特許 5944893 再暗号化装置及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】5944893

(24)【登録日】2016年6月3日

(45)【発行日】2016年7月5日

(54)【発明の名称】再暗号化装置及びプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20160621BHJP

   H04L 9/14 20060101ALI20160621BHJP

【ＦＩ】

   H04L9/00 601B

   H04L9/00 641

【請求項の数】4

【全頁数】33

(21)【出願番号】特願2013-512438(P2013-512438)

(86)(22)【出願日】2012年4月26日

(86)【国際出願番号】JP2012061256

(87)【国際公開番号】WO2012147869

(87)【国際公開日】20121101

【審査請求日】2013年7月11日

【審判番号】不服2014-12672(P2014-12672/J1)

【審判請求日】2014年7月1日

(31)【優先権主張番号】特願2011-99563(P2011-99563)

(32)【優先日】2011年4月27日

(33)【優先権主張国】JP

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】301063496

【氏名又は名称】東芝ソリューション株式会社

(74)【代理人】

【識別番号】100108855

【弁理士】

【氏名又は名称】蔵田 昌俊

(74)【代理人】

【識別番号】100109830

【弁理士】

【氏名又は名称】福原 淑弘

(74)【代理人】

【識別番号】100103034

【弁理士】

【氏名又は名称】野河 信久

(74)【代理人】

【識別番号】100075672

【弁理士】

【氏名又は名称】峰 隆司

(74)【代理人】

【識別番号】100153051

【弁理士】

【氏名又は名称】河野 直樹

(74)【代理人】

【識別番号】100140176

【弁理士】

【氏名又は名称】砂川 克

(74)【代理人】

【識別番号】100158805

【弁理士】

【氏名又は名称】井関 守三

(74)【代理人】

【識別番号】100179062

【弁理士】

【氏名又は名称】井上 正

(74)【代理人】

【識別番号】100124394

【弁理士】

【氏名又は名称】佐藤 立志

(74)【代理人】

【識別番号】100112807

【弁理士】

【氏名又は名称】岡田 貴志

(74)【代理人】

【識別番号】100111073

【弁理士】

【氏名又は名称】堀内 美保子

(72)【発明者】

【氏名】林 良太郎

(72)【発明者】

【氏名】松下 達之

(72)【発明者】

【氏名】藤井 吉弘

(72)【発明者】

【氏名】吉田 琢也

(72)【発明者】

【氏名】岡田 光司

【合議体】

【審判長】 石井 茂和

【審判官】 辻本 泰隆

【審判官】 戸島 弘詩

(56)【参考文献】

【文献】 特開２００３−５９５３（ＪＰ，Ａ）

【文献】 特開２００７−７３０１２（ＪＰ，Ａ）

【文献】 特開２０１０−２９５９（ＪＰ，Ａ）

【文献】 Ａｔｅｎｉｅｓｅ，Ｇ．ｅｔ ａｌ．，Ｋｅｙ−Ｐｒｉｖａｔｅ Ｐｒｏｘｙ Ｒｅ−ｅｎｃｒｙｐｔｉｏｎ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．５４７３，２００９年，ｐ．２７９−２９４

(58)【調査した分野】（Int.Cl.，ＤＢ名）

H04L9/00-9/38

G09C1/00-1/14

(57)【特許請求の範囲】

【請求項1】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置（３０）に通信可能な再暗号化装置（４０）であって、
前記再暗号化鍵生成装置は、
前記第１公開鍵に対応する第１秘密鍵を記憶する第１記憶手段（３１）であって、前記第１公開鍵は複数のシステム固定値に対するベキ指数として前記第１秘密鍵を有している、前記第１記憶手段と、
前記第２秘密鍵に対応する第２公開鍵を記憶する第２記憶手段（３２）であって、前記第２公開鍵は前記複数のシステム固定値に対するベキ指数として前記第２秘密鍵を有している、前記第２記憶手段と、
第１乱数を生成する第１乱数生成手段（３６）と、
前記第１秘密鍵、前記第２公開鍵及び前記第１乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段（３４）であって、前記再暗号化鍵は、前記各システム固有値に対するベキ指数として分子部分と分母部分とをそれぞれ有する第１再暗号化鍵要素データ、第２再暗号化鍵要素データ及び第３再暗号化鍵要素データからなり、前記第１再暗号化鍵要素データのベキ指数の分子部分は、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第１再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第２再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数及び前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第２再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第３再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数と、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第３再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなる、前記再暗号化鍵生成手段と
を備え、
前記暗号文データは、ベキ指数として第２乱数を有する、各システム固有値の双線型写像を前記平文データに乗じてなる第１暗号文要素データと、前記第１公開鍵に対するベキ指数として前記第２乱数を有する複数の第２暗号文要素データとを有しており、
前記再暗号文データは、前記暗号文データ、前記再暗号化鍵、及び第３乃至第５乱数に基づいて、前記第１暗号文要素データと、前記複数の第２暗号文要素データに対するベキ指数として前記第３乃至第５乱数を個別に有する複数の第１再暗号文要素データと、前記再暗号化鍵に対するベキ指数として前記第３乃至第５乱数の各々の逆数を個別に有する複数の第２再暗号文要素データとを含むデータとして生成されており、
前記第３乃至第５乱数は、公開パラメータと検証式を用いた前記暗号文データの検証により生成されていることを特徴とする再暗号化装置。

【請求項2】

第１ユーザ装置の第１公開鍵により平文データを暗号化装置（２０）が暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置（３０）及び前記暗号化装置に通信可能な再暗号化装置（４０）であって、
前記再暗号化鍵生成装置は、
前記第１公開鍵に対応する第１秘密鍵を記憶する第１記憶手段（３１）であって、前記第１公開鍵は複数のシステム固定値に対するベキ指数として前記第１秘密鍵を有している、前記第１記憶手段と、
前記第２秘密鍵に対応する第２公開鍵を記憶する第２記憶手段（３２）であって、前記第２公開鍵は前記複数のシステム固定値に対するベキ指数として前記第２秘密鍵を有している、前記第２記憶手段と、
第１乱数を生成する第１乱数生成手段（３６）と、
再暗号化前の暗号文データには依存せずに、前記第１秘密鍵、前記第２公開鍵及び前記第１乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段（３４）と
を備え、
前記第１秘密鍵をｓｋ_ｉ＝（ｘ_ｉ，ｙ_ｉ，ｚ_ｉ）で表し、前記第２秘密鍵をｓｋ_ｊ＝（ｘ_ｊ，ｙ_ｊ，ｚ_ｊ）で表し、前記第１乱数をθで表し、前記複数のシステム固定値をｇ，ｇ_１，ｇ_２で表し（但し、双線型写像ｅ：Ｇ×Ｇ→Ｇ_Tが存在する素数位数ｐの群である双線型写像群をＧ，Ｇ_Tで表したとき、ｇ，ｇ_１，ｇ_２∈Ｇ）、前記各システム固定値に関するベキ指数をβで表し（但し、ｇ_２＝ｇ^β）、前記再暗号化鍵をＲ_ijで表すとき、
前記再暗号化鍵（Ｒ_ij）は、前記各システム固有値に対するベキ指数として分子部分と分母部分とをそれぞれ有する第１再暗号化鍵要素データ（Ｒ_ij1）、第２再暗号化鍵要素データ（Ｒ_ij2）及び第３再暗号化鍵要素データ（Ｒ_ij3）からなり、
前記第１再暗号化鍵要素データ（Ｒ_ij1）のベキ指数の分子部分は、前記第２公開鍵が有する第２秘密鍵（ｘ_ｊ）と、前記第１乱数（θ）とに基づく線形結合の形（ｘ_ｊ＋θ）を有しており、
前記第１再暗号化鍵要素データ（Ｒ_ij1）のベキ指数の分母部分は前記第１秘密鍵（ｘ_ｉ）からなり、
前記第２再暗号化鍵要素データ（Ｒ_ij2）のベキ指数の分子部分は、前記各システム固定値に関するベキ指数（β）及び前記第２公開鍵が有する第２秘密鍵（ｙ_ｊ）と、前記第１乱数（θ）とに基づく線形結合の形（βｙ_ｊ＋θ）を有しており、
前記第２再暗号化鍵要素データ（Ｒ_ij2）のベキ指数の分母部分は前記第１秘密鍵（ｙ_ｉ）からなり、
前記第３再暗号化鍵要素データ（Ｒ_ij3）のベキ指数の分子部分は、前記各システム固定値に関するベキ指数（β）と、前記第２公開鍵が有する第２秘密鍵（ｘ_ｊ，ｙ_ｊ）と、前記第１乱数（θ）とに基づく線形結合の形（ｘ_ｊ＋βｙ_ｊ＋θ）を有しており、
前記第３再暗号化鍵要素データ（Ｒ_ij3）のベキ指数の分母部分は前記第１秘密鍵（ｚ_ｉ）からなり、

