CN115699670A - 重加密装置、加密系统、重加密方法和重加密程序 - Google Patents

Abstract

加密装置(30)生成将属性信息S作为输入而通过加密算法生成的会话密钥K和对会话密钥K进行加密而得到的密文ct_S。重加密密钥生成装置(40)生成重加密密钥rk，该重加密密钥rk包含对能够对密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～将属性信息S’作为输入而通过加密算法生成的会话密钥K’和密文ct_S’、以及根据随机数r生成的转换信息。重加密装置(50)根据转换信息，从通过转换后解密密钥sk_Γ ^～对密文ct_S进行解密而得到的解密信息K^中删除与随机数r有关的元素，输出包含设定了会话密钥K’的加密元素K^～和密文ct_S’的重加密密文rct_S’。

Description

重加密装置、加密系统、重加密方法和重加密程序

技术领域

本发明涉及能够设定访问范围的函数型加密或基于属性的加密中的代理重加密(Proxy Re-Encryption，PRE)技术。

背景技术

PRE是不对密文进行解密而将密文的解密权限委托给他人的系统。

在非专利文献1中，有关于基于属性的加密中的PRE(Attribute-Based PRE，ABPRE)方式的记载。在非专利文献2中，有关于特定的用户能够任意地变更属性的基于属性的加密(Adaptable Attribute-Based Encryption，Ad-PRE)方式的记载。在专利文献1中，记载有与非专利文献1、2相比抑制了重加密时密文的数据大小增加的PRE方式。

现有技术文献

专利文献

专利文献1：国际公开第2015-107620号

非专利文献

非专利文献1：Song Luo,Jianbin Hu,and Zhong Chen“Ciphertext PolicyAttribute-Based Proxy Re-encryption”

非专利文献2：Junzuo Lai and Robert H.Deng and Yanjiang Yang and JianWeng.“Adaptable Ciphertext-Policy Attribute-Based Encryption”

发明内容

发明要解决的课题

在非专利文献1记载的PRE方式中存在如下课题：每当执行重加密时，密文的数据大小变大。具体而言，在执行N次重加密时，密文的数据大小变大与N成比例的大小。因此，存在如下的与便利性有关的课题：当反复执行重加密时，密文的数据大小可能超过由系统决定的大小。

另外，如果一次性解密后再次重新进行加密，则能够删除增加的数据。但是，当一次性解密时，数据一次性返回明文，因此，存在安全性的课题。

在非专利文献2记载的PRE方式中，如果是具有特定高的权限的实体，则不管是什么样的密文的访问范围都能够自由地变更。但是，不管是什么样的密文都能够变更成任意的访问范围，因此，存在安全性的课题。

在专利文献1记载的PRE方式中，可抑制重加密时密文的数据大小增加。但是，与非专利文献1、2相同，密文的数据大小与重加密次数成比例地变大。

本发明的目的在于，能够使进行重加密而生成的密文的数据大小不依赖于重加密次数。

用于解决课题的手段

本发明的重加密装置具有：密文取得部，其取得将确定能够解密的范围的属性信息S作为输入而通过加密算法生成的会话密钥K和对所述会话密钥K进行加密而得到的密文ct_S中的所述密文ct_S；密钥取得部，其取得重加密密钥rk，该重加密密钥rk包含对能够对所述密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过所述加密算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据所述随机数r生成的转换信息；重加密密文生成部，其根据所述转换信息，从通过所述重加密密钥rk中包含的所述转换后解密密钥sk_Γ ^～对所述密文ct_S进行解密而得到的解密信息K^中删除与所述随机数r有关的元素，生成所述会话密钥K，根据所述会话密钥K和所述会话密钥K’生成加密元素K^～；以及输出部，其输出包含所述加密元素K^～和所述密文ct_S’的重加密密文rct_S’。

发明效果

在本发明中，重加密密文rct_S’包含根据会话密钥K和会话密钥K’生成的加密元素K^～以及密文ct_S’。利用解密密钥sk_Γ’对密文ct_S’进行解密，由此生成会话密钥K’，能够根据加密元素K^～和会话密钥K’生成会话密钥K。

在将密文ct_S’作为密文ct_S进行处理而生成重加密密文rct_S’的情况下也输出同样的重加密密文rct_S’，同样能够生成会话密钥K。

因此，能够使进行重加密而生成的密文的数据大小不依赖于重加密次数。

附图说明

图1是实施方式1的矩阵M^的说明图。

图2是实施方式1的矩阵M_δ的说明图。

图3是实施方式1的s₀的说明图。

图4是实施方式1的s^→T的说明图。

图5是实施方式1的加密系统100的结构图。

图6是实施方式1的公共参数生成装置10的结构图。

图7是实施方式1的用户秘密密钥生成装置20的结构图。

图8是实施方式1的加密装置30的结构图。

图9是实施方式1的重加密密钥生成装置40的结构图。

图10是实施方式1的重加密装置50的结构图。

图11是实施方式1的解密装置60的结构图。

图12是示出实施方式1的公共参数生成装置10的动作的流程图。

图13是示出实施方式1的用户秘密密钥生成装置20的动作的流程图。

图14是示出实施方式1的加密装置30的动作的流程图。

图15是示出实施方式1的重加密密钥生成装置40的动作的流程图。

图16是示出实施方式1的重加密装置50的动作的流程图。

图17是示出实施方式1的对密文ct_S进行解密的情况下的解密装置60的动作的流程图。

图18是示出实施方式1的对重加密密文rct_S’进行解密的情况下的解密装置60的动作的流程图。

具体实施方式

实施方式1

***准备***

<记法的说明>

在A是随机的变量或分布时，数学式101表示按照A的分布而从A中随机地选择y。即，在数学式101中，y是随机数。

【数学式101】

在A是集合时，数学式102表示从A中均匀地选择y。即，在数学式102中，y是均匀随机数。

【数学式102】

数学式103表示y是由z定义的集合，或者y是代入了z的集合。

【数学式103】

y:＝z

在a是常数时，数学式104表示机器(算法)A针对输入x而输出a。

【数学式104】

A(x)→a

例如，

A(x)→1

数学式105即F_q表示位数q的有限体。

【数学式105】

将数学式106表示为数学式107。

【数学式106】

【数学式107】

向量标记表示有限体F_q中的向量。即，是数学式108。

【数学式108】

表示

X^T表示矩阵X的转置矩阵。

将数学式109的向量空间的元素表示为数学式110。

【数学式109】

【数学式110】

在数学式111时，由b_i,...,b_n生成的部分空间表示为数学式112。

【数学式111】

【数学式112】

数学式113表示数学式114所示的2个向量x^→与v^→的数学式115所示的内积。

【数学式113】

【数学式114】

【数学式115】

针对数学式116所示的基B和基B^*，是数学式117。

【数学式116】

【数学式117】

e^→ _j表示数学式118所示的标准基向量。

【数学式118】

GL(n,F_q)表示维度n的有限体F_q上的一般线性组。

针对数学式119所示的矩阵W和数学式120所示的n维向量空间V中的元素g，定义为数学式121。

【数学式119】

【数学式120】

g：＝(G₁，...，G_n)

