特許 7640049 認証鍵交換システム、機器、認証鍵交換方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2025-02-25

(45)【発行日】2025-03-05

(54)【発明の名称】認証鍵交換システム、機器、認証鍵交換方法、及びプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20250226BHJP

   G09C 1/00 20060101ALI20250226BHJP

   H04L 9/16 20060101ALI20250226BHJP

【ＦＩ】

H04L9/08 B

G09C1/00 630B

H04L9/16

【請求項の数】 6

(21)【出願番号】P 2022041306

(22)【出願日】2022-03-16

(65)【公開番号】P2023135947

(43)【公開日】2023-09-29

【審査請求日】2024-05-21

【新規性喪失の例外の表示】特許法第３０条第２項適用 ２０２２年１月１２日及び２０２２年１月２０日に２０２２年暗号と情報セキュリティシンポジウムにて公開

(73)【特許権者】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(73)【特許権者】

【識別番号】592218300

【氏名又は名称】学校法人神奈川大学

(74)【代理人】

【識別番号】110004381

【氏名又は名称】弁理士法人ＩＴＯＨ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100124844

【弁理士】

【氏名又は名称】石原 隆治

(72)【発明者】

【氏名】中川 皓平

(72)【発明者】

【氏名】永井 彰

(72)【発明者】

【氏名】岡野 裕樹

(72)【発明者】

【氏名】藤岡 淳

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２０２１－０１９２２３（ＪＰ，Ａ）

【文献】国際公開第２０１８／１６９４８９（ＷＯ，Ａ１）

【文献】石田 優 ほか，選択暗号文攻撃に対して安全な鍵失効機能付きＩＤベース暗号，ＣＳＳ２０１４ コンピュータセキュリティシンポジウム２０１４ 論文集 ［ＣＤ－ＲＯＭ］，日本，一般社団法人情報処理学会 コンピュータセキュリティ，2014年10月15日，Ｖｏｌ．２０１４ Ｎｏ．２，p. 292 - 299

【文献】岡野 裕樹 ほか，失効可能な階層型ＩＤベース認証鍵交換の安全性モデルと構成について，２０２１年 暗号と情報セキュリティシンポジウム予稿集 ［ｏｎｌｉｎｅ］，日本，2021年01月15日，3B1-2，pp.1-8

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／０８

Ｇ０９Ｃ １／００

Ｈ０４Ｌ ９／１６

(57)【特許請求の範囲】

【請求項1】

鍵生成装置と複数の機器とが含まれる認証鍵交換システムであって、
前記鍵生成装置は、
セキュリティパラメータ１^λと前記機器の総数Ｎとを入力として、マスタ秘密鍵ＭＳＫとマスタ公開鍵ＭＰＫと初期の失効者リストＲＬとを出力するように構成されているパラメータ生成部と、
前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと前記機器の識別子ＩＤとを入力として、前記識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤを出力するように構成されている静的秘密鍵生成部と、
前記マスタ公開鍵ＭＰＫと新たな失効者リストＲＬとを入力として、現在の時刻Ｔをインクリメントすると共に、現在の時刻Ｔの失効者リストＲＬ_Ｔを前記新たな失効者リストＲＬに更新するように構成されている失効者リスト更新部と、
前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと現在の時刻Ｔと前記現在の時刻Ｔの失効者リストＲＬ _Ｔ とを入力として、ＫＵＮｏｄｅアルゴリズムを利用して現在の時刻Ｔの鍵更新情報ｋｕ_Ｔを出力するように構成されている鍵更新情報生成部と、を有し、
前記機器は、
前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤと現在の時刻Ｔの鍵更新情報ｋｕ_Ｔとを入力として、ペアリング計算を用いずに、Ｓｃｈｎｏｒｒ署名を利用して現在の時刻Ｔの最新秘密鍵ｃｓｋ_ＩＤ，Ｔを出力するように構成されている最新秘密鍵生成部と、
前記マスタ公開鍵ＭＰＫと現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔを入力として、一時秘密鍵ｅｓｋ_ＩＤと一時公開鍵ｅｐｋ_ＩＤとを出力するように構成されている一時鍵生成部と、
前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤと通信相手の識別子ＩＤ'と現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔと自身の識別子ＩＤに対応する一時秘密鍵ｅｓｋ_ＩＤと通信相手の識別子ＩＤ'に対応する一時公開鍵ｅｐｋ_ＩＤ'とを入力として、前記通信相手と共有するセッション鍵ＳＫを出力するように構成されているセッション鍵生成部と、
を有する認証鍵交換システム。

【請求項2】

前記最新秘密鍵生成部は、
前記静的秘密鍵ｓｓｋ_ＩＤに含まれる値ｓ_ＩＤと、前記鍵更新情報ｋｕ_Ｔに含まれる複数の値ｓ_Ｔ||θのうち自身の識別子ＩＤから一意に決まる値θに対応するｓ_Ｔ||θとの和又は線形結合を署名鍵とした前記Ｓｃｈｎｏｒｒ署名を利用して、前記識別子ＩＤと現在の時刻Ｔとを含む情報のハッシュ値に対して署名を付与することで、前記最新秘密鍵ｃｓｋ_ＩＤ，Ｔを出力するように構成されている、請求項１に記載の認証鍵交換システム。

【請求項3】

通信相手となる他の機器との間でセッション鍵を共有する機器であって、
マスタ公開鍵ＭＰＫと自身の識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤと現在の時刻Ｔの鍵更新情報ｋｕ_Ｔとを入力として、ペアリング計算を用いずに、Ｓｃｈｎｏｒｒ署名を利用して現在の時刻Ｔの最新秘密鍵ｃｓｋ_ＩＤ，Ｔを出力するように構成されている最新秘密鍵生成部と、
前記マスタ公開鍵ＭＰＫと現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔを入力として、一時秘密鍵ｅｓｋ_ＩＤと一時公開鍵ｅｐｋ_ＩＤとを出力するように構成されている一時鍵生成部と、
前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤと通信相手の識別子ＩＤ'と現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔと自身の識別子ＩＤに対応する一時秘密鍵ｅｓｋ_ＩＤと通信相手の識別子ＩＤ'に対応する一時公開鍵ｅｐｋ_ＩＤ'とを入力として、前記通信相手と共有するセッション鍵ＳＫを出力するように構成されているセッション鍵生成部と、
を有する機器。