【数1】

）、
前記平文データをｍで表し（但し、ｍ∈Ｇ_T）、第２乱数をｒで表し、前記暗号文データをＣ_ｉで表すとき（但し、前記双線型写像ｅ：Ｇ×Ｇ→Ｇ_Tをｅ（ ， ）で表す）、
前記暗号文データ（Ｃ_ｉ）は、ベキ指数として第２乱数（ｒ）を有する、各システム固有値の双線型写像（ｅ（ｇ_１ｇ_２，ｇ）^ｒ）を前記平文データ（ｍ）に乗じてなる第１暗号文要素データ（Ｃ₃）と、前記第１公開鍵に対するベキ指数として前記第２乱数（ｒ）を有する複数の第２暗号文要素データ（Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1）とを有しており、
Ｃ_ｉ＝（Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃）
であり（但し、

【数2】

）、
前記再暗号文データをＣ_ｊで表すとき（但し、第３乃至第５乱数をｓ，ｔ，ｋで表す）、
前記第３乃至第５乱数は、公開パラメータと検証式を用いた前記暗号文データの検証により生成されており、
前記再暗号文データ（Ｃ_ｊ）は、前記暗号文データ、前記再暗号化鍵、及び第３乃至第５乱数に基づいて、前記第１暗号文要素データ（Ｃ₃）と、前記複数の第２暗号文要素データ（Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1）に対するベキ指数として前記第３乃至第５乱数（ｓ，ｔ，ｋ）を個別に有する複数の第１再暗号文要素データ（Ｃ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’）と、前記再暗号化鍵（Ｒ_ij＝（Ｒ_ij1，Ｒ_ij2，Ｒ_ij3 ））に対するベキ指数として前記第３乃至第５乱数の各々の逆数（１/ｓ，１/ｔ，１/ｋ）を個別に有する複数の第２再暗号文要素データ（Ｃ_5X，Ｃ_5Y，Ｃ_5Z）とを含んでおり、
Ｃ_ｊ＝（Ｃ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃）
であり（但し、

【数3】

で表されることを特徴とする再暗号化装置。

【請求項3】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置（３０）に通信可能な再暗号化装置（４０）であって、
前記再暗号化鍵生成装置から受けた前記再暗号化鍵を記憶する記憶手段（４１）と、
前記第１ユーザ装置から受けた前記暗号文データを復号せずに、前記記憶手段内の再暗号化鍵により再暗号化して前記再暗号文データを得る再暗号化手段（４４）と、
前記得られた再暗号文データを前記第２ユーザ装置に送信する手段（４３）と、
を備え、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵、及び前記再暗号化鍵生成装置により生成された第１乱数に基づいて、生成されており、
前記第１公開鍵は複数のシステム固定値に対するベキ指数として前記第１秘密鍵を有しており、
前記第２公開鍵は前記複数のシステム固定値に対するベキ指数として前記第２秘密鍵を有しており、
前記再暗号化鍵は、前記各システム固有値に対するベキ指数として分子部分と分母部分とをそれぞれ有する第１再暗号化鍵要素データ、第２再暗号化鍵要素データ及び第３再暗号化鍵要素データからなり、前記第１再暗号化鍵要素データのベキ指数の分子部分は、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第１再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第２再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数及び前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第２再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第３再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数と、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第３再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、
前記暗号文データは、前記第１公開鍵及び第２乱数に基づいて生成されており、
前記暗号文データは、ベキ指数として前記第２乱数を有する、各システム固有値の双線型写像を前記平文データに乗じてなる第１暗号文要素データと、前記第１公開鍵に対するベキ指数として前記第２乱数を有する複数の第２暗号文要素データとを有しており、
前記再暗号文データは、前記暗号文データ、前記再暗号化鍵、及び第３乃至第５乱数に基づいて、前記第１暗号文要素データと、前記複数の第２暗号文要素データに対するベキ指数として前記第３乃至第５乱数を個別に有する複数の第１再暗号文要素データと、前記再暗号化鍵に対するベキ指数として前記第３乃至第５乱数の各々の逆数を個別に有する複数の第２再暗号文要素データとを含むデータとして生成されており、
前記第３乃至第５乱数は、公開パラメータと検証式を用いた前記暗号文データの検証により生成されていることを特徴とする再暗号化装置。

【請求項4】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置（３０）に通信可能な再暗号化装置（４０）のプロセッサに実行され、非一時的なコンピュータ読取可能な記憶媒体（Ｍ４）に記憶されたプログラムであって、
前記再暗号化鍵生成装置から受けた前記再暗号化鍵を前記再暗号化装置の記憶手段（４１）に書込む処理を前記プロセッサに実行させる第１プログラムコード（４３）、
前記第１ユーザ装置から受けた前記暗号文データを復号せずに、前記記憶手段内の再暗号化鍵により再暗号化して前記再暗号文データを得る処理を前記プロセッサに実行させる第２プログラムコード（４４）、
前記得られた再暗号文データを前記第２ユーザ装置に送信する処理を前記プロセッサに実行させる第３プログラムコード（ＳＴ４３）、
を備え、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵、及び前記再暗号化鍵生成装置により生成された第１乱数に基づいて、生成されており、
前記第１公開鍵は複数のシステム固定値に対するベキ指数として前記第１秘密鍵を有しており、
前記第２公開鍵は前記複数のシステム固定値に対するベキ指数として前記第２秘密鍵を有しており、
前記再暗号化鍵は、前記各システム固有値に対するベキ指数として分子部分と分母部分とをそれぞれ有する第１再暗号化鍵要素データ、第２再暗号化鍵要素データ及び第３再暗号化鍵要素データからなり、前記第１再暗号化鍵要素データのベキ指数の分子部分は、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第１再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第２再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数及び前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第２再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、前記第３再暗号化鍵要素データのベキ指数の分子部分は、前記各システム固定値に関するベキ指数と、前記第２公開鍵が有する第２秘密鍵と、前記第１乱数とに基づく線形結合の形を有しており、前記第３再暗号化鍵要素データのベキ指数の分母部分は前記第１秘密鍵からなり、
前記暗号文データは、前記第１公開鍵及び第２乱数に基づいて生成されており、
前記暗号文データは、ベキ指数として前記第２乱数を有する、各システム固有値の双線型写像を前記平文データに乗じてなる第１暗号文要素データと、前記第１公開鍵に対するベキ指数として前記第２乱数を有する複数の第２暗号文要素データとを有しており、
前記再暗号文データは、前記暗号文データ、前記再暗号化鍵、及び第３乃至第５乱数に基づいて、前記第１暗号文要素データと、前記複数の第２暗号文要素データに対するベキ指数として前記第３乃至第５乱数を個別に有する複数の第１再暗号文要素データと、前記再暗号化鍵に対するベキ指数として前記第３乃至第５乱数の各々の逆数を個別に有する複数の第２再暗号文要素データとを含むデータとして生成されており、
前記第３乃至第５乱数は、公開パラメータと検証式を用いた前記暗号文データの検証により生成されているプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、再暗号化装置及びプログラムに関する。

【背景技術】

【0002】

ユーザがサーバにファイルをアップロードし、複数ユーザ間でそのファイルを共有するファイル共有システムにおいて、サーバに対してファイルデータの秘匿性を保つ方法として以下の三つの方式（１）〜（３）が挙げられる。

【0003】

（１）各ユーザに個別の暗号化鍵でファイルを暗号化する個別鍵方式。

【0004】

（２）各ユーザに共通の暗号化鍵でファイルを暗号化する共通鍵方式。

【0005】

（３）プロキシ再暗号化方式を用いてファイルを暗号化する再暗号化方式。

【0006】

上記（１）〜（３）の方式において、サーバにファイルをアップロードするユーザをユーザＡとし、ユーザＡがユーザＢ、ユーザＣとファイルを共有するとする。

【0007】

（１）の個別鍵方式では、ユーザ毎に異なる秘密鍵と公開鍵の組を各ユーザがそれぞれ持つ。ユーザＡは、ユーザＢの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。なお、ユーザＢの公開鍵は、ユーザＢに個別の暗号化鍵である。同様に、ユーザＡは、ユーザＣの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。ユーザＣの公開鍵は、ユーザＣに個別の暗号化鍵である。つまり、ユーザＡは、ファイルを共有する全てのユーザそれぞれに対して個別にファイルを暗号化する。

【0008】

（２）の共通鍵方式では、各ユーザに共通の秘密鍵と公開鍵の組を各ユーザが共有する。ユーザＡは、（各ユーザに共通の暗号化鍵である）公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。各ユーザは、同一の秘密鍵を共有している。

