JP2010011478A - Key agreement and carrier method using implicit signing - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To generate a session key in two communication terminals so as to cope with unauthorized wiretapping. <P>SOLUTION: In the communication terminal A, a random integer x is selected, an exponential function f(α)<SP>g(x)</SP>is provided (α is a generation source), and a signing s<SB>A</SB>is generated from the random integer x, the exponential function f(α)<SP>g(x)</SP>and a private key a. In the communication terminal B, a random integer y is selected, another exponential function f'(α)<SP>g(y)</SP>is provided, and a signing s<SB>B</SB>is generated from the random integer y, the exponential function f'(α)<SP>g(y)</SP>and a private key b. The communication terminals A and B transmit a message, including the exponential function f(α)<SP>g(x)</SP>and the exponential function f'(α)<SP>g(y)</SP>to the communication terminals B and A each. In the communication terminals A and B, each constructs the session key K by exponent-numbering information respectively disclosed by the communication terminals B and A, by using confidential information which belongs to the communication terminals A and B. <P>COPYRIGHT: (C)2010,JPO&INPIT

Description

本発明は、暗号鍵の転送及び認証のための鍵一致（key agreement）プロトコルに関する。   The present invention relates to a key agreement protocol for encryption key transfer and authentication.

情報の交換の際にプライバシを維持するために、鍵を用いてデータを暗号化することが、広く知られている。この鍵は、通信端末がメッセージを暗号化及び復号化できるが介入者にはメッセージの内容を判断できないように、選択されなければならない。
秘密鍵暗号プロトコルでは、通信端末は、彼らにとって秘密である共通鍵を共有（share）する。このためには、この鍵が通信端末の間で一致しており、この鍵の秘密性を維持するために条項（provision）が作成され、基礎となる安全性が万一危険にさらされた場合には、鍵の交換がなされることが要求される。 In order to maintain privacy when exchanging information, it is widely known to encrypt data using a key. This key must be selected so that the communication terminal can encrypt and decrypt the message, but the intervening party cannot determine the content of the message.
In the secret key encryption protocol, communication terminals share a common key that is secret to them. To this end, if this key is consistent between communication terminals, provisions have been created to maintain the confidentiality of this key, and the underlying security should be compromised Requires that a key be exchanged.

公開鍵暗号プロトコルは、１９７６年にDiffie-Hellmanによって最初に提案され、すべての潜在的な通信端末に利用可能とされている公開鍵と、意図された受信者にだけ知られている秘密鍵（private key）とを用いる。公開鍵と秘密鍵とは、受信者の公開鍵を用いて暗号化されたメッセージは、秘密鍵を用いて容易に復号化できるが、秘密鍵は、平文（plaintext）、暗号文（ciphertext）及び公開鍵の知識からは導くことはできないような、相互関係になっている。   The public key cryptographic protocol was first proposed by Diffie-Hellman in 1976 and made available to all potential communication terminals and a private key known only to the intended recipient ( private key). A public key and a secret key are messages that are encrypted using the recipient's public key, and can be easily decrypted using the secret key. The secret key includes plaintext, ciphertext, and ciphertext. There is a mutual relationship that cannot be derived from knowledge of public keys.

鍵の確立（establishment）は、二人以上の当事者が、セッション（session）鍵と称される、共有される秘密鍵（secret key）を確立するプロセスである。セッション鍵は、プライバシなどの何らかの暗号上の目的を達成するために、後で用いられる。鍵一致プロトコルには、２つの種類が存在する。すなわち、鍵が第１の当事者によって作成され、第２の当事者に安全に送信されるという鍵輸送（transport）プロトコルと、両方の当事者が、共有される秘密鍵を共同して確立する情報を出し合う鍵一致プロトコルと、である。当事者の間で必要となるメッセージ交換の数は、パス数（number of passes）と称される。鍵確立プロトコルは、ある当事者が、特別に識別された第２の当事者以外のどの当事者もセッション鍵の値を知ることを許されないことが保証されている場合に、「内在的」（implicit）鍵認証（又は、単に、鍵認証）を提供すると称される。内在的鍵認証の性質は、第２の当事者が実際のセッション鍵を有していることを必ずしも意味しない。次に、鍵確立プロトコルは、ある当事者が、特別に識別された第２の当事者が特定のセッション鍵を実際に所持していることを保証されている場合には、鍵確認（confirmation）を提供すると称される。プロトコルに関係する両方の当事者に認証が提供される場合には、鍵認証は、相互的（mutual）と称され、一人の当事者にだけ提供される場合には、認証は、一方的（unilateral）と称される。   Key establishment is the process by which two or more parties establish a shared secret key, called a session key. The session key is used later to achieve some cryptographic purpose such as privacy. There are two types of key agreement protocols. That is, a key transport protocol in which a key is created by a first party and securely transmitted to a second party, and both parties share information to jointly establish a shared secret key A key agreement protocol. The number of message exchanges required between the parties is referred to as the number of passes. A key establishment protocol is an “implicit” key when a party is guaranteed that no other party than the specifically identified second party is allowed to know the value of the session key. It is referred to as providing authentication (or simply key authentication). The nature of intrinsic key authentication does not necessarily mean that the second party has an actual session key. Second, the key establishment protocol provides key confirmation when a party is guaranteed that a specially identified second party actually has a particular session key. It is called. If authentication is provided to both parties involved in the protocol, key authentication is referred to as mutual, and if provided to only one party, authentication is unilateral. It is called.

内在的な鍵認証を提供すると主張する提案は、これまでに、いくつかなされている。
例としては、鍵一致に関する、Nyberg-Rueppelによる１パス（one-pass）プロトコル、 Matsumoto-Takashima-Imai (MTI)及びGoss and Yacobiによる２パス・プロトコルがある。
従来の提案は、共通鍵を確立するための通信端末の間の送信が安全であり、侵入者がセッション鍵をリトリーブし暗号文を復号化することはでｆきないことを保証している。このようにして、資金の移動などの注意を要するトランザクションに対する安全性が提供されている。 There have been several proposals so far that claim to provide intrinsic key authentication.
Examples include the one-pass protocol by Nyberg-Rueppel, the two-pass protocol by Matsumoto-Takashima-Imai (MTI) and Goss and Yacobi for key agreement.
The conventional proposal guarantees that transmission between communication terminals for establishing a common key is secure, and that an intruder cannot retrieve the session key and decrypt the ciphertext. In this way, security is provided for transactions that require attention such as the transfer of funds.

例えば、MTI/A0鍵一致プロトコルでは、二人の通信端末に知られている、共有される秘密鍵を、次のようにして確立している。
１．当初の、一時的な（one-time）セットアップの間に、鍵の発生と公開とが、適切なシステム・プライム（system prime）ｐと生成元（generator）α∈Ｚ^＊ _ｐとを真正であることが補償されるように、選択され公開される。通信端末Ａは、長期の秘密鍵として１＜ａ＜ｐ−１であるランダムな整数ａを選択し、長期の公開鍵ｚ_Ａ＝α^ａ ｍｏｄ ｐを計算する。Ｂも、同様のｂとｚ_Ｂとを生成する。ＡとＢとは、相互の長期公開鍵の認証されたコピーへのアクセスを有することになる。 For example, in the MTI / A0 key agreement protocol, a shared secret key known to two communication terminals is established as follows.
1. During initial, one-time setup, key generation and disclosure is authentic with the proper system prime p and generator αεZ ^* _p. So that it is compensated. The communication terminal A selects a random integer a satisfying 1 <a <p−1 as a long-term secret key, and calculates ^a long-term public key z _A = α ^a mod p. B also generates the same b and z _B. A and B will have access to an authenticated copy of each other's long-term public key.

２．このプロトコルは、次のメッセージの交換を要求する。すなわち、
ＡからＢ：α^ｘ ｍｏｄ ｐ （１）
ＢからＡ：α^ｙ ｍｏｄ ｐ （２）
ｘ及びｙの値は、その送信の間は安全に保たれるが、その理由は、ｐが十分に大きくとられていれば、αの値と指数化とが知られているとしても、指数を決定するのは実際的ではないからである。 2. This protocol requires the exchange of the next message. That is,
A to B: α ^x mod p (1)
B to A: α ^y mod p (2)
The values of x and y are kept safe during the transmission because, if p is taken large enough, even if the value of α and exponentiation are known, the exponent This is because it is not practical.

３．このプロトコルを実現するには、次のステップが、共有されている鍵が要求される度に実行される。
（ａ）Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、Ｂに向けて、メッセージ（１）、すなわち、α^ｘ ｍｏｄ ｐを送る。
（ｂ）Ｂは、１≦ｙ≦ｐ−２であるランダムな整数ｙを選び、Ａに向けて、メッセージ（２）、すなわち、α^ｙ ｍｏｄ ｐを送る。
（ｃ）Ａは、鍵Ｋ＝（α^ｙ）^ａｚ_Ｂ ^ｘ ｍｏｄ ｐを計算する。
（ｄ）Ｂは、鍵Ｋ＝（α^ｘ）^ｂｚ_Ａ ^ｙ ｍｏｄ ｐを計算する。
（ｅ）両者は、鍵Ｋ＝α^{ｂｘ＋ａｙ}を共有する。 3. To implement this protocol, the following steps are performed each time a shared key is requested.
(A) A selects a random integer x satisfying 1 ≦ x ≦ p−2 and sends a message (1), that is, α ^x mod p toward B.
(B) B selects a random integer y satisfying 1 ≦ y ≦ p−2 and sends a message (2), that is, α ^y mod p toward A.
(C) A calculates the key K = (α ^y ) ^a z _B ^x mod p.
(D) B calculates the key K = (α ^x ) ^b z _A ^y mod p.
(E) Both share the key K = α ^{bx + ay} .

鍵Ｋを計算するためには、Ａは、自分の秘密鍵ａとランダムな整数ｘとを使わなければならない。これらは、共に、Ａ本人だけに知られているものである。同様にして、Ｂは、セッション鍵Ｋを計算するためには、自分の秘密鍵ｂとランダムな整数ｙとを使わなければならない。秘密鍵ａ及びｂが、危険にさらされていないと仮定すると、侵入者は、他方の通信端末と同一のセッション鍵を生成することはできない。従って、任意の暗文は、どちらの通信端末にも復号化が不可能である。   In order to calculate the key K, A must use his private key a and a random integer x. Both of these are known only to the A person. Similarly, B must use his private key b and a random integer y to calculate the session key K. Assuming that the secret keys a and b are not compromised, the intruder cannot generate the same session key as the other communication terminal. Therefore, any encrypted text cannot be decrypted by either communication terminal.

従って、このプロトコル及び関連するプロトコルは、鍵確立には十分なものであると考えられてきたし、従来型の盗聴や、中間者（man-in-the-middle）による攻撃に対して抵抗できると考えられてきた。
状況によっては、相手方が、一方の通信端末を他方の通信端末であるとミスリードするのが効果的である。
そのような攻撃では、アクティブな相手方、すなわち、侵入者Ｅは、ＡとＢとの間で交換されるメッセージを修正し、その結果として、Ｂは、Ｅと鍵Ｋを共有していると信じ、他方で、Ａは、同じ鍵をＢと共有していると信じることになる。ＥがＫの値を知らない場合であっても、通信端末の識別（ＩＤ）に関する偽の情報が、有用となる。 Therefore, this protocol and related protocols have been considered sufficient for key establishment and can resist conventional eavesdropping and man-in-the-middle attacks. Has been considered.
In some situations, it is effective for the other party to mislead one communication terminal as the other communication terminal.
In such an attack, the active opponent, intruder E, modifies the message exchanged between A and B, and as a result, B believes that E shares key K. On the other hand, A will believe that he shares the same key with B. Even if E does not know the value of K, false information regarding the identification (ID) of the communication terminal is useful.

そのような攻撃が成功するであろう実際的なシナリオは、次のようなものである。Ｂは、銀行の支店であり、Ａは、口座保持者であると仮定する。銀行の本部によって証明書が発行され、その証明書の中には、保持者の口座情報が書かれている。資金の電子的支払い（デポジット）のためのプロトコルは、相互認証された鍵一致を介して、銀行の支店との鍵の交換であると仮定する。Ｂがいったん送信者を認証すると、暗号化された資金がその証明書の口座番号に払い込まれる。それ以上の認証が暗号化された支払いメッセージにおいてなされない場合（これは、帯域幅を節約するためになされるかもしれない）には、支払いは、Ｅの口座になされる。
本発明の目的は、上述の短所が回避される又は解消されるようなプロトコルを提供することである。 A practical scenario where such an attack would be successful is as follows. Assume B is a bank branch and A is an account holder. A certificate is issued by the headquarters of the bank, and the account information of the holder is written in the certificate. It is assumed that the protocol for electronic payment (deposit) of funds is a key exchange with a bank branch via a mutually authenticated key agreement. Once B authenticates the sender, the encrypted funds are paid into the account number on the certificate. If no further authentication is made in the encrypted payment message (which may be done to save bandwidth), the payment is made to E's account.
The object of the present invention is to provide a protocol in which the above disadvantages are avoided or eliminated.

