特開 2023-175540 鍵交換システム、情報処理装置、方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023175540

(43)【公開日】2023-12-12

(54)【発明の名称】鍵交換システム、情報処理装置、方法、及びプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20231205BHJP

【ＦＩ】

H04L9/08 D

H04L9/08 F

【審査請求】未請求

【請求項の数】7

【出願形態】ＯＬ

(21)【出願番号】P 2022088032

(22)【出願日】2022-05-30

(71)【出願人】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(71)【出願人】

【識別番号】506118098

【氏名又は名称】サイボウズ・ラボ株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100124844

【弁理士】

【氏名又は名称】石原 隆治

(72)【発明者】

【氏名】村上 啓造

(72)【発明者】

【氏名】小林 鉄太郎

(72)【発明者】

【氏名】光成 滋生

(57)【要約】

【課題】ＩＤベース認証付き鍵交換を行う際に通信相手のＩＤを取得可能な技術を提供すること。
【解決手段】本開示の一態様による鍵交換システムは、複数の通信端末とサーバとが含まれる鍵交換システムであって、前記複数の通信端末に含まれる各通信端末は、通信相手となる他の通信端末のアドレス情報を前記サーバに送信するように構成されている第１の送信部と、前記サーバから送信されたＩＤと、自身のＩＤとを用いて、ＩＤベース認証付き鍵交換により前記他の通信端末との間で相互認証及び鍵交換を行うように構成されている鍵交換部と、を有し、前記サーバは、前記アドレス情報を受信すると、前記アドレス情報に対応するＩＤを前記通信端末に送信するように構成されている第２の送信部、を有する。
【選択図】図７

【特許請求の範囲】

【請求項1】

複数の通信端末とサーバとが含まれる鍵交換システムであって、
前記複数の通信端末に含まれる各通信端末は、
通信相手となる他の通信端末のアドレス情報を前記サーバに送信するように構成されている第１の送信部と、
前記サーバから送信されたＩＤと、自身のＩＤとを用いて、ＩＤベース認証付き鍵交換により前記他の通信端末との間で相互認証及び鍵交換を行うように構成されている鍵交換部と、を有し、
前記サーバは、
前記アドレス情報を受信すると、前記アドレス情報に対応するＩＤを前記通信端末に送信するように構成されている第２の送信部、
を有する鍵交換システム。

【請求項2】

前記サーバは、
前記アドレス情報を受信すると、前記アドレス情報とＩＤとが対応付けて格納されているテーブルを参照して、前記アドレス情報に対応するＩＤを取得するように構成されている取得部を更に有し、
前記第２の送信部は、
前記取得部が取得したＩＤを前記通信端末に送信するように構成されている、請求項１に記載の鍵交換システム。

【請求項3】

前記アドレス情報は、前記他の通信端末のＦＱＤＮ又はＩＰアドレスである、請求項２に記載の鍵交換システム。

【請求項4】

前記第１の送信部は、
自身が、前記ＩＤベース認証付き鍵交換のイニシエータである場合、前記他の通信端末のアドレス情報を前記サーバに送信するように構成されている、請求項１乃至３の何れか一項に記載の鍵交換システム。

【請求項5】

ＩＤベース認証付き鍵交換により他の通信端末との間で相互認証及び鍵交換を行う通信端末と通信可能に接続される情報処理装置であって、
前記他の通信端末のアドレス情報を前記通信端末から受信するように構成されている受信部と、
前記アドレス情報を受信すると、前記アドレス情報に対応するＩＤを前記通信端末に送信するように構成されている送信部と、
を有する情報処理装置。

【請求項6】

複数の通信端末とサーバとが含まれる鍵交換システムに用いられる方法であって、
前記複数の通信端末に含まれる通信端末が、
通信相手となる他の通信端末のアドレス情報を前記サーバに送信するように構成されている第１の送信手順と、
前記サーバから送信されたＩＤと、自身のＩＤとを用いて、ＩＤベース認証付き鍵交換により前記他の通信端末との間で相互認証及び鍵交換を行うように構成されている鍵交換手順と、を実行し、
前記サーバが、
前記アドレス情報を受信すると、前記アドレス情報に対応するＩＤを前記通信端末に送信するように構成されている第２の送信手順、
を実行する方法。