【請求項4】

鍵生成装置と複数の機器とが含まれる認証鍵交換システムに用いられる認証鍵交換方法であって、
前記鍵生成装置が、
セキュリティパラメータ１^λと前記機器の総数Ｎとを入力として、マスタ秘密鍵ＭＳＫとマスタ公開鍵ＭＰＫと初期の失効者リストＲＬとを出力するパラメータ生成手順と、
前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと前記機器の識別子ＩＤとを入力として、前記識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤを出力する静的秘密鍵生成手順と、
前記マスタ公開鍵ＭＰＫと新たな失効者リストＲＬとを入力として、現在の時刻Ｔをインクリメントすると共に、現在の時刻Ｔの失効者リストＲＬ_Ｔを前記新たな失効者リストＲＬに更新する失効者リスト更新手順と、
前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと現在の時刻Ｔと前記現在の時刻Ｔの失効者リストＲＬ _Ｔ とを入力として、ＫＵＮｏｄｅアルゴリズムを利用して現在の時刻Ｔの鍵更新情報ｋｕ_Ｔを出力する鍵更新情報生成手順と、を実行し、
前記機器が、
前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤと現在の時刻Ｔの鍵更新情報ｋｕ_Ｔとを入力として、ペアリング計算を用いずに、Ｓｃｈｎｏｒｒ署名を利用して現在の時刻Ｔの最新秘密鍵ｃｓｋ_ＩＤ，Ｔを出力する最新秘密鍵生成手順と、
前記マスタ公開鍵ＭＰＫと現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔを入力として、一時秘密鍵ｅｓｋ_ＩＤと一時公開鍵ｅｐｋ_ＩＤとを出力する一時鍵生成手順と、
前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤと通信相手の識別子ＩＤ'と現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔと自身の識別子ＩＤに対応する一時秘密鍵ｅｓｋ_ＩＤと通信相手の識別子ＩＤ'に対応する一時公開鍵ｅｐｋ_ＩＤ'とを入力として、前記通信相手と共有するセッション鍵ＳＫを出力するセッション鍵生成手順と、
を実行する認証鍵交換方法。

【請求項5】

コンピュータを、請求項１又は２に記載の認証鍵交換システムに含まれる鍵生成装置として機能させるためのプログラム。

【請求項6】

コンピュータを、請求項１又は２に記載の認証鍵交換システムに含まれる機器として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、認証鍵交換システム、機器、認証鍵交換方法、及びプログラムに関する。

【背景技術】

【0002】

認証鍵交換（ＡＫＥ：Authenticated Key Exchange）プロトコルは、各ユーザが自身の秘密鍵に基づいて通信相手と秘密にかつ確実に共通のセッション鍵を生成するためのプロトコルである。ＡＫＥプロトコルには、電子証明書を用いるＰＫＩ（Public Key Infrastructure）ベースのＡＫＥプロトコルの他、ＩＤ（例えば、機器の製造固有番号等）を公開鍵として用いるＩＤベースＡＫＥプロトコルがある。ＩＤベースＡＫＥプロトコルは、ＰＫＩベースＡＫＥプロトコルと比較して、通信相手と公開鍵の紐付けを検証する必要がない、というメリットがある。

【0003】

また、ＡＫＥプロトコルには長期運用の観点から、ユーザの失効機能が必要とされる。ＰＫＩベースの場合は証明書に記載の有効期間等によって証明書の有効性・失効確認を行えるが、ＩＤベースの場合は、各ユーザは通信相手のＩＤを知るのみであるため、通信相手のＩＤや秘密鍵が失効されているか否かを確認する方法はない。このため、既存のＩＤベースＡＫＥプロトコル（例えば、非特許文献１）では、鍵生成センタ（ＫＧＣ：Key Generation Center）が一定期間毎に鍵更新情報を各ユーザに配布し、有効なユーザのみが自身の秘密鍵と鍵更新情報から最新の秘密鍵が得られる、という方式を用いることにより、ユーザの失効機能を実現している。

【先行技術文献】

【非特許文献】

【0004】

【文献】Tung-Tso Tsai, Yun-Hsin Chuang, Yuh-Min Tseng, Sen-Shan Huang, Ying-Hao Hung. "A Leakage-Resilient ID-Based Authenticated Key Exchange Protocol With a Revocation Mechanism", 2021.

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、既存の失効機能付きＩＤベースＡＫＥプロトコルでは、鍵更新情報の生成にユーザ数に関して線形な時間を要し、またペアリング計算が必要なため計算コストが高いという問題点がある。

【0006】

大規模な運用を行うためには鍵更新情報の生成に要する時間を削減する必要があると共に、ＩＤベース鍵交換はＩｏＴ機器等の比較的計算リソースが小さい機器上で応用されることが期待されているため、より小さい計算コストでプロトコルを実行できることが望ましい。このため、鍵更新情報の生成に要する時間がユーザ数に依存せずに、かつ、ペアリング計算を要しない失効機能付きＩＤベースＡＫＥプロトコルの実現が必要である。

【0007】

本発明の一実施形態は、上記の点に鑑みてなされたもので、鍵更新情報の生成に要する時間がユーザ数に依存せずに、かつ、ペアリング計算を要しない失効機能付きＩＤベースＡＫＥプロトコルを実現することを目的とする。

