(57)【要約】【課題】短期秘密鍵が攻撃者に漏洩したとしても、攻撃者が共通鍵を求めることが困難な鍵交換方式を提供する。【解決手段】鍵交換装置が、短期秘密鍵ｙＡに対応する短期公開鍵ＹＡを出力し、他の装置の短期公開鍵ＹＢを受け付け、他の装置の公開鍵ＲＢ、マスター公開鍵Ｔ、公開鍵ＲＢを含む情報に対応する対応値ＨＢ、短期公開鍵ＹＢ、鍵交換装置の秘密鍵ｓＡ、短期秘密鍵ｙＡ、共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１についての2014225770.tif 000014を含む情報に対応する共有鍵を得る。【選択図】図３
2014225770.tif 000002
【特許請求の範囲】
【請求項１】
他の装置と鍵交換を行う鍵交換装置であって、
短期秘密鍵ｙＡに対応する短期公開鍵ＹＡを出力する出力部と、
前記他の装置の短期公開鍵ＹＢを受け付ける入力部と、
前記他の装置の公開鍵ＲＢ、マスター公開鍵Ｔ、前記公開鍵ＲＢを含む情報に対応する対応値ＨＢ、前記短期公開鍵ＹＢ、前記鍵交換装置の秘密鍵ｓＡ、前記短期秘密鍵ｙＡ、共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１、ｉ＝１，・・・，ｍ、正整数ｍについての
【数７】
2014225770.tif 000009
を含む情報に対応する共有鍵を得る共有鍵生成部と、
を有する鍵交換装置。
【請求項２】
請求項１の鍵交換装置であって、
ｇが巡回群Ｇの生成元、ｓＢが前記公開鍵ＲＢに対応する前記他の装置の秘密鍵、ｙＢが前記短期公開鍵ＹＢに対応する前記他の装置の短期秘密鍵であり、
【数８】
2014225770.tif 000010
を満たす、鍵交換装置。
【請求項３】
請求項１または２の鍵交換装置であって、
ＹＡ＝ｇｙＡ、ＹＢ＝ｇｙＢ、ｇが巡回群Ｇの生成元、ｙＢが前記他の装置の短期秘密鍵、ＲＡ＝ｇｒＡ、ＲＢ＝ｇｒＢ、ｒＡおよびｒＢが任意値、ｓＡ＝ｒＡ＋ＨＡｔ、ＨＡがＲＡを含む情報に対応する対応値、ｔがマスター秘密鍵、Ｔ＝ｇｔである、鍵交換装置。
【請求項４】
請求項１から３の何れかの鍵交換装置であって、
前記対応値ＨＡが前記公開鍵ＲＡを含む情報に対応するハッシュ値であり、前記対応値ＨＢが前記公開鍵ＲＢを含む情報に対応するハッシュ値である、鍵交換装置。
【請求項５】
任意値ｒｊを選択する選択部と、
公開鍵Ｒｊ＝ｇｒｊを得る公開鍵生成部と、
秘密鍵ｓｊ＝ｒｊ＋Ｈｊｔを得る秘密鍵生成部と、を有し、
ｇが巡回群Ｇの生成元、添え字のｒｊがｒｊ、ＨｊがＲｊを含む情報に対応する対応値、ｔがマスタ秘密鍵である、鍵生成装置。
【請求項６】
第１，２鍵交換装置を有し、
前記第１鍵交換装置は、
短期秘密鍵ｙＡに対応する短期公開鍵ＹＡを出力する第１出力部と、
前記第２鍵交換装置の短期公開鍵ＹＢを受け付ける第１入力部と、
前記第２鍵交換装置の公開鍵ＲＢ、マスター公開鍵Ｔ、前記公開鍵ＲＢを含む情報に対応する対応値ＨＢ、前記短期公開鍵ＹＢ、前記第１鍵交換装置の秘密鍵ｓＡ、前記短期秘密鍵ｙＡ、共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１、ｉ＝１，・・・，ｍ、正整数ｍについての
【数９】
2014225770.tif 000011
を含む情報に対応する共有鍵を得る第１共有鍵生成部と、を含み、
前記第２鍵交換装置は、
短期秘密鍵ｙＢに対応する前記短期公開鍵ＹＢを出力する第２出力部と、
前記第１鍵交換装置の短期公開鍵ＹＡを受け付ける第２入力部と、
