特許 7318490 暗号処理システム及び暗号処理方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-07-24

(45)【発行日】2023-08-01

(54)【発明の名称】暗号処理システム及び暗号処理方法

(51)【国際特許分類】

   H04L 9/30 20060101AFI20230725BHJP

   H04L 9/32 20060101ALI20230725BHJP

【ＦＩ】

H04L9/30 A

H04L9/32 200B

【請求項の数】 5

(21)【出願番号】P 2019199804

(22)【出願日】2019-11-01

(65)【公開番号】P2021072593

(43)【公開日】2021-05-06

【審査請求日】2022-07-08

(73)【特許権者】

【識別番号】000005223

【氏名又は名称】富士通株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】清水 俊也

(72)【発明者】

【氏名】下山 武司

(72)【発明者】

【氏名】花岡 悟一郎

(72)【発明者】

【氏名】坂井 祐介

(72)【発明者】

【氏名】辛 星漢

【審査官】中里 裕正

(56)【参考文献】

【文献】特開２００８－１３５８６９（ＪＰ，Ａ）

【文献】特開２００６－２２７４１１（ＪＰ，Ａ）

【文献】KILTZ, E.，Chosen-Ciphertext Secure Key-Encapsulation Based on Gap Hashed Diffie-Hellman，Lecture Notes in Computer Science，Vol. 4450，2007年，pp.282-297

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／３０

Ｈ０４Ｌ ９／３２

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

秘密情報を暗号化する暗号データ生成装置と、
公開鍵と秘密鍵の鍵ペアを有する第１の数のパーティ装置と、
前記第１の数のパーティ装置に分散された断片情報を収集して結合する断片結合装置と
を有し、
前記暗号データ生成装置は、
前記第１の数の公開鍵から鍵復元に必要な第２の数の公開鍵を選択して合成鍵を生成する処理を、前記第１の数の公開鍵から前記第２の数の公開鍵を選択する組合せの数である第３の数の回数行うことで前記第３の数の合成鍵を生成する第１の生成部と、
前記第１の数のパーティ装置の中で前記秘密情報の復号権限を有する第４の数のパーティ装置の公開鍵を用いて前記秘密情報をそれぞれ暗号化して生成した該第４の数の秘密文から中間文を生成し、該中間文をさらに各合成鍵を用いて暗号化して第３の数の秘密情報暗号文を生成する第２の生成部と、
前記第３の数の秘密情報暗号文に関する第１の署名及び前記第３の数の秘密情報暗号文を含む暗号データを公開する第１の公開部と
を備え、
各パーティ装置は、
前記第１の署名を用いて前記暗号データの正当性を検証する第１の検証部と、
前記正当性が検証された場合に、自装置が有する秘密鍵を用いて、前記第１の数から１を引いた数のパーティ装置から前記第２の数から１を引いた数のパーティ装置を選択する組合せの数である第５の数の復号鍵断片を生成し、該第５の数の復号鍵断片にそれぞれ対応する該第５の数の第２の署名を生成する第３の生成部と、
前記第５の数の復号鍵断片及び対応する第２の署名を公開する第２の公開部と
を備え、
前記暗号データ生成装置、前記第２の署名を生成したパーティ装置以外のパーティ装置、前記断片結合装置、又は、その他の装置は、
前記第５の数の復号鍵断片及び対応する前記第２の署名を用いて前記第５の数の復号鍵断片の正当性を検証する第２の検証部
を備え、
前記断片結合装置は、
前記第１の数のパーティ装置がそれぞれ公開した前記第５の数の復号鍵断片のうち、前記第３の数の秘密情報暗号文のいずれかに対応する前記第２の数の復号鍵断片を結合して復号鍵を生成し、該生成した復号鍵に対応する秘密情報暗号文を該生成した復号鍵で復号して前記中間文を生成する第４の生成部と、
前記第４の生成部により生成された前記中間文を公開する第３の公開部と
を備え、
各パーティ装置は、
自装置が前記復号権限を有する場合に、前記第３の公開部により公開された前記中間文を自装置が有する秘密鍵を用いて復号し、前記秘密情報を復元する復号部
をさらに備えることを特徴とする暗号処理システム。

【請求項2】

前記第１の数と第２の数は同じであり、前記第３の数及び第５の数は１であることを特徴とする請求項１に記載の暗号処理システム。

【請求項3】

前記第１の生成部は、前記第２の数の公開鍵を乗算し、乗算結果を第１乱数でべき乗することで前記合成鍵を生成し、
前記第２の生成部は、第２乱数を用いて前記第１の署名を生成し、
前記第１の公開部は、前記第１乱数の情報及び前記第２乱数の情報をさらに含めて前記暗号データを公開し、
前記第１の検証部は、前記第１乱数の情報及び前記第２乱数の情報をさらに用いて前記暗号データの正当性を検証し、
前記第４の生成部は、前記第２の数の復号鍵断片を乗算することによって前記復号鍵を生成することを特徴とする請求項１又は２に記載の暗号処理システム。

【請求項4】

前記第３の生成部は、第３乱数を用いて前記第２の署名を生成し、
前記第２の公開部は、前記第２の署名に前記第３乱数の情報を含めて公開し、
前記第２の検証部は、前記第３乱数の情報をさらに用いて前記第５の数の復号鍵断片の正当性を検証することを特徴とする請求項１、２又は３に記載の暗号処理システム。

