JPS63226149A - 通信システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の技術分野〕 本発明は安全性の高い通信システムに関する。

〔従来技術およびその問題点〕

パーソナル・コンビーータのようなかなりな数の端末が
接続されている通信ネットワークは周知である。このよ
うなシステムは、公衆電話システムのような、安全でな
い通信媒体を使用していることが非常に多く、受動妨害
（盗聴）や能動妨害（メツセージの傍受や抜取り、メツ
セージの部分的変更、および虚偽メツセージの挿入）を
受けやすい。これらの問題を克服するのに、暗号方式を
使用することが知られている。しかしながら、暗号の原
理は明らかであるが、かなりな数の端末を備えたシステ
ムを設計することに関連するかなり実際的な問題が存在
する。

本発明は、更に詳細には、キー管理に関連するものであ
る。いくつかの端末を有するシステムでは、全端末間に
多かれ少なかれ永久接続を設けることと接続を必要とす
る端末のみの間に接続を設−けることとの間で基本的選
択を行わなければならない。前者の場合には、制御権は
分散させてもよいし、あるいは特別な制御端末、すなわ
ちキー分配センタ（Ｋｅｙ　ｄｉｓｔｒｉｂｕｔｉｏｎ
　ｃｅｎｔｅｒ＋以下Ｋ　Ｉ）　Ｃと称する）に置いて
もよい。後者では、制御権をキー分配センタに置かなけ
ればならないので、接続されていない二つの端末は、そ
れを通して接続を行うことができる安全な媒介物を有す
ることができる。

このようなＫＤＣシステムは既知であシ、このシステム
では、ある端末（第１の端末）が他の端末（第２の端末
）と安全な通信をしたいときは、第１の端末がＫＤＣに
第２の端末とのリンクを設定するように要求する。二つ
の端末およびＫＤＣの間の通話は各端末とＫＤＣで共有
されたキーのもとでの暗号保護によシそれ自身安全であ
る。このようなキーは制御データ・キーと言うことがで
きる。というのはこれらキーが端末とＫＤＣとの間の通
信の制御機能と、ＫＤＣから端末への転送情報（「デー
タ」）とに関連しているからである。

「データ」は互いに通信を行う際に端末が使用するキー
である。この既知のシステムでは、端末は、他の端末と
通話したいたびに他の端末とリンクを設定する、セツシ
ョンキーと呼ばれるキーをＫＤＣに要求する。

このシステムには各端末が他の端末と行なっている現行
の通信セクションに必要なキーを維持するだけでよいと
いう利点がある。ＫＤＣはリンクまたはセツションが要
求されるたびに一対の（各方向に一つづつ）セツション
キーなこのリンクに関する二つの端末に提供しなければ
ならない。二つの端末は、それ以上のＫＤＣの介入なし
にセツション中互いに必要な通信を行なう。

〔発明の目的〕

本発明は上述した従来技術よりも安全性の高いキー管理
を行なう通信システムを提供することを目的とする。

〔発明の概要〕

本発明の一実施例によれば、少くとも三つの端末とキー
分配センタ（ＫＤＣ）とから成り、ＫＤＣは第１の端末
から要求があれば、各々が単一の端末とＫＤＣとの間で
共有されているキー移送用キーによる暗号のもとで、第
１の端末と第１の端末によシ指定された第２の端末に対
し、これら−組の端末の間での通信のためのキー手段を
与える通信システムが提供される。この通信システムに
おいては、このようにして与えられたキー手段は上述の
二つの端末によクキ−輸送用キーとして使用されて、こ
れら二つの端末がデータを渡すのに使用されるデータ輸
送用キーを交換する。

好ましくは、キー手段は、一つは第１の端末から第２の
端末へのメツセージを暗号化するキー、もう一つは第２
の端末から第１の端末へのメツセージを暗号化するキー
の二つのキーから構成される。

この結果、二つの端末の間のリンクは実質的に永久的な
ものとなる。一旦これが設定されると、ＫＤＣはキー手
段を更新したけれはならないだけであるが、これもたま
に行うだけでよい。二つのリンクの間でデータ（ユーザ
・メツセージ）を輸送するのに使用するキーはこれらと
関連して使用カウンタを備えており、各端末はその使用
回数が所定の値に達したらこれらのキーを更新する手段
を備えている。新しいキーはキー輸送用キーによって二
つの端末の間を輸送される。（データ輸送用キーは、各
方向のメツセージの回数の相異により、リンクに沿う二
つの方向について別々の時刻に更新されるかもしれない
）したがってＫＤＣにかかる作業負担は実質的に減少す
る。

もちろん、キー輸送用キーには階層があって、階層の高
いキーは階層の低いキーを輸送するのに使用され、階層
の最下のキーはデータ・キーを輸送するのに使用される
ことがわかるだろう。従って、階層の最上のキーはデー
タ・キーを輸送するが、この輸送は階層の低いキーを使
用することによって間接的に行なわれるのである。

好ましくは、システムはまた二つの端末のいずれかから
ＫＤＣにリンクを終結させるメツセージを与え、そのメ
ソセージを送出する端末はそのリンクに関連するキーを
自身から消去し、ＫＤＣは他の端末にメツセージを送っ
てそのリンクに関連するキーをそこから消去させる。

本発明はまた好ましくは、各端末に、各データ輸送用キ
ーの利用回数をカウントする利用計数手段と、その利用
回数が所定の値に達したときそのようなキーを更新する
手段と、更新されたキーをその関連するリンクの他端に
ある端末に輸送させる手段を備えている。同じ手法はこ
のようなキーの階層を使用する場合キー輸送用キーにつ
いて利用することも望ましい。

本発明はまた、リンクを端末によシ終結させる手段をも
備えている。この手段は、端末ごとに、その端末中のリ
ンクに関連するキーを消去する手段を備えておシ、リン
ク終結の要求が端末に来るとその端末内の消去手段を動
作させまたＫＤＣにリンク終結メツセージを送シ、ＫＤ
Ｃはメツセージを記録し、リンク終結メツセージをリン
ク上のもう一つの端末に送ってその別の端末の消去手段
を動作させる手段を備えている。

ユーザが一時的に成るＵＡから他のＵＡへ切換えたいこ
とがある。このユーザはそこで新しいＵＡを一時的に使
用してユーザの通常のＵＡに送られたメツセージを読む
ことができるようにしたくなるであろう。

端末（ＵＡＩ）から、ＫＤＣにユーザが他のどの端末（
ＵＡ２）を使用したいかを指定する旅行キー　（ｊｏｕ
ｒｎｅｙ　ｋｅｙ　）を要求することができるようにし
ている。ＫＤＣはこの要求を受けるとユーザに旅行キー
を発行するとともにユーザが旅行キーに応答して訪問中
のＵＡを設定し、旅行キーをＵＡ２に送り（暗号で）、
ここでＵＡＩのアドレス・コードとともに旅行キー・レ
ジスタに格納される。

ユーザはまた自分自身のＵＡ（ＵＡｌ）を設定して受信
したすべてのメツセージを格納するとともに、これを、
旅行キーのもとで暗号にして、ＵＡ２に送ることにより
ＵＡ２からの呼出しに応答する。

ＵＡ２で、ユーザは彼の旅行キーを使って自分のメツセ
ージを解読する。

いずれのシステムでも、故障が時々発生する。

本発明のシステムでは、ＵＡに故障から回復するための
準備がなされていない。というのはこうすれば暗号およ
び暗号キーのバックアンプ施設を準備することになシシ
ステムの安全性を損うがらである。しかしながら、ＫＤ
Ｃには故障から回復する準備がなされている。これはＫ
ＤＣがよシ安全な環境にあシ、このようなバックアップ
を備えることの安全性に対する危険を最少限にする安全
力受したすべてのメツセージの記録を、それらが作用し
た順序に保存してあり、ＫＤＣの状態がバックアップと
して定期的に格納される。ＫＤＣに故障があれば、Ｋ　
Ｔ）　Ｃはまずあらかじめ格納されている状態までバッ
クアップされ、以前その状態になったとき以来発生した
すべてのメツセージの記録が再生されてＫＤＣに与えら
れる。またキーの発生および送出に関連するメツセージ
がすべて繰返されるので、新しいキーが各ＵＡＫ送出さ
れて、前に送出されていたがＫＤＣが失ったものと置き
換える。

これによりＫＤＣはその正しい現在状態とな枚システム
が全体として一貫した状態となる。格納されたメツセー
ジを再生するだけではシステムを完全に回復できない。

何故なら、システムのバンクアップ状態が格納された後
に発生したキーは失われているからである。したがって
、記録の再生中、キーの発生および送出に関連するメン
セージはすべて繰返されるので、新しいキーをＵＡに送
出して先に送出したがＫＤＣによって失われたキーと置
き換わる。キーを変更すると成るメツセージが失われる
ことがあるが、これは失われたメツセージを取扱う設備
で処理することができる。

〔発明の実施例〕

本発明の実施例の通信システムについて、図面を参照し
て説明することにする。

説明は次の部分に分けて行う。

システムの全般的構成 システムの全般的動作−キーの階層 メツセージの構造とＵＡの構造 ＵＡとＫＤＣとの連鎖 各ＵＡ間の通話 システム・メツセージ・エラーの回復 ローカル・メツセージ記憶装置 ＵＡの変更 ＫＤＣのメツセージの記録 本発明の他の特徴は本願と同時に提出した二つの同時係
属特許出願に説明してあシ特許請求されていることに注
意すべきである。

システムの全般的構成 第１図を参照して、システムは、すべて共通の通信媒体
１１に接続されている複数の端末１０．１０Ａ、１０８
などと、キーの制御と分配とに責任を持つＫＤＣ１２と
から構成されている。また非電子的物理的キー分配径路
１３があり、これによりキーはＫＤＣ１２から端末１０
に分配されることができる。各端末１０は、図示したと
うりのパーソナル・コンピュータＰＣｌ４やディスクメ
モリ１５のような従来どうりの端末装置と、各種暗号キ
ーである安全モジュール（５ｅｃｕｒｉｔｙ　ｍｏｄｕ
ｌｅ　）１６とから構成されている。ＫＤＣ１２は安全
モジュール１７、計算ユニｙ　ｌ・１８、および複数の
記憶手段１９から構成されているのでデータが失われる
危険は無視できる。安全モジュール１６と１７は、二重
の囲み線で示したように、外部の妨害に対して保護され
ている。

安全モジー−ル１６は、制御目的で、ＰＣｌ４から制御
線により信号も供給され、ＰＣｌ４への双方向データ径
路を備えているように示しである。

この後者の径路はデータをＰＣｌ４から他の端末へ送る
暗号化のため安全モジュール１６に伝え、また他のモジ
ュールからのデータの暗号を安全モジュール１６で解説
した後にＰＣｌ４へ伝えるのに使用される。この径路は
、端末内の局所的安全め、データをＰＣｌ４から伝え、
同じＰＣｌ４に戻すのにも使用される。安全モジー−ル
１６はまた直接通信媒体１１に接続されているように示
しである。実際には、通信媒体１１との成る形態のイン
ターフェースが必要である。これは安全モジー−ル１６
でも行うことができるが、実際はこのためにはＰＣｌ４
で行うのが便利である。もちろん、これに関係するＰＣ
の部分は安全モジュールとの間で暗号化されていないデ
ータのやり取りをする部分とは論理的に別である。（ま
た、もちろん、ＰＣは通常媒体１１と直接交信して非安
全メソモジを送受信する。） 安全モジュール１６と１７は既知の技術を使用して構成
されている。したがって各モジーールは暗号キーや他の
秘密の状態に保持しなければならない情報を格納するデ
ータ記憶手段、データの暗号化や解読およびチェック用
の数量の計算やモジ一−ル内で必要なその他の処理のよ
うな動作を行う処理手段、および必要な動作を制御する
制御手段を備えている。各モジーーールは、万−一時的
に局部的停電が起った場合にキーのような安全情報が失
われないように、電池も備えている。モジ、４−ルはま
たモジュールに対する物理的攻撃を検知し、このような
攻撃が起った場合にモジー−ルに格納されているすべて
の情報を、敵がモジー−ルを開き個人の構成要素に接続
してモジュールから有用な情報を抜取ろうとする可能性
に反撃を加えるように、たとえばキーのような格納情報
にランダムなデータを重ね書きすることによシ、破壊す
る手段を備えている。

