(57)【要約】  何れかの回線に対応する登録回線情報を鍵装置１２に格納しておく。端末装置１１が或る回線を用いて暗号文と回線情報とを鍵装置１２に対して送信する。鍵装置１２は、送信された暗号文と回線情報とを受け付け、回線情報が登録回線情報に対応する場合に、当該暗号文の復号値に対応する応答情報を出力する。端末装置１１は応答情報から復号値を得る。
2015056601.tif 000002
【特許請求の範囲】
【請求項１】
何れかの回線に対応する登録回線情報を格納する登録回線記憶部と、
暗号文と回線情報とが入力される入力部と、
前記暗号文の復号値に対応する応答情報を生成する応答部と、
前記回線情報が前記登録回線情報に対応する場合に前記応答情報を出力する出力部と、を有する鍵装置。
【請求項２】
請求項１の鍵装置であって、
前記出力部は、前記登録回線情報に対応する前記回線情報に対応する回線に対して前記応答情報を出力する、
ことを特徴とする鍵装置。
【請求項３】
請求項１の鍵装置であって、
前記回線は回線認証可能であり、
前記入力部に入力される前記回線情報は、回線認証に成功した回線に対応する情報である、
ことを特徴とする鍵装置。
【請求項４】
請求項１の鍵装置であって、
複数個の復号鍵を格納する鍵記憶部をさらに有し、
前記入力部には、復号鍵を特定するための情報がさらに入力され、
前記復号値は、前記復号鍵を特定するための情報によって特定される復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項５】
請求項１の鍵装置であって、
前記入力部には、再暗号化鍵がさらに入力され、
前記応答情報は、前記再暗号化鍵で前記暗号文の復号値を再暗号化して得られる再暗号文に対応する情報である、
ことを特徴とする鍵装置。
【請求項６】
請求項５の鍵装置であって、
前記再暗号化鍵は、前記応答情報が入力される端末装置で得られたランダム値であり、
前記端末装置は、前記再暗号文を復号するための再暗号文復号鍵を保持する、
ことを特徴とする鍵装置。
【請求項７】
請求項１の鍵装置であって、
前記復号値は、前記回線情報に対応する復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項８】
請求項１の鍵装置であって、
前記回線情報が階層型回線情報であり、
前記登録回線情報が何れかの階層型回線情報に対応する情報であり、
前記暗号文が、階層型ＩＤベース暗号方式に則って暗号化されたものであり、
前記復号値が、前記回線情報を含む識別子に対応する復号鍵で、前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項９】
請求項８の鍵装置であって、
前記回線情報が登録回線情報に対応するとは、前記回線情報が、前記登録回線情報に対応する階層型回線情報または前記登録回線情報に対応する階層型回線情報の下位階層に属することである、
ことを特徴とする鍵装置。
【請求項１０】
請求項１から９の何れかの鍵装置であって、
前記暗号文は、第２暗号文に対応する情報であり、
前記応答情報は、自己訂正処理によって、前記第２暗号文の復号値または前記第２暗号文の復号値を再暗号化して得られる再暗号文を得るための情報である、
ことを特徴とする鍵装置。
【請求項１１】
鍵装置と端末装置とを有し、
前記鍵装置には、何れかの回線に対応する登録回線情報が格納され、
前記鍵装置には、前記端末装置から出力された暗号文と前記端末装置が接続された回線に対応する回線情報とが入力され、
前記鍵装置は、前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力する、
ことを特徴とする鍵クラウドシステム。
【請求項１２】
何れかの回線に対応する登録回線情報が登録回線記憶部に格納され、
暗号文と回線情報とを入力部で受け付け、
前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力部から出力する、
ことを特徴とする復号方法。
【請求項１３】
請求項１から９の何れかの鍵装置としてコンピュータを機能させるためのプログラム。
【請求項１４】
請求項１０の鍵装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クラウド鍵管理型の復号技術に関する。
【背景技術】
【０００２】
特許文献１には、復号権限が与えられた端末装置に対応する登録許可情報を鍵装置に格納しておき、鍵装置で暗号文と端末情報とを受け付け、当該端末情報が何れかの登録許可情報に対応する場合に、当該暗号文の復号結果に対応する応答情報を出力する、クラウド鍵管理型の復号技術が開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１２−１５１７５６
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に開示された技術では、個々の端末装置に対応する登録許可情報が鍵装置に格納され、端末装置ごとに復号権限が与えられる。そのため、同一の回線に複数個の端末装置が接続される場合であっても、端末装置ごとに復号権限を与える必要がある。また、登録許可情報はクラウド鍵管理型の復号専用の情報であるため、端末装置にクラウド鍵管理型の復号用の設定を行った後でなければ、登録許可情報を鍵装置に格納することができない。すなわち、端末装置にクラウド鍵管理型の復号用の設定を行った後でなければ、当該端末装置に復号権限を与えることができない。【０００５】
本発明の課題は、復号権限の取り扱いに関する利便性を向上することである。
【課題を解決するための手段】
【０００６】
何れかの回線に対応する登録回線情報を鍵装置に格納しておき、当該鍵装置が暗号文と回線情報とを受け付け、回線情報が登録回線情報に対応する場合に、当該暗号文の復号値に対応する応答情報を出力する。
【発明の効果】
【０００７】
回線ごとに復号権限を与えるため、同一の回線に複数個の端末装置が接続される場合であっても、端末装置ごとに復号権限を与える必要はない。また、回線に対して復号権限を与えるため、端末装置にクラウド鍵管理型の復号用の設定を行う前であっても、当該端末装置に復号権限を与えることができる。よって、復号権限の取り扱いに関する利便性が向上する。
【図面の簡単な説明】
【０００８】
【図１】図１は、第１実施形態およびその変形例の鍵クラウドシステムの機能構成を例示するためのブロック図である。
【図２】図２は、第１実施形態およびその変形例の復号方法を説明するためのシーケンス図である。
【図３】図３は、第２実施形態およびその変形例の鍵クラウドシステムの機能構成を例示するためのブロック図である。
【図４】図４は、第２実施形態およびその変形例の復号方法を説明するためのシーケンス図である。
【図５】図５は、第３実施形態およびその変形例の鍵クラウドシステムの機能構成を例示するためのブロック図である。
【図６】図６は、第３実施形態およびその変形例の復号方法を説明するためのシーケンス図である。
【図７】図７は、第４実施形態およびその変形例の鍵クラウドシステムの機能構成を例示するためのブロック図である。
【図８】図８は、第４実施形態およびその変形例の復号方法を説明するためのシーケンス図である。
【図９】図９は、ステップＳ４０７の詳細を例示するためのフロー図である。
【発明を実施するための形態】
【０００９】
図面を参照して本発明の実施形態を説明する。
［第１実施形態］
本発明の第１実施形態を説明する。
＜構成＞
本形態の構成を説明する。図１に例示するように、本形態の鍵クラウドシステム１は、端末装置１１と鍵装置１２とを有する。端末装置１１と鍵装置１２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００１０】
回線認証(network based authentication)とは、「このユーザーは確かにこの回線から通信してきた」ということを確認するためのユーザー認証技術である。回線認証自体は公知であり、例えば、参考文献１（“ＮＴＴデータ、ＮＧＮの回線情報を利用した認証連携機能を開発〜セキュリティを容易に確保するための仕組みを確立〜”、[online]、株式会社ＮＴＴデータ、[平成２５年３月２１日検索]、インターネット＜http://www.nttdata.com/jp/ja/news/release/2009/091600.html＞）や米国特許出願公開第US2007-0234404 A1号明細書などに開示されている。端末装置１１が公衆回線の特定の回線を用いて鍵装置１２と通信を行う場合、端末装置１１が使用する回線に対応する回線情報 (network based identification)が認証装置に送られる。回線情報の例は、例えば、「Nir Yosef, Roded Sharan, and William Stafford Noble, “Improved network-based identification of protein orthologs,” Oxford Journals, Science & Mathematics Bioinformatics, Volume 24, Issue 16, pp. i200-i206, http://bioinformatics.oxfordjournals.org/content/24/16/i200.」に開示されている。認証装置での回線認証が成功である場合、端末装置１１はこの回線を通じて鍵装置１２と通信を行うことができる。認証装置での回線認証が失敗である場合、端末装置１１はこの回線を通じて鍵装置１２と通信を行うことができない。回線認証の具体例は、ＮＧＮ（next generation network）の回線認証やＥＡＰ−ＳＩ認証などがある。回線情報の具体例は、回線に接続される機器に固有な識別子、ゲートウェイ（ホームゲートウエイ等）のＭＡＣアドレス、フレッツナンバー（登録商標）、ＩＭＳＩ（International Mobile Subscriber Identity）、メールアドレス、所属部署名などである。
【００１１】
回線情報通知機能とは、或る回線を用いた通信において通信先の装置にその回線の回線情報を通知する機能である。回線情報通知機能も公知であり、例えば、参考文献２（“回線情報通知機能”、[online]、東日本電信電話株式会社、フレッツ公式ホームページ、[平成２５年３月２１日検索]、インターネット＜http://flets.com/asc/s_outline.html＞）などに開示されている。端末装置１１が或る回線を通じて鍵装置１２と通信を行う場合、その回線の回線情報が鍵装置１２に通知される。
【００１２】