【請求項7】

コンピュータを、請求項１に記載の鍵交換システムに含まれる通信端末又はサーバとして機能させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、鍵交換システム、情報処理装置、方法、及びプログラムに関する。

【背景技術】

【0002】

ＩｏＴ（Internet of Things）機器の普及やスマートシティの実現により、通信端末同士でアドホックに高速な通信を確立したいというニーズが高まっている。従来のＨＴＴＰ／２（Hypertext Transfer Protocol version 2）では通信確立までに鍵交換と相互認証に２往復の通信を必要としていたが、ＨＴＴＰ／３（Hypertext Transfer Protocol version 3）では１往復で鍵交換と相互認証が完了する。鍵交換と相互認証には、これまで主にＤＨ（Diffie-Hellman）鍵交換やＥＣＤＨＥ（Elliptic curve Diffie-Hellman）鍵交換等といった鍵交換プロトコルとＲＳＡ（Rivest-Shamir-Adleman）署名やＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）等といった署名技術とを組み合わせることで実現していた。これに対して、ＩＤベース認証付き鍵交換と呼ばれる技術を用いることで、証明書不要で鍵交換と相互認証を１つのプロトコルで実現できる。ＩＤベース認証付き鍵交換には様々な方式が存在するが、演算効率のよい方式として通信開始前に通信相手のＩＤを知っている必要がある方式が存在する（例えば、非特許文献１参照）。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】木下魁，永井彰，鈴木幸太郎，"TLS1.3へのIDベース認証鍵交換の適用と実装評価"，コンピュータセキュリティシンポジウム2019, 824-830.

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、通信相手が固定であればその通信相手のＩＤが既知であるものとして実装可能であるが、不特定多数との通信に適用する場合には通信開始前に通信相手のＩＤを何等かの方法で知る必要があった
本開示は、上記の点に鑑みてなされたもので、ＩＤベース認証付き鍵交換を行う際に通信相手のＩＤを取得可能な技術を提供する。

【課題を解決するための手段】

【0005】

本開示の一態様による鍵交換システムは、複数の通信端末とサーバとが含まれる鍵交換システムであって、前記複数の通信端末に含まれる各通信端末は、通信相手となる他の通信端末のアドレス情報を前記サーバに送信するように構成されている第１の送信部と、前記サーバから送信されたＩＤと、自身のＩＤとを用いて、ＩＤベース認証付き鍵交換により前記他の通信端末との間で相互認証及び鍵交換を行うように構成されている鍵交換部と、を有し、前記サーバは、前記アドレス情報を受信すると、前記アドレス情報に対応するＩＤを前記通信端末に送信するように構成されている第２の送信部、を有する。

【発明の効果】

【0006】

ＩＤベース認証付き鍵交換を行う際に通信相手のＩＤを取得可能な技術が提供される。

【図面の簡単な説明】

【0007】

【図1】本実施形態に係る認証付き鍵交換システムの全体構成の一例を示す図である。

【図2】本実施形態に係る鍵配布サーバの機能構成の一例を示す図である。

【図3】本実施形態に係るＩＤ解決サーバの機能構成の一例を示す図である。

【図4】ＩＤテーブルの一例を示す図である。

【図5】本実施形態に係る通信端末の機能構成の一例を示す図である。

【図6】本実施形態に係るセットアップ処理の一例を示すフローチャートである。

【図7】本実施形態に係る認証付き鍵交換処理の一例を示すシーケンス図である。

【図8】コンピュータのハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0008】

以下、本発明の一実施形態について説明する。以下の実施形態では、ＩＤベース認証付き鍵交換を行う際に通信相手のＩＤを取得可能な認証付き鍵交換システム１について説明する。ここで、ＩＤベース認証付き鍵交換には様々な方式が存在するが、例えば、参考文献１に記載されている方式が存在する。参考文献１に記載されている方式は、通信開始前に通信相手のＩＤを知っている必要があるが、演算効率のよい方式である。本実施形態では、ＩＤベース認証付き鍵交換として、参考文献１に記載されている方式のように、通信開始前に通信相手のＩＤを知っている必要がある方式を想定する。なお、ＩＤベース認証付き鍵交換の詳細については、適宜、参考文献１等を参照されたい。

