JPS61237546A - 通信ノード間にキーを確立する方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 以下の順序で本発明を説明する。

Ａ、産業上の利用分野 Ｂ、開示の概要 Ｃ０従来の技術 り０発明が解決しようとする問題点 Ｅ０問題点を解決するための手段 Ｆ、実施例 Ｆ工、物理的環境（第２図） Ｆ２．安全保護モジュール（第３図） Ｆ３．安全保護モジュール内の暗号化及び解読のデータ
の流れ（第４図） Ｆ４．安全保護モジュールの論理 Ｆ５．セッション・キーの確立 Ｆ６．暗号化機構の基本動作及び略語（第１図）Ｆ７．
セツション・プロトコルの例 Ｇ０発明の効果 Ａ、産業上の利用分野 本発明は暗号通信ノード間に交換的なキーを確立する方
法及びノード及び使用者の同一性（身元）を同時に認証
する方法に関する。

Ｂ、開示の概要 本発明に従えばノード及び使用者を認証する方法及びノ
ード間のデータ・フローを保護する方法が与えられる。

それはノード間に認証された暗号文を含む対話を発生す
る事によって達成される。

各セツション毎に暗号変換に使用するキーをノードの関
与音間で作成し、対称的な認証を行う。

キーは各セツションに独自のものであり、各セツション
毎に違ったキーを発生する。セッション・キーの作成に
は、当事者間に乱数と認証の表示の組合せの形の最小限
度の情報を共有することが含まれる。

Ｃ１従来技術 従来のいくつかの文献には、暗号通信ノード間で合成キ
ーを形成するためのプロトコルが説明されている。さら
にこれ等の文献はセッション・キーと独立したプロセス
として認証過程を論じている。この様な文献には米国特
許第４２２７２５３号、米国特許第４２１８７３８号及
び１９８２年。

ジョン・ウィリイ・アンド・サンプ（Ｊｏｈｎ　Ｗｉｌ
ｅｙ＆　５ｏｎｓ）社刊のメイヤー及びマチアス（Ｍｅ
ｙｅｒａｎｄ　Ｍａｔｙａｓ）著「暗号−計算機のデー
タ安全保護の新次元」　（“Ｃｒｙｐｔｏｇｒａｐｈｙ
−Ｎｅｗ　Ｄｉｍｅｎｓｉｏｎ　ｉｎＣｏｍｐｕｔｅｒ
　Ｄａｔａ　５ｅｃｕｒｉｔｙ”）の第２９３−第２９
９頁、第３４３−第３４７頁、及び第６７９−第６８３
頁が含まれる。

強力な暗号解読者に対抗出来る様に平文のメツセージを
暗号文に変換する事が暗号化の目的である。これに関連
して暗号化及び解読化過程は夫々平文のストリングの集
合を暗号文のストリングの集合に、又この逆に写像する
１対１変換及び上への変換の集合をさしている。これに
代って、暗号変換過程にフィードバックを導入して、擬
似ランダム・ビット流発生器をつくり、その発生器の出
力を平文のデータ流と排他的にＯＲ１，て暗号データ流
を発生する方法がある。

「キー」とは特定の写像関数のことである。典型的な場
合、平文を暗号文に変換する関数を選択するに際して、
送信ノードで使用するキーは受信ノードで暗号文を平文
に変換するための関数を選択する際に使用するキーと同
じである。しかしこの様に限定されているわけではなく
、単に便宜上同じキーを使用しているに過ぎない。これ
に関連して、各ノードは暗号文トラフィック（ｔｒａｆ
ｆｉｃ）を想定している他のノードのキーを所有してい
る場合がある。

さらに暗号上安全とされているシステムに侵害する一つ
の方法は宛先ノードをアクセスするのに使用している暗
号文トラフィックを記録して、その後該宛先ノードに向
う経路に対してプレイバックをかける方法である。一つ
の防衛方法はセツション毎に暗号化及び解読化キーの変
更を確実に行うものである。勿論この様な対策もキーを
所持した非認証のソースが宛先のノードをアクセスする
のを防止出来ない。従って「認証」とは誰がちしくは何
が正当で本物であるかを立証するプロセスであると云え
る。上述のメイヤ及びマチアスの論文に説明がある方法
の中には関与ノードの各々によって独立に与えられる情
報の関数として形成したセッション・キーを使用する方
法を開示している。例えば、仮に１対のノードが暗号化
した乱数を交換して、受取った乱数と局所的に発生した
乱数とを組合せると、両者は共に同じセッション・キー
を計算出来る。この様な合成キーはワイアタップによっ
て再構成が出来ず、又後で特定のノード中でも暗号化し
た乱数を再現する事は出来ない。

上記の米国特許第４２２７２５３号はノード間でセッシ
ョン・キー情報を交換するのに中間の暗号化機構（定義
域間キー）を使用する一方、ノードのマスク・キーの同
一性を守る一つの形成のセッション・キー・プロトコル
を開示している。上記の米国特許第４２１８７３８号は
ノードがパターンを端末に送り、端末がこのパターンを
変更して、その変更をホスト・ノードに戻し、比較を行
う方法を開示している。

Ｄ０発明が解決しようとする問題点 本発明の目的はノード間及び使用者間で暗号通信セツシ
ョンのための共通のセッション・キーを確立する方法を
与える事にある。

本発明に従えば、セツションの関与者を同時に認証し、
すべての関与者が認証された時にだけ一致したセッショ
ン・キーを発生する方法が与えられる。

本発明に従えば、会議の召集の様に、ノード間の通信を
カバーする暗号通信方法が与えられる。

即ち暗号化セッション・キーの対称性もしくは交換性は
会議召集網の方向性によって影響を受けない。

Ｅ０問題点を解決するための手段 本発明の方法により、一対の暗号通信ノード間に交換可
能なキーが確立され、ノード及び使用者の同一性（身元
）が認証される。キーは単一の暗号セツション間だけ有
効である。この点に関して、各ノードは予じめ確立した
定義域間（ｃｒｏｓｓ−ｄｏｍａｉｎ　）キー、ノード
及び使用者の同一性、他の−乃至複数のノードの同一性
に関する表示（ｉｎｄｉｃｉａ）を含む暗号装置を有す
る。各ノードで行われる段階は（ａ）乱数を発生し、定
義域間キーによってこの乱数を暗号化し、この暗号化し
た乱数のコピーを他のノードに送り、上記他のノードか
ら受取った暗号化した乱数を上記定義域キーで解読し、
（ｂ）両ノード及び使用者の同一性から誘導される。も
しくはこれに関連する属性を組合してパラメータを作り
、（ｃ）局所乱数及び受信乱数の合成によって中間キー
を作り及び（ｄ）上記パラメータを上記中間キーで暗号
化してセッション・キーを作る諸段階より成る。段階（
ｃ）及び（ｄ）において、セッション・キーの発生は認
証段階と組合して行われる事に注意されたい。

