WO2023135642A1 - 暗号化装置、復号装置、復号可能検証装置、暗号システム、暗号化方法、及び暗号化プログラム - Google Patents

Abstract

暗号化装置（４００）が備える暗号化部（４０３）は、属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成されたとき、秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて復号可能条件Ｌを暗号化することによって鍵Ｋと鍵Ｋに対応する暗号文Ｐとを生成し、暗号文Ｐのうち秘密値に基づいて復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、暗号文Ｐのうち分散された秘密値が暗号化された箇所をＰ－ＳＳとし、鍵ＫとＰ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ'とＰ'－Ｄとを生成し、公開鍵ＰＱＣＰＫを用いてＰ－Ｄと乱数Ｒとから成るデータを暗号化することによって暗号文Ｃを生成する。ここで、Ｐ－ＳＳとＰ'－ＤとＫ'とは、ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである。

Description

暗号化装置、復号装置、復号可能検証装置、暗号システム、暗号化方法、及び暗号化プログラム

　本開示は、暗号化装置、復号装置、復号可能検証装置、暗号システム、暗号化方法、及び暗号化プログラムに関する。

　属性ベース暗号（Ａｔｔｒｉｂｕｔｅ　Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ，ＡＢＥ）は公開鍵暗号の一種である。属性ベース暗号において、アクセス権を論理式などで表現した復号可能条件が暗号化時における入力であり、当該条件を満たす属性の集合から作られたユーザ秘密鍵を用いて当該条件に対応する暗号文を復号する。
　また、量子コンピュータに対して解読耐性を持つ暗号は耐量子計算機暗号（Ｐｏｓｔ　Ｑｕａｎｔｕｍ　Ｃｒｙｐｔｏｇｒａｐｈｙ，ＰＱＣ）と呼ばれ、耐量子計算機暗号となるような属性ベース暗号が開発されている。
　非特許文献１は、耐量子計算機暗号である属性ベース暗号を開示している。

Ｇｏｒｂｕｎｏｖ，Ｓ．，ｅｔ　ａｌ．，"Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ　ｆｏｒ　Ｃｉｒｃｕｉｔｓ．"Ｊｏｕｒｎａｌ　ｏｆ　ｔｈｅ　ＡＣＭ（ＪＡＣＭ）６２．６（２０１５），ｐｐ．１－３３．

　非特許文献１などが開示する耐量子計算機暗号である属性ベース暗号には、格子暗号技術から構成したものが多いため、機能及び効率面などに様々な課題がある。具体的には、鍵ポリシー型、すなわち復号可能条件をユーザ秘密鍵に設定し、暗号文に属性の集合を設定するような属性ベース暗号の提案が多いこと、復号可能条件と属性集合の対応確認が復号と一体となっているために復号可能条件のチェックのみをすることができないこと、及び暗号文のデータサイズがマスター鍵で指定された最大値に依存すること、すなわち暗号文のデータサイズと、暗号化処理時間とが効率的ではないことなどが上げられる。従って、従来の耐量子計算機暗号である属性ベース暗号には、属性ベース暗号のアクセス制御の柔軟性及び効率性と、量子コンピュータに対する安全性との両方を満たすことができないという課題がある。

　本開示は、属性ベース暗号のアクセス制御の柔軟性及び効率性と、量子コンピュータに対する安全性との両方を有する公開鍵暗号方式技術を提供することを目的とする。

　本開示に係る暗号化装置は、
　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成されたとき、
　前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとを生成し、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所をＰ－ＳＳとし、
　前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成し、
　前記公開鍵ＰＱＣＰＫを用いて前記Ｐ－Ｄと前記乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃを生成する暗号化部
を備え、
　前記Ｐ－ＳＳと前記Ｐ’－Ｄと前記Ｋ’とは、前記ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである。

　本開示によれば、ユーザ秘密鍵ＳＫΓに対応する復号可能条件Ｌを、属性ベース暗号の公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて属性ベース暗号により暗号化することによって鍵Ｋと鍵Ｋに対応する暗号文Ｐとが生成される。ここで、暗号文Ｐのうち秘密値に基づいて復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、暗号文Ｐのうち分散された秘密値が暗号化された箇所をＰ－ＳＳとする。ＫとＰ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとが生成される。公開鍵ＰＱＣＰＫを用いてＰ－Ｄと乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃが生成される。また、Ｐ－ＳＳとＰ’－ＤとＫ’とは、ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである。
　従って、本開示によれば、属性ベース暗号のアクセス制御の柔軟性及び効率性と、量子コンピュータに対する安全性との両方を有する公開鍵暗号方式技術を提供することができる。

実施の形態１に係る暗号システム１００の構成例を示す図。 実施の形態１に係る暗号システム１００の処理の概要を説明する図。 実施の形態１に係る暗号システム１００の処理の概要を説明する図。 実施の形態１に係るパラメータ生成装置２００の構成例を示す図。 実施の形態１に係るユーザ秘密鍵生成装置３００の構成例を示す図。 実施の形態１に係る暗号化装置４００の構成例を示す図。 実施の形態１に係る復号可能検証装置５００の構成例を示す図。 実施の形態１に係る復号装置６００の構成例を示す図。 実施の形態１に係る各装置のハードウェア構成例を示す図。 実施の形態１に係るパラメータ生成装置２００の動作を示すフローチャート。 実施の形態１に係るユーザ秘密鍵生成装置３００の動作を示すフローチャート。 実施の形態１に係る暗号化装置４００の動作を示すフローチャート。 実施の形態１に係る復号可能検証装置５００の動作を示すフローチャート。 実施の形態１に係る復号装置６００の動作を示すフローチャート。 実施の形態１に係る暗号システム１００の効果を説明する図であり、（ａ）は従来技術を説明する図、（ｂ）は実施の形態１を説明する図。 実施の形態１に係る暗号システム１００の効果を説明する図であり、（ａ）は従来技術の概要を示す図、（ｂ）は実施の形態１の概要を示す図。 実施の形態１の変形例に係る各装置のハードウェア構成例を示す図。

