特許 7444378 鍵交換システム、通信端末、情報処理装置、鍵交換方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-27

(45)【発行日】2024-03-06

(54)【発明の名称】鍵交換システム、通信端末、情報処理装置、鍵交換方法、及びプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20240228BHJP

   H04L 9/32 20060101ALI20240228BHJP

【ＦＩ】

H04L9/08 D

H04L9/32 200B

H04L9/08 E

【請求項の数】 10

(21)【出願番号】P 2021002424

(22)【出願日】2021-01-08

(65)【公開番号】P2022107460

(43)【公開日】2022-07-21

【審査請求日】2023-02-08

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(73)【特許権者】

【識別番号】504203572

【氏名又は名称】国立大学法人茨城大学

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100124844

【弁理士】

【氏名又は名称】石原 隆治

(72)【発明者】

【氏名】岡野 裕樹

(72)【発明者】

【氏名】永井 彰

(72)【発明者】

【氏名】米山 一樹

【審査官】行田 悦資

(56)【参考文献】

【文献】特開２０１４－２２０６６９（ＪＰ，Ａ）

【文献】米国特許出願公開第２００７／００５０６２９（ＵＳ，Ａ１）

【文献】江村 恵太，鍵失効機能付きIDベース暗号，情報通信研究機構研究報告 第６２巻 第２号 ，日本，国立研究開発法人情報通信研究機構 ，2016年12月，第62巻, 第2号，pp.149-151

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／０８

Ｈ０４Ｌ ９／３２

(57)【特許請求の範囲】

【請求項1】

階層構造をそれぞれ形成する第１の鍵生成センタ群及び第２の鍵生成センタ群と、前記第１の鍵生成センタ群の配下にある第１の通信端末と、前記第２の鍵生成センタ群の配下にある第２の通信端末と、時刻情報を配信する時刻サーバとが少なくとも含まれる鍵交換システムであって、
前記第１の通信端末は、
前記時刻サーバから取得した時刻情報と、前記第２の通信端末の識別子と、前記第２の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、失効可能階層型ＩＤベース暗号により第１の暗号文を生成する第１の暗号化部と、
鍵カプセル化メカニズムにより公開鍵と秘密鍵の鍵ペアを生成する第１の鍵生成部と、
少なくとも前記第１の暗号文と前記公開鍵とを前記第２の通信端末に送信する第１の送信部と、
前記第２の通信端末から第２の暗号文と第３の暗号文とを少なくとも受信すると、自身の中期秘密鍵を用いて前記第２の暗号文を前記失効可能階層型ＩＤベース暗号により復号すると共に、前記第３の暗号文を前記鍵カプセル化メカニズムにより復号する第１の復号部と、
前記第１の復号部による復号結果を用いて、セッション鍵を生成する第１のセッション鍵生成部と、を有し、
前記第２の通信端末は、
前記第１の通信端末から前記第１の暗号文と前記公開鍵とを少なくとも受信すると、前記時刻サーバから取得した時刻情報と、前記第１の通信端末の識別子と、前記第１の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、前記失効可能階層型ＩＤベース暗号により前記第２の暗号文を生成する第２の暗号化部と、
前記鍵カプセル化メカニズムにより前記公開鍵から前記第３の暗号文を生成する第３の暗号化部と、
少なくとも前記第２の暗号文と前記第３の暗号文とを前記第１の通信端末に送信する第２の送信部と、
自身の中期秘密鍵を用いて前記第１の暗号文を前記失効可能階層型ＩＤベース暗号により復号する第２の復号部と、
前記第２の復号部による復号結果を用いて、前記セッション鍵を生成する第２のセッション鍵生成部と、を有する鍵交換システム。

【請求項2】

前記第１の鍵生成センタ群及び前記第２の鍵生成センタ群に含まれる各鍵生成センタは、
前記時刻サーバから取得した時刻情報と、自身よりも１つ下の階層に存在する他の鍵生成センタ又は通信端末の識別子とを用いて、前記他の鍵生成センタ又は通信端末が自身の中期秘密鍵を更新するための更新鍵を生成する更新鍵生成部と、
自身よりも１つ下の階層に存在する他の鍵生成センタ又は通信端末の識別子を失効させる失効部と、を有し、
前記更新鍵生成部は、
前記失効部によって失効された識別子を用いた場合、前記識別子を持つ他の鍵生成センタ又は通信端末が中期秘密鍵を更新できない更新鍵を生成する、請求項１に記載の鍵交換システム。

【請求項3】

前記第１の通信端末及び前記第２の通信端末は、
自身よりも１つ上の階層に存在する鍵生成センタから更新鍵を受信した場合、前記更新鍵と、自身の長期秘密鍵とを用いて、自身の最新の中期秘密鍵を更新する鍵更新部を有する、請求項２に記載の鍵交換システム。

【請求項4】

階層構造を形成する形成する第１の鍵生成センタ群の配下にある通信端末であって、
時刻サーバから取得した時刻情報と、階層構造を形成する第２の鍵生成センタ群の配下にある他の通信端末の識別子と、前記第２の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、失効可能階層型ＩＤベース暗号により第１の暗号文を生成する暗号化部と、
鍵カプセル化メカニズムにより公開鍵と秘密鍵の鍵ペアを生成する鍵生成部と、
少なくとも前記第１の暗号文と前記公開鍵とを前記他の通信端末に送信する送信部と、
前記他の通信端末から第２の暗号文と第３の暗号文とを少なくとも受信すると、自身の中期秘密鍵を用いて前記第２の暗号文を前記失効可能階層型ＩＤベース暗号により復号すると共に、前記第３の暗号文を前記鍵カプセル化メカニズムにより復号する復号部と、
前記復号部による復号結果を用いて、前記他の通信端末との間で共有されるセッション鍵を生成するセッション鍵生成部と、
を有する通信端末。

【請求項5】

階層構造を形成する第２の鍵生成センタ群の配下にある通信端末であって、
階層構造を形成する第１の鍵生成センタ群の配下にある他の通信端末から第１の暗号文と公開鍵とを少なくとも受信すると、時刻サーバから取得した時刻情報と、前記他の通信端末の識別子と、前記第１の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、失効可能階層型ＩＤベース暗号により第２の暗号文を生成する第１の暗号化部と、
鍵カプセル化メカニズムにより前記公開鍵から第３の暗号文を生成する第２の暗号化部と、
少なくとも前記第２の暗号文と前記第３の暗号文とを前記他の通信端末に送信する送信部と、
自身の中期秘密鍵を用いて前記第１の暗号文を前記失効可能階層型ＩＤベース暗号により復号する復号部と、
前記復号部による復号結果を用いて、前記他の通信端末との間で共有されるセッション鍵を生成するセッション鍵生成部と、
を有する通信端末。

【請求項6】

他の情報処理装置と階層構造を形成する情報処理装置であって、
前記階層構造において子となる他の情報処理装置の識別子と、自身の長期秘密鍵とを用いて、前記子となる他の情報処理装置の長期秘密鍵を生成する長期秘密鍵生成部と、
時刻サーバから取得した時刻情報と、自身の長期秘密鍵と、失効された識別子が含まれる失効リストとを用いて、前記子となる他の情報処理装置が中期秘密鍵を更新する際に使用する更新鍵を生成する更新鍵生成部と、
前記時刻サーバから取得した時刻情報と、前記子となる他の情報処理装置の識別子とを用いて、前記失効リストに対して、前記子となる他の情報処理装置の識別子を追加する失効部と、
を有し、
前記更新鍵生成部は、
前記失効リストに含まれる識別子を持つ他の情報処理装置が中期秘密鍵を更新できない更新鍵を生成する、情報処理装置。

