JP4284867B2

JP4284867B2 - 標準モデル上で適応的選択暗号文攻撃に対して安全な公開鍵暗号方法

Info

Publication number: JP4284867B2
Application number: JP2001009646A
Authority: JP
Inventors: 玄次西岡; 尚宜佐藤; 洋一瀬戸
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2001-01-18
Filing date: 2001-01-18
Publication date: 2009-06-24
Anticipated expiration: 2021-01-18
Also published as: JP2002215019A; US20020146117A1

Description

【０００１】
【発明の属する技術分野】
本発明は，公開鍵暗号方法及び公開鍵暗号を用いた暗号通信に関する。
【０００２】
【従来の技術】
現在まで，様々な公開鍵暗号方式が提案されている。なかでも，
文献1「R. L. Rivest, A. Shamir, L. Adleman: A method for obtaining digital signatures and public-key cryptosystems, Commun. of the ACM, Vol.21, No.2, pp.120-126, 1978.」
に掲載されている方法が最も有名であり，最も実用化されている公開鍵暗号でる。その他には，
文献2「V. S. Miller: Use of Elliptic Curves in Cryptography, Proc. of Crypto'85, LNCS218, Springer-Verlag, pp.417-426 (1985)」，
文献3「N. Koblitz: Elliptic Curve Cryptosystems, Math. Comp., 48, 177, pp.203-209 (1987)」
等に記載の楕円曲線を用いた方法が効率的な公開鍵暗号として知られている。
【０００３】
安全性について証明可能な方法として，まず，選択平文攻撃を対象としたものは，
文献4「M. O. Rabin: Digital Signatures and Public-Key Encryptions as Intractable as Factorization, MIT, Technical Report, MIT/LCS/TR-212 (1979)」
に記載されている暗号方法，
文献5「T. ElGamal: A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms, IEEE Trans. On Information Theory, IT-31, 4, pp.469-472(1985)」
に記載されている暗号方法，
文献6「S. Goldwasser and S. Micali: Probabilistic Encryption, JCSS, 28, 2, pp.270-299 (1984) 」に記載されている暗号方法，
文献7「M. Blum and S. Goldwasser: An Efficient probabilistic public-key encryption scheme which hides all partial information, Proc. of Crypto'84, LNCS196, Springer-Verlag, pp.289-299 (1985)」
に記載されている暗号方法，
文献8「S. Goldwasser and M. Bellare: Lecture Notes on Cryptography, http:/www-cse.ucsd.edu/users/ mihir/ (1997)」
に記載されている暗号方法，
文献9「T. Okamoto and S. Uchiyama. A New Public-Key Cryptosystem as Secure as Factoring, Proc. of Eurocrypt'98, LNCS1403, Springer Verlag, pp.308-318 (1998)」
に記載されている暗号方法，
などが知られている。
【０００４】
また，選択暗号文攻撃に対して安全性証明可能な方法としては，
文献10「D. Dolve, C. Dwork and M. Naor.: Non-malleable cryptography, In 23^rd Annual ACM Symposium on Theory of Computing, pp.542-552 (1991)」
に記載されている暗号方法，
文献11「M. Naor and M. Yung.: Public-key cryptosystems provably secure against chosen ciphertext attacks, Proc. of STOC, ACM Press, pp.427-437 (1990)」
に記載されている暗号方法，
文献12「M. Bellare and P. Rogaway,. Optimal Asymmetric Encryption How to Encrypt with RSA, Proc. of Eurocrypt'94, LNCS950, Springer Verlag, pp.92-111 (1994)」
に記載されている暗号方法，
文献13「R. Cramer and V. Shoup: A Practical Public Key Cryptosystem Provably Secure against Adaptive Chosen Ciphertext Attack, Proc. of Crypto98, LNCS1462, Springer-Verlag, pp.13-25 (1998)」
に記載されている暗号方法，などが知られている。また，
文献14「M. Bellare, A. Desai, D. Pointcheval and P. Rogaway. : Relations Among Notions of Security for Public-Key Encryption Schemes, Proc. of Crypto'98, LNCS1462, Springer Verlag, pp.26-45 (1998)」
では，IND-CCA2（適応的選択暗号文攻撃に対して“強秘匿”であること）とNM-CCA2（適応的選択暗号文攻撃に対して“頑強”であること）の等価性が示され，現在，この条件を満たす公開鍵暗号が最も安全であると考えられている。
【０００５】
【発明が解決しようとする課題】
文献12に記載されている公開鍵暗号方法は，実用的ではあるが，理想的ランダム関数の存在を前提として安全性の証明が行われている。理想的ランダム関数を実システムにおいて構築することは不可能なため，文献12の方法を実システムに適用する場合には，理想的ランダム関数の部分は実用的ハッシュ関数に置き換えられる。このため，実システムでは安全性の証明ができない。
【０００６】
文献13では，理想的ランダム関数の代わりに汎用一方向性ハッシュ関数の存在を前提としてIND-CCA2であることが証明できる公開鍵暗号方法を提供している。汎用一方向性ハッシュ関数は（暗号学的仮定の下で）実際に構築可能なので，文献13に記載されている方法は標準モデル上で安全性が証明できる方法である。しかし，実システムに適用する場合，効率性を高める目的で，SHA-1などの実用的なハッシュ関数を汎用的ハッシュ関数と仮定して用いるため，安全性証明可能の条件に強い仮定が必要になる。また，文献13では，汎用的一方向性ハッシュ関数の存在を前提としない公開鍵暗号方法も提案されているが，汎用的一方向性ハッシュ関数の存在を前提とする方法に比べて効率性が悪くなる。
【０００７】
本発明の主たる目的は，標準モデル（理想的関数の存在等を仮定しない現実の計算機モデル）で，最も強力な攻撃方法である適応的選択暗号文攻撃に対して安全性の証明が可能であり（IND-CCA2），かつ，実用的な公開鍵暗号方法を提供することである。
【０００８】
本発明の他の目的は，Diffe-Hellman 決定問題の困難性のみを仮定し，実システムに適用した場合においても，安全性の証明が可能な実用的公開鍵暗号方法を提供することである。
【０００９】
また，本発明の他の目的は，本発明に依る公開鍵暗号方法を用いた暗号通信方法，さらには，これらの方法を実行するプログラム，装置またはシステムを提供することである。
【００１０】
【課題を解決するための手段】
上記目的を達成するための手段として，適応的選択暗号文攻撃に対しての安全性を確保するため，不正な暗号文が（シミュレートされた）復号化オラクルに入力された場合には拒否されるように，平文と乱数を組み合わせて暗号文を作成する。復号化オラクルが与えられた環境とは，ターゲットとなる暗号文以外の任意の暗号文に対して，その復号化結果を無条件に得られる環境を指す。具体的な実現方法の１つとしては，
[鍵生成]
【００１１】
【数６９】

