(57)【特許請求の範囲】
【請求項１】
情報共有装置ＵＡと情報共有装置ＵＢとの間で情報を共有する情報共有システムにおいて、
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ１：｛０，１｝＊→Ｇをハッシュ関数とし、マスタ秘密鍵をｚ∈Ｚｑとし、そのマスタ秘密鍵に対応するマスタ公開鍵をＺ＝ｇｚ∈Ｇとし、ｎ及びｎ’を所定の正の整数とし、ｃｉ，Ｌ∈Ｚｑ（ｉ＝１，…，ｎ，Ｌ＝１，２，３，４）及びｃ’ｊ，Ｍ∈Ｚｑ（ｉ＝１，…，ｎ’，Ｍ＝１，２）を所定の定数とし、上記情報共有装置ＵＡのＰＫＩ秘密鍵をｓＡとし、そのＰＫＩ秘密鍵ｓＡに対応する上記情報共有装置ＵＡのＰＫＩ公開鍵をＰＡとし、上記情報共有装置ＵＢの識別子をＩＤＢとし、秘密鍵生成情報をＱＢ＝Ｈ１（ＩＤＢ）∈Ｇとし、上記情報共有装置ＵＢの秘密鍵をＤＢ＝ＱＢｚ∈Ｇとして、
短期秘密鍵ｙＡ∈Ｚｑを選択し、短期公開鍵ＹＡ＝ｇｙＡを計算し、計算された短期公開鍵ＹＡを出力し、共有値σｉ＝ｅ（Ｚｃｉ，１ｓＡ＋ｃｉ，２ｙＡ，ＱＢｃｉ，３ＹＢｃｉ，４）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う情報共有装置ＵＡと、
短期秘密鍵ｙＢ∈Ｚｑを選択し、短期公開鍵ＹＢ＝ｇｙＢを計算し、計算された短期公開鍵ＹＢを出力し、共有値σｉ＝ｅ（ＰＡｃｉ，１ＹＡｃｉ，２，ＤＢｃｉ，３Ｚｃｉ，４ｙＢ）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝（ＰＡｃ’ｊ，１ＹＡｃ’ｊ，２）ｙＢを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う情報共有装置ＵＢと、
を含む情報共有システム。
【請求項２】
請求項１に記載の情報共有システムにおいて、
上記情報共有装置ＵＡは、上記情報共有装置ＵＡが生成した上記共有値σｉ（ｉ＝１，…，ｎ）、共有値σ’ｊ（ｊ＝１，…，ｎ’）の少なくともひとつを引数とする関数を用いて情報を計算する情報生成部を更に含み、
上記情報共有装置ＵＢは、上記情報共有装置ＵＢが生成した上記共有値σｉ（ｉ＝１，…，ｎ）、共有値σ’ｊ（ｊ＝１，…，ｎ’）の少なくともひとつを引数とする関数を用いて情報を計算する情報生成部を更に含み、
上記情報共有装置ＵＡの情報生成部が用いる関数と、上記情報共有装置ＵＢの情報生成部が用いる関数とは同じである、
ことを特徴とする情報共有システム。
【請求項３】
請求項１又は２に記載の情報共有システムにおいて、
上記ｎ＝ｎ’＝２として、上記ｃ１，１＝ｃ１，４＝ｃ２，２＝ｃ２，４＝ｃ’１，１＝ｃ’２，２＝０であり、上記ｃ１，２＝ｃ１，３＝ｃ２，１＝ｃ２，３＝ｃ’１，２＝ｃ’２，１＝１である、
ことを特徴とする情報共有システム。
【請求項４】
請求項１又は２に記載の情報共有システムにおいて、
上記ｎ＝ｎ’＝２として、上記ｃ２，２＝ｃ２，４＝ｃ’１，１＝ｃ’２，２＝０であり、上記ｃ１，１＝ｃ１，２＝ｃ１，３＝ｃ１，４＝ｃ２，１＝ｃ２，３＝ｃ’１，２＝ｃ’２，１＝１である、
ことを特徴とする情報共有システム。
【請求項５】
情報共有装置と他の情報共有装置との間で情報を共有する情報共有システムの情報共有装置において、