　実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印は、データの流れ、信号の入出力又は処理の流れを主に示している。また、「部」を、「回路」、「装置」、「機器」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。各部の機能は、ファームウェア、ソフトウェア、ハードウェア、又はこれらの組み合わせのいずれによって実装されても構わない。

　実施の形態１．
　以下、本実施の形態について、図面を参照しながら詳細に説明する。

＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係る暗号システム１００の構成例を示すブロック図である。図１に示すように、暗号システム１００は、パラメータ生成装置２００と、複数のユーザ秘密鍵生成装置３００と、複数の暗号化装置４００と、復号可能検証装置５００と、復号装置６００とを備える。暗号システム１００は耐量子属性ベース暗号システムとも呼ばれる。暗号システム１００を構成する各装置は、インターネット１０１を介して通信可能に適宜接続されている。暗号システム１００を構成する各装置は、適宜一体的に構成されていてもよい。
　暗号システム１００は、量子コンピュータに対する解読耐性を有し、かつ、属性ベース暗号のようにアクセス制御可能な性質を有する公開鍵暗号方式技術を提供する。

　図２は、暗号システム１００の処理の概要を示している。図２に示すように、暗号システム１００では、耐量子計算機暗号により暗号化した後に関数型暗号（Ｆｕｎｃｔｉｏｎａｌ　ｅｎｃｒｙｐｔｉｏｎ，ＦＥ）により暗号化することによって二重暗号化する。
　ただし、ナイーブに二重暗号化する方法によれば、量子コンピュータで関数型暗号が解読されても平文が耐量子計算機暗号により暗号化されているので平文が漏れる心配はないという利点がある。しかしながら、当該方法によれば、関数型暗号の鍵に加えて全員に共通の耐量子計算機暗号の鍵を配布する必要があるという課題と、量子コンピュータを所持している攻撃者に対して、関数型暗号で生成した暗号鍵ｋｅｙ_ＦＥが完全に露呈するという課題とがある。
　そこで、本実施の形態では、量子コンピュータを所持している攻撃者であってもｋｅｙ_ＦＥを解読することができないようにすることと、ＰＱＣ（Ｐｏｓｔ　Ｑｕａｎｔｕｍ　Ｃｒｙｐｔｏｇｒａｐｈｙ）の秘密鍵を使わなくても復号可能条件をチェックすることができるようにすることを目的として、関数型暗号により暗号化する処理を改変する。

　図３は、関数型暗号により暗号化する処理の改変を説明する図である。図３に示すように、ＦＥの復号可能条件をチェックする処理において、ＦＥを復号しなくてもよいように、すなわちＰＱＣの鍵を使わなくてもよいように関数型暗号により暗号化する処理を変更する。なお、そのために専用のパラメータを準備する。
　また、ＦＥを復号するためのパラメータをＰＱＣにより再度暗号化することによって、量子コンピュータを所持している攻撃者であってもＦＥを復号することができないように関数型暗号により暗号化する処理を変更する。

　インターネット１０１は、パラメータ生成装置２００と、複数のユーザ秘密鍵生成装置３００と、複数の暗号化装置４００と、復号可能検証装置５００と、復号装置６００とを適宜接続する通信路である。インターネット１０１はネットワークの一例である。インターネット１０１の代わりに、同じ施設内に敷設されたＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）など、他の種類のネットワークが用いられてもよい。

　パラメータ生成装置２００は、共通パラメータを生成するコンピュータであり、インターネット１０１を介して、各ユーザ秘密鍵生成装置３００と、各暗号化装置４００と、復号可能検証装置５００と、復号装置６００との各々へ生成した共通パラメータを適宜送信する。コンピュータは具体例としてＰＣ（Ｐｅｒｓｏｎａｌ　Ｃｏｍｐｕｔｅｒ）である。共通パラメータは、暗号システム１００において共通して用いられるパラメータであり、具体例として鍵である。なお、生成された共通パラメータは、インターネット１０１を介さず、共通パラメータを記録した記憶媒体の郵送などで直接的に送信されてもよい。

　各ユーザ秘密鍵生成装置３００は、ユーザ秘密鍵を生成し、生成したユーザ秘密鍵を復号可能検証装置５００と復号装置６００とへ送信するコンピュータである。

　暗号化装置４００は、データを暗号化する装置として機能するコンピュータである。暗号化装置４００は、パラメータ生成装置２００から公開鍵を受信し、復号可能条件Ｌを入力として、検証パラメータＣＣＨＥＣＫと、暗号文Ｃと、共通鍵秘密鍵ＫＥＹとを出力する。