【００１２】
なる秘密鍵を作成し，さらに，
【００１３】
【数７０】

【００１４】
なる公開鍵を作成する。
[暗号化]
送信者は，平文m（|m|=k₃，但し|x|はｘの桁数を表す）に対して，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂）を作成し，
【００１５】
【数７１】

【００１６】
を計算する。さらに，乱数 r∈Zqを選び，
【００１７】
【数７２】

【００１８】
を計算し，(u₁,u₂,e,v)を暗号文として前記受信者に送信する。
[復号化]
受信者は，自身の秘密鍵を用いて，暗号文から，
【００１９】
【数７３】

【００２０】
なる α'₁，α'₂，m'（|α'₁|=k₁，|α'₂|=k₂，|m'|=k₃）を計算し，
【００２１】
【数７４】

【００２２】
が成立すればm'を復号化結果として出力し（但し，α'＝α'₁||α'₂），成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【００２３】
【発明の実施の形態】
暗号化装置，復号化装置が新規，図４が無い，図が少ない
以下，図面を用いて，本発明の実施例について説明する。
【００２４】
図１は，本発明の実施例のシステム構成を示す図である。このシステムは，送信者側装置100と受信者側装置200から構成されている。さらに，送信者側装置100と受信者側装置200は通信回線300で接続されている。
【００２５】
図２は，実施例における送信者側装置100の内部構成を示す。送信者側装置100は，乱数生成手段101，べき乗算手段102，演算手段103，剰余演算手段104，メモリ105，通信装置106，入力装置107，暗号化装置108を備えている。暗号化対象となる平文mは，入力装置107を用いて入力するか，送信者側装置100上で作成するか，または，通信装置106あるいは図示していない記憶媒体を介して取り込む。
【００２６】
図３は，実施例における受信者側装置200の内部構成を示す。受信者側装置200は，鍵生成手段201，べき乗算手段202，剰余演算手段203，演算手段204，メモリ205，通信装置206，復号化装置108，を備えている。このほか，図示していないが，復号化結果を，表示，音などの手段により当該装置の使用者（受信者）に示すための出力装置を備える。
【００２７】
送信者側装置100，受信者側装置200は，いずれもCPUとメモリとを備えた計算機を用いて所定のプログラムを実行させることにより構成することができる。乱数生成手段101，鍵生成手段201，べき乗算手段202，剰余演算手段203はいずれも専用のハードウェアを用いて構成しても良いし，演算手段上(CPU)上で動作するプログラムとして構成しても良い。各プログラムは，可搬型記憶媒体や通信回線上の通信媒体といった計算機が読みとり可能な媒体上に具現化され，これらの媒体を介して計算機のメモリに格納される。
【００２８】
図４は，実施例２の概要を示す図である。
【００２９】
図５は，実施例４の概要を示す図である。
【００３０】
図６は，実施例６の概要を示す図である。
（実施例１）
本実施例は，公開鍵暗号方法について説明する。
【００３１】
図１は，本実施例のシステム構成を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【００３２】
【数７５】

