JPH10200520A - 鍵管理方法及びシステム - Google Patents

Abstract

(57)【要約】 【課題】 執行機関５が暗号文解読を実施する場合、そ
の定めの範囲内に限定する。 【解決手段】 鍵管理機関装置３，４に、システム秘密
鍵Ｓs₁，Ｓs₂、ユーザ秘密情報Ｓi₁，Ｓi₂を登録し、暗
号通信時に、発信ユーザ１はマスター鍵Ｋabと日時情報
Ｄにより、Ｋｄ＝ｇ^KabD(modｎ）を作り、メッセージ暗
号化用の鍵Ｋs をＫd で暗号化してデータＬＥＡＦを作
り、受信側ユーザ２はユーザ１と同様の手法でＫd を作
り、このＫd でＬＥＡＦを復号してＫs を得る。機関５
が解読する際には、機関３，４はＫab、Ｄと乱数Ｒ₁ ，
Ｒ₂ を用いて鍵Ｋ₁ ，Ｋ₂ を作って機関５へ提供し、機
関５はＫ₁ ，Ｋ₂ から鍵Ｋ^* ＝Ｋ₁ ・Ｋ₂ を生成して、
機関３，４へ送り、機関３，４でＫ^* からそれぞれ
Ｒ₁ ，Ｒ₂ を消去する準備をしてＫ₁ ′，Ｋ₂ ′を機関
５へ送り機関５はＫ₁ ′，Ｋ₂ ′からＫd を作り、Ｋd
でＬＥＡＦを復号してＫs を得る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、暗号通信システ
ムにおいて、法律または契約等に基づき通信中またはデ
ータベース等に蓄積された暗号文を解読する権限、もし
くは暗号文を復号するためのセッション鍵を複製する権
限を有する執行機関が、その定めの範囲内に限り確実に
暗号文を解読し、またはセッション鍵を複製できるよう
にすると同時に、その定めを逸脱して執行機関が不当に
暗号文を解読し、またはセッション鍵を複製することに
よってユーザ（利用者）のプライバシーが侵害されるこ
とがないようにするための鍵管理方法及びシステムに関
する。

【０００２】

【従来の技術】近年、暗号化技術は情報化社会を担う基
盤技術として広く研究され、極めて強力な暗号化技術が
開発されてきている。一方で、強力な暗号化技術が開発
されるにつれ、従来から不正行為とされてきた通信の盗
聴や改ざんは防止できるようになったものの、今度は暗
号化技術自体が反社会的行為に利用される懸念が広まっ
ている。しかし、現在の暗号化技術では、いかなるもの
も通信の盗聴が出来ないことを目的としているため、仮
に反社会的行為に利用されていたとしてもそれを認知し
たり、あるいは摘発したりすることは出来ない。

【０００３】また、企業防衛の観点から社内の重要なフ
ァイルなどを暗号化して保管しておく等の対策を取って
いる企業も見受けられるようになったが、一方で事故や
災害、その他何らかの理由によって暗号化されたファイ
ルが復号できなくなる事態が発生した場合でも、現在の
暗号化技術ではそのファイルを復号する手段はもはや存
在せず、そのファイルは永遠に利用不可能なものとな
る。

【０００４】このため、ある一定の条件下において法律
または契約等に基づく執行機関が暗号文を解読できるよ
うにする技術が欧米を中心に検討されており、これらは
キーリカバリーまたはキーエスクローという名前で呼ば
れている。これらの技術は、一般には暗号通信を利用す
るときに使用したセッション鍵を暗号化した上でＬＥＡ
Ｆ（Law Enhancement Access Field) 等の付加データの
中に格納、暗号文に付加しておき、裁判所命令あるいは
契約等により暗号文解読の許可が発せられたとき、執行
機関は付加データからセッション鍵を復元して暗号文を
解読することができるようにするものである。なかでも
代表的なのが、アメリカ政府が提唱しているEscrowed E
ncryption Standard(Federal Information Processing
Standards Publication(FIPS)185, U.S.Dept.of Commer
ce) である。

【０００５】図６はEscrowed Encryption Standardの動
作概要である。この方式によれば、ユーザは耐タンパー
なチップであるクリッパーチップを利用して暗号通信を
行うことになる。このクリッパーチップにはＳＫＩＰＪ
ＡＣＫとよばれる秘密暗号アルゴリズム、ＬＥＡＦの秘
密生成アルゴリズム及び検証アルゴリズム等の複数のア
ルゴリズムと、装置番号、ユニット鍵及びファミリー鍵
等の複数の装置固有またはシステム共通のデータとが封
入されている。このチップは通信傍受機能の確保を目的
とした機密保持政策によりアメリカ政府の認可を受けた
製造工場でのみ製造が許可される仕組みのため、具体的
な構成は非公開である、動作概要のみ公表されている。

【０００６】この動作概要によれば、まず製造工場１１
は各々のクリッパーチップにアルゴリズム、データなど
を封入して流通させるとともに、ユニット鍵を二つのデ
ータに分割して装置番号とともに法律が指定する二つの
エスクローエージャンシー１２，１３に預ける。次に、
ユーザは何らかの方法によってセッション鍵をあらかじ
め共有している状況下で暗号通信を行う場合、送信者Ａ
はセッション鍵及びメッセージをクリッパーチップ１５
Ａに入力する。クリッパーチップ１５Ａはメッセージを
セッション鍵を用いてＳＫＩＰＪＡＣＫアルゴリズムに
よって暗号化部１６で暗号化すると同時に、セッション
鍵を装置番号及びいくつかの非公開データとともにユニ
ット鍵及びファミリー鍵を用いて秘密生成アルゴリズム
によって暗号化部１７で暗号化してＬＥＡＦを生成す
る。このようにして生成された暗号文及びＬＥＡＦが通
信相手に送信される。

