"共通鍵を用いる情報暗号化方法であって、送信装置が、認証子生成手段で、上記共通鍵を用いて、通信対象の情報のビット長に等しいマスクを擬似ランダムに生成するマスク生成過程と、送信装置が、仮暗号文生成手段で、上記マスクと上記情報との排他的論理和を計算することで、上記情報を暗号化して仮暗号文を生成する仮暗号文生成過程と、送信装置が、定数付加手段で、入力された定数と上記仮暗号文とを結合させ、定数付加仮暗号文を生成する定数付加過程と、送信装置が、上記認証子生成手段で、上記共通鍵と上記定数付加仮暗号文を用いて、関係鍵攻撃に対して安全に、上記仮暗号文の認証子を生成する認証子生成過程と、送信装置が、結合手段で、上記仮暗号文と上記認証子を結合させることで、上記情報を暗号化する結合過程とを有することを特徴とする情報暗号化方法。共通鍵を用いる情報暗号化装置であって、上記共通鍵を用いて、通信対象の情報のビット長に等しいマスクを擬似ランダムに生成する認証子生成部と、上記マスクと上記情報との排他的論理和を計算することで、上記情報を暗号化して仮暗号文を生成する仮暗号文生成部と、入力された定数と上記仮暗号文とを結合させ、定数付加仮暗号文を生成する定数付加部と、上記共通鍵と上記定数付加仮暗号文を用いて、関係鍵攻撃に対して安全に、上記仮暗号文の認証子を生成する上記認証子生成部と、上記仮暗号文と上記認証子を結合することで、上記情報を暗号化する結合部と、を有することを特徴とする情報暗号化装置。請求項1に記載した方法の各過程をコンピュータに実行させるためのプログラム。請求項3記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。以下に従来の技術の問題点を4点述べる。1通信量の問題図13A~Fは暗号化された秘密鍵などを概念的に示した図である。図13Aは、TagーKEM/OTP/OTP方式の場合のn個全ての受信装置の数の暗号化された秘密鍵ziを示すものあり、図13Bは、TagーKEM/OTP/OTP方式の場合のn個の暗号化された共通鍵xiを示すものであり、図13CはTagーKEM/OTP/OTP方式の場合の暗号文cを示すものであり、図13Dは、KEM/DEM/DEM方式の場合のn個の暗号化された秘密鍵eiを示すものであり、図13Eは、KEM/DEM/DEM方式の場合のn個の暗号化された共通鍵yiを示すものであり、図13FはKEM/DEM/DEM方式の場合の暗号文cを示したものである。KEM/DEM/DEM方式の場合、図13E、図13Fに斜線で示すように、暗号化された共通鍵yiと暗号文cには、認証子Tagが付加される。この認証子の大きさはセキュリティパラメータに依存するが、大抵の場合、共通鍵yiのサイズに等しい。暗号文cに付加された認証子の容量は暗号文の容量と比べて、かなり小さい。また、各受信装置に送る暗号文cは1つである。よって、暗号文cに付加された認証子については特に問題はない。しかし、暗号化された共通鍵yiは、認証子Tagが付加されることで、容量が2倍になる。また、暗号化された共通鍵yiは、n個の受信装置に送るので、n種類存在する。従って、通信量が多くなり、伝送効率は悪くなる。一方、TagーKEM/OTP/OTP方式では効率的な伝送を行うことが出来る。従って、KEM/DEM/DEM方式では通信量が多くなるという問題がある。2計算量の問題次に計算量の問題について、説明する。この2計算量の問題の説明のみ、KEM/DEM/DEM方式とTagーKEM/OTP/OTP方式について、説明簡略化のために、KEM/DEM1/DEM2方式、TagーKEM/OTP1/OTP2として説明する。最初に、送信装置から1台の受信装置に暗号化通信をする場合の計算量について説明する。一般的に、それぞれの処理の計算量について、以下の式が成り立つ。なお[A]はAの処理の計算量を示す。[KEM]<[Tag-KEM][DEM1]>[OTP1][DEM2]>[OTP2][KEM][DEM2]=[Tag-KEM][OTP2]よって、[KEM][DEM1][DEM2]>[Tag-KEM][OTP1][OTP2]となる。