各種レジスタ、カウンタ、および後に説明するよびこれ
ら構成要素に使用するメモリロケ−シコンを規定したり
その機能を実現したシする格納プログラム、によシ実現
される。（ただし、乱数発生器や暗号化／解読ユニット
のような成る構成要素は種々な理由から特殊目的のハー
ドウェアで構成するのが都合がよい。）プログラムは少
くとも一部はＦＲＯＭまたは類似のものに格納されるの
で少くともプログラムの一部は一旦書き込まれてしまっ
たら変更することはできない。したがってプログラムは
格納キーまたは他の安全情報をモジー−ルから読み出す
ことができるように修正することはできない。

システムは通信媒体１１に盗聴を行おうとする部外者２
０からの攻撃に対して開いているものと仮定している。

このような部外者２０はメツセージを傍受し、メソセー
ジを横取シして取出し、本物のメツセージを修正して偽
のメソセージを挿入しようとする。通信媒体１１は分散
していて、端末１０、ＩＯＡなどのいずれかのユーザの
単独制御のもとにはない。たとえば通信媒体１１は電話
回線網または格納・先送９　（５ｔｏｒｅ　ａｎｄ　ｆ
ｏｒｗａｒｄ　）手段を備えたパケット・スイッチング
・システムのような公共通話システムの一部を含んでい
ることがある。したがって部外者２０の活動は本質的に
検出できる性質のものではない。このような部外者によ
る攻撃の可能性に加えて、通信媒体１１は、メツセージ
が失われたシ、その順序が変るようにメツセージに色々
な遅れが加わったシ、メンセージが重複（「エコー」）
シたシというような障害を本質的に受けやすいものと考
えられていも上記したこのような傍受の可能性や安全モ
ジュールに対する物理的攻撃の可能性の他に、部外者は
合法ユーザの留守中にモジュールにアクセスしてシステ
ムに入ろうとする。これと戦うには、各種の技術を利用
することができる。安全モジュールがパスワード制御を
行うように設定し、パスワードを合法ユーザが入力して
、モジー−ルはこうしてそのパスワードにだけ応答する
ようにできる。

ユーザが彼の不在期間の長さを知っている場合には、時
間ロックを使用することができる。モジュールの内部電
池により時間ロックが確実に連続的に動作する。パスワ
ードがモジュールによシ生成され、これが合法ユーザが
物理的に取外し且つ保持することができるフロッピーデ
ィスクに送られるようにすることもできる。

もちろん互いに多少異なる保護技術をユーザ端末の安全
モジュールおよびＫＤＣの安全モジュールに使用するこ
とができる。それはＫＤＣは攻撃に対してユーザ端末よ
りｔ！％つきにくいようであるが、−万ＫＤＣに対する
攻撃が成功すればユーザ端末に対するよシもはるかに損
害が大きくなるからである。

システムの全般動作−キーの階層 本システムの動作はＫＤＣ１２によシ二つのレベルで制
御される。第１に、各ＵＡにＫＤＣからユニークなユー
ザ・マスク・キー（ＵＭＫ）が割当てられる。このＵＭ
Ｋは非電子式のキー分配径路１３を伝わってＵＡに取込
まれる。たとえばＫＤＣを操作するスタッフの一員によ
シ、ＵＡ（の安全モジュール１６内）に設置される。こ
のキーはその後ＵＡとＫＤＣとの間のメツセージを確立
したシ確認したシするのに使用される。第２に、ＵＡが
他のＵＡと通話したい場合には、ＫＤＣを使用して二つ
のＵＡ間に安全なチャネルを設定しなければならない。

リンクを要求するＵＡは、ＫＤＣに通知し、ＫＤＣはこ
れにしたがってリンクを設定ツ３づＶ゛、その後リンク
の使用には稀にしか（ＬＭＫが更新を必要とするとき）
参加しない。

第３のレベルのシステム動作も存在し、これは単独ＵＡ
における情報の安全格納に関するものである。この動作
はＫＤＣには関係しない。

キーの物理的位置とその階層、および使用する略号を第
１表に示す。各メツセージは、そのメツセージにどのレ
ベルの階層が関連していようと、そのメツセージのため
だけに発生された別々のメツセージ・キーで暗号化され
るので、メツセージ・キーは階層になっているようには
示してない。

事実、各メツセージは一対のキーを使用して暗号化され
る。一つのキーは、基本キーと言うが、階層から取られ
るキーであシ、もう一つはそのメツセージに対するメソ
セージ・キーである。

第　　１　　表 物理的位置 ＫＤＣ−キー分配センタ Ｕ　Ａ　−ユーザ機器（ｕｓｅｒ　ａｇｅｎｔ）　（端
末またはノード） キー ＵＭＫ−ユーザ・マスク・キー （ＫＤＣ←→　ＵＡ） ＣＫＤ−制御データ・　　　　ＭＸ−メツセージ・キー
キー （ＵＡ４−＋ＵＡ） ＬＭＫ−リンク・マスタ・ キー ＬＤＫ−リンク・データ・　　ＭＫ−メツセージ・キー
キー （ＵＡ内部） ＰＭＫ−パーソナル・マス タ拳キー Ｐ８ＭＫ−パーソナル・サ ブマスタ・キー ＰＤＫ−パーソナル・７’−ＭＫ−メツセージ嘗キータ
・キー 部外者が、同じキーで符号化した充分なメツセージを蓄
積することができれば、彼は窮極的にシステムを破って
キーを取戻すことができる。したがってこの理由のため
キーを適切な時間間隔で変更し、またそれ故部外者が何
とかしてキーを手に入れたとしてもこのようなキーの更
新の結果、それは結局波の役に立たなくなるようにする
。ただし、ＵＭＫは物理的に分散されているのでこれら
を変更するのは困難である。したがってキーの階層シス
テムを使用するのであシ、このシステムでは、各キーは
階層的にその上に位置するキーに変更がなされる前に繰
返し変更される。上位のキーを使用して下位キーの変更
に関する情報を伝達することができる。したがってＫＤ
Ｃは比較的稀な時間間隔でキー（新しいＵＭＫ）の物理
的輸送に関係するキー変更に関与することになるだけで
あシ、このような更新は甚だしく厄介になることはな、
い。

メツセージの構造とＵＡの構造 各種ＵＡとＫＤＣはメツセージによって互いに通信する
。これらメツセージはすべてほとんど同じ構造をしてい
るが、以下で示すとウシ、変化がある。メツセージの基
本的な分類の一つはシステム拳メツセージとユーザ・メ
ツセージとに分けることである。前者はユーザからは知
ることなく、システムにより発生されシステムによシ操
作するが、後者はユーザに応答して発生され、ユーザが
組立てたデータを含んでいる。システム・メツセージは
一般にかなり短く、幾つかの異なる形式がある。ユーザ
・メソセージはその長さが非常に変動するが、実質上一
つの形式しかない。わかるように、幾つかのシステム會
メツセージを時々一つのパケットに組合せることができ
る。

メツセージの一般的構造、および始発ＵＡでその発生に
必要な、およびＵＡで受信した同様なメツセージに対す
る応答に必要なハードウェアについて、始めにＵＡとＫ
ＤＣとの間のメツセージを、特にこのような最初のメツ
セージを参照して、ここに説明することにする。他のシ
ステム・メツセージはおおむね同じ方法で取扱われるが
、小さな相異が、たとえば関連するキー・レベルに存在
する。

システムが始動するのはＵＭＫ（ユーザーマスク・キー
）がすべてのＵＡ（ユーザ機器）に分配され設置されて
いるが他のキーは存在せず通信キーも存在しない状態か
らである。第２図を参照すると、説明すべき各種要素を
備えておシ、これら要素に対する一般的制御機能は制御
回路３０で行われている。ＵＡに対するＵＭＫはキー輸
送ユニット３１により物理的に輸送されるが、このユニ
ットはＵＡの安全モジュール１６に一時的に接続されて
ＵＭＫをＵＭＫレジスタ３２に移す。使用カウンタ４０
はＵＭＫレジスタ３２と関連してＵＭＫが使用された回
数のカウントを保持する。このカウンタは、他のすべて
の使用カウンタと同様に、キーが使用されるごとにイン
クリメントし、最初（システムが最初に始動するとき）
は０にセットされ、関連するキーが更新される（すなわ
ち新しいキーで置き換えられる）ごとに０にセットされ
る。

ＵＭＫは、比較的永続するが、充分使用してから、新し
いＵＭＫをＫＤＣから物理的に輸送することによって更
新することができる。そのためＵＭＫキー番号レジスタ
４０Ａが設けられておシ、これは最初Ｏにセットされ、
新しいＵＭＫが設置されるごとにインクリメントする。

（その代シに、ＵＭＫキー番号レジスタ４０Ａを、新し
いＵ　Ｍ　Ｋが設置され、ＫＤＣが新しい値を発生する
ごとにキー輸送ユニット３１からセットすることができ
る。） ＵＭＫがＵＡに設置されるとすぐ、制御データ・キーＣ
ＤＫが発生されてＵＡのＣＤＫレジスタ３４に格納され
る。ここで関連する使用カウンタ３３とＣＤＫキー番号
レジスタ３３Ａも設定される。キーはランダム信号発生
器３６から発生される。ランダム信号発生器は熱雑音発
生器または放射性崩壊カウンタのようなランダム信号源
を利用してキーが確実にランダムになるようにしている
。

こうして発生したＣＤＫは、適切なシステム・メツセー
ジによシ、即座にＫＤＣに送られる。実際上は、このよ
うなランダム信号発生器は比較的ゆりくシした速さでビ
ットを発生し、したがって（典型的には６４ビツトの）
次のキーのためのレジスタ（図示せず）を備えている。

このレジスタの再補充はその内容が新しいキーのために
取出されるとすぐ開始されるので、次のランダム・キー
が即座に利用できる。このランダム信号発生器はしたが
って、平文の（すなわち暗号で保護されていない）キー
を持っているので、安全モジー−ルの中に入れられてい
る。

メツセージを更に詳細に考察すると、ＵＡはいくつかの
区画を備えたメツセージ・アセンブリ・レジスタを備え
ておシ、ここでメツセージ（現在のものを含む）が組立
てられる。メソセージ・アセンブリーレジスタ３７のＭ
Ｂ領領域メソセージ本体あるいはデータ部であシ、メソ
セージの「意味」または「データ」（もしあれば）を入
れるのに使用される。メツセージ・アセンブリ・レジス
タ３７にはその左端に、ソース区画ＳＣとデスティネー
ション区画ＤＮの二つの部分がある。ソース区画ＳＣに
はこのＵＡを表わす不変のソースコードが格納されてお
り、デスティネーション区画にはそこに送り込むのに必
要なデスティネーションを示すコードが入る。次の区画
ＭＴは以下で説明するメツセージタイプ領域である。次
の区画ＫＮは、以下で説明するキー番号およびメツセー
ジ識別子区画である。その次の区画はＭＫ区画であって
、これはメツセージのメソセージ・キーＭＫを入れるの
に使用される。ＭＢ区画の次にはメツセージ郁見ｔ　コ
ード（Ｍｅｓｓａｇｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ
　Ｃｏｄｅ　）区画ＭＡＣが続き、前にはＰＭＡＣ（以
前のＭＡＣ）区画があって、これは当面無視する（また
はＯが詰まっていると考える）ことがある。

