JP5931795B2 - 鍵交換システム、鍵生成装置、通信装置、鍵交換方法及びプログラム - Google Patents

Description

この発明は、情報セキュリティ技術に関し、特に、二者間で共通のセッション鍵を共有する鍵交換技術に関する。

従来の鍵交換技術には、階層型IDベース暗号方式を応用した階層型ID認証鍵交換方式がある。非特許文献１には、秘密鍵漏洩に強い階層型ID認証鍵交換方式であるFSY方式が記載されている。

以下、FSY方式について説明する。

〔公開パラメータ〕
PIDをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。セキュリティパラメータをкとする。pをkビットの素数とし、G,G_Tを双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とする。g,g_Tをそれぞれ群G,G_Tの生成元とする。Z_pをpを法とする剰余環とする。H₁:{0,1}^*→G、H₂:{0,1}^*→Z_p及びH:{0,1}^*→{0,1}^кをハッシュ関数とする。

〔鍵生成処理〕
FSY方式の鍵生成アルゴリズムは、一様ランダムにマスタ秘密鍵s₀∈Z_pを選び、S₀=1_G（∈G）を設定する。ただし、1_Gは群Gの単位元である。また、鍵生成アルゴリズムはマスタ公開鍵P₀=g（∈G）、Q₀=P₀^s₀（∈G）を計算して公開する。ここで、^はべき乗を表す。

〔鍵抽出処理〕
鍵交換方式の各ユーザは識別情報（ID₁,…,ID_t-1）に対応するものとする。各ユーザは初期化処理として、s_t-1∈Z_pを一様ランダムに選び、秘密の状態情報として保持する。識別情報ID=（ID₁,…,ID_t-1）を設定されたユーザは鍵抽出者として自分の長期秘密鍵（S_t-1,Q₁,…,Q_t-1）を用いて、識別情報ID’=（ID₁,…,ID_t）を設定された下位のユーザ向けに次のように長期秘密鍵（S_t,Q₁,…,Q_t）を生成する。まず、鍵抽出者はP_t=H₁(ID₁,…,ID_t)（∈G）、S_t=S_t-1P_t^s_t-1、Q_t=P₀^s_tを計算する。続いて、鍵抽出者は下位のユーザの長期秘密鍵として（S_t,Q₁,…,Q_t）を出力する。

〔鍵交換処理〕
ここでは、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_Aは第α階層に属し、識別情報ID_A=（ID_A,1,…,ID_A,α）に対応する長期秘密鍵（S_A,α,Q_A,1,…,Q_A,α）を持つ。ユーザU_Bは第β階層に属し、識別情報ID_B=（ID_B,1,…,ID_B,β）に対応する長期秘密鍵（S_B,β,Q_B,1,…,Q_B,β）を持つ。

まず、ユーザU_Aは一様ランダムにアドホック秘密鍵~x∈Z_pを選ぶ。このとき、ユーザU_Aはx=H₂(S_A,α,~x)を計算し、アドホック公開鍵epk_IDB=（X₀=P₀ ^x,X_B,2=P_B,2 ^x,…,X_B,β=P_B,β ^x）を計算する。ただし、P_B,i=H₁(ID_B,1,…,ID_B,i)（1≦i<β）である。ユーザU_Aはアドホック公開鍵epk_IDBをユーザU_Bに送る。

一方、ユーザU_Bは一様ランダムにアドホック秘密鍵~y∈Z_pを選ぶ。このとき、ユーザU_Bはy=H₂(S_B,β,~y)を計算し、アドホック公開鍵epk_IDA=（Y₀=P₀ ^y,Y_A,2=P_A,2 ^y,…,Y_A,α=P_A,α ^y）を計算する。ただし、P_A,i=H₁(ID_A,1,…,ID_A,i)（1≦i<α）である。ユーザU_Bはアドホック公開鍵epk_IDAをユーザU_Aに送る。

続いて、ユーザU_Bは共有秘密情報σ_B,1,σ_B,2,σ_B,3を次のように計算する。

さらに、ユーザU_Bはセッション鍵K=H(σ_B,1,σ_B,2,σ_B,3,PID,ID_A,ID_B,epk_IDB,epk_IDA)を求める。ユーザU_Bはセッション鍵Kを出力し、処理を終了する。

一方、ユーザU_Aは共有秘密情報σ_A,1,σ_A,2,σ_A,3を次のように計算する。

さらに、ユーザU_Aはセッション鍵K=H(σ_A,1,σ_A,2,σ_A,3,PID,ID_A,ID_B,epk_IDB,epk_IDA)を求める。ユーザU_Aはセッション鍵Kを出力し、処理を終了する。

ユーザU_Aが計算する共有秘密情報σ_A,1,σ_A,2,σ_A,3とユーザU_Bが計算する共有秘密情報σ_B,1,σ_B,2,σ_B,3はそれぞれ等しいため、ユーザU_A及びユーザU_Bは同一のセッション鍵Kを得ることができる。

共有秘密情報σ_A,1と共有秘密情報σ_B,1とが等しいことを以下に示す。

共有秘密情報σ_A,2と共有秘密情報σ_B,2とが等しいことを以下に示す。

共有秘密情報σ_A,3と共有秘密情報σ_B,3とが等しいことを以下に示す。

Atsushi Fujioka, Koutarou Suzuki, Kazuki Yoneyama, "Hierarchical ID-Based Authenticated Key Exchange Resilient to Ephemeral Key Leakage.", IEICE Transactions 94-A(6), pp. 1306-1317, 2011.