よって、送信装置から1台の受信装置に暗号化通信をする場合はKEM/DEM/DEM方式の計算量が、TagーKEM/OTP/OTP方式の計算量より多くなる。次に、送信装置からnn≧2台の受信装置に暗号化通信をする場合の計算量について説明する。KEM/DEM/DEM方式の場合、秘密鍵生成暗号化部8で、暗号化された秘密鍵eiを生成する際に、ai、ei←KEpkiの計算を受信装置数n分だけ計算すればよく、暗号文cのサイズは考慮されない。一方、TagーKEM/OTP/OTP方式の場合、上述のように、図8記載の秘密鍵暗号化部96で、暗号文cのサイズが考慮され、秘密鍵暗号化処理は行われるzi←Eiωi、ai∥c。よって、暗号文cのサイズが大きい場合は、nの値が大きくなるほど、TagーKEM/OTP/OTP方式の計算量は、KEM/DEM/DEM方式の計算量よりも多くなる。従って、送信装置からnn≧2台の受信装置に暗号化通信をする場合は、TagーKEM/OTP/OTP方式の計算量は、KEM/DEM/DEM方式の計算量よりも多くなる。3ストリーミングの問題KEM/DEM/DEM方式の場合、図6に示す秘密鍵復号部10iによる秘密鍵aiの復号処理についても、図7記載のステップS14からも明らかなように、ai=KDskieiを計算するだけでよい。よって、平文mがストリーミングデータであっても対応することが出来る。一方、TagーKEM/OTP/OTP方式の場合、図11に示す受信装置100iの復号処理において、上述した図12記載のステップS34に示した通り、秘密鍵復号部102iで、全ての暗号文cが受信されないと、復号処理を行うことは出来ない。これは秘密鍵復号部102iによる復号計算ai=Dizi、xi∥cからも明らかである。よって、平文mがストリーミングデータである場合は、TagーKEM/OTP/OTP方式を適用することは出来ないという問題が生じる。4標準規格の問題KEM/DEM方式は、ISOInternationalOrganizationforStandardizationやNESSIE等の標準化団体で規格化されているため、KEM/DEM/DEM方式であれば、これらの標準仕様に準拠し、既存のモジュールを流用することが出来る。一方、Tag-KEMに相当する秘密鍵内部状態生成部92と秘密鍵暗号化部96図11参照については、規格化されておらず、新たにモジュールを作成しなければならないという問題が生じる。また、新たに開発しても、標準規格に準拠したものにはならないため、相互互換性インターオペラビリティが確保できない。この発明は、複数の送信先に情報を暗号化して送信する同報通信暗号化方法であって、秘密鍵生成暗号化手段で、送信先の公開鍵と暗号化関数を用いて、秘密鍵と、当該秘密鍵を暗号化した暗号化秘密鍵を生成する。共通鍵生成手段で、第1の共通鍵と第2の共通鍵を合成したもの以下、合成共通鍵というを生成し、共通鍵暗号化手段で、合成共通鍵と秘密鍵との排他的論理和を計算して、合成共通鍵を暗号化する。情報暗号化手段で、第1の共通鍵を用いて、情報を暗号化し、認証子生成手段で、第2の共通鍵を用いて、関係鍵攻撃に対して安全に、暗号化された情報の認証子を生成し、結合手段で、暗号化された情報と認証子を結合する。また、複数の送信先に情報を暗号化して送信する同報通信暗号化方法であって、秘密鍵生成暗号化手段で、送信先の公開鍵と暗号化関数を用いて、秘密鍵および当該秘密鍵を暗号化した暗号化秘密鍵を生成し、共通鍵生成手段で、共通鍵を生成する。共通鍵暗号化手段で、共通鍵と秘密鍵との排他的論理和を計算することで、共通鍵を暗号化し、認証子生成手段で、共通鍵を用いて、通信対象の情報のビット長に等しいマスクを擬似ランダムに生成する。情報暗号化手段で、マスクと情報との排他的論理和を計算することで、情報を暗号化し、認証子生成手段で、共通鍵と暗号化された情報を用いて、関係鍵攻撃に対して安全に、暗号化情報の認証子を生成し、結合手段で、暗号化された情報と認証子を結合させる。