ホーム > 特許ランキング > 日本電信電話株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-12-16
(45)【発行日】2024-12-24
(54)【発明の名称】暗号システム、暗号化装置、復号装置、方法、及びプログラム
(51)【国際特許分類】
H04L 9/32 20060101AFI20241217BHJP
【ＦＩ】
H04L9/32 200Z
【請求項の数】
6
(21)【出願番号】P 2023514282
(86)(22)【出願日】2021-04-15
(86)【国際出願番号】 JP2021015630
(87)【国際公開番号】W WO2022219785
(87)【国際公開日】2022-10-20
【審査請求日】2023-09-28
【新規性喪失の例外の表示】特許法第３０条第２項適用 ２０２１年１月１５日にｈｔｔｐｓ：／／ｗｗｗ．ｉｗｓｅｃ．ｏｒｇ／ｓｃｉｓ／２０２１／ｐｒｏｇｒａｍ．ｈｔｍｌにて公開 ２０２１年１月１５日に２０２１年暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０２１）論文集、講演番号１Ａ１－２にて公開
(73)【特許権者】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(74)【代理人】
【識別番号】110004381
【氏名又は名称】弁理士法人ＩＴＯＨ
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(74)【代理人】
【識別番号】100124844
【弁理士】
【氏名又は名称】石原 隆治
(72)【発明者】
【氏名】草川 恵太
【審査官】松平 英
(56)【参考文献】
【文献】特表２０１５－５０１１１０（ＪＰ，Ａ）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ１２／１４
２１／００－２１／８８
Ｇ０９Ｃ １／００－５／００
Ｈ０４Ｋ １／００－３／００
Ｈ０４Ｌ ９／００－９／４０
(57)【特許請求の範囲】
【請求項1】
タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムであって、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、
送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、
前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、
を有する暗号システム。
【請求項2】
前記タグベース暗号方式ＴＢＥがＩＮＤｒ－ｓｔ－ｗＣＣＡ安全、前記弱いコミットメント方式ｗＣｏｍが安全かつＩＮＤｒ安全、前記メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつ疑似ランダムである場合、前記公開鍵暗号方式は、ＩＮＤｒ－ＣＣＡ安全であり、前記タグベース暗号方式ＴＢＥがＯＳ－ｓｔ－ｗＣＣＡ安全、前記弱いコミットメント方式ｗＣｏｍが安全かつＯＳ安全、前記メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつＯＳ安全である場合、前記公開鍵暗号方式は、ＯＳ－ＣＣＡ安全である、請求項１に記載の暗号システム。
【請求項3】
タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により平文ｍを暗号化する暗号化装置であって、安全性パラメータをκ、共通パラメータをｐｕｂとして送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、前記公開鍵暗号方式の暗号化鍵をｅｋ＝ｅｋＴＢＥとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、
前記暗号化装置と通信ネットワークを介して接続される復号装置に前記暗号文ｃｔを送信する送信部と、
を有する暗号化装置。
【請求項4】
タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号文ｃｔを復号する復号装置であって、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、
前記暗号文ｃｔをコミットメントｃｏｍと暗号文ｃとタグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、
を有する復号装置。
【請求項5】
タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムが、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成手順と、
送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化手順と、
前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号手順と、
を実行する方法。
【請求項6】
コンピュータを、請求項３に記載の暗号化装置、又は、請求項４に記載の復号装置、として機能させるプログラム。【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号システム、暗号化装置、復号装置、方法、及びプログラムに関する。
【背景技術】
【0002】
ＩＤベース暗号やタグベース暗号からＢｏｎｅｈ－Ｋａｔｚ変換（以下、ＢＫ変換ともいう。）によりＩＮＤ－ＣＣＡ安全な公開鍵暗号を構成する方法が知られている。例えば、非特許文献１には、ＩＤベース暗号からＢＫ変換によりＩＮＤ－ＣＣＡ安全な公開鍵暗号を構成する方法が記載されている。
【先行技術文献】
【非特許文献】
【0003】
【文献】Dan Boneh, Ran Canetti, Shai Halevi, and Jonathan Katz. Chosen-ciphertext security from identity-based encryption. SIAM J. Comput., 36(5):1301-1328, 2007.
