ホーム > 特許ランキング > 東芝情報システム株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-12-19
(45)【発行日】2023-12-27
(54)【発明の名称】暗号復号システム、暗号復号方法、及び暗号復号用プログラム
(51)【国際特許分類】
H04L 9/08 20060101AFI20231220BHJP
【ＦＩ】
H04L9/08 C
H04L9/08 E
【請求項の数】
15
(21)【出願番号】P 2020164201
(22)【出願日】2020-09-29
(65)【公開番号】P2022056275
(43)【公開日】2022-04-08
【審査請求日】2022-09-26
(73)【特許権者】
【識別番号】391016358
【氏名又は名称】東芝情報システム株式会社
(74)【代理人】
【識別番号】100156199
【弁理士】
【氏名又は名称】神崎 真
(74)【代理人】
【識別番号】100090169
【弁理士】
【氏名又は名称】松浦 孝
(74)【代理人】
【識別番号】100074147
【弁理士】
【氏名又は名称】本田 崇
(74)【代理人】
【識別番号】100124497
【弁理士】
【氏名又は名称】小倉 洋樹
(72)【発明者】
【氏名】岩野 隆
【審査官】青木 重徳
(56)【参考文献】
【文献】特開２００８－１１７３７３（ＪＰ，Ａ）
【文献】特開２０２０－０５２２１５（ＪＰ，Ａ）
【文献】特表２００２－５４０７２１（ＪＰ，Ａ）
【文献】特表２０１６－５２９７５３（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／０８
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
(57)【特許請求の範囲】
【請求項1】
演算により暗号文を生成する暗号生成部を有する暗号生成装置と、前記暗号生成装置から暗号文を受けて暗号文を復号し平文とする復号部を有する復号装置とを具備し、
前記暗号生成装置と前記復号装置には、一次元写像の演算によりそれぞれで生成した通知情報の交換を行って同一の共通鍵を生成する暗号側共通鍵生成部と復号側共通鍵生成部が備えられ、
前記暗号生成部は前記共通鍵に基づく暗号生成を行い、前記復号部は前記共通鍵に基づく復号処理を行うことを特徴とする暗号復号システムにおいて、
前記暗号側共通鍵生成部と前記復号側共通鍵生成部とは、それぞれで異なる固有の秘密情報を保持すると共に２数値を同じく保持し、それぞれが前記秘密情報と前記２数値を用いて一次元写像の演算を行って通知情報を生成するものであり、
前記暗号側共通鍵生成部と前記復号側共通鍵生成部とは、通知情報を受け取ると、この通知情報と前記秘密情報を用いて一次元写像の演算により共通鍵を生成するものであり、
前記一次元写像は、一変数多項式の一次元写像であること特徴とする暗号復号システム。
【請求項2】
前記暗号生成装置には、前記暗号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成する暗号側セッション鍵生成部が備えられ、
前記暗号生成部は、前記共通鍵と前記セッション鍵とを用いて暗号文を生成し、
前記復号装置には、前記復号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成する復号側セッション鍵生成部が備えられ、
前記復号部は、前記共通鍵と前記セッション鍵とを用いた復号により平文を生成することを特徴とする請求項１に記載の暗号復号システム。
【請求項3】
前記暗号生成装置には、乱数を生成し前記暗号側セッション鍵生成部と前記復号側セッション鍵生成部へ送出する乱数生成部が備えられていることを特徴とする請求項２に記載の暗号復号システム。
【請求項4】
前記暗号生成装置には、前記暗号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成し、この一変数多項式による一次元写像を行い、暗号側交換情報を生成する第２の暗号側更新鍵生成部が備えられ、
前記復号装置には、前記復号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成し、この一変数多項式による一次元写像を行い、復号側交換情報を生成する第２の復号側更新鍵生成部が備えられ、
前記第２の暗号側更新鍵生成部は、復号側交換情報を受け取ってこの復号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成し、
前記第２の復号側更新鍵生成部は、暗号側交換情報を受け取ってこの暗号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成することを特徴とする請求項１に記載の暗号復号システム。
【請求項5】
前記暗号生成部では、生成された更新鍵を用いた暗号生成を行い、
前記復号部では、生成された更新鍵を用いた復号を行うことを特徴とする請求項４に記載の暗号復号システム。
【請求項6】
演算により暗号文を生成する暗号生成部を有する暗号生成装置と、前記暗号生成装置から暗号文を受けて該暗号文を復号し平文とする復号部を有する復号装置とにおいて行われ、
前記暗号生成装置と前記復号装置には、暗号側共通鍵生成部と復号側共通鍵生成部が備えられ、
前記暗号生成部において共通鍵に基づく暗号生成を行い、前記復号部において共通鍵に基づく復号処理を行う暗号復号方法であって、
前記暗号側共通鍵生成部と前記復号側共通鍵生成部とにおいて、それぞれで異なる固有の秘密情報を保持すると共に同じ２数値を保持し、それぞれが前記秘密情報と前記２数値を用いて一次元写像の演算を行って通知情報を生成し、
前記暗号側共通鍵生成部と前記復号側共通鍵生成部においては、通知情報を受け取ると、この通知情報と前記秘密情報を用いて一次元写像の演算により共通鍵を生成し、
前記一次元写像を、一変数多項式の一次元写像としたこと特徴とする暗号復号方法。
【請求項7】
前記暗号生成装置には、暗号側セッション鍵生成部が備えられ、この暗号側セッション鍵生成部においては、前記暗号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成し、
前記暗号生成部においては、前記共通鍵と前記セッション鍵とを用いて暗号文を生成し、
前記復号装置には、復号側セッション鍵生成部が備えられ、この復号側セッション鍵生成部においては、前記復号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成し、
前記復号部においては、前記共通鍵と前記セッション鍵とを用いた復号により平文を生成することを特徴とする請求項６に記載の暗号復号方法。
【請求項8】
前記暗号生成装置には、乱数生成部が備えられ、この乱数生成部において乱数を生成し前記暗号側セッション鍵生成部と前記復号側セッション鍵生成部へ送出することを特徴とする請求項７に記載の暗号復号方法。
【請求項9】
前記暗号生成装置には、第２の暗号側更新鍵生成部が備えられ、この第２の暗号側更新鍵生成部においては、前記暗号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成しこの一変数多項式による一次元写像を行い、暗号側交換情報を生成し、
前記復号装置には、第２の復号側更新鍵生成部が備えられ、この第２の復号側更新鍵生成部において、前記復号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成しこの一変数多項式による一次元写像を行い、復号側交換情報を生成し、
前記第２の暗号側更新鍵生成部においては、復号側交換情報を受け取ってこの復号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成し、
前記第２の復号側更新鍵生成部においては、暗号側交換情報を受け取ってこの暗号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成することを特徴とする請求項６に記載の暗号復号方法。
【請求項10】
前記暗号生成部においては、生成された更新鍵を用いた暗号生成を行い、
前記復号部においては、生成された更新鍵を用いた復号を行うことを特徴とする請求項９に記載の暗号復号方法。
【請求項11】
暗号復号システムの暗号生成装置に備えられたコンピュータを、
演算により暗号文を生成する暗号生成部として機能させ、
暗号復号システムの復号装置に備えられたコンピュータを、前記暗号生成装置から暗号文を受けて該暗号文を復号し平文とする復号部として機能させ、
更に、
前記暗号生成装置に備えられたコンピュータと前記復号装置に備えられたコンピュータを、一次元写像の演算によりそれぞれで生成した通知情報の交換を行って同一の共通鍵を生成する暗号側共通鍵生成部と復号側共通鍵生成部、
として機能させ、
前記暗号生成装置に備えられたコンピュータを、前記暗号生成部として前記共通鍵に基づく暗号生成を行うように機能させ、
前記復号装置に備えられたコンピュータを、前記復号部として前記共通鍵に基づく復号処理を行うように機能させ、
前記暗号生成装置に備えられたコンピュータと前記復号装置に備えられたコンピュータを、前記暗号側共通鍵生成部と前記復号側共通鍵生成部として、それぞれで異なる固有の秘密情報を保持すると共に２数値を同じく保持し、それぞれが前記秘密情報と前記２数値を用いて一次元写像の演算を行って通知情報を生成するように機能させ、
前記暗号生成装置に備えられたコンピュータと前記復号装置に備えられたコンピュータを、前記暗号側共通鍵生成部と前記復号側共通鍵生成部として、通知情報を受け取ると、この通知情報と前記秘密情報を用いて一次元写像の演算により共通鍵を生成するように機能させ、
前記一次元写像を、一変数多項式の一次元写像により実現させる
こと特徴とする暗号復号用プログラム。
【請求項12】
前記暗号生成装置に備えられたコンピュータを、前記暗号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成する暗号側セッション鍵生成部として機能させ、
前記暗号生成装置に備えられたコンピュータを、前記暗号生成部として、前記共通鍵と前記セッション鍵とを用いて暗号文を生成するように機能させ、
前記復号装置に備えられたコンピュータを、前記復号側共通鍵生成部により生成された共通鍵に基づき前記一次元写像の演算を行ってセッション鍵を生成する復号側セッション鍵生成部として機能させ、
前記復号装置に備えられたコンピュータを、前記復号部として、前記共通鍵と前記セッション鍵とを用いた復号により平文を生成するように機能させる
ことを特徴とする請求項１１に記載の暗号復号用プログラム。
【請求項13】
前記暗号生成装置に備えられたコンピュータを、乱数を生成し前記暗号側セッション鍵生成部と前記復号側セッション鍵生成部へ送出する乱数生成部として機能させる
ことを特徴とする請求項１２に記載の暗号復号用プログラム。
【請求項14】
前記暗号生成装置に備えられたコンピュータを、前記暗号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成し、この一変数多項式による一次元写像を行い、暗号側交換情報を生成する第２の暗号側更新鍵生成部として機能させ、
前記復号装置に備えられたコンピュータを、前記復号側共通鍵生成部から共通鍵を受け取り、この共通鍵により一変数多項式を生成し、この一変数多項式による一次元写像を行い、復号側交換情報を生成する第２の復号側更新鍵生成部として機能させ、
前記暗号生成装置に備えられたコンピュータを、前記第２の暗号側更新鍵生成部として、復号側交換情報を受け取ってこの復号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成するように機能させ、
前記復号装置に備えられたコンピュータを、前記第２の復号側更新鍵生成部として、暗号側交換情報を受け取ってこの暗号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成するように機能させる
ことを特徴とする請求項１１に記載の暗号復号用プログラム。
【請求項15】
前記暗号生成装置に備えられたコンピュータを、前記暗号生成部として、生成された更新鍵を用いた暗号生成を行うように機能させ、
前記復号装置に備えられたコンピュータを、前記復号部として、生成された更新鍵を用いた復号を行うように機能させる
ことを特徴とする請求項１４に記載の暗号復号用プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
この発明は、暗号復号システム、暗号復号方法、及び暗号復号用プログラムに関するものである。
【背景技術】
【0002】
一次元写像はカオス的性質があることから、特許文献１に示されるように乱数生成器や共通鍵暗号方法の提案がなされている。しかしながら、一次元写像は、乱数性能面では統計的指標が示されているが、セキュリティ面では安全性指標が現段階では示されておらず、安全性を確保する適切な鍵の実装方法や暗号手法が明確にされていない状況となっている。
【0003】
特許文献２（特表２００２－０５８６３８号公報）には、算術型圧縮暗号装置が開示されている。この算術型圧縮暗号装置は、シンボルの出現確率を予測するモデル器から出力されたシンボルの出現確率に基づいて上記シンボルの符号化を行う。更に、この算術型圧縮暗号装置は、入力したシンボルの出現確率に基づく動的な区分線形写像を暗号鍵で制御して出力符号を圧縮および暗号化する。この装置によれば、算術符号化による本来のデータ圧縮率を損なうことなく、高い安全性を得ることができ、また、単純な処理で効率良く出力符号を攪乱することができる。
【0004】
特許文献３には、高速演算が可能な新規なカオス的時系列を探索し、このカオス的時系列を用いてカオス発生装置やカオス暗号装置などを実現することが開示されている。このカオス発生装置は、変数ｎの増加に従って急激に増加する関数ｆｉ（ｎ）［ｉ＝１～Ｌ、Ｌ≧１］に対し素数ｍｉ［ｉ＝１～Ｌ、Ｌ≧１］を設定する手段と、変数ｎの初期値ｎ０に対してｆｉ（ｎ０）から素数ｍｉを法として剰余ｒｉ（ｎ０）［ｉ＝１～Ｌ、Ｌ≧１］を導出する初期値演算手段と、ｆｉ（ｎ＋１）の計算では剰余ｒｉ（ｎ）を利用して素数ｍｉを法として導出された剰余ｒｉ（ｎ＋１）を導出する反復演算手段と、変数ｎをｎ０から順次増大させながら前記剰余ｒｉ（ｎ）［ｉ＝１～Ｌ、Ｌ≧１］を通して生成される一意の値を有するカオス的時系列Ｘｎを出力するカオス信号出力手段から構成される。これによって、再現性のあるカオス的時系列信号を高速出力し、高安全性の暗号装置などを実現する。
【0005】
特許文献４には、情報を暗号化して伝送するのに好適な暗号通信システムが開示されている。暗号通信システムの送信装置と受信装置とは、それぞれ秘密鍵と公開鍵を生成すると共に、現在時刻を基に乱数を生成し、生成された乱数を用いてセッション鍵を作り、ＲＳＡ暗号の技術を用いてセッション鍵を共有する。共有されたセッション鍵は、乱数の暗号化にも用いられ、暗号化された乱数を復号したときに元の乱数と一致することをもって、セッション鍵が認証される。伝送すべき情報は、認証されたセッション鍵により、ベクトルストリーム暗号によって伝送され、通信の秘密を保つことができる。
【0006】
特許文献５には、暗号生成装置が開示されている。この装置は、鍵データに基づいてカオス演算に用いるパラメータ列を生成するパラメータ生成手段と、生成されたパラメータ列を用いてカオス演算を行ってカオスノイズを得るカオスノイズ発生手段と、カオスノイズを平文情報に対して適用する演算を行って暗号文を得る排他的論理和回路と、排他的論理和回路により得られる暗号文を上記カオスノイズ発生手段へフィードバックするフィードバック経路とを具備する。上記カオスノイズ発生手段においては、フィードバックされた暗号文に基づきカオス演算を行い、カオスノイズを得る。この構成によって、平文と暗号文の１ペアから、他の暗号文の解読を不可能にする。
【0007】
上記の共通鍵暗号方式は、鍵の管理を必要とし通信相手がＮ対Ｎとした場合、Ｎ（Ｎ－１）個の鍵を必要とするため鍵の管理にコストがかかる。
【先行技術文献】
【特許文献】
【0008】
【文献】特開２０１６－０８１２７４号公報
【文献】再公表２００２－０５８０３８号公報
【文献】特開２００５－１７６１２号公報
【文献】特開２００６－６７４１２号公報
【文献】特開２００８－１９７６８５号公報
【0009】
＜Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法＞
従来、鍵共有の方法として、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法が知られている。この方法は、歴史上初めて鍵の配送問題を解決した鍵を共有するアルゴリズムとして知られている。図１は、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法のシーケンスである。
ここでは、暗号生成装置と復号装置が、秘密の共通鍵を共有する場合を説明する。暗号生成装置と復号装置は式（１）の合同算術式に関し、その生成元ｇと法（ｍｏｄｕｌｏ）とする素数Ｐをお互いに連絡して合意する（Ｓ１１）。
上記合同算術の式を説明する。生成元ｇと、べき乗ｒ、法Ｐと余りｙからなり、例えば“ｇ＝２、ｒ＝１１、Ｐ＝１１”と値を設定した場合、式（１）は、２１１≡２（ｍｏｄ １１）になり、２１１＝２０４８を１１で割ると余りが２となることを示し、１１の法（ｍｏｄｕｌｏ）をとった剰余は２となる。
従来、鍵共有の方法として、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法が知られている。この方法は、歴史上初めて鍵の配送問題を解決した鍵を共有するアルゴリズムとして知られている。図１は、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法のシーケンスである。
