(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-10-11
(45)【発行日】2023-10-19
(54)【発明の名称】暗号化装置、復号装置、暗号化方法及び暗号化プログラム
(51)【国際特許分類】
H04L 9/08 20060101AFI20231012BHJP
【ＦＩ】
H04L9/08 D
H04L9/08 F
【請求項の数】
10
(21)【出願番号】P 2020165303
(22)【出願日】2020-09-30
(65)【公開番号】P2022057188
(43)【公開日】2022-04-11
【審査請求日】2022-07-06
(73)【特許権者】
【識別番号】000208891
【氏名又は名称】ＫＤＤＩ株式会社
(74)【代理人】
【識別番号】100106002
【弁理士】
【氏名又は名称】正林 真之
(74)【代理人】
【識別番号】100120891
【弁理士】
【氏名又は名称】林 一好
(72)【発明者】
【氏名】石坂 理人
(72)【発明者】
【氏名】清本 晋作
【審査官】金沢 史明
(56)【参考文献】
【文献】特開２００９－１７０９６７（ＪＰ，Ａ）
【文献】特開２０２１－１２５８１０（ＪＰ，Ａ）
【文献】ISHIZAKA, Masahito and KIYOMOTO, Shinsaku，Time-Specific Encryption with Constant-Size Secret-Keys Secure under Standard Assumption，Cryptology ePrint Archive，2020年，Paper 2020/595，pp. 1-30，[2023年6月26日検索], インターネット＜URL: https://eprint.iacr.org/2020/595＞
【文献】笠松 宏平, 他，ＤＢＤＨ仮定に基づく暗号文ポリシー閾値多次元範囲暗号，2013年 暗号と情報セキュリティシンポジウム(SCIS 2013)，2013年01月，pp. 1-8
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／００－ ９／４０
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化部と、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合した結果である単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成部と、
前記次元毎に、設定された値の範囲を入力として、当該範囲に含まれる値それぞれに割り当てられた前記ビット列のみを漏れなくカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成部と、
前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成部と、
前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化部と、を備える暗号化装置。
【請求項2】
前記多次元ＩＤ及び前記多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える変換部を備える請求項１に記載の暗号化装置。
【請求項3】
前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる請求項１又は請求項２に記載の暗号化装置。
【請求項4】
前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当てる請求項３に記載の暗号化装置。
【請求項5】
前記次元毎の値に対して前記数値は、所定の数だけ巡回シフトさせて対応付けられる請求項３又は請求項４に記載の暗号化装置。
【請求項6】
前記ＩＤ集合生成部は、前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲に含まれる最も大きなブロックの始点において、前記範囲を分割し、分割された部分範囲毎に前記ワイルドカードＩＤ集合を生成する請求項３から請求項５のいずれかに記載の暗号化装置。
【請求項7】
前記ＩＤ集合生成部は、前記部分範囲毎に生成された集合の全体をカバーする前記ワイルドカードＩＤ集合を生成する請求項６に記載の暗号化装置。
【請求項8】
請求項１から請求項７のいずれかに記載の暗号化装置により生成された暗号文、及び前記秘密鍵を入力とし、
前記二値化部と、
前記ＩＤ集合生成部と、
前記多次元ＩＤ集合生成部と、
前記秘密鍵に対応する前記単一の多次元ＩＤが、前記多次元ＩＤ集合生成部により生成された集合に含まれるいずれかの多次元ワイルドカードＩＤに合致する場合に、前記暗号化部により生成された複数の暗号文に含まれる当該単一の多次元ワイルドカードＩＤに対応する暗号文を、前記ワイルドカードＩＤベース暗号方式により復号する復号部と、を備える復号装置。
【請求項9】
Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化ステップと、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合した結果である単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成ステップと、
前記次元毎に、設定された値の範囲を入力として、当該範囲に含まれる値それぞれに割り当てられた前記ビット列のみを漏れなくカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成ステップと、
前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成ステップと、
前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化ステップと、をコンピュータが実行する暗号化方法。
【請求項10】
請求項１から請求項７のいずれかに記載の暗号化装置としてコンピュータを機能させるための暗号化プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、多次元範囲暗号（Ｍｕｌｔｉ－Ｄｉｍｅｎｓｉｏｎａｌ Ｒａｎｇｅ Ｅｎｃｒｙｐｔｉｏｎ， ＭＤＲＥ）を構成する装置、方法及びプログラムに関する。
【背景技術】
【0002】
従来、指定された範囲に含まれる周期（あるいは数値）に対応する秘密鍵によってのみ復号が可能な時間指定暗号（Ｔｉｍｅ－Ｓｐｅｃｉｆｉｃ Ｅｎｃｒｙｐｔｉｏｎ， ＴＳＥ）の構成法が提案されている。
例えば、特許文献１及び非特許文献１では、任意のワイルドカードＩＤベース暗号（Ｗｉｌｄｃａｒｄｅｄ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＷＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。
また、非特許文献２では、任意のＩＤベース暗号（Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。
例えば、特許文献１及び非特許文献１では、任意のワイルドカードＩＤベース暗号（Ｗｉｌｄｃａｒｄｅｄ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＷＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。
また、非特許文献２では、任意のＩＤベース暗号（Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。
【0003】
さらに、１次元のＴＳＥを多次元化したＭＤＲＥについて、非特許文献３では、既存の具体的な階層的ＩＤベース暗号（Ｈｉｅｒａｒｃｈｉｃａｌ ＩＢＥ， ＨＩＢＥ）方式の構成法を参考にした具体的なＭＤＲＥ方式の構成法が提案されている。
【先行技術文献】
【特許文献】
【0004】
【文献】特願２０２０－１８５３０号明細書
【非特許文献】
【0005】
【文献】M. Ishizaka and S. Kiyomoto. Time-specific encryption with constant size secret-keys secure under standard assumption. Cryptology ePrint Archive: Report 2020/595, 2020.
【文献】K. G. Paterson and E. A. Quaglia. Time-specific encryption. In SCN 2010, volume 6280 of LNCS, pages 1-16. Springer, 2010.
【文献】K. Kasamatsu, T. Matsuda, G. Hanaoka and H. Imai. Ciphertext policy multi-dimensional range encryption. In ICISC 2012, volume 7839 of LNCS, pages 247-261. Springer, 2012.
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、任意のＷＩＢＥからＭＤＲＥを構成する一般的構成法は提案されていなかった。また、非特許文献１で提案されているＴＳＥの構成法をＭＤＲＥに拡張することは難しく、多次元化はできていなかった。
【0007】
本発明は、任意のＷＩＢＥからＭＤＲＥを構成できる暗号化装置、復号装置、暗号化方法及び暗号化プログラムを提供することを目的とする。
【課題を解決するための手段】
【0008】