メツセージタイプフォーマット記憶領域３８は、たとえ
ばＣＤＫが送られているというＫＤＣへのメツセージの
ような、システム・メツセージについての一組のメツセ
ージタイプフォーマットを保持しており、この領域から
適切なメツセージタイプが選択されてレジスタ３７のメ
ソセージ本体区画ＭＢに送られる。ＫＤＣへのシステム
・メソセージについては、この記憶領域はＫＤＣデステ
ィネーションコードをも保持する。もちろん、他のＵＡ
へのメソセージ（ユーザまたはシステム）については、
受信ＵＡのデスティネーションコードを発生しなければ
ならない。他のＵＡとの通信はほとんどユーザが開始す
るので、受信ＵＡのデスティネーションコードはユーザ
が決める。このコードはそのＵＡへのユーザ・メソセー
ジによって使用される他に、もちろんそのＵＡへのシス
テム・メツセージによっても使用される。デスティネー
ションのニモーニックからデスティネーションコードを
得る従来のテーブル探索システムをもちろん使用するこ
とができる。また、通信媒体１１を通してのメツセージ
の径路決めあるいはアドレシングは通常以下に説明する
インターフェース・ユニット４３により処理される。

上に注記したとうり、各メツセージは二つのキー、すな
わちキー階層から生ずる基本キーとメソセージ本体、を
用いて暗号化される。メツセージ・アセンブリ・レジス
タ３７のキー番号区画ＫＮにはメツセージに使用する基
本キーを識別するとともにメツセージをユニークに識別
するメツセージ番号としても働く、メツセージ用組合せ
キー番号が入っている。このメツセージ番号は、キーの
キー番号を階層を下シながら基本キーに至るまで連結し
また基本キーの使用カウントも連結することによって得
られる。各キー・レジスタは関連するキー番号記憶部、
すなわちＵＭＫレジスタ３２についてはＵＭＫ用の４Ｏ
Ａ、ＣＤＫレジスタ３４についてはＣＤＫ用の３３Ａを
備えている。したがって基本キーがＵＭＫであれば、Ｕ
ＭＫキー番号レジスタ４０Ａおよび使用カウンタ４０の
内容を使用し、基本キーがＣＤＫであれば、ＣＭＫキー
番号レジスタ４０Ａ、ＣＤＫキー番号レジスタ３３Ａ、
および使用カウンタ３３の内容を使用する。各キー番号
は関連キーが変るごとに１だけ増加する。したがって所
与のメツセージタイプに対して、メツセージ番号は厳密
に昇順である。何故なら各キーのキー番号は通常上昇し
、このような番号がＯにリセットされることによシ下降
するときは、上位の番号の増加の結果だからである。関
連する階層の分岐および階層を下る距離はメツセージタ
イプかられかる。たとえば、ここで考えているメツセー
ジタイプ「ＣＤＫ７！＋″−ＫＤＣに送られている」に
ついては、キー階層は必然的にＵＭＫだけしか含んでい
ない。

キーのキー番号は階層中ですぐ上のキーの使用カウント
と類似しているが、この二つは必ずしも同一ではないこ
とに注意すべきである。これは成る状況では階層内の高
い方のキーを使用することができ、したがってその使用
カウントが、階層中で直下のキーを変更せずに、増加す
るからである。

このような問題を避けるには使用カウントとキー番号と
をシステムを通じて別個に維持する。（このことはまた
メソセージ番号は必ずしも連続ではないことを意味して
いる。） （このシステムはメツセージタイプを平文で示すＭＴの
内容にある程度依存している。これはもちろん、たとえ
ばＭＴの内容を暗号化されるものの一部に含めることに
より修正することができる。

この場合、メツセージ識別子（すなわちキー番号）の長
さ、あるいは、これに相当する、階層内のキーのレベル
は別々に示さなければならない。）一般に、各メツセー
ジの本体はそのメツセージにユニークなキー、メツセー
ジ・キーＭＫ、を使用して暗号化される。このメツセー
ジ・キーはランダム信号発生器ＲＮＤ３６を用いてＵＡ
によシ発生され、メツセージ・キーＯレジスタＭＫ３９
に送られる。

使用する暗号システムは、ＤＥＳ／ＤＥＡ規格または同
様なもののような、暗号化および解読に同じキーを使用
するものであると仮定する。（「パブリック・キー」シ
ステムのような、暗号化と解読とに異なるキーを用いる
システムを使用することは可能であるが、キー対の両方
のキーを格納しまた暗号化および解読のために適切な方
を使用すＯ） る必要がある博使用する暗号化技術はＣＢＣ（Ｃｉｐｈ
ｅｒ　Ｂｌｏｃｋ　Ｃｈａｉｎｉｎｇ　）であシ、これ
には−１９８３ＤＥＡの動作モードに述べられている。

）初期設定ベクトル■は最初基本キーのもとでメツセー
ジ・キーＭＫを暗号化することにより作られる。次にメ
ツセージの暗号キーは基本キーのもとで再び■を暗号化
することにより得られる。メツセージ・キーＭＫは平文
で送られ、受信側は基本キーのコピーを備えているので
、メツセージは、メツセージ・キーを基本キーのもとで
暗号化して初期設定ベクトルを得、再び解読キーを得る
ことによって、他端で解読することができる。■と解読
キーは次にメツセージを解読するのに使用される。各メ
ツセージに異なるＭＫを使用することは、メツセージが
ほとんど同じ形（たとえば同じユーザ・メツセージが２
回目にはおそらく時間の違いだけで送られる）で繰返さ
れても異なるキーのもとに暗号化されることになシ、部
外者は暗号を侵害しようとするに際し繰返しから多くの
援助を得ることができないことを意味する。

メツセージが暗号化されたら、メツセージ・アセンブリ
・レジスタ３９のＭＴ、ＫＮ、ＭＫ、ＰＭＡＣ，および
ＭＢの各部の内容がメツセージ認証コード計算ユニット
４２に送られ、ここでＭＡＣ値が計算され、この値がメ
ツセージ・アセンブリ・レジスタ３７のＭＡＣ区画に送
シ返される。

このようにしてＭＡＣ値がメツセージの一部として含ま
れる。ＭＡＣはＣＢＣ技術を用いて暗号化類似プロセス
（「ＭＡＣ暗号化」）によシ計算される。このプロセス
から得られる最終ブロックがＭＡＣを形成する。ｒＭＡ
Ｃ暗号化」はキーと初期設定ベクトル（ＩＶ）を用いて
行われる。キー（ｒＭＡＣ暗号キー」）はメツセージを
暗号化するのに使用する基本キーの固定された関数とし
て得られ、■はＯとされる。ソースコードおよびデステ
ィネーションコードは認証される必要が無い。

何故なら、どちらかがどうにかして変化すれば、実際に
メツセージを受けるユニッ）（ＵＡまたはＫＤＣ）が、
ＭＡＣチェックによシ認証を行なおうとする際適格なキ
ーを使用していないので、メツセージを認証することが
できないからである。

暗号化／解読ユニット４１とメツセージ認証コード計算
ユニット４２はキーを平文で受取らなげればならないか
ら、安全モジー−ルの内部になければならない。同様に
、ＵＭＫレジスタ３２は、キーを平文で持っているので
、これも安全モジュールの内部になければならない。モ
ジュールの外部に他のキーを格納し、ＵＭＫのもとで暗
号化Ｕ必要なときモジー−ル内で解読することも可能で
あるが、すべてのキーをモジュール内のレジスタに平文
で格納するのがはるかに便利である。メツセージ・アセ
ンブリーレジスタ３７ももちろんモジー−ルの内部にあ
シ、暗号化され認証される前にメツセージが侵されない
ようにしておく。

送受される各メツセージは、通信媒体１１と結合するの
に必要となる低レベルのプロトコル処理を行うインター
フェース・ユニット４３を通過する。特に、インターフ
ェース・ユニット４３は暗号メツセージの伝達に専念す
るメールボックス、あるいは、このような、一つはシス
テム・メツセージ用の、もう一つはユーザ・メソセージ
用の、二つのメールボックスとすることができる。これ
によりｙに別のメールボックスを暗号化されないメツセ
ージのために使用することができ、これら暗号化されな
いメソセージは平文で（たとえば安全通信システムの一
部分を形成しない端末から）送受信される。上に注記し
たように、このインターフェース・ユニットはＰＣｌ３
（第１図）により好都合に実現される。

今度は受信回路を考察すると、通信媒体１１からインタ
ーフェース・ユニット４３を経て受信される着信メツセ
ージを受取るのにメツセージ・アセンブリやレジスタ３
７が使用される。このメツセージのメツセージ番号ＫＮ
は対応する基本キーが利用できることをチェックするた
めに調べられる。次にメソセージのＭＡＣが、メツセー
ジ識別子ＫＮによｊ９　「ＭＡｃ暗号化」キーとして識
別される基本キーを使用して、メツセージ認証コード発
生器ユニット４２によシチェックされる。得られたＭＡ
Ｃはコンパレータ４４によシメッセージの（ＭＡＣ区画
にある）ＭＡＣと比較される。ＭＡ　Ｃノ計算値とメツ
セージのＭＡＣとが合致すれば、メツセージは本物と判
定される。合致しなければ、どちらかに（おそらくは送
信雑音の結果）、誤りが存在するかあるいは改窺されて
いるので、メソセージは捨てられる。部外者２０がメン
セージを修正しようとしても、部外者には未知のキーを
用いて計算することにより保護されているメツセージの
ＭＡＣを彼は訂正することができないので、変更された
メツセージと一貫していなければならないメソセージの
ＭＡＣを変更することはできないであろう。

次にメツセージのメツセージ番号ＫＮはメツセージが前
に受信されたものの繰返しではないことをチェックする
ために調べられる。メソセージ番号が合理的で前に受取
ったメツセージと関係があるかどうかを知るためにチェ
ックすることができる。（失なわれたメツセージ、重複
メツセージ、および受取シ順序が不良のメツセージに関
する備えについては後に詳細に説明する。） メツセージがＫＮ試験およびＭＡＣ試験を通過すれば、
（メツセージ本体部分ＭＢが空でなし・と仮定して）メ
ソセージは解読される。このため、ＭＫ区画のメツセー
ジ・キーが（メツセージ番号によシ識別される）基本キ
ーのもとに暗号化／解読ユニット４１を用いて暗号化さ
れて■を得、これが再び基本キーのもとで暗号化されて
解読キーを得る。（解読用の■および解読キーは暗号化
用の■および暗号キーと同じである。）■および解読キ
ーは直接暗号化／解読ユニット４１に送られてＭＢ区画
の内容を解読するのに使用される（成るシステム・メツ
セージ、たとえば成る承認メツセージは「本体」を備え
ていない。そのＭＢ区画は空である）。

それでＭＢ区画の内容は成る種のシステム・メソセージ
であシ、これは制御回路３０によ多処理される。なおこ
のメツセージがＫＤＣから受信されているものとすると
、メツセージはＣＤＫキーを備えてよい。もしそうなら
、その受信したキーはＣＤＫＩレジスタ４６またはＣＤ
Ｋ２レジスタ４７に送られる。ＫＤＣのＣＤＫが変化し
た場合でも以前のＣＤＫを使用しているメツセージが新
しいＣＤＫが受信された後でも受信されることがあるた
め、一対の受信ＣＤＫレジスタが存在する。

二つの受信ＣＤＫ番号レジスタがあり、これらには（や
はｐＭＢ区画から）対応するＣＤＫ番号が送シ込まれて
いるので、ＣＤＫで暗号化されたメツセージを受信した
とき適切なＣＤＫを識別することができる。ＣＤＫはそ
のもとで暗号化された固定されたかなりの数のメツセー
ジが送出されてはじめて変えられるから、以前のＣＤ　
Ｋを二つ以上保存しておくことは決して必要が無いと仮
定しても危険ではない。（捨てられたＣＤＫが必要にな
った場合には何か他に根本的に悪いものがあるであろう
。） ＵＡとＫＤＣとのリンク システムは、すべてのＵＡ（ユーザ機器）にＵＭＫ（ユ
ーザ・マスク・キー）が設置されているが他にはキーが
存在せず通信リンクも存在しない状態で、始動する。Ｕ
ＭＫがＵＡに設置されるとすぐ、ＵＡとＫＤＣとの間に
リンクが設置されなければならない。これを始めるには
、制御データ・キーＣＤＫを発生してＵＡのＣＤＫレジ
スタ３４に格納し、システム・メツセージを（レジスタ
３９にあるそのユニークなメツセージ・キーＭＫを用い
て）ＵＭＫのもとで暗号化して構成し、ＫＤＣに送信す
る。こうしてＫＤＣはＵ　Ａ　ｔＪ”−Ｕ　Ｍ　Ｋを設
置したこと、およびＣＤＫがＵＡとＫＤＣとの間のリン
クの両端に設置されたことを知るので、ＣＤＫをＵＡか
らＫＤＣへの将来の通信に使用することができる。ＫＤ
Ｃは承認メツセージをＵＡに送シ返してＣＤＫを受取っ
たことを認める。

