JPH09312643A - 鍵共有方法及び暗号通信方法 - Google Patents

Abstract

(57)【要約】 【課題】 ２者間で暗号通信に利用する秘密鍵を共有す
る方法において、暗号通信する相手と安全かつ確実に鍵
が共有できたことを保証する方法を提供する。 【解決手段】 Ａは、鍵共有用と認証用にそれぞれ乱数
R1,R2を生成し、それぞれを固定鍵S1,S2で、かつ、暗号
連鎖モード（CBCモード）を利用して暗号化し、暗号文C
1,C2をＢに送信する。受信者Ｂは、受信した暗号文C1,C
2を、それぞれ固定鍵S1,S2で、かつ、暗号連鎖モード
（CBCモード）を利用して復号化し、復号文R1は保持す
る一方、復号文R2（＝第２の乱数）をＡに送信する。Ａ
は、最初に生成したR2が受信した第２の復号文R2と一致
するかどうかを確認し、一致すれば、Ｂとの間で鍵共有
用の乱数R1が共有されたと認識する。このR1及び上記手
順をＡ、Ｂが交替して実施することにより共有した乱数
R3より鍵Ksを共有する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】２装置間で相互に相手を認証
しつつ、時間変化するセッション鍵を秘密に共有する鍵
共有方法、さらに第３の装置がこのセッション鍵を共有
する方法、及び、このセッション鍵を用いてデータの暗
号通信を行なう暗号通信方法に関する。

【０００２】

【従来の技術】２者間でデータを暗号通信する際、それ
に先だって暗号通信用の鍵（以下、セッション鍵と称す
る）を秘密に共有し、このセッション鍵を用いて暗号通
信するのが一般的である。

【０００３】セッション鍵を、第３者に知られることな
く、正しい相手と共有する方法として、従来より、セッ
ション鍵の共有に暗号技術を利用する方法が知られてい
る。

【０００４】その一般的な方法として、A、B間で、あら
かじめ使用する暗号方式と、A、Bに固有の鍵（以下固有
鍵と称する）を決定しておき、それらを利用してセッシ
ョン鍵を共有する方法がある。以下に、この典型的な方
法を２つ示す。なお説明において次の表記を用いる。

【０００５】S：A、B間で使用する固有鍵 E(S,R)：Rを鍵Sで暗号化 D(S,C)：Cを鍵Sで復号化 R1||R2：R1とR2のビット列の連結 （第１の従来例）まず第１の従来例として、国際標準規
格(IS 9798-2)に規定されているメカニズムの一つを利
用して、２者Ａ、Ｂ間でセッション鍵Ksを共有し、暗号
通信する方法について説明する。

【０００６】第１の従来例の手順は以下の通りである。 (1)Ａは、セッション鍵生成用の乱数R1と相手確認用の
乱数R2を生成し、固有鍵Sで暗号化した結果であるC=E
(S,R1||R2)をＢに送信する。

【０００７】(2)Ｂは、受信した暗号文Cを固有鍵Sで復
号化した結果であるR1'||R2'=D(S,C)のうちR2'をＡに送
信する。

【０００８】(3)Ａは、受信したR2'と(1)で生成したR2
が一致する場合、相手が正しいＢであると認識する。

【０００９】(4)Ａは、(1)で生成したR1をセッション鍵
Ksとして、データを暗号化しＢに送信する。

【００１０】(4)Ｂは、(2)の復号化結果のうちR1をセッ
ション鍵Ksとして、受信した暗号化されたデータを復号
化する。

【００１１】以上により、Ａは、Ｂに対して、乱数R2に
より相手を確認しつつ、かつ、乱数R1を秘密に配送する
ことができ、このR1をセッション鍵Ksとして用いてＡ、
Ｂ間で暗号通信することができる。

【００１２】なお、上記手順の(1)〜(3)を実行後、上記
手順(1)〜(3)をＡ、Ｂが役割を交替して行なうことによ
り、Ｂは、Ａに対して、別の乱数(R4とする)により相手
を確認しつつ、かつ、別の乱数(R3とする)を秘密に配送
することができる。すなわち相互に相手を確認しつつ、
各々の生成したR1、R3によりセッション鍵Ksを生成し、
Ａ、Ｂ間で暗号通信することができる。

【００１３】ここで、暗号化E 及び復号化D に使用する
具体的な暗号方式としては、例えば米国標準暗号DESな
どのブロック暗号方式を利用するのが一般的である。こ
こでブロック暗号方式とは、入力をある定められたビッ
ト毎に暗号化又は復号化処理して出力する暗号方式を言
い、例えばDESの場合、入力を64ビット毎に暗号化又は
復号化処理して出力を行なう。

【００１４】（第２の従来例）次に第２の従来例を示
す。第２の従来例の手順は以下の通りである。

【００１５】(1)Ａは、乱数R2を生成しＢに送信する。 (2)Ｂは、受信した乱数R2と自ら生成した乱数R1を固有
鍵Sで暗号化した結果 C=E(S,R1||R2) をＡに送信する。

【００１６】(3)Ａは、受信した暗号文Cを固有鍵Sで復
号化し、 R1'||R2'=D(S,C) 復号結果に含まれるR2'と、(1)で送信したR2が一致する
場合、相手が正しいＢであると認識する。

【００１７】(4)Ａは、(1)で生成したR1をセッション鍵
Ksとして、データを暗号化しＢに送信する。

【００１８】(5)Ｂは、(2)で生成したR1をセッション鍵
Ksとして、受信した暗号化されたデータを復号化する。

【００１９】以上により、Ａは、Ｂに対して、乱数R2に
より相手を確認しつつ、かつ、乱数R1を秘密に獲得する
ことができ、このR1をセッション鍵Ksとして用いてＡ、
Ｂ間で暗号通信することができる。

【００２０】なお、従来例１と同様に上記手順(1)〜(3)
を実行後、上記手順(1)〜(3)をＡ、Ｂが役割を交替して
行なうことにより、Ｂは、Ａに対して、別の乱数(R4と
する)により相手を確認しつつ、かつ、別の乱数(R3とす
る)を秘密に獲得することができる。すなわち相互に相
手を確認しつつ、各々の生成したR1、R3によりセッショ
ン鍵Ksを生成し、Ａ、Ｂ間で暗号通信することができ
る。

【００２１】

【発明が解決しようとする課題】ところで、上記従来例
において、ｎビットブロック暗号を利用する場合、入力
をｎビット毎に暗号化して出力する。したがって、R1、
R2がそれぞれｎビットの場合等、R1、R2が独立に暗号化
される場合、従来例１のステップ(1)及び従来例２のス
テップ(2)で求められる暗号文C=E(S,R1||R2)は、E(S,R
1)||E(S,R2)となる（なお以下の説明では、C1=E(S,R
1)、C2=E(S,R2)とおく）。

【００２２】このような場合、悪意をもった第３者Ｘ
は、以下のようにして、Ａ、Ｂ間のセッション鍵Ksを獲
得することができる。

【００２３】第１の従来例の場合： (a)Ｘは、まずあるセッションにおけるＡ、Ｂ間の送信
データであるC1=E(S,R1)を盗聴する。

【００２４】(b)Ｘは、次にＢに、別のセッションのス
テップ(1)としてC*=xxx || C1を送信する。

【００２５】（ここでxxxは任意のｎビットデータ）こ
のとき、Ｂはステップ(2)として、受信したC*を復号化
し、その復号化結果のうちR1'を返信する。そしてＸ
は、このR1'を獲得する。