本発明に係る暗号化装置は、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化部と、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成部と、前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成部と、前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成部と、前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化部と、を備える。
【0009】
前記暗号化装置は、前記多次元ＩＤ及び前記多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える変換部を備えてもよい。
【0010】
前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当ててもよい。
【0011】
前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当ててもよい。
【0012】
前記次元毎の値に対して前記数値は、所定の数だけ巡回シフトさせて対応付けられてもよい。
【0013】
前記ＩＤ集合生成部は、前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲に含まれる最も大きなブロックの始点において、前記範囲を分割し、分割された部分範囲毎に前記ワイルドカードＩＤ集合を生成してもよい。
【0014】
前記ＩＤ集合生成部は、前記部分範囲毎に生成された集合の全体をカバーする前記ワイルドカードＩＤ集合を生成してもよい。
【0015】
本発明に係る復号装置は、前記暗号化装置により生成された暗号文に用いられた多次元ワイルドカードＩＤのいずれかの条件に、前記秘密鍵により示される前記多次元ＩＤが合致する場合に、当該暗号文を、前記ワイルドカードＩＤベース暗号方式により復号する。
【0016】
本発明に係る暗号化方法は、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化ステップと、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成ステップと、前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成ステップと、前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成ステップと、前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化ステップと、をコンピュータが実行する。
【0017】
本発明に係る暗号化プログラムは、前記暗号化装置としてコンピュータを機能させるためのものである。
【発明の効果】
【0018】
本発明によれば、任意のＷＩＢＥからＭＤＲＥを構成できる。
【図面の簡単な説明】
【0019】
【図1】第１の構成法を実現する暗号化装置の機能構成を示す図である。
【図2】ＷＩＢＥｔｏＭＤＲＥを構成する、セットアップアルゴリズム、鍵生成アルゴリズム、暗号化アルゴリズム、及び復号アルゴリズムの定義を示す図である。
【図3】ＩＢＥｔｏＴＳＥＰＱに関する完全二分木を例示する図である。
【図4】アルゴリズムＣｏｖｅｒｌの定義を示す図である。
【図5】二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅｌ及びワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤｌの定義を示す図である。
【図6】ＷＩＢＥＩＫにより具体化されたＷＩＢＥｔｏＭＤＲＥＰＱと、ＷＩＢＥＢＧＰにより具体化されたＷＩＢＥｔｏＭＤＲＥＰＱとを比較評価した図である。
【図7】第２の構成法を実現する暗号化装置の機能構成を示す図である。
【図8】関数φｆの定義を示す図である。
【図9】一般化されたＭＤＲＥ方式ＷＩＢＥｔｏＭＤＲＥｆの定義を示す図である。
【図10】二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌの定義を示す図である。
【図11】ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ及びＩＫ．Ｄｉｖｉｄｅｌの定義を示す図である。
【図12】ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ、ＩＫ．Ｆｏｒｍｅｒｌ、及びＩＫ．Ｍｅｒｇｅｌの定義を示す図である。
【図13】二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌを実行した際の入力と出力との対応関係を例示する図である。
【図14】クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌの実行例を示す図である。
【図15】分割アルゴリズムＩＫ．Ｄｉｖｉｄｅｌの実行例を示す図である。
【図16】後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒｌ、前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒｌ、及び前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅｌのそれぞれの実行後の状態を例示する図である。
【図17】二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ
ｇｅｎｅｒａｌの定義を示す図である。
【図18】ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ
ｇｅｎｅｒａｌが使用する補助アルゴリズムＣｌａｓｓｉｆｙｌ
ｇｅｎｅｒａｌ及びＤｉｖｉｄｅｌ
ｇｅｎｅｒａｌの定義を示す図である。
【図19】ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ
ｇｅｎｅｒａｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ
ｇｅｎｅｒａｌ、ＩＫ．Ｆｏｒｍｅｒｌ
ｇｅｎｅｒａｌ及びＩＫ．Ｍｅｒｇｅｌ
ｇｅｎｅｒａｌの定義を示す図である。
【図20】特定のパラメータの下での二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌの実行例を示す図である。
【発明を実施するための形態】
【0020】
以下、本発明の実施形態の一例について説明する。
本実施形態は、多次元範囲暗号（ＭＤＲＥ）の構成法に関し、まず、ＭＤＲＥを説明した後、ワイルドカードＩＤベース暗号（ＷＩＢＥ）について説明する。
本実施形態は、多次元範囲暗号（ＭＤＲＥ）の構成法に関し、まず、ＭＤＲＥを説明した後、ワイルドカードＩＤベース暗号（ＷＩＢＥ）について説明する。
【0021】
［多次元範囲暗号（ＭＤＲＥ）］
ＭＤＲＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。
ＭＤＲＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。
【0022】
まず、λ∈Ｎ（自然数）として、１λは、秘密鍵長等を決定するセキュリティパラメータである。また、Ｄ∈Ｎは、総次元数を表す。各次元ｉ∈［１，Ｄ］に対して、自然数Ｔｉ∈Ｎについて、［０，Ｔｉ－１］は、総数値数を表す。
【0023】
セットアップアルゴリズムＳｅｔｕｐは、（１λ，Ｄ，Ｔ１，…，ＴＤ）を入力として受け取り、マスタ公開鍵ｍｐｋとマスタ秘密鍵ｍｓｋを出力する。このアルゴリズムの実行を、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，Ｄ，Ｔ１，…，ＴＤ）と表記する。平文空間Ｍは、マスタ公開鍵ｍｐｋにより一意に定まるものとする。
セットアップアルゴリズムは、信頼できる第三者機関（Ｔｒｕｓｔｅｄ Ａｕｔｈｏｒｉｔｙ， ＴＡ）により実行される。マスタ秘密鍵ｍｓｋは、ＴＡにより秘密裏に保持される。また、マスタ公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して暗黙的に入力される。
セットアップアルゴリズムは、信頼できる第三者機関（Ｔｒｕｓｔｅｄ Ａｕｔｈｏｒｉｔｙ， ＴＡ）により実行される。マスタ秘密鍵ｍｓｋは、ＴＡにより秘密裏に保持される。また、マスタ公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して暗黙的に入力される。
【0024】
鍵生成アルゴリズムＫＧｅｎは、マスタ秘密鍵ｍｓｋとＤ個の数値Ｑ：＝（ｔ１，…，ｔＤ）とを入力として受け取り、秘密鍵ｓｋＱを出力する。ただし、全てのｉ∈［１，Ｄ］について、ｔｉ∈［０，Ｔｉ－１］とする。このアルゴリズムの実行を、ｓｋＱ←ＫＧｅｎ（ｍｓｋ，ｔ１，…，ｔＤ）と表記する。
この鍵生成アルゴリズムＫＧｅｎは、ｍｓｋを用いてＴＡにより実行される。生成された秘密鍵ｓｋＱは、所定の安全な手段により鍵の所有者に譲渡されるものとする。
この鍵生成アルゴリズムＫＧｅｎは、ｍｓｋを用いてＴＡにより実行される。生成された秘密鍵ｓｋＱは、所定の安全な手段により鍵の所有者に譲渡されるものとする。
【0025】
暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、Ｄ個の範囲Ｒ：＝（［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］）を入力として受け取り、暗号文ＣＲを出力する。ただし、全てのｉ∈［１，Ｄ］について、［Ｌｉ∈［０，Ｔｉ－１］∧Ｒｉ∈［０，Ｔｉ－１］］とする。このとき、各ｉ∈［１，Ｄ］について、Ｌｉ≦Ｒｉであれば、［Ｌｉ，Ｒｉ］は、集合｛Ｌｉ，Ｌｉ＋１，…，Ｒｉ－１，Ｒｉ｝と等価であり、Ｌｉ＞Ｒｉであれば、［Ｌｉ，Ｒｉ］は、集合｛Ｌｉ，…，Ｔｉ－１｝∪｛０，…，Ｒｉ｝と等価である。このアルゴリズムの実行を、ＣＲ←Ｅｎｃ（ｍ，［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］）と表記する。
【0026】
復号アルゴリズムＤｅｃは、秘密鍵ｓｋＱと暗号文ＣＲとを入力として受け取り、平文ｍ∈Ｍあるいは復号失敗を表す特殊な記号⊥を出力する。このアルゴリズムの実行を、ｍ／⊥←Ｄｅｃ（ｓｋＱ，ＣＲ）と表記する。
【0027】
ここで、いかなるＭＤＲＥ方式も正当（Ｃｏｒｒｅｃｔ）であることが要求される。
ＭＤＲＥ方式ΣＭＤＲＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるＤ個の範囲Ｒの下で正しく暗号化された場合に、この暗号文は、当該範囲に含まれるＤ個の数値Ｑに対応する鍵として正しく作られた秘密鍵を用いることで、正しく復号できる場合をいい、次のように定義される。
∀λ∈Ｎ，∀Ｄ∈Ｎ，∀Ｔ１∈Ｎ，…，∀ＴＤ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，Ｄ，Ｔ１，…，ＴＤ），∀ｔ１∈［０，Ｔ１－１］，…，∀ｔＤ∈［０，ＴＤ－１］，∀ｓｋＱ←ＫＧｅｎ（ｍｓｋ，ｔ１，…，ｔＤ），ｗｈｅｒｅ Ｑ：＝（ｔ１，…，ｔＤ），∀ｍ∈Ｍ，∀Ｌ１∈［０，Ｔ１－１］，∀Ｒ１∈［０，Ｔ１－１］，…，∀ＬＤ∈［０，ＴＤ－１］，∀ＲＤ∈［０，ＴＤ－１］ ｓ．ｔ． ∧ｉ∈［１，Ｄ］ｔｉ∈［Ｌｉ，Ｒｉ］，∀ＣＲ←Ｅｎｃ（ｍ，［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］），ｗｈｅｒｅ Ｒ：＝（［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］），ｍ←Ｄｅｃ（ｓｋＱ，ＣＲ）．
ＭＤＲＥ方式ΣＭＤＲＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるＤ個の範囲Ｒの下で正しく暗号化された場合に、この暗号文は、当該範囲に含まれるＤ個の数値Ｑに対応する鍵として正しく作られた秘密鍵を用いることで、正しく復号できる場合をいい、次のように定義される。
∀λ∈Ｎ，∀Ｄ∈Ｎ，∀Ｔ１∈Ｎ，…，∀ＴＤ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，Ｄ，Ｔ１，…，ＴＤ），∀ｔ１∈［０，Ｔ１－１］，…，∀ｔＤ∈［０，ＴＤ－１］，∀ｓｋＱ←ＫＧｅｎ（ｍｓｋ，ｔ１，…，ｔＤ），ｗｈｅｒｅ Ｑ：＝（ｔ１，…，ｔＤ），∀ｍ∈Ｍ，∀Ｌ１∈［０，Ｔ１－１］，∀Ｒ１∈［０，Ｔ１－１］，…，∀ＬＤ∈［０，ＴＤ－１］，∀ＲＤ∈［０，ＴＤ－１］ ｓ．ｔ． ∧ｉ∈［１，Ｄ］ｔｉ∈［Ｌｉ，Ｒｉ］，∀ＣＲ←Ｅｎｃ（ｍ，［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］），ｗｈｅｒｅ Ｒ：＝（［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］），ｍ←Ｄｅｃ（ｓｋＱ，ＣＲ）．
【0028】
［ワイルドカードＩＤベース暗号（ＷＩＢＥ）］
ＷＩＢＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。
ここで、λ∈Ｎ（自然数）として、１λは、秘密鍵長等を決定するセキュリティパラメータである。また、ｌ∈Ｎは、ＩＤ長及びワイルドカードＩＤ長を表す。
ＷＩＢＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。
ここで、λ∈Ｎ（自然数）として、１λは、秘密鍵長等を決定するセキュリティパラメータである。また、ｌ∈Ｎは、ＩＤ長及びワイルドカードＩＤ長を表す。
【0029】
セットアップアルゴリズムＳｅｔｕｐは、（１λ，ｌ）を入力として受け取り、マスタ公開鍵ｍｐｋとマスタ秘密鍵ｍｓｋとを出力する。このアルゴリズムの実行を、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，ｌ）と表記する。平文空間Ｍは、マスタ公開鍵ｍｐｋにより一意に定まるものとする。また、マスタ公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して暗黙的に入力される。
【0030】
鍵生成アルゴリズムＫＧｅｎは、ｍｓｋとＩＤ∈｛０，１｝ｌとを入力として受け取り、秘密鍵ｓｋＩＤを出力する。このアルゴリズムの実行を、ｓｋＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ）と表記する。
【0031】
暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、ワイルドカードＩＤ ｗＩＤ∈｛０，１，＊｝ｌとを入力として受け取り、暗号文ＣｗＩＤを出力する。このアルゴリズムの実行を、ＣｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ）と表記する。
【0032】
復号アルゴリズムＤｅｃは、秘密鍵ｓｋＩＤと暗号文ＣｗＩＤとを入力として受け取り、平文ｍ∈Ｍあるいは復号失敗を表す特殊な記号⊥を出力する。このアルゴリズムの実行を、ｍ／⊥←Ｄｅｃ（ｓｋＩＤ，ＣｗＩＤ）と表記する。
【0033】
ＷＩＢＥ方式に関しては、これらの主要アルゴリズムに加えて次の補助アルゴリズムを導入する。
ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈｌは、ＩＤ∈｛０，１｝ｌ及びｗＩＤ∈｛０，１，＊｝ｌを入力として受け取り、ＩＤがｗＩＤの条件に合致するか否かを判定し、ビットｂ∈｛０，１｝を出力する。具体的には、ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈｌは、全てのｉ∈［０，ｌ－１］ ｓ．ｔ． ｗＩＤ［ｉ］∈｛０，１｝について、ＩＤ［ｉ］＝ｗＩＤ［ｉ］が成立する場合、１を出力し、それ以外の場合、０を出力する。
ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈｌは、ＩＤ∈｛０，１｝ｌ及びｗＩＤ∈｛０，１，＊｝ｌを入力として受け取り、ＩＤがｗＩＤの条件に合致するか否かを判定し、ビットｂ∈｛０，１｝を出力する。具体的には、ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈｌは、全てのｉ∈［０，ｌ－１］ ｓ．ｔ． ｗＩＤ［ｉ］∈｛０，１｝について、ＩＤ［ｉ］＝ｗＩＤ［ｉ］が成立する場合、１を出力し、それ以外の場合、０を出力する。
【0034】
ここで、いかなるＷＩＢＥ方式も正当（Ｃｏｒｒｅｃｔ）であることが要求される。
ＷＩＢＥ方式ΣＷＩＢＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるｗＩＤの下で正しく暗号化された場合に、この暗号文は、ｗＩＤの条件を満足するＩＤに対応する鍵として正しく作られた秘密鍵により、正しく復号される場合をいい、次のように定義される。
∀λ∈Ｎ，∀ｌ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，ｌ），∀ＩＤ∈｛０，１｝ｌ，∀ｓｋＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ），∀ｍ∈Ｍ，∀ｗＩＤ∈｛０，１，＊｝ｌ ｓ．ｔ． Ｍａｔｃｈｌ（ＩＤ，ｗＩＤ）＝１，∀ＣｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ），ｍ←Ｄｅｃ（ｓｋＩＤ，ＣｗＩＤ）．
ＷＩＢＥ方式ΣＷＩＢＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるｗＩＤの下で正しく暗号化された場合に、この暗号文は、ｗＩＤの条件を満足するＩＤに対応する鍵として正しく作られた秘密鍵により、正しく復号される場合をいい、次のように定義される。
∀λ∈Ｎ，∀ｌ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１λ，ｌ），∀ＩＤ∈｛０，１｝ｌ，∀ｓｋＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ），∀ｍ∈Ｍ，∀ｗＩＤ∈｛０，１，＊｝ｌ ｓ．ｔ． Ｍａｔｃｈｌ（ＩＤ，ｗＩＤ）＝１，∀ＣｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ），ｍ←Ｄｅｃ（ｓｋＩＤ，ＣｗＩＤ）．
【0035】
［ＷＩＢＥを用いたＭＤＲＥの第１の構成法］
ＷＩＢＥを用いたＭＤＲＥの一般的構成法の一形態（ＷＩＢＥｔｏＭＤＲＥ）では、ＭＤＲＥ方式が、任意の正当なＷＩＢＥ方式ΣＷＩＢＥ＝｛Ｓｅｔｕｐ’，ＫＧｅｎ’，Ｅｎｃ’，Ｄｅｃ’，Ｍａｔｃｈｌ｝と、独自の確定的アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌとを用いて構成される。
以下、ＭＤＲＥの構成法を実現した暗号化装置１の機能構成を示し、続いて、構成されたＭＤＲＥ方式のアルゴリズムを説明する。
