特開 2025-10689 放送型検索可能暗号システム及び放送型検索可能暗号方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2025010689

(43)【公開日】2025-01-23

(54)【発明の名称】放送型検索可能暗号システム及び放送型検索可能暗号方法

(51)【国際特許分類】

   G09C 1/00 20060101AFI20250116BHJP

【ＦＩ】

G09C1/00 660D

G09C1/00 620Z

【審査請求】未請求

【請求項の数】4

【出願形態】ＯＬ

(21)【出願番号】P 2023112816

(22)【出願日】2023-07-10

(71)【出願人】

【識別番号】301022471

【氏名又は名称】国立研究開発法人情報通信研究機構

(71)【出願人】

【識別番号】000004352

【氏名又は名称】日本放送協会

(74)【代理人】

【識別番号】110001807

【氏名又は名称】弁理士法人磯野国際特許商標事務所

(72)【発明者】

【氏名】江村 恵太

(72)【発明者】

【氏名】梶田 海成

(72)【発明者】

【氏名】大竹 剛

(57)【要約】

【課題】受信者匿名性を満たし、暗号文長が短い放送型検索可能暗号システムを提供する。
【解決手段】放送型検索可能暗号システム１は、ＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び秘密鍵を生成する鍵生成装置２と、ＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、コンテンツの暗号文を生成する暗号文生成装置３と、ＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、トラップドアを生成する受信装置４と、ＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行することでコンテンツを復号し、コンテンツを受信装置４に送信する検索装置５とを備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ及びＣＳ法を用いた放送型検索可能暗号システムであって、
所定のセキュリティパラメータを入力とし、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズム及びＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムが含まれるＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び受信者毎に固有の秘密鍵を生成する鍵生成手段、を備える鍵生成装置と、
前記マスター公開鍵を入力とし、前記ＣＳ法のノードとキーワード候補とをパラメータとするＨＩＢＥ．Ｅｎｃアルゴリズムが含まれるＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、前記キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成する暗号化手段、を備える暗号文生成装置と、
前記マスター公開鍵及び前記秘密鍵を入力とし、ＨＩＢＥ．ＫｅｙＤｅｒアルゴリズムが含まれるＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、前記受信者集合及び検索キーワードを含むトラップドアを生成するトラップドア生成手段、を備える受信装置と、
前記マスター公開鍵と前記トラップドアとを入力とし、ＨＩＢＥ．Ｄｅｃアルゴリズムが含まれるＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行し、当該実行結果が予め設定した値になるか否かで前記検索キーワード及び前記キーワード候補が一致するか否かを判定し、前記検索キーワード及び前記キーワード候補が一致し、かつ、前記受信者が前記受信者集合に含まれるとき、前記コンテンツの暗号文を前記受信装置に送信する検索手段、を備える検索装置と、
を備えることを特徴とする放送型検索可能暗号システム。

【請求項2】

前記暗号化手段は、前記ＣＳ法により、前記ノードとしての前記受信装置を二分木で配置したことを特徴とする請求項１に記載の放送型検索可能暗号システム。

【請求項3】

前記鍵生成手段は、前記マスター公開鍵に含めるランダムな値のサイズを前記セキュリティパラメータの６．３倍に設定することを特徴とする請求項１に記載の放送型検索可能暗号システム。

【請求項4】

弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ及びＣＳ法を用いた放送型検索可能暗号方法であって、
鍵生成装置が、所定のセキュリティパラメータを入力とし、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズム及びＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムが含まれるＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び受信者毎に固有の秘密鍵を生成するステップと、
暗号文生成装置が、前記マスター公開鍵を入力とし、前記ＣＳ法のノードとキーワード候補とをパラメータとするＨＩＢＥ．Ｅｎｃアルゴリズムが含まれるＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、前記キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成するステップと、
受信装置が、前記マスター公開鍵及び前記秘密鍵を入力とし、ＨＩＢＥ．ＫｅｙＤｅｒアルゴリズムが含まれるＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、前記受信者集合及び検索キーワードを含むトラップドアを生成するステップと、
検索装置が、前記マスター公開鍵と前記トラップドアとを入力とし、ＨＩＢＥ．Ｄｅｃアルゴリズムが含まれるＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行し、当該実行結果が予め設定した値になるか否かで前記検索キーワード及び前記キーワード候補が一致するか否かを判定し、前記検索キーワード及び前記キーワード候補が一致し、かつ、前記受信者が前記受信者集合に含まれるとき、前記コンテンツの暗号文を前記受信装置に送信するステップと、
を順に実行することを特徴とする放送型検索可能暗号方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、放送型検索可能暗号に関する。

【背景技術】

【0002】

クラウドサーバ等にデータを保存する際の情報漏洩対策として暗号化が有効である。暗号化によりデータに関する情報がクラウドサーバに漏洩しない一方で、暗号化によりデータ検索を行うことができないためユーザビリティを損なうというデメリットがある。

【0003】

そこで、暗号化データに対してキーワード検索ができる手法として、公開鍵検索可能暗号（ＰＥＫＳ：Public key Encryption with Keyword Search）が知られている。ＰＥＫＳでは、コンテンツの暗号文とコンテンツに関連するキーワードの暗号文とがクラウドサーバ等に保存される。受信者は、キーワードを指定し、対応するトラップドアをクラウドサーバに送付する。クラウドサーバは、キーワードを知ることなく、キーワードを含むコンテンツの暗号文を受信者に返信する。ＰＥＫＳは、クラウドストレージに安全にデータを保存しつつ検索機能をサポートすることができるため、安全なデータ利活用の観点から重要な技術と言える。

