▶ 三菱電機株式会社の特許一覧 ▶ 独立行政法人情報通信研究機構の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024132694
(43)【公開日】2024-10-01
(54)【発明の名称】通信システム、通信端末及び通信方法
(51)【国際特許分類】
H04L 9/32 20060101AFI20240920BHJP
H04L 9/08 20060101ALI20240920BHJP
【ＦＩ】
H04L9/32 200A
H04L9/32 200E
H04L9/08 D
H04L9/08 E
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2023043567
(22)【出願日】2023-03-17
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和３年度 総務省「グローバル量子暗号通信網構築のための研究開発」委託研究、産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(71)【出願人】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】鶴丸 豊広
(72)【発明者】
【氏名】藤原 幹生
(72)【発明者】
【氏名】加藤 豪
(72)【発明者】
【氏名】佐々木 雅英
(57)【要約】
【課題】メッセージ認証１回当たりの認証鍵の消費量を削減可能にする。
【解決手段】第１端末が、第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された暗号化乱数ｒ１を復号して得られた乱数ｒ’とから認証タグｔを生成する。第１端末が、認証タグｔを前記第２端末に送信する。第２端末が、認証タグｔを認証タグｔ’として受信する。第２端末が、第１端末との間で通信したメッセージｍ’と鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された暗号化乱数ｒ２を復号して得られた乱数ｒ’’とから認証タグｔ’が生成されるか否かを判定する。
【選択図】図１
【解決手段】第１端末が、第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された暗号化乱数ｒ１を復号して得られた乱数ｒ’とから認証タグｔを生成する。第１端末が、認証タグｔを前記第２端末に送信する。第２端末が、認証タグｔを認証タグｔ’として受信する。第２端末が、第１端末との間で通信したメッセージｍ’と鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された暗号化乱数ｒ２を復号して得られた乱数ｒ’’とから認証タグｔ’が生成されるか否かを判定する。
【選択図】図１
【特許請求の範囲】
【請求項1】
認証装置と第１端末と第２端末とを備える通信システムであり、
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信システム。
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信システム。
【請求項2】
前記関数ｈは、ハッシュ関数であり、
前記認証タグ生成部は、前記関数値ｆと、前記乱数ｒ’との排他的論理和を前記認証タグｔとする
請求項１に記載の通信システム。
前記認証タグ生成部は、前記関数値ｆと、前記乱数ｒ’との排他的論理和を前記認証タグｔとする
請求項１に記載の通信システム。
【請求項3】
前記乱数送信部は、前記暗号化鍵ｋ１を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ１を前記第１端末に送信するとともに、前記暗号化鍵ｋ２を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ２を前記第２端末に送信し、
前記認証タグ生成部は、暗号化鍵ｋ’ｃｏｍ１として受信された前記暗号化鍵ｋｃｏｍ１を復号して得られた鍵ｋ’ｃｏｍを前記鍵ｋｃｏｍとして用い、
前記判定部は、暗号化鍵ｋ’ｃｏｍ２として受信された前記暗号化鍵ｋｃｏｍ２を復号して得られた鍵ｋ’’ｃｏｍを前記鍵ｋｃｏｍとして用いる
請求項１に記載の通信システム。
前記認証タグ生成部は、暗号化鍵ｋ’ｃｏｍ１として受信された前記暗号化鍵ｋｃｏｍ１を復号して得られた鍵ｋ’ｃｏｍを前記鍵ｋｃｏｍとして用い、
前記判定部は、暗号化鍵ｋ’ｃｏｍ２として受信された前記暗号化鍵ｋｃｏｍ２を復号して得られた鍵ｋ’’ｃｏｍを前記鍵ｋｃｏｍとして用いる
請求項１に記載の通信システム。
【請求項4】
前記第１端末と前記第２端末との間で、２以上の整数Ｌに関して、ｉ＝１，．．．，Ｌの各整数ｉについてのメッセージｍｉが通信され、
前記認証タグ生成部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍとして、前記認証タグｔを生成し、
前記判定部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍ’として、前記認証タグｔ’が生成されるか否かを判定する
請求項１に記載の通信システム。
前記認証タグ生成部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍとして、前記認証タグｔを生成し、
前記判定部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍ’として、前記認証タグｔ’が生成されるか否かを判定する
請求項１に記載の通信システム。
【請求項5】
認証装置との間で共有された暗号化鍵ｋ２を用いて乱数ｒが暗号化された暗号化乱数ｒ＊
２を前記認証装置から受信する乱数受信部と、
メッセージｍと、通信相手の端末である相手端末との間で共有された鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、前記相手端末と前記認証装置との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １が前記相手端末によって前記認証装置から取得され復号されて得られた乱数ｒ’とから生成された認証タグｔを認証タグｔ’として、前記相手端末から受信する認証タグ受信部と、
前記相手端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信端末。
メッセージｍと、通信相手の端末である相手端末との間で共有された鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、前記相手端末と前記認証装置との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １が前記相手端末によって前記認証装置から取得され復号されて得られた乱数ｒ’とから生成された認証タグｔを認証タグｔ’として、前記相手端末から受信する認証タグ受信部と、
前記相手端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信端末。
【請求項6】
認証装置が、第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊
１を前記第１端末に送信するとともに、第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊
２を前記第２端末に送信し、
前記第１端末が、前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成し、
前記第１端末が、前記認証タグｔを前記第２端末に送信し、
前記第２端末が、前記認証タグｔを認証タグｔ’として受信し、
前記第２端末が、前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する通信方法。
前記第１端末が、前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成し、
前記第１端末が、前記認証タグｔを前記第２端末に送信し、
前記第２端末が、前記認証タグｔを認証タグｔ’として受信し、
前記第２端末が、前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する通信方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、メッセージ認証技術に関する。
【背景技術】
【0002】
量子鍵配送（以下、ＱＫＤと呼ぶ）は、遠隔２地点のユーザ対が、情報理論的に安全な秘密鍵を無尽蔵に共有できる技術である。ＱＫＤは、Ｑｕａｎｔｕｍ Ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎの略である。
