▶ 独立行政法人情報通信研究機構の特許一覧 ▶ 日本放送協会の特許一覧
特開2023-96835メッセージグループ管理者装置およびメッセージグループメンバ装置、ならびに、それらのプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023096835
(43)【公開日】2023-07-07
(54)【発明の名称】メッセージグループ管理者装置およびメッセージグループメンバ装置、ならびに、それらのプログラム
(51)【国際特許分類】
H04L 9/08 20060101AFI20230630BHJP
H04L 9/14 20060101ALI20230630BHJP
【ＦＩ】
H04L9/08 C
H04L9/14
H04L9/08 F
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2021212848
(22)【出願日】2021-12-27
(71)【出願人】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(71)【出願人】
【識別番号】000004352
【氏名又は名称】日本放送協会
(74)【代理人】
【識別番号】110001807
【氏名又は名称】弁理士法人磯野国際特許商標事務所
(72)【発明者】
【氏名】江村 恵太
(72)【発明者】
【氏名】野島 良
(72)【発明者】
【氏名】小川 一人
(72)【発明者】
【氏名】梶田 海成
(72)【発明者】
【氏名】大竹 剛
(57)【要約】
【課題】セキュアグループメッセージング方式において、参加者情報である公開鍵を秘匿してメッセージの送受信を行うことが可能なメッセージグループ管理者装置を提供する。
【解決手段】メッセージグループ管理者装置１は、グループメンバを完全２分木の葉ノードに対応付けてルートノード以外のノードのノード公開鍵集合を生成し、葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報とノード公開鍵集合とを含むグループ初期化情報をグループメンバに送信するグループ管理者初期化手段１１を備える。
【選択図】図３
【解決手段】メッセージグループ管理者装置１は、グループメンバを完全２分木の葉ノードに対応付けてルートノード以外のノードのノード公開鍵集合を生成し、葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報とノード公開鍵集合とを含むグループ初期化情報をグループメンバに送信するグループ管理者初期化手段１１を備える。
【選択図】図３
【特許請求の範囲】
【請求項1】
グループ共有鍵でメッセージを暗号化してグループ内で送受信するメッセージグループ管理者装置および複数のメッセージグループメンバ装置のグループメンバで構成されるメッセージ送受信システムにおける前記メッセージグループ管理者装置であって、
前記グループメンバを完全２分木の葉ノードに対応付けて前記葉ノードのノード秘密鍵を鍵共有方式により生成するとともにノード公開鍵を生成し、兄弟ノードごとに親ノードのノード秘密鍵およびノード公開鍵の生成を繰り返すことでルートノード以外のノードのノード公開鍵集合を生成し、前記葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報と前記ノード公開鍵集合とを含むグループ初期化情報を前記グループメンバに送信するグループ管理者初期化手段と、
自身の葉ノードのノード秘密鍵により、前記自身の葉ノードから前記ルートノードまでのパス上のノード公開鍵を更新するとともに、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新し、更新された前記パス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する鍵更新情報生成手段と、
前記メッセージを更新後の前記グループ共有鍵で暗号化し、前記鍵更新情報を付加して、自身以外の前記グループメンバに送信するメッセージ送信手段と、
自身以外の前記グループメンバから受信した前記鍵更新情報に含まれる前記ノード公開鍵部分集合で前記ノード公開鍵集合を更新し、前記鍵更新情報に含まれる前記暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新する鍵情報更新手段と、
自身以外の前記グループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、前記鍵情報更新手段で更新されたグループ共有鍵で前記暗号化メッセージを復号するメッセージ受信手段と、
を備えることを特徴とするメッセージグループ管理者装置。
前記グループメンバを完全２分木の葉ノードに対応付けて前記葉ノードのノード秘密鍵を鍵共有方式により生成するとともにノード公開鍵を生成し、兄弟ノードごとに親ノードのノード秘密鍵およびノード公開鍵の生成を繰り返すことでルートノード以外のノードのノード公開鍵集合を生成し、前記葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報と前記ノード公開鍵集合とを含むグループ初期化情報を前記グループメンバに送信するグループ管理者初期化手段と、
自身の葉ノードのノード秘密鍵により、前記自身の葉ノードから前記ルートノードまでのパス上のノード公開鍵を更新するとともに、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新し、更新された前記パス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する鍵更新情報生成手段と、
前記メッセージを更新後の前記グループ共有鍵で暗号化し、前記鍵更新情報を付加して、自身以外の前記グループメンバに送信するメッセージ送信手段と、
自身以外の前記グループメンバから受信した前記鍵更新情報に含まれる前記ノード公開鍵部分集合で前記ノード公開鍵集合を更新し、前記鍵更新情報に含まれる前記暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新する鍵情報更新手段と、
自身以外の前記グループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、前記鍵情報更新手段で更新されたグループ共有鍵で前記暗号化メッセージを復号するメッセージ受信手段と、
を備えることを特徴とするメッセージグループ管理者装置。
【請求項2】
前記グループ管理者初期化手段は、前記グループメンバのメンバ公開鍵を共通鍵暗号方式の秘密鍵で暗号化することで暗号化メンバ公開鍵を生成し、前記秘密鍵を前記葉ノードのインデックスとともに暗号化して前記暗号化ノード情報とし、前記グループ初期化情報に前記暗号化メンバ公開鍵をさらに加えることを特徴とする請求項１に記載のメッセージグループ管理者装置。
【請求項3】
コンピュータを、請求項１または請求項２に記載のメッセージグループ管理者装置として機能させるためのプログラム。
【請求項4】
グループ共有鍵でメッセージを暗号化してグループ内で送受信するメッセージグループ管理者装置および複数のメッセージグループメンバ装置のグループメンバで構成されるメッセージ送受信システムにおける前記メッセージグループメンバ装置であって、
前記メッセージグループ管理者装置から、前記グループメンバを完全２分木の葉ノードに対応付けて生成されたルートノード以外のノードのノード公開鍵集合と、前記葉ノードのインデックスを暗号化した暗号化ノード情報とを含むグループ初期化情報を受信し、前記暗号化ノード情報を鍵秘匿かつロバスト性を持つ公開鍵暗号方式により復号することで葉ノードのインデックスを取得し、鍵共有方式により前記メッセージグループ管理者装置が生成した自身の葉ノードのノード秘密鍵を生成し、前記自身のインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新するグループメンバ初期化手段と、
自身の葉ノードの新たなノード秘密鍵により、前記自身の葉ノードから前記ルートノードまでのパス上のノード公開鍵を更新するとともに、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新し、更新された前記パス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する鍵更新情報生成手段と、
前記メッセージを更新後の前記グループ共有鍵で暗号化し、前記鍵更新情報を付加して、自身以外の前記グループメンバに送信するメッセージ送信手段と、
自身以外の前記グループメンバから受信した前記鍵更新情報に含まれる前記ノード公開鍵部分集合で前記ノード公開鍵集合を更新し、前記鍵更新情報に含まれる前記暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新する鍵情報更新手段と、
自身以外の前記グループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、前記鍵情報更新手段で更新されたグループ共有鍵で前記暗号化メッセージを復号するメッセージ受信手段と、
を備えることを特徴とするメッセージグループメンバ装置。
前記メッセージグループ管理者装置から、前記グループメンバを完全２分木の葉ノードに対応付けて生成されたルートノード以外のノードのノード公開鍵集合と、前記葉ノードのインデックスを暗号化した暗号化ノード情報とを含むグループ初期化情報を受信し、前記暗号化ノード情報を鍵秘匿かつロバスト性を持つ公開鍵暗号方式により復号することで葉ノードのインデックスを取得し、鍵共有方式により前記メッセージグループ管理者装置が生成した自身の葉ノードのノード秘密鍵を生成し、前記自身のインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新するグループメンバ初期化手段と、
自身の葉ノードの新たなノード秘密鍵により、前記自身の葉ノードから前記ルートノードまでのパス上のノード公開鍵を更新するとともに、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新し、更新された前記パス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する鍵更新情報生成手段と、
前記メッセージを更新後の前記グループ共有鍵で暗号化し、前記鍵更新情報を付加して、自身以外の前記グループメンバに送信するメッセージ送信手段と、
自身以外の前記グループメンバから受信した前記鍵更新情報に含まれる前記ノード公開鍵部分集合で前記ノード公開鍵集合を更新し、前記鍵更新情報に含まれる前記暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、前記ルートノードのノード秘密鍵を前記グループ共有鍵として更新する鍵情報更新手段と、
自身以外の前記グループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、前記鍵情報更新手段で更新されたグループ共有鍵で前記暗号化メッセージを復号するメッセージ受信手段と、
を備えることを特徴とするメッセージグループメンバ装置。
【請求項5】
前記暗号化ノード情報は、送信元のグループメンバのメンバ公開鍵を共通鍵暗号方式の秘密鍵で暗号化した前記秘密鍵を前記送信元のグループメンバの葉ノードのインデックスとともに暗号化したものであり、
前記グループ初期化情報は、前記メンバ公開鍵を暗号化した暗号化メンバ公開鍵をさらに加えたものであって、
前記グループメンバ初期化手段は、前記暗号化ノード情報を復号し、前記秘密鍵で前記暗号化メンバ公開鍵を復号することを特徴とする請求項４に記載のメッセージグループメンバ装置。
前記グループ初期化情報は、前記メンバ公開鍵を暗号化した暗号化メンバ公開鍵をさらに加えたものであって、
前記グループメンバ初期化手段は、前記暗号化ノード情報を復号し、前記秘密鍵で前記暗号化メンバ公開鍵を復号することを特徴とする請求項４に記載のメッセージグループメンバ装置。
【請求項6】
コンピュータを、請求項４または請求項５に記載のメッセージグループメンバ装置として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、メッセージグループ管理者装置およびメッセージグループメンバ装置、ならびに、それらのプログラムに関する。
【背景技術】
【0002】
近年、Ｚｏｏｍ（登録商標）等のビデオ会議アプリケーションや、ＬＩＮＥ（登録商標）等のメッセンジャアプリケーションが国内外で広く利用されている。しかし、例えば、令和２年総務省情報通信白書ではビデオ会議アプリの脆弱性が指摘され、セキュリティ担保は重要な課題である。
ＺｏｏｍやＬＩＮＥでは、ユーザ同士の端末間でセキュリティを担保するために、Ｅｎｄ－ｔｏ－Ｅｎｄ（Ｅ２Ｅ）暗号化が用いられている。Ｅ２Ｅ暗号化によって安全にメッセージを送受信する技術はセキュアメッセージングと呼ばれている。
ＺｏｏｍやＬＩＮＥでは、ユーザ同士の端末間でセキュリティを担保するために、Ｅｎｄ－ｔｏ－Ｅｎｄ（Ｅ２Ｅ）暗号化が用いられている。Ｅ２Ｅ暗号化によって安全にメッセージを送受信する技術はセキュアメッセージングと呼ばれている。
【0003】
Ｅ２Ｅ暗号化には種々の方式があり、例えば、代表的なものとして、Ｓｉｇｎａｌプロトコル（非特許文献１）がある。このＳｉｇｎａｌプロトコルには、Ｓｅａｌｅｄ Ｓｅｎｄｅｒと呼ばれる送信者情報を秘匿する機能が付加されている。さらに、Ｓｉｇｎａｌプロトコルには、追加のメールボックスを経由することで受信者情報も隠す方式が提案されている（非特許文献２）。なお、ＺｏｏｍやＬＩＮＥでは、それぞれ独自のＥ２Ｅ暗号化技術が用いられている（非特許文献３，４）。
【0004】
Ｅ２Ｅ暗号化には、大きく分けて二つのステップがある。一つは、ユーザ同士で公開鍵を共有すること（鍵共有）である。もう一つは、共有した公開鍵に対応した秘密鍵を用いてメッセージを暗号化することである。インターネットに関する標準化団体であるＩＥＴＦ（The Internet Engineering Task Force）では、セキュアメッセージングに関する標準化を行っており、非同期ラチェットツリー（Asynchronous Ratcheting Tree；ＡＲＴ）（非特許文献５）と呼ばれる複数のユーザを対象としたセキュアグループメッセージング方式を拡張した方式の標準化が行われている。
【先行技術文献】
【非特許文献】
【0005】
【非特許文献1】M. Marlinspike and T. Perrin, "The Double Ratchet Algorithm," https://whispersystems.org/docs/specifications/doubleratchet/doubleratchet.pdf, November 20, 2016.
【非特許文献2】I. Martiny, G. Kaptchuk, A. J. Aviv, D. S. Roche, and E. Wustrow, "Improving Signal’s sealed sender," In NDSS, February 21, 2021.
【非特許文献3】J. Blum, S. Booth, O. Gal, M. Krohn, J. Len, K. Lyons, A. Marcedone, M. Maxim, M. Ember Mou, J. O'Connor, S. Rien, M. Steele, M. Green, L Kissner, and A. Stamos, "https://github.com/zoom/zoom-e2e-whitepaper/blob/master/archive/zoom_e2e_v3.pdf," Zoom Video Communications, Inc., December 15, 2020.
【非特許文献4】"LINE Encryption Overview Technical Whitepaper." https://scdn.line-apps.com/stf/linecorp/en/csr/line-encryption-whitepaper-ver2.0.pdf, LINE Corporation, October 28, 2019.
【非特許文献5】K. Cohn-Gordon, C. Cremers, L. Garratt, J. Millican, and K. Milner. "On ends-to-ends encryption: Asynchronous group messaging with strong security guarantees," In ACM CCS, pp.1802-1819, October 15, 2018.
