(57)【要約】【課題】PKE方式の暗号文からIBE方式の暗号文への変換を可能とさせることを目的とし、また、IBE方式のみを利用するユーザ間における暗号文復号権限委譲システムの構成において暗号文変換者と被復号権限委譲者とが結託した場合であってもPKG装置（秘密鍵生成装置）の主秘密鍵を復元できないようにすることを目的とする。【解決手段】暗号文復号権限委譲システム１は、復号権限委譲者用装置１０と被復号権限委譲者用装置２０間にて暗号文の復号権委譲を実現するシステムである。変換鍵は、秘密鍵を生成するPKG装置４０に記憶される主秘密鍵から、IBE方式の秘密鍵と補助情報を生成し、その補助情報に基づいて生成される。コンテンツの共有に際しては、復号権限委譲者用装置１０にて暗号化された暗号文は、暗号文変換装置３０により変換鍵を用いて変換され、変換された暗号文を被復号権限委譲者用装置２０にてIBE方式の秘密鍵により復号する。【選択図】図１
2008054315.tif 000002
【特許請求の範囲】
【請求項１】
復号権限委譲者用装置と被復号権限委譲者用装置間にて暗号文の復号権委譲が行われ、前記復号権限委譲者用装置から送信される暗号文を前記被復号権限委譲者用装置にて復号できるように変換鍵を用いて変換を行う暗号文変換装置を備えた暗号文復号権委譲システムであって、
ＩＤベース暗号方式の主秘密鍵から前記ＩＤベース暗号方式の秘密鍵と補助情報を生成する主秘密鍵処理手段と、
前記主秘密鍵処理手段が生成した補助情報に基づき、前記復号権限委譲者用装置にて暗号化された暗号文を前記被復号権限者用装置にて前記ＩＤベース暗号方式の秘密鍵により復号できるように変換するための変換鍵を生成する変換鍵生成手段と、
を備えたことを特徴とする暗号文復号権委譲システム。
【請求項２】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムであって、
前記秘密鍵生成装置は、
前記主秘密鍵を記憶する第１の記憶手段と、
前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、
前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、
前記主秘密鍵処理手段が生成した前記補助情報を前記復号権限委譲者用装置に送信する補助情報送信手段と、を備え、
前記復号権限委譲者用装置は、
前記公開鍵暗号方式による公開鍵と、秘密鍵とを記憶する第２の記憶手段と、
前記秘密鍵生成装置から前記補助情報を受信する補助情報受信手段と、
前記第２の記憶手段に記憶される秘密鍵と前記補助情報受信手段が受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する変換鍵生成手段と、
前記変換鍵生成手段が生成した変換鍵を前記暗号文変換装置に送信する変換鍵送信手段と、
を備えたことを特徴とする暗号文復号権限委譲システム。
【請求項３】
前記復号権限委譲者用装置は、
前記第２の記憶手段に記憶される公開鍵で平文を暗号化して暗号文を生成する公開鍵暗号処理手段と、
前記公開鍵暗号処理手段が生成した暗号文を前記暗号文変換装置に送信する暗号文送信手段と、を備え、
前記暗号文変換装置は、
前記復号権限委譲者用装置から変換鍵を受信する変換鍵受信手段と、
前記復号権限委譲者用装置から暗号文を受信する暗号文受信手段と、
前記変換鍵受信手段が受信する変換鍵に基づいて、前記暗号文受信手段が受信する暗号文を変換する暗号文変換処理手段と、
前記暗号文変換処理手段が変換した暗号文を前記被復号権限委譲者用装置に送信する変換暗号文送信手段と、を備え、
前記被復号権限委譲者用装置は、
前記秘密鍵生成装置により送信される前記ＩＤベース暗号方式の秘密鍵を受信する秘密鍵受信手段と、
前記暗号文変換装置から変換された暗号文を受信する変換暗号文受信手段と、
前記変換暗号文受信手段が受信する暗号文を、前記秘密鍵受信手段が受信する前記ＩＤベース暗号方式の秘密鍵に基づいて復号するＩＤベース暗号処理手段と、
を備えたことを特徴とする請求項２に記載の暗号文復号権限委譲システム。
【請求項４】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置であって、
前記主秘密鍵を記憶する第１の記憶手段と、          
前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、
前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信し、前記主秘密鍵処理手段が生成した前記補助情報を前記復号権限委譲者用装置に送信して前記復号権限委譲者用装置に前記暗号文変換装置にて用いられる変換鍵を生成させる送信手段と、
を備えたことを特徴とする秘密鍵生成装置。
【請求項５】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける復号権限委譲者用装置であって、
前記公開鍵暗号方式による公開鍵と、秘密鍵とを記憶する第２の記憶手段と、
前記秘密鍵生成装置から、前記主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて生成される補助情報を受信する補助情報受信手段と、
前記第２の記憶手段に記憶される秘密鍵と前記補助情報受信手段が受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する変換鍵生成手段と、
前記変換鍵生成手段が生成した変換鍵を前記暗号文変換装置に送信する変換鍵送信手段と、
を備えたことを特徴とする復号権限委譲者用装置。
【請求項６】
ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムであって、
前記秘密鍵生成装置は、
前記主秘密鍵を記憶する第１の記憶手段と、
前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と、補助情報とを生成する主秘密鍵処理手段と、
前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する変換鍵生成手段と、
前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、
前記変換鍵生成手段が生成した変換鍵を前記暗号文変換用装置に送信する変換鍵送信手段と、
を備えたことを特徴とする暗号文復号権委譲システム。
【請求項７】
前記復号権限委譲者用装置は、
任意に選択されるＩＤベース暗号方式の公開鍵で平文を暗号化して暗号文を生成するＩＤベース暗号処理手段と、
前記ＩＤベース暗号処理手段が生成した前記暗号文を前記暗号文変換者へ送信する暗号文送信手段と、を備え、
前記暗号文変換装置は、
前記秘密鍵生成装置から変換鍵を受信する変換鍵受信手段と、
前記復号権限委譲者用装置から暗号文を受信する暗号文受信手段と、
前記変換鍵受信手段が受信する変換鍵に基づいて前記暗号文受信手段が受信する暗号文を変換する暗号文変換処理手段と、
前記暗号文変換処理手段が変換した暗号文を前記被復号権限委譲者用装置へ送信する変換暗号文送信手段と、を備え、
前記被復号権限委譲者用装置は、
前記秘密鍵生成装置から前記ＩＤベース暗号方式の秘密鍵を受信する秘密鍵受信手段と、
前記暗号文変換装置から前記暗号文を受信する変換暗号文受信手段と、
前記変換暗号文受信手段が受信する暗号文を、前記秘密鍵受信手段が受信する前記ＩＤベース暗号方式の秘密鍵に基づいて復号するＩＤベース暗号処理手段と、
を備えたことを特徴とする請求項６に記載の暗号文復号権限委譲システム。
【請求項８】
ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置であって、
前記主秘密鍵を記憶する第１の記憶手段と、
前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、
前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する変換鍵生成手段と、
前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、
前記変換鍵生成手段が生成した変換鍵を前記暗号文変換用装置に送信する変換鍵送信手段と、
を備えたことを特徴とする秘密鍵生成装置。
【請求項９】
復号権限委譲者用装置と被復号権限委譲者用装置間にて暗号文の復号権委譲が行われ、前記復号権限委譲者用装置から送信される暗号文を前記被復号権限委譲者用装置にて復号できるように変換鍵を用いて変換を行う暗号文変換装置を備えた暗号文復号権委譲システムのコンピュータに、
ＩＤベース暗号方式の主秘密鍵から前記ＩＤベース暗号方式の秘密鍵と補助情報を生成する手順、
生成した補助情報に基づき、前記復号権限委譲者用装置にて暗号化された暗号文を前記被復号権限者用装置にて前記ＩＤベース暗号方式の秘密鍵により復号できるように変換するための変換鍵を生成する手順、
を実行させるための暗号文復号権委譲プログラム。
【請求項１０】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムのコンピュータに、
前記秘密鍵生成装置にて、
前記主秘密鍵を第１の記憶手段に記憶させる手順、
前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、
生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、
生成した前記補助情報を前記復号権限委譲者用装置に送信する手順を実行させ、
前記復号権限委譲者用装置にて、
前記公開鍵暗号方式による公開鍵と、秘密鍵とを第２の記憶手段に記憶させる手順、
前記秘密鍵生成装置から前記補助情報を受信する手順、
前記第２の記憶手段に記憶される秘密鍵と受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する手順、
生成した変換鍵を前記暗号文変換装置に送信する手順、
を実行させるための暗号文復号権委譲プログラム。
【請求項１１】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置のコンピュータに、
前記主秘密鍵を第１の記憶手段に記憶させる手順、
前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、
生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信し、生成した前記補助情報を前記復号権限委譲者用装置に送信して前記復号権限委譲者用装置に前記暗号文変換装置にて用いられる変換鍵を生成させる手順、