但し、ＱＫＤを実施するためには、当該ユーザ対は「認証鍵」と呼ばれる短い秘密鍵を共有しておく必要がある。短いとは、通常百ビット以下である。つまり、ＱＫＤは飽くまで「予め短い秘密鍵（＝認証鍵）を共有しているユーザ対に限って、認証鍵を利用して秘密鍵を無尽蔵に共有できる技術」である。すなわち、予め何も共有していないユーザ対が秘密鍵を共有できる技術ではない。この意味で、ＱＫＤを量子鍵拡張と呼ぶ文献もある。
但し、ＱＫＤを実施するためには、当該ユーザ対は「認証鍵」と呼ばれる短い秘密鍵を共有しておく必要がある。短いとは、通常百ビット以下である。つまり、ＱＫＤは飽くまで「予め短い秘密鍵（＝認証鍵）を共有しているユーザ対に限って、認証鍵を利用して秘密鍵を無尽蔵に共有できる技術」である。すなわち、予め何も共有していないユーザ対が秘密鍵を共有できる技術ではない。この意味で、ＱＫＤを量子鍵拡張と呼ぶ文献もある。
【0003】
認証鍵は、その名の通りメッセージ認証に使われる。より正確には、ＱＫＤでは量子通信路と古典公開通信路との両方が用いられるが、古典公開通信路での通信については第三者による改竄を検知可能とする必要がある。さもないと、最終的に生成される秘密鍵が安全でなくなる。この改竄検知機能を実現するために、情報理論的安全なメッセージ認証符号が用いられ、そのために認証鍵が消費される。情報理論的安全なメッセージ認証符号は、ＩＴ－ＭＡＣと呼ばれる。ＩＴ－ＭＡＣは、Ｉｎｆｏｒｍａｔｉｏｎ Ｔｈｅｏｒｅｔｉｃ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅの略である。ＩＴ－ＭＡＣは、非特許文献１の４．６節に記載がある。
【0004】
ＱＫＤをネットワーク上に組んだ場合も状況は同じである。ネットワーク上の任意の２ユーザがＱＫＤを実行したい場合、両者は予め認証鍵を共有しておく必要がある。
任意の２ユーザが予め認証鍵を共有する状況を実現する最もストレートな方法は、認証鍵を全ユーザ対に事前に共有しておくことである。しかし、この場合、ユーザ数がＮであるとすると、（Ｎ・（Ｎ－１））／２対の認証鍵が必要になる。つまり、各ユーザに配布する認証鍵の総量が、全ユーザ数の２乗に比例してしまい、非常に膨大になる。例えばネットワークの規模が倍になる度に、各ユーザに配布する認証鍵の量が倍になる。しかも、通常各ユーザが他のユーザの一部とだけ通信するので、共有された認証鍵の大半は使用されずに終わる。
任意の２ユーザが予め認証鍵を共有する状況を実現する最もストレートな方法は、認証鍵を全ユーザ対に事前に共有しておくことである。しかし、この場合、ユーザ数がＮであるとすると、（Ｎ・（Ｎ－１））／２対の認証鍵が必要になる。つまり、各ユーザに配布する認証鍵の総量が、全ユーザ数の２乗に比例してしまい、非常に膨大になる。例えばネットワークの規模が倍になる度に、各ユーザに配布する認証鍵の量が倍になる。しかも、通常各ユーザが他のユーザの一部とだけ通信するので、共有された認証鍵の大半は使用されずに終わる。
【0005】
特許文献１には、事前共有する秘密鍵の量を削減した技術が記載されている。特許文献１では、以下の３つのアイデアを組み合わせることにより、事前共有する秘密鍵の量を削減している。
（１）新たに「鍵管理局」を導入する。
（２）初期段階ではユーザ同士は鍵を共有しない。かわりに鍵管理局だけが、各ユーザと「事前鍵」を共有する。
（３）ＱＫＤを行う必要が生じたユーザ対のみが、鍵管理局から認証鍵の配布を受ける。つまり、メッセージ認証を行う必要が生じたユーザ対のみが、鍵管理局から認証鍵の配布を受ける。なお、認証鍵の配布に際しては、認証鍵はユーザと共有された事前鍵で暗号化（例えばワンタイムパッド暗号化方式により）される。例えば、ユーザ１とユーザ２とがＱＫＤを行う場合には、ユーザ１には、ユーザ１と鍵管理局との間で共有した事前鍵で暗号化された認証鍵が鍵管理局から配布される。ユーザ２には、ユーザ２と鍵管理局との間で共有した事前鍵で暗号化された認証鍵が鍵管理局から配布される。
（１）新たに「鍵管理局」を導入する。
（２）初期段階ではユーザ同士は鍵を共有しない。かわりに鍵管理局だけが、各ユーザと「事前鍵」を共有する。
（３）ＱＫＤを行う必要が生じたユーザ対のみが、鍵管理局から認証鍵の配布を受ける。つまり、メッセージ認証を行う必要が生じたユーザ対のみが、鍵管理局から認証鍵の配布を受ける。なお、認証鍵の配布に際しては、認証鍵はユーザと共有された事前鍵で暗号化（例えばワンタイムパッド暗号化方式により）される。例えば、ユーザ１とユーザ２とがＱＫＤを行う場合には、ユーザ１には、ユーザ１と鍵管理局との間で共有した事前鍵で暗号化された認証鍵が鍵管理局から配布される。ユーザ２には、ユーザ２と鍵管理局との間で共有した事前鍵で暗号化された認証鍵が鍵管理局から配布される。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】特開２００６－２０３５５９号公報
【非特許文献】
【0007】
【非特許文献1】Ｊ． Ｋａｔｚ ａｎｄ Ｙ． Ｌｉｎｄｅｌｌ， Ｉｎｔｒｏｄｕｃｔｉｏｎ ｔｏ Ｍｏｄｅｒｎ Ｃｒｙｐｔｏｇｒａｐｈｙ： Ｔｈｉｒｄ Ｅｄｉｔｉｏｎ， （ＣＲＣ Ｐｒｅｓｓ， Ｄｅｃｅｍｂｅｒ ２１， ２０２０）．
【発明の概要】
【発明が解決しようとする課題】
【0008】
特許文献１では、メッセージ認証を行う度に、認証鍵が更新される。そのため、メッセージ認証１回当たりの認証鍵の消費量が依然として多い。その結果、鍵管理局と各ユーザとが共有すべき事前鍵が依然として多く必要である。
より正確にいうと、特許文献１の方式を用いて、第三者による改竄成功確率をｐｆｏｒｇｅ以下に抑えたい場合、メッセージ認証１回当たり２ｌｏｇ２（１／ｐｆｏｒｇｅ）ビット以上の認証鍵を消費する必要がある（非特許文献１のＴｈｅｏｒｅｍ４．２６参照）。
本開示は、メッセージ認証１回当たりの認証鍵の消費量を削減することを目的とする。
より正確にいうと、特許文献１の方式を用いて、第三者による改竄成功確率をｐｆｏｒｇｅ以下に抑えたい場合、メッセージ認証１回当たり２ｌｏｇ２（１／ｐｆｏｒｇｅ）ビット以上の認証鍵を消費する必要がある（非特許文献１のＴｈｅｏｒｅｍ４．２６参照）。
本開示は、メッセージ認証１回当たりの認証鍵の消費量を削減することを目的とする。
【課題を解決するための手段】
【0009】
本開示に係る通信システムは、
認証装置と第１端末と第２端末とを備える通信システムであり、
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える。
認証装置と第１端末と第２端末とを備える通信システムであり、
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆと、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値ｆ’と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える。
【発明の効果】
【0010】
本開示では、認証装置から送信される乱数ｒだけでなく、鍵ｋｃｏｍを用いて認証タグを生成する。これにより、メッセージ認証１回当たりの認証鍵の消費量を削減できる。
【図面の簡単な説明】
【0011】
【図1】実施の形態１に係る通信システム１００の構成図。
【図2】実施の形態１に係る認証装置１０の構成図。
【図3】実施の形態１に係る通信端末２０の構成図。
【図4】実施の形態１に係る通信システム１００の処理のフローチャート。
【図5】実施の形態１に係る通信システム１００の処理の説明図。
【図6】実施の形態２に係る通信システム１００の処理の説明図。
【図7】実施の形態３に係る通信システム１００の処理のフローチャート。
【図8】実施の形態３に係る通信システム１００の処理の説明図。
【発明を実施するための形態】
【0012】
実施の形態１．
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信システム１００の構成を説明する。
通信システム１００は、認証装置１０と、複数の通信端末２０とを備える。認証装置１０と複数の通信端末２０とは、ネットワーク９０を介して接続されている。図１では、通信システム１００は、ｉ∈｛１，．．．，Ｎ｝の各整数ｉについての通信端末２０－ｉを備える。Ｎは、２以上の整数である。通信端末２０－ｉは、ユーザｉによって使用されることが想定されている。
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る通信システム１００の構成を説明する。
通信システム１００は、認証装置１０と、複数の通信端末２０とを備える。認証装置１０と複数の通信端末２０とは、ネットワーク９０を介して接続されている。図１では、通信システム１００は、ｉ∈｛１，．．．，Ｎ｝の各整数ｉについての通信端末２０－ｉを備える。Ｎは、２以上の整数である。通信端末２０－ｉは、ユーザｉによって使用されることが想定されている。
