JP2000174746A - デ―タ復号方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 秘密鍵自体を知られること無く、複数人の分
割鍵保有者の協力により、公開鍵で暗号化されたデータ
を復号でき、かつその分割鍵の管理も容易にする。 【解決手段】 公開鍵暗号の公開鍵と秘密鍵の鍵ペアの
うち秘密鍵がＮ個（Ｎ≧２の整数）に分割され、それぞ
れをＮ人の分割鍵保有者に保有させ、Ｎ人のうちＫ（Ｋ
＜Ｎ）人が保有する秘密鍵を用いて前記公開鍵で暗号化
されたデータをコンピュータにより復号する場合に、前
記分割鍵保有者の数Ｎに１を加えた数の変数を含む複数
の一次式で、１つの変数の係数は常に０でなく、残りＮ
個の変数の係数のうちＫ個が０でない複数の一次式を利
用して秘密鍵をＮ個に分割し、その分割されたＮ個の秘
密鍵のうちＫ個を用いて前記公開鍵で暗号化したデータ
を復号する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵暗号の公開
鍵と秘密鍵の鍵ペアのうち秘密鍵をＮ個（Ｎ≧２の整
数）に分割し、それぞれをＮ人の分割鍵保有者に保有さ
せ、Ｎ人のうちＫ（Ｋ＜Ｎ）人が保有する秘密鍵を用い
て前記公開鍵で暗号化されたデータをコンピュータによ
り復号するデータ復号方法および装置に関し、例えば、
企業内で担当者が作成、暗号化した文書を、その担当者
が不在の時に復号する必要が生じた場合に、担当者の上
長や所属のコンピュータ管理者が協力し、あるいはさら
に特定の誰かによる協力を受けて復号する場合のデータ
復号方法および装置に関するものである。

【０００２】

【従来の技術】従来において、複数人の分割鍵保有者に
預けた秘密鍵を用いて、該秘密鍵に対応する公開鍵で暗
号化したデータを復号する方法として、Shamir (A.Sham
ir、”How to share a secret"、Communication of ACM
22 (11)、612-613、1979年11月号)の方法がある。この
方法では、秘密鍵の情報をＮ人（Ｎ≧２の整数）の分割
鍵保有者に分割して渡し、そのうちＫ人（Ｋ≦Ｎ）が保
有する分割秘密鍵を集めることにより秘密鍵自体を復元
し、その復元した秘密鍵によって、暗号化したデータを
復号化可能にしたものである。

【０００３】一方、暗号通信を不正目的に利用している
ユーザの通信内容を解読して犯罪捜査に利用する方法と
して、暗号文の復号鍵を供託機関に登録しておいて、捜
査が必要な場合に捜査機関が裁判所の許可を受け、復号
鍵を供託機関から入手し、その入手した復号鍵によって
暗号文を解読して捜査に利用する方法が提案されてい
る。この時、供託機関自身の不正を防止するため、１つ
の供託機関にのみに復号鍵を供託するのではなく、複数
の供託機関に分割して供託し、そのうち幾つかの供託機
関が協力して、元の復号鍵を復元し、解読に利用する方
法である、Micali(S.Micali、“Fair Public-Key Crypt
osystems”、Proceedings of Crypto’92、111-138)の
方法がある。

【０００４】また、機密データの漏洩を防ぐ手段の１つ
として、例えば特開平８−４４６３２公報「ファイル暗
号装置」等のファイルを暗号化する方法がこれまでにい
くつか提案されている。暗号化したファイルは、そのフ
ァイルを暗号化したユーザだけが復号することができ
る。

【０００５】

【発明が解決しようとする課題】ところが、Shamirの方
法では、Ｋ人が集まると、秘密鍵そのものが復元されて
しまう。よって、その秘密鍵で復号可能な全てのデータ
を復号することができ、復号目的以外の必要以上の他の
情報がＫ人の人間に知られてしまう危険性がある。

【０００６】一方、Ｍicaliの方法では、組み合わせの
数が大きくなると供託機関が持つ分割した復号鍵の数が
大きくなるという問題があった。例えば、５つの供託機
関があり、このうち３つが協力して鍵を持つとなると、
機関Ａは、ＢとＣ、ＢとＤ、ＢとＥ、ＣとＤ、ＣとＥ、
ＤとＥ、という具合に協力機関の組み合わせ数だけ分割
鍵を持つ必要があり、分割した復号鍵の管理が面倒で複
雑化し、そのコストが嵩むという問題があった。

【０００７】また、これらの方法では復号鍵の復元の際
に特定の誰かを必須にしたり、分割鍵の所有者をグルー
プ化してそれぞれのグループ内で協力が成立しないと復
元できないようにする、といった柔軟な分割が行えなか
った。

【０００８】また、分割鍵保有者の変更の場合には、旧
保有者の結託による不正な復号鍵の復元を防ぐために秘
密鍵を分割し直す必要があるが、全員に再配布しなけれ
ばならず影響範囲が大きい、という問題も起きてしま
う。

【０００９】さらに、特定の復号鍵を復元する際に、特
定の誰かを必須にすることは、上記の方法でも必須の分
割鍵保有者に複数の分割鍵を割り当てることで実現でき
ていたが、この場合でも分割鍵保有者の変更時には全員
に再配布する必要があった。

【００１０】さらに、ファイルを暗号化する場合につい
ては、特開平８−４４６３２公報「ファイル暗号装置」
等の装置では、暗号化ファイルを所有するユーザしかフ
ァイルを復号することができない。このため、企業内で
担当者が作成した文書を、前記装置を用いて暗号化した
場合、顧客や他部署などから前記文書に関する問い合わ
せがあったときに、前記担当者が不在の場合には前記文
書を復号できないという問題があった。

【００１１】さらに、前記公報に開示された「ファイル
暗号装置」では、ファイルを復号する際にパスワードの
入力を求められるが、パスワードを忘れてしまうとファ
イルを復号できないという問題もあった。

【００１２】本発明の目的は、秘密鍵自体を知られるこ
と無く、複数人の分割鍵保有者の協力により、公開鍵で
暗号化されたデータあるいはファイルを復号でき、かつ
その分割鍵の管理も容易であるデータ復号方法を提供す
ることにある。

【００１３】本発明の他の目的は、分割鍵を復元する際
に特定の誰かが保有する分割鍵を必須の条件としたり、
分割鍵の所有者をグループ化してそれぞれのグループ内
で協力が成立しないと復元できないようにするなどの柔
軟な分割を行い、その分割された鍵を用いて、暗号化さ
れたデータを復号することができるデータ復号方法を提
供することにある。

【００１４】本発明のさらに他の目的は、複数人の分割
鍵保有者の協力により、公開鍵で暗号化されたデータあ
るいはファイルを簡単な操作で容易に復号することがで
きるデータ復号装置を提供することにある。

【００１５】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、公開鍵暗号の公開鍵と秘密鍵の鍵ペアの
うち秘密鍵をＮ個（Ｎ≧２の整数）に分割し、それぞれ
の分割鍵をＮ人の分割鍵保有者に割り当てた際の分割鍵
保有者の数Ｎに１を加えた数の変数を含む複数の一次式
で、かつ１つの変数の係数は常に０でなく、残りＮ個の
変数における係数のうちＫ個が０でない複数の一次式を
予め記憶した記憶手段を備え、前記Ｎ人のうちＫ（Ｋ＜
Ｎ）人に割り当てた分割鍵を用いて前記公開鍵で暗号化
されたデータをコンピュータにより復号するデータ復号
方法であって、前記秘密鍵を分割する際に、前記記憶手
段に記憶された一次式を読み出し、該一次式によって前
記秘密鍵をＮ個に分割し、その分割されたＮ個の分割鍵
のうちＫ個を用いて前記公開鍵で暗号化したデータを復
号することを特徴とする。

【００１６】詳しくは、次に述べるＮ＋１変数の一次式
に基づいて秘密鍵を分割して分割鍵保有者に預ける。こ
のうちＫ人が集まれば、暗号化したデータが復号できる
ように構成し、秘密鍵そのものは復元されないように構
成したものである。