ここでは、暗号生成装置と復号装置が、秘密の共通鍵を共有する場合を説明する。暗号生成装置と復号装置は式（１）の合同算術式に関し、その生成元ｇと法（ｍｏｄｕｌｏ）とする素数Ｐをお互いに連絡して合意する（Ｓ１１）。
【数1】
【0010】
暗号生成装置は秘密情報として暗号生成装置のみが知る２以上Ｐ未満の数（自然数）Ｓａを生成する（Ｓ１２）。復号装置は秘密情報として復号装置のみが知る２以上Ｐ未満の数（自然数）Ｓｂを生成する（Ｓ１３）。暗号生成装置は復号装置と合意した生成元ｇと法となる素数Ｐを式（１）に設定する。暗号生成装置は秘密情報である数Ｓａを式（１）のべき乗ｒに設定した次の式（２）による演算を実行し、余りｙａを生成する。生成したｙａは通知情報としてＢに送信する（Ｓ１４）。
【数2】
【0011】
一方、復号装置は秘密情報である数Ｓｂを式（１）のべき乗ｒに設定して次の式（３）による演算を実行し、余りｙｂを生成する。復号装置は、生成したｙｂを通知情報として暗号生成装置へ送信する（Ｓ１５）。
【数3】
【0012】
次に、暗号生成装置と復号装置が共有する秘密情報（共通鍵）を生成する。
暗号生成装置は復号装置から通知情報ｙｂを受信し、通知情報ｙｂを式（１）の生成元ｇに設定し、暗号生成装置（暗号生成装置のユーザなど）のみが知る数Ｓａを式（１）のべき乗ｒに設定して余りＣａを生成する（Ｓ１６）。
処理を式で表すと次の式（４）となる。
上記において、ｙｂはｇＳｂをＰで法を取った値のためｙｂにｇＳｂを当てはめると、
が成り立っている。
暗号生成装置は復号装置から通知情報ｙｂを受信し、通知情報ｙｂを式（１）の生成元ｇに設定し、暗号生成装置（暗号生成装置のユーザなど）のみが知る数Ｓａを式（１）のべき乗ｒに設定して余りＣａを生成する（Ｓ１６）。
処理を式で表すと次の式（４）となる。
【数4】
【数5】
【0013】
一方、復号側置は、暗号生成装置から通知情報ｙａを受信し、通知情報ｙａを式（２）の生成元ｇに設定し複号装置（復号装置のユーザなど）のみが知る数Ｓｂをべき乗ｒに設定して余りＣｂを生成する（Ｓ１７）。
処理を式で表すと次の式（６）となる。
上記において、ｙａはｇＳａをＰで法を取った値のためｙａにｇＳａを当てはめると
が成り立っている。
処理を式で表すと次の式（６）となる。
【数6】
【数7】
【0014】
暗号生成装置と復号装置で求めた余りＣａとＣｂは次の式（８）の関係が成り立っており、暗号生成装置と復号装置はこの同じ数“Ｃａ＝Ｃｂ”をＡとＢで共有する共通鍵として使用することができる。
【数8】
【発明の概要】
【発明が解決しようとする課題】
【0015】
上記のＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法によれば、鍵の管理を不要とすることができるものの、剰余を求める演算が必要であり演算負荷が大きくなり、演算コストが増大する問題点を有する。
【0016】
本実施形態では、鍵の管理を不要とすることができ、また、演算負荷と演算コストの低減を図る。
【課題を解決するための手段】
【0017】
本実施形態に係る暗号復号システムは、演算により暗号文を生成する暗号生成部を有する暗号生成装置と、前記暗号生成装置から暗号文を受けて暗号文を復号し平文とする復号部を有する復号装置とを具備し、前記暗号生成装置と前記復号装置には、一次元写像の演算によりそれぞれで生成した通知情報の交換を行って同一の共通鍵を生成する暗号側共通鍵生成部と復号側共通鍵生成部が備えられ、前記暗号生成部は前記共通鍵に基づく暗号生成を行い、前記復号部は前記共通鍵に基づく復号処理を行うことを特徴とする暗号復号システムにおいて、前記暗号側共通鍵生成部と前記復号側共通鍵生成部とは、それぞれで異なる固有の秘密情報を保持すると共に２数値を同じく保持し、それぞれが前記秘密情報と前記２数値を用いて一次元写像の演算を行って通知情報を生成するものであり、前記暗号側共通鍵生成部と前記復号側共通鍵生成部とは、通知情報を受け取ると、この通知情報と前記秘密情報を用いて一次元写像の演算により共通鍵を生成するものであり、前記一次元写像は、一変数多項式の一次元写像であること特徴とする。
【図面の簡単な説明】
【0018】
【図1】Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法のシーケンス図。
【図2】本発明の第１の実施形態に係る暗号復号システムのブロック図。
【図2A】本発明の第１の実施形態に係る暗号生成装置を実現するコンピュータシステムの構成図
【図3】ベルヌーイシフト写像のマップ。
【図4】式（９）によるベルヌーイシフト写像のｉを横軸とし、ｘｉ＋１を縦軸とした時系列の図。
【図5】ある値による合同算術結果の数値を示す図。
【図6】式（１０）の５つからなる式によるベルヌーイシフト写像のマップ。
【図7】式（１０）に初期値Ｘ０＝１／１１を与えて反復を行った値と式（９）の“ｇ＝５”を設定し、法として素数Ｐ＝１１を設定した値の遷移を示す図。
【図8】整数演算化したベルヌーイシフト写像の式（１１）と、合同算術の式（１）をＣ言語で記述したプログラムのソースコードを示す図。
【図10】ベルヌーイシフト写像によるＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有について、具体的に数値を入れて計算した例を示す図。
【図10A】暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２とが共通鍵生成するまでフローチャート。
【図11】円において、初期値θ０＝π／１１に設定して位相をπ／１１ずつ変化させた場合の円弧上の各点位置を示す図。
【図12】式（１３）において、初期値θ０＝π／１１に設定して“２ｎθ０”を計算した結果を示す図。
【図13A】「ガウスの消去法」を用いて４次の一変数多項式を求める例（前進消去）を示す図。
【図13B】「ガウスの消去法」を用いて４次の一変数多項式を求める例（後退代入）を示す図。
【図14】ガウスの消去法を用いて、Ｇを２から９まで振って各係数を求めた場合の、“ｓｉｎ２Ｇ２θ”と等価な２次以上の次数を持つ一変数多項式とそのマップを示す図。
【図15】一変数多項式による鍵共有の計算方法のフローチャート。
【図17】式（２４）において“Ｐ＝１９”とし、“ｎ＝７”まで計算した“Ｘｉ”の値を示す図。
【図18】本発明の第２の実施形態に係る暗号復号システムのブロック図。
【図18A】本発明の第２の実施形態に係る暗号復号システムのセッション鍵生成を示すフローチャート。
【図20】本発明の第２の実施形態の暗号生成部１０１と復号部２０１が、共通鍵ＣＫとセッション鍵ＳＫを使用して共通鍵暗号によるシステムを実現する場合の動作を示すフローチャート。
【図21A】第２の実施形態の暗号復号システムの各部の処理内容を記述したブロック図。
【図22】本発明の第３の実施形態に係る暗号復号システムのブロック図。
【図22A】第２の実施形態における更新鍵生成の処理を示すフローチャート。
【図25A】具体的な計算値を用いて本発明の第２の実施形態に係る更新鍵の生成過程における傾き係数Ｇの第１の変動パターン例を示す図。
【図25B】具体的な計算値を用いて第２の実施形態に係る更新鍵の生成過程における傾き係数Ｇの第２の変動パターン例を示す図。
【図26】具体的な計算値を用いて第２の実施形態に係る更新鍵の生成過程を示す図。
【図28】鍵を出力して暗号化を行い復号する暗号復号システムの動作を示すフローチャート。
【図30】一次不定方程式の整数解を求める手順を一例の数値を入れて示す図。
【図31】本発明の第４の実施形態に係る暗号復号システムのブロック図。
【図31A】共通鍵より生成した一変数多項式（２８）とそのマップ図。
【図32】式（２８）を用いて鍵を更新する処理を示すフローチャート。
【図34】一変数多項式の生成について別の手法を示す図。
【発明を実施するための形態】
【0019】
以下添付図面を参照して、本発明の第１乃至第３の実施形態に係る暗号復号システム、暗号復号方法、暗号復号用プログラムを説明する。各図において同一の構成要素には、同一の符号を付して重複する説明を省略する。図２は、暗号復号システムの第１の実施形態を示すブロック図である。第１の実施形態に係る暗号復号システムは、暗号生成装置１００と復号装置２００とを備えている。
【0020】
暗号生成装置１００には、演算により暗号文を生成する暗号生成部１０１と、暗号側共通鍵生成部１０２が備えられている。復号装置２００には、上記暗号生成装置１００から暗号文を受けて該暗号文を復号し平文とする復号部２０１と、復号側共通鍵生成部２０２が備えられている。暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２とは、一次元写像の演算によりそれぞれで生成した通知情報の交換を行って同一の共通鍵を生成する。
【0021】
図２Ａは、本発明の第１の実施形態に係る暗号生成装置１００を実現するコンピュータシステムの構成図である。図２Ａは、本発明の第１の実施形態に係る復号装置２００を実現するコンピュータシステムの構成図でもある。本発明の実施形態に係る暗号生成装置１００と復号装置２００は、例えば図２Ａに示されるようなパーソナルコンピュータやワークステーション、その他のコンピュータシステムにより構成することができる。このコンピュータシステムは、ＣＰＵ１０が主メモリ１１に記憶されている或いは主メモリ１１に読み込んだプログラムやデータに基づき各部を制御し、必要な処理を実行することにより本実施形態や他の実施形態に係る暗号生成装置１００や復号装置２００として動作を行うものである。
【0022】
ＣＰＵ１０には、バス１２を介して外部記憶インタフェース１３、入力インタフェース１４、表示インタフェース１５、通信インタフェース１６が接続されている。外部記憶インタフェース１３には、状態変動検出用プログラム等のプログラムと必要なデータ等が記憶されている外部記憶装置２３が接続されている。入力インタフェース１４には、コマンドやデータを入力するための入力装置としてのキーボードなどの入力装置２４とポインティングデバイスとしてのマウス２２が接続されている。
【0023】
表示インタフェース１５には、ＬＥＤやＬＣＤなどの表示画面を有する表示装置２５が接続されている。通信インタフェース１６には、通知情報や暗号文を得るためのポート２６－１、２６－２、・・・、２６－ｍが接続されている。本実施形態に係る暗号復号システムが、暗号生成装置１００と復号装置２００の２台が相互に通信をする場合には、ポート２６－１、２６－２、・・・、２６－ｍを１つとすることができる。このコンピュータシステムには、他の構成が備えられていても良く、また、図２Ａの構成は一例に過ぎない。このコンピュータシステムによる構成は、この第１の実施形態に限らず、第２の実施形態以降の各実施形態やその変形例としても構成に採用される。
【0024】
一次元写像の一例としてベルヌーイシフト写像を挙げることができ、ベルヌーイシフト写像と先に説明した合同算術とは、同期することを突き止めた。
＜ベルヌーイシフト写像について＞
ベルヌーイシフト写像は、次の式（９）で定義される。
＜ベルヌーイシフト写像について＞
ベルヌーイシフト写像は、次の式（９）で定義される。
【数9】
【0025】
図３は、ベルヌーイシフト写像のマップである。図４は、上記式（９）によるベルヌーイシフト写像のｉを横軸とし、ｘｉ＋１を縦軸とした時系列である。
図４には、“初期値ｘ０＝０．２３４”とし、“ｘ０＜０．５”のため“ｘ１＝２ｘ０”の演算を行いｘ１＝０．４６８が得られ、“ｘ１＜０．５”のため“ｘ２＝２ｘ１”の演算を行い“ｘ２＝０．９３６”が得られ、以降“ｘ３，ｘ４，…”と開区間（０，１）を反復し遷移してゆく時系列が示されている。
図４には、“初期値ｘ０＝０．２３４”とし、“ｘ０＜０．５”のため“ｘ１＝２ｘ０”の演算を行いｘ１＝０．４６８が得られ、“ｘ１＜０．５”のため“ｘ２＝２ｘ１”の演算を行い“ｘ２＝０．９３６”が得られ、以降“ｘ３，ｘ４，…”と開区間（０，１）を反復し遷移してゆく時系列が示されている。
【0026】
＜ベルヌーイシフト写像と合同算術との同期について＞
ベルヌーイシフト写像と合同算術との同期について説明する。
式（９）の初期値ｘ０に、“１／１１”を設定したときの反復したｘｉの値、合同算術の式（１）に“ｇ＝２”を設定し、法として素数Ｐ＝１１を設定し、左辺の指数ｒを０～１１に振ったときの余りの値を図５に示す。
式（１）について、指数ｒが大きくなるほど桁が莫大になるため合同算術では法（ｍｏｄｕｌｏ）を取ることで、ある値Ｑ同士を掛け算した結果の余りにもう一回ある値Ｑを掛け算して余りを出すと、元の掛け算（Ｑ３）の余りに等しくなるといった性質があり、桁を抑えて演算できるため、このテクニックを使って計算している。
ベルヌーイシフト写像と合同算術との同期について説明する。
式（９）の初期値ｘ０に、“１／１１”を設定したときの反復したｘｉの値、合同算術の式（１）に“ｇ＝２”を設定し、法として素数Ｐ＝１１を設定し、左辺の指数ｒを０～１１に振ったときの余りの値を図５に示す。
式（１）について、指数ｒが大きくなるほど桁が莫大になるため合同算術では法（ｍｏｄｕｌｏ）を取ることで、ある値Ｑ同士を掛け算した結果の余りにもう一回ある値Ｑを掛け算して余りを出すと、元の掛け算（Ｑ３）の余りに等しくなるといった性質があり、桁を抑えて演算できるため、このテクニックを使って計算している。
【0027】
図５は、ベルヌーイシフト写像と合同算術の時系列比較を示す図である。図５（ａ）に示すベルヌーイシフト写像の計算結果Ｘｉである分数における分子の数値と、図５（ｂ）の合同算術による余りの数を比較すると、同じになっており同期していることが判る。
これは割り切れない数について考察すると、仮分数（２ｉ／１１）が例えばｉ＝６のとき、６４／１１＝５５／１１＋９／１１＝５＋９／１１となり、帯分数は１１の倍数として５が括り出され、真分数（９／１１）の分子の９は１１の割り算の余りとしても示されるからである。
以上から図５よりｘ１０の時点で１／１１とｘ０に戻りベルヌーイシフト写像は周期長１０で繰り返されることが判る。
これは割り切れない数について考察すると、仮分数（２ｉ／１１）が例えばｉ＝６のとき、６４／１１＝５５／１１＋９／１１＝５＋９／１１となり、帯分数は１１の倍数として５が括り出され、真分数（９／１１）の分子の９は１１の割り算の余りとしても示されるからである。
以上から図５よりｘ１０の時点で１／１１とｘ０に戻りベルヌーイシフト写像は周期長１０で繰り返されることが判る。
【0028】
次に、式（１）の生成元ｇが２以外の数値のベルヌーイシフト写像の式を考える。例としてｇ＝５の場合を考え、これと同期するベルヌーイシフト写像は次の式（１０）の５つからなる式になる。式（１０）のマップを図６に示す。
【数10】
【0029】
図７は、式（１０）に初期値Ｘ０＝１／１１を与えて反復を行った値と式（１）の“ｇ＝５”を設定し、法として素数Ｐ＝１１を設定した値の遷移を示す図である。ｇ＝２の場合と同様に図７を参照すると、図７（ａ）に示される式（９）における反復のＸｉの分子と、図７（ｂ）に示す合同算術による余りの数を比較すると、同じ値になっており同期していることが判る。これも、分数の演算では真分数の分子が合同算術の余りを指しているからであり、傾き係数がどのような値であっても、真分数の分子と合同算術の余りが同じ値となる。図７（ａ）では、Ｘ５＝１／１１となっており、初期値Ｘ０に戻るため周期長は５で繰り返されることが判る。
【0030】
上記を総合的に考察すると、ベルヌーイシフト写像の反復値の真分数の分子は合同算術の余りに相当し、合同算術の余りと同義であることが判る。以上から、生成元ｇのべき乗の法を取る合同算術は、ベルヌーイシフト写像に代替でき、合同算術のべき乗はベルヌーイシフト写像の反復回数に相当することが示された。
【0031】
＜ベルヌーイシフト写像の整数演算化＞
次に、ベルヌーイシフト写像の整数演算化を考えてみる。
ここまでベルヌーイシフト写像は開区間（０，１）を扱っていたが、整数演算が行えるよう区間を素数Ｐ倍して開区間（０，Ｐ）にすることで、べき乗の合同算術の余りに相当するＸｉを得ることができる。
傾き係数を“Ｇ”とし、“１”から開区間（０，Ｐ）に拡大し整数演算化したベルヌーイシフト写像は各傾き係数Ｇの一次式をまとめて、次の式（１１）のように簡潔に表すものとする。なお、本明細書においては、「Ｇ」について、「傾き係数Ｇ」、「生成元Ｇ」ガウスの消去法の場合のように単に「Ｇ」などとして同じ符号を用いるが、方程式に用いる「ｘ」のように、ある数値であることを意味しており、特別な数値という意味ではないので、「傾き係数Ｇ」、「生成元Ｇ」、ガウスの消去法の場合などにおいて、区別せずに「Ｇ」を用いる。
次に、ベルヌーイシフト写像の整数演算化を考えてみる。
ここまでベルヌーイシフト写像は開区間（０，１）を扱っていたが、整数演算が行えるよう区間を素数Ｐ倍して開区間（０，Ｐ）にすることで、べき乗の合同算術の余りに相当するＸｉを得ることができる。
傾き係数を“Ｇ”とし、“１”から開区間（０，Ｐ）に拡大し整数演算化したベルヌーイシフト写像は各傾き係数Ｇの一次式をまとめて、次の式（１１）のように簡潔に表すものとする。なお、本明細書においては、「Ｇ」について、「傾き係数Ｇ」、「生成元Ｇ」ガウスの消去法の場合のように単に「Ｇ」などとして同じ符号を用いるが、方程式に用いる「ｘ」のように、ある数値であることを意味しており、特別な数値という意味ではないので、「傾き係数Ｇ」、「生成元Ｇ」、ガウスの消去法の場合などにおいて、区別せずに「Ｇ」を用いる。
【数11】
【0032】
“Ｍｋ”の下付き添え字ｋは、式（１１）の各一次式（一次式の数はＧ個）を選択する範囲毎の変数を示し、ｋは“０”（Ｍ０＝０）から傾き係数Ｇ（Ｍｋ＋１＝Ｇ）未満までの自然数を表している。
例えば、Ｐ＝１（拡大無し）とすれば、傾き係数Ｇ＝２では式（９）が得られ、傾き係数Ｇ＝５は式（１０）が得られる。
例えば、Ｐ＝１（拡大無し）とすれば、傾き係数Ｇ＝２では式（９）が得られ、傾き係数Ｇ＝５は式（１０）が得られる。
