS on Fundamentals of Electronics, Communications and Computer Sciences Vol.E96-A No.6 pp.1139-1155, 2013.
　しかしながら、ＦＳＵでは、ペアリング演算と呼ばれる群演算を４回行う必要がある。ペアリング演算は一般に計算コストが高いため、ＩｏＴ機器等の計算リソースが限られた機器がＦＳＵによって鍵交換を行う場合、鍵交換に時間を要することがあった。
　本発明の実施の形態は、上記の点に鑑みてなされたもので、ＩＤベース暗号を用いた認証付き鍵交換プロトコルの計算コストを削減することを目的とする。
　上記目的を達成するため、本発明の実施の形態における鍵交換システムは、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換システムであって、前記複数の通信装置の各々は、前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、前記短期秘密鍵を用いて、前記ＩＤベース暗号に用いられる非対称ペアリング群Ｇ１及びＧ２のうちの一方のペアリング群Ｇ１上で、前記通信装置の短期公開鍵を生成する第２の生成手段と、前記非対称ペアリング群Ｇ１及びＧ２のうちの他方のペアリング群Ｇ２上で生成された前記通信装置の秘密鍵と他の通信装置で生成された短期公開鍵とを用いた第１のペアリング演算と、前記通信装置の短期秘密鍵と前記他の通信装置の秘密鍵を生成する際に用いられた公開情報とを用いた第２のペアリング演算とを行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第３の生成手段と、を有することを特徴とする。
　ＩＤベース暗号を用いた認証付き鍵交換プロトコルの計算コストを削減することができる。
本発明の実施の形態における鍵交換システムの全体構成の一例を示す図である。 本発明の実施の形態における鍵発行装置のハードウェア構成の一例を示す図である。 本発明の実施の形態における通信装置のハードウェア構成の一例を示す図である。 本発明の実施の形態における鍵交換システムの機能構成の一例を示す図である。 本発明の実施の形態における鍵発行処理の一例を示すフローチャートである。 本発明の実施の形態における鍵交換処理の一例を示すシーケンス図である。
　以下、本発明の実施の形態について説明する。本発明の実施の形態では、ペアリング演算の回数を減らすことで、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにおける計算コストを削減した鍵交換システム１について説明する。
　＜全体構成＞
　まず、本発明の実施の形態における鍵交換システム１の全体構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における鍵交換システム１の全体構成の一例を示す図である。
　図１に示すように、本発明の実施の形態における鍵交換システム１には、鍵発行装置１０と、複数の通信装置２０とが含まれる。また、鍵発行装置１０と、各通信装置２０とは、例えばインターネット等の通信ネットワークＮを介して通信可能に接続されている。
　鍵発行装置１０は、ＫＧＣ（Key Generation Center）として機能するコンピュータ又はコンピュータシステムである。鍵発行装置１０は、マスター秘密鍵を用いてマスター公開鍵を予め生成した上で、当該マスター公開鍵を公開する。また、鍵発行装置１０は、通信装置２０の識別子を受け付けた場合に、この識別子からユーザ秘密鍵を生成した上で、当該識別子に対応する通信装置２０に当該ユーザ秘密鍵を配布する。
　なお、通信装置２０の識別子としては、任意の識別子を用いることが可能である。例えば、通信装置２０の製造固有番号やＩＰ（Internet Protocol）アドレス、物理アドレス等を識別子として用いることが可能である。これら以外にも、例えば、通信装置２０のユーザのユーザＩＤ、通信装置２０のユーザの氏名、通信装置２０のユーザのメールアドレス等を識別子として用いることも可能である。