【００１７】説明のため、秘密鍵をS’、 S = S’ /2を
「１」から「１０」までのある整数とみなし、秘密鍵
S’を３人に分割して、２人が集まってデータを復号す
る場合を例に挙げると、まず、「位数１１」の有限体Z
₁₁上で以下の一次式を作成する。

【００１８】

【数１】1S₁ + １S₂ + ０₃ = S (mod １１）

【００１９】

【数２】２Ｓ_１ ＋ ０S₂ + １S₃ = S (mod １１)

【００２０】

【数３】０S₁ + ２S₂ +１０S₃ =S (mod １１) ここで、数３は、数１の２倍から数２を引き算すること
によって得られることに注意する。すると、あるS₁、
S₂、S₃、Sについてある２つの式が成立すると、残りの
式も成立することになる。公開鍵暗号としては、ある数
のべき乗を求めることで復号する方式を選ぶ。

【００２１】また、上記の分割鍵について同様な方法で
一次式を作成し、さらに分割を繰り返すことで、分割鍵
保有者をグループ化したそれぞれのグループ内での協力
と、グループ単位での協力を組み合わせた復号を行うよ
うにする。あるいは、グループ化の際にあるグループで
は全員参加の協力とし、さらに全グループでの協力を必
要とすることで、ある特定の分割鍵保有者の協力を必須
とする条件で復号を行うようにする。

【００２２】また、分割鍵保有者の変更時の課題を解決
するため、分割鍵保有者をグループ化したそれぞれのグ
ループ内での協力と、グループ単位での協力を組み合わ
せた復号を行えるよう、上記方法で秘密鍵を分割した
後、分割鍵についても同様に一次式を作成してさらに分
割を繰り返すように構成したものである。

【００２３】さらに、本発明のデータ復号方法を適用し
たデータ復号プログラムをファイル暗号装置に実装し、
前記データ復号プログラムのインタフェースを用いてデ
ータあるいはファイルを暗号化する担当者の秘密鍵を分
割し、その分割鍵を前記担当者の上長や所属のコンピュ
ータ管理者に保有させ、暗号化操作を行った担当者が不
在のときでも、前記データ復号プログラムを用いてコン
ピュータ管理者等の分割鍵保有者が協力して、暗号化さ
れたデータあるいはファイルを復号できるように構成し
たものである。

【００２４】

【発明の実施の形態】以下、図面に従い、本発明の実施
の形態について説明する。図１は、本発明を適用した暗
号データの復号システムの一実施形態を示すシステム構
成図である。図１において、１０１は、一般の利用者が
使う計算機であり、利用者の作成した文書あるいはファ
イルを暗号化して保管する。１０２は、鍵生成装置であ
り、複数の利用者計算機１０１の利用者が使用する暗号
の鍵ペア、すなわち公開鍵暗号の公開鍵と秘密鍵を生成
する。生成した鍵ペアは利用者計算機１０１に、また秘
密鍵は分割して分割鍵保有者計算機１０３に送る。

【００２５】１０３は分割鍵保有者計算機であり、利用
者の分割された秘密鍵を保持している。ここでは、Ｎ台
の分割鍵保有者計算機１０３が設置されているものと仮
定する。

【００２６】１０４はデータ復号装置であり、利用者計
算機１０１から復号したい暗号化文書に関する情報を取
り出し、Ｋ台（Ｋ＜Ｎ）の分割鍵保有者計算機１０３か
ら部分的に復号された情報を集め、利用者が暗号化した
文書を復号する。１０５は、利用者計算機１０１と鍵生
成装置１０２とデータ復号装置１０４と分割鍵保有者計
算機１０３とを接続するネットワークである。

【００２７】以上の構成において、まず、システム構築
時に鍵生成装置１０２において行う処理の概要を図２の
フローチャートを参照して説明する。なお、ここで例示
するビット数は、本出願時の暗号学により、ある程度の
安全性が保証されている数であり、今後大きくなると予
想される。また、秘密鍵の分割に必要な計算式等のアル
ゴリズムは、各計算式を必要とする計算機の内部の記憶
装置に予め記憶され、必要の都度読み出されて使用され
るものである。

【００２８】まず、ステップ２０１において、暗号パラ
メータｐ，Ｇを生成する。暗号パラメータｐは、１０２
４ビット以上の素数であり、このｐと共に、ｐ＝ ２q＋
１なるqも素数になるように求める。そして、ｐを法と
して位数ｐ−１がとなる数Ｇ（原始根）を求める。定義
よりＧは、数４に示すように、ｐを法としてｐ−１乗し
て始めて「１」となる数である。

【００２９】

【数４】Ｇ_p~¹＝１（modｐ） 次に、ステップ２０２において、Ｎ個からＫ個を選択す
る組み合わせの数_NＣ_Kに等しい個数の恒等式Ｔ_iを生成
する。生成の方法は図３を用いて後述する。恒等式はZ_q
で求める。ここでZ_qは「0」から「q-1」までの整数から
なる集合でqを法とした加減乗除の演算を行う。

【００３０】次にステップ２０３において、前記ステッ
プ２０１，２０２において得られたｐ，Ｇを利用者計算
機１０１と分割鍵保有者計算機１０３に送り、ｐ，Ｇ，
Ｔ_iをデータ復号装置１０４に送る。

【００３１】図３は、恒等式Ｔ_iの生成方法を示すフロ
ーチャートである。なお、ここで分割鍵保有者の数を
Ｎ、復号に必要な分割鍵保有者の数をＫとする。第１例
では、Ｎ＝３、Ｋ＝２、ｐ＝２３として、すなわち、３
人の分割鍵保有者のうち、２人が協力して復号する場合
を例に挙げて具体的に説明する。

【００３２】まず、ステップ３０１、３０２において、
変数ｉ，ｊの初期化を行い、ｉ＝１，ｊ＝１とする。

【００３３】次のステップ３０３，３０４，３０５にお
いて、恒等式Ｔ_iにおけるＳ_jの係数をランダムに定め
る。この結果、具体的には、ｉが「１」の時、Ｔ₁につ
いてS₁の係数が例えば「５」となる。

【００３４】次のステップ３０６において、S₂とSの係
数が「１」、S₃の係数が「０」となる。以上でＴ_iが決
定し、次の、数５の式となる。

【００３５】

【数５】 ５S₁ + １S₂ + ０S₃ = S (mod １１) …Ｔ₁ 次に、ステップ３０７において、ｉが「２」、Ｎが
「３」、Ｋが「２」であるので「ｉ≦Ｎ−Ｋ＋１」が成
立して、ｉを「２」に更新してステップ３０２、３０
３、３０４の処理を同様に行い、Ｔ₂のＳ_jの係数を定め
る。この結果、具体的には、S₁ の係数が例えば「８」
となる。さらにステップ３０６において、S₃ とSの係数
が「１」、S₂が「０」となる。以上までで、Ｔ₂が定ま
り、次の、数６のようになる。

【００３６】

【数６】 ８S₁ + ０S₂ + １S₃ = S (mod １１) …Ｔ₂ 次に、ステップ３０８において、S₂とS₃の係数が「０」
でないＴ₃を求めるために、今まで求めた式で、S₂の係
数が「０」でない式Ｔ₁とS₃の係数が「０」でない式Ｔ₂
とを選択する。

【００３７】次に、ステップ３０９において、Ｔ₃はS₁
の係数が不要、つまり「０」になるようにＴ₁とＴ₂から
計算する。具体的にはＴ₁を８倍したものから５倍した
Ｔ₂を引いてＴ₃を次の、数７、数８を計算して得る。

【００３８】

【数７】０S₁ + ８S₂ + ６S₃ = ３S (mod １１)

【００３９】

【数８】両辺を３で割って ０S₁ + １０S₂ + ２S₃ = S (mod １１) …Ｔ₃ 以上において法（ｍｏｄ）を「１１」として計算してい
ることに注意する。