【0009】

（３）のプロキシ再暗号化方式では、（１）の個別鍵方式と同様に、ユーザ毎に異なる秘密鍵と公開鍵の組を各ユーザがそれぞれ持つ。しかしながら、（１）の個別鍵方式とは異なり、ユーザＡは、ユーザのグループを管理するエンティティ（以下、グループ管理者と呼ぶ）の公開鍵（以下、グループ公開鍵と呼ぶ）でファイルを暗号化すれば良い。サーバは、（ユーザＡがアップロードした）暗号化ファイルを、再暗号化鍵に基づいてそれぞれ再暗号化する。再暗号化により、各ユーザだけが復号できる暗号化ファイルが生成される。プロキシ再暗号化方式の詳細は後述する。

【0010】

（１）の個別鍵方式では、新たにユーザＤともファイルを共有したいとき、ユーザＡがユーザＤの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする必要があるという不都合がある。なお、ユーザＤの公開鍵は、ユーザＤに個別の暗号化鍵である。従って、（１）の方法は、新規ユーザ数や共有ファイル数が多い場合に、新規ユーザ追加時の処理が煩雑となるため、ファイル共有システムに不適である。

【0011】

（２）の共通鍵方式では、あるユーザに対するファイル共有の許可をある時点から取り消す（当該ユーザをファイル共有システムから排除する）際に、各ユーザに共通の秘密鍵と公開鍵を更新する機構が別途必要である不都合がある。また、（２）の共通鍵暗号方式では、各ユーザに共通の秘密鍵が万が一漏洩してしまった場合、当該漏洩した秘密鍵を入手した者には、全ての暗号化ファイルが復号可能となってしまう不都合がある。このため、（２）の共通鍵方式は、ファイル共有システムに不適である。

【0012】

一方、（３）のプロキシ再暗号化方式では、サーバが再暗号化鍵を用いて一つの暗号文を各ユーザだけが復号できる暗号文に再暗号化するため、ユーザに再暗号化鍵を知らせない構成にして、上述した不都合を解決している。このため、（３）のプロキシ再暗号化方式は、ファイル共有システムに好適である。

【先行技術文献】

【非特許文献】

【0013】

【非特許文献1】B. Libert and D. Vergnaud, "Unidirectional Chosen-Ciphertext Secure Proxy Re-encryption", Proc. PKC 2008, LNCS 4939, pp.360-379, Springer, 2008.

【発明の概要】

【発明が解決しようとする課題】

【0014】

しかしながら、（３）のプロキシ再暗号化方式では、サーバとユーザが結託した場合、復号権限を移譲元の許可なく再移譲されてしまうという不都合がある。具体的には、サーバ、ユーザＢ及びユーザＥが結託した場合、ユーザＡ向けの暗号文をユーザＢ向けの暗号文に再暗号化するための再暗号化鍵（ｒｋ_A→B）、ユーザＢの秘密鍵（ｓｋ_B）、及びユーザＥの秘密鍵（ｓｋ_E）を用いて、ユーザＡ向けの暗号文をユーザＥ向けの暗号文に再暗号化するための正規の再暗号化鍵（ｒｋ_A→E）を、移譲元であるユーザＡの許可なく計算できてしまう。

【0015】

本発明が解決しようとする課題は、サーバとユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止し得る再暗号化装置及びプログラムを提供することである。

【課題を解決するための手段】

【0016】

実施形態の再暗号化鍵生成装置は、第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する。

【0017】

前記再暗号化鍵生成装置は、第１記憶手段、第２記憶手段、第１乱数生成手段及び再暗号化鍵生成手段を備えている。

【0018】

前記第１記憶手段は、前記第１公開鍵に対応する第１秘密鍵を記憶する。

【0019】

前記第２記憶手段は、前記第２秘密鍵に対応する第２公開鍵を記憶する。

【0020】

前記第１乱数生成手段は、第１乱数を生成する。

【0021】

前記再暗号化鍵生成手段は、前記第１秘密鍵、前記第２公開鍵及び前記第１乱数に基づいて、前記再暗号化鍵を生成する。

【図面の簡単な説明】

【0022】

【図1】図１は、第１の実施形態に係る再暗号化システムの構成を示す模式図である。

【図2】図２は、同実施形態における鍵セットアップ処理の動作を説明するためのシーケンス図である。

【図3】図３は、同実施形態における暗号化処理の動作を説明するためのシーケンス図である。

【図4】図４は、同実施形態における再暗号化鍵生成処理の動作を説明するためのシーケンス図である。

【図5】図５は、同実施形態における再暗号化処理の動作を説明するためのシーケンス図である。

【図6】図６は、同実施形態における復号処理の動作を説明するためのシーケンス図である。

【図7】図７は、同実施形態に係るファイル共有システムの構成を例示する図である。

【図8】図８は、同実施形態におけるファイル共有システムの模式図である。

【発明を実施するための形態】

【0023】

以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、図１に示す如き、予めネットワーク又は非一時的なコンピュータ読取可能な記憶媒体（non-transitory computer-readable storage medium）Ｍ１〜Ｍ５からコンピュータにインストールされ、当該コンピュータのプロセッサに実行されることにより、当該コンピュータに各装置の機能を実現させるためのプログラムが用いられる。

【0024】

（第１の実施形態）
始めに、プロキシ再暗号化方式について説明する。プロキシ再暗号化方式の基本的なモデルは以下の鍵生成、暗号化、復号、再暗号化鍵生成、再暗号化の５つの関数（以下、アルゴリズムともいう）からなる。鍵生成、暗号化、復号の機能は通常の公開鍵暗号と同様である。

【0025】

（鍵生成）KeyGen（１^k）→（ｐｋ，ｓｋ）
鍵生成アルゴリズムKeyGenは、セキュリティパラメータ１^kが入力されると、公開鍵ｐｋと秘密鍵ｓｋの組（ｐｋ，ｓｋ）を出力する。

【0026】

（暗号化）Enc（ｐｋ_A，ｍ）→Ｃ_A
暗号化アルゴリズムEncは、ユーザＡの公開鍵ｐｋ_Aとメッセージｍが入力されると、ユーザＡ宛の暗号文Ｃ_Aを出力する。

【0027】

（復号）Dec（ｓｋ_A，Ｃ_A）→ｍ
復号アルゴリズムDecは、ユーザＡの秘密鍵ｓｋ_Aと、ユーザＡ宛の暗号文Ｃ_Aとが入力されると、メッセージｍを出力する。

【0028】

（再暗号化鍵生成）ReKeyGen（ｐｋ_A，ｓｋ_A，ｐｋ_B，ｓｋ_B）→ｒｋ_A→B
再暗号化鍵生成アルゴリズムReKeyGenは、ユーザＡの公開鍵ｐｋ_A、ユーザＡの秘密鍵ｓｋ_A、ユーザＢの公開鍵ｐｋ_B、ユーザＢの秘密鍵ｓｋ_Bが入力されると、再暗号化鍵ｒｋ_A→Bを出力する。

【0029】

（再暗号化）ReEnc（ｒｋ_A→B，Ｃ_A）→Ｃ_B
再暗号化アルゴリズムReEncは、再暗号化鍵ｒｋ_A→Bと、ユーザＡ宛の暗号文Ｃ_Aとが入力されると、ユーザＢ宛の暗号文Ｃ_Bを出力する。

【0030】

以上が基本的なモデルである。但し、再暗号化の実現方式に応じて、関数への入力が異なるモデルや、上記以外の関数や鍵を含むモデルも考えられている。

【0031】

例えば、本実施形態に示す再暗号化方式のように、再暗号化鍵生成アルゴリズムの入力において、ユーザＢの秘密鍵ｓｋ_Bを不要とした非相互作用的（non-interactive）と呼ばれるモデルが考えられている。また、ユーザＡの秘密鍵ｓｋ_Aに代えて、ユーザＢ宛の再暗号化鍵ｒｋ_A→BとユーザＣの秘密鍵ｓｋ_Cとが入力されるモデルなども考えられている。

【0032】

また、再暗号化鍵ｒｋ_A→Bで暗号文Ｃ_A→Ｃ_Bの再暗号化を行える一方で、その逆の暗号文Ｃ_B→Ｃ_Aの変換を行えない一方向性（unidirectional）と呼ばれるモデル、逆の変換も行える双方向性（bidirectional）と呼ばれるモデルなども知られている。なお、双方向性モデルでは、再暗号化鍵ｒｋ_A→Bをｒｋ_A⇔Bと表すことがある。

【0033】

さらに、公開鍵暗号の中でもＩＤベース暗号に基づく方式も考えられている。その場合、マスター鍵生成のための関数セットアップ（Setup）が増え、鍵生成アルゴリズムKeyGenの入力にマスター鍵とＩＤが追加される。ＩＤベース暗号において、公開鍵ｐｋはＩＤそのものである。