【請求項7】

階層構造をそれぞれ形成する第１の鍵生成センタ群及び第２の鍵生成センタ群と、前記第１の鍵生成センタ群の配下にある第１の通信端末と、前記第２の鍵生成センタ群の配下にある第２の通信端末と、時刻情報を配信する時刻サーバとが少なくとも含まれる鍵交換システムに用いられる鍵交換方法であって、
前記第１の通信端末が、
前記時刻サーバから取得した時刻情報と、前記第２の通信端末の識別子と、前記第２の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、失効可能階層型ＩＤベース暗号により第１の暗号文を生成する第１の暗号化手順と、
鍵カプセル化メカニズムにより公開鍵と秘密鍵の鍵ペアを生成する第１の鍵生成手順と、
少なくとも前記第１の暗号文と前記公開鍵とを前記第２の通信端末に送信する第１の送信手順と、
前記第２の通信端末から第２の暗号文と第３の暗号文とを少なくとも受信すると、自身の中期秘密鍵を用いて前記第２の暗号文を前記失効可能階層型ＩＤベース暗号により復号すると共に、前記第３の暗号文を前記鍵カプセル化メカニズムにより復号する第１の復号手順と、
前記第１の復号手順による復号結果を用いて、セッション鍵を生成する第１のセッション鍵生成手順と、を実行し、
前記第２の通信端末が、
前記第１の通信端末から前記第１の暗号文と前記公開鍵とを少なくとも受信すると、前記時刻サーバから取得した時刻情報と、前記第１の通信端末の識別子と、前記第１の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、前記失効可能階層型ＩＤベース暗号により前記第２の暗号文を生成する第２の暗号化手順と、
前記鍵カプセル化メカニズムにより前記公開鍵から前記第３の暗号文を生成する第３の暗号化手順と、
少なくとも前記第２の暗号文と前記第３の暗号文とを前記第１の通信端末に送信する第２の送信手順と、
自身の中期秘密鍵を用いて前記第１の暗号文を前記失効可能階層型ＩＤベース暗号により復号する第２の復号手順と、
前記第２の復号手順による復号結果を用いて、前記セッション鍵を生成する第２のセッション鍵生成手順と、を実行する鍵交換方法。

【請求項8】

コンピュータを、請求項４に記載の通信端末として機能させるプログラム。

【請求項9】

コンピュータを、請求項５に記載の通信端末として機能させるプログラム。

【請求項10】

コンピュータを、請求項６に記載の情報処理装置として機能させるプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、鍵交換システム、通信端末、情報処理装置、鍵交換方法、及びプログラムに関する。

【背景技術】

【0002】

認証付鍵交換プロトコルは、各ユーザが自身の秘密鍵に基づいて、２者間で秘密に共通のセッション鍵を確立できるようにするプロトコルである。ＴＬＳ（Transport Layer Security）ハンドシェイクを始めとする証明書による認証付鍵交換プロトコルが存在する。

【0003】

一方で、証明書を必要としないＩＤベースの認証付鍵交換プロトコルも存在する。これは、鍵生成センタ（ＫＧＣ：Key. Generation Center）が各ユーザのＩＤから秘密鍵を生成し、各ユーザは互いのＩＤさえ知っていれば証明書検証をすることなく認証付鍵交換を実行することができるものである。

【0004】

一般に、ＩＤベースの認証付鍵交換プロトコルは単一のＫＧＣを前提としているため、ＰＫＩ（Public Key Infrastructure）のようなスケーラビリティをもたない。このため、ユーザ数が増加するとＩＤの検証や秘密鍵の生成・配送に膨大なコンピューティングリソースが必要となる。これに対して、階層型ＩＤベース認証付鍵交換と呼ばれる方式が知られている（非特許文献１及び２）。この方式では、複数のＫＧＣで構成される階層構造とその構造に基づく鍵生成委譲により、各ＫＧＣでの鍵生成負担を減らすことを可能にしている。

【先行技術文献】

【非特許文献】

【0005】

【文献】Fujioka, Atsushi, Koutarou Suzuki, and Kazuki Yoneyama. "Hierarchical ID-based authenticated key exchange resilient to ephemeral key leakage." International Workshop on Security. Springer, Berlin, Heidelberg, 2010.

【文献】Yoneyama, Kazuki. "Practical and exposure-resilient hierarchical ID-based authenticated key exchange without random oracles." IEICE Transactions on Fundamentals of Electronics, Communications and Computer Sciences 97.6 (2014): 1335-1344.

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、従来の階層型ＩＤベース認証付鍵交換には２つの問題点が存在する。

【0007】

１つ目は、従来の階層型ＩＤベース認証付鍵交換は単一の階層構造を前提としていることである。ＰＫＩでは複数のルートＣＡ（Certificate Authority）が存在し、通信しようとする２者の信頼の起点が異なるＣＡであっても互いのＣＡが相互認証証明書で信頼関係が確立されていれば鍵交換を行うことが可能である。一方で、従来の階層型ＩＤベース認証付鍵交換は単一の階層構造の配下のユーザ同士でのみ鍵交換が可能であるため、異なるルートＫＧＣをもつユーザ同士で鍵交換を行うことができない。

【0008】

２つ目は、ＩＤ失効の仕組みが組み込まれていないことである。このため、従来の階層型ＩＤベース認証付鍵交換は、実際のシステム運用時の秘密鍵漏洩対策として、すべてのエンティティ（ＫＧＣや各ユーザ等）の秘密鍵を定期的に再生成する必要がある。

【0009】

本発明の一実施形態は、上記の点に鑑みてなされたもので、階層型ＩＤベース認証付鍵交換により鍵交換を行う際に異なる階層構造配下のユーザ同士の鍵交換を実現すると共に、ＩＤ失効を実現することを目的とする。

