SCIS 2003
The 2003 Symposium on
Cryptography and Information Security
Hamamatsu,Japan, Jan.26-29,2003
The Institute of Electronics,
Information and Communication Engineers

内部不正者を考慮したグループ鍵共有方式に関する考察

On Secure Group Key Agreement Protocol Robust against InsiderAttacks
安東 学∗
Manabu Ando

松浦 幹太 ∗
Kanta Matsuura

馬場 章 ∗
Akira Baba

あらまし グループ鍵共有方式において，エンティティ認証などの付加的なセキュリティ要件を満たす場合，プロトコルが極めて複雑になる．これまでに様々なグループ鍵共有方式が提案されているが，これらは必ずしも付加的なセキュリティ要件を満たしているわけではない．特に，Key Conﬁrmation を保証できるグループ鍵共有方式はあまり考察されていない．著者らは Kim らが提案した，木構造と Diﬃe-Hellman
鍵共有方式に基づくグループ鍵共有方式に着目した．Kim らは，内部不正者を考慮していないため，能動的な内部不正者による攻撃が可能となる．これは Key Conﬁrmation がプロトコルにおいて保証されないことを利用した攻撃である．本論文では，Kim らの方式を拡張し，Key Conﬁrmation 保証機能付きのグループ鍵共有方式を提案する．また，提案プロトコルは能動的な内部不正者に対し，ある仮定のもとでは安全であることを示す．
キーワード グループ鍵共有方式，Key Conﬁrmation, 内部不正者

1

はじめにグループでの秘密通信を行いたい場合，通常グループに属する参加者全員が同一の鍵を共有し，その鍵でメッセージを暗号化する．このとき鍵共有方式は，2 者間での鍵共有と比べて複雑になる．プロトコルそのものが複雑になるだけではなく，要求されるセキュリティ要件を満たす仕組みもまた複雑になる．例えば，2 者間で Diﬃe-Hellman 鍵共有 [1] を行う際に，エンティティの認証を同時に行いたい，という要求がある．これに対し，[4][5]等で提案されている方式を適用することができる．しかし，グループ鍵共有において同様の機能を満たすには，より複雑なプロトコル設計になってしまう．従って，2者間での鍵共有方式にもたらされていたセキュリティ要件を，これまでに提案されてきた方式は必ずしも満たしているわけではない．
これまで，様々なグループ鍵共有方式が提案されている．グループ鍵共有方式は 2 種類の方針がある．中央管理型と分散型である．前者の例としては，Diﬃe-Hellman
鍵共有方式を応用し，管理者が参加者に鍵を配送する方式 [3]，木構造を利用してグループ鍵を配送する方式 [16]，一方向性ハッシュ関数と木構造を利用してグループ鍵を∗ 東京大学大学院情報学環・学際情報学府，〒 113-0033 東京都文京区本郷 7-3-1，Interfaculty Initiative in Information Studies, Graduate School of Interdisciplinary Information Studies, Univ. ofTokyo, 7-3-1, Hongo, Bunkyo-ku, Tokyo, 113-0033, Japan

配送する方式 [11]，一定期間毎に管理者がグループ鍵を更新し，参加者に配送する方式 [14] 等がある．後者の例
としては，Diﬃe-Hellman 鍵共有方式を利用し，参加者の積極的参加により鍵を生成する方式 [5]，参加者がリレー式に通信を行い，フィードバックを受けて鍵を生成する
方式 [15]，参加者各自が木構造を管理し，一方向性ハッシュ関数により鍵を生成する方式 [2]，Diﬃe-Hellman 鍵共有方式と木構造を利用して鍵を生成する方式 [8][12] 等がある．これらの方式に共通している問題点として，他の参加者と同一の鍵を共有しているのかどうか確認できない，ということがある．つまり，Key Conﬁrmation がプロトコル実行において保証されない，という問題がある．[3] では，Key Conﬁrmation を保証できる方式が提案されているが，中央管理型の方式である．著者らは，中央管理型については，[12] に指摘されているように，セキュリティ上危険であるとの立場をとっている．また，[5] においても，Key Conﬁrmation を保証できるが，これは Challenge-Response をプロトコルの最後に付け加えたものであり，効率面に問題がある．
従って，本論文では (1) 管理者権限を排除した分散型グループ鍵共有方式，(2)Key Conﬁrmation を保証できる方式，を考える．(1) については，上記した通り多数のプロトコルが既に提案されている．この中から本論文では，Kim らが提案した方式を取り上げる．このグループ鍵共有方式は安全性と効率面，実現性などから総合的に判断し，優れているものであると考えられる．この方式