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ１：｛０，１｝＊→Ｇをハッシュ関数とし、マスタ秘密鍵をｚ∈Ｚｑとし、そのマスタ秘密鍵に対応するマスタ公開鍵をＺ＝ｇｚ∈Ｇとし、ｎ及びｎ’を所定の正の整数とし、ｃｉ，Ｌ∈Ｚｑ（ｉ＝１，…，ｎ，Ｌ＝１，２，３，４）及びｃ’ｊ，Ｍ∈Ｚｑ（ｉ＝１，…，ｎ’，Ｍ＝１，２）を所定の定数とし、上記情報共有装置のＰＫＩ秘密鍵をｓＡとし、上記他の情報共有装置の識別子をＩＤＢとし、秘密鍵生成情報をＱＢ＝Ｈ１（ＩＤＢ）∈Ｇとし、上記他の情報共有装置の秘密鍵をＤＢ＝ＱＢｚ∈Ｇとし、上記他の情報共有装置の短期秘密鍵をＹＢとして、
短期秘密鍵ｙＡ∈Ｚｑを選択し、短期公開鍵ＹＡ＝ｇｙＡを計算し、計算された短期公開鍵ＹＡを出力し、共有値σｉ＝ｅ（Ｚｃｉ，１ｓＡ＋ｃｉ，２ｙＡ，ＱＢｃｉ，３ＹＢｃｉ，４）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う情報共有装置。
【請求項６】
情報共有装置と他の情報共有装置との間で情報を共有する情報共有システムの情報共有装置において、
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ１：｛０，１｝＊→Ｇをハッシュ関数とし、マスタ秘密鍵をｚ∈Ｚｑとし、そのマスタ秘密鍵に対応するマスタ公開鍵をＺ＝ｇｚ∈Ｇとし、ｎ及びｎ’を所定の正の整数とし、ｃｉ，Ｌ∈Ｚｑ（ｉ＝１，…，ｎ，Ｌ＝１，２，３，４）及びｃ’ｊ，Ｍ∈Ｚｑ（ｉ＝１，…，ｎ’，Ｍ＝１，２）を所定の定数とし、上記他の情報共有装置のＰＫＩ公開鍵をＰＡとし、上記情報共有装置の識別子をＩＤＢとし、秘密鍵生成情報をＱＢ＝Ｈ１（ＩＤＢ）∈Ｇとし、上記情報共有装置の秘密鍵をＤＢ＝ＱＢｚ∈Ｇとし、上記他の情報共有装置の短期秘密鍵をＹＡとして、
短期秘密鍵ｙＢ∈Ｚｑを選択し、短期公開鍵ＹＢ＝ｇｙＢを計算し、計算された短期公開鍵ＹＢを出力し、共有値σｉ＝ｅ（ＰＡｃｉ，１ＹＡｃｉ，２，ＤＢｃｉ，３Ｚｃｉ，４ｙＢ）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝（ＰＡｃ’ｊ，１ＹＡｃ’ｊ，２）ｙＢを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う情報共有装置。
【請求項７】
情報共有装置ＵＡと情報共有装置ＵＢとの間で情報を共有する情報共有方法において、
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ１：｛０，１｝＊→Ｇをハッシュ関数とし、マスタ秘密鍵をｚ∈Ｚｑとし、そのマスタ秘密鍵に対応するマスタ公開鍵をＺ＝ｇｚ∈Ｇとし、ｎ及びｎ’を所定の正の整数とし、ｃｉ，Ｌ∈Ｚｑ（ｉ＝１，…，ｎ，Ｌ＝１，２，３，４）及びｃ’ｊ，Ｍ∈Ｚｑ（ｉ＝１，…，ｎ’，Ｍ＝１，２）を所定の定数とし、上記情報共有装置ＵＡのＰＫＩ秘密鍵をｓＡとし、そのＰＫＩ秘密鍵ｓＡに対応する上記情報共有装置ＵＡのＰＫＩ公開鍵をＰＡとし、上記情報共有装置ＵＢの識別子をＩＤＢとし、秘密鍵生成情報をＱＢ＝Ｈ１（ＩＤＢ）∈Ｇとし、上記情報共有装置ＵＢの秘密鍵をＤＢ＝ＱＢｚ∈Ｇとして、
情報共有装置ＵＡが、短期秘密鍵ｙＡ∈Ｚｑを選択し、短期公開鍵ＹＡ＝ｇｙＡを計算し、計算された短期公開鍵ＹＡを出力するステップと、
情報共有装置ＵＢが、短期秘密鍵ｙＢ∈Ｚｑを選択し、短期公開鍵ＹＢ＝ｇｙＢを計算し、計算された短期秘密鍵ＹＢを出力するステップと、
情報共有装置ＵＡが、共有値σｉ＝ｅ（Ｚｃｉ，１ｓＡ＋ｃｉ，２ｙＡ，ＱＢｃｉ，３ＹＢｃｉ，４）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行うステップと、