【課題を解決するための手段】

【0010】

上記目的を達成するため、一実施形態に係る鍵交換システムは、階層構造をそれぞれ形成する第１の鍵生成センタ群及び第２の鍵生成センタ群と、前記第１の鍵生成センタ群の配下にある第１の通信端末と、前記第２の鍵生成センタ群の配下にある第２の通信端末と、時刻情報を配信する時刻サーバとが少なくとも含まれる鍵交換システムであって、前記第１の通信端末は、前記時刻サーバから取得した時刻情報と、前記第２の通信端末の識別子と、前記第２の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、失効可能階層型ＩＤベース暗号により第１の暗号文を生成する第１の暗号化部と、鍵カプセル化メカニズムにより公開鍵と秘密鍵の鍵ペアを生成する第１の鍵生成部と、少なくとも前記第１の暗号文と前記公開鍵とを前記第２の通信端末に送信する第１の送信部と、前記第２の通信端末から第２の暗号文と第３の暗号文とを少なくとも受信すると、自身の中期秘密鍵を用いて前記第２の暗号文を前記失効可能階層型ＩＤベース暗号により復号すると共に、前記第３の暗号文を前記鍵カプセル化メカニズムにより復号する第１の復号部と、前記第１の復号部による復号結果を用いて、セッション鍵を生成する第１のセッション鍵生成部と、を有し、前記第２の通信端末は、前記第１の通信端末から前記第１の暗号文と前記公開鍵とを少なくとも受信すると、前記時刻サーバから取得した時刻情報と、前記第１の通信端末の識別子と、前記第１の鍵生成センタ群のルート鍵生成センタによって生成された公開パラメータとを用いて、前記失効可能階層型ＩＤベース暗号により前記第２の暗号文を生成する第２の暗号化部と、前記鍵カプセル化メカニズムにより前記公開鍵から前記第３の暗号文を生成する第３の暗号化部と、少なくとも前記第２の暗号文と前記第３の暗号文とを前記第１の通信端末に送信する第２の送信部と、自身の中期秘密鍵を用いて前記第１の暗号文を前記失効可能階層型ＩＤベース暗号により復号する第２の復号部と、前記第２の復号部による復号結果を用いて、前記セッション鍵を生成する第２のセッション鍵生成部と、を有する。

【発明の効果】

【0011】

階層型ＩＤベース認証付鍵交換により鍵交換を行う際に異なる階層構造配下のユーザ同士の鍵交換を実現すると共に、ＩＤ失効を実現することができる。

【図面の簡単な説明】

【0012】

【図1】本実施形態に係る鍵交換システムの全体構成の一例を示す図である。

【図2】コンピュータのハードウェア構成の一例を示す図である。

【図3】本実施形態に係るルートＫＧＣの機能構成の一例を示す図である。

【図4】本実施形態に係る中間ＫＧＣの機能構成の一例を示す図である。

【図5】本実施形態に係る子ＫＧＣの機能構成の一例を示す図である。

【図6】本実施形態に係る通信端末の機能構成の一例を示す図である。

【図7】本実施形態に係る鍵交換処理の流れの一例を示すシーケンス図である。

【発明を実施するための形態】

【0013】

以下、本発明の一実施形態について説明する。本実施形態では、階層型ＩＤベース認証付鍵交換により鍵交換を行う際に異なる階層構造配下のユーザ同士の鍵交換を実現すると共に、ＩＤ失効を実現することができる鍵交換システムについて説明する。

【0014】

＜準備＞
まず、本実施形態で用いる各種アルゴリズム等を準備する。

【0015】

≪鍵カプセル化メカニズム≫
鍵カプセル化メカニズム（ＫＥＭ：Key Encapsulation Mechanism）は以下の３つのアルゴリズム（ＫｅｙＧｅｎ，ＥｎＣａｐ，ＤｅＣａｐ）で構成される。

【0016】

（ｅｋ，ｄｋ）←ＫｅｙＧｅｎ（１^κ）：セキュリティパラメータ１^κを入力とし、公開鍵と秘密鍵のペア（ｅｋ，ｄｋ）を生成する。

【0017】

（Ｋ，Ｃ）←ＥｎＣａｐ（ｅｋ）：公開鍵ｅｋを入力とし、鍵と暗号文のペア（Ｋ，Ｃ）を生成する。

【0018】

Ｋ'←ＤｅＣａｐ（ｄｋ，Ｃ）：秘密鍵ｄｋと暗号文Ｃを入力とし、鍵Ｋ'を出力する。

【0019】

更に、任意の（ｅｋ，ｄｋ）←ＫｅｙＧｅｎ（１^κ），（Ｋ，Ｃ）←ＥｎＣａｐ（ｅｋ）に対して、Ｋ＝ＤｅＣａｐ（ｄｋ，Ｃ）を満たすものとする。

【0020】

上記のＫＥＭの例としては、ＲＳＡ－ＯＡＥＰやＥｌＧａｍａｌ暗号等が挙げられる。

【0021】

≪失効可能階層型ＩＤベース暗号≫
失効可能階層型ＩＤベース暗号（ＲＨＩＢＥ：revocable hierarchical identity-based encryption）は以下の７つのアルゴリズム（Ｓｅｔｕｐ，ＳＫＧｅｎ，ＫｅｙＵＰ，ＤＫＧｅｎ，Ｅｎｃ，Ｄｅｃ，Ｒｅｖｏｋｅ）で構成される。

【0022】

（ｍｐｋ，ｍｓｋ，ＲＬ）←Ｓｅｔｕｐ（１^κ，Ｎ，ｌ）：セキュリティパラメータ１^κと各レベルにおける最大ＩＤ数Ｎと最大の階層の深さｌ（ｌは小文字のＬ）とを入力とし、公開パラメータｍｐｋとマスター秘密鍵ｍｓｋと失効リストＲＬとを生成する。ここで、レベルとは階層構造における各階層を表すインデックスのことであり、０以上ｌ（ｌは小文字のＬ）以下の整数である。例えば、各階層のレベルは、ルートＫＧＣが存在する階層をレベル０として深くなる順に１，・・・，ｌとなる。なお、１以上ｌ－１（ｌは小文字のＬ）未満のレベルの階層には中間ＫＧＣが存在し、レベルｌ－１（ｌは小文字のＬ）の階層には子ＫＧＣが存在する。また、レベルｌ（ｌは小文字のＬ）の階層には、子ＫＧＣから鍵発行を受けるユーザ（の通信端末）が存在する。そして、ルートＫＧＣ及び中間ＫＧＣは１つ大きいレベルの階層にある１以上のＫＧＣを子として持ち、また子ＫＧＣは１以上のユーザを子として持ち、グラフ構造における親子関係を形成している。

【0023】

なお、公開パラメータｍｐｋはＳＫＧｅｎ，ＫｅｙＵＰ，ＤＫＧｅｎ，Ｅｎｃ，Ｄｅｃ及びＲｅｖｏｋｅの入力になるが、自明であるため記載を省略することがある。

【0024】

【数1】

：公開パラメータｍｐｋと秘密鍵

【0025】

【数2】

とレベルｋの識別子ＩＤ_ｋとを入力とし、ＩＤ_ｋの秘密鍵

【0026】

【数3】

と更新された秘密鍵

【0027】

【数4】

とを生成する。

【0028】

なお、以降では、上記の数２～数４のように或る文字の添え字に更に添え字が付与されている場合、明細書のテキスト中では、２番目の添え字は下付きにせずに、その前に下線記号「_」を付与して表現するものとする。例えば、上記の数２に示す秘密鍵はｓｋ_{ＩＤ_ｋ－１}と表し、上記の数３に示す秘密鍵はｓｋ_{ＩＤ_ｋ}と表すものとする。

【0029】

（ｋｕ_{ＩＤ_ｋ，Ｔ}，ｓｋ'_{ＩＤ_ｋ}）←ＫｅｙＵＰ（ｍｐｋ，ｓｋ_{ＩＤ_ｋ}，ｋｕ_{ＩＤ_ｋ－１}，ＲＬ_{ＩＤ_ｋ}，Ｔ）：公開パラメータｍｐｋと秘密鍵ｓｋ_{ＩＤ_ｋ}（ただし、ｋ＝０のときはマスター秘密鍵ｍｓｋ）と更新鍵ｋｕ_{ＩＤ_ｋ－１}（ただし、ｋ＝０のときは何も入力しない）と失効リストＲＬ_{ＩＤ_ｋ}と更新期間Ｔとを入力とし、更新鍵ｋｕ_{ＩＤ_ｋ，Ｔ}と更新された秘密鍵ｓｋ'_{ＩＤ_ｋ}とを生成する。

