JP2010141620A - 通信装置、サーバ装置、通信方法、および通信プログラム - Google Patents

Abstract

【課題】コンテンツ配信システムにおいて配信される各暗号化ピースの組み合わせを通信装置毎に一意にすることが可能になると共に、システム構築上の自由度を向上可能な通信技術を提供する。
【解決手段】他のノード５０，５１に割り当てられた第１暗号鍵によって暗号化されたピースである第１暗号化ピースと、他のノード５０，５１を識別する第１装置識別情報と、を受信するピース受信部と、割り当てられた第２暗号鍵を記憶する固有情報格納部と、第２暗号鍵を用いて第１暗号化ピースを更に暗号化した第２暗号化ピースを生成するピース暗号化部と、第２暗号化ピースと、第１装置識別情報と、自装置を識別する第２装置識別情報と、を送信するデータ送信部と、を備えた。
【選択図】 図１

Description

この発明は、通信装置、サーバ装置、通信方法、および通信プログラムに関する。

例えば、Ｐ２Ｐ（peer to peer）を利用してデータを配信する配信方式（Ｐ２Ｐ配信という）は、巨大なストレージと大きな通信帯域とを有するデータ配信サーバを必要とせず、コストメリットの大きい配信方式である。また、データの配信を受けるノードにおいては、複数のノードからのデータの供給が期待されるため、ダウンロードやアップロードにおける帯域幅を活かした高速なデータ取得が期待される。このようにＰ２Ｐデータ配信には大きなメリットがあるが、一方で、著作権保護などデータセキュリティの観点から安全性に不安があった。Ｐ２Ｐ配信に限らず、著作権保護などのデータセキュリティを考える上で一般的な前提として次のことを仮定する。全ての端末機器又はノードがハッキングされることはないということである。この前提を否定した場合、端末機器は秘密とすべきデータを保持したり、秘密とすべき処理を行ったりすることができなくなり、殆どのセキュリティ技術やセキュリティ確保の為の工夫が成立しない。

さて、Ｐ２Ｐ配信において、暗号化されたデータを配信し、データの配信を受けるノードが当該データ（配信データという）を復号するための復号鍵を取得するコンテンツ配信システムがある。このようなシステムのＰ２Ｐ配信においてデータセキュリティ上の大きな問題点は、配信データと当該配信データを復号するための復号鍵との組み合わせが単一であったり数が少なかったりすることである。この場合、あるノードがハッキングされ、復号鍵が暴露されたとする。この場合、この復号鍵は殆どの配信データを復号するために使用できることになる。この問題を解決する一つの方法は、配信データをノード毎に個別化することである。

Ｐ２Ｐ配信において配信データをノード毎に個別化する技術としては、例えば、特許文献１に示されるMarkingの方式が知られている。この方式では、配信データをピースに分割した上で、鍵の行列で暗号化を施して暗号化ピースを生成する。その結果として、行列状に暗号化された暗号化ピースからなるピース群が生成される。そしてこのようなピース群はＰ２Ｐネットワークを介して配信される。当該Ｐ２Ｐネットワークに接続される１つのノードは、各ピースについて行列状に暗号化された複数の暗号化ピースの中から１つの暗号化ピースを取得することになる。結果として、配信データを構成する各ピースが各々暗号化された暗号化ピースの組み合わせは、ノード毎に統計的に一意になることが期待される。

USP 7165050

しかし、上述の特許文献１の技術においては、各暗号化ピースの組み合わせがノード毎に一意であることはあくまで統計的に期待されるだけである。各暗号化ピースの組み合わせをノード毎に一意にすることを実現するには、例えば、以下の２つの方法が考えられる。１つは、暗号化ピースの配信方法に工夫を施すという方法である。また、１つは、各暗号化ピースを復号するための復号鍵を保持する鍵サーバが復号鍵の配信を制限するという方法である。例えば、配信されたピース群を復号するために、ノードが各暗号化ピースの組み合わせを鍵サーバに申告して復号鍵を取得するシステムがある。このシステムにおいて、復号鍵の再配信によるリプレイアタックを阻止するためには、既に取得された復号鍵と重複が多い暗号化ピースの組み合わせを、鍵サーバがリジェクトするという方法がある。しかしいずれの方法であっても、暗号化ピースの配信効率を時として著しく低下させ、Ｐ２Ｐネットワークの利点を十分活かすことができなくなる恐れがある。また、前者の方法では、データの保護とデータの配信方法との独立性が損なわれ、そのことがシステム構築上の大きな制約となる恐れがある。また、各暗号化ピースの組み合わせを鍵サーバに申告するかしないかに関わらず、ノードが鍵サーバから復号鍵を取得するシステムにおいては、鍵サーバから送信されるデータ量は小さい方が効率的であり、望ましい。