【0013】
図２を参照して、実施の形態１に係る認証装置１０の構成を説明する。
認証装置１０は、コンピュータである。
認証装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
認証装置１０は、コンピュータである。
認証装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0014】
認証装置１０は、機能構成要素として、要求受信部１１１と、乱数生成部１１２と、乱数送信部１１３とを備える。認証装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、認証装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、認証装置１０の各機能構成要素の機能が実現される。
ストレージ１３には、認証装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、認証装置１０の各機能構成要素の機能が実現される。
【0015】
図３を参照して、実施の形態１に係る通信端末２０の構成を説明する。
通信端末２０は、コンピュータである。
通信端末２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
通信端末２０は、コンピュータである。
通信端末２０は、プロセッサ２１と、メモリ２２と、ストレージ２３と、通信インタフェース２４とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0016】
通信端末２０は、機能構成要素として、要求送信部２１１と、乱数受信部２１２と、認証タグ生成部２１３と、認証タグ送信部２１４と、認証タグ受信部２１５と、判定部２１６とを備える。通信端末２０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ２３には、通信端末２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、通信端末２０の各機能構成要素の機能が実現される。
ストレージ２３には、通信端末２０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ２１によりメモリ２２に読み込まれ、プロセッサ２１によって実行される。これにより、通信端末２０の各機能構成要素の機能が実現される。
【0017】
プロセッサ１１，２１は、プロセッシングを行うＩＣである。ＩＣはＩｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。プロセッサ１１，２１は、具体例としては、ＣＰＵ、ＤＳＰ、ＧＰＵである。ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略である。ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。
【0018】
メモリ１２，２２は、データを一時的に記憶する記憶装置である。メモリ１２，２２は、具体例としては、ＳＲＡＭ、ＤＲＡＭである。ＳＲＡＭは、Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。ＤＲＡＭは、Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。
【0019】
ストレージ１３，２３は、データを保管する記憶装置である。ストレージ１３，２３は、具体例としては、ＨＤＤである。ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。また、ストレージ１３，２３は、ＳＤ（登録商標）メモリカード、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、Ｂｌｕ－ｒａｙ（登録商標）ディスク、ＤＶＤといった可搬記録媒体であってもよい。ＳＤは、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略である。
【0020】
通信インタフェース１４，２４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４，２４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ、ＨＤＭＩ（登録商標）のポートである。ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。ＨＤＭＩは、Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅの略である。
【0021】
図２では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。同様に、図３では、プロセッサ２１は、１つだけ示されていた。しかし、プロセッサ２１は、複数であってもよく、複数のプロセッサ２１が、各機能を実現するプログラムを連携して実行してもよい。
【0022】
＊＊＊動作の説明＊＊＊
実施の形態１に係る通信システム１００の動作を説明する。
実施の形態１に係る通信システム１００の動作手順は、実施の形態１に係る通信方法に相当する。また、実施の形態１に係る通信システム１００の動作を実現するプログラムは、実施の形態１に係る通信プログラムに相当する。
実施の形態１に係る通信システム１００の動作を説明する。
実施の形態１に係る通信システム１００の動作手順は、実施の形態１に係る通信方法に相当する。また、実施の形態１に係る通信システム１００の動作を実現するプログラムは、実施の形態１に係る通信プログラムに相当する。
【0023】
＊＊前提＊＊
＜鍵＞
初期段階で、認証装置１０と各整数ｉについての通信端末２０－ｉとは、第三者に開示されていない事前鍵ｐｉを共有している。事前鍵ｐｉは、共通事前鍵ｋｃｏｍと、暗号化鍵ｋｉという２つの部分からなる。つまり、ｐｉ＝（ｋｃｏｍ，ｋｉ）である。暗号化鍵は、データを秘匿する機能を有する暗号方式（例えばワンタイムパッド暗号化方式）における鍵である。
ここで、共通事前鍵ｋｃｏｍは、全通信端末２０で共通の値である。一方、暗号化鍵ｋｉは、通信端末２０毎（つまりユーザ毎）に独立の値である。つまり、暗号化鍵ｋｉは、通信端末２０毎に異なる値となり得る。
＜鍵＞
初期段階で、認証装置１０と各整数ｉについての通信端末２０－ｉとは、第三者に開示されていない事前鍵ｐｉを共有している。事前鍵ｐｉは、共通事前鍵ｋｃｏｍと、暗号化鍵ｋｉという２つの部分からなる。つまり、ｐｉ＝（ｋｃｏｍ，ｋｉ）である。暗号化鍵は、データを秘匿する機能を有する暗号方式（例えばワンタイムパッド暗号化方式）における鍵である。
ここで、共通事前鍵ｋｃｏｍは、全通信端末２０で共通の値である。一方、暗号化鍵ｋｉは、通信端末２０毎（つまりユーザ毎）に独立の値である。つまり、暗号化鍵ｋｉは、通信端末２０毎に異なる値となり得る。
【0024】
以下の説明において、認証装置１０からいずれかの通信端末２０－ｉにむけて暗号通信を行う場面がある。その際は、暗号化鍵ｋｉから未使用の部分が切り出して使用されるとする。
【0025】
＜状況＞
ｉ，ｊ∈｛１，．．．，Ｎ｝の整数ｉ，ｊについての通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行しており、そのなかで古典公開通信路を通じて通信端末２０－ｉが通信端末２０－ｊにメッセージｍを送ったとする。古典公開通信路は、第三者によって改竄される可能性があるので、メッセージｍが通信端末２０－ｊにそのまま正しく伝わるとは限らない。つまり、通信端末２０－ｊが（ｍのつもりで）受信するメッセージをｍ’とおいたとき、ｍ＝ｍ’が成り立つとは限らない。
ｉ，ｊ∈｛１，．．．，Ｎ｝の整数ｉ，ｊについての通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行しており、そのなかで古典公開通信路を通じて通信端末２０－ｉが通信端末２０－ｊにメッセージｍを送ったとする。古典公開通信路は、第三者によって改竄される可能性があるので、メッセージｍが通信端末２０－ｊにそのまま正しく伝わるとは限らない。つまり、通信端末２０－ｊが（ｍのつもりで）受信するメッセージをｍ’とおいたとき、ｍ＝ｍ’が成り立つとは限らない。
【0026】
＜実現する機能＞
送信側の通信端末２０－ｉが送ったメッセージｍが、正しく受信側の通信端末２０－ｊに届いたということを、受信側の通信端末２０－ｊが確認できるようにする。より正確には、受信側の通信端末２０－ｊが「改竄なし」と結論付けて、なおかつｍ≠ｍ’が成り立つ確率がε以下になるようにする。