【0009】

＜全体構成＞
本実施形態に係る認証付き鍵交換システム１の全体構成例を図１に示す。図１に示すように、本実施形態に係る認証付き鍵交換システム１には、エンティティとして、鍵配布サーバ１０と、ＩＤ解決サーバ２０と、複数の通信端末３０とが含まれる。これらの各エンティティは、インターネット等の通信ネットワークＮを介して通信可能に接続される。

【0010】

鍵配布サーバ１０は、鍵生成局（ＫＧＣ：Key Generation Center）として機能する汎用サーバ等のコンピュータ又はコンピュータシステム（情報処理装置又は情報処理システム）である。

【0011】

ＩＤ解決サーバ２０は、通信相手となる通信端末３０のアドレスからそのＩＤを解決する機能を持つ汎用サーバ等のコンピュータ又はコンピュータシステム（情報処理装置又は情報処理システム）である。ＩＤは通信端末３０を一意に識別可能な識別子であり、その通信端末３０の長期秘密鍵の生成に用いられる。ＩＤとしては、例えば、通信端末３０の製造固有番号、通信端末３０に対して一意に割り当てられた番号や文字列、通信端末３０を利用又は管理するユーザのユーザＩＤ等が挙げられる。

【0012】

通信端末３０は、ＩＤベース認証付き鍵交換により、通信相手となる他の通信端末３０との間で鍵交換と相互認証とを行う各種端末である。通信端末３０としては、例えば、汎用サーバ、ＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末、デジタル家電、車載器、センサデバイス等が挙げられる。なお、受信側の通信端末３０には、例えば、汎用サーバ、ＰＣ（パーソナルコンピュータ）等が用いられる場合が多く、送信側の通信端末３０には、例えば、スマートフォン、タブレット端末、デジタル家電、車載器、センサデバイス等が用いられる場合が多い。ただし、これに限られるものではない。以下、複数の通信端末３０の各々を区別する場合は「通信端末３０Ａ」、「通信端末３０Ｂ」等と表記する。また、通信端末３０ＡのＩＤを「ＩＤ_Ａ」、通信端末３０ＢのＩＤを「ＩＤ_Ｂ」等と表記する。

【0013】

なお、図１に示す認証付き鍵交換システム１の全体構成は一例であって、これに限られるものではない。例えば、鍵配布サーバ１０とＩＤ解決サーバ２０とが別体ではなく、一体で構成されていてもよい。

【0014】

＜機能構成＞
以下、本実施形態に係る鍵配布サーバ１０、ＩＤ解決サーバ２０及び通信端末３０の機能構成例について説明する。

【0015】

≪鍵配布サーバ１０≫
本実施形態に係る鍵配布サーバ１０の機能構成例を図２に示す。図２に示すように、本実施形態に係る鍵配布サーバ１０は、公開パラメータ生成部１０１と、マスター秘密鍵生成部１０２と、マスター公開鍵生成部１０３と、通信部１０４と、長期秘密鍵生成部１０５とを有する。これら各部は、例えば、鍵配布サーバ１０にインストールされた１以上のプログラムが、ＣＰＵ（Central Processing Unit）等のプロセッサに実行させる処理により実現される。また、本実施形態に係る鍵配布サーバ１０は、記憶部１０６を有する。記憶部１０６は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等のストレージ装置（記憶装置）により実現される。

