JP2019102970A

JP2019102970A - データ共有サーバ装置、鍵生成サーバ装置、通信端末、プログラム

Info

Publication number: JP2019102970A
Application number: JP2017231716A
Authority: JP
Inventors: 裕樹岡野; Hiroki Okano; 麗生吉田; Reisei Yoshida; 鉄太郎小林; Tetsutaro Kobayashi
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2017-12-01
Filing date: 2017-12-01
Publication date: 2019-06-24

Abstract

【課題】前回ログイン中に用いられたセッション鍵を再ログイン時に共有することができるデータ共有サーバ装置を提供する。【解決手段】ユーザＡの通信端末から、セッション鍵ＳＫの暗号化に用いる公開鍵ｐｋＡを受信し、公開鍵ｐｋＡと対になる秘密鍵ｓｋＡの暗号文である秘密鍵暗号文ＣｓｋＡを受信する受信部と、ユーザＡの通信端末に、他の通信端末の公開鍵を送信する送信部を含み、受信部は、ユーザＢの通信端末から、セッション鍵ＳＫの暗号文であるセッション鍵暗号文ＣＳＫ，Ｂと、再暗号化鍵を受信し、送信部は、ユーザＣの通信端末の秘密鍵暗号文ＣｓｋＣを送信し、ユーザＣの秘密鍵ｓｋＣでセッション鍵ＳＫを復号可能な再暗号化暗号文ＣＳＫ，Ｃを生成する再暗号化処理部を含み、送信部は、再暗号化暗号文ＣＳＫ，ＣをユーザＣの通信端末に送信する。【選択図】図２

Description

本発明は、エンドツーエンド暗号化を実現するデータ共有サーバ装置、鍵生成サーバ装置、通信端末、プログラムに関する。

ビジネスでの使用を前提とするメッセージ送信システムとしてパソコンやスマートフォン等のマルチデバイスに対応可能なシステムが存在する。マルチデバイスに対応可能なシステムのうち、企業の機密情報漏えいを考慮し、通信端末にデータを残さないクラウドベース型のメッセージ送信システムが存在する。クラウドベース型のメッセージ送信システムの例として、非特許文献１が挙げられる。

このようなメッセージ送信システムにおいては、通信路を暗号化することで通信経路上の盗聴防止がなされていたり、既に述べたように、通信端末にデータを残さないことによって通信端末の紛失や不正な持ち出しに起因する情報漏えい防止がなされていたりする。このように、従来のメッセージ送信システムは「通信経路」と「通信端末」に対する脅威に対処している一方、サーバ装置に対する脅威への対処は不十分である。

ここでいうサーバ装置に対する脅威として「サーバ装置に対する外部からの攻撃」や「サーバ装置管理者等による内部不正」等が挙げられる。これらの脅威に対し、メッセージを暗号化して記憶する、という対策が考えられる。しかしながら、サーバ装置側でメッセージを復号可能である以上、前述の脅威に対してサーバ装置からのメッセージ漏えいの可能性が依然として存在する。送受信・記憶を行うサーバ装置に送られてくるメッセージがサーバ装置に対して秘匿化されている（サーバ装置側で盗聴されない）ことが重要である。

１つの方法として、サーバ装置に対してメッセージを秘匿し、通信端末でのみ復号可能なエンドツーエンドの暗号化通信を実現することが考えられる。この場合、通信端末間で用いる共通鍵をどのように共有するかが問題となる。この問題の解決策として例えば非特許文献２が開示されている。非特許文献２では中央に認証サーバ装置をもつスター型のネットワークにおいて、認証サーバ装置に対していかなる情報ももらさずに利用者間で鍵（以下、セッション鍵）を共有するプロトコルが提案されている。

これによって、サーバ装置に対しメッセージを秘匿したまま通信端末間でやりとりすることができる。また、現在参加している通信端末でのみメッセージが読めるようセッション鍵の共有を行うため、ユーザの追加・削除等のイベントによりセッション鍵が更新される。

また、再暗号化技術によって現在閲覧を認可されているユーザはそのグループで共有されているデータを、サーバ装置（以降、データ共有サーバ装置と呼ぶ）から秘匿したまま、すべて閲覧することが可能である。例えば、共有メンバ向けに再暗号化鍵を発行して暗号化データを共有したいユーザが復号できるよう、データ共有サーバ装置から秘匿したまま変換処理を行うサービスが存在する。

ＮＴＴソフトウェア、"ビジネス向けグループチャットＴｏｐｉｃＲｏｏｍ"、［online］、ＮＴＴソフトウェア、[平成29年10月18日検索]、インターネット〈URL:https://www.ntt-tx.co.jp/products/topicroom/〉小林鉄太郎、米山一樹、吉田麗生、川原祐人、冨士仁、山本具英「スケーラブルな動的多者鍵配布プロトコル」、SCIS2016-暗号と情報セキュリティシンポジウム-講演論文集、一般社団法人電子情報通信学会、平成28年1月、4E2-3