【０００７】また、受信者Ｂはセッション鍵、受信した
暗号文及びＬＥＡＦをクリッパーチップ１５Ｂに入力す
る。クリッパーチップ１５ＢはまずＬＥＡＦの正当性を
ファミリー鍵及び非公開データを用いて検証部１８で検
証し、検証にパスした場合のみ暗号文をセッション鍵を
用いてＳＫＩＰＪＡＣＫアルゴリズムによって復号部１
９で復号する。万が一、検証に失敗した場合には復号を
行わない。

【０００８】さらに、裁判所から検証令状を得て法執行
機関２１が通信を傍受する場合、検証令状を二つのエス
クローエージャンシー１２，１３に提示することによっ
て、法執行機関２１はクリッパーチップ１５Ａの分割さ
れたユニット鍵１，２のデータをそれぞれのエスクロー
エージャンシー１２，１３から受け取り、クリッパーチ
ップ１５Ａのユニット鍵を鍵再構成部２２で再構成す
る。その後に、ＬＥＡＦをファミリー鍵及び再構成した
ユニット鍵を用いて復号部２３で復号してセッション鍵
を獲得する。このようにして獲得したセッション鍵を用
いることによって暗号文を復号部２４で解読し、メッセ
ージを傍受することが出来るようになる。

【０００９】しかし、この方法についてはいくつかの問
題点があることが指摘されており、なかでも、（１）構
成の基本をなす部分が通信傍受機能を確保するとの理由
でほとんど非公開とされているため、具体的な動作が不
明であること、（２）法執行機関２１が一度でも裁判所
の令状を得て通信を傍受した場合、当該装置に対するユ
ニット鍵を獲得してしまうため、それ以降は裁判所が許
可した範囲内かどうかに関わらず、過去、現在、未来に
わたって無条件に当該装置が発振側となる通信を傍受で
きるようになってしまうこと、（３）当該装置が受信側
であったときには、送信側装置に対するユニット鍵を獲
得しない限り通信傍受が不可能となり、もし通信傍受を
強行しようとすれば検証令状に含まれていないユーザの
装置に対するユニット鍵が開示されてしまうことになる
等が大きな問題点となっている。すなわち、法執行機関
の利益の方により重点が置かれた方式であり、法執行機
関によるプライバシー侵害の危険性が極めて高いとの懸
念が払拭できない。また、法執行機関の不正な通信傍受
に対し、裁判所による法的なコントロールが効かなくな
る点も無視できない。

【００１０】

【発明が解決しようとする課題】この発明の目的は、法
律または契約等に基づいて実施される暗号文解読または
セッション鍵複製に対し、可能な限りのユーザのプライ
バシーを保護をする観点から、（１）公開プロトコル及
び公開アルゴリズムを使用すること、（２）法律または
契約等に基づいて執行機関が暗号文解読またはセッショ
ン鍵複製を実施する場合には、その定めの範囲内に限り
確実に暗号文を解読またはセッション鍵を複製できるこ
と、（３）執行機関がその定めを逸脱して不当に暗号文
を解読またはセッション鍵を複製しようとしても、暗号
文の解読及びセッション鍵の複製が出来ないこと、
（４）法律または契約等による権限を有しない者は、い
っさい暗号文の解読及びセッション鍵の複製が出来ない
ことを実現する鍵管理方法及びシステムを提供すること
にある。

【００１１】

【課題を解決するための手段】この発明では、上記目的
を達成するための方法として、鍵管理機関または鍵生成
機関もしくはユーザが生成したシステム秘密鍵及びユー
ザ秘密情報または通信当事者を特定するマスター鍵Ｋab
を鍵管理機関が登録管理する過程と、暗号通信を行うと
きに発信側がマスター鍵Ｋabと日時情報とを含むデータ
を用いてセッション暗号化鍵Ｋdaとし、実際のメッセー
ジの暗号化に用いたセッション鍵ＫＳを含むデータをセ
ッション暗号化鍵Ｋd によって暗号化することにより付
加データＬＥＡＦを生成する過程と、受信側が発信側と
同様の手法で生成したセッション暗号化鍵Ｋd を用いて
付加データＬＥＡＦを復号することによってセッション
鍵ＫＳを獲得する過程と、及び暗号文解読またはセッシ
ョン鍵複製を行うときに鍵管理機関はマスター鍵Ｋabと
日時情報と乱数データＲ₁ （Ｒ₂ ）とを含むデータを用
いて生成した疑似マスター鍵Ｋ₁ （Ｋ₂ ）を執行機関に
提供し、執行機関は疑似マスター鍵Ｋ₁ ，Ｋ₂ を用いて
疑似セッション暗号化鍵Ｋ^* を生成した後、鍵管理機関
に送付し、鍵管理機関は疑似セッション暗号化鍵Ｋ^* か
ら乱数データＲ₁ （Ｒ₂ ）を消去してＫ₁ ′（Ｋ₂ ′）
として執行機関に返送し、執行機関はＫ₁ ′，Ｋ₂ ′か
らセッション暗号化鍵Ｋd を再構成した後、セッション
暗号化鍵Ｋd を用いて付加データＬＥＡＦを復号してセ
ッション鍵ＫＳを獲得し、さらに必要ならばそのセッシ
ョン鍵ＫＳ を利用して暗号文を解読する過程と、を有
することを特徴とする。なお、日時情報には法律または
契約等に基づいた時間的に許可された範囲内であるかど
うかを判断するための情報が含まれていればよいので、
実際の日時情報ではなくても送信番号、メッセージ番号
等、時間的に区別される情報であればどのような情報で
あっても良い。さらにこれらの情報が複数種類含まれて
いても構わないし、その他の情報、例えば送受信者のユ
ーザ名、乱数データ等の付加データがさらに付加されて
いても構わない。