その他に、ＫＤＣは、同じ方法で、このＵＡ用にＫＤＣ
自身のＣＤＫを発生し、ＵＭＫのもとで暗号化して、Ｕ
Ａに送信する。Ｕ　Ａはこのメツセージを受信し、これ
を解読してＫＤＣからのＣＤＫを得る。こうしてＵＡと
ＫＤＣとの間Ｋ、各方向に一つづつの一対のＣＤＫを用
いてリンクが設置される。リンクの両端は今後のメツセ
ージを暗号化するために発生されたＣＤＫを使用すると
ともに、リンクの他端から受信する今後のメツセージを
解読するため他端から受信したＣＤＫを使用する。メツ
セージを送ることができる二つの方向に対してこのよう
に一対のキーを使用することはＵＡ同志の間のリンクの
場合にも行われる。

ＵＡからのＣＤＫを備えたメソセージをＫＤＣが受取っ
たことの承認を別々の異なったメツセージにする必要は
ないが、その代、９ＫＤＣからそのＣＤＫをＵＡに送信
するメソセージの一部として入れることができる。その
メツセージは今度はＵＡによシ承認される。したがって
ＣＤＫの交換は三つのメツセージで行われる。すなわち
、ＵＡからＫＤＣへのＣＤＫと、ＫＤＣからＵＡへのＣ
ＤＫによる受信の承認と、ＵＡからＫＤＣへの承認とで
ある。

このようにＵＡとＫＤＣとの間のリンクは各方向に別個
のＣＤＫを備えた双方向のものである。

この方法でＵＡとＫＤＣとの間に一部リンクが設置され
ると、両ユニット間の今後のほとんどすべてのメツセー
ジはＣＤＫを基本キーとして用いる。

ＣＤＫの使用が所定限度を超えると、新しいＣＤＫが作
られ、上述のようにＵＭＫによる暗号のもとに送信され
る。ＵＡとＫＤＣとの間のメッセ−ジの流れは比較的少
ないので、この２レベル（ＵＭＫとＣＤＫ）の階層は、
ＵＭＫの変更を稀にしか必要としないシステムき当分の
開動作させるのに充分である。事実、ＵＭＫの使用は、
以下でわかるように、新しいＬＭＫが必要なとき、ＵＡ
間の成る通信にも依存する。ＵＡとＫＤＣとの間のメツ
セージは一般にユーザ（ＵＡ）が他のユーザ（ＵＡ）と
のリンクを設置または破壊したいときにのみ必要であシ
、これは（リンクは実質的に永続的であると見なされて
いるので）稀に、しかもＬＭＫを更新する場合にしか起
らない。

一般に、リンクを伝わって二つの方向に流れるメツセー
ジ（ユーザであろうとシステムであろうと）の数は互い
に同じである必要はない。したがって続いて起る新しい
ＣＤＫの個々の更新ではリンクのＣＤＫの一方の更新し
か行なわれない。このような更新では新しいＣＤＫを成
る方向へ送出し、これに対する承認メツセージが逆方向
に送出される。

必要ならば、システムが最初に立上げられる際必要なす
べてのリンクを設定するように、ＫＤＣをプログラムす
ることができる。これを行なうには各ＵＡのキー輸送ユ
ニット３１（第２図）にかなシの数のシステム・メツセ
ージを格納する。これらシステム・メツセージは暗号化
が不必要である（このメツセージはＵＭＫと共に輸送さ
れ、その安全性は、ＵＭＫの安全性と同様に、物理的で
あるため）。もしこうしなかったなら、これらのシステ
ム・メツセージは、システムが最初に動作状態になった
ときＫＤＣと各ＵＡとの間で送信されなければならない
ことになるものである。これによりＫＤＣに関するシス
テム・メツセージの最初の数が著るしく減少する。ＫＤ
Ｃの構造はＵＡの構造と同じであり、第３図にブロック
の形で示しである。制御ユニッ）５０（第２図に示すＵ
Ａの制御ユニット３０に対応）と一つのメツセージ・ア
センブリ処理回路５１が設けられ、メツセージＯアセン
ブリ処理回路５１にはメツセージ・アセンブリ・レジス
タ５２（メソセージ・アセンブリ・レジスタ３７に対応
）がある。暗号化／解読ユニット、メソセージ認証コー
ド計算ユニット、およびＭＡＣコンパレータの関連回路
はここではメツセージ・アセンブリ処理回路５１の一部
と見なしてあシ別個には図示してない。ＫＤＣには各Ｕ
ＡＫ対してキー・レジスタと使用カウンタの集合体が個
別に設けられている。ここでは、送出の場合ＫＤＣが使
用するキー（すなわちレジスタ３２．３４、および３９
、および関連する使用カウンタおよびキー番号レジスタ
に対応する）、およびＵＡがＫＤＣにメツセージを送る
場合に使用するキー（すなわちレジスタ４６と４７およ
び関連レジスタ４８と４９に対応する）の各集合体を、
ブロック５３．５４．５５、・・・・・・で示しである
。ブロック５３．５４．５５、・・・・・・はセレクタ
回路６１で制御されるマルチプレクサ６０によりメツセ
ージ・アセンブリ処理回路５１に対して多重化されてい
る。セレクタ回路６１の内容によシ、ブロック５３．５
４．５５・・・・・・　から適切な一つを選択して受信
メツセージを処理し送出すべきメツセージを準備するキ
ーを得る。このようにしてメツセージが受信されると、
セレクタ回路６１にメツセージ・アセンブリ・レジスタ
５２のＳＣ区画の内容が入れられる。この区画に受信メ
ツセージのソースコードが入っておシ、従ってとのＵＡ
からメツセージが来たかを識別する。受信メツセージを
送出したＵＡに応答メツセージを送シ返さなければなら
ない場合には、セレクタの内容は変更されず、これによ
ジブロック５３．５４．５５・・・・・・のうちの適切
な一つが応答メツセージの準備のため選択されたままに
なる。しかし、メツセージを別のＵＡに送出しなければ
ならない場合には、セレクタ回路６１の内容をもちろん
それに従って変えなければならない。これは、たとえば
、リンクを設置している最中に生ずる。ＵＡＩからＫＤ
Ｃへのリンクの設置を要求するメツセージには、そのＭ
Ｂ区画に、ＵＡ２向けのコードが含まれておシ、このコ
ードは適切なメツセージなＵＡ２に送出するためセレク
タ回路６１に転送しなければならない。二つのコードは
この場合、メツセージがＵＡＩおよびＵＡ２へまたこれ
らから送受されるので、セレクタ回路６１によシ交互に
使用される。

ＵＡ間の通信 通信が可能なためには、ＵＡ対の間にリンクが設定され
なげればならない。このような各リンクはＵＡ−ｂ′−
ＫＤＣに自分と他の指定したＵＡとの間にリンクの設定
を要請することによって設定される。ＫＤＣは、リンク
に含まれることになるいずれのＵＡも他のＵＡとの間で
備えることができるリンクの数に関する上限を超えてい
す、要求されたリンクの「受信」端にあるＵＡがリンク
の受入れを拒絶しなければ、要求されたリンクを設定す
る。一旦リンクが組立てられてしまうと、両端のＵＡは
同等の立場に立っているという点で対称である。どちら
も他に対して送信することができ、あるいはリンクを切
る決断をすることができる。

リンクを設定するプロセスを第［Ａ表に要約しであるが
、この表ではリンクを要求するＵＡはＵＡｌと呼ばれ、
ＵＡｚがリンクを持ちたい相手のＵＡをＵＡ２と呼んで
いる。

第１［Ａ表 ＵＡＩ→ＫＤＣ：ＵＡＩがＫＤＣにＵＡ２とのリンクを
要請する。

ＵＡ２←ＫＤＣ：ＫＤＣがＵＡ２に送信ＬＭＫと受信Ｌ
ＭＫを送る。

ＵＡ２→ＫＤＣ：ＵＡ２が受信を確認する。

ＵＡＩ←ＫＤＣ：ＫＤＣがキーをＵＡＩに送る。

一層詳細には、ＵＡＩのユーザが、ＵＡＩのユーザによ
シ指定された他のＵＡであるＵＡ２とリンクを設定した
いとき、ＵＡＩはシステム・メソセージをＫＤＣに送る
。このシステム・メソセージは、ＵＡｌがＫＤＣへのシ
ステム・メソセージに使用する（もちろんＣＤ、に更新
に関連するシステム−メツセージを除く）キーである、
ＵＡＩのＣＤＫキーを基本キーとして使用し暗号化して
送られる。そのメツセージ・タイプはＵＡＩがリンクを
設定することを要求していることを示し、メツセージ本
体はＵＡ２のコードを含んでいる。このメツセージを受
信すると、ＫＤＣは一対のランダムなＬＭＫを作り、メ
ツセージをＵＡ２に送る。

そのメツセージのメツセージタイプはＵＡ２にＵＡｌと
のリンクを受入れたいか否かを尋ね、またメツセージ本
体はＵＡＩおよび二つのＬＭＫのコードを有している。

これらはすべて基本キーとしてＫＤＣからＵＡ２にメツ
セージを送るのに使用されるＣＤＫを使用して暗号化さ
れている。ＵＡ２がこのメツセージを受取ると、そのユ
ーザはリンクを受入れるか否かの意志決定をしなければ
ならない。リンクが受入れられれば、メツセージはＵＡ
２からＫＤＣに送られる。このメツセージはリンクの受
入れを示しまたＵＡＩのコードを含んでいる（ＵＡＩの
コードをここに入れるのは他のＵＡに関連する設定用メ
ツセージから区別するためである）。このメツセージは
また、メツセージをＵＡ２からＫＤＣに送るのに使用さ
れるＣＤＫを基本キーとして使用して暗号化される。Ｋ
ＤＣは、このメツセージを受取ると、メツセージをＵＡ
ＩＪＣ送ってＵＡ２によるリンクの受入れを示すととも
に、メツセージをＫＤＣからＵＡＩに送るのに使用され
るＣＤＫを基本キーとして使用して暗号化したＵＡ２の
コードおよび二つのＬＭＫを取入れる。この結果、二つ
のＵＡすなわちＵＡＩおよびＵＡ２は今は互いに直接通
信するのに使用することができる一組のＬＭＫを共有す
ることになる。

リンクを設立できない一定の状況が存在する。

実際問題として、ＵＡにはこのようなリンクを維持する
ための限られた容量しか設けられていない。

したがってＵＡＩが既に可能最大数リンクを持っている
場合には、他のリンクを設定しようとすることを拒むこ
とになる。ユーザには現存するリンクを切ってそのＵＡ
が新しいリンクを受入れる容量を作シ出すようにする選
択権がある。また、ＵＡ２が既に可能最大数のリンクを
持っていることもある。そのときはＫＤＣにシステム・
メソセージを戻してこの旨を示し、ＫＤＣは今度はシス
テム・メツセージをＵＡＩに送って要請したリンクが拒
絶されたことを示す。（望むならば、Ｕ’Ａ２をそのユ
ーザにＵＡＩがリンクを要求していることを示し、その
ユーザが現存するリンクを切って、要求されたＵＡｌと
のリンクを受入れる容量を作シ出すように構成すること
ができる。）加えて、上に記したように、ＵＡ２にこの
ような能力があれば、そのユーザは要求されたリンクを
受入れるべきか否かを尋ねられ、もしユーザが拒絶すれ
ば、ＵＡ２は再びＫＤＣにこのことを示すシステム・メ
ツセージを送る。このようなシステム會メッモジをＫＤ
Ｃに送るとＫＤＣは何が起ったかを示す対応メツセージ
をＵＡＩに送シ、ＵＡｌのユーザは要求したリンクが拒
絶されたことを知る。（安全システムではユーザの要求
が拒絶されたとき、拒絶の理由が示されないのが普通で
ある。）第４図に、第２図に示したよシも概略的にＵＡ
の構成を示す。メソセージ・アセンブリ処理回路はブロ
ック７５で示してあり、メソセージ・アセンブリ・レジ
スタ３７、暗号化／解読ユニット４１、およびメツセー
ジ認証コード計算ユニット４２を備えている。数ブロッ
クのキー・レジスタおよび関連回路が存在する。ブロッ
ク７０は第２図に示す各種キー・レジスタとそれに関連
するカウンタとを含んでおシ、すべてＫＤＣとの通信に
関係する。ブロック７１．７２、・・・・・・は同様な
キー・レジスタとカウンタな備えているが、各ブロック
は別々のＵＡとの通信と関係する。従って、これら各ブ
ロックはとのＵＡがそのブロックに関連しているかを識
別するＵＡアドレス−コード・レジスタ（レジスタ７３
）を備えている。これらレジスタには、当該ＵＡのユー
ザが他のＵＡとのリンクを要求して認可されたとき、お
よび他のＵＡが当該ＵＡとのリンクを要求し認可された
とき、この他のＵＡのアドレス−コードが入れられる。

