(57)【要約】【課題】  通信ネットワークシステム上で利用される電子情報の秘匿による送受信、もしくは共有当の利用方法に関し、特定の複数の利用者をグループとして指定して、電子情報を利用する権限を与え、当該グループの利用者当が電子情報を暗号化し、利用権限を与えられた当該グループの利用者が復号して利用するセキュリティシステムにおいて、電子情報を秘匿するための共通鍵を容易に更新可能とすることを課題とする。【解決手段】  暗号処理方式として、公開鍵の証明書の確認が不要となるため利便性の高く、Selective-ID  Secure なsIBEを採用し、グループの管理者が、グループでグループで共有する暗号化の公開鍵を生成する。sIBE方式により、グループの各ユーザに配布された秘密鍵に対して、当該公開鍵の復号権限を委譲するために利用する公開情報として、当該利用者の秘密鍵の一部の構成要素を変換して与える方式とすることを、当該課題の解決手段とする。【選択図】図2
2008288837.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークシステムシステムのある特定の利用者で構成されるグループにおいて、ある電子情報を秘匿して共有するとき、この特定の指定された利用者以外から、当該電子情報を秘匿するために、当該電子データを当該グループ共通の電子データ秘匿用公開鍵により暗号化し、この特定の指定されたの利用者だけが、電子データ秘匿用公開鍵に対応する復号用の秘密鍵を所有して当該電子情報を復号して利用し、一方において、ある電子情報を提供者が、提供するとき、当該電子情報の提供者であることを示すための電子データを、当該提供者の電子データ提供確認用の秘密鍵で作成し、これを利用者が、当該電子データ提供確認用の秘密鍵に１対１で対応する、公開可能な電子データ提供用公開鍵で検証して確認するとき、この公開可能な電子データ提供確認用公開鍵が、特定の利用者を識別する電子データと１対１に対応する、電子情報処理システムにおいて、当該グループ共通の電子データ秘匿用公開鍵に対応する復号用の秘密鍵を構成する電子データが、公開可能な電子データ提供確認用公開鍵のデータを利用して構成される鍵構成方法、電子データの暗号処理方法。
【請求項２】
請求項1に記載の通信ネットワークシステムの暗号処理方法と鍵構成方法において、グループ共通の電子データ秘匿用公開鍵を、信頼できる第３者が秘匿している電子データで作成して公開し、この特定のグループの複数の利用者以外の者から、電子情報を秘匿するために、当該グループ共通の電子データ秘匿用公開鍵で暗号化して、電子データ格納装置に格納し、当該グループの利用ユーザに当該暗号文を復号して利用する権限を与えるための電子データを、信頼できる第３者が秘匿している電子データをもとに、当該利用ユーザの所有する公開可能な電子データ提供確認用公開鍵を変換して与える、暗号処理方法、復号権限を与えるデータ作成方法。
【請求項３】
請求項2に記載の通信ネットワークシステムの暗号処理方法、請求項２に記載の復号権限を与えるデータ作成方法において、当該グループ共通の電子データ秘匿用公開鍵で作成した暗号文を復号して利用する権限を与えるための電子データをもとに、当該公開鍵の復号秘密鍵を作成したとき、当該グループの各利用ユーザの所有する当該公開鍵の復号秘密鍵が、当該グループの各利用ユーザに対応して、識別可能となる、暗号処理方法、鍵構成方法、復号権限を与えるデータ作成方法。
【請求項４】
請求項3に記載の通信ネットワークシステムの暗号処理方法、復号権限を与えるデータ作成方法において、請求項１に記載の公開可能な電子データ提供確認用公開鍵が、信頼できる第3者が提供する、特定の利用者であることを識別する電子データと１対１に対応する秘匿情報に含まれ、この秘匿情報の公開可能な電子データ提供確認用公開鍵を、請求項３に記載の、当該グループの利用ユーザに当該公開鍵の暗号文を復号して利用する権限を与えるためのデータに置き換えることにより、請求項３に記載のある当該グループの各利用ユーザの所有する当該公開鍵に対応する復号秘密鍵が生成される、暗号処理方法、復号秘密鍵生成方法。
【請求項５】
請求項４に記載の暗号処理方法、復号秘密鍵生成方法において、当該グループの利用ユーザが所有するグループ共有の公開鍵に対応する復号秘密鍵を、他のユーザに渡したてグループ共有の公開鍵の暗号文を復号して利用しようとした場合、請求項３に記載の復号秘密鍵が、当該グループの各利用ユーザに対応して、識別可能であることを利用して、暗号処理に関する復号処理を防止する暗号処理方法。
【請求項６】
請求項3、４に記載の、電子データの暗号処理方法と鍵構成方法において、電子データを共通鍵で暗号化し、当該共通鍵を当該グループ共通の電子データ秘匿用公開鍵で暗号化し、共通鍵を更新して暗号化した場合も、請求項3、４に記載の当該グループ共通の電子データ秘匿用公開鍵で作成した暗号文を復号して利用する権限を与えるための電子データを更新せず同一の電子データとする、暗号処理方法、復号権限を与えるデータ作成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークシステム上で利用される電子情報の秘匿による送受信もしくは、共有等の利用方法に関するものであり、特に電子情報の提供者が、ある定まった通信相手、もしくは特定の複数の利用者を指定して当該電子情報を利用する権限を与え、提供者が電子情報を暗号化し、利用者が、復号化して利用するセキュリティシステムに好適な、鍵生成方法、鍵管理方法、、暗号処理方法、電子データ管理方法、通信ネットワークシステムに関する。
【背景技術】
【０００２】
現代の情報社会において、通信ネットワークシステムにセキュリティを構築することは必須の基盤技術となっている。電子政府などにおいて、利用可能な暗号技術の評価を目的として、暗号技術評価委員会が設立され、その活動報告書としてまとめられた暗号技術評価報告書  CRYPTREC Report(非特許文献１) には、セキュリティシステム構築に必要な暗号技術が整理されている。
【０００３】
様々の組織、部署において複数の利用者が電子データを共有する電子データ格納装置は広く利用されており、この電子データを共通鍵暗号、例えば非特許文献2に示すAESなどにより、非特許文献３に示す通り暗号化して格納することも可能となった。
【０００４】
暗号を利用する電子データ格納装置では、非特許文献4に示されるように、当該電子データ格納装置の管理者によるオペレーションミスに配慮して、共通鍵暗号の共通鍵や当該電子データは、当該電子データ格納装置内では、露呈させないなどの対応が必要である。
【０００５】
一般に電子データ格納装置を管理するソフトウェアとしては、uinx系では、非特許文献5に示されるように、NFS(Network File System)があり、windows系では、非特許文献6に示されるように、CIFS（Common internet file system）等がある。このような管理ソフトウェアとHDD(ハードディスク)などの蓄積メディアを組合せて、NAS(Network access server)と呼ばれる電子データ格納装置として利用する。
【０００６】
利用するユーザに対するアクセス管理は、パスワード程度しかサポートされないため、セキュリティ上の信頼性は低い。従って、セキュリティアッタクを回避するためには、当該電子データ格納装置内において暗号処理に関する鍵鍵管理機能を持たせないようにする必要がある。
【０００７】
このため、共通鍵暗号を利用したファイル暗号システムでは、共通鍵の管理者がICカードなどの電子媒体に共通鍵を書き込み、各ユーザに配布する方式がとられる。
【０００８】
公開鍵暗号システムの場合、利用するユーザに個別に異なる秘密鍵を配布することが可能なため、一人の利用ユーザの操作ミスにより当該秘密鍵が漏洩しても、漏洩する電子データは、当該利用ユーザの電子データであり、システム全体の電子データが漏洩する危険を回避することが可能である。また、公開鍵暗号システムの電子署名機能を用いて、当該電子データの作成者を暗号論的に特定することが可能である。この公開鍵暗号をファイル暗号として利用する場合、暗号処理の高速性から、電子データを共通鍵で暗号化し、この共通鍵を、各利用ユーザの所有する公開鍵で暗号化して格納する方式が採用される。
【０００９】
Alice（送信側）が暗号化した共通鍵をBob(相手ユーザ)が利用する場合、先に述べた通り、共通鍵を電子データ格納装置内で露出させないため、この暗号化した共通鍵のデータをBobが復号できる暗号形式に変換して提供する必要がある。
【００１０】
特許文献１の方式は、Bobに復号用の鍵を送付する方式であるが、BobはAliceにこの復号用の共通鍵を要求する方式であるため、共通鍵を暗号化せずに安全に格納しておいてBobの要求に従って、この共通鍵を取り出すか、もしくはAlice（送信側）が暗号化した共通鍵を一旦復号して使用する必要がある。また、ほんとうに要求もとがBobであるのか、認証する必要が生じる。また、この共通鍵をBobの鍵で暗号化するほうが安全であるが、この暗号化には、触れていない。
【００１１】