【００１２】また、上記目的を達成するためのシステム
として、ユーザ装置にはセッション鍵生成手段、マスタ
ー鍵生成手段、日時管理手段、セッション暗号化鍵生成
手段、付加データ生成手段、セッション鍵獲得手段及び
暗号手段を有し、鍵管理機関装置にはシステム秘密鍵管
理データベース、ユーザ秘密情報管理データベース、乱
数データ生成手段、疑似マスター鍵生成手段及び乱数デ
ータ消去手段を有し、執行機関装置には蓄積手段、疑似
セッション暗号化鍵生成手段、セッション暗号化鍵再構
成手段及び解析手段を有することを必須とし、さらにシ
ステム公開鍵及びシステム秘密鍵を生成する情報生成手
段を鍵管理機関装置または鍵生成機関装置に備え、ユー
ザ公開情報及びユーザ秘密情報またはマスター鍵を生成
するユーザ情報生成手段をユーザ装置または鍵生成機関
装置もしくは鍵管理機関装置に備えることを特徴とす
る。また、必要ならば暗号文を解読するための暗号手段
を執行機関装置に備えても良い。

【００１３】

【作用】この発明によれば、セッション鍵ＫＳを獲得し
暗号文を解読するためにはセッション暗号化鍵Ｋd を入
手することが必要であり、またそのセッション暗号化鍵
Ｋd はマスター鍵Ｋabと日時情報とを含むデータを用い
て得られることから、任意のセッション暗号化鍵Ｋd を
生成するためにはマスター鍵Ｋabを入手することが必要
となる。

【００１４】しかし、このセッション暗号化鍵Ｋd から
マスター鍵Ｋabと日時情報とを含むデータを取り出すた
めには数学的に解法が極めて困難とされる離散対数問題
を解く必要があり、これは公開鍵暗号方法を解読するの
と同程度の困難性を有していると考えられている。した
がって、たとえセッション暗号化鍵Ｋd が得られたとし
ても執行機関及び権限を有しないものがセッション暗号
化鍵Ｋd を解読してマスター鍵Ｋabを取り出すことは出
来ない。

【００１５】一方、暗号文解読またはセッション鍵複製
を行うとき、執行機関が鍵管理機関から入手できるのは
疑似マスター鍵Ｋ₁ ，Ｋ₂ であり、これらから疑似セッ
ション暗号化鍵Ｋ^* を求めることが出来る。しかし、疑
似セッション暗号化鍵Ｋ^* からセッション暗号化鍵Ｋd
またはマスター鍵Ｋabを求めるには鍵管理機関が管理し
ている乱数データを消去する必要があり、その乱数デー
タを消去できるのは鍵管理機関だけである。ゆえに、鍵
管理機関はマスター鍵自体を執行機関に開かすことな
く、疑似セッション暗号化鍵Ｋ^* から乱数データを消去
することによってセッション暗号化鍵Ｋd だけを執行機
関に渡すことが出来る。さらに、鍵管理機関が提供する
疑似マスター鍵Ｋ₁ （Ｋ₂ ）は発信側、受信側を問わず
一方のユーザのユーザ秘密情報または通信当事者を特定
するマスター鍵のみしか使用しないで生成できるため、
範囲対象外のユーザのユーザ秘密情報またはマスター鍵
が使用されることはない。また、ユーザはセッション鍵
ＫＳの送付を付加データＬＥＡＦを用いて行うため、も
し不当な付加データであればユーザ同士自身でもセッシ
ョン鍵の共有が出来ないことになるため、暗号通信が可
能である以上は正当な付加データが用いられていること
になる。したがって、法律または契約等に基づいて暗号
文解読またはセッション鍵複製が行われる場合、鍵管理
機関がその定めの範囲内であるかどうかを確認し、範囲
内であると認めた場合にのみセッション暗号化鍵Ｋd を
執行機関に渡すことになり、かつセッション暗号化鍵Ｋ
d が得られた場合には付加データが正当なものであるこ
とから必ずセッション鍵ＫＳを求められ、ひいては暗号
文を解読することが出来る。

【００１６】また、日時情報は通信ごとまたはセッショ
ン鍵ＫＳ更新ごとに異なるため、セッション暗号化鍵Ｋ
d も通信ごとまたはセッション鍵更新ごとに異なる。し
たがって、執行機関が入手できたセッション暗号化鍵Ｋ
d もそれに対応する場合のセッション鍵ＫＳの複製また
は暗号文の解読についてのみ有効なのであって、それ以
外の場合には役に立たない。

【００１７】ゆえに、権限を有しないものはもとより執
行機関でさえいかなる状況下にあってもマスター鍵自体
Ｋabを獲得することは出来ないので、任意のセッション
暗号化鍵Ｋdaが不正に生成されることはあり得ず、結果
として執行機関がその範囲を逸脱して不当に暗号文を解
読し、またはセッション鍵を複製することは出来ない。