明らかに、本発明はプレイバック及び合言葉に対する侵
害の受は易さを減少する。プレイバックに対する侵害は
各セツション毎に新しいセッション・キーを確立する事
及びセッション・キーが各個別のセツション毎に各ノー
ドによって供給される秘密の乱数に依存するという事で
防止される。

合言葉に対する侵害は合言葉が秘密の、時間的に変動す
る乱数を含む複雑な関数に組合されて１金言葉の値がタ
ップ付きの通信線によって推測される可能性が減少する
事及び−っのノードから他のノードへ通信される暗号値
を累算する事（ノード間では暗号化しない合言葉を伝送
しない）によって減少する。使用者の認証は暗に行われ
、堂々とは行われない。即ち通常の合言葉の認証方法の
様に合言葉を交換せず、データ・ベースに記憶した類似
の合言葉の基準値と比較しない。

本発明の方法は上述の米国特許第４２２７２５３号に与
えられた技術より進歩している。上述の特許はセッショ
ン・キーの確立及び定義域間キーの概念を含む通信安全
保護システムを開示しているが、各ノードで発生する乱
数情報と局所的なノードもしくは使用者の同一性もしく
はその誘導情報の組合せ関数としての対称キーについて
の情報を開示していない。即ちこの特許はセッション・
キーを確立するのに非対称関係を必要とする従来技術の
代表的なものである。非対称関係の例は一つのノードが
主ノードとして働き、第２のノードが従ノードの働きを
するものである。この様なシステムでは、セッション・
キーは主ノードで発生し、従ノードに送られる。最後に
、上述のメイア及びマチアスの論文は認証とセッション
・キーの通信の組合せを開示していない。

Ｆ、実施例 ２つのノード間には安全なデータ通信路が望まれるが、
現在では電話回線の様に非安全な相互接続線しか利用出
来ない。ノードは地理的に分散しているが、各ノードは
プログラム内蔵制御データ処理装置及び通信施設のクラ
スタを含む代表的な機構の例は米国特許第４２１８７３
８号の第１図に示されている。

各ノードには安全保護モジュールが組込まれている。こ
のモジュールはノードが非安全な相互接線路とインター
フェイスする点でノードのデータ路に置かれる。安全保
護モジュールは一変ノード間にセツションを確立すると
、データを暗号化及′び解読して非安全な施設上には暗
号化したデータだけを伝送する。以下の節で一対の通信
ノード間に互換可能な独自のセッション・キーを確立す
るため及び各ノードが他のノードの同一性を同時に認証
出来、さらにオプションとしてこのノードの使用者の同
一性を認証出来る本発明の方法の好ましい実施例につい
て説明する。

Ｆｌ。物理的環境（第２図）。

第２図を参照すると、ディスク記憶装置３７を備え、遠
隔ノード２２と通信するパーソナル計算機即ち端末２１
が示されている。この場合、ノード２２は本体計算シス
テムの形をなしている。ディスクもしくはバッファに記
憶されていて、ノード２１の伝送即ち送信プロトコール
に従うファイルは通信アダプタ２３に送られ、バイト直
列データがビット直列データ流に変換される。このデー
タは安全保護モジュール２４に送られ、暗号化される。

ここからデータはモデム２５を通して、電話交換網２６
上に送られる。

この点でデータは盗聴される。その後データは遠隔ノー
ドのモデム２９を通過して、第２の安全保護モジュール
３０に達する。安全保護モジュール３０はデータ流を解
読する。次に解読されたデータはスイッチ３１を通過し
て通信コントローラ３２に達する。コントローラ３２は
データをビット直列フォーマットから成る他のフォーマ
ット、おそらくバイト直列フォーマットに変換する。こ
のバイト直列フォーマットはこのノードに付随する本体
計算システム２２によって処理される。同様に本体計算
システム２２を含むノードに発したデータは同じ過程で
、ただし逆方向に遠隔ノード、この場合はパーソナル計
算機２１に送られる。上述の事はこの分野で標準的に行
われる事である。

しかしながら安全保護モジュール２４及び３０が盗聴者
に利用されない様な方法でデータを暗号化及び解読する
ためには、秘密のキーを発生し、これを電話回路網２６
のタップで盗聴しているかもしれない盗聴者２８によっ
て知られない様な手段で両安全保護モジュールに示され
なければならない。さらに、秘密のキーを発生する方法
は電話回路網にアクセスした詐称者２７が端末２１もし
くは本体計算システム２２を首尾よくあざむいて認証さ
れた者のふりをできないようなものでなくてはならない
。第２図には通信アダプタ３３、マルチプレクサ３４、
安全保護モジュール・コントローラ、ディスク記憶装置
３６、及びその間の接続が示されているが、その説明は
本発明とは直接関係がないのでその説明は省略する。

この様な秘密キーを発生するいくつかの方法が工夫され
ているが、達成可能な安全保護の全体的なレベルで異な
っている。好ましい実施例における、安全保護モジュー
ルに使用する暗号化／解読アルゴリズムはデータ暗号化
標準（ＤＥＳ）の暗号フィードバック・モードである。

このアルゴリズム標準は最初１９７７年１月に米国標準
局（Ｕ。

Ｓ　、　Ｎａｔｉｏｎａｌ　Ｂｕｒｅａｕ　ｏｆ　５ｔ
ａｎｄａｒｄｓ）のＦＩＰＳ　　ＰＵＢ４６によって公
開されたものである。

暗号フィードバック・モードは１９８０年１２月２日に
米国標準局ＦＩＰＳ　　ＰＵＢ８１に説明されている。

これについては１９８２年、アジソンーウエスレイ出版
株式会社（Ａｄｄｉｓｏｎ−ＷｅｓｌｅｙＰｕｂｌｉｓ
ｈｉｎｇ　Ｃｏ、）刊のデニング（Ｄｅｎｎｉｎｇ）著
の著書「暗号及びデータの安全保護Ｊ　　（Ｃｒｙｐｔ
ｏｇｒａｐｈｙａｎｄ　Ｄａｔａ　５ｅｃｕｒｉｔｙ）
の第９２−１０２頁の説明を参照されたい。

