JP2002026892A - 鍵共有方法，秘密鍵生成方法，共通鍵生成方法，暗号通信方法，秘密鍵生成器，共通鍵生成器，暗号通信システム及び記録媒体 - Google Patents
鍵共有方法，秘密鍵生成方法，共通鍵生成方法，暗号通信方法，秘密鍵生成器，共通鍵生成器，暗号通信システム及び記録媒体Info
- Publication number
- JP2002026892A JP2002026892A JP2000335166A JP2000335166A JP2002026892A JP 2002026892 A JP2002026892 A JP 2002026892A JP 2000335166 A JP2000335166 A JP 2000335166A JP 2000335166 A JP2000335166 A JP 2000335166A JP 2002026892 A JP2002026892 A JP 2002026892A
- Authority
- JP
- Japan
- Prior art keywords
- key
- entity
- secret
- information
- specific information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 85
- 238000004891 communication Methods 0.000 title claims abstract description 64
- 238000012545 processing Methods 0.000 claims abstract description 11
- 238000013507 mapping Methods 0.000 claims description 36
- 230000002452 interceptive effect Effects 0.000 abstract description 2
- 239000013598 vector Substances 0.000 description 16
- 239000011159 matrix material Substances 0.000 description 10
- 238000010586 diagram Methods 0.000 description 7
- 238000004364 calculation method Methods 0.000 description 3
- 238000006243 chemical reaction Methods 0.000 description 2
- 238000013478 data encryption standard Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 239000000463 material Substances 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000000737 periodic effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
- H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
- H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computer Security & Cryptography (AREA)
- Mathematical Physics (AREA)
- Physics & Mathematics (AREA)
- Pure & Applied Mathematics (AREA)
- Mathematical Optimization (AREA)
- Computing Systems (AREA)
- Mathematical Analysis (AREA)
- General Physics & Mathematics (AREA)
- Algebra (AREA)
Abstract
(57)【要約】
【課題】 両エンティティ間で予備通信を行うことなく
容易に共通鍵を共有し合える鍵共有方法、この鍵共有方
法に基づいて安全なＩＤ−ＮＩＫＳを構築できる暗号通
信方法及びシステムを提供する。 【解決手段】 センタ１は、各エンティティのＩＤ情報
に基づき楕円曲線上の点に写像し、その写像値である公
開鍵とセンタ１自身の秘密情報とを用いて、各エンティ
ティの秘密鍵を生成する。各エンティティは、センタ１
から送られる自身の秘密鍵と、通信相手のＩＤ情報に基
づき楕円曲線上の点に写像した写像値である公開鍵とを
用いて、暗号化処理・復号処理に用いる共通鍵を生成す
る。この際、楕円曲線上のペアリングを利用する。
容易に共通鍵を共有し合える鍵共有方法、この鍵共有方
法に基づいて安全なＩＤ−ＮＩＫＳを構築できる暗号通
信方法及びシステムを提供する。 【解決手段】 センタ１は、各エンティティのＩＤ情報
に基づき楕円曲線上の点に写像し、その写像値である公
開鍵とセンタ１自身の秘密情報とを用いて、各エンティ
ティの秘密鍵を生成する。各エンティティは、センタ１
から送られる自身の秘密鍵と、通信相手のＩＤ情報に基
づき楕円曲線上の点に写像した写像値である公開鍵とを
用いて、暗号化処理・復号処理に用いる共通鍵を生成す
る。この際、楕円曲線上のペアリングを利用する。
Description
【０００１】
【発明の属する技術分野】本発明は、予備通信なして両
エンティティ間で共通鍵を共有し合う鍵共有方法、セン
タにて各エンティティ固有の秘密鍵を生成する秘密鍵生
成方法及び秘密鍵生成器、各エンティティで暗号化処理
・復号処理に必要な共通鍵を生成する共通鍵生成方法及
び共通鍵生成器、情報の内容が当事者以外にはわからな
いように暗号文にて通信を行う暗号通信方法及び暗号通
信システム、並びに、これらの方法を行うためのプログ
ラムを記録した記録媒体に関する。
エンティティ間で共通鍵を共有し合う鍵共有方法、セン
タにて各エンティティ固有の秘密鍵を生成する秘密鍵生
成方法及び秘密鍵生成器、各エンティティで暗号化処理
・復号処理に必要な共通鍵を生成する共通鍵生成方法及
び共通鍵生成器、情報の内容が当事者以外にはわからな
いように暗号文にて通信を行う暗号通信方法及び暗号通
信システム、並びに、これらの方法を行うためのプログ
ラムを記録した記録媒体に関する。
【０００２】
【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。
【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。
【０００４】暗号化鍵と復号鍵とは、等しくても良い
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザ（エンティティ）が
暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開
鍵リストにて公開し、復号鍵のみを秘密に保持するとい
う暗号系である。公開鍵暗号系では、この一対となる暗
号化鍵と復号鍵とが異なり、一方向性関数を利用するこ
とによって暗号化鍵から復号鍵を割り出せないという特
徴を持たせている。
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザ（エンティティ）が
暗号化鍵と復号鍵とを一対ずつ作成し、暗号化鍵を公開
鍵リストにて公開し、復号鍵のみを秘密に保持するとい
う暗号系である。公開鍵暗号系では、この一対となる暗
号化鍵と復号鍵とが異なり、一方向性関数を利用するこ
とによって暗号化鍵から復号鍵を割り出せないという特
徴を持たせている。
【０００５】公開鍵暗号系は、暗号化鍵を公開するとい
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さを利用して実現されている。また、離
散対数問題を解くことの困難さ（離散対数問題）を利用
した公開鍵暗号系も種々の手法が提案されてきた。
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さを利用して実現されている。また、離
散対数問題を解くことの困難さ（離散対数問題）を利用
した公開鍵暗号系も種々の手法が提案されてきた。
【０００６】また、各エンティティの住所，氏名，電子
メールのアドレス等の個人を特定するＩＤ（Identity）
情報を利用する暗号系が提案された。この暗号系では、
ＩＤ情報に基づいて送受信者間で共通の暗号化・復号鍵
を生成する。また、このＩＤ情報に基づく暗号技法に
は、（１）暗号文通信に先立って送受信者間での予備通
信を必要とする方式と、（２）暗号文通信に先立って送
受信者間での予備通信を必要としない方式とがある。特
に、（２）の手法は予備通信が不要であるので、エンテ
ィティの利便性が高く、将来の暗号系の中枢をなすもの
と考えられている。
メールのアドレス等の個人を特定するＩＤ（Identity）
情報を利用する暗号系が提案された。この暗号系では、
ＩＤ情報に基づいて送受信者間で共通の暗号化・復号鍵
を生成する。また、このＩＤ情報に基づく暗号技法に
は、（１）暗号文通信に先立って送受信者間での予備通
信を必要とする方式と、（２）暗号文通信に先立って送
受信者間での予備通信を必要としない方式とがある。特
に、（２）の手法は予備通信が不要であるので、エンテ
ィティの利便性が高く、将来の暗号系の中枢をなすもの
と考えられている。
【０００７】この（２）の手法による暗号系は、ＩＤ−
ＮＩＫＳ（ID-based non-interactive key sharing sch
eme)と呼ばれており、通信相手のＩＤ情報を用いて予備
通信を行うことなく暗号化・復号鍵を共有する方式を採
用している。ＩＤ−ＮＩＫＳは、送受信者間で公開鍵，
秘密鍵を交換する必要がなく、また鍵のリスト及び第三
者によるサービスも必要としない方式であり、任意のエ
ンティティ間で安全に通信を行える。
ＮＩＫＳ（ID-based non-interactive key sharing sch
eme)と呼ばれており、通信相手のＩＤ情報を用いて予備
通信を行うことなく暗号化・復号鍵を共有する方式を採
用している。ＩＤ−ＮＩＫＳは、送受信者間で公開鍵，
秘密鍵を交換する必要がなく、また鍵のリスト及び第三
者によるサービスも必要としない方式であり、任意のエ
ンティティ間で安全に通信を行える。
【０００８】図４は、このＩＤ−ＮＩＫＳのシステムの
原理を示す図である。信頼できるセンタの存在を仮定
し、このセンタを中心にして共通鍵生成システムを構成
している。図４において、エンティティＸの特定情報で
あるエンティティＸの名前，住所，電話番号，メールア
ドレス等のＩＤ情報を｛ＩＤX ｝で表す。センタは任意
のエンティティＸに対して、センタ公開情報｛Ｐ
Ｃi ｝，センタ秘密情報｛ＳＣ i ｝及びエンティティＸ
のＩＤ情報｛ＩＤX ｝に基づいて、以下のように秘密情
報ＳXiを計算し、秘密裏にエンティティＸへ配布する。 ＳXi＝Ｆi （｛ＳＣi ｝，｛ＰＣi ｝，｛ＩＤX ｝）
原理を示す図である。信頼できるセンタの存在を仮定
し、このセンタを中心にして共通鍵生成システムを構成
している。図４において、エンティティＸの特定情報で
あるエンティティＸの名前，住所，電話番号，メールア
ドレス等のＩＤ情報を｛ＩＤX ｝で表す。センタは任意
のエンティティＸに対して、センタ公開情報｛Ｐ
Ｃi ｝，センタ秘密情報｛ＳＣ i ｝及びエンティティＸ
のＩＤ情報｛ＩＤX ｝に基づいて、以下のように秘密情
報ＳXiを計算し、秘密裏にエンティティＸへ配布する。 ＳXi＝Ｆi （｛ＳＣi ｝，｛ＰＣi ｝，｛ＩＤX ｝）
【０００９】エンティティＸは他の任意のエンティティ
Ｙとの間で、暗号化，復号のための共通鍵ＫXYを、エン
ティティＸ自身の秘密情報｛ＳXi｝，センタ公開情報
｛ＰＣ i ｝及び相手先のエンティティＹのＩＤ情報｛Ｉ
ＤY ｝を用いて以下のように生成する。 ＫXY＝ｆ（｛ＳXi｝，｛ＰＣi ｝，｛ＩＤY ｝） また、エンティティＹも同様にエンティティＸへの共通
鍵ＫYXを生成する。もし常にＫXY＝ＫYXの関係が成立す
れば、この鍵ＫXY，ＫYXをエンティティＸ，Ｙ間で暗号
化鍵，復号鍵として使用できる。
Ｙとの間で、暗号化，復号のための共通鍵ＫXYを、エン
ティティＸ自身の秘密情報｛ＳXi｝，センタ公開情報
｛ＰＣ i ｝及び相手先のエンティティＹのＩＤ情報｛Ｉ
ＤY ｝を用いて以下のように生成する。 ＫXY＝ｆ（｛ＳXi｝，｛ＰＣi ｝，｛ＩＤY ｝） また、エンティティＹも同様にエンティティＸへの共通
鍵ＫYXを生成する。もし常にＫXY＝ＫYXの関係が成立す
れば、この鍵ＫXY，ＫYXをエンティティＸ，Ｙ間で暗号
化鍵，復号鍵として使用できる。
【００１０】上述した公開鍵暗号系では、例えばＲＳＡ
暗号系の場合にその公開鍵の長さは現在の電話番号の十
数倍となり、極めて煩雑である。これに対して、ＩＤ−
ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録して
おけば、この名簿を参照して任意のエンティティとの間
で共通鍵を生成することができる。従って、図４に示す
ようなＩＤ−ＮＩＫＳのシステムが安全に実現されれ
ば、多数のエンティティが加入するコンピュータネット
ワーク上で便利な暗号系を構築できる。このような理由
により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると
期待されている。
暗号系の場合にその公開鍵の長さは現在の電話番号の十
数倍となり、極めて煩雑である。これに対して、ＩＤ−
ＮＩＫＳでは、各ＩＤ情報を名簿という形式で登録して
おけば、この名簿を参照して任意のエンティティとの間
で共通鍵を生成することができる。従って、図４に示す
ようなＩＤ−ＮＩＫＳのシステムが安全に実現されれ