【００４０】別の例として、分割鍵保有者が５人で、こ
のうち３人が協力する場合の例を挙げる。この場合、Ｎ
＝５、Ｋ＝３となる。

【００４１】まず、ステップ３０３，３０４，３０５に
おいて、Ｔ_iのＳ_jの係数を定める。具体的には、iが
「１」の時、Ｔ₁についてS₁ の係数が例えば「７」、S₂
の係数が例えば「２」となる。さらにステップ３０６
においてS₃ とSの係数が「１」、S₄とS₅の係数が「０」
となる。Ｔ₁は次の、数９の通りとなる。

【００４２】

【数９】 7S₁ + 2S₂ + 1S₃ + 0S₄ + 0S₅ = S (mod 11) …Ｔ₁ 続くステップ３０７において、ｉが「２」、Ｎが
「５」、Ｋが「３」であるので、「ｉ≦Ｎ−Ｋ＋１」が
成立して、ｉを「２」に更新してステップ３０２，３０
３，３０４の処理を行い、Ｔ₂のＳ_jの係数を定める。例
えば、次の、数１０のようにＴ₂が決まる。

【００４３】

【数１０】 ３S₁ + ５S₂ + ０S₃ + １S₄ + ０S₅ = S (mod １１) …Ｔ₂ 同様にＴ₃式が例えば、以下の、数１１のようになる。

【００４４】

【数１１】 １０S₁ + ３S₂ + ０S₃ + ０S₄ + １S₅ = S (mod １１) …Ｔ₃ 以下、同様にしてステップ３０８からステップ３１１で
残りの式を求める。

【００４５】５人の分割鍵保有者から３人を選ぶ残りの
組み合わせは、（１、３、４）、（１、３、５）、
（１、４、５）、（２、３、４）、（２、３、５）、
（２、４、５）、（３、４、５）の７つの組み合わせが
ある。以下、残りの式を先の３つの式から求める。
（１、３、４）に対応するＴ₄を求めるには、S₃の係数
が「０」でないＴ₁とS₄の係数が「０」でないＴ₂から計
算する。この時、S₂の係数が不要となるので、Ｔ₁とＴ₂
でＳ₂の係数を消去するように計算する。具体的には、５
倍のＴ₁式から２倍のＴ₂式を引くと以下のＴ₄が求ま
る。

【００４６】

【数１２】 ７S₁ + ０S₂ + ５S₃ +９S₄ +０S₅ = ３S (mod １１)

【００４７】

【数１３】両辺を３で割って、 ６S₁ +０S₂ +９S₃ + ３S₄ + ０S₅ = S (mod １１) …Ｔ₄ となる。

【００４８】以下同様にして、Ｔ₅、Ｔ₆、Ｔ₇、Ｔ₈、Ｔ
₉、Ｔ₁₀を求めると、以下のようになる。

【００４９】

【数１４】 １S₁ + ０S₂ + ３S₃ + ０S₄ + ９S₅ = S (mod １１) …Ｔ₅ ４S₁ + ０S₂ + ０S₃ + ７S₄ + ３S₅ = S (mod １１) …Ｔ₆ ０S₁ + １０S₂ + ２S₃ + １０S₄ + ０S₅ = S (mod １１) …Ｔ₇ ０S₁ + ７S₂ + ７S₃ + ０S₄ + ５S₅ = S (mod １１) …Ｔ₈ ０S₁ + ９S₂ + ０S₃ + ３S₄ + ９S₅ = S (mod １１) …Ｔ₉ ０S₁ + ０S₂ + ４S₃ + ６S₄ + ２S₅ = S (mod １１) …Ｔ₁₀ 最後のＴ₁₀式は、上の式を用いて計算する。例えば、S₁
とS₃とS₄の係数が「０」でないＴ₄とS₁とS₃とS₅の係数
が「０」でないＴ₅からS₁の係数を消去して得ることが
できる。

【００５０】ステップ３０９の消去の過程で、必要な係
数まで消去される場合がある。ここで必要な係数とはS
や上記のＴ₁₀でいえばS₃、S₄、S₅の係数である。例え
ば、Ｎが「３」、Ｋが「２」の場合で、Ｔ₁とＴ₂式が以
下のようになったとする。

【００５１】

【数１５】１S₁ + １S₂ + ０S₃ = S (mod １１)

【００５２】

【数１６】１S₁ + ０S₂ + １S₃ = S (mod １１) S₁を消去するため、数１５から数１６を引くと

【００５３】

【数１７】０S₁ +１S₂ + １０S₃ =０S (mod １１) となり、Sの係数が「０」となり、必要な係数が消えて
いる。このような場合は、最初からやり直す。

【００５４】次に、図４を用いて鍵生成装置１０２にて
行う利用者の登録方法を説明する。図４において、先ず
ステップ４０１において、秘密鍵S’ を「１」以上「p-
1」未満の偶数、ここでの例の場合「１」から「２２」
の数からランダムに選ぶ。ここでは「１２」と仮定す
る。さらにＳを秘密鍵Ｓ’ の半分の「６」とする。

【００５５】次にステップ４０２において、秘密鍵Ｓを
分割してS_jを求める。ここでは先に求めた一次式を利用
して分割秘密鍵S_jを計算する。この分割秘密鍵S_jを計算
するための一次式は、鍵生成装置１０２の記憶装置に予
め記憶されているものである。

【００５６】

【数１８】５S₁ + １S₂ + ０S₃ = S (mod １１)

【００５７】

【数１９】８S₁ + ０S₂ + １S₃ = S (mod １１）

【００５８】

【数２０】０Ｓ_１ ＋１０S₂ + ２S₃ = S (mod １１) S₁をランダムに定める。すると、数１８よりS₂が、数１
９よりS₃が求まる。例えば、S₁ = 3とすると、S₂ = 2、
S₃ = 4と分割できる。これは数２０を満たしている。

【００５９】次にステップ４０３において、このS₁ 、S
₂ 、S₃をそれぞれの分割鍵保有者計算機１０３に分割秘
密鍵の内容が他に分からないように送る。送る方法には
幾つかあるが、本発明の範囲外であるのでその説明は省
略する。

【００６０】次に、ステップ４０４において、秘密鍵
S’ と公開鍵Ｙを利用者計算機１０１に登録する。この
場合の公開鍵Ｙは、数２１で表される。

【００６１】

【数２１】

【００６２】次に、登録の終わった利用者が計算機１０
１を用いて、自分が作成した文書を暗号化する方法につ
いて図５のフローチャートを用いて説明する。まず、ス
テップ５０１において、乱数ＲとＭを生成する。次に、
ステップ５０２において、数２２を計算する。

【００６３】

【数２２】

【００６４】ここでＹは、ステップ４０４で登録した利
用者の公開鍵であり、計算はｐを法として、ここでは
「２３」で計算する。

【００６５】次のステップ５０３において、Ｍを秘密鍵
暗号の鍵とみなして文書を暗号化する。見なしかたは本
発明の範囲外であるので省略する。また、暗号方法に
は、公開鍵暗号に比べて高速な秘密鍵暗号を用いる。こ
の暗号方法についても本発明の対象外であるので、省略
する。続くステップ５０４において、Ｃ₁、Ｃ₂、Ｍで暗
号化した文書を保管する。

【００６６】次に、利用者計算機１０１を用いて暗号化
された文書を復号する手順を図６のフローチャートによ
り説明する。復号する場合、まず、ステップ６０１にお
いて、数２３を計算して、Ｍを求める。

【００６７】

【数２３】

【００６８】次のステップ６０２において、このＭを秘
密鍵暗号の鍵とみなして暗号化した文書を復号する。

【００６９】次に、暗号化した文書をデータ復号装置１
０４にて復号する手順を図７のフローチャートを用いて
説明する。まず、ステップ７０１において、復号したい
文書と対応するＣ₁とＣ₂とを利用者計算機１０１から取
り出す。

【００７０】次に、ステップ７０２において、Ｋ個の利
用する分割鍵保有者計算機１０３を選択し、その計算機
１０３との安全な通信路を確立する。選択と安全な通信
路の確立に付いては、本発明の範囲外であるので省略す
る。

