JPH1013402A - 公開鍵暗号の秘密鍵管理方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 個人携帯デバイスを紛失したり破損したりし
た場合でも秘密鍵が再生でき、個人携帯デバイスにユー
ザの秘密鍵を入力する場合にも秘密鍵の書込み用に特別
な耐タンパ装置を必要としない公開鍵暗号の秘密鍵の管
理方法および装置を提供すること。 【解決手段】 秘密鍵を構成する部分秘密鍵であって、
各々は耐タンパ個人携帯デバイスのユーザと利害関係の
ある者により秘密に管理されている部分秘密鍵を、該耐
タンパ個人携帯デバイスのユーザと利害関係のある全て
の者から、各々別々に該耐タンパ個人携帯デバイスに入
力し、この入力された部分秘密鍵から、前記耐タンパ個
人携帯デバイス内で、秘密鍵を生成し、この生成された
秘密鍵を、前記耐タンパ個人携帯デバイス外への秘密鍵
の読み出しが不可である該耐タンパ個人携帯デバイス内
の格納領域に格納する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、個人が所有する個
人携帯デバイスで使用する公開鍵暗号の秘密鍵の管理方
法および装置に関する。

【０００２】

【従来の技術】ネットワークを利用して、音声・映像あ
よび実行プログラムのような著作権を有するディジタル
コンテンツを販売しようとする場合には、利用者認証お
よび配送確認のみならず必ずディジタルデータの不正コ
ピーが問題となる。

【０００３】利用者認証の問題を解決する方法として
は、ディジタル暗号の中の公開鍵暗号を利用する方法が
ある。

【０００４】ディジタル暗号アルゴリズムには、共通鍵
暗号アルゴリズム（秘密鍵暗号アルゴリズム）と公開鍵
暗号アルゴリズムがある。

【０００５】共通鍵暗号アルゴリズムは、高速演算が可
能であるが、暗号化鍵と復号鍵に同じ共通鍵を使用する
ことから、その共通鍵は通信する両者のみが秘密に保持
する必要がある。

【０００６】一方、公開鍵暗号アルゴリズムは、共通鍵
暗号アルゴリズムに比べて計算量が多いため高速処理に
は不向きであるが、暗号化鍵と復号鍵には異なる鍵を使
用するため、暗号化鍵を公開しておくことにより、共通
鍵暗号アルゴリズムの共通鍵のように鍵を秘密に配送す
る必要がなくなる。

【０００７】ところが、公開鍵暗号アルゴリズムでは、
暗号化鍵を公開することから、誰もが暗号文を生成する
ことができるので、暗号化されて送られてきた通信文等
を、誰が暗号化して送ってきたのかを証明することも必
要になる。そこで、考えられるようになったのが署名を
利用した相手認証である。

【０００８】相手認証機能を備えた公開鍵暗号アルゴリ
ズムの代表例としては、ＲＳＡ暗号がある。これは、暗
号通信に際して、暗号化するときには暗号化鍵を使用
し、復号するときには復号鍵を使用する。また、署名を
行うときには復号鍵を使用し、その署名を検証するとき
には暗号化鍵を使用する。

【０００９】一方、配送すべきディジタルデータを暗号
化するためには、公開鍵暗号ではなく共通鍵暗号がほと
んどの場合に使用される。その最大の理由は、非常に大
きなディジタルデータの暗号処理には、公開鍵暗号に比
べてはるかに高速な共通鍵暗号の方が適しているからで
ある。

【００１０】しかし、共通鍵暗号では、通信する両者が
共通の秘密鍵を所有していなければならない。そこで、
共通鍵暗号に使う共通の秘密鍵は、公開鍵暗号を利用し
て相手を認証して配送することが一般であるが、これだ
けでは正規の購入者による不正コピーは防ぐことが出来
ない。

【００１１】

【発明が解決しようとする課題】そこで、耐タンパ装置
で構成された個人が携帯可能なデバイスを用いて、その
装置の内部で公開鍵暗号に用いる鍵を生成し、秘密鍵は
そのデバイス内部でのみ使用出来るようにして、そのデ
バイス外には決して読み出せないようにする方法が提案
されている（特願平８−７２９４９）。

【００１２】しかし、この提案の運用上の問題点とし
て、個人が携帯するデバイスは、紛失したり、誤って破
損してしまったりすることが考えられるという点があ
る。この点に関しては、個人携帯デバイスにユーザの秘
密鍵を書込むための特別な耐タンパ装置を使用するとい
う提案（特願平７−１５５０３０、特願平７−１５９４
１４、特願平７−２０４６４２）があるが、従来は秘密
鍵を再生出来るようにするためには、このような秘密鍵
を生成し書込むための特別な耐タンパ装置が必要である
という問題点があった。

【００１３】そこで、本発明は、暗号化されたディジタ
ルデータを復号するための復号鍵を物理的に複製不可能
なように個人携帯デバイスに格納し、暗号化されたディ
ジタルデータを利用する度ごとにその個人携帯デバイス
内で復号処理を行うことにより、この個人携帯デバイス
を所持しているもののみがディジタルデータを利用出来
るようにした個人携帯デバイスにおいて、その個人携帯
デバイスを紛失したり破損したりした場合でも秘密鍵が
再生でき、その個人携帯デバイスにユーザの秘密鍵を入
力する場合にも秘密鍵の書込み用に特別な耐タンパ装置
を必要としない公開鍵暗号の秘密鍵の管理方法および装
置を提供することを目的をする。

【００１４】

【課題を解決するための手段】本発明は、公開鍵暗号の
秘密鍵を生成し管理する方法であって、（ａ）秘密鍵を
構成する部分秘密鍵であって、各々は耐タンパ個人携帯
デバイスのユーザと利害関係のある者により秘密に管理
されている部分秘密鍵を、該耐タンパ個人携帯デバイス
のユーザと利害関係のある全ての者から、各々別々に該
耐タンパ個人携帯デバイスに入力するステップと、
（ｂ）ステップ（ａ）で入力された部分秘密鍵から、前
記耐タンパ個人携帯デバイス内で、秘密鍵を生成するス
テップと（ｃ）ステップ（ｂ）で生成された秘密鍵を、
前記耐タンパ個人携帯デバイス外への秘密鍵の読み出し
が不可である該耐タンパ個人携帯デバイス内の格納領域
に格納するステップと、を有することを特徴とする公開
鍵暗号の秘密鍵管理方法を提供する。

【００１５】また、本発明は、上記方法において、更
に、（ｄ）ステップ（ｃ）で格納された秘密鍵を、前記
耐タンパ個人携帯デバイス内部のみにおいて復号処理と
署名処理に利用するステップを有することを特徴とす
る。

【００１６】また、本発明は、上記方法において、更
に、（ｅ）前記耐タンパ個人携帯デバイスの覆いの開封
を検出するステップと、（ｆ）ステップ（ｅ）で前記耐
タンパ個人携帯デバイスの覆いの開封が検出された時
に、秘密鍵を前記格納領域から消去するステップと、を
有することを特徴とする。

【００１７】また、本発明は、上記方法において、更
に、（ｇ）ステップ（ｅ）で前記耐タンパ個人携帯デバ
イスの覆いの開封が検出された時に、該耐タンパ個人携
帯デバイス内に実装された構成要素を破壊して該耐タン
パ個人携帯デバイスを使用不能にするステップを有する
ことを特徴とする。

【００１８】また、本発明は、上記方法において、更
に、（ｈ）前記耐タンパ個人携帯デバイス内の秘密鍵の
紛失による秘密鍵再生がユーザから要求された時に、前
記部分秘密鍵を該ユーザと利害関係のある全ての者か
ら、各々別々に該耐タンパ個人携帯デバイスに再度入力
するステップと、（ｉ）ステップ（ｈ）で入力された部
分秘密鍵から、前記耐タンパ個人携帯デバイス内で、秘
密鍵を再度生成するステップと、（ｊ）ステップ（ｉ）
で生成された秘密鍵を、前記格納領域に再度格納するス
テップと、を有することを特徴とする。

【００１９】また、本発明は、上記方法において、更
に、（ｋ）前記耐タンパ個人携帯デバイスの破損による
秘密鍵再生がユーザから要求された時に、前記部分秘密
鍵を該ユーザと利害関係のある全ての者から、各々別々
に新たな耐タンパ個人携帯デバイスに入力するステップ
と、（ｌ）ステップ（ｋ）で入力された部分秘密鍵か
ら、前記新たな耐タンパ個人携帯デバイス内で、秘密鍵
を生成するステップと、（ｍ）ステップ（ｌ）で生成さ
れた秘密鍵を、前記新たな耐タンパ個人携帯デバイス外
への秘密鍵の読み出しが不可である該新たな耐タンパ個
人携帯デバイス内の格納領域に格納するステップと、を
有することを特徴とする。