【００２６】以上により、第３者Ｘは、盗聴したセッシ
ョンのセッション鍵Ksの生成に利用された乱数R1'を獲
得することができる。

【００２７】第２の従来例の場合： (a)Ｘは、まずあるセッションにおけるＡ、Ｂ間の送信
データであるC2=E(S,R2)、R2を盗聴する。

【００２８】(b)Ｘは、次に別のセッションにおけるス
テップ(2)において、Ｂから送信されるC"=C1"||C2" = E
(S,R1")||E(S,R2")のC1"を、C2に置き換えたC*=C2||C2"
=E(S,R2)||E(S,R2")をＡに送信する。このとき、Ａは、
ステップ(3)にて、受信したC*を復号化し、ステップ(4)
にてその復号化結果のR2を新たなセッション鍵Ksとす
る。一方Ｘは、(a)で盗聴したR2を利用してこのセッシ
ョン鍵Ksを生成する。以上により、第３者Ｘは、新たな
セッションのセッション鍵KsをＡとの間で共有すること
ができる。

【００２９】なお、この攻撃は、第１及び第２の従来例
において、Ａ、Ｂ間で相互に相手を確認しつつ乱数R1、
R3よりセッション鍵Ksを生成するようにした場合におい
ても、成り立つことは明らかである。

【００３０】すなわち、従来例において、ｎビットブロ
ック暗号を利用し、乱数R1とR2を、それぞれ、ｎビット
とする場合等、R1、R2が独立に暗号化される場合には、
第３者Ｘによって、セッション鍵Ksが不正に共有されて
しまうという問題がある。

【００３１】本発明は、上述の従来の問題点に鑑み、２
者間で暗号通信に利用するセッション鍵を第３者に知ら
れることなく安全に共有できる方式を提供することを第
１の目的とする。

【００３２】また、従来例では、セッション鍵Ksを紛失
した場合に、それを復元するための機能や、犯罪者間で
暗号通信が利用された場合に、捜査機関が犯罪捜査のた
めに、セッション鍵Ksを獲得するための機能がなかっ
た。

【００３３】これを踏まえ、本発明の第２の目的は、セ
ッション鍵を紛失した場合や、犯罪捜査のために、暗号
通信に利用されるセッション鍵の復元が可能な方式を提
供することを第２の目的とする。

【００３４】

【課題を解決するための手段】この課題を解決するため
本発明は、２装置間で暗号通信または認証通信する際に
利用するセッション鍵を共有する方法であって、２装置
間で暗号通信または認証通信する際に、第１及び第２の
装置は、それぞれ、暗号化手段と復号化手段の両方、ま
たは、互いに別々の一方を備え、前記暗号化手段は、第
１の入力ブロックまたは第１の出力ブロックの少なくと
も一方と、第２の入力ブロックまたは第２の出力ブロッ
クの少なくとも一方とを連鎖させて、第１の入力ブロッ
クと第２の入力ブロックを暗号化して第１の出力ブロッ
クと第２の出力ブロックを生成するものであって、前記
復号化手段は、前記暗号化手段における連鎖に対応させ
て第１の入力ブロックまたは第１の出力ブロックの少な
くとも一方と、第２の入力ブロックまたは第２の出力ブ
ロックの少なくとも一方とを連鎖させて、第１の入力ブ
ロックと第２の入力ブロックを復号化して第１の出力ブ
ロックと第２の出力ブロックを生成するものであって、
前記第１及び第２の装置の間で、セッション鍵生成用の
乱数と認証用の乱数をそれぞれ第１の入力ブロック及び
第２の入力ブロックとして前記暗号化手段で暗号化して
送信し、暗号化されたセッション鍵生成用の乱数と認証
用の乱数をそれぞれ第１の入力ブロック及び第２の入力
ブロックとして前記復号化手段で復号化し、前記認証用
の乱数を利用して相手装置が正しく暗号化または復号化
しているかどうか検証し、前記セッション鍵生成用の乱
数を利用してセッション鍵を生成するものとする。

【００３５】また、第１及び第２の装置は、それぞれ、
前記暗号化手段と前記復号化手段を備え、前記第１の装
置は、生成した第１及び第２の乱数をそれぞれ第１の入
力ブロック及び第２の入力ブロックとして前記暗号化手
段で暗号化して、第１及び第２の暗号文を生成し、これ
らを第２の装置に送信し、前記第２の装置は、受信した
第１及び第２の暗号文をそれぞれ第１の入力ブロック及
び第２の入力ブロックとして前記復号化手段で復号化し
て前記第１及び第２の乱数を復元し、この第２の乱数を
第１の装置に送信し、前記第１の装置は、生成した第２
の乱数と、受信した第２の乱数が一致するか否かを検証
し、前記第２の装置は、生成した第３及び第４の乱数を
それぞれそれぞれ第１の入力ブロック及び第２の入力ブ
ロックとして前記暗号化手段で暗号化して、第３及び第
４の暗号文を生成し、これらを第１の装置に送信し、前
記第１の装置は、受信した第３及び第４の暗号文をそれ
ぞれ第１の入力ブロック及び第２の入力ブロックとして
前記復号化手段で復号化して、前記第３及び第４の乱数
を復元し、この第４の乱数を第２の装置に送信し、前記
第２の装置は、生成した第４の乱数と、受信した第４の
乱数が一致するか否かを検証し、前記第１及び第２の装
置は、それぞれ、前記検査が一致する場合、前記第１及
び前記第３の乱数よりセッション鍵を生成するものとす
る。

【００３６】また、前記暗号化手段は、第１の入力ブロ
ックを、あらかじめ決められた初期値、または、以前の
入力ブロック、または、以前の出力ブロック、または、
それらのいくつかと連鎖させて、暗号化して第１の出力
ブロックを生成し、第２の入力ブロックを、あらかじめ
決められた初期値、または、前記第１の入力ブロック、
または、前記第１の出力ブロック、または、それらのい
くつかと連鎖させて、暗号化して第２の出力ブロックを
生成し、前記復号化手段は、第１の入力ブロックを、あ
らかじめ決められた初期値、または、以前の入力ブロッ
ク、または、以前の出力ブロック、または、それらのい
くつかと連鎖させて、復号化して第１の出力ブロックを
生成し、第２の入力ブロックを、あらかじめ決められた
初期値、または、前記第１の入力ブロック、または、前
記第１の出力ブロック、または、それらのいくつかと連
鎖させて、復号化して第２の出力ブロックを生成するも
のとする。

【００３７】前記暗号化手段は、第１の入力ブロックを
第１の暗号方式で暗号化して第１の出力ブロックを生成
し、第２の入力ブロックを、第２の暗号方式で暗号化し
て第２の出力ブロックを生成し、前記復号化手段は、第
１の入力ブロックを第１の復号方式で復号化して第１の
出力ブロックを生成し、第２の入力ブロックを、第２の
復号方式で復号化して第２の出力ブロックを生成するも
のとする。

【００３８】また、前記暗号化手段及び復号化手段にお
いて利用する暗号方式E()、及び復号方式D()を、入力デ
ータRに対して、D(E(R))=E(D(R))を満たすものとし、前
記第１及び第２の装置間で、セッション鍵生成用の乱数
と認証用の乱数を前記復号化手段で復号化して送信し、
前記暗号化手段で、復号化されたセッション鍵生成用の
乱数と認証用の乱数を暗号化し、前記認証用の乱数を利
用して相手装置が正しく暗号化または復号化しているか
どうか検証し、前記セッション鍵生成用の乱数を利用し
てセッション鍵を生成するものとする。

【００３９】また、２装置間で共有されるセッション鍵
を第３の装置が共有する方法であって、第１及び第２の
装置が、請求項８、又は請求項９記載の鍵共有方法でセ
ッション鍵を共有する際に、前記第３の装置は、復号化
手段として、前記第１または第２の復号方式を備え、前
記第３の装置は、前記復号化手段にて、前記第１または
第２の暗号方式を用いて暗号化された第１または第２の
出力ブロックを入力として、前記セッション鍵生成用の
乱数を獲得し、このセッション鍵生成用の乱数を用いて
前記第１及び第２の装置間のセッション鍵を獲得するも
のとする。