参加者を設定しないため，木は各参加者が独自に所有すは，木構造と Diﬃe-Hellman 鍵共有方式 [1] に基づくグる．変更があった際には各自の責任で更新する．鍵共有

ループ鍵共有方式 [6][8][12] である（以後，Kim らの方式
K(1,4)

を KPT 方式を記述する）．KPT 方式では，管理者権限を所持するエンティティを極力減らし，各エンティティK(1,2)の積極的協力により，グループ鍵を生成する．また，ラK(3,4)

ンダムオラクルを仮定すると，能動的な盗聴者がグループ鍵を生成できないということが証明されている [7]．

U1

U2U3U4しかし，KPT 方式では内部不正者に対する考慮が十分ではない．特に，Key Conﬁrmation が保証されない
図 1: 木構造の例

ために，能動的な内部不正者による攻撃が可能となる．
内部不正者はある特定の参加者に対してのみ，偽の情報を送り，他の参加者とは異なる鍵を生成させることができる．このような攻撃は，[3] においても管理者による能動的攻撃として指摘されており，無視することはできない．には以下のようなプロトコルを実行する．なお，[6] と[12] では鍵共有プロトコル自体に違いはない．
Step 1. Ui は乱数 ri を生成し，xi = g ri mod p を計算する．Ui は xi を全参加者へ送信する．また，他の参加者から x を受信する．

本論文では，KPT 方式を拡張し，Key Conﬁrmationを保証できるグループ鍵共有方式を提案する．Key Con-ﬁrmation は，鍵を共有後に全参加者による ChallengeResponse によって保証できるが，この方法は参加者数

Step 2. Ui は隣接する葉に対応する参加者 Ui+1 から受け取った xi+1 と ri から，K(i,i+1) = g ri ri+1 mod pを生成する．また，BK(i,i+1) = g gに比例して通信量が増加する．また，鍵共有後であると，

ri ri+1mod p を生成し，全参加者へ送信する．

実際に共有した鍵と Challenge-Response に利用した鍵とのリンクを保証することが困難である．従って，鍵共Step 3. Ui は隣接するノードに対応する BK(i+2,i+3) と有プロトコル実行中に Key Conﬁrmation を保証できる

自らが生成した K(i,i+1) から，K(i,i+3) =仕組みが必要である．提案プロトコルは，KPT 方式実(i,i+1)
mod p を生成する．
BK(i+2,i+3)

K

行中に Key Conﬁrmation を保証することができる．また，Diﬃe-Hellman 問題の解決が困難であることを仮定
すると，提案プロトコルはある種の能動的な内部不正者に対して安全であることを証明する．
本論文では，まず 2 章で KPT 方式の概要と問題点を示す．この問題点を受け，3 章と 4 章で Key Conﬁrmation
保証機能付きグループ鍵共有方式について述べる．5 章
では，提案プロトコルの安全性について考察する．
．

以降，Step 2 と Step 3 を繰り返すことにより，全参加者と鍵を共有することができる．
参加者の変更に関するイベントが発生した場合，一時的な管理者 (Sponsor) を設定し，変更部分を全参加者に対しブロードキャストする．他の参加者はこれを受けて，自らが所持している木を更新する（詳細は [6] を参照）．