本発明は、上記に鑑みてなされたものであって、コンテンツ配信システムにおいて配信される各暗号化ピースの組み合わせを通信装置毎に一意にすることが可能になると共に、システム構築上の自由度を向上可能な通信装置、サーバ装置、通信方法、および通信プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の一実施形態は、データの一部であるピースを暗号化して送信する通信装置であって、他の通信装置に割り当てられた第１暗号鍵によって暗号化されたピースである第１暗号化ピースと、前記他の通信装置を識別する第１装置識別情報と、を受信する受信手段と、前記通信装置に割り当てられた第２暗号鍵を記憶する記憶手段と、前記第２暗号鍵を用いて前記第１暗号化ピースを更に暗号化した第２暗号化ピースを生成する暗号化手段と、前記第２暗号化ピースと、前記第１装置識別情報と、前記通信装置を識別する第２装置識別情報と、を送信する送信手段と、を備えることを特徴とする。

また、本発明の一実施形態は、上記装置で実行することができる方法およびプログラムである。

また、本発明の一実施形態は、暗号化されたピースである暗号化ピースを復号するための復号鍵を要求する鍵要求であって、前記暗号化ピースの配信を仲介した前記通信装置の前記装置識別情報を含む前記鍵要求を前記通信装置から受信する受信手段と、前記鍵要求に含まれる各前記装置識別情報を用いて前記復号鍵を生成する鍵生成手段と、生成された前記復号鍵を、前記鍵要求を送信した前記通信装置に送信する送信手段と、を備えることを特徴とする。

また、本発明の一実施形態は、上記装置で実行することができるプログラムである。

本発明によれば、コンテンツ配信システムにおいて配信される各暗号化ピースの組み合わせを通信装置毎に一意にすることが可能になると共に、システム構築上の自由度を向上可能な通信装置、サーバ装置、通信方法、および通信プログラムを提供することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる通信装置、サーバ装置、通信方法、および通信プログラムの最良な実施の形態を詳細に説明する。

[第１の実施の形態]
（１）構成
＜コンテンツ配信システムの構成＞
図１は、本実施の形態にかかるデータ配信システムの構成を示す図である。本実施の形態にかかるデータ配信システムにおいては、複数のノード５０，５１Ａ〜５１ＢがＰ２ＰネットワークＮＴを介して接続されている。図示しないがこの他のノードもＰ２ＰネットワークＮＴを介して接続され得る。また、各ノード５０，５１Ａ〜５１Ｂは鍵サーバ５３と接続されている。各ノード５０，５１Ａ〜５１Ｂは、各ノードに一意に割り当てられた装置識別情報であるノードＩＤと、各ノードに一意に割り当てられた割当情報として公開鍵とを保持している。各ノード５０，５１Ａ〜５１Ｂに割り当てられたノードＩＤを各々ID#0、ID#1、ID#2とし、公開鍵を各々ｙ₀、ｙ₁、ｙ₂とする。尚、各ノード５０，５１Ａ〜５１Ｂのうちノード５０は、データの配信の基点となる配信開始ノードであり、配信対象のデータ（配信データという）を保持している。配信データは、平文である場合もあるし、既に暗号化された暗号文である場合もある。例えば、当該配信データは、暗号化として何らかのＤＲＭ （Digital Right Management） Systemによって保護されたビデオデータであっても良い。鍵サーバ５３は、秘密情報として、各ノード５０，５１Ａ〜５１Ｂに各々割り当てられた公開鍵にそれぞれ対応する秘密鍵ｘ₀、ｘ₁、ｘ₂を保持している。尚、以降、ノード５１Ａ〜５１Ｂを各々区別する必要がない場合、単にノード５１と記載する。