【００１８】なお、この発明においてはアルゴリズムが
公開されている公開鍵暗号方式及び共通鍵暗号方式を用
いてシステムを構成することが出来る。

【００１９】

【発明の実施の形態】以下、この発明の一実施例を図面
を用いて説明する。図１はこの発明の一実施例を示す鍵
管理システムの機能構成図である。図１において、発信
側ユーザ装置１は、ユーザ公開情報及びユーザ秘密情報
を生成するユーザ情報生成手段１０、ユーザの操作によ
りセッション鍵ＫＳを設定するセッション鍵生成手段１
１、通信当事者を特定するためのマスター鍵を生成する
マスター鍵生成手段１２、通信日時等を示す情報を管理
する日時管理手段１３、セッション鍵を暗号化するため
のセッション暗号化鍵を生成するセッション暗号化鍵生
成手段１４、付加データを生成する付加データ生成手段
１５、暗号通信を行うための共通鍵暗号手段１６を備え
ている。受信側ユーザ装置２は、ユーザ公開情報及びユ
ーザ秘密情報を生成するユーザ情報生成手段２０、付加
データが正当なデータであるかを検証する検証手段２
１、通信当事者を特定するためのマスター鍵を生成する
マスター鍵生成手段２２、セッション鍵を暗号化するた
めのセッション暗号化鍵を生成するセッション暗号化鍵
生成手段２３、付加データからセッション鍵を取り出す
セッション鍵獲得手段２４、暗号通信を行うための共通
鍵暗号手段２５を備えている。

【００２０】鍵管理機関装置３は、システム公開鍵及び
システム秘密鍵を生成する情報生成手段３０、鍵管理機
関装置３，４はそれぞれ、システム秘密鍵を蓄積管理し
ておくシステム秘密鍵管理データベース３１，４１ユー
ザ秘密情報を蓄積管理しておくユーザ秘密情報管理デー
タベース３３，４３、乱数データを生成する乱数データ
生成手段３４，４４、疑似マスター鍵の生成する疑似マ
スター鍵生成手段３５，４５、疑似セッション暗号化鍵
から乱数データを消去する乱数データ消去手段３６，４
６を備えている。執行機関装置５は傍受した暗号文及び
付加データを蓄積しておく蓄積手段５０、疑似セッショ
ン暗号化鍵を生成する疑似セッション暗号化鍵生成手段
５１、セッション暗号化鍵を再構成するセッション暗号
化鍵再構成手段５２、セッション鍵を獲得する解析手段
５３、暗号通信を解読するための共通鍵暗号手段５４を
備えている。発信側ユーザ装置１と受信側ユーザ装置２
は通信回線６で互いに接続される。

【００２１】次に上記実施例の動作方法について図面を
用いて説明する。なお、ここでは公開鍵暗号方式として
ＲＳＡ暗号（R. L. Rivest, A. Shamir,L. Adleman,
“A method for obtaining digital signature and pub
lic-key cryptosystem, ”Communication of ACM, vol.
21, No.2, 1978.2) を用いる。始めにシステム構築時に
おける動作方法を図２に示す。

【００２２】ステップＡ１：鍵管理機関装置３は情報生
成手段３０において以下の情報を用意する。（１）二つ
の大きな素数ｐ，ｑ、（２）ｎ＝ｐｑ、（３）ｇ、
（４）Ｒs 、（５）Ｐs ，Ｓs 、但し、任意のＭについ
てＭ^PsSs＝Ｍ（mod ｎ）を満たす。 ステップＡ２：鍵管理機関装置３はｎ，ｇ，Ｐs ，ｇ
^1/Rsをシステム公開鍵として全ての加入ユーザに公開す
る。

【００２３】ステップＡ３：Ｓs をＳs₁，Ｓs₂の二つに
分割し、Ｐs ，Ｓs₁，ｐ，ｑ，Ｒsを鍵管理機関装置３
のシステム秘密鍵管理データベース３１において、また
Ｐs，Ｓs₂，ｐ，ｑ，Ｒs を鍵管理機関装置４のシステ
ム秘密鍵管理データベース４１において厳重に保管す
る。ここでＳs ＝Ｓs₁＋Ｓs₂を満たす。なお、ｐ，ｑ，
Ｒs ，Ｓs ，Ｓs₁，Ｓs₂はシステム上極めて重要なシス
テム秘密鍵であり、いかなる場合でも外部に流出するこ
とがないよう厳重に保管しなければならない。

【００２４】ここでは鍵管理機関装置３が単独でシステ
ム公開鍵及びシステム秘密鍵を生成するものとして説明
したが、この発明はこれに限定されるわけではなく、鍵
管理機関装置４が単独で、あるいは鍵管理機関装置３と
鍵管理機関装置４が協力して生成したり、もしくは信頼
できる鍵生成機関が生成し、鍵管理機関装置３及び鍵管
理機関装置４にシステム秘密鍵を配布する場合を排除す
るものではない。

【００２５】次に、ユーザがシステムに加入する場合の
動作手順を図３に示す。 ステップＢ１：ユーザｉはユーザ情報生成手段１０（２
０）において自分の秘密情報Ｓi 及び公開情報Ｐi ＝ｇ
^Si modｎを設定する。 ステップＢ２：秘密情報Ｓi をＳi₁，Ｓi₂の二つに分割
し、安全かつ秘密裏に鍵管理機関装置３に対してＰi ，
Ｓi₁を、また鍵管理機関装置４に対してＰi ，Ｓi₂を送
付する。ここでＳi ＝Ｓi₁＋Ｓi₂を満たす。

【００２６】ステップＢ３：鍵管理機関装置３（鍵管理
機関装置４）はユーザから送付された情報をユーザ秘密
情報管理データベース３３（４３）において厳重に保管
する。ここではユーザ自身がユーザ公開情報及びユーザ
秘密情報を生成するものとして説明したが、この発明は
これに限定されるものではなく、ユーザに代わって、鍵
管理機関装置３（４）または信頼できる鍵生成機関が生
成し、ユーザ、鍵管理機関装置３、鍵管理機関装置４に
対して必要な情報を安全かつ秘密裏に送付する場合を排
除するものではない。

【００２７】次に、ユーザＡとユーザＢが暗号通信を行
う場合の動作手順を図４に示す。なお、発信側をＡ、受
信側をＢとし、以下のステップＣ１〜Ｃ５はユーザＡの
装置１が、ステップＣ６〜Ｃ９はユーザＢの装置２が行
うものとする。 ステップＣ１：セッション鍵生成手段１１を用いて、セ
ッション鍵ＫＳを自由に設定する。