【００３３】
なる秘密情報を作成し，
【００３４】
【数７６】

【００３５】
なる公開情報を作成し（但し，群Ｇは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，
【００３６】
【数７７】

【００３７】
を満たすものとする。また，Mは平文空間とする)，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，平文m（m∈M）に対して，乱数生成手段101を用いて，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【００３８】
【数７８】

【００３９】
を計算する（但し，α＝α₁||α₂）。さらに，送信者側装置100は，送信者Ａの操作により，(u₁,u₂,e,v)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【００４０】
【数７９】

【００４１】
なる α'₁，α'₂，m'（α'₁∈X₁，α'₂∈Ｘ₂，m'∈M）を計算し，
【００４２】
【数８０】

【００４３】
が成立すればm'を復号化結果として出力し（但し，α'＝α'₁||α'₂），成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【００４４】
本実施例による方法では，GにおけるDiffie-Hellman 決定問題の困難性を前提として，適応的選択暗号文攻撃に対して強秘匿であることを示すことができる。GにおけるDiffie-Hellman 決定問題とは，「g₁,g₂∈Gに対して，
【００４５】
【数８１】

【００４６】
のいずれかの集合に属するシーケンスδが与えられたとき，δがいずれに属するかを言い当てる問題」である。Diffie-Hellman 決定問題を1/2よりも良い確率で解くことが難しいとき，Diffie-Hellman 決定問題は困難であると言う（Diffie-Hellman 決定問題については，文献13等に述べられている）。
安全性の証明方法の手順としては，本実施例の方法を破るアルゴリズムが存在すれば，そのアルゴリズムを利用して，（具体的には，文献12で述べられている方法と同様の方法にて），Diffie-Hellman 決定問題を解くアルゴリズムを構築することができることを示す。
また，Diffie-Hellman 決定問題を解くアルゴリズムが存在したとしても，本実施例の方法を破るアルゴリズムは見つかっていないため，本実施例の方法を破る事は少なくともDiffie-Hellman 決定問題を解く以上に困難である。
【００４７】
さらに，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，
【００４８】
【数８２】

【００４９】
を前もって計算して保存しておくことが可能である。これにより，暗号化処理の負担を大幅に減らし処理時間を短縮することが可能になる。
（実施例２）
本実施例は，実施例１における公開鍵暗号方法の実現方法の１つについて述べる。
【００５０】
図１は，本実施例のシステム構成を示す。図４は本実施例の概要を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【００５１】
【数８３】

【００５２】
なる秘密情報を作成し，
【００５３】
【数８４】

【００５４】
なる公開情報を作成し，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，平文m（|m|=k₃，但し|x|はｘの桁数を表す）に対して，乱数生成手段101を用いて，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂）を選び，
【００５５】
【数８５】

【００５６】
を計算し，さらに，乱数生成手段101を用いて，乱数 r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【００５７】
【数８６】

【００５８】
を計算する。さらに，送信者側装置100は，送信者Ａの操作により，(u₁,u₂,e,v)を暗号文として，通信装置106を用いて通信回線300を介して受信者Ｂの受信者側装置200に送信する。
【００５９】
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【００６０】
【数８７】

【００６１】
なる α'₁，α'₂，m'（|α'₁|=k₁，|α'₂|=k₂，|m'|=k₃）を計算し，
【００６２】
【数８８】

【００６３】
が成立すればm' を復号結果として出力し（但し，α'＝α'₁||α'₂），成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【００６４】
本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，
【００６５】
【数８９】

【００６６】
を前もって計算して保存しておくことで，暗号化処理負担を大幅に減少させることが可能である。
（実施例３）
本実施例は，共通鍵暗号（対称型暗号）を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号化し、暗号化鍵を実施例１で述べた公開鍵暗号により暗号化して鍵配送する場合について説明する。
【００６７】
図１は，本実施例のシステム構成を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【００６８】
【数９０】

