特許 6139804 再暗号化鍵生成装置、再暗号化装置、暗号化装置、復号装置及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6139804

(24)【登録日】2017年5月12日

(45)【発行日】2017年5月31日

(54)【発明の名称】再暗号化鍵生成装置、再暗号化装置、暗号化装置、復号装置及びプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20170522BHJP

   H04L 9/14 20060101ALI20170522BHJP

【ＦＩ】

   H04L9/00 601B

   H04L9/00 641

   H04L9/00 601F

【請求項の数】14

【全頁数】57

(21)【出願番号】特願2016-551451(P2016-551451)

(86)(22)【出願日】2014年10月3日

(86)【国際出願番号】JP2014076562

(87)【国際公開番号】WO2016051591

(87)【国際公開日】20160407

【審査請求日】2016年8月19日

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(73)【特許権者】

【識別番号】301063496

【氏名又は名称】東芝ソリューション株式会社

(74)【代理人】

【識別番号】100108855

【弁理士】

【氏名又は名称】蔵田 昌俊

(74)【代理人】

【識別番号】100103034

【弁理士】

【氏名又は名称】野河 信久

(74)【代理人】

【識別番号】100075672

【弁理士】

【氏名又は名称】峰 隆司

(74)【代理人】

【識別番号】100153051

【弁理士】

【氏名又は名称】河野 直樹

(74)【代理人】

【識別番号】100179062

【弁理士】

【氏名又は名称】井上 正

(74)【代理人】

【識別番号】100189913

【弁理士】

【氏名又は名称】鵜飼 健

(72)【発明者】

【氏名】林 良太郎

(72)【発明者】

【氏名】松下 達之

【審査官】 金沢 史明

(56)【参考文献】

【文献】 国際公開第２０１４／０２４９５６（ＷＯ，Ａ１）

【文献】 Ryotaro Hayashi et al.，Unforgeability of re-encryption keys against collusion attack in proxy re-encryption，Lecture Notes in Computer Science，Springer，２０１１年，Vol. 7038，pp. 210-229

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

Ｈ０４Ｌ ９／１４

(57)【特許請求の範囲】

【請求項1】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置であって、
前記第１公開鍵に対応する第１秘密鍵を記憶する第１記憶手段と、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を記憶する第２記憶手段と、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段と
を備え、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
ことを特徴とする再暗号化鍵生成装置。

【請求項2】

請求項１に記載の再暗号化鍵生成装置において、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されていることを特徴とする再暗号化鍵生成装置。

【請求項3】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置であって、
前記第１公開鍵に対応する第１秘密鍵を記憶する第１記憶手段と、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を記憶する第２記憶手段と、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段と
を備え、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記分母部分は、前記第１秘密鍵からなり、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されており、
前記第１秘密鍵をｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i）で表し、前記第２秘密鍵をｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j）で表し、前記第１公開鍵と前記第２公開鍵とに関する前記複数のシステム固定値をｇ，ｇ₁で表し（但し、双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tが存在する位数ｐの群である双線型写像群をＧ₁，Ｇ₂，Ｇ_Tで表したとき、ｇ，ｇ₁∈Ｇ₁）、前記第１公開鍵をｐｋ_iで表すとき、前記第１公開鍵ｐｋ_iは、データＸ_i，Ｙ_1i，Ｚ_i，Ｚ_1i を含んでおり（但し、

【数1】

）、
前記第２公開鍵をｐｋ_jで表すとき、前記第２公開鍵ｐｋ_jは、データＸ_j，Ｙ_1j，Ｚ_j，Ｚ_1j を含んでおり（但し、

【数2】

）、
前記第２再暗号化鍵生成鍵に関する前記複数のシステム固定値をｈ，ｈ₁，ｈ_{2で表し（}但し、ｈ，ｈ₁，ｈ₂∈Ｇ₂）前記第２再暗号化鍵生成鍵をｒｋ_jで表すとき、
ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）
であり（但し、

【数3】

）、
前記平文データをｍで表し（但し、ｍ∈Ｇ_T）、前記暗号文データに関する乱数をｒで表し、前記暗号文データに関するシステム固定値をｇ₂で表し（但し、ｇ₂∈Ｇ₁）、前記暗号文データをＣ_iで表すとき（但し、前記双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tをｅ（ ， ）で表す）、前記暗号文データＣ_iは、データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃ を含んでおり（但し、

【数4】

）、
前記再暗号化鍵に関する各乱数をθ,ｎで表し、前記再暗号化鍵をＲ_ijで表すとき、
Ｒ_ij＝（Ｒ_ij1，Ｒ_ij2，Ｒ_ij3 ）
であり（但し、

【数5】

）、
前記再暗号文データをＣ_jで表すとき（但し、３つの乱数をｓ，ｔ，ｋで表す）、前記再暗号文データＣ_jは、データＣ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃ を含んでおり（但し、

【数6】

で表されることを特徴とする再暗号化鍵生成装置。

【請求項4】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置であって、
前記第１公開鍵に対応する第１秘密鍵を記憶する第１記憶手段と、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を記憶する第２記憶手段と、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段と
を備え、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記分母部分は、前記第１秘密鍵からなり、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されており、
前記第１秘密鍵をｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i，ｗ_i）で表し、前記第２秘密鍵をｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j，ｗ_j）で表し、前記第１公開鍵と前記第２公開鍵とに関する前記複数のシステム固定値をｇ，ｇ₁で表し（但し、双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tが存在する位数ｐの群である双線型写像群をＧ₁，Ｇ₂，Ｇ_Tで表したとき、ｇ，ｇ₁∈Ｇ₁）、前記第１公開鍵をｐｋ_iで表すとき、前記第１公開鍵ｐｋ_iは、データＸ_i，Ｙ_1i，Ｚ_i，Ｚ_1i，Ｗ_i を含んでおり（但し、

【数7】

）、
前記第２公開鍵をｐｋ_jで表すとき、前記第２公開鍵ｐｋ_jは、データＸ_j，Ｙ_1j，Ｚ_j，Ｚ_1j，Ｗ_j を含んでおり（但し、

【数8】

）、
前記第２再暗号化鍵生成鍵に関する前記複数のシステム固定値をｈ，ｈ₁，ｈ_{2で表し（}但し、ｈ，ｈ₁，ｈ₂∈Ｇ₂）、前記第２再暗号化鍵生成鍵をｒｋ_jで表すとき、
ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）
であり（但し、

【数9】

）、
前記平文データをｍで表し（但し、ｍ∈Ｇ_T）、前記暗号文データに関する乱数をｒで表し、前記暗号文データに関するシステム固定値をｇ₂で表し（但し、ｇ₂∈Ｇ₁）、前記位数ｐに対する乗法群をＺ_P^＊で表し、前記再暗号化鍵を更新する期間を示す時間パラメータをＬで表し、前記暗号文データをＣ_iで表すとき（但し、前記双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tをｅ（ ， ）で表す）、前記暗号文データＣ_iは、データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ₃ を含んでおり（但し、

【数10】

）、
前記再暗号化鍵に関する各乱数をθ，ｎ，δ_ｘ，δ_ｙで表し、前記再暗号化鍵をＲ_ijLで表すとき、
Ｒ_ijL＝（Ｒ_ijL1，Ｒ_ijL2，Ｒ_ijL3，Ｒ_ijL4，Ｒ_ijL5 ）
であり（但し、

【数11】

）、
前記再暗号文データをＣ_jで表すとき（但し、４つの乱数をｓ，ｔ，ｋ，πで表す）、前記再暗号文データＣ_jは、データＣ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃ を含んでおり（但し、

【数12】

で表されることを特徴とする再暗号化鍵生成装置。

【請求項5】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化鍵により再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化装置であって、
予め再暗号化鍵生成装置により生成された前記再暗号化鍵を記憶する記憶手段と、
前記暗号文データを復号せずに、前記記憶手段内の再暗号化鍵により再暗号化して前記再暗号文データを得る再暗号化手段と、
を備え、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵、及び複数の乱数に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
ことを特徴とする再暗号化装置。

【請求項6】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化鍵により再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化装置に対し、前記暗号文データを生成する暗号化装置であって、
前記第１公開鍵を記憶する記憶手段と、
前記記憶手段内の第１公開鍵を用いて前記平文データを暗号化して前記暗号文データを得る暗号化手段と、
を備え、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵、及び複数の乱数に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
ことを特徴とする暗号化装置。

【請求項7】

再暗号化装置が再暗号化鍵に基づいて、第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得た後に、前記再暗号文データを復号する復号装置であって、
前記第２秘密鍵を記憶する記憶手段と、
前記記憶手段内の第２秘密鍵に基づいて、前記再暗号文データを復号して前記平文データを得る復号手段と、
を備え、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵及び複数の乱数に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
ことを特徴とする復号装置。

【請求項8】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置に用いられるプログラムであって、
前記再暗号化鍵生成装置を、
前記第１公開鍵に対応する第１秘密鍵を前記再暗号化鍵生成装置の第１記憶手段に書込む手段、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を前記再暗号化鍵生成装置の第２記憶手段に書込む手段、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段、
として機能させ、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
プログラム。

【請求項9】

請求項８に記載のプログラムにおいて、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されているプログラム。

【請求項10】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置に用いられるプログラムであって、
前記再暗号化鍵生成装置を、
前記第１公開鍵に対応する第１秘密鍵を前記再暗号化鍵生成装置の第１記憶手段に書込む手段、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を前記再暗号化鍵生成装置の第２記憶手段に書込む手段、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段、
として機能させ、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記分母部分は、前記第１秘密鍵からなり、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されており、
前記第１秘密鍵をｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i）で表し、前記第２秘密鍵をｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j）で表し、前記第１公開鍵と前記第２公開鍵とに関する前記複数のシステム固定値をｇ，ｇ₁で表し（但し、双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tが存在する位数ｐの群である双線型写像群をＧ₁，Ｇ₂，Ｇ_Tで表したとき、ｇ，ｇ₁∈Ｇ₁）、前記第１公開鍵をｐｋ_iで表すとき、前記第１公開鍵ｐｋ_iは、データＸ_i，Ｙ_1i，Ｚ_i，Ｚ_1i を含んでおり（但し、

【数13】

）、
前記第２公開鍵をｐｋ_jで表すとき、前記第２公開鍵ｐｋ_jは、データＸ_j，Ｙ_1j，Ｚ_j，Ｚ_1j を含んでおり（但し、

【数14】

）、
前記第２再暗号化鍵生成鍵に関する前記複数のシステム固定値をｈ，ｈ₁，ｈ_{2で表し（}但し、ｈ，ｈ₁，ｈ₂∈Ｇ₂）前記第２再暗号化鍵生成鍵をｒｋ_jで表すとき、
ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）
であり（但し、

【数15】

）、
前記平文データをｍで表し（但し、ｍ∈Ｇ_T）、前記暗号文データに関する乱数をｒで表し、前記暗号文データに関するシステム固定値をｇ₂で表し（但し、ｇ₂∈Ｇ₁）、前記暗号文データをＣ_iで表すとき（但し、前記双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tをｅ（ ， ）で表す）、前記暗号文データＣ_iは、データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃ を含んでおり（但し、

【数16】

）、
前記再暗号化鍵に関する各乱数をθ，ｎで表し、前記再暗号化鍵をＲ_ijで表すとき、
Ｒ_ij＝（Ｒ_ij1，Ｒ_ij2，Ｒ_ij3 ）
であり（但し、

【数17】

）、
前記再暗号文データをＣ_jで表すとき（但し、３つの乱数をｓ，ｔ，ｋで表す）、前記再暗号文データＣ_jは、データＣ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃ を含んでおり（但し、

【数18】

で表されるプログラム。

【請求項11】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する再暗号化鍵生成装置に用いられるプログラムであって、
前記再暗号化鍵生成装置を、
前記第１公開鍵に対応する第１秘密鍵を前記再暗号化鍵生成装置の第１記憶手段に書込む手段、
前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を前記再暗号化鍵生成装置の第２記憶手段に書込む手段、
前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する再暗号化鍵生成手段、
として機能させ、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記分母部分は、前記第１秘密鍵からなり、
前記第１公開鍵は、前記第１秘密鍵及び複数のシステム固定値に基づいて生成されており、
前記第２公開鍵は、前記第２秘密鍵及び前記複数のシステム固定値に基づいて生成されており、
前記第１秘密鍵をｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i，ｗ_i）で表し、前記第２秘密鍵をｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j，ｗ_j）で表し、前記第１公開鍵と前記第２公開鍵とに関する前記複数のシステム固定値をｇ，ｇ₁で表し（但し、双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tが存在する位数ｐの群である双線型写像群をＧ₁，Ｇ₂，Ｇ_Tで表したとき、ｇ，ｇ₁∈Ｇ₁）、前記第１公開鍵をｐｋ_iで表すとき、前記第１公開鍵ｐｋ_iは、データＸ_i，Ｙ_1i，Ｚ_i，Ｚ_1i，Ｗ_i を含んでおり（但し、

【数19】

）、
前記第２公開鍵をｐｋ_jで表すとき、前記第２公開鍵ｐｋ_jは、データＸ_j，Ｙ_1j，Ｚ_j，Ｚ_1j，Ｗ_j を含んでおり（但し、

【数20】

）、
前記第２再暗号化鍵生成鍵に関する前記複数のシステム固定値をｈ，ｈ₁，ｈ_{2で表し（}但し、ｈ，ｈ₁，ｈ₂∈Ｇ₂）前記第２再暗号化鍵生成鍵をｒｋ_jで表すとき、
ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）
であり（但し、

【数21】

）、
前記平文データをｍで表し（但し、ｍ∈Ｇ_T）、前記暗号文データに関する乱数をｒで表し、前記暗号文データに関するシステム固定値をｇ₂で表し（但し、ｇ₂∈Ｇ₁）、前記位数ｐに対する乗法群をＺ_P^＊で表し、前記再暗号化鍵を更新する期間を示す時間パラメータをＬで表し、前記暗号文データをＣ_iで表すとき（但し、前記双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tをｅ（ ， ）で表す）、前記暗号文データＣ_iは、データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ₃ を含んでおり（但し、

【数22】

）、
前記再暗号化鍵に関する各乱数をθ，ｎ，δ_ｘ，δ_ｙで表し、前記再暗号化鍵をＲ_ijLで表すとき、
Ｒ_ijL＝（Ｒ_ijL1，Ｒ_ijL2，Ｒ_ijL3，Ｒ_ijL4，Ｒ_ijL5 ）
であり（但し、

【数23】

）、
前記再暗号文データをＣ_jで表すとき（但し、４つの乱数をｓ，ｔ，ｋ，πで表す）、前記再暗号文データＣ_jは、データＣ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃ を含んでおり（但し、