【００２８】ステップＣ２：マスター鍵生成手段１２を
用いてユーザＡのユーザ秘密情報Ｓa とユーザＢのユー
ザ公開情報Ｐb とからユーザＡとユーザＢのマスター鍵
Ｋab＝Ｐb ^Sa＝ｇ^SaSb (mod ｎ）を求める。 ステップＣ３：マスター鍵Ｋabと日時管理手段１３から
得られた日時情報Ｄとを用いてセッション暗号化鍵生成
手段１４において、セッション暗号化鍵Ｋd ＝ｇ^KabD(m
odｎ）を求める。つまりＫabとＤでｇを暗号化してＫd
を求める。

【００２９】ステップＣ４：付加データ生成手段１５に
おいてセッション暗号化鍵Ｋd を用いてセッション鍵Ｋ
Ｓに関する付加データＬＥＡＦ＝｛ｆ（ＫＳ ，Ｋd ）
｜Ｄ｜checksum｝を生成する。ここで、ｆ（Ｍ，Ｋ）は
任意の共通鍵暗号方式ｆであり、かつＭを鍵Ｋで暗号化
することを表す。また、｜は連結を表し、checksumは付
加データＬＥＡＦの正当性を示すチェックサムデータで
ある。

【００３０】ステップＣ５：付加データＬＥＡＦをユー
ザＢの装置２へ通信回線６を通じて送付する。 ステップＣ６：検証手段２１においてchecksumを用いて
付加データＬＥＡＦの正当性を検証する。検証に失敗し
た場合には通信を切断する。 ステップＣ７：マスター鍵生成手段２２を用いてユーザ
Ｂのユーザ秘密情報Ｓb とユーザＡのユーザ公開情報Ｐ
a とからユーザＡとユーザＢのマスター鍵Ｋab＝Ｐa ^Sb
＝ｇ^SaSb(modｎ）を求める。

【００３１】ステップＣ８：付加データＬＥＡＦから日
時情報Ｄを取り出し、マスター鍵Ｋabと日時情報Ｄを用
いてセッション暗号化鍵生成手段２３においてセッショ
ン暗号化鍵 Ｋd ＝ｇ^KabD(modｎ）を求める。 ステップＣ９：セッション鍵獲得手段２４においてセッ
ション暗号化鍵Ｋd を用いて付加データＬＥＡＦからセ
ッション鍵ＫＳ＝ｆ^-1（ｆ（ＫＳ ，Ｋd ），Ｋd ）を
求める。ここで、ｆ^-1（Ｃ，Ｋ）は共通鍵暗号方式ｆで
あり、かつＣを鍵Ｋで復号することを表す。

【００３２】ステップＣ１０：ユーザＡの装置１とユー
ザＢの装置２はセッション鍵ＫＳを用いてそれぞれ共通
鍵暗号手段１６，２５を利用して通信回線６を通じて暗
号通信を行う。 ステップＣ１１：ユーザＡまたはユーザＢの一方がセッ
ション鍵ＫＳ を変更したいと考えたときには、セッシ
ョン鍵ＫＳ ヲ変更しようとしたユーザを発信側として
ステップＣ１からの動作を繰り返す。

【００３３】最後に、法律または契約等に基づいて執行
機関が暗号文解読またはセッション鍵複製を実行する場
合の動作手順を図５に示す。ここで、執行機関は暗号文
解読またはセッション鍵複製を実行するに当たって必要
な許可証（例えば、裁判所の通信傍受検証令状、実施伺
い書等）を入手しているものとし、さらに通信回線６を
通じて行われた通信データが蓄積手段５０に蓄積されて
いるものとする。また、許可証の対象となっているユー
ザがＡであるとし、このときの通信相手がＢであるとす
る。

【００３４】ステップＤ１：執行機関装置５は鍵管理機
関装置３及び鍵管理機関装置４に対し、暗号文解読また
はセッション鍵複製を適正に実行する旨を記した許可証
及び付加データＬＥＡＦから獲得した日時情報Ｄを提示
する。なお、鍵管理機関装置３，４と執行機関装置５と
の間のデータのやりとりには通信回線を利用しても良い
し、通信回線以外を利用しても良い。

【００３５】ステップＤ２：鍵管理機関装置３（鍵管理
機関装置４）は許可証が正当なものであるかどうかを確
認し、かつ執行機関が暗号文解読またはセッション鍵複
製を実施しようとしている対象が許可証または法律、契
約等に記された範囲内であるかどうかを確認する。範囲
外であると判断した場合には請求を棄却する。 ステップＤ３：鍵管理機関装置３（鍵管理機関装置４）
が適正な範囲内であると認定した場合、乱数データ生成
手段３４（４４）を用いて乱数データＲ₁ （Ｒ ₂ ）を生
成する。

【００３６】ステップＤ４：鍵管理機関装置３（鍵管理
機関装置４）は分割されたシステム秘密鍵Ｓs₁（Ｓs₂)
、分割されたユーザＡのユーザ秘密情報Ｓa₁（Ｓ
a₂）、ユーザＢのユーザ公開情報Ｐb 及び乱数データＲ
₁ （Ｒ₂ ）を用いて、疑似マスター鍵生成手段３５（４
５）において疑似マスター鍵 Ｋ₁ ＝Ｐb ^Sa1 ・Ｒ₁ ^Ps(modｎ），（Ｋ₂ ＝Ｐb ^Sa2 ・
Ｒ₂ ^Ps(modｎ））を計算する。