非特許文献１に記載された従来技術では、安全性を保証するためにハッシュ関数が理想的に安全なランダムオラクルでなければならないという問題がある。しかし、ランダムオラクルは現実のハッシュ関数を用いては実現できないことが知られている。よって、ランダムオラクルを仮定せずに安全性証明が付く方式であることが望ましい。

また、非特許文献１に記載された従来技術では各ユーザは階層の深さ（上述の説明ではα及びβ）に依存した個数の要素を送受信する必要があり、鍵交換システムに参加するユーザ数が大規模になると通信量が爆発的に増加する。また、共有秘密情報を求める際に負荷の重いペアリング計算を実行するが、その計算回数も同様に階層の深さに比例しているため、鍵交換システムに参加するユーザ数が大規模になると計算量も爆発的に増加する。よって、通信量やペアリング計算回数が階層の深さに依存しない拡張性の高い方式が望ましい。

この発明は、ランダムオラクルを仮定しなくても安全性が保証され、計算量や通信量が階層の深さに依存せず拡張性が高い鍵交換技術を提供することを目的とする。

上記の課題を解決するために、この発明の一態様による鍵交換システムは、鍵生成装置とL階層に階層化された複数の通信装置を含む。以下では、^はべき乗を表し、・は乗算を表し、Z_pは素数pを法とする剰余環とし、G,G_Tは双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とし、gは群Gの生成元とし、F_ke、F_gen、F_sig及びF_kdfは擬似ランダム関数とし、FSは擬似ランダム関数の鍵空間とし、Genは任意の使いきり署名方式の署名鍵生成アルゴリズムとし、Signは任意の使いきり署名方式の署名生成アルゴリズムとし、Verは任意の使いきり署名方式の署名検証アルゴリズムとする。鍵生成装置は、値zを環Z_pから選択し、値g₁=g^zを計算し、値g₂,g₃,g₄,h₁,…,h_Lを群Gから選択するパラメータ生成部と、マスタ秘密鍵MSK=g₂ ^zを計算するマスタ秘密鍵生成部と、第i階層に属する通信装置の長期秘密鍵SSK_iを、値rを環Z_pから選択し、値w₁,w₂,w₃,w₄,w₅,w₆を鍵空間FSから選択し、u₀=MSK・(h₁^ID₁…h_i^ID_i・g₃)^r、u₁=g^r、u₂=g₄ ^rを計算し、SSK_i=(u₀,u₁,u₂,h_i+1 ^r,…,h_L ^r,w₁,w₂,w₃,w₄,w₅,w₆)として生成する長期秘密鍵生成部と、を含む。

通信装置は、第α階層に属し識別情報ID=（ID₁,…,ID_α）が設定されており、第β階層に属し識別情報ID'=（ID'₁,…,ID'_β）が設定された通信装置とセッション鍵SKを共有するものとする。通信装置は、値esk_ke,esk'_ke,esk_gen,esk'_gen,esk_sig,esk'_sigを鍵空間FSから選択するアドホック秘密鍵生成部と、擬似ランダム関数F_ke(w₁,esk_ke)の出力と擬似ランダム関数F_ke(esk'_ke,w₂)の出力との排他的論理和を計算して擬似乱数sを生成し、擬似ランダム関数F_gen(w₃,esk_gen)の出力と擬似ランダム関数F_gen(esk'_gen,w₄)の出力との排他的論理和を計算して擬似乱数rand_genを生成し、擬似ランダム関数F_sig(w₅,esk_sig)の出力と擬似ランダム関数F_sig(esk'_sig,w₆)の出力との排他的論理和を計算して擬似乱数rand_sigを生成する擬似乱数生成部と、擬似乱数rand_genを用いて鍵生成アルゴリズムGenを実行し、署名鍵skと検証鍵vkを生成する署名鍵生成部と、値gのs乗を計算して暗号文C₁を生成し、(h₁^ID'₁…h_β^ID'_β・g₄ ^vk・g₃)^sを計算して暗号文C₂を生成する暗号文生成部と、暗号文C₁及び暗号文C₂を入力として擬似乱数rand_sig及び署名鍵skを用いて署名アルゴリズムSignを実行し、署名σを生成し、暗号文C₁、暗号文C₂、署名σ及び検証鍵vkを含むアドホック公開鍵EPKを生成するアドホック公開鍵生成部と、識別情報ID'が設定された通信装置から暗号文C'₁、暗号文C'₂、署名σ'及び検証鍵vk'を含むアドホック公開鍵EPK'を受信すると、暗号文C'₁、暗号文C'₂及び署名σ'を入力として検証鍵vk'を用いて検証アルゴリズムVerを実行し、アドホック公開鍵EPK'を検証するアドホック公開鍵検証部と、e(g₁,g₂)^sを計算して秘密情報σ₁を生成し、e(C'₁,u₀・u₂ ^vk')/e(C'₂,u₁)を計算して秘密情報σ₂を生成し、e(C'₁,g₃)^sを計算して秘密情報σ₃を生成する秘密情報生成部と、識別情報ID、識別情報ID'、アドホック公開鍵EPK及びアドホック公開鍵EPK'に基づいてセッション識別情報STを生成し、秘密情報σ₁及びセッション識別情報STを入力とする擬似ランダム関数F_kdfの出力と秘密情報σ₂及びセッション識別情報STを入力とする擬似ランダム関数F_kdfの出力と秘密情報σ₃及びセッション識別情報STを入力とする擬似ランダム関数F_kdfの出力との排他的論理和を計算し、セッション鍵SKを生成するセッション鍵生成部と、を含む。

この発明の鍵交換技術は、ランダムオラクルを仮定しなくても安全性証明が付き、通信装置の階層が深くなっても計算量や通信量が一定であるため拡張性が高い。

鍵交換システムの機能構成を例示する図である。 鍵生成装置の機能構成を例示する図である。 通信装置の機能構成を例示する図である。 鍵生成方法の処理フローを例示する図である。 鍵交換方法の処理フローを例示する図である。 鍵交換方法の処理フローを例示する図である。

この発明では、ランダムオラクルの代わりに擬似ランダム関数と強ランダム抽出器もしくは鍵導出関数を用いることで、ランダムオラクルを仮定すること無しに安全な方式を実現した。また、この方式では暗号文の長さとペアリング演算の計算回数が階層の深さに依存しない階層型IDベース暗号を部品として用いることにより、通信量やペアリング計算回数が階層の深さに依存せず、拡張性が高い。

従来技術ではセッション鍵の導出にランダムオラクルを用いていたが、この発明では強ランダム抽出器もしくは鍵導出関数で共有情報の分布をならし、その値を擬似ランダム関数の鍵とすることで出力をセッション鍵とする。このようにセッション鍵を導出する処理を変更したために、ランダムオラクルを必要としない。この手法は「Colin Boyd, Yvonne Cliff, Juan Manuel Gonzalez Nieto, Kenneth G. Paterson, “Efficient One-Round Key Exchange in the Standard Model”, ACISP 2008, pp. 69-83」などに記載されている。

