JPH10282881A - 秘密鍵分散管理方法 - Google Patents
秘密鍵分散管理方法Info
- Publication number
- JPH10282881A JPH10282881A JP9086302A JP8630297A JPH10282881A JP H10282881 A JPH10282881 A JP H10282881A JP 9086302 A JP9086302 A JP 9086302A JP 8630297 A JP8630297 A JP 8630297A JP H10282881 A JPH10282881 A JP H10282881A
- Authority
- JP
- Japan
- Prior art keywords
- key
- management device
- generation device
- mod
- key generation
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Abstract
(57)【要約】
【課題】 素因数分解系公開鍵暗号に対し、分散登録情
報をある一定数集めることで秘密鍵を復元可能とする。 【解決手段】 鍵生成者Ｋは公開鍵Ｎと、Ｎが２つの素
数の積であることを証明する情報を管理者Ｔi （ｉ＝
１，…，ｎ）へ送り、Ｔi は素数ｐと位数がＮの元ｇ，
ｈをＫへ送り、Ｋは乱数ｘとｒ1 ，ｒ2 ，ｒ3 を生成
し、ビットコミットメント関数ＢＣでａ＝ＢＣg （ｘ，
ｒ1 ），ｂ＝ＢＣa （ｘ，ｒ2 ），ｃ＝ＢＣb（ｘ2 mod
Ｎ，ｒ3 ）を演算してＴi へ送り、ＫはＴi とのやり
とりでａとｂが同じｘをビットコミットしたもの、また
ｂとｃが同じｘ2 mod Ｎをビットコミットしたものであ
ることを証明し、ｙ2 ≡ｘ4(mod Ｎ）（ｙ／Ｎ）＝−１
を満すｙをＴi へ送り、ｘをｓ1,…，ｓn に分散してｓ
i を対応Ｔi へ送りまたｓi が正しい値であることを証
明する情報Ｅ1,…，Ｅk-1 を送る。
報をある一定数集めることで秘密鍵を復元可能とする。 【解決手段】 鍵生成者Ｋは公開鍵Ｎと、Ｎが２つの素
数の積であることを証明する情報を管理者Ｔi （ｉ＝
１，…，ｎ）へ送り、Ｔi は素数ｐと位数がＮの元ｇ，
ｈをＫへ送り、Ｋは乱数ｘとｒ1 ，ｒ2 ，ｒ3 を生成
し、ビットコミットメント関数ＢＣでａ＝ＢＣg （ｘ，
ｒ1 ），ｂ＝ＢＣa （ｘ，ｒ2 ），ｃ＝ＢＣb（ｘ2 mod
Ｎ，ｒ3 ）を演算してＴi へ送り、ＫはＴi とのやり
とりでａとｂが同じｘをビットコミットしたもの、また
ｂとｃが同じｘ2 mod Ｎをビットコミットしたものであ
ることを証明し、ｙ2 ≡ｘ4(mod Ｎ）（ｙ／Ｎ）＝−１
を満すｙをＴi へ送り、ｘをｓ1,…，ｓn に分散してｓ
i を対応Ｔi へ送りまたｓi が正しい値であることを証
明する情報Ｅ1,…，Ｅk-1 を送る。
Description
【０００１】
【発明の属する技術分野】この発明は、公開鍵暗号の秘
密鍵を分散して登録しておき、紛失時やその他の理由に
より秘密鍵を復元する必要のあるときに、ある一定以上
の数の分散登録情報を集めることにより秘密鍵を復元す
る秘密鍵分散管理方法に関するものである。
密鍵を分散して登録しておき、紛失時やその他の理由に
より秘密鍵を復元する必要のあるときに、ある一定以上
の数の分散登録情報を集めることにより秘密鍵を復元す
る秘密鍵分散管理方法に関するものである。
【０００２】
【従来の技術】従来、単に情報を分散管理し復元する方
式はSharmir の多項式補間法（“Howto Share a Secret
”，Comm. Assoc. Comput. Mach.,vol.22, no.11, pp.
612-613（Nov.1979))があるが、分散情報が正しい情報
であることを証明する手段がないため、そのままでは秘
密鍵を分散して登録する手段には使えない。分散情報が
正しい情報であることを証明する方式としては、Peders
enによるＶＳＳと呼ばれる方法がある（“Non-Interact
ive and Information-Theoretic Secure Verifiable Se
cret Sharing”，Proc.of Crypto'91, LNCS 576, Sprin
ger-Verlag, pp.129-140(1992)) 。しかし、この方法で
はElGamal 法などの離散対数問題系の公開鍵暗号には適
用できるが、ＲＳＡ法などの素因数分解系の公開鍵暗号
には適用できない。
式はSharmir の多項式補間法（“Howto Share a Secret
”，Comm. Assoc. Comput. Mach.,vol.22, no.11, pp.
