JP3074168B1 - 排他的鍵共有法 - Google Patents

排他的鍵共有法

Info

Publication number
JP3074168B1
JP3074168B1 JP11062247A JP6224799A JP3074168B1 JP 3074168 B1 JP3074168 B1 JP 3074168B1 JP 11062247 A JP11062247 A JP 11062247A JP 6224799 A JP6224799 A JP 6224799A JP 3074168 B1 JP3074168 B1 JP 3074168B1
Authority
JP
Japan
Prior art keywords
modp
terminal
modq
information
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
JP11062247A
Other languages
English (en)
Other versions
JP2000261425A (ja
Inventor
潤 安齋
なつめ 松崎
勉 松本
Original Assignee
株式会社高度移動通信セキュリティ技術研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社高度移動通信セキュリティ技術研究所 filed Critical 株式会社高度移動通信セキュリティ技術研究所
Priority to JP11062247A priority Critical patent/JP3074168B1/ja
Priority to US09/622,941 priority patent/US6813357B1/en
Priority to PCT/JP1999/007234 priority patent/WO2000039957A1/ja
Priority to EP99961331A priority patent/EP1059762B1/en
Priority to DE69940842T priority patent/DE69940842D1/de
Application granted granted Critical
Publication of JP3074168B1 publication Critical patent/JP3074168B1/ja
Publication of JP2000261425A publication Critical patent/JP2000261425A/ja
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Landscapes

  • Mobile Radio Communication Systems (AREA)