また、この発明ではBoneh-Boyen-Goh階層型IDベース暗号（以下、BBG-HIBEと略す。）を用いて、通信量とペアリング演算の計算回数を定数にしている。具体的には、BBG-HIBE暗号の暗号文を交換し、復号したメッセージからセッション鍵を生成するようにした。また、使いきり署名を用いて暗号文に署名をすることにより、メッセージの改ざんを検知することができる。BBG-HIBEの構成法は、「Dan Boneh, Xavier Boyen, Eu-Jin Goh, “Hierarchical Identity Based Encryption with Constant Size Ciphertext”, EUROCRYPT 2005, pp. 440-456」に詳細に記載されている。

［実施形態］
以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

〔構成〕
図１を参照して、実施形態の鍵交換システムＡの機能構成の一例を説明する。鍵交換システムＡは、鍵生成装置１及びN（≧2）台の通信装置２₁,…,２_Nを含む。鍵生成装置１及びN台の通信装置２₁,…,２_Nはネットワーク９に接続される。ネットワーク９は、鍵生成装置１とN台の通信装置２₁,…,２_Nそれぞれとが相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、鍵生成装置１とN台の通信装置２₁,…,２_Nそれぞれとは必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、鍵生成装置１が出力する情報をＵＳＢメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体からいずれかの通信装置２_n（n=1,…,N）へオフラインで入力するように構成してもよい。その他の装置間でのデータの入出力も同様であるので、具体的な説明は省略する。

N台の通信装置２₁,…,２_Nはそれぞれ識別情報ID₁,…,ID_Nが割り当てられている。通信装置２₁,…,２_NはL階層に階層化されており、その階層構造は識別情報ID₁,…,ID_Nにより表現される。例えば、第i階層の通信装置２_n（1≦n≦N）に識別情報ID_n=（ID₁,ID₂,…,ID_i）が設定されているとすると、第i+1階層の通信装置２_m（1≦m≦N、m≠n）には識別情報ID_m=（ID₁,ID₂,…,ID_i,ID_i+1）が設定される。このように下位の階層に属する通信装置の識別情報の中に上位の階層に属するいずれかの通信装置の識別情報を含むことで階層構造が表現される。

図２を参照して、鍵交換システムＡに含まれる鍵生成装置１の機能構成の一例を説明する。鍵生成装置１は、パラメータ生成部１０、マスタ秘密鍵生成部１２、長期秘密鍵生成部１４、制御部１０１、メモリ１０２及び記憶部１０３を含む。鍵生成装置１は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。鍵生成装置１は制御部１０１の制御のもとで各処理を実行する。鍵生成装置１に入力されたデータや各処理で得られたデータはメモリ１０２に格納され、メモリ１０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部１０３は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図３を参照して、鍵交換システムＡに含まれる通信装置２_n（n=1,…,N）の機能構成の一例を説明する。通信装置２_nは、アドホック秘密鍵生成部２０_n、擬似乱数生成部２２_n、署名鍵生成部２４_n、暗号文生成部２６_n、アドホック公開鍵生成部２８_n、アドホック公開鍵検証部３０_n、秘密情報生成部３２_n、セッション鍵生成部３４_n、制御部２０１_n、メモリ２０２_n及び記憶部２０３_nを含む。通信装置２_nは、さらに長期秘密鍵生成部３６_nを含んでもよい。通信装置２_nは、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。通信装置２_nは制御部２０１_nの制御のもとで各処理を実行する。通信装置２_nに入力されたデータや各処理で得られたデータはメモリ２０２_nに格納され、メモリ２０２_nに格納されたデータは必要に応じて読み出されて他の処理に利用される。記憶部２０３_nは、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスクもしくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、またはリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

〔定義〕
以下に、実施形態で使用する記号の定義をする。кを正の整数のセキュリティパラメータとする。pをкビットの素数とする。G,G_Tをそれぞれ双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とする。gを群Gの生成元とし、g_T=e(g,g)とする。Z_pをpを法とする剰余環とする。Lを鍵交換システムにおける階層の深さの最大値とする。

（Gen,Sign,Ver）を検証鍵が環Z_pの要素となるような使いきり署名アルゴリズムとする。Genは署名鍵及び検証鍵を生成する署名鍵生成アルゴリズムである。Signは使いきり署名を生成する署名生成アルゴリズムである。Verは使いきり署名を検証する署名検証アルゴリズムである。この発明では任意の使いきり署名アルゴリズムを適用することができる。例えば、「Payman Mohassel, “One-Time Signatures and Chameleon Hash Functions.” Selected Areas in Cryptography 2010, pp. 302-319」に効率的な使いきり署名の構成方法が記載されている。

F_ke:{0,1}^*×FS→Z_p ^*、F_gen:{0,1}^*×FS→RS_gen、F_sig:{0,1}^*×FS→RS_sig、F_kdf:{0,1}^*×FS→{0,1}^кを擬似ランダム関数とする。ただし、FSは擬似ランダム関数の鍵空間、RS_genは署名鍵生成アルゴリズムGenの乱数空間、RS_sigは署名生成アルゴリズムSignの乱数空間とする。

〔公開パラメータ〕
図４を参照して、鍵交換システムＡが実行する公開パラメータ生成処理及び長期秘密鍵抽出処理の動作例を、実際に行われる手続きの順に従って説明する。

ステップＳ１０において、鍵生成装置１に含まれるパラメータ生成部１０は、値zを環Z_p ^*から一様ランダムに選び、値g₁=g^zを計算し、値g₂,g₃,g₄,h₁,…h_Lを群Gから一様ランダムに選ぶ。続いて、パラメータ生成部１０は、公開パラメータParams=（F_ke,F_gen,F_sig,F_kdf,G,G_T,g,g_T,g₁,g₂,g₃,g₄,h₁,…h_L）を生成する。

