ホーム > 特許ランキング > 日本電信電話株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-10-21
(45)【発行日】2024-10-29
(54)【発明の名称】認証鍵交換システム、方法、及びプログラム
(51)【国際特許分類】
H04L 9/08 20060101AFI20241022BHJP
H04L 9/14 20060101ALI20241022BHJP
【ＦＩ】
H04L9/08 D
H04L9/08 F
H04L9/14
【請求項の数】
5
(21)【出願番号】P 2021201659
(22)【出願日】2021-12-13
(65)【公開番号】P2023087337
(43)【公開日】2023-06-23
【審査請求日】2024-01-29
(73)【特許権者】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(74)【代理人】
【識別番号】110004381
【氏名又は名称】弁理士法人ＩＴＯＨ
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(74)【代理人】
【識別番号】100124844
【弁理士】
【氏名又は名称】石原 隆治
(72)【発明者】
【氏名】岡野 裕樹
(72)【発明者】
【氏名】永井 彰
(72)【発明者】
【氏名】青柳 光太郎
【審査官】塩澤 如正
(56)【参考文献】
【文献】特開２００９－３０２８６１（ＪＰ，Ａ）
【文献】米国特許第０７６８５４１４（ＵＳ，Ｂ１）
【文献】Berkant Ustaoglu，Integrating identity-based and certificate-based authenticated key exchange protocols，International Journal of Information Security，2011年05月28日，Vol. 10，pp. 201-212，インターネット＜URL: https://link.springer.com/article/10.1007/s10207-011-0136-3＞
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／０８
Ｈ０４Ｌ ９／１４
(57)【特許請求の範囲】
【請求項1】
ＩＤベース暗号のＫＧＣとして機能するサーバと、前記ＩＤベース暗号に基づく認証を行う第１の機器と、電子署名に基づく認証を行う第２の機器とが含まれ、前記第１の機器と前記第２の機器との間で認証鍵交換を行う認証鍵交換システムであって、前記サーバは、
前記ＩＤベース暗号で用いられる双線形群と、前記ＩＤベース暗号のマスター秘密鍵と、前記マスター秘密鍵に対応するマスター公開鍵とを生成するように構成されているセットアップ部と、
前記第１の機器の識別子を示す第１の識別子に対する第１の長期秘密鍵を生成するように構成されている長期秘密鍵生成部と、を有し、
前記第１の機器は、
第１の一時秘密鍵を生成すると共に、前記第１の一時秘密鍵及び前記第１の長期秘密鍵から第１の一時公開鍵を生成するように構成されている第１の一時鍵生成部と、
前記第１の一時公開鍵と前記第１の識別子とを前記第２の機器に送信するように構成されている第１の一時鍵送信部と、
少なくとも第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第２の機器の識別子を示す第２の識別子とを前記第２の機器から受信すると、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第１の一時秘密鍵と前記第１の長期秘密鍵と前記第１の識別子と前記第２の識別子からセッション鍵を生成するように構成されている第１のセッション鍵生成部と、を有し、
前記第２の機器は、
第２の長期秘密鍵と、前記第２の長期秘密鍵に対応する前記長期公開鍵とを生成するように構成されている長期鍵生成部と、
第２の一時秘密鍵を生成すると共に、前記第２の一時秘密鍵及び前記第２の長期秘密鍵から前記第２の一時公開鍵を生成するように構成されている第２の一時鍵生成部と、
少なくとも前記第２の一時公開鍵と前記長期公開鍵と前記第２の識別子とを前記第１の機器に送信するように構成されている第２の一時鍵送信部と、
前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の一時秘密鍵と前記マスター公開鍵と前記第１の識別子と前記第２の識別子から前記セッション鍵を生成するように構成されている第２のセッション鍵生成部と、有し、
前記第１の一時鍵生成部は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第１の一時秘密鍵と前記第１の長期秘密鍵とを入力とするハッシュ関数Ｈ ２ の出力値である第１の値をべき指数とするべき乗を前記第１の一時公開鍵として生成するように構成されており、
前記第１のセッション鍵生成部は、
前記長期公開鍵に対する証明書を更に受信すると共に、前記証明書が所定の認証局で発行されたものであるか否かを検証し、
前記検証に成功した場合、前記第２の一時公開鍵を第一引数、前記第１の長期秘密鍵を第二引数とするペアリング演算の演算結果を第１の鍵要素として計算し、
前記長期公開鍵を底、前記第１の値をべき指数とするべき乗を第２の鍵要素として計算し、
前記第２の一時公開鍵を底、前記第１の値をべき指数とするべき乗を第３の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第３の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書とを入力とするハッシュ関数Ｈの出力値を前記セッション鍵として生成するように構成されており、
前記第２の一時鍵送信部は、
前記証明書を前記第１の機器に更に送信するように構成されており、
前記第２の一時鍵生成部は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第２の一時秘密鍵と前記第２の長期秘密鍵とを入力とする前記ハッシュ関数Ｈ ２ の出力値である第２の値をべき指数とするべき乗を前記第２の一時公開鍵として生成するように構成されており、
前記第２のセッション鍵生成部は、
前記マスター公開鍵を底、前記第２の値をべき指数とするべき乗を第一引数、前記第１の識別子を入力とするハッシュ関数Ｈ １ の出力値を第二引数とするペアリング演算の演算結果を前記第１の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の長期秘密鍵をべき指数とするべき乗を前記第２の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の値をべき指数とするべき乗を前記第３の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第３の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書とを入力とする前記ハッシュ関数Ｈの出力値を前記セッション鍵として生成するように構成されている、
認証鍵交換システム。
【請求項2】
ＩＤベース暗号のＫＧＣとして機能するサーバと、前記ＩＤベース暗号に基づく認証を行う第１の機器と、電子署名に基づく認証を行う第２の機器とが含まれ、前記第１の機器と前記第２の機器との間で認証鍵交換を行う認証鍵交換システムであって、
前記サーバは、
前記ＩＤベース暗号で用いられる双線形群と、前記ＩＤベース暗号のマスター秘密鍵と、前記マスター秘密鍵に対応するマスター公開鍵とを生成するように構成されているセットアップ部と、
前記第１の機器の識別子を示す第１の識別子に対する第１の長期秘密鍵を生成するように構成されている長期秘密鍵生成部と、を有し、
前記第１の機器は、
第１の一時秘密鍵を生成すると共に、前記第１の一時秘密鍵及び前記第１の長期秘密鍵から第１の一時公開鍵を生成するように構成されている第１の一時鍵生成部と、
前記第１の一時公開鍵と前記第１の識別子とを前記第２の機器に送信するように構成されている第１の一時鍵送信部と、
少なくとも第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第２の機器の識別子を示す第２の識別子とを前記第２の機器から受信すると、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第１の一時秘密鍵と前記第１の長期秘密鍵と前記第１の識別子と前記第２の識別子からセッション鍵を生成するように構成されている第１のセッション鍵生成部と、を有し、