　通信装置２０は、例えば、各種センサデバイス、組み込み機器、ウェアラブルデバイス、デジタル家電、監視カメラ、照明機器、医療機器、産業用機器等の種々のＩｏＴ機器である。通信装置２０は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、他の通信装置２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証（つまり、正当性の確認）を行って、暗号化通信のための鍵（共有鍵）を交換（生成）する。以降では、複数の通信装置２０の各々を区別して表す場合は、「通信装置２０Ａ」、「通信装置２０Ｂ」等と表す。
　なお、本発明の実施の形態では、通信装置２０としてＩｏＴ機器を想定し、通信装置２０の計算リソースが限られている（すなわち、例えば、プロセッサの処理性能やメモリの容量が一般的なコンピュータ等と比較して乏しい）ものとする。ただし、これに限られず、通信装置２０がＩｏＴ機器以外（例えば、ＰＣ（パーソナルコンピュータ）やサーバ装置、スマートフォン、タブレット端末等）であっても、本発明の実施の形態を同様に適用することが可能である。
　また、図１に示す鍵交換システム１の構成は一例であって、他の構成であってもよい。例えば、鍵発行装置１０に対して各通信装置２０の識別子を送信する端末が鍵交換システム１に含まれていてもよい。
　＜ハードウェア構成＞
　次に、本発明の実施の形態における鍵発行装置１０及び通信装置２０のハードウェア構成について説明する。
　　≪鍵発行装置１０≫
　以降では、本発明の実施の形態における鍵発行装置１０のハードウェア構成について、図２を参照しながら説明する。図２は、本発明の実施の形態における鍵発行装置１０のハードウェア構成の一例を示す図である。
　図２に示すように、本発明の実施の形態における鍵発行装置１０は、入力装置１１と、表示装置１２と、ＲＡＭ（Random Access Memory）１３と、ＲＯＭ（Read Only Memory）１４と、プロセッサ１５と、外部Ｉ／Ｆ１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。
　入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、ユーザに対して各種処理結果等を表示するのに用いられる。なお、鍵発行装置１０は、入力装置１１及び表示装置１２のうちの少なくとも一方を有していなくてもよい。
　ＲＡＭ１３は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１４は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。プロセッサ１５は、例えばＣＰＵ（Central Processing Unit）等であり、ＲＯＭ１４や補助記憶装置１８等からプログラムやデータをＲＡＭ１３上に読み出して処理を実行する演算装置である。
　外部Ｉ／Ｆ１６は、外部装置とのインタフェースである。外部装置には、記録媒体１６ａ等がある。記録媒体１６ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。なお、記録媒体１６ａには、鍵発行装置１０が有する各機能を実現する１以上のプログラム等が記録されていてもよい。
　通信Ｉ／Ｆ１７は、鍵発行装置１０を通信ネットワークＮに接続するためのインタフェースである。鍵発行装置１０は、通信Ｉ／Ｆ１７を介して、通信装置２０との間でデータ通信を行うことができる。
　補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置１８には、鍵発行装置１０が有する各機能を実現する１以上のプログラム等が記憶されている。