情報共有装置ＵＢが、共有値σｉ＝ｅ（ＰＡｃｉ，１ＹＡｃｉ，２，ＤＢｃｉ，３Ｚｃｉ，４ｙＢ）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値σ’ｊ＝（ＰＡｃ’ｊ，１ＹＡｃ’ｊ，２）ｙＢを計算する処理をｊ＝１，…，ｎ’のそれぞれについて行うステップと、
を含む情報共有方法。
【請求項８】
請求項５又は６に記載された情報共有装置の各部としてコンピュータを機能させるための情報共有プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、情報セキュリティ技術の応用技術に関するものであり、特に二者間で共通鍵等の情報を共有する技術に関する。
【背景技術】
【０００２】
従来の情報共有技術として、非特許文献１に記載されたいわゆるＳＹＬ方式のＩＤ認証鍵交換技術が知られている。以下、非特許文献１に記載されたＩＤ認証鍵交換技術を説明する。
【０００３】
『公開パラメータ』
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ：｛０，１｝＊→｛０，１｝Ｋ及びＨ１：｛０，１｝＊→Ｇをハッシュ関数とする。
【０００４】
鍵生成装置は、マスタ秘密鍵ｚ∈Ｚｑをランダムに選択し、そのマスタ秘密鍵に対応するマスタ公開鍵Ｚ＝ｇｚ∈Ｇを公開する。
【０００５】
『鍵生成』
鍵生成装置は、情報共有Ｕｉの識別子ＩＤｉ∈｛０，１｝＊に対して、秘密鍵生成情報Ｑｉ＝Ｈ１（ＩＤｉ）∈Ｇを生成し、マスタ秘密鍵ｚを用いて秘密鍵Ｄｉ＝Ｑｉｚ∈Ｇを生成する処理を、ｉ＝Ａ，Ｂのそれぞれについて行う。
【０００６】
『鍵交換』
識別子ＩＤＡと秘密鍵ＤＡ＝ＱＡｚ∈Ｇを持つ情報共有装置ＵＡと、識別子ＩＤＢと秘密鍵ＤＢ＝ＱＢｚ∈Ｇを持つ情報共有装置ＵＢとは、以下のようにして認証鍵交換を行い共有鍵Ｋを共有する。
【０００７】
１．情報共有装置ＵＡは、短期秘密鍵ｙＡ∈Ｚｑをランダムに選び、短期公開鍵ＹＡ＝ｇｙＡを計算し、（ＩＤＡ，ＩＤＢ，ＹＡ）を情報共有装置ＵＢに送る。
【０００８】
２．情報共有装置ＵＢは、（ＩＤＡ，ＩＤＢ，ＹＡ）を受信し、短期秘密鍵ｙＢ∈Ｚｑをランダムに選び、短期公開鍵ＹＢ＝ｇｙＢを計算し、（ＩＤＡ，ＩＤＢ，ＹＡ，ＹＢ）を情報共有装置ＵＡに送る。
【０００９】
情報共有装置ＵＢは、共有値σ１＝ｅ（ＱＡＹＡ，ＤＢＺｙＢ）及び共有値σ２＝ＹＡｙＢを計算し、共有鍵Ｋ＝Ｈ（σ１，σ２，ＩＤＡ，ＩＤＢ，ＹＡ，ＹＢ）を計算する。
【００１０】
３．情報共有装置ＵＡは、（ＩＤＡ，ＩＤＢ，ＹＡ，ＹＢ）を受信し、共有値σ１＝ｅ（ＤＡＺｙＡ，ＱＢＹＢ），共有値σ２＝ＹＢｙＡを計算し、共有鍵Ｋ＝Ｈ（σ１，σ２，ＩＤＡ，ＩＤＢ，ＹＡ，ＹＢ）を計算する。
【００１１】
情報共有装置ＵＡが計算する共有値σ１，σ２、及び、情報共有装置ＵＢが計算する共有値σ１，σ２は共に、σ１＝ＧＴｚ（ｌｏｇ（ＱＡ）＋ｙＡ）（ｌｏｇ（ＱＢ）＋ｙＢ），σ２＝ｇｙＡｙＢとなり値が同じになる。ｌｏｇの底はｇである。このため、両者が計算する共有鍵Ｋは一致する。
【先行技術文献】
【非特許文献】
【００１２】
【非特許文献１】L.Chen, Z.Cheng, N.P.Smart, “Identity-based Key Agreement Protocols From Pairings”, Int.J.Inf.Sec. 6(4), p.213-241, 2007
【発明の概要】
【発明が解決しようとする課題】
【００１３】