Ｆ２．安全保護モジュールの構成要素 第３図を参照するに第２図に素子２４及び３０として示
した安全保護モジュールが示されている。

安全保護モジュールはデータが通信リンクの各端で安全
保護モジュールを通過出来る様に設置される。このモジ
ュールにはデータ流の暗号化及び解読の外に遂行するい
くつかの機能がある。これは例えば、ＣＭＯ８中で具体
化出来る電池５０で維持される記憶装置４３を含む。記
憶装置４３は或　　゛る量のデータを保持し得るが、そ
の中にはノード・マスク・キー（ＫＭＮ）が含まれる。

安全保護モジュールは該モジュールに侵害がなされた時
に破壊される様になっている、従って重要な素子は耐干
渉性の容器４５及び干渉検出器４４によって防護されて
いる。侵害がなされた時は最小限、干渉検出器４４は記
憶装置４３から電池５０を切断する。

安全保護モジュールはデータ経路を通信アダプタ２３に
、制御経路をノードに及びデータ経路をモデム２５に結
合するインターフェイス４６，４７及び４８を夫々含ん
でいる。安全保護モジュールはさらに必要なマイクロプ
ロセッサ４２及びＤＥＳアルゴリズムを含む暗号化モジ
ュール４１、読取り専用記憶装置５２及び相互接続線４
９を含む。

Ｆ３．安全保護モジュール内の暗号化及び解読のデータ
の流れ 第４図を参照するに安全保護モジュール内の暗号化及び
解読のためのデータの流れが示されている。ＤＥＳチッ
プは暗号化及び解読の両方に対してキー・レジスタの内
容の制御の下にシフトしたデータを変換する。この過程
はくわしく文書化されていて、その詳細は上述の米国標
準局の文書に記載されている。

Ｆ４．安全保護モジュールの論理 上述の如く、各安全保護モジュールは耐干渉領域を有す
る。この領域は暗号化機構（ＣＦ）とも呼ばれる。敏感
な情報は電池維持ＲＡＭ内に含まれ、この情報を盗み出
そうとする試みがあると、ＲＡＭの内容が失われる様に
なっている。重要な事はＲＡＭが申ＫＭＮで表わされる
マスク・キーを含む点にある。このキーはキーを暗号化
するキーとして使用され、ＣＦの外部に記憶している他
のキー及びデータを防護する。＊ＫＭＮは２つの６４ビ
ツトＤＥＳキー、即ちＫＭＮ及びＩＭＮより成る。＊Ｋ
ＭＮによる６４ビツト値Ｘの暗号化はＫＭＮによるＸの
暗号化（Ｅ）、ＩＭＮによるその結果の解読（Ｄ）、及
びＫＭＮによるその又結果の暗号化として定義する。即
ち Ｅ＊ＫＭＮ　（Ｘ）　＝Ｅ　　　Ｄ　　　Ｅ　　　（Ｘ
）ＫＭＮ　　　　ＩＭＮ　　　ＫＭＮ ＩＫＭＨによるＸの解読とはＫＭＮによるＸの解読、Ｉ
ＭＮによるその結果の暗号化及びＫＭＮによるその又結
果の解読として定義する。即ちＤ　＊　ＫＭＮ　（Ｘ）
　”　Ｄ　　　Ｅ　’　　　Ｄ　　　（Ｘ）ＫＭＮ　　
　　ＩＭＮ　　　　ＫＭＮ ノードの特定の対間で通信を行う前には、傘ＫＮＣで表
わす定義域間キーを発生して、両ノードに設置しなけれ
ばならない。傘ＫＮＣも又２つの６４ビツトＤＥＳキー
、ＫＮＣ及びＩＮＣより成る。

＊ＫＮＣによる暗号化及び解読も傘ＫＭＮに対して前に
定義したのと同じ様に定義される。定義域間キーは秘密
の乱数を暗号化して回路網中の一つのノードから他のノ
ードへ、即ち一つのノードの一つの定義域から他のノー
ドの定義域に転送するのに使用するキーである。本発明
で使用するノードの定義域とはそのノードによって管理
される資源の集合をさす。単一のノードしか含まないデ
ータ通信は単一定義域通信と呼び、２以上のノードを含
むものは多重定義域通信と呼ぶ。

各ノードに備えた定義域間キーは実際には互の同価変形
暗号（バリアント）である。さらに詳細に説明すると、
通信を望んでいる一対のノードＸ及びｙの場合、傘ＫＮ
Ｃはノードの一つ例えばノードＸに備えられ、傘ＫＮＣ
の第１のバリアントが他のノード即ちｙに設置される。

傘ＫＮＣに代って記法ＩＫＮＣＯを使用する。従って＊
ＫＮＣ１は嘲ＫＮＣＯの第１のバリアントを示す。＊Ｋ
ＮＣＩは２つの６４ビツト・キー、ＫＮＣｌ及びｌＮＣ
ｌより成る。ここで ＫＮＣ１＝ＫＮＣＯ傘ｈｅｘ’８８８８８８８８８８８
８８８８８’ ｌＮＣ１＝ＩＮＣＯ串ｈｅｘ’８８８８８８８８８８８
８８８８８’ 傘は排他的ＯＲを表わす。

ｈｅｘは１６進フオーマツトを表わす。

他のノードと共用の各定義域間キーは安全保護モジュー
ル２４及び３０の防護記憶装置部中のＣＦ中か、マスク
・キーもしくはマスク・キーのバリアントにより暗号化
されてＣＦの外部に記憶される。定義域間キーは通信セ
ツションが確立した時に、各ノードが詐称者とでなく、
対の認証した他のノードと通信している事を確認するた
めに使用する。この動作をノード認証と呼び、認証され
つつあるノードが端末である時には端末認証と呼ぶ。

ノードＸ−ノード１間のセツションでノードＸに居る使
用者が認証を必要としている時には、Ｘで許可している
各正当な使用者の同一性（ＩＤ）及び合言葉（パスワー
ドとも言う）（ＰＷ）に対する使用者の合言葉認証値（
ＰＷＦ）をノードｙに設置しなくてはならない。定義域
間キーと同じ様に、合言葉認証値が使用者の認証に使用
出来る。