【数学式121】

<对称双线性配对组>

对称双线性配对组(q,G,G_T,g,e)是素数q、位数q的加法循环组G、位数q的乘法循环组G_T、g≠0∈G、能够利用多项式时间计算的具有非退化性的双线性映射e：G×G→G_T的组。双线性映射是e(sg,tg)＝e(g,g)^st，e(g,g)≠1。

在以下的说明中，设G_bpg为如下的算法：将1^λ作为输入，输出将安全参数设为1^λ的对称双线性配对组的参数param_G：＝(q,G,G_T,g,e)的值。

<对偶配对向量空间>

对偶配对向量空间(q,V,G_T,A,e)能够通过对称双线性配对组(param_G：＝(q,G,G_T,g,e))的直积构成。对偶配对向量空间(q,V,G_T,A,e)是素数q、数学式122所示的F_q上的N维向量空间V、位数q的循环组G_T、空间V的标准基A：＝(a₁,...,a_N)、数学式123所示的配对运算e的组。这里，a_i如数学式124所示。

【数学式122】

【数学式123】

【数学式124】

空间V中的配对由数学式125来定义。

其具有非退化性。即，e(sx,ty)＝e(x,y)^st，针对全部的y∈V，在e(x,y)＝1的情况下，x＝0。此外，针对全部的i和j，e(a_i,a_j)＝e(g,g)^δi,j。这里，如果i＝j，则δ_i,j＝1，如果i≠j，则δ_i,j＝0。此外，e(g,g)≠1∈G_T。

【数学式125】

其中，

在以下的说明中，将G_dpvs设为如下的算法：将1^λ(λ∈自然数)、N∈自然数、双线性配对组的参数param_G：＝(q,G,G_T,g,e)的值作为输入，输出安全参数为λ且设为N维空间V的对偶配对向量空间的参数param_V：＝(q,V,G_T,A,e)。

<针对非单调访问构造的基于属性的加密>

基于属性的加密是对公开密钥加密或基于ID(IDentifier：标识符)的加密的功能进行扩展而成的加密方式。ABE是如下的公开密钥加密：对密文或解密密钥中的一方设定属性集合Γ，对另一方设定针对属性整体的访问构造S，仅在属性集合Γ满足访问构造S时能够解密。

将对密文设定了访问构造的ABE称作密文策略基于属性的加密(CiphertextPolicy(CP)-ABE)，将对解密密钥设定了访问构造的ABE称作密钥策略基于属性的加密(KeyPolicy(KP)-ABE)。在实施方式1中，对CP-ABE进行说明。但是，容易将CP-ABE转换成KP-ABE。ABE能够设定使用逻辑或(or)和逻辑与(and)的条件式作为访问构造。由此，能够设定“A部and课长以上”这样的访问权，因此，可认为CP-ABE在企业内的安全文件共享等方面是有用的。

<张成方案和非单调访问构造>

参照图1对矩阵M^进行说明。

将{p₁,...,p_n}设为变量的集合。M^：＝(M,ρ)是带标签的矩阵。这里，矩阵M是F_q上的(L行×r列)的矩阵。此外，ρ是对矩阵M的各行附加的标签，对应于{p₁,...,p_n,￢p₁,...,￢p_n}中的任意一个文本。另外，对M的全部行附加的标签ρ_i(i＝1,...,L)对应于任意一个文本。即，ρ：{1,...,L}→{p₁,...,p_n,￢p₁,...,￢p_n}。

针对全部的输入列δ∈{0,1}ⁿ定义矩阵M的部分矩阵M_δ。矩阵M_δ是由通过输入列δ将值“1”与标签ρ对应起来的矩阵M的行构成的部分矩阵。即，矩阵M_δ是由δ_i＝1这样的与p_i对应的矩阵M的行和δ_i＝0这样的与￢p_i对应的矩阵M的行构成的部分矩阵。

参照图2对矩阵M_δ进行说明。另外，在图2中，设n＝7、L＝6、r＝5。即，变量的集合为{p₁,...,p₇}，矩阵M为(6行×5列)的矩阵。此外，在图2中，标签ρ设为ρ₁对应于￢p₂，ρ₂对应于p₁，ρ₃对应于p₄，ρ₄对应于￢p₅，ρ₅对应于￢p₃，ρ₆对应于p₅。

这里，设输入列δ∈{0,1}⁷为δ₁＝1、δ₂＝0、δ₃＝1、δ₄＝0、δ₅＝0、δ₆＝1、δ₇＝1。该情况下，由与用虚线包围的文本(p₁,p₃,p₆,p₇,￢p₂,￢p₄,￢p₅)对应的矩阵M的行构成的部分矩阵是矩阵M_δ。即，由矩阵M的第1行(M₁)、第2行(M₂)、第4行(M₄)构成的部分矩阵是矩阵M_δ。

换言之，设在映射γ：{1,...,L}→{0,1}为[ρ(j)＝p_i]∧[δ_i＝1]或[ρ(j)＝￢p_i]∧[δ_i＝0]的情况下，γ(j)＝1，在其他情况下，γ(j)＝0。该情况下，M_δ：＝(M_j)_γ(j)＝1。这里，M_j是矩阵M的第j行。

即，在图2中，是映射γ(j)＝1(j＝1,2,4)，是映射γ(j)＝0(j＝3,5,6)。因此，(M_j)_γ(j)＝1为M₁,M₂,M₄，是矩阵M_δ。

即，根据映射γ(j)的值是“0”还是“1”，决定矩阵M的第j行是否包含在矩阵M_δ中。

仅在1^→∈span<M_δ>的情况下，张成方案M^受理输入列δ，在其他情况下，拒绝输入列δ。即，仅在通过输入列δ对从矩阵M^得到的矩阵M_δ的行进行线性结合而得到1^→的情况下，张成方案M^受理输入列δ。另外，1^→是各元素为值“1”的行向量。

例如，如果是图2的例子，则仅在对由矩阵M的第1、2、4行构成的矩阵M_δ的各行进行线性结合而得到1^→的情况下，张成方案M^受理输入列δ。即，在存在成为α₁(M₁)+α₂(M₂)+α₄(M₄)＝1^→的α₁、α₂、α₄的情况下，张成方案M^受理输入列δ。

