JP6236019B2 - 鍵装置、鍵交換システム、およびプログラム - Google Patents

Description

本発明は、情報セキュリティ技術の応用技術に関するものであり、特に、クラウド鍵管理型の鍵交換技術に関する。

鍵交換（鍵共有）方式とは、盗聴されてもよい通信路を用いて複数の端末装置が安全に鍵を交換（共有）するための方式をいう（例えば、非特許文献１等参照）。通常の鍵交換方式では、各端末装置が、鍵交換を行う他の端末装置の秘密鍵に対応する公開情報を得、この公開情報と自らの秘密鍵とを用いて共通鍵を生成する。

岡本龍明，"鍵交換：現代暗号の誕生とその発展"，[online]，Japan Science and Technology Agency，p70-76、[平成２７年１月２日検索]、インターネット＜https://www.jstage.jst.go.jp/article/essfr/1/4/1_4_4_70/_pdf＞

鍵装置が秘密鍵を保持する「クラウド鍵管理型」で鍵交換方式を実現することもできる。この場合、端末装置が公開情報および認証情報（証明書、ＩＤ、パスワード等）を鍵装置に送信し、鍵装置が認証情報を用いて認証処理を行い、認証成功であれば、当該公開情報と秘密鍵とを用いて共通鍵またはそれを得るための情報を生成し、それを当該端末装置に送信する。

しかしながら、このようなクラウド鍵管理型の鍵交換方式では、認証処理やそれに必要な情報の管理を端末装置またはユーザーごとに個々に行わなければならない。

本発明の課題は、クラウド鍵管理型の鍵交換方式における認証処理やそれに必要な情報の管理を削減することである。

鍵装置は、回線認証可能な何れかの回線の回線情報に対応する登録情報を格納し、第１端末装置が他の第２端末装置との鍵交換のために得た公開情報に対応する情報、および前記第１端末装置が使用した回線認証に成功した使用回線の回線情報に対応する回線対応情報を受け付け、前記回線対応情報が前記登録情報に対応する場合に、少なくとも前記公開情報に対応する情報と秘密鍵とを用いて得られる鍵対応情報を出力する。

本発明では、回線認証に成功した使用回線の回線情報に対応する回線対応情報に基づき、使用回線ごとに応答情報の出力の有無が定められるため、クラウド鍵管理型の鍵交換方式における認証処理やそれに必要な情報の管理を削減できる。

図１は実施形態の鍵交換システムの機能構成を例示したブロック図である。 図２は実施形態の鍵交換方法を例示したフロー図である。 図３は鍵交換のために公開情報を送受信する様子を例示したフロー図である。 図４は実施形態の鍵交換システムの機能構成を例示したブロック図である。 図５は自己訂正処理を例示したフロー図である。

以下、図面を参照して本発明の実施形態を説明する。
［第１実施形態］
第１実施形態を説明する。
＜構成＞
本形態の構成を説明する。図１に例示するように、本形態の鍵交換システム１は、端末装置１１１，１２１（第１端末装置，第２端末装置）と鍵装置１１２，１２２（第１鍵装置，第２鍵装置）とを有する。端末装置１１１と鍵装置１１２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。同様に、端末装置１２１と鍵装置１２２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。

回線認証 (network based authentication)とは、「このユーザーは確かにこの回線から通信してきた」ということを確認するためのユーザー認証技術である。回線認証自体は公知であり、例えば、参考文献１（“ＮＴＴデータ、ＮＧＮの回線情報を利用した認証連携機能を開発〜セキュリティを容易に確保するための仕組みを確立〜”、[online]、株式会社ＮＴＴデータ、[平成２６年１２月３１日検索]、インターネット＜http://www.nttdata.com/jp/ja/news/release/2009/091600.html＞）や米国特許出願公開第US2007-0234404 A1号明細書などに開示されている。端末装置１１１が公衆回線の特定の回線を用いて鍵装置１１２と通信を行う場合、端末装置１１１が使用する回線に対応する回線情報 (network based identification)が認証装置に送られる。回線情報の例は、例えば、参考文献２（Nir Yosef, Roded Sharan, and William Stafford Noble, “Improved network-based identification of protein orthologs,” Oxford Journals, Science & Mathematics Bioinformatics, Volume 24, Issue 16, pp. i200-i206, http://bioinformatics.oxfordjournals.org/content/24/16/i200.）に開示されている。認証装置での回線認証が成功である場合、端末装置１１１はこの回線を通じて鍵装置１１２と通信を行うことができる。認証装置での回線認証が失敗である場合、端末装置１１１はこの回線を通じて鍵装置１１２と通信を行うことができない。回線認証の具体例は、ＮＧＮ（next generation network）の回線認証やＥＡＰ−ＳＩ認証などがある。回線情報の具体例は、回線に接続される機器に固有な識別子、ゲートウェイ（ホームゲートウエイ等）のＭＡＣアドレス、フレッツナンバー（登録商標）、ＩＭＳＩ（International Mobile Subscriber Identity）、メールアドレス、所属部署名などである。

回線情報通知機能とは、或る回線を用いた通信において通信先の装置にその回線の回線情報を通知する機能である。回線情報通知機能も公知であり、例えば、参考文献３（“回線情報通知機能”、[online]、東日本電信電話株式会社、フレッツ公式ホームページ、[平成２６年１２月３１日検索]、インターネット＜http://flets.com/asc/s_outline.html＞）などに開示されている。端末装置１１１が或る回線を通じて鍵装置１１２と通信を行う場合、その回線の回線情報または当該回線情報に対して一義的に決まる情報が鍵装置１１２に通知される。以上のことは、端末装置１２１が公衆回線の特定の回線を用いて鍵装置１２２と通信を行う場合も同様である。

図１に例示するように、本形態の端末装置１１１は、記憶部１１１１と出力部１１１３と入力部１１１４と鍵交換処理部１１１５と通信部１１１６を有し、端末装置１２１は、記憶部１２１１と出力部１２１３と入力部１２１４と鍵交換処理部１２１５と通信部１２１６を有する。本形態の鍵装置１１２は、記憶部１１２１，１１２２と、入力部１１２３と、出力部１１２４と、判定部１１２５と、代理演算部１１２６とを有し、鍵装置１２２は、記憶部１２２１，１２２２と、入力部１２２３と、出力部１２２４と、判定部１２２５と、代理演算部１２２６とを有する。各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を含む汎用または専用のコンピュータに所定のプログラムが読み込まれることで構成されたものである。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、表記の便宜上、図１では端末装置１１１と端末装置１２１と鍵装置１１２と鍵装置１２２とを１個ずつ図示しているが、これらの少なくとも一部の装置が存在してもよい。この際、２個以上の端末装置１１１や鍵装置１１２が同一の回線に接続されてもよいし、２個以上の端末装置１２１や鍵装置１２２が同一の回線に接続されてもよい。

＜事前処理＞
本形態では、秘密鍵ｓｋ１とそれに対応する公開鍵ｐｋ１との鍵ペア（ｓｋ１，ｐｋ１）、および秘密鍵ｓｋ２とそれに対応する公開鍵ｐｋ２との鍵ペア（ｓｋ２，ｐｋ２）が事前に設定される。鍵ペアの構成はベースとなる鍵交換方式に依存する（具体例は後述）。１組のみの鍵ペアが設定されてもよいし、互いに異なる複数組の鍵ペアが設定されてもよい。１組のみの鍵ペア（ｓｋ１，ｐｋ１）が設定された場合には、１個の秘密鍵ｓｋ１とそれに対応する公開鍵ｐｋ１（秘密鍵を特定するための情報）とが互いに対応付けられて鍵装置１１２の記憶部１１２１に格納される。互いに異なる複数組の鍵ペア（ｓｋ１，ｐｋ１）が設定された場合には、互いに異なる複数個の公開鍵ｐｋ１とそれらに対応する公開鍵ｐｋ１とが互いに対応付けられて記憶部１１２１に格納される。このような秘密鍵ｓｋ１とそれらに対応付けられた公開鍵ｐｋ１とを含むリストを「ｓｋ−Ｌｉｓｔ１」と表記する。なお、１組のみの鍵ペア（ｓｋ１，ｐｋ１）が設定された場合、ｓｋ−Ｌｉｓｔ１に代えてｓｋ１そのものが記憶部１１２１に格納されてもよい。同様に、１組のみの鍵ペア（ｓｋ２，ｐｋ２）が設定された場合には、１個の秘密鍵ｓｋ２とそれに対応する公開鍵ｐｋ２（秘密鍵を特定するための情報）とが互いに対応付けられて鍵装置１２２の記憶部１２２１に格納される。互いに異なる複数組の鍵ペア（ｓｋ２，ｐｋ２）が設定された場合には、互いに異なる複数個の公開鍵ｐｋ２とそれらに対応する公開鍵ｐｋ２とが互いに対応付けられて記憶部１２２１に格納される。このような秘密鍵ｓｋ２とそれらに対応付けられた公開鍵ｐｋ２とを含むリストを「ｓｋ−Ｌｉｓｔ２」と表記する。１組のみの鍵ペア（ｓｋ２，ｐｋ２）が設定された場合、ｓｋ−Ｌｉｓｔ２に代えてｓｋ２そのものが記憶部１２２１に格納されてもよい。

また、事前登録処理として、鍵装置１１２が鍵交換のための処理を行う回線の回線情報に対応する「登録情報」が事前設定され、鍵装置１１２の記憶部１１２２（登録情報記憶部）に格納される。鍵装置１１２が「鍵交換のための処理を行う回線」とは、鍵装置１１２に鍵交換のための処理を委託する端末装置１１１がその依頼に用いる回線を意味する。また、鍵交換のための処理を受けることができる権能のことを「鍵交換処理権限」と呼ぶことにする。本形態の「登録情報」は、回線認証可能な何れかの回線の回線情報に対応する。「登録情報」は、鍵装置１１２が鍵交換のための処理を行う回線の回線情報そのものであってもよいし、その回線情報に対して一義的に決まる情報であってもよい。また、回線情報の種類によっては、非公開である等の理由により、鍵装置１１２が回線認証のための回線情報からユーザーを識別することが困難な場合があり、回線認証のための回線情報を用いて鍵交換処理権限の有無の管理を行うことが困難な場合もある。例えば、端末装置として携帯電話を用いる場合、回線認証にはＩＭＥＩやＩＭＳＩなどの回線情報を用いるが、鍵装置１１２がＩＭＥＩやＩＭＳＩを用いてこのような管理を行うことが困難な場合もある。また、ＮＧＮの回線認証用の回線情報にフレッツナンバーを用いる場合、鍵装置１１２がこのフレッツナンバーを用いてこのような管理を行うことが困難な場合もある。鍵装置１１２にとっては、汎用性の高い電話番号等の一般的な回線情報を用いた管理のほうが容易な場合が多い。そこで、１個の回線に対して複数個の回線情報が紐づいている場合に、その一部の回線情報（例えば、ＩＭＥＩ，ＩＭＳＩ，フレッツナンバー，ＭＡＣアドレス等）が回線認証に用いられ、この回線認証に用いられた回線情報に紐づいた（対応する）他の回線情報（一般的な回線情報等）が管理に用いられてもよい。回線認証に用いられた回線情報に紐づいた他の回線情報を「固有情報」と呼ぶことにする。「固有情報」は公開情報であってもよいし、非公開情報であってもよい。結局、「登録情報」は、鍵装置１１２が鍵交換のための処理を行う回線の回線認証に用いられる回線情報そのものであってもよいし、その回線情報に対して一義的に決まる情報であってもよいし、鍵装置１１２が鍵交換のための処理を行う回線の固有情報であってもよいし、この固有情報に対して一義的に決まる情報であってもよいし、鍵装置１１２が鍵交換のための処理を行う回線の回線認証に用いられる回線情報とそれに紐づいた固有情報との組であってもよいし、その組に対して一義的に決まる情報であってもよいし、これらの何れかの情報を含む情報であってもよい。以下では、記憶部１１２２に格納された「登録情報」を含むリストを「Ｌｉｓｔ１」と表記する。

同様に、事前登録処理として、鍵装置１２２が鍵交換のための処理を行う回線の回線情報に対応する「登録情報」が事前設定され、鍵装置１２２の記憶部１２２２（登録情報記憶部）に格納される。この「登録情報」も、鍵装置１２２が鍵交換のための処理を行う回線の回線認証に用いられる回線情報そのものであってもよいし、その回線情報に対して一義的に決まる情報であってもよいし、鍵装置１２２が鍵交換のための処理を行う回線の固有情報であってもよいし、この固有情報に対して一義的に決まる情報であってもよいし、鍵装置１２２が鍵交換のための処理を行う回線の回線認証に用いられる回線情報とそれに紐づいた固有情報との組であってもよいし、その組に対して一義的に決まる情報であってもよいし、これらの何れかの情報を含む情報であってもよい。以下では、記憶部１２２２に格納された「登録情報」を含むリストを「Ｌｉｓｔ２」と表記する。

さらに、鍵装置１１２が鍵交換のための処理を行う回線を利用する端末装置１１１の記憶部１１１１に、何れかの秘密鍵ｓｋ１に対応する公開鍵ｐｋ１が格納される。同様に、鍵装置１２２が鍵交換のための処理を行う回線を利用する端末装置１２１の記憶部１２１１に、何れかの秘密鍵ｓｋ１に対応する公開鍵ｐｋ１が格納される。

＜鍵交換処理＞
図２および図３を用いて本形態の鍵交換処理を説明する。本形態では端末装置１１１と端末装置１２１との間で鍵交換を行い、その処理の一部を鍵装置１１２，１２２が代行する。