ＷＩＢＥを用いたＭＤＲＥの一般的構成法の一形態（ＷＩＢＥｔｏＭＤＲＥ）では、ＭＤＲＥ方式が、任意の正当なＷＩＢＥ方式ΣＷＩＢＥ＝｛Ｓｅｔｕｐ’，ＫＧｅｎ’，Ｅｎｃ’，Ｄｅｃ’，Ｍａｔｃｈｌ｝と、独自の確定的アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌとを用いて構成される。
以下、ＭＤＲＥの構成法を実現した暗号化装置１の機能構成を示し、続いて、構成されたＭＤＲＥ方式のアルゴリズムを説明する。
【0036】
図１は、第１の構成法を実現する暗号化装置１の機能構成を示す図である。
暗号化装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。
暗号化装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。
【0037】
制御部１０は、暗号化装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。
【0038】
記憶部２０は、ハードウェア群を暗号化装置１として機能させるための各種プログラム（暗号化プログラム）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。
【0039】
制御部１０は、二値化部１１と、ＩＤ集合生成部１２と、多次元ＩＤ集合生成部１３と、セットアップ部１４と、鍵生成部１５と、暗号化部１６と、復号部１７とを備える。
【0040】
二値化部１１は、二値化アルゴリズムＢｉｎａｒｉｚｅｌを実行することにより、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる。すなわち、二値化部１１は、ｌ∈Ｎとしたとき、数値ｔ∈［０，２ｌ－１］を入力として受け取り、ビット列ｓｔｒ∈｛０，１｝ｌを出力する。ここで、二値化アルゴリズムは正当でなければならないとする。
二値化アルゴリズムが正当であるとは、全単射である場合をいい、ビット列ｓｔｒは、数値ｔの二進数表現とは必ずしも一致しない。
二値化アルゴリズムが正当であるとは、全単射である場合をいい、ビット列ｓｔｒは、数値ｔの二進数表現とは必ずしも一致しない。
【0041】
ＩＤ集合生成部１２は、ワイルドカードＩＤ集合生成アルゴリズムＧｅｎＷＩＤｌを実行することにより、次元毎に、設定された値の範囲に割り当てられたビット列の全てをカバーするワイルドカードＩＤ集合を生成する。すなわち、ＩＤ集合生成部１２は、ｌ∈Ｎとしたとき、数値範囲［Ｌ，Ｒ］（ただし、Ｌ，Ｒ∈［０，２ｌ－１］とする）を入力として受け取り、ワイルドカードＩＤ集合Ｔ＝｛ｓｔｒ∈｛０，１，＊｝ｌ｝を出力する。ここで、ワイルドカードＩＤ集合生成アルゴリズムは、正当な二値化アルゴリズムＢｉｎａｒｉｚｅｌの下で正当でなければならないとする。
【0042】
ワイルドカードＩＤ集合生成アルゴリズムが正当であるとは、出力されるワイルドカードＩＤ集合が範囲［Ｌ，Ｒ］に含まれる数値のみを漏れなくカバーする場合であり、全てのｌ∈Ｎ、全てのＬ∈［０，２ｌ－１］、全てのＲ∈［０，２ｌ－１］について、Ｔ［Ｌ，Ｒ］←ＧｅｎＷＩＤｌ（Ｌ，Ｒ）とした上で、次の両条件が成立する場合をいう。
・∀ｔ∈［Ｌ，Ｒ］，∃ｗｉｄ∈Ｔ［Ｌ，Ｒ］，１←Ｍａｔｃｈｌ（Ｂｉｎａｒｉｚｅｌ（ｔ），ｗｉｄ）．
・∀ｔ∈［０，２ｌ－１］＼［Ｌ，Ｒ］，∀ｗｉｄ∈Ｔ［Ｌ，Ｒ］，０←Ｍａｔｃｈｌ（Ｂｉｎａｒｉｚｅｌ（ｔ），ｗｉｄ）．
・∀ｔ∈［Ｌ，Ｒ］，∃ｗｉｄ∈Ｔ［Ｌ，Ｒ］，１←Ｍａｔｃｈｌ（Ｂｉｎａｒｉｚｅｌ（ｔ），ｗｉｄ）．
・∀ｔ∈［０，２ｌ－１］＼［Ｌ，Ｒ］，∀ｗｉｄ∈Ｔ［Ｌ，Ｒ］，０←Ｍａｔｃｈｌ（Ｂｉｎａｒｉｚｅｌ（ｔ），ｗｉｄ）．
【0043】
多次元ＩＤ集合生成部１３は、ＩＤ集合生成部１２により生成された各次元のワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの多次元ワイルドカードＩＤを要素とした集合を生成する。
【0044】
セットアップ部１４は、ＭＤＲＥにおける各次元のビット長の和をＩＤ長として、ＷＩＢＥ方式のセットアップアルゴリズムＫＧｅｎ’を使用して、マスタ公開鍵及びマスタ秘密鍵を出力する。
【0045】
鍵生成部１５は、ＭＤＲＥにおける次元毎の値に対応する数値に割り当てられたビット列ｓｔｒを結合し、結合後の多次元ビット列をＩＤ（多次元ＩＤ）として、ＷＩＢＥ方式の鍵生成アルゴリズムＫＧｅｎ’を使用して秘密鍵を生成する。
【0046】
暗号化部１６は、多次元ＩＤ集合生成部１３により生成された集合の要素である多次元ワイルドカードＩＤのそれぞれに基づいて、ＷＩＢＥ方式の暗号化アルゴリズムＥｎｃ’を使用して平文を暗号化し、暗号化の結果の全てを暗号文として出力する。
【0047】
復号部１７は、暗号化部１６により生成された暗号文に用いられた多次元ワイルドカードＩＤのいずれかの条件に、秘密鍵により示される多次元ＩＤが合致する場合に、この暗号文を、ＷＩＢＥ方式の復号アルゴリズムＤｅｃ’を使用して復号する。
【0048】
図２は、ＷＩＢＥｔｏＭＤＲＥを構成する、セットアップアルゴリズムＳｅｔｕｐ、鍵生成アルゴリズムＫＧｅｎ、暗号化アルゴリズムＥｎｃ、及び復号アルゴリズムＤｅｃの定義を示す図である。
【0049】
ＷＩＢＥｔｏＭＤＲＥの総次元数をＤ∈Ｎ、各次元の総数値数をＴ１，…ＴＤ∈Ｎとする。ＷＩＢＥｔｏＭＤＲＥでは、構成要素としてＩＤ長がΣｉ＝１
Ｄ ｌｏｇＴｉのＷＩＢＥ方式を採用する。
【0050】
Ｄ個の数値ｔ１，…，ｔＤ（ただし、ｔｉ∈［０，Ｔｉ－１］）に対応する秘密鍵は、各数値の二進ビット列をｓｔｒｉ←ＢｉｎａｒｉｚｅｌｏｇＴｉ（ｔｉ）∈｛０，１｝ｌｏｇＴｉとし、さらに全ての二進ビット列を単純結合した二進ビット列（つまり、∥ｉ＝１
Ｄ ｓｔｒｉ）を単一のＩＤとした上で、当該ＩＤに対応するＷＩＢＥ方式の秘密鍵として生成される。
【0051】
Ｄ個の範囲［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］の下で平文ｍを暗号化する際には、まず、各範囲のワイルドカードＩＤ集合Ｔ［Ｌｉ，Ｒｉ］←ＧｅｎＷＩＤｌｏｇＴｉ（Ｌｉ，Ｒｉ）を求め、多次元ワイルドカードＩＤ集合Ｔ*
［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］の要素を、各集合Ｔ［Ｌｉ，Ｒｉ］から１要素ずつ取り出した組み合わせ毎に、全要素を単純結合することにより求める。つまり、Ｔ*
［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］：＝｛∥ｉ＝１
Ｄ ｗｉｄｉ｜ｗｉｄ１∈Ｔ［Ｌ１，Ｒ１］，…，ｗｉｄＤ∈Ｔ［ＬＤ，ＲＤ］｝である。
【0052】
この多次元ワイルドカードＩＤ集合Ｔ*
［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］に含まれる各ワイルドカードＩＤの下で平文ｍをＷＩＢＥ方式の暗号化アルゴリズムにより暗号化する。
【0053】
ｔ１，…，ｔＤに対応する秘密鍵により、［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］に対応する暗号文を復号する際には、各ｉ∈［１，Ｄ］について、１←ＭａｔｃｈｌｏｇＴｉ（ｓｔｒｉ，ｗｉｄｉ）を満たすｗｉｄｉ∈Ｔ［Ｌｉ，Ｒｉ］が存在するか否かを調べ、全てのｉ∈［１，Ｄ］について存在するならば、ｔ１，…，ｔＤに対応する秘密鍵（つまり、∥ｉ＝１
Ｄ ｓｔｒｉに対応するＷＩＢＥ秘密鍵）により、ワイルドカードＩＤ（∥ｉ＝１
Ｄ ｗｉｄｉ）に対応するＷＩＢＥ暗号文を復号し、復号結果を出力する。
【0054】
ここで、構成要素のＷＩＢＥ方式が正当であり、かつ、２つのアルゴリズム（Ｂｉｎａｒｉｚｅｌ，ＧｅｎＷＩＤｌ）が正当であれば、ＷＩＢＥｔｏＭＤＲＥも正当であることがいえる。
【0055】
次に、正当なアルゴリズム（Ｂｉｎａｒｉｚｅｌ，ＧｅｎＷＩＤｌ）の具体例として、ＰＱ．Ｂｉｎａｒｉｚｅｌ及びＰＱ．ＧｅｎＷＩＤｌを示す。また、これらのアルゴリズムに基づくＷＩＢＥｔｏＭＤＲＥを、ＷＩＢＥｔｏＭＤＲＥＰＱと表記する。
【0056】
ＷＩＢＥｔｏＭＤＲＥＰＱにおいて使用されるアルゴリズム（ＰＱ．Ｂｉｎａｒｉｚｅｌ，ＰＱ．ＧｅｎＷＩＤｌ）は、非特許文献２により提案されたＩＤベース暗号（ＩＢＥ）を用いた時間指定暗号（ＴＳＥ）の一般的構成法ＩＢＥｔｏＴＳＥＰＱを技術的に参考にしている。
ＩＢＥｔｏＴＳＥＰＱは、ＩＤ総数２Ｔ－１のＩＢＥ方式を採用する。ＩＢＥｔｏＴＳＥＰＱにおいては、葉総数Ｔの完全二分木を導入する。
ＩＢＥｔｏＴＳＥＰＱは、ＩＤ総数２Ｔ－１のＩＢＥ方式を採用する。ＩＢＥｔｏＴＳＥＰＱにおいては、葉総数Ｔの完全二分木を導入する。
【0057】
図３は、ＩＢＥｔｏＴＳＥＰＱに関する完全二分木を例示する図である。
ここでは、深さ３、葉総数Ｔ＝８（＝２３）の完全二分木を示している。
各葉ノードは、各周期（数値）ｔ∈［０，Ｔ－１］に対応する。具体的には、二進数ｓｔｒ∈｛０，１｝ｌｏｇＴが割り当てられた葉ノードは、この二進数を十進数化した数値ｔ∈［０，Ｔ－１］に対応する。
ここでは、深さ３、葉総数Ｔ＝８（＝２３）の完全二分木を示している。
各葉ノードは、各周期（数値）ｔ∈［０，Ｔ－１］に対応する。具体的には、二進数ｓｔｒ∈｛０，１｝ｌｏｇＴが割り当てられた葉ノードは、この二進数を十進数化した数値ｔ∈［０，Ｔ－１］に対応する。
【0058】
各数値ｔ∈［０，Ｔ－１］の秘密鍵は、根ノードから数値ｔの葉ノードに至るまでに通過する計ｌｏｇＴ＋１個のノードのＩＢＥ秘密鍵により構成される。具体的には、ＩＤに対応する（ランダムに生成された）ＩＢＥ秘密鍵をｓｋＩＤと表記する場合、数値ｔ∈［０，Ｔ－１］の秘密鍵は、ｓｋｔ＝（ｓｋＩＤ＝φ，ｓｋＩＤ＝ｔ［０］，ｓｋＩＤ＝ｔ［０］∥ｔ［１］，…，ｓｋＩＤ＝ｔ［０］∥ｔ［１］∥…∥ｔ［ｌｏｇＴ－１］）により定義される。なお、ｔ［ｉ］は、ｔの二進数表現における上位第ｉビットを表す。
