特許 6228903 情報共有システム及び方法、情報共有装置並びにプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6228903

(24)【登録日】2017年10月20日

(45)【発行日】2017年11月8日

(54)【発明の名称】情報共有システム及び方法、情報共有装置並びにプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20171030BHJP

   H04L 9/32 20060101ALI20171030BHJP

【ＦＩ】

   H04L9/00 601C

   H04L9/00 601D

   H04L9/00 675B

【請求項の数】8

【全頁数】22

(21)【出願番号】特願2014-207211(P2014-207211)

(22)【出願日】2014年10月8日

(65)【公開番号】特開2016-76877(P2016-76877A)

(43)【公開日】2016年5月12日

【審査請求日】2017年1月5日

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】100121706

【弁理士】

【氏名又は名称】中尾 直樹

(74)【代理人】

【識別番号】100128705

【弁理士】

【氏名又は名称】中村 幸雄

(74)【代理人】

【識別番号】100147773

【弁理士】

【氏名又は名称】義村 宗洋

(72)【発明者】

【氏名】米山 一樹

(72)【発明者】

【氏名】鈴木 幸太郎

【審査官】 行田 悦資

(56)【参考文献】

【文献】 特開２０１３−１１０６２８（ＪＰ，Ａ）

【文献】 特開２００８−１０３９７５（ＪＰ，Ａ）

【文献】 BELLARE, M. et al.，Security Proofs for Identity-Based Identification and Signature Schemes，EUROCRYPT 2004，IACR，２００４年 ５月 ２日，p.268-286，［online］，［平成29年9月29日検索］，インターネット＜URL:https://www.iacr.org/archive/eurocrypt2004/eurocrypt2004.html＞

【文献】 FIORE, D. and GENNARO, R.，Making the Diffie-Hellman Protocol Identity-Based，ePrint Archive，２００９年 ４月２０日，p.1-25，［online］，［平成29年9月29日検索］，インターネット＜URL:https://eprint.iacr.org/2009/174＞

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有システムにおいて、
所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、
所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、
上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、
上記第一情報共有装置は、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、初期メッセージMes₁^PKI=Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)を生成しSPK_A^PKI,cert_Aと共に上記第二情報共有装置に送信する初期メッセージ生成部と、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証部と、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含み、
上記第二情報共有装置は、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証部と、初期メッセージMes₂^PKI=Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成部と、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含む、
情報共有システム。

【請求項2】

請求項１の情報共有システムにおいて、
上記第二情報共有装置の初期メッセージ生成部は、初期メッセージMes₂^PKI=Message^post(PP^PKI,U_B,SSK_B^PKI,ESK_B^PKI)を生成し上記第一情報共有装置に送信する、
情報共有システム。

【請求項3】

第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有システムにおいて、
所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、
所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、
上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、
上記第一情報共有装置は、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、(SPK_A^PKI,cert_A)を上記第二情報共有装置に送信する送信部と、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証部と、初期メッセージMes₂^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)を生成し上記第二情報共有装置に送信する初期メッセージ生成部と、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含み、
上記第二情報共有装置は、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証部と、初期メッセージMes₁^PKI=Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成部と、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含む、
情報共有システム。

【請求項4】

請求項３の情報共有システムにおいて、
上記第一情報共有装置の初期メッセージ生成部は、初期メッセージMes₂^PKI=Message^pre(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI)を生成し上記第二情報共有装置に送信する、
情報共有システム。

【請求項5】

第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有方法において、
所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、
所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、
上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、
上記第一情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、
上記第一情報共有装置の初期メッセージ生成部が、初期メッセージMes₁^PKI=Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)を生成しSPK_A^PKI,cert_Aと共に上記第二情報共有装置に送信する初期メッセージ生成ステップと、
上記第二情報共有装置の検証部が、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証ステップと、
上記第二情報共有装置の初期メッセージ生成部が、初期メッセージMes₂^PKI=Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成ステップと、
上記第一情報共有装置の検証部が、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証ステップと、
上記第一情報共有装置のメッセージ生成部が、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成ステップと、
上記第一情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、
上記第二情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、
上記第二情報共有装置のメッセージ生成部が、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成ステップと、
上記第二情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、
を含む情報共有方法。

【請求項6】

第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有方法において、
所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、
所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、
上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、
上記第一情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、
上記第一情報共有装置の送信部が、(SPK_A^PKI,cert_A)を上記第二情報共有装置に送信する送信ステップと、
上記第二情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、
上記第二情報共有装置の検証部が、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証ステップと、
上記第二情報共有装置の初期メッセージ生成部が、初期メッセージMes₁^PKI=Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成ステップと、
上記第一情報共有装置の検証部が、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証ステップと、
上記第一情報共有装置の初期メッセージ生成部が、初期メッセージMes₂^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)を生成し上記第二情報共有装置に送信する初期メッセージ生成ステップと、
上記第二情報共有装置のメッセージ生成部が、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成ステップと、
上記第一情報共有装置のメッセージ生成部が、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成ステップと、
上記第一情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、
上記第二情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、
を含む情報共有方法。

【請求項7】

請求項１又は３の情報共有システムの上記第一情報共有装置又は上記第二情報共有装置である情報共有装置。

【請求項8】

請求項７の情報共有装置の各部としてコンピュータを機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報セキュリティ技術の応用技術に関するものであり、特に二者間でセッション鍵等の情報を共有する技術に関する。

【背景技術】

【0002】

以下に示す、ID 認証鍵交換方式のFG方式が知られている（例えば、非特許文献１参照。）。図６にFG 方式のプロトコル図を示す。

【0003】

[公開パラメータ] ΠをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。セキュリティパラメータをκとする。pをκビット素数とし、Gをgを生成元とする位数pの乗法巡回群とする。H₁:{0,1}→ Z_pとH₂:{0,1}→{0,1}をハッシュ関数とする。

【0004】

[鍵生成] 鍵生成アルゴリズムは一様ランダムにマスタ秘密鍵MSK^ID:=x∈Z_pを選ぶ。また、鍵生成アルゴリズムはy=g^xを計算し、マスタ公開鍵MPK^ID:=(G,g,p,y=g^x,H₁,H₂)を公開する。

