(57)【要約】【課題】  いわゆるタイムカプセル暗号を用いる場合において、時報局のセキュリティを厳格に管理することなく、暗号化された情報が指定時刻前に復号されてしまうことを防止することができる暗号システム、端末装置及び暗号化方法を提供する。【解決手段】  本発明に係る暗号システムでは、時報局が複数設けられており、時報局のそれぞれは、他の時報局から、当該時報局に割り当てられた自局用多項式を取得し、自局用多項式を含む複合型電子署名付き時報を生成する時報生成部を備えている。端末装置は、所定数の複合型電子署名付き時報を取得する時報取得部と、複合型電子署名付き時報に含まれている所定の多項式に基づいて、指定時刻に対応する全体署名データを所定の補間法を用いて演算する全体署名データ演算部と、全体署名データを用いて復号鍵を生成する復号鍵生成部とを備える。【選択図】  図１
2007060161.tif 000002
【特許請求の範囲】
【請求項１】
予め指定された指定時刻以降における暗号化情報の復号に用いられる電子署名付き時報を送信する時報局と、前記時報局によって送信された前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置とを含む暗号システムであって、
前記時報局は複数設けられており、
前記時報局のそれぞれは、他の時報局から、前記時報局に割り当てられた所定の多項式である自局用多項式を取得し、前記自局用多項式を含む複合型電子署名付き時報を生成する時報生成部を備え、
前記端末装置は、
前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数の前記複合型電子署名付き時報を取得する時報取得部と、
前記時報取得部によって取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データを所定の補間法を用いて演算する全体署名データ演算部と、
前記全体署名データ演算部によって演算された前記全体署名データを用いて、復号鍵を生成する復号鍵生成部と
を備える暗号システム。
【請求項２】
前記時報局は、前記他の時報局ごとに割り当てられる他局用多項式を選択する多項式選択部と、
前記多項式選択部によって選択された前記他局用多項式を前記他の時報局に送信する多項式送信部と
をさらに備える請求項１に記載の暗号システム。
【請求項３】
前記全体署名データ演算部は、ラグランジュ補間を用いて前記全体署名データを演算する請求項１または２に記載の暗号システム。
【請求項４】
予め指定された指定時刻以降における暗号化情報の復号に用いられる電子署名付き時報を時報局から受信し、受信した前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置であって、
前記時報局は複数設けられており、
前記端末装置は、
前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数の前記複合型電子署名付き時報を取得する時報取得部と、
前記時報取得部によって取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データを所定の補間法を用いて演算する全体署名データ演算部と、
前記全体署名データ演算部によって演算された前記全体署名データを用いて、復号鍵を生成する復号鍵生成部と
を備える端末装置。
【請求項５】
前記全体署名データ演算部は、ラグランジュ補間を用いて前記全体署名データを演算する請求項４に記載の端末装置。
【請求項６】
予め指定された指定時刻以降における暗号化情報の復号に用いられる電子署名付き時報を送信する時報局と、前記時報局によって送信された前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置とを用いた暗号化方法であって、
前記時報局は複数設けられており、
前記時報局のそれぞれが、他の時報局から、前記時報局に割り当てられた所定の多項式である自局用多項式を取得し、前記自局用多項式を含む複合型電子署名付き時報を生成するステップと、
前記端末装置が、前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数の前記複合型電子署名付き時報を取得するステップと、
前記複合型電子署名付き時報を取得するステップにおいて取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データを所定の補間法を用いて演算するステップと、
前記全体署名データを演算するステップにおいて演算された前記全体署名データを用いて、復号鍵を生成するステップと
を備える暗号化方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化された情報を指定した時刻になるまで復号することができないようにする、いわゆるタイムカプセル暗号にしたがった暗号システム、端末装置及び暗号化方法に関する。