ば、多数のエンティティが加入するコンピュータネット
ワーク上で便利な暗号系を構築できる。このような理由
により、ＩＤ−ＮＩＫＳが将来の暗号系の中心になると
期待されている。
【００１１】
【発明が解決しようとする課題】通信相手のＩＤ情報を
用いて予備通信を行うことなく暗号化鍵及び復号鍵とな
る共通鍵を互いに共有するようなＩＤ−ＮＩＫＳにあっ
ては、特に複数のエンティティが結託する結託攻撃に対
して十分に安全であることが望まれる。そして、暗号学
的に安全なＩＤ−ＮＩＫＳを構築できるか否かは、高度
情報化社会にとって重要な問題であり、より理想的な暗
号方式の探究が進められている。
用いて予備通信を行うことなく暗号化鍵及び復号鍵とな
る共通鍵を互いに共有するようなＩＤ−ＮＩＫＳにあっ
ては、特に複数のエンティティが結託する結託攻撃に対
して十分に安全であることが望まれる。そして、暗号学
的に安全なＩＤ−ＮＩＫＳを構築できるか否かは、高度
情報化社会にとって重要な問題であり、より理想的な暗
号方式の探究が進められている。
【００１２】本発明は斯かる事情に鑑みてなされたもの
であり、各エンティティの特定情報（ＩＤ情報）に基づ
いて、楕円暗号で利用されている楕円曲線等の代数曲線
上の点に写像することにより、予備通信を行うことなく
両エンティティ間で容易に共通鍵を共有し合える鍵共有
方法、この鍵共有方法に基づいて安全なＩＤ−ＮＩＫＳ
を構築できるための秘密鍵生成方法及び秘密鍵生成器，
共通鍵生成方法及び共通鍵生成器，暗号通信方法及び暗
号通信システム、並びに、これらの方法を行うためのプ
ログラムを記録した記録媒体を提供することを目的とす
る。
であり、各エンティティの特定情報（ＩＤ情報）に基づ
いて、楕円暗号で利用されている楕円曲線等の代数曲線
上の点に写像することにより、予備通信を行うことなく
両エンティティ間で容易に共通鍵を共有し合える鍵共有
方法、この鍵共有方法に基づいて安全なＩＤ−ＮＩＫＳ
を構築できるための秘密鍵生成方法及び秘密鍵生成器，
共通鍵生成方法及び共通鍵生成器，暗号通信方法及び暗
号通信システム、並びに、これらの方法を行うためのプ
ログラムを記録した記録媒体を提供することを目的とす
る。
【００１３】
【課題を解決するための手段】請求項１に係る鍵共有方
法は、エンティティ自身の秘密鍵と相手エンティティの
公開鍵とを用いて予備通信なしに鍵共有を行う方法にお
いて、前記相手エンティティを特定する特定情報に基づ
き代数曲線上の点に写像したものを前記公開鍵とするこ
とを特徴とする。
法は、エンティティ自身の秘密鍵と相手エンティティの
公開鍵とを用いて予備通信なしに鍵共有を行う方法にお
いて、前記相手エンティティを特定する特定情報に基づ
き代数曲線上の点に写像したものを前記公開鍵とするこ
とを特徴とする。
【００１４】請求項２に係る鍵共有方法は、両エンティ
ティを夫々特定する特定情報に基づき前記両エンティテ
ィ間で予備通信なしに鍵共有を行う方法において、代数
曲線上で定義されるペアリングを使用することを特徴と
する。
ティを夫々特定する特定情報に基づき前記両エンティテ
ィ間で予備通信なしに鍵共有を行う方法において、代数
曲線上で定義されるペアリングを使用することを特徴と
する。
【００１５】請求項３に係る鍵共有方法は、両エンティ
ティを夫々特定する特定情報に基づき前記両エンティテ
ィ間で予備通信なしに鍵共有を行う方法において、一方
のエンティティの特定情報に基づき代数曲線上の点に写
像したものと秘密情報とから生成された秘密鍵と、他方
のエンティティの特定情報に基づき前記代数曲線上の点
に写像してなる公開鍵とを用い、前記楕円曲線上で定義
されるペアリングを使用して鍵共有を行うことを特徴と
する。
ティを夫々特定する特定情報に基づき前記両エンティテ
ィ間で予備通信なしに鍵共有を行う方法において、一方
のエンティティの特定情報に基づき代数曲線上の点に写
像したものと秘密情報とから生成された秘密鍵と、他方
のエンティティの特定情報に基づき前記代数曲線上の点
に写像してなる公開鍵とを用い、前記楕円曲線上で定義
されるペアリングを使用して鍵共有を行うことを特徴と
する。
【００１６】請求項４に係る鍵共有方法は、請求項２ま
たは３において、前記ペアリングは、ベイユペアリング
またはテイトペアリングであることを特徴とする。
たは３において、前記ペアリングは、ベイユペアリング
またはテイトペアリングであることを特徴とする。
【００１７】請求項５に係る鍵共有方法は、請求項１〜
４の何れかにおいて、前記代数曲線はその上で定義され
る離散対数問題を多項式時間で解くことができないこと
を特徴とする。
４の何れかにおいて、前記代数曲線はその上で定義され
る離散対数問題を多項式時間で解くことができないこと
を特徴とする。
【００１８】請求項６に係る鍵共有方法は、請求項１〜
５の何れかにおいて、一方のエンティティと他方のエン
ティティとで鍵共有を行う際の夫々のエンティティでの
演算処理の過程にあって、互いに逆数の関係になる数値
を生成し合うことを特徴とする。
５の何れかにおいて、一方のエンティティと他方のエン
ティティとで鍵共有を行う際の夫々のエンティティでの
演算処理の過程にあって、互いに逆数の関係になる数値
を生成し合うことを特徴とする。
【００１９】請求項７に係る鍵共有方法は、請求項１〜
６の何れかにおいて、前記各エンティティの特定情報に
基づいて複数の公開鍵を生成することを特徴とする。
６の何れかにおいて、前記各エンティティの特定情報に
基づいて複数の公開鍵を生成することを特徴とする。
【００２０】請求項８に係る秘密鍵生成方法は、エンテ
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する方法において、前記エンティティの
特定情報に基づき代数曲線上の点に写像したものと秘密
情報とを用いて、前記秘密鍵を生成することを特徴とす
る。
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する方法において、前記エンティティの
特定情報に基づき代数曲線上の点に写像したものと秘密
情報とを用いて、前記秘密鍵を生成することを特徴とす
る。
【００２１】請求項９に係る秘密鍵生成方法は、エンテ
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する方法において、前記エンティティの
特定情報に対して一方向性関数を作用させた値に基づき
代数曲線上の点に写像したものと秘密情報とを用いて、
前記秘密鍵を生成することを特徴とする。
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する方法において、前記エンティティの
特定情報に対して一方向性関数を作用させた値に基づき
代数曲線上の点に写像したものと秘密情報とを用いて、
前記秘密鍵を生成することを特徴とする。
【００２２】請求項１０に係る共通鍵生成方法は、第１
エンティティを特定する特定情報に基づく秘密鍵と通信
相手の第２エンティティを特定する特定情報に基づく公
開鍵とから共通鍵を生成する方法において、前記第１エ
ンティティの特定情報に基づき代数曲線上の点に写像し
たものと秘密情報とを用いて前記秘密鍵を生成し、前記
第２エンティティの特定情報に基づき代数曲線上の点に
写像したものを前記公開鍵とすることを特徴とする。
エンティティを特定する特定情報に基づく秘密鍵と通信
相手の第２エンティティを特定する特定情報に基づく公
開鍵とから共通鍵を生成する方法において、前記第１エ
ンティティの特定情報に基づき代数曲線上の点に写像し
たものと秘密情報とを用いて前記秘密鍵を生成し、前記
第２エンティティの特定情報に基づき代数曲線上の点に
写像したものを前記公開鍵とすることを特徴とする。
【００２３】請求項１１に係る共通鍵生成方法は、請求
項１０において、前記代数曲線上で定義されるペアリン
グを使用して前記共通鍵を生成することを特徴とする。
項１０において、前記代数曲線上で定義されるペアリン
グを使用して前記共通鍵を生成することを特徴とする。
【００２４】請求項１２に係る共通鍵生成方法は、請求
項６記載の鍵共有方法に基づいて共通鍵を生成する方法
であって、前記数値における逆数の関係を利用して共通
鍵を生成することを特徴とする。
項６記載の鍵共有方法に基づいて共通鍵を生成する方法
であって、前記数値における逆数の関係を利用して共通
鍵を生成することを特徴とする。
【００２５】請求項１３に係る暗号通信方法は、センタ
から各エンティティへ各エンティティの秘密鍵を送付
し、一方のエンティティが前記センタから送付された自
身の秘密鍵と他方のエンティティの公開鍵とから求めた
共通鍵を用いて平文を暗号文に暗号化して前記他方のエ
ンティティへ伝送し、前記他方のエンティティが伝送さ
れた暗号文を、前記センタから送付された自身の秘密鍵
と前記一方のエンティティの公開鍵とから求めた、前記
共通鍵と同一の共通鍵を用いて平文に復号することによ
り、エンティティ間で情報の通信を行う暗号通信方法に
おいて、各エンティティを特定する特定情報に基づき代
数曲線上の点に写像したものと前記センタ固有の秘密情
報とを用いて各エンティティの秘密鍵を生成し、各エン
ティティの特定情報に基づき代数曲線上の点に写像した
ものを各エンティティの公開鍵とすることを特徴とす
る。
から各エンティティへ各エンティティの秘密鍵を送付
し、一方のエンティティが前記センタから送付された自
身の秘密鍵と他方のエンティティの公開鍵とから求めた
共通鍵を用いて平文を暗号文に暗号化して前記他方のエ
ンティティへ伝送し、前記他方のエンティティが伝送さ
れた暗号文を、前記センタから送付された自身の秘密鍵
と前記一方のエンティティの公開鍵とから求めた、前記
共通鍵と同一の共通鍵を用いて平文に復号することによ
り、エンティティ間で情報の通信を行う暗号通信方法に
おいて、各エンティティを特定する特定情報に基づき代
数曲線上の点に写像したものと前記センタ固有の秘密情
報とを用いて各エンティティの秘密鍵を生成し、各エン
ティティの特定情報に基づき代数曲線上の点に写像した
ものを各エンティティの公開鍵とすることを特徴とす
る。
【００２６】請求項１４に係る秘密鍵生成器は、エンテ
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する生成器において、前記エンティティ
の特定情報に基づき代数曲線上の点に写像して写像値を
得る手段と、該写像値と秘密情報とを用いて前記秘密鍵
を生成する手段とを備えることを特徴とする。
ィティを特定する特定情報に基づいて前記エンティティ
の秘密鍵を生成する生成器において、前記エンティティ
の特定情報に基づき代数曲線上の点に写像して写像値を
得る手段と、該写像値と秘密情報とを用いて前記秘密鍵
を生成する手段とを備えることを特徴とする。
【００２７】請求項１５に係る共通鍵生成器は、一方の
エンティティを特定する特定情報に基づく秘密鍵と通信
相手の他方のエンティティを特定する特定情報に基づく
公開鍵とから共通鍵を生成する生成器において、前記他
方のエンティティの特定情報に基づき代数曲線上の点に
写像して前記公開鍵としての写像値を得る手段と、該写
像値と前記秘密鍵とを用いて前記共通鍵を生成する手段
とを備えることを特徴とする。
エンティティを特定する特定情報に基づく秘密鍵と通信
相手の他方のエンティティを特定する特定情報に基づく
公開鍵とから共通鍵を生成する生成器において、前記他
方のエンティティの特定情報に基づき代数曲線上の点に
写像して前記公開鍵としての写像値を得る手段と、該写
像値と前記秘密鍵とを用いて前記共通鍵を生成する手段
とを備えることを特徴とする。
【００２８】請求項１６に係る暗号通信システムは、送
信すべき情報である平文を暗号文に暗号化する暗号化処
理、及び、送信された暗号文を平文に復号する復号処理
を、複数のエンティティ間で相互に行うこととし、各エ
ンティティを特定する特定情報に基づいて各エンティテ
ィの秘密鍵を生成して各エンティティへ送付するセンタ
と、該センタから送付された自身の秘密鍵と通信対象の
エンティティの特定情報に基づく公開鍵とを用いて前記
暗号化処理及び復号処理に使用する共通鍵を生成する複
数のエンティティとを有する暗号通信システムにおい
て、前記センタにて、各エンティティの特定情報に基づ
き代数曲線上の点に写像したものと前記センタ固有の秘
密情報とを用いて各エンティティの秘密鍵を生成し、各
エンティティにて、通信対象のエンティティの特定情報
に基づき代数曲線上の点に写像したものを前記公開鍵と
して前記共通鍵を生成するようにしたことを特徴とす
る。
信すべき情報である平文を暗号文に暗号化する暗号化処
理、及び、送信された暗号文を平文に復号する復号処理
を、複数のエンティティ間で相互に行うこととし、各エ
ンティティを特定する特定情報に基づいて各エンティテ
ィの秘密鍵を生成して各エンティティへ送付するセンタ
と、該センタから送付された自身の秘密鍵と通信対象の
エンティティの特定情報に基づく公開鍵とを用いて前記
暗号化処理及び復号処理に使用する共通鍵を生成する複
数のエンティティとを有する暗号通信システムにおい
て、前記センタにて、各エンティティの特定情報に基づ
き代数曲線上の点に写像したものと前記センタ固有の秘
密情報とを用いて各エンティティの秘密鍵を生成し、各
エンティティにて、通信対象のエンティティの特定情報
に基づき代数曲線上の点に写像したものを前記公開鍵と
して前記共通鍵を生成するようにしたことを特徴とす
る。
【００２９】請求項１７に係る記録媒体は、コンピュー
タにエンティティの秘密鍵を生成させるためのプログラ
ムが記録されているコンピュータでの読み取りが可能な
記録媒体において、前記エンティティを特定する特定情
報に基づき代数曲線上の点に写像して前記公開鍵として
の写像値を得ることをコンピュータに実行させるプログ
ラムコード手段と、前記写像値と秘密情報とを用いて前
記秘密鍵を生成することをコンピュータに実行させるプ
ログラムコード手段とを含むプログラムが記録されてい
ることを特徴とする。