従って、本発明によると、１対の通信端末Ａ及びＢが相互に情報を交換することを認証する方法であって、前記通信端末は、それぞれが、秘密鍵ａ及びｂと、生成元αと前記秘密鍵ａ及びｂのそれぞれとから導かれた公開鍵ｐ_Ａ及びｐ_Ｂと、を有している方法が提供される。この方法は、
ｉ）前記通信端末の第１の者Ａが、第１のランダムな整数ｘを選択し、前記生成元を含む関数ｆ（α）のｇ（ｘ）をベキとする指数関数を作ることにより、第１の指数関数ｆ（α）^ｇ（ｘ）を提供するステップと、
ｉｉ）前記第１の通信端末Ａが、前記ランダムな整数ｘと前記指数関数ｆ（α）^ｇ（ｘ）とから第１の署名ｓ_Ａを生成するステップと、
ｉｉｉ）前記第１の通信端末Ａが、第２の通信端末Ｂに向けて、前記第１の指数関数ｆ（α）^ｇ（ｘ）と署名ｓ_Ａとを含むメッセージを送るステップと、
ｉｖ）前記通信端末Ｂが、第２のランダムな整数ｙを選択し、前記生成元を含む関数ｆ’（α）のｇ^（ｙ）をベキとする指数関数を作ることにより、第２の指数関数ｆ’（α）^ｇ（ｘ）と、前記第２の整数ｙと前記第２の指数関数ｆ（α）^ｇ（ｘ）とから得られるｓ_Ｂとを提供するステップと、
ｖ）前記第２の通信端末Ｂが、第１の通信端末Ａに向けて、前記第２の指数関数ｆ’（α）^ｇ（ｙ）と前記署名ｓ_Ｂとを含むメッセージを送るステップと、
ｖｉ）前記通信端末のそれぞれが、受け取ったメッセージの中の前記署名と前記指数関数とから、前記指数関数と等しい値を計算し、前記計算された値と前記送信された値とを比較することによって、自分たちが受け取ったメッセージの真正を検証するステップと、
ｖｉｉ）前記通信端末Ａ及びＢのそれぞれが、前記他方の通信端末によって彼ら自身にとって秘密である前記ランダムな整数を用いて、公開された情報を指数化することによって、セッション鍵を構成するステップと、を含む。 Therefore, according to the present invention, there is provided a method for authenticating that a pair of communication terminals A and B exchange information with each other, the communication terminals respectively including secret keys a and b, a generator α, _A method is provided having public keys p _A and p _B derived from the secret keys a and b, respectively. This method
i) The first person A of the communication terminal selects a first random integer x and creates an exponential function with g (x) of the function f (α) including the generator as a power, Providing a first exponential function f (α) ^{g (x)} ;
ii) the first communication terminal A generates a first signature s _A from the random integer x and the exponential function f (α) ^{g (x)} ;
iii) the first communication terminal A sends a message including the first exponential function f (α) ^{g (x)} and the signature s _A to the second communication terminal B;
iv) The communication terminal B selects a second random integer y and creates an exponential function with g ^(y) of the function f ′ (α) including the generator as a power, thereby generating a second exponent Providing a function f ′ (α) ^{g (x)} , s _B obtained from the second integer y and the second exponential function f (α) ^{g (x)} ;
v) the second communication terminal B sending a message including the second exponential function f ′ (α) ^{g (y)} and the signature s _B to the first communication terminal A;
vi) Each of the communication terminals calculates a value equal to the exponential function from the signature and the exponential function in the received message, and compares the calculated value with the transmitted value. To verify the authenticity of the messages they received,
vii) each of the communication terminals A and B constructs a session key by indexing the published information with the random integer that is secret to itself by the other communication terminal; ,including.

従って、侵入者Ｅが自らの公開鍵ｐ_Ｅ＝α^ａｃをメッセージの一部として送信の中に入れることはできるが、Ｂは、メッセージを認証する際には、ｐ_Ａではなくｐ_Ｅを用いることになる。従って、指数関数の計算され送信された値は、対応しない。 Thus, intruder E can put his public key p _E = α ^ac into the transmission as part of the message, but B uses p _E instead of p _A when authenticating the message. It will be. Therefore, the calculated and transmitted values of the exponential function do not correspond.

本発明にかかるデータ通信システムの概略図である。1 is a schematic diagram of a data communication system according to the present invention.

発明を実施するための実施形態BEST MODE FOR CARRYING OUT THE INVENTION

本発明の実施例を次の添付した図面を参照することによって、これから説明することにする。
図１は、データ通信システムの概略図である。図１を参照すると、通信端末Ａ及び通信端末Ｂとして表される１対の通信端末１０、１２が、通信チャネル１４上で情報を交換する。暗号ユニット１６、１８が、通信端末１０、１２とチャネル１４とのそれぞれの間に配置されている。鍵２０は、暗号ユニット１６、１８のそれぞれに関連し、それぞれのユニット１６、１８とそれぞれの通信端末１０、１２との間で運ばれる平文を、チャネル１４上で運ばれる暗文に変換する。 Embodiments of the present invention will now be described by reference to the following accompanying drawings.
FIG. 1 is a schematic diagram of a data communication system. Referring to FIG. 1, a pair of communication terminals 10, 12 represented as communication terminal A and communication terminal B exchange information on a communication channel 14. The encryption units 16 and 18 are arranged between the communication terminals 10 and 12 and the channel 14, respectively. The key 20 is associated with each of the cryptographic units 16, 18 and converts the plaintext carried between the respective unit 16, 18 and the respective communication terminal 10, 12 into a plaintext carried on the channel 14.

動作においては、Ａの通信端末１０によって生成されるメッセージは、ユニット１６によって、鍵２０を用いて暗号化され、チャネル１４上の暗文として、ユニット１８まで送信される。
鍵２０は、ユニット１８において暗文に作用して、Ｂの通信端末１２のために平文のメッセージを生成する。鍵２０が対応する場合には、通信端末１２によって受け取られたメッセージは、通信端末１０によって送られたものである。
図１に示されたシステムが動作するためには、鍵２０が同一であり、従って、公開的な態様で情報の移動を可能にする鍵一致（agreement）プロトコルが確立されていることが必要である。そのような鍵の生成には多数のプロトコルが利用可能であり、また、Diffie-Hellman鍵交換の変形も存在する。その目的は、当事者Ａ及びＢが秘密セッション鍵Ｋを確立することである。 In operation, a message generated by A's communication terminal 10 is encrypted by unit 16 using key 20 and transmitted as ciphertext on channel 14 to unit 18.
The key 20 acts on the secret text in the unit 18 to generate a plain text message for the B communication terminal 12. If the key 20 corresponds, the message received by the communication terminal 12 is that sent by the communication terminal 10.
In order for the system shown in FIG. 1 to operate, the key 20 must be the same and therefore a key agreement protocol must be established that allows the movement of information in an open manner. is there. Numerous protocols are available for generating such keys, and there are variations of Diffie-Hellman key exchange. Its purpose is that the parties A and B establish a secret session key K.

これらのプロトコルのためのシステム・パラメータは、素数ｐと乗法群Ｚ^＊ _ｐの生成元αとである。通信端末Ａは、秘密鍵ａと、公開鍵ｐ_Ａ＝α^ａとを有する。通信端末Ｂは、秘密鍵ｂと、公開鍵ｐ_Ｂ＝α^ｂとを有する。以下で例を挙げるプロトコルでは、ｔｅｘｔ_Ａは、当事者Ａを識別する情報のストリングを意味する。他方の当事者Ｂが通信端末Ａの公開鍵の真正のコピーを有しており、更に、ｔｅｘｔ_ＡがＡの信用のおけるセンターによって発行された公開鍵証明書を含む場合には、通信端末Ｂは、その信用のおけるセンターの公開鍵の真正のコピーを用いて、通信端末Ａの証明書を検証でき、従って、通信端末Ａの公開鍵の真正のコピーを得ることができる。 The system parameters for these protocols are the prime number p and the generator α of the multiplicative group Z ^* _p . The communication terminal A has a secret key a and a public key p _A = α ^a . The communication terminal B has a secret key b and a public key p _B = α ^b . In the protocol given below, text _A means a string of information that identifies party A. If the other party B has a genuine copy of the public key of communication terminal A, and if text _A contains a public key certificate issued by A's trusted center, then communication terminal B The authentic copy of the trusted center's public key can be used to verify the certificate of the communication terminal A, thus obtaining an authentic copy of the communication terminal A's public key.

以下のそれぞれの例では、侵入者Ｅは、ＡからのメッセージがＥ自身から生じたものとして識別されることを望んでいると仮定する。これを達成するには、Ｅは、１≦ｅ≦ｐ−２であるランダムな整数ｅを選択し、ｐ_Ｅ＝（ｐ_Ａ）ｅ＝α^ａｅ ｍｏｄ ｐを計算し、これがＥ自身の公開鍵であることを証明させる。Ｅは、ｅを知ってはいるが、指数ａｅは知らない。ｔｅｘｔＡをｔｅｘｔＥによって代替することによって、通信端末Ｂは、メッセージがＡからではなくＥからのものであると考え、Ｅの公開鍵を用いてセッション鍵Ｋを生成する。Ｅはまた、Ｂからのメッセージを中間奪取（インターセプト）し、その秘密のランダムな整数ｅを用いて、その内容を修正する。Ａは、次に、その情報を用いて、ＡがＢと通信できるようにする同じセッション鍵を生成する。 In each of the following examples, assume that intruder E wants to identify the message from A as originating from E himself. To achieve this, E chooses a random integer e with 1 ≦ e ≦ p−2 and calculates p _E = (p _A ) e = α ^ae mod p, which is E's own public key Prove that E knows e but does not know index ae. By replacing textA with textE, the communication terminal B considers the message to be from E, not from A, and generates a session key K using E's public key. E also intercepts the message from B and modifies its contents with its secret random integer e. A then uses that information to generate the same session key that allows A to communicate with B.

侵入者ＥがＢに、ＢはＥと通信しているということを信じさせようとしているのを妨害するには、次のプロトコルが採用される。
このプロトコルの目的は、当事者Ａ及びＢがセッション鍵Ｋを確立することである。ここで挙げたプロトコルは、役割対称的（role-symmetric）であり、対話的（interactive）ではない。
このプロトコルのためのシステム・パラメータは、素数ｐと乗法群Ｚ^＊ _ｐの生成元αとである。通信端末Ａは、秘密鍵ａと、公開鍵ｐ_Ａ＝α^ａとを有する。通信端末Ｂは、秘密鍵ｂと、公開鍵ｐ_Ｂ＝α^ｂとを有する。 To prevent intruder E from trying to convince B that B is communicating with E, the following protocol is employed.
The purpose of this protocol is for parties A and B to establish a session key K. The protocols listed here are role-symmetric and not interactive.
The system parameters for this protocol are the prime number p and the generator α of the multiplicative group Z ^* _p . The communication terminal A has a secret key a and a public key p _A = α ^a . The communication terminal B has a secret key b and a public key p _B = α ^b .

第１のプロトコル
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、ｒ_Ａ＝α^ｘと、署名ｓ_Ａ＝ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛ｒ_Ａ，ｓ_Ａ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、１≦ｙ≦ｐ−２であるランダムな整数ｙを選び、ｒ_Ｂ＝α^ｙと、署名ｓ_Ｂ＝ｙ−ｒ_Ｂｂα^ｂ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛ｒ_Ｂ，ｓ_Ｂ，ｔｅｘｔ_Ｂ｝を送る。
３．Ａは、α^ｓＢ（ｐ_Ｂ）^{ｒＢ・αｂ}を計算し、これが、ｒ_Ｂに等しいことを検証する。Ａは、次に、セッション鍵Ｋ＝（ｒ_Ｂ）^ｘ＝α^ｘｙを計算する。
４．Ｂは、α^ｓＡ（ｐ_Ａ）^{ｒＡ・αａ}を計算し、これが、ｒ_Ａに等しいことを検証する。Ｂは、次に、セッション鍵Ｋ＝（ｒ_Ａ）^ｙ＝α^ｘｙを計算する。 First protocol A selects a random integer x satisfying 1 ≦ x ≦ p−2, and calculates r _A = α ^x and signature s _A = x−r _A aα ^a mod (p−1). A sends {r _A , s _A , text _A } to B.
2. B chooses a random integer y with 1 ≦ y ≦ p−2 and calculates r _B = α ^y and signature s _B = y−R _B bα ^b mod (p−1). A sends {r _B , s _B , text _B } to _B.
3. A ^computes α ^sB (p _B ) ^{rB · αb} and verifies that it is equal to r _B. A then calculates a session key K = (r _B ) ^x = α ^xy .
4). B ^computes α ^sA (p _A ) ^{rA · αa} and verifies that it is equal to r _A. B then calculates the session key K = (r _A ) ^y = α ^xy .