【００７１】次にステップ７０３において、上記通信路
を使って、Ｃ₁を分割鍵保有者計算機１０３に送る。そ
して、ステップ７０４において、各分割鍵保有者計算機
１０３が計算した部分復号結果Ｄ_jを受け取る。このＤ_j
は、数２４で表される。

【００７２】

【数２４】

【００７３】次に、ステップ７０５において、数２５を
計算し、平文Ｍを得る。

【００７４】

【数２５】

【００７５】ここでT_ijはどの分割鍵保有者計算機１０
３を選んだかによって決まる。先の恒等式を用いて、具
体的に説明すると、選んだ分割鍵保有者計算機１０３に
対応する係数が「０」でない式を選び、その式のＳ_jの
係数をＴ_ijとする。例えば、２番目と３番目の分割鍵保
有者計算機１０３を選んだとすると、次の、数２６を選
択する。

【００７６】

【数２６】０S₁ + １０S₂ + ２S₃ = S (mod １１) すると、Ｔ₃₁ = ０、Ｔ₃₂ = １０、Ｔ₃₃ = ２となる。
すると、数２７を計算することで、Ｍが得られる。

【００７７】

【数２７】

【００７８】次に、ステップ７０６において、Ｍを使っ
て、暗号化した文書を復号する。図８は、以上の処理全
体を分かり易くまとめたものであり、利用者計算機１０
１の記憶手段１０６に格納された「価格表」と「在庫
表」の暗号文書をデータ復号装置１０４で復号する例を
示している。なお、図中のパラメータは上記の説明と同
じである。また、共通パラメータＧ，ｐは、各計算機の
記憶手段１０７に記憶されるようになっている。また、
秘密鍵の分割式は鍵生成装置１０２の記憶手段１０８に
予め記憶されるようになっている。

【００７９】上記説明では、複数の分割鍵保有者計算機
１０３に分割秘密鍵を保有させる例を説明したが、本発
明は複数の鍵供託機関に供託しておく場合に同様に適用
することができる。以下、図９を用いて、本発明を鍵供
託に用いた場合を簡単に説明する。

【００８０】図９において、１１０は受信者計算機、１
１１は送信者計算機、１１２−１〜１１２−Ｎは複数の
供託機関計算機、１１３は鍵生成装置、１１４は公開鍵
配布機関計算機、１１５は捜査機関における計算機であ
る。

【００８１】ユーザ登録の際は、鍵を生成した後、公開
鍵Ｙは公開鍵配布機関計算機１１４に送信し、秘密鍵
S’ は利用者に送る。

【００８２】暗号文を送りたい送信者計算機１１１の送
信者は、受信者計算機１１０の受信者の公開鍵Ｙを公開
鍵配布機関計算機１１４から入手し、先の例と同じ方法
で暗号化して、C₁とC₂と暗号化した文書を受信者計算機
１１０に送る。受信者計算機１１０の受信者は、先の例
と同じようにして文書を復号する。

【００８３】犯罪の疑いがある場合は、捜査機関の計算
機１１５の担当者は送信者計算機１１１から受信者計算
機１１０への通信文を盗聴して、C₁とC₂と暗号化した文
書を入手する。解読の手順は回復の手順と同じである。

【００８４】以上のように、本実施形態によれば、暗号
文を復号する際には秘密鍵そのものはどこにも復元され
ず、分割鍵保有者計算機１０３が持つ分割鍵S_iに基づい
て部分的に復号したデータD_iを使って必要な文書を復号
しているため、同じ鍵を用いて、暗号化した他の文書を
復号することはできない。

【００８５】また、秘密鍵自体を知られることもない。
そして、複数人の分割鍵保有者の協力により、公開鍵で
暗号化されたデータを目的とする暗号文のみに限って復
号することができ、かつその分割鍵の管理も容易であ
る。

【００８６】次に、本発明の第２の実施形態について説
明する。この第２の実施形態は、Ｎ人の分割鍵保有者を
N_G個の複数のグループに分け、そのうちのK_G個（K_G＜
N_G）のグループにおいて、それらのグループに所属する
N_g人（N_g≧２の整数）うちK_g人（K_g＜N_g）が協力してデ
ータを復号する場合の方法に関するものである。なお、
システム構成は図１と同じであり、以下では、図１のシ
ステム構成を前提にして本実施形態における秘密鍵のグ
ループ分割方法と、分割鍵によるデータの復号方法につ
いて説明する。

【００８７】まず、本実施形態における秘密鍵のグルー
プ分割方法において、システム構築時において鍵生成装
置１０２で行う処理の概要について図１０のフローチャ
ートを参照して説明する。

【００８８】まず、ステップ１００１において、図２の
ステップ２０１と同様にして暗号パラメータp，q，Ｇを
求める。

【００８９】次に、ステップ１００２において、図２の
ステップ２０２と同様にして、N_G個からK_G個を選択する
組み合わせの数_NGC_KGに等しい個数の一次式T_aを生成す
る(a=1,2,…,_NGC_KG)。また、ステップ２０２と同様にし
てN_g個からK_g個を選択する組み合わせの数に等しい個数
の一次式T_giを生成する(g=1,2,…, N_g)。これは、図３
と同様の手順で生成するが、詳細は図１１にて説明す
る。

【００９０】次にステップ１００３において、図２のス
テップ２０３と同様に、前記ステップ１００１，１００
２において得られた暗号パラメータｐ，q，Ｇを利用者
計算機１０１と分割鍵保有者計算機１０３に送り、ｐ，
Ｇ，T_a、T_giiをデータ復号装置１０４に送る。

【００９１】図１１は、恒等式T_a、T_giの生成方法を示
すフローチャートである。なお、ここでは、N＝４、N_G
＝２、K_G＝２、N₁＝１、K₁＝１、N₂＝３、K₂＝２、p＝
２３とする。

【００９２】これは、Ａ、Ｂ、Ｃ、Ｄの４人のうち３人
が協力し、かつＡが必須となるように秘密鍵を分割する
のに相当するグループ分けである。すなわち、図１４
（ａ）に示すように、グループ１のメンバーはＡのみ、
グループ２のメンバーはＢ、Ｃ、Ｄの３人といったグル
ープ分けである。

【００９３】まず、ステップ１１０１において、N_Gが
２、K_Gが２の場合における恒等式T_aの変数S_gの係数を定
める。その方法は図３と同じである。ここでは、例えば
次のような恒等式T₁が得られたとする。

【００９４】

【数２８】2S₁ + S₂ = S (mod 11) 次に、ステップ１１０２において、変数gの初期化を行
い、g＝１とする。次に、ステップ１１０３において、N
₁個からK₁個を選択する組み合わせの数に等しい個数の
一次式T_1iを生成する。ここではN₁が１、K₁が１である
ため、例えば次のような恒等式T_1iが得られたとする。

【００９５】

【数２９】3S₁₁ = S₁ (mod 11) 次に、ステップ１１０４において、g＝g＋１に更新した
後、次のステップ１１０５でg≦ N_Gかを判定する。ここ
では、gが２であるので、ステップ１１０３に戻る。ス
テップ１１０３では、N₂個からK₂個を選択する組み合わ
せの数に等しい個数の一次式T_2iを生成する。ここではN
₂＝３、K₂＝２であるため、例えば次のような恒等式T_2i
が得られる。

【００９６】

【数３０】5S₂₁ + 1S₂₂ + 0S₂₃ = S₂ (mod 11) 8S₂₁ + 0S₂₂ + 1S₂₃ = S₂ (mod 11) 0S₂₁ + 10S₂₂ + 2S₂₃ = S₂ (mod 11) 続くステップ１１０４、１１０５の処理を行うことによ
り、g＝3となり、図１１の処理を終える。

