特許 6057150 公開鍵暗号システム、受信装置、公開鍵暗号方法、プログラム、及び記録媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6057150

(24)【登録日】2016年12月16日

(45)【発行日】2017年1月11日

(54)【発明の名称】公開鍵暗号システム、受信装置、公開鍵暗号方法、プログラム、及び記録媒体

(51)【国際特許分類】

   H04L 9/30 20060101AFI20161226BHJP

   H04L 9/32 20060101ALI20161226BHJP

【ＦＩ】

   H04L9/00 663Z

   H04L9/00 675B

【請求項の数】7

【全頁数】18

(21)【出願番号】特願2012-168853(P2012-168853)

(22)【出願日】2012年7月30日

(65)【公開番号】特開2014-26238(P2014-26238A)

(43)【公開日】2014年2月6日

【審査請求日】2015年6月19日

【新規性喪失の例外の表示】特許法第３０条第２項適用 （発行所）一般社団法人電子情報通信学会、（刊行物名）２０１２年 暗号と情報セキュリティシンポジウム予稿集 ３Ａ ３−３ 第１頁〜第４頁、（発行日）平成２４年１月３０日、において発表 一般社団法人電子情報通信学会主催の「２０１２年 暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０１２）」において、平成２４年２月１日に発表

【前置審査】

(73)【特許権者】

【識別番号】597043785

【氏名又は名称】満保 雅浩

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(72)【発明者】

【氏名】満保 雅浩

【審査官】 中里 裕正

(56)【参考文献】

【文献】 特表２００５−５００７４０（ＪＰ，Ａ）

【文献】 特表２００５−５３７７１１（ＪＰ，Ａ）

【文献】 Canetti, R., Halevi, S. and Katz, J.，Chosen-Ciphertext Security from Identity-Based Encryption，Lecture Notes in Computer Science，２００４年，Vol.3027，,p.207-222

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／３０

Ｈ０４Ｌ ９／３２

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

送信装置と受信装置とを用いて構成され、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムであって、
前記送信装置及び前記受信装置に設けられ、共通パラメータ及び復号者の署名スキーム用のパラメータを設定する送信者セットアップ部及び受信者セットアップ部と、
前記受信装置に設けられ、署名用秘密鍵及び署名用公開鍵からなる鍵ペアを、前記復号者の署名スキーム用のパラメータに基づいて生成する署名鍵生成部を有し、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成する鍵生成部と、
前記送信装置に設けられ、送信者によって任意に選択された情報を前記添付情報として取得し、前記受信者の公開鍵及び前記添付情報を用いて、前記本体情報を暗号文に暗号化する暗号化部と、
前記受信装置に設けられ、前記署名用秘密鍵を用いて前記添付情報への署名を生成する署名部を有し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて前記暗号文を正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力する署名復号部と、
前記添付情報を表示し、その後に、ユーザによる操作を受け付けるユーザインタフェース部と、を備え、
前記署名復号部は、前記ユーザによる特定の操作が受け付けられた場合のみ、前記暗号化本体情報を前記本体情報に復号する
公開鍵暗号システム。

【請求項2】

前記送信者セットアップ部及び前記受信者セットアップ部は、前記復号者の署名スキーム用のパラメータの一部として双線形性を有するペアリング演算を設定し、
前記暗号化部は、前記添付情報と前記署名用公開鍵とに前記ペアリング演算を施した値を前記乱数でべき乗して得られる値を送信者共通鍵として生成し、前記送信者共通鍵を用いて前記本体情報を暗号化本体情報に暗号化し、前記暗号化本体情報、前記乱数に対応する共通鍵生成用の情報、及び前記添付情報を、前記受信装置へ送信し、
前記署名復号部は、前記暗号化本体情報、前記乱数に対応する共通鍵生成用の情報、及び前記添付情報を、前記送信装置から受信し、前記署名用秘密鍵による前記添付情報への署名と前記乱数に対応する共通鍵生成用の情報とに前記ペアリング演算を施して得られる値を前記受信者共通鍵として生成し、前記受信者共通鍵を用いて、前記暗号化本体情報を前記本体情報に復号する、
請求項１に記載の公開鍵暗号システム。

【請求項3】

前記鍵生成部は、受信者の暗号化用の秘密鍵、公開鍵からなる鍵ペアを生成し、
前記公開鍵暗号システムは、前記署名用秘密鍵及び前記署名用公開鍵からなる鍵ペアとは別に、前記受信者の暗号化用の秘密鍵、公開鍵からなる鍵ペアを用いた処理を行う
請求項１に記載の公開鍵暗号システム。

【請求項4】

本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムを、送信装置とともに構成する受信装置であって、
共通パラメータ及び復号者の署名スキーム用のパラメータを前記送信装置と共有するセットアップ部と、
署名用秘密鍵及び署名用公開鍵からなる鍵ペアを、前記復号者の署名スキーム用のパラメータに基づいて生成する署名鍵生成部を有し、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成する鍵生成部と、
前記署名用秘密鍵を用いて前記添付情報への署名を生成する署名部を有し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて前記本体情報から暗号化された暗号化本体情報を、前記受信者の秘密鍵を用いて正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力する署名復号部と、
前記添付情報を表示し、その後に、ユーザによる操作を受け付けるユーザインタフェース部と、を備え、
前記署名復号部は、前記ユーザによる特定の操作が受け付けられた場合のみ、前記暗号化本体情報を前記本体情報に復号する、
受信装置。

【請求項5】

本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号方法であって、
前記公開鍵暗号方法は、送信装置と受信装置とを用いて構成される公開鍵暗号システムにおいて実行され、
前記送信装置は、送信者セットアップ部と、暗号化部と、を有し、
前記受信装置は、受信者セットアップ部と、鍵生成部と、署名復号部と、ユーザインタフェース部と、を有し、
前記送信者セットアップ部及び前記受信者セットアップ部において、共通パラメータ及び復号者の署名スキーム用のパラメータを設定するステップと、
前記鍵生成部において、署名用秘密鍵及び署名用公開鍵からなる鍵ペアを、前記復号者の署名スキーム用のパラメータに基づいて生成し、かつ、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成するステップと、
前記暗号化部において、送信者によって任意に選択された情報を前記添付情報として取得し、前記受信者の公開鍵及び前記添付情報を用いて、前記本体情報を暗号文に暗号化するステップと、
前記署名復号部において、前記署名用秘密鍵を用いて前記添付情報への署名を生成し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて前記暗号文を正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力するステップと、
前記ユーザインタフェース部において、前記添付情報を表示し、その後に、ユーザによる操作を受け付けるステップと、を含み、
前記ユーザによる特定の操作が受け付けられた場合のみ、前記署名復号部において、前記暗号化本体情報を前記本体情報に復号する、
公開鍵暗号方法。