【背景技術】
【０００２】
暗号化されたコンテンツなどの情報を復号する際に、当該コンテンツを暗号化した者が指定した時刻になるまで当該コンテンツを復号することができないようにする暗号化方法、いわゆる“タイムカプセル暗号”が知られている（例えば、非特許文献１）。
【０００３】
タイムカプセル暗号にしたがった暗号システムでは、暗号化されたコンテンツ（暗号化情報）を復号する利用者（端末装置）に対して、“電子署名付き時報”を送信する“時報局”（signaler）が設けられる。電子署名付き時報には、各時刻に対応するコンテンツの復号鍵と、当該時報局の署名データとが含まれている。
【０００４】
コンテンツ（例えば、公開前の映画や試験問題）を暗号化するコンテンツ提供者（端末装置）は、当該コンテンツの復号を許可する指定時刻を自由に選択し、当該コンテンツを暗号化する。
【０００５】
暗号化されたコンテンツを復号する利用者は、当該コンテンツの指定時刻に対応する電子署名付き時報を時報局から受信し、受信した電子署名付き時報を用いて当該コンテンツを復号する。つまり、暗号化されたコンテンツを復号する利用者は、当該コンテンツの指定時刻前（指定時刻以降についてはいつでも復号可能）には、当該コンテンツを復号することができないようになっている。
【０００６】
ここで、このようなタイムカプセル暗号にしたがった暗号化方法について、簡単に説明する。まず、（G1,＋）,（G2,×）を、それぞれ離散対数問題が困難な群とする。
【０００７】
さらに、e：G1×G1→G2をペアリング写像とし、任意の自然数aに対して、e(aP, Q)=e(P, aQ)が成り立つものと仮定する。また、h：｛時刻｝→G1を一方向性関数（ハッシュ関数）とする。
【０００８】
時報局は、自然数sを秘密鍵とする。また、時報局は、P∈G1を選択し、（P, sP）を公開鍵として通信ネットワーク上に公開する。
【０００９】
さらに、時報局は、時刻tに対して、sh（t）を署名データとして生成する。時報局は、（t, sh（t））を電子署名付き時報として、予め定められた間隔（例えば、１秒）ごとに生成する。
【００１０】
時報局の署名データ（sh（t））が正当であるか否かは、e（sh（t）, P）=e（h（t）, sP）が成立するか否かをもって判定する。
【００１１】
コンテンツを暗号化するコンテンツ提供者（端末装置）は、適当な自然数rと、指定時刻t0を選択し、暗号化鍵w=e（h（t0）, r（sP））を生成する。さらに、コンテンツ提供者は、生成した暗号化鍵wを用いてコンテンツを暗号化する。なお、暗号化されたコンテンツには、（t0, rP）がヘッダとして付加される。
【００１２】
暗号化されたコンテンツを復号する利用者（端末装置）は、指定時刻t0になると、電子署名付き時報に含まれているsh（t0）を取得する。さらに、利用者は、e（sh（t0）, rP）=wを演算し、コンテンツを復号する。
【非特許文献１】M. Yoshida, S. Mitsunari and T. Fujiwara、“Time-Capsule Encryption”、IEICE Technical Report, ISEC2004-98、２００４年１２月
【発明の開示】
【発明が解決しようとする課題】
【００１３】
しかしながら、上述した従来のタイムカプセル暗号には、次のような問題があった。すなわち、時報局は、署名データ（sh（t））の生成に用いられる秘密鍵である自然数sを認識しているため、暗号化されたコンテンツなどの情報を指定時刻t0前においても復号することができてしまう。
【００１４】
このため、時報局を構成する装置（例えば、サーバコンピュータ）については、絶対的な信頼が置けるようにセキュリティを厳格に管理する必要があった。このようにセキュリティが厳格に管理された時報局を構築、運用することは容易ではない。
【００１５】
そこで、本発明は、このような状況に鑑みてなされたものであり、いわゆるタイムカプセル暗号を用いる場合において、時報局のセキュリティを厳格に管理することなく、暗号化された情報が指定時刻前に復号されてしまうことを防止することができる暗号システム、端末装置及び暗号化方法を提供することを目的とする。
【課題を解決するための手段】
【００１６】