这里，在标签ρ仅对应于正的文本{p₁,...,p_n}的情况下，张成方案被称作单调。另一方面，在标签ρ对应于文本{p₁,...,p_n,￢p₁,...,￢p_n}的情况下，张成方案被称作非单调。这里，张成方案设为非单调。而且，使用非单调张成方案构成访问构造(非单调访问构造)。简单地讲，访问构造进行针对加密的访问控制。即，进行是否能够对密文进行解密的控制。

<属性信息的内积和访问构造>

这里，使用属性信息的内积计算上述的映射γ(j)。即，使用属性信息的内积决定将矩阵M的哪个行包含在矩阵M_δ中。

是部分全集合(sub-universe)，是属性的集合。而且，U_t分别包含部分全集合的识别信息(t)和n维向量(v^→)。即，U_t是(t,v^→)。这里，t∈{1,...,d}，v^→∈F_q ⁿ。

将U_t：＝(t,v^→)设为张成方案M^：＝(M,ρ)中的变量p。即，p：＝(t,v^→)。而且，将设为变量(p：＝(t,v^→),(t,v’^→),...)的张成方案M^：＝(M,ρ)设为访问构造S。

即，访问构造S：＝(M,ρ)，ρ：{1,...,L}→{(t,v^→),(t,v’^→),...,￢(t,v^→),￢(t,v’^→),...}。

接着，将Γ设为属性集合。即，Γ：＝{(t,x^→ _t)|x^→ _t∈Fqⁿ,1≤t≤d}。

在对访问构造S给出Γ的情况下，如下定义针对张成方案M^：＝(M,ρ)的映射γ：{1,...,L}→{0,1}。关于i＝1,...,L的各整数i，在[ρ(i)＝(t,v^→ _i)]∧[(t,x^→ _t)∈Γ]∧[v^→ _i·x^→ _t＝0]或[ρ(i)＝￢(t,v^→ _i)]∧[(t,x^→ _t)∈Γ]∧[v^→ _i·x^→ _t≠0]的情况下，γ(j)＝1，在其他情况下，γ(j)＝0。

即，根据属性信息v^→与x^→的内积来计算映射γ。而且，如上所述，根据映射γ决定将矩阵M的哪个行包含在矩阵M_δ中。即，根据属性信息v^→与x^→的内积决定将矩阵M的哪个行包含在矩阵M_δ中，仅在1^→∈span<(M_i)_γ(i)＝1>的情况下，访问构造S：＝(M,ρ)受理Γ。

<秘密分散方式>

定义非单调访问构造(或张成方案)中的秘密分散。

秘密分散方式是指，使秘密信息分散而成为没有意义的分散信息。例如，使秘密信息s分散成10个，生成10个分散信息。这里，10个分散信息分别不具有秘密信息s的信息。因此，即使得到某1个分散信息，关于秘密信息s，也无法得到任何信息。另一方面，如果得到全部10个分散信息，则能够复原秘密信息s。

此外，还存在如下的秘密分散方式：即使未得到全部10个分散信息，只要得到一部分(例如8个)，就能够复原秘密信息s。这样，将能够利用10个分散信息中的8个分散信息来复原秘密信息s的情况称作8-out-of-10。即，将能够利用n个分散信息中的t个分散信息来复原秘密信息s的情况称作t-out-of-n。将该t称作阈值。

此外，还存在如下的秘密分散方式：在生成了d₁,...,d₁₀这10个分散信息的情况下，如果是d₁,...,d₈这8个分散信息，则能够复原秘密信息s，但是，如果是d₃,...,d₁₀这8个分散信息，则无法复原秘密信息s。即，还存在如下的秘密分散方式：不仅根据得到的分散信息的数量，还根据分散信息的组合来控制是否能够复原秘密信息s。

参照图3对s₀进行说明。参照图4对s^→T进行说明。

将矩阵M设为(L行×r列)的矩阵。将f^→T设为数学式126所示的列向量。

【数学式126】

将数学式127所示的s₀设为被共享的秘密信息。

【数学式127】

此外，将数学式128所示的s^→T设为s₀的L个分散信息的向量。

【数学式128】

而且，设分散信息s_i属于ρ(i)。

在访问构造S：＝(M,ρ)受理Γ的情况下，即，关于γ：{1,...,L}→{0,1}，在1^→∈span<(M_i)_γ(i)＝₁>的情况下，存在

的常数{α_i∈F_q|i∈I}。

在图2的例子中，说明了在存在成为α₁(M₁)+α₂(M₂)+α₄(M₄)＝1^→的α₁、α₂、α₄的情况下，张成方案M^受理输入列δ，因此可以明确这点。即，在存在成为α₁(M₁)+α₂(M₂)+α₄(M₄)＝1^→的α₁、α₂、α₄的情况下，如果张成方案M^受理输入列δ，则存在成为α₁(M₁)+α₂(M₂)+α₄(M₄)＝1^→的α₁、α₂、α₄。

而且，是数学式129。

【数学式129】

∑_i∈Iα_is_i:＝s₀

另外，常数{α_i}能够通过矩阵M的大小中的多项式时间来计算。

***结构的说明***

参照图5对实施方式1的加密系统100的结构进行说明。

加密系统100具有公共参数生成装置10、多个用户秘密密钥生成装置20、多个加密装置30、重加密密钥生成装置40、重加密装置50和解密装置60。

公共参数生成装置10、各用户秘密密钥生成装置20、重加密密钥生成装置40、各加密装置30、重加密装置50和解密装置60经由传输路径70连接。作为具体例，传输路径70是互联网或LAN(Local Area Network：局域网)。

参照图6对实施方式1的公共参数生成装置10的结构进行说明。

公共参数生成装置10是计算机。

公共参数生成装置10具有处理器11、内存12、存储器13和通信接口14这样的硬件。处理器11经由信号线与其他硬件连接，对这些其他硬件进行控制。

公共参数生成装置10具有取得部111、参数生成部112和输出部113作为功能结构要素。公共参数生成装置10的各功能结构要素的功能通过软件实现。

在存储器13中存储有实现公共参数生成装置10的各功能结构要素的功能的程序。该程序由处理器11读入到内存12，由处理器11来执行。由此，实现公共参数生成装置10的各功能结构要素的功能。

参照图7对实施方式1的用户秘密密钥生成装置20的结构进行说明。

用户秘密密钥生成装置20是计算机。

用户秘密密钥生成装置20具有处理器21、内存22、存储器23和通信接口24这样的硬件。处理器21经由信号线与其他硬件连接，对这些其他硬件进行控制。

用户秘密密钥生成装置20具有取得部211、用户秘密密钥生成部212和输出部213作为功能结构要素。用户秘密密钥生成装置20的各功能结构要素的功能通过软件实现。

在存储器23中存储有实现用户秘密密钥生成装置20的各功能结构要素的功能的程序。该程序由处理器21读入到内存22，由处理器21来执行。由此，实现用户秘密密钥生成装置20的各功能结构要素的功能。

