JPWO2015125293A1 - 暗号システム、署名システム、暗号プログラム及び署名プログラム - Google Patents

Abstract

暗号システム（１０）は、基底Ｂ及び基底Ｂ＊を利用し、暗号処理を行う。暗号化装置（２００）は、ｘｉを根とする多項式の係数ｙｊからなる第１ベクトルと、ｖ１のべき乗ｖ１ｉからなる第２ベクトルとの一方のベクトルを用いて生成された送信側ベクトルであって、基底Ｂにおけるベクトルである送信側ベクトルを含む暗号文を生成する。復号装置（３００）は、第１ベクトルと第２ベクトルとの他方のベクトルを用いて生成された受信側ベクトルであって、基底Ｂ＊におけるベクトルである受信側ベクトルを含む復号鍵を用いて、暗号化装置（２００）が生成した暗号文を復号する。

Description

この発明は、関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ，ＦＥ）方式に関するものである。

特許文献１には、関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ，ＦＥ）方式に関する記載がある。

特開２０１２−１３３２１４号公報

Ａｔｔｒａｐａｄｕｎｇ， Ｎ．， Ｌｉｂｅｒｔ， Ｂ．， ｄｅ Ｐａｎａｆｉｅｕ， Ｅ．： Ｅｘｐｒｅｓｓｉｖｅ ｋｅｙ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ−ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔｓ． Ｉｎ： Ｃａｔａｌａｎｏ ｅｔ ａｌ． ［６］， ｐｐ． ９０．１０８ Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ａｃｈｉｅｖｉｎｇ Ｓｈｏｒｔ Ｃｉｐｈｅｒｔｅｘｔｓ ｏｒ Ｓｈｏｒｔ Ｓｅｃｒｅｔ−Ｋｅｙｓ ｆｏｒ Ａｄａｐｔｉｖｅｌｙ Ｓｅｃｕｒｅ Ｇｅｎｅｒａｌ Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ． ＣＡＮＳ ２０１１， ＬＮＣＳ， ｖｏｌ． ７０９２， ｐｐ． １３８−１５９ Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１）． Ｏｋａｍｏｔｏ， Ｔ Ｔａｋａｓｈｉｍａ， Ｋ．：Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｓｉｇｎａｔｕｒｅｓ．ｅＰｒｉｎｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１１／７０１

特許文献１に記載された関数型暗号方式では、属性のカテゴリｔ毎に、暗号文を構成するベクトルあるいは復号鍵を構成するベクトルを生成する必要があり、暗号文のサイズが大きく、復号等にも処理時間がかかる。
この発明は、暗号文、復号鍵、署名等のサイズを小さくすることを目的とする。

この発明に係る暗号システムは、
基底Ｂ及び基底Ｂ^＊を利用し、暗号処理を行う暗号システムであり、
ｘ_ｉを根とする多項式の係数ｙ_ｊからなる第１ベクトルと、ｖ_１のべき乗ｖ_１ ^ｉからなる第２ベクトルとの一方のベクトルを用いて生成された送信側ベクトルであって、前記基底Ｂにおけるベクトルである送信側ベクトルを生成する送信装置と、
前記第１ベクトルと前記第２ベクトルとの他方のベクトルを用いて生成された受信側ベクトルであって、前記基底Ｂ^＊におけるベクトルである受信側ベクトルと、前記送信側ベクトルとについて、ペアリング演算を行う受信装置と
を備えることを特徴とする。

この発明に係る暗号システムは、送信側ベクトルや受信側ベクトルを生成するために用いるベクトルの構成を工夫したことにより、暗号文、復号鍵、署名等のサイズを小さくできる。

行列Ｍ＾の説明図。 行列Ｍ_δの説明図。 ｓ_０の説明図。 ｓ^→Ｔの説明図。 実施の形態１に係るＫＰ−ＡＢＥ方式を実現する暗号システム１０の構成図。 実施の形態１に係る鍵生成装置１００の構成図。 実施の形態１に係る暗号化装置２００の構成図。 実施の形態１に係る復号装置３００の構成図。 実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＣＰ−ＡＢＥ方式を実現する暗号システム１０の構成図。 実施の形態２に係る鍵生成装置１００の構成図。 実施の形態２に係る暗号化装置２００の構成図。 実施の形態２に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＡＢＳ方式を実現する暗号システム１０の構成図。 実施の形態４に係る鍵生成装置１００の構成図。 実施の形態４に係る署名装置４００の構成図。 実施の形態４に係る検証装置５００の構成図。 実施の形態４に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＳｉｇアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＶｅｒアルゴリズムの処理を示すフローチャート。 実施の形態１〜５に示した暗号システム１０の各装置のハードウェア構成の例を示す図。

実施の形態１．
以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、ｙにｚが設定されたこと、ｙがｚにより定義されたこと、又はｙがｚを代入されたことを表す。

ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。

数１０５、つまりＦ_ｑは、位数ｑの有限体を示す。

ベクトル表記は、有限体Ｆ_ｑにおけるベクトル表示を表す。つまり、数１０６である。

数１０７は、数１０８に示す２つのベクトルｘ^→とｖ^→との数１０９に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｅ^→ _ｊは、数１１２に示す正規基底ベクトルを示す。

また、以下の説明において、Ｖｔ，ｎｔ，ｕｔ，ｗｔ，ｚｔ，ｎｕ，ｗｕ，ｚｕが下付き又は上付きで示されている場合、このＶｔ，ｎｔ，ｕｔ，ｗｔ，ｚｔ，ｎｕ，ｗｕ，ｚｕはＶ_ｔ，ｕ_ｔ，ｎ_ｔ，ｗ_ｔ，ｚ_ｔ，ｎ_ｕ，ｗ_ｕ，ｚ_ｕを意味する。同様に、δｉ，ｊが上付きで示されている場合、このδｉ，ｊは、δ_ｉ，ｊを意味する。同様に、φｊが上付きで示されている場合、このφｊは、φ_ｊを意味する。同様に、ｓ０が下付き又は上付きで示されている場合、このｓ０は、ｓ_０を意味する。
また、ベクトルを意味する→が下付き文字又は上付き文字に付されている場合、この→は下付き文字又は上付き文字に上付きで付されていることを意味する。

また、以下の説明において、暗号処理、暗号方式は、情報を第三者から秘匿するための狭義の暗号処理だけでなく、署名処理をも含むものであり、鍵生成処理、暗号化処理、復号処理、署名処理、検証処理を含む。

実施の形態１では、暗号方式を実現する基礎となる概念を説明した上で、実施の形態１に係る暗号方式の構成について説明する。
第１に、暗号方式を実現するための空間である双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）という豊かな数学的構造を有する空間について説明する。
第２に、暗号方式を実現するための概念について説明する。ここでは、スパンプログラム、アクセス構造、秘密分散方式（秘密共有方式）について説明する。
第３に、実施の形態１に係る暗号方式の基本構成について説明する。実施の形態１では、鍵ポリシーの属性ベース暗号（Ｋｅｙ−Ｐｏｌｉｃｙ Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＫＰ−ＡＢＥ）方式について説明する。
第４に、実施の形態１に係る暗号方式を実現する暗号システム１０の基本構成について説明する。
第５に、実施の形態１に係る暗号方式のキーテクニック及び簡略化した暗号方式について説明する。
第６に、実施の形態１に係る暗号方式について詳細に説明する。

＜第１．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ^Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ^Ｔと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１３に示すＦ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１４に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１５によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：ディストーション写像
数１１６に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１７を行うことができる。

ここで、線形変換φ_ｉ，ｊをディストーション写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第２．暗号方式を実現するための概念＞
＜第２−１．スパンプログラム＞
図１は、行列Ｍ＾の説明図である。
｛ｐ_１，．．．，ｐ_ｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各行に付されたラベルであり、｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρ_i（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝である。

全ての入力列δ∈｛０，１｝^ｎに対して、行列Ｍの部分行列Ｍ_δは定義される。行列Ｍ_δは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍ_δは、δ_ｉ＝１であるようなｐ_ｉに対応付けられた行列Ｍの行と、δ_ｉ＝０であるような¬ｐ_ｉに対応付けられた行列Ｍの行とからなる部分行列である。
図２は、行列Ｍ_δの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ_１，．．．，ｐ_７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ_１が¬ｐ_２に、ρ_２がｐ_１に、ρ_３がｐ_４に、ρ_４が¬ｐ_５に、ρ_５が¬ｐ_３に、ρ_６がｐ_５にそれぞれ対応付けられているとする。
ここで、入力列δ∈｛０，１｝^７が、δ_１＝１，δ_２＝０，δ_３＝１，δ_４＝０，δ_５＝０，δ_６＝１，δ_７＝１であるとする。この場合、破線で囲んだリテラル（ｐ_１，ｐ_３，ｐ_６，ｐ_７，¬ｐ_２，¬ｐ_４，¬ｐ_５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍ_δである。つまり、行列Ｍの１行目（Ｍ_１），２行目（Ｍ_２），４行目（Ｍ_４）からなる部分行列が行列Ｍ_δである。

言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐ_ｉ］∧［δ_ｉ＝１］又は［ρ（ｊ）＝¬ｐ_ｉ］∧［δ_ｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍ_δ：＝（Ｍ_ｊ）_{γ（ｊ）＝１}である。ここで、Ｍ_ｊは、行列Ｍのｊ番目の行である。
つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍ_ｊ）_{γ（ｊ）＝１}は、Ｍ_１，Ｍ_２，Ｍ_４であり、行列Ｍ_δである。
すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍ_δに含まれるか否かが決定される。

１^→∈ｓｐａｎ＜Ｍ_δ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍ_δの行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１^→とは、各要素が値“１”である行ベクトルである。
例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍ_δの各行を線形結合して１^→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。