【0005】

[鍵抽出] ID_Pを入力として、鍵抽出アルゴリズムはk_P∈_RZ_pを選び、長期秘密鍵SSK_P^ID:=(r_P= g^kP,s_P=k_P+xH₁(ID_P,r_P))を生成する。

【0006】

[鍵交換] 以下では、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_AはID_Aに対応する長期秘密鍵(r_A=g^kA,s_A=k_A+xH₁(ID_A,r_A))を持ち、ユーザU_BはID_Bに対応する長期秘密鍵(r_B=g^kB,s_B=k_B+xH₁(ID_B,r_B))を持つ。

【0007】

1. ユーザU_Aは一様ランダムにアドホック秘密鍵ESK_A^ID=t_A∈_RZ_pを選ぶ。このとき、ユーザU_Aはu_A:=g^tAを計算し、メッセージMes₁^ID=(ID_A,r_A,u_A)をユーザU_Bに送る。
2. ユーザU_Bは一様ランダムにアドホック秘密鍵ESK_B^ID=t_B∈_RZ_pを選ぶ。このとき、ユーザU_Bはu_B:= g^tBを計算し、メッセージMes₂ID=(ID_A,r_B,u_B)をユーザU_Aに送る。

【0008】

3. ユーザU_Aは共有秘密情報を次のように計算する。

【0009】

z₁=(u_Br_By^(H₁(ID_B,r_B)))^tA+sA, z₂=u_B^tA
と計算し、セッション鍵K^ID=H₂(z₁,z₂)を得る。ユーザU_Aはセッション鍵K^IDを出力し、セッションを終了する。

【0010】

ユーザUB は共有秘密情報を次のように計算する。

【0011】

z₁=(u_Ar_Ay^(H₁(ID_A,r_A)))^tB+sB; z₂=u_A^tB
と計算し、セッション鍵K^ID=H₂(z₁,z₂)を得る。ユーザU_Bはセッション鍵K^IDを出力し、セッションを終了する。

【先行技術文献】

【非特許文献】

【0012】

【非特許文献1】Dario Fiore, Rosario Gennaro, “Identity-Based Key Exchange Protocols without Pairings”, Transactions on Computational Science 10, P.42-77, 2010

【発明の概要】

【発明が解決しようとする課題】

【0013】

しかしながら、背景技術に記載された技術では安全性を保証するために、ハッシュ関数が理想的に安全（ランダムオラクル）でなければならないという問題がある。ランダムオラクルは現実のハッシュ関数を用いては実現できないことが知られている。よって、ランダムオラクルを仮定せずに安全性証明が付く方式が望ましい。

【0014】

本発明はこのような点に鑑みてなされたものであり、ランダムオラクルに必ずしも依存しない情報共有システム及び方法、情報共有装置並びにプログラムを提供することを目的とする。

【課題を解決するための手段】

【0015】

本発明の一態様による情報共有システムは、第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有システムにおいて、所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、上記第一情報共有装置は、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、初期メッセージMes₁^PKI=Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)を生成しSPK_A^PKI,cert_Aと共に上記第二情報共有装置に送信する初期メッセージ生成部と、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証部と、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含み、上記第二情報共有装置は、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証部と、初期メッセージMes₂^PKI=Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成部と、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含む。

【0016】

本発明の一態様による情報共有システムは、第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有システムにおいて、所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、上記第一情報共有装置は、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、(SPK_A^PKI,cert_A)を上記第二情報共有装置に送信する送信部と、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証部と、初期メッセージMes₂^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)を生成し上記第二情報共有装置に送信する初期メッセージ生成部と、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含み、上記第二情報共有装置は、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成部と、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証部と、初期メッセージMes₁^PKI=Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成部と、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成部と、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成部と、を含む。

【0017】

本発明の一態様による情報共有方法は、第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有方法において、所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、上記第一情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、上記第一情報共有装置の初期メッセージ生成部が、初期メッセージMes₁^PKI=Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)を生成しSPK_A^PKI,cert_Aと共に上記第二情報共有装置に送信する初期メッセージ生成ステップと、上記第二情報共有装置の検証部が、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証ステップと、
上記第二情報共有装置の初期メッセージ生成部が、初期メッセージMes₂^PKI=Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成ステップと、上記第一情報共有装置の検証部が、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証ステップと、上記第一情報共有装置のメッセージ生成部が、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成ステップと、上記第一情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、上記第二情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、上記第二情報共有装置のメッセージ生成部が、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成ステップと、上記第二情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、を含む。

【0018】

本発明の一態様による情報共有方法は、第一情報共有装置と第二情報共有装置との間で情報を共有する情報共有方法において、所定のPKI 認証鍵交換方式におけるアドホック秘密鍵生成アルゴリズムをEpheGenとし、上記PKI 認証鍵交換方式における初期メッセージ生成アルゴリズムをMessage^postとし、上記PKI 認証鍵交換方式におけるメッセージ生成アルゴリズムをMessageとし、上記PKI 認証鍵交換方式におけるセッション鍵生成アルゴリズムをSesKeyとし、上記PKI 認証鍵交換方式における公開パラメータをPP^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期秘密鍵をSSK_A^PKIとし、上記PKI 認証鍵交換方式における上記第一情報共有装置の長期公開鍵をSPK_A^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期秘密鍵をSSK_B^PKIとし、上記PKI 認証鍵交換方式における上記第二情報共有装置の長期公開鍵をSPK_B^PKIとし、所定の電子署名方式における署名検証アルゴリズムをVerとし、上記電子署名方式における署名生成アルゴリズムをSignとし、上記第一情報共有装置を表すビット列をU_Aとし、上記第一情報共有装置に関連する情報を表すビット列をID_Aとし、上記第一情報共有装置の署名をcert_A=Sign(sk,(ID_A,SPK_A^PKI))とし、上記第二情報共有装置を表すビット列をU_Bとし、上記第二情報共有装置に関連する情報を表すビット列をID_Bとし、上記第二情報共有装置の署名をcert_B=Sign(sk,(ID_B,SPK_B^PKI))とし、上記第一情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_A^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、上記第一情報共有装置の送信部が、(SPK_A^PKI,cert_A)を上記第二情報共有装置に送信する送信ステップと、上記第二情報共有装置のアドホック秘密鍵生成部が、アドホック秘密鍵ESK_B^PKI＝EpheGen(PP^PKI)を生成するアドホック秘密鍵生成ステップと、上記第二情報共有装置の検証部が、Ver(vk,(ID_A,SPK_A^PKI),cert_A)に基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う検証ステップと、上記第二情報共有装置の初期メッセージ生成部が、初期メッセージMes₁^PKI=Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)を生成しSPK_B^PKI,cert_Bと共に上記第一情報共有装置に送信する初期メッセージ生成ステップと、上記第一情報共有装置の検証部が、Ver(vk,(ID_B,SPK_B^PKI),cert_B)に基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う検証ステップと、上記第一情報共有装置の初期メッセージ生成部が、初期メッセージMes₂^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)を生成し上記第二情報共有装置に送信する初期メッセージ生成ステップと、上記第二情報共有装置のメッセージ生成部が、nが３以上の場合には、iを３以上ｎ以下の各奇数として、メッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第一情報共有装置に送信するメッセージ生成ステップと、上記第一情報共有装置のメッセージ生成部が、nが４以上の場合には、iを４以上ｎ以下の各偶数として、メッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成し上記第二情報共有装置に送信するメッセージ生成ステップと、上記第一情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、上記第二情報共有装置の情報生成部が、情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する情報生成ステップと、を含む。

