ホーム > 特許ランキング > 日本電信電話株式会社
▶ 日本電信電話株式会社の特許一覧 ▶ 学校法人神奈川大学の特許一覧 ▶ 国立大学法人豊橋技術科学大学の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-11-01
(45)【発行日】2023-11-10
(54)【発明の名称】鍵交換システム、通信装置、鍵交換方法及びプログラム
(51)【国際特許分類】
H04L 9/08 20060101AFI20231102BHJP
【ＦＩ】
H04L9/08 D
H04L9/08 E
【請求項の数】
5
(21)【出願番号】P 2019132060
(22)【出願日】2019-07-17
(65)【公開番号】P2021019223
(43)【公開日】2021-02-15
【審査請求日】2022-05-06
(73)【特許権者】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(73)【特許権者】
【識別番号】592218300
【氏名又は名称】学校法人神奈川大学
(73)【特許権者】
【識別番号】304027349
【氏名又は名称】国立大学法人豊橋技術科学大学
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(74)【代理人】
【識別番号】100124844
【弁理士】
【氏名又は名称】石原 隆治
(72)【発明者】
【氏名】富田 潤一
(72)【発明者】
【氏名】星野 文学
(72)【発明者】
【氏名】永井 彰
(72)【発明者】
【氏名】藤岡 淳
(72)【発明者】
【氏名】鈴木 幸太郎
【審査官】打出 義尚
(56)【参考文献】
【文献】CHEN, L. et al.，Identity based authenticated key agreement protocols from pairings，16th IEEE Computer Security Foundations Workshop, 2003. Proceedings.，IEEE，2003年，pp. 1-15，[online], [retrieved on 2020-09-09], Retrieved from <https://ieeexplore.ieee.org/document/1212715> <doi: 10.1109/CSFW.2003.1212715>
【文献】TIAN, B. et al.，mOT+: An Efficient and Secure Identity-Based Diffie-Hellman Protocol over RSA Group，Lecture Notes in Computer Science，Springer, Cham，2016年01月30日，volume 9473，pp. 407-421，[online], <doi: 10.1007/978-3-319-27998-5_26>
【文献】SMART, N. P.，Identity-based authenticated key agreement protocol based on Weil pairing，Electronics Letters，IET，2002年08月07日，Volume: 38, Issue: 13，pp. 630-632，[online], [retrieved on 2020-09-09], Retrieved from <https://ieeexplore.ieee.org/document/1015725> <doi: 10.1049/el:20020387>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／０８
(57)【特許請求の範囲】
【請求項1】
ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換システムであって、前記複数の通信装置の各々は、
前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、
前記短期秘密鍵を用いて、前記通信装置の短期公開鍵を生成する第２の生成手段と、
前記短期秘密鍵と、他の通信装置で生成された短期公開鍵と、前記通信装置及び前記他の通信装置で生成された公開情報又は鍵配布センタで生成された公開情報とを用いて、前記通信装置の秘密情報を生成する第３の生成手段と、
前記通信装置の秘密鍵と、前記秘密情報とを用いたペアリング演算を行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第４の生成手段と、
を有し、
前記通信装置及び前記他の通信装置で生成された公開情報又は前記鍵配布センタで生成された公開情報は、前記通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の出力値を示す第１の出力値と、前記他の通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の第２の出力値を示す第２の出力値とである、ことを特徴とする鍵交換システム。
【請求項2】
前記複数の通信装置の各々は、マスク生成関数により前記共有鍵から鍵ｋｅｙを生成する第５の生成手段と、
前記鍵ｋｅｙのＭＡＣ値を計算する計算手段と、
前記計算手段で計算したＭＡＣ値と、前記他の通信装置で計算されたＭＡＣ値とを検証する検証手段と、
を有することを特徴とする請求項１に記載の鍵交換システム。
【請求項3】
ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、他の通信装置との間で暗号化通信を行うための共有鍵を生成する通信装置であって、前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、
前記短期秘密鍵を用いて、前記通信装置の短期公開鍵を生成する第２の生成手段と、
前記短期秘密鍵と、他の通信装置で生成された短期公開鍵と、前記通信装置及び前記他の通信装置で生成された公開情報又は鍵配布センタで生成された公開情報とを用いて、前記通信装置の秘密情報を生成する第３の生成手段と、
前記通信装置の秘密鍵と、前記秘密情報とを用いたペアリング演算を行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第４の生成手段と、
を有し、
前記通信装置及び前記他の通信装置で生成された公開情報又は前記鍵配布センタで生成された公開情報は、前記通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の出力値を示す第１の出力値と、前記他の通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の第２の出力値を示す第２の出力値とである、ことを特徴とする通信装置。
【請求項4】
ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換方法であって、前記複数の通信装置の各々が、
前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手順と、
前記短期秘密鍵を用いて、前記通信装置の短期公開鍵を生成する第２の生成手順と、
前記短期秘密鍵と、他の通信装置で生成された短期公開鍵と、前記通信装置及び前記他の通信装置で生成された公開情報又は鍵配布センタで生成された公開情報とを用いて、前記通信装置の秘密情報を生成する第３の生成手順と、
前記通信装置の秘密鍵と、前記秘密情報とを用いたペアリング演算を行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第４の生成手順と、
を実行し、
前記通信装置及び前記他の通信装置で生成された公開情報又は前記鍵配布センタで生成された公開情報は、前記通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の出力値を示す第１の出力値と、前記他の通信装置の短期公開鍵と前記通信装置の識別子と前記他の通信装置の識別子とを入力とした所定の関数の第２の出力値を示す第２の出力値とである、ことを特徴とする鍵交換方法。
【請求項5】
コンピュータを、請求項３に記載の通信装置における各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、鍵交換システム、通信装置、鍵交換方法及びプログラムに関する。
【背景技術】
【0002】
近年、ＩｏＴ（Internet of Things）機器が普及したことに伴って、ＩｏＴ機器でも重要性の高い通信が行われるようになってきた。このため、通信時に互いが正しい機器であるかを確認するための認証技術がＩｏＴ機器でも重要になってきている。
【0003】
ＩｏＴ機器向けの認証技術としてはパスワードや電子証明書等が従来から知られているが、近年では、より安全性が高い認証付き鍵交換プロトコルの導入が求められている。認証付き鍵交換プロトコルとは、認証が成功した際に互いに共通した鍵（共有鍵）を生成し、その共有鍵で暗号化通信が可能となるプロトコルである。このような認証付き鍵交換プロトコルの１つとして、ＩＤベース暗号を用いた認証付き鍵交換プロトコルが知られている。
【0004】
ＩＤベース暗号を用いた認証付き鍵交換プロトコルが満たすべき安全性のモデルとしてｉｄ－ｅＣＫモデルと呼ばれるモデルが知られており、非常に強い安全性を要求するモデルであることが知られている。
【0005】
また、ＩＤベース暗号を用いた認証付き鍵交換プロトコルは、一般に、有限体上の楕円曲線における双線形群を用いて実現される。このような双線形群はペアリング群とも呼ばれ、対称ペアリング群と非対称ペアリング群とに分類することができる。現在、ペアリング群を暗号で用いる場合には、効率性や安全性の観点から非対称ペアリング群が用いられることが多い。非対称ペアリング群上で実現されるＩＤベース暗号を用いた認証付き鍵交換プロトコルとして、ＩＳＯ／ＩＥＣ（International Organization for Standardization / International Electrotechnical Commission）でも標準化されているＦＳＵ（Fujioka-Suzuki-Ustaoglu）が知られている（非特許文献１参照）。
【先行技術文献】
【非特許文献】
【0006】
【文献】Fujioka, Hoshino, Kobayashi, Suzuki, Ustaoglu, Yoneyama, "id-eCK Secure ID-Based Authenticated Key Exchange on Symmetric and Asymmetric Pairing", IEICE TRANSACTIONS on Fundamentals of Electronics, Communications and Computer Sciences Vol.E96-A No.6 pp.1139-1155, 2013.