【課題を解決するための手段】

【0008】

上記目的を達成するため、一実施形態に係る認証鍵交換システムは、鍵生成装置と複数の機器とが含まれる認証鍵交換システムであって、前記鍵生成装置は、セキュリティパラメータ１^λと前記機器の総数Ｎとを入力として、マスタ秘密鍵ＭＳＫとマスタ公開鍵ＭＰＫと初期の失効者リストＲＬとを出力するように構成されているパラメータ生成部と、前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと前記機器の識別子ＩＤとを入力として、前記識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤを出力するように構成されている静的秘密鍵生成部と、前記マスタ公開鍵ＭＰＫと新たな失効者リストＲＬとを入力として、現在の時刻Ｔをインクリメントすると共に、現在の時刻Ｔの失効者リストＲＬ_Ｔを前記失効者リストＲＬに更新するように構成されている失効者リスト更新部と、前記マスタ秘密鍵ＭＳＫと前記マスタ公開鍵ＭＰＫと現在の時刻Ｔと前記失効者リストＲＬとを入力として、ＫＵＮｏｄｅアルゴリズムを利用して現在の時刻Ｔの鍵更新情報ｋｕ_Ｔを出力するように構成されている鍵更新情報生成部と、を有し、前記機器は、前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤと現在の時刻Ｔの鍵更新情報ｋｕ_Ｔとを入力として、ペアリング計算を用いずに、現在の時刻Ｔの最新秘密鍵ｃｓｋ_ＩＤ，Ｔを出力するように構成されている最新秘密鍵生成部と、前記マスタ公開鍵ＭＰＫと現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔを入力として、一時秘密鍵ｅｓｋ_ＩＤと一時公開鍵ｅｐｋ_ＩＤとを出力するように構成されている一時鍵生成部と、前記マスタ公開鍵ＭＰＫと自身の識別子ＩＤと通信相手の識別子ＩＤ'と現在の時刻Ｔにおける自身の識別子ＩＤに対応する最新秘密鍵ｃｓｋ_ＩＤ，Ｔと自身の識別子ＩＤに対応する一時秘密鍵ｅｓｋ_ＩＤと通信相手の識別子ＩＤ'に対応する一時公開鍵ｅｐｋ_ＩＤ'とを入力として、前記通信相手と共有するセッション鍵ＳＫを出力するように構成されているセッション鍵生成部と、を有する。

【発明の効果】

【0009】

鍵更新情報の生成に要する時間がユーザ数に依存せずに、かつ、ペアリング計算を要しない失効機能付きＩＤベースＡＫＥプロトコルを実現することができる。

【図面の簡単な説明】

【0010】

【図1】本実施形態に係るＩＤベース認証鍵交換システムの全体構成の一例を示す図である。

【図2】本実施形態に係る鍵生成装置の機能構成の一例を示す図である。

【図3】本実施形態に係る機器の機能構成の一例を示す図である。

【図4】一実施例におけるパラメータ生成から静的秘密鍵生成までの流れを示すシーケンス図である。

【図5】一実施例における失効リスト更新から最新秘密鍵生成までの流れを示すシーケンス図である。

【図6】一実施例における一時鍵生成からセッション鍵生成までの流れを示すシーケンス図である。

【図7】コンピュータのハードウェア構成の一例を示す図である。

【発明を実施するための形態】

【0011】

以下、本発明の一実施形態について説明する。以下で説明する実施形態では、鍵更新情報の生成に要する時間がユーザ数に依存せずに、かつ、ペアリング計算を要しない失効機能付きＩＤベースＡＫＥプロトコルを実現するＩＤベース認証鍵交換システム１について説明する。

【0012】

＜準備＞
まず、本実施形態を説明する前に、いくつかの記号や概念、アルゴリズム等を準備する。

【0013】

λをセキュリティパラメータ、ｑを或る大きさの素べき、Ｚ_ｑ：＝Ｚ／ｑＺとする。また、｛０，１｝^＊を任意長のバイナリ系列、｛０，１｝^λをλビット長のバイナリ系列とする。また、|| はビット列の連結を表す。

【0014】

≪ＫＵＮｏｄｅアルゴリズム≫
既存の多くの失効機能付きＩＤベース暗号（例えば、参考文献１～３等）では、二分木とＫＵＮｏｄｅアルゴリズムを用いることで、鍵更新情報の生成に要する時間を削減している。

【0015】

ＢＴを各ユーザのＩＤに紐づく葉を持つ二分木、ＲＬを失効したユーザのＩＤに紐づく葉のリスト、ｒｏｏｔを二分木ＢＴの根、Ｐａｔｈ（ＩＤ）をＩＤに紐づく葉からｒｏｏｔへの経路に含まれるノードの集合、ｘ_ｌｅｆｔをノードｘの左側の子ノード、ｘ_{ｒｉｇｈｔ}をノードｘの右側の子ノードとする。

【0016】

このとき、ＫＵＮｏｄｅアルゴリズムは、以下の手順１～手順５で構成される
手順１：Ｘ＝φ，Ｙ＝φとする。

【0017】

手順２：各ＩＤ∈ＲＬに対して、Ｐａｔｈ（ＩＤ）をＸに加える。

【0018】

手順３：各ｘ∈Ｘに対して、ｘ_ｌｅｆｔがＸに含まれない場合はｘ_ｌｅｆｔをＹに加え、ｘ_{ｒｉｇｈｔ}がＸに含まれない場合はｘ_{ｒｉｇｈｔ}をＹに加える。

【0019】

手順４：Ｙ＝φである場合、ｒｏｏｔをＹに加える。

【0020】

手順５：Ｙを出力する。

【0021】

≪失効機能付きＩＤベースＡＫＥプロトコル≫
失効機能付きＩＤベースＡＫＥプロトコルは、以下の７つの確率的多項式時間（ＰＰＴ）アルゴリズムにより構成される。なお、一時鍵生成アルゴリズムＥＫＧｅｎとセッション鍵生成アルゴリズムＳＫＧｅｎはイニシエータとレスポンダで対称なアルゴリズムであるため、以下では、イニシエータは識別子ＩＤ_Ａ、レスポンダは識別子ＩＤ_Ｂをそれぞれ持つものとして、イニシエータ側のアルゴリズムについて説明する。