【0030】

ｄｋ_{ＩＤ_ｋ，Ｔ}←ＤＫＧｅｎ（ｍｐｋ，ｓｋ_{ＩＤ_ｋ}，ｋｕ_{ＩＤ_ｋ－１，Ｔ}）：公開パラメータｍｐｋと秘密鍵ｓｋ_{ＩＤ_ｋ}と親が生成した更新鍵ｋｕ_{ＩＤ_ｋ－１，Ｔ}とを入力とし、復号鍵ｄｋ_{ＩＤ_ｋ，Ｔ}を生成する。

【0031】

Ｃ←Ｅｎｃ（ｍｐｋ，ＩＤ，ｍ，Ｔ）：公開パラメータｍｐｋと識別子ＩＤと平文ｍと更新期間Ｔとを入力とし、暗号文Ｃを生成する。

【0032】

ｍ'←Ｄｅｃ（ｍｐｋ，ｄｋ_{ＩＤ_ｋ，Ｔ}，Ｃ）：公開パラメータｍｐｋと復号鍵ｄｋ_{ＩＤ_ｋ，Ｔ}と暗号文Ｃとを入力とし、平文ｍ'を生成する。

【0033】

ＲＬ'_{ＩＤ_ｋ－１}←Ｒｅｖｏｋｅ（ＩＤ_ｋ，Ｔ，ＲＬ_{ＩＤ_ｋ－１}）：識別子ＩＤ_ｋと更新期間Ｔと失効リストＲＬ_{ＩＤ_ｋ－１}とを入力とし、失効リストＲＬ_{ＩＤ_ｋ－１}に（ＩＤ_ｋ，Ｔ）を追加した失効リストＲＬ'_{ＩＤ_ｋ－１}を生成する。なお、これは、親が子のＩＤを失効できることを意味する。

【0034】

更に、任意の（ｍｐｋ，ｍｓｋ，ＲＬ）←Ｓｅｔｕｐ（１^κ，Ｎ，ｌ）と、任意の平文ｍと、任意の識別子ＩＤ_ｋと、任意の更新期間Ｔとに対して、ＩＤ_ｋがＴで失効していなければｍ＝Ｄｅｃ（ｄｋ_{ＩＤ_ｋ，Ｔ}，Ｅｎｃ（ＩＤ_ｋ，ｍ，Ｔ））を満たすものとする。

【0035】

上記のＲＨＩＢＥの例としては、以下の参考文献１や２で提案されている方式等が挙げられる。

【0036】

参考文献１：Seo, Jae Hong, and Keita Emura. "Revocable hierarchical identity-based encryption: history-free update, security against insiders, and short ciphertexts." Cryptographers Track at the RSA Conference. Springer, Cham, 2015.
参考文献２：Lee, Kwangsu, and Seunghwan Park. "Revocable hierarchical identity-based
encryption with shorter private keys and update keys." Designs, Codes and Cryptography 86.10 (2018): 2407-2440.
ここで、本実施形態では、失効可能階層型ＩＤベース暗号の平文空間と鍵カプセル化メカニズムのＥｎＣａｐで生成される鍵の空間は同じものであるとする。以降では、この空間をＫＳ_１と表記する。

【0037】

＜全体構成＞
次に、本実施形態に係る鍵交換システムについて説明する。本実施形態に係る鍵交換システムは、インターネット等の通信ネットワークを介して相互に接続されるエンティティで構成される。エンティティには、ＫＧＣ（ルートＫＧＣ、中間ＫＧＣ、子ＫＧＣ）と、通信端末と、タイムサーバとが存在する。ここで、タイムサーバとは、各ＫＧＣ及び各通信端末に対して更新期間Ｔを配信するサーバである。

【0038】

本実施形態では、一例として、図１に示す鍵交換システム１０を想定する。図１に示す鍵交換システム１０には階層構造１と階層構造２とが存在し、階層構造１はルートＫＧＣ１０００、中間ＫＧＣ２０００～２００１等、子ＫＧＣ３０００～３００１等、通信端末４０００等で構成されており、階層構造２はルートＫＧＣ１１００、中間ＫＧＣ２１００～２１０１等、子ＫＧＣ３１００～３１０１等、通信端末４１００等で構成されている。

【0039】

図１に示すように、ルートＫＧＣ１０００の子が中間ＫＧＣ２０００～２００１等であり、中間ＫＧＣ２０００の子が子ＫＧＣ３０００～３００１等である。また、子ＫＧＣ３０００の子が通信端末４０００である。同様に、ルートＫＧＣ１１００の子が中間ＫＧＣ２１００～２１０１等であり、中間ＫＧＣ２１００の子が子ＫＧＣ３１００～３１０１等である。また、子ＫＧＣ３１００の子が通信端末４１００である。

【0040】

なお、図１に示す例では、階層構造１及び２はいずれも４階層（つまり、ｌ＝４）であるが、これは一例であって、任意の階層数であってもよい。また、図１に示す例では、階層構造が２つであるが、任意の個数の階層構造が存在してもよい。

【0041】

タイムサーバ５０００は自身以外の他のすべてのエンティティ（各ＫＧＣ及び各通信端末）と通信可能に接続され、これら他のすべてのエンティティに対して更新期間Ｔを定期的に配信する。言い換えれば、タイムサーバ５０００以外の各エンティティは、定期的にタイムサーバ５０００から配信される更新期間Ｔを受信する。この更新期間Ｔは、失効可能階層型ＩＤベース暗号の鍵交換や暗号化に使用される情報である。

【0042】

なお、図１に示す例では、タイムサーバ５０００は１つとしているが、これは一例であって、互いに時刻同期されていれば複数のタイムサーバ５０００が存在してもよい。

【0043】

ここで、中間ＫＧＣや子ＫＧＣ、その配下の通信端末には階層に応じた識別子ＩＤが割り振られているものとする。なお、上記の準備ではレベルｋの階層に存在するエンティティの識別子ＩＤ_ｋとしたが、以下では、レベルｋの階層に存在するエンティティの符号を用いて、符号ｋＸＸＸのエンティティの識別子をＩＤ_ｋＸＸＸと表すものとする。

【0044】

具体的には、例えば、中間ＫＧＣ２０００にはＩＤ_２０００＝ＩＤ_{１，２０００}が割り振られており、子ＫＧＣ３０００にはＩＤ_３０００＝（ＩＤ_{１，２０００}，ＩＤ_{１，３０００}）が割り振られており、通信端末４０００にはＩＤ_４０００＝（ＩＤ_{１，２０００}，ＩＤ_{１，３０００}，ＩＤ_{１，４０００}）が割り振られているものとする。同様に、例えば、中間ＫＧＣ２００１にはＩＤ_２００１＝ＩＤ_{１，２００１}が割り振られている。また、同様に、例えば、中間ＫＧＣ２１００にはＩＤ_２１００＝ＩＤ_{２，２１００}が割り振られており、子ＫＧＣ３１００にはＩＤ_３１００＝（ＩＤ_{２，２１００}，ＩＤ_{２，３１００}）が割り振られており、通信端末４１００にはＩＤ_４１００＝（ＩＤ_{２，２１００}，ＩＤ_{２，３１００}，ＩＤ_{２，４１００}）が割り振られているものとする。