　復号可能検証装置５００は、ユーザ秘密鍵によって暗号文Ｃが復号可能であるか否かを検証するコンピュータである。復号可能検証装置５００は、パラメータ生成装置２００から公開鍵を受信し、検証パラメータＣＣＨＥＣＫと暗号文Ｃとを暗号化装置４００から受信し、ユーザ秘密鍵を入力として、入力されたユーザ秘密鍵によって暗号文Ｃが復号可能であるか否かを検証する。その後、具体例として、復号可能検証装置５００は、ユーザ秘密鍵によって暗号文Ｃが復号可能である場合に０を出力し、それ以外の場合に１を出力する。

　復号装置６００は、検証パラメータＣＣＨＥＣＫと暗号文Ｃとを暗号化装置４００から受信し、ユーザ秘密鍵をユーザ秘密鍵生成装置３００から受信し、また、暗号文Ｃを復号した結果を出力するコンピュータである。

　以下、暗号システム１００を構成する各装置の構成例について説明する。
　図４は、パラメータ生成装置２００の構成例を示すブロック図である。図４に示すように、パラメータ生成装置２００は、入力部２０１と、共通パラメータ生成部２０２と、送信部２０３とを備える。なお、図示していないが、パラメータ生成装置２００は、パラメータ生成装置２００の各部で使用されるデータを記憶する記録媒体を備える。
　入力部２０１は、暗号システム１００で用いられる鍵のビット長Ｋを入力として受け取る。
　共通パラメータ生成部２０２は、公開鍵ＭＰＫとマスター秘密鍵ＭＳＫとを生成し、その後、公開鍵ＰＱＣＰＫと秘密鍵ＰＱＣＳＫとを生成する。公開鍵ＭＰＫとマスター秘密鍵ＭＳＫとの各々は、暗号システム１００で用いられる演算の基本となる属性ベース暗号の鍵である。マスター秘密鍵ＭＳＫは属性ベース暗号の秘密鍵とも呼ばれ、公開鍵ＭＰＫは属性ベース公開鍵とも呼ばれる。ＭＰＫはＭＳＫに対応する。公開鍵ＰＱＣＰＫと秘密鍵ＰＱＣＳＫとの各々は、耐量子計算機暗号の鍵である。公開鍵ＰＱＣＰＫは耐量子計算機暗号の公開鍵とも呼ばれ、秘密鍵ＰＱＣＳＫは耐量子計算機暗号の秘密鍵とも呼ばれる。ＰＱＣＳＫはＰＱＣＰＫに対応する。なお、図示していないが、ＭＰＫとＭＳＫとＰＱＣＰＫとＰＱＣＳＫとの各々を生成するために、共通パラメータ生成部２０２は乱数生成機能などを備えてもよい。
　送信部２０３は、共通パラメータ生成部２０２が生成した公開鍵ＭＰＫと公開鍵ＰＱＣＰＫとを、ユーザ秘密鍵生成装置３００と、暗号化装置４００と、復号可能検証装置５００と、復号装置６００との各々へ送信する。また、送信部２０３は、共通パラメータ生成部２０２が生成したマスター秘密鍵ＭＳＫと耐量子計算機暗号秘密鍵ＰＱＣＳＫとを、各ユーザ秘密鍵生成装置３００へ送信する。

　図５は、ユーザ秘密鍵生成装置３００の構成例を示すブロック図である。図５に示すように、ユーザ秘密鍵生成装置３００は、入力部３０１と、鍵受信部３０２と、鍵生成部３０３と、鍵送信部３０４とを備える。なお、図示していないが、ユーザ秘密鍵生成装置３００は、ユーザ秘密鍵生成装置３００の各部で使用されるデータを記憶する記録媒体を備える。
　入力部３０１は、属性の集合Γを入力として受け取る。Γは、パラメータであり、また、復号可能条件Ｌに対応する。
　鍵受信部３０２は、ＭＳＫとＰＱＣＳＫとを受信する。
　鍵生成部３０３は、ＭＳＫとΓとを用いてユーザ秘密鍵ＳＫΓを生成する。ユーザ秘密鍵ＳＫΓは属性ベース暗号ユーザ秘密鍵とも呼ばれる。なお、図示していないが、ＳＫΓを生成するために、鍵生成部３０３は乱数生成機能などを備えてもよい。
　鍵送信部３０４は、鍵受信部３０２が受信したＰＱＣＳＫと、鍵生成部３０３が生成したＳＫΓとの各々を復号装置６００へ送信する。

　図６は、暗号化装置４００の構成例を示すブロック図である。図６に示すように、暗号化装置４００は、入力部４０１と、鍵受信部４０２と、暗号化部４０３と、暗号文送信部４０４と、鍵出力部４０５とを備える。なお、図示していないが、暗号化装置４００は、暗号化装置４００の各部で使用されるデータを記憶する記録媒体を備える。
　入力部４０１は、復号可能条件Ｌを入力として受け取る。
　鍵受信部４０２は、ＭＰＫとＰＱＣＰＫとを受信する。
　暗号化部４０３は、ＬとＭＰＫとＰＱＣＰＫとを用いて、検証パラメータＣＣＨＥＣＫと、暗号文Ｃと、共通鍵秘密鍵ＫＥＹとを生成する。検証パラメータＣＣＨＥＣＫは復号可能検証パラメータとも呼ばれる。具体的には、まず、暗号化部４０３は、鍵ＰＫを属性ベース暗号の暗号鍵として用いてＬを属性ベース暗号により暗号化することによって鍵Ｋと鍵Ｋに対応する暗号文Ｐとを生成する。ここで、ＰＫはＭＰＫとＰＱＣＰＫとから成る。また、暗号文Ｐのうち秘密値に基づいてＬが暗号化された箇所をＰ－Ｄとし、暗号文Ｐのうち分散された秘密値が暗号化された箇所をＰ－ＳＳとする。分散された秘密値は秘密分散値とも呼ばれる。その後、暗号化部４０３は、鍵ＫとＰ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成し、ＰＱＣＰＫを用いてＰ－Ｄと乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃを生成する。ここで、Ｐ－ＳＳとＰ’－ＤとＫ’とは、ＳＫΓに対応する復号可能検証パラメータである。なお、図示していないが、検証パラメータＣＣＨＥＣＫと暗号文Ｃとの各々を生成するために、暗号化部４０３には乱数生成機能などを備えてもよい。
　暗号文送信部４０４は、暗号化部４０３が生成したＣＣＨＥＣＫとＣとの各々を、復号可能検証装置５００と復号装置６００との各々へ送信する。
　鍵出力部４０５はＫＥＹを出力する。