図１に例示するように、本形態の端末装置１１は、記憶部１１１と出力部１１３と入力部１１４と復号処理部１１５とを有する。鍵装置１２は、記憶部１２１，１２２と、入力部１２３と、出力部１２４と、判定部１２５と、応答部１２６とを有する。各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を含む汎用または専用のコンピュータに所定のプログラムが読み込まれることで構成されたものである。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図１では端末装置１１と鍵装置１２とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００１３】
＜復号処理の前提＞
本形態では、暗号化鍵ｙとそれに対応する復号鍵ｓとの鍵ペア（ｙ，ｓ）が事前に設定される。鍵ペア（ｙ，ｓ）は、例えば、公開鍵暗号方式の公開鍵と秘密鍵との鍵ペアでもよいし、ＩＤベース暗号方式の識別子とそれに対応する秘密鍵とのペアでもよいし、関数型暗号方式の属性ベクトルとそれに対応する秘密鍵とのペアでもよいし、互いに等しい共通鍵暗号方式の共通鍵であってもよい。暗号化鍵ｙは図示していない暗号化装置に格納され、復号鍵ｓは鍵装置１２（図１）の記憶部１２１（鍵記憶部）に安全に格納される。図示していない暗号化装置は、暗号化鍵ｙを用いて平文ｍを暗号化した暗号文Ｃ＝Ｅｎｃ（ｙ，ｍ）を生成し、暗号文Ｃは端末装置１１（図１）の記憶部１１１に格納される。
【００１４】
また、復号サービスが許可された回線が予め設定され、復号サービスが許可された何れかの回線に対応する登録回線情報のリストＬｉｓｔが、鍵装置１２の記憶部１２２（登録回線記憶部）に格納される。登録回線情報は、復号サービスが許可された回線情報そのものであってもよいし、復号サービスが許可された回線情報に対して一義的に決まる情報であってもよい。
【００１５】
＜復号処理＞
図２を用いて本形態の復号処理を説明する。端末装置１１（図１）の復号処理部１１５は記憶部１１１から暗号文Ｃを読み込み、暗号文Ｃを出力する。暗号文Ｃは出力部１１３に入力される。出力部１１３は、鍵装置１２を宛先とし、公衆回線の所定の回線に対して暗号文Ｃを出力する（ステップＳ１０１）。
【００１６】
暗号文Ｃが出力された回線の回線情報ｘは、回線認証機能を提供する認証装置（図示せず）に送られ、この認証装置は回線情報ｘを用いた回線認証を行う（ステップＳ１０２）。回線認証が失敗であった場合（ステップＳ１０３）、エラー情報が端末装置１１に送信される。送信されたエラー情報は、入力部１１４に入力されて復号処理部１１５に送られ、復号処理部１１５は復号処理を終了する（ステップＳ１０４）。
【００１７】
一方、回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃが鍵装置１２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置１２に送信する（ステップＳ１０５）。回線情報ｘおよび暗号文Ｃは、鍵装置１２の入力部１２３に入力される。入力部１２３に入力される回線情報ｘは、回線認証に成功した回線に対応する情報である。回線情報ｘは判定部１２５に送られ、暗号文Ｃは応答部１２６に送られる（ステップＳ１０６）。判定部１２５は、記憶部１２２に格納されたリストＬｉｓｔの何れかの登録回線情報に回線情報ｘが対応するかを判定する。例えば、復号サービスが許可された回線情報そのものが登録回線情報である場合、判定部１２５は、回線情報ｘが記憶部１２２に格納されたリストＬｉｓｔに含まれるかを判定する（ステップＳ１０７）。回線情報ｘがリストＬｉｓｔの何れの登録回線情報に対応しない場合（例えば、回線情報ｘがリストＬｉｓｔに含まれない場合）（ステップＳ１０８）、出力部１２４からエラー情報が送信される。送信されたエラー情報は、端末装置１１の入力部１１４に入力されて復号処理部１１５に送られ、復号処理部１１５は復号処理を終了する（ステップＳ１０９）。一方、回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応する場合（例えば、回線情報ｘがリストＬｉｓｔに含まれる場合）（ステップＳ１０８）、応答部１２６は、記憶部１２１に格納された復号鍵ｓを用いて暗号文Ｃを復号し、それによって得られた復号値ｍ’を出力する（ステップＳ１１０）。復号値ｍ’は出力部１２４に入力される。出力部１２４は、端末装置１１を宛先とし、回線情報ｘ（登録回線情報に対応する回線情報）に対応する回線に対して復号値ｍ’（復号値に対応する応答情報）を出力する（ステップＳ１１１）。
【００１８】
復号値ｍ’は、端末装置１１の入力部１１４に入力されて復号処理部１１５に送られる（ステップＳ１１２）。復号処理部１１５は、復号値ｍ’を出力して復号処理を終了する（ステップＳ１１３）。
【００１９】
＜第１実施形態の特徴＞
本形態では回線ごとに復号権限を与えるため、同一の回線に複数個の端末装置が接続される場合であっても、端末装置ごとに復号権限を与える必要はない。また、回線に対して復号権限を与えるため、本システム専用の設定を行う前の端末装置に対しても復号権限を与えることができる。すなわち、本形態の復号処理機能を実行するためのプログラムを端末装置にインストールする前であっても、その端末装置が使用する回線に対応する回線情報を特定することはでき、その回線に対応する登録回線情報を含むリストを鍵装置に格納することができる。また、鍵装置に入力される回線情報ｘは公衆回線での回線認証に成功したものである。そのため、この回線情報ｘに対応する回線を利用して鍵装置に接続してきた端末装置の正当性が保証される。
【００２０】
［第１実施形態の変形例］
第１実施形態の変形例として、自己訂正技術を用いたクラウド鍵管理型の復号が行われてもよい。自己訂正技術とは、必ずしも正しい計算結果を出力するとは限らない計算機やシステムを用いて常に正しい計算を行う（正しい計算結果を出力する計算機を用いた場合に正しい計算結果を出力し、必ずしも正しい結果を出力するとは限らない計算機を用いた場合に、正しい計算結果を得るか、または計算できない旨の結果を得る）技術である。この変形例の場合、端末装置は、暗号化鍵を用いて平文ｍを暗号化して得られた第２暗号文に対応する情報を暗号文Ｃとして鍵装置に送信し、鍵装置は、回線情報が登録回線情報に対応する場合に、復号鍵を用いて第２暗号文を復号して得られる復号値を端末装置が自己訂正処理によって得るための応答情報を送信し、当該端末装置は当該応答情報を用いて復号値ｍ’を得る。自己訂正技術自体は公知技術であり、例えば、参考文献３（国際公開ＷＯ／２０１２／０５７１３４号公報）、参考文献４（国際公開ＷＯ／２０１１／０８６９９２号公報）、および参考文献５（国際公開ＷＯ／２０１２／１２１１５２号公報）等に開示されている。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００２１】
＜構成＞
本変形例の構成を説明する。図１に例示するように、本変形例の鍵クラウドシステム１’は、端末装置１１’と鍵装置１２’とを有する。端末装置１１’と鍵装置１２’とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００２２】
図１に例示するように、本変形例の端末装置１１’は、記憶部１１１と出力部１１３’と入力部１１４’と復号処理部１１５’とを有する。鍵装置１２’は、記憶部１２１，１２２と、入力部１２３’と、出力部１２４’と、判定部１２５と、応答部１２６’とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図１では端末装置１１’と鍵装置１２’とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００２３】
＜復号処理の前提＞
第１実施形態と同じである。
【００２４】
＜復号処理＞
図２を用いて本変形例の復号処理を説明する。端末装置１１’（図１）の復号処理部１１５’は、記憶部１１１から第２暗号文Ｅｎｃ（ｙ，ｍ）を読み込み、当該第２暗号文Ｅｎｃ（ｙ，ｍ）に対応する情報を暗号文Ｃとして出力する。本変形例の暗号文Ｃは、端末装置１１’が自己訂正処理によって暗号文Ｅｎｃ（ｙ，ｍ）の復号値ｍ’を得るための応答情報を鍵装置１２’から取得するために、端末装置１１’が鍵装置１２’に与える情報である。暗号文Ｃの例は、第２暗号文Ｅｎｃ（ｙ，ｍ）をかく乱した情報である。例えば、参考文献３〜５等に開示された「入力情報」を暗号文Ｃとすることができる（ステップＳ１０１’）。
【００２５】
その後、第１実施形態で説明したステップＳ１０２〜Ｓ１０４の処理に移る。ただし、端末装置１１に代えて端末装置１１’がこれらの処理を行う。回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃが鍵装置１２’に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置１２’に送信する（ステップＳ１０５’）。回線情報ｘおよび暗号文Ｃは、鍵装置１２’の入力部１２３’に入力される。回線情報ｘは判定部１２５に送られ、暗号文Ｃは応答部１２６’に送られる（ステップＳ１０６’）。
【００２６】
その後、第１実施形態で説明したステップＳ１０７〜Ｓ１０９の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置１１’および鍵装置１２’がこれらの処理を行う。回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応する場合（ステップＳ１０８）、応答部１２６’は、記憶部１２１から読み込んだ復号鍵ｓと入力された暗号文Ｃとを用いて応答情報ｚを生成して出力する。応答情報ｚは、端末装置１１’が自己訂正処理によって復号値ｍ’を得るための情報である。例えば、参考文献３〜５等に開示された「出力情報」を応答情報ｚとすることができる（ステップＳ１１０’）。
【００２７】
応答情報ｚは出力部１２４’に入力される。出力部１２４’は、端末装置１１’を宛先とし、回線情報ｘ（登録回線情報に対応する回線情報）に対応する回線に対して応答情報ｚ（復号値に対応する応答情報）を出力する（ステップＳ１１１’）。応答情報ｚは、端末装置１１’の入力部１１４’に入力されて復号処理部１１５’に送られる（ステップＳ１１２’）。復号処理部１１５’は、応答情報ｚを用いた自己訂正処理を行い、復号値ｍ’あるいは復号値ｍ’を得ることができない旨のエラー情報を得て出力する（ステップＳ１１３’）。
【００２８】