【発明の概要】
【発明が解決しようとする課題】
【0007】
しかしながら、ＦＳＵでは、ペアリング演算と呼ばれる群演算を４回行う必要がある。ペアリング演算は一般に計算コストが高いため、ＩｏＴ機器等の計算リソースが限られた機器がＦＳＵによって鍵交換を行う場合、鍵交換に時間を要することがあった。
【0008】
本発明の実施の形態は、上記の点に鑑みてなされたもので、ＩＤベース暗号を用いた認証付き鍵交換プロトコルの計算コストを削減することを目的とする。
【課題を解決するための手段】
【0009】
上記目的を達成するため、本発明の実施の形態における鍵交換システムは、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより、複数の通信装置の間で暗号化通信を行うための共有鍵を生成する鍵交換システムであって、前記複数の通信装置の各々は、前記通信装置の秘密鍵を用いて、短期秘密鍵を生成する第１の生成手段と、前記短期秘密鍵を用いて、前記通信装置の短期公開鍵を生成する第２の生成手段と、前記短期秘密鍵と、他の通信装置で生成された短期公開鍵と、前記通信装置及び前記他の通信装置で生成された公開情報又は鍵配布センタで生成された公開情報とを用いて、前記通信装置の秘密情報を生成する第３の生成手段と、前記通信装置の秘密鍵と、前記秘密情報とを用いたペアリング演算を行うことで、前記他の通信装置との間で暗号化通信を行うための共有鍵を生成する第４の生成手段と、を有することを特徴とする。
【発明の効果】
【0010】
ＩＤベース暗号を用いた認証付き鍵交換プロトコルの計算コストを削減することができる。
【図面の簡単な説明】
【0011】
【図1】本発明の実施の形態における鍵交換システムの全体構成の一例を示す図である。
【図2】本発明の実施の形態における鍵発行装置のハードウェア構成の一例を示す図である。
【図3】本発明の実施の形態における通信装置のハードウェア構成の一例を示す図である。
【図4】本発明の実施の形態における鍵交換システムの機能構成の一例を示す図である。
【図5】本発明の実施の形態における鍵発行処理（実施例１）の一例を示すフローチャートである。
【図6】本発明の実施の形態における鍵交換処理（実施例１）の一例を示すシーケンス図である。
【図7】本発明の実施の形態における鍵交換処理（実施例２）の一例を示すシーケンス図である。
【図8】本発明の実施の形態における鍵交換処理（実施例３）の一例を示すシーケンス図である。
【図9】本発明の実施の形態における鍵発行処理（実施例４）の一例を示すフローチャートである。
【図10】本発明の実施の形態における鍵交換処理（実施例４）の一例を示すシーケンス図である。
【発明を実施するための形態】
【0012】
以下、本発明の実施の形態について説明する。本発明の実施の形態では、ペアリング演算の回数を減らすことで、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにおける計算コストを削減した鍵交換システム１について説明する。
【0013】
【0014】
図１に示すように、本発明の実施の形態における鍵交換システム１には、鍵発行装置１０と、複数の通信装置２０とが含まれる。また、鍵発行装置１０と、各通信装置２０とは、例えばインターネット等の通信ネットワークＮを介して通信可能に接続されている。
【0015】
鍵発行装置１０は、ＫＧＣ（Key Generation Center）として機能するコンピュータ又はコンピュータシステムである。鍵発行装置１０は、マスター秘密鍵を用いてマスター公開鍵を予め生成した上で、当該マスター公開鍵を公開する。また、鍵発行装置１０は、通信装置２０の識別子を受け付けた場合に、この識別子からユーザ秘密鍵を生成した上で、当該識別子に対応する通信装置２０に当該ユーザ秘密鍵を配布する。
【0016】
なお、通信装置２０の識別子としては、任意の識別子を用いることが可能である。例えば、通信装置２０の製造固有番号やＩＰ（Internet Protocol）アドレス、物理アドレス等を識別子として用いることが可能である。これら以外にも、例えば、通信装置２０のユーザのユーザＩＤ、通信装置２０のユーザの氏名、通信装置２０のユーザのメールアドレス等を識別子として用いることも可能である。
【0017】
通信装置２０は、例えば、各種センサデバイス、組み込み機器、ウェアラブルデバイス、デジタル家電、監視カメラ、照明機器、医療機器、産業用機器等の種々のＩｏＴ機器である。通信装置２０は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、他の通信装置２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証（つまり、正当性の確認）を行って、暗号化通信のための鍵（共有鍵）を交換（生成）する。以降では、複数の通信装置２０の各々を区別して表す場合は、「通信装置２０Ａ」、「通信装置２０Ｂ」等と表す。
【0018】
なお、本発明の実施の形態では、通信装置２０としてＩｏＴ機器を想定し、通信装置２０の計算リソースが限られている（すなわち、例えば、プロセッサの処理性能やメモリの容量が一般的なコンピュータ等と比較して乏しい）ものとする。ただし、これに限られず、通信装置２０がＩｏＴ機器以外（例えば、ＰＣ（パーソナルコンピュータ）やサーバ装置、スマートフォン、タブレット端末等）であっても、本発明の実施の形態を同様に適用することが可能である。
【0019】
また、図１に示す鍵交換システム１の構成は一例であって、他の構成であってもよい。例えば、鍵発行装置１０に対して各通信装置２０の識別子を送信する端末が鍵交換システム１に含まれていてもよい。
【0020】
＜ハードウェア構成＞
次に、本発明の実施の形態における鍵発行装置１０及び通信装置２０のハードウェア構成について説明する。
次に、本発明の実施の形態における鍵発行装置１０及び通信装置２０のハードウェア構成について説明する。
【0021】
≪鍵発行装置１０≫
以降では、本発明の実施の形態における鍵発行装置１０のハードウェア構成について、図２を参照しながら説明する。図２は、本発明の実施の形態における鍵発行装置１０のハードウェア構成の一例を示す図である。
以降では、本発明の実施の形態における鍵発行装置１０のハードウェア構成について、図２を参照しながら説明する。図２は、本発明の実施の形態における鍵発行装置１０のハードウェア構成の一例を示す図である。
【0022】
図２に示すように、本発明の実施の形態における鍵発行装置１０は、入力装置１１と、表示装置１２と、ＲＡＭ（Random Access Memory）１３と、ＲＯＭ（Read Only Memory）１４と、プロセッサ１５と、外部Ｉ／Ｆ１６と、通信Ｉ／Ｆ１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバス１９を介して通信可能に接続されている。
【0023】