612-613（Nov.1979))があるが、分散情報が正しい情報
であることを証明する手段がないため、そのままでは秘
密鍵を分散して登録する手段には使えない。分散情報が
正しい情報であることを証明する方式としては、Peders
enによるＶＳＳと呼ばれる方法がある（“Non-Interact
ive and Information-Theoretic Secure Verifiable Se
cret Sharing”，Proc.of Crypto'91, LNCS 576, Sprin
ger-Verlag, pp.129-140(1992)) 。しかし、この方法で
はElGamal 法などの離散対数問題系の公開鍵暗号には適
用できるが、ＲＳＡ法などの素因数分解系の公開鍵暗号
には適用できない。
【０００３】一方、Micaliにより（“Fair Public-Key
Cryptosystems ”，Proc.of Crypto'92，LNCS, Springe
r-Verlag, pp.113-138(1993))ＲＳＡ法などに適用でき
る秘密鍵の分散管理／復元方式が提案されているが、管
理者が全員協力しないと秘密鍵を復元できない（つま
り、一人でも協力しないと秘密鍵を復元できなくな
る）。
Cryptosystems ”，Proc.of Crypto'92，LNCS, Springe
r-Verlag, pp.113-138(1993))ＲＳＡ法などに適用でき
る秘密鍵の分散管理／復元方式が提案されているが、管
理者が全員協力しないと秘密鍵を復元できない（つま
り、一人でも協力しないと秘密鍵を復元できなくな
る）。
【０００４】
【発明が解決しようとする課題】この発明の目的は、素
因数分解系の公開鍵暗号に対して秘密鍵を分散して登録
しておき、ある一定以上の数の分散登録情報を集めるこ
とにより秘密鍵を復元する方法を実現することにある。
因数分解系の公開鍵暗号に対して秘密鍵を分散して登録
しておき、ある一定以上の数の分散登録情報を集めるこ
とにより秘密鍵を復元する方法を実現することにある。
【０００５】
【課題を解決するための手段】この発明では、秘密鍵も
しくは秘密鍵と等価な秘密情報を例えばビットコミット
メントとよばれる手法で暗号化し、そこで暗号化された
秘密情報が正しい情報であることを証明する効率的な方
法を開発した。一旦正しい秘密情報を暗号化したビット
コミットメントが得られると、前述したPedersenの手法
を用いて、分散情報が正しい情報であることを証明する
ことが可能である。
しくは秘密鍵と等価な秘密情報を例えばビットコミット
メントとよばれる手法で暗号化し、そこで暗号化された
秘密情報が正しい情報であることを証明する効率的な方
法を開発した。一旦正しい秘密情報を暗号化したビット
コミットメントが得られると、前述したPedersenの手法
を用いて、分散情報が正しい情報であることを証明する
ことが可能である。
【０００６】請求項１では、ｙを公開しておき、公開鍵
Ｎを素因数分解するための秘密情報としてｘ4 ≡ｙ2
(mod Ｎ）であるようなｘを用いる。請求項２では、Ｒ
ＳＡ暗号の秘密鍵ｄをビットコミットメントの対象とす
る。
Ｎを素因数分解するための秘密情報としてｘ4 ≡ｙ2
(mod Ｎ）であるようなｘを用いる。請求項２では、Ｒ
ＳＡ暗号の秘密鍵ｄをビットコミットメントの対象とす
る。
【０００７】
【発明の実施の形態】以下では、この発明の請求項１の
一実施例について説明する。図１はこの発明の全体構成
を示す。鍵生成者の装置（鍵生成装置）１００は、管理
者Ｔi の装置（管理装置）２００ｉ（ｉ＝１，２，…，
ｎ）とそれぞれ、通信路３００ｉを介して結合されてい
るとする。図２にこの発明の通信シーケンス例を示し、
以下、それぞれ図３に鍵生成装置１００の機能構成例
を、図４に管理装置２００ｉの機能構成例を示す。
一実施例について説明する。図１はこの発明の全体構成
を示す。鍵生成者の装置（鍵生成装置）１００は、管理
者Ｔi の装置（管理装置）２００ｉ（ｉ＝１，２，…，
ｎ）とそれぞれ、通信路３００ｉを介して結合されてい
るとする。図２にこの発明の通信シーケンス例を示し、
以下、それぞれ図３に鍵生成装置１００の機能構成例
を、図４に管理装置２００ｉの機能構成例を示す。
【０００８】以下、分散情報の登録ならびに秘密鍵を回
復する手順を示す。 １．鍵生成者は鍵生成装置１００内の鍵生成器１０１を
用いて、秘密鍵（Ｐ，Ｑ）と公開鍵Ｎ＝ＰＱを生成し、
Ｎを管理者Ｔi の管理装置２００ｉ（ｉ＝１，…，ｎ）
に送る。ここでヤコビ記号の値が（−１／Ｎ）＝１とす
る。これはＮを素因数Ｐ，Ｑに分解できる条件である。
復する手順を示す。 １．鍵生成者は鍵生成装置１００内の鍵生成器１０１を
用いて、秘密鍵（Ｐ，Ｑ）と公開鍵Ｎ＝ＰＱを生成し、
Ｎを管理者Ｔi の管理装置２００ｉ（ｉ＝１，…，ｎ）
に送る。ここでヤコビ記号の値が（−１／Ｎ）＝１とす
る。これはＮを素因数Ｐ，Ｑに分解できる条件である。