ステップＳ１１３’でエラー情報が得られた場合、復号処理をエラー終了してもよいし、ステップＳ１０１’〜Ｓ１１３’の処理が再び実行されてもよい。また、ステップＳ１０１’〜Ｓ１１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。また、回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された（ステップＳ１０８）後に、端末装置１１’が鍵装置１２’に対して、本変形例の暗号文Ｃを送信してもよい（ステップＳ１０１’’）。また、ステップＳ１１３’でエラー情報が得られた場合、ステップＳ１０１’’，Ｓ１１０’〜Ｓ１１３’の処理が再び実行されてもよい。また、ステップＳ１０１’’，Ｓ１１０’〜Ｓ１１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。ステップＳ１０１’’が実行される場合、ステップＳ１０１’で暗号文Ｃが出力されなくてもよい。
【００２９】
≪本変形例の暗号文Ｃおよび応答情報ｚの具体例１≫
本変形例の暗号文Ｃおよび応答情報ｚの具体例を示す。この例では、Ｇ，Ｈが巡回群、μｈが巡回群Ｈの生成元、第２暗号文Ｅｎｃ（ｙ，ｍ）が群Ｈの元、ｆが第２暗号文Ｅｎｃ（ｙ，ｍ）∈Ｈを復号鍵ｓで復号して群Ｇの元を得るための準同型性復号関数、Ｘ１，Ｘ２が群Ｇに値を持つ確率変数、ｘ１が確率変数Ｘ１の実現値、ｘ２が確率変数Ｘ２の実現値、ｒ１，ｒ２が０以上のランダムな自然数、ａ，ｂが互いに素である自然数である。ａ，ｂの一方が１などの定数であってもよい。
【００３０】
ステップＳ１０１’またはＳ１０１’’において、復号処理部１１５’は、τ１＝μｈｒ１｛Ｅｎｃ（ｙ，ｍ）｝ｂおよび／またはτ２＝μｈｒ２｛Ｅｎｃ（ｙ，ｍ）｝ａを暗号文Ｃとして出力する。ステップＳ１１０’において、応答部１２６’は、ｚ１および／またはｚ２を応答情報ｚとして出力する。ただし、ｚ１＝ｆ（τ１）あるいはｚ１≠ｆ（τ１）であり、ｚ２＝ｆ（τ２）あるいはｚ２≠ｆ（τ２）である。ｚ１＝ｆ（τ１）である場合もあればｚ１＝ｆ（τ１）でない場合もあり、ｚ２＝ｆ（τ２）である場合もあればｚ２＝ｆ（τ２）でない場合もある。すなわち、応答部１２６’は、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた計算結果をｚ１とし、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた計算結果をｚ２とする。なお、「或る確率」は１００％未満の確率である。「或る確率」の例は無視することができない確率であり、「無視することができない確率」の例は、セキュリティパラメータｋについての広義単調増加関数である多項式を多項式ψ（ｋ）とした場合の１／ψ（ｋ）以上の確率である。すなわち、応答部１２６’は、意図的又は意図的ではない誤差を含んだ計算結果を出力する。ステップＳ１１３’において、復号処理部１１５’は、ｕａ＝ｖｂを満たすｕ＝ｚ１ν−ｒ１およびｖ＝ｚ２ν−ｒ２に対応するｕｂ’ｖａ’を復号値ｍ’として出力する。ただし、ａ’，ｂ’はａ’ａ＋ｂ’ｂ＝１を満たす整数である。ｕａ＝ｖｂを満たすｚ１および／またはｚ２が得られていない場合、復号処理部１１５’は、復号値ｍ’を得ることができない旨のエラー情報を出力する。
【００３１】
≪本変形例の暗号文Ｃおよび応答情報ｚの具体例２≫
本変形例の暗号文Ｃおよび応答情報ｚの具体例を示す。この例では、Ｇが巡回群、群Ｈが群Ｇの直積群Ｇ×Ｇ、μｇが巡回群Ｇの生成元、Ｅｎｃ（ｙ，ｍ）＝（ｃ１，ｃ２）∈Ｈ、ｆが第２暗号文Ｅｎｃ（ｙ，ｍ）∈Ｈを復号鍵ｓで復号して群Ｇの元を得るための準同型性復号関数、Ｘ１，Ｘ２が群Ｇに値を持つ確率変数、ｘ１が確率変数Ｘ１の実現値、ｘ２が確率変数Ｘ２の実現値、（Ｖ，Ｗ）が群Ｈの元、ｆ（Ｖ，Ｗ）＝Ｙ、ｒ４〜ｒ７が０以上の自然数の乱数、ａ，ｂが互いに素である自然数である。ａ，ｂの一方が１などの定数であってもよい。
【００３２】
ステップＳ１０１’またはＳ１０１’’において、復号処理部１１５’は、τ１＝（ｃ２ｂＷｒ４，ｃ１ｂＶｒ４μｇｒ５）および／またはτ２＝（ｃ２ａＷｒ６，ｃ１ａＶｒ６μｇｒ７）を暗号文Ｃとして出力する。ステップＳ１１０’において、応答部１２６’は、ｚ１および／またはｚ２を応答情報ｚとして出力する。ただし、ｚ１＝ｆ（τ１）あるいはｚ１≠ｆ（τ１）であり、ｚ２＝ｆ（τ２）あるいはｚ２≠ｆ（τ２）である。ｚ１＝ｆ（τ１）である場合もあればｚ１＝ｆ（τ１）でない場合もあり、ｚ２＝ｆ（τ２）である場合もあればｚ２＝ｆ（τ２）でない場合もある。ステップＳ１１３’において、復号処理部１１５’は、ｕａ＝ｖｂを満たすｕ＝ｚ１Ｙ−ｒ４μｇ−ｒ５およびｖ＝ｚ２Ｙ−ｒ６μｇ−ｒ７に対応するｕｂ’ｖａ’を復号値ｍ’として出力する。ただし、ａ’，ｂ’はａ’ａ＋ｂ’ｂ＝１を満たす整数である。ｕａ＝ｖｂを満たすｚ１および／またはｚ２が得られていない場合、復号処理部１１５’は、復号値ｍ’を得ることができない旨のエラー情報を出力する。
【００３３】
［第２実施形態］
本発明の第２実施形態を説明する。第２実施形態は第１実施形態の変形例である。本形態では、鍵装置が複数個の復号鍵を格納し、復号鍵を特定するための情報と暗号文と回線情報とが鍵装置に入力され、回線情報が登録回線情報に対応する場合に、鍵装置が復号鍵を特定するための情報から復号鍵を特定し、暗号文を復号する。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００３４】
＜構成＞
本形態の構成を説明する。図３に例示するように、本形態の鍵クラウドシステム２は、端末装置２１と鍵装置２２とを有する。端末装置２１と鍵装置２２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００３５】
図３に例示するように、本形態の端末装置２１は、記憶部１１１，２１１と出力部２１３と入力部１１４と復号処理部２１５とを有する。鍵装置２２は、記憶部２２１，１２２と、入力部２２３と、出力部１２４と、判定部１２５と、応答部２２６とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図３では端末装置２１と鍵装置２２とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００３６】
＜復号処理の前提＞
本形態では、事前に、暗号化鍵ｙとそれに対応する復号鍵ｓとの鍵ペア（ｙ，ｓ）が複数種類設定される。単一の暗号化方式に対して複数種類の鍵ペアが設定されてもよいし、複数種類の暗号化方式に対して複数種類の鍵ペアが設定されてもよい。或る暗号化鍵ｙは図示していない暗号化装置に格納され、設定された複数種類の復号鍵ｓからなる鍵リストｓ−Ｌｉｓｔが鍵装置２２の記憶部２２１（鍵記憶部）に安全に格納される。図示していない暗号化装置は、上述の或る暗号化鍵ｙを用いて平文ｍを暗号化した暗号文Ｃ＝Ｅｎｃ（ｙ，ｍ）を生成する。暗号文Ｃは端末装置２１（図３）の記憶部１１１に格納され、暗号文Ｃの生成に用いられた暗号化鍵ｙは、端末装置２１の記憶部２１１に格納される。その他の前提は、第１実施形態と同じである。
【００３７】
＜復号処理＞
図４を用いて本形態の復号処理を説明する。端末装置２１（図３）の復号処理部２１５は、記憶部１１１から暗号文Ｃを読み込み、記憶部２１１から暗号化鍵ｙを読み込み、暗号文Ｃと暗号化鍵ｙ（復号鍵を特定するための情報）とを出力する。暗号文Ｃと暗号化鍵ｙは出力部２１３に入力される。出力部２１３は、鍵装置２２を宛先とし、公衆回線の所定の回線に対して暗号文Ｃと暗号化鍵ｙを出力する（ステップＳ２０１）。
【００３８】
その後、第１実施形態で説明したステップＳ１０２〜Ｓ１０４の処理に移る。ただし、端末装置１１に代えて端末装置２１がこれらの処理を行う。回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃと暗号化鍵ｙが鍵装置２２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置２２に送信する（ステップＳ２０５）。回線情報ｘ、暗号文Ｃおよび暗号化鍵ｙは、鍵装置２２の入力部２２３に入力される。回線情報ｘは判定部１２５に送られ、暗号文Ｃと暗号化鍵ｙは応答部２２６に送られる（ステップＳ２０６）。その後、第１実施形態で説明したステップＳ１０７〜Ｓ１０９の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置２１および鍵装置２２がこれらの処理を行う。
【００３９】
ステップＳ１０７で回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された場合（ステップＳ１０８）、応答部２２６は、入力された暗号化鍵ｙを用い、記憶部２２１（鍵記憶部）に格納された鍵リストｓ−Ｌｉｓｔから、暗号化鍵ｙに対応する復号鍵ｓ（復号鍵を特定するための情報によって特定される復号鍵）を読み込む。応答部２２６は、読み込んだ復号鍵ｓを用いて暗号文Ｃを復号し、それによって得られた復号値ｍ’を出力する（ステップＳ２１０）。その後、第１実施形態で説明したステップＳ１１１〜Ｓ１１３の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置２１および鍵装置２２がこれらの処理を行う。
【００４０】
＜第２実施形態の特徴＞
本形態も前述した第１実施形態の特徴を備える。加えて本形態では、設定された複数種類の暗号化鍵の何れで暗号化された暗号文であっても復号を行うことができる。なお、本形態では、「復号鍵を特定するための情報」として復号鍵を用いる例を示したが、復号鍵に代えて、復号鍵を一義的に特定する情報（復号鍵の鍵識別子等）が「復号鍵を特定するための情報」であってもよい。
【００４１】
［第２実施形態の変形例］
第２実施形態の変形例として、自己訂正技術を用いたクラウド鍵管理型の復号が行われてもよい。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００４２】
＜構成＞
本変形例の構成を説明する。図３に例示するように、本変形例の鍵クラウドシステム２’は、端末装置２１’と鍵装置２２’とを有する。端末装置２１’と鍵装置２２’とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００４３】
図３に例示するように、本変形例の端末装置２１’は、記憶部１１１，２１１と出力部２１３’と入力部２１４’と復号処理部２１５’とを有する。鍵装置２２’は、記憶部１２１，２２２と、入力部２２３’と、出力部２２４’と、判定部１２５と、応答部２２６’とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図３では端末装置２１’と鍵装置２２’とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００４４】