データ共有サーバ装置で再暗号化を行うためには、再暗号化鍵が必要である。再暗号化鍵に必要な情報は更新前後のセッション鍵である。一方、グループ内のユーザが全員ログアウトした場合、データを通信端末に残さないという安全上の仕様に従ってグループ内で共有されていたセッション鍵が削除され、グループ内の任意のユーザがログインするときに新たなセッション鍵が生成される。従って各通信端末は、それ以前に使われたセッション鍵を保持しておらず、再暗号化鍵を生成することができない。

そこで本発明では、前回ログイン中に用いられたセッション鍵を再ログイン時に共有することができるデータ共有サーバ装置を提供することを目的とする。

本発明は、データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＡとユーザＢとユーザＣの各々に対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、データ共有サーバ装置であって、受信部と、送信部と、再暗号化処理部を含む。

受信部は、ユーザＡの通信端末から、通信端末間で共有され他の装置に知られていないセッション鍵ＳＫの暗号化に用いる公開鍵ｐｋ_Ａを受信し、公開鍵ｐｋ_Ａと対になる秘密鍵ｓｋ_Ａの暗号文である秘密鍵暗号文Ｃ_ｓｋＡを受信する。送信部は、ユーザＡの通信端末に、他の通信端末の公開鍵を送信する。受信部は、ユーザＢの通信端末から、セッション鍵ＳＫの暗号文であるセッション鍵暗号文Ｃ_ＳＫ，Ｂと、ユーザＢの通信端末の公開鍵ｐｋ_Ｂと秘密鍵ｓｋ_Ｂ、およびユーザＣの通信端末の公開鍵ｐｋ_Ｃを用いて生成される再暗号化鍵ｒｋ_Ｂ→Ｃ、すなわち（Ｃ_ＳＫ，Ｂ，ｒｋ_Ｂ→Ｃ）を受信する。送信部は、ユーザＣの通信端末の要求に応じて、ユーザＣの通信端末の秘密鍵暗号文Ｃ_ｓｋＣを送信する。再暗号化処理部は、ユーザＣの通信端末の要求に応じて、再暗号化鍵ｒｋ_Ｂ→Ｃ、セッション鍵暗号文Ｃ_ＳＫ，Ｂを用いて、ユーザＣの秘密鍵ｓｋ_Ｃでセッション鍵ＳＫを復号可能な再暗号化暗号文Ｃ_ＳＫ，Ｃを生成する。送信部は、再暗号化暗号文Ｃ_ＳＫ，ＣをユーザＣの通信端末に送信する。

本発明のデータ共有サーバ装置によれば、前回ログイン中に用いられたセッション鍵を再ログイン時に共有することができる。

実施例１の通信システムの構成を示すブロック図。実施例１のデータ共有サーバ装置の構成を示すブロック図。実施例１の鍵生成サーバ装置の構成を示すブロック図。実施例１の公開鍵／秘密鍵生成を実行する通信端末の構成を示すブロック図。実施例１の再暗号化鍵生成を実行する通信端末の構成を示すブロック図。実施例１のセッション鍵取得を実行する通信端末の構成を示すブロック図。実施例１の通信システムの公開鍵／秘密鍵生成動作を示すシーケンス図。実施例１の通信システムの再暗号化鍵生成動作およびセッション鍵取得動作を示すシーケンス図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜概要＞
実施例１の通信システムでは、証明書不要代理人再暗号化技術と、ユーザの認証情報を利用した共通鍵暗号技術を利用する。各ユーザ（例えば、ユーザＡとする）の通信端末は、公開鍵と秘密鍵のペアを生成し、一度ログアウトした後のログイン後でも同じ鍵を保持できるよう、秘密鍵を通信システムにログインする際の認証情報を利用した共通鍵暗号で暗号化して、サーバ装置に記憶する。

セッション鍵が更新された際、当該グループの現在ログイン中のユーザのうち１ユーザ（ユーザＢとする）が自分の公開鍵で、証明書不要代理人再暗号化の暗号化機能を使ってセッション鍵を暗号化する。また、ユーザＢから同じグループに属するすべてのユーザ向けにそれぞれ再暗号化鍵を生成する。例えばユーザＡから同じグループに属するユーザＢに再暗号化鍵を生成した場合、これをＡ→Ｂへの再暗号化鍵と呼ぶ。セッション鍵の暗号文とすべての再暗号化鍵はサーバ装置に記憶される。

グループのユーザ全員がログアウト後、当該グループのユーザ（ユーザＣとする）がログインする場合、まず、自身の秘密鍵の暗号文をサーバ装置からダウンロードし、認証情報を用いて自身の秘密鍵を復号する。サーバ装置では、セッション鍵の暗号文を、Ａ→Ｃへの再暗号化鍵を用いて再暗号化する。ユーザＣは再暗号化された暗号文をダウンロードし、自身の秘密鍵を用いてセッション鍵を復号する。