【発明の概要】
【発明が解決しようとする課題】
【0004】
しかしながら、非特許文献１等に記載されている従来方法では、暗号文の中に公開鍵を入れておくと、暗号文から誰宛て暗号文かが分かる等、十分に匿名性が確保できない、といった問題が存在する。
【0005】
本発明の一実施形態は、上記の点に鑑みてなされたもので、匿名性を確保した安全な公開鍵暗号を実現することを目的とする。
【課題を解決するための手段】
【0006】
上記目的を達成するため、一実施形態に係る暗号システムは、タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムであって、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、を有する。
【発明の効果】
【0007】
匿名性を確保した安全な公開鍵暗号を実現することができる。
【図面の簡単な説明】
【0008】
【図1】本実施形態に係る暗号システムの全体構成の一例を示す図である。
【図2】コンピュータのハードウェア構成の一例を示す図である。
【図3】本実施形態に係る暗号システムの全体処理の流れの一例を示すシーケンス図である。
【発明を実施するための形態】
【0009】
以下、本発明の一実施形態について説明する。本実施形態では、匿名性を確保した安全な公開鍵暗号（以下、匿名公開鍵暗号ともいう。）を実現する暗号システム１について説明する。
【0010】
＜準備＞
以下では、匿名公開鍵暗号を説明するために必要な構成要素を準備する。
以下では、匿名公開鍵暗号を説明するために必要な構成要素を準備する。
【0011】
≪公開鍵暗号≫
公開鍵暗号方式ＰＫＥは、３つのアルゴリズム（ＧｅｎＰＫＥ，ＥｎｃＰＫＥ，ＤｅｃＰＫＥ）で構成される。
公開鍵暗号方式ＰＫＥは、３つのアルゴリズム（ＧｅｎＰＫＥ，ＥｎｃＰＫＥ，ＤｅｃＰＫＥ）で構成される。
【0012】
・ＧｅｎＰＫＥ（１κ）→（ｅｋ，ｄｋ）
鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。ｅｋを暗号化鍵、ｄｋを復号鍵と呼ぶ。なお、１κは１のκビット列を表す。正確にはκのことを安全性パラメータというが、誤解がない場合は１κのことを安全性パラメータと呼んでもよい。
鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。ｅｋを暗号化鍵、ｄｋを復号鍵と呼ぶ。なお、１κは１のκビット列を表す。正確にはκのことを安全性パラメータというが、誤解がない場合は１κのことを安全性パラメータと呼んでもよい。
【0013】
・ＥｎｃＰＫＥ（ｅｋ，ｍ）→ｃ
暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。なお、Ｍは平文空間、Ｃは暗号文空間を表す。
暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。なお、Ｍは平文空間、Ｃは暗号文空間を表す。
【0014】
・ＤｅｃＰＫＥ（ｄｋ，ｃ）→ｍ／⊥
復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥は暗号文ｃの復号に失敗したことを意味し、平文空間Ｍには含まれない。
復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥は暗号文ｃの復号に失敗したことを意味し、平文空間Ｍには含まれない。
【0015】
≪タグベース暗号≫
タグベース暗号方式ＴＢＥは、３つのアルゴリズム（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）で構成される。
タグベース暗号方式ＴＢＥは、３つのアルゴリズム（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）で構成される。
【0016】
・ＧｅｎＴＢＥ（１κ）→（ｅｋ，ｄｋ）
鍵生成アルゴリズムＧｅｎＴＢＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。
鍵生成アルゴリズムＧｅｎＴＢＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。
【0017】
・ＥｎｃＴＢＥ（ｅｋ，τ，ｍ）→ｃ
暗号化アルゴリズムＥｎｃＴＢＥは、暗号化鍵ｅｋとタグτと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。
暗号化アルゴリズムＥｎｃＴＢＥは、暗号化鍵ｅｋとタグτと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。