【請求項5】

秘密情報を暗号化する暗号データ生成装置と、
公開鍵と秘密鍵の鍵ペアを有する第１の数のパーティ装置と、
前記第１の数のパーティ装置に分散された断片情報を収集して結合する断片結合装置とを有する暗号処理システムによる暗号処理方法において、
前記暗号データ生成装置が、
前記第１の数の公開鍵から鍵復元に必要な第２の数の公開鍵を選択して合成鍵を生成する処理を、前記第１の数の公開鍵から前記第２の数の公開鍵を選択する組合せの数である第３の数の回数行うことで前記第３の数の合成鍵を生成し、
前記第１の数のパーティ装置の中で前記秘密情報の復号権限を有する第４の数のパーティ装置の公開鍵を用いて前記秘密情報をそれぞれ暗号化して生成した該第４の数の秘密文から中間文を生成し、該中間文をさらに各合成鍵を用いて暗号化して第３の数の秘密情報暗号文を生成し、
前記第３の数の秘密情報暗号文に関する第１の署名及び前記第３の数の秘密情報暗号文を含む暗号データを公開し、
各パーティ装置が、
前記第１の署名を用いて前記暗号データの正当性を検証し、
前記正当性が検証された場合に、自装置が有する秘密鍵を用いて、前記第１の数から１を引いた数のパーティ装置から前記第２の数から１を引いた数のパーティ装置を選択する組合せの数である第５の数の復号鍵断片を生成し、該第５の数の復号鍵断片にそれぞれ対応する該第５の数の第２の署名を生成し、
前記第５の数の復号鍵断片及び対応する第２の署名を公開し、
前記暗号データ生成装置、前記第２の署名を生成したパーティ装置以外のパーティ装置、前記断片結合装置、又は、その他の装置が、
前記第５の数の復号鍵断片及び対応する前記第２の署名を用いて前記第５の数の復号鍵断片の正当性を検証し、
前記断片結合装置が、
前記第１の数のパーティ装置がそれぞれ公開した前記第５の数の復号鍵断片のうち、前記第３の数の秘密情報暗号文のいずれかに対応する前記第２の数の復号鍵断片を結合して復号鍵を生成し、該生成した復号鍵に対応する秘密情報暗号文を該生成した復号鍵で復号して前記中間文を生成し、
生成した前記中間文を公開し、
各パーティ装置が、
自装置が前記復号権限を有する場合に、公開された前記中間文を自装置が有する秘密鍵を用いて復号し、前記秘密情報を復元する
ことを特徴とする暗号処理方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、暗号処理システム及び暗号処理方法に関する。

【背景技術】

【0002】

秘密情報を管理する技術として秘密情報を分散して管理する秘密分散技術がある。秘密分散技術において、例えば分散して管理するデータの量を減らしたい場合、カプセル化が行われる。図９は、カプセル化を説明するための図である。図９に示すように、カプセル化では、秘密情報は共通鍵により暗号化され、共通鍵が断片に分割されて管理される。復号時には、断片が収集されて共通鍵が復元され、元の秘密情報が復号される。

【0003】

なお、従来技術として、記憶されている秘密情報の漏洩及び送信される秘密情報の漏洩によるリスクを低減する技術がある。この技術では、個人情報サービスサーバが、秘密情報を複数の割符データに分割し、ストレージサーバに記憶させ、利用者アプリサーバからの要求を受け付けると、ストレージサーバから複数の割符データを取得して、秘密情報を復元する。そして、個人情報サービスサーバは、復元された秘密情報を暗号化し、通信経路の数に応じた複数の割符データに分割し、分割された複数の割符データを複数の通信経路でそれぞれ送信する。

【0004】

また、データ記憶部に記憶されている第１暗号化データを相互認証した他の装置に送信する際に、第１暗号化データを復号し、復号されたデータを送信先に対応した第２暗号化データに暗号化して送信することで、機密性の高いデータ送受信を可能にする技術がある。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１６－１５１７９７号公報

【文献】特開２００４－４８３３６号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

図９に示したカプセル化には、共通鍵が不正に取得されると秘密情報が復元されるため、共通鍵を生成する信頼性の高い機関が必要であるという問題がある。

【0007】

本発明は、１つの側面では、鍵を分散して管理する場合に、共通鍵を生成する信頼性の高い機関を不要とすることを目的とする。

【課題を解決するための手段】

【0008】

１つの態様では、暗号処理システムは、秘密情報を暗号化する暗号データ生成装置と、公開鍵と秘密鍵の鍵ペアを有する第１の数のパーティ装置と、前記第１の数のパーティ装置に分散された断片情報を収集して結合する断片結合装置とを有する。前記暗号データ生成装置は、第１の生成部と、第２の生成部と、第１の公開部とを有する。前記第１の生成部は、前記第１の数の公開鍵から鍵復元に必要な第２の数の公開鍵を選択して合成鍵を生成する処理を、前記第１の数の公開鍵から前記第２の数の公開鍵を選択する組合せの数である第３の数の回数行うことで前記第３の数の合成鍵を生成する。前記第２の生成部は、前記第１の数のパーティ装置の中で前記秘密情報の復号権限を有する第４の数のパーティ装置の公開鍵を用いて前記秘密情報をそれぞれ暗号化して生成した該第４の数の秘密文から中間文を生成する。そして、前記第２の生成部は、前記中間文をさらに各合成鍵を用いて暗号化して第３の数の秘密情報暗号文を生成する。前記第１の公開部は、前記第３の数の秘密情報暗号文に関する第１の署名及び前記第３の数の秘密情報暗号文を含む暗号データを公開する。各パーティ装置は、第１の検証部と、第３の生成部と、第２の公開部とを有する。前記第１の検証部は、前記第１の署名を用いて前記暗号データの正当性を検証する。前記第３の生成部は、前記正当性が検証された場合に、自装置が有する秘密鍵を用いて、前記第１の数から１を引いた数のパーティ装置から前記第２の数から１を引いた数のパーティ装置を選択する組合せの数である第５の数の復号鍵断片を生成する。そして、前記第３の生成部は、前記第５の数の復号鍵断片にそれぞれ対応する該第５の数の第２の署名を生成する。前記第２の公開部は、前記第５の数の復号鍵断片及び対応する第２の署名を公開する。前記暗号データ生成装置、前記第２の署名を生成したパーティ装置以外のパーティ装置、前記断片結合装置、又は、その他の装置は、前記第５の数の復号鍵断片及び対応する前記第２の署名を用いて前記第５の数の復号鍵断片の正当性を検証する第２の検証部を有する。前記断片結合装置は、第４の生成部と、第３の公開部とを有する。前記第４の生成部は、前記第１の数のパーティ装置がそれぞれ公開した前記第５の数の復号鍵断片のうち、前記第３の数の秘密情報暗号文のいずれかに対応する前記第２の数の復号鍵断片を結合して復号鍵を生成する。そして、前記第４の生成部は、生成した復号鍵に対応する秘密情報暗号文を該生成した復号鍵で復号して前記中間文を生成する。第３の公開部は、前記第４の生成部により生成された前記中間文を公開する。各パーティ装置は、自装置が前記復号権限を有する場合に、前記第３の公開部により公開された前記中間文を自装置が有する秘密鍵を用いて復号し、前記秘密情報を復元する復号部をさらに有する。