【００２０】また、本発明は、上記方法において、更
に、（ｎ）新たな秘密鍵を構成する新たな部分秘密鍵で
あって、各々は前記耐タンパ個人携帯デバイスのユーザ
と利害関係のある者により秘密に管理されている新たな
部分秘密鍵を、該耐タンパ個人携帯デバイスのユーザと
利害関係のある全ての者から、各々別々に該耐タンパ個
人携帯デバイスに入力するステップと、（ｏ）ステップ
（ｎ）で入力された新たな部分秘密鍵から、前記耐タン
パ個人携帯デバイス内で、新たな秘密鍵を生成するステ
ップと、（ｐ）ステップ（ｏ）で生成された新たな秘密
鍵を、元の秘密鍵に上書きして前記格納領域に格納する
ステップと、を有することを特徴とする。

【００２１】また、本発明は、上記方法において、更
に、前記格納領域に格納された秘密鍵により復号すべき
暗号化情報のバックアップを、秘密鍵再生が必要となる
前に作成するステップと、前記暗号化情報を前記バック
アップから前記耐タンパ個人携帯デバイスへ、秘密鍵が
再生された後にリストアするステップと、を有すること
を特徴とする。

【００２２】また、本発明は、上記方法において、更
に、秘密鍵再生および更新が必要となる前に、前記格納
領域に格納された元の秘密鍵により復号すべき暗号化情
報のバックアップを作成するステップと、秘密鍵が再生
された後で秘密鍵が更新される前に、前機暗号化情報を
前記バックアップから前記耐タンパ個人携帯デバイスへ
リストアするステップと、秘密鍵が再生された後で秘密
鍵が更新される前に、前記暗号化情報を再生された秘密
鍵を用いて前記耐タンパ個人携帯デバイス内で復号する
ステップと、秘密鍵が再生され更新された後に、該復号
するステップで復号された情報を更新された秘密鍵を用
いて前記耐タンパ個人携帯デバイス内で暗号化するステ
ップと、を有することを特徴とする。

【００２３】また、本発明は、上記方法において、更
に、（ｑ）二つの素数ｐおよびｑを生成し、（ｐ−１）
と（ｑ−１）の最小公倍数をＬとするステップと、
（ｒ）ｐとｑの積を公開鍵法ｎとし、Ｌより小さく且つ
Ｌと互いに素である正の整数を公開鍵指数ｅとするステ
ップと、（ｓ）前記耐タンパ個人携帯デバイスのユーザ
と利害関係のある者の総数をｋとして、各々別々に該耐
タンパ個人携帯デバイ各々がＬより小さく且つＬと互い
に素である（ｋ−１）個の正の整数を部分秘密鍵ｄ₁，
ｄ₂ ，----，ｄ_k-1 とするステップと、（ｔ）前記ステ
ップ（ｂ）が ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ） （mod ｎ） 但しｘはｎ未満の任意の正の整数、を満たす秘密鍵ｄを
生成するように、 ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ≡１ （mod Ｌ） を満たすユーザの部分秘密鍵ｄ₀ を生成するステップ
と、を有することを特徴とする。

【００２４】また、本発明は、上記方法において、更
に、ステップ（ｔ）で生成されたユーザの部分秘密鍵ｄ
₀ を一度だけ前記耐タンパ個人携帯デバイスから出力す
るステップを有することを特徴とする。

【００２５】また、本発明は、上記方法において、更
に、前記耐タンパ個人携帯デバイスのユーザと利害関係
のある全ての者に、乱数を配布するステップと、前記全
ての者の部分秘密鍵を用いて、前記乱数に順次署名する
ステップと、前記耐タンパ個人携帯デバイスのユーザと
利害関係のある者各々が、順次署名された乱数を公開鍵
を用いて検証し、該順次署名された乱数が無事検証され
た時に、秘密鍵が不正なく生成されたことを各々におい
て確信するステップと、を有することを特徴とする。

【００２６】また、本発明は、上記方法において、更
に、前記耐タンパ個人携帯デバイスのユーザと利害関係
のある全ての者に、秘密鍵再生要求を配布するステップ
と、前記全ての者の部分秘密鍵を用いて、前記秘密鍵再
生要求に順次署名するステップと、前記耐タンパ個人携
帯デバイスのユーザと利害関係のある者各々が、順次署
名された秘密鍵再生要求を公開鍵を用いて検証し、該順
次署名された秘密鍵再生要求が無事検証された時に、秘
密鍵再生許可を各々において発行するステップと、を有
することを特徴とする。

【００２７】さらに、本発明は、公開鍵暗号の秘密鍵を
生成し管理する耐タンパ個人携帯デバイスであって、秘
密鍵を構成する部分秘密鍵であって、各々は該耐タンパ
個人携帯デバイスのユーザと利害関係のある者により秘
密に管理されている部分秘密鍵を、該耐タンパ個人携帯
デバイスのユーザと利害関係のある全ての者から、各々
別々に該耐タンパ個人携帯デバイスに入力する第１の手
段と、第１の手段により入力された部分秘密鍵から、該
耐タンパ個人携帯デバイス内で、秘密鍵を生成する第２
の手段と、第２の手段により生成された秘密鍵を、該耐
タンパ個人携帯デバイス外への秘密鍵の読み出しが不可
である該耐タンパ個人携帯デバイス内の格納領域に格納
する第３の手段と、を有することを特徴とする耐タンパ
個人携帯デバイスを提供する。

【００２８】また、本発明は、上記デバイスにおいて、
更に、該耐タンパ個人携帯デバイス内部のみにおいて前
記格納領域に格納された秘密鍵を用いて復号処理と署名
処理を行うプロセッサを有することを特徴とする。

【００２９】また、本発明は、上記デバイスにおいて、
更に、該耐タンパ個人携帯デバイスの覆いの開封を検出
する開封検出手段と、前記開封検出手段により該耐タン
パ個人携帯デバイスの覆いの開封が検出された時に、秘
密鍵を前記格納領域から消去する手段と、を有すること
を特徴とする。

【００３０】また、本発明は、上記デバイスにおいて、
更に、前記開封検出手段により該耐タンパ個人携帯デバ
イスの覆いの開封が検出された時に、該耐タンパ個人携
帯デバイス内に実装された構成要素を破壊して該耐タン
パ個人携帯デバイスを使用不能にする手段を有すること
を特徴とする。

【００３１】また、本発明は、上記デバイスにおいて、
該耐タンパ個人携帯デバイス内の秘密鍵の紛失による秘
密鍵再生がユーザから要求された時に、前記第１の手段
は、前記部分秘密鍵を該ユーザと利害関係のある全ての
者から、各々別々に該耐タンパ個人携帯デバイスに再度
入力し、前記第２の手段は、前記第１の手段により入力
された部分秘密鍵から、該耐タンパ個人携帯デバイス内
で、秘密鍵を再度生成し、前記第３の手段は、前記第２
の手段により生成された秘密鍵を、前記格納領域に再度
格納することを特徴とする。

【００３２】また、本発明は、上記デバイスにおいて、
前記第１の手段は、新たな秘密鍵を構成する新たな部分
秘密鍵であって、各々は該耐タンパ個人携帯デバイスの
ユーザと利害関係のある者により秘密に管理されている
新たな部分秘密鍵を、該耐タンパ個人携帯デバイスのユ
ーザと利害関係のある全ての者から、各々別々に該耐タ
ンパ個人携帯デバイスに入力し、前記第２の手段は前記
第１の手段により入力された新たな部分秘密鍵から、該
耐タンパ個人携帯デバイス内で、新たな秘密鍵を生成
し、前記第３の手段は、前記第２の手段により生成され
た新たな秘密鍵を、元の秘密鍵に上書きして前記格納領
域に格納することを特徴とする。

【００３３】また、本発明は、上記デバイスにおいて、
更に、二つの素数ｐおよびｑを生成し、（ｐ−１）と
（ｑ−１）の最小公倍数をＬとする手段と、ｐとｑの積
を公開鍵法ｎとし、Ｌより小さく且つＬと互いに素であ
る正の整数を公開鍵指数ｅとする手段と、該耐タンパ個
人携帯デバイスのユーザと利害関係のある者の総数をｋ
として、各々別々に該耐タンパ個人携帯デバイ各々がＬ
より小さく且つＬと互いに素である（ｋ−１）個の正の
整数を部分秘密鍵ｄ₁ ，ｄ₂ ，----，ｄ_k-1 とする手段
と、前記第２の手段が ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ） （mod ｎ） 但しｘはｎ未満の任意の正の整数、を満たす秘密鍵ｄを
生成するように、 ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ≡１ （mod Ｌ） を満たすユーザの部分秘密鍵ｄ₀ を生成する手段と、を
有することを特徴とする。

【００３４】また、本発明は、上記デバイスにおいて、
更に、前記ユーザの部分秘密鍵ｄ₀を一度だけ該耐タン
パ個人携帯デバイスから出力する手段を有することを特
徴とする。