ステップＳ１２において、鍵生成装置１に含まれるマスタ秘密鍵生成部１２は、値g₂のz乗を計算して、マスタ秘密鍵MSK=g₂ ^zを生成する。

〔鍵抽出処理〕
ステップＳ１４において、鍵生成装置１に含まれる長期秘密鍵生成部１４は、i=1,…,Nについて、識別情報ID=（ID₁,…,ID_i）を持つ通信装置２_iに対して長期秘密鍵を発行する。具体的には、長期秘密鍵生成部１４は、まず、値rを環Z_pから一様ランダムに選び、値w₁,w₂,w₃,w₄,w₅,w₆を擬似乱数空間FSから一様ランダムに選ぶ。続いて、長期秘密鍵生成部１４は、識別情報ID、値r,w₁,w₂,w₃,w₄,w₅,w₆、マスタ秘密鍵MSK及び公開パラメータParamsを用いて、識別情報ID=（ID₁,…,ID_i）に対応する長期秘密鍵SSK_IDを以下のように生成する。

上位の階層（第i-1階層）に属する通信装置２_mが下位の階層（第i階層）に属する通信装置２_nに対して長期秘密鍵の抽出を行うように構成することもできる。この場合には、各通信装置２_n（n=1,…,N）が長期秘密鍵生成部３６_nを含むように構成する。例えば、上位の通信装置２_mが識別情報ID’=（ID₁,…,ID_i-1）を持ち、その長期秘密鍵がSSK_ID’=（u₀,u₁,u₂,v_i,…,v_L,w₁,w₂,w₃,w₄,w₅,w₆）であるとする。通信装置２_mに含まれる長期公開鍵生成部３６_mは、まず、値r’を環Z_pから一様ランダムに選び、値w’₁,w’₂,w’₃,w’₄,w’₅,w’₆を擬似乱数空間FSから一様ランダムに選ぶ。続いて、長期秘密鍵生成部３６_mは、識別情報ID’、値r’,w’₁,w’₂,w’₃,w’₄,w’₅,w’₆、長期秘密鍵SSK_ID’及び公開パラメータParamsを用いて、識別情報ID=（ID₁,…,ID_i）に対応する長期秘密鍵SSK_IDを以下のように生成する。

いずれの方法で長期秘密鍵SSK_IDを生成した場合であったとしても、生成した長期秘密鍵SSK_IDは秘密裏に識別情報ID=（ID₁,…,ID_i）を持つ第i階層に属する通信装置２_nに搬送される。長期秘密鍵SSK_IDの搬送方法は、例えば、ＵＳＢメモリのような可搬型記憶媒体によりオフラインで行なってもよいし、ネットワーク９上に確立される暗号化された通信経路を用いてオンラインで行なってもよい。

ステップＳ２０３_nにおいて、通信装置２_nは、オフラインもしくはオンラインで入力された長期秘密鍵SSK_IDを記憶部２０３_nへ記憶する。

〔鍵交換処理〕
図５、図６を参照して、鍵交換システム１に含まれる二台の通信装置がセッション鍵を共有する処理フローの一例を説明する。図５の符号A1、B1は図６の符号A1、B1へ処理が継続することを表している。まず、図５を参照して処理フローの前半部分を説明する。

この例では、第α階層に属する識別情報ID_A=（ID_A,1,…,ID_A,α）が割り当てられた通信装置２_Aと、第β階層に属する識別情報ID_B=（ID_B,1,…,ID_B,β）が割り当てられた通信装置２_Bとの間で共通のセッション鍵SKを共有する。通信装置２_Aは識別情報ID_Aに対応する長期秘密鍵SSK_IDA=（u_A,0,u_A,1,u_A,2,v_A,α+1,…v_A,L,w_A,1,w_A,2,w_A,3,w_A,4,w_A,5,w_A,6）を持ち、通信装置２_Bは識別情報ID_Bに対応する長期秘密鍵SSK_IDB=（u_B,0,u_B,1,u_B,2,v_B,β+1,…v_B,L,w_B,1,w_B,2,w_B,3,w_B,4,w_B,5,w_B,6）を持つものとする。

ステップＳ２０_Aにおいて、通信装置２_Aに含まれるアドホック秘密鍵生成部２０_Aは、擬似乱数空間FSから値esk_A,ke,esk’_A,ke,esk_A,gen,esk’_A,gen,esk_A,sig,esk’_A,sigを一様ランダムに選択し、アドホック秘密鍵ESK_A=（esk_A,ke,esk’_A,ke,esk_A,gen,esk’_A,gen,esk_A,sig,esk’_A,sig）を生成する。

ステップＳ２２_Aにおいて、通信装置２_Aに含まれる擬似乱数生成部２２_Aは、アドホック秘密鍵ESK_Aと公開パラメータParamsを用いて、次式により、擬似乱数s_A、擬似乱数rand_A,gen及び擬似乱数rand_A,sigを計算する。

ステップＳ２４_Aにおいて、通信装置２_Aに含まれる署名鍵生成部２４_Aは、次式により、擬似乱数rand_A,genを入力として署名鍵生成アルゴリズムGenを実行し、使いきり署名の署名鍵sk_A及び検証鍵vk_Aを生成する。

ステップＳ２６１_Aにおいて、通信装置２_Aに含まれる暗号文生成部２６_Aは、群Gの生成元gと擬似乱数s_Aを用いて、次式により、暗号文C_A,1を生成する。

ステップＳ２６２_Aにおいて、暗号文生成部２６_Aは、鍵交換相手である通信装置２_Bの識別情報ID=（ID_B,1,…,ID_B,β）、擬似乱数s_A、検証鍵vk_A及び公開パラメータParamsを用いて、次式により、暗号文C_A,2を生成する。

ステップＳ２８１_Aにおいて、通信装置２_Aに含まれるアドホック公開鍵生成部２８_Aは、次式により、暗号文C_A,1及び暗号文C_A,2を入力として擬似乱数rand_A,sig及び署名鍵sk_Aを用いて署名生成アルゴリズムSignを実行し、使いきり署名の署名σ_Aを生成する。