前記第２の機器は、
第２の長期秘密鍵と、前記第２の長期秘密鍵に対応する前記長期公開鍵とを生成するように構成されている長期鍵生成部と、
第２の一時秘密鍵を生成すると共に、前記第２の一時秘密鍵及び前記第２の長期秘密鍵から前記第２の一時公開鍵を生成するように構成されている第２の一時鍵生成部と、
少なくとも前記第２の一時公開鍵と前記長期公開鍵と前記第２の識別子とを前記第１の機器に送信するように構成されている第２の一時鍵送信部と、
前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の一時秘密鍵と前記マスター公開鍵と前記第１の識別子と前記第２の識別子から前記セッション鍵を生成するように構成されている第２のセッション鍵生成部と、有し、
前記第１の一時鍵生成部は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第１の一時秘密鍵と前記第１の長期秘密鍵とを入力とするハッシュ関数Ｈ２の出力値である第１の値をべき指数とするべき乗を前記第１の一時公開鍵として生成するように構成されており、
前記第１のセッション鍵生成部は、
前記長期公開鍵に対する証明書と前記第２の機器の署名とを更に受信すると共に、前記証明書が所定の認証局で発行されたものであるか否かの検証を示す第１の検証と前記署名の検証を示す第２の検証とを行い、
前記第１の検証と前記第２の検証に成功した場合、前記第２の一時公開鍵を第一引数、前記第１の長期秘密鍵を第二引数とするペアリング演算の演算結果を第１の鍵要素として計算し、
前記第２の一時公開鍵を底、前記第１の値をべき指数とするべき乗を第２の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書と前記署名とを入力とするハッシュ関数Ｈの出力値を前記セッション鍵として生成するように構成されており、
前記第２の一時鍵送信部は、
前記証明書と前記署名を前記第１の機器に更に送信するように構成されており、
前記第２の一時鍵生成部は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第２の一時秘密鍵と前記第２の長期秘密鍵とを入力とするハッシュ関数Ｈ３の出力値である第２の値をべき指数とするべき乗を前記第２の一時公開鍵として生成するように構成されており、
前記第２のセッション鍵生成部は、
前記マスター公開鍵を底、前記第２の値をべき指数とするべき乗を第一引数、前記第１の識別子を入力とするハッシュ関数Ｈ１の出力値を第二引数とするペアリング演算の演算結果を前記第１の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の値をべき指数とするべき乗を前記第２の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書と前記署名とを入力とする前記ハッシュ関数Ｈの出力値を前記セッション鍵として生成するように構成されている、
認証鍵交換システム。
【請求項3】
ＩＤベース暗号のＫＧＣとして機能するサーバと、前記ＩＤベース暗号に基づく認証を行う第１の機器と、電子署名に基づく認証を行う第２の機器とが含まれ、前記第１の機器と前記第２の機器との間で認証鍵交換を行う認証鍵交換システムに用いられる方法であって、前記サーバが、
前記ＩＤベース暗号で用いられる双線形群と、前記ＩＤベース暗号のマスター秘密鍵と、前記マスター秘密鍵に対応するマスター公開鍵とを生成するセットアップ手順と、
前記第１の機器の識別子を示す第１の識別子に対する第１の長期秘密鍵を生成する長期秘密鍵生成手順と、を実行し、
前記第１の機器が、
第１の一時秘密鍵を生成すると共に、前記第１の一時秘密鍵及び前記第１の長期秘密鍵から第１の一時公開鍵を生成する第１の一時鍵生成手順と、
前記第１の一時公開鍵と前記第１の識別子とを前記第２の機器に送信する第１の一時鍵送信手順と、
少なくとも第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第２の機器の識別子を示す第２の識別子とを前記第２の機器から受信すると、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第１の一時秘密鍵と前記第１の長期秘密鍵と前記第１の識別子と前記第２の識別子からセッション鍵を生成する第１のセッション鍵生成手順と、を実行し、
前記第２の機器が、
第２の長期秘密鍵と、前記第２の長期秘密鍵に対応する前記長期公開鍵とを生成する長期鍵生成手順と、
第２の一時秘密鍵を生成すると共に、前記第２の一時秘密鍵及び前記第２の長期秘密鍵から前記第２の一時公開鍵を生成する第２の一時鍵生成手順と、
少なくとも前記第２の一時公開鍵と前記長期公開鍵と前記第２の識別子とを前記第１の機器に送信する第２の一時鍵送信手順と、
前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の一時秘密鍵と前記マスター公開鍵と前記第１の識別子と前記第２の識別子から前記セッション鍵を生成する第２のセッション鍵生成手順と、を実行し、
前記第１の一時鍵生成手順は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第１の一時秘密鍵と前記第１の長期秘密鍵とを入力とするハッシュ関数Ｈ ２ の出力値である第１の値をべき指数とするべき乗を前記第１の一時公開鍵として生成し、
前記第１のセッション鍵生成手順は、
前記長期公開鍵に対する証明書を更に受信すると共に、前記証明書が所定の認証局で発行されたものであるか否かを検証し、
前記検証に成功した場合、前記第２の一時公開鍵を第一引数、前記第１の長期秘密鍵を第二引数とするペアリング演算の演算結果を第１の鍵要素として計算し、
前記長期公開鍵を底、前記第１の値をべき指数とするべき乗を第２の鍵要素として計算し、
前記第２の一時公開鍵を底、前記第１の値をべき指数とするべき乗を第３の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第３の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書とを入力とするハッシュ関数Ｈの出力値を前記セッション鍵として生成し、
前記第２の一時鍵送信手順は、
前記証明書を前記第１の機器に更に送信し、
前記第２の一時鍵生成手順は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第２の一時秘密鍵と前記第２の長期秘密鍵とを入力とする前記ハッシュ関数Ｈ ２ の出力値である第２の値をべき指数とするべき乗を前記第２の一時公開鍵として生成し、
前記第２のセッション鍵生成手順は、
前記マスター公開鍵を底、前記第２の値をべき指数とするべき乗を第一引数、前記第１の識別子を入力とするハッシュ関数Ｈ １ の出力値を第二引数とするペアリング演算の演算結果を前記第１の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の長期秘密鍵をべき指数とするべき乗を前記第２の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の値をべき指数とするべき乗を前記第３の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第３の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書とを入力とする前記ハッシュ関数Ｈの出力値を前記セッション鍵として生成する、
方法。
【請求項4】
ＩＤベース暗号のＫＧＣとして機能するサーバと、前記ＩＤベース暗号に基づく認証を行う第１の機器と、電子署名に基づく認証を行う第２の機器とが含まれ、前記第１の機器と前記第２の機器との間で認証鍵交換を行う認証鍵交換システムに用いられる方法であって、
前記サーバが、
前記ＩＤベース暗号で用いられる双線形群と、前記ＩＤベース暗号のマスター秘密鍵と、前記マスター秘密鍵に対応するマスター公開鍵とを生成するセットアップ手順と、
前記第１の機器の識別子を示す第１の識別子に対する第１の長期秘密鍵を生成する長期秘密鍵生成手順と、を実行し、