【請求項6】

本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムで用いられるコンピュータ実行可能なプログラムであって、
前記公開鍵暗号システムは、各々がコンピュータを有する送信装置と受信装置とを用いて構成され、
前記プログラムは、
共通パラメータ及び復号者の署名スキーム用のパラメータを設定するステップを、前記送信装置のコンピュータ及び前記受信装置のコンピュータに実行させ、
署名用秘密鍵及び署名用公開鍵からなる鍵ペアを前記復号者の署名スキーム用のパラメータに基づいて生成し、かつ、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成するステップを、前記受信装置のコンピュータに実行させ、
送信者によって任意に選択された情報を前記添付情報として取得し、前記受信者の公開鍵及び前記添付情報を用いて、前記本体情報を暗号文に暗号化するステップを、前記送信装置のコンピュータに実行させ、
前記署名用秘密鍵を用いて前記添付情報への署名を生成し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて、前記暗号文を正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力するステップと、
前記添付情報を表示し、その後に、ユーザによる操作を受け付けるステップとを、前記受信装置のコンピュータに実行させ、
前記暗号化本体情報は、前記ユーザによる特定の操作が受け付けられた場合のみ、前記本体情報に復号される、
プログラム。

【請求項7】

コンピュータ読み取り可能な記録媒体であって、請求項６に記載のプログラムを記憶している記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、公開鍵暗号システム、送信装置、受信装置、公開鍵暗号方法、プログラム、及び記録媒体に関し、特に、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する技術に関する。

【背景技術】

【0002】

近年、公開鍵暗号に基づく暗号システム（以下、公開鍵暗号システム）が普及している。公開鍵暗号システムは、インターネットを介してソフトウェアや各種コンテンツを安全に配信し、またメールやウェブのデータを安全に伝達するために、広く利用されている。

【0003】

公開鍵暗号システムに関して、安全性や機能性をさらに向上するための種々の技術の検討が続けられている。一例として、非特許文献１及び特許文献１では、公開鍵暗号システムの一種であるＩＤ（ＩＤｅｎｔｉｔｙ）ベース暗号システムにおいて、安全性を低下させる要因となる鍵状態の問い合わせや鍵預託を排除するための公開鍵構造基盤（ＰＫＩ：Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ）が開示されている。

【0004】

特許文献１のＰＫＩにおいて、認証者は、認証者の秘密鍵による受信者の固有情報（例えば、受信者のＩＤや有効期限が含まれる）への署名を復号鍵として受信者へ提供するとともに、その復号鍵に対応する暗号鍵を送信者へ提供する。当該ＰＫＩによって提供される復号鍵、暗号鍵のペアと、従来から用いられる受信者秘密鍵、受信者公開鍵のペアとを併用して、メッセージを２重に暗号化及び復号することにより、鍵状態の問い合わせや鍵預託の必要がないＩＤベース暗号システムが実現される。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】特表２００５−５３７７１１号公報

【非特許文献】

【0006】

【非特許文献1】Ｃｒａｉｇ Ｇｅｎｔｒｙ，“Ｃｅｒｔｉｆｉｃａｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｔｈｅ Ｃｅｒｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｐｒｏｂｌｅｍ，” Ｅ．Ｂｉｈａｍ （Ｅｄ．）：ＬＮＣＳ２６５６， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ −Ｅｕｒｏｃｒｙｐｔ ２００３， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ， ｐｐ．２７２−２９３， ２００３．

【発明の概要】

【発明が解決しようとする課題】

【0007】

公開鍵暗号システムの安全性や機能性の向上に向けた需要は、上記の他にも種々存在する。

【0008】

例えば、多くのソフトウェアパッケージは、使用前に、ユーザに使用許諾契約書への同意を求める機能を有している。そのような機能は、通常、ソフトウェアのインストール時に使用許諾契約書を表示してから、ユーザに同意ボタンを選択するように求めるといったユーザインタフェースによって実現される。

【0009】

しかしながら、そのようなユーザインタフェースのみでは、同意ボタンを選択したどのユーザにもソフトウェアの使用が許諾されてしまうため、ソフトウェアへのアクセスをユーザごとに制御することができない。そのため、ユーザによる使用許諾契約書への同意を前提として、ユーザごとにソフトウェアへのアクセスを制御しようとすれば、例えば、ベンダがソフトウェアパッケージを暗号化して配布し、ユーザから要求が受信された後に初めて、ベンダがそのユーザにパスワードを送信するといった、ベンダとユーザとの間の余分な通信が必要となる。

【0010】

そこで、本発明は、本体情報（例えばソフトウェアパッケージ）へのアクセスを前記本体情報に添付される添付情報（例えば、前記ソフトウェアパッケージに添付される使用許諾契約書）を用いて制御する公開鍵暗号システムにおいて、受信者による添付情報への同意と本体情報へのアクセスの制御とが、余分な通信を行うことなく保証される公開鍵暗号システム及び公開鍵暗号方法を提供する。

【課題を解決するための手段】

【0011】

上述の課題を解決するために、本開示における公開鍵暗号システムの１つの態様は、送信装置と受信装置とを用いて構成され、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムであって、前記送信装置及び前記受信装置に設けられ、共通パラメータ及び復号者の署名スキーム用のパラメータを設定する送信者セットアップ部及び受信者セットアップ部と、前記受信装置に設けられ、署名用秘密鍵及び署名用公開鍵からなる鍵ペアを、前記復号者の署名スキーム用のパラメータに基づいて生成する署名鍵生成部を有し、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成する鍵生成部と、前記送信装置に設けられ、送信者によって任意に選択された情報を前記添付情報として取得し、前記受信者の公開鍵及び前記添付情報を用いて、前記本体情報を暗号文に暗号化する暗号化部と、前記受信装置に設けられ、前記署名用秘密鍵を用いて、前記添付情報への署名を生成する署名部を有し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて、前記暗号文を正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力する署名復号部と、前記添付情報を表示し、その後に、ユーザによる操作を受け付けるユーザインタフェース部と、を備え、前記署名復号部は、前記ユーザによる特定の操作が受け付けられた場合のみ、前記暗号化本体情報を前記本体情報に復号する。

【発明の効果】

【0012】

本開示に係る公開鍵暗号システムによれば、前記ユーザに対して前記添付情報への注意を喚起した上で、前記受信装置において正当な署名用秘密鍵による前記添付情報への署名が行われた場合のみ（つまり、正当な受信者が前記添付情報に同意した場合のみ）、受信装置において正しい本体情報が得られるので、受信者による添付情報への同意と本体情報へのアクセスの制御とが、余分な通信を行うことなく保証される。