【発明の効果】

【0009】

１つの側面では、本発明は、鍵を分散して管理する場合に、共通鍵を生成する信頼性の高い機関を不要とすることができる。

【図面の簡単な説明】

【0010】

【図1】図１は、実施例１に係る暗号処理システムによる暗号化及び復号化を説明するための図である。

【図2】図２は、実施例１に係る暗号処理システムの構成を示す図である。

【図3】図３は、暗号データ生成装置による処理のフローを示すフローチャートである。

【図4】図４は、パーティ装置による処理のフローを示すフローチャートである。

【図5】図５は、断片結合装置による処理のフローを示すフローチャートである。

【図6】図６は、実施例２に係るパーティ装置による処理のフローを示すフローチャートである。

【図7】図７は、実施例２に係る断片結合装置による処理のフローを示すフローチャートである。

【図8】図８は、実施例１及び２に係る暗号データ生成プログラムを実行するコンピュータのハードウェア構成を示す図である。

【図9】図９は、カプセル化を説明するための図である。

【発明を実施するための形態】

【0011】

以下に、本願の開示する暗号処理システム及び暗号処理方法の実施例を図面に基づいて詳細に説明する。なお、実施例は開示の技術を限定するものではない。

【実施例1】

【0012】

まず、実施例１に係る暗号処理システムによる暗号化及び復号化について説明する。図１は、実施例１に係る暗号処理システムによる暗号化及び復号化を説明するための図である。図１において、暗号データ生成装置は、秘密情報を暗号化する。ｎ（ｎは正整数）台のパーティ装置は、それぞれ公開鍵と秘密鍵の鍵ペアを有する。ｎ台のパーティ装置のうちｕ（１≦ｕ≦ｎ）台のパーティ装置が秘密情報を復元する権限を有する。

【0013】

例えば、暗号データ生成装置は、遺言書を作成する作成者が使用する装置であり、パーティ装置は、作成者以外の遺言書に関係するパーティが使用する装置である。ｎ－１台のパーティ装置が相続人により使用され、１台のパーティ装置が弁護士により使用される。断片結合装置は、パーティ装置に分散された断片情報を収集して結合する。

【0014】

また、暗号データ生成装置、各パーティ装置及び断片結合装置は、ブロックチェーンのように、情報を公開し共有できるネットワーク（以下公開ネットワーク）に接続される。また、各パーティ装置が所有する公開鍵は公開ネットワークを通じて公開される。

【0015】

図１に示すように、暗号データ生成装置は、パーティ装置₁、パーティ装置₂、・・・、パーティ装置_nがそれぞれ有する公開鍵₁、公開鍵₂、・・・、公開鍵_nを公開ネットワークを通じて取得し、取得した公開鍵を乗算して合成鍵を生成する（１）。そして、暗号データ生成装置は、秘密情報を復元する権限を有するｕ台のパーティ装置の各公開鍵で秘密情報を暗号化してｕ個の中間文を生成する（２）。そして、暗号データ生成装置は、ｕ個の中間文を例えば連結して、合成鍵で暗号化して秘密情報暗号文を生成し、秘密情報暗号文を公開ネットワークを通じて公開する（３）。

【0016】

また、パーティ装置_i（ｉ＝１、２、・・・、ｎ）は、秘密鍵_iから復号鍵断片を生成し、公開ネットワークを通じて公開する（４）。そして、断片結合装置は、ｎ個の復号鍵断片を取得し、取得したｎ個の復号鍵断片を乗算して復号鍵を生成し、生成した復号鍵を用いて、秘密鍵があれば復号可能な中間復号文を生成し、公開ネットワークを通じて公開する（５）。そして、秘密情報を復元する権限を有するパーティ装置_iは、秘密鍵_iを用いて中間復号文を復号し、秘密情報を復元する（６）。

【0017】

このように、暗号データ生成装置が、公開鍵を乗算して合成鍵を生成する。そして、暗号データ生成装置は、秘密情報を復号する権限のあるパーティ装置の公開鍵でそれぞれ暗号化した後、合成鍵で暗号化して秘密情報暗号文を生成し、秘密情報暗号文を公開する。そして、各パーティ装置が、秘密鍵を用いて復号鍵断片を生成して公開する。そして、断片結合装置が、復号鍵断片を乗算して復号鍵を生成し、復号鍵を用いて中間復号文を生成して公開する。そして、復号権限を有するパーティ装置が秘密鍵を用いて中間復号文を復号し、秘密情報を復元する。したがって、実施例１に係る暗号処理システムは、共通鍵を生成する信頼性の高い機関を不要とすることができる。

【0018】

次に、実施例１に係る暗号処理システムの構成について説明する。図２は、実施例１に係る暗号処理システムの構成を示す図である。図２に示すように、暗号処理システム１は、暗号データ生成装置２と、ｎ台のパーティ装置３と、断片結合装置４とを有する。暗号データ生成装置２、ｎ台のパーティ装置３及び断片結合装置４は、公開ネットワーク５に接続される。

【0019】

暗号データ生成装置２は、暗号データ生成者が秘密情報の暗号化に用いる装置である。暗号データ生成装置２は、公開ネットワーク通信部２１と、暗号データ生成部２２とを有する。公開ネットワーク通信部２１は、公開ネットワーク５を通じて公開された情報を取得する。また、公開ネットワーク通信部２１は、公開ネットワーク５を通じて情報を公開する。公開ネットワーク通信部２１は、暗号データ送信部２１ａを有する。

【0020】

暗号データ送信部２１ａは、第１の公開部の一例であり、公開ネットワーク５を通じて公開された公開鍵を取得し、取得した公開鍵を暗号データ生成依頼とともに暗号データ生成部２２に渡す。また、暗号データ送信部２１ａは、暗号データ生成部２２から暗号データを受け取り、公開ネットワーク５を通じて公開する。