　図７は、復号可能検証装置５００の構成例を示すブロック図である。図７に示すように、復号可能検証装置５００は、暗号文受信部５０１と、鍵受信部５０２と、検証部５０３と、結果出力部５０４とを備える。
　暗号文受信部５０１は、暗号化装置４００からＣＣＨＥＣＫ（＝Ｐ－ＳＳ，Ｐ’－Ｄ，Ｋ’）とＣとの各々を受信する。
　鍵受信部５０２は、ユーザ秘密鍵生成装置３００からＳＫΓを受信する。
　検証部５０３は検証処理を実行する。具体的には、検証部５０３は、ＳＫΓを用いて復号可能検証パラメータを属性ベース暗号により復号し、Ｋ’と復号した結果とが一致する場合にＳＫΓが復号可能であると判定する。
　結果出力部５０４は、具体例として、検証結果を示す値として０か１を出力する。

　図８は、復号装置６００の構成例を示すブロック図である。図８に示すように、復号装置６００は、暗号文受信部６０１と、鍵受信部６０２と、復号部６０３と、結果出力部６０４とを備える。
　暗号文受信部６０１は、暗号化装置４００からＣＣＨＥＣＫ（＝Ｐ－ＳＳ，Ｐ’－Ｄ，Ｋ’）とＣとの各々を受信する。
　鍵受信部６０２は、ユーザ秘密鍵生成装置３００からＳＫΓとＰＱＣＳＫとの各々を受信する。
　復号部６０３は、復号処理を実行することにより復号された共通鍵秘密鍵ＫＥＹを計算する。具体的には、復号部６０３は、ＰＱＣＳＫを用いて暗号文Ｃを耐量子計算機暗号により復号し、乱数Ｒを用いてＰ’－ＤからＰ－Ｄを計算し、復号した結果が示すＰ－Ｄと、計算したＰ－Ｄとが一致する場合に、ＳＫΓを用いてＰ－ＳＳとＰ－Ｄとから成るデータを属性ベース暗号により復号する。
　結果出力部６０４は、共通鍵秘密鍵ＫＥＹを出力する。

　図９は、パラメータ生成装置２００と、各ユーザ秘密鍵生成装置３００と、各暗号化装置４００と、復号可能検証装置５００と、復号装置６００との各々のハードウェア資源の一例を示す図である。図９に示すように、各装置はコンピュータである。各装置は複数のコンピュータから成ってもよい。

　コンピュータは、ＣＰＵ１１（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）を備えている。ＣＰＵ１１はプロセッサの具体例である。コンピュータは複数のＣＰＵ１１を備えてもよい。ＣＰＵ１１は、バス１２を介して、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１３と、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１４と、通信ボード１５と、ディスプレイ１６と、キーボード１７と、マウス１８と、ドライブ１９と、磁気ディスク装置２０などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。ディスプレイ１６は表示装置である。ドライブ１９は、ＦＤ（Ｆｌｅｘｉｂｌｅ　Ｄｉｓｋ　Ｄｒｉｖｅ）、ＣＤ（Ｃｏｍｐａｃｔ　Ｄｉｓｃ）、又はＤＶＤ（Ｄｉｇｉｔａｌ　Ｖｅｒｓａｔｉｌｅ　Ｄｉｓｃ）などの記憶媒体からデータを読み出し、また、当該記憶媒体にデータを書き込む装置である。

　ＲＯＭ１３、ＲＡＭ１４、磁気ディスク装置２０及びドライブ１９は記憶装置の一例である。キーボード１７、マウス１８及び通信ボード１５は入力装置の一例である。ディスプレイ１６及び通信ボード１５は出力装置の一例である。

　通信ボード１５は、有線又は無線で、ＬＡＮ、インターネット、又は電話回線などの通信網に接続している。

　磁気ディスク装置２０には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）２１と、プログラム群２２と、ファイル群２３とが記憶されている。

　プログラム群２２には、本実施の形態において「～部」として説明する機能を実行するプログラムが含まれる。各プログラムは、ＣＰＵ１１により読み出され実行される。すなわち、プログラムは、「～部」としてコンピュータを機能させるものであり、また「～部」の手順又は方法などをコンピュータに実行させるものである。各プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。各プログラムは、プログラムプロダクトとして提供されてもよい。