【発明の概要】
【発明が解決しようとする課題】
【0006】
通常のオフライン会合では、会話の内容のみならず、誰が集まって会話を行っているかまで秘匿したいと要請される場合がある。そして、セキュアグループメッセージングを用いたオンライン会合においても同様に、誰がグループに属しているかといった送信者や受信者の情報（以下、参加者情報）を秘匿したいという要請が考えられる。
しかし、従来は、３者以上のユーザ間でのセキュアメッセージングを実現する際に、参加者情報を秘匿する方法は提案されていないため、その機能を実現する手法が望まれていた。
しかし、従来は、３者以上のユーザ間でのセキュアメッセージングを実現する際に、参加者情報を秘匿する方法は提案されていないため、その機能を実現する手法が望まれていた。
【0007】
本発明は、このような要望に鑑みてなされたものであり、複数の参加者（グループメンバ）を対象としたセキュアグループメッセージング方式において、参加者情報を秘匿してメッセージの送受信を行うことが可能なメッセージグループ管理者装置およびメッセージグループメンバ装置、ならびに、それらのプログラム提供することを課題とする。
【課題を解決するための手段】
【0008】
前記課題を解決するため、本発明に係るメッセージグループ管理者装置は、グループ共有鍵でメッセージを暗号化してグループ内で送受信するメッセージグループ管理者装置および複数のメッセージグループメンバ装置のグループメンバで構成されるメッセージ送受信システムにおけるメッセージグループ管理者装置であって、グループ管理者初期化手段と、鍵更新情報生成手段と、メッセージ送信手段と、鍵情報更新手段と、メッセージ受信手段と、を備える構成とした。
【0009】
かかる構成において、メッセージグループ管理者装置は、グループ管理者初期化手段によって、グループメンバを完全２分木の葉ノードに対応付けて葉ノードのノード秘密鍵を鍵共有方式により生成するとともにノード公開鍵を生成し、兄弟ノードごとに親ノードのノード秘密鍵およびノード公開鍵の生成を繰り返すことでルートノード以外のノードのノード公開鍵集合を生成し、葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報とノード公開鍵集合とを含むグループ初期化情報をグループメンバに送信する。
これによって、メッセージグループ管理者装置は、参加者情報である葉ノードのインデックスをグループメンバ以外に秘匿してグループメンバに配信することができる。
これによって、メッセージグループ管理者装置は、参加者情報である葉ノードのインデックスをグループメンバ以外に秘匿してグループメンバに配信することができる。
【0010】
また、メッセージグループ管理者装置は、鍵更新情報生成手段によって、自身の葉ノードのノード秘密鍵により、自身の葉ノードからルートノードまでのパス上のノード公開鍵を更新するとともに、ルートノードのノード秘密鍵をグループ共有鍵として更新し、更新されたパス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する。
そして、メッセージグループ管理者装置は、メッセージ送信手段によって、メッセージを更新後のグループ共有鍵で暗号化し、鍵更新情報を付加して、自身以外のグループメンバに送信する。
これによって、メッセージグループ管理者装置は、メッセージを常に新たなグループ共有鍵で暗号化することができる。
そして、メッセージグループ管理者装置は、メッセージ送信手段によって、メッセージを更新後のグループ共有鍵で暗号化し、鍵更新情報を付加して、自身以外のグループメンバに送信する。
これによって、メッセージグループ管理者装置は、メッセージを常に新たなグループ共有鍵で暗号化することができる。
【0011】
また、メッセージグループ管理者装置は、鍵情報更新手段によって、自身以外のグループメンバから受信した鍵更新情報に含まれるノード公開鍵部分集合でノード公開鍵集合を更新し、鍵更新情報に含まれる暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新する。
そして、メッセージグループ管理者装置は、メッセージ受信手段によって、自身以外のグループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、鍵情報更新手段で更新されたグループ共有鍵で暗号化メッセージを復号する。
これによって、メッセージグループ管理者装置は、暗号化メッセージを常に新たなグループ共有鍵で復号することができる。
なお、メッセージグループ管理者装置は、コンピュータを、前記した各手段として機能させるためのプログラムで動作させることができる。
そして、メッセージグループ管理者装置は、メッセージ受信手段によって、自身以外のグループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、鍵情報更新手段で更新されたグループ共有鍵で暗号化メッセージを復号する。
これによって、メッセージグループ管理者装置は、暗号化メッセージを常に新たなグループ共有鍵で復号することができる。
なお、メッセージグループ管理者装置は、コンピュータを、前記した各手段として機能させるためのプログラムで動作させることができる。
【0012】
また、前記課題を解決するため、本発明に係るメッセージグループメンバ装置は、グループ共有鍵でメッセージを暗号化してグループ内で送受信するメッセージグループ管理者装置および複数のメッセージグループメンバ装置のグループメンバで構成されるメッセージ送受信システムにおけるメッセージグループメンバ装置であって、グループメンバ初期化手段と、鍵更新情報生成手段と、メッセージ送信手段と、鍵情報更新手段と、メッセージ受信手段と、を備える構成とした。
【0013】
かかる構成において、メッセージグループメンバ装置は、グループメンバ初期化手段によって、メッセージグループ管理者装置から、グループメンバを完全２分木の葉ノードに対応付けて生成されたルートノード以外のノードのノード公開鍵集合と、葉ノードのインデックスを暗号化した暗号化ノード情報とを含むグループ初期化情報を受信し、暗号化ノード情報を鍵秘匿かつロバスト性を持つ公開鍵暗号方式により復号することで葉ノードのインデックスを取得し、鍵共有方式によりメッセージグループ管理者装置が生成した自身の葉ノードのノード秘密鍵を生成し、自身のインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新する。
これによって、メッセージグループメンバ装置は、参加者情報である葉ノードのインデックスをグループメンバ以外に秘匿して取得することができる。
これによって、メッセージグループメンバ装置は、参加者情報である葉ノードのインデックスをグループメンバ以外に秘匿して取得することができる。
【0014】
また、メッセージグループメンバ装置は、鍵更新情報生成手段によって、自身の葉ノードのノード秘密鍵により、自身の葉ノードからルートノードまでのパス上のノード公開鍵を更新するとともに、ルートノードのノード秘密鍵をグループ共有鍵として更新し、更新されたパス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成する。
そして、メッセージグループメンバ装置は、メッセージ送信手段によって、メッセージを更新後のグループ共有鍵で暗号化し、鍵更新情報を付加して、自身以外のグループメンバに送信する。
これによって、メッセージグループメンバ装置は、メッセージを常に新たなグループ共有鍵で暗号化することができる。
そして、メッセージグループメンバ装置は、メッセージ送信手段によって、メッセージを更新後のグループ共有鍵で暗号化し、鍵更新情報を付加して、自身以外のグループメンバに送信する。
これによって、メッセージグループメンバ装置は、メッセージを常に新たなグループ共有鍵で暗号化することができる。
【0015】
また、メッセージグループメンバ装置は、鍵情報更新手段によって、自身以外のグループメンバから受信した鍵更新情報に含まれるノード公開鍵部分集合でノード公開鍵集合を更新し、鍵更新情報に含まれる暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新する。
そして、メッセージグループメンバ装置は、メッセージ受信手段によって、自身以外のグループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、鍵情報更新手段で更新されたグループ共有鍵で暗号化メッセージを復号する。
これによって、メッセージグループメンバ装置は、暗号化メッセージを常に新たなグループ共有鍵で復号することができる。
なお、メッセージグループメンバ装置は、コンピュータを、前記した各手段として機能させるためのプログラムで動作させることができる。
そして、メッセージグループメンバ装置は、メッセージ受信手段によって、自身以外のグループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、鍵情報更新手段で更新されたグループ共有鍵で暗号化メッセージを復号する。
これによって、メッセージグループメンバ装置は、暗号化メッセージを常に新たなグループ共有鍵で復号することができる。
なお、メッセージグループメンバ装置は、コンピュータを、前記した各手段として機能させるためのプログラムで動作させることができる。
【発明の効果】
【0016】
本発明は、以下に示す優れた効果を奏するものである。
本発明によれば、参加者情報であるグループメンバの葉ノードのインデックスをグループメンバ以外に秘匿することができる。
また、本発明によれば、メッセージの送受信を行う前にグループ共有鍵を更新し、新たなグループ共有鍵で暗号化メッセージ生成し、鍵更新情報とともに送信するため、安全性を高めて、非同期にメッセージを送受信することができる。
本発明によれば、参加者情報であるグループメンバの葉ノードのインデックスをグループメンバ以外に秘匿することができる。
また、本発明によれば、メッセージの送受信を行う前にグループ共有鍵を更新し、新たなグループ共有鍵で暗号化メッセージ生成し、鍵更新情報とともに送信するため、安全性を高めて、非同期にメッセージを送受信することができる。
【図面の簡単な説明】
【0017】
【図1】本発明の実施形態に係るグループメッセージ送受信システムの全体構成を示す構成図である。
【図2】本発明の実施形態に係るメッセージグループ管理者装置およびメッセージグループメンバ装置の構成を示すブロック図である。
【図4】ノード公開鍵集合およびノード共有鍵の生成手法を説明するための完全２分木を用いた説明図である。
【図8】本発明の実施形態に係るメッセージグループ管理者装置の初期化処理の動作を示すフローチャートである。
【図9】本発明の実施形態に係るメッセージグループメンバ装置の初期化処理の動作を示すフローチャートである。
【図10】本発明の実施形態に係るメッセージグループ管理者装置またはメッセージグループメンバ装置のメッセージ送信の動作を示すフローチャートである。
【図11】本発明の実施形態に係るメッセージグループ管理者装置またはメッセージグループメンバ装置のメッセージ受信の動作を示すフローチャートである。
【発明を実施するための形態】
【0018】
【0019】
グループメッセージ送受信システムＳは、グループを構成するグループメンバ（端末装置）間でメッセージを送受信するものである。グループメッセージ送受信システムＳは、誰がグループに参加しているのかを示す参加者情報をグループのメンバ以外に秘匿する機能を有する。
グループメッセージ送受信システムＳは、メッセージグループ管理者装置１と、メッセージグループメンバ装置２と、鍵管理サーバ３とを、ネットワークＮを介して備える。
一台のメッセージグループ管理者装置１と、複数のメッセージグループメンバ装置２２，２３，…，２ｎとで一つのグループが形成される。鍵管理サーバ３は、このグループに限定されず、別のグループに対しても機能するサーバである。
メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループメッセージを送受信するアプリケーションソフトウェアを、図示を省略したサーバからダウンロードし、実行することで、各機能を実現する。
グループメッセージ送受信システムＳは、メッセージグループ管理者装置１と、メッセージグループメンバ装置２と、鍵管理サーバ３とを、ネットワークＮを介して備える。
一台のメッセージグループ管理者装置１と、複数のメッセージグループメンバ装置２２，２３，…，２ｎとで一つのグループが形成される。鍵管理サーバ３は、このグループに限定されず、別のグループに対しても機能するサーバである。
メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループメッセージを送受信するアプリケーションソフトウェアを、図示を省略したサーバからダウンロードし、実行することで、各機能を実現する。
【0020】
メッセージグループ管理者装置１は、鍵管理サーバ３が公開する複数のメッセージグループメンバ装置２２，２３，…，２ｎの公開鍵を用いて、複数のメッセージグループメンバ装置２２，２３，…，２ｎとグループを形成し、メッセージを暗号化する鍵（グループ共有鍵）を共有するグループの管理者となる端末装置である。
メッセージグループ管理者装置１は、グループのメンバとなるメッセージグループメンバ装置２にグループ初期化情報を送信することでグループを形成する。ただし、メッセージグループ管理者装置１は、グループ共有鍵の更新やメッセージの送受信においては、メッセージグループメンバ装置２と同じ機能を有するグループのメンバである。
なお、ここでは、メッセージグループ管理者装置１を一台図示しているが、グループメッセージ送受信システムＳにおいて、形成するグループに応じて複数存在する。このメッセージグループ管理者装置１の構成については後記する。
メッセージグループ管理者装置１は、グループのメンバとなるメッセージグループメンバ装置２にグループ初期化情報を送信することでグループを形成する。ただし、メッセージグループ管理者装置１は、グループ共有鍵の更新やメッセージの送受信においては、メッセージグループメンバ装置２と同じ機能を有するグループのメンバである。
なお、ここでは、メッセージグループ管理者装置１を一台図示しているが、グループメッセージ送受信システムＳにおいて、形成するグループに応じて複数存在する。このメッセージグループ管理者装置１の構成については後記する。
【0021】
メッセージグループメンバ装置２は、メッセージグループ管理者装置１から送信されるグループ初期化情報によって、グループ共有鍵を共有するグループのメンバとなる端末装置である。このメッセージグループメンバ装置２の構成については後記する。
【0022】
鍵管理サーバ３は、公開鍵を配布するサーバである。この鍵管理サーバ３は、信頼できる第三者機関に備えられた公開鍵基盤（ＰＫＩ：Public Key Infrastructure）である。
ここでは、鍵管理サーバ３は、予め端末装置（メッセージグループ管理者装置１，メッセージグループメンバ装置２）が生成した公開鍵を公開するものとする。
ここでは、鍵管理サーバ３は、予め端末装置（メッセージグループ管理者装置１，メッセージグループメンバ装置２）が生成した公開鍵を公開するものとする。
【0023】
ここで、鍵管理サーバ３が公開する公開鍵について説明する。
鍵管理サーバ３が公開する公開鍵は、公開鍵暗号方式により生成された鍵ペアのうちの暗号化用の公開鍵と、鍵共有方式により生成された鍵ペアのうちの鍵共有用の公開鍵である。
鍵管理サーバ３が公開する公開鍵の１つは、鍵秘匿かつロバスト性を持つ公開鍵暗号方式で生成されたものとする。鍵秘匿かつロバスト性を持つ公開鍵暗号方式は、例えば、以下の参考文献１に記載の方式を用いることができる。
（参考文献１）
Abdalla, M., Bellare, M. and Neven, G.; Robust Encryption, TCC, pp.480-497 (2010).
鍵管理サーバ３が公開する公開鍵は、公開鍵暗号方式により生成された鍵ペアのうちの暗号化用の公開鍵と、鍵共有方式により生成された鍵ペアのうちの鍵共有用の公開鍵である。
鍵管理サーバ３が公開する公開鍵の１つは、鍵秘匿かつロバスト性を持つ公開鍵暗号方式で生成されたものとする。鍵秘匿かつロバスト性を持つ公開鍵暗号方式は、例えば、以下の参考文献１に記載の方式を用いることができる。
（参考文献１）
Abdalla, M., Bellare, M. and Neven, G.; Robust Encryption, TCC, pp.480-497 (2010).
【0024】
鍵秘匿公開鍵暗号方式は、公開鍵暗号方式の一種で、暗号文から平文の情報が洩れないだけでなく、公開鍵の情報も洩れないことを安全性の要件とする。
ロバスト性を持つ公開鍵暗号方式（ロバスト性公開鍵暗号方式）は、公開鍵暗号方式の一種で、暗号文を復号する際に、正規の復号鍵（秘密鍵）を用いずに復号しようとした場合、なんらかの平文に復号するのではなく、エラーシンボルを返す方式である。例えば、以下の式（１），（２）により、公開鍵暗号方式の鍵生成アルゴリズムＫｇｅｎｐで、鍵長を決定するためのセキュリティパラメータλから、復号用の秘密鍵ｄｋと暗号化用の公開鍵ＰＫとの鍵ペアを２組（ｄｋ１，ＰＫ１），（ｄｋ２，ＰＫ２）生成したとする。
ロバスト性を持つ公開鍵暗号方式（ロバスト性公開鍵暗号方式）は、公開鍵暗号方式の一種で、暗号文を復号する際に、正規の復号鍵（秘密鍵）を用いずに復号しようとした場合、なんらかの平文に復号するのではなく、エラーシンボルを返す方式である。例えば、以下の式（１），（２）により、公開鍵暗号方式の鍵生成アルゴリズムＫｇｅｎｐで、鍵長を決定するためのセキュリティパラメータλから、復号用の秘密鍵ｄｋと暗号化用の公開鍵ＰＫとの鍵ペアを２組（ｄｋ１，ＰＫ１），（ｄｋ２，ＰＫ２）生成したとする。
【0025】
【数1】
【0026】
ここで、式（３）により、平文ｍが、公開鍵暗号方式の暗号化アルゴリズムＥｎｃｐで公開鍵ＰＫ１を用いて暗号文ＣＴに暗号化されたとする。
【0027】
【数2】
【0028】
ロバスト性公開鍵暗号方式は、以下の式（４）に示すように、復号アルゴリズムＤｅｃｐにより、公開鍵ＰＫ１と対にならない秘密鍵ｄｋ２を用いて暗号文ＣＴを復号しようとした場合、エラーシンボル（⊥）を返す性質を有する。
【0029】
【数3】
【0030】
なお、本発明において使用する公開鍵暗号方式は、鍵秘匿性とロバスト性を有しなければならない。
【0031】
鍵管理サーバ３が公開する他の公開鍵は、２つの公開鍵を生成する鍵共有方式で生成されたものとする。この鍵共有方式は、共有先のメンバ（端末装置）の公開鍵と自身の秘密鍵とを用いて鍵を共有する方式で、ここでは、１ラウンド鍵共有方式とする。
１ラウンド鍵共有方式とは、共有先のメンバ（端末装置）との通信を必要とせず、共有先のメンバの公開鍵から鍵共有が可能な方式である。例えば、以下の参考文献２に記載の鍵共有方式を用いることができる。
（参考文献２）
Moxie Marlinspike. The X3DH key agreement protocol. Revision 1, 2016-11-04, https://signal.org/docs/specifications/x3dh/.
１ラウンド鍵共有方式の鍵生成アルゴリズムＫＥＫＧｅｎは、以下の式（５）に示すように、鍵長を決定するためのセキュリティパラメータλから、秘密鍵ｉｋ，ｅｋと公開鍵ＩＫ，ＥＫとを生成する。
１ラウンド鍵共有方式とは、共有先のメンバ（端末装置）との通信を必要とせず、共有先のメンバの公開鍵から鍵共有が可能な方式である。例えば、以下の参考文献２に記載の鍵共有方式を用いることができる。
（参考文献２）
Moxie Marlinspike. The X3DH key agreement protocol. Revision 1, 2016-11-04, https://signal.org/docs/specifications/x3dh/.