＜復号処理の前提＞
第２実施形態と同じである。
【００４５】
＜復号処理＞
図４を用いて本変形例の復号処理を説明する。端末装置２１’（図３）の復号処理部２１５’は、記憶部１１１から第２暗号文Ｅｎｃ（ｙ，ｍ）を読み込み、記憶部２１１から暗号化鍵ｙを読み込み、当該第２暗号文Ｅｎｃ（ｙ，ｍ）に対応する情報である暗号文Ｃと暗号化鍵ｙ（復号鍵を特定するための情報）とを出力する。本変形例の暗号文Ｃは、端末装置２１’が自己訂正処理によって暗号文Ｅｎｃ（ｙ，ｍ）の復号値ｍ’を得るための応答情報を鍵装置２２’から取得するために、端末装置２１’が鍵装置２２’に与える情報である。暗号文Ｃの例は、第１実施形態の変形例で示した通りである。暗号文Ｃと暗号化鍵ｙは出力部２１３’に入力される。出力部２１３’は、鍵装置２２’を宛先とし、公衆回線の所定の回線に対して暗号文Ｃと暗号化鍵ｙを出力する（ステップＳ２０１’）。
【００４６】
その後、第１実施形態で説明したステップＳ１０２〜Ｓ１０４の処理に移る。ただし、端末装置１１に代えて端末装置２１’がこれらの処理を行う。回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃと暗号化鍵ｙが鍵装置２２’に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置２２’に送信する（ステップＳ２０５’）。回線情報ｘ、暗号文Ｃおよび暗号化鍵ｙは、鍵装置２２’の入力部２２３’に入力される。回線情報ｘは判定部１２５に送られ、暗号文Ｃと暗号化鍵ｙは応答部２２６’に送られる（ステップＳ２０６’）。その後、第１実施形態で説明したステップＳ１０７〜Ｓ１０９の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置２１’および鍵装置２２’がこれらの処理を行う。
【００４７】
ステップＳ１０７で回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された場合（ステップＳ１０８）、応答部２２６’は、入力された暗号化鍵ｙを用い、記憶部２２１（鍵記憶部）に格納された鍵リストｓ−Ｌｉｓｔから、暗号化鍵ｙに対応する復号鍵ｓ（復号鍵を特定するための情報によって特定される復号鍵）を読み込む。応答部２２６’は、読み込んだ復号鍵ｓと入力された暗号文Ｃとを用いて応答情報ｚを生成して出力する。応答情報ｚは、端末装置２１’が自己訂正処理によって復号値ｍ’を得るための情報である。応答情報ｚの例は、第１実施形態の変形例で示した通りである（ステップＳ２１０’）。
【００４８】
その後、第１実施形態の変形例で説明したステップＳ１１１’〜Ｓ１１３’の処理に移る。ただし、端末装置１１’および鍵装置１２’に代えて端末装置２１’および鍵装置２２’がこれらの処理を行う。ステップＳ１１３’でエラー情報が得られた場合、復号処理をエラー終了してもよいし、ステップＳ２０１’〜Ｓ１１３’の処理が再び実行されてもよい。また、ステップＳ２０１’〜Ｓ１１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。また、回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された（ステップＳ１０８）後に、端末装置２１’が鍵装置２２’に対して、本変形例の暗号文Ｃを送信してもよい（ステップＳ２０1’’）。また、ステップＳ１１３’でエラー情報が得られた場合、ステップＳ２０1’’，Ｓ２１０’〜Ｓ１１３’の処理が再び実行されてもよい。また、ステップＳ２０1’’，Ｓ２１０’〜Ｓ１１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。ステップＳ２０１’’が実行される場合、ステップＳ２０１’で暗号文Ｃが出力されなくてもよい。
【００４９】
［第３実施形態］
本発明の第３実施形態を説明する。第３実施形態は第１実施形態の変形例である。本形態では、鍵装置に再暗号化鍵がさらに入力され、鍵装置は再暗号化鍵で暗号文の復号値を再暗号化して得られる再暗号文に対応する情報を応答情報として返す。再暗号化鍵は、例えば、応答情報が入力される端末装置で得られたランダム値であり、端末装置は、再暗号文を復号するための再暗号文復号鍵を保持する。端末装置は、再暗号文復号鍵を用い、再暗号文から復号値を得ることができる。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００５０】
＜構成＞
本形態の構成を説明する。図５に例示するように、本形態の鍵クラウドシステム３は、端末装置３１と鍵装置３２とを有する。端末装置３１と鍵装置３２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００５１】
図５に例示するように、本形態の端末装置３１は、記憶部１１１，３１１と出力部３１３と入力部３１４と復号処理部３１５とを有する。鍵装置３２は、記憶部１２１，１２２と、入力部３２３と、出力部３２４と、判定部１２５と、応答部３２６とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図５では端末装置３１と鍵装置３２とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００５２】
＜復号処理の前提＞
第１実施形態と同じである。
【００５３】
＜復号処理＞
図６を用いて本形態の復号処理を説明する。まず、端末装置３１（図５）の鍵ペア生成部３１６が、再暗号化のための再暗号化鍵ｐ（ｕ）と、再暗号化鍵ｐ（ｕ）を用いて再暗号化された再暗号文を復号するための再暗号文復号鍵ｓ（ｕ）とを生成する。例えば、鍵ペア生成部３１６は、再暗号化鍵ｐ（ｕ）とそれに対応する再暗号文復号鍵ｓ（ｕ）とのペアをランダムに生成する。再暗号化鍵ｐ（ｕ）と再暗号文復号鍵ｓ（ｕ）とのペアは、例えば、公開鍵暗号方式の公開鍵と秘密鍵との鍵ペアでもよいし、ＩＤベース暗号方式の識別子とそれに対応する秘密鍵とのペアでもよいし、関数型暗号方式の属性ベクトルとそれに対応する秘密鍵とのペアでもよいし、互いに等しい共通鍵暗号方式の共通鍵であってもよい。再暗号化鍵ｐ（ｕ）と再暗号文復号鍵ｓ（ｕ）とのペアは、記憶部３１１に格納（保持）される（ステップＳ３００）。
【００５４】
復号処理部３１５は、記憶部１１１から暗号文Ｃを読み込み、記憶部３１１から再暗号化鍵ｐ（ｕ）を読み込み、暗号文Ｃと再暗号化鍵ｐ（ｕ）とを出力する。暗号文Ｃと再暗号化鍵ｐ（ｕ）は出力部３１３に入力される。出力部３１３は、鍵装置３２を宛先とし、公衆回線の所定の回線に対して暗号文Ｃと再暗号化鍵ｐ（ｕ）を出力する（ステップＳ３０１）。
【００５５】
その後、第１実施形態で説明したステップＳ１０２〜Ｓ１０４の処理に移る。ただし、端末装置１１に代えて端末装置３１がこれらの処理を行う。回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃと再暗号化鍵ｐ（ｕ）が鍵装置３２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置３２に送信する（ステップＳ３０５）。回線情報ｘ、暗号文Ｃおよび再暗号化鍵ｐ（ｕ）は、鍵装置３２の入力部３２３に入力される。回線情報ｘは判定部１２５に送られ、暗号文Ｃと再暗号化鍵ｐ（ｕ）は応答部３２６に送られる（ステップＳ３０６）。
【００５６】
その後、第１実施形態で説明したステップＳ１０７〜Ｓ１０９の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置３１および鍵装置３２がこれらの処理を行う。回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された場合（ステップＳ１０８）、応答部３２６は、記憶部１２１に格納された復号鍵ｓを用いて暗号文Ｃを復号し、それによって復号値ｍ’を得る。さらに応答部３２６は、再暗号化鍵ｐ（ｕ）を用いて復号値ｍ’を暗号化し、それによって再暗号文Ｒ＝Ｅｎｃ’（ｐ（ｕ），ｍ’）を得、再暗号文Ｒを出力する。なおＥｎｃ’は、再暗号化鍵ｐ（ｕ）を用いて復号値ｍ’を暗号化するための暗号化関数であり、例えば準同型性関数である（ステップＳ３１０）。再暗号文Ｒは出力部３２４に入力される。出力部３２４は、端末装置３１を宛先とし、回線情報ｘ（登録回線情報に対応する回線情報）に対応する回線に対して再暗号文Ｒ（復号値に対応する応答情報、言い換えると、再暗号化鍵で暗号文の復号値を再暗号化して得られる再暗号文に対応する応答情報）を出力する（ステップＳ３１１）。
【００５７】
再暗号文Ｒは、端末装置３１の入力部３１４に入力されて復号処理部３１５に送られる（ステップＳ３１２）。復号処理部３１５は、記憶部３１１から再暗号文復号鍵ｓ（ｕ）を読み込み、再暗号文復号鍵ｓ（ｕ）を用いて再暗号文Ｒを復号し、それによって得られた復号値ｍ’＝Ｄｅｃ’（ｓ（ｕ），Ｒ）を出力して復号処理を終了する。なおＤｅｃ’は、再暗号文復号鍵ｓ（ｕ）を用いて再暗号文Ｒを復号するための復号関数であり、例えば、準同型性関数である（ステップＳ３１３）。
【００５８】
＜第３実施形態の特徴＞
本形態も前述した第１実施形態の特徴を備える。加えて本形態では、鍵装置で得られた復号値が再暗号化されて端末装置に送られるため、復号値が第三者に漏洩することを抑制できる。また、回線認証に成功した回線を利用して鍵装置に接続してきた端末装置の正当性が保証されるため、鍵装置に送られた再暗号化鍵に対する証明書がなくても、この再暗号化鍵の正当性が保証される。再暗号化鍵と再暗号文復号鍵とのペアがランダムに生成される場合、再暗号化鍵と再暗号文復号鍵とを鍵装置で管理する必要がない。
【００５９】
なお、再暗号化鍵と再暗号文復号鍵との組がランダムに生成されない構成でもよい。また、本形態では、復号処理のたびに再暗号化鍵と再暗号文復号鍵のペアが新たに生成されたが、復号処理が所定回数行われるたびに、これらの鍵のペアが新たに生成されてもよいし、所定の期間が経過するたびに、これらの鍵のペアが新たに生成されてもよい。これらの鍵のペアが更新されなくてもよい。再暗号化鍵が鍵装置に保持され、再暗号文復号鍵が端末装置に保持されている場合には、端末装置から鍵装置に再暗号化鍵を送らなくてもよい。
【００６０】
［第３実施形態の変形例］
第３実施形態の変形例として、自己訂正技術を用いたクラウド鍵管理型の復号が行われてもよい。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００６１】
＜構成＞