【0016】

公開パラメータ生成部１０１は、公開パラメータｐｐを生成する。ここで、例えば、素数ｐと、位数ｐの巡回群Ｇ_１、Ｇ_２、Ｇ_Ｔと、Ｇ_１の生成元ｇ_１と、Ｇ_２の生成元ｇ_２と、以下の双線形性及び非退化性を満たす双線形写像ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔとで構成される双線形群をＧ＝（ｐ，Ｇ_１，Ｇ_２，Ｇ_Ｔ，ｇ_１，ｇ_２，ｅ）とする。ただし、Ｚ_ｐは、整数の加法群におけるｐを法とする剰余類のなす加法群である。

【0017】

双線形性：任意のｈ_１∈Ｇ_１、ｈ_２∈Ｇ_２、ａ，ｂ∈Ｚ_ｐに対して、ｅ（ｈ_１ ^ａ，ｈ_２ ^ｂ）＝ｅ（ｈ_１，ｈ_２）^ａｂが成り立つ。

【0018】

非退化性：ｅ（ｇ_１，ｇ_２）はＧ_Ｔの生成元である。

【0019】

このとき、公開パラメータ生成部１０１は、例えば、公開パラメータとしてｐｐ＝Ｇを生成すればよい。ただし、後述するマスター公開鍵ｍｐｋ＝Ｗも含めて、例えば、ｐｐ＝（Ｇ，Ｗ）を公開パラメータとしてもよいし、双線形群Ｇは既知であるものとして、ｐｐ＝Ｗを公開パラメータとしてもよい。ただし、これらの公開パラメータｐｐの生成方法は一例であって、これに限られるものではない。なお、公開パラメータｐｐは公開されるパラメータである。

【0020】

マスター秘密鍵生成部１０２は、マスター秘密鍵ｍｓｋを生成する。マスター秘密鍵生成部１０２は、例えば、Ｚ_ｐから一様ランダムにｗを生成し、このｗ∈Ｚ_ｐをマスター秘密鍵ｍｓｋ＝ｗとすればよい。ただし、このマスター秘密鍵ｍｓｋの生成方法は一例であって、これに限られるものではない。

【0021】

マスター公開鍵生成部１０３は、マスター公開鍵ｍｐｋを生成する。マスター公開鍵生成部１０３は、例えば、Ｗ＝ｇ_１ ^ｗを生成し、このＷをマスター公開鍵ｍｐｋ＝Ｗとすればよい。ただし、このマスター公開鍵ｍｐｋの生成方法は一例であって、これに限られるものではない。

【0022】

通信部１０４は、通信端末３０からＩＤを受信する。また、通信部１０４は、公開パラメータｐｐと、マスター公開鍵ｍｐｋと、そのＩＤに対応する長期秘密鍵ｓｓｋとを当該通信端末３０に送信する。

【0023】

長期秘密鍵生成部１０５は、通信部１０４が受信したＩＤに対応する長期秘密鍵ｓｓｋを生成する。長期秘密鍵生成部１０５は、例えば、ｓｓｋ＝ｇ_２ ^{（１／（ｗ＋ｉ））}（ただし、ｉ＝Ｈ_１（ＩＤ）、Ｈ_１（・）はＩＤのビット列を入力としてＺ_ｐの元を出力するハッシュ関数である。）を、当該ＩＤに対応する長期秘密鍵ｓｓｋとして生成すればよい。ただし、この長期秘密鍵ｓｓｋの生成方法は一例であって、これに限られるものではない。

【0024】

記憶部１０６は、公開パラメータｐｐ、マスター秘密鍵ｍｓｋ及びマスター公開鍵ｍｐｋ等を記憶する。

【0025】

≪ＩＤ解決サーバ２０≫
本実施形態に係るＩＤ解決サーバ２０の機能構成例を図３に示す。図３に示すように、本実施形態に係るＩＤ解決サーバ２０は、通信部２０１と、検索部２０２とを有する。これら各部は、例えば、ＩＤ解決サーバ２０にインストールされた１以上のプログラムが、ＣＰＵ等のプロセッサに実行させる処理により実現される。また、本実施形態に係るＩＤ解決サーバ２０は、記憶部２０３を有する。記憶部２０３は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等のストレージ装置（記憶装置）により実現される。