タにエンティティの秘密鍵を生成させるためのプログラ
ムが記録されているコンピュータでの読み取りが可能な
記録媒体において、前記エンティティを特定する特定情
報に基づき代数曲線上の点に写像して前記公開鍵として
の写像値を得ることをコンピュータに実行させるプログ
ラムコード手段と、前記写像値と秘密情報とを用いて前
記秘密鍵を生成することをコンピュータに実行させるプ
ログラムコード手段とを含むプログラムが記録されてい
ることを特徴とする。
【００３０】請求項１８に係る記録媒体は、コンピュー
タに、暗号通信システムにおける平文から暗号文への暗
号化処理及び暗号文から平文への復号処理に使用する共
通鍵を第１エンティティ側で生成させるためのプログラ
ムが記録されているコンピュータでの読み取りが可能な
記録媒体において、前記第１エンティティの秘密鍵を入
力することをコンピュータに実行させるプログラムコー
ド手段と、通信相手の第２エンティティを特定する特定
情報に基づき代数曲線上の点に写像して前記公開鍵とし
ての写像値を得ることをコンピュータに実行させるプロ
グラムコード手段と、前記写像値と入力した前記秘密鍵
とを用いて前記共通鍵を生成することをコンピュータに
実行させるプログラムコード手段とを含むプログラムが
記録されていることを特徴とする。
タに、暗号通信システムにおける平文から暗号文への暗
号化処理及び暗号文から平文への復号処理に使用する共
通鍵を第１エンティティ側で生成させるためのプログラ
ムが記録されているコンピュータでの読み取りが可能な
記録媒体において、前記第１エンティティの秘密鍵を入
力することをコンピュータに実行させるプログラムコー
ド手段と、通信相手の第２エンティティを特定する特定
情報に基づき代数曲線上の点に写像して前記公開鍵とし
ての写像値を得ることをコンピュータに実行させるプロ
グラムコード手段と、前記写像値と入力した前記秘密鍵
とを用いて前記共通鍵を生成することをコンピュータに
実行させるプログラムコード手段とを含むプログラムが
記録されていることを特徴とする。
【００３１】本発明では、各エンティティの特定情報
（ＩＤ情報）に基づいて、楕円暗号で利用されている楕
円曲線，超楕円曲線等の代数曲線上の点に写像し、その
写像値を各エンティティの公開鍵とする。この代数曲線
及び写像のアルゴリスムは公開する。センタでは、各エ
ンティティの特定情報（ＩＤ情報）に基づき代数曲線上
の点に写像し、その写像値とセンタ自身の秘密情報とを
用いて、各エンティティ固有の秘密鍵を生成し、これを
対応するエンティティへ秘密裏に送付する。各エンティ
ティは、センタから送られる自身固有の秘密鍵と、通信
相手の特定情報（ＩＤ情報）に基づき代数曲線上の点に
写像した写像値とを用いて、暗号化処理・復号処理に用
いる共通鍵を生成する。この際、楕円曲線上で定義され
るペアリング（ベイユ（Weil）ペアリング，テイト（Ta
te）ペアリング等) を利用して、予備通信を行うことな
く、両エンティティ間で同一の共通鍵を共有する。本発
明における代数曲線上の点への写像は、各エンティテ
ィ，センタの何れでも可能である。
（ＩＤ情報）に基づいて、楕円暗号で利用されている楕
円曲線，超楕円曲線等の代数曲線上の点に写像し、その
写像値を各エンティティの公開鍵とする。この代数曲線
及び写像のアルゴリスムは公開する。センタでは、各エ
ンティティの特定情報（ＩＤ情報）に基づき代数曲線上
の点に写像し、その写像値とセンタ自身の秘密情報とを
用いて、各エンティティ固有の秘密鍵を生成し、これを
対応するエンティティへ秘密裏に送付する。各エンティ
ティは、センタから送られる自身固有の秘密鍵と、通信
相手の特定情報（ＩＤ情報）に基づき代数曲線上の点に
写像した写像値とを用いて、暗号化処理・復号処理に用
いる共通鍵を生成する。この際、楕円曲線上で定義され
るペアリング（ベイユ（Weil）ペアリング，テイト（Ta
te）ペアリング等) を利用して、予備通信を行うことな
く、両エンティティ間で同一の共通鍵を共有する。本発
明における代数曲線上の点への写像は、各エンティテ
ィ，センタの何れでも可能である。
【００３２】本発明では、安全性の根拠を代数曲線上の
離散対数問題（例えば楕円曲線上の離散対数問題、以
下、これを単に楕円離散対数問題という）に置いてい
る。複数のエンティティによる結託攻撃にて本発明の暗
号システムが破られることは、例えば楕円離散対数問題
が解かれることと等価であるかまたはそれ以上に困難で
あり、その安全性は極めて高い。
離散対数問題（例えば楕円曲線上の離散対数問題、以
下、これを単に楕円離散対数問題という）に置いてい
る。複数のエンティティによる結託攻撃にて本発明の暗
号システムが破られることは、例えば楕円離散対数問題
が解かれることと等価であるかまたはそれ以上に困難で
あり、その安全性は極めて高い。
【００３３】
【発明の実施の形態】本発明の実施の形態について具体
的に説明する。図１は、本発明の暗号通信システムの構
成を示す模式図である。情報の隠匿を信頼できるセンタ
１が設定されており、このセンタ１としては、例えば社
会の公的機関を該当できる。このセンタ１と、この暗号
通信システムを利用するユーザとしての複数の各エンテ
ィティＡ，Ｂ，…，Ｚとは、秘密通信路２ａ，２ｂ，
…，２ｚにより接続されており、これらの秘密通信路２
ａ，２ｂ，…，２ｚを介してセンタ１から秘密の鍵情報
（秘密鍵Ｓa ，Ｓb ，…，Ｓz ）が各エンティティＡ，
Ｂ，…，Ｚへ伝送されるようになっている。また、２人
のエンティティの間には通信路３ab，３az，３bz，…が
設けられており、この通信路３ab，３az，３bz，…を介
して通信情報を暗号化した暗号文が互いのエンティティ
間で伝送されるようになっている。
的に説明する。図１は、本発明の暗号通信システムの構
成を示す模式図である。情報の隠匿を信頼できるセンタ
１が設定されており、このセンタ１としては、例えば社
会の公的機関を該当できる。このセンタ１と、この暗号
通信システムを利用するユーザとしての複数の各エンテ
ィティＡ，Ｂ，…，Ｚとは、秘密通信路２ａ，２ｂ，
…，２ｚにより接続されており、これらの秘密通信路２
ａ，２ｂ，…，２ｚを介してセンタ１から秘密の鍵情報
（秘密鍵Ｓa ，Ｓb ，…，Ｓz ）が各エンティティＡ，
Ｂ，…，Ｚへ伝送されるようになっている。また、２人
のエンティティの間には通信路３ab，３az，３bz，…が
設けられており、この通信路３ab，３az，３bz，…を介
して通信情報を暗号化した暗号文が互いのエンティティ
間で伝送されるようになっている。
【００３４】以下、代数曲線として楕円曲線を用いる場
合の本発明における基本方式について説明する。まず、
本発明で用いる楕円曲線のベイユペアリングの基本的性
質を述べる。ベイユペアリングは、楕円曲線上の点がな
す群Ｅ／Ｆq から有限体上Ｆd （但し、ｄ＝ｑk ）の乗
法群への写像である。ベイユペアリングには、以下に示
すよう双線形性と交換則とが成り立つ。なお、＜，＞は
ベイユペアリングを表し、Ｐ，Ｐ 1 ，Ｐ2 ，Ｑ，Ｑ1 ，
Ｑ2 は楕円曲線上の点を示す。
合の本発明における基本方式について説明する。まず、
本発明で用いる楕円曲線のベイユペアリングの基本的性
質を述べる。ベイユペアリングは、楕円曲線上の点がな
す群Ｅ／Ｆq から有限体上Ｆd （但し、ｄ＝ｑk ）の乗
法群への写像である。ベイユペアリングには、以下に示
すよう双線形性と交換則とが成り立つ。なお、＜，＞は
ベイユペアリングを表し、Ｐ，Ｐ 1 ，Ｐ2 ，Ｑ，Ｑ1 ，
Ｑ2 は楕円曲線上の点を示す。
【００３５】（双線形性） ＜Ｐ1 ＋Ｐ2 ，Ｑ＞＝＜Ｐ1 ，Ｑ＞＜Ｐ2 ，Ｑ＞ ＜Ｐ，Ｑ1 ＋Ｑ2 ＞＝＜Ｐ，Ｑ1 ＞＜Ｐ，Ｑ2 ＞ （交換則） ＜Ｐ，Ｑ＞＝＜Ｑ，Ｐ＞-1 双線形性を有するので、ｍを整数とした場合、以下のよ
うな等式が成立する。 ＜ｍＰ，Ｑ＞＝＜Ｐ，Ｑ＞m ＜Ｐ，ｍＱ＞＝＜Ｐ，Ｑ＞m
うな等式が成立する。 ＜ｍＰ，Ｑ＞＝＜Ｐ，Ｑ＞m ＜Ｐ，ｍＱ＞＝＜Ｐ，Ｑ＞m
【００３６】ベイユペアリングに基づく鍵共有法を以下
に説明する。 （センタ１での秘密鍵生成）任意のエンティティＡの名
前，住所，電話番号，メールアドレス等の特定情報（Ｉ
Ｄ情報）をＩＤa とする。センタ１は、ベイユペアリン
グのアルゴリズム＜，＞と任意のエンティティＡのＩＤ
情報ＩＤa を楕円曲線上の点Ｐa ∈Ｅ／Ｆqに変換して
（写像して）公開鍵を求める関数ｆ（）とを公開する。
また、センタ１は、秘密の乱数ｒを生成し、この乱数ｒ
とエンティティＡの公開鍵Ｐa とを用いて下記（１）の
ようにエンティティＡの秘密鍵Ｓa を求め、求めた秘密
鍵Ｓaを秘密裏にエンティティＡへ配布する。 Ｓa ＝ｒＰa …（１）
に説明する。 （センタ１での秘密鍵生成）任意のエンティティＡの名
前，住所，電話番号，メールアドレス等の特定情報（Ｉ
Ｄ情報）をＩＤa とする。センタ１は、ベイユペアリン
グのアルゴリズム＜，＞と任意のエンティティＡのＩＤ
情報ＩＤa を楕円曲線上の点Ｐa ∈Ｅ／Ｆqに変換して
（写像して）公開鍵を求める関数ｆ（）とを公開する。
また、センタ１は、秘密の乱数ｒを生成し、この乱数ｒ
とエンティティＡの公開鍵Ｐa とを用いて下記（１）の
ようにエンティティＡの秘密鍵Ｓa を求め、求めた秘密
鍵Ｓaを秘密裏にエンティティＡへ配布する。 Ｓa ＝ｒＰa …（１）
【００３７】以上のような秘密情報，公開情報をまとめ
ると、次のようになる。 センタ１の公開情報 ：＜，＞，ｆ（） センタ１の秘密情報 ：ｒ（ランダムな整数） エンティティＡの公開鍵：Ｐa （＝ｆ（ＩＤa ）） エンティティＡの秘密鍵：Ｓa （＝ｒ・ｆ（ＩＤa ））
ると、次のようになる。 センタ１の公開情報 ：＜，＞，ｆ（） センタ１の秘密情報 ：ｒ（ランダムな整数） エンティティＡの公開鍵：Ｐa （＝ｆ（ＩＤa ）） エンティティＡの秘密鍵：Ｓa （＝ｒ・ｆ（ＩＤa ））
【００３８】（エンティティＡ，Ｂでの共通鍵生成）各
エンティティは、センタ１から配布された自身の秘密鍵
と通信相手であるエンティティの公開鍵とから、楕円曲
線上でのベイユペアリングを利用して、共通鍵を生成す
る。 （第１例）エンティティＡのＩＤ情報ＩＤa とエンティ
ティＢのＩＤ情報ＩＤb との間での大小比較を行えるア
ルゴリスムを設定し、ペアリングを計算する際にその大
小情報を用いてペアリングの順序を適切に設定する。こ
のアルゴリスムとしては、辞書式または２進数で表した
ときの大小などが可能である。なお、ペアリングの順序
を設定する方法として、ＩＤ情報ＩＤa ，ＩＤb を変換
（写像）した後の公開鍵Ｐa ，Ｐb の大小情報を用いる
ことも可能である。
エンティティは、センタ１から配布された自身の秘密鍵
と通信相手であるエンティティの公開鍵とから、楕円曲
線上でのベイユペアリングを利用して、共通鍵を生成す
る。 （第１例）エンティティＡのＩＤ情報ＩＤa とエンティ
ティＢのＩＤ情報ＩＤb との間での大小比較を行えるア
ルゴリスムを設定し、ペアリングを計算する際にその大
小情報を用いてペアリングの順序を適切に設定する。こ
のアルゴリスムとしては、辞書式または２進数で表した
ときの大小などが可能である。なお、ペアリングの順序
を設定する方法として、ＩＤ情報ＩＤa ，ＩＤb を変換
（写像）した後の公開鍵Ｐa ，Ｐb の大小情報を用いる
ことも可能である。
【００３９】例えば、ＩＤa ＞ＩＤb である場合、エン
ティティＡは、自身の秘密鍵Ｓa と、エンティティＢの
ＩＤ情報ＩＤb を楕円曲線に写像した公開鍵Ｐb とを用
いて、下記（２）に従って共通鍵Ｋabを生成する。
ティティＡは、自身の秘密鍵Ｓa と、エンティティＢの
ＩＤ情報ＩＤb を楕円曲線に写像した公開鍵Ｐb とを用
いて、下記（２）に従って共通鍵Ｋabを生成する。
【００４０】一方、ＩＤa ＞ＩＤb である場合、エンテ
ィティＢは、エンティティＡのＩＤ情報ＩＤa を楕円曲
線に写像した公開鍵Ｐa と自身の秘密鍵Ｓb とを用い
て、下記（３）に従って共通鍵Ｋbaを生成する。 よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。
ィティＢは、エンティティＡのＩＤ情報ＩＤa を楕円曲
線に写像した公開鍵Ｐa と自身の秘密鍵Ｓb とを用い
て、下記（３）に従って共通鍵Ｋbaを生成する。 よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。
【００４１】以下に、上記のようなＩＤ情報の大小関係
を設定しないで鍵共有を可能とする２つの例について説
明する。
を設定しないで鍵共有を可能とする２つの例について説
明する。
【００４２】（第２例）ｘ，ｙに関する対称関数ｇ
（ｘ，ｙ）（但し、ｇ（ｘ，ｙ）＝ｘｙは除く）を設定
する。以下の例では、ｇ（ｘ，ｙ）＝ｘ＋ｙとする。エ
ンティティＡは、ｇ（ｘ，ｙ）＝ｘ＋ｙに従って下記
（４）のように、共通鍵Ｋab＝ｋab＋ｋbaを生成する。 Ｋab＝ｋab＋ｋba ＝＜Ｓa ，Ｐb ＞＋＜Ｐb ，Ｓa ＞ ＝＜ｒＰa ，Ｐb ＞＋＜Ｐb ，ｒＰa ＞ ＝＜Ｐa ，Ｐb ＞r ＋＜Ｐb ，Ｐa ＞r …（４）
（ｘ，ｙ）（但し、ｇ（ｘ，ｙ）＝ｘｙは除く）を設定
する。以下の例では、ｇ（ｘ，ｙ）＝ｘ＋ｙとする。エ
ンティティＡは、ｇ（ｘ，ｙ）＝ｘ＋ｙに従って下記
（４）のように、共通鍵Ｋab＝ｋab＋ｋbaを生成する。 Ｋab＝ｋab＋ｋba ＝＜Ｓa ，Ｐb ＞＋＜Ｐb ，Ｓa ＞ ＝＜ｒＰa ，Ｐb ＞＋＜Ｐb ，ｒＰa ＞ ＝＜Ｐa ，Ｐb ＞r ＋＜Ｐb ，Ｐa ＞r …（４）
【００４３】一方、エンティティＢは、ｇ（ｘ，ｙ）＝
ｘ＋ｙに従って下記（５）のように、共通鍵Ｋba＝ｋba
＋ｋabを生成する。 Ｋba＝ｋba＋ｋab ＝＜Ｓb ，Ｐa ＞＋＜Ｐa ，Ｓb ＞ ＝＜ｒＰb ，Ｐa ＞＋＜Ｐa ，ｒＰb ＞ ＝＜Ｐb ，Ｐa ＞r ＋＜Ｐa ，Ｐb ＞r …（５） よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。なお、他の種類