【００３５】さらに、本発明は公開鍵暗号を用いたディ
ジタルデータの取扱い方法であって、（ａ）ユーザ側
で、署名用の第１の公開鍵暗号の公開鍵と秘密鍵を生成
するステップと、（ｂ）第１の公開鍵暗号の公開鍵を証
明書発行センタに登録するステップと、（ｃ）証明書発
行センタの秘密鍵を使って第１の公開鍵暗号の公開鍵に
署名し、署名された公開鍵をユーザの証明書として公開
するステップと、（ｄ）著作権所有者側で、ディジタル
データ復号用の第２の公開鍵暗号の公開鍵と秘密鍵を生
成し、第２の公開鍵暗号の秘密鍵を耐タンパ個人携帯デ
バイス外への秘密鍵の読み出しが不可である該耐タンパ
個人携帯デバイス内の格納領域に格納するステップと、
（ｅ）前記耐タンパ個人携帯デバイスと第２の公開鍵暗
号の公開鍵をユーザ側に提供して、ユーザ側で第２の公
開鍵暗号の秘密鍵を用いた復号処理と第１の公開鍵暗号
の秘密鍵を用いた署名処理を前記耐タンパ個人携帯デバ
イス内部で行うことにより、著作権所有者側の提供する
ディジタルデータが利用可能となるようにするステップ
と、を有することを特徴とするディジタルデータの取扱
い方法を提供する。

【００３６】

【発明の実施の形態】以下、図面に従って本発明の実施
の形態を説明するが、ここでは公開鍵暗号アルゴリズム
のなかでも、暗号機能と認証機能を合わせ持っていて、
最も広く利用されているＲＳＡ暗号を用いて説明する。
なお、ＲＳＡ暗号の詳細については、社団法人電子情報
通信学会編、池野、小山共著「現代暗号理論」の「第６
章 ＲＳＡ公開鍵暗号」に詳述されている。

【００３７】（第１の実施形態）まず、本発明の第１の
実施形態について図１〜図５を参照して詳細に説明す
る。

【００３８】図１は、第１の実施形態におけるシステム
構成を示すもので、このシステムはユーザ端末５４上で
使用されるユーザ５６の個人携帯デバイス５５と、ユー
ザ端末５４にネットワーク５３を介して接続するサービ
ス提供者５２および個人携帯デバイス発行者５１を含ん
でいる。

【００３９】この図１の構成において、サービス提供者
５２が提供するサービスを受けようとするユーザ５６
は、自分の個人携帯デバイス５５をユーザ端末５４に挿
入し、このユーザ端末５４を操作することにより所望の
コンテンツがサービス提供者５２からネットワーク５３
を介してユーザ端末５４に配布されるようにする。

【００４０】ここで、個人携帯デバイス５５の鍵生成に
関与するものは一般に何名でも構わないが、以下では、
図１に示しているように、サービス提供者５２、ユーザ
５６、個人携帯デバイス発行者５１の３者が鍵生成に関
与する最もシンプルな場合を例として説明する。なお、
この第１の実施形態を実際に実施する際には、あるユー
ザがあるサービスを受けるときにこのユーザと金銭的な
利害関係にある（もしくはあるであろう）全てのエンテ
ィティが鍵生成に参加することが望ましい。

【００４１】この第１の実施形態では、個人携帯デバイ
ス５５を発行するときに、サービス提供者５２の管理者
や個人携帯デバイス５５の所有者を含めて誰にもその値
を知られることなく個人携帯デバイス５５で使用する公
開鍵暗号の秘密鍵を生成することが可能で、且つその秘
密鍵は唯一その個人携帯デバイス５５の内部のみにある
ことが証明可能である。

【００４２】さらに、たとえ個人携帯デバイス５５を紛
失したり破壊したりしても、個人携帯デバイス５５に格
納されるユーザの秘密鍵が再生可能である。

【００４３】図２は、この第１の実施形態における個人
携帯デバイス５５の詳細な構成を示す図である。

【００４４】図２の個人携帯デバイス５５は、耐タンパ
装置セクション５５Ａへの入力を提供するための公開鍵
指数初期値入力部５０１、部分秘密鍵初期値入力部５０
２、補正済み部分秘密鍵出力要求入力部５０３、平文・
暗号文・署名文入力部５０４を有する。

【００４５】また、図２の個人携帯デバイス５５は、耐
タンパ装置セクション５５Ａからの出力を提供するため
の公開鍵法出力部５９１、公開鍵指数出力部５９２、補
正済み部分秘密鍵出力部５９３、暗号処理結果出力部５
９４を有する。

【００４６】耐タンパ装置セクション５５Ａはその内部
をいかなる者も触れることが出来ないように覆われた耐
タンパ装置からなるものである。

【００４７】この耐タンパ装置セクション５５Ａは、公
開鍵指数初期値入力部５０１に接続された公開鍵指数初
期値記憶部５２１と、公開鍵指数初期値記憶部５２１に
接続された鍵生成パラメタ生成部５２２と、鍵生成パラ
メタ生成部５２２に接続された鍵生成パラメタ保存部５
２３と、鍵生成パラメタ保存部５２３および公開鍵指数
出力部５９２に接続された公開鍵指数格納部５２４とを
有する。

【００４８】また、この耐タンパ装置セクション５５Ａ
は、公開鍵指数初期値記憶部５２１に接続された鍵生成
許可判断部５１１と、鍵生成許可判断部５１１および鍵
生成パラメタ生成部５２２と接続された素数生成部５１
２と、素数生成部５１２に接続された公開鍵法生成部５
１３と、公開鍵法生成部５１３および公開鍵法出力部５
９１に接続された公開鍵法格納部５１４とを有する。

【００４９】また、この耐タンパ装置セクション５５Ａ
は、部分秘密鍵初期値入力部５０２に接続された部分秘
密鍵補正部５３１と、秘密鍵合成部５３２と、秘密鍵合
成部５３２に接続された秘密鍵格納部５３３とを有す
る。

【００５０】また、この耐タンパ装置セクション５５Ａ
は、補正済み部分秘密鍵出力要求入力部５０３に接続さ
れた最終部分秘密鍵出力要求チェック部５４１と、最終
部分秘密鍵出力要求入力部５４１、部分秘密鍵補正部５
３１、秘密鍵合成部５３２、鍵生成許可判断部５１１お
よび補正済み秘密鍵出力部５９３に接続された補正済み
部分秘密鍵記憶部５４２を有する。

【００５１】また、この耐タンパ装置セクション５５Ａ
は、平文・暗号文・署名文入力部５０４、公開鍵法格納
部５１４、秘密鍵格納部５３３および暗号処理結果出力
部５９４に接続された暗号処理部５５１と、開封検出部
５６１と、開封検出部５６１、補正済み部分秘密鍵記憶
部５４２および秘密鍵格納部５３３に接続された消去指
示部５６２とを有する。

【００５２】この図２の構成では、耐タンパ装置セクシ
ョン５５Ａの覆いを無理やり開けてこの耐タンパ装置セ
クション５５Ａ内に格納されているＲＳＡ暗号の秘密鍵
を読み出そうとすると、開封検出部５６１が開封を検出
し消去指示部５６２が起動されて、秘密鍵格納部５３３
に格納された秘密鍵を電気的に消去するので、たとえこ
の個人携帯デバイス５５の所有者であっても秘密鍵を読
み出すことは出来ない。また、秘密鍵を別の鍵に書き換
えられることを防ぐために、開封された時には耐タンパ
装置セクション５５Ａ内に使用されている半導体チップ
や基盤配線を破壊するように設計されている。このよう
な耐タンパ装置の例としては、S.H. Weingard, "Physic
al Security for the μASBYSS System", Proceedings
1987 IEEE Symposium on Security and Privacy, pp. 5
2-58, April 1987に開示されたものがある。

【００５３】次に、この第１の実施形態における鍵生成
の手順について説明する。

【００５４】まず、ＲＳＡ暗号に用いる公開鍵（公開鍵
指数ｅ、公開鍵法ｎ）および秘密鍵（秘密鍵指数ｄ）の
一般的な生成手順を簡単に説明する。

【００５５】通常、ＲＳＡ暗号の鍵は以下の（１）−
（５）のステップで生成される。

【００５６】（１）二つの素数ｐ，ｑを生成する。

【００５７】（２）生成した二つの素数ｐ，ｑの積を公
開鍵の公開鍵法ｎとする。

【００５８】（３）（ｐ−１）と（ｑ−１）の最小公倍
数をＬとする。

【００５９】（４）Ｌより小さく且つＬと互に素である
正の整数を選び、これを公開鍵の公開鍵指数ｅとする。

【００６０】（５）ｅ・ｄ≡１ （mod Ｌ）を満たす秘
密鍵の秘密鍵指数ｄを生成する。

【００６１】これに対し、この第１の実施形態では、秘
密鍵を部分秘密鍵に分割することが出来るということを
利用する。

【００６２】この第１の実施形態における鍵生成では、
上記のステップ（１）〜（４）まではそのままで、上記
のステップ（５）を次のステップ（５’）と（５”）に
置き換える。

【００６３】（５’）各々がＬより小さく且つＬと互い
に素である（ｋ−１）個の正の整数を選び、これらを秘
密パラメタｄ₁ ，ｄ₂ ，----，ｄ_k-1 とする。ここで、
ｋは必要な秘密パラメタの数、即ち、鍵生成に関与する
者の数である。

【００６４】（５”）ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ
_k-1 ≡１ （mod Ｌ）を満たす秘密パラメタｄ₀ を生成
し、 ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ） （mod ｎ） 但しｎは公開鍵法、ｘはｎ未満の任意の正の整数、を満
たす秘密鍵ｄを生成する。