【0019】

本発明の一態様による情報共有装置は、上記情報共有システムの上記第一情報共有装置及び上記第二情報共有装置である。

【発明の効果】

【0020】

ランダムオラクルに必ずしも依存しない情報共有を実現することができる。

【図面の簡単な説明】

【0021】

【図1】情報共有システムの例の機能ブロック図。

【図2】第一実施形態の第一情報共有装置及び第二情報共有装置の例の機能ブロック図。

【図3】第一実施形態の処理の概要を例示する図。

【図4】第二実施形態の第一情報共有装置及び第二情報共有装置の例の機能ブロック図。

【図5】第二実施形態の処理の概要を例示する図。

【図6】背景技術の処理の概要を例示する図。

【発明を実施するための形態】

【0022】

以下、本発明の各実施形態について説明する。

【0023】

［第一実施形態］
第一実施形態の情報共有システムでは、イニシエータが交換相手を事前に知らなくても最初のメッセージを計算することができる（事後指定可能）PKI 認証鍵交換方式を電子署名方式と組み合わせて情報共有（例えば、ID 認証鍵交換方式による認証鍵の共有）を行うものである。まず、部品であるPKI 認証鍵交換方式と電子署名方式について説明する。これらのPKI 認証鍵交換方式と電子署名方式は、例えばランダムオラクルに依存しないものとする。

【0024】

事後指定可能PKI 認証鍵交換は、以下のアルゴリズムからなる。

【0025】

・PP^PKI←Setup(1^κ)：セットアップアルゴリズム
公開パラメータを生成する。κは、セキュリティパラメータであり任意の正の整数である。1^κは、κビットのビット列である。

【0026】

・(SPK_P^PKI,SSK_P^PKI)←StaticGen(PP^PKI)：鍵登録アルゴリズム
長期秘密鍵SSK_P^PKI及び対応する長期公開鍵SPK_P^PKIを生成し、長期公開鍵SPK_P^PKIをPKIに登録し公開する。パーティU_Pとは、情報を共有可能な２以上の情報共有装置の集合のことである。パーティU_Pに属する各情報共有装置が、StaticGenのアルゴリズムに基づいて長期秘密鍵及び長期公開鍵を生成する。

【0027】

・ESK_P^PKI←EpheGen(PP^PKI)：アドホック秘密鍵生成アルゴリズム
アドホック秘密鍵ESK_P^PKIを生成する。

【0028】

・Mes₁^PKI←Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)：初期メッセージ生成アルゴリズム
イニシエータU_Aは、長期秘密鍵SSK_A^PKIとアドホック秘密鍵ESK_A^PKIを用いて、初期メッセージMes₁^PKIを生成する。第一実施形態の初期メッセージ生成アルゴリズムMessage^postでは、交換相手U_Bの長期公開鍵SPK_B^PKIを必要としない。

【0029】

・Mes_i^PKI←Message(PP^PKI,U_P,U_P-,SSK_P^PKI,ESK_P^PKI,SPK_P-^PKI,Mes₁^PKI,…,Mes_i-1^PKI)：第iメッセージ生成
SSK_P^PKI,ESK_P^PKI,SPK_P^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、第iメッセージMes_i^PKIを生成する。U_P-は、交換相手のことである。例えば、U_AとU_Bとの間で情報共有を行うときであって、U_P=U_Aの場合にはU_P-=U_Bであって、U_P=U_Bの場合にはU_P-=U_Aである。U_Pは、イニシエータU_Pを表すビット列である。例えば、U_Aはイニシエータである第一情報共有装置U_Aを表すビット列であり、U_Bはレスポンダである第二情報共有装置U_Bを表すビット列である。

【0030】

ただし、レスポンダU_Bが第一メッセージMes₁^PKIを受け取る前に第二メッセージを生成可能な場合（同時実行可能）は、第二メッセージMes₂^PKIはSSK_B^PKI,ESK_B^PKIだけを用いて生成することができる。すなわち、Mes₂^PKI←Message^post(PP^PKI,U_B,SSK_B^PKI,ESK_B^PKI)とすることができる。これについては、第一実施形態の変形例で述べる。

【0031】

・K^PKI←SesKey(PP^PKI,U_P,U_P-,SSK_P^PKI,ESK_P^PKI,SPK_P^PKI,Mes₁^PKI,…,Mes_n^PKI)：セッション鍵生成アルゴリズム
SSK_P^PKI,ESK_P^PKI,SPK_P^PKI,Mes₁^PKI,…,Mes_i^PKIを用いて、セッション鍵K^PKIを生成する。