本変形例の構成を説明する。図５に例示するように、本変形例の鍵クラウドシステム３’は、端末装置３１’と鍵装置３２’とを有する。端末装置３１’と鍵装置３２’とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００６２】
図５に例示するように、本変形例の端末装置３１’は、記憶部１１１，３１１と出力部３１３’と入力部３１４’と復号処理部３１５’とを有する。鍵装置３２’は、記憶部１２１，１２２と、入力部３２３’と、出力部３２４’と、判定部１２５と、応答部３２６’とを有する。各装置は、例えば、前述のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図５では端末装置３１’と鍵装置３２’とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００６３】
＜復号処理の前提＞
第１実施形態と同じである。
【００６４】
＜復号処理＞
図６を用いて本変形例の復号処理を説明する。まず、端末装置３１に代えて端末装置３１’が第３実施形態で説明したステップＳ３００の処理を実行する。次に、復号処理部３１５’は、記憶部１１１から第２暗号文Ｅｎｃ（ｙ，ｍ）を読み込み、記憶部３１１から再暗号化鍵ｐ（ｕ）を読み込み、当該第２暗号文Ｅｎｃ（ｙ，ｍ）に対応する情報である暗号文Ｃと再暗号化鍵ｐ（ｕ）とを出力する。本変形例の暗号文Ｃは、端末装置３１’が自己訂正処理によって再暗号文Ｒ＝Ｅｎｃ’（ｐ（ｕ），ｍ’）を得るための応答情報を鍵装置３２’から取得するために、端末装置３１’が鍵装置３２’に与える情報である。再暗号文Ｒは、暗号文Ｅｎｃ（ｙ，ｍ）の復号値ｍ’を再暗号化鍵ｐ（ｕ）で再暗号化して得られるものである。暗号文Ｃの例は、第１実施形態の変形例で示した通りである（ステップＳ３０１’）。
【００６５】
その後、第１実施形態で説明したステップＳ１０２〜Ｓ１０４の処理に移る。ただし、端末装置１１に代えて端末装置３１’がこれらの処理を行う。回線認証が成功であった場合（ステップＳ１０３）、暗号文Ｃと再暗号化鍵ｐ（ｕ）が鍵装置３２’に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、回線情報ｘを鍵装置３２’に送信する（ステップＳ３０５’）。回線情報ｘ、暗号文Ｃおよび再暗号化鍵ｐ（ｕ）は、鍵装置３２’の入力部３２３’に入力される。回線情報ｘは判定部１２５に送られ、暗号文Ｃと再暗号化鍵ｐ（ｕ）は応答部３２６’に送られる（ステップＳ３０６’）。
【００６６】
その後、第１実施形態で説明したステップＳ１０７〜Ｓ１０９の処理に移る。ただし、端末装置１１および鍵装置１２に代えて端末装置３１’および鍵装置３２’がこれらの処理を行う。回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応する場合（ステップＳ１０８）、応答部３２６’は、記憶部１２１から読み込んだ復号鍵ｓと入力された暗号文Ｃと再暗号化鍵ｐ（ｕ）を用い、応答情報ｚを生成して出力する。応答情報ｚは、端末装置３１’が自己訂正処理によって再暗号文Ｒ＝Ｅｎｃ’（ｐ（ｕ），ｍ’）を得るための情報である。応答情報ｚの具体例は、第２暗号文Ｅｎｃ（ｙ，ｍ）を復号鍵ｓで復号して得られる復号値ｍ’を再暗号化鍵ｐ（ｕ）で再暗号化するための準同型性関数をｆとすることを除き、第１実施形態の変形例で示した通りである（ステップＳ３１０’）。
【００６７】
応答情報ｚは出力部３２４’に入力される。出力部３２４’は、端末装置３１’を宛先とし、回線情報ｘ（登録回線情報に対応する回線情報）に対応する回線に対して応答情報ｚ（復号値に対応する応答情報）を出力する（ステップＳ３１１’）。応答情報ｚは、端末装置３１’の入力部３１４’に入力されて復号処理部３１５’に送られる（ステップＳ３１２’）。復号処理部３１５’は、応答情報ｚを用いた自己訂正処理を行い、再暗号文Ｒあるいは再暗号文Ｒを得ることができない旨のエラー情報を得る。再暗号文Ｒを得た復号処理部３１５’は、記憶部３１１から再暗号文復号鍵ｓ（ｕ）を読み込み、再暗号文復号鍵ｓ（ｕ）を用いて再暗号文Ｒを復号し、それによって得られた復号値ｍ’を出力する。エラー情報を得た復号処理部３１５’は、エラー情報を出力する（ステップＳ３１３’）。
【００６８】
ステップＳ３１３’でエラー情報が得られた場合、復号処理をエラー終了してもよいし、ステップＳ３００〜Ｓ３１３’の処理が再び実行されてもよい。また、ステップＳ３００〜Ｓ３１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。また、回線情報ｘがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された（ステップＳ１０８）後に、端末装置３１’が鍵装置３２’に対して、本変形例の暗号文Ｃを送信してもよい（ステップＳ３０１’’）。また、ステップＳ３１３’でエラー情報が得られた場合、ステップＳ３０１’’，Ｓ３１０’〜Ｓ３１３’の処理が再び実行されてもよい。また、ステップＳ３０１’’，Ｓ３１０’〜Ｓ３１３’の処理を所定回数実行しても復号値ｍ’を得ることができない場合に、復号処理をエラー終了してもよい。ステップＳ３０１’’が実行される場合、ステップＳ３０１’で暗号文Ｃが出力されなくてもよい。
【００６９】
［第４実施形態］
本発明の第４実施形態を説明する。第４実施形態は第１実施形態の変形例である。本形態では、登録回線情報が階層型回線情報であり、登録回線情報が何れかの階層型回線情報に対応する情報であり、暗号文が階層型ＩＤベース暗号方式に則って暗号化されたものであり、復号値が回線情報を含む識別子に対応する復号鍵で、暗号文を復号して得られる値である。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００７０】
＜階層型回線情報＞
階層型回線情報とは、木構造を持つ階層型の回線情報を意味する。階層型回線情報ｘαの下位階層に属する階層型回線情報ｘβ（ただし、α，βは正の整数）は、階層型回線情報ｘαに情報を付加した情報となる。言い換えると、階層型回線情報ｘβは、その上位階層に属する階層型回線情報ｘαをすべて含む。すなわち、階層型回線情報ｘβの上位階層に属する階層型回線情報ｘαは、階層型回線情報ｘβの一部の情報からなる。階層型回線情報ｘβの具体例は、メールアドレス、所属部署名などである。本形態では、階層型回線情報ｘαを要素χ１，...，χαからなるタプルｘα＝（χ１，...，χα）で表記する。例えば、階層型回線情報ｘαが“ｎｔｔ．ｃｏ．ｊｐ”であれば、ｘα＝（ｊｐ，ｃｏ，ｎｔｔ）と表記する。ｘα＝（χ1，...，χα）とｘβ＝（χ1’，...，χα’，...，χβ’）とに対してχ1＝χ1’，...，χα＝χα’(ただし、α＜β)を満たす場合、ｘαはｘβの上位階層に属し、ｘβはｘαの下位階層に属する。このことを［ｘα］＞［ｘβ］と表記する。例えば、“ｎｔｔ．ｃｏ．ｊｐ”を表すｘα＝（ｊｐ，ｃｏ，ｎｔｔ）は、“ｌａｂ．ｎｔｔ．ｃｏ．ｊｐ”を表すｘβ＝（ｊｐ，ｃｏ，ｎｔｔ，ｌａｂ）の上位階層に属し、このことを［ｘα］＞［ｘβ］と表記する。また、階層型回線情報ｘα＝（χ1，...，χα）とｘα’＝（χ1’，...，χα’）とに対してχ1＝χ1’，...，χα＝χα’を満たすことを［ｘα］＝［ｘα’］と表記する。さらに、［ｘα］＞［ｘβ］であるか［ｘα］＝［ｘβ］であることを、［ｘα］≧［ｘβ］と表記する。
【００７１】
＜階層型ＩＤベース暗号方式＞
階層型ＩＤベース暗号方式は、ＩＤベース暗号方式の一種であり、木構造を持つ階層型の情報を識別子として用いる。階層型ＩＤベース暗号方式では、上位階層に属する識別子に対応する秘密鍵を知っている者は、その下位階層に属する識別子で暗号化された暗号文を復号できる。階層型ＩＤベース暗号方式自体は公知であり、その詳細は、例えば、参考文献６（Boneh, Boyen, Goh,“Hierarchial Identity Based Encryption with Constant Size Ciphertext,” Advances in Cryptology-EUROCRYPT 2005, LNCS 3494, pages 440-456, Springer, 2005.）や参考文献７（特開２０１０−１５４１９３号公報）などに記載されている。
【００７２】
＜階層型回線情報を識別子とする階層型ＩＤベース暗号方式＞
階層型回線情報を識別子として階層型ＩＤベース暗号方式を構成できる。このような階層型ＩＤベース暗号方式は、以下の関数ｓｅｔｕｐ，ｋｅｙｇｅｎ，ｅｎｃ，ｄｅｃで定義される。
関数ｓｅｔｕｐは、１λを入力とし、パラメータｐａｒａｍｓ，マスター秘密鍵ｍａｓｔｅｒ  ｋｅｙ∈ＫＥＹを出力する。ただし、λは正の整数であるセキュリティパラメータであり、ｐａｒａｍｓは、平文空間を表す情報、暗号文空間を表す情報、および鍵空間ＫＥＹを表す情報を含む。
関数ｋｅｙｇｅｎは、パラメータｐａｒａｍｓ，階層型回線情報またはその下位階層に属する情報である識別子ｘβ，識別子ｘβの上位階層に属する階層型回線情報ｘαに対応する秘密鍵ｓα∈ＫＥＹを入力とし、階層型回線情報ｘβに対応する秘密鍵ｓβ∈ＫＥＹを出力する。なお、秘密鍵ｓβは、パラメータｐａｒａｍｓ，マスター秘密鍵ｍａｓｔｅｒ  ｋｅｙ，識別子ｘβから得ることもできる。
関数ｅｎｃは、パラメータｐａｒａｍｓ，平文ｍ，階層型回線情報ｘαを入力とし、階層型回線情報ｘαを識別子とし、階層型ＩＤベース暗号方式に則って、平文ｍを暗号化して得られる暗号文Ｃ＝ｅｎｃ（ｘα，ｍ）を出力する。ただし、ｅｎｃは階層型ＩＤベース暗号方式の暗号化関数である。
関数ｄｅｃは、パラメータｐａｒａｍｓ，暗号文Ｃ，秘密鍵ｓαを入力とし、階層型ＩＤベース暗号方式に則って、秘密鍵ｓαで暗号文Ｃを復号して得られる復号値ｍ’＝ｄｅｃ（ｓα，Ｃ）を出力する。ただし、ｄｅｃは階層型ＩＤベース暗号方式の復号関数である。
【００７３】
＜構成＞
本形態の構成を説明する。図７に例示するように、本形態の鍵クラウドシステム４は、端末装置４１と鍵装置４２と鍵生成装置４３とを有する。端末装置４１と鍵装置４２とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。鍵装置４２と鍵生成装置４３とは互いに通信可能に構成されている。
【００７４】
図７に例示するように、本形態の端末装置４１は、記憶部４１１と出力部４１３と入力部１１４と復号処理部４１５とを有する。鍵装置４２は、記憶部４２１，４２２と、入力部４２３と、出力部４２４と、判定部４２５と、応答部４２６と、復号鍵取得部４２７とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図７では端末装置４１と鍵装置４２と鍵生成装置４３とを１個ずつ図示しているが、２個以上の端末装置や鍵装置や鍵生成装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００７５】