【0018】
・ＤｅｃＴＢＥ（ｄｋ，τ，ｃ）→ｍ／⊥
復号アルゴリズムＤｅｃＴＢＥは、復号鍵ｄｋとタグτと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。
復号アルゴリズムＤｅｃＴＢＥは、復号鍵ｄｋとタグτと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。
【0019】
≪弱いコミットメント≫
弱いコミットメント方式ｗＣｏｍは、３つのアルゴリズム（Ｉｎｉｔ，Ｓ，Ｒ）で構成される。
弱いコミットメント方式ｗＣｏｍは、３つのアルゴリズム（Ｉｎｉｔ，Ｓ，Ｒ）で構成される。
【0020】
・Ｉｎｉｔ（１κ）→ｐｕｂ
初期化アルゴリズムＩｎｉｔは、安全性パラメータκを使った１κを入力とし、共通パラメータｐｕｂを出力する。
初期化アルゴリズムＩｎｉｔは、安全性パラメータκを使った１κを入力とし、共通パラメータｐｕｂを出力する。
【0021】
・Ｓ（１κ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）
送信者アルゴリズムＳは、安全性パラメータκを使った１κと共通パラメータｐｕｂを入力とし、乱数値ｒ∈｛０，１｝κとコミットメントｃｏｍとデコミットメントｄｅｃを出力する。なお、｛０，１｝κはκビット長のバイナリ系列を表す。
送信者アルゴリズムＳは、安全性パラメータκを使った１κと共通パラメータｐｕｂを入力とし、乱数値ｒ∈｛０，１｝κとコミットメントｃｏｍとデコミットメントｄｅｃを出力する。なお、｛０，１｝κはκビット長のバイナリ系列を表す。
【0022】
・Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）→ｒ／⊥
受信者アルゴリズムＲは、公開パラメータｐｕｂとコミットメントｃｏｍとデコミットメントｄｅｃを入力とし、乱数値ｒ∈｛０，１｝κ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥はコミットに失敗したことを意味し、｛０，１｝κに含まれない。
受信者アルゴリズムＲは、公開パラメータｐｕｂとコミットメントｃｏｍとデコミットメントｄｅｃを入力とし、乱数値ｒ∈｛０，１｝κ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥はコミットに失敗したことを意味し、｛０，１｝κに含まれない。
【0023】
≪メッセージ認証符号≫
メッセージ認証符号方式ＭＡＣは、２つのアルゴリズム（Ｔ，Ｖ）で構成される。
メッセージ認証符号方式ＭＡＣは、２つのアルゴリズム（Ｔ，Ｖ）で構成される。
【0024】
・Ｔ（ｒ，μ）→σ
ＭＡＣ生成アルゴリズムＴは、鍵ｒ∈｛０，１｝κとメッセージμ∈｛０，１｝＊を入力とし、タグσを出力する。なお、｛０，１｝＊は任意長のバイナリ系列を表す。
ＭＡＣ生成アルゴリズムＴは、鍵ｒ∈｛０，１｝κとメッセージμ∈｛０，１｝＊を入力とし、タグσを出力する。なお、｛０，１｝＊は任意長のバイナリ系列を表す。
【0025】
・Ｖ（ｒ，μ，σ）→Τ／⊥
検証アルゴリズムＶは、鍵ｒとメッセージμとタグσを入力とし、受諾を表す記号Τ又は拒否を表す記号⊥を出力する。なお、受諾を表す記号Ｔが出力された場合はタグσの検証に成功したことを意味し、拒否を表す記号⊥が出力された場合はタグσの検証に失敗したことを意味する。
検証アルゴリズムＶは、鍵ｒとメッセージμとタグσを入力とし、受諾を表す記号Τ又は拒否を表す記号⊥を出力する。なお、受諾を表す記号Ｔが出力された場合はタグσの検証に成功したことを意味し、拒否を表す記号⊥が出力された場合はタグσの検証に失敗したことを意味する。
【0026】
＜匿名公開鍵暗号＞
次に、上記で準備したタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣとを用いて、本実施形態に係る匿名公開鍵暗号方式ＰＫＥを構成する。なお、この構成方法そのものは、上記の非特許文献１に記載されているＢＫ変換である。ただし、上記の非特許文献１では、タグベース暗号方式ＴＢＥではなく、ＩＤベース暗号方式ＩＢＥを用いている。
次に、上記で準備したタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣとを用いて、本実施形態に係る匿名公開鍵暗号方式ＰＫＥを構成する。なお、この構成方法そのものは、上記の非特許文献１に記載されているＢＫ変換である。ただし、上記の非特許文献１では、タグベース暗号方式ＴＢＥではなく、ＩＤベース暗号方式ＩＢＥを用いている。
