JP2003173139A - 公開検証可能暗号化装置、その復号装置、暗号化プログラムおよび復号プログラム - Google Patents

Abstract

(57)【要約】 【課題】 公開検証を可能としたまま、暗号化、復号の
各計算量及び暗号文のビット長を低減する。 【解決手段】 暗号文を受信する者の公開鍵ｐｋと、乱
数ｒをセッション鍵配送手段１００に入力してセッショ
ン鍵ｓｓと、これを復号するための公開情報ｐｈを生成
し、ｓｓとｐｈをハッシュしてその結果を共通鍵ｈｓと
し（２００）、ｓｈで平文ｍを共通鍵暗号により暗号化
して暗号文ｃを作り（３００）、ｒを秘密鍵（ｐｈを公
開鍵）としてｃに対する署名Ｓを生成し、暗号文Ｃ＝
（ｐｈ，ｃ，Ｓ）を出力する。Ｃの復号はｐｈ，ｃ，Ｓ
を用いて署名検証を行い、合格すると、ｐｋに対する秘
密鍵ｓｋでｐｈを復号してｓｓを得、ｓｓとｐｈをハッ
シュしてｓｈを作り、ｓｈでｃを復号する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、適応的選択暗号
文攻撃に対する防御としての暗号文が正しいものか否か
の検証を任意の第三者が行うことができる公開検証可能
な暗号化装置、その復号装置、及びこれら装置に用いら
れるプログラムに関する。

【０００２】

【従来の技術】公開鍵暗号に対する最も有効な攻撃とし
て適応的選択暗号文攻撃が知られている。しかしこの攻
撃に対しては、暗号文が正しい暗号文か否かを検証する
手段を設け、その手段による検証結果が正しくなければ
復号者がその不正な暗号文の復号を拒絶することによっ
て無効化することができることが知られている。この防
御手段を有効にするには、暗号文作成者（攻撃者）が、
不正であるにもかかわらず検証に合格してしまうような
暗号文を作成できないことが求められる。

【０００３】従来より、この防御手段としての検証手段
の手順として二つの方式が知られている。一つは、平文
にあらかじめ規定した冗長性を添加してから暗号化し、
受信者は暗号文を復号したのち、平文が正しい冗長性を
有していることを確認することによって検証を行う方
法。もう一つは、暗号文が正しいことを証明する非対話
ゼロ知識証明を暗号文に添付し、受信者はその証明が正
しいことを検証した後、復号を行う方法である。前者に
おいては、復号の後に検証が行われるため、復号鍵を知
る者しか検証を行うことができない。このような方式を
私的検証可能な方法と呼ぶ。私的検証可能な方法はＢｅ
ｌｌａｒｅ氏とＲｏｇａｗａｙ氏によるＯＡＥＰ−ＲＳ
Ａ（“Optimal Asymmetric Encryption，”in the Proc
eedings of Advances in Cryptology. Eurocrypt'94,pa
ges 92-111,LNCS 950,Springer-Verlag,1995）に代表さ
れる。一般的に、私的検証可能な方法における検証手段
は、ハッシュ関数数回分の演算量で済むことが多く、非
常に効率的な為、本来の暗号方式の暗号化および復号に
対するオーバーヘッドが小さいという利点を持つ。

【０００４】一方、後者は非対話ゼロ知識証明が任意の
第三者に対して検証可能であることから、公開検証可能
な方法と呼ぶ。公開検証可能な方法はＮａｏｒ氏とＹｕ
ｎｇ氏によるDouble Encryption方式（“Public-key cr
yptosystems provably secure against chosen ciphert
ext attacks”，Proceedings of the 22^nd Annual Symp
osium on the Theory of Computing,pages,427.437,199
0）が知られている。この方法は、一つの平文を二つの
公開鍵暗号で別々に暗号化して二つの暗号文を作成し、
それらの暗号文が同一の平文に基づくものであることを
保証する非対話ゼロ知識証明を添付して、二つの暗号文
と一緒に復号者へ送信するものである。後年、Ｓｈｏｕ
ｐ氏とＧｅｎｎａｒｏ氏によって同様の概念に基づくよ
り効率的な方法（“Securing Threshold Cryptosystems
Against Chosen Ciphertext Attack,”In the proceed
ings of Advances in Cryptology. Eurocrypt'98, page
s1.16,LNCS 1403,Springer-Verlag,1998）が示されてい
る。さらに、Double Encryptionの概念に基づかないよ
り効率的な方法（Y.Tsiounis and M.Yung,“On thesecu
rity of ElGamal based encryption,” PKC' 98,LNCS 1
431, Springer-Verlag,1998）がＥｌＧａｍａｌ暗号に
対して知られているが、その安全性は、一般的に用いら
れる暗号的仮定よりも強い現実的でない仮定に基づいて
検討されているに過ぎない（同出）。