【0004】

複数の受信者を考慮した暗号方式である放送型暗号(ＢＥ：Broadcast Encryption)の検索可能暗号版として、放送型検索可能暗号（ＢＥＫＳ：Broadcast Encryption with Keyword Search）が提案されている（非特許文献１，２）。さらに、ＢＥＫＳを拡張したＢＡＥＫＳ（Broadcast Authenticated Encryption with Keyword Search）も提案されている（非特許文献３，４）。

【先行技術文献】

【非特許文献】

【0005】

【非特許文献1】Nuttapong Attrapadung, Jun Furukawa, Hideki Imai: Forward-Secure and Searchable Broadcast Encryption with Short Ciphertexts and Private Keys. ASIACRYPT 2006: 161-177

【非特許文献2】Sanjit Chatterjee, Sayantan Mukherjee: Keyword Search Meets Membership Testing:Adaptive Security from SXDH. INDOCRYPT 2018: 21-43

【非特許文献3】Xueqiao Liu, Kai He, Guomin Yang, Willy Susilo, Joseph Tonien, Qiong Huang: Broadcast Authenticated Encryption with Keyword Search. ACISP 2021: 193-213

【非特許文献4】Keita Emura: Generic Construction of Broadcast Authenticated Encryption with Keyword Search. Cryptology ePrint Archive, Paper 2023/401

【発明の概要】

【発明が解決しようとする課題】

【0006】

プライバシー保護の観点から、誰が受信者であるのかという情報が、暗号文から漏洩しない受信者匿名性を満たすことが望ましい。しかし、従来のＢＥＫＳでは、検索アルゴリズムが受信者集合を入力に取ることから、受信者匿名性を満たさないという問題がある。また、従来のＢＡＥＫＳでは、受信者匿名性は考慮されているが、暗号文長が受信者数に対して線形サイズであり、非効率である。

【0007】

本発明は、受信者匿名性を満たし、暗号文長が短い放送型検索可能暗号システム及びその方法を提供することを課題とする。

【課題を解決するための手段】

【0008】

前記課題を解決するため、本発明に係る放送型検索可能暗号システムは、弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ及びＣＳ法を用いた放送型検索可能暗号システムであって、所定のセキュリティパラメータを入力とし、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズム及びＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムが含まれるＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び受信者毎に固有の秘密鍵を生成する鍵生成手段、を備える鍵生成装置と、前記マスター公開鍵を入力とし、前記ＣＳ法のノードとキーワード候補とをパラメータとするＨＩＢＥ．Ｅｎｃアルゴリズムが含まれるＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、前記キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成する暗号化手段、を備える暗号文生成装置と、前記マスター公開鍵及び前記秘密鍵を入力とし、ＨＩＢＥ．ＫｅｙＤｅｒアルゴリズムが含まれるＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、前記受信者集合及び検索キーワードを含むトラップドアを生成するトラップドア生成手段、を備える受信装置と、前記マスター公開鍵と前記トラップドアとを入力とし、ＨＩＢＥ．Ｄｅｃアルゴリズムが含まれるＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行し、当該実行結果が予め設定した値になるか否かで前記検索キーワード及び前記キーワード候補が一致するか否かを判定し、前記検索キーワード及び前記キーワード候補が一致し、かつ、前記受信者が前記受信者集合に含まれるとき、前記コンテンツの暗号文を前記受信装置に送信する検索手段、を備える検索装置と、を備える。

【0009】

かかる放送型検索可能暗号システムによれば、弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ方式において、暗号化を行うＨＩＢＥ．Ｅｎｃアルゴリズムをノード及びキーワード候補という２階層のパラメータで実行する。さらに、放送型検索可能暗号システムは、受信者匿名性を満たし、受信者数の線形サイズであった暗号文長を受信者数のｌｏｇサイズに短くすることができる。

【0010】

また、前記課題を解決するため、本発明に係る放送型検索可能暗号方法は、弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ及びＣＳ法を用いた放送型検索可能暗号方法であって、鍵生成装置が、所定のセキュリティパラメータを入力とし、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズム及びＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムが含まれるＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び受信者毎に固有の秘密鍵を生成するステップと、暗号文生成装置が、前記マスター公開鍵を入力とし、前記ＣＳ法のノードとキーワード候補とをパラメータとするＨＩＢＥ．Ｅｎｃアルゴリズムが含まれるＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、前記キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成するステップと、受信装置が、前記マスター公開鍵及び前記秘密鍵を入力とし、ＨＩＢＥ．ＫｅｙＤｅｒアルゴリズムが含まれるＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、前記受信者集合及び検索キーワードを含むトラップドアを生成するステップと、検索装置が、前記マスター公開鍵と前記トラップドアとを入力とし、ＨＩＢＥ．Ｄｅｃアルゴリズムが含まれるＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行し、当該実行結果が予め設定した値になるか否かで前記検索キーワード及び前記キーワード候補が一致するか否かを判定し、前記検索キーワード及び前記キーワード候補が一致し、かつ、前記受信者が前記受信者集合に含まれるとき、前記コンテンツを前記受信装置に送信するステップと、を順に実行する。

【0011】

かかる放送型検索可能暗号方法によれば、弱ロバスト性を持つ２レベル階層型匿名ＩＢＥ方式において、暗号化を行うＨＩＢＥ．Ｅｎｃアルゴリズムをノード及びキーワード候補という２階層のパラメータで実行する。さらに、放送型検索可能暗号方法は、受信者匿名性を満たし、受信者数の線形サイズであった暗号文長を受信者数のｌｏｇサイズに短くすることができる。