上述した問題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、予め指定された指定時刻（指定時刻t0）以降における暗号化情報（暗号化コンテンツc）の復号に用いられる電子署名付き時報を送信する時報局（例えば、時報局４０ｉ）と、前記時報局によって送信された前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置（端末装置２０）とを含む暗号システムであって、前記時報局は複数設けられており、前記時報局のそれぞれは、他の時報局（例えば、時報局４０１〜４０ｎ）から、前記時報局に割り当てられた所定の多項式である自局用多項式（例えば、f1（i）〜fn（i））を取得し、前記自局用多項式を含む複合型電子署名付き時報（sih（t），si=f1（i）+f2（i）+…+fn（i））を生成する時報生成部（時報生成部４０７）を備え、前記端末装置は、前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数（k個）の前記複合型電子署名付き時報を取得する時報取得部（通信部２０１及び時報処理部２０５）と、前記時報取得部によって取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データ（（f1（0）+f2（0）+…+fn（0））h（t0））を所定の補間法を用いて演算する全体署名データ演算部（署名データ処理部２０７）と、前記全体署名データ演算部によって演算された前記全体署名データを用いて、復号鍵（e（S, rP）=w）を生成する復号鍵生成部（復号部２０９）とを備えることを要旨とする。
【００１７】
このような暗号システムによれば、複数の時報局が設けられ、暗号化情報を復号する端末装置は、当該複数の時報局によって生成された複合型電子署名付き時報のうち、所定数の複合型電子署名付き時報を用いて復号鍵を生成する。
【００１８】
このため、いくつかの時報局が暗号化情報を指定時刻前に復号しようと結託したとしても、当該指定時刻前に暗号化情報を復号することはできない。つまり、このような暗号システムによれば、いわゆるタイムカプセル暗号を用いる場合において、時報局のセキュリティを厳格に管理することなく、暗号化情報が指定時刻前に復号されてしまうことを防止することができる。
【００１９】
本発明の第２の特徴は、本発明の第１の特徴に係り、前記時報局は、前記他の時報局ごとに割り当てられる他局用多項式（fi（1）, fi（2）,…,fi（n））を選択する多項式選択部（多項式選択部４０３）と、前記多項式選択部によって選択された前記他局用多項式を前記他の時報局に送信する多項式送信部（通信部４０１及び多項式選択部４０３）とをさらに備えることを要旨とする。
【００２０】
本発明の第３の特徴は、本発明の第１または第２の特徴に係り、前記全体署名データ演算部は、ラグランジュ補間を用いて前記全体署名データを演算することを要旨とする。
【００２１】
本発明の第４の特徴は、予め指定された指定時刻以降における暗号化情報の復号に用いられる電子署名付き時報を時報局から受信し、受信した前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置であって、前記時報局は複数設けられており、前記端末装置は、前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数の前記複合型電子署名付き時報を取得する時報取得部と、前記時報取得部によって取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データを所定の補間法を用いて演算する全体署名データ演算部と、前記全体署名データ演算部によって演算された前記全体署名データを用いて、復号鍵を生成する復号鍵生成部とを備えることを要旨とする。
【００２２】
本発明の第５の特徴は、本発明の第４の特徴に係り、前記全体署名データ演算部は、ラグランジュ補間を用いて前記全体署名データを演算することを要旨とする。
【００２３】
本発明の第６の特徴は、予め指定された指定時刻以降における暗号化情報の復号に用いられる電子署名付き時報を送信する時報局と、前記時報局によって送信された前記電子署名付き時報を用いて前記暗号化情報を前記指定時刻以降において復号する端末装置とを用いた暗号化方法であって、前記時報局は複数設けられており、前記時報局のそれぞれが、他の時報局から、前記時報局に割り当てられた所定の多項式である自局用多項式を取得し、前記自局用多項式を含む複合型電子署名付き時報を生成するステップと、前記端末装置が、前記時報局のそれぞれによって生成された複数の前記複合型電子署名付き時報のうち、所定数の前記複合型電子署名付き時報を取得するステップと、前記複合型電子署名付き時報を取得するステップにおいて取得された前記複合型電子署名付き時報に含まれている前記所定の多項式に基づいて、前記指定時刻に対応する全体署名データを所定の補間法を用いて演算するステップと、前記全体署名データを演算するステップにおいて演算された前記全体署名データを用いて、復号鍵を生成するステップとを備えることを要旨とする。
【発明の効果】
【００２４】
本発明の特徴によれば、いわゆるタイムカプセル暗号を用いる場合において、時報局のセキュリティを厳格に管理することなく、暗号化された情報が指定時刻前に復号されてしまうことを防止することができる暗号システム、端末装置及び暗号化方法を提供することができる。