【００６９】
なる秘密情報を作成し，
【００７０】
【数９１】

【００７１】
なる公開情報を作成し（但し，群Ｇは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，
【００７２】
【数９２】

【００７３】
を満たすものとする。また，Mは鍵空間とする)，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，鍵データK（K∈M）に対して，乱数生成手段101を用いて，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【００７４】
【数９３】

【００７５】
を計算し（但し，α＝α₁||α₂），送信データmの暗号文Cを（対称型）暗号化関数Eとその鍵データＫを用いて，
【００７６】
【数９４】

【００７７】
にて作成する。さらに，送信者側装置100は，送信者Ａの操作により，(u₁,u₂,e,v,C)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【００７８】
【数９５】

【００７９】
なる α'₁，α'₂，K'（α'₁∈X₁，α'₂∈Ｘ₂，K'∈M）を計算し，
【００８０】
【数９６】

【００８１】
が成立すれば（但し，α'＝α'₁||α'₂），
【００８２】
【数９７】

【００８３】
にて復号化を行い，復号化結果を出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【００８４】
暗号文Cの別なる作成方法としては，該送信者は，暗号文Cを（対称型）暗号化関数Eとその鍵データＫを用いて，
【００８５】
【数９８】

【００８６】
にて作成し，該受信者は，
【００８７】
【数９９】

【００８８】
が成立することを検査し（但し，[x]^kはxの上位k桁を表す。），検査をパスした場合に
【００８９】
【数１００】

【００９０】
により，復号化を行う。但し，[x]^-kはxの上位k桁を除いた整数列を表す。
【００９１】
さらに，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，
【００９２】
【数１０１】

【００９３】
を前もって計算して保存しておくことが可能である。これにより，暗号化処理の負担を大幅に減らし処理時間を短縮することが可能になる。
（実施例４）
本実施例は，共通鍵暗号（対称型暗号）を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号化し、暗号化鍵を実施例２で述べた公開鍵暗号により暗号化して鍵配送する場合について説明する。
【００９４】
図１は，本実施例のシステム構成を示す。また，図５は，本実施例の概要を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【００９５】
【数１０２】

【００９６】
なる秘密情報を作成し，
【００９７】
【数１０３】

【００９８】
なる公開情報を作成し，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，鍵データK（|K|=k₃，但し|x|はｘの桁数を表す。）に対して，乱数生成手段101を用いて，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂）を選び，
【００９９】
【数１０４】

【０１００】
を計算し，さらに，乱数生成手段101を用いて，乱数 r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【０１０１】
【数１０５】

【０１０２】
を計算する。さらに，送信者側装置100は，送信者Ａの操作により，送信データmの暗号文Cを（対称型）暗号化関数Eとその鍵データＫを用いて，
【０１０３】
【数１０６】

【０１０４】
にて作成し，(u₁,u₂,e,v,C)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【０１０５】
【数１０７】

【０１０６】
なる α'₁，α'₂，K'（|α'₁|=k₁，|α'₂|=k₂，|K'|=k₃）を計算し，
【０１０７】
【数１０８】

【０１０８】
が成立すれば（但し，α'＝α'₁||α'₂），
【０１０９】
【数１０９】

【０１１０】
にて復号化を行い，復号化結果を出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【０１１１】
暗号文Cの別なる作成方法としては，送信者は，暗号文Cを（対称型）暗号化関数Eとその鍵データＫを用いて，
【０１１２】
【数１１０】

【０１１３】
にて作成し，該受信者は，
【０１１４】
【数１１１】

【０１１５】
が成立することを検査し，検査をパスした場合に
【０１１６】
【数１１２】

【０１１７】
により復号化を行う。但し，[x]^-kはxの上位k桁を除いた整数列を表す。
【０１１８】
本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，
【０１１９】
【数１１３】

【０１２０】
を前もって計算して保存しておくことで，暗号化処理負担を大幅に減少させることが可能である。
（実施例５）
本実施例は，実施例１で述べた公開鍵暗号をベースに対称型暗号を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号通信によって送信する場合について説明する。本実施例によれば，実施例３の方法に比べて効率性に優れ，対称型暗号が選択平文攻撃に対して頑強（IND-CPA）であるとき，最強暗号（NM-CCA2）であることが証明できる。また，本実施例による方式では，鍵Ｋ自身を送信するのではなく，各々が作成できるようにシードを共有させている。
【０１２１】
図１は，本実施例のシステム構成を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【０１２２】
【数１１４】

【０１２３】
なる秘密情報を作成し，
【０１２４】
【数１１５】

【０１２５】
なる公開情報を作成し（但し，群Ｇは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，
【０１２６】
【数１１６】