の対称関数ｇ（ｘ，ｙ）を利用しても、同様に鍵共有が
可能である。
ｘ＋ｙに従って下記（５）のように、共通鍵Ｋba＝ｋba
＋ｋabを生成する。 Ｋba＝ｋba＋ｋab ＝＜Ｓb ，Ｐa ＞＋＜Ｐa ，Ｓb ＞ ＝＜ｒＰb ，Ｐa ＞＋＜Ｐa ，ｒＰb ＞ ＝＜Ｐb ，Ｐa ＞r ＋＜Ｐa ，Ｐb ＞r …（５） よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。なお、他の種類
の対称関数ｇ（ｘ，ｙ）を利用しても、同様に鍵共有が
可能である。
【００４４】（第３例）エンティティＡは、第２例で示
したｋabを用いて、下記（６）のように、共通鍵Ｋab＝
ｋab＋ｋab -1を生成する。 Ｋab＝ｋab＋ｋab -1 ＝＜Ｓa ，Ｐb ＞＋＜Ｓa ，Ｐb ＞-1 ＝＜ｒＰa ，Ｐb ＞＋＜ｒＰa ，Ｐb ＞-1 ＝＜Ｐa ，Ｐb ＞r ＋＜Ｐa ，Ｐb ＞-r …（６）
したｋabを用いて、下記（６）のように、共通鍵Ｋab＝
ｋab＋ｋab -1を生成する。 Ｋab＝ｋab＋ｋab -1 ＝＜Ｓa ，Ｐb ＞＋＜Ｓa ，Ｐb ＞-1 ＝＜ｒＰa ，Ｐb ＞＋＜ｒＰa ，Ｐb ＞-1 ＝＜Ｐa ，Ｐb ＞r ＋＜Ｐa ，Ｐb ＞-r …（６）
【００４５】エンティティＢは、第２例で示したｋbaを
用いて、下記（７）のように、共通鍵Ｋba＝ｋba＋ｋba
-1を生成する。 Ｋba＝ｋba＋ｋba -1 ＝＜Ｓb ，Ｐa ＞＋＜Ｓb ，Ｐa ＞-1 ＝＜ｒＰb ，Ｐa ＞＋＜ｒＰb ，Ｐa ＞-1 ＝＜Ｐb ，Ｐa ＞r ＋＜Ｐb ，Ｐa ＞-r ＝＜Ｐa ，Ｐb ＞-r＋＜Ｐa ，Ｐb ＞r …（７） よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。
用いて、下記（７）のように、共通鍵Ｋba＝ｋba＋ｋba
-1を生成する。 Ｋba＝ｋba＋ｋba -1 ＝＜Ｓb ，Ｐa ＞＋＜Ｓb ，Ｐa ＞-1 ＝＜ｒＰb ，Ｐa ＞＋＜ｒＰb ，Ｐa ＞-1 ＝＜Ｐb ，Ｐa ＞r ＋＜Ｐb ，Ｐa ＞-r ＝＜Ｐa ，Ｐb ＞-r＋＜Ｐa ，Ｐb ＞r …（７） よって、エンティティＡが生成する共通鍵Ｋabとエンテ
ィティＢが生成する共通鍵Ｋbaとは一致して、両エンテ
ィティＡ，Ｂ間で共通鍵を共有できる。
【００４６】（第４例）エンティティＡは、自身の秘密
鍵Ｓa とエンティティＢの公開鍵Ｐb とを用いて、下記
（８）のようにして、中間鍵Ｉabを生成する。
鍵Ｓa とエンティティＢの公開鍵Ｐb とを用いて、下記
（８）のようにして、中間鍵Ｉabを生成する。
【００４７】エンティティＢは、自身の秘密鍵Ｓb とエ
ンティティＡの公開鍵Ｐa とを用いて、下記（９）のよ
うにして、中間鍵Ｉbaを生成する。
ンティティＡの公開鍵Ｐa とを用いて、下記（９）のよ
うにして、中間鍵Ｉbaを生成する。
【００４８】ここで、ベイユペアリングにおける前述し
た（交換則）により、Ｉab×Ｉba＝１の関係が成立する
ことが分かる。このような逆数の関係を利用して、両エ
ンティティＡ，Ｂ間で鍵共有を行うことも可能である。
た（交換則）により、Ｉab×Ｉba＝１の関係が成立する
ことが分かる。このような逆数の関係を利用して、両エ
ンティティＡ，Ｂ間で鍵共有を行うことも可能である。
【００４９】以上のようにして、ベイユペアリングを利
用して、各エンティティ間で等しい共通鍵を容易に生成
できる。
用して、各エンティティ間で等しい共通鍵を容易に生成
できる。
【００５０】なお、上述した例では、エンティティＡの
ＩＤ情報ＩＤa から直接に写像点Ｐ a を求めるようにし
たが、一方向性関数を用いてＩＤ情報ＩＤa を変換し、
その変換値から写像点Ｐa を求めるようにしても良い。
この際、一方向性関数の例としてハッシュ関数ｈ（）を
用いた場合、公開鍵Ｐa ＝ｆ（ｈ（ＩＤa ）），秘密鍵
Ｓa ＝ｒ・ｆ（ｈ（ＩＤa ））となる。
ＩＤ情報ＩＤa から直接に写像点Ｐ a を求めるようにし
たが、一方向性関数を用いてＩＤ情報ＩＤa を変換し、
その変換値から写像点Ｐa を求めるようにしても良い。
この際、一方向性関数の例としてハッシュ関数ｈ（）を
用いた場合、公開鍵Ｐa ＝ｆ（ｈ（ＩＤa ）），秘密鍵
Ｓa ＝ｒ・ｆ（ｈ（ＩＤa ））となる。
【００５１】エンティティが、センタ１の秘密情報ｒを
求めることを困難にするためには、次の２つの条件が必
要である。 （条件１）ｑを２160 以上に設定すること。 （条件２）＃Ｅ／Ｆq ｜ｑk −１かつｑk ＞２1024を満
たすような整数ｋが存在すること。
求めることを困難にするためには、次の２つの条件が必
要である。 （条件１）ｑを２160 以上に設定すること。 （条件２）＃Ｅ／Ｆq ｜ｑk −１かつｑk ＞２1024を満
たすような整数ｋが存在すること。
【００５２】（条件１）は、楕円離散対数問題を求める
ことを困難にするために必要である。（条件２）は、有
限体Ｆd （但し，ｄ＝ｑk ）の離散対数問題を求めるこ
とを困難にするために必要である。
ことを困難にするために必要である。（条件２）は、有
限体Ｆd （但し，ｄ＝ｑk ）の離散対数問題を求めるこ
とを困難にするために必要である。
【００５３】次に、上述した鍵共有方式を利用した暗号
システムにおけるエンティティ間の情報通信について説
明する。図２は、２人のエンティティＡ，Ｂ間における
情報の通信状態を示す模式図である。図２の例は、エン
ティティＡが平文（メッセージ）Ｍを暗号文Ｃに暗号化
してそれをエンティティＢへ伝送し、エンティティＢが
その暗号文Ｃを元の平文（メッセージ）Ｍに復号する場
合を示している。
システムにおけるエンティティ間の情報通信について説
明する。図２は、２人のエンティティＡ，Ｂ間における
情報の通信状態を示す模式図である。図２の例は、エン
ティティＡが平文（メッセージ）Ｍを暗号文Ｃに暗号化
してそれをエンティティＢへ伝送し、エンティティＢが
その暗号文Ｃを元の平文（メッセージ）Ｍに復号する場
合を示している。
【００５４】センタ１には、関数ｆ（）を用いて、各エ
ンティティＡ，ＢのＩＤ情報ＩＤa，ＩＤb を楕円曲線
に写像した写像位置である公開鍵Ｐa ，Ｐb を得る公開
鍵生成器１ａと、その公開鍵Ｐa ，Ｐb とセンタ固有の
秘密情報ｒとを用いて各エンティティＡ，Ｂの秘密鍵Ｓ
a ，Ｓb を求める秘密鍵生成器１ｂとが備えられてい
る。そして、センタ１から各エンティティＡ，Ｂへ、前
記（１）に従って生成された秘密鍵Ｓa ，Ｓb が送付さ
れる。
ンティティＡ，ＢのＩＤ情報ＩＤa，ＩＤb を楕円曲線
に写像した写像位置である公開鍵Ｐa ，Ｐb を得る公開
鍵生成器１ａと、その公開鍵Ｐa ，Ｐb とセンタ固有の
秘密情報ｒとを用いて各エンティティＡ，Ｂの秘密鍵Ｓ
a ，Ｓb を求める秘密鍵生成器１ｂとが備えられてい
る。そして、センタ１から各エンティティＡ，Ｂへ、前
記（１）に従って生成された秘密鍵Ｓa ，Ｓb が送付さ
れる。
【００５５】エンティティＡ側には、エンティティＢの
ＩＤ情報ＩＤb を入力し、それを楕円曲線に写像した写
像位置である公開鍵Ｐb を得る公開鍵生成器１１と、セ
ンタ１から送られる秘密鍵Ｓa と公開鍵生成器１１から
の公開鍵Ｐb とに基づいてエンティティＡが求めるエン
ティティＢとの共通鍵Ｋabを生成する共通鍵生成器１２
と、共通鍵Ｋabを使用して平文（メッセージ）Ｍを暗号
文Ｃに暗号化して通信路３０へ出力する暗号化器１３と
が備えられている。
ＩＤ情報ＩＤb を入力し、それを楕円曲線に写像した写
像位置である公開鍵Ｐb を得る公開鍵生成器１１と、セ
ンタ１から送られる秘密鍵Ｓa と公開鍵生成器１１から
の公開鍵Ｐb とに基づいてエンティティＡが求めるエン
ティティＢとの共通鍵Ｋabを生成する共通鍵生成器１２
と、共通鍵Ｋabを使用して平文（メッセージ）Ｍを暗号
文Ｃに暗号化して通信路３０へ出力する暗号化器１３と
が備えられている。
【００５６】また、エンティティＢ側には、エンティテ
ィＡのＩＤ情報ＩＤa を入力し、それを楕円曲線に写像
した写像位置である公開鍵Ｐa を得る公開鍵生成器２１
と、センタ１から送られる秘密鍵Ｓb と公開鍵生成器２
１からの公開Ｐa とに基づいてエンティティＢが求める
エンティティＡとの共通鍵Ｋbaを生成する共通鍵生成器
２２と、通信路３０から入力した暗号文Ｃを共通鍵Ｋba
を使用して平文（メッセージ）Ｍに復号して出力する復
号器２３とが備えられている。
ィＡのＩＤ情報ＩＤa を入力し、それを楕円曲線に写像
した写像位置である公開鍵Ｐa を得る公開鍵生成器２１
と、センタ１から送られる秘密鍵Ｓb と公開鍵生成器２
１からの公開Ｐa とに基づいてエンティティＢが求める
エンティティＡとの共通鍵Ｋbaを生成する共通鍵生成器
２２と、通信路３０から入力した暗号文Ｃを共通鍵Ｋba
を使用して平文（メッセージ）Ｍに復号して出力する復
号器２３とが備えられている。
【００５７】次に、動作について説明する。エンティテ
ィＡからエンティティＢへ情報を伝送しようとする場
合、まず、エンティティＢのＩＤ情報ＩＤb が公開鍵生
成器１１に入力されて公開鍵Ｐb が得られ、得られた公
開鍵Ｐb が共通鍵生成器１２へ送られる。また、センタ
１から秘密鍵Ｓa が共通鍵生成器１２へ入力される。そ
して、前記（２），（４）または（６）に従って共通鍵
Ｋabが求められて、暗号化器１３へ送られる。暗号化器
１３において、この共通鍵Ｋabを用いて平文（メッセー
ジ）Ｍが暗号文Ｃに暗号化され、暗号文Ｃが通信路３０
を介して伝送される。
ィＡからエンティティＢへ情報を伝送しようとする場
合、まず、エンティティＢのＩＤ情報ＩＤb が公開鍵生
成器１１に入力されて公開鍵Ｐb が得られ、得られた公
開鍵Ｐb が共通鍵生成器１２へ送られる。また、センタ
１から秘密鍵Ｓa が共通鍵生成器１２へ入力される。そ
して、前記（２），（４）または（６）に従って共通鍵
Ｋabが求められて、暗号化器１３へ送られる。暗号化器
１３において、この共通鍵Ｋabを用いて平文（メッセー
ジ）Ｍが暗号文Ｃに暗号化され、暗号文Ｃが通信路３０
を介して伝送される。
【００５８】通信路３０を伝送された暗号文Ｃはエンテ
ィティＢの復号器２３へ入力される。エンティティＡの
ＩＤ情報ＩＤa が公開鍵生成器２１に入力されて公開鍵
Ｐaが得られ、得られた公開鍵Ｐa が共通鍵生成器２２
へ送られる。また、センタ１から秘密鍵Ｓb が共通鍵生
成器２２へ入力される。そして、前記（３），（５）ま
たは（７）に従って共通鍵Ｋbaが求められて、復号器２
３へ送られる。復号器２３において、この共通鍵Ｋbaを
用いて暗号文Ｃが平文（メッセージ）Ｍに復号される。
ィティＢの復号器２３へ入力される。エンティティＡの
ＩＤ情報ＩＤa が公開鍵生成器２１に入力されて公開鍵
Ｐaが得られ、得られた公開鍵Ｐa が共通鍵生成器２２
へ送られる。また、センタ１から秘密鍵Ｓb が共通鍵生
成器２２へ入力される。そして、前記（３），（５）ま
たは（７）に従って共通鍵Ｋbaが求められて、復号器２
３へ送られる。復号器２３において、この共通鍵Ｋbaを
用いて暗号文Ｃが平文（メッセージ）Ｍに復号される。
【００５９】次に、本発明における安全性について説明
する。本発明の安全性は、楕円離散対数問題と後述する
ようにこれと等価である拡張楕円離散対数問題とに基づ
いている。
する。本発明の安全性は、楕円離散対数問題と後述する
ようにこれと等価である拡張楕円離散対数問題とに基づ
いている。
【００６０】〔楕円離散対数問題と拡張楕円離散対数問
題との等価性〕通常の楕円離散対数問題とは、楕円曲線
Ｅ上の任意の点Ｐとそのｒ倍点Ｑ＝ｒＰが与えられてい
る場合に、Ｐ，Ｑからｒを求める問題である。ここで、
下記（10）のように、楕円曲線上の任意の点Ｐi （１≦
ｉ≦ｎ−１）とその点Ｐi に基づくＱが与えられている
場合に、ある１組のｒi （１≦ｉ≦ｎ−１）を求める問
題を拡張楕円離散対数問題と定義する。楕円離散対数問
題と拡張楕円離散対数問題との等価性について考察す
る。なお、議論の簡単化のために楕円曲線は素数位数ｐ
とする。
題との等価性〕通常の楕円離散対数問題とは、楕円曲線
Ｅ上の任意の点Ｐとそのｒ倍点Ｑ＝ｒＰが与えられてい
る場合に、Ｐ，Ｑからｒを求める問題である。ここで、
下記（10）のように、楕円曲線上の任意の点Ｐi （１≦
ｉ≦ｎ−１）とその点Ｐi に基づくＱが与えられている
場合に、ある１組のｒi （１≦ｉ≦ｎ−１）を求める問
題を拡張楕円離散対数問題と定義する。楕円離散対数問
題と拡張楕円離散対数問題との等価性について考察す
る。なお、議論の簡単化のために楕円曲線は素数位数ｐ
とする。
【００６１】
【数１】
【００６２】（楕円離散対数問題から拡張楕円離散対数
問題への帰着）楕円離散対数問題がベースポイントＰを
基準として解けると仮定する。Ｐi （１≦ｉ≦ｎ−１）
及びＱは、夫々楕円曲線上のベースポイントＰを基準と
して係数を、下記（11）のように求めることができる。
問題への帰着）楕円離散対数問題がベースポイントＰを
基準として解けると仮定する。Ｐi （１≦ｉ≦ｎ−１）
及びＱは、夫々楕円曲線上のベースポイントＰを基準と
して係数を、下記（11）のように求めることができる。
【００６３】
【数２】
【００６４】係数ｒi ′，ｒ′をＦp の元として、下記
（12）の不定方程式を解くことにより、ｒi （１≦ｉ≦
ｎ−１）を求めることが可能である。よって、拡張楕円
離散対数問題を解くことができる。
（12）の不定方程式を解くことにより、ｒi （１≦ｉ≦
ｎ−１）を求めることが可能である。よって、拡張楕円
離散対数問題を解くことができる。
【００６５】
【数３】
【００６６】（拡張楕円離散対数問題から楕円離散対数
問題への帰着）任意の拡張楕円離散対数問題が解けると
仮定する。ここで、楕円曲線上の点Ｐ i （１≦ｉ≦ｎ）
に対して、下記（13）で示される拡張楕円離散対数問題
を解き、これを行列を用いて表すと下記（14）のように
なる。
問題への帰着）任意の拡張楕円離散対数問題が解けると
仮定する。ここで、楕円曲線上の点Ｐ i （１≦ｉ≦ｎ）