Abstract

【要約】 【課題】 特定の端末だけを排除して他の端末で分配鍵
情報を共有する。 【解決手段】 ６台の端末からなる同報通信が可能な通
信システムにおいて、各端末は、秘密情報Ｓiを秘密に
保持する。議長端末は、共有鍵Ｋを求め、排除情報Ｃ
2、署名Ｚを計算し、署名Ｚを排除情報Ｃ2と特定端末番
号と自身の端末番号φと共に全端末に同報通信する。各
端末は、議長端末の公開情報を用いてＣ1を求める。署
名者が確かに議長端末φであり、かつ署名Ｚと排除情報
Ｃ2と特定端末番号と議長端末の端末番号φが改ざんさ
れていなければ、Ｃ1＝ｇk modｐとなる。各端末は、Ｃ
1と排除情報Ｃ2と自身の秘密情報Ｓjを用いて、共有鍵
Ｋを求める。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、基地局と複数端末
からなるスター型通信システムおよびシステム管理者と
複数の端末のみからなる通信システムにおける暗号鍵共
有方法に関し、特に、基地局が特定した端末以外のすべ
ての端末に共通の秘密鍵を安全に配送する鍵共有方法、
および特定の端末のみに共有の秘密鍵を安全に配送する
鍵共有方法に関する。
【０００２】
【従来の技術】基地局が複数の端末を管理するスター型
通信システムにおいて、基地局と傘下の複数の端末がグ
ループを形成し、グループで同じグループ秘密鍵を共有
して同報の暗号通信を行なう場合を考える。グループ秘
密鍵を用いて暗号化された情報は、同じ秘密鍵を保有す
るグル−プ内の端末だけが復号することができる。
【０００３】ところで、このグループから特定の端末を
排除したい場合が生じうる。それは、例えばグループ内
のある端末が盗難にあい、その端末を用いた暗号通信の
盗聴や偽情報の送信などの不正が考えられる場合などで
ある。このとき、この秘密鍵を管理する基地局は、でき
るだけ速やかに、盗難にあった端末を排除してグループ
秘密鍵を更新し、残りの端末だけで新たな秘密鍵を共有
することが必要となる。
【０００４】また、新たにグループを構成する必要が生
じうる。それは、グループ外の端末をグループに加入さ
せる場合や、別のグループの端末を一つのグループにす
る場合などである。このとき、基地局は、できるだけ速
やかに、新規グループの鍵をグループを構成する端末と
共有することが必要となる。
【０００５】図７は、基地局が特定した端末以外で鍵デ
ータを共有するための、第１の従来例における鍵更新方
法を示す。図７では、５個の端末Ｔ1〜Ｔ5が、それぞれ
固有鍵ｋ1〜ｋ5を保持しており、基地局が全端末の固有
鍵を管理している。このとき、例えば基地局が端末Ｔ1
を排除して、他の端末Ｔ2〜Ｔ5に新しい共通の秘密鍵を
配付する場合について説明する。
【０００６】まず、基地局は秘密鍵Ｋを生成し、これを
それぞれｋ2〜ｋ5を鍵として暗号化し、それぞれ端末Ｔ
2〜Ｔ5に配送する。排除される端末Ｔ1以外の各端末Ｔ2
〜Ｔ 5では固有鍵を用いてこれを復号し、秘密鍵Ｋを獲
得する。なお、図７中において、例えばＥｋ2(Ｋ)は、
Ｋを固有鍵ｋ2で暗号化した暗号文である。この通信路
上のデータは、それぞれ端末Ｔ2〜Ｔ5の固有鍵で暗号化
されているため、たとえ端末Ｔ1がこの通信データを盗
聴したとしても、基地局が生成した秘密鍵Ｋを獲得する
ことができない。
【０００７】しかし、この方法では、一般にＮ個の端末
から１つの端末を排除するためには、基地局は(Ｎ−１)
回の暗号化を行ない、(Ｎ−１)個のデータを送信しなく
てはならない。グループが大きくなると、この作業は基
地局にとって非常に負担になる。また、全局更新までは
グループ内の暗号通信等の業務を停止する必要がある
が、(Ｎ−１)局に配り終えるまでの業務停止期間が長い
と大きな問題である。
【０００８】図８は、特公平5-46731号公報に示された
第２の従来例における鍵更新方法である。第２の従来例
では、公開鍵暗号の手法を用いている。図８では、５個
の端末Ｔ1〜Ｔ5が、それぞれ固有の秘密鍵(ｅ1,ｄ1)〜
(ｅ5,ｄ5)を保持している。ここで、各秘密鍵(ｅi,ｄi)
は、 ｅi・ｄi mod(p-1)＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵 ｐ1＝ｇe1 modｐ，・・・，ｐ5＝ｇe5 modｐ を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐiおよびシステム公開の情報ｇ，
ｐから各端末の秘密鍵(ｅi,ｄi)を求めることは、ビッ
ト長を長く取れば離散対数問題に帰着して困難である。
従来例１と同様に、端末Ｔ1を排除する場合、まず、基
地局は乱数Ｒを生成し、鍵 Ｋ＝ｇR modｐ を生成するとともに、これより Ｚ2＝ｐ2 R modｐ，・・・，Ｚ5＝ｐ5 R modｐ を求めて、端末Ｔ1を除いた各Ｔ2〜Ｔ5に配送する。端
末Ｔ1以外の各端末ｉでは、受け取ったＺiと秘密鍵ｄi
を用いて、基地局と共通の更新鍵Ｋ Ｋ＝Ｚi di modｐ(＝(ｐi R)di modｐ＝((ｇei)di)R mod
ｐ＝ｇR modｐ) を獲得する。
【０００９】この方法は、第１の従来例と異なり、基地
局が各端末の秘密鍵を知り得ないため、基地局の不正を
防止できる点で、第１の従来例より安全性が向上してい
る。しかし、これら従来の鍵共有方法では、Ｎ個の端末
から１つの端末を排除するためには、基地局は（Ｎ−
１）回の暗号化を行ない、（Ｎ−１）個のデータを送信
しなくてはならない。例えば、1000個の端末から１個の
端末を排除して、残りの999個の端末で新たな共通の秘
密鍵を共有する場合を考える。このとき、第１および第
２の従来例では、999回の暗号化の処理と999個の暗号文
の送信を行なう必要がある。いずれにしても、基地局側
にとって、これら作業は非常に負担なものとなる。
【００１０】かかる点に鑑み、本発明者は先に、特定の
端末だけを排除して、他の端末で分配鍵情報を共有する
方法、および特定の端末だけで分配鍵情報を共有する方
法であって、次の点を特徴とする鍵共有方法を提案し
た。 （１）基地局から端末または議長端末から端末への通信
量が少ない。 （２）全端末の鍵共有までの業務停止期間が短い。
【００１１】図９に、この第３の従来例の鍵共有方法を
示す。基地局０は、セットアップフェーズにおいて、秘
密鍵Ｓを作成して、秘密に保持する。秘密鍵Ｓを分割し
た秘密情報Ｓiを、各端末１〜５に暗号通信手段を用い
て秘密に配送する。準備フェーズにおいて、基地局０
は、準備情報Ｃ1(＝ｇk modｐ)と排除情報Ｃ2（＝ｙ5 km
odｐ）と暗号文Ｃ3（＝Ｍ×Ｋ modｐ）および特定端末
番号５を全端末に同報通信する。鍵共有フェーズでは、
端末１は、準備情報Ｃ1と、排除情報Ｃ2を用いて、Ｃ1
∧(λ(１,Λ) modｑ) modｐと、Ｃ2∧(λ(５,Λ) mod
ｑ) modｐとの積を計算してＫを得て、暗号文Ｃ3をＫで
除してＭを求めて基地局０との共通データとする。端末
２〜４でも同様に行ない、端末１〜４で共通データＭを
共有することができる。
【００１２】
【発明が解決しようとする課題】しかし、上記第３の従
来例の鍵共有方法では、基地局が真正なものか否かを確
認する手段がないので、不正な無線局が基地局になりす
まして、共通データを改ざんする攻撃などに対して、決
定的な防御方法がないという問題がある。また、単純な
公開鍵方式を利用しているので、第３者による能動的攻
撃が許される場合には、適応的選択暗号文攻撃に弱い可
能性があるという問題がある。
【００１３】本発明は、上記従来の問題を解決し、通信
量を増加させることなく、署名機能を付加することで、
なりすまし攻撃や改ざん攻撃に対して強い鍵共有方法を
実現することを目的とする。また、Cramer-Shoup暗号を
ベースとすることで、適応的選択暗号文攻撃に対して強
い鍵共有方法を実現することを目的とする。
【００１４】
【課題を解決するための手段】上記の課題を解決するた
めに、本発明では、相互に接続されたＮ台（Ｎは２以上
の整数）の端末からなる同報通信が可能な通信システム
の排他的鍵共有法を、秘密鍵をＳとし、ＳおよびＮより
大きい素数または素数のべき数をｐとし、（ｐ−１）の
約数をｑとし、ＧＦ(ｐ)の元をｇとし、議長端末φ（任
意の端末がなることができる）が特定できる特定端末数
をｄ(１≦ｄ＜Ｎ−１)とし、各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、ΛはＮ台の端末の任意の（ｄ＋１）台からなる集
合）を満たす秘密情報Ｓiを秘密に保持しており、シス
テムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、素数ｐと約数ｑと元ｇを利用でき、（１）議長端末
は、零でないＧＦ(ｑ)の元ｋを任意に生成し、ｄ台の特
定端末ｉ 1,…,ｉdの公開情報ｙi1,…,ｙidから、排除情
報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）議長端末は、自身の秘密情報Ｓφを用
いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓφ）＋ｋ modｑ を計算し、署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定端末
番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に同報
通信し、（３）議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、議長
端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2id modｑ) modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
odｐとなる。）を求め、（５）各端末ｊは、Λ＝{ｊ,ｉ
1,…,ｉd }として、λ(ｊ,Λ)とλ(ｉ1,Λ),…,λ(ｉd,
Λ)を求め、Ｃ1と排除情報Ｃ2i1,・・・,Ｃ2idと自身の
秘密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×
Ｃ2i1∧(λ(ｉ1,Λ) modｑ)×・・・×Ｃ2i d∧(λ(ｉd,
Λ) modｑ) modｐを計算することにより、共有鍵Ｋを求
める構成とした。
【００１５】このように構成したことにより、少ない通
信量で、迅速に特定の端末だけを排除して、他の端末で
分配鍵情報を共有すること、および特定の端末だけで分
配鍵情報を共有することができる。
【００１６】
【発明の実施の形態】本発明の請求項１記載の発明は、
相互に接続されたＮ台（Ｎは２以上の整数）の端末から
なる同報通信が可能な通信システムの排他的鍵共有法に
おいて、秘密鍵をＳとし、前記Ｓおよび前記Ｎより大き
い素数または素数のべき数をｐとし、（ｐ−１）の約数
をｑとし、ＧＦ(ｐ)の元をｇとし、議長端末φ（任意の
端末がなることができる）が特定できる特定端末数をｄ
(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
ステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
（１）前記議長端末は、零でないＧＦ(ｑ)の元ｋを任意
に生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,
…,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、自身の秘密情報Ｓφ
を用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓφ）＋ｋ modｑ を計算し、前記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2id modｑ) modｐ
（署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
odｐとなる。）を求め、（５）前記各端末ｊは、Λ＝
{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ)とλ(ｉ1,Λ),…,λ
(ｉd,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2i1,・・・,
Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ
(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) modｑ)×・・・
×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計算することに
より、共有鍵Ｋを求める排他的鍵共有法であり、各端末
が署名を検証して正しいデータであることを確認してか
ら、特定端末以外の端末で鍵共有を可能とするという作
用を有する。
【００１７】本発明の請求項２記載の発明は、請求項１
記載の排他的鍵共有法において、相互に接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有法において、秘密鍵をＳと
し、前記Ｓおよび前記Ｎより大きい素数または素数のべ
き数をｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の
元をｇとし、議長端末φ（任意の端末がなることができ
る）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)と
し、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
ステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、ハッシュ関数hash( )と前記素数ｐと前記約数ｑと
前記元ｇを利用でき、（１）前記議長端末は、零でない
ＧＦ(ｑ)の元ｋを任意に生成し、ｄ台の特定端末ｉ1,
…,ｉdの公開情報ｙi1,…,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、前記ハッシュ関数ha
sh( )を用いて前記排除情報Ｃ2i1,…,Ｃ2idを圧縮した
ハッシュ値 Ｈ＝hash(Ｃ2i1,…,Ｃ2id) を求め、（３）前記議長端末は、自身の秘密情報Ｓφを
用いて署名 Ｚ＝Ｈ×(−Ｓφ)＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
同報通信し、（４）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
前記ハッシュ関数hash( )を用いて前記排除情報Ｃ2i1,
…,Ｃ2idを圧縮したハッシュ値Ｈ'を求め、（６）前記
各端末ｊは、議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφH' modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
odｐかつＨ'＝Ｈとなる。）を求め、（７）前記各端末
ｊは、Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ)とλ
(ｉ1,Λ),…,λ(ｉd,Λ)を求め、前記Ｃ1と前記排除情
報Ｃ2i1,・・・,Ｃ2idと自身の秘密情報Ｓjを用いて、
Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) mo
dｑ) ×・・・×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計
算することにより、共有鍵Ｋを求めるものであり、排除
情報の増加による議長端末の演算量を削減しつつ、各端
末が署名を検証して正しいデータであることを確認して
から、特定端末以外の端末で鍵共有を可能とするという
作用を有する。
【００１８】本発明の請求項３記載の発明は、請求項１
および２記載の排他的鍵共有法において、相互に接続さ
れたＮ台（Ｎは２以上の整数）の端末からなる同報通信
が可能な通信システムの排他的鍵共有法において、秘密
鍵をＳとし、前記Ｓおよび前記Ｎより大きい素数または
素数のべき数をｐとし、（ｐ−１）の約数をｑとし、Ｇ
Ｆ(ｐ)の元をｇとし、議長端末φ（任意の端末がなるこ
とができる）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ
−１)とし、鍵共有時に実際に前記議長端末が特定する
端末数（以下、実際特定端末数という）Ｄを、前記特定
端末数ｄより小さい１以上の数とし、前記各端末ｉ(１
≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報Ｓiを秘密に保持しており、 ＳN+1＝Ｓ＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mod
ｑ，・・・，ＳN+d-1＝Ｓ＋ｆ1×(Ｎ＋ｄ−１)1＋…＋
ｆd×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報ＳN+1,…,Ｓ
N+d-1と、前記秘密情報Ｓ 1,・・・,ＳNより求めた公開
情報 ｙ1＝ｇS1 modｐ,・・・,ｙN＝ｇSN modｐ，ｙN+1＝ｇ
SN+1 modｐ,・・・,ｙN+d-1＝ｇSN+d-1 modｐ と、システムの公開鍵 ｙ＝ｇS modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
（１）前記議長端末は、前記Ｄ台の特定端末ｉ1,…,ｉD
の公開情報ｙi1,…,ｙiDと前記公開情報ｙN+1,…,ｙ
N+d-1の内任意のｖ(＝ｄ−Ｄ)個の公開情報ｙb1,…,ｙ
bvとから、排除情報 Ｃ2i1＝ｙi1 k modｐ,・・・,Ｃ2iD＝ｙiD k modｐ,Ｃ2b1
＝ｙb1 k modｐ,・・・,Ｃ2bv＝ｙbv k modｐ （ｋは零でないＧＦ(ｑ)の元）を計算し、（２）前記議
長端末は、自身の秘密情報Ｓφを用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2iD×Ｃ2b1×・・・×Ｃ2bv×
(−Ｓφ)＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2iD,Ｃ
2b1,…,Ｃ2bvと特定端末番号ｉ1,…,ｉDと前記公開情報
ｙb1,…,ｙbvに対応した端末番号ｂ1,…,ｂvと自身の端
末番号φと共に全端末に同報通信し、（３）前記議長
は、前記特定端末ｉ1,…,ｉDを除く全ての端末ｊ(ｊ≠
ｉ1,…,ｉ D,ｂ1,…,ｂv,φ)との共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉD,ｂ1,…,
ｂv,φ)は、議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2iD×Ｃ2b1×・・
・×Ｃ2bv modｑ) modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2iD,Ｃ2 b1,…,Ｃ2bvと特定端末番号
ｉ1,…,ｉDと前記公開情報ｙb1,…,ｙbvに対応した端末
番号ｂ1,…,ｂvと議長端末の端末番号φが改ざんされて
いなければ、Ｃ1＝ｇk modｐとなる。）を求め、（５）
前記各端末ｊは、Λ＝{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}とし
て、λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｂ1,Λ),
…,λ(ｂv,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2i1,
…,Ｃ2iD,Ｃ2b1,…,Ｃ2bvと自身の前記秘密情報Ｓjを用
いて、べき乗剰余値Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)と、