ここで、ラベルρが正のリテラル｛ｐ_１，．．．，ｐ_ｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ_１，．．．，ｐ_ｎ，¬ｐ_１，．．．，¬ｐ_ｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。アクセスストラクチャとは、簡単に言うと暗号へのアクセス制御を行うものである。つまり、暗号文を復号できるか否かの制御を行うものである。
スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する暗号方式の利用範囲が広がる。

＜第２−２．アクセスストラクチャ＞
Ｕ（⊂｛０，１｝^＊）は、全集合（ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕは、属性の値、つまり、ｖ∈Ｆ^Ｘ _ｑ（：＝Ｆ_ｑ＼｛０｝）によって表される。

属性がＭ＾：＝（Ｍ，ρ）における変数ｐになるように定義する。つまり、ｐ：＝ｖである。アクセスストラクチャＳは、変数ｐ：＝ｖ，ｐ’：＝ｖ’，．．．であるスパンプログラムＭ＾：＝（Ｍ，ρ）である。つまり、アクセスストラクチャＳは、ρ：｛１，．．．，Ｌ｝→｛ｖ，ｖ’，．．．，¬ｖ，¬ｖ’，．．．｝であるＳ：＝（Ｍ，ρ）である。

次に、Γを属性の集合とする。つまり、Γ：＝｛ｘ_ｊ｜_{１≦ｊ≦ｎ’}｝である。
アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝ｖ_ｉ］∧［ｖ_ｉ∈Γ］、又は、［ρ（ｉ）＝¬ｖ_ｉ］∧［ｖ_ｉ∈Γ］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。

＜第２−３．秘密分散方式＞
アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８−ｏｕｔ−ｏｆ−１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ−ｏｕｔ−ｏｆ−ｎと呼ぶ。このｔを閾値と呼ぶ。
また、ｄ_１，．．．，ｄ_１０の１０個の分散情報を生成した場合に、ｄ_１，．．．，ｄ_８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ_３，．．．，ｄ_１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。

図３は、ｓ_０の説明図である。図４は、ｓ^→Ｔの説明図である。
行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ^→Ｔを数１１８に示す列ベクトルとする。

数１１９に示すｓ_０を共有される秘密情報とする。

また、数１２０に示すｓ^→Ｔをｓ_０のＬ個の分散情報のベクトルとする。

そして、分散情報ｓ_ｉをρ（ｉ）に属するものとする。

アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{γ（ｉ）＝１}＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）-＝１｝である定数｛α_ｉ∈Ｆ_ｑ｜ｉ∈Ｉ｝が存在する。
これは、図２の例で、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α_１（Ｍ_１）＋α_２（Ｍ_２）＋α_４（Ｍ_４）＝１^→となるα_１，α_２，α_４が存在する。
そして、数１２１である。

なお、定数｛α_ｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。

＜第３．暗号方式（ＫＰ−ＡＢＥ方式）の基本構成＞
ＫＰ−ＡＢＥ方式の構成を簡単に説明する。なお、ＫＰ（鍵ポリシー）とは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。

ＫＰ−ＡＢＥ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、暗号文に対する属性の数の上限ｎとを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター鍵ｓｋと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、復号鍵ｓｋ_Ｓを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージｍと、属性集合Γ：＝｛ｘ_ｊ｝_{１≦ｊ≦ｎ’}とを入力として、暗号文ｃｔ_Γを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第４．暗号システム１０の基本構成＞
ＫＰ−ＡＢＥ方式のアルゴリズムを実現する暗号システム１０について説明する。
図５は、実施の形態１に係るＫＰ−ＡＢＥ方式を実現する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００（送信装置の一例）、復号装置３００（受信装置の一例）を備える。

鍵生成装置１００は、セキュリティパラメータλと暗号文に対する属性の数の上限ｎとを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。
そして、鍵生成装置１００は、公開パラメータｐｋを公開する。また、鍵生成装置１００は、アクセスストラクチャＳを入力としてＫＧアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成して復号装置３００へ秘密裏に送信する。

暗号化装置２００は、公開パラメータｐｋと、メッセージｍと、属性集合Γとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。暗号化装置２００は、暗号文ｃｔ_Γを復号装置３００へ送信する。

復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第５．キーテクニック及び簡略化した暗号方式＞
＜第５−１．エンコーディング＞
特許文献１に記載された関数型暗号方式では、各属性カテゴリに識別子ｔが割り当てられ、識別子ｔ毎に暗号文（あるいは復号鍵）の要素であるベクトルが生成された。
実施の形態１では、属性情報のエンコード方法を工夫することにより、属性カテゴリの識別子ｔをなくし、暗号文の要素であるベクトルを１つにする。

実施の形態１では、属性情報ｘ_ｉを根とする多項式の係数ｙ_ｊからなるベクトルｙ^→：＝（ｙ_１，．．．，ｙ_ｎ）（第１ベクトル）の各要素を基底Ｂの各基底ベクトルの係数に設定して、暗号文の要素である（１つの）ベクトルを生成する。つまり、ｆ（ｚ）＝（ｚ−ｘ_１）（ｚ−ｘ_２）・・・（ｚ−ｘ_ｎ）＝ｙ_１ｚ^ｎ＋・・・＋ｙ_ｎ−１ｚ＋ｙ_ｎであるベクトルｙ^→：＝（ｙ_１，．．．，ｙ_ｎ）を基底Ｂの各基底ベクトルの係数に設定して、暗号文の要素であるベクトルを生成する。

また、ｉ＝１，．．．，Ｌの各整数ｉについて、ｖ_ｉのべき乗ｖ_ｉ ^ｊからなるベクトルｖ_ｉ ^→：＝（ｖ_ｉ ^ｎ−１，．．．，ｖ_ｉ，１）（第２ベクトル）を基底Ｂ^＊の各基底ベクトルの係数に設定して、復号鍵の要素である（１つ以上の）ベクトルを生成する。

これにより、暗号文の要素であるベクトルと、復号鍵の要素であるベクトルとについてペアリング演算を行うと、ｖ_ｉがｆ（ｚ）に代入され、ｖ_ｉがｘ_１，．．．，ｘ_ｎのいずれかと等しければ、ｆ（ｖ_ｉ）＝０となり、ｖ_ｉがｘ_１，．．．，ｘ_ｎのいずれかとも等しくなければ、ｆ（ｖ_ｉ）≠０となるように制御することが可能になる。

＜第５−２．疎行列＞
特許文献１に記載された関数型暗号方式では、双対基底のペアである基底Ｂと基底Ｂ^＊とが生成される。基底Ｂと基底Ｂ^＊とは、ＧＬ（Ｎ，Ｆ_ｑ）から一様に選択された、完全にランダムな線形変換Ｘ（基底変換行列）を用いて生成される。特に、基底Ｂと基底Ｂ^＊とは、それぞれ、線形変換Ｘと、（Ｘ^−１）^Ｔとにより、標準基底Ａを変換して生成される。なお、Ｎは、ｓｐａｎ＜Ｂ＞とｓｐａｎ＜Ｂ^＊＞との次元数である。
そして、双対ペアリングベクトル空間を暗号処理に適用した典型的なアプリケーションでは、基底Ｂの一部（Ｂ＾という）が公開パラメータとして用いられ、これに対応する基底Ｂ^＊の一部（Ｂ＾^＊という）が秘密鍵又はトラップドアとして用いられる。

実施の形態１では、上述した完全にランダムな線形変換Ｘに代えて、Ｘ∈ＧＬ（Ｎ，Ｆ_ｑ）であるランダムな線形変換Ｘの特別な形式（疎行列）を用いる。

＜第５−３．簡略化した暗号方式＞
簡略化したＫＰ−ＡＢＥ方式について説明する。
簡略化したＫＰ−ＡＢＥ方式における暗号文は、２個のベクトル要素（ｃ_０，ｃ_１）∈Ｇ^５×Ｇ^ｎと、ｃ_３∈Ｇ_Ｔとからなる。秘密鍵は、アクセスストラクチャＳ：＝（Ｍ，，ρ）に対するＬ＋１個のベクトル要素（ｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌ∈Ｇ^５×（Ｇ^ｎ）^Ｌ）からなる。ここで、行列Ｍの行数はＬであり、各ベクトル要素ｋ^＊ _ｉは、行列Ｍの各行に対応している。なお、（ｃ_０，ｃ_１）∈Ｇ^５×Ｇ^ｎとは、ｃ_０がＧの５個の要素であり、ｃ_１がＧのｎ個の要素であることを意味する。同様に、（ｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌ∈Ｇ^５×（Ｇ^ｎ）^Ｌとは、ｋ^＊ _０がＧの５個の要素であり、ｋ^＊ _１，．．．，ｋ^＊ _ＬがＧのｎ個の要素であることを意味する。
そのため、暗号文のサイズを定数サイズにするには、ｃ_１∈Ｇ^ｎをｎについての定数サイズに圧縮する必要がある。

実施の形態１では、数１２２に示す特別な線形変換Ｘを用いる。

ここで、μ，μ’_１，．．．，μ’_ｎは有限体Ｆ_ｑから一様に選択された値であり、線形変換Ｘにおける空白は０∈Ｆ_ｑであることを示す。また、Ｈ（ｎ，Ｆ_ｑ）とは、有限体Ｆ_ｑを要素とするｎ次元の行列の集合を意味する。

