JPS59501037A - 暗号化システム・キ−分配方法および装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】 暗号化システム・キー分配方法および装置発明の背景 不元明は暗号化システムにおける暗号化キーの形成および分配に関する。

暗号化システムは碗匡昌声およびデータ伝送の両者において、！ｌ＋Ｅｌを１合 ひつつある。このようなシステムにあっては、特定の伝送ン行う刃口入省の谷々 は暗号化伝送の暗号化冗よび１夏号比を行うｄ４号化キーを・Ｈしていることが ＪｆＢ縮必要である。１４ｔｆ−帰化キーの手を抜くとこのキーを使用して行ン よりれるその後の伝送の安全性が１代下することになる。従ってシステム　ユー ザ間に暗号化キーを分配する場合には多大の圧感ン払う必要かある。ユーザの範 囲が予め分っているノ易合には安全伝達手段を用いて手動でキーを更新させろよ うなキーの分配紙が町ｌ′Ｉシであるが。

加入者の奴が多くなつ１こり、めったに〕出１Ｈを行なわない加入者が通１ぎを 行いたい場合にはこの方法は極めて困難とンよる。キーの分配段暗号化キーの安 全を呆つ貢杆１１ま各ユーザに存在し、キーの荷＠ｆｖ３間が艮くなれば７よる 程安全性が損われる危険は増大する。

従って、現実的な観点からは暗号化キーは単一の一ピッジョンに対してのみ有効 で、各々の新しいセツションに対しては新しいキーを必要とすることが望ましい 。しかし安全伝達手段を所用している４曾には加入者が多数の安全呼を設定した り、予成の安全てツションを再するときには将に費用も４大し１時間もかかるこ とになる。

キー分配ごンターからユーザの間の暗号化キーを成子的に分配しようとする試み が行なわれている。そのような例がＲｏｓｅｎｂｌｕｍの１９８０年１月８日付 米国特許第４、１８２．９６６号に示されている。このような試みはある程度成 功しているが、いずｉｔの試みもピッジョン・キー・１宵−を分目己するための キー分目己ごンターと端本の１司の伝送媒体の安全性に通萬依荘しているという 一嗣点を有していた。従って、浸入者が後続の２ツシヨン・キーを得るにはキー 分配チャネルに浸入しさえすればよい。このような−人な咲出するたり４・碓な システムが１Ａ或さ７’ｔたか、い丁れも高１而たつ１こり荷り刀１生に乏し７ ＪｚつＴこりする欠点があった。

キー分配ビンターを使用する４台の他のｌ副」点としてセンターはユーザ！−の 女生テータ又侠を１夏号するのに所用ずろ情報を抽出することかでき、従って４ 論的には安全官ツショノ伝送ケモニタすることが出来るということ前述の間店点 は１つのチャネルで１固々の端末と通ｉｔ　Ｙ行うキー分配センター（ＫＤ’Ｃ ）によって解決され１こ。

チャネル、　ｓｔｊちデータ・リンクはそこを〕逍して安全通信が可能なダイア ル式ｄ話７＋　パケット交換データ、補、専用課、まプこは也の遡百チ〕フネル であってよＶｌ。端末はＫＤＣと共同で２つまたはそスを以上の端末間の安全伝 送のためのでツション・キーを形成する。端末におけるセツション・キーはＫＤ Ｃから伝送された情報とＩ関連してその端末で発生さ７ｔ１こ情報から構成され 、セツションに関連する端末のみが」っており、ＫＤＣはブ泪らない。このよう にして、２つの端末がセツション・キーを形成すると、これら端本はそのどツシ ョンの期間甲互いに安全に通・１ｇを行うことができろ。

安全データ交換が終了すると−ごツショノ・キーは破壊され、いずれρ・のステ ーションが更なる安全通信乞・重圧の１田で、または１′Ｉ！２のステーション に対してノ形成したい、場合には、新しいセツション・キーがＫＤＣの、訪刀の 下で月ぞｊの乙　さ　７ｔ　ろ　。

面述のり目＜、端末−ＫＤＣチャネルＳよびＫＤＣ一端末チャネルは共に、１つ の呼旬に各端末およびＫＤＣに同性な暗号化キーｌ＊−４，により沫護されてい るというフは味で安全リンクでぬる。従って端本とＫＤＣの１司で接読が形成さ れろとき（・工いつも、谷々（・↓端末に固何なキー・１）”ｆ報と叶（・まれ ろ以［甫に記・１、Ｃ（された情報を有しており、この以前に６己市された１ｎ 報は呼設尼キー１６報と呼ばれる新しいＫＤＣ一端末リンク・キーと、−Ａしい ゛２ツション・キー情報の１．１４万を形成するの（（匣用さ、ｌする。セツシ ョン・キーの形成期間中、端本およびＫ　ｌｊ　Ｃは谷々夫々の端本に固有なキ ー屑ギｌ１１を１６正し、それによってＫＤＣと同じ端末の仄の呼に８いて、こ の新しいキー′ｌｖ報は安全通１ｇ路を形、吸するのに使用されねばならない。

