JP2005084568A - セキュリティ方法、セキュリティ装置及びセキュリティプログラム - Google Patents

Abstract

【課題】 任意の２つの暗号文を加算、乗算した値が、それら暗号文に対応する平文を加算、乗算した値の暗号文となり、かつ安全で実用的な暗号アルゴリズムを提供する。
【解決手段】 合成数Nと互いに素な０以上N未満の整数を秘密鍵ｒとし、自然数のパラメータｄを決定する。そして、平分ｍに対し、m=Σ_i=0 ^d a_i mod Nを満たすａ_ｉ（ｉ＝０,…,ｄ）を選択し、C=f_m,r(X)=Σ_i=1 ^d a_irⁱXⁱ mod Z_N[X]に従って暗号文Ｃを算出する。
その後、この暗号文Ｃにｒ^-1を代入して（f_m,r(r^-1)）復号を行う。
【選択図】 図４

Description

この発明は、情報セキュリティ技術の基盤となる暗号アルゴリズム、及びそれを用いた暗号応用プロトコルに関する。

現在、ＲＳＡ暗号（例えば、非特許文献１参照。）、Paillier暗号（例えば、非特許文献２参照。）、Domingo-Ferrer暗号（例えば、非特許文献３参照。）等のさまざまな暗号アルゴリズムが提唱されている。
ここでＲＳＡ暗号は、E(a)E(b)=E(ab)が成り立つ公開鍵暗号である。また、Paillier暗号は、E(a)E(b)=E(a+b)が成り立つ公開鍵暗号である。一方、Domingo-Ferrer暗号は、E(a)+E(b)=E(a+b)かつE(a)E(b)=E(ab)が成り立つ共通鍵暗号である。なおａ，ｂは任意の平文、Ｅは暗号関数である。即ちE(a),E(b)は、それぞれａ，ｂの暗号文を意味するものとする。
R. L. Rivest, A. Shamir, and L. Adleman, "A method for obtaining digital signatures and public-key cryptosystems," Communications of the ACM, Vol. 21, No. 2, pp. 120--126, Feb. 1978. P. Paillier, ‘’Public-key cryptosystems based on composite degree residuosity classes," J. Stern (Ed.), EUROCRYPT '99, LNCS 1592, Springer-Verlag, pp. 223--238, 1999. J. Domingo-Ferrer, "A provably secure additive and multiplicative privacy homomorphism," A. H. Chan and V. Gligor (Eds.), 5th Information Security Conference 2002 (ISC2002), LNCS 2433, Springer-Verlag, pp. 471--483, 2002. D. Wagner, "Cryptanalysis of an algebraic privacy homomorphism," In Proc. of 6th Information Security Conference (ISC '03), Oct. 2003. (Available at http://www.cs.berkeley.edu/~daw/papers/)

しかし、従来、ａ，ｂを知る事無く、E(a),E(b)からE(a+b)とE(ab)を実用的な時間内に求めることができ、なおかつ安全性が高い暗号アルゴリズムは存在していなかった。
例えば、ＲＳＡ暗号に関し、E(a),E(b)からa,bを知る事無くE(a+b)を求める方法は知られていない。またPaillier暗号については、E(a),E(b)からａ，ｂを知る事無くE(ab)を求める方法は知られていない。ＲＳＡ或いはPaillier 暗号同様の性質を持つ公開鍵暗号方式は他にも幾つか知られているが、それらについてもやはりE(a),E(b)からａ，ｂを知る事無くE(a+b)とE(ab)の両方を求める方法は知られていない。

一方、共通鍵暗号であるDomingo-Ferrer 暗号は、E(a)+E(b)=E(a+b)かつE(a)E(b)=E(ab)が成り立つが、Wagnerによって、安全性に関する問題点が指摘される（例えば、非特許文献４参照。）等、安全性の面で十分でない。
本発明は、このような点に鑑みてなされたものであり、ａ，ｂを知る事無く、E(a),E(b)からE(a+b)とE(ab)を実用的な時間内に求めることができ、なおかつ安全性が高い暗号アルゴリズムを提供することを目的とする。

この発明では上記課題を解決するために、第１のセキュリティ装置において、合成数Nを抽出し、Nと互いに素な０以上N未満の整数である秘密鍵ｒを抽出し、暗号化対象ｍを特定する。そして、自然数のパラメータｄを決定し、

に従って算出する。
その後、暗号文Ｃを、

に従って算出する。なお、Ｚ_Ｎ［Ｘ］は、Ｎを法とした剰余類を係数とする変数Ｘの多項式を意味する。

また、第２のセキュリティ装置において、この暗号文Ｃにｒ^-1を代入し（f_m,r(r^-1)）、その復号を行う。
ここで、例えば、平文ｍ_１，ｍ_２ から上述の暗号処理によって得られた暗号文をそれぞれC₁=f_m1,r(X) mod Z_N[X]、C₂=f_m2,r(X) mod Z_N[X]とすると、これらの暗号文の和はC₁+C₂=f_m1,r(X)+f_m2,r(X) mod Z_N[X]となり、積はC₁C₂=f_m1,r(X)f_m2,r(X) mod Z_N[X]となる。そして、後述のように、暗号文の和C₁+C₂、及び積C₁C₂の復号結果は、それぞれm₁+m₂ mod N、m₁m₂mod Nとなる。
また、上述のＮは合成数であり、本発明の安全性は、その素因数分解の困難性に基づいている（詳細は後述）。これは現在多くの暗号方式の安全性の根拠となっているものである。

本発明では、平文a、bの暗号文E(a)、E(b)の和E(a)+E(b)、及び積E(a)E(b)の復号結果が、それぞれa+b mod N、ab mod Nとなる。つまり、E(a)+E(b)=E(a+b)、E(a)E(b)=E(ab)が成立する。よって、a,bを知る事無く、E(a)、E(b)からE(a+b)とE(ab)の両方を求めることができる。
また、本発明の暗号アルゴリズムの安全性は、素因数分解問題に基づいており、十分な安全性を有しているといえる。

以下、この発明の最良の実施の形態を説明する。
〔アルゴリズム〕
最初に、この形態の共通鍵暗号アルゴリズムについて説明する。なお、この説明では、暗号装置（「第１のセキュリティ装置」に相当）において平文ｍを暗号化し、その暗号文Ｃをインターネット等の安全でないネットワークを通じて復号装置に送信し、この復号装置（「第２のセキュリティ装置」に相当）で復号を行う場合を例にとる。
まず、ｐ，ｑを相異なる大きな素数、ＮをＮ＝ｐｑなる合成数とし、０以上Ｎ未満の整数の中から平文ｍを選ぶ。ここで、Ｎは公開として良く、少なくとも平文ｍの取得を目的とする復号装置はＮを知ることができるようにする。

そして、暗号装置は、０以上Ｎ未満でかつＮと互いに素な整数の中から秘密鍵ｒを選び、この秘密鍵ｒは、オフライン或いは公開鍵暗号を用いた方式等により、予め暗号装置、復号装置間で他に知られること無く安全に共有される。
そして、暗号装置は、平文ｍを復号装置だけが取得できるように、以下の操作によって
平文ｍの暗号文Ｃを作成する。

１. 自然数のパラメータｄを決定する。
２. ０以上Ｎ未満の整数の中からｄ個の適当な値ａ_ｉ（i=1,…,d）を選ぶ（「加算項」に相当）。
３. 上述の式（１）を計算し、ａ₀（「加算項」に相当）を求める。
４. 上述の式（２）を計算し、暗号文Ｃを求める。

そして、この多項式表現された平文ｍの暗号文Ｃを復号装置に送信する。なお、パラメータｄは自然数であり、ｄが大きい程処理量が増すが、その分安全性も向上していくため、ｄの大きさは用途に合わせて適切に選ぶ必要がある。
一方、復号装置は、受信した暗号文C=f_m,r(X)に対し、秘密鍵ｒを用いて復号処理f_m,r(r^-1)modN=mを行う。これにより復号装置は平文ｍを取得でき、平文ｍは暗号装置から復号装置へと安全に送信されたことになる。

〔本アルゴリズムの特徴〕
次に、この形態の共通鍵暗号アルゴリズムが備える特徴について説明する。
今、２つの平文ｍ_１，ｍ_２から、この暗号処理により得られる２つの暗号文Ｃ_１，Ｃ_２を、C₁=f_m1,r(X)=a_0,1+a_1,1rX+a_2,1r²X²mod Z_N[X]、C₂=f_m2,r(X)=a_0,2+a_1,2rX+a_2,2r²X²mod Z_N[X]とする。即ち暗号文のパラメータｄは共にｄ＝２である。なお、添字の「ｍ１」「ｍ２」は、それぞれ「ｍ_１」「ｍ_２」を示す。

ここで、２つの暗号文Ｃ_１，Ｃ_２の和が、C₁+C₂=f_m1,r(X)+f_m2,r(X)=(a_0,1+a_0,2)+(a_1,1+a_1,2)rX+(a_2,1+a_2,2)r²X²mod Z_N[X]=f_m1+m2,r(X)となることは明らかである。これは、暗号文Ｃ_１，Ｃ_２から、平文ｍ_１，ｍ_２を知る事無く、その和m₁+m₂の暗号文f_m1+m2,r(X)を求めることができることを意味している。

また、２つの暗号文Ｃ_１，Ｃ_２の積は、C₁C₂=f_m1,r(X)f_m2,r(X)=(a_0,1+a_1,1rX+a_2,1r²X²)(a_0,2+a_1,2rX+a_2,2r²X²) mod Z_N[X]となり、復号結果の積は、f_m1,r(r^-1)f_m2,r(r^-1)=(a_0,1+a_1,1rr^-1+a_2,1r²r^-2)(a_0,2+a_1,2rr^-1+a_2,2r²r^-2) mod Z_N[r^-1]=(a_0,1+a_1,1+a_2,1)(a_0,2+a_1,2+a_2,2) mod Nとなる。ここで、この例のようにｄ＝２の場合、上述の式（１）から、m₁=a_0,1+a_1,1+a_2,1、m₂= a_0,2+a_1,2+a_2,2となり、f_m1,r(r^-1)f_m2,r(r^-1)=m₁m₂mod N=f_m1m2,r(r^-1)が成立していることが分かる。これにより、C₁C₂=f_m1,r(X)f_m2,r(X)=f_m1m2,r(X)が成立していることも分かり、暗号文Ｃ_１，Ｃ_２から、平文ｍ_１，ｍ_２を知る事無く、その積m₁m₂の暗号文f_m1m2,r(X)を求めることができることが分かる。

以上の特徴は、２つの暗号文Ｃ_１，Ｃ_２の次数が異なる場合についても同様である。例えば、C₁=f_m1,r(X)=a_0,1+a_1,1rX mod Z_N[X]（d=1に相当）、C₂=f_m2,r(X)=a_0,2+a_1,2rX+a_2,2r²X²mod Z_N[X]（d=2に相当）の場合、C₁+C₂=f_m1,r(X)+f_m2,r(X)=(a_0,1+a_0,2)+(a_1,1+a_1,2)rX+a_2,2r²X²mod Z_N[X]=f_m1+m2,r(X)となる。また、C₁C₂=f_m1,r(X)f_m2,r(X)=(a_0,1+a_1,1rX)(a_0,2+a_1,2rX+a_2,2r²X²) mod Z_N[X]となり、復号結果の積は、f_m1,r(r^-1)f_m2,r(r^-1)=(a_0,1+a_1,1rr^-1)(a_0,2+a_1,2rr^-1+a_2,2r²r^-2) mod Z_N[r^-1]=(a_0,1+a_1,1)(a_0,2+a_1,2+a_2,2) mod Nとなる。ここで、上述の式（１）から、m₁=a_0,1+a_1,1（d=1）、m₂= a_0,2+a_1,2+a_2,2（d=2）となり、f_m1,r(r^-1)f_m2,r(r^-1)=m₁m₂mod N=f_m1m2,r(r^-1)が成立していることが分かる。これにより、C₁C₂=f_m1,r(X)f_m2,r(X)=f_m1m2,r(X)が成立していることが分かる。