公開鍵（ＤＰＶＳの基底）は、数１２３に示す基底Ｂである。

属性集合Γ：＝（ｘ_１，．．．，ｘ_ｎ’）に関連付けられた暗号文を、数１２３に示す暗号文ｃ_１とする。

ここで、ωは有限体Ｆ_ｑから一様に選択された値である。また、ｙ^→：＝（ｙ_１，．．．，ｙ_ｎ）は、数１２４に示すベクトルである。

すると、暗号文ｃ_１は、数１２５に示す２つのグループの要素Ｃ_１，Ｃ_２と、ベクトルｙ^→とに圧縮できる。

暗号文ｃ_１は、（ｙ_１Ｃ_１，．．．，ｙ_ｎ−１Ｃ_１，Ｃ_２）によって得られるためである。なお、ｉ＝１，．．．，ｎ−１の各ｉについて、ｙ_ｉＣ_１＝ｙ_ｉωμｇである。
したがって、暗号文（ベクトルｙ^→を除いた部分）は、２つのグループの要素とすることができ、ｎについての定数サイズとなる。

Ｂ^＊：＝（ｂ^＊ _ｉ）を、Ｂ：＝（ｂ_ｉ）の双対正規直交基底とし、基底Ｂ^＊を、簡略化したＫＰ−ＡＢＥ方式におけるマスター秘密鍵であるとする。
（ｃ_０，ｋ^＊ _０，ｃ_３）を、ｅ（ｃ_０，ｋ^＊ _０）＝ｇ_Ｔ ^{ζ−ωｓ０}であり、ｃ_３：＝ｇ_Ｔ ^ζｍ∈Ｇ_Ｔであるとする。ここで、ｓ０（ｓ_０）は、アクセスストラクチャＳに関連付けられた共有情報｛ｓ_ｉ｝_{ｉ＝１，．．．，Ｌ}のセンターシークレットである。
共有情報｛ｓ_ｉ｝_{ｉ＝１，．．．，Ｌ}を用いて、アクセスストラクチャＳに対する秘密鍵の集合を数１２６のように設定する。

基底Ｂと基底Ｂ^＊との双対正規直交性から、アクセスストラクチャＳが属性集合Γを受理するなら、数１２７となる補完係数｛α_ｉ｝_ｉ∈Ｉが存在する。

そのため、アクセスストラクチャＳが属性集合Γを受理する場合に限り、復号者はｇ_Ｔ ^ωｓ０を計算でき、メッセージｍが得られる。

また、暗号文ｃ_１は、（ｙ_１Ｃ_１，．．．，ｙ_ｎ−１Ｃ_１，Ｃ_２）∈Ｇ^ｎとして表され、秘密鍵ｋ^〜＊は、（Ｄ^＊ _１，．．．，Ｄ^＊ _ｎ）のｎ組に分解される。そのため、ｅ（ｃ_１，ｋ^〜＊）の値は、数１２８である。

つまり、ｅ（ｃ_１，ｋ^〜＊）を計算するには、Ｇにおけるｎ−１個のスカラー乗法と、２つのペアリング演算とで十分である。すなわち、復号には、少ない数（定数）のペアリング演算だけが必要となる。一般に、ペアリング演算は、処理時間がかかる演算であるため、ペアリング演算の数を減らすことにより、処理全体としての処理時間を短くすることができる。

なお、簡略化したＫＰ−ＡＢＥ方式では、暗号文ｃ_１はベクトルｙ^→が設定される基底ベクトル（実際の符号化部）のみを備え、秘密鍵ｋ^＊ _１はベクトルｖ^→が設定される基底ベクトル（実際の符号化部）のみを備えた。
以下に説明するＫＰ−ＡＢＥ方式では、安全性を高めるため、暗号文ｃ_１と秘密鍵ｋ^＊ _１とに、実際の符号化部に加え、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とのための基底ベクトルを加える。
そのため、線形変換Ｘを数１２９のように６倍に拡張する。そして、実際の符号化部と、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とにそれぞれ、ｎ、２ｎ、２ｎ、ｎ次元ずつ割り当てる。

ここで、各Ｘ_ｉ，ｊは、数１２２に示すＸ∈Ｈ（ｎ，Ｆ_ｑ）である。そして、ベクトル空間は、４つの直交する部分空間で構成される。つまり、ベクトル空間は、符号化部と、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とのための４つの直交する部分空間で構成される。

＜第６．暗号方式＞
図６は、実施の形態１に係る鍵生成装置１００の構成図である。図７は、実施の形態１に係る暗号化装置２００の構成図である。図８は、実施の形態１に係る復号装置３００の構成図である。
図９と図１０とは、実施の形態１に係る鍵生成装置１００の動作を示すフローチャートである。なお、図９は、実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１０は、実施の形態１に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１１は、実施の形態１に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態１に係るＥｎｃアルゴリズムの処理を示す。図１２は、実施の形態１に係る復号装置３００の動作を示すフローチャートであり、実施の形態１に係るＤｅｃアルゴリズムの処理を示す。

鍵生成装置１００の機能と動作とについて説明する。
図６に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０を備える。マスター鍵生成部１１０は、空間生成部１１１、行列生成部１１２、基底生成部１１３、鍵生成部１１４を備える。復号鍵生成部１４０は、ｆベクトル生成部１４１、ｓベクトル生成部１４２、乱数生成部１４３、鍵要素生成部１４４を備える。

図９に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：空間生成ステップ）
空間生成部１１１は、セキュリティパラメータ１^λを入力として、処理装置によりＧ_ｂｐｇを実行して、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）を生成する。
さらに、空間生成部１１１は、Ｎ_０：＝５、Ｎ_１：＝６ｎを設定する。そして、空間生成部１１１は、ｔ＝０，１の各整数ｔについて、セキュリティパラメータ１^λと、Ｎ_ｔと、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ，ｅ）を生成する。

（Ｓ１０２：線形変換生成ステップ）
行列生成部１１２は、処理装置により、線形変換Ｘ_０を数１３０に示すように生成する。

なお、数１３０における（χ_{０，ｉ，ｊ}）_{ｉ，ｊ＝１，．．．，５}は、行列χ_{０，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味である。
また、行列生成部１１２は、処理装置により、線形変換Ｘ_１を数１３１に示すように生成する。

数１３１におけるＬ（６，ｎ，Ｆ_ｑ）は、数１３２に示す通りである。

なお、以下、｛μ_ｉ，ｊ，μ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，６；Ｌ＝１，．．．，ｎ}は、線形変換Ｘ_１における０以外の要素を示す。

（Ｓ１０３：基底Ｂ生成ステップ）
基底生成部１１３は、処理装置により、基底Ｂ_０と変数Ｂ_ｉ，ｊと変数Ｂ’_{ｉ，ｊ，Ｌ}とを数１３３に示すように生成する。

また、基底生成部１１３は、処理装置により、基底Ｂ^＊ _０と基底Ｂ^＊ _１とを数１３４に示すように生成する。

（Ｓ１０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、処理装置により、基底Ｂ＾_０と、基底Ｂ＾_１と、基底Ｂ＾^＊ _０と、基底Ｂ＾^＊ _１とを数１３５に示すように生成する。

（Ｓ１０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により、公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，｛Ｂ＾_ｔ｝_{ｔ＝０，１}）とし、マスター秘密鍵ｓｋ：＝｛Ｂ＾^＊ _ｔ｝_{ｔ＝０，１}とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１}，ｇ_Ｔ：＝ｅ（ｇ，ｇ）^φ）である。

つまり、（Ｓ１０１）から（Ｓ１０５）において、鍵生成装置１００は、数１３６に示すアルゴリズムＧ^{ＡＢＥ（１）} _ｏｂを用いた、数１３７に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

Ｓ１０３では、基底Ｂ_１を生成せず、代わりに変数Ｂ_ｉ，ｊを生成した。基底Ｂ_１を生成するのであれば、数１３８のようになる。

数１３８の行列における空白部分は成分の値が０∈Ｇであることを示している。基底Ｂ_１は、基底Ｂ^＊ _１の正規直交基底である。つまり、ｅ（ｂ_１，ｉ，ｂ^＊ _１，ｉ）＝ｇ_Ｔであり、１≦ｉ≠ｊ≦６ｎの整数ｉ，ｊに対して、ｅ（ｂ_１，ｉ，ｂ^＊ _１，ｊ）＝１である。

図１０に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１：情報入力ステップ）
情報入力部１３０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号鍵ｓｋ_Ｓの使用者の属性情報が設定されている。

（Ｓ２０２：ｆベクトル生成ステップ）
ｆベクトル生成部１４１は、処理装置により、ベクトルｆ^→を数１３９に示すようにランダムに生成する。

（Ｓ２０３：ｓベクトル生成ステップ）
ｓベクトル生成部１４２は、処理装置により、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１４０に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、値ｓ_０を数１４１に示すように生成する。

（Ｓ２０４：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１４２に示すように生成する。

（Ｓ２０５：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Ｓの要素ｋ^＊ _０を数１４３に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、復号鍵ｓｋ_Ｓの要素ｋ^＊ _ｉを数１４４に示すように生成する。

（Ｓ２０６：鍵送信ステップ）
鍵送信部１５０は、（Ｓ２０１）で入力したアクセスストラクチャＳと、（Ｓ２０５）で生成されたｋ^＊ _０，ｋ^＊ _１，．．．，ｋ^＊ _Ｌとを要素とする復号鍵ｓｋ_Ｓを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ２０１）から（Ｓ２０５）において、鍵生成装置１００は、数１４５に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ２０６）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Ｓを復号装置３００へ送信する。

暗号化装置２００の機能と動作とについて説明する。
図７に示すように、暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２を備える。

図１１に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１：公開パラメータ受信ステップ）
公開パラメータ受信部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。また、情報入力部２２０は、入力装置により、属性集合Γ：＝｛ｘ_１，．．．，ｘ_ｎ’｜ｘ_ｊ∈Ｆｑ^Ｘ，ｎ’≦ｎ−１｝を入力する。また、属性集合Γは、例えば、復号可能なユーザの属性情報が設定されている。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１４６に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素ｃ_０を数１４７に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素Ｃ_１，ｊ，Ｃ_２，ｊを数１４８に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素ｃ_３を数１４９に示すように生成する。