前記第１鍵交換装置の公開鍵ＲＡ、前記マスター公開鍵Ｔ、前記公開鍵ＲＡを含む情報に対応する対応値ＨＡ、前記短期公開鍵ＹＡ、前記第２鍵交換装置の秘密鍵ｓＢ、前記短期秘密鍵ｙＢ、前記共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１、ｉ＝１，・・・，ｍについての
【数１０】
2014225770.tif 000012
を含む情報に対応する共有鍵を得る第２共有鍵生成部とを含む、鍵交換システム。
【請求項７】
鍵交換装置が他の装置と鍵交換を行う鍵交換方法であって、
前記鍵交換装置の出力部で、短期秘密鍵ｙＡに対応する短期公開鍵ＹＡを出力するステップと、
前記鍵交換装置の入力部で、前記他の装置の短期公開鍵ＹＢを受け付けるステップと、
前記鍵交換装置の共有鍵生成部で、前記他の装置の公開鍵ＲＢ、マスター公開鍵Ｔ、前記公開鍵ＲＢを含む情報に対応する対応値ＨＢ、前記短期公開鍵ＹＢ、前記鍵交換装置の秘密鍵ｓＡ、前記短期秘密鍵ｙＡ、共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１、ｉ＝１，・・・，ｍ、正整数ｍについての
【数１１】
2014225770.tif 000013
を含む情報に対応する共有鍵を得るステップと、
を有する鍵交換方法。
【請求項８】
請求項１から４の何れかの鍵交換装置としてコンピュータを機能させるためのプログラム。
【請求項９】
請求項５の鍵生成装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報セキュリティ技術の応用技術に関するものであり、二者間で鍵を共有する鍵交換方式に関する。
【背景技術】
【０００２】
鍵交換方式の従来技術の一つに非特許文献１に開示された方式がある。この方式は、ペアリングを用いずにＩＤベース認証鍵交換を実現した方式であり、非常に効率が良い。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】Dario Fiore, Rosario Gennaro, “Making the Diffie-Hellman Protocol Identity-Based,” CT-RSA 2010, pp.165-178.
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、非特許文献１では、短期秘密鍵が攻撃者に知られてしまった場合、共有値の情報が漏洩してしまい、共有鍵の情報が漏洩してしまうため、安全性を証明することができない。具体的には、非特許文献１では、例えば、Ａの短期秘密鍵ｙＡが攻撃者に知られてしまい、攻撃者はＢになりすまし短期秘密鍵ｙＢを生成してＡと鍵交換鍵交換を行った場合、共有値Ｚ１＝ｇ（ｙＡ＋ｓＡ）（ｙＢ＋ｓＢ）とＺ２＝ｇｙＡｙＢとから、ＣＤＨ問題の答えを取りだすための値ｇｓＡｓＢを求めることが出来なくなってしまい、安全性を証明することができない。
【０００５】
本発明はこのような点に鑑みてなされたものであり、秘密鍵および短期秘密鍵がどのようなパターンで攻撃者に漏洩したとしても、安全性が証明でき、攻撃者が共通鍵を求めることができない方式を提供する。
【課題を解決するための手段】
【０００６】
鍵交換装置が、短期秘密鍵ｙＡに対応する短期公開鍵ＹＡを出力し、他の装置の短期公開鍵ＹＢを受け付け、他の装置の公開鍵ＲＢ、マスター公開鍵Ｔ、公開鍵ＲＢを含む情報に対応する対応値ＨＢ、短期公開鍵ＹＢ、鍵交換装置の秘密鍵ｓＡ、短期秘密鍵ｙＡ、共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１、ｉ＝１，・・・，ｍ、正整数ｍについての
【数１】
