JP2004221800A - Illegitimate entity tracing method in encryption processing system, encryption processing system, and illegitimate entity tracing processing apparatus and computer program - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To provide a configuration whereby tracing of an illegitimate entity in encryption communication is surely performed without the need for acquisition of a key. <P>SOLUTION: An illegitimate entity tracing method includes steps of: entering a tracing header h' including an identifier j<SB>i</SB>of a legitimate entity and an encrypted text C to an inspection object device in the case of identifying the illegitimate entity on the basis of the verification of a decryption device; acquiring a decrypted text M' by decryption processing adopting a private key d<SB>i</SB>stored in the inspection object device; and performing comparison between the acquired decrypted text M' and a plain text M corresponding to the input encrypted text C and identifying an entity corresponding to the identifier j<SB>i</SB>on the condition of the decrypted text M'=the plain text M as the illegitimate entity. Through the configuration above, the particularizing processing of the illegitimate entity is realized without the need for acquiring an illegitimate key from the illegitimate decryption device and performing analysis processing of the key. <P>COPYRIGHT: (C)2004,JPO&NCIPI

Description

に従って設定し、
前記正規エンティティ識別子ｊ_ｉは、ｇｃｄ（ｆ（ｊ_ｉ）、λ）＝１を満たす識別子であり、前記暗号文Ｃは、セッション鍵ｓに基づく平文Ｍの暗号文、すなわちＣ＝Ｅ_Ｓ（Ｍ）であり、前記追跡用ヘッダｈ’は、セッション鍵ｓと、乱数ｒを含む下記式、
【数１１】

として定義された構成であることを特徴とする。
【００２１】
さらに、本発明の暗号処理システムにおける不正エンティティ追跡方法の一実施態様において、ｋ＝２、ａ_１＝１として設定し、前記追跡用ヘッダｈ’（ｓ，ｒ）を、下記式、
【数１２】

として設定したことを特徴とする。
【００２２】
さらに、本発明の第２の側面は、
暗号文を生成し提供するデータ提供手段と、暗号文を受領し復号するデータ受領手段とを有する暗号処理システムにおいて、
公開鍵ｅ_Ｓ、および、前記データ受領手段（エンティティｉ（ｉ＝任意の整数））各々に対応する秘密鍵ｄ_ｉを、各々、ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）、ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）として定義し、
セッション鍵ｓに基づく平文Ｍの暗号文、すなわちＣ＝Ｅ_Ｓ（Ｍ）と、下記式、
ｈ（ｓ、ｒ）＝（ｓＹ^ｒ、Ｙ_０ ^ｒ、Ｙ_１ ^ｒ、…、Ｙ_ｋ−１ ^ｒ）ｍｏｄＮ
に従って生成するヘッダｈ（ｓ，ｒ）とを、前記データ提供手段から前記データ受領手段に提供する暗号処理システムであって、
前記公開鍵ｅ_Ｓ、秘密鍵ｄ_ｉ、およびヘッダｈ（ｓ，ｒ）は、下記の設定、すなわち、
異なる素数ｐ，ｑ、に基づいて素数Ｐ＝２ｐ＋１，Ｑ＝２ｑ＋１を設定し、Ｎ＝ＰＱ、λ＝ｐｑを算出し、乗法群Ｚ_Ｎ ^＊の元のうち、位数がλとなる元Ｇを設定し、１以上の任意整数＝ｋとし、乗法群Ｚ^＊ _λの元ａ_０，．．．，ａ_ｋ−１に基づく、乗法群Ｚ^＊ _λ上の多項式ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１と、乱数Ｒ∈Ｚ^＊ _λとに基づく算出値Ｙ，Ｙ_０，．．，Ｙ_ｋ−１を下記式、
【数１３】

に従って設定したものであり、前記ｊ_ｉは、ｇｃｄ（ｆ（ｊ_ｉ）、λ）＝１を満たす正規エンティティ識別子ｊ_ｉであり、ｓはセッション鍵、ｒは乱数である、
構成を有することを特徴とする暗号処理システムにある。
【００２３】
さらに、本発明の暗号処理システムの一実施態様において、前記データ受領手段は、前記ヘッダｈ（ｓ，ｒ）に基づいて、下記式、
【数１４】

に従って、セッション鍵ｓを取得し、取得セッション鍵ｓに基づいて、暗号文Ｃ＝Ｅ_Ｓ（Ｍ）の復号処理を実行して平文Ｍを取得する構成であることを特徴とする。
【００２４】
さらに、本発明の暗号処理システムの一実施態様において、ｋ＝２、ａ_１＝１として設定し、前記ヘッダｈ（ｓ，ｒ）を、下記式、
ｈ（ｓ、ｒ）＝（ｓＹ^ｒ、Ｙ_０ ^ｒ、Ｇ^ｒ）ｍｏｄＮ
として設定したことを特徴とする。
【００２５】
さらに、本発明の暗号処理システムの一実施態様において、前記データ受領手段は、前記ヘッダｈ（ｓ，ｒ）に基づいて、下記式、
【数１５】

に従って、セッション鍵ｓを取得し、取得セッション鍵ｓに基づいて、暗号文Ｃ＝Ｅ_Ｓ（Ｍ）の復号処理を実行して平文Ｍを取得する構成であることを特徴とする。
【００２６】
さらに、本発明の第３の側面は、
正規エンティティに提供した秘密鍵を適用した復号処理により限定エンティティのみの暗号データ利用を可能とした暗号処理構成において復号機器検証に基づいて不正エンティティを特定する不正エンティティ追跡処理装置であり、
正規エンティティの識別子ｊ_ｉを含む追跡用ヘッダｈ’と、暗号文Ｃを検査対象機器に入力するデータ入力手段と、
前記検査対象機器において、入力追跡用ヘッダｈ’と、入力暗号文Ｃに基づいて、前記検査対象機器に格納された秘密鍵ｄ_ｉ、および公開鍵ｅ_Ｓを適用した復号処理により取得される復号文Ｍ’と前記入力暗号文Ｃに対応する平文Ｍとの比較処理を実行する比較手段と、
前記比較手段において、復号文Ｍ’＝平文Ｍであることを条件として、前記識別子ｊ_ｉに対応するエンティティを不正エンティティとして特定する不正エンティティ特定手段と、
を有することを特徴とする不正エンティティ追跡処理装置にある。
【００２７】
さらに、本発明の不正エンティティ追跡処理装置の一実施態様において、前記公開鍵ｅ_Ｓ、および秘密鍵ｄ_ｉは、各々、ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）、ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）として定義されるものであり、異なる素数ｐ，ｑ、に基づいて素数Ｐ＝２ｐ＋１，Ｑ＝２ｑ＋１を設定し、Ｎ＝ＰＱ、λ＝ｐｑを算出し、乗法群Ｚ_Ｎ ^＊の元のうち、位数がλとなる元Ｇを設定し、１以上の任意整数＝ｋとし、乗法群Ｚ^＊ _λの元ａ_０，．．．，ａ_ｋ−１に基づく、乗法群Ｚ^＊ _λ上の多項式ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１と、乱数Ｒ∈Ｚ^＊ _λとに基づく算出値Ｙ，Ｙ_０，．．，Ｙ_ｋ−１を下記式、
【数１６】

に従って設定し、
前記正規エンティティ識別子ｊ_ｉは、ｇｃｄ（ｆ（ｊ_ｉ）、λ）＝１を満たす識別子であり、
前記暗号文Ｃは、セッション鍵ｓに基づく平文Ｍの暗号文、すなわちＣ＝Ｅ_Ｓ（Ｍ）であり、
前記追跡用ヘッダｈ’は、セッション鍵ｓと、乱数ｒを含む下記式、
【数１７】

として定義された構成であることを特徴とする。
【００２８】
さらに、本発明の不正エンティティ追跡処理装置の一実施態様において、ｋ＝２、ａ_１＝１として設定し、前記追跡用ヘッダｈ’（ｓ，ｒ）を、下記式、
【数１８】

として設定する処理を実行する構成を有することを特徴とする。
【００２９】
さらに、本発明の第４の側面は、
正規エンティティに提供した秘密鍵を適用した復号処理により限定エンティティのみの暗号データ利用を可能とした暗号処理構成において復号機器検証に基づいて不正エンティティを特定する不正エンティティ追跡処理を実行するコンピュータ・プログラムであり、
正規エンティティの識別子ｊ_ｉを含む追跡用ヘッダｈ’と、暗号文Ｃを検査対象機器に入力するデータ入力ステップと、
前記検査対象機器において、入力追跡用ヘッダｈ’と、入力暗号文Ｃに基づいて、前記検査対象機器に格納された秘密鍵ｄ_ｉ、および公開鍵ｅ_Ｓを適用した復号処理により復号文Ｍ’を取得し、取得した復号文Ｍ’と前記入力暗号文Ｃに対応する平文Ｍとの比較処理を実行する比較処理ステップと、
前記比較処理ステップにおいて、復号文Ｍ’＝平文Ｍであることを条件として、前記識別子ｊ_ｉに対応するエンティティを不正エンティティとして特定する不正エンティティ特定ステップと、
を有することを特徴とするコンピュータ・プログラムにある。
【００３０】
【作用】
本発明の構成によれば、正規エンティティに提供した秘密鍵を適用した復号処理により限定エンティティのみの暗号データ利用を可能とした暗号処理構成において、復号機器の検証に基づいて不正エンティティを特定する際に、正規エンティティの識別子ｊ_ｉを含む追跡用ヘッダｈ’と、暗号文Ｃを検査対象機器に入力し、検査対象機器に格納された秘密鍵ｄ_ｉを適用した復号処理により復号文Ｍ’を取得し、取得した復号文Ｍ’と入力暗号文Ｃに対応する平文Ｍとの比較を実行して復号文Ｍ’＝平文Ｍであることを条件として識別子ｊ_ｉに対応するエンティティを不正エンティティとして特定することが可能となり、不正復号器からの不正鍵の取得や鍵の解析処理を実行することなく不正エンティティの特定処理を実現することが可能となる。
【００３１】
さらに、本発明の構成によれば、暗号文を生成し提供するデータ提供手段と、暗号文を受領し復号するデータ受領手段とを有する暗号処理システムにおいて、公開鍵ｅ_Ｓ、および、データ受領手段各々に対応する秘密鍵ｄ_ｉを設定し、秘密鍵ｄ_ｉを正規エンティティ固有の秘密鍵として構成するとともに、暗号文Ｃを復号する際に処理すべきヘッダ情報を正規エンティティの識別子ｊ_ｉを含むヘッダｈとして設定することで、不正エンティティの追跡処理の際に、不正エンティティと推測されるエンティティの識別子を設定したヘッダを追跡用ヘッダとして構成して復号器に入力し、出力結果のデータ検証を実行することにより、不正エンティティの特定が可能となる安全な暗号処理システムが実現される。
【００３２】
なお、本発明のコンピュータ・プログラムは、例えば、様々なプログラム・コードを実行可能な汎用コンピュータ・システムに対して、コンピュータ可読な形式で提供する記憶媒体、通信媒体、例えば、ＣＤやＦＤ、ＭＯなどの記憶媒体、あるいは、ネットワークなどの通信媒体によって提供可能なコンピュータ・プログラムである。このようなプログラムをコンピュータ可読な形式で提供することにより、コンピュータ・システム上でプログラムに応じた処理が実現される。
【００３３】
本発明のさらに他の目的、特徴や利点は、後述する本発明の実施例や添付する図面に基づくより詳細な説明によって明らかになるであろう。なお、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。
【００３４】
【発明の実施の形態】
以下、本発明の暗号処理システムにおける不正エンティティ追跡方法、暗号処理システム、および不正エンティティ追跡処理装置、並びにコンピュータ・プログラムについて詳細に説明する。
【００３５】
本発明は、放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）を適用した暗号通信システム、およびその通信システムにおける不正追跡処理方法である。放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）は、前述したように、正当な利用権を有するユーザに対するコンテンツデータの限定的利用を実現しようとするものであり、データ提供者、またはシステム管理者が、正当なデータ利用権を持つ受信者等のユーザ集合にのみ秘密情報（秘密鍵）を配っておき、平文（コンテンツ等）をセッション鍵で暗号化したものと、セッション鍵を各受信者の秘密鍵で復号するためのヘッダを同報配信または提供するものである。これにより、ヘッダと暗号文は任意のユーザが取得可能であるが、ヘッダを復号し、セッション鍵を得ることができるのは秘密鍵を所有するユーザのみであるため、暗号文を復号して平文を取得することの可能なユーザを制限した構成、いわゆる限定ユーザに対するコンテンツ配信が可能となる。
【００３６】
このような、放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）において、正当な秘密鍵を持たないエンティティにおいてセッション鍵生成が容易に行われると、受信者制限構成は成立しなくなる。従って、セッション鍵の生成困難性が、放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）において求められる１つの重要な要素となる。
【００３７】
また、放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）においては、秘密鍵を保持する受信者が、自身の秘密鍵を不正に複製し、他のユーザに提供したり、複製鍵を用いて多数の不正復号器を作成してしまう恐れがある。従って、このような不正復号器の生成、利用についても排除することが必要となる。このような事態に対処するためには、例えば不正復号器の格納情報に基づいて秘密鍵の漏洩ルートを探索可能であること、すなわち、不正追跡処理可能性があることが求められる。このように、不正追跡処理可能性も、放送型暗号（Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ）において求められる１つの重要な要素となる。
【００３８】
本発明の暗号通信システムの処理構成、および上述したセッション鍵の生成困難性、不正追跡処理可能性について、以下、説明する。なお、説明は、下記の項目順に行なう。
１．用語、記号の説明
２．暗号通信処理および不正追跡処理
３．ブラックボックス追跡処理の安全性の証明
４．不正追跡処理装置、エンティティを構成する装置例
【００３９】
［１．用語、記号の定義］
まず、以下の説明において使用する用語および記号の定義について説明する。本明細書においては、暗号文を同報配信するシステムを、単にシステムと呼ぶものとする。また、不正追跡処理装置、および復号機器やプログラム、ユーザ等を総称してエンティティと呼ぶものとする。システムの各要素を以下のように定義する。
【００４０】
正規エンティティ：システムに加入しているエンティティであり、システム管理者から正規な個人秘密鍵を付与されているエンティティ。
個人秘密鍵：暗号文（暗号化コンテンツ）に対応するヘッダ情報に基づいて、セッション鍵（暗号文の復号に適用する鍵）を取得するために適用する鍵として利用可能な個人秘密情報であり、システム管理者から正規エンティティに対して、安全な通信路あるいは記憶媒体を介して配布される。
配信用ヘッダ：セッション鍵を各個人秘密鍵で復号するための情報であり、同報配信される暗号文と同様、同報配信される。任意エンティティが受信可能である。
追跡用ヘッダ：不正追跡処理を実行する際に不正追跡処理実行者により生成され追跡処理対象の復号器に入力される。
【００４１】
不正者：正規に取得した自身の個人秘密鍵の複製、あるいは個人秘密鍵と同等の処理が可能な鍵を生成して他のエンティティに提供したり、新たな復号器に格納するなどして、不正な復号処理装置の生成を行なう正規エンティティ。
不正鍵：本来の不正者が特定不可能である、個人秘密鍵と同等の性質を持つ鍵であり、不正者により提供され不正復号器に格納される鍵。
不正復号器：個人秘密鍵を不正に複製した複製鍵、もしくは不正者が提供した不正鍵が格納されたデータ復号処理を実行するデータ処理装置。
【００４２】
なお、不正者が結託するとは、不正者が自身の個人秘密鍵を提供し合い、不正鍵を構成しようと試みることをいい、結託閾値とは、不正鍵を構成するために必要な最低限の不正者数を言うものとする。以下、本発明で用いる記号について説明する。
【００４３】
Ｍ：平文
ｓ：セッション鍵
Ｃ：暗号文
Ｅ_ａ（ｂ）：共通鍵ａによるｂの暗号
Ｄ_ａ（ｃ）：共通鍵ａによるｃの復号
ｈ（ａ，ｂ）：セッション鍵ａと乱数ｂからなる配信用ヘッダ
ｈ’（ａ，ｂ）：セッション鍵ａと乱数ｂからなる追跡用ヘッダ
ｎ：正規エンティティの総数
Ｔ：送信者
ｅ_Ｓ：システムで用いる公開鍵
ｅｎｔｉｔｙ_ｉ：ｉ 番目のエンティティ
ｄ_ｉ：エンティティｉ（ｅｎｔｉｔｙ_ｉ）の個人秘密鍵
ｊ_ｉ：エンティティｉ（ｅｎｔｉｔｙ_ｉ）に固有の番号（エンティティ識別子）
（ａ，ｂ，ｃ．．）ｍｏｄＮ：（ａｍｏｄＮ，ｂｍｏｄＮ，ｃｍｏｄＮ．．．）を意味する
【００４４】
［２．暗号通信処理および不正追跡処理］
次に、本発明を適用した暗号通信処理、および不正追跡処理について説明する。本発明を適用した暗号通信処理、および不正追跡処理を実行する場合、その処理フェーズは、大きく分けて準備処理、暗号データ配信処理、暗号データ復号処理、不正者追跡処理の４つの処理フェーズに分割される。不正追跡処理フェーズには、通常追跡とブラックボックス追跡の二種類の追跡方法が存在する。ここで、通常追跡とは、不正復号器中に含まれる個人秘密鍵が取得可能であり、復号器から取得した鍵の解析を伴う不正追跡処理を意味し、ブラックボックス追跡とは、不正復号器中に含まれる個人秘密鍵が取得不可能である場合などにおいて、復号器から鍵を取得することなく、不正復号器へのデータ入力と、その出力データに基づいて不正者の個人秘密鍵を特定する追跡処理を意味する。以下、各フェーズにおける処理の詳細について説明する。
【００４５】
（２．１．準備処理）
同報配信システムのシステム管理者は以下の手順にしたがって、セッション鍵ｓおよび暗号文Ｍを配信する準備を行う。なお、システム管理者は、同報配信を実行する送信者が兼ねる構成としても、あるいは、送信者とは別エンティティとしてもよい。
【００４６】
準備処理は、公開鍵の生成と公開処理、および秘密鍵の生成と配布処理によって構成される。準備処理に関する一連の手続きについて、図１〜図３の処理フローを参照して説明する。
【００４７】
図１は、公開鍵の生成と公開処理、および秘密鍵の生成と配布処理を含む準備処理全体の処理フローを示し、図２は、図１におけるステップＳ１０８の公開鍵生成処理の詳細処理フローを示している。さらに、図３は、図１におけるステップＳ１１０の秘密鍵生成処理の詳細処理フローを示している。
【００４８】
図１に示す処理フローに従って、準備処理の一連の手続きについて説明する。ステップＳ１０１において、互いに異なる大きな素数：ｐ、ｑを生成し、ステップＳ１０２において、Ｐ＝２ｐ＋１、Ｑ＝２ｑ＋１を満たす素数Ｐ，Ｑを生成する。また、Ｎ＝ＰＱとしてＮを生成する。さらに、ステップＳ１０３において、素数ｐ，ｑに基づいてλ＝ｐｑを計算する。
【００４９】
次に、ステップＳ１０４〜Ｓ１０５において、乗法群：Ｚ_Ｎ ^＊の元のうち、位数がλとなる元：Ｇを求める。なお、乗法群：Ｚ_Ｎ ^＊とは、Ｚ_ＮかつＮと互いに素な整数の集合（＝（Ｚ／ＮＺ^＊））である。
【００５０】
ステップＳ１０６において、乗法群：Ｚ^＊ _λ上の乱数ａ_０を生成する。すなわちａ_０を乗法群：Ｚ^＊ _λの元として生成し、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｘ）＝ａ_０＋ｘを構成する。次に、ステップＳ１０７において、乱数：Ｒを乗法群：Ｚ^＊ _λの元として生成する。
【００５１】
次に、ステップＳ１０８において公開鍵ｅ_Ｓを生成する。まず、乱数：Ｒ、および元：Ｇに基づいて、公開鍵：ｅ_Ｓ（Ｎ，Ｇ，Ｙ，Ｙ_０）の要素：Ｙ，Ｙ_０を下記式（式１）に基づいて計算する。
【００５２】
【数１９】