送信側の通信端末２０－ｉが送ったメッセージｍが、正しく受信側の通信端末２０－ｊに届いたということを、受信側の通信端末２０－ｊが確認できるようにする。より正確には、受信側の通信端末２０－ｊが「改竄なし」と結論付けて、なおかつｍ≠ｍ’が成り立つ確率がε以下になるようにする。
【0027】
＊＊処理の流れ＊＊
図４及び図５を参照して、実施の形態１に係る通信システム１００の処理を説明する。
通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行中であるとする。ここでは、ｉ＝１，ｊ＝２として、通信端末２０－１を第１端末と呼び、通信端末２０－２を第２端末と呼ぶ。そして、第１端末が第２端末にメッセージｍを送信する状況を想定する。なお、一般の通信端末２０－ｉから通信端末２０－ｊにメッセージｍを送信する場合は、添え字１をｉと置き換え，添え字２をｊと置き換えて、通信端末２０－ｉを第１端末、通信端末２０－ｊを第２端末とすればよい。
図４及び図５を参照して、実施の形態１に係る通信システム１００の処理を説明する。
通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行中であるとする。ここでは、ｉ＝１，ｊ＝２として、通信端末２０－１を第１端末と呼び、通信端末２０－２を第２端末と呼ぶ。そして、第１端末が第２端末にメッセージｍを送信する状況を想定する。なお、一般の通信端末２０－ｉから通信端末２０－ｊにメッセージｍを送信する場合は、添え字１をｉと置き換え，添え字２をｊと置き換えて、通信端末２０－ｉを第１端末、通信端末２０－ｊを第２端末とすればよい。
【0028】
（図４のステップＳ１１：要求送信処理（図５の（１）に対応））
第１端末の要求送信部２１１は、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信する。これは、乱数ｒの共有を要求することに相当する。すると、認証装置１０の要求受信部１１１は、要求を受信する。
なお、第２端末の要求送信部２１１から、乱数ｒの共有が要求されてもよい。
第１端末の要求送信部２１１は、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信する。これは、乱数ｒの共有を要求することに相当する。すると、認証装置１０の要求受信部１１１は、要求を受信する。
なお、第２端末の要求送信部２１１から、乱数ｒの共有が要求されてもよい。
【0029】
【0030】
（図４のステップＳ１３：乱数送信処理（図５の（３）に対応））
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ１を用いて、ステップＳ１２で生成された乱数ｒを暗号化した暗号化乱数ｒ＊ １を生成する。乱数送信部１１３は、暗号化乱数ｒ＊ １を第１端末に送信する。暗号化鍵ｋ１は、認証装置１０と第１端末との間で共有された事前鍵ｐ１に含まれる。
すると、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信する。乱数受信部２１２は、暗号化鍵ｋ１を用いて暗号化乱数ｒ＊’１を復号して、乱数ｒ’を生成する。
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ１を用いて、ステップＳ１２で生成された乱数ｒを暗号化した暗号化乱数ｒ＊ １を生成する。乱数送信部１１３は、暗号化乱数ｒ＊ １を第１端末に送信する。暗号化鍵ｋ１は、認証装置１０と第１端末との間で共有された事前鍵ｐ１に含まれる。
すると、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信する。乱数受信部２１２は、暗号化鍵ｋ１を用いて暗号化乱数ｒ＊’１を復号して、乱数ｒ’を生成する。
【0031】
また、認証装置１０の乱数送信部１１３は、暗号化鍵ｋ２を用いてステップＳ１２で生成された乱数ｒを暗号化して暗号化乱数ｒ＊
２を生成する。乱数送信部１１３は、暗号化乱数ｒ＊
２を第２端末に送信する。暗号化鍵ｋ２は、認証装置１０と第２端末との間で共有された事前鍵ｐ２に含まれる。
すると、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化乱数ｒ＊’２を復号して、乱数ｒ’’を生成する。
すると、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化乱数ｒ＊’２を復号して、乱数ｒ’’を生成する。
【0032】
（図４のステップＳ１４：認証タグ生成処理（図５の（４）に対応））
第１端末の認証タグ生成部２１３は、第２端末との間で通信したメッセージｍと共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆを得る。認証タグ生成部２１３は、関数値ｆと、暗号化乱数ｒ＊’１を復号して得られた乱数ｒ’とから認証タグｔを生成する。そして、第１端末の認証タグ送信部２１４は、認証タグｔを第２端末に送信する。
メッセージｍは、ステップＳ１１で送信した要求の認証対象である。ここでは、メッセージｍは、既に第１端末から第２端末に送信済であるとする。共通事前鍵ｋｃｏｍは、認証装置１０と第１端末との間で共有された事前鍵ｐ１に含まれる。関数ｈは、ハッシュ関数である。実施の形態１では、関数ｈは、ε－概ユニバーサルハッシュ関数である。ε－概ユニバーサルハッシュ関数については、非特許文献２“Ｄ．Ｒ． Ｓｔｉｎｓｏｎ， “Ｕｎｉｖｅｒｓａｌ Ｈａｓｈｉｎｇ ａｎｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅｓ，” Ｄｅｓｉｇｎｓ， Ｃｏｄｅｓ ａｎｄ Ｃｒｙｐｔｏｇｒａｐｈｙ ４， ３６９－３８０ （１９９４）．”に記載されている。
実施の形態１では、認証タグ生成部２１３は、ｔ＝ｈ（ｋｃｏｍ，ｍ）＋ｒ’により、認証タグｔを生成する。ここで、演算“＋”は、排他的論理和である。つまり、認証タグ生成部２１３は、関数ｈにより得られた関数値ｆと、乱数ｒ’との排他的論理和を、認証タグｔとする。
第１端末の認証タグ生成部２１３は、第２端末との間で通信したメッセージｍと共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆを得る。認証タグ生成部２１３は、関数値ｆと、暗号化乱数ｒ＊’１を復号して得られた乱数ｒ’とから認証タグｔを生成する。そして、第１端末の認証タグ送信部２１４は、認証タグｔを第２端末に送信する。
メッセージｍは、ステップＳ１１で送信した要求の認証対象である。ここでは、メッセージｍは、既に第１端末から第２端末に送信済であるとする。共通事前鍵ｋｃｏｍは、認証装置１０と第１端末との間で共有された事前鍵ｐ１に含まれる。関数ｈは、ハッシュ関数である。実施の形態１では、関数ｈは、ε－概ユニバーサルハッシュ関数である。ε－概ユニバーサルハッシュ関数については、非特許文献２“Ｄ．Ｒ． Ｓｔｉｎｓｏｎ， “Ｕｎｉｖｅｒｓａｌ Ｈａｓｈｉｎｇ ａｎｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅｓ，” Ｄｅｓｉｇｎｓ， Ｃｏｄｅｓ ａｎｄ Ｃｒｙｐｔｏｇｒａｐｈｙ ４， ３６９－３８０ （１９９４）．”に記載されている。
実施の形態１では、認証タグ生成部２１３は、ｔ＝ｈ（ｋｃｏｍ，ｍ）＋ｒ’により、認証タグｔを生成する。ここで、演算“＋”は、排他的論理和である。つまり、認証タグ生成部２１３は、関数ｈにより得られた関数値ｆと、乱数ｒ’との排他的論理和を、認証タグｔとする。
【0033】
（図４のステップＳ１５：判定処理（図５の（５）に対応））
第２端末の認証タグ受信部２１５は、ステップＳ１４で送信された認証タグｔを認証タグｔ’として受信する。第２端末の判定部２１６は、第１端末との間で通信したメッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。判定部２１６は、関数値ｆ’と、暗号化乱数ｒ＊’２を復号して得られた乱数ｒ’’とから認証タグｔ’が生成されるか否かを判定する。判定部２１６は、認証タグｔ’が生成された場合には、メッセージｍ’は改竄されていないと判定する。つまり、メッセージｍ＝メッセージｍ’と判定される。
メッセージｍ’は、第１端末から第２端末に送信されたメッセージｍを第２端末が受信したものである。共通事前鍵ｋｃｏｍは、認証装置１０と第２端末との間で共有された事前鍵ｐ２に含まれる。
実施の形態１では、判定部２１６は、ｔ’＝ｈ（ｋｃｏｍ，ｍ’）＋ｒ’’が成立するか否かを判定する。成立する場合には、認証タグｔ’が生成されたことになる。
第２端末の認証タグ受信部２１５は、ステップＳ１４で送信された認証タグｔを認証タグｔ’として受信する。第２端末の判定部２１６は、第１端末との間で通信したメッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。判定部２１６は、関数値ｆ’と、暗号化乱数ｒ＊’２を復号して得られた乱数ｒ’’とから認証タグｔ’が生成されるか否かを判定する。判定部２１６は、認証タグｔ’が生成された場合には、メッセージｍ’は改竄されていないと判定する。つまり、メッセージｍ＝メッセージｍ’と判定される。