入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、ユーザに対して各種処理結果等を表示するのに用いられる。なお、鍵発行装置１０は、入力装置１１及び表示装置１２のうちの少なくとも一方を有していなくてもよい。
【0024】
ＲＡＭ１３は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ１４は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。プロセッサ１５は、例えばＣＰＵ（Central Processing Unit）等であり、ＲＯＭ１４や補助記憶装置１８等からプログラムやデータをＲＡＭ１３上に読み出して処理を実行する演算装置である。
【0025】
外部Ｉ／Ｆ１６は、外部装置とのインタフェースである。外部装置には、記録媒体１６ａ等がある。記録媒体１６ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。なお、記録媒体１６ａには、鍵発行装置１０が有する各機能を実現する１以上のプログラム等が記録されていてもよい。
【0026】
通信Ｉ／Ｆ１７は、鍵発行装置１０を通信ネットワークＮに接続するためのインタフェースである。鍵発行装置１０は、通信Ｉ／Ｆ１７を介して、通信装置２０との間でデータ通信を行うことができる。
【0027】
補助記憶装置１８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置１８には、鍵発行装置１０が有する各機能を実現する１以上のプログラム等が記憶されている。
【0028】
本発明の実施の形態における鍵発行装置１０は、図２に示すハードウェア構成を有することにより、後述する鍵発行処理等を実現することができる。なお、図２では、本発明の実施の形態における鍵発行装置１０が１台の装置（コンピュータ）で実現されている場合を示したが、これに限られない。本発明の実施の形態における鍵発行装置１０は、複数台の装置（コンピュータ）で実現されていてもよい。また、１台の装置（コンピュータ）には、複数のプロセッサ１５や複数のメモリ（例えば、ＲＡＭ１３やＲＯＭ１４、補助記憶装置１８等）が含まれていてもよい。
【0029】
≪通信装置２０≫
以降では、本発明の実施の形態における通信装置２０のハードウェア構成について、図３を参照しながら説明する。図３は、本発明の実施の形態における通信装置２０のハードウェア構成の一例を示す図である。
以降では、本発明の実施の形態における通信装置２０のハードウェア構成について、図３を参照しながら説明する。図３は、本発明の実施の形態における通信装置２０のハードウェア構成の一例を示す図である。
【0030】
図３に示すように、本発明の実施の形態における通信装置２０は、プロセッサ２１と、メモリ装置２２と、通信Ｉ／Ｆ２３とを有する。これら各ハードウェアは、それぞれがバス２４を介して通信可能に接続されている。
【0031】
プロセッサ２１は、例えばＭＰＵ（Micro Processing Unit）やＣＰＵ等であり、メモリ装置２２からプログラムやデータを読み出して処理を実行する演算装置である。
【0032】
メモリ装置２２は、例えばＲＡＭやＲＯＭ、フラッシュメモリ等であり、各種データやプログラム等を記憶する。メモリ装置２２には、本発明の実施の形態における通信装置２０が有する各機能を実現する１以上のプログラム等が記憶されている。
【0033】
通信Ｉ／Ｆ２３は、通信装置２０を通信ネットワークＮに接続するためのインタフェースである。通信装置２０は、通信Ｉ／Ｆ２３を介して、他の通信装置２０や鍵発行装置１０等との間でデータ通信を行うことができる。
【0034】
本発明の実施の形態における通信装置２０は、図３に示すハードウェア構成を有することにより、後述する鍵交換処理を実現することができる。
【0035】
【0036】
≪鍵発行装置１０≫
図４に示すように、本発明の実施の形態における鍵発行装置１０は、通信部１０１と、鍵発行処理部１０２とを有する。これら各部は、鍵発行装置１０にインストールされた１以上のプログラムがプロセッサ１５に実行させる処理により実現される。
図４に示すように、本発明の実施の形態における鍵発行装置１０は、通信部１０１と、鍵発行処理部１０２とを有する。これら各部は、鍵発行装置１０にインストールされた１以上のプログラムがプロセッサ１５に実行させる処理により実現される。
【0037】
また、本発明の実施の形態における鍵発行装置１０は、記憶部１０３を有する。記憶部１０３は、例えば補助記憶装置１８等を用いて実現可能である。なお、記憶部１０３は、鍵発行装置１０と通信ネットワークＮを介して接続される記憶装置等を用いて実現されていてもよい。
【0038】
通信部１０１は、通信装置２０等との間で各種通信を行う。鍵発行処理部１０２は、通信装置２０の識別子を受け付けた場合に、この識別子からユーザ秘密鍵を生成した上で、当該識別子に対応する通信装置２０に当該ユーザ秘密鍵を配布する。記憶部１０３は、各種データ（例えば、マスター公開鍵やマスター秘密鍵等）を記憶する。
【0039】
≪通信装置２０≫
図４に示すように、本発明の実施の形態における通信装置２０は、通信部２０１と、鍵交換処理部２０２とを有する。
図４に示すように、本発明の実施の形態における通信装置２０は、通信部２０１と、鍵交換処理部２０２とを有する。
【0040】
通信部２０１は、他の通信装置２０や鍵発行装置１０等との間で各種通信を行う。鍵交換処理部２０２は、鍵発行装置１０から配布されたユーザ秘密鍵を用いて、他の通信装置２０との間でＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換する。記憶部２０３は、各種データ（例えば、ユーザ秘密鍵等）を記憶する。
【0041】
＜鍵交換システム１の処理の詳細＞
次に、本発明の実施の形態における鍵交換システム１の処理の詳細について説明する。なお、以降の実施例１～実施例３では非対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明し、実施例４では対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明する。
次に、本発明の実施の形態における鍵交換システム１の処理の詳細について説明する。なお、以降の実施例１～実施例３では非対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明し、実施例４では対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明する。
【0042】
（実施例１）
以降では、実施例１について説明する。
以降では、実施例１について説明する。
【0043】
≪記号の定義≫
まず、実施例１で用いる記号を次のように定義する。なお、実施例２及び３でも実施例１と同様に定義された記号が用いられる。
まず、実施例１で用いる記号を次のように定義する。なお、実施例２及び３でも実施例１と同様に定義された記号が用いられる。