を実行させるための秘密鍵生成プログラム。
【請求項１２】
標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける復号権限委譲者用装置のコンピュータに、
前記公開鍵暗号方式による公開鍵と、秘密鍵とを第２の記憶手段に記憶させる手順、
前記秘密鍵生成装置から、前記主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて生成される補助情報を受信する手順、
前記第２の記憶手段に記憶される秘密鍵と受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する手順、
生成した変換鍵を前記暗号文変換装置に送信する手順、
を実行させるための復号権委譲者用プログラム。
【請求項１３】
ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムのコンピュータに、
前記秘密鍵生成装置にて、
前記主秘密鍵を第１の記憶手段に記憶させる手順、
前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と、補助情報とを生成する手順、
前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する手順、
生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、
生成した変換鍵を前記暗号文変換用装置に送信する手順、
を実行させるための暗号文復号権委譲プログラム。
【請求項１４】
ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置のコンピュータに、
前記主秘密鍵を第１の記憶手段に記憶させる手順、
前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、
前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する手順、
生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、
生成した変換鍵を前記暗号文変換用装置に送信する手順、
を実行させるための秘密鍵生成プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ある公開鍵を用いて生成された暗号文を、その公開鍵に対応する秘密鍵とは異なる秘密鍵を用いて復号することを可能とする暗号文復号権限委譲システムに関する。
【背景技術】
【０００２】
公開鍵暗号を用いた暗号では、ある公開鍵で暗号化された暗号文を復号できるのは、対応する秘密鍵を有する者のみに限られていた。近年、その有用性から、ある公開鍵で暗号化された暗号文を、その対応する秘密鍵とは異なる秘密鍵を用いて復号することを可能とする暗号文復号権限委譲システム（以下、委譲システムという）に関する研究が行われている。委譲システムは委譲者、被委譲者、暗号文変換者の三者、もしくはこれらに信頼できる第三者（以下TTP：Trusted Third Party）を加えた四者から構成される。当該構成における復号権の委譲は、委譲者もしくはTTPが暗号文変換用の変換鍵を生成し、暗号文変換者へ譲渡することにより行われる。
【０００３】
委譲者が保持する平文を被委譲者と共有する場合、まず委譲者は自らの公開鍵で平文を暗号化することで得られる暗号文を暗号文変換者に送信する。変換鍵を保持する暗号文変換者は、委譲者から受信した暗号文を被委譲者が保持する秘密鍵で復号できるように変換し、被委譲者に送信する。被委譲者は、受信した変換後の暗号文を自らの秘密鍵を用いて復号し、平文を再現する。このような委譲システムは、暗号学的な見地から以下の要件を満たすことが求められている。すなわち、（１）委譲者は自らの復号秘密鍵を自分以外の者に譲渡する必要がないこと、（２）暗号文変換者が変換を施さない限り、被委譲者は平文を再現することができないこと、（３）暗号文変換者は単独で委譲者の暗号文から平文を再現することができないこと、の３つの要件である。
【０００４】
委譲を実現する装置としては通常、委譲者、被委譲者が利用する装置（以下、それぞれ復号権限委譲者用装置、被復号権限委譲者用装置という）として、計算機、例えばパーソナルコンピュータ、携帯電話端末、PDA（Personal Digital Assistant）端末、サーバなどが適用され、暗号文変換者が利用する装置（以下、暗号文変換装置）として、プロキシと呼ばれるサーバ等により構成される装置が適用される。復号権限委譲者用装置、被復号権限委譲者用装置を実現する計算機にはそれぞれ公開鍵暗号アルゴリズムを実行する機能が実装されており、暗号化に必要な公開鍵、復号に必要な秘密鍵が記憶される。また、暗号文変換装置を実現するプロキシには、委譲者の装置から送信される暗号文を変換するための変換アルゴリズムを実行する機能が実装されており、変換鍵が記憶される。
【０００５】
このような委譲システムは、例えば、不特定多数のユーザが利用する記憶装置を介したコンテンツ供給技術に対して応用することができる。今、委譲者があるコンテンツの所有者であり、自らの公開鍵を用いて暗号化したコンテンツを不特定多数のユーザが利用する記憶装置へ保存しているものとする。ここで、第三者とコンテンツを共有する場合、委譲者はその第三者を被委譲者とし、その被委譲者用の変換鍵を生成して記憶装置のアクセスコントローラである暗号文変換装置に送信する。被委譲者の被復号権限委譲者用装置からコンテンツの要求を受けた暗号文変換装置は、変換鍵を用いてコンテンツの暗号文を再暗号化し、変換後の暗号文を被復号権限委譲者用装置へ送信する。被復号権限委譲者用装置は内部に記憶している被委譲者の秘密鍵を用いてコンテンツを復号する。暗号変換文装置は単独ではコンテンツを復号できず、また暗号変換文装置の記憶装置にはコンテンツが暗号化された状態で記憶されているため、委譲者と被委譲者は安全にコンテンツを共有することができる。またコンテンツ共有に際して、委譲者は追加的な計算を行う必要がないため、効率的に共有することが可能となる。
【０００６】
委譲システムを実現するために用いられる公開暗号方式としては、公開鍵に乱数を用いる標準的な公開鍵暗号方式（以下PKE：Public Key Encryption）と非特許文献１に示されるIDベース暗号方式(以下IBE：Identity Based Encryption)がある。IBE方式は、公開鍵として任意の文字列、例えば電話番号やメールアドレスなどを用いる公開鍵暗号方式であり、公開鍵とその所有者が容易に関連付けられることから、標準的な公開鍵暗号における鍵管理の複雑さを大幅に軽減する技術として注目されている。IBEでは、秘密鍵の生成に秘密鍵生成者と呼ばれる第三者を必要としている。秘密鍵生成者は主秘密鍵を用いて各ユーザの秘密鍵を生成して、各ユーザに配布する。秘密鍵生成者は各ユーザの公開鍵で暗号化された暗号文を全て解読することができるため信頼できる第三者である必要がある。
【０００７】
従来、PKE方式、あるいはIBE方式のいずれか一方のみを用いて上記の委譲システムを実現する技術が提案されている。具体的には、図５に示されるような委譲システムにおいて行われる。ここで、Aは、復号権限委譲者用装置であり、Bは、被復号権限委譲者用装置であり、Pは、暗号文変換装置であり、PKG（Public Key Generator）は、IBE方式の秘密鍵の生成及び変換鍵の生成を行う秘密鍵生成装置である。それぞれにおいて、変換鍵の生成や、IBE方式における秘密鍵の生成は、図６に示されるような手順により行われる。
【非特許文献１】[BF01] D.Boneh,M.Franklin,”Identity based encryption from the Weil paring”, extended abstract in Advances in Cryptology - Crypto 2001, Lecture Notes in Computer Science,Vol.2139,Springer-Verlag,pp.213-229,Aug.2001.See also http://eprint.iacr.org/2001/090/）
【発明の開示】
【発明が解決しようとする課題】
【０００８】
PKE方式とIBE方式にはそれぞれ異なる長所と短所があり、求められる要件によって使い分けを行うのが一般的である。このようにPKE方式とIBE方式が混在する近年の公開鍵暗号の利用状況に鑑みれば、いずれか一方のみの公開鍵暗号方式を利用するユーザ間でなければ復号権委譲を行えないという状況は、コンテンツ共有における柔軟性の欠如を意味する。しかしながら既存技術では、異なる公開鍵暗号方式を利用するユーザ間における復号権委譲を実現することはできないという問題がある。
【０００９】
また、IBE方式のみを用いるユーザ間の委譲システムについては、上述の非特許文献１に示される技術を用いた方式が既に提案されている。非特許文献１に示される技術では、図１０に示すように、秘密鍵生成装置により主秘密鍵が２つの部分に分けられ、一部が被復号権限委譲者用装置（B）に送信され、他の一部が暗号変換装置（P）に送信されることで実現されているため、図１１に示すように、被復号権限委譲者用装置（B）を利用する被委譲者と暗号変換装置（P）を利用する暗号文変換者が結託してしまうと、秘密鍵生成者の主秘密鍵が復元できてしまい安全性を確保することができないという問題がある。
【００１０】
本発明は、上記二つの問題を解決すべくなされたものであり、その目的は、暗号文変換者によるPKE方式の暗号文からIBE方式の暗号文への変換を可能とする暗号文復号権限委譲システムを提供することである。また、ユーザ間でIBE方式のみが利用される委譲システムの構成において、暗号文変換者と被復号権限委譲者とが結託しても、秘密鍵生成者の主秘密鍵を復元できないような暗号文復号権限委譲システムを提供することである。
【課題を解決するための手段】
【００１１】
本発明は、復号権限委譲者用装置と被復号権限委譲者用装置間にて暗号文の復号権委譲が行われ、前記復号権限委譲者用装置から送信される暗号文を前記被復号権限委譲者用装置にて復号できるように変換鍵を用いて変換を行う暗号文変換装置を備えた暗号文復号権委譲システムであって、ＩＤベース暗号方式の主秘密鍵から前記ＩＤベース暗号方式の秘密鍵と補助情報を生成する主秘密鍵処理手段と、前記主秘密鍵処理手段が生成した補助情報に基づき、前記復号権限委譲者用装置にて暗号化された暗号文を前記被復号権限者用装置にて前記ＩＤベース暗号方式の秘密鍵により復号できるように変換するための変換鍵を生成する変換鍵生成手段と、を備えたことを特徴とする暗号文復号権委譲システムである。
