JP2007336181A - 透かし埋め込み処理方法及びシステム、並びにプログラム - Google Patents

Abstract

【課題】透かし埋め込み関数、コンテンツなどを秘匿したまま透かし埋め込みを可能とする。
【解決手段】サービス提供者装置は透かし埋め込み関数Ａ（・，・）を保持し、顧客装置はコンテンツＣ、透かし情報Ｉを保持する。Ａ（・，・）はＣ，Ｉを入力として、ＣにＩを埋め込んだ透かし入りコンテンツＣ′＝（Ｃ，Ｉ）を出力する関数とする。サービス提供者装置は事前処理としてＡ（・，・）をＢ（・，・）に変換する。Ｂ（・，・）は、Ｃ，Ｉを入力してもＣ′を得ることができないが、Ｃ~，Ｉを入力すると、Ｃ′を出力する関数とする。サービス提供者装置は、顧客装置から透かし埋め込み依頼があるとＢを顧客装置に送信する。以降、両者の間で２パーティプロトコルを実行し、顧客装置は、サービス提供者装置にＣを知られることなくＣ~を得、Ｂ（・，・）にＣ~，Ｉを入力してＣ′＝Ｂ（Ｃ~，Ｉ）を実行する。
【選択図】図１

Description

本発明は、情報セキュリティの技術分野に関し、特に暗号技術を応用し、透かしアルゴリズムやコンテンツ、透かし情報などを秘匿したまま透かし埋め込みを可能とする技術に関する。

電子透かしは、透かしアルゴリズムや透かし埋め込み時に必要な鍵情報を知られると、透かしの改ざんや消去といった攻撃を受ける危険性がある。そのため、従来は透かしアルゴリズムを独自開発した機関（センタ；サービス提供者）が透かし埋め込み／検証プログラムを保持し、透かし埋め込み／検出依頼者（クライアント；顧客）に代わって実行するものが多い。しかしながら、コンテンツなどを秘匿したまま透かし埋め込みを可能とする技術は提案されていないのが現状である。

従来、目的が類似する技術としては、暗号化された透かし入りコンテンツを復号することなく透かしの検出を可能とするものがある（例えば、非特許文献１）。これはセンタ依頼型（透かし埋め込みの演算ロジック等の秘密情報を保持するセンタが、クライアントに代わって透かしの埋め込みや検出を行う方式）によるパッチワークを用いた透かし方式に対して、準同型暗号と呼ばれる暗号方式を用いて透かし入りコンテンツを暗号化したまま当該コンテンツに対して演算を施し、更にゼロ知識証明技術を用いて処理正当性を証明することで、透かし入りコンテンツをセンタに対して秘匿したまま透かしの検出を可能としている。

古川 潤："安全な識別データ検出方法"，暗号と情報セキュリティシンポジウム（SCIS2002）予稿集，pp．769−774，2002．

電子透かしの用途として、例えば、企業等において電子化された社内秘情報に対して、印刷する際に印刷実行者の識別子を透かし情報としてハードコピーに埋め込むようにし、当該ハードコピーまたはそのコピーが外部に漏洩した際には、当該印刷実行者を透かし検出により特定して責任の所在を明らかにするといった用途が挙げられる。

このような透かし埋め込みをサービスとして提供する事を考えると、その実現には次の２つの形態が考えられる。
（ｉ）サービス提供者は顧客から現コンテンツを受け取り、透かし埋め込みを行った後、透かし入りコンテンツを顧客に返す。
（ii）サービス提供者は顧客に透かし埋め込み機能を販売し、顧客が透かし埋め込みを行えるようにする。

顧客にとっては、透かし埋め込みを行うコンテンツ毎に埋め込み処理を依頼することになる（ｉ）よりも（ii）が望ましいと思われるが、これらの方法に対して、それぞれ次のような問題がある。

（ｉ）のサービス提供者に透かし埋め込みを依頼する場合には、顧客はサービス提供者に透かし情報を埋め込みたいコンテンツを渡す事になり、サービス提供者からの情報漏洩の恐れがある。つまり、サービス提供者に透かし埋め込みを依頼する形態においては、サービス提供者に対するコンテンツ秘匿が課題となる。

（ii）の透かし埋め込みを顧客自身が行う場合には、顧客に悪意があれば、購入した透かし埋め込みアルゴリズム（プログラム）を解析して演算ロジックや秘密鍵等の秘密情報を不正に取得し透かしの改ざんや除去といった問題が生じる。つまり透かし埋め込み機能を顧客に渡す形態においては、その安全性保持が課題となる。

本発明は、暗号技術を利用して、顧客には透かし埋め込みアルゴリズムなどを知られずに、かつ、サービス提供者にはコンテンツなどを知られずに、顧客は透かし入りコンテンツを得ることができる透かし埋め込み処理方法及びシステム、並びにそのためのプログラムを提供することにある。

本発明の基本原理を説明する。顧客装置はコンテンツＣ及び透かし情報Ｉを保持し、サービス提供者装置は透かし埋め込み関数Ａ（・，・）を保持しているものとする。ここでＡ（・，・）は、Ｃ，Ｉを入力とし、ＣにＩを埋め込んだ透かし入りコンテンツＣ′＝Ａ（Ｃ，Ｉ）を出力する関数とする。

サービス提供者装置と顧客装置は協力して２パーティプロトコルを実行し、顧客装置に当該実行結果Ｃ′が出力されるようにして、サービス提供者装置はＣ，Ｃ′などを知ることなく顧客装置にＣ′を提供し、顧客装置はＡ（・，・）を知ることなくＣ′を得るようにする。

ここで、２パーティプロトコルとして文献「Ａ．Ｃ.Ｙao，“Ｐrotocols for secure computations，”Ｉn Ｐroc．of the 23rd IEEEＳymp．on Ｆoundations of Ｃomputer Ｓcience（ＦＯＣＳ′82），pp．160−164，IEEEＰress，1982．」で提案されている方法（以下、Ｙao方式と呼ぶ）を用いるとする。Ｙao方式は、ある与えられた計算回路に対して、“Ｇarbled Ｃircuit”と呼ばれる、当該回路の素子（ＡＮＤ，ＯＲ等）情報を秘匿（暗号化）したまま実行可能なものに変換することを特徴とする。従って、サービス提供者装置がＹao方式を用いてＡ（・，・）をＧarbled Ｃircuitに変換（暗号化）してやれば、顧客装置はＡ（・，・）のロジックを知ることなく、Ａ（・，・）と等しい結果が得られる処理を実行できるようになる。即ち、Ａ（・，・）を知ることなくＣ′を求めることができる。

１．サービス提供者装置は、事前処理として、Ｙao方式によってＡ（・，・）をＧarbled Ｃircuitに変換する。これをＢ（・，・）とする。ここで、Ｂ（・，・）は、Ｃ，Ｉを入力してもＣ′を得ることができないが、下記のＣ~，Ｉを入力すると、Ｃ′を出力する関数とする。すなわち、Ａ（・，・）とＢ（・，・）は以下の関係にあるとする。

２．顧客装置は、サービス提供者装置に透かし埋め込みの依頼をかける。
３．サービス提供者装置１００は、Ｂ（・，・）を顧客装置に送信する。
４．顧客装置とサービス提供者装置は、Ｙao方式のコア技術である“Ｏblivious Ｔransfer”を対話的に実行し、顧客装置は、サービス提供者装置にＣを知られることなく、Ｃの符号Ｃ~を得る。
５．顧客装置は、Ｂ（・，・）にＣ~，Ｉを入力してＢ（Ｃ~，Ｉ）を実行し、その実行結果Ｃ′（＝Ａ（Ｃ，Ｉ））を得る。