【発明の効果】

【0012】

本発明によれば、受信者匿名性を満たし、暗号文長を短くすることができる。

【図面の簡単な説明】

【0013】

【図1】実施形態に係る放送型検索可能暗号システムの構成を示すブロック図である。

【図2】実施形態に係る放送型検索可能暗号システムの動作を示すフローチャートである。

【発明を実施するための形態】

【0014】

以下、本発明の実施形態について図面を参照して説明する。但し、以下に説明する各実施形態は、本発明の技術思想を具体化するためのものであって、特定的な記載がない限り、本発明を以下のものに限定しない。また、同一の手段には同一の符号を付し、説明を省略する場合がある。

【0015】

実施形態に係る放送型検索可能暗号システム１の前提として、弱ロバスト性を持つ２レベル階層型匿名ＩＤベース暗号（ＨＩＢＥ：Hierarchical Identity-Based Encryption）、ＣＳ（Complete Subtree）法、及び、ＢＥＫＳを説明する。

【0016】

＜弱ロバスト性を持つ匿名２レベルＨＩＢＥ＞
ＨＩＢＥ方式は、以下で定義される５つのアルゴリズム（ＨＩＢＥ．Ｓｅｔｕｐ、ＨＩＢＥ．ＫｅｙＧｅｎ、ＨＩＢＥ．ＫｅｙＤｅｒ、ＨＩＢＥ．Ｅｎｃ、ＨＩＢＥ．Ｄｅｃ）から構成される。

【0017】

ここで、Ｍはコンテンツである平文、ＩＤは各受信者の識別情報を表す。また、Ｍ_{ｓｐａｃｅ}は平文空間、ＩＤ_{ｓｐａｃｅ}はＩＤ空間とする。階層型ＩＤを（ＩＤ，ＩＤ´）∈ＩＤ_{ｓｐａｃｅ}×ＩＤ_{ｓｐａｃｅ}と表記し、２次元ＩＤのみを取り扱う。また、ＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムは第一階層ＩＤを入力とし、ＨＩＢＥ．Ｅｎｃアルゴリズムは階層型ＩＤ（ＩＤ，ＩＤ´）を入力とする。

【0018】

ＨＩＢＥ．Ｓｅｔｕｐ：セットアップアルゴリズムは、セキュリティパラメータλを入力とし、マスター公開鍵ＭＰＫとマスター秘密鍵ＭＳＫを生成する。なお、セキュリティパラメータλは、暗号の安全性を示す尺度のことであり、鍵のサイズなどに関連する。

【0019】

ＨＩＢＥ．ＫｅｙＧｅｎ：鍵生成アルゴリズムは、マスター公開鍵ＭＰＫ、マスター秘密鍵ＭＳＫ、及び、ＩＤ∈ＩＤ_{ｓｐａｃｅ}を入力とし、秘密鍵ｓｋ_ＩＤを生成する。

【0020】

ＨＩＢＥ．ＫｅｙＤｅｒ：鍵導出アルゴリズムは、マスター公開鍵ＭＰＫ、秘密鍵ｓｋ_ＩＤ、及び、ＩＤ´∈ＩＤ_{ｓｐａｃｅ}を入力とし、秘密鍵ｓｋ_{ＩＤ，ＩＤ´}を生成する。

【0021】

ＨＩＢＥ．Ｅｎｃ：暗号化アルゴリズムは、マスター公開鍵ＭＰＫ、階層型ＩＤ（ＩＤ，ＩＤ´）∈ＩＤ_{ｓｐａｃｅ}×ＩＤ_{ｓｐａｃｅ}、及び、平文Ｍ∈Ｍ_{ｓｐａｃｅ}を入力とし、暗号文ｃｔ_ＨＩＢＥを生成する。

【0022】

ＨＩＢＥ．Ｄｅｃ：復号アルゴリズムは、マスター公開鍵ＭＰＫ、暗号文ｃｔ_ＨＩＢＥ、及び、秘密鍵ｓｋ_{ＩＤ，ＩＤ´}を入力とし、平文Ｍ又は⊥を出力する。なお、⊥はエラーを表す。

【0023】

ＨＩＢＥ方式の匿名性とは、階層型ＩＤ（ＩＤ，ＩＤ´）に関する情報が暗号文ｃｔ_ＨＩＢＥ←ＨＩＢＥ．Ｅｎｃ（ＭＰＫ，（ＩＤ，ＩＤ´），Ｍ）から漏洩しないことを保証する安全性のことである。以下、選択平文攻撃（ＣＰＡ：Chosen Plaintext Attack）のみ考慮する。なお、←は、アルゴリズムの出力結果を表す。

【0024】

全ての確率的多項式時間(ＰＰＴ：probabilistic polynomial-time)において、攻撃者Ａに対し、以下の式（１）を定義する。なお、この式（１）は、階層型ＩＢＥ方式における匿名性の定義を表している。

【0025】

【数1】

【0026】

１階層ＩＤに対する鍵抽出オラクルＨＩＢＥ．ＫｅｙＧｅｎは、ＩＤ∈ＩＤ_{ｓｐａｃｅ}を入力とし、秘密鍵ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＳＫ，ＩＤ）を返すと共に、Ｖ_１← Ｖ_１∪｛ＩＤ｝と更新する。

【0027】

２階層ＩＤに対する鍵抽出オラクルＨＩＢＥ．ＫｅｙＧｅｎは、（ＩＤ，ＩＤ´）∈ＩＤ_{ｓｐａｃｅ}×ＩＤ_{ｓｐａｃｅ}を入力とし、秘密鍵ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＳＫ，ＩＤ）を計算、秘密鍵ｓｋ_{ＩＤ，ＩＤ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＳＫ，ｓｋ_ＩＤ，ＩＤ´）を返すと共に、Ｖ_２← Ｖ_２∪｛（ＩＤ，ＩＤ´）｝と更新する。