に対して、下記（13）で示される拡張楕円離散対数問題
を解き、これを行列を用いて表すと下記（14）のように
なる。
【００６７】
【数４】
【００６８】上記（14）の行列について係数のみを抜き
出すと下記（15）のような関係式が得られ、下記（16）
のように変形可能である。
出すと下記（15）のような関係式が得られ、下記（16）
のように変形可能である。
【００６９】
【数５】
【００７０】上記（16）から分かるように、点Ｐi （１
≦ｉ≦ｎ−１）はＰn の定数倍で表すことが可能であ
る。即ち、拡張楕円離散対数問題を解くことによって、
Ｐi ＝ｒi ′Ｐn を満たすｒi ′を求めることができ
る。以上のことから、楕円離散対数問題と拡張楕円離散
対数問題とは等価になる。
≦ｉ≦ｎ−１）はＰn の定数倍で表すことが可能であ
る。即ち、拡張楕円離散対数問題を解くことによって、
Ｐi ＝ｒi ′Ｐn を満たすｒi ′を求めることができ
る。以上のことから、楕円離散対数問題と拡張楕円離散
対数問題とは等価になる。
【００７１】〔センタの秘密情報に関する安全性〕エン
ティティＣの公開鍵Ｐc と秘密鍵Ｓc とからセンタの秘
密情報ｒを得ることは、楕円離散対数問題を解くことと
等価であって、困難である。エンティティＡの公開鍵Ｐ
a とエンティティＢの公開鍵Ｐb とから＜Ｐa ，Ｐ b ＞
を計算し、これと共通鍵Ｋab＝＜Ｐa ，Ｐb ＞r とから
ｒを得ることは離散対数問題を解くことと等価であっ
て、困難である。よって、どのエンティティもセンタの
秘密情報ｒを求めることができない。
ティティＣの公開鍵Ｐc と秘密鍵Ｓc とからセンタの秘
密情報ｒを得ることは、楕円離散対数問題を解くことと
等価であって、困難である。エンティティＡの公開鍵Ｐ
a とエンティティＢの公開鍵Ｐb とから＜Ｐa ，Ｐ b ＞
を計算し、これと共通鍵Ｋab＝＜Ｐa ，Ｐb ＞r とから
ｒを得ることは離散対数問題を解くことと等価であっ
て、困難である。よって、どのエンティティもセンタの
秘密情報ｒを求めることができない。
【００７２】〔エンティティの秘密鍵に関する安全性〕
ｎ人のエンティティが結託してエンティティＣの秘密鍵
Ｓc を偽造する攻撃について考察する。エンティティＣ
の公開鍵Ｐc が下記（17）のように他のエンティティの
公開鍵の線形結合によって表すことが可能であると仮定
すると、前記（１）にこの線形結合を代入すると、下記
（18）の関係式が成立するので、エンティティＣの秘密
鍵Ｓc が露呈する。 Ｐc ＝ｕ1 Ｐ1 ＋ｕ2 Ｐ2 ＋・・・＋ｕn Ｐn …（17） Ｓc ＝ｒＰc ＝ｒ（ｕ1 Ｐ1 ＋ｕ2 Ｐ2 ＋・・・＋ｕn Ｐn ） ＝ｕ1 （ｒＰ1 ）＋ｕ2 （ｒＰ2 ）＋・・・＋ｕn （ｒＰn ） ＝ｕ1 Ｓ1 ＋ｕ2 Ｓ2 ＋・・・＋ｕn Ｓn …（18）
ｎ人のエンティティが結託してエンティティＣの秘密鍵
Ｓc を偽造する攻撃について考察する。エンティティＣ
の公開鍵Ｐc が下記（17）のように他のエンティティの
公開鍵の線形結合によって表すことが可能であると仮定
すると、前記（１）にこの線形結合を代入すると、下記
（18）の関係式が成立するので、エンティティＣの秘密
鍵Ｓc が露呈する。 Ｐc ＝ｕ1 Ｐ1 ＋ｕ2 Ｐ2 ＋・・・＋ｕn Ｐn …（17） Ｓc ＝ｒＰc ＝ｒ（ｕ1 Ｐ1 ＋ｕ2 Ｐ2 ＋・・・＋ｕn Ｐn ） ＝ｕ1 （ｒＰ1 ）＋ｕ2 （ｒＰ2 ）＋・・・＋ｕn （ｒＰn ） ＝ｕ1 Ｓ1 ＋ｕ2 Ｓ2 ＋・・・＋ｕn Ｓn …（18）
【００７３】しかし、上記（17）での係数ｕi を得るに
は拡張楕円離散対数問題を解く必要があり、このような
攻撃は困難であるといえる。よって、安全性は拡張楕円
離散対数問題を解くことの難しさに基づいている。
は拡張楕円離散対数問題を解く必要があり、このような
攻撃は困難であるといえる。よって、安全性は拡張楕円
離散対数問題を解くことの難しさに基づいている。
【００７４】ここで、この秘密鍵の安全性について更に
詳述する。拡張楕円離散対数問題は、ＰをＥ／Ｆq 上の
任意の点、（Ｇ1 ，Ｇ2 ）をＥ／Ｆq の生成元とした場
合に、下記（19）において係数ｕ1 ，ｕ2 を求める問題
である。 Ｐ＝ｕ1 Ｇ1 ＋ｕ2 Ｇ2 …（19）
詳述する。拡張楕円離散対数問題は、ＰをＥ／Ｆq 上の
任意の点、（Ｇ1 ，Ｇ2 ）をＥ／Ｆq の生成元とした場
合に、下記（19）において係数ｕ1 ，ｕ2 を求める問題
である。 Ｐ＝ｕ1 Ｇ1 ＋ｕ2 Ｇ2 …（19）
【００７５】Ｇ1 ，Ｇ2 の次数を＃（Ｇ1 ），＃
（Ｇ2 ）と定義する。但し、＃（Ｇ1 ）｜＃（Ｇ2 ）と
する。拡張楕円離散対数問題が解けるとすれば、Ｐ＝ｕ
1 Ｇ1 ＋ｕ 2 Ｇ2 での係数ｕ1 ，ｕ2 及びＱ＝ｖ1 Ｇ1
＋ｖ2 Ｇ2 での係数ｖ1 ，ｖ2 は求まり、楕円離散対数
問題Ｑ＝ｒＰは、下記（20）のように解ける。
（Ｇ2 ）と定義する。但し、＃（Ｇ1 ）｜＃（Ｇ2 ）と
する。拡張楕円離散対数問題が解けるとすれば、Ｐ＝ｕ
1 Ｇ1 ＋ｕ 2 Ｇ2 での係数ｕ1 ，ｕ2 及びＱ＝ｖ1 Ｇ1
＋ｖ2 Ｇ2 での係数ｖ1 ，ｖ2 は求まり、楕円離散対数
問題Ｑ＝ｒＰは、下記（20）のように解ける。
【００７６】
【数６】
【００７７】上記（17）を解く問題と拡張楕円離散対数
問題との等価性について考察する。上記（17）が解けた
とすると、下記（21）のｒi,j を求めることができる。
問題との等価性について考察する。上記（17）が解けた
とすると、下記（21）のｒi,j を求めることができる。
【００７８】
【数７】
【００７９】そして、下記（22）の式において、左辺の
（ｎ−２）×（ｎ−２）の行列式が、Ｐn-1 ＝Ｇ1 ，Ｐ
n ＝Ｇ2 である＃（Ｇ2 ）に素であるという仮定のもと
で、その下記（22）の式を解くことができる。行列式が
＃（Ｇ2 ）に素でない場合には、上記（21）の別の解ｒ
i,j を選択できる。
（ｎ−２）×（ｎ−２）の行列式が、Ｐn-1 ＝Ｇ1 ，Ｐ
n ＝Ｇ2 である＃（Ｇ2 ）に素であるという仮定のもと
で、その下記（22）の式を解くことができる。行列式が
＃（Ｇ2 ）に素でない場合には、上記（21）の別の解ｒ
i,j を選択できる。
【００８０】
【数８】
【００８１】この結果、上記（17）が解けるとすれば、
下記（23）に示すＰi と（Ｇ1 ，Ｇ 2 ）との拡張楕円離
散対数問題も解ける。
下記（23）に示すＰi と（Ｇ1 ，Ｇ 2 ）との拡張楕円離
散対数問題も解ける。
【００８２】
【数９】
【００８３】これとは逆に、拡張楕円離散対数問題が解
ければ、上記（17）が解けることを示す。Ｐi と
（Ｇ1 ，Ｇ2 ）との拡張楕円離散対数問題を下記（24）
のように定義し、ＰC と（Ｇ1 ，Ｇ2 ）との拡張楕円離
散対数問題を下記（25）のように定義すると、下記（2
6）に示すような関係が成立する。
ければ、上記（17）が解けることを示す。Ｐi と
（Ｇ1 ，Ｇ2 ）との拡張楕円離散対数問題を下記（24）
のように定義し、ＰC と（Ｇ1 ，Ｇ2 ）との拡張楕円離
散対数問題を下記（25）のように定義すると、下記（2
6）に示すような関係が成立する。
【００８４】
【数１０】
【００８５】ｖj とｒi,j が与えられている場合には、
ｕi が解けることは明らかである。よって、上記（17）
を解く問題と拡張楕円離散対数問題とは等価である。ま
た、楕円曲線の群が周期的である場合、拡張楕円離散対
数問題が楕円離散対数問題と等価であることは明らかで
ある。よって、この場合、上記（17）を解く問題は楕円
離散対数問題と等価になる。
ｕi が解けることは明らかである。よって、上記（17）
を解く問題と拡張楕円離散対数問題とは等価である。ま
た、楕円曲線の群が周期的である場合、拡張楕円離散対
数問題が楕円離散対数問題と等価であることは明らかで
ある。よって、この場合、上記（17）を解く問題は楕円
離散対数問題と等価になる。
【００８６】〔エンティティ間の共通鍵に関する安全
性〕ｎ人のエンティティの結託により、エンティティ
Ａ，エンティティＣ間の共通鍵を偽造する攻撃について
考察する。エンティティＣの公開鍵Ｐc が上記（17）の
ように他のエンティティの公開鍵の線形結合によって表
すことが可能であると仮定すると、下記（27），（28）
のように、両エンティティＡ，Ｃ間の共通鍵Ｋ ac，Ｋca
が露呈する。エンティティＣの秘密鍵Ｓc が線形結合に
より書き表せる場合も同様に考えられる。
性〕ｎ人のエンティティの結託により、エンティティ
Ａ，エンティティＣ間の共通鍵を偽造する攻撃について
考察する。エンティティＣの公開鍵Ｐc が上記（17）の
ように他のエンティティの公開鍵の線形結合によって表
すことが可能であると仮定すると、下記（27），（28）
のように、両エンティティＡ，Ｃ間の共通鍵Ｋ ac，Ｋca
が露呈する。エンティティＣの秘密鍵Ｓc が線形結合に
より書き表せる場合も同様に考えられる。
【００８７】
【数１１】
【００８８】しかしながら、上記（17）での係数ｕi を
求めるには拡張楕円離散対数問題を解くことになり、こ
のような攻撃は困難である。
求めるには拡張楕円離散対数問題を解くことになり、こ
のような攻撃は困難である。
【００８９】もし、エンティティＡが自身の公開鍵
Ｐa ，秘密鍵Ｓa から他のエンティティ間の共通鍵Ｋbc
を偽造しようとしても不可能である。なぜなら、秘密鍵
Ｓb ，Ｓ c はエンティティＢ，Ｃの秘密情報であり、そ
れらは秘密情報ｒなしでは求められないからである。よ
って、どのエンティティも共通鍵Ｋbcを偽造できない。
Ｐa ，秘密鍵Ｓa から他のエンティティ間の共通鍵Ｋbc
を偽造しようとしても不可能である。なぜなら、秘密鍵
Ｓb ，Ｓ c はエンティティＢ，Ｃの秘密情報であり、そ
れらは秘密情報ｒなしでは求められないからである。よ
って、どのエンティティも共通鍵Ｋbcを偽造できない。
【００９０】秘密鍵Ｓb ，Ｓc なしに結託エンティティ
Ｉの秘密鍵Ｓi から共通鍵Ｋbcを求める結託攻撃は、秘
密鍵Ｓi から秘密鍵Ｓb ，Ｓc を求める場合と同じ問題
になる。また、結託エンティティＩ，Ｊ間の共通鍵Ｋij
から共通鍵Ｋbcを求める結託攻撃は、センタの秘密情報
ｒを知らないので、困難な問題となる。共通鍵Ｋbcを求
める問題は、Diffe-Hellman 型問題に帰着する。
Ｉの秘密鍵Ｓi から共通鍵Ｋbcを求める結託攻撃は、秘
密鍵Ｓi から秘密鍵Ｓb ，Ｓc を求める場合と同じ問題
になる。また、結託エンティティＩ，Ｊ間の共通鍵Ｋij
から共通鍵Ｋbcを求める結託攻撃は、センタの秘密情報
ｒを知らないので、困難な問題となる。共通鍵Ｋbcを求
める問題は、Diffe-Hellman 型問題に帰着する。
【００９１】ところで、エンティティＡは共通鍵Ｋab，
Ｋacを算出することが可能であるので、共通鍵Ｋab，Ｋ
acから共通鍵Ｋbcを求めることができるとすれば、エン
ティティＡは他エンティティ間の共通鍵を偽造可能であ
る。しかし、このような攻撃法は本発明には適用困難で
ある。
Ｋacを算出することが可能であるので、共通鍵Ｋab，Ｋ
acから共通鍵Ｋbcを求めることができるとすれば、エン
ティティＡは他エンティティ間の共通鍵を偽造可能であ
る。しかし、このような攻撃法は本発明には適用困難で
ある。
【００９２】以下、本発明の他の実施の形態である、各
エンティティのＩＤ情報をベクトルに拡張した鍵共有方
式について説明する。
エンティティのＩＤ情報をベクトルに拡張した鍵共有方
式について説明する。
【００９３】エンティティＡのＩＤ情報であるベクトル
Ｐa を下記（29）のように表す。 ベクトルＰa ＝（Ｐa1，Ｐa2，・・・，Ｐan） …（29） また、センタ１の秘密情報としてｎ×ｎの対称行列Ｒを
下記（30）のように設定する。
Ｐa を下記（29）のように表す。 ベクトルＰa ＝（Ｐa1，Ｐa2，・・・，Ｐan） …（29） また、センタ１の秘密情報としてｎ×ｎの対称行列Ｒを
下記（30）のように設定する。
【００９４】
【数１２】
【００９５】センタ１は、このベクトルＰa 及び対称行
列Ｒを用い、下記（31）に従って、エンティティＡの秘
密鍵（ベクトルＳa ）を求め、求めた秘密鍵を秘密裏に
エンティティＡへ送付する。
列Ｒを用い、下記（31）に従って、エンティティＡの秘
密鍵（ベクトルＳa ）を求め、求めた秘密鍵を秘密裏に
エンティティＡへ送付する。
【００９６】
【数１３】
【００９７】エンティティＡは、エンティティＢとの共
通鍵Ｋabを下記（32）に従って生成する。但し、点と点
との積はベイユペアリングの値とする。
通鍵Ｋabを下記（32）に従って生成する。但し、点と点
との積はベイユペアリングの値とする。
【００９８】
【数１４】
【００９９】また、エンティティＢは、エンティティＡ
との共通鍵Ｋbaを同様に生成する。そして、前述した実
施の形態の第１例のように各エンティティＡ，Ｂ間のＩ
Ｄ情報の大小関係を考慮するようにした場合には、Ｋab
＝Ｋbaとなり、同一の共通鍵を共有し合うことができ
る。
との共通鍵Ｋbaを同様に生成する。そして、前述した実
施の形態の第１例のように各エンティティＡ，Ｂ間のＩ
Ｄ情報の大小関係を考慮するようにした場合には、Ｋab
＝Ｋbaとなり、同一の共通鍵を共有し合うことができ
る。
【０１００】次に、この実施の形態における安全性につ
いて考察する。 〔センタの秘密情報に関する安全性〕エンティティＣの
公開鍵ベクトルＰc と秘密鍵ベクトルＳc とからセンタ
の秘密行列Ｒを得ることは、拡張楕円離散対数問題を解
くことと等価であって、困難である。エンティティＡの
公開鍵ベクトルＰa とエンティティＢの公開鍵ベクトル
Ｐbとから＜Ｐai，Ｐbj＞（１≦ｉ，ｊ≦ｎ）を計算
し、これと下記（33）に示す共通鍵Ｋabとから行列Ｒの
各成分ｒij（１≦ｉ，ｊ≦ｎ）を得ることは、拡張楕円
離散対数問題が楕円離散対数問題とが等価であることと
同様に、拡張離散対数問題と離散対数問題とで等価であ
る。
いて考察する。 〔センタの秘密情報に関する安全性〕エンティティＣの