2014225770.tif 000003
を含む情報に対応する共有鍵を得る。
【発明の効果】
【０００７】
本発明では、秘密鍵および短期秘密鍵がどのようなパターンで攻撃者に漏洩したとしても、安全性が証明でき、攻撃者が共通鍵を求めることは困難である。
【図面の簡単な説明】
【０００８】
【図１】図１は、実施形態の鍵交換システムの構成を例示したブロック図である。
【図２】図２は、実施形態の鍵生成装置の構成を例示したブロック図である。
【図３】図３Ａおよび３Ｂは、実施形態の鍵交換装置の構成を例示したブロック図である。
【図４】図４Ａおよび４Ｂは、実施形態の鍵交換方法を例示するためのフロー図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照して本発明の実施形態を説明する。
＜構成＞
図１に例示するように、本形態の鍵交換システム１は、鍵生成装置１１０、および鍵交換装置１２０−Ａ，１２０−Ｂを有する。鍵生成装置１１０、および鍵交換装置１２０−Ａ，１２０−Ｂは、例えば、ネットワーク等を通じて情報通信が可能に構成されている。
【００１０】
図２に例示するように、鍵生成装置１１０は、入力部１１１、出力部１１２、記憶部１１３、選択部１１４、公開鍵生成部１１５、および秘密鍵生成部１１６を有する。図３Ａに例示するように、鍵交換装置１２０−Ａは、入力部１２１−Ａ、出力部１２２−Ａ、記憶部１２３−Ａ、短期秘密鍵生成部１２４−Ａ、短期公開鍵生成部１２５−Ａ、共有値生成部１２６−Ａ、および共通鍵生成部１２７−Ａを有する。図３Ｂに例示するように、鍵交換装置１２０−Ｂは、入力部１２１−Ｂ、出力部１２２−Ｂ、記憶部１２３−Ｂ、短期秘密鍵生成部１２４−Ｂ、短期公開鍵生成部１２５−Ｂ、共有値生成部１２６−Ｂ、および共通鍵生成部１２７−Ｂを有する。なお、鍵生成装置１１０、および鍵交換装置１２０−Ａ，１２０−Ｂは、それぞれ、ＣＰＵ（central processing unit）、ＲＡＭ（random-access memory）、通信装置などを備える公知のコンピュータに所定のプログラムが読み込まれて構成された特別な装置である。また、以下では説明を省略するが、入力部に入力されたデータや各処理部から出力されたデータは、逐一、記憶部１１３，１２３−Ａ，１２３−Ｂに格納され、必要に応じて処理部に読み込まれる。
【００１１】
＜処理＞
次に本形態の処理を説明する。本形態では、以下のようなｍ個（ｍは１以上の整数）の多項式ｐｉ∈Ｚｑ［ｕ０，ｕ１，ｖ０，ｖ１］（ｉ＝１，・・・，ｍ）を考える。
【数２】
2014225770.tif 000004
ただし、ｃα，β，γは鍵交換装置１２０−Ａ，１２０−Ｂでの共有値であり、定数であってもよいし、短期公開鍵、公開鍵、識別子、公開パラメータ等に依存して決まる数であってもよい。以下に多項式ｐｉの例を示す。
《多項式ｐｉの例１》
ｍ＝４，ｐ１（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ０ｖ０，ｐ２（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ０ｖ１，ｐ３（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ１ｖ０，ｐ４（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ１ｖ１。
《多項式ｐｉの例２》
ｍ＝３，ｐ１（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ０ｖ０，ｐ２（ｕ０，ｕ１，ｖ０，ｖ１）＝（ｕ０＋ｕ１）（ｖ０＋ｖ１），ｐ３（ｕ０，ｕ１，ｖ０，ｖ１）＝ｕ１ｖ１。