【数24】

で表されるプログラム。

【請求項12】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化鍵により再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化装置に用いられるプログラムであって、
前記再暗号化装置を、
予め再暗号化鍵生成装置により生成された前記再暗号化鍵を前記再暗号化装置の記憶手段に書込む手段、
前記暗号文データを復号せずに、前記記憶手段内の再暗号化鍵により再暗号化して前記再暗号文データを得る再暗号化手段、
として機能させ、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵、及び複数の乱数に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
プログラム。

【請求項13】

第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化鍵により再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化装置に対し、前記暗号文データを生成する暗号化装置に用いられるプログラムであって、
前記暗号化装置を、
前記第１公開鍵を前記暗号化装置の記憶手段に書込む手段、
前記記憶手段内の第１公開鍵を用いて前記平文データを暗号化して前記暗号文データを得る暗号化手段、
として機能させ、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
プログラム。

【請求項14】

再暗号化装置が再暗号化鍵に基づいて、第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得た後に、前記再暗号文データを復号する復号装置に用いられるプログラムであって、
前記復号装置を、
前記第２秘密鍵を前記復号装置の記憶手段に書込む手段、
前記記憶手段内の第２秘密鍵に基づいて、前記再暗号文データを復号して前記平文データを得る復号手段、
として機能させ、
前記再暗号化鍵は、前記第１公開鍵に対応する第１秘密鍵、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵、及び複数の乱数に基づいて、生成されており、
前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなり、
前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数をそれぞれ含む第１成分、第２成分及び第３成分を含み、
前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有し、
前記第１成分のベキ指数の分子部分は、前記各乱数のうちの第１乱数に基づく項と、前記各乱数のうちの第２乱数及び前記第１乱数と前記複数の秘密値のうちの第１秘密値とに基づく項との線形結合の形を有し、
前記第２成分のベキ指数の分子部分は、前記第２乱数に基づく項と、前記複数の秘密値のうちの第２秘密値とに基づく項との線形結合の形を有し、
前記第３成分のベキ指数の分子部分は、前記第１乱数に基づく項と、前記第２秘密値に基づく項との線形結合の形を有し、
前記分子部分の各々の項は、前記第２秘密鍵にも基づいており、
前記分母部分は、前記第１秘密鍵からなる、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、再暗号化鍵生成装置、再暗号化装置、暗号化装置、復号装置及びプログラムに関する。

【背景技術】

【0002】

ユーザがサーバにファイルをアップロードし、複数ユーザ間でそのファイルを共有するファイル共有システムにおいて、サーバに対してファイルデータの秘匿性を保つ方法として以下の三つの方式（１）〜（３）が挙げられる。

【0003】

（１）各ユーザに個別の暗号化鍵でファイルを暗号化する個別鍵方式。

【0004】

（２）各ユーザに共通の暗号化鍵でファイルを暗号化する共通鍵方式。

【0005】

（３）プロキシ再暗号化方式を用いてファイルを暗号化する再暗号化方式。

【0006】

上記（１）〜（３）の方式において、サーバにファイルをアップロードするユーザをユーザＡとし、ユーザＡがユーザＢ、ユーザＣとファイルを共有するとする。

【0007】

（１）の個別鍵方式では、ユーザ毎に異なる秘密鍵と公開鍵の組を各ユーザがそれぞれ持つ。ユーザＡは、（ユーザＢに個別の暗号化鍵である）ユーザＢの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。同様に、ユーザＡは、（ユーザＣに個別の暗号化鍵である）ユーザＣの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。つまり、ユーザＡは、ファイルを共有する全てのユーザそれぞれに対して個別にファイルを暗号化する。

【0008】

（２）の共通鍵方式では、各ユーザに共通の秘密鍵と公開鍵の組を各ユーザが共有する。ユーザＡは、（各ユーザに共通の暗号化鍵である）公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする。各ユーザは、同一の秘密鍵を共有している。

【0009】

（３）のプロキシ再暗号化方式では、（１）の個別鍵方式と同様に、ユーザ毎に異なる秘密鍵と公開鍵の組を各ユーザがそれぞれ持つ。しかしながら、（１）の個別鍵方式とは異なり、ユーザＡは、ユーザのグループを管理するエンティティ（以下、グループ管理者と呼ぶ）の公開鍵（以下、グループ公開鍵と呼ぶ）でファイルを暗号化すれば良い。サーバは、再暗号化鍵を用いて（ユーザＡがアップロードした）暗号化ファイルを各ユーザだけが復号できる暗号化ファイルにそれぞれ再暗号化する。プロキシ再暗号化方式の詳細は後述する。

【0010】

（１）の個別鍵方式では、新たにユーザＤともファイルを共有したいとき、ユーザＡが（ユーザＤに個別の暗号化鍵である）ユーザＤの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする必要があるという不都合がある。従って、（１）の方法は、新規ユーザ数や共有ファイル数が多い場合に、新規ユーザ追加時の処理が煩雑となるため、ファイル共有システムに不適である。

【0011】

（２）の共通鍵方式では、ある時点から（その時点までファイル共有を許可していた）あるユーザがファイルを共有できないようにする（当該ユーザをファイル共有システムから排除する）際に、各ユーザに共通の秘密鍵と公開鍵を更新する機構が別途必要であることや、各ユーザに共通の秘密鍵が万が一漏洩してしまった場合、全ての暗号化ファイルが（当該漏洩鍵を入手した者ならば誰でも）復号可能となってしまう不都合がある。このため、（２）の共通鍵方式は、ファイル共有システムに不適である。

【0012】

一方、（３）のプロキシ再暗号化方式では、サーバが再暗号化鍵を用いて一つの暗号文を各ユーザだけが復号できる暗号文に再暗号化するため、ユーザに再暗号化鍵を知らせない構成にすれば、上述した不都合を解決している。このため、（３）のプロキシ再暗号化方式は、ファイル共有システムに好適である。

【先行技術文献】

【非特許文献】

【0013】

【非特許文献1】R. Hayashi, T. Matsushita, T. Yoshida, Y. Fujii, and K. Okada, "Unforgeability of Re-Encryption Keys against Collusion Attack in Proxy Re-Encryption," In Proc. IWSEC 2011, LNCS 7038, pp. 210-229, Springer-Verlag, 2011.

【非特許文献2】T. Isshiki, N. Manh Ha, and K. Tanaka, "Attacks to the Proxy Re-Encryption Schemes from IWSEC2011," In Proc. IWSEC 2013, LNCS 8231, pp. 290-302, 2013.

【発明の概要】

【発明が解決しようとする課題】

【0014】

非特許文献１、非特許文献２によると、非特許文献１記載のプロキシ再暗号化方式では、サーバと１人のユーザが結託しても、復号権限を移譲元の許可なく再移譲されることはない。しかしながら、結託するユーザが二人以上の場合にもこの安全性が達成できる方式は開示されていない。

【0015】

本発明が解決しようとする課題は、サーバと複数のユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止し得る再暗号化鍵生成装置、再暗号化装置、暗号化装置、復号装置及びプログラムを提供することである。

【課題を解決するための手段】

【0016】

実施形態の再暗号化鍵生成装置は、第１ユーザ装置の第１公開鍵により平文データを暗号化して得られた暗号文データを復号せずに再暗号化して、第２ユーザ装置の第２秘密鍵により復号可能な再暗号文データを得るための再暗号化鍵を生成する。

【0017】

前記再暗号化鍵生成装置は、第１記憶手段、第２記憶手段及び再暗号化鍵生成手段を備えている。

【0018】

前記第１記憶手段は、前記第１公開鍵に対応する第１秘密鍵を記憶する。

【0019】

前記第２記憶手段は、前記第２秘密鍵に対応する第２公開鍵とは異なる前記第２ユーザ装置の第２再暗号化鍵生成鍵を記憶する。

【0020】

前記再暗号化鍵生成手段は、前記第１秘密鍵、前記第２再暗号化鍵生成鍵及び複数の乱数に基づいて、前記再暗号化鍵を生成する。

【0021】

前記第２再暗号化鍵生成鍵は、複数のシステム固有値及び前記第２秘密鍵からなる。

【0022】

前記再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含む。

【0023】

前記分子部分は、前記各システム固有値間の関係性を定める複数の秘密値と前記各乱数とのうちの少なくとも一つを作用させた前記第２秘密鍵の線形結合の形を有している。

【0024】

前記分母部分は、前記第１秘密鍵からなる。

【図面の簡単な説明】

【0025】

【図1】図１は、第１の実施形態に係る再暗号化システムの構成を示す模式図である。

【図2】図２は、同実施形態における鍵セットアップ処理の動作を説明するためのシーケンス図である。

【図3】図３は、同実施形態における暗号化処理の動作を説明するためのシーケンス図である。

【図4】図４は、同実施形態における再暗号化鍵生成処理の動作を説明するためのシーケンス図である。

【図5】図５は、同実施形態における再暗号化処理の動作を説明するためのシーケンス図である。

【図6】図６は、同実施形態における復号処理の動作を説明するためのシーケンス図である。

【図7】図７は、同実施形態におけるファイル共有システムの構成を例示する図である。

【図8】図８は、同実施形態におけるファイル共有システムの模式図である。

【図9】図９は、同実施形態におけるファイル共有システムの構成を例示する図である。

【図10】図１０は、同実施形態におけるファイル共有システムの構成を例示する図である。

【図11】図１１は、同実施形態における再暗号化鍵生成装置の構成を示す模式図である。

【発明を実施するための形態】

【0026】

以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、図１に示すように、予めネットワーク又は非一時的なコンピュータ読み取り可能な記憶媒体（non-transitory computer-readable storage medium）Ｍ１〜Ｍ５からコンピュータにインストールされ、当該コンピュータのプロセッサに実行されることにより、対応する装置の機能を実現させるためのプログラムが用いられる。

【0027】

（第１の実施形態）
始めに、プロキシ再暗号化方式について説明する。プロキシ再暗号化方式の基本的なモデルは以下の鍵生成、暗号化、復号、再暗号化鍵生成、再暗号化の５つの関数（以下、アルゴリズムともいう）からなる。鍵生成、暗号化、復号の機能は通常の公開鍵暗号と同様である。

【0028】

（鍵生成）KeyGen（λ）→（ｐｋ，ｓｋ）
鍵生成アルゴリズムKeyGenは、セキュリティパラメータλが入力されると、公開鍵ｐｋと秘密鍵ｓｋの組（ｐｋ，ｓｋ）を出力する。

【0029】

（暗号化）Enc（ｐｋ_A，ｍ）→Ｃ_A
暗号化アルゴリズムEncは、ユーザＡの公開鍵ｐｋ_Aとメッセージｍが入力されると、ユーザＡ宛の暗号文Ｃ_Aを出力する。

【0030】

（復号）Dec（ｓｋ_A，Ｃ_A）→ｍ
復号アルゴリズムDecは、ユーザＡの秘密鍵ｓｋ_Aと、ユーザＡ宛の暗号文Ｃ_Aとが入力されると、メッセージｍを出力する。

【0031】

（再暗号化鍵生成）ReKeyGen（ｐｋ_A，ｓｋ_A，ｐｋ_B，ｓｋ_B）→ｒｋ_A→B
再暗号化鍵生成アルゴリズムReKeyGenは、ユーザＡの公開鍵ｐｋ_A、ユーザＡの秘密鍵ｓｋ_A、ユーザＢの公開鍵ｐｋ_B、ユーザＢの秘密鍵ｓｋ_Bが入力されると、再暗号化鍵ｒｋ_A→Bを出力する。

【0032】

（再暗号化）ReEnc（ｒｋ_A→B，Ｃ_A）→Ｃ_B
再暗号化アルゴリズムReEncは、再暗号化鍵ｒｋ_A→Bと、ユーザＡ宛の暗号文Ｃ_Aとが入力されると、ユーザＢ宛の暗号文Ｃ_Bを出力する。

【0033】

以上が基本的なモデルである。但し、再暗号化の実現方式に応じて、関数への入力が異なるモデルや、上記以外の関数や鍵を含むモデルも考えられている。

【0034】

例えば、本実施形態に示す再暗号化方式のように、暗号化、復号、再暗号化鍵生成、再暗号化の各関数の入力として公開パラメータ（詳しくは後述する）を含んでいても良い。

【0035】

例えば、本実施形態に示す再暗号化方式のように、再暗号化鍵生成アルゴリズムReKeyGenの入力において、ユーザＢの秘密鍵ｓｋ_Bを不要とした非相互作用的（non-interactive）と呼ばれるモデルが考えられている。また、ユーザＡの秘密鍵ｓｋ_Aに代えて、ユーザＢ宛の再暗号化鍵ｒｋ_A→BとユーザＣの秘密鍵ｓｋ_Cとが入力されるモデルなども考えられている。

【0036】

また、再暗号化鍵ｒｋ_A→Bで暗号文Ｃ_A→Ｃ_Bの再暗号化を行える一方で、その逆の暗号文Ｃ_B→Ｃ_Aの変換を行えない一方向性（unidirectional）と呼ばれるモデル、逆の変換も行える双方向性（bidirectional）と呼ばれるモデルなども知られている。なお、双方向性モデルでは、再暗号化鍵ｒｋ_A→Bをｒｋ_A⇔Bと表すことがある。

【0037】

さらに、公開鍵暗号の中でもＩＤベース暗号に基づく方式も考えられている。その場合、マスター鍵生成のための関数セットアップ（Setup）が増え、鍵生成アルゴリズムKeyGenの入力にマスター鍵とＩＤが追加される。ＩＤベース暗号において、公開鍵ｐｋはＩＤそのものである。

【0038】

また、本実施形態に示す再暗号化方式のように、再暗号化鍵生成アルゴリズムReKeyGenにおいて、ユーザＢの公開鍵ｐｋ_Bに代えて、ユーザＢの再暗号化鍵生成鍵ｒｋ_Bを入力するようにしても良い。この場合、鍵生成アルゴリズムKeyGenと再暗号化鍵生成アルゴリズムReKeyGenは、以下のように表される。

【0039】

（鍵生成）KeyGen（λ）→（ｐｋ，ｓｋ，ｒｋ，ｐａｒ）
鍵生成アルゴリズムKeyGenは、セキュリティパラメータλが入力されると、公開鍵ｐｋ、秘密鍵ｓｋ、及び再暗号化鍵生成鍵ｒｋの組（ｐｋ，ｓｋ，ｒｋ）と公開パラメータｐａｒを出力する。なお、本実施形態では、この処理を鍵セットアップ処理と呼ぶ。これは後述する実施形態や変形例においても同様である。

【0040】

（再暗号化鍵生成）ReKeyGen（ｓｋ_A，ｒｋ_B，ｐａｒ）→ｒｋ_A→B
再暗号化鍵生成アルゴリズムReKeyGenは、ユーザＡの秘密鍵ｓｋ_A、ユーザＢの再暗号化鍵生成鍵ｒｋ_B、公開パラメータｐａｒが入力されると、再暗号化鍵ｒｋ_A→Bを出力する。