Ｅが、ｔｅｘｔ_Ａをｔｅｘｔ_Ｂに交換する場合には、Ｂは、ｒ_Ａの送信された値には対応しないα^ｓＡ（ｐ_Ｅ）^ｒＡαａを計算する。Ｂは、従って、侵入者Ｅに関する警告を受け、別のセッション鍵を開始することになる。
第１のプロトコルの短所は、完全な前方向の秘密性（守秘性）（perfect forward secrecy）が得られないことである。すなわち、相手側が当事者Ａの長期の秘密鍵ａを知る場合には、この相手側は、Ａの過去のセッション鍵すべてを導き出せることになる。完全な前方向の秘密性は、プロトコル１を次のようにして修正することによって達成される。 If E exchanges text _A for text _B , B ^computes α ^sA (p _E ) ^rAαa that does not correspond to the transmitted value of r _A. B will therefore receive a warning regarding intruder E and will start another session key.
The disadvantage of the first protocol is that it does not provide perfect forward secrecy. That is, when the other party knows the long-term secret key a of the party A, the other party can derive all the past session keys of A. Full forward secrecy is achieved by modifying protocol 1 as follows.

修正された第１のプロトコル
ステップ１では、Ａはまた、α^ｘ１をＢに送る。ここで、ｘ_１は、Ａによって生成された第２のランダムな整数である。同様にして、上述のステップ２では、Ｂはまた、α^ｙ１をＡに送る。ここで、ｙ_１は、ランダムな整数である。Ａ及びＢは、鍵Ｋ＝α^ｘｙ＋α^{ｘ１・ｙ１}を計算する。
第１のプロトコルの別の短所は、相手側がＡの秘密のランダムな整数ｘを知る場合には、この相手側は、当事者Ａの長期の秘密鍵を、方程式ｓ_Ａ＝ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）から求めることができる点である。このプロトコルのうまく設計された実現例では、秘密の整数の開示は回避されるので、この短所は、基本的に理論的性格を有するものである。 In the modified first protocol step 1, A also sends α ^x1 to B. Here, x ₁ is a second random integer generated by A. Similarly, in step 2 above, B also sends α ^y1 to A. Here, _{y 1} is a random integer. A and B calculate the key K = α ^xy + α ^{x1 · y1} .
Another disadvantage of the first protocol is that if the other party knows A's secret random integer x, then the other party will know the long-term secret key of party A, the equation s _A = x−r _A aα ^a This can be obtained from mod (p-1). This disadvantage is fundamentally theoretical in nature, since in well-designed implementations of this protocol, disclosure of secret integers is avoided.

第２のプロトコル
次に述べる第２のプロトコルは、これら２つの短所を解決する。
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、（ｐ_Ｂ）^ｘと、α^ｘと署名ｓ_Ａ＝ｘ＋ａα^ａ（ｐ_Ｂ）^ｘ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛α^ｘ，ｓ_Ａ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、１≦ｙ≦ｐ−２であるランダムな整数ｙを選び、（ｐ_Ａ）^ｙと、α^ｙと署名ｓ_Ｂ＝ｙ＋ｂα^ｂ（ｐ_Ａ）^ｙ ｍｏｄ （ｐ−１）と、を計算する。Ｂは、Ａに向けて、｛α^ｙ，ｓ_Ｂ，ｔｅｘｔ_Ｂ｝を送る。
３．Ａは、（α^ｙ）^ａを計算して、α^ｓＢ（ｐ_Ｂ）^{−αｂ・αａｙ}＝α^ｙであることを検証する。Ａは、次に、セッション鍵Ｋ＝α^ａｙ（ｐ_Ｂ）^ｘを計算する。
４．Ｂは、（α^ｘ）^ｂを計算して、α^ｓＡ（ｐ_Ａ）^{−αａ・αｂｘ}＝α^ｘであることを検証する。Ａは、次に、セッション鍵Ｋ＝α^ｂｙ（ｐ_Ａ）^ｙを計算する。 Second Protocol The second protocol described below solves these two disadvantages.
1. A selects a random integer x satisfying 1 ≦ x ≦ p−2, and calculates (p _B ) ^x , α ^x and signature s _A = x + a α ^a (p _B ) ^x mod (p−1) To do. A sends {α ^x , s _A , text _A } to B.
2. B selects a random integer y satisfying 1 ≦ y ≦ p−2 and calculates (p _A ) ^y , α ^y and signature s _B = y + bα ^b (p _A ) ^y mod (p−1) To do. B sends {α ^y , s _B , text _B } to A.
3. A calculates (α ^y ) ^a and ^verifies that α ^sB (p _B ) ^{−αb · αay} = α ^y . A then calculates a session key K = α ^ay (p _B ) ^x .
4). B computes (α ^x ) ^b and ^verifies that α ^sA (p _A ) ^{−αa · αbx} = α ^x . A then calculates a session key K = α ^by (p _A ) ^y .

第２のプロトコルが第１のプロトコルとの比較で優れているのは、それが、完全な前方向の秘密性（forward secrecy）を提供するからである。秘密であるランダムな整数ｘの開示によって、相手側が秘密鍵ａを知ることができるのではあるが、これは実際上問題ではない。なぜならば、Ａは、自分がこのプロトコルのステップ１においてｘを用いた直後に、ｘを廃棄することができるからである。   The second protocol is superior to the first protocol because it provides complete forward secrecy. Although the other party can know the secret key a by disclosing the secret random integer x, this is not a problem in practice. This is because A can discard x immediately after using it in step 1 of this protocol.

ＡがＢの公開鍵の認証されたコピーを有していない場合には、Ｂは、自らの鍵の真正（certified）なコピーを、プロトコルの開始時に、Ａに送信しなければならない。この場合には、第２のプロトコルは、３パス・プロトコルである。
量ｓ_Ａは、値α^ｘに対して、Ａの署名として機能する。この署名は、当事者Ｂだけに確認が可能であるという新規な性質を有している。このアイデアは、ElGamalライクな署名方式のすべてに一般化できる。
上述の第１及び第２のプロトコルは、帯域幅の要件と、鍵一致の計算上の効率とを向上させるように修正が可能である。修正されたプロトコルは、次に、プロトコル１’及びプロトコル２’として、示してある。それぞれの場合に、Ａ及びＢは、共通鍵α^{ｓＡ・ｓＢ}を共有している。 If A does not have a certified copy of B's public key, B must send a certified copy of his key to A at the start of the protocol. In this case, the second protocol is a three-pass protocol.
The quantity s _A serves as A's signature for the value α ^x . This signature has a novel property that only the party B can confirm it. This idea can be generalized to all ElGamal-like signature schemes.
The first and second protocols described above can be modified to improve the bandwidth requirements and the computational efficiency of key agreement. The modified protocols are then indicated as protocol 1 'and protocol 2'. In each case, A and B share a common key α ^{sA · sB} .

プロトコル１’
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、ｒ_Ａ＝α^ａと、ｓ_Ａ＝ｘ＋ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛ｒ_Ａ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、１≦ｙ≦ｐ−２であるランダムな整数ｙを選び、ｒ_Ｂ＝α^ｙと、ｓ_Ｂ＝ｙ＋ｒ_Ｂｂα^ｂ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛ｒ_Ｂ，ｔｅｘｔ_Ｂ｝を送る。
３．Ａは、α^{ｓＡ・ｓＢ}に等しいＫ＝（ｒ_Ｂ（ｐ_Ｂ）^{ｒＢ・αｂ}）^ｓＡを計算する。
４．Ｂは、α^{ｓＡ・ｓＢ}に等しいＫ＝（ｒ_Ａ（ｐ_Ａ）^{ｒＡ・αａ}）^ｓＢを計算する。
このようにして、Ａ及びＢは、共通鍵を共有するが、署名ｓ_Ａ及びｓ_Ｂは、送信される必要がないことに注意すべきである。 Protocol 1 '
1. A selects a random integer x satisfying 1 ≦ x ≦ p−2, and calculates r _A = α ^a and s _A = x + r _A aα ^a mod (p−1). A sends {r _A , text _A } to B.
2. B selects a random integer y satisfying 1 ≦ y ≦ p−2 and calculates r _B = α ^y and s _B = y + r _B bα ^b mod (p−1). A sends {r _B , text _B } to _B.
3. A calculates K = (r _B (p _B ) ^{rB · αb} ) ^sA equal to α ^{sA · sB} .
4). B calculates K = (r _A (p _A ) ^{rA · αa} ) ^sB equal to α ^{sA · sB} .
In this way, it should be noted that A and B share a common key, but signatures s _A and s _B do not need to be transmitted.

プロトコル２’
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、（ｐ_Ｂ）^ｘと、α^ｘと署名ｓ_Ａ＝ｘ＋ａ（ｐ_Ｂ）^ｘ ｍｏｄ （ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛α^ｘ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、１≦ｙ≦ｐ−２であるランダムな整数ｙを選び、（ｐ_Ａ）^ｙと、α^ｙと署名ｓ_Ｂ＝ｙ＋ｂ（ｐ_Ａ）^ｙ ｍｏｄ （ｐ−１）と、を計算する。Ｂは、Ａに向けて、｛α^ｙ，ｔｅｘｔ_Ｂ｝を送る。
３．Ａは、（α^ｙ）^ａと、Ｋ＝（α^ｙ（ｐ_Ｂ）^{αｂ・αａｙ}）^ｓＡを、すなわち、α^{ｓＡ・ｓＢ}を計算する。
４．Ｂは、（α^ｘ）^ｂと、Ｋ＝（α^ｘ（ｐ_Ａ）^{αａ・αｂｘ}）^ＳＢを、すなわち、α^{ｓＡ・ｓＢ}を計算する。
従って、やはり、ｓ_Ａ及びｓ_Ｂの送信が回避された。
Ａ及びＢがセッション鍵Ｋを確立するために、別のプロトコルが利用可能である。 Protocol 2 '
1. A chooses a random integer x with 1 ≦ x ≦ p−2 and calculates (p _B ) ^x , α ^x and signature s _A = x + a (p _B ) ^x mod (p−1) . A sends {α ^x , text _A } to B.
2. B chooses a random integer y with 1 ≦ y ≦ p−2 and calculates (p _A ) ^y , α ^y and signature s _B = y + b (p _A ) ^y mod (p−1) . B sends {α ^y , text _B } to A.
3. A calculates (α ^y ) ^a and K = (α ^y (p _B ) ^{αb · αay} ) ^sA , that is, α ^{sA · sB} .
4). B calculates (α ^x ) ^b and K = (α ^x (p _A ) ^{αa · αbx} ) ^SB , that is, α ^{sA · sB} .
Therefore, again, transmission of s _A and s _B was avoided.
Another protocol is available for A and B to establish the session key K.

第３のプロトコル
このプロトコルに対するシステム・パラメータは、乗法群Ｚ^＊ _ｐの素数ｐと生成元αである。ユーザＡは、秘密鍵ａと公開鍵ｐ_Ａ＝α^ａとを有している。ユーザＢは、秘密鍵ｂと公開鍵ｐ_Ｂ＝α^ｂとを有している。
１．Ａは、１≦ｘ，ｘ_１≦ｐ−２である２つのランダムな整数ｘ，ｘ_１を選び、ｒ_ｘ１＝α^ｘ１と、ｒ_Ａ＝α^ｘと、（ｒ^Ａ）^ｒｘ１とを計算し、更に、署名ｓ_Ａ＝ｘｒ_ｘ１−（ｒ_Ａ）^ｒｘ１ａα^ａ ｍｏｄ（ｐ−１）を計算する。Ａは、Ｂに向けて、｛ｒ_Ａ，ｓ_Ａ，α^ｘ１，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、１≦ｙ，ｙ_１≦ｐ−２である２つのランダムな整数ｙ，ｙ_１を選び、ｒ_ｙ１＝α^ｙ１と、ｒ_Ｂ＝α^ｙと、（ｒ^Ｂ）^ｒｙ１とを計算し、更に、署名ｓ_Ｂ＝ｙｒ_ｙ１−（ｒ_Ｂ）^ｒｙ１ｂ ｍｏｄ（ｐ−１）を計算する。Ｂは、Ａに向けて、｛ｒ_Ｂ，ｓ_Ｂ，α^ｙ１，ｔｅｘｔ_Ｂ｝を送る。
３．Ａは、α^ｓＢ（ｐ_Ｂ）^{（ｒＢ）ｒｙ１}を計算し、これが、（ｒ_Ｂ）^ｒｙ１に等しいことを確認する。Ａは、セッション鍵Ｋ＝（α^ｙ１）^ｘ１＝α^{ｘ１・ｙ１}を計算する。
４．Ｂは、α^ｓＡ（ｐ_Ａ）^{（ｒＡ）ｒｘ１}を計算し、これが、（ｒ_Ａ）^ｒｘ１に等しいことを確認する。Ｂは、セッション鍵Ｋ＝（α^ｘ１）^ｙ１＝α^{ｘ１・ｙ１}を計算する。
これらのプロトコルでは、（ｒ_Ａ，ｓ_Ａ）は、Ａだけがメッセージｒ_ｘ１に署名できるという性質を有するｒ_ｘ１の署名であると考えることができる。 Third Protocol The system parameters for this protocol are the prime number p and generator α of the multiplicative group Z ^* _p . User A has a secret key a and a public key p _A = α ^a . User B has a private key b and a public key p _B = α ^b .
1. A selects two random integers x, x ₁ where 1 ≦ x, x ₁ ≦ p−2, and calculates r _x1 = α ^x1 , r _A = α ^x , and (r ^A ) ^rx1 Furthermore, the signature s _A = xr _x1 − (r _A ) ^rx1 aα ^a mod (p−1) is calculated. A sends {r _A , s _A , α ^x1 , text _A } to _B.
2. B chooses two random integers y, y ₁ where 1 ≦ y, y ₁ ≦ p−2 and calculates r _y1 = α ^y1 , r _B = α ^y and (r ^B ) ^ry1 Furthermore, the signature s _B = yr _y1 − (r _B ) ^ry1 b mod (p−1) is calculated. B sends {r _B , s _B , α ^y1 , text _B } to A.
3. A ^computes α ^sB (p _B ) ^{(rB) ry1} and confirms that it is equal to (r _B ) ^ry1 . A calculates the session key K = (α ^y1 ) ^x1 = α ^{x1 · y1} .
4). B ^computes α ^sA (p _A ) ^{(rA) rx1} and confirms that it is equal to (r _A ) ^rx1 . B calculates the session key K = (α ^x1 ) ^y1 = α ^{x1 · y1} .
In these protocols, (r _A , s _A ) can be considered as a signature of r _x1 with the property that only A can sign the message r _x1 .