以上により、サービス提供者装置はＣ，Ｃ′を知ることなく顧客装置にＣ′を提供し、サービス提供者装置はＡ（・，・）を知ることなくＣ′を得ることができる。
なお、Ａ（・，・）とＢ（・，・）との関係は、次のようにすることも可能である。

このようにして、サービス提供者装置は、Ｃ′，ＩあるいはＣとＩを知ることなく、顧客装置にＣ′を提供することができる。

本発明によれば、センタ依頼型の電子透かし処理システムにおいて、デジタルコンテンツをセンタに対して秘匿したまま透かしの埋め込みを行うことができる。また透かし埋め込み関数Ａ（・，・）は特定されないため、本発明は汎用性が高いと言える。従って本発明は、従来では電子透かし処理を外部機関に依頼する際に生じていたコンテンツの漏洩リスクを回避するための有効な手段に成り得る。

以下、本発明の二、三の実施の形態について図面を用いて詳細に説明する。
［第１の実施の形態］
透かし埋め込み関数Ａ（・，・）全体をＧarbled Ｃircuitに変換した場合、Ｇarbled Ｃircuitは、計算回路における素子（ＡＮＤ，ＯＲ等）の実行回数に比例した規模の手続きが必要となるため、透かし埋め込み関数に適用する場合は全体の手続きが莫大になるものと予想される。そこで、本実施の形態では、透かし埋め込み関数の一部の手続きだけを２パーティプロトコルで実行するようにして、２パーティプロトコルの実行範囲を削減可能とする方法を提供するものである。

図１に本実施の形態のシステム構成を示す。図１において、サービス提供装置１００と顧客装置２００は通信路３００を介して接続され、顧客装置１００はコンテンツＣ及び透かし情報Ｉを保持し、サービス提供者装置１００は透かし埋め込み関数Ａ（・，・）を保持しているととする。

図２は本実施の形態の処理フローを示している。ここで、Ａ（・，・）は、Ｃ，Ｉを入力とし、ＣにＩを埋め込んだ透かし入りコンテンツＣ′＝Ａ（Ｃ，Ｉ）を出力する関数とする。また、Ａ（・，・）に含まれる秘密情報の集合をＳとする。Ｓの要素としては、透かし埋め込みに必要な秘密鍵や、保護したい演算モジュール等が挙げられる。
１．サービス提供者装置１００は、事前処理として以下の処理を行う。
（ａ）Ａ（・，・）を計算するために必要な手続きを
・Ｓに非依存のもの（該当する手続きの集合をＰ＝｛Ｐ₁，Ｐ₂，…｝とする）
・Ｓに依存、Ｃに非依存のもの（該当する手続きの集合をＱ＝｛Ｑ_ｌ，Ｑ₂，…｝とする）
・Ｓ，Ｃともに依存するもの（該当する手続きの集合をＴ＝｛Ｔ_ｌ，Ｔ₂，…｝とする）
に分類する。ここで、Ｐ_i，Ｑ_i，Ｔ_i（ｉ＝１，２，・・・）の手続きの単位は任意とする。
（ｂ）各Ｔ_iについて、Ｔ_iの入出力をそれぞれＩ_i，Ｏ_iとした時、Ｉ_i，Ｏ_iからＳの情報を有意に得ることが困難であり、かつＯ_iがＳに非依存であるとみなせばＰに属するような手続きＴ_jが存在する時、Ｔ_jをＴからＰに変更する。
（ｃ）各Ｔ_iについて、Ｔ_iの入出力をそれぞれＩ_i，Ｏ_iとした時、Ｉ_i，Ｏ_iからＣの情報を有意に得ることが困難であり、かつＯ_iがＣに非依存であれるとみなせばＱ（またはＰ）に属するような手続きＴ_jが存在する時、Ｔ_jをＴからＱ（またはＰ）に変更する

以上の準備の下、以下の規則に従って顧客装置２００及びサービス提供者１００が対話的に実行することで、顧客装置２００は透かし入りコンテンツＣ′＝Ａ（Ｃ，Ｉ）を得る。
２．顧客装置２００は、透かし情報Ｉをサービス提供者装置１００に送信することで透かし埋め込みの依頼をかける。
３．サービス提供者装置１００は、手続きＰを顧客装置２００に送信する。

４．顧客装置２００はＰ_iの入力Ｉ_iを得たときＰ_iを実行し、出力Ｏ_iを得る。Ｏ_iがＱまたはＴの要素の入力であればサービス提供者装置１００にＯ_iを送信する。
５．サービス提供者装置１００はＱ_jの入力Ｉ_jを得たときＱ_jを実行し、出力Ｏ_jを得る。Ｏ_jがＰまたはＴの要素の入力、または何れの入力でもない場合（＝最終出力）であれば、顧客装置２００にＯ_jを送信する。
６．顧客装置２００及びサービス提供者装置１００はＴ_kの入力Ｉ_kを得たとき２パーティプロトコルを実行し、その出力Ｏ_kが、Ｐの要素の入力または何れの入力でもない場合であれば顧客装置２００に出力されるようにし、Ｑの要素の入力であればサービス提供者装置１００に出力されるようにし、Ｔの要素の入力であれば双方に出力されるようにする。

以下に、Ｔ_iを２パーティプロトコルで実行する具体的手続きについて、一例としてＹao方式とＧoldreich et al方式を用いる例を示す。なお、Ｇoldreich et al方式は文献「Ｏ．Ｇoldreich，Ｓ．Ｍicali，and Ａ．Ｗigderson，“Ｈow to Ｐlay Ａny Ｍental Ｇame，or ａ Ｃompletness Ｔheorem for Ｐrotocols with Ｈonest Ｍajority，“Ｐroc．of ＳＴＯＣ，pp．218-229，1987．」に記載されている。

［Ｔ_iをＹao方式の２パーティフロトコルで実行する例］
サービス提供者装置１００はＴ_iを、顧客装置２００はＴ_iの入力Ｉ_iをそれぞれ秘密に保持し、顧客装置２００がＴ_iの出力Ｏ_iを得る例について説明する。
先ずサービス撮供者装置１００はＴ_iを論理回路で表現した手続きに変更する。ここで具体例として、Ｔ_iは図３で示すような単純な論理回路処理と等価であるとする。即ち、ｇ₁（・，・），ｇ₂（・，・），ｇ₃（・，・）をそれぞれ２ビット入力の論理積、論理和、排他的論理和を示す論理式としたとき、Ｉ_i＝（b₁，b₂，ｂ₃，ｂ₄）（ｂ_iは１ビット値）、Ｏ_i＝ｇ₃（ｇ₁（b₁，b₂），ｇ₂（ｂ₃，ｂ₄））が成り立つ。このとき、サービス提供者装置１００は以下を行う。
１．ｕ＝１，・・・，６，ｖ＝０，１について、ｋビットの乱数Ｗ_u ^vを生成する。ここで、ｋはセキュリティパラメータ（例えばｋ＝１６０が実用的な値となる）とする。
２．ｗ＝１，２，３について、｛０，１｝から｛０，１｝に写す置換関数π_wを決定する。
３．以下の４データから成るテーブルＴable１を作成して適当な順序に並び替え、これをｇ_ｌ（・，・）に割り当てる。