【０００５】

【発明が解決しようとする課題】第１の問題点は、私的
検証可能な方法では、受信者がある暗号文を不正と結論
して拒絶した場合に、第三者は、その行為が正当な検証
に基づく結果であるか否かを確認することはできないこ
とにある。その理由は、復号者は、たとえ不正な暗号文
を検出したとしても、それを復号した平文を第三者に示
すことが安全上許されない（第三者に不正な暗号文の復
号結果を見せてしまうと、適応的選択暗号文攻撃を可能
としてしまう）為である。

【０００６】第２の問題点は、公開検証可能な方法で
は、送信文全体が大きくなる上、暗号化と復号のどちら
の計算量も増大することである。その理由は、公開検証
可能な方式が二重暗号化に基づいて構成されているため
である。第３の問題点は、公開検証可能で二重暗号化
（Double Encryption）に基づかない方法は、安全性の
根拠が不明確である点にある。 特性・性能向上、高速化、セキュリティ向上 この発明の目的は、安全性の根拠が明確、公開検証可
能、送信文が小さく、送信者装置、受信者装置の計算量
が小さい暗号化装置、その復号装置、これらに用いられ
るプログラムを提供することにある。

【０００７】

【課題を解決するための手段】この発明による暗号化装
置によれば、受信者装置の公開鍵ｐｋおよび乱数ｒを用
いて、セッション鍵配送手段１００によってセッション
鍵ｓｓとセッション鍵復号のための公開情報ｐｈとが生
成され、このｐｈと乱数ｒに対しハッシュ手段２００で
ハッシュ関数が適用され、そのハッシュした値ｈｓが共
通鍵として生成され、共通鍵暗号暗号化手段３００にお
いて入力平文ｍが共通鍵ｓｓで暗号化されて暗号文ｃが
生成される。また、署名手段４００によって、乱数ｒを
秘密鍵、公開情報ｐｈを公開鍵とし、暗号文ｃを署名対
象文書とした署名Ｓが生成され、これら（ｐｈ，ｃ，
Ｓ）が送信文、つまり暗号文として出力される。

【０００８】暗号文（ｐｈ，ｃ，Ｓ）に対するこの発明
による復号装置によれば、署名検証手段５００により、
Ｓが公開情報ｐｈを公開鍵とした、文書（暗号文）ｃに
対する正しい署名であることが検証され、ここでＳが正
しくない場合には復号結果をＮＧ（不合格）として終了
し、正しければ、以下の手順を実行する。公開鍵ｐｋに
対する秘密鍵ｓｋにより公開情報ｐｈがセッション鍵復
号手段６００で復号されセッション鍵ｓｓが生成され、
少くともｓｓがハッシュ手段７００によってハッシュさ
れ、ハッシュ値として共通鍵ｈｓが生成され、暗号文ｃ
がその共通鍵ｈｓで共通鍵暗号復号手段８００によって
復号され、平文ｍが得られる。

【０００９】暗号化装置、復号装置のいずれにおいて
も、ハッシュ手段への入力にｐｈも含めても良い。作用 平文ｍに対するこの暗号文（ｐｈ，ｃ，Ｓ）を攻撃者が
入手して、さらに、適応的に選択した暗号文（ｐｈ′，
ｃ′，Ｓ′）に対する復号結果ｍ′を入手した場合、つ
まり署名検証に成功したことを想定する。ここで、（ｐ
ｈ，ｃ，Ｓ）と（ｐｈ′，ｃ′，Ｓ′）は完全一致では
ないとする。署名手段によって署名Ｓを添付したことに
より、検証鍵として用いるｐｈとｐｈ′が等しい場合
に、（ｃ，Ｓ）と（ｃ′，Ｓ′）が異なるような場合に
は、署名検証に成功していることになるから公開鍵ｐｋ
とする署名の偽造に成功したことになる。そうでなけれ
ば（ｃ′，Ｓ′）の署名検証に成功せず、（ｃ，Ｓ）と
（ｃ′，Ｓ′）が異なるとも等しいとも云えない。つま
り署名手段が十分安全ならば、このような偽造は不可能
である。従って、攻撃者が適応的に選択した暗号文では
ｐｈとｐｈ′が等しくあってはならない。