【0022】

・ＰａｒＧｅｎ（１^λ，Ｎ）→（ＭＳＫ，ＭＰＫ，ＲＬ）
セキュリティパラメータλ長の１ビット列１^λ（この１^λもセキュリティパラメータと呼ぶことがある。）とユーザ数Ｎとを入力として、マスタ秘密鍵ＭＳＫとマスタ公開鍵ＭＰＫと初期の失効者リストＲＬとを出力するパラメータ生成アルゴリズムである。パラメータ生成アルゴリズムＰａｒＧｅｎはＫＧＣによって一度だけ実行される。なお、以下のすべてのアルゴリズムはマスタ公開鍵ＭＰＫも入力とするが、以下では、簡単なのため、マスタ公開鍵ＭＰＫを省略して記載する。

【0023】

・ＳＳＫＧｅｎ（ＭＳＫ，ＩＤ）→ｓｓｋ_ＩＤ
マスタ秘密鍵ＭＳＫとユーザの識別子ＩＤとを入力として、そのＩＤに対応する静的秘密鍵ｓｓｋ_ＩＤを出力する静的秘密鍵生成アルゴリズムである。静的秘密鍵生成アルゴリズムＳＳＫＧｅｎはＫＧＣによって各ユーザに対して一度だけ実行される。

【0024】

・Ｒｅｖｏｋｅ（ＲＬ）
新たな失効者リストＲＬを入力として、時刻Ｔをインクリメントすると共に、時刻Ｔの失効者リストを更新する失効者リスト更新アルゴリズムである。失効者リスト更新アルゴリズムＲｅｖｏｋｅはＫＧＣによって一定期間毎に実行される。なお、失効者リストとは、失効した識別子ＩＤのリストのことである。

【0025】

・ＫｅｙＵｐ（ＭＳＫ，Ｔ，ＲＬ）→ｋｕ_Ｔ
マスタ秘密鍵ＭＳＫと時刻Ｔとその時刻の失効者リストＲＬとを入力として、鍵更新情報ｋｕ_Ｔを出力する鍵更新情報生成アルゴリズムである。鍵更新情報生成アルゴリズムＫｅｙＵｐはＫＧＣによって一定期間毎に実行される。

【0026】

・ＣＳＫＧｅｎ（ｓｓｋ_ＩＤ，ｋｕ_Ｔ）→ｃｓｋ_ＩＤ，Ｔ
静的秘密鍵ｓｓｋ_ＩＤと鍵更新情報ｋｕ_Ｔとを入力として、最新秘密鍵ｃｓｋ_ＩＤ，Ｔ又は⊥を出力する最新秘密鍵生成アルゴリズムである。最新秘密鍵生成アルゴリズムＣＳＫＧｅｎはユーザによって一定期間毎に実行される。なお、⊥はＩＤが失効していることを意味する。

【0027】

・ＥＫＧｅｎ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ，ｃｓｋ_Ａ，Ｔ）→（ｅｓｋ_Ａ，ｅｐｋ_Ａ）
ユーザの識別子ＩＤ_Ａとそのユーザの通信相手の識別子ＩＤ_Ｂと現在の時刻Ｔとそのユーザの時刻Ｔにおける最新秘密鍵ｃｓｋ_Ａ，Ｔとを入力として、通信相手とのセッションにおけるそのユーザの一時秘密鍵ｅｓｋ_Ａ及び一時公開鍵ｅｐｋ_Ａを出力する一時鍵生成アルゴリズムである。一時鍵生成アルゴリズムＥＫＧｅｎはユーザによってセッション毎に実行される。

【0028】

・ＳＫＧｅｎ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ，ｃｓｋ_Ａ，Ｔ，ｅｓｋ_Ａ，ｅｐｋ_Ｂ）→ＳＫ
ユーザの識別子ＩＤ_Ａとそのユーザの通信相手の識別子ＩＤ_Ｂと現在の時刻Ｔとそのユーザの時刻Ｔにおける最新秘密鍵ｃｓｋ_Ａ，Ｔとそのユーザの一時秘密鍵ｅｓｋ_Ａと通信相手の一時公開鍵ｅｐｋ_Ｂとを入力として、セッション鍵ＳＫを出力するセッション鍵生成アルゴリズムである。セッション鍵生成アルゴリズムＳＫＧｅｎはユーザによってセッション毎に実行される。

【0029】

なお、一時鍵生成アルゴリズムＥＫＧｅｎとセッション鍵生成アルゴリズムＳＫＧｅｎは、セッションのイニシエータとレスポンダとで異なるアルゴリズムが用いられてもよい。

【0030】

本実施形態では、後述するように、ＫＵＮｏｄｅアルゴリズムを用いて、鍵更新情報生成アルゴリズムＫｅｙＵｐを構成する。これにより、鍵更新情報の生成に要する時間を削減することができる。また、後述するように、Ｓｃｈｎｏｒｒ署名と呼ばれる署名を用いて、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎを構成する。これにより、ペアリング計算を不要とすることができる。

【0031】

Ｓｃｈｎｏｒｒ署名とは、内部でペアリング計算を用いないＩＤベース署名である。より具体的には、各ユーザが自身の静的秘密鍵と自身に紐付いた鍵更新情報とを足し合わせることで得られる値を署名鍵として、識別子ＩＤと時刻Ｔの情報を含む文（平文）に対して署名を生成し、これを最新秘密鍵とするものである。署名の性質により、この最新秘密鍵は署名鍵を持たなければ生成できず、したがって正しい静的秘密鍵及び鍵更新情報を持つユーザのみがその値を求めることができる。また、正しい署名と平文と公開鍵の組は或る等式を満たすという性質を用いることにより、正しい最新秘密鍵を持つユーザ間で同一の値をセッション鍵として計算することができる。

【0032】

＜全体構成例＞
次に、本実施形態に係るＩＤベース認証鍵交換システム１の全体構成例について、図１を参照しながら説明する。図１は、本実施形態に係るＩＤベース認証鍵交換システム１の全体構成の一例を示す図である。

【0033】

図１に示すように、本実施形態に係るＩＤベース認証鍵交換システム１には、鍵生成装置１０と、複数の機器２０とが含まれる。鍵生成装置１０と各機器２０は通信ネットワーク３０を介して通信可能に接続される。同様に、各機器２０同士は通信ネットワーク３０を介して通信可能に接続される。