ここでＨは任意長のデータをｋ＋１ビットデータに写す一方向性ハッシュ関数、「‖」はデータの連結を表すものとする。
４．以下の４データから成るテーブルＴable２を作成して適当な順序に並び替え、これをｇ₂（・，・）に割り当てる。

５．以下の４データから成るテーブルＴable３を作成して適当な順序に並び替え、これをｇ₃（・，・）に割り当てる。

６．Ｔable１，２，３を顧客装置２００に送信する。

次にサービス提供者装置１００と顧客装置２００は１-out-of-２紛失通信（Ｏblivions Ｔransfer）を対話的に実行し、顧客装置２００はb₁，b₂，ｂ₃，ｂ₄にそれぞれ対応する（Ｗ₁ ^b1，π₁（b₁）），（Ｗ₂ ^b2，π₁（b₂）），（Ｗ₃ ^b3，π₂（b₃）），（Ｗ₄ ^b4，π₂（b₄））を得る。
ここで１-out-of-２紛失通信の特徴として、b₁，b₂，ｂ₃，ｂ₄はサービス提供者装置１００に知られずに済み、かつ（Ｗ₁ ^1-b1，π₁（１−b₁）），（Ｗ₂ ^1-b2，π₁（１−b₂）），（Ｗ₃ ^1-b3，π₂（１−b₃）），（Ｗ₄ ^1-b4，π₂（１−b₄））は顧客装置に知られずに済む。以下で具体例として文献「Ｓ．Ｅveｎ，Ｏ．Ｇoldreich，and Ａ．Ｌempel,“Ａ randomized protocol for conracts，”Ｃommunication of the ＡＣＭ，No．28，Vol．6，pp．637-647，1985．」の１-out-of-２紛失通信を用いて（Ｗ₁ ^b1，π₁（b₁））を得る手続きを説明する。
１．サービス提供者装置１００は公開鍵暗号の秘密鍵、公開鍵の組（Ｓ，Ｐ）を決定し、Ｎビットの乱数ｒ₀，ｒ₁を生成し、（Ｐ，ｒ₀，ｒ₁）を顧客装置２００に送信する。ここでＮはセキュリティパラメータとする。
２．顧客装置２００はｎビットの乱数ｘを生成する。ここでｎはセキュリティパラメータとする。
３．顧客装置２００はＰを用いてｘの暗号文Ｅnc（ｘ）を計算し、ｑ＝Ｅnc（ｘ）＋ｒ_b1 modＮをサービス提供者装置１００に送信する。
４．サービス提供者装置１００はＳを用いてｑ−ｒ₀及びｑ−ｒ₁を復号し、復号結果ｙ₀，ｙ₁を得る。
５．サービス提供者装置１００はｃ₀＝（Ｗ₁ ⁰，π₁（0））＋ｙ₀ modｎ，ｃ₀＝（Ｗ₁ ¹，π₁（1））＋ｙ₁ modｎを計算し、（ｃ₀，ｃ₁）を顧客装置２００に送信する。
６．顧客装置２００は（Ｗ₁ ^b1，π₁（ｂ₁））を得る。

（Ｗ₁ ^b1，π₁（b₁）），（Ｗ₂ ^b2，π₁（b₂）），（Ｗ₃ ^b3，π₂（b₃）），（Ｗ₄ ^b4，π₂（b₄））を得た顧客装置は、最終的に以下を行うことでＯ_iを得る事ができる。

［Ｔ_iをＧoldreich et al．方式の２パーティプロトコルで実行する例］
サービス提供者装置１００、顧客装置２００はＴ_iの入力Ｉ_i，Ｉ_i′をそれぞれ秘密に保持し、各装置がＴ_iの出力Ｏ_iの断片ｚ₁，ｚ₂を得る例について説明する。ここで、断片ｚ₁，ｚ₂はＯ_i＝ｚ₁＋ｚ₂を満たす値とし、各装置は何れか一方の断片のみ得る事ができる。
先ずサービス提供者装置１００はＴ_iを否定と論理積の組み合わせによって構成れる論理回路で表現した手続きに変更する。ここで具体例として、Ｔ_iは図４で示すような単純な論理回路処理と等価であるとする。即ち、ｇ₁（・，・），ｇ₂（・，・），ｇ₃（・，・）を２ビット入力の論理積、ｇ₄（・）を否定（ビット反転）を示す論理式としたとき、Ｉ_i＝（ｂ₁，ｂ₃），Ｉ_i′＝（ｂ₂，ｂ₄）（ｂ₁は１ビット値），Ｏ_i＝ｇ₃（ｇ₁（（ｂ₁，ｂ₂），ｇ₄（ｇ₂（（ｂ₃，ｂ₄））が成り立つ。

次に以下の手順でｇ₁（ｂ₁，ｂ₂）＝ｂ₁ｂ₂の断片ｃ₃，ｄ₃を計算する。
１．サービス提供者装置１００は以下を行う。
（ａ）乱数ビットｄ₁を生成して顧客装置２００に送信する。
（ｂ）ｃ₁＝ｂ₁＋ｄ₁ mod２を計算する。
２．顧客装置２００は以下を行う。
（ａ）乱数ビットｃ₂，ｅを生成してサービス提供者装置１００に送信する。
（ｂ）ｄ₂＝ｂ₂＋ｃ₂ mod２を計算する。
（ｃ）ｘ₀＝ｅ，ｘ₁＝ｄ₂＋ｅ mod２を計算する。
３．サービス提供者装置１００は顧客装置２００と１-out-of-２紛失通信を行い、ｘ_c1を得て、ｃ₃＝ｃ₁ｃ₂＋ｘ_c1＋ｃ₁ｄ₂ mod２を計算する。
４．顧客装置２００はｄ₃＝ｄ₁ｄ₂＋ｅ mod２を計算する。
これにより、サービス提供者装置１００、顧客装置２００はそれぞれｃ₃，ｄ₃を取得し、ｂ₁ｂ₂＝ｃ₃＋ｄ₃ mod２が成り立つことから、サービス提供者装置１００及び顧客装置２００はｂ₁ｂ₂の断片を得た事になる。

次に上記と同様の操作で、ｇ₂（（ｂ₃，ｂ₄）＝ｂ₃ｂ₄の断片ｃ₃，ｄ₃を計算する。これによりサービス提供者装置１００、顧客装置２００はそれぞれｃ₄，ｄ₄を得る。
次にｇ₄（ｇ₂（ｂ₃，ｂ₄）の断片ｃ₅，ｄ₅を計算する。これは単純に何れかの装置が自身の保持する断片をビット反転すれば良い。ここではサービス提供者装置１００がビット反転するものとする。即ち、サービス提供者装置１００はｇ₄（ｇ₂（ｂ₃，ｂ₄）の断片ｃ₅＝ｃ₄＋１ mod２を得る。顧客装置２００は値を変更せずｇ₄（ｇ₂（ｂ₃，ｂ₄）の断片ｄ₅＝ｄ₄とする。