【００１０】一方、生成したセッション鍵ｓｓからハッ
シュ手段を通じて共通の暗号化鍵ｈｓを作成するため、
ハッシュ手段としてその入出力関係が無相関になるよう
な十分安全なハッシュであると仮定すると、鍵配送手段
の復号結果ｓｓを完全に（１ビットの情報の欠落もな
く）知り得た場合にしかｃの復号に必要な情報ｈｓを得
ることができない。よって、ｐｈとｐｈ′が異なる場合
には、ハッシュの出力ｈｓとｈｓ′が入力とは無相関に
変化し、ｍとｍ′は何ら相関を持たないことになり、
ｍ′からｍの情報を得ることはできない。さらに、秘密
鍵暗号による暗号化が安全ならばｃ単体からｍに関する
情報を得ることもできない。

【００１１】暗号化および復号における演算量は、鍵配
送および暗号化を一度しか用いていないため、従来の二
重暗号化による方法に比較して半分程度の演算量とな
る。また、従来の非対話ゼロ知識証明による平文の等価
性の証明は、結局、二つの暗号文に対応する平文をそれ
ぞれ知っているという事実（知識）の証明を行うのに対
し、この発明では一つの暗号文に対応する平文の知識の
証明を、署名を生成できるという事実によって証明する
ため、つまり署名Ｓを生成できる人は乱数ｒを知ってお
り、ｒを知っていればｃを作ることができ、またｃから
ｍを知ることができるから、証明、検証の演算量ともに
二重暗号化に基づく従来方法よりも少なくて済む。

【００１２】

【発明の実施の形態】次に、この発明の実施の形態につ
いて図面を参照して詳細に説明する。図１にこの発明の
暗号化装置の実施の形態を示す。暗号化装置はセッショ
ン鍵配送手段１００、ハッシュ手段２００、共通鍵暗号
暗号化手段３００、署名手段４００から構成される。セ
ッション鍵配送手段１００は、この暗号化装置により作
成された暗号文Ｃを受信する受信者の装置の公開鍵ｐｋ
と乱数ｒを入力とし、共有されるセッション鍵ｓｓおよ
び受信者装置がセッション鍵を回復するためのヒントと
なる公開情報ｐｈを生成して出力する。公開鍵ｐｋは装
置内の記憶部１０に予め格納されているものを用いる
か、認証機関装置から前記受信者の公開鍵証明書を取得
して用いる。乱数ｒは乱数生成部２０により生成する。
セッション鍵ｓｓは例えば乱数ｒをそのまま用い、公開
情報ｐｈは例えば公開鍵ｐｋで乱数ｒを暗号化したもの
ｐｈ＝Ｅ_pk（ｒ）を作成する。

【００１３】ハッシュ手段２００は、全ての入力文字列
を一定の長さに非可逆圧縮して出力する手段であり、理
想的には、その出力値からは入力文字列に関して何の情
報も得ることができないことが望ましい。このハッシュ
手段２００にセッション鍵ｓｓと公開情報ｐｈが入力さ
れ、ｓｓ及びｐｈがハッシュされて、共通鍵暗号暗号化
手段３００が必要とする長さのハッシュ値が共通鍵ｈｓ
として生成される。共通鍵暗号暗号化手段３００は暗号
化すべき平文ｍと暗号化鍵、つまり共通鍵ｈｓを入力と
して、ｍをｓｋで暗号化した暗号文ｃ＝Ｅ_sk（ｍ）を出
力する。この共通鍵暗号暗号化手段３００は、受動的攻
撃に対して強秘匿でなければならない。受動的攻撃に対
して強秘匿であるとは、攻撃者が、任意に選んだ二つの
平文ｍ０，ｍ１のいずれか一方に対する暗号文ｃを入手
してこれがいずれの平文を暗号化した結果であるかを１
／２よりも有意に大きい確率で言い当てることができな
いことを指す。One-time-padはこの性質をもつ共通鍵暗
号の代表例である。