【００３７】ステップＤ５：鍵管理機関装置３（鍵管理
機関装置４）は疑似マスター鍵Ｋ₁（Ｋ₂ ）を執行機関
装置５に送付する。 ステップＤ６：執行機関装置５は疑似セッション暗号化
鍵生成手段５１を用いて疑似マスター鍵Ｋ₁ （Ｋ₂ ）か
ら疑似セッション暗号化鍵 Ｋ^* ＝Ｋ₁ ・Ｋ₂ ＝Ｐb ^Sa1+Sa2 ・Ｒ₁ ^Ps・Ｒ₂ ^Ps＝Ｐ
b ^Sa・Ｒ₁ ^Ps・Ｒ₂ ^Ps＝Ｋab・Ｒ₁ ^Ps・Ｒ₂ ^Ps(modｎ）
を計算する。

【００３８】ステップＤ７：執行機関装置５は疑似セッ
ション暗号化鍵Ｋ^* を鍵管理機関装置３及び鍵管理機関
装置４に送付する。 ステップＤ８：鍵管理機関装置３（鍵管理機関装置４）
は疑似セッション暗号化鍵Ｋ^* から乱数データＲ₁ （Ｒ
₂ ）を消去するために乱数データ消去手段３６（４６）
を用いてシステム秘密鍵Ｒs ，Ｓs₁（Ｓs₂）と乱数デー
タＲ₁ （Ｒ₂ ）と日時情報Ｄとから Ｋ₁ ′＝（Ｋ^* ・Ｒs ・Ｄ）^Ss1 ／Ｒ₁ ＝（Ｋab・Ｒs ・Ｄ）^Ss1 ・（Ｒ₁ ^PsSs1 ／Ｒ₁ ）・Ｒ₂ ^PsSs1 (modｎ） ［Ｋ₂ ′＝（Ｋ^* ・Ｒs ・Ｄ）^Ss2 ／Ｒ₂ ＝（Ｋab・Ｒs ・Ｄ）^Ss2 ・Ｒ₁ ^PsSs2 ・（Ｒ₂ ^PsSs2 ／Ｒ₂ ）(modｎ）］ を計算する。乱数データ消去の準備を行う。

【００３９】ステップＤ９：鍵管理機関装置３（鍵管理
機関装置４）はＫ₁ ′（Ｋ₂ ′）を執行機関装置５に送
付する。 ステップＤ１０：執行機関装置５はセッション暗号化鍵
再構成手段５２を用いてＫ₁ ′（Ｋ₂ ′）とシステム公
開鍵Ｐs ，ｇ^1/Rsからセッション暗号化鍵Ｋdを再構成
する。 Ｋd ′＝Ｋ₁ ′・Ｋ₂ ′＝（Ｋab・Ｒs ・Ｄ）^Ss1+Ss2 ・（Ｒ₁ ^Ps(Ss1+Ss2) ／Ｒ₁ ）・（Ｒ₂ ^Ps(Ss1+Ss2) ／Ｒ₂ ） ＝（Ｋab・Ｒs ・Ｄ）^Ss・（Ｒ₁ ^PsSs／Ｒ₁ ）・（Ｒ₂ ^PsSs／Ｒ₂ ） ＝（Ｋab・Ｒs ・Ｄ）^Ss(modｎ） Ｋd ＝((ｇ^1/Rs）^Kd' ) ^Ps＝（ｇ^1/Rs）^KabRsD＝ｇ^KabD (mod ｎ） ステップＤ１１：執行機関装置５は解析手段５３におい
てセッション暗号鍵Ｋd を用いて付加データＬＥＡＦか
らセッション鍵ＫＳ ＝ｆ^-1（ｆ（ＫＳ ，Ｋd ），Ｋ
d ）を求める。

【００４０】ステップＤ１２：執行機関は共通鍵暗号手
段５４においてセッション鍵ＫＳを用いて、蓄積手段５
０に蓄積されているデータＡ・Ｂ間の暗号文を解読す
る。ちなみに、許可証の対象となっているユーザがＢで
あるとし、このときの通信相手がＡである場合には、ス
テップＤ４が以下のように代わるだけである。 ステップＤ４^* ：鍵管理機関装置３（鍵管理機関装置
４）はシステム公開鍵Ｐs 、分割されたユーザＢのユー
ザ秘密情報Ｓb₁（Ｓb₂）、ユーザＡのユーザ公開情報Ｐ
a 及び乱数データＲ₁ （Ｒ₂ ）を用いて、疑似マスター
鍵生成手段３５（４５）において疑似マスター鍵 Ｋ₁ ＝Ｐa ^Sb1 ・Ｒ₁ ^Ps(modｎ），（Ｋ₂ ＝Ｐa ^Sb2 ・
Ｒ₂ ^Ps(modｎ））を計算する。

【００４１】このような処理はＫab＝Ｐb ^Sa＝Ｐa ^Sb＝
ｇ^SaSb (mod ｎ）が常に成立することから可能となる。
したがって、許可証の対象となっているユーザが発信
側、受信側のどちらであるかを問わずに同じ方法で処理
することが出来ることを示しており、さらに鍵管理機関
装置３，４が利用しているユーザ秘密情報は許可証の対
象になっているユーザのものであり、通信相手のユーザ
についてはユーザ公開情報しか利用しない。したがっ
て、許可証の対象外のユーザのユーザ秘密情報が利用さ
れることはない。