【図面の簡単な説明】

【0013】

【図1】図１は、本発明の実施の形態に係る公開鍵暗号システムの構成例を示す機能ブロック図である。

【図2】図２は、本発明の実施の形態に係る公開鍵暗号方法の一例を示すフローチャートである。

【図3】図３は、本発明の実施の形態に係る添付情報提示画面の一例を示す図である。

【発明を実施するための形態】

【0014】

上述の課題を解決するために、本開示における公開鍵暗号システムの１つの態様は、送信装置と受信装置とを用いて構成され、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムであって、前記送信装置及び前記受信装置に設けられ、共通パラメータ及び復号者の署名スキーム用のパラメータを設定する送信者セットアップ部及び受信者セットアップ部と、前記受信装置に設けられ、署名用秘密鍵及び署名用公開鍵からなる鍵ペアを、前記復号者の署名スキーム用のパラメータに基づいて生成する署名鍵生成部を有し、前記署名用秘密鍵を含む受信者の秘密鍵及び前記署名用公開鍵を含む受信者の公開鍵からなる鍵ペアを、前記共通パラメータ及び前記復号者の署名スキーム用のパラメータに基づいて生成する鍵生成部と、前記送信装置に設けられ、送信者によって任意に選択された情報を前記添付情報として取得し、前記受信者の公開鍵及び前記添付情報を用いて、前記本体情報を暗号文に暗号化する暗号化部と、前記受信装置に設けられ、前記署名用秘密鍵を用いて前記添付情報への署名を生成する署名部を有し、前記署名用公開鍵に基づいて前記署名が正当である場合に、前記署名を用いて、前記暗号文を正しい本体情報に復号し、前記署名が正当でない場合に、本体情報とは異なる値を出力する署名復号部と、前記添付情報を表示し、その後に、ユーザによる操作を受け付けるユーザインタフェース部と、を備え、前記署名復号部は、前記ユーザによる特定の操作が受け付けられた場合のみ、前記暗号化本体情報を前記本体情報に復号する。

【0015】

このような構成によれば、前記ユーザに対して前記添付情報への注意を喚起した上で、前記受信装置において正当な署名用秘密鍵による前記添付情報への署名が行われた場合のみ（つまり、正当な受信者が前記添付情報に同意した場合のみ）、受信装置において正しい本体情報が得られるので、受信者による添付情報への同意と本体情報へのアクセスの制御とが、余分な通信を行うことなく保証される。

【0016】

また、本発明の公開鍵暗号システムの１つの態様において、前記送信者セットアップ部及び前記受信者セットアップ部は、前記復号者の署名スキーム用のパラメータの一部として双線形性を有するペアリング演算を設定し、前記暗号化部は、前記添付情報と前記署名用公開鍵とに前記ペアリング演算を施した値を前記乱数でべき乗して得られる値を送信者共通鍵として生成し、前記送信者共通鍵を用いて前記本体情報を暗号化本体情報に暗号化し、前記暗号化本体情報、前記乱数に対応する共通鍵生成用の情報、及び前記添付情報を、前記受信装置へ送信し、前記署名復号部は、前記暗号化本体情報、前記乱数に対応する共通鍵生成用の情報、及び前記添付情報を、前記送信装置から受信し、前記署名用秘密鍵による前記添付情報への署名と前記乱数に対応する共通鍵生成用の情報とに前記ペアリング演算を施して得られる値を前記受信者共通鍵として生成し、前記受信者共通鍵を用いて、前記暗号化本体情報を前記本体情報に復号してもよい。

【0017】

このような構成によれば、前記署名復号を行うための公開鍵暗号システムを、ペアリング演算を用いて、具体的に構成することができる。

【0018】

また、本発明の公開鍵暗号システムの１つの態様において、前記鍵生成部は、受信者の暗号化用の秘密鍵、公開鍵からなる鍵ペアを生成し、前記公開鍵暗号システムは、前記署名用秘密鍵及び前記署名用公開鍵からなる鍵ペアとは別に、前記受信者の暗号化用の秘密鍵、公開鍵からなる鍵ペアを用いた処理を行ってもよい。

【0019】

このような構成によれば、正当な受信者が前記添付情報に施した署名が漏洩した場合に、該署名を入手した正当な受信者以外の者によって前記暗号化本体情報が復号されることを阻止できる。

【0022】

これらの全般的または具体的な態様は、システム、送信装置、受信装置、方法、集積回路、コンピュータプログラムまたは記録媒体で実現されてもよく、システム、送信装置、受信装置、方法、集積回路、コンピュータプログラムおよび記録媒体の任意な組み合わせで実現されてもよい。

【0023】

以下、本発明の一態様に係る公開鍵暗号システムについて、図面を参照しながら具体的に説明する。

【0024】

なお、以下で説明する実施の形態は、いずれも本発明の一具体例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本発明を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

【0025】

（実施の形態）
実施の形態では、本発明の基本的な考え方である署名復号スキームについて説明し、その後に、署名復号スキームの具体的な構成例について説明する。

【0026】

まず、本明細書で用いる基本的な概念について述べる。

【0027】

群Ｇ_１、Ｇ_２を、位数が素数ｑである２つの巡回群とする。なお、本明細書では、群Ｇ_１、Ｇ_２における演算を乗法的に記述するが、これは群Ｇ_１、Ｇ_２を乗法群に限定するものではない。群Ｇ_１、Ｇ_２には適した加法群を用いてもよい。

【0028】

（定義１）ペアリング
以下の性質を満たす写像＾ｅ：Ｇ_１×Ｇ_１→Ｇ_２をペアリング＾ｅと呼ぶ。なお、ペアリングは、通常ｅの上に＾を付した記号で表されるが、本明細書では表記の都合上、＾ｅと記す。

【0029】

・双線形性：任意のｘ，ｙ∈Ｇ_１及び任意のａ，ｂ∈整数について、＾ｅ（ｘ^ａ，ｙ^ｂ）＝＾ｅ（ｘ，ｙ）^ａｂ、
・非縮退性：あるｘ，ｙ∈Ｇ_１について、＾ｅ（ｘ，ｙ）≠１、
・計算可能性：任意のｘ，ｙ∈Ｇ_１について、＾ｅ（ｘ，ｙ）を計算するための効率的なアルゴリズムが存在する。

【0030】

（定義２）ＢＤＨ（Ｂｉｌｉｎｅａｒ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）パラメータジェネレータ
セキュリティパラメータｋ＞０に対し、位数が素数ｑである２つの巡回群Ｇ_１、Ｇ_２の記述、及びペアリング＾ｅ：Ｇ_１×Ｇ_１→Ｇ_２の記述を、ｋの多項式時間で出力する確率的アルゴリズムＩＧは、ＢＤＨパラメータジェネレータである。

【0031】

（定義３）ＢＤＨ（Ｂｉｌｉｎｅａｒ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）計算問題
与えられたｇ，ｇ^ａ，ｇ^ｂ，ｇ^ｃ∈Ｇ_１（ここで、ｇはＧ_１のランダムな生成元であり、ａ，ｂ，ｃ∈Ｚ_ｑもランダムに選ばれる）について、＾ｅ（ｇ，ｇ）^ａｂｃを計算すること。

【0032】

次に、署名復号スキームの定義を述べる。なお、以下の説明では、メッセージｍが本体情報の一例であり、条件Ｃｏｎｄが添付情報の一例である。本発明は、メッセージｍ、条件Ｃｏｎｄの具体的な内容を限定しないが、一例として、課題の欄で述べたように、メッセージｍはソフトウェアパッケージであり、条件Ｃｏｎｄは当該ソフトウェアパッケージに添付される使用許諾契約書であってもよい。