【0027】
本実施形態に係る匿名公開鍵暗号方式ＰＫＥ＝（ＧｅｎＰＫＥ，ＥｎｃＰＫＥ，ＤｅｃＰＫＥ）では、各アルゴリズムを以下のように構成する。なお、以下では、タグベース暗号方式ＴＢＥの暗号化鍵ｅｋ及び復号鍵ｄｋをそれぞれｅｋＴＢＥ及びｄｋＴＢＥと表す。
【0028】
・ＧｅｎＰＫＥ（１κ）→（ｅｋ，ｄｋ）
鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、暗号化鍵ｅｋと復号鍵ｄｋのペア（ｅｋ，ｄｋ）を出力する。このとき、鍵生成アルゴリズムＧｅｎＰＫＥは、以下のＳｔｅｐ１－１～Ｓｔｅｐ１－３により（ｅｋ，ｄｋ）を出力する。ただし、Ｓｔｅｐ１－１とＳｔｅｐ１－２は順不同である。
鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、暗号化鍵ｅｋと復号鍵ｄｋのペア（ｅｋ，ｄｋ）を出力する。このとき、鍵生成アルゴリズムＧｅｎＰＫＥは、以下のＳｔｅｐ１－１～Ｓｔｅｐ１－３により（ｅｋ，ｄｋ）を出力する。ただし、Ｓｔｅｐ１－１とＳｔｅｐ１－２は順不同である。
【0029】
Ｓｔｅｐ１－１：（ｅｋＴＢＥ，ｄｋＴＢＥ）←ＧｅｎＴＢＥ（１κ）
Ｓｔｅｐ１－２：ｐｕｂ←Ｉｎｉｔ（１κ）
Ｓｔｅｐ１－３：ｅｋ：＝（ｅｋＴＢＥ，ｐｕｂ）とｄｋ：＝ｄｋＴＢＥを出力する。
Ｓｔｅｐ１－２：ｐｕｂ←Ｉｎｉｔ（１κ）
Ｓｔｅｐ１－３：ｅｋ：＝（ｅｋＴＢＥ，ｐｕｂ）とｄｋ：＝ｄｋＴＢＥを出力する。
【0030】
・ＥｎｃＰＫＥ（ｅｋ，ｍ）→ｃｔ
暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃｔ∈Ｃを出力する。このとき、暗号化アルゴリズムＥｎｃＰＫＥは、以下のＳｔｅｐ２－１～Ｓｔｅｐ２－４により暗号文ｃｔを出力する。
暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃｔ∈Ｃを出力する。このとき、暗号化アルゴリズムＥｎｃＰＫＥは、以下のＳｔｅｐ２－１～Ｓｔｅｐ２－４により暗号文ｃｔを出力する。
【0031】
Ｓｔｅｐ２－１：（ｒ，ｃｏｍ，ｄｅｃ）←Ｓ（１κ，ｐｕｂ）
Ｓｔｅｐ２－２：ｃ←ＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））
Ｓｔｅｐ２－３：σ←Ｔ（ｒ，ｃ）
Ｓｔｅｐ２－４：ｃｔ：＝（ｃｏｍ，ｃ，σ）を出力する。
Ｓｔｅｐ２－２：ｃ←ＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））
Ｓｔｅｐ２－３：σ←Ｔ（ｒ，ｃ）
Ｓｔｅｐ２－４：ｃｔ：＝（ｃｏｍ，ｃ，σ）を出力する。
【0032】
・ＤｅｃＰＫＥ（ｄｋ，ｃｔ）→ｍ／⊥
復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃｔを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。このとき、復号アルゴリズムＤｅｃＰＫＥは、以下のＳｔｅｐ３－１～Ｓｔｅｐ３－４により平文ｍ又は拒否を表す記号⊥を出力する。
復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃｔを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。このとき、復号アルゴリズムＤｅｃＰＫＥは、以下のＳｔｅｐ３－１～Ｓｔｅｐ３－４により平文ｍ又は拒否を表す記号⊥を出力する。
【0033】
Ｓｔｅｐ３－１：ｃｔ＝（ｃｏｍ，ｃ，σ）をパースする。なお、ｃｔをパースするとは、ｃｔからｃｏｍとｃとσを取り出すことを意味する。
【0034】
Ｓｔｅｐ３－２：（ｍ，ｄｅｃ）←ＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）；そして、（ｍ，ｄｅｃ）＝⊥である場合は、拒否を表す記号⊥を出力
Ｓｔｅｐ３－３：ｒ←Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）；そして、ｒ＝⊥である場合は、拒否を表す記号⊥を出力
Ｓｔｅｐ３－４：Ｖ（ｒ，ｃ，σ）＝⊥である場合は⊥を出力し、そうでない場合はｍを出力する。
Ｓｔｅｐ３－３：ｒ←Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）；そして、ｒ＝⊥である場合は、拒否を表す記号⊥を出力
Ｓｔｅｐ３－４：Ｖ（ｒ，ｃ，σ）＝⊥である場合は⊥を出力し、そうでない場合はｍを出力する。
【0035】
＜安全性について＞