【００５３】
次に、式１によって算出される要素：Ｙ，Ｙ_０と、ステップＳ１０２で生成したＰＱに基づくＮ（Ｎ＝ＰＱ）と、ステップＳ１０４で計算した乗法群：Ｚ_Ｎ ^＊の元：Ｇを含む公開鍵：ｅ_Ｓを、以下のように構成し、公開する。
ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）
【００５４】
図２を参照してステップＳ１０８の公開鍵：ｅ_Ｓ（Ｎ，Ｇ，Ｙ，Ｙ_０）生成処理の詳細について説明する。
【００５５】
まず、ステップＳ２０１において、図１のステップＳ１０２で生成したＮ（Ｎ＝ＰＱ）と、ステップＳ１０４で計算した乗法群：Ｚ_Ｎ ^＊の元：Ｇ、ステップＳ１０６において設定した乗法群：Ｚ^＊ _λ上の乱数：ａ_０、さらに、ステップＳ１０７で設定した乱数：Ｒの組（Ｎ，Ｇ，Ｒ，ａ_０）を入力する。
【００５６】
ステップＳ２０２、およびステップＳ２０３において、上記式（式１）に従って、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）の要素：Ｙ，Ｙ_０を計算する。ステップＳ２０４において、公開鍵：ｅ_Ｓ（Ｎ，Ｇ，Ｙ，Ｙ_０）を出力する。
【００５７】
図１の処理フローに戻り、準備処理の手続きについて説明を続ける。図２の処理フローに従って、生成された公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）は、ステップＳ１０９において公開処理がなされる。この公開鍵の公開処理は、例えば、ネットワーク上において制限なくアクセス可能なサーバに格納する処理、あるいは同報配信処理、あるいはＤＶＤ、ＣＤ等、各種記憶媒体に格納し提供する処理などによって実行される。この公開処理によって、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）は、正規エンティティ、および正規エンティティ以外のエンティティも取得可能となる。
【００５８】
次に、ステップＳ１１０において、個人秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）の生成処理を実行する。個人秘密鍵生成に関する詳細処理について、図３の処理フローを参照して説明する。
【００５９】
まず、ステップＳ３０１において、図１のステップＳ１０２で生成したＮ（Ｎ＝ＰＱ）と、ステップＳ１０３において、素数ｐ，ｑに基づいて生成されたλ＝ｐｑと、ステップＳ１０７で設定した乱数：Ｒ、ステップＳ１０６において設定した乗法群：Ｚ^＊ _λ上の乱数：ａ_０の組（Ｎ，λ，Ｒ，ａ_０）を入力する。
【００６０】
次に、各エンティティｉ（ｅｎｔｉｔｙ_ｉ）ごとの秘密鍵を生成するため、ｉの値の設定および更新処理を実行する。ステップＳ３０２においてｉ←０とし、ステップＳ３０３において、ｉ←ｉ＋１とする。
【００６１】
ステップＳ３０４、ステップＳ３０５では、エンティティｉ（ｅｎｔｉｔｙ_ｉ ）ごとにｇｃｄ（ａ_０＋ｊ_ｉ，λ）＝１を満たすエンティティｉ（ｅｎｔｉｔｙ_ｉ）ごとの固有の番号（エンティティ識別子）：ｊ_ｉを選択する。なお、ｇｃｄ（ａ，ｂ）は、ａとｂの最大公約数である。
【００６２】
ステップＳ３０６において、Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ＝Ｒ（ａ_０＋ｊ_ｉ）^−１ｍｏｄλを算出し、ステップＳ３０７において、秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）をエンティティｉ（ｅｎｔｉｔｙ_ｉ ）に対応する秘密情報、すなわち秘密鍵：ｄ_ｉとして出力する。
【００６３】
図１のステップＳ１１１では、上述した処理によって生成した各エンティティｉ（ｅｎｔｉｔｙ_ｉ ）に対応する秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）を各正規ユーザに対して送信する。
【００６４】
エンティティに対する秘密鍵の送信は、図４に示すように、システム管理者１０１から、暗号文の復号処理を実行するユーザ側エンティティ１２１（１）〜１２１（ｎ）に対して、例えば１対１通信路等、安全な通信路を介して送信される。
【００６５】
以上の処理により、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）、および、各エンティティｉ（ｅｎｔｉｔｙ_ｉ ）に対する秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）を設定し、準備処理を終了する。
【００６６】
なお、上述の説明では、公開鍵を公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定する例について説明したが、例えば任意のｋ個の乱数を設定して公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）を設定する構成としてもよい。
【００６７】
すなわち、公開鍵を、Ｐ、Ｑに基づく合成数：Ｎ＝ＰＱと、
乗法群：Ｚ_Ｎ ^＊の元のうち、位数がλとなる元：Ｇと、
１以上の任意整数＝ｋとし、乗法群：Ｚ^＊ _λの元：ａ_０，．．．，ａ_ｋ−１に基づく、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１と、乱数：Ｒ∈Ｚ_Ｎ ^＊とに基づく算出値：Ｙ，Ｙ_０，．．，Ｙ_ｋ−１、とを含む下記式（式２）として設定する構成としてもよい。
【００６８】
【数２０】

【００６９】
また、この公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）に対して、ユーザ側のデータ受信手段（エンティティｉ）各々に対応する秘密鍵：ｄ_ｉは、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１を適用し、データ受信手段（エンティティｉ）ごとの識別子であり、ｇｃｄ（ａ_０＋ｊ_ｉ、λ）＝１を満たすエンティティ識別子：ｊ_ｉを含む構成、すなわち、
ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）
として設定する。
【００７０】
上述したような任意数のｋに対する公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）を設定する構成が、一般的な構成である。この一般構成において、ｋ＝２、ａ_１＝１として設定することで、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定可能となる。公開鍵を、ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定することで、簡易な情報の処理による暗号通信、例えば後述するヘッダ構成を簡略化したり、復号処理を簡略化することが可能となる。
【００７１】
（２．２．配信処理）
次に、暗号化されたデータの同報配信処理について、図５の処理フローを参照して説明する。暗号化データの同報配信を実行するデータ送信者：Ｔは、暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）を生成し、送信データ：（ｈ（ｓ，ｒ），Ｃ）をデータ受信者としてのエンティティｉ（ｅｎｔｉｔｙ_ｉ ）に配信する。データ配信は、同報配信処理として実行される。従って、データを受信可能なエンティティは、正当な秘密鍵秘密鍵：ｄ_ｉを有するエンティティとは限らず、誰でもが受信可能である。
【００７２】
暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）を含む送信データ：（ｈ（ｓ，ｒ），Ｃ）の生成、配信処理について、図５の処理フローを参照して説明する。
【００７３】
ステップＳ４０１において、セッション鍵：ｓを生成する。次に、ステップＳ４０２において、送信すべき平文：Ｍに対して、セッション鍵：ｓを適用して暗号化処理を実行して暗号文：Ｃ＝Ｅ_Ｓ（Ｍ）を生成する。
【００７４】
次に、ステップＳ４０３において、システムで用いる公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）、を入力し、ステップＳ４０４において、乱数：ｒをランダムに生成する。
【００７５】
次に、ステップＳ４０５において、ステップＳ４０４で生成した乱数：ｒ、および公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）の要素に基づいて、ヘッダ：ｈ（ｓ，ｒ）＝（ｓＹ^ｒ，Ｙ_０ ^ｒ，Ｇ^ｒ）ｍｏｄＮを計算する。
【００７６】
最後に、ステップＳ４０６において、ステップＳ４０２で生成した暗号文：Ｃ＝Ｅ_Ｓ（Ｍ）と、ステップＳ４０５で生成した、ヘッダ：ｈ（ｓ，ｒ）＝（ｓＹ^ｒ，Ｙ_０ ^ｒ，Ｇ^ｒ，）ｍｏｄＮとの送信データ：ｈ（ｓ，ｒ），Ｃを送信する。
【００７７】
上述の処理により、データ送信者：Ｔにおいて、暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）が生成され、データ受信者としてのエンティティｉ（ｅｎｔｉｔｙ_ｉ ）に同報配信される。
【００７８】
図６に、送信者２０１からユーザ側エンティティ１２１（１）〜１２１（ｎ）に対する暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）から成る送信データ：（ｈ（ｓ，ｒ），Ｃ）の送信処理構成を示す。公開鍵２０２は、例えば、ネットワーク上において制限なくアクセス可能なサーバに格納され、正規エンティティ、および正規エンティティ以外のエンティティも取得可能である。
【００７９】
暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）から成る送信データ：（ｈ（ｓ，ｒ），Ｃ）は、同報通信路を介して配信され、正規エンティティ、および正規エンティティ以外のエンティティも取得可能である。
【００８０】
なお、これらの情報送信は、衛星等を介した無線送信、インターネット等を介した有線送信、さらにＤＶＤ、ＣＤ等の媒体を介した提供等、様々な手法で実行可能である。
【００８１】
なお、上述の説明では、公開鍵を公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定した場合のデータ配信例について説明したが、例えば任意のｋ個の乱数を設定して公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）を設定する構成とした場合は、ヘッダ：ｈ（ｓ，ｒ）＝（ｓＹ^ｒ，Ｙ_０ ^ｒ，．．．，Ｙ_ｋ−１ ^ｒ）ｍｏｄＮとして設定する。
【００８２】
（２．３．復号処理）
データ送信者：Ｔから暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ、ｒ）を含むデータ：（ｈ（ｓ，ｒ），Ｃ）を受信したエンティティｉ（ｅｎｔｉｔｙ_ｉ ）は、暗号文：Ｃとヘッダ：ｈ（ｓ，ｒ）から、平文：Ｍを得る。この復号処理について、図７の処理フローに従って説明する。
【００８３】
まず、ステップＳ５０１において、ヘッダ：ｈ（ｓ，ｒ）、暗号文：Ｃ、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）、個人秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）を入力する。ステップＳ５０２において、以下の計算式（式３）に従った演算により、セッション鍵：ｓを得る。
【００８４】
【数２１】