【0033】

署名復号スキームΓは、７つのアルゴリズム（Ｓｅｔｕｐ，ＫｅｙＧｅｎ，ＫｅｙＧｅｎＳｉｇ，Ｅｎｃｒｙｐｔ，Ｓｉｇｎｄｅｃｒｙｐｔ，Ｓｉｇｎ，Ｖｅｒｉ）から構成される。

【0034】

・（ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ）←Ｓｅｔｕｐ（１^ｋ）：
セットアップアルゴリズムＳｅｔｕｐは、セキュリティパラメータｋを入力に取り、共通パラメータｐａｒａｍ、及び復号者による署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇを出力する。

【0035】

・（ｓｋ_Ｒ，ｐｋ_Ｒ）←ＫｅｙＧｅｎ（ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ）：
受信者鍵生成アルゴリズムＫｅｙＧｅｎは、共通パラメータｐａｒａｍ、及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇを入力に取り、鍵ペア（ｓｋ_Ｒ，ｐｋ_Ｒ）を出力する。ここで、ｓｋ_Ｒ＝（ｓｋ_{Ｒ，ｅｎｃ}，ｓｋ_{Ｒ，ｓｉｇ}）、ｐｋ_Ｒ＝（ｐｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｓｉｇ}）である。ｓｋ_{Ｒ，ｅｎｃ}、ｐｋ_{Ｒ，ｅｎｃ}は、受信者の暗号化用の秘密鍵、公開鍵を表し、ｓｋ_{Ｒ，ｓｉｇ}、ｐｋ_{Ｒ，ｓｉｇ}は、受信者の署名用の秘密鍵、公開鍵を表す。署名スキームのための鍵生成アルゴリズムＫｅｙＧｅｎが、（ｓｋ_{Ｒ，ｓｉｇ}，ｐｋ_{Ｒ，ｓｉｇ}）の生成に用いられる。すなわち、（ｓｋ_{Ｒ，ｓｉｇ}，ｐｋ_{Ｒ，ｓｉｇ}）←ＫｅｙＧｅｎＳｉｇ（ｐａｒａｍ＿ｓｉｇ）である。

【0036】

・（Ｃ，Ｃｏｎｄ）←Ｅｎｃｒｙｐｔ（ｐｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，ｍ，Ｃｏｎｄ）：
署名復号スキームのための暗号化アルゴリズムＥｎｃｒｙｐｔは、受信者の公開鍵ｐｋ_{Ｒ，ｅｎｃ}、ｐｋ_{Ｒ，ｓｉｇ}、共通パラメータｐａｒａｍ、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ、メッセージｍ、及び条件Ｃｏｎｄを入力に取り、署名復号のための暗号文Ｃを条件Ｃｏｎｄとともに出力する。

【0037】

・ｍ又は¬ｍ（≠ｍ）←Ｓｉｇｎｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，Ｃ，Ｃｏｎｄ）：
署名復号アルゴリズムＳｉｇｎｄｅｃｒｙｐｔは、受信者の暗号化用の秘密鍵ｓｋ_{Ｒ，ｅｎｃ}，署名用の秘密鍵ｓｋ_{Ｒ，ｓｉｇ}、共通パラメータｐａｒａｍ、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ、暗号文Ｃ、及び条件Ｃｏｎｄを入力に取り、次の動作を行うことにより、正しいメッセージｍ又は誤った値¬ｍ（≠ｍ）を出力する。

【0038】

（１）σ←Ｓｉｇｎ（ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ）：
署名アルゴリズムＳｉｇｎは、受信者の署名用の秘密鍵ｓｋ_{Ｒ，ｓｉｇ}、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ、及び条件Ｃｏｎｄを入力に取り、署名σを出力する。

【0039】

（２）Ｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，σ，Ｃ，Ｃｏｎｄ）＝ｍ（Ｖｅｒｉ（ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，σ，Ｃｏｎｄ）＝Ｔの場合）又は¬ｍ（その他の場合）：
復号アルゴリズムＤｅｃｒｙｐｔは、受信者の暗号化用の秘密鍵ｓｋ_{Ｒ，ｅｎｃ}、共通パラメータｐａｒａｍ、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ、署名σ、及び条件Ｃｏｎｄを入力に取り、受信者の署名用の公開鍵ｐｋ_{Ｒ，ｓｉｇ}、共通パラメータｐａｒａｍ、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ、署名σ、及び条件Ｃｏｎｄを入力に取る検証アルゴリズムＶｅｒｉが、署名が正しいことを示す記号Ｔを出力する場合は、暗号文Ｃから正しいメッセージｍを出力し、その他の場合は、適当なメッセージ¬ｍ（≠ｍ）を出力する。

【0040】

このように定義される署名復号スキームΓによれば、Ｅｎｃｒｙｐｔ（ｐｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，ｍ，Ｃｏｎｄ）の出力（Ｃ，Ｃｏｎｄ）が、Ｓｉｇｎｄｅｃｒｙｐｔの入力の一部として与えられると、Ｓｉｇｎｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，Ｃ，Ｃｏｎｄ）は、メッセージ空間に含まれる正しいメッセージｍを出力する。また、メッセージ空間に含まれる任意の条件Ｃｏｎｄについて、Ｖｅｒｉ（ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｓｉｇｎ（ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ），Ｃｏｎｄ）＝Ｔとなる。

【0041】

なお、署名復号スキームで用いられる署名アルゴリズムＳｉｇｎ及び検証アルゴリズムＶｅｒｉは、上記の例に限らない。上記の署名アルゴリズムＳｉｇｎ及び検証アルゴリズムＶｅｒｉは、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇを引数に取り、独立した１つの署名方式に基づく署名及び検証を行うが、この他にも、例えば、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇ及び共通パラメータｐａｒａｍの両方を引数に取り、拡張された署名方式を取り扱えるように変形された署名アルゴリズムＳｉｇｎ及び検証アルゴリズムＶｅｒｉを用いてもよい。

【0042】

また、送信者は、Ｅｎｃｒｙｐｔの計算を行う際に、受信者の暗号化アルゴリズムＥｎｃ’を追加的に用いてもよい。これと対応して、受信者は、Ｓｉｇｎｄｅｃｒｙｐｔの計算を行う際に、復号アルゴリズムＤｅｃ’を用いてもよい。その場合、ｐａｒａｍの一部であるｐａｒａｍ＿ｅｎｃ’を用いて、鍵生成アルゴリズムＫｅｙＧｅｎＥｎｃ’：（ｓｋ_{Ｒ，ｅｎｃ’}，ｐｋ_{Ｒ，ｅｎｃ’}）←ＫｅｙＧｅｎＥｎｃ’（ｐａｒａｍ＿ｅｎｃ’）から、ｓｋ_{Ｒ，ｅｎｃ}の一部であるｓｋ_{Ｒ，ｅｎｃ’}及びｐｋ_{Ｒ，ｅｎｃ}の一部であるｐｋ_{Ｒ，ｅｎｃ’}を生成する。