【0045】

また、以下の関数・値はシステム共通のパラメータとして、各エンティティが保持しているものとする。

【0046】

・疑似ランダム関数Ｆ：ＫＳ_２×｛０，１｝^＊→｛０，１｝^κ
・鍵導出関数ＫＤＦ：Ｓａｌｔ×ＫＳ_１→ＫＳ_２
・鍵導出関数のソルトｓ∈Ｓａｌｔ
ここで、ＫＳ_２は疑似ランダム関数の鍵空間である。疑似ランダム関数の例としては、ＨＭＡＣ等が挙げられる。また、鍵導出関数の例としては、ＨＫＤＦ等が挙げられる。なお、セキュリティパラメータκは安全性強度を表すものであり、例えば、κ＝１２８やκ＝２５６等とすることが考えられる。

【0047】

＜ハードウェア構成＞
次に、各エンティティのハードウェア構成について説明する。各エンティティは、例えば、図２に示すコンピュータ９００は、入力装置９０１と、表示装置９０２と、外部Ｉ／Ｆ９０３と、通信Ｉ／Ｆ９０４と、プロセッサ９０５と、メモリ装置９０６とを有する。これら各ハードウェアは、それぞれがバス９０７を介して通信可能に接続される。

【0048】

入力装置９０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置９０２は、例えば、ディスプレイ等である。なお、コンピュータ９００は、入力装置９０１及び表示装置９０２のうちの少なくても一方を有していなくてもよい。

【0049】

外部Ｉ／Ｆ９０３は、記録媒体９０３ａ等の外部装置とのインタフェースである。なお、記録媒体９０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

【0050】

通信Ｉ／Ｆ９０４は、インターネット等の通信ネットワークに接続するためのインタフェースである。プロセッサ９０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。メモリ装置９０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

【0051】

本実施形態に係る鍵交換システム１０に含まれる各エンティティは、図２に示すハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２に示すハードウェア構成は一例であって、各エンティティのハードウェア構成は、これに限定されるものではない。

【0052】

＜機能構成＞
次に、本実施形態に係る鍵交換システム１０に含まれる各エンティティの機能構成について説明する。

【0053】

≪ルートＫＧＣ≫
図３に示すように、ルートＫＧＣ１０００及び１１００は、セットアップ処理部１０１と、長期秘密鍵生成部１０２と、更新鍵生成部１０３と、失効リスト更新部１０４とを有する。これら各部は、例えば、ルートＫＧＣにインストールされたプログラムがプロセッサに実行させる処理により実現される。

【0054】

また、ルートＫＧＣ１０００及び１１００は、記憶部１０５を有する。記憶部１０５は、例えば、メモリ装置等により実現される。

【0055】

セットアップ処理部１０１は、Ｓｅｔｕｐアルゴリズムを実行して公開パラメータとマスター秘密鍵と失効リストとを生成する。これらの公開パラメータ、マスター秘密鍵及び失効リストは記憶部１０５に保存される。また、公開パラメータは、配下の中間ＫＧＣや子ＫＧＣ、通信端末に配布される。

【0056】

長期秘密鍵生成部１０２は、ＳＫＧｅｎアルゴリズムを実行して、子の秘密鍵と更新されたマスター秘密鍵とを生成する。子の秘密鍵は、該当の子に対して送信される。なお、この秘密鍵は長期秘密鍵とも呼ばれる。

【0057】

更新鍵生成部１０３は、ＫｅｙＵＰアルゴリズムを実行して、更新鍵と更新されたマスター秘密鍵とを生成する。この更新鍵は子のＫＧＣに配信される。

【0058】

失効リスト更新部１０４は、Ｒｅｖｏｋｅアルゴリズムを実行して失効リストを更新する。

【0059】

記憶部１０５は、各種情報（例えば、公開パラメータ、マスター秘密鍵、失効リスト等）を記憶する。

【0060】

≪中間ＫＧＣ≫
図４に示すように、中間ＫＧＣ２０００～２００１及び２１００～２１０１は、最新秘密鍵生成部２０１と、長期秘密鍵生成部２０２と、更新鍵生成部２０３と、失効リスト更新部２０４とを有する。これら各部は、例えば、中間ＫＧＣにインストールされたプログラムがプロセッサに実行させる処理により実現される。

【0061】

また、中間ＫＧＣ２０００～２００１及び２１００～２１０１は、記憶部２０５を有する。記憶部２０５は、例えば、メモリ装置等により実現される。

【0062】

最新秘密鍵生成部２０１は、親のＫＧＣから更新鍵が配信された場合、ＤＫＧｅｎアルゴリズムを実行して自身の復号鍵を更新する。なお、復号鍵は秘密鍵の一種であり、更新期間Ｔの配信に応じて定期的に更新されるため、最新秘密鍵や中期秘密鍵等とも呼ばれるが、以下では、最新秘密鍵という。

【0063】

長期秘密鍵生成部２０２は、ＳＫＧｅｎアルゴリズムを実行して、子の長期秘密鍵と更新された自身の長期秘密鍵とを生成する。

【0064】

更新鍵生成部２０３は、ＫｅｙＵＰアルゴリズムを実行して、更新鍵と更新された自身の長期秘密鍵とを生成する。この更新鍵は子のＫＧＣに配信される。

【0065】

失効リスト更新部２０４は、Ｒｅｖｏｋｅアルゴリズムを実行して失効リストを更新する。

【0066】

記憶部２０５は、各種情報（例えば、長期秘密鍵や最新秘密鍵（復号鍵）、失効リスト等）を記憶する。

【0067】

≪子ＫＧＣ≫
図５に示すように、子ＫＧＣ３０００～３００１及び３１００～３１０１は、最新秘密鍵生成部３０１と、長期秘密鍵生成部３０２と、更新鍵生成部３０３と、失効リスト更新部３０４とを有する。これら各部は、例えば、子ＫＧＣにインストールされたプログラムがプロセッサに実行させる処理により実現される。

【0068】

また、子ＫＧＣ３０００～３００１及び３１００～３１０１は、記憶部３０５を有する。記憶部３０５は、例えば、メモリ装置等により実現される。

【0069】

最新秘密鍵生成部３０１は、親のＫＧＣから更新鍵が配信された場合、ＤＫＧｅｎアルゴリズムを実行して自身の最新秘密鍵を更新する。

【0070】

長期秘密鍵生成部３０２は、ＳＫＧｅｎアルゴリズムを実行して、子の長期秘密鍵と更新された自身の長期秘密鍵とを生成する。

【0071】

更新鍵生成部３０３は、ＫｅｙＵＰアルゴリズムを実行して、更新鍵と更新された自身の長期秘密鍵とを生成する。この更新鍵は子のＫＧＣに配信される。

【0072】

失効リスト更新部３０４は、Ｒｅｖｏｋｅアルゴリズムを実行して失効リストを更新する。

【0073】

記憶部３０５は、各種情報（例えば、長期秘密鍵や最新秘密鍵、失効リスト等）を記憶する。

【0074】

≪通信端末≫
図６に示すように、通信端末４０００及び４１００は、最新秘密鍵生成部４０１と、ＲＨＩＢＥ暗号化部４０２と、ＲＨＩＢＥ復号部４０３と、ＫＥＭ鍵ペア生成部４０４と、時刻情報取得部４０５と、カプセル化処理部４０６と、カプセル化復号部４０７と、鍵導出部４０８と、セッション鍵生成部４０９と、メッセージ受信部４１０と、メッセージ送信部４１１とを有する。これら各部は、例えば、通信端末にインストールされたプログラムがプロセッサに実行させる処理により実現される。