【００８５】
次に、ステップＳ５０３において、セッション鍵：ｓと暗号文：Ｃから、以下の計算により平文：Ｍを求める。
Ｍ＝Ｄ_Ｓ（Ｃ）
【００８６】
ステップＳ５０４において、平文：Ｍを出力する。これらの処理により、正当な個人秘密鍵：ｄ_ｉを有するエンティティｉ（ｅｎｔｉｔｙ_ｉ ）は、データ送信者：Ｔから暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ，ｒ）を含むデータ：（ｈ（ｓ，ｒ），Ｃ）を受信し、平文：Ｍを得ることができる。
【００８７】
なお、上述の説明では、公開鍵を公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定した場合の復号処理例について説明したが、任意のｋ個の乱数を設定して公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）を設定する構成とした場合は、ヘッダ：ｈ（ｓ，ｒ）＝（ｓＹ^ｒ，Ｙ_０ ^ｒ，．．．，Ｙ_ｋ−１ ^ｒ）ｍｏｄＮを受信することとなり、また、ユーザ側のデータ受信手段（エンティティｉ）各々に対応する秘密鍵：ｄ_ｉは、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１を適用し、データ受信手段（エンティティｉ（ｉ＝任意の整数））ごとの識別子であり、ｇｃｄ（ａ_０＋ｊ_ｉ、λ）＝１を満たすエンティティ識別子：ｊ_ｉを含む構成、すなわち、
ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）
として設定されることになる。
【００８８】
この場合、セッション鍵：ｓの取得処理は、下記式（式４）に基づいて実行されることになる。
【００８９】
【数２２】

【００９０】
（２．４．追跡処理）
追跡フェーズには、以下の２通りの追跡法が存在する。通常追跡処理と、ブラックボックス追跡処理の２通りの処理が存在する。通常追跡処理と、ブラックボックス追跡処理の概要は、以下のとおりである。
【００９１】
（１）通常追跡処理
不正な復号を実行している機器（不正復号器：Ｘ）が発見され、その中にエンティティｕ（ｅｎｔｉｔｙ_ｕ）に対して提供されているはずの秘密鍵：ｄ_ｕ＝（ｊ_ｕ，Ｒｆ（ｊ_ｕ）^−１ｍｏｄλ）が含まれていた場合、送信者：Ｔまたはシステム管理者は、エンティティｕ（ｅｎｔｉｔｙ_ｕ）を不正復号器：Ｘに秘密鍵：ｄ_ｕ＝（ｊ_ｕ，Ｒｆ（ｊ_ｕ）^−１ｍｏｄλ）を不正に提供した不正者として特定する不正追跡処理である。
【００９２】
不正復号器内の秘密鍵：ｄ_ｕ＝（ｊ_ｕ，Ｒｆ（ｊ_ｕ）^−１ｍｏｄλ）には、エンティティｕ（ｅｎｔｉｔｙ_ｕ）に固有の番号（エンティティ識別子）：ｊ_ｕが含まれているので、システム管理者が、正規な個人秘密鍵を提供したエンティティ情報と、エンティティｕ（ｅｎｔｉｔｙ_ｕ）に固有の番号（エンティティ識別子）とを対応付けた正規エンティティ情報テーブルを保持することにより、テーブルに基づいて、不正復号器に秘密鍵を提供した秘密鍵保持者、すなわちエンティティｕ（ｅｎｔｉｔｙ_ｕ）を不正者として特定することが可能となる。
【００９３】
（２）ブラックボックス追跡処理
不正復号器が発見され、その中に含まれる不正者の個人秘密鍵ｄ_ｕが取得できない場合など、秘密鍵の解析を行うことなく不正者の個人秘密鍵ｄ_ｕおよび不正者ｅｎｔｉｔｙ_ｕを特定する不正追跡処理方式である。
【００９４】
ブラックボックス追跡処理は、追跡用ヘッダ：ｈ（ｓ，ｒ）を生成し、不正復号器と推定される機器に暗号文：Ｃとともに入力し、その出力、すなわち復号結果に基づいて不正者の個人秘密鍵ｄ_ｕおよび不正者ｅｎｔｉｔｙ_ｕを特定する処理である。ブラックボックス追跡処理の詳細について、以下説明する。
【００９５】
図８にブラックボックス追跡処理の処理手順を説明するフローチャートを示す。図８の各ステップの詳細について説明する。まず、ステップＳ６０１において、セッション鍵：ｓを生成する。次に、ステップＳ６０２において、任意の平文：Ｍに対して、セッション鍵：ｓを適用して暗号化処理を実行して暗号文：Ｃ＝Ｅ_Ｓ（Ｍ）を生成する。
【００９６】
次に、ステップＳ６０３において、システムで適用されている公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）、を入力し、次に、各検査対象機器ｉ（ｅｎｔｉｔｙ_ｉ）ごとの処理を実行するため、ｉの値の設定および更新処理を実行する。ステップＳ６０４においてｉ←０とし、ステップＳ６０５において、ｉ←ｉ＋１とする。
【００９７】
次に、ステップＳ６０６において、不正者と推測されるエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）に固有の番号（エンティティ識別子）：ｊ_ｕｉを選択する。
【００９８】
次に、ステップＳ６０７において、乗法群：Ｚ^＊ _λ上の乱数ａ_０’を生成する。ａ_０’を乗法群：Ｚ^＊ _λの元として生成し、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｊ_ｕｉ）＝ａ_０＋ｊ_ｕｉを生成する。次に、ステップＳ６０８において、乱数：ｒを生成する。
【００９９】
次に、ステップＳ６０９において、ステップＳ６０１で生成したセッション鍵：ｓと、ステップＳ６０８で生成した乱数：ｒとに基づく追跡用ヘッダ：ｈ’（ｓ，ｒ）を下記式（式５）に従って設定して、検査対象復号器に、ステップＳ６０２で生成した暗号文：Ｃとともに入力する。
【０１００】
【数２３】

【０１０１】
次に、ステップＳ６１０において、検査対象復号器において、入力された追跡用ヘッダ：ｈ’（ｓ，ｒ）と、暗号文：Ｃとに基づく処理、すなわちヘッダの処理によるセッション鍵取得と、取得したセッション鍵に基づく暗号文の復号処理を実行する。ステップＳ６１０の処理の詳細について、図９のフローチャートを参照して説明する。
【０１０２】
まず、ステップＳ７０１において、入力した追跡用ヘッダ：ｈ’（ｓ，ｒ）、暗号文：Ｃ、公開鍵および機器内に格納した個人秘密鍵に基づいて、以下の計算式（式６）に従った演算により、セッション鍵：ｓ’を得る。
【０１０３】
【数２４】

【０１０４】
次に、ステップＳ７０２において、セッション鍵：ｓ’と暗号文：Ｃから、以下の計算により復号：Ｍ’を求める。
Ｍ’＝Ｄ_Ｓ’（Ｃ）
【０１０５】
次にステップＳ７０３において、復号文：Ｍ’を出力する。図８の処理フローに戻りブラックボックス追跡処理の手順の説明を続ける。
【０１０６】
ステップＳ６１０において、図９のフローで説明したように、検査対象機器に入力した追跡用ヘッダ：ｈ’と、暗号文：Ｃとによって復号文：Ｍ’が取得されると、ステップＳ６１１において、復号文：Ｍ’と本来の平文：Ｍとの比較を実行する。平文：Ｍと入力暗号文：Ｃとの関係は、Ｃ＝Ｅ_Ｓ（Ｍ）である。すなわち、平文：Ｍに対してセッション鍵：ｓを適用して暗号化処理を実行して暗号文：Ｃが生成される。
【０１０７】
ステップＳ６１１において、復号文：Ｍ’と本来の平文：Ｍとが一致した場合、検査対象機器に入力した追跡用ヘッダ：ｈ’（ｓ，ｒ）に基づいて正しいセッション鍵が取得され、取得した正しいセッション鍵に基づいて暗号文：Ｃの復号処理が正しく実行されたことになる。
【０１０８】
入力した追跡用ヘッダ：ｈ’（ｓ，ｒ）は、不正者と推測されるエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）に固有の番号（エンティティ識別子）：ｊ_ｕｉを適用して生成されたヘッダであり、この追跡用ヘッダ：ｈ’（ｓ，ｒ）に基づいて正しいセッション鍵を取得できる機器は、不正者と推測されるエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）の秘密鍵：ｄ_ｕｉ＝（ｊ_ｕｉ，Ｒｆ（ｊ_ｕｉ）^−１ｍｏｄλ）を持つ機器であることが明らかとなる。
【０１０９】
従って、ステップＳ６１１において、復号文：Ｍ’と本来の平文：Ｍとが一致した場合、検査対象機器には、秘密鍵：ｄ_ｕｉ＝（ｊ_ｕｉ，Ｒｆ（ｊ_ｕｉ）^−１ｍｏｄλ）が格納されていると判断し、ステップＳ６１２において、エンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）を不正者として特定する。すなわち、エンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）が、自己の秘密鍵を検査対象機器に不正にコピー格納していると判定する。
【０１１０】
例えば複数の不正機器と思われる検査対象機器が存在し、その検査対象機器に対して同一の追跡用ヘッダを入力し、それぞれが正しい復号結果（Ｍ’＝Ｍ）を出力した場合に、エンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）が、自己の秘密鍵を複数の復号機器に不正にコピー格納していると判定するものである。
【０１１１】
ステップＳ６１１において、復号文：Ｍ’と本来の平文：Ｍとが一致しなかった場合、検査対象機器には、秘密鍵：ｄ_ｕｉ＝（ｊ_ｕｉ，Ｒｆ（ｊ_ｕｉ）^−１ｍｏｄλ）が格納されていると判断されないことになる。この場合は、ステップＳ６０５に戻り、値：ｉの更新処理（ｉ＝ｉ＋１）を実行し、異なる不正者と推測されるエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）に固有の番号（エンティティ識別子）：ｊ_ｕｉを選択して、同様の処理、すなわち、追跡用ヘッダの生成処理、生成した追跡用ヘッダと暗号文の検査対象機器に対する入力、および検査対象機器における復号処理を実行する。
【０１１２】
検査対象機器からの出力結果としての復号文：Ｍ’と元の平文：Ｍとが一致するまで同様の処理を実行し、一致した場合に、そのときの追跡用ヘッダに適用したエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）に固有の番号（エンティティ識別子）：ｊ_ｕｉを持つエンティティｕｉ（ｅｎｔｉｔｙ_ｕｉ）を、自己の秘密鍵を検査対象機器に不正にコピー格納したと判定する。
【０１１３】
上述したように、不正追跡処理は、図８に従った処理を実行する装置、具体的には、ＰＣ等のコンピュータ・プログラムを実行可能な機器によって構成される不正追跡処理装置によって実行可能である。
【０１１４】
不正追跡処理装置の具体的な構成要素を簡潔にまとめると、以下の構成要素を持つ機器であることが条件となる。すなわち、正規ユーザの識別子ｊ_ｉを含む追跡用ヘッダｈ’（ｓ，ｒ）と、暗号文Ｃを検査対象機器に入力するデータ入力手段と、検査対象機器に格納された秘密鍵ｄ_ｉ、および公開鍵ｅ_Ｓを適用した暗号文Ｃの復号処理により出力される復号文Ｍ’を取得し入力暗号文Ｃに対応する平文Ｍと比較する比較手段と、比較手段において、Ｍ’＝Ｍであることを条件として、前記識別子ｊ_ｉに対応するユーザを不正者として特定する不正者特定手段とを有する装置である。ただし、これらの各手段は、具体的には図８に示す処理フローに従って処理を実行するＣＰＵ等の制御手段によって構成される。具体的なハードウェア構成例については、後段において説明する。
【０１１５】
なお、上述の説明では、公開鍵を公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）として設定した場合の復号処理例について説明したが、任意のｋ個の乱数を設定して公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０，．．，Ｙ_ｋ−１）を設定する構成とした場合は、追跡用ヘッダ：ｈ’（ｓ，ｒ）は、下記式（式７）として設定する。
【０１１６】
【数２５】

【０１１７】
ユーザ側のデータ復号機器（エンティティｉ）各々に対応する秘密鍵：ｄ_ｉは、乗法群：Ｚ^＊ _λ上の多項式：ｆ（ｘ）＝ａ_０＋ａ_１ｘ＋．．．ａ_ｋ−１ｘ^ｋ−１を適用し、データ復号機器（エンティティｉ（ｉ＝任意の整数））ごとの識別子であり、ｇｃｄ（ａ_０＋ｊ_ｉ、λ）＝１を満たすエンティティ識別子：ｊ_ｉを含む構成、すなわち、
ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）
として設定されることになる。この場合、セッション鍵：ｓの取得処理は、前記式（式４）に基づいて実行されることになる。
【０１１８】
［３．ブラックボックス追跡処理の安全性の証明］
次に、上述したブラックボックス追跡処理の安全性について証明する。上述したように、ブラックボックス追跡を実現するためには、不正と思われる復号器に対して追跡用ヘッダを入力し、その出力結果が正しい平文であるかどうかを判断する処理が必要となる。
【０１１９】
このとき、検査すべき復号器が、追跡用ヘッダと、通常の配信用ヘッダとを判別し、配信用ヘッダが入力された場合のみ復号結果を出力し、それ以外の場合、すなわち追跡用ヘッダの入力時には何も出力しないように設定されてしまうと、不正者を特定することは不可能となる。従って、ブラックボックス追跡を確実に実行するためには、検査対象機器に入力された情報が、追跡用ヘッダか否かを区別できないようにする必要がある。
【０１２０】
このように、追跡用ヘッダと、通常の配信用ヘッダとの判別が不可能であることを証明することで、ブラックボックス追跡処理の安全性が証明される。以下、ブラックボックス追跡機能が確実に実行できる、すなわち、いかなる不正復号器も、入力された情報が追跡用ヘッダであるか否かを決定することができないことを示す。
【０１２１】
上述した暗号処理では方式そのものが合成数を法とする乗法群上で構成されているため、ブラックボックス追跡を実現するためには、合成数を法とする乗法群におけるＤｅｃｉｓｉｏｎ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ 問題を解くことが困難でなければならない。まずＤｉｃｉｓｉｏｎ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題（ＤＤＨＰ）の定義を簡単に示す。
【０１２２】
生成元Ｇによって生成される有限巡回群を［Ｇｒｐ］とする。また、ａ、ｂ、ｃを乱数とする。このとき、Ｄｅｃｉｓｉｏｎ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題とは、（Ｇ^ａ、Ｇ^ｂ、Ｇ^ｃ）∈Ｇｒｐが与えられたときに、ｃ＝ａｂ ｍｏｄ｜Ｇｒｐ｜（ただし、｜Ｇｒｐ｜はＧｒｐの位数を表す）であるか否かを１／２より高い確率で決定する問題をいう。
【０１２３】
また、Ｄｅｃｉｓｉｏｎ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題を解くとは、（Ｇ^ａ、（Ｇ^ａ、Ｇ^ｂ、Ｇ^ｃ）∈Ｇｒｐが与えられたときに、ｃ＝ａｂ ｍｏｄ｜Ｇｒｐ｜（ただし、｜Ｇｒｐ｜はＧｒｐの位数を表す）であるか否かを１／２より高い確率で決定する確率的多項式時間アルゴリズムが存在することを表す。
【０１２４】
合成数を法とする乗法群におけるＤＤＨＰを解くことが可能であれば、検査対象機器は以下のようにして入力された情報が配信用ヘッダであるか追跡用ヘッダであるかを１／２よりも高い確率で判断することが可能となる。
【０１２５】
検査対象機器に入力されたヘッダを、
Ｈ（ｓ、ｒ）＝（ｈ_１、ｈ_２、ｈ_３）
とすると、Ｈ（ｓ、ｒ）が配信用ヘッダである場合、公開鍵ｅ_Ｓおよび配信用ヘッダｈ（ｓ、ｒ）は、それぞれ、
ｅ_Ｓ＝（Ｎ、Ｇ、Ｙ、Ｙ_０）、および
ｈ（ｓ、ｒ）＝（ｓＹ^ｒ、Ｙ_０ ^ｒ、Ｇ^ｒ）ｍｏｄＮ
となる。このとき、Ｙ_０およびｈ_２ｍｏｄＮ、ｈ_３ｍｏｄＮを用いて合成数を法とする乗法群におけるＤＤＨＰを解くことにより、下記式（式８）の等号が成立するか否かを判断する。
【０１２６】
【数２６】