【0033】
図８は、整数演算化したベルヌーイシフト写像の式（１１）と、合同算術の式（１）をＣ言語で記述したプログラムのソースコードである。図８（ａ）は、ベルヌーイシフト写像のものであり、図８（ｂ）は、合同算術のものである。
図９は、図８のプログラムを実行した演算結果である。図９（ａ）がベルヌーイシフト写像式（１１）の傾き係数Ｇ＝５、最大区間Ｐ＝１１、反復回数ｒ＝１１に設定してＸ１０まで反復を行ったＸｉの結果である。図９（ｂ）は、合同算術式（１）の生成元ｇ＝５、法Ｐ＝１１として左辺のべき乗を“０，１，２，…，１０”（ｒ＝１１に設定）と変更してそれぞれの５のべき乗を法１１で割った結果の余りを示すものである。図９（ａ）と図９（ｂ）の２つとも、ベルヌーイシフト写像の反復回数“ｉ”とべき乗の値が対応して同じ解となっていることが確認できる。
図９は、図８のプログラムを実行した演算結果である。図９（ａ）がベルヌーイシフト写像式（１１）の傾き係数Ｇ＝５、最大区間Ｐ＝１１、反復回数ｒ＝１１に設定してＸ１０まで反復を行ったＸｉの結果である。図９（ｂ）は、合同算術式（１）の生成元ｇ＝５、法Ｐ＝１１として左辺のべき乗を“０，１，２，…，１０”（ｒ＝１１に設定）と変更してそれぞれの５のべき乗を法１１で割った結果の余りを示すものである。図９（ａ）と図９（ｂ）の２つとも、ベルヌーイシフト写像の反復回数“ｉ”とべき乗の値が対応して同じ解となっていることが確認できる。
【0034】
なお、図８（ａ）のベルヌーイシフト写像式（１１）のプログラムでは、各区間の境界“Ｐ×Ｍｋ／Ｇ”や“Ｐ×Ｍｋ＋１／Ｇ”が割り切れるように、区間（０，Ｐ）をさらにＧ倍することで最大区間（０，Ｇ×Ｐ）とし各区間の境界を整数のみで扱えるようにしている。具体例では、区間の境界値は式（１１）から“０／５，１１／５，２２／５，３３／５，４４／５，５５／５”となるが、割り切れないため５倍して“０，１１，２２，３３，４４，５５”の値を境界値として求めておき、メモリ（配列ｉｎｔｅｒｖａｌ［Ｇ］）に保存する。Ｘｉの値に対応する区間の検索処理（図８のプログラムでは降順に全件探索し見つかった時点で検索終了）により引き算する値“Ｐ×Ｍｋ”を選定している。
【0035】
このためプログラム中の演算結果をモニターに出力する“ｐｒｉｎｔｆ”文では、ＸｉはＧで割ってから出力し、関数の返り値もＸｉはＧで割った値としている。
式（１）による合同算術の演算は、Ｃ言語で実装した図８（ｂ）に示すソースコードのように、法１１の余りに対してｇ＝５を掛け算して法１１の余りを求め、余りにｇ＝５を掛け算する繰り返しで余りの算術を行う手法を使っている。
式（１）による合同算術の演算は、Ｃ言語で実装した図８（ｂ）に示すソースコードのように、法１１の余りに対してｇ＝５を掛け算して法１１の余りを求め、余りにｇ＝５を掛け算する繰り返しで余りの算術を行う手法を使っている。
【0036】
＜ベルヌーイシフト写像によるＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有＞
図１０は、ベルヌーイシフト写像によるＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有について、具体的に数値を入れて計算した例である。既に、式（１）の合同算術と式（１１）の整数演算化したベルヌーイシフト写像は、同等の数列となることを示した。式（１１）による図８（ａ）のベルヌーイシフト写像のプログラムにおける処理Ａにより演算を行い、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有を行う。
図１０に示す暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は、お互い事前に合意する式（１１）の係数Ｇ、素数Ｐに、式（１）の生成元ｇ＝５と式（１）の法となる素数Ｐと同等の演算精度となる素数Ｐ＝８３を設定する。暗号側共通鍵生成部１０２では秘密情報である数Ｓａ＝８を設定し、復号側共通鍵生成部２０２では、秘密情報である数Ｓｂ＝１７を設定する。
図１０は、ベルヌーイシフト写像によるＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有について、具体的に数値を入れて計算した例である。既に、式（１）の合同算術と式（１１）の整数演算化したベルヌーイシフト写像は、同等の数列となることを示した。式（１１）による図８（ａ）のベルヌーイシフト写像のプログラムにおける処理Ａにより演算を行い、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有を行う。
図１０に示す暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は、お互い事前に合意する式（１１）の係数Ｇ、素数Ｐに、式（１）の生成元ｇ＝５と式（１）の法となる素数Ｐと同等の演算精度となる素数Ｐ＝８３を設定する。暗号側共通鍵生成部１０２では秘密情報である数Ｓａ＝８を設定し、復号側共通鍵生成部２０２では、秘密情報である数Ｓｂ＝１７を設定する。
【0037】
図１０の左側が暗号側共通鍵生成部１０２の処理となり、暗号側共通鍵生成部１０２は式（１１）に式（１）の生成元ｇに相当する傾き係数Ｇ＝５と式（１）の法となる素数Ｐと同等の演算精度となる素数Ｐ＝８３とを設定する（Ｓ２１）。暗号側共通鍵生成部１０２は暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａ＝８を写像の反復回数ｒに設定し、初期値Ｘ０＝１に設定して写像の反復を８回行った結果Ｘ８＝２７となっている（Ｓ２２）。暗号側共通鍵生成部１０２が求めたＸ８＝２７を復号側共通鍵生成部２０２へ通知情報として送信する（Ｓ２３）。
【0038】
一方、図１０の右側が復号側共通鍵生成部２０２の処理となり、復号側共通鍵生成部２０２は式（１１）に式（１）の生成元ｇに相当する傾き係数Ｇ＝５と演算精度となる素数Ｐ＝８３を設定する（Ｓ２４）。復号側共通鍵生成部２０２は、復号側共通鍵生成部２０２のみが知る秘密情報である数Ｓｂ＝１７を写像の反復回数ｒに設定し、初期値Ｘ０＝１に設定して写像の反復を１７回行った結果“Ｘ１７＝７６”を得ている（Ｓ２５）。復号側共通鍵生成部２０２が求めた“Ｘ１７＝７６”を暗号側共通鍵生成部１０２へ通知情報として送信する（Ｓ２６）。
【0039】
次に、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２がお互いに送受信した通知情報から暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２で共有する秘密情報を生成する以下の処理を実行する。
暗号側共通鍵生成部１０２は、復号側共通鍵生成部２０２から受信した“７６”を式（１１）に傾き係数Ｇ＝７６として設定する（Ｓ２７）。演算精度となる素数Ｐ＝８３を設定して暗号側共通鍵生成部１０２は暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａ＝８を写像の反復回数ｒに設定し、初期値Ｘ０＝１に設定して写像の反復を行う（Ｓ２７）。結果としてＸ８＝３６が得られる（Ｓ２７Ａ）。
暗号側共通鍵生成部１０２は、復号側共通鍵生成部２０２から受信した“７６”を式（１１）に傾き係数Ｇ＝７６として設定する（Ｓ２７）。演算精度となる素数Ｐ＝８３を設定して暗号側共通鍵生成部１０２は暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａ＝８を写像の反復回数ｒに設定し、初期値Ｘ０＝１に設定して写像の反復を行う（Ｓ２７）。結果としてＸ８＝３６が得られる（Ｓ２７Ａ）。
【0040】
一方、復号側共通鍵生成部２０２は暗号側共通鍵生成部１０２から受信した“２７”を式（４）に傾き係数Ｇ＝２７として設定する（Ｓ２８）。演算精度となる素数Ｐ＝８３を設定して復号側共通鍵生成部２０２は復号側共通鍵生成部２０２のみが知る秘密情報Ｓｂ＝１７を写像の反復回数ｒに設定し、初期値Ｘ０＝１に設定して写像の反復を行う（Ｓ２８）。結果としてＸ１７＝３６が得られる（Ｓ２８Ａ）。暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は、お互い共通の秘密情報“３６”を直接相手に送信することなくこれを共有することができる。これを暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２の共通鍵として共通鍵暗号方式で使用する。
図１０Ａは、以上の暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２とが共通鍵生成するまでフローチャートである。第１行目のブロックでは、それぞれの秘密情報の生成と、合意した２つの数値（ここでは、ＧとＰ）の保持が行われている。第２行目のブロックでは、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２の夫々でベルヌーイシフト写像による通知情報の生成が行われ、この通知情報の交換が行われている。第３行目のブロックでは、交換した通知情報とそれぞれが秘密にしている秘密情報を用いてベルヌーイシフト写像による共通鍵の生成が行われる。
以上がＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法をベルヌーイシフト写像により行った例であり、除算剰余の演算が引き算で済むようになり、演算コストの削減が期待できる。
以上がＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法をベルヌーイシフト写像により行う場合には、ハードウエアにより構成することができ、ハードウエアの構成回路は、除算剰余の演算回路が引き算回路で済むことになり、ハードウエアの構成を簡素化し回路の簡素化を図ることが可能である。
図１０Ａは、以上の暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２とが共通鍵生成するまでフローチャートである。第１行目のブロックでは、それぞれの秘密情報の生成と、合意した２つの数値（ここでは、ＧとＰ）の保持が行われている。第２行目のブロックでは、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２の夫々でベルヌーイシフト写像による通知情報の生成が行われ、この通知情報の交換が行われている。第３行目のブロックでは、交換した通知情報とそれぞれが秘密にしている秘密情報を用いてベルヌーイシフト写像による共通鍵の生成が行われる。
以上がＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法をベルヌーイシフト写像により行った例であり、除算剰余の演算が引き算で済むようになり、演算コストの削減が期待できる。
以上がＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法をベルヌーイシフト写像により行う場合には、ハードウエアにより構成することができ、ハードウエアの構成回路は、除算剰余の演算回路が引き算回路で済むことになり、ハードウエアの構成を簡素化し回路の簡素化を図ることが可能である。
【0041】
上記暗号側共通鍵生成部１０２と上記復号側共通鍵生成部２０２とは、それぞれで異なる固有の秘密情報を保持すると共に２数値（本実施形態では、傾き係数Ｇと素数Ｐ）を同じく保持し、それぞれが上記秘密情報と上記２数値を用いて一次元写像の演算を行って通知情報を生成する。
また、上記暗号側共通鍵生成部１０２と上記復号側共通鍵生成部２０２とは、通知情報を受け取ると、この通知情報と上記秘密情報を用いて一次元写像の演算により共通鍵を生成する。
また、上記暗号側共通鍵生成部１０２と上記復号側共通鍵生成部２０２とは、通知情報を受け取ると、この通知情報と上記秘密情報を用いて一次元写像の演算により共通鍵を生成する。
【0042】
Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方法の安全性について、式（１）においてＰが大きな素数のとき、「ｇとｒとＰ」から余りｙを求めることは簡単だが「ｇとｙとＰ」からｇを底としたｙの対数ｒを求めることが非常に難しいとされ、これが離散対数問題と称されている。現在の所、離散対数問題を効率的に解く手法は見つかっておらず、安全性の根拠とされている。
現在使用されている素数Ｐのビット桁について、ＲＦＣ３５２６（Ｍｏｒｅ Ｍｏｄｕｌａｒ Ｅｘｐｏｎｅｎｔｉａｌ （ＭＯＤＰ） Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ ｇｒｏｕｐｓ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ （ＩＫＥ）、２００３年５月）で公開されている生成元ｇと素数Ｐの組が存在しており、素数Ｐの桁は１５３６ビット（１５３６ビットＭＯＤＰグループ）以上が用いられており、２０４８ビット以上を用いることが推奨されている。
現在使用されている素数Ｐのビット桁について、ＲＦＣ３５２６（Ｍｏｒｅ Ｍｏｄｕｌａｒ Ｅｘｐｏｎｅｎｔｉａｌ （ＭＯＤＰ） Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ ｇｒｏｕｐｓ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｋｅｙ Ｅｘｃｈａｎｇｅ （ＩＫＥ）、２００３年５月）で公開されている生成元ｇと素数Ｐの組が存在しており、素数Ｐの桁は１５３６ビット（１５３６ビットＭＯＤＰグループ）以上が用いられており、２０４８ビット以上を用いることが推奨されている。
【0043】
＜一変数多項式の一次元写像による鍵共有方法＞
上記実施形態では、共通鍵生成の一次元写像をベルヌーイシフト写像によって行うことを示したが、この一次元写像は、一変数多項式の一次元写像であっても可能である。
式（１１）のベルヌーイシフト写像では“ｘ”の項の、べき乗数が“１”となる一次式となっている。ロジスティック写像のように、２次以上の次数を持つ多項式を一次元写像とした鍵共有を行う例を新たに示す。
ロジスティック写像は、次の漸化式の式（１２）になり、Ｘｉのべき乗数が２次となる。
特開２０１９－１６８９６３「乱数生成装置」にて示されるように、式（１２）は以下の式（１３）に変換できる。
上記実施形態では、共通鍵生成の一次元写像をベルヌーイシフト写像によって行うことを示したが、この一次元写像は、一変数多項式の一次元写像であっても可能である。
式（１１）のベルヌーイシフト写像では“ｘ”の項の、べき乗数が“１”となる一次式となっている。ロジスティック写像のように、２次以上の次数を持つ多項式を一次元写像とした鍵共有を行う例を新たに示す。
ロジスティック写像は、次の漸化式の式（１２）になり、Ｘｉのべき乗数が２次となる。
【数12】
【0044】
ロジスティック写像の式（１２）の初期値Ｘ０を三角関数ｓｉｎ２θの場合として代入する。
Ｘ１は
となるため、
より
三角関数の加法定理より
のため、最終的に
が得られる。同様に求めたＸ１を式（１２）に代入することでＸ２は
が得られ、Ｘ３，Ｘ４，…と繰り返していくことで写像の回数を示す添え字を“ｎ”とすると
が導かれ、“ｎ”回目の写像の値が位相 “２ｎθ” により一意にわかるロジスティック写像の式（１３）に変形できる。
【数13】
【数14】
【数15】
より
【数16】
【数17】
のため、最終的に
【数18】
が得られる。同様に求めたＸ１を式（１２）に代入することでＸ２は
【数19】
【数20】
【0045】
式（１３）の位相“２ｎθ”に着目する。図１１は、位相をπ／１１ずつ変化させた場合の円弧上の各点位置を示す図であり、π／２を中心として左右に対称な位置の円弧上の点の値は同一の値をとる。ここで、例えば初期値θ０＝π／１１に設定して“２ｎθ０”を計算すると、図１２のように“ｎ＝１０”のとき位相が元のθ０＝π／１１に戻ることが判る。これは初等整数論における次の式（１４）により示されるフェルマーの小定理から、素数Ｐ＝１１、生成元Ｇ＝２とする、べき乗“ｎ＝Ｐ－１”、つまりｎ＝１０で位相θがπ／１１に戻る。この現象は、上記で合同算術とベルヌーイシフト写像が同期する機構を示したことからも理解できる。
【数21】
【0046】
この位相の周期性から式（１２）と式（１３）のロジスティック写像は、素数Ｐを初期値θ０＝π／Ｐに設定して写像を“Ｐ－１”回行うと必ず“π／Ｐ”に戻ることが判り、生成元Ｇとして“２”の他の、任意の生成元Ｇを与えた場合も、写像を“Ｐ－１”回反復すると、“π／Ｐ”に戻ることが推定される。
【0047】
次に式（１４）の生成元Ｇに任意の正の整数を与えた“Ｘｎ＝ｓｉｎ２Ｇｎθ”と等価になる式（１２）のような変数“Ｘ”を一つだけ使用する一変数多項式を作ることを考える。
例としてＧ＝４を与え、“Ｘｎ＝ｓｉｎ２４ｎθ”と同等となる一変数多項式を求める。ここで“ｎ＝１とした場合、
“Ｘ１＝ｓｉｎ２４θ”となる解Ｘ１を考える。式（５）のロジスティック写像の値域となる区間は［０，１］である。このため“ｓｉｎ２４θ”が“０から１”の間つまり三角関数ｓｉｎの位相４θが“０からπ／２”の間で解Ｘ１が“０”か“１”となる位相θを考えると、
（１） θ＝０π／８のとき ４θ＝０のため、Ｘ１＝ｓｉｎ２４θ＝０
（２） θ＝１π／８のとき ４θ＝４π／８＝π／２のため、Ｘ１＝ｓｉｎ２４θ＝１
（３） θ＝２π／８のとき ４θ＝８π／８＝πのため、Ｘ１＝ｓｉｎ２４θ＝０
（４）θ＝３π／８のとき ４θ＝１２π／８＝３π／２のため、Ｘ１＝ｓｉｎ２４θ＝１
（５）θ＝４π／８のとき ４θ＝１６π／８＝２πのため、Ｘ１＝ｓｉｎ２４θ＝０
になる極大値が２つと極小値が１つある多項式となることが判り、“Ｘｎ＝ｓｉｎ２４ｎθ”と等価な一変数多項式は以下の４次の式（１５）のように構成されることが予想できる。