べき乗剰余値Ｃ2i1∧(λ(ｉ1,Λ) modｑ),…,Ｃ2iD∧
(λ(ｉD,Λ) modｑ)×Ｃ2b1∧(λ(ｂ1,Λ) modｑ),…,
Ｃ2bv∧(λ(ｂv,Λ) modｑ)との法ｐ上での積Ｃ1∧(Ｓj
×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ)modｑ)×…×
Ｃ2iD∧(λ(ｉD,Λ) modｑ)×Ｃ2b1∧(λ(ｂ1,Λ) mod
ｑ)×…×Ｃ2b v∧(λ(ｂv,Λ) modｑ) modｐを計算する
ことにより、前記基地局との共有鍵Ｋを求めるものであ
り、予め特定端末数ｄを決定しておいても実際の特定端
末数Ｄの特定端末ｉ1,…,ｉDを除いた端末で鍵共有を行
なうことを可能とするという作用を有する。
【００１９】本発明の請求項４記載の発明は、請求項１
および２記載の排他的鍵共有法において、前記議長端末
は、秘密鍵Ｓを任意の整数θ個の特定端末数ｄ1,…,ｄ
θに対してそれぞれ分割したθ組の秘密情報より作成さ
れた公開情報を利用でき、一方、前記端末は各組の中か
ら自身の端末番号に対応したθ個の秘密情報を保持して
おき、前記特定端末を排除した鍵共有を行う場合には、
前記議長端末および前記端末ｊが、前記実際特定端末数
Ｄと等しい前記特定端末数ｄw(１≦ｗ≦θ)を前記ｄ1,
…,ｄθより選択し、前記議長端末は選択された特定端
末数ｄwに対応した１組の前記公開情報を用いて前記署
名と前記排除情報と特定端末番号と自身の端末番号を同
報通信し、端末との共有鍵Ｋを求め、一方前記端末ｊは
署名を検証し、ｄwに対応した秘密情報を用いて議長端
末との共有鍵Ｋを求めるものであり、実際の特定端末数
Ｄの端末を除いた端末で鍵共有を行なうことを可能とす
るという作用を有する。
【００２０】本発明の請求項５記載の発明は、請求項１
および２記載の排他的鍵共有法において、基地局と基地
局に接続されたＮ台（Ｎは２以上の整数）の端末からな
る同報通信が可能な通信システムの排他的鍵共有法にお
いて、秘密鍵をＳとし、前記Ｓおよび前記Ｎより大きい
素数または素数のべき数をｐとし、（ｐ−１）の約数を
ｑとし、ＧＦ(ｐ)の元をｇとし、特定端末数をｄ(１≦
ｄ＜Ｎ−１)とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報Ｓiを秘密に保持しており、基
地局μは、全ての前記秘密情報Ｓiを秘密に保持してお
り、前記各端末ｉと前記基地局μは、基地局の公開情報 ｙμ＝ｇSμ modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
（１）前記基地局は、零でないＧＦ(ｑ)の元ｋを任意に
生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,…,
ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記基地局は、自身の秘密情報Ｓμを
用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×(−Ｓμ)＋ｋ modｑ を計算し、前記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
端末番号ｉ1,…,ｉdと共に全端末に同報通信し、（３）
前記基地局は、共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
議長端末の公開情報ｙμを用いてＣ1＝ｇZ×ｙμ∧(Ｃ2
i1×・・・×Ｃ2id modｑ) modｐ（署名者が確かに基地
局μであり、かつ署名Ｚと排除情報Ｃ2i1,…,Ｃ2idと特
定端末番号ｉ1,…,ｉdが改ざんされていなければ、Ｃ1
＝ｇk modｐとなる。）を求め、（５）前記各端末ｊ
は、Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ)とλ(ｉ1,
Λ),…,λ(ｉd,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2
i1,・・・,Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1∧
(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) modｑ)
×・・・×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計算す
ることにより、共有鍵Ｋを求めるものであり、各端末の
公開情報を管理する必要を無くしつつ、各端末が署名を
検証して正しいデータであることを確認してから、特定
端末以外の端末で鍵共有を可能とするという作用を有す
る。
【００２１】本発明の請求項６記載の発明は、請求項１
記載の排他的鍵共有法において、相互に接続されたＮ台
（Ｎは２以上の整数）の端末からなる同報通信が可能な
通信システムの排他的鍵共有法において、秘密鍵をα1,
α2,β1,β2,γ1,γ2とし、前記α1,α2,β1,β2,γ1,
γ2および前記Ｎより大きい素数または素数のべき数を
ｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇ
1,ｇ2とし、議長端末φ（任意の端末がなることができ
る）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)と
し、前記各端末ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
iを秘密に保持しており、システムの公開鍵 Α＝ｇ1α1ｇ2α2 modｐ,Β＝ｇ1β1ｇ2β2 modｐ,Γ＝
ｇ1γ1ｇ2γ2 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
求めた公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，ΑN＝ｇ1α1Nｇ2α2N
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，ΒN＝ｇ1β1Nｇ2β2N
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，ΓN＝ｇ1γ1Nｇ2γ2N
modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1，ｇ2とハッシ
ュ関数hash( )を利用でき、（１）前記議長端末は、零
でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
…,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{(ｃ×ｋ) modｑ} modｐ（ｃ＝hash(Ｃ11,
Ｃ12) modｑ)，ｖi1＝Αi1 kΒi1∧{(ｃ×ｋ) modｑ} mo
dｐ，・・・，ｖid＝Αi1 kΒid∧{(ｃ×ｋ) modｑ} mod
ｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),
…,λ(ｉd,Λ)を求め、前記システムの公開鍵Α,Βと自
身の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
{λ(ｉd,Λ) modｑ} modｐ＝ｖ(ｃ＝hash(Ｃ11,Ｃ12) m
odｑ) を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
γ2jを用いて、（Ｃ11γ1jＣ12γ2j）∧{λ(ｊ,Λ) mod
ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
(ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
Ｋを求めるものであり、高い安全性を保ちつつ、特定端
末以外の端末で鍵共有を可能とするという作用を有す
る。
【００２２】本発明の請求項７記載の発明は、請求項１
および６記載の排他的鍵共有法において、相互に接続さ
れたＮ台（Ｎは２以上の整数）の端末からなる同報通信
が可能な通信システムの排他的鍵共有法において、秘密
鍵をα1,α2,β1,β2,γ1,γ2とし、前記α1,α2,β1,
β2,γ1,γ2および前記Ｎより大きい素数または素数の
べき数をｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)
の元をｇ1,ｇ2とし、議長端末φ（任意の端末がなるこ
とができる）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ
−１)とし、鍵共有時に実際に前記議長端末が特定する
端末数（以下、実際特定端末数という）Ｄを、前記特定
端末数ｄより小さい１以上の数とし、前記各端末ｉ(１
≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
iを秘密に保持しており、システムの公開鍵 Α＝ｇ1α1ｇ2α2 modｐ,Β＝ｇ1β1ｇ2β2 modｐ,Γ＝
ｇ1γ1ｇ2γ2 modｐ と、 α1N+1＝α1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，α1N+d-1＝α1＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ β1N+1＝β1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，β1N+d-1＝β1＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ γ1N+1＝γ1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，γ1N+d-1＝γ1＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ α2N+1＝α2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，α2N+d-1＝α2＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ β2N+1＝β2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，β2N+d-1＝β2＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ γ2N+1＝γ2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
dｑ，・・・，γ2N+d-1＝γ2＋ｆ1×(Ｎ＋ｄ−１)1＋…
＋ｆd×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報α1N+1,…,α
1N+d-1，α2N+1,…,α2N +d-1とβ1N+1,…,β1N+d-1，β
2N+1,…,β2N+d-1とγ1N+1,…,γ1N+d-1，γ2N+1,…,γ
2N+d-1より求めた公開情報 ΑN+1＝ｇ1α1N+1ｇ2α2N+1 modｐ，…，ΑN+d-1＝ｇ1
α1N+d-1ｇ2α2N+d-1 modｐ ΒN+1＝ｇ1β1N+1ｇ2β2N+1 modｐ，…，ΒN+d-1＝ｇ1
β1N+d-1ｇ2β2N+d-1 modｐ ΓN+1＝ｇ1γ1N+1ｇ2γ2N+1 modｐ，…，ΓN+d-1＝ｇ1
γ1N+d-1ｇ2γ2N+d-1 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
求めた公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，ΑN＝ｇ1α1Nｇ2α2N
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，ΒN＝ｇ1β1Nｇ2β2N
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，ΓN＝ｇ1γ1Nｇ2γ2N
modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1,ｇ2とハッシ
ュ関数hash( )を利用でき、（１）前記議長端末は、零
でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、前記Ｄ台の特定端末
ｉ1,…,ｉDの公開情報Γi1,…,ΓiDと前記公開情報Γ
N+1,…,ΓN+d-1の内任意のｖ(＝ｄ−Ｄ)個の公開情報Γ
b1,…,Γbvとから、排除情報 Ｃ2i1＝Γi1 k modｐ,・・・,Ｃ2iD＝ΓiD k modｐ,Ｃ2b1
＝Γb1 k modｐ,・・・,Ｃ2bv＝Γbv k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
iD＝ΑiD kΒiD∧{ｃ×ｋ modｑ} modｐ ｖb1＝Αb1 kΒb1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
bv＝Αbv kΒbv∧{ｃ×ｋ modｑ} modｐ を計算し、前記検証情報ｖ,ｖi1,…,ｖiD,ｖb1,…,ｖbv
と前記排除情報Ｃ2i1,…,Ｃ2iDとＣ2b1,…,Ｃ2bvと特定
端末番号ｉ1,…,ｉDと前記公開情報Γb1,…,Γbvに対応
した端末番号ｂ1,…,ｂvと共に全端末に同報通信し、
（４）前記議長端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉD,ｂ1,…,
ｂv,φ)は、Λ＝{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}として、
λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｂ1,Λ),…,
λ(ｂv,Λ)を求め、前記システムの公開鍵Α,Βと自身
の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖiD∧
{λ(ｉD,Λ) modｑ}×ｖb1∧{λ(ｂ1,Λ) modｑ}×…×
ｖbv∧{λ(ｂv,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,
Ｃ12) modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｂ1,Λ),…,λ(ｂv,Λ)と
前記準備情報Ｃ11,Ｃ12と前記排除情報Ｃ2i1,…,Ｃ2iD
とＣ2b1,…,Ｃ2bvと自身の前記秘密情報γ1j,γ2jを用
いて、（Ｃ11γ1jＣ12γ2j）∧{λ(ｊ,Λ) modｑ}×Ｃ2
i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ(ｉd,Λ)
modｑ}×Ｃ2 b1∧{λ(ｂ1,Λ) modｑ}×・・・×Ｃ2
bv∧{λ(ｂv,Λ) modｑ} modｐを計算することにより、
共有鍵Ｋを求めるものであり、高い安全性を保ちつつ、
予め特定端末数ｄを決定しておいても実際の特定端末数
Ｄの特定端末ｉ1,…,ｉDを除いた端末で鍵共有を行なう
ことを可能とするという作用を有する。
【００２３】本発明の請求項８記載の発明は、請求項１
および６記載の排他的鍵共有法において、前記議長端末
は、前記秘密鍵α1,α2,β1,β2,γ1,γ2を任意の整数
θ個の特定端末数ｄ1,…,ｄθに対してそれぞれ分割し
たθ組の秘密情報より作成された公開情報を利用でき、
一方、前記端末は各組の中から自身の端末番号に対応し
たθ個の秘密情報を保持しておき、前記特定端末を排除
した鍵共有を行う場合には、前記議長端末および前記端
末ｊが、前記実際特定端末数Ｄと等しい前記特定端末数
ｄw(１≦ｗ≦θ)を前記ｄ1,…,ｄθより選択し、前記議
長端末は選択された特定端末数ｄwに対応した１組の前
記公開情報を用いて前記検証情報と前記排除情報と特定
端末番号と自身の端末番号を同報通信し、端末との共有
鍵Ｋを求め、一方前記端末ｊは検証式を確認し、ｄwに
対応した秘密情報を用いて議長端末との共有鍵Ｋを求め
るものであり、高い安全性を保ちつつ、実際の特定端末
数Ｄの端末を除いた端末で鍵共有を行なうことを可能と
するという作用を有する。
【００２４】本発明の請求項９記載の発明は、請求項１
および６記載の排他的鍵共有法において、基地局と基地
局に接続されたＮ台（Ｎは２以上の整数）の端末からな
る同報通信が可能な通信システムの排他的鍵共有法にお
いて、秘密鍵をα1,α2,β1,β2,γ1,γ2とし、前記α
1,α2,β1,β2,γ1,γ2および前記Ｎより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇ1,ｇ 2とし、特定端末数をｄ(１≦
ｄ＜Ｎ−１)とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
iを秘密に保持しており、システムの公開鍵 Α＝ｇ1α1ｇ2α2 modｐ,Β＝ｇ1β1ｇ2β2 modｐ,Γ＝
ｇ1γ1ｇ2γ2 modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1,ｇ2とハッシ
ュ関数hash( )を利用でき、前記基地局は、前記秘密情
報α11,…,α1N,α21,…,α2N,β1i,…,β1N,β21,…,
β2N,γ1i,…,γ1N,γ21,…,γ2Nを保持しており、
（１）前記基地局は、零でないＧＦ(ｑ)の元ｋを任意に
生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記基地局は、ｄ台の特定端末ｉ1,
…,ｉdの秘密情報γ1i1,…,γ1id,γ2 i1,…,γ2idから
排除情報 Ｃ2i1＝ｇ1∧{γ1i1×ｋ modｑ} modｐ，・・・，Ｃ2id
＝ｇ2∧{γ2id×ｋ modｑ} modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
2) modｑ） ｖi1＝（ｇ1α1i1ｇ2α2i1）k（ｇ1β1i1ｇ2β2i1）∧
{ｃ×ｋ modｑ} modｐ，・・・，ｖid＝（ｇ1α1idｇ2
α2id）k（ｇ1β1idｇ2β2id）∧{ｃ×ｋ modｑ} modｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),
…,λ(ｉd,Λ)を求め、前記システムの公開鍵Α,Βと自
身の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
{λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
γ2jを用いて、（Ｃ11γ1jＣ12γ2j）∧{λ(ｊ,Λ) mod
ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
(ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
Ｋを求めるものであり、各端末の公開情報を管理する必
要を無くし高い安全性を保ちつつ、特定端末以外の端末
で鍵共有を可能とするという作用を有する。
【００２５】本発明の請求項１０記載の発明は、請求項
１および６記載の排他的鍵共有法において、相互に接続
されたＮ台（Ｎは２以上の整数）の端末からなる同報通
信が可能な通信システムの排他的鍵共有法において、秘
密鍵をα1,α2,β1,β2,γ1,γ2とし、前記α1,α2,β
1,β2,γ1,γ2および前記Ｎより大きい素数または素数
のべき数をｐとし、（ｐ−１）の約数をｑとし、ＧＦ
(ｐ)の元をｇ1,ｇ2とし、議長端末φ（任意の端末がな
ることができる）が特定できる特定端末数をｄ(１≦ｄ
＜Ｎ−１)とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、前記秘