【０１２７】
上記式（式８）の等号が成立するならば入力情報が配信用ヘッダであるとする。
【０１２８】
ブラックボックス追跡を実現するためには、合成数を法とする乗法群におけるＤＤＨＰを解くことが困難である必要がある。これに関して、Ｓｈｏｕｐ は、ｇｅｎｅｒｉｃ ａｌｇｏｒｉｔｈｍを用いて群［Ｇｒｐ］におけるＤＤＨＰを解くためには、群［Ｇｒｐ］の位数の素因数のうち最小の素数をｑ’として，最低でもΘ（ｑ’^１／２）の計算量が必要であることを証明している［Ｖ．Ｓｈｏｕｐ，“Ｌｏｗｅｒ Ｂｏｕｎｄｓ ｆｏｒ Ｄｉｓｃｒｅｔｅ Ｌｏｇａｒｉｔｈｍｓ ａｎｄ Ｒｅｌａｔｅｄ Ｐｒｏｂｌｅｍｓ，”ＬＮＣＳ１２３３，ＥＵＲＯＣＲＹＰＴ‘９７，ｐｐ．２５６−２６６，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，Ｂｅｒｌｉｎ，１９９７．］。
【０１２９】
また、大きな２つの素数の積を法とする乗法群において、ＤＤＨＰを解く確率的多項式時間アルゴズムは知られておらず、前述のような群においてＤＤＨＰを解くことは困難であると考えられている。このことは、例えば［Ｄ．Ｂｏｎｅｈ，“Ｔｈｅ Ｄｅｃｉｓｉｏｎ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ Ｐｒｏｂｌｅｍ，”Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｔｈｉｒｄ Ａｌｇｏｒｉｔｈｍｉｃ Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ Ｓｙｍｐｏｓｉｕｍ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ．１４２３，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，ｐｐ４８−６３，１９９８．］において示されている。
【０１３０】
上述した本発明に従ったブラックボックス追跡処理では、Ｎを法とする乗法群において、位数がλ＝ｐｑとなる元Ｇを生成元とする巡回部分群を用いているため、ｐ，ｑを十分大きく設定することによりＤＤＨＰを解くことは困難となる。
【０１３１】
従って、検査対象機器は入力された情報が配信用ヘッダであるか否かを判断することはＤＤＨＰを解く困難性と同様であり、１／２よりも高い確率で判断することは不可能となる。すなわち、ブラックボックス追跡処理の安全性が証明される。
【０１３２】
従って、検査対象機器は入力された情報が配信用ヘッダであるか追跡用ヘッダであるかを１／２よりも高い確率で判断することは不可能であり、上述したブラックボックス追跡は安全に実行することが可能である。
【０１３３】
［４．不正追跡処理装置、エンティティを構成する装置例］
次に、先に図８を参照して説明した処理を実行する不正追跡処理装置、および暗号文：Ｃを受信し、ヘッダ：ｈ（ｓ，ｒ）、公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）、秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）に基づいて暗号文の復号処理を実行するユーザ側エンティティ側の情報処理装置（ユーザ側情報処理装置）、および、暗号文：Ｃ、ヘッダ：ｈ（ｓ，ｒ）を生成し、エンティティ側の情報処理装置にデータ送信を実行するデータ送信側情報処理装置、さらに公開鍵発行、秘密鍵発行処理を実行するシステム管理者の情報処理装置として適用可能な情報処理装置の構成例について説明する。
【０１３４】
上述の実施例で述べた各エンティティにおける一連の処理は、ハードウェア、ソフトウェアの組み合わせにより実行可能な処理である。すなわち、汎用のコンピュータや、マイクロコンピュータにプログラムを実行させることにより行うことが可能である。一連の処理をソフトウェアによって行う場合には、そのソフトウェアを構成するプログラムが、例えば汎用のコンピュータや１チップのマイクロコンピュータ等にインストールされる。図１０は、上述した一連の処理を実行するプログラムがインストールされるコンピュータの一実施形態としての構成例を示している。
【０１３５】
図１０に示す情報処理装置構成例は１つの例であり、各エンティティにおける情報処理装置は、ここに示すべての機能を必ずしも備えることが要求されるものではない。図１０に示すＣＰＵ（Ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５０１は、各種プログラムや、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）を実行するプロセッサである。ＲＯＭ（Ｒｅａｄ−Ｏｎｌｙ−Ｍｅｍｏｒｙ）５０２は、ＣＰＵ５０１が実行するプログラム、あるいは演算パラメータとしての固定データを格納する。ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５０３は、ＣＰＵ５０１の処理において実行されるプログラム、およびプログラム処理において適宜変化するパラメータの格納エリア、ワーク領域として使用される。
【０１３６】
ＨＤＤ５０４はハードディスクの制御を実行し、ハードディスクに対する各種データ、プログラムの格納処理および読み出し処理を実行する。暗号処理手段５０５は、送信データの暗号処理、復号処理等を実行する暗号処理部あるいは復号処理部として機能する。なお、ここでは、暗号処理手段を個別モジュールとした例を示したが、このような独立した暗号処理モジュールを設けず、例えば暗号処理プログラムをＲＯＭ５０２に格納し、ＣＰＵ５０１がＲＯＭ格納プログラムを読み出して実行するように構成してもよい。
【０１３７】
メモリ（セキュアモジュール）５０６は例えば耐タンパ構造を持つメモリとして構成され、暗号処理に必要な鍵データ、アクセス許可書の格納領域として使用可能である。例えば、ユーザ側エンティティの情報処理装置であれば、秘密鍵：ｄ_ｉ＝（ｊ_ｉ，Ｒｆ（ｊ_ｉ）^−１ｍｏｄλ）を格納する記憶部として設定される。なお、これらのデータは、他のメモリ領域、記憶媒体に格納することも可能であり、例えば公開鍵：ｅ_Ｓ＝（Ｎ，Ｇ，Ｙ，Ｙ_０）等の公開されたデータは、ハードディスク等に格納しても問題ない。
【０１３８】
バス５２１はＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｎｅｔ／Ｉｎｔｅｒｆａｃｅ）バス等により構成され、各モジュール、入出力インタフェース１２２を介した各入手力装置とのデータ転送を可能にしている。
【０１３９】
入力部５１１は、例えばキーボード、ポインティングデバイス等によって構成され、ＣＰＵ５０１に各種のコマンド、データを入力するためにユーザにより操作される。出力部５１２は、例えばＣＲＴ、液晶ディスプレイ等であり、各種情報をテキストまたはイメージ等により表示する。
【０１４０】
通信部５１３はシステムの接続したエンティティ、例えば暗号データの通信エンティティとの通信処理を実行し、ＣＰＵ５０１の制御の下に、各記憶部から供給されたデータ、あるいはＣＰＵ５０１によって処理されたデータ、暗号化されたデータ等を送信したり、他エンティティからのデータを受信する処理を実行する。
【０１４１】
ドライブ５１４は、フレキシブルディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ ＲｅａｄＯｎｌｙ Ｍｅｍｏｒｙ），ＭＯ（Ｍａｇｎｅｔｏ ｏｐｔｉｃａｌ）ディスク，ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、磁気ディスク、半導体メモリなどのリムーバブル記録媒体５１５の記録再生を実行するドライブであり、各リムーバブル記録媒体５１５からのプログラムまたはデータ再生、リムーバブル記録媒体５１５に対するプログラムまたはデータ格納を実行する。
【０１４２】
各記憶媒体に記録されたプログラムまたはデータを読み出してＣＰＵ５０１において実行または処理を行なう場合は、読み出したプログラム、データは入出力インタフェース５２２、バス５２１を介して例えば接続されているＲＡＭ５０３に供給される。
【０１４３】
先に各フロー図を参照した説明内に含まれる処理を実行するためのプログラムは例えばＲＯＭ５０２に格納されてＣＰＵ５０１によって処理されるか、あるいはハードディスクに格納されＨＤＤ５０４を介してＣＰＵ５０１に供給されて実行される。
【０１４４】
以上、特定の実施例を参照しながら、本発明について詳解してきた。しかしながら、本発明の要旨を逸脱しない範囲で当業者が該実施例の修正や代用を成し得ることは自明である。すなわち、例示という形態で本発明を開示してきたのであり、限定的に解釈されるべきではない。本発明の要旨を判断するためには、冒頭に記載した特許請求の範囲の欄を参酌すべきである。
【０１４５】
なお、明細書中において説明した一連の処理はハードウェア、またはソフトウェア、あるいは両者の複合構成によって実行することが可能である。ソフトウェアによる処理を実行する場合は、処理シーケンスを記録したプログラムを、専用のハードウェアに組み込まれたコンピュータ内のメモリにインストールして実行させるか、あるいは、各種処理が実行可能な汎用コンピュータにプログラムをインストールして実行させることが可能である。
【０１４６】
例えば、プログラムは記憶媒体としてのハードディスクやＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）に予め記録しておくことができる。あるいは、プログラムはフレキシブルディスク、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ），ＭＯ（Ｍａｇｎｅｔｏ ｏｐｔｉｃａｌ）ディスク，ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、磁気ディスク、半導体メモリなどのリムーバブル記録媒体に、一時的あるいは永続的に格納（記録）しておくことができる。このようなリムーバブル記録媒体は、いわゆるパッケージソフトウエアとして提供することができる。
【０１４７】
なお、プログラムは、上述したようなリムーバブル記録媒体からコンピュータにインストールする他、ダウンロードサイトから、コンピュータに無線転送したり、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットといったネットワークを介して、コンピュータに有線で転送し、コンピュータでは、そのようにして転送されてくるプログラムを受信し、内蔵するハードディスク等の記憶媒体にインストールすることができる。
【０１４８】
なお、明細書に記載された各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。
【０１４９】
【発明の効果】
以上、説明したように、本発明の構成によれば、正規エンティティに提供した秘密鍵を適用した復号処理により限定エンティティのみの暗号データ利用を可能とした暗号処理構成において、復号機器の検証に基づいて不正エンティティを特定する際に、正規エンティティの識別子ｊ_ｉを含む追跡用ヘッダｈ’と、暗号文Ｃを検査対象機器に入力し、検査対象機器に格納された秘密鍵ｄ_ｉを適用した復号処理により復号文Ｍ’を取得し、取得した復号文Ｍ’と入力暗号文Ｃに対応する平文Ｍとの比較を実行して復号文Ｍ’＝平文Ｍであることを条件として識別子ｊ_ｉに対応するエンティティを不正エンティティとして特定することが可能となり、不正復号器からの不正鍵の取得や鍵の解析処理を実行することなく不正エンティティの特定処理を実現することが可能となる。
【０１５０】
さらに、本発明の構成によれば、暗号文を生成し提供するデータ提供手段と、暗号文を受領し復号するデータ受領手段とを有する暗号処理システムにおいて、公開鍵ｅ_Ｓ、および、データ受領手段各々に対応する秘密鍵ｄ_ｉを設定し、秘密鍵ｄ_ｉを正規エンティティ固有の秘密鍵として構成するとともに、暗号文Ｃを復号する際に処理すべきヘッダ情報を正規エンティティの識別子ｊ_ｉを含むヘッダｈとして設定することで、不正エンティティの追跡処理の際に、不正エンティティと推測されるエンティティの識別子を設定したヘッダを追跡用ヘッダとして構成して復号器に入力し、出力結果のデータ検証を実行することにより、不正エンティティの特定が可能となる安全な暗号処理システムが実現される。
【図面の簡単な説明】
【図１】公開鍵の生成と公開処理、および秘密鍵の生成と配布処理を含む準備処理全体の処理フローを示す図である。
【図２】図１におけるステップＳ１０８の公開鍵生成処理の詳細処理フローを示す図である。
【図３】図１におけるステップＳ１１０の秘密鍵生成処理の詳細処理フローを示す図である。
【図４】システム管理者から、各エンティティに対する安全な通信路を介した秘密鍵送信構成を説明する図である。
【図５】暗号化されたデータの同報配信処理について説明するフロー図である。
【図６】送信者から各エンティティに対する暗号文：Ｃと、暗号文に対する付加情報としてのヘッダ：ｈ（ｓ、ｒ）から成る送信データ：Ｃ，ｈ（ｓ、ｒ）の送信処理構成を示す図である。
【図７】暗号文：Ｃとヘッダ：ｈ（ｓ、ｒ）を含むデータを受信したエンティティにおける復号処理の手順を説明するフロー図である。
【図８】ブラックボックス追跡処理の処理手順を説明するフロー図である。
【図９】ブラックボックス追跡処理における検査対象機器の復号処理手順を説明するフロー図である。
【図１０】各エンティティの情報処理装置の構成例を示す図である。
【符号の説明】
１０１ システム管理者
１２１ ユーザ側エンティティ
２０１ 送信者
２０２ 公開鍵
５０１ ＣＰＵ
５０２ ＲＯＭ
５０３ ＲＡＭ
５０４ ＨＤＤ
５０５ 暗号処理手段
５０６ メモリ
５１１ 入力部
５１２ 出力部
５１３ 通信部
５１４ リムーバブル記憶媒体
５２１ バス
５２２ 入出力インタフェース[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an unauthorized entity tracking method, a cryptographic processing system, an unauthorized entity tracking processing device, and a computer program in a cryptographic processing system. Further, in detail, in a system for distributing encrypted data by, for example, broadcast communication, the use of a device or a user who does not have a legitimate data use right is excluded. If there is unauthorized use of data to which an unauthorized key generated based on a legitimate personal secret key distributed and obtained is used, an unauthorized key is obtained from an unauthorized decryptor that stores the unauthorized key and analyzed without analyzing the key. The present invention relates to an illegal entity tracking method, a cryptographic processing system, an unauthorized entity tracking processing device, and a computer program in a cryptographic processing system capable of realizing black box tracking for specifying usage.
[0002]
[Prior art]
In recent years, with the development of network communication and electronic commerce, ensuring security in communication has become an important issue. One method of ensuring security is encryption technology, and communication using various encryption methods is actually performed at present.
[0003]
Encryption methods are roughly classified into a common key method and a public key method. The common key method is also called a symmetric encryption method, and both the sender and the receiver have a common key. As a typical method of the common key system, there is a DES (Data Encryption Standard). A feature of the DES algorithm is that encryption and decryption can be performed by almost the same algorithm.
[0004]
A configuration in which the key of the sender and the key of the receiver are different from each other in the common key cryptosystem is a public key system or an asymmetric cryptosystem. In a public key cryptosystem, unlike a common key cryptosystem in which a common key is used for encryption and decryption, a secret key which needs to be kept secret is only required to be held by a specific person, which is advantageous in key management. . However, the public key cryptosystem has a lower data processing speed than the common key cryptosystem, and is generally used for objects with a small amount of data, such as private key distribution and digital signatures. A representative public key cryptosystem is RSA (Rivest-Shamir-Adleman) cryptosystem. This uses a product of two very large prime numbers (for example, 150 digits), and makes use of the difficulty of performing a factorization of a product of two large prime numbers (for example, 150 digits).
[0005]
In the public key cryptosystem, the public key can be used by an unspecified number of people, and a method of using a public key certificate to certify whether the distributed public key is valid or not is known. Many are used. For example, the user A generates a pair of a public key and a secret key, sends the generated public key to a certificate authority, and obtains a public key certificate from the certificate authority. User A publishes the public key certificate to the public. An unspecified user obtains a public key through a predetermined procedure from a public key certificate, encrypts a document or the like, and sends it to the user A. The user A is a system for decrypting an encrypted document or the like using a secret key. The user A signs a document or the like using a private key, and an unspecified user obtains a public key from a public key certificate through a predetermined procedure and verifies the signature. .
[0006]
A public key certificate is a certificate issued by a certificate authority or an issuing authority (CA: Certificate Authority or IA: Issuer Authority) in a public key cryptosystem, and a user submits his / her own ID and public key to a certificate authority. Thus, the certificate is created by the certificate authority adding information such as the ID and the expiration date of the certificate authority and further adding a signature by the certificate authority.
[0007]
As a public key cryptosystem, a discrete logarithmic cryptosystem utilizing the difficulty of the discrete logarithm problem when n is a prime number is known in addition to the RSA system described above. This discrete logarithmic encryption is used in DSA (Digital Signature Standard), which is known as an American standard digital signature scheme. V. Miller, N.M. Elliptic curve cryptography (ECC) proposed by Koblitz has recently attracted attention in terms of security and high speed. Elliptic curve cryptography is said to have the same strength as a RSA 1024-bit key with a 160-bit key.
[0008]
When pay content is provided to a plurality of recipients by pay broadcast, a recording medium such as a DVD or a CD, or content distribution via the Internet, the content can be encrypted and only the recipient who has purchased the content can decrypt it. It is necessary to be. As described above, there is a broadcast-type encryption (Broadcast Encryption) as a method of efficiently distributing the same cipher text to a plurality of recipients and enabling only a specific recipient to decrypt the cipher text.
[0009]
Broadcast encryption is one mode of the above-mentioned public key cryptosystem, in which a sender (or a system operator) distributes confidential information only to a specific set of recipients, and transmits plaintext (contents, etc.). It broadcasts a header encrypted with a session key and a header for decrypting the session key with secret information of each receiver.
[0010]
The header and the ciphertext can be obtained by any user through broadcasting, recording media such as DVDs and CDs, or by receiving contents via the Internet. However, it is confidential that the header can be decrypted and the session key can be obtained. Since only the user owns the content, it is possible to limit the users who use the content. However, in such a system, it is possible for a user who holds secret information to illegally copy his / her own secret information and configure an unauthorized decryption device using the duplicate.
[0011]
As a method of suppressing such unauthorized use, there is an unauthorized person tracking method. A typical form of the fraud tracing method in broadcast encryption (Broadcast Encryption) is to make confidential information passed to a specific user unique to each user, so that when a fraudulent decryption device is found, a fraudulent person is detected. It can be specified.
[0012]
Among such fraudulent person tracking methods, Kurosawa and Desmedt can reliably identify a fraudulent person if there are no more than k of the fraudulent recipients having n secret keys. (Non-Patent Document 1). In this method, obtaining a session key and a plaintext from a public key and a header without a secret key (security with respect to confidentiality) is equivalent to decrypting ElGamal encryption. Proven. In addition, if the number of fraudulent persons is less than k, the generation of a key by which a set of fraudulent persons cannot be accurately identified (security with respect to traceability) is equivalent to solving the discrete logarithm problem. Has also been proven.
[0013]
However, in the method of Kurosawa and Desmedt, although the security can be proved, there is a problem that if k + 1 or more wrongdoers are colluded, the wrongdoers cannot be specified accurately. Further, when the value of k is increased, there is a problem that the header size and the amount of calculation required for each entity also increase in proportion to k.
[0014]
Mitsunari, Sakai, and Kasahara realize the Kurosawa and Desmedt methods on an elliptic curve, and by adding new ideas, can identify the wrongdoer no matter how many wrongdoers are consigned. (Non-Patent Document 2). In this method, security regarding traceability is partially proved, but security regarding confidentiality is not proven. In addition, when implementing the method, it is necessary to select an appropriate elliptic curve in order to achieve high speed, but there is a problem that an algorithm for efficiently finding this is unknown.
[0015]
In view of the above problems, the applicant of the present patent has proposed a theory clarified in the above-mentioned Kurosawa and Desmedt scheme, that is, a method in which a receiver without a private key obtains a session key and a plaintext from a public key and a header. (Security with respect to confidentiality) is equivalent to decrypting ElGamal encryption, and if the number of unauthorized persons is less than k, a key that cannot identify the unauthorized person accurately is assigned to the unauthorized person. The generation of a set (security with respect to traceability) is equivalent to solving a discrete logarithm problem, and the above-mentioned Kurosawa, Desmedt method is realized on a multiplicative group modulo a composite number. By adopting an ingenuity, security can be proved, and even if any number of fraudulent persons are consigned, it is possible to realize fraudulent tracking that can identify the fraudulent persons. For Temu, earlier patent application: proposed in (unpublished Japanese Patent Application No. 2002-322097).
[0016]
However, the above proposed configuration requires acquisition and analysis of a key from an unauthorized decryption device, and has a problem that it is difficult to perform an unauthorized tracking process on a device for which acquisition of a key is difficult.
[0017]
[Non-patent document 1]
K. Kurosawa, Y .; Desmedt, "Optimum Traitor Tracing and Asymmetrical Scheme," Advances in Cryptology Proceedings of EUROCRYPTO 98, Lecture Note in Computer. 1403 pp. 145-157, Springer-Verlag, 1998.
[Non-patent document 2]
S. Mitsunari, R .; Sakai, M .; Kasahara, "A New Traitor Tracing," IEICE TRANS. Fundamentals, vol. E85-A, No. 2, pp. 481-484, 2002.
[0018]
[Problems to be solved by the invention]
SUMMARY OF THE INVENTION The present invention has been made in view of the above-described problems, and in a cryptographic processing configuration in which only a limited entity can use encrypted data by a decryption process using a secret key provided to a legitimate entity, verification of a decryption device When identifying an unauthorized entity based on the illegal entity tracking method, the cryptographic processing system, and the like, the identification process of the unauthorized entity can be realized without performing the acquisition of the unauthorized key from the unauthorized decryption and the key analysis process. An object of the present invention is to provide an unauthorized entity tracking processing device and a computer program.
[0019]
[Means for Solving the Problems]
According to a first aspect of the present invention,
A fraudulent entity tracking method for identifying a fraudulent entity based on decryption device verification in a cryptographic processing configuration that allows use of cryptographic data of only a limited entity by decryption processing applying a secret key provided to a legitimate entity,
Regular entity identifier j_iA data input step of inputting the ciphertext C to the inspection target device;
In the inspection target device, the secret key d stored in the inspection target device based on the input tracking header h 'and the input ciphertext C_i, And the public key e_SA decryption process that obtains a decrypted text M ′ by a decryption process to which is applied and performs a comparison process between the obtained decrypted text M ′ and the plaintext M corresponding to the input ciphertext C;
In the comparison processing step, the identifier j_iA fraudulent entity identifying step of identifying an entity corresponding to as a fraudulent entity;
And a method for tracking an unauthorized entity in a cryptographic processing system.
[0020]
Further, in one embodiment of the method for tracking an unauthorized entity in the cryptographic processing system of the present invention, the public key e_S, And the secret key d_iAre e_S= (N, G, Y, Y₀,. . , Y_k-1), D_i= (J_i, Rf (j_i)^-1mod .lamda.), sets prime numbers P = 2p + 1 and Q = 2q + 1 based on different prime numbers p and q, calculates N = PQ, .lambda. = pq, and calculates a multiplicative group Z_N ^*, An element G whose order is λ is set, an arbitrary integer equal to or greater than 1 is set to k, and the multiplicative group Z^* _λElement a₀,. . . , A_k-1Multiplicative group Z based on^* _λThe above polynomial f (x) = a₀+ A₁x +. . . a_k-1x^{k -1}And a random number R∈Z^* _λAnd Y, Y₀,. . , Y_k-1Is the following formula,
(Equation 10)