この手順の詳７、州については後述する。このようにして、端末とＫＤＣの１司 のキー分配に対する浸入者は埴初からチャネル上の情報に／Ｉａ　ｓ−ｂよび代 入を行い、幾つかの呼が生しる場合ずつとそのチャネル上に留まられ・はなら７ よいことに７よる。

何故ならば浸入者か一度チヤ不ルから離れると、少くとも４後には受入さ几てい たことが検出されるからである。

これは浸入者がモニタされるランダム１肴報を代入しているという挙英の結果に よるものである。

ネジステムの１つの行数はシステムの２つの妥当なユーザ間で交換されている・ 博引な清報を１尋るためには受入者はその端末に記憶されている端本にｍｌ有な 情報を得７よけれｒｆ、７’、Ｃもないこと、北よび受入者はまたその４走の端 末に対しキー分配ビンター中に記１意されている端本に固有な情報も傅なけｉｔ ばＩＬらないという点にある。次に受入者はその端末とキー分配ビンターか関与 している次のキー交゛換時に積層１Ｃに参〃目しなければ７【らない、即ちその チ・７ネル上に自分白身の発生したキー情報を代入し７孟ければならない。次に 浸入者はまた２つの通１ｇを行っている端末間のチャネル上の情報を代入し、ま た無限の時間チャネルに前記代入を絖けねばならず５代入を、Ｉ、４けないと浸 入が発見さｉすることになる。

図面の簡単な説明 本発明のこれら、Ａｉ生および本−Ａ明の特定の芙遁例の動作および利用法は付 図と関連して示す図示の芙施例により完全に理解されよう。

第１図はＫｌ）Ｃおよび幾つかの端末を使用するシステムの全本図、第２図はＫ ＤＣ％よび安全エリア内の端末の両方における初期１′Ｈ報設定を示す図、第６ および４図は＠端末内で生起する＄象を詳訓に示すフローチャート。

第５図はＫＤＣ同で生起する争象を詳ｒ＋ｔＢ　Ｋ示すフローチャート、第６〜 １９図は各端末内のキー情報およびαｊｊ　；＋ｆｐデータの形成法を示す図、 第２１〜２８図はＫＤＣ内のキー清報および制御データの形成法を示す図である 。

ａ説 第１図シまトランスポート・ネットワーク（例えば公衆父洟１妖）を介し等１目 互に、そしてＫＤＣ（１（］　）に接・涜可能な多数の端末Ａ、ＢおよびＸを示 している。これら端末は安全ｉ’ｊ’？　報を交換するために相互間に安全チャ ネルを設定することが出来なげればならない。その過程においてこｉｔら端末は ＫＤＣと通直を行なわねばならない。

端末Ａからの畝送、ａ路（１２）はリンク（１６）を通して伝送線路（１ろ）に 接続され、端末Ｂに対する安全呼を開始する。ユーザが一ゲ全データ交換を開始 するものと決定すると、各端末は端末人に対するリンク（１４）の如きＫＤＣへ の伝送１Ａを設定する。

次の１″？ｊ報の交換はｙ１■末八カ・らＫＤＣに、そして端末ＢからＫＤＣに 対して行なわれる。ＫＤＣがこれらメツ２−ジな両方とも受１ｇｆると、ＫＤＣ は２つのメツｅ−ジを形成し、該メツ゛２−ジは夫々リンク（１４）を介して端 末Ａに、リンク（１５）を介して端末Ｂに送１８されろ。

これら１固々のメツ２−シはピッジョン・キー渭ギレ１６よび９、下でノホベる 他の過切な清報を含んでいる。このセツション・キー情報は端ボＡおよび端本Ｂ で死生し、Ｋｏｃを辻して交換される。２つの端末とＫＤＣの間で一度父侯が行 なスつれると、４末ＡとＫＤＣＯ間のキー分配リン、りであるリンク（１４）は 柩り去し凡、ＰξＤＣと端末ＢＱ〕１Ｉ５ｊのキー分配リンク（１５）も取り去 らｉｔろ。端本ＡとＢの間の−ｅツション・リンクであるリンク（１６）が丙形 成される。更ン゛よるキー情報は以前の部分−な父俣に基ツいて父疾さＪｔ１両 万０端末で独立にセツション・キーをｉ’Ｈ＋　：５　Ｌ　ｒ　、ｋｆｆ　’ｆ ’４　Ｌｆｌにはピッジョン・キー１−ｎイを１７８−１　ｉ。

て、データ（ｊｊｌｌちディジクル・データま１こはディジタル昌）１　）がテ ゛−夕・リンク（１６）でゲケＫＩ尺送される。

更／よるセツション所′ｆＦｊ、１ＫＤＣとは残立に端末ＡｙよぴＢ１７）、田 て戒り出されるので一、ＫＤＣの惑意あるオペレータはセツション・チャネルに １肯繍を７漬極田に代入することなく端末Ａ　：＝よびＢの間で送１８されてい る安全メツで一ジな解読するのに必要なキ一対Ｉ４を取り出すことは出来ない。