【００４０】また、３以上の装置間で相互に暗号通信す
る際に、各２装置間毎に固有のセッション鍵を共有する
方法であって、前記各装置は、それぞれ、相手装置毎
に、暗号化手段及び復号化手段の両方、またはいずれか
一方を備え、前記各装置は、相手装置毎に、それぞれ、
前記相手装置毎の暗号化手段及び復号化手段を利用し
て、請求項１、または、請求項７、または請求項８記載
の方法でセッション鍵を共有するものとする。

【００４１】

【発明の実施の形態】以下に送信者Ａ及び受信者Ｂ間
で、暗号通信用のセッション鍵Ksを共有し、暗号通信す
る実施の形態について図面を利用しながら説明する。

【００４２】（実施の形態１） （構成）図１は、本実施の形態における送信者Ａ、及
び、受信者Ｂが利用する暗号通信装置の構成を示してい
る。

【００４３】図に示すように、暗号通信装置１は、記憶
手段１０、乱数生成手段２０、乱数検証手段３０、暗号
化手段４０、復号化手段５０、鍵生成手段６０、データ
暗号化手段７０、データ復号化手段８０よりなる。

【００４４】暗号化手段４０の詳細構成を図２に示す。
図２に示すように、暗号化手段４０は、暗号化関数E４
１と、排他的論理和演算器４２よりなり、暗号文を次の
入力に連鎖させる４３ように構成されている。そして、
第１の乱数R1は、初期値IVと排他的論理和値を求めた結
果を、第１の固有鍵S1で暗号化し、第２の乱数R2は、暗
号文C1と排他的論理和値を求めた結果を、第２の固有鍵
S2で暗号化するように構成されている。

【００４５】なお図２に示す連鎖のさせ方は暗号ブロッ
ク連鎖モードとしてJIS規格X-5052-1990で規定されてい
る。ただしこのJIS規格と異なって２つの鍵S1,S2を用い
て暗号化するように構成されている。

【００４６】復号化手段５０の詳細構成を図３に示す。
図３に示すように、復号化手段５０は、復号化関数D
５１と、排他的論理和演算器５２よりなり、暗号文を次
の出力に連鎖させる５３ように構成されている。そし
て、第１の暗号文C1は第１の固有鍵S1で復号化し、その
結果と初期値IVの排他的論理和値を求めることにより第
１の乱数R1を復元し、第２の暗号文C2は第２の固有鍵S2
で復号化し、その結果と第１の暗号文C1の排他的論理和
値を求めることにより第２の乱数R2を復元するように構
成されている。

【００４７】（動作）以下では、送信者Ａ及び受信者Ｂ
が、暗号通信用のセッション鍵Ksを共有しKsを用いて暗
号通信する場合の動作を図４を用いながら説明する。

【００４８】図４において装置A、及び、装置Bは、それ
ぞれ送信者Ａ、及び、受信者Ｂが利用する暗号通信装置
を示している。

【００４９】この装置A,Bの記憶手段は、送信者Ａ及び
受信者Ｂの間で、あらかじめ共有されている固有鍵S1,S
2と初期値IVを記憶しているものとする。このとき、以
下のステップで、暗号通信が行なわれる。

【００５０】＜鍵配送ステップ１（Ａ→Ｂ）＞ (1)装置Ａは、乱数生成手段にて、セッション鍵生成用
の乱数R1と認証用の乱数R2を生成し、暗号化手段にて、
このR1,R2を固有鍵S1,S2及び初期値IVを用いて暗号化し
て暗号文C1,C2 C1=E(S1,IV+R1) C2=E(S2,C1+R2) を生成し、装置Ｂに送信する。ここで、暗号文C1は、図
２に示すように、初期値IVと乱数R1の排他的論理和値を
固有鍵S1で暗号化したものであり、暗号文C2は暗号文C1
と乱数R2の排他的論理和値を固有鍵S2で暗号化したもの
である。

【００５１】(2)装置Ｂは、復号化手段にて、受信した
暗号文C1,C2を固有鍵S1,S2及び初期値IVを用いて復号化
して、復号文R1',R2' R1'=D(S1,C1)+IV R2'=D(S2,C2)+C1 を生成し、R2'を装置Ａに送信する。ここで、復号文R1'
は、図３に示すように、暗号文C1を固有鍵S1で復号化し
た結果と初期値IVの排他的論理和値として求められ、復
号文R2'は、暗号文C2を固有鍵S2で復号化した結果と暗
号文C1の排他的論理和値として求められる。

【００５２】(3)装置Ａは、乱数検証手段にて、(2)で受
信した乱数R2'と(1)で生成した乱数R2が一致するかどう
かを比較し、一致すれば、相手が装置Ｂであり、かつ、
Ｂとの間で乱数R1が第３者には秘密に共有されたと認識
する。

【００５３】＜鍵配送ステップ２（Ｂ→Ａ）＞ (4)装置Ｂは、乱数生成手段にて、セッション鍵生成用
の乱数R3と認証用の乱数R4を生成し、暗号化手段にて、
このR3,R4を固有鍵S1,S2及び初期値IVを用いて暗号化し
て暗号文C3,C4 C3=E(S1,IV+R3) C4=E(S2,C3+R4) を生成し、装置Ａに送信する。ここで、暗号文C3は、図
２に示すように、初期値IVと乱数R3の排他的論理和値を
固有鍵S1で暗号化したものであり、暗号文C4は暗号文C3
と乱数R4の排他的論理和値を固有鍵S2で暗号化したもの
である。

【００５４】(5)装置Ａは、復号化手段にて、受信した
暗号文C3,C4を固有鍵S1,S2及び初期値IVを用いて復号化
して、復号文R3',R4' R3'=D(S1,C3)+IV R4'=D(S2,C4)+C3 を生成し、R4'を装置Ｂに送信する。ここで、復号文R3'
は、図３に示すように、暗号文C3を固有鍵S1で復号化し
た結果と初期値IVの排他的論理和値として求められ、復
号文R4'は、暗号文C4を固有鍵S2で復号化した結果と暗
号文C3の排他的論理和値として求められる。

【００５５】(6)装置Ｂは、乱数検証手段にて、(4)で受
信した乱数R4'と(3)で生成した乱数R4が一致するかどう
かを比較し、一致すれば、相手が装置Ｂであり、かつ、
Ｂとの間で乱数R3が第３者には秘密に共有されたと認識
する。

【００５６】＜鍵共有ステップ＞ (7)装置Ａは、鍵生成手段にて、自らが生成した乱数R1
と、装置Ｂから配送された乱数R3'よりセッション鍵Ks
を生成し、装置Ｂは、鍵生成手段にて自らが生成した乱
数R3と、装置Ａから配送された乱数R1'よりセッション
鍵Ksを生成する。例えば、R1とR3の排他的論理和値をKs
とすることができる。

【００５７】＜データ暗号化ステップ＞ (8)装置Ａは、データ暗号化手段にて、生成されたセッ
ション鍵Ksを用いて、データを暗号化し、装置Ｂに送信
する。

【００５８】＜データ復号化ステップ＞ (9)装置Ｂは、データ復号化手段にて、生成されたセッ
ション鍵Ksを用いて、暗号化されたデータを復号化す
る。

【００５９】なお、ここで、暗号化E 及び復号化D の具
体的なアルゴリズムとしては、例えば米国標準暗号のDE
Sなどのアルゴリズムの公開されたブロック暗号方式を
利用することができる。またアルゴリズムが非公開のブ
ロック暗号方式を利用することも可能である。