【００６５】ここで、分割秘密パラメタｄ₀ ，ｄ₁ ，ｄ
₂ ，----，ｄ_k-1 は秘密鍵ｄを分割したものであると考
えると分かりやすい。また、ｄ_i 以外の全ての分割秘密
パラメタを知ったとしてもｄ_i を求めるには、ＲＳＡ暗
号を破るのと同等の計算能力が必要である。従って、分
割秘密パラメタｄ₀ ，ｄ₁ ，ｄ₂ ，----，ｄ_k-1 の全て
を入手しない限り秘密鍵ｄを推測するにはＲＳＡ暗号を
破るのと同等の計算能力が必要となる。この第１の実施
形態ではこの性質を有効利用する。なお、ＲＳＡ暗号の
秘密鍵に分割秘密パラメタを用いた同様のアルゴリズム
が C. Boyd, "Some Applications of Multiple Key Cip
hers", Advances in Cryptology - EUROCRYPT '88, pp.
455-467, Lecture Notes in Computer Science Vol. 3
30, Springer-Verlag, 1988 に開示されている。

【００６６】次に、この第１の実施形態における秘密鍵
生成の手順を、図１に示したｋ＝３の例について、図３
を参照して説明する。図３において、実線部分はネット
ワークを介して行う動作を、破線部分はネットワーク５
３を介さずに行う動作を各々示す。

【００６７】まず、個人携帯デバイス５５を発行する個
人携帯デバイス発行者５１が公開鍵指数初期値ｅ’と部
分秘密鍵ｄ₁ を個人携帯デバイス５５に入力する（図３
のステップ（１））。

【００６８】ここで、鍵生成許可判断部５１１は鍵生成
が許可されているかどうかを以下のように判断する。

【００６９】補正済み部分秘密鍵記憶部５４２の値が０
の時は、個人携帯デバイス５５が発行された直後で、ま
だ一度も秘密鍵を生成していない場合である。従って、
補正済み部分秘密鍵記憶部５４２の値が０のときには鍵
生成許可判断部５１１はＯＮ状態となり、鍵生成の次の
段階に遷移できる。

【００７０】個人携帯デバイス５５に既に秘密鍵が書込
まれている場合には、セキュリティ上の観点から、鍵生
成に関与するエンティティが現在個人携帯デバイス５５
に書込まれている秘密鍵を合成するために必要な部分秘
密鍵を知っている場合にのみ秘密鍵の更新ができるよう
にして、何者かが勝手に秘密鍵を更新出来ないようにす
る必要がある。

【００７１】従って、既に秘密鍵を生成している場合に
は、鍵生成に関与するエンティティが部分秘密鍵初期値
入力部５０２から現在有効な部分秘密鍵の初期値を全て
入力し、入力された各部分秘密鍵の初期値が鍵生成パラ
メタ保存部５２３に格納されている（ｐ−１）と（ｑ−
１）の最小公倍数Ｌと互いに素になるように部分秘密鍵
補正部５３１で補正される。そして、補正された部分秘
密鍵が補正済み部分秘密鍵記憶部５４２のものと全て等
しいとき、鍵生成許可判断部５１１がＯＮ状態になり、
それ以外の場合には鍵生成許可判断部５１１がＯＦＦ状
態になって秘密鍵の更新が出来ないようになっている。

【００７２】鍵生成許可判断部５１１がＯＮ状態のと
き、素数生成部５１２が新たに二つの素数ｐ，ｑを生成
し、次いで鍵生成パラメタ生成部５２２が（ｐ−１）と
（ｑ−１）の最小公倍数Ｌを生成する。この最小公倍数
Ｌを鍵生成パラメタ保存部５２３に保存すると共に、Ｌ
より小さく且つＬと互いに素である正の整数を公開鍵指
数初期値ｅ’を順次インクリメントして求め、これを公
開鍵指数ｅとして公開鍵指数格納部５２４に格納する。
この公開鍵指数ｅは公開可能であるので自由に読み出し
可能である。

【００７３】一方、公開鍵法生成部５１３が素数生成部
５１２で生成された二つの素数ｐ，ｑの積を生成し、こ
れを公開法ｎとして公開鍵法格納部５１４に格納する。
この公開鍵法ｎも公開可能であるので自由に読み出し可
能である。

【００７４】図３のステップ（１）では、個人携帯デバ
イス発行者５１は公開鍵指数初期値ｅ’を公開鍵指数初
期値入力部５０１において入力し、入力された公開鍵指
数初期値ｅ’は公開鍵指数初期値記憶部５２１に蓄積さ
れる。

【００７５】また、個人携帯デバイス発行者５１は乱数
から求められた部分秘密鍵初期値ｄ₁ ’を部分秘密鍵初
期値入力部５０２において入力する。入力された部分秘
密鍵初期値ｄ₁ ’は鍵生成パラメタ保存部５２３に格納
されたＬと互いに素になるように所定の規則に基づいて
部分秘密鍵補正部５３１で補正されて、部分秘密鍵ｄ1
が求められる。ここで、部分秘密鍵補正部５３１は同じ
ｅ，ｎ，ｄ₁ ’に対して常に同じｄ₁ が求められるよう
に動作する。この補正を実現する最も単純なやり方とし
ては、ｄ₁ ’を順次インクリメントしてｄ₁ を求めると
いうやり方がある。補正された部分秘密鍵ｄ₁ は補正済
み部分秘密鍵記憶部５４２に蓄積される。

【００７６】次に、個人携帯デバイス発行者５１は、個
人携帯デバイス５５をサービス提供者５２に送る。

【００７７】サービス提供者５２は同様に乱数から求め
られた部分秘密鍵初期値ｄ₂ ’を部分秘密鍵初期値入力
部５０２において入力する。そして、個人携帯デバイス
発行者５１の場合と同様に、入力された部分秘密鍵初期
値ｄ₂ ’は鍵生成パラメタ保存部５２３に格納されたＬ
と互いに素になるように所定の規則に基づいて部分秘密
鍵補正部５３１で補正されて、部分秘密鍵ｄ₂ が求めら
れる。補正された部分秘密鍵ｄ₂ は補正済み部分秘密鍵
記憶部５４２に蓄積される（図３のステップ（２））。

【００７８】次に、サービス提供者５２は、個人携帯デ
バイス５５をユーザ５６に送る。

【００７９】ユーザ５６が鍵生成指示を入力すると、個
人携帯デバイス５５内では ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ≡１ （mod Ｌ） を満たす部分秘密鍵ｄ₀ がｅ，ｄ₁ ，ｄ₂ から生成さ
れ、この部分秘密鍵ｄ₀ が補正済み部分秘密鍵記憶部５
４２に蓄積される。さらに、 ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ） （mod ｎ） 但しｎは公開鍵法、ｘはｎ未満の任意の正の整数、を満
たす秘密鍵ｄが秘密鍵合成部５３２で求められて秘密鍵
格納部５３３に格納される（図３のステップ（３））。

【００８０】この鍵生成後、ユーザ５６は部分秘密鍵ｄ
₀ の出力指示を補正済み部分秘密鍵出力要求入力部５０
３において入力し、これに応じて部分秘密鍵ｄ₀ が補正
済み部分秘密鍵記憶部５４２から補正済み部分秘密鍵出
力部５９３を介して出力される。ただし、部分秘密鍵ｄ
₀ の出力は最終部分秘密鍵出力要求チェック部５４１に
より１度限りに制限されている。秘密鍵格納部５３３内
に得られた秘密鍵ｄと補正済み部分秘密鍵記憶部５４２
内の補正済み部分秘密鍵は秘密情報として上述の通り開
封検出部５６１と消去指示部５６２によって厳重に管理
される一方で、ユーザ５６はｅ，ｎを公開する（図３の
ステップ（４））。

【００８１】次に、以上の鍵生成が不正なく行なわれた
かどうかを確かめるために、以下の確認作業を行なう。

【００８２】まず、ユーザ５６がチャレンジコードとし
て乱数ｒを生成する（図３のステップ（５））。そし
て、生成された乱数ｒに個人携帯デバイス５５内の秘密
鍵ｄと公開鍵法ｎを用いて署名処理を行い、Ｄ（ｒ）を
得る（図３のステップ（６））。また、ユーザ５６は部
分秘密鍵ｄ₀ と公開鍵法ｎを用いて、Ｄ₀ （ｒ）を得る
（図３のステップ（７））。そして、これらｒ，Ｄ
（ｒ），Ｄ₀ （ｒ）をサービス提供者５２と個人携帯デ
バイス発行者５１に送信する（図３のステップ（８）
（９））。ここで、これらｒ，Ｄ（ｒ），Ｄ₀ （ｒ）を
送信する通信路は必ずしも安全な通信路である必要はな
い。

【００８３】サービス提供者５２は、ユーザ５６から受
け取ったｒ，Ｄ（ｒ），Ｄ₀ （ｒ）とユーザ５６により
公開されているｎ，ｅを用いてＥ（Ｄ（ｒ））を計算
し、このＥ（Ｄ（ｒ））がｒと等しいかどうかチェック
する（図３のステップ（１０））。

【００８４】このＥ（Ｄ（ｒ））がｒに等しいときに
は、サービス提供者５２は鍵生成が不正なく行われたこ
とを確信できる。そして、サービス提供者５２は部分秘
密鍵ｄ₂ を用いてＤ₂ （Ｄ₀ （ｒ））を計算し（図３の
ステップ（１０））、このＤ₂（Ｄ₀ （ｒ））を個人携
帯デバイス発行者５１に送信する（図３のステップ（１
２））。