１ラウンド鍵共有方式の鍵生成アルゴリズムＫＥＫＧｅｎは、以下の式（５）に示すように、鍵長を決定するためのセキュリティパラメータλから、秘密鍵ｉｋ，ｅｋと公開鍵ＩＫ，ＥＫとを生成する。
【0032】
【数4】
【0033】
以下の式（６）に示すように、鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅは、自身（インデックスｉ）の秘密鍵ｉｋｉ，ｅｋｉと、共有先のメンバ（インデックスｊ）の公開鍵ＩＫｊ，ＥＫｊとから、共有鍵Ｋを生成する。また、以下の式（７）に示すように、鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅは、インデックスｉ，ｊを入れ替えても式（５）と同じ共有鍵Ｋを生成する。
【0034】
【数5】
【0035】
〔メッセージグループ管理者装置の構成〕
次に、図２を参照して、本発明の実施形態に係るメッセージグループ管理者装置１の構成について説明する。
図２に示すように、メッセージグループ管理者装置１は、記憶手段１０と、グループ管理者初期化手段１１と、メッセージ送信手段１２と、鍵更新情報生成手段１３と、メッセージ受信手段１４と、鍵情報更新手段１５と、を備える。
次に、図２を参照して、本発明の実施形態に係るメッセージグループ管理者装置１の構成について説明する。
図２に示すように、メッセージグループ管理者装置１は、記憶手段１０と、グループ管理者初期化手段１１と、メッセージ送信手段１２と、鍵更新情報生成手段１３と、メッセージ受信手段１４と、鍵情報更新手段１５と、を備える。
【0036】
記憶手段１０は、鍵情報を記憶するものである。記憶手段１０は、半導体メモリ等の一般的な記憶媒体で構成することができる。
記憶手段１０には、予め鍵管理サーバ３で公開された公開鍵と、その公開鍵と対になる秘密鍵とを対応付けて記憶しておく。
記憶手段１０には、予め鍵管理サーバ３で公開された公開鍵と、その公開鍵と対になる秘密鍵とを対応付けて記憶しておく。
【0037】
ここでは、図３に示すように、鍵ペア情報１００として、前記式（１）により生成した鍵ペア（秘密鍵ｄｋ，公開鍵ＰＫ）を、暗号鍵ペア（暗号秘密鍵ｄｋ１，暗号公開鍵ＰＫ１）として記憶しておく。
また、鍵ペア情報１００として、前記式（５）により生成した鍵ペア（秘密鍵ｉｋ，ｅｋ，公開鍵ＩＫ，ＥＫ）を、署名鍵ペア（署名生成鍵ｉｋ１，署名検証鍵ＩＫ１）および鍵交換鍵ペア（鍵交換秘密鍵ｅｋ１，鍵交換公開鍵ＥＫ１）として記憶しておく。
鍵ペア情報１００は、図示を省略した鍵生成手段によって、グループを形成する前に予め生成され、公開鍵については、鍵管理サーバ３に登録されているものとする。
なお、記憶手段１０の鍵情報１０１は、初期化処理によって書き込まれる情報である。
また、鍵ペア情報１００として、前記式（５）により生成した鍵ペア（秘密鍵ｉｋ，ｅｋ，公開鍵ＩＫ，ＥＫ）を、署名鍵ペア（署名生成鍵ｉｋ１，署名検証鍵ＩＫ１）および鍵交換鍵ペア（鍵交換秘密鍵ｅｋ１，鍵交換公開鍵ＥＫ１）として記憶しておく。
鍵ペア情報１００は、図示を省略した鍵生成手段によって、グループを形成する前に予め生成され、公開鍵については、鍵管理サーバ３に登録されているものとする。
なお、記憶手段１０の鍵情報１０１は、初期化処理によって書き込まれる情報である。
【0038】
グループ管理者初期化手段１１は、グループメンバを完全２分木の葉ノードに対応付けて葉ノードのノード秘密鍵を鍵共有方式により生成するとともにノード公開鍵を生成し、兄弟ノードごとに親ノードのノード秘密鍵およびノード公開鍵の生成を繰り返すことでルートノード以外のノードのノード公開鍵集合を生成し、葉ノードのインデックスを鍵秘匿かつロバスト性を持つ公開鍵暗号方式により暗号化した暗号化ノード情報とノード公開鍵集合とを含むグループ初期化情報をグループメンバに送信するものである。
グループ管理者初期化手段１１は、複数のメッセージグループメンバ装置２２，２３，…，２ｎとの間でグループを形成するための初期化処理を行う。
グループ管理者初期化手段１１は、複数のメッセージグループメンバ装置２２，２３，…，２ｎとの間でグループを形成するための初期化処理を行う。
【0039】
ここで、図３を参照して、グループ管理者初期化手段１１の構成について詳細に説明する。
図３に示すように、グループ管理者初期化手段１１は、メンバ公開鍵取得手段１１０と、セットアップ鍵ペア生成手段１１１と、ノード秘密鍵生成手段１１２と、グループ共有鍵生成手段１１３と、鍵更新秘密鍵生成手段１１４と、メンバ公開鍵暗号化手段１１５と、ノード情報暗号化手段１１６と、署名付加手段１１７と、初期化情報送信手段１１８と、を備える。
図３に示すように、グループ管理者初期化手段１１は、メンバ公開鍵取得手段１１０と、セットアップ鍵ペア生成手段１１１と、ノード秘密鍵生成手段１１２と、グループ共有鍵生成手段１１３と、鍵更新秘密鍵生成手段１１４と、メンバ公開鍵暗号化手段１１５と、ノード情報暗号化手段１１６と、署名付加手段１１７と、初期化情報送信手段１１８と、を備える。
【0040】
メンバ公開鍵取得手段１１０は、鍵管理サーバ３から、グループのメンバとなるメッセージグループメンバ装置２２，２３，…，２ｎの公開鍵を取得するものである。
例えば、メンバ公開鍵取得手段１１０は、予めグループへの参加を希望するメッセージグループメンバ装置２のアドレス、インデックス（識別子）を取得した後、インデックスに対応して公開されている公開鍵を取得する。
ここでは、グループのメンバの数をｎとし、各メンバは、１からｎの間の異なるインデックスｉを持つものとする。また、メッセージグループ管理者装置１は、インデックスが１（ｉ＝１）のメンバとする。
メンバの数ｎは、２の整数乗である。ただし、メンバ（メッセージグループ管理者装置１，メッセージグループメンバ装置２）の数が、２の整数乗でない場合は、ダミーのメンバを追加して２の整数乗としておく。
メンバ公開鍵取得手段１１０は、ｉ＝２～ｎの公開鍵である署名検証鍵ＩＫｉ，鍵交換公開鍵ＥＫｉ，暗号公開鍵ＰＫｉを鍵管理サーバ３から取得し、記憶手段１０に記憶する。
例えば、メンバ公開鍵取得手段１１０は、予めグループへの参加を希望するメッセージグループメンバ装置２のアドレス、インデックス（識別子）を取得した後、インデックスに対応して公開されている公開鍵を取得する。
ここでは、グループのメンバの数をｎとし、各メンバは、１からｎの間の異なるインデックスｉを持つものとする。また、メッセージグループ管理者装置１は、インデックスが１（ｉ＝１）のメンバとする。
メンバの数ｎは、２の整数乗である。ただし、メンバ（メッセージグループ管理者装置１，メッセージグループメンバ装置２）の数が、２の整数乗でない場合は、ダミーのメンバを追加して２の整数乗としておく。
メンバ公開鍵取得手段１１０は、ｉ＝２～ｎの公開鍵である署名検証鍵ＩＫｉ，鍵交換公開鍵ＥＫｉ，暗号公開鍵ＰＫｉを鍵管理サーバ３から取得し、記憶手段１０に記憶する。
【0041】
セットアップ鍵ペア生成手段１１１は、初期化を行うための鍵ペア（セットアップ秘密鍵，セットアップ公開鍵）を生成するものである。ここでは、セットアップ鍵ペア生成手段１１１は、セキュリティパラメータで特定される大きさ（例えば、セキュリティパラメータのビット長）の素数ｐを選択し、Ｚｐからセットアップ秘密鍵ｓｕｋを選択（ｓｕｋ∈Ｚｐ）する。なお、Ｚｐは、｛０，…，ｐ－１｝の整数の集合である。
また、セットアップ鍵ペア生成手段１１１は、素数ｐを位数（素数位数ｐ）とする群Ｇから生成元ｇを選択（ｇ∈Ｇ）し、ｇｓｕｋをセットアップ公開鍵ＳＵＫとして算出（ＳＵＫ＝ｇｓｕｋ）する。
セットアップ鍵ペア生成手段１１１は、生成したセットアップ秘密鍵ｓｕｋをノード秘密鍵生成手段１１２に出力し、セットアップ公開鍵ＳＵＫを署名付加手段１１７に出力する。
なお、ここでは図示を省略するが、セットアップ鍵ペア生成手段１１１は、生成元ｇや素数ｐを、記憶手段１０に記憶しておく。
また、セットアップ鍵ペア生成手段１１１は、素数ｐを位数（素数位数ｐ）とする群Ｇから生成元ｇを選択（ｇ∈Ｇ）し、ｇｓｕｋをセットアップ公開鍵ＳＵＫとして算出（ＳＵＫ＝ｇｓｕｋ）する。
セットアップ鍵ペア生成手段１１１は、生成したセットアップ秘密鍵ｓｕｋをノード秘密鍵生成手段１１２に出力し、セットアップ公開鍵ＳＵＫを署名付加手段１１７に出力する。
なお、ここでは図示を省略するが、セットアップ鍵ペア生成手段１１１は、生成元ｇや素数ｐを、記憶手段１０に記憶しておく。
【0042】
ノード秘密鍵生成手段１１２は、グループのメンバを完全２分木の葉ノードに対応付けて、葉ノードごとの秘密鍵を生成するものである。
グループのメンバ（メッセージグループ管理者装置１、メッセージグループメンバ装置２２，２３，…，２ｎ）のインデックスｉ（ｉ＝１，２，…，ｎ）は、予めｎ個の葉ノード（Ｎ１，…，Ｎｎ）の位置を示すインデックスｊ（ｊ＝１，２，…，ｎ）のいずれかにアサインされているものとする。もちろん、ｉ＝ｊとしてもよい。なお、ここでは、メッセージグループ管理者装置１の葉ノードのインデックスを１（ｊ＝１）として説明する。
グループのメンバ（メッセージグループ管理者装置１、メッセージグループメンバ装置２２，２３，…，２ｎ）のインデックスｉ（ｉ＝１，２，…，ｎ）は、予めｎ個の葉ノード（Ｎ１，…，Ｎｎ）の位置を示すインデックスｊ（ｊ＝１，２，…，ｎ）のいずれかにアサインされているものとする。もちろん、ｉ＝ｊとしてもよい。なお、ここでは、メッセージグループ管理者装置１の葉ノードのインデックスを１（ｊ＝１）として説明する。
【0043】
具体的には、ノード秘密鍵生成手段１１２は、ｎ個の葉ノード（Ｎ１，…，Ｎｎ）を持つ完全２分木において、自身の葉ノードＮ１に対応するノード秘密鍵Ｋ１を、Ｚｐから選択（Ｋ１∈Ｚｐ）する。
そして、ノード秘密鍵生成手段１１２は、葉ノードごとに、署名生成鍵ｉｋ１と、セットアップ秘密鍵ｓｕｋと、グループのメンバ（インデックスｉ）にアサインされた葉ノードの位置（インデックスｊ）ごとのメンバ公開鍵（ＩＫｊ，ＥＫｊ）とを用いて、前記式（６），（７）で説明した鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅにより、以下の式（８）に示すようにノード秘密鍵Ｋｊ（ｊ＝２，…，ｎ）を生成する。
そして、ノード秘密鍵生成手段１１２は、葉ノードごとに、署名生成鍵ｉｋ１と、セットアップ秘密鍵ｓｕｋと、グループのメンバ（インデックスｉ）にアサインされた葉ノードの位置（インデックスｊ）ごとのメンバ公開鍵（ＩＫｊ，ＥＫｊ）とを用いて、前記式（６），（７）で説明した鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅにより、以下の式（８）に示すようにノード秘密鍵Ｋｊ（ｊ＝２，…，ｎ）を生成する。
【0044】
【数6】
【0045】
ノード秘密鍵生成手段１１２は、自身の葉ノードに対応するノード秘密鍵Ｋ１と、生成した葉ノードに対応するノード秘密鍵Ｋｊ（ｊ＝２，…，ｎ）とをグループ共有鍵生成手段１１３に出力する。
また、ノード秘密鍵生成手段１１２は、自身の葉ノードに対応するノード秘密鍵Ｋ１を記憶手段１０に記憶する。
また、ノード秘密鍵生成手段１１２は、自身の葉ノードに対応するノード秘密鍵Ｋ１を記憶手段１０に記憶する。
【0046】
グループ共有鍵生成手段１１３は、グループ共有鍵を生成するとともに、グループ共有鍵を生成するための公開鍵として、グループのメンバを葉ノードに対応付けた完全２分木のルートノードを除くノード公開鍵（ノード公開鍵集合）を生成するものである。
ここでは、グループ共有鍵生成手段１１３は、グループのメンバを完全２分木の葉ノードに対応付けて、葉ノードに対応付けたノード秘密鍵から親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵をグループ共有鍵ｔｋとして生成する。
また、グループ共有鍵生成手段１１３は、各ノードのノード秘密鍵を生成する際に、併せて、ルートノードを除く各ノードのノード公開鍵（ノード公開鍵集合Ｔ）を生成する。
ここでは、グループ共有鍵生成手段１１３は、グループのメンバを完全２分木の葉ノードに対応付けて、葉ノードに対応付けたノード秘密鍵から親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵をグループ共有鍵ｔｋとして生成する。
また、グループ共有鍵生成手段１１３は、各ノードのノード秘密鍵を生成する際に、併せて、ルートノードを除く各ノードのノード公開鍵（ノード公開鍵集合Ｔ）を生成する。
【0047】
具体的に、図４を参照して、グループ共有鍵およびノード公開鍵集合の生成手法について説明する。
グループ共有鍵生成手段１１３は、ノードＮ１のノード秘密鍵Ｋ１と、その兄弟ノードであるノードＮ２のノード秘密鍵Ｋ２と、生成元ｇとから、それぞれのノード公開鍵ｇＫ１（ｇのＫ１乗），ｇＫ２（ｇのＫ２乗）を生成する。
そして、グループ共有鍵生成手段１１３は、親ノードであるノードＮｎ＋１のＤＨ（Diffie-Hellman）鍵ｇＫ１Ｋ２（ｇのＫ１Ｋ２乗）のハッシュ値により、ノードＮｎ＋１のノード秘密鍵およびノード公開鍵を生成する。すなわち、グループ共有鍵生成手段１１３は、親ノードのノード秘密鍵Ｋｎ＋１をＫｎ＋１＝Ｈ（ｇＫ１Ｋ２）とし、ノード公開鍵ｇＫｎ＋１（ｇのＫｎ＋１乗）を生成する。なお、Ｈはハッシュ関数を示す。
グループ共有鍵生成手段１１３は、ノードＮ１のノード秘密鍵Ｋ１と、その兄弟ノードであるノードＮ２のノード秘密鍵Ｋ２と、生成元ｇとから、それぞれのノード公開鍵ｇＫ１（ｇのＫ１乗），ｇＫ２（ｇのＫ２乗）を生成する。
そして、グループ共有鍵生成手段１１３は、親ノードであるノードＮｎ＋１のＤＨ（Diffie-Hellman）鍵ｇＫ１Ｋ２（ｇのＫ１Ｋ２乗）のハッシュ値により、ノードＮｎ＋１のノード秘密鍵およびノード公開鍵を生成する。すなわち、グループ共有鍵生成手段１１３は、親ノードのノード秘密鍵Ｋｎ＋１をＫｎ＋１＝Ｈ（ｇＫ１Ｋ２）とし、ノード公開鍵ｇＫｎ＋１（ｇのＫｎ＋１乗）を生成する。なお、Ｈはハッシュ関数を示す。
【0048】
グループ共有鍵生成手段１１３は、兄弟ノードごとに親ノードのノード秘密鍵とノード公開鍵とを生成する処理をルートノードの子ノードであるノードＮ２ｎ－３，ノードＮ２ｎ－２まで繰り返し、ルートノードＮ２ｎ－１のノード秘密鍵（グループ共有鍵ｔｋ）を、ｔｋ＝Ｈ（ｇＫ２ｎ－３Ｋ２ｎ－２）により生成する。
また、グループ共有鍵生成手段１１３は、ルートノードを除くノードにおいて生成したノード公開鍵をノード公開鍵集合Ｔとして生成する。
また、グループ共有鍵生成手段１１３は、ルートノードを除くノードにおいて生成したノード公開鍵をノード公開鍵集合Ｔとして生成する。
【0049】
図３に戻って、グループ管理者初期化手段１１の構成について説明を続ける。
グループ共有鍵生成手段１１３は、生成したグループ共有鍵ｔｋを、鍵更新秘密鍵生成手段１１４に出力するともに記憶手段１０に記憶する。
また、グループ共有鍵生成手段１１３は、生成したノード公開鍵集合Ｔ＝｛ｇＫ１，ｇＫ２，…，ｇＫ２ｎ－２｝を鍵更新秘密鍵生成手段１１４および署名付加手段１１７に出力するとともに記憶手段１０に記憶する。
なお、グループ共有鍵生成手段１１３は、漏洩防止のため、使用したノード秘密鍵｛Ｋ２，…，Ｋ２ｎ－２｝については記憶せず、記憶媒体上から削除しておく。
グループ共有鍵生成手段１１３は、生成したグループ共有鍵ｔｋを、鍵更新秘密鍵生成手段１１４に出力するともに記憶手段１０に記憶する。
また、グループ共有鍵生成手段１１３は、生成したノード公開鍵集合Ｔ＝｛ｇＫ１，ｇＫ２，…，ｇＫ２ｎ－２｝を鍵更新秘密鍵生成手段１１４および署名付加手段１１７に出力するとともに記憶手段１０に記憶する。