ここで、各ノード５０，５１と、鍵サーバ５３との各装置のハードウェア構成について説明する。各装置は各々、装置全体を制御するＣＰＵ（Central Processing Unit）等の制御装置と、各種データや各種プログラムを記憶するＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）等の記憶装置と、各種データや各種プログラムを記憶するＨＤＤ（Hard Disk Drive）やＣＤ（Compact Disk）ドライブ装置等の外部記憶装置と、これらを接続するバスとを備えており、通常のコンピュータを利用したハードウェア構成となっている。また、各装置には各々、情報を表示する表示装置と、ユーザの指示入力を受け付けるキーボードやマウス等の入力装置と、外部装置の通信を制御する通信Ｉ／Ｆ（interface）とが有線又は無線により接続される。

なお、装置識別情報とは、データ配信システムにおける各ノードに割り当てられた情報であって、各ノードを識別できればどのような情報であっても良く、例えば、ノードＩＤ（例えば、当該装置のＭＡＣ（Media Access Control）アドレス、ＩＰアドレス、メールアドレス）、ノードに割り当てられる公開鍵、公開鍵証明書、有料データ配信などの配信サービスにおける加入者ＩＤである。

また、秘密情報とは、鍵サーバ５３が秘密裏に記憶する情報であって、各ノードにより暗号化された暗号化ピースを復号するため情報であり、例えば、公開鍵ｙ_iに対応する秘密鍵ｘ_i、装置識別情報から秘密鍵ｘ_iを導出するアルゴリズム及び当該アルゴリズムにおけるパラメーター（例えば、入力の一部など）である。秘密情報は、鍵サーバ５３のみでなく（例えばサービス事業者など）信頼できる第三者が保持していても良い。

＜配信開始ノードの構成＞
次に、上述したハードウェア構成において、配信開始ノードであるノード５０のＣＰＵが記憶装置や外部記憶装置に記憶された各種プログラムを実行することにより実現される各種機能について説明する。図２は、ノード５０の機能的構成を例示する図である。ノード５０は、固有情報格納部５００と、乱数生成部５０１と、ピース暗号化部５０３と、ピース化部５０４と、データ送信部５０５と、送信要求受付部５０６とを有する。尚、固有情報格納部５００は、例えばノード５０のＨＤＤなどの外部記憶装置に記憶領域として確保されるものである。乱数生成部５０１と、ピース化部５０４と、ピース暗号化部５０３と、データ送信部５０５と、送信要求受付部５０６との実体は、ノード５０のＣＰＵのプログラム実行時にＲＡＭなどの記憶装置上に生成されるものである。尚、ノード５０の外部記憶装置には、配信データが予め記憶されている。

固有情報格納部５００は、当該ノード５０に割り当てられたノードＩＤ及び公開鍵を記憶する。ピース化部５０４は、配信データを複数のピースに分割する。分割する際のデータサイズは特に限定されないが、予め定められているものとする。送信要求受付部５０６は、ピース化部５０４が分割したピースを要求するピース要求を他のノード５１から受信する。乱数生成部５０１は、送信要求受付部５０６がピース要求を受信した場合、その発生毎に異なり得る一時情報である乱数を生成する。一時情報とは、ノードで生成される度に異なり得る値となれば良く、乱数の他、例えば、タイムスタンプ、通信のシーケンス番号、ノードに固有のカウンタの値、Time Variant Parameterである。Time Variant Parameterについては、例えば文献ISO9798-1に記載されている。

ピース暗号化部５０３は、乱数生成部５０１が生成した乱数と固有情報格納部５００に記憶されている公開鍵とを用いてピースを暗号化して、暗号化ピースを含む暗号化データ（詳細は後述）を出力する。データ送信部５０５は、ピース要求を送信した他のノード５１に対して、固有情報格納部５００に記憶されているノードＩＤと、ピース暗号化部５０３が出力した暗号化データとを送信する。