＜復号処理の前提＞
本形態では、公衆回線の各回線が階層構造であり、各回線に対応する回線情報が階層型回線情報となっている。例えば、組織等の各階層に対して階層構造の回線が割り当てられ、各階層で使用する回線に対応する回線情報が階層型回線情報となっている。上述したパラメータｐａｒａｍｓおよびマスター秘密鍵ｍａｓｔｅｒ  ｋｅｙが鍵生成装置４３に設定され、パラメータｐａｒａｍｓが端末装置４１の復号処理部４１５および鍵装置４２の応答部４２６に設定される。また、或る階層型回線情報またはその上位階層の情報を識別子Ｋとし、識別子Ｋに対応する秘密鍵ｓＫが復号鍵として鍵装置４２の記憶部４２１（鍵記憶部）に格納される。例えば、識別子Ｋは、管理者が使用する回線に対応する階層型回線情報や、その管理者が管理する回線に対応する階層型回線情報の上位階層の情報である。端末装置４１が使用する回線の階層型回線情報ｘｊまたはその下位階層の情報（ただし、ｉ，ｊは正の整数）を識別子ｘｉとし、関数ｅｎｃを用い、平文ｍを暗号化して得られる暗号文Ｃ＝ｅｎｃ（ｘｉ，ｍ）が、端末装置４１の記憶部４１１に格納される。
【００７６】
また、復号サービスが許可された回線が予め設定され、復号サービスが許可された何れかの回線に対応する登録回線情報（何れかの階層型回線情報に対応する登録回線情報）のリストＬｉｓｔが、鍵装置４２の記憶部４２２（登録回線記憶部）に格納される。登録回線情報は、復号サービスが許可された階層型回線情報そのものであってもよいし、復号サービスが許可された階層型回線情報に対して一義的に決まる情報であってもよい。
【００７７】
＜復号処理＞
図８を用いて本形態の復号処理を説明する。端末装置４１（図７）の復号処理部４１５は記憶部４１１から暗号文Ｃを読み込み、暗号文Ｃを出力する。暗号文Ｃは出力部４１３に入力される。出力部４１３は、鍵装置４２を宛先とし、公衆回線の所定の回線に対して暗号文Ｃを出力する（ステップＳ４０１）。
【００７８】
暗号文Ｃが出力された回線の階層型回線情報ｘｊは、回線認証機能を提供する認証装置（図示せず）に送られ、この認証装置は階層型回線情報ｘｊを用いた回線認証を行う（ステップＳ４０２）。回線認証が失敗であった場合（ステップＳ４０３）、エラー情報が端末装置４１に送信される。送信されたエラー情報は、入力部１１４に入力されて復号処理部４１５に送られ、復号処理部４１５は復号処理を終了する（ステップＳ１０４）。
【００７９】
一方、回線認証が成功であった場合（ステップＳ４０３）、暗号文Ｃが鍵装置４２に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、階層型回線情報ｘｊを鍵装置４２に送信する（ステップＳ４０５）。階層型回線情報ｘｊおよび暗号文Ｃは、鍵装置４２の入力部４２３に入力される。入力部４２３に入力される階層型回線情報ｘｊは、回線認証に成功した回線に対応する情報である。階層型回線情報ｘｊは判定部４２５に送られ、暗号文Ｃは応答部４２６に送られる（ステップＳ４０６）。
【００８０】
判定部４２５は、階層型回線情報ｘｊが記憶部４２２に格納されたリストＬｉｓｔの何れかの登録回線情報に対応するかを判定する。例えば、登録回線情報が階層型回線情報そのものである場合、リストＬｉｓｔが階層型回線情報ｘｊを含むかを判定することで、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応するかを判定する。或いは、例えば、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応する階層型回線情報を含むかを判定することで、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応するかを判定してもよい。すなわち「階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応すること」が、「階層型回線情報ｘｊが当該登録回線情報に対応する階層型回線情報を含むこと」であってもよい。言い換えると、「階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応すること」が、「階層型回線情報ｘｊが、リストＬｉｓｔの何れかの登録回線情報に対応する階層型回線情報または当該登録回線情報に対応する階層型回線情報の下位階層に属すること」であってもよい。
【００８１】
階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応する場合（復号権限の認証が成功である場合）、復号鍵取得部４２７は、識別子ｘｉに対応する秘密鍵ｓｘｉを復号鍵として抽出する。下付き添え字の「ｘｉ」は「ｘｉ」を表す。なお、ｘｉはｘｊまたはその下位階層の情報であるため、ｘｉはｘｊを含む情報である。すなわち復号鍵取得部４２７は、階層型回線情報ｘｊを含む識別子ｘｉに対応する秘密鍵ｓｘｉを復号鍵として抽出する。ここで、復号鍵取得部４２７が秘密鍵ｓｘｉを抽出するためには、復号鍵取得部４２７が識別子ｘｉを特定する必要がある。［ｘｉ］＝［ｘｊ］である場合、復号鍵取得部４２７は、階層型回線情報ｘｊから識別子ｘｉ＝ｘｊを特定できる。一方、［ｘｉ］＜［ｘｊ］である場合、復号鍵取得部４２７は、階層型回線情報ｘｊのみから識別子ｘｉを特定することができない。この場合であっても、ｘｊとｘｉとの差分の要素χが定数や公開情報であれば、判定部４２５は、ｘｉ＝（ｘｊ，χ）としてｘｊを特定できる。或いは、暗号文Ｃとともにｘｉが端末装置４１から鍵装置４２に送信されることとし、それによって判定部４２５がｘｉを特定してもよい。或いは識別子ｘｉが公開情報であるなら、復号鍵取得部４２７は、公開された識別子ｘｉを取得してｘｉを特定してもよい（ステップＳ４０７）。一方、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報にも対応しない場合（復号権限の認証が失敗である場合）、復号鍵取得部４２７は、復号鍵を抽出しない。
【００８２】
≪ステップＳ４０７の詳細≫
図９を用い、ステップＳ４０７の詳細を例示する。
判定部４２５は、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応するか（例えば、リストＬｉｓｔが階層型回線情報ｘｊを含むか）を判定する（ステップＳ４０７１）。階層型回線情報ｘｊがリストＬｉｓｔの何れの登録回線情報にも対応しないと判定された場合、復号権限の認証が失敗したとして、ステップＳ４０７の処理が終了する。
【００８３】
ステップＳ４０７１で、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応すると判定された場合、判定部４２５は、記憶部４２１に格納されている秘密鍵ｓＫに対応する識別子Ｋと上述の階層型回線情報ｘｊと識別子ｘｉとが［Ｋ］＝［ｘｊ］＝［ｘｉ］を満たすかを判定する。すなわち、判定部４２５は、Ｋとｘｊとｘｉとが互いに等しいかを判定する（ステップＳ４０７２）。［Ｋ］＝［ｘｊ］＝［ｘｉ］を満たすと判定された場合、復号鍵取得部４２７は、記憶部４２１から秘密鍵ｓＫを読み込み、それを復号鍵ｓｘｉ＝ｓＫとし、復号権限の認証が成功したものとして、ステップＳ４０７の処理を終了する（ステップＳ４０７３）。
【００８４】
ステップＳ４０７２で［Ｋ］＝［ｘｊ］＝［ｘｉ］を満たさないと判定された場合、判定部４２５は、［Ｋ］≧［ｘｊ］≧［ｘｉ］を満たすかを判定する。すなわち、判定部４２５は、Ｋがｘｊの上位階層に属するかＫ＝ｘｊであり、かつ、ｘｊがｘｉの上位階層に属するかｘｊ＝ｘｉであるかを判定する（ステップＳ４０７４）。［Ｋ］≧［ｘｊ］≧［ｘｉ］を満たさないと判定された場合、復号権限の認証が失敗したとして、ステップＳ４０７の処理が終了する。
【００８５】
ステップＳ４０７４で［Ｋ］≧［ｘｊ］≧［ｘｉ］を満たすと判定された場合、復号鍵取得部４２７は、入力された識別子ｘｉと記憶部４２１から読み込んだ秘密鍵ｓＫとを鍵生成装置４３に対して出力する（ステップＳ４０７５）。鍵生成装置４３は、パラメータｐａｒａｍｓならびに入力された識別子ｘｉおよび秘密鍵ｓＫを用い、関数ｋｅｙｇｅｎによって、識別子ｘｉに対応する秘密鍵ｓｘｉを生成して出力する。秘密鍵ｓｘｉは復号鍵取得部４２７に入力される（ステップＳ４０７６）。復号鍵取得部４２７は、入力された秘密鍵ｓｘｉを復号鍵とし、復号権限の認証が成功したものとし、ステップＳ４０７の処理を終了する（ステップＳ４０７７）（≪ステップＳ４０７の詳細≫の説明終わり）。
【００８６】
ステップＳ４０７で復号権限の認証が失敗であった場合（ステップＳ４０８）、出力部４２４からエラー情報が送信される。送信されたエラー情報は、端末装置４１の入力部１１４に入力されて復号処理部４１５に送られ、復号処理部４１５は復号処理を終了する（ステップＳ１０９）。一方、ステップＳ４０７で復号権限の認証が成功であった場合（ステップＳ４０８）、応答部４２６は、抽出された復号鍵ｓｘｉを用いて暗号文Ｃを復号し、それによって得られた復号値ｍ’を出力する（ステップＳ４１０）。復号値ｍ’は出力部４２４に入力される。出力部４２４は、端末装置４１を宛先とし、階層型回線情報ｘｊ（登録回線情報に対応する回線情報）に対応する回線に対して復号値ｍ’（復号値に対応する応答情報）を出力する（ステップＳ４１１）。その後、第１実施形態で説明したステップＳ１１２，Ｓ１１３の処理に移る。ただし、端末装置１１に代えて端末装置４１がこれらの処理を行う。
【００８７】
＜第４実施形態の特徴＞
本形態も前述した第１実施形態の特徴を備える。加えて本形態では、回線情報を階層型回線情報とし、登録回線情報を何れかの階層型回線情報に対応する情報とし、階層型ＩＤベース暗号方式に則って暗号化されたものを復号対象の暗号文とし、回線情報を含む識別子に対応する復号鍵で当該暗号文を復号して復号値が得られる。これにより、回線の階層構造に応じた復号権限の管理が可能となる。例えば、ステップＳ４０７で使用回線に対応する回線情報が登録回線情報に対応する階層型回線情報の下位階層に属する場合に復号権限を与える場合、或る上位階層の階層型回線情報についてステップＳ４０７の判定を行うことで、その下位階層に属するすべての回線情報に対応する回線の復号権限の有無を判定できる。これにより、回線情報ごとに復号権限の有無を判定する場合に比べて判定処理を簡略化でき、さらに、鍵装置で管理すべき登録回線情報のデータ量を削減できる。さらに、階層的に復号権限を管理できるため、登録回線情報の設定誤りや設定の取りこぼしなどの、鍵装置の設定時における人為的誤りも抑制できる。