なお、グループ共有鍵生成手段１１３は、漏洩防止のため、使用したノード秘密鍵｛Ｋ２，…，Ｋ２ｎ－２｝については記憶せず、記憶媒体上から削除しておく。
【0050】
鍵更新秘密鍵生成手段１１４は、グループ共有鍵をグループ内で更新するための秘密鍵を生成するものである。
ここでは、鍵更新秘密鍵生成手段１１４は、メッセージを認証するメッセージ認証コードを生成するために用いる認証コード秘密鍵ｍａｃｋと、鍵更新を行う葉ノードのインデックスを暗号化するために用いる共通鍵暗号秘密鍵ｅｎｃｋと、を生成する。
鍵更新秘密鍵生成手段１１４は、グループ共有鍵ｔｋと、ノード公開鍵集合Ｔとから、鍵導出関数ＫＤＦを用いて、以下の式（９）により、初期値を“０”として認証コード秘密鍵ｍａｃｋを生成し、以下の式（１０）により、初期値を“１”として共通鍵暗号秘密鍵ｅｎｃｋを生成する。なお、ここでは、認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋとを異なる値とするため、式（９）と式（１０）とでは、初期値“０”と初期値“１”を用いることとした。しかし、この２つの初期値は、グループメンバが知っている異なる初期値であれば、どのような値を使用してもよい。
ここでは、鍵更新秘密鍵生成手段１１４は、メッセージを認証するメッセージ認証コードを生成するために用いる認証コード秘密鍵ｍａｃｋと、鍵更新を行う葉ノードのインデックスを暗号化するために用いる共通鍵暗号秘密鍵ｅｎｃｋと、を生成する。
鍵更新秘密鍵生成手段１１４は、グループ共有鍵ｔｋと、ノード公開鍵集合Ｔとから、鍵導出関数ＫＤＦを用いて、以下の式（９）により、初期値を“０”として認証コード秘密鍵ｍａｃｋを生成し、以下の式（１０）により、初期値を“１”として共通鍵暗号秘密鍵ｅｎｃｋを生成する。なお、ここでは、認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋとを異なる値とするため、式（９）と式（１０）とでは、初期値“０”と初期値“１”を用いることとした。しかし、この２つの初期値は、グループメンバが知っている異なる初期値であれば、どのような値を使用してもよい。
【0051】
【数7】
【0052】
鍵更新秘密鍵生成手段１１４は、生成した認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋとを、記憶手段１０に記憶する。
【0053】
メンバ公開鍵暗号化手段１１５は、メンバ公開鍵を暗号化するものである。これは、メンバの公開鍵を暗号化して、グループに属するメンバ以外に参加者情報を秘匿することを目的とするものである。
メンバ公開鍵暗号化手段１１５は、乱数を共通鍵暗号方式の秘密鍵ｋとして選択し、以下の式（１１）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を暗号化する。
メンバ公開鍵暗号化手段１１５は、乱数を共通鍵暗号方式の秘密鍵ｋとして選択し、以下の式（１１）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を暗号化する。
【0054】
【数8】
【0055】
メンバ公開鍵暗号化手段１１５は、使用した秘密鍵ｋをノード情報暗号化手段１１６に出力するとともに、暗号化したメンバ公開鍵（暗号化メンバ公開鍵）Ｃｐｋを署名付加手段１１７に出力する。
【0056】
ノード情報暗号化手段１１６は、メンバのノード情報を暗号化するものである。これは、完全２分木（図４参照）におけるメンバの葉ノードの位置を暗号化して、グループに属するメンバ以外に参加者情報を秘匿することを目的とするものである。
なお、ノード情報暗号化手段１１６は、メンバのノード情報とともに、署名検証鍵ＩＫ１と、暗号化メンバ公開鍵Ｃｐｋを生成した秘密鍵ｋとを連結して暗号化する。
ノード情報暗号化手段１１６は、以下の式（１２）に示すように、前記式（３）で説明した公開鍵暗号方式の暗号化アルゴリズムＥｎｃｐで、インデックスｉのメンバに葉ノードのインデックスｊが割り当てられていたとすると、メンバのインデックスｉの暗号公開鍵ＰＫｊが葉ノードのインデックスｊにあたる暗号公開鍵になる。ノード情報暗号化手段１１６は、その暗号公開鍵ＰＫｉを用いて、署名検証鍵ＩＫ１と、インデックスｉにアサインされたメンバの葉ノード位置（インデックスｊ）と、秘密鍵ｋとを連結したデータを暗号化する。
なお、ノード情報暗号化手段１１６は、メンバのノード情報とともに、署名検証鍵ＩＫ１と、暗号化メンバ公開鍵Ｃｐｋを生成した秘密鍵ｋとを連結して暗号化する。
ノード情報暗号化手段１１６は、以下の式（１２）に示すように、前記式（３）で説明した公開鍵暗号方式の暗号化アルゴリズムＥｎｃｐで、インデックスｉのメンバに葉ノードのインデックスｊが割り当てられていたとすると、メンバのインデックスｉの暗号公開鍵ＰＫｊが葉ノードのインデックスｊにあたる暗号公開鍵になる。ノード情報暗号化手段１１６は、その暗号公開鍵ＰＫｉを用いて、署名検証鍵ＩＫ１と、インデックスｉにアサインされたメンバの葉ノード位置（インデックスｊ）と、秘密鍵ｋとを連結したデータを暗号化する。
【0057】
【数9】
【0058】
ここで、||は、データの連結を示す。また、予め定めた順番であれば、連結の順番は問わない。
ノード情報暗号化手段１１６は、葉ノードごとに、メンバのノード情報を暗号化したノード情報（暗号化ノード情報）ＣＴｊ（ｊ＝２，…，ｎ）を署名付加手段１１７に出力する。
ノード情報暗号化手段１１６は、葉ノードごとに、メンバのノード情報を暗号化したノード情報（暗号化ノード情報）ＣＴｊ（ｊ＝２，…，ｎ）を署名付加手段１１７に出力する。
【0059】
署名付加手段１１７は、電子署名（以下、署名という）を付加したグループ初期化情報を生成するものである。
署名付加手段１１７は、署名検証鍵ＩＫ１と、鍵交換公開鍵ＥＫ１と、暗号化メンバ公開鍵Ｃｐｋと、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）と、セットアップ公開鍵ＳＵＫと、ノード公開鍵集合Ｔとで構成されるグループ初期化情報から、以下の式（１３）に示すように、一般的な電子署名の署名アルゴリズムＳＩＧ．Ｓｉｇｎにより、署名生成鍵ｉｋ１を用いて署名σを生成する。
署名付加手段１１７は、署名検証鍵ＩＫ１と、鍵交換公開鍵ＥＫ１と、暗号化メンバ公開鍵Ｃｐｋと、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）と、セットアップ公開鍵ＳＵＫと、ノード公開鍵集合Ｔとで構成されるグループ初期化情報から、以下の式（１３）に示すように、一般的な電子署名の署名アルゴリズムＳＩＧ．Ｓｉｇｎにより、署名生成鍵ｉｋ１を用いて署名σを生成する。
【0060】
【数10】
【0061】
そして、署名付加手段１１７は、以下の式（１４）に示すグループ初期化情報ｉｎｉｔに署名σを付加して初期化情報送信手段１１８に出力する。
【0062】
【数11】
【0063】
初期化情報送信手段１１８は、署名σを付加したグループ初期化情報を、メッセージグループメンバ装置２に送信するものである。
この初期化情報送信手段１１８は、グループを構成するメッセージグループメンバ装置２に対して、同報通信により、グループ初期化情報を送信する。
これによって、グループを構成するメッセージグループメンバ装置２は、それぞれ、初期化処理を実行する。
この初期化情報送信手段１１８は、グループを構成するメッセージグループメンバ装置２に対して、同報通信により、グループ初期化情報を送信する。
これによって、グループを構成するメッセージグループメンバ装置２は、それぞれ、初期化処理を実行する。
【0064】
【0065】
メッセージ送信手段１２は、メッセージを更新後のグループ共有鍵で暗号化し、鍵更新情報を付加して、自身以外のグループメンバに送信するものである。
図５に示すように、メッセージ送信手段１２は、メッセージ暗号化手段１２０と、鍵更新情報入力手段１２１と、暗号化メッセージ送信手段１２２と、を備える。
図５に示すように、メッセージ送信手段１２は、メッセージ暗号化手段１２０と、鍵更新情報入力手段１２１と、暗号化メッセージ送信手段１２２と、を備える。
【0066】
メッセージ暗号化手段１２０は、平文であるメッセージを暗号化するものである。なお、メッセージ暗号化手段１２０は、暗号化を行う前に、鍵更新情報生成手段１３を動作させ、鍵更新情報生成手段１３の鍵情報更新処理が完了した後に、メッセージの暗号化を行う。
メッセージ暗号化手段１２０は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されているグループ共有鍵ｔｋ′（更新後のグループ共有鍵ｔｋ）を用い、以下の式（１５）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、メッセージＭを暗号化し、暗号化メッセージＣＭを生成する。
メッセージ暗号化手段１２０は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されているグループ共有鍵ｔｋ′（更新後のグループ共有鍵ｔｋ）を用い、以下の式（１５）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、メッセージＭを暗号化し、暗号化メッセージＣＭを生成する。
【0067】
【数12】
【0068】
メッセージ暗号化手段１２０は、生成した暗号化メッセージＣＭを暗号化メッセージ送信手段１２２に出力する。
【0069】
鍵更新情報入力手段１２１は、鍵更新情報生成手段１３が生成する鍵更新情報を入力するものである。
ここでは、鍵更新情報入力手段１２１は、鍵更新情報として、後記する鍵更新情報生成手段１３で更新されたノード公開鍵部分集合Ｔ′と、鍵情報を更新する主体であるメンバの葉ノードのインデックスを暗号化した暗号化インデックスＣと、暗号化インデックスＣに対して生成されたメッセージ認証コードＭＡＣとを、鍵更新情報生成手段１３から入力する。
鍵更新情報入力手段１２１は、鍵更新情報生成手段１３から入力した鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を暗号化メッセージ送信手段１２２に出力する。
ここでは、鍵更新情報入力手段１２１は、鍵更新情報として、後記する鍵更新情報生成手段１３で更新されたノード公開鍵部分集合Ｔ′と、鍵情報を更新する主体であるメンバの葉ノードのインデックスを暗号化した暗号化インデックスＣと、暗号化インデックスＣに対して生成されたメッセージ認証コードＭＡＣとを、鍵更新情報生成手段１３から入力する。
鍵更新情報入力手段１２１は、鍵更新情報生成手段１３から入力した鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を暗号化メッセージ送信手段１２２に出力する。
【0070】
暗号化メッセージ送信手段１２２は、メッセージ暗号化手段１２０で生成された暗号化メッセージＣＭに鍵更新情報入力手段１２１で入力した鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を付加し、１つのメッセージとしてメッセージグループメンバ装置２に送信するものである。
この暗号化メッセージ送信手段１２２は、グループを構成するメッセージグループメンバ装置２に対して、同報通信によりメッセージを送信する。
これによって、グループを構成するメッセージグループメンバ装置２には、暗号化メッセージＣＭとともに、鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）が配信されるため、鍵更新の同期を行う必要がなく、非同期で暗号化メッセージを送信することができる。
この暗号化メッセージ送信手段１２２は、グループを構成するメッセージグループメンバ装置２に対して、同報通信によりメッセージを送信する。
これによって、グループを構成するメッセージグループメンバ装置２には、暗号化メッセージＣＭとともに、鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）が配信されるため、鍵更新の同期を行う必要がなく、非同期で暗号化メッセージを送信することができる。
【0071】
次に、鍵更新情報生成手段１３の構成について説明する。
鍵更新情報生成手段１３は、自身の葉ノードのノード秘密鍵により、自身の葉ノードからルートノードまでのパス上のノード公開鍵を更新するとともに、ルートノードのノード秘密鍵をグループ共有鍵として更新し、更新されたパス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成するものである。
鍵更新情報生成手段１３は、自身の葉ノードのノード秘密鍵により、自身の葉ノードからルートノードまでのパス上のノード公開鍵を更新するとともに、ルートノードのノード秘密鍵をグループ共有鍵として更新し、更新されたパス上のノード公開鍵部分集合と、自身の葉ノードのインデックスを暗号化した暗号化ノードインデックスとを含む鍵更新情報を生成するものである。
【0072】
図５に示すように、鍵更新情報生成手段１３は、ノード秘密鍵選択手段１３０と、グループ共有鍵更新手段１３１と、鍵更新秘密鍵更新手段１３２と、ノードインデックス暗号化手段１３３と、認証コード生成手段１３４と、鍵更新情報出力手段１３５と、を備える。
【0073】
ノード秘密鍵選択手段１３０は、グループのメンバを完全２分木の葉ノードに対応付けた自身の葉ノードに対応する秘密鍵（ノード秘密鍵）を選択するものである。
具体的には、ノード秘密鍵選択手段１３０は、自身の葉ノードに割り当てられたインデックスｊに対応する新たなノード秘密鍵Ｋｊを、Ｚｐから選択（Ｋｊ∈Ｚｐ）する。
ノード秘密鍵選択手段１３０は、選択した新たなノード秘密鍵Ｋｊを、グループ共有鍵更新手段１３１に出力する。
具体的には、ノード秘密鍵選択手段１３０は、自身の葉ノードに割り当てられたインデックスｊに対応する新たなノード秘密鍵Ｋｊを、Ｚｐから選択（Ｋｊ∈Ｚｐ）する。
ノード秘密鍵選択手段１３０は、選択した新たなノード秘密鍵Ｋｊを、グループ共有鍵更新手段１３１に出力する。
【0074】
グループ共有鍵更新手段１３１は、ノード秘密鍵選択手段１３０で新たに選択されたノード秘密鍵で、グループ共有鍵を更新するものである。
グループ共有鍵更新手段１３１は、自身の葉ノードのノード秘密鍵から、兄弟ノードのノード公開鍵により、親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵を、更新後のグループ共有鍵として生成する。
また、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上において、ノード秘密鍵を生成する際に、併せて、ルートノードを除く各ノードのノード公開鍵を生成する。
グループ共有鍵更新手段１３１は、自身の葉ノードのノード秘密鍵から、兄弟ノードのノード公開鍵により、親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵を、更新後のグループ共有鍵として生成する。
また、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上において、ノード秘密鍵を生成する際に、併せて、ルートノードを除く各ノードのノード公開鍵を生成する。
【0075】
具体的に、図４を参照して、グループ共有鍵およびノード公開鍵の更新について説明する。ここでは、葉ノードのインデックスが１（ｊ＝１）のノードＮ１のノード秘密鍵Ｋ１が更新されるものとする。