図３に例示するように、まず、端末装置１１１から端末装置１２１に公開情報β１−１，・・・，β１−Ｎ１（ただし、、Ｎ１は正の整数）が送信され、端末装置１２１から端末装置１１１に公開情報β２−１，・・・，β２−Ｎ２（ただし、Ｎ２は正の整数）が送信される。すなわち、端末装置１１１の鍵交換処理部１１１５は、記憶部１１１１から公開鍵ｐｋ１を読み込み、それを用いて端末装置１２１と鍵交換を行うための公開情報β１−ｎ１（ただし、ｎ１＝１，・・・，Ｎ１）を得て通信部１１１６に送る。通信部１１１６は公開情報β１−ｎ１を端末装置１２１に送信する。公開情報β１−ｎ１は端末装置１１１に対応する情報である。公開情報β１−ｎ１は端末装置１２１の通信部１２１６に入力され、鍵交換処理部１２１５に送られる。同様に、端末装置１２１の鍵交換処理部１２１５は、記憶部１２１１から公開鍵ｐｋ２を読み込み、それを用いて端末装置１１１と鍵交換を行うための公開情報β２−ｎ２（ただし、ｎ２＝１，・・・，Ｎ２）を得て通信部１２１６に送る。公開情報β２−ｎ２は端末装置１２１に対応する情報である。通信部１２１６は公開情報β２−ｎ２を端末装置１１１に送信する。公開情報β２−ｎ２は端末装置１１１の通信部１１１６に入力され、鍵交換処理部１１１５に送られる。鍵交換処理部１１１５は、公開情報β２−１，・・・，β２−Ｎ２から公開情報β２を得、鍵交換処理部１２１５は、公開情報β１−１，・・・，β１−Ｎ２から公開情報β１を得る。鍵交換処理部１２１５は、β１−１，・・・，β１−Ｎ１のすべてをβ１としてもよいし、それらの一部をβ１としてもよいし、β１−１，・・・，β１−Ｎ１のすべてまたは一部に対応する情報をβ１としてもよいし、β１−１，・・・，β１−Ｎ１のすべてまたは一部を用いて得られる情報をβ１としてもよい。同様に、鍵交換処理部１１１５は、β２−１，・・・，β２−Ｎ２のすべてをβ２としてもよいし、それらの一部をβ２としてもよいし、β２−１，・・・，β２−Ｎ２のすべてまたは一部に対応する情報をβ２としてもよいし、β２−１，・・・，β２−Ｎ２のすべてまたは一部を用いて得られる情報をβ２としてもよい。また、公開情報β１−ｎ１が端末装置１１１以外（例えば、鍵生成装置）から端末装置１２１に送信されてもよいし、公開情報β２−ｎ２が端末装置１２１以外から端末装置１１１に送信されてもよい。公開情報β１−ｎ１，β２−ｎ２およびβ１,β２の構成はベースとなる鍵交換方式（具体例は後述）に依存する（ステップＳ１０００）。

公開情報β２を得た端末装置１１１の鍵交換処理部１１１５は、公開情報β２を出力部１１１３に送る。鍵装置１１２の記憶部１１２１にｓｋ−Ｌｉｓｔ１が格納されている場合、鍵交換処理部１１１５は、さらに記憶部１１１１から読み込んだ公開鍵ｐｋ１（秘密鍵ｓｋ１を特定するための情報）を出力部１１１３に送る。出力部１１１３は、鍵装置１１２を宛先とし、公衆回線の所定の回線（使用回線）に対して公開情報β２を含む「要求情報」を出力する。ただし、記憶部１１２１にｓｋ−Ｌｉｓｔ１が格納されている場合、「要求情報」はさらに公開鍵ｐｋ１を含む（鍵交換処理要求：ステップＳ１１０１）。

公開情報β２を含む「要求情報」が出力された回線（使用回線）の回線情報ｄｘ１は、回線認証機能を提供する認証装置（図示せず）に送られ、この認証装置は回線情報ｄｘ１を用いた回線認証を行う（ステップＳ１１０２）。回線認証が失敗であった場合（ステップＳ１１０３）、エラー情報が端末装置１１１に送信される。送信されたエラー情報は、入力部１１１４に入力されて鍵交換処理部１１１５に送られ、鍵交換処理部１１１５は鍵交換処理を終了する（ステップＳ１１０４）。

一方、回線認証が成功であった場合（ステップＳ１１０３）、公開情報β２を含む「要求情報」が鍵装置１１２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｄｘ１に対応する回線対応情報ｘ１を鍵装置１１２に送信する。回線対応情報ｘ１は、回線情報ｄｘ１そのものであってもよいし、その回線情報ｄｘ１に対して一義的に決まる情報であってもよいし、回線情報ｄｘ１に紐付けられた固有情報ｉｄであってもよいし、この固有情報ｉｄに対して一義的に決まる情報であってもよいし、回線情報ｄｘ１とそれに紐づいた固有情報ｉｄとの組であってもよいし、その組に対して一義的に決まる情報であってもよいし、これらの何れかの情報を含む情報であってもよい（ステップＳ１１０５）。回線対応情報ｘ１、および公開情報β２を含む「要求情報」は、鍵装置１１２の入力部１１２３に入力される（受け付けられる）。入力部１１２３に入力される回線対応情報ｘ１は、回線認証に成功した回線（使用回線）に対応する情報である。回線対応情報ｘ１は判定部１１２５に送られ、公開情報β２を含む「要求情報」は代理演算部１１２６に送られる（ステップＳ１１０６）。判定部１１２５は、回線対応情報ｘ１が記憶部１１２２に格納されたリストＬｉｓｔ１の何れかの「登録情報」に対応するかを判定する。例えば、リストＬｉｓｔ１に含まれる「登録情報」が回線認証に用いられる回線情報そのものであり、回線対応情報ｘ１も回線情報ｄｘ１そのものである場合、判定部１１２５は『リストＬｉｓｔ１が回線対応情報ｘ１に一致する「登録情報」を含むか』を判定する。リストＬｉｓｔ１に含まれる「登録情報」が「固有情報」であり、回線対応情報ｘ１が回線情報ｄｘ１に紐付けられた「固有情報」である場合にも、判定部１１２５は『リストＬｉｓｔ１が回線対応情報ｘ１に一致する「登録情報」を含むか』を判定する。リストＬｉｓｔ１に含まれる「登録情報」が回線認証に用いられる回線情報そのものであり、回線対応情報ｘ１が回線情報ｄｘ１に紐付けられた「固有情報」である場合には、判定部１１２５は『リストＬｉｓｔ１が回線対応情報ｘ１に対応する「登録情報」を含むか』を判定する。その他、「登録情報」および回線対応情報ｘ１に用いられる情報の種別に応じた方法で、回線対応情報ｘ１が「登録情報」に対応するかを判定すればよい（ステップＳ１１０７）。回線対応情報ｘ１がリストＬｉｓｔ１の何れの「登録情報」にも対応しない場合（例えば、リストＬｉｓｔ１が回線対応情報ｘ１に一致する「登録情報」を含まない場合）（ステップＳ１１０８）、出力部１１２４からエラー情報が送信される。送信されたエラー情報は、端末装置１１１の入力部１１１４に入力されて鍵交換処理部１１１５に送られ、鍵交換処理部１１１５は鍵交換処理を終了する（ステップＳ１１０９）。一方、回線対応情報ｘ１がリストＬｉｓｔ１の何れかの「登録情報」に対応する場合（例えば、リストＬｉｓｔ１が回線対応情報ｘ１に一致する「登録情報」を含む場合）（ステップＳ１１０８）、代理演算部１１２６は記憶部１１２１から秘密鍵ｓｋ１を抽出する。「要求情報」が公開鍵ｐｋ１を含む場合、代理演算部１１２６は、「要求情報」が含む公開鍵ｐｋ１を用いて記憶部１１２１に格納されたｓｋ−Ｌｉｓｔ１を検索し、公開鍵ｐｋ１に対応する秘密鍵ｓｋ１を抽出する。代理演算部１１２６は、少なくとも、「要求情報」が含む公開情報β２に対応する情報と、抽出した秘密鍵ｓｋ１（秘密鍵を特定するための情報によって特定される秘密鍵）を用い、鍵対応情報λ１を生成して出力する。鍵対応情報λ１の生成方法はベースとなる鍵交換方式に依存する（具体例は後述）（ステップＳ１１１０）。鍵対応情報λ１は出力部１１２４に入力される。出力部１１２４は、端末装置１１１を宛先とし、回線対応情報ｘ１に対応する回線に対して鍵対応情報λ１を出力する（ステップＳ１１１１）。

鍵対応情報λ１は、端末装置１１１の入力部１１１４に入力されて鍵交換処理部１１１５に送られる（ステップＳ１１１２）。鍵交換処理部１１１５は、鍵対応情報λ１に対応する共有鍵Ｋを得て出力する（ステップＳ１１１３）。

端末装置１２１および鍵装置１２２でも同様な処理が行われる。すなわち、公開情報β１を得た鍵交換処理部１２１５は、公開情報β１を出力部１２１３に送る。鍵装置１２２の記憶部１２２１にｓｋ−Ｌｉｓｔ２が格納されている場合、鍵交換処理部１２１５は、さらに記憶部１２１１から読み込んだ公開鍵ｐｋ２（秘密鍵ｓｋ２を特定するための情報）を出力部１２１３に送る。出力部１２１３は、鍵装置１２２を宛先とし、公衆回線の所定の回線（使用回線）に対して公開情報β１を含む「要求情報」を出力する。ただし、記憶部１２２１にｓｋ−Ｌｉｓｔ２が格納されている場合、「要求情報」はさらに公開鍵ｐｋ２を含む（鍵交換処理要求：ステップＳ１２０１）。

公開情報β１を含む「要求情報」が出力された回線（使用回線）の回線情報ｄｘ２は、回線認証機能を提供する認証装置（図示せず）に送られ、この認証装置は回線情報ｄｘ２を用いた回線認証を行う（ステップＳ１２０２）。回線認証が失敗であった場合（ステップＳ１２０３）、エラー情報が端末装置１２１に送信される。送信されたエラー情報は、入力部１２１４に入力されて鍵交換処理部１２１５に送られ、鍵交換処理部１２１５は鍵交換処理を終了する（ステップＳ１２０４）。

一方、回線認証が成功であった場合（ステップＳ１２０３）、公開情報β１を含む「要求情報」が鍵装置１２２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｄｘ２に対応する回線対応情報ｘ２を鍵装置１２２に送信する。回線対応情報ｘ２は、回線情報ｄｘ２そのものであってもよいし、その回線情報ｄｘ２に対して一義的に決まる情報であってもよいし、回線情報ｄｘ２に紐付けられた固有情報ｉｄであってもよいし、この固有情報ｉｄに対して一義的に決まる情報であってもよいし、回線情報ｄｘ２とそれに紐づいた固有情報ｉｄとの組であってもよいし、その組に対して一義的に決まる情報であってもよいし、これらの何れかの情報を含む情報であってもよい（ステップＳ１２０５）。回線対応情報ｘ２、および公開情報β１を含む「要求情報」は、鍵装置１２２の入力部１２２３に入力される（受け付けられる）。入力部１２２３に入力される回線対応情報ｘ２は、回線認証に成功した回線（使用回線）に対応する情報である。回線対応情報ｘ２は判定部１２２５に送られ、公開情報β１を含む「要求情報」は代理演算部１２２６に送られる（ステップＳ１２０６）。判定部１２２５は、回線対応情報ｘ２が記憶部１２２２に格納されたリストＬｉｓｔ２の何れかの「登録情報」に対応するかを判定する（ステップＳ１２０７）。回線対応情報ｘ２がリストＬｉｓｔ２の何れの「登録情報」にも対応しない場合（ステップＳ１２０８）、出力部１２２４からエラー情報が送信される。送信されたエラー情報は、端末装置１２１の入力部１２１４に入力されて鍵交換処理部１２１５に送られ、鍵交換処理部１２１５は鍵交換処理を終了する（ステップＳ１２０９）。一方、回線対応情報ｘ２がリストＬｉｓｔ２の何れかの「登録情報」に対応する場合（ステップＳ１２０８）、代理演算部１２２６は記憶部１２２１から秘密鍵ｓｋ２を抽出する。「要求情報」が公開鍵ｐｋ２を含む場合、代理演算部１２２６は、「要求情報」が含む公開鍵ｐｋ２を用いて記憶部１２２１に格納されたｓｋ−Ｌｉｓｔ２を検索し、公開鍵ｐｋ２に対応する秘密鍵ｓｋ２を抽出する。代理演算部１２２６は、少なくとも、「要求情報」が含む公開情報β１に対応する情報と、抽出した秘密鍵ｓｋ２（秘密鍵を特定するための情報によって特定される秘密鍵）とを用い、鍵対応情報λ２を生成して出力する。鍵対応情報λ２の生成方法はベースとなる鍵交換方式に依存する（具体例は後述）（ステップＳ１２１０）。鍵対応情報λ２は出力部１２２４に入力される。出力部１２２４は、端末装置１２１を宛先とし、回線対応情報ｘ２に対応する回線に対して鍵対応情報λ２を出力する（ステップＳ１２１１）。

鍵対応情報λ２は、端末装置１２１の入力部１２１４に入力されて鍵交換処理部１２１５に送られる（ステップＳ１２１２）。鍵交換処理部１２１５は、鍵対応情報λ２に対応する共有鍵Ｋを得て出力する（ステップＳ１２１３）。

以下、ベースとなる鍵交換方式を具体化して例示する。
＜実施例１−１＞
実施例１−１ではＤＨＭ（Diffie-Hellman-Merkle）鍵交換方式をベースとして用いる。
《一般的なＤＨＭ鍵交換方式》
Ｇを素数ｐの可換群、ｇを群Ｇの単位元以外の元、ｘ∈Ｚ_ｐを第１主体の秘密鍵、ｇ^ｘ∈Ｇを第１主体の公開鍵、ｙ∈Ｚ_ｐを第２主体の秘密鍵、ｇ^ｙ∈Ｇを第２主体の公開鍵とする。
（１−１−ａ）第１主体がｇ^ｘを第２主体に送る。
（１−１−ｂ）第２主体がｇ^ｙを第１主体に送る。
（１−１−ｃ）第１主体はｇ^ｙと秘密鍵ｘを用いて共有鍵Ｋ＝（ｇ^ｙ）^ｘを計算する。
（１−１−ｄ）第２主体はｇ^ｘと秘密鍵ｙを用いて共有鍵Ｋ＝（ｇ^ｘ）^ｙを計算する。
Ｇは可換群であるため、Ｋ＝（ｇ^ｙ）^ｘ＝（ｇ^ｘ）^ｙが成立する。

《ＤＨＭ鍵交換方式をベースとした本形態の方式》
この実施例では、ｓｋ１＝ｘ、ｐｋ１＝ｇ^ｘ、ｓｋ２＝ｙ、ｐｋ２＝ｇ^ｙ、β１＝ｇ^ｘ、β２＝ｇ^ｙ、λ１＝Ｋ＝（ｇ^ｙ）^ｘ、λ２＝Ｋ＝（ｇ^ｘ）^ｙとし、第１実施形態の各処理を実行する。