また、暗号化された情報を復号する情報復号方法であって、鍵生成手段で、公開鍵と私有鍵を生成し、秘密鍵復号手段で、私有鍵と復号関数を用いて、受信した暗号化された秘密鍵を復号して、秘密鍵を求める。共通鍵復号手段で、秘密鍵と受信した暗号化された共通鍵との排他的論理和を計算することで、第1の共通鍵と第2の共通鍵を求め、分離手段で、受信した結合された暗号化された情報と当該暗号化された情報の認証子を分離して、暗号化された情報と暗号化された情報の認証子を求める。情報復号手段で、第1の共通鍵を用いて、暗号化された情報を復号して情報を求め、認証子判定手段で、第2の共通鍵を用いて、確認用認証子を生成し、暗号化された情報の認証子と確認用認証子とが一致するか否かを判定する。認証子判定手段が一致しないと判定した場合は、情報復号手段が情報を廃棄する。また、暗号化された情報を復号する情報復号方法であって、鍵生成手段で、公開鍵と私有鍵を生成し、秘密鍵復号手段で、私有鍵と復号関数を用いて、受信した暗号化された秘密鍵を復号して、秘密鍵を求める。共通鍵復号手段で、秘密鍵と受信した暗号化された共通鍵との排他的論理和を計算することで、共通鍵を求め、分離手段で、受信した結合された暗号化された情報と当該暗号化された情報の認証子を分離して、暗号化された情報と暗号化された情報の認証子を求める。認証子生成手段で、共通鍵を用いて、暗号化された情報のビット長に等しいマスクを生成し、情報復号手段で、暗号化された情報とマスクの排他的論理和を計算することで、暗号化された情報を復号し、情報を求める。認証子判定手段で、共通鍵を用いて、確認用認証子を生成し、暗号化された情報の認証子と確認用認証子とが一致するか否かを判定し、認証子判定手段が一致しないと判定すると、情報復号手段が情報を廃棄する。上記の構成により、上記1通信量の問題については、共通鍵を暗号化する方法をワンタイムパッド排他的論理和を計算にすることで、暗号化された共通鍵に認証子Tagが付加されなくなる。その結果、通信量は削減され、上記1通信量の問題は解決される。上記2計算量の問題については、共通鍵を暗号化する方法をワンタイムパッド処理にすることで、共通鍵を暗号化する際の計算量は削減される。また、秘密鍵暗号化処理には、暗号文cを用いず、暗号文cのサイズは考慮されない。よって、上記2計算量の問題は解決される。上記3ストリーミングの問題については、受信側の秘密鍵の復号処理に、暗号化された情報を用いない。よって、全ての暗号化された情報を受信しなくても、復号処理に支障はなく、情報がストリーミングデータであっても、対応することが出来る。よって、上記3ストリーミングの問題は解決される。上記4標準規格の問題については、この発明で使用されるのは、KEM、OTP、DEMである。KEM/DEM方式は標準化団体で規格化されている。よってこの標準仕様を流用することが出来る。従って、上記4標準規格の問題については解決される。この発明を実施するための最良の形態を説明する前に、この発明の原理を説明する。まず、上記問題点1を解決するために、KEM/DEM/DEM方式をKEM/OTP/DEM方式にする。つまり、共通鍵の暗号化をワンタイムパッド処理OTP排他的論理和の計算に変更したものである。KEM/DEM/DEM方式では、図6記載の共通鍵暗号化部56で、共通鍵Rの暗号化をyi=MEaiRにより行っていたが、KEM/OTP/DEM方式では、共通鍵Rの暗号化を、共通鍵Rと秘密鍵aiとの排他的論理和を計算すること、つまり、以下の式を計算することで行う。これにより、計算量を少なくすることが出来る。しかし、このKEM/OTP/DEM方式は安全ではない。すなわち、KEM、DEMが共に通常のCCA安全なものであっても、KEM/OTP/DEM方式が安全であるとは限らない。そこで、DEMが通常のCCA安全よりも強力な安全である関係鍵攻撃に対して安全RKA安全であれば、KEMは通常のCCA安全のまま、KEM/OTP/DEM方式が安全であることを示すことが出来る。