　ファイル群２３には、本実施の形態において説明する「～部」で使用される各種データ（入力、出力、判定結果、計算結果、又は処理結果など）が含まれる。

　フローチャートなどに基づいて説明する本実施の形態の処理は、ＣＰＵ１１と、記憶装置と、入力装置と、出力装置との少なくともいずれかなどのハードウェアを用いて実行される。

＊＊＊動作の説明＊＊＊
　暗号システム１００の各装置の動作手順は各装置の名前を冠する方法に相当する。また、暗号システム１００の各装置の動作を実現するプログラムは各装置の名前を冠するプログラムに相当する。具体例として、暗号化装置４００の動作手順は暗号化方法に相当し、暗号化装置４００の動作を実現するプログラムは暗号化プログラムに相当する。

　暗号システム１００の動作を説明する前に、本実施の形態で使用する基本的な暗号技術と当該技術における表記について説明する。
　暗号文ポリシー型属性ベース暗号は、復号可能条件Ｌで設定された復号条件を満たすような属性の集合Γから生成されたユーザ秘密鍵を所持するユーザのみが復号可能である暗号である。暗号文ポリシー型属性ベース暗号は、以下のようなアルゴリズムにより構成される。
　セットアップＡＢＥＳＥＴＵＰは、鍵長などを入力としてマスター秘密鍵ＭＳＫと公開鍵ＭＰＫとを出力する。
　属性ベース暗号のユーザ秘密鍵生成ＡＢＥＫＥＹＧＥＮは、ＭＳＫと属性の集合Γとを入力として、Γに該当するユーザのためのユーザ秘密鍵ＳＫΓを生成する。
　暗号化ＡＢＥＥＮＣは、公開鍵ＭＰＫと、復号可能条件Ｌとを入力として、共通鍵暗号用の鍵Ｋと鍵Ｋに対応する暗号文Ｐとを生成する。
　復号ＡＢＥＤＥＣは、ユーザ秘密鍵ＳＫΓと暗号文Ｐとを入力とし、Γと、Ｐを生成した際の復号可能条件Ｌとがマッチした場合に、Ｐが暗号化している鍵Ｋが出力される。

［参考文献１］
　Ｏｋａｍｏｔｏ，Ｔ．，ｅｔ　ａｌ．，“Ｆｕｌｌｙ　Ｓｅｃｕｒｅ　Ｆｕｎｃｔｉｏｎａｌ　Ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　Ｇｅｎｅｒａｌ　Ｒｅｌａｔｉｏｎｓ　ｆｒｏｍ　ｔｈｅ　Ｄｅｃｉｓｉｏｎａｌ　Ｌｉｎｅａｒ　Ａｓｓｕｍｐｔｉｏｎ”，Ａｎｎｕａｌ　Ｃｒｙｐｔｏｌｏｇｙ　Ｃｏｎｆｅｒｅｎｃｅ．Ｓｐｒｉｎｇｅｒ，Ｂｅｒｌｉｎ，Ｈｅｉｄｅｌｂｅｒｇ，２０１０．

　また、参考文献１などは、暗号文Ｐに復号可能条件Ｌをエンコードする方法として秘密分散計算を用いる方法を開示している。秘密分散計算を用いる方法は、復号するために必要な秘密値Ｓを復号可能条件Ｌとして記述されている論理式に応じて秘密分散する方法である。具体例として、Ａ　ＡＮＤ　Ｂ、すなわちＡとＢとの両方の属性を持つユーザ秘密鍵でのみ復号が成功するよう設定する場合を考える。この場合において、まず、暗号化対象をＳ、もしくはＳから計算することができる値を用いて平文を暗号化して暗号文を生成する。次に、ＳをＳ＝Ｓ１＋Ｓ２とし、ＡにＳ１を埋め込み、ＢにＳ２を埋め込む。次に、Ａが埋め込まれたユーザ秘密鍵を用いてＳ１を抽出し、Ｂが埋め込まれたユーザ秘密鍵を用いてＳ２を抽出し、結果として、Ｓ、もしくはＳから計算することができる値を復元して最終計算することにより暗号文を復号する。なお、参考文献１は効率的な属性ベース暗号を提案しているが、当該属性ベース暗号には量子コンピュータに対する解読耐性がないことが知られている。
　ここで、暗号文Ｐの中で、秘密分散値が暗号化された箇所をＰ－ＳＳと記述し、暗号化対象が秘密値Ｓ、もしくはＳから計算することができる値を用いて暗号化された箇所をＰ－Ｄと記述する。また、復号ＡＢＥＤＥＣのうち、秘密分散値を復元する箇所を秘密分散復元演算ＡＢＥＤＥＣ－ＳＳと記述し、最終復号を行う箇所を最終復号演算ＡＢＥＤＥＣ－Ｄと記述する。

　耐量子計算機公開鍵暗号（ＰＱＣ）は、以下のようなアルゴリズムで構成される。
　耐量子計算機暗号鍵生成ＰＱＣＫＧは、鍵長などを入力として秘密鍵ＰＱＣＳＫと公開鍵ＰＱＣＰＫを出力する。
　耐量子計算機暗号暗号化ＰＱＣＥＮＣは、ＰＱＣＰＫと平文Ｍとを入力として暗号文ＰＱＣＣを出力する。
　耐量子計算機暗号復号ＰＱＣＤＥＣは、ＰＱＣＳＫと暗号文ＰＱＣＣとを入力として復号結果を出力する。