ステップＳ２８２_Aにおいて、アドホック公開鍵生成部２８_Aは、暗号文C_A,1、暗号文C_A,2、署名σ_A及び検証鍵vk_Aを用いて、アドホック公開鍵EPK_A=（C_A,1,C_A,2,σ_A,vk_A）を生成する。そして、アドホック公開鍵EPK_A、通信装置２_Aの識別情報ID_A及び通信装置２_Bの識別情報ID_Bを組として通信装置２_Bへ送信する。

ステップＳ２０_Bにおいて、通信装置２_Bに含まれるアドホック秘密鍵生成部２０_Bは、アドホック秘密鍵生成部２０_Aと同様に、擬似乱数空間FSから値esk_B,ke,esk’_B,ke,esk_B,gen,esk’_B,gen,esk_B,sig,esk’_B,sigを一様ランダムに選び、アドホック秘密鍵ESK_B=（esk_B,ke,esk’_B,ke,esk_B,gen,esk’_B,gen,esk_B,sig,esk’_B,sig）を生成する。

ステップＳ２２_Bにおいて、通信装置２_Bに含まれる擬似乱数生成部２２_Bは、擬似乱数生成部２２_Aと同様に、アドホック秘密鍵ESK_Bと公開パラメータParamsを用いて、次式により、擬似乱数s_B、擬似乱数rand_B,gen及び擬似乱数rand_B,sigを計算する。

ステップＳ２４_Bにおいて、通信装置２_Bに含まれる署名鍵生成部２４_Bは、署名鍵生成部２４_Aと同様に、次式により、擬似乱数rand_B,genを入力として署名鍵生成アルゴリズムGenを実行し、使いきり署名の署名鍵sk_B及び検証鍵vk_Bを生成する。

ステップＳ２６１_Bにおいて、通信装置２_Bに含まれる暗号文生成部２６_Bは、暗号文生成部２６_Aと同様に、群Gの生成元gと擬似乱数s_Bを用いて、次式により、暗号文C_B,1を生成する。

ステップＳ２６２_Bにおいて、暗号文生成部２６_Bは、暗号文生成部２６_Aと同様に、鍵交換相手である通信装置２_Aの識別情報ID=（ID_A,1,…,ID_A,α）、擬似乱数s_B、検証鍵vk_B及び公開パラメータParamsを用いて、次式により、暗号文C_B,2を生成する。

ステップＳ２８１_Bにおいて、通信装置２_Bに含まれるアドホック公開鍵生成部２８_Bは、アドホック公開鍵生成部２８_Aと同様に、次式により、暗号文C_B,1及び暗号文C_B,2を入力として擬似乱数rand_B,sig及び署名鍵sk_Bを用いて署名生成アルゴリズムSignを実行し、使いきり署名の署名σ_Bを生成する。

ステップＳ２８２_Bにおいて、アドホック公開鍵生成部２８_Bは、アドホック公開鍵生成部２８_Aと同様に、暗号文C_B,1、暗号文C_B,2、署名σ_B及び検証鍵vk_Bを用いて、アドホック公開鍵EPK_B=（C_B,1,C_B,2,σ_B,vk_B）を生成する。そして、アドホック公開鍵EPK_B、通信装置２_Bの識別情報ID_B及び通信装置２_Aの識別情報ID_Aを組として通信装置２_Aへ送信する。

次に、図６を参照して処理フローの後半部分を説明する。

ステップＳ３０_Aにおいて、通信装置２_Aが通信装置２_Bからアドホック公開鍵EPK_B、識別情報ID_B及び識別情報ID_Aを受信すると、通信装置２_Aに含まれるアドホック公開鍵検証部３０_Aは、暗号文C_B,1、暗号文C_B,2及び署名σ_Bを入力として検証鍵vk_Bを用いて署名検証アルゴリズムVerを実行し、次式が成り立つか否かを検証する。

アドホック公開鍵検証部３０_Aは、前式が成り立たない場合には、処理を中断してセッションを停止する。前式が成り立つ場合には、ステップＳ３２１_A以降の処理を続行する。

ステップＳ３２１_Aにおいて、通信装置２_Aに含まれる秘密情報生成部３２_Aは、アドホック秘密鍵ESK_A及び公開パラメータParamsを用いて、次式により、擬似乱数s_Aを生成する。

続いて、秘密情報生成部３２_Aは、擬似乱数s_A及び公開パラメータParamsを用いて、次式により、秘密情報σ_A,1を生成する。

ステップＳ３２２_Aにおいて、秘密情報生成部３２_Aは、長期秘密鍵SSK_A、暗号文C_B,1、暗号文C_B,2及び検証鍵vk_Bを用いて、次式により、秘密情報σ_A,2を生成する。

ステップＳ３２３_Aにおいて、秘密情報生成部３２_Aは、暗号文C_B,1、擬似乱数s_A及び公開パラメータParamsを用いて、次式により、秘密情報σ_A,3を生成する。

ステップＳ３４_Aにおいて、通信装置２_Aに含まれるセッション鍵生成部３４_Aは、まず、識別情報ID_A、識別情報ID_B、アドホック公開鍵EPK_A及びアドホック公開鍵EPK_Bを用いて、セッション識別情報ST=（ID_A,ID_B,EPK_A,EPK_B）を生成する。続いて、セッション鍵生成部３４_Aは、秘密情報σ_A,1、秘密情報σ_A,2、秘密情報σ_A,3及びセッション識別情報STを用いて、次式により、セッション鍵SKを生成する。

ステップＳ３０_Bにおいて、通信装置２_Bが通信装置２_Aからアドホック公開鍵EPK_A、識別情報ID_A及び識別情報ID_Bを受信すると、通信装置２_Bに含まれるアドホック公開鍵検証部３０_Bは、アドホック公開鍵検証部３０_Aと同様に、暗号文C_A,1、暗号文C_A,2及び署名σ_Aを入力として検証鍵vk_Aを用いて署名検証アルゴリズムVerを実行し、次式が成り立つか否かを検証する。

アドホック公開鍵検証部３０_Bは、前式が成り立たない場合には、処理を中断してセッションを停止する。前式が成り立つ場合には、ステップＳ３２１_B以降の処理を続行する。

ステップＳ３２１_Bにおいて、通信装置２_Bに含まれる秘密情報生成部３２_Bは、秘密情報生成部３２_Aと同様に、アドホック秘密鍵ESK_B及び公開パラメータParamsを用いて、次式により、擬似乱数s_Bを生成する。