　本発明の実施の形態における鍵発行装置１０は、図２に示すハードウェア構成を有することにより、後述する鍵発行処理等を実現することができる。なお、図２では、本発明の実施の形態における鍵発行装置１０が１台の装置（コンピュータ）で実現されている場合を示したが、これに限られない。本発明の実施の形態における鍵発行装置１０は、複数台の装置（コンピュータ）で実現されていてもよい。また、１台の装置（コンピュータ）には、複数のプロセッサ１５や複数のメモリ（例えば、ＲＡＭ１３やＲＯＭ１４、補助記憶装置１８等）が含まれていてもよい。
　　≪通信装置２０≫
　以降では、本発明の実施の形態における通信装置２０のハードウェア構成について、図３を参照しながら説明する。図３は、本発明の実施の形態における通信装置２０のハードウェア構成の一例を示す図である。
　図３に示すように、本発明の実施の形態における通信装置２０は、プロセッサ２１と、メモリ装置２２と、通信Ｉ／Ｆ２３とを有する。これら各ハードウェアは、それぞれがバス２４を介して通信可能に接続されている。
　プロセッサ２１は、例えばＭＰＵ（Micro Processing Unit）やＣＰＵ等であり、メモリ装置２２からプログラムやデータを読み出して処理を実行する演算装置である。
　メモリ装置２２は、例えばＲＡＭやＲＯＭ、フラッシュメモリ等であり、各種データやプログラム等を記憶する。メモリ装置２２には、本発明の実施の形態における通信装置２０が有する各機能を実現する１以上のプログラム等が記憶されている。
　通信Ｉ／Ｆ２３は、通信装置２０を通信ネットワークＮに接続するためのインタフェースである。通信装置２０は、通信Ｉ／Ｆ２３を介して、他の通信装置２０や鍵発行装置１０等との間でデータ通信を行うことができる。
　本発明の実施の形態における通信装置２０は、図３に示すハードウェア構成を有することにより、後述する鍵交換処理を実現することができる。
　＜機能構成＞
　次に、本発明の実施の形態における鍵交換システム１の機能構成について、図４を参照しながら説明する。図４は、本発明の実施の形態における鍵交換システム１の機能構成の一例を示す図である。
　　≪鍵発行装置１０≫
　図４に示すように、本発明の実施の形態における鍵発行装置１０は、通信部１０１と、鍵発行処理部１０２とを有する。これら各部は、鍵発行装置１０にインストールされた１以上のプログラムがプロセッサ１５に実行させる処理により実現される。
　また、本発明の実施の形態における鍵発行装置１０は、記憶部１０３を有する。記憶部１０３は、例えば補助記憶装置１８等を用いて実現可能である。なお、記憶部１０３は、鍵発行装置１０と通信ネットワークＮを介して接続される記憶装置等を用いて実現されていてもよい。
　通信部１０１は、通信装置２０等との間で各種通信を行う。鍵発行処理部１０２は、通信装置２０の識別子を受け付けた場合に、この識別子からユーザ秘密鍵を生成した上で、当該識別子に対応する通信装置２０に当該ユーザ秘密鍵を配布する。記憶部１０３は、各種データ（例えば、マスター公開鍵やマスター秘密鍵等）を記憶する。
　　≪通信装置２０≫
　図４に示すように、本発明の実施の形態における通信装置２０は、通信部２０１と、鍵交換処理部２０２とを有する。
　通信部２０１は、他の通信装置２０や鍵発行装置１０等との間で各種通信を行う。鍵交換処理部２０２は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、他の通信装置２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換する。記憶部２０３は、各種データ（例えば、ユーザ秘密鍵等）を記憶する。
　＜鍵交換システム１の処理の詳細＞
　次に、本発明の実施の形態における鍵交換システム１の処理の詳細について説明する。
　　≪記号の定義≫
　まず、以降で用いる記号を次のように定義する。
　ＩＤＡ：通信装置２０Ａの識別子
　ＩＤＢ：通信装置２０Ｂの識別子
　ＤＡ：通信装置２０Ａのユーザ秘密鍵