しかしながら合言葉認証値はこれ等の合言葉認証値から
は抽出出来ない。合言葉認証過程に導入される合言葉値
は長さが１乃至８０文字もしくはバイトである。必要な
時は、合言葉は右に埋込みがなされ、各合言葉の長さを
８０文字もしくは８０バイトに出来る。次にキー及びす
べて０ビツトの初期設定ベクトルを使用する暗号ブロッ
ク連鎖モードを使用してＤＥＳによって合言葉を暗号化
する。発生した暗号文の最後のブロックから最古の５６
ビツトを取出し、これ等の５６ビツトに５６ビツト・キ
ーの各７ビツト目毎に第８のパリティ・ビットを加えて
これ等の５６ビツトを６４ビツトに拡大してハツシュ（
ちらし）合言葉ＫＰＷを得る。右側に付加えられるパリ
ティ・ビットは、左から右に７つのキー・ビットより成
る結果のキー、１つのパリティ・ビット、７つのキー・
ビット、１つのパリティ・ビットの様に付加えられる。

この結果をＫＰＷと呼ぶ。　　。

合言葉認証値はＫＰＷ及び使用者のＩＤ（ＵＩＤ）から
次の関係によって決定出来る。

ＰＷＦ＝　（ＤＫＰ、　（Ｕ　Ｉ　Ｄ）　）　＊　Ｕ　
Ｉ　Ｄ通常、合言葉認証値がＩＤ　　Ａを有する使用者
のためにノードＸに設置されると、Ａが現在居るノード
の如何に拘らず、この同じ合言葉が、Ｘへの通信路を確
立する時に使用者Ａによって使用される。即ちＸと通信
が認証された各ノードには一つのキーがある。又ノード
Ｘは認証した使用者のＩＤ及び関連する合言葉認証値の
リストを有する。

Ｘと通信が認証された各使用者には一つの値が存在する
。たとえ使用者のＩＤでいくつかの異なるノードから成
るノードと会話出来る場合でも、そのノードは一使用者
のＩＤ当り二つ以上の合言葉認証値を記憶していない。

各ノードに定義域間キー及び合言葉認証値を設置する手
順はこの分野で一般に知られている事である。

Ｆ５．セッション・キーの確立 次の例は２つのノードの相互接続に関するものであるが
、セッション・キー発生の方法は任意の数のノードの関
与を考慮している。従って、含まれるノードの数にかか
わらず、すべてのノードは同じセッション・キーを発生
しなければならない。

セッション・キーは次の式で定義される。

ＫＳ＝Ｅ　ＣＲ，＊Ｒ２＊Ｒ３傘Ｒ４・・・・・・〕　
（ＰＷＦ・＋ＰＷＦ２＋ＰＷＦ３＋ＰＷＦ４＋・・・・
・・）ここで＋は２６４を法とする加算であり、Ｒ□Ｉ
ＩＩＲ。

＊Ｒ３’ＩＲ４は対応するノードが寄与する秘密の乱数
の組を表わす。セッション・キーを発生するに当り、各
ノードがそれ自身の乱数に寄与するという事は、セッシ
ョン・キー発生の筋書が詐称者のノードによって偽造さ
れない事を保証する。この様な偽造は詐称者のノードが
前のキー発生の筋書の記録を里に再現、する場合［こ生
ずる７Ｒｎ値はセッション・キーの発生の直前に回路網
を介して交換される。即ち各ノードは各他のノードの乱
数を得る。例えばただ２つのノードＸ及びｙだけが関与
するものと仮定すると、＊ＫＮＣＯがＸに傘ＫＷＣ１が
ｙに記憶される。乱数ＲｘはＸに記憶した定義域間キー
の第１のバリアント即ち＊ＫＮＣ１によってＸで暗号化
し、ノードｙでは受信した暗号化Ｒｘをｙに記憶した定
義域間キーＩＫＮＣ１で解読する。それは先ずこのキー
のバリアントがまだ計算されていないからである。

同様に乱数Ｒｙはｙに記憶した定義領域間キーの第１の
バリアント串ＫＮＣＯによってｙで暗号化されてＸに送
られる。ノードＸでは受信した暗号化ＲｙをＸに記憶し
た定義域間キー＊ＫＮＣＯによって解読する。それはこ
のキーのバリアントがまだ計算されていないからである
。この分配方法によって成るプレイバックによる侵害が
発生したＫＳ値の安全性を弱めない事が保証される。そ
れは一つのノードから他のノードにＲ値を送るためのキ
ーが他のノードからＲ値を受取るためのキ−でないから
である。同じ目的は同じキーのバリアントでなく２つの
独立したキーによっても達成出来る事を理解されたい。

セッション・キーの設定を認めるプロトコル（通信規約
）によれば、使用者のＩＤを交換して各ノードの使用者
を同定しなくてはならない。暗号化したＰＷＦ　値はセ
ツションに含まれるべき遠隔使用者の使用者ＩＤにもと
すく合言葉認証値表から得られる。例えば使用者Ａがノ
ードＸに居るものと仮定する。ノードＸでＡの導入した
合言葉及び使用者ＩＤからＣＦ中でＰＷＦＡ＆計算する
。計算したＰＷＦＡは自動的にＸのＰＷＦｎの総和に加
えられる（フォールドされる）。すべての他のノードで
も、使用者ＡのＩＤを使用して対応する合言葉認証値表
からＰＷＦＡを引出す。次にＰＷＦＡ＆自動的にＰＷＦ
の総和に加えられる同じ様に各他のノードに居る各使用
者のＰＷＦ値もＰＷＦ　の総和の項となる。「串」及び
「＋」演算は共に交換側を満足するから、本発明の方法
の各ステップは各ノードで同一のセッション・キー値を
与える。各ノードでは正しい値が導入され、使用される
事は云う迄もない。

もし３以上のノード及び使用者が参加する場合で、ｎ方
向の接続及び暗号化セツションが望まれている場合には
、各使用者は他のｎ−１個のノードの各々に同じＰＷＦ
値を設置しなければならない。唯２つのノード及び使用
者が関与する場合には認証には一意的なＰＷＦ値が記憶
されて使用される。

各ノードに対してＲ及びＰＷＦ　の総和の最ｎ　　　　
　　　　　　　　　ｎ 後の項は局所ノードの乱数値及び使用者ＩＤもしくは合
言葉値を表わしている。又ｎ２２の場合、一意的な定義
域開封が各対に対して割当てられる。

従って一つのノードに手心を加えても、システム全体に
累を及ぼす事はない。

以下の説明を続けるにあたり、本発明の方法の例に使用
する時間的及び空間的な一組の定義を先ず述べておく。

本発明の主な動作は時間軸上に分散している。これ等の
動作は各ノードが他のノードの動作を真似るという意味
で対称的である。説明に一貫性を持たせ、不明瞭な部分
をなくすために、以下の節で基本動作及びその略語を定
義する。