【００４２】以上の説明では、この方法を鍵管理機関が
二つ存在するものとして説明したが、ユーザ秘密情報及
びシステム秘密鍵の分割数を変えることによって、単独
または二つ以上の鍵管理機関装置が存在するシステムと
して構築することが可能である。例えば、単独であれば
鍵管理機関装置はユーザ秘密情報及びシステム秘密鍵は
全て所有することになり、この場合にはステップＤ３〜
Ｄ７までを省略でき、直接執行機関装置に対してＫd ′
＝（Ｋab・Ｒs ・Ｄ）^Ssを提供することが出来る。ま
た、鍵管理機関がｋ（ｋ＞２）個あるならばＳs ＝Σ
_j=1 ^k Ｓsj，Ｓi ＝Σ_j=1 ^k Ｓijを満たすようにシステ
ム秘密鍵とユーザ秘密情報を分割して所有させればよ
い。この場合には、ステップＤ６でＫ^* ＝Π_j=1 ^k Ｋ_j
(modｎ）、ステップＤ１０でＫd ′＝Π_j=1 ^k Ｋ_j ′(m
odｎ）となる以外は全く同様の処理で実現できる。

【００４３】なお、利用するアルゴリズムとして、公開
鍵暗号方法、共通鍵暗号方法とも上記に記載のアルゴリ
ズムに限定されるものではない。また、付加データＬＥ
ＡＦには上記記載のデータの他に発信者名、受信者名等
様々な付加情報を連結しても構わない。また上述におい
てユーザ公開情報Ｐi と、分割したユーザ秘密情報Ｓ
i₁，Ｓi₂を鍵管理機関装置３，４にＰi とＳi₁、Ｐi と
Ｓi₂と分割して登録したが、ユーザＡ，Ｂに特有のマス
ター鍵Ｋabを分割してＫab₁ ，Ｋab₂ として鍵管理機関
装置３，４に登録してもよい。即ち、ユーザＡ、Ｂ間に
固有のマスター鍵Ｋabが設定されているとする。このと
き、Ｋab＝Ｋab₁ ・Ｋab₂ を満たすようにＫabを２つの
Ｋab₁ ，Ｋab₂ に分割し、鍵管理機関装置３（鍵管理機
関装置４）はＫab₁ （Ｋab₂ ）をそれぞれ補間する。ス
テップＤ４でＫ₁ ＝Ｋab₁ ・Ｒ₁ ^Ps(mod n),( Ｋ₂ ＝Ｋ
ab₂ ・Ｒ₂ ^Ps(mod n))を計算し、ステップＤ６で Ｋ^* ＝Ｋ₁ ・Ｋ₂ ＝（Ｋab₁ ・Ｋab₂ ）・Ｒ₁ ^Ps・Ｒ₂ ^Ps ＝Ｋab・Ｒ₁ ^Ps・Ｒ₂ ^Ps(mod n) を計算し、以下は同様の処理となる。また、ｋ（ｋ＞
２）個の鍵管理機関があるならば、Ｋab＝Π_j=1 ^k Ｋab
j を満たすようにマスター鍵を分割して所有させればよ
い。

【００４４】

【発明の効果】以上に述べたようにこの発明によれば、
以下のような効果が得られる。 （１）公開のアルゴリズムのみを用いてシステムを実現
できる。 （２）法律または契約等に基づいて暗号文解読またはセ
ッション鍵複製が実施される場合には、その定めの範囲
内に限り確実に暗号文を解読またはセッション鍵を複製
できる。 （３）その定めを逸脱して不当に暗号文を解読またはセ
ッション鍵を複製しようとしても、暗号文解読及びセッ
ション鍵複製が出来ない。 （４）法律または契約等による権限を有しない者は、い
っさい暗号文解読及びセッション鍵複製が出来ない。

【図面の簡単な説明】

【図１】この発明の一実施例を示す鍵管理システムの機
能構成図。

【図２】この発明の実施例におけるシステム構築時の動
作手順を示すフローチャート。

【図３】この発明の実施例におけるユーザのシステム加
入時の動作手順を示すフローチャート。

【図４】この発明の実施例における暗号通信時の動作手
順を示すフローチャート。

【図５】この発明の実施例における暗号文解読またはセ
ッション鍵複製の実行時の動作手順を示すフローチャー
ト。

【図６】クリッパーチップにおける動作概要を示す図。

Claims (11)