例としてＧ＝４を与え、“Ｘｎ＝ｓｉｎ２４ｎθ”と同等となる一変数多項式を求める。ここで“ｎ＝１とした場合、
“Ｘ１＝ｓｉｎ２４θ”となる解Ｘ１を考える。式（５）のロジスティック写像の値域となる区間は［０，１］である。このため“ｓｉｎ２４θ”が“０から１”の間つまり三角関数ｓｉｎの位相４θが“０からπ／２”の間で解Ｘ１が“０”か“１”となる位相θを考えると、
（１） θ＝０π／８のとき ４θ＝０のため、Ｘ１＝ｓｉｎ２４θ＝０
（２） θ＝１π／８のとき ４θ＝４π／８＝π／２のため、Ｘ１＝ｓｉｎ２４θ＝１
（３） θ＝２π／８のとき ４θ＝８π／８＝πのため、Ｘ１＝ｓｉｎ２４θ＝０
（４）θ＝３π／８のとき ４θ＝１２π／８＝３π／２のため、Ｘ１＝ｓｉｎ２４θ＝１
（５）θ＝４π／８のとき ４θ＝１６π／８＝２πのため、Ｘ１＝ｓｉｎ２４θ＝０
になる極大値が２つと極小値が１つある多項式となることが判り、“Ｘｎ＝ｓｉｎ２４ｎθ”と等価な一変数多項式は以下の４次の式（１５）のように構成されることが予想できる。
【数22】
【0048】
次に以上の４次の式から係数“ａ，ｂ，ｃ，ｄ，ｅ”を求めることを考える。
上記（１）の情報から“ｘ＝０”のときは“ｆ（０）＝０”となるため、式（１５）の係数ｅは“ｅ＝０”になることが判る。
残りの係数“ａ，ｂ，ｃ，ｄ”は上記“（２）、（３）、（４）、（５）”の情報から４次の次数を持つ次の（１６）に示す連立方程式を立てることで求められる。
上記（１）の情報から“ｘ＝０”のときは“ｆ（０）＝０”となるため、式（１５）の係数ｅは“ｅ＝０”になることが判る。
残りの係数“ａ，ｂ，ｃ，ｄ”は上記“（２）、（３）、（４）、（５）”の情報から４次の次数を持つ次の（１６）に示す連立方程式を立てることで求められる。
【数23】
【0049】
上記式（１６）の連立方程式の項“ｘ０，ｘ１，ｘ２，ｘ３”に対しては各（２）、（３）、（４）、（５）からｓｉｎ２θの値を次のように代入することで、“ａ，ｂ，ｃ，ｄ”からなる連立方程式が４つ得られる。
得られた４つの連立方程式から係数“ａ，ｂ，ｃ，ｄ”を導出する手法を紹介する。
式（１６）は行列を使って表すと次の行列式（１８）になる。
【数24】
得られた４つの連立方程式から係数“ａ，ｂ，ｃ，ｄ”を導出する手法を紹介する。
式（１６）は行列を使って表すと次の行列式（１８）になる。
【数25】
【0050】
ここで式（１８）の“４×４”の変数ｘの行列部分を“Ｘ”、係数（ａ，ｂ，ｃ，ｄ）を“Ａ”、（０，１，０，１）を“Ｅ”とおくと、
となり逆行列Ｘ－１を用意して式（１９）の両辺にかけると、
となり、逆行列Ｘ－１より係数Ａを求めることができる。図１３Ａと図１３Ｂは、「ガウスの消去法」を用いて４次の一変数多項式を求める例を示す図である。行列を用いた連立方程式の解法として「クラメルの公式」や「ＬＵ分解」が知られているが、ここでは図１３Ａと図１３Ｂに示すように、「ガウスの消去法」を用いて４次の一変数多項式を求める。式（１８）の変数“ｘ０，ｘ１，ｘ２，ｘ３”に上記の（数２４）を代入したものが図１３Ａの最初の行列式となる。この４×４の行列式の位置を指定できるよう各行にＣ０～Ｃ３を、各列にＲ０～Ｒ３を振ってある。
【数26】
となり逆行列Ｘ－１を用意して式（１９）の両辺にかけると、
【数27】
となり、逆行列Ｘ－１より係数Ａを求めることができる。図１３Ａと図１３Ｂは、「ガウスの消去法」を用いて４次の一変数多項式を求める例を示す図である。行列を用いた連立方程式の解法として「クラメルの公式」や「ＬＵ分解」が知られているが、ここでは図１３Ａと図１３Ｂに示すように、「ガウスの消去法」を用いて４次の一変数多項式を求める。式（１８）の変数“ｘ０，ｘ１，ｘ２，ｘ３”に上記の（数２４）を代入したものが図１３Ａの最初の行列式となる。この４×４の行列式の位置を指定できるよう各行にＣ０～Ｃ３を、各列にＲ０～Ｒ３を振ってある。
【0051】
ガウスの消去法では「前進消去」と「後退代入」の２つの処理からなり、「（１）前進消去」では図１３Ａの最初の行列に示すようにＣ０Ｒ０～Ｃ３Ｒ３上の左斜めの点線で囲った対角線上を“１”にして、その対角線左下の３角の点線部分で囲われた箇所を“０”に変換する。
計算過程の詳細は図１３Ａに記述されているが、行Ｃ単位に演算を行う。最初はＣ０Ｒ０を１にするため、行Ｃ０全体をＣ０Ｒ０で割り算する処理から開始し、得られた行Ｃ０＝１に対し列Ｒ０の行Ｃ１，Ｃ２，Ｃ３の値を掛け算してそれぞれ得られる行Ｃ０で引き算を行うことで列Ｒ０の行Ｃ１，Ｃ２，Ｃ３の値を０にする。以降は同様に対角線上の値を１にしてゆき、各列Ｒを０にする計算を行うことで、最終的に図１３Ａの式Ａが得られる。
計算過程の詳細は図１３Ａに記述されているが、行Ｃ単位に演算を行う。最初はＣ０Ｒ０を１にするため、行Ｃ０全体をＣ０Ｒ０で割り算する処理から開始し、得られた行Ｃ０＝１に対し列Ｒ０の行Ｃ１，Ｃ２，Ｃ３の値を掛け算してそれぞれ得られる行Ｃ０で引き算を行うことで列Ｒ０の行Ｃ１，Ｃ２，Ｃ３の値を０にする。以降は同様に対角線上の値を１にしてゆき、各列Ｒを０にする計算を行うことで、最終的に図１３Ａの式Ａが得られる。
【0052】
式Ａから図１３Ｂの「（２）後退代入」を実行することで最終的に係数（ａ，ｂ，ｃ，ｄ）の値を導出する。
図１３Ａの演算過程は平方根の記号√（ルート）を使い、見易くするため有理化して√の項を分母から取り除いたものである。このような√や変数ｘなどの記号（Ｓｙｍｂｏｌ）を用いた代数計算が行えるプログラミング言語として、Ｐｙｔｈｏｎの“ＳｙｍＰｙ”というライブラリが知られている。本実施形態は三角関数を使用し平方根を用いるため無理数を扱う演算になる。計算機実装では演算精度保証を考慮する必要があるが、このような根号記号√を用いた演算を行うライブラリを活用することで無限演算精度実装が行えるようになり計算誤差の影響を取り除くことができる。
以上、生成元Ｇ＝４のとき４次の次数を持つ一変数多項式を求める例を示した。
図１３Ａの演算過程は平方根の記号√（ルート）を使い、見易くするため有理化して√の項を分母から取り除いたものである。このような√や変数ｘなどの記号（Ｓｙｍｂｏｌ）を用いた代数計算が行えるプログラミング言語として、Ｐｙｔｈｏｎの“ＳｙｍＰｙ”というライブラリが知られている。本実施形態は三角関数を使用し平方根を用いるため無理数を扱う演算になる。計算機実装では演算精度保証を考慮する必要があるが、このような根号記号√を用いた演算を行うライブラリを活用することで無限演算精度実装が行えるようになり計算誤差の影響を取り除くことができる。
以上、生成元Ｇ＝４のとき４次の次数を持つ一変数多項式を求める例を示した。
【0053】
図１４は、図１３Ａ、図１３Ｂに示したガウスの消去法を用いて、Ｇを２から９まで振って各係数を求めた場合の、“ｓｉｎ２Ｇ２θ”と等価な２次以上の次数を持つ一変数多項式とそのマップ示す。
図１４に示すＧは一変数多項式の次数となっており、各Ｇの関数ｆ（ｘ）として次数Ｇを“ｆＧ（ｘ）”のように上付きにＧとあらわし区別している。多項式の係数を求めるとき式（１８）はＧ＝４であったことから行と列の成分数はＧ×Ｇになる。行列式（１８）の右の解は図１４のマップから横軸方向が“ｘ＝ｓｉｎ２Ｇ２θ”とした場合、ｓｉｎ２Ｇ２θの区間は［０，１］になるためこの区間内において解ｆＧ（ｘ）が０か１を採る“ｘ＝ｓｉｎ２Ｇ２θ”を考えると図１４の４次の多項式を求めた例で示したように
の位相θが０からπ／２の間（三角関数sinは０から１の間）を取るとき、必ず解“ｆＧ（ｘ）”が０か１になる個数は“Ｇ＋１”個となることが推定できる。
図１４に示すＧは一変数多項式の次数となっており、各Ｇの関数ｆ（ｘ）として次数Ｇを“ｆＧ（ｘ）”のように上付きにＧとあらわし区別している。多項式の係数を求めるとき式（１８）はＧ＝４であったことから行と列の成分数はＧ×Ｇになる。行列式（１８）の右の解は図１４のマップから横軸方向が“ｘ＝ｓｉｎ２Ｇ２θ”とした場合、ｓｉｎ２Ｇ２θの区間は［０，１］になるためこの区間内において解ｆＧ（ｘ）が０か１を採る“ｘ＝ｓｉｎ２Ｇ２θ”を考えると図１４の４次の多項式を求めた例で示したように
【数28】
【0054】
ここで、式（２０）において、“ｎ＝０”のときは解“ｆ（ｘ）＝ｆ（０）＝０”となるため、式（１５）で“ｅ＝０”になることを示したように、“ｘ”が０次の項（定数項）は必ず“０”となるため、式（２０）の“ｋ＝０”の場合を除いて、
となり、行列式（１８）の右の解は行Ｇ個とすることができる。
例えばＧ＝５の場合は式（１７）を参考にして“ｘ”は、
の５つを割り当てて５×５の行列を構成し、図１３Ａ、図１３Ｂのようにガウスの消去法で各項の係数を求め、図１４の“ｆ５（ｘ）”となる５次の多項式を得ることができる。
【数29】
例えばＧ＝５の場合は式（１７）を参考にして“ｘ”は、
【数30】
の５つを割り当てて５×５の行列を構成し、図１３Ａ、図１３Ｂのようにガウスの消去法で各項の係数を求め、図１４の“ｆ５（ｘ）”となる５次の多項式を得ることができる。
【0055】
また、ガウスの消去法を使わなくとも関数を合成することで各Ｇの一変数多項式を作ることもできる。
例えば図１４のＧ＝４の“ｆ４（ｘ）”を作成する場合はＧ＝２のときのｆ２（ｘ）をｆ２（ｘ）に代入して“ｆ４（ｘ）＝ｆ２（ｆ２（ｘ））”を得る。図１４の例ではＧ＝２のとき
のため“ｘ”へ“ｆ２（ｘ）”を代入すると、
から図１４のＧ＝４の場合の式が得られる。
例えば図１４のＧ＝４の“ｆ４（ｘ）”を作成する場合はＧ＝２のときのｆ２（ｘ）をｆ２（ｘ）に代入して“ｆ４（ｘ）＝ｆ２（ｆ２（ｘ））”を得る。図１４の例ではＧ＝２のとき
【数31】
【数32】
から図１４のＧ＝４の場合の式が得られる。
【0056】
他の例として、次数Ｇが３と４からなる合成関数を作る場合は１２＝３×４のため、１２の次数を持つ一変数多項式を作ることができる。ｓｉｎ２Ｇｎθと等価な、次数ｌと次数ｍから次数Ｇ＝ｌ×ｍを持つ合成写像を作成するとき、次の式（２２）の関係が成り立つ。
ただし次数Ｇが“２，３，５，７，１１，１３、…”となる素因数分解ができない素数の場合は、式（２２）のように関数を合成して作ることができないため、図１３のようにガウスの消去法を利用して多項式を求める。
なお、合成関数の生成はインタプリタ型言語Ｐｙｔｈｏｎの代数計算ライブラリ“ＳｙｍＰｙ”を利用し代数方程式を作ることができる。
【数33】
なお、合成関数の生成はインタプリタ型言語Ｐｙｔｈｏｎの代数計算ライブラリ“ＳｙｍＰｙ”を利用し代数方程式を作ることができる。
【0057】
次に、図１４に示した一変数多項式を用いて鍵共有を行う実施形態を説明する。図１５は、鍵共有の計算方法のフローチャートである。図１６は、図１５に示したフローチャートを実行して具体的な数値の動きを示した図である。
図１５と図１６では、暗号側共通鍵生成部１０２が行う処理と復号側共通鍵生成部２０２が行う処理に分かれている。復号側共通鍵生成部２０２では交換する情報を生成して暗号側共通鍵生成部１０２は復号側共通鍵生成部２０２へ送信し、復号側共通鍵生成部２０２は暗号側共通鍵生成部１０２へ送信する。受信処理では、お互い相手が送信した情報を受信してその情報を設定して写像を行い共有する秘密情報を得る。
図１５と図１６では、暗号側共通鍵生成部１０２が行う処理と復号側共通鍵生成部２０２が行う処理に分かれている。復号側共通鍵生成部２０２では交換する情報を生成して暗号側共通鍵生成部１０２は復号側共通鍵生成部２０２へ送信し、復号側共通鍵生成部２０２は暗号側共通鍵生成部１０２へ送信する。受信処理では、お互い相手が送信した情報を受信してその情報を設定して写像を行い共有する秘密情報を得る。
【0058】
図１５のフローチャートについて図１６の具体的な数値を参照して説明する。図１６では表計算ソフトのエクセル（登録商標）を使用し計算を行うことが可能である。
暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は、事前に素数Ｐ＝１９、生成元Ｇ＝２をお互いに合意する（Ｓ３０Ａ、Ｓ３０Ｂ）。この素数Ｐ＝１９と、生成元Ｇ＝２は、通知情報であり、暗号側共通鍵生成部１０２から復号側共通鍵生成部２０２へ送って、双方が保持することができる。暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａが生成され（Ｓ３１Ａ）、復号側共通鍵生成部２０２のみが知る秘密情報Ｓｂが生成される（Ｓ３１Ｂ）。生成元Ｇから多項式を生成する（Ｓ３２Ａ、Ｓ３２Ｂ）。Ｇ＝２の場合、多項式は以下のロジスティック写像の多項式である。暗号側共通鍵生成部１０２では、秘密情報である数Ｓａを反復回数ｒに設定し、“ｓｉｎ２（π／Ｐ）”を初期値“ｘ０”に設定する（Ｓ３３Ａ）。復号側共通鍵生成部２０２では、秘密情報Ｓｂを反復回数ｒに設定し、“ｓｉｎ２（π／Ｐ）”を初期値“ｘ０”に設定する（Ｓ３３Ｂ）。
従来のＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有を行った計算例が図１６における表の列“ＤＨ”になり、列“ｉ”の０以降から列“ｉ”の値を参照して法をとる“２ｉ ｍｏｄ １９”の演算を行うため、セルに数式“＝ＭＯＤ（ＰＯＷＥＲ（２，ｉ），１９）”を代入して計算した結果となる。
暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は、事前に素数Ｐ＝１９、生成元Ｇ＝２をお互いに合意する（Ｓ３０Ａ、Ｓ３０Ｂ）。この素数Ｐ＝１９と、生成元Ｇ＝２は、通知情報であり、暗号側共通鍵生成部１０２から復号側共通鍵生成部２０２へ送って、双方が保持することができる。暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａが生成され（Ｓ３１Ａ）、復号側共通鍵生成部２０２のみが知る秘密情報Ｓｂが生成される（Ｓ３１Ｂ）。生成元Ｇから多項式を生成する（Ｓ３２Ａ、Ｓ３２Ｂ）。Ｇ＝２の場合、多項式は以下のロジスティック写像の多項式である。暗号側共通鍵生成部１０２では、秘密情報である数Ｓａを反復回数ｒに設定し、“ｓｉｎ２（π／Ｐ）”を初期値“ｘ０”に設定する（Ｓ３３Ａ）。復号側共通鍵生成部２０２では、秘密情報Ｓｂを反復回数ｒに設定し、“ｓｉｎ２（π／Ｐ）”を初期値“ｘ０”に設定する（Ｓ３３Ｂ）。
従来のＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有を行った計算例が図１６における表の列“ＤＨ”になり、列“ｉ”の０以降から列“ｉ”の値を参照して法をとる“２ｉ ｍｏｄ １９”の演算を行うため、セルに数式“＝ＭＯＤ（ＰＯＷＥＲ（２，ｉ），１９）”を代入して計算した結果となる。
【0059】
表の列“Ｘｉ”は、図１４のＧ＝２に該当する式（１２）のロジスティック写像の多項式
に初期値“ｘ０＝ｓｉｎ２（π／１９）”を浮動点小数で与え写像の反復毎の計算結果となる。
送信前の処理では暗号側共通鍵生成部１０２は、暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａとして設定した反復回数７回、復号側共通鍵生成部２０２は、復号側共通鍵生成部２０２のみが知る秘密情報Ｓｂとして設定した反復回数４回を設定し、写像の反復をそれぞれ行っている（Ｓ３４Ａ、Ｓ３４Ｂ）。
列“ｉ”が“０”のときに“Ｘ０＝ｓｉｎ２（π／１９）”の初期値を与える計算を行い列“Ｘｉ”セルに数式“＝ＳＩＮ（ＰＩ（）／１９）＊ＳＩＮ（ＰＩ（）／１９）”を代入し、列“ｉ”が１以降のとき列“Ｘｉ”セルに一つ上のセルの数値を参照するようにして数式“＝４＊Ｘｉ－１＊（１－Ｘｉ－１）”を代入し、“Ｘｉ－１”を参照して計算を行っている。これらの計算結果“Ｘｉ”は、小数点以下９まで表示させており結果として暗号側共通鍵生成部１０２は“０．５４１２８９６７３”、復号側共通鍵生成部２０２は“０．２２６５２５９２１”を計算結果として得ておりこれを相手に送信する（Ｓ３４Ａ、Ｓ３４Ｂ）。
列“ＡｒｃＳＩＮ”は列“Ｘｉ”の数値を参照して、“ｓｉｎ２Ｇ（π／１９）”となるＧの値を次の式（２３）の逆三角関数ａｒｃｓｉｎ（ｓｉｎ－１とも表記）を用いて計算した結果となる。
【数34】
送信前の処理では暗号側共通鍵生成部１０２は、暗号側共通鍵生成部１０２のみが知る秘密情報である数Ｓａとして設定した反復回数７回、復号側共通鍵生成部２０２は、復号側共通鍵生成部２０２のみが知る秘密情報Ｓｂとして設定した反復回数４回を設定し、写像の反復をそれぞれ行っている（Ｓ３４Ａ、Ｓ３４Ｂ）。
列“ｉ”が“０”のときに“Ｘ０＝ｓｉｎ２（π／１９）”の初期値を与える計算を行い列“Ｘｉ”セルに数式“＝ＳＩＮ（ＰＩ（）／１９）＊ＳＩＮ（ＰＩ（）／１９）”を代入し、列“ｉ”が１以降のとき列“Ｘｉ”セルに一つ上のセルの数値を参照するようにして数式“＝４＊Ｘｉ－１＊（１－Ｘｉ－１）”を代入し、“Ｘｉ－１”を参照して計算を行っている。これらの計算結果“Ｘｉ”は、小数点以下９まで表示させており結果として暗号側共通鍵生成部１０２は“０．５４１２８９６７３”、復号側共通鍵生成部２０２は“０．２２６５２５９２１”を計算結果として得ておりこれを相手に送信する（Ｓ３４Ａ、Ｓ３４Ｂ）。
列“ＡｒｃＳＩＮ”は列“Ｘｉ”の数値を参照して、“ｓｉｎ２Ｇ（π／１９）”となるＧの値を次の式（２３）の逆三角関数ａｒｃｓｉｎ（ｓｉｎ－１とも表記）を用いて計算した結果となる。
【数35】
【0060】
列“ＡｒｃＳＩＮ”のセルに数式“＝１９＊ＡＳＩＮ（ＳＱＲＴ（Ｘｉ））／ＰＩ（）”を代入し、“Ｘｉ”を参照してＧを求めている。
Ｇについて列“ＤＨ”（Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有）と比較して説明する。
位相の初期値を“π／１９”とし、次の式（２４）の“ｎ”を０，１，２，３，…と振った値と、多項式で行った“Ｘｉ”の結果は上記の説明からも区間［０，１］で同じ値をとる。
Ｇについて列“ＤＨ”（Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有）と比較して説明する。
位相の初期値を“π／１９”とし、次の式（２４）の“ｎ”を０，１，２，３，…と振った値と、多項式で行った“Ｘｉ”の結果は上記の説明からも区間［０，１］で同じ値をとる。