【００１４】署名手段４００は、暗号文ｃと乱数ｒを入
力として、ｃを署名対象文書とし、ｒを秘密鍵（ｐｈを
公開鍵）とした署名Ｓを生成する。この署名手段４００
は適応的選択文書攻撃に対して潜在的偽造が不可能な署
名手段でなければならない。出力部２０は公開情報ｐ
ｈ、暗号文ｃ、署名Ｓを暗号文Ｃ＝（ｐｈ，ｃ，Ｓ）と
して出力する。暗号化装置の動作手順を図２に示す。乱
数ｒを生成し（Ｓ１）、受信者の公開鍵ｐｋを取得し
（Ｓ２） 公開鍵ｐｋおよび乱数ｒを用いて、セッション鍵配送の
手段により、セッション鍵回復のための公開情報ｐｈ
と、セッション鍵ｓｓを生成する（Ｓ３）。

【００１５】次に、ｈとｓｓとに対しハッシュ関数を適
用して共通鍵暗号による暗号化に必要とする長さのハッ
シュ値を共通鍵ｈｓとして生成する（Ｓ４）。平文ｍを
共通鍵ｈｓにより暗号化して暗号文ｃを作成する（Ｓ
５）。暗号文ｃに対する署名Ｓを、乱数ｒを秘密鍵（公
開情報ｐｈを公開鍵）として生成する（Ｓ６）。この
（ｈ，ｃ，Ｓ）の三つ組みを暗号文Ｃとして出力し、例
えば受信者の装置へ送信する（Ｓ７）。

【００１６】ステップＳ１の乱数ｒの生成と、ステップ
Ｓ２の公開鍵ｐｋの取得は何れを先に行ってもよい。平
文ｍは通常、一旦記憶部１０に格納したのを読み出して
共通鍵ｈｓにより暗号化する。この発明の復号装置の実
施形態を図３に示す。復号装置は署名検証手段５００、
セッション鍵復号手段６００、ハッシュ手段７００，共
通鍵暗号復号手段８００から構成される。署名検証手段
５００は公開情報ｐｈ、暗号文ｃ、署名Ｓを入力して、
暗号文ｃを署名対象文書、Ｓをその署名とした場合にこ
れが公開情報ｐｈに対する正しい署名文書対となること
を検証する。この検証に不合格（ＮＧ）であれば暗号文
Ｃは不正であるとして処理を停止し、そのことを例えば
図に示していない表示器に表示する。合格であればその
ことをセッション鍵復号手段６００へ通知する。

【００１７】セッション鍵復号手段６００は、署名検証
合格通知と公開情報ｐｈを入力し、これを生成する際に
用いた公開鍵ｐｋと対応する秘密鍵ｓｋを用いてｐｈを
処理して、セッション鍵ｓｓを得る。ｓｋはこの装置の
記憶部５０に格納されてある。ハッシュ手段７００は暗
号化装置で用いるハッシュ手段２００と同一のものであ
り、セッション鍵ｓｓと公開情報ｐｈを入力して、これ
らをハッシュしそのハッシュ値を共通鍵ｈｓとして出力
する。

【００１８】共通鍵暗号復号手段８００は、暗号化装置
の共通鍵暗号暗号化手段３００に対応する復号手段であ
り、暗号文ｃと共通鍵ｈｓを入力して、ｃをｈｓにより
復号し、平文ｍを出力する。図４を参照してこの復号装
置の動作手順を説明する。入力部６０に暗号文Ｃが入力
され、例えば受信入力されると必要に応じて記憶部５０
に一時格納するなどの受信処理を行い（Ｓ１）、入力さ
れた公開情報ｐｈ、暗号文ｃ、署名Ｓ中のｃを署名対象
文書、Ｓを署名と見なした場合にそれらが公開情報ｐｈ
に対する正しい署名文書対となることを検証する（Ｓ
２）。