鍵輸送プロトコル
上述のプロトコルによれば、セッション鍵の確立と認証とが可能になる。Ａがセッション鍵を当事者Ｂに輸送（transport）することを可能にするプロトコルを確立することが望まれる。そのようなプロトコルを次に述べる。
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、ｒ_Ａ＝α^ｘと、署名ｓ_Ａ＝ｘ−ｒ_Ａａα^ａ ｍｏｄ（ｐ−１）と、を計算する。Ａは、Ｂに向けて、｛ｒ_Ａ，ｓ_Ａ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、α^ｓＡ（ｐ_Ａ）^{ｒＡ・αａ}を計算し、この量が、ｒ_Ａに等しいことを検証する。Ｂは、次に、セッション鍵Ｋ＝（ｒ_Ａ）^ｂを計算する。 Key Transport Protocol According to the protocol described above, it is possible to establish and authenticate a session key. It is desirable to establish a protocol that allows A to transport the session key to party B. Such a protocol is described next.
1. A selects a random integer x satisfying 1 ≦ x ≦ p−2, and calculates r _A = α ^x and signature s _A = x−r _A aα ^a mod (p−1). A sends {r _A , s _A , text _A } to B.
2. B ^computes α ^sA (p _A ) ^{rA · αa} and verifies that this amount is equal to r _A. B then calculates a session key K = (r _A ) ^b .

修正された鍵輸送プロトコル
上述のプロトコルは、署名ｓ_Ａを送信する必要をなくすことによって、帯域幅を減少させるように修正が可能である。
１．Ａは、１≦ｘ≦ｐ−２であるランダムな整数ｘを選び、ｒ_Ａ＝α^ｘと、署名ｓ_Ａ＝ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）と、を計算する。Ａは、更に、Ｋ＝（ｐ^Ｂ）^ｓＡを計算して、Ｂに向けて、｛ｒ_Ａ，ｔｅｘｔ_Ａ｝を送る。
２．Ｂは、α^ｓＡ（ｐ_Ａ）^{ｒＡ・αａ}を計算し、この量が、ｒ_Ａに等しいことを検証する。Ｂは、次に、セッション鍵Ｋ＝（α^ｘ（ｐ_Ａ）^{−ｒＡ・αａ}）^ｂ＝α^ｂ・ｓＡを計算する。
すべての１パス鍵輸送プロトコルは、次に述べるリプレイの問題を有する。１パス鍵輸送プロトコルを用いてセッション鍵ＫをＡからＢへ、このセッション鍵を用いて暗号化された何らかのテキストと共に送信することを考える。Ｅが、ＡからＢへの送信を記録すると仮定する。もし、Ｅが、後に、Ｂの復号化装置へのアクセス（ただし、Ｂの秘密鍵など、その装置の内部的な内容へのアクセスではない）を、その装置への送信をリプレイすることによって得ることになる場合には、Ｅは、元のテキストを回復することができる。この状況では、Ｅは、セッション鍵を知らない。 Modified key transport protocol the protocol described above, by eliminating the need to send sign s _A, it is capable of modifications to reduce bandwidth.
1. A selects a random integer x satisfying 1 ≦ x ≦ p−2, and calculates r _A = α ^x and signature s _A = x−r _A aα ^a mod (p−1). A further calculates K = (p ^B ) ^sA and sends {r _A , text _A } to B.
2. B ^computes α ^sA (p _A ) ^{rA · αa} and verifies that this amount is equal to r _A. B then calculates a session key K = (α ^x (p _A ) ^{−rA · αa} ) ^b = α ^{b · sA} .
All one-pass key transport protocols have the replay problem described below. Consider sending a session key K from A to B using a one-pass key transport protocol with some text encrypted using this session key. Suppose E records a transmission from A to B. If E later gains access to B's decryption device (but not access to the device's internal content, such as B's private key) by replaying transmissions to that device If this happens, E can recover the original text. In this situation, E does not know the session key.

このリプレイによるアタックは、タイムスタンプの使用などの、通常の方法によって失敗させることができる。しかし、Ｂの計算資源が限定されていて、それぞれのセッションの開始時に、Ｂがランダムなビット・ストリングｋをＡに送信する方がより適切であるようなこともある。テキストを暗号化するのに用いられるセッション鍵は、その場合には、ｋ＋ｋ、すなわち、ｋとｋとのＸＯＲを計算したものとなる。   This replay attack can be failed by normal methods such as using a time stamp. However, B's computational resources may be limited, and it may be more appropriate for B to send a random bit string k to A at the start of each session. In that case, the session key used to encrypt the text is k + k, that is, the XOR of k and k.

署名（signing）方程式ｓ_Ａ＝ｘ−ｒ_Ａａα^ａと、プロトコル２における鍵輸送プロトコルｒ_Ａ＝α^ｘｂとは、いくつかの変形例で代替することができる。いくつか例を挙げると、次の通りである。
ｒ_Ａ＝ｓ_Ａｘ＋ｚ
ｓ_Ａ＝ｘα^ａ＋ａｒ_Ａ
ｓ_Ａ＝ｘｒ_Ａ＋Ａα^ａ
１＝ａｒ_Ａ＋ｘｓ_Ａ The signing equation s _A = x−r _A aα ^a and the key transport protocol r _A = α ^xb in protocol 2 can be ^replaced by several variants. Some examples are as follows.
r _A = s _A x + z
s _A = xα ^a + ar _A
s _A = xr _A + Aα ^a
1 = ar _A + xs _A

既に述べたプロトコルは、すべて、乗法群Ｚ^＊ _ｐの設定において、説明された。しかし、これらのプロトコルは、離散対数問題が困難を生じさせるように見える任意の有限群において機能するように容易に修正することができる。適切な選択肢としては、有限体の乗法群（特に、有限体ＧＦ（２^ｎ））、位数（order）ｑのＺ^＊ _ｐの部分群、有限体上で定義される楕円曲線上の点から成る群などがある。それぞれの場合に、適切な生成元（generator）αを用いて公開鍵を定義する。 All the protocols already mentioned have been described in the setting of the multiplicative group Z ^* _p . However, these protocols can be easily modified to work in any finite group where the discrete logarithm problem appears to create difficulties. Suitable choices include multiplicative groups of finite fields (especially finite fields GF (2 ⁿ )), Z ^* _p subgroups of order q, and points on elliptic curves defined on finite fields. There is a group consisting of. In each case, a public key is defined using an appropriate generator α.

上述したプロトコルは、また、直接的な方法で修正して、それぞれのユーザが自分自身のシステム・パラメータｐ及びα（又は、Ｚ^＊ _ｐ以外の群が用いられる場合には、類似のパラメータ）を選択できるような状況を扱えるようにできる。
上述のプロトコルでは、一般形式ｓ_Ａ＝ｘ＋ｒ_ａ・ａ・α^ａの署名成分が用いられていた。これらのプロトコルは、安全性を損ねることなく、より単純な一般形式ｓ_Ａ＝ｘ＋ｒ_ａ・ａの署名成分を用いるように修正が可能である。
これらのプロトコルの例を、同じ記号（notation）を用いて以下に与えるが、望むのであれば、別の記号を用いてこれらのプロトコルを表現することができることを理解すべきである。 The protocol described above can also be modified in a straightforward manner so that each user has his own system parameters p and α (or similar parameters if groups other than Z ^* _p are used). Can handle situations that can be selected.
In the above-described protocol, ^a signature component of the general format s _A = x + r _a · a · α ^a is used. These protocols can be modified to use a signature component of the simpler general form s _A = x + r _a · a without compromising security.
Examples of these protocols are given below using the same notation, but it should be understood that other protocols can be used to represent these protocols if desired.

プロトコル１’’
このプロトコルは、乗法群Ｚ^＊ _ｐにおける次の記号を用いて説明される。
ｐは、素数である。
αは、Ｚ^＊ _ｐの生成元である。
ａ及びｂは、当事者Ａ及びＢのそれぞれの長期的な秘密鍵である。
α^ａ ｍｏｄ ｐは、当事者Ａの長期的な秘密鍵である。
α^ｂ ｍｏｄ ｐは、当事者Ｂの長期的な秘密鍵である。
ｘは、Ａによって短期の秘密鍵として選択されるランダムな整数である。
ｒ_ａ＝α^ｘ ｍｏｄ ｐは、当事者Ａの短期の公開鍵である。
ｙは、Ｂによって短期の秘密鍵として選択されるランダムな整数である。
ｒ_ｂ＝α^ｙ ｍｏｄ ｐは、当事者Ａの短期の公開鍵である。
ｒ_ａ＊は、ｒ_ａから導かれる整数である。
ｒ_ｂ＊は、ｒ_ｂから導かれる整数である。 Protocol 1 ''
This protocol is described using the following symbols in the multiplicative group Z ^* _p .
p is a prime number.
α is a generator of Z ^* _p .
a and b are the long-term secret keys of parties A and B, respectively.
α ^a mod p is the long-term secret key of party A.
α ^b mod p is the long-term secret key of party B.
x is a random integer selected by A as a short-term secret key.
r _a = α ^x mod p is the short-term public key of party A.
y is a random integer selected by B as a short-term secret key.
r _b = α ^y mod p is the short-term public key of party A.
r _a * is an integer derived from r _a .
r _b * is an integer derived from _{r b.}

プロトコルを実現するには、次のようにする。
１．Ａは、ｒ_ａをＢに送る。
２．Ｂは、ｒ_ｂをＡに送る。
３．Ａは、ｓ_Ａ＝ｘ＋（ｒ_ａ＊）・ａ ｍｏｄ （ｐ−１）を計算する。
４．Ａは、セッション鍵Ｋ＝（α^ｙ（α^ｂ）^{（ｒｂ＊）}）^ｓＡ ｍｏｄ ｐを計算する。
５．Ｂは、ｓ_Ｂ＝ｙ＋（ｒ_ｂ＊）・ｂ ｍｏｄ （ｐ−１）を計算する。
６．Ｂは、セッション鍵Ｋ＝（α^ｘ（α^ａ）^{（ｒａ＊）}）^ｓＢ ｍｏｄ ｐを計算する。
７．共有される秘密は、α^{ｓＡ・ｓＢ} ｍｏｄ ｐである。
このプロトコルでは、待機幅の要件が再び緩和されているが、署名成分は、通信端末の短期及び長期の鍵を組み合わせて、侵入者からの攻撃を禁止している。 To implement the protocol, do the following:
1. A sends _ra to B.
2. B sends _rb to A.
3. A calculates s _A = x + (r _a *) · a mod (p−1).
4). A calculates the session key K = (α ^y (α ^b ) ^{(rb *)} ) ^sA mod p.
5). B calculates s _B = y + (r _b *) · b mod (p−1).
6). B calculates the session key K = (α ^x (α ^a ) ^{(ra *)} ) ^sB mod p.
7). The shared secret is α ^{sA · sB} mod p.
In this protocol, the waiting width requirement is relaxed again, but the signature component prohibits attacks from intruders by combining the short-term and long-term keys of the communication terminal.

このプロトコルは、また、Ｚ^＊ _ｐの部分群を用いても実現できる。この場合には、ｑは、（ｐ−１）の素約数（prime divisor）であり、ｇは、Ｚ^＊ _ｐの中の位数ｐの要素である。
Ａ及びＢの公開鍵は、それぞれが、ｇ^ａ及びｇ^ｂの形式を有し、短期の鍵ｒ_ａ及びｒ_ｂは、ｇ^ｘ及びｇ^ｙの形式を有している。
署名成分であるｓ_Ａ及びｓ_Ｂは、ｍｏｄ ｑで計算され、セッション鍵は、従前のように、ｍｏｄ ｑで計算される。この場合には、共有の秘密は、ｇ^{ｓＡ・ｓＢ} ｍｏｄ ｐである。
既に述べたように、これらのプロトコルは、Ｚ^＊ _ｐ以外の群においても実現が可能であり、特に、ローバスト（robust）群は、有限体上の楕円曲線上の点から成る群である。このような実現例は、次にプロトコル１’’’として挙げてある。 This protocol can also be implemented using a subgroup of Z ^* _p . In this case, q is a prime divisor of (p−1), and g is an element of order p in Z ^* _p .
The public keys of A and B each have the form g ^a and g ^b , and the short-term keys r _a and r _b have the form g ^x and g ^y .
The signature components s _A and s _B are calculated with mod q, and the session key is calculated with mod q as before. In this case, the shared secret is g ^{sA · sB} mod p.
As already mentioned, these protocols can be implemented in groups other than Z ^* _p . In particular, the robust group is a group of points on an elliptic curve on a finite field. Such an implementation is then listed as protocol 1 '''.