これにより、グループのユーザが全員ログアウトした後にログインした場合でも、前に共有されたセッション鍵を共有することができ、その鍵と現在のセッション鍵を用いて再暗号化鍵を生成し、サーバ装置に記憶されている共有データをすべて現在のセッション鍵で復号できるように変換できる。また、この一連の手続きの中で、サーバ装置からは共有データの内容が漏れることがない。したがって、エンドツーエンド暗号化を達成するクラウドベースの通信システムが実現できる。また、証明書不要暗号化方式なので、ＰＫＩが不要となり、証明書管理や鍵とユーザの対応を管理する必要がなく、さらにユーザの認証情報を用いた秘密鍵は暗号化してサーバ装置に記憶するため、ログアウト後に通信端末にデータを残さないというポリシーも実現することができる。

＜準備＞
集合Nを正の整数全体の集合とする。一方向性証明書不要代理人再暗号方式（Unidirectional certi cateless proxy re-encryption scheme）は次の９つのアルゴリズム(CLSetup,CLDer,SetSV,SetPK,SetSK,CLEnc,SetRK,CLReEnc,CLDec)からなり、それぞれ、以下の入出力をもつアルゴリズムである。また、k∈Nをセキュリティパラメータとする。なお、この暗号方式を以後CLPREと呼ぶことにする。

≪CLSetup(1^k)→(params,msk)≫
セキュリティパラメータkを入力とし、公開パラメータparamsとマスター秘密鍵mskを出力するアルゴリズムである。

≪CLDer(params,msk,ID_A)→psk_A≫
公開パラメータparamsとマスター秘密鍵msk、ユーザAの識別子ID_Aを入力とし、ユーザAの部分秘密鍵psk_Aを出力するアルゴリズムである。

≪SetSV(params,ID_A)→sv_A≫
公開パラメータparams、ユーザAの識別子ID_Aを入力とし、ユーザAの秘密値sv_Aを出力するアルゴリズムである。なお、このアルゴリズムは、同じ入力に対して常に同じ出力となるアルゴリズムでないことが望ましい。例えば、アルゴリズム内部で生成した乱数に依存して出力値がランダムに生成されるアルゴリズムであれば好適である。

≪SetSK(params,psk_A,sv_A)→sk_A≫
公開パラメータparams、ユーザAの部分秘密鍵psk_A、ユーザAの秘密値sv_Aを入力とし、ユーザAの秘密鍵sk_Aを出力するアルゴリズムである。

≪SetPK(params,sv_A)→pk_A≫
公開パラメータparams、ユーザAの秘密値sv_Aを入力とし、ユーザAの公開鍵pk_Aを出力するアルゴリズムである。

≪CLEnc(params,ID_A,pk_A,m)→C_A≫
公開パラメータparams、ユーザAの識別子ID_A、ユーザAの公開鍵pk_A、平文mを入力とし、暗号文C_Aを出力するアルゴリズムである。

≪SetRK(params,ID_A,pk_A,sk_A,ID_B,pk_B)→rk_A→B≫
公開パラメータparams、ユーザAの識別子ID_A、ユーザAの公開鍵pk_A、ユーザAの秘密鍵sk_A、ユーザBの識別子ID_B、ユーザBの公開鍵pk_Bを入力とし、（一方向性）再暗号化鍵rk_A→Bを出力するアルゴリズムである。

≪CLReEnc(params,rk_A→B,C_A)→C_B≫
公開パラメータparams、再暗号化鍵rk_A→B、暗号文C_Aを入力とし、再暗号化暗号文C_Bを出力するアルゴリズムである。

≪CLDec(params,sk_A,C)→m' or ⊥≫
公開パラメータparams、秘密鍵sk_A、暗号文Cを入力とし、平文m'または拒絶⊥を出力するアルゴリズムである。

さらに、上記のアルゴリズムは以下の条件も満たすものとする。任意のセキュリティパラメータk、CLSetup(1^k)によって出力された任意の公開パラメータとマスター秘密鍵の組(params,msk)、任意のユーザAの任意の識別子ID_Aと任意のユーザBの任意の識別子ID_Bに対してそれぞれCLDer(params,msk,ID_A),CLDer(params,msk,ID_B)によって出力される任意の部分秘密鍵psk_A,psk_Bと、それぞれSetSV(params,ID_A),SetSV(params,ID_B)によって出力される任意の秘密値sv_A,sv_B、それぞれSetSK(params,psk_A,sv_A),SetSK(params,psk_B,sv_B)によって出力される任意の秘密鍵sk_A,sk_B、それぞれSetPK(params,sv_A),SetPK(params,sv_B)によって出力される任意の公開鍵pk_A,pk_B、SetRK(params,ID_A,pk_A,sk_A,ID_B,pk_B)によって出力される任意の再暗号化鍵rk_A→B、任意の平文mに対して、以下の２つの式が成り立つ。
CLDec(params,sk_A,CLEnc(params,ID_A,pk_A,m))=m
CLDec(params,sk_B,CLReEnc(params,rk_A→B,CLEnc(params,ID_A,pk_A,m)))=m

上記を満たすCLPREは、マスター秘密鍵mskを得ていたとしても秘密鍵skが無ければ暗号文の中身が知られないものが望ましい。そのような例は、参考非特許文献１に開示されている。
（参考非特許文献１：C. Sur, C. D. Jung, Y. Park, and K. H. Rhee, "Chosen ciphertext secure certi cateless proxy re-encryption," CMS 2010, LNCS 6109, pp. 214-232, 2010.）