【００１９】この検証に不合格となる場合は、暗号文を
不正と見なして処理の実行を中止する（Ｓ３）。この署
名検証が合格となると、記憶部５０から秘密鍵ｓｋを取
り出し（Ｓ４）、秘密鍵ｓｋにより公開情報ｐｈを復号
して、セッション鍵ｓｓを取得する（Ｓ５）。セッショ
ン鍵ｓｓと公開情報ｐｈに対しハッシュ関数を適用し
て、そのハッシュ値を共通鍵ｈｓとして生成する（Ｓ
６）。この共通鍵ｈｓによって、暗号文ｃを復号して平
文ｍを得る（Ｓ７）。この平文ｍを表示器、プリンタ、
送信機などの出力部７０へ出力する。

【００２０】暗号化装置においてハッシュ手段２００へ
の入力はセッション鍵ｓｓのみとしてもよく、その場合
は復号装置におけるハッシュ手段７００への入力は復号
したセッション鍵ｓｓのみとする。実施例 以下に具体的実施例を説明する。セッション鍵配送手段
１００およびセッション鍵復号手段６００としてＲＳＡ
暗号による鍵配送を用い、ハッシュ手段２００及び７０
０として関数ＳＨＡ−１を用い、共通鍵暗号暗号化手段
３００、復号手段８００として、１２８ｂｉｔ鍵長ブロ
ック暗号を用い、署名手段４００、署名検証手段８００
として、Guillow-Quisquater署名を用いた場合である。

【００２１】受信者の装置の公開鍵ｐｋはＲＳＡ暗号の
公開鍵とする。すなわち、ｐｋ＝（ｎ，ｅ）であり、ｎ
は大きな２つの素数ｐ，ｑの積であり、ｅは１６０ｂｉ
ｔ以上の素数とする。対応する秘密鍵ｓｋはｓｋ＝
（ｎ，ｄ）であり、ｄはｅｄ＝１modＬＣＭ（ｐ−１，
ｑ−１）となる整数である。ＬＣＭ（Ａ，Ｂ）はＡとＢ
の最小公倍数を表わす。乱数ｒはｒ＜ｎを満たすものと
する。セッション鍵配送手段１００は公開鍵ｐｋ＝
（ｎ，ｅ）を用いて公開情報ｐｈおよびセッション鍵ｓ
ｓを次式で算出して出力する。

【００２２】ｐｈ＝ｒ^e modｎ，ｓｓ＝ｒ このｐｈとｓｓの２進表現をビット結合して一つのビッ
ト列と見なし（以降、ａ‖ｂはａとｂの２進表現のビッ
ト結合を表すものとする）、これをハッシュ手段２００
へ入力する。ハッシュ手段２００で入力されたビット列
にハッシュ関数ＳＨＡ−１が適用され、その関数値出力
のうち、先頭から１２８ビットを取り出して、それを共
通鍵ｈｓとする。共通鍵暗号暗号化手段３００におい
て、共通鍵ｈｓにより平文ｍをブロック暗号暗号化して
暗号文ｃを得る。

【００２３】署名手段４００において、秘密鍵をｒ、公
開鍵ｐｈ＝ｒ^e modｎ、署名対象文書を暗号文ｃとするG
uillow-Quisquater署名Ｓを以下のように生成する。ま
ず、０＜ｗ＜ｎなる乱数ｗを生成し、ｕ＝Ｈ（ｃ‖ｗ^e
modｎ）を計算する。ここで、Ｈ（）は予め定められた
ハッシュ関数である。次に、ｓ＝ｗｒ^u modｎを求め、
Ｓ＝（ｕ，ｓ）とする。このようにして生成した暗号文
Ｃ＝（ｈ，ｃ，Ｓ）の復号は以下の手順で行う。

【００２４】まず、署名検証手段５００において、検証
式ｕ＝Ｈ（ｃ‖ｓ^e ｐｈ^-umodｎ）が成立するか否かに
よりGuillow-Quisquater署名Ｓを検証する。検証に不合
格ならば手順を中止する。合格する場合は次の手順に進
む。セッション鍵復号手段６００により、秘密鍵ｓｋ＝
（ｄ，ｎ）を用いて、ＲＳＡ復号を実行する。すなわ
ち、ｐｈからｒ＝ｐｈ^d modｎを計算してｒを復号す
る。次に、ｒ‖ｐｈをハッシュ手段７００に入力して関
数ＳＨＡ−１を適用してそのハッシュ値の先頭から１２
８ビットを共通鍵ｈｓとする。共通鍵復号手段８００に
おいて、共通鍵ｈｓにより入力暗号文ｃを復号し、平文
ｍを得る。