さらに、暗号文Ｃから、平文ｍを知る事無く、任意のα∈Ｚ_Ｎ（０以上Ｎ未満の整数の元）に対する平文α+ｍやαｍの暗号文を求めることもできる。即ち、例えば、C=f_m,r(X)=a₀+a₁rX+a₂r²X²mod Z_N[X]とするとα+C=α+f_m,r(X)=α+a₀+a₁rX+a₂r²X²mod Z_N[X]=f_α+m,r(X)となり、αC=αf_m,r(X)=αa₀+αa₁rX+αa₂r²X²mod Z_N[X]= f_αm,r(X)となることは明らかである。

〔安全性〕
次に本形態の共通鍵暗号アルゴリズムの安全性について述べる。
まず、Ｎを素因数分解困難な合成数とする理由は以下による。
今、一組の平文・暗号文の組（ｍ，Ｃ）が与えられたとする。すると以下の関係を満たすｐ_ｉ（i=0,1,…,d）が得られる。

つまり、暗号文Ｃが与えられた場合、上述の式（２）より、暗号文Ｃの定数項ａ_０を知ることができる。さらに平文ｍが与えられた場合、上述の式（１）に、この平文ｍと暗号文Ｃの定数項ａ_０を代入することにより、上述の式（３）を得ることができる。また、暗号文Ｃが与えられた場合、上述の式（２）より、各係数を知ることができ、上述の式（４）を得ることができる。

ここで、上述の式（４）から、
a_i=p_i/rⁱ mod N・・・(5)
が成り立つ。
また、上述の式（３）（５）から、
p₀=p₁/r + p₂/r² + … +p_d/r^dmod N
p₀r^d=p₁r^d-1 + p₂r^d-2 + … +p_dmod N

が得られる。

次に、ｄ−１組の平文・暗号文の組（ｍ，Ｃ）が与えられたとする。
この場合、ｐ_ｉ（i=0,1,…,d）の組が異なる式（６）がｄ−１個得られる。そして、このｄ−１個の式（６）にガウスの消去法を適用すると、ｒについての２次式αr²+βr+γ mod N=0を得ることができる。ここで、もしＮが素数であれば、この２次式を容易に解くことができることが知られている。また、Ｎが合成数であっても、その素因数が分かれば中国人剰余定理より容易にｒを求めることができる。しかし、一般に合成数の素因数分解は困難であり、このような合成数Ｎであれば、ｒを求める方法は自明ではなく、効率的な解法は知られていない。そのため、秘密鍵ｒが攻撃者に知られないことを期待でき、この共通鍵暗号アルゴリズムの安全性も期待できる。

一方、ｄ組の平文・暗号文の組（ｍ，Ｃ）が攻撃者に知られた場合、この攻撃者は、ｐ_ｉ（i=0,1,…,d）の組が異なるｄ個の式（６）を得ることができる。この場合、これらの式にガウスの消去法を適用すると、ｒについての１次式を求めることができ、攻撃者は、Ｎの素因数を知ることなく、容易にｒを求めることができる。よって、上述の自然数のパラメータｄは、安全でない暗号通信を行うと予想される回数よりも大きな値とすることが望ましい。これにより、ｄ組以上の平文・暗号文の組（ｍ，Ｃ）が攻撃者に知られ、安全性が低下してしまうことを防止できるからである。また、ｄが小さい程、暗号装置の計算処理量も小さく、処理の高速化等が期待できるため、ｄは安全でない暗号通信を行うと予想される回数＋１であることがより望ましく、現実的には、暗号装置が決定したパラメータｄに対し、暗号装置が秘密鍵ｒを用いて高々ｄ−１回の暗号通信しか行わないことが望ましい。この場合、この形態の暗号アルゴリズムの安全性は、素因数分解問題に基づいており、十分な安全性を有しているといえる。

また、別のパラメータｄの設定方法として、安全でない暗号通信を行った回数に、自然数を加算した値をパラメータｄとすることとしてもよい。この際、パラメータｄは、例えば、暗号通信ごとに再設定されるものとする。さらに、暗号装置の計算処理量等を考慮し、安全でない暗号通信を行った回数+１をパラメータｄとし、暗号通信ごとにパラメータｄを再設定することとしてもよい。

〔第１の実施の形態〕
次に、本発明における第１の実施の形態について説明する。
この形態は、暗号装置と復号装置が、インターネット等の安全でないネットワーク上で平文ｍを暗号通信する例である。
図１は、この形態のセキュリティシステム１の全体構成を例示した図である。また、図２は暗号装置２０の機能構成を、図３の（ａ）は外部機関装置１０の機能構成を、図３の（ｂ）は復号装置３０の機能構成を、それぞれ例示した図である。なお、外部機関装置１０、暗号装置２０及び復号装置３０は、ＣＰＵ(Central Processing Unit)、メモリ、バス等からなる公知のコンピュータに、所定のプログラムを実行させることによって構成されるものである。また、暗号装置２０、復号装置３０は、それぞれ、第１のセキュリティ装置、第２のセキュリティ装置に相当する。また、図４は、この形態におけるセキュリティ方法の処理手順を説明するためのフローチャートである。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。
外部機関装置１０はまず以下の処理を行う。
＜ステップＳ１＞
素数生成部１１で、フェルマーテスト等を用いて相異なる大きな素数ｐ，ｑを生成し、合成数生成部１２に送る。
＜ステップＳ２＞
合成数生成部１２で、合成数N=pqを計算し、合成数記憶部１３に送り、そこに記憶させる。

なお、３つの相異なる素数ｐ_１，ｐ_２，ｐ_３の積Ｎ＝ｐ_１ｐ_２ｐ_３等によって、合成数Ｎを生成することとしてもよく、適当に選んだＮ’が容易に素因数分解できず、かつ素数判定テストにより合成数であることが分かった場合に、このＮ’を合成数Ｎとすることとしてもよい。要は、合成数Ｎは、想定される攻撃者が素因数分解困難となるような値であれば良い（以下同様）。

＜ステップＳ３＞
合成数Nを公開する。ここで合成数Nを公開情報とするために、例えば外部機関装置１０が管理する誰でも閲覧可能なＷｅｂページにＮをアップロードしておけば良い。具体的には、例えば、合成数記憶部１３に記憶した合成数Nを、通信部１４からネットワーク４０を通じて送信できるようにしておく。
なお、合成数Ｎを暗号装置２０や復号装置３０以外の外部機関装置１０において生成することにより、暗号装置２０或いは復号装置３０が素因数分解容易な合成数Ｎを故意に作成するという不正を防止することができる。

次に、暗号装置２０は鍵生成処理として以下の処理を行う。
＜ステップＳ４＞
外部機関装置１０から公開された合成数Nを取得（抽出）する。具体的には、例えば、通信部２１（「合成数抽出手段」に相当）及びネットワーク４０を通じ、外部機関装置１０の通信部１４から出力された合成数Ｎを受信する。
＜ステップＳ５＞
秘密鍵生成部２２（「秘密鍵抽出手段」に相当）において、通信部２１から合成数Ｎを受け取り、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてｒを適当に選ぶ（抽出する）。生成された秘密鍵ｒは秘密鍵記憶部２３に安全に記憶される。

なお、合成数Nと互いに素な整数ｒを選ぶという操作は、基本的には０以上Ｎ未満の整数を適当に選べば良い。その理由は、暗号装置２０は、Ｎの素因数ｐ，ｑを知らないため、意図的にＮと互いに素な整数を選ぶことができず、また、０以上Ｎ未満の整数の中から適当に選んだｒがＮの約数となる確率は、ｐ，ｑが非常に大きいため、無視できる程小さいからである。

＜ステップＳ６＞
秘密鍵ｒを復号装置３０と共有する。つまり、暗号装置２０が生成した秘密鍵ｒは、他に漏れる事無く、復号装置３０内の秘密鍵記憶部３１にも安全に格納される。これは、暗
号装置２０から復号装置３０へ秘密鍵ｒをオフラインで受け渡す、あるいは公開鍵暗号を利用してネットワーク上で送信する（産業図書「現代暗号」岡本龍明、山本博資著 Ｐ２００〜２０２記載のDiffile-Hellman鍵配送方式等）等で実現できる。

続いて、平文ｍの暗号処理として、暗号装置２０は以下の処理を行う。
＜ステップＳ７＞
平文選択部２４（「暗号化対象特定手段」に相当）において、通信部２１から合成数Ｎを受け取り、０以上Ｎ未満の整数の中から平文ｍ（「暗号化対象」に相当）を選ぶ。
なお、平文のビットサイズがＮ以上である場合は、例えば合成数Ｎから１を引いたものを１ブロックサイズとして、複数の平文ｍにブロック分割すれば良い。
＜ステップＳ８＞
パラメータ決定部２５において、自然数のパラメータｄを決定する。

なお、パラメータｄの決定は、例えば、同一の秘密鍵ｒを用い、盗聴者や第三者に対して平文を無視出来ない確率で推定されてしまう（例えばｍは０か１のどちらかである等）ような暗号通信を行った回数ｄ_ｍａｘに依存し、ｄ＞ｄ_ｍａｘとなるようなｄが選ばれる。
但しｄを大きくする程、暗号処理量、復号処理量、通信量が増大していくことは明らかなので、ｒを用いて暗号通信を行う回数を予め想定しておき、その上で適切なｄを選ぶのが好ましい。例えば、ｄ_ｍａｘを予め想定してd=d_max+1とする。

＜ステップＳ９＞
整数選択部２６（「加算項選択手段」に相当）において、パラメータ決定部２５からパラメータｄを受け取り、通信部２１から合成数Ｎを受け取り、０以上Ｎ未満の整数の中からｄ個の適当な値（「加算項」に相当）ａ_i（i=1,…,d）を選ぶ。
＜ステップＳ１０＞
加減算部２７（「加算項選択手段」に相当）において、平文選択部２４から平文ｍを、通信部２１から合成数Ｎを、パラメータ決定部２５からパラメータｄを、整数選択部２６から加算項ａ_iを、それぞれ受け取り、上述の式（１）に従い加算項ａ_０を算出する。

＜ステップＳ１１＞
暗号化部２８において、秘密鍵記憶部２３から秘密鍵ｒを抽出し、加減算部２７から加算項ａ_０を受け取り、整数選択部２６から加算項ａ_iを受け取り、パラメータ決定部２５からパラメータｄを受け取り、通信部２１から合成数Ｎを受け取り、上述の式（２）に従い、暗号文Ｃを算出する。
＜ステップＳ１２＞
上記で得られた暗号文Ｃは通信部２１に送られ、そこからネットワーク４０を介し、復号装置３０に送信（出力）される。

続いて、暗号文Ｃの復号処理として、暗号装置３０は以下の処理を行う。
＜ステップＳ１３＞
送信された暗号文C=f_m,r(X)は、復号装置３０の通信部３２（「暗号文入力手段」に相当）で受信され（入力を受け付け）、復号部３３に送られる。
＜ステップＳ１４＞
また、通信部３２（「合成数抽出手段」に相当）は、ネットワーク４０を介し、外部機関装置１０の通信部１４から送信された合成数Ｎも受信（抽出）し、復号部３３に送る。復号部３３（「秘密鍵抽出手段」に相当）は、さらに秘密鍵記憶部３１から秘密鍵ｒを抽出し、f_m,r(r^-1) mod N=mを計算する（暗号文にｒ^-1を代入する）ことで、暗号文Ｃの復号結果ｍを得る。これにより、復号装置３０は平文ｍを取得することができた。