Set according to
The regular entity identifier j_iIs gcd (f (j_i), Λ) = 1, and the ciphertext C is a ciphertext of the plaintext M based on the session key s, that is, C = E_S(M), and the tracking header h ′ is a following expression including a session key s and a random number r:
(Equation 11)

It is characterized by the configuration defined as
[0021]
Further, in one embodiment of the method for tracking an unauthorized entity in the cryptographic processing system of the present invention, k = 2, a₁= 1, and the tracking header h ′ (s, r) is calculated by the following equation:
(Equation 12)

Is set.
[0022]
Further, a second aspect of the present invention provides
In a cryptographic processing system having data providing means for generating and providing ciphertext and data receiving means for receiving and decrypting ciphertext,
Public key e_SAnd a secret key d corresponding to each of the data receiving means (entity i (i = any integer))_iAnd e_S= (N, G, Y, Y₀,. . , Y_k-1), D_i= (J_i, Rf (j_i)^-1modλ),
Ciphertext of plaintext M based on session key s, ie, C = E_S(M) and the following equation:
h (s, r) = (sY^r, Y₀ ^r, Y₁ ^r, ..., Y_k-1 ^r) ModN
And a header h (s, r) generated from the data providing means to the data receiving means.
The public key e_S, Secret key d_i, And the header h (s, r) have the following settings:
The prime numbers P = 2p + 1 and Q = 2q + 1 are set based on the different prime numbers p and q, N = PQ and λ = pq are calculated, and the multiplicative group Z_N ^*, An element G whose order is λ is set, an arbitrary integer equal to or greater than 1 is set to k, and the multiplicative group Z^* _λElement a₀,. . . , A_k-1Multiplicative group Z based on^* _λThe above polynomial f (x) = a₀+ A₁x +. . . a_k-1x^k-1And a random number R∈Z^* _λAnd Y, Y₀,. . , Y_k-1Is the following formula,
(Equation 13)

And j_iIs gcd (f (j_i), Regular entity identifier j satisfying λ) = 1_iWhere s is a session key, r is a random number,
A cryptographic processing system having a configuration.
[0023]
Further, in one embodiment of the cryptographic processing system of the present invention, the data receiving unit determines the following formula based on the header h (s, r):
[Equation 14]

To obtain the session key s, and based on the obtained session key s, the ciphertext C = E_SThe decryption process (M) is executed to obtain the plaintext M.
[0024]
Further, in one embodiment of the cryptographic processing system of the present invention, k = 2, a₁= 1, and the header h (s, r) is calculated by the following equation:
h (s, r) = (sY^r, Y₀ ^r, G^r) ModN
Is set.
[0025]
Further, in one embodiment of the cryptographic processing system of the present invention, the data receiving unit determines the following formula based on the header h (s, r):
[Equation 15]

To obtain the session key s, and based on the obtained session key s, the ciphertext C = E_SThe decryption process (M) is executed to obtain the plaintext M.
[0026]
Further, a third aspect of the present invention provides
A fraudulent entity tracking processor that identifies a fraudulent entity based on decryption device verification in a cryptographic processing configuration that allows use of cryptographic data only for limited entities by decryption processing applying a secret key provided to a legitimate entity,
Regular entity identifier j_iA data input means for inputting the ciphertext C to the inspection target device;
In the inspection target device, the secret key d stored in the inspection target device based on the input tracking header h 'and the input ciphertext C_i, And the public key e_SComparing means for executing a comparison process between a decrypted text M 'obtained by a decryption process applying
In the comparing means, provided that the decrypted text M '= plaintext M, the identifier j_iFraudulent entity identifying means for identifying an entity corresponding to the fraudulent entity;
And a fraudulent entity tracking and processing device.
[0027]
Further, in one embodiment of the fraudulent entity tracking processing device of the present invention, the public key e_S, And the secret key d_iAre e_S= (N, G, Y, Y₀,. . , Y_k-1), D_i= (J_i, Rf (j_i)^-1mod .lamda.), sets prime numbers P = 2p + 1 and Q = 2q + 1 based on different prime numbers p and q, calculates N = PQ, .lambda. = pq, and calculates a multiplicative group Z_N ^*, An element G whose order is λ is set, an arbitrary integer equal to or greater than 1 is set to k, and the multiplicative group Z^* _λElement a₀,. . . , A_k-1Multiplicative group Z based on^* _λThe above polynomial f (x) = a₀+ A₁x +. . . a_k-1x^k-1And a random number R∈Z^* _λAnd Y, Y₀,. . , Y_k-1Is the following formula,
(Equation 16)

Set according to
The regular entity identifier j_iIs gcd (f (j_i), Λ) = 1.
The ciphertext C is a ciphertext of the plaintext M based on the session key s, that is, C = E_S(M),
The tracking header h 'is represented by the following expression including a session key s and a random number r:
[Equation 17]

It is characterized by the configuration defined as
[0028]
Further, in one embodiment of the fraudulent entity tracking processing device of the present invention, k = 2, a₁= 1, and the tracking header h ′ (s, r) is calculated by the following equation:
(Equation 18)

