(57)【特許請求の範囲】
【請求項１】
グループに属する複数端末間だけで共通の通話鍵を共有して持ち、前記通話鍵を用いてデータを暗号化して無線通信を行う通信システムにおいて、前記通話鍵を管理し、配送鍵を用いて前記通話鍵を暗号化し、前記グループに属する端末に対して配送する鍵管理装置であって、
前記配送鍵として、グループ内で共通な一斉鍵と、階層毎に決められたサブグループ内で共通なグループ鍵と、端末毎に固有な個別鍵を保存するデータベースと、
前記通話鍵を生成する通話鍵生成手段と、
前記データベースから所定の配送鍵を選択して読み出す配送鍵選択手段と、
前記配送鍵選択手段が選択した配送鍵を用いて前記通話鍵を暗号化する鍵暗号化手段と、
前記鍵暗号化手段が暗号化した通話鍵を前記端末に配送する配送手段と、
前記通話鍵生成手段が生成した通話鍵を用いて、前記データベースに保存された配送鍵を更新する配送鍵作成手段と、を具備し、
前記データベースは、第ｍ階層（ｍは０からＭ−１までの整数）に存在する２ｍ個のグループまたはサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループまたはサブグループそれぞれに１つずつ割り当てられた配送鍵を保存し、
前記配送鍵選択手段は、グループから単一または複数の特定端末を除外する場合、所定の端末番号ｉ（ｉは０からＩまでの整数）においてｍをＭからデクリメントして前記特定端末が属する階層およびサブグループを探索し、探索されたｍがＭでなければ、探索されたサブグループを２分割した第ｍ＋１階層のサブグループの内の前記特定端末の属しない方に割り当てられたグループ鍵あるいは個別鍵を読み出す、鍵管理装置。
【請求項２】
前記配送鍵選択手段は、端末番号ｉの初期値を０として探索を開始し、探索結果に基づいてグループ鍵あるいは個別鍵を選択すると、以下の式（１）で表されるＺ（ｉ，ｍ）を用いて、端末番号ｉ＝２Ｍ−（ｍ＋１）×（Ｚ（ｉ，ｍ＋１）＋１）について探索を再開する請求項１記載の鍵管理装置。
【数１】
0004243305.tif 000003
【請求項３】
前記一斉鍵と、自局が属するサブグループ内で共通なグループ鍵と、自局に固有な個別鍵を保存する耐タンパメモリと、
請求項１記載の鍵管理装置から配送された暗号化後の通話鍵を復号する鍵復号手段と、配送鍵を更新する配送鍵作成手段と、を具備する端末。
【請求項４】
グループに属する複数端末間だけで共通の通話鍵を共有して持ち、前記通話鍵を用いてデータを暗号化して無線通信を行う通信システムにおいて、前記通話鍵を管理し、配送鍵を用いて前記通話鍵を暗号化し、前記グループに属する端末に対して配送する鍵管理装置の鍵配送方法であって、
前記配送鍵として、グループ内で共通な一斉鍵と、階層毎に決められたサブグループ内で共通なグループ鍵と、端末毎に固有な個別鍵をデータベースに保存する保存ステップと、
前記通話鍵を生成する通話鍵生成ステップと、
前記データベースから所定の配送鍵を選択して読み出す配送鍵選択ステップと、
前記配送鍵選択ステップで選択された配送鍵を用いて前記通話鍵を暗号化する鍵暗号化ステップと、
前記鍵暗号化ステップで暗号化された通話鍵を前記端末に配送する配送ステップと、
前記通話鍵生成ステップで生成された通話鍵を用いて、前記データベースに保存された配送鍵を更新する配送鍵作成ステップと、を具備し、
前記保存ステップは、前記データベースに、第ｍ階層（ｍは０からＭ−１までの整数）に存在する２ｍ個のグループまたはサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループまたはサブグループそれぞれに１つずつ割り当てられた配送鍵を保存し、
前記配送鍵選択ステップは、グループから単一または複数の特定端末を除外する場合、所定の端末番号ｉ（ｉは０からＩまでの整数）においてｍをＭからデクリメントして前記特定端末が属する階層およびサブグループを探索し、探索されたｍがＭでなければ、探索されたサブグループを２分割した第ｍ＋１階層のサブグループの内の前記特定端末の属しない方に割り当てられたグループ鍵あるいは個別鍵を読み出す、鍵配送方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、グループに属する複数の端末に対して秘密鍵を配送する鍵管理装置および鍵配送方法に関する。
【背景技術】
【０００２】
グループ通信システムは、グループに属する複数端末間だけで無線通信（通話）を行う通信システムである。この通信システムにおいて、グループ内で共通の秘密鍵（以下、「通話鍵」という）を各端末が共有して持ち、この通話鍵を用いてデータを暗号化することにより、グループに属する端末だけが、この暗号化されたデータを復号することができる。
【０００３】
通話鍵は、これを管理するセンター（鍵管理装置）から各端末に配送用の秘密鍵（以下、「配送鍵」という）で暗号化されて配送される。
【０００４】
また、この通信システムにおいて、例えば、グループ内のある端末を紛失したり盗難されたりする等、その端末を用いた暗号通信の盗聴や偽情報の送信などの不正が行われ得る状況等が生じた場合には、グループからその端末を除外して、残りの端末だけで新たな通話鍵を共有することが必要となる。
【０００５】
図１６は、特定の端末以外の端末で通話鍵を共有するための従来方法を説明する図である。この方法では、５個の端末Ｔ１，…，Ｔ５がそれぞれ固有の配送鍵Ｋ１，…，Ｋ５を保持しており、センターは全端末の配送鍵を管理する。例えば、センターが端末Ｔ１を除外して他のＴ２，…，Ｔ５に新しい共通の通話鍵を配送するためには、まず、センターは通話鍵Ｋを生成し、これをそれぞれ配送鍵Ｋ２，…，Ｋ５を用いて暗号化し、暗号化データをそれぞれＴ２，…，Ｔ５に配送する。各端末では配送鍵を用いて暗号化データを復号し、通話鍵Ｋを獲得する。なお、図１６において例えばＥｋ２（ｋ）は、Ｋを配送鍵ｋ２で暗号化したデータである。この暗号化データＥｋ２（ｋ）〜Ｅｋ５（ｋ）は、それぞれ端末Ｔ２〜Ｔ５において固有の配送鍵で暗号化されているため、端末Ｔ１は、この暗号化データを取得したとしても、センターが生成した秘密鍵Ｋを獲得することができない。
【０００６】
ただし、従来の方法では、センターが、Ｎ個の端末から１つの端末を除外するために、Ｎ−１回の暗号化を行い、Ｎ−１個のデータを送信しなくてはならない。グループに属する端末が多くなると、この通信トラフィックはシステムにとって非常な負荷となる。また、全局更新まではグループ内の暗号通信等の業務を停止する必要があり、グループに属する端末が多くなると、Ｎ−１局に秘密鍵を配り終えるまでの業務停止期間が長くなってしまう。
【０００７】
この問題を解決する方式として、マルチキャストのような放送型メディアでは、秘密鍵を木構造化し、秘密鍵の更新のための手間を最小にする方法が考えられている（例えば、特許文献１、特許文献２）。
【特許文献１】特開平１１−１８７０１３号公報
【特許文献２】特開２００１−１８６１１９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、特許文献１および特許文献２の方式は、各端末が複数の秘密鍵を保持するものであり、グループに属する各端末が１つの通話鍵を共有するグループ通信システムでは、他の方式を考える必要が有る。
【０００９】
本発明はかかる点に鑑みてなされたものであり、グループ通信システムにおいて、グループに属する端末が多くなっても、通話鍵配送トラフィックが過大とならない鍵管理装置および鍵配送方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明の鍵管理装置は、グループに属する複数端末間だけで共通の通話鍵を共有して持ち、前記通話鍵を用いてデータを暗号化して無線通信を行う通信システムにおいて、前記通話鍵を管理し、配送鍵を用いて前記通話鍵を暗号化し、前記グループに属する端末に対して配送する鍵管理装置であって、前記配送鍵として、グループ内で共通な一斉鍵と、階層毎に決められたサブグループ内で共通なグループ鍵と、端末毎に固有な個別鍵を保存するデータベースと、前記通話鍵を生成する通話鍵生成手段と、前記データベースから所定の配送鍵を選択して読み出す配送鍵選択手段と、前記配送鍵選択手段が選択した配送鍵を用いて前記通話鍵を暗号化する鍵暗号化手段と、前記鍵暗号化手段が暗号化した通話鍵を前記端末に配送する配送手段と、前記通話鍵生成手段が生成した通話鍵を用いて、前記データベースに保存された配送鍵を更新する配送鍵作成手段と、を具備し、前記データベースは、第ｍ階層（ｍは０からＭ−１までの整数）に存在する２ｍ個のグループまたはサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループまたはサブグループそれぞれに１つずつ割り当てられた配送鍵を保存し、前記配送鍵選択手段は、グループから単一または複数の特定端末を除外する場合、所定の端末番号ｉ（ｉは０からＩまでの整数）においてｍをＭからデクリメントして前記特定端末が属する階層およびサブグループを探索し、探索されたｍがＭでなければ、探索されたサブグループを２分割した第ｍ＋１階層のサブグループの内の前記特定端末の属しない方に割り当てられたグループ鍵あるいは個別鍵を読み出す、構成を採る。