【0026】

通信部２０１は、通信端末３０の通信相手となる他の通信端末３０のアドレスを受信する。また、通信部２０１は、そのアドレスから得られたＩＤ（つまり、通信相手となる他の通信端末３０のＩＤ）を、当該通信端末３０に送信する。

【0027】

検索部２０２は、通信部２０１が受信したアドレスに対応するＩＤをＩＤテーブル１０００から検索する。なお、ＩＤテーブル１０００とは、アドレスとＩＤとが対応付けられたテーブル形式のデータのことである。ただし、ＩＤテーブル１０００は必ずしもテーブル形式である必要はなく、アドレスからＩＤを取得（検索）可能なデータ形式であれば任意のデータ形式でよい。ＩＤテーブル１０００の例については後述する。

【0028】

記憶部２０３は、ＩＤテーブル１０００を記憶する。ここで、ＩＤテーブル１０００の一例を図４に示す。図４に示すように、ＩＤテーブル１０００には、アドレスとＩＤとが対応付けられている。これにより、検索部２０２は、通信端末３０のアドレスからその通信端末３０のＩＤを検索することができる。アドレスには、通信端末３０が通信相手との通信開始前にその通信相手から取得可能な様々なアドレス情報を用いることが可能である。例えば、アドレスとして、ＦＱＤＮ（Fully Qualified Domain Name）やＩＰ（Internet Protocol）アドレス等を用いることが可能である。なお、ＩＤテーブル１０００は、例えば、認証付き鍵交換システム１の管理者等によって予め作成される。

【0029】

≪通信端末３０≫
本実施形態に係る通信端末３０の機能構成例を図５に示す。図５に示すように、本実施形態に係る通信端末３０は、通信部３０１と、短期鍵生成部３０２と、セッション鍵生成部３０３とを有する。これら各部は、例えば、通信端末３０にインストールされた１以上のプログラムが、ＣＰＵ等のプロセッサに実行させる処理により実現される。また、本実施形態に係る通信端末３０は、記憶部３０４を有する。記憶部３０４は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等のストレージ装置（記憶装置）により実現される。

【0030】

通信部３０１は、自身のＩＤを鍵配布サーバ１０に送信したり、公開パラメータｐｐ、マスター公開鍵ｍｐｋ及び当該ＩＤに対応する長期秘密鍵ｓｓｋを鍵配布サーバ１０から受信したりする。また、通信部３０１は、自身の通信相手となる他の通信端末３０のアドレスをＩＤ解決サーバ２０に送信したり、そのアドレスに対応するＩＤ（つまり、自身の通信相手となる他の通信端末３０のＩＤ）をＩＤ解決サーバ２０から受信したりする。更に、通信部３０１は、自身がイニシエータである場合に、自身のＩＤと後述する自身の短期公開鍵ｅｐｋとを通信相手となる他の通信端末３０に送信したり、通信相手の短期公開鍵ｅｐｋを当該他の通信端末３０から受信したりする。

【0031】

なお、自身がレスポンダである場合、通信部３０１は、自身の通信相手となる他の通信端末３０のアドレスをＩＤ解決サーバ２０に送信する必要はない。また、自身がレスポンダである場合、通信部３０１は、自身の通信相手となる他の通信端末３０からＩＤ及び短期公開鍵ｅｐｋを受信し、自身の短期公開鍵ｅｐｋを当該他の通信端末３０に送信する。