It is characterized by having a configuration for executing a process of setting as.
[0029]
Further, a fourth aspect of the present invention provides
A computer program that executes a fraudulent entity tracking process that identifies a fraudulent entity based on decryption device verification in a cryptographic process configuration that allows only limited entities to use cryptographic data by a decryption process that applies a secret key provided to a legitimate entity. Yes,
Regular entity identifier j_iA data input step of inputting the ciphertext C to the inspection target device;
In the inspection target device, the secret key d stored in the inspection target device based on the input tracking header h 'and the input ciphertext C_i, And the public key e_SA decryption process that obtains a decrypted text M ′ by a decryption process to which is applied and performs a comparison process between the obtained decrypted text M ′ and the plaintext M corresponding to the input ciphertext C;
In the comparison processing step, the identifier j_iA fraudulent entity identifying step of identifying an entity corresponding to as a fraudulent entity;
A computer program characterized by having:
[0030]
[Action]
According to the configuration of the present invention, in an encryption processing configuration in which only a limited entity can use encrypted data by decryption processing using a secret key provided to a regular entity, when an unauthorized entity is specified based on verification of a decryption device Is the identifier j of the regular entity_iIs input to the device to be inspected and the secret key d stored in the device to be inspected._iIs obtained by a decryption process to which is applied, and a comparison is performed between the obtained decrypted text M 'and the plaintext M corresponding to the input ciphertext C, on the condition that the decrypted text M' = plaintext M Identifier j_iCan be specified as a fraudulent entity, and a fraudulent entity specifying process can be realized without executing a fraudulent key acquisition from a fraudulent decryption device or a key analysis process.
[0031]
Further, according to the configuration of the present invention, in the cryptographic processing system having the data providing means for generating and providing the ciphertext and the data receiving means for receiving and decrypting the ciphertext, the public key e_S, And a secret key d corresponding to each data receiving means_iAnd set the secret key d_iAs the secret key unique to the regular entity, and the header information to be processed when decrypting the ciphertext C is the identifier j of the regular entity._iIs set as the header h including the header, the header in which the identifier of the entity presumed to be an unauthorized entity is set as a tracking header and input to the decoder in the tracking process of the unauthorized entity, and the data of the output result is output. By performing the verification, a secure cryptographic processing system capable of identifying an unauthorized entity is realized.
[0032]
The computer program of the present invention is provided, for example, in a computer-readable format for a general-purpose computer system capable of executing various program codes, in a storage medium or communication medium such as a CD, FD, or MO. And a computer program that can be provided by a communication medium such as a network. By providing such a program in a computer-readable format, processing according to the program is realized on a computer system.
[0033]
Further objects, features, and advantages of the present invention will become apparent from the following detailed description based on embodiments of the present invention and the accompanying drawings. In this specification, the term “system” refers to a logical set of a plurality of devices, and is not limited to a device having each component in the same housing.
[0034]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, an illegal entity tracking method, a cryptographic processing system, an unauthorized entity tracking processing device, and a computer program in the cryptographic processing system of the present invention will be described in detail.
[0035]
The present invention relates to a cryptographic communication system to which broadcast-type encryption (Broadcast Encryption) is applied, and a fraud tracking processing method in the communication system. As described above, the broadcast-type encryption (Broadcast Encryption) is intended to realize limited use of content data for a user who has a valid use right, and a data provider or a system administrator operates a valid data. Distribute secret information (secret key) only to a set of users such as recipients who have usage rights, and encrypt plaintext (contents etc.) with the session key and decrypt the session key with each recipient's secret key. Broadcasting or providing a header for this purpose. As a result, the header and the ciphertext can be obtained by any user, but only the user who owns the private key can decrypt the header and obtain the session key. , The content distribution to a limited user is possible.
[0036]
In such a broadcast-type encryption (Broadcast Encryption), if a session key is easily generated in an entity that does not have a valid secret key, the receiver restriction configuration is not established. Therefore, the difficulty of generating a session key is one important factor required in broadcast-type encryption (Broadcast Encryption).
[0037]
Also, in broadcast encryption, a receiver holding a secret key illegally duplicates its own secret key and provides it to another user, or uses a duplicate key to generate a large number of unauthorized decryptors. There is a risk of creating it. Therefore, it is necessary to eliminate the generation and use of such an illegal decoder. To cope with such a situation, for example, it is required that a leak route of a secret key can be searched based on information stored in an unauthorized decryption device, that is, there is a possibility of unauthorized tracking processing. Thus, the possibility of fraudulent tracking processing is also one important factor required in broadcast-type encryption (Broadcast Encryption).
[0038]
The processing configuration of the cryptographic communication system of the present invention, the difficulty of generating the above-described session key, and the possibility of illegal tracking processing will be described below. The description will be made in the following order.
1. Explanation of terms and symbols
2. Encryption communication processing and fraud tracking processing
3. Proof of security of black box tracking process
4. Fraud tracking processing device, an example of a device that constitutes an entity
[0039]
[1. Definition of terms and symbols]
First, definitions of terms and symbols used in the following description will be described. In this specification, a system for broadcasting and distributing cipher text is simply referred to as a system. Further, the fraudulent tracking processing device, the decryption device, the program, the user, and the like are collectively referred to as entities. Each element of the system is defined as follows.
[0040]
Authorized entity: An entity that subscribes to the system and has been granted an authorized private key by the system administrator.
Personal secret key: Personal secret information that can be used as a key applied to obtain a session key (key applied to decryption of cipher text) based on header information corresponding to cipher text (encrypted content), It is distributed from a system administrator to a legitimate entity via a secure communication channel or a storage medium.
Distribution header: Information for decrypting a session key with each private secret key, and is distributed in the same manner as a ciphertext to be distributed. Any entity can receive.
Tracking header: Generated by a fraudulent tracking process executor when performing fraudulent tracking processing, and input to a decoder to be tracked.
[0041]
Unauthorized person: A copy of his / her personal private key that has been legally obtained, or a key that can be processed equivalently to the personal private key, is provided to other entities, or stored in a new decryptor. A regular entity that generates an unauthorized decryption device.
Unauthorized key: A key having the same properties as a personal secret key, which cannot be identified by an original unauthorized person, and is provided by an unauthorized person and stored in an unauthorized decryption device.
Unauthorized decryption device: A data processing device that executes data decryption processing in which a duplicate key obtained by illegally copying a private secret key or an unauthorized key provided by an unauthorized person is stored.
[0042]
The collusion by an unauthorized person means that the unauthorized persons provide their own private keys and try to compose the unauthorized key.The collusion threshold is the minimum value required to construct the unauthorized key. Let's say the number of fraudsters. Hereinafter, the symbols used in the present invention will be described.
[0043]
M: Plaintext
s: session key
C: Ciphertext
E_a(B): encryption of b using common key a
D_a(C): decryption of c with common key a
h (a, b): distribution header composed of session key a and random number b
h '(a, b): tracking header composed of session key a and random number b
n: Total number of regular entities
T: Sender
e_S: Public key used in the system
entity_i: I-th entity
d_i: Entity i (entity_i) Personal secret key
j_i: Entity i (entity_i) Unique number (entity identifier)
(A, b, c ...) modN: means (amodN, bmodN, cmodN ...)
[0044]
[2. Encrypted communication processing and fraud tracking processing]
Next, the encryption communication processing and the fraud tracking processing to which the present invention is applied will be described. When performing the cryptographic communication process and the fraudulent tracking process to which the present invention is applied, the processing phase is roughly divided into four processing phases of a preparation process, a cryptographic data distribution process, a cryptographic data decryption process, and a fraudster tracking process. Is done. In the fraud tracking process phase, there are two types of tracking methods: normal tracking and black box tracking. Here, the normal tracking refers to a fraudulent tracking process in which a personal secret key included in an unauthorized decryption device can be obtained, and the key obtained from the decryption device is analyzed. Black box tracking refers to an unauthorized decryption device. In cases where the private key contained in the data cannot be obtained, the private key of the unauthorized person can be identified based on the data input to the unauthorized decryptor and the output data without acquiring the key from the decryptor Tracking process. Hereinafter, details of the processing in each phase will be described.
[0045]
(2.1. Preparation processing)
The system administrator of the broadcast distribution system prepares to distribute the session key s and the cipher text M according to the following procedure. Note that the system administrator may be configured to also serve as the sender performing the broadcast distribution, or may be a separate entity from the sender.
[0046]
The preparation process includes a public key generation and disclosure process, and a secret key generation and distribution process. A series of procedures relating to the preparation processing will be described with reference to the processing flow of FIGS.
[0047]
FIG. 1 shows the processing flow of the entire preparation processing including the public key generation and disclosure processing and the secret key generation and distribution processing. FIG. 2 shows the detailed processing flow of the public key generation processing in step S108 in FIG. Is shown. FIG. 3 shows a detailed processing flow of the secret key generation processing in step S110 in FIG.
[0048]
A series of procedures of the preparation process will be described according to the process flow shown in FIG. In step S101, different prime numbers p and q are generated, and in step S102, prime numbers P and Q satisfying P = 2p + 1 and Q = 2q + 1 are generated. Also, N is generated as N = PQ. Further, in step S103, λ = pq is calculated based on the prime numbers p and q.
[0049]
Next, in steps S104 to S105, the multiplicative group: Z_N ^*Of the elements having the order λ are obtained. The multiplicative group: Z_N ^*Means Z_NAnd a set of integers relatively prime to N (= (Z / NZ^*)).
[0050]
In step S106, the multiplicative group: Z^* _λRandom number a₀Generate That is, a₀Multiplicative group: Z^* _λAnd generate a multiplicative group: Z^* _λUpper polynomial: f (x) = a₀+ X. Next, in step S107, the random number: R is multiplied by the multiplicative group: Z^* _λIs generated as an element of.
[0051]
Next, in step S108, the public key e_SGenerate First, based on a random number: R and an element: G, a public key: e_S(N, G, Y, Y₀) Elements: Y, Y₀Is calculated based on the following equation (Equation 1).
[0052]
[Equation 19]

[0053]
Next, the elements calculated by Expression 1: Y, Y₀And N based on the PQ generated in step S102 (N = PQ), and the multiplicative group calculated in step S104: Z_N ^*Source: Public key containing G: e_SIs published as follows.
e_S= (N, G, Y, Y₀)
[0054]
Referring to FIG. 2, the public key of step S108: e_S(N, G, Y, Y₀The details of the generation processing will be described.
[0055]
First, in step S201, N (N = PQ) generated in step S102 in FIG. 1 and the multiplicative group: Z calculated in step S104_N ^*: G, the multiplicative group set in step S106: Z^* _λUpper random number: a₀, And the set of random numbers: R set in step S107 (N, G, R, a₀).
[0056]
In step S202 and step S203, the public key: e according to the above equation (Equation 1)_S= (N, G, Y, Y₀) Elements: Y, Y₀Is calculated. In step S204, the public key: e_S(N, G, Y, Y₀) Is output.
[0057]
Returning to the processing flow of FIG. 1, the description of the procedure of the preparation processing will be continued. According to the processing flow of FIG. 2, the generated public key: e_S= (N, G, Y, Y₀) Is made public in step S109. This public key public process is executed by, for example, a process of storing the data in a server that can be accessed without restriction on a network, a process of broadcasting, or a process of storing and providing the data in various storage media such as a DVD and a CD. . By this public processing, the public key: e_S= (N, G, Y, Y₀) Can also acquire regular entities and entities other than regular entities.
[0058]
Next, in step S110, the personal secret key: d_i= (J_i, Rf (j_i)^-1modλ) is executed. Detailed processing related to the generation of the private secret key will be described with reference to the processing flow of FIG.
[0059]
First, in step S301, N (N = PQ) generated in step S102 in FIG. 1, λ = pq generated based on primes p and q in step S103, and a random number: R, set in step S107 Multiplicative group set in step S106: Z^* _λUpper random number: a₀Set (N, λ, R, a₀).
[0060]
Next, each entity i (entity_iIn order to generate a secret key for each of the above (i) and (ii), a process of setting and updating the value of i is executed. In step S302, i ← 0 is set, and in step S303, i ← i + 1 is set.
[0061]
In step S304 and step S305, the entity i (entity_iGcd (a)₀+ J_i, Λ) = 1_i) Unique number (entity identifier): j_iSelect Gcd (a, b) is the greatest common divisor of a and b.
[0062]
In step S306, Rf (j_i)^-1modλ = R (a₀+ J_i)^-1modλ is calculated, and in step S307, the secret key: d_i= (J_i, Rf (j_i)^-1modλ) to the entity i (entity_i), That is, a secret key: d_iIs output as
[0063]
In step S111 of FIG. 1, each entity i (entity_iSecret key corresponding to): d_i= (J_i, Rf (j_i)^-1modλ) is transmitted to each authorized user.
[0064]
As shown in FIG. 4, the transmission of the secret key to the entity is performed, for example, by one-to-one communication from the system administrator 101 to the user-side entities 121 (1) to 121 (n) executing the ciphertext decryption processing. It is transmitted via a secure communication path such as a road.
[0065]
With the above processing, the public key: e_S= (N, G, Y, Y₀) And each entity i (entity_i): D_i= (J_i, Rf (j_i)^-1mod λ) is set, and the preparation processing ends.
[0066]
In the above description, the public key is the public key: e_S= (N, G, Y, Y₀)), But, for example, an arbitrary k random numbers are set and the public key: e_S= (N, G, Y, Y₀,. . , Y_k-1) May be set.
[0067]
That is, the public key is obtained by combining the number of composites based on P and Q: N = PQ,
Multiplicative group: Z_N ^*Of the elements of which the order is λ: G,
1 or more arbitrary integer = k, multiplicative group: Z^* _λSource: a₀,. . . , A_k-1Multiplicative group based on^* _λUpper polynomial: f (x) = a₀+ A₁x +. . . a_k-1x^k-1And a random number: R∈Z_N ^*Calculated value based on: Y, Y₀,. . , Y_k-1, And may be set as the following equation (Equation 2).
[0068]
(Equation 20)

[0069]
Also, this public key: e_S= (N, G, Y, Y₀,. . , Y_k-1), A secret key corresponding to each of the data receiving means (entity i) on the user side: d_iIs the multiplicative group: Z^* _λUpper polynomial: f (x) = a₀+ A₁x +. . . a_k-1x^k-1Is applied, and gcd (a is an identifier for each data receiving unit (entity i).₀+ J_i, Λ) = 1 entity identifier: j_iA configuration including
d_i= (J_i, Rf (j_i)^-1modλ)
Set as
[0070]
The public key for an arbitrary number k as described above: e_S= (N, G, Y, Y₀,. . , Y_k-1) Is a general configuration. In this general configuration, k = 2, a₁= 1, the public key: e_S= (N, G, Y, Y₀) Can be set. The public key to e_S= (N, G, Y, Y₀) Makes it possible to simplify cryptographic communication by simple information processing, for example, to simplify a header configuration described later or to simplify decryption processing.
[0071]
(2.2. Distribution processing)
Next, the broadcast distribution processing of the encrypted data will be described with reference to the processing flow of FIG. The data sender T performing the broadcast distribution of the encrypted data generates the ciphertext C and the header h (s, r) as additional information to the ciphertext, and transmits the transmission data: (h (s, r) and C) are entities i (entity) as data receivers_i). The data distribution is executed as a broadcast distribution process. Therefore, the entity that can receive data is a valid private key private key: d_iIs not limited to the entity having the password, and anyone can receive the message.
[0072]
For the generation and distribution processing of the cipher text: C and the transmission data (h (s, r), C) including the header: h (s, r) as additional information for the cipher text, refer to the processing flow of FIG. Will be explained.
[0073]
In step S401, a session key: s is generated. Next, in step S402, the encryption processing is executed by applying the session key: s to the plaintext: M to be transmitted, and the ciphertext: C = E_S(M) is generated.
[0074]
Next, in step S403, the public key used in the system: e_S= (N, G, Y, Y₀), And in step S404, a random number: r is randomly generated.
[0075]
Next, in step S405, the random number generated in step S404: r, and the public key: e_S= (N, G, Y, Y₀), The header: h (s, r) = (sY^r, Y₀ ^r, G^r) Calculate modN.
[0076]
Finally, in step S406, the ciphertext generated in step S402: C = E_S(M) and the header: h (s, r) = (sY) generated in step S405.^r, Y₀ ^r, G^r,) ModN: h (s, r), C is transmitted.
[0077]
By the above processing, the ciphertext: C and the header: h (s, r) as additional information for the ciphertext are generated at the data sender: T, and the entity i (entity) as the data receiver is generated._i).
[0078]
FIG. 6 shows a transmission data including a cipher text: C from the sender 201 to the user entities 121 (1) to 121 (n) and a header: h (s, r) as additional information for the cipher text: (h ( The transmission processing configuration of s, r) and C) will be described. The public key 202 is stored in, for example, a server that can be accessed without restriction on a network, and a regular entity and an entity other than the regular entity can be obtained.
[0079]
Transmission data: (h (s, r), C) composed of a cipher text: C and a header: h (s, r) as additional information for the cipher text is distributed via a broadcast channel, and is transmitted to a regular entity. , And entities other than regular entities.
[0080]
These information transmissions can be executed by various methods, such as wireless transmission via a satellite or the like, wired transmission via the Internet or the like, and provision via a medium such as a DVD or CD.
[0081]
In the above description, the public key is the public key: e_S= (N, G, Y, Y₀) Is described, but for example, an arbitrary k random numbers are set and the public key: e_S= (N, G, Y, Y₀,. . , Y_k-1) Is set, header: h (s, r) = (sY^r, Y₀ ^r,. . . , Y_k-1 ^r) Set as modN.
[0082]
(2.3. Decoding process)
An entity i (entity) that has received a ciphertext: C from a data sender: T, and data: (h (s, r), C) including a header: h (s, r) as additional information for the ciphertext._i) Obtains a plaintext: M from the ciphertext: C and the header: h (s, r). This decoding process will be described with reference to the processing flow of FIG.
[0083]
First, in step S501, header: h (s, r), ciphertext: C, public key: e_S= (N, G, Y, Y₀), Personal secret key: d_i= (J_i, Rf (j_i)^-1mod λ). In step S502, a session key: s is obtained by an operation according to the following calculation formula (formula 3).
[0084]
(Equation 21)