密情報α1i,α2i,β1 i,β2i,γ1i,γ2iを秘密に保持し
ており、システムの公開鍵Α＝ｇ1α1ｇ2α2 modｐ,Β
＝ｇ1β1ｇ2β2 modｐ,Γ＝ｇ1γ1ｇ2γ2 modｐと、前
記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより求めた
公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，ΑN＝ｇ1α1Nｇ2α2N
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，ΒN＝ｇ1β1Nｇ2β2N
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，ΓN＝ｇ1γ1Nｇ2γ2N
modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1,ｇ2とハッシ
ュ関数hash( )を利用でき、（１）前記議長端末は、零
でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
…,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、共有鍵 Ｋ＝Γk modｐ を求め、（４）前記議長端末は、任意のグループ鍵Ｍを
生成し、共有鍵Ｋを用いて暗号文 Ｃ＝Ｍ×Ｋ modｐ を求め、（５）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
id＝Αi1 kΒid∧{ｃ×ｋ modｑ} modｐ を計算し、前記暗号文Ｃと前記検証情報ｖ,ｖi1,…,ｖ
idと前記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,
…,ｉdと共に全端末に同報通信し、（６）前記各端末ｊ
(ｊ≠ｉ1,…,ｉd,φ)は、Λ＝{ｊ,ｉ1,…,ｉd}として、
λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉd,Λ)を求め、前記シス
テムの公開鍵Α,Βと自身の前記秘密情報α1j,α2j,β1
j,β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
{λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（７）前記各端末ｊは、前記λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
γ2jを用いて、（Ｃ11γ1jＣ12γ2j）∧{λ(ｊ,Λ) mod
ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
(ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
Ｋを求め、（８）前記各端末ｊは、前記共有鍵Ｋと暗号
文Ｃよりグループ鍵Ｍ＝Ｃ／Ｋ modｐを求めるものであ
り、高い安全性を保ちつつ、特定端末以外の端末で任意
の鍵の共有を可能とするという作用を有する。
【００２６】本発明の請求項１１記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記基地局
が、前記秘密鍵Ｓまたはα1,α2,β1,β2,γ1,γ2の分
割、前記公開鍵ｙまたはΑ,Β,Γ、公開情報ｙ1,ｙ2,
…,ｙNまたはΑ1,…,ΑN,Β1,…,ΒN,Γ1,…,ΓNの算出
と公開、および前記端末ｉに対応した前記秘密情報Ｓi
またはα1i,α2i,β1i,β2i,γ1i,γ2iの埋め込みを行
うものであり、秘密情報や公開情報を作成するための基
地局とは別の第三機関を不要にするという作用を有す
る。
【００２７】本発明の請求項１２記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記基地局
とは別の第三機関が、前記秘密鍵Ｓまたはα1,α2,β1,
β2,γ1,γ2の分割、前記公開鍵ｙまたはΑ,Β,Γ、公
開情報ｙ1,ｙ2,…,ｙNまたはΑ1,…,ΑN,Β1,…,ΒN,Γ
1,…,ΓNの算出と公開、および前記端末ｉに対応した前
記秘密情報Ｓiまたはα1i,α2i,β1i,β2i,γ1i,γ2iの
埋め込みを行うものであり、秘密情報や公開情報を作成
するための基地局を不要にするという作用を有する。
【００２８】本発明の請求項１３記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記同報通
信可能な通信システムに新規に加入する端末に対して、
新たな端末番号Ｉ（Ｉ＞Ｎ）を設定し、 ＳI＝Ｓ＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ を計算することにより求められた秘密情報ＳIまたは α1I＝α1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ α2I＝α2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ β1I＝β1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ β2I＝β2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ γ1I＝γ1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ γ2I＝γ2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ を秘密に保持させるものであり、新たに加入した端末に
対しても他の端末と同様に特定端末を除いた鍵共有を可
能とするという作用を有する。
【００２９】本発明の請求項１４記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記端末ｉ
は、前記秘密情報Ｓiまたはα1i,α2i,β1i,β2i,γ1i,
γ2iの代わりに前記ｐを法とし、前記Ｓiまたはα1i,α
2i,β1i,β2i,γ1i,γ2iを指数とする前記Ｃ1または前
記Ｃ11,Ｃ12のべき乗剰余値（＝Ｃ1 Si modｐまたはＣ1 1
α1iＣ12α2i modｐ，Ｃ11β1iＣ12β2i modｐ，Ｃ11γ
1iＣ12γ2i modｐ）を秘密に保存するものであり、端末
同士が結託しても秘密鍵を求めることができないように
するという作用を有する。
【００３０】本発明の請求項１５記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記議長端
末または前記基地局が、前記特定端末を含む全ての前記
Λについての前記λ(ｉ,Λ)を求め、前記法ｑ上で求め
た各前記λ(ｉ,Λ)を指数とし、前記ｐを法とする前記
排除情報Ｃ2iのべき乗剰余値Ｃ2i∧(λ(ｉ,Λ) modｑ)
modｐを計算し、鍵共有時に同報通信し、前記特定端末
を除く全ての端末ｊでは、前記ｊを含む前記Λに対応し
た前記べき乗剰余値を用いて共有鍵Ｋを求めるものであ
り、端末の計算量を少なくするという作用を有する。
【００３１】本発明の請求項１６記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記基地局
と前記特定端末を除く全ての端末ｊが共有した前記共有
鍵Ｋと前回の鍵共有時に共有した共有鍵Ｋ1から新規共
有鍵Ｋ2を生成するものであり、一度排除した端末を次
の鍵共有時においても排除し続けることを可能にすると
いう作用を有する。
【００３２】本発明の請求項１７記載の発明は、請求項
６記載の排他的鍵共有法において、前記基地局と前記端
末にあらかじめ備えられたディジタル署名手段におい
て、基地局から配送されるデータに対して基地局のディ
ジタル署名を付加するものであり、端末でディジタル署
名を検証することにより成りすましや改ざんを検出する
という作用を有する。
【００３３】本発明の請求項１８記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記端末が
保持する秘密情報の数を、端末の権限に応じて増減させ
るものであり、端末に対して権限の強弱を設定するとい
う作用を有する。
【００３４】本発明の請求項１９記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記議長端
末および前記基地局が特定端末として自身のみを選択
し、前記共有鍵Ｋを用いた暗号通信路を用い鍵共有に必
要な情報を同報通信するものであり、共有鍵を更新する
という作用を有する。
【００３５】本発明の請求項２０記載の発明は、請求項
１記載の排他的鍵共有法において、相互に接続されたＮ
台（Ｎは２以上の整数）の端末からなる同報通信が可能
な通信システムの排他的鍵共有法において、秘密鍵をＳ
とし、前記Ｓおよび前記Ｎより大きい素数または素数の
べき数をｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)
の元をｇとし、議長端末φ（任意の端末がなることがで
きる）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)と
し、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
ステム管理者が管理するシステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
（１）前記議長端末は、零でないＧＦ(ｑ)の元ｋを任意
に生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,
…,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、自身の秘密情報Ｓφ
を用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×(−Ｓφ)＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd，φ)は、
議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧（Ｃ2i1×・・・×Ｃ2id modｑ） mod
ｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
odｐとなる。）を求め、（５）前記各端末ｊは、Λ＝
{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ)とλ(ｉ1,Λ),…,λ
(ｉd,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2i1,・・・,
Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ
(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) modｑ)×・・・
×Ｃ2id ∧(λ（ｉd，Λ） modｑ) modｐを計算するこ
とにより、前記議長端末との共有鍵Ｋを求め、（ｉ）前
記システム管理者は、零でないＧＦ(ｑ)の元εを任意に
生成し、前記εを全端末に同報通信し、（ii）前記シス
テム管理者は、新規元 ｇ'＝ｇ∧{(１／ε) modｑ} modｐ を求め、管理する前記元ｇと置き換え、（iii）前記各
端末ｉは、新規秘密情報 Ｓi'＝Ｓi×ε modｑ （このとき、(ｇ')Si' modｐ=(ｇ)Si modｐが成り立
つ）を求めるものであり、公開情報を変更せずに秘密情
報が更新できるので、少ない通信量と演算量で安全性が
向上できるという作用を有する。
【００３６】本発明の請求項２１記載の発明は、請求項
６記載の排他的鍵共有法において、相互に接続されたＮ
台（Ｎは２以上の整数）の端末からなる同報通信が可能
な通信システムの排他的鍵共有法において、秘密鍵をα
1,α2,β1,β2,γ1,γ2とし、前記α1,α2,β1,β2,γ
1,γ2および前記Ｎより大きい素数または素数のべき数
をｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元を
ｇ1,ｇ2とし、議長端末φ（任意の端末がなることがで
きる）が特定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)と
し、前記各端末ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
iを秘密に保持しており、システム管理者が管理するシ
ステムの公開鍵 Α＝ｇ1α1ｇ2α2 modｐ,Β＝ｇ1β1ｇ2β2 modｐ,Γ＝
ｇ1γ1ｇ2γ2 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
求めた公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，ΑN＝ｇ1α1Nｇ2α2N
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，ΒN＝ｇ1β1Nｇ2β2N
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，ΓN＝ｇ1γ1Nｇ2γ2N
modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1，ｇ2とハッシ
ュ関数hash( )を利用でき、（１）前記議長端末は、零
でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
…,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
id＝Αi1 kΒid∧{ｃ×ｋ modｑ} modｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),
…,λ(ｉd,Λ)を求め、前記システムの公開鍵Α,Βと自
身の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
{λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
(ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
γ2jを用いて、（Ｃ11γ1jＣ12γ2j）∧{λ(ｊ,Λ) mod
ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
(ｉd,Λ) modｑ} modｐを計算することにより、前記議
長端末との共有鍵Ｋを求め、（ｉ）前記システム管理者
は、零でないＧＦ(ｑ)の元εを任意に生成し、前記εを
全端末に同報通信し、（ii）前記システム管理者は、新
規元 ｇ1'＝ｇ1∧(１／ε modｑ) modｐ，ｇ2'＝ｇ2∧(１／
ε modｑ) modｐ を求め、管理する前記元ｇと置き換え、（iii）前記各
端末ｉは、新規秘密情報 α1i'＝α1i×ε modｑ α2i'＝α2i×ε modｑ β1i'＝β1i×ε modｑ β2i'＝β2i×ε modｑ γ1i'＝γ1i×ε modｑ γ2i'＝γ2i×ε modｑ （このとき、 (ｇ')α1i' modｐ＝(ｇ)α1i modｐ (ｇ')α2i' modｐ＝(ｇ)α2i modｐ (ｇ')β1i' modｐ＝(ｇ)β1i modｐ (ｇ')β2i' modｐ＝(ｇ)β2i modｐ (ｇ')γ1i' modｐ＝(ｇ)γ1i modｐ (ｇ')γ2i' modｐ＝(ｇ)γ2i modｐ が成り立つ）を求めるものであり、公開情報を変更せず
に秘密情報が更新できるので、少ない通信量と演算量で
安全性が向上できるという作用を有する。
【００３７】本発明の請求項２２記載の発明は、請求項
２０および２１記載の排他的鍵共有法において、前記議
長端末または前記基地局は、前記共有鍵Ｋを用いて暗号
化した暗号化εを全端末に同報通信するものであり、一
度排除した端末を以降の鍵共有時においても排除し続け
ることを可能にするという作用を有する。
【００３８】本発明の請求項２３記載の発明は、請求項
１および６記載の排他的鍵共有法において、前記議長端
末のみが各端末の前記公開情報を利用できるものであ
り、任意の端末にのみ議長端末となる権限を付与すると
いう作用を有する。
【００３９】本発明の請求項２４記載の発明は、請求項
１および６記載の排他的鍵共有法において、各端末が自
身の前記公開情報以外の全ての前記公開情報を保有する
ものであり、端末の公開情報を管理する必要をなくすと
いう作用を有する。
【００４０】本発明の請求項２５記載の発明は、請求項
１〜２４記載の排他的鍵共有法において、前記乗法演算
を、任意の有限体上の楕円曲線などの曲線上の加法演算
に対応させるものであり、べき乗剰余演算を高速化する
という作用を有する。
【００４１】以下、本発明の実施の形態について、図１
〜図６を参照しながら詳細に説明する。
【００４２】（第１の実施の形態）本発明の第１の実施
の形態は、６台の端末からなる同報通信が可能な通信シ
ステムにおいて、議長端末は、署名を排除情報と特定端
末番号と自身の端末番号と共に全端末に同報通信し、各
端末は、署名者が確かに議長端末であり、かつ署名と排
除情報と特定端末番号と議長端末番号が改ざんされてい
ないことを確認し、排除情報と自身の秘密情報を用いて
共有鍵を求める排他的鍵共有法である。
【００４３】図１は、本発明の第１の実施の形態の排他
的鍵共有法のセットアップフェーズを示す図である。図
１において、端末１〜端末６は、無線通信端末である。
同報通信網13は、同報通信可能な無線通信網である。記
憶部７〜12は、端末１〜端末６内の記憶部である。図２
は、本発明の第１の実施の形態の排他的鍵共有法の準備
フェーズを示す図である。図２において、端末２は、議
長端末である。端末５は、排除対象の特定端末である。
図３は、本発明の第１の実施の形態の排他的鍵共有法の
鍵共有フェーズを示す図である。
【００４４】上記のように構成された本発明の第１の実
施の形態の排他的鍵共有法の動作を説明する。最初に、
図１を参照しながら、セットアップフェーズを説明す
る。
【００４５】同報通信網13により相互に接続された６台
の端末１〜６からなる通信システムにおいて、システム
秘密鍵をＳとし、システム管理者が秘密に管理する。Ｓ
および６（端末数Ｎ）より大きい素数または素数のべき
数をｐとし、（ｐ−１）の約数をｑとする。ｐとｑの大
きさは、安全面から、｜ｐ｜＝1024ビット、｜ｑ｜＝１
60ビット以上が望ましい。ＧＦ(ｐ)の元をｇとして、公
開する。また、システムの公開鍵ｙ＝ｇS modｐも公開
する。ｙは必ずしも公開しなくてもよい。
【００４６】端末公開情報として、 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙ6＝ｇS6 modｐ を公開する。
【００４７】一方、端末秘密情報として、Ｓ1，・・
・，Ｓ6を計算して、各端末に秘密に配布し、各端末は
これらを記憶部７〜12に秘密に保持する。Ｓ1，・・
・，Ｓ6は、次の条件を満たすものである。
【００４８】Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λにつ
いて行う） Ｓi＝Ｓ＋ｆ1×ｉ modｑ λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1はＧＦ(ｑ)の非零の元、Λは６台の端末
の任意の２台の集合）次に、図２を参照しながら、準備
フェーズを説明する。議長端末２は、零でないＧＦ(ｑ)
の元ｋを任意に生成し、特定端末５の公開情報ｙ5か
ら、排除情報 Ｃ25＝ｙ5 k modｐ を計算する。議長端末２は、自身の秘密情報Ｓ2を用い
て署名 Ｚ＝Ｃ25×（−Ｓ2）＋ｋ modｑ を計算する。署名Ｚを排除情報Ｃ25と特定端末番号５と
自身の端末番号２と共に全端末に同報通信する。