Ｆ６゜暗号化機構（ＣＦ）の基本動作及び略語本発明の
詳細な説明するために、暗号化機構の基本略語（例えば
指令セット）を定義し、次にこれ等の基本略語でセツシ
ョン開始プロトコルを説明する。

ＣＦ指令セットの設計では通常の指令セットの設計の目
標とは正反対の目標を立てるのが普通である。即ちＣＦ
指令セット設計の主要目標はその指令セットで使用者が
出来る事を制限する事にあるがより一般の指令セットの
目標は使用者がその指令セットで出来る事を最大にする
事にある。従って指令の多くは多重機能を果すが、おそ
らく最も基本的動作を遂行する指令は含まない。

ＣＦの基本動作及びその略語は第１図に最も良く示され
ている。第１図で、破線ボックス内の領域はＣＦ内のデ
ータの流れを示している。破線ボックス内に現われる値
はＣＦ外からはノードの所有者であれ、何等かの手段で
一時的にＣＦの使用権を得た侵害者であれ利用出来ない
。３つの破線ボックスが示されているが、これ等はすべ
て一つのＣＦ内にある。異なる破線領域は３つのデータ
操作シーケンスに関係し、その各々が何等かの出力を発
生している。成る機構（ＲＡＮＫ、ＫＮＣＲ）は一度な
らず現われているが、それはその用途をデータ操作の各
々について示すためであり、多数目示したこれ等の機構
は実際には同じ物理的機構である。

以下説明する任意の暗号化及び解読動作の引数のサイズ
は８バイトもしくは１６バイト、キーのサイズは８バイ
トもしくは１６バイト（キー・パリティ・ビットを含む
）。キーサイズが１６バイトである時には、ＤＥＳアル
ゴリズムを通して３回のパスが行われる事を理解された
い。これ等の３回のパスに使用するキーは１６バイト・
キーの夫々最初の８バイト、最後の８バイト及び最初の
８バイトである。３つのパスに使用する演算は１６バイ
ト・キーによる暗号化が指定された時は夫々８バイＩ−
・キ・−・の暗号化、解読及び暗号化であり、１６バイ
ト・キーによる解読が指定した時は夫々８バイト・キー
の解読・暗号化及び解読である。引数のサイズが１６バ
イトである時は、最初８バイト、次に第２の８バイトを
相継ぐ演算で暗号化する。長い値を使用する時はより大
きな安全保護が得られる点を除いて、１６バイト・キー
と８バイト・キー間に特に論理的な差は存在しない。

ここで説明している設計では、ノード・マスク・キー及
び定義域間キーは１６バイトである。乱数、合言葉認証
関数、及びセッション・キーは８バイトである。

次に基本略語及びこれによって定義される機能のリスト
を示す。

ＬＫＭＮ・・・ノード・マスタ・キーのロードマスタ・
キーを受取って、マスク・キー・レジスタＫＭＮＲ（第
１図２０１）中に格納する。

ＬＫＭＮはセツション中は実際に使用されないが、ＣＦ
を使用状態にする前にＣＦをマスク・キーで初期設定す
るのに必要である。

ＧＥＮＲ・・・乱数の発生 ＧＥＮＲは通常セッション・キーの発生の準備に使用す
る最初の基本動作である。これはＣＦ中の成るアキ斗ム
レータをクリアし、セッション・キー発生対話の第１の
ステップを行う。これによってこのノードに寄与する乱
数が発生される。擬似乱数が発生してＲＡＮＲレジスタ
に置かれる。

この乱数を発生するのにＤＢＳチップを使用し、ＣＦ中
に存在する電池維持レジスタがこの乱数発生機能を支援
する。ＤＥＳアルゴリズム（もしくは他のアルゴリズム
）の助けによる擬似乱数発生はありふれたものであるか
ら、詳細な説明の必要はないであろう。乱数はここで第
１図の点２０２．２０３及び２０４で利用可能になる。

この数の重要な性質はその値が外部の者によって予想出
来ない点にある。誰も前のセツションに使用した値と合
致する乱数を発生する様にＣＦを強制出来ない。

ＧＥＮＲは又ＩＰＦＲ及びＩＰＦＲレジスタを０にクリ
アする。

ＧＥＮＲには侵害者がＣＦに物理的にアクセスが出来る
様になった時の懸命な試みが行われる割合を減少するた
めに１秒間の休止期間がある。

ＬＥＫＮＣ・・・外部の定義域キーのロード引数は２０
５及び２０６に受取られ、マスタ・キーＭ（２０１で示
したＫＭＮＲから到来する）マスク・キーの第１のバリ
アントによって順次暗号化される。解読は２０７及び２
０８で解読（Ｄ）される。解読値は２０９及び２１０で
示したＫＮＣＲＮＣ入レジスタ中される。

ＧＥＴＲ・・・乱数の取出し ＧＥＮＲによって発生した乱数値はＫＮＣＲに現在保持
されている定義域間キーの第１のバリアントによって暗
号化されて現在ＫＮＣＲ中に保持されている。この結果
は使用者に戻される。この過程は第１図の２１１（バリ
アントの形成）及び２１２（暗号化）で示されている。

ＩＮＰＷＦ・・・０の合言葉関数値の入力この値０は０
のキーで解読され、結果をＰ’ＦＨＲレジスタに置く。

ＯによるＯの解読結果は定数であるから、この動作はＰ
ＦＨＲにその定数をロードする事である（第１図２１３
）。認証すべき使用者が居ないノード、例えば人のいな
い本体計算機と通信する時は、このノードの使用者ＩＤ
及び使用者合言葉は暗に０であると解釈される。工ＮＰ
ＷＦは概念的に異なったプロトコルを使用する事なく、
このケースを処理する。

ＩＥＰＷＦ・・・外部の合言葉関数の入力引数値を受取
って、マスク・キーの第４のバリアントＭ４（２０１で
示したＫＭＮＲから得られる）で解読しく２１４）、結
果をＰＦＨＲレジスタ２１３に置く。

ここではマスク・キーの種々のバリアントの当面の使用
態様と両立させるために、第２もしくは第３のバリアン
トでなく第４のバリアントを使用する。即ち、第１のバ
リアントから第３のバリアント迄は現在迄の結果を得る
種々の特定の目的に既に使用しているが第４のバリアン
トにはこの様な制約はない。しかしながら、ここで選択
したバリアントはＬＥＫＮＣに使用するために選択した
ものとは異なるという事以外に、どのバリアントを使用
するかに関する論理的な意味はない。