【０１２７】
を満たすものとする。），公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，送信データm（m∈M，Mは平文空間）に対して，乱数生成手段101を用いて，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【０１２８】
【数１１７】

【０１２９】
を計算し（但し，α＝α₁||α₂），送信データmの暗号文Cを（対称型）暗号化関数Eを用いて，
【０１３０】
【数１１８】

【０１３１】
にて作成する。さらに，送信者側装置100は，送信者Ａの操作により，(u₁,u₂, ,v,C)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて，
【０１３２】
【数１１９】

【０１３３】
を計算し，さらに暗号文から，
【０１３４】
【数１２０】

【０１３５】
なる α'₁，α'₂（α'₁∈X₁，α'₂∈Ｘ₂）を計算し，
【０１３６】
【数１２１】

【０１３７】
が成立すれば（但し，α'＝α'₁||α'₂），
m'を復号化結果を出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【０１３８】
さらに，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，u₁,u₂, ,vを前もって計算して保存しておくことが可能である。これにより，暗号化処理の負担を大幅に減らし処理時間を短縮することが可能になる。
（実施例６）
本実施例は，実施例２で述べた公開鍵暗号をベースに対称型暗号を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号通信によって送信する場合について説明する。
【０１３９】
図１は，本実施例のシステム構成を示す。また，図６は，本実施例の概要を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【０１４０】
【数１２２】

【０１４１】
なる秘密情報を作成し，
【０１４２】
【数１２３】

【０１４３】
なる公開情報を作成し，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
送信者側装置100は，送信者Ａの操作により，平文mに対して，乱数生成手段101を用いて，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂，但し|x|はｘの桁数を表す）を選び，さらに，乱数生成手段101を用いて，乱数 r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【０１４４】
【数１２４】

【０１４５】
を計算する。さらに，送信者側装置100は，送信者Ａの操作により，送信データmの暗号文Cを（対称型）暗号化関数Eを用いて，
【０１４６】
【数１２５】

【０１４７】
にて作成し，(u₁,u₂, ,v,C)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
【０１４８】
受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて，
【０１４９】
【数１２６】

【０１５０】
を計算し，さらに暗号文から，
【０１５１】
【数１２７】

【０１５２】
なる α'₁，α'₂（|α'₁|=k₁，|α'₂|=k₂）を計算し，
【０１５３】
【数１２８】

【０１５４】
が成立すれば（但し，α'＝α'₁||α'₂），
m'を復号化結果として出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。
【０１５５】
さらに，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁，α₂(|α₁|=k₁,|α₂|=k₂)，r∈Zqを選び，u₁,u₂, ,vを前もって計算して保存しておくことが可能である。これにより，暗号化処理の負担を大幅に減らし処理時間を短縮することが可能になる。
（実施例７）
本実施例は，実施例１で述べた公開鍵暗号と他の非対称型暗号を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号通信によって送信する場合について説明する。本実施例によれば，他の弱い非対称型暗号（NM-CPA）を最強暗号（NM-CCA2）に変換することができる。
【０１５６】
図１は，本実施例のシステム構成を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【０１５７】
【数１２９】

【０１５８】
なる秘密情報を作成し，
【０１５９】
【数１３０】

【０１６０】
なる公開情報を作成し（但し，群Gは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，
【０１６１】
【数１３１】

を満たすものとする。Mは平文空間），公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
（１）送信者側装置100は，送信者Ａの操作により，乱数生成手段101を用いて，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【０１６２】
【数１３２】

【０１６３】
を計算し（但し，α＝α₁||α₂），送信データmの暗号文Cを（非対称型）暗号化関数E_pkを用いて，
【０１６４】
【数１３３】

にて作成する。さらに，送信者側装置100は，送信者Ａの操作により，(u₁,u₂,e,v)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
（２）受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【０１６５】
【数１３４】

【０１６６】
なる α'₁，α'₂，ｍ'（α'₁∈X₁，α'₂∈Ｘ₂，m'∈Ｍ）を計算し，
【０１６７】
【数１３５】

【０１６８】
が成立すれば（但し，
【０１６９】
【数１３６】

【０１７０】
とする）m'を復号化結果として出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。さらに，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，u₁,u₂,vを前もって計算して保存しておくことが可能である。これにより，暗号化処理の負担を大幅に減らし処理時間を短縮することが可能になる。
（実施例８）
本実施例は，実施例７と同様に，実施例２で述べた公開鍵暗号をベースに非対称型暗号を用いて，メッセージの送信者であるＡが受信者であるＢに対して，送信データmを暗号通信によって送信する場合について説明する。
【０１７１】
図１は，本実施例のシステム構成を示す。また，図６は，本実施例の概要を示す。
１．鍵生成処理
受信者側装置200内の鍵生成手段201は，受信者Ｂの操作により，予め，
【０１７２】
【数１３７】