【0032】

短期鍵生成部３０２は、自身の短期秘密鍵ｅｓｋと短期公開鍵ｅｐｋとの鍵ペア（ｅｓｋ，ｅｐｋ）を生成する。短期鍵生成部３０２は、例えば、｛０，１｝^λ（ただし、λはセキュリティパラメータである。）から一様ランダムにｒを生成し、このｒ∈｛０，１｝^λを短期秘密鍵ｅｓｋ＝ｒとすればよい。また、このとき、短期鍵生成部３０２は、ｘ＝Ｈ_２（ｓｓｋ，ｒ）（ただし、Ｈ_２（・）はビット列を入力としてＺ_ｐの元を出力するハッシュ関数である。）も生成する。更に、短期鍵生成部３０２は、例えば、Ｘ＝（Ｗｇ_１ ^ｉ'）^ｘ（ただし、ｉ'＝Ｈ_１（ＩＤ'）、ＩＤ'は通信相手となる他の通信端末３０のＩＤである。）を生成し、このＸを短期公開鍵ｅｐｋ＝Ｘとすればよい。ただし、これらの短期秘密鍵ｅｓｋ及び短期公開鍵ｅｐｋの生成方法は一例であって、これに限られるものではない。

【0033】

セッション鍵生成部３０３は、通信相手となる他の通信端末３０との暗号化通信に用いられるセッション鍵（つまり、暗号化鍵）ＳＫを生成する。セッション鍵生成部３０３は、例えば、以下によりセッション鍵ＳＫを生成すればよい。ただし、Ｈ_３（・）はビット列を入力としてＺ_ｐの元を出力するハッシュ関数、Ｈ_４（・）はビット列を入力として｛０，１｝^λの元を出力するハッシュ関数である。

【0034】

ｄ＝Ｈ_３（Ｘ，ＩＤ，ＩＤ'）
ｄ'＝Ｈ_３（Ｘ'，ＩＤ，ＩＤ'）（ただし、Ｘ'は通信相手となる他の通信端末３０の短期公開鍵ｅｐｋ＝Ｘ'）
σ＝ｅ（（Ｘ'（Ｗｇ_１ ^ｉ）^ｄ'）^ｘ＋ｄ，ｓｓｋ）
ＳＫ＝Ｈ_４（σ，ＩＤ，ＩＤ'，Ｘ，Ｘ'）
ただし、このセッション鍵ＳＫの生成方法は一例であって、これに限られるものではない。

【0035】

記憶部３０４は、公開パラメータｐｐ、マスター公開鍵ｍｐｋ、自身の長期秘密鍵ｓｓｋ、自身のＩＤ、通信相手のＩＤ、自身の短期秘密鍵ｅｓｋ、自身の短期公開鍵ｅｐｋ、及びセッション鍵ＳＫ等を記憶する。

【0036】

＜処理の詳細＞
以下、本実施形態に係る認証付き鍵交換システム１が実行するセットアップ処理及び認証付き鍵交換処理について説明する。なお、セットアップ処理は認証付き鍵交換処理が実行されるよりも前に実行される。

【0037】

≪セットアップ処理≫
本実施形態に係るセットアップ処理について、図６を参照しながら説明する。

【0038】

鍵配布サーバ１０の公開パラメータ生成部１０１は、公開パラメータｐｐを生成する（ステップＳ１０１）。

【0039】

次に、鍵配布サーバ１０のマスター秘密鍵生成部１０２は、マスター秘密鍵ｍｓｋを生成する（ステップＳ１０２）。

【0040】

次に、鍵配布サーバ１０のマスター公開鍵ｍｐｋを生成する（ステップＳ１０３）。

【0041】

以下のステップＳ１０４～ステップＳ１０６は各通信端末３０のＩＤ毎に繰り返し実行される。以下では、或る通信端末３０のＩＤに関するステップＳ１０４～ステップＳ１０６について説明する。