例えば、Ｔ＝８の場合、ｔ＝３の秘密鍵は、ｓｋｔ＝３＝（ｓｋφ，ｓｋ０，ｓｋ０１，ｓｋ０１１）となる。
例えば、Ｔ＝８の場合、ｔ＝３の秘密鍵は、ｓｋｔ＝３＝（ｓｋφ，ｓｋ０，ｓｋ０１，ｓｋ０１１）となる。
【0059】
次に、範囲［Ｌ，Ｒ］に対応する平文ｍの暗号文の生成方法を示す。ここで、ノードｓｔｒ∈｛０，１｝≦ｌｏｇＴに紐づけられた集合Ｓｓｔｒを導入する。Ｓｓｔｒは、先祖ノードの一つがノードｓｔｒである葉ノードの集合である。要するに、Ｓｓｔｒ：＝｛ｓｔｒ∥ｉ∈［０，ｌｏｇＴ－｜ｓｔｒ｜－１］βi｜βi∈｛０，１｝｝である。ここで、｜ｓｔｒ｜∈［０，ｌｏｇＴ］は、ｓｔｒのビット長を表す。
例えば、Ｔ＝８の場合、Ｓ１＝｛１００，１０１，１１０，１１１｝、Ｓ１０＝｛１００，１０１｝、Ｓ１１０＝｛１１０｝となる。
例えば、Ｔ＝８の場合、Ｓ１＝｛１００，１０１，１１０，１１１｝、Ｓ１０＝｛１００，１０１｝、Ｓ１１０＝｛１１０｝となる。
【0060】
範囲［Ｌ，Ｒ］に対応する暗号文生成時には、始めに集合Ｔ［Ｌ，Ｒ］＝｛ｓｔｒ∈｛０，１｝≦ｌｏｇＴ｝を求める。Ｔ［Ｌ，Ｒ］は、二分木における数値Ｌから数値Ｒの葉ノード全てをカバーするノードの集合である。具体的には、Ｔ［Ｌ，Ｒ］は、次に示すアルゴリズムＣｏｖｅｒｌにより求められる。
【0061】
図４は、アルゴリズムＣｏｖｅｒｌの定義を示す図である。
ここで、Ｐａｒｅｎｔｌは、葉総数２ｌの完全二分木において、ノード（節）を受け取り、当該ノードの親ノードを出力する関数である。なお、Ｃｏｖｅｒｌは、非特許文献２におけるＡｌｇｏｒｉｔｈｍ １と機能的に同一である。
例えば、Ｔ＝８の場合、Ｔ［２，６］＝｛０１，１０，１１０｝、Ｔ［０，６］＝｛０，１０，１１０｝、Ｔ［７，７］＝｛１１１｝となる。
ここで、Ｐａｒｅｎｔｌは、葉総数２ｌの完全二分木において、ノード（節）を受け取り、当該ノードの親ノードを出力する関数である。なお、Ｃｏｖｅｒｌは、非特許文献２におけるＡｌｇｏｒｉｔｈｍ １と機能的に同一である。
例えば、Ｔ＝８の場合、Ｔ［２，６］＝｛０１，１０，１１０｝、Ｔ［０，６］＝｛０，１０，１１０｝、Ｔ［７，７］＝｛１１１｝となる。
【0062】
集合Ｔ［Ｌ，Ｒ］の導出後、Ｔ［Ｌ，Ｒ］に含まれる各ＩＤの下で、それぞれ平文ｍのＩＢＥ暗号文が生成される。そして、生成された全ての暗号文を一つにまとめたものが範囲［Ｌ，Ｒ］の暗号文になる。
【0063】
数値ｔの秘密鍵で範囲［Ｌ，Ｒ］の暗号文を復号する際には、葉ノードｔ又はその先祖ノードに、集合Ｔ［Ｌ，Ｒ］に含まれるノードが存在するか否かを調べ、該当ノードが存在する場合は、該当ノードに対応するＩＢＥ秘密鍵により該当ノードに対応するＩＢＥ暗号文を復号する。なお、ｔ∈［Ｌ，Ｒ］の場合に、該当ノードは確実に存在し、それ以外の場合に該当ノードは存在しない。
【0064】
図５は、二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅｌ及びワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤｌの定義を示す図である。
二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅｌでは、数値ｔ∈［０，２ｌ－１］を入力として受け取り、ビット列ｓｔｒ∈｛０，１｝ｌが出力される。
二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅｌでは、数値ｔ∈［０，２ｌ－１］を入力として受け取り、ビット列ｓｔｒ∈｛０，１｝ｌが出力される。
【0065】
ワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤｌでは、範囲［Ｌ，Ｒ］を入力として受け取り、まず、ＩＢＥｔｏＴＳＥＰＱと同様の方法により、葉総数２ｌの完全二分木における葉ノードＬから葉ノードＲまでをカバーするノード集合Ｔ［Ｌ，Ｒ］＝｛ｓｔｒ∈｛０，１｝≦ｌ｝が導出される。その後、集合Ｔ［Ｌ，Ｒ］に含まれるノード（ビット列）の中で、長さがｌに満たないノード（ビット列）に対して、長さがｌになるように、ワイルドカード記号（＊）を右から補完する変換を施した後の集合Ｔ＊
［Ｌ，Ｒ］が出力される。
【0066】
次に、既存のＷＩＢＥ方式によるＷＩＢＥｔｏＭＤＲＥＰＱの具体化の例を示す。
ＷＩＢＥｔｏＭＤＲＥＰＱを具体化する既存のＷＩＢＥ方式として、非特許文献１で提案されたＷＩＢＥ方式ＷＩＢＥＩＫと、次の文献Ａで提案されたＷＩＢＥ方式ＷＩＢＥＢＧＰを取り上げる。
文献Ａ：O. Blazy, P. Germouty, and D. H. Phan. Downgradable identity-based encryption and applications. In CT-RSA 2019, volume 11405 of LNCS, pages 44-61. Springer, 2019.
ＷＩＢＥｔｏＭＤＲＥＰＱを具体化する既存のＷＩＢＥ方式として、非特許文献１で提案されたＷＩＢＥ方式ＷＩＢＥＩＫと、次の文献Ａで提案されたＷＩＢＥ方式ＷＩＢＥＢＧＰを取り上げる。
文献Ａ：O. Blazy, P. Germouty, and D. H. Phan. Downgradable identity-based encryption and applications. In CT-RSA 2019, volume 11405 of LNCS, pages 44-61. Springer, 2019.
【0067】
図６は、ＷＩＢＥＩＫにより具体化されたＷＩＢＥｔｏＭＤＲＥＰＱと、ＷＩＢＥＢＧＰにより具体化されたＷＩＢＥｔｏＭＤＲＥＰＱとを比較評価した図である。
前者（ＷＩＢＥＩＫによる場合）は、暗号文長及び暗号化計算コスト、特に群上のべき乗計算回数において、漸近的に非効率であるが、秘密鍵長は対称双線形ペアリングの群要素２つ分であり、いかなるパラメータＤ，Ｔ１，…，ＴＤにも依存せず、一定であるという特長を持つ。対する後者（ＷＩＢＥＢＧＰによる場合）は、前者と異なり、特定の項目で大きく劣るということが無く、全ての項目において無難に優れている。また、復号計算コストが一定であるという特長もある。
前者（ＷＩＢＥＩＫによる場合）は、暗号文長及び暗号化計算コスト、特に群上のべき乗計算回数において、漸近的に非効率であるが、秘密鍵長は対称双線形ペアリングの群要素２つ分であり、いかなるパラメータＤ，Ｔ１，…，ＴＤにも依存せず、一定であるという特長を持つ。対する後者（ＷＩＢＥＢＧＰによる場合）は、前者と異なり、特定の項目で大きく劣るということが無く、全ての項目において無難に優れている。また、復号計算コストが一定であるという特長もある。
【0068】
［ＷＩＢＥを用いたＭＤＲＥの第２の構成法］
以下、第１の構成法の一般化に相当するＭＤＲＥ方式を示す。このＭＤＲＥ方式は、第１の構成法を実現する暗号化装置１に機能追加した暗号化装置１ａにより実現される。
以下、第１の構成法の一般化に相当するＭＤＲＥ方式を示す。このＭＤＲＥ方式は、第１の構成法を実現する暗号化装置１に機能追加した暗号化装置１ａにより実現される。
【0069】
図７は、第２の構成法を実現する暗号化装置１ａの機能構成を示す図である。
暗号化装置１ａの制御部１０ａは、新たな機能部として、変換部１８を備える。
変換部１８は、鍵生成に用いられる多次元ＩＤ、及び暗号化に用いられる多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替え、鍵生成部１５、暗号化部１６及び復号部１７に提供する。
すなわち、第２の構成法では、ＭＤＲＥ方式を定義する上で、次に示す２種類の関数が導入される。
暗号化装置１ａの制御部１０ａは、新たな機能部として、変換部１８を備える。
変換部１８は、鍵生成に用いられる多次元ＩＤ、及び暗号化に用いられる多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替え、鍵生成部１５、暗号化部１６及び復号部１７に提供する。
すなわち、第２の構成法では、ＭＤＲＥ方式を定義する上で、次に示す２種類の関数が導入される。
【0070】
関数ｆ：
は、全単射であるとする。
【数1】
は、全単射であるとする。
【0071】
関数φｆ：
は、全単射関数ｆに紐づけられた関数である。
【数2】
は、全単射関数ｆに紐づけられた関数である。
【0072】
図８は、関数φｆの定義を示す図である。
関数φｆは、入力ビット列における各ビット（ｉビット）を、全単射関数ｆにより一意に定まるｆ（ｉ）ビットに移動した新たなビット列を出力するものである。
関数φｆは、入力ビット列における各ビット（ｉビット）を、全単射関数ｆにより一意に定まるｆ（ｉ）ビットに移動した新たなビット列を出力するものである。
【0073】
図９は、一般化されたＭＤＲＥ方式ＷＩＢＥｔｏＭＤＲＥｆの定義を示す図である。
図２のＷＩＢＥｔｏＭＤＲＥと比べて、符号Ａ～Ｄで示す箇所が変更されている。
すなわち、鍵生成アルゴリズムＫＧｅｎでは、関数φｆによって変換された後の多次元ＩＤがＷＩＢＥ方式の鍵生成アルゴリズムＫＧｅｎ’に入力され、暗号化アルゴリズムＥｎｃでは、関数φｆによって変換された後の多次元ワイルドカードＩＤがＷＩＢＥ方式の暗号化アルゴリズムＥｎｃ’に入力される。また、復号アルゴリズムＤｅｃでは、関数φｆによって変換された後の多次元ＩＤ及び多次元ワイルドカードＩＤがｗＩＤ条件合致判定アルゴリズムＭａｔｃｈに入力される。
図２のＷＩＢＥｔｏＭＤＲＥと比べて、符号Ａ～Ｄで示す箇所が変更されている。
すなわち、鍵生成アルゴリズムＫＧｅｎでは、関数φｆによって変換された後の多次元ＩＤがＷＩＢＥ方式の鍵生成アルゴリズムＫＧｅｎ’に入力され、暗号化アルゴリズムＥｎｃでは、関数φｆによって変換された後の多次元ワイルドカードＩＤがＷＩＢＥ方式の暗号化アルゴリズムＥｎｃ’に入力される。また、復号アルゴリズムＤｅｃでは、関数φｆによって変換された後の多次元ＩＤ及び多次元ワイルドカードＩＤがｗＩＤ条件合致判定アルゴリズムＭａｔｃｈに入力される。