　ＤＢ：通信装置２０Ｂのユーザ秘密鍵
　ｋ：セキュリティパラメータ
　ｐ，ｑ：ｐ≠ｑを満たす素数
　Ｇ１：有限体Ｆｐ上の楕円曲線をＥ１として、楕円曲線Ｅ１上の群Ｅ（Ｆｐ）の部分群
　Ｇ２：有限体Ｆｐのｋ次拡大体上の楕円曲線をＥ２として、楕円曲線Ｅ２上の群
Figure JPOXMLDOC01-appb-M000001
 の部分群
　ｇ１：Ｇ１の生成元
　ｇ２：Ｇ２の生成元
　Ｚｑ：ｑを法とする剰余類
　ｚ∈Ｚｑ：マスター秘密鍵
　Ｚ＝ｚｇ１：マスター公開鍵
　Ｈ１：文字列（例えばオクテット列）からＧ２上の元を生成する関数
　Ｈ２：文字列からＺｑ上の元を生成する関数
　Ｈ：鍵導出関数
　ｅ：Ｇ１×Ｇ２上で定義されたペアリング演算
　ここで、上記で定義した各記号のうち、マスター秘密鍵ｚ、ユーザ秘密鍵ＤＡ及びＤＢ以外は公開情報であるものとする。なお、Ｇ１とＧ２とは逆であってもよい。また、群の元やＺｑ上の元を関数に入力する場合には、当該元を表す文字列を関数に入力するものとする。
　　≪鍵発行処理≫
　まず、ユーザ秘密鍵を生成するための鍵発行処理について、図５を参照しながら説明する。図５は、本発明の実施の形態における鍵発行処理の一例を示すフローチャートである。以降では、一例として、ユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを発行する場合について説明する。
　鍵発行処理部１０２は、通信装置２０Ａの識別子ＩＤＡと通信装置２０Ｂの識別子ＩＤＢとを受け付ける（ステップＳ１０１）。通信装置２０の識別子は、例えば、当該通信装置２０から送信されてもよいし、鍵発行装置１０と通信ネットワークＮを介して接続される端末等から送信されてもよいし、鍵発行装置１０が有する入力装置１１から入力されてもよい。
　次に、鍵発行処理部１０２は、以下によりユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを生成する（ステップＳ１０２）。
　ＱＡ＝Ｈ１（ＩＤＡ）∈Ｇ２
　ＤＡ＝ｚＱＡ
　ＱＢ＝Ｈ１（ＩＤＢ）∈Ｇ２
　ＤＢ＝ｚＱＢ
　ここで、ＱＡ及びＱＢは、通信装置２０で生成されてもよいし、鍵発行装置１０で生成されてもよい。すなわち、例えば、ユーザ秘密鍵ＤＡを生成する際に、通信装置２０でＱＡを生成して鍵発行装置１０に公開してもよいし、鍵発行装置１０でＱＡを生成してもよい。同様に、例えば、ユーザ秘密鍵ＤＢを生成する際に、通信装置２０でＱＢを生成して鍵発行装置１０に公開してもよいし、鍵発行装置１０でＱＢを生成してもよい。なお、通信装置２０Ａ及び通信装置２０ＢのそれぞれでＱＡ及びＱＢを生成することが簡便であるが、例えば、通信装置２０の計算リソースが限られており、Ｈ１の計算に多くの計算リソースが必要な場合等には鍵発行装置１０でＱＡ及びＱＢを生成することが好ましい。
　次に、鍵発行処理部１０２は、ユーザ秘密鍵ＤＡを通信装置２０Ａに配布すると共に、ユーザ秘密鍵ＤＢを通信装置２０Ｂに配布する（ステップＳ１０３）。なお、鍵発行処理部１０２は、任意の方法でユーザ秘密鍵を配布すればよい。例えば、鍵発行処理部１０２は、通信装置２０からのユーザ秘密鍵の配布要求に応じて、通信部１０１によって該当のユーザ秘密鍵を当該通信装置２０に送信することで、ユーザ秘密鍵を配布すればよい。又は、ユーザ秘密鍵を記録媒体等に記録した上で、通信装置２０に配布されてもよい。これにより、各通信装置２０は、他の通信装置２０との間で共有鍵を交換（生成）する際に用いるユーザ秘密鍵を得ることができる。
　　≪鍵交換処理≫
　次に、通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理について、図６を参照しながら説明する。図６は、本発明の実施の形態における鍵交換処理の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
　通信装置２０Ａの鍵交換処理部２０２は、ｒＡ∈Ｚｑをランダムに選択した上で、短期秘密鍵