【0028】

以下の式（２）で表される利得がセキュリティパラメータλに関して無視できる場合、ＨＩＢＥ方式はＡｎｏｎ－ＣＰＡ安全である。

【0029】

【数2】

【0030】

ＨＩＢＥ方式の弱ロバスト性について説明する。ロバスト性とは、あるＩＤで生成された暗号文を、異なるＩＤに対応する秘密鍵で復号した場合、⊥を出力することを保証する安全性である。例えば、暗号文ｃｔ_ＨＩＢＥ←ＨＩＢＥ．Ｅｎｃ（ＭＰＫ，（ＩＤ，ＩＤ´），Ｍ）、秘密鍵ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＰＫ，ＭＳＫ，ＩＤ￣）、秘密鍵ｓｋ_{ＩＤ￣，ＩＤ￣´}←ＨＩＢＥ．ＫｅｙＤｅｒ（ＭＰＫ，ｓｋ_ＩＤ￣，ＩＤ￣´）、（ＩＤ，ＩＤ´）≠（ＩＤ￣，ＩＤ￣´）としたとき、ＨＩＢＥ．Ｄｅｃアルゴリズムにて、暗号文ｃｔ_ＨＩＢＥを秘密鍵ｓｋ_{ＩＤ￣，ＩＤ´}で復号した際に⊥を出力する。

【0031】

弱ロバスト性とは、暗号文がアルゴリズムに従い正直に生成された場合、ロバスト性を保証することである。全てのＰＰＴ攻撃者Ａに対し、以下の式（３）を定義する。なお、この式（３）は、階層型ＩＢＥ方式における弱ロバスト性の定義を表している。

【0032】

【数3】

【0033】

鍵抽出オラクルＨＩＢＥ．ＫｅｙＧｅｎは、ＩＤ∈ＩＤ_{ｓｐａｃｅ}を入力とし、秘密鍵ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＳＫ，ＩＤ）を返すと共に、Ｖ←Ｖ∪｛（ＩＤ）｝と更新する。以下の式（４）で定義される利得がセキュリティパラメータλに関して無視できる場合、ＨＩＢＥ方式は弱ロバスト性を満たす。

【0034】

【数4】

【0035】

＜ＣＳ法＞
ＢＴ（Binary Tree）をＮ個の葉を持つ二分木とする。葉ノードｉに対し、Ｐａｔｈ（ｉ）を葉ノードからルートノードまでのノードの集合とする。ＲＳｅｔを削除葉ノードの集合とする。葉ノードではないノードｘに対し、ｘ_ｌｅｆｔを左の子ノード、ｘ_{ｒｉｇｈｔ}を右の子ノードとする。そして、ＣＳ法では、以下の手順１～手順５を実行する（参考文献１）。

【0036】

手順１：ｘ，ｃｏｖｅｒ←０と初期化する。
手順２：全てのｉ∈ＲＳｅｔに対し、Ｐａｔｈ（ｉ）をＸに追加する。
手順３：全てのｘ∈Ｘに対し、もしｘ_ｌｅｆｔがＸの要素でなければｘ_ｌｅｆｔをｃｏｖｅｒに加える。もしｘ_{ｒｉｇｈｔ}がＸの要素でなければｘ_{ｒｉｇｈｔ}をｃｏｖｅｒに加える。
手順４：もし｜ＲＳｅｔ｜＝０であれば、ルートノードｒｏｏｔをｃｏｖｅｒに加える。
手順５：ｃｏｖｅｒを出力する。

【0037】

ｃｏｖｅｒ←ＣｏｍｐＳｕｂＴｒｅｅ（ＢＴ，Ｒｓｅｔ）と表記する。ここで、|ｃｏｖｅｒ|は、０（Ｒｌｏｇ（Ｎ／Ｒ））と評価される。

【0038】

参考文献１：Dalit Naor, Moni Naor, and Jeffery Lotspiech. Revocation and tracing schemes for stateless receivers. In CRYPTO, pages 41-62, 2001.

【0039】

＜ＢＥＫＳ＞
ＢＥＫＳ方式は、以下で定義される４つのアルゴリズム（ＢＥＫＳ．Ｓｅｔｕｐ、ＢＥＫＳ．Ｅｎｃ、ＢＥＫＳ．Ｔｒａｐｄｏｏｒ、ＢＥＫＳ．ＴＥＳＴ）から構成される。なお、最大受信者数をＮとし、Ｕ＝｛ｉ｝_{ｉ∈［１，Ｎ］}を全ての受信者集合とし、ＫＷ_{ｓｐａｃｅ}をキーワード空間とする。

【0040】

ＢＥＫＳ．Ｓｅｔｕｐ：セットアップアルゴリズムは、セキュリティパラメータλ、及び、最大受信者数Ｎを入力とし、マスター公開鍵ＭＰＫと秘密鍵｛ｓｋ_Ｒ［ｉ］｝_{ｉ∈［１，Ｎ］}を生成する。

【0041】

ＢＥＫＳ．Ｅｎｃ：キーワード暗号化アルゴリズムは、マスター公開鍵ＭＰＫ、受信者集合Ｓ⊆Ｕ（｜Ｓ｜＝Ｎ´≦Ｎ）、及び、キーワードｋｗ∈ＫＷ_{ｓｐａｃｅ}を入力とし、暗号文ｃｔ_ＢＥＫＳを生成する。

【0042】

ＢＥＫＳ．Ｔｒａｐｄｏｏｒ：トラップドア生成アルゴリズムは、マスター公開鍵ＭＰＫ、秘密鍵ｓｋ_Ｒ、及び、キーワードｋｗ´∈ＫＷ_{ｓｐａｃｅ}を入力とし、トラップドアｔｄ_{Ｒ，ｋｗ´}を生成する。