《多項式ｐｉの例３》
ｍ＝２，ｐ１（ｕ０，ｕ１，ｖ０，ｖ１）＝（ｕ０＋ｕ１）（ｖ０＋ｖ１），ｐ２（ｕ０，ｕ１，ｖ０，ｖ１）＝（ｕ０ｃ＋ｕ１）（ｖ０ｃ＋ｖ１）。ただし、ｃは１以外の小さな整数あり、ｃの例は−１，２，３である。
【００１２】
このようなｍ個の多項式ｐｉ∈Ｚｑ［ｕ０，ｕ１，ｖ０，ｖ１］（ｉ＝１，・・・，ｍ）を用いて、以下の認証鍵交換方式Πｐ１，...，ｐｍを実行する。
【００１３】
《事前設定》
Ｇをｋビット（ただしｋは２以上の整数）の素数位数ｑの巡回群、ｇをＧの生成元とする。（例えば、Ｇは、楕円曲線の有理点のなす群、有限体の乗法群など。）また、Ｓ，Ｔを素数、Ｐ＝２Ｓ＋1,Ｑ＝２Ｔ＋１を素数、Ｎ＝ＰＱとし、Ｇをｍｏｄ  Ｎでの平方剰余の群ＱＲＮ＝｛ｕ２｜ｕ∈ＺＮ｝とすることもできる。Ｈ：｛０，１｝*→｛０，１｝ｋを任意長ビットデータをｋビットデータに写すハッシュ関数とする。鍵生成者は、マスタ秘密鍵ｔ∈Ｚｑをランダムに選択し、マスタ公開鍵Ｔ＝ｇｚ∈Ｇを設定する。マスタ秘密鍵ｔは、鍵生成装置１１０（図２）の記憶部１１３に安全に格納され、マスタ公開鍵Ｔは公開され、鍵交換装置１２０−Ａ，１２０−Ｂ（図３Ａ，３Ｂ）の記憶部１２３−Ａ，１２３−Ｂに格納される。鍵交換装置１２０−Ａ，１２０−Ｂの利用者には、それぞれ識別子ＩＤＡ，ＩＤＢが設定されている。識別子ＩＤＡ，ＩＤＢは、ともに鍵交換装置１２０−Ａ，１２０−Ｂの記憶部１２３−Ａ，１２３−Ｂに格納されるとともに、公開されている。識別子ＩＤＡ，ＩＤＢの具体例は、電話番号、メールアドレス等である。
【００１４】
《鍵生成処理》
鍵生成装置１１０（図２）の入力部１１１に識別子ＩＤｊ（ただし、ｊ∈｛Ａ，Ｂ｝）が入力される。選択部１１４は、入力された識別子ＩＤｊに対して値ｒｊ∈ＵＺｑをランダムに選択して出力する。公開鍵生成部１１５は、値ｒｊを入力とし、公開鍵Ｒｊ＝ｇｒｊ∈Ｇを計算して（得て）出力する。ただし、添え字のｒｊはｒｊを表す。秘密鍵生成部１１６は、値ｒｊ、公開鍵Ｒｊ、識別子ＩＤｊ、およびマスタ秘密鍵ｔを入力とし、秘密鍵ｓｊ＝ｒｊ＋Ｈ（Ｒｊ，ＩＤｊ）ｔ∈Ｚｑを計算して出力する。ただし、Ｈ（Ｒｊ，ＩＤｊ）は、ＲｊおよびＩＤｊに対応するビットデータにハッシュ関数Ｈを作用させて得られるハッシュ値を意味する。ＲｊおよびＩＤｊに対応するビットデータの具体例は、Ｒｊに対応するビットデータとＩＤｊに対応するビットデータとのビット連結データ等である。なお、Ｈ（Ｒｊ，ＩＤｊ）は、公開鍵Ｒｊを含む情報に対応するハッシュ値であり、公開鍵Ｒｊを含む情報に対応する対応値Ｈｊの一例である。出力部１１２は、公開鍵Ｒｊおよび秘密鍵ｓｊを出力し、公開鍵Ｒｊおよび秘密鍵ｓｊは鍵交換装置１２０−ｊに送られる。ただし、秘密鍵ｓｊは、外部に情報が漏洩しない手段によって、安全に鍵交換装置１２０−ｊに送られる。公開鍵Ｒｊおよび秘密鍵ｓｊは、鍵交換装置１２０−ｊの入力部１２１−ｊに入力され、記憶部１２３−ｊに格納される。
【００１５】
《鍵交換処理》
図４Ａおよび図４Ｂを用いて、本形態の鍵交換処理を説明する。
鍵交換装置１２０−Ａ（図３Ａ）の短期秘密鍵生成部１２４−Ａは、短期秘密鍵ｙＡ∈Ｚｑをランダムに選択して出力する（ステップＳ１Ａ）。短期公開鍵生成部１２５−Ａは、短期秘密鍵ｙＡを入力とし、短期秘密鍵ｙＡに対応する短期公開鍵ＹＡ＝ｇｙＡ∈Ｇを計算して出力する（ステップＳ２Ａ）。ただし、添え字のｙＡはｙＡを表す。出力部１２２−Ａは、識別子ＩＤＡ，ＩＤＢ、公開鍵ＲＡ、および短期公開鍵ＹＡを入力とし、（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ）を出力する（ステップＳ３Ａ）。