パスワードベース暗号方式（Password-based encryption scheme）は次の２つのアルゴリズム(PBE.Enc,PBE.Dec)からなり、それぞれ、以下の入出力をもつアルゴリズムである。

≪PBE.Enc(pwd,m)→C≫
パスワードpwdと平文mを入力とし、暗号文Cを出力するアルゴリズムである。

≪PBE.Dec(pwd,C)→m≫
パスワードpwdと暗号文Cを入力とし、平文mを出力するアルゴリズムである。

さらに、上記のアルゴリズムは以下の条件も満たすものとする。任意のパスワードpwdと任意の平文mに対して、PBE.Dec(pwd,PBE.Enc(pwd,m))=mが成り立つ。上記を満たすパスワードベース暗号方式の例については、参考非特許文献２に開示されている。
（参考非特許文献２：" PKCS #5: Password-Based Cryptography Specification Version 2.0," [平成29年11月23日検索]、インターネット〈URL:https://tools.ietf.org/html/rfc2898〉）

図１に示すように、本実施例の通信システム１は、データ共有サーバ装置１０、鍵生成サーバ装置１１、通信端末１２、通信端末１３、通信端末１４を含み、各装置はネットワーク９により通信可能に接続されている。通信端末１２、通信端末１３、通信端末１４はパソコンやスマートフォン等で実現できるが特に限定しない。

以下の説明では、通信端末１２は公開鍵／秘密鍵の生成を担当する端末であるものとし、通信端末１３はセッション鍵暗号文と再暗号化鍵の生成を担当する端末であるものとし、通信端末１４は、再ログイン後のセッション鍵の取得を担当する端末であるものとする。ただし、上記は説明の便宜上の割り振りであるため、例えば通信端末１２、通信端末１３、通信端末１４の機能をすべて併せ持つ通信端末を実現してもよい。

なお、本実施例の通信システム１では、データをやり取りするユーザのグループを形成することができる。以下の実施例では、グループに対し、少なくともユーザA、ユーザB、ユーザCが登録されているものとし、当該システム内での各ユーザの識別子をそれぞれID_A,ID_B,ID_Cとし、ユーザAと通信端末１２、ユーザBと通信端末１３、ユーザCと通信端末１４が対応づいているものとする。各ユーザの識別子はシステム内で公開されているものとする。

データ共有サーバ装置１０と鍵生成サーバ装置１１は同一であってもよい。データ共有サーバ装置１０は、各通信端末から送信された暗号化メッセージの記憶と、他の通信端末への暗号化メッセージの配送を行う。

また、セッション鍵について説明する。セッション鍵は、グループ毎で、そのグループに属するユーザが利用する通信端末間で共有される鍵のことをいう。セッション鍵は、通信端末間で共有されるが、他の装置（特にデータ共有サーバ装置）に知られていないものとする。

通信端末以外の、例えばデータ共有サーバ装置１０に対してセッション鍵に関していかなる情報ももらさずに鍵を共有するプロトコルとして、参考非特許文献３が挙げられる。ただし、セッション鍵共有方法については特に限定しない。
（参考非特許文献３：K. Yoneyama, R. Yoshida, Y. Kawahara, T. Kobayashi, H. Fuji, and T. Yamamoto. 2016.Multi-Cast Key Distribution. Scalable, Dynamic and Provably Secure Construction. Cryptology ePrint Archive, Report 2016/833. (2016).）

なお、セッション鍵を安全に共有するために、グループにユーザが追加される、グループからユーザが離脱する（削除される）、一定時間が経過する、ユーザがログイン／ログアウトする度にログイン中のグループのユーザ間でセッション鍵が新たに生成されるものとする。

＜通信システム１を構成する各装置の詳細＞
図２に示すように、データ共有サーバ装置１０は、セッション鍵暗号文記憶部１０１と、秘密鍵暗号文記憶部１０２と、再暗号化鍵記憶部１０３と、再暗号化処理部１０４と、公開鍵記憶部１０５と、送信部１０６と、受信部１０７を含む。

図３に示すように、鍵生成サーバ装置１１は、暗号セットアップ処理部１１１と、鍵管理部１１２と、部分秘密鍵生成部１１３と、送信部１１４と、受信部１１５を含む。

図４に示すように、通信端末１２は、グループ情報管理部１２０と、鍵記憶部１２１と、公開パラメータ記憶部１２２と、部分秘密鍵要求部１２３と、秘密値生成部１２４と、秘密鍵生成部１２５と、公開鍵生成部１２６と、秘密鍵暗号化処理部１２７と、送信部１２８と、受信部１２９を含む。

図５に示すように、通信端末１３は、グループ情報管理部１３１と、鍵記憶部１３２と、公開パラメータ記憶部１３３と、セッション鍵暗号化処理部１３４と、再暗号化鍵生成部１３５と、送信部１３６と、受信部１３７を含む。