【数36】
【0061】
図１７は、式（２４）において“Ｐ＝１９”とし、“ｎ＝７”まで計算した“Ｘｉ”の値を示す図である。この図１７における位相の分子の値と、図１６の暗号側共通鍵生成部１０２の送信処理の列“ＤＨ”の値は同じに数値になっている。また式（２４）で行った計算結果と図１６の列“Ｘｉ”の多項式で写像の反復を行う計算結果が等しいことを確認できる。図１６の列“Ｘｉ”の結果は多項式で演算を行っているが、これと解が同等な式（２４）は位相の上では、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有の合同算術（またはベルヌーイシフト写像）の演算と等価性を持っている。
【0062】
ところで、図１６の列“ＡｒｃＳＩＮ”の数Ｇと列“ＤＨ”の数を見比べると、列“ＡｒｃＳＩＮ”は９以下の数値からなっており、“ｉ＝４”のとき列“ＤＨ”は１６であるが、列“ＡｒｃＳＩＮ”では３になっている。
これについて三角関数ｓｉｎは補角により
ｓｉｎ（１６π／１９）＝ｓｉｎ（π－１６π／１９）＝ｓｉｎ（３π／１９）
となり、位相が“π／２”以上の場合は同じ値を取るためである。
このため、合同算術では式（１４）のフェルマーの小定理により周期は“Ｐ－１”となるが、多項式を用いたとき写像が元に戻る周期は“（Ｐ－１）／２”になることが判り、“Ｐ＝１９”のため、周期９になる。
これについて三角関数ｓｉｎは補角により
ｓｉｎ（１６π／１９）＝ｓｉｎ（π－１６π／１９）＝ｓｉｎ（３π／１９）
となり、位相が“π／２”以上の場合は同じ値を取るためである。
このため、合同算術では式（１４）のフェルマーの小定理により周期は“Ｐ－１”となるが、多項式を用いたとき写像が元に戻る周期は“（Ｐ－１）／２”になることが判り、“Ｐ＝１９”のため、周期９になる。
【0063】
多項式による鍵共有のＧは、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有の法となる素数Ｐに対し“（Ｐ－１）／２”以下の値をとる。このため本実施形態では、使用するＧは２～９の間であるため図１４ではＧ＝２～９を示している。
また、列“ＡｒｃＳＩＮ”をみると“（Ｐ－１）／２”より大きい１０以上の値は列“ＤＨ”の値に対し“１９－Ｇ”の関係が成り立っている。
また、列“ＡｒｃＳＩＮ”をみると“（Ｐ－１）／２”より大きい１０以上の値は列“ＤＨ”の値に対し“１９－Ｇ”の関係が成り立っている。
【0064】
以上、図１６の送信処理では、列“ＤＨ”（Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有）は計算結果として暗号側共通鍵生成部１０２は“１４”を、復号側共通鍵生成部２０２は“１６”を相手に送信する。本実施形態の多項式による鍵共有では列“Ｘｉ”（多項式）の計算結果として暗号側共通鍵生成部１０２は“０．５４１２８９６７３”を、復号側共通鍵生成部２０２は“０．２２６５２５９２１”を相手に送信する（Ｓ３４Ａ、Ｓ３４Ｂ）。
【0065】
次に、図１５のフローチャートを踏まえ、図１６の受信処理について説明する。
列“ＤＨ”はＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有の計算になり、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は受信した値を生成元Ｇとして素数Ｐと自身の秘密情報を設定して、合同算術の演算を実行する。図１６の例では暗号側共通鍵生成部１０２は受信した値からＧ＝１４を、復号側共通鍵生成部２０２は受信した値からＧ＝１６を設定し各々が秘密情報とした設定した値として暗号側共通鍵生成部１０２は７を、復号側共通鍵生成部２０２は４をべき乗数“ｉ”に設定し、列“ｉ”の０以降から列“ｉ”の値を参照して“２ｉ ｍｏｄ １９”を行い、セルに数式“＝ＭＯＤ（ＰＯＷＥＲ（２，ｉ），１９）”を代入して計算し、最終的に共有する秘密情報“１７”を得ている。
本実施形態による一変数多項式の一次元写像による鍵共有は、列“Ｘｉ”になり暗号側共通鍵生成部１０２の処理では復号側共通鍵生成部２０２から“０．２２６５２５９２１”を受信し（Ｓ３５Ａ）、受信した“０．２２６５２５９２１”より、式（２３）により生成元にあたるＧ＝３を算出する（Ｓ３６Ａ）。
列“ＤＨ”はＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有の計算になり、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２は受信した値を生成元Ｇとして素数Ｐと自身の秘密情報を設定して、合同算術の演算を実行する。図１６の例では暗号側共通鍵生成部１０２は受信した値からＧ＝１４を、復号側共通鍵生成部２０２は受信した値からＧ＝１６を設定し各々が秘密情報とした設定した値として暗号側共通鍵生成部１０２は７を、復号側共通鍵生成部２０２は４をべき乗数“ｉ”に設定し、列“ｉ”の０以降から列“ｉ”の値を参照して“２ｉ ｍｏｄ １９”を行い、セルに数式“＝ＭＯＤ（ＰＯＷＥＲ（２，ｉ），１９）”を代入して計算し、最終的に共有する秘密情報“１７”を得ている。
本実施形態による一変数多項式の一次元写像による鍵共有は、列“Ｘｉ”になり暗号側共通鍵生成部１０２の処理では復号側共通鍵生成部２０２から“０．２２６５２５９２１”を受信し（Ｓ３５Ａ）、受信した“０．２２６５２５９２１”より、式（２３）により生成元にあたるＧ＝３を算出する（Ｓ３６Ａ）。
【0066】
次に、図１４で示すＧ＝３の多項式を生成して（Ｓ３７Ａ）、列“ｉ”が０のときに“Ｘ０＝ｓｉｎ２（π／１９）”の初期値を与える計算を行うため、列“Ｘｉ”セルに数式“＝ＳＩＮ（ＰＩ（）／１９）＊ＳＩＮ（ＰＩ（）／１９）”を代入し、列“ｉ”が１以降は列“Ｘｉ”セルに一つ上のセルの数値を参照するようにＧ＝３の多項式の因数分解を行った数式“＝Ｘｉ－１＊（４＊Ｘｉ－１－３）＊（４＊Ｘｉ－１－３）”を代入し、“Ｘｉ－１”を参照して計算を行っている（Ｓ３８Ａ、Ｓ３９Ａ）。
同様に、復号側共通鍵生成部２０２の処理では、暗号側共通鍵生成部１０２から“０．５４１２８９６７３”を受信し（Ｓ３５Ｂ）、受信した“０．５４１２８９６７３”より式（２３）により生成元にあたるＧ＝５を算出する（Ｓ３６Ｂ）。
次に、図１４で示すＧ＝５の多項式を生成して（Ｓ３７Ｂ）、列“ｉ”が０のときに“Ｘ０＝ｓｉｎ２（π／１９）”の初期値を与える計算を行うため“Ｘｉ”セルに数式“＝ＳＩＮ（ＰＩ（）／１９）＊ＳＩＮ（ＰＩ（）／１９）”を代入し列“ｉ”が１以降は列“Ｘｉ”セルに一つ上のセルの数値を参照するようにＧ＝５の多項式の因数分解を行った数式“＝Ｘｉ－１＊（１６＊Ｘｉ－１＊Ｘｉ－１－２０＊Ｘｉ－１＋５）＊（１６＊Ｘｉ－１＊Ｘｉ－１－２０＊Ｘｉ－１＋５）”を代入し“Ｘｉ－１”を参照して計算を行っている（Ｓ３８Ｂ、Ｓ３９Ｂ）。
同様に、復号側共通鍵生成部２０２の処理では、暗号側共通鍵生成部１０２から“０．５４１２８９６７３”を受信し（Ｓ３５Ｂ）、受信した“０．５４１２８９６７３”より式（２３）により生成元にあたるＧ＝５を算出する（Ｓ３６Ｂ）。
次に、図１４で示すＧ＝５の多項式を生成して（Ｓ３７Ｂ）、列“ｉ”が０のときに“Ｘ０＝ｓｉｎ２（π／１９）”の初期値を与える計算を行うため“Ｘｉ”セルに数式“＝ＳＩＮ（ＰＩ（）／１９）＊ＳＩＮ（ＰＩ（）／１９）”を代入し列“ｉ”が１以降は列“Ｘｉ”セルに一つ上のセルの数値を参照するようにＧ＝５の多項式の因数分解を行った数式“＝Ｘｉ－１＊（１６＊Ｘｉ－１＊Ｘｉ－１－２０＊Ｘｉ－１＋５）＊（１６＊Ｘｉ－１＊Ｘｉ－１－２０＊Ｘｉ－１＋５）”を代入し“Ｘｉ－１”を参照して計算を行っている（Ｓ３８Ｂ、Ｓ３９Ｂ）。
【0067】
その結果、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２の演算結果は“０．１０５４２９７４５”と同じ値となり、共有する秘密情報として用いることができる。
また、図１５の受信側のｉ＝１における“列Ｘｉ”の値は受信した値となっていることに着目すると、計算精度を考慮した上で受信した値をそのまま初期値Ｘ０として設定し、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２が自身で設定した秘密情報からマイナス１減算した反復回数（暗号側共通鍵生成部１０２は６、復号側共通鍵生成部２０２は３）を設定して写像の反復を行うことで共有する秘密情報を生成する方法が考えられる。
以上、一変数多項式の一次元写像を用いた鍵共有方法の実施形態を示した。
また、図１５の受信側のｉ＝１における“列Ｘｉ”の値は受信した値となっていることに着目すると、計算精度を考慮した上で受信した値をそのまま初期値Ｘ０として設定し、暗号側共通鍵生成部１０２と復号側共通鍵生成部２０２が自身で設定した秘密情報からマイナス１減算した反復回数（暗号側共通鍵生成部１０２は６、復号側共通鍵生成部２０２は３）を設定して写像の反復を行うことで共有する秘密情報を生成する方法が考えられる。
以上、一変数多項式の一次元写像を用いた鍵共有方法の実施形態を示した。
【0068】
図８（ａ）のベルヌーイシフト写像のプログラムでは、境界となる値を予めメモリに格納しておきＩＦ分岐を使用して該当区間を検索する処理があり、生成元Ｇが大きいほどメモリ空間が多く必要となり検索処理のコストが大きくなるが、本実施形態により境界値をメモリへ格納して境界値を検索する処理が不要となり、多項式にしたことで数の分割処理を行わずに切れ目なく演算が行えるようになる。
演算コスト面で次のホーナー法を利用してべき乗の演算を行わないようにする手法がある。ホーナー法は最も少ない加算と乗算の演算回数でｎ次の多項式の演算を行う手法で、例えば図１４のＧ＝４の式の場合では、
とすることで、べき乗の項をなくすことができる。
また、インタプリタ型言語Ｐｙｔｈｏｎの代数計算ライブラリ“ＳｙｍＰｙ”で提供される関数“ｆａｃｔｏｒ”を用い、多項式を因数分解して計算式とすることでも演算コストの削減が期待できる。
演算コスト面で次のホーナー法を利用してべき乗の演算を行わないようにする手法がある。ホーナー法は最も少ない加算と乗算の演算回数でｎ次の多項式の演算を行う手法で、例えば図１４のＧ＝４の式の場合では、
【数37】
また、インタプリタ型言語Ｐｙｔｈｏｎの代数計算ライブラリ“ＳｙｍＰｙ”で提供される関数“ｆａｃｔｏｒ”を用い、多項式を因数分解して計算式とすることでも演算コストの削減が期待できる。
【0069】
安全性の観点から、通信する度に違う暗号文を生成したい場合、お互い共有する秘密情報を元に乱数と合成して一時鍵を生成して通信の度に使い捨ての鍵を生成し暗号化を行うシーンがある。この使い捨ての鍵を、以降はセッション鍵ＳＫと呼ぶことにする。この場合、秘密情報に乱数を足し算するだけなど実装の仕方によりセッション鍵ＳＫの強度が弱くなる懸念がある。例えば、セッション鍵ＳＫを使った暗号アルゴリズムがセッション鍵ＳＫと平文との排他的論理和をとる以下の式を採用する場合を仮定する。
上記式である場合、平文と暗号文のペアを入手し、鍵を推定する既知平文攻撃では平文と暗号文の排他的論理和である以下の式によりセッション鍵ＳＫが判り、第三者に既知となる乱数を引き算すれば元となる秘密情報がすぐに判ってしまう。
【数38】
【数39】
【0070】
そこで、第２の実施形態では、更にセッション鍵生成部を備える。図１８は、第２の実施形態のブロックである。暗号生成装置１００Ａには暗号側セッション鍵生成部１０３が備えられ、復号装置２００Ａには復号側セッション鍵生成部２０３が備えられている。暗号側セッション鍵生成部１０３は上記暗号側共通鍵生成部１０２により生成された共通鍵に基づき上記一次元写像の演算を行ってセッション鍵ＳＫを生成する。復号側セッション鍵生成部２０３は、上記復号側共通鍵生成部２０２により生成された共通鍵に基づき上記一次元写像の演算を行ってセッション鍵ＳＫを生成する。この図の暗号生成部１０１は、上記共通鍵と上記セッション鍵ＳＫとを用いて暗号文を生成し、復号部２０１は、前記共通鍵と前記セッション鍵ＳＫとを用いた復号により平文を生成する。暗号生成装置１００Ａには、乱数生成部１０４が備えられている。
【0071】
本実施形態では、一次元写像にて写像の反復回数を秘密鍵として割り当てることで離散対数問題に基づく安全性を確保してセッション鍵ＳＫの生成を行う。図１８Ａは、本実施形態のセッション鍵生成を示すフローチャートである。
図１８Ａに示すように、共通鍵ＣＫを入手し（Ｓ４１Ａ、Ｓ４１Ｂ）暗号生成装置１００Ａの乱数生成部１０４が乱数ＲＮＤを生成し復号装置２００Ａに送信する（Ｓ４２Ａ、Ｓ４２Ｂ）。この乱数ＲＮＤは一次元写像の初期値Ｘ０に設定する。
予め暗号生成装置１００Ａと復号装置２００Ａが共有している秘密情報として共通鍵ＣＫ（Ｃｏｍｍｏｎ Ｋｅｙ）と乱数ＲＮＤを合成して傾き係数Ｇと演算精度の素数Ｐを決定し、共通鍵ＣＫを写像の反復回数に設定する（Ｓ４５Ａ、Ｓ４５Ｂ）。
図１８Ａに示すように、傾き係数Ｇは乱数ＲＮＤを共通鍵ＣＫで割った余りを採用する（余りが“０”か“１”になるときは、最小値のＧは２以上になるように足し算するなど傾き係数Ｇは０か１をとらないようにする）（Ｓ４３Ａ、Ｓ４３Ｂ）。
素数Ｐは乱数ＲＮＤと共通鍵ＣＫを掛け算して求めた値以下の一番近い素数を採用する（Ｓ４４Ａ、Ｓ４４Ｂ）。
これらを式（１１）で示される図８（ａ）の処理Ａの一次元写像の各パラメータに設定し、写像の反復を共通鍵ＣＫ回行い、値ＸＣＫを得る（Ｓ４６Ａ、Ｓ４６Ｂ）。得られた値ＸＣＫから所定の鍵長Ｍで割った余りを求めてセッション鍵ＳＫを得る（Ｓ４７Ａ、Ｓ４７Ｂ）。
図１８Ａに示すように、共通鍵ＣＫを入手し（Ｓ４１Ａ、Ｓ４１Ｂ）暗号生成装置１００Ａの乱数生成部１０４が乱数ＲＮＤを生成し復号装置２００Ａに送信する（Ｓ４２Ａ、Ｓ４２Ｂ）。この乱数ＲＮＤは一次元写像の初期値Ｘ０に設定する。
予め暗号生成装置１００Ａと復号装置２００Ａが共有している秘密情報として共通鍵ＣＫ（Ｃｏｍｍｏｎ Ｋｅｙ）と乱数ＲＮＤを合成して傾き係数Ｇと演算精度の素数Ｐを決定し、共通鍵ＣＫを写像の反復回数に設定する（Ｓ４５Ａ、Ｓ４５Ｂ）。
図１８Ａに示すように、傾き係数Ｇは乱数ＲＮＤを共通鍵ＣＫで割った余りを採用する（余りが“０”か“１”になるときは、最小値のＧは２以上になるように足し算するなど傾き係数Ｇは０か１をとらないようにする）（Ｓ４３Ａ、Ｓ４３Ｂ）。
素数Ｐは乱数ＲＮＤと共通鍵ＣＫを掛け算して求めた値以下の一番近い素数を採用する（Ｓ４４Ａ、Ｓ４４Ｂ）。
これらを式（１１）で示される図８（ａ）の処理Ａの一次元写像の各パラメータに設定し、写像の反復を共通鍵ＣＫ回行い、値ＸＣＫを得る（Ｓ４６Ａ、Ｓ４６Ｂ）。得られた値ＸＣＫから所定の鍵長Ｍで割った余りを求めてセッション鍵ＳＫを得る（Ｓ４７Ａ、Ｓ４７Ｂ）。
【0072】
図１８Ａのフローチャートを実行した具体的な数値を図１９に示す。暗号生成装置１００Ａと復号装置２００Ａは、図１０で得られた数３６を共有する共通鍵ＣＫとして設定する。暗号生成装置１００Ａの乱数生成部１０４は乱数として数１４１を生成し暗号生成装置１００Ａと復号装置２００Ａに送信する。
以降、暗号生成装置１００Ａと復号装置２００Ａは式（１１）の傾き係数Ｇと演算精度の素数Ｐ、セッション鍵ＳＫ生成を同じ演算を行って決定する。
傾き係数Ｇは、乱数１４１を共通鍵３６で割った余り２１を設定し、初期値Ｘ０は、乱数１４１を設定する。
演算精度の素数Ｐは、乱数１４１と共通鍵３６を掛け算した結果８４６０以下の一番近い素数８４４７を採用する。
以上求めた数値を式（１１）の処理Ａに設定して、写像の反復を秘密情報の回数分行って値を出し、数３０６２が得られる。本実施形態では、プロトコルとして鍵長が８ビットとして、８ビットの最大２５６で数３０６２を割った余りを求めることでセッション鍵ＳＫ（Session Key）として数“２４６”を得る。
なお、この例では式（１１）のベルヌーイシフト写像を用いたが、ロジスティック写像等、図１４に示すような一方向性をもつ他の一次元写像も利用できることが考えられる。
以降、暗号生成装置１００Ａと復号装置２００Ａは式（１１）の傾き係数Ｇと演算精度の素数Ｐ、セッション鍵ＳＫ生成を同じ演算を行って決定する。
傾き係数Ｇは、乱数１４１を共通鍵３６で割った余り２１を設定し、初期値Ｘ０は、乱数１４１を設定する。
演算精度の素数Ｐは、乱数１４１と共通鍵３６を掛け算した結果８４６０以下の一番近い素数８４４７を採用する。
以上求めた数値を式（１１）の処理Ａに設定して、写像の反復を秘密情報の回数分行って値を出し、数３０６２が得られる。本実施形態では、プロトコルとして鍵長が８ビットとして、８ビットの最大２５６で数３０６２を割った余りを求めることでセッション鍵ＳＫ（Session Key）として数“２４６”を得る。
なお、この例では式（１１）のベルヌーイシフト写像を用いたが、ロジスティック写像等、図１４に示すような一方向性をもつ他の一次元写像も利用できることが考えられる。
【0073】
以上においては、暗号に使用する共通鍵（セッション鍵を含む）の生成方法を示した。例えば、一次元写像の反復回数を秘密情報とすることで離散対数問題を安全性根拠とする共通鍵暗号方法が考えられる。
図２０は、図１８に示した暗号生成部１０１と復号部２０１が、共通鍵ＣＫとセッション鍵ＳＫを使用して共通鍵暗号によるシステムを実現する場合の動作を示すフローチャートである。
暗号生成部１０１が平文を暗号化して復号部２０１に送信するものとする。暗号生成部１０１と復号部２０１は同じセッション鍵ＳＫ（Session Key）と共通鍵ＣＫ(Common Key)をあらかじめ共有している。それらを用いて式（１１）のパラメータの傾き係数Ｇと演算精度の素数Ｐ、写像の反復回数ｒを決定する。
図２０は、図１８に示した暗号生成部１０１と復号部２０１が、共通鍵ＣＫとセッション鍵ＳＫを使用して共通鍵暗号によるシステムを実現する場合の動作を示すフローチャートである。