ブロック７０．７１．７２、・・・・・・はマルチプレ
クサ７４により選択される。ＫＤＣ用のブロック７０の
場合、選択はメツセージ・アセンブリ・レジスタ３７の
８Ｃ区画または制御回路３０により直接制御される。他
のブロックの場合には、選択は（着信メンセージに応答
して）メツセージ・アセンブリ・レジスタ３７のＳＣ区
画にあるアドレス争コードと各種レジスタ７３の内容と
を比較することにより決定される。送信メツセージの選
択の場合には、選択はユーザが決定する（実際にはその
アドレス・コードに対してユーザが定義したＵＡ識別子
を格納するＰＣｌ４に格納されている表を用いて間接的
に行なわれる）。

ブロック７１．７２、・・・・・・はＵＭＫレジスタが
含まれておらず、ＵＡにはもちろん、ブロック７０に入
っていてキーの全階層の最高レベルを形成する送受用の
唯一つのＵＭＫだけが存在することがわかるだろう。こ
れら各ブロックは二つの送信キーＬＭＫとＬＤＫ、およ
び受信キーの各レベル（この場合、ＬＤＫＩおよびＬＤ
Ｋ２）に２つのキーを有している。低レベル・キーＬＤ
Ｋは比較的稀にしか（たとえば５０メツセージおきに１
回）変らないので、現在のおよび直前のバージョン以外
のものを保存しておくことは不必要であシ、また高レベ
ル・キーは、たとえ稀でも、変化するので、直前のバー
ジョンの他に現在のものをも保存して丁度それが変化し
たときに対処しなげればならない。

一部リンクが設定されると、ユーザ・メツセージをＵＡ
ＩからＵＡ２にまたはその逆に送ることができる。リン
クは明らかに一つのＵＡによる要求に応じて設定されな
ければならないが、一旦設定されてしまえば、それは対
象的である。ユーザ拳メツセージを送るには、そのプロ
セスはシステム・メツセージの送出とほとんど同じであ
る。しかし、メツセージ・アセンブリ書レジスタ３７の
メツセージ本体区画ＭＢは限られた長さしかない。

セレクタｅスイッチ７６はメツセージ・アセンブリ・レ
ジスタ３７のＭＢ区画から暗号化／解読ユニット４１へ
の接続経路中に入っておシ、ユーザ・メツセージに対し
ては、メツセージの本体は、連続する６４ビツトのブロ
ックとして、レジスタ部分からではなくＰＣｌ４から暗
号化／解読ユニット４１に送シ込まれ、暗号化されたメ
ツセージは１ブロツクづつＰＣｌ４に送υ返される（Ｐ
Ｃｌ４はこの点ではインターフェース・ユニット４３と
して動作する）。次にメツセージのＭＡＣが計算されて
メツセージ・アセンブリ・レジスタ３７０ＭＡＣ区画に
送シ込まれる。メソセージの長さは、たとえば、ＭＴ区
画の一部としであるいはメッセージ本体の最初の部分と
して含まれている長さ値によって示される。

メツセージ認証コード計算ユニット４２は同時に暗号器
として動作するように構成することができるので、メソ
セージ本体の暗号化が始まる前へメツセージ・アセンブ
リ・レジスタ３７中のＭＢ区画の左側の内容をメツセー
ジ認証コード計算ユニット４２へ与え、次にメツセージ
本体がユニット４１から出て来るにつれて、１ブロツク
づつそこへ与える。これによシ最後のＭＡＣがメツセー
ジ本体の最後の暗号化ブロックの直後に利用できる。た
だし、ＭＡＣの計算には実際暗号化と同一のプロセスが
含まれているので、実際には暗号化／解読ユニット４１
を用いて行うのが望ましい（それ酸メツセージ認証コー
ド計算ユニット４２は物理的にユニット４１とはつき部
分れたユニットとしては存在しないが、もちろんその論
理的機能は明確に分かれて〜・る）。もちろん、この場
合には、ＭＡＣは暗号化と並行して計算することはでき
ず、暗号化の後で計算しなげればならない。

ユーザ・メツセージが受信されると、受取シを確認する
特別なユーザ・メツセージが自動的に発生され、送信者
が要求する場合には、送信元ＵＡに戻される。このよう
な要求は適切なメーンセージ・タイプＭＴで示される。

通信媒体１１は信頼性が充分ではないので、通信媒体１
１によるメソセージ喪失の可能性、二つのメツセージの
順序の反転、およびメツセージの重複に対する備えを設
ける必要がある。これら設備はユーザ・メソセージとシ
ステム・メソセージとでは異なる。ユーザ・メツセージ
に対する設備についてここに説明することにする。もち
ろんメソセージが失なわれたということは、以後のメツ
セージが受信されるまでは検出することは不可能である
。

これらの設備は主として、二つの受信ＬＤＫレジスタＬ
ＤＫＩとＬＤＫ２に関連する１対のビット−レジスタ（
ビット・マツプ）７７と７８から構成されている。各ブ
ロック７１．７２、・・・・・・はこれらレジスタのそ
れぞれの組を備えている。ブロック７１についての組を
第４Ａ図に示す。レジスタ７７と７８の長さは、ビット
数で表わせば、対応する送信元ＵＡのＬＤＫキー・カウ
ンタがＯにリセットされるときのカウントに等しい。各
ユーザ・メツセージが受信されるにつれて、送信元ＵＡ
のＬＤＫの使用カウントに対応するビット（これはメツ
セージ番号ＫＮの一部である）がセットされる。受信さ
れたメソセージに対応するビットが既にセットされてい
る場合には、メソセージを既に受取っていることを示す
。したがって今回受取ったバージョンは重複しているも
のであり、システムによって捨てられる。

ユーザ・メツセージが受信されなければ、通常はシステ
ム動作は起らない。事実、システムは、メツセージ番号
が必らずしも連続していないので、喪失されたユーザ・
メツセージを識別できるようにはしない。それ故セント
されているビットより順番が若いセットされていないビ
ットは、ユーザ・メンセージが末だ受信されていないと
いうことではなく、その番号を持つユーザ・メツセージ
が存在しないということを意味するかもしれない。

システムは、ユーザ・メツセージが脱落していることを
、次のメソセージを受取った時点で識別することができ
るように修正することができる。

これは、たとえば、ユーザ・メツセージに、既述のメツ
セージ番号とともに厳密に連続した番号をも与えること
によシ、あるいは各ユーザ・メツセージに先行ユーザ・
メツセージのメツセージ番号を入れることによシ行うこ
とができる。ただし、これを行ったとしても、メツセー
ジが受信されなかったことがわかったときどんな処置を
取るかの決定権をユーザの手に残しておくのが望ましい
。

たとえば見掛は上失なわれたメツセージが無くなりたの
ではなく単に遅れているだけでまだシステムの途中に存
在しているということがある。ユーザは事態をそのまま
にしておくかあるいは彼自身のユーザ・メツセージを失
なわれたメツセージの再発信を要求している他のＵＡの
ユーザに送るかついずれかを選択することができる。こ
のような再発信はシステムに関するかぎシ全く新しいユ
ーザ・メソセージの送信として行われることになん新し
いメツセージが事実前に送ったが失われたメツセージの
繰返しであることの指示を入れるのは送信元ユーザの義
務である。

上述のとうり、ユーザ・メツセージが受信されると、確
認メツセージの送出が行われる。確認メツセージは特別
な種類のユーザーメツセージとしてシステムによって自
動的に発生される。したがって、ＵＡは送られたこのよ
うなメツセージの記録を保存し、この記録は受信の確認
が返送されたとき更新されるように構成することができ
る。これを実現するには、たとえばそのメツセージ・タ
イプが自動確認であることを示しているメツセージにつ
いてのみビットがセットされるビット・マツプを用いた
り、あるいはこのようなメツセージのメツセージ番号の
記録を保存したりすればよい。

これが行われると、ユーザは、確認がとられることが必
要なそのユーザのユーザ・メツセージのうちのどれがま
だ確認されていないかをつきとめ、そのユーザが適当と
考えるところにしたがってそれらを再送することができ
る。もちろん、確認の無いことが必らずしも元のメツセ
ージが意図したデスティネーションに到達していないこ
とを意味するものではない。単にそれに対する確認のメ
ッージが意図するデスティネーションに到達していない
ことを意味することもある。したがって、ユーザに対し
て儀礼上の問題および良い慣習として、正しい繰返しで
あるメツセージを送ったときは必らず、それが前のメツ
セージの再送であることを示すようにすることが望まれ
る。

リンクの最初の設定は二つのＵＡおよびＫＤＣの間の各
種の可能なメソセージのシーケンスによって行うことが
できることが理解されるであろう。

このようなシーケンスの二つの例を第［８表および第■
Ｃ表に示す。

第［８表 Ｕ　Ａ　１　＋Ｋ　Ｄ　Ｃ：　Ｕ　Ａ　１がＫＤＣにＵ
Ａ２とのリンクを要求する。

ＵＡ２←ＫＤＣ：ＫＤＣがＵＡ２に ＵＡＩとのリンクを受入れるか尋ねる。

ＵＡ２→ＫＤＣ：　ＵＡ２が確認し同意する。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣが受信キーをＵＡ
ＩとＵＡ２に送る。

ＵＡｌおよびＵＡ２→ＫＤＣ：ＵＡｌとＵＡ２が受信を
確認する。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣが送信キーをＵＡ
ＩとＵＡ２に送る。

第■Ｃ表 Ｕ　Ａ　Ｉ　　　　　　ＫＤ　Ｃ：　Ｕ　Ａ　１がＫＤ
ＣＫＵＡ２とのリンクを要求する。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣ，が受信キーをＵ
ＡＩとＵＡ２に送る。

ＵＡＩおよびＵＡ２→ＫＤＣ：ＵＡＩとＵＡ２が受信を
確認し、ＵＡ２が受入れる。

ＵＡＩおよびＵＡ２←ＫＤＣ：ＫＤＣが送信キーをＵＡ
ＩとＵＡ２に送る。

これらのシーケンスは、成る段階で、二つのメゾセージ
が同時にＫＤＣから送出され、且つ二つのメツセージが
多かれ少かれ同時にＫＤＣに返送されるという点で、第
１ＩＡ表のシーケンスよシ複雑である。また、第ｆｆＢ
表のシーケンスは４段階ではなく６段階から成るので、
第■Ｃ表のシーケンスは第［８表のシーケンスより望ま
しい。

これら二つのシーケンスにおいて、プロセスはＵＡ２が
提案されたリンクの受入れを拒絶すれば３番目のメツセ
ージの段階でアボートする。この事態が発生すれば、Ｕ
Ａ２は拒絶のメソセージを３番目のメツセージとしてＫ
　Ｄ　Ｃに送シ、ＫＤＣは「リンク拒絶」メツセージを
４番目および最終メツセージとしてＵＡＩに送る。最後
の二つのシーケンスの場合、各ＵＡはその受信キーを他
のＵＡがその送信キーを受信する前に受信することに注
意されたい。これはＵＡは他のＵＡがそのメツセージを
受信するのに必要なキーを所有するまではこの他のＵＡ
にメツセージを送ることができないことを意味する。