【発明を実施するための最良の形態】
【００２５】
次に、本発明の実施形態について説明する。なお、以下の図面の記載において、同一または類似の部分には、同一または類似の符号を付している。ただし、図面は模式的なものであり、各寸法の比率などは現実のものとは異なることに留意すべきである。
【００２６】
したがって、具体的な寸法などは以下の説明を参酌して判断すべきものである。また、図面相互間においても互いの寸法の関係や比率が異なる部分が含まれていることは勿論である。
【００２７】
（暗号システムの全体概略構成）
図１は、本実施形態に係る暗号システムの全体概略構成図である。図１に示すように、本実施形態に係る暗号システムは、複数の時報局、具体的には、時報局４０１〜時報局４０ｎ、端末装置１０及び端末装置２０によって構成されている。さらに、本実施形態に係る暗号システムでは、公開情報サーバ３０が設けられている。
【００２８】
本実施形態に係る暗号システムは、暗号化されたコンテンツm（例えば、公開前の映画や試験問題）である暗号化コンテンツc（暗号化情報）を復号する際に、コンテンツmを暗号化した端末装置（例えば、端末装置１０）が指定した指定時刻t0になるまで暗号化コンテンツcを復号することができないようにする暗号化方法、いわゆる“タイムカプセル暗号”にしたがった暗号システムである。
【００２９】
端末装置１０、端末装置２０、公開情報サーバ３０及び時報局４０１〜時報局４０ｎは、通信ネットワーク１に接続されている。
【００３０】
端末装置１０は、通信ネットワーク１にアクセスするための通信インターフェースを備えるサーバコンピュータやパーソナルコンピュータなどによって構成される。本実施形態では、端末装置１０は、コンテンツm（例えば、公開前の映画や試験問題）を暗号化し、暗号化コンテンツcを端末装置２０に送信する。
【００３１】
端末装置２０は、無線基地局１ａを介して通信ネットワーク１にアクセスすることができる移動通信端末（例えば、携帯電話端末）である。なお、端末装置２０は、パーソナルコンピュータなどであってもよい。
【００３２】
本実施形態では、端末装置２０は、時報局４０１〜時報局４０ｎによって送信された“複合型電子署名付き時報”（sih（t））を用いて復号鍵（e（S, rP）=w）を生成し、端末装置１０によって送信された暗号化コンテンツcを指定時刻t0以降において復号する。
【００３３】
公開情報サーバ３０は、時報局４０１〜時報局４０ｎの各時報局において生成された公開鍵（Qi=fi（0）P）や、暗号化鍵の生成に用いられる一方向性関数（ハッシュ関数）などを格納し、端末装置１０及び端末装置２０からの要求に応じて、端末装置１０及び端末装置２０が暗号化処理を実行するために必要となる公開情報を提供する。
【００３４】
時報局４０１〜時報局４０ｎは、コンテンツmを暗号化する端末装置１０によって予め指定された指定時刻t0以降における暗号化コンテンツcの復号に用いられる電子署名付き時報（sih（t））を、通信ネットワーク１を介して端末装置２０に送信する。
【００３５】
なお、本実施形態に係る暗号システムでは、時報局は、1≦n≦m（ここで、n, mは自然数であり、nは時報局の台数）の範囲において設けることができる。
【００３６】
（暗号システムの論理ブロック構成）
次に、本実施形態に係る暗号システムを構成する端末装置１０、端末装置２０、公開情報サーバ３０及び時報局４０ｉの論理ブロック構成について説明する。
【００３７】
（１）端末装置１０
図２は、端末装置１０の論理ブロック構成図である。図２に示すように、端末装置１０は、通信部１０１、入力部１０３、暗号化部１０５及び記憶部１０７を備えている。なお、以下、本発明との関連がある部分について主に説明する。したがって、端末装置１０は、端末装置１０の機能を実現する上で必須な、図示しない或いは説明を省略した論理ブロック（電源部など）を備える場合があることに留意されたい（以下に説明する端末装置２０、公開情報サーバ３０及び時報局４０ｉについても同様である）。
【００３８】
通信部１０１は、通信ネットワーク１と接続するための通信インターフェースを提供する。また、通信部１０１は、暗号化部１０５によって送信された暗号化コンテンツcなどを中継する。
【００３９】
入力部１０３は、暗号化部１０５において暗号化されるコンテンツmを入力するためのインターフェース（例えば、キーボードやデータ記録媒体のドライブ装置）である。
【００４０】
暗号化部１０５は、入力部１０３によって入力されたコンテンツmを暗号化し、暗号化コンテンツcを生成する。
【００４１】
具体的には、暗号化部１０５は、当該時刻以降において暗号化コンテンツcの復号を許可する指定時刻t0、及び適当な自然数rを選択する。暗号化部１０５は、選択した指定時刻t0及び自然数rを用いて、暗号化鍵（w=e（h（t0）, rQ））を生成する。