プロトコル１’’’
次の記号を用いる。
Ｅは、Ｆｑ上で定義される楕円曲線である。
Ｐは、Ｅ（Ｆｑ）内の素数位数の点である。
ｄ_ａ（１＜ｄ_ａ＜ｎ−１）は、当事者Ａの長期の秘密鍵である。
ｄ_ｂ（１＜ｄ_ｂ＜ｎ−１）は、当事者Ｂの長期の秘密鍵である。
Ｑ_ａ＝ｄ_ａＰは、当事者Ａの長期の公開鍵である。
Ｑ_ｂ＝ｄ_ｂＰは、当事者Ｂの長期の公開鍵である。
ｒ_ａ＝ｋＰは、当事者Ａの短期の公開鍵である。
ｋ（１＜ｋ＜ｎ−１）は、当事者Ａの短期の秘密鍵である。
ｍ（１＜ｍ＜ｎ−１）は、当事者Ｂの短期の秘密鍵である。
ｒ_ｂ＝ｍＰは、当事者Ｂの短期の公開鍵である。
ｒａ＊及びｒｂ＊は、ビット・ストリングであり、例えば、ｒ_ａ及びｒ_ｂのｘ座標の８０最下位ビットである。 Protocol 1 '''
Use the following symbols:
E is an elliptic curve defined on Fq.
P is a prime number point in E (Fq).
d _a (1 <d _a <n−1) is the long-term secret key of the party A.
d _b (1 <d _b <n−1) is the long-term secret key of party B.
Q _a = d _a P is party A's long-term public key.
Q _b = d _b P is party B's long-term public key.
r _a = kP is party A's short-term public key.
k (1 <k <n−1) is the short-term secret key of the party A.
m (1 <m <n−1) is the short-term secret key of party B.
r _b = mP is party B's short-term public key.
ra * and rb * is a bit string, for example, a 80 least significant bits of the x-coordinate of _{r a} and _{r b.}

このプロトコルを実現するには、次のようにする。
１．Ａは、ｒ_ａをＢに送る。
２．Ｂは、ｒ_ｂをＡに送る。
３．Ａは、ｓ_Ａ＝（ｋ＋（ｒ_ａ＊）・ｄ_ａ） ｍｏｄ ｎを計算する。
４．Ａは、セッション鍵Ｋ＝ｓ_Ａ（ｒ_ｂ＋（ｒ_ｂ＊）Ｑ_ｂ）を計算する。
５．Ｂは、ｓ_Ｂ＝（ｍ＋（ｒ_ｂ＊）ｄ_ｂ） ｍｏｄ ｎを計算する。
６．Ｂは、セッション鍵Ｋ＝ｓ_ｂ（ｒ_ａ＋（ｒ_ａ＊）Ｑ_ａ）を計算する。
７．共有される秘密は、ｓ_ａｓ_ｂＰである。 To implement this protocol, do the following:
1. A sends _ra to B.
2. B sends _rb to A.
3. A calculates s _A = (k + (r _a *) · d _a ) mod n.
4). A calculates the session key K = s _A (r _b + (r _b *) Q _b ).
5). B calculates s _B = (m + (r _b *) d _b ) mod n.
6). B calculates the session key K = s _b (r _a + (r _a *) Q _a ).
7). The shared secret is s _a s _b P.

再び、通信端末の間では署名成分ｓ_Ａ及びｓ_Ｂを送る必要はないことに注意すべきである。しかし、通信端末の短期及び長期の鍵が成分の形式で組み合わされる。
先の例におけるｘ及びｙに対して、記号ｍを用いているのは、曲線上の点の座標（ｘ，ｙ）との混乱を回避するためである。 Again, it should be noted that it is not necessary to send the signature components s _A and s _B between the communication terminals. However, the short and long term keys of the communication terminal are combined in the form of components.
The reason why the symbol m is used for x and y in the previous example is to avoid confusion with the coordinates (x, y) of the points on the curve.

Claims (72)