【0044】
ＩＤＡ：通信装置２０Ａの識別子
ＩＤＢ：通信装置２０Ｂの識別子
ＤＡ：通信装置２０Ａのユーザ秘密鍵
ＤＢ：通信装置２０Ｂのユーザ秘密鍵
ｋ：セキュリティパラメータ
ｐ，ｑ：ｐ≠ｑを満たす素数
Ｇ１：有限体Ｆｐ上の楕円曲線をＥ１として、楕円曲線Ｅ１上の群Ｅ（Ｆｐ）の部分群
Ｇ２：有限体Ｆｐのｋ次拡大体上の楕円曲線をＥ２として、楕円曲線Ｅ２上の群
ＩＤＢ：通信装置２０Ｂの識別子
ＤＡ：通信装置２０Ａのユーザ秘密鍵
ＤＢ：通信装置２０Ｂのユーザ秘密鍵
ｋ：セキュリティパラメータ
ｐ，ｑ：ｐ≠ｑを満たす素数
Ｇ１：有限体Ｆｐ上の楕円曲線をＥ１として、楕円曲線Ｅ１上の群Ｅ（Ｆｐ）の部分群
Ｇ２：有限体Ｆｐのｋ次拡大体上の楕円曲線をＥ２として、楕円曲線Ｅ２上の群
【0045】
【数1】
ｇ１：Ｇ１の生成元
ｇ２：Ｇ２の生成元
Ｚｑ：ｑを法とする剰余類
ｚ∈Ｚｑ：マスター秘密鍵
Ｚ＝ｚｇ１：マスター公開鍵
Ｈ１：文字列（例えばオクテット列）からＺｑ上の元を生成する関数
Ｈ２：文字列からＺｑ上の元を生成する関数
Ｈ３：文字列からＺｑ上の元を生成する関数
Ｈ：鍵導出関数
Ｋ：共有鍵
ｅ：Ｇ１×Ｇ２上で定義されたペアリング演算
ここで、上記で定義した各記号のうち、マスター秘密鍵ｚ、ユーザ秘密鍵ＤＡ及びＤＢ以外は公開情報であるものとする。なお、Ｇ１とＧ２とは逆であってもよい。また、群の元やＺｑの元を関数に入力する場合には、当該元を表す文字列を関数に入力するものとする。
【0046】
≪鍵発行処理（実施例１）≫
まず、ユーザ秘密鍵を生成するための鍵発行処理（実施例１）について、図５を参照しながら説明する。図５は、本発明の実施の形態における鍵発行処理（実施例１）の一例を示すフローチャートである。以降では、一例として、ユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを発行する場合について説明する。
まず、ユーザ秘密鍵を生成するための鍵発行処理（実施例１）について、図５を参照しながら説明する。図５は、本発明の実施の形態における鍵発行処理（実施例１）の一例を示すフローチャートである。以降では、一例として、ユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを発行する場合について説明する。
【0047】
鍵発行処理部１０２は、通信装置２０Ａの識別子ＩＤＡと通信装置２０Ｂの識別子ＩＤＢとを受け付ける（ステップＳ１０１）。通信装置２０の識別子は、例えば、当該通信装置２０から送信されてもよいし、鍵発行装置１０と通信ネットワークＮを介して接続される端末等から送信されてもよいし、鍵発行装置１０が有する入力装置１１から入力されてもよい。
【0048】
次に、鍵発行処理部１０２は、以下によりユーザ秘密鍵ＤＡ及びＤＢを生成する（ステップＳ１０２）。
【0049】
【数2】
【0050】
【数3】
【0051】
次に、鍵発行処理部１０２は、ユーザ秘密鍵ＤＡを通信装置２０Ａに配布すると共に、ユーザ秘密鍵ＤＢを通信装置２０Ｂに配布する（ステップＳ１０３）。なお、鍵発行処理部１０２は、任意の方法でユーザ秘密鍵を配布すればよい。例えば、鍵発行処理部１０２は、通信装置２０からのユーザ秘密鍵の配布要求に応じて、通信部１０１によって該当のユーザ秘密鍵を当該通信装置２０に送信することで、ユーザ秘密鍵を配布すればよい。又は、ユーザ秘密鍵を記録媒体等に記録した上で、通信装置２０に配布されてもよい。これにより、各通信装置２０は、他の通信装置２０との間で共有鍵を交換（生成）する際に用いるユーザ秘密鍵を得ることができる。
【0052】
≪鍵交換処理（実施例１）≫
次に、通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例１）について、図６を参照しながら説明する。図６は、本発明の実施の形態における鍵交換処理（実施例１）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
次に、通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例１）について、図６を参照しながら説明する。図６は、本発明の実施の形態における鍵交換処理（実施例１）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
【0053】
通信装置２０Ａの鍵交換処理部２０２は、ｒＡ∈Ｚｑをランダムに選択した上で、短期秘密鍵
【0054】
【数4】
【0055】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、ｒＢ∈Ｚｑをランダムに選択した上で、短期秘密鍵
【0056】
【数5】
【0057】
次に、通信装置２０Ａの通信部２０１は、識別子ＩＤＡと短期公開鍵ＸＡとを通信装置２０Ｂに送信する（ステップＳ２０３）。同様に、通信装置２０Ｂの通信部２０１は、識別子ＩＤＢと短期公開鍵ＸＢとを通信装置２０Ａに送信する（ステップＳ２０４）。これにより、識別子と短期公開鍵とが通信装置２０間で交換される。
【0058】
次に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ２０１で生成した短期秘密鍵ｘＡを記憶部２０３から削除する（ステップＳ２０５）。同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ２０２で生成した短期秘密鍵ｘＢを記憶部２０３から削除する（ステップＳ２０６）。
【0059】
なお、上記のステップＳ２０５及びステップＳ２０６で短期秘密鍵ｘＡ及び短期秘密鍵ｘＢをそれぞれ削除しているが、これは、他方の通信装置２０から識別子及び短期公開鍵を受信するまでの間に短期秘密鍵が流出することを防止するためである。すなわち、例えば、通信装置２０Ａが識別子ＩＤＡ及び短期公開鍵ＸＡを通信装置２０Ｂに送信した後、通信装置２０Ａが識別子ＩＤＢ及び短期公開鍵ＸＢを通信装置２０Ｂから受信するまでの間には或る程度の時間を要することがある。このため、この時間の間における短期秘密鍵ｘＡの流出を防止するために、通信装置２０Ａは、識別子ＩＤＡ及び短期公開鍵ＸＡを通信装置２０Ｂに送信した後、短期秘密鍵ｘＡを削除している。短期秘密鍵ｘＢを削除している理由についても同様である。
【0060】
続いて、通信装置２０の鍵交換処理部２０２又は鍵発行装置１０の鍵発行処理部１０２は、以下により公開情報ｄＡ及びｄＢを生成する（ステップＳ２０７）。
【0061】
ｄＡ＝Ｈ３（ＸＡ，ＩＤＡ，ＩＤＢ）
ｄＢ＝Ｈ３（ＸＢ，ＩＤＡ，ＩＤＢ）
ここで、上記のｄＡ及びｄＢは、通信装置２０が生成してもよいし、鍵発行装置１０が生成してもよい。すなわち、例えば、通信装置２０ＡでｄＡ及びｄＢを生成すると共に通信装置２０ＢでｄＡ及びｄＢを生成してもよいし、鍵発行装置１０でｄＡ及びｄＢを生成して通信装置２０Ａ及び通信装置２０Ｂに公開してもよい。又は、例えば、通信装置２０ＡでｄＡを生成して公開すると共に、通信装置２０ＢでｄＢを生成して公開してもよい。なお、通信装置２０Ａ及び通信装置２０ＢのそれぞれでｄＡ及びｄＢを生成することが簡便であるが、例えば、通信装置２０の計算リソースが限られており、Ｈ３の計算に多くの計算リソースが必要な場合等には鍵発行装置１０でｄＡ及びｄＢを生成することが好ましい。