【0021】

暗号データ生成部２２は、秘密情報の暗号化に用いる合成鍵を公開鍵を用いて生成し、復号権限を有するパーティ装置３の公開鍵と合成鍵とを用いて秘密情報を暗号化して秘密情報暗号文を生成する。そして、暗号データ生成部２２は、秘密情報暗号文を含む暗号データを生成して暗号データ送信部２１ａに渡す。暗号データ生成部２２は、合成鍵生成部２２ａと、暗号化部２２ｂとを有する。

【0022】

合成鍵生成部２２ａは、第１の生成部の一例であり、全てのパーティ装置３の公開鍵を乗算する。また、合成鍵生成部２２ａは、乱数を生成する。そして、合成鍵生成部２２ａは、公開鍵の乗算結果を、生成した乱数でべき乗することで１つの合成鍵を生成する。乱数でべき乗する理由は、公開鍵から生成される合成鍵が常に同じになることを防ぐためである。なお、合成鍵生成部２２ａは、生成した合成鍵をハッシュ関数を用いて固定長の合成鍵に変換してもよい。

【0023】

暗号化部２２ｂは、第２の生成部の一例であり、秘密情報の復号権限を有するｕ台のパーティ装置３が有する公開鍵をそれぞれ用いて秘密情報を暗号化して中間文をｕ個生成する。そして、暗号化部２２ｂは、ｕ個の中間文を連結して合成鍵により暗号化し、秘密情報暗号文を生成する。なお、暗号化部２２ｂは、ｕ個の中間文を連結することなく合成鍵によりそれぞれ暗号化し、ｕ個の秘密情報暗号文を生成してもよい。

【0024】

また、暗号化部２２ｂは、公開鍵を用いて正しく暗号化が行われたか否かを検証するための暗号文署名を生成する。そして、暗号化部２２ｂは、秘密情報暗号文、暗号文署名、乱数情報を含む暗号データを生成し、暗号データ送信部２１ａに渡す。

【0025】

例えば、鍵ペアの生成について、巡回群Ｇとその生成元ｇが固定されており、Ｇとｇを用いて鍵ペアが、秘密鍵ｓｋ∈Ｇと公開鍵ｐｋ＝ｇ^skのように生成されるとする。この枠組みは楕円曲線暗号等で用いられる一般的な枠組みである。また、各パーティ装置_iが所有している鍵ペアを（ｐｋ_i，ｓｋ_i）とし、ｐｐ（public parameter）＝（Ｇ，ｇ）とする。

【0026】

例えば、楕円曲線暗号を用いる場合には、ｐｐ＝ｐ||ａ||ｂ||ｇ_x||ｇ_yである。ここで、ｐ、ａ、ｂは、楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）を定める素数ｐ及び整数ａ、ｂである。また、ｇ_x及びｇ_yは、楕円曲線の点のなす巡回群の生成元ｇのｘ座標及びｙ座標である。また、||は連結（concatenation）を表す。

【0027】

また、異なる３つの暗号学的ハッシュ関数Ｈ₁、Ｈ₂、Ｈ₃も公開ネットワークを通じて共有されるとする。これらのハッシュ関数は、例えばハッシュ関数の１つであるＳＨＡ２５６等を用いて、Ｈ_j(ｍ)＝ＳＨＡ２５６（ｊ||ｍ）等であってよい。

【0028】

また、共通鍵暗号プロトコルも公開ネットワークを通じて１つ共有されているとし、鍵ＫによるメッセージＭの暗号化及び暗号文Ｃの復号を、それぞれＥ(Ｋ，Ｍ)、Ｄ(Ｋ，Ｃ)と表す。共通鍵暗号プロトコルは、例えば共通鍵暗号の１つであるＡＥＳ（Advanced Encryption Standard）と、その暗号利用モードであるＣＢＣ（Cipher Block Chaining）モードである。

【0029】

このとき、暗号化部２２ｂは、以下のｃ₁～ｃ₃、ｃ、σを生成し、ｃ₁～ｃ₃、ｃ、σを含む暗号データを生成し、暗号データ送信部２１ａに渡す。

【数1】

【0030】

ここで、ｔ∈Ｇは、合成鍵生成部２２ａにより合成鍵を生成するために生成された乱数である。ｔではなくｃ₁を公開する理由は、ｔを特定できないようにするためである。ρ∈Ｇは、暗号化部２２ｂにより暗号文署名を生成するために生成された乱数である。また、ｕ＝２、すなわち復号権限を有するパーティ装置３の数を２とし、秘密情報がｐｋ₁、ｐｋ₂でそれぞれ暗号化された２つの中間文が連結されたものがｍである。ｃ₃は、秘密情報暗号文であり、ｃ₁及びｃ₂は乱数情報であり、ｃ₄及びｃ₅は、暗号文署名に関する情報である。

【0031】

なお、暗号化部２２ｂは、例えば、ファイルから秘密情報を読み込んで暗号化する。また、読み込むファイル、復号権限を有するパーティ装置３は、例えば、暗号データ生成者によりキーボード、マウス等を使って入力される。

【0032】

パーティ装置３は、秘密情報に関係するパーティが使用する装置である。パーティ装置３は、公開ネットワーク通信部３１と、暗号データ検証部３２と、復号鍵断片生成部３３と、秘密鍵記憶部３４と、復号部３５とを有する。

【0033】

公開ネットワーク通信部３１は、公開ネットワーク５を通じて公開された情報を取得する。また、公開ネットワーク通信部３１は、公開ネットワーク５を通じて情報を公開する。公開ネットワーク通信部３１は、暗号データ取得部３１ａと、復号鍵断片送信部３１ｂと、中間復号取得部３１ｃとを有する。

【0034】

暗号データ取得部３１ａは、公開ネットワーク５を通じて公開された暗号データを取得し、暗号データ検証部３２に渡して暗号データの検証を依頼する。

【0035】

復号鍵断片送信部３１ｂは、第２の公開部の一例であり、暗号データ検証部３２から暗号データの検証結果を受け取り、暗号データの正当性が検証された場合に、復号鍵断片の生成を復号鍵断片生成部３３に要求する。そして、復号鍵断片送信部３１ｂは、復号鍵断片生成部３３が生成した断片データを受け取り、公開ネットワーク５を通じて公開する。