【００４９】第３に、図３を参照しながら、鍵共有フェ
ーズを説明する。議長端末２は、共有鍵 Ｋ＝ｙk modｐ を求める。ｙを公開しない場合は、議長端末２は、他の
端末と同様の方法でＫを求める。
【００５０】各端末１，３，４，６は、議長端末２の公
開情報ｙ2を用いて Ｃ1＝ｇZ×ｙ2∧(Ｃ25) modｐ を求める。署名者が確かに議長端末２であり、かつ署名
Ｚと排除情報Ｃ25と特定端末番号５と議長端末の端末番
号２が改ざんされていなければ、Ｃ1＝ｇk modｐとな
る。
【００５１】各端末ｊ（ｊ＝１，３，４，６）は、Λ＝
{ｊ, ５ }として、λ(ｊ,Λ)とλ(５,Λ)を求め、Ｃ1と
排除情報Ｃ25と自身の秘密情報Ｓjを用いて、Ｃ1∧(Ｓj
×λ(ｊ,Λ) modｑ)×Ｃ25∧(λ(５,Λ) modｑ) modｐ
を計算をすることにより、共有鍵Ｋを求める。しかし、
端末５は、共有鍵Ｋを計算できない。このようにして、
端末５以外は、共有鍵Ｋを共有することができる。
【００５２】なお、議長端末は、ハッシュ関数hash( )
を用いて、排除情報Ｃ25を圧縮したハッシュ値 Ｈ＝hash(Ｃ25) を求め、自身の秘密情報Ｓ2を用いて署名 Ｚ＝Ｈ×（−Ｓ2）＋ｋ modｑ を計算し、署名Ｚを排除情報Ｃ25と特定端末番号５と自
身の端末番号２と共に全端末に同報通信してもよい。ハ
ッシュ値のビット数は、ｑのビット数と同じビット数に
するか、ｑより大きいビット数のときは、ｑの剰余をと
るようにする。排除情報Ｃ25だけでなく、特定端末番号
や議長端末番号もハッシュしてもよい。
【００５３】この場合、各端末ｊ(ｊ≠５，２)は、ハッ
シュ関数hash( )を用いて、排除情報Ｃ25を圧縮したハ
ッシュ値Ｈ'を求め、議長端末の公開情報ｙ2を用いて Ｃ1＝ｇZ×ｙ2 H' modｐ を求める。署名者が確かに議長端末２であり、かつ署名
Ｚと排除情報Ｃ25と特定端末番号５と議長端末の端末番
号２が改ざんされていなければ、Ｃ1＝ｇk modｐかつ
Ｈ'＝Ｈとなる。
【００５４】各端末ｊは、Λ＝{ｊ, ５}として、λ(ｊ,
Λ)とλ(５,Λ)を求め、Ｃ1と排除情報Ｃ25と自身の秘
密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ
25∧(λ(５,Λ) modｑ) modｐを計算することにより、
共有鍵Ｋを求める。
【００５５】上記のように、本発明の第１の実施の形態
では、６台の端末からなる同報通信が可能な通信システ
ムにおける排他的鍵共有法を、議長端末が、署名を排除
情報と特定端末番号と自身の端末番号と共に全端末に同
報通信し、各端末は、署名者が確かに議長端末であり、
かつ署名と排除情報と特定端末番号と議長端末番号が改
ざんされていないことを確認し、排除情報と自身の秘密
情報を用いて共有鍵を求める構成としたので、署名を確
認した上で特定の端末だけを排除して他の端末で鍵情報
を共有できる。
【００５６】（第２の実施の形態）本発明の第２の実施
の形態は、相互に接続された６台の端末からなる同報通
信が可能な通信システムにおいて、議長端末は、検証情
報を計算し、排除情報と特定端末番号と共に全端末に同
報通信し、各端末は、システムの公開鍵と自身の秘密情
報を用いて検証式を計算し、検証式が不成立の場合は鍵
共有を中止し、成立の場合は、各端末は、準備情報と排
除情報と自身の秘密情報を用いて、共有鍵を求める排他
的鍵共有法である。
【００５７】図４は、本発明の第２の実施の形態の排他
的鍵共有法のセットアップフェーズを示す図である。図
４において、端末１〜端末６は、無線通信端末である。
同報通信網13は、同報通信可能な無線通信網である。記
憶部７〜12は、端末１〜端末６内の記憶部である。図５
は、本発明の第２の実施の形態の排他的鍵共有法の準備
フェーズを示す図である。図５において、端末２は、議
長端末である。端末５は、排除対象の特定端末である。
図６は、本発明の第２の実施の形態の排他的鍵共有法の
鍵共有フェーズを示す図である。
【００５８】本発明の第２の実施の形態の排他的鍵共有
法は、Cramer−Shoup暗号を基に構成している。Cramer
−Shoup暗号は、公開鍵暗号に対する最強の攻撃方法で
ある適応的選択暗号文攻撃に対する安全性を証明するこ
とのできる公開鍵暗号である。以下にその概要を示す
が、詳細は論文（「A Practical Public Key Cryptosys
tem ProvablySecure against Adaptive Chosen Ciphert
ext Attack」，LNCS1462，Advances in Cryptology−CR
YPTO'98，Springer）を参照されたい。
【００５９】Cramer-Shoup暗号について説明する。秘密
鍵を、ｘ1，ｘ2，ｙ1，ｙ2，ｚ1，ｚ2とする。公開鍵
を、Ｘ（＝ｇ1 x1ｇ2 x2），Ｙ（＝ｇ1 y1ｇ2 y2），Ｚ（＝
ｇ1 z1ｇ2 z2），ｇ1，ｇ2とする。ｍをメッセージとし、
ｒを乱数とし、ｐを素数とする。全ての演算は特に断り
のない限りＺp上で行われるものとする。ｑは、ｑ｜ｐ
−１となる素数である。ｈは、ハッシュ関数であり、ｇ
1，ｇ2は、ＧＦ（ｐ）の元である。
【００６０】暗号化を行う場合は、暗号文を｛ｕ1，
ｕ2，ｖ，ｗ｝とする。ただし、ｕ1＝ｇ1 r，ｕ2＝
ｇ2 r，ｖ＝ＸrＹcr，ｗ＝ｍＺr（ｃ＝ｈ（ｕ1，ｕ2） m
odｑ）である。検証は、ｕ1 x1ｕ2 x2（ｕ1 y1ｕ2 y2）c＝
ｖかどうかで行う。検証結果が正しい場合のみ復号化を
行う。復号化は、ｍ＝ｗ／ｕ1 z1ｕ2 z2として行う。
【００６１】上記のように構成された本発明の第２の実
施の形態の排他的鍵共有法の動作を説明する。最初に、
図４を参照しながら、セットアップフェーズを説明す
る。
【００６２】同報通信網13で相互に接続された６台の端
末１〜６からなる同報通信が可能な通信システムにおい
て、システム秘密鍵をα1，α2，β1，β2，γ1，γ2と
し、システム管理者が秘密に管理する。α1，α2，β
1，β2，γ1，γ2および６（端末数）より大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑとす
る。ｐとｑの大きさは、安全面から、｜ｐ｜＝1024ビッ
ト、｜ｑ｜＝１60ビット以上が望ましい。ＧＦ(ｐ)の元
をｇ1，ｇ2として、システム公開情報として公開する。
【００６３】各端末ｉ(１≦ｉ≦６)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1 modｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1 modｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1 modｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1 modｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1 modｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1 modｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1はＧＦ(ｑ)の非零の元、Λは６台の端末
の任意の２台の集合）を満たす秘密情報α1i，α2i，β
1i，β2i，γ1i，γ2iを、それぞれの記憶部７〜12に秘
密に保持する。
【００６４】各端末１〜６は、システムの公開鍵 Α＝ｇ1α1ｇ2α2 modｐ,Β＝ｇ1β1ｇ2β2 modｐ,Γ＝
ｇ1γ1ｇ2γ2 modｐ と、秘密情報α1i，α2i，β1i，β2i，γ1i，γ2iより
求めた公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，Α6＝ｇ1α16ｇ2α26
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，Β6＝ｇ1β16ｇ2β26
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，Γ6＝ｇ1γ16ｇ2γ26
modｐ と、ハッシュ関数hash( )を利用できる。ハッシュ値の
ビット数は、ｑのビット数と同じビット数にするか、ｑ
より大きいビット数のときは、ｑの剰余をとるようにす
る。
【００６５】次に、図５を参照しながら、準備フェーズ
の説明をする。議長端末２は、零でないＧＦ(ｑ)の元ｋ
を任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算する。また、特定端末５の公開情報Γ5から、排
除情報 Ｃ25＝Γ5 k modｐ を計算する。
【００６６】議長端末２は、検証情報 ｖ＝ΑkΒ∧{(ｃ×ｋ) modｑ} modｐ（ｃ＝hash(Ｃ11,
Ｃ12) modｑ），ｖ5＝Αi1 kΒ5∧{(ｃ×ｋ) modｑ} mod
ｐ を計算し、排除情報Ｃ25と特定端末番号５と共に全端末
に同報通信する。
【００６７】第３に、図６を参照しながら、鍵共有フェ
ーズを説明する。議長端末２は、共有鍵 Ｋ＝Γk modｐ を求める。
【００６８】各端末ｊ(ｊ≠２,５)は、Λ＝{ｊ，５}と
して、λ(ｊ,Λ)，λ(５,Λ)を求め、システムの公開鍵
Α，Βと自身の秘密情報α1j，α2j，β1j，β2jを用い
て検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖ5∧{λ(５,Λ) modｑ} modｐ＝ｖ（ｃ＝
hash(Ｃ11,Ｃ12) modｑ） を計算し、成り立たない場合は鍵共有を中止する。
【００６９】成り立つ場合は、各端末ｊは、λ(ｊ,
Λ)，λ(５,Λ)と準備情報Ｃ11，Ｃ12と排除情報Ｃ25と
自身の秘密情報γ1j，γ2jを用いて、（Ｃ11γ1jＣ12γ
2j）∧{λ(ｊ,Λ) modｑ}×Ｃ25∧{λ(５,Λ) modｑ} m
odｐを計算することにより、共有鍵Ｋを求める。端末５
は、共有鍵Ｋを計算できない。
【００７０】上記のように、本発明の第２の実施の形態
では、相互に接続された６台の端末からなる同報通信が
可能な通信システムの排他的鍵共有法を、議長端末は、
検証情報を計算し、排除情報と特定端末番号と共に全端
末に同報通信し、各端末は、システムの公開鍵と自身の
秘密情報を用いて検証式を計算し、検証式が不成立の場
合は鍵共有を中止し、成立の場合は、各端末は、準備情
報と排除情報と自身の秘密情報を用いて、共有鍵Ｋを求
める構成としたので、議長端末の排除情報を検証してか
ら、共有鍵Ｋを求めることができる。
【００７１】
【発明の効果】以上の説明から明らかなように、本発明
では、相互に接続されたＮ台（Ｎは２以上の整数）の端
末からなる同報通信が可能な通信システムの排他的鍵共
有法を、秘密鍵をＳとし、ＳおよびＮより大きい素数ま
たは素数のべき数をｐとし、（ｐ−１）の約数をｑと
し、ＧＦ(ｐ)の元をｇとし、議長端末φ（任意の端末が
なることができる）が特定できる特定端末数をｄ(１≦
ｄ＜Ｎ−１)とし、各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、ΛはＮ台の端末の任意の（ｄ＋１）台からなる集
合）を満たす秘密情報Ｓiを秘密に保持しており、シス
テムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、素数ｐと約数ｑと元ｇを利用でき、（１）議長端末
は、零でないＧＦ(ｑ)の元ｋを任意に生成し、ｄ台の特
定端末ｉ 1,…,ｉdの公開情報ｙi1,…,ｙidから、排除情
報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）議長端末は、自身の秘密情報Ｓφを用
いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓφ）＋ｋ modｑ を計算し、署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定端末
番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に同報
通信し、（３）議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、議長
端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2id mosｑ) modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
odｐとなる。）を求め、（５）各端末ｊは、Λ＝{ｊ,ｉ
1,…,ｉd}として、λ(ｊ,Λ)とλ(ｉ1,Λ),…,λ(ｉd,
Λ)を求め、Ｃ1と排除情報Ｃ2i1,・・・,Ｃ2idと自身の
秘密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×
Ｃ2i1∧(λ(ｉ1,Λ) modｑ)×・・・×Ｃ2id∧(λ(ｉd,
Λ) modｑ) modｐを計算することにより、共有鍵Ｋを求
める構成としたので、少ない通信量で、かつ短い業務停
止期間で、特定の端末だけを排除して、他の端末で分配
鍵情報を共有することができるという効果が得られる。
【００７２】また、相互に接続されたＮ台（Ｎは２以上
の整数）の端末からなる同報通信が可能な通信システム
の排他的鍵共有法を、秘密鍵をα1，α2，β1，β2，γ
1，γ2とし、α1，α2，β1，β2，γ1，γ2およびＮよ
り大きい素数または素数のべき数をｐとし、（ｐ−１）
の約数をｑとし、ＧＦ(ｐ)の元をｇ1，ｇ2とし、議長端
末φ（任意の端末がなることができる）が特定できる特
定端末数をｄ(１≦ｄ＜Ｎ−１)とし、各端末ｉ(１≦ｉ
≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
０、ΛはＮ台の端末の任意の（ｄ＋１）台からなる集
合）を満たす秘密情報α1i，α2i，β1i，β2i，γ1i，
γ2iを秘密に保持しており、システムの公開鍵 Ａ＝ｇ1α1ｇ2α2 modｐ,Ｂ＝ｇ1β1ｇ2β2 modｐ,Г＝
ｇ1γ1ｇ2γ2 modｐ と、秘密情報α1i，α2i，β1i，β2i，γ1i，γ2iより
求めた公開情報 Α1＝ｇ1α11ｇ2α21 modｐ，…，ΑN＝ｇ1α1Nｇ2α2N
modｐ Β1＝ｇ1β11ｇ2β21 modｐ，…，ΒN＝ｇ1β1Nｇ2β2N
modｐ Γ1＝ｇ1γ11ｇ2γ21 modｐ，…，ΓN＝ｇ1γ1Nｇ2γ2N
modｐ と、素数ｐと約数ｑと元ｇ1，ｇ2とハッシュ関数hash
( )を利用でき、（１）議長端末は、零でないＧＦ(ｑ)
の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）議長端末は、ｄ台の特定端末ｉ1,…,
ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）議長端末は、検証情報 ｖ＝ΑkΒ∧{(ｃ×ｋ) modｑ} modｐ（ｃ＝hash(Ｃ11,
Ｃ12) modｑ），ｖi1＝Αi1 kΒi1∧{(ｃ×ｋ) modｑ} m
odｐ，・・・，ｖid＝Αi1 kΒid∧{(ｃ×ｋ) modｑ} mo
dｐ を計算し、排除情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,
…,ｉdと共に全端末に同報通信し、（４）議長端末は、
共有鍵 Ｋ＝Γk modｐ を求め、（５）各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、Λ＝
{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),…,λ
(ｉd,Λ)を求め、システムの公開鍵Α，Βと自身の秘密
情報α1j，α2j，β1j，β2jを用いて検証式 （Ｃ11α1jＣ12α2j（Ｃ11β1jＣ12β2j）c）∧{λ(ｊ,
Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
{λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
つ場合は、（６）各端末ｊは、λ(ｊ,Λ),λ(ｉ1,Λ),
…,λ(ｉd,Λ)と準備情報Ｃ11,Ｃ12と排除情報Ｃ2i1,
…,Ｃ2idと自身の秘密情報γ1j,γ2jを用いて、（Ｃ11
γ1jＣ1 2γ2j）∧{λ(ｊ,Λ) modｑ}×Ｃ2i1∧{λ(ｉ1,
Λ) modｑ}×・・・×Ｃ2id∧{λ(ｉd,Λ) modｑ} mod
ｐを計算することにより、共有鍵Ｋを求める構成とした
ので、高い安全性を保ちつつ、特定端末以外の端末で鍵
共有ができるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の第１の実施の形態の鍵共有方法におけ
るセットアップを示す図、
【図２】第１の実施の形態の鍵共有方法における準備フ
ェーズを示す図、
【図３】第１の実施の形態の鍵共有方法において、端末
５を除いた全ての端末で共有する鍵共有フェーズを示す
図、
【図４】本発明の第２の実施の形態の鍵共有方法におけ
るセットアップを示す図、
【図５】第２の実施の形態の鍵共有方法における準備フ
ェーズを示す図、
【図６】第２の実施の形態の鍵共有方法において、端末
５を除いた全ての端末で共有する鍵共有フェーズを示す
図、
【図７】第１の従来例における鍵共有方法を示す図、
【図８】第２の従来例における鍵共有方法を示す図、
【図９】第３の従来例における鍵共有方法を示す図であ
る。
【符号の説明】
０ 基地局 １〜６ 端末１〜端末６ ７〜12 端末内の記憶部 13 同報通信網 14 基地局内の記憶部
───────────────────────────────────────────────────── フロントページの続き (72)発明者 松本 勉 神奈川県横浜市青葉区柿の木台13−45 (56)参考文献 特開 平９−212089（ＪＰ，Ａ) 特許2865654（ＪＰ，Ｂ２) 安斉潤 他；“マスク付きグループ鍵 共有法”1999年暗号と情報セキュリティ シンポジウム予稿集 Ｖｏｌ．２／２ （1999．１．26）ｐ．835−840 松崎なつめ 他；“マスク付きグルー プ鍵共有法（その２）”電子情報通信学 会技術研究報告（ＳＳＴ98−113−129) Ｖｏｌ．98，Ｎｏ．657（1999．３．10) ｐ．835−840 松崎なつめ 他；“マスク付きグルー プ鍵共有を少量の加入者計算で行う方 法”2000年暗号と情報セキュリティ・シ ンポジウム（2000．１．27）Ｃ−18 Ｒ．Ｃｒａｍｅｒ ａｎｄ Ｖ．Ｓｈ ｏｕｐ；“Ａ Ｐｒａｃｔｉｃａｌ Ｐ ｕｂｌｉｃ Ｋｅｙ Ｃｒｙｐｔｏｓｙ ｓｔｅｍ Ｐｒｏｖａｂｌｙ Ｓｅｃｕ ｒｅ ａｇａｉｎｓｔ Ａｄａｐｔｉｖ ｅ Ｃｈｏｓｅｎ Ｃｉｐｈｅｒｔｅｘ ｔ Ａｔｔａｃｋ”Ｌｅｃｔｕｒｅ Ｎ ｏｔｅ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃ ｉｅｎｃｅ（Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＣＲＹＰＴＯ’ 98），Ｖｏｌ．1462（1998．８月）ｐ. 13−25 Ｋ．Ｎｙｂｅｒｇ ａｎｄ Ｒ．Ａ. Ｒｕｅｐｐｅｌ；“Ｍｅｓｓａｇｅ Ｒ ｅｃｏｖｅｒｙ ｆｏｒ Ｓｉｇｎａｔ ｕｒｅ Ｓｃｈｅｍｅｓ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｄｉｓｃｒｅｔｅ Ｌｏ ｇａｒｉｔｈｍ Ｐｒｏｂｌｅｍ”Ｌｅ ｃｔｕｒｅ Ｎｏｔｅ ｉｎ Ｃｏｍｐ ｕｔｅｒ Ｓｃｉｅｎｃｅ （Ａｄｖａ ｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＥＵＲＯＣＲＹＰＴ’94）Ｖｏｌ. 950（1994．５月）ｐ．182−193 (58)調査した分野(Int.Cl.7，ＤＢ名) H04L 9/08 H04L 9/32 H04B 7/26 G09C 1/00