続いて、秘密情報生成部３２_Bは、長期秘密鍵SSK_B、暗号文C_A,1、暗号文C_A,2及び検証鍵vk_Aを用いて、次式により、秘密情報σ_B,1を生成する。

ステップＳ３２２_Bにおいて、秘密情報生成部３２_Bは、擬似乱数s_B及び公開パラメータParamsを用いて、次式により、秘密情報σ_B,2を生成する。

ステップＳ３２３_Bにおいて、秘密情報生成部３２_Bは、秘密情報生成部３２_Aと同様に、暗号文C_A,1、擬似乱数s_B及び公開パラメータParamsを用いて、次式により、秘密情報σ_B,3を生成する。

ステップＳ３４_Bにおいて、通信装置２_Bに含まれるセッション鍵生成部３４_Bは、セッション鍵生成部３４_Aと同様に、識別情報ID_A、識別情報ID_B、アドホック公開鍵EPK_A及びアドホック公開鍵EPK_Bを用いて、セッション識別情報ST=（ID_A,ID_B,EPK_A,EPK_B）を生成する。続いて、セッション鍵生成部３４_Bは、秘密情報σ_B,1、秘密情報σ_B,2、秘密情報σ_B,3及びセッション識別情報STを用いて、次式により、セッション鍵SKを生成する。

秘密情報生成部３２_Aが計算する秘密情報σ_A,1,σ_A,2,σ_A,3と秘密情報生成部３２_Bが計算する秘密情報σ_B,1,σ_B,2,σ_B,3とはそれぞれ等しいため、通信装置２A及び通信装置２Bは同一のセッション鍵SKを得ることができる。

秘密情報σ_A,1と秘密情報σ_B,1とが等しいことを以下に示す。

秘密情報σ_A,2と秘密情報σ_B,2とが等しいことを以下に示す。

秘密情報σ_A,3と秘密情報σ_B,3とが等しいことを以下に示す。

実施形態の鍵交換システム１では、セッション鍵生成部３４が、擬似ランダム関数と強ランダム抽出器を用いてセッション鍵SKを生成する。これにより、非特許文献１に記載された従来技術のようにランダムオラクルを仮定すること無しに安全な方式を実現した。

また、実施形態の鍵交換システム１では、アドホック公開鍵EPKの長さが階層の深さに依存しない。また、秘密情報生成部３２が計算するペアリング演算は階層の深さに関係なく計４回に固定されている。このように、非特許文献１に記載された従来技術のように通信量やペアリング計算回数が階層の深さに依存しないため、拡張性が高い。

［プログラム、記録媒体］
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施例において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Ａ 鍵交換システム
１ 鍵生成装置
２ 通信装置
９ ネットワーク
１０ パラメータ生成部
１２ マスタ秘密鍵生成部
１４ 長期秘密鍵生成部
２０ アドホック秘密鍵生成部
２２ 擬似乱数生成部
２４ 署名鍵生成部
２６ 暗号文生成部
２８ アドホック公開鍵生成部
３０ アドホック公開鍵検証部
３２ 秘密情報生成部
３４ セッション鍵生成部
３６ 長期秘密鍵生成部

Claims (6)

1. 鍵生成装置とL階層に階層化された複数の通信装置を含む鍵交換システムであって、
   ^はべき乗を表し、・は乗算を表し、Z_pは素数pを法とする剰余環とし、G,G_Tは双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とし、gは群Gの生成元とし、F_ke、F_gen、F_sig及びF_kdfは擬似ランダム関数とし、FSは擬似ランダム関数の鍵空間とし、Genは任意の使いきり署名方式の署名鍵生成アルゴリズムとし、Signは上記使いきり署名方式の署名生成アルゴリズムとし、Verは上記使いきり署名方式の署名検証アルゴリズムとし、
   上記鍵生成装置は、
   値zを環Z_pから選択し、値g₁=g^zを計算し、値g₂,g₃,g₄,h₁,…,h_Lを群Gから選択するパラメータ生成部と、
   マスタ秘密鍵MSK=g₂ ^zを計算するマスタ秘密鍵生成部と、
   第i階層に属する通信装置の長期秘密鍵SSK_iを、値rを環Z_pから選択し、値w₁,w₂,w₃,w₄,w₅,w₆を上記鍵空間FSから選択し、u₀=MSK・(h₁^ID₁…h_i^ID_i・g₃)^r、u₁=g^r、u₂=g₄ ^rを計算し、SSK_i=(u₀,u₁,u₂,h_i+1 ^r,…,h_L ^r,w₁,w₂,w₃,w₄,w₅,w₆)として生成する長期秘密鍵生成部と、
   を含み、
   上記通信装置は、
   第α階層に属し識別情報ID=（ID₁,…,ID_α）が設定されており、第β階層に属し識別情報ID'=（ID'₁,…,ID'_β）が設定された上記通信装置とセッション鍵SKを共有するものとして、
   値esk_ke,esk'_ke,esk_gen,esk'_gen,esk_sig,esk'_sigを上記鍵空間FSから選択するアドホック秘密鍵生成部と、
   上記擬似ランダム関数F_ke(w₁,esk_ke)の出力と上記擬似ランダム関数F_ke(esk'_ke,w₂)の出力との排他的論理和を計算して擬似乱数sを生成し、上記擬似ランダム関数F_gen(w₃,esk_gen)の出力と上記擬似ランダム関数F_gen(esk'_gen,w₄)の出力との排他的論理和を計算して擬似乱数rand_genを生成し、上記擬似ランダム関数F_sig(w₅,esk_sig)の出力と上記擬似ランダム関数F_sig(esk'_sig,w₆)の出力との排他的論理和を計算して擬似乱数rand_sigを生成する擬似乱数生成部と、
   上記擬似乱数rand_genを用いて上記鍵生成アルゴリズムGenを実行し、署名鍵skと検証鍵vkを生成する署名鍵生成部と、
   値gのs乗を計算して暗号文C₁を生成し、(h₁^ID'₁…h_β^ID'_β・g₄ ^vk・g₃)^sを計算して暗号文C₂を生成する暗号文生成部と、
   上記暗号文C₁及び上記暗号文C₂を入力として上記擬似乱数rand_sig及び上記署名鍵skを用いて上記署名アルゴリズムSignを実行して署名σを生成し、上記暗号文C₁、上記暗号文C₂、署名σ及び検証鍵vkを含むアドホック公開鍵EPKを生成するアドホック公開鍵生成部と、
   上記識別情報ID'が設定された通信装置から暗号文C'₁、暗号文C'₂、署名σ'及び検証鍵vk'を含むアドホック公開鍵EPK'を受信すると、上記暗号文C'₁、上記暗号文C'₂及び上記署名σ'を入力として上記検証鍵vk'を用いて上記検証アルゴリズムVerを実行し、上記アドホック公開鍵EPK'を検証するアドホック公開鍵検証部と、
   e(g₁,g₂)^sを計算して秘密情報σ₁を生成し、e(C'₁,u₀・u₂ ^vk')/e(C'₂,u₁)を計算して秘密情報σ₂を生成し、e(C'₁,g₃)^sを計算して秘密情報σ₃を生成する秘密情報生成部と、
   識別情報ID、識別情報ID'、アドホック公開鍵EPK及びアドホック公開鍵EPK'に基づいてセッション識別情報STを生成し、上記秘密情報σ₁及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₂及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₃及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力との排他的論理和を計算し、上記セッション鍵SKを生成するセッション鍵生成部と、
   を含む鍵交換システム。
2. 請求項１に記載の鍵交換システムであって、
   上記通信装置は、
   長期秘密鍵SSK=（u₀,u₁,u₂,v_i,…,v_L,w₁,w₂,w₃,w₄,w₅,w₆）を持つとして、値r'を環Z_pから選択し、値w'₁,w'₂,w'₃,w'₄,w'₅,w'₆を上記鍵空間FSから選択し、長期秘密鍵SSK'を次式により生成する長期秘密鍵生成部と、
   