【0034】

鍵生成装置１０は、鍵生成センタ（ＫＧＣ）として機能するコンピュータ又はコンピュータシステムである。鍵生成装置１０は、パラメータ生成アルゴリズムＰａｒＧｅｎ、静的秘密鍵生成アルゴリズムＳＳＫＧｅｎ、失効者リスト更新アルゴリズムＲｅｖｏｋｅ、及び鍵更新情報生成アルゴリズムＫｅｙＵｐを実行する。

【0035】

機器２０は、他の機器２０との間で認証鍵交換を行うコンピュータ又はコンピュータシステムである。機器２０は、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎ、一時鍵生成アルゴリズムＥＫＧｅｎ、及びセッション鍵生成アルゴリズムＳＫＧｅｎを実行する。

【0036】

機器２０としては、例えば、ＩｏＴ機器、スマートフォン、タブレット端末、ＰＣ（パーソナルコンピュータ）、ウェアラブルデバイス、産業用機器、エッジコンピュータ、汎用サーバ等といった様々な端末、機器、デバイス、装置等を用いることができる。例えば、各種ＩｏＴ機器からデータを収集するシステムに適用される場合、イニシエータ側の機器２０はＩｏＴ機器、レスポンダ側の機器２０はエッジコンピュータ等となることが考えられる。

【0037】

以下、複数の機器２０の各々を区別する場合は、「機器２０Ａ」、「機器２０Ｂ」等と表記する。また、機器２０Ａの識別子ＩＤを「ＩＤ_Ａ」、機器２０Ｂの識別子ＩＤを「ＩＤ_Ｂ」とし、機器２０Ａをイニシエータ、機器２０Ｂをレスポンダであるものとする。なお、識別子ＩＤとしては、製造固有番号の他、例えば、ＭＡＣ（Media Access Control address）アドレス、ＩＰ（Internet Protocol）アドレス、ユーザＩＤ、メールアドレス、電話番号等を用いることができる。

【0038】

＜機能構成例＞
次に、本実施形態に係る鍵生成装置１０及び機器２０の機能構成例について、それぞれ図２及び図３を参照しながら説明する。図２は、本実施形態に係る鍵生成装置１０の機能構成の一例を示す図である。また、図３は、本実施形態に係る機器２０の機能構成の一例を示す図である。

【0039】

≪鍵生成装置１０≫
図２に示すように、本実施形態に係る鍵生成装置１０は、パラメータ生成部１０１と、秘密鍵生成部１０２と、リスト更新部１０３と、鍵更新情報生成部１０４と、通信部１０５とを有する。これら各部は、例えば、鍵生成装置１０にインストールされた１以上のプログラムが、ＣＰＵ（Central Processing Unit）等といったプロセッサに実行させる処理により実現される。また、本実施形態に係る鍵生成装置１０は、記憶部１０６を有する。記憶部１０６は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等といった記憶装置により実現される。

【0040】

パラメータ生成部１０１は、パラメータ生成アルゴリズムＰａｒＧｅｎを実行する。秘密鍵生成部１０２は、静的秘密鍵生成アルゴリズムＳＳＫＧｅｎを実行する。リスト更新部１０３は、失効者リスト更新アルゴリズムＲｅｖｏｋｅを実行する。鍵更新情報生成部１０４は、鍵更新情報生成アルゴリズムＫｅｙＵｐを実行する。通信部１０５は、機器２０等との間で各種通信を行う。記憶部１０６は、各種データ、各種アルゴリズムの結果や途中の計算結果等を記憶する。

【0041】

≪機器２０≫
図３に示すように、本実施形態に係る機器２０は、鍵更新部２０１と、一時鍵生成部２０２と、セッション鍵生成部２０３と、通信部２０４とを有する。これら各部は、例えば、機器２０にインストールされた１以上のプログラムが、ＣＰＵ等といったプロセッサに実行させる処理により実現される。また、本実施形態に係る機器２０は、記憶部２０５を有する。記憶部２０５は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等といった記憶装置により実現される。

【0042】

鍵更新部２０１は、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎを実行する。一時鍵生成部２０２は、一時鍵生成アルゴリズムＥＫＧｅｎを実行する。セッション鍵生成部２０３は、セッション鍵生成アルゴリズムＳＫＧｅｎを実行する。通信部２０４は、鍵生成装置１０や他の機器２０との間で各種通信を行う。記憶部２０５は、各種データ、各種アルゴリズムの結果や途中の計算結果等を記憶する。

【0043】

＜実施例１＞
以下、実施例１について説明する。

【0044】

本実施例では、失効機能付きＩＤベースＡＫＥプロトコルの各アルゴリズムを以下により構成する。なお、本実施例では、一時鍵生成アルゴリズムＥＫＧｅｎは最新秘密鍵ｃｓｋ_ＩＤ，Ｔのみを入力として構成される。また、一時鍵生成アルゴリズムＥＫＧｅｎとセッション鍵生成アルゴリズムＳＫＧｅｎはイニシエータとレスポンダで対称なアルゴリズムであるため、以下では、セッション鍵生成アルゴリズムＳＫＧｅｎに関してはイニシエータ側である機器２０Ａのアルゴリズムについて説明する。