＜実施例１−２＞
実施例１−２ではデジタル署名を用いた認証鍵交換（ＡＫＥ：Advent of Modern Cryptography and Its Advance）方式をベースとして用いる。
《一般的なデジタル署名を用いたＡＫＥ方式》
Ｇを素数ｐの可換群、ｇを群Ｇの単位元以外の元、ｘ∈Ｚ_ｐを第１主体の秘密鍵、ｇ^ｘ∈Ｇを第１主体の公開鍵、ｙ∈Ｚ_ｐを第２主体の秘密鍵、ｇ^ｙ∈Ｇを第２主体の公開鍵、Ｓｉｇ_ａを第１主体の署名鍵、Ｖｅｒ_ａをＳｉｇ_ａに対応する検証鍵、Ｓｉｇ_ｂを第２主体の署名鍵、Ｖｅｒ_ｂをＳｉｇ_ｂに対応する検証鍵とし、ＩＤ_Ａを第１主体のユーザー識別子とし、ＩＤ_Ｂを第２主体のユーザー識別子とする。
（１−２−ａ）第１主体はｇ^ｘとＩＤ_Ａを第２主体に送る。
（１−２−ｂ）第２主体はｇ^ｙとＩＤ_Ｂを第１主体に送る。
（１−２−ｃ）第１主体は、ｇ^ｘとＩＤ_Ａと電子署名Ｓｉｇ_ａ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）を第２主体に送る。ただし、Ｓｉｇ_ａ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）は、Ｓｉｇ_ａを用いて（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）に対して得られる署名値である。また、（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）はｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂのビット結合値等である。
（１−２−ｄ）第２主体は、ｇ^ｙとＩＤ_Ｂと電子署名Ｓｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を第１主体に送る。
（１−２−ｅ）第１主体は、検証鍵Ｖｅｒ_ｂと（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を用いて電子署名Ｓｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）の検証を行い、合格であればｇ^ｙと秘密鍵ｘを用いて共有鍵Ｋ＝（ｇ^ｙ）^ｘを計算する。
（１−２−ｆ）第２主体は、検証鍵Ｖｅｒ_ａを用いて電子署名Ｓｉｇ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）の検証を行い、合格であればｇ^ｘと秘密鍵ｙを用いて共有鍵Ｋ＝（ｇ^ｘ）^ｙを計算する。

《デジタル署名を用いたＡＫＥ方式をベースとした本形態の方式》
この実施例では、ｓｋ１＝ｘ、ｐｋ１＝ｇ^ｘ、ｓｋ２＝ｙ、ｐｋ２＝ｇ^ｙ、β１＝ｇ^ｘ、β２＝ｇ^ｙ、λ１＝Ｋ＝（ｇ^ｙ）^ｘ、λ２＝Ｋ＝（ｇ^ｘ）^ｙとし、第１実施形態の各処理を実行する。ただし、記憶部１１１１には、公開鍵ｐｋ１に加え、署名鍵Ｓｉｇ_ａ、検証鍵Ｖｅｒ_ｂ、ユーザー識別子ＩＤ_Ａが格納される。記憶部１２１１には、公開鍵ｐｋ２に加え、署名鍵Ｓｉｇ_ｂ、検証鍵Ｖｅｒ_ａ、ユーザー識別子ＩＤ_Ｂが格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１からβ１＝ｐｋ１＝ｇ^ｘとＩＤ_Ａを読み込み、通信部１１１６に送る。通信部１１１６はこれらを端末装置１２１に送信する。これらは端末装置１２１の通信部１２１６で受信され、鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−２−ａ）。次に、端末装置１２１の鍵交換処理部１２１５が記憶部１２１１からβ２＝ｐｋ２＝ｇ^ｙとＩＤ_Ｂを読み込み、通信部１２１６に送る。通信部１２１６はこれらを端末装置１１１に送信する。これらは端末装置１１１の通信部１１１６で受信され鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−２−ｂ）。次に、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１からｇ^ｙ，ｇ^ｘ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｓｉｇ_ａを読み込み、Ｓｉｇ_ａ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）を生成し、ｇ^ｘとＩＤ_ＡとＳｉｇ_ａ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）を通信部１１１６に送る。通信部１１１６はこれらを端末装置１２１に送信する。これらは端末装置１２１の通信部１２１６で受信され、鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−２−ｃ）。次に、端末装置１２１の鍵交換処理部１２１５が記憶部１２１１からｇ^ｙ，ｇ^ｘ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｓｉｇ_ｂを読み込み、Ｓｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を生成し、ｇ^ｙとＩＤ_ＢとＳｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を通信部１２１６に送る。通信部１２１６はこれらを端末装置１１１に送信する。これらは端末装置１１１の通信部１１１６で受信され鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−２−ｄ）。鍵交換処理部１１１５は、記憶部１１１１からＶｅｒ_ｂと（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）とＳｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を読み込み、Ｖｅｒ_ｂと（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）を用いてＳｉｇ_ｂ（ｇ^ｘ，ｇ^ｙ，ＩＤ_Ａ）の検証を行い、合格であればステップＳ１１０１以降の処理に進む（１−２−ｅ）。鍵交換処理部１２１５は、Ｖｅｒ_ａと（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）とＳｉｇ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）を読み込み、Ｖｅｒ_ａと（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）を用いてＳｉｇ（ｇ^ｙ，ｇ^ｘ，ＩＤ_Ｂ）の検証を行い、合格であればステップＳ１２０１以降の処理に進む（１−２−ｆ）。

＜実施例１−３＞
実施例１−３ではＭＱＶ（Menezes-Qu-Vanstone）鍵交換方式をベースとして用いる。
《一般的なＭＱＶ鍵交換方式》
Ｇを素数ｐの可換群、ｇを群Ｇの単位元以外の元、ａ∈Ｚ_ｐを第１主体の秘密鍵（長期秘密鍵、固定秘密鍵）、Ａ＝ｇ^ａ∈Ｇを第１主体の公開鍵（長期公開鍵、固定公開鍵）、ｘ∈Ｚ_ｐを第１主体の一時秘密鍵、Ｘ＝ｇ^ｘ∈Ｇを第１主体の一時公開鍵、ｂ∈Ｚ_ｐを第２主体の秘密鍵、Ｂ＝ｇ^ｂ∈Ｇを第２主体の公開鍵、ｙ∈Ｚ_ｐを第１主体の一時秘密鍵、Ｙ＝ｇ^ｙ∈Ｇを第２主体の一時公開鍵とする。
（１−３−ａ）第１主体は（Ａ，Ｘ）を第２主体に送る。
（１−３−ｂ）第２主体は（Ｂ，Ｙ）を第１主体に送る。
（１−３−ｃ）第１主体はｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜を計算する。ここで、｛Ｙ｝_｜ｐ｜は、Ｙをビット表現した際の上位ｐビットを意味する。｛Ｘ｝_｜ｐ｜についても同様である。
（１−３−ｄ）第１主体はσ＝（ＹＢ^ｋ）^ｘ＋ａｄを計算し、共有鍵Ｋ＝ＫＤＦ（σ）を得る。ただし、ＫＤＦはKey Derivation Functionであり、入力値をそれに対応する乱数に変換する関数である。
（１−３−ｅ）第２主体はｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜を計算する。
（１−３−ｆ）第２主体はσ＝（ＸＡ^ｄ）^ｙ＋ｂｋを計算し、共有鍵Ｋ＝ＫＤＦ（σ）を得る。
ここで、Ｇは可換群であり、σ＝（ＹＢ^ｋ）^ｘ＋ａｄ＝ｇ^{（ｙ+ｂｋ）（ｘ＋ａｄ）}＝（ＸＡ^ｄ）^ｙ＋ｂｋが成立する。

《ＭＱＶ鍵交換方式をベースとした本形態の方式》
この実施例では、ｓｋ１＝ａ”、ｐｋ１＝Ａ＝ｇ^ａ”、ｓｋ２＝ｂ”、ｐｋ２＝Ｂ＝ｇ^ｂ”、β１＝ＸＡ^ｋ、β２＝ＹＢ^ｋ、λ１＝ＹＢ^ｋａ”、λ２＝ＸＡ^ｋｂ”、ｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜、Ｋ＝ＫＤＦ（（ＹＢ^ｋ）^{ｘ＋ａ”ｄ}）＝ＫＤＦ（（ＸＡ^ｄ）^{ｙ＋ｂ”ｋ}）とし、第１実施形態の各処理を実行する。ただし、記憶部１１１１には、公開鍵ｐｋ１＝Ａに加え、一時秘密鍵ｘ、一時公開鍵Ｘが格納され、記憶部１２１１には、公開鍵ｐｋ２＝Ｂに加え、一時秘密鍵ｙ、一時公開鍵Ｙが格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１から（Ａ，Ｘ）を読み込んで通信部１１１６に送る。通信部１１１６は（Ａ，Ｘ）を端末装置１２１に送る。（Ａ，Ｘ）は通信部１２１６で受信されて鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−３−ａ）。次に、端末装置１２１の鍵交換処理部１２１５が記憶部１２１１から（Ｂ，Ｙ）を読み込んで通信部１２１６に送る。通信部１２１６は（Ｂ，Ｙ）を端末装置１１１に送る。（Ｂ，Ｙ）は通信部１１１６で受信されて鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−３−ｂ）。鍵交換処理部１１１５は、記憶部からＸ,Ｙを読み込んでｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜を計算し、それらを記憶部１１１１に格納する（１−３−ｃ）。その後、ステップＳ１１０１〜Ｓ１１１２の処理が行われ、鍵交換処理部１１１５はλ１＝ＹＢ^ｋａ”を得る。鍵交換処理部１１１５はλ１と記憶部１１１１から読み出したｘ,ｄとを用いてＫ＝ＫＤＦ（（ＹＢ^ｋ）^{ｘ＋ａ”ｄ}）を計算して出力する（ステップＳ１１１３,１−３−ｄ）。端末装置１２１の鍵交換処理部１２１５は、記憶部からＸ,Ｙを読み込んでｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜を計算し、それらを記憶部１１１１に格納する（１−３−ｅ）。その後、ステップＳ１２０１〜Ｓ１２１２の処理が行われ、鍵交換処理部１２１５はλ２＝ＸＡ^ｋｂ”を得る。鍵交換処理部１２１５はλ２と記憶部１１１１から読み出したｙ,ｄとを用いてＫ＝ＫＤＦ（（ＸＡ^ｄ）^{ｙ＋ｂ”ｋ}）を計算して出力する（ステップＳ１２１３,１−３−ｆ）。

＜実施例１−４＞
実施例１−４ではＨＭＱＶ（Hashed Menezes-Qu-Vanstone）鍵交換方式をベースとして用いる。
《一般的なＨＭＱＶ鍵交換方式》
ＨＭＱＶ鍵交換方式のＭＱＶ鍵交換方式との相違点は、ｋ＝｛Ｙ｝_｜ｐ｜、ｄ＝｛Ｘ｝_｜ｐ｜に代えてｋ＝Ｈａｓｈ（Ｙ,Ａ）,ｄ＝Ｈａｓｈ（Ｘ,Ｂ）とする点である。ここでＨａｓｈ（Ｙ,Ａ）は、（Ｙ,Ａ）に対する暗号学的なハッシュ値である。（Ｙ,Ａ）はＹ,Ａのビット結合値等である。Ｈａｓｈ（Ｘ,Ｂ）についても同様である。その他はＭＱＶ鍵交換方式と同じである。

《デジタル署名を用いたＡＫＥ方式をベースとした本形態の方式》
実施例１−４の実施例１−３との相違点は、ｋ＝Ｈａｓｈ（Ｙ,Ａ）,ｄ＝Ｈａｓｈ（Ｘ,Ｂ）とする点のみであり、その他は実施例１−３と同じである。

＜実施例１−５＞
実施例１−５ではＦＳＵ認証鍵交換方式（ｉｄ−ｉｄ−ＡＫＥ）をベースとして用いる。
《一般的なＦＳＵ認証鍵交換方式（ｉｄ−ｉｄ−ＡＫＥ）》
κをセキュリティパラメータとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がκビット長の素数ｑの巡回群とし、ｇ_１∈Ｇ_１，ｇ_２∈Ｇ_２，ｇ_Ｔ∈Ｇ_Ｔをそれぞれの群の生成元とする。ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満たすものとする。Ｈ：｛０，１｝^*→｛０，１｝^κ、Ｈ_１：｛０，１｝^*→Ｇ_１、Ｈ_２：｛０，１｝^*→Ｇ_２をそれぞれ暗号学的ハッシュ関数とする。２以上の自然数ｍに対して、ｍ個の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，・・・，ｍ）を以下のように与える。

ここで、ｃ（ｉ，０，０），ｃ（ｉ，０，１），ｃ（ｉ，１，０），ｃ（ｉ，１，１）は公開情報であり、定数であってもよいし、後述の短期公開鍵、公開鍵、ユーザー識別子等に依存して決まる値でもよい。鍵生成装置がマスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択・保持し、マスタ公開鍵Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を計算して公開する。ＩＤ_Ａを第１主体のユーザー識別子とし、ＩＤ_Ｂを第２主体のユーザー識別子とする。ＩＤ_ＡおよびＩＤ_Ｂは公開情報である。第１主体は、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を公開鍵として計算して公開する。同様に、第２主体は、Ｑ_Ｂ，１＝Ｈ_１（ＩＤ_Ｂ）∈Ｇ_１とＱ_Ｂ，２＝Ｈ_２（ＩＤ_Ｂ）∈Ｇ_２を公開鍵（長期公開鍵、固定公開鍵）として計算して公開する。

（鍵生成処理）鍵生成装置は、公開鍵（Ｑ_Ａ，１，Ｑ_Ａ，２），（Ｑ_Ｂ，１，Ｑ_Ｂ，２）をそれぞれ入力とし、秘密鍵（長期秘密鍵、固定秘密鍵）の２つのペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚとＤ_Ｂ，１＝Ｑ_Ｂ，１ ^ｚ，Ｄ_Ｂ，２＝Ｑ_Ｂ，２ ^ｚを計算し、第１主体に秘密鍵のペア（Ｄ_Ａ，１，Ｄ_Ａ，２）を、第２主体に秘密鍵のペア（Ｄ_Ｂ，１，Ｄ_Ｂ，２）を配布する。第１主体は短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成する。同様に、第２主体は短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成する。ただし、上付き添え字の「ｘＡ」や「ｘＢ」は、それぞれ「ｘ_Ａ」や「ｘ_Ｂ」を表す。

（１−５−ａ）第１主体は第２主体へ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を送信する。
（１−５−ｂ）第２主体は第１主体へ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を送信する。
（１−５−ｃ）第１主体はｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）を満たすかを確認し、第２主体はｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）を満たすかを確認する。正しくなければ、鍵生成処理からやり直す。正しければ、以下に進む。