最後に以下の手順でＯ_i＝ｇ₃（ｇ₁（ｂ₁，ｂ₂），ｇ₄（ｇ₂（ｂ₃，ｂ₄）））の断片ｚ₁，ｚ₂を計算する。
１．顧客装置２００は乱数ビットｅを生成し、ｘ_0,0＝ｅ，ｘ_0,1＝ｄ₃＋ｅ mod２，ｘ_1,0＝ｄ₄＋ｅ mod２，ｘ_1,1＝ｄ₃＋ｄ₄＋ｅ mod２とする。
２．サービス提供者装置１００は顧客装置２００と１-out-of-２紛失通信を行い、ｘ_c3,c4を得て、ｚ₁＝ｃ₃ｄ₄＋ｘ_c3,c4 mod２を計算する。
３．顧客装置２００はｚ₂＝ｄ₃ｄ₄＋ｅ mod２を計算する。
するとｚ₁＋ｚ₂＝（ｃ₃ｄ₃）（ｃ₄ｄ₄）＝ｇ₃（ｇ₁（ｂ₁，ｂ₂），ｇ₄（ｇ₂（ｂ₃，ｂ₄）））が成り立つため、Ｏ_iの断片をサービス手提供者装置１００、顧客装置２００が得た事がわかる。
なお、Ｏ_iを断片ではなく、例えば顧客装置２００が得る場合は、単純にサービス提供者装置１００がｚ_ｌを顧客装置２００に送信すればよい。

［第２の実施の形態］
次に第２の実施の形態として、２パーティプロトコルとして文献「Ｒ.Ｃramer，Ｉ.Ｄamgard，and Ｊ.Ｂ.Ｎielsen，“Ｍultiparty computation from threshold homomorphic encryption，”Ｂasic Ｒesearch in Ｃomputer Ｓcience（BRICS）RS−00−14，Jun．2000．」で提案されている方法（以下、ＣＤＮ方式と呼ぶ）を用いた例について説明する。

ここで、ＣＤＮ方式について簡単に説明する。ＣＤＮ方式は、ある加法準同型性を持つ暗号関数Ｅnc（・）に対して、ａ，ｂ∈Ｍの暗号文Ｅnc（ａ），Ｅnc（ｂ）を入力として、ａ，ｂを知らず、かつＥnc（ａ），Ｅnc（ｂ）を復号せずａ，ｂの積を暗号化したＥnc（ａｂ）を計算する技術（以降、当該技術をＭＵＬＴプロトコルと呼ぶ）である。なお、加法準同型性を持つ暗号関数とは、簡単に言えば、ａ，ｂ∈Ｍの暗号文Ｅnc（ｃ），Ｅnc（ｂ）を入力として、ある既知の演算子“★”に対して、Ｅnc（ａ＋ｂ）＝Ｅnc（ａ）★Ｅnc（ｂ）が成り立つような暗号関数である。いま、Ｍはメッセージ空間となる可換環とする。するとａ，ｂ∈｛０，１｝に対して、Ｅnc（ａ），Ｅnc（ａ＋ｂ），Ｅnc（ａｂ）を計算できることを利用して、ＡＮＤ，ＯＲ等の素子について入力を暗号化したまま実行し、実行結果の暗号文を得ることができる。即ち、様々な計算回路について、入力を暗号化したまま実行できる。

また、ＣＤＮ方式で与えられている暗号関数Ｅnc（・）は以下の性質を持つ。
［性質１］ ａ∈Ｍの暗号文Ｅnc（ａ）、及びｃ∈Ｍを入力として、Ｅnc（ａ^-1），Ｅnc（ａ＋c），Ｅnc（ａｃ）が計算できる。
［性質２］ 一定数以上のパーティが協力した時に限り（本実施例に限って言えば、顧客装置，サービス提供者装置が協力した時に限り）復号できる（Ｅnc^-1（・）を計算できる）。

図５に本実施の形態におけるシステム構成を示す。ここで、サービス提供者装置１００と顧客装置２００が通信路３００を介して接続され、サービス提供者装置１００は透かし埋め込み関数Ａ（・，・）を保持し、顧客装置２００はコンテンツＣ及び透かし情報Ｉを保持すると共に、さらに、各装置１００，２００は、公開鍵生成に必要な関数ｆ_E（・）とｇ_E（・，・），ｆ_R（・）とｇ_R（・，・）をそれぞれ保持するものとする。

初めに、本実施の形態における、Ｅnc（・）を計算するために必要な公開鍵ＰＫ、及びＥnc^-1（・）を計算するために必要な秘密鍵ＳＫ＝｛ＳＫ_R，ＳＫ_E｝を生成する手順について、図６を用いて説明する。
１．顧客装置２００，サービス提供者装置１００は、それぞれＳＫ_R∈Ｋ，ＳＫ_E∈Ｋをランダムに生成し、自身で保持する。ここでＫは事前に指定された鍵空間を表す。
２．顧客装置２００，サービス提供者装置１００は、それぞれｆ_R（ＳＫ_R），ｆ_E（ＳＫ_E）を計算し、相手装置に送信する。
３．顧客装置２００，サービス提供者装置１００は、公開鍵ＰＫ＝ｇ_R（ｆ_E（ＳＫ_E），ＳＫ_R）＝ｇ_E（ｆ_R（ＳＫ_R），ＳＫ_E）を計算する。

なお、ここでＥnc^-1（・）は、ＳＫ_R，ＳＫ_Eを用いた時に限り実行できる。即ち、復号結果Ｙ＝Ｅnc^-1（Ｘ）に対して、Ｙ＝λ_R（λ_E（Ｘ，ＳＫ_E），ＳＫ_R）＝μ_E（μ_R（Ｘ，ＳＫ_R），ＳＫ_E）を満たすような関数λ_R（・，・），λ_E（・，・），μ_R（・，・），μ_E（・，・）が存在し、かつ（λ_R（・，・），μ_R（・，・）），（λ_E（・，・），μ_E（・，・））はそれぞれ顧客装置２００，サービス提供者装置１００が保持している。

次に以上の準備の下、ＣＤＮ方式を用いて、サービス提供者装置１００はＣ，Ｃ′を知ることなく顧客装置２００にＣ′を提供し、顧客装置２００はＡ（・，・）を知ることなくＣ′を得るための処理について、図７、図８を用いて説明する。なお、図８でＲは顧客装置２００、Ｅはサービス提供者装置１００を表す。
１．サービス提供者装置１００は、事前処理として以下を行う。
（ａ）Ａ（・，・）を計算するために必要な手続きを
・Ｓに非依存のもの（該当する手続きの集合をＰ＝｛Ｐ₁，Ｐ₂，…｝とする）
・Ｓに依存、Ｃに非依存のもの（該当する手続きの集合をＱ＝｛Ｑ₁，Ｑ₂，…｝とする）
・Ｓ，Ｃともに依存するもので、加法準同型性及び［性質１］により入力を暗号化したまま計算できるもの（該当する手続きの集合をＴ＝｛Ｔ₁，Ｔ₂，…｝とする）
・上記以外のもの（該当する手続きの集合をＵ＝｛Ｕ₁，Ｕ₂，…｝とする）
に分類する。
（ｂ）手続きＵ_i（ｉ＝１，２，…）を計算回路に表現を変換し、変換後の手続きをＵ_iに置き換える。

２．顧客装置２００は、Ｉをサービス提供者装置１００に送信することで透かし埋め込みの依頼をかける。
３．サービス提供者装置１００は、Ｐ，Ｔを顧客装置２００に送信する。