〔第２の実施の形態〕
次に、本発明における第２の実施の形態について説明する。
この形態は、秘密の値を保有する依頼装置が、代理演算装置にその秘密の値を知られること無く代理演算させ、更にその演算結果も代理演算装置に知られないような秘匿性の高い依頼計算方法を実現するものである。

図５は、この形態のセキュリティシステム１００の全体構成を例示した図である。また
、図６は、公知のコンピュータ上で、所定のプログラムを実行させることによって構成される依頼装置１１０（「第１のセキュリティ装置」に相当）の機能構成を、図７は代理演算装置１３０（「第２のセキュリティ装置」に相当）の機能構成を、それぞれ例示した図である。また、図８は、この形態におけるセキュリティ方法の処理手順を説明するためのフローチャートである。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。
この形態では、任意な多項式関数（「代理演算関数」に相当）ｇを保有する代理演算装置１３０と、ｋ個の秘密の値ｍ_ｉ(i=1,…,k)を持ち、g(m₁,…,m_k)の取得を目的とする依頼装置１１０が存在し、依頼装置１１０は、ｋ個の値ｍ_ｉとそれを入力とした演算結果g(m₁,…,m_k)を代理演算装置１３０に知られたくないものとする。
なお、ｇは依頼装置１１０に知られたくないような秘密の多項式関数、又は依頼装置１１０の計算資源等の理由から依頼装置１１０が外部の装置に演算を依頼する必要のある多項式関数であるとする。ここで例えばｇが署名関数であれば、これはブラインド署名と呼ばれる技術に他ならない（例えば、産業図書「現代暗号」岡本龍明、山本博資著 Ｐ１８４〜１８６参照。）。

依頼装置１１０は、ｍ_ｉ(i=1,…,k)を暗号化するため、まず以下の処理を行う。
＜ステップＳ２０＞
素数生成部１１１において、相異なる大きな素数ｐ，ｑを生成し、合成数生成部１１２に送る。
＜ステップＳ２１＞
合成数生成部１１２において、合成数Ｎ＝ｐｑを計算する。
＜ステップＳ２２＞
秘密鍵生成部１１３（「秘密鍵抽出手段」に相当）において、合成数生成部１１２から合成数Ｎを抽出し、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてｒを適当に選ぶ（抽出する）。秘密鍵ｒは秘密鍵記憶部１１４に送られ、そこで記憶される。

＜ステップＳ２３＞
平文選択部１１５（「暗号化対象特定手段」に相当）において、合成数生成部１１２から合成数Ｎを抽出し、０以上Ｎ未満の整数の中から平文ｍ_ｉ(i=1,…,k)（「暗号化対象」に相当）を選ぶ。
＜ステップＳ２４＞
パラメータ決定部１１６において、自然数のパラメータｄを決定する。
ここで、代理演算装置１３０がｋ個の値ｍ_ｉのうちｋ’個までの値を無視出来ない確率で推定可能である場合、秘密鍵ｒを秘匿するため、第１の実施の形態で説明した通り、パラメータｄをd=k'+1とすることが望ましい。なお、以下ではk'=k、即ち代理演算装置１３０が、ｋ次ベクトル(m₁,…,m_k)の値を無視出来ない確率で推定可能であるとする（d=k+1）。

＜ステップＳ２５＞
制御部１２２において、ｉに１を代入する。
＜ステップＳ２６＞
整数選択部１１７において、パラメータ決定部１１６からパラメータｄを受け取り、合成数生成部１１２から合成数Ｎを抽出し、０以上Ｎ未満の整数の中からｄ個の適当な値ａ_ｉ，ｊ（j=1,…,d）を選ぶ。
＜ステップＳ２７＞
加減算部１１８において、平文選択部１１５から平文ｍ_ｉを、合成数生成部１１２から合成数Ｎを、パラメータ決定部１１６からパラメータｄを、整数選択部１１７から加算項ａ_ｉ，ｊを、それぞれ受け取り、

に従い加算項ａ_ｉ，０を算出する。

＜ステップＳ２８＞
暗号化部１１９において、秘密鍵記憶部１１４から秘密鍵ｒを抽出し、加減算部１１８から加算項ａ_ｉ，０を受け取り、整数選択部１１７から加算項ａ_ｉ、ｊを受け取り、パラメータ決定部１１６からパラメータｄを受け取り、合成数生成部１１２から合成数Ｎを受け取り、

に従い、暗号文Ｃ_ｉを算出する。
＜ステップＳ２９＞
制御部１２２において、ｉ＝ｋであるか否かを判断し、ｉ＝ｋであればステップＳ３１に進み、ｉ＝ｋでなければステップＳ３０に進む。

＜ステップＳ３０＞
制御部１２２において、ｉにｉ＋１を代入し、ステップＳ２６に戻る。
＜ステップＳ３１＞
上記で得られたｍ_ｉの暗号文Ｃ_ｉ=f_mi,r(X)（i=1,…,k）は通信部１２０に送られ、そこからネットワーク１４０を介し、代理演算装置１３０に送信される（添え字の「mi」は「ｍ_ｉ」を意味する。）。

続いて、代理演算処理として、代理演算装置１３０は以下の処理を行う。
＜ステップＳ３２＞
通信部１３１において、暗号文Ｃ_ｉ=f_mi,r(X)（i=1,…,k）を受信し（入力を受け付け）、受信した暗号文Ｃ_ｉを関数演算部１３２に送る。
＜ステップＳ３３＞
関数演算部１３２において、代入結果G(X)=g(C₁,…,C_k)を計算（暗号文Ｃ_ｉを代理演算関数に代入）し、通信部１３１に送る。ここで、代理演算装置１３０は、平文ｍ_ｉの暗号文Ｃ_ｉしか受け取っていないため、暗号文Ｃ_ｉを復号出来なければ、平文ｍ_ｉは代理演算装置１３０に知られないことになる。

＜ステップＳ３４＞
通信部１３１において、ネットワーク１４０を通じ、代入結果G(X)を依頼装置１１０に返信（出力）する。
＜ステップＳ３５＞
続いて、復号処理として、依頼装置１１０は、通信部１２０において、代入結果Ｇ（Ｘ）を受信し（入力を受け付け）、復号部１２１に送る。そして復号部１２１において、秘密鍵記憶部１１４から秘密鍵ｒを抽出し、代入結果Ｇ（Ｘ）の復号結果G(r^-1)=g(m₁,…,m_k)を算出する。
ここで、G(r^-1)=g(m₁,…,m_k)が成り立つことは、前述の〔本アルゴリズムの特徴〕で示した本形態の暗号アルゴリズムの性質から明らかである。

また、多項式関数ｇは、ｈ次ｋ変数多項式

として一般化できる。この場合、多項式関数ｇには、最大で(h+k)!/(h!k!)個の係数α_{ｑ１,…,ｑｋ}が存在することになる。
これに対し、d=k+1の場合、代入結果Ｇ（Ｘ）は高々ｈ(k+1)次の多項式となり、高々ｈ(k+1)+1個の係数しか持たない。従って、ｋ，ｈが大きければ、代入結果Ｇ（Ｘ）のデータサイズは、元々の多項式関数g(Y₁,…,Y_k)のデータサイズよりも非常に小さくなる。つまり、本形態で示した方法は、依頼装置１１０のメモリが非常に限られている場合等に特に有効であるといえる。

次に、上記の例に対し更にデータサイズを抑える方法を述べる。
代入結果Ｇ（Ｘ）は、

と書ける。
そして、G(r^-1)=g(m₁,…,m_k) mod Nであるから、

が成り立つ。

このことから、代理演算装置１３０はＧ（Ｘ）を計算後、まずＧ（Ｘ）の定数項ｂ_０を依頼装置１１０に送信し、それを受信した依頼装置１１０は、A←ｂ_０としてＡを保存する。次に、代理演算装置１３０はＧ（Ｘ）の１次の項の係数ｂ_１ｒを依頼装置１１０に送信し、それを受信した依頼装置１１０は、b₁r/r=b₁を計算し、A←A+b₁modNとしてAを保存する。この操作を繰り返していき、最終的に代理演算装置１３０は、Ｇ（Ｘ）のｕ次の項の係数ｂ_ｕｒ^ｕを依頼装置１１０に送信し、それを受信した依頼装置１１０は、b_ur^u/r^u=b_uを計算し、A←A+b_umodNとすれば、

を得ることができる。この手法により、明らかに依頼装置１１０の必要とするメモリを削減することができる。

〔第３の実施の形態〕
次に、本発明における第３の実施の形態について説明する。
この形態は、ある秘密の平文を保有する依頼装置が、その平文の暗号処理を代理暗号装置に依頼し、この平文を代理暗号装置に知られること無く、暗号文を取得するものである。
前述の〔本アルゴリズムの特徴〕で述べたように、ａ，ｂを任意の平文、Ｅを本形態の暗号関数とした場合、E(a)+E(b)=E(a+b),E(a)E(b)=E(ab)となるためにはａ，ｂの暗号処理に用いる秘密鍵（すなわちｒ）が同一でなければならない。例えば、ａ，ｂ，ｃがそれぞれ依頼装置Ａ，依頼装置Ｂ，依頼装置Ｃの保有する平文であり、自身の平文は知られたくないがabc+a+b+cは全依頼装置が知りたいとしたとき、本形態の暗号アルゴリズムを用いれば、E(a),E(b),E(c)からE(a)E(b)E(c)+E(a)+E(b)+E(c)=E(abc+a+b+c)を計算することができる。しかし、この場合、暗号処理するための秘密鍵は同一でなければならず、少なくとも秘密鍵を保有する装置に対してはａ，ｂ，ｃを秘匿とすることはできない。

この問題を解決するために、本実施の形態では、依頼装置が代理暗号装置に平文を与え
る事無く暗号処理を依頼する。この場合、各依頼装置が取得する暗号文は、全て代理暗号装置の秘密鍵で暗号化したものとなる。これにより、依頼装置Ａ，依頼装置Ｂ，依頼装置Ｃは、秘密鍵の内容を知ることなく、それぞれE(a),E(b),E(c)を取得でき、それらE(a),E(b),E(c)からE(a)E(b)E(c)+E(a)+E(b)+E(c)=E(abc+a+b+c)を計算することが可能となる。

この単純な方法として、（ａ）依頼装置が自身の平文ｍを選択し、０以上Ｎ未満の整数の中から適当な値αを選び、α+m mod Nを計算してそれを代理暗号装置に送信し、（ｂ）代理暗号装置が、この平文α+mに対して、秘密鍵ｒを用いて上述の式（１）により暗号文f_α+m,r(X)を計算し、それを依頼装置に返信し、（ｃ）依頼装置が、f_α+m,r(X)-αを計算してｍの暗号文f_m,r(X)を得る、という方法も採れる。

しかし、f_α+m,r(X)とf_m,r(X)は定数項を除き等しい。そのため、代理暗号装置は、これら２つの暗号文が対応しており、定数項の差がαであることが高い確率で分かる。そして、代理暗号装置は、α+mとf_α+m,r(X)が対応していることを知ってしまえば、f_α+m,r(X)-αにより容易にｍを求めることができる。