ま７こ以下で分るよ５　ｆｔこ端本とＫＤＣの間の次のキー分、」己を安全なも のとするため新しいジ涌末に固：汀なキー情報がＫＤＣと端末の１田で送１言さ ねでいるメツマージ内に含まれていることに圧感さｉｔ定い。この新しいｌ官報 ｌま以前の情報とは無ＩＡ品であり、σｉつでユニーク７よものである。

評細な睨明 第２図に戻ると、端本とＫＤＣＯ間の切期設定は端末７〕・らＫＤＣへ移送され た情報Ｖま変更されないような仕方で行なわれなげればならない。この？／Ｉ勘 設定は移送が安全エリア（２３）のＩイロぎ安全エリア内で行なわれるところで 美行される。その後のＫＤＣと各端末の間の、８１　’Ｉｃ４は以前の一＝信に １イく存するので、ある時、蛾に−Ｆ−３いて端末とＫＤＣか共に立上りのため の適当な情報を含んでおり。

浬；・ａ的には安全エリア←゛」で英イテされることによって安全がｉｌ＠さオ ｔないことが菫要である。

（第２図に示す安全エリア・インプレメンテ−ジョンに基づく）初期システム設 定時に、端末は安全エリア（２３）　：ノ＠に入れられ、ＫＤＣは各端末に対し 端本に固有のキ一対を死生する。これらキ一対の、−１已については以下で述べ ろ。ＫＤＣは各端末に対し端本に固）イの復号化キーと相Ｉ己する暗号化キーを 死生する。この暗号化キーは谷ｙ・端末に対する端末に固有なキー占己丁、η装 置中にｈ目えられ、・；Ｈ６する調号化キーはその端末のアドレスによってＫＤ ＣＫある端本に固有のキー記・鏡装置中に記憶される。

兇に各端末に固有７【乱数（端末Ａに対してはＵａ　）　がＫＤＣにあるこの端 末のアドレスに相当する検証゛晴報記・１急装置中に記憶さする。こｉｔと同じ 乱数は端末中の検証１肯報記障装匝中にロード・記憶されね（ばならず、該乱− ７′りはＫＤＣに対する破切の呼設定侍に険証チェックを行うのに・ｍｌＦ：］ される。

第６および４図はし１］えは端末Ａの如き端末（ハ）で生起する動作を表わすフ ローチャートである。

以下の議論はどのようにして端末に固・汀のキーが更新され、どのようにして呼 設定Ｓよび２ツシヨン・キーが分配されるかを、、ｉ明する端末とＫＤＣの同の ４系列に関するものである。この議論は第６〜２８１．！８１を参照して行う。

第６〜１９図シま端末内の装置を示し、どのようにして呼設定キーおよびでツシ ョン・キーが形成されるかをステップを追って示す。紀２ｏ〜２８図はＫＤＣ円 の装■Ｍであって、各図・ｌまキー形成＠程を示す。

第６図を参照して端末で使用されている付定の装置について１ム鋪する。実直の 数字の発生については以下で議論する。装置（７２）は０と１を弄確準で発生す るデバイスまたはアルゴリズムである乱数発生器である。この乱数発生は雑音ダ イオードを置引しても艮＜＋＋に計１幻に独立にＯおよび１を発生するアルゴリ ズムを使用することもできろ。これら乱数発生器がランダムに０１を発生すれは する程女全レベルは高くなる。乱数発生器の出力ば０および１の直列ＤＷであり 、１の１閏のす目；関あるいはヒツト群間の相関は０である。双方同性非対称キ ー発生器（７３）は乱数発生器（７２）からの乱数を入力として取り入れ、暗号 化キー２よび（合１夏号化千−を計真し。

復号止子−から暗号化キーが、そして暗号化キーから１夏号化キーが４出されな いように１−る。こ几らキーの発生は１列えばＲｌｖｅｓｔ　、Ｓｈａ［ｌｌｌ １ｒ　ｍよびＡｄｌｅｍａｎ　０）　ｉした”ディジタル・サインおよび分派キ ー暗号化システムを得る７Ｂ１　、＋＋　′ｒＣＡｃ　Ｍ、ｉ２１４　畠２号、 １９７８年２月。

頁１２０〜１２６で述べられているようｊ４　ＲＳ　Ａアルゴリズムに従って行 うことができる。

装置（７４）は暗号化キーはり活化キーから、逆に峻号化キーは暗号化千−力・ ら４出できない双方同罪対弥暗帰化アルゴリズム（列えばＩ（ｓＡアルゴリズム ）、即ち２つの別個のキーに基づく暗号化アルゴリズムを実現している。装Ｗ　 （７４）は２つの人力（１およびＫ）および１つの出力（０）を頁している。入 力１は暗号ｌヒまたは復号１ヒされるべきヒツトである。人力には暗号化または 復号化キーである。（ＲＳ　Ａアルゴリズムは暗号化。

復号ｆヒと関係なく同じ・機ロピを実行する。）出刃は蕨給さ牙し１こ干−によ り暗号化または復号［ヒされた入力ビットである。このアルゴリズム（・ままた 前述の論文に述べられてＩ／−１ろ。装ぼ（７５）は次のような性質ゲ荷する２ つの関数ｆおよびｇを果税するものである。即ちｆ（ｎ、ｐ）およびＰが与えら れても、Ｒを決定することか出来す。