【0034】

次に、本実施形態に係るファイル共有システムの構成について図７を用いて説明する。ファイル共有システムは、サービスを提供するサービス提供者の有する情報処理装置であるサーバＳｖと、当該サービスの利用者であるユーザの有する情報処理装置であるユーザ装置Ａ，Ｂ，Ｃ，…とを備えている。サーバＳｖと、ユーザ装置Ａ，Ｂ，Ｃ，…とは通信網を介して接続されている。通信網とは、例えば、無線ＬＡＮ（Local Area Network）、有線ＬＡＮ、光回線網、電話回線網、イントラネット、イーサネット（登録商標）及びインターネットやこれらの組み合わせである。尚、同図では、ファイル共有システムに接続されるサーバＳｖは１台のみが示されているが、複数台であっても良い。また、ユーザ装置Ａ，Ｂ，Ｃ，…は、ユーザＡ，Ｂ，Ｃ，…と略記する場合や、第１ユーザ装置，第２ユーザ装置，…と呼ぶ場合がある。

【0035】

図８は、ファイル共有システムの模式図である。このファイル共有システムは、サーバＳｖ、ユーザＡ、ユーザＢ、ユーザＣ、グループ管理者、及びユーザ管理者からなる。ユーザ管理者とは、全ユーザを管理するエンティティである。ユーザ管理者は、ユーザがファイル共有システムにログインできるようにするためのＩＤと初期パスワードを各ユーザに対して発行する。

【0036】

事前準備として、各ユーザは、グループ管理者の公開鍵ｐｋ_Grを持っているものとする。また、共有しようとする平文のファイルデータをｍと表記する。サーバＳｖは、グループ管理者宛の暗号文Ｅ（ｐｋ_Gr，ｍ）をユーザＡ（又はユーザＢ、又はユーザＣ）宛の暗号文Ｅ（ｐｋ_A，ｍ）（又はＥ（ｐｋ_B，ｍ）、又はＥ（ｐｋ_C，ｍ））に再暗号化する再暗号化鍵ｒｋ_Gr→A（又はｒｋ_Gr→B、又はｒｋ_Gr→C）を持っているものとする。各ユーザｉは秘密鍵ｓｋ_ｉを持っているものとする。つまり、ユーザＡは秘密鍵ｓｋ_A、ユーザＢはｓｋ_B、ユーザＣはｓｋ_Cをそれぞれ持っている。

【0037】

次に、ユーザＣは、公開鍵記憶部１に記憶されているグループ管理者の公開鍵ｐｋ_Grでファイルデータｍを暗号化し、得られた暗号文Ｅ（ｐｋ_Gr，ｍ）をサーバＳｖへアップロードする。サーバＳｖは、暗号文記憶部２においてこの暗号文を保管する。

【0038】

今、ユーザＡがファイルデータｍを共有したいとする。ユーザＡは、サーバＳｖに対して暗号文Ｅ（ｐｋ_Gr，ｍ）の再暗号化の要求を送信する。サーバＳｖは、ユーザＡから受けた要求に対し、再暗号化鍵記憶部３に記憶されているユーザＡ宛の再暗号化鍵ｒｋ_Gr→Aに基づいて、暗号文Ｅ（ｐｋ_Gr，ｍ）をユーザＡ宛の再暗号文Ｅ（ｐｋ_A，ｍ）に再暗号化し、得られた再暗号文Ｅ（ｐｋ_A，ｍ）をユーザＡに送信する。ここで、再暗号文とは、暗号文を再暗号化した暗号文である。

【0039】

ユーザＡは、サーバＳｖからダウンロードした再暗号文Ｅ（ｐｋ_A，ｍ）を自身が保有する秘密鍵ｓｋ_Aで復号し、得られたファイルデータｍを利用する。

【0040】

以上のようなファイル共有システムは、ユーザＣによる暗号化からユーザＡによる復号までの間、ファイルデータＭが一度も復号されないため、ファイル共有の過程における情報の漏洩を阻止することができる。

【0041】

また、ユーザＣは、暗号文をアップロードする時点で、どのユーザとファイル共有するかを決定する必要がない。つまり、ユーザＣは、ファイルデータｍをグループ管理者の公開鍵ｐｋ_Grで暗号化すれば良く、暗号化に関して管理すべき鍵がグループ管理者の公開鍵ｐｋ_Grのみで良いので、鍵管理のコストを低減させることができる。

【0042】

本ファイル共有システムにおいて、サーバＳｖは、暗号文Ｅ（ｐｋ_Gr，ｍ）を復号するための復号鍵sｋ_Grを持たない。従って、サーバＳｖはこの暗号文を復号できない。これは、不正なサーバＳｖが暗号文を復号して漏洩させてしまうといった脅威を排除できるため、サーバＳｖを厳重に管理しなくても良く、サーバＳｖの管理コストの低減に繋がる。

【0043】

ユーザＢがファイル共有を行う際も上記と同様である。

【0044】

図１は第１の実施形態に係る再暗号化システムの構成を示す模式図である。（図１と図８の対応関係については後述する。）この再暗号化システムは、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０を備えている。ここで、鍵生成装置１０は、再暗号化システムの各種パラメータ及び各装置４０，５０の公開鍵・秘密鍵のペアを生成する。

【0045】

暗号化装置２０は、再暗号化鍵生成装置３０の秘密鍵に対応する公開鍵を用いて平文データを暗号化して得られた暗号文データを再暗号化装置４０に送信する。

【0046】

再暗号化鍵生成装置３０は、再暗号化鍵生成装置３０の秘密鍵と復号装置５０の公開鍵と乱数とを用いて再暗号化鍵を生成する。

【0047】

再暗号化装置４０は、暗号化装置２０から受けた暗号文データを復号せずに再暗号化鍵により再暗号化して得られた再暗号文データを復号装置５０に送信する。

【0048】

復号装置５０は、再暗号化鍵生成装置３０の公開鍵を用いて再暗号文データを検証処理すると共に、自装置５０の公開鍵に対応する秘密鍵を用いて再暗号文データを復号処理して平文データを得る。なお、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０は、それぞれ複数台が設けられていてもよいが、ここでは一台ずつ設けられている場合を例に挙げて述べる。

【0049】

図１と図８の対応関係について説明する。各装置１０〜５０は、当該処理を行うエンティティにより保持される。ユーザが自身の公開鍵と秘密鍵の組を生成する場合、当該ユーザは鍵生成装置１０を保持する。なお、例えば、ユーザ管理者又はグループ管理者がユーザの公開鍵と秘密鍵の組を生成する場合、ユーザ管理者又はグループ管理者が鍵生成装置１０を保持する。ユーザは、暗号化装置２０、復号装置５０、又は両方を保持する。グループ管理者は、再暗号化鍵生成装置３０を保持する。なお、例えば、ユーザ管理者又はサーバＳｖが再暗号化鍵を生成する場合、ユーザ管理者又はサーバＳｖが再暗号化鍵生成装置３０を保持する。サーバＳｖは、再暗号化装置４０を保持する。図８に例示したファイル共有システムにおいては、サーバＳｖが公開鍵記憶部１を保持し、暗号化を行うユーザＣは、公開鍵記憶部１から暗号化に用いる公開鍵を取得しているが、これに限らず、後述するように、ユーザＣは（暗号化に用いる公開鍵を生成した）鍵生成装置１０から暗号化に用いる公開鍵を取得しても良い。また、サーバＳｖは、ユーザＣが生成した暗号文Ｅ（ｐｋ_Gr，ｍ）を暗号文記憶部２において保管するが、暗号文記憶部２は再暗号化装置４０に含まれていても良いし、再暗号化装置４０に含まれない外部の記憶装置であっても良い。

【0050】

どのエンティティがどの装置を保持するかについては、上述の例に限定されるものではなく、様々なバリエーションが考えられる。また、ユーザ管理者又はグループ管理者がユーザを兼ねる場合も兼ねない場合もある。また、各ユーザが用いる各ユーザ装置は、第１ユーザ装置、第２ユーザ装置、…と呼んでもよい。同様に、各ユーザ装置の公開鍵及び秘密鍵は、第１ユーザ装置の第１公開鍵及び第１秘密鍵、第２ユーザ装置の第２公開鍵及び第２秘密鍵、…と呼んでもよい。

【0051】

続いて、各装置１０〜５０の構成を具体的に説明する。

【0052】

鍵生成装置１０は、鍵生成パラメータ記憶部１１、一時データ記憶部１２、公開パラメータ生成部１３、公開鍵・秘密鍵生成部１４、通信部１５及び制御部１６を備えている。

【0053】

ここで、鍵生成パラメータ記憶部１１は、鍵生成パラメータを記憶する記憶装置である。

【0054】

一時データ記憶部１２は、各生成部１３，１４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0055】

公開パラメータ生成部１３は、鍵生成の公開パラメータを生成する。

【0056】

公開鍵・秘密鍵生成部１４は、ユーザ宛の公開鍵・秘密鍵を生成する。

【0057】

通信部１５は、他の装置２０〜５０と通信するための通信インタフェースであり、例えば、以下の各機能(f15-1)〜(f15-2)をもっている。

【0058】

(f15-1) 制御部１６に制御されて一時データ記憶部１２内の各３０，５０の公開鍵・秘密鍵のペアを当該各装置３０，５０に送信する機能。

【0059】

(f15-2) 制御部１６に制御されて一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵を暗号化装置２０に送信する機能。