（１−５−ｄ）第１主体は、以下の（１−５−ｄ−１）〜（１−５−ｄ−３）を行う。
（１−５−ｄ−１）第１主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｑ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）を計算する。
（１−５−ｄ−２）第１主体は、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡおよびσ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（１−５−ｄ−３）第１主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

（１−５−ｅ）第２主体は、以下の（１−５−ｅ−１）〜（１−５−ｅ−３）を行う。
（１−５−ｅ−１）第２主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｄ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｚ_２ ^{ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｄ_Ｂ，２ ^{ｃ（ｉ，１，０）}Ｚ_２ ^{ｃ（ｉ，０，１）ｘＢ}）を計算する。
（１−５−ｅ−２）第２主体は、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢおよびσ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（１−５−ｅ−３）第２主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を計算する。

ここでＱ_Ａ，１＝ｇ_１ ^{ｑ（Ａ，１）}∈Ｇ_１，Ｑ_Ｂ，２＝ｇ_２ ^{ｑ（Ｂ，２）}∈Ｇ_２とすると、ｅの双線形より、両者が計算したσ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２には以下が成り立つ。
・ｉ＝１，・・・，ｍについてσ_ｉ＝ｇ_Ｔ ^{ｚｐｉ（ｑ（Ａ，１），ｘＡ，ｑ（Ｂ，２），ｘＢ）}（ただし、上付き添え字の「ｐｉ」は「ｐ_ｉ」を表す）
・σ_ｍ＋１＝ｇ_１ ^ｘＡｘＢおよびσ_ｍ＋２＝ｇ_２ ^ｘＡｘＢ
従って両者の共通鍵Ｋは一致する。

《ＦＳＵ認証鍵交換方式（ｉｄ−ｉｄ−ＡＫＥ）をベースとした本形態の方式》
この実施例では、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）、ｓｋ２＝（Ｄ_Ｂ，２，ｘ_Ｂ）、ｐｋ２＝（Ｑ_Ｂ，２，Ｘ_Ｂ，２）、β１＝（Ｘ_Ａ，１，Ｘ_Ａ，２）、β２＝（Ｘ_Ｂ，１，Ｘ_Ｂ，２）、λ１＝（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２）、λ２＝（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２）、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）とし、第１実施形態の各処理を実行する。ただし、記憶部１１１１には、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，２が格納され、記憶部１２１１には、ｐｋ２＝（Ｑ_Ｂ，２，Ｘ_Ｂ，２）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１が格納される。記憶部１１２１には、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）の他、Ｚ_１，Ｑ_Ｂ，２が格納され、記憶部１２２１には、ｓｋ２＝（Ｄ_Ｂ，２，ｘ_Ｂ）の他、Ｚ_２，Ｑ_Ａ，１が格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１から（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を読み込み、通信部１１１６に送る。通信部１１１６は（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）を端末装置１２１に送信する。（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２）は通信部１２１６で受信されて鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−５−ａ）。端末装置１２１の鍵交換処理部１２１５が記憶部１２１１から（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を読み込み、通信部１２１６に送る。通信部１２１６は（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を端末装置１１１に送信する。（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２）は通信部１１１６で受信されて鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−５−ｂ）。鍵交換部１１１５は記憶部１１１１から読み込んだβ２＝（Ｘ_Ｂ，１，Ｘ_Ｂ，２）がｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）を満たすかを確認し、鍵交換部１２１５は記憶部１２１１から読み込んだβ１＝（Ｘ_Ａ，１，Ｘ_Ａ，２）がｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）を満たすかを確認する。正しくなければ、鍵生成からやり直す。正しければステップＳ１１０１，Ｓ１２０１以降の処理に進む（１−５−ｃ）。

ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｑ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）を計算し（１−５−ｄ−１）、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡおよびσ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算し（１−５−ｄ−２）、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｄ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｚ_２ ^{ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｄ_Ｂ，２ ^{ｃ（ｉ，１，０）}Ｚ_２ ^{ｃ（ｉ，０，１）ｘＢ}）を計算し（１−５−ｅ−１）、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢおよびσ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算し（１−５−ｅ−２）、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し（１−５−ｄ−３）、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する（１−５−ｅ−３）。

＜実施例１−５の変形例１＞
実施例１−５の変形例１として、ｓｋ１＝Ｄ_Ａ，１とし、ｐｋ１＝Ｑ_Ａ，１とし、ｓｋ２＝Ｄ_Ｂ，２とし、ｐｋ２＝Ｑ_Ｂ，２とし、β１＝Ｐ_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}とし、β２＝Ｐ_ｉ,Ｂ＝Ｑ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，０，１）}とし、λ１＝ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）とし、λ２＝ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）としてもよい。ただし、記憶部１１１１には、ｐｋ１＝Ｑ_Ａ，１の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２が格納され、記憶部１２１１には、ｐｋ２＝Ｑ_Ｂ，２の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２が格納される。記憶部１１２１には、ｓｋ１＝Ｄ_Ａ，１の他、ｘ_Ａ，Ｚ_１，Ｑ_Ｂ，２が格納され、記憶部１２２１には、ｓｋ２＝（Ｄ_Ｂ，２，ｘ_Ｂ）の他、ｘ_Ｂ，Ｚ_２，Ｑ_Ａ，１が格納される。

ステップＳ１０００は実施例１−５と同じである。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、λ１＝ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、λ２＝ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し（１−５−ｄ）、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する（１−５−ｅ）。

＜実施例１−５の変形例２＞
実施例１−５の変形例２として、β１＝（Ｐ_ｉ,Ａ，α_ｉ，Ａ）、β２＝（Ｐ_ｉ,Ｂ，α_ｉ，Ｂ）、λ１＝（ζ_Ａ,ｉ，α_ｉ，Ｂ ^ｘＡ）、λ２＝（ζ_Ｂ,ｉ，α_ｉ，Ａ ^ｘＢ）としてもよい。ただし、
Ｐ_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}
Ｐ_ｉ,Ｂ＝Ｑ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，０，１）}
ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）
ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）

である。記憶部１１１１には、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，２が格納され、記憶部１２１１には、ｐｋ２＝（Ｑ_Ｂ，２，Ｘ_Ｂ，２）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１が格納される。

ステップＳ１０００は実施例１−５と同じである。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、λ１＝（ζ_Ａ,ｉ，α_ｉ，Ｂ ^ｘＡ）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、λ２＝（ζ_Ｂ,ｉ，α_ｉ，Ａ ^ｘＢ）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し（１−５−ｄ）、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する（１−５−ｅ）。

＜実施例１−５の変形例３＞
実施例１−５の変形例２として、β１＝（Ｐ_ｉ,Ａ，Ｐ’_ｉ,Ａ，α’_ｉ，Ａ）、β２＝（Ｐ_ｉ,Ｂ，Ｐ’_ｉ,Ｂ，α’_ｉ，Ｂ）、λ１＝（ζ_Ａ,ｉ，ζ’_Ａ,ｉ，α’_ｉ，Ｂ ^ｘＡ）、λ２＝（ζ_Ｂ,ｉ，ζ’_Ｂ,ｉ，α’_ｉ，Ａ ^ｘＢ）としてもよい。ただし、
Ｐ_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}
Ｐ_ｉ,Ｂ＝Ｑ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，０，１）}
Ｐ’_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，1）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，1）}
Ｐ’_ｉ,Ｂ＝Ｑ_Ｂ，２ ^{ｃ（ｉ，1，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，1，１）}
ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）
ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）
ζ’_Ａ,ｉ＝ｅ（Ｚ_１ ^ｘＡ，Ｐ’_ｉ,Ｂ）
ζ’_Ｂ,ｉ＝ｅ（Ｐ’_ｉ,Ａ，Ｚ_２ ^ｘＢ）

である。記憶部１１１１には、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，２が格納され、記憶部１２１１には、ｐｋ２＝（Ｑ_Ｂ，２，Ｘ_Ｂ，２）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１が格納される。

ステップＳ１０００は実施例１−５と同じである。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、λ１＝（ζ_Ａ,ｉ，ζ’_Ａ,ｉ，α’_ｉ，Ｂ ^ｘＡ）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、λ２＝（ζ_Ｂ,ｉ，ζ’_Ｂ,ｉ，α’_ｉ，Ａ ^ｘＢ）（ｉ＝１，・・・，ｍ）を計算する。ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し（１−５−ｄ）、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する（１−５−ｅ）。

＜実施例１−６＞
実施例１−６ではＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｃｅｒｔ−ＡＫＥ）をベースとして用いる。
《一般的なＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｃｅｒｔ−ＡＫＥ）》
κをセキュリティパラメータとし、Ｇを位数がκビット長の素数ｑの巡回群とし、ｇ∈Ｇを群Ｇの生成元とする。Ｈ：｛０，１｝^*→｛０，１｝^κ、Ｈ_１：｛０，１｝^*→Ｇをそれぞれ暗号学的ハッシュ関数とする。前述の式（１）のようにｍ個（ただし、ｍは２以上の自然数）の多項式ｐ_ｉ∈Ｚ_ｑ［ｕ_０，ｕ_１，ｖ_０，ｖ_１］（ｉ＝１，・・・，ｍ）を与える。第１主体は、秘密鍵（長期秘密鍵、固定秘密鍵）ｓ_Ａ∈Ｚ_ｑを持ち、公開鍵（長期公開鍵、固定公開鍵）Ｓ_Ａ＝ｇ^ｓＡを公開する。第２主体は、秘密鍵ｓ_Ｂ∈Ｚ_ｑを持ち、公開鍵Ｓ_Ｂ＝ｇ^ｓＢを公開する。ただし、上付き添え字の「ｓＡ」は「ｓ_Ａ」を表し、「ｓＢ」は「ｓ_Ｂ」を表す。認証局は公開鍵Ｓ_Ａと公開鍵Ｓ_Ｂを認証する。第１主体は、短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選び、短期公開鍵Ｘ_Ａ＝ｇ^ｘＡを公開する。同様に、第２主体は、短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選び、短期公開鍵Ｘ_Ｂ＝ｇ^ｘＢを公開する。ただし、上付き添え字の「ｘＡ」は「ｘ_Ａ」を表し、「ｘＢ」は「ｘ_Ｂ」を表す。

（１−６−ａ）第１主体は第２主体へ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ）を送信する。
（１−６−ｂ）第２主体は第１主体へ（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ）を送信する。

（１−６−ｃ）第１主体は、以下の（１−６−ｃ−１）および（１−６−ｃ−２）を行う。
（１−６−ｃ−１）第１主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ｂ ^{ｃ（ｉ，０，１）ｓＡ＋ｃ（ｉ，１，０）ｘＡ}Ｓ_Ｂ ^{ｃ（ｉ，０，０）ｓＡ＋ｃ（ｉ，１，１）ｘＡ}を計算する。
（１−６−ｃ−２）第１主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，Ｘ_Ｂ）を計算する。

（１−６−ｄ）第２主体は、以下の（１−６−ｄ−１）および（１−６−ｄ−２）を行う。
（１−６−ｄ−１）第２主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ａ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}Ｓ_Ａ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}を計算する。
（１−６−ｄ−２）第２主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，Ｘ_Ｂ）を計算する。

ここで、両者が計算したσ_１，・・・，σ_ｍは、σ_ｉ＝ｇ^{ｐｉ（ｓＡ，ｘＡ，ｓＢ，ｘＢ）}の関係を満たすため、両者の共通鍵Ｋは一致する。

《ＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｃｅｒｔ−ＡＫＥ）をベースとした本形態の方式》
この実施例では、ｓｋ１＝（ｓ_Ａ，ｘ_Ａ）、ｐｋ１＝（Ｓ_Ａ，Ｘ_Ａ）、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）、ｐｋ２＝（Ｓ_Ｂ，Ｘ_Ｂ）、β１＝Ｘ_Ａ、β２＝Ｘ_Ｂ、λ１＝（σ_１，・・・，σ_ｍ）、λ２＝（σ_１，・・・，σ_ｍ）、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，Ｘ_Ｂ）とし、第１実施形態の各処理を実行する。ただし、記憶部１１１１には、ｐｋ１＝（Ｓ_Ａ，Ｘ_Ａ）の他、ｘ_Ａ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａが格納され、記憶部１２１１には、ｐｋ２＝（Ｓ_Ｂ，Ｘ_Ｂ）の他、ｘ_Ｂ，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂが格納される。記憶部１１２１には、ｓｋ１＝（ｓ_Ａ，ｘ_Ａ）の他、Ｓ_Ｂが格納され、記憶部１２２１には、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）の他、Ｓ_Ａが格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１から（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ）を読み込み、通信部１１１６に送る。通信部１１１６は（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ）を端末装置１２１に送信する。（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ）は通信部１２１６で受信されて鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−６−ａ）。端末装置１２１の鍵交換処理部１２１５が記憶部１２１１から（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ）を読み込み、通信部１２１６に送る。通信部１２１６は（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ）を端末装置１１１に送信する。（ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ）は通信部１１１６で受信されて鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−６−ｂ）。

その後、ステップＳ１１０１，Ｓ１２０１以降の処理に進む。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ｂ ^{ｃ（ｉ，０，１）ｓＡ＋ｃ（ｉ，１，０）ｘＡ}Ｓ_Ｂ ^{ｃ（ｉ，０，０）ｓＡ＋ｃ（ｉ，１，１）ｘＡ}を計算し（１−６−ｃ−１）、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ａ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}Ｓ_Ａ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}を計算し（１−６−ｄ−１）、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し（１−６−ｃ−２）、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する（１−６−ｄ−２）。

＜実施例１−６の変形例１＞
実施例１−６の変形例１として、（１−６−ａ）に代えて第１主体は第２主体へ（Ｓ_Ａ，Ｘ_Ａ）を送信し（１−６−ａ）’、（１−６−ｂ）に代えて第２主体は第１主体へ（Ｓ_Ｂ，Ｘ_Ｂ）を送信し（１−６−ｂ）’、ｓｋ１＝ｘ_Ａとし、ｐｋ１＝Ｘ_Ａとし、ｓｋ２＝ｘ_Ｂとし、ｐｋ２＝Ｘ_Ｂとし、β１＝α_Ａ，ｉ＝Ｘ_Ａ ^{ｃ（ｉ，１，１）}Ｓ_Ａ ^{ｃ（ｉ，０，１）}とし、β２＝α_Ｂ，ｉ＝Ｘ_Ｂ ^{ｃ（ｉ，１，０）}Ｓ_Ｂ ^{ｃ（ｉ，１，１）}とし、λ１＝α_Ｂ，ｉ ^ｘＡとし、λ２＝α_Ａ，ｉ ^ｘＢとし、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，Ｓ_Ａ，Ｓ_Ｂ，Ｘ_Ａ，Ｘ_Ｂ）としてもよい。ただし、記憶部１１１１には、ｐｋ１＝Ｘ_Ａの他、Ｓ_Ａが格納され、記憶部１２１１には、ｐｋ２＝Ｘ_Ｂの他、Ｓ_Ｂが格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１から（Ｓ_Ａ，Ｘ_Ａ）を読み込み、通信部１１１６に送る。通信部１１１６は（Ｓ_Ａ，Ｘ_Ａ）を端末装置１２１に送信する。（Ｓ_Ａ，Ｘ_Ａ）は通信部１２１６で受信されて鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−６−ａ）’。端末装置１２１の鍵交換処理部１２１５が記憶部１２１１から（Ｓ_Ｂ，Ｘ_Ｂ）を読み込み、通信部１２１６に送る。通信部１２１６は（Ｓ_Ｂ，Ｘ_Ｂ）を端末装置１１１に送信する。（Ｓ_Ｂ，Ｘ_Ｂ）は通信部１１１６で受信されて鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−６−ｂ）’。