   

   
   をさらに含む
   鍵交換システム。
3. ^はべき乗を表し、・は乗算を表し、Z_pは素数pを法とする剰余環とし、G,G_Tは双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とし、gは群Gの生成元とし、FSは擬似ランダム関数の鍵空間とし、
   値zを環Z_pから選択し、値g₁=g^zを計算し、値g₂,g₃,g₄,h₁,…,h_Lを群Gから選択するパラメータ生成部と、
   マスタ秘密鍵MSK=g₂ ^zを計算するマスタ秘密鍵生成部と、
   第i階層に属する通信装置の長期秘密鍵SSK_iを、値rを環Z_pから選択し、値w₁,w₂,w₃,w₄,w₅,w₆を上記鍵空間FSから選択し、u₀=MSK・(h₁^ID₁…h_i^ID_i・g₃)^r、u₁=g^r、u₂=g₄ ^rを計算し、SSK_i=(u₀,u₁,u₂,h_i+1 ^r,…,h_L ^r,w₁,w₂,w₃,w₄,w₅,w₆)として生成する長期秘密鍵生成部と、
   を含む鍵生成装置。
4. L階層に階層化された複数の通信装置において、第α階層に属し識別情報ID=（ID₁,…,ID_α）が設定されており、第β階層に属し識別情報ID'=（ID'₁,…,ID'_β）が設定された上記通信装置とセッション鍵SKを共有する通信装置であって、
   ^はべき乗を表し、・は乗算を表し、Z_pは素数pを法とする剰余環とし、G,G_Tは双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とし、gは群Gの生成元とし、F_ke、F_gen、F_sig及びF_kdfは擬似ランダム関数とし、FSは擬似ランダム関数の鍵空間とし、Genは任意の使いきり署名方式の署名鍵生成アルゴリズムとし、Signは上記使いきり署名方式の署名生成アルゴリズムとし、Verは上記使いきり署名方式の署名検証アルゴリズムとし、
   値zは環Z_pから選択された乱数であり、値g₁=g^zであり、値g₂,g₃,g₄,h₁,…,h_Lは群Gから選択された乱数であり、マスタ秘密鍵MSK=g₂ ^zであり、値rを環Z_pから選択された乱数であり、値w₁,w₂,w₃,w₄,w₅,w₆は上記鍵空間FSから選択された乱数であり、第i階層に属する上記通信装置の長期秘密鍵SSK_iはu₀=MSK・(h₁^ID₁…h_i^ID_i・g₃)^r、u₁=g^r、u₂=g₄ ^rとしてSSK_i=(u₀,u₁,u₂,h_i+1 ^r,…,h_L ^r,w₁,w₂,w₃,w₄,w₅,w₆)であり、
   値esk_ke,esk'_ke,esk_gen,esk'_gen,esk_sig,esk'_sigを上記鍵空間FSから選択するアドホック秘密鍵生成部と、
   上記擬似ランダム関数F_ke(w₁,esk_ke)の出力と上記擬似ランダム関数F_ke(esk'_ke,w₂)の出力との排他的論理和を計算して擬似乱数sを生成し、上記擬似ランダム関数F_gen(w₃,esk_gen)の出力と上記擬似ランダム関数F_gen(esk'_gen,w₄)の出力との排他的論理和を計算して擬似乱数rand_genを生成し、上記擬似ランダム関数F_sig(w₅,esk_sig)の出力と上記擬似ランダム関数F_sig(esk'_sig,w₆)の出力との排他的論理和を計算して擬似乱数rand_sigを生成する擬似乱数生成部と、
   上記擬似乱数rand_genを用いて上記鍵生成アルゴリズムGenを実行し、署名鍵skと検証鍵vkを生成する署名鍵生成部と、
   値gのs乗を計算して暗号文C₁を生成し、(h₁^ID'₁…h_β^ID'_β・g₄ ^vk・g₃)^sを計算して暗号文C₂を生成する暗号文生成部と、
   上記暗号文C₁及び上記暗号文C₂を入力として上記擬似乱数rand_sig及び上記署名鍵skを用いて上記署名アルゴリズムSignを実行して署名σを生成し、上記暗号文C₁、上記暗号文C₂、上記署名σ及び上記検証鍵vkを含むアドホック公開鍵EPKを生成するアドホック公開鍵生成部と、
   上記識別情報ID'が設定された通信装置から暗号文C'₁、暗号文C'₂、署名σ'及び検証鍵vk'を含むアドホック公開鍵EPK'を受信すると、上記暗号文C'₁、上記暗号文C'₂及び上記署名σ'を入力として上記検証鍵vk'を用いて上記検証アルゴリズムVerを実行し、上記アドホック公開鍵EPK'を検証するアドホック公開鍵検証部と、
   e(g₁,g₂)^sを計算して秘密情報σ₁を生成し、e(C'₁,u₀・u₂ ^vk')/e(C'₂,u₁)を計算して秘密情報σ₂を生成し、e(C'₁,g₃)^sを計算して秘密情報σ₃を生成する秘密情報生成部と、
   識別情報ID、識別情報ID'、アドホック公開鍵EPK及びアドホック公開鍵EPK'に基づいてセッション識別情報STを生成し、上記秘密情報σ₁及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₂及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₃及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力との排他的論理和を計算し、上記セッション鍵SKを生成するセッション鍵生成部と、