【0036】

中間復号取得部３１ｃは、公開ネットワーク５を通じて公開された中間復号文を取得し、取得した中間復号文を復号要求とともに復号部３５に渡す。

【0037】

暗号データ検証部３２は、第１の検証部の一例であり、暗号データに含まれる暗号文署名に関する情報及び乱数情報を用いて暗号データの検証を行う。例えば、暗号データ検証部３２は、式（４）のｃについて、以下の式（６）が成立するか否かによって、暗号データの検証を行う。

【数2】

【0038】

式（６）において、

【数3】

であるので、式（６）は、公開されたｃ₁～ｃ₃、ｃ、σからｃを計算し、計算したｃが公開されたｃと等しいか否かを判定することを表す。

【0039】

復号鍵断片生成部３３は、第３の生成部の一例であり、自装置の秘密鍵と、暗号データに含まれる乱数情報を用いて復号鍵断片を生成する。また、復号鍵断片生成部３３は、生成した復号鍵断片が、パーティ装置３により正しく生成されたものであるか否かを検証するための断片署名を乱数を用いて生成する。そして、復号鍵断片生成部３３は、復号鍵断片と断片署名に関する情報を含む断片データを生成して復号鍵断片送信部３１ｂに渡す。

【0040】

例えば、復号鍵断片生成部３３は、断片署名に使用する乱数ｒ∈Ｇを生成した後、以下のＫ_i、ｄ_i、ｓ_iを生成して、断片データとして復号鍵断片送信部３１ｂに渡す。Ｋ_iはパーティ装置iによって生成された復号鍵断片であり、ｄ_i及びｓ_iは断片署名に関する情報である。

【数4】

【0041】

秘密鍵記憶部３４は、秘密鍵を記憶する。秘密鍵記憶部３４は、例えばディスク装置上のファイルであり、復号鍵断片生成部３３は、ファイルから秘密鍵を読み出して復号鍵断片を生成する。

【0042】

復号部３５は、中間復号取得部３１ｃから受け取った中間復号文を自装置の秘密鍵を用いて復号し、元の秘密情報を復元する。ただし、復号権限を有するパーティ装置３の復号部３５だけが中間復号文を復号する。

【0043】

断片結合装置４は、復号鍵断片を収集して復号鍵を生成し、秘密情報暗号文を復号鍵を用いて復号して中間復号文を生成する。そして、断片結合装置４は、中間復号文を公開する。断片結合装置４は、公開ネットワーク通信部４１と、復号鍵断片検証部４２と、中間復号文生成部４３とを有する。

【0044】

公開ネットワーク通信部４１は、公開ネットワーク５を通じて公開された情報を取得する。また、公開ネットワーク通信部４１は、公開ネットワーク５を通じて情報を公開する。公開ネットワーク通信部４１は、復号鍵断片取得部４１ａと、検証結果送信部４１ｂと、中間復号文送信部４１ｃとを有する。

【0045】

復号鍵断片取得部４１ａは、公開ネットワーク５を通じて公開された断片データを取得し、復号鍵断片検証部４２に渡して復号鍵断片の検証を依頼する。

【0046】

検証結果送信部４１ｂは、復号鍵断片検証部４２から復号鍵断片の検証結果を受け取り、検証の結果が正しくない復号鍵断片について情報を公開ネットワーク５を通じて公開する。

【0047】

中間復号文送信部４１ｃは、第３の公開部の一例であり、中間復号文生成部４３により生成された中間復号文を受け取って、公開ネットワーク５を通じて公開する。

【0048】

復号鍵断片検証部４２は、第２の検証部の一例であり、パーティ装置３の復号鍵断片が当該パーティ装置３の秘密鍵によって生成されたものであるか否かを断片データに含まれる断片署名を用いて全ての復号鍵断片について検証する。例えば、復号鍵断片検証部４２は、式（１０）のｄ_iについて、以下の式（１２）が成立するか否かによって、復号鍵断片の検証を行う。

【数5】

【0049】

式（１２）において、

【数6】

であるので、式（１２）は、公開されたｃ₁～ｃ₃、ｃ、σ、Ｋ_i、ｄ_i、ｓ_iからｄ_iを計算し、計算したｄ_iが公開されたｄ_iと等しいか否かを判定することを表す。

【0050】

そして、復号鍵断片検証部４２は、検証結果を検証結果送信部４１ｂに渡す。また、全ての復号鍵断片が正しいことが検証すると、復号鍵断片検証部４２は、中間復号文の生成を中間復号文生成部４３に依頼する。なお、復号鍵断片検証部４２は、暗号データ生成装置２及び断片署名を生成したパーティ装置３以外のパーティ装置３を含めて断片結合装置４以外の装置が備えてもよい。

【0051】

中間復号文生成部４３は、第４の生成部の一例であり、全ての復号鍵断片を乗算することにより復号鍵を生成し、生成した復号鍵を用いて秘密情報暗号文を復号して中間復号文を生成する。そして、中間復号文生成部４３は、生成した中間復号文を中間復号文送信部４１ｃに渡す。例えば、中間復号文生成部４３は、Ｋ_iとｃ₃を用いて式（１５）の計算を行うことで中間復号文を生成する。

【数7】

【0052】

次に、暗号データ生成装置２による処理のフローについて説明する。図３は、暗号データ生成装置２による処理のフローを示すフローチャートである。図３に示すように、暗号データ生成装置２は、パーティ装置３が公開した公開鍵を全て取得する（ステップＳ１）。そして、暗号データ生成装置２は、暗号化用乱数及び署名用乱数を生成する（ステップＳ２）。ここで、暗号化用乱数は、合成鍵の生成に用いられる乱数であり、署名用乱数は、公開鍵を用いて秘密情報が正しく暗号化されたことを検証するための暗号文署名に用いられる乱数である。