＜配信開始ノード以外のノードの構成＞
次に、配信開始ノード以外であるノード５１のＣＰＵが記憶装置や外部記憶装置に記憶された各種プログラムを実行することにより実現される各種機能について説明する。図３は、ノード５１の機能的構成を例示する図である。ノード５１は、固有情報格納部５１０と、乱数生成部５１１と、ピース暗号化部５１３と、データ受信部５１４と、データ送信部５１５と、送信要求受付部５１６と、データ格納部５１７と、送信要求送信部５１８と、鍵要求送信部５１９と、ピース復号部５２０とを有する。尚、固有情報格納部５１０とデータ格納部５１７とは、例えばノード５１のＨＤＤなどの外部記憶装置に記憶領域として確保されるものである。乱数生成部５１１と、ピース暗号化部５１３と、データ受信部５１４と、データ送信部５１５と、送信要求受付部５１６と、送信要求送信部５１８と、鍵要求送信部５１９と、ピース復号部５２０との実体は、ノード５１のＣＰＵのプログラム実行時にＲＡＭなどの記憶装置上に生成されるものである。

固有情報格納部５１０は、当該ノード５１に割り当てられたノードＩＤ及び公開鍵を記憶する。送信要求受付部５１６の構成は上述のノード５０の有する送信要求受付部５０６の構成と同様である。送信要求送信部５１８は、ピースを要求するピース要求をノード５０又は他のノード５１に対して送信する。データ受信部５１４は、送信要求送信部５１８がピース要求を送信した相手であるノード５０又は他のノード５１から、ピースが暗号化された暗号化ピースを含む暗号化データと、当該暗号化ピースの送信を仲介した少なくとも１つの他のノード５０,５１に割り当てられた各ノードＩＤを含むノードＩＤ列とを受信する。データ格納部５１７は、データ受信部５１４が受信したノードＩＤ列と暗号化データとを対応付けて記憶する。暗号化データとは、暗号化ピースと算出情報列とを含むデータを指す。なお、算出情報とは、乱数（一時情報）に応じて変更される情報であって、例えば、後述するＣ_1,iが算出情報に相当する。

乱数生成部５１１は、送信対象の暗号化ピースを暗号化するとき、又は予め乱数を生成する。ピース暗号化部５１３は、乱数生成部５１１が生成した乱数と固有情報格納部５１０に記憶されている公開鍵とを用いて、データ格納部５１７に記憶されている１つの暗号化ピースを更に暗号化して、新たな暗号化ピースを生成し、新たな暗号化ピースを含む暗号化データを出力する。

データ送信部５１５は、送信要求受付部５１６が受信したピース要求を送信した他のノード５１に対して、送信対象の暗号化ピースに対応付けられてデータ格納部５１７に記憶されたノードＩＤ列に加え固有情報格納部５１０に記憶されたノードＩＤを含む新たなノードＩＤ列と、（ピース暗号化部５１３において送信対象の暗号化ピースを暗号化し）ピース暗号化部５１３が出力した新たな暗号化ピースを含む暗号化データとを送信する。尚、データ格納部５１７に暗号化ピースが記憶されていない場合には、送信要求受付部５１６がピース要求を受信したとしても、ピース暗号化部５１３は暗号化ピースを含む暗号化データを出力せず、データ送信部５１５は暗号化ピースを含む暗号化データを送信しない。

ここで、ノード５０，５１から送信されるノードＩＤ列と、暗号化ピースを含む暗号化データとについて具体的に説明する。尚、ノード５０から１つの暗号化ピースに対してこれと共に送信されるノードＩＤは１つであるが、ここでは説明の便宜上、これをノード列と記載する場合がある。暗号化ピースの配信経路としてここではノード５０からノード５１Ａ、更にノード５１Ａからノード５１Ｂに暗号化ピースを送信し、ノード５１Ｂから鍵サーバ５３に鍵要求を送信する場合について説明する。例えば、あるピースＰについてノード５１Ａからのピース要求に応じて、ノード５０が、乱数ｒ₀と公開鍵ｙ₀とを用いてピースＰを暗号化して暗号化ピースを含む暗号化データＣ_1,0、Ｃ_2,0、Ｙ₀を出力したとする。なお、Ｃ_1,i、Ｃ_2,i、Ｙ_iとは、配信経路上でｉ番目に暗号化データの配信を仲介したノード５１で計算される暗号化データを意味する。そして、ｉ＝０のときの暗号化データＣ_1,0、Ｃ_2,0、Ｙ₀は、配信開始ノードであるノード５０で計算される暗号化データを意味する。