【0045】

・ＰａｒＧｅｎ（１^λ，Ｎ）→（ＭＳＫ，ＭＰＫ，ＲＬ）
手順１－１：ｑを大きさがＯ（２^λ）の素べき、Ｇを位数ｑの巡回群、ｇをＧの生成元とする。

【0046】

手順１－２：ｘ∈_ＵＺ_ｑを選択し、ｙ＝ｇ^ｘとする。

【0047】

手順１－３：ＢＴを葉の数がＮの二分木とし、各機器２０のＩＤを各葉に紐付ける。

【0048】

手順１－４：２つのハッシュ関数Ｈ_１：｛０，１｝^＊×Ｇ→Ｚ_ｑとＨ_２：Ｇ×Ｇ→｛０，１｝^λを用意する。

【0049】

手順１－５：ＭＳＫ＝ｘ、ＭＰＫ＝（ｑ，Ｇ，ｇ，ｙ，ＢＴ，Ｈ_１，Ｈ_２）、ＲＬ＝φを出力する。

【0050】

なお、以下のすべてのアルゴリズムではマスタ公開鍵ＭＰＫも入力とするが、その記載を省略していることに留意されたい。

【0051】

・ＳＳＫＧｅｎ（ＭＳＫ，ＩＤ）→ｓｓｋ_ＩＤ
手順２－１：ｋ∈_ＵＺ_ｑを選択し、ｒ_ＩＤ＝ｇ^ｋとする。

【0052】

手順２－２：ｓ_ＩＤ＝ｋ＋ｘＨ_１（ＩＤ，ｒ_ＩＤ）とする。

【0053】

手順２－３：ｓｓｋ_ＩＤ＝（ｓ_ＩＤ，ｒ_ＩＤ）を出力する。

【0054】

なお、

【0055】

【数1】

が成り立つことに留意されたい。

【0056】

・ＫｅｙＵｐ（ＭＳＫ，Ｔ，ＲＬ）→ｋｕ_Ｔ
手順３－１：各θ∈ＫＵＮｏｄｅ（ＢＴ，ＲＬ）に対して、（ｓ_Ｔ||θ，ｒ_Ｔ||θ）←ＳＳＫＧｅｎ（ＭＳＫ，Ｔ||θ）を計算する。

【0057】

手順３－２：ｋｕ_Ｔ＝｛（θ，ｓ_Ｔ||θ，ｒ_Ｔ||θ）｝_{θ∈ＫＵＮｏｄｅ（ＢＴ，ＲＬ）}として出力する。

【0058】

・ＣＳＫＧｅｎ（ｓｓｋ_ＩＤ，ｋｕ_Ｔ）→ｃｓｋ_ＩＤ，Ｔ
手順４－１：θ∈ＫＵＮｏｄｅ（ＢＴ，ＲＬ）∩Ｐａｔｈ（ＩＤ）を選択する。もしそのようなθが存在しなければ⊥を出力する。

【0059】

手順４－２：ｋ∈_ＵＺ_ｑを選択し、ｒ_ＩＤ，Ｔ＝ｇ^ｋとする。

【0060】

手順４－３：ｓ_ＩＤ，Ｔ＝ｋ＋（ｓ_ＩＤ＋ｓ_Ｔ||θ）Ｈ_１（ＩＤ||Ｔ，ｒ_ＩＤ，Ｔ）とする。

【0061】

手順４－４：ｃｓｋ_ＩＤ，Ｔ＝（ｓ_ＩＤ，Ｔ，ｒ_ＩＤ，Ｔ，ｒ_ＩＤ，ｒ_Ｔ||θ，θ）として出力する。

【0062】

・ＥＫＧｅｎ（ｃｓｋ_ＩＤ，Ｔ）→（ｅｓｋ_ＩＤ，ｅｐｋ_ＩＤ）
手順５－１：ｖ_ＩＤ∈_ＵＺ_ｑを選択し、ｗ_ＩＤ＝ｇ^ｖ_ＩＤとする。ただし、「ｖ_ＩＤ」はｖ_ＩＤを表す。

【0063】

手順５－２：ｅｓｋ_ＩＤ＝ｖ_ＩＤ、ｅｐｋ_ＩＤ＝（ｗ_ＩＤ，ｒ_ＩＤ，ｒ_Ｔ||θ，ｒ_ＩＤ，Ｔ，θ）として出力する。

【0064】

・ＳＫＧｅｎ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ，ｃｓｋ_Ａ，Ｔ，ｅｓｋ_Ａ，ｅｐｋ_Ｂ）→ＳＫ
手順６－１：以下によりＺ_１を計算する。

【0065】

【数2】

手順６－２：Ｚ_２＝ｗ_Ｂ ^ｖ_Ａとして、ＳＫ＝Ｈ_２（Ｚ_１，Ｚ_２）を出力する。ただし、「ｖ_Ａ」はｖ_Ａを表す。

【0066】

・Ｒｅｖｏｋｅ（ＲＬ）
手順７－１：現在の時刻Ｔの失効者リストＲＬ_ＴがＲＬに含まれない場合は⊥を出力する。

【0067】

手順７－２：ＲＬ_Ｔ⊆ＲＬである場合は、Ｔ←Ｔ＋１として、ＲＬ_Ｔ←ＲＬと更新する。

【0068】

なお、上記の手順６－２において、セッション鍵ＳＫを生成する際のハッシュ関数Ｈ_２の入力として、例えば、マスタ公開鍵ＭＰＫやイニシエータとレスポンダ両者のＩＤ、時刻Ｔ等が追加されてもよい。具体的には、例えば、ＳＫ＝Ｈ_２（Ｚ_１，Ｚ_２，ＭＰＫ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ）等としてもよく、これ以外にも様々な情報をハッシュ関数Ｈ_２の入力として用いることが可能である。

【0069】

≪パラメータ生成から静的秘密鍵生成までの流れ≫
パラメータ生成から静的秘密鍵生成までの流れの一例について、図４を参照しながら説明する。なお、図４は、例えば、システムセットアップ時に一度実行される。

【0070】

鍵生成装置１０のパラメータ生成部１０１は、ＰａｒＧｅｎ（１^λ，Ｎ）を実行する（ステップＳ１０１）。これにより、マスタ秘密鍵ＭＳＫ、マスタ公開鍵ＭＰＫ、初期の失効者リストＲＬが得られる。なお、マスタ公開鍵ＭＰＫは各機器２０に公開される。

【0071】

鍵生成装置１０の秘密鍵生成部１０２は、静的秘密鍵生成アルゴリズムＳＳＫＧｅｎ（ＭＳＫ，ＩＤ）を実行する（ステップＳ１０２）。例えば、識別子ＩＤ_Ａを持つ機器２０Ａと識別子ＩＤ_Ｂを機器２０Ｂが存在する場合、鍵生成装置１０の秘密鍵生成部１０２は、ＳＳＫＧｅｎ（ＭＳＫ，ＩＤ_Ａ）とＳＳＫＧｅｎ（ＭＳＫ，ＩＤ_Ｂ）をそれぞれ実行する。これにより、機器２０Ａの静的秘密鍵ｓｓｋ_Ａと機器２０Ｂの静的秘密鍵ｓｓｋ_Ｂが得られる。以下では、静的秘密鍵ｓｓｋ_Ａと静的秘密鍵ｓｓｋ_Ｂが得られたものとして説明する。なお、識別子ＩＤは公開情報であることに留意されたい。