【0032】

電子署名方式は、以下のアルゴリズムからなる。

【0033】

・(vk,sk)←SigGen(1^κ)：鍵生成アルゴリズム
検証鍵vkと署名鍵skを生成する。

【0034】

・σ←Sign(sk,m)：署名生成
平文mと署名鍵skを用いて、署名σを生成する。

【0035】

・1 or 0←Ver(vk,m,σ)：署名検証
検証鍵vkを用いて、平文mと署名σを検証し、合格なら1、不合格なら0を出力する。

【0036】

図３に、これらのPKI 認証鍵交換方式と電子署名方式を用いた情報共有アルゴリズムの概要を例示する。

【0037】

以下、この情報共有アルゴリズムを実行する情報共有システムについて説明する。情報共有システムは、図１に例示するように、管理者装置１と、２以上の情報共有装置２とを例えば備えている。

【0038】

管理者装置１は、PP^PKI←Setup(1^κ)の処理を行う（ステップＳ１）。すなわち、管理者装置１は、セキュリティパラメータκを用いて、PKI 認証鍵交換方式のセットアップアルゴリズムに基づいて公開パラメータPP^PKIを生成する。

【0039】

管理者装置１は、(vk,sk)←SigGen(1^κ)の処理を行う（ステップＳ２）。すなわち、管理者装置１は、セキュリティパラメータκを用いて、電子署名方式の鍵生成アルゴリズムSigGenに基づいて検証鍵vk及び署名鍵skを生成する。生成された署名鍵skは、マスタ秘密鍵MSK^IDとして管理者装置１内に秘密に保持される。生成された検証鍵vk及び公開パラメータPP^PKIは、マスタ公開鍵MPK^IDとして公開される。

【0040】

各情報共有装置２は、(SPK_P^PKI,SSK_P^PKI)←StaticGen(PP^PKI)の処理を行う（ステップＳ３）。すなわち、各情報共有装置２は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式の鍵登録アルゴリズムStaticGenに基づいて長期秘密鍵SSK_P^PKI及び長期公開鍵SPK_P^PKIを生成する。生成された長期秘密鍵SSK_P^PKIは、各情報共有装置２内に秘密に保持される。生成された長期公開鍵SPK_P^PKIは公開される。

【0041】

各情報共有装置２は、cert_P←Sign(sk,(ID_P,SPK_P^PKI))の処理を行う（ステップＳ３１）。すなわち、各情報共有装置２は、sk,(ID_P,SPK_P^PKI)を用いて、電子署名方式の署名生成アルゴリズムSignに基づいて署名cert_Pの生成を行う。ID_Pは、各情報共有装置２に関連する情報を表すビット列である。各情報共有装置２に関連する情報とは、例えば、各情報共有装置２のメールアドレスである。

【0042】

ステップＳ３及びステップＳ３１の処理は、各情報共有装置２ごとに行われる。情報共有装置２の中の情報共有を実際に行う一組の情報共有装置を第一情報共有装置U_A及び第二情報共有装置U_Bとする。この場合、第一情報共有装置U_Aにより、長期秘密鍵SSK_A^PKI、長期公開鍵SPK_A^PKI及び署名cert_Aが生成され、長期秘密鍵SSK_A^ID=(SSK_A^PKI,SPK_A^PKI,cert_A)が第二情報共有装置U_B内に秘密に保持される。また、第二情報共有装置U_Bにより、長期秘密鍵SSK_B^PKI、長期公開鍵SPK_B^PKI及び署名cert_Bが生成され、長期秘密鍵SSK_B^ID=(SSK_B^PKI,SPK_B^PKI,cert_B)が第二情報共有装置U_B内に秘密に保持される。

【0043】

以上のステップＳ１からステップＳ３１の処理は、以下に述べる情報共有の処理の前準備として事前に行われる。

【0044】

以下、２以上の情報共有装置２の中の第一情報共有装置U_Aと第二情報共有装置U_Bとの間で情報共有が行われる場合を例に挙げて説明する。第一情報共有装置U_Aと第二情報共有装置U_Bとは、情報共有装置２の中の任意の一組の情報共有装置である。第一情報共有装置U_Aがイニシエータとし、第二情報共有装置U_Bがレスポンダとして説明する。

【0045】

第一情報共有装置U_Aは、図２に例示するように、アドホック鍵生成部U_A1、初期メッセージ生成部U_A2、検証部U_A3、メッセージ生成部U_A4及び情報生成部U_A5を備えている。第二情報共有装置U_Bは、図２に例示するように、アドホック鍵生成部U_B1、初期メッセージ生成部U_B2、検証部U_B3、メッセージ生成部U_B4及び情報生成部U_B5を備えている。

【0046】

第一情報共有装置U_Aのアドホック鍵生成部U_A1は、ESK_A^PKI←EpheGen(PP^PKI)の処理を行う（ステップＳ４）。すなわち、第一情報共有装置U_Aのアドホック鍵生成部U_A1は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式のアドホック秘密鍵生成アルゴリズムに基づいてアドホック鍵ESK_A^PKIを生成する。生成されたアドホック鍵ESK_A^PKIは、第一情報共有装置U_A内に秘密に保持される。

【0047】

第一情報共有装置U_Aの初期メッセージ生成部U_A2は、Mes₁^PKI←Message^post(PP^PKI,U_A,SSK_A^PKI,ESK_A^PKI)の処理を行う（ステップＳ５）。すなわち、第一情報共有装置U_Aの初期メッセージ生成部U_A2は、PP^PKI,U_A,SSK_A^PKI,ESK_A^PKIを用いて、PKI 認証鍵交換方式の初期メッセージ生成アルゴリズムMessage^postに基づいて初期メッセージMes₁^PKIの生成を行う。生成された初期メッセージMes₁^PKＩは、SPK_A^PKI,cert_Aと共に第二情報共有装置U_Bに送信される。すなわち、Mes₁^ＩD=(Mes₁^PK,SPK_A^PKI,cert_A)が第二情報共有装置U_Bに送信される。

【0048】

第二情報共有装置U_Bのアドホック鍵生成部U_B1は、ESK_B^PKI←EpheGen(PP^PKI)の処理を行う（ステップＳ６）。すなわち、第二情報共有装置U_Bのアドホック鍵生成部U_B1は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式のアドホック秘密鍵生成アルゴリズムEpheGenに基づいてアドホック鍵ESK_B^PKIを生成する。生成されたアドホック鍵ESK_B^PKIは、第二情報共有装置U_B内に秘密に保持される。