ここで、図４に示されるように、ピースＰの一部（又は全部）をｍと表記し、ｍ以外の残りの部分をＲと表記する。ノード５０が、当該暗号化データをノードＩＤ「ID#0」と共にノード５１Ａに送信したとする。図５は、ノード５０からノード５１Ａに送信される情報を模式的に示す図である。ここで、暗号化データＣ_1,0、Ｃ_2,0、Ｙ₀の計算方法について説明する。始めにパラメータを定義する。ｐ，ｑを素数とし、ｑはｐ−１を割り切るとする。Ｚｑ＝｛０，１，…，ｑ−１｝とする。Ｚｐ＊＝｛１，…，ｐ−１｝とする。ｇを、Ｚｐ＊上の１のｑ乗根とする。Ｇｑを、Ｚｐ＊の部分群であり、かつ、位数がｑである乗法群とする。各ノードは、ｐ，ｑ，ｇの値を知らされている。以下、特に断りの無い限り、計算はＺｐ＊上で行われるとする。ノードＩＤが「ID#i」であるノードに割り当てられる公開鍵ｙ_iは以下の（１）式で表される。

ここで、ｘ_iは公開鍵ｙ_iに対応する秘密鍵であるが、鍵サーバのみが各ｘ_iを保持し、各ノードは公開鍵のみを保持する。ノード５０は、乱数ｒ₀と公開鍵ｙ₀を用いて、以下の（２）式〜（５）式により暗号化データＣ_1,0、Ｃ_2,0、Ｙ₀を計算する。

Ｃ_1,0は乱数ｒ₀によってその値が変わる情報である。すなわち、Ｃ_1,0は乱数ｒ₀に応じた値を有する。ここで、Ｈはハッシュ関数を表す。関数ＫＸＯＲ（Ｋ，Ｒ）の定義は以下である。ＫＸＯＲの入力は鍵ＫとデータＲであり、ＲはＲ=Ｒ₁||Ｒ₂||…||Ｒ_nと表せるとする。||はデータ連結を表す。１≦ｉ≦ｎについて、以下の（６）式によりＲ_i’を計算し、出力をＲ₁’||Ｒ₂’||…||Ｒ_n’とする。尚、例えばｍ＝Ｐとする場合など、Ｒに相当するデータが存在しない場合やＲにＫＸＯＲ処理を施さない場合は、上記Ｙ₀、Ｋ₀の計算は行わず、暗号化データはＣ_1,0、Ｃ_2,0となる。

（３）式のＣ₂の計算において、ｍをＧｑの元に写像することが必要となる。そのような写像Ｆの定義は以下の（７）式である。ｐ＝２ｑ＋１とする。
Ｆ：Ｚｑ→ＱＲｐ：Ｆ（ａ）＝ａ² ｍｏｄ ｐ ・・・（７）

ここで、ＱＲｐ＝｛１² ｍｏｄ ｐ, ２² ｍｏｄ ｐ,・・・, ｑ²ｍｏｄ ｐ｝である。ｍをＧｑ（この例ではＱＲｐ）の元に写像するためにはＦ（ｍ）を計算し、上式のｍをＦ（ｍ）に置き換えてＣ₂を計算すれば良い。また、Ｆの逆写像Ｆ^−１の定義は以下で（８）式である。
Ｆ^-1：ＱＲｐ→Ｚｑ：Ｆ^-1（ｂ）＝ｍｉｎ（ｂ^（p+1）/4, −ｂ^（p+1）/4） ・・・（８）