（Ｓ３０５：データ送信ステップ）
データ送信部２４０は、（Ｓ３０２）で入力した属性集合Γと、（Ｓ３０４）で生成されたｃ_０，Ｃ_１，ｊ，Ｃ_２，ｊ，ｃ_３とを要素とする暗号文ｃｔ_Γを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ３０１）から（Ｓ３０４）において、暗号化装置２００は、数１５０に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。そして、（Ｓ３０５）で、暗号化装置２００は生成した暗号文ｃｔ_Γを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図８に示すように、復号装置３００は、復号鍵受信部３１０、データ受信部３２０、スパンプログラム計算部３３０、補完係数計算部３４０、復号部３５０を備える。

図１２に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Ｓを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Γを受信する。

（Ｓ４０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ４０１）で受信した復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、（Ｓ４０２）で受信した暗号文ｃｔ_Γに含まれるΓを受理するか否かを判定する。アクセスストラクチャＳがΓを受理するか否かの判定方法は、「第２．暗号方式を実現するための概念」で説明した通りである。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ４０３で受理）、処理を（Ｓ４０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ４０３で拒絶）、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓで復号できないとして処理を終了する。

（Ｓ４０４：補完係数計算ステップ）
補完係数計算部３４０は、処理装置により、数１５１となるＩと、定数（補完係数）｛α_ｉ｝_ｉ∈Ｉとを計算する。

（Ｓ４０５：復号要素生成ステップ）
復号部３５０は、処理装置により、復号要素Ｄ^＊ _１，．．．，Ｄ^＊ _６ｎ，Ｅ^＊ _ｊを数１５２に示すように生成する。

（Ｓ４０６：ペアリング演算ステップ）
復号部３５０は、処理装置により、数１５３を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

（Ｓ４０７：メッセージ計算ステップ）
復号部３５０は、処理装置により、ｍ’＝ｃ_３／Ｋを計算して、メッセージｍ’（＝ｍ）を生成する。

つまり、（Ｓ４０１）から（Ｓ４０７）において、復号装置３００は、数１５４に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

なお、数１３８からＢ_１：＝（ｂ_１，１，．．．，ｂ_１，６ｎ）は、｛Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，６；Ｌ＝１，．．．，ｎ}によって特定される。また、Ｓｅｔｕｐアルゴリズムの出力に含まれる｛Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ＝１，６；ｊ＝１，．．．，６；Ｌ＝１，．．．，ｎ}は、Ｂ＾_１：＝（ｂ_１，１，．．．，ｂ_１，ｎ，ｂ_{１，５ｎ＋１}，．．．，ｂ_１，６ｎ）によって特定される。
そして、Ｄｅｃアルゴリズムは、数１５５に示すＤｅｃ’アルゴリズムのように記述することができる。

数１５６に示すように、Ｄｅｃ'アルゴリズムを用いた場合、Ｋ：＝ｇ^ζ _Ｔが得られる。そのため、ｃ_３＝ｇ^ζ _ＴｍをＫで除することにより、メッセージｍ’（＝ｍ）が得られる。

実施の形態１で説明したＫＰ−ＡＢＥ方式では、暗号文ｃｔ_Γは、要素ｃ_０で５個と、ｊ＝１，．．．，６の各整数ｊについての要素Ｃ_１，ｊ及び要素Ｃ_２，ｊで１２個との合計１７個のＧの要素と、要素ｃ_３で１個のＧ_Ｔの要素とから構成される。つまり、暗号文ｃｔ_Γは、ｎについて定数サイズである。

また、実施の形態１で説明したＫＰ−ＡＢＥ方式では、復号処理（Ｄｅｃアルゴリズム）は、数１５３に示すｅ（ｃ_０，ｋ^＊ _０）で５個と、Π_ｊ＝１ ^６（ｅ（Ｃ_１，ｊ，Ｅ^＊ _ｊ）・ｅ（Ｃ_２，ｊ，Ｄ^＊ _ｊｎ））で１２個との合計１７個のみペアリング演算を実行する。つまり、復号処理で必要となるペアリング演算は少ない。

実施の形態２．
実施の形態２では、秘密鍵のサイズを定数サイズとした暗号文ポリシーの属性ベース暗号（Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙ ＡＢＥ，ＣＰ−ＡＢＥ）方式について説明する。
実施の形態２では、実施の形態１と同じ部分については説明を省略し、実施の形態１と異なる部分について説明する。

第１に、実施の形態２に係る暗号方式の基本構成について説明する。
第２に、実施の形態２に係る暗号方式を実現する暗号システム１０の構成について説明する。
第３に、実施の形態２に係る暗号方式について詳細に説明する。

＜第１．暗号方式の基本構成＞
ＣＰ−ＡＢＥ方式の構成を簡単に説明する。なお、Ｃｉｐｈｅｒｔｅｘｔ−Ｐｏｌｉｃｙとは、暗号文にＰｏｌｉｃｙが埋め込まれること、つまりアクセスストラクチャが埋め込まれることを意味する。
ＣＰ−ＡＢＥ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、暗号文に対する属性の数の上限ｎとが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター鍵ｓｋと、属性集合Γ：＝｛ｘ_ｊ｝_{１≦ｊ≦ｎ’}とを入力として、復号鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、暗号文ｃｔ_Ｓを出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、復号鍵ｓｋ_Γと、暗号文ｃｔ_Ｓとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。

＜第２．ＣＰ−ＡＢＥ方式を実現する暗号システム１０の構成＞
図１３は、実施の形態２に係るＣＰ−ＡＢＥ方式を実現する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、暗号化装置２００（送信装置の一例）、復号装置３００（受信装置の一例）を備える。
鍵生成装置１００は、セキュリティパラメータλと暗号文に対する属性の数の上限ｎとを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成して復号装置３００へ秘密裡に送信する。
暗号化装置２００は、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。暗号化装置２００は、生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_Γと、暗号文ｃｔ_Ｓとを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ又は識別情報⊥を出力する。

＜第３．暗号方式＞
図１４は、実施の形態２に係る鍵生成装置１００の構成図である。図１５は、実施の形態２に係る暗号化装置２００の構成図である。復号装置３００の構成は、図８に示す実施の形態１に係る復号装置３００の構成と同じである。
図１６は、実施の形態２に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１７は、実施の形態２に係るＥｎｃアルゴリズムの処理を示すフローチャートである。Ｓｅｔｕｐアルゴリズムの処理とＤｅｃアルゴリズムの処理とは、それぞれ図９、図１２に示す実施の形態１に係るＳｅｔｕｐアルゴリズムの処理とＤｅｃアルゴリズムの処理と同じ流れである。

鍵生成装置１００の機能と動作とについて説明する。
図１４に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０を備える。マスター鍵生成部１１０は、空間生成部１１１、行列生成部１１２、基底生成部１１３、鍵生成部１１４を備える。復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４を備える。

図９に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１）から（Ｓ１０２）までの処理は、実施の形態１と同じである。

（Ｓ１０３：基底Ｂ生成ステップ）
基底生成部１１３は、処理装置により、実施の形態１における基底Ｂ_０と変数Ｂ_ｉ，ｊと変数Ｂ’_{ｉ，ｊ，Ｌ}と同様に、基底Ｄ_０と変数Ｄ_ｉ，ｊと変数Ｄ’_{ｉ，ｊ，Ｌ}とを数１５７に示すように生成する。

また、基底生成部１１３は、処理装置により、実施の形態１における基底Ｂ^＊ _０と基底Ｂ^＊ _１と同様に、基底Ｄ^＊ _０と基底Ｄ^＊ _１とを数１５８に示すように生成する。

そして、基底生成部１１３は、基底Ｄ^＊ _０を基底Ｂ_０とし、基底Ｄ_０を基底Ｂ^＊ _０とし、基底Ｄ^＊ _１を基底Ｂ_１とする。また、基底生成部１１３は、ｉ，ｊ＝１，．．．，６の各整数ｉ，ｊと、Ｌ＝１，．．．，ｎの各整数Ｌとについて、変数Ｄ_ｉ，ｊを変数Ｂ^＊ _ｉ，ｊとし、変数Ｄ’_{ｉ，ｊ，Ｌ}を変数Ｂ’^＊ _{ｉ，ｊ，Ｌ}とする。

（Ｓ１０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、処理装置により、基底Ｂ＾_０と、基底Ｂ＾_１と、基底Ｂ＾^＊ _０と、基底Ｂ＾^＊ _１とを数１５９に示すように生成する。

（Ｓ１０５）の処理は、実施の形態１と同じである。

つまり、（Ｓ１０１）から（Ｓ１０５）において、鍵生成装置１００は、数１６０に示すアルゴリズムＧ^{ＡＢＥ（２）} _ｏｂを用いた、数１６１に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。ここで、数１６０に示すように、アルゴリズムＧ^{ＣＰ−ＡＢＥ（２）} _ｏｂは、数１３６に示すアルゴリズムＧ^{ＡＢＥ（１）} _ｏｂを用いる。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

図１６に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ５０１：情報入力ステップ）
情報入力部１３０は、入力装置により、属性集合Γ：＝｛ｘ_１，．．．，ｘ_ｎ’｜ｘ_ｊ∈Ｆｑ^Ｘ，ｎ’≦ｎ−１｝を入力する。なお、属性集合Γは、例えば、復号鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ５０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１６２に示すように生成する。

（Ｓ５０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Γの要素ｋ^＊ _０を数１６３に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Γの要素Ｋ^＊ _１，ｊ，Ｋ^＊ _２，ｊを数１６４に示すように生成する。

（Ｓ５０４：鍵送信ステップ）
鍵送信部１５０は、（Ｓ５０１）で入力した属性の集合Γと、（Ｓ５０３）で生成されたｋ^＊ _０，Ｋ^＊ _１，ｊ，Ｋ^＊ _２，ｊとを要素とする復号鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ送信する。もちろん、復号鍵ｓｋ_Γは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ５０１）から（Ｓ５０３）において、鍵生成装置１００は、数１６５に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ５０４）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Γを復号装置３００へ送信する。