ｄＢ＝Ｈ３（ＸＢ，ＩＤＡ，ＩＤＢ）
ここで、上記のｄＡ及びｄＢは、通信装置２０が生成してもよいし、鍵発行装置１０が生成してもよい。すなわち、例えば、通信装置２０ＡでｄＡ及びｄＢを生成すると共に通信装置２０ＢでｄＡ及びｄＢを生成してもよいし、鍵発行装置１０でｄＡ及びｄＢを生成して通信装置２０Ａ及び通信装置２０Ｂに公開してもよい。又は、例えば、通信装置２０ＡでｄＡを生成して公開すると共に、通信装置２０ＢでｄＢを生成して公開してもよい。なお、通信装置２０Ａ及び通信装置２０ＢのそれぞれでｄＡ及びｄＢを生成することが簡便であるが、例えば、通信装置２０の計算リソースが限られており、Ｈ３の計算に多くの計算リソースが必要な場合等には鍵発行装置１０でｄＡ及びｄＢを生成することが好ましい。
【0062】
なお、公開情報ｄＡ及びｄＢが生成されるタイミングは、短期公開鍵ＸＡ及びＸＢの生成後、後述する共有値σの生成前であれば、任意のタイミングでよい。
【0063】
次に、通信装置２０Ａの鍵交換処理部２０２は、短期秘密鍵
【0064】
【数6】
【0065】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、短期秘密鍵
【0066】
【数7】
【0067】
次に、通信装置２０Ａの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ２１０）。
【0068】
ＦＡ＝（ｘＡ＋ｄＡ）（ＸＢ＋ｄＢ（ｚ＋ｉＡ）ｇ１）
σ＝ｅ（ＦＡ，ＤＡ）
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ２１１）。
σ＝ｅ（ＦＡ，ＤＡ）
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ２１１）。
【0069】
ＦＢ＝（ｘＢ＋ｄＢ）（ＸＡ＋ｄＡ（ｚ＋ｉＢ）ｇ１）
σ＝ｅ（ＦＢ，ＤＢ）
次に、通信装置２０Ａの鍵交換処理部２０２は、以下によりｓｉｄを計算する（ステップＳ２１２）。なお、ｓｉｄはセッションＩＤを意味する。
σ＝ｅ（ＦＢ，ＤＢ）
次に、通信装置２０Ａの鍵交換処理部２０２は、以下によりｓｉｄを計算する（ステップＳ２１２）。なお、ｓｉｄはセッションＩＤを意味する。
【0070】
【数8】
【0071】
【数9】
【0072】
最後に、通信装置２０Ａの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ２１４）。
【0073】
【数10】
【0074】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ２１５）。
【0075】
【数11】
【0076】
これにより、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵Ｋが共有される。したがって、この共有鍵Ｋを用いて、通信装置２０Ａと通信装置２０Ｂとの間で暗号化通信を行うことができる。
【0077】
（実施例２）
以降では、実施例２について説明する。ＩＤＡ、ＩＤＢ、ＸＡ及びＸＢはいずれも公開情報であるため、これらの文字列を連結したｓｉｄも公開情報である。そこで、実施例２では、ｓｉｄを用いずに共有鍵Ｋを生成する場合について説明する。なお、鍵発行処理については実施例１と同様であるため、その説明を省略する。また、記号については実施例１と同様に定義した記号を用いる。
以降では、実施例２について説明する。ＩＤＡ、ＩＤＢ、ＸＡ及びＸＢはいずれも公開情報であるため、これらの文字列を連結したｓｉｄも公開情報である。そこで、実施例２では、ｓｉｄを用いずに共有鍵Ｋを生成する場合について説明する。なお、鍵発行処理については実施例１と同様であるため、その説明を省略する。また、記号については実施例１と同様に定義した記号を用いる。
【0078】
≪鍵交換処理（実施例２）≫
通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例２）について、図７を参照しながら説明する。図７は、本発明の実施の形態における鍵交換処理（実施例２）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例２）について、図７を参照しながら説明する。図７は、本発明の実施の形態における鍵交換処理（実施例２）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
【0079】
【0080】
通信装置２０Ａの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ３１２）。
【0081】
Ｋ＝Ｈ（σ）
なお、この共有鍵Ｋは、通信装置２０Ａの記憶部２０３に記憶される。
なお、この共有鍵Ｋは、通信装置２０Ａの記憶部２０３に記憶される。
【0082】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有鍵Ｋを生成する（ステップＳ３１３）。
【0083】
Ｋ＝Ｈ（σ）
なお、この共有鍵Ｋは、通信装置２０Ｂの記憶部２０３に記憶される。
なお、この共有鍵Ｋは、通信装置２０Ｂの記憶部２０３に記憶される。
【0084】
これにより、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵Ｋが共有される。したがって、この共有鍵Ｋを用いて、通信装置２０Ａと通信装置２０Ｂとの間で暗号化通信を行うことができる。
【0085】
（実施例３）
以降では、実施例３について説明する。実施例３では、鍵導出関数としてマスク生成関数（ＭＧＦ：Mask Generation Function）を用いて鍵を生成した上で、この鍵のＭＡＣ（Message Authentication Code）値を検証することで、通信装置２０間で互いに同じ鍵Ｋを生成しているかを確認する場合について説明する。なお、鍵発行処理については実施例１と同様であるため、その説明を省略する。また、記号については実施例１と同様に定義した記号を用いる。
以降では、実施例３について説明する。実施例３では、鍵導出関数としてマスク生成関数（ＭＧＦ：Mask Generation Function）を用いて鍵を生成した上で、この鍵のＭＡＣ（Message Authentication Code）値を検証することで、通信装置２０間で互いに同じ鍵Ｋを生成しているかを確認する場合について説明する。なお、鍵発行処理については実施例１と同様であるため、その説明を省略する。また、記号については実施例１と同様に定義した記号を用いる。
【0086】
≪鍵交換処理（実施例３）≫