また、（ａ）依頼装置が自身の平文ｍを選択し、０以上Ｎ未満の整数の中から適当な値αを選び、αm mod Nを計算してそれを代理暗号装置に送信し、（ｂ）代理暗号装置が、この平文αmに対して、秘密鍵ｒを用いて上述の式（１）により暗号文f_αm,r(X)を計算し、それを依頼装置に返信し、（ｃ）依頼装置が、f_αm,r(X)×α^-1を計算してｍの暗号文f_m,r(X)を得る、という方法も採れる。

しかしこの場合は、f_αm,r(X)とf_m,r(X)が定数倍の関係を持っている。そのため、代理暗号装置は、これら２つの暗号文が対応しており、これらがα倍の関係にあることが高い確率で分かる。そして、代理暗号装置は、αmとf_αm,r(X)が対応していることを知ってしまえば、f_αm,r(X)×α^-1により、やはり容易にｍを求めることができる。

以降本形態では、代理暗号装置に対してもmを秘匿とすることを目的とした別の方法を与える。
図９は、この形態のセキュリティシステム２００の全体構成を例示した図である。また、図１０は、公知のコンピュータ上で、所定のプログラムを実行させることによって構成される依頼装置２２０（「第１のセキュリティ装置」に相当）の機能構成を、図１１は代理暗号装置２３０（「第２のセキュリティ装置」に相当）の機能構成を、それぞれ例示した図である。また、図１２〜１４は、この形態におけるセキュリティ方法の処理手順を説明するためのフローチャートである。なお、外部機関装置２１０の構成・処理は、第１の実施の形態と同様である（図３の（ａ））。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。
外部機関装置２１０はまず以下の処理を行う。
＜ステップＳ４０＞
相異なる大きな素数p,qを生成する。
＜ステップＳ４１＞
合成数N=pqを計算する。
＜ステップＳ４２＞
合成数Nを公開する。

次に代理暗号装置２３０は以下の処理を行う。
＜ステップＳ４３＞
通信部２３１において、Nを受信する。
＜ステップＳ４４＞
素数生成部２３２において、相異なる大きな素数p',q'を生成する。
＜ステップＳ４５＞
合成数生成部２３３において、N'=p'q'を計算する。
＜ステップＳ４６＞
合成数生成部２３４において、合成数生成部２３３からN'を受け取り、通信部２３１からNを受け取り、合成数N’’=NN'を計算する。この合成数N’’は合成数記憶部２３５に記憶される。

＜ステップＳ４７＞
秘密鍵生成部２３６において、合成数記憶部２３５から合成数N’’を抽出し、０以上N’’未満でかつN’’と互いに素な整数の中から、秘密鍵としてｔを適当に選ぶ。
＜ステップＳ４８＞
N’’を公開する。即ち、合成数記憶部２３５に記憶された合成数N’’を、通信部２３１及びネットワーク２５０を通じて送信可能とする。
なお、上記のように合成数をN’’=NN'としたのは、外部機関装置２１０に対しても代理暗号装置２３０に対しても合成数に対する素因数分解を困難とするためである。即ちこの合成数を、複数の装置でそれぞれ生成された合成数の積とすることにより、各装置が素因数分解容易な合成数を故意に作成するといった不正を防止することができる。

次に依頼装置２２０は以下の処理を行う。
＜ステップＳ４９＞
通信部２２１において、代理暗号装置２３０から送信された合成数N’’を受信する。
＜ステップＳ５０＞
秘密鍵生成部２２２において、通信部２２１から合成数N’’を受け取り、０以上Ｎ’’未満でかつＮ’’と互いに素な整数の中から、秘密鍵としてｒを適当に選ぶ。選択された秘密鍵ｒは、秘密鍵記憶部２２３に送られ、そこで記憶される。
＜ステップＳ５１＞
平文選択部２２４において、通信部２２１から合成数N’’を受け取り、０以上Ｎ’’未満の整数の中から平文ｍを選ぶ。

＜ステップＳ５２＞
パラメータ決定部２２５において、自然数のパラメータdを決定する。
＜ステップＳ５３＞
整数選択部２２６において、通信部２２１から合成数N’’を受け取り、０以上Ｎ’’未満の整数の中からｄ個の適当な値a_i(i=1,…,d)を選ぶ。
＜ステップＳ５４＞
加減算部２２７において、平文選択部２２４から平文ｍを、通信部２２１から合成数Ｎ’’を、パラメータ決定部２２５からパラメータｄを、整数選択部２２６から加算項ａ_iを、それぞれ受け取り、

に従い加算項ａ_０を算出する。

＜ステップＳ５５＞
暗号化部２２８において、秘密鍵記憶部２２３から秘密鍵ｒを抽出し、加減算部２２７から加算項ａ_０を受け取り、整数選択部２２６から加算項ａ_iを受け取り、パラメータ決定部２２５からパラメータｄを受け取り、通信部２２１から合成数Ｎ’’を受け取り、

に従い、暗号文Ｃを算出する。
＜ステップＳ５６＞
算出された暗号文Ｃは、通信部２２１に送られ、ネットワーク２５０を通じ、代理暗号装置２３０に送信される。

依頼装置２２０から暗号文Ｃが送られた代理暗号装置２３０は、以下の処理を行う。
＜ステップＳ５７＞
通信部２３１において、暗号文C=f_m,r(X)を受信する（入力を受け付ける）。
＜ステップＳ５８＞
パラメータ決定部２３８において、パラメータｄ’を決定する。
＜ステップＳ５９＞
多項式選択部２３９（「加算項選択手段」に相当）において、パラメータ決定部２３８からパラメータｄ’を受け取り、合成数記憶部２３５から合成数Ｎ’’を抽出し、０以上Ｎ’’未満の整数を各項の係数とする一変数ｄ’次多項式の中から、ｄ’個の適当な多項式ｂ_ｉ(Ｘ)(i=1,…,d’)（「加算項」に相当）を選ぶ。
＜ステップＳ６０＞
加減算部２４０（「加算項選択手段」に相当）において、通信部２３１から暗号文Ｃを、合成数記憶部２３５から合成数Ｎ’’を、パラメータ決定部２３８からパラメータｄ’を、多項式選択部２３９から加算項ｂ_ｉ(Ｘ)を、それぞれ受け取り、

に従って加算項ｂ_０(Ｘ)を算出する。

＜ステップＳ６１＞
暗号化部２４１において、秘密鍵記憶部２３７から秘密鍵ｔを抽出し、加減算部２４０から加算項ｂ_０(Ｘ)を受け取り、多項式選択部２３９から加算項ｂ_ｉ(Ｘ)を受け取り、パラメータ決定部２３８からパラメータｄ’を受け取り、合成数記憶部２３５から合成数Ｎ’’を受け取り、

に従い、暗号文Ｃ’を算出する。
＜ステップＳ６２＞
算出された暗号文Ｃ’は通信部２３１に送られ、そこからネットワーク２５０を通じて、依頼装置に返信（出力）される。

次に、依頼装置２２０は、以下の処理を行う。
＜ステップＳ６３＞
通信部２２１において、暗号文Ｃ’を受信する（入力を受け付ける）。
＜ステップＳ６４＞
復号部２２９において、通信部２２１から暗号文Ｃ’を受け取り、秘密鍵記憶部２２３から秘密鍵ｒを抽出し、暗号文C’の秘密鍵ｒを用いた復号処理F(Y)=f_C,t(r^-1,Y)を行い、復号結果F(Y)を得る。するとＦ（Ｙ）は、平文ｍを、代理暗号装置２３０の秘密鍵ｔで暗号処理した暗号文ｆ_ｍ，ｔ（Ｙ）とみることができる。
ここで、代理暗号装置２３０が、Ｆ（Ｙ）を復号せずにＣ’とＦ（Ｙ）の対応関係を判定することは容易でない。よって、代理暗号装置２３０が暗号文Ｃ’からＦ（Ｙ）を特定し、その復号によって平文ｍを取得することは困難である。
最後に、Ｆ（Ｙ）が平文ｍを秘密鍵ｔで暗号処理した暗号文であること、即ち、F(t^-1)=m
mod N’’となることを確認しておく。

まず、F(Y)=f_C,t(r^-1,Y)について、上述の式（９）より、

が成り立つ。
また、上述の式（８）より、

であり、上述の式（７）より、暗号文ＣのＸにｒ^-1を代入した復号結果はf_m,r(r^-1)=m mod N’’である。よって、式（１１）より、

も成り立つ。
よって、上述の式（１０）（１２）より、

が成り立つことが分かる。

〔第４の実施の形態〕
次に、本発明における第４の実施の形態について説明する。
この形態は、代理暗号装置の秘密鍵で暗号処理された暗号文を保有する依頼装置が、代理復号装置にその復号処理を依頼し、その代理復号装置に平文を知られること無く、この依頼装置が平文を取得するものである。

図１５は、この形態のセキュリティシステム３００の全体構成を例示した図である。また、図１６は、公知のコンピュータ上で、所定のプログラムを実行させることによって構成される依頼装置３１０（「第１のセキュリティ装置」に相当）の機能構成を、図１７は代理復号装置３３０（「第２のセキュリティ装置」に相当）の機能構成を、それぞれ例示した図である。また、図１８及び１９は、この形態におけるセキュリティ方法の処理手順を説明するためのフローチャートである。なお、代理暗号装置３５０の構成・処理は、第３の実施の形態の代理暗号装置２３０と同様である（図１１）。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。
依頼装置３１０は、例えば第３の実施の形態で取得した暗号文F(Y)=f_m,t(Y)を暗号文記憶部３１１内に保有しており、代理復号装置３３０は秘密鍵記憶部３３１内に秘密鍵ｔを保有している。
まず依頼装置３１０は以下の処理を行う。
＜ステップＳ７０＞
まず、通信部３１２、ネットワーク３４０を通じ、代理暗号装置３５０から公開・送信された合成数Ｎ’’を受信（抽出）する。次に、秘密鍵生成部３１３において、この合成数Ｎ’’を受け取り、０以上Ｎ’’未満でかつN’’と互いに素な整数の中から、秘密鍵としてｒを適当に選ぶ（抽出する）。秘密鍵ｒは秘密鍵記憶部３１４に送られ、そこに記憶される。

＜ステップＳ７１＞
パラメータ決定部３１５において、自然数のパラメータd’’を決定する。
＜ステップＳ７２＞
多項式選択部３１６において、パラメータ決定部３１５からパラメータｄ’’を受け取り、通信部３１２から合成数Ｎ’’を抽出し、０以上Ｎ’’未満の整数を各項の係数とする一変数ｄ’’次多項式の中から、ｄ’’個の適当な多項式ｂ’_ｉ(Y)(i=1,…,d’’)を
選ぶ。
＜ステップＳ７３＞
加減算部３１７において、暗号文記憶部３１１から暗号文Ｆ（Ｙ）を、通信部３１２から合成数Ｎ’’を、パラメータ決定部３１５からパラメータｄ’’を、多項式選択部３１６から加算項ｂ’_ｉ(Y)を、それぞれ受け取り、

に従って加算項ｂ’₀(Y)を算出する。

＜ステップＳ７４＞
暗号化部３１８において、秘密鍵記憶部３１４から秘密鍵ｒを抽出し、加減算部３１７から加算項ｂ’_０(Ｙ)を受け取り、多項式選択部３１６から加算項ｂ’_０(Ｙ)を受け取り、パラメータ決定部３１５からパラメータｄ’’を受け取り、通信部３１２から合成数Ｎ’’を受け取り、