次に、関係鍵攻撃に対して安全RKA安全なDEMについて説明する。上述したようにDEMには通常、Encrypt-and-MAC,MAC-then-Encrypt,Encrypt-then-MACの3通りの構成がある。この3通りのDEMにおいて、関係鍵攻撃に対して安全RKA安全なDEMを形成するにはどの構成が最もよいか説明する。DEMの構成が図8に示すEncrypt-and-MACである場合は、情報暗号化手段160Encryptと認証子生成手段162MACの両方が共にRKA安全でなければならない。よってEncrypt-and-MAC構成のDEMをRKA安全にすることは妥当ではない。DEMの構成が図9に示すMAC-then-Encryptの場合は、最も後段の情報暗号化手段170EncryptがRKA安全であれば、DEM全体がRKA安全になる。しかし、RKA安全な情報暗号化手段170Encryptは、非常に強い制約条件で、RKA安全なDEMであることと事実上同値であり、RKA安全な情報暗号化手段170の構成法も明らかではない。よって、MAC-then-Encrypt構成のDEMをRKA安全にすることは妥当ではない。DEMの構成が、図10に示すEncrypt-then-MACの場合は、最も後段の認証子生成手段174MACがRKA安全であれば、DEM全体がRKA安全である。RKA安全な認証子生成手段174MACの構成方法が問題となるが、事実上、既存のMACの殆どがRKA安全であることが仮定できる。何故なら、MACに対するRKA安全性は非常に弱い制約条件であるためである。よって、DEM全体をRKA安全にする構成として、Encrypt-and-MACであり、かつMACがRKA安全であることが最もふさわしい。よって、以下の実施例1で説明する送信装置中の情報暗号化部DEMについては、Encrypt-and-MACを採用する。この発明の実施例1の送信装置の機能構成例を図14に示し、受信装置の機能構成例を図15に示し、受信装置の主な処理の流れを図16に示し、送信装置の主な処理の流れを図17に示す。図14記載の送信装置110は、秘密鍵生成暗号化部8、共通鍵生成部54、情報暗号化部116、共通鍵暗号化部94、出力部114により構成され、必要に応じて、共通鍵記憶部72も追加される。また、情報暗号化部116DEMについては、図10で説明したEncrypt-and-MACの構成である。情報暗号化部116は仮暗号文生成手段図10では情報暗号化手段172、認証子生成手段174、結合手段176により構成されている。認証子生成手段174はRKA安全である。図15記載の受信装置120iは鍵生成部6i、秘密鍵復号部10i、共通鍵復号部58i、入力部121i、分離部122i、情報復号部18i、認証子判定部124i、により構成され、必要に応じて、私有鍵公開鍵記憶部76i、共通鍵記憶部74i、が追加される。また認証子判定部124iは、確認用認証子生成手段1242iと判定手段1244iにより構成される。まず、図15記載の鍵生成部6iでセキュリティパラメータλより公開鍵pkiと私有鍵skiの組が生成されるステップS50。具体的には、pki、ski←KGλにより生成される。生成された私有鍵skiは私有鍵公開鍵記憶部76iに記憶されステップS52、公開鍵pkiは公開される。また必要に応じて、公開鍵pkiは私有鍵公開鍵記憶部76iに記憶してもよいステップS54。公開された公開鍵pkiは図14記載の秘密鍵生成暗号化部8に入力される。秘密鍵生成暗号化部8では上記送信先の公開鍵pkiと暗号化関数KEを用いて、各受信装置120ii=1、...、n用の秘密鍵aiおよび当該秘密鍵を暗号化された秘密鍵eiが生成される。具体的には、ai、ei←KEpkiで生成される図17記載のステップS56。暗号化された秘密鍵eiは出力部114に入力され、秘密鍵aiは共通鍵暗号化部94および、共通鍵生成部54に入力される。共通鍵生成部54では、合成共通鍵r∥r’が生成される。rは第1の共通鍵を表し、r’は第2の共通鍵を表す。