しかしながら、非特許文献１の情報共有技術では、ＩＤを用いて相手を特定して情報を共有するＩＤベース認証しか行われておらず、ＰＫＩの公開鍵及び秘密鍵を用いて相手を特定して情報を共有する公開鍵ベース認証と組み合わされていない。
【００１４】
この発明の課題は、ＩＤベース認証と公開鍵ベース認証とを組み合わせて情報を共有する情報共有システム、装置、方法及びプログラムを提供することである。
【課題を解決するための手段】
【００１５】
上記の課題を解決するために、この発明は、情報共有装置ＵＡのＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）の公開鍵ＰＡ及び秘密鍵ｓＡを更に用いて情報の共有を行う。
【発明の効果】
【００１６】
ＩＤベース認証と公開鍵ベース認証とを組み合わせた情報の共有が可能である。
【図面の簡単な説明】
【００１７】
【図１】情報共有システム及び装置の例の機能ブロック図。
【図２】情報共有方法のフローチャートを例示する図。
【発明を実施するための形態】
【００１８】
以下、この発明の一実施形態について、詳細に説明する。
【００１９】
［第一実施形態］
図１に示すように、情報共有システムは、鍵生成装置１、情報共有装置ＵＡ及び情報共有装置ＵＢを例えば含む。情報共有装置ＵＡは、鍵生成部２１、共有値計算部２２、情報生成部２３及び記憶部２４を例えば含む。情報共有装置ＵＢは、鍵生成部３１、共有値計算部３２、情報生成部３３及び記憶部３４を例えば含む。
【００２０】
情報共有方法は、図２に例示するステップにより構成される。
【００２１】
情報共有システム及び方法は、情報共有装置ＵＡと情報共有装置ＵＢとの間で情報を共有する。そのために、以下の公開パラメータが事前に公開されており、また、鍵生成装置１が生成した秘密鍵ＤＡ及び秘密鍵ＤＢがそれぞれ情報共有装置ＵＡ及び情報共有装置ＵＢに事前に送られているとする。
【００２２】
『公開パラメータ』
ｋを所定の整数とし、Ｇ及びＧＴをｋビットの素数位数ｑの巡回群とし、ｇを群Ｇの生成元とし、ｅ：Ｇ×Ｇ→ＧＴをペアリング関数とし、ｇＴ＝ｅ（ｇ，ｇ）を群ＧＴの生成元とし、Ｋを所定の正の整数とし、Ｈ：｛０，１｝＊→｛０，１｝Ｋ及びＨ１：｛０，１｝＊→Ｇをハッシュ関数とする。
【００２３】
ｎ及びｎ’を所定の正の整数とし、ｃｉ，Ｌ∈Ｚｑ（ｉ＝１，…，ｎ，Ｌ＝１，２，３，４）及びｃ’ｊ，Ｍ∈Ｚｑ（ｊ＝１，…，ｎ’，Ｍ＝１，２）を所定の定数とする。ｃｉ，Ｌ及びｃ’ｊ，Ｍは、予め定められた定数、又は、後述するＰＫＩ公開鍵ＰＡ、識別子ＩＤＢ、短期公開鍵ＹＡ、ＹＢ等の公開されたパラメータから計算することができる値とする。例えば、これらの公開されたパラメメータのいくつかのハッシュ値とする。
【００２４】
鍵生成装置１は、マスタ秘密鍵ｚ∈Ｚｑをランダムに選択し（ステップＳ１）、そのマスタ秘密鍵に対応するマスタ公開鍵Ｚ＝ｇｚ∈Ｇを公開する（ステップＳ２）。マスタ秘密鍵ｚは秘密に保たれるが、マスタ公開鍵Ｚは公開パラメータとして公開される。
【００２５】
『鍵生成』
鍵生成装置１は、情報共有装置Ｕｉの識別子ＩＤｉ∈｛０，１｝＊に対して、秘密鍵生成情報Ｑｉ＝Ｈ１（ＩＤｉ）∈Ｇを計算し、マスタ秘密鍵ｚを用いて秘密鍵Ｄｉ＝Ｑｉｚ∈Ｇを生成する処理をｉ＝Ｂについて行う（ステップＳ３）。秘密鍵ＤＢは情報共有装置ＵＢに送られる。
【００２６】
『鍵交換』
情報共有装置ＵＡのＰＫＩ（Ｐｕｂｌｉｃ  Ｋｅｙ  Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）における秘密鍵をＰＫＩ秘密鍵ｓＡ∈Ｚｑとする。そのＰＫＩ秘密鍵ｓＡに対応する、情報共有装置ＵＡのＰＫＩ公開鍵をＰＡ＝ｇｓＡとする。