【0049】

この例では、第二情報共有装置U_BがMes₁^ＩD=(Mes₁^PKI,SPK_A^PKI,cert_A)を受け取る前にMes₂^PKIの生成が不可能であるとする。すなわち、第二情報共有装置U_B によるMes₂^PKIの生成は、第一情報共有装置U_Aから Mes₁^ＩD=(Mes₁^PKI,SPK_A^PKI,cert_A)を受け取った後に可能であるとする。第二情報共有装置U_BがMes₁^ＩD=(Mes₁^PKI,SPK_A^PKI,cert_A)を受け取る前にMes₂^PKIの生成が不可能かどうかは、ベースとなるPKI 認証鍵交換方式に依存する。

【0050】

この場合、Mes₁^ＩD=(Mes₁^PKI,SPK_A^PKI,cert_A)を受け取った後に、第二情報共有装置U_Bの検証部U_B3は、1←^?Ver (vk,(ID_A,SPK_A^PKI),cert_A)の処理を行う（ステップＳ７）。すなわち、第二情報共有装置U_Bの検証部U_B3は、vk,(ID_A,SPK_A^PKI),cert_Aを用いて、電子署名方式の検証アルゴリズムVerに基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う。

【0051】

ステップＳ７の検証に合格した場合には、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、Mes₂^PKI←Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)の処理を行う（ステップＳ８）。すなわち、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいて初期メッセージMes₂^PKI=Message(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_B^PKI,Mes₁^PKI)を生成しSPK_B^PKI,cert_Bと共に第一情報共有装置U_Aに送信する。すなわち、Mes₂^ID=(Mes₂^PKI,SPK_B^PKI,cert_B)が、第一情報共有装置U_Aに送信される。

【0052】

ステップＳ７の検証に合格しなかった場合には、その後の処理は行われない。

【0053】

Mes₂^ID=(Mes₂^PKI,SPK_B^PKI,cert_B)を受け取った後に、第一情報共有装置U_Aの検証部U_A3は、1←^?Ver (vk,(ID_B,SPK_B^PKI),cert_B)の処理を行う（ステップＳ９）。すなわち、第一情報共有装置U_Aの検証部U_A3は、vk,(ID_B,SPK_B^PKI),cert_Bを用いて、電子署名方式の検証アルゴリズムVerに基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う。

【0054】

ステップＳ９の検証に合格した場合には、第一情報共有装置U_A及び第二情報共有装置U_Bは、以下に述べるようにメッセージMes_i^PKIをi=3からi=nまで互いに送信し合う。なお、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが３以上の場合のみ処理を行い、nが３未満の場合には処理を行わない。また、第二情報共有装置U_Bのメッセージ生成部U_B4は、nが４以上の場合のみ処理を行い、nが４未満の場合には処理を行わない。

【0055】

すなわち、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが３以上の場合には、iを３以上ｎ以下の各奇数として、Mes_i^PKI←Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)の処理を行う（ステップＳ１０）。言い換えれば、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが３以上の場合には、iを３以上ｎ以下の各奇数として、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいてメッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成しMes_i^IDとして第二情報共有装置U_Bに送信する。

【0056】

また、第二情報共有装置U_Bのメッセージ生成部U_B4は、nが４以上の場合には、iを４以上ｎ以下の各偶数として、Mes_i^PKI←Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)の処理を行う（ステップＳ１１）。言い換えれば、第二情報共有装置U_Bのメッセージ生成部U_B4は、nが４以上の場合には、iを４以上ｎ以下の各偶数として、PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいてメッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成しMes_i^IDとして第一情報共有装置U_Aに送信する。

【0057】

ステップＳ９の検証に合格しなかった場合には、その後の処理は行われない。

【0058】

その後、第一情報共有装置U_Aの情報生成部U_A5は、K^PKI←SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)の処理を行う（ステップＳ１２）。すなわち、第一情報共有装置U_Aの情報生成部U_A5は、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKIを用いて、PKI 認証鍵交換方式のセッション鍵生成アルゴリズムに基づいて情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する。情報共有の対象がID認証鍵である場合には、ID認証鍵K^ID=K^PKIとなる。

【0059】

また、第二情報共有装置U_Bの情報生成部U_B5は、K^PKI←SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)の処理を行う（ステップＳ１３）。すなわち、第二情報共有装置U_Bの情報生成部U_B5は、PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKIを用いて、PKI 認証鍵交換方式のセッション鍵生成アルゴリズムに基づいて情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する。情報共有の対象がID認証鍵である場合には、ID認証鍵K^ID=K^PKIとなる。

【0060】

既存方式では、古典的なDH 鍵交換と一緒に、ID にSchnorr 署名を施したものを送ることで、署名の偽造不可能性によりID 認証を実現していた。本発明では、このような特定の方式をベースにするのではなく、任意のPKI 認証鍵交換方式と任意の電子署名方式を組み合わせて変換することで情報共有システム（例えば、ID 認証鍵交換システム）を構成した。ベースとなるPKI 認証鍵交換方式と電子署名方式が、ランダムオラクルに依存しない方式であれば、変換後の情報共有システムもランダムオラクルに依存しない方式となる。

【0061】

また、PKI 認証鍵交換方式と電子署名方式はDiffie-Hellman（DH）問題以外の様々な問題に基づく構成が知られているため、変換後の例えばID 認証鍵交換方式である情報共有システムもDH 問題以外の問題に基づいて安全性を保証できる。DH 問題とは、(g,g^a,g^b)が与えられた時に、g^abを求める問題である。例えば、格子問題は量子計算機が実現しても効率的に解くアルゴリズムは知られておらず、格子問題に基づくPKI 認証鍵交換方式と電子署名方式から変換した情報共有システムは量子計算機に対しても安全となる。格子問題に基づくPKI 認証鍵交換方式は例えば次の文献に記載されている。

【0062】

〔参考文献１〕Atsushi Fujioka, Koutarou Suzuki, Keita Xagawa, Kazuki Yoneyama, “Strongly Secure Authenticated Key Exchange from Factoring, Codes and Lattices”, Public Key Cryptography, 2012, P.467-484
格子問題に基づく電子署名は例えば次の文献に記載されている。
〔参考文献２〕Vadim Lyubashevsky, “Lattice Signatures without Trapdoors”, EURO-CRYPT 2012, P.738-755