その後、ステップＳ１１０１，Ｓ１２０１以降の処理に進む。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ１＝α_Ｂ，ｉ ^ｘＡを計算し、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ２＝α_Ａ，ｉ ^ｘＢを計算し、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５がλ１と記憶部１１１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ｂ ^{ｃ（ｉ，０，１）ｓＡ＋ｃ（ｉ，１，０）ｘＡ}Ｓ_Ｂ ^{ｃ（ｉ，０，０）ｓＡ＋ｃ（ｉ，１，１）ｘＡ}＝λ１・Ｘ_Ｂ ^{ｃ（ｉ，０，１）ｓＡ}Ｓ_Ｂ ^{ｃ（ｉ，０，０）ｓＡ}を計算し、共通鍵Ｋを得る。ステップＳ１２１３では、鍵交換処理部１２１５がλ２と記憶部１２１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ａ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}Ｓ_Ａ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}＝λ２・Ｘ_Ａ ^{ｃ（ｉ，１，０）ｓＢ}Ｓ_Ａ ^{ｃ（ｉ，０，０）ｓＢ}を計算し、共通鍵Ｋを得る。

＜実施例１−６の変形例２＞
実施例１−６の変形例２として、（１−６−ａ）に代えて第１主体は第２主体へ（Ｓ_Ａ，Ｘ_Ａ）を送信し（１−６−ａ）’、（１−６−ｂ）に代えて第２主体は第１主体へ（Ｓ_Ｂ，Ｘ_Ｂ）を送信し（１−６−ｂ）’、ｓｋ１＝（ｓ_Ａ，ｘ_Ａ）とし、ｐｋ１＝（Ｓ_Ａ，Ｘ_Ａ）とし、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）とし、ｐｋ２＝（Ｓ_Ｂ，Ｘ_Ｂ）とし、β１＝（α_Ａ，ｉ,β_Ａ，ｉ）＝（Ｘ_Ａ ^{ｃ（ｉ，１，１）}Ｓ_Ａ ^{ｃ（ｉ，０，１）},Ｘ_Ａ ^{ｃ（ｉ，１，０）}Ｓ_Ａ ^{ｃ（ｉ，０，０）}）とし、β２＝（α_Ｂ，ｉ,β_Ｂ，ｉ）＝（Ｘ_Ｂ ^{ｃ（ｉ，１，０）}Ｓ_Ｂ ^{ｃ（ｉ，１，１）},Ｘ_Ｂ ^{ｃ（ｉ，０，１）}Ｓ_Ｂ ^{ｃ（ｉ，０，０）}）とし、λ１＝（α_Ｂ，ｉ ^ｘＡ，β_Ｂ，ｉ ^ｓＡ）とし、λ２＝（α_Ａ，ｉ ^ｘＢ,β_Ａ，ｉ ^ｓＢ）とし、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，Ｓ_Ａ，Ｓ_Ｂ，Ｘ_Ａ，Ｘ_Ｂ）としてもよい。

ステップＳ１０００は実施例１−６の変形例１と同じであり、その後、ステップＳ１１０１，Ｓ１２０１以降の処理に進む。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ１＝（α_Ｂ，ｉ ^ｘＡ，β_Ｂ，ｉ ^ｓＡ）を計算し、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ２＝（α_Ａ，ｉ ^ｘＢ,β_Ａ，ｉ ^ｓＢ）を計算し、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５がλ１＝（α_Ｂ，ｉ ^ｘＡ，β_Ｂ，ｉ ^ｓＡ）と記憶部１１１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ｂ ^{ｃ（ｉ，０，１）ｓＡ＋ｃ（ｉ，１，０）ｘＡ}Ｓ_Ｂ ^{ｃ（ｉ，０，０）ｓＡ＋ｃ（ｉ，１，１）ｘＡ}＝α_Ｂ，ｉ ^ｘＡβ_Ｂ，ｉ ^ｓＡを計算し、共通鍵Ｋを得る。ステップＳ１２１３では、鍵交換処理部１２１５がλ２＝（α_Ａ，ｉ ^ｘＢ,β_Ａ，ｉ ^ｓＢ）および記憶部１２１１に格納された情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝Ｘ_Ａ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}Ｓ_Ａ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}＝α_Ａ，ｉ ^ｘＢβ_Ａ，ｉ ^ｓＢを計算し、共通鍵Ｋを得る。

＜実施例１−７＞
実施例１−７ではＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｉｄ−ＡＫＥ）をベースとして用いる。
《一般的なＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｉｄ−ＡＫＥ）》
κをセキュリティパラメータとし、Ｇ_１，Ｇ_２，Ｇ_Ｔを位数がκビット長の素数ｑの巡回群とし、ｇ_１∈Ｇ_１，ｇ_２∈Ｇ_２，ｇ_Ｔ∈Ｇ_Ｔをそれぞれの群の生成元とする。ｅ：Ｇ_１×Ｇ_２→Ｇ_Ｔをペアリングとし、ｇ_Ｔ＝ｅ（ｇ_１，ｇ_２）を満たすものとする。Ｈ：｛０，１｝^*→｛０，１｝^κ、Ｈ_１：｛０，１｝^*→Ｇ_１、Ｈ_２：｛０，１｝^*→Ｇ_２をそれぞれ暗号学的ハッシュ関数とする。多項式ｐ_ｉ（ただしｉ＝１，・・・，ｍ、ｍは２以上の自然数）を式（１）のように与える。鍵生成装置がマスタ秘密鍵ｚ∈Ｚ_ｑをランダムに選択・保持し、マスタ公開鍵Ｚ_１＝ｇ_１ ^ｚ∈Ｇ_１とＺ_２＝ｇ_２ ^ｚ∈Ｇ_２を計算して公開する。第１主体は、ユーザー識別子ＩＤ_Ａを持ち、Ｑ_Ａ，１＝Ｈ_１（ＩＤ_Ａ）∈Ｇ_１とＱ_Ａ，２＝Ｈ_２（ＩＤ_Ａ）∈Ｇ_２を公開鍵として計算して公開する。

（鍵生成処理）鍵生成装置は、公開鍵（Ｑ_Ａ，１，Ｑ_Ａ，２）を入力とし、秘密鍵（長期秘密鍵、固定秘密鍵）のペアＤ_Ａ，１＝Ｑ_Ａ，１ ^ｚ，Ｄ_Ａ，２＝Ｑ_Ａ，２ ^ｚを計算し、第１主体に秘密鍵のペア（Ｄ_Ａ，１，Ｄ_Ａ，２）を配布する。第２主体は、秘密鍵ｓ_Ｂ∈Ｚ_ｑを持ち、公開鍵のペアＳ_Ｂ，１＝ｇ_１ ^ｓＢ∈Ｇ_１とＳ_Ｂ，２＝ｇ_２ ^ｓＢ∈Ｇ_２を計算して公開する。認証局は公開鍵（Ｓ_Ｂ，１，Ｓ_Ｂ，２）を認証する。第１主体は短期秘密鍵ｘ_Ａ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ａ，１＝ｇ_１ ^ｘＡ，Ｘ_Ａ，２＝ｇ_２ ^ｘＡを生成する。同様に、第２主体は短期秘密鍵ｘ_Ｂ∈Ｚ_ｑをランダムに選び、短期公開鍵のペアＸ_Ｂ，１＝ｇ_１ ^ｘＢ，Ｘ_Ｂ，２＝ｇ_２ ^ｘＢを生成する。

（１−７−ａ）第１主体は第２主体へ（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）を送信する。
（１−７−ｂ）第２主体は第１主体へ（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を送信する。
（１−７−ｃ）第１主体はｅ（Ｘ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ｂ，２）であるかとｅ（Ｓ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｓ_Ｂ，２）であるかを確認し、第２主体はｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）であるかを確認する。正しくなければ、鍵生成処理からやり直す。正しければ、以下に進む。

（１−７−ｄ）第１主体は、以下の（１−７−ｄ−１）〜（１−７−ｄ−４）を行う。
（１−７−ｄ−１）第１主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｓ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）を計算する。
（１−７−ｄ−２）第１主体は、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡおよびσ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算する。
（１−７−ｄ−３）第１主体は、σ_ｍ＋３＝Ｓ_Ｂ，１ ^ｘＡおよびσ_ｍ＋４＝Ｓ_Ｂ，２ ^ｘＡを計算する。
（１−７−ｄ−４）第１主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）を計算する。

（１−７−ｅ）第２主体は、以下の（１−７−ｅ−１）〜（１−７−ｅ−４）を行う。
（１−７−ｅ−１）第２主体は、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}）を計算する。
（１−７−ｅ−２）第２主体は、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢおよびσ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算する。
（１−７−ｅ−３）第２主体は、σ_ｍ＋３＝Ｘ_Ａ，１ ^ｓＢおよびσ_ｍ＋４＝Ｘ_Ａ，２ ^ｓＢを計算する。
（１−７−ｅ−４）第２主体は、共有鍵Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）を計算する。

ここでＱ_Ａ，１＝ｇ_１ ^{ｑ（Ａ，１）}∈Ｇ_１とすると、ｅの双線形より、両者が計算したσ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２には以下が成り立つ。
・ｉ＝１，・・・，ｍについてσ_ｉ＝ｇ_Ｔ ^{ｚｐｉ（ｑ（Ａ，１），ｓＢ，ｘＡ，ｘＢ）}
・σ_ｍ＋１＝ｇ_１ ^ｘＡｘＢおよびσ_ｍ＋２＝ｇ_２ ^ｘＡｘＢ
・σ_ｍ＋３＝ｇ_１ ^ｘＡｓＢおよびσ_ｍ＋４＝ｇ_２ ^ｘＡｓＢ
従って両者の共通鍵Ｋは一致する。

《ＦＳＵ認証鍵交換方式（ｃｅｒｔ−ｉｄ−ＡＫＥ）をベースとした本形態の方式》
この実施例では、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）、ｐｋ２＝（Ｓ_Ｂ，１，Ｘ_Ｂ，１，Ｘ_Ｂ，２）、β１＝（Ｘ_Ａ，１，Ｘ_Ａ，２）、β２＝（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）、λ１＝（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３）、λ２＝（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３）、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）とし、第１実施形態の各処理を実行する。ただし、記憶部１１１１には、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，２が格納され、記憶部１２１１には、ｐｋ２＝（Ｓ_Ｂ，１，Ｘ_Ｂ，１，Ｘ_Ｂ，２）の他、Ｓ_Ｂ，２，ＩＤ_Ａ，ＩＤ_Ｂが格納される。記憶部１１２１には、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）の他、Ｚ_１，Ｑ_Ｂ，２が格納され、記憶部１２２１には、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）の他、Ｚ_２，Ｑ_Ａ，１が格納される。

ステップＳ１０００では、まず、端末装置１１１の鍵交換処理部１１１５が記憶部１１１１から（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）を読み込み、通信部１１１６に送る。通信部１１１６は（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）を端末装置１２１に送信する。（ＩＤ_Ａ，Ｘ_Ａ，１，Ｘ_Ａ，２）は通信部１２１６で受信されて鍵交換処理部１２１５に送られ、記憶部１２１１に格納される（１−７−ａ）。端末装置１２１の鍵交換処理部１２１５が記憶部１２１１から（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を読み込み、通信部１２１６に送る。通信部１２１６は（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）を端末装置１１１に送信する。（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）は通信部１１１６で受信されて鍵交換処理部１１１５に送られ、記憶部１１１１に格納される（１−７−ｂ）。鍵交換部１１１５は記憶部１１１１から読み込んだβ２＝（Ｓ_Ｂ，１，Ｓ_Ｂ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２）がｅ（Ｓ_Ｂ，１，ｇ_２）＝ｅ（ｇ_１，Ｓ_Ｂ，２）を満たすかを確認し、鍵交換部１２１５は記憶部１２１１から読み込んだβ１＝（Ｘ_Ａ，１，Ｘ_Ａ，２）がｅ（Ｘ_Ａ，１，ｇ_２）＝ｅ（ｇ_１，Ｘ_Ａ，２）を満たすかを確認する。正しくなければ、鍵生成からやり直す。正しければステップＳ１１０１，Ｓ１２０１以降の処理に進む（１−７−ｃ）。

ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｓ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）を計算し（１−７−ｄ−１）、σ_ｍ＋１＝Ｘ_Ｂ，１ ^ｘＡおよびσ_ｍ＋２＝Ｘ_Ｂ，２ ^ｘＡを計算し（１−７−ｄ−２）、σ_ｍ＋３＝Ｓ_Ｂ，１ ^ｘＡおよびσ_ｍ＋４＝Ｓ_Ｂ，２ ^ｘＡを計算し、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}）を計算し（１−７−ｅ−１）、σ_ｍ＋１＝Ｘ_Ａ，１ ^ｘＢおよびσ_ｍ＋２＝Ｘ_Ａ，２ ^ｘＢを計算し（１−７−ｅ−２）、σ_ｍ＋３＝Ｘ_Ａ，１ ^ｓＢおよびσ_ｍ＋４＝Ｘ_Ａ，２ ^ｓＢを計算し、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５が、λ１と記憶部１１１１に格納された情報とを用いて共通鍵Ｋを得て出力し、ステップＳ１２１３では、鍵交換処理部１２１５が、λ２と記憶部１２１１に格納された情報とを用いて共通鍵Ｋを得て出力する。