に従い、暗号文Ｃ’’を算出する。
＜ステップＳ７５＞
算出された暗号文Ｃ’’は、通信部３１２に送られ、ネットワーク３４０を通じ、代理復号装置３３０に送信（出力）される。

依頼装置３１０から暗号文Ｃ’’が送られた代理復号装置３３０は、以下の処理を行う。
＜ステップＳ７６＞
通信部３３２において暗号文Ｃ’’を受信する（入力を受け付ける）。
＜ステップＳ７７＞
復号部３３において、通信部３３２から暗号文Ｃ’’を受け取り、秘密鍵記憶部３３１から秘密鍵ｔを抽出し、

を計算する。
＜ステップＳ７８＞
算出された復号結果Ｆ’（Ｚ）は、通信部３３２及びネットワーク３４０を通じ、依頼装置３１０に返信（出力）される。

次に、依頼装置３１０は、以下の処理を行う。
＜ステップＳ７９＞
通信部３１２において、復号結果Ｆ’（Ｚ）を受信し（入力を受け付け）、復号部３２０に送る。
＜ステップＳ８０＞
復号部３２０において、秘密鍵記憶部３１４から秘密鍵ｒを抽出し、暗号文Ｆ’（Ｚ）に対し、秘密鍵ｒを用いた復号処理F’(r^-1)=mを行い、平文ｍを得る。なお、F’(r^-1)=mが成り立つことは第３の実施の形態と同様の手法で示すことができるため、ここでは説明を省略する。

〔第５の実施の形態〕
次に、本発明における第５の実施の形態について説明する。
本形態は、ある秘密の平文を保有する依頼装置が、複数の代理暗号機関装置に暗号処理を依頼し、多重暗号文を生成するものである。

図２０は、この形態のセキュリティシステム４００の全体構成を例示した図である。また、図２１は、公知のコンピュータ上で、所定のプログラムを実行させることによって構成される代理暗号装置４１０（「第２のセキュリティ装置」に相当）の機能構成を、図２
２は代理暗号装置４３０（「第２のセキュリティ装置」に相当）の機能構成を、図２３及び図２４は依頼装置４５０（「第１のセキュリティ装置」に相当）の機能構成を、それぞれ例示した図である。また、図２５〜２９は、この形態におけるセキュリティ方法の処理手順を説明するためのフローチャートである。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。
今、２つの代理暗号装置４１０、４３０があるものとする。これらは依頼装置４５０からの依頼により暗号処理を行う。
代理暗号装置４１０はまず以下の処理を行う。
＜ステップＳ９０＞
素数生成部４１１において、相異なる大きな素数p,qを生成し、合成数生成部４１２に送る。
＜ステップＳ９１＞
合成数生成部４１２において、合成数N_A=pqを計算し、合成数記憶部４１３に送り、そこで記憶させる。
＜ステップＳ９２＞
N_Aを公開する。即ち、合成数記憶部４１３に格納された合成数N_Ａを、通信部４１４及びネットワーク４７０を通じて送信可能とする。

同様に代理暗号装置４３０はまず以下の処理を行う。
＜ステップＳ１００＞
素数生成部４３１において、相異なる大きな素数p’,q’を生成し、合成数生成部４３２に送る。
＜ステップＳ１０１＞
合成数生成部４３２において、合成数N_B=p’q’を計算し、合成数記憶部４３３に送り、そこに記憶させる。
＜ステップＳ１０２＞
N_Ｂを公開する。即ち、合成数記憶部４３３に格納された合成数N_Ｂを、通信部４３４及びネットワーク４７０を通じて送信可能とする。

次に代理暗号装置４１０は以下の処理を行う。
＜ステップＳ９３＞
通信部４１４において、代理暗号装置４３０より公開・送信された合成数N_Bを取得する。
＜ステップＳ９４＞
合成数生成部４１５において、合成数記憶部４１３から合成数Ｎ_Ａを抽出し、通信部４１４から合成数Ｎ_Ｂを受け取り、合成数N=N_AN_Bを計算する。生成した合成数Ｎは、合成数記憶部４１６に送られ、そこに記憶される。
＜ステップＳ９５＞
Nを公開する。即ち、合成数記憶部４１６に格納された合成数Nを、通信部４１４及びネットワーク４７０を通じて送信可能とする。
＜ステップＳ９６＞
秘密鍵生成部４１７において、合成数記憶部４１６から合成数Ｎを抽出し、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてrを適当に選ぶ。秘密鍵ｒは秘密鍵記憶部４１８に記憶される。

同様に代理暗号装置４３０は以下の処理を行う。
＜ステップＳ１０３＞
通信部４３４において、代理暗号装置４１０より公開・送信された合成数N_Ａを取得する。
＜ステップＳ１０４＞
合成数生成部４３５において、合成数記憶部４３３から合成数Ｎ_Ｂを抽出し、通信部４３４から合成数Ｎ_Ａを受け取り、合成数N=N_AN_Bを計算する。生成した合成数Ｎは、合成数記憶部４３６に送られ、そこに記憶される。
＜ステップＳ１０５＞
Nを公開する。即ち、合成数記憶部４３６に格納された合成数Nを、通信部４３４及びネットワーク４７０を通じて送信可能とする。
＜ステップＳ１０６＞
秘密鍵生成部４３７において、合成数記憶部４３６から合成数Ｎを抽出し、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてｓを適当に選ぶ。秘密鍵ｓは秘密鍵記憶部４３８に記憶される。

次に依頼装置４５０は以下の処理を行う。
＜ステップＳ１１０＞
通信部４５１において、代理暗号装置４１０又は４２０より公開・送信された合成数Nを受信する。
＜ステップＳ１１１＞
秘密鍵生成部４５２において、通信部４５１から合成数Ｎを取得し、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてtを適当に選ぶ。秘密鍵ｔは秘密鍵記憶部４５３に送られ、そこに記憶される。
＜ステップＳ１１２＞
平文選択部４５４において、通信部４５１から合成数Ｎを取得し、０以上Ｎ未満の整数の中から平文ｍを選ぶ。
＜ステップＳ１１３＞
パラメータ決定部４５５において、自然数のパラメータdを決定する。
＜ステップＳ１１４＞
整数選択部４５６において、通信部４５１から合成数Ｎを受け取り、パラメータ決定部４５５からパラメータｄを受け取り、０以上Ｎ未満の整数の中からｄ個の適当な値ａ_ｉ(i=1,…,d)を選ぶ。
＜ステップＳ１１５＞
加減算部４５７において、平文選択部４５４から平文ｍを、通信部４５１から合成数Ｎを、パラメータ決定部４５５からパラメータｄを、整数選択部４５６から加算項ａ_iを、それぞれ受け取り、上述の式（１）に従い加算項ａ_０を算出する。

＜ステップＳ１１６＞
暗号化部４５８において、秘密鍵記憶部４５３から秘密鍵ｔを抽出し、加減算部４５７から加算項ａ_０を受け取り、整数選択部４５６から加算項ａ_iを受け取り、パラメータ決定部４５５からパラメータｄを受け取り、通信部４５１から合成数Ｎを受け取り、

に従い、暗号文Ｃを算出する。
＜ステップＳ１１７＞
通信部４５１及びネットワーク４７０を通じ、算出された暗号文Ｃを代理暗号装置４１０に送信する。

次に代理暗号装置４１０は以下の処理を行う。
＜ステップＳ１１８＞
通信部４１４において、暗号文Ｃを受信し、加減算部４２１に送る。
＜ステップＳ１１９＞
第３の実施の形態で述べた方法（パラメータ決定部４１９、多項式選択部４２０、加減算部４２１及び暗号化部４２２におけるステップＳ５８〜Ｓ６１と同様な処理）により、暗号文Cに対し、秘密鍵記憶部４１８の秘密鍵rを用いて暗号処理を行い、暗号文C’=f_C,r(X,Y)を生成する。
＜ステップＳ１２０＞
通信部４１４及びネットワーク４７０を通じ、生成された暗号文Ｃ’を依頼装置４５０に返信する。

次に依頼装置４５０は以下の処理を行う。
＜ステップＳ１２１＞
通信部４５１において、暗号文Ｃ’を受信する。
＜ステップＳ１２２＞
復号部４５９において、通信部４５１から暗号文Ｃ’を受け取り、秘密鍵記憶部４５３から秘密鍵ｔを抽出し、復号処理F(Y)=f_C,r(t^-1,Y)を行いF(Y)を得る。第３の実施の形態同様、F(Y)は平文mを秘密鍵rで暗号処理した暗号文

とみることができる。これにより依頼装置４５０は代理暗号装置４１０の秘密鍵ｒを用いて暗号処理した暗号文を得ることができた。

次に依頼装置４５０は以下の処理を行う。
＜ステップＳ１２３＞
秘密鍵生成部４６０において、通信部４５１から合成数Ｎを受け取り、０以上Ｎ未満でかつＮと互いに素な整数の中から、秘密鍵としてt'を適当に選ぶ。秘密鍵ｔ’は秘密鍵記憶部４６１に送られ、そこで記憶される。
＜ステップＳ１２４＞
パラメータ決定部４６２において、パラメータd’’を決定する。
＜ステップＳ１２５＞
多項式選択部４６３において、パラメータ決定部４６２からパラメータｄ’’を受け取り、通信部４５１から合成数Ｎを受け取って、０以上Ｎ未満の整数を各項の係数とする一変数ｄ’’次多項式の中から、d’’個の適当な多項式（「加算項」に相当）ｃ_ｉ(Ｙ)(i=1,…,d’’)を選ぶ。

＜ステップＳ１２６＞
加減算部４６４において、復号部４５９から暗号文Ｆ（Ｙ）を暗号化対象として受け取り、通信部４５１から合成数Ｎを受け取り、パラメータ決定部４６２からパラメータｄ’’を受け取り、多項式選択部４６３から加算項ｃ_ｉを受け取って、

に従い、加算項ｃ₀（Ｙ）を算出する。

＜ステップＳ１２７＞
暗号化部４６５において、秘密鍵記憶部４６１から秘密鍵ｔ’を抽出し、加減算部４６４から加算項ｃ₀（Ｙ）を受け取り、多項式選択部４６３から加算項ｃ_ｉ（Ｙ）を受け取り、パラメータ決定部４６２からパラメータｄ’’を受け取り、通信部４５１から合成数Ｎを受け取り、

に従い、暗号文Ｃ’’を算出する。
＜ステップＳ１２８＞
算出された暗号文Ｃ’’は、通信部４５１及びネットワーク４７０を通じ、代理暗号装置４３０に送信される。

次に代理暗号装置４３０は、以下の処理を行う。
＜ステップＳ１２９＞
通信部４３４において、暗号文Ｃ’’を受信する。
＜ステップＳ１３０＞
パラメータ決定部４３９において、パラメータd’’’を決定する。
＜ステップＳ１３１＞
多項式選択部４４０において、パラメータ決定部４３９からパラメータｄ’’’を受け取り、合成数記憶部４３６から合成数Ｎを抽出し、０以上Ｎ未満の整数を各項の係数とする二変数ｄ’’’次多項式の中から、ｄ’’’個の適当な多項式（「加算項」に相当）ｅ_ｉ(Ｘ，Ｙ)（i=1,…,d’’’）を選ぶ。

＜ステップＳ１３２＞
加減算部４４１において、通信部４３４から暗号文Ｃ’’を受け取り、合成数記憶部４３６から合成数Ｎを抽出し、パラメータ決定部４３９からパラメータｄ’’’を受け取り、多項式選択部４４０から加算項ｅ_ｉ(Ｘ，Ｙ)を受け取って、