【００１２】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムであって、前記秘密鍵生成装置は、前記主秘密鍵を記憶する第１の記憶手段と、前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、前記主秘密鍵処理手段が生成した前記補助情報を前記復号権限委譲者用装置に送信する補助情報送信手段と、を備え、前記復号権限委譲者用装置は、前記公開鍵暗号方式による公開鍵と、秘密鍵とを記憶する第２の記憶手段と、前記秘密鍵生成装置から前記補助情報を受信する補助情報受信手段と、前記第２の記憶手段に記憶される秘密鍵と前記補助情報受信手段が受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する変換鍵生成手段と、前記変換鍵生成手段が生成した変換鍵を前記暗号文変換装置に送信する変換鍵送信手段と、を備えたことを特徴とする暗号文復号権限委譲システムである。
【００１３】
また、本発明は、上記に記載の発明において、前記復号権限委譲者用装置は、前記第２の記憶手段に記憶される公開鍵で平文を暗号化して暗号文を生成する公開鍵暗号処理手段と、前記公開鍵暗号処理手段が生成した暗号文を前記暗号文変換装置に送信する暗号文送信手段と、を備え、前記暗号文変換装置は、前記復号権限委譲者用装置から変換鍵を受信する変換鍵受信手段と、前記復号権限委譲者用装置から暗号文を受信する暗号文受信手段と、前記変換鍵受信手段が受信する変換鍵に基づいて、前記暗号文受信手段が受信する暗号文を変換する暗号文変換処理手段と、前記暗号文変換処理手段が変換した暗号文を前記被復号権限委譲者用装置に送信する変換暗号文送信手段と、を備え、前記被復号権限委譲者用装置は、前記秘密鍵生成装置により送信される前記ＩＤベース暗号方式の秘密鍵を受信する秘密鍵受信手段と、前記暗号文変換装置から変換された暗号文を受信する変換暗号文受信手段と、前記変換暗号文受信手段が受信する暗号文を、前記秘密鍵受信手段が受信する前記ＩＤベース暗号方式の秘密鍵に基づいて復号するＩＤベース暗号処理手段と、を備えたことを特徴とする。
【００１４】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置であって、前記主秘密鍵を記憶する第１の記憶手段と、前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信し、前記主秘密鍵処理手段が生成した前記補助情報を前記復号権限委譲者用装置に送信して前記復号権限委譲者用装置に前記暗号文変換装置にて用いられる変換鍵を生成させる送信手段と、を備えたことを特徴とする秘密鍵生成装置である。
【００１５】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける復号権限委譲者用装置であって、前記公開鍵暗号方式による公開鍵と、秘密鍵とを記憶する第２の記憶手段と、前記秘密鍵生成装置から、前記主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて生成される補助情報を受信する補助情報受信手段と、前記第２の記憶手段に記憶される秘密鍵と前記補助情報受信手段が受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する変換鍵生成手段と、前記変換鍵生成手段が生成した変換鍵を前記暗号文変換装置に送信する変換鍵送信手段と、を備えたことを特徴とする復号権限委譲者用装置である。
【００１６】
また、本発明は、ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムであって、前記秘密鍵生成装置は、前記主秘密鍵を記憶する第１の記憶手段と、前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と、補助情報とを生成する主秘密鍵処理手段と、前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する変換鍵生成手段と、前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、前記変換鍵生成手段が生成した変換鍵を前記暗号文変換用装置に送信する変換鍵送信手段と、を備えたことを特徴とする暗号文復号権委譲システムである。
【００１７】
また、本発明は、上記に記載の発明において、前記復号権限委譲者用装置は、任意に選択されるＩＤベース暗号方式の公開鍵で平文を暗号化して暗号文を生成するＩＤベース暗号処理手段と、前記ＩＤベース暗号処理手段が生成した前記暗号文を前記暗号文変換者へ送信する暗号文送信手段と、を備え、前記暗号文変換装置は、前記秘密鍵生成装置から変換鍵を受信する変換鍵受信手段と、前記復号権限委譲者用装置から暗号文を受信する暗号文受信手段と、前記変換鍵受信手段が受信する変換鍵に基づいて前記暗号文受信手段が受信する暗号文を変換する暗号文変換処理手段と、前記暗号文変換処理手段が変換した暗号文を前記被復号権限委譲者用装置へ送信する変換暗号文送信手段と、を備え、前記被復号権限委譲者用装置は、前記秘密鍵生成装置から前記ＩＤベース暗号方式の秘密鍵を受信する秘密鍵受信手段と、前記暗号文変換装置から前記暗号文を受信する変換暗号文受信手段と、前記変換暗号文受信手段が受信する暗号文を、前記秘密鍵受信手段が受信する前記ＩＤベース暗号方式の秘密鍵に基づいて復号するＩＤベース暗号処理手段と、を備えたことを特徴とする。
【００１８】
また、本発明は、ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置であって、前記主秘密鍵を記憶する第１の記憶手段と、前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と補助情報とを生成する主秘密鍵処理手段と、前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する変換鍵生成手段と、前記主秘密鍵処理手段が生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する秘密鍵送信手段と、前記変換鍵生成手段が生成した変換鍵を前記暗号文変換用装置に送信する変換鍵送信手段と、を備えたことを特徴とする秘密鍵生成装置である。
【００１９】
また、本発明は、復号権限委譲者用装置と被復号権限委譲者用装置間にて暗号文の復号権委譲が行われ、前記復号権限委譲者用装置から送信される暗号文を前記被復号権限委譲者用装置にて復号できるように変換鍵を用いて変換を行う暗号文変換装置を備えた暗号文復号権委譲システムのコンピュータに、ＩＤベース暗号方式の主秘密鍵から前記ＩＤベース暗号方式の秘密鍵と補助情報を生成する手順、生成した補助情報に基づき、前記復号権限委譲者用装置にて暗号化された暗号文を前記被復号権限者用装置にて前記ＩＤベース暗号方式の秘密鍵により復号できるように変換するための変換鍵を生成する手順、を実行させるための暗号文復号権委譲プログラムである。
【００２０】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムのコンピュータに、前記秘密鍵生成装置にて、前記主秘密鍵を第１の記憶手段に記憶させる手順、前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、生成した前記補助情報を前記復号権限委譲者用装置に送信する手順を実行させ、前記復号権限委譲者用装置にて、前記公開鍵暗号方式による公開鍵と、秘密鍵とを第２の記憶手段に記憶させる手順、前記秘密鍵生成装置から前記補助情報を受信する手順、前記第２の記憶手段に記憶される秘密鍵と受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する手順、生成した変換鍵を前記暗号文変換装置に送信する手順、を実行させるための暗号文復号権委譲プログラムである。
【００２１】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置のコンピュータに、前記主秘密鍵を第１の記憶手段に記憶させる手順、前記第１の記憶手段に記憶される主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、当該ＩＤベース暗号の公開鍵に対応し、前記被復号権限委譲者用装置が復号の際に用いるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信し、生成した前記補助情報を前記復号権限委譲者用装置に送信して前記復号権限委譲者用装置に前記暗号文変換装置にて用いられる変換鍵を生成させる手順、を実行させるための秘密鍵生成プログラムである。
【００２２】
また、本発明は、標準的な公開鍵暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける復号権限委譲者用装置のコンピュータに、前記公開鍵暗号方式による公開鍵と、秘密鍵とを第２の記憶手段に記憶させる手順、前記秘密鍵生成装置から、前記主秘密鍵と前記被復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて生成される補助情報を受信する手順、前記第２の記憶手段に記憶される秘密鍵と受信する補助情報とに基づいて前記暗号文変換装置が暗号文を変換する際に用いる変換鍵を生成する手順、生成した変換鍵を前記暗号文変換装置に送信する手順、を実行させるための復号権委譲者用プログラムである。
【００２３】
また、本発明は、ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムのコンピュータに、前記秘密鍵生成装置にて、前記主秘密鍵を第１の記憶手段に記憶させる手順、前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と、補助情報とを生成する手順、前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する手順、生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、生成した変換鍵を前記暗号文変換用装置に送信する手順、を実行させるための暗号文復号権委譲プログラムである。
【００２４】