公開鍵ベクトルＰc と秘密鍵ベクトルＳc とからセンタ
の秘密行列Ｒを得ることは、拡張楕円離散対数問題を解
くことと等価であって、困難である。エンティティＡの
公開鍵ベクトルＰa とエンティティＢの公開鍵ベクトル
Ｐbとから＜Ｐai，Ｐbj＞（１≦ｉ，ｊ≦ｎ）を計算
し、これと下記（33）に示す共通鍵Ｋabとから行列Ｒの
各成分ｒij（１≦ｉ，ｊ≦ｎ）を得ることは、拡張楕円
離散対数問題が楕円離散対数問題とが等価であることと
同様に、拡張離散対数問題と離散対数問題とで等価であ
る。
【０１０１】
【数１５】
【０１０２】以上のことから、センタ１の秘密情報（対
称行列Ｒ）は露呈しない。
称行列Ｒ）は露呈しない。
【０１０３】〔エンティティの秘密鍵に関する安全性〕
ｎ人のエンティティが結託してエンティティＣの秘密鍵
ベクトルＳc を偽造する攻撃について考察する。エンテ
ィティＣの公開鍵ベクトルＰc が下記（34）のように他
のエンティティの公開鍵ベクトルの線形結合によって表
すことが可能であると仮定すると、前記（31）にこの線
形結合を代入すると、下記（35）の関係式が成立するの
で、エンティティＣの秘密鍵ベクトルＳc が露呈する。
ｎ人のエンティティが結託してエンティティＣの秘密鍵
ベクトルＳc を偽造する攻撃について考察する。エンテ
ィティＣの公開鍵ベクトルＰc が下記（34）のように他
のエンティティの公開鍵ベクトルの線形結合によって表
すことが可能であると仮定すると、前記（31）にこの線
形結合を代入すると、下記（35）の関係式が成立するの
で、エンティティＣの秘密鍵ベクトルＳc が露呈する。
【０１０４】
【数１６】
【０１０５】しかし、前記（31）での成分を得るには拡
張楕円離散対数問題を解く必要があり、このような攻撃
は困難であるといえる。よって、安全性は拡張楕円離散
対数問題を解くことの難しさに基づいている。
張楕円離散対数問題を解く必要があり、このような攻撃
は困難であるといえる。よって、安全性は拡張楕円離散
対数問題を解くことの難しさに基づいている。
【０１０６】〔エンティティ間の共通鍵に関する安全
性〕ｎ人のエンティティの結託により、エンティティ
Ａ，エンティティＣ間の共通鍵を偽造する攻撃について
考察する。エンティティＣの公開鍵ベクトルＰc が上記
（34）のように他のエンティティの公開鍵ベクトルの線
形結合によって表すことが可能であると仮定すると、下
記（36），（37）のように、両エンティティＡ，Ｃ間の
共通鍵Ｋac，Ｋcaが露呈する。エンティティＣの秘密鍵
ベクトルＳc が線形結合により書き表せる場合も同様に
考えられる。
性〕ｎ人のエンティティの結託により、エンティティ
Ａ，エンティティＣ間の共通鍵を偽造する攻撃について
考察する。エンティティＣの公開鍵ベクトルＰc が上記
（34）のように他のエンティティの公開鍵ベクトルの線
形結合によって表すことが可能であると仮定すると、下
記（36），（37）のように、両エンティティＡ，Ｃ間の
共通鍵Ｋac，Ｋcaが露呈する。エンティティＣの秘密鍵
ベクトルＳc が線形結合により書き表せる場合も同様に
考えられる。
【０１０７】
【数１７】
【０１０８】しかしながら、上記（34）での係数ｕi を
求めるには拡張楕円離散対数問題を解くことになり、こ
のような攻撃は困難である。
求めるには拡張楕円離散対数問題を解くことになり、こ
のような攻撃は困難である。
【０１０９】また、この実施の形態にあっても、上述し
た実施の形態と同様に、あるエンティティが自身の共通
鍵から他のエンティティ同士間の共通鍵を生成すること
は困難である。
た実施の形態と同様に、あるエンティティが自身の共通
鍵から他のエンティティ同士間の共通鍵を生成すること
は困難である。
【０１１０】なお、エンティティのＩＤ情報をｎ×ｎの
対称行列に拡張することも可能である。この場合、共通
鍵行列ｋab＝（ｓij）と共通鍵行列ｋba＝（ｔji）と
は、下記（38）の関係を満たす。 ｓij＝ｔji -1 …（38）
対称行列に拡張することも可能である。この場合、共通
鍵行列ｋab＝（ｓij）と共通鍵行列ｋba＝（ｔji）と
は、下記（38）の関係を満たす。 ｓij＝ｔji -1 …（38）
【０１１１】なお、上述した例ではベイユペアリングを
用いる場合について説明したが、楕円曲線上のペアリン
グとしてテイト（Ｔａｔｅ）ペアリングを利用する場合
にあっても、同様に両エンティティ間で鍵共有を行え
る。
用いる場合について説明したが、楕円曲線上のペアリン
グとしてテイト（Ｔａｔｅ）ペアリングを利用する場合
にあっても、同様に両エンティティ間で鍵共有を行え
る。
【０１１２】また、ベイユペアリング及びテイトペアリ
ングの何れの場合にあっても、鍵共有を行う際のペアリ
ング＜Ｐ，Ｑ＞において、点Ｐの座標と点Ｑの座標とが
異なる体に属するようにペアリングの計算を拡張するこ
とができる。また、点Ｐの座標を小さな体で定義すると
ペアリングの計算を高速に行うことができる。
ングの何れの場合にあっても、鍵共有を行う際のペアリ
ング＜Ｐ，Ｑ＞において、点Ｐの座標と点Ｑの座標とが
異なる体に属するようにペアリングの計算を拡張するこ
とができる。また、点Ｐの座標を小さな体で定義すると
ペアリングの計算を高速に行うことができる。
【０１１３】楕円曲線の定義体を変更する利点は、確実
に共通鍵が１とならないようにできるという点、及び、
高速に計算できるという点である。楕円曲線の定義体を
変更する場合、つまり、２通りの定義体を用いる場合に
は、２通りの公開鍵への対応のさせ方が必要である。従
来のＩＤ−ＮＩＫＳでは、エンティティがＩＤ情報によ
って決まる１通りの公開鍵と自身の秘密鍵とを用いて鍵
共有を行っているが、この方式では、ＩＤ情報に基づい
て、定義体が異なる同一の楕円曲線上の点へ、２通りの
異なるやり方によって公開鍵を写像し、ＩＤ情報または
公開鍵に基づき、一方のエンティティが何れか一方の定
義体による公開鍵を使用し、他方のエンティティが他方
の定義体による公開鍵を使用して、鍵共有を行う。
に共通鍵が１とならないようにできるという点、及び、
高速に計算できるという点である。楕円曲線の定義体を
変更する場合、つまり、２通りの定義体を用いる場合に
は、２通りの公開鍵への対応のさせ方が必要である。従
来のＩＤ−ＮＩＫＳでは、エンティティがＩＤ情報によ
って決まる１通りの公開鍵と自身の秘密鍵とを用いて鍵
共有を行っているが、この方式では、ＩＤ情報に基づい
て、定義体が異なる同一の楕円曲線上の点へ、２通りの
異なるやり方によって公開鍵を写像し、ＩＤ情報または
公開鍵に基づき、一方のエンティティが何れか一方の定
義体による公開鍵を使用し、他方のエンティティが他方
の定義体による公開鍵を使用して、鍵共有を行う。
【０１１４】全エンティティを２つのグループＧ1 ，Ｇ
2 に分ける。グループＧ1 に属するエンティティはＰを
含む群の元を、グループＧ2 に属するエンティティはＱ
を含む群の元を夫々ＩＤ情報として用いることにより、
グループＧ1 のエンティティとグループＧ2 のエンティ
ティとにおいて鍵を共有することが可能である。各エン
ティティが２種類のＩＤ情報を有しており、エンティテ
ィＡとエンティティＢとの各ＩＤ情報に何らかの大小関
係を示すアルゴリズムを設定し、何れのエンティティが
どちらのＩＤ情報を使用するかを決定することにより、
鍵の共有化を行える。各エンティティが２種類のＩＤ情
報を有しており、両エンティティ間で２種類の値を計算
し、その２つの計算値を足し合わせる等、同じ値になる
演算を用いて共通鍵を生成する。Ｐを含む群の元とＱを
含む群の元との間の変換を適切に定め、その変換をシス
テム固有の公開情報として用いることにより、鍵の共有
化が可能である。
2 に分ける。グループＧ1 に属するエンティティはＰを
含む群の元を、グループＧ2 に属するエンティティはＱ
を含む群の元を夫々ＩＤ情報として用いることにより、
グループＧ1 のエンティティとグループＧ2 のエンティ
ティとにおいて鍵を共有することが可能である。各エン
ティティが２種類のＩＤ情報を有しており、エンティテ
ィＡとエンティティＢとの各ＩＤ情報に何らかの大小関
係を示すアルゴリズムを設定し、何れのエンティティが
どちらのＩＤ情報を使用するかを決定することにより、
鍵の共有化を行える。各エンティティが２種類のＩＤ情
報を有しており、両エンティティ間で２種類の値を計算
し、その２つの計算値を足し合わせる等、同じ値になる
演算を用いて共通鍵を生成する。Ｐを含む群の元とＱを
含む群の元との間の変換を適切に定め、その変換をシス
テム固有の公開情報として用いることにより、鍵の共有
化が可能である。
【０１１５】なお、上述した例では代数曲線として楕円
曲線を用いる場合について説明したが、超楕円曲線を用
いる場合にあっても、超楕円離散対数問題及びペアリン
グを定義できるので、簡単に拡張することができる。
曲線を用いる場合について説明したが、超楕円曲線を用
いる場合にあっても、超楕円離散対数問題及びペアリン
グを定義できるので、簡単に拡張することができる。
【０１１６】図３は、本発明の記録媒体の実施の形態の
構成を示す図である。ここに例示するプログラムは、各
エンティティのＩＤ情報とセンタ固有の秘密情報とに基
づき前述した手法にて各エンティティ固有の秘密鍵を生
成する処理（エンティティのＩＤ情報に基づき楕円曲線
上の点に写像して写像値を得るステップと、その写像値
とセンタ固有の秘密情報とを用いて秘密鍵を生成するス
テップ）を含むか、または、エンティティ自身の秘密鍵
と通信相手のエンティティの公開鍵とに基づき前述した
手法にて共通鍵を生成する処理（通信相手のエンティテ
ィのＩＤ情報に基づき楕円曲線上の点に写像して写像値
を得るステップと、その写像値とエンティティ自身の秘
密鍵とを用いて共通鍵を生成するステップ）を含んでお
り、以下に説明する記録媒体に記録されている。なお、
コンピュータ４０は、センタ１側か、または、各エンテ
ィティ側に設けられている。
構成を示す図である。ここに例示するプログラムは、各
エンティティのＩＤ情報とセンタ固有の秘密情報とに基
づき前述した手法にて各エンティティ固有の秘密鍵を生
成する処理（エンティティのＩＤ情報に基づき楕円曲線
上の点に写像して写像値を得るステップと、その写像値
とセンタ固有の秘密情報とを用いて秘密鍵を生成するス
テップ）を含むか、または、エンティティ自身の秘密鍵
と通信相手のエンティティの公開鍵とに基づき前述した
手法にて共通鍵を生成する処理（通信相手のエンティテ
ィのＩＤ情報に基づき楕円曲線上の点に写像して写像値
を得るステップと、その写像値とエンティティ自身の秘
密鍵とを用いて共通鍵を生成するステップ）を含んでお
り、以下に説明する記録媒体に記録されている。なお、
コンピュータ４０は、センタ１側か、または、各エンテ
ィティ側に設けられている。
【０１１７】図３において、コンピュータ４０とオンラ
イン接続する記録媒体４１は、コンピュータ４０の設置
場所から隔たって設置される例えばＷＷＷ(World Wide
Web)のサーバコンピュータを用いてなり、記録媒体４１
には前述の如きプログラム４１ａが記録されている。記
録媒体４１から読み出されたプログラム４１ａがコンピ
ュータ４０を制御することにより、各エンティティ固有
の秘密鍵を生成するか、または、両エンティティ間の共
通鍵を生成する。
イン接続する記録媒体４１は、コンピュータ４０の設置
場所から隔たって設置される例えばＷＷＷ(World Wide
Web)のサーバコンピュータを用いてなり、記録媒体４１
には前述の如きプログラム４１ａが記録されている。記
録媒体４１から読み出されたプログラム４１ａがコンピ
ュータ４０を制御することにより、各エンティティ固有
の秘密鍵を生成するか、または、両エンティティ間の共
通鍵を生成する。
【０１１８】コンピュータ４０の内部に設けられた記録
媒体４２は、内蔵設置される例えばハードディスクドラ
イブまたはＲＯＭ等を用いてなり、記録媒体４２には前
述の如きプログラム４２ａが記録されている。記録媒体
４２から読み出されたプログラム４２ａがコンピュータ
４０を制御することにより、各エンティティ固有の秘密
鍵を生成するか、または、両エンティティ間の共通鍵を
生成する。
媒体４２は、内蔵設置される例えばハードディスクドラ
イブまたはＲＯＭ等を用いてなり、記録媒体４２には前
述の如きプログラム４２ａが記録されている。記録媒体
４２から読み出されたプログラム４２ａがコンピュータ
４０を制御することにより、各エンティティ固有の秘密
鍵を生成するか、または、両エンティティ間の共通鍵を
生成する。
【０１１９】コンピュータ４０に設けられたディスクド
ライブ４０ａに装填して使用される記録媒体４３は、運
搬可能な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフ
レキシブルディスク等を用いてなり、記録媒体４３には
前述の如きプログラム４３ａが記録されている。記録媒
体４３から読み出されたプログラム４３ａがコンピュー
タ４０を制御することにより、各エンティティ固有の秘
密鍵を生成するか、または、両エンティティ間の共通鍵
を生成する。
ライブ４０ａに装填して使用される記録媒体４３は、運
搬可能な例えば光磁気ディスク，ＣＤ−ＲＯＭまたはフ
レキシブルディスク等を用いてなり、記録媒体４３には
前述の如きプログラム４３ａが記録されている。記録媒
体４３から読み出されたプログラム４３ａがコンピュー
タ４０を制御することにより、各エンティティ固有の秘
密鍵を生成するか、または、両エンティティ間の共通鍵
を生成する。
【０１２０】
【発明の効果】以上詳述したように、本発明では、各エ
ンティティのＩＤ情報から生成する公開鍵を楕円曲線上
で写像するようにしたので、予備通信を行うことなく両
エンティティ間で容易に共通鍵を共有し合うことができ
る。また、本発明ではその安全性が代数曲線上の離散対
数問題に置かれており、結託攻撃などの攻撃に対して強
く、ＩＤ−ＮＩＫＳの発展に本発明は寄与できる。
ンティティのＩＤ情報から生成する公開鍵を楕円曲線上
で写像するようにしたので、予備通信を行うことなく両