【００９７】次に、図１２を用いて、鍵生成装置１０２
にて行う利用者の登録方法を説明する。まず、ステップ
１２０１において、図４のステップ４０１と同様に、秘
密鍵S’とその半分の値Sを求める。次に、ステップ１２
０２において、T_aを使ってSを分割しS_gを求める。この
場合の求め方は、図４のステップ４０２と同様に、S₁を
ランダムに定めてからS₂を計算する。ここで得られたS₁
はグループ１に、S₂はグループ２に割り当てるものとす
る。

【００９８】次にステップ１２０３において、ｇ＝１に
設定し、次のステップ１２０４においてT_giに合わせて
各S_gを分割しS_gjを求める。求め方は図４のステップ４
０２と同様である。続いて、g≦ N_Gかを判定し、ＹＥＳ
ならばステップ１２０３に戻って同様の処理を繰り返
し、T_giに合わせて各S_gを分割しS_gjを求める。次に、ス
テップ１２０７において、分割した鍵S_gjを分割鍵利用
者計算機１０３_gjに秘密裏に送って登録する。

【００９９】ここでは、図１４（ａ）示すように、S₁₁
を分割鍵保有者Ａが利用する分割鍵保有計算機１０３₁₁
に、S₂₁、S₂₂、S₂₃を分割鍵保有者Ｂ、Ｃ、Ｄが利用す
る分割鍵保有計算機１０３₂₁、１０３₂₂、１０３₂₃に配
布して登録する。

【０１００】最後に、ステップ１２０８において、図４
のステップ４０４と同様に、秘密鍵S’と公開鍵Y=G _S'
を利用者計算機１０１に送る。

【０１０１】利用者計算機１０１では、鍵生成装置１０
２から配付された秘密鍵S’と公開鍵Y=G _S'を用いて文
書やファイルの暗号化、および復号を行う。

【０１０２】次に、図１３のフローチャートを用いて、
暗号化した文書を、各分割鍵保有者が利用する各分割鍵
保有計算機１０３₁₁、１０３₂₁、１０３₂₂、１０３₂₃と
の協同作業によってデータ復号装置１０４にて復号する
手順について説明する。

【０１０３】まず、ステップ１３０１において図７のス
テップ７０１と同様に、復号したい文書と対応するC₁と
C₂とを利用者計算機１０１から取り出す。

【０１０４】次に、ステップ１３０２において、N_G個の
グループ中から選んだK_G個の各グループについて、K_g個
の分割鍵保有者計算機１０３を選択し、図７のステップ
７０２と同様にその計算機との安全な通信路を確立す
る。

【０１０５】ここではグループ１の分割鍵保有者Ａが使
用する分割鍵保有計算機１０３₁₁、グループ２の分割鍵
保有者Ｃ、Ｄが使用する分割鍵保有計算機１０３₂₂、１
０３₂₃を選んだものとする。

【０１０６】次に、ステップ１３０３において、図７の
ステップ７０３と同様に、上記通信路を使ってC₁を分割
鍵保有者計算機１０３₁₁、１０３₂₂、１０３₂₃に送る。

【０１０７】次に、ステップ１３０４において図７のス
テップ７０４と同様に、これらの分割鍵保有者計算機上
で計算した部分解読結果D_gj を受け取る。この部分解読
結果D_gjは、次の、数３１で表される。

【０１０８】

【数３１】

【０１０９】次に、ステップ１３０５において図７のス
テップ７０５と同様な計算を行うことにより、平文Ｍを
得る。この平文Ｍは、次の、数３２で表される。

【０１１０】

【数３２】

【０１１１】ここで、t_agは、どのグループを選んだか
によって決まる。恒等式T_aから、選んだグループに対応
する係数が０でない式を選び、その式のS_gの係数をt_ag
とする。ここではT_aは次の、数３３に示すT₁ただ１つし
かなく、t₁₁は２、t₁₂は１となる。

【０１１２】

【数３３】2S₁ + S₂ = S (mod 11) また、t_gijはどの分割鍵保有者計算機１０３_giを選んだ
かによって決まる。各グループについて、そのグループ
に対応する恒等式T_giから、選んだ分割鍵保有者計算機
１０３に対応する係数が０でない式を選び、その式のS
_gjの係数をｔ_ｇｉｊとする。ここでは、１つ目のグルー
プについては次の、数３４に示す恒等式Ｔ_１１

【０１１３】

【数３４】3S₁₁ = S₁ (mod 11) から、t₁₁₁ ＝３となる。２つ目のグループについて
は、例えば２番目と３番目の計算機１０３₂₂、１０３₂₃
を選んだとすると、次の、数３５に示す恒等式T₂₃

【０１１４】

【数３５】0S₂₁ + 10S₂₂ + 2S₂₃ = S₂ (mod 11) から、t₂₃₂＝１０、t₂₃₃＝２となる。すると、

【０１１５】

【数３６】

【０１１６】を計算することで、平文Ｍが得られる。こ
のようにして平文Ｍが得られたならば、ステップ１３０
６において、Ｍを使って暗号化した文書を復号する。

【０１１７】以上のように秘密鍵を分割することによ
り、暗号文の復号に際しては、ユーザＡの協力が必須と
なる復号形態を実現することができる。

【０１１８】なお、図１４（ａ）において、「２／２に
分割」、「１／１に分割」、「２／３に分割」とは、分
割数と必須となる分割鍵の数を表すものであり、分母が
分割数、分子が必須となる分割鍵の数を示している。図
１４（ａ）のような分割を行った場合に、S₁₁の保有者
が変わったとしても、S₁を図３の方法を使ってS’₁₁を
生成し、新たな保有者に配ればよい。同様にS₂₁、S₂₂、
S₂₃のいずれかの保有者が変わっても、S₂を分割し直し
てそのグループ内で配布し直せばよい。あるいはグルー
プ内でS₂を分割する条件を変えてもその影響範囲はその
グループ内に限ることができる。

【０１１９】なお、本発明は図１４（ａ）に示すような
分割の仕方に限らず、同図（ｂ）に示すような様々な分
割の仕方をすることができる。

【０１２０】次に、本発明の第３の実施形態について説
明する。この第３の実施形態は、１つの利用者計算機内
で上述した方法によって秘密鍵を複数に分割し、各分割
鍵を別々の利用者に割り当てておき、暗号文を復号する
際に分割鍵の保有者の全部または必須とされる分割鍵の
保有者の協力により、暗号文を復号するようにしたもの
であり、特に、復号する際のインタフェースの構成に関
するものである。

【０１２１】図１５は、第３の実施形態のシステム構成
を示す図であり、１５００は一般の利用者が使う計算機
（利用者計算機）であり、中央処理部１５０１、入出力
部１５０２、表示部１５０３、ファイル暗号部１５０
４、鍵生成部１５０５、ファイル復号部１５０６から構
成される。この利用者計算機１５００は、例えばパーソ
ナルコンピュータ等の汎用の計算機で構成することがで
きる。

【０１２２】中央処理部１５０１は、システム構築、恒
等式の作成、ユーザ登録、ファイル暗号、ファイル復
号、入出力、表示などの一連の処理を制御する。

【０１２３】入出力部１５０２は、復号したいファイル
あるいはデータの名前を入力したり、分割鍵を入出力し
たりするためのものである。この入出力部１５０２に
は、キーボード、マウス、フロッピーディスクドライブ
などが用いられる。

【０１２４】表示部１５０３は、ファイル復号などの案
内画面を表示するためのものである。この表示部１５０
３には、ディスプレイなどが用いられる。

【０１２５】ファイル暗号部１５０４は、利用者の作成
した文書を暗号化して図示しない記憶装置に保管する部
分であり、図１の利用者計算機１０１と同様の機能を有
する。

【０１２６】鍵生成部１５０５は、図１の鍵生成装置１
０２と同様の機能を有するものであり、利用者が使用す
る暗号の鍵ペア、すなわち公開鍵暗号の公開鍵と秘密鍵
を生成する。生成した鍵ペアはファイル暗号部１５０４
に、また秘密鍵は分割して入出力部１５０２に送る。