グループ共有鍵更新手段１３１は、ノードＮ１のノード秘密鍵Ｋ１と、その兄弟ノードであるノードＮ２のノード公開鍵ｇＫ２とからｇＫ１Ｋ２を計算し、親ノードであるノードＮｎ＋１のノード秘密鍵Ｋｎ＋１をＫｎ＋１＝Ｈ（ｇＫ１Ｋ２）とし、ノード公開鍵ｇＫｎ＋１を生成する。
そして、グループ共有鍵更新手段１３１は、親ノードのノード秘密鍵とその兄弟ノードのノード公開鍵とから、さらに親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードＮ２ｎ－１のノード秘密鍵（グループ共有鍵ｔｋ）を、ｔｋ＝Ｈ（ｇＫ２ｎ－３Ｋ２ｎ－２）により生成する。
この場合、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上において、ルートノードを除くノードＮ１，Ｎｎ＋１，…，Ｎ２ｎ－３に対応するノード公開鍵（ｇＫ１，ｇＫｎ＋１，…，ｇＫ２ｎ－３Ｋ２ｎ－６）を更新することになる。
グループ共有鍵更新手段１３１は、ノードＮ１のノード秘密鍵Ｋ１と、その兄弟ノードであるノードＮ２のノード公開鍵ｇＫ２とからｇＫ１Ｋ２を計算し、親ノードであるノードＮｎ＋１のノード秘密鍵Ｋｎ＋１をＫｎ＋１＝Ｈ（ｇＫ１Ｋ２）とし、ノード公開鍵ｇＫｎ＋１を生成する。
そして、グループ共有鍵更新手段１３１は、親ノードのノード秘密鍵とその兄弟ノードのノード公開鍵とから、さらに親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードＮ２ｎ－１のノード秘密鍵（グループ共有鍵ｔｋ）を、ｔｋ＝Ｈ（ｇＫ２ｎ－３Ｋ２ｎ－２）により生成する。
この場合、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上において、ルートノードを除くノードＮ１，Ｎｎ＋１，…，Ｎ２ｎ－３に対応するノード公開鍵（ｇＫ１，ｇＫｎ＋１，…，ｇＫ２ｎ－３Ｋ２ｎ－６）を更新することになる。
【0076】
図５に戻って、鍵更新情報生成手段１３の構成について説明を続ける。
グループ共有鍵更新手段１３１は、更新したグループ共有鍵ｔｋ（ｔｋ′）を鍵更新秘密鍵更新手段１３２に出力するともに記憶手段１０に記憶する。
また、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上で更新されたノード公開鍵の集合（ノード公開鍵部分集合Ｔ′）で、記憶手段１０に記憶されているノード公開鍵集合Ｔを更新し、ノード公開鍵部分集合Ｔ′を、鍵更新秘密鍵更新手段１３２、認証コード生成手段１３４および鍵更新情報出力手段１３５に出力する。
グループ共有鍵更新手段１３１は、更新したグループ共有鍵ｔｋ（ｔｋ′）を鍵更新秘密鍵更新手段１３２に出力するともに記憶手段１０に記憶する。
また、グループ共有鍵更新手段１３１は、自身の葉ノードからルートノードまでのパス上で更新されたノード公開鍵の集合（ノード公開鍵部分集合Ｔ′）で、記憶手段１０に記憶されているノード公開鍵集合Ｔを更新し、ノード公開鍵部分集合Ｔ′を、鍵更新秘密鍵更新手段１３２、認証コード生成手段１３４および鍵更新情報出力手段１３５に出力する。
【0077】
鍵更新秘密鍵更新手段１３２は、グループ共有鍵をグループ内で更新するための秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を更新するものである。
なお、鍵更新秘密鍵更新手段１３２における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）において、グループ共有鍵ｔｋおよびノード公開鍵集合Ｔが、更新後のグループ共有鍵ｔｋ（ｔｋ′）およびノード公開鍵部分集合Ｔ′に代わるだけであるため、ここでは説明を省略する。
鍵更新秘密鍵更新手段１３２は、新たに生成した認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を、新たな認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋとして記憶手段１０に記憶する。
なお、鍵更新秘密鍵更新手段１３２における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）において、グループ共有鍵ｔｋおよびノード公開鍵集合Ｔが、更新後のグループ共有鍵ｔｋ（ｔｋ′）およびノード公開鍵部分集合Ｔ′に代わるだけであるため、ここでは説明を省略する。
鍵更新秘密鍵更新手段１３２は、新たに生成した認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を、新たな認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋとして記憶手段１０に記憶する。
【0078】
ノードインデックス暗号化手段１３３は、自身が割り当てられている葉ノードの位置であるインデックスｊを暗号化するものである。
ノードインデックス暗号化手段１３３は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されている共通鍵暗号秘密鍵ｅｎｃｋを用い、以下の式（１６）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、インデックスｊを暗号化し、暗号化インデックスＣを生成する。
ノードインデックス暗号化手段１３３は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されている共通鍵暗号秘密鍵ｅｎｃｋを用い、以下の式（１６）に示すように、一般的な共通鍵暗号方式の暗号化アルゴリズムＥｎｃｃにより、インデックスｊを暗号化し、暗号化インデックスＣを生成する。
【0079】
【数13】
【0080】
ノードインデックス暗号化手段１３３は、生成した暗号化インデックスＣを、認証コード生成手段１３４および鍵更新情報出力手段１３５に出力する。
【0081】
認証コード生成手段１３４は、メッセージを認証するメッセージ認証コード方式におけるメッセージ認証コードを生成するものである。
認証コード生成手段１３４は、グループ共有鍵更新手段１３１で更新されたノード公開鍵部分集合Ｔ′と、ノードインデックス暗号化手段１３３で生成された暗号化インデックスＣとから、以下の式（１７）に示すように、一般的なメッセージ認証コード方式のＭＡＣ（Message Authentication Code）生成アルゴリズムＭＡＣ．Ｓｉｇｎにより、認証コード秘密鍵ｍａｃｋを用いてメッセージ認証コードＭＡＣを生成する。
認証コード生成手段１３４は、グループ共有鍵更新手段１３１で更新されたノード公開鍵部分集合Ｔ′と、ノードインデックス暗号化手段１３３で生成された暗号化インデックスＣとから、以下の式（１７）に示すように、一般的なメッセージ認証コード方式のＭＡＣ（Message Authentication Code）生成アルゴリズムＭＡＣ．Ｓｉｇｎにより、認証コード秘密鍵ｍａｃｋを用いてメッセージ認証コードＭＡＣを生成する。
【0082】
【数14】
【0083】
ここで、||は、データの連結を示す。また、予め定めた順番であれば、連結の順番は問わない。
認証コード生成手段１３４は、生成したメッセージ認証コードＭＡＣを鍵更新情報出力手段１３５に出力する。
認証コード生成手段１３４は、生成したメッセージ認証コードＭＡＣを鍵更新情報出力手段１３５に出力する。
【0084】
鍵更新情報出力手段１３５は、グループ共有鍵更新手段１３１で更新されたノード公開鍵部分集合Ｔ′と、ノードインデックス暗号化手段１３３で生成された暗号化インデックスＣと、認証コード生成手段１３４で生成されたメッセージ認証コードＭＡＣとを、鍵更新情報として、メッセージ送信手段１２（鍵更新情報入力手段１２１）に出力するものである。
なお、鍵更新情報生成手段１３は、鍵更新情報を生成した旨を、メッセージ送信手段１２に通知する。
これによって、鍵更新情報生成手段１３は、メッセージ送信手段１２でメッセージを送信する前に鍵情報を更新することができる。
なお、鍵更新情報生成手段１３は、鍵更新情報を生成した旨を、メッセージ送信手段１２に通知する。
これによって、鍵更新情報生成手段１３は、メッセージ送信手段１２でメッセージを送信する前に鍵情報を更新することができる。
【0085】
【0086】
メッセージ受信手段１４は、自身以外のグループメンバから受信した暗号化メッセージに付加されている鍵更新情報により、鍵情報更新手段１５で更新されたグループ共有鍵で暗号化メッセージを復号するものである。
図６に示すように、メッセージ受信手段１４は、暗号化メッセージ受信手段１４０と、鍵更新情報出力手段１４１と、メッセージ復号手段１４２と、を備える。
図６に示すように、メッセージ受信手段１４は、暗号化メッセージ受信手段１４０と、鍵更新情報出力手段１４１と、メッセージ復号手段１４２と、を備える。
【0087】
暗号化メッセージ受信手段１４０は、メッセージグループメンバ装置２から、暗号化メッセージＣＭに鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）が付加されたメッセージを受信するものである。
暗号化メッセージ受信手段１４０は、受信した暗号化メッセージＣＭをメッセージ復号手段１４２に出力し、鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を鍵更新情報出力手段１４１に出力する。
暗号化メッセージ受信手段１４０は、受信した暗号化メッセージＣＭをメッセージ復号手段１４２に出力し、鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を鍵更新情報出力手段１４１に出力する。
【0088】
鍵更新情報出力手段１４１は、暗号化メッセージ受信手段１４０で受信した鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を鍵情報更新手段１５に出力するものである。
メッセージ復号手段１４２は、暗号化メッセージ受信手段１４０で受信した暗号化メッセージＣＭを復号するものである。なお、メッセージ復号手段１４２は、鍵情報更新手段１５の鍵情報更新処理が完了した後に、暗号化メッセージＣＭの復号を行う。
メッセージ復号手段１４２は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されているグループ共有鍵ｔｋ′（更新後のグループ共有鍵ｔｋ）を用い、以下の式（１８）に示すように、復号アルゴリズムＤｅｃｃにより、暗号化メッセージＣＭを復号し、メッセージＭを生成する。なお、復号アルゴリズムＤｅｃｃは、前記式（１５）の暗号化アルゴリズムＥｎｃｃに対応するものである。
メッセージ復号手段１４２は、暗号化メッセージ受信手段１４０で受信した暗号化メッセージＣＭを復号するものである。なお、メッセージ復号手段１４２は、鍵情報更新手段１５の鍵情報更新処理が完了した後に、暗号化メッセージＣＭの復号を行う。
メッセージ復号手段１４２は、共通鍵暗号方式の秘密鍵として、記憶手段１０に記憶されているグループ共有鍵ｔｋ′（更新後のグループ共有鍵ｔｋ）を用い、以下の式（１８）に示すように、復号アルゴリズムＤｅｃｃにより、暗号化メッセージＣＭを復号し、メッセージＭを生成する。なお、復号アルゴリズムＤｅｃｃは、前記式（１５）の暗号化アルゴリズムＥｎｃｃに対応するものである。
【0089】
【数15】
【0090】
メッセージ復号手段１４２は、生成したメッセージＭを、表示装置（不図示）等、アプリケーションに応じた出力先に出力する。
【0091】
次に、鍵情報更新手段１５の構成について説明する。
鍵情報更新手段１５は、自身以外のグループメンバから受信した鍵更新情報に含まれるノード公開鍵部分集合でノード公開鍵集合を更新し、鍵更新情報に含まれる暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新するものである。
鍵情報更新手段１５は、自身以外のグループメンバから受信した鍵更新情報に含まれるノード公開鍵部分集合でノード公開鍵集合を更新し、鍵更新情報に含まれる暗号化ノードインデックスを復号したインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新するものである。
【0092】
図６に示すように、鍵情報更新手段１５は、鍵更新情報入力手段１５０と、認証コード検証手段１５１と、ノードインデックス復号手段１５２と、ノード公開鍵集合更新手段１５３と、グループ共有鍵更新手段１５４と、鍵更新秘密鍵更新手段１５５と、を備える。
【0093】
鍵更新情報入力手段１５０は、メッセージ受信手段１４（鍵更新情報出力手段１４１）から、鍵更新情報を入力するものである。鍵更新情報は、ノード公開鍵部分集合Ｔ′と、暗号化インデックスＣと、メッセージ認証コードＭＡＣとで構成される。
鍵更新情報入力手段１５０は、入力した鍵更新情報を認証コード検証手段１５１に出力する。
鍵更新情報入力手段１５０は、入力した鍵更新情報を認証コード検証手段１５１に出力する。
【0094】
認証コード検証手段１５１は、鍵更新情報入力手段１５０から入力されたメッセージ認証コードＭＡＣを検証するものである。
認証コード検証手段１５１は、記憶手段１０に記憶されている認証コード秘密鍵ｍａｃｋを用い、以下の式（１９）に示すように、検証アルゴリズムＭＡＣ．Ｖｒｆｙにより、メッセージ認証コードＭＡＣが、暗号化インデックスＣおよびノード公開鍵部分集合Ｔ′に対して正しく生成されたものであるか否かを検証する。なお、検証アルゴリズムＭＡＣ．Ｖｒｆｙは、前記式（１７）のＭＡＣ生成アルゴリズムＭＡＣ．Ｓｉｇｎに対応するものであり、ＭＡＣが正しければ“１”、正しくなければ“０”を検証結果として返す。
認証コード検証手段１５１は、記憶手段１０に記憶されている認証コード秘密鍵ｍａｃｋを用い、以下の式（１９）に示すように、検証アルゴリズムＭＡＣ．Ｖｒｆｙにより、メッセージ認証コードＭＡＣが、暗号化インデックスＣおよびノード公開鍵部分集合Ｔ′に対して正しく生成されたものであるか否かを検証する。なお、検証アルゴリズムＭＡＣ．Ｖｒｆｙは、前記式（１７）のＭＡＣ生成アルゴリズムＭＡＣ．Ｓｉｇｎに対応するものであり、ＭＡＣが正しければ“１”、正しくなければ“０”を検証結果として返す。
【0095】
【数16】
【0096】
ここで、||は、データの連結を示す。
認証コード検証手段１５１は、ＭＡＣが正しいという検証結果“１”を得た場合のみ、暗号化インデックスＣをノードインデックス復号手段１５２に出力し、ノード公開鍵部分集合Ｔ′をノード公開鍵集合更新手段１５３に出力する。
認証コード検証手段１５１は、ＭＡＣが正しいという検証結果“１”を得た場合のみ、暗号化インデックスＣをノードインデックス復号手段１５２に出力し、ノード公開鍵部分集合Ｔ′をノード公開鍵集合更新手段１５３に出力する。
【0097】
ノードインデックス復号手段１５２は、暗号化インデックスＣを復号するものである。
ノードインデックス復号手段１５２は、記憶手段１０に記憶されている共通鍵暗号秘密鍵ｅｎｃｋを用い、以下の式（２０）に示すように、復号アルゴリズムＤｅｃｃにより、暗号化インデックスＣを復号する。なお、復号アルゴリズムＤｅｃｃは、前記式（１６）の暗号化アルゴリズムＥｎｃｃに対応するものである。
ノードインデックス復号手段１５２は、記憶手段１０に記憶されている共通鍵暗号秘密鍵ｅｎｃｋを用い、以下の式（２０）に示すように、復号アルゴリズムＤｅｃｃにより、暗号化インデックスＣを復号する。なお、復号アルゴリズムＤｅｃｃは、前記式（１６）の暗号化アルゴリズムＥｎｃｃに対応するものである。
【0098】
【数17】
【0099】
この式（２０）の復号結果であるｊは、鍵更新情報を送信したメンバの完全２分木の葉ノードのノード位置を示すインデックスである。