【０００９】２．鍵生成装置１００の剰余演算器１０２
を用いてＮが２つの素数の積であることを証明する情報
を生成し、それを管理装置２００ｉに送る。このような
情報の作成方法は、Micaliの方法（“Fair Public-Key
Cryptosystems ”，Proc.ofCyrpto'92, LNCS, Springer
-Verlag, pp.113-138(1993)) の中で示されている。 ３．管理装置２００ｉは単独又は共同でパラメータ生成
器２０１を用いて素数ｐならびに位数がＮの元ｇ，ｈを
定め、それを鍵生成装置１００に送る。ここで、ビット
コミットメント関数ＢＣを以下のように定義する。
を用いてＮが２つの素数の積であることを証明する情報
を生成し、それを管理装置２００ｉに送る。このような
情報の作成方法は、Micaliの方法（“Fair Public-Key
Cryptosystems ”，Proc.ofCyrpto'92, LNCS, Springer
-Verlag, pp.113-138(1993)) の中で示されている。 ３．管理装置２００ｉは単独又は共同でパラメータ生成
器２０１を用いて素数ｐならびに位数がＮの元ｇ，ｈを
定め、それを鍵生成装置１００に送る。ここで、ビット
コミットメント関数ＢＣを以下のように定義する。
【００１０】ＢＣg （ｘ，ｒ）＝ｇx ｈr mod p４．鍵
生成装置１００は乱数生成器１０３を用いて乱数ｘなら
びに適当な値ｒ 1,ｒ2,ｒ3 を定め、剰余演算器１０４を
用いて次のａ，ｂ，ｃを計算し、管理装置２００ｉに送
る。 ａ＝ＢＣg （ｘ，ｒ1 ） ｂ＝ＢＣa （ｘ，ｒ2 ）＝ＢＣg （ｘ2 mod Ｎ，ｒ1 ｘ
＋ｒ2 mod Ｎ） ｃ＝ＢＣb （x2 mod N，r3）＝ＢＣg （x4 mod N，r1x3
＋r2x2＋r3 mod N) ５．次に、鍵生成装置１００はａ＝ＢＣg （ｘ，ｒ1 ）
とｂ＝ＢＣa （ｘ，ｒ 2 ）が同じｘをビットコミットし
たものであることを以下の手順で証明する。
生成装置１００は乱数生成器１０３を用いて乱数ｘなら
びに適当な値ｒ 1,ｒ2,ｒ3 を定め、剰余演算器１０４を
用いて次のａ，ｂ，ｃを計算し、管理装置２００ｉに送
る。 ａ＝ＢＣg （ｘ，ｒ1 ） ｂ＝ＢＣa （ｘ，ｒ2 ）＝ＢＣg （ｘ2 mod Ｎ，ｒ1 ｘ
＋ｒ2 mod Ｎ） ｃ＝ＢＣb （x2 mod N，r3）＝ＢＣg （x4 mod N，r1x3
＋r2x2＋r3 mod N) ５．次に、鍵生成装置１００はａ＝ＢＣg （ｘ，ｒ1 ）
とｂ＝ＢＣa （ｘ，ｒ 2 ）が同じｘをビットコミットし
たものであることを以下の手順で証明する。
【００１１】（ａ）鍵生成装置１００は乱数生成器１０
３を用いてｖ，ｗ，ｗ′を生成し、さらに剰余演算器１
０５を用いて ｕ＝ＢＣg （ｖ，ｗ），ｕ′＝ＢＣa （ｖ，ｗ′） を生成し、（ｕ，ｕ′）を管理装置２００ｉに送る。 （ｂ）管理装置２００ｉは乱数生成器２０２を用いてＲ
を定め、それを鍵生成装置１００に送る。
３を用いてｖ，ｗ，ｗ′を生成し、さらに剰余演算器１
０５を用いて ｕ＝ＢＣg （ｖ，ｗ），ｕ′＝ＢＣa （ｖ，ｗ′） を生成し、（ｕ，ｕ′）を管理装置２００ｉに送る。 （ｂ）管理装置２００ｉは乱数生成器２０２を用いてＲ
を定め、それを鍵生成装置１００に送る。
【００１２】（ｃ）鍵生成装置１００は剰余演算器１０
６を用いて ｚ＝ｖ＋ｘＲ mod N, ｔ＝ｗ＋ｒ1 Ｒ mod N, ｔ′＝
ｗ′＋ｒ2 Ｒ mod N を計算し、（ｚ，ｔ，ｔ′）を管理装置２００ｉに送
る。 （ｄ）管理装置２００ｉは以下の式が成立するかどうか
を剰余演算器２０３ならびに比較器２０４を用いて検証
する。
６を用いて ｚ＝ｖ＋ｘＲ mod N, ｔ＝ｗ＋ｒ1 Ｒ mod N, ｔ′＝
ｗ′＋ｒ2 Ｒ mod N を計算し、（ｚ，ｔ，ｔ′）を管理装置２００ｉに送
る。 （ｄ）管理装置２００ｉは以下の式が成立するかどうか
を剰余演算器２０３ならびに比較器２０４を用いて検証
する。
【００１３】ＢＣg （z,t)＝ｕａR mod p，ＢＣ
a （ｚ，ｔ′）＝ｕ′ｂR mod p ６．鍵生成装置１００は同様に ｂ＝ＢＣg （ｘ2 mod Ｎ，ｒ1 ｘ＋ｒ2 mod Ｎ） ｃ＝ＢＣb （ｘ2 mod Ｎ，ｒ3 ） が同じｘ2 mod Ｎをビットコミットしたものであること
を上と同じ手順で証明する。
a （ｚ，ｔ′）＝ｕ′ｂR mod p ６．鍵生成装置１００は同様に ｂ＝ＢＣg （ｘ2 mod Ｎ，ｒ1 ｘ＋ｒ2 mod Ｎ） ｃ＝ＢＣb （ｘ2 mod Ｎ，ｒ3 ） が同じｘ2 mod Ｎをビットコミットしたものであること
を上と同じ手順で証明する。
【００１４】７．鍵生成装置１００は剰余演算器１０７
を用いてｙ2 ≡ｘ4 （mod Ｎ）およびヤコビ記号の値が
（ｙ／Ｎ）＝−１を満足するｙを計算し管理装置２００
ｉに送る。ここでｙはｘとｙ2 ＝ｘ4 （mod Ｎ）の関係
にあることが前記第５ステップと第６ステップの両証明