この基本機能に入力する値は第１図の２１５で示した使
用者認証表から得る。ＵＩＤは他のノードから受取り、
認証表をアクセスするのに使用する９即ち表２１５は使
用者及び暗号化した合言葉認証値表である。ＩＥＰＷＦ
が通常の如く正しく使用された後、特定の使用者の正し
い合言葉認証値（ＰＷＦ）はＩＥＰＷＦの実行後筒１図
に２１３で示したＰＦＨＲレジスタ中に存在する。暗号
化していないＰＷＦ値はＣＦの外部からは得られない事
に注意されたい。

工○ＮＲ・・・他のノードの乱数データの入力アーギュ
メント値が受取られ現在の定義域間キー（ＫＮＣＲ）に
よって解読される。この結果はＩＲＦＲレジスタのビッ
トと法を２として加算され（排他的ＯＲされ）、ＩＲＦ
Ｒレジスタに導入される。この動作は第１図の２１６，
２１７及び２１８に示されている。

ＩＮＰＷＥもしくはＩＥＰＷＥは工○ＮＲ動作の前に実
行されなりればならない。従ってＰＦＨＲはこの動作を
実行した構成る他のノードに居る使用者のための合言葉
認証値（ＰＷＦ）を含んでいる。

ＩＮＰＷＥ及びＩＥＰＷＦは値を加算してＴＰＦＲレジ
スタに直接導入するのでなく、単に合言葉認証値（ＰＷ
Ｆ）をバッファもしくは保持レジスタ（ＰＦＨＲ）にロ
ードするだけである。ＰＷＦ値の実際の加算は種々のノ
ードからの乱数を加算するのと同時に工○ＮＲの一部と
して達成される。この構成によって乱数の総和に加わる
のと同数の項がＰＷＦの総和に加わる。この制約は成る
型の侵害をより困難にする。

ＧＥＮＲが実行される時はＩＰＦＲ及びＩＲＦＲがクリ
アされる（ＧＥＮＲは通常セッション・キーを確立する
シーケンスの最初の動作である）事に注意されたい。２
つのノードだけを接続する場合には、ｌ０ＮＲはＧＥＮ
Ｈに続いて唯一度だけ実行される。従って２１７及び２
１８の動作は加算動作でなく単なるコピー動作である。

しかしながら、３つ以上のノードを含むセツションの場
合には、ｌ０ＮＲはセツションに含まれる各地のノード
に対して、各ノードによって一回実行される。従って２
１７及び２１８の加算動作が意味を持って来る。

ＧＥＮＫ・・・セッション・キーの発生ＧＥＮＫがセッ
ション・キー計算の残りを完結する。これは使用者ＩＤ
を（２１９で）及び累算（フォールド）した合言葉（Ｋ
ＰＷ）を（２２０で）受取り、使用者ＩＤを累算した合
言葉によって（２２１で）解読し、この結果を（２２２
で）使用者ＩＤと排他的にＯＲする。これによってこの
ノードに居る使用者の合言葉認証値（ＰＷＦ）が生ずる
。ＧＥＮＫはＲＡＮＫレジスタから局所的に発生した乱
数を得、これをＩＲＦＲ中の値と排他的にＯＲする（２
２３）、ＧＥＮＫは又２２２からのＰＷＦ値を取出し、
これをＩＰＦＲからの値に加える（２２４）。２２３か
らの結果は２２４からの値を暗号化するキーとして使用
する。

このキーがセッション・キーである。

ＧＥＮＫは又ＲＡＮＲ（乱数）レジスタ２０２゜２０３
及び２０４をリセットする。ＲＡＮＲレジスタがリセッ
トされた後は、ＲＡＮＲレジスタ値を使用しようとする
動作は、新しい乱数がＧＥＮＲによって発生する迄失敗
する。この方法はセツションが完了した後、成る時刻に
侵害者がＣＦの使用権を得ても、ノードで最後に使用し
たセッション・キーを侵害者が発生するのを防止する一
部となる。

２つのノード間だけのセツションの場合には、ＩＰＦＲ
は他のノードの使用者に関連する合言葉認証値（ｐｗＦ
）を含み、ＩＲＦＲはＧＥＮＲが実行された時点で他の
ノードによって発生した乱数を含む。２２４及び２２３
への他の入力はこの　　　　″ノードの使用者に関連す
るＰＷＦ及びこのノードのための乱数である。対称性に
よって、他のノードはブロック２２４及び２２３への入
力が逆になっている点を除き、（有効なセツションの開
始時に）このノードに存在するものと同じ入力値をブロ
ック２２４及び２２３の入力に有する。ブロッり２２４
及び２２３によって行われる演算は交換側が成立つから
、ノードは一致したセッション・キーを発生する。

他のノードを使用する侵害者及び盗聴者も失敗する。そ
れは彼等が、乱数を交換するのに使用した正しい定義域
間キーにアクセス出来ず、ブロック２１７への入力が正
しくないからである。有効なノードを使用する時でも、
有効な使用者ＩＤ及び合言葉の組合せを持たない侵害者
はアクセスに失敗する。それは、侵害者のノードのブロ
ック２２４への左手の入力に提示されるＰＷＦが、一致
したセッション・キーを発生する事を要求されている場
合の様に、他のノードのブロック２２４への右手の入力
と一致しないからである。

Ｆ７゜セツション・プロトコルの例 この例は端末ノードＮ１の使用者Ｕ１が本体ノードＮ２
と通信する場合を仮定している。本体ノードには特定の
使用者はいない。本体の暗号化サブシステムは本体のシ
ステムへの関門としての働きをするので、ゲートウェイ
と呼ぶ事にする。さ一意的なマスタ・キーが端末とゲー
トウェイに前もって設置され、正しい記入項目がゲート
ウェイの使用老衰２１５及びノード表２２６に、そして
端末のノード表２２６に挿入されているものとする。セ
ッション・キー開始プロトコルを論するために、このリ
ンクの端末の定義域間キーはｈｅｘ（１６進）’１１１
１１１１１１１１１１１１１１１１１１１１１１１１１
１１１１’の値を有するものとする。

［事象のシーケンス］ ［ノードＮｌ］ 使用者がセツション開始プログラムを呼出し、彼自身を
Ｕｌと固定し、彼はノードＮ２と通信したい事を示す。

プログラムは使用者に彼の合言葉の提示を促し、端末ノ
ードの同一性ＩＤ”Ｎｌ”を端末に記憶したファイルか
ら得る。第１図でＮＩＤ１、ＵＩＤｌ及びＰＷｌとして
示した値が現在知られている。