ノードインデックス復号手段１５２は、復号したインデックスｊをノード公開鍵集合更新手段１５３に出力する。
ノードインデックス復号手段１５２は、復号したインデックスｊをノード公開鍵集合更新手段１５３に出力する。
【0100】
ノード公開鍵集合更新手段１５３は、記憶手段１０に記憶されているノード公開鍵集合Ｔを更新するものである。
ノード公開鍵集合更新手段１５３は、ノードインデックス復号手段１５２で復号されたインデックスｊに対応する葉ノードからルートノードまでのパス上におけるノード公開鍵集合Ｔのノード公開鍵を、ノード公開鍵部分集合Ｔ′のノード公開鍵で更新する。
ノード公開鍵集合更新手段１５３は、更新後のノード公開鍵集合Ｔ（Ｔ″）をグループ共有鍵更新手段１５４に出力する。
ノード公開鍵集合更新手段１５３は、ノードインデックス復号手段１５２で復号されたインデックスｊに対応する葉ノードからルートノードまでのパス上におけるノード公開鍵集合Ｔのノード公開鍵を、ノード公開鍵部分集合Ｔ′のノード公開鍵で更新する。
ノード公開鍵集合更新手段１５３は、更新後のノード公開鍵集合Ｔ（Ｔ″）をグループ共有鍵更新手段１５４に出力する。
【0101】
グループ共有鍵更新手段１５４は、ノード公開鍵集合更新手段１５３で更新されたノード公開鍵集合Ｔ（Ｔ″）と、自身の葉ノードのノード秘密鍵とに基づいて、グループ共有鍵を更新するものである。
グループ共有鍵更新手段１５４は、ノード秘密鍵から、兄弟ノードのノード公開鍵により、親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵を、更新後のグループ共有鍵として生成する。
なお、ノード公開鍵集合Ｔと１つの葉ノードのノード秘密鍵とからグループ共有鍵を更新する手法は、グループ共有鍵更新手段１３１（図５）と同じであるため、ここでは、説明を省略する。
グループ共有鍵更新手段１５４は、ノード秘密鍵から、兄弟ノードのノード公開鍵により、親ノードのノード秘密鍵を生成する処理をルートノードまで繰り返し、ルートノードのノード秘密鍵を、更新後のグループ共有鍵として生成する。
なお、ノード公開鍵集合Ｔと１つの葉ノードのノード秘密鍵とからグループ共有鍵を更新する手法は、グループ共有鍵更新手段１３１（図５）と同じであるため、ここでは、説明を省略する。
【0102】
鍵更新秘密鍵更新手段１５５は、グループ共有鍵をグループ内で更新するための秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を更新するものである。
なお、鍵更新秘密鍵更新手段１５５における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）において、グループ共有鍵ｔｋおよびノード公開鍵集合Ｔが、更新後のグループ共有鍵ｔｋ（ｔｋ′）およびノード公開鍵集合Ｔ″に代わるだけであるため、ここでは説明を省略する。
鍵更新秘密鍵更新手段１５５は、新たに生成した認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を、新たな認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋとして記憶手段１０に記憶する。
なお、鍵更新秘密鍵更新手段１５５における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）において、グループ共有鍵ｔｋおよびノード公開鍵集合Ｔが、更新後のグループ共有鍵ｔｋ（ｔｋ′）およびノード公開鍵集合Ｔ″に代わるだけであるため、ここでは説明を省略する。
鍵更新秘密鍵更新手段１５５は、新たに生成した認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を、新たな認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋとして記憶手段１０に記憶する。
【0103】
鍵情報更新手段１５は、鍵情報を更新した旨を、メッセージ受信手段１４に通知する。 これによって、鍵情報更新手段１５は、メッセージ受信手段１４で暗号化メッセージを復号する前に、グループ共有鍵を更新することができる。
なお、メッセージグループ管理者装置１は、コンピュータを前記した各手段として機能させるためのプログラムで動作させることができる。
なお、メッセージグループ管理者装置１は、コンピュータを前記した各手段として機能させるためのプログラムで動作させることができる。
【0104】
〔メッセージグループメンバ装置の構成〕
次に、図２を参照して、本発明の実施形態に係るメッセージグループメンバ装置２の構成について説明する。
図２に示すように、メッセージグループメンバ装置２は、記憶手段１０（１０Ｂ）と、グループメンバ初期化手段２１と、メッセージ送信手段１２と、鍵更新情報生成手段１３と、メッセージ受信手段１４と、鍵情報更新手段１５と、を備える。なお、メッセージグループメンバ装置２のメッセージ送信手段１２、鍵更新情報生成手段１３、メッセージ受信手段１４および鍵情報更新手段１５は、メッセージグループ管理者装置１と同じ構成であるため、説明を省略する。
次に、図２を参照して、本発明の実施形態に係るメッセージグループメンバ装置２の構成について説明する。
図２に示すように、メッセージグループメンバ装置２は、記憶手段１０（１０Ｂ）と、グループメンバ初期化手段２１と、メッセージ送信手段１２と、鍵更新情報生成手段１３と、メッセージ受信手段１４と、鍵情報更新手段１５と、を備える。なお、メッセージグループメンバ装置２のメッセージ送信手段１２、鍵更新情報生成手段１３、メッセージ受信手段１４および鍵情報更新手段１５は、メッセージグループ管理者装置１と同じ構成であるため、説明を省略する。
【0105】
記憶手段１０Ｂは、鍵情報を記憶するものである。記憶手段１０Ｂは、半導体メモリ等の一般的な記憶媒体で構成することができる。
記憶手段１０Ｂには、予め鍵管理サーバ３で公開された公開鍵と、その公開鍵と対になる秘密鍵とを対応付けて記憶しておく。
記憶手段１０Ｂには、予め鍵管理サーバ３で公開された公開鍵と、その公開鍵と対になる秘密鍵とを対応付けて記憶しておく。
【0106】
なお、鍵ペア情報１００として、グループを形成する前に予め生成して記憶しておく暗号鍵ペア（暗号秘密鍵ｄｋｉ，暗号公開鍵ＰＫｉ）、署名鍵ペア（署名生成鍵ｉｋｉ，署名検証鍵ＩＫｉ）、鍵交換鍵ペア（鍵交換秘密鍵ｅｋｉ，鍵交換公開鍵ＥＫｉ）は、メッセージグループメンバ装置２のインデックスｉに対応して生成されたもので、記憶手段１０（図３）に記憶されている鍵情報と同様のものである。
鍵ペア情報１００は、図示を省略した鍵生成手段によって、グループを形成する前に予め生成され、公開鍵については、鍵管理サーバ３に登録されているものとする。
なお、記憶手段１０Ｂの鍵情報１０１は、初期化処理によって書き込まれる情報である。
鍵ペア情報１００は、図示を省略した鍵生成手段によって、グループを形成する前に予め生成され、公開鍵については、鍵管理サーバ３に登録されているものとする。
なお、記憶手段１０Ｂの鍵情報１０１は、初期化処理によって書き込まれる情報である。
【0107】
グループメンバ初期化手段２１は、メッセージグループ管理者装置１から、グループメンバを完全２分木の葉ノードに対応付けて生成されたルートノード以外のノードのノード公開鍵集合と、葉ノードのインデックスを暗号化した暗号化ノード情報とを含むグループ初期化情報を受信し、暗号化ノード情報を鍵秘匿かつロバスト性を持つ公開鍵暗号方式により復号することで葉ノードのインデックスを取得し、鍵共有方式によりメッセージグループ管理者装置１が生成した自身の葉ノードのノード秘密鍵を生成し、自身のインデックスの葉ノードからルートノードまでのノード秘密鍵およびノード公開鍵を自身の葉ノードのノード秘密鍵を用いて更新し、ルートノードのノード秘密鍵をグループ共有鍵として更新するものである。
グループメンバ初期化手段２１は、メッセージグループ管理者装置１からグループ初期化情報を受信することで、グループを形成するための初期化処理を行う。
グループメンバ初期化手段２１は、メッセージグループ管理者装置１からグループ初期化情報を受信することで、グループを形成するための初期化処理を行う。
【0108】
ここで、図７を参照して、グループメンバ初期化手段２１の構成について詳細に説明する。
図７に示すように、グループメンバ初期化手段２１は、初期化情報受信手段２１０と、署名検証手段２１１と、ノード情報復号手段２１２と、メンバ公開鍵復号手段２１３と、ノード秘密鍵生成手段２１４と、グループ共有鍵生成手段２１５と、鍵更新秘密鍵生成手段２１６と、を備える。
図７に示すように、グループメンバ初期化手段２１は、初期化情報受信手段２１０と、署名検証手段２１１と、ノード情報復号手段２１２と、メンバ公開鍵復号手段２１３と、ノード秘密鍵生成手段２１４と、グループ共有鍵生成手段２１５と、鍵更新秘密鍵生成手段２１６と、を備える。
【0109】
初期化情報受信手段２１０は、メッセージグループ管理者装置１から送信されたグループ初期化情報を受信するものである。
初期化情報受信手段２１０は、受信したグループ初期化情報を署名検証手段２１１に出力する。
初期化情報受信手段２１０は、受信したグループ初期化情報を署名検証手段２１１に出力する。
【0110】
署名検証手段２１１は、初期化情報受信手段２１０で受信したグループ初期化情報に付加されている署名を検証するものである。
署名検証手段２１１は、電子署名の検証アルゴリズムＳＩＧ．Ｖｒｆｙにより、グループ初期化情報ｉｎｉｔに含まれる署名検証鍵ＩＫ１を用いて、署名σがグループ初期化情報ｉｎｉｔに対して正しく生成されたものであるか否かを検証する。なお、検証アルゴリズムＳＩＧ．Ｖｒｆｙは、前記式（１３）の署名アルゴリズムＳＩＧ．Ｓｉｇｎに対応するものであり、署名σが正しければ“１”、正しくなければ“０”を検証結果として返す。
署名検証手段２１１は、電子署名の検証アルゴリズムＳＩＧ．Ｖｒｆｙにより、グループ初期化情報ｉｎｉｔに含まれる署名検証鍵ＩＫ１を用いて、署名σがグループ初期化情報ｉｎｉｔに対して正しく生成されたものであるか否かを検証する。なお、検証アルゴリズムＳＩＧ．Ｖｒｆｙは、前記式（１３）の署名アルゴリズムＳＩＧ．Ｓｉｇｎに対応するものであり、署名σが正しければ“１”、正しくなければ“０”を検証結果として返す。
【0111】
【数18】
【0112】
署名検証手段２１１は、署名σが正しいという検証結果“１”を得た場合のみ、グループ初期化情報ｉｎｉｔに含まれる署名検証鍵ＩＫ１と、鍵交換公開鍵ＥＫ１と、暗号化メンバ公開鍵Ｃｐｋとをメンバ公開鍵復号手段２１３に出力し、署名検証鍵ＩＫ１と、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）とをノード情報復号手段２１２に出力し、セットアップ公開鍵ＳＵＫをノード秘密鍵生成手段２１４に出力する。
また、署名検証手段２１１は、グループ初期化情報ｉｎｉｔに含まれるノード公開鍵集合Ｔを鍵更新秘密鍵生成手段２１６に出力するとともに、記憶手段１０Ｂに記憶する。
また、署名検証手段２１１は、グループ初期化情報ｉｎｉｔに含まれるノード公開鍵集合Ｔを鍵更新秘密鍵生成手段２１６に出力するとともに、記憶手段１０Ｂに記憶する。
【0113】
ノード情報復号手段２１２は、グループ初期化情報に含まれるメンバのノード情報が暗号化された暗号化ノード情報を復号するものである。
ノード情報復号手段２１２は、以下の式（２２）に示すように、暗号化ノード情報Ｃｐｊ（ｊ＝２，…，ｎ）を、記憶手段１０Ｂに記憶されている暗号秘密鍵ｄｋｉを用いて、前記式（４）で説明した公開鍵暗号方式の復号アルゴリズムＤｅｃｐにより順次復号する。
ノード情報復号手段２１２は、以下の式（２２）に示すように、暗号化ノード情報Ｃｐｊ（ｊ＝２，…，ｎ）を、記憶手段１０Ｂに記憶されている暗号秘密鍵ｄｋｉを用いて、前記式（４）で説明した公開鍵暗号方式の復号アルゴリズムＤｅｃｐにより順次復号する。
【0114】
【数19】
【0115】
そして、ノード情報復号手段２１２は、復号結果がエラーシンボル（⊥）とならない暗号化ノード情報ＣＴｊの復号結果（ＩＫ||ｊ||ｋ）から、署名検証鍵ＩＫと葉ノードの位置（インデックスｊ）と共通鍵暗号方式の秘密鍵ｋとを取得する。
ノード情報復号手段２１２は、復号した署名検証鍵ＩＫと、署名検証手段２１１から取得した署名検証鍵ＩＫ１とが等しいことを確認する。
ノード情報復号手段２１２は、取得した署名検証鍵ＩＫ１をノード秘密鍵生成手段２１４に出力し、葉ノードのインデックスｊをグループ共有鍵生成手段２１５に出力し、秘密鍵ｋをメンバ公開鍵復号手段２１３に出力する。
ノード情報復号手段２１２は、復号した署名検証鍵ＩＫと、署名検証手段２１１から取得した署名検証鍵ＩＫ１とが等しいことを確認する。
ノード情報復号手段２１２は、取得した署名検証鍵ＩＫ１をノード秘密鍵生成手段２１４に出力し、葉ノードのインデックスｊをグループ共有鍵生成手段２１５に出力し、秘密鍵ｋをメンバ公開鍵復号手段２１３に出力する。
【0116】
メンバ公開鍵復号手段２１３は、グループ初期化情報に含まれる暗号化メンバ公開鍵Ｃｐｋを復号するものである。
メンバ公開鍵復号手段２１３は、以下の式（２３）に示すように、暗号化メンバ公開鍵Ｃｐｋを、ノード情報復号手段２１２で復号された秘密鍵ｋを用いて、共通鍵暗号方式の復号アルゴリズムＤｅｃｃにより、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を復号する。なお、復号アルゴリズムＤｅｃｃは、前記式（１１）の暗号化アルゴリズムＥｎｃｃに対応するものである。
メンバ公開鍵復号手段２１３は、以下の式（２３）に示すように、暗号化メンバ公開鍵Ｃｐｋを、ノード情報復号手段２１２で復号された秘密鍵ｋを用いて、共通鍵暗号方式の復号アルゴリズムＤｅｃｃにより、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を復号する。なお、復号アルゴリズムＤｅｃｃは、前記式（１１）の暗号化アルゴリズムＥｎｃｃに対応するものである。
【0117】
【数20】
【0118】
メンバ公開鍵復号手段２１３は、復号したメンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝と、グループ初期化情報に含まれるメンバ公開鍵（ＩＫ１，ＥＫ１）とを記憶手段１０Ｂに記憶する。なお、本実施形態では、直接、復号したメンバ公開鍵｛（ＩＫ１，ＥＫ１），（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を使用しないが、メンバ公開鍵は、グループに属するメンバ以外に秘匿したままで、グループにどのメンバが属しているかを確認することが可能になる。
【0119】
ノード秘密鍵生成手段２１４は、自身の葉ノードに対応するノード秘密鍵を生成するものである。
ノード秘密鍵生成手段２１４は、グループ初期化情報に含まれるセットアップ公開鍵ＳＵＫと、ノード情報復号手段２１２で復号された署名検証鍵ＩＫ１と、記憶手段１０Ｂに記憶されている署名生成鍵ｉｋｉおよび鍵交換秘密鍵ｅｋｉとを用いて、前記式（６），（７）で説明した鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅにより、以下の式（２４）に示すように、自身のインデックスｉにアサインされた葉ノードのインデックスｊのノード秘密鍵Ｋｊを生成する。