Figure JPOXMLDOC01-appb-M000002
 を生成すると共に、短期公開鍵ＸＡ＝ｘＡｇ１を生成する（ステップＳ２０１）。なお、短期秘密鍵ｘＡ及び短期公開鍵ＸＡは、通信装置２０Ａの記憶部２０３に記憶される。
　同様に、通信装置２０Ｂの鍵交換処理部２０２は、ｒＢ∈Ｚｑをランダムに選択した上で、短期秘密鍵
Figure JPOXMLDOC01-appb-M000003
 を生成すると共に、短期公開鍵ＸＢ＝ｘＢｇ１を生成する（ステップＳ２０２）。なお、短期秘密鍵ｘＢ及び短期公開鍵ＸＢは、通信装置２０Ｂの記憶部２０３に記憶される。
　次に、通信装置２０Ａの通信部２０１は、識別子ＩＤＡと短期公開鍵ＸＡとを通信装置２０Ｂに送信する（ステップＳ２０３）。同様に、通信装置２０Ｂの通信部２０１は、識別子ＩＤＢと短期公開鍵ＸＢとを通信装置２０Ｂに送信する（ステップＳ２０４）。これにより、識別子と短期公開鍵とが通信装置２０間で交換される。
　次に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ２０１で生成した短期秘密鍵ｘＡを記憶部２０３から削除する（ステップＳ２０５）。同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ２０２で生成した短期秘密鍵ｘＢを記憶部２０３から削除する（ステップＳ２０６）。
　なお、上記のステップＳ２０５及びステップＳ２０６で短期秘密鍵ｘＡ及び短期秘密鍵ｘＢをそれぞれ削除しているが、これは、他方の通信装置２０から識別子及び短期公開鍵を受信するまでの間に短期秘密鍵が流出することを防止するためである。すなわち、例えば、通信装置２０Ａが識別子ＩＤＡ及び短期公開鍵ＸＡを通信装置２０Ｂに送信した後、通信装置２０Ａが識別子ＩＤＢ及び短期公開鍵ＸＢを通信装置２０Ｂから受信するまでの間には或る程度の時間を要することがある。このため、この時間の間における短期秘密鍵ｘＡの流出を防止するために、通信装置２０Ａは、識別子ＩＤＡ及び短期公開鍵ＸＡを通信装置２０Ｂに送信した後、短期秘密鍵ｘＡを削除している。短期秘密鍵ｘＢを削除している理由についても同様である。
　続いて、通信装置２０Ａの鍵交換処理部２０２は、短期秘密鍵
Figure JPOXMLDOC01-appb-M000004
 を再度生成する（ステップＳ２０７）。なお、短期秘密鍵ｘＡは、通信装置２０Ａの記憶部２０３に記憶される。
　同様に、通信装置２０Ｂの鍵交換処理部２０２は、短期秘密鍵
Figure JPOXMLDOC01-appb-M000005
 を再度生成する（ステップＳ２０８）。なお、短期秘密鍵ｘＢは、通信装置２０Ｂの記憶部２０３に記憶される。
　次に、通信装置２０Ａの鍵交換処理部２０２は、共有値σ１と共有値σ２と共有値σ３とを以下により計算する（ステップＳ２０９）。
　σ１＝ｅ（ＸＢ，ＤＡ）
　σ２＝ｅ（ｘＡＺ，ＱＢ）
　σ３＝ｘＡＸＢ
　同様に、通信装置２０Ｂの鍵交換処理部２０２は、共有値σ１と共有値σ２と共有値σ３とを以下により計算する（ステップＳ２１０）。
　σ１＝ｅ（ｘＢＺ，ＱＡ）
　σ２＝ｅ（ＸＡ，ＤＢ）
　σ３＝ｘＢＸＡ
　次に、通信装置２０Ａの鍵交換処理部２０２は、以下によりｓｉｄを計算する（ステップＳ２１１）。なお、ｓｉｄはセッションＩＤを意味する。
Figure JPOXMLDOC01-appb-M000006
 　同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下によりｓｉｄを計算する（ステップＳ２１２）。
Figure JPOXMLDOC01-appb-M000007
 　なお、上記のステップＳ２１１及びステップＳ２１２では、通信装置２０Ａと通信装置２０Ｂとの間でｓｉｄが同一とする必要があるため、例えば、暗号化通信を行う際の送信者（sender）をＩＤＡ、受信者（receiver）をＩＤＢとする等と予め取り決めておくことでｓｉｄが同一となるようにしてもよいし、ＩＤＡとＩＤＢとＸＡとＸＢとをアルファベット順にソートした上で連結することでｓｉｄが同一となるようにしてもよい。また、このとき、ＩＤＡとＩＤＢとＸＡとＸＢとに加えて、例えば、マスター公開鍵Ｚを追加したり、プロトコル名やアルゴリズム名等を追加したりしてもよい。