前記第１の機器が、
第１の一時秘密鍵を生成すると共に、前記第１の一時秘密鍵及び前記第１の長期秘密鍵から第１の一時公開鍵を生成する第１の一時鍵生成手順と、
前記第１の一時公開鍵と前記第１の識別子とを前記第２の機器に送信する第１の一時鍵送信手順と、
少なくとも第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第２の機器の識別子を示す第２の識別子とを前記第２の機器から受信すると、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第１の一時秘密鍵と前記第１の長期秘密鍵と前記第１の識別子と前記第２の識別子からセッション鍵を生成する第１のセッション鍵生成手順と、を実行し、
前記第２の機器が、
第２の長期秘密鍵と、前記第２の長期秘密鍵に対応する前記長期公開鍵とを生成する長期鍵生成手順と、
第２の一時秘密鍵を生成すると共に、前記第２の一時秘密鍵及び前記第２の長期秘密鍵から前記第２の一時公開鍵を生成する第２の一時鍵生成手順と、
少なくとも前記第２の一時公開鍵と前記長期公開鍵と前記第２の識別子とを前記第１の機器に送信する第２の一時鍵送信手順と、
前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の一時秘密鍵と前記マスター公開鍵と前記第１の識別子と前記第２の識別子から前記セッション鍵を生成する第２のセッション鍵生成手順と、を実行し、
前記第１の一時鍵生成手順は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第１の一時秘密鍵と前記第１の長期秘密鍵とを入力とするハッシュ関数Ｈ ２ の出力値である第１の値をべき指数とするべき乗を前記第１の一時公開鍵として生成し、
前記第１のセッション鍵生成手順は、
前記長期公開鍵に対する証明書と前記第２の機器の署名とを更に受信すると共に、前記証明書が所定の認証局で発行されたものであるか否かの検証を示す第１の検証と前記署名の検証を示す第２の検証とを行い、
前記第１の検証と前記第２の検証に成功した場合、前記第２の一時公開鍵を第一引数、前記第１の長期秘密鍵を第二引数とするペアリング演算の演算結果を第１の鍵要素として計算し、
前記第２の一時公開鍵を底、前記第１の値をべき指数とするべき乗を第２の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書と前記署名とを入力とするハッシュ関数Ｈの出力値を前記セッション鍵として生成し、
前記第２の一時鍵送信手順は、
前記証明書と前記署名を前記第１の機器に更に送信し、
前記第２の一時鍵生成手順は、
前記双線形群におけるペアリング演算の第一引数側の定義域である巡回群の生成元を底、前記第２の一時秘密鍵と前記第２の長期秘密鍵とを入力とするハッシュ関数Ｈ ３ の出力値である第２の値をべき指数とするべき乗を前記第２の一時公開鍵として生成し、
前記第２のセッション鍵生成手順は、
前記マスター公開鍵を底、前記第２の値をべき指数とするべき乗を第一引数、前記第１の識別子を入力とするハッシュ関数Ｈ １ の出力値を第二引数とするペアリング演算の演算結果を前記第１の鍵要素として計算し、
前記第１の一時公開鍵を底、前記第２の値をべき指数とするべき乗を前記第２の鍵要素として計算し、
前記第１の鍵要素と前記第２の鍵要素と前記第１の一時公開鍵と前記第２の一時公開鍵と前記第１の識別子と前記第２の識別子と前記長期公開鍵と前記証明書と前記署名とを入力とする前記ハッシュ関数Ｈの出力値を前記セッション鍵として生成する、
方法。
【請求項5】
コンピュータを、請求項１又は２に記載の認証鍵交換システムに含まれるサーバ、第１の機器、又は第２の機器として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、認証鍵交換システム、方法、及びプログラムに関する。
【背景技術】
【0002】
近年、ＩｏＴ（Internet of Things）機器が普及したことに伴って、ＩｏＴ機器でも重要性の高い通信が行われるようになってきた。このため、通信時に互いに正しい機器・サーバであるかを確認するための認証技術がＩｏＴ機器でも必要になっている。
【0003】
ＩｏＴ機器向けの認証技術としてはパスワードや電子証明書等が従来から知られているが、近年では、より安全性が高い認証鍵交換プロトコルの導入が求められている。認証鍵交換プロトコルとは、認証が成功した場合に互いに共通した鍵（この鍵は共有鍵とも呼ばれる。）を生成し、その共有鍵で暗号化通信が可能となるプロトコルである。このような認証鍵交換プロトコルの１つとして、ＩＤベース暗号を用いた認証鍵交換プロトコルが知られている。
【0004】
ＩＤベース暗号を用いた認証鍵交換プロトコルは、一般に、有限体上の楕円曲線における双線形群を用いて実現される。このような双線形群はペアリング群とも呼ばれ、対称ペアリング群と非対称ペアリング群とに分類することができる。現在、ペアリング群を暗号で用いる場合には、効率性や安全性の観点から非対称ペアリング群が用いられることが多い。
【0005】
一方で、ＩＤベース暗号はＫＧＣ（Key Generation Center）と呼ばれるサーバが端末の秘密鍵を生成するため、ＩｏＴ機器の管理者は外部のＫＧＣサービスを利用するよりも自前でＫＧＣを運用する可能性が高い。したがって、エッジコンピューティングサービスのユースケースのように、ＩｏＴ機器が外部のエッジサーバと通信する場合、ＩｏＴ機器側はＩＤベース暗号に基づく認証を行い、エッジサーバ側は電子証明書に基づく認証を行うことがある。非特許文献１には、一方の機器がＩＤベースのＫＧＣドメイン下で、もう一方の機器（サーバ）がＰＫＩ（Public Key Infrastructure、公開鍵暗号基盤）の或るＣＡ（Certificate Authority、認証局）ドメイン下であるようなクロスドメイン認証鍵交換プロトコルが記載されている。
【先行技術文献】
【非特許文献】
【0006】
【文献】Ustaoglu, B.: Integrating identity-based and certificate-based authenticated key exchange protocols. Int. J. Inf. Security 10(4), 201-212 (2011)
【発明の概要】
【発明が解決しようとする課題】
【0007】
しかしながら、非特許文献１では、ペアリング演算と呼ばれる群演算を２回行う必要がある。ペアリング演算は一般に計算コストが高いため、ＩｏＴ機器等の計算リソースが限られた機器が非特許文献１に記載されているプロトコルによって鍵交換を行う場合、鍵交換に時間を要することがある。例えば、動作クロック数が数百ＭＨｚ程度のプロセッサで４６２ビットのＢＮ（Barret-Naehrig）曲線上のペアリング演算を行った場合、１回あたり約６００ｍｓｅｃ程度の計算時間を要する。
【0008】
本発明の一実施形態は、上記の点に鑑みてなされたもので、ＩＤベース暗号に基づく認証を行う機器と、電子証明書に基づく認証を行う機器との間で効率的な認証鍵交換を行うことを目的とする。
【課題を解決するための手段】
【0009】
上記目的を達成するため、一実施形態に係る認証鍵交換システムは、ＩＤベース暗号のＫＧＣとして機能するサーバと、前記ＩＤベース暗号に基づく認証を行う第１の機器と、電子署名に基づく認証を行う第２の機器とが含まれ、前記第１の機器と前記第２の機器との間で認証鍵交換を行う認証鍵交換システムであって、前記サーバは、前記ＩＤベース暗号で用いられる双線形群と、前記ＩＤベース暗号のマスター秘密鍵と、前記マスター秘密鍵に対応するマスター公開鍵とを生成するように構成されているセットアップ部と、前記第１の機器の識別子を示す第１の識別子に対する第１の長期秘密鍵を生成するように構成されている長期秘密鍵生成部と、を有し、前記第１の機器は、第１の一時秘密鍵を生成すると共に、前記第１の一時秘密鍵及び前記第１の長期秘密鍵から第１の一時公開鍵を生成するように構成されている第１の一時鍵生成部と、前記第１の一時公開鍵と前記第１の識別子とを前記第２の機器に送信するように構成されている第１の一時鍵送信部と、少なくとも第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第２の機器の識別子を示す第２の識別子とを前記第２の機器から受信すると、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の機器の長期公開鍵と前記第１の一時秘密鍵と前記第１の長期秘密鍵と前記第１の識別子と前記第２の識別子からセッション鍵を生成するように構成されている第１のセッション鍵生成部と、を有し、前記第２の機器は、第２の長期秘密鍵と、前記第２の長期秘密鍵に対応する前記長期公開鍵とを生成するように構成されている長期鍵生成部と、第２の一時秘密鍵を生成すると共に、前記第２の一時秘密鍵及び前記第２の長期秘密鍵から前記第２の一時公開鍵を生成するように構成されている第２の一時鍵生成部と、少なくとも前記第２の一時公開鍵と前記長期公開鍵と前記第２の識別子とを前記第１の機器に送信するように構成されている第２の一時鍵送信部と、前記第１の一時公開鍵と前記第２の一時公開鍵と前記第２の一時秘密鍵と前記マスター公開鍵と前記第１の識別子と前記第２の識別子から前記セッション鍵を生成するように構成されている第２のセッション鍵生成部と、有する。