メッセージｍ’は、第１端末から第２端末に送信されたメッセージｍを第２端末が受信したものである。共通事前鍵ｋｃｏｍは、認証装置１０と第２端末との間で共有された事前鍵ｐ２に含まれる。
実施の形態１では、判定部２１６は、ｔ’＝ｈ（ｋｃｏｍ，ｍ’）＋ｒ’’が成立するか否かを判定する。成立する場合には、認証タグｔ’が生成されたことになる。
【0034】
なお、通信途中に第三者による改竄がされていない場合には、ｍ＝ｍ’だけでなく、ｒ＝ｒ’＝ｒ’’と、ｔ＝ｔ’とが成立する。
【0035】
＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る通信システム１００は、認証装置から送信される乱数ｒだけでなく、共通事前鍵ｋｃｏｍを用いて認証タグを生成する。これにより、メッセージ認証１回当たりの認証鍵の消費量を削減可能にできる。
以上のように、実施の形態１に係る通信システム１００は、認証装置から送信される乱数ｒだけでなく、共通事前鍵ｋｃｏｍを用いて認証タグを生成する。これにより、メッセージ認証１回当たりの認証鍵の消費量を削減可能にできる。
【0036】
特許文献１に記載された方式では、メッセージ認証に使う認証鍵の全ての部分を毎回更新していた。これは、実施の形態１において、認証装置１０が、乱数ｒのみならず共通事前鍵ｋｃｏｍも毎回新しいものを生成し、共有する状況に相当する。実施の形態１では、共通事前鍵ｋｃｏｍは更新せず毎回同じものを使い回される。そのため、メッセージ認証１回当たりの認証鍵の消量を削減できる。その結果、認証装置１０と各通信端末２０とが共有すべき事前鍵も削減できる。
【0037】
より正確には、メッセージ認証の安全性を同一に保ったまま、認証鍵の消費量を特許文献１の半分以下に削減できる。その詳細は以下のとおりである。
まず関数ｈとしてε－概ユニバーサルハッシュ関数を用いた場合、第三者による改竄成功確率ｐｆｏｒｇｅはｍａｘ（ε，２－｜ｒ｜）以下になることを理論的に証明できる。ここで、｜ｒ｜は乱数ｒのビット数を表す。その証明は非特許文献３“Ｍ．Ｎ． Ｗｅｇｍａｎ ａｎｄ Ｊ．Ｌ． Ｃａｒｔｅｒ， “Ｎｅｗ Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ ａｎｄ Ｔｈｅｉｒ Ｕｓｅ ｉｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｓｅｔ Ｅｑｕａｌｉｔｙ，” Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ ２２， ２６５－２７９ （１９８１）．”の第４節のＴｈｅｏｒｅｍと同様に行うことができる。特に、パラメータεを２－｜ｒ｜以下に選ぶ場合、ｐｆｏｒｇｅ≦２－｜ｒ｜が成り立つ。パラメータεを２－｜ｒ｜以下に選ぶ場合とは、ε－概ユニバーサルハッシュ関数になるように関数ｈを設計することである。これは非特許文献２のＴｈｅｏｒｅｍ ５．２の構成を用いれば可能である。つまり、第三者による改竄成功確率をｐｆｏｒｇｅに抑えつつ、毎回消費される認証鍵である乱数ｒの長さを｜ｒ｜＝ｌｏｇ２（１／ｐｆｏｒｇｅ）にすることができる。
一方で、特許文献１では２ｌｏｇ２（１／ｐｆｏｒｇｅ）ビット以上の認証鍵を消費する必要があった。したがって、実施の形態１に係る通信システム１００は、特許文献１に記載された方式に比べ、認証鍵の消費量を約半分に削減できる。
まず関数ｈとしてε－概ユニバーサルハッシュ関数を用いた場合、第三者による改竄成功確率ｐｆｏｒｇｅはｍａｘ（ε，２－｜ｒ｜）以下になることを理論的に証明できる。ここで、｜ｒ｜は乱数ｒのビット数を表す。その証明は非特許文献３“Ｍ．Ｎ． Ｗｅｇｍａｎ ａｎｄ Ｊ．Ｌ． Ｃａｒｔｅｒ， “Ｎｅｗ Ｈａｓｈ Ｆｕｎｃｔｉｏｎｓ ａｎｄ Ｔｈｅｉｒ Ｕｓｅ ｉｎ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｓｅｔ Ｅｑｕａｌｉｔｙ，” Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｓｙｓｔｅｍ Ｓｃｉｅｎｃｅｓ ２２， ２６５－２７９ （１９８１）．”の第４節のＴｈｅｏｒｅｍと同様に行うことができる。特に、パラメータεを２－｜ｒ｜以下に選ぶ場合、ｐｆｏｒｇｅ≦２－｜ｒ｜が成り立つ。パラメータεを２－｜ｒ｜以下に選ぶ場合とは、ε－概ユニバーサルハッシュ関数になるように関数ｈを設計することである。これは非特許文献２のＴｈｅｏｒｅｍ ５．２の構成を用いれば可能である。つまり、第三者による改竄成功確率をｐｆｏｒｇｅに抑えつつ、毎回消費される認証鍵である乱数ｒの長さを｜ｒ｜＝ｌｏｇ２（１／ｐｆｏｒｇｅ）にすることができる。
一方で、特許文献１では２ｌｏｇ２（１／ｐｆｏｒｇｅ）ビット以上の認証鍵を消費する必要があった。したがって、実施の形態１に係る通信システム１００は、特許文献１に記載された方式に比べ、認証鍵の消費量を約半分に削減できる。
【0038】
＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
【0039】
各機能構成要素がハードウェアで実現される場合には、認証装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
【0040】
各機能構成要素がハードウェアで実現される場合には、通信端末２０は、プロセッサ２１とメモリ２２とストレージ２３とに代えて、電子回路を備える。電子回路は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
【0041】
電子回路としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡが想定される。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略である。
各機能構成要素を１つの電子回路で実現してもよいし、各機能構成要素を複数の電子回路に分散させて実現してもよい。
各機能構成要素を１つの電子回路で実現してもよいし、各機能構成要素を複数の電子回路に分散させて実現してもよい。
【0042】
＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【0043】
プロセッサ１１とメモリ１２とストレージ１３と電子回路とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
【0044】
また、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。
【0045】
実施の形態２．
実施の形態２は、事前鍵ｐｉが共通事前鍵ｋｃｏｍを含まず暗号化鍵ｋｉだけを含んでいる点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
実施の形態２は、事前鍵ｐｉが共通事前鍵ｋｃｏｍを含まず暗号化鍵ｋｉだけを含んでいる点が実施の形態１と異なる。実施の形態２では、この異なる点を説明し、同一の点については説明を省略する。
【0046】
事前鍵ｐｉが共通事前鍵ｋｃｏｍを含まないということは、共通事前鍵ｋｃｏｍは、メッセージｍを通信する通信端末２０間で事前に共有されていないということである。実施の形態２では、共通事前鍵ｋｃｏｍは、メッセージを認証したい旨の要求が通信端末２０からされてから、通信端末２０間で共有される。
【0047】
【0048】
（図４のステップＳ１３：乱数送信処理（図６の（３）に対応））
実施の形態１と同様に、認証装置１０の乱数送信部１１３は、暗号化乱数ｒ＊ １を生成して、暗号化乱数ｒ＊ １を第１端末に送信する。そして、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信して、乱数ｒ’を生成する。同様に、認証装置１０の乱数送信部１１３は、暗号化乱数ｒ＊ ２を生成して、暗号化乱数ｒ＊ ２を第２端末に送信する。そして、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信して、乱数ｒ’’を生成する。
実施の形態１と同様に、認証装置１０の乱数送信部１１３は、暗号化乱数ｒ＊ １を生成して、暗号化乱数ｒ＊ １を第１端末に送信する。そして、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信して、乱数ｒ’を生成する。同様に、認証装置１０の乱数送信部１１３は、暗号化乱数ｒ＊ ２を生成して、暗号化乱数ｒ＊ ２を第２端末に送信する。そして、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信して、乱数ｒ’’を生成する。