参照图8对实施方式1的加密装置30的结构进行说明。

加密装置30是计算机。

加密装置30具有处理器31、内存32、存储器33和通信接口34这样的硬件。处理器31经由信号线与其他硬件连接，对这些其他硬件进行控制。

加密装置30具有取得部311、密文生成部312和输出部313作为功能结构要素。加密装置30的各功能结构要素的功能通过软件实现。

在存储器33中存储有实现加密装置30的各功能结构要素的功能的程序。该程序由处理器31读入到内存32，由处理器31来执行。由此，实现加密装置30的各功能结构要素的功能。

参照图9对实施方式1的重加密密钥生成装置40的结构进行说明。

重加密密钥生成装置40是计算机。

重加密密钥生成装置40具有处理器41、内存42、存储器43和通信接口44这样的硬件。处理器41经由信号线与其他硬件连接，对这些其他硬件进行控制。

重加密密钥生成装置40具有取得部411、重加密密钥生成部412和输出部413作为功能结构要素。重加密密钥生成装置40的各功能结构要素的功能通过软件实现。

在存储器43中存储有实现重加密密钥生成装置40的各功能结构要素的功能的程序。该程序由处理器41读入到内存42，由处理器41来执行。由此，实现重加密密钥生成装置40的各功能结构要素的功能。

参照图10对实施方式1的重加密装置50的结构进行说明。

重加密装置50是计算机。

重加密装置50具有处理器51、内存52、存储器53和通信接口54这样的硬件。处理器51经由信号线与其他硬件连接，对这些其他硬件进行控制。

重加密装置50具有取得部511、重加密密文生成部512和输出部513作为功能结构要素。取得部511具有密文取得部514和密钥取得部515。重加密装置50的各功能结构要素的功能通过软件实现。

在存储器53中存储有实现重加密装置50的各功能结构要素的功能的程序。该程序由处理器51读入到内存52，由处理器51来执行。由此，实现重加密装置50的各功能结构要素的功能。

参照图11对实施方式1的解密装置60的结构进行说明。

解密装置60是计算机。

解密装置60具有处理器61、内存62、存储器63和通信接口64这样的硬件。处理器61经由信号线与其他硬件连接，对这些其他硬件进行控制。

解密装置60具有取得部611、解密部612和输出部613作为功能结构要素。解密装置60的各功能结构要素的功能通过软件实现。

在存储器63中存储有实现解密装置60的各功能结构要素的功能的程序。该程序由处理器61读入到内存62，由处理器61来执行。由此，实现解密装置60的各功能结构要素的功能。

处理器11、21、31、41、51、61是进行处理的IC(Integrated Circuit：集成电路)。作为具体例，处理器11、21、31、41、51、61是CPU(Central Processing Unit：中央处理单元)、DSP(Digital Signal Processor：数字信号处理器)、GPU(Graphics Processing Unit：图形处理单元)。

内存12、22、32、42、52、62是暂时存储数据的存储装置。作为具体例，内存12、22、32、42、52、62是SRAM(Static Random Access Memory：静态随机存取存储器)、DRAM(Dynamic Random Access Memory：动态随机存取存储器)。

存储器13、23、33、43、53、63是保管数据的存储装置。作为具体例，存储器13、23、33、43、53、63是HDD(Hard Disk Drive：硬盘驱动器)。此外，存储器13、23、33、43、53、63也可以是SD(注册商标，Secure Digital：安全数字)存储卡、CF(CompactFlash：致密闪存，注册商标)、NAND闪存、软盘、光盘、高密度盘、蓝光(注册商标)盘、DVD(Digital VersatileDisk：数字多功能盘)这样的移动记录介质。

通信接口14、24、34、44、54、64是用于与外部的装置进行通信的接口。作为具体例，通信接口14、24、34、44、54、64是Ethernet(以太网，注册商标)、USB(Universal SerialBus：通用串行总线)、HDMI(注册商标，High-Definition Multimedia Interface：高清晰度多媒体接口)的端口。

在图6中，仅示出1个处理器11。但是，处理器11也可以是多个，多个处理器11也可以协作执行实现各功能的程序。

同样，处理器21、31、41、51、61也可以是多个，多个处理器21、31、41、51、61也可以协作执行实现各功能的程序。

***动作的说明***

参照图12～图18对实施方式1的加密系统100的动作进行说明。

实施方式1的加密系统100实现AB-PRE。这里，假设KEM(Key EncapsulationMechanism：密钥封装机制)-DEM(Data Encapsulation Mechanism：数据封装机制)框架，对使用AB-PRE作为KEM的例子进行说明。

AB-PRE具有Setup算法、KG算法、RKG算法、Enc算法、REnc算法和Dec算法。

Setup算法是将安全参数1^λ和空间信息n^→作为输入而输出公开密钥pk和主秘密密钥msk的概率性算法。

KG算法是将公开密钥pk、主秘密密钥msk和属性信息Γ作为输入而输出解密密钥sk_Γ的概率性算法。

Enc算法是将公开密钥pk和属性信息S作为输入而输出密文ct_S和会话密钥K的概率性算法。

RKG算法是将公开密钥pk、解密密钥sk_Γ和属性信息S’作为输入而输出重加密密钥rk的概率性算法。

REnc算法是将公开密钥pk、重加密密钥rk和密文ct_S作为输入而输出重加密密文rct_S’的概率性算法。

Dec算法是将公开密钥pk、解密密钥sk_Γ、密文ct_S或重加密密文rct_S’作为输入而输出会话密钥K的确定性算法。

在实施方式1中，属性信息S和属性信息S’相当于上述的访问构造S：＝(M,ρ)。

参照图12对实施方式1的公共参数生成装置10的动作进行说明。

实施方式1的公共参数生成装置10的动作步骤相当于实施方式1的公共参数生成方法。此外，实现实施方式1的公共参数生成装置10的动作的程序相当于实施方式1的公共参数生成程序。

公共参数生成装置10执行Setup算法。

(步骤S11：取得处理)

取得部111取得安全参数1^λ和空间信息n^→：＝(d；n₁,...,n_d)。

具体而言，取得部111经由通信接口14取得由加密系统100的管理者等输入的安全参数1^λ和空间信息n^→。取得部111将安全参数1^λ和空间信息n^→写入内存12中。空间信息n^→是决定加密系统100使用的对偶配对向量空间的维数等结构的参数。

(步骤S12：参数生成处理)

参数生成部112将在步骤S11中取得的安全参数1^λ和空间信息n^→作为输入，生成公开密钥pk和主秘密密钥msk。

具体而言，参数生成部112将安全参数1^λ和空间信息n^→作为输入，执行数学式130所示的算法G_ob，生成param_n、元素g_t和基{B_t,B^* _t}_t＝0,...,d。