【発明の効果】
【0010】
ＩＤベース暗号に基づく認証を行う機器と、電子証明書に基づく認証を行う機器との間で効率的な認証鍵交換を行うことができる。
【図面の簡単な説明】
【0011】
【図1】本実施形態に係る認証鍵交換システムの全体構成例を示す図である。
【図2】本実施形態に係る鍵生成装置のハードウェア構成例を示す図である。
【図3】本実施形態に係る第１の通信機器のハードウェア構成例を示す図である。
【図4】本実施形態に係る第２の通信機器のハードウェア構成例を示す図である。
【図5】本実施形態に係る鍵生成装置の機能構成例を示す図である。
【図6】本実施形態に係る第１の通信機器の機能構成例を示す図である。
【図7】本実施形態に係る第２の通信機器の機能構成例を示す図である。
【図8】実施例１におけるセットアップ処理を説明するための図である。
【図9】実施例１における第１の通信機器の長期秘密鍵生成処理を説明するための図である。
【図10】実施例１における第２の通信機器の長期鍵生成処理を説明するための図である。
【図11】実施例１における認証鍵交換処理を説明するための図である。
【図12】実施例２における第２の通信機器の長期鍵生成処理を説明するための図である。
【図13】実施例２における認証鍵交換処理を説明するための図である。
【発明を実施するための形態】
【0012】
以下、本発明の一実施形態について説明する。本実施形態では、ＩＤベース暗号に基づく認証を行う機器と、電子証明書に基づく認証を行う機器との間で効率的な認証鍵交換を行うことができる認証鍵交換システム１について説明する。
【0013】
＜準備＞
本実施形態で使用する記号や概念、アルゴリズム等について説明する。
本実施形態で使用する記号や概念、アルゴリズム等について説明する。
【0014】
ｐを素数として、整数の加法群におけるｐを法とする剰余類のなす加法群をＺｐとする。
【0015】
また、κをセキュリティパラメータとする。セキュリティパラメータκは認証鍵交換システム１の安全性強度（単位はビット）を表すものであり、例えば、κ＝１２８やκ＝２５６等を取り得る。
【0016】
・双線形群
双線形群Ｇ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｅ）は、素数ｐと、位数ｐの巡回群Ｇ１、Ｇ２、ＧＴと、Ｇ１の生成元ｇ１と、Ｇ２の生成元ｇ２と、以下の双線形性及び非退化性を満たす双線形写像ｅ：Ｇ１×Ｇ２→ＧＴとで構成される。
双線形群Ｇ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｅ）は、素数ｐと、位数ｐの巡回群Ｇ１、Ｇ２、ＧＴと、Ｇ１の生成元ｇ１と、Ｇ２の生成元ｇ２と、以下の双線形性及び非退化性を満たす双線形写像ｅ：Ｇ１×Ｇ２→ＧＴとで構成される。
【0017】
双線形性：任意のｈ１∈Ｇ１、ｈ２∈Ｇ２、ａ，ｂ∈Ｚｐに対して、ｅ（ｈ１
ａ，ｈ２
ｂ）＝ｅ（ｈ１，ｈ２）ａｂが成り立つ。
【0018】
非退化性：ｅ（ｇ１，ｇ２）はＧＴの生成元である。
【0019】
このような双線形群の例としては、参考文献１に記載されているＯｐｔｉｍａｌ－ａｔｅ ｐａｒｉｎｇ等が挙げられる。
【0020】
・デジタル署名
デジタル署名は以下の３つのアルゴリズム｛ＫｅｙＧｅｎ，Ｓｉｇｎ，Ｖｅｒ｝で構成される。
デジタル署名は以下の３つのアルゴリズム｛ＫｅｙＧｅｎ，Ｓｉｇｎ，Ｖｅｒ｝で構成される。
【0021】
（ｐｋ，ｓｋ）←ＫｅｙＧｅｎ（１κ）：１κを入力として、公開鍵と秘密鍵のペア（ｐｋ，ｓｋ）を生成する。なお、１κは１のκビット列である。
【0022】
σ←Ｓｉｇｎ（ｓｋ，ｍ）：秘密鍵ｓｋとメッセージｍを入力として、署名σを生成する。
【0023】
１／０←Ｖｅｒ（ｐｋ，ｍ，σ）：公開鍵ｐｋとメッセージｍと署名σを入力として、１又は０を出力する。
【0024】
更に、任意の（ｐｋ，ｓｋ）←ＫｅｙＧｅｎ（１κ）に対して、１＝Ｖｅｒ（ｐｋ，ｍ，Ｓｉｇｎ（ｓｋ，ｍ））を満たすものとする。デジタル署名の例としては、ＥＣＤＳＡやＲＳＡ－ＰＳＳ等が挙げられる。
【0025】
＜全体構成＞
本実施形態に係る認証鍵交換システム１の全体構成例を図１に示す。図１に示すように、本実施形態に係る認証鍵交換システム１には、鍵生成装置１０と、第１の通信機器２０と、第２の通信機器３０とが含まれる。また、鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０は、例えば、インターネット等を含む通信ネットワーク４０を介して通信可能に接続される。なお、鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０の各々は「エンティティ」等とも呼ばれる。
本実施形態に係る認証鍵交換システム１の全体構成例を図１に示す。図１に示すように、本実施形態に係る認証鍵交換システム１には、鍵生成装置１０と、第１の通信機器２０と、第２の通信機器３０とが含まれる。また、鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０は、例えば、インターネット等を含む通信ネットワーク４０を介して通信可能に接続される。なお、鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０の各々は「エンティティ」等とも呼ばれる。
【0026】
鍵生成装置１０は、ＩＤベース暗号のＫＧＣとして機能するサーバであり、公開パラメータ等を生成するためのセットアップ処理を実行したり、第１の通信機器２０からの要求に応じてその第１の通信機器２０の長期秘密鍵を生成したりする。なお、鍵生成装置１０は、例えば、「鍵発行サーバ」や「鍵生成サーバ」等と呼ばれてもよい。
【0027】
第１の通信機器２０は、ＩＤベース暗号を用いた認証を行う機器（例えば、ＩｏＴ機器等）であり、第２の通信機器３０との間で暗号化通信のための認証鍵交換を行う。以下、第１の通信機器２０を一意に識別する識別子をＩＤＣとする。なお、識別子ＩＤＣとしては、例えば、製造固有番号、ユーザＩＤ、メールアドレス、電話番号、ＩＰアドレス、ＭＡＣアドレス等といったものを用いることができる。
【0028】
第２の通信機器３０は、電子証明書（以下、単に「証明書」ともいう。）を用いた認証を行う機器（例えば、サーバ等）であり、第１の通信機器２０との間で暗号化通信のための認証鍵交換を行う。すなわち、第２の通信機器３０は、ＰＫＩベースで認証を行う機器である。以下、第２の通信機器３０を一意に識別する識別子をＩＤＳとする。なお、識別子ＩＤＳとしては、例えば、製造固有番号、ユーザＩＤ、メールアドレス、電話番号、ＩＰアドレス、ＭＡＣアドレス等といったものを用いることができる。
【0029】
ここで、第２の通信機器３０は自身の長期公開鍵と長期秘密鍵を生成し、その長期公開鍵に対する証明書（より正確には識別子ＩＤＳと長期公開鍵に対する証明書）の発行を外部の認証局に要求するが、本実施形態では、第２の通信機器３０の通信相手となる第１の通信機器２０は、その認証局を信頼しているものとする。すなわち、当該第１の通信機器２０は、その認証局の公開鍵とその公開鍵に対する証明書（当該認証局がルート認証局であればルート証明書、そうでなければ上位の認証局が発行した証明書）とを保持しているものとする。
【0030】
なお、図１に示す認証鍵交換システム１の構成は一例であって、これに限られるものではない。例えば、図１に示す例では、第１の通信機器２０と第２の通信機器３０がそれぞれ１台のみ図示されているが、第１の通信機器２０が複数存在してもよいし、同様に第２の通信機器３０が複数存在してもよい。また、以下では、第１の通信機器２０はＩｏＴ機器、第２の通信機器３０はサーバであることを想定するが、これに限られるものではない。