【0049】
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ１を用いて、共通事前鍵ｋｃｏｍを暗号化した暗号化共通事前鍵ｋｃｏｍ１を生成する。乱数送信部１１３は、暗号化共通事前鍵ｋｃｏｍ１を第１端末に送信する。すると、第１端末の乱数受信部２１２は、暗号化共通事前鍵ｋｃｏｍ１を暗号化共通事前鍵ｋ’ｃｏｍ１として受信する。乱数受信部２１２は、暗号化鍵ｋ１を用いて暗号化共通事前鍵ｋ’ｃｏｍ１を復号して、共通事前鍵ｋ’ｃｏｍを生成する。
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ２を用いて、共通事前鍵ｋｃｏｍを暗号化した暗号化共通事前鍵ｋｃｏｍ２を生成する。乱数送信部１１３は、暗号化共通事前鍵ｋｃｏｍ２を第２端末に送信する。すると、第２端末の乱数受信部２１２は、暗号化共通事前鍵ｋｃｏｍ２を暗号化共通事前鍵ｋ’ｃｏｍ２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化共通事前鍵ｋ’ｃｏｍ２を復号して、共通事前鍵ｋ’’ｃｏｍを生成する。
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ２を用いて、共通事前鍵ｋｃｏｍを暗号化した暗号化共通事前鍵ｋｃｏｍ２を生成する。乱数送信部１１３は、暗号化共通事前鍵ｋｃｏｍ２を第２端末に送信する。すると、第２端末の乱数受信部２１２は、暗号化共通事前鍵ｋｃｏｍ２を暗号化共通事前鍵ｋ’ｃｏｍ２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化共通事前鍵ｋ’ｃｏｍ２を復号して、共通事前鍵ｋ’’ｃｏｍを生成する。
【0050】
ステップＳ１４では、第１端末の認証タグ生成部２１３は、共通事前鍵ｋ’ｃｏｍを共通事前鍵ｋｃｏｍとして用いる。また、ステップＳ１５では、第２端末の判定部２１６は、共通事前鍵ｋ’’ｃｏｍを共通事前鍵ｋｃｏｍとして用いる。
【0051】
＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る通信システム１００は、メッセージを認証したい旨の要求が通信端末２０からされた後に、認証装置１０から対象の通信端末２０に対して共通事前鍵ｋｃｏｍが送信される。これにより、認証を行わない通信端末２０が共通事前鍵ｋｃｏｍを保有する状態にならない。その結果、共通事前鍵ｋｃｏｍが漏洩する可能性を低くすることができる。
以上のように、実施の形態２に係る通信システム１００は、メッセージを認証したい旨の要求が通信端末２０からされた後に、認証装置１０から対象の通信端末２０に対して共通事前鍵ｋｃｏｍが送信される。これにより、認証を行わない通信端末２０が共通事前鍵ｋｃｏｍを保有する状態にならない。その結果、共通事前鍵ｋｃｏｍが漏洩する可能性を低くすることができる。
【0052】
実施の形態１では、全ての通信端末２０が事前に共通事前鍵ｋｃｏｍを保有していた。そのため、１つの通信端末２０でも共通事前鍵ｋｃｏｍを漏洩してしまうと、全ての通信端末２０についての認証の安全性が損なわれてしまった。
これに比べて、実施の形態２では、認証を行わない通信端末２０には共通事前鍵ｋｃｏｍが配布されない。そのため、共通事前鍵ｋｃｏｍが漏洩する可能性が低くなり、通信の安全性を保持し易くなる。
これに比べて、実施の形態２では、認証を行わない通信端末２０には共通事前鍵ｋｃｏｍが配布されない。そのため、共通事前鍵ｋｃｏｍが漏洩する可能性が低くなり、通信の安全性を保持し易くなる。
【0053】
実施の形態３．
実施の形態３は、複数のメッセージをまとめて認証する点が実施の形態１，２と異なる。実施の形態３では、この異なる点を説明して、同一の点については説明を省略する。
実施の形態３では、実施の形態１を変更した場合について説明する。しかし、実施の形態２を変更することも可能である。
実施の形態３は、複数のメッセージをまとめて認証する点が実施の形態１，２と異なる。実施の形態３では、この異なる点を説明して、同一の点については説明を省略する。
実施の形態３では、実施の形態１を変更した場合について説明する。しかし、実施の形態２を変更することも可能である。
【0054】
実施の形態１では、通信端末２０－ｉから通信端末２０－ｊに、又は、通信端末２０－ｊから通信端末２０－ｉにメッセージを送信する度に、そのメッセージが認証された。実施の形態３では、複数のメッセージを送信しあった後に、複数のメッセージをまとめて１度に認証する。
つまり、ＱＫＤプロトコルの実行中に、通信端末２０－ｉと通信端末２０－ｊとのいずれかが古典認証通信路を通じて複数のメッセージｍ１，ｍ２，．．．，ｍＬを送信したとする。メッセージｍ１，ｍ２，．．．，ｍＬは、通信端末２０－ｉから通信端末２０－ｊに送信された可能性もあれば、逆に通信端末２０－ｊから通信端末２０－ｉに送信された可能性もある。メッセージｍ１，ｍ２，．．．，ｍＬについてまとめて１度に認証することで、受信側の通信端末２０が正しく受信できたことを確認できるようにする。
つまり、ＱＫＤプロトコルの実行中に、通信端末２０－ｉと通信端末２０－ｊとのいずれかが古典認証通信路を通じて複数のメッセージｍ１，ｍ２，．．．，ｍＬを送信したとする。メッセージｍ１，ｍ２，．．．，ｍＬは、通信端末２０－ｉから通信端末２０－ｊに送信された可能性もあれば、逆に通信端末２０－ｊから通信端末２０－ｉに送信された可能性もある。メッセージｍ１，ｍ２，．．．，ｍＬについてまとめて１度に認証することで、受信側の通信端末２０が正しく受信できたことを確認できるようにする。
【0055】
＊＊＊動作の説明＊＊＊
＊＊基本アイデア＊＊
メッセージｍ１，ｍ２，．．．，ｍＬをまとめたデータを全メッセージｍ＝（ｍ１，ｍ２，．．．，ｍＬ）と呼ぶ。第１端末が全メッセージｍのつもりで保存しているデータをｍ’とし、第２端末が全メッセージｍのつもりで保存しているデータをｍ’’とする。
このとき、以下の（Ａ）と（Ｂ）とが同じであることが分かる。
（Ａ）ｍ’＝ｍ’’であることをユーザ１，２双方が確認する。
（Ｂ）メッセージｍ１，ｍ２，．．．，ｍＬそれぞれについて、送信者（第１端末又は第２端末）が、メッセージが受信側（第２端末又は第１端末）に正しく届いたことを確認する。
そこで（Ｂ）を直接確認する代わりに、（Ａ）を確認する。これにより、メッセージ認証の回数減らし、認証鍵の消費量を減らす。
＊＊基本アイデア＊＊
メッセージｍ１，ｍ２，．．．，ｍＬをまとめたデータを全メッセージｍ＝（ｍ１，ｍ２，．．．，ｍＬ）と呼ぶ。第１端末が全メッセージｍのつもりで保存しているデータをｍ’とし、第２端末が全メッセージｍのつもりで保存しているデータをｍ’’とする。
このとき、以下の（Ａ）と（Ｂ）とが同じであることが分かる。
（Ａ）ｍ’＝ｍ’’であることをユーザ１，２双方が確認する。
（Ｂ）メッセージｍ１，ｍ２，．．．，ｍＬそれぞれについて、送信者（第１端末又は第２端末）が、メッセージが受信側（第２端末又は第１端末）に正しく届いたことを確認する。
そこで（Ｂ）を直接確認する代わりに、（Ａ）を確認する。これにより、メッセージ認証の回数減らし、認証鍵の消費量を減らす。
【0056】
＊＊処理の流れ＊＊
図７及び図８を参照して、実施の形態３に係る通信システム１００の処理を説明する。
通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行中であるとする。ここでは、ｉ＝１，ｊ＝２として、通信端末２０－１を第１端末と呼び、通信端末２０－２を第２端末と呼ぶ。そして、第１端末と第２端末との間でメッセージｍ１，．．．，ｍＬを送受信する状況を想定する。なお、一般の通信端末２０－ｉと通信端末２０－ｊとで通信する場合は、添え字１をｉと置き換え，添え字２をｊと置き換えて、通信端末２０－ｉを第１端末、通信端末２０－ｊを第２端末とすればよい。
図７及び図８を参照して、実施の形態３に係る通信システム１００の処理を説明する。
通信端末２０－ｉと通信端末２０－ｊとがＱＫＤプロトコルを実行中であるとする。ここでは、ｉ＝１，ｊ＝２として、通信端末２０－１を第１端末と呼び、通信端末２０－２を第２端末と呼ぶ。そして、第１端末と第２端末との間でメッセージｍ１，．．．，ｍＬを送受信する状況を想定する。なお、一般の通信端末２０－ｉと通信端末２０－ｊとで通信する場合は、添え字１をｉと置き換え，添え字２をｊと置き換えて、通信端末２０－ｉを第１端末、通信端末２０－ｊを第２端末とすればよい。
【0057】
（図７のステップＳ２１：要求送信処理（図８の（１）に対応））
第１端末の要求送信部２１１は、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信する。これは、乱数ｒを要求することに相当する。すると、認証装置１０の要求受信部１１１は、要求を受信する。