【0074】
なお、ＷＩＢＥｔｏＭＤＲＥｆが正当であることは、第１の構成法によるＷＩＢＥｔｏＭＤＲＥが正当であることと同様に確認できる。
ちなみに、ＷＩＢＥｔｏＭＤＲＥｆにおいて、関数ｆを、入力をそのまま出力する恒等写像としたものが第１の構成法によるＷＩＢＥｔｏＭＤＲＥである。
ちなみに、ＷＩＢＥｔｏＭＤＲＥｆにおいて、関数ｆを、入力をそのまま出力する恒等写像としたものが第１の構成法によるＷＩＢＥｔｏＭＤＲＥである。
【0075】
［二値化及びワイルドカードＩＤ集合生成の変形例］
特許文献１では、ＷＩＢＥに基づく時間指定暗号（ＴＳＥ）の一般的構成法として、最も単純な構成法、及びこれを一般化した構成法の２種類が示されている。以下、これらの構成法を、それぞれ、ＷＩＢＥｔｏＴＳＥＩＫ及びＷＩＢＥｔｏＴＳＥＩＫ ｇｅｎｅｒａｌと表記する。
特許文献１では、ＷＩＢＥに基づく時間指定暗号（ＴＳＥ）の一般的構成法として、最も単純な構成法、及びこれを一般化した構成法の２種類が示されている。以下、これらの構成法を、それぞれ、ＷＩＢＥｔｏＴＳＥＩＫ及びＷＩＢＥｔｏＴＳＥＩＫ ｇｅｎｅｒａｌと表記する。
【0076】
ＷＩＢＥｔｏＴＳＥＩＫは、前述のＷＩＢＥｔｏＭＤＲＥに対して、次の制限を導入したものである。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅｌ及びＩＫ．ＧｅｎＷＩＤｌに変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥＩＫと同様の効果が得られる。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅｌ及びＩＫ．ＧｅｎＷＩＤｌに変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥＩＫと同様の効果が得られる。
【0077】
図１０は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌの定義を示す図である。
図１１は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ及びＩＫ．Ｄｉｖｉｄｅｌの定義を示す図である。
図１２は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ、ＩＫ．Ｆｏｒｍｅｒｌ、及びＩＫ．Ｍｅｒｇｅｌの定義を示す図である。
図１１は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ及びＩＫ．Ｄｉｖｉｄｅｌの定義を示す図である。
図１２は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ、ＩＫ．Ｆｏｒｍｅｒｌ、及びＩＫ．Ｍｅｒｇｅｌの定義を示す図である。
【0078】
図１３は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌを実行した際の入力ｔ∈［０，２ｌ－１］と出力ｓｔｒ∈｛０，１｝ｌとの対応関係を例示する図である。
ここでは、ｌ＝５の場合を示しているが、ｌ≠５の場合についても同様に、次の法則でビット列ｓｔｒが割り当てられる。
・最上位ビット（第ｌ－１ビット）は、０で開始し、その後は２ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次のビット（第ｌ－２ビット）は、０で開始し、２ｌ－２間隔で最初の１への切り替わりが発生し、その後は２ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次々ビット（第ｌ－３ビット）は、０で開始し、２ｌ－３間隔で最初の１への切り替わりが発生し、その後は２ｌ－２間隔で０と１とが切り替わり続ける。
・（中略）
・最下位ビットの一つ前のビット（第１ビット）は、０で開始し、２１＝２間隔で最初の１への切り替わりが発生し、その後は２２＝４間隔で０と１とが切り替わり続ける。
・最下位ビット（第０ビット）は、０で開始し、２０＝１間隔で最初の１への切り替わりが発生し、その後は２１＝２間隔で０と１とが切り替わり続ける。
ここでは、ｌ＝５の場合を示しているが、ｌ≠５の場合についても同様に、次の法則でビット列ｓｔｒが割り当てられる。
・最上位ビット（第ｌ－１ビット）は、０で開始し、その後は２ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次のビット（第ｌ－２ビット）は、０で開始し、２ｌ－２間隔で最初の１への切り替わりが発生し、その後は２ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次々ビット（第ｌ－３ビット）は、０で開始し、２ｌ－３間隔で最初の１への切り替わりが発生し、その後は２ｌ－２間隔で０と１とが切り替わり続ける。
・（中略）
・最下位ビットの一つ前のビット（第１ビット）は、０で開始し、２１＝２間隔で最初の１への切り替わりが発生し、その後は２２＝４間隔で０と１とが切り替わり続ける。
・最下位ビット（第０ビット）は、０で開始し、２０＝１間隔で最初の１への切り替わりが発生し、その後は２１＝２間隔で０と１とが切り替わり続ける。
【0079】
この法則により、ビット列ｓｔｒには、次のような特徴が表れる。
すなわち、数値ｔの並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれるビット列ｓｔｒのいずれか１ビットのみは反転し、他のビットは対称となる。
また、隣り合う数値ｔの間で１ビットのみが異なる。
すなわち、数値ｔの並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれるビット列ｓｔｒのいずれか１ビットのみは反転し、他のビットは対称となる。
また、隣り合う数値ｔの間で１ビットのみが異なる。
【0080】
ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌは、５つの補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ、ＩＫ．Ｄｉｖｉｄｅｌ、ＩＫ．Ｌａｔｔｅｒｌ、ＩＫ．Ｆｏｒｍｅｒｌ、ＩＫ．Ｍｅｒｇｅｌを使用する。
【0081】
クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌは、数値ｔ∈［０，２ｌ－１］を入力として受け取り、クラス番号ｉ∈［０，ｌ］を出力する。
具体的には、ｔ＝０の場合、ｌを出力し、ｔ∈［１，２ｌ－１］の場合、ｔ ｍｏｄ ２ｉ＋１＝２ｉを満たすｉ∈［０，ｌ－１］を出力する。
具体的には、ｔ＝０の場合、ｌを出力し、ｔ∈［１，２ｌ－１］の場合、ｔ ｍｏｄ ２ｉ＋１＝２ｉを満たすｉ∈［０，ｌ－１］を出力する。
【0082】
図１４は、クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌの実行例を示す図である。
ここでは、２ｌ＝Ｔ∈｛４，８，１６，３２｝の場合の出力をそれぞれ示している。
数値ｔの昇順の並びを再帰的に２分割していった際に、分割された右側のブロックの左端のｔに対して、左側のブロックの左端のクラス番号－１が割り当てられる。これにより、１ビットを除いて左右対称となっているビット列のブロック内において、左端のクラス番号が最大となる。
ここでは、２ｌ＝Ｔ∈｛４，８，１６，３２｝の場合の出力をそれぞれ示している。
数値ｔの昇順の並びを再帰的に２分割していった際に、分割された右側のブロックの左端のｔに対して、左側のブロックの左端のクラス番号－１が割り当てられる。これにより、１ビットを除いて左右対称となっているビット列のブロック内において、左端のクラス番号が最大となる。
【0083】
分割アルゴリズムＩＫ．Ｄｉｖｉｄｅｌは、Ｌ，Ｒ∈［０，２ｌ－１］を満たす範囲［Ｌ，Ｒ］を入力として受け取り、この範囲を前半範囲［Ｌ，Ｄ－１］と後半範囲［Ｄ，Ｒ］へ二分割する分割点Ｄ∈［Ｌ，Ｒ］を出力する。
この分割点は、範囲［Ｌ，Ｒ］内の数値のうち、最もクラス番号の大きい数値である。すなわち、範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの区切りで二分割される。なお、Ｌ＞Ｒの場合、必ずＤ＝０になる。
この分割点は、範囲［Ｌ，Ｒ］内の数値のうち、最もクラス番号の大きい数値である。すなわち、範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの区切りで二分割される。なお、Ｌ＞Ｒの場合、必ずＤ＝０になる。
【0084】
図１５は、分割アルゴリズムＩＫ．Ｄｉｖｉｄｅｌの実行例を示す図である。
ここでは、ｌ＝５とし、［Ｌ，Ｒ］∈｛［０，３０］，［９，３０］，［１，３０］，［２，０］｝の場合の分割点を、それぞれ△で示している。
例えば、範囲が［０，３０］の場合は、クラス番号が５の分割点Ｄ＝０、範囲が［９，３０］及び［１，３１］の場合は、クラス番号が４の分割点Ｄ＝１６、範囲が［２，０］の場合は、クラス番号が５の分割点Ｄ＝０が出力される。
ここでは、ｌ＝５とし、［Ｌ，Ｒ］∈｛［０，３０］，［９，３０］，［１，３０］，［２，０］｝の場合の分割点を、それぞれ△で示している。
例えば、範囲が［０，３０］の場合は、クラス番号が５の分割点Ｄ＝０、範囲が［９，３０］及び［１，３１］の場合は、クラス番号が４の分割点Ｄ＝１６、範囲が［２，０］の場合は、クラス番号が５の分割点Ｄ＝０が出力される。
【0085】