ｇ（Ｒ１，ｆ（Ｒ２，Ｐ、）、Ｐ）、＝ｇ（Ｒ２，ｆ（Ｒ１゜Ｐ）、Ｐ）であり 、ｆ（Ｒ１，Ｐ）、ｆ（Ｒ２，Ｐ）およびＰが与えられてもＲ１，Ｒ２またはｇ （Ｒｉ、ｆ（Ｒ２，Ｐ）、Ｐ）を決定することが出来ないような関数ｒおよびｇ である。

装置（７５）は＃Ｈ５己調ｄ　ｋ　］ノ１えばＤｉｆｆｉｅ−Ｈｅｌ１ｍａｎア ルゴリズムによって％４する。このアルゴリズムはＤｉｆｆｉｅおよびＨｅｌｌ ｍａｎの著した“暗号化の新しい方間”　、　ＩＥＥＥＴｒａｎｓａｃｔｉｏｎ ｓ　ｏｎ　Ｉｎｆｏｒｍａｔｔｏｎ　’ｒｈｅｏｒ’ｙ　、　Ｊ４　ＩＰ　−２ ２香。

１９７６年１１月１頁６　’４４−６５５に運べられている。

このアルゴリズムの入力は基底Ｙ、モジュラスＱＮよび指数ＥＸＰである。出力 ｌまＹをＥｘｐ柴したものをＱで割った余りである。１媚敬ｆおよびｇはこの１ 列では前述したものと同一である。

記憶装置が必要なことをレジスタ（７１）、（７０）および（７６）として示し である。その１つは検証清報ＶａとＫＤＣに対するメツセージを暗号化するのに 匣用される端末に固冒のキー情報Ｅａｋ　の両方を含んでいる半永久レジスタ（ ７１）である。一時レジスタ（７ｏ）は最初どのような状態にあっても良く、安 全呼の設定時にＫＤＣと相互作用をする期間中使用される。アドレスレジスタは 端末（この場合には端末Ａ）のアドレス（即ちＫＤＣに対しＡを一義的に同定す る公衆１斤報）を直入的に含んでいる。安全−ごツション（または呼）の設定期 間中、アドレス・レジスタはまた現在呼び出されている端末のアト［ノスを含む 。倹証慣￥＆および暗号化・護帰化請報を含じレジスタの太ぎさは′使用される 時定のアルゴリズムに依存して変化するが、この例では各々ｉ、　ｏ　ｏ　。

ビットのオーダである。対称セツション・キーおよび乱数とｍｌ連する清報は１ ００ビツトのオーダて・あり、アドレス１肯報は端末番号付与計画に依存するが ユニークであってＫＤＣはこれを知っている。例えばこのアドレス・！ｈ報は特 定端末の祇話番号であっても良いし、端末のシリアル番号であっても艮い。

次に第２０図を参照してキー分配ユニット内のモジュールの−ぎについて議論す る。ＫＤＣのアドレス・レジスタ（２００）は端末のアドレス・レジスタと同じ す幾能を果す。ＫＤＣのＲ３Ａ護能を実行する装置（２１０）は前述の端末のＲ ８Ａ磯罷と同じ機能を実行する。乱数発生器（２１１）は前述の端末の乱数発生 器と同じ機能を実行する。暗号化および復号化キー発生装置（２１２）は前述の 端末子のものと同じ磯馳を果す。装置（２１３）は前述の装置（７５）に対する 入力として使用されるパラメータの発生器である。この特定の列ではこれらパラ メータはＤｉｆｆｉｅ−Ｈｅｌｌｏａａｎ　アルゴリズムの基底オよびモジュラ スである。該アルゴリズムは入力として乱ｌＡ発生器（２１１）の出力を必要と する。発生法に１列しては前述のＤ！ｆｆ１ｅの論文に述べられているっＫＤＣ には半永久記憶装置であるレジスタ（２１４）および（２Ｍ）が存在し、これら レジスタは伏証清報ｊ意している。半永久レジスタ（２１５）および（２１７） は呼の設定過・准において情報を記憶するのに匣用さ」′シる。

これらレジスタは前述した端末のレジスタと同じ・機能を天性する。

次に第６図以下を用いてシステムの勤１・「を説明する。

最初端末中のキー・マネージメント装置は安全呼を開始するための要求が端末… １．１　ｐｌプロセッサから受信されるまで゛守ｆ幾状態とンよる。このとぎ前 述の妬く端末中にはＫＤＣ妃送旧さ；ｉｔ　７１１清報を暗号化するのに所用さ れる端末に固有な暗号化キーが記・ｒ意されている。また検証ｌ官報も記１意さ れている。これら２つの清報はこの端末により形成さ２を定最後の呼（または最 初の設定）Ｋにより占己憶されたものである。これが第６図にＶａおよびＥａｋ 　として示されている。

ガ全呼を開始する要求が受１百されると、破呼刀口入省のアドレスがｉｉ’ｌ　 調プロセッサ馨介してキー・マネージメント装置知与えられねばｌ【らない。こ の詩魚で新しい呼設定キーが発生される。これが縞７図のホックス（６２）にＥ ｋａ　ｇよびＤｋａとして示されている。ボックス（３３）には端ｆｆ１Ｂから 端末Ａへのリンク上のデータを暗号化するのに使用さノｔろ部分セツション・キ ーの発生が示されている。