【００８５】一方、個人携帯デバイス発行者５１も、ユ
ーザ５６から受け取ったｒ，Ｄ（ｒ），Ｄ₀ （ｒ）とユ
ーザ５６により公開されているｎ，ｅを用いてＥ（Ｄ
（ｒ））を計算し、このＥ（Ｄ（ｒ））がｒと等しいか
どうかチェックする（図３のステップ（１１））。

【００８６】このＥ（Ｄ（ｒ））がｒに等しいときに
は、個人携帯デバイス発行者５１は鍵生成が不正なく行
われたことを確信できる。そして、個人携帯デバイス発
行者５１は部分秘密鍵ｄ₁ とサービス提供者５２から受
け取ったＤ₂ （Ｄ₀ （ｒ））とユーザ５６により公開さ
れているｅを用いてＥ（Ｄ₁ （Ｄ₂ （Ｄ₀ （ｒ））））
を計算し、このＥ（Ｄ₁ （Ｄ₂ （Ｄ₀ （ｒ））））がｒ
と等しいかどうかチェックする（図３のステップ（１
３））。

【００８７】このＥ（Ｄ₁ （Ｄ₂ （Ｄ₀ （ｒ））））が
ｒと等しいとき、これをもって個人携帯デバイス発行者
５１は他の全てのエンティティが鍵生成は不正なく行な
われたことを確信したことの証拠とできる。そして、個
人携帯デバイス発行者５１はＤ₁ （Ｄ₀ （ｒ）とＤ
₁ （ｒ）を計算して、これらＤ₁ （Ｄ₀ （ｒ）とＤ
₁ （ｒ）をサービス提供者５２に送信する（図３のステ
ップ（１４））。

【００８８】サービス提供者５２は、部分秘密鍵ｄ₂ と
個人携帯デバイス発行者５１から受け取ったＤ₁ （Ｄ₀
（ｒ））とユーザ５６により公開されているｅを用いて
Ｅ（Ｄ₂ （Ｄ₁ （Ｄ₀ （ｒ））））を計算し、このＥ
（Ｄ₂ （Ｄ₁ （Ｄ₀ （ｒ））））がｒと等しいかどうか
チェックする（図３のステップ（１５））。

【００８９】このＥ（Ｄ₂ （Ｄ₁ （Ｄ₀ （ｒ））））が
ｒと等しいとき、これをもってサービス提供者５２は他
の全てのエンティティが鍵生成は不正なく行なわれたこ
とを確信したことの証拠とできる。そして、サービス提
供者５２はＤ₂ （Ｄ₁ （ｒ））を計算して、このＤ₂
（Ｄ₁ （ｒ））をユーザ５６に送信する（図３のステッ
プ（１６））。

【００９０】ユーザ５６は、公開鍵指数ｅと部分秘密鍵
ｄ₀ とサービス提供者５２から受け取ったＤ₂ （Ｄ
₁ （ｒ））を用いてＥ（Ｄ₀ （Ｄ₂ （Ｄ₁ （ｒ））））
を計算し、このＥ（Ｄ₀ （Ｄ₂ （Ｄ₁ （ｒ））））がｒ
と等しいかどうかチェックする（図３のステップ（１
７））。

【００９１】このＥ（Ｄ₀ （Ｄ₂ （Ｄ₁ （ｒ））））が
ｒと等しいとき、これをもってユーザ５６は他の全ての
エンティティが鍵生成は不正なく行なわれたことを確信
したことの証拠とできる。

【００９２】以上の鍵生成と確認の手順が完了すると、
ユーザ５６はセキュリティを要するサービスを利用可能
となる。なお、万一の場合にそなえて、個人携帯デバイ
ス５５がサービス固有の秘密情報を格納しているときに
は、ユーザ５６は個人携帯デバイス５５内の公開鍵を用
いてその秘密情報を暗号化し、暗号化された秘密情報の
バックアップを作成する。この秘密情報のバックアップ
は個人携帯デバイス５５内でのみ復号可能であるので、
ユーザ５６はこの秘密情報のバックアップを個人携帯デ
バイス５５とは別に管理しておく。

【００９３】個人携帯デバイス５５を紛失したり盗まれ
たりした場合には、個人携帯デバイス５５の所有者がサ
ービスを受けられなくなるばかりが、他人に個人携帯デ
バイス５５を悪用される可能性もある。従って、この様
な場合には以前使用していた秘密鍵は廃止して、新たな
秘密鍵を使用することが望ましい。しかし、もし単純に
秘密鍵を変えてしまうと、今までにサービスを受けて蓄
積したデータが利用出来なくなってしまう。この点で、
サービスを受けた時にバックアップを作成しておけば、
このような場合に利用出来なくなるデータ量を最小限に
おさえることが可能である。

【００９４】次に、この第１の実施形態において、個人
携帯デバイス５５を紛失した場合に、個人携帯デバイス
５５を再発行する手順について説明する。なお、以下の
手順は個人携帯デバイス５５を落としたり踏みつけたり
して物理的に破壊した場合にも適用出来るものである。

【００９５】個人携帯デバイス５５を紛失したり破壊し
たりしたときには、秘密鍵と個人携帯デバイスの再発行
手順が図４のフローチャートに従って以下の通り行なわ
れる。

【００９６】まず、ユーザ５６は紛失・破壊してしまっ
たことを記述した「紛失・破壊による秘密鍵／個人携帯
デバイス再生依頼書」を電子情報として作成する。この
電子情報は、あらかじめ記載項目を決めておけば、ワー
プロ等で簡単に作成できる。以下では、この「紛失・破
壊による秘密鍵／個人携帯デバイス再生依頼書」をＦｏ
ｒｍと略す。

【００９７】次にユーザ５６は、ユーザ５６が秘密に所
有している部分秘密鍵ｄ₀ と公開鍵法ｎを用いてＦｏｒ
ｍに署名処理を行い、Ｄ₀ （Ｆｏｒｍ）を得る。この署
名処理時に、二進数表現でｎ＜Ｆｏｒｍのときには一回
の演算では署名は出来ないので、ハッシュ関数を利用し
てメッセージダイジェストを生成しそのメッセージダイ
ジェストに署名処理を行うか、Ｆｏｒｍを分割して得ら
れる各部に対して署名処理を行う。

【００９８】そして、ユーザ５６は得られた署名結果Ｄ
₀ （Ｆｏｒｍ）とＦｏｒｍそのものをサービス提供者５
２および個人携帯デバイス発行者５１に送付する（ステ
ップ６０１）。ここで、Ｄ₀ （Ｆｏｒｍ）とＦｏｒｍの
送付にはオンライン処理を利用することも可能である。

【００９９】つぎに、サービス提供者５２はユーザ５６
から受け取ったＦｏｒｍをチェックして、過去のサービ
ス利用履歴等からこのユーザ５６が不正を行なったこと
があるかを確かめ、個人携帯デバイス５５の再発行要求
は妥当であるかどうか判断する。個人携帯デバイス５５
の再発行が妥当であると判断された場合には、サービス
提供者５２は、サービス提供者５２が秘密に所有してい
る部分秘密鍵ｄ₂ と公開鍵法ｎを用いてユーザ５６から
受け取ったＤ₀ （Ｆｏｒｍ）に署名処理を行って、Ｄ₂
Ｄ₀ （Ｆｏｒｍ）を得る。そしてこの署名結果Ｄ₂ Ｄ₀
（Ｆｏｒｍ）を個人携帯デバイス発行者５１に送付する
（ステップ６０３）。

【０１００】一方、個人携帯デバイス発行者５１はユー
ザ５６から受け取ったＦｏｒｍをチェックして、個人携
帯デバイス５５の再発行要求は妥当であるかどうか判断
する。ここで、個人携帯デバイス５５を破壊した場合に
は、破壊された個人携帯デバイス５５も個人携帯デバイ
ス発行者５１に送付してもらう必要が有り得る。個人携
帯デバイス５５の再発行が妥当であると判断された場合
には、個人携帯デバイス発行者５１は、個人携帯デバイ
ス発行者５１が秘密に所有している部分秘密鍵ｄ₁ と公
開鍵法ｎを用いてユーザ５６から受け取ったＤ₀ （Ｆｏ
ｒｍ）に署名処理を行って、Ｄ₁ Ｄ₀ （Ｆｏｒｍ）を得
る。そしてこの署名結果Ｄ₁ Ｄ₀ （Ｆｏｒｍ）をサービ
ス提供者５２に送付する（ステップ６０２）。

【０１０１】つぎにサービス提供者５２は、個人携帯デ
バイス発行者５１から受け取ったＤ₁ Ｄ₀ （Ｆｏｒｍ）
に対して、サービス提供者５２が秘密に所有している部
分秘密鍵ｄ₂ と公開鍵（ｅ，ｎ）を用いて、Ｆ₂ ＝Ｅ
（Ｄ₂ （Ｄ₁ （Ｄ₀ （Ｆｏｒｍ））））を計算し（ス
テップ６０６）、このＦ₂ ＝Ｅ（Ｄ₂ （Ｄ₁ （Ｄ
₀（Ｆｏｒｍ））））がユーザ５６から受け取ったForｍ
と等しいかどうかを検証する（ステップ６０７）。この
検証が成功した場合には、サービス提供者５２から秘密
鍵再生許可が発行され（ステップ６１１）、そうでない
場合には、秘密鍵再生が中止される（ステップ６１
２）。