後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒｌは、後半範囲［Ｄ，Ｒ］を入力として受け取り、ワイルドカードＩＤ集合Ｔ［Ｄ，Ｒ］＝｛ｗＩＤｉ｜ｉ∈［１，ｎ１］｝を出力する。全てのｌ∈Ｎ、及びＬ，Ｒ∈［０，２ｌ－１］を満たす全てのＬ，Ｒについて、Ｄ←ＩＫ．Ｄｉｖｉｄｅｌ（Ｌ，Ｒ）とした場合、
が存在し、以下の２つの条件を満たす。
【数3】
が存在し、以下の２つの条件を満たす。
【0086】
（１）後半範囲［Ｄ，Ｒ］は、２ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。
（２）全てのｉ∈［１，ｎ１］について、あるｗＩＤｉ∈｛０，１，＊｝ｌが存在し、ｗＩＤｉは以下を満たす。
・｜ｗＩＤｉ｜＊＝ｋｉ．
・後半範囲［Ｄ，Ｒ］の部分範囲である、
をカバーする。
【数4】
（２）全てのｉ∈［１，ｎ１］について、あるｗＩＤｉ∈｛０，１，＊｝ｌが存在し、ｗＩＤｉは以下を満たす。
・｜ｗＩＤｉ｜＊＝ｋｉ．
・後半範囲［Ｄ，Ｒ］の部分範囲である、
【数5】
をカバーする。
【0087】
前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒｌは、前半範囲［Ｌ，Ｄ－１］を入力として受け取り、ワイルドカードＩＤ集合Ｔ［Ｌ，Ｄ－１］＝｛ｗＩＤｉ｜ｉ∈［ｎ１＋１，ｎ２］｝を出力する。全てのｌ∈Ｎ、及びＬ，Ｒ∈［０，２ｌ－１］を満たす全てのＬ，Ｒについて、Ｄ←ＩＫ．Ｄｉｖｉｄｅｌ（Ｌ，Ｒ）とした場合、
が存在し、以下の２つの条件を満たす。
【数6】
が存在し、以下の２つの条件を満たす。
【0088】
（１）前半範囲［Ｌ，Ｄ－１］は、２ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。
（２）全てのｉ∈［ｎ１＋１，ｎ２］について、あるｗＩＤｉ∈｛０，１，＊｝ｌが存在し、ｗＩＤｉは以下を満たす。
・｜ｗＩＤｉ｜＊＝ｋｉ．
・ｗＩＤｉは、前半範囲［Ｌ，Ｄ－１］の部分範囲である、
をカバーする。
【数7】
（２）全てのｉ∈［ｎ１＋１，ｎ２］について、あるｗＩＤｉ∈｛０，１，＊｝ｌが存在し、ｗＩＤｉは以下を満たす。
・｜ｗＩＤｉ｜＊＝ｋｉ．
・ｗＩＤｉは、前半範囲［Ｌ，Ｄ－１］の部分範囲である、
【数8】
をカバーする。
【0089】
前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅｌは、前後半ワイルドカードＩＤ集合Ｔ［Ｄ，Ｒ］，Ｔ［Ｌ，Ｄ－１］を受け取り、ワイルドカードＩＤ集合Ｔ［Ｌ，Ｒ］を出力する。
【0090】
まず、以下の条件を満たす自然数ｎ＊を定義する。
このとき、全てのｉ∈［１，ｎ＊］について、以下の条件を満たすｗＩＤ′ｉ∈｛０，１，＊｝ｌが存在する。
・｜ｗＩＤ′ｉ｜＊＝ｋｉ＋１＝ｋｎ１＋ｉ＋１．
・ｗＩＤ′ｉは、ｗＩＤｉとｗＩＤｎ１＋ｉによりカバーされる各範囲の和集合により定義される範囲、すなわち、
をカバーする。
【数9】
このとき、全てのｉ∈［１，ｎ＊］について、以下の条件を満たすｗＩＤ′ｉ∈｛０，１，＊｝ｌが存在する。
・｜ｗＩＤ′ｉ｜＊＝ｋｉ＋１＝ｋｎ１＋ｉ＋１．
・ｗＩＤ′ｉは、ｗＩＤｉとｗＩＤｎ１＋ｉによりカバーされる各範囲の和集合により定義される範囲、すなわち、
【数10】
をカバーする。
【0091】
図１６は、後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒｌ、前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒｌ、及び前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅｌのそれぞれの実行後の状態を例示する図である。
ここでは、ｌ＝５，［Ｌ，Ｒ］＝［１，３０］，Ｄ＝１６の場合を例示しており、Ｓｔｅｐ１には、分割アルゴリズムＩＫ．Ｄｉｖｉｄｅｌの実行例（図１５）を示している。
ここでは、ｌ＝５，［Ｌ，Ｒ］＝［１，３０］，Ｄ＝１６の場合を例示しており、Ｓｔｅｐ１には、分割アルゴリズムＩＫ．Ｄｉｖｉｄｅｌの実行例（図１５）を示している。
【0092】
後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒｌでは、Ｔ［Ｄ，Ｒ］：＝｛ｗＩＤｉ｜ｉ∈［１，ｎ１］｝が出力される。
Ｓｔｅｐ２に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ１＝４，ｋ１＝３，ｋ２＝２，ｋ３＝１，ｋ４＝０，ｗＩＤ１＝１１＊＊＊，ｗＩＤ２＝１０１＊＊，ｗＩＤ３＝１００１＊，ｗＩＤ４＝１０００１である。結果として、Ｔ［１６，３０］＝｛ｗＩＤ１，ｗＩＤ２，ｗＩＤ３，ｗＩＤ４｝＝｛１１＊＊＊，１０１＊＊，１００１＊，１０００１｝が出力される。
Ｓｔｅｐ２に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ１＝４，ｋ１＝３，ｋ２＝２，ｋ３＝１，ｋ４＝０，ｗＩＤ１＝１１＊＊＊，ｗＩＤ２＝１０１＊＊，ｗＩＤ３＝１００１＊，ｗＩＤ４＝１０００１である。結果として、Ｔ［１６，３０］＝｛ｗＩＤ１，ｗＩＤ２，ｗＩＤ３，ｗＩＤ４｝＝｛１１＊＊＊，１０１＊＊，１００１＊，１０００１｝が出力される。
【0093】
前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒｌでは、Ｔ［Ｌ，Ｄ－１］：＝｛ｗＩＤｉ｜ｉ∈［ｎ１＋１，ｎ２］｝が出力される。
Ｓｔｅｐ３に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ２＝４，ｎ１＋ｎ２＝８，ｋ５＝３，ｋ６＝２，ｋ７＝１，ｋ８＝０，ｗＩＤ５＝０１＊＊＊，ｗＩＤ６＝００１＊＊，ｗＩＤ７＝０００１＊，ｗＩＤ８＝００００１である。結果として、Ｔ［１，１５］＝｛ｗＩＤ５，ｗＩＤ６，ｗＩＤ７，ｗＩＤ８｝＝｛０１＊＊＊，００１＊＊，０００１＊，００００１｝が出力される。
Ｓｔｅｐ３に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ２＝４，ｎ１＋ｎ２＝８，ｋ５＝３，ｋ６＝２，ｋ７＝１，ｋ８＝０，ｗＩＤ５＝０１＊＊＊，ｗＩＤ６＝００１＊＊，ｗＩＤ７＝０００１＊，ｗＩＤ８＝００００１である。結果として、Ｔ［１，１５］＝｛ｗＩＤ５，ｗＩＤ６，ｗＩＤ７，ｗＩＤ８｝＝｛０１＊＊＊，００１＊＊，０００１＊，００００１｝が出力される。
【0094】
前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅｌでは、
が出力される。
Ｓｔｅｐ４に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ＊＝４，ｗＩＤ′１＝＊１＊＊＊，ｗＩＤ′２＝＊０１＊＊，ｗＩＤ′３＝＊００１＊，ｗＩＤ′４＝＊０００１である。結果として、Ｔ［１，３０］＝｛ｗＩＤ′１，ｗＩＤ′２，ｗＩＤ′３，ｗＩＤ′４｝＝｛＊１＊＊＊，＊０１＊＊，＊００１＊，＊０００１｝が出力される。
【数11】
が出力される。
Ｓｔｅｐ４に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝５によりカバーされる。具体的には、ｎ＊＝４，ｗＩＤ′１＝＊１＊＊＊，ｗＩＤ′２＝＊０１＊＊，ｗＩＤ′３＝＊００１＊，ｗＩＤ′４＝＊０００１である。結果として、Ｔ［１，３０］＝｛ｗＩＤ′１，ｗＩＤ′２，ｗＩＤ′３，ｗＩＤ′４｝＝｛＊１＊＊＊，＊０１＊＊，＊００１＊，＊０００１｝が出力される。
【0095】
ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌは、各アルゴリズムを順番に実行する。具体的には、ＩＫ．ＧｅｎＷＩＤｌは、範囲［Ｌ，Ｒ］に対して、最初にＤ←Ｄｉｖｉｄｅｌ（Ｌ，Ｒ）により分割点Ｄ∈［Ｌ，Ｒ］を決定し、次にＴ［Ｄ，Ｒ］←ＩＫ．Ｌａｔｔｅｒｌ（Ｄ，Ｒ）により後半範囲ワイルドカードＩＤ集合Ｔ［Ｄ，Ｒ］を決定し、Ｔ［Ｌ，Ｄ－１］←ＩＫ．Ｆｏｒｍｅｒｌ（Ｌ，Ｄ－１）により前半範囲ワイルドカードＩＤ集合Ｔ［Ｌ，Ｄ－１］を決定する。最後に、ＩＫ．ＧｅｎＷＩＤｌは、Ｔ［Ｌ，Ｒ］←ＩＫ．Ｍｅｒｇｅｌ（Ｔ［Ｄ，Ｒ］，Ｔ［Ｌ，Ｄ－１］）によりワイルドカードＩＤ集合Ｔ［Ｌ，Ｒ］を決定する。
【0096】
次に、ＷＩＢＥｔｏＴＳＥＩＫ
ｇｅｎｅｒａｌは、前述のＷＩＢＥｔｏＭＤＲＥに対して、次の制限を導入したものである。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅｌ ｇｅｎｅｒａｌ及びＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌに変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥＩＫ ｇｅｎｅｒａｌと同様の効果が得られる。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅｌ及びＧｅｎＷＩＤｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅｌ ｇｅｎｅｒａｌ及びＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌに変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥＩＫ ｇｅｎｅｒａｌと同様の効果が得られる。
【0097】
図１７は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ
ｇｅｎｅｒａｌの定義を示す図である。
図１８は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ ｇｅｎｅｒａｌ及びＩＫ．Ｄｉｖｉｄｅｌ ｇｅｎｅｒａｌの定義を示す図である。