【0031】
＜ハードウェア構成＞
本実施形態に係る認証鍵交換システム１に含まれる鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０のハードウェア構成例について説明する。
本実施形態に係る認証鍵交換システム１に含まれる鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０のハードウェア構成例について説明する。
【0032】
≪鍵生成装置１０≫
本実施形態に係る鍵生成装置１０のハードウェア構成例を図２に示す。図２に示すように、本実施形態に係る鍵生成装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、通信Ｉ／Ｆ１４と、ＲＡＭ（Random Access Memory）１５と、ＲＯＭ（Read Only Memory）１６と、補助記憶装置１７と、プロセッサ１８とを有する。これらの各ハードウェアは、それぞれがバス１９を介して通信可能に接続される。
本実施形態に係る鍵生成装置１０のハードウェア構成例を図２に示す。図２に示すように、本実施形態に係る鍵生成装置１０は、入力装置１１と、表示装置１２と、外部Ｉ／Ｆ１３と、通信Ｉ／Ｆ１４と、ＲＡＭ（Random Access Memory）１５と、ＲＯＭ（Read Only Memory）１６と、補助記憶装置１７と、プロセッサ１８とを有する。これらの各ハードウェアは、それぞれがバス１９を介して通信可能に接続される。
【0033】
入力装置１１は、例えば、キーボード、マウス、タッチパネル、各種物理ボタン等である。表示装置１２は、例えば、ディスプレイ、表示パネル等である。なお、鍵生成装置１０は、例えば、入力装置１１及び表示装置１２のうちの少なくとも一方を有していなくてもよい。
【0034】
外部Ｉ／Ｆ１３は、記録媒体１３ａ等の外部装置とのインタフェースである。記録媒体１３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。
【0035】
通信Ｉ／Ｆ１４は、鍵生成装置１０を通信ネットワーク４０に接続するためのインタフェースである。ＲＡＭ１５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ１６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置１７は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置であり、プログラムやデータが格納される。プロセッサ１８は、例えば、ＣＰＵ（Central Processing Unit）等の各種演算装置である。
【0036】
なお、図２に示すハードウェア構成は一例であって、鍵生成装置１０は、他のハードウェア構成を有していてもよい。例えば、鍵生成装置１０は、複数の補助記憶装置１７や複数のプロセッサ１８を有していてもよいし、図示したハードウェア以外の種々のハードウェアを有していてもよい。
【0037】
≪第１の通信機器２０≫
本実施形態に係る第１の通信機器２０のハードウェア構成例を図３に示す。図３に示すように、本実施形態に係る第１の通信機器２０は、外部Ｉ／Ｆ２１と、通信Ｉ／Ｆ２２と、メモリ装置２３と、プロセッサ２４とを有する。これらの各ハードウェアは、それぞれがバス２５を介して通信可能に接続される。
本実施形態に係る第１の通信機器２０のハードウェア構成例を図３に示す。図３に示すように、本実施形態に係る第１の通信機器２０は、外部Ｉ／Ｆ２１と、通信Ｉ／Ｆ２２と、メモリ装置２３と、プロセッサ２４とを有する。これらの各ハードウェアは、それぞれがバス２５を介して通信可能に接続される。
【0038】
外部Ｉ／Ｆ２１は、記録媒体２１ａ等の外部装置とのインタフェースである。記録媒体２１ａとしては、例えば、ＳＤメモリカード、ＵＳＢメモリカード等が挙げられる。
【0039】
通信Ｉ／Ｆ２２は、第１の通信機器２０を通信ネットワーク４０に接続するためのインタフェースである。メモリ装置２３は、例えば、フラッシュメモリ等の各種記憶装置である。プロセッサ２４は、例えば、ＣＰＵやＭＰＵ（Micro-Processing Unit）等の各種演算装置である。
【0040】
なお、図３に示すハードウェア構成は一例であって、第１の通信機器２０は、他のハードウェア構成を有していてもよい。例えば、第１の通信機器２０は、複数のメモリ装置２３や複数のプロセッサ２４を有していてもよいし、図示した以外の種々のハードウェアを有していてもよい。
【0041】
≪第２の通信機器３０≫
本実施形態に係る第２の通信機器３０のハードウェア構成例を図４に示す。図４に示すように、本実施形態に係る第２の通信機器３０は、入力装置３１と、表示装置３２と、外部Ｉ／Ｆ３３と、通信Ｉ／Ｆ３４と、ＲＡＭ３５と、ＲＯＭ３６と、補助記憶装置３７と、プロセッサ３８とを有する。これらの各ハードウェアは、それぞれがバス３９を介して通信可能に接続される。
本実施形態に係る第２の通信機器３０のハードウェア構成例を図４に示す。図４に示すように、本実施形態に係る第２の通信機器３０は、入力装置３１と、表示装置３２と、外部Ｉ／Ｆ３３と、通信Ｉ／Ｆ３４と、ＲＡＭ３５と、ＲＯＭ３６と、補助記憶装置３７と、プロセッサ３８とを有する。これらの各ハードウェアは、それぞれがバス３９を介して通信可能に接続される。
【0042】
入力装置３１は、例えば、キーボード、マウス、タッチパネル、各種物理ボタン等である。表示装置３２は、例えば、ディスプレイ、表示パネル等である。なお、第２の通信機器３０は、例えば、入力装置３１及び表示装置３２のうちの少なくとも一方を有していなくてもよい。
【0043】
外部Ｉ／Ｆ３３は、記録媒体３３ａ等の外部装置とのインタフェースである。記録媒体３３ａとしては、例えば、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリカード等が挙げられる。
【0044】
通信Ｉ／Ｆ３４は、第２の通信機器３０を通信ネットワーク４０に接続するためのインタフェースである。ＲＡＭ３５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ３６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置３７は、例えば、ＨＤＤやＳＳＤ等の不揮発性の記憶装置であり、プログラムやデータが格納される。プロセッサ３８は、例えば、ＣＰＵ等の各種演算装置である。
【0045】
なお、図４に示すハードウェア構成は一例であって、第２の通信機器３０は、他のハードウェア構成を有していてもよい。例えば、第２の通信機器３０は、複数の補助記憶装置３７や複数のプロセッサ３８を有していてもよいし、図示したハードウェア以外の種々のハードウェアを有していてもよい。
【0046】
＜機能構成＞
本実施形態に係る認証鍵交換システム１に含まれる鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０の機能構成例について説明する。
本実施形態に係る認証鍵交換システム１に含まれる鍵生成装置１０、第１の通信機器２０、及び第２の通信機器３０の機能構成例について説明する。
【0047】
≪鍵生成装置１０≫
本実施形態に係る鍵生成装置１０の機能構成例を図５に示す。図５に示すように、本実施形態に係る鍵生成装置１０は、セットアップ処理部１０１と、長期秘密鍵生成部１０２とを有する。これら各部は、例えば、鍵生成装置１０にインストールされた１以上のプログラムが、プロセッサ１８に実行させる処理により実現される。また、本実施形態に係る鍵生成装置１０は、記憶部１０３を有する。記憶部１０３は、例えば、補助記憶装置１７により実現される。
本実施形態に係る鍵生成装置１０の機能構成例を図５に示す。図５に示すように、本実施形態に係る鍵生成装置１０は、セットアップ処理部１０１と、長期秘密鍵生成部１０２とを有する。これら各部は、例えば、鍵生成装置１０にインストールされた１以上のプログラムが、プロセッサ１８に実行させる処理により実現される。また、本実施形態に係る鍵生成装置１０は、記憶部１０３を有する。記憶部１０３は、例えば、補助記憶装置１７により実現される。
【0048】