＜実施例１−７の変形例１＞
実施例１−７の変形例１として、ｓｋ１＝Ｄ_Ａ，１とし、ｐｋ１＝Ｑ_Ａ，１とし、ｓｋ２＝ｓ_Ｂとし、ｐｋ２＝Ｓ_Ｂ，１とし、β１＝β_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}またはβ’_ｉ,Ａ＝ｅ(Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}，Ｚ_２)とし、β２＝α_ｉ,Ｂ＝Ｓ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，０，１）}とし、λ１＝ｅ（Ｄ_Ａ，１,α_ｉ,Ｂ）とし、λ２＝ｅ（β_ｉ,Ａ,Ｚ_２ ^ｓＢ）またはλ２＝β’_ｉ,Ａ ^ｓＢとし、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）としてもよい。ただし、記憶部１１１１には、ｐｋ１＝Ｑ_Ａ，１の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１,Ｘ_Ａ，２,Ｚ_２が格納され、記憶部１２１１には、ｐｋ２＝Ｓ_Ｂ，１の他、Ｓ_Ｂ，２，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ｂ，１，Ｘ_Ｂ，２が格納される。記憶部１１２１には、ｓｋ１＝Ｄ_Ａ，１が格納され、記憶部１２２１には、ｓｋ２＝ｓ_Ｂの他、Ｚ_２が格納される。

ステップＳ１０００は実施例１−７と同じであり、その後、ステップＳ１１０１，Ｓ１２０１以降の処理に進む。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ１＝ｅ（Ｄ_Ａ，１,α_ｉ,Ｂ）を計算し、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ２＝ｅ（β_ｉ,Ａ,Ｚ_２ ^ｓＢ）またはλ２＝ｅ(Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}，Ｚ_２)^ｓＢを計算し、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５がλ１と記憶部１１１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｓ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）＝λ１・ｅ（Ｚ_１，Ｓ_Ｂ，２ ^{ｃ（ｉ，１，０）ｘＡ}Ｘ_Ｂ，２ ^{ｃ（ｉ，１，１）ｘＡ}）を計算し、共通鍵Ｋを得る。ステップＳ１２１３では、鍵交換処理部１２１５がλ２と記憶部１２１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}）＝λ２・ｅ（Ｑ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｘ_Ａ，２ ^{ｃ（ｉ，１，１）}，Ｚ_２ ^ｘＢ）を計算し、共通鍵Ｋを得る。

＜実施例１−７の変形例２＞
実施例１−７の変形例２として、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）とし、ｐｋ１＝（Ｑ_Ａ，１，Ｘ_Ａ，１）とし、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）とし、ｐｋ２＝（Ｓ_Ｂ，１，Ｘ_Ｂ，１，Ｘ_Ｂ，２）とし、β１＝（β１’,β１”）とし、β１’をβ_ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}またはβ’_ｉ,Ａ＝ｅ(Ｑ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，０）}，Ｚ_２)とし、β１”をβ_１,ｉ,Ａ＝Ｑ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，１）}またはβ_２,ｉ,Ａ＝ｅ（Ｑ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｘ_Ａ，１ ^{ｃ（ｉ，１，１）},Ｚ_２）とし、β２＝（β２’,β２”）とし、β２’＝α_ｉ,Ｂ＝Ｓ_Ｂ，２ ^{ｃ（ｉ，０，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，０，１）}とし、β２”をβ_ｉ,Ｂ＝Ｓ_Ｂ，２ ^{ｃ（ｉ，１，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，１，１）}またはβ’_ｉ,Ｂ＝ｅ（Ｚ_１,Ｓ_Ｂ，２ ^{ｃ（ｉ，１，０）}Ｘ_Ｂ，２ ^{ｃ（ｉ，１，１）}）とし、λ１＝（λ１_ｉ’,λ１_ｉ”）とし、λ１_ｉ’＝ｅ（Ｄ_Ａ，１,α_ｉ,Ｂ）とし、λ１_ｉ”をｅ（Ｚ_１ ^ｘＡ,β_ｉ,Ｂ）またはβ’_ｉ,Ｂ ^ｘＡとし、λ２＝（λ２_ｉ’,λ２_ｉ”）とし、λ２_ｉ’をｅ（β_ｉ,Ａ,Ｚ_２ ^ｓＢ）またはβ’_ｉ,Ａ ^ｓＢとし、λ２_ｉ”をｅ（β_１,ｉ,Ａ,Ｚ_２ ^ｘＢ）またはβ_２,ｉ,Ａ ^ｘＢとし、Ｋ＝Ｈ（σ_１，・・・，σ_ｍ，σ_ｍ＋１，σ_ｍ＋２，σ_ｍ＋３，σ_ｍ＋４，ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１，Ｘ_Ａ，２，Ｘ_Ｂ，１，Ｘ_Ｂ，２，Ｓ_Ｂ，１，Ｓ_Ｂ，２）としてもよい。ただし、記憶部１１１１には、ｐｋ１＝Ｑ_Ａ，１の他、ＩＤ_Ａ，ＩＤ_Ｂ，Ｘ_Ａ，１,Ｘ_Ａ，２,が格納され、記憶部１２１１には、ｐｋ２＝（Ｓ_Ｂ，１，Ｘ_Ｂ，１，Ｘ_Ｂ，２）の他、Ｓ_Ｂ，２，ＩＤ_Ａ，ＩＤ_Ｂが格納される。記憶部１１２１には、ｓｋ１＝（Ｄ_Ａ，１，ｘ_Ａ）の他、Ｚ_１が格納され、記憶部１２２１には、ｓｋ２＝（ｓ_Ｂ，ｘ_Ｂ）の他、Ｚ_２が格納される。

ステップＳ１０００は実施例１−７と同じであり、その後、ステップＳ１１０１，Ｓ１２０１以降の処理に進む。ステップＳ１１１０では、代理演算部１１２６がβ２および記憶部１１２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ１＝（λ１_ｉ’,λ１_ｉ”）を計算し、λ１を得る。ステップＳ１２１０では、代理演算部１２２６がβ１および記憶部１２２１から読み込んだ情報を用い、ｉ＝１，・・・，ｍについてλ２＝（λ２_ｉ’,λ２_ｉ”）を計算し、λ２を得る。

ステップＳ１１１３では、鍵交換処理部１１１５がλ１と記憶部１１１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，０）}Ｚ_１ ^{ｃ（ｉ，１，０）ｘＡ}，Ｓ_Ｂ，２）ｅ（Ｄ_Ａ，１ ^{ｃ（ｉ，０，１）}Ｚ_１ ^{ｃ（ｉ，１，１）ｘＡ}，Ｘ_Ｂ，２）＝λ１_ｉ’λ１_ｉ”を計算し、共通鍵Ｋを得る。ステップＳ１２１３では、鍵交換処理部１２１５がλ２と記憶部１２１１に格納された情報とを用い、ｉ＝１，・・・，ｍについてσ_ｉ＝ｅ（Ｑ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，０，０）ｓＢ＋ｃ（ｉ，０，１）ｘＢ}）ｅ（Ｘ_Ａ，１，Ｚ_２ ^{ｃ（ｉ，１，０）ｓＢ＋ｃ（ｉ，１，１）ｘＢ}）＝λ２_ｉ’λ２_ｉ”を計算し、共通鍵Ｋを得る。

＜第１実施形態の特徴＞
本形態では、絶対数の多い個々の端末装置１１１，１２１やそれらのユーザーごとに認証処理の管理を行うのではなく、絶対数の少ない回線ごとに認証処理の管理を行う。そのため、認証処理や管理のコストを削減できる。

本形態では、端末装置１１１，１２１やそれらのユーザーごとに個々に登録が行われるのではなく、鍵装置１１２，１２２が鍵交換のための処理を行う回線ごとに登録が行われる。そのため、個々の端末装置１１１，１２１やそれらのユーザーを登録することなく、登録済みの回線を正当に使用する権限がある複数の端末装置１１１，１２１に対し、鍵装置１１２，１２２での処理を許可することができ、登録手続きを簡易化できる。また、回線に対して鍵交換処理権限を与えるため、本システム専用の設定を行う前の端末装置１１１，１２１に対しても鍵交換処理権限を与えることができる。すなわち、本形態の鍵交換処理機能を実行するためのプログラムを端末装置１１１，１２１にインストールする前であっても、その端末装置１１１，１２１が使用する回線に対応する回線情報を特定することはでき、その回線に対応する「登録情報」を含むリストを鍵装置１１２，１２２に格納することができる。また「登録情報」および「回線対応情報」として、公開された固有情報または当該固有情報に対して一義的に決まる情報を用いた場合、非公開の情報を用いることなく、上述の管理を実現できる。

また、本形態では端末装置１１１，１２１の正当性が公衆回線内の回線認証によって担保される。そのため、端末装置１１１，１２１やそのユーザーが署名生成のための特別な認証処理を別途行う必要がなく、それに必要な秘密情報を別途保持する必要もない。

また、鍵装置１１２や記憶部１２２にｓｋ−Ｌｉｓｔ１やｓｋ−Ｌｉｓｔ２を格納し、公開鍵ｐｋ１や公開鍵ｐｋ２を用いて、鍵交換処理に用いる秘密鍵ｓｋ１やｓｋ２を特定する構成の場合、複数種類の秘密鍵ｓｋ１やｓｋ２についての鍵交換処理を鍵装置１１２，１２２に委託できる。

なお、回線対応情報ｘ１に対応する秘密鍵ｓｋ１を用いて鍵対応情報λ１が生成されてもよいし、回線対応情報ｘ２に対応する秘密鍵ｓｋ２を用いて鍵対応情報λ２が生成されてもよい。これらの変形例では、例えば、秘密鍵ｓｋ１（ｓｋ２）とそれらに対応付けられた公開鍵ｐｋ１（ｐｋ２）とを含むリストｓｋ−Ｌｉｓｔ１（ｓｋ−Ｌｉｓｔ２）に代え、秘密鍵ｓｋ１（ｓｋ２）とそれらに対応付けられた「登録情報」とを含むリストｓｋ−Ｌｉｓｔ１（ｓｋ−Ｌｉｓｔ２）が用いられる。回線対応情報ｘ１（ｘ２）がリストＬｉｓｔ１（Ｌｉｓｔ２）の何れかの「登録情報」に対応する場合（ステップＳ１１０８，Ｓ１２０８）、代理演算部１１２６（１２２６）は、回線対応情報ｘ１（ｘ２）を用いて記憶部１１２１（１２２１）に格納されたｓｋ−Ｌｉｓｔ１（ｓｋ−Ｌｉｓｔ２）を検索し、回線対応情報ｘ１（ｘ２）に対応する秘密鍵ｓｋ１（ｓｋ２）を抽出し、鍵対応情報λ１（λ２）を生成する。あるいは、ｓｋ−Ｌｉｓｔ１（ｓｋ−Ｌｉｓｔ２）を省略し、Ｌｉｓｔ１（Ｌｉｓｔ２）が秘密鍵ｓｋ１（ｓｋ２）とそれらに対応付けられた「登録情報」とを含んでもよい。この構成では、回線対応情報ｘ１（ｘ２）がリストＬｉｓｔ１（Ｌｉｓｔ２）の何れかの「登録情報」に対応する場合（ステップＳ１１０８，Ｓ１２０８）、代理演算部１１２６（１２２６）は、その「登録情報」に対応付けられた鍵ｓｋ１（ｓｋ２）を抽出し、鍵対応情報λ１（λ２）を生成する。

また第１実施形態では、「秘密鍵を特定するための情報」として公開鍵ｐｋ１（ｐｋ２）を用いる例を示したが、鍵ＩＤその他の情報を「秘密鍵を特定するための情報」としてもよい。また、ステップＳ１１０１（Ｓ１２０１）で公開情報β２（β１）を含まない「要求情報」を送信し、ステップＳ１１０８（Ｓ１２０８）で回線対応情報ｘ１（ｘ２）がリストＬｉｓｔ１（Ｌｉｓｔ２）の何れかの「登録情報」に対応すると判定されてから、端末装置１１１（１２１）から鍵装置１１２（１２２）に公開情報β２（β１）を含む「要求情報」を送信し、ステップＳ１１１０（Ｓ１２１０）以降の処理が実行されてもよい。

第１実施形態では、鍵装置１１２，１２２に秘密鍵ｓｋ１，ｓｋ２を格納し、端末装置１１１，１２１の双方が鍵装置１１２，１２２に鍵交換処理の一部の処理を委託した。しかしながら、端末装置１２１が自ら秘密鍵ｓｋ２格納し、鍵装置１２２を用いることなく、第１実施形態で説明した端末装置１１１との間で鍵交換処理を実行してもよい。逆に、端末装置１１１が自ら秘密鍵ｓｋ１格納し、鍵装置１１２を用いることなく、第１実施形態で説明した端末装置１２１との間で鍵交換処理を実行してもよい。

［第２実施形態］
次に第２実施形態を説明する。第２実施形態は第１実施形態の変形例であり、自己訂正技術を用い、各端末装置が各鍵装置から鍵対応情報を得て鍵交換を行うものである。本形態の「公開情報に対応する情報」は、鍵交換のために他の端末装置から得た「公開情報」の撹乱情報であり、「鍵対応情報」は、「公開情報」と「秘密鍵」とを用いて得られる共有情報を自己訂正処理によって得るための情報である。自己訂正技術とは、必ずしも正しい計算結果を出力するとは限らない計算機やシステムを用いて常に正しい計算を行う（正しい計算結果を出力する計算機を用いた場合に正しい計算結果を出力し、必ずしも正しい結果を出力するとは限らない計算機を用いた場合に、正しい計算結果を得るか、または計算できない旨の結果を得る）技術である。自己訂正技術自体は公知技術であり、例えば、参考文献４（国際公開ＷＯ／２０１２／０５７１３４号公報）、参考文献５（国際公開ＷＯ／２０１１／０８６９９２号公報）、および参考文献６（国際公開ＷＯ／２０１２／１２１１５２号公報）等に開示されている。以下では、第１実施形態との相違点を中心に説明し、既に説明した事項については同じ参照番号を流用して説明を簡略化する。

本形態の構成を説明する。図１に例示するように、本形態の鍵交換システム２は、端末装置２１１，２２１（第１端末装置，第２端末装置）と鍵装置２１２，２２２（第１鍵装置，第２鍵装置）とを有する。端末装置２１１と鍵装置２１２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。同様に、端末装置２２１と鍵装置２２２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。