【0075】

また、通信端末４０００及び４１００は、記憶部４１２を有する。記憶部４１２は、例えば、メモリ装置等により実現される。

【0076】

最新秘密鍵生成部４０１は、親のＫＧＣ（つまり、子ＫＧＣ）から更新鍵が配信された場合、ＤＫＧｅｎアルゴリズムを実行して自身の最新秘密鍵を更新する。

【0077】

ＲＨＩＢＥ暗号化部４０２は、Ｅｎｃアルゴリズムを実行して暗号文を生成する。

【0078】

ＲＨＩＢＥ復号部４０３は、Ｄｅｃアルゴリズムを実行して暗号文を復号する。

【0079】

ＫＥＭ鍵ペア生成部４０４は、ＫｅｙＧｅｎアルゴリズムを実行してＫＥＭの公開鍵と秘密鍵のペアを生成する。

【0080】

時刻情報取得部４０５は、タイムサーバ５０００から配信された更新期間Ｔを取得する。

【0081】

カプセル化処理部４０６は、ＥｎＣａｐアルゴリズムを実行してＫＥＭの鍵と暗号文のペアを生成する。

【0082】

カプセル化復号部４０７は、ＤｅＣａｐアルゴリズムを実行してＫＥＭの鍵を得る。

【0083】

鍵導出部４０８は、鍵導出関数ＫＤＦにより鍵を生成する。

【0084】

セッション鍵生成部４０９は、鍵導出部４０８で生成された鍵を用いて、疑似ランダム関数Ｆによりセッション鍵を生成する。

【0085】

メッセージ受信部４１０は、他の通信端末からのメッセージ（以下、プロトコルメッセージともいう）を受信する。

【0086】

メッセージ送信部４１１は、他の通信端末にプロトコルメッセージを送信する。

【0087】

記憶部４１２は、各種情報（例えば、長期秘密鍵や最新秘密鍵、鍵導出関数ＫＤＦ、疑似ランダム関数Ｆ、ソルトｓ等）を記憶する。

【0088】

＜各種処理の詳細＞
以下、本実施形態に係る鍵交換システム１０が実行する各種処理の詳細について説明する。

【0089】

≪セットアップ≫
セットアップは、主に、ルートＫＧＣ１０００及び１１００によってそれぞれ実行されう。以下、一例として、ルートＫＧＣ１０００が実行する処理について説明する。なお、ルートＫＧＣ１１００も、ルートＫＧＣ１０００と同様の処理を実行する。

【0090】

まず、ルートＫＧＣ１０００のセットアップ処理部１０１は、（ｍｐｋ，ｍｓｋ，ＲＬ）←Ｓｅｔｕｐ（１^κ，Ｎ，ｌ）を実行する。なお、公開パラメータｍｐｋ、マスター秘密鍵ｍｓｋ及び失効リストＲＬは記憶部１０５に保存される。

【0091】

次に、ルートＫＧＣ１０００のセットアップ処理部１０１は、自身の配下の中間ＫＧＣ２０００及び２００１や子ＫＧＣ３０００及び３００１、通信端末４０００等に公開パラメータｍｐｋを配布する。また、ルートＫＧＣ１０００のセットアップ処理部１０１は、別途信頼関係（例えば、ＰＫＩによる相互認証）を構築したルートＫＧＣ（例えば、ルートＫＧＣ１１００等）にも公開パラメータｍｐｋを配布する。

【0092】

また、ルートＫＧＣ１０００のセットアップ処理部１０１は、他のルートＫＧＣ（例えば、ルートＫＧＣ１１００等）から公開パラメータが配布された場合には、自身の配下の中間ＫＧＣ２０００及び２００１や子ＫＧＣ３０００及び３００１、通信端末４０００等にその公開パラメータを配布する。

【0093】

更に、ルートＫＧＣ以外のＫＧＣ（中間ＫＧＣ及び子ＫＧＣ）も、失効リストＲＬを生成して保存しておく。なお、この時点では空の失効リストＲＬを生成すればよい。

【0094】

以下、ＩＤ_ｍを持つＫＧＣが管理する失効リストをＲＬ_ｍと書くことにする。また、公開パラメータ及びマスター秘密鍵も、ｍｐｋ_ｍやｍｓｋ_ｍ等と書いて区別することにする。例えば、ｍｐｋ_１０００はルートＫＧＣ１０００が生成した公開パラメータ、ｍｐｋ_１１００はルートＫＧＣ１１００が生成した公開パラメータを表す。

【0095】

≪長期秘密鍵生成≫
長期秘密鍵生成は、ルートＫＧＣ、中間ＫＧＣ及び子ＫＧＣによってそれぞれ実行される。以下、一例として、ルートＫＧＣ１０００、中間ＫＧＣ２０００及び子ＫＧＣ３０００が長期秘密鍵を生成する場合を想定し、これらのＫＧＣをまとめて「ＫＧＣｎ０００」と表し、ｎ＝１の場合はルートＫＧＣ１０００、ｎ＝２の場合は中間ＫＧＣ２０００、ｎ＝３の場合は子ＫＧＣ３０００であるものとする。

【0096】

長期秘密鍵生成では、ＫＧＣｎ０００は自身の子（ｎ＝１及び２の場合は子に該当するＫＧＣ、ｎ＝３の場合は子に該当する通信端末）の長期秘密鍵を生成する。ＫＧＣｎ０００の識別子をＩＤ_ｎ０００とし、長期秘密鍵を生成しようとする子の識別子をＩＤ_{（ｎ＋１）０００}とする。

【0097】

このとき、ＫＧＣｎ０００の長期秘密鍵生成部ｎ０２は、（ｓｋ_{ＩＤ_（ｎ＋１）０００}，ｓｋ'_{ＩＤ_ｎ０００}）←ＳＫＧｅｎ（ｓｋ_{ＩＤ_ｎ０００}，ＩＤ_{（ｎ＋１）０００}）を実行して、長期秘密鍵ｓｋ_{ＩＤ_（ｎ＋１）０００}と更新後の長期秘密鍵ｓｋ'_{ＩＤ_ｎ０００}を生成する。

【0098】

そして、ＫＧＣｎ０００の長期秘密鍵生成部ｎ０２は、例えばＴＬＳのような安全な通信路を経由して長期秘密鍵ｓｋ_{ＩＤ_（ｎ＋１）０００}を子に送信する。また、ＫＧＣｎ０００の長期秘密鍵生成部ｎ０２は、自身の長期秘密鍵ｓｋ_{ＩＤ_ｎ０００}をｓｋ'_{ＩＤ_ｎ０００}に更新する。