【数学式130】

如数学式131所示，参数生成部112根据基{B_t,B^* _t}_t＝0,...,d生成部分基{B^_t,B^^* _t}_t＝0,...,d。

【数学式131】

如数学式132所示，参数生成部112生成元素a、元素A和元素c。

【数学式132】

参数生成部112将安全参数1^λ、param_n、元素g_t、部分基{B^_t}_t＝0,...,d、元素A和元素c设定到公开密钥pk。此外，参数生成部112将部分基{B^^* _t}_t＝0,...,d、元素a和基向量b^* _0,6设定到主秘密密钥msk。

(步骤S13：输出处理)

输出部113输出在步骤S12中生成的公开密钥pk和主秘密密钥msk。

具体而言，输出部113将公开密钥pk经由通信接口14发送到各用户秘密密钥生成装置20、各加密装置30、重加密密钥生成装置40、重加密装置50和解密装置60。此外，输出部113将主秘密密钥msk经由通信接口14发送到各用户秘密密钥生成装置20。此时，输出部113通过使用现有的加密算法对主秘密密钥msk进行加密这样的方法进行隐匿后进行发送。

另外，公开密钥pk和主秘密密钥msk也可以不经由通信接口14发送，而存储于存储介质进行邮寄。

即，公共参数生成装置10执行数学式133所示的Setup算法。

【数学式133】

参照图13对实施方式1的用户秘密密钥生成装置20的动作进行说明。

实施方式1的用户秘密密钥生成装置20的动作步骤相当于实施方式1的用户秘密密钥生成方法。此外，实现实施方式1的用户秘密密钥生成装置20的动作的程序相当于实施方式1的用户秘密密钥生成程序。

用户秘密密钥生成装置20执行KG算法。

(步骤S21：取得处理)

取得部211取得公开密钥pk、主秘密密钥msk和属性信息Γ：＝{t,x^→ _t|x^→ _t∈F_q ^nt\{0^→},1≤t≤d}。

具体而言，取得部211经由通信接口24接收由公共参数生成装置10发送的公开密钥pk和主秘密密钥msk。取得部211经由通信接口14取得由用户秘密密钥生成装置20的使用者等输入的属性信息Γ。取得部211将公开密钥pk、主秘密密钥msk和属性信息Γ写入内存22中。

属性信息Γ表示解密密钥sk_Γ的使用者的所属目的地和职务这样的属性。例如，按照每个t分配属性的类别，分配给t的类别的属性被设定为x^→ _t。作为具体例，对t＝1分配所属目的地的公司，对t＝2分配所属目的地的部，对t＝3分配所属目的地的课，对t＝4分配职务。然后，对x^→ ₁设定使用者所属的公司，对x^→ ₂设定使用者所属的部，对x^→ ₃设定使用者所属的课，对x^→ ₄设定使用者的职务。

(步骤S22：用户秘密密钥生成处理)

用户秘密密钥生成部212将在步骤S21中取得的公开密钥pk、主秘密密钥msk和属性信息Γ作为输入，生成解密密钥sk_Γ。

具体而言，如数学式134所示，用户秘密密钥生成部212生成随机数。

【数学式134】

如数学式135所示，用户秘密密钥生成部212生成密钥元素k^* ₀和与属性信息Γ中包含的各t有关的密钥元素k^* _t。

【数学式135】

(步骤S23：输出处理)

输出部213输出属性信息Γ、在步骤S22中生成的密钥元素k^* ₀和各密钥元素k^* _t以及基向量b^* _0,6作为解密密钥sk_Γ。

具体而言，输出部213经由通信接口24将解密密钥sk_Γ发送到重加密密钥生成装置40和解密装置60。此时，输出部213通过使用现有的加密算法对解密密钥sk_Γ进行加密这样的方法进行隐匿后进行发送。

另外，解密密钥sk_Γ也可以不经由通信接口24发送，而存储于存储介质进行邮寄。

即，用户秘密密钥生成装置20执行数学式136所示的KG算法。

【数学式136】

参照图14对实施方式1的加密装置30的动作进行说明。

实施方式1的加密装置30的动作步骤相当于实施方式1的加密方法。此外，实现实施方式1的加密装置30的动作的程序相当于实施方式1的加密程序。

加密装置30执行Enc算法。

(步骤S31：取得处理)

取得部311取得公开密钥pk和属性信息S＝(M,ρ)。

具体而言，取得部311经由通信接口34接收由公共参数生成装置10发送的公开密钥pk。取得部311经由通信接口14取得由加密装置30的使用者等输入的属性信息S。取得部311将公开密钥pk和属性信息S写入内存32中。

属性信息S表示能够对密文ct_S进行解密的属性的范围。具体而言，属性信息S表示能够通过使用逻辑或和逻辑与的条件式对密文ct_S进行解密的属性的范围。

(步骤S32：密文生成处理)

密文生成部312将在步骤S31中取得的公开密钥pk和属性信息S作为输入，生成密文ct_S。

具体而言，如数学式137所示，密文生成部312生成与i＝1,...,L的各整数i有关的分散信息s_i和秘密信息s₀。

【数学式137】

如数学式138所示，密文生成部312生成随机数。

【数学式138】

如数学式139所示，密文生成部312生成加密元素c₀。

【数学式139】

如数学式140所示，密文生成部312生成会话密钥K。

【数学式140】

如数学式141所示，密文生成部312生成与i＝1,...,L的各整数i有关的加密元素c_i。

【数学式141】

(步骤S33：输出处理)

输出部313输出包含属性信息S和在步骤S32中生成的与i＝0,...,L的各整数i有关的加密元素c_i的密文ct_S、以及在步骤S32中生成的会话密钥K。

具体而言，输出部313经由通信接口34将密文ct_S发送到重加密装置50和解密装置60。此外，输出部313将会话密钥K写入内存32中。

即，加密装置30执行数学式142所示的Enc算法。

【数学式142】

参照图15对实施方式1的重加密密钥生成装置40的动作进行说明。

实施方式1的重加密密钥生成装置40的动作步骤相当于实施方式1的重加密密钥生成方法。此外，实现实施方式1的重加密密钥生成装置40的动作的程序相当于实施方式1的重加密密钥生成程序。

重加密密钥生成装置40执行RKG算法。

(步骤S41：取得处理)

取得部411取得公开密钥pk、解密密钥sk_Γ和属性信息S’：＝(M,ρ)。

具体而言，取得部411经由通信接口44接收由公共参数生成装置10发送的公开密钥pk。取得部411经由通信接口44接收由用户秘密密钥生成装置20发送的解密密钥sk_Γ。取得部411经由通信接口14取得由重加密密钥生成装置40的使用者等输入的属性信息S’。取得部411将公开密钥pk、解密密钥sk_Γ和属性信息S’写入内存42中。