[0085]
Next, in step S503, a plaintext: M is obtained from the session key: s and the ciphertext: C by the following calculation.
M = D_S(C)
[0086]
In step S504, plaintext: M is output. By these processes, a legitimate private secret key: d_iEntity i (entity_i) Receives the ciphertext: C from the data sender: T and data: (h (s, r), C) including the header: h (s, r) as additional information for the ciphertext, and the plaintext: M can be obtained.
[0087]
In the above description, the public key is the public key: e_S= (N, G, Y, Y₀)), The decryption processing example has been described. However, an arbitrary k random numbers are set and the public key: e_S= (N, G, Y, Y₀,. . , Y_k-1) Is set, header: h (s, r) = (sY^r, Y₀ ^r,. . . , Y_k-1 ^r) ModN, and a secret key: d corresponding to each data receiving means (entity i) on the user side._iIs the multiplicative group: Z^* _λUpper polynomial: f (x) = a₀+ A₁x +. . . a_k-1x^k-1Is applied to each data receiving means (entity i (i = any integer)), and gcd (a₀+ J_i, Λ) = 1 entity identifier: j_iA configuration including
d_i= (J_i, Rf (j_i)^-1modλ)
Will be set as
[0088]
In this case, the process of obtaining the session key: s is executed based on the following equation (Equation 4).
[0089]
(Equation 22)

[0090]
(2.4. Tracking process)
The following two tracking methods exist in the tracking phase. There are two types of processing: normal tracking processing and black box tracking processing. The outline of the normal tracking process and the black box tracking process is as follows.
[0091]
(1) Normal tracking processing
A device performing unauthorized decryption (illegal decoder: X) is found, and an entity u (entity) is included therein._uSecret key that should have been provided for:_u= (J_u, Rf (j_u)^-1mod.), the sender: T or the system administrator sends the entity u (entity_u) Is illegal decryptor: X and secret key: d_u= (J_u, Rf (j_u)^-1This is a fraud tracking process for specifying (modλ) as a fraudulent person who provided fraudulently.
[0092]
Secret key in the unauthorized decryption device: d_u= (J_u, Rf (j_u)^-1mod λ) includes an entity u (entity_u) Unique number (entity identifier): j_uIs included, the system administrator checks the entity information for which the authorized personal secret key has been provided and the entity u (entity_u) Holds a regular entity information table in which a unique number (entity identifier) is associated with a unique key (entity identifier), and based on the table, a secret key holder that provided a secret key to an unauthorized decryption device, that is, an entity u (entity)_u) Can be specified as a fraudulent person.
[0093]
(2) Black box tracking processing
An unauthorized decryption device is found, and the private key d of the unauthorized person contained therein_uIn the case that the secret key cannot be obtained, the private key d of the unauthorized person can be obtained without analyzing the secret key._uAnd fraudulent entity_uThis is a fraud tracking processing method that specifies
[0094]
In the black box tracking process, a tracking header: h (s, r) is generated, input to the device assumed to be an unauthorized decryption device along with the ciphertext: C, and based on the output thereof, that is, the individual of the unauthorized person based on the decryption result. Secret key d_uAnd fraudulent entity_uIs a process of specifying Details of the black box tracking process will be described below.
[0095]
FIG. 8 is a flowchart illustrating a processing procedure of the black box tracking processing. The details of each step in FIG. 8 will be described. First, in step S601, a session key: s is generated. Next, in step S602, an encryption process is executed by applying a session key: s to an arbitrary plaintext: M, and an encrypted text: C = E_S(M) is generated.
[0096]
Next, in step S603, the public key applied in the system: e_S= (N, G, Y, Y₀), And then each inspection target device i (entity_iIn order to execute each process, the setting and updating process of the value of i are executed. In step S604, i ← 0 is set, and in step S605, i ← i + 1 is set.
[0097]
Next, in step S606, the entity ui (entity) presumed to be an unauthorized person_ui) Unique number (entity identifier): j_uiSelect
[0098]
Next, in step S607, the multiplicative group: Z^* _λRandom number a₀'. a₀’To the multiplicative group: Z^* _λAnd generate a multiplicative group: Z^* _λThe above polynomial: f (j_ui) = A₀+ J_uiGenerate Next, in step S608, a random number: r is generated.
[0099]
Next, in step S609, a tracking header: h '(s, r) based on the session key: s generated in step S601 and the random number: r generated in step S608 is set according to the following formula (formula 5). Then, it is input to the decryption target for inspection together with the cipher text: C generated in step S602.
[0100]
(Equation 23)

[0101]
Next, in step S610, in the decryption target to be inspected, processing based on the input tracking header: h '(s, r) and ciphertext: C, that is, session key acquisition by header processing, The ciphertext is decrypted based on the session key. Details of the processing in step S610 will be described with reference to the flowchart in FIG.
[0102]
First, in step S701, based on the input tracking header: h '(s, r), ciphertext: C, public key, and personal secret key stored in the device, the following calculation formula (formula 6) is used. With the above operation, a session key: s' is obtained.
[0103]
[Equation 24]

[0104]
Next, in step S702, decryption: M 'is obtained from the session key: s' and the ciphertext: C by the following calculation.
M '= D_{S '}(C)
[0105]
Next, in step S703, a decrypted text: M 'is output. Returning to the processing flow of FIG. 8, the description of the procedure of the black box tracking processing will be continued.
[0106]
In step S610, as described in the flow of FIG. 9, when the decrypted text: M 'is obtained from the tracking header: h' input to the inspection target device and the encrypted text: C, the decryption is performed in step S611. The comparison between the sentence: M 'and the original plaintext: M is executed. The relationship between plaintext: M and input ciphertext: C is C = E_S(M). That is, the encryption process is executed by applying the session key: s to the plaintext: M to generate the ciphertext: C.
[0107]
In step S611, when the decrypted text: M 'matches the original plain text: M, a correct session key is obtained based on the tracking header: h' (s, r) input to the inspection target device, and the obtained session key is obtained. This means that the decryption processing of the cipher text: C has been correctly executed based on the correct session key.
[0108]
The input tracking header: h '(s, r) is the entity ui (entity_ui) Unique number (entity identifier): j_uiAnd a device that can obtain a correct session key based on the tracking header: h '(s, r) is an entity ui (entity_ui) Secret key: d_ui= (J_ui, Rf (j_ui)^-1It is clear that the device has a mod.
[0109]
Therefore, in step S611, if the decrypted text: M 'matches the original plain text: M, the inspection target device stores the secret key: d_ui= (J_ui, Rf (j_ui)^-1mod λ) is stored, and in step S612, the entity ui (entity) is stored._ui) Are identified as fraudsters. That is, the entity ui (entity_ui) Determines that its own private key is illegally copied and stored in the inspection target device.
[0110]
For example, when there are a plurality of devices to be inspected which are considered to be unauthorized devices, the same tracking header is input to the devices to be inspected, and each of them outputs a correct decryption result (M '= M), the entity ui (Entity_ui) Determines that its own secret key has been illegally copied and stored in a plurality of decryption devices.
[0111]
In step S611, if the decrypted text: M 'does not match the original plain text: M, the inspection target device stores the secret key: d_ui= (J_ui, Rf (j_ui)^-1mod.lambda.) is not determined to be stored. In this case, the process returns to step S605 to execute an update process of the value: i (i = i + 1), and the entity ui (entity) assumed to be a different unauthorized person_ui) Unique number (entity identifier): j_uiAnd executes the same processing, that is, the generation processing of the tracking header, the input of the generated tracking header and cipher text to the inspection target device, and the decryption processing in the inspection target device.
[0112]
The same processing is executed until the decrypted text: M 'as the output result from the inspection target device matches the original plain text: M, and when they match, the entity ui (entity) applied to the tracking header at that time_ui) Unique number (entity identifier): j_uiEntity ui (entity_ui) Is determined to have illegally copied and stored its own secret key in the inspection target device.
[0113]
As described above, the fraud tracking process can be executed by a device that executes the process according to FIG. 8, specifically, by a fraud tracking device configured by a device such as a PC that can execute a computer program. .
[0114]
To briefly summarize the specific components of the fraud tracking processing device, the condition is that the device has the following components. That is, the identifier j of the authorized user_i, A data input unit for inputting the ciphertext C to the device to be inspected, and a secret key d stored in the device to be inspected._i, And the public key e_SAnd a comparison unit that obtains a decrypted text M ′ output by decryption processing of the ciphertext C to which is applied and compares the decrypted text with the plaintext M corresponding to the input ciphertext C, provided that M ′ = M , The identifier j_iAnd a fraudulent person specifying means for specifying a user corresponding to the fraudulent person as a fraudulent person. However, each of these units is specifically configured by a control unit such as a CPU that executes processing according to the processing flow shown in FIG. A specific example of the hardware configuration will be described later.
[0115]
In the above description, the public key is the public key: e_S= (N, G, Y, Y₀)), The decryption processing example has been described. However, an arbitrary k random numbers are set and the public key: e_S= (N, G, Y, Y₀,. . , Y_k-1) Is set, the tracking header: h '(s, r) is set as the following equation (Equation 7).
[0116]
(Equation 25)

[0117]
Secret key corresponding to each user-side data decryption device (entity i): d_iIs the multiplicative group: Z^* _λUpper polynomial: f (x) = a₀+ A₁x +. . . a_k-1x^k-1And an identifier for each data decoding device (entity i (i = any integer)), and gcd (a₀+ J_i, Λ) = 1 entity identifier: j_iA configuration including
d_i= (J_i, Rf (j_i)^-1modλ)
Will be set as In this case, the process of obtaining the session key: s is performed based on the above equation (Equation 4).
[0118]
[3. Proof of security of black box tracking process]
Next, the security of the above-described black box tracking process will be proved. As described above, in order to achieve black box tracking, it is necessary to input a tracking header to a decoder that is deemed to be illegal and to determine whether or not the output result is correct plain text.
[0119]
At this time, the decoder to be inspected discriminates between the tracking header and the normal distribution header, and outputs a decoding result only when the distribution header is input. If it is set so that nothing is output at the time of input, it is impossible to identify an unauthorized person. Therefore, in order to reliably execute black box tracking, it is necessary to make it impossible to distinguish whether information input to the inspection target device is a tracking header or not.
[0120]
In this way, by proving that it is impossible to discriminate the tracking header from the normal delivery header, the security of the black box tracking process is proved. The following shows that the black box tracking function can be performed reliably, that is, no unauthorized decoder can determine whether the input information is a tracking header.
[0121]
In the above-described cryptographic processing, since the scheme itself is configured on a multiplicative group modulo the composite number, in order to realize black box tracking, the Decision Diffie-Hellman problem in the multiplicative group modulo the composite number is solved. It must be difficult. First, the definition of the Discription Diffie-Hellman problem (DDHP) will be briefly described.
[0122]
The finite cyclic group generated by the generator G is defined as [Grp]. Further, a, b, and c are random numbers. At this time, the Decision Diffie-Hellman problem is (G^a, G^b, G^c) When ∈Grp is given, it means a problem of determining whether or not c = ab mod | Grp | (where | Grp | represents the order of Grp) with a probability higher than 1/2.
[0123]
Solving the Decision Diffie-Hellman problem means (G^a, (G^a, G^b, G^cProbabilistic polynomial time for determining whether c = ab mod | Grp | (where | Grp | represents the order of Grp) with a probability higher than 1/2, given ∈Grp Indicates that the algorithm exists.
[0124]
If the DDHP in the multiplicative group modulo the composite number can be solved, the inspection target device determines whether the input information is a distribution header or a tracking header by よ り from the following. Can be determined with a high probability.
[0125]
The header input to the inspection target device is
H (s, r) = (h₁, H₂, H₃)
Then, if H (s, r) is a distribution header, the public key e_SAnd the delivery header h (s, r) are:
e_S= (N, G, Y, Y₀),and
h (s, r) = (sY^r, Y₀ ^r, G^r) ModN
Becomes At this time, Y₀And h₂modN, h₃By solving DDHP in the multiplicative group modulo the composite number using modN, it is determined whether or not the equation (Equation 8) below holds.
[0126]
(Equation 26)