特許文献2の方式は、特許文献１の方式に記載されていなかった、共通鍵をBobの鍵で暗号化する方式について定めている。この方式は、Bobの所有する公開鍵を用いて電子データ暗号化用の共通鍵を暗号化する方式である。
【００１２】
暗号論的には、複数（n人）の利用ユーザBobi(1≦i≦n)が、当該暗号データの利用要求があったっ場合、利用要求者が正当な要求者かどうか、n回認証し確認する必要がる。
【００１３】
さらに、新たに別の利用ユーザから、利用要求があった場合、この利用ユーザに対して
電子データ暗号化用の共通鍵を暗号化して送付する必要がある。
【００１４】
従って、この方式でも、Alice(電子データ提供側)は、利用ユーザに対して頻繁に、電子データ暗号化用の共通鍵を安全に操作する必要が生じている。
【００１５】
特許文献3の方式は、電子データ格納装置が、信頼性のないも(untrusted)とし、当該電子データ格納装置内では、暗号化電子データに関する暗号化、復号などの暗号処理を実施せず、Alice(電子データ提供側)とBob(利用ユーザ側)のみで暗号処理を実施する方式となっている。ただし、これを実現するための暗号処理に関する運用手順が示されていない。暗号方式としては、特許文献2に示す方式の公開鍵を用いると、当該特許文献3の方式のように当該電子データ格納装置内では、暗号化電子データに関する暗号化、復号などの暗号処理を実施しない方式することが可能と考えられる。
【００１６】
G. Ateniese et al(2005)(非特許文献4)は、電子データ格納装置をuntrusted装置とし、公開鍵のproxy cryptography を利用した電子データ格納方式を提案した。Proxy cryptograsphy とは、あるユーザ(Alice)の鍵で暗号化した電子データを他のユーザ(Bob)の鍵で復号可能となるよう暗号化データに変換を与える暗号技術である。このような、他のユーザ(Bob)へ復号権限を委譲する機能には、いくつかの応用が期待される。
・  Aliceが自身の秘密鍵を紛失した場合の対応
・  Alice以外の正当な代理人による復号
G. Atenieseの電子データ格納方式において提案されている、復号権限の委譲は、ElGamal暗号をベースに、双線型写像を利用した、re-encryption scheme と呼ぶ方式である。Alice(電子データ提供者)が暗号化した電子データの復号許可をBob(他の利用ユーザ)に与える場合、暗号化電子データの変換情報を有するre-encryption key を作成し提供する。このre-encryption key は、Bob(他の利用ユーザ)の公開鍵とAlice(電子データ提供側)の秘密鍵で作成し、電子データ格納装置に格納して利用する。
【００１７】
この方式では、(i) 電子データ暗号化用の共通鍵が、電子データ格納装置内では露呈することがなく、特許文献3の方式を満足している。
(ii) 公開鍵暗号を利用し、Alice(電子データ提供者)とBob(他の利用ユーザ)との間で、暗号演算処理を実施する方式であり、特許文献1、2に記載の方式を満足している。
(iii) 暗号文に変換を与えるre-encryption key の作成は、Alice(電子データ提供者)とBob(他の利用ユーザ)との間で実施し、Alice(電子データ提供者)が暗号化した共通鍵を暗号化したまま利用することが可能で、Alice(電子データ提供者)の共通鍵に関する管理が安全となり、特許文献1、2、3にない有効な機能を有している。
【００１８】
このように、Atenieseの方式は、電子データ格納装置側で鍵管理を不必要とするセキュリティ上の安全性が向上した方式となっている。しかし、Atenieseの方式は、公開鍵暗号のElGamal暗号をベースとしており、特許文献２と同様にPKIを必要としている。
【００１９】
即ち、Alice(電子データ提供者)がBob(他の利用ユーザ)に復号権限を与えるためのre-encryption key を作成する場合、Bobの公開鍵を認証により確認して取得する必要がある。また、Ateniseの方式は、利用ユーザの結託攻撃によりAlice(電子データ提供者)が作成したre-encryption key以外のkeyが生成される余地が残されている。このため、re-encryption key は、若干のセキュリティ上の信頼が置ける電子データ格納装置に格納し、Bobからの利用要求があると、Alice(電子データ提供者)の暗号化データに、re-encryption key を用いて、proxy演算処理した結果のデータをBobに提供する方式とし、直接Bobにre-encryptrion key を送付しない方式とする必要がある。Atenieseは、re-encryption keyを格納し、proxy 演算処理を実施する若干のセキュリティ上の信頼を要する電子データ格納装置にsemi を付与して、semi-trusted serverと名づけた。
【００２０】
暗号を利用した電子データの格納方式は、平たく言えば複数のユーザによる鍵共有方式ということができる。公開鍵による鍵共有の方式としては、あまりにも有名な1976年のDiffie-Hellman（非特許文献7）の方式がある。1998年、Blaze,Bleumer, Strauss(非特許文献8)は、「atomic proxy cryptography」という概念を提案し、平文に戻すことなく、暗号文に変換を与えるatomic proxy function の機能をElGamal 暗号において検討した。この方式は、proxy cryptography という、暗号化データ変換方式の基礎となる方式である。
【００２１】
代数幾何学上のリーマン・ロッホの定理から導かれる、楕円曲線上のアーベル群の構造、双線型写像(weil-paring)(非特許文献9)は、数学的に知られていたものであるが、この演算により構成されるIBE(Identity-based encryption scheme )については、2001年D. Boneh, M. Franklinの提案依頼脚光を浴び様々の研究が進んだ。ID-base 暗号(IBE)は、名前、部署、mail-address、phone-number などのIDを公開鍵として暗号処理に使用する方式であり(非特許文献10)、PKI(public key infrastructure)では、必要とされる公開鍵に対する認証機能が不要となるため、とても利用ユーザにとって利用しやすい方式となっている。
【００２２】
さらに、ある特定の利用ユーザによるグループで、暗号化電子データを共有する方式として、C. Gentry, A. Silverg(非特許文献11)や、D. Boneh, X. Boyen(特許文献12)は、IBE上にHierachical構造方式を提案した。この方式は、IDに対応する秘密鍵をある種の規則性を導入して設定する方式である。このため、一旦秘密鍵を設定してしまうと、暗号化データを共有できるグループは固定されれてしまい、任意に定めたID即ち、利用ユーザで暗号化データを共有することはできない。
【００２３】
暗号方式の安全性については、M. Abdlla, M. Bellare(非特許文献13)にみられるように、CCAの安全性を有することが、de-factとなった。2006年に提出されたD. Boneh et alのIBE方式（非特許文献14）は、数年に渡って積み重ねられた研究結果(非特許文献15,16)
についてまとめられたものである。電子データ暗号化用の共通鍵暗号(AES)とを組み合わせる方式であり、CCAの安全性も証明され、完成度の高い暗号方式となっている。この方式は、Selective-ID CPAの安全性を有するIBE(非特許文献19)をもとに構成されている。
IBE(ID-base暗号)には、安全性の証明がなされた電子署名方式として、同じくD. Boneh et alによるShort Signitureの方式がある（非特許文献17）。暗号化データの変換に関するproxy cryptographyの方式については、2003年 Y. Dodis, A. Ivan は、ElGamal , RSA およびIBE の暗号処理システムにおいて、unidirectinal proxy encryption の機能を提案した(非特許文献18)。この非可逆性は、ある利用ユーザ(Alice)が他の利用ユーザ(Bob)に暗号化データの復号権限を与えても、逆方向にBobからAliceには復号権限が委譲されない方式である。
【００２４】
先に述べたAtenieseは、このproxy cryptography を電子データ格納用の暗号に適用し、ElGamal暗号とPKIをベースとする電子データ格納方式を提案した。
について検討した。Dodis, Ivan(非特許文献18)は、Elgamal,RSA,IBEの暗号scheme上に、unidirectional proxy encryption の機能を実現した。2005年、Ateniese, Fu, Green, Hohenberger(非特許文献4)は、ファイル暗号としての検討を実施するとともに、Tate-paring(楕円曲線上の双線型写像の一種)を用いて、Collusion-safe の機能、即ち、proxyと通信相手ユーザが結託しても、送信元ユーザの秘密鍵が導出不可とする機能を提供した。