ノード秘密鍵生成手段２１４は、グループ初期化情報に含まれるセットアップ公開鍵ＳＵＫと、ノード情報復号手段２１２で復号された署名検証鍵ＩＫ１と、記憶手段１０Ｂに記憶されている署名生成鍵ｉｋｉおよび鍵交換秘密鍵ｅｋｉとを用いて、前記式（６），（７）で説明した鍵共有アルゴリズムＫｅｙＥｘｃｈａｎｇｅにより、以下の式（２４）に示すように、自身のインデックスｉにアサインされた葉ノードのインデックスｊのノード秘密鍵Ｋｊを生成する。
【0120】
【数21】
【0121】
これによって、ノード秘密鍵生成手段２１４は、グループ管理者初期化手段１１のノード秘密鍵生成手段１１２（図３）で生成された自身の葉ノードに対応するノード秘密鍵と同じノード秘密鍵を生成することができる。
ノード秘密鍵生成手段２１４は、生成したノード秘密鍵Ｋｊをグループ共有鍵生成手段２１５に出力する。
また、ノード秘密鍵生成手段２１４は、生成したノード秘密鍵Ｋｊを記憶手段１０Ｂに記憶する。
ノード秘密鍵生成手段２１４は、生成したノード秘密鍵Ｋｊをグループ共有鍵生成手段２１５に出力する。
また、ノード秘密鍵生成手段２１４は、生成したノード秘密鍵Ｋｊを記憶手段１０Ｂに記憶する。
【0122】
グループ共有鍵生成手段２１５は、グループ共有鍵を生成するものである。
グループ共有鍵生成手段２１５は、ノード情報復号手段２１２で復号された葉ノードのインデックスｊと、ノード秘密鍵生成手段２１４で生成された葉ノードのインデックスｊに対応するノード秘密鍵Ｋｊと、グループ初期化情報に含まれるノード公開鍵集合Ｔとに基づいて、グループ共有鍵を生成する。
なお、ノード公開鍵集合Ｔと１つの葉ノードのノード秘密鍵とからグループ共有鍵を生成する手法は、グループ共有鍵更新手段１３１（図５）と同じであるため、ここでは、説明を省略する。
グループ共有鍵生成手段２１５は、生成したグループ共有鍵ｔｋを鍵更新秘密鍵生成手段２１６に出力するとともに、記憶手段１０Ｂに記憶する。
グループ共有鍵生成手段２１５は、ノード情報復号手段２１２で復号された葉ノードのインデックスｊと、ノード秘密鍵生成手段２１４で生成された葉ノードのインデックスｊに対応するノード秘密鍵Ｋｊと、グループ初期化情報に含まれるノード公開鍵集合Ｔとに基づいて、グループ共有鍵を生成する。
なお、ノード公開鍵集合Ｔと１つの葉ノードのノード秘密鍵とからグループ共有鍵を生成する手法は、グループ共有鍵更新手段１３１（図５）と同じであるため、ここでは、説明を省略する。
グループ共有鍵生成手段２１５は、生成したグループ共有鍵ｔｋを鍵更新秘密鍵生成手段２１６に出力するとともに、記憶手段１０Ｂに記憶する。
【0123】
鍵更新秘密鍵生成手段２１６は、グループ共有鍵をグループ内で更新するための秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を生成するものである。
なお、鍵更新秘密鍵生成手段２１６における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）と同じであるため、ここでは説明を省略する。
鍵更新秘密鍵生成手段２１６は、生成した認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋを記憶手段１０に記憶する。
これによって、グループを構成するメッセージグループメンバ装置２は、初期化処理を完了する。
なお、メッセージグループメンバ装置２は、コンピュータを前記した各手段として機能させるためのプログラムで動作させることができる。
なお、鍵更新秘密鍵生成手段２１６における秘密鍵の生成手法は、鍵更新秘密鍵生成手段１１４（図３）と同じであるため、ここでは説明を省略する。
鍵更新秘密鍵生成手段２１６は、生成した認証コード秘密鍵ｍａｃｋおよび共通鍵暗号秘密鍵ｅｎｃｋを記憶手段１０に記憶する。
これによって、グループを構成するメッセージグループメンバ装置２は、初期化処理を完了する。
なお、メッセージグループメンバ装置２は、コンピュータを前記した各手段として機能させるためのプログラムで動作させることができる。
【0124】
【0125】
（初期化処理）
最初に、図８，図９を参照（構成については、適宜図２，図３，図７参照）して、グループメッセージ送受信システムＳの初期化処理の動作について説明する。なお、メッセージグループ管理者装置１およびメッセージグループメンバ装置２の記憶手段１０には、予め、署名鍵ペア、鍵交換鍵ペアおよび暗号鍵ペアが記憶され、公開鍵が鍵管理サーバ３に登録されているものとする。
最初に、図８，図９を参照（構成については、適宜図２，図３，図７参照）して、グループメッセージ送受信システムＳの初期化処理の動作について説明する。なお、メッセージグループ管理者装置１およびメッセージグループメンバ装置２の記憶手段１０には、予め、署名鍵ペア、鍵交換鍵ペアおよび暗号鍵ペアが記憶され、公開鍵が鍵管理サーバ３に登録されているものとする。
【0126】
まず、図８に示すように、メッセージグループ管理者装置１のグループ管理者初期化手段１１が以下の動作を行う。
ステップＳ１において、メンバ公開鍵取得手段１１０は、鍵管理サーバ３から、グループのメンバとなるメッセージグループメンバ装置２の公開鍵を取得する。
ここでは、メンバ公開鍵取得手段１１０は、メッセージグループメンバ装置２のインデックスｉ（ｉ＝２～ｎ）に対応する署名検証鍵ＩＫｉ，鍵交換公開鍵ＥＫｉ，暗号公開鍵ＰＫｉを鍵管理サーバ３から取得し、記憶手段１０に記憶する。
ステップＳ１において、メンバ公開鍵取得手段１１０は、鍵管理サーバ３から、グループのメンバとなるメッセージグループメンバ装置２の公開鍵を取得する。
ここでは、メンバ公開鍵取得手段１１０は、メッセージグループメンバ装置２のインデックスｉ（ｉ＝２～ｎ）に対応する署名検証鍵ＩＫｉ，鍵交換公開鍵ＥＫｉ，暗号公開鍵ＰＫｉを鍵管理サーバ３から取得し、記憶手段１０に記憶する。
【0127】
ステップＳ２において、セットアップ鍵ペア生成手段１１１は、初期化を行うための鍵ペア（セットアップ秘密鍵ｓｕｋ，セットアップ公開鍵ＳＵＫ）を生成する。
ステップＳ３において、ノード秘密鍵生成手段１１２は、グループのメンバを完全２分木の葉ノードに対応付けて、葉ノードごとのノード秘密鍵を生成する。ここでは、ノード秘密鍵生成手段１１２は、自身の葉ノードＮ１に対応するノード秘密鍵Ｋ１を、Ｚｐから選択（Ｋ１∈Ｚｐ）するとともに、署名生成鍵ｉｋ１と、セットアップ秘密鍵ｓｕｋと、グループのメンバ（インデックスｉ）にアサインされた葉ノードの位置（インデックスｊ）ごとのメンバ公開鍵（ＩＫｊ，ＥＫｊ）とを用いて、前記式（８）により、ノード秘密鍵Ｋｊ（ｊ＝２，…，ｎ）を生成する。
ステップＳ３において、ノード秘密鍵生成手段１１２は、グループのメンバを完全２分木の葉ノードに対応付けて、葉ノードごとのノード秘密鍵を生成する。ここでは、ノード秘密鍵生成手段１１２は、自身の葉ノードＮ１に対応するノード秘密鍵Ｋ１を、Ｚｐから選択（Ｋ１∈Ｚｐ）するとともに、署名生成鍵ｉｋ１と、セットアップ秘密鍵ｓｕｋと、グループのメンバ（インデックスｉ）にアサインされた葉ノードの位置（インデックスｊ）ごとのメンバ公開鍵（ＩＫｊ，ＥＫｊ）とを用いて、前記式（８）により、ノード秘密鍵Ｋｊ（ｊ＝２，…，ｎ）を生成する。
【0128】
ステップＳ４において、グループ共有鍵生成手段１１３は、グループ共有鍵ｔｋおよび完全２分木のルートノードを除くノード公開鍵（ノード公開鍵集合Ｔ）を生成する。
ステップＳ５において、鍵更新秘密鍵生成手段１１４は、グループ共有鍵およびノード公開鍵集合により、ループ共有鍵をグループ内で更新するための秘密鍵を生成する。ここでは、鍵更新秘密鍵生成手段１１４は、ステップＳ４で生成されたグループ共有鍵ｔｋとノード公開鍵集合Ｔとから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋを生成し、記憶手段１０に記憶する。
ステップＳ５において、鍵更新秘密鍵生成手段１１４は、グループ共有鍵およびノード公開鍵集合により、ループ共有鍵をグループ内で更新するための秘密鍵を生成する。ここでは、鍵更新秘密鍵生成手段１１４は、ステップＳ４で生成されたグループ共有鍵ｔｋとノード公開鍵集合Ｔとから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋを生成し、記憶手段１０に記憶する。
【0129】
ステップＳ６において、メンバ公開鍵暗号化手段１１５は、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を暗号化する。ここでは、メンバ公開鍵暗号化手段１１５は、秘密鍵ｋを選択し、前記式（１１）により、メンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝を暗号化し、暗号化メンバ公開鍵Ｃｐｋを生成する。
ステップＳ７において、ノード情報暗号化手段１１６は、ノード情報を暗号化する。ここで、インデックスｉのメンバに葉ノードのインデックスｊが割り当てられていたとすると、メンバのインデックスｉの暗号公開鍵ＰＫｊが葉ノードのインデックスｊにあたる暗号公開鍵になる。そこで、ノード情報暗号化手段１１６は、その暗号公開鍵ＰＫｉを用いて、前記式（１２）により、署名検証鍵ＩＫ１と、葉ノードのインデックスｊと、ステップＳ６で生成された秘密鍵ｋとを連結したデータを暗号化し、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）を生成する。
ステップＳ７において、ノード情報暗号化手段１１６は、ノード情報を暗号化する。ここで、インデックスｉのメンバに葉ノードのインデックスｊが割り当てられていたとすると、メンバのインデックスｉの暗号公開鍵ＰＫｊが葉ノードのインデックスｊにあたる暗号公開鍵になる。そこで、ノード情報暗号化手段１１６は、その暗号公開鍵ＰＫｉを用いて、前記式（１２）により、署名検証鍵ＩＫ１と、葉ノードのインデックスｊと、ステップＳ６で生成された秘密鍵ｋとを連結したデータを暗号化し、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）を生成する。
【0130】
ステップＳ８において、署名付加手段１１７は、署名を生成し、グループ初期化情報に付加する。ここでは、署名付加手段１１７は、署名検証鍵ＩＫ１と、鍵交換公開鍵ＥＫ１と、暗号化メンバ公開鍵Ｃｐｋと、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）と、セットアップ公開鍵ＳＵＫと、ノード公開鍵集合Ｔとで構成されるグループ初期化情報から、前記式（１３）により、署名σを生成し、グループ初期化情報に付加する。
ステップＳ９において、初期化情報送信手段１１８は、署名σが付加されたグループ初期化情報を、メッセージグループメンバ装置２２，２３，…，２ｎに送信する。
ステップＳ９において、初期化情報送信手段１１８は、署名σが付加されたグループ初期化情報を、メッセージグループメンバ装置２２，２３，…，２ｎに送信する。
【0131】
その後、図９に示すように、メッセージグループメンバ装置２のグループメンバ初期化手段２１が以下の動作を行う。
ステップＳ１０において、初期化情報受信手段２１０は、メッセージグループ管理者装置１から送信された署名σが付加されたグループ初期化情報を受信する。
ステップＳ１１において、署名検証手段２１１は、初期化情報受信手段２１０で受信したグループ初期化情報に付加されている署名を検証する。ここでは、署名検証手段２１１は、グループ初期化情報に含まれる署名検証鍵ＩＫ１を用いて、前記式（２１）により、署名σが正しいか否かを検証する。なお、ここで、署名が正しい署名でなければ、グループ初期化情報を破棄する（不図示）。
ステップＳ１０において、初期化情報受信手段２１０は、メッセージグループ管理者装置１から送信された署名σが付加されたグループ初期化情報を受信する。
ステップＳ１１において、署名検証手段２１１は、初期化情報受信手段２１０で受信したグループ初期化情報に付加されている署名を検証する。ここでは、署名検証手段２１１は、グループ初期化情報に含まれる署名検証鍵ＩＫ１を用いて、前記式（２１）により、署名σが正しいか否かを検証する。なお、ここで、署名が正しい署名でなければ、グループ初期化情報を破棄する（不図示）。
【0132】
ステップＳ１２において、ノード情報復号手段２１２は、グループ初期化情報に含まれる暗号化ノード情報を復号することで、葉ノードのインデックスｊとメンバ公開鍵を暗号化を暗号化した秘密鍵ｋを取得する。ここでは、ノード情報復号手段２１２は、暗号秘密鍵ｄｋｉを用いて、前記式（４）により、暗号化ノード情報Ｃｐｊ（ｊ＝２，…，ｎ）を順次復号し、復号結果がエラーシンボル（⊥）とならない暗号化ノード情報ＣＴｊの復号結果（ＩＫ１||ｊ||ｋ）を取得する。
【0133】
ステップＳ１３において、メンバ公開鍵復号手段２１３は、グループ初期化情報に含まれる暗号化メンバ公開鍵Ｃｐｋを復号する。ここでは、メンバ公開鍵復号手段２１３は、ステップＳ１２で復号された秘密鍵ｋを用い、前記式（２３）により、暗号化メンバ公開鍵Ｃｐｋをメンバ公開鍵｛（ＩＫ２，ＥＫ２），…（ＩＫｎ，ＥＫｎ）｝に復号する。そして、メンバ公開鍵復号手段２１３は、メンバ公開鍵を、グループ初期化情報に含まれる署名検証鍵ＩＫ１および鍵交換公開鍵ＥＫ１とともに、記憶手段１０に記憶する（不図示）。
【0134】
ステップＳ１４において、ノード秘密鍵生成手段２１４は、自身の葉ノードに対応するノード秘密鍵を生成する。ここでは、ノード秘密鍵生成手段２１４は、グループ初期化情報に含まれるセットアップ公開鍵ＳＵＫと、署名検証鍵ＩＫ１と、署名生成鍵ｉｋｉおよび鍵交換秘密鍵ｅｋｉとを用いて、前記式（２４）により、自身のインデックスｉにアサインされた葉ノードのインデックスｊのノード秘密鍵Ｋｊを生成し、記憶手段１０に記憶する。
【0135】
ステップＳ１５において、グループ共有鍵生成手段２１５は、グループ共有鍵ｔｋを生成する。ここでは、グループ共有鍵生成手段２１５は、ステップＳ１２で復号された葉ノードのインデックスｊと、ステップＳ１４で生成されたインデックスｊに対応するノード秘密鍵Ｋｊと、ノード公開鍵集合Ｔとに基づいて、グループ共有鍵を生成し、記憶手段１０に記憶する。
【0136】
ステップＳ１６において、鍵更新秘密鍵生成手段２１６は、グループ共有鍵をグループ内で更新するための秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を生成する。ここでは、鍵更新秘密鍵生成手段２１６は、ステップＳ１５で生成されたグループ共有鍵ｔｋと記憶手段１０に記憶されているノード公開鍵集合Ｔとから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋと共通鍵暗号秘密鍵ｅｎｃｋを生成し、記憶手段１０に記憶する。
以上の初期化処理の動作によって、メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループのメンバの公開鍵をグループ以外には秘匿して、グループ共有鍵を共有することができる。
以上の初期化処理の動作によって、メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループのメンバの公開鍵をグループ以外には秘匿して、グループ共有鍵を共有することができる。
【0137】
（メッセージ送受信処理）
次に、図１０，図１１を参照（構成については、適宜図２，図５，図６参照）して、グループメッセージ送受信システムＳのメッセージ送受信処理の動作について説明する。なお、図１０で説明するメッセージの送信者は、メッセージグループ管理者装置１およびメッセージグループメンバ装置２の何れであっても構わない。メッセージの送信者がメッセージグループ管理者装置１であれば、図１１で説明するメッセージの受信者は、グループのメンバであるメッセージグループメンバ装置２である。また、メッセージの送信者がメッセージグループメンバ装置２であれば、図１１で説明するメッセージの受信者は、メッセージグループ管理者装置１およびグループのメンバである他のメッセージグループメンバ装置２である。