エンティティ間で容易に共通鍵を共有し合うことができ
る。また、本発明ではその安全性が代数曲線上の離散対
数問題に置かれており、結託攻撃などの攻撃に対して強
く、ＩＤ−ＮＩＫＳの発展に本発明は寄与できる。
【図１】本発明の暗号通信システムの構成を示す模式図
である。
である。
【図２】２人のエンティティ間における情報の通信状態
を示す模式図である。
を示す模式図である。
【図３】記録媒体の実施の形態の構成を示す図である。
【図４】ＩＤ−ＮＩＫＳのシステムの原理構成図であ
る。
る。
１ センタ １１，２１ 公開鍵生成器 １２，２２ 共通鍵生成器 １３ 暗号化器 ２３ 復号器 ３０ 通信路 ４０ コンピュータ ４１，４２，４３ 記録媒体 Ａ，Ｂ，Ｚ エンティティ
フロントページの続き (72)発明者 境 隆一 京都府京都市山科区四ノ宮柳山町８ (72)発明者 笠原 正雄 大阪府箕面市粟生外院４丁目15番３号 Ｆターム(参考） 5J104 AA16 AA41 EA01 EA04 EA19 EA25 EA26 EA30 EA33 JA03 MA06 NA02 NA16 NA31 NA32 NA36
Claims (18)
- 【請求項１】 エンティティ自身の秘密鍵と相手エンテ
ィティの公開鍵とを用いて予備通信なしに鍵共有を行う
方法において、前記相手エンティティを特定する特定情
報に基づき代数曲線上の点に写像したものを前記公開鍵
とすることを特徴とする鍵共有方法。 - 【請求項２】 両エンティティを夫々特定する特定情報
に基づき前記両エンティティ間で予備通信なしに鍵共有
を行う方法において、代数曲線上で定義されるペアリン
グを使用することを特徴とする鍵共有方法。 - 【請求項３】 両エンティティを夫々特定する特定情報
に基づき前記両エンティティ間で予備通信なしに鍵共有
を行う方法において、一方のエンティティの特定情報に
基づき代数曲線上の点に写像したものと秘密情報とから
生成された秘密鍵と、他方のエンティティの特定情報に
基づき前記代数曲線上の点に写像してなる公開鍵とを用
い、前記楕円曲線上で定義されるペアリングを使用して
鍵共有を行うことを特徴とする鍵共有方法。 - 【請求項４】 前記ペアリングは、ベイユペアリングま
たはテイトペアリングである請求項２または３記載の鍵
共有方法。 - 【請求項５】 前記代数曲線はその上で定義される離散
対数問題を多項式時間で解くことができない請求項１〜
４の何れかに記載の鍵共有方法。 - 【請求項６】 一方のエンティティと他方のエンティテ
ィとで鍵共有を行う際の夫々のエンティティでの演算処
理の過程にあって、互いに逆数の関係になる数値を生成
し合う請求１〜５の何れかに記載の鍵共有方法。 - 【請求項７】 前記各エンティティの特定情報に基づい
て複数の公開鍵を生成する請求１〜６の何れかに記載の
鍵共有方法。 - 【請求項８】 エンティティを特定する特定情報に基づ
いて前記エンティティの秘密鍵を生成する方法におい
て、前記エンティティの特定情報に基づき代数曲線上の
点に写像したものと秘密情報とを用いて、前記秘密鍵を
生成することを特徴とする秘密鍵生成方法。 - 【請求項９】 エンティティを特定する特定情報に基づ
いて前記エンティティの秘密鍵を生成する方法におい
て、前記エンティティの特定情報に対して一方向性関数
を作用させた値に基づき代数曲線上の点に写像したもの
と秘密情報とを用いて、前記秘密鍵を生成することを特
徴とする秘密鍵生成方法。 - 【請求項１０】 第１エンティティを特定する特定情報
に基づく秘密鍵と通信相手の第２エンティティを特定す
る特定情報に基づく公開鍵とから共通鍵を生成する方法
において、前記第１エンティティの特定情報に基づき代
数曲線上の点に写像したものと秘密情報とを用いて前記
秘密鍵を生成し、前記第２エンティティの特定情報に基
づき代数曲線上の点に写像したものを前記公開鍵とする
ことを特徴とする共通鍵生成方法。 - 【請求項１１】 前記代数曲線上で定義されるペアリン
グを使用して前記共通鍵を生成する請求項１０記載の共
通鍵生成方法。 - 【請求項１２】 請求項６記載の鍵共有方法に基づいて
共通鍵を生成する方法であって、前記数値における逆数
の関係を利用して共通鍵を生成することを特徴とする共
通鍵生成方法。 - 【請求項１３】 センタから各エンティティへ各エンテ
ィティの秘密鍵を送付し、一方のエンティティが前記セ
ンタから送付された自身の秘密鍵と他方のエンティティ
の公開鍵とから求めた共通鍵を用いて平文を暗号文に暗
号化して前記他方のエンティティへ伝送し、前記他方の
エンティティが伝送された暗号文を、前記センタから送
付された自身の秘密鍵と前記一方のエンティティの公開
鍵とから求めた、前記共通鍵と同一の共通鍵を用いて平
文に復号することにより、エンティティ間で情報の通信
を行う暗号通信方法において、各エンティティを特定す
る特定情報に基づき代数曲線上の点に写像したものと前
記センタ固有の秘密情報とを用いて各エンティティの秘
密鍵を生成し、各エンティティの特定情報に基づき代数
曲線上の点に写像したものを各エンティティの公開鍵と
することを特徴とする暗号通信方法。 - 【請求項１４】 エンティティを特定する特定情報に基
づいて前記エンティティの秘密鍵を生成する生成器にお
いて、前記エンティティの特定情報に基づき代数曲線上
の点に写像して写像値を得る手段と、該写像値と秘密情
報とを用いて前記秘密鍵を生成する手段とを備えること
を特徴とする秘密鍵生成器。 - 【請求項１５】 一方のエンティティを特定する特定情
報に基づく秘密鍵と通信相手の他方のエンティティを特
定する特定情報に基づく公開鍵とから共通鍵を生成する
生成器において、前記他方のエンティティの特定情報に
基づき代数曲線上の点に写像して前記公開鍵としての写
像値を得る手段と、該写像値と前記秘密鍵とを用いて前
記共通鍵を生成する手段とを備えることを特徴とする共
通鍵生成器。 - 【請求項１６】 送信すべき情報である平文を暗号文に
暗号化する暗号化処理、及び、送信された暗号文を平文
に復号する復号処理を、複数のエンティティ間で相互に
行うこととし、各エンティティを特定する特定情報に基
づいて各エンティティの秘密鍵を生成して各エンティテ
ィへ送付するセンタと、該センタから送付された自身の
秘密鍵と通信対象のエンティティの特定情報に基づく公
開鍵とを用いて前記暗号化処理及び復号処理に使用する
共通鍵を生成する複数のエンティティとを有する暗号通
信システムにおいて、前記センタにて、各エンティティ
の特定情報に基づき代数曲線上の点に写像したものと前
記センタ固有の秘密情報とを用いて各エンティティの秘
密鍵を生成し、各エンティティにて、通信対象のエンテ
ィティの特定情報に基づき代数曲線上の点に写像したも
のを前記公開鍵として前記共通鍵を生成するようにした
ことを特徴とする暗号通信システム。 - 【請求項１７】 コンピュータにエンティティの秘密鍵
を生成させるためのプログラムが記録されているコンピ
ュータでの読み取りが可能な記録媒体において、前記エ
ンティティを特定する特定情報に基づき代数曲線上の点
に写像して前記公開鍵としての写像値を得ることをコン
ピュータに実行させるプログラムコード手段と、前記写
像値と秘密情報とを用いて前記秘密鍵を生成することを
コンピュータに実行させるプログラムコード手段とを含
むプログラムが記録されていることを特徴とする記録媒
体。 - 【請求項１８】 コンピュータに、暗号通信システムに
おける平文から暗号文への暗号化処理及び暗号文から平
文への復号処理に使用する共通鍵を第１エンティティ側
で生成させるためのプログラムが記録されているコンピ
ュータでの読み取りが可能な記録媒体において、前記第
１エンティティの秘密鍵を入力することをコンピュータ
に実行させるプログラムコード手段と、通信相手の第２
エンティティを特定する特定情報に基づき代数曲線上の
点に写像して前記公開鍵としての写像値を得ることをコ
ンピュータに実行させるプログラムコード手段と、前記
写像値と入力した前記秘密鍵とを用いて前記共通鍵を生
成することをコンピュータに実行させるプログラムコー
ド手段とを含むプログラムが記録されていることを特徴
とする記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000335166A JP4450969B2 (ja) | 2000-05-02 | 2000-11-01 | 鍵共有システム，秘密鍵生成装置，共通鍵生成システム，暗号通信方法，暗号通信システム及び記録媒体 |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000133471 | 2000-05-02 | ||
| JP2000-133471 | 2000-05-02 | ||
| JP2000335166A JP4450969B2 (ja) | 2000-05-02 | 2000-11-01 | 鍵共有システム，秘密鍵生成装置，共通鍵生成システム，暗号通信方法，暗号通信システム及び記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002026892A true JP2002026892A (ja) | 2002-01-25 |
| JP4450969B2 JP4450969B2 (ja) | 2010-04-14 |
Family
ID=26591416
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000335166A Expired - Fee Related JP4450969B2 (ja) | 2000-05-02 | 2000-11-01 | 鍵共有システム，秘密鍵生成装置，共通鍵生成システム，暗号通信方法，暗号通信システム及び記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4450969B2 (ja) |
Cited By (14)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003298568A (ja) * | 2002-03-21 | 2003-10-17 | Docomo Communications Laboratories Usa Inc | 鍵供託を使用しない、認証された個別暗号システム |
| JP2005500740A (ja) * | 2001-08-13 | 2005-01-06 | ザ ボード オブ トラスティーズ オブ ザ リーランド スタンフォード ジュニア ユニバーシティ | Ｉｄベース暗号化および関連する暗号手法のシステムおよび方法 |
| JP2006163164A (ja) * | 2004-12-09 | 2006-06-22 | Hitachi Ltd | Ｉｄベース署名及び暗号化システムおよび方法 |
| JP2006184831A (ja) * | 2004-12-28 | 2006-07-13 | Nippon Telegr & Teleph Corp <Ntt> | 鍵生成装置、暗号化装置、検査装置、復号化装置並びに鍵生成プログラム、暗号化プログラム、検査プログラム、復号化プログラム |
| JP2007325318A (ja) * | 2007-09-03 | 2007-12-13 | Murata Mach Ltd | 署名システム |
| JP2008519303A (ja) * | 2004-11-04 | 2008-06-05 | フランス テレコム | 双線形アプリケーションの計算の安全化された委託方法 |
| JP2009105633A (ja) * | 2007-10-23 | 2009-05-14 | Ntt Software Corp | メッセージ認証装置、認証センタ装置、及びメッセージ認証システム |
| JP2009211109A (ja) * | 2009-06-26 | 2009-09-17 | Nippon Telegr & Teleph Corp <Ntt> | 部分群上元判定方法及び装置及びプログラム |
| JP2011228777A (ja) * | 2010-04-15 | 2011-11-10 | Mitsubishi Electric Corp | 鍵生成装置及びデータ提供装置及び端末装置及びプログラム |
| US8111826B2 (en) | 2006-01-11 | 2012-02-07 | Mitsubishi Electric Corporation | Apparatus for generating elliptic curve cryptographic parameter, apparatus for processing elliptic curve cryptograph, program for generating elliptic curve cryptographic parameter, and program for processing elliptic cyptograph |
| US8638928B2 (en) | 2007-05-25 | 2014-01-28 | Nec Corporation | Key exchanging apparatus |
| JP2015510335A (ja) * | 2012-01-25 | 2015-04-02 | サーティボックス エルティーディーＣｅｒｔｉｖｏｘ，Ｌｔｄ． | 安全でないトークンとｐｉｎ番号などの単純な第２ファクタとを使用した、安全な２ファクタ認証ｉｄベース鍵交換およびリモート・ログインのためのシステムおよび方法 |
| KR101527867B1 (ko) * | 2007-07-11 | 2015-06-10 | 삼성전자주식회사 | 타원 곡선 암호 시스템에 대한 부채널 공격에 대응하는방법 |
| WO2020075396A1 (ja) * | 2018-10-10 | 2020-04-16 | 株式会社アクセル | 推論装置、推論方法及び推論プログラム |