【0060】

なお、以下の説明では、送受信時の冗長な記載を避ける観点から、送受信の際に、通信部１５を介する旨の記載を省略する場合がある。これは他の装置２０〜５０の通信部についても同様である。

【0061】

制御部１６は、図２に示す動作を実行するように、各部１１〜１５を制御する機能をもっている。

【0062】

暗号化装置２０は、一時データ記憶部２１、通信部２２、暗号化データ生成部２３、暗号文生成部２４及び制御部２５を備えている。

【0063】

ここで、一時データ記憶部２１は、鍵生成装置１０から受けた再暗号化鍵生成装置３０の公開鍵や、各生成部２３，２４の処理途中及び処理結果などの一時的なデータ（以下、一時データともいう）を記憶する記憶装置である。

【0064】

通信部２２は、他の装置１０，３０〜５０と通信するための通信インタフェースであり、例えば、以下の各機能(f22-1)〜(f22-2)をもっている。

【0065】

(f22-1) 鍵生成装置１０に公開された再暗号化鍵生成装置３０の公開鍵を取得して一時データ記憶部２１に書き込む機能。

【0066】

(f22-2) 制御部２５に制御されて一時データ記憶部２１内の暗号文データを再暗号化装置４０に送信する機能。

【0067】

暗号化パラメータ生成部２３は、暗号化パラメータを生成する機能をもっている。

【0068】

暗号文生成部２４は、例えば、以下の各機能(f24-1)〜(f24-2)をもっている。

【0069】

(f24-1) 一時データ記憶部２１から読み出した再暗号化鍵生成装置３０の公開鍵（第１ユーザ装置の第１公開鍵）を用いて平文データを暗号化することにより、暗号文データを生成する機能。

【0070】

(f24-2) 得られた暗号文データを一時データ記憶部２１に書き込む機能。

【0071】

制御部２５は、図３に示す動作を実行するように、各部２１〜２４を制御する機能をもっている。

【0072】

再暗号化鍵生成装置３０は、秘密鍵記憶部３１、一時データ記憶部３２、通信部３３、再暗号化鍵生成部３４、制御部３５及び乱数生成部３６を備えている。

【0073】

秘密鍵記憶部３１は、鍵生成装置１０から受けた再暗号化鍵生成装置３０の秘密鍵を記憶する記憶装置である。

【0074】

一時データ記憶部３２は、鍵生成装置１０から受けた復号装置５０の公開鍵や、再暗号化鍵生成部３４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0075】

通信部３３は、他の装置１０，２０，４０，５０と通信するための通信インタフェースであり、例えば制御部３５に制御されて一時データ記憶部３２内の再暗号化鍵を再暗号化装置４０に送信する機能をもっている。

【0076】

再暗号化鍵生成部３４は、例えば、以下の各機能(f34-1)〜(f34-2)をもっている。

【0077】

(f34-1) 秘密鍵記憶部３１から読み出した再暗号化鍵生成装置３０の秘密鍵（第１ユーザ装置の第１秘密鍵）と、一時データ記憶部３２から読み出した復号装置５０の公開鍵（第２ユーザ装置の第２公開鍵）と、乱数生成部３６により生成された乱数とに基づいて再暗号化鍵を生成する機能（この機能では暗号化時のパラメータ―詳しくは乱数―が不要）。

【0078】

(f34-2) この再暗号化鍵を一時データ記憶部３２に書き込む機能。

【0079】

制御部３５は、図４に示す動作を実行するように、各部３１〜３４，３６を制御する機能をもっている。

【0080】

乱数生成部３６は、乱数を生成して再暗号化鍵生成部３４に送出する機能をもっている。

【0081】

再暗号化装置４０は、再暗号化鍵記憶部４１、一時データ記憶部４２、通信部４３、再暗号化処理部４４、再暗号化パラメータ生成部４５及び制御部４７を備えている。

【0082】

再暗号化鍵記憶部４１は、再暗号化鍵生成装置３０から受けた再暗号化鍵を記憶する記憶装置である。

【0083】

一時データ記憶部４２は、再暗号化処理部４４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0084】

通信部４３は、他の装置１０〜３０，５０と通信するための通信インタフェースであり、例えば、以下の各機能(f43-1)〜(f43-2)をもっている。

【0085】

(f43-1) 暗号化装置２０から受けた暗号文データを再暗号化処理部４４に送出する機能。

【0086】

(f43-2) 制御部４７に制御されて一時データ記憶部４２内の再暗号文データを復号装置５０に送信する機能。

【0087】

再暗号化処理部４４は、例えば、以下の各機能(f44-1)〜(f44-2)をもっている。

【0088】

(f44-1) 暗号化装置２０から暗号文データを受けると、再暗号化鍵記憶部４１から読み出した再暗号化鍵を用いて当該暗号文データを復号せずに再暗号化することにより、再暗号文データを得る機能。

【0089】

(f44-2) 得られた再暗号文データを一時データ記憶部４２に書き込む機能。

【0090】

制御部４７は、再暗号文検証プログラムを配信する動作（図示せず）と図５に示す動作を実行するように、各部４１〜４５を制御する機能をもっている。

【0091】

復号装置５０は、秘密鍵記憶部５１、一時データ記憶部５２、通信部５３、復号処理部５４、及び制御部５６を備えている。

【0092】

秘密鍵記憶部５１は、鍵生成装置１０から受けた自装置５０の秘密鍵を記憶する記憶装置である。

【0093】

一時データ記憶部５２は、鍵生成装置１０から受けた自装置５０の公開鍵及び再暗号化鍵生成装置３０の公開鍵や、復号処理部５４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0094】

通信部５３は、他の装置１０〜４０と通信するための通信インタフェースであり、例えば、以下の各機能(f53-1)〜(f53-3)をもっている。

【0095】

(f53-1) 鍵生成装置１０から受けた自装置５０の秘密鍵を秘密鍵記憶部５１に書き込む機能。

【0096】

(f53-2) 鍵生成装置１０から受けた自装置５０の公開鍵及び再暗号化鍵生成装置３０の公開鍵を一時データ記憶部５２に書き込む機能。

【0097】

(f53-3) 再暗号化装置４０から受けた再暗号化データを復号処理部５４に送出する機能。

【0098】

復号処理部５４は、例えば、以下の各機能(f54-1)〜(f54-3)をもっている。

【0099】

(f54-1) 再暗号化装置４０から再暗号文データを受けると、秘密鍵記憶部５１から読み出した当該復号装置５０の秘密鍵（第２ユーザ装置の第２秘密鍵）に基づいて、当該再暗号文データを復号処理することにより、平文データを得る機能。

【0100】

(f54-2) 得られた平文データを一時データ記憶部５２に書き込む機能。

【0101】

制御部５６は、図６に示す動作を実行するように、各部５１〜５４を制御する機能をもっている。

【0102】

次に、以上のように構成された再暗号化システムの動作を図２乃至図６のシーケンス図を用いて説明する。

【0103】

また、以下の動作は（１）鍵セットアップ処理、（２）暗号化処理、（３）再暗号化鍵生成処理、（４）再暗号化処理、（５）復号処理の手順で実行される場合を例に挙げて述べる。但し、以下の動作は、必ずしも上記手順で処理を実行しなくてもよい。例えば、再暗号化鍵生成は、暗号化処理の前に実行されてもよい。また、再暗号化処理が実行されずに、暗号文データが復号されてもよい。

【0104】

（１）鍵セットアップ処理は、鍵生成装置１０により、図２及び以下の各ステップＳＴ１〜ＳＴ１２に示すように実行される。

【0105】

始めに、鍵生成装置１０の公開パラメータ生成部１３は、公開パラメータ（ｐ，λ，Ｇ，Ｇ_T，ｇ，ｇ₁，ｇ₂，ｕ，ｖ，

【数1】

【0106】

）を生成する、又は外部から入手する（ＳＴ１）。具体的には、公開パラメータ生成部１３は、予め鍵パラメータ記憶部１１に記憶したセキュリティパラメータλに基づいて、素数位数p＞２^λを満たす双線型写像群(bilinear map groups)（Ｇ，Ｇ_T）、Ｇの元ｇ，ｇ₁，ｇ₂，ｕ，ｖ、強偽造不可能性を満たす使い捨て署名（one-time signature）アルゴリズム

【数2】

【0107】

を生成する。なお、Ｚ_p^＊はＺ_pかつpと互いに素な整数の集合（＝（Ｚ/pＺ）^＊）であり、素数pに対する乗法群Ｚ_p^＊と呼んでもよい。Ｚ_pは０以上p未満の整数の集合（＝（Ｚ/pＺ）である。そして、「元」（げん）とは、数学的な意味を持つ用語であり、要素とも呼ばれ、複数の「もの」で構成されている集合の中において、集合を構成している個々のものを指す。また、使い捨て署名アルゴリズム