により証明されており、かつ（ｙ／Ｎ）＝−１，ｘ，ｙ
が与えられるとＮは素因数Ｐ，Ｑに分解できる条件であ
る。
を用いてｙ2 ≡ｘ4 （mod Ｎ）およびヤコビ記号の値が
（ｙ／Ｎ）＝−１を満足するｙを計算し管理装置２００
ｉに送る。ここでｙはｘとｙ2 ＝ｘ4 （mod Ｎ）の関係
にあることが前記第５ステップと第６ステップの両証明
により証明されており、かつ（ｙ／Ｎ）＝−１，ｘ，ｙ
が与えられるとＮは素因数Ｐ，Ｑに分解できる条件であ
る。
【００１５】８．鍵生成装置１００はｘをSharmir の多
項式補間法により剰余演算器１０８を用いてｎ個の値ｓ
1 ，…，ｓn に分散し、ｓi を管理者Ｔi の管理装置２
００ｉに送る。さらに、ａ＝ＢＣg （ｘ，ｒ1 ）の値を
利用して、Pedersenの方法により剰余演算器１０８を用
いてｓi が正しく分散された値であることを証明する情
報Ｅ1,…，Ｅk-1 を送る。ｋ−１は前記多項式補間法に
用いる多項式の最低の次数であり、ｋ≦ｎである。
項式補間法により剰余演算器１０８を用いてｎ個の値ｓ
1 ，…，ｓn に分散し、ｓi を管理者Ｔi の管理装置２
００ｉに送る。さらに、ａ＝ＢＣg （ｘ，ｒ1 ）の値を
利用して、Pedersenの方法により剰余演算器１０８を用
いてｓi が正しく分散された値であることを証明する情
報Ｅ1,…，Ｅk-1 を送る。ｋ−１は前記多項式補間法に
用いる多項式の最低の次数であり、ｋ≦ｎである。
【００１６】９．管理装置２００ｉは剰余演算器２０５
および比較器２０６を用いてそれらの正当性を検証し、
正しければそれらを受けとり保管する。 １０．秘密鍵（Ｐ，Ｑ）を復元する必要があるときには
ｎ人の管理者の中でｋ人が協力して、各管理者の分散情
報ｓi を持ち寄りそれらよりShamirの方法により剰余演
算器１０９を用いてｘの値を復元する。さらに、ＧＣＤ
演算器１１０を用いてＧＣＤ演算器１１０を用いて、ｘ
2 −ｙとＮとの最大公約数を求めると、Ｐ又はＱが求ま
り、これより、Ｐ，Ｑの両者を求めることができる。つ
まり、いまｍ＝ｘ2 (mod N) 、ヤコビ記号の値が（ｍ／
Ｎ）＝１とすると、ｍ2 ＝ｙ2 ＝ｘ4 (mod N) であり、
かつ（１／Ｎ）＝−１，（ｙ／Ｎ）＝−１の条件がある
場合は、（ｚ−ｙ），つまり（ｘ2 −ｙ）はＮの素因数
で割り切れることが数学的に知られている。よってｘ2
−ｙとＮとの最大公約数を求めればＮの１つの素因数が
得られることになる。
および比較器２０６を用いてそれらの正当性を検証し、
正しければそれらを受けとり保管する。 １０．秘密鍵（Ｐ，Ｑ）を復元する必要があるときには
ｎ人の管理者の中でｋ人が協力して、各管理者の分散情
報ｓi を持ち寄りそれらよりShamirの方法により剰余演
算器１０９を用いてｘの値を復元する。さらに、ＧＣＤ
演算器１１０を用いてＧＣＤ演算器１１０を用いて、ｘ
2 −ｙとＮとの最大公約数を求めると、Ｐ又はＱが求ま
り、これより、Ｐ，Ｑの両者を求めることができる。つ
まり、いまｍ＝ｘ2 (mod N) 、ヤコビ記号の値が（ｍ／
Ｎ）＝１とすると、ｍ2 ＝ｙ2 ＝ｘ4 (mod N) であり、
かつ（１／Ｎ）＝−１，（ｙ／Ｎ）＝−１の条件がある
場合は、（ｚ−ｙ），つまり（ｘ2 −ｙ）はＮの素因数
で割り切れることが数学的に知られている。よってｘ2
−ｙとＮとの最大公約数を求めればＮの１つの素因数が
得られることになる。
【００１７】次に、この発明の請求項２の一実施例につ
いて説明する。図５にこの発明の通信シーケンス例を示
し、以下、それぞれ、図６に鍵生成装置１００の構成例
を、図７に管理装置２００ｉの構成例を示す。以下、分
散情報の登録ならびに秘密鍵を回復する手順を示す。 １．鍵生成装置１００は鍵生成器１０１を用いて、ＲＳ
Ａ暗号の秘密鍵ｄと公開鍵（Ｎ，ｅ）を生成し、（Ｎ，
ｅ）を管理者Ｔi （ｉ＝１，…，ｎ）の管理装置２００
ｉに送る。
いて説明する。図５にこの発明の通信シーケンス例を示
し、以下、それぞれ、図６に鍵生成装置１００の構成例
を、図７に管理装置２００ｉの構成例を示す。以下、分
散情報の登録ならびに秘密鍵を回復する手順を示す。 １．鍵生成装置１００は鍵生成器１０１を用いて、ＲＳ
Ａ暗号の秘密鍵ｄと公開鍵（Ｎ，ｅ）を生成し、（Ｎ，
ｅ）を管理者Ｔi （ｉ＝１，…，ｎ）の管理装置２００
ｉに送る。
【００１８】２．管理装置２００ｉは単独又は共同でパ
ラメータ生成器２０１を用いて素数（ｐ，ｑ）ならびに
位数がｑの元ｇ，ｈを定め、それを鍵生成装置１００に
送る。なお、ｑ｜ｐ−１（ｑはｐ−１の約数）とする。
ここで、ビットコミットメント関数ＢＣを以下のように
定義する。ＢＣg （ｘ，ｒ）＝ｇx ｈr mod ｐ さらに管理装置２００ｉは乱数生成器２０２を用いてＸ
を生成し、剰余演算器２０３を用いてＧ＝Ｘe mod Ｎを
計算する。
ラメータ生成器２０１を用いて素数（ｐ，ｑ）ならびに
位数がｑの元ｇ，ｈを定め、それを鍵生成装置１００に
送る。なお、ｑ｜ｐ−１（ｑはｐ−１の約数）とする。