具体的な生成式は、r∥r’←MGにより生成されるか、もしくは各受信装置120i用の秘密鍵aiの全て、もしくは一部を用いて、r∥r’=MGa1、a2、...、aiにより生成されるステップS57。合成共通鍵r∥r’は共通鍵暗号化部94に入力され、第1の共通鍵rが仮暗号文生成手段172に入力され、第2の共通鍵r’は認証子生成手段174に入力される。共通鍵暗号化部94で、秘密鍵aiと合成共通鍵r∥r’との排他的論理和を計算することで、合成共通鍵r∥r’は暗号化され、暗号化された合成共通鍵wiが生成される。具体的には、以下の式を計算することで、暗号化されるステップS60。暗号化された合成共通鍵wiは出力部114に入力される。情報暗号化部116では、平文mが暗号化され、暗号文cが生成されるステップS61。情報暗号化部116の具体的処理について説明する。上述したように、情報暗号化部DEM116はEncrypt-then-MACの構成であり、認証子生成手段MAC174は、RKA安全な関係鍵攻撃に対して安全なMACである。情報暗号化手段Encrypt172で第1の共通鍵rを用いて、平文mを暗号化し、仮暗号文c’が生成されるステップS62。具体的には、c’=Encrmにより生成される。生成された仮暗号文c’は認証子生成手段174と結合手段176に入力される。認証子生成手段174では、第2の共通鍵r’を用いて仮暗号文c’の認証子Tagを関係鍵攻撃に対して安全にRKA安全に生成する。具体的には、Tag=MACr’c’により生成される。生成された認証子Tagは結合手段176に入力される。結合手段176では、認証子Tagと仮暗号文c’とが結合され、暗号文cが生成される。具体的にはc=c’∥Tagにより生成されるステップS66。生成された暗号文cは出力部114に入力される。出力部114から各受信装置120i用の暗号化された秘密鍵eii=1、...、nと各受信装置120i用の暗号化された共通鍵wiと1つの暗号文cが送信される。次に、図15記載の受信装置120iについて説明する。送信装置110よりの暗号化された秘密鍵eiと、暗号化された共通鍵wiと、暗号文cとが入力部121iに入力される。暗号文cは分離部122iに入力され、暗号化された共通鍵wiは共通鍵復号部58iに入力され、暗号化された秘密鍵eiは秘密鍵復号部10iに入力される。まず、秘密鍵復号部10iで、私有鍵skiと復号関数KDを用いて、受信した暗号化された秘密鍵eiを復号して、秘密鍵aiが求られる。具体的には、ai=KDskieiにより求める図16記載のステップS68。求められた秘密鍵aiは共通鍵復号部58iに入力される。共通鍵復号部58iで、暗号化された共通鍵wiと秘密鍵aiとの排他的論理和を計算することで、合成共通鍵r∥r’が求められる。具体的には、以下の式により求められるステップS70。合成共通鍵r∥r’は第1の共通鍵rと第2の共通鍵r’に分離され、第1の共通鍵rは情報復号部18iに入力され、第2の共通鍵r’は確認用認証子生成手段1242iに入力される。分離部122iでは、暗号文c=c’∥Tagが分離され、仮暗号文c’と仮暗号文c’の認証子Tagが求められる。仮暗号文c’は、確認用認証子生成手段1242iと情報復号部18iとに入力され、認証子Tagは判定手段1244iに入力される。情報復号部18iでは第1の共通鍵rと復号関数Enc-1を用いて、仮暗号文c’を復号して、平文mが求められる。具体的には、m=Enc-1rc’により求められるステップS72。次に、受信装置120iの送信者が正しいか否かを判定する認証処理について説明する。確認用認証子生成手段1242iは、送信装置110の認証子生成手段174MAC図14参照と同じアルゴリズムである。確認用認証子生成手段1242iで、第2の共通鍵r’を用いて、確認用認証子Tag’が生成される。具体的には、Tag’=MACr’c’により生成されるステップS73。生成された確認用認証子Tag’は判定手段1244iに入力される。