　以下、本実施の形態に係る各装置の計算方法に相当する、暗号システム１００の動作について説明する。
　図１０は、パラメータ生成装置２００によるパラメータ生成処理の一例を表しているフローチャートである。図１０を参照してパラメータ生成処理を説明する。

（ステップＳ２０１：情報入力ステップ）
　入力部２０１は、鍵のビット長Ｋを入力として受け取る。

（ステップＳ２０２：属性ベース暗号鍵生成ステップ）
　共通パラメータ生成部２０２は、ビット長Ｋを用いて属性ベース暗号のセットアップＳＥＴＵＰを実行することにより、ＭＳＫとＭＰＫとの各々を生成する。

（ステップＳ２０３：耐量子計算機暗号鍵生成ステップ）
　共通パラメータ生成部２０２は、ＰＱＣＫＧを実行することにより、ＰＱＣＳＫとＰＱＣＰＫとの各々を生成する。

（ステップＳ２０４：配布ステップ）
　送信部２０３は、ＳＫ＝（ＭＳＫ，ＰＱＣＳＫ）と、ＰＫ＝（ＭＰＫ，ＰＱＣＰＫ）との各々を各装置へ送信する。

　図１１は、ユーザ秘密鍵生成装置３００によるユーザ秘密鍵生成処理の一例を表しているフローチャートである。図１１を参照してユーザ秘密鍵生成処理を説明する。

（ステップＳ３０１：属性入力ステップ）
　入力部３０１は、属性の集合Γを入力として受け取る。

（ステップＳ３０２：鍵入力ステップ）
　鍵受信部３０２は、ＳＫ＝（ＭＳＫ，ＰＱＣＳＫ）を受け取る。

（ステップＳ３０３：ユーザ秘密鍵生成ステップ）
　鍵生成部３０３は、ＭＳＫとΓとを用いてＡＢＥＫＥＹＧＥＮを実行することによりＳＫΓを生成する。

（ステップＳ３０４：送信ステップ）
　鍵送信部３０４は、ＰＱＣＳＫとＳＫΓとをユーザ秘密鍵ＵＳＫ＝（ＰＱＣＳＫ，ＳＫΓ）とし、ＵＳＫを各装置へ送信する。

　図１２は、暗号化装置４００による暗号化処理の一例を表しているフローチャートである。図１２を参照して暗号化処理を説明する。

（ステップＳ４０１：属性入力ステップ）
　鍵受信部４０２は、ＰＫ＝（ＭＰＫ，ＰＱＣＰＫ）を受信する。

（ステップＳ４０２：復号可能条件入力ステップ）
　入力部４０１は、復号可能条件Ｌを受け取る。

（ステップＳ４０３：属性ベース暗号化ステップ）
　暗号化部４０３は、ＰＫとＬとを用いてＡＢＥＥＮＣを実行することにより、Ｐ＝（Ｐ－ＳＳ，Ｐ－Ｄ）とＫとを生成する。

（ステップＳ４０４：ランダム化ステップ）
　暗号化部４０３は、ＫとＰ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成する。ここで、Ｐ’＝（Ｐ－ＳＳ，Ｐ’－Ｄ）を正しく復号するとＫ’が生成されるものとする。なお、本ステップの処理は参考文献１が開示する技術により実施可能である。

（ステップＳ４０５：耐量子計算機暗号化ステップ）
　暗号化部４０３は、ＰＱＣＰＫと平文Ｍ＝（Ｐ－Ｄ，Ｒ）とをＰＱＣＥＮＣに入力することにより、暗号文Ｃ＝ＰＱＣＣ－ＤＲを生成する。

（ステップＳ４０６：送信ステップ）
　暗号文送信部４０４は、検証パラメータＣＣＨＥＣＫ＝（Ｐ－ＳＳ，，Ｋ’）と、暗号文Ｃ＝ＰＱＣＣ－ＤＲとを各装置に送信する。

　図１３は、復号可能検証装置５００による復号可能検証処理の一例を表しているフローチャートである。図１３を参照して復号可能検証処理を説明する。

（ステップＳ５０１：暗号文受信ステップ）
　暗号文受信部５０１は、検証パラメータＣＣＨＥＣＫ＝（Ｐ－ＳＳ，Ｐ’－Ｄ，Ｋ’）を受信する。

（ステップＳ５０２：鍵受信ステップ）
　鍵受信部５０２は、ユーザ秘密鍵ＵＳＫ＝（ＰＱＣＳＫ，ＳＫΓ）を受信する。

（ステップＳ５０３：検証ステップ）
　検証部５０３は、ＳＫΓと、属性ベース暗号の暗号文としての（Ｐ－ＳＳ，Ｐ’－Ｄ）とを入力としてＡＢＥＤＥＣを実行することにより復号結果Ｋ’’を得る。

（ステップＳ５０４：出力ステップ）
　結果出力部５０４は、Ｋ’’がＫ’と一致する場合に０を出力し、それ以外の場合に１を出力する。

　図１４は、復号装置６００による復号処理の一例を表しているフローチャートである。図１４を参照して復号処理を説明する。

（ステップＳ６０１：鍵受信ステップ）
　鍵受信部６０２は、ＰＫ＝（ＭＰＫ，ＰＱＣＰＫ）と、ＵＳＫ＝（ＰＱＣＳＫ，ＳＫΓ）とを受信する。

（ステップＳ６０２：暗号文受信ステップ）
　暗号文受信部６０１は、検証パラメータＣＣＨＥＣＫ＝（Ｐ－ＳＳ，Ｐ’－Ｄ，Ｋ’）と、暗号文Ｃ＝ＰＱＣＣ－ＤＲとを受信する。