図１に例示するように、本形態の端末装置２１１は、記憶部１１１１と出力部２１１３と入力部２１１４と鍵交換処理部２１１５と通信部１１１６を有し、端末装置２２１は、記憶部１２１１と出力部２２１３と入力部２２１４と鍵交換処理部２２１５と通信部１２１６を有する。本形態の鍵装置１１２は、記憶部１１２１，１１２２と、入力部２１２３と、出力部２１２４と、判定部１１２５と、代理演算部２１２６とを有し、鍵装置２２２は、記憶部１２２１，１２２２と、入力部１２２３と、出力部１２２４と、判定部１２２５と、代理演算部２２２６とを有する。各装置は、例えば、前述したコンピュータに所定のプログラムが読み込まれることで構成されてもよいし、電子回路を用いて一部またはすべての処理部が構成されてもよい。

＜事前処理＞
第１実施形態と同じである。

＜鍵交換処理＞
図４および図５を用いて本形態の鍵交換処理を説明する。本形態では端末装置２１１と端末装置２２１との間で鍵交換を行い、その処理の一部を、鍵装置２１２，２２２が自己訂正技術を用いて代行する。

まず、第１実施形態で説明したステップＳ１０００の処理が実行される。
端末装置２１１の鍵交換処理部２１１５は、「鍵処理要求」を出力部２１１３に送る。鍵装置２１２の記憶部１１２１にｓｋ−Ｌｉｓｔ１が格納されている場合、鍵交換処理部１１１５は、さらに記憶部１１１１から読み込んだ公開鍵ｐｋ１（秘密鍵ｓｋ１を特定するための情報）を出力部２１１３に送る。出力部２１１３は、鍵装置２１２を宛先とし、公衆回線の所定の回線（使用回線）に対して「鍵処理要求」を含む「要求情報」を出力する。ただし、記憶部１１２１にｓｋ−Ｌｉｓｔ１が格納されている場合、「要求情報」はさらに公開鍵ｐｋ１を含む（鍵交換処理要求：ステップＳ２１０１）。その後、第１実施形態で説明したステップＳ１１０２〜Ｓ１１０３の処理に進む。ステップＳ１１０３で回線認証が成功であった場合、「要求情報」が鍵装置２１２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｄｘ１に対応する回線対応情報ｘ１を鍵装置２１２に送信する（ステップＳ２１０５）。回線対応情報ｘ１、および「鍵処理要求」を含む「要求情報」は、鍵装置２１２の入力部２１２３に入力される（受け付けられる）。入力部２１２３に入力される回線対応情報ｘ１は、回線認証に成功した回線（使用回線）に対応する情報である。回線対応情報ｘ１は判定部１１２５に送られ、「要求情報」は代理演算部２１２６に送られる（ステップＳ２１０６）。その後、第１実施形態で説明したステップＳ１１０７〜Ｓ１１０９の処理に進む。ステップＳ１１０８で、回線対応情報ｘ１がリストＬｉｓｔ１の何れかの「登録情報」に対応すると判定された場合、端末装置２１１の鍵交換処理部２１１５と鍵装置２１２の代理演算部２１２６とが自己訂正処理を行い（ステップＳ２１１０）、その結果を用い、鍵交換処理部２１１５が共通鍵Ｋを得る（ステップＳ２１１３）。この詳細は後述する。

同様に、端末装置２２１の鍵交換処理部２２１５は、「鍵処理要求」を出力部２２１３に送る。鍵装置２２２の記憶部１１２１にｓｋ−Ｌｉｓｔ２が格納されている場合、鍵交換処理部１１１５は、さらに記憶部１１１１から読み込んだ公開鍵ｐｋ２（秘密鍵ｓｋ２を特定するための情報）を出力部２２１３に送る。出力部２２１３は、鍵装置２２２を宛先とし、公衆回線の所定の回線（使用回線）に対して「鍵処理要求」を含む「要求情報」を出力する。ただし、記憶部１１２１にｓｋ−Ｌｉｓｔ２が格納されている場合、「要求情報」はさらに公開鍵ｐｋ２を含む（鍵交換処理要求：ステップＳ２２０１）。その後、第１実施形態で説明したステップＳ１２０２〜Ｓ１２０３の処理に進む。ステップＳ１２０３で回線認証が成功であった場合、「要求情報」が鍵装置２２２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｄｘ１に対応する回線対応情報ｘ１を鍵装置２２２に送信する（ステップＳ２２０５）。回線対応情報ｘ１、および「鍵処理要求」を含む「要求情報」は、鍵装置２２２の入力部２２２３に入力される（受け付けられる）。入力部２２２３に入力される回線対応情報ｘ１は、回線認証に成功した回線（使用回線）に対応する情報である。回線対応情報ｘ１は判定部１１２５に送られ、「要求情報」は代理演算部２２２６に送られる（ステップＳ２２０６）。その後、第１実施形態で説明したステップＳ１２０７〜Ｓ１２０９の処理に進む。ステップＳ１２０８で、回線対応情報ｘ１がリストＬｉｓｔ２の何れかの「登録情報」に対応すると判定された場合、端末装置２２１の鍵交換処理部２２１５と鍵装置２２２の代理演算部２２２６とが自己訂正処理を行い（ステップＳ２２１０）、その結果を用い、鍵交換処理部２２１５が共通鍵Ｋを得る（ステップＳ２２１３）。この詳細は後述する。

≪ステップＳ２１１０の自己訂正処理およびステップＳ２１１３の処理≫
ステップＳ２１１０の自己訂正処理では、まず、鍵交換処理部２１１５が鍵交換のために得た公開情報β２の撹乱情報（公開情報に対応する情報）を出力部２１１３に送る。出力部２１１３は、公開情報β２の撹乱情報ｄβ２を上述の使用回線に出力する（ステップＳＣ−１）。公開情報β２の撹乱情報ｄβ２は鍵装置２１２の入力部２１２３に入力され、代理演算部２１２６に送られる。代理演算部２１２６は、少なくとも公開情報β２の撹乱情報ｄβ２と記憶部１１２１から読み込んだ秘密鍵ｓｋ１とを用い、共有情報Ω１を自己訂正処理によって得るための鍵対応情報λ１を得て出力する。鍵対応情報λ１は出力部２１２４から上述の使用回線に出力される（ステップＳＣ−２）。鍵対応情報λ１は、端末装置２１１の入力部２１１４に入力され、鍵交換処理部２１１５に送られる。鍵交換処理部２１１５は、鍵対応情報λ１から共有情報Ω１を得、得られた共有情報Ω１を用いて共通鍵Ｋを得て出力する（ステップＳＣ−３）。鍵交換処理部２１１５は、鍵対応情報λ１から共有情報Ω１が得られない場合にはエラーを出力する。あるいは、鍵対応情報λ１から共有情報Ω１が得られない場合、所定の回数を上限として、鍵対応情報λ１から共有情報Ω１が得られるまで上述のステップＳＣ−１，２の処理が繰り返されてもよい。この場合、鍵交換処理部２１１５は、鍵対応情報λ１から共有情報Ω１を得た場合に上述のステップＳＣ−３を実行し、所定の回数だけ上述のステップＳＣ−１，２の処理を繰り返しても共有情報Ω１が得られない場合にエラーを出力する。

例えば、Ｇ，Ｈが群、公開情報β２が群Ｈの元、ｆが秘密鍵ｓｋ１を用いて公開情報β２に対応する共有情報Ω１＝ｆ（β２）∈Ｇを得るための関数、Ｘ_１，Ｘ_２が群Ｇに値を持つ確率変数、ｘ_１が確率変数Ｘ_１の実現値、ｘ_２が確率変数Ｘ_２の実現値、ａ，ｂが互いに素であるランダムな自然数である。ａ，ｂの一方が１などの定数であってもよい。この場合、公開情報β２の撹乱情報ｄβ２は、公開情報β２に対応する群Ｈの元であるτ_１および／またはτ_２であり、鍵対応情報λ１はｚ_１および／またはｚ_２である。ただし、ｚ_１＝ｆ（τ_１）あるいはｚ_１≠ｆ（τ_１）であり、ｚ_２＝ｆ（τ_２）あるいはｚ_２≠ｆ（τ_２）である。ｚ_１＝ｆ（τ_１）である場合もあればｚ_１＝ｆ（τ_１）でない場合もあり、ｚ_２＝ｆ（τ_２）である場合もあればｚ_２＝ｆ（τ_２）でない場合もある。すなわち、代理演算部２１２６は、或る確率より大きな確率でｆ（τ_１）を正しく計算し、得られた計算結果をｚ_１とし、或る確率より大きな確率でｆ（τ_２）を正しく計算し、得られた計算結果をｚ_２とする。なお、「或る確率」は１００％未満の確率である。「或る確率」の例は無視することができない確率であり、「無視することができない確率」の例は、セキュリティパラメータκについての広義単調増加関数である多項式を多項式ψ（κ）とした場合の１／ψ（κ）以上の確率である。すなわち、代理演算部２１２６は、意図的又は意図的ではない誤差を含んだ計算結果を出力する。ステップＳＣ−３において、鍵交換処理部２１１５は、ｕ^ａ＝ｖ^ｂを満たすｕ＝ｆ（χ）^ｂｘ₁およびｖ＝ｆ（χ）^ａｘ₂に対応するΩ１＝ｕ^ｂ’ｖ^ａ’を共有情報として得、得られた共有情報Ω１を用いて共通鍵Ｋを得て出力する。ただし、ａ’，ｂ’はａ’ａ＋ｂ’ｂ＝１を満たす整数である。ｕ^ａ＝ｖ^ｂを満たすｚ_１および／またはｚ_２が得られていない場合、鍵交換処理部２１１５は、共有情報Ω１を得ることができない旨のエラー情報を出力する。あるいは、ｕ^ａ＝ｖ^ｂを満たすｚ_１および／またはｚ_２が得られていない場合、鍵交換処理部２１１５が新たに生成した撹乱情報ｄβ２を出力し、出力部２１１３が撹乱情報ｄβ２を鍵装置２１２に送信し、代理演算部２１２６が鍵対応情報λ１を計算し、出力部２１２４が鍵対応情報λ１を端末装置２１１に送信し、鍵交換処理部２１１５がｕ^ａ＝ｖ^ｂを満たすか否かの判定を行ってもよい。ここで、ｕ^ａ＝ｖ^ｂを満たす場合にはΩ１＝ｕ^ｂ’ｖ^ａ’を共有情報として得、得られた共有情報Ω１を用いて共通鍵Ｋを得て出力する。この処理を所定回数繰り返してもｕ^ａ＝ｖ^ｂを満たすｚ_１および／またはｚ_２が得られていない場合に、鍵交換処理部２１１５が、共有情報Ω１を得ることができない旨のエラー情報を出力してもよい。

≪τ_１，τ_２、ｕ，ｖの具体例１≫
例えば、Ｇ，Ｈが群、ｈ_１，ｈ_２が単位元ではない群Ｈの元（例えば、生成元）、ｒ１，ｒ２が０以上のランダムな自然数、ｆが秘密鍵ｓｋ１を用いて公開情報β２に対応する共有情報Ω１＝ｆ（β２）∈Ｇを得るための準同型性関数、τ_１＝（ｈ_１ ^−ｒ１，ｈ_１ ^ｒ１β２^ｂ）、τ_２＝（ｈ_２ ^−ｒ２，ｈ_２ ^ｒ２β２^ａ）、ｕ＝ｆ（τ_１）＝ｆ（ｈ_１ ^−ｒ１）ｆ（ｈ_１ ^ｒ１β２^ｂ）、ｖ＝ｆ（τ_２）＝ｆ（ｈ_２ ^−ｒ２）ｆ（ｈ_２ ^ｒ２β２^ａ）であってもよい。

≪τ_１，τ_２、ｕ，ｖの具体例２≫
例えば、Ｇ，Ｈが巡回群、μ_ｈが群Ｈの生成元、ν＝ｆ（μ_h）、ｆが秘密鍵ｓｋ１を用いて公開情報β２に対応する共有情報Ω１＝ｆ（β２）∈Ｇを得るための準同型性関数、ｒ１，ｒ２が０以上のランダムな自然数、τ_１＝μ_ｈ ^ｒ１β２^ｂ、τ_２＝μ_ｈ ^ｒ２β２^ａ、ｕ＝ｚ_１ν^−ｒ１、ｖ＝ｚ_２ν^−ｒ２であってもよい。

≪τ_１，τ_２、ｕ，ｖの具体例３≫
例えば、Ｇを巡回群、群Ｈが群Ｇの直積群Ｇ×Ｇ、β２＝（ｃ_１，ｃ_２）∈Ｈ、ｆが秘密鍵ｓｋ１を用いて公開情報β２に対応する共有情報Ω１＝ｆ（β２）∈Ｇを得るための準同型性関数、（Ｖ，Ｗ）が群Ｈの元、ｆ（Ｖ，Ｗ）＝Ｙ、ｒ_４〜ｒ_７を０以上の自然数の乱数、τ_１＝（ｃ_２ ^ｂＷ^ｒ４，ｃ_１ ^ｂＶ^ｒ４μ_ｇ ^ｒ５）、τ_２＝（ｃ_２ ^ａＷ^ｒ６，ｃ_１ ^ａＶ^ｒ６μ_ｇ ^ｒ７）、ｕ＝ｚ_１Ｙ^−ｒ４μ_ｇ ^−ｒ５、ｖ＝ｚ_２Ｙ^−ｒ６μ_ｇ ^−ｒ７であってもよい。

図５を用い、τ_１，τ_２、ｕ，ｖの具体例１の場合の自己訂正処理を例示する。
まず、端末装置２１１の鍵交換処理部２１１５が上述のａ，ｂ，ａ’，ｂ’を選択し（ステップＳ２１１１ａ）し、ｔ＝１に設定する（ステップＳ２１１１ｂ）。鍵交換処理部２１１５は、τ_１＝（ｈ_１ ^−ｒ１，ｈ_１ ^ｒ１β２^ｂ）、τ_２＝（ｈ_２ ^−ｒ２，ｈ_２ ^ｒ２β２^ａ）を上述のように鍵装置２１２の代理演算部２１２６に送る（ステップＳ２１１１ｃ）。代理演算部２１２６は、ｈ_１，ｈ_２を定め、ｕ＝ｆ（τ_１）＝ｆ（ｈ_１ ^−ｒ１）ｆ（ｈ_１ ^ｒ１β２^ｂ）およびｖ＝ｆ（τ_２）＝ｆ（ｈ_２ ^−ｒ２）ｆ（ｈ_２ ^ｒ２β２^ａ）を得（ステップＳ２１１２ａ）、これらを鍵交換処理部２１１５に送る（ステップＳ２１１２ｂ）。鍵交換処理部２１１５は、ｕ^ａ＝ｖ^ｂを満たすかを判定する（ステップＳ２１１１ｄ）。ここで、ｕ^ａ＝ｖ^ｂを満たす場合、鍵交換処理部２１１５は、共有情報Ω１＝ｕ^ｂ’ｖ^ａ’を用いて共通鍵Ｋを得て出力する（ステップＳ２１１１ｈ）。一方、ｕ^ａ＝ｖ^ｂを満たさない場合、鍵交換処理部２１１５はｔ＝Ｔ_ｍａｘであるかを判定する。なお、Ｔ_ｍａｘは所定の正の整数である。ｔ＝Ｔ_ｍａｘである場合、鍵交換処理部２１１５はエラー「⊥」を出力して処理を終える（ステップＳ２１１１ｇ）。ｔ＝Ｔ_ｍａｘでない場合、鍵交換処理部２１１５はｔ＋１を新たなｔとし（ステップＳ２１１１ｆ）、処理をステップＳ２１１１ａに戻す。