【００２５】
しかし、Non-transferable機能、、即ち、re-encryption key に対して、送信元ユーザ以外のユーザが結託しても、送信元ユーザが登録したkey以外のre-encryption keyの生成が不可能となる機能については提供できなかった。従って、Atenieseの提案するSchemeを運用する場合、、信頼できる第三者によるアクセス管理と、re-encryption keyに関する(trusted)proxy演算処理が必要となるなど、システム構築上利便性が損なわれる等の制約が存在している。
【００２６】
先に述べた2001年D. Boneh, M. Franklin等により提案された、ID-base 暗号(IBE)は、名前、部署、mail-address、phone-number などのIDを公開鍵として暗号処理に使用する方式であり(非特許文献10)、PKI(public key infrastructure)で、必要とされる公開鍵に対する認証機能が不要となるため、とても利用ユーザにとって利用しやすい方式となっている。ｎユーザで暗号ファイルを共有する場合、電子データ暗号化用の共通鍵を、nユーザに暗号化して配布する必要がる。ID-base暗号の場合、nユーザのIDをもとに、n回当該共通鍵を暗号化して容易に配布することが可能と考えられる。しかし、共通鍵が1回漏洩すると、nユーザの暗号ファイルは、すべて漏洩することになる。従って、電子データ暗号化用の共通鍵は、適度に更新することが望ましい。特にユーザが重要なデータを作成する場合や、新しい業務が発足する場合は、電子データ暗号化用の共通鍵を更新しておくべきだと考えられる。各nユーザが電子データ暗号化用の共通鍵を更新する場合、他のユーザに共通鍵を暗号化して配布する必要がある。ID-base暗号を利用した場合でも、ｎユーザで暗号ファイルを共有するために、各nユーザが電子データ暗号化用の共通鍵を更新する場合、各nユーザで頻繁に電子データ暗号化用の共通鍵の暗号化処理を実施することになり、オペレーションミスの発生が懸念される。このように、ｎユーザで暗号化ファイルを共有するため、もっとユーザにとって、鍵管理や暗号化処理が容易となる方式が望まれる。
【特許文献１】特許出願公開番号  特開 2004-234538      暗号化データ共有システム
【特許文献２】特許出願公開番号  特開2005-115479      電子データ共有装置、方法およびプログラム
【特許文献３】特許出願公開番号  特開  2006-099548      データ共有システム、データ共有方法、データ保有者デバイスおよびデータサーバ
【非特許文献１】暗号技術評価報告書 ( 2002  年度版 )                    CRYPTOREC Report 2002                    平成15年3月  情報処理振興事業協会  通信・放送機構
【非特許文献２】AES home page 1179361932531_0
【非特許文献３】Eu-Jin Goh, H. AShacham, N. Modadugu, and D. Boneh. SiRiUS;               「Securing remote untrusted storage.」 In Proceedings of the Tenth Network and Distributed System Security Symposium, pages 131-145
【非特許文献４】Giuseppe Ateniese, Kevin Fu, Matthew Green, and Susan Hohenberger 「Improved Proxy Re-Encryption Schemes with Applications to Secure Distributed Storage(eprint)」 ACM Transactions on Information and System Security(TISSEC), February 2005
【非特許文献５】B. Callagham, B. Pawlowski, and P. Staubach. NFS version3 protocol specifications. RFC1813, June 1995
【非特許文献６】Microsoft. Common internet file system (CIFS)               Located at 1179361932531_1
【非特許文献７】Whitefiel Diffie, Martin E. Hellman 「New Directions in Cryptography」IEEE Transactions on Information Theory(1976)
【非特許文献８】Matt Blaze, G. Bleumer, and M. Strauss. “Divertible protocols and               atomic proxy cryptography.” In Proceedinds of Eurocrypt  ’98,volume 1403 , pages 127-144, 1998
【非特許文献９】J. Silverman, 「The arithmetic of elliptic curve」Springer Verlag, 1986
【非特許文献１０】D. Boneh and M. Franklin. 「Identity Based Encryption from the Weil Paring.」SIM J. Computing 32(3): 586-615(2003)
【非特許文献１１】C. Gentry and A. Silverbrg, 「Hierarchical Identity-Based Cryptography」. Adv. In Cryptology-Asiacrypt 2002. LNCS vol. 2501, Springer-Verlag, pp. 548-566, 2002
【非特許文献１２】D. Boneh, X. Bonyen and E.J. Goh, 「Hierarchical Identity-Based Encryption WithConstant-size Ciphertexts」, Adv. In Cryptology - Eurocrypto 2005, LNSC vol. 3494, Springer-Verlag, pp440-456, 2005
【非特許文献１３】M. Bellare A. Desai, D. Poincheval and P. Rogaway 「Relations Among Notions of Security for Public-Key Encryption Schemes」, Adv. IN Cryptology-Crypto ‘98, LNCS vol. 1462. Springer-Verlag. Pp26-45, 1998
【非特許文献１４】D. Boneh, R. Canetti, S. Halevi, and J. Katz, 「Chosen-Ciphertext Security from Identity-Based Encryption」 June 13, 2006 To appears in SIAM Journal on Computing(SICOMP)
【非特許文献１５】D. Boneh and J. Katz. 「Improved Efficiency for CCA-Secure Cryptosystems Built Using Identity-Based Encryption.」 Topics in Cryptology-CT-RSA 2005. LNCS vol. 3376., Springer-Verlag. Pp. 87-103, 2005
【非特許文献１６】R. Canetti, S. Halervi and J. Katz. 「Chosen-Ciphertext Security from Identity-Based Encryption.」 Adv. In Cryptology - Eurocrypt 2004, LNCS vol. 3027, Springer-Verlag. pp. 207-222, 2004
【非特許文献１７】D. Boneh, B. Lynn, and H. Shacham, 「Short Signiture from the Weil Paring」, J. Cryptology 17(4):297-319(2004)
【非特許文献１８】Yegenity Dodis and Anca Ivan 「Proxy cryptography revised.」 In Proceedings of the Tenth Network and Distributed System Security Symposium, Feburary 2003