【0043】

ＢＥＫＳ．Ｔｅｓｔ：テストアルゴリズムは、マスター公開鍵ＭＰＫ、暗号文ｃｔ_ＢＥＫＳ、及び、トラップドアｔｄ_{Ｒ，ｋｗ´}を入力とし、１又は０を出力する。なお、１は正常を表し、０は異常を表す。

【0044】

外部匿名性について説明する。攻撃者Ａは、コラプトオラクルを介して、Ｖ∩(Ｓ^＊ _０∪Ｓ^＊ _１）＝０を満たす集合Ｖに所属する外部受信者の秘密鍵を取得できる。また、トラップドアオラクルを介して、全ての受信者ｉ∈［１，Ｎ］に対するキーワードｋｗに対するトラップドアを取得できる。ただし、ｉ∈Ｓ^＊ _０∪Ｓ^＊ _１の場合、キーワードｋｗが｛ｋｗ^＊ _０，ｋｗ^＊ _１｝の要素でないと制限する。ここで、（ｋｗ^＊ _０，ｋｗ^＊ _１）は、チャレンジキーワードである。全てのＰＰＴ攻撃者Ａに対し、以下の式（５）を定義する。なお、この式（５）は、放送型検索可能暗号における外部匿名性の定義を表している。

【0045】

【数5】

【0046】

トラップドアオラクルＢＥＫＳ．Ｔｒａｐｄｏｏｒは、ｉ∈［１，Ｎ］とｋｗ＝ＫＷ_{ｓｐａｃｅ}とを入力とし、トラップドアｔｄ_Ｒ，ｋ←ＢＥＫＳ．Ｔｒａｐｄｏｏｒ（ＭＰＫ，ｓｋ_Ｒ［ｉ］，ｋｗ｝を返し、Ｖ´←Ｖ´∪｛ｉ｝と更新する。チャレンジフェーズ以降、ｉ∈Ｓ^＊ _０∪Ｓ^＊ _１、かつ、ｋｗ∈｛ｋｗ^＊ _０，ｋｗ^＊ _１｝の場合、⊥を出力する。コラプトオラクルＣｏｒｒｕｐｔは、ｉ∈［１，Ｎ］を入力とし、ｓｋ_Ｒ［ｉ］を返し、Ｖ´←Ｖ´∪｛ｉ｝と更新する。チャレンジフェーズ以降、ｉ∈Ｓ^＊ _０∪Ｓ^＊ _１の場合、⊥を出力する。以下の式（６）で定義される利得がセキュリティパラメータλに関して無視できる場合、ＢＥＫＳ方式は外部匿名性を持つと言える。

【0047】

【数6】

【0048】

［放送型検索可能暗号システムの構成］
図１を参照し、実施形態に係る放送型検索可能暗号システム１の構成について説明する。
図１に示すように、放送型検索可能暗号システム１は、２レベル階層型匿名ＩＢＥ及びＣＳ法を用いたものであり、鍵生成装置２と、暗号文生成装置３と、受信装置４と、検索装置５とを備える。

【0049】

例えば、放送型検索可能暗号システム１では、有線又は無線の通信回線を介して、鍵生成装置２、暗号文生成装置３、受信装置４及び検索装置５が接続されていることとする。

【0050】

鍵生成装置２は、後記するＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵ＭＰＫ及び受信者毎に固有の秘密鍵を生成する鍵生成手段２０を備える。例えば、鍵生成装置２は、信頼できる第三者機関が管理する。

【0051】

マスター公開鍵ＭＰＫは、放送型検索可能暗号システム１で共通の公開鍵であり、放送型検索可能暗号システム１の各装置に予め配布しておく。秘密鍵は、受信者毎に固有の秘密鍵であり、各受信装置４に予め配布しておく。マスター公開鍵及び秘密鍵を配布する手法は、ネットワーク、データ放送、オフラインなど特に制限されない。

【0052】

暗号文生成装置３は、後記するＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成する暗号化手段３０を備える。例えば、暗号文生成装置３は、コンテンツの制作者が管理するので、１台以上備えられる。また、コンテンツとしては、各受信者が視聴する番組があげられ、その内容は特に制限されない。そして、暗号文生成装置３は、生成したコンテンツの暗号文を検索装置５に出力する。

【0053】

受信装置４は、後記するＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、受信者集合及び検索キーワードを含むトラップドアを生成するトラップドア生成手段４０を備える。なお、検索キーワードとは、コンテンツを検索するために受信者が指定したキーワードのことである。例えば、受信装置４は、視聴者の自宅に備えられた放送受信装置であり、１台以上備えられる。そして、受信装置４は、生成したトラップドアを検索装置５に出力する。
また、受信装置４は、受信者毎に固有の秘密鍵を用いて、検索装置５から受信したコンテンツの暗号文を復号する。

【0054】

検索装置５は、後記するＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行する検索手段５０を備える。例えば、検索装置５は、クラウドサーバである。そして、検索手段５０は、検索キーワード及びキーワード候補が一致し、かつ、受信者が受信者集合に含まれるとき、コンテンツの暗号文を受信装置４に送信する。なお、キーワード候補とは、検索対象となるキーワードのことであり、例えば、コンテンツの制作者が予め設定する。

【0055】

［放送型検索可能暗号システムで実行するＢＥＫＳ］
以下で説明するように、ＢＥＫＳ方式の各アルゴリズムには、ＨＩＢＥ方式の５つのアルゴリズム及びＣＳ法が含まれている。具体的には、1階層目を参考文献２に記載のＩＢＥ方式からの放送型暗号の一般的構成とし、２階層目を参考文献３に記載のＩＢＥ方式からのＰＥＫＳの一般的構成としたＨＩＢＥとする。

【0056】

参考文献２：Nelly Fazio and Irippuge Milinda Perera. Outsider-anonymous broadcast encryption with sublinear ciphertexts. In Public Key Cryptography,pages 225-242, 2012.
参考文献３：Dan Boneh, Giovanni Di Crescenzo, Rafail Ostrovsky, and Giuseppe
Persiano. Public key encryption with keyword search. In EUROCRYPT,pages 506-522, 2004.