公開鍵暗号化を採用しているデータ通信システムにおいて、通信チャネル（１４）を介して第１及び第２の通信端末（Ａ及びＢ）の間で情報を交換することを可能にするために、第１及び第２の通信端末間の鍵を設定する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元αとこれら秘密鍵とからそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ｉ）第１の通信端末（Ａ）において第１のランダム整数ｘが選択され、生成元αを含む第１の関数ｆ（α）のｇ（ｘ）をベキとする指数関数を作ることにより、第１の指数関数ｆ（α）^ｇ（ｘ）を提供するステップと、
ｉｉ）第１の通信端末（Ａ）において、第１のランダム整数ｘと第１の機密鍵ａとを組み合わせるために、第１のランダム整数ｘ、第１の指数関数ｆ（α）^ｇ（ｘ）、及び第１の秘密鍵ａから第１の署名ｓ_Ａを生成して、該第１の署名を保持するステップと、
ｉｉｉ）第１の通信端末（Ａ）から、第２の通信端子（Ｂ）に向けて、第１の指数関数ｆ（α）^ｇ（ｘ）を含むメッセージを送るステップと、
ｉｖ）第２の通信端末（Ｂ）において、第２のランダム整数ｙを選択され、該第２のランダム整数ｙと第２の秘密鍵ｂとを組み合わせるために、生成元αを含む第２の関数ｆ’（α）のｇ（ｙ）をベキとする指数関数を作ることにより、第２の指数関数ｆ’（α）^ｇ（ｙ）を提供し、第２のランダム整数ｙ、第２の指数関数ｆ’（α）^ｇ（ｙ）、及び第２の秘密鍵ｂから第２の署名ｓ_Ｂを生成して、該第２の署名を保持するステップと、
ｖ）第２の通信端末（Ｂ）から、第１の通信端末（Ａ）に向けて、第２の指数関数ｆ’（α）^ｇ（ｙ）を含むメッセージを送るステップと、
ｖｉ）第１の通信端末（Ａ）において、第２の通信端末（Ｂ）によって公開された情報を、第１の通信端末に属する秘密情報を用いて指数化することによって、セッション鍵Ｋを構築し、第２の通信端末（Ｂ）において、第１の通信端末（Ａ）によって公開された情報を、第２の通信端末に属する秘密情報を用いて指数化することによって、セッション鍵Ｋを構築するステップと
からなることを特徴とする方法。 In order to be able to exchange information between the first and second communication terminals (A and B) via a communication channel (14) in a data communication system employing public key encryption, A method for setting a key between a first and second communication terminal, wherein the first and second communication terminals respectively include a first and second secret keys a and b, a generation source α, and these secret keys. And first and second public keys p _A and p _B respectively derived from
i) In the first communication terminal (A), a first random integer x is selected, and by generating an exponential function with g (x) of the first function f (α) including the generator α as a power, Providing a first exponential function f (α) ^{g (x)} ;
ii) In the first communication terminal (A), in order to combine the first random integer x and the first secret key a, the first random integer x, the first exponential function f (α) ^{g (x And} generating a first signature s _A from the first private key a and retaining the first signature;
iii) sending a message including the first exponential function f (α) ^{g (x)} from the first communication terminal (A) to the second communication terminal (B);
iv) In the second communication terminal (B), the second random integer y is selected, and the second random integer y and the second secret key b are combined, A second exponential function f ′ (α) ^{g (y)} is provided by generating an exponential function with power g (y) of the function f ′ (α) as a second random integer y, Generating a second signature s _B from the exponential function f ′ (α) ^{g (y)} and the second secret key b, and holding the second signature;
v) sending a message including the second exponential function f ′ (α) ^{g (y)} from the second communication terminal (B) to the first communication terminal (A);
vi) In the first communication terminal (A), the session key K is constructed by indexing the information disclosed by the second communication terminal (B) using the secret information belonging to the first communication terminal. Then, in the second communication terminal (B), the session key K is constructed by indexing the information disclosed by the first communication terminal (A) using the secret information belonging to the second communication terminal. The method comprising the steps of: 請求項１記載の方法において、第１の通信端末（Ａ）によって送られる情報は、該第１の通信端末の識別子を含み、第２の通信端末（Ｂ）によって送られる情報は、該第２の通信端末の識別子を含んでいることを特徴とする方法。 The method according to claim 1, wherein the information sent by the first communication terminal (A) includes an identifier of the first communication terminal, and the information sent by the second communication terminal (B) is the second communication terminal (B). Including an identifier of a communication terminal. 請求項１又は２記載の方法において、生成元αを含む第１の関数ｆ（α）は、生成元α自体であり、生成元αを含む第２の関数ｆ’（α）は、生成元α自体であることを特徴とする方法。 3. The method according to claim 1 or 2, wherein the first function f (α) including the generator α is the generator α itself, and the second function f ′ (α) including the generator α is the generator. A method characterized by α itself. 請求項１又は２記載の方法において、生成元αを含む第１関数ｆ（α）は、第２の通信端末（Ｂ）の公開鍵ｐ_Ｂを含み、生成元αを含む第２の関数ｆ’（α）は、第１の通信端末の公開鍵ｐ_Ａを含むことを特徴とする方法。 3. The method according to claim 1, wherein the first function f (α) including the generator α includes the public key p _B of the second communication terminal (B) and includes the generator α. '(Α) includes the public key p _A of the first communication terminal. 請求項１〜３いずれかに記載の方法において、第１の署名ｓ_Ａは、第１の指数関数ｆ（α）^ｇ（ｘ）から得られた整数ｒ_ａ＊を用いて生成され、第２の署名ｓ_Ｂは、第２の指数関数ｆ’（α）^ｇ（ｙ）から得られた整数ｒ_ｂ＊を用いて生成されることを特徴とする方法。 The method according to any one of claims 1 to 3, the first signature _{s A} is generated using the integer _{r a} * obtained from the first exponential function ^{f (α) g (x)} , second The signature s _{B of} is generated using an integer r _b * obtained from the second exponential function f ′ (α) ^{g (y)} . 請求項５記載の方法において、第１の通信端末によって公開された情報は、第１の公開鍵Ｐ_Ａ、第１の指数関数ｆ（α）^ｇ（ｘ）、及び整数ｒ_ａ＊を組合せ、第２の通信端末によって公開された情報は、第２の公開鍵Ｐ_Ｂ、第２の指数関数ｆ’（α）^ｇ（ｙ）、及び整数ｒ_ｂ＊を組み合わせることを特徴とする方法。 The method of claim 5, wherein the information published by the first communication terminal, the first public key P _A, the first exponential function ^{f (α) g (x)} , and an integer r _{a *} combination, A method characterized in that the information published by the second communication terminal combines a second public key P _B , a second exponential function f ′ (α) ^{g (y)} , and an integer r _b *. 請求項６記載の方法において、生成元αは、ｐを素数とする乗法群Ｚ^＊ _ｐの要素であることを特徴とする方法。 7. The method according to claim 6, wherein the generator α is an element of a multiplicative group Z ^* _p having p as a prime number. 請求項５〜７いずれかに記載の方法において、第１の署名ｓ_Ａ及び第２の署名ｓ_Ｂは、
ｓ_Ａ＝ｘ＋ｒ_ａ＊ａα^ａ ｍｏｄ （ｐ−１）
ｓ_Ｂ＝ｙ＋ｒ_ｂ＊ｂα^ｂ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 The method according to any one of claims 5 to 7, wherein the first signature s _A and the second signature s _B are:
s _A = x + r _a * aα ^a mod (p−1)
s _B = y + r _b * bα ^b mod (p−1)
A method characterized in that 請求項８記載の方法において、
第１の通信端末によって、セッション鍵Ｋが、Ｋ＝（α^ｙ（α^ｂ）^{（ｒｂ＊）}）^ｓＡ ｍｏｄ ｐとして計算され、
第２の通信端末によって、セッション鍵Ｋが、Ｋ＝（α^ｘ（α^ａ）^{（ｒａ＊）}）^ｓＢ ｍｏｄ ｐとして計算されることを特徴とする方法。 The method of claim 8, wherein
The first communication terminal calculates a session key K as K = (α ^y (α ^b ) ^{(rb *)} ) ^sA mod p,
A method characterized in that a session key K is calculated by the second communication terminal as K = (α ^x (α ^a ) ^{(ra *)} ) ^sB mod p. 請求項５〜９いずれかに記載の方法において、αは、ｑをｐ−１の素除数とした場合、群Ｚ^＊ _ｐの位数ｑの部分群の生成元であることを特徴とする方法。 10. The method according to claim 5, wherein α is a generator of a subgroup of order q of group Z ^* _p , where q is a prime divisor of p-1. . 請求項５又は６記載の方法において、生成元αは、有限体Ｆ_ｑ上で定義される楕円曲線上の位数ｎの点Ｐであり、該楕円曲線上のスカラ乗算によって、累乗が実行されることを特徴とする方法。 7. The method according to claim 5, wherein the generator α is a point P of order n on the elliptic curve defined on the finite field F _q , and a power is executed by scalar multiplication on the elliptic curve. A method characterized by that. 請求項１１記載の方法において、整数ｒ_ａ＊及び整数ｒ_ｂ＊は、第１及び第２の指数関数の座標のビット・ストリングスであることを特徴とする方法。 12. The method of claim 11, wherein the integer r _a * and the integer r _b * are bit strings of the coordinates of the first and second exponential functions. 請求項１１又は１２記載の方法において、第１及び第２の署名ｓ_Ａ及びｓ_Ｂは、
ｓ_Ａ＝（ｘ＋（ｒ_ａ＊）ａ） ｍｏｄ ｎ
ｓ_Ｂ＝（ｙ＋（ｒ_ｂ＊）ｂ） ｍｏｄ ｎ
であることを特徴とする方法。 13. The method according to claim 11 or 12, wherein the first and second signatures s _A and s _B are:
s _A = (x + (r _a *) a) mod n
s _B = (y + (r _b *) b) mod n
A method characterized in that 請求項１３記載の方法において、第２及び第１の通信端末において、セッション鍵Ｋはそれぞれ、
Ｋ＝ｓ_Ａ（ｒ_ｂ＋（ｒ_ｂ＊）Ｐ_Ｂ）
Ｋ＝ｓ_ｂ（ｒ_ａ＋（ｒ_ａ＊）Ｐ_Ａ）
によって計算されることを特徴とする方法。 14. The method according to claim 13, wherein in each of the second and first communication terminals, the session key K is
K = s _A (r _b + (r _b *) P _B )
K = s _b (r _a + (r _a *) P _A )
A method characterized by being calculated by: 請求項１〜３いずれかに記載の方法において、第１及び第２の署名ｓ_Ａ及びｓ_Ｂは、
ｓ_Ａ＝ｘ＋ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）
ｓ_Ｂ＝ｙ＋ｒ_Ｂｂα^ｂ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 4. The method according to claim 1, wherein the first and second signatures s _A and s _B are:
s _A = x + r _A aα ^a mod (p−1)
s _B = y + r _B bα ^b mod (p−1)
A method characterized in that 請求項４記載の方法において、第１及び第２の署名ｓ_Ａ及びｓ_Ｂは、
ｓ_Ａ＝ｘ＋ａ（ｐ_Ｂ）^ｘ ｍｏｄ （ｐ−１）
ｓ_Ｂ＝ｙ＋ｂ（ｐ_Ａ）^ｙ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 5. The method of claim 4, wherein the first and second signatures s _A and s _B are
s _A = x + a (p _B ) ^x mod (p−1)
s _B = y + b (p _A ) ^y mod (p−1)
A method characterized in that 通信チャネル（１４）を介して第１及び第２の通信端末（Ａ及びＢ）の間で情報を交換することを可能にするために、公開鍵通信システムにおいて、第１及び第２の通信端末間のセッション鍵Ｋを搬送する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元αとこれら秘密鍵とからそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ａ）第１の通信端末において第１のランダム整数ｘが選択され、該ランダム整数ｘと生成元αとから第１の値ｒ_Ａを計算するステップと、
ｂ）第１の通信端末において、第１のランダム整数ｘと、第１の値ｒ_Ａと、第１の秘密鍵ａとから第１の署名ｓ_Ａを生成するステップと、
ｃ）第１の通信端末において、第１のランダム整数ｘと第２の通信端末に属する公開情報とからセッション鍵Ｋを計算するステップと、
ｄ）第１の通信端末から、第２の通信端子に向けて、第１の値ｒ_Ａ及び第１の署名ｓ_Ａを含むメッセージを送るステップと、
ｅ）第２の通信端末において、生成元α、第１の署名ｓ_Ａ、第１の値ｒ_Ａ、及び第１の通信端末に属する公開情報を用いて計算された値の有効性を検証するステップと、
ｆ）第２の通信端末において、第１の値ｒ_Ａと、第２の通信端末に属する秘密情報であって、第２の通信端末に属する公開情報に関連している情報とから、セッション鍵Ｋを計算するステップと
からなることを特徴とする方法。 First and second communication terminals in a public key communication system in order to be able to exchange information between first and second communication terminals (A and B) via a communication channel (14) The first and second communication terminals are respectively derived from the first and second secret keys a and b, the generation source α, and these secret keys, respectively. First and second public keys p _A and p _B , the method comprising:
a) selecting a first random integer x at the first communication terminal and calculating a first value r _A from the random integer x and the generator α;
b) In the first communication terminal, generating a first signature s _A from the first random integer x, the first value r _A and the first secret key a;
c) calculating a session key K from the first random integer x and public information belonging to the second communication terminal in the first communication terminal;
d) sending a message including the first value r _A and the first signature s _A from the first communication terminal toward the second communication terminal;
e) In the second communication terminal, the validity of the value calculated using the generator α, the first signature s _A , the first value r _A , and the public information belonging to the first communication terminal is verified. Steps,
f) In the second communication terminal, from the first value r _A and the secret information belonging to the second communication terminal and related to the public information belonging to the second communication terminal, the session key Calculating K, the method comprising the steps of: 請求項１７記載の方法において、第１の値ｒ_Ａは、生成元を含む第１の関数ｆ（α）を第１のランダム整数ｘをベキとするように指数化することによって計算されることを特徴とする方法。 The method of claim 17, the first value r _A, being a first function f including origin a (alpha) calculated by indexing to a first random integer x and a power A method characterized by. 請求項１８記載の方法において、第１の関数ｆ（α）は生成元αそのものであることを特徴とする方法。 19. The method according to claim 18, wherein the first function f (α) is the generator α itself. 請求項１７〜１９いずれかに記載の方法において、第１の署名ｓ_Ａは、
ｓ_Ａ＝ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 The method according to any one of claims 17 to 19, the first signature _{s A,}
s _A = x−r _A aα ^a mod (p−1)
A method characterized in that 請求項１７〜１９いずれかに記載の方法において、第２の通信端末に属する公開情報は該通信端末の公開鍵ｐ_Ｂであり、第２の通信端末に属する秘密情報は該通信端末の秘密鍵ｂであり、第１の通信端末に属する公開情報は該通信端末の公開鍵ｐ_Ａであることを特徴とする方法。 The method according to any one of claims 17 to 19, public information belonging to the second communication terminal is a public key p _B of said communication terminal, the secret information belonging to the second communication terminal is the private key of the communication terminal b. The public information belonging to the first communication terminal is the public key p _A of the communication terminal. 請求項２１記載の方法において、第１の通信端末によって計算されたセッション鍵Ｋは、（ｐ_Ｂ）^ｘであることを特徴とする方法。 22. The method according to claim 21, wherein the session key K calculated by the first communication terminal is (p _B ) ^x . 請求項２１又は２２記載の方法において、第２の通信端末によって有効性が検証される値は、α^ｓＡ（ｐ_Ａ）^{ｒＡ・αａ}であることを特徴とする方法。 The method according to claim 21 or 22, wherein the value verified by the second communication terminal is α ^sA (p _A ) ^{rA · αa} . 請求項２３記載の方法において、第２の通信端末によって計算されたセッション鍵Ｋは、（ｒ_Ａ）^ｂであることを特徴とする方法。 24. The method of claim 23, wherein the session key K calculated by the second communication terminal is (r _A ) ^b . 請求項１７〜２４いずれかに記載の方法において、第２の通信端末が、第１の通信端末にランダム・ビット・ストリングｋを送るステップを備えており、このステップは、セッション鍵Ｋと該セッション鍵Ｋで排他的論理和されたビット・ストリングｋとでメッセージを暗号化して、メッセージを暗号化するための短命鍵（ｋ＋Ｋ）を設定する前に、実行されることを特徴とする方法。 25. A method according to any of claims 17 to 24, comprising the step of the second communication terminal sending a random bit string k to the first communication terminal, the step comprising: A method which is performed before encrypting a message with a bit string k exclusive-ORed with a key K and setting a short-lived key (k + K) for encrypting the message. 公開鍵データ通信システムにおいて、第１及び第２の通信端末間でセッション鍵を搬送して、これら通信端末の間で通信チャネルを介して情報を通信するための共通鍵を設定する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元α及びこれら秘密鍵からそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ｉ）第１の通信端末において第１のランダム整数ｘが選択され、生成元αを含む第１の関数ｆ（α）のｇ（ｘ）をベキとする指数関数を作ることにより、第１の指数関数ｆ（α）^ｇ（ｘ）を提供するステップと、