【0063】

〈第一実施形態の変形例〉
この例では、第二情報共有装置U_BがMes₁^ＩD=(Mes₁^PK,SPK_A^PKI,cert_A)を受け取る前にMes₂^PKIの生成が可能であるとする。第二情報共有装置U_BがMes₁^ＩD=(Mes₁^PK,SPK_A^PKI,cert_A)を受け取る前にMes₂^PKIの生成が可能かどうかは、ベースとなるPKI 認証鍵交換方式に依存する。

【0064】

この場合、第二情報共有装置U_B は、ステップＳ７の処理に代えて、以下に説明するステップＳ７’の処理を行う。

【0065】

ステップＳ６の処理の後に、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、Mes₂^PKI←Message^post(PP^PKI,U_B,SSK_B^PKI,ESK_B^PKI)の処理を行う（ステップＳ７’）。すなわち、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、PP^PKI,U_B,SSK_B^PKI,ESK_B^PKIを用いて、PKI 認証鍵交換方式の初期メッセージ生成アルゴリズムMessage^postに基づいて初期メッセージMes₂^PKIの生成を行う。生成された初期メッセージMes₂^PKＩは、SPK_B^PKI,cert_Bと共に第一情報共有装置U_Aに送信される。すなわち、Mes₂^ＩD=(Mes₂^PK,SPK_B^PKI,cert_B)が第一情報共有装置U_Aに送信される。

【0066】

その後、ステップＳ８の処理が行われる。

【0067】

第一実施形態の変形例によっても、上記説明した第一実施形態と同様の効果を得ることができる。

【0068】

［第二実施形態］
第二実施形態では、イニシエータが交換相手の情報を用いて最初のメッセージを計算
する必要がある（事後指定不可）PKI 認証鍵交換方式を電子署名方式と組み合わせて情報共有（例えば、ID 認証鍵交換方式による認証鍵の共有）を行うものである。まず、部品であるPKI 認証鍵交換方式と電子署名方式について説明する。これらのPKI 認証鍵交換方式と電子署名方式は、例えばランダムオラクルに依存しないものとする。

【0069】

事後指定不可PKI認証鍵交換は以下のアルゴリズムからなる。

【0070】

・PP^PKI←Setup(1^κ)：セットアップアルゴリズム
公開パラメータを生成する。κは、セキュリティパラメータであり任意の正の整数である。1^κは、κビットのビット列である。

【0071】

・(SPK_P^PKI,SSK_P^PKI)←StaticGen(PP^PKI)：鍵登録アルゴリズム
長期秘密鍵SSK_P^PKI及び対応する長期公開鍵SPK_P^PKIを生成し、長期公開鍵SPK_P^PKIをPKIに登録し公開する。パーティU_Pとは、情報を共有可能な２以上の情報共有装置の集合のことである。パーティU_Pに属する各情報共有装置が、StaticGenのアルゴリズムに基づいて長期秘密鍵及び長期公開鍵を生成する。

【0072】

・ESK_P^PKI←EpheGen(PP^PKI)：アドホック秘密鍵生成アルゴリズム
アドホック秘密鍵ESK_P^PKIを生成する。

【0073】

・Mes₁^PKI←Message^pre(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI)：初期メッセージ生成アルゴリズム
ベースとなるPKI認証鍵交換では、イニシエータU_Aは、SSK_A^PKI,ESK_A^PKI,SPK_B^PKIを用いて、初期メッセージMes₁^PKIを生成する。第一実施形態の初期メッセージ生成アルゴリズムMessage^postと異なり、第二実施形態の初期メッセージ生成アルゴリズムMessage^preでは、交換相手U_Bの長期公開鍵SPK_B^PKIを必要とする。

【0074】

以下に述べる情報共有アルゴリズムでは、イニシエータである第一情報共有装置U_Aではなく、レスポンダである第二情報共有装置U_Bが、初期メッセージ生成アルゴリズムMessage^preを用いて、初期メッセージMes₁^PKI= Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)の生成を行う。

【0075】

・Mes_i^PKI←Message(PP^PKI,U_P,U_P-,SSK_P^PKI,ESK_P^PKI,SPK_P-^PKI,Mes₁^PKI,…,Mes_i-1^PKI)：第iメッセージ生成
SSK_P^PKI,ESK_P^PKI,SPK_P-^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、第iメッセージMes_i^PKIを生成する。U_P-は、交換相手のことである。例えば、U_AとU_Bとの間で情報共有を行うときであって、U_P=U_Aの場合にはU_P-=U_Bであって、U_P=U_Bの場合にはU_P-=U_Aである。U_Pは、イニシエータU_Pを表すビット列である。例えば、U_Aはイニシエータである第一情報共有装置U_Aを表すビット列であり、U_Bはレスポンダである第二情報共有装置U_Bを表すビット列である。

【0076】

・K^PKI←SesKey(PP^PKI,U_P,U_P-,SSK_P^PKI,ESK_P^PKI,SPK_P-^PKI,Mes₁^PKI,…,Mes_n^PKI)：セッション鍵生成アルゴリズム
SSK_P^PKI,ESK_P^PKI,SPK_P^PKI,Mes₁^PKI,…,Mes_i^PKIを用いて、セッション鍵K^PKIを生成する。

【0077】

電子署名方式は、以下のアルゴリズムからなる。

【0078】

・(vk,sk)←SigGen(1^κ)：鍵生成アルゴリズム
検証鍵vkと署名鍵skを生成する。

【0079】

・σ←Sign(sk,m)：署名生成
平文mと署名鍵skを用いて、署名σを生成する。

【0080】

・1 or 0←Ver(vk,m,σ)：署名検証
検証鍵vkを用いて、平文mと署名σを検証し、合格なら1、不合格なら0を出力する。

【0081】

図５に、これらのPKI 認証鍵交換方式と電子署名方式を用いた情報共有アルゴリズムの概要を例示する。

【0082】

以下、この情報共有アルゴリズムを実行する情報共有システムについて説明する。情報共有システムは、図１に例示するように、管理者装置１と、２以上の情報共有装置２とを例えば備えている。