【００１１】
本発明の鍵配送方法は、グループに属する複数端末間だけで共通の通話鍵を共有して持ち、前記通話鍵を用いてデータを暗号化して無線通信を行う通信システムにおいて、前記通話鍵を管理し、配送鍵を用いて前記通話鍵を暗号化し、前記グループに属する端末に対して配送する鍵管理装置の鍵配送方法であって、前記配送鍵として、グループ内で共通な一斉鍵と、階層毎に決められたサブグループ内で共通なグループ鍵と、端末毎に固有な個別鍵をデータベースに保存する保存ステップと、前記通話鍵を生成する通話鍵生成ステップと、前記データベースから所定の配送鍵を選択して読み出す配送鍵選択ステップと、前記配送鍵選択ステップで選択された配送鍵を用いて前記通話鍵を暗号化する鍵暗号化ステップと、前記鍵暗号化ステップで暗号化された通話鍵を前記端末に配送する配送ステップと、前記通話鍵生成ステップで生成された通話鍵を用いて、前記データベースに保存された配送鍵を更新する配送鍵作成ステップと、を具備し、前記保存ステップは、前記データベースに、第ｍ階層（ｍは０からＭ−１までの整数）に存在する２ｍ個のグループまたはサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループまたはサブグループそれぞれに１つずつ割り当てられた配送鍵を保存し、前記配送鍵選択ステップは、グループから単一または複数の特定端末を除外する場合、所定の端末番号ｉ（ｉは０からＩまでの整数）においてｍをＭからデクリメントして前記特定端末が属する階層およびサブグループを探索し、探索されたｍがＭでなければ、探索されたサブグループを２分割した第ｍ＋１階層のサブグループの内の前記特定端末の属しない方に割り当てられたグループ鍵あるいは個別鍵を読み出す、方法を採る。
【発明の効果】
【００１２】
本発明によれば、鍵管理装置において、必要最小限の配送鍵を選択し、これらを用いて通話鍵の暗号化を行えば良く、しかも鍵メッセージデータを１つだけ作成して送信すれば良いので、グループに属する端末が多くなっても、通話鍵配送トラフィックが過大とならず、無通信期間（待受け期間）を利用して配送することで、通話トラフィックを圧迫することがない。また、複数の局を同時に除外する場合に、鍵の数が最小となる利用可能な配送鍵の組を選択することができるので、効率的に暗号鍵の配送を行うことができる。
【発明を実施するための最良の形態】
【００１３】
以下、本発明の実施の形態について図面を参照して詳細に説明する。なお、実施の形態１は、１局の特定局だけを除外して暗号鍵を配送する場合に好適である。しかし、除外する特定局が複数有る場合には、実施の形態１の方式を用いると、特定局以外の端末に暗号鍵を配送するまでに時間がかかるため、他の方式により暗号鍵を配送することが求められる。そこで、実施の形態２では、複数の局を同時に除外し、しかも効率的に暗号鍵の配送を行う場合について説明する。
【００１４】
（実施の形態１）「単一局除外鍵配送」
１．システム構成
図１は、本実施の形態に係る通信システムの構成を示す図である。図１に示す通信システムは、グループに属する複数端末間だけで無線通信を行うためのシステムであり、端末管理装置１００と、鍵管理装置２００と、基地局３００と、複数の端末４００から構成される。なお、図１では、グループを形成する４台の端末４００−０〜４００−３を示しているが、本実施の形態に係る通信システムでは、グループに属する端末の数に制限はない。
【００１５】
１．１  システムを構成する各装置の概要
端末管理装置１００は、各端末４００のＩＤを登録、管理し、グループから除外する端末のＩＤあるいはグループに復帰する端末のＩＤを鍵管理装置２００に通知する。また、端末管理装置１００は、システム運用を開始する前、及び、新規に端末が加入した場合に、鍵管理装置２００から出力された配送鍵を各端末４００のメモリに書き込む。
【００１６】
鍵管理装置２００は、システムで使用される通話鍵および配送鍵を管理する。そして、鍵管理装置２００は、ランダムに生成した通話鍵を所定の配送鍵で暗号化し、暗号化した通話鍵を、基地局３００を介して各端末４００に配送する。また、鍵管理装置２００は、新たな通話鍵が生成される毎に配送鍵も新たに作成する。なお、鍵管理装置２００が通話鍵を生成するタイミングとして、システム運用開始時、通話鍵の使用開始から所定時間経過時、グループから特定の端末を除外する時、等が挙げられる。
【００１７】
また、鍵管理装置２００は、システム運用を開始する前に、端末管理装置１００にランダムに生成した配送鍵を出力する。また、鍵管理装置２００は、暗号化した通話鍵および配送鍵を、基地局３００を介してグループに復帰する端末に配送する。
【００１８】
基地局３００は、各端末４００と無線通信を行うとともに端末間の中継も可能なデジタル無線装置で、鍵管理装置２００で暗号化された鍵を各端末４００に送信する。基地局のアクセス方式はＳＣＰＣ（Single Channel per Carrier）方式でもＭＣＡ（Multi-Channel Access）方式でも良い。また、多重化方式や変調方式についても特段、制約はない。但し、原理の説明にはＳＣＰＣが最も簡潔であることから、ここではＳＣＰＣ方式を念頭に説明を行うものとする。
【００１９】
各端末４００は、鍵管理装置２００から配送された通話鍵を用いて、他の端末とデータ通信を行う。なお、各端末４００は、互いに直接通信を行っても良く、基地局３００を介して通信を行っても良い。
【００２０】
１．２  通話鍵の世代定義
なお、本実施の形態では、鍵管理装置２００が通話鍵を生成したタイミングを基準として、通話鍵、配送鍵の「世代」を区別する。具体的には、鍵管理装置２００が最初に生成する通話鍵を「第０世代通話鍵」と表現し、鍵管理装置２００が生成した最新の通話鍵を「現世代通話鍵」あるいは「第ｎ世代通話鍵」と表現し、次に鍵管理装置２００が生成する通話鍵を、「次世代通話鍵」あるいは「第ｎ＋１世代通話鍵」と表現する（ｎは０または自然数）。同様に、システム運用を開始する前に予め鍵管理装置２００および各端末４００に保存される配送鍵を、「配送鍵の初期値」あるいは「第０世代配送鍵」と表現し、「第ｎ世代通話鍵」を暗号化する配送鍵を「現世代通話鍵」あるいは「第ｎ世代配送鍵」と表現する。
【００２１】
２．鍵管理装置の詳細
次に、鍵管理装置２００の内部構成について図２を用いて説明する。鍵管理装置２００は、データベース２０１と、通話鍵生成部２０２と、配送鍵選択部２０３と、配送鍵作成部２０４と、鍵暗号化部２０５と、メッセージ作成部２０６と、伝送制御部２０７と、を有する。
【００２２】
２．１  指示情報
鍵管理装置２００には、端末管理装置１００から、通話鍵、配送鍵の配送を指示する指示情報が入力される。指示情報には、システム運用を開始する前に配送鍵の初期値を端末管理装置１００に出力することを指示する第１指示情報、システム運用開始あるいは通話鍵の使用開始から所定時間経過したことにより、グループに属する全端末が共有する新たな通話鍵の生成、配送を指示する第２指示情報、グループから特定端末を除外し、その他の端末が共有する新たな通話鍵の生成、配送を指示する第３指示情報、グループに復帰する端末に対する配送鍵の配送を指示する第４指示情報がある。なお、第１指示情報には、グループに参加する端末のＩＤ情報が含まれ、第３指示情報には、グループから除外する端末のＩＤ情報が含まれ、第４指示情報には、グループに復帰する端末のＩＤ情報が含まれる。各指示情報とその目的を整理すると以下のようになる。なお、本実施の形態では、無線回線を介した場合を、「エア」と表現する。
・第１指示情報：ケーブル接続による端末への鍵情報書込み
・第２指示情報：全端末を対象としたエアによる通話鍵の一斉更新
・第３指示情報：特定局を除外したエアによる通話鍵の一斉更新