上記で構成した匿名公開鍵暗号方式ＰＫＥは、その構成要素であるタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣの安全性に応じて、その安全性も変化する。
上記で構成した匿名公開鍵暗号方式ＰＫＥは、その構成要素であるタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣの安全性に応じて、その安全性も変化する。
【0036】
・ＢＫの変換の場合（従来技術と同等）
タグベース暗号方式ＴＢＥがＩＮＤ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤ－ＣＣＡ安全となる。
タグベース暗号方式ＴＢＥがＩＮＤ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤ－ＣＣＡ安全となる。
【0037】
・安全性パターン１
タグベース暗号方式ＴＢＥがＩＮＤｒ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全かつＩＮＤｒ安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつ疑似ランダム
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤｒ－ＣＣＡ安全となる。
タグベース暗号方式ＴＢＥがＩＮＤｒ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全かつＩＮＤｒ安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつ疑似ランダム
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤｒ－ＣＣＡ安全となる。
【0038】
・安全性パターン２
タグベース暗号方式ＴＢＥがＯＳ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全かつＯＳ安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつＯＳ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＯＳ－ＣＣＡ安全となる。
タグベース暗号方式ＴＢＥがＯＳ－ｓｔ－ｗＣＣＡ安全
弱いコミットメント方式ｗＣｏｍが安全かつＯＳ安全
メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつＯＳ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＯＳ－ＣＣＡ安全となる。
【0039】
このように、上記で構成した匿名公開鍵暗号方式ＰＫＥはその構成要素の安全性を変化させることで、当該匿名公開鍵暗号方式ＰＫＥの安全性も変化する。また、上記の通り、安全性パターン１及び安全性パターン２では、匿名公開鍵暗号方式ＰＫＥの安全性はそれぞれＩＮＤｒ－ＣＣＡ安全及びＯＳ－ＣＣＡ安全となる。このため、タグベース暗号方式ＴＢＥ、弱いコミットメント方式ｗＣｏｍ、及びメッセージ認証符号方式ＭＡＣの安全性として安全性パターン１又は安全性パターン２を採用することで、匿名性を確保した安全な公開鍵暗号方式ＰＫＥを実現することができる。なお、安全性パターン１の場合に匿名公開鍵暗号方式ＰＫＥがＩＮＤｒ－ＣＣＡ安全であること、安全性パターン２の場合に匿名公開鍵暗号方式ＰＫＥがＯＳ－ＣＣＡ安全であることはいずれも証明可能である。
【0040】
なお、上記の各安全性の定義は一般的に知られているものであるが、必要に応じて以下の参考文献等を参照されたい。
【0041】
参考文献１：Ran Canetti and Marc Fischlin. Universally composable commitments. In Joe Kilian, editor, CRYPTO 2001, volume 2139 of LNCS, pages 19-40. Springer, Heidelberg, August 2001.
参考文献２：Charles Rackoff and Daniel R. Simon. Noninteractive zero-knowledge proof of knowledge and chosen ciphertext attack. In Joan Feigenbaum, editor, CRYPTO'91, volume 576
of LNCS, pages 433-444. Springer, Heidelberg, August 1992.