[12] では，管理者権限を完全に排除しているため，参加者変更イベント時にも全ての BK がブロードキャスト

2

KPT 方式とその問題点される．

2.1

KPT 方式の概要

2.2

ここで，KPT 方式で用いられる表記を整理する．

Ui

参加者 ip大きな素数gZp∗ における原始元ri

参加者 Ui が生成する乱数

K(i,j)Ui , Uj 間で共有される鍵

BK(i,j)

BK(i,j) = g K(i,j) mod p

KPT 方式の問題点

KPT 方式では，グループ鍵を更新する場合，各参加者の BK をブロードキャストする．また，中間ノードに対応する BK についても各参加者によりブロードキャストされる．例えば，図 1 において，BK(1,2) は U1 とU2 のみ生成することができ，U1 , U2 により他の参加者へブロードキャストされる．このとき，能動的な内部不正者による攻撃が成功する．ここで，内部不正者 I2 とし，図 1 における U2 の葉に対応しているとする．また，攻撃対象を U1 とする．U1 は正規の動作によりプロトコ

表 1: KPT 方式における表記

KPT 方式では，完全二分木を用意し，各参加者を葉に対応させる．図 1 に例を示す．管理者権限を所持する

ルを実行する．

Step 1’. U1 は x1 = g r1 mod p を計算する．U1 は x1 を
全参加者へ送信する．また，I2 から x2 = g r2 mod p

を受け取る．I2 は他の参加者に対し，x2 = g r2 modる．本節では，変更する部分について述べ，提案プロトp を送信する．

コルで使用する表記を整理する．
Step 2’. U1 は K(1,2)= g r1 r2 mod p を生成する．また，
r1 rBK(1,2)= g g 2 mod p を生成し，全参加者へ送

3.1

表記と仮定

提案プロトコルでは，N 個の葉をもつ完全二分木を用信する．ここで，I2 はこの通信内容を BK(1,2) に意する (ただし，N = 2l )．各参加者は木の葉に対応すすり替え，他の参加者へ転送する．

る．参加者は仮想的なサブグループを構成する．サブグ

このような攻撃により，U1 は正常にプロトコルを実行

ループは 2 者から成り立つ．従って，参加者数 N ，サブしたにも関わらず，他の参加者と同一のグループ鍵を共グループ数 N/2 となる．提案プロトコルに必要な表記有することができない．これは，Key Conﬁrmation がを表 2 にまとめる．

保証されないことを利用した攻撃である．
また，KPT 方式では，管理者権限を極力排除していUij

参加者の識別子．i はサブグループ番号，j はサブグループ内での番号を示す．
1<=i<= N/2, j={0,1}.

るが，参加者変更イベント時に Sponsor と呼ばれる一時的管理者が設定される．Sponsor は全参加者に変更部分を知らせる．このことにより問題が発生する．例えK(1,3)

U3K(1,2)U1

K(1,4)U2

K(1,2)

U1p, q大きな素数．ただし，q | p − 1gZp∗ における位数 q の元

rij , tij

参加者 Uij が生成する乱数

Xij→lmUij が生成し，転送先を Ulm

K(3,4)

U2

U3に指定した値
U4

SKij

参加者 Uij の秘密鍵

P Kij

参加者 Uij の公開鍵,

P Kij = g SKij mod p．
図 2: 能動的な Sponsor による攻撃
ば，図 2 において U4 が加入することを考える．このとh()

一方向性ハッシュ関数

K(ij,lm)

Uij , Ulm 間で共有される鍵

BK(ij,lm)

BK(ij,lm) = g K(ij,lm) mod p

き，Sponsor は U3 である．U3 は U4 から g r4 mod p を受け，K(3,4) = g r3 r4 mod p を更新する．更に，BK(3,4) =表 2: 表記K(3,4)

gとなり，BK(3,4) を U1 , U2 へ送る．このとき，U3

が攻撃対象を U1 とし，U1 に対し BK(3,4)
を送ると，U1は他の参加者と同一の鍵を共有することができない．また，他の参加者にとっては正当な動作を行っているために，不正があったことに気がつかない．この攻撃もまた，Key Conﬁrmation がプロトコル実行中に保証されないことを利用した攻撃である．