・第４指示情報：長期不稼働端末へのエアによる鍵情報のダウンロード
【００２３】
２．２  データベース
データベース２０１には、配送鍵とメッセージ番号が保存される。配送鍵には、以下の種類がある。
・一斉鍵    ：グループ内で共通な鍵
・グループ鍵：階層毎に定められたサブグループ内で共通な鍵
・個別鍵    ：端末毎に固有な鍵
【００２４】
システム運用開始前に、データベース２０１には、ランダムに生成した配送鍵の初期値が予め保存され、メッセージ番号が「０」に設定される。また、システム運用開始後には、配送鍵作成部２０４で新しい配送鍵が作成される度に、データベース２０１には、新しい配送鍵が上書き保存され、メッセージ番号がインクリメントされる。また、データベース２０１には、グループに属する全端末の個別鍵の初期値が常に保存される。
【００２５】
２．３  通話鍵生成部
通話鍵生成部２０２は、第２指示情報あるいは第３指示情報を入力すると、通話鍵をランダムに生成し、これを配送鍵作成部２０４および鍵暗号化部２０５に出力する。
【００２６】
２．４  配送鍵選択部
配送鍵選択部２０３は、第１指示情報を入力すると、データベース２０１に保存されている配送鍵の中から、第１指示情報に含まれる端末のＩＤ情報に対応する所定の配送鍵の初期値を読み出し、これらを端末管理装置１００に出力する。また、配送鍵選択部２０３は、第２指示情報を入力すると、データベース２０１に保存されている配送鍵の中から、一斉鍵を読み出し、これを鍵暗号化部２０５に出力する。また、配送鍵選択部２０３は、第３指示情報を入力すると、後述するように、データベース２０１に保存されている配送鍵の中から、特定端末を除外するようにグループ鍵、個別鍵を読み出し、これらを鍵暗号化部２０５に出力する。また、配送鍵選択部２０３は、第４指示情報を入力すると、データベース２０１に保存されている配送鍵の中から、復帰する端末の個別鍵の初期値および復帰する端末が属するグループの配送鍵を読み出し、これらを鍵暗号化部２０５に出力する。
【００２７】
２．５  配送鍵作成部
配送鍵作成部２０４は、通話鍵生成部２０２において新たな通話鍵が生成されると、データベース２０１から全配送鍵を読み出し、新たな通話鍵に対して、現世代配送鍵を用いて暗号化演算を行い、次世代の配送鍵を作成する。そして、配送鍵作成部２０４は、次世代配送鍵をデータベース２０１のメモリに上書きし、メッセージ番号をインクリメントする。
【００２８】
２．６  鍵暗号化部
鍵暗号化部２０５は、配送鍵選択部２０３から出力された配送鍵を用いて、通話鍵生成部２０２から出力された通話鍵を暗号化し、暗号化された通話鍵をメッセージ作成部２０６に出力する。また、鍵暗号化部２０５は、配送鍵選択部２０３から個別鍵の初期値および所定の配送鍵を入力すると、入力した個別鍵の初期値を用いて、入力した通話鍵および配送鍵を暗号化し、暗号化された通話鍵および配送鍵をメッセージ作成部２０６に出力する。
【００２９】
２．７  メッセージ作成部
メッセージ作成部２０６は、第２指示情報、第３指示情報あるいは第４指示情報を入力すると、以下の（１）から（７）を含む鍵通知メッセージを作成し、伝送制御部２０７に出力する。
（１）メッセージ種別
（２）発アドレス（システムの識別番号）
（３）着アドレス（メッセージ通知先ＩＤ。全局対象のメッセージでは省略可）
（４）データベース２０１に保存されたメッセージ番号ｎ（＝世代番号）
（５）特定端末ＩＤ（第３、第４指示情報に基づき生成する場合に付加）
（６）鍵暗号化部２０５から出力された鍵（暗文。個数はメッセージ種別による）
（７）認証子
を含む鍵通知メッセージを作成し、伝送制御部２０７に出力する。なお、認証子は、上記（１）から（６）の「メッセージ本体」と、当該メッセージには含まれず、かつ、通知対象端末のみが共有する情報（例えば、平文の次世代通話鍵等）とを用いてHash関数等により作成する。なお、ここで、発アドレス、着アドレスは、通常の無線通信プロトコルで使用される公開された番号で、（５）の特定端末ＩＤとは別の体系に基づいて付与されるものである。
【００３０】
本実施の形態で使用するメッセージ種別は以下の通りである。
・一斉鍵通知メッセージ
・特定局除外鍵通知メッセージ
・個別鍵通知メッセージ
【００３１】
一斉鍵通知メッセージとは一斉鍵で暗号化された通話鍵を含む鍵通知メッセージを、特定局除外鍵通知メッセージとはグループ鍵と個別鍵で暗号化された通話鍵を含む鍵通知メッセージを、個別鍵通知メッセージとは個別鍵の初期値で暗号化された通話鍵・配送鍵を含む鍵通知メッセージをいう。
【００３２】
２．８  伝送制御部
伝送制御部２０７は、メッセージ作成部２０６から出力された鍵通知メッセージを誤り訂正符号化等、伝送に適したフレームフォーマットに変換し、基地局３００に出力する。
【００３３】
なお、本願は、データベース２０１に保存される配送鍵の構成、および配送鍵選択部２０３の配送鍵の選択の仕方に特徴がある。これらの詳細は４、５項に後述する。
【００３４】
３．端末装置の詳細
次に、端末４００の内部構成について、音声通話用端末を例として図３を用いて説明する。端末４００は、マイク４０１と、スピーカ４０２と、音声コーデック部４０３と、暗号化・復号部４０４と、チャネルコーデック部４０５と、送受信部４０６と、アンテナ４０７と、耐タンパメモリ４０８と、鍵復号部４０９と、認証部４１０と、配送鍵作成部４１１と、を有する。なお、ここで耐タンパメモリとは、外部から容易に読み出したり、分解して記録内容を解析したりすることが困難な構造を有する端末内部のメモリブロックをいう。
【００３５】
音声コーデック部４０３は、マイク４０１に集音された音声信号を符号化し、符号化後の信号を暗号化・復号部４０４に出力する。また、音声コーデック部４０３は、暗号化・復号部４０４の出力信号を復号し、復号後の音声信号をスピーカ４０２から出力させる。
【００３６】
暗号化・復号部４０４は、耐タンパメモリ４０８に保存されている通話鍵を用いて音声コーデック部４０３の出力信号に対して暗号化処理を行い、暗号化後の信号をチャネルコーデック部４０５に出力する。また、暗号化・復号部４０４は、耐タンパメモリ４０８に保存されている通話鍵を用いてチャネルコーデック部４０５の出力信号に対して復号処理を行い、復号後の信号を音声コーデック部４０３に出力する。
【００３７】
チャネルコーデック部４０５は、暗号化・復号部４０４の出力信号に対して誤り訂正用の符号化処理を行い、送受信部４０６に出力する。また、チャネルコーデック部４０５は、送受信部４０６の出力信号に対して誤り訂正用の復号処理を行い、復号の結果得られた信号のうち、鍵通知メッセージを鍵復号部４０９および認証部４１０に出力し、他の信号を暗号化・復号部４０４に出力する。
【００３８】
送受信部４０６は、チャネルコーデック部４０５の出力信号に対して変調、アップコンバート、増幅等の処理を行い、無線周波数の信号をアンテナ４０７から送信する。また、送受信部４０６は、アンテナ４０７に受信された信号に対して増幅、ダウンコンバート、復調等の処理を行い、ベースバンド周波数の信号をチャネルコーデック部４０５に出力する。
【００３９】
３．１  耐タンパメモリ
耐タンパメモリ４０８には、現世代の配送鍵、個別鍵の初期値、現世代の通話鍵、メッセージ番号、自局ＩＤが保存される。なお、個別鍵を含む配送鍵の初期値は、端末管理装置１００から耐タンパメモリ４０８に書き込まれる。また、初期値以外の配送鍵は、認証部４１０から耐タンパメモリ４０８に書き込まれる。
【００４０】
鍵復号部４０９は、一斉鍵通知メッセージあるいは特定局除外鍵通知メッセージを入力した場合、これらの鍵通知メッセージに含まれるメッセージ番号と耐タンパメモリ４０８に保存されているメッセージ番号とを比較する。そして、鍵復号部４０９は、２つのメッセージ番号が一致する場合には、耐タンパメモリ４０８に保存された配送鍵を用いて鍵通知メッセージに含まれる暗号化された通話鍵を復号し、復号した通話鍵を認証部４１０に出力する。一方、鍵復号部４０９は、２つのメッセージ番号が一致しない場合には、鍵通知メッセージを廃棄する。また、鍵復号部４０９は、個別鍵通知メッセージを入力した場合、この鍵通知メッセージに含まれる端末ＩＤと耐タンパメモリ４０８に保存されている端末ＩＤとを比較する。そして、鍵復号部４０９は、２つの端末ＩＤが一致する場合には、耐タンパメモリ４０８に保存された個別鍵の初期値を用いて鍵通知メッセージに含まれる暗号化された通話鍵および配送鍵を復号し、復号した通話鍵および配送鍵を認証部４１０に出力する。一方、鍵復号部４０９は、２つの端末ＩＤが一致しない場合には、鍵通知メッセージを廃棄する。