≪ステップＳ２２１０の自己訂正処理およびステップＳ２２１３の処理≫
ステップＳ２２１０の自己訂正処理は、「端末装置２１１、鍵交換処理部２１１５、鍵装置２１２、代理演算部２１２６、出力部２１１３、入力部２１１４、出力部２１２４、入力部２１２３、記憶部１１２１、公開情報β２、撹乱情報ｄβ２、鍵対応情報λ１、共有情報Ω１、秘密鍵ｓｋ１」が「端末装置２２１、鍵交換処理部２２１５、鍵装置２２２、代理演算部２２２６、出力部２２１３、入力部２２１４、出力部２２２４、入力部２２２３、記憶部１２２１、公開情報β１、撹乱情報ｄβ１、鍵対応情報λ２、共有情報Ω２、秘密鍵ｓｋ２」に置換される以外、ステップＳ２１１０の自己訂正処理と同じでよい。

以下、ベースとなる鍵交換方式を具体化して自己訂正処理を例示する。各例でも「要求情報」からβ１やβ２が省かれる。
＜実施例１−５の変形例１の場合＞
前述した実施例１−５の変形例１に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝Ｐ_ｉ,Ｂかつｆ（χ）＝ｅ（Ｄ_Ａ，１，χ）とした自己訂正処理を行ってΩ１＝ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）を得、共通鍵Ｋを計算する。また、鍵交換処理部２１１６は、代理演算部２２２６との間で、β１＝Ｐ_ｉ,Ａかつｆ（χ）＝ｅ（χ，Ｄ_Ｂ，２）とした自己訂正処理を行ってΩ２＝ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）を得、共通鍵Ｋを計算する。

＜実施例１−５の変形例２の場合＞
前述した実施例１−５の変形例２に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝Ｐ_ｉ,Ｂかつｆ（χ）＝ｅ（Ｄ_Ａ，１，χ）とした自己訂正処理を行ってλ１＝ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）を得、さらにβ２＝α_ｉ，Ｂ（式（３））かつｆ（χ）＝χ^ｘＡとした自己訂正処理を行ってλ１＝α_ｉ，Ｂ ^ｘＡを得、共通鍵Ｋを計算する。また、交換処理部２２１５は、代理演算部２２２６との間で、β１＝Ｐ_ｉ,Ａかつｆ（χ）＝ｅ（χ，Ｄ_Ｂ，２）とした自己訂正処理を行ってλ２＝ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）を得、さらにβ１＝α_ｉ，Ａ（式（２））かつｆ（χ）＝χ^ｘＢとした自己訂正処理を行ってλ２＝α_ｉ，Ａ ^ｘＢを得、共通鍵Ｋを計算する。

＜実施例１−５の変形例３の場合＞
前述した実施例１−５の変形例３に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝Ｐ_ｉ,Ｂかつｆ（χ）＝ｅ（Ｄ_Ａ，１，χ）とした自己訂正処理を行ってλ１＝ζ_Ａ,ｉ＝ｅ（Ｄ_Ａ，１，Ｐ_ｉ,Ｂ）を得、β２＝Ｐ’_ｉ,Ｂかつｆ（χ）＝ｅ（Ｚ_１ ^ｘＡ，χ）とした自己訂正処理を行ってλ１＝ζ’_Ａ,ｉ＝ｅ（Ｚ_１ ^ｘＡ，Ｐ’_ｉ,Ｂ）を得、β２＝α’_ｉ，Ｂ（式（５））かつｆ（χ）＝χ^ｘＡとした自己訂正処理を行ってλ１＝α’_ｉ，Ｂ ^ｘＡを得、β２＝Ｐ’_ｉ,Ｂかつｆ（χ）＝ｅ（Ｚ_１ ^ｘＡ，χ）とした自己訂正処理を行ってλ１＝ζ’_Ａ,ｉ＝ｅ（Ｚ_１ ^ｘＡ，Ｐ’_ｉ,Ｂ）を得、共通鍵Ｋを計算する。また、交換処理部２２１５は、代理演算部２２２６との間で、β１＝Ｐ_ｉ,Ａかつｆ（χ）＝ｅ（χ，Ｄ_Ｂ，２）とした自己訂正処理を行ってλ２＝ζ_Ｂ,ｉ＝ｅ（Ｐ_ｉ,Ａ，Ｄ_Ｂ，２）を得、β１＝Ｐ’_ｉ,Ａかつｆ（χ）＝ｅ（χ，Ｚ_２ ^ｘＢ）とした自己訂正処理を行ってλ２＝ζ’_Ｂ,ｉ＝ｅ（Ｐ’_ｉ,Ａ，Ｚ_２ ^ｘＢ）を得、β１＝α’_ｉ，Ａ（式（４））かつｆ（χ）＝χ^ｘＢとした自己訂正処理を行ってλ２＝α’_ｉ，Ａ ^ｘＢを得、共通鍵Ｋを計算する。

＜実施例１−６の変形例１の場合＞
前述した実施例１−６の変形例１に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝α_Ｂ，ｉかつｆ（χ）＝χ^ｘＡとした自己訂正処理を行ってλ１＝α_Ｂ，ｉ ^ｘＡを得、共通鍵Ｋを計算する。交換処理部２２１５は、代理演算部２２２６との間で、β１＝α_Ａ，ｉかつｆ（χ）＝χ^ｘＢとした自己訂正処理を行ってλ２＝α_Ａ，ｉ ^ｘＢを得、共通鍵Ｋを計算する。

＜実施例１−６の変形例２の場合＞
前述した実施例１−６の変形例２に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝α_Ｂ，ｉかつｆ（χ）＝χ^ｘＡとした自己訂正処理を行ってλ１＝α_Ｂ，ｉ ^ｘＡを得、β２＝β_Ｂ，ｉかつｆ（χ）＝χ^ｓＡとした自己訂正処理を行ってλ１＝β_Ｂ，ｉ ^ｓＡを得、共通鍵Ｋを計算する。交換処理部２２１５は、代理演算部２２２６との間で、β１＝α_Ａ，ｉかつｆ（χ）＝χ^ｘＢとした自己訂正処理を行ってλ２＝α_Ａ，ｉ ^ｘＢを得、β１＝β_Ａ，ｉかつｆ（χ）＝χ^ｓＢとした自己訂正処理を行ってλ２＝β_Ａ，ｉ ^ｓＢを得、共通鍵Ｋを計算する。

＜実施例１−７の変形例１の場合＞
前述した実施例１−７の変形例１に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝α_ｉ,Ｂかつｆ（χ）＝ｅ（Ｄ_Ａ，１,χ）とした自己訂正処理を行ってλ１＝ｅ（Ｄ_Ａ，１,α_ｉ,Ｂ）を得、共通鍵Ｋを計算する。交換処理部２２１５は、代理演算部２２２６との間で、β１＝β_ｉ,Ａかつｆ（χ）＝ｅ（χ,Ｚ_２ ^ｓＢ）またはβ１＝β’_ｉ,Ａかつｆ（χ）＝χ^ｓＢとした自己訂正処理を行ってλ２＝ｅ（β_ｉ,Ａ,Ｚ_２ ^ｓＢ）またはλ２＝β’_ｉ,Ａ ^ｓＢを得、共通鍵Ｋを計算する。

＜実施例１−７の変形例２の場合＞
前述した実施例１−７の変形例２に自己訂正処理を導入する場合、鍵交換処理部２１１５は、代理演算部２１２６との間で、β２＝α_ｉ,Ｂかつｆ（χ）＝ｅ（Ｄ_Ａ，１,χ）とした自己訂正処理を行ってλ１＝ｅ（Ｄ_Ａ，１,α_ｉ,Ｂ）を得、かつ、β２＝β_ｉ,Ｂかつｆ（χ）＝ｅ（Ｚ_１ ^ｘＡ,χ）とした自己訂正処理を行ってλ１＝ｅ（Ｚ_１ ^ｘＡ,β_ｉ,Ｂ）を得るかβ２＝β’_ｉ,Ｂかつｆ（χ）＝χ^ｘＡとした自己訂正処理を行ってλ１＝β’_ｉ,Ｂ ^ｘＡを得、共通鍵Ｋを計算する。交換処理部２２１５は、代理演算部２２２６との間で、β１＝β_ｉ,Ａかつｆ（χ）＝ｅ（χ,Ｚ_２ ^ｓＢ）とした自己訂正処理を行ってλ２＝ｅ（β_ｉ,Ａ,Ｚ_２ ^ｓＢ）を得るかβ１＝β’_ｉ,Ａかつχ^ｓＢとした自己訂正処理を行ってλ２＝β’_ｉ,Ａ ^ｓＢを得、かつ、β１＝β_１,ｉ,Ａかつｆ（χ）＝ｅ（χ,Ｚ_２ ^ｘＢ）とした自己訂正処理を行ってλ２＝ｅ（β_１,ｉ,Ａ,Ｚ_２ ^ｘＢ）を得るかβ１＝β_２,ｉ,Ａかつｆ（χ）＝χ^ｘＢとした自己訂正処理を行ってλ２＝β_２,ｉ,Ａ ^ｘＢを得、共通鍵Ｋを計算する。

＜第２実施形態の特徴＞
本形態でも第１実施形態と同様な効果を得ることができる。さらに、本形態では自己訂正技術を用いるため、鍵装置２１２,２２２が必ずしも正しい答えを返すとは限らない場合でも、端末装置２１１,２２１間で不正な共通鍵を共有してしまうことを避けることができる。なお、第２実施形態では、鍵装置２１２，２２２に秘密鍵ｓｋ１，ｓｋ２を格納し、端末装置２１１，２２１の双方が自己訂正技術によって鍵装置２１２，２２２に鍵交換処理の一部の処理を委託した。しかしながら、端末装置２２１が自ら秘密鍵ｓｋ２格納し、鍵装置２２２を用いることなく、第２実施形態で説明した端末装置２１１との間で鍵交換処理を実行してもよい。逆に、端末装置２１１が自ら秘密鍵ｓｋ１格納し、鍵装置２１２を用いることなく、第２実施形態で説明した端末装置２２１との間で鍵交換処理を実行してもよい。

［その他］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ 鍵交換システム
１１１，１２１，２１１，２２１ 端末装置
１１２，１２２，２１２，２２２ 鍵装置

Claims (8)

1. 回線認証可能な何れかの回線の回線情報に対応する登録情報を格納する登録情報記憶部と、
   第１端末装置が他の第２端末装置との鍵交換のために得た公開情報に対応する情報、および前記第１端末装置が使用した回線認証に成功した使用回線の回線情報に対応する回線対応情報を受け付ける入力部と、
   前記回線対応情報が前記登録情報に対応する場合に、少なくとも前記公開情報に対応する情報と秘密鍵とを用いて得られる鍵対応情報を出力する出力部と、
   を有する鍵装置。
2. 請求項１の鍵装置であって、
   前記登録情報は、前記回線情報に対応する公開された第１固有情報または当該第１固有情報に対して一義的に決まる情報であり、
   前記回線対応情報は、前期回線認証に成功した使用回線の回線情報に対応する公開された第２固有情報または当該第２固有情報に対して一義的に決まる情報である、鍵装置。
3. 請求項１または２の鍵装置であって、
   前記入力部は、前記秘密鍵を特定するための情報を受け付け、
   前記秘密鍵は、前記秘密鍵を特定するための情報によって特定される、鍵装置。
4. 請求項１から３の何れかの鍵装置であって、
   前記秘密鍵は、前記回線対応情報に対応する、鍵装置。
5. 請求項１から４の何れかの鍵装置であって、
   前記公開情報に対応する情報は、前記公開情報の撹乱情報であり、
   前記鍵対応情報は、前記公開情報と前記秘密鍵とを用いて得られる共有情報を自己訂正処理によって得るための情報である、鍵装置。
6. 他の端末装置との鍵交換のために得た公開情報に対応する情報を使用回線に出力する出力部を含む端末装置と、
   回線認証可能な何れかの回線の回線情報に対応する登録情報を格納する登録情報記憶部と、前記公開情報に対応する情報、および回線認証に成功した前記使用回線の回線情報に対応する回線対応情報を受け付ける入力部と、前記回線対応情報が前記登録情報に対応する場合に、少なくとも前記公開情報に対応する情報と秘密鍵とを用いて得られる鍵対応情報を出力する出力部と、を含む鍵装置と、
   を有する鍵交換システム。
7. 他の第２端末装置との鍵交換のために得た第２公開情報に対応する情報を第１使用回線に出力する出力部を含む第１端末装置と、
   回線認証可能な何れかの回線の第１回線情報に対応する第１登録情報を格納する第１登録情報記憶部と、前記第２公開情報に対応する情報、および回線認証に成功した前記第１使用回線の回線情報に対応する第１回線対応情報を受け付ける第１入力部と、前記第１回線対応情報が前記第１登録情報に対応する場合に、少なくとも前記第１公開情報に対応する情報と第１秘密鍵とを用いて得られる第１鍵対応情報を出力する第１出力部と、を含む第１鍵装置と、
   前記第１端末装置との鍵交換のために得た第１公開情報に対応する情報を第２使用回線に出力する出力部を含む前記第２端末装置と、
   回線認証可能な何れかの回線の第２回線情報に対応する第２登録情報を格納する第２登録情報記憶部と、前記第１公開情報に対応する情報、および回線認証に成功した前記第２使用回線の回線情報に対応する第２回線対応情報を受け付ける第２入力部と、前記第２回線対応情報が前記第２登録情報に対応する場合に、少なくとも前記第２公開情報に対応する情報と第２秘密鍵とを用いて得られる第２鍵対応情報を出力する第２出力部と、を含む第２鍵装置と、
   を有する鍵交換システム。
8. 請求項１から５の何れかの鍵装置としてコンピュータを機能させるためのプログラム。

Images