暗号生成部１０１が平文を暗号化して復号部２０１に送信するものとする。暗号生成部１０１と復号部２０１は同じセッション鍵ＳＫ（Session Key）と共通鍵ＣＫ(Common Key)をあらかじめ共有している。それらを用いて式（１１）のパラメータの傾き係数Ｇと演算精度の素数Ｐ、写像の反復回数ｒを決定する。
【0074】
写像の反復回数ｒはセッション鍵ＳＫを設定し（Ｓ５１Ａ、Ｓ５１Ｂ）、傾き係数Ｇはセッション鍵ＳＫを共通鍵ＣＫで割り算した余りを設定する。余りが０か１になるときは、最小値のＧは２以上になるように足し算するなど傾き係数Ｇは、０か１を採らないようにする。演算精度となる素数Ｐは、セッション鍵ＳＫと共通鍵ＣＫ掛け算して求めた値以下の一番近い素数を採用する（Ｓ５２Ａ、Ｓ５２Ｂ）。
以上のパラメータを式（１１）に設定し、平文は初期値Ｘ０として設定し写像の反復をＳＫ回した結果“ＸＳＫ”を、暗号生成部１０１は暗号文として復号部２０１へ送信する（Ｓ５３Ａ～Ｓ５５Ａ）。
以上のパラメータを式（１１）に設定し、平文は初期値Ｘ０として設定し写像の反復をＳＫ回した結果“ＸＳＫ”を、暗号生成部１０１は暗号文として復号部２０１へ送信する（Ｓ５３Ａ～Ｓ５５Ａ）。
【0075】
次に、復号部２０１は受信した暗号文を復号する。式（１４）のフェルマーの小定理を使うため、復号の原理について説明する。Ｐを素数とし、ＧをＰの倍数でない整数（ＧとＰは互いに素［最大公約数が１］、つまりＰが素数であればよい）とするときに、合同算術では次のフェルマーの小定理
が成り立ち、“Ｇ”を“Ｐ－１”乗して、”Ｐ”で割り算した余りは“１”になる。
上記で説明したように合同算術の余りと整数演算化したベルヌーイシフト写像の式（１１）は同じ値を取得することができる。つまり、演算精度をＰとする式（１１）のベルヌーイシフト写像の反復を“Ｐ－１”回行うことで、Ｘｉ値が元に戻る周期を持っていることが判る。この機構から暗号生成部１０１は既にＳＫ回の写像の反復を行っているため、復号部２０１は受信した暗号文を初期値Ｘ０に設定して残り回数の“Ｐ－１－ＳＫ”回の写像の反復を行うことで復号部２０１は暗号文を平文に戻す復号が行える（Ｓ５３Ｂ～Ｓ５５Ｂ）。
この暗号方法では秘密情報を写像の反復回数とするだけでなく、傾き係数Ｇと演算精度Ｐも秘密情報から生成するため第三者にとって追跡の手掛かりが小さくなるため安全性を高める効果を得ることができる。
【数40】
上記で説明したように合同算術の余りと整数演算化したベルヌーイシフト写像の式（１１）は同じ値を取得することができる。つまり、演算精度をＰとする式（１１）のベルヌーイシフト写像の反復を“Ｐ－１”回行うことで、Ｘｉ値が元に戻る周期を持っていることが判る。この機構から暗号生成部１０１は既にＳＫ回の写像の反復を行っているため、復号部２０１は受信した暗号文を初期値Ｘ０に設定して残り回数の“Ｐ－１－ＳＫ”回の写像の反復を行うことで復号部２０１は暗号文を平文に戻す復号が行える（Ｓ５３Ｂ～Ｓ５５Ｂ）。
この暗号方法では秘密情報を写像の反復回数とするだけでなく、傾き係数Ｇと演算精度Ｐも秘密情報から生成するため第三者にとって追跡の手掛かりが小さくなるため安全性を高める効果を得ることができる。
【0076】
図２１は、図２０のフローチャートにて暗号化と復号に具体的な数値を入れた処理例を示す図である。暗号化対象とする平文は例として文字“ｗｏｒｄ”の４文字とする。アスキーコード８ビットでは、１０進数とカッコ内を１６進数で表すと各文字は「ｗ＝１１９（７７ｈ），ｏ＝１１１（６ｆｈ），ｒ＝１１４（７２ｈ），ｄ＝１００（６４ｈ）」となる。
暗号化は８ビットずつのブロック単位で行い、一文字ずつ暗号化を行う。
以下、図２１のフローチャートに沿って動作説明を行う。暗号生成装置１００Ａと復号装置２００Ａは、図１０で生成した共通鍵ＣＫ＝３６、図１９で生成したセッション鍵ＳＫ＝２４６を共有しており（Ｂ１１）、これらを用いて以降において傾き係数Ｇと素数Ｐを求める。
傾き係数Ｇはセッション鍵ＳＫ＝２４６を共通鍵ＣＫ＝３６で割った余り３０を与える。素数Ｐは共通鍵ＣＫ＝３６とセッション鍵ＳＫ＝２４６を掛けた値８８５６以下に一番近い８８４９とする（Ｂ１２）。
暗号化は８ビットずつのブロック単位で行い、一文字ずつ暗号化を行う。
以下、図２１のフローチャートに沿って動作説明を行う。暗号生成装置１００Ａと復号装置２００Ａは、図１０で生成した共通鍵ＣＫ＝３６、図１９で生成したセッション鍵ＳＫ＝２４６を共有しており（Ｂ１１）、これらを用いて以降において傾き係数Ｇと素数Ｐを求める。
傾き係数Ｇはセッション鍵ＳＫ＝２４６を共通鍵ＣＫ＝３６で割った余り３０を与える。素数Ｐは共通鍵ＣＫ＝３６とセッション鍵ＳＫ＝２４６を掛けた値８８５６以下に一番近い８８４９とする（Ｂ１２）。
【0077】
上記から、反復回数ｒ、演算精度Ｐ、傾き係数Ｇ、初期値Ｘ０を得て式（１１）に、これらの値を設定し、暗号化と復号を行う（Ｂ１３）。暗号生成部１０１は最初の文字“ｗ”を式（１１）の初期値Ｘ０＝１１９に設定して、セッション鍵ＳＫの数２４６回の写像の反復を行って暗号化を行った結果、暗号文として数９９７が得られている（Ｄ１１）。暗号生成部１０１は復号部２０１へ暗号文”９９７”を送信する。復号部２０１は受信した暗号文を初期値Ｘ０に設定し、“Ｐ－１－ＳＫ＝８８４９－１－２４６＝８６０２”となるため、写像の反復を８６０２回行うことで“Ｘ８６０２＝１１９”に復号されていることが確認できる（Ｍ１１）。他の暗号化した文字についても復号されていることが確認できる（Ｄ１２～Ｄ１４、Ｍ１２～Ｍ１４）。
なお、図２１では暗号化と復号の写像を反復した値Ｘｉは最初の３回と最後の３回の値Ｘｉを表示している。
なお、図２１では暗号化と復号の写像を反復した値Ｘｉは最初の３回と最後の３回の値Ｘｉを表示している。
【0078】
なお、法となる素数の桁数で暗号文の大きさが決まってしまうため、コンピュータ実装では図２１の例ではバイト単位で扱うと、平文８ビットが暗号文１６ビットに拡張され、暗号文は平文の２倍の大きさとして扱うこととなる。このため実用上、素数は平文の大きさの単位以上になるため、プロトコルで素数の最大桁を制限するなど平文と暗号文のブロック長を調整する。
【0079】
また、この例では同じ平文だと同じ暗号文が出力されるため、ブロックごとに傾き係数Ｇをプラス１ずつインクリメントしたり、もしくは平文の初期値Ｘ０にプラス１ずつインクリメントして復号後に同じ値で引き算を行ったりすることができる。これによって、ブロック毎に同じ平文でも異なる暗号文を出力する手法が実現される。また、暗号文の送信者と受信者で共通鍵から同じ乱数を発生してブロック毎に傾き係数や平文に乱数をバイアスする（足し算や引き算、排他的論理和をとる）構成を採用しても良い。
【0080】
安全面について、この実施形態では８ビットのブロック単位に分けたが、暗号化する平文の大きさの単位が大きいほど演算コストは大きくなるが安全性は高くなる。このため、ブロックサイズはより大きくとることが望ましい。
【0081】
図２１Ａは、図１８に示した暗号復号システムの各部の処理内容を記述したブロック図である。この暗号復号システムでは、暗号生成装置１００Ａの暗号側共通鍵生成部１０２と、復号装置２００Ａの復号側共通鍵生成部２０２により暗号生成装置１００Ａと復号装置２００Ａで同一の共通鍵が生成され、共有される（「共通鍵共有」）。更に、暗号生成装置１００Ａの暗号側セッション鍵生成部１０３と、復号装置２００Ａの復号側セッション鍵生成部２０３により暗号生成装置１００Ａと復号装置２００Ａで同一のセッション鍵ＳＫが生成され、共有される（「共通鍵生成」）。上記共通鍵ＣＫとセッション鍵ＳＫにより、暗号生成装置１００Ａの暗号生成部１０１で暗号文の生成が行われ（「暗号化処理」）、上記共通鍵ＣＫとセッション鍵ＳＫにより、復号装置２００Ａの復号部２０１で暗号文を平文へ復号する処理（「復号処理」）が行われる。このシステムは、離散対数問題を安全性根拠とする共通鍵暗号方法を採用しており、鍵の管理を不要とすることができ、また、演算負荷と演算コストの低減を図ることができる。
【0082】
Dｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有システムは、お互い交換する情報から共有する秘密情報を生成するシステムである。暗号生成装置１００（１００Ａ（以下、省略））と復号装置２００（２００Ａ（以下、省略））が同じ初期値を設定して任意の一方向性関数を用意し最終的な計算ステップ数が合えば同じ解が得られることに着目すると、各々の計算ステップ数を秘密情報として共有する秘密情報を生成する仕組みを考えることができる。
例えば、暗号生成装置１００が秘密情報として５を選び、一方向関数を５ステップ分の計算を実行してその結果の数値ＮＡを復号装置２００に渡し、一方、復号装置２００が秘密情報として９を選び、一方向関数を９ステップの計算を実行してその結果の数値ＮＢを暗号生成装置１００に渡すものとする。
ＮＢを受け取った暗号生成装置１００は暗号生成装置１００のみが知る秘密情報５により５ステップ分の計算を実行することで、復号装置２００が実行した９ステップ分に５ステップを追加した合計１４ステップを行った数値結果を得る。一方、ＮＡを受け取った復号装置２００は復号装置２００のみが知る秘密情報９により９ステップ分の計算を実行することで、暗号生成装置１００が実行した５ステップ分に９ステップを追加した合計１４ステップを行った数値結果を得る。以上から暗号生成装置１００と復号装置２００が計算する最終的な計算ステップ数が同じとなり、暗号生成装置１００と復号装置２００は同じ値を取得できる。
以上の論理を考慮し、以下に示す実施形態では初期値はお互い共有する共通鍵を設定することで、共通鍵を更新する暗号復号システム、暗号復号方法、暗号復号用プログラムを開示する。
例えば、暗号生成装置１００が秘密情報として５を選び、一方向関数を５ステップ分の計算を実行してその結果の数値ＮＡを復号装置２００に渡し、一方、復号装置２００が秘密情報として９を選び、一方向関数を９ステップの計算を実行してその結果の数値ＮＢを暗号生成装置１００に渡すものとする。
ＮＢを受け取った暗号生成装置１００は暗号生成装置１００のみが知る秘密情報５により５ステップ分の計算を実行することで、復号装置２００が実行した９ステップ分に５ステップを追加した合計１４ステップを行った数値結果を得る。一方、ＮＡを受け取った復号装置２００は復号装置２００のみが知る秘密情報９により９ステップ分の計算を実行することで、暗号生成装置１００が実行した５ステップ分に９ステップを追加した合計１４ステップを行った数値結果を得る。以上から暗号生成装置１００と復号装置２００が計算する最終的な計算ステップ数が同じとなり、暗号生成装置１００と復号装置２００は同じ値を取得できる。
以上の論理を考慮し、以下に示す実施形態では初期値はお互い共有する共通鍵を設定することで、共通鍵を更新する暗号復号システム、暗号復号方法、暗号復号用プログラムを開示する。
【0083】
図２２は、第３の実施形態に係る暗号復号システムのブロック図である。第３の実施形態に係る暗号復号システムは、図２に示した暗号復号システムの構成において、暗号生成装置１００Ｂに第１の暗号側更新鍵生成部１０５が備えられ、復号装置２００Ｂに第１の復号側更新鍵生成部２０５が備えられている。第１の暗号側更新鍵生成部１０５は、暗号側共通鍵生成部１０２から共通鍵を受け取り、この共通鍵によりベルヌーイシフト写像を行い、暗号側交換情報を生成する。第１の復号側更新鍵生成部２０５は、復号側共通鍵生成部２０２から共通鍵を受け取り、この共通鍵によりベルヌーイシフト写像を行い、復号側交換情報を生成する。
【0084】
更に、第１の暗号側更新鍵生成部１０５は、復号側交換情報を受け取ってこの復号側交換情報を用いてベルヌーイシフト写像を行い、更新鍵を生成する。また、第１の復号側更新鍵生成部２０５は、暗号側交換情報を受け取ってこの暗号側交換情報を用いてベルヌーイシフト写像を行い、更新鍵を生成する。
【0085】
上記第３の実施形態の具体例として、一方向性関数は傾き係数を変動するベルヌーシフト写像を用意し、このベルヌーシフト写像を用いて更新鍵生成を行う。図２２Ａは、更新鍵生成の処理を示すフローチャートであり、図２３は図２２Ａの要部を示すフローチャートである。また、図２４は、上記図２３に示した処理をＣ言語プログラムで記述したものである。また、図２５Ａ、図２５Ｂと図２６は、具体的な計算値を用いて上記更新鍵の生成過程を示す図である。
【0086】
本実施形態においては、始めに図２２Ａのフローチャートに示すように共通鍵ＣＫから傾き係数を変動するパターンを生成する（Ｓ６０Ａ、Ｓ６０Ｂ）。具体的には、暗号生成装置１００Ｂと復号装置２００Ｂはお互い共有する共通鍵ＣＫの値を２乗した値より小さく一番近い素数Ｐを算出する（Ｓ６１Ａ、Ｓ６１Ｂ）。次に、傾き係数Ｇは図２２Ａのフローチャートに示される次の数式によって決定する。
共通鍵ＣＫの値を２乗してＧｍａｘの割り算の剰余にＧｍｉｎを足した数を傾き係数Ｇとする（Ｓ６２Ａ、Ｓ６２Ｂ）。
Ｇｍａｘは予めプロトコルで決めておき、Ｇｍｉｎは“ＣＫ×ＣＫ ｍｏｄ Ｇｍａｘ”の剰余がゼロになった場合に、最小の傾き係数Ｇは２以上にするため“Ｇｍｉｎ＝２”を入れておく。次に、求めた傾き係数Ｇと素数Ｐより
を実行してＸ０を求める（Ｓ６３Ａ、Ｓ６３Ｂ）。
【数41】
Ｇｍａｘは予めプロトコルで決めておき、Ｇｍｉｎは“ＣＫ×ＣＫ ｍｏｄ Ｇｍａｘ”の剰余がゼロになった場合に、最小の傾き係数Ｇは２以上にするため“Ｇｍｉｎ＝２”を入れておく。次に、求めた傾き係数Ｇと素数Ｐより
【数42】
【0087】
暗号生成装置１００Ｂは乱数Ｓａを発生させて（Ｓ６４Ａ）、図２２Ａの傾き変動するベルヌーイシフト写像の各初期パラメータ
Ｓａ（乱数）⇒反復回数ｒ、素数Ｐ⇒演算精度Ｐ、Ｇ⇒傾き係数Ｇ、Ｘ０⇒初期値Ｘ０
を設定する（Ｓ６５Ａ）。
同様に、復号装置２００Ｂは乱数Ｓｂを発生させて（Ｓ６４Ｂ）、各初期パラメータＳｂ（乱数）⇒反復回数ｒ、素数Ｐ⇒演算精度Ｐ、Ｇ⇒傾き係数Ｇ、Ｘ０⇒初期値Ｘ０
を設定する（Ｓ６５Ｂ）。
Ｓａ（乱数）⇒反復回数ｒ、素数Ｐ⇒演算精度Ｐ、Ｇ⇒傾き係数Ｇ、Ｘ０⇒初期値Ｘ０
を設定する（Ｓ６５Ａ）。
同様に、復号装置２００Ｂは乱数Ｓｂを発生させて（Ｓ６４Ｂ）、各初期パラメータＳｂ（乱数）⇒反復回数ｒ、素数Ｐ⇒演算精度Ｐ、Ｇ⇒傾き係数Ｇ、Ｘ０⇒初期値Ｘ０
を設定する（Ｓ６５Ｂ）。
【0088】
次に、図２３に示される傾き係数Ｇの変動パターンを決定する（ＳＡＦ２３）。
変数ｙを用意し、演算精度Ｐに傾き係数Ｇを割り算した余りの値“ｙ＝Ｐ ｍｏｄ Ｇ”とする。
次の合同算術式より法を素数ＰとしてＧ回繰り返しｙを更新し、ｙから傾き係数の最大をＧとして、Ｇに対して２０％をとった値をｄＧ［ｉ］としてＧ個分格納する。
変数ｙを用意し、演算精度Ｐに傾き係数Ｇを割り算した余りの値“ｙ＝Ｐ ｍｏｄ Ｇ”とする。
次の合同算術式より法を素数ＰとしてＧ回繰り返しｙを更新し、ｙから傾き係数の最大をＧとして、Ｇに対して２０％をとった値をｄＧ［ｉ］としてＧ個分格納する。
【数43】
【0089】
次に、具体的な計算値を、図２６の最上枠の数値を参照して説明する。
図１０で得られた共通鍵３６を利用し共通鍵を２乗した値は、“３６×３６＝１２９６”となるため、それ以下の一番近い素数を探索すると素数Ｐ＝１２９１となる。共通鍵の値が小さすぎる場合は、例えば素数は最低１０００以上というルールを設け共通鍵の値の累乗を続けてもよい。
次に最大傾き係数Ｇは本実施形態のプロトコルでは９９まで採れるとし、Ｇは変動する値になるため、最低１０にすることでＧは８、９、１０の三種類が採れるようにする。このため、“Ｇmax＝９０”、“Ｇmin＝１０”として、“４６＝（１２９６ ｍｏｄ ９０）＋１０”より、傾き係数Ｇ＝４６をとる。初期値Ｘ０はＸ０＝Ｐ ｍｏｄ Ｇより“３＝１２９１ ｍｏｄ ４６”となり“Ｘ０＝３”を得る。
以上のように、「傾き係数Ｇ、素数Ｐ、反復回数ｒ、初期値Ｘ０」が決定され、図２２のＳＡＦ２３により示される図２３の初期処理（Ｓ７１）における設定がなされる。
図１０で得られた共通鍵３６を利用し共通鍵を２乗した値は、“３６×３６＝１２９６”となるため、それ以下の一番近い素数を探索すると素数Ｐ＝１２９１となる。共通鍵の値が小さすぎる場合は、例えば素数は最低１０００以上というルールを設け共通鍵の値の累乗を続けてもよい。
次に最大傾き係数Ｇは本実施形態のプロトコルでは９９まで採れるとし、Ｇは変動する値になるため、最低１０にすることでＧは８、９、１０の三種類が採れるようにする。このため、“Ｇmax＝９０”、“Ｇmin＝１０”として、“４６＝（１２９６ ｍｏｄ ９０）＋１０”より、傾き係数Ｇ＝４６をとる。初期値Ｘ０はＸ０＝Ｐ ｍｏｄ Ｇより“３＝１２９１ ｍｏｄ ４６”となり“Ｘ０＝３”を得る。
以上のように、「傾き係数Ｇ、素数Ｐ、反復回数ｒ、初期値Ｘ０」が決定され、図２２のＳＡＦ２３により示される図２３の初期処理（Ｓ７１）における設定がなされる。
【0090】
図２３は、傾き係数を変動するベルヌーシフト写像の反復演算を示すフローチャートであり、その具体的なＣ言語プログラムが図２４になる。上記のようにステップＳ７１において「傾き係数Ｇ、素数Ｐ、反復回数ｒ、初期値Ｘ０」が決定されて、続いて係数Ｇの変動パターンを生成する。変数ｙを用意し、入力された初期値Ｘ０＝３と傾き係数Ｇ＝４６をかけた値“ｙ＝１３８”とする（Ｓ７２）。
次に、ｙから傾き係数Ｇの変動パターンを決める。ｙは“ｙ＝（Ｇ×ｙ） ｍｏｄ Ｐ”によりＧ回繰り返してｙの値を更新し、“ｄＧ［ｉ］＝ｙ ｍｏｄ （Ｇ×２／１０）”により入力されたＧは最大の傾き係数となり、本実施形態では４６のため、その２０％分の値０～８の４６個分をｄＧ［ｉ］に格納する（Ｓ７３、Ｓ７４）。
次に、ｙから傾き係数Ｇの変動パターンを決める。ｙは“ｙ＝（Ｇ×ｙ） ｍｏｄ Ｐ”によりＧ回繰り返してｙの値を更新し、“ｄＧ［ｉ］＝ｙ ｍｏｄ （Ｇ×２／１０）”により入力されたＧは最大の傾き係数となり、本実施形態では４６のため、その２０％分の値０～８の４６個分をｄＧ［ｉ］に格納する（Ｓ７３、Ｓ７４）。
【0091】