【００４１】
３．２  認証部
認証部４１０は、メッセージ本体及び鍵復号部４０９で復号された鍵等を用いた所定の演算（例えば、Hash関数の演算等）を行って検証子を作成し、チャネルコーデック部４０５から出力された鍵通知メッセージに含まれる認証子と照合する。そして、認証部４１０は、一斉鍵通知メッセージあるいは特定局除外鍵通知メッセージを入力し、検証子と認証子が一致する場合、鍵復号部４０９で復号された通話鍵を配送鍵作成部４１１に出力するとともに耐タンパメモリ４０８に上書きする。また、認証部４１０は、個別鍵通知メッセージを入力し、検証子と認証子が一致する場合、鍵復号部４０９で復号された通話鍵および配送鍵を耐タンパメモリ４０８に上書きする。一方、認証部４１０は、検証子と認証子が一致しない場合には、鍵通知メッセージを廃棄する。
【００４２】
３．３  配送鍵作成部
配送鍵作成部４１１は、耐タンパメモリ４０８から全配送鍵を読み出し、認証部４１０から出力された通話鍵に対して、現世代配送鍵を用いて暗号化演算を行い、次世代の配送鍵を作成す。そして、配送鍵作成部４１１は、次世代配送鍵を耐タンパメモリ４０８に上書きし、メッセージ番号をインクリメントする。
【００４３】
４．グループ構成方法と配送鍵の関係
次に、データベース２０１、耐タンパメモリ４０８に保存される配送鍵の種類、および配送鍵選択部２０３の配送鍵の選択の仕方について、グループに１６台の端末４００−ｉ（ｉは０から１５までの整数）が属する場合を例に図面を用いて具体的に説明する。なお、各端末４００−ｉには、ｉを２進数で表したビットデータの端末ＩＤが付与される。
【００４４】
４．１  グループの構成方法
本実施の形態では、第ｍ階層（ｍは０からＭまでの整数、本例ではＭ＝４）に存在する２ｍ個のグループ（ｍ＝０）及びサブグループ（ｍ＝１〜Ｍ）に属する２Ｍ−ｍ個の端末をそれぞれ均等に２分割し、第ｍ＋１階層のサブグループを構成し（バイナリーツリー型グループ階層）、グループ及びサブグループそれぞれに１つずつ配送鍵を割り当てる。
【００４５】
従って、第ｍ階層のｋ番目（ｋは０から２ｍ−１までの整数）のサブグループには、ｉが（２Ｍ−ｍ）×ｋから（２Ｍ−ｍ）×（ｋ＋１）−１までの端末が属することとなる。なお、第４階層では、ｉ＝ｋとなる。
【００４６】
４．２  データベースの構成
図４は、本例における鍵管理装置２００のデータベース２０１に保存される配送鍵KDを示す図である。データベース２０１には、次世代の配送鍵KD(n+1)を保存する第ｎ＋１世代配送鍵保存領域２５１と、個別鍵の初期値KD(0)を保存する第０世代個別鍵保存領域２５２と、メッセージ番号を保存するメッセージ番号保存領域２５３と、が設けられる。なお、第ｎ＋１世代配送鍵保存領域２５１に保存される次世代の配送鍵KD(n+1)は、通話鍵生成部２０２において新たな第ｎ世代通話鍵KS(ｎ)が生成されたタイミングで現世代の配送鍵KD(n)として扱われる。
【００４７】
第ｎ＋１世代配送鍵保存領域２５１には、階層毎に、グループ及びサブグループそれぞれに１つずつ割り当てられた配送鍵KD(n+1)が保存される。
【００４８】
第０階層の配送鍵KD(n+1)[0,0]は、全端末４００−０〜４００−１５で共有する第ｎ＋１世代一斉鍵を示す。また、第１から第３階層の配送鍵KD(n+1)[m,k]は、それぞれサブグループに属する端末で共有する第ｎ＋１世代グループ鍵を示す。なお、第４階層の各サブグループには１つの端末のみが属しており、第４階層の配送鍵KD(n+1)[m,k]＝KD(n+1)[M,i]は、それぞれ端末４００−ｉに固有の第ｎ＋１世代個別鍵を示す。
【００４９】
ここで、再度、変数を整理すると、以下の通りになる。
ｉ：端末ＩＤ番号（０〜２Ｍ−１）
ｍ：グループ階層番号（０〜Ｍ）
ｋ：階層内サブグループ番号（０〜２ｍ−１、ｍ＝Ｍのときｋ＝ｉ）
Ｍ：グループ階層数（ｍの最大値）
【００５０】
第１から第４階層の各サブグループには、ｋを２進数で表したビットデータがグループ番号として割り当てられ、各サブグループに割り当てられた配送鍵は、グループ番号と対応付けられて保存される。
【００５１】
一方、第０世代個別鍵保存領域２５２には、個別鍵の初期値KD(0)[M,i]が常に保存される。
【００５２】
４．３  端末への配送鍵の設定
システム運用開始前、鍵管理装置２００に第１指示情報が入力されると、配送鍵選択部２０３は、端末ＩＤに基づいて端末毎にデータベース２０１から、一斉鍵、該端末のグループ鍵、個別鍵の初期値を選択して読み出し、端末管理装置１００に出力する。配送鍵選択部２０３から出力された配送鍵は、端末管理装置１００を介して、各端末４００の耐タンパメモリ４０８に保存される。
【００５３】
例えば、配送鍵選択部２０３は、端末４００−７については、第０世代一斉鍵KD(0)[0,0]、端末４００−７が属する各階層の第０世代グループ鍵KD(0)[1,0]、KD(0)[2,1]、KD(0)[3,3]および第０世代個別鍵KD(0)[4,7]を読み出すことになる。
【００５４】
４．４  通話鍵のエア配送と配送鍵の更新
システム運用開始後、鍵管理装置２００に第２指示情報が入力され、通話鍵生成部２０２にて新たな第ｎ世代通話鍵KS(n)が生成されると、配送鍵選択部２０３は、第ｎ世代一斉鍵KD(n)[0,0]を読み出す。第ｎ世代通話鍵KS(n)は第ｎ世代一斉鍵KD(n)[0,0]で暗号化され、基地局３００を介して、各端末４００に送信される。各端末４００に受信された暗号化後の第ｎ世代通話鍵KS(n)は、鍵復号部４０９で復号され耐タンパメモリ４０８に保存される。また、鍵管理装置２００および各端末４００では、復号された第ｎ世代通話鍵KS(n)を用いて第ｎ＋１世代配送鍵KD(n+1)を作成し、保存する。
【００５５】
４．５  端末における鍵管理
図５は、本例における、端末４００−７の耐タンパメモリ４０８に保存される情報を示す図である。耐タンパメモリ４０８には、次世代の配送鍵KD(n+1)を保存する第ｎ＋１世代配送鍵保存領域４５１と、個別鍵の初期値KD(0)を保存する第０世代個別鍵保存領域４５２と、現世代の通話鍵KS(n)を保存する第ｎ世代通話鍵保存領域４５３と、メッセージ番号ｎ＋１を保存するメッセージ番号保存領域４５４と、端末ＩＤを保存する端末ＩＤ保存領域４５５と、が設けられる。
【００５６】
端末４００−７の第ｎ＋１世代配送鍵保存領域４５１には、第ｎ＋１世代一斉鍵KD(n+1)[0,0]、各階層の第ｎ＋１世代グループ鍵KD(n+1)[1,0]、KD(n+1)[2,1]、KD(n+1)[3,3]および第ｎ＋１世代個別鍵KD(n+1)[4,7]が保存される。また、端末４００−７の端末ＩＤ保存領域４５５には、［０１１１］が保存される。
【００５７】
５．特定局除外鍵通知方法
次に、図４に示したデータベース２０１の状態および図５に示した耐タンパメモリ４０８の状態、すなわち、システム運用開始後、通話鍵の更新をｎ回行った後で、鍵管理装置２００に第３指示情報が入力され、グループから特定端末４００−ｉを除外する場合について説明する。
【００５８】
５．１  特定端末を除外するためのグループ鍵の選択
この場合、配送鍵選択部２０３は、特定端末を除外するようにグループ鍵、個別鍵を選択する。具体的には、配送鍵選択部２０３は、第ｍ−１階層の特定端末が属するグループ又はサブグループを２分割した第ｍ階層のサブグループの内の特定端末が属していない方に割り当てられたグループ鍵、個別鍵を読み出す。
【００５９】
例えば、特定端末４００−１３を除外する場合、配送鍵選択部２０３は、第１階層について、特定端末４００−１３が属さない方の０番目のサブグループに割り当てられた第ｎ世代グループ鍵KD(n)[1,0]を読み出す。また、配送鍵選択部２０３は、第２階層について、第１階層の特定端末４００−１３が属する１番目のサブグループを２分割した２番目、３番目のサブグループの内、特定端末４００−１３が属さない方の２番目のサブグループに割り当てられた第ｎ世代グループ鍵KD(n+1)[2,2]を読み出す。また、配送鍵選択部２０３は、第３階層について、第２階層の特定端末４００−１３が属する３番目のサブグループを２分割した６番目、７番目のサブグループの内、特定端末４００−１３が属さない方の７番目のサブグループに割り当てられた第ｎ世代グループ鍵KD(n)[3,7]を読み出す。また、配送鍵選択部２０３は、第４階層について、第３階層の特定端末４００−１３が属する６番目のサブグループを２分割した１２番目、１３番目のサブグループの内、特定端末４００−１３が属さない方の１２番目のサブグループに割り当てられた第ｎ世代個別鍵KD(n)[4,12]を読み出す。