【0053】

そして、暗号データ生成装置２は、公開鍵と暗号化用乱数を用いて合成鍵を生成し、復号権限のあるパーティ装置３の公開鍵と合成鍵を用いて秘密情報暗号文を生成する（ステップＳ３）。そして、暗号データ生成装置２は、署名用乱数を用いて暗号文署名を生成し、秘密情報暗号文、暗号文署名、乱数情報を含む暗号データを生成する（ステップＳ４）。そして、暗号データ生成装置２は、暗号データを公開ネットワーク５を通じて公開する（ステップＳ５）。

【0054】

このように、暗号データ生成装置２が公開ネットワーク５を通じて暗号データを公開するので、断片結合装置４は、暗号データを用いて中間復号文を生成することができる。

【0055】

次に、パーティ装置３による処理のフローについて説明する。図４は、パーティ装置３による処理のフローを示すフローチャートである。図４に示すように、パーティ装置３は、暗号データの公開まで待機し（ステップＳ１１）、暗号データが公開されると、暗号データを取得する（ステップＳ１２）。

【0056】

そして、パーティ装置３は、暗号データ検証部３２により、暗号データを検証し（ステップＳ１３）、取得した暗号データは正しい暗号データか否かを判定する（ステップＳ１４）。そして、取得した暗号データが正しい暗号データである場合には、パーティ装置３は、復号鍵断片生成部３３により、断片データを生成し（ステップＳ１５）、断片データを公開ネットワーク５を通じて公開する（ステップＳ１６）。

【0057】

そして、パーティ装置３は、中間復号文の公開まで待機し（ステップＳ１７）、中間復号文が公開されると、中間復号文を取得し（ステップＳ１８）、復号権限がある場合には、復号部３５により、中間復号文から秘密情報を復号する（ステップＳ１９）。

【0058】

一方、ステップＳ１４において、取得した暗号データが正しい暗号データでない場合には、パーティ装置３は、検証結果を公開ネットワーク５を通じて公開する（ステップＳ２０）。

【0059】

このように、パーティ装置３が断片データを公開ネットワーク５を通じて公開するので、断片結合装置４は、断片データを用いて中間復号文を生成することができる。

【0060】

次に、断片結合装置４による処理のフローについて説明する。図５は、断片結合装置４による処理のフローを示すフローチャートである。図５に示すように、断片結合装置４は、断片データの公開まで待機し（ステップＳ３１）、断片データが公開されると、断片データを取得する（ステップＳ３２）。

【0061】

そして、断片結合装置４は、復号鍵断片検証部４２により、復号鍵断片を検証し（ステップＳ３３）、取得した断片データは正しい断片データか否かを判定する（ステップＳ３４）。そして、取得した断片データが正しい断片データである場合には、断片結合装置４は、ｎ個の断片データが揃ったか否かを判定し（ステップＳ３５）、揃っていない場合には、ステップＳ３１に戻る。

【0062】

一方、ｎ個の断片データが揃った場合には、断片結合装置４は、中間復号文生成部４３により、ｎ個の復号鍵断片を用いて復号鍵を生成し、復号鍵と秘密情報暗号文を用いて中間復号文を生成する（ステップＳ３６）。そして、断片結合装置４は、中間復号文を公開ネットワーク５を通じて公開する（ステップＳ３７）。

【0063】

一方、ステップＳ３４において、取得した断片データが正しい断片データでない場合には、断片結合装置４は、検証結果を公開ネットワーク５を通じて公開する（ステップＳ３８）。

【0064】

このように、断片結合装置４が中間復号文を公開ネットワーク５を通じて公開するので、復号権限を有するパーティ装置３は、中間復号文を復号して秘密情報を復元することができる。

【0065】

上述してきたように、実施例１では、暗号データ生成装置２は、ｎ台のパーティ装置３の公開鍵を用いて合成鍵を生成し、復号権限を有するｕ台のパーティ装置３の公開鍵と合成鍵を用いて秘密情報暗号文を生成する。そして、暗号データ生成装置２は、暗号文署名を生成し、秘密情報暗号文及び暗号文署名を含む暗号データを公開する。各パーティ装置３は、暗号文署名を用いて暗号データの正当性を検証し、暗号データの正当性を検証すると、秘密鍵を用いて復号鍵断片を生成し、復号鍵断片に関する断片署名を生成する。そして、パーティ装置３は、復号鍵断片と断片署名とを含む断片データを公開する。断片結合装置４は、断片署名を用いて復号鍵断片の正当性を検証し、復号鍵断片の正当性を検証すると、復号鍵断片を結合して復号鍵を生成し、生成した復号鍵を用いて中間復号文を生成する。そして、断片結合装置４は、中間復号文を公開する。復号権限を有するパーティ装置３は、自装置の秘密鍵を用いて中間復号文を復号して秘密情報を復元する。

【0066】

したがって、暗号処理システム１は、共通鍵を生成する信頼性の高い機関を不要とすることができる。また、復号権限を有するパーティ装置３だけが秘密情報を復元することができるので、暗号処理システム１は、秘密情報に対するアクセス制御を行うことができる。また、暗号処理システム１は、公開鍵と秘密鍵の鍵ペアを用いるので、パーティ装置３は秘密鍵だけを管理すればよく、パーティ装置３が管理する秘密データの量を減らすことができる。

【0067】

また、実施例１では、暗号データ生成装置２は、ｎ台のパーティ装置３の公開鍵を乗算し、乗算結果を第１の乱数でべき乗して合成鍵を生成する。また、暗号データ生成装置２は、第２の乱数を用いて暗号文署名を生成し、暗号データに２つの乱数に関する情報を含めて公開する。したがって、暗号データ生成装置２は、合成鍵及び暗号文署名をランダムなものとすることができる。

【0068】

また、実施例１では、パーティ装置３は、第３の乱数を用いて断片署名を生成し、断片署名に第３の乱数の情報を含めて公開するので、断片署名をランダムなものとすることができる。

