一边允许共享公共密钥的成员的变更，一边多个用户共享公共密钥，降低密钥交换所需要的计算量。在第一密钥生成步骤中使用扭转伪随机函数计算Ri,ci。在会话ID生成步骤中，通过目标冲突困难哈希函数生成sid，将(sid,Rα,Rβ)发送到通信装置Ui。在代表第二密钥生成步骤中使用伪随机函数计算T1,T'。在一般第二密钥生成步骤中，使用伪随机函数计算Tj。在第三密钥生成步骤中，使用扭转伪随机函数计算k'，对于各j计算T'j。在第一会话密钥生成步骤中计算K1l,k1。在第二会话密钥生成步骤中通过伪随机函数生成公共密钥K2。