【数3】

【0108】

使い捨て署名については、A. Menezes, P. van Oorschot, S. Vanstone, “Handbook of Applied Cryptography”, CRC Press, (1996) pp.462-471, (1996)に詳しい。

【0109】

また、双線型写像（ｅと表記する）とは、ｅ：Ｇ×Ｇ→Ｇ_Tとなる写像であり、以下の３つの性質を満たす。

【0110】

１．任意の（ｇ，ｈ）∈Ｇ×Ｇ及びａ，ｂ∈Ｚについて、ｅ（ｇ^ａ，ｈ^ｂ）＝ｅ（ｇ，ｈ）^ａｂが成り立つ。ここで、Ｚとは整数の集合である。

【0111】

２．任意の（ｇ，ｈ）∈Ｇ×Ｇについて、ｅ（ｇ，ｈ）が計算可能である。

【0112】

３．ｇ，ｈ≠１_Gである場合は常にｅ（ｇ，ｈ）≠１_GTが成り立つ。ここで、１_GとはＧの単位元であり、１_GTとはＧ_Tの単位元である。

【0113】

また、双線型写像群(bilinear map groups)（Ｇ，Ｇ_Tと表記する）とは、双線型写像ｅ：Ｇ×Ｇ→Ｇ_Tが存在する素数位数ｐの群である。上記の定義は、Ｇの元ｇ，ｇ₁，ｇ₂について、ｇ₁＝ｇ^α、ｇ₂＝ｇ^βとすると、次式が成り立つことも意味する（但し、α，βは、Ｇの元ｇ，ｇ₁，ｇ₂に関するベキ指数である。）。

【0114】

ｅ（ｇ₁ｇ₂，ｇ）＝ｅ（ｇ，ｇ₁ｇ₂）＝ｅ（ｇ，ｇ^α・ｇ^β）＝ｅ（ｇ，ｇ^α＋β）＝ｅ（ｇ，ｇ）^α＋β＝ｅ（ｇ，ｇ）^α・ｅ（ｇ，ｇ）^β
なお、Ｇの複数の元ｇ，ｇ₁，ｇ₂は、予め定められた複数のシステム固定値となっている。複数のシステム固定値としては、双線型写像群Ｇの３つの元に限らず、Ｇの２つ又は４つ以上といった複数の元が適宜使用可能となっている。また、「システム固定値」の語は、「固定値」、「元」又は「システムパラメータ」などと読み替えてもよい。この複数のシステム固定値は、双線型写像が存在する素数位数の群である双線型写像群の複数の元である。

【0115】

また、本明細書では、Ｇ、Ｇ_Tをともに乗法群と想定した記法を採用しているが、これに限らず、Ｇ、Ｇ_Tそれぞれについて、加法群と想定した記法で表すことも可能である。つまり、例えば、Ｇを加法群、Ｇ_Tを乗法群として表現しても良い。また、双線型写像として、双線型写像群Ｇ₁、Ｇ₂、Ｇ_T（Ｇ₁とＧ₂は異なる群である）について、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tとなる写像を用いても良い。これらは他の実施形態においても同様である。

【0116】

続いて、公開パラメータ生成部１３は、生成した公開パラメータを一時データ記憶部１２に書き込む。鍵生成装置１０は、一時データ記憶部１２内の公開パラメータｐ，λ，Ｇ，Ｇ_T，ｇ，ｇ₁，ｇ₂，ｕ，ｖ，Sig）を公開する（ＳＴ２）。なお、ステップＳＴ１を実行する前に公開パラメータが既に公開されていた場合、その公開パラメータを一時データ記憶部１２に書き込み、ステップＳＴ１及びステップＳＴ２をスキップしても良い。

【0117】

また、公開鍵・秘密鍵生成部１４は、再暗号化鍵生成装置３０の識別情報をｉとしたとき、再暗号化鍵生成装置３０の秘密鍵ｘ_ｉ，ｙ_ｉ，ｚ_ｉ∈Ｚ_p^＊を生成し、この秘密鍵ｓｋ_ｉ＝（ｘ_ｉ，ｙ_ｉ，ｚ_ｉ）を用いて再暗号化鍵生成装置３０の公開鍵

【数4】

【0118】

である。

【0119】

続いて、公開鍵・秘密鍵生成部１４は、生成した公開鍵・秘密鍵のペアを一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｓｋ_ｉを再暗号化鍵生成装置３０に送信する（ＳＴ８）。鍵生成装置１０は、一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵ｐｋ_ｉを公開する（ＳＴ９）。

【0120】

また同様に、公開鍵・秘密鍵生成部１４は、復号装置５０の識別情報をｊとしたとき、復号装置５０の秘密鍵ｓｋ_ｊ＝（ｘ_ｊ，ｙ_ｊ，ｚ_ｊ）を生成し、この秘密鍵ｓｋ_jを用いて復号装置５０の公開鍵

【数5】

【0121】

である。

【0122】

続いて、公開鍵・秘密鍵生成部１４は、生成した公開鍵・秘密鍵のペアを一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｓｋ_jを復号装置５０に送信する（ＳＴ１１）。鍵生成装置１０は、一時データ記憶部１２内の復号装置５０の公開鍵ｐｋ_jを公開する（ＳＴ１２）。また、所望により、暗号化装置２０の秘密鍵ｓｋ_h及び公開鍵ｐｋ_hについても各ステップＳＴ１０〜ＳＴ１２と同様の処理を実行して暗号化装置２０に秘密鍵ｓｋ_hを送信し、公開鍵ｐｋＸ_hを公開してもよい。

【0123】

以上により、鍵セットアップ処理が完了する。以後、各装置２０，３０，４０，５０では、各ステップＳＴ２，ＳＴ６，ＳＴ９，ＳＴ１２で公開された公開パラメータ及び公開鍵を適宜、取得して利用することができる。

【0124】

（２）暗号化処理は、暗号化装置２０により、図３及び以下の各ステップＳＴ２１〜ＳＴ２４に示すように実行される。

【0125】

すなわち、暗号化装置２０の暗号化パラメータ生成部２３は、公開パラメータにおけるセキュリティパラメータλ及び鍵ペア生成機能

【数6】

【0126】

を生成し（ＳＴ２１）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0127】

また、暗号化パラメータ生成部２３は、乱数ｒ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0128】

暗号文生成部２４は、この乱数ｒ及び再暗号化鍵生成装置３０の公開鍵ｐｋ_ｉを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_3，Ｃ₄を生成する（ＳＴ２２）。

【数7】

【0129】

しかる後、暗号文生成部２４は、上記全ての暗号化データＣ₁〜Ｃ₄と使い捨て署名σとを含む暗号文データＣ_i＝（Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃，Ｃ₄，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。なお、暗号文データＣ_i＝（Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃，Ｃ₄，σ）は、検証を省略する場合、復号に用いない検証用データ（Ｃ₁，Ｃ₄，σ）を省略して、Ｃ_i＝（Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃）としてもよい。この場合、検証用データ（Ｃ₁，Ｃ₄，σ）を生成する処理も省略される。

【0130】

いずれにしても通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_iを再暗号化装置４０に送信する（ＳＴ２４）。

【0131】

以上により、暗号化処理が完了する。

【0132】

なお、本実施形態においては、上述したように（また後述するように）検証を省略したり、検証用データの生成を省略したりしてもよいが、これは後述する実施形態や変形例においても同様である。

【0133】

（３）再暗号化鍵生成処理は、再暗号化鍵生成装置３０により、図４及び以下の各ステップＳＴ３１〜ＳＴ３３に示すように実行される。

【0134】

すなわち、再暗号化鍵生成装置３０の通信部３３は、制御部３５に制御されて、鍵生成装置１０から公開された復号装置５０の公開鍵ｐｋ_jを取得して一時データ記憶部３２に書き込む（ＳＴ３１）。また、通信部３３は、前述したステップＳＴ５のとき、再暗号化鍵生成装置３０の秘密鍵ｓｋ_iを鍵生成装置１０から受信して秘密鍵記憶部３１に書き込んでいる。

【0135】

乱数生成部３６は、乱数θ∈Ｚ_p^＊を生成して再暗号化鍵生成部３４に送出する。

【0136】

再暗号化鍵生成部３４は、この乱数θ、秘密鍵記憶部３１内の再暗号化鍵生成装置３０の秘密鍵ｓｋ_i、及び一時データ記憶部３２内の復号装置５０の公開鍵ｐｋ_jに基づいて、再暗号化鍵Ｒ_ijを次式に示すように生成する（ＳＴ３２）。