【００２５】セッション鍵配送手段１００およびセッシ
ョン鍵復号手段６００としてDiffie-Hellman鍵配送を用
いると同時に、署名手段４００、署名検証手段５００と
してＳｃｈｎｏｒｒ署名、ＤＳＡ署名、ＥｌＧａｍａｌ
署名等の離散対数に基づく署名方法を用いてもよい。ハ
ッシュ手段への入力は、ｓｓのみとしても良い。図１に
示した暗号化装置、図２に示した復号装置をそれぞれコ
ンピュータにより暗号化プログラム、復号プログラムを
実行させて機能させてもよい。この場合は、それぞれ暗
号化プログラムを暗号化装置に、復号プログラムを復号
装置に、ＣＤ−ＲＯＭ、可撓性磁気ディスクからインス
トールし、又は通信回線を介してダウンロードして、そ
れらのプログラムを実行させればよい。暗号化プログラ
ムは例えば図２に示した方法をコンピュータに実行させ
るためのプログラムであり、復号プログラムは例えば図
４に示したプログラムをコンピュータに実行させるため
のプログラムである。

【００２６】

【発明の効果】第１の効果は、暗号化および復号の計算
量が少ないことにある。その理由は、従来のdouble enc
ryptionによる二回暗号化を施す構成方法に対して、こ
の発明では、セッション鍵配送手段および共通鍵暗号暗
号化手段を一度しか実行しないためである。復号におい
ても同様の理由で計算量は小さくて済む。第２の効果
は、鍵配送方法、署名方法、秘密鍵暗号方法がそれぞれ
安全ならば、この発明装置により作られた暗号文Ｃは適
応的選択暗号文攻撃に対して安全であることを示すこと
ができることである。

【００２７】その理由は、以下の通りである。平文ｍに
対するこの発明装置による暗号文（ｐｈ，ｃ，Ｓ）を攻
撃者が入手して、さらに、適応的に選択した暗号文（ｐ
ｈ′，ｃ′，Ｓ′）に対する復号結果ｍ′を入手した場
合を想定する。ここで、（ｐｈ，ｃ，Ｓ）と（ｐｈ′，
ｃ′，Ｓ′）は完全一致ではないとする。署名手段によ
って署名Ｓを添付したことにより、ｐｈとｐｈ′が等し
い場合に署名検証に成功し（ｃ，Ｓ）と（ｃ′，Ｓ′）
が異なるような場合には、公開鍵をｐｈとする署名の偽
造に成功したことになる。署名手段が十分安全ならば、
このような偽造は不可能である。従って、攻撃者が適応
的に選択した暗号文ではｐｈとｐｈ′が等しくなるはず
がない。一方、生成したセッション鍵ｓｓからハッシュ
手段を通じて暗号化鍵ｈｓを作成するため、ハッシユ手
段としてその入出力関係が無相関になるような十分安全
なハッシュであると仮定すると、鍵配送手段の復号結果
ｓｓを完全に（１ビットの情報の欠落もなく）知り得た
場合にしか暗号文ｃの復号に必要な情報ｈｓを得ること
ができない。よって、ｐｈとｐｈ′が異なる場合には、
ハッシュの出力ｈｓとｈｓ′が入力とは無相関に変化
し、ｍとｍ′は何ら相関を持たないことになり、ｍ′か
らｍの情報を得ることはできない。さらに、秘密鍵暗号
による暗号化が安全ならばｃ単体からｍに関する情報を
得ることもできない。よって、鍵配送方法、署名方法、
秘密鍵暗号方法がそれぞれ安全ならば、この暗号化装置
による暗号文は適応的選択暗号文攻撃に対して安全とい
える。

【図面の簡単な説明】

【図１】この発明による暗号化装置の機能構成例を示す
図。

【図２】図１に示した装置の処理手順の例を示す流れ
図。

【図３】この発明による暗号復号装置の機能構成例を示
す図。

【図４】図３に示した装置の処理手順の例を示す流れ
図。

Claims (6)