[0127]
If the equality of the above equation (Equation 8) holds, it is assumed that the input information is a distribution header.
[0128]
In order to realize black box tracking, it is necessary to solve DDHP in a multiplicative group modulo a composite number. In this regard, in order to solve the DDHP in the group [Grp] using the generic algorithm, it is assumed that the smallest prime number among the prime factors of the order of the group [Grp] is q 'and at least Θ (q'^1/2) Is required [V. Shop, "Lower Bounds for Discrete Logarithms and Related Problems," LNCS 1233, EUROCRYPT @ 97, pp. 256-266, Springer-Verlag, Berlin, 1997. ].
[0129]
Further, in a multiplicative group modulo the product of two large prime numbers, a stochastic polynomial time algorithm for solving DDHP is not known, and it is considered that solving DDHP in such a group is difficult. . This is for example the case in [D. Boneh, "The Decision Diffie-Hellman Probe," In Proceedings of the Third Algorithmic Number Number Theory Symposium, Lecture Notes Co., Ltd. 1423, Springer-Verlag, pp. 48-63, 1998. ].
[0130]
In the above-described black box tracking processing according to the present invention, in a multiplicative group modulo N, a cyclic subgroup having an element G whose order is λ = pq as a generator is used. It is difficult to solve the DDHP by setting it to a sufficiently large value.
[0131]
Therefore, the device to be inspected determines whether or not the input information is the header for distribution, which is the same as the difficulty of solving the DDHP, and cannot be determined with a probability higher than 1/2. . That is, the security of the black box tracking process is proved.
[0132]
Therefore, it is impossible for the inspection target device to determine whether the input information is a distribution header or a tracking header with a probability higher than 1/2, and the above-described black box tracking is performed safely. It is possible to do.
[0133]
[4. Fraud tracking processing device, example of device constituting entity]
Next, the fraudulent pursuit processing apparatus which executes the processing described above with reference to FIG._S= (N, G, Y, Y₀), Secret key: d_i= (J_i, Rf (j_i)^-1The information processing device (user-side information processing device) on the user-side entity side that executes the decryption processing of the ciphertext based on (modλ), the ciphertext: C, and the header: h (s, r) are generated, and the entity side A description will be given of a configuration example of a data transmission side information processing apparatus that executes data transmission to the information processing apparatus of the present embodiment, and an information processing apparatus that can be applied as an information processing apparatus of a system administrator that executes a public key issuance and a secret key issuance processing.
[0134]
A series of processes in each entity described in the above embodiment is a process that can be executed by a combination of hardware and software. That is, it can be performed by causing a general-purpose computer or a microcomputer to execute a program. When a series of processing is performed by software, a program constituting the software is installed in, for example, a general-purpose computer or a one-chip microcomputer. FIG. 10 illustrates a configuration example as an embodiment of a computer on which a program for executing the above-described series of processes is installed.
[0135]
The information processing device configuration example shown in FIG. 10 is one example, and the information processing device in each entity is not necessarily required to have all the functions shown here. A CPU (Central processing Unit) 501 illustrated in FIG. 10 is a processor that executes various programs and an OS (Operating System). A ROM (Read-Only-Memory) 502 stores a program executed by the CPU 501 or fixed data as operation parameters. A RAM (Random Access Memory) 503 is used as a storage area and a work area for a program executed in the processing of the CPU 501 and parameters that change as appropriate in the program processing.
[0136]
The HDD 504 executes control of the hard disk, and stores and reads various data and programs from and to the hard disk. The encryption processing unit 505 functions as an encryption processing unit or a decryption processing unit that performs encryption processing, decryption processing, and the like on transmission data. Here, an example is shown in which the encryption processing means is an individual module. However, such an independent encryption processing module is not provided. For example, an encryption processing program is stored in the ROM 502, and the CPU 501 reads and executes the ROM storage program. May be configured.
[0137]
The memory (secure module) 506 is configured as a memory having a tamper-resistant structure, for example, and can be used as a storage area for key data and an access permission document required for encryption processing. For example, in the case of the information processing device of the user side entity, the secret key: d_i= (J_i, Rf (j_i)^-1(modλ) is set as the storage unit. Note that these data can be stored in another memory area or storage medium. For example, a public key: e_S= (N, G, Y, Y₀) Can be stored on a hard disk or the like without any problem.
[0138]
The bus 521 is constituted by a PCI (Peripheral Component Internet / Interface) bus or the like, and enables data transfer between each module and each available device via the input / output interface 122.
[0139]
The input unit 511 includes, for example, a keyboard, a pointing device, and the like, and is operated by a user to input various commands and data to the CPU 501. The output unit 512 is, for example, a CRT, a liquid crystal display, or the like, and displays various types of information as text or images.
[0140]
The communication unit 513 executes communication processing with an entity connected to the system, for example, a communication entity of encrypted data, and under the control of the CPU 501, data supplied from each storage unit or data processed by the CPU 501, It executes a process of transmitting the received data and the like and receiving data from another entity.
[0141]
The drive 514 is a drive that performs recording and reproduction on a removable recording medium 515 such as a flexible disk, a CD-ROM (Compact Disc Only Memory), an MO (Magneto optical) disk, a DVD (Digital Versatile Disc), a magnetic disk, and a semiconductor memory. Yes, it executes the reproduction of the program or data from each removable recording medium 515, and the storage of the program or data in the removable recording medium 515.
[0142]
When a program or data recorded in each storage medium is read and executed or processed in the CPU 501, the read program and data are supplied to, for example, the connected RAM 503 via the input / output interface 522 and the bus 521.
[0143]
The program for executing the processing included in the description with reference to the flowcharts is stored in the ROM 502 and processed by the CPU 501, or stored in the hard disk and supplied to the CPU 501 via the HDD 504 and executed. You.
[0144]
The present invention has been described in detail with reference to the specific embodiments. However, it is obvious that those skilled in the art can modify or substitute the embodiment without departing from the spirit of the present invention. That is, the present invention has been disclosed by way of example, and should not be construed as limiting. In order to determine the gist of the present invention, the claims described at the beginning should be considered.
[0145]
The series of processes described in the specification can be executed by hardware, software, or a combined configuration of both. When executing the processing by software, the program recording the processing sequence is installed in a memory in a computer embedded in dedicated hardware and executed, or the program is stored in a general-purpose computer capable of executing various processing. It can be installed and run.
[0146]
For example, the program may be recorded in a hard disk or a ROM (Read Only Memory) as a storage medium in advance. Alternatively, the program may be temporarily or permanently stored on a removable recording medium such as a flexible disk, a CD-ROM (Compact Disc Only Memory), an MO (Magneto optical) disk, a DVD (Digital Versatile Disc), a magnetic disk, or a semiconductor memory. It can be stored (recorded). Such a removable recording medium can be provided as so-called package software.
[0147]
The program may be installed on the computer from the above-described removable recording medium, or may be wirelessly transferred from a download site to the computer, or may be wirelessly transferred to the computer via a network such as a LAN (Local Area Network) or the Internet. The computer can receive the program transferred in this manner and install it on a storage medium such as a built-in hard disk.
[0148]
The various processes described in the specification may be executed not only in chronological order according to the description but also in parallel or individually according to the processing capability of the device that executes the processes or as necessary.
[0149]
【The invention's effect】
As described above, according to the configuration of the present invention, in a cryptographic processing configuration in which only a limited entity can use encrypted data by a decryption process using a secret key provided to a regular entity, based on verification of a decryption device When identifying an illegal entity by using_iIs input to the device to be inspected and the secret key d stored in the device to be inspected._iIs obtained by a decryption process to which is applied, and a comparison is performed between the obtained decrypted text M 'and the plaintext M corresponding to the input ciphertext C, on the condition that the decrypted text M' = plaintext M Identifier j_iCan be specified as a fraudulent entity, and a fraudulent entity specifying process can be realized without executing a fraudulent key acquisition from a fraudulent decryption device or a key analysis process.
[0150]
Further, according to the configuration of the present invention, in the cryptographic processing system having the data providing means for generating and providing the ciphertext and the data receiving means for receiving and decrypting the ciphertext, the public key e_S, And a secret key d corresponding to each data receiving means_iAnd set the secret key d_iAs the secret key unique to the regular entity, and the header information to be processed when decrypting the ciphertext C is the identifier j of the regular entity._iIs set as the header h including the header, the header in which the identifier of the entity presumed to be an unauthorized entity is set as a tracking header and input to the decoder in the tracking process of the unauthorized entity, and the data of the output result is output. By performing the verification, a secure cryptographic processing system capable of identifying an unauthorized entity is realized.
[Brief description of the drawings]
FIG. 1 is a diagram showing a processing flow of an entire preparation process including a public key generation and disclosure process, and a secret key generation and distribution process.
FIG. 2 is a diagram showing a detailed processing flow of a public key generation processing in step S108 in FIG.
FIG. 3 is a diagram showing a detailed processing flow of a secret key generation processing in step S110 in FIG. 1;
FIG. 4 is a diagram illustrating a configuration of transmitting a secret key from a system administrator to each entity via a secure communication channel.
FIG. 5 is a flowchart illustrating a broadcast distribution process of encrypted data.
FIG. 6 shows a transmission processing configuration of transmission data: C, h (s, r) including a cipher text: C from a sender to each entity and a header: h (s, r) as additional information for the cipher text. FIG.
FIG. 7 is a flowchart illustrating a procedure of a decryption process in an entity that has received data including a cipher text: C and a header: h (s, r).
FIG. 8 is a flowchart illustrating a processing procedure of a black box tracking process.
FIG. 9 is a flowchart illustrating a decoding processing procedure of the inspection target device in the black box tracking processing.
FIG. 10 is a diagram illustrating a configuration example of an information processing device of each entity.
[Explanation of symbols]
101 System Administrator
121 User-side entity
201 sender
202 public key
501 CPU
502 ROM
503 RAM
504 HDD
505 Cryptographic processing means
506 memory
511 Input section
512 Output unit
513 Communication unit
514 Removable storage medium
521 bus
522 I / O interface

Claims (11)

A fraudulent entity tracking method for identifying a fraudulent entity based on decryption device verification in a cryptographic processing configuration that allows use of cryptographic data of only a limited entity by decryption processing applying a secret key provided to a legitimate entity,
A data input step of inputting a tracking header h ′ including an identifier j _i of a regular entity and a ciphertext C to a device to be inspected;
In the inspection target device, an input track header h 'and, based on the input ciphertext C, the test private key is stored in the target device d _i, and decrypted text M with the public key e _S the applied decoding' A comparison processing step of acquiring the decrypted text M ′ and the plaintext M corresponding to the input ciphertext C;
In the comparison processing step, on the condition that the decrypted text M ′ = plaintext M, an unauthorized entity identification step of identifying an entity corresponding to the identifier j _i as an unauthorized entity;
A method for tracking an unauthorized entity in a cryptographic processing system, comprising: In the fraudulent entity tracking method in the cryptographic processing system,
The public key _{e S,} and the private key _{d i} are _{each, e S = (N, G} , Y, Y 0, .., Y k-1), d i = (j i, Rf (j i) - ¹ modλ), sets prime numbers P = 2p + 1, Q = 2q + 1 based on different prime numbers p, q, calculates N = PQ, λ = pq, and calculates an element of the multiplicative group Z _N ^* . of, set the original G to position number is lambda, 1 or more to any integer = k, the original a ₀ of the multiplicative group Z ^* _lambda,. . . , A _k−1 , the polynomial f (x) on the multiplicative group Z ^* _λ = a ₀ + a ₁ x +. . . a _k−1 x ^k−1 and random numbers R∈Z ^* _λ , calculated values Y, Y ₀ ,. . , Y _k-1 are represented by the following formula:

Set according to
It said normal entity identifier _{j i is, gcd (f (j i)} , λ) = 1 is an identifier that satisfies,
The ciphertext C is a ciphertext of the plaintext M based on the session key s, that is, C = E _S (M),
The tracking header h ′ is expressed by the following equation including a session key s and a random number r:

2. The method according to claim 1, wherein the configuration is defined as: In the fraudulent entity tracking method,
Setting k = 2, a ₁ = 1,
The tracking header h ′ (s, r) is represented by the following equation:

3. The method according to claim 2, wherein the illegal entity is set as: In a cryptographic processing system having data providing means for generating and providing ciphertext and data receiving means for receiving and decrypting ciphertext,
Public key _{e S,} and the private key _{d i} corresponding to the data receiving unit (entity i (i = an arbitrary integer)) respectively, _{each, e S = (N, G} , Y, Y 0, .., _{Y k-1), d i} = defined as ^{_{(j i, Rf (j i}} ) -1 modλ),
Ciphertext plaintext M, based on the session key s, i.e. the C _{= E} S (M), the following equation,
^{_{h (s, r) = (}} sY r, Y 0 r, Y 1 r, ..., Y k-1 r) modN
And a header h (s, r) generated from the data providing means to the data receiving means.
The public key _{e S,} the private key _{d i,} and a header h (s, r) is set below, that is,
Distinct primes p, based q, to set the prime P = 2p + 1, Q = 2q + 1, N = PQ, λ = pq is calculated, of the multiplicative group _Z ^{N *} of the original, the original G which position number is lambda set, 1 or more to any integer = k, the original _a 0 of the multiplicative group ^{Z *} _lambda,. . . , A _k−1 , the polynomial f (x) on the multiplicative group Z ^* _λ = a ₀ + a ₁ x +. . . a _k−1 x ^k−1 and random numbers R∈Z ^* _λ , calculated values Y, Y ₀ ,. . , Y _k-1 are represented by the following formula:

J _i is a regular entity identifier j _i that satisfies gcd (f (j _i ), λ) = 1, s is a session key, and r is a random number.
A cryptographic processing system having a configuration. The data receiving means includes:
Based on the header h (s, r), the following equation:

Accordingly obtains the session key s, based on the acquired session key s, to claim 4, characterized in that by decrypts a ciphertext C = E S _(M) is configured to acquire the plaintext M The cryptographic processing system as described. In the cryptographic processing system,
Setting k = 2, a ₁ = 1,
The header h (s, r) is represented by the following equation:
h (s, r) = (sY ^r , Y ₀ ^r , G ^r ) mod N
5. The cryptographic processing system according to claim 4, wherein: The data receiving means includes:
Based on the header h (s, r), the following equation:

Accordingly obtains the session key s, based on the acquired session key s, to claim 6, wherein the decoding process is executed is configured to acquire the plaintext M of ciphertext C = E S _(M) The cryptographic processing system as described. A fraudulent entity tracking processor that identifies a fraudulent entity based on decryption device verification in a cryptographic processing configuration that allows use of cryptographic data only for limited entities by decryption processing applying a secret key provided to a legitimate entity,
A data input means for inputting the tracking header h 'including the identifier j _{i of the} regular entity and the ciphertext C to the inspection target device;
In the inspection target device, an input track header h ', based on the input ciphertext C, decoded acquired by the inspection target equipment stored secret key d _i, and applying the public key e _S decoding Comparing means for comparing the sentence M ′ and the plaintext M corresponding to the input ciphertext C;
An illegal entity identifying means for identifying an entity corresponding to the identifier j _i as an illegal entity on condition that the decrypted text M ′ = plaintext M;
A fraudulent entity tracking processing device comprising: In the fraudulent entity tracking processing device,
The public key _{e S,} and the private key _{d i} are _{each, e S = (N, G} , Y, Y 0, .., Y k-1), d i = (j i, Rf (j i) - ¹ modλ), sets prime numbers P = 2p + 1, Q = 2q + 1 based on different prime numbers p, q, calculates N = PQ, λ = pq, and calculates an element of the multiplicative group Z _N ^* . of, set the original G to position number is lambda, 1 or more to any integer = k, the original a ₀ of the multiplicative group Z ^* _lambda,. . . , A _k−1 , the polynomial f (x) on the multiplicative group Z ^* _λ = a ₀ + a ₁ x +. . . a _k−1 x ^k−1 and random numbers R∈Z ^* _λ , calculated values Y, Y ₀ ,. . , Y _k-1 are represented by the following formula:

Set according to
It said normal entity identifier _{j i is, gcd (f (j i)} , λ) = 1 is an identifier that satisfies,
The ciphertext C is a ciphertext of the plaintext M based on the session key s, that is, C = E _S (M),
The tracking header h ′ is expressed by the following equation including a session key s and a random number r:

The fraudulent entity tracking processing device according to claim 8, wherein the fraudulent entity tracking processing device has a configuration defined as: In the fraudulent entity tracking processing device,
Setting k = 2, a ₁ = 1,
The tracking header h ′ (s, r) is represented by the following equation:

The fraudulent entity tracking processing device according to claim 9, further comprising a configuration for executing a process of setting as an invalid entity. A computer program that executes an unauthorized entity tracking process that identifies an unauthorized entity based on decryption device verification in a cryptographic processing configuration that allows only limited entities to use encrypted data by decryption processing that applies a secret key provided to a legitimate entity Yes,
A data input step of inputting a tracking header h ′ including an identifier j _i of a regular entity and a ciphertext C to a device to be inspected;
In the inspection target device, an input track header h 'and, based on the input ciphertext C, the test private key is stored in the target device d _i, and decrypted text M with the public key e _S the applied decoding' A comparison processing step of acquiring the decrypted text M ′ and the plaintext M corresponding to the input ciphertext C;
In the comparison processing step, on the condition that the decrypted text M ′ = plaintext M, an unauthorized entity identification step of identifying an entity corresponding to the identifier j _i as an unauthorized entity;
A computer program comprising:

Images