【数8】

【0137】

である。なお、上式では、ｇ₁＝ｇ^α，ｇ₂＝ｇ^βと書き替えて表記している。

【0138】

しかる後、再暗号化鍵生成部３４は、生成した再暗号化鍵Ｒ_ijを一時データ記憶部３２に書き込む。通信部３３は、制御部３５に制御されて、一時データ記憶部３２内の再暗号化鍵Ｒ_ijを再暗号化装置４０に送信する（ＳＴ３３）。

【0139】

以上により、再暗号化鍵生成処理が完了する。

【0140】

（４）再暗号化処理は、再暗号化装置４０により、図５及び以下の各ステップＳＴ４１〜ＳＴ４３に示すように実行される。

【0141】

再暗号化装置４０の通信部４３は、ステップＳＴ２４で送信された暗号文データＣ_iと、ステップＳＴ３３で送信された再暗号化鍵Ｒ_ijとをそれぞれ一時データ記憶部４２に書き込む。

【0142】

再暗号化処理部４４は、公開パラメータと次の検証式を用い、一時データ記憶部４２内の暗号文データＣ_iを検証する（ＳＴ４１）。

【数9】

【0143】

ここで、上記５つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0144】

検証が成功した場合、再暗号化パラメータ生成部４５は、３つの乱数ｓ，ｔ，ｋ∈Ｚ_p^＊を生成して再暗号化処理部４４に送出する。

【0145】

再暗号化処理部４４は、これらの乱数ｓ，ｔ，ｋ、一時データ記憶部４２内の暗号文データＣ_i、及び一時データ記憶部４２内の再暗号化鍵Ｒ_ijを用いて、次式に示すように、再暗号化データＣ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Zを生成する（ＳＴ４２）。

【数10】

【0146】

ステップＳＴ４２の終了後、再暗号化処理部４４は、上記全ての暗号化データ再暗号化データＣ_2X^’〜Ｃ_5Zを、暗号文データＣ_i内の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1と置換して再暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄，σ）を生成し、得られた再暗号文データＣ_jを一時データ記憶部４２に書き込む。なお、再暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄，σ）は、検証を省略する場合、復号に用いない検証用データ（Ｃ₁，Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’，Ｃ₂^’’’，Ｃ₄，σ）を省略して、Ｃ_j＝（Ｃ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃）としてもよい。この場合、検証用データ（Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’，Ｃ₂^’’’）を生成する処理も省略される。

【0147】

いずれにしても通信部４３は、制御部４７に制御されて一時データ記憶部４２内の再暗号文データＣ_jを復号装置５０に送信する（ＳＴ４３）。

【0148】

以上により、再暗号化処理が完了する。

【0149】

（５）復号処理は、復号装置５０により、図６及び以下のステップＳＴ５１及びＳＴ５２に示すように実行される。

【0150】

すなわち、復号装置５０の通信部５３は、ステップＳＴ４３で送信された再暗号文データＣjを受信して一時データ記憶部５２に書き込む。

【0151】

復号処理部５４は、公開パラメータ及び自装置５０の公開鍵ｐｋ_jと次の検証式を用い、一時データ記憶部５２内の再暗号文データＣ_jを検証する（ＳＴ５１）。

【数11】

【0152】

ここで、上記７つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0153】

検証が成功した場合、復号処理部５４は、自装置の秘密鍵ｓｋ_jを用いて、次式に示すように、再暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２）。

【数12】

【0154】

なお、復号処理部５４は、ステップＳＴ５１の検証処理を省略し、ステップＳＴ５２の復号処理を行ってもよい。また、再暗号文データＣ_jに検証用データが含まれていない場合も、復号処理部５４は、ステップＳＴ５１の検証処理を省略し、ステップＳＴ５２の復号処理を行う。また、上記ｍはメッセージそのものではなく、鍵であってもよい。例えば、共通鍵暗号における共通鍵ｋｅｙについて、ｍ＝ｋｅｙとして、ｍをｋｅｙに置き換えてもよい。この場合、共通鍵ｋｅｙを用いてメッセージを暗号化した暗号文を上記暗号文データや再暗号文データに付加すればよい。これらは後述する実施形態や変形例においても同様である。

【0155】

なお、本実施形態は、適宜、処理の順番を変更してもよい。例えば、復号処理と暗号文検証処理の順番を変更してもよい。同様に、再暗号化鍵生成処理では暗号化処理を行なう際のパラメータ―詳しくは乱数―が不要であるため、再暗号化鍵生成処理の順番を暗号化処理よりも前に変更してもよい。

【0156】

上述したように本実施形態によれば、再暗号化鍵Ｒ_ijを乱数θに基づいて生成する構成により、サーバとユーザが結託した場合でも、復号権限を移譲元の許可なく再移譲されることを防ぐことができる。また、これにより、サーバに対して極端な信頼を求める必要が無くなるため、ユーザがより安心して利用できるファイル共有システムを提供することができる。

【0157】

［変形例１］
第１の実施形態では、暗号化装置２０において暗号文データを生成し、再暗号化装置４０において暗号文データを再暗号化して再暗号文データを生成し、復号装置５０において再暗号文データを復号する例を挙げた。しかしながら、再暗号化せずに暗号文データを復号する形態に、第１の実施形態を変更しても良い。この場合、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理は、第１の実施形態における鍵セットアップ処理と同じである。以下、本変形例における暗号化処理及び復号処理について説明する。

【0158】

本変形例における暗号化処理と、第１の実施形態における暗号化処理との違いは、最終ステップのみである。前述の記号を流用して説明をするために、便宜上、復号装置５０の識別情報をｉとする。この場合、暗号化装置２０の通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_ｉを復号装置５０に送信する（ＳＴ２４’）。

【0159】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_iをステップＳＴ４１と同様に検証する。検証が成功した場合、復号装置５０は、秘密鍵ｓｋ_ｉを用いて、次式のように暗号文データＣ_iを復号し、メッセージｍを得る。

【数13】

【0160】

［変形例２］
変形例１の他に、以下に説明するように、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合も、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理、復号処理は、第１の実施形態における鍵セットアップ処理、復号処理とそれぞれ同じである。以下、本変形例における暗号化処理及び復号処理について説明する。なお、本変形例においては、復号装置５０の識別情報をｊとする。

【0161】

暗号化装置２０の暗号化パラメータ生成部２３は、ステップＳＴ２１と同様に（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１’）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0162】

また、暗号化パラメータ生成部２３は、５つの乱数ｒ，ｓ，ｔ，ｋ，θ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0163】

暗号文生成部２４は、これらの乱数ｒ，ｓ，ｔ，ｋ，θ及び復号装置５０の公開鍵ｐｋ_ｊを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄を生成する（ＳＴ２２’）。

【数14】

【0164】

ステップＳＴ２２’の終了後、暗号文生成部２４は、ステップＳＴ２３と同様に、使い捨て署名σを生成する。

【0165】

しかる後、暗号文生成部２４は、上記全ての暗号化データＣ₁〜Ｃ₄と使い捨て署名σとを含む暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0166】

通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_ｊを復号装置５０に送信する。

【0167】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_ｊをステップＳＴ５１と同様に検証する。検証が成功した場合、復号装置５０は、秘密鍵ｓｋ_ｊを用いて、次式のように暗号文データＣ_ｊを復号し、メッセージｍを得る。

【数15】

【0168】

［変形例３］
第１の実施形態では、公開パラメータにシステム固定値の３つの元ｇ，ｇ₁，ｇ₂が含まれる例を説明したが、これに限らず、元ｇ₂を生成せず、公開パラメータに元ｇ₂を含めなくてもよい。この場合、第１の実施形態において、ｇ₂＝ｇとして、ｇ₂をｇに置き換えればよい。これは後述する実施形態や変形例においても同様である。[
［変形例４］
第１の実施形態では、公開パラメータにシステム固定値の３つの元ｇ，ｇ₁，ｇ₂が含まれる例を説明したが、これに限らず、システム固定値の４つ以上の元を含めてもよい。例えば、公開パラメータに４つの元ｇ，ｇ₁，ｇ₂，ｇ₃を含める場合、第１の実施形態において、ｇ₂＝ｇ₂ｇ₃として、ｇ₂をｇ₂ｇ₃に置き換えればよい。また、例えば、公開パラメータに５つの元ｇ，ｇ₁，ｇ₂，ｇ₃，ｇ₄を含める場合、第１の実施形態において、ｇ₁＝ｇ₁ｇ₃、ｇ₂＝ｇ₂ｇ₄として、ｇ₁をｇ₁ｇ₃に、ｇ₂をｇ₂ｇ₄にそれぞれ置き換えればよい。これは後述する実施形態や変形例においても同様である。