【００８８】
［第４実施形態の変形例］
第４実施形態の変形例として、自己訂正技術を用いたクラウド鍵管理型の復号が行われてもよい。以下では、これまで説明した事項との相違点を中心に説明し、これまで説明した事項については同じ参照番号を用い、説明を省略する。
【００８９】
＜構成＞
本変形例の構成を説明する。図７に例示するように、本変形例の鍵クラウドシステム４’は、端末装置４１’と鍵装置４２’とを有する。端末装置４１’と鍵装置４２’とは、回線認証機能および回線情報通知機能を備える公衆回線を通じて通信可能に構成されている。
【００９０】
図７に例示するように、本変形例の端末装置４１’は、記憶部４１１と出力部４１３’と入力部４１４’と復号処理部４１５’とを有する。鍵装置４２’は、記憶部４２１，４２２と、入力部４２３’と、出力部４２４’と、判定部４２５と、応答部４２６’とを有する。各装置は、例えば、前述のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図７では端末装置４１’と鍵装置４２’と鍵生成装置４３’とを１個ずつ図示しているが、２個以上の端末装置や鍵装置や鍵生成装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【００９１】
＜復号処理の前提＞
第４実施形態と同じである。
【００９２】
＜復号処理＞
図８を用いて本変形例の復号処理を説明する。端末装置４１’（図７）の復号処理部４１５’は記憶部４１１から第２暗号文ｅｎｃ（ｘｉ，ｍ）を読み込み、当該第２暗号文ｅｎｃ（ｘｉ，ｍ）に対応する情報を暗号文Ｃとして出力する。本変形例の暗号文Ｃは、端末装置４１’が自己訂正処理によって暗号文ｅｎｃ（ｘｉ，ｍ）の復号値ｍ’を得るための応答情報を鍵装置４２’から取得するために、端末装置４１’が鍵装置４２’に与える情報である。暗号文Ｃの例は、第１実施形態の変形例でＥｎｃ（ｙ，ｍ）をｅｎｃ（ｘｉ，ｍ）に置換して得られる暗号文Ｃである（ステップＳ４０１’）。
【００９３】
その後、第１，４実施形態で説明したステップＳ４０２，Ｓ４０３，Ｓ１０４の処理に移る。ただし、端末装置１１，４１に代えて端末装置４１’がこれらの処理を行う。回線認証が成功であった場合（ステップＳ４０３）、暗号文Ｃが鍵装置４２’に送信され、さらに回線情報通知機能を提供する通知装置（図示せず）が、階層型回線情報ｘｊを鍵装置４２’に送信する（ステップＳ４０５’）。階層型回線情報ｘｊおよび暗号文Ｃは、鍵装置４２’の入力部４２３’に入力される。階層型回線情報ｘｊは判定部４２５に送られ、暗号文Ｃは応答部４２６’に送られる（ステップＳ４０６’）。
【００９４】
その後、第１，４実施形態で説明したステップＳ４０７，Ｓ４０８，Ｓ１０９の処理に移る。ただし、端末装置１１，４１および鍵装置１２，４２に代えて端末装置４１’および鍵装置４２’がこれらの処理を行う。ステップＳ４０７で復号権限の認証が成功であった場合（ステップＳ４０８）、応答部４２６’は、抽出された復号鍵ｓｘｉと入力された暗号文Ｃとを用いて応答情報ｚを生成して出力する。応答情報ｚは、端末装置４１’が自己訂正処理によって復号値ｍ’を得るための情報である。応答情報ｚの例は、第１実施形態の変形例でＥｎｃ（ｙ，ｍ）をｅｎｃ（ｘｉ，ｍ）に置換して得られる応答情報ｚである（ステップＳ４１０’）。
【００９５】
応答情報ｚは出力部４２４’に入力される。出力部４２４’は、端末装置４１’を宛先とし、階層型回線情報ｘｊ（登録回線情報に対応する回線情報）に対応する回線に対して応答情報ｚ（復号値に対応する応答情報）を出力する（ステップＳ４１１’）。その後、第１実施形態の変形例で説明したステップＳ１１２’，Ｓ１１３’の処理に移る。ただし、端末装置１１’に代えて端末装置４１’がこれらの処理を行う。
【００９６】
［その他の変形例等］
本発明は上述の実施形態に限定されるものではない。例えば、上述の実施形態では公衆回線を通じて端末装置と鍵装置との間の通信が行われた。しかしながら、公衆回線ではなくプライベート回線を通じて端末装置と鍵装置との間の通信が行われ、回線情報や階層型回線情報がプライベート回線の回線に対応する情報であってもよい。
【００９７】
また上述の実施形態では、復号権限の認証が成功であった場合（ステップＳ１０８やＳ４０８でｙｅｓの場合）に、鍵装置が応答情報を生成して出力した。しかしながら、復号権限の認証が成功であるか否かにかかわらず応答情報を生成し、復号権限の認証が成功であった場合に鍵装置が応答情報を出力し、復号権限の認証が失敗であった場合に鍵装置が応答情報を出力しないことにしてもよい。あるいは、復号権限の認証が成功であった場合に鍵装置が正しい応答情報を端末装置に対して出力し、復号権限の認証が失敗であった場合に鍵装置がダミー情報（正しくない応答情報、言い換えると、暗号文の復号値に対応しない応答情報）を端末装置に対して出力してもよい。ダミー情報の例はランダム値である。
【００９８】
また、第４実施形態およびその変形例では、端末装置が使用した回線に対応する回線情報に対応する復号鍵が用いられた。同様に、第１〜３実施形態およびそれらの変形例でも、端末装置が使用した回線に対応する回線情報に対応する復号鍵が用いられてもよい。すなわち、復号値が、回線情報に対応する復号鍵で暗号文を復号して得られる値であってもよい。回線情報に対応する復号鍵の例は、回線情報を公開鍵とした場合の公開鍵暗号方式の秘密鍵、回線情報を識別子としたＩＤベース暗号方式の秘密鍵、回線情報を鍵識別子とした共通鍵暗号方式の共通鍵、回線情報を属性ベクトルとした関数型暗号方式の秘密鍵などである。
【００９９】
また、上述した実施形態を組み合わせた形態であってもよい。例えば、第４実施形態やその変形例において、第３実施形態やその変形例で説明した再暗号化処理や再暗号化文の復号処理が行われてもよい。すなわち、第３実施形態やその変形例の回線情報として、第４実施形態やその変形例で説明した階層型回線情報を用い、第３実施形態やその変形例の復号鍵として、第４実施形態やその変形例で説明した階層型回線情報に対応する復号鍵が用いられてもよい。或いは、第３実施形態やその変形例において、第２実施形態やその変形例と同様に、暗号化鍵を選択可能な構成としてもよい。すなわち、第３実施形態やその変形例の復号鍵として、第２実施形態やその変形例の復号鍵が用いられてもよい。
【０１００】
上述した各実施形態やその変形例では、回線認証のための回線情報が認証装置に送信され、認証装置での回線認証が成功である場合に、この回線認証のための回線情報が鍵装置に送信され、鍵装置でこの回線情報がリストに含まれる何れかの登録回線情報に対応するかを判定することで、暗号文の復号値に対応する応答情報を出力するか否かを決定した。しかしながら、回線情報の種類によっては、鍵装置が回線認証のための回線情報からユーザーを識別することが困難な場合があり、回線認証のための回線情報を用いて復号権限の管理を行うことが困難な場合もある。例えば、端末装置として携帯電話を用いる場合、回線認証にはＩＭＥＩやＩＭＳＩなどの回線情報を用いるが、鍵装置がＩＭＥＩやＩＭＳＩを用いて復号権限を管理することが困難な場合もある。また、ＮＧＮの回線認証用の回線情報にフレッツナンバーを用いる場合、鍵装置がこのフレッツナンバーを用いて復号権限を管理することが困難な場合もある。鍵装置にとっては、汎用性の高い電話番号等の一般的な回線情報を用いた管理のほうが容易な場合が多い。そこで、１個の回線に対して複数個の回線情報が紐づいている場合に、その一部の回線情報（例えば、ＩＭＥＩ，ＩＭＳＩ，フレッツナンバー，ＭＡＣアドレス等）が回線認証に用いられ、この回線認証に用いられた回線情報に紐づいた（対応する）他の回線情報（一般的な回線情報等）が復号権限の管理に用いられてもよい。すなわち、認証装置での回線認証が成功であった場合に、回線認証に用いられた回線情報が鍵装置に送信されることに代え、回線認証に用いられた回線情報に紐づいた他の回線情報（ＩＤ情報）、または回線認証に用いられた回線情報およびそれに紐づいた他の回線情報が鍵装置に送信される。鍵装置は、当該他の回線情報、または回線認証に用いられた回線情報および当該他の回線情報が、リストに含まれる何れかの登録回線情報に対応するかを判定し、それによって暗号文の復号値に対応する応答情報を出力するか否かを決定する。なお、この場合の登録回線情報は、復号サービスが許可された回線情報に紐づいた他の回線情報そのものであってもよいし、当該他の回線情報に対して一義的に決まる情報であってもよいし、復号サービスが許可された回線情報とそれに紐づいた他の回線情報との組であってもよいし、その組に対して一義的に決まる情報であってもよい。
【０１０１】
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
【０１０２】
上述の構成を前述のコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをこのコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
【０１０３】
このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
【０１０４】
このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
【０１０５】
上記実施形態の処理機能の少なくとも一部がハードウェアで実現されてもよい。
【０１０６】
［付記］
上記実施形態およびそれらの変形例は以下の各項目の構成をサポートしている。
［項目１］
何れかの回線に対応する登録回線情報を格納する登録回線記憶部と、
暗号文と回線情報とが入力される入力部と、
前記暗号文の復号値に対応する応答情報を生成する応答部と、
前記回線情報が前記登録回線情報に対応する場合に前記応答情報を出力する出力部と、を有する鍵装置。
［項目２］
項目１の鍵装置であって、
前記出力部は、前記登録回線情報に対応する前記回線情報に対応する回線に対して前記応答情報を出力する、
ことを特徴とする鍵装置。
［項目３］
項目１または２の鍵装置であって、
前記回線は回線認証可能であり、
前記入力部に入力される前記回線情報は、回線認証に成功した回線に対応する情報である、
ことを特徴とする鍵装置。
［項目４］
項目１から３の何れかの鍵装置であって、
複数個の復号鍵を格納する鍵記憶部をさらに有し、
前記入力部には、復号鍵を特定するための情報がさらに入力され、
前記復号値は、前記復号鍵を特定するための情報によって特定される復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
［項目５］
項目１から４の何れかの鍵装置であって、