この時点で検証情報は丁度このとき発生されたキーを使用ｌ−て更新される。更 新ＩＪＩ数は次のように表わされる。

Ｖａ１’　＝　ｆ　（Ｖａｌ　、　Ｅｌ　）およびＶａ２’　＝　ｆ　（Ｖａ２ ．Ｅ２　）ここで゛は更新されたことを表わし、Ｖａｌ　Ｖａ２　＝　Ｖａ　で ある。Ｖａ　は記・［、低された検証清報であり、Ｅは丁度発生された暗号化キ ーである。ｆのｌ！質は次の通りである。

（１）すべてのＶ　、　Ｅｌ　、　Ｅ２に対し’　ｆ（Ｖ＋　ｇｌ）−ｌ＝ｆ（ ｖ、　Ｅ２）ここでＥｌ−７’−Ｅ２゜ 、２）　すべてノＶ２１　、　Ｖ２　、　ＥＫ対し：　ｆ（Ｖｌ、　Ｅ）−／＝ 　ｆ（Ｖ２．　Ｅ）ここでＶ１戸■２゜ １３）■およびｖ’＝　ｆ（ｖ、　Ｅ）が与えら；比たときＥを決定することは 困難である。

（４）Ｅが非対称化号化キーの場合、ＤはＥからは決定できない。

この１列では　Ｖａ’　＝　Ｖａｌ’　１Ｖａ２’である。１旦しＶａ＝Ｖａ１ １Ｖａ２であり、Ｖａｉ″はＥｋａで暗号比されたＶａｉに等しく。

ｖａ２’は　Ｅｂａで暗号化されたＶａ２に等しい。この更新プロセスが第９図 に示されている。検証清報Ｖａ１の前半は記・憶装瞳から読み出さ几、Ｒ８Ａア ルゴリズムに対する入力としてｔａされる。この情報を暗号化するのに使用され るキーは丁度発生された呼設定キーＥｋａである。これはＶａｉ’となり、Ａｉ ｏ図に示すようにＶａｉを書きかえる。次に次証情報ｖａ２の麦半が丁度発生さ れたｇｂａを用いて暗号化される。その結果として得られるＶａ２’は記・億レ ジスタ中のＶａ２と取って代る。これが第３図のボックス（６４）中に示されて いる。要約すると更新された検証１肯ａｔ　Ｖａ′’は以前の呼により記ＩＭさ れるか−または初期設定時にＫＤＣから端末に与えられた険証情報であり。

半分はこの呼で発生された部分なツション・キーの暗号化部分を用いて暗号化さ れ、也の半分はその呼に対する呼設定キーを用いて暗号化される。

この時点で４３図のホックス（３６）および第１１図に示すように、ＫＤＣに対 するメツせ−ジのフォーマットが整えられろ。このメッヱージの内容は丁度発生 され１こ２つのキーの暗号化部分である。端末ＡとＢの間で形成される部分セツ ション・キーＥｂａおよび新しい呼設定キーｇｋａはＫＤＣから端末への以前の 呼から記憶されたか、ま１こはイカ期設定時に端末に与えられた端末に固有な暗 号化キーＥａｋン用いて暗号化される。この時点で端末によって破壊されてもよ い１６報は以前の・平によって端末に記１、釦さ；龜だ端末に固有な暗号化キー Ｅａｋおよび、端末により発生され１こ呼設定暗号化キーＥｋａおよび部分ピッ ジョン・キーＥ　ｂ　ａである。次に暗号比さλｔ１こメツセージは元′１ぎ端 末のアドレスＡに付カ目され、その段に破呼；席末のアドレスＢが、涜＜。この メツ２−ジがこのとき）σＬ）　Ｃに送１吉さ、ｌする。

これにより端末はＫ　Ｄ　Ｃから受１言されるべき清報な待機する直ち状態に入 る。これか第６図のホックス（ろ７）に示されている。

第５図に示１−ように、ＫＬ）Ｃはメツピーシが端末Ａから受１ｇされるまで付 ち状態にある。これが第５図のホックス（５０）に示されている。メツセージが 受１ｇすれると、ＫＤ’Ｃはメツ℃−シ内のアドレス１青報をアドレス・レジス タ中に４売み込み、該レジスタはメツセージを復号するのに・じビ用されね、ま ｌよらない！戻−号化インデックスを唖−える。ＫＤＣはその記゛１煮装置中に 以前の呼からＩ収り出した＠端末に対する整合・諌証１・６報および谷繻末に対 する端末に固有な復号化キーを有している。これが第２０図のボックス（２１４ ）および（２１６）中に示されている。

輪木Ａからのメツーｅ−ジはその端末に相応する端末に固有な復号化キーｐａｋ を用いて１衷号される。（端末Ｂに分配されるべき）新しい呼ｔｊｉだキーＥｋ ａおよび部分セツション・キーＥｂａが第２１図て示すように−ＩＩ力にＫＤＣ メモリ中にｈ己憶される。