【0072】

鍵生成装置１０の通信部１０５は、静的秘密鍵ｓｓｋ_Ａを機器２０Ａに送信する（ステップＳ１０３）。同様に、鍵生成装置１０の通信部１０５は、静的秘密鍵ｓｓｋ_Ｂを機器２０Ｂに送信する（ステップＳ１０４）。なお、静的秘密鍵ｓｓｋ_ＩＤはセキュアな通信路により機器２０に送信される。又は、例えば、外部記録媒体を介して機器２０に送信されたり、鍵生成装置１０と直接に有線接続して機器２０に送信されたりする等してもよい。

【0073】

≪失効リスト更新から最新秘密鍵生成までの流れ≫
失効リスト更新から最新秘密鍵生成までの流れの一例について、図５を参照しながら説明する。なお、図５は、例えば、一定期間毎に繰り返し実行される。また、図５が開始する前に、新たな失効者リストＲＬが得られているものとする。

【0074】

鍵生成装置１０のリスト更新部１０３は、失効者リスト更新アルゴリズムＲｅｖｏｋｅ（ＲＬ）を実行する（ステップＳ２０１）。これにより、現在時刻Ｔがインクリメントされると共に、現在の失効者リストＲＬ_Ｔが更新される。

【0075】

鍵生成装置１０の鍵更新情報生成部１０４は、鍵更新情報生成アルゴリズムＫｅｙＵｐ（ＭＳＫ，Ｔ，ＲＬ）を実行する（ステップＳ２０２）。これにより、鍵更新情報ｋｕ_Ｔが得られる。

【0076】

鍵生成装置１０の通信部１０５は、鍵更新情報ｋｕ_Ｔを機器２０Ａに送信する（ステップＳ２０３）。同様に、鍵生成装置１０の通信部１０５は、鍵更新情報ｋｕ_Ｔを機器２０Ｂに送信する（ステップＳ２０４）。

【0077】

機器２０Ａの鍵更新部２０１は、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎ（ｓｓｋ_Ａ，ｋｕ_Ｔ）を実行する（ステップＳ２０５）。これにより、機器２０Ａの最新秘密鍵ｃｓｋ_Ａ，Ｔが得られる。同様に、機器２０Ｂの鍵更新部２０１は、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎ（ｓｓｋ_Ｂ，ｋｕ_Ｔ）を実行する（ステップＳ２０６）。これにより、機器２０Ｂの最新秘密鍵ｃｓｋ_Ｂ，Ｔが得られる。

【0078】

≪一時鍵生成からセッション鍵生成までの流れ≫
一時鍵生成からセッション鍵生成までの流れの一例について、図６を参照しながら説明する。なお、図６は、例えば、機器２０Ａと機器２０Ｂとの間でセッションが開始された際に実行される。

【0079】

機器２０Ａの一時鍵生成部２０２は、一時鍵生成アルゴリズムＥＫＧｅｎ（ｃｓｋ_Ａ，Ｔ）を実行する（ステップＳ３０１）。これにより、一時秘密鍵ｅｓｋ_Ａと一時公開鍵ｅｐｋ_Ａが得られる。

【0080】

機器２０Ａの通信部１０５は、自身の識別子ＩＤ_Ａと一時公開鍵ｅｐｋ_Ａを機器２０Ｂに送信する（ステップＳ３０２）。

【0081】

機器２０Ｂの一時鍵生成部２０２は、一時鍵生成アルゴリズムＥＫＧｅｎ（ｃｓｋ_Ｂ，Ｔ）を実行する（ステップＳ３０３）。これにより、一時秘密鍵ｅｓｋ_Ｂと一時公開鍵ｅｐｋ_Ｂが得られる。

【0082】

機器２０Ｂの通信部１０５は、自身の識別子ＩＤ_Ｂと一時公開鍵ｅｐｋ_Ｂを機器２０Ａに送信する（ステップＳ３０４）。

【0083】

機器２０Ａのセッション鍵生成部２０３は、セッション鍵生成アルゴリズムＳＫＧｅｎ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ，ｃｓｋ_Ａ，Ｔ，ｅｓｋ_Ａ，ｅｐｋ_Ｂ）を実行する（ステップＳ３０５）。これにより、セッション鍵ＳＫが得られる。

【0084】

機器２０Ｂのセッション鍵生成部２０３は、セッション鍵生成アルゴリズムＳＫＧｅｎ（ＩＤ_Ｂ，ＩＤ_Ａ，Ｔ，ｃｓｋ_Ｂ，Ｔ，ｅｓｋ_Ｂ，ｅｐｋ_Ａ）を実行する（ステップＳ３０６）。これにより、セッション鍵ＳＫが得られる。

【0085】

＜実施例２＞
以下、実施例２について説明する。

【0086】

本実施例は、実施例１で説明した失効機能付きＩＤベースＡＫＥプロトコルの各アルゴリズムのうち、最新秘密鍵生成アルゴリズムＣＳＫＧｅｎと一時鍵生成アルゴリズムＥＫＧｅｎとセッション鍵生成アルゴリズムＳＫＧｅｎの構成を変更したものである。その他の点は実施例１と同様であるため、以下では、変更点のみを説明する。

【0087】

・ＣＳＫＧｅｎ（ｓｓｋ_ＩＤ，ｋｕ_Ｔ）→ｃｓｋ_ＩＤ，Ｔ
手順４'－１：θ∈ＫＵＮｏｄｅ（ＢＴ，ＲＬ）∩Ｐａｔｈ（ＩＤ）を選択する。もしそのようなθが存在しなければ⊥を出力する。