通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例３）について、図８を参照しながら説明する。図８は、本発明の実施の形態における鍵交換処理（実施例３）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例３）について、図８を参照しながら説明する。図８は、本発明の実施の形態における鍵交換処理（実施例３）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
【0087】
【0088】
通信装置２０Ａの鍵交換処理部２０２は、ステップＳ４１４で生成した共有鍵Ｋをシードとしたマスク生成関数により３つの鍵ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する（ステップＳ４１６）。すなわち、鍵交換処理部２０２は、以下により鍵ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。
【0089】
（ｋｅｙＡ、ｋｅｙＢ，ＳＫ）＝ＭＧＦ１（Ｋ，ｎ）
ここで、ＭＧＦ１はシード（上記ではＫ）とマスク長ｎとを入力として、ｍａｓｋを出力するマスク生成関数である。実施例３では、例えば、マスク長ｎのｍａｓｋを３等分することで、ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。例えば、ｎ＝７６８とした場合、ｍａｓｋを２５６ビット毎に区切って、２５６ビット長の鍵ｋｅｙＡと、２５６ビット長の鍵ｋｅｙＢと、２５６ビット長の鍵ＳＫとを生成する。なお、後述するように、実施例３では、鍵ＳＫが、通信装置２０Ａと通信装置２０Ｂとの間の暗号化通信に用いられる鍵となる。
ここで、ＭＧＦ１はシード（上記ではＫ）とマスク長ｎとを入力として、ｍａｓｋを出力するマスク生成関数である。実施例３では、例えば、マスク長ｎのｍａｓｋを３等分することで、ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。例えば、ｎ＝７６８とした場合、ｍａｓｋを２５６ビット毎に区切って、２５６ビット長の鍵ｋｅｙＡと、２５６ビット長の鍵ｋｅｙＢと、２５６ビット長の鍵ＳＫとを生成する。なお、後述するように、実施例３では、鍵ＳＫが、通信装置２０Ａと通信装置２０Ｂとの間の暗号化通信に用いられる鍵となる。
【0090】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、ステップＳ４１５で生成した共有鍵Ｋをシードとしたマスク生成関数により３つの鍵ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する（ステップＳ４１７）。すなわち、鍵交換処理部２０２は、以下により鍵ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。
【0091】
（ｋｅｙＡ、ｋｅｙＢ，ＳＫ）＝ＭＧＦ１（Ｋ，ｎ）
上述したように、実施例３では、例えば、マスク長ｎのｍａｓｋ（つまり、ＭＧＦ１の出力）を３等分することで、ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。例えば、ｎ＝７６８とした場合、ｍａｓｋを２５６ビット毎に区切って、２５６ビット長の鍵ｋｅｙＡと、２５６ビット長の鍵ｋｅｙＢと、２５６ビット長の鍵ＳＫとを生成する。
上述したように、実施例３では、例えば、マスク長ｎのｍａｓｋ（つまり、ＭＧＦ１の出力）を３等分することで、ｋｅｙＡ、ｋｅｙＢ及びＳＫを生成する。例えば、ｎ＝７６８とした場合、ｍａｓｋを２５６ビット毎に区切って、２５６ビット長の鍵ｋｅｙＡと、２５６ビット長の鍵ｋｅｙＢと、２５６ビット長の鍵ＳＫとを生成する。
【0092】
次に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ４１６で生成した鍵ｋｅｙＡを用いて、以下によりｓｉｄのＭＡＣ値ｍａｃＡを計算する（ステップＳ４１８）。
【0093】
ｍａｃＡ＝ＭＡＣ（ｋｅｙＡ，ｓｉｄ）
ここで、ＭＡＣはＭＡＣ関数である。
ここで、ＭＡＣはＭＡＣ関数である。
【0094】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ４１７で生成した鍵ｋｅｙＢを用いて、以下によりｓｉｄのＭＡＣ値ｍａｃＢを計算する（ステップＳ４１９）。
【0095】
ｍａｃＢ＝ＭＡＣ（ｋｅｙＢ，ｓｉｄ）
次に、通信装置２０Ａの通信部２０１は、ＭＡＣ値ｍａｃＡを通信装置２０Ｂに送信する（ステップＳ４２０）。同様に、通信装置２０Ｂの通信部２０１は、ＭＡＣ値ｍａｃＢを送信する（ステップＳ４２１）。
次に、通信装置２０Ａの通信部２０１は、ＭＡＣ値ｍａｃＡを通信装置２０Ｂに送信する（ステップＳ４２０）。同様に、通信装置２０Ｂの通信部２０１は、ＭＡＣ値ｍａｃＢを送信する（ステップＳ４２１）。
【0096】
次に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ４１６で生成した鍵ｋｅｙＢを用いて、以下によりｓｉｄのＭＡＣ値ｍａｃＢ´を計算する（ステップＳ４２２）。
【0097】
ｍａｃＢ´＝ＭＡＣ（ｋｅｙＢ，ｓｉｄ）
同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ４１７で生成した鍵ｋｅｙＡを用いて、以下によりｓｉｄのＭＡＣ値ｍａｃＡ´を計算する（ステップＳ４２３）。
同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ４１７で生成した鍵ｋｅｙＡを用いて、以下によりｓｉｄのＭＡＣ値ｍａｃＡ´を計算する（ステップＳ４２３）。
【0098】
ｍａｃＡ´＝ＭＡＣ（ｋｅｙＡ，ｓｉｄ）
最後に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ４２１で通信装置２０Ｂから送信されたＭＡＣ値ｍａｃＢと、上記のステップＳ４２２で生成したＭＡＣ値ｍａｃＢ´とが等しいか否かを検証する（ステップＳ４２４）。この検証に成功した場合（つまり、ｍａｃＢ＝ｍａｃＢ´である場合）、通信装置２０Ａと通信装置２０Ｂとの間で同一の共有鍵Ｋと同一の鍵ＳＫとが生成されていることが保証される。
最後に、通信装置２０Ａの鍵交換処理部２０２は、上記のステップＳ４２１で通信装置２０Ｂから送信されたＭＡＣ値ｍａｃＢと、上記のステップＳ４２２で生成したＭＡＣ値ｍａｃＢ´とが等しいか否かを検証する（ステップＳ４２４）。この検証に成功した場合（つまり、ｍａｃＢ＝ｍａｃＢ´である場合）、通信装置２０Ａと通信装置２０Ｂとの間で同一の共有鍵Ｋと同一の鍵ＳＫとが生成されていることが保証される。