また、本発明は、ＩＤベース暗号方式による暗号化を行う復号権限委譲者用装置と、ＩＤベース暗号方式による暗号化を行う被復号権限委譲者用装置と、ＩＤベース暗号方式において用いられる秘密鍵を主秘密鍵に基づいて生成する秘密鍵生成装置と、前記復号権限委譲者用装置により暗号化されて送信される暗号文を前記被復号権限委譲者用装置にて復号できるように前記暗号文を変換する暗号文変換装置とを備えた暗号文復号権委譲システムにおける秘密鍵生成装置のコンピュータに、前記主秘密鍵を第１の記憶手段に記憶させる手順、前記第１の記憶手段に記憶される主秘密鍵と前記復号権限委譲者用装置にて任意に選択されるＩＤベース暗号方式の公開鍵とに基づいて、前記被復号権限委譲者用装置にて復号の際に用いられるＩＤベース暗号方式の秘密鍵と補助情報とを生成する手順、前記第１の記憶手段に記憶される主秘密鍵と前記補助情報とに基づいて変換鍵を生成する手順、生成したＩＤベース暗号方式の秘密鍵を前記被復号権限委譲者用装置に送信する手順、生成した変換鍵を前記暗号文変換用装置に送信する手順、を実行させるための秘密鍵生成プログラムである。
【発明の効果】
【００２５】
この発明によれば、暗号文変換者によるPKE方式の暗号文からIBE方式の暗号文への変換を可能とする暗号文復号権限委譲システムを提供することが可能となる。また、ユーザ間でIBE方式のみが利用される委譲システムの構成において、暗号文変換者と被復号権限委譲者とが結託しても、秘密鍵生成者の主秘密鍵を復元できないような暗号文復号権限委譲システムを提供することが可能となる。
【発明を実施するための最良の形態】
【００２６】
以下、本発明の実施形態を図面を参照して説明する。以下の実施形態では、文献１（[BB04]D.Boneh and X.Boyen,”Efficient selective-id secure identity based encryption without random oracle”,In Advance in Cryptology - EUROCRYPT’04, Lecture Notes in Computer Science, LNCS 3027,pages223-238,Springer-Verlag,2004）において提案されているIBE方式を採用して、PKE方式を用いるユーザからIBE方式を用いるユーザへの委譲システムを構成している。
【００２７】
（第１実施形態）
以下、図１から図４を参照しつつ本発明の第１実施形態について説明する。第１実施形態では、PKE方式の暗号文からIBE方式の暗号文への変換を可能とする暗号文復号権限委譲システム（以下、委譲システムという）の構成について説明する。
図１は、第１実施形態に係る委譲システム１の構成を示した図である。なお、図１の装置間の実線の矢印は、通常の回線、すなわち第三者に漏洩する可能性があるが、第三者による通信データの改竄は行われない回線による通信を示しており、破線の矢印は、安全な、すなわち秘密を確保し改竄を防ぐことが可能な回線による通信を示している。
委譲システム１は、復号権限委譲者用装置１０（以下、Aともいう）、被復号権限委譲者用装置２０（以下、Bともいう）、暗号文変換装置３０（以下、Pともいう）、PKG装置（秘密鍵生成装置）４０を備えている。復号権限委譲者用装置１０（A）は、PKE方式の暗号が採用されており、被復号権限委譲者用装置２０（B）は、IBE方式の暗号が採用されている。
【００２８】
PKG装置４０において、記憶部４２は、予め主秘密鍵（ｍｋ：master key）を記憶する。主秘密鍵処理部４１は、記憶部４２に予め記憶されている主秘密鍵から、被復号権限委譲者用装置２０などのIBE方式の暗号を採用する装置に対する秘密鍵（ｄＩＤ）を生成すると共に補助情報（ｅＩＤ）を生成する。送受信部４３は、復号権限委譲者用装置１０、被復号権限委譲者用装置２０との間で情報の送受信を行う。ここで、上述した秘密鍵（ｄＩＤ）と補助情報（ｅＩＤ）の添え字のＩＤは、後述する「定義」のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【００２９】
復号権限委譲者用装置１０において、記憶部１４は、鍵生成部１３により生成される秘密鍵と公開鍵を記憶しており、PKG装置４０から送信される補助情報を記憶する。変換鍵生成部１１は、記憶部１４に記憶される秘密鍵とPKG装置４０から送信される補助情報を用いて暗号文変換装置３０にて用いられる変換鍵（ｒｋＩＤ）を生成する。ここで、変換鍵（ｒｋＩＤ）の添え字のＩＤは、後述する「定義」のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。公開鍵暗号処理部１２は、記憶部１４に記憶される公開鍵によりPKE方式の暗号を行うアルゴリズムを実行し、また、記憶部１４に記憶される秘密鍵により復号を行うアルゴリズムを実行する。送受信部１５は、PKG装置４０、暗号文変換装置３０との間で情報の送受信を行う。
【００３０】
被復号権限委譲者用装置２０において、記憶部２２は、被復号権限委譲者用装置２０の利用者により任意に選択されたIBE方式の公開鍵（ID）を記憶し、PKG装置４０により生成されて送信される当該公開鍵に対応する秘密鍵を記憶する。IDベース暗号処理部２１は、記憶部２２に記憶される公開鍵によりIBE方式に基づく暗号化を行い、また、記憶部２２に記憶される秘密鍵により復号を行うアルゴリズムを実行する。送受信部２３は、PKG装置４０、暗号文変換装置３０と間で情報の送受信を行う。
【００３１】
暗号文変換装置３０において、記憶部３２は、復号権限委譲者用装置１０により生成されて送信される変換鍵を記憶する。復号権限委譲者用装置１０から送信される暗号文は送受信部３３で受信し、暗号文変換処理部３１は受信した暗号文を記憶部３２に記憶される変換鍵を用いて変換し、変換した暗号文を送受信部３３により被復号権限委譲者用装置２０に送信する。送受信部３３は、復号権限委譲者用装置１０、被復号権限委譲者用装置２０と間で情報の送受信を行う。
【００３２】
次に、図２を参照しつつ、第１実施形態に係る委譲システム１においてPKG装置４０により行われる被復号権限委譲者用装置２０の秘密鍵の生成、及び復号権限委譲者用装置１０により行われる暗号文変換装置３０の変換鍵の生成処理について説明する。
最初に、以下の説明で用いる各記号を次のように定義する。
【００３３】
【数１】
2008054315.tif 000003
【００３４】
以下の被復号権限委譲者用装置２０の秘密鍵及び暗号文変換装置３０の変換鍵の生成処理の前提として、PKG装置４０は、初期化処理として、セキュリティパラメータをｋとし、群Ｇ上の生成元ｇ∈Ｇをランダムに選択し、群Ｇ上のランダムな要素ｇ２、ｈ∈Ｇを選択する。そして、Ｚｐ＊上のランダムな要素α∈Ｚｐ＊を選択し、ｍｋ＝ｇ２α、ｇ１＝ｇα、ｐａｒｍｓ＝（ｇ，ｇ１，ｇ２，ｈ）として、主秘密鍵ｍｋと公開パラメータｐａｒｍｓを記憶部４２に記憶させる。ここで、ｐａｒｍｓは第三者に公開可能な公開パラメータである。
【００３５】
また、復号権限委譲者用装置１０（A）では、鍵生成部１３によりPKE方式の鍵生成が行われる。鍵生成部１３は、PKG装置４０により公開される公開パラメータｐａｒｍｓを入力とし、Ｚｐ＊上のランダムな要素β，θ∈Ｚｐ＊を選択する。そして、ｇ３＝ｇ１β，ｇ４＝ｇθとし、公開鍵ｐｋ及び復号秘密鍵ｓｋをそれぞれｐｋ＝(ｇ３, ｇ4)、ｓｋ＝βとして生成し、変換鍵生成用秘密鍵をθとする。生成したｐｋ、ｓｋ、θを記憶部１４に記憶させる。
【００３６】
上記の前提処理の下、被復号権限委譲者用装置２０の秘密鍵及び暗号文変換装置３０の変換鍵の生成処理が以下のように行われる。
【００３７】
まずＰＫＧ装置４０の主秘密鍵処理部４１は、主秘密鍵（ｍｋ）を用いて被復号権限委譲者用装置２０（B）のIBE方式の秘密鍵（ｄＩＤ）と補助情報（ｅＩＤ）を生成する。具体的には、主秘密鍵処理部４１は、主秘密鍵ｍｋ＝ｇ２α、被復号権限委譲者用装置２０（B）のIBE方式の公開鍵となるユーザＩＤ、公開パラメータｐａｒｍｓを入力として、Ｚｐ＊上のランダムな要素ｕ∈Ｚｐ＊を選択し、秘密鍵（ｄＩＤ）と補助情報（ｅＩＤ）を次式（１）のように生成する。なお、上述した秘密鍵（ｄＩＤ）と補助情報（ｅＩＤ）の添え字のＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【００３８】
【数２】
2008054315.tif 000004
【００３９】
そして、PKG装置４０の主秘密鍵処理部４１は、送受信部４３を通じてIBE秘密鍵（ｄＩＤ）をセキュアな通信回線を用いて被復号権限委譲者用装置２０（B）に送信する（ステップ（２））。被復号権限委譲者用装置２０（B）は受信した秘密鍵（ｄＩＤ）を記憶部２２に記録する。また、PKG装置４０の主秘密鍵処理部４１は、補助情報を送受信部４３により改竄防止の通信路を通じて復号権限委譲者用装置１０（A）へ送信する（ステップ（３））。
【００４０】
復号権限委譲者用装置１０（A）の変換鍵生成部１１は、送受信部１５を通じて補助情報を受信すると、受信した補助情報を記憶部１４に記録し、記憶部１４に記憶されている自らの秘密鍵（ｓｋ、θ）と補助情報（ｅＩＤ）を用いて変換鍵（ｒｋＩＤ）を生成する（ステップ（４））。ここで、変換鍵（ｒｋＩＤ）の添え字のＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【００４１】
具体的には、復号秘密鍵ｓｋ＝β、変換鍵生成用秘密鍵θ、ＩＤ（ここで、当該ＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）で示されるＢ（２０）に対応する補助情報ｅＩＤ＝ｇｕ、PKG装置４０により公開されている公開パラメータｐａｒｍｓを入力として、変換鍵をｒｋＩＤ＝（ｇｕ／β，ｇｕ,θ）をとする。そして、復号権限委譲者用装置１０（A）の変換鍵生成部１１は、送受信部１５を通じて生成した変換鍵（ｒｋＩＤ）を安全な通信路を用いて暗号文変換装置３０（P）に送信する。暗号文変換装置３０（P）は、送受信部３３を通じて受信した変換鍵（ｒｋＩＤ）を記憶部３２に記録する（ステップ（５））。なお、図２に示すようにステップ（２）とステップ（３）の処理については処理の順番の前後が入れ替わっていてもよいものとする。
【００４２】
次に、図３を参照しつつ、上記により生成された公開鍵、変換鍵、秘密鍵を用いた平文の暗号化、変換及び復号の処理について説明する。
まず、復号権限委譲者用装置１０（A）の公開鍵暗号処理部１２は、２０（B）と共有したい平文ＭをPKE方式の公開鍵で暗号化して暗号文Ｃｐｋを生成する。具体的には、公開鍵ｐｋ＝(ｇ３,ｇ4)、平文Ｍ∈Ｇ１、公開パラメータｐａｒｍｓを入力とし、Ｚｐ＊上のランダムな要素ｒ∈Ｚｐ＊を選択し、以下の式（２）の演算により暗号文Ｃｐｋを生成する（ステップ（１））。