４．顧客装置２００，サービス提供者装置１００は以下に基づいた処理を実行する（図８）。
（４−１） 手続きＰ_iは、顧客装置２００が実行する。
（４−２），（４−３） 手続きＱ_i，Ｔ_iは、サービス提供者装置１００が実行する。そして、実行結果がＣ′の部分情報であれば、当該実行結果を顧客装置２００に送信する）。
（４−４） 手続きＴ_iの出力が暗号文（これをＥnc（ａ_i）（ａ_i∈Ｍ）とする）であり、かつａ_iの暗号文をＵ_iの入力として用いる必要がある時、２パーティプロトコルによりａ_iの有意な情報を漏らすことなくＥnc（ａ_i）をＥnc（ｂ_ｊ）（ｊ＝０，１，２，…）に変換する（ここでｂ_ｊ∈｛０，１｝，ａ_i＝Σ_k=0２^kｂ_k）。
（４−５） 手続きＵ_iは、以下のように実行する。
（ａ）サービス提供者装置１００は、Ｓに依存する入力をビット毎にＰＫを用いて暗号化する。
（ｂ）顧客装置２００は、Ｃに依存する入力をビット毎にＰＫを用いて暗号化する。
（ｃ）顧客装置２００，サービス提供者装置１００は、加法準同型性、［性質１］を用いると共に、ＭＵＬＴプロトコルを対話的に実行し、Ｕ_iの出力の暗号文（これをＥnc（ｚ_j）（ｊ＝１，２，…）とする）を得る。

５．顧客装置２００，サービス提供者装置１００は、以下の手順により顧客装置２００が所持する暗号文Ｅnc（ａ_i）（及びＥnc（ｚ_i））を復号し、顧客装置２００は当該復号結果を元にＣ′を得る。
（５−１） サービス提供者装置１００はａ_i′＝λ_E（Ｅnc（ａ_i），ＳＫ_E）を計算し、ａ_i′を顧客装置２００に送信する。
（５−２） 顧客装置２００は、ａ_i″＝λ_R（ａ_i′，ＳＫ_R）を計算する。

本実施の形態でも、先の第１の実施の形態と同様の効果が期待できる。また顧客装置２００，サービス提供者装置１００が対話的に実行する手続きが第１の実施の形態のそれと一般に異なるため、第１の実施の形態よりも処理時間が短縮される可能性がある。

［第３の実施の形態］
本実施の形態は、本出願人が特願２００５−１２８８４、特願２００５−１６１６１などで提案した秘密計算方法を利用するものである。これは、関数への入力値を知ることなく、当該関数の計算及び出力結果（排他的論理和）の取得を可能とするもので、以下に概要を説明する。

Ｇをある有限体上で定義された楕円曲線の有理点からなる群とし、ＰをＧの元とする。Ｐの位数をｐとする。そして、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とする。

平文ａ∈｛０,１｝を暗号化する暗号関数Ｅを次のように定義する。
Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒＰ,（ｒ＋ａ）Ｑ）
ここでｒは１以上ｐ以下の乱数である。

復号処理はｘＡを計算すれば良く、これにより

が成り立つことから、秘密鍵ｘを用いることで容易にＥ（ａ,ｒ）を復号できる。するとａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａ＋ｂの暗号文を求めることは容易である。すなわち、Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）＝（（ｒ＋ｓ）Ｐ,（ｒ＋ａ＋ｓ＋ｂ）Ｑ）が成り立つことから、この操作によりａ＋ｂの暗号文Ｅ（ａ＋ｂ,ｒ＋ｓ）＝Ｅ（ａ,ｒ）＋Ｅ（ｂ,ｓ）が得られる。

Ｅ（ａ,ｒ）,Ｅ（ｂ,ｓ）からａとｂの排他的論理和の暗号文は、以下のようにして求める。ここで、ｂ，ｂ∈｛０，１｝の暗号文Ｅ（ａ，ｒ）（＝（Ａ，Ｂ），Ｅ（ｂ，ｓ）（＝（Ｘ，Ｙ）は制御装置へ事前に与えられているとする。

先ず、暗号文変換装置が制御装置より（Ｇ,ｐ,Ｐ,Ｑ）,Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））を入力として以下の処理を行う。
１．ランダムビットｅおよび１以上ｐ以下の乱数ｔを生成する。
２．以下に従って（Ａ′,Ｂ′）を求め、それを複数の復号装置に送信する。

次に、複数の復号装置が（Ａ′,Ｂ′）入力として分散復号を行い、制御装置に送信することで、制御装置は（Ａ′,Ｂ′）の復号結果ｃを得る（このときｃ＝ａ＋ｅ（排他的論理和）が成り立つ）。

制御装置は、当該復号結果ｃ∈｛０,１｝について以下の処理を行う。
１.１以上ｐ以下の乱数ｗを生成する。
２．以下に従って（Ｃ,Ｄ）を求め、当該暗号文を暗号文変換装置に送信する。

このとき（Ｃ，Ｄ）の復号結果はａ＋ｂ＋ｅ（排他的論理和）となる。

暗号文変換装置は（Ｇ,ｐ,Ｐ,Ｑ）,（Ｃ,Ｄ）を入力として、以下の処理を行う。
１．１以上ｐ以下の乱数ｕを生成する。
２．以下に従って（Ｃ′,Ｄ′）を求め、それを制御装置に送信する。

（Ｃ′,Ｄ′）の復号結果ｃ′は、ｃ′＝ａ＋ｂ（排他的論理和）が成り立つことから、上記の操作により制御装置はａ＋ｂ（排他的論理和）の暗号文、すなわち（Ｃ′,Ｄ′）を得ることができる。

図９に本実施の形態のシステム構成を示す。サービス提供者装置１００は透かしパタン生成アルゴリズムを構成する論理関数（透かしパタン生成関数）、透かしパタン重畳アルゴリズムを構成する論理関数（透かしパタン重畳関数）、透かし鍵、サービス提供者装置１００に固有の秘密鍵１を保持し、顧客装置２００は透かし情報、顧客装置２００固有の秘密鍵２、原画像を保持している。サービス提供者装置１００と顧客装置２００は互いにデータ等の送受信を行い、最終的に顧客装置２００は透かし入り画像を取得するが、サービス提供者装置１００では透かし情報や原画像を復号することができず、一方、顧客装置２００では透かしパタン生成関数や透かしパタン重畳関数、透かし鍵を復号することができない。

図１０乃至図１２に本実施の形態の処理フローを示す。ここで、サービス提供者装置１００は秘密透かし発行器と復号器１を備え、顧客装置２００は透かし埋込器と復号器２を備えるとする。以下の説明では、簡単に秘密透かし発行器すなわちサービス提供者装置１００、透かし埋込器すなわち顧客装置２００とする。

初めに、本実施の形態で用いられる公開鍵の生成処理について説明する（図１０）。
１．サービス提供者装置１００（秘密透かし発行器）は、有限体および楕円曲線を生成するためのパラメータが与えられるなどして有限体および楕円曲線をそれぞれ一つずつ決定し、更に当該有限体上で定義された当該楕円曲線の有理点からなる群Ｇを決定する。Ｇの元を一つ選び、これをＰとし、Ｐの位数ｐを計算する。そして、（Ｇ，ｐ，Ｐ）の組を復号器１、復号器２に送信する。

２．復号器１、復号器２ではそれぞれ以下の処理を行う。
（２−１） 復号器１は乱数（秘密鍵）αを生成し、Ｑ₁＝αＰを計算して、Ｑ₁をサービス提供者装置１００に送信する。
（２−２） 復号器２は乱数（秘密鍵）βを生成し、Ｑ₂＝βＰを計算して、Ｑ₂をサービス提供者装置１００に送信する。