【０１２７】ファイル復号部１４０６は、図１のデータ
復号装置１０４と同様の機能を有するものであり、ファ
イル暗号部１５０４から復号したい暗号化ファイルに関
する情報を取り出し、K個の分割鍵を集め、いずれかの
利用者が暗号化したファイルを復号する。

【０１２８】前述の第１の実施例では、システムを構成
する各装置がネットワーク１０５で接続されているが、
本実施形態では、システムを構成する各部はすべて利用
者計算機１５００内にあり、ファイル復号に関する一連
の処理はすべて利用者計算機１５００内で行われる。

【０１２９】図１６のフローチャートを用いて、システ
ム構築時に行う処理の概要を説明する。まず、ステップ
１６０１において、図２のステップ２０１と同様にして
暗号パラメータp、q、Gを求める。次に、ステップ１６
０２において、図２のステップ２０２と同様にして恒等
式T_iを生成する。生成の方法は図３と同様である。

【０１３０】続く、ステップ１６０３において、暗号パ
ラメータp、Gをファイル暗号部１５０４に、p、G、T_iを
ファイル復号部１５０６に送る。

【０１３１】図１７は、鍵生成部１５０６にて行う利用
者の登録方法を示すフローチャートである。まず、ステ
ップ１７０１において、図４のステップ４０１と同様に
してSを選ぶ。次に、ステップ１７０２において、図４
のステップ４０２と同様にして分割鍵S_jを求める。次
に、ステップ１７０３において、各S_jに対して、分割鍵
保有者認証情報I_jを付加する。I_jは、分割鍵保有者のI
D、パスワードなどの情報から構成されており、中央処
理部１５０１が管理する。

【０１３２】次に、ステップ１７０４において、分割し
た鍵S_jを入出力部１５０２に出力し、認証情報I_jを表示
部１５０３に表示する。出力された分割鍵S_jは、フロッ
ピーディスクやＩＣカード等の携帯可能な記録媒体に格
納し、各分割鍵保有者が安全な場所に保管する。表示さ
れた認証情報I_jは、各分割鍵保有者が他人に漏らさない
ように記憶しておくようにする。

【０１３３】次に、ステップ１７０５において、図４の
ステップ４０４と同様にして秘密鍵2S とYをファイル暗
号部１５０４に登録する。

【０１３４】なお、本実施形態では、分割鍵S_jを各分割
鍵保有者が安全に管理することを要求しているが、分割
鍵S_jが入ったフロッピーディスク等の記録媒体の盗難な
どに対応するために、分割鍵S_jを記録媒体に格納する際
に、パスワードで暗号化しておいて、図１８で説明する
分割鍵保有者認証の際に分割鍵S_jを復号するようにして
もよい。

【０１３５】次に、図１８を用いて、複数の分割鍵保有
者が協力して、利用者が暗号化したファイルを復号する
手順を示す。なお、利用者がファイルを暗号化する方法
と、利用者自身が暗号化されたファイルを復号する手順
は、それぞれ図５、図６と同様である。

【０１３６】まず最初に、ファイル復号に必要な人数の
分割鍵保有者に、各自の分割鍵が格納された記録媒体を
持って集合してもらう。この状態で、ステップ１８０１
において、分割鍵保有者の代表者または利用者計算機１
５００の管理者が、ファイル復号部１５０６を起動す
る。このファイル復号部１５０６やファイル暗号部１５
０４および鍵生成部１５０５は、具体的には、ファイル
復号プログラム、ファイル暗号プログラム、鍵生成部プ
ログラムによって構成されるものである。

【０１３７】ファイル復号部１５０４が起動すると、中
央処理部１５０１はステップ１８０２において、表示部
１５０３にファイル復号情報を表示する。図１９は、フ
ァイル復号情報の画面表示例であり、分割鍵保有者の登
録人数「３」と、ファイル復号に必要な分割鍵保有者の
人数「２」が表示されている。

【０１３８】ファイル復号情報が表示されると、１人目
の分割鍵保有者は、図１９中の「ＯＫ」ボタンをクリッ
クする。１人目の分割鍵保有者が「ＯＫ」ボタンをクリ
ックすると、中央処理部１５０１は、ステップ１８０３
において、表示部１５０３に分割鍵保有者認証画面を表
示する。図２０は、分割鍵保有者認証画面の表示例であ
る。なお、ステップ１８０３において、分割鍵保有者が
図２０中の「キャンセル」ボタンをクリックした場合
は、ファイル復号処理が中止される。本実施形態では、
「キャンセル」ボタンが表示されている画面で、分割鍵
保有者が「キャンセル」ボタンをクリックすると、ファ
イル復号処理を中止することができる。

【０１３９】分割鍵保有者認証画面が表示されると、ス
テップ１８０４において、分割鍵保有者は、分割鍵S_jが
格納された記録媒体を挿入し、ＩＤ、パスワードからな
る認証情報を入力した後、図２０中の「ＯＫ」ボタンを
クリックする。

【０１４０】「ＯＫ」ボタンがクリックされると、中央
処理部１５０１は、入力された認証情報と自身が管理し
ている認証情報Iと_jを照合し、１人目の分割鍵保有者の
認証を行う。なお、本実施形態では、分割鍵保有者の認
証にパスワードを用いているが、分割鍵保有者の認証に
は、例えば指紋などによる他の認証方法を用いてもよ
い。

【０１４１】次に、中央処理部１５０１は、ステップ１
７０５において、分割鍵保有者の必要な人数分の認証を
行ったかどうかをチェックする。必要人数に達していな
い場合は、ステップ１８０３に戻って、分割鍵S_jの入力
および分割鍵保有者の認証を繰り返す。

【０１４２】必要人数に達した場合は、中央処理部１５
０１は、ステップ１８０６において、表示部１５０３に
ファイル・保存先入力画面を表示する。図２１は、ファ
イル・保存先入力画面の表示例である。

【０１４３】ファイル・保存先入力画面が表示される
と、分割鍵保有者は、復号したいファイルの名前を入力
するか、または図２１中の上段の「参照」ボタン２１０
１をクリックし、復号したいファイルの場所を参照す
る。

【０１４４】分割鍵保有者が「参照」ボタン２１０１を
クリックすると、ステップ１８０７において、中央処理
部１５０１は、表示部１５０３にファイル参照画面を表
示する。図２２は、ファイル参照画面の表示例である。

【０１４５】ファイル参照画面が表示されると、分割鍵
保有者は、前記ファイル参照画面から復号したいファイ
ルを選択する。例えば「ｒｅａｄｍｅ．ｔｘｔ」を選択
する。

【０１４６】ステップ１８０６で分割鍵保有者がファイ
ルの名前を入力するか、またはステップ１８０７で分割
鍵保有者がファイルを選択すると、ステップ１８０８に
おいて、中央処理部１５０１は、表示部１５０３にファ
イル・保存先入力画面を再び表示する。図２３は、ファ
イル・保存先入力画面の表示例である。復号したいファ
イルの名前と、ファイル復号後の保存先が表示されてい
る。

【０１４７】ファイル・保存先入力画面が表示される
と、ステップ１８０９において、分割鍵保有者は、保存
先を変更するかどうかを指定する。保存先を変更する場
合は、分割鍵保有者は、保存先を直接入力するか、また
は図２３中の下段の「参照」ボタン２３０１をクリック
する。保存先を変更しない場合は、ステップ１８１１へ
進む。

【０１４８】ステップ１８０９で分割鍵保有者が「参
照」ボタン２３０１をクリックすると、ステップ１８１
０において、中央処理部１５０１は、表示部１５０３に
保存先参照画面を表示する。図２４は、保存先参照画面
の表示例である。

【０１４９】保存先参照画面が表示されると、分割鍵保
有者は、前記保存先参照画面からファイル復号後の保存
先を入力する。保存先が入力されると、中央処理部１５
０１は、表示部１５０３にファイル・保存先入力画面を
再び表示する。保存先が決まると、ステップ１８１１に
おいて、分割鍵保有者は、図２３中の「回復」ボタンを
クリックする。