【００４３】
【数３】
2008054315.tif 000005
【００４４】
次に、復号権限委譲者用装置１０（A）の公開鍵暗号処理部１２は送受信部１５を通じて生成した暗号文Ｃｐｋを暗号文変換装置３０（P）に送信する（ステップ（２））。暗号文変換装置３０（P）の暗号文変換処理部３１は、記憶部３２に記憶している変換鍵ｒｋＩＤ＝（ｇｕ／β，ｇｕ,θ）と公開パラメータｐａｒｍｓ、暗号文Ｃｐｋ＝（Ｃ１，Ｃ２，Ｃ３，Ｃ４）を入力として、ＣＰＫを以下の式（３）に基づいて変換して被変換暗号文ＣＲＩＤを生成する（ステップ（３））。なお、被変換暗号文ＣＲＩＤの表記は、次式（３）に示すようにＩＤは、Ｒの添え字で示され、当該ＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【００４５】
【数４】
2008054315.tif 000006
【００４６】
暗号文変換装置３０（P）の暗号文変換処理部３１は、送受信部３３を通じて生成した被変換暗号文ＣＲＩＤを、被復号権限委譲者用装置２０（B）に送信する（ステップ（４））。被復号権限委譲者用装置２０（Ｂ）のＩＤベース暗号処理部２１は、記憶部２２に記憶している秘密鍵（ｄＩＤ）と、公開パラメータｐａｒｍｓと、送受信部２３を通じて受信した被変換暗号文ＣＲＩＤ＝（Ｃ１’，Ｃ２’）を入力とし、平文Ｍを以下の式（４）により演算して再現する（ステップ（５））。
【００４７】
【数５】
2008054315.tif 000007
【００４８】
上記の構成により、図４に示すように従来では、Ａ及びＢの両方が、ＰＫＥ方式かＩＤベース方式のいずれか一方を採用していなければ実現することができなかった委譲システムを、復号権限委譲者用装置１０（A）によりＰＫＥ方式の公開鍵で暗号化された暗号文が、IBE方式が採用されている被復号権限委譲者用装置２０（Ｂ）において復号することが可能となる。
なお、上述した構成により実現される委譲システム１の安全性は、以下のように証明される。
【００４９】
（計量的仮定）
まず、この証明を行うために、計算量的仮定を行う。証明のための「第１の定義」として、ランダムに選ばれた整数ａ, ｂ, ｃ を以下のように定義する。
【００５０】
【数６】
2008054315.tif 000008
【００５１】
また、ランダムに選ばれた生成元ｇを以下のように定義する。
【００５２】
【数７】
2008054315.tif 000009
【００５３】
また、ランダムに選ばれた要素Rを以下のように定義する。
【００５４】
【数８】
2008054315.tif 000010
【００５５】
これらの、整数ａ, ｂ, ｃ、生成元ｇ、要素Rに対して、アルゴリズムＰ（当該Ｐの表記は、以下の式（８）のカリグラフィ体のＰに対応する）がdecision Bilinear Diffie-Hellman (dBDH) 問題を解く際のアドバンテージを次式（８）のように定義する。
【００５６】
【数９】
2008054315.tif 000011
【００５７】
ここで、確率は、g ∈ G、a, b, c ∈ Z＊p、R ∈ G1 の各値のランダム性と, アルゴリズムＰを計算するチューリング機械の乱数テープによって計算される。セキュリティパラメータをｋとしたとき、ある時間ｔ以内で、少なくとも確率ε以上でＧ上のdecision Bilinear Diffie-Hellman (dBDH) 問題を解くアルゴリズムＰが存在しない場合、(ｋ，ｔ，ε)−dBDH仮定が成り立つと表現する。
【００５８】
（安全性の定義）
次に、安全性の定義を行う。選択平文攻撃に対する安全性として、ハイブリッド型復号権委譲システムにおける選択平文攻撃に対する安全性を, 敵Ｐ（当該Ｐは、上述したカリグラフィ体のＰに対応する。）とチャレンジャーＯ（当該Ｏは、後述するカリグラフィ体のＯに対応する。）によるゲームとしてモデル化する。このゲームにおいて敵Ｐは, 任意の被復号権委譲者の秘密鍵とプロキシが保持する変換鍵をチャレンジャーＯ へ適応的に要求することができる。ただし、被復号権委譲者の秘密鍵と対応する変換鍵を同時に入手するとき, 敵Ｐがこのゲームに勝つことは自明である。したがって、そのような要求は許されないものとする。厳密には、IND-ID-CPA 安全性として以下のように定義される。
【００５９】
「セットアップ」
チャレンジャーＯは、（ｐａｒｍｓ，ｍｋ）を生成する。Ｏはまた（ｐｋ，ｓｋ）を生成する。Ｏは（ｐａｒｍｓ，ｍｋ）をＰに与え,（ｍｋ，ｓｋ）を秘密に保持する。
【００６０】
「フェーズ１」
（ｐａｒｍｓ，ｍｋ）を与えられると、Ｐは被復号権委譲者用の秘密鍵や変換鍵を適応的に要求する。ＰがＩＤｉ（ここで、当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）の秘密鍵や変換鍵を要求した場合、Ｏは以下のように応える。
【００６１】
【数１０】
2008054315.tif 000012
【００６２】
「チャレンジ」
いくつかの要求を行った後, Ｐは同一サイズの平文ペアＭ０，Ｍ１∈Ｍ（当該Ｍは、カリグラフィ体表記で示される。）を選びＯへ渡す。Ｏはランダムビットｂを以下の式により選択する。
【００６３】
【数１１】
2008054315.tif 000013
【００６４】
そして、選択したｂにより、次式（１０）を計算する。
【００６５】
【数１２】
2008054315.tif 000014
【００６６】
Ｏは、計算したＣＰＫｂ（ここで、ｂは、上式（１０）に示すようにＰＫの添え字である）をＰに与える。
【００６７】
「フェーズ２」
Ｐは「フェーズ１」で定義した要求を行う。
【００６８】
「推測」
最終的にＰは推測したランダムビットｂ１∈｛０，１｝を出力する。このとき、ｂ’＝ｂであれば敵Ｐの勝ちと定義する。
【００６９】
【数１３】
2008054315.tif 000015
【００７０】
上式（１１）の値が無視できるほど十分に小さいとき、ハイブリッド型復号権委譲システムはIND-ID-CPAの意味で安全であると定義する。
【００７１】
証明のための「第２の定義」として、Ｐをハイブリッド型復号権委譲システムに攻撃を行う敵とする。ＰのIND-ID-CPA アドバンテージを次式（１２）として定義する.
【００７２】
【数１４】
2008054315.tif 000016
【００７３】
設定されたセキュリティパラメータｋのもとで, チャレンジャーＯに対し最大でｑ回の要求を行い、時間ｔ以内で攻撃を行う任意の敵Ｐのアドバンテージについて、次式（１３）が成り立つとき、ハイブリッド型復号権委譲システムは適応的選択平文攻撃に対して（ｋ，ｔ，ｑ，ε）安全であると定義する。以下、本明細書中では、（ｋ，ｔ，ｑ，ε）IND-ID-CPA 安全と表現する。
【００７４】
【数１５】
2008054315.tif 000017
【００７５】
（安全性評価）
「定理１」
（ｋ，ｔ，ε）−dBDH仮定が成り立つとする。このとき、ハイブリッド型復号権委譲システムは任意のｑ，ｋ，ｔ’＜ｔ−Θ（τｑ）に対し（ｋ，ｔ’，ｑ，ε）IND-ID-CPA安全である。ただし、τは、Ｇ上のべき乗計算に要する時間の最大値である。
【００７６】
「証明」
Ｐをハイブリッド型復号権委譲システムに攻撃を行う敵とする. ここで、Ｐを利用してＧ上のｄＢＤＨ問題を解く敵Ｑ（当該Ｑの表記は、以下に示すカリグラフィ体のＱに対応する）を構築する。Ｑは、入力として(ｇ，Γ１，Γ２，Γ３，Ｘ) =（ｇ，ｇａ，ｇｂ，ｇｃ，Ｘ）を与えられるものとする。ただし、Ｘは、以下の式（１４）あるいは式（１５）で示されるものとする。
【００７７】
【数１６】
2008054315.tif 000018
【００７８】
【数１７】
2008054315.tif 000019
【００７９】
次に、Ｑの動作を以下に示す。
「セットアップ」システムパラメータを生成するため, Ｑは、乱数ｘ，ｙ，ｚを次式（１６）のように選択する。
【００８０】
【数１８】
2008054315.tif 000020
【００８１】
そして、ｇ１＝Γ１，ｇ２＝Γ２，ｇ４＝ｇｘ，ｇ３＝ｇｙ，ｈ＝ｇｚとする。ｐａｒｍｓ＝（ｇ，ｇ１，ｇ２，ｈ）とｐｋ＝（ｇ３，ｇ４）はシステムパラメータとしてＰに与える。ここで対応するPKGの主秘密鍵の値ｇ２ａ＝ｇａｂ∈Gについて、Ｑは知らないということに注意する。
【００８２】
「フェーズ１」
ｐｋとｐａｒｍｓを与えられると、Ｐはチャレンジャーに対しいくつかの要求を行う。 ＰがＩＤｉ（ここで、当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）に関する要求をしてきたとき、もしＩＤ＝０であるならばＱは要求を拒否する。その他の場合は以下のように動作する。
【００８３】
【数１９】
2008054315.tif 000021
【００８４】
「チャレンジ」
いくつかの要求を行った後、Ｐは同一サイズの平文ペアＭ０，Ｍ１∈Ｍ（当該Ｍは、カリグラフィ体表記で示される。）を選ぶ。（Ｍ０，Ｍ１）を与えられると、Ｑは、ランダムビットｄを以下の式（１７）のように選択する。
【００８５】
【数２０】
2008054315.tif 000022
【００８６】
そして、ＣＰＫｄを、以下の式（１８）に示すようにセットする。（なお、ＣＰＫｄのｄは、次式（１９）に示すようにＰＫの添え字である。）
【００８７】
【数２１】
2008054315.tif 000023
【００８８】
上式（１８）のようにセットした、ＣＰＫｄをＰに与える。もし、Ｘが以下の式（１９）に示される通りであれば、ＣＰＫｄは、Ｍｄの有効な暗号文になっていることに注意する。
【００８９】
【数２２】
2008054315.tif 000024
【００９０】
一方、Ｘが、次式（２０）で示される場合、ＣＰＫｄは、ｄの値と独立である。
【００９１】
【数２３】
2008054315.tif 000025
【００９２】
「フェーズ２」
Ｐはフェーズ1 と同様に要求を行う。
【００９３】
「解答」
最終的に、P は推測したビットｄ’∈｛０，１｝を出力する。もしｄ’＝ｄであれば、Ｑは、Ｘについて、次式（２１）であると判断し、１を出力する。ｄ’≠ｄであれば、Ｑは、Ｘ＝Ｒと判断し０を出力する。
【００９４】
【数２４】
2008054315.tif 000026
【００９５】
Ｑは、ＩＤｉ（ここで、当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）に関する有効な秘密鍵と、それに対応する補助情報を生成していることを以下に示す。今、次式（２２）であるとする。
【００９６】
【数２５】
2008054315.tif 000027
【００９７】
とする. このとき以下の式（２３）が成り立つ.