ここで、ビットコミットメント関数ＢＣを以下のように
定義する。ＢＣg （ｘ，ｒ）＝ｇx ｈr mod ｐ さらに管理装置２００ｉは乱数生成器２０２を用いてＸ
を生成し、剰余演算器２０３を用いてＧ＝Ｘe mod Ｎを
計算する。
【００１９】管理装置２００ｉはＸならびに（ｐ，ｑ，
ｇ，ｈ）を鍵生成者に送る。ここで、ＢＣg （ｓ，ｒ）
＝ｇs ｈr mod p, ＢＣG (s) ＝Ｇs mod N とする。 ３．鍵生成装置１００は乱数生成器１０３を用いて適当
な値ｒ1 を定め、剰余演算器１０２を用いて ａ＝ＢＣg （ｄ，ｒ1 ） を計算するとともに ｂ＝ＢＣG （ｄ）＝Ｘ とする。
ｇ，ｈ）を鍵生成者に送る。ここで、ＢＣg （ｓ，ｒ）
＝ｇs ｈr mod p, ＢＣG (s) ＝Ｇs mod N とする。 ３．鍵生成装置１００は乱数生成器１０３を用いて適当
な値ｒ1 を定め、剰余演算器１０２を用いて ａ＝ＢＣg （ｄ，ｒ1 ） を計算するとともに ｂ＝ＢＣG （ｄ）＝Ｘ とする。
【００２０】４．次に、鍵生成装置１００はａ＝ＢＣg
（ｄ，ｒ1 ）とｂ＝ＢＣG （ｄ）＝Ｘが同じｄをビット
コミットしたものであることを以下の手順で証明する。 （ａ）鍵生成装置１００は乱数生成器１０３を用いて
ｖ，ｗを生成し、さらに剰余演算器１０４を用いて ｕ＝ＢＣg （ｖ，ｗ），ｕ′＝ＢＣG （ｖ） を生成し、（ｕ，ｕ′）を管理装置２００ｉに送る。な
おｕ′の計算に用いるＧはＸ，ｅ，Ｎにより計算する。
（ｄ，ｒ1 ）とｂ＝ＢＣG （ｄ）＝Ｘが同じｄをビット
コミットしたものであることを以下の手順で証明する。 （ａ）鍵生成装置１００は乱数生成器１０３を用いて
ｖ，ｗを生成し、さらに剰余演算器１０４を用いて ｕ＝ＢＣg （ｖ，ｗ），ｕ′＝ＢＣG （ｖ） を生成し、（ｕ，ｕ′）を管理装置２００ｉに送る。な
おｕ′の計算に用いるＧはＸ，ｅ，Ｎにより計算する。
【００２１】（ｂ）管理装置２００ｉは乱数生成器２０
２を用いてＲを定め、それを鍵生成装置１００に送る。 （ｃ）鍵生成装置１００は、剰余演算器１０５を用いて ｚ＝ｖ＋ｄＲ， ｔ＝ｗ＋ｒ1 Ｒ mod q を計算し、（ｚ，ｔ）を管理装置２００ｉに送る。
２を用いてＲを定め、それを鍵生成装置１００に送る。 （ｃ）鍵生成装置１００は、剰余演算器１０５を用いて ｚ＝ｖ＋ｄＲ， ｔ＝ｗ＋ｒ1 Ｒ mod q を計算し、（ｚ，ｔ）を管理装置２００ｉに送る。
【００２２】（ｄ）管理装置２００ｉは以下の式が成立
するかどうかを剰余演算器２０４ならびに比較器２０５
を用いて検証する。 ＢＣg （z,t)＝ｕａR mod p ，ＢＣG (z) ＝ｕ′ｂR
mod N さらに比較器２０５を用いてｚがｖ，Ｒ，ｄのサイズ
（ビット数）で決るビット数以下であることを確認す
る。
するかどうかを剰余演算器２０４ならびに比較器２０５
を用いて検証する。 ＢＣg （z,t)＝ｕａR mod p ，ＢＣG (z) ＝ｕ′ｂR
mod N さらに比較器２０５を用いてｚがｖ，Ｒ，ｄのサイズ
（ビット数）で決るビット数以下であることを確認す
る。
【００２３】５．鍵生成装置１００はｄをShamirの多項
式補間法により剰余演算器１０６を用いてｎ個の値ｓ1,
…，ｓn に分散し、ｓi を管理者Ｔi の管理装置２００
ｉに送る。さらに、ａ＝ＢＣg （ｄ，ｒ1 ）の値を利用
して、Pedersenの方法により剰余演算器１０６を用いて
ｓi が正しく分散された値であることを証明する情報Ｅ
1,…，Ｅk-1 を送る。
式補間法により剰余演算器１０６を用いてｎ個の値ｓ1,
…，ｓn に分散し、ｓi を管理者Ｔi の管理装置２００
ｉに送る。さらに、ａ＝ＢＣg （ｄ，ｒ1 ）の値を利用
して、Pedersenの方法により剰余演算器１０６を用いて
ｓi が正しく分散された値であることを証明する情報Ｅ
1,…，Ｅk-1 を送る。
【００２４】６．管理装置２００ｉは剰余演算器２０６
および比較器２０７を用いてそれらの正当性を検証し、
正しければそれらを受けとり保管する。 ７．秘密鍵ｄを復元する必要があるときにはｎ人の管理
者の中でｋ人が協力して、各管理者の分散情報を持ち寄
りそれらよりShamirの方法により剰余演算器１０７を用
いてｄの値を復元する。
および比較器２０７を用いてそれらの正当性を検証し、
正しければそれらを受けとり保管する。 ７．秘密鍵ｄを復元する必要があるときにはｎ人の管理
者の中でｋ人が協力して、各管理者の分散情報を持ち寄
りそれらよりShamirの方法により剰余演算器１０７を用
いてｄの値を復元する。
【００２５】上述では請求項１の発明でａ＝Ｆg (x) mo
d p としてｇx ｈr mod ｐを用いたがｇx mod ｐでもよ
い。同様に請求項２の発明でもａ＝Ｆg （ｄ）mod ｐと
してｇd mod ｐでもよい。
d p としてｇx ｈr mod ｐを用いたがｇx mod ｐでもよ
い。同様に請求項２の発明でもａ＝Ｆg （ｄ）mod ｐと
してｇd mod ｐでもよい。
【００２６】