図１９は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ ｇｅｎｅｒａｌ、ＩＫ．Ｆｏｒｍｅｒｌ ｇｅｎｅｒａｌ及びＩＫ．Ｍｅｒｇｅｌ ｇｅｎｅｒａｌの定義を示す図である。
図１８は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙｌ ｇｅｎｅｒａｌ及びＩＫ．Ｄｉｖｉｄｅｌ ｇｅｎｅｒａｌの定義を示す図である。
図１９は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤｌ ｇｅｎｅｒａｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒｌ ｇｅｎｅｒａｌ、ＩＫ．Ｆｏｒｍｅｒｌ ｇｅｎｅｒａｌ及びＩＫ．Ｍｅｒｇｅｌ ｇｅｎｅｒａｌの定義を示す図である。
【0098】
ＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌ及びＩＫ．ＧｅｎＷＩＤｌ
ｇｅｎｅｒａｌは、それぞれＩＫ．Ｂｉｎａｒｉｚｅｌ及びＩＫ．ＧｅｎＷＩＤｌの一般化である。これらのアルゴリズムは、ビット列ｓｔｒのパターンを一般化するために、関数ｆ、関数ｈ、定数δを導入している。
【0099】
前述の通り、ＩＫ．Ｂｉｎａｒｉｚｅｌにより定まる数値ｔと二進ビット列ｓｔｒとの対応関係においては、ｓｔｒの各ビットに、それぞれ異なる（０，１）パターンが割り当てられる。（０，１）パターンは全部でｌ種類ある。
具体的には、終始２ｌ－１間隔で切り替わり続けるパターン、初回のみ２ｌ－２間隔で切り替わりその後２ｌ－１間隔で切り替わり続けるパターン、初回のみ２ｌ－３間隔で切り替わりその後２ｌ－２間隔で切り替わり続けるパターン、…、初回のみ２１＝２間隔で切り替わりその後２２＝４間隔で切り替わり続けるパターン、初回のみ２０＝１間隔で切り替わりその後２１＝２間隔で切り替わり続けるパターンである。これらのパターンを便宜上、それぞれ、Ｐｌ－１，Ｐｌ－２，…，Ｐ１，Ｐ０と表記する。
具体的には、終始２ｌ－１間隔で切り替わり続けるパターン、初回のみ２ｌ－２間隔で切り替わりその後２ｌ－１間隔で切り替わり続けるパターン、初回のみ２ｌ－３間隔で切り替わりその後２ｌ－２間隔で切り替わり続けるパターン、…、初回のみ２１＝２間隔で切り替わりその後２２＝４間隔で切り替わり続けるパターン、初回のみ２０＝１間隔で切り替わりその後２１＝２間隔で切り替わり続けるパターンである。これらのパターンを便宜上、それぞれ、Ｐｌ－１，Ｐｌ－２，…，Ｐ１，Ｐ０と表記する。
【0100】
全単射関数ｆ：｛０，１，…，ｌ－１｝→｛０，１，…，ｌ－１｝は、各ビットをいずれの（０，１）パターンに割り当てるかを定義する。具体的には、ビットｉ∈｛０，１，…，ｌ－１｝を、（０，１）パターンＰｆ（ｉ）に割り当てる。
【0101】
関数ｈ：｛０，１，…，ｌ－１｝→｛０，１｝は、各ビットｉ∈｛０，１，…，ｌ－１｝において、（０，１）パターンの初期値を、０とするか１とするかを定義する。
【0102】
定数δ∈｛０，…，２ｌ－１｝は、二進ビット列の初期値ｓｔｒ＝ｈ［ｌ－１］∥ｈ［ｌ－２］∥…∥ｈ［１］∥ｈ［０］を、どの数値ｔ∈｛０，…，２ｌ－１｝に対応付けるかを定義する。具体的には、ｓｔｒ＝ｈ［ｌ－１］∥ｈ［ｌ－２］∥…∥ｈ［１］∥ｈ［０］を、δに対応づける。
すなわち、（０，１）パターンに対して数値ｔをδだけ巡回シフトした対応関係が得られる。
すなわち、（０，１）パターンに対して数値ｔをδだけ巡回シフトした対応関係が得られる。
【0103】
例えば、図１３は、図１７のＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌにおいて、そのパラメータを、
ｌ：＝５
ｆ（｛０，１，２，３，４｝）：＝｛０，１，２，３，４｝
ｈ（｛０，１，２，３，４｝）：＝｛０，０，０，０，０｝
δ：＝０
と設定した場合の当該アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ ｇｅｎｅｒａｌの実行例を示す。
ｌ：＝５
ｆ（｛０，１，２，３，４｝）：＝｛０，１，２，３，４｝
ｈ（｛０，１，２，３，４｝）：＝｛０，０，０，０，０｝
δ：＝０
と設定した場合の当該アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅｌ ｇｅｎｅｒａｌの実行例を示す。
【0104】
一方、図２０は、ＩＫ．Ｂｉｎａｒｉｚｅｌ
ｇｅｎｅｒａｌにおいて、そのパラメータを、
ｆ（｛０，１，２，３，４｝）：＝｛３，２，０，４，１｝
ｈ（｛０，１，２，３，４｝）：＝｛０，１，１，０，０｝
δ：＝１５
と設定した場合の当該アルゴリズムの実行例を示す。
ｆ（｛０，１，２，３，４｝）：＝｛３，２，０，４，１｝
ｈ（｛０，１，２，３，４｝）：＝｛０，１，１，０，０｝
δ：＝１５
と設定した場合の当該アルゴリズムの実行例を示す。
【0105】
本実施形態によれば、暗号化装置１は、次元毎の数値に割り当てられたビット列の結合をＩＤとした秘密鍵を生成すると共に、次元毎の範囲に基づいて生成したワイルドカードＩＤ集合から、１要素ずつ取り出した組み合わせ毎に、全要素を結合して多次元ワイルドカードＩＤとし、全組み合わせの多次元ワイルドカードＩＤを要素とした集合を生成する。そして、暗号化装置１は、多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、暗号化の結果の全てを暗号文として出力する。
したがって、暗号化装置１は、任意の正当なＷＩＢＥ方式に基づいて、任意の正当な二値化アルゴリズム及びワイルドカードＩＤ集合生成アルゴリズムを用いることにより、ＴＳＥを多次元に拡張したＭＤＲＥ方式を構成できる。
したがって、暗号化装置１は、任意の正当なＷＩＢＥ方式に基づいて、任意の正当な二値化アルゴリズム及びワイルドカードＩＤ集合生成アルゴリズムを用いることにより、ＴＳＥを多次元に拡張したＭＤＲＥ方式を構成できる。
【0106】
この結果、既存の、あるいは、将来発見され得る多様なＷＩＢＥ方式から、多様なＭＤＲＥ方式を構築することができる。
例えば、前述のように、ＷＩＢＥＩＫを用いた秘密鍵長が一定のＭＤＲＥ方式、及びＷＩＢＥＢＧＰを用いた全ての効率項目において無難に優れたＭＤＲＥ方式が具体的に得られる。また、将来、例えば、耐量子安全性を持つＷＩＢＥ方式が作られた場合、本実施形態により、耐量子安全性を持つＭＤＲＥ方式を構成できる。
例えば、前述のように、ＷＩＢＥＩＫを用いた秘密鍵長が一定のＭＤＲＥ方式、及びＷＩＢＥＢＧＰを用いた全ての効率項目において無難に優れたＭＤＲＥ方式が具体的に得られる。また、将来、例えば、耐量子安全性を持つＷＩＢＥ方式が作られた場合、本実施形態により、耐量子安全性を持つＭＤＲＥ方式を構成できる。
【0107】
暗号化装置１は、多次元ＩＤ及び多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える機能を備えることにより、ＩＤとなるビット列の任意の配列が可能となり、ＭＤＲＥ方式の一般化を実現できる。
【0108】
暗号化装置１は、数値ｔに対するビット列ｓｔｒの対応関係について、数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれるビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当て、また、数値の並びにおいて、隣り合う数値間で１ビットのみが異なるビット列を割り当てる。
これにより、ＭＤＲＥの各次元において、指定された範囲をカバーする効率的なワイルドカードＩＤが生成され、この結果、効率的な多次元ワイルドカードＩＤ集合が生成される。したがって、暗号化装置１は、暗号文長を短くすることができる。
これにより、ＭＤＲＥの各次元において、指定された範囲をカバーする効率的なワイルドカードＩＤが生成され、この結果、効率的な多次元ワイルドカードＩＤ集合が生成される。したがって、暗号化装置１は、暗号文長を短くすることができる。
【0109】
このとき、暗号化装置１は、数値ｔに対するビット列ｓｔｒの対応関係について、所定の数だけ巡回シフトさせて対応付けることで、アルゴリズムを一般化できる。
【0110】
また、暗号化装置１は、範囲［Ｌ，Ｒ］を前半及び後半に分割することにより、それぞれの部分範囲において、効率的にワイルドカードＩＤ集合を生成できる。
さらに、暗号化装置１は、部分範囲毎に求めた集合をカバーするワイルドカードＩＤ集合を生成することにより、集合を縮小できる可能性がある。この結果、暗号文が短くなることが期待できる。
さらに、暗号化装置１は、部分範囲毎に求めた集合をカバーするワイルドカードＩＤ集合を生成することにより、集合を縮小できる可能性がある。この結果、暗号文が短くなることが期待できる。
【0111】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。
【0112】
暗号化装置１による暗号化方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【0113】
１、１ａ 暗号化装置（復号装置）
１０、１０ａ 制御部
１１ 二値化部
１２ ＩＤ集合生成部
１３ 多次元ＩＤ集合生成部
１４ セットアップ部
１５ 鍵生成部
１６ 暗号化部
１７ 復号部
１８ 変換部
２０ 記憶部
１０、１０ａ 制御部
１１ 二値化部
１２ ＩＤ集合生成部
１３ 多次元ＩＤ集合生成部
１４ セットアップ部
１５ 鍵生成部
１６ 暗号化部
１７ 復号部
１８ 変換部
２０ 記憶部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】