【００９８】
【数２６】
2008054315.tif 000028
【００９９】
また、Ｑが生成したＩＤｉの変換鍵は他のどの値とも独立であるため、敵Ｐが対応するＩＤｉの秘密鍵を入手しない限り、完璧にシミュレートされたものとなっている。以上より、「定理１」が証明されることになる。
【０１００】
また、本発明における復号権限委譲者用装置の変換鍵生成手段による変換鍵の生成の際に用いられる第２の記憶手段に記憶される秘密鍵は、上記の実施形態における復号秘密鍵と変換鍵生成用秘密鍵とを合わせたものに対応し、上記の証明においては、当該秘密鍵は被復号権委譲者の復号秘密鍵に対応する。
【０１０１】
（第２実施形態）
以下、図７から図９を参照しつつ本発明の第２実施形態について説明する。第２実施形態では、IBE方式が用いるユーザ間の委譲システムにおいて、被復号権限委譲者用装置の利用者と、暗号文変換装置の利用者とが結託した場合であっても秘密鍵生成装置が保持する主秘密鍵を復元不可能とする暗号文復号権限委譲システム（以下、委譲システムという）について説明する。
【０１０２】
図７は、第２実施形態に係る委譲システム２の構成を示した図である。なお、図７の装置間の破線矢印は、安全な、すなわち秘密を確保し改竄を防ぐことが可能な回線による通信を示している。
【０１０３】
委譲システム２は、復号権限委譲者用装置６０（以下、Aともいう）、被復号権限委譲者用装置７０（以下、Bともいう）、暗号文変換装置８０（以下、Pともいう）、PKG（秘密鍵生成）装置９０を備えている。復号権限委譲者用装置６０（A）及び被復号権限委譲者用装置７０（B）は、IBE方式の暗号が用いられている。
【０１０４】
PKG装置９０において、記憶部９２は、予め主秘密鍵（ｍｋ：master key）を記憶する。ここで、第２実施形態に係る当該主秘密鍵は、文献１及び第１実施形態に記載の主秘密鍵に加えて、変換鍵を生成するための情報を含んだものとして定義する。主秘密鍵処理部９１は、記憶部９２に予め記憶されている主秘密鍵から、復号権限委譲者用装置６０及び被復号権限委譲者用装置７０などのIBE方式の暗号化と復号化を行う装置に対する秘密鍵とそれに対応した補助情報を生成する。変換鍵生成部９３は、主秘密鍵と補助情報から変換鍵を生成する。送受信部９４は、復号権限委譲者用装置６０、被復号権限委譲者用装置７０、暗号文変換装置８０との間で情報の送受信を行う。
【０１０５】
復号権限委譲者用装置６０において、記憶部６２は復号権限委譲者用装置６０の利用者により任意に選択されたＩＤ、すなわちIBE方式における公開鍵と、PKG装置９０により生成され送信される秘密鍵を記憶する。ＩＤベース暗号処理部６１は、記憶部６２に記憶される公開鍵によりＩＤベース暗号方式に基づく暗号化を行うアルゴリズムを実行し、また、記憶部６２に記憶される秘密鍵により復号を行うアルゴリズムを実行する。送受信部６３は、PKG装置９０、暗号文変換装置８０と間で情報の送受信を行う。
【０１０６】
被復号権限委譲者用装置７０において、記憶部７２は、被復号権限委譲者用装置７０の利用者により任意に選択されたＩＤ、すなわちIBE方式における公開鍵と、PKG装置９０により生成され送信される秘密鍵を記憶する。ＩＤベース暗号処理部７１は、記憶部７２に記憶される公開鍵によりIBE方式の暗号化を行うアルゴリズムを実行し、また、記憶部７２に記憶される秘密鍵により復号を行うアルゴリズムを実行する。送受信部７３は、PKG装置９０、暗号文変換装置８０と間で情報の送受信を行う。
【０１０７】
暗号文変換装置８０において、記憶部８２は、PKG装置９０により生成されて送信される変換鍵を記憶する。暗号文変換処理部８１は、復号権限委譲者用装置１０から送信される暗号文を送受信部８３で受信し、受信した暗号文を記憶部８２に記憶される変換鍵で変換し、変換した暗号文を送受信部８３より被復号権限委譲者用装置７０へ送信する。送受信部８３は、PKG装置９０、復号権限委譲者用装置６０、被復号権限委譲者用装置７０と間で情報の送受信を行う。
【０１０８】
次に、図８を参照しつつ、第２実施形態に係る委譲システム１におけるPKG装置９０により行われる被復号権限委譲者用装置７０の秘密鍵の生成及び暗号文変換装置８０の変換鍵の生成処理について説明する。
最初に、以下の説明で用いる各記号を次のように定義する。
【０１０９】
【数２７】
2008054315.tif 000029
【０１１０】
以下のPKG装置９０により行われる被復号権限委譲者用装置７０の秘密鍵の生成及び暗号文変換装置８０の変換鍵の生成処理の前提として、PKG装置９０は、初期化処理として、セキュリティパラメータをｋとし、群Ｇ上の生成元ｇ∈Ｇをランダムに選択し、群Ｇ上のランダムな要素ｇ２，ｈ１，ｈ２∈Ｇを選択する。また、Ｚｐ＊上のランダムな要素α、ω∈Ｚｐ＊を選択し、主秘密鍵ｍｋ及び公開パラメータｐａｒｍｓを以下の式（２４）示すように記憶部９２に記憶させる。ここで、ｐａｒｍｓは第三者に公開可能な公開パラメータである。
【０１１１】
【数２８】
2008054315.tif 000030
【０１１２】
上記の前提処理の下、被復号権限委譲者用装置７０の秘密鍵の生成及び暗号文変換装置８０の変換鍵の生成処理は以下のように行われる。
【０１１３】
まず、PKG装置９０の主秘密鍵処理部９１は、被復号権限委譲者用装置７０にて用いられる復号権限委譲用のIBE方式の秘密鍵（ｄＲＩＤ）と補助情報（ｅＲＩＤ）を生成する。具体的には、主秘密鍵ｍｋ＝（ｇ２α，ω）、復号権限委譲者用装置６０の利用者により選択される公開鍵であるＩＤ（後述するＩＤＡに対応する）、公開パラメータｐａｒｍｓを入力とし、Ｚｐ＊上のランダムな要素u,ｓ∈Ｚｐ＊を選択して、被復号権限委譲者用装置７０にて用いられる復号権限委譲用のＩＤベース方式の秘密鍵（ｄＲＩＤ）と補助情報（ｅＲＩＤ）とを以下の式（２５）に従って演算することにより生成する（ステップ（１））。なお、上述した秘密鍵（ｄＩＤ）と補助情報（ｅＩＤ）の添え字のＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【０１１４】
【数２９】
2008054315.tif 000031
【０１１５】
次に、PKG装置９０の変換鍵生成部９３は、主秘密鍵（ｍｋ）と式（２５）に従って求められた補助情報（ｅＲＩＤ）を用いて変換鍵（ｒｋＩＤＡ→ＩＤＢ）を生成する。ここで、変換鍵（ｒｋＩＤＡ→ＩＤＢ）の表記において、ＡとＢは、次式（２６）に示すように、ＩＤの添え字であり、当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。具体的には、主秘密鍵ｍｋ＝（ｇ２α，ω）、復号権限委譲者用装置６０の利用者に選択される公開鍵であるＩＤＡ、主秘密鍵処理部９１により被復号権限委譲者用装置７０の秘密鍵に対応して式（２５）に従って生成される補助情報（ｅＲＩＤ＝ｇｓ）、公開パラメータｐａｒｍｓを入力として、変換鍵（ｒｋＩＤＡ→ＩＤＢ）を式（２６）に従って演算することにより生成する（ステップ（２））。ここで、ＩＤＢは、被復号権限委譲者用装置７０の利用者に選択される公開鍵である。
【０１１６】
【数３０】
2008054315.tif 000032
【０１１７】
PKG装置９０の主秘密鍵処理部９１は、生成したIBE方式の秘密鍵（ｄＲＩＤ）を送受信部９４により安全な通信路を通じて被復号権限委譲者用装置７０に送信する。被復号権限委譲者用装置７０は、受信した秘密鍵（ｄＲＩＤ）を記憶部７２に記録する（ステップ（３））。また、PKG装置９０の変換鍵生成部９３は、生成した変換鍵（ｒｋＩＤＡ→ＩＤＢ）を送受信部９４により暗号文変換装置８０へ送信する。暗号文変換装置８０は、送受信部８３で受信した変換鍵を記憶部８２に記録する（ステップ（４））。
なお、図８に示すようにステップ（３）とステップ（４）の処理については処理の順番の前後が入れ替わっていてもよいものとする。
【０１１８】
次に、図９を参照しつつ、上記により生成された公開鍵、変換鍵、秘密鍵を用いた平文の暗号化、変換及び復号の処理について説明する。
まず、復号権限委譲者用装置６０のＩＤベース暗号処理部６１は、記憶部６２に記憶される公開鍵（IDA∈Ｇ）、平文（Ｍ∈Ｇ１）、公開パラメータｐａｒｍｓを入力とし、Ｚｐ＊上のランダムな要素ｒ∈Ｚｐ＊を選択し、以下の式（２７）に従って暗号文ＣＩＤを生成する（ステップ（１））。（ここで、ＣＩＤの添え字のＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）
【０１１９】
【数３１】
2008054315.tif 000033
【０１２０】