【0069】

また、実施例１では、断片結合装置４は、復号鍵断片を乗算することで復号鍵を生成するので、復号鍵を簡単に生成することができる。

【実施例2】

【0070】

ところで、上記実施例１では、ｎ台のパーティ装置３の全ての復号鍵断片を用いて復号鍵を生成する場合について説明したが、暗号処理システム１は、ｋ（１≦ｋ<ｎ）台のパーティ装置３の復号鍵断片を用いて復号鍵を生成してもよい。すなわち、暗号処理システム１は、（ｋ，ｎ）閾値法に基づいて復号鍵を生成してもよい。そこで、実施例２では、ｋ台のパーティ装置３の復号鍵断片を用いて復号鍵を生成する暗号処理システム１について説明する。なお、ここでは説明の便宜上、ｎ＝３、ｋ＝２、ｕ＝２の場合について説明する。また、実施例１と同じ機能部については説明を省略する。

【0071】

暗号データ生成装置２の合成鍵生成部２２ａは、ｔの代わりに乱数ｔ₁₂、ｔ₂₃、ｔ₁₃∈Ｇを生成する。また、暗号化部２２ｂは、ρの代わりにρ₁₂、ρ₂₃、ρ₁₃∈Ｇを生成する。ここで、添え字のｐ、ｑは、それぞれ復号鍵断片を収集すべきパーティ装置３の番号を示す。例えば、ｔ₁₂は、パーティ装置₁とパーティ装置₂から復号鍵断片を収集する場合に合成鍵の生成に用いられる乱数である。

【0072】

暗号データ生成装置２の暗号化部２２ｂは、以下のｃ₁～ｃ₃、ｃ、σを生成する。

【数8】

【0073】

そして、暗号化部２２ｂは、上記の添え字の１２を２３と１３に変更してｃ₁～ｃ₃、ｃ、σを含む暗号データを３セット生成する。なお、添え字が２３の場合には、ｃ₃及びｃの計算に用いられる公開鍵はｐｋ₂及びｐｋ₃であり、添え字が１，３の場合には、ｃ₃及びｃの計算に用いられる公開鍵はｐｋ₁及びｐｋ₃である。また、暗号データには添え字が付加される。また、一般的に、ｎ台のパーティ装置３のうち、ｋ台のパーティ装置３の復号鍵断片を用いて復号鍵を生成する場合には、_nＣ_kの数の暗号データが暗号化部２２ｂにより生成される。

【0074】

パーティ装置３の暗号データ検証部３２は、自装置の番号が添え字に含まれる暗号データを検証する。なお、暗号データ検証部３２は、添え字に関係なく暗号データを検証してもよい。例えば、ｐｋ₁及びｐｋ₂が用いられた暗号データをパーティ装置₃が検証してもよい。

【0075】

パーティ装置３の復号鍵断片生成部３３は、断片署名に使用する乱数ｒ_pq∈Ｇを生成した後、以下のＫ_i、ｄ_i、ｓ_iを含む断片データを生成する。

【数9】

【0076】

ただし、復号鍵断片生成部３３は、自装置の番号が添え字に含まれる暗号データに対してのみ断片データを生成する。すなわち、各パーティ装置３は、それぞれ２つの断片データを生成する。例えば、パーティ装置₁の復号鍵断片生成部３３は、添え字１２と１３の暗号データに対してそれぞれ断片データを生成する。一般的に、自装置の番号以外の番号の数はｎ－１であり添え字における自装置の番号以外の桁数はｋ－１であるので、自装置の番号が添え字に含まれる暗号データの数は、_n-1Ｃ_k-1である。

【0077】

断片結合装置４の中間復号文生成部４３は、３つのパーティ装置３が公開した復号鍵断片のうち２つのみを用いることによって、中間復号文を生成する。例えば、パーティ装置₂及びパーティ装置₃が生成した復号鍵断片から中間復号文を生成する場合には、中間復号文生成部４３は、パーティ装置₂及びパーティ装置₃が生成した２つの断片データのうち、添え字が２３の断片データを用いて中間復号文を生成する。

【0078】

次に、実施例２に係るパーティ装置３による処理のフローについて説明する。図６は、実施例２に係るパーティ装置３による処理のフローを示すフローチャートである。図６に示すように、実施例２に係るパーティ装置３は、暗号データの公開まで待機し（ステップＳ４１）、暗号データが公開されると、暗号データを取得する（ステップＳ４２）。

【0079】

そして、実施例２に係るパーティ装置３は、暗号データ検証部３２により、暗号データを検証し（ステップＳ４３）、取得した暗号データは正しい暗号データか否かを判定する（ステップＳ４４）。そして、取得した暗号データが正しい暗号データである場合には、実施例２に係るパーティ装置３は、暗号データの添え字に自身の番号が含まれているか否かを判定する（ステップＳ４５）。

【0080】

そして、暗号データの添え字に自身の番号が含まれていない場合には、実施例２に係るパーティ装置３は、処理を終了する。一方、暗号データの添え字に自身の番号が含まれている場合には、実施例２に係るパーティ装置３は、復号鍵断片生成部３３により、断片データを生成し（ステップＳ４６）、断片データを公開ネットワーク５を通じて公開する（ステップＳ４７）。

【0081】

そして、実施例２に係るパーティ装置３は、中間復号文の公開まで待機し（ステップＳ４８）、中間復号文が公開されると、中間復号文を取得する（ステップＳ４９）。そして、実施例２に係るパーティ装置３は、復号権限がある場合には、復号部３５により、中間復号文から秘密情報を復号する（ステップＳ５０）。

【0082】

一方、ステップＳ４４において、取得した暗号データが正しい暗号データでない場合には、実施例２に係るパーティ装置３は、検証結果を公開ネットワーク５を通じて公開する（ステップＳ５１）。

【0083】

このように、実施例２に係るパーティ装置３が暗号データの添え字に自身の番号が含まれている場合に断片データを生成するので、断片結合装置４は、断片データを用いて中間復号文を生成することができる。

【0084】

次に、実施例２に係る断片結合装置４による処理のフローについて説明する。図７は、実施例２に係る断片結合装置４による処理のフローを示すフローチャートである。図７に示すように、実施例２に係る断片結合装置４は、断片データの公開まで待機し（ステップＳ６１）、断片データが公開されると、断片データを取得する（ステップＳ６２）。