【０１０２】一方、個人携帯デバイス発行者５１は、サ
ービス提供者５２から受け取ったＤ₂ Ｄ₀ （Ｆｏｒｍ）
に対して、個人携帯デバイス発行者５１が秘密に所有し
ている部分秘密鍵ｄ₁ と公開鍵（ｅ，ｎ）を用いて、Ｆ
₁ ＝Ｅ（Ｄ₁ （Ｄ₂ （Ｄ₀ （Ｆｏｒｍ））））を計算し
（ステップ６０４）、このＦ₁ ＝Ｅ（Ｄ₁（Ｄ₂（Ｄ
₀（Ｆｏｒｍ））））がユーザ５６から受け取ったＦｏ
ｒｍと等しいかどうかを検証する（ステップ６０５）。
この検証が成功した場合には、個人携帯デバイス発行者
５１から秘密鍵再生許可が発行され（ステップ６０
８）、そうでない場合には、秘密鍵再生が中止される
（ステップ６０９）。

【０１０３】秘密鍵再生許可が個人携帯デバイス発行者
５１とサービス提供者５２の両方から得られた場合に
は、秘密鍵再生が許可され（ステップ６１３）、以降秘
密鍵再生と個人携帯デバイス再発行の手順が、新たに秘
密鍵を発行する場合と同様に行われる（ステップ６１
４）。

【０１０４】この秘密鍵と個人携帯デバイスの再発行手
順において、ユーザ５６の作成したＦｏｒｍが正しいこ
とは個人携帯デバイス発行者５１、サービス提供者５
２、ユーザ５６という鍵生成に関与した３者全員がこの
Ｆｏｒｍに署名することによってのみ検証可能である。
このため、この第１の実施形態においては、誰か、若し
くは誰かを除いた者同志が結託してＦｏｒｍを偽造しよ
うとしても、秘密鍵は再生できない。

【０１０５】従って、この第１の実施形態においては、
鍵生成の際に、金銭的に利害関係のあるエンティティの
全員が秘密パラメタを生成し、これら秘密パラメタを個
人携帯デバイス５５に書込むことで鍵生成を行うので誰
も個人携帯デバイス５５内で生成された秘密鍵を知るこ
とはできない。しかも、万一紛失や破壊により秘密鍵が
使用不可能になった場合には、金銭的に利害関係のある
エンティティの全員が秘密鍵の再生と個人携帯デバイス
の再発行を承認したときのみ秘密鍵が再生できるので、
このような場合であってもユーザ５６がそれまでに蓄積
した情報の全てを失うことはなくなる。

【０１０６】なお、個人携帯デバイス５５の紛失により
個人携帯デバイス５５を再発行する場合には、元の秘密
鍵を再生した後に、図５のフローチャートの手順に従っ
て、この再生した秘密鍵を失った秘密鍵とは異なる新た
な秘密鍵に替えることができる。

【０１０７】この場合、ユーザ５６は元の部分秘密鍵ｄ
₀ を再発行される個人携帯デバイス５５に入力し、個人
携帯デバイス発行者５１は元の部分秘密鍵ｄ₁ と新たな
秘密鍵ｄ_1NEWを再発行される個人携帯デバイス５５に入
力し、サービス提供者５２は元の部分秘密鍵ｄ₂ と新た
な秘密鍵ｄ_2NEWを再発行される個人携帯デバイス５５に
入力する（ステップ７００）。

【０１０８】そして、個人携帯デバイス発行者５１によ
り入力された元の部分秘密鍵ｄ₁ が再発行される個人携
帯デバイス５５内に格納されている再生された部分秘密
鍵ｄ₁ と等しいかどうかを検証し（ステップ７０１）、
また、サービス提供者５２により入力された元の部分秘
密鍵ｄ₂ が再発行される個人携帯デバイス５５内に格納
されている再生された部分秘密鍵ｄ₂ と等しいかどうか
を検証する（ステップ７０２）。これらステップ７０１
と７０２のどちらかの検証が失敗した場合には、新たな
秘密鍵の発行を中止する（ステップ７０７）。

【０１０９】これらステップ７０１と７０２の両方の検
証が成功した場合には、新たな部分秘密鍵ｄ_1NEWとｄ
_2NEWを使って新たな部分秘密鍵ｄ_0NEWと新たな公開鍵指
数ｅ_{NE W} を生成する（ステップ７０３）。

【０１１０】そして個人携帯デバイス５５内に蓄積され
ている秘密情報ＣａｒｄＩｎｆｏを新たな鍵で暗号化し
直してＥ_NEW （Ｄ₀ （Ｄ₂ （Ｄ₁ （Ｅ（ＣａｒｄＩｎｆ
ｏ）））））とする（ステップ７０４）。

【０１１１】そして新たな部分秘密鍵ｄ₀ をユーザ５６
に出力する（ステップ７０５）一方、元の部分秘密鍵ｄ
₀ 、ｄ₁ 、ｄ₂ を破棄する（ステップ７０６）。

【０１１２】以上のようにして生成または再生したＲＳ
Ａ暗号の秘密鍵は、個人携帯デバイス５５の所有者のみ
がこの秘密鍵を使用できることを誰にでも納得させるこ
とができ、且つこの秘密鍵の値そのものは個人携帯デバ
イス５５の所有者も含めて誰も知ることができないこと
を誰にでも納得させることができる。

【０１１３】つまり、この第１の実施形態によると、本
人の確認のために相手認証機能を利用でき、ディジタル
著作権情報を購入した本人でさえ不正なコピーをするこ
とができない。しかも、個人携帯デバイスを誤って紛失
したり破壊したりしたときでも、以前に個人携帯デバイ
ス５５で使用していたのと同一の秘密鍵を、秘密鍵を個
人携帯デバイスに書込むための特別な装置を用いること
なく再生することが可能である。

【０１１４】なお、実際の実施においては、個人携帯デ
バイス５５は規格化されたＩＣカードやＰＣカード（Ｐ
ＣＭＣＩＡ）を用いて容易に実現できる。

【０１１５】また、受信側で実際に復号したコンテンツ
を利用する方法としては、特願平６−２９８７０２や特
願平６−２９９９４０に開示される方法が利用可能であ
る。

【０１１６】（第２の実施形態）次に、本発明の第２の
実施形態について図６と図７を参照して詳細に説明す
る。

【０１１７】この第２の実施形態では、署名用の秘密鍵
を図６のフローチャートの手順で以下のように生成し、
管理する。

【０１１８】まず、ユーザ自身が公開鍵暗号の鍵生成を
行い（ステップ８１１）、生成した秘密鍵はユーザ本人
の責任で厳重に保管する（ステップ８１２）。

【０１１９】一方、公開鍵はこのユーザと金銭的な利害
関係にある全てのエンティティから信頼されている証明
書発行センタに送付し、この証明書発行センタに登録す
る（ステップ８１３）。

【０１２０】証明書発行センタでは、ユーザから送付さ
れた公開鍵を受け取ると（ステップ８１４）、ユーザの
公開鍵に対して証明書発行センタの秘密鍵を用いて署名
を行う（ステップ８１５）。そして、この署名した公開
鍵をユーザの証明書として公開する（ステップ８１
６）。

【０１２１】これにより、ユーザ本人のみが唯一秘密鍵
を用いて署名を行う能力があることを証明できるように
なり、また、この秘密鍵を用いて署名された署名につい
てユーザが他人に責任を擦りつけて自身の責任を逃れる
ことは出来なくなる。

【０１２２】次に、購入したディジタル情報を不正にコ
ピーされることなく、ユーザがディジタル情報を利用出
来るようにするため、購入したディジタル情報を復号す
るための公開鍵暗号の秘密鍵を図７のフローチャートの
手順で以下のように生成し、管理する。ここで、復号用
の公開鍵暗号は上述の署名用の公開鍵暗号とは別に提供
されるものである。

【０１２３】まず、ディジタル情報を復号するための公
開鍵暗号の鍵生成をこのディジタル情報の著作権所有者
側で行い（ステップ８２１）、生成した秘密鍵を個人携
帯デバイス内に厳重に保管して、この復号用の秘密鍵は
個人携帯デバイス内部でのみ使用可能で外部には読み出
せないようにする（ステップ８２２）。

【０１２４】そして、この復号用の秘密鍵を格納した個
人携帯デバイスと公開鍵をユーザに送付する（ステップ
８２３）。

【０１２５】ユーザ側では、この復号用の秘密鍵を格納
した個人携帯デバイスと公開鍵を受け取ると（ステップ
８２４）、ユーザは購入したディジタル情報を個人携帯
デバイスの内部で格納されている秘密鍵を用いて復号す
ることが可能となる。