【0057】

単に参考文献２,３の手法を組み合わせただけでは、放送型検索暗号の安全性が保証されないため、放送型検索可能暗号システム１では、ＩＢＥ方式ではなく階層型ＩＢＥ方式を用いる。具体的に、放送型検索可能暗号システム１は、ノード及びキーワード候補という２階層のパラメータでＨＩＢＥ．Ｅｎｃアルゴリズムを実行する。以下、放送型検索可能暗号システム１で実行するＢＥＫＳの各アルゴリズムを詳細に説明する。

【0058】

＜ＢＥＫＳ．Ｓｅｔｕｐアルゴリズム＞
鍵生成手段２０は、所定のセキュリティパラメータを入力とし、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズム及びＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムが含まれるＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び秘密鍵を生成する。鍵生成手段２０が実行するＢＥＫＳ．Ｓｅｔｕｐアルゴリズムは、以下の通りである。

【0059】

ＢＥＫＳ．Ｓｅｔｕｐ（１^λ，Ｎ）：（ＭＰＫ´，ＭＳＫ）←ＨＩＢＥ．Ｓｅｔｕｐ（１^λ）を実行する。ｊ＝１，…Ｎに対し、Ｐａｔｈ（ｊ）＝｛ｘ´_１，…，ｘ´_ｈ｝とする。ここで、ｈは、ＢＴ（Binary Tree）の深さ、ｘ１＝ｒｏｏｔである。

【0060】

ｋ＝１，…，ｈに対し、秘密鍵ｓｋ^（ｊ） _ｋ←ＨＩＢＥ．ＫｅｙＧｅｎ（ＭＳＫ，ｘ´_ｋ）を実行する。マスター公開鍵ＭＰＫ＝（ＭＰＫ´，Ｎ）と秘密鍵｛ｓｋ_Ｒ［ｊ］｝_{ｊ∈［１，Ｎ］}を生成する。ここで、ｓｋ_Ｒ［ｊ］＝｛ｓｋ^（ｊ） _ｋ｝_{ｋ＝［１，ｈ］}であり、ＫＷ_{ｓｐａｃｅ}＝ＩＤ_{ｓｐａｃｅ}とする。

【0061】

＜ＢＥＫＳ．Ｅｎｃアルゴリズム＞
暗号化手段３０は、マスター公開鍵を入力とし、ＣＳ法のノードとキーワード候補とをパラメータとするＨＩＢＥ．Ｅｎｃアルゴリズムが含まれるＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、キーワード候補及び受信者集合が関連するコンテンツの暗号文を生成する。このとき、暗号化手段３０は、ＣＳ法により、ノードとしての受信装置４を二分木（ＢＴ：Binary Tree）で配置する。暗号化手段３０が実行するＢＥＫＳ．Ｅｎｃアルゴリズムは、以下の通りである。

【0062】

ＢＥＫＳ．Ｅｎｃ（ＭＰＫ，Ｓ，ｋｗ）：マスター公開鍵ＭＰＫ＝（ＭＰＫ´，Ｎ）と展開する。以下の式（７）で定義されるＲＳｅｔを指定し、ｃｏｖｅｒ←ＣｏｍｐＳｕｂＴｒｅｅ（ＢＴ，Ｒｓｅｔ）を実行する。ここで、ｃｏｖｅｒ＝｛ｘ_１，…，ｘ_ｌ}とおく。

【0063】

【数7】

【0064】

ｊ＝１，…，ｌに対し、暗号文ｃｔ_{ＨＩＢＥ，ｊ}←ＨＩＢＥ．Ｅｎｃ（ＭＰＫ´,（ｘ_ｊ,ｋｗ),０^λ)を実行する。このように、ＨＩＢＥ．Ｅｎｃアルゴリズムでは、ノードｘ_ｊ及びキーワード（キーワード候補）ｋｗという２階層のパラメータ（ｘ_ｊ,ｋｗ)を用いて、弱ロバスト性を実現している。ｊ＝ｌ＋１，…，Ｌに対し、Ｍ~←^＄｛０，１｝^λを選び、ｃｔ_{ＨＩＢＥ，ｊ}←ＨＩＢＥ．Ｅｎｃ（ＭＰＫ´,（ｄｕｍｍｙ，ｄｕｍｍｙ´），Ｍ~）を実行する。暗号文ｃｔ_ＢＥＫＳ＝｛ｃｔ_{ＨＩＢＥ，π（ｊ）}｝_{ｊ∈［１，Ｌ］}を生成する。ここで、π：｛１，…，Ｌ｝→｛１,…，Ｌ｝はランダム置換である。

【0065】

＜ＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズム＞
トラップドア生成手段４０は、マスター公開鍵及び秘密鍵を入力とし、ＨＩＢＥ．ＫｅｙＤｅｒアルゴリズムが含まれるＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、受信者集合及び検索キーワードを含むトラップドアを生成する。トラップドア生成手段４０が実行するＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムは、以下の通りである。