【００６０】また、データの暗号化及びデータの復号化
には、任意の暗号方式を利用できる。また乱数の暗号化
及び復号化に利用する暗号と同一のアルゴリズムを利用
することもできる。

【００６１】以上の手順により、装置Ａは装置Ｂとの間
でセッション鍵Ksを共有し、さらにその共有鍵Ksを用い
てデータの暗号通信ができる。

【００６２】この第１の実施の形態では、従来例におけ
る安全性の課題は、次のように克服される。

【００６３】(a)第３者Ｘは、まずあるセッションにお
けるＡ、Ｂ間の送信データであるC1=E(S1,IV+R1)を盗聴
する。また初期値IVは何らかの方法で入手しているもの
とする。

【００６４】(b)Ｘは、次にＢに、別のセッションのス
テップ(1)としてC*=IV|| C1を送信する。

【００６５】（ここでxxxは任意のｎビットデータ）こ
のとき、Ｂはステップ(2)として、D(S2,C*)=D(S2,E(S1,
IV+R1))+IVを返信するが、この結果はR1に等しくならな
い（S1とS2が等しくないので、R1は復号されない。）。

【００６６】すなわち、第１の実施の形態では、従来例
のように第３者にセッション鍵が獲得されることはな
く、安全性が向上するという効果が得られる。

【００６７】なお、固有鍵が１つの場合、すなわちS1=S
2の場合でも、初期値IVが第３者に知られなければ同様
の効果が得られることは言うまでもない。

【００６８】また、セッション鍵生成用の乱数R1と認証
用の乱数R2の暗号化に、それぞれ別々の固有鍵S1及びS2
を用いる構成により、固有鍵S1,S2を、各々の要求され
るセキュリティレベルに応じて柔軟に設定できるという
効果が得られる。すなわち、例えば、セッション鍵生成
用の乱数R1の暗号化に利用する固有鍵S1は高い秘匿性が
要求されるので、64ビットにし、認証用の乱数R2は、第
３者が実時間でR1の正しい暗号文を作れなければ問題な
いので40ビットにする、等の柔軟な設定が可能となる。

【００６９】また、以上の実施の形態では、暗号化手段
および復号化手段において、２つの固有鍵を利用する場
合について説明したが、それぞれ、２つの暗号化方式お
よび復号化方式を利用することもできる。この場合、２
つの暗号化方式および復号化方式を各々の要求されるセ
キュリティレベルに応じて柔軟に設定できるという効果
が得られる。

【００７０】また、例えばDES暗号など、同じ処理を複
数回繰り返して暗号処理を行う暗号を利用している場合
は、例えばセッション鍵生成用の乱数R1の暗号化には32
段の暗号処理を行い、認証用の乱数R2の暗号化には16段
の暗号処理を行うというような構成をとってもよい(な
おDES暗号は通常16段である)。

【００７１】また、以上の実施の形態において、２つの
固有鍵を用いることで、従来例における第２の課題を克
服できる。すなわち、セッション鍵を紛失した場合や、
犯罪捜査に対応するため、第１の固有鍵S1のみを信頼の
おける機関に通知しておく。これにより、信頼のおける
機関は、暗号通信に利用されるセッション鍵の復元を可
能とすることができる。なお、第２の固有鍵S2は信頼の
おける機関に通知しないので、信頼のおける機関がAや
Ｂに成り済まして新たにセッション鍵を共有することは
できない。

【００７２】図５に第１の固有鍵S1による復号化のみが
可能な復号専用装置を示す。この復号装置を利用すれば
セッション鍵を紛失した場合や犯罪捜査のために、セッ
ション鍵生成用の乱数R1,R3を知ることができる。

【００７３】（実施の形態２） （構成）送信者Ａ、及び、受信者Ｂが利用する暗号通信
装置の構成、暗号化手段、及び、復号化手段の詳細構成
は実施の形態１の場合と同じであるので省略する。

【００７４】（動作）以下では、送信者Ａ及び受信者Ｂ
が、暗号通信用のセッション鍵Ksを共有し、Ksを用いて
暗号通信する場合の動作を図６を用いながら説明する。

【００７５】図６において、装置Ａ、及び、装置Ｂは、
それぞれ送信者Ａ、及び、受信者Ｂが利用する暗号通信
装置を示している。このとき、以下のステップで、暗号
通信が行なわれる。

【００７６】＜鍵配送ステップ１（Ａ→Ｂ）＞ (1)装置Ａは、乱数生成手段にて、相手確認用の乱数R2
を生成し、装置Ｂに送信する。

【００７７】(2)装置Ｂは、乱数生成手段にて、セッシ
ョン鍵生成用の乱数R1を生成し、暗号化手段にて、この
R1と受信したR2を固有鍵S1,S2及び初期値IVを用いて暗
号化して暗号文C1,C2 C1=E(S1,IV+R1) C2=E(S2,C1+R2) を生成し、装置Ａに送信する。ここで、暗号文C1は、図
２に示すように、初期値IVと乱数R1の排他的論理和値を
固有鍵S1で暗号化したものであり、暗号文C2は暗号文C1
と乱数R2の排他的論理和値を固有鍵S2で暗号化したもの
である。

【００７８】(3)装置Ａは、復号化手段にて、受信した
暗号文C1,C2を固有鍵S1,S2及び初期値IVを用いて復号化
して、復号文R1',R2' R1'=D(S1,C1)+IV R2'=D(S2,C2)+C1 を生成する。ここで、復号文R1'は、図３に示すよう
に、暗号文C1を固有鍵S1で復号化した結果と初期値IVの
排他的論理和値として求められ、復号文R2'は、暗号文C
2を固有鍵S2で復号化した結果と暗号文C1の排他的論理
和値として求められる。そして、乱数検証手段にて、
(3)で復号した乱数R2'と(1)で生成した乱数R2が一致す
るかどうかを比較し、一致すれば、相手が装置Ｂであ
り、かつ、Ｂとの間で乱数R1が第３者には秘密に共有さ
れたと認識する。

【００７９】＜鍵配送ステップ２（Ｂ→Ａ）＞ (4)装置Ｂは、乱数生成手段にて、相手確認用の乱数R4
を生成し、装置Ａに送信する。

【００８０】(5)装置Ａは、乱数生成手段にて、セッシ
ョン鍵生成用の乱数R3を生成し、暗号化手段にて、この
R3と受信したR4を固有鍵S1,S2及び初期値IVを用いて暗
号化して暗号文C3,C4 C3=E(S1,IV+R3) C4=E(S2,C3+R4) を生成し、装置Ｂに送信する。ここで、暗号文C3は、図
２に示すように、初期値IVと乱数R3の排他的論理和値を
固有鍵S1で暗号化したものであり、暗号文C4は暗号文C3
と乱数R4の排他的論理和値を固有鍵S2で暗号化したもの
である。

【００８１】(6)装置Ｂは、復号化手段にて、受信した
暗号文C3,C4を固有鍵S1,S2及び初期値IVを用いて復号化
して、復号文R3',R4' R3'=D(S1,C3)+IV R4'=D(S2,C4)+C3 を生成する。ここで、復号文R3'は、図３に示すよう
に、暗号文C3を固有鍵S1で復号化した結果と初期値IVの
排他的論理和値として求められ、復号文R4'は、暗号文C
4を固有鍵S2で復号化した結果と暗号文C3の排他的論理
和値として求められる。そして、乱数検証手段にて、
(3)で復号した乱数R4'と(1)で生成した乱数R4が一致す
るかどうかを比較し、一致すれば、相手が装置Ａであ
り、かつ、Ａとの間で乱数R3が第３者には秘密に共有さ
れたと認識する。