暗号文ＣＩＤを生成すると、ＩＤベース暗号処理部６１は、生成した暗号文ＣＩＤを送受信部６３により暗号文変換装置８０へ送信する（ステップ（２））。暗号文変換装置８０の暗号文変換処理部８１は、送受信部８３を通じて受信した暗号文ＣＩＤ＝（Ｃ１、Ｃ２、Ｃ３、Ｃ４）、公開されている復号権限委譲者用装置６０の公開鍵ＩＤＡ、記憶部８２に記憶している変換鍵（ｒｋＩＤＡ→ＩＤＢ）を入力として、以下の式（２８）に従ってＣＩＤを変換して被変換暗号文ＣＲＩＤを生成する（ステップ（３））。なお、被変換暗号文ＣＲＩＤの表記は、次式（２８）に示すようにＩＤは、Ｒの添え字で示され、当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。
【０１２１】
【数３２】
2008054315.tif 000034
【０１２２】
被変換暗号文ＣＲＩＤを生成すると暗号文変換処理部８１は、送受信部８３を通じて被変換暗号文ＣＲＩＤを被復号権限委譲者用装置７０に送信する（ステップ（４））。被復号権限委譲者用装置７０のＩＤベース暗号処理部７１は、送受信部７３を通じて被変換暗号文ＣＲＩＤを受信すると、受信したＣＲＩＤ＝（Ｃ１’、Ｃ２’、Ｃ３’）と、記憶部７２に記憶している秘密鍵（ｄＲＩＤ＝（ｄ０，ｄ１））と、公開パラメータｐａｒｍｓを入力とし、式（２９）に従って平文Ｍを再現する（ステップ（５））。
【０１２３】
【数３３】
2008054315.tif 000035
【０１２４】
上記の構成では、暗号文変換装置８０で用いられる変換鍵と被復号権限委譲者用装置７０で用いられる復号権限委譲用の秘密鍵を、主秘密鍵を分割することで生成していない。従って、暗号文変換装置８０の利用者と被復号権限委譲者用装置７０の利用者が結託したとしても、PKG装置９０の主秘密鍵ｍｋを再現することはできず、IBE方式の委譲システム２において安全性が確保できることになる。
なお、上述した構成により実現される委譲システム２の安全性は、以下のように証明される。
【０１２５】
（計量的仮定）
まず、この証明を行うために、計算量的仮定を行う。まず、証明のための「第１の定義」を行う。なお、当該「第１の定義」は、上述した「第１の定義」と同様の定義である。最初に、ランダムに選ばれた整数ａ, ｂ, ｃ を以下のように定義する。
【０１２６】
【数３４】
2008054315.tif 000036
【０１２７】
また、ランダムに選ばれた生成元ｇを以下のように定義する。
【０１２８】
【数３５】
2008054315.tif 000037
【０１２９】
また、ランダムに選ばれた要素Rを以下のように定義する。
【０１３０】
【数３６】
2008054315.tif 000038
【０１３１】
これらの、整数ａ, ｂ, ｃ、生成元ｇ、要素Rに対して、アルゴリズムＰ（当該Ｐの表記は、以下の式（３３）のカリグラフィ体のＰに対応する）がdecision Bilinear Diffie-Hellman (dBDH) 問題を解く際のアドバンテージを以下の式（３３）のように定義する。
【０１３２】
【数３７】
2008054315.tif 000039
【０１３３】
ここで、確率は、g ∈ G、a, b, c ∈ Z＊p、R ∈ G1 の各値のランダム性と, アルゴリズムＰを計算するチューリング機械の乱数テープによって計算される。セキュリティパラメータをｋとしたとき、ある時間ｔ以内で、少なくとも確率ε以上でＧ上のdecision Bilinear Diffie-Hellman (dBDH) 問題を解くアルゴリズムＰが存在しない場合、(ｋ，ｔ，ε)−dBDH仮定が成り立つと表現する。
【０１３４】
（安全性の定義）
次に、選択平文攻撃に対する安全性について定義する。ＩＤベース型復号権委譲システムにおける選択平文攻撃に対する安全性を, 敵Ｐ（当該Ｐは、上述したカリグラフィ体のＰに対応する。）とチャレンジャーＯ（当該Ｏは、後述するカリグラフィ体のＯに対応する。）によるゲームとしてモデル化する。このゲームにおいて、敵Ｐは任意の秘密鍵とプロキシが保持する変換鍵をチャレンジャーＯへ適応的に要求することができる。ただし、攻撃のターゲットとなるユーザを復号権委譲者とした場合の、対応する被復号権委譲者のsecond level秘密鍵と変換鍵を同時に入手するとき、敵Ｐがこのゲームに勝つことは自明である。また、ターゲットとなるユーザのfirst level秘密鍵を入手するとき、敵Ｐがこのゲームに勝つことも自明である。したがってそのような要求は許されないものとする。厳密には、IND-ID-CPA 安全性として以下のように定義される。
【０１３５】
「セットアップ」
チャレンジャーＯは、（ｐａｒｍｓ，ｍｋ）を生成する。Ｏは、ｐａｒｍｓをＰに与え、ｍｋを秘密に保持する。Ｏは、Ｐの要求とそれらに対する返答を全て記録しているものとする。
【０１３６】
「フェーズ１」
ｐａｒｍｓを与えられると、ＰはチャレンジャーＯに対し秘密鍵、あるいは変換鍵を適応的に要求する。いくつか要求した後、ＰはターゲットとなるアイデンティティＩＤ＊（当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）と同一サイズの平文ペアＭ０，Ｍ１∈ Ｍ（当該Ｍは、カリグラフィ体表記である。）を選ぶ。Ｐが要求を行うとき、Ｏは以下のように動作する。
【０１３７】
【数３８】
2008054315.tif 000040
【０１３８】
「チャレンジ」
（Ｍ０，Ｍ１，ＩＤ＊）を与えられると、Ｏはランダムビットｂを以下の式（３４）により選択する。
【０１３９】
【数３９】
2008054315.tif 000041
【０１４０】
そして、ＣＩＤｂを以下の式（３５）に示すように計算する（ここで、ＣＩＤｂのｂは、次式（３５）に示すようにＩＤの添え字である。）。
【０１４１】
【数４０】
2008054315.tif 000042
【０１４２】
Ｏは、計算した、ＣＩＤｂをＰに与える。
【０１４３】
「フェーズ２」
Ｐは、「フェーズ１」と同様に要求を行い、Ｏは「フェーズ１」と同様に応える。
【０１４４】
「推測」
最終的に、Ｐは推測したビットｂ’∈｛０，１｝を出力する。このとき、ｂ’＝ｂであれば、敵Ｐの勝ちと定義する。次式（３６）の値が無視できるほど十分に小さいとき、IDベース型復号権委譲システムはIND-ID-CPAの意味で安全であると定義する。
【０１４５】
【数４１】
2008054315.tif 000043
【０１４６】
次に、証明のための「第３の定義」として、ＰをＩＤ ベース型復号権委譲システムに攻撃を行う敵とする、ＰのIND-ID-CPAアドバンテージを以下の次式（３７）のように定義する。
【０１４７】
【数４２】
2008054315.tif 000044
【０１４８】
設定されたセキュリティパラメータｋのもとで, チャレンジャーＯに対し最大でｑ回の要求を行い、時間ｔ以内で攻撃を行う任意の敵Ｐのアドバンテージについて次式（３８）が成り立つとき、IDベース型復号権委譲システムは適応的選択平文攻撃に対して（ｋ，ｔ，ｑ，ε）安全であると定義する。以下の説明では、（ｋ，ｔ，ｑ，ε）IND-ID-CPA 安全と表現する。
【０１４９】
【数４３】
2008054315.tif 000045
【０１５０】
ここで選択的な敵と呼ばれるものを定義する。選択的な敵はセットアップ以前にターゲットとなるＩＤを固定するという点を除き、上記で定義した敵とほぼ同一の動作を行う。 選択的なIND-ID-CPAをINDsID-CPAで表記し、選択的な敵のアドバンテージの表記として、次式（３９）に示される表記を用いる。安全性の定義自体は、上述した証明のための「第３の定義」と同様である。
【０１５１】
【数４４】
2008054315.tif 000046
【０１５２】
（安全性評価）
「定理２」
（ｋ，ｔ，ε）−dBDH仮定が成り立つとする。このとき、ＩＤベース型復号権委譲システムは任意のｑ，ｋ，ｔ’＜ｔ−Θ（τｑ）に対し（ｋ，ｔ’，ｑ，ε）IND-sID-CPA 安全である。ただし、τはＧ上のべき乗計算に要する時間の最大値である。
【０１５３】
（定理の証明）
P をIND-sID-CPAの意味で攻撃を行う敵とする。ここで、Ｐを利用してＧ上のdBDH問題を解くＱを構成する。(ｇ，Γ１，Γ２，Γ３，Ｘ)＝（ｇ，ｇａ，ｇｂ，ｇｃ，Ｘ）を入力として、Ｑがどのように動作するかを以下に示す。ただし、Ｘは、以下の式（４０）あるいは式（４１）であるものとする。
【０１５４】
【数４５】
2008054315.tif 000047
【０１５５】
【数４６】
2008054315.tif 000048
【０１５６】
「初期設定」
Ｑは、Ｐの要求とそれらに対する返答を全て記録しているものとする。Ｐは、まずターゲットとなるアイデンティティＩＤ＊（当該ＩＤは、上述した定義のＩDベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）を選ぶ.