【００１６】
鍵交換装置１２０−Ｂ（図３Ｂ）の入力部１２１−Ｂは、（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ）を受け付け、記憶部１２３−Ｂに格納する（ステップＳ４Ｂ）。短期秘密鍵生成部１２４−Ｂは、短期秘密鍵ｙＢ∈Ｚｑをランダムに選択して出力する（ステップＳ１Ｂ）。短期公開鍵生成部１２５−Ｂは、短期秘密鍵ｙＢを入力とし、短期秘密鍵ｙＢに対応する短期公開鍵ＹＢ＝ｇｙＢ∈Ｇを計算して出力する（ステップＳ２Ｂ）。ただし、添え字のｙＢはｙＢを表す。出力部１２２−Ｂは、識別子ＩＤＡ，ＩＤＢ、公開鍵ＲＡ，ＲＢ、および短期公開鍵ＹＡ，ＹＢを入力とし、（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ，ＲＢ，ＹＢ）を出力する（ステップＳ３Ｂ）。
【００１７】
共有値生成部１２６−Ｂは、公開鍵ＲＡ、マスター公開鍵Ｔ、識別子ＩＤＡ、短期公開鍵ＹＡ、秘密鍵ｓＢ、短期秘密鍵ｙＢ、および共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１（ただし、ｉ＝１，・・・，ｍ）を用い、以下のｍ個の値Ｚ１，・・・，Ｚｍを計算して出力する（ステップＳ５Ｂ）。
【数３】
2014225770.tif 000005
共有鍵生成部１２７−Ｂは、値Ｚ１，・・・，Ｚｍ、公開鍵ＲＡ，ＲＢ、および短期公開鍵ＹＡ，ＹＢを入力とし、共有鍵Ｋ＝Ｈ（Ｚ１，・・・，Ｚｍ，ＲＡ，ＲＢ，ＹＡ，ＹＢ）を計算して出力する（ステップＳ６Ｂ）。
【００１８】
鍵交換装置１２０−Ａ（図３Ａ）の入力部１２１−Ａは、（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ，ＲＢ，ＹＢ）を受け付け、記憶部１２３−Ａに格納する（ステップＳ４Ａ）。共有値生成部１２６−Ａは、公開鍵ＲＢ、マスター公開鍵Ｔ、識別子ＩＤＢ、短期公開鍵ＹＢ、秘密鍵ｓＡ、短期秘密鍵ｙＡ、および共有値ｃｉ，０，０，ｃｉ，０，１，ｃｉ，１，０，ｃｉ，１，１（ただし、ｉ＝１，・・・，ｍ）を用い、以下のｍ個の値Ｚ１，・・・，Ｚｍを計算して出力する（ステップＳ５Ａ）。
【数４】
2014225770.tif 000006
共有鍵生成部１２７−Ａは、値Ｚ１，・・・，Ｚｍ、公開鍵ＲＡ，ＲＢ、および短期公開鍵ＹＡ，ＹＢを入力とし、共有鍵Ｋ＝Ｈ（Ｚ１，・・・，Ｚｍ，ＲＡ，ＲＢ，ＹＡ，ＹＢ）を計算して出力する（ステップＳ６Ａ）。
【００１９】
＜本形態の特徴＞
鍵交換装置１２０−Ｂが計算した式（１）は以下のように変形できる。
【数５】
2014225770.tif 000007
鍵交換装置１２０−Ａが計算した式（２）は以下のように変形できる。
【数６】
2014225770.tif 000008
したがって、鍵交換装置１２０−Ａ，Ｂで計算した共有鍵Ｋは一致する。また、鍵交換装置１２０−Ａ，Ｂはともに自らの秘密鍵ｓＡ，ｓＢを出力しない。そのため、たとえ短期秘密鍵ｙＡ，ｙＢが攻撃者に漏洩したとしても、攻撃者は上記の値Ｚ１，・・・，Ｚｍを計算することができず、共有鍵Ｋを得ることができない。また、本形態では共有値Ｚｉを適切に設定することにより、秘密鍵および短期秘密鍵がどのようなパターンで攻撃者に漏洩したとしても、安全性が証明でき、攻撃者は共通鍵Ｋを求めることができない。
【００２０】
＜変形例等＞