また、判定手段1244iでは、分離部122iからの認証子Tagと、確認用認証子生成手段1242iからの確認用認証子Tag’とが一致するか否かが判定されるステップS74。もし、一致していないと、送信途中で送信情報が改ざんされた等の可能性があるということである。もしTagとTag’とが一致しない場合は、情報復号部18iによる情報の復号処理を行わずに、情報復号部18i中の仮暗号文c’は廃棄される。また、平文m受信した送信対象の情報がストリーミングデータm1である場合を説明する。受信装置120iで、全ての暗号データc1を受信して、復号し、ストリーミングデータm1を全て求めた後に、認証子判定部124iによる判定を行えばよい。このような送信装置、受信装置の構成にすることで、共通鍵の暗号化にワンタイムパッドが用いられ、暗号化された共通鍵に認証子Tagが付加されなくなる。よって、上記問題点1の通信量の問題は解決される。また、図17記載の共通鍵復号部58iの共通鍵暗号化処理をワンタイムパッド処理にすることで、共通鍵を暗号化する際の計算量は削減される。また、秘密鍵生成暗号化部8の秘密鍵暗号化処理には、暗号文cを用いず、暗号文cのサイズは考慮されない。よって、上記2計算量の問題は解決される。よって、上記2計算量の問題は解決される。また、図15記載の秘密鍵復号部10iの処理のように、受信側の秘密鍵の復号処理に、暗号化された情報を用いない。よって、全ての暗号化された情報を受信しなくても、復号処理に支障はなく、情報がストリーミングデータであっても、対応することが出来る。よって、上記3ストリーミングの問題は解決される。また、標準化団体で規格化されているKEM秘密鍵生成暗号化部8やDEM情報暗号化部16が使用されるため、標準仕様を流用することが出来、上記問題点4も解決できる。実施例1で説明した送信装置110図14参照であると、情報暗号化部116中の仮暗号文生成手段172で使用される共通鍵第1の共通鍵rと、認証子生成手段174とで使用される共通鍵第2の共通鍵r’が独立したものでなければならない。そのため、第1の共通鍵rと第2の共通鍵r’が必要であり、共通鍵生成部54では第1の共通鍵rと第2の共通鍵r’の2つが生成される。その結果、暗号化された共通鍵に認証子は付加されないが、共通鍵の鍵長が2倍になり、鍵長の通信量が問題になる。実施例2では、この鍵長の問題点を解消した情報暗号化装置、その送受信装置の構成を説明する。図18は送信装置130の機能構成例を示した図であり、図19は、受信装置140iの機能構成例を示した図であり、図20は受信装置140iの処理の流れを示したフローチャートであり、図21は送信装置130の処理の流れを示したフローチャートである。実施例1の送信装置110と実施例2の送信装置130とで相違する点は、実施例2では共通鍵を1つしか用いなくても良い点と、情報暗号化部の構成が違う点である。情報暗号化部132は、マスク生成手段1322、仮暗号文生成手段1324、定数付加手段1325、認証子生成手段1326、結合手段1328とで構成される。また、図22は情報暗号化部132中のデータの流れを詳細に示したものである。共通鍵生成部54よりの共通鍵Rはマスク生成手段1322に入力される。また、カウンターモードpgg=1~Gもマスク生成手段1322に入力される。Gの値については後ほど説明する。カウンターモードpgとは、送信者と受信者とで予め決めていた定数であり、例えば、pg=0∥1である。マスク生成手段1322で、共通鍵Rを用いてカウンターモードpgのマスクMが生成される。実際は、マスク生成手段1322の処理において、1個のMACがG回の処理を行うが、説明簡略化のために、図22にはG個のMAC1320gg=1、...、Gが設けられているとして記載する。以下に詳細な処理を説明する。MAC1320gで擬似ランダムにカウンターモードの認証子CTaggが生成される。具体的には、CTagg=MACRpgにより生成される。ここで、擬似ランダムに認証子を生成するMACについて説明する。