【0043】

・Ｃ’←Ｅｎｃ’（ｐｋ_{Ｒ，ｅｎｃ’}，ｐａｒａｍ，ｍ’）：
受信者の暗号化アルゴリズムＥｎｃ’は、受信者の公開鍵ｐｋ_{Ｒ，ｅｎｃ’}、共通パラメータｐａｒａｍ、及びメッセージｍ’を入力に取り、暗号文Ｃ’を出力する。

【0044】

・ｍ’←Ｄｅｃ’（ｓｋ_{Ｒ，ｅｎｃ’}，ｐａｒａｍ，Ｃ’）：
復号アルゴリズムＤｅｃ’は、受信者の秘密鍵ｓｋ_{Ｒ，ｅｎｃ’}，共通パラメータｐａｒａｍ、及び暗号文Ｃ’を入力に取り、正しいメッセージｍ’又は誤った値¬ｍ’（≠ｍ’）を出力する。

【0045】

メッセージ空間に含まれる任意のメッセージｍ’について、ｍ’←Ｄｅｃ’（ｓｋ_{Ｒ，ｅｎｃ’}，ｐａｒａｍ，Ｅｎｃ’（ｐｋ_{Ｒ，ｅｎｃ’}，ｐａｒａｍ，ｍ’））である。

【0046】

上述した署名復号スキームは、例えば、送信装置及び受信装置を用いて構成される公開鍵暗号システムによって実行される。

【0047】

図１は、署名復号スキームを実行するための公開鍵暗号システムの一構成例を示す機能ブロック図である。

【0048】

図１に示される公開鍵暗号システム１は、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムであって、送信装置１０と受信装置２０とを用いて構成される。送信装置１０と受信装置２０とは、例えばインターネットなどの、秘匿性のない通信路４０で接続されている。

【0049】

送信装置１０は、セットアップ部１１、暗号化部１４、通信部１８、及び記憶部１９を有している。受信装置２０は、セットアップ部２１、鍵生成部２２、ユーザインタフェース部２３、署名復号部２４、通信部２８、記憶部２９を有している。

【0050】

各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、プロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

【0051】

セットアップ部１１、２１は、共通パラメータｐａｒａｍ、及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇを設定する。共通パラメータｐａｒａｍ、及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇは、Ｓｅｔｕｐアルゴリズムに従って生成される。設定された共通パラメータｐａｒａｍ及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇは、例えば記憶部１９、２９に格納されてもよい。

【0052】

鍵生成部２２は、ＫｅｙＧｅｎＳｉｇアルゴリズムに従って、復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇに基づいて、受信者の署名用秘密鍵ｓｋ_{Ｒ，ｓｉｇ}及び署名用公開鍵ｐｋ_{Ｒ，ｓｉｇ}からなる鍵ペア（ｓｋ_{Ｒ，ｓｉｇ，}ｐｋ_{Ｒ，ｓｉｇ}）を生成する。そして、ＫｅｙＧｅｎアルゴリズムに従って、共通パラメータｐａｒａｍ及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇに基づいて、署名用秘密鍵ｓｋ_{Ｒ，ｓｉｇ}を含む受信者の秘密鍵ｓｋ_Ｒ、及び署名用公開鍵ｐｋ_{Ｒ，ｓｉｇ}を含む受信者の公開鍵ｐｋ_Ｒからなる鍵ペア（ｓｋ_Ｒ，ｐｋ_Ｒ）を生成する。

【0053】

受信者の秘密鍵ｓｋ_Ｒは受信装置２０において秘密に保持され、受信者の公開鍵ｐｋ_Ｒは通信部２８、１８を介して、受信装置２０から送信装置１０へ送られる。

【0054】

暗号化部１４は、Ｅｎｃｒｙｐｔアルゴリズムに従って、受信者の公開鍵ｐｋ_Ｒ、及び条件Ｃｏｎｄを用いてメッセージｍを暗号文Ｃに暗号化する。

【0055】

条件Ｃｏｎｄ及び暗号文Ｃは、通信部１８、２８を介して、送信装置１０から受信装置２０へ送られる。

【0056】

ユーザインタフェース部２３は、暗号文Ｃを復号する前に、ユーザに条件Ｃｏｎｄを提示し、条件Ｃｏｎｄに同意するか否かを示す操作をユーザから受け付ける。

【0057】

署名復号部２４は、Ｓｉｇｎアルゴリズムに従って、署名用秘密鍵ｓｋＲ，ｓｉｇを用いて条件Ｃｏｎｄへの署名σを生成し、Ｖｅｒｉアルゴリズムに従って、署名用公開鍵ｐｋＲ，ｓｉｇを用いて署名σの正当性を検証し、かつ、Ｓｉｇｎｄｅｃｒｙｐｔアルゴリズムに従って、署名σが正当である場合に、前記受信者の秘密鍵ｓｋＲを用いて、暗号文Ｃを正しいメッセージｍに復号し、前記署名σが正当でない場合に、メッセージｍとは異なる値を出力する。

【0058】

このように構成された公開鍵暗号システム１は、署名復号スキームの各アルゴリズムに従って、以下を満たす。

【0059】

暗号化部１４におけるＥｎｃｒｙｐｔ（ｐｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，ｍ，Ｃｏｎｄ）の出力（Ｃ，Ｃｏｎｄ）が、署名復号部２４におけるＳｉｇｎｄｅｃｒｙｐｔの入力の一部として与えられると、Ｓｉｇｎｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，Ｃ，Ｃｏｎｄ）は、メッセージ空間に含まれる正しいメッセージｍを出力する。

【0060】

また、メッセージ空間に含まれる任意の条件Ｃｏｎｄについて、Ｖｅｒｉ（ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｓｉｇｎ（ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ），Ｃｏｎｄ）＝Ｔとなる。

【0061】

その結果、受信装置２０において署名用秘密鍵ｓｋ_{Ｒ，ｓｉｇ}による条件Ｃｏｎｄへの署名が正当である場合のみ（つまり、受信者が条件Ｃｏｎｄに同意した場合のみ）、受信装置２０において正しいメッセージｍが得られるので、受信者による条件Ｃｏｎｄへの同意とメッセージｍへのアクセスの制御とが、余分な通信を行うことなく保証される。

【0062】

本発明の署名復号スキームに基づく公開鍵暗号システムは、上述した、ＥｎｃｒｙｐｔとＳｉｇｎｄｅｃｒｙｐｔとの関係、及びＶｅｒｉとＳｉｇｎとの関係を満たすことによって特徴付けられる。従って、署名復号スキームに基づく公開鍵暗号システムの具体的な構成であって、ＥｎｃｒｙｐｔとＳｉｇｎｄｅｃｒｙｐｔとの間、及びＶｅｒｉとＳｉｇｎとの間に、上述の関係を満たすものは、本発明に含まれる。ただし、具体的な構成によっては、Ｖｅｒｉアルゴリズムは明示的には実装されず、Ｓｉｇｎｄｅｃｒｙｐｔアルゴリズムに暗に含まれることがあり得る。