参考文献３：Mihir Bellare, Anand Desai, David Pointcheval, and Phillip Rogaway. Relations among notions of security for public-key encryption schemes. In Hugo Krawczyk, editor, CRYPTO'98, volume 1462 of LNCS, pages 26-45. Springer, Heidelberg, August 1998.
参考文献４：Eike Kiltz. Chosen-ciphertext security from tag-based encryption. In Shai Halevi and Tal Rabin, editors, TCC 2006, volume 3876 of LNCS, pages 581-600. Springer, Heidelberg, March 2006.
＜暗号システム１の全体構成＞
次に、本実施形態に係る暗号システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る暗号システム１の全体構成の一例を示す図である。
参考文献２：Charles Rackoff and Daniel R. Simon. Noninteractive zero-knowledge proof of knowledge and chosen ciphertext attack. In Joan Feigenbaum, editor, CRYPTO'91, volume 576
of LNCS, pages 433-444. Springer, Heidelberg, August 1992.
参考文献３：Mihir Bellare, Anand Desai, David Pointcheval, and Phillip Rogaway. Relations among notions of security for public-key encryption schemes. In Hugo Krawczyk, editor, CRYPTO'98, volume 1462 of LNCS, pages 26-45. Springer, Heidelberg, August 1998.
参考文献４：Eike Kiltz. Chosen-ciphertext security from tag-based encryption. In Shai Halevi and Tal Rabin, editors, TCC 2006, volume 3876 of LNCS, pages 581-600. Springer, Heidelberg, March 2006.
＜暗号システム１の全体構成＞
次に、本実施形態に係る暗号システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る暗号システム１の全体構成の一例を示す図である。
【0042】
図１に示すように、本実施形態に係る暗号システム１には、暗号化装置１０と、復号装置２０とが含まれる。また、暗号化装置１０と復号装置２０は、インターネット等の通信ネットワーク３０を介して通信可能に接続される。
【0043】
暗号化装置１０は、平文ｍを暗号化する端末や機器等の各種情報処理装置である。暗号化装置１０は、暗号化処理部１０１と、記憶部１０２とを有する。暗号化処理部１０１は、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥにより平文ｍを暗号化する。記憶部１０２には、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥの実行に必要な各種情報（例えば、暗号化鍵ｅｋ、安全性パラメータκ、共通パラメータｐｕｂ等）が記憶される。
【0044】
復号装置２０は、暗号文ｃｔを復号する端末や機器等の各種情報処理装置である。復号装置２０は、鍵生成処理部２０１と、復号処理部２０２と、記憶部２０３とを有する。鍵生成処理部２０１は、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥにより暗号化鍵ｅｋ及び復号鍵ｄｋを生成する。復号処理部２０２は、匿名公開鍵暗号方式ＰＫＥの復号アルゴリズムＤｅｃＰＫＥにより暗号文ｃｔを復号する。記憶部２０３には、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥや復号アルゴリズムＤｅｃＰＫＥの実行に必要な情報（例えば、安全性パラメータκ、共通パラメータｐｕｂ、復号鍵ｄｋ等）が記憶される。なお、以下では、安全性パラメータκ及び共通パラメータｐｕｂを公開パラメータともいう。
【0045】
なお、図１に示す例では、匿名公開鍵暗号方式ＰＫＥの暗号化鍵ｅｋ及び復号鍵ｄｋを復号装置２０が生成しているが、これは一例であって、例えば、鍵生成局等として機能するサーバが当該暗号化鍵ｅｋ及び復号鍵ｄｋを生成してもよい。この場合、当該サーバが鍵生成処理部２０１を有しており、この鍵生成処理部２０１により暗号化鍵ｅｋ及び復号鍵ｄｋが生成され、当該復号鍵ｄｋは何等かのセキュアな方法で復号装置２０に配布される一方で、当該暗号化鍵ｅｋと公開パラメータは暗号化装置１０及び復号装置２０に公開される。
【0046】
＜暗号システム１のハードウェア構成＞