【0169】

（第２の実施形態）
本実施形態では、再暗号化鍵をある期間毎に更新する例を説明する。期間を表すパラメータとして、時間パラメータＬを用いる。鍵セットアップ処理、暗号化処理、再暗号化鍵生成処理、再暗号化処理、及び復号処理の内、暗号化処理、再暗号化鍵生成処理、及び再暗号化処理において時間パラメータが用いられる。例えば、ある期間ｔ₁において暗号化処理を行う場合、Ｌ＝ｔ₁として後述する暗号化処理を行い、次の期間ｔ₂において暗号化処理を行う場合、Ｌ＝ｔ₂として後述する暗号化処理を行う、というように時間パラメータを用いる。以下、本実施形態における鍵セットアップ処理、暗号化処理、再暗号化鍵生成処理、再暗号化処理、及び復号処理について説明する。なお、上述の第１の実施の形態と共通する部分については、同一の符号を使用して説明したり、説明を省略したりする。

【0170】

（１）鍵セットアップ処理
公開パラメータは、第１の実施形態と同じである。公開鍵・秘密鍵生成部１４は、再暗号化鍵生成装置３０の識別情報をｉとしたとき、再暗号化鍵生成装置３０の秘密鍵ｘ_ｉ，ｙ_ｉ，ｚ_ｉ，ｗ_ｉ∈Ｚ_p^＊を生成し、この秘密鍵ｓｋ_ｉ＝（ｘ_ｉ，ｙ_ｉ，ｚ_ｉ，ｗ_ｉ）を用いて再暗号化鍵生成装置３０の公開鍵

【数16】

【0171】

である。

【0172】

また同様に、公開鍵・秘密鍵生成部１４は、復号装置５０の識別情報をｊとしたとき、復号装置５０の秘密鍵ｓｋ_ｊ＝（ｘ_ｊ，ｙ_ｊ，ｚ_ｊ，ｗ_ｊ）を生成し、この秘密鍵ｓｋ_jを用いて復号装置５０の公開鍵

【数17】

【0173】

である。

【0174】

（２）暗号化処理
第１の実施形態と同様に、暗号化装置２０の暗号化パラメータ生成部２３は、（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0175】

また、暗号化パラメータ生成部２３は、乱数ｒ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0176】

暗号文生成部２４は、この乱数ｒ、再暗号化鍵生成装置３０の公開鍵ｐｋ_ｉ、及び時間パラメータＬを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ_3，Ｃ₄を生成する（ＳＴ２２）。

【数18】

【0177】

しかる後、暗号文生成部２４は、時間パラメータＬ、上記全ての暗号化データＣ₁〜Ｃ₄、及び使い捨て署名σを含む暗号文データＣ_i＝（Ｌ，Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ_3，Ｃ₄，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0178】

（３）再暗号化鍵生成処理
乱数生成部３６は、３つの乱数θ，δ_ｘ，δ_ｙ∈Ｚ_p^＊を生成して再暗号化鍵生成部３４に送出する。

【0179】

再暗号化鍵生成部３４は、これらの乱数θ，δ_ｘ，δ_ｙ、秘密鍵記憶部３１内の再暗号化鍵生成装置３０の秘密鍵ｓｋ_i、一時データ記憶部３２内の復号装置５０の公開鍵ｐｋ_j、及び時間パラメータＬを用いて、再暗号化鍵Ｒ_ijLを次式に示すように生成する（ＳＴ３２）。

【数19】

【0180】

である。なお、上式では、ｇ₁＝ｇ^α，ｇ₂＝ｇ^βと書き替えて表記している。

【0181】

（４）再暗号化処理
再暗号化処理部４４は、公開パラメータ、時間パラメータＬ、及び次の検証式を用い、一時データ記憶部４２内の暗号文データＣ_iを検証する（ＳＴ４１）。

【数20】

【0182】

ここで、上記６つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0183】

検証が成功した場合、再暗号化パラメータ生成部４５は、４つの乱数ｓ，ｔ，ｋ，ｈ∈Ｚ_p^＊を生成して再暗号化処理部４４に送出する。

【0184】

再暗号化処理部４４は、これらの乱数ｓ，ｔ，ｋ，ｈ、一時データ記憶部４２内の暗号文データＣ_i、一時データ記憶部４２内の再暗号化鍵Ｒ_ijL、及び時間パラメータＬを用いて、次式に示すように、再暗号化データＣ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’， Ｃ_2F^’，Ｃ_2F^’’ ，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FYを生成する（ＳＴ４２）。

【数21】

【0185】

ステップＳＴ４２の終了後、再暗号化処理部４４は、時間パラメータＬ、上記全ての暗号化データ再暗号化データＣ_2X^’〜 Ｃ_5FYを、暗号文データＣ_i内の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2Fと置換して再暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’， Ｃ_2F^’，Ｃ_2F^’’ ，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄，σ）を生成し、得られた暗号文データを一時データ記憶部４２に書き込む。

【0186】

（５）復号処理
復号処理部５４は、公開パラメータ及び自装置５０の公開鍵ｐｋ_jと次の検証式を用い、一時データ記憶部５２内の再暗号文データＣ_jを検証する（ＳＴ５１）。

【数22】

【0187】

ここで、上記８つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0188】

検証が成功した場合、復号処理部５４は、自装置の秘密鍵ｓｋ_jを用いて、次式に示すように、再暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２）。

【数23】

【0189】

なお、本実施形態は、適宜、処理の順番を変更してもよい。例えば、復号処理と暗号文検証処理の順番を変更してもよい。同様に、再暗号化鍵生成処理の順番を暗号化処理よりも前に変更してもよい。

【0190】

上述したように本実施形態によれば、再暗号化鍵Ｒ_ijLを乱数θ，δ_ｘ，δ_ｙ及び時間パラメータＬに基づいて生成する構成により、第１の実施形態の効果に加え、復号権限を移譲するか否かを期間毎に決めることができ、よりきめ細かいアクセス制御が可能となる。また、これにより、ある期間においてユーザＡ向けの暗号文についての復号権限を一度ユーザＢへ移譲した後でも、次の期間についてはユーザＡ向けの暗号文についての復号権限をユーザＢに与えない、つまり、（ユーザＡ向けの暗号文についての）ユーザＢの復号権限を無効化することが可能となるため、利便性がより向上したファイル共有システムを提供することができる。

【0191】

［変形例５］
第２の実施形態では、暗号化装置２０において暗号文データを生成し、再暗号化装置４０において暗号文データを再暗号化して再暗号文データを生成し、復号装置５０において再暗号文データを復号する例を挙げたが、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理は、第２の実施形態における鍵セットアップ処理と同じである。以下、本変形例における暗号化処理及び復号処理について説明する。

【0192】

本変形例における暗号化処理と、第２の実施形態における暗号化処理との違いは、最終ステップのみである。前述の記号を流用して説明をするために、便宜上、復号装置５０の識別情報をｉとする。この場合、暗号化装置２０の通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_ｉを復号装置５０に送信する（ＳＴ２４’）。

【0193】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_iをステップＳＴ４１と同様に検証する。検証が成功した場合、復号装置５０は、秘密鍵ｓｋ_ｉを用いて、次式のように暗号文データＣ_iを復号し、メッセージｍを得る。

【数24】

【0194】

［変形例６］
変形例５の他に、以下に説明するように、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合も、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理、復号処理は、第２の実施形態における鍵セットアップ処理、復号処理とそれぞれ同じである。以下、本変形例における暗号化処理及び復号処理について説明する。なお、本変形例においては、復号装置５０の識別情報をｊとする。

【0195】

暗号化装置２０の暗号化パラメータ生成部２３は、ステップＳＴ２１と同様に（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１’）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0196】

また、暗号化パラメータ生成部２３は、８つの乱数ｒ，ｓ，ｔ，ｋ，ｈ，θ，δ_ｘ，δ_ｙ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0197】

暗号文生成部２４は、これらの乱数ｒ，ｓ，ｔ，ｋ，ｈ，θ，δ_ｘ，δ_ｙ、復号装置５０の公開鍵ｐｋ_ｊ、及び時間パラメータＬを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’， Ｃ_2F^’，Ｃ_2F^’’ ，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄を生成する（ＳＴ２２’）。

【数25】

【0198】

ステップＳＴ２２’の終了後、暗号文生成部２４は、ステップＳＴ２３と同様に、使い捨て署名σを生成する。

【0199】

しかる後、暗号文生成部２４は、時間パラメータＬ、上記全ての暗号化データＣ₁〜Ｃ₄と使い捨て署名σとを含む暗号文データＣ_j＝（Ｌ，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’， Ｃ_2F^’，Ｃ_2F^’’ ，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0200】

通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_ｊを復号装置５０に送信する。

【0201】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_ｊをステップＳＴ５１と同様に検証する。検証が成功した場合、復号装置５０は、秘密鍵ｓｋ_ｊを用いて、次式のように暗号文データＣ_ｊを復号し、メッセージｍを得る。

【数26】

【0202】

以上説明した少なくとも一つの実施形態によれば、再暗号化鍵を乱数に基づいて生成する構成により、サーバとユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止することができる。

【0203】

なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

【0204】

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

【0205】

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

【0206】

さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

【0207】

また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

【0208】

なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

【0209】

また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

【0210】

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】