　最後に、通信装置２０Ａの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ２１３）。
Figure JPOXMLDOC01-appb-M000008
 　なお、この共有鍵Ｋは、通信装置２０Ａの記憶部２０３に記憶される。
　同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ２１４）。
Figure JPOXMLDOC01-appb-M000009
 　なお、この共有鍵Ｋは、通信装置２０Ｂの記憶部２０３に記憶される。
　これにより、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵Ｋが共有される。したがって、この共有鍵Ｋを用いて、通信装置２０Ａと通信装置２０Ｂとの間で暗号化通信を行うことができる。
　以上のように、本発明の実施の形態では、通常の認証付き鍵交換においてｅＣＫモデルで安全なＮＡＸＯＳプロトコルの技術を、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに応用できるようにプロトコルを設計している。なお、ｅＣＫモデルは通常の認証付き鍵交換における安全性のモデルであり、ｉｄ－ｅＣＫモデルの元となっているモデルである。
　ところで、通常の認証付き鍵交換ではペアリング演算は不要であり、ＮＡＸＯＳプロトコルは通常の巡回群上のプロトコルとなっている。このため、ＩＤベース暗号を用いた認証付き鍵交換を行うためにはペアリング群上でプロトコルを構成する必要があり、非対称ペアリング群では２つの巡回群Ｇ１及びＧ２があるため、どのようにＮＡＸＯＳの技術を応用するかが問題となる。これに対して、本発明の実施の形態では、Ｇ１を一時鍵（つまり、短期秘密鍵及び短期公開鍵）上の演算に用い、Ｇ２をユーザ秘密鍵の要素に用いることで安全性（つまり、ｉｄ－ｅＣＫモデルを満たす安全性）を達成している。なお、ＮＡＸＯＳプロトコルはユーザ秘密鍵と短期秘密鍵とを入力としてハッシュ関数値を計算してそこから短期公開鍵を作るという技術を使った、ＣＫモデルでの安全性よりも高い安全性を持つ認証付き鍵交換プロトコルである。ＮＡＸＯＳプロトコルの詳細については、例えば参考文献「B. LaMacchia, K. Lauter, and A. Mityagin, "Stronger security of authenticated key exchange," in Provable Security, ser. LNCS, vol. 4784. Springer, 2007.」のsection 4等を参照されたい。
　また、本発明の実施の形態では、各通信装置２０でペアリング演算をそれぞれ２回行うだけで共有鍵Ｋの交換を行うことができる。一方で、上述したように、例えば、ＦＳＵではペアリング演算をそれぞれ４回行う必要がある。このため、本発明の実施の形態では、各通信装置２０は、従来技術と比較して、約１／２の時間で鍵交換を行うことが可能となる。したがって、本発明の実施の形態によれば、例えば、計算リソースが限られたＩｏＴ機器等においても、ＩＤベース暗号を用いた認証付き鍵交換プロトコルを高速に実行することが可能となる。
　本発明は、具体的に開示された上記の実施の形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更が可能である。
　１　　　　鍵交換システム
　１０　　　鍵発行装置
　２０　　　通信装置
　１０１　　通信部
　１０２　　鍵発行処理部
　１０３　　記憶部
　２０１　　通信部
　２０２　　鍵交換処理部
　２０３　　記憶部