前記入力部には、再暗号化鍵がさらに入力され、
前記応答情報は、前記再暗号化鍵で前記暗号文の復号値を再暗号化して得られる再暗号文に対応する情報である、
ことを特徴とする鍵装置。
［項目６］
項目５の鍵装置であって、
前記再暗号化鍵は、前記応答情報が入力される端末装置で得られたランダム値であり、
前記端末装置は、前記再暗号文を復号するための再暗号文復号鍵を保持する、
ことを特徴とする鍵装置。
［項目７］
項目１から６の何れかの鍵装置であって、
前記復号値は、前記回線情報に対応する復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
［項目８］
項目１から７の何れかの鍵装置であって、
前記回線情報が階層型回線情報であり、
前記登録回線情報が何れかの階層型回線情報に対応する情報であり、
前記暗号文が、階層型ＩＤベース暗号方式に則って暗号化されたものであり、
前記復号値が、前記回線情報を含む識別子に対応する復号鍵で、前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
［項目９］
項目８の鍵装置であって、
前記回線情報が登録回線情報に対応するとは、前記回線情報が、前記登録回線情報に対応する階層型回線情報または前記登録回線情報に対応する階層型回線情報の下位階層に属することである、
ことを特徴とする鍵装置。
［項目１０］
項目１から９の何れかの鍵装置であって、
前記暗号文は、第２暗号文に対応する情報であり、
前記応答情報は、自己訂正処理によって、前記第２暗号文の復号値または前記第２暗号文の復号値を再暗号化して得られる再暗号文を得るための情報である、
ことを特徴とする鍵装置。
［項目１１］
鍵装置と端末装置とを有し、
前記鍵装置には、何れかの回線に対応する登録回線情報が格納され、
前記鍵装置には、前記端末装置から出力された暗号文と前記端末装置が接続された回線に対応する回線情報とが入力され、
前記鍵装置は、前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力する、
ことを特徴とする鍵クラウドシステム。
［項目１２］
何れかの回線に対応する登録回線情報が登録回線記憶部に格納され、
暗号文と回線情報とを入力部で受け付け、
前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力部から出力する、
ことを特徴とする復号方法。
［項目１３］
項目１から１０の何れかの鍵装置としてコンピュータを機能させるためのプログラム。
［項目１４］
項目１から１０の何れかの鍵装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。
【符号の説明】
【０１０７】
１〜４，１’〜４’  鍵クラウドシステム
１１〜４１，１１’〜４１’  端末装置
１２〜４２，１２’〜４２’  鍵装置
４３  鍵生成装置
【図１】
2015056601.tif 000003
【図２】
2015056601.tif 000004
【図３】
2015056601.tif 000005
【図４】
2015056601.tif 000006
【図５】
2015056601.tif 000007
【図６】
2015056601.tif 000008
【図７】
2015056601.tif 000009
【図８】
2015056601.tif 000010
【図９】
2015056601.tif 000011
【手続補正書】
【提出日】平成28年4月6日(2016.4.6)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】００４３
【補正方法】変更
【補正の内容】
【００４３】
図３に例示するように、本変形例の端末装置２１’は、記憶部１１１，２１１と出力部２１３’と入力部２１４’と復号処理部２１５’とを有する。鍵装置２２’は、記憶部２２１，１２２と、入力部２２３’と、出力部２２４’と、判定部１２５と、応答部２２６’とを有する。各装置は、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成されたものである。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。なお、図３では端末装置２１’と鍵装置２２’とを１個ずつ図示しているが、２個以上の端末装置や鍵装置が存在してもよい。この際、２個以上の端末装置や鍵装置が同一の回線に接続されてもよい。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００８１
【補正方法】変更
【補正の内容】
【００８１】
階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報に対応する場合（復号権限の認証が成功である場合）、復号鍵取得部４２７は、識別子ｘｉに対応する秘密鍵ｓｘｉを復号鍵として抽出する。下付き添え字の「ｘｉ」は「ｘｉ」を表す。なお、ｘｉはｘｊまたはその下位階層の情報であるため、ｘｉはｘｊを含む情報である。すなわち復号鍵取得部４２７は、階層型回線情報ｘｊを含む識別子ｘｉに対応する秘密鍵ｓｘｉを復号鍵として抽出する。ここで、復号鍵取得部４２７が秘密鍵ｓｘｉを抽出するためには、復号鍵取得部４２７が識別子ｘｉを特定する必要がある。［ｘｉ］＝［ｘｊ］である場合、復号鍵取得部４２７は、階層型回線情報ｘｊから識別子ｘｉ＝ｘｊを特定できる。一方、［ｘｉ］＜［ｘｊ］である場合、復号鍵取得部４２７は、階層型回線情報ｘｊのみから識別子ｘｉを特定することができない。この場合であっても、ｘｊとｘｉとの差分の要素χが定数や公開情報であれば、判定部４２５は、ｘｉ＝（ｘｊ，χ）としてｘｉを特定できる。或いは、暗号文Ｃとともにｘｉが端末装置４１から鍵装置４２に送信されることとし、それによって判定部４２５がｘｉを特定してもよい。或いは識別子ｘｉが公開情報であるなら、復号鍵取得部４２７は、公開された識別子ｘｉを取得してｘｉを特定してもよい（ステップＳ４０７）。一方、階層型回線情報ｘｊがリストＬｉｓｔの何れかの登録回線情報にも対応しない場合（復号権限の認証が失敗である場合）、復号鍵取得部４２７は、復号鍵を抽出しない。
【手続補正書】
【提出日】平成28年11月21日(2016.11.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
何れかの回線に対応する登録回線情報を格納する登録回線記憶部と、
暗号文と回線情報とが入力される入力部と、
前記暗号文の復号値に対応する応答情報を生成する応答部と、
前記回線情報が前記登録回線情報に対応する場合に前記応答情報を出力する出力部と、を有し、
前記回線は回線認証可能であり、
成功した回線認証に用いられた第２回線情報に紐づいた他の前記回線情報が前記入力部に入力される、鍵装置。
【請求項２】
請求項１の鍵装置であって、
前記出力部は、前記登録回線情報に対応する前記回線情報に対応する回線に対して前記応答情報を出力する、
ことを特徴とする鍵装置。
【請求項３】
請求項１の鍵装置であって、
複数個の復号鍵を格納する鍵記憶部をさらに有し、
前記入力部には、復号鍵を特定するための情報がさらに入力され、
前記復号値は、前記復号鍵を特定するための情報によって特定される復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項４】
請求項１の鍵装置であって、
前記入力部には、再暗号化鍵がさらに入力され、
前記応答情報は、前記再暗号化鍵で前記暗号文の復号値を再暗号化して得られる再暗号文に対応する情報である、
ことを特徴とする鍵装置。
【請求項５】
請求項４の鍵装置であって、
前記再暗号化鍵は、前記応答情報が入力される端末装置で得られたランダム値であり、
前記端末装置は、前記再暗号文を復号するための再暗号文復号鍵を保持する、
ことを特徴とする鍵装置。
【請求項６】
請求項１の鍵装置であって、
前記復号値は、前記回線情報に対応する復号鍵で前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項７】
請求項１の鍵装置であって、
前記回線情報が階層型回線情報であり、
前記登録回線情報が何れかの階層型回線情報に対応する情報であり、
前記暗号文が、階層型ＩＤベース暗号方式に則って暗号化されたものであり、
前記復号値が、前記回線情報を含む識別子に対応する復号鍵で、前記暗号文を復号して得られる値である、
ことを特徴とする鍵装置。
【請求項８】
請求項７の鍵装置であって、
前記回線情報が登録回線情報に対応するとは、前記回線情報が、前記登録回線情報に対応する階層型回線情報または前記登録回線情報に対応する階層型回線情報の下位階層に属することである、
ことを特徴とする鍵装置。
【請求項９】
請求項１から８の何れかの鍵装置であって、
前記暗号文は、第２暗号文に対応する情報であり、
前記応答情報は、自己訂正処理によって、前記第２暗号文の復号値または前記第２暗号文の復号値を再暗号化して得られる再暗号文を得るための情報である、
ことを特徴とする鍵装置。
【請求項１０】
鍵装置と端末装置とを有し、
前記鍵装置には、何れかの回線に対応する登録回線情報が格納され、
前記鍵装置には、前記端末装置から出力された暗号文と前記端末装置が接続された回線に対応する回線情報とが入力され、
前記鍵装置は、前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力し、
前記回線は回線認証可能であり、
成功した回線認証に用いられた第２回線情報に紐づいた他の前記回線情報が前記鍵装置に入力される、
ことを特徴とする鍵クラウドシステム。
【請求項１１】
何れかの回線に対応する登録回線情報が登録回線記憶部に格納され、
暗号文と回線情報とを入力部で受け付け、
前記回線情報が前記登録回線情報に対応する場合に、前記暗号文の復号値に対応する応答情報を出力部から出力し、
前記回線は回線認証可能であり、
成功した回線認証に用いられた第２回線情報に紐づいた他の前記回線情報が前記入力部に入力される、
ことを特徴とする復号方法。
【請求項１２】
請求項１から９の何れかの鍵装置としてコンピュータを機能させるためのプログラム。
【国際調査報告】
2015056601.tif 000012
2015056601.tif 000013
2015056601.tif 000014
2015056601.tif 000015
2015056601.tif 000016
2015056601.tif 000017
2015056601.tif 000018
2015056601.tif 000019
2015056601.tif 000020