プログラムはすでに説明した暗号ブロック連鎖アルゴリ
ズムを使用して（２２７で示し塾様に）る電話番号もし
くは登録簿及び所望の他のノードの同一性Ｎ２に基づい
てノードＮ２に電話をかける。

［ノードＮ２コ ノードＮ２は電話に応答して、通信路を与える。

［ノードＮ１コ ノードＮ１はそのノードＩＤ（Ｎｌ）及び使用者ＩＤ（
Ｕｌ）をノードＮ２に送る。この動作は第１図の右端の
トランザクション欄２２８に示されている。

［ノードＮ２］ ノードＮ２はそのノードより　（Ｎ２）及び２進Ｏの使
用者ＩＤをノード１に送る。ゲートウェイには認証すべ
き使用者は居ないので、使用者ＩＤには２進０が使用さ
れる。

［ノードＮ１コ ノードＮ１はゲートウェイのノードＩＤ（Ｎ２）及びゲ
ートウェイから２進０の使用者ＩＤを受取る。この動作
は第１図の右端のトランザクション欄２２８に示されて
いる。ここでノードＮ１は次の値を有する。

Ｎより１＝“Ｎ１”、ＵＩＤ１＝　”Ｕｌ”、ＫＰＷ１
＝使用者Ｕ１のためのフォールド合言葉ＮＩＤ２＝“Ｎ
２”、ＵＩＤ２＝２進Ｏ［ノードＮ２］ ノードＮ２は端末のノードＩＤ”Ｎｌ”及び使用者ＩＤ
”ＵＩ′′を受取る。ここでノードＮ２は次の値を有す
る。

ＮＩＤ１＝“Ｎ２”、ＵＩＤｌ＝２進０．　ＫＰＷ１＝
２進０、ＮＩＤ２＝“Ｎｌ”、ＵＩＤ２＝“Ｕｌ”。

ＮＩＤ１、ＵＩＤｌ等は局所ノードのための値を指し、
ＮＩＤ２、Ｕより２は遠隔ノードのための値を指す。従
って上記の量の値はゲートウェイのＣＦに存在する。

［ノードＮｉｌ 端末はＧＥＮＲを実行し、ＲＡＮＲレジスタ２０２．２
０３及び２０４中に乱数を発生する。端末は又ノード表
２２６中のゲートウェイ・ノードＩＤ″Ｎ２”をルック
アップして、対応する値を得て、この値をＬＥＫＮＣ：
に渡す。これによってＫＮＣＲレジスタ（２０９及び２
１０）中に定義域間キー値（今の場合はｈｅｘ　’１１
１・・・１′）を発生する。端末はＧＥＴＲを実行して
ＲＡＮＲレジスタからの乱数をｈｅｘ　’９９９・・・
９′のキーで暗号化して同じレジスタに戻す、、　ｈｅ
ｘ　’９９９−９　’　キーはｈ　ｅ　ｘ　’１１１−
１’の第１のバリアントであり、２１１で発生する。乱
数の暗号化は２１２で行われる。この暗号化した乱数値
はトランザクション２２８に示した様にゲートウェイに
送られる。

［ノードＮ２コ ゲートウェイはＧＥＮＲを実行して、ＲＡＮＲレジスタ
２０２．２０３及び２０４中に乱数を発生する。同様に
ゲートウェイはノード表２２６中の端末のノードＩＤ”
Ｎｌ”をルックアップして、対応する値を得、ＬＥＫＮ
Ｃにこの値を受渡す。

これによってＫＮＣＲレジスタ（２ｏ９及び２１０）中
に定義域間キーの値（この場合はｈｅｘ′９９９・・・
９′）を発生する。ゲートウェイはＧＥＴＲを実行して
ＲＡＮＫレジスタ中の乱数をキーｈｅｘ’ｌｌｌ・・・
１′によって暗号化して戻す。

ｈ　ｅ　ｘ　’１１１・・’Ｌ’　キーはｈ　ｅ　ｘ　
’　９９９−９　’キーの第１のバリアントであり２１
１で発生し、乱数Ｒの暗号化は２１２で行われる。この
乱数の暗号化値はトランザクション欄２２８に示した様
に端末に送られる。

ゲートウェイによって保持されている定義域間キーは端
末に保持されているキーの第１のバリアントであり、従
って端末によって保持されているキーはゲートウェイに
よって保持されているキーの第１のバリアントである。

上述の様に使用する時、この配列体は各ノードで発生し
た乱数の正しい交換を行う。

ゲートウェイは使用老衰２１５中の端末使用者の使用者
ＩＤ（”Ｕｌ’″）をルックアップして、対応する値を
得る。このゲートウェイはこの値を入力としてＩＥＰＷ
Ｆを実行して、ＰＦＨＲレジスタに使用者Ｕ１と関連す
る合言葉認証値（ＰＷＦ）を生ずる。

ゲートウェイは端末からの暗号化乱数を受取り、これを
ｌ０ＮＲを実行する際の入力として使用する。従って端
末で発生した乱数はゲートウェイのＩＲＦＲレジスタに
置かれ、２１６で解読され、ＩＲＦＲの前の内容、この
場合は（ＧＥＮＲによってセットされている）０である
ＩＲＦＲの前の内容と排外的にＯＲされる。ｌ０ＮＲの
一部として、使用者のＵｌのための合言葉認証値（ＰＷ
Ｆ）はＰＦＨＲレジスタから、２１８で２進０値と加算
された後ＩＰＦＲレジスタに移動する。

ゲートウェイがＧＥＮＫを実行し、ＫＰＷは２進０（７
）ＫＰＷ引数を２２０に与え、２進０（７）ＵＩＤアー
ギュメントを２１９に与える。このＵＩＤはＫＰＷの値
をキーとして使用して２２１で解読され、この結果が２
２２でＵＩＤと排他的にＯＲされる。２２４でゲートウ
ェイのための合言葉認証値（ＰＷＦ）（ＵＩＤ及びＯの
ＫＰＷ値に基づく）、と使用者のＵｌ（ＵＩＤ”Ｕｌ”
及びＵｌの合言葉に基づくが、前もって計算され、ゲー
トウェイのマスタ・キーの第４のバリアントによって暗
号化され、ゲートウェイに使用者衣２１５に置かれてい
る）が互に加算される。２２３で、ゲートウェイの２０
４で発生した乱数は、端末で発生し現在ＩＲＦＲレジス
タに保持されている乱数と排他的にＯＲされる。２２３
での計算結果は２２５で、２２４の計算結果を暗号化す
るためのキーとして使用し、セッション・キーが生ずる
。このキーはＧＥＮＫの結果として戻される。