【0066】

ＢＥＫＳ．Ｔｒａｐｄｏｏｒ（ＭＰＫ，ｓｋ_Ｒ，ｋｗ´）：マスター公開鍵ＭＰＫ＝（ＭＰＫ´，Ｎ）と展開する。ｋｗ´が検索キーワードを表す。受信者は葉ノードｉに割り当てられているものと仮定し、ｓｋ_Ｒ＝ｓｋ_Ｒ［ｉ］とする。秘密鍵ｓｋ_Ｒ［ｉ］＝｛ｓｋ^［ｉ］ _ｋ｝_{ｋ∈［１，ｈ］}と展開する。ｋ＝１，…，ｈに対し、秘密鍵ｓｋ^［ｉ］ _{ｋ，ｋｗ´}←ＨＩＢＥ．ＫｅｙＤｅｒ（ＭＰＫ´，ｓｋ^［ｉ］ _ｋ，ｋｗ´）を実行する。トラップドアｔｄ_{Ｒ，ｋｗ´}＝｛ｓｋ^［ｉ］ _ｋ｝_{ｋ∈［１，ｈ］}を生成する。

【0067】

＜ＢＥＫＳ．Ｔｅｓｔアルゴリズム＞
検索手段５０は、マスター公開鍵とトラップドアとを入力とし、ＨＩＢＥ．Ｄｅｃアルゴリズムが含まれるＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行する。そして、検索手段５０は、その実行結果が予め設定した値になるか否かで検索キーワード及びキーワード候補が一致するか否かを判定する。例えば、ＢＥＫＳ．Ｔｅｓｔアルゴリズムの実行結果は、１が正常を表し、０が異常を表す。この場合、検索手段５０は、その実行結果が１の場合、検索キーワード及びキーワード候補が一致したと判定し、その実行結果が０の場合、検索キーワード及びキーワード候補が一致しないと判定する。さらに、検索手段５０は、検索キーワード及びキーワード候補が一致し、かつ、受信者が受信者集合に含まれるとき、コンテンツの暗号文を受信装置４に送信する。検索手段５０が実行するＢＥＫＳ．Ｔｅｓｔアルゴリズムは、以下の通りである。

【0068】

ＢＥＫＳ．Ｔｅｓｔ（ＭＰＫ，ｃｔ_ＢＥＫＳ，ｔｄ_{Ｒ，ｋｗ´}）：マスター公開鍵ＭＰＫ＝（ＭＰＫ´，Ｎ），暗号文ｃｔ_ＢＥＫＳ＝｛ｃｔ_{ＨＩＢＥ，ｊ}｝_{ｊ∈［１，Ｌ］，}トラップドアｔｄ_{Ｒ，ｋｗ´}＝｛ｓｋ_ｋ，_ｋｗ´｝_{ｋ∈［１，ｈ］}と展開する。続いて、以下のループ処理を実行する。

【0069】

Ｆｏｒ ｋ＝１ ｔｏ ｈ，Ｆｏｒ ｊ＝１ ｔｏ Ｌ
Ｍ←ＨＩＢＥ．Ｄｅｃ（ＭＰＫ´，ｃｔ_{ＨＩＢＥ，ｊ}，ｓｋ_ｋ，_ｋｗ´）を実行する。
もし、Ｍ＝０^λの場合、１を出力する。もし、ｊ＝Ｌの場合、ループ処理を終了する。それ以外の場合、ｊ←ｊ＋１とする。
ｋ＝ｈの場合、０を出力する。それ以外の場合、ｋ←ｋ＋１とする。
なお、２つのＦｏｒ文は、ループ処理が入れ子になっていることを表す。

【0070】

なお、コンテンツが暗号化され、ｊに応じてコンテンツが異なる場合のように、０^λ←ＨＩＢＥ．Ｄｅｃ（ＭＰＫ´，ｃｔ_{ＨＩＢＥ，ｊ}，ｓｋ_ｋ，_ｋｗ´）を満たす唯一のｊを見つける必要がある場合がある。この場合、２つ以上の暗号文で０^λが出力された場合、ＢＥＫＳ．Ｔｅｓｔで０を出力すればよい。

【0071】

以下で説明するように、ＨＩＢＥ方式がａｎｏｎ―ＣＰＡ安全なとき、このＢＥＫＳ方式は外部匿名性を持つ。（ｋｗ^＊ _０，ｋｗ^＊ _１，Ｓ^＊ _０，Ｓ_１）を攻撃者が宣言したチャレンジキーワードと受信者集合とする。Ｒ^＊をチャレンジ暗号文における削除ユーザ数、すなわち、Ｒ^＊＝Ｎ―｜Ｓ^＊ _ｂ｜（ｂ∈｛０，１｝）と定義する。また、Ｌ^＊を以下の式（８）で定義する。

【0072】

【数8】

【0073】

ｂ∈｛０，１｝に対し、前記式（７）とｃｏｖｅｒ_ｂ←ＣｏｍｐＳｕｂＴｒｅｅ（ＢＴ，Ｒｓｅｔ_ｂ）で得られるｃｏｖｅｒ_ｂをｃｏｖｅｒ_ｂ＝｛ｘ^（ｂ） _１，…，ｘ^（ｂ） _ｌｂ｝と表記する。以下、基本的には、Ｆａｚｉｏ－Ｐｅｒｅｒａの安全性証明と同じ流れである。ＨＩＢＥ暗号文のそれぞれに対し、ＨＩＢＥ方式のＡｎｏｎ―ＣＰＡ安全性を用いて、ｃｔ_{ＨＩＢＥ，ｊ}←ＨＩＢＥ．Ｅｎｃ（ＭＰＫ´，（ｘ^（０） _ｊ，ｋｗ^＊ _０），０^λ）の（ｘ^（０） _ｊ，ｋｗ^＊ _０）を（ｘ^（１） _ｊ，ｋｗ^＊ _１）に置き換えていくことで、ｋｗ^＊ _０及びＳ^＊ _０を用いて生成した暗号文と、ｋｗ^＊ _１及びＳ^＊ _１を用いて生成した暗号文とが識別不可能であることを示せばよい。