属性信息S’表示能够对重加密密文rct_S’进行解密的属性的范围。具体而言，与属性信息S同样，属性信息S’表示能够通过使用逻辑或和逻辑与的条件式对重加密密文rct_S’进行解密的属性的范围。

(步骤S42：重加密密钥生成处理)

重加密密钥生成部412将在步骤S41中取得的公开密钥pk、解密密钥sk_Γ和属性信息S’作为输入，生成重加密密钥rk。

具体而言，如数学式143所示，重加密密钥生成部412生成随机数。

【数学式143】

如数学式144所示，重加密密钥生成部412生成转换后解密密钥sk_Γ ^～。

【数学式144】

由此，转换后解密密钥sk_Γ ^～中包含的k^* ₀如数学式145所示。

【数学式145】

如数学式146所示，重加密密钥生成部412将公开密钥pk和属性信息S’作为输入，执行Enc算法，生成密文ct_S’和会话密钥K’。

【数学式146】

即，重加密密钥生成部412将公开密钥pk和属性信息S’作为输入，执行图14的步骤S32和步骤S33的处理，生成密文ct_S’和会话密钥K’。

(步骤S43：输出处理)

输出部413输出转换后解密密钥sk_Γ ^～、对根据公开密钥pk中包含的元素A和随机数r得到的元素A^r乘以会话密钥K’而得到的元素A^r·K’以及密文ct_S’作为重加密密钥rk。

具体而言，输出部413经由通信接口44将重加密密钥rk发送到重加密装置50。

即，重加密密钥生成装置40执行数学式147所示的RKG算法。

【数学式147】

参照图16对实施方式1的重加密装置50的动作进行说明。

实施方式1的重加密装置50的动作步骤相当于实施方式1的重加密方法。此外，实现实施方式1的重加密装置50的动作的程序相当于实施方式1的重加密程序。

重加密装置50执行REnc算法。

(步骤S51：密文取得处理)

密文取得部514取得密文ct_S。即，密文取得部514取得将确定能够解密的范围的属性信息S作为输入而通过作为加密算法的Enc算法生成的会话密钥K和对会话密钥K进行加密而得到的密文ct_S中的密文ct_S。

具体而言，密文取得部514经由通信接口54接收由加密装置30发送的密文ct_S。密文取得部514将密文ct_S写入内存52中。

(步骤S52：密钥取得处理)

密钥取得部515取得重加密密钥rk。即，密钥取得部515取得重加密密钥rk，该重加密密钥rk包含对能够对密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过作为加密算法的Enc算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据随机数r生成的转换信息A^r。此外，密钥取得部515取得公开密钥pk。

具体而言，密钥取得部515经由通信接口54接收由公共参数生成装置10发送的公开密钥pk和由重加密密钥生成装置40发送的重加密密钥rk。密钥取得部515将公开密钥pk和重加密密钥rk写入内存52中。

(步骤S53：判定处理)

重加密密文生成部512判定密文ct_S中包含的访问构造即属性信息S是否受理重加密密钥rk中包含的属性信息Γ。

在受理的情况下，重加密密文生成部512使处理进入步骤S54。另一方面，在不受理的情况下，重加密密文生成部512设为不能生成重加密密文rct_S’，结束处理。

(步骤S54：重加密密文生成处理)

重加密密文生成部512将在步骤S51中取得的密文ct_S、在步骤S52中取得的公开密钥pk和重加密密钥rk作为输入，生成重加密密文rct_S’。

具体而言，重加密密文生成部512通过重加密密钥rk中包含的转换后解密密钥sk_Γ ^～对密文ct_S进行解密，生成解密信息K^。重加密密文生成部512根据转换信息A^r从解密信息K^中删除与随机数r有关的元素，设定会话密钥K’，生成加密元素K^～。

更加具体地进行说明。

重加密密文生成部512计算数学式148所示的索引I和补全系数{α_i}_i∈I。

【数学式148】

这里，M_i是矩阵M的第i行。

如数学式149所示，重加密密文生成部512通过转换后解密密钥sk_Γ ^～对密文ct_S进行解密，生成解密信息K^。

【数学式149】

然后，重加密密文生成部512通过包含转换信息A^r的元素A^r·K’从解密信息K^中删除与随机数r有关的元素，设定会话密钥K’，生成加密元素K^～。具体而言，重加密密文生成部512将解密信息K^除以元素A^r·K’，生成加密元素K^～。

(步骤S55：输出处理)

输出部513输出密文ct_S’和加密元素K^～作为重加密密文rct_S’。

具体而言，输出部513经由通信接口54将重加密密文rct_S’发送到解密装置60。

即，重加密装置50执行数学式150所示的REnc算法。

【数学式150】

这里，重加密装置50对由加密装置30生成的密文ct_S进行重加密，将能够解密的范围从属性信息S变更成属性信息S’。但是，重加密装置50还能够对重加密密文rct_S’进行重加密，对能够解密的范围进行变更。

该情况下，在步骤S51中，密文取得部514取得重加密密文rct_S’中包含的密文ct_S’作为密文ct_S即可。以后的处理与对由加密装置30生成的密文ct_S进行重加密的情况相同。

参照图17和图18对实施方式1的解密装置60的动作进行说明。

实施方式1的解密装置60的动作步骤相当于实施方式1的解密方法。此外，实现实施方式1的解密装置60的动作的程序相当于实施方式1的解密程序。

解密装置60执行Dec算法。

参照图17说明实施方式1的对密文ct_S进行解密的情况下的处理。

(步骤S61：取得处理)

取得部611取得公开密钥pk、解密密钥sk_Γ和密文ct_S。

具体而言，取得部611经由通信接口64接收由公共参数生成装置10发送的公开密钥pk。取得部611经由通信接口64接收由用户秘密密钥生成装置20发送的解密密钥sk_Γ。取得部611经由通信接口64取得由加密装置30发送的密文ct_S。取得部611将公开密钥pk、解密密钥sk_Γ和密文ct_S写入内存62中。

(步骤S62：判定处理)

解密部612判定密文ct_S中包含的访问构造即属性信息S是否受理解密密钥sk_Γ中包含的属性信息Γ。

在受理的情况下，解密部612使处理进入步骤S63。另一方面，在不受理的情况下，解密部612设为不能对密文ct_S进行解密，结束处理。

(步骤S63：解密处理)

解密部612利用解密密钥sk_Γ对密文ct_S进行解密，生成会话密钥K。

具体而言，解密部612计算数学式151所示的索引I和补全系数{α_i}_i∈I。

【数学式151】

这里，M_i是矩阵M的第i行。

解密部612计算数学式152，生成会话密钥K。

【数学式152】

即，解密装置60执行数学式153所示的Dec算法。

【数学式153】

参照图18说明实施方式1的对重加密密文rct_S’进行解密的情况下的处理。

(步骤S71：取得处理)