この時点で、第２２図に示すように、ＫＤＣは端末と全く回し仕方でその４莢証 請報を更新することが出来る。

これは記１１ばされた一演証情報の谷半分を４２６図に示すように受・ＩＢシた セツション・キー清＝ｂ　ｂｂａおよび受信した呼設定キー情報Ｅｋａで暗号化 することにより実行される。

これにより更新検証・［ａ報Ｖａ”が兄庄さ土りる。

第２４７に示すように分自己センター（ＫＤＣ）はこのとき双方同性非対称暗号 化／復号化キ一対几ａｋ’、Ｄａｋ’を発生する。ここで゛は更新され１こ渭♀ しを表わす。Ｅａｋ’はキー分配２ンター（ＫＤＣ）に対する次の呼の設定で使 用するべくノ面禾Ａに分配されろ。復号化キーＤａｋ’は以前のｌ乎から記１． 侍さｆｔだ復号化キーＤａｋを否ぎ加えろ。

′１也の２つの１青ヅ艮がまたこのとき９色黒されろ。これらは対亦−ビッショ ン・キーを発生ずるのに端末によって使用されるパラメータである。この場合に はこれらはＤｉｆｆｉｅ−Ｈｅｌ１ｍａｎアルゴリズムのパラメータである。前 述の如く一方は基底Ｙであり、他方はモジュラスＱである。

ＫＤＣで発生され谷端末に発生される情報の童はフルゴーリスムに依存して変化 する。この情報は一将記・は装置中に記憶され、端末Ａおよび端末Ｂに返送され ろメツマージの一部として使用される。この発生過程は第２５図に示されて名り 、第５図のフローチャートのホックス（５５）と関連している。この時点で第２ ６図に示すように。

ＫＤＣは端末Ａに対する呼を完了するのに端末Ｂからメツ２−ジを受信していな げれ１ばならな−。もし受信していないと、端末Ａに対するＫＤＣめ操作は端末 Ｂがこの点に達するまで侍たねばならない。これはＫＤＣが端末Ｂにおいて発生 された部分セツション・キー情４ｆｉＥａｂを端末人に与えると共に端末Ａで発 生された部分セツション・キーＥｂａを端末Ｂに与えることが吊米なければ７ヱ ら７よいことによる。一方の操作によって発生さオｔたＦｆじパラメータが他方 の操作によって発生さ几たパラメータな臀きかえる操作間の共同動作を行なわせ る必要がある。

これにより対称セツション・キーを発生するために端末に送信されたパラメータ が同じで゛あることが・尿証される。

キー分配センター（ＫＤＣ）内の清報を調整するためにＡレジスタとＢレジスタ の闇で内部交換が行なわれろと、瑞天に対するメツマージのフォーマットがＩう ことになる。これが第２７図に示されている。端末人に対するメツセージはＫ　 Ｄ　Ｃに対する後、読の呼で使用される新しい端末に固有なキー清報Ｅａｋ’よ り成る、該メツマージはまた端末Ｂから受’１２ｉされに部分セツション・キー 清報ＥａＯより１．茂る。該メツピーシはまた検証情報ｖ　ａｒｒをあろ一定ビ ット減らしいたものより成る。該メツセージはまｆ　Ｄｉｆｆｉｅ　−Ｈｅ１ｌ ｌ′ｌ１ａｎ　アルゴリズムの基！底ｙｇよびモジュラスＱより成る。これら５ つの１青報は端末Ａからのメツ乞−ジ中で受信された呼設定キーＥｋａを用いて 暗号化される。ＫＤＣは端末Ａに、ｒ目Ｊ＋ｌｒするＥｋａ　、Ｅｂａ　、Ｅａ ｋ’　。

ＹおよびＱを７　ｒｚし、端本Ｂに１目応するＥｋｂ　、Ｅａｂ　、Ｅｂｋ’　 。

ＹおよびＱを破壊する。仄ＩＣＫ　Ｄ　ｃはこ０）出力メツピーシを端末Ａに返 送する。頑；以の暗号化され１こメツセージがＫＤＣから端末Ｂに送られる。こ の時点でＫＤＣはその処４を終了する。

ｄじ２８図は端米人に対する呼か元値された段のＫＤＣの！ｆｊ子を示す。ＫＤ Ｃは端末ＡとＫＤＣの間の後読の呼で使用される更新さ、Ｉｔた演証ｌ胃報Ｖａ ″および更新され定端末に随性の、屋号止子−清報Ｄａｋ’　ケイしている。

再び端末Ａに対するフローチャート第６図に戻ると。

該・端末のキー・マネージメントＡはは付も状態に入っているがＫＤＣばｌＡ能 している。第１２図はこの侍ち状態鐵」１川中に端末に記憶されるキー・情報を 示している。これは更新された検証情報Ｖａ″および以前に発生された暗号化キ ーに相応する復号止子−ＤｋａおよびＤｂａである。

斗１３図はＫＤＣから受・直された情報が第６図のホックス（３８）に従ってど のように使用されるかを示している。呼設定戻号化キーＤｋａはＫＤＣから受信 されたメッセージン１夏号化するのにＪ用される。ＫＤＣがら送信さ７した（以 前に議論した）５つの値は現在以−Ｆのような仕方で使用されている。第１の情 報は半永久レジスタ（７１）中に記憶されている新しい分配キ７　Ｅａｋ’であ り。