【０１５７】
「セットアップ」
システムパラメータを生成するために、Ｑはα，β，ωを以下のようにして選択する。
【０１５８】
【数４７】
2008054315.tif 000049
【０１５９】
そして、ｇ１、ｇ２、ｈ１、ｈ２を以下の通りとする。
【０１６０】
【数４８】
2008054315.tif 000050
【０１６１】
Ｑは、次式（４４）を計算する。
【０１６２】
【数４９】
2008054315.tif 000051
【０１６３】
そして、Ｑは、システムパラメータとして、次式（４５）で示されるｐａｒｍｓをＰに与える。
【０１６４】
【数５０】
2008054315.tif 000052
【０１６５】
ここで対応するPKGの主秘密鍵の値、ｇ２ａ＝ｇａｂ∈ＧについてＱは知らないということに注意する。
【０１６６】
「フェーズ１」
ｐａｒｍｓを与えられると、Ｐはチャレンジャーに対しいくつかの要求を行う。Ｐは同一サイズの平文ペアＭ０，Ｍ１∈Ｍを選ぶ。Ｐからの要求に対し、Ｑは以下のように動作する。
【０１６７】
【数５１】
2008054315.tif 000053
【０１６８】
「チャレンジ」
（Ｍ０，Ｍ１，ＩＤ＊）（当該ＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）を与えられると、Ｑはランダムビットｄを以下のようにして選択する。
【０１６９】
【数５２】
2008054315.tif 000054
【０１７０】
そして、次式（４７）を構成する。
【０１７１】
【数５３】
2008054315.tif 000055
【０１７２】
Ｑは、ＣＩＤｄ（ここで、ＣＩＤｄのＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤであり、ｄは、当該ＩＤの添え字である。）をＰに与える。もし、Ｘが次式（４８）であれば、ＣＩＤｄはＭｄの有効な暗号文になっていることに注意する。
【０１７３】
【数５４】
2008054315.tif 000056
【０１７４】
一方、Ｘが次式（４９）である場合、ＣＩＤｄはｄの値と独立である。
【０１７５】
【数５５】
2008054315.tif 000057
【０１７６】
「フェーズ２」
Ｐは、「フェーズ１」と同様に要求を行い、Ｑは、「フェーズ１」と同様に応答する。
【０１７７】
「解答」
最終的に、Ｐは推測ビットｄ’∈｛０，１｝を出力したとする。もし、ｄ’＝ｄならばＱは、Ｘが次式（５０）であると判断し１を出力する。ｄ’≠ｄならばＸ＝Ｒと判断し０を出力する。
【０１７８】
【数５６】
2008054315.tif 000058
【０１７９】
ＩＤｉ≠ＩＤ＊（ＩＤは、上述した定義のＩＤベース暗号を用いるユーザ（被権限委譲者）のＩＤとして定義される表記のＩＤである。）ならば、Ｑは有効なfirst level 秘密鍵と対応する補助情報を生成できることを以下に示す。
【０１８０】
【数５７】
2008054315.tif 000059
【０１８１】
上式（５１）が成立すると、以下の式（５２）が成り立つ。
【０１８２】
【数５８】
2008054315.tif 000060
【０１８３】
Ｑがsecond level 秘密鍵を同様にシミュレートできることは明らかである。Ｑは、全ての秘密鍵と変換鍵を完璧にシミュレートしており、これにより定理が証明されることとなる。
【０１８４】
上記の第１及び第２実施形態の構成に係る委譲システム１及び委譲システム２は、復号権限委譲者用装置から送信される暗号文に対し、暗号文変換装置がその変換鍵を用いて変換を施すことにより、被復号権限委譲者用装置による復号を可能とする暗号文復号権限委譲システムの１つである。当該暗号文復号権限委譲システムは、変換鍵を生成するフェーズとコンテンツの共有を行うフェーズに分かれており、上記の第１及び第２実施形態の構成おける変換鍵生成フェーズでは、IBE方式の秘密鍵生成者が保持する主秘密鍵を用いてIBE方式の秘密鍵を生成するとともに、それに関連した補助情報を生成し、その補助情報に基づき変換鍵を生成する。一方、コンテンツ共有フェーズでは、復号権限委譲者用装置にて生成された暗号文を暗号文変換装置においてIBE方式の暗号文に変換し、変換された暗号文を被復号権限委譲者用装置にてIBE方式の秘密鍵により復号する。
【０１８５】
また、上記した第１実施形態では、主秘密鍵を用いてIBE方式の秘密鍵を生成するPKG装置、PKE方式による暗号化を行う復号権限委譲者用装置、復号権限委譲者用装置より送信されるPKE方式の暗号文を被復号権限委譲者用装置にて復号できるように暗号文をIBE方式の暗号文に変換する暗号文変換装置、及びIBE方式による復号化を行う被復号権限委譲者用装置を備えたことを特徴とする。
【０１８６】
また、上記した第２実施形態では、主秘密鍵を用いてIBE方式の秘密鍵と変換鍵を生成するPKG装置、IBE方式による暗号化を行う復号権限委譲者用装置、復号権限委譲者用装置より送信されるIBE方式の暗号文を被復号権限委譲者用装置にて復号できるような別のIBE方式の暗号文に変換する暗号文変換装置、及びIBE方式による復号化を行う被復号権限委譲者用装置を備えたことを特徴とする。
【０１８７】
以上、本発明の好ましい実施例を説明したが、本発明はこれら実施例に限定されることはない。本発明の趣旨を逸脱しない範囲で、構成の付加、省略、置換、およびその他の変更が可能である。本発明は前述した説明によって限定されることはなく、添付のクレームの範囲によってのみ限定される。
【０１８８】
また、上述の第１実施形態に係る復号権限委譲者用装置１０、被復号権限委譲者用装置２０、暗号文変換装置３０、PKG装置４０、並びに第２実施形態に係る復号権限委譲者用装置６０、被復号権限委譲者用装置７０、暗号文変換装置８０、PKG装置９０は内部に、コンピュータシステムを有している。そして、上述した各装置における処理は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。
【図面の簡単な説明】
【０１８９】
【図１】第１実施形態に係る委譲システムの概略ブロック図である。
【図２】第１実施形態に係る秘密鍵、変換鍵の生成処理の手順を示した図である。
【図３】第１実施形態に係る暗号文の暗号及び復号処理の手順を示した図である。
【図４】第１実施形態に係る方式と従来方式とを手順において比較した図である。
【図５】第１実施形態に対する従来技術におけるシステム構成を示した図である。
【図６】第１実施形態に対する従来技術における秘密鍵、変換鍵の生成処理の手順を示した図である。
【図７】第２実施形態に係る委譲システムの概略ブロック図である。
【図８】第２実施形態に係る秘密鍵、変換鍵の生成処理の手順を示した図である。
【図９】第２実施形態に係る暗号文の暗号及び復号処理の手順を示した図である。
【図１０】第２実施形態に対する従来技術の処理手順を示した図である。
【図１１】第２実施形態に対する従来技術における問題点を示した図である。
【符号の説明】
【０１９０】
１    暗号文復号権限委譲システム
１０  復号権限委譲者用装置
２０  被復号権限委譲者用装置
３０  暗号文変換装置
４０  PKG装置
【図１】
2008054315.tif 000061
【図２】
2008054315.tif 000062
【図３】
2008054315.tif 000063
【図４】
2008054315.tif 000064
【図５】
2008054315.tif 000065
【図６】
2008054315.tif 000066
【図７】
2008054315.tif 000067
【図８】
2008054315.tif 000068
【図９】
2008054315.tif 000069
【図１０】
2008054315.tif 000070
【図１１】
2008054315.tif 000071