（ステップＳ６０３：復号ステップ）
　まず、復号部６０３は、秘密鍵ＰＱＣＳＫと暗号文Ｃ＝ＰＱＣＣ－ＤＲとを入力としてＰＱＣＤＥＣを実行することによりＭ＝（Ｐ－Ｄ，Ｒ）を得る。
　次に、復号部６０３は、得られた乱数Ｒを用いてＰ’－ＤからＰ－Ｄを計算する。計算したＰ－ＤがＰＱＣＤＥＣの実行結果が示すＰ－Ｄと一致しない場合、復号部６０３は０を出力する。これらのＰ－Ｄが一致する場合、復号部６０３は、ユーザ秘密鍵ＳＫΓと、属性ベース暗号の暗号文としての（Ｐ－ＳＳ，Ｐ－Ｄ）とを入力としてＡＢＥＤＥＣを実行することによりＫＥＹを得る。

（ステップＳ６０４：出力ステップ）
　結果出力部６０４は、ＫＥＹを出力する。

＊＊＊実施の形態１の効果の説明＊＊＊
　以上のように、本実施の形態によれば、量子コンピュータに対する耐性があり、復号して平文を取り出さなくても属性ベース暗号の復号が可能か否かを検証することができる二重暗号化技術を提供することができる。また、本実施の形態によれば、暗号文のデータサイズ又は復号の処理時間などがシステムによって決められた最大値に依存しない。そのため、本実施の形態によれば、より安全にかつ効率的に使用可能な耐量子計算機属性ベース暗号を実現することができる。
　また、本実施の形態によれば、復号可能条件と属性集合に関しては耐量子計算機暗号ではない属性ベース暗号と同等に構成することができ、また、復号可能条件と属性集合との対応確認を復号処理とは別に実行することができる。そのため、本実施の形態によれば、二重暗号化技術を、量子コンピュータに対する耐性がある属性ベース暗号として効率的に運用することができる。

　ここで、図１５を用いて本実施の形態の効果を説明する。「耐量子」は量子計算機耐性があることを意味する。図１５の（ａ）に示すように、従来技術では、量子コンピュータに対する耐性がある関数型暗号を格子暗号技術により直接的に構成するので、量子計算機耐性があるという利点があるものの、関数型暗号機能の構成が難しいために構成が複雑化するという課題がある。一方、本実施の形態によれば、一部において量子計算機耐性が従来技術と比較して劣るものの、従来技術である耐量子計算機暗号と関数型暗号とを組み合わせた構成であるために従来技術と比較して構成が簡素化される。
　また、図１６を用いて本実施の形態の効果を説明する。ここで、Ｃ_０は全体を統括してＫＥＭ鍵をエンコードしている成分であり、Ｃ_ｉはＬの中の属性がエンコードされている成分である。図１６の（ａ）に示すように、従来技術では復号可能条件をチェックするためにｋｅｙ_ＦＥを復号する必要があり、ｋｅｙ_ＦＥを復号するとＫＥＭ鍵の素ζが漏れるという課題がある。一方、図１６の（ｂ）に示すように、本実施の形態によればＫＥＭ鍵の成分はＰＱＣで守られる。また、復号可能条件をチェックするためのパラメータに対する一致判定をＰＱＣによらずに実行することができる。さらに、当該一致判定はＫＥＭ鍵の素ζと無関係に実行することができるため、当該一致判定においてＫＥＭ鍵の素ζが漏れるリスクはない。

＊＊＊他の構成＊＊＊
＜変形例１＞
　図１７は、本変形例に係る各装置のハードウェア構成例を示している。
　各装置は、ＣＰＵ１１、ＣＰＵ１１とＲＡＭ１４、ＣＰＵ１１とＲＯＭ１３、あるいはＣＰＵ１１とＲＡＭ１４とＲＯＭ１３とに代えて、処理回路３１を備える。
　処理回路３１は、各装置が備える各部の少なくとも一部を実現するハードウェアである。
　処理回路３１は、専用のハードウェアであってもよく、また、ＲＡＭ１４に格納されるプログラムを実行するプロセッサであってもよい。

　処理回路３１が専用のハードウェアである場合、処理回路３１は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）又はこれらの組み合わせである。
　各装置は、処理回路３１を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路３１の役割を分担する。

　各装置において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。

　処理回路３１は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
　ＣＰＵ１１とＲＡＭ１４とＲＯＭ１３と処理回路３１とを、総称して「プロセッシングサーキットリー」という。つまり、各装置の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。

＊＊＊他の実施の形態＊＊＊
　実施の形態１について説明したが、本実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、本実施の形態を部分的に実施しても構わない。その他、本実施の形態は、必要に応じて種々の変更がなされても構わず、全体としてあるいは部分的に、どのように組み合わせて実施されても構わない。
　なお、前述した実施の形態は、本質的に好ましい例示であって、本開示と、その適用物と、用途の範囲とを制限することを意図するものではない。フローチャートなどを用いて説明した手順は、適宜変更されてもよい。