【００２７】
情報共有装置ＵＡ及び情報共有装置ＵＢは、これらの条件の下、以下のようにして認証鍵交換を行い情報Ｋを共有する。
【００２８】
情報共有装置ＵＡの鍵生成部２１は、短期秘密鍵ｙＡ∈Ｚｑを選択する。例えば、集合Ｚｑの中からランダムにひとつの元を選択して短期秘密鍵ｙＡとする（ステップＡ１）。
【００２９】
また、情報共有装置ＵＡの鍵生成部２１は、短期秘密鍵ｙＡを用いて短期公開鍵ＹＡ＝ｇｙＡを計算する（ステップＡ２）。
【００３０】
情報共有装置ＵＡは、ＰＫＩ公開鍵ＰＡ、ＩＤ識別子ＩＤＢ及び短期公開鍵ＹＡについての情報組（ＰＡ，ＩＤＢ，ＹＡ）を情報共有装置ＵＢに送る（ステップＡ３）。情報共有装置ＵＢがＰＫＩ公開鍵ＰＡ及びＩＤ識別子ＩＤＢについての情報を既に取得している場合には、情報共有装置ＵＡはこのＰＫＩ公開鍵ＰＡ及びＩＤ識別子ＩＤＢについての情報を情報共有装置ＵＢに送らなくてもよい。
【００３１】
情報共有装置ＵＢは、（ＰＡ，ＩＤＢ，ＹＡ）を受信する（ステップＢ１）。
【００３２】
情報共有装置ＵＢの鍵生成部３１は、短期秘密鍵ｙＢ∈Ｚｑを選択する。例えば、集合Ｚｑの中からランダムにひとつの元を選択して短期秘密鍵ｙＢとする（ステップＢ２）。
【００３３】
また、情報共有装置ＵＢの鍵生成部３１は、短期秘密鍵ｙＢを用いて短期公開鍵ＹＢ＝ｇｙＢを計算する（ステップＢ３）。
【００３４】
情報共有装置ＵＢは、ＰＫＩ公開鍵ＰＡ、ＩＤ識別子ＩＤＢ、短期公開鍵ＹＡ及び短期公開鍵ＹＢについての情報の組（ＰＡ，ＩＤＢ，ＹＡ，ＹＢ）を情報共有装置ＵＡに送る（ステップＢ４）。情報共有装置ＵＢはＰＫＩ公開鍵ＰＡ、ＩＤ識別子ＩＤＢ及び短期公開鍵ＹＡについての情報を既に取得しているため、情報共有装置ＵＢは短期公開鍵ＹＢのみを情報共有装置ＵＡに送ってもよい。
【００３５】
情報共有装置ＵＢの共有値計算部３２は、共有値
σｉ＝ｅ（ＰＡｃｉ，１ＹＡｃｉ，２，ＤＢｃｉ，３Ｚｃｉ，４ｙＢ）を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値
σ’ｊ＝（ＰＡｃ’ｊ，１ＹＡｃ’ｊ，２）ｙＢ
を計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う（ステップＢ５）。
【００３６】
情報共有装置ＵＢの情報生成部３３は、共有値計算部３２により計算された共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’の少なくともひとつを引数とする関数を用いて情報Ｋを生成する（ステップＢ６）。例えば、共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’、ＰＫＩ公開鍵ＰＡ、ＩＤ識別子ＩＤＢ、短期公開鍵ＹＡ及び短期公開鍵ＹＢを用いて、情報
Ｋ＝Ｈ（σ１，…，σｎ，σ’１，…，σ’ｎ’，ＰＡ，ＩＤＢ，ＹＡ，ＹＢ）
とする。
【００３７】
情報共有装置ＵＡは、（ＰＡ，ＩＤＢ，ＹＡ，ＹＢ）を受信する（ステップＡ４）。
【００３８】
情報共有装置ＵＡの共有値計算部２２は、共有値
σｉ＝ｅ（Ｚｃｉ，１ｓＡ＋ｃｉ，２ｙＡ，ＱＢｃｉ，３ＹＢｃｉ，４）
を計算する処理をｉ＝１，…，ｎのそれぞれについて行い、共有値
σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡ
を計算する処理をｊ＝１，…，ｎ’のそれぞれについて行う（ステップＡ５）。