以上で、傾き係数Ｇが変動するパターンが決まり、傾き係数Ｇを変動しながらベルヌーイシフト写像の反復演算を行う。傾き係数Ｇの変動は図２３のフローチャートにも示すように
により格納しておいたｄＧ［ｉ］を引き算した値が各区間“ｉｎｔｅｒｖａｌ［ｉ］”により選択される（Ｓ７５、Ｓ７６）。
例えば、傾き係数Ｇが最大１００のときは、変動する傾き係数Ｇは８０～１００の間の値を採る。
【数44】
例えば、傾き係数Ｇが最大１００のときは、変動する傾き係数Ｇは８０～１００の間の値を採る。
【0092】
図２３に示すベルヌーイシフト写像の演算では、入力された傾き係数ＧからＧ個分の各区間“ｉ”に該当する配列ｄＧ［ｉ］を引いた３８～４６を採ることになる。本実施形態の具体的な配列ｄＧ［ｉ］の値（４６個分）と各区間の傾き係数Ｇのベルヌーイシフト写像のマップイメージを図２５Ａの第２番目枠に示す。
【0093】
以上のようにして、暗号生成装置１００Ｂでは傾き係数Ｇの変動パターンを生成し、ベルヌーイシフト写像をＳａ回反復した結果Ｘｓａを出力し、このＸｓａが復号装置２００Ｂへ送られる（Ｓ６６Ａ）。また、復号装置２００Ｂでは、傾き係数Ｇの変動パターンを生成し、ベルヌーイシフト写像をＳｂ回反復した結果Ｘｓｂを出力し、このＸｓｂが暗号生成装置１００Ｂへ送られる（Ｓ６６Ｂ）。
【0094】
暗号生成装置１００ＢではＸｓｂを受け取り（Ｓ６７Ａ）、このＸｓｂを初期値Ｘ０として設定して（Ｓ６８Ａ）、ベルヌーイシフト写像をＳａ回反復した更新鍵Ｘｋを出力する（ＳＡＦ２３）。復号装置２００ＢではＸｓａを受け取り（Ｓ６７Ｂ）、このＸｓａを初期値Ｘ０として設定して（Ｓ６８Ｂ）、ベルヌーイシフト写像をＳｂ回反復した更新鍵Ｘｋを出力する（ＳＡＦ２３）。
【0095】
図２４に示したプログラムにて鍵更新を行う具体的な数値例を図２６に示す。
ここで、図８（ａ）の処理Ａと図２４のプログラムの違いについて説明する。図８（ａ）の処理Ａでは、最後に返り値としてｘをＧで割った値“ｘ／Ｇ”を返しているが、図２４では、Ｇを変更するため、割り切れない値が生じることで演算結果の値が異なってしまうため、図２３のステップＳ７７に示されるように、“ｘ”をそのまま返り値とする。
ここで、図８（ａ）の処理Ａと図２４のプログラムの違いについて説明する。図８（ａ）の処理Ａでは、最後に返り値としてｘをＧで割った値“ｘ／Ｇ”を返しているが、図２４では、Ｇを変更するため、割り切れない値が生じることで演算結果の値が異なってしまうため、図２３のステップＳ７７に示されるように、“ｘ”をそのまま返り値とする。
【0096】
暗号生成装置１００Ｂは秘密情報として“７”を生成し傾き係数Ｇを変動する写像の反復を７回実行し、“Ｘ７＝２４９０４”を得て復号装置２００Ｂへ送信する。復号装置２００Ｂは秘密情報として“１０”を生成し、傾き係数Ｇを変動する写像の反復を１０回実行し“Ｘ１０＝６１６２”を得て暗号生成装置１００Ｂへ送信する。
【0097】
受信処理では暗号生成装置１００Ｂは、復号装置２００Ｂから受け取った通知情報６１６２を初期値Ｘ０に設定し、暗号生成装置１００Ｂの秘密情報７から傾き係数を変動する写像の反復を７回実行し、“Ｘ７＝４９１６０”を更新鍵として得る。復号装置２００Ｂは暗号生成装置１００Ｂから受け取った通知情報２４９０４を初期値Ｘ０に設定し、復号装置２００Ｂの秘密情報１０から傾き係数を変動する写像の反復を１０回実行し、“Ｘ１０＝４９１６０”を更新鍵として得る。このような処理を行い、暗号生成装置１００Ｂと復号装置２００Ｂは共通の更新鍵を持つことができる。暗号生成装置１００Ｂと復号装置２００Ｂは、生成された更新鍵を共通鍵として用いる。つまり、暗号文生成と暗号文を復号して平文を得るために用いることができる。
【0098】
以上が傾き係数Ｇを変動する鍵更新方法である。ただし、注意点として傾き係数Ｇが一定の場合に次の合同算術式が示すように、お互い送信する交換情報同士を掛け算して法Ｐをとることで秘密情報Ｓが第三者に判ってしまう。
暗号生成装置１００Ｂは“ＧＮＡ（ｍｏｄ Ｐ）”を復号装置２００Ｂに送信し、復号装置２００Ｂは“ＧＮＢ（ｍｏｄ Ｐ）”を暗号生成装置１００Ｂに送信して、暗号生成装置１００Ｂと復号装置２００Ｂは共有する“ＧＮＡ ＋ ＮＢ（ｍｏｄ Ｐ）”を得ることになる。ところが、お互い送信した情報ＧＮＡとＧＮＢを掛け算してＰで法をとった“ＧＮＡ×ＧＮＢ（ｍｏｄ Ｐ）”と同じ値になるため、素数Ｐさえ判れば共有する秘密情報Ｓを簡単に求められる。
【数45】
暗号生成装置１００Ｂは“ＧＮＡ（ｍｏｄ Ｐ）”を復号装置２００Ｂに送信し、復号装置２００Ｂは“ＧＮＢ（ｍｏｄ Ｐ）”を暗号生成装置１００Ｂに送信して、暗号生成装置１００Ｂと復号装置２００Ｂは共有する“ＧＮＡ ＋ ＮＢ（ｍｏｄ Ｐ）”を得ることになる。ところが、お互い送信した情報ＧＮＡとＧＮＢを掛け算してＰで法をとった“ＧＮＡ×ＧＮＢ（ｍｏｄ Ｐ）”と同じ値になるため、素数Ｐさえ判れば共有する秘密情報Ｓを簡単に求められる。
【0099】
図２７は、傾き係数Ｇを変動せず固定した場合の図８（ａ）の処理Ａプログラムを具体的な数値を用いて実行した例を示す図である。図８（ａ）の処理Ａでは、“初期値Ｘ０＝１”となる。暗号生成装置１００Ｂは７回写像した値１０２、復号装置２００Ｂは１０回写像した値４８２をお互いに送信する。
１０２×４８２＝４９１６４に法１２９１をとると余りは、“１０６”であり、図２７の表の最後尾のように暗号生成装置１００Ｂと復号装置２００Ｂが算出し共有した値も“１０６”になっており、素数Ｐさえ判れば簡単に暗号生成装置１００Ｂと復号装置２００Ｂが共有する秘密情報が判ってしまう。このため、傾き係数Ｇの変動パターンは最低でも２以上は必ず異なる値Ｇに変動されるようにすることが必要である。
１０２×４８２＝４９１６４に法１２９１をとると余りは、“１０６”であり、図２７の表の最後尾のように暗号生成装置１００Ｂと復号装置２００Ｂが算出し共有した値も“１０６”になっており、素数Ｐさえ判れば簡単に暗号生成装置１００Ｂと復号装置２００Ｂが共有する秘密情報が判ってしまう。このため、傾き係数Ｇの変動パターンは最低でも２以上は必ず異なる値Ｇに変動されるようにすることが必要である。
【0100】
他の傾き係数Ｇの変動パターン例を図２５Ｂに示す。共通鍵は３６として２進数にすると（００１００１００）２になるが、図２５Ａの例と同じように４６個分の０～８の値Ｇ個分をｄＧ［ｉ］に格納することを考えると、ビットから取り出す場合は８以下の０～７を対象とする３ビット分を取り出すこととする。
図２５Ｂのスキップ１とは１ビットおきに３ビット分を取り出して並べると、
｛（００１）２，（０１０）２，（１００）２，（００１）２，（０１０）２，（１００）２，（０００）２，（０００）２，・・・｝
の合計８個分を取り出すことができる。７ビット目では９ビット目以降は同じビット列（００１００１００）２を最後尾につなげることで（００１００１００００１００１００）２のようにして９ビット目以降が採れるようにする。
図２５Ｂのスキップ１とは１ビットおきに３ビット分を取り出して並べると、
｛（００１）２，（０１０）２，（１００）２，（００１）２，（０１０）２，（１００）２，（０００）２，（０００）２，・・・｝
の合計８個分を取り出すことができる。７ビット目では９ビット目以降は同じビット列（００１００１００）２を最後尾につなげることで（００１００１００００１００１００）２のようにして９ビット目以降が採れるようにする。
【0101】
“ｄＧ［０］＝１，ｄＧ［１］＝２，ｄＧ［２］＝４，ｄＧ［３］＝１，ｄＧ［４］＝２，ｄＧ［５］＝４，ｄＧ［６］＝０，ｄＧ［７］＝０”のように採ることで、傾き変動パターンとして８個分確保できる。
次は図２５Ｂのスキップ２に示すように、２ビットおきに３ビット分ずつを取り出す操作を繰り返し、最後尾で足りない分は同じビット列を繋げていくという方法で８個分採る。次は図示しないが、スキップ３で３ビットおきに１ビット取るというように、同様にスキップ７まで行い、全部で８×７＝５６通りが取得できる。
傾き係数Ｇ＝４６のため、図２５Ｂに示す数値４６個を取得して傾き変動パターン２として生成する。
ここまで各種パラメータを一つの共通鍵から生成する事例として示したが、各パラメータを予め複数の共通鍵として構成することも考えられ、より秘匿性を高めることが期待できる。
以上、ベルヌーイシフト写像の傾き係数の変動を行う鍵更新方法の例を示した。
次は図２５Ｂのスキップ２に示すように、２ビットおきに３ビット分ずつを取り出す操作を繰り返し、最後尾で足りない分は同じビット列を繋げていくという方法で８個分採る。次は図示しないが、スキップ３で３ビットおきに１ビット取るというように、同様にスキップ７まで行い、全部で８×７＝５６通りが取得できる。
傾き係数Ｇ＝４６のため、図２５Ｂに示す数値４６個を取得して傾き変動パターン２として生成する。
ここまで各種パラメータを一つの共通鍵から生成する事例として示したが、各パラメータを予め複数の共通鍵として構成することも考えられ、より秘匿性を高めることが期待できる。
以上、ベルヌーイシフト写像の傾き係数の変動を行う鍵更新方法の例を示した。
【0102】
次に、更新鍵を複数生成しながら、暗号生成装置１００Ｂで暗号化を行い、復号装置２００Ｂへ暗号文を送信して、復号装置２００Ｂで復号を行う例を示す。
暗号生成装置１００Ｂと復号装置２００Ｂの双方は同じ傾き係数Ｇを変動するパターンを持つ一次元写像関数を使用しているため、更新鍵を生成した以降も暗号生成装置１００Ｂと復号装置２００Ｂは写像毎の出力“Ｘｉ＋１”は同じ値が得られる。
暗号生成装置１００Ｂと復号装置２００Ｂの双方は同じ傾き係数Ｇを変動するパターンを持つ一次元写像関数を使用しているため、更新鍵を生成した以降も暗号生成装置１００Ｂと復号装置２００Ｂは写像毎の出力“Ｘｉ＋１”は同じ値が得られる。
【0103】
このため、鍵を追加しながら任意のデータ量分を鍵と平文を合成して暗号化を行う構成が考えられる。ここで、鍵の生成は１回の写像のたびに鍵を生成して暗号化を行うのではなく、写像を何回か反復を行っては出力される“Ｘｉ＋１”を鍵として追加生成することが望ましい。
【0104】
なぜなら、ベルヌーイシフト写像の式（９）より得られた“Ｘｉ＋１＝０．３”とすると、式（９）を１回さかのぼることを考える。“Ｘｉ＜０．５”の場合は式（９）の“２Ｘｉ”を実行しているため、“Ｘｉ＝Ｘｉ＋１／２”から“Ｘｉ＋１”に“０．３”を代入することで“Ｘｉ＝０．１５”、一方、“０．５≦Ｘｉ”の場合は“２Ｘｉ－１”を実行しているため、“Ｘｉ＝（Ｘｉ＋１＋１）／２”から“Ｘｉ＋１”に“０．３”を代入することで、“Ｘｉ＝０．６５”が得られ、“Ｘｉ＋１＝０．３”の情報から“０．１５”か“０．６５”のどちらかから写像が行われたかが推測できる。このため、１回写像を空けてＸｉ＋１を出力すれば初期値Ｘ０は２つの候補が推測できる。３回写像の反復を行って得られた結果が“Ｘｉ＋１＝０．３”の場合は反復の３回前はどの値から来ていたかを予測すると候補が次の８通りになる。
（０．０３７５，０．１６２５，０．２８７５，０．４１２５，０．５３７５，０．６６２５，０．７８７５，０．９１２５）
（０．０３７５，０．１６２５，０．２８７５，０．４１２５，０．５３７５，０．６６２５，０．７８７５，０．９１２５）
【0105】
これらの値を式（９）の初期値Ｘ０として写像の反復を３回行うと、全て“Ｘ３＝０．３”が得られることになる。
写像を３回空けて“Ｘｉ＋１”を取得する場合は８＝２３通りの初期値候補が推測されるため、３ビット分の安全性が確保できることになる。つまり８ビットの強度（２５６個の初期値候補）を得たいときは、２８＝２５６のため写像を８回分あけて暗号化を行えばよく、写像を８回反復しては鍵を出力する構造になる。このように写像の反復をあけることで鍵の生成系列の推定が難しくなることが期待できる。
写像を３回空けて“Ｘｉ＋１”を取得する場合は８＝２３通りの初期値候補が推測されるため、３ビット分の安全性が確保できることになる。つまり８ビットの強度（２５６個の初期値候補）を得たいときは、２８＝２５６のため写像を８回分あけて暗号化を行えばよく、写像を８回反復しては鍵を出力する構造になる。このように写像の反復をあけることで鍵の生成系列の推定が難しくなることが期待できる。
【0106】
次に、鍵を出力して暗号化を行い復号する暗号復号システムの処理例を示す。図２８は、鍵を出力して暗号化を行い復号する暗号復号システムの動作を示すフローチャートであり、図２９は、図２８の処理を具体的な数値を用いて行った場合の処理を示す図である。
図２９では平文としてアスキーコード３文字“ｍａｐ”を暗号生成装置１００Ｂが暗号化して復号装置２００Ｂへ送信するものとする。“ｍａｐ”は１文字ずつ暗号化するため各文字８ビット分のアスキーコードを１０進数にすると“ｍ＝１０９，ａ＝９７，ｐ＝１１２”となる。
図２８に示すように、図２２の“共通鍵ＣＫ”、“傾き係数Ｇ”、“更新鍵Ｘ０”、“素数Ｐ”を引き継ぎ（Ｓ８１Ａ、Ｓ８１Ｂ）、写像の反復を空ける回数Ｓは傾き係数Ｇと共通鍵ＣＫの排他的論理和
をとることで算出する（Ｓ８２Ａ、Ｓ８２Ｂ）。具体的な数値として図２９ではＣＫ＝３６、Ｇ＝４６のため、
としている。
ここで数Ｓが小さすぎる場合は所定の数値以上をとるようにしておく。
図２９では平文としてアスキーコード３文字“ｍａｐ”を暗号生成装置１００Ｂが暗号化して復号装置２００Ｂへ送信するものとする。“ｍａｐ”は１文字ずつ暗号化するため各文字８ビット分のアスキーコードを１０進数にすると“ｍ＝１０９，ａ＝９７，ｐ＝１１２”となる。
図２８に示すように、図２２の“共通鍵ＣＫ”、“傾き係数Ｇ”、“更新鍵Ｘ０”、“素数Ｐ”を引き継ぎ（Ｓ８１Ａ、Ｓ８１Ｂ）、写像の反復を空ける回数Ｓは傾き係数Ｇと共通鍵ＣＫの排他的論理和
【数46】
【数47】
ここで数Ｓが小さすぎる場合は所定の数値以上をとるようにしておく。
【0107】
次に暗号化する平文の総数ｎを求め、更新鍵の生成回数ｉを０とする（Ｓ８３Ａ、Ｓ８３Ｂ）。更に、図２３のフローチャートによる処理部に、反復回数Ｓを反復回数ｒに設定し、素数Ｐを演算精度Ｐに設定し、傾き係数Ｇを傾き係数Ｇに設定し、更新鍵Ｘｉを初期値Ｘ０へ設定する（Ｓ８４Ａ、Ｓ８４Ｂ）。
【0108】
【0109】
本実施形態では暗号化は素数Ｐを利用し有限体ＧＦ（Ｐ）上で行うこととして、鍵Ｋと平文Ｔは素数Ｐ以下の値を対象とする。図２４のプログラムで示した交換する値は、Ｇを掛けた値としたが、生成した値をＧで割り算した値を鍵とすることで値が有限体ＧＦ（Ｐ）の位数Ｐ以下になるように鍵Ｋを生成する。
暗号化は次の式（２４）により生成した鍵Ｋに平文Ｔを掛け合わせ、素数Ｐで割った余りを暗号文Ｃとする。この式（２４）により暗号文Ｃｉを生成し、復号装置２００Ｂへ送信する（Ｓ８７Ａ）。ステップＳ８８Ａでは、平文の総数だけ暗号化がなされたかを検出している。
暗号化は次の式（２４）により生成した鍵Ｋに平文Ｔを掛け合わせ、素数Ｐで割った余りを暗号文Ｃとする。この式（２４）により暗号文Ｃｉを生成し、復号装置２００Ｂへ送信する（Ｓ８７Ａ）。ステップＳ８８Ａでは、平文の総数だけ暗号化がなされたかを検出している。
【数49】
【0110】
復号は暗号文Ｃを受け取った復号装置２００Ｂは暗号生成装置１００Ｂと共有している鍵Ｋから逆数Ｋ－１を算出し（Ｓ８７Ｂ）、暗号文Ｃに逆数（乗法逆元）をとることで平文Ｔを算出する。即ち、図２８のステップＳ８８Ｂに示す式により復号を行う（Ｓ８８Ｂ）。
ステップＳ８９Ｂでは、平文の総数だけ暗号化がなされたかを検出している。合同算術では法Ｐが素数であれば乗法群からなる有限体ＧＦ（Ｐ）は乗法逆元が成り立つ逆数Ｋ－１が存在することが知られている。具体的には、以下に示すようにユークリッドの互除法を用いて平文Ｔを導出する。
式（２４）は被除数Ｋ・Ｔを除数Ｐで割った商ｙの剰余がＣということであり以下の式が成り立つ。
ステップＳ８９Ｂでは、平文の総数だけ暗号化がなされたかを検出している。合同算術では法Ｐが素数であれば乗法群からなる有限体ＧＦ（Ｐ）は乗法逆元が成り立つ逆数Ｋ－１が存在することが知られている。具体的には、以下に示すようにユークリッドの互除法を用いて平文Ｔを導出する。
式（２４）は被除数Ｋ・Ｔを除数Ｐで割った商ｙの剰余がＣということであり以下の式が成り立つ。
【数50】
【0111】
ここで、上記の式における右辺の“Ｐ・ｙ”を左辺に移項すると以下の式（２５）が得られる。
式（２５）からベズーの等式として知られる一次不定方程式の整数解を利用することで、平文Ｔを導出できる。以下に一次不定方程式の解法による例を提示し、平文Ｔの導出について説明する。
【数51】
【0112】
＜定理＞一次不定方程式の整数解
“ａ”と“ｂ”を互いに素な整数としたとき、以下の二元一次方程式を満たす整数解“ｘ”と“ｙ”が存在する。
“ａ”と“ｂ”を互いに素な整数としたとき、以下の二元一次方程式を満たす整数解“ｘ”と“ｙ”が存在する。
【数52】
【0113】
式（２６）の“ｘ”は式（２５）平文Ｔにあたり、平文Ｔを導出する例を示す。ここで、式（２６）の右辺が１になっており式（２５）の右辺は暗号文Ｃとなっているが、有限体ＧＦ（Ｐ）上で次の式のようにＫとの逆数が１になるＫ－１を導出する。
【数53】
【0114】
一次不定方程式の整数解「拡張されたユークリッドの互除法」によって、逆数（逆元）Ｋ－１となる“ｘ”と、“ｙ”を求める。具体例を図３０に示す。図３０は、一次不定方程式の整数解を求める手順を一例の数値を入れて示す図である。図３０の値は図２９にて図２６で得られた更新鍵４９１６０を初期値Ｘ０に設定し、Ｓ＝１０回の写像の反復を行い得られた値５４６１０をＧ＝４６で割り算した商となる値を鍵Ｋ＝１１８７とし、素数Ｐ＝１２１９として求めたものである。その結果が、
となり、上記式のように“ｘ＝－３６０，ｙ＝３３１”が得られたが“ｘ”はマイナス、“ｙ”はプラスになっており式（２５）と見比べると“ｙ”はマイナス、つまり“ｙ＝－ｙ”となるため“ｘ”がプラスとなるよう以下の手法を利用する。
【数54】
となり、上記式のように“ｘ＝－３６０，ｙ＝３３１”が得られたが“ｘ”はマイナス、“ｙ”はプラスになっており式（２５）と見比べると“ｙ”はマイナス、つまり“ｙ＝－ｙ”となるため“ｘ”がプラスとなるよう以下の手法を利用する。