【0063】

次に、署名復号スキームの具体的な構成例について説明する。まず、この構成例に関連するいくつかの技術について述べる。

【0064】

非特許文献２：Ｄａｎ Ｂｏｎｅｈ ａｎｄ Ｍａｔｔｈｅｗ Ｆｒａｎｋｌｉｎ，“Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ，” ＳＩＡＭ Ｊ． ｏｆ Ｃｏｍｐｕｔｉｎｇ， Ｖｏｌ．３２， Ｎｏ．３， ｐｐ．５８６−６１５， ２００３．によると、Ｍｏｎｉ Ｎａｏｒによって、任意のＩＤベース暗号（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ：ＩＢＥ）スキームを用いて公開鍵署名スキームが構成できることが分かっている。ＩＢＥのマスター秘密鍵は、署名者の秘密鍵として機能し、識別ＩＤは、メッセージｍとみなされる。よって、ＩＤを所有する相手の復号鍵を求めることは、メッセージｍ（すなわちＩＤ）の署名を求めることを意味する。

【0065】

Ｇｅｎｔｒｙは、特許文献１及び非特許文献１において、このような関係を、公開鍵を暗黙に認証可能にするために用いている。暗黙の認証では、認証者が更新済みの公開鍵に署名を行い、かつ、受信者に復号鍵を付与した時に限り、受信者は復号することができるが、送信者は、暗号化を行う際に、受信者がこのような処理を行うことができるか否かを把握しない。

【0066】

Ｇｅｎｔｒｙのスキームは、証明書ベース暗号（Ｃｅｒｔｉｆｉｃａｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ）と呼ばれている。このスキームは、Ｂｏｎｅｈ−ＦｒａｎｋｌｉｎのＩＢＥと、２人の署名者によるＢｏｎｅｈ−Ｇｅｎｔｒｙ−Ｌｙｎｎ−Ｓｈａｃｈａｍの公開鍵アグリゲート署名方式であるＢＧＬＳアグリゲート署名方式（非特許文献３：Ｄａｎ Ｂｏｎｅｈ， Ｃｒａｉｇ Ｇｅｎｔｒｙ， Ｂｅｎ Ｌｙｎｎ ａｎｄ Ｈｏｖａｖ Ｓｈａｃｈａｍ， “Ａｇｇｒｅｇａｔｅ ａｎｄ Ｖｅｒｉｆｉａｂｌｙ Ｅｎｃｒｙｐｔｅｄ Ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ Ｂｉｌｉｎｅａｒ Ｍａｐｓ，” Ｅ．Ｂｉｈａｍ （Ｅｄ．）， ＬＮＣＳ ２６５６， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ −Ｅｕｒｏｃｒｙｐｔ ２００３， Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ， ｐｐ．４１６−４３２， ２００３．）とを組み合わせたものである。

【0067】

以下で述べる署名復号スキームの構成例は、ＩＢＥスキームを利用する点でＧｅｎｔｒｙの証明書ベース暗号と共通しているが、受信者によって署名されるメッセージが、識別ＩＤではなく、送信者が任意に選択できる情報である点、及び署名をアグリゲートする必要がない点でＧｅｎｔｒｙの証明書ベース暗号と相違している。

【0068】

署名復号スキームでは、署名をアグリゲートする必要がないことから、単に、Ｂｏｎｅｈ−Ｌｙｎｎ−Ｓｈａｃｈａｍの公開鍵署名スキーム（非特許文献４：Ｄａｎ Ｂｏｎｅｈ， ＢｅｎＬｙｎｎ ａｎｄ Ｈｏｖａｖ Ｓｈａｃｈａｍ，“Ｓｈｏｒｔ Ｓｉｇｎａｔｕｒｅ ｆｒｏｍ ｔｈｅ Ｗｅｉｌ Ｐａｉｒｉｎｇ，” Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ， Ｖｏｌ．１７， ｐｐ．２９７−３１９， ２００４．）が用いられる。

【0069】

図２は、ＩＢＥスキームを利用して具体化された署名復号スキームの一構成例の動作を示すフローチャートである。この構成例に係る署名復号スキームは、例えば、図１に示される公開鍵暗号システム１において実行される。

【0070】

図１及び図２を参照しながら、署名復号スキームの一構成例について詳細に説明する。

【0071】

１．（ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ）←Ｓｅｔｕｐ（１^ｋ）：
入力１^ｋに対し、次のステップを実行する。

【0072】

１−１．入力１^ｋに対し、前述したＢＤＨパラメータジェネレータＩＧを実行し、２つの群Ｇ_１、Ｇ_２、及びペアリング＾ｅ：Ｇ_１×Ｇ_１→Ｇ_２を生成する。

【0073】

１−２．任意の生成元ｇ∈Ｇ_１を選択する。

【0074】

１−３．ハッシュ関数Ｈ_１：あるｎについてＧ_２→｛０，１｝^ｎ、及びハッシュ関数Ｈ_２：｛０，１｝^＊→Ｇ_１、を選択する。

【0075】

群Ｇ_１、Ｇ_２、ペアリング＾ｅ、ハッシュ関数Ｈ_１、Ｈ_２の具体例は、例えば、非特許文献２に詳しく述べられているため、ここでは詳細な説明を省略する。

【0076】

非特許文献２の、５．Ａ ｃｏｎｃｒｅｔｅ ＩＢＥ ｓｙｓｔｅｍ ｕｓｉｎｇ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇ、６．Ｅｘｔｅｎｓｉｏｎｓ ａｎｄ Ｏｂｓｅｒｖａｔｉｏｎｓの中のＴａｔｅ ｐａｉｒｉｎｇ ａｎｄ ｏｔｈｅｒ ｃｕｒｖｅｓ、及び、Ａｐｐｅｎｄｉｘ Ａ Ｄｅｆｉｎｉｔｉｏｎ ｏｆ ｔｈｅ Ｗｅｉｌ ｐａｉｒｉｎｇに、ベイユペアリング及びテイトペアリングの具体的な構成方法が記載されている。

【0077】

ハッシュ関数については、非特許文献２の、４．３ Ｒｅｌａｘｉｎｇ ｔｈｅ ｈａｓｈｉｎｇ ｒｅｑｕｉｒｅｍｅｎｔｓに記載されている手法と合わせた形で、５．２ Ａｄｍｉｓｓｉｂｌｅ ｅｎｃｏｄｉｎｇ ｆｕｎｃｔｉｏｎ： ＭａｐＴｏＰｏｉｎｔに記載されている。

【0078】

本明細書で開示する署名復号スキームには、一例として、これらのペアリング及びハッシュ関数が適用できる。

【0079】

共通パラメータはｐａｒａｍ＝（Ｇ_１，Ｇ_２，＾ｅ，ｇ，Ｈ_１，Ｈ_２）であり、復号者の署名スキーム用のパラメータはｐａｒａｍ＿ｓｉｇ＝（Ｇ_１，Ｇ_２，＾ｅ，ｇ，Ｈ_２）である。メッセージスペースＳ_ｍ及び条件スペースＳ_Ｃｏｎｄは、それぞれＳ_ｍ＝｛０，１｝^ｎ、及びＳ_Ｃｏｎｄ＝｛０，１｝^＊である。