[12] のように，管理者権限を完全に排除しても同様な攻撃が可能となる．更に，[12] の方法では通信量が参加者数に比例して増加する．グループ鍵を共有するのに全ての BK は必要ない．[12] の方式では過剰な通信負担が懸念される．これは，参加者のサブグループへの分割

3.2

通信相手について前節で指摘したように，[12] では必要のない BK の送受がある．本論文では，この余分な通信を削減するために，以下のような通信ポリシーを定める．なお，Ui0 は左の葉，Ui1 は右の葉に対応する．
参加者 Ui0 : サブグループ内の Ui(j+1) と通信し，鍵K(ij,i(j+1)) を共有する．その後，Ui0 (1 <=i<= N/2)と通信することにより，参加者全体のグループ鍵を共有する．

ループ番号とサブグループ内における識別子から参加者

参加者 Ui1 : サブグループ内の Ui(j+1) と通信し，鍵K(ij,i(j+1)) を共有する．その後，Ui1 (1 <=i<= N/2)を一意に特定できるようにし，この識別子により通信相と通信することにより，参加者全体のグループ鍵手を決定する．その際に余分な通信を極力削減できるよを共有する．と識別子により解決することができる．つまり，サブグうなポリシーによって通信相手を決定することが重要になる．

3

提案プロトコルのモデル
本論文では，KPT 方式に Key Conﬁrmation 保証機能を加える．従って，モデルは KPT 方式とほぼ同様にな

このポリシーに基づいて通信することにより，[12] と同様にグループ鍵を共有することができる．更に，余分な通信を減少させることができる．また，[12] での安全性を保っている．しかし，Key Conﬁrmation は保証されないままである．

Key Confirmation 保証機能付きグルー
プ鍵共有プロトコル

44.1

Step 4 では，Uij は Ui(j+1) に対し，署名部分を送信する．

Step 4.

準備

表 2 の中で，p, q, g はプロトコル参加者全体の公開情報である．また，参加者 Uij は公開鍵 P Kij を TA(Trusted

Uij → Ui(j+1) :eij→n(j+1) , yij→n(j+1) , zij→n(j+1)

わせを厳重に保管する．正規の参加者は，この公開情報

Step 5 において，Ui(j+1) は Uij から受け取った署名部分と BK(ij,i(j+1)) を結びつける．

を参照することができる．また，TA による不正はない

Step 5.

ものと仮定する．従って，内部不正者と TA による結託はないものとする．

Ui(j+1) :wi(j+1)→n(j+1) = BK(ij,i(j+1)) · zij→n(j+1)

4.2

Step 6 において Ui(j+1) は，BK(ij,i(j+1) ，xi(j+1) ととAuthority) へ登録する．TA は公開情報と ID の組み合提案プロトコルの概要

以下では，Uij を始動者とする．通信モデルに従い，Uijもに，Uij から受け取った署名部分 eij→n(j+1) , yij→n(j+1)

は Ui(j+1) と通信を行う．Step 1 では，KPT 方式と同様を Un(j+1) へ転送する．の手続きが行われる．つまり，2 者間での Diﬃe-Hellman

Step 6.

鍵共有プロトコルと同じ手続きである．

Ui(j+1) → Un(j+1) :eij→n(j+1) , yij→n(j+1) , BK(ij,i(j+1)) , xi(j+1) ,Step 1.
Uij → Ui(j+1) :wi(j+1)→n(j+1)

rij

xij = g mod p
Uij ← Ui(j+1) :Step 7 において，Un(j+1) は (1) KPT 方式における鍵共有のための手続き，(2) 署名の検証を行う．(1) はxi(j+1) = g ri(j+1) mod p

Ui(j+1) から受け取った BK(ij,i(j+1)) を利用し，K(ij,n(j+1))

Step 2 における手続きも KPT 方式と同様である．すを生成する．この手続きは KPT 方式と同様である（2.1

なわち，Diﬃe-Hellman 鍵共有プロトコルにおける鍵確節参照）ため，ここでは省略する．(2) は Ui(j+1) から転立手続きである．さらに，Step 2 では K(ij,i(j+1)) に対送された Uij による署名の検証である．ここでは，Uij応する BK(ij,i(j+1)) の準備も行う．の公開鍵と署名 eij→n(j+1) , yij→n(j+1) から，g tij mod p

Step 2.