【0041】

また、本実施形態に示す再暗号化方式のように、再暗号化アルゴリズムReEncの入力として、ユーザＡの公開鍵ｐｋ_Aと公開パラメータｐａｒを追加しても良い。この場合、再暗号化アルゴリズムReEncは、以下のように表される。

【0042】

（再暗号化）ReEnc（ｒｋ_A→B，Ｃ_A，ｐｋ_A，ｐａｒ）→Ｃ_B
再暗号化アルゴリズムReEncは、再暗号化鍵ｒｋ_A→Bと、ユーザＡ宛の暗号文Ｃ_Aと、ユーザＡの公開鍵ｐｋ_Aと、公開パラメータｐａｒとが入力されると、ユーザＢ宛の暗号文Ｃ_Bを出力する。

【0043】

次に、本実施形態に係るファイル共有システムの構成について図７を用いて説明する。ファイル共有システムは、サービスを提供するサービス提供者の有する情報処理装置であるサーバＳｖと、当該サービスの利用者であるユーザの有する情報処理装置であるユーザ装置Ａ，Ｂ，Ｃ，…（以下、ユーザＡ，Ｂ，Ｃ，…と略記する場合もある。また、第１ユーザ装置，第２ユーザ装置，…と呼ぶこともある。）とを備えている。サーバＳｖと、ユーザ装置Ａ，Ｂ，Ｃ，…とは通信網を介して接続されている。通信網とは、例えば、無線ＬＡＮ（Local Area Network）、有線ＬＡＮ、光回線網、電話回線網、イントラネット、イーサネット（登録商標）及びインターネットやこれらの組み合わせである。サーバＳｖは１台のみを設けてもよく、複数台を設けても良い。

【0044】

図８は、ファイル共有システムの模式図である。このファイル共有システムは、サーバＳｖ、ユーザＡ、ユーザＢ、ユーザＣ、グループ管理者、及びユーザ管理者からなる。ユーザ管理者とは、全ユーザを管理するエンティティである。ユーザ管理者は、ユーザがファイル共有システムにログインできるようにするためのＩＤと初期パスワードを各ユーザに対して発行する。

【0045】

事前準備として、グループ管理者は秘密鍵ｓｋ_Grを持っているものとする。また、グループ管理者の公開鍵ｐｋ_GrはサーバＳｖの公開鍵記憶部１に記憶されているとする。また、各ユーザｉは、秘密鍵ｓｋ_iと再暗号化鍵生成鍵ｒｋ_iを持っているものとする。つまり、ユーザＡはｓｋ_Aとｒｋ_A、ユーザＢはｓｋ_Bとｒｋ_B、ユーザＣはｓｋ_Cとｒｋ_Cをそれぞれ持っている。なお、サーバＳｖと各ユーザｉは、公開パラメータｐａｒと各ユーザｉの公開鍵ｐｋ_iを取得可能であるが、ここでは説明を省略し、詳しくは後述する。また、共有しようとする平文のファイルデータをｍと表記する。

【0046】

ユーザＣは、公開鍵記憶部１に記憶されているグループ管理者の公開鍵ｐｋ_Grでファイルデータｍを暗号化し、得られた暗号文Ｅ（ｐｋ_Gr，ｍ）をサーバＳｖへアップロードする。ここで、Ｅ（ＰＫ，Ｍ）とは、公開鍵ＰＫを用いて平文Ｍを暗号化した暗号文を表す。サーバＳｖは、暗号文記憶部２においてこの暗号文を保管する。

【0047】

今、ユーザＡがファイルデータｍの共有を承諾したとする。ユーザＡは、グループ管理者へユーザＡの再暗号化鍵生成鍵ｒｋ_Aを送信する。グループ管理者は、グループ管理者の秘密鍵ｓｋ_GrとユーザＡの再暗号化鍵生成鍵ｒｋ_Aを用いて、グループ管理者宛の暗号文Ｅ（ｐｋ_Gr，ｍ）をユーザＡ宛の暗号文Ｅ（ｐｋ_A，ｍ）に再暗号化する再暗号化鍵ｒｋ_Gr→Aを生成する。グループ管理者は、生成した再暗号化鍵ｒｋ_Gr→AをサーバＳｖへ送信する。サーバＳｖは、再暗号化鍵記憶部３においてこの再暗号化鍵ｒｋ_Gr→Aを保管する。

【0048】

ユーザＡは、サーバＳｖに対して暗号文Ｅ（ｐｋ_Gr，ｍ）の再暗号化の要求を送信する。サーバＳｖは、ユーザＡから受けた要求に対し、再暗号化鍵記憶部３に記憶されているユーザＡ宛の再暗号化鍵ｒｋ_Gr→Aを用いて、暗号文Ｅ（ｐｋ_Gr，ｍ）をユーザＡ宛の再暗号文Ｅ（ｐｋ_A，ｍ）に再暗号化し、得られた再暗号文Ｅ（ｐｋ_A，ｍ）をユーザＡに送信する。ここで、再暗号文とは、暗号文を再暗号化した暗号文である。

【0049】

ユーザＡは、サーバＳｖからダウンロードした再暗号文Ｅ（ｐｋ_A，ｍ）を自身が保有する秘密鍵ｓｋ_Aで復号し、得られたファイルデータｍを利用する。

【0050】

以上のようなファイル共有システムは、ユーザＣによる暗号化からユーザＡによる復号までの間、ファイルデータｍが一度も復号されないため、ファイル共有の過程における情報の漏洩を阻止することができる。

【0051】

また、ユーザＣは、暗号文をアップロードする時点で、どのユーザとファイル共有するかを決定する必要がない。つまり、ユーザＣは、ファイルデータｍをグループ管理者の公開鍵ｐｋ_Grで暗号化すれば良く、暗号化に関して管理すべき鍵がグループ管理者の公開鍵ｐｋ_Grのみで良いので、鍵管理のコストを低減させることができる。

【0052】

本ファイル共有システムにおいて、サーバＳｖは、暗号文Ｅ（ｐｋ_Gr，ｍ）を復号するための復号鍵sｋ_Grを持たない。従って、サーバＳｖはこの暗号文を復号できない。これにより、不正なサーバＳｖが暗号文を復号して漏洩させてしまうといった脅威を排除できるため、サーバＳｖの厳重な管理が不要となり、サーバＳｖの管理コストの低減に繋がる。

【0053】

プロキシ再暗号化方式では、移譲元（上述の例ではグループ管理者）宛の暗号文を移譲先（上述の例ではユーザＡ）宛の暗号文に再暗号化することにより、暗号文の復号権限が移譲先へ移譲される。ここで、プロキシ再暗号化方式では、再暗号化鍵生成アルゴリズムReKeyGenの入力に、（移譲先の秘密鍵は含まれず）移譲先の公開鍵が含まれる。このため、例えばユーザｉが、ユーザＡの公開鍵ｐｋ_Aを用いて別のファイルデータｍ’を暗号化してユーザＡ宛の暗号文Ｅ（ｐｋ_A，ｍ’）を生成できるようにするために、ユーザＡの公開鍵ｐｋ_Aは（例えばシステムを立ち上げる際など）予め公開される。

【0054】

一方、ユーザＡが暗号文の復号権限のユーザＡへの移譲を承諾していない場合でも、ユーザＡの公開鍵ｐｋ_Aが既に公開されているため、グループ管理者は再暗号化鍵ｒｋ_Gr→Aを生成できてしまう。従って、ユーザＡの承諾なく再暗号化（つまり、暗号文の復号権限のユーザＡへの移譲）を行われてしまう可能性がある。

【0055】

それに対して、本ファイル共有システムにおいては、移譲先であるユーザＡがユーザＡの再暗号化鍵生成鍵ｒｋ_Aをグループ管理者に送信しなければ、グループ管理者は再暗号化鍵ｒｋ_Gr→Aを生成できない。従って、移譲先の承諾なく再暗号化（つまり、暗号文の復号権限の当該移譲先への移譲）を行えないようにすることができる。

【0056】

ユーザＢがファイル共有を行う際も上記と同様である。

【0057】

図１は第１の実施形態に係る再暗号化システムの構成を示す模式図である。（図１と図８の対応関係については後述する。）この再暗号化システムは、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０を備えている。ここで、鍵生成装置１０は、セキュリティパラメータに基づいて、再暗号化システムの公開パラメータ及び各装置３０，５０の公開鍵・秘密鍵のペアと再暗号化鍵生成鍵を生成する。ここで、再暗号化鍵生成鍵は、各装置３０，５０の秘密鍵に対応する公開鍵とは異なる鍵である。なお、「再暗号化鍵生成鍵」の用語は、例えば、「再暗号化鍵生成データ」又は「再暗号化鍵生成許可データ」等といった所望の名称に読み替えてもよい。

【0058】

暗号化装置２０は、再暗号化鍵生成装置３０の秘密鍵に対応する公開鍵と公開パラメータを用いて平文データを暗号化し、得られた暗号文データを再暗号化装置４０に送信する。

【0059】

再暗号化鍵生成装置３０は、再暗号化鍵生成装置３０の秘密鍵、復号装置５０の再暗号化鍵生成鍵、及び複数の乱数に基づいて再暗号化鍵を生成し、得られた再暗号化鍵を再暗号化装置４０に送信する。なお、復号装置５０の再暗号化生成鍵は、復号装置５０の秘密鍵に対応する公開鍵とは異なる。また、本実施形態では、再暗号化鍵が、再暗号化鍵生成装置３０の秘密鍵と、復号装置５０の再暗号化鍵生成鍵と、公開パラメータと、複数の乱数とに基づいて生成される。但し、再暗号化鍵の生成の際に、乱数を直接用いることは必須ではなく、乱数に基づいて生成していればよい。例えば、乱数θを直接用いずに、乱数θ（＝θ₁＋θ₂）に基づく値「θ₁＋θ₂」を用いて再暗号化鍵を生成してもよい。

【0060】

再暗号化装置４０は、再暗号化鍵生成装置３０の公開鍵、公開パラメータ、及び再暗号化鍵生成装置３０から受けた再暗号化鍵に基づいて、暗号化装置２０から受けた暗号文データを検証処理すると共に、暗号化装置２０から受けた暗号文データを復号せずに再暗号化し、得られた再暗号文データを復号装置５０に送信する。但し、検証処理は必須ではなく、省略してもよい。

【0061】

復号装置５０は、自装置５０の秘密鍵と公開パラメータに基づいて、再暗号化装置４０から受けた再暗号文データを検証処理すると共に、再暗号化装置４０から受けた再暗号文データを復号処理して平文データを得る。但し、検証処理は必須ではなく、省略してもよい。なお、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０は、それぞれ複数台が設けられていてもよいが、ここでは一台ずつ設けられている場合を例に挙げて述べる。また、暗号化装置２０は、暗号化装置２０の公開鍵と公開パラメータを用いて平文データを暗号化して得られた暗号文データを再暗号化装置４０に送信しても良い。この場合、鍵生成装置１０は、公開パラメータ及び各装置２０，５０の公開鍵・秘密鍵のペアと再暗号化鍵生成鍵を生成する。再暗号化鍵生成装置３０は、暗号化装置２０の秘密鍵と、復号装置５０の再暗号化鍵生成鍵と、公開パラメータと、複数の乱数とを用いて再暗号化鍵を生成し、得られた再暗号化鍵を再暗号化装置４０に送信する。

【0062】

図１と図８の対応関係について説明する。各装置１０〜５０は、当該処理を行うエンティティにより保持される。ユーザが自身の公開鍵と秘密鍵の組と再暗号化鍵生成鍵を生成する場合、当該ユーザは鍵生成装置１０を保持する。なお、例えば、ユーザ管理者又はグループ管理者がユーザの公開鍵と秘密鍵の組と再暗号化鍵生成鍵を生成する場合、ユーザ管理者又はグループ管理者が鍵生成装置１０を保持する。ユーザは、暗号化装置２０、復号装置５０、又は両方を保持する。グループ管理者は、再暗号化鍵生成装置３０を保持する。なお、例えば、ユーザ管理者又はサーバＳｖが再暗号化鍵を生成する場合、ユーザ管理者又はサーバＳｖが再暗号化鍵生成装置３０を保持する。サーバＳｖは、再暗号化装置４０を保持する。図８に例示したファイル共有システムにおいては、サーバＳｖが公開鍵記憶部１を保持し、暗号化を行うユーザＣは、公開鍵記憶部１から暗号化に用いる公開鍵を取得しているが、これに限らず、後述するように、ユーザＣは（暗号化に用いる公開鍵を生成した）鍵生成装置１０から暗号化に用いる公開鍵を取得しても良い。また、サーバＳｖは、ユーザＣが生成した暗号文Ｅ（ｐｋ_Gr，ｍ）を暗号文記憶部２において保管するが、暗号文記憶部２は再暗号化装置４０に含まれていても良いし、再暗号化装置４０に含まれない外部の記憶装置であっても良い。

【0063】

各エンティティは、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０の一部又は全部を保持しても良い。つまり、どのエンティティがどの装置を保持するかについては、上述の例に限定されるものではなく、様々なバリエーションが考えられる。また、ユーザ管理者とグループ管理者が同一の場合もあるし、異なる場合もある。また、ユーザがユーザ管理者、グループ管理者又は両者を兼ねる場合も兼ねない場合もある。また、ユーザ管理者又はグループ管理者がユーザを兼ねる場合も兼ねない場合もある。また、各ユーザが用いる各ユーザ装置は、第１ユーザ装置、第２ユーザ装置、…と呼んでもよい。同様に、各ユーザ装置の公開鍵、秘密鍵、及び再暗号化鍵生成鍵は、第１ユーザ装置の第１公開鍵、第１秘密鍵、及び第１再暗号化鍵生成鍵、第２ユーザ装置の第２公開鍵、第２秘密鍵、及び第２再暗号化鍵生成鍵、…と呼んでもよい。