【０１７３】
なる秘密情報を作成し，
【０１７４】
【数１３８】

【０１７５】
なる公開情報を作成し，公開情報を通信回線300などを介して出力し，送信者側装置100へ送付するか，または公開する。公開する方法として，例えば第３者（公開情報管理機関）への登録など，周知の方法を用いることが可能である。その他の情報については，メモリ205に格納する。
２．暗復号化処理
送信者側装置100は，送信者Ａの操作により，乱数生成手段101を用いて，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂，但し|x|はｘの桁数を表す）を選び，さらに，乱数生成手段101を用いて，乱数 r∈Zqを選び，べき乗算手段102，演算手段103，剰余演算手段104を用いて，
【０１７６】
【数１３９】

【０１７７】
を計算する。さらに，送信者側装置100は，送信者Ａの操作により，送信データm（正整数）の暗号文Cを（非対称型）暗号化関数Eを用いて，
【０１７８】
【数１４０】

【０１７９】
にて作成し，(u₁,u₂,e,v)を暗号文として，通信装置106を用いて通信回線300を介して受信者側装置200に送信する。
【０１８０】
受信者側装置200は，受信者Ｂの操作により，保持している上記秘密情報と，受信者側装置200内のべき乗算手段202，剰余演算手段203，演算手段204を用いて暗号文から，
【０１８１】
【数１４１】

【０１８２】
なる α'₁，α'₂，m'（|α'₁|=k₁，|α'₂|=k₂，m'は正整数）を計算し，
【０１８３】
【数１４２】

【０１８４】
が成立すれば（但し，
【０１８５】
【数１４３】

【０１８６】
とする），m'を復号化結果として出力する。成立しなければ該暗号文を拒否する旨を復号化結果として出力する。また，本実施例による方法では，送信者側装置100は，送信者Ａの操作により暗号文を作成するに当たり，予め乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，u₁,u₂,vを前もって計算して保存しておくことで，暗号化処理負担を大幅に減少させることが可能である。
【０１８７】
以上，各実施例では，送信者と受信者が各々の装置を利用して暗号通信を行うという一般形で述べたが，具体的には様々なシステムに適用される。
【０１８８】
例えば，電子ショッピングシステムでは，送信者はユーザであり，送信者側装置はパソコンなどの計算機であり，受信者は小売店またはその従業者，受信者側装置は小売店側装置，具体的には当該店舗におけるパソコンなどの計算機となる。このとき，ユーザが注文した商品等の注文書または注文書を暗号化した鍵は，本実施例による方法により暗号化されて小売店側装置に送信される。
【０１８９】
また，電子メール暗号化システムでは，各々の装置はパソコンなどの計算機であり，送信者のメッセージまたはメッセージを暗号化した鍵は，本実施例による方法により暗号化されて受信者の計算機に送信される。
【０１９０】
その他にも，従来の暗号化技術が使われている様々なシステムに適用することが可能である。
【０１９１】
したがって，各実施例における平文ｍまたはメッセージｍには，さまざまなディジタル化されたデータ（マルチメディアデータ）を適用することができる。
【０１９２】
なお，本実施例における各計算は，CPUがメモリ内の各プログラムを実行することにより行われるものとして説明したが，プログラムだけではなく，いずれかがハードウェア化された演算装置であって，他の演算装置や，CPUと，データのやりとりを行うものであっても良い。
【０１９３】
【発明の効果】
本発明の公開鍵暗号方法により，最も強力な攻撃法である適応的選択暗号文攻撃に対して安全であることが保証された効率的な暗号通信と，その応用装置，システムを実現することができる。
【図面の簡単な説明】
【図１】本発明の実施例のシステム構成を示す図である。
【図２】本発明の実施例における送信者側装置の内部構成を示す図である。
【図３】本発明の実施例における受信者側装置の内部構成を示す図である。
【図４】本発明の実施例２の概要を示す図である。
【図５】本発明の実施例４の概要を示す図である。
【図６】本発明の実施例６の概要を示す図である。
【符号の説明】
１００…送信者側装置，１０１…送信者側装置１００内の乱数生成手段，１０２…送信者側装置１００内のべき乗算手段，１０３…送信者側装置１００内の演算手段，１０４…送信者側装置１００内の剰余演算手段，１０５…送信者側装置１００内のメモリ，１０６…送信者側装置１００内の通信装置，１０７…送信者側装置１００内の入力装置，１０８…送信者側装置１００内の暗号化装置，２００…受信者側装置，２０１…受信者側装置２００内の鍵生成手段，２０２…受信者側装置２００内のべき乗算手段，２０３…受信者側装置２００内の剰余演算手段，２０４…受信者側装置２００内の演算手段，２０５…受信者側装置２００内のメモリ，２０６…受信者側装置２００内の通信装置，２０７…受信者側装置２００内の復号化装置，３００…通信回線。