【０１５０】分割鍵保有者が「回復」ボタンをクリック
すると、中央処理部１５０１は、ファイル復号部１５０
６に対して、入力されたファイルの復号処理を依頼す
る。ファイルが復号されると、中央処理部１５０１は、
入力された保存先に復号されたファイルを保存する。フ
ァイル復号処理の詳細は図２６で説明する。

【０１５１】ファイルが保存されると、ステップ１８１
２において、中央処理部１５０１は、表示部１５０３に
終了画面を表示する。図２５は、終了画面の表示例であ
る。復号したファイルの所有者「ｒｙｏｋｏ」と名前
「Ｃ：￥ｔｅｍｐ￥暗号ｒｅａｄｍｅ．ｔｘｔ」が表示
されている。終了画面が表示されると、分割鍵保有者
は、図２５中の「ＯＫ」ボタンをクリックしてファイル
復号処理を終了する。

【０１５２】本発明の実施形態には、以上に説明したも
のの他に様々なバリエーションが考えられる。以下、図
１８のファイル復号フロー図のステップの変更という形
で、前記バリエーションについて説明する。

【０１５３】まず、ステップ１８０３〜１８０５の分割
鍵保有者認証と、１８０６〜１８１０のファイル・保存
先入力の手順とは、互いに入れ換えることが可能であ
る。また、ステップ１８１１でファイルを復号した後、
図２５の終了画面の代わりにファイルオープン選択画面
を表示して、分割鍵保有者がファイルオープンを選択し
た場合には、前記ファイルに関連付けられたアプリケー
ションプログラムを起動して、前記アプリケーションか
ら復号したファイルを開くようにしてもよい。

【０１５４】図２７は、ファイルオープン選択画面の表
示例である。復号したファイルの所有者と名前が表示さ
れている。

【０１５５】分割鍵保有者は、復号したファイルを開く
場合は図２７中の「はい」ボタンを、開かない場合は図
２７中の「いいえ」ボタンをクリックする。分割鍵保有
者が「はい」ボタンをクリックした場合は、ファイルを
関連アプリケーションで開く。図２７に示した例では、
復号したファイルはテキストファイルであるので、この
場合は通常テキストエディタが起動して前記ファイルが
開くことになる。

【０１５６】本実施形態では、復号するファイルの数は
１個だけであったが、ステップ１８０６において、分割
鍵保有者がファイルを複数入力できるようにして、複数
のファイルを復号できるようにしてもよい。この場合、
各ファイルの復号後の保存先のディレクトリを同じにし
てもよいし、ファイルごとに別々にしてもよい。

【０１５７】また、前記ファイルの複数入力をさらに発
展させて、ステップ１８０６で分割鍵保有者がディレク
トリを指定できるようにして、前記ディレクトリに属す
るすべてのファイルを一度に復号できるようにしてもよ
い。

【０１５８】本実施形態では、ファイル復号部（ファイ
ル復号プログラム）１５０６を起動してから復号するフ
ァイルを選択していたが、例えばファイラーから予め復
号したいファイルを選んでおき、マウスの右ボタンをク
リックするなどの方法でポップアップメニューを表示
し、前記ポップアップメニューからファイル復号部１５
０６を起動するといった方法もある。

【０１５９】分割鍵保有者がファイルの内容を確認した
いだけならば、復号したファイルを必ずしもどこかに保
存する必要はない。復号したファイルをテンポラリファ
イルとしておき、関連アプリケーション起動後に前記テ
ンポラリファイルを開き、前記アプリケーションを終了
すると前記テンポラリファイルが消去されるようにして
もよい。

【０１６０】ファイル復号部１５０６を、復号したいフ
ァイルがある利用者計算機から起動する必要もない。復
号したいファイルがある利用者計算機から、前記ファイ
ルのC₁、C₂などのファイル復号に必要な情報を取り出し
て、フロッピーディスクなどの持ち運び可能な媒体に格
納し、分割鍵保有者の計算機などの他の計算機からファ
イル復号部１５０６を起動して、前記媒体内の情報から
ファイルを復号させてもよい。以上に説明したバリエー
ションを複数組み合わせるといったことも可能である。

【０１６１】図２６を用いて、暗号化したファイルをフ
ァイル復号部１５０６にて復号する手順について説明す
る。まず、ステップ２６０１において、図７のステップ
７０１と同様にして、復号したい文書と対応するC₁とC₂
とをファイル暗号部１５０４から取り出す。次に、ステ
ップ２６０２において、各S_j を中央処理部１５０１か
ら取り出す。続くステップ２６０３において、各D_j を
次の、数３７によって計算する。

【０１６２】

【数３７】

【０１６３】本実施形態では、ファイル復号処理はすべ
て同一の利用者計算機上で行っている。このため、ステ
ップ２６０２、２６０３では、図７と異なり、各S_j か
らD_jを直接計算している。

【０１６４】次に、ステップ２６０４において、図７の
ステップ７０５と同様にして平文Ｍを求める。

【０１６５】

【数３８】

【０１６６】次に、ステップ２６０５において、平文Ｍ
を使って、暗号化した文書を復号する。なお、上記各実
施形態において、各計算機が実行する処理は、ＣＤ−Ｒ
ＯＭ等の記録媒体に記録して各計算機にインストールし
て実行するように構成することができる。あるいは、記
録媒体に代えて、インターネット等の通信媒体を用いて
各計算機にインストールして実行させることができる。

【０１６７】また、本発明の適用範囲である鍵の分割は
個人単位に限定されるものではなく、団体、グループを
対象としても構わない。

【０１６８】

【発明の効果】以上の説明から明らかなように、本発明
によれば、暗号文を復号する際には秘密鍵そのものはど
こにも復元されず、分割鍵保有者計算機が持つ分割鍵S_i
に基づいて部分的に復号したデータD_iを使って必要な文
書を復号しているため、同じ鍵を用いて、暗号化した他
の文書を復号することはできない。

【０１６９】また、秘密鍵自体を知られることもない。
そして、複数人の分割鍵保有者の協力により、公開鍵で
暗号化されたデータを目的とする暗号文のみに限って復
号することができ、かつその分割鍵の管理も容易であ
る。

【０１７０】供託機関に供託した鍵を用いるようにした
場合、１人のユーザに対して１つの分割鍵を持ってお
り、従来技術としてあげたMicaliの方法のように１人に
対して複数の分割鍵を保管する必要がないので、保管の
コストを下げることができる。

【０１７１】したがって、例えば、企業内で担当者が作
成、暗号化した文書を、その担当者がいない時に復号す
る必要が生じた場合、担当者の上長や所属のコンピュー
タ管理者が協力して復号する場合に好適である。

【０１７２】また、公開鍵暗号の秘密鍵供託方式におい
て、特に複数の供託機関に秘密鍵を分割して供託する場
合にも好適である。

【０１７３】さらに、分割鍵保有者をグループ化するこ
とにより、復号の際には上位の権限を持つ分割鍵保有者
の参加を必ず必要とする運用が可能となる。

【０１７４】さらに、分割鍵保有者をグループ化するこ
とにより、保有者変更時の分割鍵再配布の範囲を狭くし
たり、復号の際には上位の権限を持つ分割鍵保有者の参
加を必ず必要としたりする、柔軟な運用が可能となる。

【０１７５】さらに、本発明のデータ復号インタフェー
スを用いれば、分割鍵保有者が暗号ファイルを容易に復
号することができるので、担当者不在時の問い合わせに
も、前記担当者所有の暗号ファイルを復号して内容を確
認することで対応できる。また、前記担当者がパスワー
ドを忘れた場合にも対応できる。