に従い、加算項ｅ_０(Ｘ，Ｙ)を算出する。
＜ステップＳ１３３＞
暗号化部４４２において、秘密鍵記憶部４３８から秘密鍵ｓを抽出し、加減算部４４１から加算項ｅ_０(Ｘ，Ｙ)を受け取り、多項式選択部４４０から加算項ｅ_ｉ(Ｘ，Ｙ)を受け取り、パラメータ決定部４３９からパラメータｄ’’’を受け取り、合成数記憶部４３６から合成数Ｎを抽出し、

に従い、暗号文Ｃ’’’を算出する。
＜ステップＳ１３４＞
算出された暗号文Ｃ’’’は、通信部４３４及びネットワーク４７０を通じ、依頼装置４５０に返信される。

次に、依頼装置４５０は以下の処理を行う。
＜ステップＳ１３５＞
通信部４５１において、暗号文Ｃ’’’を受信する。
＜ステップＳ１３６＞
復号部４６６において、通信部４５１から、暗号文Ｃ’’’を受け取り、秘密鍵記憶部４６１から秘密鍵ｔ’を抽出し、復号処理F’(Y,Z)=f_C’’,s(t^-1,Y,Z)を行い、復号結果Ｆ’(Ｙ，Ｚ)を得る。この復号結果Ｆ’（Ｙ，Ｚ）は、平文ｍを秘密鍵ｒで暗号処理した暗号文を、更に秘密鍵ｓで暗号処理した暗号文f_m,(r,s)(Y,Z) mod Z_N[Y,Z]とみることができる。

このように、本形態では、代理暗号装置を複数設け、秘密鍵、パラメータ及び加算項を、代理暗号装置ごとに独立して設定した。そして、代理暗号装置から依頼装置４５０に送信された暗号文の復号結果を、依頼装置４５０の暗号化対象とし、その暗号文の出力先となる代理暗号装置を変更しつつ、第３の実施の形態の処理を繰り返すこととした。これにより依頼装置４５０は、代理暗号装置４１０の秘密鍵ｒと代理暗号装置４３０の秘密鍵ｓを用いて暗号処理した多重暗号文を得ることができた。そして、この多重暗号文が代理暗号装置４１０、４３０の何れかに知られたとしても、各代理暗号装置４１０、４３０単独では、この代理暗号文から平文ｍを復号することはできない。これにより、安全性がより向上した。

なお、この例では代理暗号装置４１０、４３０が２つの場合を例に挙げたが、３つ以上の代理暗号装置がある場合でも、本質的に同じ手続きを繰り返すことで、多重に暗号化さ
れた暗号文を生成できる。
またＦ’(Y,Z)に対する復号処理は代理復号装置が行うことになるが、その順序は暗号処理の順序とは関係なく、どちらから行っても最終的にｍを得ることができる。

更に復号処理の際に第４の実施の形態を組み合わせることで、代理復号装置に平文を知られないようにすることができる。即ち、代理復号装置（「第２のセキュリティ装置」に相当）を複数設け、代理復号装置から依頼装置（「第１のセキュリティ装置」に相当）に送信された暗号文を復号した結果を、この依頼装置の暗号化対象とし、その暗号文の出力先となる代理復号装置を変更しつつ、第４の実施の形態の処理を繰り返すことにより、この効果を得ることができる。

〔第６の実施の形態〕
次に、本発明における第６の実施の形態について説明する。
本形態は、それぞれ秘密値を保有する複数の依頼装置が、自身の秘密値を他の依頼装置に明かす事無く、それら秘密値の調和平均を取得するものである。
図３０は、本形態のセキュリティシステム５００の全体構成を例示した図であり、図３１は、本形態のセキュリティ方法を説明するためのフローチャートである。

以下、これらの図を用いて、この形態の構成及び処理の説明を行う。なお、依頼装置５１１（「第２のセキュリティ装置」に相当）、代理暗号装置５２０（「第１のセキュリティ装置」に相当）、代理復号装置５３０（「第３のセキュリティ装置」に相当）が行う暗号処理や復号処理及び機能構成は、上述の実施の形態で説明したものと本質的に同様である。よって、本形態では、依頼装置５１１、代理暗号装置５２０、代理復号装置５３０の機能構成、処理の詳細については説明を省略する。

今、依頼装置５１１がＶ個（複数）あり、それぞれが秘密値（「提供値」に相当）ｍ_ｉ(i=1,…,V)を保有しているものとする。
このときｍ_ｉの調和平均Ｈは、

が格納されているものとする。

以下、本形態における処理を説明する。
＜ステップＳ１４０＞
まず各依頼装置５１１は、ネットワーク５４０を通じ、秘密値ｍ_ｉを代理暗号装置５２０に送信（出力）する。
＜ステップＳ１４１＞
代理暗号装置５２０において、各依頼装置５１１から送信された秘密値ｍ_ｉを受信する（入力を受け付ける）。
＜ステップＳ１４２＞
次に代理暗号装置５２０は、受信した各秘密値ｍ_ｉを暗号化対象として特定し、例えば、第１の実施の形態と同様な方法により、各秘密値ｍ_ｉに対応する複数の暗号文C_i=f_m,r(X) mod Z_N[X]を算出する。なお、暗号処理の手順については既に説明しているものと同様であるため、説明を省略する。

＜ステップＳ１４３＞
算出された全ての暗号文Ｃ_ｉは、ネットワーク５４０を通じ、各依頼装置５１１に返信（出力）される。
＜ステップＳ１４４＞
各依頼装置５１１は、全ての暗号文Ｃ_ｉを受信し（入力を受け付け）、全暗号文Ｃ_ｉを共有する。その後、各依頼装置５１１は、それぞれのメモリに格納されている上述の式（１３）（１４）で示される関数を抽出し、これらに暗号文Ｃ_ｉを代入する。即ち、

を計算する。
＜ステップＳ１４５＞
この算出結果M(C₁,…,C_V)及びM’(C₁,…,C_V)（「代入値」に相当）は、ネットワーク５４０を通じ、代理復号装置５３０に送信（出力）される。

＜ステップＳ１４６＞
代理復号装置５３０は、この算出結果M(C₁,…,C_V)及びM’(C₁,…,C_V)を受信し（入力を受け付け）、例えば、第１の実施の形態と同様な方法により、算出結果M(C₁,…,C_V)及びM’(C₁,…,C_V)を復号し（秘密鍵ｒを抽出し、算出結果M(C₁,…,C_V)及びM’(C₁,…,C_V)にｒ^-1を代入し）、調和平均を特定する値である平文M(m₁,…,m_V) mod N及びM’(m₁,…,m_V) mod Nを算出する。なお、復号処理の手順については既に説明しているものと同様であるため、説明を省略する。
＜ステップＳ１４７＞
代理復号装置５３０は、平文M(m₁,…,m_V) mod N及びM’(m₁,…,m_V) mod Nを、ネットワーク５４０を通じ、依頼装置５１１に返信（出力）する。

＜ステップＳ１４８＞
依頼装置５１１において、平文M(m₁,…,m_V) mod N及びM’(m₁,…,m_V) mod Nを受信し（入力を受け付け）、最終的にVM(m₁,…,m_V)/M’(m₁,…,m_V)=Hを計算することで調和平均を
得ることができる。
なお、この例では依頼装置５１１が、秘密値ｍ_ｉをそのまま代理暗号装置５２０に送ることとしたが、例えば第１の実施の形態と同様な方法により、依頼装置５１１が、秘密値ｍ_ｉを暗号化し、その暗号文を代理暗号装置５２０に送信することとしてもよい。これにより、依頼装置５１１は、代理暗号装置５２０に対しても秘密値ｍ_ｉを秘匿できる。

〔第７の実施の形態〕
次に、本発明における第７の実施の形態について説明する。
この形態は、関数の処理を秘匿とするものである。
図３２は、この形態におけるセキュリティシステム６００の全体構成を例示した図であり、図３３は、公知のコンピュータに所定のプログラムを実行させることにより構成される暗号装置６１０（「第１のセキュリティ装置」に相当）の機能構成を、図３４は多項式演算装置６２０（「第２のセキュリティ装置」に相当）の機能構成を、それぞれ例示した図である。また、図３５は、この形態におけるセキュリティ方法を説明するためのフローチャートである。なお、暗号装置６１０における暗号処理や、復号装置６３０（「第３のセキュリティ装置」に相当）における復号処理は、第１の実施の形態等で説明したものと同様であるため、ここではその詳細を省略する。

今g(x,y)=axy+bx+cy+dを、０又は１を入力としたとき０又は１を返すような関数とする。このとき例えば(a,b,c,d)=(1,0,0,0)であれば、g(x,y)はANDゲートを表す関数であり、(1,-1,-1,1)、(-2,1,1,0)であれば、それぞれNORゲート、XORゲートを表す関数である。即ち、本形態の暗号アルゴリズムを用いてg(x,y)の各項の係数を暗号化することで、関数の処理を秘匿とすることができる。
ここでは具体的に関数

を知ること無しに、関数gの処理を実行する方法について説明する。

暗号装置６１０は以下の処理を行う。
＜ステップＳ１５０＞
論理ゲート入力部６１１において、上述の式（１５）の入力（「論理ゲートを特定する情報」の入力）を受け付ける。
＜ステップＳ１５１＞
まず、暗号化部６１２において、論理ゲート入力部６１１から、論理ゲート（x₁∩x₂）を特定する情報を受け取る。次に、この論理ゲートを多項式表現した場合の各係数を暗号化対象として特定し、例えば第１の実施の形態と同様な方法により、これら各係数の暗号文f_1,r(X)、f_0,r(X)、f_0,r(X)、f_0,r(X)を算出する。そして、これら各暗号文を係数とした多項式関数x₅=g₁(X,x₁,x₂)=f_1,r(X)x₁x₂+f_0,r(X)x₁+f_0,r(X)x₂+f_0,r(X) mod Z_N[X,x₁,x₂]を生成する。

＜ステップＳ１５２＞
続いて、暗号化部６１２において、論理ゲート入力部６１１から、論理ゲート

を特定する情報を受け取る。次に、この論理ゲートを多項式表現した場合の各係数を暗号化対象として特定し、例えば第１の実施の形態と同様な方法により、これら各係数の暗号文f_2,r(X)、f_-1,r(X)、f_-1,r(X)、f_1,r(X)を算出する。そして、これら各暗号文を係数とした多項式関数x₆=g₂(X,x₃,x₄)=f_2,r(X)x₃x₄+f_-1,r(X)x₃+f_-1,r(X)x₄+f_1,r(X) mod Z_N[X,
x₃,x₄]を生成する。

＜ステップＳ１５３＞
さらに、暗号化部６１４において、論理ゲート入力部６１１から論理ゲート∩を特定する情報を受け取り、暗号化部６１２、６１３から、それぞれ多項式関数x₅,x₆を受け取る。次に、論理ゲートx₅∩x₆を多項式表現した場合の各係数を暗号化対象として特定し、例えば第１の実施の形態と同様な方法により、これら各係数の暗号文f_-1,r(X)、f_1,r(X)、f_1,r(X)、f_0,r(X)を算出する。そして、これら各暗号文を係数とした多項式関数g₃(X,x₅,x₆)=f_-1,r(X)x₅x₆+f_1,r(X)x₅+f_1,r(X)x₆+f_0,r(X) mod Z_N[X,x₅,x₆]を生成する。

なお上述のf_α,β(x)は、第１の実施の形態同様、本発明の暗号アルゴリズムにより、平文αを秘密鍵βで暗号処理した暗号文である。また、この例では１２個の暗号文が生成・公開されるため、安全性を考慮し、パラメータｄをd=12+1=13としておく。また、暗号装置６１０では、例えばf_0,r(x)が複数生成されているが、同じ平文（この場合平文は０）であっても暗号文は確率的であり一般に異なる（上述の式（１）参照。加算項の取り方によって暗号文が異なるため。）。