暗号化装置２００の機能と動作とについて説明する。
図１５に示すように、暗号化装置２００は、公開パラメータ受信部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０を備える。また、暗号化データ生成部２３０は、乱数生成部２３１、暗号要素生成部２３２、ｆベクトル生成部２３３、ｓベクトル生成部２３４を備える。

図１７に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ６０１）の処理は、図１１に示す（Ｓ３０１）の処理と同じである。

（Ｓ６０２：情報入力ステップ）
情報入力部２２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、アクセスストラクチャＳの設定については、実現したいシステムの条件に応じて設定されるものである。また、アクセスストラクチャＳのρは、例えば、復号可能なユーザの属性情報が設定されている。
また、情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。

（Ｓ６０３：ｆベクトル生成ステップ）
ｆベクトル生成部２３３は、処理装置により、ベクトルｆ^→を数１６６に示すようにランダムに生成する。

（Ｓ６０４：ｓベクトル生成ステップ）
ｓベクトル生成部２３４は、処理装置により、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１６７に示すように生成する。

また、ｓベクトル生成部２３４は、処理装置により、値ｓ_０を数１６８に示すように生成する。

（Ｓ６０５：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１６９に示すように生成する。

（Ｓ６０６：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Ｓの要素ｃ_０を数１７０に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、暗号文ｃｔ_Ｓの要素ｃ_ｉを数１７１に示すように生成する。

また、暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Ｓの要素ｃ_３を数１７２に示すように生成する。

（Ｓ６０７：データ送信ステップ）
データ送信部２４０は、（Ｓ６０２）で入力したアクセスストラクチャＳと、（Ｓ６０６）で生成されたｃ_０，ｃ_１，．．．，ｃ_Ｌ，ｃ_３とを要素とする暗号文ｃｔ_Ｓを、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_Ｓは、他の方法により復号装置３００へ送信されてもよい。

つまり、（Ｓ６０１）から（Ｓ６０６）において、暗号化装置２００は、数１７３に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Ｓを生成する。そして、（Ｓ６０７）で、暗号化装置２００は生成した暗号文ｃｔ_Ｓを復号装置３００へ送信する。

復号装置３００の機能と動作とについて説明する。
図１２に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１：復号鍵受信ステップ）
復号鍵受信部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から送信された復号鍵ｓｋ_Γを受信する。また、復号鍵受信部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ４０２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_Ｓを受信する。

（Ｓ４０３：スパンプログラム計算ステップ）
スパンプログラム計算部３３０は、処理装置により、（Ｓ４０２）で受信した暗号文ｃｔ_Ｓに含まれるアクセスストラクチャＳが、（Ｓ４０１）で受信した復号鍵ｓｋ_Γに含まれるΓを受理するか否かを判定する。
スパンプログラム計算部３３０は、アクセスストラクチャＳがΓを受理する場合（Ｓ４０３で受理）、処理を（Ｓ４０４）へ進める。一方、アクセスストラクチャＳがΓを拒絶する場合（Ｓ４０３で拒絶）、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓで復号できないとして処理を終了する。

（Ｓ４０４）の処理は、実施の形態１と同じである。

（Ｓ４０５：復号要素生成ステップ）
復号部３５０は、処理装置により、暗号要素Ｄ^＊ _１，．．．，Ｄ^＊ _６ｎ，Ｅ^＊ _ｊを数１７４に示すように生成する。

（Ｓ４０６：ペアリング演算ステップ）
復号部３５０は、処理装置により、数１７５を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

（Ｓ４０７）の処理は、実施の形態１と同じである。

つまり、（Ｓ４０１）から（Ｓ４０７）において、復号装置３００は、数１７６に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

実施の形態２で説明したＣＰ−ＡＢＥ方式では、復号鍵ｓｋ_Γは、要素ｋ_０で５個と、ｊ＝１，．．．，６の各整数ｊについての要素Ｃ_１，ｊ及び要素Ｃ_２，ｊで１２個との合計１７個のＧの要素から構成される。つまり、復号鍵ｓｋ_Γは、ｎについて定数サイズである。

実施の形態２で説明したＣＰ−ＡＢＥ方式では、実施の形態１で説明したＫＰ−ＡＢＥ方式と同様に、復号処理（Ｄｅｃアルゴリズム）は、合計１７個のみペアリング演算を実行する。つまり、復号処理で必要となるペアリング演算は少ない。

実施の形態３．
実施の形態３では、実施の形態１，２で説明したＡＢＥ方式を応用したＦＥ方式について説明する。
実施の形態３では、実施の形態１，２と同じ部分については説明を省略し、実施の形態１，２と異なる部分について説明する。

ここでは、実施の形態１で説明したＫＰ−ＡＢＥ方式を応用したＫＰ−ＦＥ方式について説明する。
実施の形態１で説明したＫＰ−ＡＢＥ方式では、暗号文の要素（Ｃ_１，ｊ，Ｃ_２，ｊ）と、復号鍵の要素｛ｋ^＊ _ｉ｝_{ｉ＝１，．．．，Ｌ}とが対応していた。ＫＰ−ＦＥ方式では、カテゴリｔ毎に、暗号文の要素（Ｃ_{１，ｊ，ｔ}，Ｃ_{２，ｊ，ｔ}）と、復号鍵の要素｛ｋ^＊ _ｉ．ｔ｝_{ｉ＝１，．．．，Ｌ}とが生成される。そして、暗号文の要素（Ｃ_{１，ｊ，ｔ}，Ｃ_{２，ｊ，ｔ}）と、復号鍵の要素｛ｋ^＊ _ｉ，ｔ｝_{ｉ＝１，．．．，Ｌ}とが対応する。

鍵生成装置１００、暗号化装置２００、復号装置３００の構成は、それぞれ図６〜図８に示す実施の形態１に係る鍵生成装置１００、暗号化装置２００、復号装置３００の構成と同じである。
また、各アルゴリズムの処理は、図９〜図１２に示す実施の形態１に係る各アルゴリズムの処理と同じ流れである。

図９に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：空間生成ステップ）
空間生成部１１１は、実施の形態１と同様に、パラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）を生成する。
さらに、空間生成部１１１は、Ｎ_０：＝５、ｔ＝１，．．．，ｄの各整数ｔについて、Ｎ_１，ｔ：＝６ｎ_ｔを設定する。ここで、ｄは属性カテゴリの数を表す値であり、１以上の整数である。また、ｎ_ｔは１以上の整数である。そして、空間生成部１１１は、セキュリティパラメータ１^λと、Ｎ_０と、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ０：＝（ｑ，Ｖ_０，Ｇ_Ｔ，Ａ，ｅ）を生成する。また、空間生成部１１１は、ｔ＝１，．．．，ｄの各整数ｔについて、セキュリティパラメータ１^λと、Ｎ_１，ｔと、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ１，ｔ：＝（ｑ，Ｖ_１，ｔ，Ｇ_Ｔ，Ａ，ｅ）を生成する。

（Ｓ１０２：線形変換生成ステップ）
行列生成部１１２は、処理装置により、線形変換Ｘ_０と線形変換｛Ｘ_１，ｔ｝_{ｔ＝１，．．．，ｄ}とを生成する。
線形変換Ｘ_０は、実施の形態１と同じである。線形変換｛Ｘ_１，ｔ｝_{ｔ＝１，．．．，ｄ}は数１７７のように生成される。

なお、以下、｛μ_{ｉ，ｊ，ｔ}，μ’_{ｉ，ｊ，Ｌ，ｔ}｝_{ｉ，ｊ＝１，．．．，６；Ｌ＝１，．．．，ｎ}は、線形変換Ｘ_１，ｔにおける０以外の要素を示す。

（Ｓ１０３：基底Ｂ生成ステップ）
基底生成部１１３は、処理装置により、基底Ｂ_０と変数Ｂ_{ｉ，ｊ，ｔ}と変数Ｂ’_{ｉ，ｊ，Ｌ，ｔ}とを数１７８に示すように生成する。

また、基底生成部１１３は、処理装置により、基底Ｂ^＊ _０と基底Ｂ^＊ _１，ｔとを数１７９に示すように生成する。

（Ｓ１０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、処理装置により、基底Ｂ＾_０と、基底Ｂ＾_１，ｔと、基底Ｂ＾^＊ _０と、基底Ｂ＾^＊ _１，ｔとを数１８０に示すように生成する。

（Ｓ１０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により、公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，Ｂ＾_０，｛Ｂ＾_１，ｔ｝_{ｔ＝１，．．．，ｄ}）とし、マスター秘密鍵ｓｋ：＝（Ｂ＾^＊ _０，｛Ｂ＾^＊ _１，ｔ｝_{ｔ＝１，．．．，ｄ}とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（ｐａｒａｍ_Ｖ０，｛ｐａｒａｍ_Ｖ１，ｔ｝_{ｔ＝１，．．．，ｄ}，ｇ_Ｔ）である。

つまり、（Ｓ１０１）から（Ｓ１０５）において、鍵生成装置１００は、数１８１に示すアルゴリズムＧ^{ＦＥ（１）} _ｏｂを用いた、数１８２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。

図１０に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ２０１）から（Ｓ２０２）までの処理は、実施の形態１と同じである。

（Ｓ２０３：ｓベクトル生成ステップ）
ｓベクトル生成部１４２は、処理装置により、ベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数１８３に示すように生成する。