【0042】

鍵配布サーバ１０の通信部１０４は、当該通信端末３０からＩＤを受信する（ステップＳ１０４）。

【0043】

次に、鍵配布サーバ１０の長期秘密鍵生成部１０５は、上記のステップＳ１０４で受信したＩＤに対応する長期秘密鍵ｓｓｋを生成する（ステップＳ１０５）。

【0044】

そして、鍵配布サーバ１０の通信部１０４は、公開パラメータｐｐとマスター公開鍵ｍｐｋと長期秘密鍵ｓｓｋとを当該通信端末３０に送信する（ステップＳ１０６）。なお、ここでは公開パラメータｐｐとマスター公開鍵ｍｐｋと長期秘密鍵ｓｓｋとを通信端末３０に送信するものとしたが、公開パラメータｐｐ、マスター公開鍵ｍｐｋ及び長期秘密鍵ｓｓｋの配布方法はこれに限定されるものではない。

【0045】

≪認証付き鍵交換処理≫
本実施形態に係る認証付き鍵交換処理について、図７を参照しながら説明する。以下では、一例として、通信端末３０Ａをイニシエータ、通信端末３０Ｂをレスポンダとし、通信端末３０Ａと通信端末３０Ｂとの間で認証付き鍵交換を行う場合について説明する。

【0046】

通信端末３０Ａの通信部３０１は、通信端末３０Ｂのアドレス（例えば、通信端末３０ＢのＦＱＤＮ又はＩＰアドレス等）をＩＤ解決サーバ２０に送信する（ステップＳ２０１）。

【0047】

ＩＤ解決サーバ２０の検索部２０２は、通信端末３０Ｂのアドレスを通信部２０１が受信すると、そのアドレスに対応するＩＤをＩＤテーブル１０００から検索及び取得する（ステップＳ２０２）。以下、通信端末３０ＢのＩＤとしてＩＤ_Ｂが検索及び取得されたものとする。

【0048】

次に、ＩＤ解決サーバ２０の通信部２０１は、上記のステップＳ２０２で取得されたＩＤ_Ｂを通信端末３０Ａに送信する（ステップＳ２０３）。

【0049】

通信端末３０Ａの短期鍵生成部３０２は、公開パラメータｐｐと、マスター公開鍵ｍｐｋと、自身のＩＤ_Ａと、通信部３０１が受信したＩＤ_Ｂとを用いて、自身の短期秘密鍵と短期公開鍵の鍵ペア（ｅｓｋ_Ａ，ｅｐｋ_Ａ）を生成する（ステップＳ２０４）。

【0050】

次に、通信端末３０Ａの通信部３０１は、自身のＩＤ_Ａと自身の短期公開鍵ｅｐｋ_Ａとを通信端末３０Ｂに送信する（ステップＳ２０５）。

【0051】

通信端末３０Ｂの短期鍵生成部３０２は、公開パラメータｐｐと、マスター公開鍵ｍｐｋと、自身のＩＤ_Ｂと、通信部３０１が受信したＩＤ_Ａとを用いて、自身の短期秘密鍵と短期公開鍵の鍵ペア（ｅｓｋ_Ｂ，ｅｐｋ_Ｂ）を生成する（ステップＳ２０６）。

【0052】

次に、通信端末３０Ｂの通信部３０１は、自身の短期公開鍵ｅｐｋ_Ｂを通信端末３０Ａに送信する（ステップＳ２０７）。

【0053】

通信端末３０Ａのセッション鍵生成部３０３は、公開パラメータｐｐと、マスター公開鍵ｍｐｋと、自身のＩＤ_Ａと、通信端末３０ＢのＩＤ_Ｂと、自身の短期公開鍵ｅｐｋ_Ａと、通信端末３０Ｂの短期公開鍵ｅｐｋ_Ｂと、自身の長期秘密鍵ｓｓｋ_Ａとを用いて、セッション鍵ＳＫを生成する（ステップＳ２０８）。

【0054】

同様に、通信端末３０Ｂのセッション鍵生成部３０３は、公開パラメータｐｐと、マスター公開鍵ｍｐｋと、自身のＩＤ_Ｂと、通信端末３０ＡのＩＤ_Ａと、自身の短期公開鍵ｅｐｋ_Ｂと、通信端末３０Ａの短期公開鍵ｅｐｋ_Ａと、自身の長期秘密鍵ｓｓｋ_Ｂとを用いて、セッション鍵ＳＫを生成する（ステップＳ２０９）。なお、本ステップは、上記のステップＳ２０７の前に実行されてもよい。