【非特許文献１９】D. Boneh and X. Boyen, 「Efficient Selective-ID Secure Identity-Based Encryption Without Random Oracles」, Adv. In Cryptology - Eurocrypt 2004 LNCS vol. 3027, Springer-Verlag, pp 223-238, 2004. Full version available at 1179361932531_2
【非特許文献２０】A. Sahai and B. Watters. 「Fuzzy Identity Based Encryption.」 Adv. Iin Cryptology - Eurocrypt, vol. 4394 of LNCS, pp. 457-473. Springer, 2005
【非特許文献２１】B. Waters, 「Efficient identity based encryption without random oracles,」Proc. Oof Eurocrypt’05, pp.114-127, 2005
【発明の開示】
【発明が解決しようとする課題】
【００２７】
1. Unidirectional Proxy Re-Encryption について
AteniseのBilinear map（Tate-paing）を利用したUnidirectional Proxy Re-Encryption Scheme(非特許文献4)について具体的に説明し、この方式の持つ課題について述べる。
1.1 Bilinear map
【００２８】
【数１】
2008288837.tif 000003
【００２９】
1.2 Strong Bilinear Diffie-Hellman Problem
セキュリティについては、群G、Wに対してStrong Bilinear Diffie-Hellman Problemの計算量的困難性を仮定する。
「計算量的困難性の仮定」
【００３０】
【数２】
2008288837.tif 000004
【００３１】
1.3 Unidirectional Proxy Re-Encryption
【００３２】
【数３】
2008288837.tif 000005
【００３３】
1.4 Proxyに対するre-encryption keyの安全性
1.2項のStrong Bilinear Diffie-Hellman Problem の成立を仮定すると
【００３４】
【数４】
2008288837.tif 000006
【００３５】
1.5 re-encryption keyに対する結託攻撃
再度Proxy(semi-trusted server)とBobが結託した場合を考える。
【００３６】
【数５】
2008288837.tif 000007
【００３７】
以上に示した通り、通り、Ateniese(非特許文献4)が提案した本方式は、(1)Unidirectional
(2) Coluusion-safe( 3) Non-tansitive の性質を有している。しかし、以上に示したように、Non-tansfeasable 機能を満足せず、Aliceのre-encryption keyを、Bob(他の利用ユーザ)に直接渡すと、ユーザの結託攻撃を受け、Aliceの指定したユーザ以外のユーザ向けのre-encryption keyの生成が可能となる。この結託攻撃を回避するため、Atenieseは、re-encryption keyをaccess control server と呼ぶ、semi-trusted serverに格納するものとし、re-encryption keyに関するproxy 演算処理Pecを当該server 内で実行し、この演算処理結果をBobが取得する方式とした。このように、安全性に関して、Non-transferable の機能を提供できないため、Ateniese の提案する方式をセキュリティ上安全に運用するためには、 proxy（semi-trustedserver）によるre-encryption keyの関する演算処理を必要とし、利便性上課題となるシステム運用上の制約を有している。
【００３８】
また、Atenieseの、ElGamal暗号をベースとし、PKIを必要としている。従って、Alice (電子データ提供者)がre-encryption key 作成時に、復号権限を与える利用ユーザ(Bob)の公開鍵を取得する場合、認証により公開鍵を確認する必要があり、ユーザにとって負担である。このようにして、本発明は、Atenieseの提案方式を改良し、複数のユーザ(グループ)で暗号化電子データを効率良く共有する方式を構築すること目的としており、次に示す５項目を主要な解決しようとする課題とする。
・  ID-based Encryption Schemeの導入
Atenieseの方式は、双線型写像を利用しているが、ID-base暗号も双線型写像を利用している。そこで、PKIによる認証機能のover head を回避して、ユーザへの利便性を増すため、ID-based Encryption Schemeを導入する。導入に際しては、電子データの暗号化処理の高速性を確保するため、共通鍵暗号方式であるAESと接続可能とし、暗号論的にCCAの安全性を満足するものとする。 IBE(ID-base暗号)の要素技術を利用して、復号権限を委譲する鍵(proxy-key)を、相手ユーザ(Bob)のIDをもとに、Alice自身で、生成することを課題とする。
・  結託攻撃を受けないような、復号権限の委譲
Atenieseのre-encryption key が、結託を受ける原因は、Bobの公開鍵pkB = gbにおいて、この公開鍵に対応するsecret key skB = b をBobが所有しているためである。従って暗号処理において、secret key skB = bをBobが所有することなく、実施可能なシステムを構築することを課題とする。
・  ｎユーザにとって、電子データ暗号化の共通鍵の更新が容易な方式
nユーザに復号権限を委譲する方式の場合、１回復号権限を当該グループのnメンバー(ユーザ)に委譲しておけば、次から共通鍵を更新して暗号化した場合も、当該暗号化共通鍵をnユーザで復号して利用できるようにする。さらに、当該グループの管理者が、グループで共有する暗号化の公開鍵を生成し、当該公開鍵を復号できるよう、この復号権限委譲機能を利用し、nユーザの復号秘密鍵を再設定する方式とする。
【００３９】
各ユーザは、グループで共有する暗号化の公開鍵を利用して、当該電子データ暗号化用の共通鍵を暗号化すれば、各ユーザは、再設定して取得した復号秘密鍵により、当該電子データ暗号化用の共通鍵を復号して利用できることになり、ｎユーザにとって、電子データ暗号化の共通鍵の更新が容易な方式となる。このような安全な暗号処理方式の構築を課題とする。
(4)電子署名機能の実装
暗号処理システムを構築する場合、暗号化復号処理と、電子署名作成および、検証処理の両方の機能を有するシステムとすることを課題とする。
(5)不正な復号秘密鍵の使用防止
グループで共有する暗号化の公開鍵の正規の復号権限を有するものが、他のユーザに無断で当該ユーザの復号秘密鍵を配布するといった悪用も考えられる。そこで、ｎユーザの復号秘密鍵が、個別に識別可能な構成とし、当該ユーザに再設定されるべき復号権限を委譲する鍵以外の鍵の使用をソフトウェア的に検出し、これ以降の暗号演算処理を中断することにより、不正な鍵流出の防止策を講じることを課題とする。
【課題を解決するための手段】
【００４０】
本発明は、このAtenieseの提案する構成方式をもとに、上記課題を解決するため、
共通鍵暗号AESとの接続、CCAの安全性が証明され、暗号処理の復号秘密鍵が、gbを成分に持つID-based 暗号を利用することとした。
【００４１】
このようなID-based 暗号方式としては、D. Boneh et alの非特許文献14、15、16などを利用することができるが、この方式は、Selective-ID CPAの安全性を有するIBE(非特許文献19)をもとに構成されている。この方式に、proxy cryptographic scheme と呼ばれる暗号化電子データの変換方式を組み込むことを課題解決の手段とする。
2．Proxy cryptographic 機能を有する電子データ格納装置の構成手段
2.1 暗号処理に関するシステムの構成
本発明のproxy cryptographic 機能を有する電子データ格納システムの構成を図１に示す。
図１を参照し、本発明の暗号処理に関するシステムの構成について説明する。
・  PKG(Public key Generator) 
PKGは、電子データ格納システムを利用するユーザの鍵管理機能を有している。
【００４２】
・ msk(master secret key) をもとに各ユーザが暗号処理に利用するParams(master 
public key)を生成し公開する。
【００４３】
・  各ユーザのIDに対応する秘密鍵SKIDを生成し、secure chanelにより各ユーザに配布する。
【００４４】
図1では、各ユーザをBob-i(1≦i≦n)のIDをIDb-iとし、対応する秘密鍵SKIDb-iが配布されていることを示している。
・  PKG.sub