セットアップ処理部１０１は、マスター秘密鍵や公開パラメータ等を生成するためのセットアップ処理を実行する。
【0049】
長期秘密鍵生成部１０２は、第１の通信機器２０からの要求に応じて、その第１の通信機器２０の識別子に対する長期秘密鍵を生成する。
【0050】
記憶部１０３は、各種情報（例えば、マスター秘密鍵や公開パラメータ等）を記憶する。
【0051】
≪第１の通信機器２０≫
本実施形態に係る第１の通信機器２０の機能構成例を図６に示す。図６に示すように、本実施形態に係る第１の通信機器２０は、長期秘密鍵要求部２０１と、長期秘密鍵受信部２０２と、一時鍵生成部２０３と、一時鍵送信部２０４と、一時鍵受信部２０５と、セッション鍵生成部２０６とを有する。これら各部は、例えば、第１の通信機器２０にインストールされた１以上のプログラムが、プロセッサ２４に実行させる処理により実現される。また、本実施形態に係る第１の通信機器２０は、記憶部２０７を有する。記憶部２０７は、例えば、メモリ装置２３により実現される。
本実施形態に係る第１の通信機器２０の機能構成例を図６に示す。図６に示すように、本実施形態に係る第１の通信機器２０は、長期秘密鍵要求部２０１と、長期秘密鍵受信部２０２と、一時鍵生成部２０３と、一時鍵送信部２０４と、一時鍵受信部２０５と、セッション鍵生成部２０６とを有する。これら各部は、例えば、第１の通信機器２０にインストールされた１以上のプログラムが、プロセッサ２４に実行させる処理により実現される。また、本実施形態に係る第１の通信機器２０は、記憶部２０７を有する。記憶部２０７は、例えば、メモリ装置２３により実現される。
【0052】
長期秘密鍵要求部２０１は、自身の識別子ＩＤＣに対する長期秘密鍵の生成を鍵生成装置１０に要求する。以下、識別子ＩＤＣに対する長期秘密鍵をｓｓｋＣとする。
【0053】
長期秘密鍵受信部２０２は、鍵生成装置１０から長期秘密鍵ｓｓｋＣを受信する。
【0054】
一時鍵生成部２０３は、自身の長期秘密鍵ｓｓｋＣを用いて、一時秘密鍵ｅｓｋＣと一時公開鍵ＸＣを生成する。
【0055】
一時鍵送信部２０４は、一時公開鍵ＸＣと自身の識別子ＩＤＣを第２の通信機器３０に送信する。
【0056】
一時鍵受信部２０５は、第２の通信機器３０からその第２の通信機器３０の一時公開鍵ＸＳ等を受信する。
【0057】
セッション鍵生成部２０６は、自身の長期秘密鍵ｓｓｋＣや第２の通信機器３０から受信した一時公開鍵ＸＳ等を用いて鍵要素を生成した上で、これらの鍵要素からセッション鍵を生成する。なお、このセッション鍵が、第２の通信機器３０との間で共有される共有鍵である。
【0058】
記憶部２０７は、各種情報（例えば、公開パラメータ、自身の長期秘密鍵ｓｓｋＣ等）を記憶する。
【0059】
≪第２の通信機器３０≫
本実施形態に係る第２の通信機器３０の機能構成例を図７に示す。図７に示すように、本実施形態に係る第２の通信機器３０は、長期鍵生成部３０１と、証明書発行要求部３０２と、一時鍵受信部３０３と、一時鍵生成部３０４と、一時鍵送信部３０５と、セッション鍵生成部３０６とを有する。これら各部は、例えば、第２の通信機器３０にインストールされた１以上のプログラムが、プロセッサ３８に実行させる処理により実現される。また、本実施形態に係る第２の通信機器３０は、記憶部３０７を有する。記憶部３０７は、例えば、補助記憶装置３７により実現される。
本実施形態に係る第２の通信機器３０の機能構成例を図７に示す。図７に示すように、本実施形態に係る第２の通信機器３０は、長期鍵生成部３０１と、証明書発行要求部３０２と、一時鍵受信部３０３と、一時鍵生成部３０４と、一時鍵送信部３０５と、セッション鍵生成部３０６とを有する。これら各部は、例えば、第２の通信機器３０にインストールされた１以上のプログラムが、プロセッサ３８に実行させる処理により実現される。また、本実施形態に係る第２の通信機器３０は、記憶部３０７を有する。記憶部３０７は、例えば、補助記憶装置３７により実現される。
【0060】
長期鍵生成部３０１は、長期秘密鍵と長期公開鍵を生成する。以下、第２の通信機器３０の長期秘密鍵をｓｓｋＳ、長期公開鍵をｓｐｋＳとする。
【0061】
証明書発行要求部３０２は、自身の識別子ＩＤＳと長期公開鍵ｓｐｋＳに対する証明書ｃｅｒｔＳの発行を外部の認証局に要求する。
【0062】
一時鍵受信部３０３は、第１の通信機器２０から一時公開鍵ＸＣと識別子ＩＤＣを受信する。
【0063】
一時鍵生成部３０４は、自身の長期秘密鍵ｓｓｋＳを用いて、一時秘密鍵ｅｓｋＳと一時公開鍵ＸＳを生成する。
【0064】
一時鍵送信部３０５は、一時公開鍵ＸＳと自身の長期公開鍵ｓｐｋＳと自身の識別子ＩＤＳと証明書ｃｅｒｔＳ等を第１の通信機器２０に送信する。
【0065】
セッション鍵生成部３０６は、マスター公開鍵や第１の通信機器２０から受信した一時公開鍵ＸＣ等を用いて鍵要素を生成した上で、これらの鍵要素からセッション鍵を生成する。
【0066】
記憶部３０７は、各種情報（例えば、公開パラメータ、自身の長期秘密鍵ｓｓｋＳ等）を記憶する。
【0067】
［実施例１］
以下、本実施形態の実施例１について説明する。本実施例では、各エンティティは、システム共通のパラメータとして以下のハッシュ関数Ｈ１，Ｈ２，Ｈを保持しているものとする。
以下、本実施形態の実施例１について説明する。本実施例では、各エンティティは、システム共通のパラメータとして以下のハッシュ関数Ｈ１，Ｈ２，Ｈを保持しているものとする。
【0068】
Ｈ１：識別子を入力として、Ｇ２の元を出力するハッシュ関数
Ｈ２：κビットのビット列とＧ２の元を入力として、Ｚｐの元を出力するハッシュ関数
Ｈ：可変長の長さの文字列を入力として、κビットのビット列を出力するハッシュ関数
＜セットアップ処理＞
実施例１におけるセットアップ処理について、図８を参照しながら説明する。
Ｈ２：κビットのビット列とＧ２の元を入力として、Ｚｐの元を出力するハッシュ関数
Ｈ：可変長の長さの文字列を入力として、κビットのビット列を出力するハッシュ関数
＜セットアップ処理＞
実施例１におけるセットアップ処理について、図８を参照しながら説明する。
【0069】
鍵生成装置１０のセットアップ処理部１０１は、双線形群Ｇ＝（ｐ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｅ）を生成する（ステップＳ１０１）。
【0070】
次に、鍵生成装置１０のセットアップ処理部１０１は、マスター秘密鍵ｗ∈Ｚｐを一様ランダムに生成する（ステップＳ１０２）。
【0071】
次に、鍵生成装置１０のセットアップ処理部１０１は、マスター公開鍵Ｗ＝ｇ１
ｗを生成する（ステップＳ１０３）。
【0072】
そして、鍵生成装置１０のセットアップ処理部１０１は、双線形群Ｇとマスター秘密鍵ｗとマスター公開鍵Ｗとを記憶部１０３に保存する（ステップＳ１０４）。ここで、公開パラメータは（Ｇ，Ｗ）であり、この公開パラメータ（Ｇ，Ｗ）は第１の通信機器２０及び第２の通信機器３０に公開される。以下では、第１の通信機器２０及び第２の通信機器３０は公開パラメータ（Ｇ，Ｗ）を保持しているものとする。
【0073】
＜第１の通信機器２０の長期秘密鍵生成処理＞
実施例１における第１の通信機器２０の長期秘密鍵生成処理について、図９を参照しながら説明する。
実施例１における第１の通信機器２０の長期秘密鍵生成処理について、図９を参照しながら説明する。
【0074】
第１の通信機器２０の長期秘密鍵要求部２０１は、自身の識別子ＩＤＣに対する長期秘密鍵の生成を鍵生成装置１０に要求する（ステップＳ２０１）。なお、この要求には、少なくとも識別子ＩＤＣが指定される。
【0075】
鍵生成装置１０の長期秘密鍵生成部１０２は、長期秘密鍵の生成要求を受信すると、長期秘密鍵ｓｓｋＣ＝Ｈ１（ＩＤＣ）ｗ∈Ｇ２を生成する（ステップＳ２０２）。
【0076】
次に、鍵生成装置１０の長期秘密鍵生成部１０２は、長期秘密鍵ｓｓｋＣを第１の通信機器２０に送信する（ステップＳ２０３）。
【0077】
そして、第１の通信機器２０の長期秘密鍵受信部２０２は、長期秘密鍵ｓｓｋＣを受信し、この長期秘密鍵ｓｓｋＣを記憶部２０７に保存する（ステップＳ２０４）。なお、長期秘密鍵ｓｓｋＣはセキュアな通信路を介して鍵生成装置１０から第１の通信機器２０に送信されるものとする。
【0078】
＜第２の通信機器３０の長期鍵生成処理＞
実施例１における第２の通信機器３０の長期鍵生成処理について、図１０を参照しながら説明する。
実施例１における第２の通信機器３０の長期鍵生成処理について、図１０を参照しながら説明する。