【００６０】
５．２  特定局除外鍵通知メッセージ受信時の各端末の状況
この結果、端末４００−０〜４００−７は、第１階層の第ｎ世代グループ鍵KD(n)[1,0]を耐タンパメモリ４０８に保存しているので、この鍵で暗号化された新たな通話鍵KS(n)を復号することができる。また、端末４００−８〜４００−１１は、第２階層の第ｎ世代グループ鍵KD(n)[2,2]を耐タンパメモリ４０８に保存しているので、この鍵で暗号化された新たな通話鍵KS(n)を復号することができる。また、端末４００−１４〜４００−１５は、第３階層の第ｎ世代グループ鍵KD(n)[3,7]を耐タンパメモリ４０８に保存しているので、この鍵で暗号化された新たな通話鍵KS(n)を復号することができる。また、端末４００−１２は、第４階層の第ｎ世代個別鍵KD(n)[4,12]を耐タンパメモリ４０８に保存しているので、この鍵で暗号化された新たな通話鍵KS(ｎ)を復号することができる。
【００６１】
一方、特定端末４００−１３は、配送鍵選択部２０３が読み出した配送鍵KD(n)[1,0]、KD(n)[2,2]、KD(n)[3,7]、KD(n)[4,12]のいずれも耐タンパメモリ４０８に保存していないので、これらの鍵で暗号化された新たな通話鍵KS(n)を復号することができず、配送鍵を更新することもできない。
【００６２】
したがって、本システムは、グループから特定端末４００−１３を除外し、残りの端末だけで新たな通話鍵KS(n)を共有してグループ通信を継続することができる。しかも、鍵管理装置２００において、配送鍵KD(ｎ)を階層毎に１個ずつ選択し、これらを用いて通話鍵KS(n)の暗号化を行えば良く、鍵メッセージデータを１つだけ作成して送信すれば良いので、グループに属する端末が多くなっても、通話鍵配送トラフィックが過大とならず、無通信期間（待受け期間）を利用して配送することで、通話トラフィックを圧迫することがない。
【００６３】
５．３  鍵選択アルゴリズム
ここで、配送鍵選択部２０３は、特定端末の端末ＩＤとグループ番号の関係を利用して除外条件を生成することにより、読み出すべき配送鍵を容易に選択することができる。図６は、本実施の形態に係る除外条件の生成方法を説明する図である。
【００６４】
図６に示すように、配送鍵選択部２０３は、第ｍ階層について、特定端末の端末ＩＤのＭＳＢ（Most Significant Bit）から上位ｍビット切り出し、そのＬＳＢ（Least Significant Bit）のみを補数にした値と同一のグループ番号の配送鍵を読み出す。
【００６５】
例えば、配送鍵選択部２０３が第３階層の配送鍵を読み出す場合、特定端末４００−１３の端末ＩＤ［１１０１］のＭＳＢから上位３ビット切り出すと、［１１０］となり、そのＬＳＢ［１］を補数［０］にした値［１１１］のグループ番号は７番目のサブグループとなる。そこで、配送鍵選択部２０３は、７番目のサブグループに割り当てられた第ｎ世代グループ鍵KD(n)[3,7]を読み出す。
【００６６】
一方、各端末４００の鍵復号部４０９は、自局の端末ＩＤと特定端末の端末ＩＤとの関係を利用して、通話鍵の復号に用いる配送鍵を容易に選択することができる。具体的には、鍵復号部４０９は、ＭＳＢから順に自局の端末ＩＤと特定端末の端末ＩＤとをビット単位で比較し、異なるｍビットに対応する第ｍ階層のグループ鍵あるいは個別鍵を選択する。
【００６７】
例えば、図５に示す端末４００−７が配送鍵を読み出す場合、自局の端末ＩＤ［０１１１］と特定端末４００−１３の端末ＩＤ［１１０１］を比較すると、１ビット目が異なる。そこで、鍵復号部４０９は、第１階層のグループ鍵KD(n)[1,0]を読み出す。
【００６８】
６．長期不稼働端末の復帰方法
次に、図４に示したデータベース２０１の状態および図５に示した耐タンパメモリ４０８の状態のとき鍵管理装置２００に第４指示情報が入力され、グループに長期不稼働端末４００−iを復帰させる場合について説明する。
【００６９】
長期間、稼働していなかった端末は、現世代の通話鍵及び配送鍵を有していないため、通常の鍵配送ではこれらの鍵を更新することができない。そのため、このような局に対して、鍵管理装置は当該端末の初期値を利用して現世代の通話鍵・配送鍵の通知を行うものとする。この場合、配送鍵選択部２０３は、当該端末のＩＤ情報に対応する個別鍵の初期値、一斉鍵および当該端末が属するサブグループの配送鍵を読み出す。
【００７０】
例えば、当該端末４００−１３を復帰させる場合、配送鍵選択部２０３は、当該端末４００−１３の第０世代個別鍵KD(0)[4,13]、第ｎ＋１世代一斉鍵KD(n+1)[0]、当該端末４００−１３が属するサブグループに割り当てられた各階層の第ｎ＋１世代グループ鍵KD(n+1)[1,1]、KD(n+1)[2,3]、KD(n+1)[3,6]および第ｎ＋１世代個別鍵KD(n+1)[4,13]を読み出す。
【００７１】
第０世代個別鍵KD(0)[4,13]で暗号化された第ｎ世代通話鍵KS(n)および第ｎ＋１世代配送鍵KD(n+1)[0,0]、KD(n+1)[1,1]、KD(n+1)[2,3]、KD(n+1)[3,6]、KD(n+1)[4,13]を含む個別鍵通知メッセージは、基地局３００を介して、当該端末４００−１３に受信される。
【００７２】
当該端末４００−１３は、耐タンパメモリ４０８に保存された第０世代個別鍵KD(0)[4,13]を用いて復号することにより、第ｎ世代通話鍵KS(n)および第ｎ＋１世代配送鍵KD(n+1)[0,0]、KD(n+1)[1,1]、KD(n+1)[2,3]、KD(n+1)[3,6]、KD(n+1)[4,13]を取得することができ、グループに復帰することができる。
【００７３】
７．鍵管理装置と端末装置の鍵更新・次世代配送鍵生成
次に、本実施の形態に係る鍵管理装置２００の暗号化処理と端末４００の復号処理との関係について、図７、図８を用いて具体的に説明する。
【００７４】
図７は、グループに属する全端末が新たな通話鍵を共有する場合を示し、図８は、グループから特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合を示す。
【００７５】
７．１  一斉鍵更新時の次世代配送鍵生成
図７に示すように、グループに属する全端末が新たな通話鍵を共有する場合、まず、鍵管理装置２００が、新たな通話鍵KS(n)を生成し（ＳＴ７０１）、一斉鍵KD(n)[0,0]で新たな通話鍵KS(n)を暗号化する（ＳＴ７０２）。そして、鍵管理装置２００が、基地局３００を介して、暗号化された通話鍵CS(n)[0]を含む一斉鍵通知メッセージを全端末４００に送信する（ＳＴ７０３）。
【００７６】
各端末４００は、暗号化された通話鍵CS(n)を一斉鍵KD(n)[0,0]で復号し（ＳＴ７０４）、新たな通話鍵KS(n)を取得する（ＳＴ７０５）。そして、各端末４００は、新たな通話鍵KS(n)に対して、現世代配送鍵KD(n)[0]、KD(n)[1]、・・・、KD(n)[M]を用いて暗号化演算を行い（ＳＴ７０６）、次世代の配送鍵を作成する（ＳＴ７０７）。同様の処理は、鍵管理装置においても現存する全配送鍵について行われる。なお、次世代の配送鍵は、通話鍵と現世代の配送鍵との非線形演算により生成されるため、次世代の配送鍵と現世代の配送鍵との無相関性が保証される。
【００７７】
７．２  特定端末除外鍵更新時の次世代配送鍵生成
また、図８に示すように、グループから特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合、まず、鍵管理装置２００が、新たな通話鍵KS(n)を生成し（ＳＴ８０１）、特定端末を除外するように選択したグループ鍵KD(n)[1]、・・・、KD(n)[M-1]、個別鍵KD(n)[M]で新たな通話鍵KS(n)をそれぞれ暗号化する（ＳＴ８０２）。そして、鍵管理装置２００が、基地局３００を介して、暗号化された通話鍵CS(n)[1]、・・・、CS(n)[M]を含む特定局除外鍵通知メッセージを全端末４００に送信する（ＳＴ８０３）。
【００７８】