   を含む通信装置。
5. L階層に階層化された複数の通信装置において、第α階層に属し識別情報ID=（ID₁,…,ID_α）が設定された上記通信装置と、第β階層に属し識別情報ID'=（ID'₁,…,ID'_β）が設定された上記通信装置とがセッション鍵SKを共有する鍵交換方法であって、
   ^はべき乗を表し、・は乗算を表し、Z_pは素数pを法とする剰余環とし、G,G_Tは双線形ペアリング関数e:G×G→G_Tを効率的に計算可能な群とし、gは群Gの生成元とし、F_ke、F_gen、F_sig及びF_kdfは擬似ランダム関数とし、FSは擬似ランダム関数の鍵空間とし、Genは任意の使いきり署名方式の署名鍵生成アルゴリズムとし、Signは上記使いきり署名方式の署名生成アルゴリズムとし、Verは上記使いきり署名方式の署名検証アルゴリズムとし、
   パラメータ生成部が、値zを環Z_pから選択し、値g₁=g^zを計算し、値g₂,g₃,g₄,h₁,…,h_Lを群Gから選択するパラメータ生成ステップと、
   マスタ秘密鍵生成部が、マスタ秘密鍵MSK=g₂ ^zを計算するマスタ秘密鍵生成ステップと、
   長期秘密鍵生成部が、第i階層に属する通信装置の長期秘密鍵SSK_iを、値rを環Z_pから選択し、値w₁,w₂,w₃,w₄,w₅,w₆を上記鍵空間FSから選択し、u₀=MSK・(h₁^ID₁…h_i^ID_i・g₃)^r、u₁=g^r、u₂=g₄ ^rを計算し、SSK_i=(MSK・(h₁^ID₁…h_i^ID_i・g₃)^r,g^r,g₄ ^r,h_i+1 ^r,…,h_L ^r,w₁,w₂,w₃,w₄,w₅,w₆)として生成する長期秘密鍵生成ステップと、
   アドホック秘密鍵生成部が、値esk_ke,esk'_ke,esk_gen,esk'_gen,esk_sig,esk'_sigを上記鍵空間FSから選択するアドホック秘密鍵生成ステップと、
   擬似乱数生成部が、上記擬似ランダム関数F_ke(w₁,esk_ke)の出力と上記擬似ランダム関数F_ke(esk'_ke,w₂)の出力との排他的論理和を計算して擬似乱数sを生成し、上記擬似ランダム関数F_gen(w₃,esk_gen)の出力と上記擬似ランダム関数F_gen(esk'_gen,w₄)の出力との排他的論理和を計算して擬似乱数rand_genを生成し、上記擬似ランダム関数F_sig(w₅,esk_sig)の出力と上記擬似ランダム関数F_sig(esk'_sig,w₆)の出力との排他的論理和を計算して擬似乱数rand_sigを生成する擬似乱数生成ステップと、
   署名鍵生成部が、上記擬似乱数rand_genを用いて上記鍵生成アルゴリズムGenを実行し、署名鍵skと検証鍵vkを生成する署名鍵生成ステップと、
   暗号文生成部が、値gのs乗を計算して暗号文C₁を生成し、(h₁^ID'₁…h_β^ID'_β・g₄ ^vk・g₃)^sを計算して暗号文C₂を生成する暗号文生成ステップと、
   アドホック公開鍵生成部が、上記暗号文C₁及び上記暗号文C₂を入力として上記擬似乱数rand_sig及び上記署名鍵skを用いて上記署名アルゴリズムSignを実行して署名σを生成し、上記暗号文C₁、上記暗号文C₂、上記署名σ及び上記検証鍵vkを含むアドホック公開鍵EPKを生成するアドホック公開鍵生成部と、
   アドホック公開鍵検証部が、上記識別情報ID'が設定された通信装置から暗号文C'₁、暗号文C'₂、署名σ'及び検証鍵vk'を含むアドホック公開鍵EPK'を受信すると、上記暗号文C'₁、上記暗号文C'₂及び上記署名σ'を入力として上記検証鍵vk'を用いて上記検証アルゴリズムVerを実行し、上記アドホック公開鍵EPK'を検証するアドホック公開鍵検証ステップと、
   秘密情報生成部が、e(g₁,g₂)^sを計算して秘密情報σ₁を生成し、e(C'₁,u₀・u₂ ^vk')/e(C'₂,u₁)を計算して秘密情報σ₂を生成し、e(C'₁,g₃)^sを計算して秘密情報σ₃を生成する秘密情報生成ステップと、
   セッション鍵生成部が、識別情報ID、識別情報ID'、アドホック公開鍵EPK及びアドホック公開鍵EPK'に基づいてセッション識別情報STを生成し、上記秘密情報σ₁及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₂及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力と上記秘密情報σ₃及び上記セッション識別情報STを入力とする上記擬似ランダム関数F_kdfの出力との排他的論理和を計算し、上記セッション鍵SKを生成するセッション鍵生成ステップと、
   を含む鍵交換方法。
6. 請求項３に記載の鍵生成装置または請求項４に記載の通信装置としてコンピュータを機能させるためのプログラム。

Images