【0074】

＜ＨＩＢＥにおける弱ロバスト性＞
鍵生成手段２０は、マスター公開鍵ＭＰＫに含めるランダムな値Ｋのサイズをセキュリティパラメータλの６．３倍に設定する。

【0075】

ＩＢＥに対し、ランダムな値Ｋを選び、マスター公開鍵ＭＰＫに含め、平文Ｍの暗号化時にはＭ｜｜Ｋを暗号化、復号時にＫが得られない場合に⊥を出力し、復号時にＫが得られる場合に平文Ｍを出力することで、弱ロバスト性を満たす。このとき、ランダムな値ＫのサイズがＩＤのサイズよりも十分に大きいことが要請されている。正確には、以下の式（９）が成り立つ。ここで、Ｂは、Ａｎｏｎ―ＣＰＡ安全性の攻撃者、ｔは弱ロバスト性の攻撃者Ａの動作時間である。

【0076】

【数9】

【0077】

具体的なパラメータとして、｜ＩＤ｜＝２５６及びｔ≦２１２８と仮定したとき、｜Ｋ｜＝７６８に設定すると、以下の式（１０）が成立すると考えられるので、Ｋ＝６λと設定する。

【0078】

【数10】

【0079】

なお、検索可能暗号の文脈では、キーワード空間が小さいと仮定できるので、２階層目のＩＤ空間を小さくすることができる。例えば、“Ｏｘｆｏｒｄ Ｅｎｇｌｉｓｈ Ｄｉｃｔｉｏｎａｒｙ（the second edition of the 20-volume）”に含まれる単語数は、１７１，４７６である。この辞書からキーワードが選択されると仮定した場合、２^１８＝２６２，１４４で十分である。そこで、｜ＫＷ_{ｓｐａｃｅ}｜≒λ／７と設定できるので、｜Ｋ｜を（４＋２／７＋１＋１）λ≒６．３λと評価できる。従って、鍵生成手段２０は、マスター公開鍵ＭＰＫに含めるランダムな値Ｋのサイズをセキュリティパラメータλの６．３倍に設定すればよい。

【0080】

［放送型検索可能暗号システムの動作］
図２を参照し、放送型検索可能暗号システム１の動作について説明する。
図２に示すように、ステップＳ１において、鍵生成装置２は、ＢＥＫＳ．Ｓｅｔｕｐアルゴリズムを実行することで、マスター公開鍵及び秘密鍵を生成する。

【0081】

ステップＳ２において、鍵生成装置２は、マスター公開鍵を暗号文生成装置３に配布する。
ステップＳ３において、鍵生成装置２は、マスター公開鍵を検索装置５に配布する。
ステップＳ４において、鍵生成装置２は、マスター公開鍵及び秘密鍵を受信装置４に配布する。

【0082】

ステップＳ５において、暗号文生成装置３は、ＢＥＫＳ．Ｅｎｃアルゴリズムを実行することで、キーワード候補ｋｗ及びコンテンツの暗号文を生成する。
ステップＳ６において、暗号文生成装置３は、生成した暗号文を検索装置５に送信する。

【0083】

ステップＳ７において、受信装置４は、ＢＥＫＳ．Ｔｒａｐｄｏｏｒアルゴリズムを実行することで、トラップドアを生成する。
ステップＳ８において、受信装置４は、生成したトラップドアを検索装置５に送信する。

【0084】

ステップＳ９において、検索装置５は、ＢＥＫＳ．Ｔｅｓｔアルゴリズムを実行する。
ステップＳ１０において、検索装置５は、ステップＳ９の実行結果が予め設定した値になるか否かで検索キーワード及びキーワード候補が一致するか否かを判定する。そして、検索装置５は、検索キーワード及びキーワード候補が一致し、かつ、受信者が受信者集合に含まれるとき、復号したコンテンツの暗号文を受信装置４に送信する。

【0085】

［効果］
単に参考文献２,３の手法を組み合わせただけでは、放送型検索暗号の安全性が保証されないため、放送型検索可能暗号システム１では、ＩＢＥ方式ではなく階層型ＩＢＥ方式を用いる。具体的に、放送型検索可能暗号システム１は、ノード及びキーワード候補という２階層のパラメータでＨＩＢＥ．Ｅｎｃアルゴリズムを実行する。これにより、放送型検索可能暗号システム１は、受信者匿名性を満たすので受信者のプライバシーを保護できる。さらに、放送型検索可能暗号システム１は、受信者数の線形サイズであった暗号文長を受信者数のｌｏｇサイズに短くできるので、データ量を削減できる。このように、放送型検索可能暗号システム１は、暗号化したコンテンツ（例えば、番組）を安全に管理しつつ、受信者の好みに沿った番組視聴が可能となる。

【0086】

以上、実施形態を詳述してきたが、本発明は前記した実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
例えば、前記した実施形態では、鍵生成装置及び暗号文生成装置を別々のものとして説明したが、鍵生成装置及び暗号文生成装置を一体化してもよい。

【符号の説明】

【0087】

１ 放送型検索可能暗号システム
２ 鍵生成装置
３ 暗号文生成装置
４ 受信装置
５ 検索装置
２０ 鍵生成手段
３０ 暗号化手段
４０ トラップドア生成手段
５０ 検索手段

【図1】

【図2】