各端末４００（図８では、端末４００−１４の場合を示す）は、暗号化された通話鍵CS(n)[1]、・・・、CS(n)[M]をそれぞれグループ鍵KD(n)[1]、・・・、KD(n)[M-1]、個別鍵KD(n)[M]で復号する（ＳＴ８０４）。その結果、特定端末以外の各端末４００は、新たな通話鍵KS(n)を取得することができる（ＳＴ８０５）。そして、特定端末以外の各端末４００は、新たな通話鍵KS(n)に対して、現世代配送鍵KD(n)[0]、KD(ｎ)[1]、・・・、KD(n)[M]を用いて暗号化演算を行い（ＳＴ８０６）、次世代の配送鍵を作成する（ＳＴ８０７）。同様の処理は鍵管理装置においても現存する全配送鍵について行われる。
【００７９】
８．鍵更新処理フロー
次に、本実施の形態に係る鍵管理装置２００および端末４００の処理の流れについて、図９、図１０、図１１、図１２を用いて説明する。
【００８０】
図９は、グループに属する全端末が新たな通話鍵を共有する場合を示し、図１０は、グループから特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合を示し、図１１は、グループに復帰する端末が新たな通話鍵、配送鍵を取得する場合を示す。また、図１２は、鍵管理装置２００が作成する鍵通知メッセージを示す図であり、図１２Ａは、一斉鍵通知メッセージを示し、図１２Ｂは、特定局除外鍵通知メッセージを示し、図１２Ｃは、個別鍵通知メッセージを示す。
【００８１】
なお、図９、図１０、図１１に示す処理の前提として、システム運用の開始前に、鍵管理装置２００のデータベース２０１および端末４００の耐タンパメモリ４０８には、メッセージ番号の初期値「０」、配送鍵の初期値KD(0)が保存される。
【００８２】
８．１  一斉鍵更新フロー
8.1.1  鍵管理装置側の処理フロー
図９において、鍵管理装置２００に、システム運用開始あるいは通話鍵の使用開始から所定時間経過したことを示す第２指示情報が入力されると（ＳＴ９０１；ＹＥＳ）、通話鍵生成部２０２が、新たな通話鍵を生成し（ＳＴ９０２）、配送鍵選択部２０３が、データベース２０１に保存されている配送鍵の中から一斉鍵を読み出す（ＳＴ９０３）。次に、鍵暗号化部２０５が、配送鍵選択部２０３から出力された一斉鍵を用いて、通話鍵生成部２０２から出力された通話鍵を暗号化する（ＳＴ９０４）。
【００８３】
次に、メッセージ作成部２０６が、図１２Ａに示すように、メッセージ本体及び次世代通話鍵（平文）等を用いて認証子（Hash値等）を作成し（ＳＴ９０５）、メッセージ種別、発アドレス、メッセージ番号、一斉鍵で暗号化された通話鍵、認証子で構成された一斉鍵通知メッセージを作成する（ＳＴ９０６）。そして、鍵管理装置２００は、一斉鍵通知メッセージを、基地局３００を介して端末４００に送信する（ＳＴ９０７）。端末４００への一斉鍵通知メッセージの送信は、基地局３００の無通信時に複数回、適当な期間に渡って適宜行われる。
【００８４】
また、配送鍵作成部２０４が、新たな通話鍵を用いてデータベース２０１に保存された現存する全配送鍵に対して所定の演算を行うことにより次世代配送鍵を作成し（ＳＴ９０８）、次世代配送鍵をデータベース２０１のメモリに上書きし、メッセージ番号をインクリメントする（ＳＴ９０９）。
【００８５】
8.1.2  端末側の処理フロー
端末４００に一斉鍵通知メッセージが受信されると（ＳＴ９５１；ＹＥＳ）、鍵復号部４０９が、耐タンパメモリ４０８からメッセージ番号と一斉鍵を読み出し（ＳＴ９５２）、一斉鍵通知メッセージに含まれるメッセージ番号と耐タンパメモリ４０８に保存されているメッセージ番号とを比較する（ＳＴ９５３）。そして、鍵復号部４０９は、２つのメッセージ番号が一致する場合には（ＳＴ９５３；ＹＥＳ）、一斉鍵を用いて一斉鍵通知メッセージに含まれる暗号化された通話鍵を復号する（ＳＴ９５４）。一方、鍵復号部４０９は、２つのメッセージ番号が一致しない場合（ＳＴ９５３；ＮＯ）、一斉鍵通知メッセージを廃棄する（ＳＴ９５９）。
【００８６】
次に、認証部４１０が、メッセージ本体と復号された通話鍵とを用いた所定の演算を行って検証子を作成し、一斉鍵通知メッセージに含まれる認証子と照合する（ＳＴ９５５）。そして、認証部４１０は、検証子と認証子が一致する場合（ＳＴ９５５；ＹＥＳ）、復号された通話鍵を耐タンパメモリ４０８に上書きする（ＳＴ９５６）。一方、認証部４１０は、検証子と認証子が一致しない場合（ＳＴ９５５；ＮＯ）、鍵通知メッセージを廃棄する（ＳＴ９５９）。
【００８７】
次に、配送鍵作成部４１１が、新たな通話鍵に対して、耐タンパメモリ４０８に保存された全配送鍵に対して所定の演算を行うことにより次世代配送鍵を作成し（ＳＴ９５７）、次世代配送鍵を耐タンパメモリ４０８に上書きし、メッセージ番号をインクリメントする（ＳＴ９５８）。
【００８８】
８．２  特定局除外鍵更新フロー
8.2.1  鍵管理装置側の処理フロー
図１０において、鍵管理装置２００に、グループから特定端末を除外し、その他の端末が共有する新たな通話鍵の生成を指示する第３指示情報が入力されると（ＳＴ１００１；ＹＥＳ）、通話鍵生成部２０２が、新たな通話鍵を生成し（ＳＴ１００２）、配送鍵選択部２０３が、データベース２０１に保存されている配送鍵の中から、特定端末を除外するように所定のグループ鍵、個別鍵を読み出す（ＳＴ１００３）。次に、鍵暗号化部２０５が、配送鍵選択部２０３から出力されたグループ鍵、個別鍵を用いて、通話鍵生成部２０２から出力された通話鍵を暗号化する（ＳＴ１００４）。
【００８９】
次に、メッセージ作成部２０６が、図１２Ｂに示すように、「メッセージ種別」から「階層Ｍのグループ鍵で暗号化された通話鍵」までの情報要素を用いて認証子（Hash値等）を作成し（ＳＴ１００５）、メッセージ種別、発アドレス、メッセージ番号、特定端末ＩＤ、グループ鍵あるいは個別鍵で暗号化された通話鍵、認証子により構成された特定局除外鍵通知メッセージを作成する（ＳＴ１００６）。そして、鍵管理装置２００は、特定局除外鍵通知メッセージを、基地局３００を介して端末４００に送信する（ＳＴ１００７）。端末４００への特定局除外鍵通知メッセージの送信は、基地局３００の無通信時に複数回、適当な期間に渡って適宜行われる。
【００９０】
また、配送鍵作成部２０４が、新たな通話鍵を用いてデータベース２０１に保存された全配送鍵に対して演算を行うことにより次世代配送鍵を作成し（ＳＴ１００８）、次世代配送鍵をデータベース２０１のメモリに上書きし、メッセージ番号をインクリメントする（ＳＴ１００９）。
【００９１】
8.2.2  端末側の処理フロー
端末４００に特定局除外鍵通知メッセージが受信されると（ＳＴ１０５１；ＹＥＳ）、鍵復号部４０９が、耐タンパメモリ４０８からメッセージ番号と復号に用いる所定の階層のグループ鍵、個別鍵を読み出す（ＳＴ１０５２）。なお、鍵復号部４０９は、自局の端末ＩＤと特定端末ＩＤを比較することにより、復号に用いるグループ鍵、個別鍵を選択する。
【００９２】
次に、鍵復号部４０９が、特定局除外鍵通知メッセージに含まれるメッセージ番号と耐タンパメモリ４０８に保存されているメッセージ番号とを比較する（ＳＴ１０５３）。そして、鍵復号部４０９は、２つのメッセージ番号が一致する場合には（ＳＴ１０５３；ＹＥＳ）、読み出したグループ鍵、個別鍵を用いて特定局除外鍵通知メッセージに含まれる暗号化された通話鍵を復号する（ＳＴ１０５４）。一方、鍵復号部４０９は、２つのメッセージ番号が一致しない場合（ＳＴ１０５３；ＮＯ）、特定局除外鍵通知メッセージを廃棄する（ＳＴ１０５９）。
【００９３】
次に、認証部４１０が、メッセージ本体と復号された通話鍵とを用いた所定の演算を行って検証子を作成し、特定局除外鍵通知メッセージに含まれる認証子と照合する（ＳＴ１０５５）。そして、認証部４１０は、検証子と認証子が一致する場合（ＳＴ１０５５；ＹＥＳ）、復号された通話鍵を耐タンパメモリ４０８に上書きする（ＳＴ１０５６）。一方、認証部４１０は、検証子と認証子が一致しない場合（ＳＴ１０５５；ＮＯ）、鍵通知メッセージを廃棄する（ＳＴ１０５９）。
【００９４】
次に、配送鍵作成部４１１が、新たな通話鍵を用いて耐タンパメモリ４０８に保存された現存する全配送鍵に対して所定の演算を行うことにより次世代配送鍵を作成し（ＳＴ１０５７）、次世代配送鍵を耐タンパメモリ４０８に上書きし、メッセージ番号をインクリメントする（ＳＴ１０５８）。
【００９５】
８．３  長期不稼働端末の復帰フロー
8.3.1  鍵管理装置側の処理フロー
図１１において、鍵管理装置２００に、グループに復帰する端末に対して配送鍵を配送することを指示する第４指示情報が入力されると（ＳＴ１１０１；ＹＥＳ）、配送鍵選択部２０３が、データベース２０１に保存されている配送鍵の中から、復帰する端末の個別鍵の初期値および復帰する端末が属するグループの配送鍵を読み出す（ＳＴ１１０２，ＳＴ１１０３）。次に、鍵暗号化部２０５が、配送鍵選択部２０３から出力された個別鍵の初期値を用いて、現世代通話鍵および次世代配送鍵を暗号化する（ＳＴ１１０４）。