第［Ａ表のシーケンスの場合、ＴＪ　Ａ　ｚはＵＡ２が
ＵＡＩの送信キーを受取るまではメツセージを送ること
ができないが、ＵＡ２は送信キーをＵＡ、１がＵＡ２の
送信キーを（ＵＡＩの受信キーとして）受信する前にそ
の送信キーを得るので、ＵＡ２はＵＡＩがこれを解読す
るための必要キーを所有する前にＵＡＩにメツセージを
送信することができる。この状況はリンクが最初に設定
されるときにのみ発生し得る。そこで、リンクき要求し
たＵＡｌが最初にメツセージを送りたくなることはあり
そうなことである。しかしＵＡＩが解読用キーを受取る
前にＵＡ２がメツセージを送ろうとすることは起る可能
性がある。その結果、メツセージは、メツセージ番号か
らそれがメツセージを解読するに必要なキーを所持して
いないことを知ったＵＡＩによシ拒絶されることになる
。ここで一つの選択は単にメツセージを却下して、それ
が実際上失われるようにすることである。メツセージが
システム・メツセージである場合には、後に説明するよ
うな処置が取られる。それがユーザ・メツセージである
場合には、これは上述のように処理され、この送信はお
そらくメツセージが受信されないことを見つけるための
ユーザ自身のリソースに委ねられる。あるいはＵＡはこ
のようなメツセージを格納してそれらを解読するための
キーの受信を待つように構成することができる。

リンクが確立された後、ユーザがリンクの他端のＵＡと
これ以上通信する必要がないことを確信していれば、ま
たは１−ザが他のリンクを設置したいがこのＵＡが収容
できる最大数のリンクを既に持っていてそのため現行の
リンクを終結して新しいリンクの余地を作ることだけし
かできなけれ番くこのＵＡはこのリンクを終結させたい
かもしれない。これを達成するには、ＵＡＩはそれ自身
からリンクに関する情報をすべて削除してリンク終結シ
ステム・メツセージをＫ　Ｄ　Ｃに送る。Ｋ　ＩＪ　Ｃ
はこれを記録してシステム・メソセージをＵＡ２に送ｐ
ＵＡ２からこのリンクに関するすべての情報を削除する
ことを指示する。ＫＤＣは、削除が存在しないリンクに
関するものである場合にはエラーとしてリンク削除を記
録する。（このような「エラー」はリンクの両端が同時
にリンクの終結を９求する場合には自然に発生する可能
性がある。というのは、他のメツセージが他方のメツセ
ージのＫＤＣへの到達前にＫＤＣに到達してリンクを終
結するからである。） システム書メツセージーエラーの回復 上に記したように、メソセージは種々な経緯で「失なわ
れる」ことがあシ、また（通信媒体１１のくせによるか
または部外者が記録しては故意に再生することによシ）
重複することがある。ユーザ・メツセージに関しては、
このような事態を処理する方法について上述した。シス
テム・メツセージに関して、このような事態を処理する
方法を、説明しよう。

システム・メツセージの場合、失なわれるものが皆無で
且つ正しい順序で処理されることが肝要である。ＵＡの
各リンク（すなわちＫＤＣとの永続リンクおよび他のＴ
ＪＡとの各リンク）毎に、そのリンク上に送出される（
単なる確認とは別の）システム・メソセージはすべて格
納される。これらは以下の二つの状況で記憶装置から除
去される。

すなわちそれらに対する確認メツセージを受信したとき
、またはそれらが冗長になったときである。

新しいシステム・メツセージが送出されるたびに、新し
いパケットが準備され、このパケットに、記憶装置に入
っているすべてのシステム・メツセージが新しいシステ
ム・メツセージをパケットの最後に置いて正しい順序で
入れられる。このようにして新しいシステム・メツセー
ジが発生するごとに、未確認でかつ冗長でない古いシス
テム・メツセージがすべてその前端に付加され、すべて
のメツセージ（つまり、古いメソセージプラスこの新し
いメツセージ）はパケットとして送られる。それ故受信
側では、新しいシステム・メツセージが発生するごとに
、すべての未確認システム・メツセージの新しい組合せ
を正しい順序で受信する。

そこで、そのパケット中のどのメンセージの前にもすべ
ての未確認かつ非冗長メツセージが正しい順序で並んで
いるので、受信側は必然的にシステム・メツセージを正
しい順序で必らず処理することになる。もちろん、受信
側はその時点までにこれらのシステム・メツセージのう
ちのあるものを含んだよシ以前のパケットを受取ったこ
とがありそのシステム・メツセージについては既に処理
がなされていたかもしれない。受信側は、リンクごとに
、処理を行なった最後のメツセージの記録（メツセージ
番号による）を保存して〜・るので、重複しているメツ
セージ、特に今受取ったパケットに入っているそのよう
なすべてのメツセージを含めて、すべて無視する。受信
側は新しいパケットカ届くとすぐそのパケットに入って
いるメツセージへの応答を開始する。

確認メツセージはメツセージの受信を確認する以外の何
者でもない単なる確認メツセージであることがあシ、あ
るいは成る情報を運ぶ普通のシステム・メツセージであ
ることもある。後者は着信システム・メツセージに応答
して発せられるので、その先行メツセージを暗黙裡に確
認する。システム・メツセージはその効果が後のものに
より取消されると冗長なものになる。たとえば、リンク
の設定を要求するメツセージはそのリンクの解消を妥求
する後のメツセージによシ取消される。

厳密に言えば、重複メツセージは完全に無視されるので
はない。重複メツセージが検出されると。

単なる確認が送信側に送シ返されるが、このメソセージ
にはそれ以上の処理が加えられることはない。これは通
常のメツセージの確認がシステム内で失なわれてしまっ
ていることがあるからである。

仮に送信側がそのメツセージに対する確認を以前に受取
っていれば、そのメツセージは再送されなかったであろ
う。そこで、もし重複メツセージの確認が送られなけれ
ば、送信側はそれを繰返して送り続けるであろう。だが
、送信側がメツセージに対する確認を受取れば、確認メ
ツセージのメソセージ番号以上のメツセージ番号を持つ
すべてのメツセージを再送記憶装置から安全に削除する
ことができる。何故なら、メツセージは、すべての先行
メツセージが順当に受信されている場合に限り、受信側
によって受信され、処理され、且つ確認されることがで
きるからである。

これにより、すべてのシステム・メンセージが正しい順
序で確実に処理を受けることが保障され、また新しいメ
ソセージが発生されるごとに行われる自動再送信によシ
最後のメツセージがよシ以前のメツセージの再送によっ
て遅れることがないということが保障される。その他に
、メツセージを再送する第２の方法がある。メツセージ
・パケットの送信後新しいメツセージを発生せずかつ確
認も受取らないままに充分長い時間が過ぎたら、記憶装
置９５に記憶されている現メツセージのパケットが自動
的に再送される。

このようなパケットを構成することによシ、メツセージ
は常に正確に同じ形で送信される。ただし、メツセージ
は現在の基本キーのもとで再暗号化される。パッケージ
全体をひとつのユニットとしてまたは単一のメツセージ
として送信することが可能である。ただし、その中の個
々のメツセージが解読されるにつれて処理を受けること
ができるような形で送ることが望ましい。そうすれば、
メツセージが中断されたシ瘍つけられたりした場合、そ
の一部分だけが失われ、受信側は最新の状態に向かって
途中まで進んだ状態に居ることができるからである。こ
れが意味しているのは、パッケージの認証は、ここの事
態は発生する可能性はあるがパケットはなお妨害から保
護されていて部外者がシステムを偽のメソセージに応答
するようにだますことができないように茗り１丁しなけ
ればならないということである。

パケットのフォーマットは、メツセージ・アセンブリー
レジスタの左端（ＳＣ，ＤＮ、Ｍ’ｒ、ＫＮ、およびＭ
Ｋの各区画）にある通常の「ヘッダ」情報で始まる。Ｍ
Ｔ区画の内容はメツセージが二つ以上のメツセージのパ
ケットであることを示すインジケータ・ビットを含んで
いる。ＫＮ区画のメツセージ番号は今のメツセージのメ
ソセージ番号である（このメツセージはパケットの最後
にあるもの）。パケットの最初のメツセージは格納され
ているメツセージである。このため、パケットに入って
いるすべての格納メツセージに関しては、ソースコード
やデスティネーションコードは必要がなく、特別なＭＫ
も必要がない。したがってそれは省略形メツセージとし
て組立てられ、そのメッセージタイブ（もしこれが一連
の格納メソセージの最後のものでない場合にはインジケ
ータ拳ビットが付いている）、メツセージ番号ＫＮ、お
よびメツセージ本体ＭＢ（もしあれば）から構成される
。またＰＭＡＣ区画を備えておシ、これは（単一メソセ
ージに関して）空白である。このように組立てられたパ
ケットのＭＡＣが計算されてＭＡＣ区画に入れられる。

パケットの次の区画を今度は、次の格納メソセージを、
あるいは格納メソセージがもうすべて入れられてしまっ
た場合には、現行メツセージを、取入れて組立てる。こ
のため、パケットの前のメツセージに対して計算したば
かシのＭＡＣをＰＭＡＣ（前のＭＡＣ）部分に入れ、こ
のＰＭＡＣ値を暗号化し、パケットの現在の部分に取入
れられているメツセージについて計算された新しいＭＡ
Ｃによシカバーされているフィールドに入れる。

このプロセスは現メソセージがパケットの最終部分を形
成するまで続けられる。現メソセージのＭＢ区画にはＭ
Ｔ区画およびＫＮ区画は含まれない。

なぜならこれらは既にパケットのヘッダに入っているか
らである。） このバケット構造ではパケットを１メツセージづつ解体
し、解読し、処理することができることが明らかである
。その上、個々のメソセージおよびそのシーケンスはと
もにＭＡＣのシーケンス鎖によって認証される。各ＭＡ
Ｃはそれに先行するメツセージの完全性を確認し、各メ
ツセージはそれに入っている前のメソセージのＭＡＣを
所持しているので、シーケンスの変化（メツセージの順
序変え、削除、または繰返し）があれば、シーケンスを
逸脱したメツセージが届くとすぐにそのＭＡＣはチェッ
クを通らなくなることになる。

受信側は、バケット中の個々のメツセージに個別に応答
する。ただし、応答メツセージはどれも（単なる確認メ
ツセージ以外の）即座には送出されずにメツセージ記憶
装置に入れられ、その着信バケットが完全に処理されて
しまってはじめて、これらの応答メツセージは単一パケ
ットとして（古い未確認メツセージとともに）送出され
る。（もしこうしないならば、これら応答は、一連のよ
シ長いパケットとして、繰返し送出しなければならなく
なる。） 上記のように、パケットの長さは、メツセージを鎖状に
接続すること、および各メツセージのＭＴに、以後に続
くメツセージが存在するか否かを示すビットを入れるこ
とによシ黙示的に示される。

これによシもちろん受信側は、ＭＢ本体にそのＭＴとＫ
Ｎが入っている再送信メツセージと、パケットのヘッダ
にそのＭＴとＫＮが入っている現メソセージ（パケット
の最後のメソセージ）とを区別することができる。代シ
の技法は、ヘッダ中へたとえばＭＴ区画またはＫＮ区画
の一部としてパケット長さ値（メツセージの数）を入れ
ることである。

新しいシステム・メソセージが発生するごとに未確認シ
ステム・メツセージのすべてをこのように再送信する方
式では、不必要な再送信は非常にわずかしか起らない。

再送信が不必要であると正当に言うことができるのは、
メツセージは正しく受信されたがその確認を元のＵＡが
未だ受取っていない場合か、あるいはその確認が道に迷
ってしまった場合だけである。代案としては、受信側が
受取った最後のメツセージのメツセージ番号の記録をと
っておき、新しいメソセージがその番号の次の順番のメ
ツセージ番号を持っていないことがわかった場合に、失
なわれたメソセージの再送信の要求を送ることである。