この端末からＫＤＣＫ対して形成される後ｄの呼で使用される。これは更新され た端末に固有な暗号化キーである。第２の情報はＢで発生され、ＫＤＣを通して 端末Ａに送信される部分セツション・キーＥａｂである。第６の情報は端末ＡＫ 記憶された検証情報と比較される更新された検証情報Ｖａ″である。第４お・よ び第５の１肯報はＤｌｆｆｊｅ−Ｈｅｌ１ｍａｎアルゴリズムのパラメータであ る基底ＹおよびモジュラスＱであり、これらは端末Ａの一時記憶装置に１己憶さ れる。

第４図のボックス（４０）を参照すると、この時点で端末はＫＤＣから受信され た・検証情報と、現在記１薫されている検証情報あるいはこの検証清報ン既知の ビット破滅らしたものと比較する。（第１４図）これらが整合すると、４作はそ のまま１１迷続される。これらが督合しない場合には番報が端末１刑１即プロー ｅツサに与えられる。

検証の比較が成功したものと仮定すると、端末はＫＤＣに対するチャネルな淑り 去り、末だ形成されていない場合には端末Ｂに対するチャネルを形成する。この 時点で。

端末Ａおよび端末Ｂは非対称セツション・キーＥａＯおよびＥｂａ　ｆ使用して 安全（（データを通信することが出来る。

対称−ごツション・キーが必□ｄならば、以下のステップが央行されろ。端末Ｂ に送１言されるメツ・ご−ジの計算は第１５図に示されている。まず最初にＤｊ 、ｆｆ１ｅ　−Ｆ（ｅｌｌｍａ、ｎアルゴリズムの基底ＹおよびモジュラスＱが 乱数発生器（７２）によって発生され１こ乱数Ｒａ　と共に使用されろ。

これらの入力はＤｉｆｆｉｅ　’−Ｈｅ１ｌｒｎａｎ　アルゴリズム（７５）に 与えられ、出力はＲ８Ａ装置（７６）の入力となる。

乱数Ｒａ　はまた−特記・厖装置中に記・億されている。ｂａ　ｂ＆’；！　Ｐ 、　Ｓ　Ａ　装置（７６）のキーとして使用される。この時点で端末Ｂから受信 されたセツション・キー清報Ｅａｂおよび基底ａＹは破壊されてもよい。Ｒ８Ａ アルゴリズムの出力は端末Ｂに送られる。

端末Ａのキー・マネージメント装置は第４図のボックス（４４）に示すように待 ち状態に入り、メツセージが端末Ｂから戻って来るのを待つ。アイドル状態が第 １６図に示されており、端末Ａが発生した１夏号化亡ツション・キーＤａｂ、Ｋ ＤＣにより発生されたＤｉｆｆｉｅ　−Ｈｅｌ１ｍａｎアルゴリズムのモジュラ スＱおよび端末Ａにより発生された乱数Ｒａ　は記憶装置中に住任する。

第１７図π示すように、端末Ｂからメツセージを受信すると、端末Ａは部分Ｚツ ション・キーの初期発生時に記憶されたその調号化キー〇ｂａを使用してメツセ ージな復号化する。これによりＤｂａは破壊されてもよい。この出力は基底とし てＤｌｆｆｉｅ　−Ｈｅｌｌｍａｎ　アルゴリズム中に加えられる。指数は以前 に発生された乱数Ｒａ　であり。

モジュラスＱはまたアルゴリズム中に入力される。

Ｄｉｆｆｉａ−Ｈｅｌｌｍａｎ　アルゴリズムの出刃は端末Ｂが計算したてツシ ョン・キー情報に等しい対称・２ツシヨン・キー情報である。ＱおよびＰ、ａ　 はこのときｉ壊されてもよい。

ここで、端末ＡおよびＢはＫＤＣによって取り出すことが出来ンよい対称ごツ° ジョン・キー・１肯報を相互間で形ノ或する。このキー情報はデータを暗号化す る１こめにデータ暗号化漂準（ＤＢＳ）の棟に対ぶキー・アルゴリズム中で団扇 される。第１８図に示すように２反全７ツシヨン（ν１］ち呼）に対する次なる 要求が生じるまで端末中に記１、はされるものは更新された１莢証清報Ｖａ″お よびＫＤＣに対する仄のメツビージン暗号化するのに団扇さ几るＫＤＣから受信 した端末に同性のキーＥａｋ’である。

端末およびＫＤＣに８ける所望のデータの元生汀芙際には計算１嫡プロビツサの 割ＩＡｌのｒで行７エわれ、第６〜５図に示−３−フローチャートニ従ってプロ グラムされて１６す。

図示したデータ転送系列を天性する。図示はレブよいがこのプロごツサは図示の 端末およびＫＤＣ装置と関連して動作する例えばＩｎｔｅｌ　８０８６マイクロ プロセツサの如き周仰のマイクロプロ２ツサのいずれであってもよい。