＜ステップＳ１５４＞
暗号化部６１２、６１３、６１４で算出された多項式関数g₁(X,x₁,x₂),g₂(X,x₃,x₄),g₃(X,x₅,x₆)は、例えばその処理コード（多項式関数の演算プログラム）と共に、それぞれ通信部６１５及びネットワーク６４０を通じ、多項式演算装置６２０に送信（出力）される。

次に、多項式演算装置６２０は以下の処理を行う。なお、この例では、関数g(x₁,x₂,x₃,x₄)への代入値を(x₁,x₂,x₃,x₄)=(0,1,1,1)とする場合を例に採って説明する。
＜ステップＳ１５５＞
通信部６２１において、多項式関数g₁(X,x₁,x₂),g₂(X,x₃,x₄),g₃(X,x₅,x₆)、及びその処理コードを受信する（入力を受け付ける）。
＜ステップＳ１５６＞
代入値入力部６２２において、代入値(x₁,x₂,x₃,x₄)=(0,1,1,1)の入力を受け付ける。

＜ステップＳ１５７＞
まず、受け取った処理コードに従い、代入演算部６２３において、通信部６２１から多項式関数g₁(X,x₁,x₂)を受け取り、代入値入力部６２２から代入値(x₁,x₂)=(0,1)を受け取り、G₁=g₁(X,0,1)=f_0,r(X)+f_0,r(X) mod Z_N[X]を計算する（多項式関数g₁(X,x₁,x₂)の演算）。
＜ステップＳ１５８＞
次に、代入演算部６２４において、通信部６２１から多項式関数g₂(X,x₃,x₄)を受け取り、代入値入力部６２２から代入値(x₃,x₄)=(1,1)を受け取り、G₂=g₂(X,1,1)=f_2,r(X)+f_-1,r(X)+f_-1,r(X)+f_1,r(X) mod Z_N[X]を計算する（多項式関数g₂(X,x₃,x₄)の演算）。

＜ステップＳ１５９＞
続いて、代入演算部６２５において、通信部６２１から多項式関数g₃(X,x₅,x₆)を受け取り、代入演算部６２３、６２４から、それぞれ演算結果G₁及びG₂を受け取り、G₃(X)=g₃(X,G₁,G₂)=f_-1,r(X)G₁G₂+f_1,r(X)G₁+f_1,r(X)G₂+f_0,r(X) mod Z_N[X]を計算する（多項式関数g₃(X,x₅,x₆)の演算）。
＜ステップＳ１６０＞
算出された演算結果Ｇ_３は、通信部６２１及びネットワーク６４０を通じ、復号装置６３０に送信（出力）される。なお、この演算結果G₃(X)は、g(0,1,1,1)を秘密鍵ｒで暗号処理した３９次多項式からなる暗号文となっている。

次に復号装置６３０は以下の処理を行う。
＜ステップＳ１６１＞
演算結果G₃(X)を受信する（入力を受け付ける）。
＜ステップＳ１６２＞
入力された演算結果G₃(X)に、例えば第１の実施の形態と同様な手順により、秘密鍵ｒの逆数ｒ^-1を代入する。即ち、秘密鍵ｒを用いてG₃(X)を復号する。これにより、g(0,1,1
,1)を得ることができる。
なお、本実施の形態で示した方法の応用として、例えば、暗号装置６１０において、関数ｇの実行結果の一部に意図的な値が含まれるよう操作し、復号装置６３０が、復号結果に対してその意図的な値が含まれているかどうかチェックすることで、多項式演算装置６２０による改ざんを防止することができる。

〔第８の実施の形態〕
この形態は、暗号処理を行う代理暗号装置の処理正当性を検証するものである。なお、ここでの「処理正当性の検証」とは、適切な秘密鍵で処理を行っている旨の検証を意味する。
図３６は、本形態のセキュリティシステム７００の全体構成を例示した図である。また、図３７の（ａ）は、公知のコンピュータに所定のプログラムを実行させることにより実現される復号装置７１０（「第２のセキュリティ装置」に相当）の機能構成を、（ｂ）は検証装置７４０の機能構成を、それぞれ例示した図である。また、図３８は、この形態のセキュリティ方法を説明するためのフローチャートである。なお、暗号装置７３０（「第１のセキュリティ装置」に相当）の暗号処理や、復号装置７１０の復号処理は、例えば第１の実施の形態と同様であるため、その詳細は省略する。

以下、これらの図を用い、本形態における機能構成及び処理について説明を行う。
まず復号装置７１０は以下の処理を行う。
＜ステップＳ１７０＞
素数生成部７１８において、相異なる大きな素数ｐ,ｑを生成し、合成数生成部７１９に送る。合成数生成部７１９は、合成数N=pq,N²=p²q²を算出し、合成数記憶部７２０に記憶させる。
＜ステップＳ１７１＞
初期値決定部７１３において、合成数記憶部７２０から合成数Ｎ,Ｎ²を抽出し、Ｚ_Ｎ ²の元で位数がＮとなる初期値ｇ₀を決定する。なお、「Ｚ_Ｎ ²」の添え字はＮ^２を意味している。

＜ステップＳ１７２＞
次に、指数演算部７１４において、パラメータ記憶部７２２から自然数のパラメータｄを抽出し、秘密鍵記憶部７１２から秘密鍵ｒを抽出し、i=1,…,dについて、公開値g_iを

に従って算出する。算出された公開値g_iは、公開値記憶部７１５に送られ、そこで記憶される。
＜ステップＳ１７３＞
公開値g_iを公開する。即ち、公開値記憶部７１５に記憶された公開値g_iを、通信部７１１及びネットワーク７５０を通じ、検証装置７４０に送信とする（出力する）。

＜ステップＳ１７４＞
ゼロ知識証明部７１６において、乱数生成部７２１で生成された乱数を受け取り、合成数記憶部７２０から合成数Ｎ,Ｎ²を抽出し、公開値記憶部７１５から公開値g_iを抽出し、秘密鍵記憶部７１２から秘密鍵ｒを抽出し、通信部７１１及びネットワーク７５０を通じ、秘密鍵ｒを知っていることのゼロ知識証明を行う（ゼロ知識証明情報（レスポンス等）を出力する）。なお、ゼロ知識証明については、例えば、「D. Chaum and T. P. Pedersen, “Wallet databases with observers,” E. Brickell (Ed.), Advanes in Cryptology-CRYPTO ’92, LNCS 740, Springer-Verlag, pp. 89-105,1993.」に詳しいため、ここでは説明を省略する。

次に暗号装置７３０は以下の処理を行う。
＜ステップＳ１７５＞
例えば、第１の形態と同様な手順により、暗号文f_m,r(X)を計算する。
＜ステップＳ１７６＞
暗号文f_m,r(X)を公開する。即ち、暗号文f_m,r(X)を、ネットワーク７５０を通じ、復号装置７１０及び検証装置７４０に送信（出力）可能とする。

次に復号装置７１０は以下の処理を行う。
＜ステップＳ１７７＞
通信部７１１において、暗号文f_m,r(X)を受信する。
＜ステップＳ１７８＞
復号部７１７において、通信部７１１から暗号文f_m,r(X)を受け取り、秘密鍵記憶部７１２から秘密鍵ｒを抽出し、第１の実施の形態と同様な手順によりf_m,r(r^-1)=mを計算する。
＜ステップＳ１７９＞
次に、このｍ（「暗号化対象」に相当）を、通信部７１１及びネットワーク７５０を通じて検証装置７４０に送信（出力）する。

次に検証装置７４０は以下の処理を行う。
＜ステップＳ１８０＞
通信部７４１において、公開値g_i(i=1,…,d)、暗号文f_m,r(X)及び暗号化対象mを受信する（入力を受け付ける）。
＜ステップＳ１８１＞
次に、検証部７４２において、通信部７４１から公開値g_i(i=1,…,d)、暗号文f_m,r(X)及び暗号化対象mを受け取り、暗号文f_m,r(X)の各係数をc₀,…,c_dとした場合における、

が成立しているか否かを判断し、成立していれば処理が正当であると判断する。これにより、暗号装置７３０が正当な秘密鍵ｒ以外の秘密鍵で暗号処理を行った事実を検知することができる。即ち、適切な秘密鍵ｒが使用された場合、暗号文はf_m,r(X)=a_dr^dX^d+a_d-1r^d-1X^d-1+…+a₁rX+a₀mod Z_N[X]となり、(c₀,c₁,…,c_d-1,c_d)=(a₀,a₁r,…,a_d-1r^d-1,a_dr^d)となる。そのため、上述の式（１７）の右辺は、

となる。これは、秘密鍵ｒ以外の秘密鍵を用いて暗号化された場合には、一般に成立しない関係である。

この形態の変形例として、図３７の（ａ）の機能構成を暗号装置７３０に設け、ステップＳ１７０〜１７４の処理を暗号装置７３０に行わせることとしてもよい。この場合、復号装置７１０が正当な秘密鍵ｒ以外の秘密鍵で復号処理を行った事実を検知することができる。

なお、この発明は上述の各実施の形態に限定されるものではない。例えば、上述の各実
施の形態では、何れかの装置が素数を生成し、その積によって合成数を生成することとしたが、全装置が協力し、素因数が未知の合成数を生成することとしてもよい。この具体的手法については、例えば、「D. Boneh and M. Franklin, “Efficient generation of shared RSA keys,” B. S. Kaliski Jr. (Ed.), Advces in Cryptology-CRYPTO ’97, LNCS
1233, Springer-Verlag, pp. 425-439, 1997.」や、その改良である「I. Damgard and M. Koprowski, “Practical threshold RSA signatures without a trusted dealer,” B.
Pfitzmann (Ed.), Advanced in Cryptology-EUROCRYPT ’01, LNCS 2045, Springer-Verlag, pp. 152-165, 2001.」に詳しい。

また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。さらに、本明細書においてシステムとは、複数の装置の論理的集合構成であり、各構成の装置が同一筐体内にあるものには限らない。
さらに、上述の各実施の形態ではコンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
また、上述した本発明のセキュリティ装置をコンピュータによって実現する場合、その装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能が実現される。

また、この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

なお、上記のプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）をも含むものとする。

本発明の産業上の利用分野としては、上述の実施の形態で説明したものの他、例えば、
ＭＡ(Mobile Agent)の分野を挙げることができる。ＭＡとは、通常、あるホストから別のホストへ自律的に移動して情報取得、判断、実行等の各種処理を行うプログラムのことを指す。このＭＡの普及を妨げる最も深刻な問題として、ＭＡへの不正解析や実行結果の改ざんが挙げられる。しかし、本発明の技術により、ＭＡの内容や、処理結果を秘匿できるため、このＭＡのセキュリティ問題を効果的に解決することができる。