しかしこの技法は厳密に連続したメンセージ番号を使用
することを必要としており、また受信側が現メソセージ
を処理することができる前に二つのメソセージ伝達（要
求と応答）をするという遅れを生じ、これら「回復」メ
ツセージが道に迷った場合には、なお更に遅れる。シス
テム・メツセージは比較的短く、それ故１つのパケット
によシ未確認メツセージを皆再送信する費用は高価にな
シそうもないということも注目しておいてよい。これは
ユーザ・メツセージの場合とは対照的である。ユーザ・
メツセージの長さは非常にばらつきやすく、且つ非常に
長いことがあるーからである。

パケットは（単一のユーザ・メツセージと比較して）か
なシのまた可変の長さを持っているか板パケットは再送
信のためユーザ・メツセージと大まかには同じ方法で準
備され、連続するブロックは暗号化、解読ユニットに送
シ込まれ、暗号され認証されたメソセージは、発生され
るに従ってインターフェース・ユニット４３として働＜
ＰＣｌ４に蓄積される。

これらの動作に関係する装置を第３図、第４図、および
第５図に示す。端末（ＵＡまたはＫＤＣ）には、その端
末からの各リンク毎にそれぞれのシステム・メツセージ
格納ブロックがある。すなわち、ＫＤＣ内にはすべての
端末ＵＡＩ、ＵＡ２、ＵＡ３、・・・・・・へのリンク
についてブロック８５．８６．８７、・・・（第３図）
があシ、また各ＵＡ端末にはＫＤＣへのリンクとリンク
されている端末ＵＡ−Ｉ、ＵＡ−ｎ、・・・・・・とに
関するブロック９０．９１．９２、・・・（第４図）が
ある。これらブロックはもちろんメツセージアセンブリ
処理回路５１または７５にマルチプレクサ６０または７
４を介して接続されている。第５図はブロック８５の主
要構成要素を示す。他のブロックは実質的に同じである
。未確認システム・メツセージを格納する記憶装置９５
があシ、これは幾分ＦＩＦＯ（先入れ先出し）記憶装置
のように動作するが、非破壊読出しが行なわれる。シス
テム・メツセージは上からこの記憶装置９５に送シ込ま
れ、それらが削除されるまで着実に下に移っていく。記
憶装置９５の中のメソセージにはそれと対応してそのメ
ツセージ番号ＫＮが区画９６に格納されている。レジス
タ９７は最後に確認されたメツセージのメツセージ番号
ＲＸＫＮを格納しており、これが変ると記憶装置９５中
のメツセージは、メツセージ番号ＲＸＫＮと一致するメ
ツセージ番号を区画９６中に有しているメツセージまで
上向きに削除される。新しいシステム・メツセージが用
意されつつあるときは、なお記憶装置９５に入っている
古いメツセージはすべて上向きに、すなわち最も古いも
のが最初に、非破壊的に読出される。次に新しいメツセ
ージが記憶装置９５の最上部に入る（また既に記憶装置
９５に入っているメツセージはすべて押し下げられる）
。

事実には、キー階層内の基本キーのレベルによって、二
つのクラスのシステム・メツセージがあシ、それらはシ
ーケンスの異なるメツセージ番号ＫＮを有している。し
たがって記憶装置９５とレジスタ９７は二重になってい
るので、二つのクラスのメツセージは別々に格納され、
ブロック８５は二つのクラスのための二つの区画Ａおよ
びＢから構成されている。高位の基本キー（すなわち階
層の高い基本キー）のメツセージはすべてパケット内で
低位の基本キーのメツセージに先行する。

このことはメツセージは元々発生した順序と厳密に同じ
シーケンスでは送られないということを意味する。ただ
し、この影響は幾つかの新しいキーがそうでない場合よ
シわずかに早く到達することがあるということだけであ
る。

ブロック８５はまた、システム・メツセージが最後に送
シ出されてから経過した時間を測定するのに使用される
タイマＴＭＲ９８を有し、このタイマ９８の時間が予め
設定された限界を超過したときまだ確認されていないシ
ステム・メツセージの再送信をトリガする。このタイマ
９８はパケットが送シ出されるごとにＯにリセットされ
る。

各ＵＡのブロック９０．９１．９２、・・・・・・は安
全モジュールに入っていて、再送信を待っているメツセ
ージのリストを考えられ得る部外者から安全に守るよう
になっている。ただし、ＫＤＣでは、対応するブロック
８５．８６．８７、・・・・・・は安全モジュールには
入っていなくて、色々な理由のため、支援用記憶装置に
入っている。ＫＤＣにはすべてのＵＡとのリンクがある
ので、格納されているメソセージの数はＵＡＯものよシ
はるかに多いと思われる。格納メツセージの喪失（たと
えば計算ユニットコンピュータ）１８の故障による）は
、（後に説明するように）ＫＤＣはバンクアップおよび
復元の手続を所持しており、またＫＤＣはＵＡよシ部外
者による攻撃が少いと思われるので、ＵＡでの対応する
喪失はど重大ではない。支援用記憶装置に格納されてい
るこのＫＤＣ情報は、偶然のまたは故意の変造に対して
、次に説明するローカル・メツセージ格納技法によって
保護されている。

ローカル・メツセージ記憶装置 ＵＡにメツセージを安全に格納できることが望ましい状
況が存在する。したがってユーザは、ユーザーメツセー
ジが受信されたときそこにいないかあるいはそのメツセ
ージを保存しておきたいかのいずれかのため、受信した
ユーザ・メツセージを安全に格納しておきたいことがあ
る。またユーザは、ＵＡ内に、自分が発生したユーザ・
メツセージのような資料を安全に格納したいことがある
。

本システムはこれら両方の設備を提供する。

受信したメツセージをＵＡに格納する場合には、受信し
たときの形、すなわち解読してない形でディスクメモリ
１５等の支援用記憶装置に格納する。

このことは、部外者が格納メツセージにアクセスするこ
とができたとしても、通信媒体１１に載っているメツセ
ージを傍受して得ることができた以上の知識を得ること
ができないこと、特に、通信媒体１１に現われたままの
メツセージを支援記憶装置に格納されているメツセージ
と比較しても何も得るところがないことを意味する。た
だしユーザはもちろん自分自身で後にメツセージを解読
することができなければならない。したがって、メソセ
ージにはそれを暗号化したＬＤＫが付属している。この
ＬＤＫは、キーが安全モジュールの外側に平文で存在す
ることを許容され得る状況はないので、それ自身暗号化
された形になっていなければならない。それでこれはキ
ー階層でその上にあるＬＭＫのもとで暗号化されて格納
されていもそのＬＭＫも、再び暗号化された形の、階層
の最上部にあるＬＭＫのもとで暗号化された、メソセー
ジに付属している。ＬＭＫそれ自身は、階層の最上部に
あるので、暗号化することができず、メツセージの一部
として平文で格納することもできない。その代り、メツ
セージが格納される時にこの識別番号を付加する。

キーは二つの異なる形で現われるべきではないというこ
とが重要である。各キー（ＵＭＫは別）は基本キー（そ
の上位のキー）およびメツセージ・キーのもとで暗号化
されて受信された。キーは安全モジュールのブロック７
０．７１．７２、・・・・−・に平文で（すなわち解読
されてから）格納される。

各キーはそのため受信されたときの暗号化された形で、
その暗号化に使用されたＭＫとともにこれらのブロック
に格納される。キーがメツセージに付加されると、格納
されている暗号化された形態および関連するＭＫが付属
部を形成するのに使用される。

ＵＡはＵＭＫ履歴記憶装置ＵＭＫＨ１０５（第４図）を
備えており、これには現在のおよび過去のＵＭＫがその
シリアル番号（識別番号）とともに格納されている。新
しいＵＭＫがＫＤＣブロック７０に入ると、それはＵＭ
Ｋ）ｌ履歴記憶装置１０５にも入る。メツセージへの一
連の付属部を発生するには、各種レベルのキーを今度は
メツセージ・アセンブリ処理回路７５の中で、それぞれ
その上位のキーのもとで暗号化し、最後に現ＵＭＫのシ
リアル番号をブロック７０のＵＭＫキー番号レジスタ４
０Ａ（第２図）から取る。（ＵＭＫ履歴記憶装置１０５
の容量は有限であるから、一杯になれば、過去の古いＵ
ＭＫがそれから取出されて、もりと最近のＵＭＫのもと
で暗号化された上でディスクメモリ１５に格納される。

） 格納されたメツセージを回復するには、付属部を一つづ
つ第４図の回路に送る。この際、最初のものはＵＭＫ履
歴記憶装置１０５から適切なＬＭＫを得るのに使用する
ＵＭＫのシリアル番号であり、次の付属部はＵＭＫのも
とで解読してＬＭＫを得るためにメツセージ・アセンブ
リ処理回路７５に送られ、最後の付属部はとのＬＭＫの
もとで解読してＬＤＫを得るためメツセージ・アセンブ
リ処理回路７５に同様に送られ、次にメツセージ自身が
ＬＤＫおよびメツセージに埋込まれているＭＫのもとで
解読してメツセージの本体を得るためメツセージ・アセ
ンブリ処理回路７５に送られる。

実質的に同じ技法がローカルに発生されたメソセージを
安全に格納するのに使用される。安全格納キープロック
Ｓ　Ｓ　Ｋ　１０７は、ブロック７０．７１．７２、・
・・・・・と同様であるが、ローカル・キー階層ＰＭＫ
、ＰＳＭＫ、およびＰＤＫのための一組のキー・レジス
タを備えている。（安全格納キーブロック１０６は、「
送信」キーに対応するキーだけしか備えていないので同
様なブロックよシ小さく示しである。

明らかに、「受信」キーに対応するキーを格納する必要
性はない。）メツセージを格納するには、メツセージを
、メソセージ・キーＫＭと現行のＰＤＫとを用いて通常
の方法で暗号化する。これによシ、メツセージには、Ｐ
ＳＭＫのもとで暗号化されたＰＤＫ、ＰＭＫのもとで暗
号化されたＰＳＭＫ、現行ＵＭＫのもとで暗号化された
ＰＭＫ、および現行ＵＭＫのシリアル番号が皆格納のた
め付加される。メツセージは他のＵＡから受取られ安全
に格納されたメツセージに関して行なうのと実質的に同
様にして解読することによシ回復することができる。

システムはまた、他のＵＡから受信したものであろうと
ローカルに発生したものであろうと、ローカルに格納さ
れているメツセージの認証を行う。

このような認証の目的はローカルに格納されているメソ
セージを、もちろん安全モジュール１６ではないがＰＣ
ｌ４やディクスメモリ１５等の記憶装置（第１図）にア
クセスすることができる部外者による妨害から防護する
ことである。このような部外者はメツセージを削除し、
メツセージを変更し、あるいはメソセージを挿入しよう
とするがもしれないからである。

ディスクメモリ１５等の記憶装置（またはＰＣｌ４の内
部記憶装置）には長さがいろいろで１つ記憶装置全体に
渡っているいろなロケーションに配置された各種のメツ
セージ１１１（第６図）が入っている。（もちろん個々
のメツセージは、ここに述べた原理に影響を与えること
なく、連続しないページの系列に普通の仕方で配置する
ことができる。）これらメツセージと関連してディレク
トリ１１２がある。このディレクトリ１１２は区画１１
３に各メツセージの識別用タイトルとディスクメモリ１
５の中のメツセージのロケーションをリストするもので
ある。メツセージがディスクメモリ１５に入ると、それ
に対応するＭＡＣがメツセージ認証コード計算ユニット
４２により、メツセージ自身がそのもとで暗号化された
基本キーを用いて、計算される。このＭＡＣはブイレフ
ｌ−ＩＪ　１１２の区画１１４に、区画１１３に格納さ
れているメツセージのタイトルとロケーションに関連付
けて格納される。その他に、ブイレフ）　り　１１２の
ＭＡＣの全体のリストが特殊メツセージとして取扱われ
、これらＭＡＣに対してグローバルＭＡＣすなわちスー
パーＭＡＣが計算される。このグローバルＭＡＣは安全
モジュール１６の内部に設置されたグローバルＭＡＣレ
ジスタ１１５に格納される。