図６に示すように、通信端末１４は、グループ情報管理部１４１と、鍵記憶部１４２と、公開パラメータ記憶部１４３と、秘密鍵復号処理部１４４と、セッション鍵復号処理部１４５と、送信部１４６と、受信部１４７を含む。以下、図７、図８を参照して、本実施例の通信システム１の動作について説明する。

＜公開パラメータとマスター秘密鍵の生成（システムセットアップ）＞
通信システム１のセットアップ時、鍵生成サーバ装置１１の暗号セットアップ処理部１１１は、所定のセキュリティパラメータk（たとえば、鍵長）を入力とし、当該セキュリティパラメータkを用いて、CLSetup(1^k)を実行して、公開パラメータparamsとマスター秘密鍵mskを生成し（Ｓ１１Ａ）、生成した公開パラメータとマスター秘密鍵の組(params,msk)を、鍵管理部１１２に記憶する。鍵生成サーバ装置１１の送信部１１４は、ユーザが通信システム１にログインするたびに、公開パラメータparamsを、ログインユーザに対応する通信端末に配布（送信）する（Ｓ１１Ｂ）。鍵生成サーバ装置１１の鍵管理部１１２は、マスター秘密鍵mskを秘密に保持しておく。

＜公開鍵／秘密鍵の生成（セットアップ）＞
通信端末１２の受信部１２９は、事前に鍵生成サーバ装置１１から公開パラメータparamsを受信し、通信端末１２の公開パラメータ記憶部１２２は公開パラメータparamsを保持しているものとする。通信端末１２の部分秘密鍵要求部１２３は、ユーザAの識別子ID_Aを含む部分秘密鍵要求を生成する。通信端末１２の送信部１２８は、鍵生成サーバ装置１１にユーザAの識別子ID_Aを含む部分秘密鍵要求を送信する（Ｓ１２Ａ）。

鍵生成サーバ装置１１の受信部１１５は、通信端末１２から識別子ID_Aを含む部分秘密鍵要求を受信する（Ｓ１１Ｃ）。鍵生成サーバ装置１１の部分秘密鍵生成部１１３は、鍵管理部１１２から取得した公開パラメータとマスター秘密鍵のペア(params,msk)を使って、CLDer(params,msk,ID_A)を実行して、ユーザAの部分秘密鍵psk_Aを生成する（Ｓ１１Ｄ）。鍵生成サーバ装置１１の送信部１１４は、部分秘密鍵psk_Aを通信端末１２に送信する（Ｓ１１Ｅ）。

通信端末１２の受信部１２９は、鍵生成サーバ装置１１から部分秘密鍵psk_Aを受信する（Ｓ１２Ｂ）。通信端末１２の秘密値生成部１２４は、SetSV(params,ID_A)を実行して、ユーザAの秘密値sv_Aを生成する（Ｓ１２Ｃ）。通信端末１２の秘密鍵生成部１２５は、SetSK(params,psk_A,sv_A)を実行して、ユーザAの秘密鍵sk_Aを生成する（Ｓ１２Ｄ）。通信端末１２の公開鍵生成部１２６は、SetPK(params,sv_A)を実行して、ユーザAの公開鍵pk_Aを生成する（Ｓ１２Ｅ）。通信端末１２はこのようにして生成した鍵ペア(sk_A,pk_A)を鍵記憶部１２１に記憶する。なお、通信システム１が、ユーザがログアウトする際に端末にある該システムに係わるデータを消去する場合、鍵記憶部１２１に記憶されたデータも消去されるのが望ましい。通信端末１２の送信部１２８は、公開鍵pk_Aをデータ共有サーバ装置１０に送信する（Ｓ１２Ｆ）。

データ共有サーバ装置１０の受信部１０７は、通信端末１２から公開鍵pk_Aを受信する（Ｓ１０Ａ）。データ共有サーバ装置１０は、公開鍵記憶部１０５に公開鍵pk_Aを記憶する。

通信端末１２の秘密鍵暗号化処理部１２７は、秘密鍵sk_Aを認証情報を用いて、暗号化する。本実施例において、通信システム１にユーザがログインする際のユーザ認証はID/パスワード認証によって行われるものとする。このとき、ユーザAの認証情報はpwd_Aとする。なお、認証方法はID/パスワード以外でもよく、指紋認証であれば、認証情報として例えば指紋データを符号化したものが挙げられるが、認証方法・認証情報については特に限定しない。通信端末１２の秘密鍵暗号化処理部１２７は、PBE.Enc(pwd_A,sk_A)を実行して、秘密鍵sk_Aの暗号文である秘密鍵暗号文C_skAを生成する（Ｓ１２Ｇ）。通信端末１２の送信部１２８は、秘密鍵暗号文C_skAをデータ共有サーバ装置１０に送信する（Ｓ１２Ｈ）。

データ共有サーバ装置１０の受信部１０７は、通信端末１２から秘密鍵暗号文C_skAを受信する（Ｓ１０Ｂ）。データ共有サーバ装置１０は、秘密鍵暗号文記憶部１０２に秘密鍵暗号文C_skAを記憶する。