を復元する．更に，Un(j+1) 自身が所持する秘密鍵を利用
tij
し，ハッシュ関数の入力値 P Kn(j+1)
を復元する（復元しUij :K(ij,i(j+1)) = g rij ri(j+1) mod p
BK(ij,i(j+1)) = g grij ri(j+1)

た値を vn(j+1) と書くことにする）．vn(j+1) と Ui(j+1) から受け取った xi(j+1) , BK(ij,i(j+1)) をハッシュ関数に入mod p

力し，eij→n(j+1) と等しくなれば，署名の検証に合格す

Step 3 において，Uij は Ui(j+1) から受け取った値 xi(j+1)
に対する署名を生成する．このとき，内部不正者が Uij の公開鍵から署名を偽造できないようにする工夫が必要である．ここでは，eij→n(j+1) , yij→n(j+1) が xi(j+1) に対する．検証が不合格の場合，プロトコル全体を終了させる．

Step 7.
Un(j+1) :eyvn(j+1) = P Kijij→n(j+1) ij→n(j+1) · wi(j+1)→n(j+1)
SKn(j+1)/BK(ij,i(j+1))
mod p

る署名となっている．検証者は Uij の公開鍵と zij→n(j+1)
から g tij mod p を復元することによって署名を検証する．
tij
eij→n(j+1) のハッシュ関数の入力値である P Kn(j+1)により，この署名は P Kn(j+1) の所有者のみが検証できる

Check,?
eij→n(j+1) = h(xi(j+1) , BK(ij,i(j+1)) , vn(j+1) )ことになる．

5

Step 3.
Uij :提案プロトコルでは，Uij は Ui(j+1) から受け取った

f or(n = 1; n <= N/2; n++) {tij ∈R Zq

値 xi(j+1) に対し，転送相手にしか検証できない署名を添付している．この署名の検証に合格するということ
tij
eij→n(j+1) = h(xi(j+1) , BK(ij,i(j+1)) , P Kn(j+1))
yij→n(j+1) = tij /(tij + eij→n(j+1) SKij ) mod qzij→n(j+1) = (g}

安全性分析tij yij→n(j+1)

)

mod p

は，(1) Ui(j+1) が Uij へ送った xi(j+1) = g ri(j+1) mod pに使用された ri(j+1) ，(2) Ui(j+1) が Un(j+1) へ送った
rij ri(j+1)

BK(ij,i(j+1)) = g g
mod p に使用された ri(j+1)
が等しいことを示す．KPT 方式における能動的な内部不正者 I は，(1) と (2) の値を異なるものにし，攻撃対象定理 5.1. オラクル C が公開値と通信路上を流れる値のみが同一の鍵を共有できないようにしている（2.2 節から P Knji(j+1) を計算し “攻撃 1” に成功するのであれ参照）．従って，(1) と (2) が等しいと証明されれば，同ば，Diﬃe-Hellman 問題を解くことのできるアルゴリズ

一の鍵が共有されたことを保証することができる．

ム AC が存在する．

上記のような内部不正者 I は，提案プロトコルで同様の攻撃を行う場合，署名部分について偽造を行おうとすt

Proof. AC は以下のような計算を行う．

みを変更するのでは，署名検証時に不合格となり，攻撃

1. AC は，Unj の公開鍵 P Knj = g SKnj mod p を入手する．

が成功しない．また，署名部分は正規の手段で入手する

2. AC は，Ui(j+1) から正当な手続きで送られてきたことができる．従って，内部不正者 I は (2) の値を変更

yi(j+1)→nj , zi(j+1)→nj を得る．yi(j+1)→nj の逆数を計算し，zi(j+1)→nj から，g ti(j+1) mod p を得る．