【0055】

以上により、通信端末３０Ａと通信端末３０Ｂとの間で相互認証と暗号化通信に用いられるセッション鍵ＳＫの鍵交換とが行われたことになる。

【0056】

＜ハードウェア構成＞
本実施形態に係る鍵配布サーバ１０、ＩＤ解決サーバ２０及び各通信端末３０は、例えば、図８に示すコンピュータ５００のハードウェア構成により実現可能である。図８に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、ＲＡＭ（Random Access Memory）５０５と、ＲＯＭ（Read Only Memory）５０６と、補助記憶装置５０７と、プロセッサ５０８とを有する。これらの各ハードウェアは、それぞれがバス５０９を介して通信可能に接続されている。

【0057】

入力装置５０１は、例えば、キーボード、マウス、タッチパネル、物理ボタン等である。表示装置５０２は、例えば、ディスプレイ、表示パネル等である。なお、コンピュータ５００は、例えば、入力装置５０１及び表示装置５０２の少なくとも一方を有していなくてもよい。

【0058】

外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。コンピュータ５００は、外部Ｉ／Ｆ５０３を介して、記録媒体５０３ａの読み取りや書き込み等を行うことができる。記録媒体５０３ａとしては、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

【0059】

通信Ｉ／Ｆ５０４は、コンピュータ５００を通信ネットワークに接続するためのインタフェースである。ＲＡＭ５０５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ５０６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置５０７は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等のストレージ装置（記憶装置）である。プロセッサ５０８は、例えば、ＣＰＵ等の演算装置である。

【0060】

本実施形態に係る鍵配布サーバ１０、ＩＤ解決サーバ２０及び各通信端末３０は、例えば、図８に示すコンピュータ５００のハードウェア構成を有することにより、上述した各種処理を実現することができる。なお、図８に示すコンピュータ５００のハードウェア構成は一例であって、これに限られるものではない。例えば、コンピュータ５００は、複数の補助記憶装置５０７や複数のプロセッサ５０８を有していてもよいし、図示したハードウェアの一部を有していなくてもよいし、図示したハードウェア以外の様々なハードウェアを有していてもよい。

【0061】

＜まとめ＞
以上のように、本実施形態に係る認証付き鍵交換システム１では、各通信端末３０が通信相手のアドレスからその通信相手のＩＤを取得することができる。このため、各通信端末３０が事前に通信相手のＩＤを知らない状態であっても、その通信相手のアドレスを知っていれば、ＩＤベース認証付き鍵交換により相互認証及び鍵交換を行うことが可能となる。

【0062】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

【0063】

［参考文献］
参考文献１：J. Tomida, A. Fujioka, A. Nagai, and K. Suzuki, "Strongly Secure Identity-Based Key Exchange with Single Pairing Operation", in Computer Security - ESORICS 2019, 2019, pp. 484-503.

【符号の説明】

【0064】

１ 認証付き鍵交換システム
１０ 鍵配布サーバ
２０ ＩＤ解決サーバ
３０ 通信端末
１０１ 公開パラメータ生成部
１０２ マスター秘密鍵生成部
１０３ マスター公開鍵生成部
１０４ 通信部
１０５ 長期秘密鍵生成部
１０６ 記憶部
２０１ 通信部
２０２ 検索部
２０３ 記憶部
３０１ 通信部
３０２ 短期鍵生成部
３０３ セッション鍵生成部
３０４ 記憶部
５００ コンピュータ
５０１ 入力装置
５０２ 表示装置
５０３ 外部Ｉ／Ｆ
５０３ａ 記録媒体
５０４ 通信Ｉ／Ｆ
５０５ ＲＡＭ
５０６ ＲＯＭ
５０７ 補助記憶装置
５０８ プロセッサ
５０９ バス
１０００ ＩＤテーブル
Ｎ 通信ネットワーク

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】