【００８２】＜鍵共有ステップ＞ (7)装置Ａは、鍵生成手段にて、自らが生成した乱数R3
と、装置Ｂから配送された乱数R1'よりセッション鍵Ks
を生成し、装置Ｂは、鍵生成手段にて自らが生成した乱
数R1と、装置Ａから配送された乱数R3'よりセッション
鍵Ksを生成する。例えば、R1とR3の排他的論理和値をKs
とすることができる。

【００８３】＜データ暗号化ステップ＞ (8)装置Ａは、データ暗号化手段にて、生成されたセッ
ション鍵を用いて、データを暗号化し、装置Ｂに送信す
る。

【００８４】＜データ復号化ステップ＞ (9)装置Ｂは、データ復号化手段にて、生成されたセッ
ション鍵を用いて、暗号化されたデータを復号化する。

【００８５】以上の手順により、装置Ａは装置Ｂとの間
でセッション鍵Ksを共有し、さらにその共有鍵Ksを用い
てデータの暗号通信ができる。

【００８６】以上の手順により、装置Ａは装置Ｂとの間
でセッション鍵Ksを共有し、さらにその共有鍵Ksを用い
てデータの暗号通信ができる。

【００８７】この第２の実施の形態では、第２の従来例
における課題は、次のように克服される。

【００８８】(a)Ｘは、まずあるセッションにおける
Ａ、Ｂ間の送信データであるC2=E(S2,C1+R2)、R2を盗聴
する。

【００８９】(b)Ｘは、次に別のセッションにおけるス
テップ(2)において、Ｂから送信されるC1"||C2" = E(S,
R1")||E(S,R2")のC1"を、C2に置き換えたC2||C2"=E(S2,
C1+R2)||E(S,R2")をＡに送信する。このとき、AはD(S1,
C2)=D(S1,E(S2,C1+R2))+C1を生成するがこの結果はR2に
等しくない(S1とS2が等しくないため、R1は復号されな
い)。

【００９０】すなわち、第２の実施の形態では、従来例
のように第３者にセッション鍵が獲得されることはな
く、安全性が向上するという効果が得られる。

【００９１】なお、固有鍵が１つの場合、すなわちS1=S
2の場合でも、初期値IVが第３者に知られなければ同様
の効果が得られることは言うまでもない。

【００９２】また、セッション鍵生成用の乱数R1と認証
用の乱数R2の暗号化に、それぞれ別々の固有鍵S1及びS2
を用いる構成により、固有鍵 S1,S2を、各々の要求され
るセキュリティレベルに応じて柔軟に設定できるという
効果が得られる。すなわち、例えば、セッション鍵生成
用の乱数R1の暗号化に利用する固有鍵S1は高い秘匿性が
要求されるので、64ビットにし、認証用の乱数R2は、第
３者が実時間でR1の正しい暗号文を作れなければ問題な
いので40ビットにする、等の柔軟な設定が可能となる。

【００９３】また、以上の実施の形態では、暗号化手段
および復号化手段において、２つの固有鍵を利用する場
合について説明したが、それぞれ、２つの暗号化方式お
よび復号化方式を利用することもできる。この場合、２
つの暗号化方式および復号化方式を各々の要求されるセ
キュリティレベルに応じて柔軟に設定できるという効果
が得られる。

【００９４】また、例えばDES暗号など、同じ処理を複
数回繰り返して暗号処理を行う暗号を利用している場合
は、例えばセッション鍵生成用の乱数R1の暗号化には32
段の暗号処理を行い、認証用の乱数R2の暗号化には16段
の暗号処理を行うというような構成をとってもよい(な
おDES暗号は通常16段である)。

【００９５】また、以上の実施の形態において、２つの
固有鍵を用いることで、従来例における第２の課題を克
服できる。すなわち、セッション鍵を紛失した場合や、
犯罪捜査に対応するため、第１の固有鍵S1のみを信頼の
おける機関に通知しておく。これにより、信頼のおける
機関は、暗号通信に利用されるセッション鍵の復元を可
能とすることができる。なお、第２の固有鍵S2は信頼の
おける機関に通知しないので、信頼のおける機関がAや
Ｂに成り済まして新たにセッション鍵を共有することは
できない。

【００９６】図５に第１の固有鍵S1による復号化のみが
可能な復号専用装置を示す。この復号装置を利用すれば
セッション鍵を紛失した場合や犯罪捜査のために、セッ
ション鍵生成用の乱数R1,R3を知ることができる。

【００９７】（実施の形態３） （構成）本実施の形態では、送信者Ａの利用する暗号通
信装置は、第１の実施の形態における暗号通信装置から
復号化手段を削除したものを利用し、受信者Ｂの利用す
る暗号通信装置は、第１の実施の形態における暗号通信
装置から復号化手段を削除したものを利用する。

【００９８】なお、暗号化手段、及び、復号化手段の詳
細構成は第１の実施の形態の場合と同じであるので省略
する。

【００９９】暗号化手段、及び復号化手段に利用する暗
号方式は、あるデータR、暗号化関数E()、復号化関数
D()とするとき、D(E(R))=E(D(R))となる暗号方式を利用
する。このような暗号方式としてはDES暗号などインボ
ルーション型暗号が利用できる。

【０１００】（動作）以下では、送信者Ａ及び受信者Ｂ
が、暗号通信用のセッション鍵Ksを共有し、Ksを用いて
暗号通信する場合の動作を図を用いながら説明する。

【０１０１】図７において、装置Ａ、及び、装置Ｂは、
それぞれ送信者Ａ、及び、受信者Ｂが利用する暗号通信
装置を示している。このとき、以下のステップで、暗号
通信が行なわれる。

【０１０２】＜鍵配送ステップ１（Ａ→Ｂ）＞鍵配送ス
テップ１は実施の形態１と同様で、以下の通りである。

【０１０３】(1)装置Ａは、乱数生成手段にて、セッシ
ョン鍵生成用の乱数R1と相手確認用の乱数R2を生成し、
暗号化手段にて、このR1,R2を固有鍵S1,S2及び初期値IV
を用いて暗号化して暗号文C1,C2 C1=E(S1,IV+R1) C2=E(S2,C1+R2) を生成し、装置Ｂに送信する。ここで、暗号文C1は、図
２に示すように、初期値IVと乱数R1の排他的論理和値を
固有鍵S1で暗号化したものであり、暗号文C2は暗号文C1
と乱数R2の排他的論理和値を固有鍵S2で暗号化したもの
である。

【０１０４】(2)装置Ｂは、復号化手段にて、受信した
暗号文C1,C2を固有鍵S1,S2及び初期値IVを用いて復号化
して、復号文R1',R2' R1'=D(S1,C1)+IV R2'=D(S2,C2)+C1 を生成し、R2'を装置Ａに送信する。ここで、復号文R1'
は、図３に示すように、暗号文C1を固有鍵S1で復号化し
た結果と初期値IVの排他的論理和値として求められ、復
号文R2'は、暗号文C2を固有鍵S2で復号化した結果と暗
号文C1の排他的論理和値として求められる。

【０１０５】(3)装置Ａは、乱数検証手段にて、(2)で受
信した乱数R2'と(1)で生成した乱数R2が一致するかどう
かを比較し、一致すれば、相手が装置Ｂであり、かつ、
Ｂとの間で乱数R1が第３者には秘密に共有されたと認識
する。

【０１０６】＜鍵配送ステップ２（Ｂ→Ａ）＞鍵配送ス
テップ２は実施の形態１と異なり、以下の通りである。

【０１０７】(4)装置Ｂは、乱数生成手段にて、セッシ
ョン鍵生成用の乱数R3と相手確認用の乱数R4を生成し、
復号化手段にて、このR3,R4を固有鍵S1,S2及び初期値IV
を用いて復号化して復号文C3,C4 C3=D(S1,R3)+IV C4=D(S2,R4)+C3 を生成し、装置Ａに送信する。ここで、復号文C3は、図
８に示すように、復号文C3は、乱数R3を固有鍵S1で復号
化した結果と初期値IVの排他的論理和値として求めら
れ、復号文C4は、乱数R4を固有鍵S2で復号化した結果と
復号文C3の排他的論理和値として求められる。