【0080】

共通パラメータｐａｒａｍ及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇは、パラメータに係わる何らかの不正が生じる余地がないならば、送信装置１０及び受信装置２０の何れかで生成されてもよく、送信装置１０及び受信装置２０以外のエンティティ（不図示）で生成されてもよい。

【0081】

セットアップ部１１、２１は、通信部１８、２８を介して、共通パラメータｐａｒａｍ及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇを、送信装置１０と受信装置２０とで共有する（Ｓ１１、Ｓ２１）。共有された共通パラメータｐａｒａｍ及び復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇは、例えば記憶部１９、２９に格納されてもよい。

【0082】

２．（ｓｋ_Ｒ，ｐｋ_Ｒ）←ＫｅｙＧｅｎ（ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ）：
入力（ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ）に対し、次のステップを実行する。なお、以下では、一般化のために、アルゴリズムへの入力として共通パラメータｐａｒａｍと復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇの両方を記載しているが、例えば、上記の具体例のように、共通パラメータｐａｒａｍが与えられると復号者の署名スキーム用のパラメータｐａｒａｍ＿ｓｉｇの値が全て定まるとき、共通パラメータｐａｒａｍのみをアルゴリズムの入力とすることもできる。

【0083】

２−１．入力（Ｇ_１，Ｇ_２，＾ｅ，ｇ，Ｈ_２）に対し、ＫｅｙＧｅｎＳｉｇを実行することにより、秘密鍵ｓ∈Ｚ_ｑを無作為に選択した後、公開鍵ｖ∈Ｇ_１をｖ←ｇ^ｓにより生成する。復号者の署名用の鍵ペアは、（ｓｋ_{Ｒ，ｓｉｇ}，ｐｋ_{Ｒ，ｓｉｇ}）＝（ｓ，ｖ）である。

【0084】

なお、簡略のため、本構成例では（ｓｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｅｎｃ}）＝（Λ，Λ）（Λは空の値）とし、ＫｅｙＧｅｎの出力を（ｓｋ_Ｒ，ｐｋ_Ｒ）＝（ｓ，ｖ）と表記する。

【0085】

鍵生成部２２は、受信装置２０の署名用秘密鍵ｓ、署名用公開鍵ｇ^ｓのペアを上述のように生成する（Ｓ２２）。署名用秘密鍵ｓが受信装置２０において秘密に保持され、署名用公開鍵ｇ^ｓが送信装置１０へ通知される（Ｓ１２）。

【0086】

３．（Ｃ，Ｃｏｎｄ）←Ｅｎｃｒｙｐｔ（ｐｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，ｍ，Ｃｏｎｄ）：
送信者は、署名復号のための条件Ｃｏｎｄ∈Ｓ_Ｃｏｎｄの下でメッセージｍ∈Ｓ_ｍを暗号化するため、次のステップを実行することによってＥｎｃｒｙｐｔ（Λ，ｖ，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，ｍ，Ｃｏｎｄ）を計算する。

【0087】

３−１．ｈ←Ｈ_２（Ｃｏｎｄ）∈Ｇ_１を計算する。

【0088】

３−２．乱数ｒ∈Ｚ_ｑを選択する。

【0089】

３−３．暗号文ＣをＣ＝（ｇ^ｒ，ｍ ＸＯＲ Ｈ_１（＾ｅ（ｈ，ｖ）^ｒ））により設定する。ここで、演算ＸＯＲは排他的論理和を表す。

【0090】

暗号化部１４は、メッセージｍ及び条件Ｃｏｎｄを取得し（Ｓ１３）、取得されたメッセージｍ及び条件Ｃｏｎｄを入力の一部として、上述のＥｎｃｒｙｐｔを計算する。

【0091】

暗号化部１４は、乱数ｒを生成し（Ｓ１４）、乱数ｒ、条件Ｃｏｎｄ、及び受信装置２０の署名用公開鍵ｖ（＝ｇ^ｓ）から、ハッシュ関数Ｈ_１、Ｈ_２、及びペアリング＾ｅにより送信者共通鍵を生成する（Ｓ１５）。暗号化部１４は、条件Ｃｏｎｄのダイジェストｈ＝Ｈ_２（Ｃｏｎｄ）∈Ｇ_１と署名用公開鍵ｖとにペアリング演算を施し、当該ペアリング演算の結果を乱数ｒでべき乗することにより、送信者共通鍵Ｈ_１（＾ｅ（ｈ，ｖ）^ｒ）を生成する。

【0092】

暗号化部１４は、メッセージｍを、送信者共通鍵Ｈ_１（＾ｅ（ｈ，ｖ）^ｒ）と排他的論理和を取ることにより、暗号化メッセージＶ←ｍ ＸＯＲ Ｈ_１（＾ｅ（ｈ，ｖ）^ｒ）に暗号化し、乱数ｒに対応する共通鍵生成用の情報ｇ^ｒと暗号化メッセージＶとで構成される暗号文Ｃ＝（ｇ^ｒ，Ｖ）を設定する。

【0093】

通信部１８は、暗号文Ｃ、条件Ｃｏｎｄを受信装置２０へ送信する（Ｓ１７）。なお、乱数ｒは、送信装置１０において安全に破棄され、送信装置１０から漏洩しないものとする。

【0094】

４．ｍ又は¬ｍ（≠ｍ）←Ｓｉｇｎｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，Ｃ，Ｃｏｎｄ）：
復号者は、受信された暗号文Ｃ＝（Ｕ，Ｖ）を復号するため、次のステップを実行することによってＳｉｇｎｄｅｃｒｙｐｔ（Λ，ｓ，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，Ｃ，Ｃｏｎｄ）を計算する。

【0095】

４−１．σ←Ｓｉｇｎ（ｓｋ_{Ｒ，ｓｉｇ}，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ）：
復号者は、Ｓｉｇｎ（ｓ，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ）を次のように計算する。

【0096】

（ａ）ｈ←Ｈ_２（Ｃｏｎｄ）を計算する。

【0097】

（ｂ）署名σをσ←ｈ^ｓ∈Ｇ_１により生成する。

【0098】

Ｓｉｇｎ（ｓ，ｐａｒａｍ＿ｓｉｇ，Ｃｏｎｄ）の出力はσ＝ｈ^ｓである。

【0099】

４−２．ｍ又は¬ｍ（≠ｍ）←Ｄｅｃｒｙｐｔ（ｓｋ_{Ｒ，ｅｎｃ}，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，σ，Ｃ，Ｃｏｎｄ）：
復号者は、Ｄｅｃｒｙｐｔ（Λ，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，σ，Ｃ，Ｃｏｎｄ）を、ｍ←Ｖ ＸＯＲ Ｈ_１（＾ｅ（σ，Ｕ））により計算する。

【0100】

Ｄｅｃｒｙｐｔ（Λ，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，σ，Ｃ，Ｃｏｎｄ）の出力はメッセージｍであり、これをＳｉｇｎＤｅｃｒｙｐｔ（Λ，ｐａｒａｍ，ｐａｒａｍ＿ｓｉｇ，σ，Ｃ，Ｃｏｎｄ）の出力とする。