ディレクトリ１１２にリストされているところの格納さ
れているファイルの個々の完全性をチェックしたい場合
には、そのＭＡＣを計算し、ディレクトリ１１２に格納
されているＭＡＣと比較する。

これらＭＡＣは暗号化キーを用いて計算されるので、部
外者がファイルを修正しようとしても、修正したファイ
ルの正しいＭＡＣを作ることができない。したがってデ
ィレクトリ１１２０ＭＡＣはその個々のファイルを認証
する。ファイルの全セットの完全性をチェックしなけれ
ばならない場合には、ディレクトリのＭＡＣのグローバ
ルＭＡＣを計算し、安全モジュール１６の中のＭＡＣコ
ンパレータ４４（第２図）によシ、グローバルＭＡＣレ
ジスタ１１５に格納されているグローバルＭＡＣと比較
する。部外者がディレクトリ１１２を何らからの仕方で
、たとえばエンｌ−ＩＪを削除したり、エントリの順序
を変更し、あるいはエントリを挿入したりして、変更す
れば、グローバルＭＡＣが変ることになる。そしてグロ
ーバルＭＡＣは安全モジュール１６に格納されていてこ
れには部外者がアクセスすることができないから、部外
者はそれを変更することができず、変造されたディレク
トリのグローバルＭＡＣはグローバルＭＡＣレジスタ１
１５に格納されているグローバルＭＡＣと合わないこと
になる。（ＭＡＣはすべてキーを用いて計算されている
ので、部外者は変更されたファイルのグローバルＭＡＣ
を計算することはできない。

しかし仮にグローバルＭＡＣにアクセス可能であったと
すれば、部外者は前のバージョンによシフアイル全体お
よびグローバルＭＡＣを交換することができる。） もちろん、個々のファイルのＭＡＣを格納されたファイ
ルの一部として格納することができることは理解される
であろう。この場合、グローバルＭＡＣの計算にあたっ
てはブイレフ１Ｊ１１２を使用して、そのメツセージか
ら格納されている各ＭＡＣが探し出される。また、ディ
レクトリ１１２が充分大きければ、これを区画に分割し
て、区画ＭＡＣをその区画で識別されるメツセージのＭ
ＡＣから各区画について計算し、グローバルＭＡＣを区
画ＭＡＣから計算するようにすることができる。

区画ＭＡＣは平文で格納することができる。この場合こ
れら区画ＭＡＣは部外者が修正することができるが、そ
のような区画ＭＡＣはその区画に関連するメツセージか
ら計算したＭＡＣとうまく合致しないか、あるいはその
グローバルＭＡＣがグローバルＭＡＣレジスタ１１５に
格納されているグローバルＭＡＣとう捷く合致しないこ
とになる。

ディレクトリ１↓２はもちろんディスクメモリ１５に設
置することができる。グローバルＭＡＣを安全モジー−
ル１６のレジスタに格納するがわりに、これを安全モジ
ュール１６の外部に格納することができる。ただし、こ
れは格納された情報のすべてを以前のバージョンで検出
されることなく置換えることができるという上に記した
危険を冒すことになる。

ユーザが格納されているメツセージを、たとえばメツセ
ージを変更し、新しいメツセージを追加し、あるいはメ
ソセージを削除して、変更したい場合には、付与された
、すなわち加えられたメツセージのＭＡＣを計算してデ
ィレクトリ１１２に格納するか、あるいはブイレフ）　
ＩＪ　１１２から削除されたメツセージのＭＡＣおよび
新しいグローバルＭＡＣを計算してグローバルＭＡＣレ
ジスタ１１５に格納するかしなければならない。これに
は新しいＭＡＣの計算（これはメツセージの内部の認証
拠必要である）とメツセージＭＡＣからの新しいグロー
バルＭＡＣの計算が行なわれるだけである。

変更されないメツセージのＭＡＣは不変であり、これら
メツセージの処理は不要である。

ＵＡの変更 ユーザがＵＡを彼自身のＵＡであるＵＡＩから別のＵＡ
であるＵＡ２に一時的にまたは永久的に変えたいことが
ある。一時的に変えたい場合は、ユーザは自分の通常の
ＵＡに向けられたメツセージを読むのに一時的に新しい
ＵＡを使用することができるようにしたくなる。また永
久的に変えたい場合は、ユーザは自分の古いＵＡから新
しいＵＡＫ全てを転送したくなる。これら二つの場合の
取扱いは異なる。

前者の場合では、ユーザはＫＤＣに、他のどの端末を使
用したいかを指定して旅行キー（ｊｏｕｒｎｅｙｋｅｙ
　）を要求する。ＫＤＣはこれを受けると直ぐユーザに
旅行キーを発行し、ユーザが訪問して旅行キーに応答す
るＵＡを設定し、旅行キー（０Ｍ２のＵＭＫおよびＣＤ
Ｋのキー階層のもとで暗号化されている）をＵＡ２に送
シ、ここでＵＡＩのアドレス・コードとともに旅行キー
−レジスタ１０７に格納される。ユーザはまた受信した
すべてのメツセージを格納するとともにＵＡ２からの呼
出しに対してそれらをＵＡ２に送りて応答するため、彼
自身のＵＡを設定する。このメツセージの転送はＵＡＩ
がメツセージを解読し、これを再び旅行キー（通常のラ
ンダムなＭＫとともに）のもとで暗号化してから、修正
したメツセージをＵＡ２に送ることによシ行われる。Ｕ
Ａ２では、ユーザはメツセージを解読するのに彼の旅行
キーを使用する。この技法では同じメツセージを相異な
る複数キーのもとで暗号化して送信するということがあ
シ、また所与の使用後は旅行キーを更新できないので、
利用に当っては注意しなければならない。また、後者の
場合では、ユーザのＵＭＫをＵＡ２に物理的に輸送し、
そこに設置しなければない。Ｃ’ｌ？ｑ、、以前の全て
のＵＭＫも同様に設置して、安全に格納されているメツ
セージを転送することができる。）次にＫＤＣとのリン
クを上述のように確立し、次に他のＵＡとのリンクを確
立する。ＵＡ２に既に格納されてたキーはすべて、もち
ろん、新しいユーザのＵＭＫが設置される前に破壊され
、ＵＡＩＯ中のキーもすべて同様に破壊される。ＵＡＩ
に安全に格納されているすべてのキーは、更に暗号化さ
れることなく、すなわち暗号化されたメツセージの格納
形態プラスＵＭＫのシリアル番号までの付属部という形
で、ＵＡ２に送られるので、新しく設置されたＵＭＫの
もとでＵＡ２ＪＣおいて解読することができる。

ＫＤＣメツセージの記録 ＵＡでは、キーに対する、すなわち安全モジ−一ルの内
容に対するバックアップ・システムが存在しない。これ
は安全モジー−ル外で利用できるキーを設けることは重
大な弱点となるからである。

ＵＡで起きた障害はＵＡを再起動させることによっての
み回復できる。ＫＤＣは各ＵＡに対するＵＭＫの完全な
セントを保持しておシ、適切なセットをキー分配径路１
３を通して送シ且つ設置することができるので、安全に
格納されているメツセージをすべて読取ることができる
。そこでＵＡを再設して安全に格納されたメツセージを
読取ることができるようにしなければならない。次にＵ
ＡはまずＫＤＣとのリンクを、次に接続したい他のＵＡ
とのリンクを再び確立しなければならない。

（ＵＡリンクの最初の設定の場合のように、この動作の
うちの多くの部分はキー分配径路１３を通ってＫ　Ｄ　
Ｃから伝えられた一組の格納メツセージにより行うこと
ができる。）その障害期間中それに向けられたメツセー
ジはすべて失なわれており取出し不能になる。自分のメ
ツセージが失なわれてしまったユーザは、故障したＵＡ
が回復し、そのリンクが再確立された時点で、そのメソ
セージを再送したいか否かを決定する責任がある。

ＫＤＣの故障を処理する設備はこれとは異なムＫＤＣは
自分が送受したすべてのメツセージの記録つまりログを
、それが処理を受けた順序に、保持している。このログ
は支援用の記憶手段１９に保持されている。また、ＫＤ
Ｃの状態が記憶手段１９に定期的に格納される。ＫＤＣ
に故障が発生すると、オペレータはＫＤＣを以前に格納
された状態まで記憶手段１９から回復しながらバックア
ップしなければならない。次にそのとき以後に発生した
すべてのメツセージのログをＫＤＣに再生炭 して譜す。これによりＫＤＣがその正しい現在の状態に
までなる。ただし、その時間中にＫＤＣが発生し送出し
たキーはすべて失なわれている。したがって、ログの再
生中、キーの発生および送出に関係しているメツセージ
は反復され、したがって新しいキーがＵＡに送出されて
、先に送出されたがＫＤＣでは失なわれたものと置き換
わる。このようにしてシステム全体が一貫した状態に回
復する。

〔発明の効果〕

以上詳細に説明したように、本発明によれば、キーの階
層構造をとることによシ極めて安全性の高い通信システ
ムが得られる。

【図面の簡単な説明】

第１図は本発明の一実施例の全体的構成を説明するため
の図、第２図は第１図中の端末の主要部の構成を説明す
るための図、第３図は第１図中のＫＤＣの主要部の構成
を説明するための図、第４図は第１図中の端末の他の主
要部の構成を説明するための図、第４Ａ図は第４図の部
分的構成を示す図、第５図は第３図中のＫＤＣにおける
再送動作を説明するための図、第６図は第１図中の端末
の他の主要部の構成を説明するための図である。 １０　、ＩＯＡ、ＩＯＢ：端末 １１：通信媒体 １２：ＫＤＣ １３：キー分配径路 １４．１４Ａ：ＰＣ ｌ５．１５Ａ：ディスクメモリ １６．１６Ａ、１７：安全モジー−ル １８：計算ユニット １９：記憶手段 ２０：部外者 ３０：制御回路 ３１：キー輸送ユニット ３２　：ＵＭＫレジスタ ３３　、４０　：使用カウンタ ３３Ａ：ＣＤＫキー番号レジスタ ３４：ＣＤＫレジスタ ３６：ランダム信号発生器 ３７：メソセージ拳アセンブリ・レジスタ３８：メツセ
ージタイプフォーマット記憶領域３９：ＭＫレジスタ ４０Ａ：ＵＭＫキー番号レジスタ ４１：暗号化／解読ユニット ４２：メツセージ認証コード計算ユニット４３：インタ
フェース・ユニット ４４：コンパレータ ４６：ＣＤＫ１レジスタ ４７：ＣＤＫ２レジスタ ４８．４９：ＣＤＫ番号レジスタ ５０：制御ユニット ５１：メツセージ・アセンブリ処理回路５２：メツセー
ジ・アセンブリ・レジスタ６０：マルチプレクサ ６１：セレクタ回路 ７３ニレジスタ フ４：マルチプレクサ ７５：メッセージ書アセンブリ処理回路７６：セレクタ
スイッチ ７７．７８：ピソト・レジスタ ９５：記憶装置 ９７：レジスタ ９８：タイマ １０５　：　ＵＭＫ履歴記憶装置 １０６：安全格納キー・ブロック １０７：旅行キー令レジスタ １１１：メツセージ １１２：ディレクトリ

Claims (1)

1. 【特許請求の範囲】 キー分配センタと複数の端末とを用い、 前記キー分配センタはひとつの端末からの要求に基いて
   当該ひとつの端末と当該ひとつの端末によって指定され
   た他の端末に対してキー輸送用キーで暗号化してキー手
   段を付与し、 前記キー輸送用キーの各々は唯一の端末と前記キー分配
   センタとで共有されている通信システムにおいて、 前記キー手段は前記ひとつの端末と前記他の端末との間
   でデータを渡すためのデータ輸送用キーの交換のために
   用いられるキー輸送用キーとして用いられることを特徴
   とする通信システム。