取得部611取得公开密钥pk、解密密钥sk_Γ’和重加密密文rct_S’。这里，设作为属性信息S’的访问构造受理的属性信息为属性信息Γ’，设将属性信息Γ’作为输入而生成的解密密钥为解密密钥sk_Γ’。

具体而言，取得部611经由通信接口64接收由公共参数生成装置10发送的公开密钥pk。取得部611经由通信接口64接收由用户秘密密钥生成装置20发送的解密密钥sk_Γ’。取得部611经由通信接口64取得由重加密装置50发送的重加密密文rct_S’。取得部611将公开密钥pk、解密密钥sk_Γ’和重加密密文rct_S’写入内存62中。

(步骤S72：判定处理)

解密部612判定重加密密文rct_S’中包含的访问构造即属性信息S’是否受理解密密钥sk_Γ’中包含的属性信息Γ’。

在受理的情况下，解密部612使处理进入步骤S73。另一方面，在不受理的情况下，解密部612设为不能对重加密密文rct_S’进行解密，结束处理。

(步骤S73：解密处理)

解密部612利用解密密钥sk_Γ’对重加密密文rct_S’进行解密，生成会话密钥K。

具体而言，解密部612利用解密密钥sk_Γ’对重加密密文rct_S’中包含的密文ct_S’进行解密，生成会话密钥K’，根据重加密密文rct_S’中包含的加密元素K^～和会话密钥K’生成会话密钥K。

更加具体地进行说明。

利用解密密钥sk_Γ’对重加密密文rct_S’进行解密，生成会话密钥K。

具体而言，解密部612计算数学式154所示的索引I和补全系数{α_i}_i∈I。

【数学式154】

这里，M_i是矩阵M的第i行。

解密部612计算数学式155，生成会话密钥K’。

【数学式155】

解密部612对加密元素K^～乘以会话密钥K’，生成会话密钥K。

即，解密装置60执行数学式156所示的Dec算法。

【数学式156】

***实施方式1的效果***

如上所述，实施方式1的加密系统100生成作为必须元素仅包含密文ct_S’和加密元素K^～的重加密密文rct_S’。在实施方式1的加密系统100中，在对重加密密文rct_S’进行重加密的情况下，重加密密文rct_S’的必须元素也仅为密文ct_S’和加密元素K^～。即，即使反复进行重加密，必须元素也不会增加。

因此，能够使进行重加密而生成的密文的数据大小不依赖于重加密次数。

***其他结构***

<变形例1>

在实施方式1中，各功能结构要素通过软件实现。但是，作为变形例1，各功能结构要素也可以通过硬件实现。关于该变形例1，对与实施方式1不同之处进行说明。

对变形例1的公共参数生成装置10的结构进行说明。

在各功能结构要素通过硬件实现的情况下，公共参数生成装置10代替处理器11、内存12和存储器13而具有电子电路15。电子电路15是实现各功能结构要素、以及内存12和存储器13的功能的专用电路。

对变形例1的用户秘密密钥生成装置20的结构进行说明。

在各功能结构要素通过硬件实现的情况下，用户秘密密钥生成装置20代替处理器21、内存22和存储器23而具有电子电路25。电子电路25是实现各功能结构要素、以及内存22和存储器23的功能的专用电路。

对变形例1的加密装置30的结构进行说明。

在各功能结构要素通过硬件实现的情况下，加密装置30代替处理器31、内存32和存储器33而具有电子电路35。电子电路35是实现各功能结构要素、以及内存32和存储器33的功能的专用电路。

对变形例1的重加密密钥生成装置40的结构进行说明。

在各功能结构要素通过硬件实现的情况下，重加密密钥生成装置40代替处理器41、内存42和存储器43而具有电子电路45。电子电路45是实现各功能结构要素、以及内存42和存储器43的功能的专用电路。

对变形例1的重加密装置50的结构进行说明。

在各功能结构要素通过硬件实现的情况下，重加密装置50代替处理器51、内存52和存储器53而具有电子电路55。电子电路55是实现各功能结构要素、以及内存52和存储器53的功能的专用电路。

对变形例1的解密装置60的结构进行说明。

在各功能结构要素通过硬件实现的情况下，解密装置60代替处理器61、内存62和存储器63而具有电子电路65。电子电路65是实现各功能结构要素、以及内存62和存储器63的功能的专用电路。

作为电子电路15、25、35、45、55、65，假设是单一电路、复合电路、程序化的处理器、并行程序化的处理器、逻辑IC、GA(Gate Array：门阵列)、ASIC(Application SpecificIntegrated Circuit：专用集成电路)、FPGA(Field-Programmable Gate Array：现场可编程门阵列)。

可以通过1个电子电路15、25、35、45、55、65实现各功能结构要素，也可以分散于多个电子电路15、25、35、45、55、65来实现各功能结构要素。

<变形例2>

作为变形例2，也可以是，一部分的各功能结构要素通过硬件实现，其他的各功能结构要素通过软件实现。

将处理器11、21、31、41、51、61、内存12、22、32、42、52、62、存储器13、23、33、43、53、63和电子电路15、25、35、45、55、65称作处理电路。即，各功能结构要素的功能通过处理电路实现。

标号说明

100：加密系统；10：公共参数生成装置；11：处理器；12：内存；13：存储器；14：通信接口；15：电子电路；111：取得部；112：参数生成部；113：输出部；20：用户秘密密钥生成装置；21：处理器；22：内存；23：存储器；24：通信接口；25：电子电路；211：取得部；212：用户秘密密钥生成部；213：输出部；30：加密装置；31：处理器；32：内存；33：存储器；34：通信接口；35：电子电路；311：取得部；312：密文生成部；313：输出部；40：重加密密钥生成装置；41：处理器；42：内存；43：存储器；44：通信接口；45：电子电路；411：取得部；412：重加密密钥生成部；413：输出部；50：重加密装置；51：处理器；52：内存；53：存储器；54：通信接口；55：电子电路；511：取得部；512：重加密密文生成部；513：输出部；514：密文取得部；515：密钥取得部；60：解密装置；61：处理器；62：内存；63：存储器；64：通信接口；65：电子电路；611：取得部；612：解密部；613：输出部。

Claims (10)

1.一种重加密装置，该重加密装置具有：

密文取得部，其取得将确定能够解密的范围的属性信息S作为输入而通过加密算法生成的会话密钥K和对所述会话密钥K进行加密而得到的密文ct_S中的所述密文ct_S；

密钥取得部，其取得重加密密钥rk，该重加密密钥rk包含对能够对所述密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过所述加密算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据所述随机数r生成的转换信息；