また当莱者にあっては不元明の縛伸および４厄団を逮、悦すること７よくここで 述べた結果を得ろために異なる暗号化アルゴリズム２よび異なるＡｍをＪ／ＴＩ シ１４ることに注・　意され１こしへ。

ＦＩＧ、　／ にＤ（、の楠広 ＦＩＧ、　４ ＦＩＧ、６　甲附旨の７４日し状褪（儲汰Ａ）ＦＩＧ、　２８將醒冶？メ１１１ 承寧 国際調査報告

Claims (1)

1. 【特許請求の範囲】 １　キー分ｃ己−Ｑンター（ＫＤＣ）を介して２つの端末間で暗号キーを通信す るキー分配法において、該方法は：任意の１つの端本と別記キー分配センターの 間で端末に固有な暗号キーを形ｊｇ　Ｌ　ｓ 前記ＫＤＣと１ｆ記１つの端末の間で、該ＫＤＣと該１つの端末の４の説４元の 接７．光を調整して、該１つの端末と第２の端末の間の説、読の安全伝送に３い て該１つの端末によって使用されるでツション・キーを形成シ。 目′ｉＪ５己１つの７播末と阿占己ＫＤＣの１団のＡｉＪ＝己説、１洸の接、光 にＬｃ＋　ｔＡ　してｓｔＪ記以ｐＴｆに形、収された端末如固有な暗号キーを 変更することを１４敢とするキー分配法。 ２、請求のａｕＡ第１Ｊ貢白己−戎の発明において＋’Ｐ；１Ｊｊｖ己２ツジョ ン・キーはｑｉ前記１つの端末と前記ＫＤＣの１刊のｉが・服の非対称変換とＶ ’ｌｌ占己第１および第２のｙ端末間の段読の・清報の交換によって発生される ことを付敢とする発明。 ６　ｄ水の・、ｊα囲第２　：Ｌｎｈ己戎の亮夕］にコロいて、自ＩＪ記１つの ！端末のｓｉＪ　Ｍ己２゛ンションはばげム己ＫＤＣＫオｄける１肯報に、列゛ してランダムであることを置数とする発明。 ４、請求の＋ｉ６１ａＵ　ｉａ　２　、’、顯を己Ｊの発”Ａ　ｌ′こｒ６し） で＋　ｎ”ＪＭ己１つの端末のｌｌＴｈ己ピッジョンは目］」記Ｋ　Ｄ　Ｃｉ（ おげろｆ子息の１゛青報から抽出出来ないことを、４敢とする発明。 ５　遠雨立詩（（存在する端末間の２ツション暗号キーの分配ン、ｃ１］１Ａ１ づ゛るキー分配ビンターは１反数間の前記端末に切４泉えアクビスするよう作ら れており、該ビンター２ は更に。 各々の前記端末に【固有な暗号キーを附記センターと該センターにアクセスする 各々の前記Ａ末の間で通・言暗号キーを形成する手段と。 前記端末の１つがＨＩ前記交換を行う４詭として前記適当に形成された暗号キー を使用して前記アクセスされた端末内で双方同罪対称的に情報を交換するために 前記センターてアクビスするとき動作１−る手段と。 前記交換された情報に応動してｉｉ前記端末（（対し前記−ビンターにアクごス する同定さ脂した他の端末が使用するでツション暗号キーを形成することを許否 するｌ清報を伝送する手段を・汀することを！爵１ｉ１．とするキー分配上ンタ ー。 ６　請求の範囲第５項記載の発明において、前記キー分配ビンターは更に前記交 換され１こ１Ｒｆしの結果として前記形成された通信暗号キーを変更する手段を 含むことを特徴とする発明。 ７　請求θ）−屯囲第５項記載の発明において、前記暗号キーを形成する手段は 付足の端末に対する前記暗号キーを形成するために前記特定の癩尿がら以前に伝 送された情報を使用することを特徴とする発明。 ８　請求の、−屯囲第５項記載の発明において、前記交換されたｌ青竿艮は前き 己セツション・キーが前暦己センターにおけろ１邑の清報に１カして抽出できな いようにするべぐ￥８１１ｇ６　ｐッション・キーのランダム発生を行うために 前記センターで部分円に発生された情報を含むことを待機とする発明。 ９　多数の端末の間にＳけろ暗号化制御情報の分配を制御Ｍ１するキー分配セン ターにおいて、該πンターは：両射端末間で符号化された情報を個々に交換する 手段を含み、特定の端末に対する前記交換は該特定の端末と前記センターの間の 最後の情報交換に部分的に基づいており。 暗号化され１こＺツション情報が交換されろ少くとも２つの端末を同定し、販四 足された端末からある種の暗号化制御情報を受信する手段を含み。 予め形成されたパターンに従って前記同類され１こ端末からの受信された１“Ｈ 報を羅正し、該修正されｆこ情報をｍｉＪ記端末の他方に伝送し、それによって ｂ−１ｊ記センターで大手町目巨な情報とは無関係に前記−２ツシヨン・情報の 暗号化を計容する暗号化キーを別記端末の各々が形成することを許容する手段を 含むことを狩徴とするキー分目己センター。