【0099】

ただし、上記でｎ＝１の場合は、ｓｋ_{ＩＤ_１０００}及びｓｋ'_{ＩＤ_１０００}はそれぞれマスター秘密鍵ｍｓｋ_１０００及び更新後のマスター秘密鍵ｍｓｋ'_１０００である。

【0100】

≪更新鍵生成≫
更新鍵生成は、システムセットアップ時又はタイムサーバ５０００から定期的な更新期間Ｔが配信されたときに、各ＫＧＣによってそれぞれ実行される。以降では、上記の長期秘密鍵生成と同様に、ＫＧＣｎ０００は、ｎ＝１の場合はルートＫＧＣ１０００、ｎ＝２の場合は中間ＫＧＣ２０００、ｎ＝３の場合は子ＫＧＣ３０００であるものとする。

【0101】

ＫＧＣｎ０００の更新鍵生成部ｎ０３は、（ｋｕ_{ＩＤ_ｎ０００，Ｔ}，ｓｋ'_{ＩＤ_ｎ０００}）←ＫｅｙＵＰ（ｓｋ_{ＩＤ_ｎ０００}，ｋｕ_{ＩＤ_（ｎ－１）０００}，ＲＬ_{ＩＤ_ｎ０００}，Ｔ）を実行して、更新鍵ｋｕ_{ＩＤ_ｎ０００，Ｔ}と更新された長期秘密鍵ｓｋ'_{ＩＤ_ｎ０００}とを生成する。ここで、ｎ＝２，３の場合、ｋｕ_{ＩＤ_（ｎ－１）０００}は、ＫＧＣｎ０００の親であるＫＧＣから配信された更新鍵である。

【0102】

そして、ＫＧＣｎ０００の更新鍵生成部ｎ０３は、自身の長期秘密鍵をｓｋ'_{ＩＤ_ｎ０００}に更新すると共に、更新鍵ｋｕ_{ＩＤ_ｎ０００，Ｔ}を配信する。なお、この更新鍵ｋｕ_{ＩＤ_ｎ０００，Ｔ}は自身の子に対してのみに配信するのではなく、例えば、他のエンティティが見れるような公開情報としてもよい。

【0103】

ただし、上記でｎ＝１の場合は、ＫｅｙＵＰアルゴリズムには更新鍵は入力されない。また、ｎ＝１の場合は、長期秘密鍵はマスター秘密鍵である。

【0104】

≪最新秘密鍵生成≫
最新秘密鍵生成は、親のＫＧＣから更新鍵が配信されたときに、各ＫＧＣ及び各通信端末によってそれぞれ実行される。以下、一例として、中間ＫＧＣ２０００、子ＫＧＣ３０００及び通信端末４０００が最新秘密鍵を生成する場合を想定し、これらをまとめて「機器ｎ０００」と表し、ｎ＝２の場合は中間ＫＧＣ２０００、ｎ＝３の場合は子ＫＧＣ３０００、ｎ＝４の場合は通信端末４０００であるものとする。

【0105】

機器ｎ００００の最新秘密鍵生成部ｎ０１は、ｄｋ_{ＩＤ_ｎ０００，Ｔ}←ＤＫＧｅｎ（ｓｋ_{ＩＤ_ｎ０００}，ｋｕ_{ＩＤ_（ｎ－１）０００，Ｔ}）を実行して、最新秘密鍵ｄｋ_{ＩＤ_ｎ０００，Ｔ}を生成する。そして、機器ｎ００００の最新秘密鍵生成部ｎ０１は、自身の最新秘密鍵をｄｋ_{ＩＤ_ｎ０００，Ｔ}に更新する。

【0106】

≪失効リストの更新≫
失効リストの更新は、子のエンティティのＩＤを失効する場合にＫＧＣによって実行される。以降では、上記の長期秘密鍵生成と同様に、ＫＧＣｎ０００は、ｎ＝１の場合はルートＫＧＣ１０００、ｎ＝２の場合は中間ＫＧＣ２０００、ｎ＝３の場合は子ＫＧＣ３０００であるものとする。

【0107】

ＫＧＣｎ０００が自身の子のエンティティのＩＤの１つであるＩＤ_{（ｎ＋１）０００}を失効しようとする場合について説明する。また、タイムサーバ５０００から配信された最新の更新期間はＴであるものとする。

【0108】

このとき、ＫＧＣｎ０００の失効リスト更新部ｎ０４は、ＲＬ'_{ＩＤ_ｎ}←Ｒｅｖｏｋｅ（ＩＤ_{（ｎ＋１）０００}，Ｔ，ＲＬ_{ＩＤ_ｎ０００}）を実行して、失効リストＲＬ_{ＩＤ_ｎ０００}に（ＩＤ_{（ｎ＋１）０００}，Ｔ）を追加する。追加後の失効リストがＲＬ'_{ＩＤ_ｎ}である。この失効リストを用いて生成された更新鍵では、当該失効リストに含まれるＩＤに対して最新秘密鍵を生成することができない。これにより、ＩＤの失効が可能となる。

【0109】

≪鍵交換≫
通信端末４０００と通信端末４１００の間（つまり、異なる階層構造にある通信端末間）で鍵交換を行う場合について、図７を参照しながら説明する。なお、この時点で通信端末４０００の時刻情報取得部４０５と通信端末４１００の時刻情報取得部４０５とによって取得された最新の更新期間はＴであるものとする。また、通信端末４０００と通信端末４１００は互いに相手のＩＤを事前に得ているものとする。更に、通信端末４０００はルートＫＧＣ１１００が生成した公開パラメータｍｐｋ_１１００を、通信端末４１００はルートＫＧＣ１０００が生成した公開パラメータｍｐｋ_１０００をそれぞれ事前に取得しているものとする。

【0110】

ステップＳ１０１：通信端末４０００のＲＨＩＢＥ暗号化部４０２は、Ｋ_Ａ∈ＫＳ_１を一様ランダムにとり、Ｃ_Ａ←Ｅｎｃ（ｍｐｋ_１１００，ＩＤ_４１００，Ｋ_Ａ，Ｔ）を実行して、ＲＨＩＢＥの暗号文Ｃ_Ａを生成する。また、通信端末４０００のＫＥＭ鍵ペア生成部４０４は、（ｅｋ_Ｔ，ｄｋ_Ｔ）←ＫｅｙＧｅｎ（１^κ）を実行して、ＫＥＭの鍵ペア（ｅｋ_Ｔ，ｄｋ_Ｔ）を生成する。

【0111】

なお、上記のステップＳ１０１におけるＲＩＢＥの暗号化とＫＥＭの鍵生成では、出力を確率的なものにするために、アルゴリズム内部で生成した乱数を使って出力を生成していることがある。このとき使用した乱数生成器の脆弱性等で内部乱数が漏洩するという脅威があるが、その脅威の対策として、以下の参考文献３で提案されているＮＡＸＯＳトリック（長期秘密鍵と短期秘密鍵をハッシュした値を乱数の代わりに使用する）や参考文献４で提案されているねじれ疑似ランダム関数トリックを使用してもよい。