［ノードＮｉｌ 端末はゲートウェイから受渡された使用者ＩＤが２進Ｏ
である事を認める。ノードＩＤ″’　Ｎ　２　”と関連
して局所的に保持されている情報に基づき、端末はＮ２
がゲートウェイ型のノードである事を認め、ゲートウェ
イに認証すべき使用者がいない事を示し、従って２進Ｏ
がゲートウェイのＵＩＤ及びＫｉ　Ｐ　Ｗとして許容可
能な値である事を示す。

端末はＩＮＰＷＦを実行し、従って２進０の値の使用者
ＩＤ（ＤＩＤ）及びフォールド合言葉（Ｋ１？Ｗ）に関
連する合言葉認証値をＰＦＨＲレジスタに置く。

端末はゲートウェイからの暗号化乱数を受取り、これを
ＴＯＮＲを実行する際の入力として使用する。従ってゲ
ートウェイによって発生した乱数は２１６で解読され、
ＩＲＦＲの前の内容、この場合は（ＧＥＮＲによってセ
ットされた）０であるＩＲＦＲの前の内容と排他的にＯ
Ｒされた後に端末の丁ＲＦ　Ｒ，レジスタに置かれる。

同様にＴＯＮＲの一部として、使用者ＩＤに対する合言
葉認証者（ＰＷＦ）　、２進０のＫＰＷは２１８テ２進
Ｏの値に加えられた後に、ＰＥＨＲレジスタから１ＲＦ
Ｐに移動する。

端末はＧＥＮＫを実行し、Ｕｌの合言葉をフォールドす
る事によって前もって計算したＫＰＷ値を２２０に、ｄ
ｉ　Ｕ　１１１なるＵＩＤＩＤ値上２１える。このＵＩ
ＤはＫＰＷ値をキーとして使用して２２１で解読される
。この結果ば２２２でＵｆＤと排他的にＯＲされる。２
２４で、端末のための合言葉認証値（ＰＷＦ）（ｕｘｏ
′’ｕ１″′及び使用者の合言葉をフォールドする事に
よって得たＫＰＷ値に基づく）とゲートウェイの合言葉
認証値（Ｕ　Ｉ　Ｄ及びＩＮＰＷＦを介して２１３に前
もって導入したＫＰＷ値に基づく）が互に加算される。

２２３で端末２０４に発生した乱数は、ゲートウェイに
よって発生し現在ＩＲＦＲレジスタに保持されている乱
数と排他的にＯＲされる。２２３の計算結果は、２２４
の計算結果を暗号化するためのキーとして２２５で使用
される。この様にしてセッション・キーが発生されＧ　
Ｅ　Ｎ　Ｋの結果として戻される。

この時点で、端末とゲートウェイは一致したセッション
・キーを発生している。端末及びゲートウェイの両方は
暗号化通信モードに導入し、セッション・キーが実際に
一致しているかどうかをテストするためにリンクを介し
て成るテスト・パターンを通過させる。セッション・キ
ーが−”　′−ると、端末のノード及びユーザはゲート
ウェイに認証され、ゲートウェイのノードは端末に認証
される。

Ｇ０発明の効果 本発明に従い、セツションの関与者を同時に認証し、す
べての関与者が認証された時にだけ、ノード聞及び使用
者間で暗号通信セツションを行うための共通のセッショ
ン・キーを発生する方法が与えられる。

【図面の簡単な説明】

第】図はセッション・キーの形成及び認証段階の詳細を
示す図である。第２図は安全保護モジュール部分を強調
した、暗号通信関係にある１対のノードを示すブロック
図である。第３図は安全保護モジュールの構成素子を示
した図である。第４図は安全保護モジュール内の暗号化
及び解読のためのデータ流を示す図である。２１・・・
・パーソナル計算機、２２・・・・本体計算システム、
２３・・・・通信アダプタ、２４・・・・安全保護モジ
ュール、２５・・・・モジュール、２６・・・電話回路
網、２７・・・・詐称者、２８・・・・盗聴者、２９・
・・・モーデム。 ３０・・・・安全保護モジュール、３１・・、・・スイ
ッチ、３２・・・・通信コントローラ、３３・・・・通
信アダプタ、３４・・・・マルチプレクサ、３５・・・
・安全保護モジュール・コントローラ、３６．３７・・
・・ディスク記憶装置、２０１・・・・ＫＭＮＲレジス
タ、２０２．２０３．２０４・・・・ＲＡＮＲレジスタ
、２０７．２０８．２１４．２１６．２２１・・・・解
読ブロック、２０９，２１０・・・・ＫＮＣＲレジスタ
、２１１．２１７．２２２．２２．３−・・排他的ＯＲ
回路、２１３・・・・Ｐ　Ｆ　ＨＲレジスタ、２１５・
・・・使用者衣、２１８．２２４・・・・加算回路、２
２６・・・・ノード表、２２７・・・・フォールド・ブ
ロック、２２８・・・・トランザクション欄。 出願人　　インターナショナル・ビジネス・マシーンズ
・コーポレーション 代理人　　弁理士　　山　　本　　仁　　朗（外１名）

Claims (1)

1. 【特許請求の範囲】 一対の通信ノードの各ノードが予じめ確立されている定
   義域間キー、並びに他のノード及び使用者の同一性に関
   連する属性を含む局所的暗号化機構を有する如き、一対
   の通信ノード間で交換可能で単一の暗号セッションの間
   だけ有効なキーを確立し、ノード及び使用者の同一性を
   認証するため、（ａ）乱数を発生し、上記定義域間キー
   によって該乱数を暗号化し、結果の暗号化した乱数のコ
   ピーを他のノードに送り、上記他のノードから受取った
   暗号化乱数を上記定義域間キーで解読し、（ｂ）両ノー
   ド及び使用者の同一性から導出されもしくはこれ等に関
   連する属性を組合せる事によってパラメータを形成し、 （ｃ）局所的に発生した乱数及び受取った乱数の合成か
   ら中間キーを形成し、 （ｄ）上記パラメータと上記中間キーからセッション・
   キーを形成する段階より成る、 通信ノード間にキーを確立する方法。