【０１２６】この図７の手順では、著作権所有者がディ
ジタル情報の復号にだけ使用する公開鍵暗号の秘密鍵を
生成し、個人携帯デバイス内部にこの復号用の秘密鍵を
閉じ込めてしまうので、著作権所有者のみが暗号化され
たディジタル情報をコピーすることが可能であり、従っ
てディジタル著作権情報の不正なコピーを防止すること
が出来る。

【０１２７】このように署名用と復号用に２種類の異な
る公開鍵暗号を用いることにより、この第２の実施形態
では、ネットワーク上でディジタル情報を商品として取
り扱う場合に、支払い意志を表明したものはユーザのみ
であることが証明でき、且つ、ユーザが情報提供者に無
断でディジタル情報をコピー出来ないことが証明できる
ようになる。

【０１２８】なお、この第２の実施形態では、復号用の
公開鍵暗号の秘密鍵と署名用の公開鍵暗号の秘密鍵は同
一の個人携帯デバイスに格納しても良いし、別々のデバ
イスに格納しても良い。

【０１２９】

【発明の効果】以上説明したように、本発明によると、
誰もが知ってはならない公開鍵暗号の秘密鍵をユーザの
みが使用できることを証明可能な個人用の秘密鍵とし
て、特別な秘密鍵書込み専用装置を用いることなく個人
携帯デバイス内で生成することができる。しかも、個人
携帯デバイスを誤って紛失したり破壊したりしても、以
前の個人携帯デバイスと同一の秘密鍵を再生することが
できる。

【０１３０】この個人携帯デバイスを使用することによ
り、ネットワーク上でディジタル情報を商品として取り
扱う場合に、支払い意志を表明したものはユーザのみで
あることが証明でき、且つ、ユーザが情報提供者に無断
でディジタル情報をコピー出来ないことが証明できるよ
うになる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態におけるシステムの概
略構成を示す図である。

【図２】本発明の第１の実施形態における個人携帯デバ
イスのブロック図である。

【図３】本発明の第１の実施形態における鍵生成の手順
を説明する図である。

【図４】本発明の第１の実施形態における秘密鍵と個人
携帯デバイスの再発行の手順を示すフローチャートであ
る。

【図５】本発明の第１の実施形態における秘密鍵の更新
の手順を示すフローチャートである。

【図６】本発明の第２の実施形態における署名用の秘密
鍵の生成、管理の手順を示すフローチャートである。

【図７】本発明の第２の実施形態における復号用の秘密
鍵の生成、管理の手順を示すフローチャートである。

【符号の説明】

５１ 個人携帯デバイス発行者 ５２ サービス提供者 ５３ ネットワーク ５４ ユーザ端末 ５５ 個人携帯デバイス ５５Ａ 耐タンパ装置セクション ５６ ユーザ ５０１ 公開鍵指数初期値入力部 ５０２ 部分秘密鍵初期値入力部 ５０３ 補正済み部分秘密鍵出力要求入力部 ５０４ 平文・暗号文・署名文入力部 ５１１ 鍵生成許可判断部 ５１２ 素数生成部 ５１３ 公開鍵法生成部 ５１４ 公開鍵法格納部 ５２１ 公開鍵指数初期値記憶部 ５２２ 鍵生成パラメタ生成部 ５２３ 鍵生成パラメタ保存部 ５２４ 公開鍵指数格納部 ５３１ 部分秘密鍵補正部 ５３２ 秘密鍵合成部 ５３３ 秘密鍵格納部 ５４１ 最終部分秘密鍵出力要求チェック部 ５４２ 補正済み部分秘密鍵記憶部 ５５１ 暗号処理部 ５６１ 開封検出部 ５６２ 消去指示部 ５９１ 公開鍵法出力部 ５９２ 公開鍵指数出力部 ５９３ 補正済み部分秘密鍵出力部 ５９４ 暗号処理結果出力部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/00 ６０１Ｆ

Claims (22)