【００９６】
次に、メッセージ作成部２０６が、図１２Ｃに示すように、メッセージ本体と個別鍵の初期値等を用いて認証子（Hash値等）を作成し（ＳＴ１１０５）、メッセージ種別、発アドレス、着アドレス、メッセージ番号、特定端末ＩＤ、個別鍵の初期値で暗号化されたＭ＋１個の配送鍵および１個の通話鍵、認証子により構成された個別鍵通知メッセージを作成する（ＳＴ１１０６）。そして、鍵管理装置２００は、個別鍵通知メッセージを、基地局３００を介して端末４００に送信する（ＳＴ１１０７）。長期不稼働端末４００への個別鍵通知メッセージの送信は、基地局３００の無通信時に複数回、適当な期間に渡って適宜行われる。なお、当該端末からの、次世代個別鍵情報を含む演算により生成された認証子が付加されているＡＣＫメッセージの受信により停止させることも可能である。
【００９７】
8.3.2  端末側の処理フロー
端末４００に個別鍵通知メッセージが受信されると（ＳＴ１１５１；ＹＥＳ）、鍵復号部４０９が、耐タンパメモリ４０８から端末ＩＤと個別鍵の初期値を読み出し（ＳＴ１１５２）、個別鍵通知メッセージに含まれる特定端末ＩＤと耐タンパメモリ４０８に保存されている端末ＩＤとを比較する（ＳＴ１１５３）。そして、鍵復号部４０９は、２つの端末ＩＤが一致する場合には（ＳＴ１１５３；ＹＥＳ）、個別鍵の初期値を用いて個別鍵通知メッセージに含まれる暗号化された通話鍵および配送鍵を復号する（ＳＴ１１５４）。一方、鍵復号部４０９は、２つの端末ＩＤが一致しない場合には（ＳＴ１１５３；ＮＯ）、個別鍵通知メッセージを廃棄する（ＳＴ１１５７）。
【００９８】
次に、認証部４１０が、メッセージ本文及び復号された通話鍵並びに個別鍵の初期値等を用いた所定の演算を行って検証子を作成し、個別鍵通知メッセージに含まれる認証子と照合する（ＳＴ１１５５）。そして、認証部４１０は、検証子と認証子が一致する場合（ＳＴ１１５５；ＹＥＳ）、メッセージ番号、復号された通話鍵及び配送鍵を耐タンパメモリ４０８に上書きする（ＳＴ１１５６）。一方、認証部４１０は、検証子と認証子が一致しない場合（ＳＴ１１５５；ＮＯ）、鍵通知メッセージを廃棄する（ＳＴ１１５７）。
【００９９】
９．単一局除外鍵配送方法のまとめ
このように、本実施の形態によれば、第ｍ階層（ｍは０からＭまでの整数）に存在する２ｍ個のグループ及びサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループ及びサブグループそれぞれに１つずつ配送鍵を割り当てる。
【０１００】
そして、グループから特定端末を除外する場合、第ｍ−１階層の特定端末が属するグループ及びサブグループを２分割した第ｍ階層のサブグループの内の特定端末が属していない方に割り当てられたグループ鍵、個別鍵を読み出す。
【０１０１】
これにより、鍵管理装置２００において、配送鍵を階層毎に１個ずつ選択し、これらを用いて通話鍵の暗号化を行えば良く、しかも鍵通知メッセージデータ（ヘッダー及び暗号化された通話鍵Ｍ個と１個の認証子で構成）を１つだけ作成して送信すれば良いので、グループに属する端末が多くなっても、通話鍵配送トラフィックが過大とならず、無通信期間を利用して配送することで、通話トラフィックを圧迫することがない。
【０１０２】
さらに、本実施の形態では、端末番号を２進数のビットデータ表して端末ＩＤとし、サブグループ番号を２進数のビットデータで表し、端末ＩＤとグループ番号の関係を利用して除外条件を生成することにより、グループから特定端末を除外する場合、読み出すべき配送鍵を容易に選択することができる。
【０１０３】
また、本実施の形態では、メッセージ番号管理と認証子の利用により、メッセージ・リプレイ攻撃や成りすまし攻撃に対してセキュアなシステムを構築することができる。
【０１０４】
また、本実施の形態では、世代毎に、通話鍵をランダムに作成することができるため、一部の端末の耐タンパメモリの内容が知られても、この鍵配送方法によってそれらの端末を除外すれば、以降、セキュアなシステム運用を継続することができる。
【０１０５】
また、本実施の形態では、通話鍵はエアで配送するものの、配送鍵はエアでは送らず、正当な局のみが入手可能な次世代通話鍵を用いて更新しているので、この点でもセキュアなシステム運用を図ることができる。
【０１０６】
また、本実施の形態では、登録されている端末数が全端末ＩＤ番号の数（２Ｍ個）に満たない場合、配送鍵の更新に当たって、未登録の端末ＩＤ番号に関しては処理する必要がなく、新規の端末が登録された時点で初期値と現世代配送鍵を生成すればよいので、端末ＩＤ番号桁数、即ち、グループ階層数Ｍを予め大きく取っても、端末数が少ないときに鍵管理装置に無用な負荷を与えることがない。
【０１０７】
また、本実施の形態では、長期間稼動していなかった端末に対して、鍵管理装置が当該端末の初期値を利用して現世代の通話鍵・配送鍵の通知を行っているので、当該端末は容易にこれらの鍵を更新することができる。
【０１０８】
また、本実施の形態では、端末の着アドレスと特定端末ＩＤの番号体系を別体系としているため、成りすまし攻撃で、ある端末の状態を強制的に変更しようとしても、特定端末ＩＤが一致しなければ処理が進まないことから、より安全性の向上を図ることができる。
【０１０９】
１０．  複数局除外鍵配送に関する課題
なお、上記実施の形態１は、１局の特定局だけを除外して暗号鍵を配送する場合に適している。一方、除外する特定局が複数有る場合には、実施の形態１の方式を用いると、特定局以外の端末に暗号鍵を配送するまでに時間がかかるため、他の方式により暗号鍵を配送することが求められる。
【０１１０】
（実施の形態２）「複数局除外鍵配送」
１１．複数局除外鍵配送
上記実施の形態１では、特定局を除く暗号鍵の配送において、除外される特定局は１局だけであった。実施の形態２では、複数の局を同時に除外し、しかも効率的に暗号鍵の配送を行う場合について説明する。
【０１１１】
１２．複数局除外鍵更新フロー
なお、本実施の形態における鍵管理装置の内部構成は、図２に示したものと同様であり、本実施の形態は、実施の形態１と比較して、第３指示情報を入力した際の配送鍵選択部２０３における配送鍵（グループ鍵、個別鍵）の選択方法が異なる。以下、この選択処理について、図１３のフロー図を用いて説明する。
【０１１２】
図１３において用いられる記号の意味は以下の通りである。
Ｍ      ：グループ階層数（ｍの最大値）
Ｉ      ：最大端末局数（＝２Ｍ）
ｉ      ：端末番号（＝０〜Ｉ−１）
ｍ      ：グループ階層番号（＝０〜Ｍ）
Z(i,m)  ：端末番号ｉのときの第ｍ階層のグループ番号
ｊ      ：複数特定局を除外するための鍵を記憶する番号（＝１〜Ｊ）
【０１１３】
なお、Z(i,m)は、以下の式（１）で表され、第Ｍ階層は端末番号であり、Z(i,M)＝ｉとなる。また、第０階層は全局一斉：Z(i,0)＝０となる。
【数１】
0004243305.tif 000002
【０１１４】
除外される特定局の端末番号がh[1]、h[2]、・・・、h[e]である場合、前記特定局が属する第ｍ階層のグループ又はサブグループの番号、すなわち利用できない配送鍵のグループ番号は、１からeのpに対してmを０からＭまで変えたときのZ(h[p],m)で与えられる。図１３のフローに先立ち、初期値が全て零の配列変数G[M,I]を用意し、利用できない配送鍵の階層及びグループ番号に、G[m,Z(h[p],m)]＝１とマークする。
【０１１５】
図１３のフローでは、鍵の数が最小となる利用可能な配送鍵の組を探索する。まず、配送鍵選択部２０３は、初期値として、ｉ＝０、ｊ＝０、ｍ＝Ｍを設定する（ＳＴ１３０１、ＳＴ１３０２）。
【０１１６】
次に、配送鍵選択部２０３は、ｍをＭからデクリメントしてG[m,Z(i,m)]＝１となる階層ｍ、グループ番号Z(i,m)を探索する（ＳＴ１３０３、ＳＴ１３０４）。
【０１１７】
そして、配送鍵選択部２０３は、Ｇ＝１となるｍがＭであれば（ＳＴ１３０５；ＹＥＳ）、利用可能な鍵が無いので、ｉ＝ｉ＋１とし（ＳＴ１３０６）、ｉがＩより小さい場合に（ＳＴ１３０７；ＮＯ）、ＳＴ１３０３からの処理を繰り返す。
【０１１８】