Claims

送信者側装置が，受信者の公開鍵を用いて送信データを暗号化し，受信者側装置へ送信する公開鍵暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵（但し，群Gは群G'部分群とし，X₁，X₂は正整数からなる有限集合で，

を満たすものとする。また，Mは平文空間とする)とした場合に，
（１）前記送信者側装置は，平文m（m∈M）に対して，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，

を計算し（但し，α＝α₁||α₂），計算結果(u₁,u₂,e,v)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v)から，

なる α'₁，α'₂，m'（α'₁∈X₁，α'₂∈Ｘ₂，m'∈M）を計算し，

が成立すれば， m'を復号化結果とし（但し，α'＝α'₁||α'₂），成立しなければ該暗号文(u ₁ ,u ₂ ,e,v)を拒否する旨を復号化結果として出力する
ことを特徴とする公開鍵暗号通信方法。
送信者側装置が，受信者の公開鍵を用いて送信データを暗号化し，受信者側装置へ送信する公開鍵暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵とした場合に，
（１）前記送信者側装置は，平文m（|m|=k₃，但し|x|はｘの桁数を表す）に対して，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂）を作成し，

を計算し，さらに乱数 r∈Zqを選び，

を計算し，計算結果(u₁,u₂,e,v)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v)から，

なる α'₁，α'₂，m'（|α'₁|=k₁，|α'₂|=k₂，|m'|=k₃）を計算し，

が成立すれば， m' を復号化結果とし（但し，α'＝α'₁||α'₂），成立しなければ該暗号文(u ₁ ,u ₂ ,e,v)を拒否する旨を復号化結果として出力する
ことを特徴とする公開鍵暗号通信方法。
請求項２に記載の公開鍵暗号通信方法において，
該送信者側装置は該暗号文を作成するに当たり，予め，乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，

を計算し，保存しておく
ことを特徴とする公開鍵暗号通信方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵（但し，群Gは群G'の部分群とし， X₁，X₂は正整数からなる有限集合で，

を満たすものとする。また，Mは鍵空間とする)とした場合に，
（１）前記送信者側装置は，鍵データK（K∈M）に対して，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，

を計算し（但し，α＝α₁||α₂），さらに，送信データmについて，

を計算し，計算結果(u₁, u₂, e, v, C)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v,C)から，

なるα'₁，α'₂，K'（α'₁∈X₁，α'₂∈Ｘ₂，K'∈M）を計算し，

が成立すれば（但し，α'＝α'₁||α'₂），

を計算することにより，前記暗号文(u ₁ ,u ₂ ,e,v,C)の復号化結果を出力し，成立しなければ該暗号文(u ₁ ,u ₂ ,e,v,C)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
請求項４に記載の暗号通信方法において，
該送信者側装置は，

を計算（但し，ｆはｋビットの値を出力する公開された関数）し，
該受信者側装置は，

が成立することを検査し（但し，[x]^kはxの上位kビットを表す），検査をパスした場合に

を計算し，ｍを復号化結果（但し，[x]^-k は x の上位kビットを除いたビット列を表す）として出力する
ことを特徴とする公開鍵暗号方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵とした場合に，
前記送信者側装置は鍵データK（|K|=k₃，但し|x|はｘの桁数を表す）に対して，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂）を作成し，

を計算し，さらに乱数 r∈Zqを選び，

を計算し，さらに，送信データについて，

を計算し，計算結果(u₁,u₂,e,v,C)を暗号文として前記受信者側装置に送信し，
前記受信者側装置は，該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v,C)から，

なる α'₁，α'₂，K'（|α'₁|=k₁，|α'₂|=k₂，|K'|=k₃）を計算し，

が成立すれば（但し，α'＝α'₁||α'₂），

を計算することにより，前記暗号文(u ₁ ,u ₂ ,e,v,C)の復号化結果を出力し，成立しなければ該暗号文(u ₁ ,u ₂ ,e,v,C)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
請求項６に記載の暗号通信方法において，
該送信者側装置は，