ｉｉ）第１の通信端末において、第１のランダム整数ｘと第１の機密鍵ａとを組み合わせるために、第１のランダム整数ｘ、第１の記指数関数ｆ（α）^ｇ（ｘ）、及び第１の秘密鍵ａから第１の署名ｓ_Ａを生成して、該第１の署名を該第１の通信端末に属する秘密の署名として保持するステップと、
ｉｉｉ）第１の通信端末から、第２の通信端子に向けて、第１の指数関数ｆ（α）^ｇ（ｘ）を含むメッセージを送るステップと、
ｉｖ）第１の通信端末において、第２の公開鍵ｐ_Ｂと第１の署名ｓ_Ａとから第１のセッション鍵Ｋを計算するステップと、
ｖ）第２の通信端末において、第１の通信端末の公開鍵ｐ_Ａと、メッセージ内の情報とを用いて、第１のセッション鍵Ｋに対応する第２のセッション鍵Ｋ’を計算するステップと
からなることを特徴とする方法。 In a public key data communication system, a session key is conveyed between first and second communication terminals, and a common key for communicating information between the communication terminals via a communication channel is set. The first and second communication terminals respectively have first and second secret keys a and b, a generator α and first and second public keys p _A and p _B derived from the secret keys, respectively. And the method comprises:
i) The first random integer x is selected in the first communication terminal, and the first function f (α) including the generator α is generated by generating an exponential function with g (x) as power Providing an exponential function f (α) ^{g (x)} ;
ii) In order to combine the first random integer x and the first secret key a at the first communication terminal, the first random integer x, the first exponential function f (α) ^{g (x)} , Generating a first signature s _A from the first secret key a and holding the first signature as a secret signature belonging to the first communication terminal;
iii) sending a message including the first exponential function f (α) ^{g (x)} from the first communication terminal toward the second communication terminal;
iv) calculating a first session key K from the second public key p _B and the first signature s _{A at} the first communication terminal;
v) In the second communication terminal, using the public key p _A of the first communication terminal and the information in the message, calculating a second session key K ′ corresponding to the first session key K A method characterized by comprising: 請求項２６記載の方法において、第２の通信端末は、第１の指数関数ｆ（α）^ｇ（ｘ）と第２の通信端末の秘密鍵ｂとを組み合わせることにより、第２のセッション鍵Ｋ’を生成することを特徴とする方法。 27. The method according to claim 26, wherein the second communication terminal combines the first exponential function f (α) ^{g (x)} and the second communication terminal's private key b to obtain the second session key K. A method characterized by generating '. 請求項２６又は２７記載の方法において、第１の通信端末は、第２の通信端末の第２の公開鍵ｐ_Ｂの関数を第１の署名ｓ_Ａの関数で指数化することにより、セッション鍵Ｋを計算することを特徴とする方法。 According to claim 26 or 27 method wherein the first communication terminal, by indexing the second function of the public key p _B of the second communication terminal a function of the first signature s _A, a session key A method characterized by calculating K. 請求項２６〜２８いずれかに記載の方法において、第１の通信端末の第１の署名ｓ_Ａは、ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）であり、第２のセッション鍵Ｋ’は、Ｋ’＝（ｒ_Ａ（ｐ_Ａ）^{−ｒＡ・ｐＡ}）^ｂであることを特徴とする方法。 The method according to any one of claims 26 to 28, the first signature _{s A} of the first communication terminal is a ^{_{x-r A aα a mod (}} p-1), the second session key K 'is , K ′ = (r _A (p _A ) ^{−rA · pA} ) ^b . 通信チャネル（１４）を介して第１及び第２の通信端末の間で情報を交換することを可能にするために、公開鍵通信システムにおいて、第１及び第２の通信端末の間でセッション鍵Ｋを搬送する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元αとこれら秘密鍵とからそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ａ）第１の通信端末において、第１のランダム整数ｘが選択され、該ランダム整数ｘと生成元αとから第１の値ｒ_Ａを計算するステップと、
ｂ）第１の通信端末において、第１のランダム整数ｘと、第１の値ｒ_Ａと、第１の秘密鍵ａとから第１の署名ｓ_Ａを生成して、第１のランダム整数及び第１の秘密鍵ａを組み合わせるステップと、
ｃ）第１の通信端末において、第１のランダム整数ｘと第２の通信端末に属する公開情報とから、第２の通信端末によって計算可能であるセッション鍵Ｋを計算するステップと、
ｄ）第１の通信端末から、第２の通信端子に向けて、第１の値ｒ_Ａ及び第１の署名ｓ_Ａを含むメッセージを送るステップと
からなることを特徴とする方法。 A session key between the first and second communication terminals in a public key communication system in order to be able to exchange information between the first and second communication terminals via a communication channel (14). The first and second communication terminals are respectively the first and second secret keys a and b, the generator α, and the secret keys derived from the secret keys, respectively. Two public keys p _A and p _B , the method comprising:
a) selecting a first random integer x at the first communication terminal and calculating a first value r _A from the random integer x and the generator α;
b) In the first communication terminal, a first signature s _A is generated from the first random integer x, the first value r _A and the first secret key a, and the first random integer and Combining the first secret key a;
c) calculating a session key K that can be calculated by the second communication terminal from the first random integer x and the public information belonging to the second communication terminal in the first communication terminal;
d) sending a message including the first value r _A and the first signature s _A from the first communication terminal towards the second communication terminal. 請求項３０記載の方法において、第１の通信端末が、第２の通信端末からランダム・ビット・ストリングｋを受信するステップを備え、該ステップは、セッション鍵Ｋと該セッション鍵Ｋで排他的論理和されたビット・ストリングｋとでメッセージを暗号化して、メッセージを暗号化するための短命鍵（ｋ＋Ｋ）を設定する前に、実行されることを特徴とする方法。 31. The method of claim 30, comprising the step of the first communication terminal receiving a random bit string k from the second communication terminal, the step comprising exclusive logic with the session key K and the session key K. A method which is performed before encrypting a message with a summed bit string k and setting a short-lived key (k + K) for encrypting the message. 通信チャネル（１４）を介して第１及び第２の通信端末の間で情報を交換することを可能にするために、公開鍵通信システムにおいて、第１及び第２の通信端末の間でセッション鍵Ｋを搬送する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元αとこれら秘密鍵とからそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ａ）第２の通信端末において、第１の通信端末から、第１の値ｒ_Ａと第１の署名ｓ_Ａとを受信するステップであって、第１の値ｒ_Ａは、第１の通信端末において、第１のランダム整数ｘと生成元αとから計算され、第１の署名ｓ_Ａは、第１の通信端末において、第１のランダム整数ｘと、第１の値ｒ_Ａと、第１の秘密鍵ａとから生成されたものである、ステップと、
ｂ）第２の通信端末において、生成元、第１の署名ｓ_Ａ、第１の値ｒ_Ａ、及び第１の通信端末に属する公開鍵を用いて生成された値が、第１の通信端末から受信した第１の値ｒ_Ａと等しいかどうかを判定するステップと、
ｃ）第２の通信端末において、該通信端末に属する秘密情報と第１の値ｒ_Ａとからセッション鍵Ｋを計算するステップであって、該通信端末に属する秘密情報は、該通信端末に属する公開情報に関連しており、セッション鍵Ｋは、第１の通信端末においても計算可能である、ステップと
からなることを特徴とする方法。 A session key between the first and second communication terminals in a public key communication system in order to be able to exchange information between the first and second communication terminals via a communication channel (14). The first and second communication terminals are respectively the first and second secret keys a and b, the generator α, and the secret keys derived from the secret keys, respectively. Two public keys p _A and p _B , the method comprising:
a) In the second communication terminal, a step of receiving a first value r _A and a first signature s _A from the first communication terminal, wherein the first value r _A is the first communication At the terminal, it is calculated from the first random integer x and the generator α, and the first signature s _A is obtained at the first communication terminal by the first random integer x, the first value r _A , A step generated from one private key a;
b) In the second communication terminal, the value generated using the generation source, the first signature s _A , the first value r _A , and the public key belonging to the first communication terminal is the first communication terminal. Determining whether it is equal to a first value r _A received from:
c) calculating a session key K from the secret information belonging to the communication terminal and the first value r _{A in the} second communication terminal, the secret information belonging to the communication terminal belonging to the communication terminal A method comprising the steps of relating to public information, wherein the session key K is also calculable at the first communication terminal. 請求項３２記載の方法において、第２の通信端末が、第１の通信端末にランダム・ビット・ストリングｋを送信するステップを備え、該ステップは、セッション鍵Ｋと該セッション鍵Ｋで排他的論理和されたビット・ストリングｋとでメッセージを暗号化して、メッセージを暗号化するための短命鍵（ｋ＋Ｋ）を設定する前に、実行されることを特徴とする方法。 33. The method of claim 32, comprising the step of the second communication terminal transmitting a random bit string k to the first communication terminal, the step comprising exclusive logic with the session key K and the session key K. A method which is performed before encrypting a message with a summed bit string k and setting a short-lived key (k + K) for encrypting the message. 請求項３０〜３３いずれかに記載の方法において、第１の値ｒ_Ａは、生成元αを含む関数ｆ（α）を第１のランダム整数ｘをベキとする指数関数とすることにより計算されることを特徴とする方法。 The method according to any one of claims 30 to 33, the first value r _A, is a function f (alpha) containing the origin alpha calculated by an exponential function to a power of the first random integer x A method characterized by that. 請求項３４記載の方法において、生成元αを含む関数ｆ（α）は、生成元αそのものであることを特徴とする方法。 35. The method according to claim 34, wherein the function f (α) including the generator α is the generator α itself. 請求項３０〜３５いずれかに記載の方法において、第１の署名ｓ_Ａは、ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）であることを特徴とする方法。 36. The method according to any one of claims 30 to 35, wherein the first signature s _A is xr _A aα ^a mod (p−1). 請求項３２〜３６いずれかに記載の方法において、第２の通信端末に属する公開情報は、第２の公開鍵ｐ_Ｂであり、第１の通信端末に属する公開情報は、第１の公開鍵ｐ_Ａであり、第２の通信端末に属する秘密情報は、第２の秘密鍵ｂであることを特徴とする方法。 The method according to any one of claims 32 to 36, public information belonging to the second communication terminal is the second public key p _B, public information belonging to the first communication terminal, a first public key p _A and the secret information belonging to the second communication terminal is the second secret key b. 請求項３２、３３又は３７記載の方法において、第２の通信端末によって生成され判定された値は、α^ｓＡ（ｐ_Ａ）^{ｒＡ・αａ}であることを特徴とする方法。 According to claim 32, 33 or 37 the method described, the values that were generated determined by the second telecommunication terminal, a method which is a ^{_{α sA (p A) rA ·}} αa. 請求項３８記載の方法において、第２の通信端末によって計算されたセッション鍵Ｋは、（ｒ_Ｂ）^ｂであることを特徴とする方法。 39. The method of claim 38, wherein the session key K calculated by the second communication terminal is (r _B ) ^b . 公開鍵データ通信システムにおいて、第１及び第２の通信端末間でセッション鍵を搬送して、これら通信端末の間で通信チャネルを介して情報を通信するための共通鍵を設定する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元α及びこれら秘密鍵からそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ｉ）第１の通信端末において、第１のランダム整数ｘが選択され、生成元αを含む第１の関数ｆ（α）のｇ（ｘ）をベキとする指数関数を作ることにより、第１の指数関数ｆ（α）^ｇ（ｘ）を提供するステップと、
ｉｉ）第１の通信端末において、第１のランダム整数ｘと第１の機密鍵ａとを組み合わせるために、第１のランダム整数ｘ、第１の指数関数ｆ（α）^ｇ（ｘ）、及び第１の秘密鍵ａから第１の署名ｓ_Ａを生成して、該第１の署名を該第１の通信端末に属する秘密の署名として保持するステップと、
ｉｉｉ）第１の通信端末から、第２の通信端子に向けて、第１の指数関数ｆ（α）^ｇ（ｘ）を含むメッセージを送るステップと、
ｉｖ）第１の通信端末において、第２の公開鍵ｐ_Ｂと第１の署名ｓ_Ａとからセッション鍵Ｋを計算するステップであって、該セッション鍵Ｋは、第２の通信端末においても、第１の公開鍵ｐＡとメッセージ中の情報とを用いて計算可能である、ステップと
からなることを特徴とする方法。 In a public key data communication system, a session key is conveyed between first and second communication terminals, and a common key for communicating information between the communication terminals via a communication channel is set. The first and second communication terminals respectively have first and second secret keys a and b, a generator α and first and second public keys p _A and p _B derived from the secret keys, respectively. And the method comprises:
i) In the first communication terminal, the first random integer x is selected, and the first function f (α) including the generator α is generated by generating an exponential function with g (x) as a power. Providing an exponential function f (α) ^{g (x)} of:
ii) In the first communication terminal, in order to combine the first random integer x and the first secret key a, the first random integer x, the first exponential function f (α) ^{g (x)} , and Generating a first signature s _A from a first secret key a and holding the first signature as a secret signature belonging to the first communication terminal;
iii) sending a message including the first exponential function f (α) ^{g (x)} from the first communication terminal toward the second communication terminal;