【００４２】
また、暗号化部１０５は、生成した暗号化鍵を用いてコンテンツmを暗号化し、暗号化コンテンツcを生成する。
【００４３】
記憶部１０７は、暗号化部１０５によって生成された暗号化鍵（w=e（h（t0）, rQ））や暗号化コンテンツcを記憶する。
【００４４】
（２）端末装置２０
図３は、端末装置２０の論理ブロック構成図である。図３に示すように、端末装置２０は、通信部２０１、記憶部２０３、時報処理部２０５、署名データ処理部２０７及び復号部２０９を備えている。
【００４５】
通信部２０１は、通信ネットワーク１と接続するための通信インターフェースを提供する。また、また、通信部２０１は、記憶部２０３、時報処理部２０５、署名データ処理部２０７及び復号部２０９と接続されており、当該論理ブロック間において送受信される復号鍵（e（S, rP）=w）などを中継する。
【００４６】
記憶部２０３は、通信ネットワーク１を介して端末装置１０から受信した暗号化コンテンツcや、復号部２０９によって復号されたコンテンツmなどを記憶する。
【００４７】
時報処理部２０５は、通信ネットワーク１を介して、時報局４０ｉなどによって生成された複合型電子署名付き時報（例えば、sih（t））を公開情報サーバ３０から取得する。
【００４８】
具体的には、時報処理部２０５は、時報局のそれぞれによって生成されたn個（時報局４０１〜時報局４０ｎに対応する）の複合型電子署名付き時報のうち、k個（所定数）の複合型電子署名付き時報を取得する。本実施形態において、時報処理部２０５は、時報取得部を構成する。
【００４９】
署名データ処理部２０７は、時報処理部２０５によって取得されたk個の時報局（k<n）がそれぞれ生成した複合型電子署名付き時報（例えば、sih（t））に含まれている所定の多項式（例えば、f1（0）やf2（0））に基づいて、指定時刻t0に対応する全体署名データ（（f1（0）+f2（0）+…+fn（0））h（t0）=S）を所定の補間法を用いて演算する。本実施形態において、署名データ処理部２０７は、全体署名データ演算部を構成する。
【００５０】
ここで、“所定の多項式”とは、集合Zq上におけるk-1次の多項式（例えば、fi（x））である。また、署名データ処理部２０７は、“所定の補間法”として、ラグランジュ補間を用いて全体署名データを演算する。なお、全体署名データのさらに具体的な演算方法については後述する。
【００５１】
また、署名データ処理部２０７は、全体署名データに含まれる時報局の署名が正当であることを確認する。具体的には、署名データ処理部２０７は、e（S, P）=e（h（t）, Q）が成立することをもって、時報局の署名が正当であることを確認する。
【００５２】
復号部２０９は、署名データ処理部２０７によって演算された全体署名データ（（f1（0）+f2（0）+…+fn（0））h（t0）=S）を用いて、暗号化コンテンツcの復号に用いられる復号鍵（e（S, rP）=w）を生成する。本実施形態において、復号部２０９は、復号鍵生成部を構成する。
【００５３】
また、復号部２０９は、生成した復号鍵を用い、暗号化コンテンツcを指定時刻t0以降において復号し、コンテンツmを取得する。
【００５４】
出力部２１１は、暗号化コンテンツcを復号することによって得られたコンテンツmなどを出力する。例えば、出力部２１１は、コンテンツmなどの内容を表示する液晶表示器や、コンテンツmを記録媒体（例えば、メモリーカード）に記録するドライブ装置によって構成される。
【００５５】
なお、本実施形態では、端末装置１０と端末装置２０とは、異なる論理ブロックを有しているが、端末装置１０は、端末装置１０の論理ブロックに加え、端末装置２０の論理ブロックを備えてもよい。同様に、端末装置２０は、端末装置２０の論理ブロックに加え、端末装置１０の論理ブロックを備えてもよい。
【００５６】
（３）公開情報サーバ３０
図４は、公開情報サーバ３０の論理ブロック構成図である。図４に示すように、公開情報サーバ３０は、通信部３０１、制御部３０３及び公開情報データベース３０５を備えている。
【００５７】
通信部３０１は、通信ネットワーク１と接続するための通信インターフェースを提供する。また、通信部３０１は、制御部３０３によって送信された公開情報や、複合型電子署名付き時報（例えば、sih（t））などを中継する。
【００５８】
制御部３０３は、端末装置１０の要求に応じて、公開情報データベース３０５に格納されている公開情報を端末装置１０に送信する。また、制御部３０３は、端末装置２０の要求に応じて、複合型電子署名付き時報（例えば、sih（t））を端末装置２０に送信する。
【００５９】
公開情報データベース３０５は、端末装置１０に対して公開される公開情報や、端末装置２０に送信される複合型電子署名付き時報（例えば、sih（t））を格納し、公開情報データベースを形成する。なお、公開情報の具体的な内容については後述する。