【0079】
第２の通信機器３０の長期鍵生成部３０１は、長期秘密鍵ｓｓｋＳ∈Ｚｐを一様ランダムに生成する（ステップＳ３０１）。
【0080】
次に、第２の通信機器３０の長期鍵生成部３０１は、長期公開鍵ｓｐｋＳ＝ｇ１
ｓｓｋ_Ｓを生成する（ステップＳ３０２）。なお、「ｓｓｋ_Ｓ」はｓｓｋＳを表す。
【0081】
次に、第２の通信機器３０の証明書発行要求部３０２は、自身の識別子ＩＤＳと長期公開鍵ｓｐｋＳに対する証明書ｃｅｒｔＳの発行を外部の認証局に要求する（ステップＳ３０３）。これにより、当該認証局から証明書ｃｅｒｔＳが返信される。
【0082】
そして、第２の通信機器３０の長期鍵生成部３０１は、長期秘密鍵ｓｓｋＳと長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳとを記憶部３０７に保存する（ステップＳ３０４）。
【0083】
＜認証鍵交換処理＞
実施例１における認証鍵交換処理について、図１１を参照しながら説明する。なお、以下では、第１の通信機器２０から第２の通信機器３０に対して開始要求を行うものとする。すなわち、第１の通信機器２０がイニシエータ、第２の通信機器３０がレスポンダであるものとする。また、第１の通信機器２０は、第２の通信機器３０の通信先情報（例えば、ＩＰアドレスやＭＡＣアドレス等）を既に取得しているものとする。
実施例１における認証鍵交換処理について、図１１を参照しながら説明する。なお、以下では、第１の通信機器２０から第２の通信機器３０に対して開始要求を行うものとする。すなわち、第１の通信機器２０がイニシエータ、第２の通信機器３０がレスポンダであるものとする。また、第１の通信機器２０は、第２の通信機器３０の通信先情報（例えば、ＩＰアドレスやＭＡＣアドレス等）を既に取得しているものとする。
【0084】
第１の通信機器２０の一時鍵生成部２０３は、一時秘密鍵ｅｓｋＣ∈｛０，１｝κを一様ランダムに生成した上で、ｘＣ＝Ｈ２（ｅｓｋＣ，ｓｓｋＣ）を計算して一時公開鍵ＸＣ＝ｇ１
ｘ_Ｃを生成する（ステップＳ４０１）。一時秘密鍵ｅｓｋＣは記憶部２０７に保存される。なお、「ｘ_Ｃ」はｘＣを表す。
【0085】
次に、第１の通信機器２０の一時鍵送信部２０４は、一時公開鍵ＸＣと自身の識別子ＩＤＣを第２の通信機器３０に送信する（ステップＳ４０２）。
【0086】
第２の通信機器３０の一時鍵生成部３０４は、一時公開鍵ＸＣと識別子ＩＤＣを一時鍵受信部３０３が受信すると、一時秘密鍵ｅｓｋＳ∈｛０，１｝κを一様ランダムに生成した上で、ｘＳ＝Ｈ２（ｅｓｋＳ，ｓｓｋＳ）を計算して一時公開鍵ＸＳ＝ｇ１
ｘ_Ｓを生成する（ステップＳ４０３）。一時秘密鍵ｅｓｋＳは記憶部３０７に保存される。なお、「ｘ_Ｓ」はｘＳを表す。
【0087】
次に、第２の通信機器３０の一時鍵送信部３０５は、一時公開鍵ＸＳと自身の長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳと自身の識別子ＩＤＳとを第１の通信機器２０に送信する（ステップＳ４０４）。
【0088】
第１の通信機器２０のセッション鍵生成部２０６は、一時公開鍵ＸＳと長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳと識別子ＩＤＳとを一時鍵受信部２０５が受信すると、長期公開鍵ｓｐｋＳ及び識別子ＩＤＳが証明書ｃｅｒｔＳに記載の通りであるかを検証すると共に、証明書ｃｅｒｔＳが所定の認証局によって正しくされたことをその認証局の公開鍵を用いて検証する（ステップＳ４０５）。なお、いずれかの検証に失敗した場合、第１の通信機器２０は、認証鍵交換処理を終了する。一方で、いずれの検証にも成功した場合、第１の通信機器２０は、次のステップＳ４０６を実行する。
【0089】
第１の通信機器２０のセッション鍵生成部２０６は、鍵要素σ１＝ｅ（ＸＳ，ｓｓｋＣ）、σ２＝ｓｐｋＳ
ｘ_Ｃ、σ３＝ＸＳ
ｘ_Ｃを生成した上で、セッション鍵ＳＫ＝Ｈ（σ１，σ２，σ３，ＩＤＣ，ＩＤＳ，ＸＣ，ＸＳ，ｓｐｋＳ，ｃｅｒｔＳ）を生成する（ステップＳ４０６）。なお、ｘＣは、記憶部２０７に保存されている長期秘密鍵ｓｓｋＣと一時秘密鍵ｅｓｋＣからｘＣ＝Ｈ２（ｅｓｋＣ，ｓｓｋＣ）により計算される。
【0090】
第２の通信機器３０のセッション鍵生成部３０６は、鍵要素σ１＝ｅ（Ｗｘ_Ｓ，Ｈ１（ＩＤＣ））、σ２＝ＸＣ
ｓｓｋ_Ｓ、σ３＝ＸＣ
ｘ_Ｓを生成した上で、セッション鍵ＳＫ＝Ｈ（σ１，σ２，σ３，ＩＤＣ，ＩＤＳ，ＸＣ，ＸＳ，ｓｐｋＳ，ｃｅｒｔＳ）を生成する（ステップＳ４０７）。なお、ｘＳは、記憶部３０７に保存されている長期秘密鍵ｓｓｋＳと一時秘密鍵ｅｓｋＳからｘＳ＝Ｈ２（ｅｓｋＳ，ｓｓｋＳ）により計算される。また、本ステップは、上記のステップＳ４０４の終了後にすぐ実行してもよい。
【0091】
＜まとめ＞
以上のように、本実施例では、第１の通信機器２０と第２の通信機器３０はセッション鍵ＳＫを共有することができる。これにより、これ以降、第１の通信機器２０と第２の通信機器３０は当該セッション鍵ＳＫを用いて暗号化通信を行うことができる。
以上のように、本実施例では、第１の通信機器２０と第２の通信機器３０はセッション鍵ＳＫを共有することができる。これにより、これ以降、第１の通信機器２０と第２の通信機器３０は当該セッション鍵ＳＫを用いて暗号化通信を行うことができる。
【0092】
このとき、本実施例では、第１の通信機器２０と第２の通信機器３０の各々でペアリング演算を１回のみ計算すればよい。このため、例えば、非特許文献１に記載されているプロトコルと比較してペアリング演算の回数が削減されるため、効率的な認証鍵交換を実現することができる。
【0093】
また、本実施例では、第１の通信機器２０と第２の通信機器３０の各々でＧ１上のスカラ倍算を３回のみ計算すればよい。これに対して、例えば、非特許文献１に記載されているプロトコルでは、Ｇ１上のスカラ倍算を４回（又は５回）、Ｇ２上のスカラ倍算を２回計算する必要がある。このため、例えば、非特許文献１に記載されているプロトコルと比較してスカラ倍算の回数が削減されるため、効率的な認証鍵交換を実現することができる。
【0094】
なお、本実施例では、鍵要素σ１により第１の通信機器２０が認証され、鍵要素σ２により第２の通信機器３０が認証される。また、鍵要素σ３により認証鍵交換における必須の安全性（前方秘匿性）が保証される。
【0095】
［実施例２］
以下、本実施形態の実施例２について説明する。本実施例では、各エンティティは、システム共通のパラメータとして上記のハッシュ関数Ｈ１，Ｈ２，Ｈに加えて、以下のハッシュ関数Ｈ３も保持しているものとする。
以下、本実施形態の実施例２について説明する。本実施例では、各エンティティは、システム共通のパラメータとして上記のハッシュ関数Ｈ１，Ｈ２，Ｈに加えて、以下のハッシュ関数Ｈ３も保持しているものとする。
【0096】
Ｈ３：κビットのビット列とデジタル署名の秘密鍵を入力として、Ｚｐの元を出力するハッシュ関数
なお、本実施例では、実施例１との相違点について説明し、実施例１と同様の構成要素についてはその説明を省略するものとする。
なお、本実施例では、実施例１との相違点について説明し、実施例１と同様の構成要素についてはその説明を省略するものとする。
【0097】
＜セットアップ処理＞
実施例１と同様であるため、その説明を省略する。
実施例１と同様であるため、その説明を省略する。
【0098】
＜第１の通信機器２０の長期秘密鍵生成処理＞
実施例１と同様であるため、その説明を省略する。
実施例１と同様であるため、その説明を省略する。
【0099】
＜第２の通信機器３０の長期鍵生成処理＞
実施例２における第２の通信機器３０の長期鍵生成処理について、図１２を参照しながら説明する。
実施例２における第２の通信機器３０の長期鍵生成処理について、図１２を参照しながら説明する。
【0100】
第２の通信機器３０の長期鍵生成部３０１は、長期公開鍵ｓｐｋＳと長期秘密鍵ｓｓｋＳの鍵ペア（ｓｐｋＳ，ｓｓｋＳ）←ＫｅｙＧｅｎ（１κ）を生成する（ステップＳ５０１）。なお、長期公開鍵ｓｐｋＳはデジタル署名の公開鍵、長期秘密鍵ｓｓｋＳはデジタル署名の秘密鍵である。
【0101】
次に、第２の通信機器３０の証明書発行要求部３０２は、自身の識別子ＩＤＳと長期公開鍵ｓｐｋＳに対する証明書ｃｅｒｔＳの発行を外部の認証局に要求する（ステップＳ５０２）。これにより、当該認証局から証明書ｃｅｒｔＳが返信される。
【0102】