【特許請求の範囲】
1. 【請求項１】 暗号通信システムにおけるメッセージの
   暗号通信に利用するセッション鍵を管理する鍵管理方法
   において、 システム構築時には鍵管理機関装置または鍵生成機関装
   置がシステム公開鍵及びシステム秘密鍵を設定し、かつ
   ユーザのシステム加入時にはそのユーザの装置（以下ユ
   ーザ装置と記す）または上記鍵生成機関装置もしくは上
   記鍵管理機関装置がユーザ公開情報及びユーザ秘密情報
   を生成し、または通信当事者を特定するマスター鍵を生
   成した後、システム公開鍵及びユーザ公開情報をシステ
   ム上に公開し、かつ一つまたは複数の鍵管理機関におい
   てシステム秘密鍵及びユーザ秘密情報またはマスター鍵
   を登録管理する過程と、 暗号通信を行うときには発信側ユーザ装置が、通信当事
   者を特定するマスター鍵と日時情報等の時間的な要素を
   示すデータとを含むデータを用いてセッション暗号化鍵
   を生成し、セッション鍵を含むデータをセッション暗号
   化鍵を用いて暗号化することにより付加データを生成し
   た後、付加データを受信側ユーザ装置に送信する過程
   と、 受信側ユーザ装置が、通信当事者を特定するマスター鍵
   と日時情報等の時間的な要素を示すデータとを含むデー
   タを用いてセッション暗号化鍵を生成し、受信した付加
   データをセッション暗号化鍵を用いて復号することによ
   りセッション鍵を獲得する過程とを含むことを特徴とす
   る鍵管理方法。
2. 【請求項２】 執行機関装置が暗号文の解読またはセッ
   ション鍵の複製を実施するときには鍵管理機関装置が通
   信当事者を特定するマスター鍵と日時情報等の時間的な
   要素を示すデータと鍵管理機関装置が生成した乱数デー
   タとを含むデータを用いて疑似マスター鍵を生成して執
   行機関装置に提供し、執行機関装置が疑似マスター鍵を
   用いて疑似セッション暗号化鍵を生成した後、鍵管理機
   関装置に返送し、鍵管理機関装置は疑似セッション暗号
   化鍵から乱数データを消去する準備をして執行機関装置
   に返送し、執行機関装置がセッション暗号化鍵を再構成
   した後、セッション暗号化鍵を用いて付加データを復号
   してセッション鍵を獲得する過程を含むことを特徴とす
   る請求項１記載の鍵管理方法。
3. 【請求項３】 通信当事者を特定するマスター鍵を、通
   信当事者の一方のユーザ秘密情報と０の通信相手のユー
   ザ公開情報とから生成することを特徴とする請求項１又
   は２に記載の鍵管理方法。
4. 【請求項４】 複数の鍵管理機関装置においてシステム
   秘密鍵及びユーザ秘密情報またはマスター鍵を登録管理
   する過程において、それらの秘密情報を分割して各々の
   鍵管理機関装置が分割された秘密情報を管理することを
   特徴とする請求項１から請求項３のいずれかに記載の鍵
   管理方法。
5. 【請求項５】 上記システム秘密鍵Ｓｓ及び上記ユーザ
   秘密情報Ｓi の分割は、それぞれＳs ＝Σ_j=1 ^k Ｓsj，
   Ｓi ＝Σ_j=1 ^k Ｓijを満たすように鍵管理機関装置の数
   ｋ（ｋは２以上の整数）に分割し、第ｊ鍵管理機関装置
   に分割されたシステム秘密鍵Ｓsjと分割されたユーザ秘
   密情報Ｓijを管理させることを特徴とする請求項４記載
   の鍵管理方法。
6. 【請求項６】 上記システム秘密鍵Ｓｓ及び上記ユーザ
   Ａ、Ｂを特定するマスター鍵Ｋabの分割はそれぞれＳs
   ＝Σ_j=1 ^k Ｓsj，Ｋab＝Π_j=1 ^k Ｋabj を満たすように
   鍵管理機関装置の数ｋ（ｋは２以上の整数）に分割し、
   第ｊ鍵管理機関装置に分割されたシステム秘密鍵Ｓsjと
   分割されたマスター鍵Ｋabj を管理させることを特徴と
   する請求項４記載の鍵管理方法。
7. 【請求項７】 セッション暗号化鍵を生成する際に、通
   信当事者を特定するマスター鍵と日時情報等の時間的な
   要素を示すデータとを含むデータでシステム公開鍵を暗
   号化することによってセッション暗号化鍵を生成するこ
   とを特徴とする請求項１から請求項４までのいずれかに
   記載の鍵管理方法。
8. 【請求項８】 付加データを生成する際に、セッション
   鍵を含むデータをセッション暗号化鍵を用いて共通鍵暗
   号方法で暗号化することによって付加データを生成する
   こと、及びセッション鍵を獲得する際に、付加データを
   セッション暗号化鍵を用いて共通鍵暗号方法で復号する
   ことによってセッション鍵を獲得することを特徴とする
   請求項１から請求項４、請求項７のいずれかに記載の鍵
   管理方法。
9. 【請求項９】 送信側ユーザ装置が付加データの正当性
   を示すチェックサムを付加データに付加し、受信側ユー
   ザ装置が受信した付加データが正しい情報であるかをそ
   のチェックサムを用いて検証することを特徴とする請求
   項１から請求項６までのいずれかに記載の鍵管理方法。
10. 【請求項１０】 疑似セッション暗号化鍵から乱数デー
    タを消去する際に、システム秘密鍵及びシステム公開鍵
    を用いて公開鍵暗号方法を利用することによって疑似セ
    ッション暗号化鍵から乱数データを消去することを特徴
    とする請求項１から請求項５、請求項７から請求項９の
    いずれかに記載の鍵管理方法。
11. 【請求項１１】 暗号通信システムにおけるメッセージ
    の暗号通信に利用するセッション鍵を管理する鍵管理シ
    ステムにおいて、 ユーザ装置には、 セッション鍵を設定するセッション鍵生成手段と、 通信当事者を特定するマスター鍵を生成するマスター鍵
    生成手段と、 日時情報等の時間的要素を示すデータを管理する日時管
    理手段と、 セッション暗号化鍵を生成するセッション暗号化鍵生成
    手段と、 付加データを生成する付加データ生成手段と、 付加データからセッション鍵を獲得するセッション鍵獲
    得手段と、 暗号通信を行うための暗号手段と、 を備え、 鍵管理機関装置には、 システム公開鍵及びシステム秘密鍵、ユーザ公開情報及
    びユーザ秘密情報またはマスター鍵を生成する情報生成
    手段と、 システム秘密鍵を登録管理するシステム秘密鍵管理デー
    タベースと、 ユーザ秘密情報またはマスター鍵を登録管理するユーザ
    秘密情報管理データベースと、 乱数データを生成する乱数データ生成手段と、 執行機関装置に対して提供する疑似マスター鍵を生成す
    る疑似マスター鍵生成手段と、 疑似セッション暗号化鍵から乱数データを消去する乱数
    データ消去手段と、を備え、 執行機関装置には、 暗号文及び付加データを蓄積しておく蓄積手段と、 疑似セッション暗号化鍵を生成する疑似セッション暗号
    化鍵生成手段と、 セッション暗号化鍵を再構成するセッション暗号化鍵再
    構成手段と、 セッション鍵を獲得する解析手段と、 を備えることを特徴とする鍵管理システム。