また、ｓベクトル生成部１４２は、処理装置により、値ｓ_０を数１８４に示すように生成する。

（Ｓ２０４：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数１８５に示すように生成する。

（Ｓ２０５：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、復号鍵ｓｋ_Ｓの要素ｋ^＊ _０を実施の形態１と同様に生成する。
また、鍵要素生成部１４４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉ及び集合Ｉ_ｖｉ→に含まれるインデックスｔについて、復号鍵ｓｋ_Ｓの要素ｋ^＊ _ｉを数１８６に示すように生成する。

（Ｓ２０６）の処理は、実施の形態１と同じである。

つまり、（Ｓ２０１）から（Ｓ２０５）において、鍵生成装置１００は、数１８７に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。そして、（Ｓ２０６）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Ｓを復号装置３００へ送信する。

図１１に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ３０１）の処理は、実施の形態１と同じである。

（Ｓ３０２：情報入力ステップ）
情報入力部２２０は、入力装置により、復号装置３００へ送信するメッセージｍを入力する。また、情報入力部２２０は、入力装置により、属性集合Γ_ｔ：＝｛ｘ_１，ｔ，．．．，ｘ_ｎｔ，ｔ，ｎ_ｔ’≦ｎ_ｔ−１，ｔ＝１，．．．，ｄ｝を入力する。

（Ｓ３０３：乱数生成ステップ）
乱数生成部２３１は、処理装置により、乱数を数１８８に示すように生成する。

（Ｓ３０４：暗号要素生成ステップ）
暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素ｃ_０及び要素ｃ_３を実施の形態１と同様に生成する。
また、暗号要素生成部２３２は、処理装置により、暗号文ｃｔ_Γの要素Ｃ_{１，ｊ，ｔ}，Ｃ_{２，ｊ，ｔ}を数１８９に示すように生成する。

（Ｓ３０５）の処理は、実施の形態１と同じである。

つまり、（Ｓ３０１）から（Ｓ３０４）において、暗号化装置２００は、数１９０に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。そして、（Ｓ３０５）で、暗号化装置２００は生成した暗号文ｃｔ_Γを復号装置３００へ送信する。

図１２に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ４０１）から（Ｓ４０４）までの処理は、実施の形態１と同じである。

（Ｓ４０５：復号要素生成ステップ）
復号部３５０は、処理装置により、復号要素Ｄ^＊ _１，ｔ，．．．，Ｄ^＊ _６ｎ，ｔ，Ｅ^＊ _ｊ，ｔを数１９１に示すように生成する。

（Ｓ４０６：ペアリング演算ステップ）
復号部３５０は、処理装置により、数１９２を計算して、セッション鍵Ｋ＝ｇ_Ｔ ^ζを生成する。

（Ｓ４０７）の処理は、実施の形態１と同じである。

つまり、（Ｓ４０１）から（Ｓ４０７）において、復号装置３００は、数１９３に示すＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）を生成する。

ここでは、実施の形態１で説明したＫＰ−ＡＢＥ方式を応用したＫＰ−ＦＥ方式について説明した。実施の形態２で説明したＣＰ−ＡＢＥ方式を応用したＣＰ−ＦＥ方式についても、同様の考え方により構成できる。実施の形態２で説明したＣＰ−ＡＢＥ方式を応用したＣＰ−ＦＥ方式の各アルゴリズムは、数１９４から数１９８に示す通りである。

以上のように、実施の形態１，２に係るＡＢＥ方式を応用してＦＥ方式を構成することができる。

実施の形態４．
実施の形態４では、実施の形態２で説明したＣＰ−ＡＢＥ方式を応用した属性ベース署名（Ａｔｔｒｉｂｕｔｅ−Ｂａｓｅｄ Ｓｉｇｎｅｔｕｒｅ ＡＢＳ）方式について説明する。
実施の形態４では、実施の形態２と同じ部分については説明を省略し、実施の形態１と異なる部分について説明する。

第１に、実施の形態４に係る署名方式の基本構成について説明する。
第２に、実施の形態４に係る署名方式を実現する暗号システム１０の構成について説明する。
第３に、実施の形態４に係る署名方式について詳細に説明する。

＜第１．暗号方式の基本構成＞
ＡＢＳ方式の構成を簡単に説明する。ＡＢＳ方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、暗号文に対する属性の数の上限ｎとが入力され、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター鍵ｓｋと、属性集合Γ：＝｛ｘ_ｊ｝_{１≦ｊ≦ｎ’}とを入力として、署名鍵ｓｋ_Γを出力する確率的アルゴリズムである。
（Ｓｉｇ）
Ｓｉｇアルゴリズムは、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、署名鍵ｓｋ_Γとを入力として、署名σを出力する確率的アルゴリズムである。
（Ｖｅｒ）
Ｖｅｒアルゴリズムは、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、署名σとを入力として、署名の検証に成功したことを示す値“１”、又は、署名の検証に失敗したことを示す値“０”を出力するアルゴリズムである。

＜第２．ＡＢＳ方式を実現する暗号システム１０の構成＞
図１８は、実施の形態４に係るＡＢＳ方式を実現する暗号システム１０の構成図である。
暗号システム１０は、鍵生成装置１００、署名装置４００（送信装置の一例）、検証装置５００（受信装置の一例）を備える。
鍵生成装置１００は、セキュリティパラメータλと、暗号文に対する属性の数の上限ｎとを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性集合Γを入力としてＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋ_Γを生成して署名装置４００へ秘密裡に送信する。
署名装置４００は、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳと、署名鍵ｓｋ_Γとを入力としてＳｉｇアルゴリズムを実行して、署名σを生成する。署名装置４００は、生成した署名σと、メッセージｍと、アクセスストラクチャＳと、を検証装置５００へ送信する。
検証装置５００は、公開パラメータｐｋと、メッセージｍと、アクセスストラクチャＳと、署名σとを入力としてＶｅｒアルゴリズムを実行して、値“１”、又は、値“０”を出力する。

＜第３．署名方式＞
図１９は、実施の形態４に係る鍵生成装置１００の構成図である。図２０は、実施の形態４に係る署名装置４００の構成図である。図２１は、実施の形態４に係る検証装置５００の構成図である。
図２２と図２３とは、実施の形態４に係る鍵生成装置１００の動作を示すフローチャートである。なお、図２２は、実施の形態４に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図２３は、実施の形態４に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図２４は、実施の形態４に係る署名装置４００の動作を示すフローチャートであり、実施の形態４に係るＳｉｇアルゴリズムの処理を示す。図２５は、実施の形態４に係る検証装置５００の動作を示すフローチャートであり、実施の形態４に係るＶｅｒアルゴリズムの処理を示す。

なお、以下の説明において、Ｈ：＝（ＫＨ_λ，Ｈ_ｈｋ ^λ，Ｄ）は、衝突困難ハッシュ関数である（非特許文献３０参照）。衝突困難ハッシュ関数とは、出力が同じになる２つの入力を見つけることが困難なハッシュ関数である。
具体的には、アルゴリズムＧ_ｂｐｇに関する衝突困難ハッシュ関数系Ｈと、多項式ｐｏｌｙ（λ）とについて以下の２つのことが言える。
１．鍵空間系は、λによって索引付けされる。各鍵空間は、ＫＨ_λによって示されるビット列における確率空間である。１^λを入力とした場合の出力分布がＫＨ_λと等しい確率的多項式時間アルゴリズムが存在する。
２．ハッシュ関数系は、λと、ＫＨ_λからランダムに選択されたｈｋと、Ｄ：＝｛０，１｝^{ｐｏｌｙ（λ）}とによって索引付けされる。ここで、各関数Ｈ_ｈｋ ^λ，Ｄは、Ｄの要素からＦ_ｑ ^Ｘへの写像である。なお、ｑは、アルゴリズムＧ_ｂｐｇ（１^λ）の出力ｐａｒａｍ_Ｇの最初の要素である。１^λとｈｋとｄ∈Ｄとを入力として、Ｈ_ｈｋ ^λ，Ｄ（ｄ）を出力する決定的多項式時間アルゴリズムがある。

鍵生成装置１００の機能と動作とについて説明する。
図１９に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０を備える。マスター鍵生成部１１０は、空間生成部１１１、行列生成部１１２、基底生成部１１３、鍵生成部１１４を備える。復号鍵生成部１４０は、乱数生成部１４３、鍵要素生成部１４４を備える。
図２２に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ７０１：空間生成ステップ）
空間生成部１１１は、図９の（Ｓ１０１）と同様に、パラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）を生成する。
さらに、空間生成部１１１は、Ｎ_０：＝４、Ｎ_１：＝６ｎ、Ｎ_２：＝７を設定する。そして、空間生成部１１１は、ｔ＝０，１，２の各整数ｔについて、セキュリティパラメータ１^λと、Ｎ_ｔと、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ，ｅ）を生成する。

（Ｓ７０２：線形変換生成ステップ）
行列生成部１１２は、処理装置により、ｔ＝０，２の各整数ｔについて、線形変換Ｘ_ｔを数１９９に示すように生成する。

また、行列生成部１１２は、処理装置により、線形変換Ｘ_１を数２００に示すように生成する。

なお、以下、｛μ_ｉ，ｊ，μ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，６；Ｌ＝１，．．．，ｎ}は、線形変換Ｘ_１における０以外の要素を示す。

（Ｓ７０３：基底Ｂ生成ステップ）
基底生成部１１３は、処理装置により、基底Ｂ^＊ _０と基底Ｂ^＊ _２と変数Ｂ^＊ _ｉ，ｊと変数Ｂ’^＊ _{ｉ，ｊ，Ｌ}とを数２０１に示すように生成する。

また、基底生成部１１３は、処理装置により、基底Ｂ_０と基底Ｂ_１と基底Ｂ_２とを数２０２に示すように生成する。

（Ｓ７０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、処理装置により、基底Ｂ＾_０と、基底Ｂ＾_１と、基底Ｂ＾_２と、基底Ｂ＾^＊ _０と、基底Ｂ＾^＊ _１と、基底Ｂ＾^＊ _２とを数２０３に示すように生成する。