【０１０８】(5)装置Ａは、暗号化手段にて、受信した
復号文C3,C4を固有鍵S1,S2及び初期値IVを用いて暗号化
して、暗号文R3',R4' R3'=E(S1,IV+C3) R4'=E(S2,C3+C4) を生成し、R4'を装置Ｂに送信する。ここで、乱数R3'
は、図９に示すように、初期値IVと復号文C3の排他的論
理和値を固有鍵S1で暗号化したものであり、乱数R4'は
復号文C3と復号文C4の排他的論理和値を固有鍵S2で暗号
化したものである。

【０１０９】(6)装置Ｂは、乱数検証手段にて、(5)で受
信した乱数R2'と(4)で生成した乱数R2が一致するかどう
かを比較し、一致すれば、相手が装置Ｂであり、かつ、
Ｂとの間で乱数R1が第３者には秘密に共有されたと認識
する。

【０１１０】＜鍵共有ステップ＞ (7)装置Ａは、鍵生成手段にて、自らが生成した乱数R1
と、装置Ｂから配送された乱数R3'よりセッション鍵Ks
を生成し、装置Ｂは、鍵生成手段にて自らが生成した乱
数R3と、装置Ａから配送された乱数R1よりセッション鍵
Ksを生成する。例えば、R1とR3の排他的論理和値をKsと
することができる。

【０１１１】＜データ暗号化ステップ＞ (8)装置Ａは、データ暗号化手段にて、生成されたセッ
ション鍵を用いて、データを暗号化し、装置Ｂに送信す
る。

【０１１２】＜データ復号化ステップ＞ (9)装置Ｂは、データ復号化手段にて、生成されたセッ
ション鍵を用いて、暗号化されたデータを復号化する。

【０１１３】以上の手順により、装置Ａは装置Ｂとの間
でセッション鍵Ksを共有し、さらにその共有鍵Ksを用い
てデータの暗号通信ができる。

【０１１４】この第３の実施の形態では、従来例におけ
る課題は、次のように克服される。 (a)第３者Ｘは、まずあるセッションにおけるＡ、Ｂ間
の送信データであるC1=D(S1,IV+R3)を盗聴する。また初
期値IVは何らかの方法で入手しているものとする。

【０１１５】(b)Ｘは、次にＢに、別のセッションのス
テップ(4)としてC*=IV|| C3を送信する。

【０１１６】（ここでxxxは任意のｎビットデータ）こ
のとき、Aはステップ(5)として、E(S2,C*)=E(S2,D(S1,I
V+R3))+IVを返信するが、この結果はR1に等しくならな
い。（S1とS2が等しくないので、R1は復号されない）。

【０１１７】すなわち、第３の実施の形態では、従来例
のように第３者にセッション鍵が獲得されることはな
く、安全性が向上するという効果が得られる。なお、固
有鍵が１つの場合、すなわちS1=S2の場合でも、初期値I
Vが第３者に知られなければ同様の効果が得られること
は言うまでもない。

【０１１８】また、第３の実施の形態では、装置Aは復
号手段は不要であり、装置Ｂは暗号化手段は不要である
ので、第１及び第２の実施の形態に使用した各装置に比
較して低コストで双方向に相手を確認しつつセッション
鍵を共有できる。また、装置Aと装置Ｂは構成が異なる
ので、装置Aを装置Ｂの代用に（または装置Ｂを装置Aの
代用に）することはできない。したがって、第３の実施
の形態では、例えば、センターが装置Aを用いて、各端
末が装置Ｂを用いてセッション鍵を共有するような場
合、悪意のある端末が他の端末との間でセンターに成り
済ましてセッション鍵を共有することは、センターの使
用する装置Aを厳重に管理することにより不可能にな
り、安全性が向上する。

【０１１９】また、セッション鍵生成用の乱数R1と認証
用の乱数R2の暗号化に、それぞれ別々の固有鍵S1及びS2
を用いる構成により、固有鍵S1,S2を、各々の要求され
るセキュリティレベルに応じて柔軟に設定できるという
効果が得られる。すなわち、例えば、セッション鍵生成
用の乱数R1の暗号化に利用する固有鍵S1は高い秘匿性が
要求されるので、64ビットにし、認証用の乱数R2は、第
３者が実時間でR1の正しい暗号文を作れなければ問題な
いので40ビットにする、等の柔軟な設定が可能となる。

【０１２０】また、以上の実施の形態では、暗号化手段
および復号化手段において、２つの固有鍵を利用する場
合について説明したが、それぞれ、２つの暗号化方式お
よび復号化方式を利用することもできる。この場合、２
つの暗号化方式および復号化方式を各々の要求されるセ
キュリティレベルに応じて柔軟に設定できるという効果
が得られる。

【０１２１】また、例えばDES暗号など、同じ処理を複
数回繰り返して暗号処理を行う暗号を利用している場合
は、例えばセッション鍵生成用の乱数R1の暗号化には32
段の暗号処理を行い、認証用の乱数R2の暗号化には16段
の暗号処理を行うというような構成をとってもよい(な
おDES暗号は通常16段である)。

【０１２２】また、以上の実施の形態において、２つの
固有鍵を用いることで、従来例における第２の課題を克
服できる。

【０１２３】すなわち、セッション鍵を紛失した場合
や、犯罪捜査に対応するため、第１の固有鍵S1のみを信
頼のおける機関に通知しておく。これにより、信頼のお
ける機関は、暗号通信に利用されるセッション鍵の復元
を可能とすることができる。なお、第２の固有鍵S2は信
頼のおける機関に通知しないので、信頼のおける機関が
AやＢに成り済まして新たにセッション鍵を共有するこ
とはできない。

【０１２４】図５に第１の固有鍵S1による復号化のみが
可能な復号専用装置を示す。この復号装置を利用すれば
セッション鍵を紛失した場合や犯罪捜査のために、セッ
ション鍵生成用の乱数R1,R3を知ることができる。

【０１２５】以上、３つの実施の形態を示したが、本発
明は、以上の構成に限定されるものではなく、以下のよ
うな変形が可能である。

【０１２６】以上の実施の形態では、A、B間で相互に相
手を確認しつつセッション鍵を生成し、そのセッション
鍵を利用して暗号通信を行う方法を示したが、このセッ
ション鍵を利用して、相手認証やデータ認証などの認証
通信を行うことが可能である。

【０１２７】また、以上の実施の形態では、A、B間で相
互に相手を確認しつつセッション鍵を生成する場合につ
いて説明したが、いずれか一方だけが相手を確認してセ
ッション鍵を生成することもできる。

【０１２８】また、以上の実施の形態では、図２に示す
ように暗号化手段において、第１の出力ブロックを第２
の入力ブロックに連鎖し、図３に示すように復号化手段
において第１の入力ブロックを第２の出力ブロックに連
鎖するというJIS X5052で伊の規定された暗号ブロック
連鎖モードにしたがう構成をとったがこれに限定される
ものではなく、例えば、暗号化手段において、第１の入
力ブロックを第２の出力ブロックに連鎖し、復号化手段
において第１の出力ブロックを第２の入力ブロックに連
鎖するようにすることもできる。また暗号化手段および
復号化手段においてそれぞれ排他的論理和演算を利用し
たがそれに限定されるものではなく、一般に２入力c、
x、出力yとするとき、y=f(c,x),x=g(c,y)を満たす演算
f,gをそれぞれ暗号化手段、及び復号化手段に利用する
こともできる。