なお、第２端末の要求送信部２１１が、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信してもよい。
第１端末の要求送信部２１１は、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信する。これは、乱数ｒを要求することに相当する。すると、認証装置１０の要求受信部１１１は、要求を受信する。
なお、第２端末の要求送信部２１１が、認証装置１０に対して第２端末に送信したメッセージを認証したい旨の要求を送信してもよい。
【0058】
【0059】
（図７のステップＳ２３：乱数送信処理（図８の（３）に対応））
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ１を用いて、ステップＳ２２で生成された乱数ｒ１及び乱数ｒ２を暗号化した暗号化乱数ｒ＊ １を生成する。乱数送信部１１３は、暗号化乱数ｒ＊ １を第１端末に送信する。
すると、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信する。乱数受信部２１２は、暗号化鍵ｋ１を用いて暗号化乱数ｒ＊’１を復号して、乱数ｒ’１及び乱数ｒ’２を生成する。
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ１を用いて、ステップＳ２２で生成された乱数ｒ１及び乱数ｒ２を暗号化した暗号化乱数ｒ＊ １を生成する。乱数送信部１１３は、暗号化乱数ｒ＊ １を第１端末に送信する。
すると、第１端末の乱数受信部２１２は、暗号化乱数ｒ＊ １を暗号化乱数ｒ＊’１として受信する。乱数受信部２１２は、暗号化鍵ｋ１を用いて暗号化乱数ｒ＊’１を復号して、乱数ｒ’１及び乱数ｒ’２を生成する。
【0060】
認証装置１０の乱数送信部１１３は、暗号化鍵ｋ２を用いて、ステップＳ２２で生成された乱数ｒ１及び乱数ｒ２を暗号化した暗号化乱数ｒ＊
２を生成する。乱数送信部１１３は、暗号化乱数ｒ＊
２を第２端末に送信する。
すると、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化乱数ｒ＊’２を復号して、乱数ｒ’’１及び乱数ｒ’’２を生成する。
すると、第２端末の乱数受信部２１２は、暗号化乱数ｒ＊ ２を暗号化乱数ｒ＊’２として受信する。乱数受信部２１２は、暗号化鍵ｋ２を用いて暗号化乱数ｒ＊’２を復号して、乱数ｒ’’１及び乱数ｒ’’２を生成する。
【0061】
（図７のステップＳ２４：認証タグ生成処理（図８の（４）に対応））
第１端末の認証タグ生成部２１３は、第２端末との間で通信した全メッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆを得る。認証タグ生成部２１３は、関数値ｆと乱数ｒ’１とから認証タグｔ１を生成する。そして、第１端末の認証タグ送信部２１４は、認証タグｔ１を第２端末に送信する。
つまり、認証タグ生成部２１３は、各整数ｉについてのメッセージｍｉをまとめたデータである全メッセージｍ’を実施の形態１におけるメッセージｍとして、認証タグｔ１を生成する。
第１端末の認証タグ生成部２１３は、第２端末との間で通信した全メッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆを得る。認証タグ生成部２１３は、関数値ｆと乱数ｒ’１とから認証タグｔ１を生成する。そして、第１端末の認証タグ送信部２１４は、認証タグｔ１を第２端末に送信する。
つまり、認証タグ生成部２１３は、各整数ｉについてのメッセージｍｉをまとめたデータである全メッセージｍ’を実施の形態１におけるメッセージｍとして、認証タグｔ１を生成する。
【0062】
（図７のステップＳ２５：第１判定処理（図８の（５）に対応））
第２端末の認証タグ受信部２１５は、ステップＳ２４で送信された認証タグｔ１を認証タグｔ’１として受信する。第２端末の判定部２１６は、第１端末との間で通信した全メッセージｍ’’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。判定部２１６は、関数値ｆ’と乱数ｒ’’１とから認証タグｔ’１が生成されるか否かを判定する。判定部２１６は、認証タグｔ’１が生成された場合には、全メッセージｍ’’は改竄されていないと判定する。つまり、全メッセージｍ＝全メッセージｍ’’と判定される。
実施の形態３では、判定部２１６は、ｔ’１＝ｈ（ｋｃｏｍ，ｍ’’）＋ｒ’’１が成立するか否かを判定する。成立する場合には、認証タグｔ’１が生成されたことになる。
第２端末の認証タグ受信部２１５は、ステップＳ２４で送信された認証タグｔ１を認証タグｔ’１として受信する。第２端末の判定部２１６は、第１端末との間で通信した全メッセージｍ’’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。判定部２１６は、関数値ｆ’と乱数ｒ’’１とから認証タグｔ’１が生成されるか否かを判定する。判定部２１６は、認証タグｔ’１が生成された場合には、全メッセージｍ’’は改竄されていないと判定する。つまり、全メッセージｍ＝全メッセージｍ’’と判定される。
実施の形態３では、判定部２１６は、ｔ’１＝ｈ（ｋｃｏｍ，ｍ’’）＋ｒ’’１が成立するか否かを判定する。成立する場合には、認証タグｔ’１が生成されたことになる。
【0063】
判定部２１６は、認証タグｔ’１が生成された場合には、処理をステップＳ２６に進める。つまり、判定部２１６は、改竄がなかった場合には、処理をステップＳ２６に進める。一方、判定部２１６は、認証タグｔ’１が生成されなかった場合には、処理をステップＳ２７に進める。つまり、判定部２１６は、改竄があった場合には、処理をステップＳ２７に進める。
【0064】
（図７のステップＳ２６：第１返送処理（図８の（６）に対応））
第２端末の認証タグ生成部２１３は、第１端末との間で通信した全メッセージｍ’’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。認証タグ生成部２１３は、関数値ｆ’と乱数ｒ’’２とから認証タグｔ２を生成する。そして、第２端末の認証タグ送信部２１４は、認証タグｔ２を第１端末に送信する。
第２端末の認証タグ生成部２１３は、第１端末との間で通信した全メッセージｍ’’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’を得る。認証タグ生成部２１３は、関数値ｆ’と乱数ｒ’’２とから認証タグｔ２を生成する。そして、第２端末の認証タグ送信部２１４は、認証タグｔ２を第１端末に送信する。
【0065】
（図７のステップＳ２７：第２返送処理（図８の（７）に対応））
第２端末の認証タグ生成部２１３は、失敗を意味する“ｆａｉｌ”と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’’を得る。認証タグ生成部２１３は、関数値ｆ’’と乱数ｒ’’２とから認証タグｔ２を生成する。そして、第２端末の認証タグ送信部２１４は、認証タグｔ２を第１端末に送信する。
第２端末の認証タグ生成部２１３は、失敗を意味する“ｆａｉｌ”と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’’を得る。認証タグ生成部２１３は、関数値ｆ’’と乱数ｒ’’２とから認証タグｔ２を生成する。そして、第２端末の認証タグ送信部２１４は、認証タグｔ２を第１端末に送信する。
【0066】
（図７のステップＳ２８：第２判定処理（図８の（８）に対応））
第１端末の認証タグ受信部２１５は、ステップＳ２６又はステップＳ２７で送信された認証タグｔ２を認証タグｔ’２として受信する。第１端末の判定部２１６は、第２端末との間で通信した全メッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’’を得る。判定部２１６は、関数値ｆ’’と乱数ｒ’２とから認証タグｔ’２が生成されるか否かを判定する。判定部２１６は、認証タグｔ’２が生成された場合には、全メッセージｍ’は改竄されていないと判定する。つまり、全メッセージｍ＝全メッセージｍ’と判定される。
実施の形態３では、判定部２１６は、ｔ’２＝ｈ（ｋｃｏｍ，ｍ’）＋ｒ’２が成立するか否かを判定する。成立する場合には、認証タグｔ’２が生成されたことになる。
第１端末の認証タグ受信部２１５は、ステップＳ２６又はステップＳ２７で送信された認証タグｔ２を認証タグｔ’２として受信する。第１端末の判定部２１６は、第２端末との間で通信した全メッセージｍ’と共通事前鍵ｋｃｏｍとを入力として関数ｈにより関数値ｆ’’を得る。判定部２１６は、関数値ｆ’’と乱数ｒ’２とから認証タグｔ’２が生成されるか否かを判定する。判定部２１６は、認証タグｔ’２が生成された場合には、全メッセージｍ’は改竄されていないと判定する。つまり、全メッセージｍ＝全メッセージｍ’と判定される。