-
2000
- 2000-11-01 JP JP2000335166A patent/JP4450969B2/ja not_active Expired - Fee Related
Cited By (25)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7634087B2 (en) | 2001-08-13 | 2009-12-15 | The Board Of Trustees Of The Leland Stanford Junior University | Systems and methods for identity-based encryption and related cryptographic techniques |
| JP2005500740A (ja) * | 2001-08-13 | 2005-01-06 | ザ ボード オブ トラスティーズ オブ ザ リーランド スタンフォード ジュニア ユニバーシティ | Ｉｄベース暗号化および関連する暗号手法のシステムおよび方法 |
| US9356779B2 (en) | 2001-08-13 | 2016-05-31 | The Board Of Trustees Of The Leland Stanford Junior University | Systems and methods for identity-based encryption and related cryptographic techniques |
| US8130964B2 (en) | 2001-08-13 | 2012-03-06 | The Board Of Trustees Of The Leland Stanford Junior University | Systems and methods for identity-based encryption and related cryptographic techniques |
| US7113594B2 (en) | 2001-08-13 | 2006-09-26 | The Board Of Trustees Of The Leland Stanford University | Systems and methods for identity-based encryption and related cryptographic techniques |
| JP2003298568A (ja) * | 2002-03-21 | 2003-10-17 | Docomo Communications Laboratories Usa Inc | 鍵供託を使用しない、認証された個別暗号システム |
| JP4527358B2 (ja) * | 2002-03-21 | 2010-08-18 | 株式会社エヌ・ティ・ティ・ドコモ | 鍵供託を使用しない、認証された個別暗号システム |
| JP4740253B2 (ja) * | 2004-11-04 | 2011-08-03 | フランス・テレコム | 双線形アプリケーションの計算の安全化された委託方法 |
| JP2008519303A (ja) * | 2004-11-04 | 2008-06-05 | フランス テレコム | 双線形アプリケーションの計算の安全化された委託方法 |
| JP4546231B2 (ja) * | 2004-12-09 | 2010-09-15 | 株式会社日立製作所 | Ｉｄベース署名及び暗号化システムおよび方法 |
| JP2006163164A (ja) * | 2004-12-09 | 2006-06-22 | Hitachi Ltd | Ｉｄベース署名及び暗号化システムおよび方法 |
| JP4528114B2 (ja) * | 2004-12-28 | 2010-08-18 | 日本電信電話株式会社 | 鍵生成装置、暗号化装置、検査装置、復号化装置並びに鍵生成プログラム、暗号化プログラム、検査プログラム、復号化プログラム |
| JP2006184831A (ja) * | 2004-12-28 | 2006-07-13 | Nippon Telegr & Teleph Corp <Ntt> | 鍵生成装置、暗号化装置、検査装置、復号化装置並びに鍵生成プログラム、暗号化プログラム、検査プログラム、復号化プログラム |
| US8111826B2 (en) | 2006-01-11 | 2012-02-07 | Mitsubishi Electric Corporation | Apparatus for generating elliptic curve cryptographic parameter, apparatus for processing elliptic curve cryptograph, program for generating elliptic curve cryptographic parameter, and program for processing elliptic cyptograph |
| US8638928B2 (en) | 2007-05-25 | 2014-01-28 | Nec Corporation | Key exchanging apparatus |
| KR101527867B1 (ko) * | 2007-07-11 | 2015-06-10 | 삼성전자주식회사 | 타원 곡선 암호 시스템에 대한 부채널 공격에 대응하는방법 |
| JP4612027B2 (ja) * | 2007-09-03 | 2011-01-12 | 村田機械株式会社 | 署名システム |
| JP2007325318A (ja) * | 2007-09-03 | 2007-12-13 | Murata Mach Ltd | 署名システム |
| JP2009105633A (ja) * | 2007-10-23 | 2009-05-14 | Ntt Software Corp | メッセージ認証装置、認証センタ装置、及びメッセージ認証システム |
| JP2009211109A (ja) * | 2009-06-26 | 2009-09-17 | Nippon Telegr & Teleph Corp <Ntt> | 部分群上元判定方法及び装置及びプログラム |
| JP2011228777A (ja) * | 2010-04-15 | 2011-11-10 | Mitsubishi Electric Corp | 鍵生成装置及びデータ提供装置及び端末装置及びプログラム |
| JP2015510335A (ja) * | 2012-01-25 | 2015-04-02 | サーティボックス エルティーディーＣｅｒｔｉｖｏｘ，Ｌｔｄ． | 安全でないトークンとｐｉｎ番号などの単純な第２ファクタとを使用した、安全な２ファクタ認証ｉｄベース鍵交換およびリモート・ログインのためのシステムおよび方法 |
| WO2020075396A1 (ja) * | 2018-10-10 | 2020-04-16 | 株式会社アクセル | 推論装置、推論方法及び推論プログラム |
| JPWO2020075396A1 (ja) * | 2018-10-10 | 2021-12-09 | 株式会社アクセル | 推論装置、推論方法及び推論プログラム |
| JP7089303B2 (ja) | 2018-10-10 | 2022-06-22 | 株式会社アクセル | 推論装置、処理システム、推論方法及び推論プログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4450969B2 (ja) | 2010-04-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7239701B1 (en) | Key sharing method, secret key generating method, common key generating method and cryptographic communication method in ID-NIKS cryptosystem | |
| JPWO2008087734A1 (ja) | 暗号文生成装置及び暗号通信システム及び群パラメータ生成装置 | |
| JP2001211153A (ja) | 秘密鍵生成方法 | |
| CN110011995A (zh) | 多播通信中的加密和解密方法及装置 | |
| US20040037424A1 (en) | Information distribution and processing | |
| CN107086912B (zh) | 一种异构存储***中的密文转换方法、解密方法及*** | |
| JP2002026892A (ja) | 鍵共有方法，秘密鍵生成方法，共通鍵生成方法，暗号通信方法，秘密鍵生成器，共通鍵生成器，暗号通信システム及び記録媒体 | |
| Garg et al. | Comparison of asymmetric algorithms in cryptography | |
| JP2001211154A (ja) | 秘密鍵生成方法，暗号化方法及び暗号通信方法 | |
| Joglekar et al. | Lightweight Elliptical curve cryptography (ECC) for data integrity and user authentication in smart transportation IoT system | |
| JP4485122B2 (ja) | 公開鍵暗号システム，署名システム，暗号通信システム，秘密鍵生成器，公開鍵生成器及びコンピュータプログラム | |
| JP2000047581A (ja) | 暗号化方法，暗号化・復号装置及び暗号通信システム | |
| Karki | A comparative analysis of public key cryptography | |
| JP2002023626A (ja) | 公開鍵暗号方法および公開鍵暗号を用いた通信システム | |
| JP3622072B2 (ja) | 暗号通信方法 | |
| Vishwakarma et al. | An Efficient Cryptosystem to Perform Encryption and Decryption of Data | |
| JP3953235B2 (ja) | 暗号通信方法及び暗号通信システム | |
| JP2007325318A (ja) | 署名システム | |
| Tomar et al. | Implementation of elliptic–curve cryptography | |
| JP3518671B2 (ja) | 暗号通信方法 | |
| JP2000216768A (ja) | 暗号化方法及び暗号通信方法並びに暗号通信システム | |
| JP3587746B2 (ja) | 秘密鍵生成器，暗号化装置，暗号通信方法，暗号通信システム及び記録媒体 | |
| Atighehchi et al. | A cryptographic keys transfer protocol for secure communicating systems | |
| JP3283202B2 (ja) | 暗号通信方法 | |
| JP2001053738A (ja) | 秘密鍵生成方法，暗号化方法及び暗号通信方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040507 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061114 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070112 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20070206 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070406 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070509 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20070611 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070626 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070827 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071002 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071130 |
|
| A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20071221 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20091016 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100127 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130205 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140205 Year of fee payment: 4 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| LAPS | Cancellation because of no payment of annual fees |