一方、Ｇ＝１となるｍがＭでなければ（ＳＴ１３０５；ＮＯ）、配送鍵選択部２０３は、KD(n)[m+1,Z(i,m+1)]の配送鍵を選択する（ＳＴ１３０８）。これにより、グループ階層ｍ＋１のグループに属する端末局数は２Ｍ−（ｍ＋１）であるので、２Ｍ−（ｍ＋１）×Z(i,m+1)までの端末の配送鍵が確保されたことになる。
【０１１９】
次に、ｊ＝ｊ＋１、ｉ＝２Ｍ−（ｍ＋１）×{Z(i,m+1)+1}として（ＳＴ１３０９、ＳＴ１３１０）、配送鍵選択部２０３は、ｉがＩより小さい場合に（ＳＴ１３１１；ＮＯ）、ＳＴ１３０２からの処理を繰り返す。
【０１２０】
そして、配送鍵選択部２０３は、ｉ＝Ｉとなった場合に（ＳＴ１３０７；ＹＥＳ、ＳＴ１３１１；ＹＥＳ）、処理を終了する。
【０１２１】
この結果、複数特定局を除外するための鍵の総数Ｊは最後に残ったｊで与えられ、配送鍵選択部２０３は、鍵の数が最小となる利用可能な配送鍵の組を選択することができる。
【０１２２】
次に、本実施の形態に係る鍵選択方法の具体例として、図１４において、特定端末４００−１および特定端末４００−１０を除外する場合を説明する。
【０１２３】
この場合、Ｇ＝１となる階層ｍ、グループ番号Ｚは、G[0,0]、G[1,0]、G[2,0]、G[3,0]、G[4,1]、G[1,1]、G[2,2]、G[3,5]、G[4,10]である。
【０１２４】
図１３のフローに従い、配送鍵選択部２０３は、まず、ＳＴ１３０１からＳＴ１３０４で、ｉ＝０において、ｍをＭからデクリメントしてＧ＝１となる階層、グループ番号を探索する。この結果、G[3,0]が発見される。この場合、ｍがＭ（＝４）ではないので（ＳＴ１３０５；ＮＯ）、配送鍵選択部２０３は、ＳＴ１３０８でKD(n)[4,0]を選択する。
【０１２５】
次に、配送鍵選択部２０３は、ＳＴ１３１０によりｉ＝２とし、再び、ＳＴ１３０１からＳＴ１３０４で、Ｇ＝１となる階層、グループ番号を探索する。この結果、G[2,0]が発見され、配送鍵選択部２０３は、ＳＴ１３０８でKD(n)[3,1]を選択する。
【０１２６】
同様に、図１３のフローに従ってｉ＝Ｉとなるまで処理を行うと、図１４のように遷移し配送鍵を選択して行く。配送鍵選択部２０３は、利用可能な配送鍵の組として、最終的に、KD(n)[4,0]、KD(n)[3,1]、KD(n)[2,1]、KD(n)[3,4]、KD(n)[4,11]、KD(n)[2,3]を選択することができる。
【０１２７】
そして、配送鍵選択部２０３は、選択した配送鍵の組を鍵暗号化部２０５に出力する。
【０１２８】
鍵暗号化部２０５は、配送鍵選択部２０３から出力された各配送鍵を用いて、通話鍵生成部２０２から出力された通話鍵を暗号化し、暗号化された通話鍵をメッセージ作成部２０６に出力する。
【０１２９】
メッセージ作成部２０６は、図１５に示すように、「メッセージ種別」から「x[J]、y[J]のグループ鍵で暗号化された通話鍵」までの情報要素を用いて認証子（Hash値等）を作成する。メッセージ作成部２０６は、以下の（１）から（７）の情報要素により構成された鍵通知メッセージを通知し伝送制御部２０７に出力する。
（１）メッセージ種別
（２）発アドレス
（３）鍵の総数（J）
（４）データベース２０１に保存されたメッセージ番号ｎ（＝世代番号）
（５）階層番号・グループ番号（J個）
（６）グループ鍵あるいは個別鍵で暗号化された通話鍵（J個）
（７）認証子
【０１３０】
なお、複数特定局除外鍵通知メッセージには、選択された配送鍵の「グループ階層、グループ番号」を示す情報要素が、暗号化された通話鍵毎に存在する。
【０１３１】
１３．効果
１３．１  効果１
このように、本実施の形態によれば、複数の局を同時に除外する場合に、鍵の数が最小となる利用可能な配送鍵の組を選択することができるので、効率的に暗号鍵の配送を行うことができる。
【０１３２】
１３．２  効果２
また、本実施の形態によれば、複数特定局除外鍵通知メッセージが、複数のメッセージ分割することが可能なため、メッセージ長を短くして送信することができるので、個々のメッセージの信号信頼度を向上させることができる。
【産業上の利用可能性】
【０１３３】
本発明は、グループを形成して暗号通信を行う無線通信システムや、有料放送システム等で、複数端末に対して共通の秘密鍵を配送する鍵配送方法に用いるに好適である。
【図面の簡単な説明】
【０１３４】
【図１】本発明の実施の形態１に係る通信システムの構成を示す図
【図２】本発明の実施の形態１に係る鍵管理装置の内部構成を示すブロック図
【図３】本発明の実施の形態１に係る端末の内部構成を示すブロック図
【図４】本発明の実施の形態１に係る鍵管理装置のデータベースに保存される配送鍵の一例を示す図
【図５】本発明の実施の形態１に係る端末の耐タンパメモリに保存される情報の一例を示す図
【図６】本発明の実施の形態１に係る除外条件の生成方法を説明する図
【図７】本発明の実施の形態１に係る鍵管理装置の暗号化処理と端末の復号処理との関係を説明する図
【図８】本発明の実施の形態１に係る鍵管理装置の暗号化処理と端末の復号処理との関係を説明する図
【図９】本発明の実施の形態１に係る鍵管理装置および端末の処理の流れを示すフロー図（グループに属する全端末が新たな通話鍵を共有する場合）
【図１０】本発明の実施の形態１に係る鍵管理装置および端末の処理の流れを示すフロー図（グループから特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合）
【図１１】本発明の実施の形態１に係る鍵管理装置および端末の処理の流れを示すフロー図（グループに復帰する端末が新たな通話鍵、配送鍵を取得する場合）
【図１２】本発明の実施の形態１に係る鍵管理装置が作成する鍵通知メッセージを示す図
【図１３】本発明の実施の形態２に係る鍵管理装置の鍵選択処理の流れを示すフロー図（グループから複数の特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合）
【図１４】本発明の実施の形態２に係る鍵管理装置の鍵選択の手順を示す図（グループから複数の特定の端末を除外し、その他の端末が新たな通話鍵を共有する場合）
【図１５】本発明の実施の形態２に係る鍵管理装置が作成する複数特定局除外鍵通知メッセージを示す図
【図１６】特定の端末以外の端末で通話鍵を共有するための従来方法を説明する図
【符号の説明】
【０１３５】
１００  端末管理装置
２００  鍵管理装置
２０１  データベース
２０２  通話鍵生成部
２０３  配送鍵選択部
２０４  配送鍵作成部
２０５  鍵暗号化部
２０６  メッセージ作成部
２０７  伝送制御部
３００  基地局
４００  端末
４０４  暗号化・復号部
４０８  耐タンパメモリ
４０９  鍵復号部
４１０  認証部
４１１  配送鍵作成部
【要約】
【課題】複数の端末局を同時に除外し、しかも効率的に暗号鍵の配送を行うこと。
【解決手段】データベース２０１は、第ｍ階層（ｍは０からＭ−１までの整数）に存在する２ｍ個のグループまたはサブグループを２分割して第ｍ＋１階層のサブグループを構成し、グループまたはサブグループそれぞれに１つずつ割り当てられた配送鍵を保存し、配送鍵選択部２０３は、グループから単一または複数の特定端末を除外する場合、所定の端末番号ｉ（ｉは０からＩまでの整数）においてｍをＭからデクリメントして前記特定端末が属する階層およびサブグループを探索し、探索されたｍがＭでなければ、探索されたサブグループを２分割した第ｍ＋１階層のサブグループの内の前記特定端末の属しない方に割り当てられたグループ鍵あるいは個別鍵を読み出す。
【選択図】図１４【図１】
0004243305.tif 000004
【図２】
0004243305.tif 000005
【図３】
0004243305.tif 000006
【図４】
0004243305.tif 000007
【図５】
0004243305.tif 000008
【図６】
0004243305.tif 000009
【図７】
0004243305.tif 000010
【図８】
0004243305.tif 000011
【図９】
0004243305.tif 000012
【図１０】
0004243305.tif 000013
【図１１】
0004243305.tif 000014
【図１２】
0004243305.tif 000015
【図１３】
0004243305.tif 000016
【図１４】
0004243305.tif 000017
【図１５】
0004243305.tif 000018
【図１６】
0004243305.tif 000019