【0083】

管理者装置１は、PP^PKI←Setup(1^κ)の処理を行う（ステップＳ１）。すなわち、管理者装置１は、セキュリティパラメータκを用いて、PKI 認証鍵交換方式のセットアップアルゴリズムに基づいて公開パラメータPP^PKIを生成する。

【0084】

管理者装置１は、(vk,sk)←SigGen(1^κ)の処理を行う（ステップＳ２）。すなわち、管理者装置１は、セキュリティパラメータκを用いて、電子署名方式の鍵生成アルゴリズムSigGenに基づいて検証鍵vk及び署名鍵skを生成する。生成された署名鍵skは、マスタ秘密鍵MSK^IDとして管理者装置１内に秘密に保持される。生成された検証鍵vk及び公開パラメータPP^PKIは、マスタ公開鍵MPK^IDとして公開される。

【0085】

各情報共有装置２は、(SPK_P^PKI,SSK_P^PKI)←StaticGen(PP^PKI)の処理を行う（ステップＳ３）。すなわち、各情報共有装置２は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式の鍵登録アルゴリズムStaticGenに基づいて長期秘密鍵SSK_P^PKI及び長期公開鍵SPK_P^PKIを生成する。生成された長期秘密鍵SSK_P^PKIは、各情報共有装置２内に秘密に保持される。生成された長期公開鍵SPK_P^PKIは公開される。

【0086】

各情報共有装置２は、cert_P←Sign(sk,(ID_P,SPK_P^PKI))の処理を行う（ステップＳ３１）。すなわち、各情報共有装置２は、sk,(ID_P,SPK_P^PKI)を用いて、電子署名方式の署名生成アルゴリズムSignに基づいて署名cert_Pの生成を行う。ID_Pは、各情報共有装置２に関連する情報を表すビット列である。各情報共有装置２に関連する情報とは、例えば、各情報共有装置２のメールアドレスである。

【0087】

ステップＳ３及びステップＳ３１の処理は、各情報共有装置２ごとに行われる。情報共有装置２の中の情報共有を実際に行う一組の情報共有装置を第一情報共有装置U_A及び第二情報共有装置U_Bとする。この場合、第一情報共有装置U_Aにより、長期秘密鍵SSK_A^PKI、長期公開鍵SPK_A^PKI及び署名cert_Aが生成され、長期秘密鍵SSK_A^ID=(SSK_A^PKI,SPK_A^PKI,cert_A)が第二情報共有装置U_B内に秘密に保持される。また、第二情報共有装置U_Bにより、長期秘密鍵SSK_B^PKI、長期公開鍵SPK_B^PKI及び署名cert_Bが生成され、長期秘密鍵SSK_B^ID=(SSK_B^PKI,SPK_B^PKI,cert_B)が第二情報共有装置U_B内に秘密に保持される。

【0088】

以上のステップＳ１からステップＳ３１の処理は、以下に述べる情報共有の処理の前準備として事前に行われる。

【0089】

以下、２以上の情報共有装置２の中の第一情報共有装置U_Aと第二情報共有装置U_Bとの間で情報共有が行われる場合を例に挙げて説明する。第一情報共有装置U_Aと第二情報共有装置U_Bとは、情報共有装置２の中の任意の一組の情報共有装置である。第一情報共有装置U_Aがイニシエータとし、第二情報共有装置U_Bがレスポンダとして説明する。

【0090】

第一情報共有装置U_Aは、図４に例示するように、アドホック鍵生成部U_A1、初期メッセージ生成部U_A2、検証部U_A3、メッセージ生成部U_A4、情報生成部U_A5及び送信部U_A6を備えている。第二情報共有装置U_Bは、図４に例示するように、アドホック鍵生成部U_B1、初期メッセージ生成部U_B2、検証部U_B3、メッセージ生成部U_B4及び情報生成部U_B5を備えている。

【0091】

第一情報共有装置U_Aのアドホック鍵生成部U_A1は、ESK_A^PKI←EpheGen(PP^PKI)の処理を行う（ステップＳ４）。すなわち、第一情報共有装置U_Aのアドホック鍵生成部U_A1は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式のアドホック秘密鍵生成アルゴリズムに基づいてアドホック鍵ESK_A^PKIを生成する。生成されたアドホック鍵ESK_A^PKIは、第一情報共有装置U_A内に秘密に保持される。

【0092】

第一情報共有装置U_Aの送信部U_A6は、Mes₁^ＩD=(SPK_A^PKI,cert_A)を第二情報共有装置U_Bに送信する。

【0093】

第二情報共有装置U_Bのアドホック鍵生成部U_B1は、ESK_B^PKI←EpheGen(PP^PKI)の処理を行う（ステップＳ６）。すなわち、第二情報共有装置U_Bのアドホック鍵生成部U_B1は、公開パラメータPP^PKIを用いて、PKI 認証鍵交換方式のアドホック秘密鍵生成アルゴリズムEpheGenに基づいてアドホック鍵ESK_B^PKIを生成する。生成されたアドホック鍵ESK_B^PKIは、第二情報共有装置U_B内に秘密に保持される。

【0094】

第二情報共有装置U_AからMes₁^ＩD=(SPK_A^PKI,cert_A)を受け取った後に、第二情報共有装置U_Bの検証部U_B3は、1←^?Ver (vk,(ID_A,SPK_A^PKI),cert_A)の処理を行う（ステップＳ７）。すなわち、第二情報共有装置U_Bの検証部U_B3は、vk,(ID_A,SPK_A^PKI),cert_Aを用いて、電子署名方式の検証アルゴリズムVerに基づいて(ID_A,SPK_A^PKI),cert_Aの検証を行う。

【0095】

ステップＳ７の検証に合格した場合には、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、Mes₁^PKI←Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)の処理を行う（ステップＳ１４）。すなわち、第二情報共有装置U_Bの初期メッセージ生成部U_B2は、PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessage^preに基づいて初期メッセージMes₁^PKI=Message^pre(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI)を生成しSPK_B^PKI,cert_Bと共に第一情報共有装置U_Aに送信する。すなわち、Mes₂^ID=(Mes₁^PKI,SPK_B^PKI,cert_B)が、第一情報共有装置U_Aに送信される。