（Ｓ７０５：ハッシュキー生成ステップ）
マスター鍵生成部１１０は、処理装置により、数２０４を計算して、ハッシュキーｈｋをランダムに生成する。

（Ｓ７０６：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により、公開パラメータｐｋ：＝（１^λ，ｈｋ，ｐａｒａｍ_ｎ，｛Ｂ＾_ｔ｝_{ｔ＝０，１，２}，｛Ｂ＾^＊ _ｔ｝_{ｔ＝１，２}，ｂ^＊ _０，３）とし、マスター秘密鍵ｓｋ：＝ｂ^＊ _０，１とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１，２}，ｇ_Ｔ：＝ｅ（ｇ，ｇ）^φ）である。

つまり、（Ｓ７０１）から（Ｓ７０６）において、鍵生成装置１００は、数２０５に示すアルゴリズムＧ^ＡＢＳ _ｏｂを用いた、数２０６に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。

図２３に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ８０１）の処理は、図１６の（Ｓ５０１）の処理と同じである。但し、アクセスストラクチャＳのρは、例えば、署名鍵ｓｋ_Γの使用者の属性情報が設定されている。

（Ｓ８０２：乱数生成ステップ）
乱数生成部１４３は、処理装置により、乱数を数２０７に示すように生成する。

（Ｓ８０３：鍵要素生成ステップ）
鍵要素生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _０を数２０８に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素Ｌ^＊ _１，ｊ，Ｌ^＊ _２，ｊを数２０９に示すように生成する。

また、鍵要素生成部１４４は、処理装置により、署名鍵ｓｋ_Γの要素ｋ^＊ _２，１，ｋ^＊ _２，２を数２１０に示すように生成する。

（Ｓ８０４：鍵送信ステップ）
鍵送信部１５０は、（Ｓ８０１）で入力した属性の集合Γと、（Ｓ８０３）で生成されたｋ^＊ _０，Ｌ^＊ _１，ｊ，Ｌ^＊ _２，ｊ，ｋ^＊ _２，１，ｋ^＊ _２，２とを要素とする署名鍵ｓｋ_Γを、例えば通信装置によりネットワークを介して秘密裡に署名装置４００へ送信する。もちろん、署名鍵ｓｋ_Γは、他の方法により署名装置４００へ送信されてもよい。

つまり、（Ｓ８０１）から（Ｓ８０３）において、鍵生成装置１００は、数２１１に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Γを生成する。そして、（Ｓ８０４）で、鍵生成装置１００は、生成した復号鍵ｓｋ_Γを復号装置３００へ送信する。

なお、｛Ｌ^＊ _１，ｊ，Ｌ^＊ _２，ｊ｝_{ｊ＝１，．．．，６}と、ベクトルｙ^→とから、要素ｋ^＊ _１は数２１２のように定義される。

署名装置４００の機能と動作とについて説明する。
図２０に示すように、署名装置４００は、署名鍵受信部４１０、情報入力部４２０、補完係数計算部４３０、署名データ生成部４４０、データ送信部４５０を備える。また、署名データ生成部４４０は、乱数生成部４４１、署名要素生成部４４２を備える。

図２４に基づき、Ｓｉｇアルゴリズムの処理について説明する。
（Ｓ９０１：署名鍵受信ステップ）
署名鍵受信部４１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した署名鍵ｓｋ_Γを受信する。また、署名鍵受信部４１０は、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ９０２：情報入力ステップ）
情報入力部４２０は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。また、情報入力部４２０は、入力装置により、署名を付すメッセージｍを入力する。

（Ｓ９０３：スパンプログラム計算ステップ）
補完係数計算部４３０は、処理装置により、（Ｓ９０２）で入力したアクセスストラクチャＳが、（Ｓ９０１）で受信した署名鍵ｓｋ_Γに含まれる属性集合Γを受理するか否かを判定する。
補完係数計算部４３０は、アクセスストラクチャＳが属性集合Γを受理する場合（Ｓ９０３で受理）、処理を（Ｓ９０４）へ進める。一方、アクセスストラクチャＳが属性集合Γを拒絶する場合（Ｓ９０３で拒絶）、処理を終了する。

（Ｓ９０４：補完係数計算ステップ）
補完係数計算部４３０は、処理装置により、数２１３となるベクトルｙ^→と、数２１４となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）α_ｉとを計算する。

（Ｓ９０５：乱数生成ステップ）
乱数生成部４４１は、処理装置により、乱数を数２１５に示すように生成する。

（Ｓ９０６：署名要素生成ステップ）
署名要素生成部４４２は、処理装置により、署名σの要素ｓ^＊ _０を数２１６に示すように生成する。

ここで、ｒ^＊ _０は、数２１７である。

また、署名要素生成部４４２は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名σの要素ｓ^＊ _ｉを数２１８に示すように生成する。

ここで、ｒ^＊ _ｉは、数２１９である。

また、γ_ｉとｕ^→ _ｉ：＝（ｕ_ｉ，ｉ’（ｉ’＝１，．．．，ｎ）とは、数２２０である。

また、署名要素生成部４４２は、処理装置により、署名σの要素ｓ^＊ _Ｌ＋１を数２２１に示すように生成する。

ここで、ｒ^＊ _Ｌ＋１は、数２２２である。

（Ｓ９０７：データ送信ステップ）
データ送信部４５０は、要素ｓ^＊ _０，ｓ^＊ _ｉ，ｓ^＊ _Ｌ＋１と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを含む署名σを、例えば通信装置によりネットワークを介して検証装置５００へ送信する。もちろん、署名σは、他の方法により検証装置５００へ送信されてもよい。

つまり、（Ｓ９０１）から（Ｓ９０６）において、署名装置４００は、数２２３に示すＳｉｇアルゴリズムを実行して、署名σを生成する。そして、（Ｓ９０７）で、署名装置４００は、生成した署名σを検証装置５００へ送信する。

検証装置５００の機能と動作とについて説明する。
図２１に示すように、検証装置５００は、公開パラメータ受信部５１０、データ受信部５２０、検証データ生成部５３０、検証部５４０を備える。また、検証データ生成部５３０は、ｆベクトル生成部５３１、ｓベクトル生成部５３２、乱数生成部５３３、検証要素生成部５３４を備える。

図２５に基づき、Ｖｅｒアルゴリズムの処理について説明する。
（Ｓ１００１：公開パラメータ受信ステップ）
公開パラメータ受信部５１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを受信する。

（Ｓ１００２：署名受信ステップ）
データ受信部５２０は、例えば、通信装置によりネットワークを介して、署名装置４００が送信した署名σを受信する。

（Ｓ１００３：ｆベクトル生成ステップ）
ｆベクトル生成部５３１は、処理装置により、ベクトルｆ^→を数２２４に示すようにランダムに生成する。

（Ｓ１００４：ｓベクトル生成ステップ）
ｓベクトル生成部５３２は、処理装置によりベクトルｓ^→Ｔ：＝（ｓ_１，．．．，ｓ_Ｌ）^Ｔを数２２５に示すように生成する。

また、ｓベクトル生成部５３２は、処理装置により、値ｓ_０を数２２６に示すように生成する。

（Ｓ１００５：乱数生成ステップ）
乱数生成部５３３は、処理装置により、乱数を数２２７に示すように生成する。

（Ｓ１００６：検証要素生成ステップ）
検証要素生成部５３４は、処理装置により、検証鍵の要素ｃ_０を数２２８に示すように生成する。

また、検証要素生成部５３４は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素ｃ_ｉを数２２９に示すように生成する。

また、検証要素生成部５３４は、処理装置により、検証鍵の要素ｃ_Ｌ＋１を数２３０に示すように生成する。

（Ｓ１００７：第１ペアリング演算ステップ）
検証部５４０は、処理装置により、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算する。
ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１であれば、検証部５４０は、署名の検証に失敗したことを示す値０を出力して、処理を終了する。一方、ペアリング演算ｅ（ｂ_０，１，ｓ^＊ _０）を計算した結果が値１でなければ、検証部５４０は、処理をＳ１００８へ進める。

（Ｓ１００８：第２ペアリング演算ステップ）
検証部５４０は、処理装置により、数２３１に示すペアリング演算を計算する。

数２３１に示すペアリング演算を計算した結果が値１であれば、検証部５４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、検証部５４０は、署名の検証に失敗したことを示す値０を出力する。

つまり、（Ｓ１００１）から（Ｓ１００８）において、検証装置５００は、数２３２に示すＶｅｒアルゴリズムを実行して、署名σを検証する。

以上のように、実施の形態２で説明したＣＰ−ＡＢＥ方式を応用したＡＢＳ方式を構成することができる。
実施の形態２で説明したＣＰ−ＡＢＥ方式で復号鍵ｓｋ_Γのサイズを小さくできたのと同様に、実施の形態４で説明したＡＢＳ方式では、署名鍵ｓｋ_Γのサイズを小さくすることができる。

なお、ここでは、実施の形態２で説明したＣＰ−ＡＢＥ方式を応用したＡＢＳ方式について説明した。実施の形態３で説明したＣＰ−ＦＥ方式を応用したＡＢＳ方式についても、実施の形態４で説明したＡＢＳ方式に対して、実施の形態３の考え方を応用することにより構成できる。

実施の形態５．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。実施の形態５では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２３３のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号処理を実現することができる。

なお、以上の実施の形態では、符号化部、秘匿部、秘密鍵ランダム化部、暗号文ランダム化部の次元をそれぞれ、ｎ、２ｎ、２ｎ、ｎ次元とし、基底Ｂ_１及び基底Ｂ^＊ _１の次元を６ｎ次元とした。しかし、これに限らず、秘匿部、秘密鍵ランダム化部、暗号文ランダム化部の次元をそれぞれ、ｎに依存しない、ｕ，ｗ，ｚ次元とし、基底Ｂ_１及び基底Ｂ^＊ _１の次元をｎ＋ｕ＋ｗ＋ｚ次元としてもよい。なお、ｕ，ｗ，ｚは、０以上の整数である。