擬似ランダム認証子を生成するMACとは、PRFPseudoRandomFunction:擬似乱数関数族型のMACであり、通常のMACよりも強い安全性を備えたものである。例えば、ブロック暗号ベースのOMAC、ハッシュ関数型のHMACなどは、PRF型のMACである。生成されたCTaggは認証子結合手段1323に入力される。認証子結合手段1323では、認証子CTaggg=1、...、Gが結合され、マスクMが求められる。具体的には、M=MACRp1∥MACRp2∥、...、∥MACRpGで生成される。生成されたマスクMは仮暗号文生成手段1324に入力される。仮暗号文生成手段1324で、マスクMを用いて、平文mは暗号化され、仮暗号文c’が生成される。具体的には、平文mとマスクMとの排他的論理和が計算され、つまり以下の式を計算することで、仮暗号文c’は生成される。求められた仮暗号文c’は定数付加手段1325、結合手段1328に入力される。ここで、カウンターモードpgg=1~GのGの値について説明する。上述のように、仮暗号文生成手段1324で、マスクMと平文mの排他的論理和が計算される。よって、マスクMのビット長と平文mのビット長は一致していなければならない。また、マスク生成手段1322MACにより生成されるマスクMのビット長αは予め決まっている例えばα=128ビット。そこで、平文mのビット長をβとすると、βをαで除算して、その商を繰り上げた値がGの値となる。例えば、平文mのビット長βが500ビット、マスクMのビット長αを128ビットとすると、500÷128=3.90625となり、商を繰り上げた値4がGの値となる。しかし、この例の場合、平文mのビット長βは500ビット、マスクMのビット長αは128×4=512ビットとなり、αとβは一致しない。そこで、この場合は、マスクMを12ビット切り取り、αとβの値を一致させればよい。定数付加手段1325では、仮暗号文c’と入力されたカウンターモードpg1とが結合されてc’∥pg1が求められる。求められたc’∥pg1は認証子生成手段1326に入力される。なお、カウンターモードpg1も予め送信者と受信者との間で、決められていた定数である。認証子生成手段1326では、共通鍵Rを用いて、関係鍵攻撃に対して安全にRKA安全に、c’∥pg1の認証子Tagが生成される。具体的にはTag=MACRpg1∥c’により生成される。生成されたTagは結合手段1328に入力される。結合手段1328では、仮暗号文c’とTagとが結合され、暗号文cが求められる。具体的には、c=c’∥Tagにより生成される。また、共通鍵暗号化部94図18参照では秘密鍵aiと共通鍵Rとの排他的論理和を計算することで、暗号化された共通鍵ziを生成する。具体的には以下の式により求められる。上述したように、マスク生成手段1322MACと認証子生成手段1326MACとは同一である。仮暗号文生成手段1324よりの仮暗号文cに、定数付加手段1325で定数pn1を付加させることで、共通鍵を1つのみ用いて、情報を暗号化することを実現できる。次に、マスク生成手段1322について留意すべき点を述べる。上述したように、マスク生成手段1322MACと認証子生成手段1326MACとは、同一のアルゴリズムである。通常、MACはある一定のビット長γの倍数のデータ例えば、512の倍数ビットしか入力を受け付けない。よって、マスク生成手段1322に入力されるカウンターモードpgのビット長や、認証子生成手段1326に入力されるpg1∥cのビット長がデータγの倍数ビット長であるか否かに関わらず、常にデータが付加パディングされるのが通常である。何故ならpgやpg1∥cのデータの一意性を保ちながら、かつ、そのビット長がγの倍数になるようにするためである。また、カウンターモードpgg=1、...、Gそれぞれの値、パディング後のカウンターモードpgg=1、...、Gそれぞれの値、pg1∥cの値、パディング後のpg1∥cの値、全てが相違していなければならない。