Claims (5)

  1. 　ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換システムであって、
    　前記複数の通信装置の各々は、
    　前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、
    　前記短期秘密鍵を用いて、前記ＩＤベース暗号に用いられる非対称ペアリング群Ｇ１及びＧ２のうちの一方のペアリング群Ｇ１上で、前記通信装置の短期公開鍵を生成する第２の生成手段と、
    　前記非対称ペアリング群Ｇ１及びＧ２のうちの他方のペアリング群Ｇ２上で生成された前記通信装置の秘密鍵と他の通信装置で生成された短期公開鍵とを用いた第１のペアリング演算と、前記通信装置の短期秘密鍵と前記他の通信装置の秘密鍵を生成する際に用いられた公開情報とを用いた第２のペアリング演算とを行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第３の生成手段と、
    　を有することを特徴とする鍵交換システム。
  2. 　前記第１の生成手段は、
    　ｑを素数とした剰余類Ｚｑの元をランダムに選択した上で、選択した元を表す文字列と前記通信装置の秘密鍵とを連結した文字列を入力した所定の関数により前記短期秘密鍵を生成し、
    　前記第２の生成手段は、
    　前記短期秘密鍵と前記ペアリング群Ｇ１の生成元との演算により前記短期公開鍵を生成し、
    　前記第３の生成手段は、
    　前記第１のペアリング演算の演算結果と、前記第２のペアリング演算の演算結果と、前記短期秘密鍵と前記他の通信装置で生成された短期公開鍵とを演算した結果と、前記通信装置及び前記他の通信装置間で共通のセッションＩＤとを用いて、前記共有鍵を生成する、ことを特徴とする請求項１に記載の鍵交換システム。
  3. 　ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、他の通信装置との間で暗号化通信を行うための共有鍵を生成する通信装置であって、
    　前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、
    　前記短期秘密鍵を用いて、前記ＩＤベース暗号に用いられる非対称ペアリング群Ｇ１及びＧ２のうちの一方のペアリング群Ｇ１上で、前記通信装置の短期公開鍵を生成する第２の生成手段と、
    　前記非対称ペアリング群Ｇ１及びＧ２のうちの他方のペアリング群Ｇ２上で生成された前記通信装置の秘密鍵と他の通信装置で生成された短期公開鍵とを用いた第１のペアリング演算と、前記通信装置の短期秘密鍵と前記他の通信装置の秘密鍵を生成する際に用いられた公開情報とを用いた第２のペアリング演算とを行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第３の生成手段と、
    　を有することを特徴とする通信装置。
  4. 　ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換方法であって、
    　前記複数の通信装置の各々が、
    　前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手順と、
    　前記短期秘密鍵を用いて、前記ＩＤベース暗号に用いられる非対称ペアリング群Ｇ１及びＧ２のうちの一方のペアリング群Ｇ１上で、前記通信装置の短期公開鍵を生成する第２の生成手順と、
    　前記非対称ペアリング群Ｇ１及びＧ２のうちの他方のペアリング群Ｇ２上で生成された前記通信装置の秘密鍵と他の通信装置で生成された短期公開鍵とを用いた第１のペアリング演算と、前記通信装置の短期秘密鍵と前記他の通信装置の秘密鍵を生成する際に用いられた公開情報とを用いた第２のペアリング演算とを行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第３の生成手順と、
    　を実行することを特徴とする鍵交換方法。
  5. 　コンピュータを、請求項３に記載の通信装置における各手段として機能させるためのプログラム。
PCT/JP2019/021377 2019-05-29 2019-05-29 鍵交換システム、通信装置、鍵交換方法及びプログラム WO2020240741A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021521662A JP7298686B2 (ja) 2019-05-29 2019-05-29 鍵交換システム、通信装置及びプログラム
US17/607,776 US11909867B2 (en) 2019-05-29 2019-05-29 Key exchange system, method and program for generating a shared key for secure communication
PCT/JP2019/021377 WO2020240741A1 (ja) 2019-05-29 2019-05-29 鍵交換システム、通信装置、鍵交換方法及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/021377 WO2020240741A1 (ja) 2019-05-29 2019-05-29 鍵交換システム、通信装置、鍵交換方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2020240741A1 true WO2020240741A1 (ja) 2020-12-03