３．サービス提供者装置１００は、Ｑ＝Ｑ₁＋Ｑ₂を計算する。そして、（Ｇ，ｐ，Ｐ，Ｑ）を公開する。

以上の準備の下、本出願人の提案した秘密計算方法を用いて、サービス提供者装置１００は透かしパタン生成アルゴリズム及び透かしパタン重畳アルゴリズムや透かし鍵を顧客装置２００に知られずに、また、顧客装置２００は透かし情報及び原画像をサービス提供者装置１００に知られずに、顧客装置２００にて透かし入画像を得るための処理手順を説明する。なお、透かし情報をＳ、原画像をＩ、透かし鍵をＫとする。

処理は透かしパタン生成処理の秘密計算化及び復号、透かしパタン重畳処理の秘密計算化及び復号に大別される。

図１１Ａ乃至図１１Ｄは透かしパタン生成処理の秘密計算及び復号の処理フローを示している。ここで、各装置は公開情報（Ｇ，ｐ，Ｐ，Ｑ）を保持しているとする。
１．サービス提供者装置１００は、透かしパタン生成アルゴリズムを構成する論理関数（透かしパタン生成関数）ｆ_x,y,z,w（ｋ，ｓ）、透かしパタン重畳アルゴリズムを構成する論理関数（透かしパタン重畳関数）ｈ_xx,yy,zz,ww（ｆ，ｉ）、透かし鍵Ｋを事前に生成して保持する。ここで、ｆ_x,y,z,w（ｋ，ｓ），ｈ_xx,yy,zz,ww（ｆ，ｉ）は以下のように表されるとする。

２．サービス提供者装置１００は、乱数ｒ_１，ｒ_２，ｒ_３，ｒ_４，ｒ_５を生成し（ただし、１≦ｒ_１，ｒ_２，ｒ_３，ｒ_４，ｒ_５≦ｐ），ｘ，ｙ，ｚ，ｗ，ｋを以下のように暗号化する。
Ｅ（ｘ）＝（Ｘ_１，Ｘ_２）＝（ｒ_１・Ｐ，（ｒ_１＋ｘ）・Ｑ）
Ｅ（ｙ）＝（Ｙ_１，Ｙ_２）＝（ｒ_２・Ｐ，（ｒ_２＋ｙ）・Ｑ）
Ｅ（ｚ）＝（Ｚ_１，Ｚ_２）＝（ｒ_３・Ｐ，（ｒ_３＋ｚ）・Ｑ）
Ｅ（ｗ）＝（Ｗ_１，Ｗ_２）＝（ｒ_４・Ｐ，（ｒ_４＋ｗ）・Ｑ）
Ｅ（ｋ）＝（Ｋ_１，Ｋ_２）＝（ｒ_５・Ｐ，（ｒ_５＋ｋ）・Ｑ）
そして、サービス提供者装置１００は、これら暗号文Ｅ（ｘ），Ｅ（ｙ），Ｅ（ｚ），Ｅ（ｗ），Ｅ（ｋ）を顧客装置２００に送信する。

３．顧客装置２００は透かし情報Ｓを入力する。
４．顧客装置２００は乱数ｒ₆生成し（ただし、１≦ｒ₆≦ｐ）、透かし情報Ｓを以下に従って暗号化する。
Ｅ（ｓ）＝（Ｓ₁，Ｓ₂）＝（ｒ₆・Ｐ，（ｒ₆＋ｓ）・Ｑ）

５．Ｅ（ｋ）＝（Ｋ₁，Ｋ₂）とＥ（ｘ）＝（Ｘ₁，Ｘ₂）により、ｆ_{x，y，z，w}（ｋ，ｓ）中のｋとｘの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₁，Ｄ₁）とする。

（５−１） 顧客装置２００はランダムビットｅ及び乱数ｔ，ｕを生成し（ただし、１≦ｔ，ｕ≦ｐ）、以下に従って（Ｋ₁′，Ｋ₂′）、（Ｘ₁′，Ｘ₂′）を求める。

そして、顧客装置２００は、Ｋ₁′を復号器１、復号器２に送信する。

（５−２） 復号器１はα・Ｋ₁′を計算して顧客装置２００に送信する。
（５−３） 復号器２はβ・Ｋ₁′を計算して顧客装置２００に送信する。

（５−４） 顧客装置２００はγ・Ｋ′＝α・Ｋ₁′＋β・Ｋ₁′を計算する。ここで、γ・Ｋ′＝Ｋ₂′であれば、（Ｋ₁′，Ｋ₂′）の復号結果ｃを“０”、γ・Ｋ′＝Ｋ₂′−Ｑであれば“１”とする。

その後、顧客装置２００は乱数ｗを生成し（ただし、１≦ｗ≦ｐ）、以下に従って（Ｃ₁，Ｄ₁）を計算する。

ここで、（Ｃ₁，Ｄ₁）の復号結果ｃ′は

が成り立つ。したがって、顧客装置２００はｋ，ｘを知ることなく、このｋ，ｘの排他的論理和の暗号文、すなわち（Ｃ₁，Ｄ₁）を得ることができる。

６．同様に、Ｅ（ｓ）＝（Ｋ₁，Ｋ₂）とＥ（ｙ）＝（Ｙ₁，Ｙ₂）により、ｆ_{x，y，z，w}（ｋ，ｓ）中のｓとｙの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₂，Ｄ₂）とする。

７．同様に、Ｅ（ｋ）＝（Ｋ₁，Ｋ₂）とＥ（ｓ）＝（Ｓ₁，Ｓ₂）により、ｆ_{x，y，z，w}（ｋ，ｓ）中のｋとｓの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₃，Ｄ₃）とする。
８．上記ステップ７で求めた（Ｃ₃，Ｄ₃）とＥ（ｚ）＝（Ｚ₁，Ｚ₂）により、ｆ_{x，y，z，w}（ｋ，ｓ）中のｋとｓとｚの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₄，Ｄ₄）とする。

９．顧客装置２００は、（Ｃ₁，Ｄ₁），（Ｃ₂，Ｄ₂），（Ｃ₄，Ｄ₄）及びＥ（ｗ）＝（Ｗ₁，Ｗ₂）により、
（Ｍ，Ｎ）＝（Ｃ₁，Ｄ₁）＋（Ｃ₂，Ｄ₂）＋（Ｃ₄，Ｄ₄）＋（Ｗ₁，Ｗ₂）
を計算する。
すなわち、この（Ｍ，Ｎ）が秘密透かしパタン計算結果Ｅ（ｆ_{x，y，z，w}（ｋ，ｓ））であり、顧客装置２００は、ｋ，ｘ，ｙ，ｚ，ｗを知ることになく、また、ｓをサービス提供者装置１００に知られることなく、Ｅ（ｆ_{x，y，z，w}（ｋ，ｓ））＝（Ｍ，Ｎ）を得ることができる。

１０．顧客装置２００は、必要なら復号器１、２と協同してＥ（ｆ_{x，y，z，w}（ｋ，ｓ））の復号を以下に従って行う。
（１０−１） 顧客装置２００は、Ｍを復号器１及び復号器２に送信する。
（１０−２） 復号器１はα・Ｍを計算して顧客装置２００に送信する。
（１０−３） 復号器２はβ・Ｍを計算して顧客装置２００に送信する。
（１０−４） 顧客装置２００は、γ・Ｍ＝α・Ｍ＋β・Ｍとし、（ｆ_{x，y，z，w}（ｋ，ｓ））＝Ｎ−γ・Ｍを計算する。