【0064】

また、例えば、図９、図１０にそれぞれ示すように、各エンティティが各装置を保持しても良い。図９において、サーバＳｖ２は鍵生成装置１０を保持し、公開パラメータ、ユーザＡの公開鍵と秘密鍵の組と再暗号化鍵生成鍵、及びユーザＢの公開鍵と秘密鍵の組と再暗号化鍵生成鍵を生成する。サーバＳｖ２は、公開パラメータ、ユーザＡの公開鍵と秘密鍵の組と再暗号化鍵生成鍵をユーザＡに渡し、公開パラメータ、ユーザＢの公開鍵と秘密鍵の組と再暗号化鍵生成鍵をユーザＢに渡し、公開パラメータ、ユーザＡの公開鍵をサーバＳｖ１に渡す。ユーザＡは暗号化装置２０を保持し、ユーザＡの公開鍵と公開パラメータを用いて平文データを暗号化し、得られた暗号文データをサーバＳｖ１に送信する。サーバＳｖ２は再暗号化鍵生成装置３０を保持し、ユーザＡの秘密鍵、ユーザＢの再暗号化鍵生成鍵、公開パラメータ、及び複数の乱数に基づいて再暗号化鍵を生成し、得られた再暗号化鍵をサーバＳｖ１に渡す。サーバＳｖ１は再暗号化装置４０を保持し、サーバＳｖ２から受けたユーザＡの公開鍵、公開パラメータ、及び再暗号化鍵に基づいて、ユーザＡから受けた暗号文データを検証処理すると共に、ユーザＡから受けた暗号文データを復号せずに再暗号化し、得られた再暗号文データをユーザＢに渡す。ユーザＢは復号装置５０を保持し、ユーザＢの秘密鍵と公開パラメータに基づいて、サーバＳｖ１から受けた再暗号文データを検証処理すると共に、サーバＳｖ１から受けた再暗号文データを復号処理して平文データを得る。なお、各エンティティ間のデータの授受は、有線通信又は無線通信等の電気的な通信手段に限らず、例えば、再暗号化鍵生成鍵、再暗号化鍵、暗号文データ又は再暗号文データ等のデータを記憶した記憶媒体をオフラインで配送又は手渡しする物理的な通信手段を用いてもよい。あるいは、各エンティティ間のデータの授受は、電気的な通信手段と、物理的な通信手段とを組合せて用いてもよい。

【0065】

図１０において、ユーザＡは鍵生成装置１０を保持し、公開パラメータ、ユーザＡの公開鍵と秘密鍵の組と再暗号化鍵生成鍵、及びユーザＢの公開鍵と秘密鍵の組と再暗号化鍵生成鍵を生成する。ユーザＡは、公開パラメータ、ユーザＢの公開鍵と秘密鍵の組と再暗号化鍵生成鍵をユーザＢに渡し、公開パラメータ、ユーザＡの公開鍵をサーバＳｖ１に渡す。ユーザＡは暗号化装置２０を保持し、ユーザＡの公開鍵と公開パラメータを用いて平文データを暗号化し、得られた暗号文データをサーバＳｖ１に送信する。ユーザＡは再暗号化鍵生成装置３０を保持し、ユーザＡの秘密鍵、ユーザＢの再暗号化鍵生成鍵、公開パラメータ、及び複数の乱数に基づいて再暗号化鍵を生成し、得られた再暗号化鍵をサーバＳｖ１に渡す。サーバＳｖ１は再暗号化装置４０を保持し、ユーザＡから受けたユーザＡの公開鍵、公開パラメータ、及び再暗号化鍵に基づいて、ユーザＡから受けた暗号文データを検証処理すると共に、ユーザＡから受けた暗号文データを復号せずに再暗号化し、得られた再暗号文データをユーザＢに渡す。ユーザＢは復号装置５０を保持し、ユーザＢの秘密鍵と公開パラメータに基づいて、サーバＳｖ１から受けた再暗号文データを検証処理すると共に、サーバＳｖ１から受けた再暗号文データを復号処理して平文データを得る。

【0066】

続いて、各装置１０〜５０の構成を具体的に説明する。

【0067】

鍵生成装置１０は、鍵生成パラメータ記憶部１１、一時データ記憶部１２、公開パラメータ生成部１３、鍵生成部１４、通信部１５及び制御部１６を備えている。

【0068】

ここで、鍵生成パラメータ記憶部１１は、鍵生成パラメータを記憶する記憶装置である。

【0069】

一時データ記憶部１２は、各生成部１３，１４の処理途中及び処理結果などの一時的なデータ（以下、一時データともいう）を記憶する記憶装置である。

【0070】

公開パラメータ生成部１３は、鍵生成の公開パラメータを生成する。

【0071】

鍵生成部１４は、公開鍵・秘密鍵のペアと再暗号化鍵生成鍵を生成する。

【0072】

通信部１５は、他の装置２０〜５０と通信するための通信インタフェースであり、例えば、制御部１６に制御されて一時データ記憶部１２内の公開パラメータ、各３０，５０の公開鍵・秘密鍵のペア及び再暗号化鍵生成鍵を当該各装置３０，５０に送信する機能と、制御部１６に制御されて一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵を暗号化装置２０に送信する機能と、制御部１６に制御されて一時データ記憶部１２内の公開パラメータと再暗号化鍵生成装置３０の公開鍵を再暗号化装置４０に送信する機能と、をもっている。なお、以下の説明では、送受信時の冗長な記載を避ける観点から、送受信の際に、通信部１５を介する旨の記載を省略する場合がある。これは他の装置２０〜５０の通信部についても同様である。

【0073】

制御部１６は、図２に示す動作を実行するように、各部１１〜１５を制御する機能をもっている。

【0074】

暗号化装置２０は、一時データ記憶部２１、通信部２２、暗号化パラメータ生成部２３、暗号文生成部２４及び制御部２５を備えている。

【0075】

ここで、一時データ記憶部２１は、鍵生成装置１０から受けた公開パラメータと再暗号化鍵生成装置３０の公開鍵や、各生成部２３，２４の処理途中及び処理結果などの一時的なデータを記憶する記憶装置である。

【0076】

通信部２２は、他の装置１０，３０〜５０と通信するための通信インタフェースであり、例えば、鍵生成装置１０から受けた公開パラメータ及び再暗号化鍵生成装置３０の公開鍵を取得して一時データ記憶部２１に書き込む機能や、制御部２５に制御されて一時データ記憶部２１内の暗号文データを再暗号化装置４０に送信する機能をもっている。

【0077】

暗号化パラメータ生成部２３は、暗号化パラメータを生成する機能をもっている。

【0078】

暗号文生成部２４は、一時データ記憶部２１から読み出した公開パラメータ及び再暗号化鍵生成装置３０の公開鍵（第１ユーザ装置の第１公開鍵）を用いて平文データを暗号化することにより、暗号文データを生成する機能と、得られた暗号文データを一時データ記憶部２１に書き込む機能とをもっている。

【0079】

制御部２５は、図３に示す動作を実行するように、各部２１〜２４を制御する機能をもっている。

【0080】

再暗号化鍵生成装置３０は、秘密鍵記憶部３１、一時データ記憶部３２、通信部３３、再暗号化鍵生成部３４、制御部３５及び乱数生成部３６を備えている。

【0081】

秘密鍵記憶部３１は、鍵生成装置１０から受けた再暗号化鍵生成装置３０の秘密鍵を記憶する記憶装置である。

【0082】

一時データ記憶部３２は、鍵生成装置１０から受けた公開パラメータと復号装置５０の再暗号化鍵生成鍵や、再暗号化鍵生成部３４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0083】

通信部３３は、他の装置１０，２０，４０，５０と通信するための通信インタフェースであり、例えば、鍵生成装置１０から受けた公開パラメータ及び復号装置５０の再暗号化鍵生成鍵を取得して一時データ記憶部３２に書き込む機能や、制御部３５に制御されて一時データ記憶部３２内の再暗号化鍵を再暗号化装置４０に送信する機能をもっている。

【0084】

再暗号化鍵生成部３４は、秘密鍵記憶部３１から読み出した再暗号化鍵生成装置３０の秘密鍵（第１ユーザ装置の第１秘密鍵）と、一時データ記憶部３２から読み出した公開パラメータ及び復号装置５０の再暗号化鍵生成鍵（第２ユーザ装置の第２再暗号化鍵生成鍵）と、乱数生成部３６により生成された複数の乱数とに基づいて再暗号化鍵を生成する機能と、この再暗号化鍵を一時データ記憶部３２に書き込む機能とをもっている。

【0085】

ここで、第２再暗号化鍵生成鍵は、公開パラメータ（複数のシステム固有値）及び復号装置５０の秘密鍵（第２ユーザ装置の第２秘密鍵）からなる。

【0086】

再暗号化鍵は、分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含んでいる。

【0087】

分子部分は、公開パラメータ（各システム固有値）間の関係性を定める複数の秘密値と各乱数とのうちの少なくとも一つを作用させた第２秘密鍵の線形結合の形を有する。

【0088】

分母部分は、再暗号化鍵生成装置３０の秘密鍵（第１ユーザ装置の第１秘密鍵）からなる。

【0089】

制御部３５は、図４に示す動作を実行するように、各部３１〜３４，３６を制御する機能をもっている。

【0090】

乱数生成部３６は、乱数を生成して再暗号化鍵生成部３４に送出する機能をもっている。

【0091】

なお、再暗号化鍵生成装置３０は、鍵生成装置１０から自装置３０の再暗号化鍵生成鍵を受信する場合、鍵生成装置１０から受けた自装置３０の再暗号化鍵生成鍵を記憶する記憶装置である再暗号化鍵生成鍵記憶部をもつ（図示せず）。

【0092】

再暗号化装置４０は、再暗号化鍵記憶部４１、一時データ記憶部４２、通信部４３、再暗号化処理部４４、再暗号化パラメータ生成部４５及び制御部４６を備えている。

【0093】

再暗号化鍵記憶部４１は、再暗号化鍵生成装置３０から受けた再暗号化鍵を記憶する記憶装置である。

【0094】

一時データ記憶部４２は、鍵生成装置１０から受けた公開パラメータと再暗号化鍵生成装置３０の公開鍵や、再暗号化処理部４４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0095】

通信部４３は、他の装置１０〜３０，５０と通信するための通信インタフェースであり、例えば、鍵生成装置１０から受けた公開パラメータ及び再暗号化鍵生成装置３０の公開鍵を取得して一時データ記憶部４２に書き込む機能や、暗号化装置２０から受けた暗号文データを再暗号化処理部４４に送出する機能と、制御部４６に制御されて一時データ記憶部４２内の再暗号文データを復号装置５０に送信する機能とをもっている。

【0096】

再暗号化処理部４４は、暗号化装置２０から暗号文データを受けると、再暗号化鍵記憶部４１から読み出した再暗号化鍵、及び一時データ記憶部４２から読み出した公開パラメータと再暗号化鍵生成装置３０の公開鍵を用いて当該暗号文データを復号せずに再暗号化することにより、再暗号文データを得る機能と、得られた再暗号文データを一時データ記憶部４２に書き込む機能とをもっている。

【0097】

制御部４６は、図５に示す動作を実行するように、各部４１〜４５を制御する機能をもっている。

【0098】

復号装置５０は、秘密鍵記憶部５１、一時データ記憶部５２、通信部５３、復号処理部５４、再暗号化鍵生成鍵記憶部５５、及び制御部５６を備えている。

【0099】

秘密鍵記憶部５１は、鍵生成装置１０から受けた自装置５０の秘密鍵を記憶する記憶装置である。

【0100】

一時データ記憶部５２は、鍵生成装置１０から受けた公開パラメータや、復号処理部５４の処理途中及び処理結果などの一時データを記憶する記憶装置である。

【0101】

通信部５３は、他の装置１０〜４０と通信するための通信インタフェースであり、例えば、鍵生成装置１０から受けた自装置５０の秘密鍵を取得して秘密鍵記憶部５１に書き込む機能と、鍵生成装置１０から受けた公開パラメータを取得して一時データ記憶部５２に書き込む機能と、再暗号化装置４０から受けた再暗号化データを復号処理部５４に送出する機能とをもっている。

【0102】

復号処理部５４は、再暗号化装置４０から再暗号文データを受けると、秘密鍵記憶部５１から読み出した当該復号装置５０の秘密鍵（第２ユーザ装置の第２秘密鍵）、及び一時データ記憶部５２から読み出した公開パラメータを用いて、当該再暗号文データを復号処理することにより、平文データを得る機能と、得られた平文データを一時データ記憶部５２に書き込む機能とをもっている。

【0103】

再暗号化鍵生成鍵記憶部５５は、鍵生成装置１０から受けた自装置５０の再暗号化鍵生成鍵を記憶する記憶装置である。

【0104】

制御部５６は、図６に示す動作を実行するように、各部５１〜５５を制御する機能をもっている。

【0105】

なお、本実施形態では、例えば公開パラメータは各装置１０〜５０の一時データ記憶部に記憶される。しかしこれに限らず、公開パラメータは各装置１０〜５０の（一時データ記憶部とは別の）記憶部に記憶されていても良い。このように、各装置１０〜５０の一時データ記憶部に記憶されるデータの内、一時的なデータとして扱わなくてもよいデータは、（一時データ記憶部とは別の）記憶部にそれぞれ記憶されていても良い。また、公開パラメータが複数の要素で構成されている場合、各装置２０〜５０は、公開パラメータの各要素の内、後述する各処理においてそれぞれ必要な要素のみを取得しても良い。これらは後述する実施形態や変形例においても同様である。

【0106】

次に、以上のように構成された再暗号化システムの動作を図２乃至図６のシーケンス図を用いて説明する。

【0107】

また、以下の動作は（１）鍵セットアップ処理、（２）暗号化処理、（３）再暗号化鍵生成処理、（４）再暗号化処理、（５）復号処理の手順で実行される場合を例に挙げて述べる。但し、以下の動作は、必ずしも上記手順で処理を実行しなくてもよい。例えば、再暗号化鍵生成は、暗号化処理の前に実行されてもよい。また、再暗号化処理が実行されずに、暗号文データが復号されてもよい。

【0108】

（１）鍵セットアップ処理は、鍵生成装置１０により、図２及び以下の各ステップＳＴ１〜ＳＴ８に示すように実行される。

【0109】

始めに、鍵生成装置１０の公開パラメータ生成部１３は、予め鍵パラメータ記憶部１１に記憶したセキュリティパラメータλに基づいて、公開パラメータ

【数1】

【0110】

を生成する、又は外部から入手する（ＳＴ１）。具体的には、公開パラメータ生成部１３は、予め鍵パラメータ記憶部１１に記憶したセキュリティパラメータλに基づいて、位数p＞２^λを満たす双線型写像群(bilinear map groups)（Ｇ₁，Ｇ₂，Ｇ_T）を選択する。ここで、ｐは整数である。ｐは素数であっても良いし、合成数であっても良い。

【0111】

公開パラメータ生成部１３は、Ｇ₁の元（げん）ｇをＧ₁から、Ｇ₂の元（げん）ｈをＧ₂から、それぞれランダムに選択する。公開パラメータ生成部１３は、α，β，δ，ωをＺ_p^＊からランダムに選択し、ｇ₁＝ｇ^α，ｇ₂＝ｇ^β，ｕ₁＝ｇ^δ，ｖ₁＝ｇ^ω，ｈ₁＝ｈ^α，ｈ₂＝ｈ^β，ｕ₂＝ｈ^δ，ｖ₂＝ｈ^ωを計算する。