【特許請求の範囲】
1. 【請求項１】 公開鍵暗号の秘密鍵を生成し管理する方
   法であって、（ａ）秘密鍵を構成する部分秘密鍵であっ
   て、各々は耐タンパ個人携帯デバイスのユーザと利害関
   係のある者により秘密に管理されている部分秘密鍵を、
   該耐タンパ個人携帯デバイスのユーザと利害関係のある
   全ての者から、各々別々に該耐タンパ個人携帯デバイス
   に入力するステップと、（ｂ）ステップ（ａ）で入力さ
   れた部分秘密鍵から、前記耐タンパ個人携帯デバイス内
   で、秘密鍵を生成するステップと、（ｃ）ステップ
   （ｂ）で生成された秘密鍵を、前記耐タンパ個人携帯デ
   バイス外への秘密鍵の読み出しが不可である該耐タンパ
   個人携帯デバイス内の格納領域に格納するステップと、
   を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
2. 【請求項２】 請求項１記載の方法において、更に、
   （ｄ）ステップ（ｃ）で格納された秘密鍵を、前記耐タ
   ンパ個人携帯デバイス内部のみにおいて復号処理と署名
   処理に利用するステップを有することを特徴とする公開
   鍵暗号の秘密鍵管理方法。
3. 【請求項３】 請求項１記載の方法において、更に、
   （ｅ）前記耐タンパ個人携帯デバイスの覆いの開封を検
   出するステップと、（ｆ）ステップ（ｅ）で前記耐タン
   パ個人携帯デバイスの覆いの開封が検出された時に、秘
   密鍵を前記格納領域から消去するステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
4. 【請求項４】 請求項３記載の方法において、更に、
   （ｇ）ステップ（ｅ）で前記耐タンパ個人携帯デバイス
   の覆いの開封が検出された時に、該耐タンパ個人携帯デ
   バイス内に実装された構成要素を破壊して該耐タンパ個
   人携帯デバイスを使用不能にするステップを有すること
   を特徴とする公開鍵暗号の秘密鍵管理方法。
5. 【請求項５】 請求項１記載の方法において、更に、
   （ｈ）前記耐タンパ個人携帯デバイス内の秘密鍵の紛失
   による秘密鍵再生がユーザから要求された時に、前記部
   分秘密鍵を該ユーザと利害関係のある全ての者から、各
   々別々に該耐タンパ個人携帯デバイスに再度入力するス
   テップと、（ｉ）ステップ（ｈ）で入力された部分秘密
   鍵から、前記耐タンパ個人携帯デバイス内で、秘密鍵を
   再度生成するステップと、（ｊ）ステップ（ｉ）で生成
   された秘密鍵を、前記格納領域に再度格納するステップ
   と、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
6. 【請求項６】 請求項１記載の方法において、更に、
   （ｋ）前記耐タンパ個人携帯デバイスの破損による秘密
   鍵再生がユーザから要求された時に、前記部分秘密鍵を
   該ユーザと利害関係のある全ての者から、各々別々に新
   たな耐タンパ個人携帯デバイスに入力するステップと、
   （ｌ）ステップ（ｋ）で入力された部分秘密鍵から、前
   記新たな耐タンパ個人携帯デバイス内で、秘密鍵を生成
   するステップと、（ｍ）ステップ（ｌ）で生成された秘
   密鍵を、前記新たな耐タンパ個人携帯デバイス外への秘
   密鍵の読み出しが不可である該新たな耐タンパ個人携帯
   デバイス内の格納領域に格納するステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
7. 【請求項７】 請求項１記載の方法において、更に、
   （ｎ）新たな秘密鍵を構成する新たな部分秘密鍵であっ
   て、各々は前記耐タンパ個人携帯デバイスのユーザと利
   害関係のある者により秘密に管理されている新たな部分
   秘密鍵を、該耐タンパ個人携帯デバイスのユーザと利害
   関係のある全ての者から、各々別々に該耐タンパ個人携
   帯デバイスに入力するステップと、（ｏ）ステップ
   （ｎ）で入力された新たな部分秘密鍵から、前記耐タン
   パ個人携帯デバイス内で、新たな秘密鍵を生成するステ
   ップと、（ｐ）ステップ（ｏ）で生成された新たな秘密
   鍵を、元の秘密鍵に上書きして前記格納領域に格納する
   ステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
8. 【請求項８】 請求項１記載の方法において、更に、 前記格納領域に格納された秘密鍵により復号すべき暗号
   化情報のバックアップを、秘密鍵再生が必要となる前に
   作成するステップと、 前機暗号化情報を前記バックアップから前記耐タンパ個
   人携帯デバイスへ、秘密鍵が再生された後にリストアす
   るステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
9. 【請求項９】 請求項１記載の方法において、更に、 秘密鍵再生および更新が必要となる前に、前記格納領域
   に格納された元の秘密鍵により復号すべき暗号化情報の
   バックアップを作成するステップと、 秘密鍵が再生された後で秘密鍵が更新される前に、前記
   暗号化情報を前記バックアップから前記耐タンパ個人携
   帯デバイスへリストアするステップと、 秘密鍵が再生された後で秘密鍵が更新される前に、前記
   暗号化情報を再生された秘密鍵を用いて前記耐タンパ個
   人携帯デバイス内で復号するステップと、 秘密鍵が再生され更新された後に、該復号するステップ
   で復号された情報を更新された秘密鍵を用いて前記耐タ
   ンパ個人携帯デバイス内で暗号化するステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
   法。
10. 【請求項１０】 請求項１記載の方法において、更に、
    （ｑ）二つの素数ｐおよびｑを生成し、（ｐ−１）と
    （ｑ−１）の最小公倍数をＬとするステップと、（ｒ）
    ｐとｑの積を公開鍵法ｎとし、Ｌより小さく且つＬと互
    いに素である正の整数を公開鍵指数ｅとするステップ
    と、（ｓ）前記耐タンパ個人携帯デバイスのユーザと利
    害関係のある者の総数をｋとして、各々別々に該耐タン
    パ個人携帯デバイ各々がＬより小さく且つＬと互いに素
    である（ｋ−１）個の正の整数を部分秘密鍵ｄ₁，ｄ₂，
    ----，ｄ_k-1 とするステップと、（ｔ）前記ステップ
    （ｂ）が ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ） （mod ｎ） 但しｘはｎ未満の任意の正の整数、を満たす秘密鍵ｄを
    生成するように、 ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ≡１ （mod Ｌ） を満たすユーザの部分秘密鍵ｄ₀ を生成するステップ
    と、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
    法。
11. 【請求項１１】 請求項１０記載の方法において、更
    に、 ステップ（ｔ）で生成されたユーザの部分秘密鍵ｄ₀ を
    一度だけ前記耐タンパ個人携帯デバイスから出力するス
    テップを有することを特徴とする公開鍵暗号の秘密鍵管
    理方法。
12. 【請求項１２】 請求項１記載の方法において、更に、 前記耐タンパ個人携帯デバイスのユーザと利害関係のあ
    る全ての者に、乱数を配布するステップと、 前記全ての者の部分秘密鍵を用いて、前記乱数に順次署
    名するステップと、 前記耐タンパ個人携帯デバイスのユーザと利害関係のあ
    る者各々が、順次署名された乱数を公開鍵を用いて検証
    し、該順次署名された乱数が無事検証された時に、秘密
    鍵が不正なく生成されたことを各々において確信するス
    テップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
    法。
13. 【請求項１３】 請求項１記載の方法において、更に、 前記耐タンパ個人携帯デバイスのユーザと利害関係のあ
    る全ての者に、秘密鍵再生要求を配布するステップと、 前記全ての者の部分秘密鍵を用いて、前記秘密鍵再生要
    求に順次署名するステップと、 前記耐タンパ個人携帯デバイスのユーザと利害関係のあ
    る者各々が、順次署名された秘密鍵再生要求を公開鍵を
    用いて検証し、該順次署名された秘密鍵再生要求が無事
    検証された時に、秘密鍵再生許可を各々において発行す
    るステップと、 を有することを特徴とする公開鍵暗号の秘密鍵管理方
    法。
14. 【請求項１４】 公開鍵暗号の秘密鍵を生成し管理する
    耐タンパ個人携帯デバイスであって、 秘密鍵を構成する部分秘密鍵であって、各々は該耐タン
    パ個人携帯デバイスのユーザと利害関係のある者により
    秘密に管理されている部分秘密鍵を、該耐タンパ個人携
    帯デバイスのユーザと利害関係のある全ての者から、各
    々別々に該耐タンパ個人携帯デバイスに入力する第１の
    手段と、 第１の手段により入力された部分秘密鍵から、該耐タン
    パ個人携帯デバイス内で、秘密鍵を生成する第２の手段
    と、 第２の手段により生成された秘密鍵を、該耐タンパ個人
    携帯デバイス外への秘密鍵の読み出しが不可である該耐
    タンパ個人携帯デバイス内の格納領域に格納する第３の
    手段と、 を有することを特徴とする耐タンパ個人携帯デバイス。
15. 【請求項１５】 請求項１４記載のデバイスにおいて、
    更に、 該耐タンパ個人携帯デバイス内部のみにおいて前記格納
    領域に格納された秘密鍵を用いて復号処理と署名処理を
    行うプロセッサを有することを特徴とする耐タンパ個人
    携帯デバイス。
16. 【請求項１６】 請求項１４記載のデバイスにおいて、
    更に、 該耐タンパ個人携帯デバイスの覆いの開封を検出する開
    封検出手段と、 前記開封検出手段により該耐タンパ個人携帯デバイスの
    覆いの開封が検出された時に、秘密鍵を前記格納領域か
    ら消去する手段と、 を有することを特徴とする耐タンパ個人携帯デバイス。
17. 【請求項１７】 請求項１６記載のデバイスにおいて、
    更に、 前記開封検出手段により該耐タンパ個人携帯デバイスの
    覆いの開封が検出された時に、該耐タンパ個人携帯デバ
    イス内に実装された構成要素を破壊して該耐タンパ個人
    携帯デバイスを使用不能にする手段を有することを特徴
    とする耐タンパ個人携帯デバイス。
18. 【請求項１８】 請求項１４記載のデバイスにおいて、
    該耐タンパ個人携帯デバイス内の秘密鍵の紛失による秘
    密鍵再生がユーザから要求された時に、前記第１の手段
    は、前記部分秘密鍵を該ユーザと利害関係のある全ての
    者から、各々別々に該耐タンパ個人携帯デバイスに再度
    入力し、前記第２の手段は、前記第１の手段により入力
    された部分秘密鍵から、該耐タンパ個人携帯デバイス内
    で、秘密鍵を再度生成し、前記第３の手段は、前記第２
    の手段により生成された秘密鍵を、前記格納領域に再度
    格納することを特徴とする耐タンパ個人携帯デバイス。
19. 【請求項１９】 請求項１４記載のデバイスにおいて、
    前記第１の手段は、新たな秘密鍵を構成する新たな部分
    秘密鍵であって、各々は該耐タンパ個人携帯デバイスの
    ユーザと利害関係のある者により秘密に管理されている
    新たな部分秘密鍵を、該耐タンパ個人携帯デバイスのユ
    ーザと利害関係のある全ての者から、各々別々に該耐タ
    ンパ個人携帯デバイスに入力し、前記第２の手段は前記
    第１の手段により入力された新たな部分秘密鍵から、該
    耐タンパ個人携帯デバイス内で、新たな秘密鍵を生成
    し、前記第３の手段は、前記第２の手段により生成され
    た新たな秘密鍵を、元の秘密鍵に上書きして前記格納領
    域に格納することを特徴とする耐タンパ個人携帯デバイ
    ス。
20. 【請求項２０】 請求項１４記載のデバイスにおいて、
    更に、 二つの素数ｐおよびｑを生成し、（ｐ−１）と（ｑ−
    １）の最小公倍数をＬとする手段と、 ｐとｑの積を公開鍵法ｎとし、Ｌより小さく且つＬと互
    いに素である正の整数を公開鍵指数ｅとする手段と、 該耐タンパ個人携帯デバイスのユーザと利害関係のある
    者の総数をｋとして、各々別々に該耐タンパ個人携帯デ
    バイ各々がＬより小さく且つＬと互いに素である（ｋ−
    １）個の正の整数を部分秘密鍵ｄ₁ ，ｄ₂ ，----，ｄ
    _k-1 とする手段と、 前記第２の手段が ｘ exp（ｄ）≡ｘ exp（ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ） （mod ｎ） 但しｘはｎ未満の任意の正の整数、を満たす秘密鍵ｄを
    生成するように、 ｅ・ｄ₀ ・ｄ₁ ・ｄ₂ ・----・ｄ_k-1 ≡１ （mod Ｌ） を満たすユーザの部分秘密鍵ｄ₀ を生成する手段と、 を有することを特徴とする耐タンパ個人携帯デバイス。
21. 【請求項２１】 請求項２０記載のデバイスにおいて、
    更に、前記ユーザの部分秘密鍵ｄ₀ を一度だけ該耐タン
    パ個人携帯デバイスから出力する手段を有することを特
    徴とする耐タンパ個人携帯デバイス。
22. 【請求項２２】 公開鍵暗号を用いたディジタルデータ
    の取扱い方法であって、（ａ）ユーザ側で、署名用の第
    １の公開鍵暗号の公開鍵と秘密鍵を生成するステップ
    と、（ｂ）第１の公開鍵暗号の公開鍵を証明書発行セン
    タに登録するステップと、（ｃ）証明書発行センタの秘
    密鍵を使って第１の公開鍵暗号の公開鍵に署名し、署名
    された公開鍵をユーザの証明書として公開するステップ
    と、（ｄ）著作権所有者側で、ディジタルデータ復号用
    の第２の公開鍵暗号の公開鍵と秘密鍵を生成し、第２の
    公開鍵暗号の秘密鍵を耐タンパ個人携帯デバイス外への
    秘密鍵の読み出しが不可である該耐タンパ個人携帯デバ
    イス内の格納領域に格納するステップと、（ｅ）前記耐
    タンパ個人携帯デバイスと第２の公開鍵暗号の公開鍵を
    ユーザ側に提供して、ユーザ側で第２の公開鍵暗号の秘
    密鍵を用いた復号処理と第１の公開鍵暗号の秘密鍵を用
    いた署名処理を前記耐タンパ個人携帯デバイス内部で行
    うことにより、著作権所有者側の提供するディジタルデ
    ータが利用可能となるようにするステップと、 を有することを特徴とするディジタルデータの取扱い方
    法。