【0088】

手順４'－２：ｋ∈_ＵＺ_ｑを選択し、ｒ_ＩＤ，Ｔ＝ｇ^ｋとする。

【0089】

手順４'－３：α，β∈_ＵＺ_ｑを選択する。

【0090】

手順４'－４：ｓ_ＩＤ，Ｔ＝ｋ＋（α・ｓ_ＩＤ＋β・ｓ_Ｔ||θ）Ｈ_１（ＩＤ||Ｔ，ｒ_ＩＤ，Ｔ）とする。

【0091】

手順４'－５：ｃｓｋ_ＩＤ，Ｔ＝（ｓ_ＩＤ，Ｔ，ｒ_ＩＤ，Ｔ，ｒ_ＩＤ，ｒ_Ｔ||θ，ｒ_ＩＤ ^α，ｒ_Ｔ||θ ^β，ｙ^α，ｙ^β，θ）として出力する。

【0092】

・ＥＫＧｅｎ（ｃｓｋ_ＩＤ，Ｔ）→（ｅｓｋ_ＩＤ，ｅｐｋ_ＩＤ）
手順５'－１：ｖ_ＩＤ∈_ＵＺ_ｑを選択し、ｗ_ＩＤ＝ｇ^ｖ_ＩＤとする。ただし、「ｖ_ＩＤ」はｖ_ＩＤを表す。

【0093】

手順５'－２：ｅｓｋ_ＩＤ＝ｖ_ＩＤ、ｅｐｋ_ＩＤ＝（ｗ_ＩＤ，ｒ_ＩＤ，ｒ_Ｔ||θ，ｒ_ＩＤ，Ｔ，ｒ_ＩＤ ^α，ｒ_Ｔ||θ ^β，ｙ^α，ｙ^β，θ）として出力する。

【0094】

・ＳＫＧｅｎ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｔ，ｃｓｋ_Ａ，Ｔ，ｅｓｋ_Ａ，ｅｐｋ_Ｂ）→ＳＫ
手順６'－１：以下によりＺ_１を計算する。

【0095】

【数3】

手順６'－２：Ｚ_２＝ｗ_Ｂ ^ｖ_Ａとして、ＳＫ＝Ｈ_２（Ｚ_１，Ｚ_２）を出力する。ただし、「ｖ_Ａ」はｖ_Ａを表す。

【0096】

本実施例と実施例１の本質的な違いは最新秘密鍵生成アルゴリズムＣＳＫＧｅｎの４番目の手順（手順４－４及び手順４'－４）である。実施例１の手順４－４ではｓ_ＩＤとｓ_Ｔ||θの和を署名鍵としてＳｃｈｎｏｒｒ署名を実行しているが、本実施例の手順４'－４ではｓ_ＩＤとｓ_Ｔ||θの線形結合を署名鍵としている。

【0097】

＜ハードウェア構成例＞
本実施形態に係る鍵生成装置１０と機器２０は、例えば、図７に示すようなコンピュータ５００のハードウェア構成により実現される。図７は、コンピュータ５００のハードウェア構成の一例を示す図である。

【0098】

図７に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これら各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。

【0099】

入力装置５０１は、例えば、キーボードやマウス、タッチパネル、各種物理ボタン、スイッチ等である。表示装置５０２は、例えば、ディスプレイ、表示パネル等である。なお、コンピュータ５００は、例えば、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。

【0100】

外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

【0101】

通信Ｉ／Ｆ５０４は、通信ネットワークに接続するためのインタフェースである。プロセッサ５０５は、ＣＰＵ等といった各種演算装置である。メモリ装置５０６は、例えば、ＨＤＤ、ＳＳＤ、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等といった各種記憶装置である。

【0102】

本実施形態に係る鍵生成装置１０と機器２０は、例えば、図７に示すようなコンピュータ５００のハードウェア構成により実現することができる。ただし、図７に示すコンピュータ５００のハードウェア構成は一例であることはいうまでもない。図７に示すコンピュータ５００は、例えば、複数のプロセッサ５０５を有していてもよいし、複数のメモリ装置５０６を有していてもよいし、図示しない様々なハードウェアを有していてもよい。

【0103】

＜まとめ＞
以上のように、本実施形態に係るＩＤベース認証鍵交換システム１は、ＫＵＮｏｄｅアルゴリズムを用いて、失効機能付きＩＤベースＡＫＥプロトコルの鍵更新情報生成アルゴリズムＫｅｙＵｐを実現する。これにより、鍵更新情報の生成に要する時間がユーザ数に依存せず、大規模な運用となった場合でも効率的な鍵更新情報の生成が可能となる。

【0104】

また、本実施形態に係るＩＤベース認証鍵交換システム１は、Ｓｃｈｎｏｒｒ署名を用いて、失効機能付きＩＤベースＡＫＥプロトコルの最新秘密鍵生成アルゴリズムＣＳＫＧｅｎを実現する。これにより、ペアリング計算を用いずに、比較的計算コストが小さい計算（群上のスカラー倍算や乗算等）により最新秘密鍵の生成が可能となる。

【0105】

したがって、本実施形態に係るＩＤベース認証鍵交換システム１によれば、鍵更新情報の生成に要する時間がユーザ数に依存せずに、かつ、ペアリング計算を要しない失効機能付きＩＤベースＡＫＥプロトコルを実現することが可能となる。

【0106】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

【0107】

［参考文献］
参考文献１：Alexandra Boldyreva, Vipul Goyal, Virendra Kumar. "Identity-Based Encryption with Efficient Revocation", 2008.
参考文献２：Jae Hong Seo and Keita Emura. "Revocable Identity-Based Encryption Revisited: Security Model and Construction", 2013.
参考文献３：Xuecheng Ma and Dongdai Lin. "A Generic Construction of Revocable Identity-Based Encryption", 2019.

【符号の説明】

【0108】

１ ＩＤベース認証鍵交換システム
１０ 鍵生成装置
２０ 機器
３０ 通信ネットワーク
１０１ パラメータ生成部
１０２ 秘密鍵生成部
１０３ リスト更新部
１０４ 鍵更新情報生成部
１０５ 通信部
１０６ 記憶部
２０１ 鍵更新部
２０２ 一時鍵生成部
２０３ セッション鍵生成部
２０４ 通信部
２０５ 記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】