【0112】

ここで、ｇ^αはｇのα乗、すなわち、群Ｇ₁においてｇをα個掛けたものを表す。他についても同様である。

【0113】

また、ｇ₁＝ｇ^αのとき、αはＧ₁におけるｇとｇ₁の関係性を定める数（秘密値）であり，群Ｇ₁が乗法群の場合、特に「ベキ指数」と呼ばれる。

【0114】

なお、Ｚ_p^＊はＺ_pかつpと互いに素な整数の集合（＝（Ｚ/pＺ）^＊）であり、pに対する乗法群Ｚ_p^＊と呼んでもよい。Ｚ_pは０以上p未満の整数の集合（＝（Ｚ/pＺ）である。

【0115】

さらに、公開パラメータ生成部１３は、使い捨て署名（one-time signature）アルゴリズム

【数2】

【0116】

使い捨て署名については、A. Menezes, P. van Oorschot, S. Vanstone, “Handbook of Applied Cryptography”, CRC Press, (1996) pp.462-471, (1996)に詳しい。

【0117】

また、双線型写像（ｅと表記する）とは、ｅ：Ｇ₁×Ｇ₂→Ｇ_Tとなる写像であり、以下の３つの性質を満たす。

【0118】

１．任意の（ｇ，ｈ）∈Ｇ₁×Ｇ₂及びａ，ｂ∈Ｚについて、ｅ（ｇ^ａ，ｈ^ｂ）＝ｅ（ｇ，ｈ）^ａｂが成り立つ。ここで、Ｚとは整数の集合である。

【0119】

２．任意の（ｇ，ｈ）∈Ｇ₁×Ｇ₂について、ｅ（ｇ，ｈ）が計算可能である。

【0120】

３．ｇ，ｈ≠１_G1かつｈ≠１_G2である場合は常にｅ（ｇ，ｈ）≠１_GTが成り立つ。ここで、１_G1とはＧ₁の単位元であり、１_G2とはＧ₂の単位元であり、１_GTとはＧ_Tの単位元である。

【0121】

また、双線型写像群(bilinear map groups)（Ｇ₁，Ｇ₂，Ｇ_Tと表記する）とは、双線型写像ｅ：Ｇ₁×Ｇ₂→Ｇ_Tが存在する位数ｐの群である。上記の定義は、Ｇ₁の元ｇ，ｇ₁，ｇ₂、Ｇ₂の元ｈ，ｈ₁，ｈ₂、について、ｇ₁＝ｇ^α、ｇ₂＝ｇ^β、ｈ₁＝ｈ^α、ｈ₂＝ｈ^βとすると、次式が成り立つことも意味する。

【0122】

ｅ（ｇ，ｈ₁ｈ₂）＝ｅ（ｇ，ｈ^α・ｈ^β）＝ｅ（ｇ，ｈ^α＋β）＝ｅ（ｇ，ｈ）^α＋β＝ｅ（ｇ，ｈ）^α・ｅ（ｇ，ｈ）^β ＝ｅ（ｇ^α＋β，ｈ）＝ｅ（ｇ^α・ｇ^β，ｈ）＝ｅ（ｇ₁ｇ₂，ｈ）
この関係より、以降の実施形態において、ｅ（ｇ₁ｇ₂，ｈ）をｅ（ｇ，ｈ₁ｈ₂）に置き換えてもよい。なお、Ｇ₁の複数の元ｇ，ｇ₁，ｇ₂，ｕ₁，ｖ₁、およびＧ₂の複数の元ｈ，ｈ₁，ｈ₂，ｕ₂，ｖ₂は、予め定められた複数のシステム固定値となっている。α，β，δ，ωは、各システム固有値間の関係性を定める複数の秘密値である。また、「システム固定値」の語は、「固定値」、「元」、「公開パラメータ」又は「システムパラメータ」などと読み替えてもよい。

【0123】

また、本明細書では、Ｇ₁、Ｇ₂、Ｇ_Tをともに乗法群と想定した記法を採用しているが、これに限らず、Ｇ₁、Ｇ₂、Ｇ_Tそれぞれについて、加法群と想定した記法で表すことも可能である。つまり、例えば、Ｇ₁、Ｇ₂を加法群、Ｇ_Tを乗法群として表現しても良い。 例えば、Ｇ₁、Ｇ₂の元が楕円曲線上の点であり、Ｇ_Tの元が有限体上の元であっても良い。

【0124】

Ｇ₁、Ｇ₂が加法群の場合、Ｇ₁、Ｇ₂における演算が、乗算が加算に置き換えられる。例えば、Ｇ₁、Ｇ₂の元が楕円曲線上の点である場合、Ｇ₁、Ｇ₂における演算は点加算となる。例えばｇ₁は、ｇ₁＝αｇと置き換えられる。ここでｇ₁＝αｇはｇのα倍、すなわち、群Ｇ₁においてｇをα個足したものを表す。他の公開パラメータについても同様である。また、これ以降の数式も同様に置き換えることができる。

【0125】

また、ｇ₁＝αｇのとき、αはＧ₁におけるｇとｇ₁の関係性を定める秘密値であり、群Ｇ₁が加法群の場合特に「スカラー」と呼ばれる。例えば、Ｇ₁、Ｇ₂の元が楕円曲線上の点である場合、αｇを求める演算はスカラー倍算とも呼ばれる。

【0126】

また、双線形写像においては、Ｇ₁の元ｇ，ｇ₁，ｇ₂、Ｇ₂の元ｈ，ｈ₁，ｈ₂、について、ｇ₁＝αｇ、ｇ₂＝βｇ、ｈ₁＝αｈ、ｈ₂＝βｈとすると、次式が成り立つ。

【0127】

ｅ（ｇ，ｈ₁＋ｈ₂）＝ｅ（ｇ，αｈ＋βｈ）＝ｅ（ｇ，（α＋β）ｈ）＝ｅ（ｇ，ｈ）^α＋β＝ｅ（ｇ，ｈ）^α・ｅ（ｇ，ｈ）^β ＝ｅ（（α＋β）ｇ，ｈ）＝ｅ（αｇ＋βｇ，ｈ）＝ｅ（ｇ₁＋ｇ₂，ｈ）
また、双線型写像として、双線型写像群Ｇ＝Ｇ₁＝Ｇ₂、Ｇ_Tについて、ｅ：Ｇ×Ｇ→Ｇ_Tとなる写像を用いても良い。

【0128】

続いて、公開パラメータ生成部１３は、生成した公開パラメータｐａｒを一時データ記憶部１２に書き込む。鍵生成装置１０は、一時データ記憶部１２内の公開パラメータｐａｒ＝（λ，ｐ，Ｇ₁，Ｇ₂，Ｇ_T，ｇ，ｇ₁，ｇ₂，ｈ，ｈ₁，ｈ₂，ｕ₁，ｕ₂，ｖ₁，ｖ₂，Sig）を公開する（ＳＴ２）。なお、ステップＳＴ１を実行する前に公開パラメータが既に公開されていた場合、その公開パラメータを一時データ記憶部１２に書き込み、ステップＳＴ１及びステップＳＴ２をスキップしても良い。

【0129】

また、鍵生成部１４は、再暗号化鍵生成装置３０の識別情報をｉとしたとき、Ｚ_p^＊の元ｘ_i，ｙ_i，ｚ_iをＺ_p^＊からランダムに選択し、再暗号化鍵生成装置３０の秘密鍵ｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i）とする。そして、鍵生成部１４は、この秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて再暗号化鍵生成装置３０の公開鍵ｐｋ_i＝（Ｘ_i，Ｙ_1i，Ｚ_i，Ｚ_1i）を生成する。ここで、

【数3】

【0130】

である。さらに、鍵生成部１４は、秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて再暗号化鍵生成鍵ｒｋ_i＝（Ｔ_i，Ｔ_1i，Ｔ_2i）を生成する（ＳＴ３）。ここで、

【数4】

【0131】

である。

【0132】

続いて、鍵生成部１４は、生成した公開鍵・秘密鍵のペアと再暗号化鍵生成鍵を一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｓｋ_iと再暗号化鍵生成鍵ｒｋ_iを再暗号化鍵生成装置３０に送信する（ＳＴ４）。鍵生成装置１０は、一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵ｐｋ_iを公開する（ＳＴ５）。

【0133】

また同様に、鍵生成部１４は、復号装置５０の識別情報をjとしたとき、Ｚ_p^＊の元ｘ_j，ｙ_j，ｚ_jをＺ_p^＊からランダムに選択し、復号装置５０の秘密鍵ｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j）とする。そして、鍵生成部１４は、この秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて復号装置５０の公開鍵ｐｋ_j＝（Ｘ_j，Ｙ_1j，Ｚ_j，Ｚ_1j）を生成する。ここで、

【数5】

【0134】

である。さらに、鍵生成部１４は、秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて再暗号化鍵生成鍵ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）を生成する（ＳＴ６）。ここで、

【数6】

【0135】

である。ステップＳＴ６で生成された再暗号化生成鍵（第２再暗号化生成鍵）ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）は、複数のシステム固定値（ｈ，ｈ₁，ｈ₂）及び復号装置５０の秘密鍵（第２秘密鍵）からなる。

【0136】

続いて、鍵生成部１４は、生成した公開鍵・秘密鍵のペアと再暗号化鍵生成鍵を一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｓｋ_jと再暗号化鍵生成鍵ｒｋ_jを復号装置５０に送信する（ＳＴ７）。鍵生成装置１０は、一時データ記憶部１２内の復号装置５０の公開鍵ｐｋ_jを公開する（ＳＴ８）。また、所望により、暗号化装置２０の秘密鍵ｓｋ_h、公開鍵ｐｋ_h、及び再暗号化鍵生成鍵ｒｋ_hについても各ステップＳＴ６〜ＳＴ８と同様の処理を実行して暗号化装置２０に秘密鍵ｓｋ_hと再暗号化鍵生成鍵ｒｋ_hを送信し、公開鍵ｐｋ_hを公開してもよい。また、鍵生成装置１０は、暗号化装置２０、再暗号化鍵生成装置３０、又は復号装置５０に、（再暗号化鍵生成鍵を送信せず）秘密鍵のみを送信しても良い。また、鍵生成装置１０は、暗号化装置２０、再暗号化鍵生成装置３０、又は復号装置５０に、鍵セットアップ処理において生成された全ての公開鍵の内、一部又は全部の公開鍵を送信しても良い。これらは後述する実施形態や変形例においても同様である。

【0137】

以上により、鍵セットアップ処理が完了する。以後、各装置２０，３０，４０，５０では、各ステップＳＴ２，ＳＴ５，ＳＴ８で公開された公開パラメータ及び公開鍵を適宜、取得して利用することができる。

【0138】

（２）暗号化処理は、暗号化装置２０により、図３及び以下の各ステップＳＴ２１〜ＳＴ２４に示すように実行される。なお、暗号化装置２０は、再暗号化鍵生成装置３０の公開鍵ｐｋ_iを一時データ記憶部２１に既に記憶していると想定しているが、もし暗号化装置２０が再暗号化鍵生成装置３０の公開鍵ｐｋ_iを未だ取得していない場合は、暗号化装置２０は、後述するステップＳＴ２２の前に、再暗号化鍵生成装置３０の公開鍵ｐｋ_iを、例えば鍵生成装置１０から取得すれば良い。同様に、暗号化装置２０は、公開パラメータｐａｒを一時データ記憶部２１に既に記憶していると想定しているが、もし暗号化装置２０が公開パラメータｐａｒを未だ取得していない場合は、暗号化装置２０は、後述するステップＳＴ２１の前に、公開パラメータｐａｒを、例えば鍵生成装置１０から取得すれば良い。

【0139】

暗号化装置２０の暗号化パラメータ生成部２３は、公開パラメータｐａｒにおけるセキュリティパラメータλ及び鍵ペア生成機能

【数7】

【0140】

を生成し（ＳＴ２１）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0141】

また、暗号化パラメータ生成部２３は、乱数ｒ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0142】

暗号文生成部２４は、この乱数ｒ、再暗号化鍵生成装置３０の公開鍵ｐｋ_i、及び公開パラメータｐａｒを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃，Ｃ₄₁，Ｃ₄₂を生成する（ＳＴ２２）。

【数8】

【0143】

は、署名鍵と署名対象データを入力として、署名を出力する。

【0144】

しかる後、暗号文生成部２４は、上記全ての暗号化データＣ₁〜Ｃ₄₂と使い捨て署名σとを含む暗号文データＣ_i＝（Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0145】

なお、暗号文データＣ_i＝（Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）は、後述するステップＳＴ４１における検証処理を省略する場合、復号に用いない検証用データ（Ｃ₁，Ｃ₄₁，Ｃ₄₂，σ）を省略して、Ｃ_i＝（Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ₃）としてもよい。この場合、検証用データ（Ｃ₁，Ｃ₄₁，Ｃ₄₂，σ）を生成する処理も省略される。本実施形態においては、上述したように（また後述するように）検証を省略したり、検証用データの生成を省略したりしてもよいが、これは後述する実施形態や変形例においても同様である。

【0146】

いずれにしても通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_iを再暗号化装置４０に送信する（ＳＴ２４）。

【0147】

以上により、暗号化処理が完了する。

【0148】

（３）再暗号化鍵生成処理は、再暗号化鍵生成装置３０により、図４及び以下の各ステップＳＴ３１〜ＳＴ３３に示すように実行される。なお、再暗号化鍵生成装置３０は、公開パラメータｐａｒを一時データ記憶部３２に既に記憶していると想定しているが、もし再暗号化鍵生成装置３０が公開パラメータｐａｒを未だ取得していない場合は、再暗号化鍵生成装置３０は、後述するステップＳＴ３２の前に、公開パラメータｐａｒを、例えば鍵生成装置１０から取得すれば良い。

【0149】

今、復号装置５０（図８の例では、例えばユーザＡ）が、再暗号化鍵生成装置３０（図８の例では、グループ管理者）宛の暗号文を、復号装置５０（図８の例では、例えばユーザＡ）宛の暗号文に再暗号化すること（つまり、暗号文の復号権限のユーザＡへ移譲すること）を承諾したとする。復号装置５０は、再暗号化鍵生成装置３０に、復号装置５０の再暗号化鍵生成鍵ｒｋ_jを送信する。再暗号化鍵生成装置３０の通信部３３は、制御部３５に制御されて、復号装置５０の再暗号化鍵生成鍵ｒｋ_jを取得して一時データ記憶部３２に書き込む（ＳＴ３１）。なお、ステップＳＴ３１において、（復号装置５０ではなく）鍵生成装置１０が再暗号化鍵生成装置３０に再暗号化鍵生成鍵ｒｋ_jを送信しても良い。これは後述する実施形態や変形例においても同様である。