【００３９】
情報共有装置ＵＡの情報生成部２３は、共有値計算部２２により計算された共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’の少なくともひとつを引数とする関数を用いて情報Ｋを生成する（ステップＡ６）。情報共有装置ＵＡの情報生成部２２が用いる関数と、情報共有装置ＵＢの情報生成部３２が用いる関数とは同じである。例えば、共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’、ＰＫＩ公開鍵ＰＡ、ＩＤ識別子ＩＤＢ、短期公開鍵ＹＡ及び短期公開鍵ＹＢを用いて、情報
Ｋ＝Ｈ（σ１，…，σｎ，σ’１，…，σ’ｎ’，ＰＡ，ＩＤＢ，ＹＡ，ＹＢ）
とする。
【００４０】
情報共有装置ＵＡが計算する共有値σｉ（ｉ＝１，…，ｎ）及び共有値σ’ｊ（ｊ＝１，…，ｎ’）と、情報共有装置ＵＢが計算する共有値σｉ（ｉ＝１，…，ｎ）及び共有値σ’ｊ（ｊ＝１，…，ｎ’）とは共に、
σｉ＝ｇＴｚ（ｃｉ，１ｓＡ＋ｃｉ，２ｙＡ）（ｃｉ，３ｌｏｇ（ＱＢ）＋ｃｉ，４ｙＢ）
σ’ｊ＝ｇ（ｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡ）ｙＢ
となり値が同じになる。ｌｏｇの底はｇである。したがって、これらの共有値σｉ（ｉ＝１，…，ｎ）及び共有値σ’ｊ（ｊ＝１，…，ｎ’）に基づいて情報生成部２３及び情報生成部３３により生成された情報Ｋも等しくなる。情報Ｋは、例えば共通鍵として使用される。
【００４１】
ここで、マスタ秘密鍵ｚ及び短期秘密鍵ｙＡが漏洩しても、攻撃者は情報共有装置ＵＡに成りすまして例えば共有値σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡを計算することはできない。共有値σ’ｊ＝ＹＢｃ’ｊ，１ｓＡ＋ｃ’ｊ，２ｙＡを計算するためには、ＰＫＩ秘密鍵ｓＡが必要であるためである。
【００４２】
このように、情報共有装置ＵＡのＰＫＩ秘密鍵ｓＡ及びＰＫＩ公開鍵ＰＡを更に用いて情報の共有を行うことにより、マスタ秘密鍵ｚ及び短期秘密鍵ｙＡが漏洩しても安全性を確保可能である。
【００４３】
［第二実施形態］
第二実施形態の情報共有システム及び方法は、第一実施形態の情報共有システム及び方法の具体例である。第一実施形態の情報共有システム及び方法において、ｎ＝ｎ’＝２とし、ｃ１，１＝ｃ１，４＝ｃ２，２＝ｃ２，４＝ｃ’１，１＝ｃ’２，２＝０とし、ｃ１，２＝ｃ１，３＝ｃ２，１＝ｃ２，３＝ｃ’１，２＝ｃ’２，１＝１としたものである。
【００４４】
すなわち、第二実施形態においては、情報共有装置ＵＢの共有値計算部３２は、
σ１＝ｅ（ＹＡ，ＤＢ），σ２＝ｅ（ＰＡ，ＤＢ），σ’１＝ＹＡｙＢ，σ’２＝ＰＡｙＢ
を計算し、情報共有装置ＵＡの共有値計算部２２は、
σ１＝ｅ（ＺｙＡ，ＱＢ），σ２＝ｅ（ＺｓＡ，ＱＢ），σ’１＝ＹＢｙＡ，σ’２＝ＹＢｓＡ
を計算する。
【００４５】
この場合においても、情報共有装置ＵＡが計算する共有値σ１，σ２及び共有値σ’１，σ’２と、情報共有装置ＵＢが計算する共有値σ１，σ２及び共有値σ’１，σ’２とは共に、
σ１＝ｇＴｚｙＡｌｏｇ（ＱＢ）
σ２＝ｇＴｚｓＡｌｏｇ（ＱＢ）
σ’１＝ｇｙＡｙＢ
σ’２＝ｇｓＡｙＢ
となり値が同じになる。ｌｏｇの底はｇである。したがって、これらの共有値σ１，σ２及び共有値σ’１，σ’２に基づいて情報生成部２３及び情報生成部３３により生成された情報Ｋも等しくなる。
【００４６】