【0115】
式（２６）を以下に変形する。
式（２７）の“ａ×ｂ”の部分は差し引きで消去できるため、式（２６）と等しい。
求めた値は“ｘ＝－３６０，ｂ＝１２１９”また“ｙ＝３３１，ａ＝１１８７”であるため、これを式（２７）に代入すると
と“ｘ＝９３１，ｙ＝－８５６”になり、式（２５）の形式が得られ逆数Ｋ－１は“９３１”となる。
【数55】
求めた値は“ｘ＝－３６０，ｂ＝１２１９”また“ｙ＝３３１，ａ＝１１８７”であるため、これを式（２７）に代入すると
と“ｘ＝９３１，ｙ＝－８５６”になり、式（２５）の形式が得られ逆数Ｋ－１は“９３１”となる。
【0116】
次の式のように逆数Ｋ－１を図２９の平文“ｍ”（＝１０９）の暗号文として与えられたＣ＝２８３に乗法逆元（ＣとＫ－１掛け算してＰの余りを算出）を取ることで平文Ｔに復号する。
図２９は、“ｍａｐ”３文字分を生成された各鍵の逆数を計算して復号を行い、各平文Ｔを算出した実施形態を示す図である。
【数56】
【0117】
本実施形態は、初期値を共通鍵として鍵更新を行うものとして紹介したが、共通鍵を使い回し、通信の度に各々が乱数を生成して反復回数として設定し、写像を反復して毎回異なる値を交換することでセッション鍵ＳＫの生成としても用いることができる。
【0118】
以上のように、本実施形態では初期値を共通鍵とした共通鍵暗号方式を示したが、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有のように初期値を第三者に公開する形態にて写像の反復のステップ数を秘密情報とした暗号復号システムとしても良い。この場合、初期値を公開するため、安全性は低くなるが通信者間で各々が生成する写像の反復のステップ数を秘密情報として送信データにマスキング（スクランブル）がかけられるため、無線回線やインターネット回線の第三者によるキャプチャリングに対して簡単な漏洩防止を行うことが可能である。
一般的な共通鍵暗号方式では鍵の管理が必要であるのに対して、この第３の実施形態では、共通鍵の共有が不要になるため、鍵の管理を不要とすることができる利点を有する。
一般的な共通鍵暗号方式では鍵の管理が必要であるのに対して、この第３の実施形態では、共通鍵の共有が不要になるため、鍵の管理を不要とすることができる利点を有する。
【0119】
前述の第１の実施形態では一変数多項式によるＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ型の鍵共有方法を示したが、一変数多項式による一次元写像においても写像の反復回数が最終的に同じであれば同じ数を得ることが考えられる。
しかしながら、生成元Ｇが一定の場合は第３の実施形態で示したように一変数多項式を図１７に示す三角関数の位相に置き換えて計算すると、生成元Ｇは一定のため交換する値と“初期値Ｘ０＝ｓｉｎ２（π／Ｐ）”の設定から素数Ｐが推定される場合は共有する秘密情報が簡単に判ってしまう。なぜなら、２次以上の一変数多項式でも位相θに着目すると位相の上ではベルヌーイシフト写像の演算を行っていることと同等であるため、生成元Ｇを固定にした場合と同じ状況になり、位相の計算を追うことで図２７のように秘密情報が簡単に特定できるからである。
しかしながら、生成元Ｇが一定の場合は第３の実施形態で示したように一変数多項式を図１７に示す三角関数の位相に置き換えて計算すると、生成元Ｇは一定のため交換する値と“初期値Ｘ０＝ｓｉｎ２（π／Ｐ）”の設定から素数Ｐが推定される場合は共有する秘密情報が簡単に判ってしまう。なぜなら、２次以上の一変数多項式でも位相θに着目すると位相の上ではベルヌーイシフト写像の演算を行っていることと同等であるため、生成元Ｇを固定にした場合と同じ状況になり、位相の計算を追うことで図２７のように秘密情報が簡単に特定できるからである。
【0120】
そこで、この第４の実施形態では、図１４の一変数多項式の係数に着目し、係数を共通鍵とした鍵更新を行う暗号復号システム、暗号復号方法、暗号復号用プログラムを提供する。
図３１は、第４の実施形態に係る暗号復号システムのブロック図である。図３１は、第３の実施形態に係る暗号復号システムのブロック図の第１の暗号側更新鍵生成部１０５に代えて、暗号生成装置１００Ｃには、第２の暗号側更新鍵生成部１０６が設けられ、第１の復号側更新鍵生成部２０５に代えて、復号装置２００Ｃには第２の復号側更新鍵生成部２０６が設けられている点を除き、同一である。
図３１は、第４の実施形態に係る暗号復号システムのブロック図である。図３１は、第３の実施形態に係る暗号復号システムのブロック図の第１の暗号側更新鍵生成部１０５に代えて、暗号生成装置１００Ｃには、第２の暗号側更新鍵生成部１０６が設けられ、第１の復号側更新鍵生成部２０５に代えて、復号装置２００Ｃには第２の復号側更新鍵生成部２０６が設けられている点を除き、同一である。
【0121】
第２の暗号側更新鍵生成部１０６は、暗号側共通鍵生成部１０２から共通鍵を受け取り、この共通鍵により一変数多項式を生成しこの一変数多項式による一次元写像を行い、暗号側交換情報を生成する。第２の復号側更新鍵生成部２０６は、復号側共通鍵生成部２０２から共通鍵を受け取り、この共通鍵により前記一変数多項式を生成しこの一変数多項式による一次元写像を行い、復号側交換情報を生成する。
【0122】
前記第２の暗号側更新鍵生成部は、復号側交換情報を受け取ってこの復号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成し、
前記第２の復号側更新鍵生成部は、暗号側交換情報を受け取ってこの暗号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成する。
前記第２の復号側更新鍵生成部は、暗号側交換情報を受け取ってこの暗号側交換情報を用いて前記一変数多項式による一次元写像を行い、更新鍵を生成する。
【0123】
本実施形態では、例として図１４の次数Ｇ＝４の一変数多項式の係数を共通鍵から変更することを考える。第１の実施形態において用いている図１３で示したガウスの消去法では、４次の一変数多項式の解を（１，０，１，０）として、係数“ａ，ｂ，ｃ，ｄ”を求めていた。
本実施形態では、共通鍵が８ビット（００１００１００）２（十進数３６）として半分に分割すると、（００１０）２と（０１００）２になり、十進数にすると２と４となる。この２と４は“１”に対して２％分と４％分を減算するといったルールとして当てることを考え“０．９８”と“０．９６”が算出され、４次の一変数多項式の解を“（０．９８，０，０．９６，０）”に変更して与える。これを図１３に示すガウスの消去法をコンピュータにプログラミング実装して、式（２１）においてＧ＝４としてｘを得た場合と同じ次の値
を与えて係数“ａ，ｂ，ｃ，ｄ”を求めると次のような式（２８）が得られる。
本実施形態では、共通鍵が８ビット（００１００１００）２（十進数３６）として半分に分割すると、（００１０）２と（０１００）２になり、十進数にすると２と４となる。この２と４は“１”に対して２％分と４％分を減算するといったルールとして当てることを考え“０．９８”と“０．９６”が算出され、４次の一変数多項式の解を“（０．９８，０，０．９６，０）”に変更して与える。これを図１３に示すガウスの消去法をコンピュータにプログラミング実装して、式（２１）においてＧ＝４としてｘを得た場合と同じ次の値
【数57】
【数58】
【0124】
式（２８）において、係数の桁は小数点以下６位まで示している。式（２８）のｘを０～１に振ってプロットしたものが図３１Ａのグラフである。グラフでは、
のとき ｆ（ｘ０）＝０．９８、
のとき ｆ（ｘ２）＝０．９６
となっている。
図３２は、式（２８）を用いて鍵を更新するフローチャートであり、図３３は、具体的な数値による本実施形態の動作を説明する図である。
この実施形態では、共通鍵ＣＫを入手し（Ｓ９１Ａ、Ｓ９１Ｂ）、共通鍵ＣＫから多項式を生成し（Ｓ９２Ａ、Ｓ９２Ｂ）、図３２のフローチャートによる処理部に、秘密鍵情報である数Ｓａを反復回数ｒに設定し、共通鍵ＣＫを初期値Ｘ０へ設定する（Ｓ９３Ａ、Ｓ９３Ｂ）。
次に、暗号生成装置１００Ｃでは、多項式一元写像をＳａ回反復して結果Ｘｓａを得て、これを復号装置２００Ｃへ送信する（Ｓ９４Ａ）。復号装置２００Ｃでは、多項式一元写像をＳｂ回反復して結果Ｘｓｂを得て、これを暗号生成装置１００Ｃへ送信する（Ｓ９４Ｂ）。
次に、暗号生成装置１００Ｃでは、結果Ｘｓｂを受信し（Ｓ９５Ａ）、復号装置２００Ｃでは、結果Ｘｓａを受信する（Ｓ９５Ｂ）。暗号生成装置１００Ｃでは、秘密鍵情報Ｓａを反復回数ｒに設定し、結果Ｘｓｂを初期値Ｘ０へ設定し（Ｓ９６Ａ）、復号装置２００Ｃでは、秘密鍵情報Ｓｂを反復回数ｒに設定し、結果Ｘｓａを初期値Ｘ０へ設定する（Ｓ９６Ｂ）。
次に、暗号生成装置１００Ｃでは、多項式一次元写像をＳａ回反復計算し、更新鍵Ｘｋを得る（Ｓ９７Ａ）。暗号生成装置１００Ｃでは、多項式一次元写像をＳｂ回反復計算し、更新鍵Ｘｋを得る（Ｓ９７Ｂ）。
【数59】
のとき ｆ（ｘ２）＝０．９６
となっている。
図３２は、式（２８）を用いて鍵を更新するフローチャートであり、図３３は、具体的な数値による本実施形態の動作を説明する図である。
この実施形態では、共通鍵ＣＫを入手し（Ｓ９１Ａ、Ｓ９１Ｂ）、共通鍵ＣＫから多項式を生成し（Ｓ９２Ａ、Ｓ９２Ｂ）、図３２のフローチャートによる処理部に、秘密鍵情報である数Ｓａを反復回数ｒに設定し、共通鍵ＣＫを初期値Ｘ０へ設定する（Ｓ９３Ａ、Ｓ９３Ｂ）。
次に、暗号生成装置１００Ｃでは、多項式一元写像をＳａ回反復して結果Ｘｓａを得て、これを復号装置２００Ｃへ送信する（Ｓ９４Ａ）。復号装置２００Ｃでは、多項式一元写像をＳｂ回反復して結果Ｘｓｂを得て、これを暗号生成装置１００Ｃへ送信する（Ｓ９４Ｂ）。
次に、暗号生成装置１００Ｃでは、結果Ｘｓｂを受信し（Ｓ９５Ａ）、復号装置２００Ｃでは、結果Ｘｓａを受信する（Ｓ９５Ｂ）。暗号生成装置１００Ｃでは、秘密鍵情報Ｓａを反復回数ｒに設定し、結果Ｘｓｂを初期値Ｘ０へ設定し（Ｓ９６Ａ）、復号装置２００Ｃでは、秘密鍵情報Ｓｂを反復回数ｒに設定し、結果Ｘｓａを初期値Ｘ０へ設定する（Ｓ９６Ｂ）。
次に、暗号生成装置１００Ｃでは、多項式一次元写像をＳａ回反復計算し、更新鍵Ｘｋを得る（Ｓ９７Ａ）。暗号生成装置１００Ｃでは、多項式一次元写像をＳｂ回反復計算し、更新鍵Ｘｋを得る（Ｓ９７Ｂ）。
【0125】
【0126】
図１４の“ｆ４（ｘ）”のグラフの横軸ｘと縦軸ｆ４（ｘ）の区間は１となっているが、これをＭ倍に拡大する場合は次のような式で表される。
上記の記号
は整数を扱い、値Ｎの小数点以下は切り捨てにするという意味である。
【数61】
上記の記号
【数62】
【0127】
【0128】
図３３は、図３２のフローチャートにより式（２９）にて鍵更新を行った計算の例を示す図である。
図３３では共通鍵の値３６より式（２９）を生成して、“初期値Ｘ０＝３６”と共通鍵の値を設定し、暗号生成装置１００Ｃは秘密情報として７を設定し式（２９）を７回反復して、“Ｘ７＝８０８６”を得て復号装置２００Ｃに送信する。一方、復号装置２００Ｃは秘密情報として１０を設定し、式（２９）を１０回反復して“Ｘ１０＝７２８４”を得て暗号生成装置１００Ｃに送信する。
図３３では共通鍵の値３６より式（２９）を生成して、“初期値Ｘ０＝３６”と共通鍵の値を設定し、暗号生成装置１００Ｃは秘密情報として７を設定し式（２９）を７回反復して、“Ｘ７＝８０８６”を得て復号装置２００Ｃに送信する。一方、復号装置２００Ｃは秘密情報として１０を設定し、式（２９）を１０回反復して“Ｘ１０＝７２８４”を得て暗号生成装置１００Ｃに送信する。
【0129】
復号装置２００Ｃから“７２８４”を受け取った暗号生成装置１００Ｃは、暗号生成装置１００Ｃのみが知る秘密情報７より初期値Ｘ０＝７２８４に設定して式（２９）を７回反復することで“Ｘ７＝４７２１”を更新鍵として得る。一方、暗号生成装置１００Ｃから“８０８６”を受け取った復号装置２００Ｃは式（２９）を復号装置２００Ｃのみが知る秘密情報１０より初期値Ｘ０＝８０８６に設定して式（２９）を１０回反復することで“Ｘ１０＝４７２１”を更新鍵として得ることで暗号生成装置１００Ｃと復号装置２００Ｃは共通鍵を更新する。
【0130】
図３４は、一変数多項式の生成について別の手法を示す図である。図３４では、３次の一変数多項式”ｆ（ｘ）”と、２次の一変数多項式“ｇ（ｘ）”２つを用意する。ここで式（２８）を生成したときのように、共通鍵からｆ（ｘ）に“０．９８”とｇ（ｘ）に“０．９６”を極大値に与えて、一変数多項式を生成する。この２つの関数を合成することで次の６次の一変数多項式数“ｈ（ｘ）”を生成する。
【数64】
【0131】
これらは係数を変更した一変数多項式を生成して係数を共通鍵として用いるが、注意点としては、係数の選択は写像の反復を繰り返すことで急激に周期帯に落ちない（収束しない）、また発散しないパラメータ帯である必要がある。
【0132】
本実施形態では、暗号生成装置１００Ｃと復号装置２００Ｃがお互い乱数を発生させ、そのステップ数の写像を行った結果の値を交換して共通鍵を更新する例として示した。これに対し、第３の実施形態で述べたように共通鍵（初期値）を公開する場合に安全性は低くなるが通信者間で各々が生成する写像の反復のステップ数を秘密情報として鍵共有を行うようにしても良い。
【0133】
なお、これまでの実施形態では、説明のため演算の桁を少なくとっていたが、Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方式では、現在２０４８ｂｉｔ以上の桁が推奨されているように演算の桁幅をより大きく取ることで安全性を確保するものとする。
【0134】
ロジスティック写像とテント写像が位相共役であることに着目すると、本発明の実施形態に示した２次以上の次数を持つ一変数多項式による一次元写像でもＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ型の鍵共有方式とできることが考えられ、ベルヌーイシフト写像ではメモリを確保し検索処理（ＩＦ分岐）を行っていたが、それが不要となり切れ目なく写像の反復が行えることが期待できる。また、公開鍵暗号方式において合同算術以外に一次元写像が有効であることを示すことができた。
Dｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方式は、各々の秘密情報をべき乗数としてお互い最終的なべき乗の回数が同じであればお互い共有する秘密情報を出力できることに着目すると、一次元写像で初期値を共通鍵とし秘密情報を写像の反復回数とする共通鍵を更新する装置やシステムが考えられる。この構成にて初期値を公開値にした場合に安全性は低くなるが、通信者各々の写像の反復回数を秘密情報として送信データをマスキングすることで第三者に情報漏洩の防止が可能となり鍵管理が不要になる暗号システムが提供できる。
更に、暗号生成側と復号側がお互い共有する共通鍵を写像の反復回数とする暗号化と復号を行う暗号方法によれば、離散対数問題を安全性根拠とした一次元写像による共通鍵暗号方法と、鍵共有とセッション鍵生成を含めた「制御パラメータ」と「写像の反復回数」を二重の鍵とする堅牢な共通鍵暗号複号システムを提供できる。
本発明に係る複数の実施形態を説明したが、これらの実施形態は例として提示するものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
Dｉｆｆｉｅ－Ｈｅｌｌｍａｎ鍵共有方式は、各々の秘密情報をべき乗数としてお互い最終的なべき乗の回数が同じであればお互い共有する秘密情報を出力できることに着目すると、一次元写像で初期値を共通鍵とし秘密情報を写像の反復回数とする共通鍵を更新する装置やシステムが考えられる。この構成にて初期値を公開値にした場合に安全性は低くなるが、通信者各々の写像の反復回数を秘密情報として送信データをマスキングすることで第三者に情報漏洩の防止が可能となり鍵管理が不要になる暗号システムが提供できる。
更に、暗号生成側と復号側がお互い共有する共通鍵を写像の反復回数とする暗号化と復号を行う暗号方法によれば、離散対数問題を安全性根拠とした一次元写像による共通鍵暗号方法と、鍵共有とセッション鍵生成を含めた「制御パラメータ」と「写像の反復回数」を二重の鍵とする堅牢な共通鍵暗号複号システムを提供できる。
本発明に係る複数の実施形態を説明したが、これらの実施形態は例として提示するものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0135】
１０・・・ＣＰＵ、１１・・・主メモリ、１２・・・バス、１３・・・外部記憶インタフェース、１４・・・入力インタフェース、１５・・・表示インタフェース、１６・・・通信インタフェース、２３・・・外部記憶装置、２４・・・入力装置、２５・・・表示装置、２６－１～２６－ｎ・・・ポート、１００、１００Ａ、１００Ｂ、１００Ｃ・・・暗号生成装置、１０１・・・暗号生成部、１０２・・・暗号側共通鍵生成部、１０３・・・暗号側セッション鍵生成部、１０４・・・乱数生成部、１０５・・・第１の暗号側更新鍵生成部、１０６・・・第２の暗号側更新鍵生成部、２００、２００Ａ、２００Ｂ、２００Ｃ・・・復号装置、２０１・・・復号部、２０２・・・復号側共通鍵生成部、２０３・・・復号側セッション鍵生成部、２０５・・・第１の復号側更新鍵生成部、２０６・・・第２の復号側更新鍵生成部
【図1】
【図2】
【図2A】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図10A】
【図11】
【図12】
【図13A】
【図13B】
【図14】
【図15】
【図16】
【図17】
【図18】
【図18A】
【図19】
【図20】
【図21】
【図21A】
【図22】
【図22A】
【図23】
【図24】
【図25A】
【図25B】
【図26】
【図27】
【図28】
【図29】
【図30】
【図31】
【図31A】
【図32】
【図33】
【図34】