【００６０】
（４）時報局４０ｉ
図５は、時報局４０ｉの論理ブロック構成図である。なお、時報局４０１〜時報局４０ｎは、すべて同様な論理ブロック構成を有している。図５に示すように、時報局４０ｉは、通信部４０１、多項式選択部４０３、公開鍵生成部４０５、時報生成部４０７及び記憶部４０９を備えている。
【００６１】
通信部４０１は、通信ネットワーク１と接続するための通信インターフェースを提供する。また、通信部４０１は、多項式選択部４０３、公開鍵生成部４０５、時報生成部４０７及び記憶部４０９と接続されており、当該論理ブロック間において送受信される複合型電子署名付き時報（sih（t））などを中継する。
【００６２】
多項式選択部４０３は、他の時報局（例えば、時報局４０１や時報局４０ｎ）ごとに割り当てられる多項式である他局用多項式を選択する。
【００６３】
ここで、時報局４０ｉ（他の時報局も同様）において用いられる数式などについて説明する。
【００６４】
時報局４０ｉでは、（G1,＋）,（G2,×）を、それぞれ離散対数問題が困難な位数qの群とする。さらに、e：G1×G1→G2をペアリング写像とし、任意の自然数aに対して、e(aP, Q)=e(P, aQが成り立つものと仮定する。また、時報局４０ｉでは、h：｛時刻｝→G1を一方向性関数（ハッシュ関数）とするとともに、P∈G1が選択される。
【００６５】
多項式選択部４０３は、他の時報局（例えば、時報局４０１や時報局４０ｎ）ごとに割り当てられる他局用多項式として、Zq上におけるk-1次の多項式（例えば、時報局４０１用としてf1（x））を選択する。
【００６６】
また、多項式選択部４０３は、通信部４０１を介して、選択した他局用多項式を当該他の時報局に送信する。本実施形態では、通信部４０１と多項式選択部４０３とによって、多項式送信部が構成される。
【００６７】
公開鍵生成部４０５は、時報局４０ｉの公開鍵を生成する。具体的には、公開鍵生成部４０５は、時報局４０ｉの公開鍵として、Qi=fi（0）Pを生成する。また、公開鍵生成部４０５は、生成した時報局４０ｉの公開鍵を公開情報サーバ３０に送信する。
【００６８】
時報生成部４０７は、複合型電子署名付き時報を生成する。具体的には、時報生成部４０７は、他の時報局から、時報局４０ｉに割り当てられた所定の多項式である自局用多項式（f1（i）, f2（i）,…,fn（i））を取得し、自局用多項式を含む複合型電子署名付き時報（sih（t），si=f1（i）+f2（i）+…+fn（i））を生成する。なお、“h”は、一方向性関数（ハッシュ関数）であり、h：｛時刻｝→G1とする。
【００６９】
記憶部４０９は、多項式選択部４０３によって選択される他局用多項式や、公開鍵生成部４０５によって生成された時報局４０ｉの公開鍵（Qi=fi（0）P）などを記憶する。
【００７０】
（暗号システムの動作）
次に、図６〜図８を参照して、上述した本実施形態に係る暗号システムの動作について説明する。具体的には、（１）時報局４０ｉが複合型電子署名付き時報を生成する動作、（２）端末装置１０がコンテンツmを暗号化し、暗号化コンテンツcを端末装置２０に送信する動作、（３）端末装置２０が暗号化コンテンツcを復号し、コンテンツmを取得する動作について説明する。
【００７１】
（１）時報局による複合型電子署名付き時報の生成
まず、上述したように、時報局４０ｉでは、次の数式などが用いられる。すなわち、時報局４０ｉでは、（G1,＋）,（G2,×）を、それぞれ離散対数問題が困難な位数qの群とする。さらに、e：G1×G1→G2をペアリング写像とし、任意の自然数aに対して、e(aP, Q)=e(P, aQが成り立つものと仮定する。また、時報局４０ｉでは、h：｛時刻｝→G1を一方向性関数（ハッシュ関数）とするとともに、P∈G1が選択される。
【００７２】
このような時報局４０ｉが複合型電子署名付き時報を生成する場合、図６に示すように、ステップＳ１０１において、時報局４０ｉは、Zq上のk-1次の多項式fi（x）を選択する。
【００７３】
ステップＳ１０２において、時報局４０ｉは、時報局４０ｉの公開鍵として、Qi=fi（0）Pを生成する。
【００７４】
ステップＳ１０３において、時報局４０ｉは、生成した公開鍵（Qi=fi（0）P）を公開情報サーバ３０に送信する。
【００７５】
ステップＳ１０４において、公開情報サーバ３０は、時報局４０ｉによって送信された公開鍵（Qi=fi（0）P）を格納する。また、公開情報サーバ３０は、時報局４０ｉ及び他の時報局によって送信された公開鍵によって構成されるQ=Σi=1,2,…nQiを格納する。
【００７６】
ステップＳ１０５において、時報局４０ｉは、通信ネットワーク１を介して、fi（1）, fi（2）,…,fi（n）（他局用多項式）を他の時報局に送信する。例えば、時報局４０ｉは、fi（1）を時報局４０１に、fi（2）を時報局４０２に送信する。