図１２Ａ乃至図１２Ｄは透かしパタン重畳処理の秘密計算化及び復号の処理フローを示している。ここでも、各装置は公開鍵情報（Ｇ，ｐ，Ｐ，Ｑ）を保持しているとする。
１．サービス提供者装置１００は、乱数ｒ₇，ｒ₈，ｒ₉，ｒ₁₀を生成し（ただし、１≦ｒ₇，ｒ₈，ｒ₉，ｒ₁₀≦ｐ），ｘｘ，ｙｙ，ｚｚ，ｗｗを以下に従って暗号化する。

Ｅ（ｘｘ）＝（ＸＸ₁，ＸＸ₂）＝（ｒ₇・Ｐ，（ｒ₇＋ｘｘ）・Ｑ）
Ｅ（ｙｙ）＝（ＹＹ₁，ＹＹ₂）＝（ｒ₈・Ｐ，（ｒ₈＋ｙｙ）・Ｑ）
Ｅ（ｚｚ）＝（ＺＺ₁，ＺＺ₂）＝（ｒ₉・Ｐ，（ｒ₉＋ｚｚ）・Ｑ）
Ｅ（ｗｗ）＝（ＷＷ₁，ＷＷ₂）＝（ｒ₁₀・Ｐ，（ｒ₁₀＋ｗｗ）・Ｑ）
サービス提供者装置１００は、Ｅ（ｘｘ），Ｅ（ｙｙ），Ｅ（ｚｚ），Ｅ（ｗｗ）を顧客装置２００に送信する。

２．顧客装置２００は原画像Ｉを入力する。
３．顧客装置２００は乱数ｒ₁₁を生成し（ただし、１≦ｒ₁₁≦ｐ）原画像Ｉを以下に従って暗号化する。
Ｅ（ｉ）＝（Ｉ₁，Ｉ₂）＝（ｒ₁₁・Ｐ，（ｒ₁₁＋ｉ）・Ｑ）

４．秘密透かしパタン計算結果Ｅ（ｆ_{x，y，z，w}（ｋ，ｓ））＝（Ｍ，Ｎ）とＥ（ｘｘ）＝（ＸＸ₁，ＸＸ₂）により、ｈ_{xx，yy，zz，ww}（ｆ，ｉ）中のｆとｘｘの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₅，Ｄ₅）とする。

（４−１） 顧客装置２００はランダムビットｅ及び乱数ｔ，ｕを生成し（ただし、１≦ｔ，ｕ≦ｐ）、以下に従って（Ｍ′，Ｎ′）、（ＸＸ₁′，ＸＸ₂′）を求める。

顧客装置２００はＭ′を復号器１、復号器２に送信する。
（４−２） 復号器１はα・Ｍ′を計算して、その計算結果を顧客装置２００に送信する。
（４−３） 復号器２はβ・Ｍ′を計算して、その計算結果を顧客装置２００に送信する。
（４−４） 顧客装置２００はγ・Ｍ′＝α・Ｍ′＋β・Ｍ′を計算する。ここで、γ・Ｍ′＝Ｎ′であれば、（Ｍ′，Ｎ′）の復号結果ｃを“０”、γ・Ｍ′＝Ｍ′−Ｑであれば“１”とする。
その後、顧客装置２００は乱数ｗを生成し（ただし、１≦ｗ≦ｐ）、以下に従って（Ｃ₅，Ｄ₅）を計算する。

５．同様に、Ｅ（ｉ）＝（Ｉ₁，Ｉ₂）とＥ（ｙｙ）＝（ＹＹ₁，ＹＹ₂）により、ｈ_{xx，yy，zz，ww}（ｆ，ｉ）中のｉとｙｙの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₆，Ｄ₆）とする。

６．同様に、Ｅ（ｆ_{x，y，z，w}（ｋ，ｓ））＝（Ｍ，Ｎ）とＥ（ｉ）＝（Ｉ₁，Ｉ₂）により、ｈ_{xx，yy，zz，ww}（ｆ，ｉ）中のｆとｉの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₇，Ｄ₇）とする。
７．上記ステップ６で求めた（Ｃ₇，Ｄ₇）とＥ（ｚｚ）＝（ＺＺ₁，ＺＺ₂）により、ｈ_{xx，yy，zz，ww}（ｆ，ｉ）中のｆとｉとｚｚの排他的論理和の暗号文を求める。ここでは、その暗号文を（Ｃ₈，Ｄ₈）とする。
８．顧客装置２００は、（Ｃ₅，Ｄ₅），（Ｃ₆，Ｄ₆），（Ｃ₈，Ｄ₈）及びＥ（ｗｗ）＝（ＷＷ₁，ＷＷ₂）により、
（Ｍ₁，Ｎ₁）＝（Ｃ₅，Ｄ₅）＋（Ｃ₆，Ｄ₆）＋（Ｃ₈，Ｄ₈）＋（ＷＷ₁，ＷＷ₂）
を計算する。この（Ｍ₁，Ｎ₁）が秘密透かしパタン重畳計算結果Ｅ（ｆ_{xx，yy，zz，ww}（ｆ，ｉ））である。

以上により、顧客装置２００は、ｆ，ｘｘ，ｙｙ，ｚｚ，ｗｗを知ることになく、また、Ｉをサービス提供者装置１００に知られることなく、Ｅ（ｆ_{xx，yy，zz，ww}（ｆ，ｉ））＝（Ｍ₁，Ｎ₁）を得ることができる。

９．顧客装置２００は、必要なら復号器１、２と協同してＥ（ｆ_{xx，yy，zz，ww}（ｆ，ｉ））＝（Ｍ₁，Ｎ₁）の復号を以下に従って行う。
（９−１） 顧客装置２００は、Ｍ₁を復号器１及び復号器２に送信する。
（９−２） 復号器１はα・Ｍ₁を計算して顧客装置２００に送信する。
（９−３） 復号器２はβ・Ｍ₁を計算して顧客装置２００に送信する。
（９−４） 顧客装置２００は、γ・Ｍ＝α・Ｍ₁＋β・Ｍ₁とし、ｈ_{xx，yy，zz，ww}（ｆ，ｉ）＝Ｎ₁−γ・Ｍ₁を計算して、透かし入り画像を得る。

以上、本発明の実施の形態を説明したが、本発明はこれらに限定されるものではなく、任意の暗号技術を用いることができる。また、サービス提供者装置は３台以上として処理を分散させることも可能であり、これによりセキュリティが更に向上する。

なお、実施形態における各装置の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、実施形態で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の第１の実施の形態のシステム構成例を示す図。 第１の実施の形態の透かし埋め込みの処理フロー図。 論理回路の具体例を示す図。 論理回路の他の具体例を示す図。 本発明の第２の実施の形態のシステム構成例を示す図。 第２の実施の形態の公開鍵生成の処理フロー図。 第２の実施の形態の透かし埋め込みの処理フロー図。 図７のステップ４の詳細な処理フロー図。 本発明の第３の実施の形態のシステム構成例を示す図。 第３の実施の形態の公開鍵生成の処理フロー図。 第３の実施の形態の透かしパタン生成秘密計算化における最初の処理フロー図。 図１１Ａの続きの処理フロー図。 図１１Ｂの続きの処理フロー図。 図１１Ｃの続きの処理フロー図。 第３の実施の形態の透かしパタン重畳秘密計算化における最初の処理フロー図。 図１２Ａの続きの処理フロー図。 図１２Ｂの続きの処理フロー図。 図１２Ｃの続きの処理フロー図。