を計算（但し，ｆはｋビットの値を出力する公開された関数）し，
該受信者側装置は，

が成立することを検査し（但し，[x]^kはxの上位kビットを表す），検査をパスした場合に

を計算し，ｍを復号化結果（但し，[x]^-k は x の上位kビットを除いたビット列を表す）として出力する
ことを特徴とする暗号通信方法。
請求項６または７に記載の暗号通信方法において，
該送信者側装置は該暗号文を作成するに当たり，予め，乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，

を計算し，保存しておく
ことを特徴とする暗号通信方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵（但し，群Gは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，

を満たすものとする）とした場合に，
（１）前記送信者側装置は，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，

を計算し（但し，α＝α₁||α₂），さらに，送信データmについて，

を計算し，計算結果(u₁,u₂ ,v,C)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，

を計算し，さらに該暗号文(u ₁ ,u ₂ ,v,C)から，

なるα'₁，α'₂（α'₁∈X₁，α'₂∈Ｘ₂）を計算し，

が成立すれば（但し，α'＝α'₁||α'₂），m'を復号化結果として出力し，成立しなければ該暗号文(u ₁ ,u ₂ ,v,C)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵とした場合に，
（１）前記送信者側装置は，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂，但し|x|はｘの桁数を表す）を作成し，
さらに乱数 r∈Zqを選び，

を計算し，さらに，送信データmについて，

を計算し（但し，Ｅは（対称型）暗号化関数），計算結果(u₁,u₂ ,v,C)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，

を計算し，さらに該暗号文(u ₁ ,u ₂ ,v,C)から，

なる α'₁，α'₂（|α'₁|=k₁，|α'₂|=k₂）を計算し，

が成立すれば（但し，α'＝α'₁||α'₂），m'を復号化結果として出力し，成立しなければ該暗号文(u ₁ ,u ₂ ,v,C)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵（但し，群Gは群G'の部分群とし，X₁，X₂は正整数からなる有限集合で，

を満たすものとする。Mは平文空間）とした場合に，
（１）前記送信者側装置は，乱数α₁∈X₁，α₂∈Ｘ₂，r∈Zqを選び，

を計算し（但し，α＝α₁||α₂），

を計算し（但し，ｍは送信データ， E _pk は，非対称型暗号化関数），計算結果(u₁,u₂,e,v)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v)から，

なるα'₁，α'₂，ｍ'（α'₁∈X₁，α'₂∈Ｘ₂，m'∈Ｍ）を計算し，

が成立すれば（但し，

とする）m'を復号化結果とし，成立しなければ該暗号文(u ₁ ,u ₂ ,e,v)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
送信者側装置は，受信者側装置に対して暗号化されたデータを送信する暗号通信方法であって，
前記送信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，乱数生成手段と，通信手段と，を備え，
前記受信者側装置は，演算手段と，べき乗算手段と，剰余演算手段と，メモリ手段と，通信手段と，を備え，

を前記受信者の秘密鍵とし，

を前記受信者の公開鍵とした場合に，
（１）送信者側装置は，乱数α=α₁||α₂（|α₁|=k₁,|α₂|=k₂，但し|x|はｘの桁数を表す）を作成し，さらに乱数 r∈Zqを選び，

を計算し，さらに，送信データm（正整数）について，

を計算し，計算結果(u₁,u₂,e,v)を暗号文として前記受信者側装置に送信し，
（２）前記受信者側装置は，前記受信者の該秘密鍵を用いて，該暗号文(u ₁ ,u ₂ ,e,v)から，

なる α'₁，α'₂，m'（|α'₁|=k₁，|α'₂|=k₂，m'は正整数）を計算し，

が成立すれば（但し，

とする），m'を復号化結果として出力し，成立しなければ該暗号文(u ₁ ,u ₂ ,e,v)を拒否する旨を復号化結果として出力する
ことを特徴とする暗号通信方法。
請求項１１または１２に記載の暗号通信方法において，
前記受信者側装置は，さらに，鍵生成手段を備え，
前記受信者側装置は，前記公開鍵を生成し，公開する
ことを特徴とする暗号通信方法。
請求項１１に記載の暗号通信方法において，
該送信者側装置は該暗号文を作成するに当たり，予め，乱数α₁，α₂（α₁∈X₁,α₂∈X₂），r∈Zqを選び，u₁,u₂,v を計算し，保存しておく
ことを特徴とする暗号通信方法。
請求項１２に記載の暗号通信方法において，
該送信者側装置は該暗号文を作成するに当たり，予め乱数α₁，α₂（|α₁|=k₁,|α₂|=k₂），r∈Zqを選び，u₁,u₂,v を計算し，保存しておく
ことを特徴とする暗号通信方法。