Claims (25)

    (57)【特許請求の範囲】
  1. 【請求項１】 相互に接続されたＮ台（Ｎは２以上の整
    数）の端末からなる同報通信が可能な通信システムの排
    他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよび
    前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ
    (１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
    ステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
    （１）前記議長端末は、零でないＧＦ(ｑ)の元ｋを任意
    に生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,
    …,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、自身の秘密情報Ｓφ
    を用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓφ）＋ｋ modｑ を計算し、前記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
    端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
    同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd，φ)は、
    議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2id modｑ) modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
    情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
    末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
    odｐとなる。）を求め、（５）前記各端末ｊは、Λ＝
    {ｊ, ｉ1,…,ｉd }として、λ(ｊ,Λ)とλ(ｉ1,Λ)，
    …，λ（ｉd，Λ）を求め、前記Ｃ1と前記排除情報Ｃ2
    i1,・・・,Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1∧
    (Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) modｑ)
    ×・・・×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計算す
    ることにより、共有鍵Ｋを求めることを特徴とする排他
    的鍵共有法。
  2. 【請求項２】 相互に接続されたＮ台（Ｎは２以上の整
    数）の端末からなる同報通信が可能な通信システムの排
    他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよび
    前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ
    (１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
    ステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、ハッシュ関数hash( )と前記素数ｐと前記約数ｑと
    前記元ｇを利用でき、（１）前記議長端末は、零でない
    ＧＦ(ｑ)の元ｋを任意に生成し、ｄ台の特定端末ｉ1,
    …,ｉdの公開情報ｙi1,…,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、前記ハッシュ関数ha
    sh( )を用いて前記排除情報Ｃ2i1,…,Ｃ2idを圧縮した
    ハッシュ値 Ｈ＝hash(Ｃ2i1,…,Ｃ2id) を求め、（３）前記議長端末は、自身の秘密情報Ｓφを
    用いて署名 Ｚ＝Ｈ×（−Ｓφ）＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
    端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
    同報通信し、（４）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd，φ)は、
    前記ハッシュ関数hash( )を用いて前記排除情報Ｃ2i1,
    …,Ｃ2idを圧縮したハッシュ値Ｈ'を求め、（６）前記
    各端末ｊは、議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ H' modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
    情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
    末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
    odｐかつＨ'＝Ｈとなる。）を求め、（７）前記各端末
    ｊは、Λ＝{ｊ, ｉ1,…,ｉd }として、λ(ｊ,Λ)とλ
    (ｉ1,Λ)，…，λ（ｉd，Λ）を求め、前記Ｃ1と前記排
    除情報Ｃ2i1,・・・,Ｃ2idと自身の秘密情報Ｓjを用い
    て、Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,
    Λ) modｑ) ×・・・×Ｃ2id∧(λ（ｉd，Λ） modｑ)
    modｐを計算することにより、共有鍵Ｋを求めることを
    特徴とする請求項１記載の排他的鍵共有法。
  3. 【請求項３】 相互に接続されたＮ台（Ｎは２以上の整
    数）の端末からなる同報通信が可能な通信システムの排
    他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよび
    前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、鍵共有時に実
    際に前記議長端末が特定する端末数（以下、実際特定端
    末数という）Ｄを、前記特定端末数ｄより小さい１以上
    の数とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報Ｓiを秘密に保持しており、 ＳN+1＝Ｓ＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mod
    ｑ，・・・，ＳN+d-1＝Ｓ＋ｆ1×(Ｎ＋ｄ−１)1＋…＋
    ｆd×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報ＳN+1,…,Ｓ
    N+d-1と、前記秘密情報Ｓ 1，・・・，ＳNより求めた公
    開情報 ｙ1＝ｇS1 modｐ,・・・,ｙN＝ｇSN modｐ，ｙN+1＝ｇ
    SN+1 modｐ,・・・,ｙN+d-1＝ｇSN+d-1 modｐ と、システムの公開鍵 ｙ＝ｇS modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
    （１）前記議長端末は、前記Ｄ台の特定端末ｉ1,…,ｉD
    の公開情報ｙi1,…,ｙiDと前記公開情報ｙN+1,…,ｙ
    N+d-1の内任意のｖ(＝ｄ−Ｄ)個の公開情報ｙb1,…,ｙ
    bvとから、排除情報 Ｃ2i1＝ｙi1 k modｐ,・・・,Ｃ2iD＝ｙiD k modｐ,Ｃ2b1
    ＝ｙb1 k modｐ,・・・,Ｃ2bv＝ｙbv k modｐ （ｋは零でないＧＦ(ｑ)の元）を計算し、（２）前記議
    長端末は、自身の秘密情報Ｓφを用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2iD×Ｃ2b1×・・・×Ｃ2bv×
    (−Ｓφ)＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2iD，Ｃ2
    b1，…，Ｃ2bvと特定端末番号ｉ1,…,ｉDと前記公開情
    報ｙb1,…,ｙbvに対応した端末番号ｂ1,…,ｂvと自身の
    端末番号φと共に全端末に同報通信し、（３）前記議長
    は、前記特定端末ｉ1,…,ｉDを除く全ての端末ｊ(ｊ≠
    ｉ1,…,ｉ D,ｂ1，…,ｂv,φ)との共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉD,ｂ1,…,
    ｂv,φ)は、議長端末の公開情報ｙ φを用いて Ｃ1＝ｇZ×ｙφ∧(Ｃ2i1×・・・×Ｃ2iD×Ｃ2b1×・・
    ・×Ｃ2bv modｑ) modｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
    情報Ｃ2i1,…,Ｃ2iD,Ｃ2 b1,…,Ｃ2bvと特定端末番号
    ｉ1,…,ｉDと前記公開情報ｙb1,…,ｙbvに対応した端末
    番号ｂ1,…,ｂvと議長端末の端末番号φが改ざんされて
    いなければ、Ｃ1＝ｇk modｐとなる。）を求め、（５）
    前記各端末ｊは、Λ＝{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}とし
    て、λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉD,Λ),λ(ｂ1,Λ),
    …,λ(ｂv,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2i1,
    …,Ｃ2iD,Ｃ2b1,…,Ｃ2bvと自身の前記秘密情報Ｓjを用
    いて、べき乗剰余値Ｃ1∧(Ｓj×λ(ｊ,Λ) modｑ)と、
    べき乗剰余値Ｃ2i1∧(λ(ｉ1,Λ) modｑ),…,Ｃ2iD∧
    (λ(ｉD,Λ) modｑ)×Ｃ2b1∧(λ(ｂ1,Λ) modｑ),…,
    Ｃ2bv∧(λ(ｂv,Λ) modｑ)との法ｐ上での積Ｃ1∧(Ｓj
    ×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ)modｑ)×…×
    Ｃ2iD∧(λ(ｉD,Λ) modｑ)×Ｃ2b1∧(λ(ｂ1,Λ) mod
    ｑ)×…×Ｃ2b v∧(λ(ｂv,Λ) modｑ) modｐを計算する
    ことにより、前記基地局との共有鍵Ｋを求めることを特
    徴とする請求項１および２記載の排他的鍵共有法。
  4. 【請求項４】 前記議長端末は、秘密鍵Ｓを任意の整数
    θ個の特定端末数ｄ 1,…,ｄθに対してそれぞれ分割し
    たθ組の秘密情報より作成された公開情報を利用でき、
    一方、前記端末は各組の中から自身の端末番号に対応し
    たθ個の秘密情報を保持しておき、前記特定端末を排除
    した鍵共有を行う場合には、前記議長端末および前記端
    末ｊが、前記実際特定端末数Ｄと等しい前記特定端末数
    ｄw(１≦ｗ≦θ)を前記ｄ1,…,ｄθより選択し、前記議
    長端末は選択された特定端末数ｄwに対応した１組の前
    記公開情報を用いて前記署名と前記排除情報と特定端末
    番号と自身の端末番号を同報通信し、端末との共有鍵Ｋ
    を求め、一方前記端末ｊは署名を検証し、ｄwに対応し
    た秘密情報を用いて議長端末との共有鍵Ｋを求めること
    を特徴とする請求項１および２記載の排他的鍵共有法。
  5. 【請求項５】 基地局と基地局に接続されたＮ台（Ｎは
    ２以上の整数）の端末からなる同報通信が可能な通信シ
    ステムの排他的鍵共有法において、秘密鍵をＳとし、前
    記Ｓおよび前記Ｎより大きい素数または素数のべき数を
    ｐとし、（ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇ
    とし、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端
    末ｉ(１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報Ｓiを秘密に保持しており、基
    地局μは、全ての前記秘密情報Ｓiを秘密に保持してお
    り、前記各端末ｉと前記基地局μは、基地局の公開情報 ｙμ＝ｇSμ modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
    （１）前記基地局は、零でないＧＦ(ｑ)の元ｋを任意に
    生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,…,
    ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記基地局は、自身の秘密情報Ｓμを
    用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓμ）＋ｋ modｑ を計算し、前記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
    端末番号ｉ1,…,ｉdと共に全端末に同報通信し、（３）
    前記基地局は、共有鍵 Ｋ＝ｇ∧(ｋ×Ｓ modｑ) modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
    議長端末の公開情報ｙμを用いてＣ1＝ｇZ×ｙμ∧(Ｃ2
    i1×・・・×Ｃ2id modｑ) modｐ（署名者が確かに基地
    局μであり、かつ署名Ｚと排除情報Ｃ2i1,…,Ｃ2idと特
    定端末番号ｉ1,…,ｉdが改ざんされていなければ、Ｃ1
    ＝ｇk modｐとなる。）を求め、（５）前記各端末ｊ
    は、Λ＝{ｊ,ｉ1,…,ｉd }として、λ(ｊ,Λ)とλ(ｉ1,
    Λ)，…,λ（ｉd,Λ）を求め、前記Ｃ1と前記排除情報
    Ｃ2i1,・・・,Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1
    ∧(Ｓj×λ(ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) mod
    ｑ)×・・・×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計算
    することにより、共有鍵Ｋを求めることを特徴とする請
    求項１および２記載の排他的鍵共有法。
  6. 【請求項６】 相互に接続されたＮ台（Ｎは２以上の整
    数）の端末からなる同報通信が可能な通信システムの排
    他的鍵共有法において、秘密鍵をα1，α2，β1，β2，
    γ1，γ2とし、前記α1，α2，β1，β2，γ1，γ2およ
    び前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇ1，ｇ2と
    し、議長端末φ（任意の端末がなることができる）が特
    定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各
    端末ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報α1i，α2i，β1i，β2i，γ
    1i，γ2iを秘密に保持しており、システムの公開鍵 Ａ＝ｇ1 α1ｇ2 α2 modｐ，Ｂ＝ｇ1 β1ｇ2 β2 modｐ，Г
    ＝ｇ1 γ1ｇ2 γ2 modｐ と、前記秘密情報α1i，α2i，β1i，β2i，γ1i，γ2i
    より求めた公開情報 Α1＝ｇ1 α11ｇ2 α21 modｐ，…，ΑN＝ｇ1 α1Nｇ2 α2N
    modｐ Β1＝ｇ1 β11ｇ2 β21 modｐ，…，ΒN＝ｇ1 β1Nｇ2 β2N
    modｐ Γ1＝ｇ1 γ11ｇ2 γ21 modｐ，…，ΓN＝ｇ1 γ1Nｇ2 γ2N
    modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1，ｇ2とハッシ
    ュ関数hash( )を利用でき、（１）前記議長端末は、零
    でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
    …,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{(ｃ×ｋ) modｑ} modｐ（ｃ＝hash(Ｃ11,
    Ｃ12) modｑ），ｖi1＝Αi1 kΒi1∧{(ｃ×ｋ) modｑ} m
    odｐ，・・・，ｖid＝Αi1 kΒid∧{(ｃ×ｋ) modｑ} mo
    dｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
    ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
    端末は、共有鍵 Ｋ＝Γk modｐを求め、（５）前記各端末ｊ(ｊ≠ｉ1,
    …,ｉd,φ)は、Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,
    Λ),λ(ｉ1,Λ),…,λ(ｉd,Λ)を求め、前記システムの
    公開鍵Α，Βと自身の前記秘密情報α1j，α2j，β1j，
    β2jを用いて検証式 （Ｃ11 α1jＣ12 α2j（Ｃ11 β1jＣ12 β2j）c）∧{λ(ｊ,
    Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
    {λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11，Ｃ12)
    modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
    つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
    (ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
    記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
    γ2jを用いて、（Ｃ11 γ1jＣ12 γ2j）∧{λ(ｊ,Λ) mod
    ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
    (ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
    Ｋを求めることを特徴とする請求項１記載の排他的鍵共
    有法。
  7. 【請求項７】 相互に接続されたＮ台（Ｎは２以上の整
    数）の端末からなる同報通信が可能な通信システムの排
    他的鍵共有法において、秘密鍵をα1，α2，β1，β2，
    γ1，γ2とし、前記α1，α2，β1，β2，γ1，γ2およ
    び前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇ1，ｇ2と
    し、議長端末φ（任意の端末がなることができる）が特
    定できる特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、鍵共有
    時に実際に前記議長端末が特定する端末数（以下、実際
    特定端末数という）Ｄを、前記特定端末数ｄより小さい
    １以上の数とし、前記各端末ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
    iを秘密に保持しており、システムの公開鍵 Α＝ｇ1 α1ｇ2 α2 modｐ,Β＝ｇ1 β1ｇ2 β2 modｐ,Γ＝
    ｇ1 γ1ｇ2 γ2 modｐ と、 α1N+1＝α1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，α1N+d-1＝α1＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ β1N+1＝β1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，β1N+d-1＝β1＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ γ1N+1＝γ1＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，γ1N+d-1＝γ1＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ α2N+1＝α2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，α2N+d-1＝α2＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ β2N+1＝β2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，β2N+d-1＝β2＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ γ2N+1＝γ2＋ｆ1×(Ｎ＋１)1＋…＋ｆd×(Ｎ＋１)d mo
    dｑ，・・・，γ2N+d-1＝γ2＋ｆ1×(Ｎ＋ｄ−１)1＋…
    ＋ｆd×(Ｎ＋ｄ−１)d modｑ を計算することにより分割された秘密情報α1N+1,…,α
    1N+d-1,α2N+1,…,α2N+ d-1とβ1N+1,…,β1N+d-1,β2
    N+1,…,β2N+d-1とγ1N+1,…,γ1N+d-1,γ2N+1,…,γ2
    N+d-1より求めた公開情報 ΑN+1＝ｇ1 α1N+1ｇ2 α2N+1 modｐ，…，ΑN+d-1＝ｇ1
    α1N+d-1ｇ2 α2N+d-1 modｐ ΒN+1＝ｇ1 β1N+1ｇ2 β2N+1 modｐ，…，ΒN+d-1＝ｇ1
    β1N+d-1ｇ2 β2N+d-1 modｐ ΓN+1＝ｇ1 γ1N+1ｇ2 γ2N+1 modｐ，…，ΓN+d-1＝ｇ1
    γ1N+d-1ｇ2 γ2N+d-1 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
    求めた公開情報 Α1＝ｇ1 α11ｇ2 α21 modｐ，…，ΑN＝ｇ1 α1Nｇ2 α2N
    modｐ Β1＝ｇ1 β11ｇ2 β21 modｐ，…，ΒN＝ｇ1 β1Nｇ2 β2N
    modｐ Γ1＝ｇ1 γ11ｇ2 γ21 modｐ，…，ΓN＝ｇ1 γ1Nｇ2 γ2N
    modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1，ｇ2とハッシ
    ュ関数hash( )を利用でき、（１）前記議長端末は、零
    でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、前記Ｄ台の特定端末
    ｉ1,…,ｉDの公開情報Γi1,…,ΓiDと前記公開情報Γ
    N+1,…,ΓN+d-1の内任意のｖ(＝ｄ−Ｄ)個の公開情報Γ
    b1,…,Γbvとから、排除情報 Ｃ2i1＝Γi1 k modｐ,・・・,Ｃ2iD＝ΓiD k modｐ,Ｃ2b1
    ＝Γb1 k modｐ,・・・,Ｃ2bv＝Γbv k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
    2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
    iD＝ΑiD kΒiD∧{ｃ×ｋ modｑ} modｐ ｖb1＝Αb1 kΒb1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
    bv＝Αbv kΒbv∧{ｃ×ｋ modｑ} modｐ を計算し、前記検証情報ｖ,ｖi1,…,ｖiD,ｖb1,…,ｖbv
    と前記排除情報Ｃ2i1,…,Ｃ2iDとＣ2b1,…,Ｃ2bvと特定
    端末番号ｉ1,…,ｉDと前記公開情報Γb1,…,Γbvに対応
    した端末番号ｂ1,…,ｂvと共に全端末に同報通信し、
    （４）前記議長端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉD,ｂ1,…,
    ｂv,φ)は、Λ＝{ｊ,ｉ1,…,ｉD,ｂ1,…,ｂv}として、
    λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉD,Λ) ,λ(ｂ1,Λ),…,
    λ(ｂv,Λ)を求め、前記システムの公開鍵Α,Βと自身
    の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11 α1jＣ12 α2j（Ｃ11 β1jＣ12 β2j）c）∧{λ(ｊ,
    Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖiD∧
    {λ(ｉD,Λ) modｑ}×ｖb1∧{λ(ｂ1,Λ) modｑ}×…×
    ｖbv∧{λ(ｂv,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,
    Ｃ12) modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
    つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
    (ｉ1,Λ),…,λ(ｉD,Λ),λ(ｂ1,Λ),…,λ(ｂv,Λ)と
    前記準備情報Ｃ11,Ｃ12と前記排除情報Ｃ2i1,…,Ｃ2iD
    とＣ2b1，…,Ｃ2bvと自身の前記秘密情報γ1j,γ2jを用
    いて、（Ｃ11 γ1jＣ12 γ2j）∧{λ(ｊ,Λ) modｑ}×Ｃ2
    i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ(ｉd,Λ)
    modｑ}×Ｃ2 b1∧{λ(ｂ1,Λ) modｑ}×・・・×Ｃ2
    bv∧{λ(ｂv,Λ) modｑ} modｐを計算することにより、
    共有鍵Ｋを求めることを特徴とする請求項１および６記
    載の排他的鍵共有法。
  8. 【請求項８】 前記議長端末は、前記秘密鍵α1,α2,β
    1,β2,γ1,γ2を任意の整数θ個の特定端末数ｄ1,…,ｄ
    θに対してそれぞれ分割したθ組の秘密情報より作成さ
    れた公開情報を利用でき、一方、前記端末は各組の中か
    ら自身の端末番号に対応したθ個の秘密情報を保持して
    おき、前記特定端末を排除した鍵共有を行う場合には、
    前記議長端末および前記端末ｊが、前記実際特定端末数
    Ｄと等しい前記特定端末数ｄw(１≦ｗ≦θ)を前記ｄ1,
    …,ｄθより選択し、前記議長端末は選択された特定端
    末数ｄwに対応した１組の前記公開情報を用いて前記検
    証情報と前記排除情報と特定端末番号と自身の端末番号
    を同報通信し、端末との共有鍵Ｋを求め、一方前記端末
    ｊは検証式を確認し、ｄwに対応した秘密情報を用いて
    議長端末との共有鍵Ｋを求めることを特徴とする請求項
    １および６記載の排他的鍵共有法。
  9. 【請求項９】 基地局と基地局に接続されたＮ台（Ｎは
    ２以上の整数）の端末からなる同報通信が可能な通信シ
    ステムの排他的鍵共有法において、秘密鍵をα1,α2,β
    1,β2,γ1,γ2とし、前記α1,α2,β1,β2,γ1,γ2およ
    び前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇ1,ｇ2と
    し、特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末
    ｉ(１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
    iを秘密に保持しており、システムの公開鍵 Α＝ｇ1 α1ｇ2 α2 modｐ,Β＝ｇ1 β1ｇ2 β2 modｐ,Γ＝
    ｇ1 γ1ｇ2 γ2 modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1,ｇ2とハッシ
    ュ関数hash( )を利用でき、前記基地局は、前記秘密情
    報α11,…,α1N,α21,…,α2N,β1i,…,β1N,β21,…,
    β2N,γ1i,…,γ1N,γ21,…,γ2Nを保持しており、
    （１）前記基地局は、零でないＧＦ(ｑ)の元ｋを任意に
    生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記基地局は、ｄ台の特定端末ｉ1,
    …,ｉdの秘密情報γ1i1,…,γ1id,γ2 i1,…,γ2idから
    排除情報 Ｃ2i1＝ｇ1∧{γ1i1×ｋ modｑ} modｐ，・・・，Ｃ2id
    ＝ｇ2∧{γ2id×ｋ modｑ} modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
    2) modｑ） ｖi1＝（ｇ1 α1i1ｇ2 α2i1）k（ｇ1 β1i1ｇ2 β2i1）∧
    {ｃ×ｋ modｑ} modｐ，・・・，ｖid＝（ｇ1 α1idｇ2
    α2id）k（ｇ1 β1idｇ2 β2id）∧{ｃ×ｋ modｑ} modｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
    ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
    端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd，φ)は、
    Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),
    …,λ(ｉd,Λ)を求め、前記システムの公開鍵Α，Βと
    自身の前記秘密情報α1j,α2j,β1j,β2jを用いて検証
    式 （Ｃ11 α1jＣ12 α2j（Ｃ11 β1jＣ12 β2j）c）∧{λ(ｊ,
    Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
    {λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
    modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
    つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
    (ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
    記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
    γ2jを用いて、（Ｃ11 γ1jＣ12 γ2j）∧{λ(ｊ,Λ) mod
    ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
    (ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
    Ｋを求めることを特徴とする請求項１および６記載の排
    他的鍵共有法。
  10. 【請求項１０】 相互に接続されたＮ台（Ｎは２以上の
    整数）の端末からなる同報通信が可能な通信システムの
    排他的鍵共有法において、秘密鍵をα1,α2,β1,β2,γ
    1,γ2とし、前記α1,α2,β1,β2,γ1,γ2および前記Ｎ
    より大きい素数または素数のべき数をｐとし、（ｐ−
    １）の約数をｑとし、ＧＦ(ｐ)の元をｇ 1,ｇ2とし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ
    (１≦ｉ≦Ｎ)は、前記秘密情報α1i,α2i,β1i,β2i,γ
    1i,γ2iを秘密に保持しており、システムの公開鍵 Α＝ｇ1 α1ｇ2 α2 modｐ,Β＝ｇ1 β1ｇ2 β2 modｐ,Γ＝
    ｇ1 γ1ｇ2 γ2 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
    求めた公開情報 Α1＝ｇ1 α11ｇ2 α21 modｐ，…，ΑN＝ｇ1 α1Nｇ2 α2N
    modｐ Β1＝ｇ1 β11ｇ2 β21 modｐ，…，ΒN＝ｇ1 β1Nｇ2 β2N
    modｐ Γ1＝ｇ1 γ11ｇ2 γ21 modｐ，…，ΓN＝ｇ1 γ1Nｇ2 γ2N
    modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1,ｇ2とハッシ
    ュ関数hash( )を利用でき、（１）前記議長端末は、零
    でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
    …,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、共有鍵 Ｋ＝Γk modｐ を求め、（４）前記議長端末は、任意のグループ鍵Ｍを
    生成し、共有鍵Ｋを用いて暗号文 Ｃ＝Ｍ×Ｋ modｐ を求め、（５）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
    2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
    id＝Αi1 kΒid∧{ｃ×ｋ modｑ} modｐ を計算し、前記暗号文Ｃと前記検証情報ｖ,ｖi1,…,ｖ
    idと前記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,
    …,ｉdと共に全端末に同報通信し、（６）前記各端末ｊ
    (ｊ≠ｉ1,…,ｉd,φ)は、Λ＝{ｊ,ｉ1,…,ｉd}として、
    λ(ｊ,Λ),λ(ｉ1,Λ),…,λ(ｉd,Λ)を求め、前記シス
    テムの公開鍵Α,Βと自身の前記秘密情報α1j,α2j,β1
    j,β2jを用いて検証式 （Ｃ11 α1jＣ12 α2j（Ｃ11 β1jＣ12 β2j）c）∧{λ(ｊ,
    Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
    {λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
    modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
    つ場合は、（７）前記各端末ｊは、前記λ(ｊ,Λ),λ
    (ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
    記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
    γ2jを用いて、（Ｃ11 γ1jＣ12 γ2j）∧{λ(ｊ,Λ) mod
    ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
    (ｉd,Λ) modｑ} modｐを計算することにより、共有鍵
    Ｋを求め、（８）前記各端末ｊは、前記共有鍵Ｋと暗号
    文Ｃよりグループ鍵 Ｍ＝Ｃ／Ｋ modｐ を求めることを特徴とする請求項１および６記載の排他
    的鍵共有法。
  11. 【請求項１１】 前記基地局が、前記秘密鍵Ｓまたはα
    1,α2,β1,β2,γ1,γ2の分割、前記公開鍵ｙまたはΑ,
    Β,Γ、公開情報ｙ1,ｙ2,…,ｙNまたはΑ1,…,ΑN,Β1,
    …,ΒN,Γ1,…,ΓNの算出と公開、および前記端末ｉに
    対応した前記秘密情報Ｓiまたはα1i,α2i,β1i,β2i,
    γ1i,γ2iの埋め込みを行うことを特徴とする請求項１
    および６記載の排他的鍵共有法。
  12. 【請求項１２】 前記基地局とは別の第三機関が、前記
    秘密鍵Ｓまたはα1,α2,β1,β2,γ1,γ2の分割、前記
    公開鍵ｙまたはΑ,Β,Γ、公開情報ｙ1,ｙ2,…,ｙNまた
    はΑ1,…,ΑN,Β1,…,ΒN,Γ1,…,ΓNの算出と公開、お
    よび前記端末ｉに対応した前記秘密情報Ｓiまたはα1i,
    α2i,β1i,β2i,γ1i,γ2iの埋め込みを行うことを特徴
    とする請求項１および６記載の排他的鍵共有法。
  13. 【請求項１３】 前記同報通信可能な通信システムに新
    規に加入する端末に対して、新たな端末番号Ｉ（Ｉ＞
    Ｎ）を設定し、 ＳI＝Ｓ＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ を計算することにより求められた秘密情報ＳIまたは α1I＝α1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ α2I＝α2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ β1I＝β1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ β2I＝β2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ γ1I＝γ1＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ γ2I＝γ2＋ｆ1×Ｉ1＋…＋ｆd×Ｉd modｑ を秘密に保持させることを特徴とする請求項１および６
    記載の排他的鍵共有法。
  14. 【請求項１４】 前記端末ｉは、前記秘密情報Ｓiまた
    はα1i,α2i,β1i,β2i,γ1i,γ2iの代わりに前記ｐを
    法とし、前記Ｓiまたはα1i,α2i,β1i,β2i,γ1i,γ2i
    を指数とする前記Ｃ1または前記Ｃ11,Ｃ12のべき乗剰余
    値（＝Ｃ1 Si modｐまたはＣ11 α1iＣ12 α2i modｐ，Ｃ1
    1 β1iＣ12 β2i modｐ，Ｃ11 γ1iＣ12 γ 2i modｐ）を秘
    密に保存することを特徴とする請求項１および６記載の
    排他的鍵共有法。
  15. 【請求項１５】 前記議長端末または前記基地局が、前
    記特定端末を含む全ての前記Λについての前記λ(ｉ,
    Λ)を求め、前記法ｑ上で求めた各前記λ(ｉ,Λ)を指数
    とし、前記ｐを法とする前記排除情報Ｃ2iのべき乗剰余
    値Ｃ2i∧(λ(ｉ,Λ) modｑ) modｐを計算し、鍵共有時
    に同報通信し、前記特定端末を除く全ての端末ｊでは、
    前記ｊを含む前記Λに対応した前記べき乗剰余値を用い
    て共有鍵Ｋを求めることを特徴とする請求項１および６
    記載の排他的鍵共有法。
  16. 【請求項１６】 前記基地局と前記特定端末を除く全て
    の端末ｊが共有した前記共有鍵Ｋと前回の鍵共有時に共
    有した共有鍵Ｋ1から新規共有鍵Ｋ2を生成することを特
    徴とする請求項１および６記載の排他的鍵共有法。
  17. 【請求項１７】 前記基地局と前記端末にあらかじめ備
    えられたディジタル署名手段において、基地局から配送
    されるデータに対して基地局のディジタル署名を付加す
    ることを特徴とする請求項６記載の排他的鍵共有法。
  18. 【請求項１８】 前記端末が保持する秘密情報の数を、
    端末の権限に応じて増減させることを特徴とする請求項
    １および６記載の排他的鍵共有法。
  19. 【請求項１９】 前記議長端末および前記基地局が特定
    端末として自身のみを選択し、前記共有鍵Ｋを用いた暗
    号通信路を用い鍵共有に必要な情報を同報通信すること
    を特徴とする請求項１および６記載の排他的鍵共有法。
  20. 【請求項２０】 相互に接続されたＮ台（Ｎは２以上の
    整数）の端末からなる同報通信が可能な通信システムの
    排他的鍵共有法において、秘密鍵をＳとし、前記Ｓおよ
    び前記Ｎより大きい素数または素数のべき数をｐとし、
    （ｐ−１）の約数をｑとし、ＧＦ(ｐ)の元をｇとし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ
    (１≦ｉ≦Ｎ)は、 Ｓ＝Σλ(ｉ,Λ)×Ｓi（和はｉ∈Λについて行う） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） Ｓi＝Ｓ＋ｆ1×ｉ1＋…＋ｆd×ｉd modｑ （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報Ｓiを秘密に保持しており、シ
    ステム管理者が管理するシステムの公開鍵 ｙ＝ｇS modｐ と、公開情報 ｙ1＝ｇS1 modｐ,ｙ2＝ｇS2 modｐ,…,ｙN＝ｇSN modｐ と、前記素数ｐと前記約数ｑと前記元ｇを利用でき、
    （１）前記議長端末は、零でないＧＦ(ｑ)の元ｋを任意
    に生成し、ｄ台の特定端末ｉ1,…,ｉdの公開情報ｙi1,
    …,ｙidから、排除情報 Ｃ2i1＝ｙi1 k modｐ，・・・，Ｃ2id＝ｙid k modｐ を計算し、（２）前記議長端末は、自身の秘密情報Ｓφ
    を用いて署名 Ｚ＝Ｃ2i1×・・・×Ｃ2id×（−Ｓφ）＋ｋ modｑ を計算し、上記署名Ｚを排除情報Ｃ2i1,…,Ｃ2idと特定
    端末番号ｉ1,…,ｉdと自身の端末番号φと共に全端末に
    同報通信し、（３）前記議長端末は、共有鍵 Ｋ＝ｙk modｐ を求め、（４）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
    議長端末の公開情報ｙφを用いて Ｃ1＝ｇZ×ｙφ∧（Ｃ2i1×・・・×Ｃ2id modｑ） mod
    ｐ （署名者が確かに議長端末φであり、かつ署名Ｚと排除
    情報Ｃ2i1,…,Ｃ2idと特定端末番号ｉ1,…,ｉdと議長端
    末の端末番号φが改ざんされていなければ、Ｃ1＝ｇk m
    odｐとなる。）を求め、（５）前記各端末ｊは、Λ＝
    {ｊ,ｉ1,…,ｉd }として、λ(ｊ,Λ)とλ(ｉ1,Λ),…,
    λ(ｉd,Λ)を求め、前記Ｃ1と前記排除情報Ｃ2i1,・・
    ・,Ｃ2idと自身の秘密情報Ｓjを用いて、Ｃ1∧(Ｓj×λ
    (ｊ,Λ) modｑ)×Ｃ2i1∧(λ(ｉ1,Λ) modｑ)×・・・
    ×Ｃ2id∧(λ(ｉd,Λ) modｑ) modｐを計算することに
    より、前記議長端末との共有鍵Ｋを求め、（ｉ）前記シ
    ステム管理者は、零でないＧＦ(ｑ)の元εを任意に生成
    し、前記εを全端末に同報通信し、（ii）前記システム
    管理者は、新規元 ｇ'＝ｇ∧{(１／ε) modｑ} modｐ を求め、管理する前記元ｇと置き換え、（iii）前記各
    端末ｉは、新規秘密情報 Ｓi'＝Ｓi×ε modｑ （このとき、(ｇ')Si' modｐ=(ｇ)Si modｐが成り立
    つ）を求めることを特徴とする請求項１記載の排他的鍵
    共有法。
  21. 【請求項２１】 相互に接続されたＮ台（Ｎは２以上の
    整数）の端末からなる同報通信が可能な通信システムの
    排他的鍵共有法において、秘密鍵をα1,α2,β1,β2,γ
    1,γ2とし、前記α1,α2,β1,β2,γ1,γ2および前記Ｎ
    より大きい素数または素数のべき数をｐとし、（ｐ−
    １）の約数をｑとし、ＧＦ(ｐ)の元をｇ 1,ｇ2とし、議
    長端末φ（任意の端末がなることができる）が特定でき
    る特定端末数をｄ(１≦ｄ＜Ｎ−１)とし、前記各端末ｉ
    (１≦ｉ≦Ｎ)は、 α1＝Σλ(ｉ,Λ)×α1i（和はｉ∈Λについて行う） （ただし、α1i＝α1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） α2＝Σλ(ｉ,Λ)×α2i（和はｉ∈Λについて行う） （ただし、α2i＝α2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β1＝Σλ(ｉ,Λ)×β1i（和はｉ∈Λについて行う） （ただし、β1i＝β1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） β2＝Σλ(ｉ,Λ)×β2i（和はｉ∈Λについて行う） （ただし、β2i＝β2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ1＝Σλ(ｉ,Λ)×γ1i（和はｉ∈Λについて行う） （ただし、γ1i＝γ1＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） γ2＝Σλ(ｉ,Λ)×γ2i（和はｉ∈Λについて行う） （ただし、γ2i＝γ2＋ｆ1×ｉ1＋…＋ｆd×ｉd mod
    ｑ） λ(ｉ,Λ)＝Π{Ｌ／(Ｌ−ｉ)}（積はＬ∈Λ−{ｉ}に
    ついて行う） （ただし、ｆ1,…,ｆdはｄ個のＧＦ(ｑ)の元、ｆd≠
    ０、Λは前記Ｎ台の端末の任意の（ｄ＋１）台からなる
    集合）を満たす秘密情報α1i,α2i,β1i,β2i,γ1i,γ2
    iを秘密に保持しており、システム管理者が管理するシ
    ステムの公開鍵 Α＝ｇ1 α1ｇ2 α2 modｐ,Β＝ｇ1 β1ｇ2 β2 modｐ,Γ＝
    ｇ1 γ1ｇ2 γ2 modｐ と、前記秘密情報α1i,α2i,β1i,β2i,γ1i,γ2iより
    求めた公開情報 Α1＝ｇ1 α11ｇ2 α21 modｐ，…，ΑN＝ｇ1 α1Nｇ2 α2N
    modｐ Β1＝ｇ1 β11ｇ2 β21 modｐ，…，ΒN＝ｇ1 β1Nｇ2 β2N
    modｐ Γ1＝ｇ1 γ11ｇ2 γ21 modｐ，…，ΓN＝ｇ1 γ1Nｇ2 γ2N
    modｐ と、前記素数ｐと前記約数ｑと前記元ｇ1，ｇ2とハッシ
    ュ関数hash( )を利用でき、（１）前記議長端末は、零
    でないＧＦ(ｑ)の元ｋを任意に生成し、準備情報 Ｃ11＝ｇ1 k modｐ，Ｃ12＝ｇ2 k modｐ を計算し、（２）前記議長端末は、ｄ台の特定端末ｉ1,
    …,ｉdの公開情報Γi1,…,Γidから、排除情報 Ｃ2i1＝Γi1 k modｐ，・・・，Ｃ2id＝Γid k modｐ を計算し、（３）前記議長端末は、検証情報 ｖ＝ΑkΒ∧{ｃ×ｋ modｑ} modｐ（ｃ＝hash(Ｃ11,Ｃ1
    2) modｑ） ｖi1＝Αi1 kΒi1∧{ｃ×ｋ modｑ} modｐ，・・・，ｖ
    id＝Αi1 kΒid∧{ｃ×ｋ modｑ} modｐ を計算し、上記排除情報Ｃ2i1,…,Ｃ2idと特定端末番号
    ｉ1,…,ｉdと共に全端末に同報通信し、（４）前記議長
    端末は、共有鍵 Ｋ＝Γk modｐ を求め、（５）前記各端末ｊ(ｊ≠ｉ1,…,ｉd,φ)は、
    Λ＝{ｊ,ｉ1,…,ｉd}として、λ(ｊ,Λ),λ(ｉ1,Λ),
    …,λ(ｉd,Λ)を求め、前記システムの公開鍵Α,Βと自
    身の前記秘密情報α1j,α2j,β1j,β2jを用いて検証式 （Ｃ11 α1jＣ12 α2j（Ｃ11 β1jＣ12 β2j）c）∧{λ(ｊ,
    Λ) modｑ}×ｖi1∧{λ(ｉ1,Λ) modｑ}×…×ｖid∧
    {λ(ｉd,Λ) modｑ} modｐ＝ｖ（ｃ＝hash(Ｃ11,Ｃ12)
    modｑ） を計算し、成り立たない場合は鍵共有を中止し、成り立
    つ場合は、（６）前記各端末ｊは、前記λ(ｊ,Λ),λ
    (ｉ1,Λ),…,λ(ｉd,Λ)と前記準備情報Ｃ11,Ｃ12と前
    記排除情報Ｃ2i1,…,Ｃ2idと自身の前記秘密情報γ1j,
    γ2jを用いて、（Ｃ11 γ1jＣ12 γ2j）∧{λ(ｊ,Λ) mod
    ｑ}×Ｃ2i1∧{λ(ｉ1,Λ) modｑ}×・・・×Ｃ2id∧{λ
    (ｉd,Λ) modｑ} modｐを計算することにより、前記議
    長端末との共有鍵Ｋを求め、（ｉ）前記システム管理者
    は、零でないＧＦ(ｑ)の元εを任意に生成し、前記εを
    全端末に同報通信し、（ii）前記システム管理者は、新
    規元 ｇ1'＝ｇ1∧(１／ε modｑ) modｐ，ｇ2'＝ｇ2∧(１／
    ε modｑ) modｐ を求め、管理する前記元ｇと置き換え、（iii）前記各
    端末ｉは、新規秘密情報 α1i'＝α1i×ε modｑ α2i'＝α2i×ε modｑ β1i'＝β1i×ε modｑ β2i'＝β2i×ε modｑ γ1i'＝γ1i×ε modｑ γ2i'＝γ2i×ε modｑ （このとき、 (ｇ')α1i' modｐ＝(ｇ)α1i modｐ (ｇ')α2i' modｐ＝(ｇ)α2i modｐ (ｇ')β1i' modｐ＝(ｇ)β1i modｐ (ｇ')β2i' modｐ＝(ｇ)β2i modｐ (ｇ')γ1i' modｐ＝(ｇ)γ1i modｐ (ｇ')γ2i' modｐ＝(ｇ)γ2i modｐ が成り立つ）を求めることを特徴とする請求項６記載の
    排他的鍵共有法。
  22. 【請求項２２】 前記議長端末または前記基地局は、前
    記共有鍵Ｋを用いて暗号化した暗号化εを全端末に同報
    通信することを特徴とする請求項２０および２１記載の
    排他的鍵共有法。
  23. 【請求項２３】 前記議長端末のみが各端末の前記公開
    情報を利用できることを特徴とする請求項１および６記
    載の排他的鍵共有法。
  24. 【請求項２４】 各端末が自身の前記公開情報以外の全
    ての前記公開情報を保有することを特徴とする請求項１
    および６記載の排他的鍵共有法。
  25. 【請求項２５】 前記乗法演算を、任意の有限体上の楕
    円曲線などの曲線上の加法演算に対応させることを特徴
    とする請求項１〜２４記載の排他的鍵共有法。
JP11062247A 1998-12-25 1999-03-09 排他的鍵共有法 Expired - Lifetime JP3074168B1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP11062247A JP3074168B1 (ja) 1999-03-09 1999-03-09 排他的鍵共有法
US09/622,941 US6813357B1 (en) 1998-12-25 1999-12-22 Exclusive key sharing method
PCT/JP1999/007234 WO2000039957A1 (fr) 1998-12-25 1999-12-22 Procede de partage de cle exclusive
EP99961331A EP1059762B1 (en) 1998-12-25 1999-12-22 Exclusive key sharing method
DE69940842T DE69940842D1 (de) 1998-12-25 1999-12-22 Verfahren zur gemeinsamen nutzung eines exklusiven schlüssels