実施の形態３では、判定部２１６は、ｔ’２＝ｈ（ｋｃｏｍ，ｍ’）＋ｒ’２が成立するか否かを判定する。成立する場合には、認証タグｔ’２が生成されたことになる。
【0067】
＊＊＊実施の形態３の効果＊＊＊
以上のように、実施の形態３に係る通信システム１００は、複数のメッセージをまとめて認証する。これにより、メッセージ認証の回数が減り、認証鍵の消費量を削減できる。
以上のように、実施の形態３に係る通信システム１００は、複数のメッセージをまとめて認証する。これにより、メッセージ認証の回数が減り、認証鍵の消費量を削減できる。
【0068】
以下、本開示の諸態様を付記としてまとめて記載する。
（付記１）
認証装置と第１端末と第２端末とを備える通信システムであり、
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信システム。
（付記２）
前記関数ｈは、ハッシュ関数であり、
前記認証タグ生成部は、前記関数値と、前記乱数ｒ’との排他的論理和を前記認証タグｔとする
付記１に記載の通信システム。
（付記３）
前記認証装置は、さらに、
前記暗号化鍵ｋ１を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ１を前記第１端末に送信するとともに、前記暗号化鍵ｋ２を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ２を前記第２端末に送信する鍵送信部
を備え、
前記認証タグ生成部は、暗号化鍵ｋ’ｃｏｍ１として受信された前記暗号化鍵ｋｃｏｍ１を復号して得られた鍵ｋｃｏｍを用い、
前記判定部は、暗号化鍵ｋ’ｃｏｍ２として受信された前記暗号化鍵ｋｃｏｍ２を復号して得られた鍵ｋｃｏｍを用いる
付記１又は２に記載の通信システム。
（付記４）
前記第１端末と前記第２端末との間で、２以上の整数Ｌに関して、ｉ＝１，．．．，Ｌの各整数ｉについてのメッセージｍｉが通信され、
前記認証タグ生成部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍとして、前記認証タグｔを生成し、
前記判定部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍ’として、前記認証タグｔ’が生成されるか否かを判定する
付記１から３までのいずれか１項に記載の通信システム。
（付記５）
認証装置との間で共有された暗号化鍵ｋ２を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ ２を認証装置から受信する乱数受信部と、
メッセージｍと、通信相手の端末である相手端末との間で共有された鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、前記相手端末と前記認証装置との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １が前記相手端末によって前記認証装置から取得され復号されて得られた乱数ｒ’とから生成された認証タグｔを認証タグｔ’として、前記相手端末から受信する認証タグ受信部と、
前記相手端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信端末。
（付記６）
認証装置が、第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信し、
前記第１端末が、前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成し、
前記第１端末が、前記認証タグｔを前記第２端末に送信し、
前記第２端末が、前記認証タグｔを認証タグｔ’として受信し、
前記第２端末が、前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する通信方法。
（付記１）
認証装置と第１端末と第２端末とを備える通信システムであり、
前記認証装置は、
前記第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、前記第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信する乱数送信部
を備え、
前記第１端末は、
前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成する認証タグ生成部と、
前記認証タグｔを前記第２端末に送信する認証タグ送信部と
を備え、
前記第２端末は、
前記認証タグ送信部によって送信された前記認証タグｔを認証タグｔ’として受信する認証タグ受信部と、
前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信システム。
（付記２）
前記関数ｈは、ハッシュ関数であり、
前記認証タグ生成部は、前記関数値と、前記乱数ｒ’との排他的論理和を前記認証タグｔとする
付記１に記載の通信システム。
（付記３）
前記認証装置は、さらに、
前記暗号化鍵ｋ１を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ１を前記第１端末に送信するとともに、前記暗号化鍵ｋ２を用いて前記鍵ｋｃｏｍが暗号化された暗号化鍵ｋｃｏｍ２を前記第２端末に送信する鍵送信部
を備え、
前記認証タグ生成部は、暗号化鍵ｋ’ｃｏｍ１として受信された前記暗号化鍵ｋｃｏｍ１を復号して得られた鍵ｋｃｏｍを用い、
前記判定部は、暗号化鍵ｋ’ｃｏｍ２として受信された前記暗号化鍵ｋｃｏｍ２を復号して得られた鍵ｋｃｏｍを用いる
付記１又は２に記載の通信システム。
（付記４）
前記第１端末と前記第２端末との間で、２以上の整数Ｌに関して、ｉ＝１，．．．，Ｌの各整数ｉについてのメッセージｍｉが通信され、
前記認証タグ生成部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍとして、前記認証タグｔを生成し、
前記判定部は、前記各整数ｉについてのメッセージｍｉをまとめたデータを前記メッセージｍ’として、前記認証タグｔ’が生成されるか否かを判定する
付記１から３までのいずれか１項に記載の通信システム。
（付記５）
認証装置との間で共有された暗号化鍵ｋ２を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ ２を認証装置から受信する乱数受信部と、
メッセージｍと、通信相手の端末である相手端末との間で共有された鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、前記相手端末と前記認証装置との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １が前記相手端末によって前記認証装置から取得され復号されて得られた乱数ｒ’とから生成された認証タグｔを認証タグｔ’として、前記相手端末から受信する認証タグ受信部と、
前記相手端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する判定部と
を備える通信端末。
（付記６）
認証装置が、第１端末との間で共有された暗号化鍵ｋ１を用いて乱数ｒが暗号化された暗号化乱数ｒ＊ １を前記第１端末に送信するとともに、第２端末との間で共有された暗号化鍵ｋ２を用いて前記乱数ｒが暗号化された暗号化乱数ｒ＊ ２を前記第２端末に送信し、
前記第１端末が、前記第２端末との間で通信したメッセージｍと鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’１として受信された前記暗号化乱数ｒ＊ １を復号して得られた乱数ｒ’とから認証タグｔを生成し、
前記第１端末が、前記認証タグｔを前記第２端末に送信し、
前記第２端末が、前記認証タグｔを認証タグｔ’として受信し、
前記第２端末が、前記第１端末との間で通信したメッセージｍ’と前記鍵ｋｃｏｍとを入力として関数ｈにより得られる関数値と、暗号化乱数ｒ＊’２として受信された前記暗号化乱数ｒ＊ ２を復号して得られた乱数ｒ’’とから前記認証タグｔ’が生成されるか否かを判定する通信方法。
【0069】
以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【0070】
１００ 通信システム、１０ 認証装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１１１ 要求受信部、１１２ 乱数生成部、１１３ 乱数送信部、２０ 通信端末、２１ プロセッサ、２２ メモリ、２３ ストレージ、２４ 通信インタフェース、２１１ 要求送信部、２１２ 乱数受信部、２１３ 認証タグ生成部、２１４ 認証タグ送信部、２１５ 認証タグ受信部、２１６ 判定部、９０ ネットワーク。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】