【発明の効果】請求項１の発明では、素因数分解系の公
開鍵暗号であるＲＳＡ法やRabin 法に対して秘密鍵
（Ｐ，Ｑ）に関連する秘密情報ｘを分散して登録してお
き、しかも各管理者は自分に送られてきた分散情報が正
しいことを確認できる。従って、一定人数（ｋ人）の管
理者が協力すれば必ず秘密鍵（Ｐ，Ｑ）を復元できる。
また、同様に請求項２の発明では、ＲＳＡ法に秘密鍵ｄ
を分散管理し一定人数（ｋ人）の管理者が協力すれば必
ず秘密鍵ｄを復元できる。
開鍵暗号であるＲＳＡ法やRabin 法に対して秘密鍵
（Ｐ，Ｑ）に関連する秘密情報ｘを分散して登録してお
き、しかも各管理者は自分に送られてきた分散情報が正
しいことを確認できる。従って、一定人数（ｋ人）の管
理者が協力すれば必ず秘密鍵（Ｐ，Ｑ）を復元できる。
また、同様に請求項２の発明では、ＲＳＡ法に秘密鍵ｄ
を分散管理し一定人数（ｋ人）の管理者が協力すれば必
ず秘密鍵ｄを復元できる。
【図１】この発明が適用されるシステムの構成を示すブ
ロック図。
ロック図。
【図２】請求項１の発明の実施例における鍵生成装置と
管理装置間で行う処理シーケンスを示す図。
管理装置間で行う処理シーケンスを示す図。
【図３】図２の実施例における鍵生成装置１００の機能
構成を示すブロック図。
構成を示すブロック図。
【図４】図２の実施例における管理装置２００ｉの機能
構成を示すブロック図。
構成を示すブロック図。
【図５】請求項２の発明の実施例における鍵生成装置と
管理装置間で行う処理シーケンスを示す図。
管理装置間で行う処理シーケンスを示す図。
【図６】図５の実施例における鍵生成装置１００の機能
構成を示すブロック図。
構成を示すブロック図。
【図７】図５の実施例における管理装置２００ｉの機能
構成を示すブロック図。
構成を示すブロック図。
Claims (2)
- 【請求項１】 鍵生成者の鍵生成装置と、管理者Ｔ
i （ｉ＝１，…，ｎ）の管理装置とにより、素因数分解
問題に基づく公開鍵暗号方式の秘密鍵を複数に分散して
上記管理装置に登録し後に復元する秘密鍵分散管理方法
であって、 鍵生成者は鍵生成装置により秘密鍵（Ｐ，Ｑ）と公開鍵
Ｎ＝ＰＱを生成し、Ｎを管理者Ｔi （ｉ＝１，…，ｎ）
の管理装置に送り管理装置は単独又は複数共同で素数ｐ
ならびに位数がＮの元ｇを定めて鍵生成装置へ送り、 鍵生成装置はｙ，ａ＝Ｆg (x) mod p を管理装置に送る
とともに、Ｎが２つの素数の積であることならびにｘと
ｙが一定の関係を満足することをｘ，Ｐ，Ｑの値を秘密
にして管理装置との間の情報交換により、管理者に証明
し、 鍵生成装置はｘをShamirの多項式補間法を用いてｎ個の
値ｓ1,…，ｓn に分散し、ｓi を管理者Ｔi の管理装置
に送ると同時に、ｓi が正しく分散された値であること
を証明する情報を送り、 管理装置はそれらの正当性を検証し、正しければそれら
を受けとり保管し、秘密鍵（Ｐ，Ｑ）を復元する必要が
あるときにはｎ人の管理者の中でｋ人が協力して、各管
理者の分散情報をその管理装置より鍵生成装置に供給
し、鍵生成装置はこれら供給された分散情報よりｘの値
を復元し、それとｙの値よりＮの素因数Ｐ，Ｑを計算す
ることを特徴とする秘密鍵分散管理方法。 - 【請求項２】 鍵生成者の鍵生成装置と、管理者Ｔ
i （ｉ＝１，…，ｎ）の管理装置によりＲＳＡ公開鍵暗
号方式の秘密鍵を複数に分散して上記管理装置に登録
し、後に復元する秘密鍵分散管理方法であって、 鍵生成者は鍵生成装置によりＲＳＡ公開鍵暗号方式の秘
密鍵ｄと公開鍵（Ｎ，ｅ）を生成し、（Ｎ，ｅ）を管理
者Ｔi （ｉ＝１，…，ｎ）の管理装置に送り、 管理者は単独又は複数共同で管理装置により乱数Ｘを生
成すると共にＧ＝Ｘemod Ｎを計算し、また素数ｐなら
びにパラメータｇを生成し、Ｘ，ｐ，ｇを鍵生成装置に
送り、 鍵生成装置はａ＝Ｆg （ｄ）mod p を管理装置に送ると
ともに、鍵生成者はａとＸ＝Ｆ′G （ｄ）mod Ｎがそれ
ぞれ同じｄを暗号化していることをｄの値を秘密にした
まま管理者鍵生成装置と管理装置との情報交換により証
明し、 鍵生成装置はｄをShamirの多項式補間法を用いてｎ個の
値ｓ1,…，ｓn に分散し、ｓi を管理者Ｔi の管理装置
に送ると同時に、ｓi が正しく分散された値であること
を証明する情報を送り、 管理装置はそれらの正当性を検証し、正しければそれら
を受けとり保管し、 秘密鍵ｄを復元する必要があるときにはｎ人の管理者の
中でｋ人が協力して、各管理者の分散情報をその管理装
置より鍵生成装置へ供給し、鍵生成装置は供給された分
散情報よりｄの値を復元することを特徴とする秘密鍵分