・ あるグループの管理者Administrator(Alice)が、msk.A(sub master secret key)を設定
し、グループで共有する公開鍵 PK.A(public key generated by administrator)を生成
する。
・ 当該グループの各メンバーに対して、Administrator(Alice)は、msk.A(sub master 
secretkey)と、各メンバー（ユーザ）のIDをもとに、公開鍵PK.Aの復号権限を委譲
するための鍵pRK(proxy-key)を生成し配布する。
・  Data Storage(untrusted server、ファイルサーバ)
・ 各ユーザは、公開鍵PK.Aを利用して、電子データを暗号化し、暗号化した電子
データをファイルとして格納して利用する。
・ 暗号処理に関する鍵管理機能は有しない。
【００４５】
(注) ファイル管理用のソフトウェアとしては、unix系ではNFS（Network File System）、windows系ではCIFS(Common Internet File System)などが知られている。パスワード程度のサポートのものは、セキュリティ上の信頼性は低いと考えられる。
・  proxy-key DB
グループの管理者Administrator(Alice)が、公開鍵PK.Aにより暗号化した電子データの復号権限を当該グループの各ユーザ(メンバー) Bob-i(1≦i≦n)にproxy-key pRK-A-Biを作成することにより与えている。
【００４６】
図１では、作成したproxy-key pRK-A-Biは、proxy-key DB(proxy-key データベース)に登録することを示している。
【００４７】
proxy-key pRK-A-Biは、msk.A(sub master secret key)と各ユーザBob-i(1≦i≦n)のIDであるIDb-iにより作成され、各ユーザBob-i(1≦i≦n)の所有する秘密鍵SKIDb-iとproxy-key pRK-A-Biにより公開鍵PK.Aに対応する復号秘密鍵SRKDb-iを再設定し
当該グループにおいて暗号化データを共有することを示している。
(5) ファイル管理用の鍵の構成
(i) FEK(file encryption key)
AESなどのデータ暗号化に使用する共通鍵
(ii) ID(owners ID, public key used in encryption)
名前、部署、mail-addres、phone number 等のID
ID-base暗号では暗号化の公開鍵として使用する
(iii) SKID(owners secret key used in decryption)
IDに対応する復号用の秘密鍵
PKGがIDをもとに作成し、各ユーザに配布する。
【００４８】
(iv) QID(owners public key used in signature)
IDに対応する署名検証用の公開鍵
(v) dQID(owners secret key used in signature)
QIDに対応する署名作成用の秘密鍵
PKGがQIDをもとに作成し、各ユーザに配布する。
【００４９】
(vi) PK.A(Public key for Group users)
グループで共有するデータを暗号化するための公開鍵
PKG.Subが作成し、公開する。
【００５０】
(v) pRK(proxy-key)
公開鍵PK.Aに対する復号権限委譲機能を各ユーザに与える鍵
（注）pRKは、QIDを変換して作成される。
【００５１】
pRKをもとに、ユーザID の秘密鍵SKIDを再設定することにより、、PK.Aに対応
する復号秘密鍵を定める。このようにして、各ユーザはPK.Aの復号秘密鍵を取得する。
2.2 暗号処理に関する機能構成
Administrator(Alice)が公開鍵PK.Aを設定し、各ユーザが、データM(plaintext)を公開鍵PK.Aで暗号化してファイルサーバに格納する一方において、Administrator(Alice)が、Bobに当該公開鍵PK.Aの復号権限を委譲するproxy-key pRKを作成し、Bobがこのproxy-key pRKを取得して当該公開鍵PK.Aの暗号化データを復号する手順をもとに、本発明の暗号処理方式に関する解決手段について説明する。
【００５２】
ここで
PK.A; グループで共有する公開鍵
IDa, SKIDa ;  AliceのID、および（復号）秘密鍵
IDb, SKIDb ;  BobのID、および（復号）秘密鍵
pRK-A-B; AliceがBobに復号権限を委譲するproxy-keyとする。
【００５３】
以下の説明ではこのように、AliceまたはBobに関する演算処理によって作成される鍵等のデータには、適宜a,b,A,Bの識別子(sufix)を付加するが、特に混乱はないと考える。
2.2.1 （通常の）暗号処理機能
まず、復号権限委譲をしない場合の通常の暗号処理機能について説明する。
・  データの暗号化(Encf, Encp)
(i) Encf( FEK, M ) = Cf  (共通鍵によるMの暗号化)
FEK; 共通鍵, Ｍ; plaintext, Cf; ciphertext
(ii) Encp( IDa, FEK)= Ck  (IDによる共通鍵の暗号化)
IDa; AliceのID, FEK; 共通鍵, Ck; ciphertext
・  データの復号(Decf,Decp)
(i) Decp(SKIDa, Ck) = FEK
(ii) Decf(FEK, Cf) = M
（注）一般に暗号化は、CCA-securityを有することがde-factoとなっている。
【００５４】
IBE(ID-base暗号)とAESなどの共通鍵と組み合わせて効率よくCCA-securityを確保する方式として、非特許文献14に示すように、電子署名や、MAC(message authentication code)と組み合わせる方式がある。
・  電子署名
dQID による署名作成、QIDによる署名検証
2.2.2  グループのよる暗号化データの共有
次に、複数のユーザ(グループ)で暗号化電子データを効率良く共有する方式を構築するための解決手段について説明する。ここでは、グループの管理者をAdministrator（Alice）とし、グループのメンバーのひとりをBobとする。
(1) 暗号化データの共有を前提とする鍵の構成
(i) SKID（ユーザのIDに対応する秘密鍵）
秘密鍵SKIDは、QIDを要素として含む構成、
即ち、SKID=(KID, QID)の構成とする。
【００５５】
従って、Administrator（Alice）とBobの秘密鍵を、
SKIDa= (Ka、QIDa )
SKIDb=(Kb、QIDb)
とする。
【００５６】
(ii) proxy-key pRK(pRK-A-B)
Administrator (Alice)がBobにAdministrator が作成した公開鍵PK.Aによるの暗号化データの復号権限を委譲する鍵pRK-A-B (proxy-key)
(注; pRK-A-B=pRK(msk.A, IDb)と、このproxy-keyは、Administrator(Alice)のmsk.AとBobのIDbの関数として作成される。)
(iii) Bobのproxy-accept key  QIDb
Bobの秘密鍵の要素QIDbをproxy-accept keyと呼ぶこととし、Administrator (Alice)はQIDbに関する変換処理によりproxy-key pRK-A-Bを作成し、Bobに渡す。この変換処理をRとするとpRK-A-B=R(QIDb)となる。
【００５７】
(iv) SRKD(SRKD-A-B)（復号秘密鍵proxy-decryption-key)
Bobが公開鍵PK.Aの暗号化データの復号に使用する復号秘密鍵SRKD-A-B
(注；SRKD-A-B = SRKD(msk.A, IDb) と、この復号秘密鍵はAdministrator (Alice)のmsk.AとBobのIDbの関数として作成される。)
・  暗号化データ共有システム  pBE(proxy-base Encryption)
複数のユーザ(グループ)で暗号化電子データを効率良く共有する方式を構築するための解決手段となる暗号化データ共有システム  pBE(proxy-base Encryption)について説明する。
このpBEは、次の5組のalgorithmにより構成される。
pBE={pBE.Gen, pBE.Enc,  pBE.Der, pBE.Ktr, pBE.Dec}
(i) pBE.Gen(鍵生成)
pBE.Gen(1^k) =｛msk.A, PK.A｝(ここで、1^kは、security parameter)
Administrator(Alice)は、｛msk.A, PK.A｝を生成する。
【００５８】
Administrator(Alice)は,msk.A(sub master secret key)を秘匿し、このmsk.Aをもとに、公開鍵PK.A(public key) を生成して公開するとともに、復号権限を委譲するproxy-key pRKを生成する。
(ii) pBE.Enc(暗号化)
pBE.Enc(PK.A, M) = Ck