【0099】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、上記のステップＳ４２０で通信装置２０Ｂから送信されたＭＡＣ値ｍａｃＡと、上記のステップＳ４２３で生成したＭＡＣ値ｍａｃＡ´とが等しいか否かを検証する（ステップＳ４２５）。この検証に成功した場合（つまり、ｍａｃＢ＝ｍａｃＢ´である場合）、通信装置２０Ａと通信装置２０Ｂとの間で同一の共有鍵Ｋと同一の鍵ＳＫとが生成されていることが保証される。
【0100】
これにより、通信装置２０Ａと通信装置２０Ｂとの間で同一の共有鍵Ｋと同一の鍵ＳＫとが共有される。したがって、例えば、鍵ＳＫを用いて（つまり、鍵ＳＫを共有鍵として）、通信装置２０Ａと通信装置２０Ｂとの間で暗号化通信を行うことができる。ただし、実施例１や実施例２と同様に、例えば、共有鍵Ｋを暗号化通信に用いる鍵としてもよい。
【0101】
なお、上記のステップＳ４１８～ステップＳ４１９及びステップＳ４２２～ステップＳ４２３では、通信装置２０Ａ及び通信装置２０Ｂはｓｉｄを用いてＭＡＣ値を計算したが、これに限られず、ｓｉｄに代えて又はｓｉｄと共に、通信装置２０Ａと通信装置２０Ｂとの間で予め決められた任意の情報を用いてＭＡＣ値が計算されてもよい。例えば、通信装置２０Ａと通信装置２０Ｂとの間で交換したメッセージを予め決められた順序に結合した文字列（具体例としては、この交換したメッセージをＭ１、Ｍ２として、Ｍ１及びＭ２をこの順序で結合した文字列等）を用いてＭＡＣ値が計算されてもよいし、所定の文字を所定の個数並べた文字列（具体例としては、０を所定の個数並べた文字列「００・・・０」等）を用いてＭＡＣ値が計算されてもよい。
【0102】
また、通信装置２０Ａと通信装置２０Ｂとの間で互いに同じ共有鍵Ｋを生成しているかを確認する方法の他の例として、例えば、共有鍵Ｋを用いて鍵導出関数により通信装置２０Ａと通信装置２０Ｂとで同一の鍵ｋｅｙを計算した上で、この鍵ｋｅｙを用いて通信装置２０Ａと通信装置２０Ｂとで互いに異なるメッセージ（例えば、それまでに自身が送ったメッセージや自身の識別子等）からＭＡＣ値を計算し検証してもよい。
【0103】
（実施例４）
以降では、実施例４について説明する。実施例４では対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明する。なお、対称ペアリング群上でのプロトコル自体は、効率性や安全性の観点から現状実用的ではないが、非対称ペアリング群上でのプロトコルの拡張を考えるときに対称ペアリング群上でのプロトコルは重要である。
以降では、実施例４について説明する。実施例４では対称ペアリング群上でのＩＤベース暗号を用いた認証付き鍵交換プロトコルについて説明する。なお、対称ペアリング群上でのプロトコル自体は、効率性や安全性の観点から現状実用的ではないが、非対称ペアリング群上でのプロトコルの拡張を考えるときに対称ペアリング群上でのプロトコルは重要である。
【0104】
≪記号の定義≫
まず、実施例４で用いる記号を次のように定義する。
まず、実施例４で用いる記号を次のように定義する。
【0105】
ＩＤＡ：通信装置２０Ａの識別子
ＩＤＢ：通信装置２０Ｂの識別子
ＤＡ：通信装置２０Ａのユーザ秘密鍵
ＤＢ：通信装置２０Ｂのユーザ秘密鍵
ｋ：セキュリティパラメータ
ｐ，ｑ：ｐ≠ｑを満たす素数
Ｇ：有限体Ｆｐ上の楕円曲線をＥ１として、楕円曲線Ｅ１上の群Ｅ（Ｆｐ）の部分群
ｇ：Ｇの生成元
Ｚｑ：ｑを法とする剰余類
ｚ∈Ｚｑ：マスター秘密鍵
Ｚ＝ｚｇ：マスター公開鍵
Ｈ１：文字列（例えばオクテット列）からＺｑ上の元を生成する関数
Ｈ２：文字列からＺｑ上の元を生成する関数
Ｈ３：文字列からＺｑ上の元を生成する関数
Ｈ：鍵導出関数
Ｋ：共有鍵
ｅ：Ｇ×Ｇ上で定義されたペアリング演算
ここで、上記で定義した各記号のうち、マスター秘密鍵ｚ、ユーザ秘密鍵ＤＡ及びＤＢ以外は公開情報であるものとする。なお、群の元やＺｑの元を関数に入力する場合には、当該元を表す文字列を関数に入力するものとする。
ＩＤＢ：通信装置２０Ｂの識別子
ＤＡ：通信装置２０Ａのユーザ秘密鍵
ＤＢ：通信装置２０Ｂのユーザ秘密鍵
ｋ：セキュリティパラメータ
ｐ，ｑ：ｐ≠ｑを満たす素数
Ｇ：有限体Ｆｐ上の楕円曲線をＥ１として、楕円曲線Ｅ１上の群Ｅ（Ｆｐ）の部分群
ｇ：Ｇの生成元
Ｚｑ：ｑを法とする剰余類
ｚ∈Ｚｑ：マスター秘密鍵
Ｚ＝ｚｇ：マスター公開鍵
Ｈ１：文字列（例えばオクテット列）からＺｑ上の元を生成する関数
Ｈ２：文字列からＺｑ上の元を生成する関数
Ｈ３：文字列からＺｑ上の元を生成する関数
Ｈ：鍵導出関数
Ｋ：共有鍵
ｅ：Ｇ×Ｇ上で定義されたペアリング演算
ここで、上記で定義した各記号のうち、マスター秘密鍵ｚ、ユーザ秘密鍵ＤＡ及びＤＢ以外は公開情報であるものとする。なお、群の元やＺｑの元を関数に入力する場合には、当該元を表す文字列を関数に入力するものとする。
【0106】
≪鍵発行処理（実施例４）≫
まず、ユーザ秘密鍵を生成するための鍵発行処理（実施例４）について、図９を参照しながら説明する。図９は、本発明の実施の形態における鍵発行処理（実施例４）の一例を示すフローチャートである。以降では、一例として、ユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを発行する場合について説明する。
まず、ユーザ秘密鍵を生成するための鍵発行処理（実施例４）について、図９を参照しながら説明する。図９は、本発明の実施の形態における鍵発行処理（実施例４）の一例を示すフローチャートである。以降では、一例として、ユーザ秘密鍵ＤＡとユーザ秘密鍵ＤＢとを発行する場合について説明する。
【0107】
鍵発行処理部１０２は、通信装置２０Ａの識別子ＩＤＡと通信装置２０Ｂの識別子ＩＤＢとを受け付ける（ステップＳ５０１）。通信装置２０の識別子は、例えば、当該通信装置２０から送信されてもよいし、鍵発行装置１０と通信ネットワークＮを介して接続される端末等から送信されてもよいし、鍵発行装置１０が有する入力装置１１から入力されてもよい。
【0108】
次に、鍵発行処理部１０２は、Ｙ∈Ｇをランダムに選択する（ステップＳ５０２）。次に、鍵発行処理部１０２は、以下によりユーザ秘密鍵ＤＡ及びＤＢを生成する（ステップＳ５０３）。
【0109】
【数12】
【0110】
【数13】
【0111】
次に、鍵発行処理部１０２は、ユーザ秘密鍵ＤＡを通信装置２０Ａに配布すると共に、ユーザ秘密鍵ＤＢを通信装置２０Ｂに配布する（ステップＳ５０４）。なお、鍵発行処理部１０２は、任意の方法でユーザ秘密鍵を配布すればよい。例えば、鍵発行処理部１０２は、通信装置２０からのユーザ秘密鍵の配布要求に応じて、通信部１０１によって該当のユーザ秘密鍵を当該通信装置２０に送信することで、ユーザ秘密鍵を配布すればよい。又は、ユーザ秘密鍵を記録媒体等に記録した上で、通信装置２０に配布されてもよい。これにより、各通信装置２０は、他の通信装置２０との間で共有鍵を交換（生成）する際に用いるユーザ秘密鍵を得ることができる。
【0112】
≪鍵交換処理（実施例４）≫
次に、通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例４）について、図１０を参照しながら説明する。図１０は、本発明の実施の形態における鍵交換処理（実施例４）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