【0101】

通信部２８は、上述のＳｉｇｎｄｅｃｒｙｐｔの入力の一部となる暗号文Ｃ＝（Ｕ，Ｖ）及び条件Ｃｏｎｄを、送信装置１０から受信する（Ｓ２３）。

【0102】

ユーザインタフェース部２３は、従来と同様、受信された条件Ｃｏｎｄを表示し（Ｓ２４）、その後に、ユーザによる操作を受け付けてもよい（Ｓ２５）。ユーザにより条件Ｃｏｎｄに同意したことを示す特定の操作が受け付けられた場合のみ（Ｓ２５でＹＥＳ）、署名復号が実行される（Ｓ２６〜Ｓ２８）。

【0103】

図３は、条件Ｃｏｎｄを表示するための条件提示画面の一例を示す図である。図３では、セットアッププログラムがメッセージｍの一例であり、使用許諾契約書３１が条件Ｃｏｎｄの一例である。

【0104】

図３の条件提示画面には、使用許諾契約書３１とともに、ユーザ操作を受け付けるためのいくつかのボタンが表示されている。ユーザによる特定の操作の一例として、同意するボタン３２に対するクリック操作、次へボタン３３に対するクリック操作が、この順に行われた場合のみ、暗号化されたセットアッププログラムの署名復号が実行される。

【0105】

署名復号部２４は、受信装置２０の署名用秘密鍵ｓ、条件Ｃｏｎｄ、及び送信装置１０の公開鍵ｇ^ｒから、送信装置１０と共通のハッシュ関数Ｈ_１、Ｈ_２、及びペアリング＾ｅにより受信者共通鍵を生成する（Ｓ２６）。署名復号部２４は、条件Ｃｏｎｄのダイジェストｈ＝Ｈ_２（Ｃｏｎｄ）∈Ｇ_１を計算し、受信装置２０の署名用秘密鍵ｓによる条件Ｃｏｎｄへの署名σ＝ｈ^ｓを用いて、受信者共通鍵Ｈ_１（＾ｅ（σ，Ｕ））を生成する。

【0106】

ここで、送信装置１０において暗号化に用いられる受信者の署名用公開鍵ｇ^ｓと、受信装置２０において署名復号に用いられる受信者の署名用秘密鍵ｓとが正しく対応している場合、生成される受信者共通鍵Ｈ_１（＾ｅ（σ，Ｕ））＝Ｈ_１（＾ｅ（ｈ^ｓ，ｇ^ｒ））は、ペアリング＾ｅの双線形性から、送信者共通鍵Ｈ_１（＾ｅ（ｈ，ｖ）^ｒ）＝Ｈ_１（＾ｅ（ｈ，ｇ^ｓ）^ｒ）と同じ値Ｈ_１（＾ｅ（ｈ，ｇ）^ｓｒ）である。

【0107】

復号部２４は、暗号文Ｃに含まれる暗号化メッセージＶを、受信者共通鍵Ｈ_１（＾ｅ（σ，Ｕ））と排他的論理和を取ることにより、メッセージｍ←Ｖ ＸＯＲ Ｈ_１（＾ｅ（σ，Ｕ））に復号し（Ｓ２７）、復号されたメッセージｍを出力する（Ｓ２８）。

【0108】

上述のように構成された公開鍵暗号システム１によれば、受信装置２０において送信者共通鍵と同一の値の受信者共通鍵を生成できるのは、乱数ｒが送信装置１０から漏洩していない前提で、受信装置２０が秘密鍵ｓによる条件Ｃｏｎｄへの署名σ＝ｈ^ｓを行った場合（つまり、受信者が条件Ｃｏｎｄを知り得た場合）のみと考えることができる。

【0109】

このことから、暗号化メッセージＶを正しく復号できた受信装置２０は、条件Ｃｏｎｄに同意したことが保証される。従って、受信者による条件Ｃｏｎｄへの同意とメッセージｍへのアクセスの制御とが、余分な通信を行うことなく保証される。例えば、図３に示した例で言えば、ユーザが使用許諾契約書３１に同意した場合のみ、セットアッププログラムによるソフトウェアのインストールが正しく行われるので、ユーザの使用許諾契約書３１への同意と、ソフトウェアの保護とが、余分な通信を行うことなく保証される。

【0110】

公開鍵暗号システム１では、送信装置１０に入力される任意の条件Ｃｏｎｄについて上述の説明が成り立つことから、本体情報の送信者は、本体情報へのアクセス制御のためにユーザが同意したことの保証が欲しいと考えるどのような条件でも、添付情報に記述することができる。

【0111】

なお、上記の実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したソフトウェアプログラムを実行することによって実現されてもよい。各構成要素は、プロセッサなどのプログラム実行部が、ハードディスクまたは半導体メモリなどの記録媒体に記録されたソフトウェアプログラムを読み出して実行することによって実現されてもよい。

【0112】

（変形例）
以上、本発明の１つの態様に係る公開鍵暗号システムについて、実施の形態に基づいて説明したが、本発明は、この実施の形態に限定されるものではない。本発明の趣旨を逸脱しない限り、当業者が思いつく各種変形を本実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、本発明の一つまたは複数の態様の範囲内に含まれてもよい。

【0113】

例えば、上記の実施の形態に係る署名復号スキームの具体例では、受信者が条件Ｃｏｎｄに施した署名を入手できた人は、暗号化メッセージＶを正しいメッセージｍに復号できてしまう。そこで、そのような復号ができないように、署名用のみならず、受信者の別の秘密鍵を用いた処理を導入してもよい。例えば、上述した受信者の暗号化用の秘密鍵、公開鍵の鍵ペア（ｓｋ_{Ｒ，ｅｎｃ}，ｐｋ_{Ｒ，ｅｎｃ}）を、空の値とするのではなく、有効な秘密鍵及び公開鍵のペアとして、受信者の署名用の鍵ペアとは別に当該暗号化用の鍵ペアを用いた処理を導入してもよい。

【0114】

また、上記の実施の形態の具体例に対し、例えば、Ｆｕｊｉｓａｋｉ−Ｏｋａｍｏｔｏ変換を適用することにより、さらに安全性を高めることもできる。Ｆｕｊｉｓａｋｉ−Ｏｋａｍｏｔｏ変換の具体的な適用例については、例えば、特許文献１、非特許文献１、及び非特許文献２に記載されている。

【産業上の利用可能性】

【0115】

本発明は、本体情報へのアクセスを前記本体情報に添付される添付情報を用いて制御する公開鍵暗号システムに広く適用できる。

【符号の説明】

【0116】

１ 公開鍵暗号システム
１０ 送信装置
１１ セットアップ部
１４ 暗号化部
１８ 通信部
１９ 記憶部
２０ 受信装置
２１ セットアップ部
２２ 鍵生成部
２３ ユーザインタフェース部
２４ 署名復号部
２８ 通信部
２９ 記憶部
３１ 使用許諾契約書
３２ 同意するボタン
３３ 次へボタン
４０ 通信路

【図1】

【図2】

【図3】