【0150】

ここで、一時データ記憶部３２について、図１１に示すように、再暗号化鍵生成装置３０は、一時データ記憶部３２の中に公開パラメータ記憶部３２１と再暗号化鍵生成鍵記憶部３２２を保持し、公開パラメータｐａｒを公開パラメータ記憶部３２１に記憶し、復号装置５０の再暗号化鍵生成鍵ｒｋ_jを再暗号化鍵生成鍵記憶部３２２に記憶しても良い。また、公開パラメータｐａｒを記憶する公開パラメータ記憶部３２１は、一時データ記憶部３２の外にあっても良い。また、再暗号化鍵生成鍵ｒｋ_jを記憶する再暗号化鍵生成鍵記憶部３２２は、一時データ記憶部３２の外にあっても良い。これらは後述する実施形態や変形例においても同様である。また、通信部３３は、前述したステップＳＴ４のとき、再暗号化鍵生成装置３０の秘密鍵ｓｋ_iを鍵生成装置１０から受信して秘密鍵記憶部３１に書き込んでいる。

【0151】

乱数生成部３６は、乱数θ，ｎ∈Ｚ_p^＊を生成して再暗号化鍵生成部３４に送出する。

【0152】

再暗号化鍵生成部３４は、この乱数θ，ｎ、秘密鍵記憶部３１内の再暗号化鍵生成装置３０の秘密鍵ｓｋ_i、一時データ記憶部３２内の復号装置５０の再暗号化鍵生成鍵ｒｋ_j、及び公開パラメータｐａｒを用いて、再暗号化鍵Ｒ_ijを次式に示すように生成する（ＳＴ３２）。

【0153】

Ｒ_ij＝（Ｒ_ij1，Ｒ_ij2，Ｒ_ij3 ）
ここで、

【数9】

【0154】

である。再暗号化鍵Ｒ_ij＝（Ｒ_ij1，Ｒ_ij2，Ｒ_ij3 ）は、分子部分と分母部分とを有するベキ指数を含んでいる。なお、Ｇ₁、Ｇ₂、Ｇ_Tそれぞれについて、加法群と想定した記法で表す場合、再暗号化鍵は、ベキ指数に代えて、スカラーを含む。ベキ指数（又はスカラー）の分子部分は、各システム固有値（ｈ，ｈ₁，ｈ₂）間の関係性を定める複数の秘密値（α，β）と各乱数（θ，ｎ）とのうちの少なくとも一つを作用させた第２秘密鍵（θｘ_j，α(θ−ｎ−１)ｙ_j，ｎｘ_j，βｙ_j）の線形結合の形を有している。本実施例では、ベキ指数（又はスカラー）の分子部分は、各システム固有値（ｈ，ｈ₁，ｈ₂）間の関係性を定める複数の秘密値（α，β）と各乱数（θ，ｎ）とのうちの少なくとも一つによりマスクした第２秘密鍵（θｘ_j，α(θ−ｎ−１)ｙ_j，ｎｘ_j，βｙ_j）の線形結合の形を有している。これにより、第２秘密鍵が秘匿され、サーバと複数のユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止することができる。ベキ指数（又はスカラー）の分母部分は、再暗号化鍵生成装置３０の秘密鍵ｓｋ_i（第１秘密鍵）からなる。

【0155】

この時、乱数θ，ｎは、秘密鍵ｓｋ_iと再暗号化鍵生成鍵ｒｋ_jのペア毎に固定してもよいし，再暗号化鍵を生成するたびに違う乱数としてもよい。前者の場合、秘密鍵ｓｋ_iと再暗号化鍵生成鍵ｒｋ_jのペア毎に、再暗号化鍵は１種類となる。一方、後者の場合、秘密鍵ｓｋ_iと再暗号化鍵生成鍵ｒｋ_jのペア毎に、複数種類の再暗号化鍵が生成されることになる。また、Ｒ_ij1のθ部分とｎ部分とを分けてもよい。例えば、Ｒ_ij11＝（Ｔ_j^θＴ_1j^θ）^1/xi，Ｒ_ij12＝（Ｔ_1j^-n-1）^1/xiとして、再暗号化鍵Ｒ_ijを（Ｒ_ij11，Ｒ_ij12，Ｒ_ij2，Ｒ_ij3）とする。計算時にＲ_ij11と、Ｒ_ij12とを乗算してＲ_ij1を作成する。また、ここでは乱数を２つ選択しているが、乱数を３つ以上選択してもよい。例えば、乱数θ1、θ2、ｎを選択し、Ｔ_j^θの代わりにＴ_j^θ1Ｔ_j^θ2、Ｔ_1j^θの代わりにＴ_1j^θ1Ｔ_1j^θ2を計算するように置き換えてもよい。例えば、Ｒ_ij31＝（Ｔ_j^θ1Ｔ_1j^θ）^1/zi，Ｒ_ij32＝（Ｔ_j^θ2Ｔ_2j）^1/ziとして、再暗号化鍵Ｒ_ijを（Ｒ_ij1，Ｒ_ij2，Ｒ_ij31，Ｒ_ij32）とする。計算時にＲ_ij31と、Ｒ_ij32とを乗算してＲ_ij3を作成する。また、Ｒ_ij1の方も、θ部分をθ＝θ1^’＋θ2^’に分けてもよい。

【0156】

しかる後、再暗号化鍵生成部３４は、生成した再暗号化鍵Ｒ_ijを一時データ記憶部３２に書き込む。通信部３３は、制御部３５に制御されて、一時データ記憶部３２内の再暗号化鍵Ｒ_ijを再暗号化装置４０に送信する（ＳＴ３３）。

【0157】

以上により、再暗号化鍵生成処理が完了する。

【0158】

（４）再暗号化処理は、再暗号化装置４０により、図５及び以下の各ステップＳＴ４１〜ＳＴ４３に示すように実行される。なお、再暗号化装置４０は、再暗号化鍵生成装置３０の公開鍵ｐｋ_iを一時データ記憶部４２に既に記憶していると想定しているが、もし再暗号化装置４０が再暗号化鍵生成装置３０の公開鍵ｐｋ_iを未だ取得していない場合は、再暗号化装置４０は、後述するステップＳＴ４１の前に、再暗号化鍵生成装置３０の公開鍵ｐｋ_iを、例えば再暗号化鍵生成装置３０から取得すれば良い。同様に、再暗号化装置４０は、公開パラメータｐａｒを一時データ記憶部４２に既に記憶していると想定しているが、もし再暗号化装置４０が公開パラメータｐａｒを未だ取得していない場合は、再暗号化装置４０は、後述するステップＳＴ４１の前に、公開パラメータｐａｒを、例えば鍵生成装置１０から取得すれば良い。

【0159】

再暗号化装置４０の通信部４３は、ステップＳＴ２４で送信された暗号文データＣ_iと、ステップＳＴ３３で送信された再暗号化鍵Ｒ_ijとをそれぞれ一時データ記憶部４２に書き込む。

【0160】

再暗号化処理部４４は、公開パラメータｐａｒと再暗号化鍵生成装置３０の公開鍵ｐｋ_iを用い、一時データ記憶部４２内の暗号文データＣ_iを次の検証式により検証する（ＳＴ４１）。

【数10】

【0161】

は、検証鍵を用いて、署名検証データに対する署名を検証し、署名が正当であると判定した場合は“１”を出力し、正当でないと判定した場合は“１”以外（例えば“０”）を出力する。

【0162】

従って、式（ａ１）の６番目の検証式は、暗号化データＣ₁を検証鍵として用いて、署名対象データである暗号化データＣ₃，Ｃ₄₁に対する使い捨て署名σを検証し、使い捨て署名σが正当であると判定されることを表す。

【0163】

ここで、式（ａ１）の６つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0164】

検証が成功した場合（又はステップＳＴ４１の検証処理をスキップした場合）、再暗号化パラメータ生成部４５は、３つの乱数ｓ，ｔ，ｋ∈Ｚ_p^＊を生成して再暗号化処理部４４に送出する。

【0165】

再暗号化処理部４４は、これらの乱数ｓ，ｔ，ｋ、一時データ記憶部４２に記憶されている、暗号文データＣ_i、再暗号化鍵Ｒ_ij、再暗号化鍵生成装置３０の公開鍵ｐｋ_i、及び公開パラメータｐａｒを用いて、次式に示すように、再暗号化データＣ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Zを生成する（ＳＴ４２）。

【数11】

【0166】

ステップＳＴ４２の終了後、再暗号化処理部４４は、上記全ての再暗号化データＣ_2X^’〜Ｃ_5Zを、暗号文データＣ_i内の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1と置換して再暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた再暗号文データＣ_jを一時データ記憶部４２に書き込む。なお、再暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）は、後述する復号処理におけるステップＳＴ５１の検証処理を省略する場合、復号に用いない検証用データ（Ｃ₁，Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’，Ｃ₄₁，Ｃ₄₂，σ）を省略して、Ｃ_j＝（Ｃ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ₃）としてもよい。この場合、検証用データ（Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’）を生成する処理も省略される。

【0167】

いずれにしても通信部４３は、制御部４６に制御されて一時データ記憶部４２内の再暗号文データＣ_jを復号装置５０に送信する（ＳＴ４３）。

【0168】

以上により、再暗号化処理が完了する。

【0169】

なお、再暗号化処理部４４は、ステップＳＴ４１の検証処理を省略し、ステップＳＴ４２の再暗号化データ生成処理を行ってもよい。また、暗号文データＣ_iに検証用データ（Ｃ₁，Ｃ₄₁，Ｃ₄₂，σ）が含まれていない場合も、再暗号化処理部４４は、ステップＳＴ４１の検証処理を省略し、ステップＳＴ４２の再暗号化データ生成処理を行う。

【0170】

（５）復号処理は、復号装置５０により、図６及び以下のステップＳＴ５１及びＳＴ５２に示すように実行される。なお、復号装置５０は、公開パラメータｐａｒを一時データ記憶部５２に既に記憶していると想定しているが、もし復号装置５０が公開パラメータｐａｒを未だ取得していない場合は、復号装置５０は、後述するステップＳＴ５１の前に、公開パラメータｐａｒを、例えば鍵生成装置１０から取得すれば良い。

【0171】

復号装置５０の通信部５３は、ステップＳＴ４３で送信された再暗号文データＣ_jを受信して一時データ記憶部５２に書き込む。

【0172】

復号処理部５４は、秘密鍵記憶部５１内の自装置５０の秘密鍵ｓｋ_jと一時データ記憶部５２内の公開パラメータｐａｒを用い、一時データ記憶部５２内の再暗号文データＣ_jを次の検証式により検証する（ＳＴ５１）。

【数12】

【0173】

式（ａ２）の７つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。このとき，式（ａ２）の５番目の式を計算するには、秘密鍵ｘ_j，ｙ_jが必要であることに注意する。

【0174】

検証が成功した場合（又はステップＳＴ５１の検証処理をスキップした場合）、復号処理部５４は、秘密鍵記憶部５１内の自装置５０の秘密鍵ｓｋ_jと一時データ記憶部５２内の公開パラメータｐａｒを用いて、次式に示すように、再暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２）。

【数13】

【0175】

以上により、復号処理が完了する。

【0176】

なお、復号処理部５４は、ステップＳＴ５１の検証処理を省略し、ステップＳＴ５２の復号処理を行ってもよい。また、再暗号文データＣ_jに検証用データ（Ｃ₁，Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’，Ｃ₄₁，Ｃ₄₂，σ）が含まれていない場合も、復号処理部５４は、ステップＳＴ５１の検証処理を省略し、ステップＳＴ５２の復号処理を行う。また、上記ｍはメッセージそのものではなく、鍵であってもよい。例えば、共通鍵暗号における共通鍵ｋ_symについて、ｍ＝ｋ_symとして、ｍをｋ_symに置き換えてもよい。この場合、共通鍵ｋ_symを用いてメッセージを暗号化した暗号文を上記暗号文データや再暗号文データに付加すればよい。これらは後述する実施形態や変形例においても同様である。

【0177】

なお、本実施形態は、適宜、処理の順番を変更してもよい。例えば、復号処理と暗号文検証処理の順番を変更してもよい。同様に、再暗号化鍵生成処理の順番を暗号化処理よりも前に変更してもよい。

【0178】

上述したように本実施形態によれば、第１秘密鍵、第２再暗号化鍵生成鍵及び複数の乱数に基づいて再暗号化鍵を生成する場合に、第２再暗号化鍵生成鍵及び再暗号化鍵としては、次の(A)〜(D)に示す構成を用いている。

【0179】

(A)第２再暗号化鍵生成鍵が複数のシステム固有値及び第２秘密鍵からなる。

【0180】

(B)再暗号化鍵が分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含む。

【0181】

(C)分子部分は、各システム固有値間の関係性を定める複数の秘密値と各乱数とのうちの少なくとも一つを作用させた第２秘密鍵の線形結合の形を有する。

【0182】

(D)分母部分は、第１秘密鍵からなる。

【0183】

従って、このような構成により、サーバと複数のユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止することができる。

【0184】

補足すると、移譲先（再暗号化先）のユーザＢの公開鍵とは異なる再暗号化鍵生成鍵ｒｋ_jを（直接）乱数乗または乱数倍する演算を含む処理によって再暗号化鍵を生成することにより、再暗号化鍵から委譲先ユーザの公開鍵および秘密鍵に関する情報を秘匿する。これにより、サーバと複数のユーザが結託した場合でも、復号権限を移譲元の許可なく再移譲されることを防ぐことができる。また、これにより、サーバに対して極端な信頼を求める必要が無くなるため、ユーザがより安心して利用できるファイル共有システムを提供することができる。さらに、再暗号化鍵Ｒ_ijを再暗号化鍵生成鍵ｒｋ_jに基づいて生成する構成により、移譲先（図８の例では、例えばユーザＡ）が再暗号化鍵生成鍵を移譲元（図８の例では、グループ管理者）に通知しなければ再暗号化鍵が生成され得ないため、移譲先の承諾なく再暗号化（つまり、暗号文の復号権限の当該移譲先への移譲）を行わないようにすることができる。

【0185】

また、本実施形態によれば、復号権限を持つユーザのみが再暗号化後の暗号文の検証式を計算することができる。すなわち、再暗号化後の暗号文の検証式の計算には復号権限を持つユーザの秘密鍵が必須であるため，通信路上の攻撃者に暗号文を検証されないようにすることができる。また、通信路上の攻撃者に、どの暗号文がどのユーザ向けに送信されたものかを判断されないようにすることができる。