なお、ユーザA、B、Cが当該システムにおいて1つのグループ（グループGと呼ぶことにする）を形成しており、かつ、ユーザA、B、Cが上記の鍵セットアップ動作を終えていた場合、データ共有サーバ装置１０の送信部１０６は、各ユーザ（ex.ユーザA）の各通信端末（ex.通信端末１２）に、他の通信端末（ex.通信端末１３、１４）の公開鍵（ex.pk_A）を送信する（Ｓ１０Ｂ）。各ユーザ（ex.ユーザA）の各通信端末（ex.通信端末１２）の受信部（ex.受信部１２９）は、データ共有サーバ装置１０から、他の通信端末（ex.通信端末１３、１４）の公開鍵（ex.pk_B,pk_C）を受信する（Ｓ１２Ｉ）。通信端末１２は、当該グループの識別子に紐付けて、グループ情報管理部１２０に各公開鍵（ex.pk_B,pk_C）を記憶する。

＜セッション鍵の暗号化と再暗号化鍵の生成＞
グループGで共有されるセッション鍵が更新されたとする。また、このとき、ユーザBは通信端末１３でログイン中であったものとし、通信端末１３は、更新したセッション鍵SKを保持しているとする。通信端末１３のセッション鍵暗号化処理部１３４は、鍵記憶部１３２から、自身の公開鍵pk_Bを取得し、公開パラメータ記憶部１３３から、公開パラメータparamsを取得し、CLEnc(params,ID_B,pk_B,SK)を実行し、セッション鍵暗号文C_SK,Bを生成する（Ｓ１３Ａ）。通信端末１３の再暗号化鍵生成部１３５は、グループ情報管理部１３１から、ユーザA、ユーザCの公開鍵pk_A,pk_Cを取得し、鍵記憶部１３２から、自身の秘密鍵sk_Bを取得し、SetRK(params,ID_B,pk_B,sk_B,ID_A,pk_A)と、SetRK(params,ID_B,pk_B,sk_B,ID_C,pk_C)を動作させて、それぞれ再暗号化鍵rk_B→A,rk_B→Cを生成する（Ｓ１３Ｂ）。通信端末１３の送信部１３６は、セッション鍵暗号文C_SK,Bと再暗号化鍵rk_B→A,rk_B→Cをデータ共有サーバ装置１０に送信する（Ｓ１３Ｃ）。

データ共有サーバ装置１０の受信部１０７は、通信端末１３からセッション鍵暗号文C_SK,Bと再暗号化鍵rk_B→A,rk_B→Cを受信する（Ｓ１０Ｃ）。データ共有サーバ装置１０は、セッション鍵暗号文記憶部１０１にセッション鍵暗号文C_SK,Bを記憶し、再暗号化鍵記憶部１０３に再暗号化鍵rk_B→A,rk_B→Cを記憶する。

＜グループのユーザ全員がログアウトした後の再ログイン＞
グループGに所属する全ユーザが当該システムからログアウトしており、その後、グループGに所属するユーザCが通信端末１４を介して通信システム１にログインしたものとする。このとき、グループGの全ユーザがログアウトする直前に共有されていたセッション鍵SKは、通信端末１４で保持されておらず、新しいセッション鍵が生成される。

データ共有サーバ装置１０に記憶されている、グループGで共有される暗号化データはグループGの全ユーザがログアウトする直前に共有されていたセッション鍵SKで暗号化されており、新しいセッション鍵で復号できるように再暗号化するためには、セッション鍵SKを取得しなければならない。セッション鍵SKは、前述した＜セッション鍵の暗号化と再暗号化鍵の生成＞処理によって、ユーザB（通信端末１３）によって暗号化され、データ共有サーバ装置１０のセッション鍵暗号文記憶部１０１に記憶されているものとする。このセッション鍵暗号文をC_SK,Bとする。

まず、通信端末１４は、ユーザCの秘密鍵sk_Cを取得する必要がある。通信端末１４の送信部１４６は、秘密鍵暗号文C_skC要求を送信する（Ｓ１４Ａ）。

データ共有サーバ装置１０の受信部１０７は、通信端末１４から秘密鍵暗号文C_skC要求を受信する（Ｓ１０Ｄ）。データ共有サーバ装置１０の送信部１０６は、秘密鍵暗号文記憶部１０２から、ユーザCの秘密鍵暗号文C_skCを取得し、通信端末１４に秘密鍵暗号文C_skCを送信する（Ｓ１０Ｅ）。

通信端末１４の受信部１４７は、データ共有サーバ装置１０からユーザCの秘密鍵暗号文C_skCを受信する（Ｓ１４Ｂ）。通信端末１４の秘密鍵復号処理部１４４は、ユーザCが通信端末１４を介して当該システムにログインしたときに使用した認証情報、本実施例ではパスワードpwd_Cを用いて、PBE.Dec(pwd_C,Csk_C)を実行し、ユーザCの秘密鍵sk_Cを取得（復号）する（Ｓ１４Ｃ）。通信端末１４は、ユーザCの秘密鍵sk_Cを鍵記憶部１４２に記憶する。次に、通信端末１４の送信部１４６は、再暗号化暗号文C_SK,C要求を送信する（Ｓ１４Ｄ）。