そして、第２の通信機器３０の長期鍵生成部３０１は、長期秘密鍵ｓｓｋＳと長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳとを記憶部３０７に保存する（ステップＳ５０３）。
【0103】
＜認証鍵交換処理＞
実施例２における認証鍵交換処理について、図１３を参照しながら説明する。なお、以下では、第１の通信機器２０から第２の通信機器３０に対して開始要求を行うものとする。すなわち、第１の通信機器２０がイニシエータ、第２の通信機器３０がレスポンダであるものとする。また、第１の通信機器２０は、第２の通信機器３０の通信先情報（例えば、ＩＰアドレスやＭＡＣアドレス等）を既に取得しているものとする。
実施例２における認証鍵交換処理について、図１３を参照しながら説明する。なお、以下では、第１の通信機器２０から第２の通信機器３０に対して開始要求を行うものとする。すなわち、第１の通信機器２０がイニシエータ、第２の通信機器３０がレスポンダであるものとする。また、第１の通信機器２０は、第２の通信機器３０の通信先情報（例えば、ＩＰアドレスやＭＡＣアドレス等）を既に取得しているものとする。
【0104】
第１の通信機器２０の一時鍵生成部２０３は、一時秘密鍵ｅｓｋＣ∈｛０，１｝κを一様ランダムに生成した上で、ｘＣ＝Ｈ２（ｅｓｋＣ，ｓｓｋＣ）を計算して一時公開鍵ＸＣ＝ｇ１
ｘ_Ｃを生成する（ステップＳ６０１）。一時秘密鍵ｅｓｋＣは記憶部２０７に保存される。
【0105】
次に、第１の通信機器２０の一時鍵送信部２０４は、一時公開鍵ＸＣと自身の識別子ＩＤＣを第２の通信機器３０に送信する（ステップＳ６０２）。
【0106】
第２の通信機器３０の一時鍵生成部３０４は、一時公開鍵ＸＣと識別子ＩＤＣを一時鍵受信部３０３が受信すると、一時秘密鍵ｅｓｋＳ∈｛０，１｝κを一様ランダムに生成した上で、ｘＳ＝Ｈ３（ｅｓｋＳ，ｓｓｋＳ）を計算して一時公開鍵ＸＳ＝ｇ１
ｘ_Ｓを生成する（ステップＳ６０３）。一時秘密鍵ｅｓｋＳは記憶部３０７に保存される。
【0107】
次に、第２の通信機器３０の一時鍵生成部３０４は、一時公開鍵ＸＳと識別子ＩＤＣと識別子ＩＤＳとが含まれるメッセージｍに対する署名ｓｉｇｎＳ←Ｓｉｇｎ（ｓｓｋＳ，ｍ）を生成する（ステップＳ６０４）。
【0108】
次に、第２の通信機器３０の一時鍵送信部３０５は、一時公開鍵ＸＳと署名ｓｉｇｎＳと自身の長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳと自身の識別子ＩＤＳとを第１の通信機器２０に送信する（ステップＳ６０５）。
【0109】
第１の通信機器２０のセッション鍵生成部２０６は、一時公開鍵ＸＳと署名ｓｉｇｎＳと自身の長期公開鍵ｓｐｋＳと証明書ｃｅｒｔＳと自身の識別子ＩＤＳとを一時鍵受信部２０５が受信すると、長期公開鍵ｓｐｋＳ及び識別子ＩＤＳが証明書ｃｅｒｔＳに記載の通りであるかを検証すると共に、証明書ｃｅｒｔＳが所定の認証局によって正しくされたことをその認証局の公開鍵を用いて検証し、更に１＝Ｖｅｒ（ｓｐｋＳ，ｍ，ｓｉｇｎＳ）が成り立つかを検証する（ステップＳ６０６）。なお、いずれかの検証に失敗した場合、第１の通信機器２０は、認証鍵交換処理を終了する。一方で、いずれの検証にも成功した場合、第１の通信機器２０は、次のステップＳ６０７を実行する。
【0110】
第１の通信機器２０のセッション鍵生成部２０６は、鍵要素σ１＝ｅ（ＸＳ，ｓｓｋＣ）、σ２＝ＸＳ
ｘ_Ｃを生成した上で、セッション鍵ＳＫ＝Ｈ（σ１，σ２，ＩＤＣ，ＩＤＳ，ＸＣ，ＸＳ，ｓｉｇｎＳ，ｓｐｋＳ，ｃｅｒｔＳ）を生成する（ステップＳ６０７）。なお、ｘＣは、記憶部２０７に保存されている長期秘密鍵ｓｓｋＣと一時秘密鍵ｅｓｋＣからｘＣ＝Ｈ２（ｅｓｋＣ，ｓｓｋＣ）により計算される。
【0111】
第２の通信機器３０のセッション鍵生成部３０６は、鍵要素σ１＝ｅ（Ｗｘ_Ｓ，Ｈ１（ＩＤＣ））、σ２＝ＸＣ
ｘ_Ｓを生成した上で、セッション鍵ＳＫ＝Ｈ（σ１，σ２，ＩＤＣ，ＩＤＳ，ＸＣ，ＸＳ，ｓｉｇｎＳ，ｓｐｋＳ，ｃｅｒｔＳ）を生成する（ステップＳ６０８）。なお、ｘＳは、記憶部３０７に保存されている長期秘密鍵ｓｓｋＳと一時秘密鍵ｅｓｋＳからｘＳ＝Ｈ３（ｅｓｋＳ，ｓｓｋＳ）により計算される。また、本ステップは、上記のステップＳ６０５の終了後にすぐ実行してもよい。
【0112】
＜まとめ＞
以上のように、本実施例では、第１の通信機器２０と第２の通信機器３０はセッション鍵ＳＫを共有することができる。これにより、これ以降、第１の通信機器２０と第２の通信機器３０は当該セッション鍵ＳＫを用いて暗号化通信を行うことができる。
以上のように、本実施例では、第１の通信機器２０と第２の通信機器３０はセッション鍵ＳＫを共有することができる。これにより、これ以降、第１の通信機器２０と第２の通信機器３０は当該セッション鍵ＳＫを用いて暗号化通信を行うことができる。
【0113】
このとき、本実施例では、実施例１と同様に、第１の通信機器２０と第２の通信機器３０の各々でペアリング演算を１回のみ計算すればよい。このため、例えば、非特許文献１に記載されているプロトコルと比較してペアリング演算の回数が削減されるため、効率的な認証鍵交換を実現することができる。
【0114】
また、本実施例では、デジタル署名により第２の通信機器３０を認証することで、第２の通信機器３０を認証するための鍵要素が不要となり、第１の通信機器２０と第２の通信機器３０の各々でＧ１上のスカラ倍算を２回のみ計算すればよくなる。このため、実施例１と比較して、更に効率的な認証鍵交換を実現することができる。
【0115】
なお、本実施例では、鍵要素σ１により第１の通信機器２０が認証され、デジタル署名により第２の通信機器３０が認証される。また、鍵要素σ２により認証鍵交換における必須の安全性（前方秘匿性）が保証される。
【0116】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。
【0117】
［参考文献］
参考文献１：Vercauteren, F.: Optimal pairings. IEEE Trans. Inf. Theory 56, 455-461 (2010)
参考文献１：Vercauteren, F.: Optimal pairings. IEEE Trans. Inf. Theory 56, 455-461 (2010)
【符号の説明】
【0118】
１ 認証鍵交換システム
１０ 鍵生成装置
１１ 入力装置
１２ 表示装置
１３ 外部Ｉ／Ｆ
１３ａ 記録媒体
１４ 通信Ｉ／Ｆ
１５ ＲＡＭ
１６ ＲＯＭ
１７ 補助記憶装置
１８ プロセッサ
１９ バス
２０ 第１の通信機器
２１ 外部Ｉ／Ｆ
２１ａ 記録媒体
２２ 通信Ｉ／Ｆ
２３ メモリ装置
２４ プロセッサ
２５ バス
３０ 第２の通信機器
３１ 入力装置
３２ 表示装置
３３ 外部Ｉ／Ｆ
３３ａ 記録媒体
３４ 通信Ｉ／Ｆ
３５ ＲＡＭ
３６ ＲＯＭ
３７ 補助記憶装置
３８ プロセッサ
３９ バス
１０１ セットアップ処理部
１０２ 長期秘密鍵生成部
１０３ 記憶部
２０１ 長期秘密鍵要求部
２０２ 長期秘密鍵受信部
２０３ 一時鍵生成部
２０４ 一時鍵送信部
２０５ 一時鍵受信部
２０６ セッション鍵生成部
２０７ 記憶部
３０１ 長期鍵生成部
３０２ 証明書発行要求部
３０３ 一時鍵受信部
３０４ 一時鍵生成部
３０５ 一時鍵送信部
３０６ セッション鍵生成部
３０７ 記憶部
１０ 鍵生成装置
１１ 入力装置
１２ 表示装置
１３ 外部Ｉ／Ｆ
１３ａ 記録媒体
１４ 通信Ｉ／Ｆ
１５ ＲＡＭ
１６ ＲＯＭ
１７ 補助記憶装置
１８ プロセッサ
１９ バス
２０ 第１の通信機器
２１ 外部Ｉ／Ｆ
２１ａ 記録媒体
２２ 通信Ｉ／Ｆ
２３ メモリ装置
２４ プロセッサ
２５ バス
３０ 第２の通信機器
３１ 入力装置
３２ 表示装置
３３ 外部Ｉ／Ｆ
３３ａ 記録媒体
３４ 通信Ｉ／Ｆ
３５ ＲＡＭ
３６ ＲＯＭ
３７ 補助記憶装置
３８ プロセッサ
３９ バス
１０１ セットアップ処理部
１０２ 長期秘密鍵生成部
１０３ 記憶部
２０１ 長期秘密鍵要求部
２０２ 長期秘密鍵受信部
２０３ 一時鍵生成部
２０４ 一時鍵送信部
２０５ 一時鍵受信部
２０６ セッション鍵生成部
２０７ 記憶部
３０１ 長期鍵生成部
３０２ 証明書発行要求部
３０３ 一時鍵受信部
３０４ 一時鍵生成部
３０５ 一時鍵送信部
３０６ セッション鍵生成部
３０７ 記憶部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】