次に、本実施形態に係る暗号システム１に含まれる暗号化装置１０及び復号装置２０のハードウェア構成について説明する。これらの暗号化装置１０及び復号装置２０は、例えば、図２に示すコンピュータ５００のハードウェア構成により実現可能である。
次に、本実施形態に係る暗号システム１に含まれる暗号化装置１０及び復号装置２０のハードウェア構成について説明する。これらの暗号化装置１０及び復号装置２０は、例えば、図２に示すコンピュータ５００のハードウェア構成により実現可能である。
【0047】
図２に示すコンピュータ５００は、ハードウェアとして、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これらの各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。
【0048】
入力装置５０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置５０２は、例えば、ディスプレイ等である。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。
【0049】
外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。なお、記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。
【0050】
通信Ｉ／Ｆ５０４は、通信ネットワーク３０に接続するためのインタフェースである。プロセッサ５０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等といった各種演算装置である。メモリ装置５０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等といった各種記憶装置である。
【0051】
本実施形態に係る暗号化装置１０及び復号装置２０は、図２に示すコンピュータ５００のハードウェア構成により、後述する各種処理を実現することができる。なお、図２に示すコンピュータ５００のハードウェア構成は一例であって、暗号システム１が適用される対象の用途等に応じて種々のハードウェア構成が採用されてもよい。
【0052】
なお、暗号化処理部１０１は、例えば、暗号化装置１０にインストールされた１以上のプログラムが、当該暗号化装置１０を実現するコンピュータ５００のプロセッサ５０５に実行させる処理により実現される。また、記憶部１０２は、例えば、当該暗号化装置１０を実現するコンピュータ５００のメモリ装置５０６により実現される。
【0053】
同様に、鍵生成処理部２０１及び復号処理部２０２は、例えば、復号装置２０にインストールされた１以上のプログラムが、当該復号装置２０を実現するコンピュータ５００のプロセッサ５０５に実行させる処理により実現される。また、記憶部２０３は、例えば、当該復号装置２０を実現するコンピュータ５００のメモリ装置５０６により実現される。
【0054】
＜暗号システム１の全体処理＞
次に、本実施形態に係る暗号システム１の全体処理の流れについて、図３を参照しながら説明する。図３は、本実施形態に係る暗号システム１の全体処理の流れの一例を示すシーケンス図である。
次に、本実施形態に係る暗号システム１の全体処理の流れについて、図３を参照しながら説明する。図３は、本実施形態に係る暗号システム１の全体処理の流れの一例を示すシーケンス図である。
【0055】
まず、復号装置２０の鍵生成処理部２０１は、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥ（１κ）を実行し、暗号化鍵ｅｋと復号鍵ｄｋとを生成する（ステップＳ１０１）。なお、復号鍵ｄｋは記憶部２０３に保存される。
【0056】
次に、復号装置２０の鍵生成処理部２０１は、公開パラメータ（つまり、安全性パラメータκ及び共通パラメータｐｕｂ）と、上記のステップＳ１０１で生成された暗号化鍵ｅｋとを暗号化装置１０に送信する（ステップＳ１０２）。なお、本ステップでは公開パラメータと暗号化鍵ｅｋとを暗号化装置１０に送信しているが、必ずしも送信する必要はなく、例えば、暗号化装置１０が参照可能なサーバ等に保存されてもよい。
【0057】
暗号化装置１０の暗号化処理部１０１は、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥ（ｅｋ，ｍ）を実行し、平文ｍを暗号化する（ステップＳ１０３）。これにより、暗号文ｃｔが生成される。
【0058】
次に、暗号化装置１０の暗号化処理部１０１は、上記のステップＳ１０３で生成された暗号文ｃｔを復号装置２０に送信する（ステップＳ１０４）。
【0059】
復号装置２０の復号処理部２０２は、匿名公開鍵暗号方式ＰＫＥの復号アルゴリズムＤｅｃＰＫＥ（ｄｋ，ｃｔ）を実行し、暗号文ｃｔを復号する（ステップＳ１０５）。これにより、平文ｍが生成される。
【0060】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。
【符号の説明】
【0061】
１ 暗号システム
１０ 暗号化装置
２０ 復号装置
３０ 通信ネットワーク
１０１ 暗号化処理部
１０２ 記憶部
２０１ 鍵生成処理部
２０２ 復号処理部
２０３ 記憶部
１０ 暗号化装置
２０ 復号装置
３０ 通信ネットワーク
１０１ 暗号化処理部
１０２ 記憶部
２０１ 鍵生成処理部
２０２ 復号処理部
２０３ 記憶部
【図1】
【図2】
【図3】