【0112】

参考文献３：LaMacchia, Brian, Kristin Lauter, and Anton Mityagin. "Stronger security of authenticated key exchange." International conference on provable security. Springer, Berlin, Heidelberg, 2007.
参考文献４：Fujioka, Atsushi, et al. "Strongly secure authenticated key exchange from factoring, codes, and lattices." Designs, Codes and Cryptography 76.3 (2015): 469-504.
ステップＳ１０２：通信端末４０００のメッセージ送信部４１１は、（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ａ，ｅｋ_Ｔ）を含むプロトコルメッセージを通信端末４１００に送信する。

【0113】

ステップＳ１０３：通信端末４１００のメッセージ受信部４１０は、（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ａ，ｅｋ_Ｔ）を含むプロトコルメッセージを通信端末４０００から受信する。すると、通信端末４１００のＲＨＩＢＥ暗号化部４０２は、Ｋ_Ｂ∈ＫＳ_１を一様ランダムにとり、Ｃ_Ｂ←Ｅｎｃ（ｍｐｋ_１０００，ＩＤ_４０００，Ｋ_Ｂ，Ｔ）を実行して、ＲＨＩＢＥの暗号文Ｃ_Ｂを生成する。また、通信端末４１００のカプセル化処理部４０６は、（Ｋ_Ｔ，Ｃ_Ｔ）←ＥｎＣａｐ（ｅｋ_Ｔ）を実行して、鍵と暗号文のペア（Ｋ_Ｔ，Ｃ_Ｔ）を生成する。

【0114】

なお、上記のステップＳ１０１と同様に、上記のステップＳ１０３でもＲＨＩＢＥの暗号化とＫＥＭのカプセル化におけるアルゴリズム内部で使用した乱数の漏洩対策として、ＮＡＸＯＳトリックやねじれ疑似ランダム関数トリックを使用してもよい。

【0115】

ステップＳ１０４：通信端末４１００のメッセージ送信部４１１は、（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ｂ，Ｃ_Ｔ）を含むプロトコルメッセージを通信端末４０００に送信する。

【0116】

ステップＳ１０５－１：通信端末４０００のメッセージ受信部４１０は、（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ｂ，Ｃ_Ｔ）を含むプロトコルメッセージを通信端末４１００から受信する。すると、通信端末４０００のＲＨＩＢＥ復号部４０３は、Ｋ_Ｂ←Ｄｅｃ（ｍｐｋ_１０００，ｄｋ_{ＩＤ_４０００，Ｔ}，Ｃ_Ｂ）を実行して、暗号文Ｃ_ＢをＫ_Ｂに復号する。また、通信端末４０００のカプセル化復号部４０７は、Ｋ_Ｔ←ＤｅＣａｐ（ｄｋ_Ｔ，Ｃ_Ｔ）を実行して、暗号文Ｃ_ＴをＫ_Ｔに復号する。

【0117】

ステップＳ１０６－１：続いて、通信端末４０００の鍵導出部４０８は、Ｋ'_Ａ←ＫＤＦ（ｓ，Ｋ_Ａ）と、Ｋ'_Ｂ←ＫＤＦ（ｓ，Ｋ_Ｂ）と、Ｋ'_Ｔ←ＫＤＦ（ｓ，Ｋ_Ｔ）とを計算する。そして、通信端末４０００のセッション鍵生成部４０９は、ＳＴ＝（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ａ，ｅｋ_Ｔ，Ｃ_Ｂ，Ｃ_Ｔ）を計算し、セッション鍵

【0118】

【数5】

を生成する。

【0119】

ステップＳ１０５－２：通信端末４１００のＲＨＩＢＥ復号部４０３は、Ｋ_Ａ←Ｄｅｃ（ｍｐｋ_１１００，ｄｋ_{ＩＤ_４１００，Ｔ}，Ｃ_Ａ）を実行して、暗号文Ｃ_ＡをＫ_Ａに復号する。なお、本ステップは、上記のステップＳ１０４の直後、すぐに実行を開始してよい。

【0120】

ステップＳ１０６－２：続いて、通信端末４１００の鍵導出部４０８は、Ｋ'_Ａ←ＫＤＦ（ｓ，Ｋ_Ａ）と、Ｋ'_Ｂ←ＫＤＦ（ｓ，Ｋ_Ｂ）と、Ｋ'_Ｔ←ＫＤＦ（ｓ，Ｋ_Ｔ）とを計算する。そして、通信端末４１００のセッション鍵生成部４０９は、ＳＴ＝（ＩＤ_４０００，ＩＤ_４１００，Ｔ，Ｃ_Ａ，ｅｋ_Ｔ，Ｃ_Ｂ，Ｃ_Ｔ）を計算し、セッション鍵

【0121】

【数6】

を生成する。

【0122】

これにより、通信端末４０００と通信端末４１００との間（つまり、異なる階層構造、言い換えれば異なるルートＫＧＣの配下にある通信端末間）で同じセッション鍵ＳＫが共有される。したがって、通信端末４０００と通信端末４１００は、このセッション鍵ＳＫにより様々なアプリケーション処理の通信をセキュアに行うことが可能となる。

【0123】

以上のように、本実施形態に係る鍵交換システム１０では、各階層のエンティティ間で正しく時刻（更新期間Ｔ）を共有させるためのタイムサーバ５０００を導入すると共に、失効可能階層型ＩＤベース暗号を利用することで、異なる階層構造配下のユーザ（通信端末）同士の鍵交換とＩＤ失効とを実現することができる。これにより、本実施形態に係る鍵交換システム１０は、ＰＫＩベースの鍵交換が満たすスケーラビリティ（階層型及び複数ルートＣＡ）と、証明書失効性と同等のスケーラビリティ及び機能とを有するＩＤベース暗号鍵交換を実現することができる。本実施形態に係る鍵交換システム１０を利用することで、例えば、ＰＫＩベースの方式では要求されていた個々のエンドユーザによる証明書管理（証明書作成・発行申請・失効・更新等）も不要となる。

【0124】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

【符号の説明】

【0125】

１０：鍵交換システム
１０１：セットアップ処理部
１０２：長期秘密鍵生成部
１０３：更新鍵生成部
１０４：失効リスト更新部
１０５：記憶部
２０１：最新秘密鍵生成部
２０２：長期秘密鍵生成部
２０３：更新鍵生成部
２０４：失効リスト更新部
２０５：記憶部
３０１：最新秘密鍵生成部
３０２：長期秘密鍵生成部
３０３：更新鍵生成部
３０４：失効リスト更新部
３０５：記憶部
４０１：最新秘密鍵生成部
４０２：ＲＨＩＢＥ暗号化部
４０３：ＲＨＩＢＥ復号部
４０４：ＫＥＭ鍵ペア生成部
４０５：時刻情報取得部
４０６：カプセル化処理部
４０７：カプセル化復号部
４０８：鍵導出部
４０９：セッション鍵生成部
４１０：メッセージ受信部
４１１：メッセージ送信部
４１２：記憶部
９００：コンピュータ
９０１：入力装置
９０２：表示装置
９０３：外部Ｉ／Ｆ
９０３ａ：記録媒体
９０４：通信Ｉ／Ｆ
９０５：プロセッサ
９０６：メモリ装置
９０７：バス
１０００、１１００：ルートＫＧＣ
２０００、２００１、２１００、２１０１：中間ＫＧＣ
３０００、３００１、３１００、３１０１：子ＫＧＣ
４０００、４１００：通信端末

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】