【0186】

補足すると、非特許文献１記載のプロキシ再暗号化方式では、再暗号化後の暗号文の正しさを検証する検証式は、暗号文、公開パラメータ、復号権限を持つユーザの公開鍵のみで計算できる（秘密鍵を用いなくとも計算できる）。すなわち、公開情報のみで暗号文が正しいかどうかの検証が行えるため、どの暗号文がどのユーザ向けに送信されたものか、だれでも判定できる不都合がある。これに対し、本実施形態では、復号権限を持つユーザの秘密鍵ｘ_j，ｙ_jを再暗号文データＣ_jの検証式（ａ２）が含むため、前述した不都合を解消することができる。このことは、以下の各実施形態及び再暗号化を行う各変形例でも同様である。

【0187】

［変形例１］
第１の実施形態では、暗号化装置２０において暗号文データを生成し、再暗号化装置４０において暗号文データを再暗号化して再暗号文データを生成し、復号装置５０において再暗号文データを復号する例を挙げたが、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理は、第１の実施形態における鍵セットアップ処理と同じである。以下、本変形例における暗号化処理及び復号処理について説明する。

【0188】

本変形例における暗号化処理と、第１の実施形態における暗号化処理との違いは、最終ステップのみである。前述の記号を流用して説明をするために、便宜上、復号装置５０の識別情報をｉとする。この場合、暗号化装置２０の通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_iを復号装置５０に送信する（ＳＴ２４’）。

【0189】

復号装置５０は、公開パラメータｐａｒと自装置５０の秘密鍵ｓｋ_iを用いて、暗号化装置２０において生成された暗号文データＣ_iを次の検証式により検証する（ＳＴ５１’）。

【数14】

【0190】

なお、復号装置５０は、公開パラメータｐａｒと自装置５０の公開鍵ｐｋ_iを用いて、暗号化装置２０において生成された暗号文データＣ_iをステップＳＴ４１と同様に検証しても良い。

【0191】

式（ａ３）の６つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0192】

検証が成功した場合（又はステップＳＴ５１’の検証処理をスキップした場合）、復号装置５０は、自装置５０の秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて、次式のように暗号文データＣ_iを復号し、メッセージｍを得る（ＳＴ５２’）。

【数15】

【0193】

［変形例２］
変形例１の他に、以下に説明するように、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合も、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理、復号処理は、第１の実施形態における鍵セットアップ処理、復号処理とそれぞれ同じである。以下、本変形例における暗号化処理及び復号処理について説明する。なお、本変形例においては、復号装置５０の識別情報をjとする。

【0194】

暗号化装置２０の暗号化パラメータ生成部２３は、ステップＳＴ２１と同様に（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１’）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0195】

また、暗号化パラメータ生成部２３は、４つの乱数ｒ，ｓ，ｔ，ｋ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0196】

暗号文生成部２４は、これらの乱数ｒ，ｓ，ｔ，ｋ、復号装置５０の公開鍵ｐｋ_j、及び公開パラメータを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄₁，Ｃ₄₂を生成する（ＳＴ２２’）。

【数16】

【0197】

ステップＳＴ２２’の終了後、暗号文生成部２４は、ステップＳＴ２３と同様に、使い捨て署名σを生成する（ＳＴ２３’）。

【0198】

しかる後、暗号文生成部２４は、上記全ての暗号化データＣ₁〜Ｃ₄₂と使い捨て署名σとを含む暗号文データＣ_j＝（Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’， Ｃ_2Y^’，Ｃ_2Y^’’， Ｃ_2Z^’，Ｃ_2Z^’’， Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ₂^’’’，Ｃ_5X， Ｃ_5Y，Ｃ_5Z，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0199】

通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_jを復号装置５０に送信する（ＳＴ２４’）。

【0200】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_jをステップＳＴ５１と同様に検証する（ＳＴ５１’）。検証が成功した場合（又はステップＳＴ５１’の検証処理をスキップした場合）、復号装置５０は、自装置５０の秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて、次式のように暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２’）。

【数17】

【0201】

［変形例３］
前述のとおり、双線形写像においては、ｅ（ｇ₁ｇ₂，ｈ）＝ｅ（ｇ，ｈ₁ｈ₂）という関係が成り立つため、ｅ（ｇ₁ｇ₂，ｈ）をｅ（ｇ，ｈ₁ｈ₂）に置き換えてもよい。すると、どのアルゴリズムにもｇ₂が登場しなくなるため、パラメータからｇ₂を削除してもよい。これにより、データ量を削減することができる。これは、変形例１、変形例２についても同様である。

【0202】

［変形例４］
第１の実施形態では、双線形写像としてｅ：Ｇ₁×Ｇ₂→Ｇ_Tを用いたが、前述のとおり、双線型写像群Ｇ＝Ｇ₁＝Ｇ₂、Ｇ_Tについて、ｅ：Ｇ×Ｇ→Ｇ_Tとなる写像を用いても良い。この場合、ｇおよびｈ（ただしｇ≠ｈ）を、共にＧ（Ｇ₁＝Ｇ₂）から選び、あとは第１の実施形態と同様に計算すればよい。さらにこの時、アルゴリズム中のｕ₂をｕ₁に置き換え、ｖ₂をｖ₁に置き換え、Ｃ₄₂をＣ₄₁に置き換え、さらに式（ａ１），式（ａ２），式（ａ３）から検証式「ｅ（ｇ，Ｃ₄₂）＝ｅ（Ｃ₄₁，ｈ）」を削除してもよい。すると、アルゴリズム中にＣ₄₂、ｕ₂、ｖ₂が登場しなくなるため、パラメータからｕ₂、ｖ₂を削除し、暗号文からＣ₄₂を削除してもよい。これにより、データ量を削減することができる。これは、変形例１、変形例２、変形例３についても同様である。

【0203】

（第２の実施形態）
本実施形態では、第１の実施形態において再暗号化鍵をある期間毎に更新する例を説明する。期間を表すパラメータとして、時間パラメータＬを用いる。鍵セットアップ処理、暗号化処理、再暗号化鍵生成処理、再暗号化処理、及び復号処理の内、暗号化処理、再暗号化鍵生成処理、及び再暗号化処理において時間パラメータが用いられる。例えば、ある期間ｔ₁において暗号化処理を行う場合、Ｌ＝ｔ₁として後述する暗号化処理を行い、次の期間ｔ₂において暗号化処理を行う場合、Ｌ＝ｔ₂として後述する暗号化処理を行う、というように時間パラメータを用いる。すなわち、定期的に時間パラメータＬを変えて、暗号化処理、再暗号化鍵生成処理、及び再暗号化処理を行う。以下、本実施形態における鍵セットアップ処理、暗号化処理、再暗号化鍵生成処理、再暗号化処理、及び復号処理について説明する。なお、前述の第１の実施形態と共通する部分については、同一の符号を使用して説明したり、説明を省略したりする。

【0204】

（１）鍵セットアップ処理
鍵生成装置１０の公開パラメータ生成部１３は、公開パラメータｐａｒを、第１の実施形態と同様に生成する、又は外部から入手する（ＳＴ１）。鍵生成部１４は、再暗号化鍵生成装置３０の識別情報をｉとしたとき、Ｚ_p^＊の元ｘ_i，ｙ_i，ｚ_i，ｗ_iをＺ_p^＊からランダムに選択し、再暗号化鍵生成装置３０の秘密鍵ｓｋ_i＝（ｘ_i，ｙ_i，ｚ_i，ｗ_i）とする。そして、鍵生成部１４は、この秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて再暗号化鍵生成装置３０の公開鍵ｐｋ_i＝（Ｘ_i，Ｙ_1i，Ｚ_i，Ｚ_1i，Ｗ_i）を生成する。ここで、

【数18】

【0205】

である。さらに、鍵生成部１４は、秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて再暗号化鍵生成鍵ｒｋ_i＝（Ｔ_i，Ｔ_1i，Ｔ_2i）を生成する（ＳＴ３）。ここで、

【数19】

【0206】

である。

【0207】

また同様に、鍵生成部１４は、復号装置５０の識別情報をjとしたとき、Ｚ_p^＊の元ｘ_j，ｙ_j，ｚ_j，ｗ_jをＺ_p^＊からランダムに選択し、復号装置５０の秘密鍵ｓｋ_j＝（ｘ_j，ｙ_j，ｚ_j，ｗ_j）とする。そして、鍵生成部１４は、この秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて復号装置５０の公開鍵ｐｋ_j＝（Ｘ_j，Ｙ_1j，Ｚ_j，Ｚ_1j，Ｗ_j）を生成する。ここで、

【数20】

【0208】

である。さらに、鍵生成部１４は、秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて再暗号化鍵生成鍵ｒｋ_j＝（Ｔ_j，Ｔ_1j，Ｔ_2j）を生成する（ＳＴ６）。ここで、

【数21】

【0209】

である。

【0210】

（２）暗号化処理
第１の実施形態のステップＳＴ２１と同様に、暗号化装置２０の暗号化パラメータ生成部２３は、（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0211】

また、暗号化パラメータ生成部２３は、乱数ｒ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0212】

暗号文生成部２４は、この乱数ｒ、再暗号化鍵生成装置３０の公開鍵ｐｋ_i、公開パラメータｐａｒ、及び時間パラメータＬを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ₃，Ｃ₄₁，Ｃ₄₂を生成する（ＳＴ２２）。

【数22】

【0213】

暗号化装置２０（又は後述する再暗号化鍵生成装置３０）による時間パラメータの取得方法として、例えば、以下の方法を用いれば良い。あるエンティティ（例えば、図８のサーバＳｖ、サーバＳｖとは別のサーバ、ユーザ管理者、グループ管理者、ユーザ管理者やグループ管理者とは別の管理者、ユーザＡ、ユーザＢ、ユーザＢ、又はユーザＡ〜Ｃとは別のユーザ）が時間パラメータを生成する時間パラメータ生成装置（図示せず）を保持し、時間パラメータ生成装置が暗号化装置２０（又は再暗号化鍵生成装置３０）に時間パラメータを通知するようにしても良い。また、入力を時刻とし、出力を時間パラメータとする関数を定義し、時刻とその関数を用いて時間パラメータを生成しても良い。この場合、暗号化装置２０（又は再暗号化鍵生成装置３０）は、暗号化処理（再暗号化鍵生成処理）を行う時刻に基づいた情報（例えば、暗号化処理（再暗号化鍵生成処理）を行う日付を数値化した値）を入力とした上記関数の出力値を時間パラメータＬとして用いれば良く、他の装置から時間パラメータを取得する必要はない。また、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０、又は復号装置５０が時間パラメータを生成し、（時間パラメータを生成する）当該装置以外の装置に時間パラメータを通知しても良い。また、再暗号化鍵生成装置３０は、後述するように復号装置５０の再暗号化鍵生成鍵を復号装置５０から取得するが、この際に再暗号化鍵生成鍵に加えて時間パラメータも復号装置５０から取得しても良い。この場合、復号装置５０は、上述のいずれかの方法により時間パラメータを取得すれば良い。これは後述する実施形態や変形例においても同様である。

【0214】

ステップＳＴ２２の終了後、暗号文生成部２４は、時間パラメータＬ及び暗号化データＣ₃，Ｃ₄₁に対し、公開パラメータｐａｒにおける署名生成機能

【数23】

【0215】

なお、暗号文生成部２４は、署名対象データとして時間パラメータＬを含めず、暗号化データＣ₃，Ｃ₄₁を署名対象データとして、使い捨て署名σを生成しても良い。これは後述する実施形態や変形例においても同様である。

【0216】

しかる後、暗号文生成部２４は、時間パラメータＬ、上記全ての暗号化データＣ₁〜Ｃ₄、及び使い捨て署名σを含む暗号文データＣ_i＝（Ｌ，Ｃ₁，Ｃ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2F，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0217】

通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_iを再暗号化装置４０に送信する（ＳＴ２４）。

【0218】

（３）再暗号化鍵生成処理
今、復号装置５０（図８の例では、例えばユーザＡ）が、再暗号化鍵生成装置３０（図８の例では、グループ管理者）宛の、時間パラメータの値としてＬを用いて生成された暗号文を、復号装置５０（図８の例では、例えばユーザＡ）宛の暗号文に再暗号化すること（つまり、暗号文の復号権限のユーザＡへ移譲すること）を承諾したとする。復号装置５０は、再暗号化鍵生成装置３０に、復号装置５０の再暗号化鍵生成鍵ｒｋ_jを送信する。再暗号化鍵生成装置３０の通信部３３は、制御部３５に制御されて、復号装置５０の再暗号化鍵生成鍵ｒｋ_jを取得して一時データ記憶部３２に書き込む（ＳＴ３１）。

【0219】

乱数生成部３６は、４つの乱数θ，ｎ，δ_ｘ，δ_ｙ∈Ｚ_p^＊を生成して再暗号化鍵生成部３４に送出する。

【0220】

再暗号化鍵生成部３４は、これらの乱数θ，ｎ，δ_ｘ，δ_ｙ、秘密鍵記憶部３１内の再暗号化鍵生成装置３０の秘密鍵ｓｋ_i、一時データ記憶部３２内の復号装置５０の再暗号化鍵生成鍵ｒｋ_j、公開パラメータｐａｒ、及び時間パラメータＬを用いて、再暗号化鍵Ｒ_ijLを次式に示すように生成する（ＳＴ３２）。

【0221】

Ｒ_ijL＝（Ｒ_ijL1，Ｒ_ijL2，Ｒ_ijL3，Ｒ_ijL4，Ｒ_ijL5 ）
ここで、

【数24】

【0222】

である。再暗号化鍵Ｒ_ijL＝（Ｒ_ijL1，Ｒ_ijL2，Ｒ_ijL3，Ｒ_ijL4，Ｒ_ijL5 ）は、分子部分と分母部分とを有するベキ指数を含んでいる。なお、Ｇ₁、Ｇ₂、Ｇ_Tそれぞれについて、加法群と想定した記法で表す場合、再暗号化鍵は、ベキ指数に代えて、分子部分と分母部分とを有するスカラーを含む。ベキ指数（又はスカラー）の分子部分は、各システム固有値（ｈ，ｈ₁，ｈ₂）間の関係性を定める複数の秘密値（α，β）と各乱数（θ，ｎ）とのうちの少なくとも一つを作用させた第２秘密鍵（θｘ_j，α(θ−ｎ−１)ｙ_j，ｎｘ_j，βｙ_j）の線形結合の形を有している。本実施例では、ベキ指数（又はスカラー）の分子部分は、各システム固有値（ｈ，ｈ₁，ｈ₂）間の関係性を定める複数の秘密値（α，β）と各乱数（θ，ｎ）とのうちの少なくとも一つによりマスクした第２秘密鍵（θｘ_j，α(θ−ｎ−１)ｙ_j，ｎｘ_j，βｙ_j）の線形結合の形を有している。これにより、第２秘密鍵が秘匿され、サーバと複数のユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止することができる。ベキ指数（又はスカラー）の分母部分は、再暗号化鍵生成装置３０の秘密鍵ｓｋ_i（第１秘密鍵）からなる。