公開鍵PK.Aをもとにplaintext M を暗号化する。
【００５９】
本発明の暗号化データ共有システムの場合、共通鍵FEKの暗号化に使用する。
(iii) pBE.Der(復号権限を委譲するproxy-key pRKの生成)
pBE.Der(msk.A, IDb) = pRK-A-B
Administrator(Alice)は、msk.A(sub master secret key)とグループのメンバー(Bob)のID(IDb)をもとに、当該ユーザ(Bob)への公開鍵PK.Aの復号権限を委譲もしくは与える
proxy-key pRK-A-B(=pRK(msk.A, IDb))を生成する。
(iv) pBE.Ktr(公開鍵PK.Aに対応する復号秘密鍵SRKDの生成)
pBE.Ktr(SKIDb, pRK-A-B) = SRKD-A-B
グループのメンバー(Bob)の秘密鍵SKIDbをproxy-key pRK-A-Bをもとに、公開鍵PK.Aに対応する復号秘密鍵SRKD-A-Bに変換する。これは、秘密鍵SKIDbの要素QIDbをproxy-key pRK-A-Bに取り替えることで、変換される。
【００６０】
即ち、SKIDb=(Kb, QIDb)とすると、
SRKD-A-B = (Kb, pRK-A-B)
(v) pBE.Dec(復号)
pBE.Dec(SRKD-A-B, Ck) = M
公開鍵SK.Aの暗号文Ckを復号秘密鍵SRKD-A-Bで復号し、平文(plaintext)Mを取得する。
3.  pBEによるproxy 暗号処理
図２は、本発明を適用したpBE(暗号化データ共有システム)によるproxy暗号処理システムの処理フロー図である。
この図2を参照し、本発明のproxy暗号処理手段について説明する。
3.1 PKG, PKG.Subの信頼性
本発明の暗号処理システムにおいて、ＰＫＧは、管理者であるAdministrator(Alice)および、グループの各ユーザであるＢｏｂ−ｉ（1≦i≦n）のIDに対応する秘密鍵SKIDを生成して配布する。
【００６１】
図2では、Ｂｏｂ−ｉ（1≦i≦n）のIDをIDb-iとし、対応する秘密鍵SKIDb-i=(Kb-i, QIDb-i) が配布されている。
【００６２】
また、PKG.Subにおいて、管理者であるAdministrator(Alice)は、当該グループで共有する公開鍵PK.Aをｍｓｋ.A(sub master secret key)により生成するとともに、当該グループの各ユーザに対して、公開鍵PK.Aの暗号文の復号権限を委譲するproxy-key pRKを、各ユーザのIDとmsk.A
(sub master secret key)をもとに設定し、配布する。従って、PKGおよび、PKG.Subは、各ユーザのIDに対応する秘密鍵SKIDと、公開鍵PK.Aに対応する復号秘密鍵SRKDを生成するため、Trustedとする必要がある。
3.2 proxy暗号処理
(1) Proxy-key pRKの作成と登録
(i) グループの各ユーザ(Bob-i)のIDをIDb-i (1≦i≦n)とし、管理者であるAdministrator(Alice)が復号権限を委譲するユーザのIDb-i (1≦i≦n)をもとに、対応する公開データ(proxy-accept  key)QIDb-i(1≦i≦n )を取得する。
【００６３】
(ii) 管理者であるAdministrator(Alice) は、所有するmsk.A(sub master secret key) と、QIDb-i(1≦i≦n )をもとにproxy-key pRK-A-Bi=pBE.Der(msk.A, IDb-i) (1≦i≦n )を作成し、(1)項で作成した、暗号化データとともに、proxy-key をファイルサーバ（untrusted）に登録する。
・   proxy-key pRKのによる復号秘密鍵SRKDの再設定
Bob(Bob-i) はファイルサーバに公開鍵PK.A の暗号の復号権限を委譲するproxy-key pRK-A-Bi が登録されているか確認する。登録されていれば、このproky-key pRK-A-BiとSKIDb-iにより、公開鍵PK.A に対する復号秘密鍵SRKD-A-Bi=pBE.Ktr(SKIDb-i, pRK-A-Bi) =(Kb-i, pRK-A-Bi)を作成する。
・  Bob(Bob-i)の公開鍵PK.Aによる電子データの暗号化(Decp,Decf) 
(i) 共通鍵FEKにより電子データM(plaintext)を暗号化し暗号文Ckを作成する。
【００６４】
i.e Encf(FEK, M) = Ck
(ii) 公開鍵PK.Aにより、共通鍵FEKを暗号化し暗号文Cfを作成する。
【００６５】
i.e pBE.Enc(PK.A, FEK) = Cf
(4) Bob(Bob-i)の公開鍵PK.Aの暗号化データの復号(Decp,Decf)
(i) SRKD-A-Biにより Cf を復号しFEKを取得する。
【００６６】
i.e.  pBE.Dec(SRKD-A-Bi、Cf ) = FEK
(ii) FEKによりCkを復号しデータM(plaintext)を取得する。
【００６７】
i.e.  Decf(FEK, Ck) = M
(注；公開鍵PK.Aについては、Administrator(Alice)の署名鍵dQIDaで電子証明書を作成し、
この電子証明書をAdministrator(Alice)の検証鍵QIDaで前もって正当性を検証する必要がある。
【発明の効果】
【００６８】
本発明は、以上に説明した解決手段の構成を使用することにより次のような効果を奏する。
4. 発明の効果
本発明の方式により提供される効果について説明する。
【００６９】
特に、本発明の方式では、Atenieseの方式では、得られなかった結託攻撃に関するNon-tansfeableの機能を提供が可能となる効果が得られる。
４.1 Proxy cryptographic schemeの処理の特徴および効果
・  自己生成(self-generation)
Bobに公開鍵PK.Aの復号権限を委譲する鍵proxy-key pRK-A-Bを管理者であるAdministrator(Alice)が作成する場合、Administrator(Alice)自身が所有するmsk.A(sub master secret key)とBobのIDをもとに、PKGなどの第三者が介在することなく、Administrator(Alice)自身で効率よく作成可能であるという効果が得られる。
(2) 自己管理性(original-access)
Bobは、公開鍵PK.Aでデータを暗号化して格納するが、自身の所有する復号秘密鍵SRKD-A-Bで復号可能であり、格納したデータの保守管理が実施可能であるという効果が得られる。
(3) 復号秘密鍵の識別性(key-distinguishability)
proky-key pRK-A-Bにより、各ユーザ(Bob)に対して、公開鍵PK.Aに対応する復号秘密鍵SKRD-A-B=(Kb, pRK-A-B)を再設定されるが、この復号秘密鍵の要素のKbは、各ユーザ(Bob)のIDbに対応する秘密鍵SKIDb=(Kb, QIDb)の要素Kbと同一であり、互に識別可能となる。このため、不正な鍵流出の対策を講じることが可能となる効果が得られる。
(4) public-key, proxy-key サイズの不変性（key-optimal）
システムに加入するユーザの加入数に関係することなく、public-key PK.A及び、proxy-key pRK のサイズはsystem parameterのみで定まり不変となる。
４.2 Proxy-keyの安全性
Administrator(Alice)は、公開鍵PK.Aの復号権限をproxy-keyにより委譲するため、proxy-key pRKは、Administrator(Alice)が関与しないと生成できない性質をもつ必要がある。
【００７０】
本発明の暗号方式は、Selective-ID CPAの安全性を有するIBE(非特許文献19)をもとに、proxy cryptographic scheme と呼ばれる暗号化電子データの変換方式を組み込む手段をとっているため、下記の安全な性質を有する効果が得られる。
(1) 非可逆性(unidirectional)
Bob がAdministrator(Alice)から取得したproxy-key pRK-A-Bをもとに、pRK-B-Aを算出することはできない。
(2) 非遷移性(Non-transitive)
pRK-A-B、pRK-B-CからpRK-A-Cを算出することはできない。
【００７１】
（ここで、Bは、Bobとし、Cは、例えばCarollとする。）
(3) 結託回避性(collusion -safe)
任意のnユーザのproxy-key pRK-A-Bi(1 ≦i≦n)からAdministrator(Alice)の秘密鍵SKIDaを算出することはできない。
(4) 非導出性(Non-transfeable)
任意のnユーザのproxy-key pRK-A-Bi(1 ≦i≦n)から、他の第3者Caroll のproxy-key pRK-A-Cを算出することはできない。-
・  Proxy-keyの作成とデータの管理