散管理方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP9086302A JPH10282881A (ja) | 1997-04-04 | 1997-04-04 | 秘密鍵分散管理方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP9086302A JPH10282881A (ja) | 1997-04-04 | 1997-04-04 | 秘密鍵分散管理方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH10282881A true JPH10282881A (ja) | 1998-10-23 |
Family
ID=13883050
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP9086302A Pending JPH10282881A (ja) | 1997-04-04 | 1997-04-04 | 秘密鍵分散管理方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPH10282881A (ja) |
Cited By (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2001024439A1 (fr) * | 1999-09-29 | 2001-04-05 | Hitachi, Ltd. | Dispositif, programme ou systeme de traitement d'informations secretes |
| JP2002529778A (ja) * | 1998-10-30 | 2002-09-10 | サートコ インコーポレイテッド | 共有無作為性の分散暗号化への組み込み |
| JP2003501878A (ja) * | 1999-05-27 | 2003-01-14 | コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ | 公開鍵−秘密鍵のペアを安全に生成する方法及びその装置 |
| JP2005124168A (ja) * | 2003-10-14 | 2005-05-12 | Microsoft Corp | デジタル権利管理システム |
| AU2003252789B2 (en) * | 1999-09-29 | 2006-02-23 | Hitachi, Ltd. | Processing apparatus, program, or system of secret information |
| US11349641B2 (en) | 2018-08-29 | 2022-05-31 | Nec Corporation | Information processing device, information processing method, and recording medium |
-
1997
- 1997-04-04 JP JP9086302A patent/JPH10282881A/ja active Pending
Cited By (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002529778A (ja) * | 1998-10-30 | 2002-09-10 | サートコ インコーポレイテッド | 共有無作為性の分散暗号化への組み込み |
| JP2003501878A (ja) * | 1999-05-27 | 2003-01-14 | コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ | 公開鍵−秘密鍵のペアを安全に生成する方法及びその装置 |
| WO2001024439A1 (fr) * | 1999-09-29 | 2001-04-05 | Hitachi, Ltd. | Dispositif, programme ou systeme de traitement d'informations secretes |
| AU762650B2 (en) * | 1999-09-29 | 2003-07-03 | Hitachi Limited | Device, program or system for processing secret information |
| US6873706B1 (en) | 1999-09-29 | 2005-03-29 | Hitachi, Ltd. | Processing apparatus, program, or system of secret information |
| AU2003252789B2 (en) * | 1999-09-29 | 2006-02-23 | Hitachi, Ltd. | Processing apparatus, program, or system of secret information |
| JP2005124168A (ja) * | 2003-10-14 | 2005-05-12 | Microsoft Corp | デジタル権利管理システム |