第１の実施の形態のセキュリティシステムの全体構成を例示した図。 暗号装置の機能構成を例示した図。 （ａ）は外部機関装置の機能構成を、（ｂ）は復号装置の機能構成を、それぞれ例示した図。 第１の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第２の実施の形態のセキュリティシステムの全体構成を例示した図。 依頼装置の機能構成を例示した図。 代理演算装置の機能構成を、それぞれ例示した図。 第２の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第３の実施の形態のセキュリティシステムの全体構成を例示した図。 依頼装置の機能構成を例示した図。 代理暗号装置の機能構成を例示した図。 第３の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第３の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第３の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第４の実施の形態のセキュリティシステムの全体構成を例示した図。 依頼装置の機能構成を例示した図。 代理復号装置の機能構成を例示した図。 第４の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第４の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第５の実施の形態のセキュリティシステムの全体構成を例示した図。 代理暗号装置の機能構成を例示した図。 代理暗号装置の機能構成を例示した図。 依頼装置の機能構成を例示した図。 依頼装置の機能構成を例示した図。 第５の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第５の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第５の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第５の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第５の実施の形態におけるセキュリティ方法の処理手順を説明するためのフローチャート。 第６の実施の形態のセキュリティシステムの全体構成を例示した図。 第６の実施の形態のセキュリティ方法を説明するためのフローチャート。 第７の実施の形態におけるセキュリティシステムの全体構成を例示した図。 暗号装置の機能構成を例示した図。 多項式演算装置の機能構成を例示した図。 第７の実施の形態におけるセキュリティ方法を説明するためのフローチャート。 第８の実施の形態のセキュリティシステムの全体構成を例示した図。 （ａ）は、復号装置の機能構成を、（ｂ）は検証装置の機能構成を、それぞれ例示した図。 第８の実施の形態のセキュリティ方法を説明するためのフローチャート。

符号の説明

１、１００〜７００ セキュリティシステム
１０、２１０ 外部機関装置
２０、６１０、７３０ 暗号装置
３０、６３０、７１０ 復号装置
１１０、２２０、３１０、４５０、５１１ 依頼装置
１３０ 代理演算装置
２３０、３５０、４１０、４３０、５２０、５３０ 代理暗号装置
３３０ 代理復号装置
６２０ 多項式演算装置
７４０ 検証装置

Claims (17)

1. 暗号処理を行うセキュリティ方法であって、
   第１のセキュリティ装置において、
   合成数Nを抽出し、
   Nと互いに素な０以上N未満の整数である第１の秘密鍵ｒを抽出し、
   暗号化対象ｍを特定し、
   自然数の第１のパラメータｄを決定し、
   

   

   を満たす加算項ａ_ｉ（ｉ＝０,…,ｄ）を選択し、
   第１の暗号文Ｃを、
   

   

   に従って算出する、
   ことを特徴とするセキュリティ方法。
2. 請求項１記載のセキュリティ方法であって、
   第２のセキュリティ装置において、
   上記第１の暗号文Ｃ＝ｆ_ｍ,ｒ(Ｘ)の入力を受け付け、
   上記第１の秘密鍵ｒを抽出し、
   上記第１の暗号文Ｃの復号結果f_m,r(r^-1) mod Nを算出する、
   ことを特徴とするセキュリティ方法。
3. 請求項１記載のセキュリティ方法であって、
   第２のセキュリティ装置において、
   上記第１の暗号文Ｃ＝ｆ_ｍ,ｒ(Ｘ)の入力を受け付け、
   上記第１の暗号文Ｃを任意な多項式関数である代理演算関数に代入し、
   その代入結果Ｇ(Ｘ)を上記第１のセキュリティ装置に対して出力し、
   上記第１のセキュリティ装置において、
   上記代入結果Ｇ(Ｘ)の入力を受け付け、
   上記第１の秘密鍵ｒを抽出し、
   上記代入結果Ｇ(Ｘ)の復号結果G(r^-1)を算出する、
   ことを特徴とするセキュリティ方法。
4. 請求項１記載のセキュリティ方法であって、
   第２のセキュリティ装置において、
   上記第１の暗号文Ｃ＝ｆ_ｍ,ｒ(Ｘ)の入力を受け付け、
   上記合成数Nを抽出し、
   Nと互いに素な０以上N未満の整数である第２の秘密鍵ｔを抽出し、
   自然数の第２のパラメータｄ’を決定し、
   

   

   を満たす加算項ｂ_ｉ(Ｘ)（ｉ＝０,…,ｄ’）を選択し、
   第２の暗号文Ｃ’を、
   

   

   に従って算出し、
   上記第２の暗号文Ｃ’を上記第１のセキュリティ装置に対して出力し、
   上記第１のセキュリティ装置において、
   上記第２の暗号文Ｃ’の入力を受け付け、
   上記秘密鍵ｒを抽出し、
   上記第２の暗号文Ｃ’の復号結果f_C,t(r^-1,Y)を算出する、
   ことを特徴とするセキュリティ方法。
5. 復号処理を行うセキュリティ方法であって、
   第１のセキュリティ装置において、
   合成数Nを抽出し、
   Nと互いに素な０以上N未満の整数である第１の秘密鍵ｒを抽出し、
   自然数のパラメータｄを決定し、
   第１の暗号文Ｆ(Ｙ)を抽出し、
   

   

   を満たす加算項ｂ_ｉ(Ｙ)（ｉ＝０,…,ｄ）を選択し、
   第２の暗号文Ｃを、
   

   

   に従って算出し、
   上記第２の暗号文Ｃを第２のセキュリティ装置に対して出力し、
   上記第２のセキュリティ装置において、
   上記第２の暗号文Ｃの入力を受け付け、
   Nと互いに素な０以上N未満の整数である第２の秘密鍵ｔを抽出し、
   第１の復号結果F’(Z)=f_F(Y),r(t^-1,Z)を算出し、
   上記第１の復号結果F’(Z)を上記第１のセキュリティ装置に対して出力し、
   上記第１のセキュリティ装置において、
   上記第１の復号結果F’(Z)の入力を受け付け、
   上記第１の秘密鍵ｒを抽出し、
   第２の復号結果F’(r^-1)を算出する、
   ことを特徴とするセキュリティ方法。
6. 請求項４記載のセキュリティ方法であって、
   上記第２のセキュリティ装置は複数であり、
   上記第２の秘密鍵、上記第２のパラメータ、及び上記加算項は、上記第２のセキュリティ装置ごとに独立して設定され、
   上記復号結果を、上記第１のセキュリティ装置の暗号化対象とし、
   その暗号文の出力先となる上記第２のセキュリティ装置を変更しつつ、請求項４記載の処理を繰り返す、
   ことを特徴とするセキュリティ方法。
7. 請求項５記載のセキュリティ方法であって、
   上記第２のセキュリティ装置は複数であり、
   上記第２の復号結果を、上記第１のセキュリティ装置の暗号化対象とし、
   その暗号文の出力先となる上記第２のセキュリティ装置を変更しつつ、請求項５記載の処理を繰り返す、
   ことを特徴とするセキュリティ方法。
8. 請求項１記載のセキュリティ方法であって、
   複数の第２のセキュリティ装置において、
   それぞれの提供値を上記第１のセキュリティ装置に対して出力し、
   上記第１のセキュリティ装置において、
   上記提供値の入力を受け付け、
   入力された上記提供値を上記暗号化対象ｍとして特定し、
   それぞれの上記暗号化対象ｍに対応する複数の上記暗号文Ｃを算出し、
   算出した全ての上記暗号文Ｃを上記第２のセキュリティ装置に対して出力し、
   上記第２のセキュリティ装置において、
   全ての上記暗号文Ｃの入力を受け付け、
   上記暗号文Ｃを、上記提供値の調和平均を算出するための関数に代入し、
   その代入値を第３のセキュリティ装置に対して出力し、
   上記第３のセキュリティ装置において、
   上記代入値の入力を受け付け、
   上記秘密鍵ｒを抽出し、
   上記代入値にｒ^−１を代入して調和平均を特定する値を算出し、
   上記調和平均を特定する値を上記第２のセキュリティ装置に対して出力し、
   上記第２のセキュリティ装置において、
   上記調和平均を特定する値の入力を受け付け、
   この調和平均を特定する値を用いて調和平均を算出する、
   ことを特徴とするセキュリティ方法。
9. 請求項１記載のセキュリティ方法であって、
   上記第１のセキュリティ装置において、
   論理ゲートを特定する情報の入力を受け付け、
   この論理ゲートを多項式表現した場合の各係数を上記暗号化対象ｍとして特定し、
   これら各係数の上記暗号文Ｃを算出し、
   各暗号文Ｃを係数とした多項式関数を生成し、
   生成した上記多項式関数を第２のセキュリティ装置に対して出力し、
   上記第２のセキュリティ装置において、
   上記多項式関数の入力を受け付け、
   上記多項式関数の演算を行い、
   この演算結果を第３のセキュリティ装置に対して出力し、
   上記第３のセキュリティ装置において、
   この演算結果の入力を受け付け、
   入力された演算結果にｒ^−１を代入する、
   ことを特徴とするセキュリティ方法。
10. 請求項２記載のセキュリティ方法であって、
    上記第１のセキュリティ装置或いは上記第２のセキュリティ装置の何れか一方において、
    合成数Ｎ,Ｎ^２を抽出し、
    ０以上Ｎ^２未満であって位数がＮとなるｇ₀を決定し、
    上記自然数のパラメータｄを抽出し、
    上記秘密鍵ｒを抽出し、
    i=1,…,dについて、
    

    

    に従って公開値g_iを算出し、
    公開値g_i(i=1,…,d)を検証装置に対して出力し、
    上記秘密鍵ｒを知っていることのゼロ知識証明情報を出力し、
    上記第１のセキュリティ装置において、
    算出した上記暗号文Ｃを上記検証装置に対して出力し、
    上記第２のセキュリティ装置において、
    算出した上記暗号化対象mを上記検証装置に対して出力し、
    上記検証装置において、
    上記公開値g_i(i=1,…,d)、上記暗号文Ｃ及び上記暗号化対象mの入力を受け付け、
    上記暗号文Ｃの各係数をc₀,…,c_dとした場合における、
    

    

    が成立しているか否かを判断し、成立していれば処理が正当であると判断する、
    ことを特徴とするセキュリティ方法。
11. 請求項１から１０の何れかに記載のセキュリティ方法であって、
    上記自然数のパラメータは、
    安全でない暗号通信を行うと予想される回数よりも大きな値である、
    ことを特徴とするセキュリティ方法。
12. 請求項１から１１の何れかに記載のセキュリティ方法であって、
    上記自然数のパラメータは、
    安全でない暗号通信を行った回数に自然数を加算した値である、
    ことを特徴とするセキュリティ方法。
13. 請求項１から１２の何れかに記載のセキュリティ方法であって、
    上記合成数Ｎは、
    上記セキュリティ装置以外の外部機関装置において生成される、
    ことを特徴とするセキュリティ方法。
14. 請求項１から１３の何れかに記載のセキュリティ方法であって、
    上記合成数Ｎは、
    複数の装置でそれぞれ生成された合成数の積である、
    ことを特徴とするセキュリティ方法。
15. 暗号化処理を行うセキュリティ装置であって、
    合成数Nを抽出する合成数抽出手段と、
    Nと互いに素な０以上N未満の整数である秘密鍵ｒを抽出する秘密鍵抽出手段と、
    暗号化対象ｍを特定する暗号化対象特定手段と、
    自然数のパラメータｄを決定するパラメータ決定手段と、
    

    

    を満たす加算項ａ_ｉ（ｉ＝０,…,ｄ）を選択する加算項選択手段と、
    暗号文Ｃを、
    

    

    に従って算出する暗号化手段と、
    を有することを特徴とするセキュリティ装置。
16. 復号処理を行うセキュリティ装置であって、
    暗号文の入力を受け付ける暗号文入力手段と、
    秘密鍵ｒを抽出する秘密鍵抽出手段と、
    上記暗号文にｒ^-1を代入する復号手段と、
    を有することを特徴とするセキュリティ装置。
17. コンピュータに、請求項１から１４の何れかに記載されたセキュリティ方法の手順を実行させるためのセキュリティプログラム。

Images