【０１２９】また、以上の実施の形態では、２装置間で
セッション鍵を共有する場合に限定したが、３装置以上
の任意の２装置間でそれぞれ固有のセッション鍵を共有
する場合にも利用できることはいうまでもない。この場
合、各２装置間であらかじめそれぞれに固有の鍵S1,S2
を共有している必要がある。

【０１３０】

【発明の効果】以上のように本発明によれば、セッショ
ン鍵生成用の乱数と認証用の乱数を連鎖させて暗号化す
る構成により、暗号通信に利用するセッション鍵を第３
者に知られることなく安全に共有できるという効果が得
られる。

【０１３１】また、セッション鍵生成用の乱数と認証用
の乱数をそれぞれ別々の暗号方式、または別々の固有鍵
で暗号化する構成により、各々の要求されるセキュリテ
ィレベルに応じて柔軟に設定できるという効果が得られ
る。

【０１３２】また、セッション鍵生成用の乱数と認証用
の乱数をそれぞれ別々の暗号方式、または別々の固有鍵
で暗号化し、暗号化されたセッション鍵生成用の乱数を
復号する装置により、セッション鍵を紛失した場合や、
犯罪捜査のために、暗号通信に利用されるセッション鍵
の復元が可能となる。

【０１３３】また、第３の実施の形態の構成により第１
及び第２の実施の形態に使用した暗号通信装置に比較し
て低コストで双方向に相手を確認しつつセッション鍵を
共有できる。また、装置Aと装置Ｂは構成が異なるの
で、一方の装置を厳重に管理することにより安全性が向
上する。

【図面の簡単な説明】

【図１】本発明における暗号装置の構成図

【図２】本発明の実施の形態１における暗号化手段の詳
細構成図

【図３】本発明の実施の形態１における暗号化手段の詳
細構成図

【図４】本発明の実施の形態１における動作説明図

【図５】捜査機関用の復号専用装置を示す図

【図６】本発明の実施の形態２における動作を示す図

【図７】本発明の実施の形態３における動作を示す図

【図８】本発明の実施の形態３における暗号化手段の詳
細構成図

【図９】本発明の実施の形態３における復号化手段の詳
細構成図

【符号の説明】

１ 暗号通信装置 １０ 記憶手段 ２０ 乱数生成手段 ３０ 乱数検証手段 ４０ 暗号化手段 ５０ 復号化手段 ６０ 鍵生成手段 ７０ データ暗号化手段 ８０ データ復号化手段 ４１ 暗号化関数 ４２ 排他的論理和演算器 ４３ 暗号文連鎖 ５１ 復号化関数 ５２ 排他的論理和演算器 ５３ 暗号文連鎖

───────────────────────────────────────────────────── フロントページの続き (72)発明者 丸山 征克 大阪府門真市大字門真1006番地 松下電器 産業株式会社内

Claims (15)