本発明は上述の実施の形態に限定されるものではない。例えば、Ｈとしてハッシュ関数以外の単写な関数が用いられてもよい。例えば、Ｈとして共通鍵暗号方式の暗号化関数が用いられてもよい。また、上記の実施形態では、同じハッシュ関数Ｈを用いてＨ（Ｒｊ，ＩＤｊ）およびＫ＝Ｈ（Ｚ１，・・・，Ｚｍ，ＲＡ，ＲＢ，ＹＡ，ＹＢ）が計算されたが、ハッシュ関数Ｈと異なる単写な関数Ｈ’を用いてＫ＝Ｈ’（Ｚ１，・・・，Ｚｍ，ＲＡ，ＲＢ，ＹＡ，ＹＢ）が計算されてもよい。関数Ｈ’の例はハッシュ関数や共通鍵暗号方式の暗号化関数などである。
【００２１】
上記の実施形態では、対応値Ｈｊの一例としてＨ（Ｒｊ，ＩＤｊ）を例示した。しかしながら、公開鍵Ｒｊを含む情報に対応するその他の対応値Ｈｊが用いられてもよい。例えば、Ｈｊ＝Ｈ（Ｒｊ）であってもよいし、Ｈｊ＝Ｈ（Ｒｊ，ＩＤｊ，ａｄｄｊ）であってもよいし、Ｈｊ＝Ｈ（Ｒｊ，ａｄｄｊ）であってもよい。ただし、ａｄｄｊは、鍵交換装置１２０−ｊに対応する公開情報、その他の公開情報、または鍵交換装置１２０−ｊに対応する公開情報とその他の公開情報とを含む付加情報である。ａｄｄＡ≠ａｄｄＢであってもよいし、ａｄｄＡ＝ａｄｄＢであってもよい。
【００２２】
例えば、鍵交換装置１２０−Ａが（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ）を出力し、鍵交換装置１２０−Ｂに（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ）が入力されることに代えて、鍵交換装置１２０−ＡがＹＡを含むその他の情報を出力し、鍵交換装置１２０−ＢにこのＹＡを含む情報が入力されることにしてもよい。例えば、鍵交換装置１２０−ＡがＹＡを出力し、鍵交換装置１２０−ＢにこのＹＡが入力されてもよい。同様に、鍵交換装置１２０−Ｂが（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ，ＲＢ，ＹＢ）を出力し、鍵交換装置１２０−Ａに（ＩＤＡ，ＩＤＢ，ＲＡ，ＹＡ，ＲＢ，ＹＢ）が入力されることに代えて、鍵交換装置１２０−ＢがＹＢを含むその他の情報を出力し、鍵交換装置１２０−ＡにこのＹＢを含むその他の情報が入力されてもよい。例えば、鍵交換装置１２０−ＢがＹＢを出力し、鍵交換装置１２０−ＡにこのＹＢが入力されてもよい。
【００２３】
例えば、鍵交換装置１２０−Ａ，１２０−Ｂが共有鍵Ｋ＝Ｈ（Ｚ１，・・・，Ｚｍ，ＲＡ，ＲＢ，ＹＡ，ＹＢ）を計算することに代えて、Ｚ１，・・・，Ｚｍを含むその他の情報に対応する共有値Ｋが計算されてもよい。
【００２４】
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【００２５】
上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
【００２６】
このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【００２７】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
【００２８】
上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。
【符号の説明】
【００２９】
１  鍵交換システム
１１０  鍵生成装置
１２０−Ａ，１２０−Ｂ  鍵交換装置
【図１】
2014225770.tif 000015
【図２】
2014225770.tif 000016
【図３】
2014225770.tif 000017
【図４】
2014225770.tif 000018