次に、通信装置２０間で、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにより認証を行って共有鍵を交換するための鍵交換処理（実施例４）について、図１０を参照しながら説明する。図１０は、本発明の実施の形態における鍵交換処理（実施例４）の一例を示すシーケンス図である。以降では、一例として、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵を交換（生成）する場合について説明する。
【0113】
通信装置２０Ａの鍵交換処理部２０２は、ｒＡ∈Ｚｑをランダムに選択した上で、短期秘密鍵
【0114】
【数14】
【0115】
同様に、通信装置２０Ｂの鍵交換処理部２０２は、ｒＢ∈Ｚｑをランダムに選択した上で、短期秘密鍵
【0116】
【数15】
【0117】
続くステップＳ６０３～ステップＳ６０９は、図６のステップＳ２０３～ステップＳ２０９とそれぞれ同様であるため、その説明を省略する。
【0118】
通信装置２０Ａの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ６１０）。
【0119】
ＦＡ＝（ｘＡ＋ｄＡ）（ＸＢ＋ｄＢ（ｚ＋ｉＡ）ｇ）
σ＝ｅ（ＦＡ，ＤＡ）
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ６１１）。
σ＝ｅ（ＦＡ，ＤＡ）
同様に、通信装置２０Ｂの鍵交換処理部２０２は、以下により共有値σを計算する（ステップＳ６１１）。
【0120】
ＦＢ＝（ｘＢ＋ｄＢ）（ＸＡ＋ｄＡ（ｚ＋ｉＢ）ｇ）
σ＝ｅ（ＦＢ，ＤＢ）
続くステップＳ６１２～ステップＳ６１５は、図６のステップＳ２１２～ステップＳ２１５とそれぞれ同様であるため、その説明を省略する。
σ＝ｅ（ＦＢ，ＤＢ）
続くステップＳ６１２～ステップＳ６１５は、図６のステップＳ２１２～ステップＳ２１５とそれぞれ同様であるため、その説明を省略する。
【0121】
これにより、通信装置２０Ａと通信装置２０Ｂとの間で共有鍵Ｋが共有される。したがって、この共有鍵Ｋを用いて、通信装置２０Ａと通信装置２０Ｂとの間で暗号化通信を行うことができる。
【0122】
＜まとめ＞
以上のように、本発明の実施の形態の実施例１～実施例４では、通常の認証付き鍵交換においてｅＣＫモデルで安全なＣＭＱＶプロトコルの技術を、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに応用できるようにプロトコルを設計している。なお、ｅＣＫモデルは通常の認証付き鍵交換における安全性のモデルであり、ｉｄ－ｅＣＫモデルの元となっているモデルである。
以上のように、本発明の実施の形態の実施例１～実施例４では、通常の認証付き鍵交換においてｅＣＫモデルで安全なＣＭＱＶプロトコルの技術を、ＩＤベース暗号を用いた認証付き鍵交換プロトコルに応用できるようにプロトコルを設計している。なお、ｅＣＫモデルは通常の認証付き鍵交換における安全性のモデルであり、ｉｄ－ｅＣＫモデルの元となっているモデルである。
【0123】
ところで、通常の認証付き鍵交換ではペアリング演算は不要であり、通常の認証付き鍵交換における巡回群上のべき乗計算が、ＩＤベース暗号を用いた認証付き鍵交換プロトコルにおけるペアリング演算に対応すると考えることができる。また、ＣＭＱＶは、このべき乗計算を１回行うだけで鍵交換を行うことできるプロトコルである。更に、ｉｄ－ｅＣＫモデルは、通常の認証付き鍵交換におけるｅＣＫモデルを、ＩＤベース暗号を用いた認証付き鍵交換に自然に当てはめたものである。このため、ＣＭＱＶプロトコルのコアとなっている構造を、ＩＤベース暗号を用いた認証付き鍵交換プロトコルで実現できれば、ペアリング演算１回で鍵交換を行うことができるｉｄ－ｅＣＫモデルで安全なプロトコルが実現することが可能となる。なお、ＣＭＱＢプロトコルの詳細については、例えば参考文献「B Ustaoglu, "Obtaining a secure and efficient key agreement protocol from (H)MQV and NAXOS," Designs, Codes and Cryptography, March 2008, Volume 46, Issue 3, pp 329-342」のsection 3等を参照されたい。
【0124】
しかしながら、ＣＭＱＶを、非対称ペアリング群上のＩＤベース暗号を用いた認証付き鍵交換に自然に変換すると、ＣＭＱＶプロトコルのコアとなる構造を再現することができない。これに対して、本発明の実施の形態の実施例１～実施例４では、McCullagh-Barreto鍵交換プロトコルの構造を利用して、ＩＤベース暗号を用いた認証付き鍵交換でＣＭＱＶプロトコルのコアとなる構造を実現できるようにプロトコルを設計している。これにより、本発明の実施の形態の実施例１～実施例４では、ペアリング演算１回で鍵交換可能で、かつ、ｉｄ－ｅＣＫモデルで安全なプロトコルを実現している。なお、McCullagh-Barreto鍵交換プロトコルの詳細については、例えば参考文献「Zhaohui Cheng, Liqun Chen, "On Security Proof of McCullagh-Barreto's Key Agreement Protocol and its Variants," Cryptology ePrint Archive, Report 2005/201, 2005.」を参照されたい。
【0125】
なお、ペアリング演算の回数だけに着目すると、本発明の実施の形態では、各通信装置２０でペアリング演算をそれぞれ１回行うだけで共有鍵Ｋ（又は鍵ＳＫ）の交換を行うことができる。一方で、上述したように、例えば、ＦＳＵではペアリング演算をそれぞれ４回行う必要がある。このため、本発明の実施の形態では、各通信装置２０は、従来技術と比較して、約１／４の時間で鍵交換を行うことが可能となる。したがって、本発明の実施の形態によれば、例えば、計算リソースが限られたＩｏＴ機器等においても、ＩＤベース暗号を用いた認証付き鍵交換プロトコルを高速に実行することが可能となる。
【0126】
本発明は、具体的に開示された上記の実施の形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更が可能である。
【符号の説明】
【0127】
１ 鍵交換システム
１０ 鍵発行装置
２０ 通信装置
１０１ 通信部
１０２ 鍵発行処理部
１０３ 記憶部
２０１ 通信部
２０２ 鍵交換処理部
２０３ 記憶部
１０ 鍵発行装置
２０ 通信装置
１０１ 通信部
１０２ 鍵発行処理部
１０３ 記憶部
２０１ 通信部
２０２ 鍵交換処理部
２０３ 記憶部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】