符号の説明

１００ サービス提供者装置
２００ 顧客装置
３００ 通信路

Claims (8)

1. サービス提供者装置は透かし埋め込み関数を保持し、顧客装置はコンテンツ及び透かし情報を保持し、
   前記サービス提供者装置は前記透かし埋め込み関数を前記顧客装置に対して秘匿し、前記顧客装置は前記コンテンツ及び透かし情報のいずれか一方あるいは両方を前記サービス提供者装置に秘匿して、前記サービス提供者装置及び前記顧客装置が対話的に透かし埋め込み関数を実行し、透かし入りコンテンツを前記顧客装置で取得する、
   ことを特徴とする透かし埋め込み処理方法。
2. 請求項１記載の透かし埋め込み処理方法において、
   前記サービス提供者装置及び前記顧客装置は透かし埋め込み関数を２パーティプロトコルとして実行することで、前記サービス提供者装置は前記コンテンツ及び透かし情報のいずれか一方あるいは両方と透かし入りコンテンツを知ることなく、前記顧客装置は透かし埋め込み関数を知ることなく透かしコンテンツを取得することを特徴とする透かし埋め込み処理方法。
3. 請求項２記載の透かし埋め込み処理方法において、
   前記サービス提供者装置及び前記顧客装置は透かし埋め込み関数の一部の手続きを２パーティプロトコルとして実行し、他の手続きは前記サービス提供者装置及び前記顧客装置がそれぞれ実行することを特徴とする透かし埋め込み処理方法。
4. 請求項３記載の透かし埋め込み処理方法において、
   顧客装置はコンテンツＣ及び透かし情報Ｉを保持し、サービス提供者装置は透かし埋め込み関数Ａ（・，・）を保持し、Ａ（・，・）はＣ，Ｉを入力とし、ＣにＩを埋め込んだ透かし入りコンテンツＣ′＝Ａ（Ｃ，Ｉ）を出力する関数とし、Ａ（・，・）に含まれる秘密情報の集合をＳとし、
   前記サービス提供者装置は、事前処理として、
   （ａ）Ａ（・，・）を計算するために必要な手続きを、Ｓに非依存のもの（該当する手続きの集合をＰ＝｛Ｐ₁，Ｐ₂，…｝とする）、Ｓに依存、Ｃに非依存のもの（該当する手続きの集合をＱ＝｛Ｑ_ｌ，Ｑ₂，…｝とする）、Ｓ，Ｃともに依存するもの（該当する手続きの集合をＴ＝｛Ｔ_ｌ，Ｔ₂，…｝とする）に分類する（ここで、Ｐ_i，Ｑ_i，Ｔ_i（ｉ＝１，２，・・・）の手続きの単位は任意とする）、
   （ｂ）各Ｔ_iについて、Ｔ_iの入出力をそれぞれＩ_i，Ｏ_iとした時、Ｉ_i，Ｏ_iからＳの情報を有意に得ることが困難であり、かつＯ_iがＳに非依存であるとみなせばＰに属するような手続きＴ_jが存在する時、Ｔ_jをＴからＰに変更する、
   （ｃ）各Ｔ_iについて、Ｔ_iの入出力をそれぞれＩ_i，Ｏ_iとした時、Ｉ_i，Ｏ_iからＣの情報を有意に得ることが困難であり、かつＯ_iがＣに非依存であれるとみなせばＱ（またはＰ）に属するような手続きＴ_jが存在する時、Ｔ_jをＴからＱ（またはＰ）に変更する、
   の処理を実行し、
   以後、前記顧客装置及び前記サービス提供者装置の間で、
   前記顧客装置は、透かし情報Ｉを前記サービス提供者装置に送信することで透かし埋め込みの依頼をかけ、
   前記サービス提供者装置は、手続きＰを前記顧客装置に送信し、
   前記顧客装置はＰ_iの入力Ｉ_iを得たときＰ_iを実行し、出力Ｏ_iを得、Ｏ_iがＱまたはＴの要素の入力であればサービス提供者装置にＯ_iを送信し、
   前記サービス提供者装置はＱ_jの入力Ｉ_jを得たときＱ_jを実行し、出力Ｏ_jを得、Ｏ_jがＰまたはＴの要素の入力、または何れの入力でもない場合（＝最終出力）であれば、前記顧客装置にＯ_jを送信し、
   前記顧客装置及び前記サービス提供者装置はＴ_kの入力Ｉ_kを得たとき２パーティプロトコルを実行し、その出力Ｏ_kが、Ｐの要素の入力または何れの入力でもない場合であれば顧客装置に出力されるようにし、Ｑの要素の入力であれば前記サービス提供者装置に出力されるようにし、Ｔの要素の入力であれば双方に出力されるようにして、
   最終的に、前記顧客装置が透かし入りコンテンツＣ′＝Ａ（Ｃ，Ｉ）を得ることを特徴とする透かし埋め込み処理方法。
5. 請求項４記載の透かし埋め込み処理方法において、
   ２パーティプロトコルとして、サービス提供者装置及び顧客装置が保持する秘密のビット列｛ai｝i＝１，・・・，ｍ及び｛bi｝i＝１，・・・，ｎについて、サービス提供者装置はai＝ci＋di mod２となるようなci，diをランダムに生成して｛di｝i＝１，・・・，ｍを顧客装置に送信し、同様に顧客装置はbi＝ei＋fi mod２となるようなei，fiをランダムに生成して｛fi｝i＝１，・・・，ｎをサービス提供者装置に送信し、1-out-of-４紛失通信を用いて、｛ai｝を顧客装置が知ることなく、かつ｛bi｝をサービス提供者装置が知ることなく、｛ai｝，｛bi｝を入力とした、透かし埋め込みに関する関数を計算することを特徴とする透かし埋め込み処理方法。
6. 請求項１記載の透かし埋め込み処理方法において、
   前記サービス提供者装置及び前記顧客装置は透かし埋め込み関数の実行に、
   ある有限体上で定義された楕円曲線の有理点からなる群をＧとし、ＰをＧの元とし、Ｐの位数をｐとし、秘密鍵ｘ∈｛１,…,ｐ｝に対してＱ＝ｘＰとし、（Ｇ,ｐ,Ｐ,Ｑ）を公開鍵とし、
   平文ａ∈｛０,１｝を暗号化する暗号関数Ｅが
   Ｅ（ａ,ｒ）＝（Ａ,Ｂ）＝（ｒｐ,（ｒ＋ａ）Ｑ）
   と定義され（ｒは１以上ｐ以下の乱数）、
   ａ,ｂ∈｛０,１｝の暗号文Ｅ（ａ,ｒ）（＝（Ａ,Ｂ））、Ｅ（ｂ,ｓ）（＝（Ｘ,Ｙ））から、ａ,ｂを知ることなく、ａとｂの排他的論理和の暗号文を計算する方式を用いることを特徴とする透かし埋め込み処理方法。
7. サービス提供者装置、顧客装置が通信路を介して接続され、請求項１乃至６のいずれか１項に記載の透かし埋め込み処理方法を実施することを特徴とする透かし埋め込み処理システム。
8. 請求項１乃至６の透かし埋め込み処理方法をコンピュータに実行させるためのプログラム。

Images