【0223】

（４）再暗号化処理
再暗号化装置４０の再暗号化処理部４４は、公開パラメータｐａｒ、一時データ記憶部４２内の暗号文データＣ_iに含まれている時間パラメータＬ、及び再暗号化鍵生成装置３０の公開鍵ｐｋ_iを用い、一時データ記憶部４２内の暗号文データＣ_iを次の検証式により検証する（ＳＴ４１）。

【数25】

【0224】

なお、式（ａ４）の７番目の検証式について、使い捨て署名σの署名対象データとして時間パラメータＬが含まれていない場合、署名対象データを暗号化データＣ₃，Ｃ₄₁として使い捨て署名σの検証を行う。これは、後述の使い捨て署名σの検証処理においても同様である。

【0225】

ここで、式（ａ４）の７つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0226】

検証が成功した場合（又はステップＳＴ４１の検証処理をスキップした場合）、再暗号化パラメータ生成部４５は、４つの乱数ｓ，ｔ，ｋ，π∈Ｚ_p^＊を生成して再暗号化処理部４４に送出する。

【0227】

再暗号化処理部４４は、これらの乱数ｓ，ｔ，ｋ，π、一時データ記憶部４２に記憶されている、暗号文データＣ_i、再暗号化鍵Ｒ_ijL、再暗号化鍵生成装置３０の公開鍵ｐｋ_i、及び公開パラメータｐａｒを用いて、次式に示すように、再暗号化データＣ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_2F^’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FYを生成する（ＳＴ４２）。

【数26】

【0228】

ステップＳＴ４２の終了後、再暗号化処理部４４は、上記全ての再暗号化データＣ_2X^’〜 Ｃ_5FYを、暗号文データＣ_i内の暗号化データＣ_2X，Ｃ_2Y，Ｃ_2Z，Ｃ_2Z1，Ｃ_2Fと置換して再暗号文データＣ_j＝（Ｌ，Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_2F^’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた暗号文データを一時データ記憶部４２に書き込む。なお、再暗号文データＣ_j＝（Ｌ，Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_2F^’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）は、後述する復号処理におけるステップＳＴ５１の検証処理を省略する場合、復号に用いない検証用データ（Ｌ，Ｃ₁，Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’，Ｃ_2F^’，Ｃ₄₁，Ｃ₄₂，σ）を省略して、Ｃ_j＝（Ｃ_2X^’’，Ｃ_2Y^’’，Ｃ_2Z^’’，Ｃ_2Z1^’’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃）としてもよい。この場合、検証用データ（Ｃ_2X^’，Ｃ_2Y^’，Ｃ_2Z^’，Ｃ_2Z1^’）を生成する処理も省略される。

【0229】

いずれにしても、通信部４３は、制御部４６に制御されて一時データ記憶部４２内の再暗号文データＣ_jを復号装置５０に送信する（ＳＴ４３）。

【0230】

（５）復号処理
復号装置５０の復号処理部５４は、秘密鍵記憶部５１内の自装置５０の秘密鍵ｓｋ_jと一時データ記憶部５２内の公開パラメータｐａｒを用い、一時データ記憶部５２内の再暗号文データＣ_jを次の検証式により検証する（ＳＴ５１）。

【数27】

【0231】

式（ａ５）の８つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。このとき，式（ａ５）の７番目の式を計算するには、秘密鍵ｘ_j，ｙ_jが必要であることに注意する。

【0232】

検証が成功した場合（又はステップＳＴ５１の検証処理をスキップした場合）、復号処理部５４は、秘密鍵記憶部５１内の自装置５０の秘密鍵ｓｋ_jと一時データ記憶部５２内の公開パラメータｐａｒを用いて、次式に示すように、再暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２）。

【数28】

【0233】

なお、本実施形態は、適宜、処理の順番を変更してもよい。例えば、復号処理と暗号文検証処理の順番を変更してもよい。同様に、再暗号化鍵生成処理の順番を暗号化処理よりも前に変更してもよい。

【0234】

上述したように本実施形態によれば、再暗号化鍵Ｒ_ijLを乱数θ，ｎ，δ_ｘ，δ_ｙ、再暗号化鍵生成鍵ｒｋ_j、及び時間パラメータＬに基づいて生成する構成により、第１の実施形態の効果に加え、復号権限を移譲するか否かを期間毎に決めることができ、よりきめ細かいアクセス制御が可能となる。また、これにより、ある期間において移譲元（図８の例では、グループ管理者）向けの暗号文についての復号権限を一度移譲先（図８の例では、例えばユーザＡ）へ移譲した後でも、次の期間については当該移譲元向けの暗号文についての復号権限を当該移譲先に与えない。つまり、（当該移譲元向けの暗号文についての）当該移譲先の復号権限を無効化することが可能となるため、利便性がより向上したファイル共有システムを提供することができる。

【0235】

［変形例５］
第２の実施形態では、暗号化装置２０において暗号文データを生成し、再暗号化装置４０において暗号文データを再暗号化して再暗号文データを生成し、復号装置５０において再暗号文データを復号する例を挙げたが、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理は、第２の実施形態における鍵セットアップ処理と同じである。以下、本変形例における暗号化処理及び復号処理について説明する。

【0236】

本変形例における暗号化処理と、第２の実施形態における暗号化処理との違いは、最終ステップのみである。前述の記号を流用して説明をするために、便宜上、復号装置５０の識別情報をｉとする。この場合、暗号化装置２０の通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_iを復号装置５０に送信する（ＳＴ２４’）。

【0237】

復号装置５０は、公開パラメータｐａｒと自装置５０の秘密鍵ｓｋ_iを用いて、暗号化装置２０において生成された暗号文データＣ_iを次の検証式により検証する（ＳＴ５１’）。

【数29】

【0238】

なお、復号装置５０は、公開パラメータｐａｒと自装置５０の公開鍵ｐｋ_iを用いて、暗号化装置２０において生成された暗号文データＣ_iをステップＳＴ４１と同様に検証しても良い。

【0239】

式（ａ６）の７つの検証式が全て成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。

【0240】

検証が成功した場合（又はステップＳＴ５１’の検証処理をスキップした場合）、復号装置５０は、自装置５０の秘密鍵ｓｋ_iと公開パラメータｐａｒを用いて、次式のように暗号文データＣ_iを復号し、メッセージｍを得る（ＳＴ５２’）。

【数30】

【0241】

［変形例６］
変形例５の他に、以下に説明するように、再暗号化せずに暗号文データを復号する形態に変更しても良い。この場合も、鍵セットアップ処理、暗号化処理、復号処理のみを行えば良い。本変形例における鍵セットアップ処理は、復号装置５０の識別情報をjとしたとき、鍵生成部１４が、秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて、第２の実施形態における鍵セットアップ処理に加え、Ｗ’_jを生成し、再暗号化鍵生成装置３０の公開鍵をｐｋ_j＝（Ｘ_j，Ｙ_1j，Ｚ_j，Ｚ_1j，Ｗ_j，Ｗ’_j）とする（第２の実施形態と比較してＷ’_jが追加されている）。ここで

【数31】

【0242】

である。本変形例における復号処理は、第２の実施形態における復号処理と同じである。以下、本変形例における暗号化処理及び復号処理について説明する。なお、本変形例においては、復号装置５０の識別情報をjとする。

【0243】

暗号化装置２０の暗号化パラメータ生成部２３は、第１の実施形態のステップＳＴ２１と同様に（ｓｓｋ，ｓｖｋ）を生成し（ＳＴ２１’）、暗号化データＣ₁に検証鍵ｓｖｋをセットする（Ｃ₁＝ｓｖｋ）。

【0244】

また、暗号化パラメータ生成部２３は、７つの乱数ｒ，ｓ，ｔ，ｋ，π，δ_ｘ，δ_ｙ∈Ｚ_p^＊を生成して暗号文生成部２４に送出する。

【0245】

暗号文生成部２４は、これらの乱数ｒ，ｓ，ｔ，ｋ，π，δ_ｘ，δ_ｙ、復号装置５０の公開鍵ｐｋ_j、公開パラメータ、及び時間パラメータＬを用いて、平文データとしてのメッセージｍ∈Ｇ_T に対して、以下の暗号化データＣ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_2F^’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄₁，Ｃ₄₂を生成する（ＳＴ２２’）。

【数32】

【0246】

ステップＳＴ２２’の終了後、暗号文生成部２４は、ステップＳＴ２３と同様に、使い捨て署名σを生成する。

【0247】

しかる後、暗号文生成部２４は、時間パラメータＬ、上記全ての暗号化データＣ₁〜Ｃ₄₂と使い捨て署名σとを含む暗号文データＣ_j＝（Ｌ，Ｃ₁，Ｃ_2X^’，Ｃ_2X^’’，Ｃ_2Y^’，Ｃ_2Y^’’，Ｃ_2Z^’，Ｃ_2Z^’’，Ｃ_2Z1^’，Ｃ_2Z1^’’，Ｃ_2F^’，Ｃ_2F^’’，Ｃ_5X，Ｃ_5Y，Ｃ_5Z，Ｃ_5FX，Ｃ_5FY，Ｃ₃，Ｃ₄₁，Ｃ₄₂，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。

【0248】

通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣ_jを復号装置５０に送信する（ＳＴ２４’）。

【0249】

復号装置５０は、暗号化装置２０において生成された暗号文データＣ_jをステップＳＴ５１と同様に検証する（ＳＴ５１’）。検証が成功した場合（又はステップＳＴ５１’の検証処理をスキップした場合）、復号装置５０は、秘密鍵ｓｋ_jと公開パラメータｐａｒを用いて、次式のように暗号文データＣ_jを復号し、メッセージｍを得る（ＳＴ５２’）。

【数33】

【0250】

［変形例７］
前述のとおり、双線形写像においては、ｅ（ｇ₁ｇ₂，ｈ）＝ｅ（ｇ，ｈ₁ｈ₂）という関係が成り立つため、ｅ（ｇ₁ｇ₂，ｈ）をｅ（ｇ，ｈ₁ｈ₂）に置き換えてもよい。すると、どのアルゴリズムにもｇ₂が登場しなくなるため、パラメータからｇ₂を削除してもよい。これにより、データ量を削減することができる。これは、変形例５、変形例６についても同様である。

【0251】

［変形例８］
第２の実施形態では、双線形写像としてｅ：Ｇ₁×Ｇ₂→Ｇ_Tを用いたが、前述のとおり、双線型写像群Ｇ＝Ｇ₁＝Ｇ₂、Ｇ_Tについて、ｅ：Ｇ×Ｇ→Ｇ_Tとなる写像を用いても良い。この場合、ｇおよびｈ（ただしｇ≠ｈ）を、共にＧ（Ｇ₁＝Ｇ₂）から選び、あとは第１の実施形態と同様に計算すればよい。さらにこの時、アルゴリズム中のＣ₄₂をＣ₄₁に置き換え、ｕ₂をｕ₁に置き換え、ｖ₂をｖ₁に置き換え、さらに式（ａ４），式（ａ５），式（ａ６）から検証式「ｅ（ｇ，Ｃ₄₂）＝ｅ（Ｃ₄₁，ｈ）」を削除してもよい。すると、アルゴリズム中にＣ₄₂、ｕ₂、ｖ₂が登場しなくなるため、パラメータからｕ₂、ｖ₂を削除し、暗号文からＣ₄₂を削除してもよい。これにより、データ量を削減することができる。これは、変形例５、変形例６、変形例７についても同様である。

【0252】

以上説明した少なくとも一つの実施形態によれば、第１秘密鍵、第２再暗号化鍵生成鍵及び複数の乱数に基づいて再暗号化鍵を生成する場合に、第２再暗号化鍵生成鍵及び再暗号化鍵としては、次の(A)〜(D)に示す構成を用いている。

【0253】

(A)第２再暗号化鍵生成鍵が複数のシステム固有値及び第２秘密鍵からなる。

【0254】

(B)再暗号化鍵が分子部分と分母部分とを有するベキ指数又は分子部分と分母部分とを有するスカラーを含む。

【0255】

(C)分子部分は、各システム固有値間の関係性を定める複数の秘密値と各乱数とのうちの少なくとも一つを作用させた第２秘密鍵の線形結合の形を有する。

【0256】

(D)分母部分は、第１秘密鍵からなる。

【0257】

従って、このような構成により、サーバと複数のユーザが結託した場合でも、復号権限が移譲元の許可なく再移譲されることを阻止することができる。

【0258】

なお、上記の各実施形態の利用場面について以下に記載する。

【0259】

ファイル共有システムにおいては、前述した通り、サーバに対してファイルデータの秘匿性を保つ方法として以下の三つの方式（１）〜（３）が挙げられる。

【0260】

（１）各ユーザに個別の暗号化鍵でファイルを暗号化する個別鍵方式。

【0261】

（２）各ユーザに共通の暗号化鍵でファイルを暗号化する共通鍵方式。

【0262】

（３）プロキシ再暗号化方式を用いてファイルを暗号化する再暗号化方式。

【0263】

ここで、（１）の個別鍵方式では、前述した通り、新たにユーザＤともファイルを共有したいとき、ユーザＡがユーザＤの公開鍵でファイルを暗号化し、暗号化されたファイルをサーバへアップロードする必要があるという不都合がある。従って、（１）の方法は、新規ユーザ数や共有ファイル数が多い場合に、新規ユーザ追加時の処理が煩雑となるため、ファイル共有システムに不適である。

【0264】

（２）の共通鍵方式では、前述した通り、ユーザをファイル共有システムから排除する際に、各ユーザに共通の秘密鍵と公開鍵を更新する機構が別途必要であることや、各ユーザに共通の秘密鍵が漏洩してしまった場合、全ての暗号化ファイルが当該漏洩鍵により復号可能となってしまう不都合がある。このため、（２）の共通鍵方式は、ファイル共有システムに不適である。

【0265】

一方、（３）のプロキシ再暗号化方式では、サーバが再暗号化鍵を用いて一つの暗号文を各ユーザだけが復号できる暗号文に再暗号化するため、ユーザに再暗号化鍵を知らせない構成にすれば、上述した不都合を解決している。このため、（３）のプロキシ再暗号化方式は、ファイル共有システムに好適である。以上のようなプロキシ再暗号化方式は、特に問題は無いが、しいて言えば、サーバが各ユーザの許可なしに再暗号文を作成可能な状態にある。このため、プロキシ再暗号化方式は、安全なファイル共有を実現する観点から、改善の余地がある。これに対し、上記の各実施形態に記載した手法は、サーバと複数のユーザが結託した場合でも、移譲元の許可なく復号権限が再移譲されることを阻止できるため、安全なファイル共有を実現することができる。

【0266】

なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

【0267】

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

【0268】

そして、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

【0269】

さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

【0270】

また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

【0271】

なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

【0272】

また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

【0273】

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】