次に、図１０，図１１を参照（構成については、適宜図２，図５，図６参照）して、グループメッセージ送受信システムＳのメッセージ送受信処理の動作について説明する。なお、図１０で説明するメッセージの送信者は、メッセージグループ管理者装置１およびメッセージグループメンバ装置２の何れであっても構わない。メッセージの送信者がメッセージグループ管理者装置１であれば、図１１で説明するメッセージの受信者は、グループのメンバであるメッセージグループメンバ装置２である。また、メッセージの送信者がメッセージグループメンバ装置２であれば、図１１で説明するメッセージの受信者は、メッセージグループ管理者装置１およびグループのメンバである他のメッセージグループメンバ装置２である。
【0138】
まず、図１０に示すように、送信者のメッセージ送信手段１２および鍵更新情報生成手段１３が以下の動作を行う。
ステップＳ２０において、メッセージ送信手段１２は、送信するメッセージＭを入力する。ここで、メッセージ送信手段１２は、鍵更新情報生成手段１３を動作させる。
ステップＳ２０において、メッセージ送信手段１２は、送信するメッセージＭを入力する。ここで、メッセージ送信手段１２は、鍵更新情報生成手段１３を動作させる。
【0139】
ステップＳ２１において、ノード秘密鍵選択手段１３０は、グループのメンバを完全２分木の葉ノードに対応付けた自身の葉ノードに対応するノード秘密鍵を選択する。ここでは、ノード秘密鍵選択手段１３０は、自身の葉ノードに割り当てられたインデックスｊに対応する新たなノード秘密鍵Ｋｊを、Ｚｐから選択（Ｋｊ∈Ｚｐ）する。
【0140】
ステップＳ２２において、グループ共有鍵更新手段１３１は、ステップＳ２１で選択されたノード秘密鍵Ｋｊで、グループ共有鍵を更新するとともに、インデックスｊの葉ノードからルートノードまでのパス上のノード公開鍵を更新する。グループ共有鍵更新手段１３１は、インデックスｊの葉ノードからルートノードまでのパス上の更新されたノード公開鍵をノード公開鍵部分集合Ｔ′とする。
【0141】
ステップＳ２３において、鍵更新秘密鍵更新手段１３２は、グループ共有鍵をグループ内で生成するための秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を更新する。ここでは、鍵更新秘密鍵更新手段１３２は、ステップＳ２２で更新されたグループ共有鍵ｔｋ′とノード公開鍵部分集合Ｔ′とから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を生成し、記憶手段１０に記憶する。
【0142】
ステップＳ２４において、ノードインデックス暗号化手段１３３は、ステップＳ２３で更新された共通鍵暗号秘密鍵ｅｎｃｋ（ｅｎｃｋ′）を用いて、前記式（１６）により、自身が割り当てられている葉ノードの位置であるインデックスｊを暗号化し、暗号化インデックスＣを生成する。
ステップＳ２５において、認証コード生成手段１３４は、更新された認証コード秘密鍵ｍａｃｋ（ｍａｃｋ′）を用いて、ステップＳ２２で生成されたノード公開鍵部分集合Ｔ′と、ステップＳ２４で生成された暗号化インデックスＣとから、前記式（１７）により、メッセージ認証コードＭＡＣを生成する。
ステップＳ２５において、認証コード生成手段１３４は、更新された認証コード秘密鍵ｍａｃｋ（ｍａｃｋ′）を用いて、ステップＳ２２で生成されたノード公開鍵部分集合Ｔ′と、ステップＳ２４で生成された暗号化インデックスＣとから、前記式（１７）により、メッセージ認証コードＭＡＣを生成する。
【0143】
以上の動作で、鍵更新情報生成手段１３は、ノード公開鍵部分集合Ｔ′と、暗号化インデックスＣと、メッセージ認証コードＭＡＣとを、鍵更新情報として生成する。この鍵更新情報は、鍵更新情報出力手段１３５および鍵更新情報入力手段１２１を介して、メッセージ送信手段１２に通知される。
【0144】
ステップＳ２６において、メッセージ暗号化手段１２０は、更新されたグループ共有鍵ｔｋ（ｔｋ′）を用いて、前記式（１５）により、メッセージＭを暗号化し、暗号化メッセージＣＭを生成する。
ステップＳ２７において、暗号化メッセージ送信手段１２２は、ステップＳ２６で生成された暗号化メッセージＣＭに、ステップＳ２５までの動作で生成された鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を付加し、１つのメッセージとして受信者に送信する。
ステップＳ２７において、暗号化メッセージ送信手段１２２は、ステップＳ２６で生成された暗号化メッセージＣＭに、ステップＳ２５までの動作で生成された鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）を付加し、１つのメッセージとして受信者に送信する。
【0145】
次に、図１１に示すように、受信者のメッセージ受信手段１４および鍵情報更新手段１５が以下の動作を行う。
ステップＳ３０において、暗号化メッセージ受信手段１４０は、ステップＳ２７（図１０）で送信された鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）が付加された暗号化メッセージＣＭを１つのメッセージとして受信する。ここで、メッセージ受信手段１４は、鍵情報更新手段１５を動作させる。この鍵更新情報は、鍵更新情報出力手段１４１および鍵更新情報入力手段１５０を介して、鍵情報更新手段１５に通知される。
ステップＳ３０において、暗号化メッセージ受信手段１４０は、ステップＳ２７（図１０）で送信された鍵更新情報（Ｔ′，Ｃ，ＭＡＣ）が付加された暗号化メッセージＣＭを１つのメッセージとして受信する。ここで、メッセージ受信手段１４は、鍵情報更新手段１５を動作させる。この鍵更新情報は、鍵更新情報出力手段１４１および鍵更新情報入力手段１５０を介して、鍵情報更新手段１５に通知される。
【0146】
ステップＳ３１において、認証コード検証手段１５１によって、記憶手段１０に記憶されている認証コード秘密鍵ｍａｃｋを用い、前記式（１９）により、メッセージ認証コードＭＡＣが、暗号化インデックスＣおよびノード公開鍵部分集合Ｔ′に対して正しく生成されたものであるか否かを検証する。ここで、メッセージ認証コードＭＡＣが正しくなければメッセージを破棄する（不図示）。
【0147】
ステップＳ３２において、ノードインデックス復号手段１５２は、記憶手段１０に記憶されている共通鍵暗号秘密鍵ｅｎｃｋを用い、前記式（２０）により、暗号化インデックスＣを葉ノードのインデックスｊに復号する。
ステップＳ３３において、ノード公開鍵集合更新手段１５３は、ステップ３２で復号されたインデックスｊに対応する葉ノードからルートノードまでのパス上におけるノード公開鍵集合Ｔのノード公開鍵を、ノード公開鍵部分集合Ｔ′のノード公開鍵で更新する。
ステップＳ３３において、ノード公開鍵集合更新手段１５３は、ステップ３２で復号されたインデックスｊに対応する葉ノードからルートノードまでのパス上におけるノード公開鍵集合Ｔのノード公開鍵を、ノード公開鍵部分集合Ｔ′のノード公開鍵で更新する。
【0148】
ステップＳ３４において、グループ共有鍵更新手段１５４は、ステップＳ３３で更新されたノード公開鍵集合Ｔ（Ｔ″）と、自身の葉ノードのノード秘密鍵Ｋｊとに基づいて、グループ共有鍵を更新し、記憶手段１０に記憶する。
ステップＳ３５において、鍵更新秘密鍵更新手段１５５は、秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を更新する。ここでは、鍵更新秘密鍵更新手段１３２は、ステップＳ３３で更新されたノード公開鍵集合Ｔ″とステップＳ３４で更新されたグループ共有鍵ｔｋ′とから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を生成し、記憶手段１０に記憶する。
以上の動作で、鍵情報更新手段１５は、鍵情報の更新動作を完了し、制御をメッセージ受信手段１４に戻す。
ステップＳ３５において、鍵更新秘密鍵更新手段１５５は、秘密鍵（認証コード秘密鍵ｍａｃｋ，共通鍵暗号秘密鍵ｅｎｃｋ）を更新する。ここでは、鍵更新秘密鍵更新手段１３２は、ステップＳ３３で更新されたノード公開鍵集合Ｔ″とステップＳ３４で更新されたグループ共有鍵ｔｋ′とから、前記式（９），式（１０）により、認証コード秘密鍵ｍａｃｋ′および共通鍵暗号秘密鍵ｅｎｃｋ′を生成し、記憶手段１０に記憶する。
以上の動作で、鍵情報更新手段１５は、鍵情報の更新動作を完了し、制御をメッセージ受信手段１４に戻す。
【0149】
ステップＳ３６において、メッセージ復号手段１４２は、更新後のグループ共有鍵ｔｋ′を用い、ステップＳ３０で受信した暗号化メッセージＣＭを、前記式（１８）により復号する。これによって、元のメッセージＭが生成される。
以上のメッセージ送受信処理によって、メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループのメンバの公開鍵（参加者情報）をグループ以外には秘匿して、メッセージを送受信することができる。
以上のメッセージ送受信処理によって、メッセージグループ管理者装置１およびメッセージグループメンバ装置２は、グループのメンバの公開鍵（参加者情報）をグループ以外には秘匿して、メッセージを送受信することができる。
【0150】
以上、本発明の実施形態に係るメッセージグループ管理者装置１およびメッセージグループメンバ装置２の構成および動作について説明したが、本発明は、この実施形態に限定されるものではない。
【0151】
ここでは、グループに属するメンバ以外に参加者情報（公開鍵）を秘匿することとした。しかし、グループに属するメンバに対しても、同じグループの参加者情報（公開鍵）を秘匿することとしてもよい。
その場合、メッセージグループ管理者装置１（図３）を以下のように変更する。
ノード情報暗号化手段１１６は、メンバのノード情報を暗号化する際に、前記式（１２）の秘密鍵ｋを省略した以下の式（２５）により、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）を生成する。
その場合、メッセージグループ管理者装置１（図３）を以下のように変更する。
ノード情報暗号化手段１１６は、メンバのノード情報を暗号化する際に、前記式（１２）の秘密鍵ｋを省略した以下の式（２５）により、暗号化ノード情報ＣＴｊ（ｊ＝２，…，ｎ）を生成する。
【0152】
【数22】
【0153】
そして、署名付加手段１１７は、前記式（１３）の暗号化メンバ公開鍵Ｃｐｋを省略した以下の式（２６）により、署名σを生成する。
【0154】
【数23】
【0155】
そして、署名付加手段１１７は、以下の式（２７）に示すグループ初期化情報ｉｎｉｔに署名σを付加して初期化情報送信手段１１８に出力する。
【0156】
【数24】
【0157】
一方、メッセージグループメンバ装置２（図７）を以下のように変更する。
グループ初期化情報ｉｎｉｔには暗号化メンバ公開鍵Ｃｐｋが含まれていないため、署名検証手段２１１から、メンバ公開鍵復号手段２１３への出力はなくなる。
また、ノード情報復号手段２１２は、復号結果がエラーシンボル（⊥）とならない暗号化ノード情報ＣＴｊの復号結果は（ＩＫ１||ｊ）となり、秘密鍵ｋが含まれないため、メンバ公開鍵復号手段２１３への出力はなくなる。
これによって、グループに属するメンバに対しても、同じグループの参加者情報（公開鍵）を秘匿することができる。
また、この場合、グループ管理者初期化手段１１からメンバ公開鍵暗号化手段１１５を省略し、グループメンバ初期化手段２１からメンバ公開鍵復号手段２１３を省略してもよい。
グループ初期化情報ｉｎｉｔには暗号化メンバ公開鍵Ｃｐｋが含まれていないため、署名検証手段２１１から、メンバ公開鍵復号手段２１３への出力はなくなる。
また、ノード情報復号手段２１２は、復号結果がエラーシンボル（⊥）とならない暗号化ノード情報ＣＴｊの復号結果は（ＩＫ１||ｊ）となり、秘密鍵ｋが含まれないため、メンバ公開鍵復号手段２１３への出力はなくなる。
これによって、グループに属するメンバに対しても、同じグループの参加者情報（公開鍵）を秘匿することができる。
また、この場合、グループ管理者初期化手段１１からメンバ公開鍵暗号化手段１１５を省略し、グループメンバ初期化手段２１からメンバ公開鍵復号手段２１３を省略してもよい。
【符号の説明】
【0158】
Ｓ グループメッセージ送受信システム
１ メッセージグループ管理者装置
１０ 記憶手段
１１ グループ管理者初期化手段
１１０ メンバ公開鍵取得手段
１１１ セットアップ鍵ペア生成手段
１１２ ノード秘密鍵生成手段
１１３ グループ共有鍵生成手段
１１４ 鍵更新秘密鍵生成手段
１１５ メンバ公開鍵暗号化手段
１１６ ノード情報暗号化手段
１１７ 署名付加手段
１１８ 初期化情報送信手段
１２ メッセージ送信手段
１２０ メッセージ暗号化手段
１２１ 鍵更新情報入力手段
１２２ 暗号化メッセージ送信手段
１３ 鍵更新情報生成手段
１３０ ノード秘密鍵選択手段
１３１ グループ共有鍵更新手段
１３２ 鍵更新秘密鍵更新手段
１３３ ノードインデックス暗号化手段
１３４ 認証コード生成手段
１３５ 鍵更新情報出力手段
１４ メッセージ受信手段
１４０ 暗号化メッセージ受信手段
１４１ 鍵更新情報出力手段
１４２ メッセージ復号手段
１５ 鍵情報更新手段
１５０ 鍵更新情報入力手段
１５１ 認証コード検証手段
１５２ ノードインデックス復号手段
１５３ ノード公開鍵集合更新手段
１５４ グループ共有鍵更新手段
１５５ 鍵更新秘密鍵更新手段
２１ グループメンバ初期化手段
２１０ 初期化情報受信手段
２１１ 署名検証手段
２１２ ノード情報復号手段
２１３ メンバ公開鍵復号手段
２１４ ノード秘密鍵生成手段
２１５ グループ共有鍵生成手段
２１６ 鍵更新秘密鍵生成手段
３ 鍵管理サーバ
１ メッセージグループ管理者装置
１０ 記憶手段
１１ グループ管理者初期化手段
１１０ メンバ公開鍵取得手段
１１１ セットアップ鍵ペア生成手段
１１２ ノード秘密鍵生成手段
１１３ グループ共有鍵生成手段
１１４ 鍵更新秘密鍵生成手段
１１５ メンバ公開鍵暗号化手段
１１６ ノード情報暗号化手段
１１７ 署名付加手段
１１８ 初期化情報送信手段
１２ メッセージ送信手段
１２０ メッセージ暗号化手段
１２１ 鍵更新情報入力手段
１２２ 暗号化メッセージ送信手段
１３ 鍵更新情報生成手段
１３０ ノード秘密鍵選択手段
１３１ グループ共有鍵更新手段
１３２ 鍵更新秘密鍵更新手段
１３３ ノードインデックス暗号化手段
１３４ 認証コード生成手段
１３５ 鍵更新情報出力手段
１４ メッセージ受信手段
１４０ 暗号化メッセージ受信手段
１４１ 鍵更新情報出力手段
１４２ メッセージ復号手段
１５ 鍵情報更新手段
１５０ 鍵更新情報入力手段
１５１ 認証コード検証手段
１５２ ノードインデックス復号手段
１５３ ノード公開鍵集合更新手段
１５４ グループ共有鍵更新手段
１５５ 鍵更新秘密鍵更新手段
２１ グループメンバ初期化手段
２１０ 初期化情報受信手段
２１１ 署名検証手段
２１２ ノード情報復号手段
２１３ メンバ公開鍵復号手段
２１４ ノード秘密鍵生成手段
２１５ グループ共有鍵生成手段
２１６ 鍵更新秘密鍵生成手段
３ 鍵管理サーバ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】