他の部分は、第一実施形態と同様であるため重複説明を省略する。
【００４７】
［第三実施形態］
第三実施形態の情報共有システム及び方法は、第一実施形態の情報共有システム及び方法の具体例である。第一実施形態の情報共有システム及び方法において、ｎ＝ｎ’＝２とし、ｃ２，２＝ｃ２，４＝ｃ’１，１＝ｃ’２，２＝０とし、上記ｃ１，１＝ｃ１，２＝ｃ１，３＝ｃ１，４＝ｃ２，１＝ｃ２，３＝ｃ’１，２＝ｃ’２，１＝１としたものである。
【００４８】
すなわち、第三実施形態においては、情報共有装置ＵＢの共有値計算部３２は、
σ１＝ｅ（ＰＡＹＡ，ＤＢＺｙＢ），σ２＝ｅ（ＰＡ，ＤＢ），σ’１＝ＹＡｙＢ，σ’２＝ＰＡｙＢ
を計算し、情報共有装置ＵＡの共有値計算部２２は、
σ１＝ｅ（ＺｓＡ＋ｙＡ，ＱＢＹＢ），σ２＝ｅ（ＺｓＡ，ＱＢ），σ’１＝ＹＢｙＡ，σ’２＝ＹＢｓＡ
を計算する。
【００４９】
この場合においても、情報共有装置ＵＡが計算する共有値σ１，σ２及び共有値σ’１，σ’２と、情報共有装置ＵＢが計算する共有値σ１，σ２及び共有値σ’１，σ’２とは共に、
σ１＝ｇＴｚ（ｓＡ＋ｙＡ）（ｌｏｇ（ＱＢ）＋ｙＢ）
σ２＝ｇＴｚｓＡｌｏｇ（ＱＢ）
σ’１＝ｇｙＡｙＢ
σ’２＝ｇｓＡｙＢ
となり値が同じになる。ｌｏｇの底はｇである。したがって、これらの共有値σ１，σ２及び共有値σ’１，σ’２に基づいて情報生成部２３及び情報生成部３３により生成された情報Ｋも等しくなる。
【００５０】
他の部分は、第一実施形態と同様であるため重複説明を省略する。
【００５１】
［変形例等］
上記の実施形態では、共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’の少なくともひとつに基づいて生成された情報Ｋを、情報共有装置ＵＡと情報共有装置ＵＢとの間で共有された情報としたが、情報Ｋを生成せずに、共有値σ１，…，σｎ、共有値σ’１，…，σ’ｎ’自体を情報共有装置ＵＡと情報共有装置ＵＢとの間で共有された情報としてもよい。
【００５２】
上記の実施形態の説明では記載していないが、情報共有装置ＵＡの各部は記憶部２４を介して各計算を行う。すなわち、情報共有装置ＵＡの各部は、記憶部２４から適宜データを読み込んで計算を行い、計算結果を記憶部２４に記憶する。情報共有装置ＵＢの各部も同様に記憶部３４を介して各計算を行う。
【００５３】
情報共有装置ＵＡ及び情報共有装置ＵＢは、コンピュータによって実現することができる。この場合、これらの装置の各部はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、これらの装置の各部が、コンピュータ上で実現される。
【００５４】
このプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、これらの装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
【００５５】
この発明は、上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
【符号の説明】
【００５６】
１     鍵生成装置
ＵＡ   情報共有装置
２１   鍵生成部
２２   共有値計算部
２３   情報生成部
２４   記憶部
ＵＢ   情報共有装置
３１   鍵生成部
３２   共有値計算部
３３   情報生成部
３４   記憶部
【図１】
0005498285.tif 000002
【図２】
0005498285.tif 000003