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP11062247A JP3074168B1 (ja) 1999-03-09 1999-03-09 排他的鍵共有法

Publications (2)

Publication Number Publication Date
JP3074168B1 true JP3074168B1 (ja) 2000-08-07
JP2000261425A JP2000261425A (ja) 2000-09-22

Family

ID=13194633

Family Applications (1)

Application Number Title Priority Date Filing Date
JP11062247A Expired - Lifetime JP3074168B1 (ja) 1998-12-25 1999-03-09 排他的鍵共有法

Country Status (1)

Country Link
JP (1) JP3074168B1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2824212A1 (fr) 2001-04-25 2002-10-31 Thomson Licensing Sa Procede de gestion d'une cle symetrique dans un reseau de communication et dispositifs pour la mise en oeuvre
KR100872817B1 (ko) 2006-12-07 2008-12-09 인하대학교 산학협력단 변형 디피 헬만 기반 키교환 방법
JP5012574B2 (ja) * 2008-03-03 2012-08-29 日本電気株式会社 共通鍵自動共有システム及び共通鍵自動共有方法
JP5911289B2 (ja) * 2011-12-16 2016-04-27 セコム株式会社 鍵管理システム
JP6295185B2 (ja) * 2014-11-18 2018-03-14 株式会社日立製作所 電力送配電網運用システム、電力送配電網運用方法

Non-Patent Citations (5)

* Cited by examiner, † Cited by third party
Title
Ｋ．Ｎｙｂｅｒｇ ａｎｄ Ｒ．Ａ．Ｒｕｅｐｐｅｌ；"Ｍｅｓｓａｇｅ Ｒｅｃｏｖｅｒｙ ｆｏｒ Ｓｉｇｎａｔｕｒｅ Ｓｃｈｅｍｅｓ Ｂａｓｅｄ ｏｎ ｔｈｅ Ｄｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍ Ｐｒｏｂｌｅｍ"Ｌｅｃｔｕｒｅ Ｎｏｔｅ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ （Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＥＵＲＯＣＲＹＰＴ’９４）Ｖｏｌ．９５０（１９９４．５月）ｐ．１８２−１９３
Ｒ．Ｃｒａｍｅｒ ａｎｄ Ｖ．Ｓｈｏｕｐ；"Ａ Ｐｒａｃｔｉｃａｌ Ｐｕｂｌｉｃ Ｋｅｙ Ｃｒｙｐｔｏｓｙｓｔｅｍ Ｐｒｏｖａｂｌｙ Ｓｅｃｕｒｅ ａｇａｉｎｓｔ Ａｄａｐｔｉｖｅ Ｃｈｏｓｅｎ Ｃｉｐｈｅｒｔｅｘｔ Ａｔｔａｃｋ"Ｌｅｃｔｕｒｅ Ｎｏｔｅ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ（Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＣＲＹＰＴＯ’９８），Ｖｏｌ．１４６２（１９９８．８月）ｐ．１３−２５
安斉潤 他；"マスク付きグループ鍵共有法"１９９９年暗号と情報セキュリティシンポジウム予稿集 Ｖｏｌ．２／２（１９９９．１．２６）ｐ．８３５−８４０
松崎なつめ 他；"マスク付きグループ鍵共有を少量の加入者計算で行う方法"２０００年暗号と情報セキュリティ・シンポジウム（２０００．１．２７）Ｃ−１８
松崎なつめ 他；"マスク付きグループ鍵共有法（その２）"電子情報通信学会技術研究報告（ＳＳＴ９８−１１３−１２９）Ｖｏｌ．９８，Ｎｏ．６５７（１９９９．３．１０）ｐ．８３５−８４０

Also Published As

Publication number Publication date
JP2000261425A (ja) 2000-09-22

Similar Documents

Publication Publication Date Title
EP3259724B1 (en) Secure multiparty loss resistant storage and transfer of cryptographic keys for blockchain based systems in conjunction with a wallet management system
US5920630A (en) Method of public key cryptography that includes key escrow
US5937066A (en) Two-phase cryptographic key recovery system
US20180359097A1 (en) Digital signing by utilizing multiple distinct signing keys, distributed between two parties
JP4588874B2 (ja) 内在的証明書方式
CN108667625B (zh) 协同sm2的数字签名方法
US20110307698A1 (en) Masking the output of random number generators in key generation protocols
EP0695056A2 (en) A method for sharing secret information, generating a digital signature, and performing certification in a communication system that has a plurality of information processing apparatuses and a communication system that employs such a method
EP1526676A1 (en) Conference session key distribution method on an id-based cryptographic system
US20060177067A1 (en) Hybrid broadcast encryption method
CN110545169B (zh) 基于非对称密钥池和隐式证书的区块链方法和***
WO2013087629A1 (en) Group encryption methods and devices
JP2003521197A (ja) 鍵暗号化の供託および回復システムによる通信方法
CN111586064A (zh) 一种匿名的基于身份广播加密方法及其***
US6813357B1 (en) Exclusive key sharing method
JP3074168B1 (ja) 排他的鍵共有法
EP2395698B1 (en) Implicit certificate generation in the case of weak pseudo-random number generators
US7958354B1 (en) High-order knowledge sharing system to distribute secret data
CN114189338B (zh) 基于同态加密技术的sm9密钥安全分发和管理***及方法
CN114205077B (zh) 基于Blom密钥分配算法的混合加密安全通信方法
JP3074164B2 (ja) 排他的鍵共有法
JP2868759B1 (ja) 鍵更新方法
CN114697001B (zh) 一种基于区块链的信息加密传输方法、设备及介质
JP2865654B1 (ja) 鍵更新方法
JP3233605B2 (ja) 鍵更新方法