ることが予想される．署名部分を偽造せずに (2) の値のし，署名部分を偽造することによって攻撃を成功させよ

3. AC は，オラクル C に対し，g ti(j+1) mod p と P Knj =g SKnj mod p を送る．

うとする．よって，能動的な内部不正者による署名部分の偽造が，ある仮定のもとでは困難であることが証明で

4. オラクル C は，g ti(j+1) mod p と P Knj を入力とし，tP Knji(j+1) を出力することができる．

きれば，提案プロトコルは安全であるといえる．本節では，ある種の能動的な内部不正者による署名偽造が困難であることを示す．

オラクル C の出力結果は，P Knji(j+1) = g SKnj ti(j+1) mod5.1p である．従って，アルゴリズム AC は，オラクル Cからの出力結果を得ることによって，g ti(j+1) mod p とt

内部不正者 I の定義

2.2 節で示したように，内部不正者 Iij は通信相手によって異なる値を送信し，攻撃対象が他の参加者と同一の鍵を共有できないようにする．Step 1 において，Iijg SKnj mod p の Diﬃe-Hellman 問題を解くことのできるアルゴリズムとなっている．

は Ui(j+1) に対し xij = g rij mod p を送信する．しかこの定理から，Diﬃe-Hellman 問題の解決が困難である

し，Step 6 において，Iij は Unj に対し，BK(ij,i(j+1)) =ことを仮定したとき，提案プロトコルは能動的な内部不gg

rij ri(j+1)

mod p と xij = g rij mod p を送信する．

提案プロトコルでは，ei(j+1)→nj , yi(j+1)→nj , wij→njの値が署名の役割を果たしているため，Iij はこれらの値も偽造し，BK(ij,i(j+1)) や xij と辻褄が合うようにしなければならない．本論文では提案プロトコルに対する上記の攻撃を “攻撃 1” と書くことにする．
なお，Iij はプロトコルでやり取りされるメッセージを全て盗聴することができる攻撃者とする．つまり，通信ポリシーに従うと受け取ることのないメッセージであっても，盗聴することによって受け取ることができる攻撃者である．

5.2

6

おわりに
本論文では，KPT 方式というグループ鍵共有方式において，能動的な内部不正者による攻撃が可能であることを示し，この攻撃に耐性のあるプロトコルを提案した．

KPT 方式では，Key Conﬁrmation が保証されないことを利用し，能動的な内部不正者が攻撃対象の鍵共有を妨害し，他の参加者と同一の鍵を共有できないようにするような攻撃が可能となる．提案プロトコルでは，KPT方式に Key Conﬁrmation 保証機能を加えることにより，各参加者が同一の鍵を共有しているかどうか確認するこ

安全性証明“攻撃 1” を成功させるには，Iij は Ui(j+1) から受け取った ei(j+1)→nj を改ざんしなければならない．ei(j+1)→njを辻褄の合うように改ざんできれば，yi(j+1)→nj ,zi(j+1)→nj はそのまま転送しても “攻撃 1” に成功する．
tei(j+1)→nj = h(xij , BK(ij,i(j+1)) , P Knji(j+1) ) であるかtら，Iij は ei(j+1)→nj = h(xij , BK(ij,i(j+1)), P Knji(j+1) )を生成することができれば “攻撃 1” に成功する．

t

Iij が ei(j+1)→nj の入力値 xij , BK(ij,i(j+1)) , P Knji(j+1)
を生成できるのであれば，ei(j+1)→nj を生成し，“攻撃1” に成功する．ei(j+1)→nj の入力値の内，Iij が自力で計算できるのは xij , BK(ij,i(j+1)) である．また，P Knjtを入手することもできる．従って，P Knji(j+1) が生成できれば “攻撃 1” に成功する．