【００７７】
なお、時報局４０ｉがfi（1）, fi（2）,…,fi（n）を他の時報局に送信する場合、安全な通信路（例えば、ＶＰＮ）を用いることが好ましい。
【００７８】
ステップＳ１０６において、時報局４０ｉは、他の時報局（時報局４０１〜時報局４０ｎ、除く時報局４０ｉ）から、f1（i）, f2（i）,…,fn（i）（自局用多項式）を受信する。例えば、時報局４０ｉは、時報局４０１からf1（i）を、時報局４０２からf2（i）を受信する。
【００７９】
ステップＳ１０７において、時報局４０ｉは、他の時報局から受信したf1（i）, f2（i）,…,fn（i）に基づいて、si=f1（i）+f2（i）+…+fn（i）を演算する。
【００８０】
ステップＳ１０８において、時報局４０ｉは、時刻tに対応するsih（t）を複合型電子署名付き時報として生成する。すなわち、sih（t）は、複数の時報局によって選択された多項式（f1（i）, f2（i）,…,fn（i））を含むsi=f1（i）+f2（i）+…+fn（i）によって構成されている。なお、“h”は、上述したように一方向性関数（ハッシュ関数）である。
【００８１】
ステップＳ１０９において、時報局４０ｉは、生成した時刻tに対応するsih（t）を、時刻tのタイミングで公開情報サーバ３０に送信する。なお、時報局４０ｉは、sih（t）を、時刻tのタイミングよりも前に公開情報サーバ３０に送信しても構わない。
【００８２】
ステップＳ１１０において、公開情報サーバ３０は、時報局４０ｉによって送信された複合型電子署名付き時報（sih（t））を格納する。なお、公開情報サーバ３０は、他の時報局によって送信された複合型電子署名付き時報も同様に格納する。
【００８３】
（２）コンテンツの暗号化及び送信
図７に示すように、ステップＳ２０１において、端末装置１０は、コンテンツmを暗号化するために必要となる公開情報を公開情報サーバ３０に要求する。具体的には、端末装置１０は、｛h, G1, G2, q, e, P, Q｝を必要な公開情報として公開情報サーバ３０に要求する。
【００８４】
ステップＳ２０２において、公開情報サーバ３０は、端末装置１０による公開情報の要求に基づいて、公開情報として｛h, G1, G2, q, e, P, Q｝を端末装置１０に送信する。
【００８５】
ステップＳ２０３において、端末装置１０は、当該時刻以降において暗号化コンテンツcの復号を許可する指定時刻t0、及び適当な自然数rを選択する。
【００８６】
ステップＳ２０４において、端末装置１０は、公開情報サーバ３０から受信した公開情報や選択した自然数rなどを用いて、コンテンツmを暗号化する暗号化鍵w=e（h（t0）, rQ）を生成する。
【００８７】
ステップＳ２０５において、端末装置１０は、生成した暗号化鍵wを用いて、コンテンツmを暗号化し、暗号化コンテンツcを生成する。
【００８８】
ステップＳ２０６において、端末装置１０は、生成した暗号化コンテンツcに（t0, rP）をヘッダとして付加する。
【００８９】
ステップＳ２０７において、端末装置１０は、生成した暗号化コンテンツc、及び暗号化コンテンツcに付加されたヘッダを端末装置２０に送信する。
【００９０】
ステップＳ２０８において、端末装置２０は、端末装置１０によって送信された暗号化コンテンツc及びヘッダ（（t0, rP））を格納する。
【００９１】
（３）指定時刻以降におけるコンテンツの復号
図８に示すように、ステップＳ３０１において、端末装置２０は、複合型電子署名付き時報（例えば、sih（t））を公開情報サーバ３０に要求する。
【００９２】
ステップＳ３０２において、公開情報サーバ３０は、異なる時報局によって生成された複数の複合型電子署名付き時報を受信する。
【００９３】
ステップＳ３０３において、端末装置２０は、暗号化コンテンツcの復号が許可される指定時刻t0が到来すると、k個の時報局（k<n）がそれぞれ生成した複合型電子署名付き時報（例えば、sih（t））に含まれている所定の多項式（例えば、f1（0）やf2（0））に基づいて、指定時刻t0に対応する全体署名データ（f1（0）+f2（0）+…+fn（0））h（t0）=Sを所定の補間法を用いて演算する。
【００９４】
具体的には、端末装置２０は、ラグランジュ補間を用いて、全体署名データを演算する。端末装置２０は、λi=Πj=1,2,…,i-1,i+1,…n -j/(i-j)をラグランジュ係数とすると、例えば、S=Σi=1,2,…kλi sih（t）によって全体署名データを演算することができる。
【００９５】
ステップＳ３０４において、端末装置２０は、全体署名データに含まれる時報局の署名が正当であることを確認する。具体的には、端末装置２０は、e（S, P）=e（h（t）, Q）が成立することをもって、時報局の署名が正当であることを確認する。
【００９６】