【0085】

そして、実施例２に係る断片結合装置４は、復号鍵断片検証部４２により、復号鍵断片を検証し（ステップＳ６３）、取得した断片データは正しい断片データか否かを判定する（ステップＳ６４）。そして、取得した断片データが正しい断片データである場合には、断片結合装置４は、添え字に対応したパーティ装置３の断片データが揃ったか否かを判定し（ステップＳ６５）、揃っていない場合には、ステップＳ６１に戻る。

【0086】

一方、添え字に対応したパーティ装置３の断片データが揃った場合には、実施例２に係る断片結合装置４は、中間復号文生成部４３により、揃った復号鍵断片を用いて復号鍵を生成し、復号鍵と秘密情報暗号文を用いて中間復号文を生成する（ステップＳ６６）。そして、実施例２に係る断片結合装置４は、中間復号文を公開ネットワーク５を通じて公開する（ステップＳ６７）。

【0087】

一方、ステップＳ６４において、取得した断片データが正しい断片データでない場合には、実施例２に係る断片結合装置４は、検証結果を公開ネットワーク５を通じて公開する（ステップＳ６８）。

【0088】

このように、実施例２に係る断片結合装置４が添え字に対応したパーティ装置３の断片データが揃うと中間復号文を生成するので、復号権限を有するパーティ装置３は、中間復号文を復号して秘密情報を復元することができる。

【0089】

上述してきたように、実施例２では、合成鍵生成部２２ａはｋ台のパーティ装置３の公開鍵を用いて_nＣ_kの数の合成鍵を生成し、暗号化部２２ｂは_nＣ_kの数の合成鍵を用いて_nＣ_kの数の暗号データをｋ台のパーティ装置３を表す添え字を付加して生成する。そして、復号鍵断片生成部３３は、自装置の秘密鍵を用いて_N-1Ｃ_k-1の数の断片データを添え字を付加して生成する。そして、中間復号文生成部４３は、１つの添え字に対応するｋ個の断片データから復号鍵を生成し、生成した復号鍵を用いて中間復号文を生成する。したがって、暗号処理システム１は、ｋ個の復号鍵断片を用いて秘密情報を復元することができる。

【0090】

なお、実施例１及び２では、暗号データ生成装置２、パーティ装置３及び断片結合装置４について説明したが、暗号データ生成装置２、パーティ装置３及び断片結合装置４が有する構成をソフトウェアによって実現することで、同様の機能を有する暗号データ生成プログラム、パーティプログラム及び断片結合プログラムをそれぞれ得ることができる。そこで、暗号データ生成プログラムを実行するコンピュータについて説明する。パーティプログラム及び断片結合プログラムは、同様のコンピュータにより実行される。

【0091】

図８は、実施例１及び２に係る暗号データ生成プログラムを実行するコンピュータのハードウェア構成を示す図である。図８に示すように、コンピュータ５０は、メインメモリ５１と、ＣＰＵ（Central Processing Unit）５２と、ＬＡＮ（Local Area Network）インタフェース５３と、ＨＤＤ（Hard Disk Drive）５４とを有する。また、コンピュータ５０は、スーパーＩＯ（Input Output）５５と、ＤＶＩ（Digital Visual Interface）５６と、ＯＤＤ（Optical Disk Drive）５７とを有する。

【0092】

メインメモリ５１は、プログラムやプログラムの実行途中結果などを記憶するメモリである。ＣＰＵ５２は、メインメモリ５１からプログラムを読み出して実行する中央処理装置である。ＣＰＵ５２は、メモリコントローラを有するチップセットを含む。

【0093】

ＬＡＮインタフェース５３は、コンピュータ５０をＬＡＮ経由で他のコンピュータに接続するためのインタフェースである。ＨＤＤ５４は、プログラムやデータを格納するディスク装置であり、スーパーＩＯ５５は、マウスやキーボードなどの入力装置を接続するためのインタフェースである。ＤＶＩ５６は、液晶表示装置を接続するインタフェースであり、ＯＤＤ５７は、ＤＶＤの読み書きを行う装置である。

【0094】

ＬＡＮインタフェース５３は、ＰＣＩエクスプレス（ＰＣＩｅ）によりＣＰＵ５２に接続され、ＨＤＤ５４及びＯＤＤ５７は、ＳＡＴＡ（Serial Advanced Technology Attachment）によりＣＰＵ５２に接続される。スーパーＩＯ５５は、ＬＰＣ（Low Pin Count）によりＣＰＵ５２に接続される。

【0095】

そして、コンピュータ５０において実行される暗号データ生成プログラムは、コンピュータ５０により読み出し可能な記録媒体の一例であるＤＶＤに記憶され、ＯＤＤ５７によってＤＶＤから読み出されてコンピュータ５０にインストールされる。あるいは、暗号データ生成プログラムは、ＬＡＮインタフェース５３を介して接続された他のコンピュータシステムのデータベースなどに記憶され、これらのデータベースから読み出されてコンピュータ５０にインストールされる。そして、インストールされた暗号データ生成プログラムは、ＨＤＤ５４に記憶され、メインメモリ５１に読み出されてＣＰＵ５２によって実行される。

【符号の説明】

【0096】

１ 暗号処理システム
２ 暗号データ生成装置
３ パーティ装置
４ 断片結合装置
５ 公開ネットワーク
２１ 公開ネットワーク通信部
２１ａ 暗号データ送信部
２２ 暗号データ生成部
２２ａ 合成鍵生成部
２２ｂ 暗号化部
３１ 公開ネットワーク通信部
３１ａ 暗号データ取得部
３１ｂ 復号鍵断片送信部
３１ｃ 中間復号取得部
３２ 暗号データ検証部
３３ 復号鍵断片生成部
３４ 秘密鍵記憶部
３５ 復号部
４１ 公開ネットワーク通信部
４１ａ 復号鍵断片取得部
４１ｂ 検証結果送信部
４１ｃ 中間復号文送信部
４２ 復号鍵断片検証部
４３ 中間復号文生成部
５０ コンピュータ
５１ メインメモリ
５２ ＣＰＵ
５３ ＬＡＮインタフェース
５４ ＨＤＤ
５５ スーパーＩＯ
５６ ＤＶＩ
５７ ＯＤＤ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】