・請求項３に記載の様態によれば、信頼できる管理者が、復号権限を与えるデータを作成するため、グループの各ユーザが、間違え当該グループの別のユーザに暗号文を提供するという、操作誤りを小さくできるという効果が得られる。
・請求項5に記載の様態によれば、信頼できる管理者が設定したグループの利用ユーザ以外のものが、グループ共通の公開鍵で暗号化した電子データを利用することができないというセキュリティ上の安全性が向上するという効果が得られる。
・請求項４,６に記載の様態によれば、電子データを暗号化するための共通鍵は、グループ共通の公開鍵で暗号化しておけば、グループの各ユーザがこの共通鍵を復号して取得することが可能であり、共通鍵を更新しても、グループの各ユーザの所有する鍵を変更する必要はなく、各ユーザ鍵管理の操作ミスを小さくし、共通鍵更新によるセキュリティ上の安全性が向上するという効果が得られる。
【発明を実施するための最良の形態】
【００７２】
以下、図を参照して、本発明の実施形態について説明する。
【実施例１】
【００７３】
本発明の、暗号化データ共有システムpBE(proxy-base Encryption)をLANなどの通信ネットワーク上に構成した運用システムの実施例を図３に示す。
【００７４】
図３を参照し、本発明の実施例について説明する。
Administrator(Alice)は特定のグループの管理者であり、Bob-i(1≦i≦n)は当該グループのメンバーでとなる利用ユーザであり、PC(パーソナルコンピュータ)などの端末装置によりLANに接続している。PKG(Public key generator)が、これらの利用ユーザの秘密鍵を作成して配布する。管理者であるAdministrator(Alice)はこのグループのデータ共有のための公開鍵PK.Aをmsk.A(sub master secret key)により生成するとともに、この公開鍵PK.Aの復号権限を委譲するproxy-keyの作成し配布する。
【００７５】
Bob-i(1≦i≦n)のユーザIDは、IDb-iであり、対応する秘密鍵は、SKIDb-iである。
【００７６】
このＬＡＮには、File Server がData Storage(untrusted server)として接続されており、
各利用ユーザが所有する電子データを公開鍵PK.Aで暗号化しこのFile Server に格納する。
【００７７】
本実施例では、Administrator(Alice)が、復号権限を委譲するためproxy-keyを作成する場合の実施形態を示している。
【００７８】
Administrator(Alice)は、本暗号処理システムの復号権限委譲登録のためのDelegation登録画面を開き、復号権限を与えるグループのメンバーのID、本実施例では、Bob-i、Bob-j、Bob-kのIDであるIDb-i,IDb-j, IDb-kを入力している。
【００７９】
この入力後、Administrator(Alice)のPKG.Subの所有するmsk.Aをもとに、proxy-key作成処理が実施され、作成されたproxy-key pRK-A-Bi, pRK-A-Bj, がFile-serverに接続されているProxy-Key DB(データベース)に格納される。
【００８０】
Bob-iが、公開鍵PK.Aで暗号化電子データを利用しようとするとき、Proxy-Key DBに格納されているproxy-key pRK-A-Biを取得し、自身の所有する秘密鍵SKIDb-iと組み合わせて、復号秘密鍵SRKD-A-Biを再設定し、公開鍵PK.Aによる暗号化電子データを復号して利用する。
【００８１】
図４は、図３の実施例に記載のＰＫＧ、PKG.Sub(Administrator(Alice))、利用ユーザ、File-serverが格納している本発明のpBEのセキュリティシステム関連の電子データの詳細を示している。
【００８２】
PKGは、msk(master-secret-key)を所有し、Params(master public key)を作成する。また当該グループの各利用ユーザの秘密鍵および、電子署名作成用秘密鍵を作成して、secure chanelにより各ユーザに配布する。
【００８３】
署名作成用のユーザIDに対応する公開鍵として、Administrator(Alice) は、QIDaを、Bob-i(1≦i≦n)は、QIDb-iを所有し、 対応する署名作成用の秘密鍵としてAdministrator(Alice) は、dQIDaを、Bob-i(1≦i≦n)は、dQIDb-iをPKGにより配布されて所有している。
【００８４】
この署名作成用の公開鍵は、各ユーザの秘密鍵の要素として含まれている。
【００８５】
具体的に示すと、Administrator(Alice)の秘密鍵はSKIDa=(Ka,QIDa), Bob-i(1≦i≦n)の秘密鍵は、SKIDb-i=(Kb-i, QIDb-i)となる。
【００８６】
この実施例では、グループの各ユーザが、平文Mi(plaintext)(1≦i≦m)を暗号化してFile-serverに格納している。平文Miには、データ暗号化用の共通鍵FEKi(file-encryption key)(1≦i≦m)で暗号化しこの暗号データEncf(FEKi,Mi)を格納し、さらに、この共通鍵FEKiを当該グループ共有の公開鍵PK.Aで暗号化し、暗号データpBE.Enc(PK.A, FEKi) を格納している。
【００８７】
また、Administrator(Alice) は、Bob-i, Bob-j, Bob-k に復号権限を委譲するため、proxy-key pRK-A-Bi, pRK-A-B, pRK-A-Bkを作成し登録している。
【００８８】
このproxy-key をもとに、設定される公開鍵PK.Aの復号秘密鍵は、SRKD-A-Bi、SRKD-A-Bj、SRKD-A-Bkである。
【００８９】
本発明の暗号化データ共有システムpBEでは、データ暗号化用の共通鍵を変えても、proxy-keyは同一でよく、共通鍵の管理が効率よく改善されている。
【００９０】
次に、本発明のproxy cryptographic schemeを有する暗号化データ共有システムpBEを数学的に構築した第１の実施形態について説明する。
4. ID-based Encryption Scheme sIBE
本発明の第１の実施形態の暗号化データ共有システムpBEは、Boneh et al.の (非)特許文献14,19)の利用して構成している。そこでまず、pBEの構成に使用するID-based Encryption Schemeについて説明する。本発明のpBEに使用するのは、Boneh et al.の (非)特許文献19)のselective-ID CPAの安全性を有するIBEの方式である。ここでは、この方式をsIBEと呼ぶことにする。なお、本発明のpBE方式は、Waters et al ((非)特許文献21)の暗号方式を用いて構成することも可能である。
4.1 The Bilinear Diffie-Hellman Assumption(BDH)
【００９１】
【数６】
2008288837.tif 000008
【００９２】
4.2 sIBE Schemeのalgorithmの構成
sIBE Scheme は、４組のalgorithm sIBE.Setup, sIBE.Der,  Encrypt(sIBE.Enc), Decrypt(sIBE.Dec) で構成される。
【００９３】
【数７】
2008288837.tif 000009
【００９４】
4.3 Boneh et al.(非特許文献19)のIBEからの変更点
本IBE Schemeの４組のalgorithmは、Boneh et al.(非特許文献19)のとまったく同じである。
【００９５】
【数８】
2008288837.tif 000010
【００９６】
5. 鍵空間(key-sp),暗号文空間(c-sp)と自己同型写像(homomorphism)
proxy-key pRKにより、ユーザの秘密鍵SKIDからSRKDを再設定する。
これは、鍵の変換との考えられる。そこで、鍵空間、暗号文空間とその上の自己同型写像について考察する。
5.1鍵空間(key-sp)と自己同型変換(homomorphism)
【００９７】
【数９】
2008288837.tif 000011
【００９８】
【数１０】
2008288837.tif 000012
【００９９】
5.2暗号文空間(c-sp)と自己同型写像(homomorphism)
【０１００】
【数１１】
2008288837.tif 000013
【０１０１】
【数１２】
2008288837.tif 000014
【０１０２】
5.3 sIBE.DecとsIBE.Encとの関係
【０１０３】
【数１３】
2008288837.tif 000015
【０１０４】
6. 暗号化データ共有システムpBE
6.1暗号化データ共有システムpBEのalgorithmの構成
本発明の暗号化データ共有システムpBEの構成に使用する、Boneh et al.の (非)特許文献19)のselective-ID CPAの安全性を有するsIBEの方式について説明した。