重加密密文生成部，其根据所述转换信息，从通过所述重加密密钥rk中包含的所述转换后解密密钥sk_Γ ^～对所述密文ct_S进行解密而得到的解密信息K^中删除与所述随机数r有关的元素，生成设定了所述会话密钥K’的加密元素K^～；以及

输出部，其输出包含所述加密元素K^～和所述密文ct_S’的重加密密文rct_S’。

2.根据权利要求1所述的重加密装置，其中，

所述密文ct_S包含作为基B₀中的向量的加密元素c₀，

所述解密密钥sk_Γ包含作为基B^* ₀中的向量的密钥元素k^* ₀，

所述转换后解密密钥sk_Γ ^～是对所述基B^* ₀的某个基向量设定所述随机数r而生成的，

所述转换信息是将所述随机数r与对所述基B₀的元素和所述基B^* ₀的元素进行配对运算而得到的元素A相乘而得到的，

所述重加密密文生成部对所述密文ct_S的加密元素c和所述转换后解密密钥sk_Γ ^～的密钥元素k^*进行配对运算，由此生成所述解密信息K^，将所述解密信息K^除以所述转换信息而生成所述会话密钥K。

3.根据权利要求1或2所述的重加密装置，其中，

所述密文取得部取得数学式1所示的所述密文ct_S，

所述密钥取得部取得数学式2所示的所述重加密密钥rk，

所述重加密密文生成部生成数学式3所示的所述加密元素K^～，

【数学式1】

ct_S:＝(S:＝(M，ρ)，{c_i}_{i＝0，...，L})←Enc(pk，S:＝(M，ρ))

其中，

Enc(pk，S:＝(M，ρ))：

对于i＝1，...，L，

如果

如果

返回ct_S：＝(S，{c_i}_{i＝0，...，L})，K.

【数学式2】

其中，

对于

对于

(ct_S′，K′)←Enc(pk，S′)

【数学式3】

其中，

M_i是M的第i行。

4.一种加密系统，该加密系统具有：

加密装置，其生成将确定能够解密的范围的属性信息S作为输入而通过加密算法生成的会话密钥K和对所述会话密钥K进行加密而得到的密文ct_S中的所述密文ct_S；

重加密密钥生成装置，其生成重加密密钥rk，该重加密密钥rk包含对能够对所述密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过所述加密算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据所述随机数r生成的转换信息；以及

重加密装置，其根据所述转换信息，从通过所述重加密密钥rk中包含的所述转换后解密密钥sk_Γ ^～对所述密文ct_S进行解密而得到的解密信息K^中删除与所述随机数r有关的元素，生成设定了所述会话密钥K’的加密元素K^～，输出包含所述加密元素K^～和所述密文ct_S’的重加密密文rct_S’。

5.根据权利要求4所述的加密系统，其中，

所述密文ct_S包含作为基B₀中的向量的加密元素c₀，

所述解密密钥sk_Γ包含作为基B^* ₀中的向量的密钥元素k^* ₀，

所述转换后解密密钥sk_Γ ^～是对所述基B^* ₀的某个基向量设定所述随机数r而生成的，

所述转换信息是将所述随机数r与对所述基B₀的元素和所述基B^* ₀的元素进行配对运算而得到的元素A相乘而得到的，

所述重加密装置对所述密文ct_S的加密元素c和所述转换后解密密钥sk_Γ ^～的密钥元素k^*进行配对运算，由此生成所述解密信息K^，将所述解密信息K^除以所述转换信息而生成所述会话密钥K。

6.根据权利要求4或5所述的加密系统，其中，

所述加密装置生成数学式4所示的所述密文ct_S，

所述重加密密钥生成装置生成数学式5所示的所述重加密密钥rk，

所述重加密装置生成数学式6所示的所述加密元素K^～，

【数学式4】

ct_S:＝(S:＝(M，ρ)，{c_i}_{i＝0，...，L})←Enc(pk，S:＝(M，ρ))

其中，

Enc(pk，S:＝(M，ρ))：

对于i＝1，...，L，

如果

如果

返回ct_S:＝(S，{c_i}_{i＝0，...，L})，K.

【数学式5】

其中，

对于

对于

(ct_S′，K′)←Enc(pk，S′)

【数学式6】

其中，

M_i是M的第i行。

7.根据权利要求6所述的加密系统，其中，

所述加密系统还具有解密装置，该解密装置利用解密密钥sk_Γ’对所述重加密密文rct_S’中包含的所述密文ct_S’进行解密而生成所述会话密钥K’，根据所述重加密密文rct_S’中包含的加密元素K^～和所述会话密钥K’生成所述会话密钥K。

8.根据权利要求7所述的加密系统，其中，

所述解密装置生成数学式7所示的所述会话密钥K，

【数学式7】

9.一种重加密方法，其中，

重加密装置中的密文取得部取得将确定能够解密的范围的属性信息S作为输入而通过加密算法生成的会话密钥K和对所述会话密钥K进行加密而得到的密文ct_S中的所述密文ct_S，

所述重加密装置中的密钥取得部取得重加密密钥rk，该重加密密钥rk包含对能够对所述密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过所述加密算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据所述随机数r生成的转换信息，

所述重加密装置中的重加密密文生成部根据所述转换信息，从通过所述重加密密钥rk中包含的所述转换后解密密钥sk_Γ ^～对所述密文ct_S进行解密而得到的解密信息K^中删除与所述随机数r有关的元素，生成设定了所述会话密钥K’的加密元素K^～，

所述重加密装置中的输出部输出包含所述加密元素K^～和所述密文ct_S’的重加密密文rct_S’。

10.一种重加密程序，该重加密程序使计算机作为进行如下处理的重加密装置发挥功能：

密文取得处理，取得将确定能够解密的范围的属性信息S作为输入而通过加密算法生成的会话密钥K和对所述会话密钥K进行加密而得到的密文ct_S中的所述密文ct_S；

密钥取得处理，取得重加密密钥rk，该重加密密钥rk包含对能够对所述密文ct_S进行解密的解密密钥sk_Γ设定随机数r而生成的转换后解密密钥sk_Γ ^～、将确定能够解密的范围的属性信息S’作为输入而通过所述加密算法生成的会话密钥K’和对所述会话密钥K’进行加密而得到的密文ct_S’、以及根据所述随机数r生成的转换信息；

重加密密文生成处理，根据所述转换信息，从通过所述重加密密钥rk中包含的所述转换后解密密钥sk_Γ ^～对所述密文ct_S进行解密而得到的解密信息K^中删除与所述随机数r有关的元素，生成设定了所述会话密钥K’的加密元素K^～；以及

输出处理，输出包含所述加密元素K^～和所述密文ct_S’的重加密密文rct_S’。

Images