何故なら、攻撃者は、マスク生成手段1322よりのマスクMや認証子生成手段1326よりの認証子Tagを自由に見ることが出来る。もし、入力されるパディング後のカウンターモードpgの値やパディング後のpg1∥cの値が同一であれば、MACを判別することが出来、DEM自体が安全でなくなるからである。そのほかの処理については実施例1と同様であるので、省略する。上述したように、DEMを情報暗号化部132の構成にすることで、1個の共通鍵で平文m情報を暗号化することができる。よって、実施例1では解決できなかった鍵長の問題を解決することが出来る。また、この実施例2では、情報暗号化部132をKEM-OTP-DEM方式の送信装置130に適用した例を説明したが、この情報暗号化部132はその他の方式の送信装置にも適用することが出来る。また、MACマスク生成手段1322や認証子生成手段1326をPRF型にすることで、より高効率な暗号化同報通信を行うことが出来る。次に、受信装置140iについて説明する。実施例1で説明した受信装置120iと相違する点は、確認用認証子生成手段1482iの処理内容と、情報復号部146iの処理内容と、マスク生成部144iが新たに追加されたことである。マスク生成部144iで、共通鍵Rと、カウンターモードpgを用いて、マスクMが生成される。ここで使用されるカウンターモードpgは送信側のマスク生成手段1322で使用されたカウンターモードpgと同一である。マスクMは情報復号部146iに入力される。情報復号部146iで、マスクMを用いて仮暗号文c’が復号され、平文mが求められる。具体的には、以下の式で求められるステップS102。また、確認用認証子生成手段1482iで確認用認証子Tag’が生成される。具体的には、Tag’=MACrpn1∥c’により生成されるステップS104。確認用認証子Tag’は判定手段1244iに入力される。そのほかの処理については実施例1の受信装置120iと同様であるので省略する。以上の各実施形態の他、本発明である同報通信暗号化方法、復号方法は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、同報通信暗号化方法、復号方法において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。また、この発明の同報通信暗号化方法、復号方法における処理をコンピュータによって実現する場合、同報通信暗号化方法、復号方法が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、同報通信暗号化方法、復号方法における処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、DVDDigitalVersatileDisc、DVD-RAMRandomAccessMemory、CD-ROMCompactDiscReadOnlyMemory、CD-RRecordable/RWReWritable等を、光磁気記録媒体として、MOMagneto-Opticaldisc等を、半導体メモリとしてEEP-ROMElectronicallyErasableandProgrammable-ReadOnlyMemory等を用いることができる。また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASPApplicationServiceProvider型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるものコンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等を含むものとする。また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、同報通信暗号化方法、復号方法を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。"