【特許請求の範囲】
1. 【請求項１】２装置間で暗号通信または認証通信する際
   に利用するセッション鍵を共有する方法であって、２装
   置間で暗号通信または認証通信する際に、 第１及び第２の装置は、それぞれ、暗号化手段と復号化
   手段の両方、または、互いに別々の一方を備え、 前記暗号化手段は、第１の入力ブロックまたは第１の出
   力ブロックの少なくとも一方と、第２の入力ブロックま
   たは第２の出力ブロックの少なくとも一方とを連鎖させ
   て、第１の入力ブロックと第２の入力ブロックを暗号化
   して第１の出力ブロックと第２の出力ブロックを生成す
   るものであって、 前記復号化手段は、前記暗号化手段における連鎖に対応
   させて第１の入力ブロックまたは第１の出力ブロックの
   少なくとも一方と、第２の入力ブロックまたは第２の出
   力ブロックの少なくとも一方とを連鎖させて、第１の入
   力ブロックと第２の入力ブロックを復号化して第１の出
   力ブロックと第２の出力ブロックを生成するものであっ
   て、 前記第１及び第２の装置の間で、セッション鍵生成用の
   乱数と認証用の乱数をそれぞれ第１の入力ブロック及び
   第２の入力ブロックとして前記暗号化手段で暗号化して
   送信し、暗号化されたセッション鍵生成用の乱数と認証
   用の乱数をそれぞれ第１の入力ブロック及び第２の入力
   ブロックとして前記復号化手段で復号化し、前記認証用
   の乱数を利用して相手装置が正しく暗号化または復号化
   しているかどうか検証し、前記セッション鍵生成用の乱
   数を利用してセッション鍵を生成することを特徴とする
   鍵共有方法。
2. 【請求項２】第１の装置は、前記暗号化手段を備え、第
   ２の装置は、前記復号化手段を備え、 前記第１の装置は、生成した第１及び第２の乱数をそれ
   ぞれ第１の入力ブロック及び第２の入力ブロックとして
   前記暗号化手段で暗号化して、第１及び第２の暗号文を
   生成し、これらを第２の装置に送信し、前記第２の装置
   は、受信した第１及び第２の暗号文をそれぞれ第１の入
   力ブロック及び第２の入力ブロックとして前記復号化手
   段で復号化して、前記第１及び第２の乱数を復元し、こ
   の第２の乱数を第１の装置に送信し、前記第１の装置
   は、生成した第２の乱数と、受信した第２の乱数が一致
   するか否かを検証し、一致する場合、前記第１の乱数よ
   りセッション鍵を生成し、前記第２の装置は、前記第１
   の乱数よりセッション鍵を生成することを特徴とする請
   求項１記載の鍵共有方法。
3. 【請求項３】第１の装置は、前記復号化手段を備え、第
   ２の装置は、前記暗号化手段を備え、 前記第１の装置は、生成した第２の乱数を第２の装置に
   送信し、前記第２の装置は、生成した第１の乱数と、受
   信した第２の乱数をそれぞれ第１の入力ブロック及び第
   ２の入力ブロックとして前記暗号化手段で暗号化して、
   第１及び第２の暗号文を生成し、これらを前記第１の装
   置に送信し、前記第１の装置は、受信した第１及び第２
   の暗号文をそれぞれ第１の入力ブロック及び第２の入力
   ブロックとして前記復号化手段で復号化して、前記第１
   及び第２の乱数を復元し、この第２の乱数と、生成した
   第２の乱数が一致するか否かを検証し、一致する場合、
   前記第１の乱数よりセッション鍵を生成し、前記第２の
   装置は、前記第１の乱数よりセッション鍵を生成するこ
   とを特徴とする請求項１記載の鍵共有方法。
4. 【請求項４】第１及び第２の装置は、それぞれ、前記暗
   号化手段と前記復号化手段を備え、前記第１の装置は、
   生成した第１及び第２の乱数をそれぞれ第１の入力ブロ
   ック及び第２の入力ブロックとして前記暗号化手段で暗
   号化して、第１及び第２の暗号文を生成し、これらを第
   ２の装置に送信し、前記第２の装置は、受信した第１及
   び第２の暗号文をそれぞれ第１の入力ブロック及び第２
   の入力ブロックとして前記復号化手段で復号化して前記
   第１及び第２の乱数を復元し、この第２の乱数を第１の
   装置に送信し、前記第１の装置は、生成した第２の乱数
   と、受信した第２の乱数が一致するか否かを検証し、 前記第２の装置は、生成した第３及び第４の乱数をそれ
   ぞれそれぞれ第１の入力ブロック及び第２の入力ブロッ
   クとして前記暗号化手段で暗号化して、第３及び第４の
   暗号文を生成し、これらを第１の装置に送信し、前記第
   １の装置は、受信した第３及び第４の暗号文をそれぞれ
   第１の入力ブロック及び第２の入力ブロックとして前記
   復号化手段で復号化して、前記第３及び第４の乱数を復
   元し、この第４の乱数を第２の装置に送信し、前記第２
   の装置は、生成した第４の乱数と、受信した第４の乱数
   が一致するか否かを検証し、前記第１及び第２の装置
   は、それぞれ、前記検査が一致する場合、前記第１及び
   前記第３の乱数よりセッション鍵を生成することを特徴
   とする請求項１記載の鍵共有方法。
5. 【請求項５】第１及び第２の装置は、それぞれ、前記暗
   号化手段と前記復号化手段を備え、 前記第１の装置は、生成した第２の乱数を第２の装置に
   送信し、前記第２の装置は、生成した第１の乱数と、受
   信した第２の乱数をそれぞれ第１の入力ブロック及び第
   ２の入力ブロックとして前記暗号化手段で暗号化して、
   第１及び第２の暗号文を生成し、これらを前記第１の装
   置に送信し、前記第１の装置は、受信した第１及び第２
   の暗号文をそれぞれ第１の入力ブロック及び第２の入力
   ブロックとして前記復号化手段で復号化して、前記第１
   及び第２の乱数を復元し、この第２の乱数と、生成した
   第２の乱数が一致するか否かを検証し、 前記第２の装置は、生成した第４の乱数を第１の装置に
   送信し、前記第１の装置は、生成した第３の乱数と、受
   信した第４の乱数をそれぞれ第１の入力ブロック及び第
   ２の入力ブロックとして前記暗号化手段で暗号化して、
   第３及び第４の暗号文を生成し、これらを前記第２の装
   置に送信し、前記第２の装置は、受信した第３及び第４
   の暗号文をそれぞれ第１の入力ブロック及び第２の入力
   ブロックとして前記復号化手段で復号化して、前記第３
   及び第４の乱数を復元し、この第４の乱数と、生成した
   第４の乱数が一致するか否かを検証し、 前記第１及び第２の装置は、それぞれ、前記検査が一致
   する場合、前記第１及び前記第３の乱数よりセッション
   鍵を生成することを特徴とする請求項１記載の鍵共有方
   法。
6. 【請求項６】前記暗号化手段は、第１の入力ブロック
   を、あらかじめ決められた初期値、または、以前の入力
   ブロック、または、以前の出力ブロック、または、それ
   らのいくつかと連鎖させて、暗号化して第１の出力ブロ
   ックを生成し、第２の入力ブロックを、あらかじめ決め
   られた初期値、または、前記第１の入力ブロック、また
   は、前記第１の出力ブロック、または、それらのいくつ
   かと連鎖させて、暗号化して第２の出力ブロックを生成
   し、 前記復号化手段は、第１の入力ブロックを、あらかじめ
   決められた初期値、または、以前の入力ブロック、また
   は、以前の出力ブロック、または、それらのいくつかと
   連鎖させて、復号化して第１の出力ブロックを生成し、
   第２の入力ブロックを、あらかじめ決められた初期値、
   または、前記第１の入力ブロック、または、前記第１の
   出力ブロック、または、それらのいくつかと連鎖させ
   て、復号化して第２の出力ブロックを生成することを特
   徴とする請求項１記載の鍵共有方法。
7. 【請求項７】前記暗号手段は、第１の入力ブロックと初
   期値または以前の出力ブロックとの排他的論理和値を暗
   号化し、その暗号化結果を第１の出力ブロックとし、第
   ２の入力ブロックと前記第１の出力ブロックとの排他的
   論理和値を暗号化し、その暗号化結果を第２の出力ブロ
   ックとし、 前記復号化手段は、第１の入力ブロックを復号化し、こ
   の復号化結果と前記初期値または以前の出力ブロックと
   の排他的論理和値を第１の出力ブロックとし、第２の入
   力ブロックを復号化し、この復号化結果と第１の入力ブ
   ロックとの排他的論理和値を第２の出力ブロックとする
   ことを特徴とする請求項６記載の鍵共有方法。
8. 【請求項８】前記暗号化手段は、第１の入力ブロックを
   第１の暗号方式で暗号化して第１の出力ブロックを生成
   し、第２の入力ブロックを、第２の暗号方式で暗号化し
   て第２の出力ブロックを生成し、 前記復号化手段は、第１の入力ブロックを第１の復号方
   式で復号化して第１の出力ブロックを生成し、第２の入
   力ブロックを、第２の復号方式で復号化して第２の出力
   ブロックを生成することを特徴とする請求項１記載の鍵
   共有方法。
9. 【請求項９】前記第１の暗号化方式を第１の固有鍵を用
   いた暗号方式とし、前記第２の暗号化方式を第２の固有
   鍵を用いた前記暗号方式とし、 前記第１の復号化方式を第１の固有鍵を用いた復号方式
   とし、前記第２の復号化方式を第２の固有鍵を用いた前
   記復号方式とすることを特徴とする請求項８記載の鍵共
   有方法。
10. 【請求項１０】第１及び第２の装置は、それぞれ、さら
    にデータ暗号化手段とデータ復号化手段の両方、また
    は、互いに別々の一方を備え、 第１及び第２の装置間で、請求項１記載の鍵共有方法に
    したがってセッション鍵を生成した後、第１の装置また
    は第２の装置は、前記データ暗号化手段で、前記セッシ
    ョン鍵を用いてデータを暗号化して送信し、第２の装置
    または第１の装置は、前記データ復号化手段で、受信し
    た暗号化されたデータを、前記セッション鍵を用いて暗
    号化されたデータを復号化することを特徴とする暗号通
    信方法。
11. 【請求項１１】前記暗号化手段及びデータ暗号化手段
    に、同一の暗号方式を用い、前記復号化手段及びデータ
    復号化手段に、同一の復号方式を用いることを特徴とす
    る請求項１０記載の暗号通信方法。
12. 【請求項１２】前記暗号化手段及び復号化手段において
    利用する暗号方式E()、及び復号方式D()を、入力データ
    Rに対して、D(E(R))=E(D(R))を満たすものとし、 前記第１及び第２の装置間で、セッション鍵生成用の乱
    数と認証用の乱数を前記復号化手段で復号化して送信
    し、前記暗号化手段で、復号化されたセッション鍵生成
    用の乱数と認証用の乱数を暗号化し、前記認証用の乱数
    を利用して相手装置が正しく暗号化または復号化してい
    るかどうか検証し、前記セッション鍵生成用の乱数を利
    用してセッション鍵を生成することを特徴とする請求項
    １記載の鍵共有方法。
13. 【請求項１３】前記暗号方式E()、及び復号方式D()とし
    て、特に米国標準暗号ＤＥＳなどのインボルーション型
    暗号を利用することを特徴とする請求項１２記載の鍵共
    有方法。
14. 【請求項１４】２装置間で共有されるセッション鍵を第
    ３の装置が共有する方法であって、 第１及び第２の装置が、請求項８または請求項９記載の
    鍵共有方法でセッション鍵を共有する際に、 前記第３の装置は、復号化手段として、前記第１または
    第２の復号方式を備え、前記第３の装置は、前記復号化
    手段にて、前記第１または第２の暗号方式を用いて暗号
    化された第１または第２の出力ブロックを入力として、
    前記セッション鍵生成用の乱数を獲得し、このセッショ
    ン鍵生成用の乱数を用いて前記第１及び第２の装置間の
    セッション鍵を獲得することを特徴とする鍵共有方法。
15. 【請求項１５】３以上の装置間で相互に暗号通信する際
    に、各２装置間毎に固有のセッション鍵を共有する方法
    であって、 前記各装置は、それぞれ、相手装置毎に、暗号化手段及
    び復号化手段の両方、またはいずれか一方を備え、 前記各装置は、相手装置毎に、それぞれ、前記相手装置
    毎の暗号化手段及び復号化手段を利用して、請求項１、
    ７または８記載の鍵共有方法でセッション鍵を共有する
    ことを特徴とする鍵共有方法。