ステップＳ３０５において、端末装置２０は、暗号化コンテンツcの復号に用いられる復号鍵e（S, rP）=wを生成する。
【００９７】
ステップＳ３０６において、端末装置２０は、生成した暗号鍵を用いて暗号化コンテンツcを復号し、コンテンツmを取得する。さらに、端末装置２０は、コンテンツmを所定の機器、例えば、端末装置２０に具備されている液晶表示器に出力する。
【００９８】
（作用・効果）
以上説明した本実施形態に係る暗号システムによれば、複数の時報局（時報局４０１〜時報局４０ｎ）が設けられ、暗号化コンテンツc（暗号化情報）を復号する端末装置２０は、当該複数の時報局によって生成された複合型電子署名付き時報のうち、所定数の複合型電子署名付き時報を用いて復号鍵を生成する。
【００９９】
このため、いくつかの時報局が暗号化コンテンツcを指定時刻t0前に復号しようと結託したとしても、指定時刻t0前に暗号化コンテンツcを復号することはできない。つまり、このような暗号システムによれば、いわゆるタイムカプセル暗号を用いる場合において、時報局のセキュリティを厳格に管理することなく、暗号化コンテンツcが指定時刻t0前に復号されてしまうことを防止することができる。
【０１００】
また、本実施形態に係る暗号システムでは、時報局（時報局４０１〜時報局４０ｎ）に、他の時報局ごとに割り当てられる他局用多項式を選択する多項式選択部４０３と、選択された他局用多項式を他の時報局に送信する通信部４０１とが設けられている。
【０１０１】
このため、他局用多項式を選択する装置を新たに設置することなく、本実施形態に係る暗号システムにおいて必要となる他局用多項式を効率的に選択、配信することができる。
【０１０２】
（その他の実施形態）
上述したように、本発明の一実施形態を通じて本発明の内容を開示したが、この開示の一部をなす論述及び図面は、本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態が明らかとなろう。
【０１０３】
例えば、上述した本発明の実施形態では、時報局（時報局４０１〜時報局４０ｎ）に、他の時報局ごとに割り当てられる他局用多項式を選択する多項式選択部４０３を設ける形態としたが、多項式選択部４０３は必ずしも時報局に設けなくてもよい。例えば、多項式選択部４０３の機能を時報局と別個独立の装置で実現してもよい。
【０１０４】
上述した本発明の実施形態では、全体署名データを生成する際の所定の補間法として、ラグランジュ補間を用いる形態としたが、k個（k<n）の複合型電子署名付き時報を用いて全体署名データを生成できるものであれば、他の補間法を用いても構わない。
【０１０５】
また、上述した端末装置１０、端末装置２０、公開情報サーバ３０及び時報局４０１〜時報局４０ｎの各論理ブロックの機能（記憶部などの特定のブロックを除く）は、プログラムとしても提供することもできる。
【０１０６】
このように、本発明は、ここでは記載していない様々な実施の形態などを含むことは勿論である。したがって、本発明の技術的範囲は、上述の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
【図面の簡単な説明】
【０１０７】
【図１】本発明の実施形態に係る暗号システムの全体概略構成図である。
【図２】本発明の実施形態に係る暗号化コンテンツ送信側の端末装置の論理ブロック構成図である。
【図３】本発明の実施形態に係る暗号化コンテンツ受信側の端末装置の論理ブロック構成図である。
【図４】本発明の実施形態に係る公開情報サーバの論理ブロック構成図である。
【図５】本発明の実施形態に係る時報局の論理ブロック構成図である。
【図６】本発明の実施形態に係る暗号システムの動作フロー図である。
【図７】本発明の実施形態に係る暗号システムの動作フロー図である。
【図８】本発明の実施形態に係る暗号システムの動作フロー図である。
【符号の説明】
【０１０８】
１…通信ネットワーク、１ａ…無線基地局、１０，２０…端末装置、３０…公開情報サーバ、４０１〜４０ｎ…時報局、１０１…通信部、１０３…入力部、１０５…暗号化部、１０７…記憶部、２０１…通信部、２０３…記憶部、２０５…時報処理部、２０７…署名データ処理部、２０９…復号部、２１１…出力部、３０１…通信部、３０３…制御部、３０５…公開情報データベース、４０１…通信部、４０３…多項式選択部、４０５…公開鍵生成部、４０７…時報生成部、４０９…記憶部、c…暗号化コンテンツ、m…コンテンツ
【図１】
2007060161.tif 000003
【図２】
2007060161.tif 000004
【図３】
2007060161.tif 000005
【図４】
2007060161.tif 000006
【図５】
2007060161.tif 000007
【図６】
2007060161.tif 000008
【図７】
2007060161.tif 000009
【図８】
2007060161.tif 000010