また、上記説明では、ＫＰの場合には、暗号文のサイズが小さくなるように、第１ベクトルを用いて暗号文の要素を生成し、第２ベクトルを用いて復号鍵の要素を生成した。しかし、ＫＰの場合に、復号鍵のサイズが小さくなるように、第１ベクトルを用いて復号鍵の要素を生成し、第２ベクトルを用いて暗号文の要素を生成してもよい。
同様に、上記説明では、ＣＰの場合には、復号鍵のサイズが小さくなるように、第１ベクトルを用いて復号鍵の要素を生成し、第２ベクトルを用いて暗号文の要素を生成した。しかし、ＣＰの場合に、暗号文のサイズが小さくなるように、第１ベクトルを用いて暗号文の要素を生成し、第２ベクトルを用いて復号鍵の要素を生成してもよい。

また、以上の実施の形態では、１台の鍵生成装置１００が復号鍵を生成するとした。しかし、以上の実施の形態のアルゴリズムを、非特許文献３に記載された分散多管理者の方式と組み合わせて、複数の鍵生成装置１００により１つの復号鍵が生成されるようにすることも可能である。

なお、以上の実施の形態において、安全性の証明の観点から、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ^→）又は否定形の組¬（ｔ，ｖ^→）であると限定してもよい。
言い替えると、ρ（ｉ）＝（ｔ，ｖ^→）又はρ（ｉ）＝¬（ｔ，ｖ^→）である場合に、関数ρ~を、ρ~（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．．ｄ｝の写像であるとする。この場合、ρ~が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。

図２６は、実施の形態１〜５に示した暗号システム１０の各装置（鍵生成装置１００、暗号化装置２００、復号装置３００、署名装置４００、検証装置５００）のハードウェア構成の例を示す図である。
暗号システム１０の各装置はコンピュータであり、暗号システム１０の各装置の各要素をプログラムで実現することができる。
暗号システム１０の各装置のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等である。外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置等である。主記憶装置９０３は、例えばＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等である。通信装置９０４は、例えば通信ボード等である。入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵送信部１５０、公開パラメータ受信部２１０、情報入力部２２０、暗号化データ生成部２３０、データ送信部２４０、復号鍵受信部３１０、データ受信部３２０、スパンプログラム計算部３３０、補完係数計算部３４０、復号部３５０、署名鍵受信部４１０、情報入力部４２０、補完係数計算部４３０、署名データ生成部４４０、データ送信部４５０、公開パラメータ受信部５１０、データ受信部５２０、検証データ生成部５３０、検証部５４０として説明している機能を実現するプログラムである。
更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、上記プログラムを実行する。
また、実施の形態１〜５の説明において、「公開パラメータｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_Γ，ｓｋ_Ｓ」、「暗号文ｃｔ_Ｓ，ｃｔ_Γ」、「署名鍵ｓｋ_Γ」、「検証鍵」、「アクセスストラクチャＳ」、「属性集合Γ」、「メッセージｍ」、「署名σ」等として説明している情報やデータや信号値や変数値が主記憶装置９０３にファイルとして記憶されている。

なお、図２６の構成は、あくまでも暗号システム１０の各装置のハードウェア構成の一例を示すものであり、暗号システム１０の各装置のハードウェア構成は図２６に記載の構成に限らず、他の構成であってもよい。

１００ 鍵生成装置、１１０ マスター鍵生成部、１１１ 空間生成部、１１２ 行列生成部、１１３ 基底生成部、１１４ 鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ 復号鍵生成部、１４１ ｆベクトル生成部、１４２ ｓベクトル生成部、１４３ 乱数生成部、１４４ 鍵要素生成部、１５０ 鍵送信部、２００ 暗号化装置、２１０ 公開パラメータ受信部、２２０ 情報入力部、２３０ 暗号化データ生成部、２３１ 乱数生成部、２３２ 暗号要素生成部、２３３ ｆベクトル生成部、２３４ ｓベクトル生成部、２４０ データ送信部、３００ 復号装置、３１０ 復号鍵受信部、３２０ データ受信部、３３０ スパンプログラム計算部、３４０ 補完係数計算部、３５０ 復号部、４００ 署名装置、４１０ 署名鍵受信部、４２０ 情報入力部、４３０ 補完係数計算部、４４０ 署名データ生成部、４４１ 乱数生成部、４４２ 署名要素生成部、４５０ データ送信部、５００ 検証装置、５１０ 公開パラメータ受信部、５２０ データ受信部、５３０ 検証データ生成部、５３１ ｆベクトル生成部、５３２ ｓベクトル生成部、５３３ 乱数生成部、５３４ 検証要素生成部、５４０ 検証部。

Claims (9)

1. 基底Ｂ及び基底Ｂ^＊を利用し、暗号処理を行う暗号システムであり、
   属性情報ｘ_ｉ（ｉ＝１，．．．，ｎ’，ｎ’は１以上ｎ−１以下の整数，ｎは２以上の整数）を根とする多項式の係数ｙ_ｊ（ｊ＝１，．．．，ｎ）からなる第１ベクトルと、述語情報ｖ_１のべき乗ｖ_１ ^ｉ（ｉ＝０，．．．，ｎ−１）からなる第２ベクトルとの一方のベクトルを用いて生成された送信側ベクトルであって、前記基底Ｂにおけるベクトルである送信側ベクトルを生成する送信装置と、
   前記第１ベクトルと前記第２ベクトルとの他方のベクトルを用いて生成された受信側ベクトルであって、前記基底Ｂ^＊におけるベクトルである受信側ベクトルと、前記送信側ベクトルとについて、ペアリング演算を行う受信装置と
   を備えることを特徴とする暗号システム。
2. 前記基底Ｂ及び前記基底Ｂ^＊は、各行各列に少なくとも１つは定数値０以外の値を有する疎行列を用いて基底Ａを変形して生成された基底である
   ことを特徴とする請求項１に記載の暗号システム。
3. 前記第１ベクトルは、数１に示すベクトルであり、
   前記第２ベクトルは、数２に示すベクトルである
   ことを特徴とする請求項１又は２に記載の暗号システム。
   

   

   
4. 前記送信装置は、暗号文ｃｔ_Γを生成する暗号化装置であり、数３に示す送信側ベクトルｃ_１を含む暗号文ｃｔ_Γを生成し、
   前記受信装置は、前記暗号文ｃｔ_Γを復号する復号装置であり、数４に示す受信側ベクトルｋ^＊ _ｉを含む復号鍵ｓｋ_Ｓを用いて前記暗号文ｃｔ_Γを復号する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   
5. 前記送信装置は、暗号文ｃｔ_Ｓを生成する暗号化装置であり、数５に示す送信側ベクトルｃ_ｉを含む暗号文ｃｔ_Ｓを生成し、
   前記受信装置は、前記暗号文ｃｔ_Ｓを復号する復号装置であり、数６に示す受信側ベクトルｋ^＊ _１を含む復号鍵ｓｋ_Γを用いて前記暗号文ｃｔ_Ｓを復号する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   
6. 前記送信装置は、暗号文ｃｔ_Γを生成する暗号化装置であり、数７に示す送信側ベクトルｃ_１．ｔを含む暗号文ｃｔ_Γを生成し、
   前記受信装置は、前記暗号文ｃｔ_Γを復号する復号装置であり、数８に示す受信側ベクトルｋ^＊ _ｉ．ｔを含む復号鍵ｓｋ_Ｓを用いて前記暗号文ｃｔ_Γを復号する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   
7. 前記送信装置は、暗号文ｃｔ_Ｓを生成する暗号化装置であり、数９に示す送信側ベクトルｃ_ｉ．ｔを含む暗号文ｃｔ_Ｓを生成し、
   前記受信装置は、前記暗号文ｃｔ_Ｓを復号する復号装置であり、数１０に示す受信側ベクトルｋ^＊ _１．ｔを含む復号鍵ｓｋ_Γを用いて前記暗号文ｃｔ_Ｓを復号する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   
8. 前記送信装置は、署名Ｓｉｇを生成する署名装置であり、数１１に示す送信側ベクトルｓ^＊ _ｉを含む署名Ｓｉｇを生成し、
   前記受信装置は、前記署名Ｓｉｇを検証する検証装置であり、数１２に示す受信側ベクトルｃ_ｉを含む検証鍵ｖｋを用いて前記署名Ｓｉｇを検証する
   ことを特徴とする請求項３に記載の暗号システム。
   

   

   
9. 基底Ｂ及び基底Ｂ^＊を利用し、暗号処理を行う暗号プログラムであり、
   属性情報ｘ_ｉ（ｉ＝１，．．．，ｎ’，ｎ’は１以上ｎ−１以下の整数，ｎは２以上の整数）を根とする多項式の係数ｙ_ｊ（ｊ＝１，．．．，ｎ）からなる第１ベクトルと、述語情報ｖ_１のべき乗ｖ_１ ^ｉ（ｉ＝０，．．．，ｎ−１）からなる第２ベクトルとの一方のベクトルを用いて生成された送信側ベクトルであって、前記基底Ｂにおけるベクトルである送信側ベクトルを生成する送信側処理と、
   前記第１ベクトルと前記第２ベクトルとの他方のベクトルを用いて生成された受信側ベクトルであって、前記基底Ｂ^＊におけるベクトルである受信側ベクトルと、前記送信側ベクトルとについて、ペアリング演算を行う受信側処理と
   をコンピュータに実行させることを特徴とする暗号プログラム。

Images