【0096】

ステップＳ７の検証に合格しなかった場合には、その後の処理は行われない。

【0097】

Mes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取った後に、第一情報共有装置U_Aの検証部U_B3は、1←^?Ver (vk,(ID_B,SPK_B^PKI),cert_B)の処理を行う（ステップＳ９）。すなわち、第一情報共有装置U_Aの検証部U_B3は、vk,(ID_B,SPK_B^PKI),cert_Bを用いて、電子署名方式の検証アルゴリズムVerに基づいて(ID_B,SPK_B^PKI),cert_Bの検証を行う。

【0098】

ステップＳ９の検証に合格した場合には、以下の処理を行う。ステップＳ９の検証に合格しなかった場合には、以下の処理は行われない。

【0099】

この例では、第一情報共有装置U_AがMes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取る前にMes₂^PKIの生成が不可能であるとする。すなわち、第一情報共有装置U_AによるMes₂^PKIの生成は、第二情報共有装置U_Bから Mes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取った後に可能であるとする。第一情報共有装置U_AがMes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取る前にMes₂^PKIの生成が不可能かどうかは、ベースとなるPKI 認証鍵交換方式に依存する。

【0100】

この場合、第一情報共有装置U_Aの初期メッセージ生成部U_B2は、Mes₂^PKI←Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)の処理を行う（ステップＳ１５）。言い換えれば、第一情報共有装置U_Aの初期メッセージ生成部U_A2は、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいて初期メッセージMes₂^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI)を生成しMes₃^IDとして第二情報共有装置U_Bに送信する。

【0101】

その後は、第一情報共有装置U_A及び第二情報共有装置U_Bは、以下に述べるようにメッセージMes_i^PKIをi=3からi=nまで互いに送信し合う。なお、第二情報共有装置U_Bのメッセージ生成部U_B4は、nが３以上の場合のみ処理を行い、nが３未満の場合には処理を行わない。また、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが４以上の場合のみ処理を行い、nが４未満の場合には処理を行わない。

【0102】

すなわち、第二情報共有装置U_Bのメッセージ生成部U_A4は、nが３以上の場合には、iを３以上ｎ以下の各奇数として、Mes_i^PKI←Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)の処理を行う（ステップＳ１７）。言い換えれば、第二情報共有装置U_Bのメッセージ生成部U_B4は、nが３以上の場合には、iを３以上ｎ以下の各奇数として、PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいてメッセージMes_i^PKI=Message(PP^PKI, U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成しMes_i+1^IDとして第一情報共有装置U_Aに送信する。

【0103】

また、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが４以上の場合には、iを４以上ｎ以下の各偶数として、Mes_i^PKI←Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)の処理を行う（ステップＳ１６）。言い換えれば、第一情報共有装置U_Aのメッセージ生成部U_A4は、nが４以上の場合には、iを４以上ｎ以下の各偶数として、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKIを用いて、PKI 認証鍵交換方式のメッセージ生成アルゴリズムMessageに基づいてメッセージMes_i^PKI=Message(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_i-1^PKI)を生成しMes_i+1^IDとして第二情報共有装置U_Bに送信する。

【0104】

その後、第一情報共有装置U_Aの情報生成部U_A5は、K^PKI←SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)の処理を行う（ステップＳ１２）。すなわち、第一情報共有装置U_Aの情報生成部U_A5は、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKIを用いて、PKI 認証鍵交換方式のセッション鍵生成アルゴリズムに基づいて情報K^PKI=SesKey(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する。情報共有の対象がID認証鍵である場合には、ID認証鍵K^ID=K^PKIとなる。

【0105】

また、第二情報共有装置U_Bの情報生成部U_B5は、K^PKI←SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)の処理を行う（ステップＳ１３）。すなわち、第二情報共有装置U_Bの情報生成部U_B5は、PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKIを用いて、PKI 認証鍵交換方式のセッション鍵生成アルゴリズムに基づいて情報K^PKI=SesKey(PP^PKI,U_B,U_A,SSK_B^PKI,ESK_B^PKI,SPK_A^PKI,Mes₁^PKI,…,Mes_n^PKI)を生成する。情報共有の対象がID認証鍵である場合には、ID認証鍵K^ID=K^PKIとなる。

【0106】

第二実施形態によっても、上記説明した第一実施形態と同様の効果を得ることができる。

【0107】

〈第二実施形態の変形例〉
この例では、第一情報共有装置U_AがMes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取る前にMes₂^PKIの生成が可能であるとする。第一情報共有装置U_AがMes₁^ＩD=(Mes₁^PKI,SPK_B^PKI,cert_B)を受け取る前にMes₂^PKIの生成が可能かどうかは、ベースとなるPKI 認証鍵交換方式に依存する。

【0108】

この場合、第一情報共有装置U_Aは、ステップＳ１５の処理に代えて、以下に説明するステップＳ１５’の処理を行う。

【0109】

ステップＳ９の検証に合格した後に、第一情報共有装置U_Aの初期メッセージ生成部U_B2は、Mes₂^PKI←Message^pre(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI)の処理を行う（ステップＳ１５’）。言い換えれば、第一情報共有装置U_Aの初期メッセージ生成部U_A2は、PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKIを用いて、PKI 認証鍵交換方式の初期メッセージ生成アルゴリズムMessage^preに基づいて初期メッセージMes₂^PKI=Message^pre(PP^PKI,U_A,U_B,SSK_A^PKI,ESK_A^PKI,SPK_B^PKI)を生成しMes₃^IDとして第二情報共有装置U_Bに送信する。

【0110】

その後、ステップＳ１６の処理が行われる。

【0111】

第二実施形態の変形例によっても、上記説明した第一実施形態と同様の効果を得ることができる。

【0112】

［変形例等］
上記装置及び方法において説明した処理は、記載の順にしたがって時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

【0113】

また、上記の実施形態及び変形例で説明した各装置における各種の処理機能をコンピュータによって実現してもよい。その場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

【0114】

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

【0115】

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させてもよい。

【0116】

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶部に格納する。そして、処理の実行時、このコンピュータは、自己の記憶部に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実施形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよい。さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、プログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

【0117】

また、コンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】