iv) calculating a session key K from the second public key p _B and the first signature s _{A in} the first communication terminal, the session key K being also in the second communication terminal A method comprising steps that can be calculated using the first public key pA and the information in the message. 請求項４０記載の方法において、第１の通信端末は、セッション鍵Ｋを、第２の公開鍵ｐ_Ｂの関数を第１の署名ｓ_Ａで指数化することにより計算することを特徴とする方法。 The method of claim 40, wherein, the first communication terminal, wherein the calculating by the session key K, to indexed a function of a second public key p _B in the first signature s _A . 請求項４０又は４１記載の方法において、第１の署名ｓ_Ａは、ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）であることを特徴とする方法。 According to claim 40 or 41 method described, the first signature _{s A,} wherein the a ^{_{x-r A aα a mod (}} p-1). 公開鍵データ通信システムにおいて、第１及び第２の通信端末間でセッション鍵を搬送して、これら通信端末の間で通信チャネルを介して情報を通信するための共通鍵を設定する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元α及びこれら秘密鍵からそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ｉ）第２の通信端末において、第１の通信端末から、第１の値ｒ_Ａを含んでいるメッセージを受信するステップであって、第１の値ｒ_Ａは、第１の通信端末において、第１のランダム整数ｘと生成元αとから計算されたものである、ステップと、
ｉｉ）第２の通信端末において、第１の値ｒ_Ａ、第１の公開鍵ｐ_Ａ、該通信端末に属する秘密情報から、セッション鍵Ｋを計算するステップであって、該通信端末に属する秘密情報は、該通信端末に属する公開情報に関連しており、セッション鍵は、第１の通信端末においても、第２の公開鍵ｐ_Ｂを用いて計算可能である、ステップと
からなることを特徴とする方法。 In a public key data communication system, a session key is conveyed between first and second communication terminals, and a common key for communicating information between the communication terminals via a communication channel is set. The first and second communication terminals respectively have first and second secret keys a and b, a generator α and first and second public keys p _A and p _B derived from the secret keys, respectively. And the method comprises:
In i) a second communications terminal from the first communication terminal, comprising: receiving a message containing a first value r _A, the first value r _A, in the first communication terminal, A step calculated from the first random integer x and the generator α,
ii) In the second communication terminal, a step of calculating a session key K from the first value r _A , the first public key p _A , and secret information belonging to the communication terminal, the secret belonging to the communication terminal The information relates to public information belonging to the communication terminal, and the session key includes steps that can be calculated using the second public key p _B even in the first communication terminal. And how to. 請求項４３記載の方法において、第２の通信端末に属する秘密情報は、第２の秘密鍵ｂであり、第２の通信端末に属する公開情報は、第２の公開情報ｐ_Ｂであることを特徴とする方法。 The method of claim 43, the secret information belonging to the second communication terminal is the second private key b, and that the public information belonging to the second communication terminal is the second public information p _B Feature method. 請求項４３又は４４記載の方法において、第２の通信端末は、セッション鍵Ｋを、Ｋ＝（ｒ_Ａ（ｐ_Ａ）^{−ｒＡ・ｐＡ}）^ｂによって計算することを特徴とする方法。 The method of claim 43 or 44, wherein the second communication terminal, wherein the calculating a session key _K, by ^{_{K = (r A (p A}} ) -rA · pA) b. 公開鍵暗号化を採用しているデータ通信システムにおいて、第１及び第２の通信端末間で鍵を搬送して、これら通信端末の間で通信チャネルを介して情報を通信するための共通鍵を設定する方法であって、第１及び第２の通信端末はそれぞれ、第１及び第２の秘密鍵ａ及びｂと、生成元α及びこれら秘密鍵からそれぞれ導かれた第１及び第２の公開鍵ｐ_Ａ及びｐ_Ｂと、を有しており、該方法は、
ｉ）第１の通信端末において、第１のランダム整数ｘが選択され、生成元αを含む第１の関数ｆ（α）のｇ（ｘ）をベキとする指数関数を作ることにより、第１の指数関数ｆ（α）^ｇ（ｘ）を提供するステップと、
ｉｉ）第１の通信端末において、第１のランダム整数ｘと第１の秘密鍵ａとを組み合わせるために、第１のランダム整数ｘ、第１の指数関数ｆ（α）^ｇ（ｘ）、及び第１の秘密鍵ａから第１の署名ｓ_Ａを生成するステップと、
ｉｉｉ）第１の通信端末において、第２の通信端末に、第１の指数関数ｆ（α）^ｇ（ｘ）を送信するステップと、
ｉｖ）第１の通信端末において、第２の通信端末から、第２の指数関数ｆ’（α）^ｇ（ｙ）を含んでいる情報を受信するステップであって、第２の指数関数ｆ’（α）^ｇ（ｙ）は、第２の通信端末において、第２のランダム整数ｙが選択され、生成元αを含む関数ｆ’（α）のｇ（ｙ）をベキとする指数関数を作ることにより生成されたものである、ステップと、
ｖ）第１の通信端末において、第２の通信端末によって公開された情報を、第１の通信端末に属する秘密情報で指数化することによって、セッション鍵Ｋを構築するステップであって、第１の通信端末によって構築されたセッション鍵Ｋは、第２の通信端末においても、第１の通信端末によって公開された情報を、第２の通信端末に属する秘密情報で指数化することにより計算可能である、ステップと
からなることを特徴とする方法。 In a data communication system adopting public key encryption, a common key for carrying a key between the first and second communication terminals and communicating information between the communication terminals via a communication channel is provided. The first and second communication terminals are respectively a first and second secret keys a and b, a generator α and first and second public keys derived from these secret keys, respectively. Keys p _A and p _B , the method comprising:
i) In the first communication terminal, the first random integer x is selected, and the first function f (α) including the generator α is generated by generating an exponential function with g (x) as a power. Providing an exponential function f (α) ^{g (x)} of:
ii) In the first communication terminal, in order to combine the first random integer x and the first secret key a, the first random integer x, the first exponential function f (α) ^{g (x)} , and Generating a first signature s _A from a first private key a;
iii) In the first communication terminal, transmitting the first exponential function f (α) ^{g (x)} to the second communication terminal;
iv) In the first communication terminal, receiving the information including the second exponential function f ′ (α) ^{g (y)} from the second communication terminal, the second exponential function f ′ (Α) ^{g (y)} is an exponential function in which the second random integer y is selected in the second communication terminal, and ^{g (y)} of the function f ′ (α) including the generator α is a power. A step that is generated by
v) In the first communication terminal, constructing a session key K by indexing information published by the second communication terminal with secret information belonging to the first communication terminal, The session key K constructed by the communication terminal can be calculated by indexing the information disclosed by the first communication terminal with the secret information belonging to the second communication terminal even in the second communication terminal. A method comprising the steps of: 請求項４６記載の方法において、第１の通信端末から送信されるメッセージは、該通信端末の識別子を含んでおり、第２の通信端末から受信されるメッセージは、該通信端末の識別子を含んでいることを特徴とする方法。 48. The method of claim 46, wherein the message transmitted from the first communication terminal includes an identifier of the communication terminal, and the message received from the second communication terminal includes an identifier of the communication terminal. A method characterized by being. 請求項４６又は４７記載の方法において、生成元を含んでいる関数ｆ（α）は、生成元αそのものであることを特徴とする方法。 48. A method according to claim 46 or 47, wherein the function f (α) containing the generator is the generator α itself. 請求項４６又は４７記載の方法において、生成元を含んでいる関数ｆ（α）は、第２の公開鍵ｐ_Ｂを含んでいることを特徴とする方法。 According to claim 46 or 47 method wherein, function f containing the origin (alpha), a method characterized in that it contains a second public key p _B. 請求項４６、４７又は４８記載の方法において、第１の通信端末の第１の署名ｓ_Ａは、ｘ−ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）であることを特徴とする方法。 According to claim 46, 47 or 48 the method described, the first signature _{s A} of the first communication terminal, wherein the a ^{_{x-r A aα a mod (}} p-1). 請求項４６、４７又は４９記載の方法において、第１の通信端末の第１の署名ｓ_Ａは、ｘ＋ａα^ａ（ｐ_Ｂ）^ｘ ｍｏｄ （ｐ−１）であることを特徴とする方法。 According to claim 46, 47 or 49 the method described, the first signature _{s A} of the first communication terminal, wherein the a ^{_{x + aα a (p B)}} x mod (p-1). 請求項４６〜４８いずれかに記載の方法において、第１の通信端末の第１の署名ｓ_Ａは、ｘｒ_ｘ１−（ｒ_Ａ）^ｒｘ１ａα^ａ ｍｏｄ （ｐ−１）であり、ｘ_１は、第１の通信端末によって選択された第２のランダム整数であり、ｒ_ｘ１＝α^ｘ１であることを特徴とする方法。 49. The method according to any one of claims 46 to 48, wherein the first signature s _A of the first communication terminal is xr _x1 − (r _A ) ^rx1 aα ^a mod (p−1), where x ₁ is A second random integer selected by the first communication terminal, wherein r _x1 = α ^x1 . 請求項４６〜４９いずれかに記載の方法において、第１の通信端末において、第３のランダム整数ｘ_１を選択し、第２の通信端末に、ｒ_Ａ１＝α^ｘ１なるｒ_Ａ１を送信し、第１の通信端末において、第２の通信端末から、ｒ_Ｂ１＝α^ｙ１なるｒ_Ｂ１を受信し、ｙ_１は、第２の通信端末によって選択された第４のランダム整数であり、第１の通信端末が、α^ｘｙ及びα^{ｘ１・ｙ１}にそれぞれ等しい一対の鍵ｋ_１及びｋ_２を計算し、セッション鍵がｋ_１及びｋ_２の排他的論理和によって生成されることを特徴とする方法。 The method according to any one of claims 46 to 49, in the first communication terminal, selects a third random integer _{x 1} of the second communication _terminal, transmits a _{r A1} = _α ^x1 becomes _{r A1,} The first communication terminal receives r _{B1 such} that r _B1 = α ^y1 from the second communication terminal, where y ₁ is a fourth random integer selected by the second communication terminal, A method wherein the communication terminal calculates a pair of keys k ₁ and k ₂ equal to α ^xy and α ^{x1 · y1} , respectively, and the session key is generated by exclusive OR of k ₁ and k ₂ . 請求項４６〜５３いずれかに記載の方法において、第１の通信端末によって受信されたメッセージは、第２の通信端末によって生成された署名ｓ_Ｂを含んでいることを特徴とする方法。 The method according to any one of claims 46 to 53, the message received by the first communication terminal, a method characterized in that it contains a signature s _B generated by the second communication terminal. 請求項５４記載の方法において、該方法はさらに、第１の通信端末において、第２の署名ｓ_Ｂ及び第２の指数関数ｆ’（α）^ｇ（ｙ）から該第２の指数関数ｆ’（α）^ｇ（ｙ）に等しい値を計算し、該計算された値を第２の指数関数ｆ’（α）^ｇ（ｙ）と対比することによって、第２の通信端末から受信したメッセージの完全性（インテグリティ）の有効性を評価することにより、セッション鍵を正規なものとして認証するステップを含んでいることを特徴とする方法。 55. The method of claim 54, further comprising, at a first communication terminal, from a second signature s _B and a second exponential function f ′ (α) ^{g (y)} to the second exponential function f ′. (Α) By calculating a value equal to ^{g (y)} and comparing the calculated value with the second exponential function f ′ (α) ^{g (y)} , the message received from the second communication terminal A method comprising authenticating a session key as authentic by evaluating the validity of integrity. 請求項４６〜４９いずれかに記載の方法において、第１の署名ｓ_Ａは、第１の指数関数ｆ（α）^ｇ（ｘ）から得られた整数ｒ_ａ＊を用いて生成されることを特徴とする方法。 The method according to any one of claims 46 to 49, the first signature _{s A,} that is generated using the integer _{r a} * obtained from the first exponential function f ^{(α) g (x)} Feature method. 請求項５６記載の方法において、第２の通信端末によって公開された情報は、第２の公開鍵ｐ_Ｂ、第１の指数関数ｆ（α）^ｇ（ｘ）、第２の通信端末の整数ｒ_ｂ＊を組み合わせたものであることを特徴とする方法。 57. The method according to claim 56, wherein the information disclosed by the second communication terminal includes a second public key p _B , a first exponential function f (α) ^{g (x)} , an integer r of the second communication terminal. A method characterized by combining _b *. 請求項５７記載の方法において、生成元αは、乗法群Ｚ_ｐ ^＊（ｐは素数）の要素であることを特徴とする方法。 7. The method of claim 57, wherein, the originator alpha, ^{(the p} to prime) multiplicative group Z _{p *,} characterized in that an element of. 請求項５６〜５８いずれかに記載の方法において、第１の署名ｓ_Ａは、ｓ_Ａ＝ｘ＋（ｒ_ａ＊）ａ ｍｏｄ （ｎ−１）であることを特徴とする方法。 The method according to any one of claims 56 to 58, the first signature _{s A,} a method which is a _{s A = x + (r a} *) a mod (n-1). 請求項５９記載の方法において、セッション鍵Ｋは、Ｋ＝（α^ｙ（α^ｂ）^ｒｂ＊）^ｓＡ ｍｏｄ ｐであることを特徴とする方法。 ^60. The method of claim 59, wherein the session key K is K = ([alpha] ^y ([alpha] ^b ) ^{rb *} ) ^sA mod p. 請求項５６〜６０いずれかに記載の方法において、生成元αは、ｐを素数とする乗法群Ｚ_ｐ ^＊の位数ｑ（ｑは素除数）の部分群の要素であることを特徴とする方法。 The method according to any one of claims 56 to 60, the origin alpha, (the q-containing divisor) multiplicative group Z _p ^* of order q of a prime number p-characterized in that it is a component of a subgroup of Method. 請求項５６又は５７記載の方法において、生成元αは、有限体Ｆｑ上で定義される楕円曲線上の位数ｎの点Ｐであり、該楕円曲線上のスカラ乗算によって、累乗が実行されることを特徴とする方法。 58. The method according to claim 56 or 57, wherein the generator α is a point P of order n on an elliptic curve defined on a finite field Fq, and a power is executed by scalar multiplication on the elliptic curve. A method characterized by that. 請求項６２記載の方法において、整数ｒ_ａ＊は、第１の指数関数ｆ（α）^ｇ（ｘ）の座標のビット・ストリングスであることを特徴とする方法。 63. The method of claim 62, wherein the integer r _a * is a bit string of coordinates of the first exponential function f (α) ^{g (x)} . 請求項６２又は６３記載の方法において、第１の署名ｓ_Ａは、
ｓ_Ａ＝（ｘ＋（ｒ_ａ＊）ａ） ｍｏｄ ｎ
であることを特徴とする方法。 The method of claim 62 or 63, wherein, the first signature _{s A,}
s _A = (x + (r _a *) a) mod n
A method characterized in that 請求項６４記載の方法において、第１の通信端末において、セッション鍵Ｋは、
Ｋ＝ｓ_ｂ（ｒ_ａ＋（ｒ_ａ＊）Ｐ_ａ）
によって計算されることを特徴とする方法。 65. The method of claim 64, wherein the session key K at the first communication terminal is:
K = s _b (r _a + (r _a *) P _a )
A method characterized by being calculated by: 請求項４６〜４８いずれかに記載の方法において、第１の通信端末が、第１の署名ｓ_Ａを自身に属する秘密のものとして保持することを特徴とする方法。 The method according to any one of claims 46 to 48, the first communication terminal, wherein the holding as a secret belonging to the first signature s _A to itself. 請求項６６記載の方法において、第１の署名ｓ_Ａは、
ｓ_Ａ＝ｘ＋ｒ_Ａａα^ａ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 The method of claim 66, the first signature _{s A,}
s _A = x + r _A aα ^a mod (p−1)
A method characterized in that 請求項６６記載の方法において、第１の署名ｓ_Ａは、
ｓ_Ａ＝ｘ＋ａ（ｐ_Ｂ）^ｘ ｍｏｄ （ｐ−１）
であることを特徴とする方法。 The method of claim 66, the first signature _{s A,}
s _A = x + a (p _B ) ^x mod (p−1)
A method characterized in that 請求項６６記載の方法において、第１の署名ｓ_Ａは、ｓ_Ａ＝ｘｒ_Ａ＋ａα^ａ
であることを特徴とする方法。 The method of claim 66, the first signature _{s A, s A = xr A} + aα a
A method characterized in that 請求項６６記載の方法において、第１の署名ｓ_Ａは、ｓ_Ａ＝ｘα^ａ＋ａｒ_Ａであることを特徴とする方法。 68. The method of claim 66, wherein the first signature s _A is s _A = xα ^a + ar _A. 請求項１〜７０いずれかに記載の方法を実行することを特徴とするシステム。 A system for performing the method according to any one of claims 1 to 70. コンピュータにより読み取り可能な記憶媒体であって、請求項１〜７０いずれかに記載の方法を実行するためのプログラムを記憶したことを特徴とする記憶媒体。 A computer-readable storage medium storing a program for executing the method according to any one of claims 1 to 70.

Images