【特許請求の範囲】
1. 【請求項１】 受信者の公開鍵ｐｋおよび乱数ｒが入力
   され、セッション鍵ｓｓとセッション鍵復号のための公
   開情報ｐｈとを生成するセッション鍵配送手段と、 上記セッション鍵ｓｓが入力され、そのセッション鍵ｓ
   ｓをハッシュして共通鍵ｈｓを生成するハッシュ手段
   と、 平文ｍと上記共通鍵ｈｓが入力され、共通鍵ｈｓにより
   平文ｍを暗号化して暗号文ｃを生成する共通鍵暗号暗号
   化手段と、 上記乱数ｒと上記暗号文ｃが入力され、乱数ｒを秘密
   鍵、上記公開情報ｐｈを公開鍵として暗号文ｃに対する
   署名Ｓを生成する署名手段と、 上記公開情報ｐｈ、上記暗号文ｃ、上記署名Ｓを暗号文
   Ｃとして出力する出力手段と、 を具備する公開検証可能暗号化装置。
2. 【請求項２】 上記ハッシュ手段は上記公開情報ｐｈも
   入力され、上記セッション鍵ｓｓと上記公開情報ｐｈに
   対してハッシュして上記共通鍵ｈｓを生成する手段であ
   ることを特徴とする請求項１記載の公開検証可能暗号化
   装置。
3. 【請求項３】 公開情報ｐｈ、暗号文ｃ及び署名Ｓより
   なる暗号文Ｃが入力され、署名Ｓが公開情報ｐｈを公開
   鍵とする暗号文ｃに対する正しい署名であることを検証
   する署名検証手段と、 秘密鍵ｓｋと上記公開情報ｐｈが入力され、秘密鍵ｓｋ
   で公開情報ｐｈを復号してセッション鍵ｓｓを得るセッ
   ション鍵復号手段と、 上記セッション鍵ｓｓが入力され、そのセッション鍵ｓ
   ｓに対してハッシュして共通鍵ｈｓを生成するハッシュ
   手段と、 上記署名検証手段により正しい署名であると検証された
   暗号文ｃと共通鍵ｈｓが入力され、暗号文ｃを共通鍵ｈ
   ｓで復号して平文ｍを出力する共通鍵暗号復号手段とを
   具備する公開検証可能暗号復号装置。
4. 【請求項４】 上記ハッシュ手段は、上記公開情報ｐｈ
   も入力され、上記セッション鍵ｓｓと上記公開情報ｐｈ
   に対してハッシュして上記共通鍵ｈｓを生成する手段で
   あることを特徴とする請求項３記載の公開検証可能暗号
   復号装置。
5. 【請求項５】 乱数ｒを生成する処理と、 受信者の公開鍵ｐｋを取得する処理と、 上記公開鍵ｐｋおよび上記乱数ｒを用いてセッション鍵
   配送処理によりセッション鍵ｓｓとセッション鍵復号の
   ための公開情報ｐｈとを生成する処理と、 少くとも上記セッション鍵ｓｓに対しハッシュ関数を適
   用して共通鍵ｈｓを生成する処理と、 上記共通鍵ｈｓを用いて平文ｍを共通鍵暗号により暗号
   化して暗号文ｃを生成する処理と、 上記乱数ｒを秘密鍵、上記公開情報ｐｈを公開鍵として
   上記暗号文ｃに対する署名Ｓを生成する処理と、 上記公開情報ｐｈ、上記暗号文ｃ、上記署名Ｓを暗号文
   Ｃとして出力する処理とをコンピュータに実行させるた
   めの暗号化プログラム。
6. 【請求項６】 入力された公開情報ｐｈ、暗号文ｃ及び
   署名Ｓよりなる暗号文Ｃを受信する処理と、 署名Ｓが公開情報ｐｈを公開鍵とする暗号文ｃに対する
   正しい署名であることを検証する処理と、 秘密鍵ｓｋを記憶部より取り出す処理と、 上記秘密鍵ｓｋで上記公開情報ｐｈをセッション鍵復号
   処理により復号してセッション鍵ｓｓを生成する処理
   と、 少くとも上記セッション鍵ｓｓに対してハッシュ関数を
   適用して共通鍵ｈｓを生成する処理と、 上記署名検証処理により正しい署名であると検証された
   暗号文ｃに対し共通鍵ｈｓで共通鍵暗号復号により平文
   ｍを生成する処理と、 上記平文ｍを送出する処理とをコンピュータに実行させ
   るための暗号復号プログラム。