先の課題を解決するための手段述べたとおり、pBEは、次の5組のalgorithmにより構成される。pBE={pBE.Gen, pBE.Enc,  pBE.Der, pBE.Ktr, pBE.Dec}
ここで説明した、sIBEを用いて、本発明の暗号化データ共有システムpBEのalgorithmの構成について示す。図5は、sIBEと本発明の暗号化データ共有システムpBEの5組のalgorithmの機能の関係を示す。
【０１０５】
【数１４】
2008288837.tif 000016
【０１０６】
【数１５】
2008288837.tif 000017
【０１０７】
【数１６】
2008288837.tif 000018
【実施例２】
【０１０８】
6.2 暗号文を変換する方式について
本発明の暗号化データ共有システムpBEでは、公開鍵PK.Aで作成した暗号文を、ユーサ゛Bobが復号して利用できるよう、Bobの所有する秘密鍵SKIDを再設定して復号秘密鍵SKRDに変換する方式である。Bobの所有する秘密鍵SKIDは変更せず、公開鍵PK.Aで作成した暗号文を、秘密鍵SKIDで復号可能となるよう変換することも可能である。
次に、公開鍵PK.Aで作成した暗号文を変換する本発明の第2の実施形態について説明する。
【０１０９】
【数１７】
2008288837.tif 000019
【０１１０】
7. Proxy-key pRKの安全性について
本発明の暗号化データ共有システムpBEに関して、本発明の第１の実施形態が、発明の効果で示したProxy-key pRKの安全性を有していることを説明する。
【０１１１】
【数１８】
2008288837.tif 000020
【０１１２】
【数１９】
2008288837.tif 000021
【０１１３】
・  本発明の暗号化データ共有システムpBEの安全性について
発明した暗号方式を実際に利用しようとする場合、非特許文献13に示されているように、当該暗号方式が十分な安全性を有している必要がある。そこで、本発明の暗号化データ共有システムpBEが有している暗号論的な安全性について説明する。
本発明のpBEのシステムでは、msk.A=Sで定められる公開鍵PK.Aによる暗号文C-Mと、当該暗号文の復号権限を委譲する相手ユーザ(Bob)のIDbをもとにproxy-key pRKが生成される。公開鍵PK.Aによる暗号文C-Mは、IND-sID-CPA の安全性を有するsIBEにおいて、ID=Sとした作成した暗号文と同一である。
【０１１４】
msk.A =Sから鍵pRKが生成されるため、SはPKG.Sub(Adoministrator)に秘匿される。
【０１１５】
鍵pRKから、Sを求めることは、計算量的に困難であり、任意のIDから作成した鍵pRKとSの鍵pRKとが一致する確率は極めて小さい。このことを考慮すると、本発明のpBEシステムは、sIBEのIND-sID-CPAとほとんど同様の安全性を定義することが可能である。IND-sID-CPAと区別して、本発明のpBE が有する安全性をIND-sID*-CPAとし、以下に示すゲームでこの安全性を定義する。
【０１１６】
【数２０】
2008288837.tif 000022
【０１１７】
【数２１】
2008288837.tif 000023
【０１１８】
以上から、本方式のpBEは、IND-sID-CPAとほとんど同程度の安全性を有していると考えられる。
【０１１９】
非特許文献10に示されているFO(藤崎、岡本)変換を施すとIND-CCA2の安全性が得られる。
【０１２０】
Canetti,Halevi,Katsの方式（非特許文献16）によると、IND-sID-CPAの安全性を持つIDベース暗号から、IND-CCA2の安全性を持つ公開鍵暗号に変換することが可能である。
【０１２１】
これは、署名作成鍵と署名検証鍵の組を{sk, vk}とし、vkをIdentityとして、暗号化する方式である。本pBEにおいても、msk.A=vk とし、公開鍵PK.Aより暗号化することが可能である。しかし、vkを秘匿するため、vkを暗号化して送付する必要があり、処理の効率が少し落ちてしまうものと考えられる。
【実施例３】
【０１２２】
6. 電子署名機能
公開鍵PK.Aは、提供者が正当な管理者Administrator(Alice)であることを電子署名で示する必要がある。この電子署名の機能は、本暗号処理とは、別のシステムを用いて導入することも可能であるが、本提案方式では、同じ暗号処理システムを利用して電子署名の機能組み込むことも可能である。以下この電子署名機能の構成方式を示す。
6.1 電子署名(signiture)機能の組み込み
【０１２３】
【数２２】
2008288837.tif 000024
【０１２４】
6.2 Short Signature 機能設定
D. Boneh et al (非特許文献17) に従って、Short Signature の機能を組み込むことも可能である。NMT curve を使用した構成を示す。この構成は、楕円曲線上の等分点(非特許文献9)上の異なる2組の生成元を用いるため、暗号化(Encryption)、復号(Decryption)について少し修正を要するが、ほとんど同じalgorithmで成立することを容易に確認することができる。電子署名の演算は、(非特許文献17)と同じであり記載は省略する。
【０１２５】
【数２３】
2008288837.tif 000025
【実施例４】
【０１２６】
10. 不正な鍵流失への対策案
AdministratorがBobに復号権限を委譲するproxy-key をpRK-A-Bとし、
Bobの所有する秘密鍵 SK(IDb) = (Kb, QIDb)
Carollの所有する秘密鍵SK(IDc) = (Kc, QIDc)
とする。
【０１２７】
Bobはproxy-keyにより、QIDbを変更して、復号秘密鍵 SRKD(S,IDb) = (Kb, pRK-A-B)) と再設定する。
【０１２８】
Bobが、この復号秘密鍵を不正にCaroll に送付したとする。Carollも、proxy-keyを使用できるが、復号秘密鍵のもう一方の要素を、Kbから、Kcに変更して使用することになる。従って、ソフトウェア的に、Carollに初期設定された、Kc以外の要素を使用とすると、不正使用と判断して、処理を中断するなどの機能が組みこめれば、ある程度の不正鍵流失に対応できるのではないかと考える。
【０１２９】
この場合、不正使用者Carollにとって、プログラム修正のための時間とコストが見合わないようであれば、不正使用を断念することになる。
【産業上の利用可能性】
【０１３０】
通信ネットワークシステム上で利用される電子情報の秘匿による送受信もしくは、共有当の利用に関する分野において、特に電子情報の提供者がある定また通信相手、もしくは特定の複数の利用者を指定して当該電子情報を利用する権限を与え、提供者が電子情報を暗号化し、権限を委譲された利用者が復号して利用するセキュリティシステムである。
【０１３１】
データを暗号化してファイルサーバに格納し、複数のユーザで共有して利用する場合、ファイルサーバ内では、管理理者によるオペレーションミスなどに配慮して、格納するデータ、もしくはデータ暗号化用に使用する共通鍵は当該ファイルサーバー内では露呈させないなどの対応が必要である。本発明は、一つの秘密鍵で暗号化された暗号文を、他の秘密鍵で復号できるよう暗号文に対して変換を与える方式により当該電子情報を利用する権限を与える。このとき、もとの平文を操作することなく、暗号文を変換し、また他の第３者による暗号文の変換ができないような方式となっており、このファイルサーバによる暗号化データの格納方式として要求される機能を満足し、非常に有効な暗号方式として期待することができる。
【０１３２】
また、暗号化データの復号権限委譲を安全に与えることが可能なため、データベースの利用者に対する権限管理方式としても非常に有効である。
【図面の簡単な説明】
【０１３３】
【図１】本発明のproxy cryptographic schemeを有する暗号化電子データ共有システムpBEの構成図である。
【図２】本発明を適用した、proxy暗号処理システムの処理フロー図である。
【図３】本発明の、proxy cryptographic schemeによる暗号処理システムをLANなどの通信ネットワーク上に構成した運用システムの実施例である。
【図４】本発明を適用した、図3の通信ネットワークに記載のPKG、PKG.Sub、利用ユーザの鍵、File-Serverに格納されるデータなどのセキュリティシステムに関連する電子データの詳細を示す説明図である。
【図５】本発明を適用した、proxy cryptographic scheme有する暗号化電子データ共有システムpBEのPKG(Public Key Generator)、PKG.Sub(Administartor)が提供する機能の関係を示す説明図である。
【図１】
2008288837.tif 000026
【図２】
2008288837.tif 000027
【図３】
2008288837.tif 000028
【図４】
2008288837.tif 000029
【図５】
2008288837.tif 000030