データ共有サーバ装置１０の受信部１０７は、通信端末１４から再暗号化暗号文C_SK,C要求を受信する（Ｓ１０Ｆ）。データ共有サーバ装置１０の再暗号化処理部１０４は、グループGに紐付いて記憶されているセッション鍵暗号文C_SK,Bをセッション鍵暗号文記憶部１０１から取得し、再暗号化鍵記憶部１０３から、再暗号化鍵rk_B→Cを取得し、CLReEnc(params,rk_B→C,C_SK,B)を実行して、再暗号化暗号文C_SK,Cを生成する（Ｓ１０Ｇ）。データ共有サーバ装置１０の送信部１０７は、通信端末１４に再暗号化暗号文C_SK,Cを送信する（Ｓ１０Ｈ）。

通信端末１４の受信部１４７は、データ共有サーバ装置１０から再暗号化暗号文C_SK,Cを受信する（Ｓ１４Ｅ）。通信端末１４のセッション鍵復号処理部１４５は、公開パラメータ記憶部１４３から公開パラメータparamsを取得し、鍵記憶部１４２からユーザCの秘密鍵sk_Cを取得し、CLDec(params,sk_C,C_SK,C)を実行して、セッション鍵SKを取得（復号）する（Ｓ１４Ｆ）。

これにより、通信端末１４は、現在のセッション鍵とあわせて再暗号化鍵を生成でき、その再暗号化鍵をもって、データ共有サーバ装置１０に記憶されている暗号化共有データをデータ共有サーバ装置１０にて再暗号化させ、現在のセッション鍵で復号することができる。なお、データ共有サーバ装置１０と鍵生成サーバ装置１１は、上記の処理を実行している中では、マスター秘密鍵を得ることはあってもユーザの秘密鍵を得ることはないので、セッション鍵暗号文を復号することはできない。結果的に、データ共有サーバ装置１０に記憶されている、グループGで共有される暗号化データの中身をのぞき見ることはできない。したがって、データの共有、セッション鍵の共有すべてにおいてエンドツーエンド暗号化が達成される。

＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバ装置コンピュータの記憶装置に格納しておき、ネットワークを介して、サーバ装置コンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバ装置コンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバ装置コンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバ装置コンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims

データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＡとユーザＢとユーザＣの各々に対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、前記データ共有サーバ装置であって、
前記ユーザＡの前記通信端末から、前記通信端末間で共有され他の装置に知られていないセッション鍵ＳＫの暗号化に用いる公開鍵ｐｋ_Ａを受信し、前記公開鍵ｐｋ_Ａと対になる秘密鍵ｓｋ_Ａの暗号文である秘密鍵暗号文Ｃ_ｓｋＡを受信する受信部と、
前記ユーザＡの前記通信端末に、他の前記通信端末の公開鍵を送信する送信部を含み、
前記受信部は、
前記ユーザＢの前記通信端末から、前記セッション鍵ＳＫの暗号文であるセッション鍵暗号文Ｃ_ＳＫ，Ｂと、前記ユーザＢの前記通信端末の前記公開鍵ｐｋ_Ｂと前記秘密鍵ｓｋ_Ｂ、および前記ユーザＣの前記通信端末の前記公開鍵ｐｋ_Ｃを用いて生成される再暗号化鍵ｒｋ_Ｂ→Ｃ、すなわち（Ｃ_ＳＫ，Ｂ，ｒｋ_Ｂ→Ｃ）を受信し、
前記送信部は、
前記ユーザＣの前記通信端末の要求に応じて、前記ユーザＣの前記通信端末の前記秘密鍵暗号文Ｃ_ｓｋＣを送信し、
前記ユーザＣの前記通信端末の要求に応じて、前記再暗号化鍵ｒｋ_Ｂ→Ｃ、前記セッション鍵暗号文Ｃ_ＳＫ，Ｂを用いて、前記ユーザＣの前記秘密鍵ｓｋ_Ｃで前記セッション鍵ＳＫを復号可能な再暗号化暗号文Ｃ_ＳＫ，Ｃを生成する再暗号化処理部を含み、
前記送信部は、
前記再暗号化暗号文Ｃ_ＳＫ，Ｃを前記ユーザＣの前記通信端末に送信する
データ共有サーバ装置。
データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＡに対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、前記鍵生成サーバ装置であって、
所定のセキュリティパラメータｋを用いて、公開パラメータｐａｒａｍｓと、マスター秘密鍵ｍｓｋを生成する暗号セットアップ処理部と、
前記公開パラメータｐａｒａｍｓを前記通信システムにログインした前記通信端末に送信する送信部と、
前記ユーザＡの前記通信端末の識別子ＩＤ_Ａを受信する受信部と、
前記公開パラメータｐａｒａｍｓと、前記マスター秘密鍵ｍｓｋと、前記識別子ＩＤ_Ａを用いて、前記ユーザＡの前記通信端末の部分秘密鍵ｐｓｋ_Ａ、すなわち、前記公開パラメータｐａｒａｍｓおよび前記識別子ＩＤ_Ａと共に用いることで、前記通信端末間で共有され他の装置に知られていないセッション鍵ＳＫの暗号化に用いる公開鍵ｐｋ_Ａおよび対になる秘密鍵ｓｋ_Ａを生成できる前記部分秘密鍵ｐｓｋ_Ａ、を生成する部分秘密鍵生成部を含み、
前記送信部は、
前記ユーザＡの前記通信端末に、前記部分秘密鍵ｐｓｋ_Ａを送信する
鍵生成サーバ装置。
データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＡに対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、前記ユーザＡの前記通信端末であって、
前記ユーザＡの前記通信端末の識別子ＩＤ_Ａを前記鍵生成サーバ装置に送信する送信部と、
前記鍵生成サーバ装置から、公開パラメータｐａｒａｍｓと、部分秘密鍵ｐｓｋ_Ａを受信する受信部と、
前記公開パラメータｐａｒａｍｓと、前記識別子ＩＤ_Ａを用いて、秘密値ｓｖ_Ａを生成する秘密値生成部と、
前記公開パラメータｐａｒａｍｓと、前記秘密値ｓｖ_Ａを用いて、前記通信端末間で共有され他の装置に知られていないセッション鍵ＳＫの暗号化に用いる公開鍵ｐｋ_Ａを生成する公開鍵生成部と、
前記公開パラメータｐａｒａｍｓと、前記部分秘密鍵ｐｓｋ_Ａと、前記秘密値ｓｖ_Ａを用いて、前記公開鍵ｐｋ_Ａと対になる秘密鍵ｓｋ_Ａを生成する秘密鍵生成部と、
前記秘密鍵ｓｋ_Ａの暗号文である秘密鍵暗号文Ｃ_ｓｋＡを生成する秘密鍵暗号化処理部を含み、
前記送信部は、
前記公開鍵ｐｋ_Ａと、前記秘密鍵暗号文Ｃ_ｓｋＡを前記データ共有サーバ装置に送信し、
前記受信部は、
他の前記通信端末の前記公開鍵を受信する
通信端末。
データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＢに対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、前記ユーザＢの前記通信端末であって、
前記鍵生成サーバ装置から送信された公開パラメータｐａｒａｍｓと、前記ユーザＢの前記通信端末の識別子ＩＤ_Ｂと、前記ユーザＢの前記通信端末の公開鍵ｐｋ_Ｂを用いて、前記通信端末間で共有され他の装置に知られていないセッション鍵ＳＫの暗号文であるセッション鍵暗号文Ｃ_ＳＫ，Ｂを生成するセッション鍵暗号化処理部と、
前記公開鍵ｐｋ_Ｂ、前記公開鍵ｐｋ_Ｂと対になる秘密鍵ｓｋ_Ｂ、および他の前記通信端末の前記公開鍵を用いて再暗号化鍵を生成する再暗号化鍵生成部と、
前記セッション鍵暗号文Ｃ_ＳＫ，Ｂと、前記再暗号化鍵を、前記データ共有サーバ装置に送信する送信部を含む
通信端末。
データ共有サーバ装置と、鍵生成サーバ装置と、少なくともユーザＢとユーザＣの各々に対応する通信端末を含む複数の通信端末と、を含む通信システムにおける、前記ユーザＣの前記通信端末であって、
前記データ共有サーバ装置から、前記ユーザＣの前記通信端末の秘密鍵ｓｋ_Ｃの暗号文である秘密鍵暗号文Ｃ_ｓｋＣを受信する受信部と、
前記ユーザＣの認証情報を用いて、前記秘密鍵暗号文Ｃ_ｓｋＣから、前記秘密鍵ｓｋ_Ｃを復号する秘密鍵復号処理部を含み、
前記受信部は、
前記ユーザＢの前記通信端末の公開鍵ｐｋ_Ｂと前記秘密鍵ｓｋ_Ｂ、および前記ユーザＣの前記通信端末の前記公開鍵ｐｋ_Ｃを用いて生成される再暗号化鍵ｒｋ_Ｂ→Ｃ、前記秘密鍵ｓｋ_Ｂでセッション鍵ＳＫを復号可能な暗号文であるセッション鍵暗号文Ｃ_ＳＫ，Ｂ、すなわち（ｒｋ_Ｂ→Ｃ，Ｃ_ＳＫ，Ｂ）を用いて生成される再暗号化暗号文Ｃ_ＳＫ，Ｃであって、前記秘密鍵ｓｋ_Ｃで前記セッション鍵ＳＫを復号可能な前記再暗号化暗号文Ｃ_ＳＫ，Ｃを受信し、
前記秘密鍵ｓｋ_Ｃを用いて、前記再暗号化暗号文Ｃ_ＳＫ，Ｃから、前記セッション鍵ＳＫであって、前記通信端末間で共有され他の装置に知られていない前記セッション鍵ＳＫを復号するセッション鍵復号処理部を含む
通信端末。
コンピュータを請求項１に記載のデータ共有サーバ装置として機能させるプログラム。
コンピュータを請求項２に記載の鍵生成サーバ装置として機能させるプログラム。
コンピュータを請求項３から５の何れかに記載の通信端末として機能させるプログラム。