Family

ID=73553682

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/021377 WO2020240741A1 (ja) 2019-05-29 2019-05-29 鍵交換システム、通信装置、鍵交換方法及びプログラム

Country Status (3)

Country Link
US (1) US11909867B2 (ja)
JP (1) JP7298686B2 (ja)
WO (1) WO2020240741A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11811752B1 (en) * 2022-08-03 2023-11-07 1080 Network, Inc. Systems, methods, and computing platforms for executing credential-less network-based communication exchanges

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011147060A (ja) * 2010-01-18 2011-07-28 Nippon Telegr & Teleph Corp <Ntt> Ｉｄベース認証鍵交換システム、認証鍵交換方法、認証鍵交換装置及びそのプログラムと記録媒体
WO2018169489A1 (en) * 2017-03-14 2018-09-20 Huawei International Pte. Ltd. System and method for computing common session keys in a forward secure identity-based authenticated key exchange scheme

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4839554B2 (ja) * 2000-10-19 2011-12-21 ソニー株式会社 無線通信システム、クライアント装置、サーバ装置および無線通信方法
GB2419787B (en) * 2004-10-28 2007-07-04 Hewlett Packard Development Co Method and apparatus for providing short-term private keys in public-key cryptographic systems
JP5651611B2 (ja) 2012-01-27 2015-01-14 日本電信電話株式会社 鍵交換装置、鍵交換システム、鍵交換方法、プログラム
US9515823B2 (en) * 2013-08-30 2016-12-06 L-3 Communications Corporation Cryptographic device with detachable data planes
US9641328B1 (en) * 2014-03-10 2017-05-02 Ionu Security, Inc. Generation of public-private key pairs
US10419213B2 (en) * 2015-01-16 2019-09-17 Nippon Telegraph And Telephone Corporation Key exchange method, key exchange system, key device, terminal device, and program

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011147060A (ja) * 2010-01-18 2011-07-28 Nippon Telegr & Teleph Corp <Ntt> Ｉｄベース認証鍵交換システム、認証鍵交換方法、認証鍵交換装置及びそのプログラムと記録媒体
WO2018169489A1 (en) * 2017-03-14 2018-09-20 Huawei International Pte. Ltd. System and method for computing common session keys in a forward secure identity-based authenticated key exchange scheme

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
NAGAI, AKIRA ET AL.: "Implementation Evaluation of Authenticated Key Exchange System FSU in Cortex-M Systems.", SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY (SCIS2018), vol. 4E1-4, 23 January 2018 (2018-01-23), pages 1 - 7 *
SAITO, TSUNEKAZUET AL.: "ID-Based Authentication Key ExchangeSatisfying Multiplexed and Scattered KGC Using Asymmetrical Pairing.", SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY (SCIS2017), 24 January 2017 (2017-01-24), pages 1 - 7 *

Also Published As

Publication number Publication date
US11909867B2 (en) 2024-02-20
JP7298686B2 (ja) 2023-06-27
US20220224520A1 (en) 2022-07-14
JPWO2020240741A1 (ja) 2020-12-03

Similar Documents

Publication Publication Date Title
US10797879B2 (en) Methods and systems to facilitate authentication of a user
TW201814578A (zh) 資料安全保障系統及方法、裝置
CN108696518B (zh) 区块链上用户通信加密方法、装置、终端设备及存储介质
US20200195446A1 (en) System and method for ensuring forward &amp; backward secrecy using physically unclonable functions
TW202029693A (zh) 用以分配數位簽署資料之份額的電腦實施系統及方法
WO2019230291A1 (ja) 鍵共有システム、情報処理装置、機器、鍵共有方法及びプログラム
TW202118271A (zh) 使用參與實體之網絡識別符促進與區塊鏈關聯之交易的電腦實施系統及方法
CN114268447B (zh) 一种文件传输方法、装置、电子设备和计算机可读介质
WO2020240741A1 (ja) 鍵交換システム、通信装置、鍵交換方法及びプログラム
WO2021010444A1 (ja) 鍵交換システム、通信装置、鍵交換方法及びプログラム
CN114553566B (zh) 数据加密方法、装置、设备及存储介质
JP7115556B2 (ja) 認証認可システム及び認証認可方法
CN110572788B (zh) 基于非对称密钥池和隐式证书的无线传感器通信方法和系统
CN114128209B (zh) 密钥交换系统、通信装置、密钥交换方法及记录介质
JP7377495B2 (ja) 暗号システム及び方法
JP5432776B2 (ja) Ｉｄベース暗号利用方法、暗号化装置、管理装置及びそれらのプログラム
JP7289478B2 (ja) 鍵交換システム、機器、情報処理装置、鍵交換方法及びプログラム
Lawson et al. Effectiveness of the NIZKP protocol for authentication in IoT environment
JP7231051B2 (ja) 端末、サーバ、方法及びプログラム
WO2023077280A1 (en) Certificate-less authentication and secure communication
WO2023242971A1 (ja) 鍵交換システム、機器、方法、及びプログラム
WO2022244150A1 (ja) 鍵交換システム、端末、サーバ、鍵交換方法、及びプログラム
CN115529128B (zh) 基于sd-wan的端端协商通信方法、终端设备、服务器
WO2022244151A1 (ja) 鍵交換システム、端末、サーバ、鍵交換方法、及びプログラム
JP2023087337A (ja) 認証鍵交換システム、機器、方法、及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19930512

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021521662

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19930512

Country of ref document: EP

Kind code of ref document: A1