正者 Iij による “攻撃 1” に対して，安全であるといえる．とができる．結果として，内部不正者によるある種の能動的攻撃が困難になった．また，Diﬃe-Hellman 問題の困難さを仮定すると，提案プロトコルはある種の能動的な内部不正者に対し，安全であることを示した．
今後の課題は，木構造の複雑化に関する考察である．
本論文では，木構造を完全二分木に限定した．しかし，実際の世界におけるグループの構成はより複雑である．
グループ内サブグループへの多重所属など，二分木で表現することのできないグループ構成が考えられる．多様なグループ構成を実現でき，かつ安全なグループ鍵共有方式の実現が今後の課題である．

参考文献[1] W. Diﬃe and M. E. Hellman: “New Direction inCryptography,” IEEE Trans. Information Theory,
vol.IT-22, pp.644-654, 1976.
[2] L. Dondeti, S. Mukherjee, and A. Samal: “DISEC:A Distributed Framework for Scalable SecureMany-to-many Communication,” In Proc. of the
5th IEEE Symposium on Computers and Communications (ISCC2000), pp.693-698, 2000.
[3] 廣瀬勝一，池田克夫: “離散対数問題に基づく会議
鍵配布システムとその安全性,” 1997 年暗号と情報
セキュリティシンポジウム, SCIS’97-21E, 1997.

[4] S. Hirose and S. Yoshida: “An AuthenticatedDiﬃe-Hellman Key Agreement Protocol Secureagainst Active Attacks,” In Proc. of PKC’98,
LNCS1431, pp.135-148, Springer-Verlag, 1998.
[5] M. Just and S. Vaudenay: “Authenticated MultiParty Key Agreement,” In Proc. of Advances in
Cryptology – ASIACRYPT ’96, LNCS1163, pp.3649, Springer-Verlag, 1996.
[6] Y. Kim, A. Perrig, and G. Tsudik: “Simple andFault-Tolerant Key Agreement for Dynamic Collaborative Groups,” In Proc. of 7th ACM Conference on Computer and Communications Security,
pp.235-244, 2000.
[7] Y. Kim, A. Perrig, and G. Tsudik: “Simpleand Fault-Tolerant Key Agreement for Dynamic
Collaborative Groups,” Technical Report 2, USC
Technical Report00-737, 2000.
[8] Y.

Kim,A.

Perrig,andG.

Tsudik:“Communication-Eﬃcient Group Key Agreement,” In Information Systems Security, Proceedings of the 17th International Information
Security Conference IFIP SEC’01, 2001.
[9] K. Matsuura and H. Imai: “Protection of Authenticated Key-Agreement Protocol against a Denialof-Service Attack,” In Proc. of 1998 International
Symposium on Information Theory and Its Applications (ISITA’98), pp. 466-470, 1998.
[10] 松浦幹太，今井秀樹: “鍵共有プロトコルのサービス妨害攻撃対策,” 第 21 回情報理論とその応用シンポジウム予稿集，pp.719-722, 1998.

[11] D. A. McGrew, and A. T. Sherman: “Key Establishment in Large Dynamic Groups Using OneWay Function Trees,” Technical Report No. 0755,
TIS Labs at Network Associates, Inc., 1998.
[12] A. Perrig: “Eﬃcient Collaborative Key Management Protocols for Secure Autonomous Group,”
In CrypTEC’99, pp.192-202, 1999.
[13] C. P. Schnorr: “Eﬃcient Identiﬁcation and Signatures for Smart Cards,” In Proc. of Advances inCryptology – CRYPTO’89, LNCS 435, pp.239-252,
Springer-Verlag, 1990.
[14] S. Setia, S. Koussih, S. Jajodia, and E. Harder:“Kronos: A Scalable Group Re-keying Approachfor Secure Multicast,” In Proc. of IEEE Symposium on Security and Privacy, pp.215-228, 2000.
[15] M. Steiner,G. Tsudik,and M. Waidner:“CLIQUES: a New Approach to Group Key
Agreement,” In Proc. of the 18th International
Conference on Distributed Computing Systems(ICDCS’98), pp.380-387, 1998.
[16] C. K. Wong, M. Gouda, and S. S. Lam: “SecureGroup Communications Using Key Graphs,” In
Proc. of ACM SIGCOMM, pp.68-79, 1998.