| JP4672317B2 (ja) * | 2003-10-14 | 2011-04-20 | マイクロソフト コーポレーション | デジタル権利管理システム |
| US11349641B2 (en) | 2018-08-29 | 2022-05-31 | Nec Corporation | Information processing device, information processing method, and recording medium |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7397917B2 (en) | Method and apparatus for generating a cryptographic key | |
| Fiat | Batch RSA. | |
| US6072876A (en) | Method and system for depositing private key used in RSA cryptosystem | |
| US7650494B2 (en) | Method and apparatus for use in relation to verifying an association between two parties | |
| EP0936776B1 (en) | A network system using a threshold secret sharing method | |
| EP0704124A4 (en) | CRYPTOGRAPHIC PROCESS | |
| Kahrobaei et al. | Nis05-6: A non-commutative generalization of ElGamal key exchange using polycyclic groups | |
| EP2792098B1 (en) | Group encryption methods and devices | |
| Mao | Guaranteed correct sharing of integer factorization with off-line shareholders | |
| CN103095459B (zh) | 公钥密码体制中模幂运算方法、设备和服务器 | |
| Govinda et al. | Identity anonymization and secure data storage using group signature in private cloud | |
| CN110784300B (zh) | 一种基于乘法同态加密的密钥合成方法 | |
| US7248692B2 (en) | Method of and apparatus for determining a key pair and for generating RSA keys | |
| Rachmawati et al. | An implementation of the H-rabin algorithm in the shamir three-pass protocol | |
| US20050135610A1 (en) | Identifier-based signcryption | |
| JPH10282881A (ja) | 秘密鍵分散管理方法 | |
| Zheng | Shortened digital signature, signcryption and compact and unforgeable key agreement schemes | |
| NZ501273A (en) | Auto-recoverable auto-certifiable cryptosystems | |
| JP4146252B2 (ja) | 不正者特定可能な匿名通信方法、それに使用される利用者装置、及び中継サーバ装置 | |
| EP0973293A2 (en) | Public-key cryptography with increased protection against selective ciphertext attack | |
| Yu et al. | Authenticating compromisable storage systems | |
| WO1999049613A1 (en) | Cryptographic key-recovery mechanism | |
| JP3479015B2 (ja) | 暗号鍵分散生成方法、署名生成・検証方法、暗号鍵分散生成装置、署名生成・検証装置、暗号鍵分散生成プログラムおよび署名生成・検証プログラムをそれぞれ記録したコンピュータ読み取り可能な記録媒体 | |
| CN113630245B (zh) | 一种基于门限属性的数据加密方法和*** | |
| EP1148675A1 (en) | Public key cryptograph and key sharing method |