【図面の簡単な説明】

【図１】本発明を適用した暗号データの復号システムの
一実施形態を示すシステム構成図である。

【図２】システム構築時に行う処理の概要示すフローチ
ャートである。

【図３】恒等式Ｔ_iの生成方法を示すフローチャートで
ある。

【図４】鍵生成装置にて行う利用者の登録方法を示すフ
ローチャートである。

【図５】利用者計算機を用いて、自分が作成した文書を
暗号化する手順を示すフローチャートである。

【図６】利用者計算機を用いて暗号化された文書を復号
する手順を示すフローチャートである。

【図７】暗号化した文書をデータ復号装置にて復号する
手順を示すフローチャートである。

【図８】図７までの処理全体を分かり易くまとめた説明
図である。

【図９】本発明を鍵供託に用いた場合の復号方法の説明
図である。

【図１０】本発明の第２の実施形態において、システム
構築時に行う処理の概要を示すフローチャートである。

【図１１】第２の実施形態における恒等式Ｔ_iの生成方
法を示すフローチャートである。

【図１２】第２の実施形態における鍵生成装置にて行う
利用者の登録方法を示すフローチャートである。

【図１３】第２の実施形態における利用者計算機を用い
て、自分が作成した文書を暗号化する手順を示すフロー
チャートである。

【図１４】秘密鍵のグループ分割の仕方の例を示す図で
ある。

【図１５】本発明の第３の実施形態を示すシステム構成
図である。

【図１６】第３の実施形態において、システム構築時に
行う処理の概要を示すフローチャートである。

【図１７】第３の実施形態における利用者の登録方法を
示すフローチャートである。

【図１８】第３の実施形態において、利用者計算機を用
いて暗号化された文書を分割鍵保有者の鍵を用いて復号
する手順を示すフローチャートである。

【図１９】第３の実施形態において表示部に表示される
ファイル回復情報画面の例を示す図である。

【図２０】第３の実施形態において表示部に表示される
管理者認証画面の例を示す図である。

【図２１】第３の実施形態において表示部に表示される
ファイル・保存先入力画面の例を示す図である。

【図２２】第３の実施形態において表示部に表示される
ファイル参照画面の例を示す図である。

【図２３】第３の実施形態において表示部に表示される
ファイル・保存先入力画面の例を示す図である。

【図２４】第３の実施形態において表示部に表示される
保存先参照画面の例を示す図である。

【図２５】第３の実施形態において表示部に表示される
データ復号終了画面の例を示す図である。

【図２６】第３の実施形態においてデータの復号手順の
詳細を示すフローチャートである。

【図２７】第３の実施形態において表示部に表示される
ファイルオープン選択画面の例を示す図である。

【符号の説明】

１０１…利用者計算機、１０２…鍵生成装置、１０３…
分割鍵保有者計算機、１０４…データ復号装置、１０５
…ネットワーク、１１２−１〜１１２−Ｎ…供託機関計
算機。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮崎 博 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内 (72)発明者 遠田 潤一 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内

Claims (6)

【特許請求の範囲】
1. 【請求項１】 公開鍵暗号の公開鍵と秘密鍵の鍵ペアの
   うち秘密鍵をＮ個（Ｎ≧２の整数）に分割し、それぞれ
   の分割鍵をＮ人の分割鍵保有者に割り当てた際の分割鍵
   保有者の数Ｎに１を加えた数の変数を含む複数の一次式
   で、かつ１つの変数の係数は常に０でなく、残りＮ個の
   変数における係数のうちＫ個が０でない複数の一次式を
   予め記憶した記憶手段を備え、前記Ｎ人のうちＫ（Ｋ＜
   Ｎ）人に割り当てた分割鍵を用いて前記公開鍵で暗号化
   されたデータをコンピュータにより復号するデータ復号
   方法であって、 前記秘密鍵を分割する際に、前記記憶手段に記憶された
   一次式を読み出し、該一次式によって前記秘密鍵をＮ個
   に分割し、その分割されたＮ個の分割鍵のうちＫ個を当
   該分割鍵の保有者から入力させて前記公開鍵で暗号化し
   たデータを復号することを特徴とするデータ復号方法。
2. 【請求項２】 請求項１記載のデータ復号方法におい
   て、前記秘密鍵をＮ_G個（Ｎ≧Ｇ≧２の整数）に分割
   し、それぞれの分割鍵をＮ人の分割鍵保有者をグループ
   化したＮ_G個のグループに割り当て、さらにそれぞれの
   グループにおいて該分割鍵を各グループの所属人数Ｎ_i
   個（ｉ≧１の整数）に分割し、それぞれをＮ_i人の分割
   鍵保有者に割り当て、Ｎ_i人のうちＫ_i人（Ｎ_i≧Ｋ_i≧１
   の整数）の協力が成立したＫ_G個のグループが協力して
   前記公開鍵で暗号化されたデータをコンピュータにより
   復号する場合において、 分割鍵保有者のグループ数Ｎ_Gに１を加えた数の変数を
   含む複数の一次式で、１つの変数の係数は常に０でな
   く、残りＮ_G個の変数の係数のうちＫ_G個が０でない複数
   の一次式であり、さらに該残りＮ_G個のそれぞれの変数
   は、その変数自身とＮ_i個の変数を含む複数の一次式で
   表され、その変数自身の係数は０でない共通の値であ
   り、残りＮ_i個の変数の係数のうちＫ_i個が０でない一次
   式を前記記憶手段に予め記憶させるステップと、 前記秘密鍵を分割する際に、前記記憶手段に記憶された
   一次式を読み出し、該一次式によって前記秘密鍵をＮ_i
   個に分割するステップと、 分割されたＮ_i個の秘密鍵のうちＫ_i人が入力したＫ_G個
   の秘密鍵を用いて前記公開鍵で暗号したデータを復号す
   るステップとを有することを特徴とするデータ復号方
   法。
3. 【請求項３】 請求項２記載のデータ復号方法におい
   て、 Ｎ人の分割鍵保有者のうち、協力が必須となる分割鍵保
   有者がＮ_A人いる場合に、該必須分割鍵保有者を唯一の
   所属構成員とするＮ_A個のグループと、残りのＮ−Ｎ_A人
   を所属者構成員としてそのうちＫ−Ｎ_A人の協力が必要
   となるグループに分け、さらにこれらＮ_A＋１個のグル
   ープ全部が協力して前記公開鍵で暗号化されたデータを
   復号する場合において、 前記Ｎ_A＋１個のグループ全部が必要となる一次式を生
   成し、その生成した一次式を用いて前記秘密鍵を分割し
   てＮ人の分割鍵保有者に割り当て、割り当てた秘密鍵を
   用いて前記公開鍵で暗号したデータを復号することを特
   徴とするデータ復号方法。
4. 【請求項４】 公開鍵暗号の公開鍵と秘密鍵の鍵ペアの
   うち秘密鍵をＮ個（Ｎ≧２の整数）に分割し、それぞれ
   の分割鍵をＮ人の分割鍵保有者に割り当て、Ｎ人のうち
   Ｋ（Ｋ＜Ｎ）人に割り当てた分割鍵を用いて前記公開鍵
   で暗号化されたデータを復号するデータ復号装置であっ
   て、 前記分割鍵保有者の数Ｎに１を加えた数の変数を含む複
   数の一次式で、かつ１つの変数の係数は常に０でなく、
   残りＮ個の変数における係数のうちＫ個が０でない複数
   の一次式を予め記憶した記憶手段と、 前記記憶手段に記憶された一次式を読み出し、該一次式
   によって前記秘密鍵をＮ個に分割し、その分割されたＮ
   個の分割鍵をＮ人の分割鍵保有者に割り当てる鍵生成手
   段と、 Ｎ人の分割鍵保有者に割り当てたＮ個の分割鍵のうちＫ
   個を当該分割鍵の保有者から入力させる入力手段と、 入力されたＫ個の分割鍵を用いて前記公開鍵で暗号化し
   たデータを復号する復号手段とを備えることを特徴とす
   るデータ復号装置。
5. 【請求項５】 暗号化されたデータの復号開始時に、復
   号に必要な分割鍵の数または分割鍵保有者数を表示する
   表示手段をさらに備えることを特徴とする請求項４記載
   のデータ復号装置。
6. 【請求項６】 Ｎ人の分割鍵保有者に割り当てる分割鍵
   は、携帯可能な記録媒体に格納して各分割鍵保有者に保
   有させることを特徴とする請求項４または５記載のデー
   タ復号装置。