　１１　ＣＰＵ、１２　バス、１３　ＲＯＭ、１４　ＲＡＭ、１５　通信ボード、１６　ディスプレイ、１７　キーボード、１８　マウス、１９　ドライブ、２０　磁気ディスク装置、２１　ＯＳ、２２　プログラム群、２３　ファイル群、３１　処理回路、１００　暗号システム、１０１　インターネット、２００　パラメータ生成装置、２０１　入力部、２０２　共通パラメータ生成部、２０３　送信部、３００　ユーザ秘密鍵生成装置、３０１　入力部、３０２　鍵受信部、３０３　鍵生成部、３０４　鍵送信部、４００　暗号化装置、４０１　入力部、４０２　鍵受信部、４０３　暗号化部、４０４　暗号文送信部、４０５　鍵出力部、５００　復号可能検証装置、５０１　暗号文受信部、５０２　鍵受信部、５０３　検証部、５０４　結果出力部、６００　復号装置、６０１　暗号文受信部、６０２　鍵受信部、６０３　復号部、６０４　結果出力部。

Claims (6)

1. 　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成されたとき、
   　前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとを生成し、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所をＰ－ＳＳとし、
   　前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成し、
   　前記公開鍵ＰＱＣＰＫを用いて前記Ｐ－Ｄと前記乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃを生成する暗号化部
   を備え、
   　前記Ｐ－ＳＳと前記Ｐ’－Ｄと前記Ｋ’とは、前記ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである暗号化装置。
2. 　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成され、前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとが生成され、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所がＰ－Ｄとされ、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所がＰ－ＳＳとされ、前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとが生成され、前記公開鍵ＰＱＣＰＫを用いて前記Ｐ－Ｄと前記乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃが生成されたとき、
   　前記暗号文Ｃと、前記Ｐ－ＳＳと、前記Ｐ’－Ｄとの各々を受信する暗号文受信部と、
   　前記公開鍵ＰＱＣＰＫに対応する秘密鍵ＰＱＣＳＫと、前記ユーザ秘密鍵ＳＫΓとの各々を受信する鍵受信部と、
   　前記秘密鍵ＰＱＣＳＫを用いて前記暗号文Ｃを耐量子計算機暗号により復号し、前記乱数Ｒを用いて前記Ｐ’－ＤからＰ－Ｄを計算し、復号した結果が示すＰ－Ｄと、計算したＰ－Ｄとが一致する場合に、前記ユーザ秘密鍵ＳＫΓを用いて前記Ｐ－ＳＳと前記Ｐ－Ｄとから成るデータを属性ベース暗号により復号する復号部と
   を備える復号装置。
3. 　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成され、前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとが生成され、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所がＰ－Ｄとされ、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所がＰ－ＳＳとされ、前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとが生成され、前記Ｐ－ＳＳと前記Ｐ’－Ｄと前記Ｋ’とが前記ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータとされたとき、
   　前記復号可能検証パラメータを受信する暗号文受信部と、
   　前記ユーザ秘密鍵ＳＫΓを受信する鍵受信部と、
   　前記ユーザ秘密鍵ＳＫΓを用いて前記復号可能検証パラメータを属性ベース暗号により復号し、前記Ｋ’と復号した結果とが一致する場合に前記ユーザ秘密鍵ＳＫΓが復号可能であると判定する検証部と
   を備える復号可能検証装置。
4. 　請求項１に記載の暗号化装置と、請求項２に記載の復号装置と、請求項３に記載の復号可能検証装置とを備える暗号システム。
5. 　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成されたとき、
   　コンピュータが、前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとを生成し、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所をＰ－ＳＳとし、
   　前記コンピュータが、前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成し、
   　前記コンピュータが、前記公開鍵ＰＱＣＰＫを用いて前記Ｐ－Ｄと前記乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃを生成する暗号化方法であって、
   　前記Ｐ－ＳＳと前記Ｐ’－Ｄと前記Ｋ’とは、前記ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである暗号化方法。
6. 　属性ベース暗号の秘密鍵ＭＳＫと、復号可能条件Ｌに対応する属性の集合Γとを用いてユーザ秘密鍵ＳＫΓが生成されたとき、
   　前記秘密鍵ＭＳＫに対応する公開鍵ＭＰＫと、耐量子計算機暗号の公開鍵ＰＱＣＰＫとから成る鍵ＰＫを属性ベース暗号の暗号鍵として用いて前記復号可能条件Ｌを属性ベース暗号により暗号化することによって鍵Ｋと前記鍵Ｋに対応する暗号文Ｐとを生成し、前記暗号文Ｐのうち秘密値に基づいて前記復号可能条件Ｌが暗号化された箇所をＰ－Ｄとし、前記暗号文Ｐのうち分散された前記秘密値が暗号化された箇所をＰ－ＳＳとし、
   　前記鍵Ｋと前記Ｐ－Ｄとのそれぞれを乱数Ｒを用いてランダム化することによりＫ’とＰ’－Ｄとを生成し、
   　前記公開鍵ＰＱＣＰＫを用いて前記Ｐ－Ｄと前記乱数Ｒとから成るデータを耐量子計算機暗号により暗号化することによって暗号文Ｃを生成する暗号化処理
   をコンピュータである暗号化装置に実行させる暗号化プログラムであって、
   　前記Ｐ－ＳＳと前記Ｐ’－Ｄと前記Ｋ’とは、前記ユーザ秘密鍵ＳＫΓに対応する復号可能検証パラメータである暗号化プログラム。

Images