ここで、ｍｉｎ（ｘ，ｙ）はｘとｙの内でより小さい方を表す。例えば、ｘ＜ｙの場合はｍｉｎ（ｘ，ｙ）＝ｘである（ｘ＝ｙの場合はｍｉｎ（ｘ，ｙ）＝ｘとする）。Ｆ（ｍ）からｍを求める場合には、Ｆ^-1（Ｆ（ｍ））を計算すれば良い。以下、上述の写像、逆写像を計算する処理の記載を省略する。尚、上述したＫＸＯＲ処理を行わず、Ｒのままにしておいても良い。

ノード５１Ａは、これらのノードＩＤ「ID#0」と、暗号化データＣ_1,0、Ｃ_2,0、Ｙ₀とを対応付けてデータ格納部５１７に記憶することになる。

そして、当該ノード５１Ａが、ノード５１Ｂからのピース要求に応じてピースＰに対する暗号化ピースを含む暗号化データを送信する場合、乱数ｒ₁を生成し、これと公開鍵ｙ₁とを用いて暗号化ピースＣ₂、Ｙ₀を以下の（９）式〜（１２）式により更に暗号化して暗号化データＣ_1,1、Ｃ_2,1、Ｙ₁を計算する。

Ｃ_1,1は乱数ｒ₁によってその値が変わる情報（算出情報）である。このとき、ノード５１Ａは、ノード５１Ｂに対して、データ格納部５１７に記憶されている、ノード５０に割り当てられたノードＩＤ「ID#0」に加え固有情報格納部５１０に記憶されている、自身に割り当てられたノードＩＤ「ID#1」と、データ格納部５１７に記憶されている算出情報Ｃ_1,0と、上式において計算した算出情報Ｃ_1,1、及び暗号化ピースＣ_2,1、Ｙ₁とを送信する。図６は、ノード５１Ａからノード５１Ｂに送信される情報を模式的に示す図である。ノード５１Ｂは、これらのノードＩＤ列「ID#0，ID#1」、算出情報列Ｃ_1,0, Ｃ_1,1、及び暗号化ピースＣ_2,1、Ｙ₁を対応付けてデータ格納部５１７に記憶する。

図３の説明に戻る。鍵要求送信部５１９は、データ格納部５１７に記憶された暗号化ピースを復号するための復号鍵を要求する鍵要求を鍵サーバ５３に送信する。ここで鍵要求送信部５１９は、当該暗号化ピースに対応してデータ格納部５１７に記憶されているノードＩＤ列及び算出情報列を鍵要求に含めて鍵サーバ５３に送信する。例えば、ノード５１Ｂが、ノード５１Ａが暗号化を行った場合に出力された図６に示した暗号化ピースＣ_2,1、Ｙ₁を復号するための復号鍵を要求する鍵要求を鍵サーバ５３に送信する場合、ノード５１Ｂの鍵要求送信部５１９は、ノードＩＤ列「ID#0，ID#1」と、算出情報列Ｃ_1,0、Ｃ_1,1とを含む鍵要求を送信する。図７は、ノード５１Ｂから鍵サーバ５３に送信される情報を模式的に示す図である。このように、ノード５１は、暗号化ピースを復号するための復号鍵を鍵サーバ５３に要求する際に、当該暗号化ピースの配信経路を示すものとして、配信開始ノードであるノード５０を基点として当該暗号化ピースの配信を仲介する各ノード５０，５１の各ノードＩＤを含むノードＩＤ列及び当該各ノード５０，５１が生成した各乱数から算出される算出情報列を鍵サーバ５３に送信する。

ピース復号部５２０は、鍵要求送信部５１９が送信した鍵要求に応じて鍵サーバ５３から送信されたデータ（後述するＤ、Ｄ’）を復号鍵として受信し、当該復号鍵を用いて暗号化ピースを復号する。尚、ピース復号部５２０がどのようにピースＰを復号するのかは後述する。図８は、鍵サーバ５３からノード５１Ｂに送信される情報を模式的に示す図である。同図に示される復号鍵によりピースＰが復号される。尚、鍵サーバ５３がどのように復号鍵を生成するのかは後述する。

尚、ノード５１が、複数のピースのそれぞれについてどのような順番やタイミングでどのノードから取得するかは特に限定されないが、以上のようにして、ノード５１は、複数のピースのそれぞれが暗号化された各暗号化ピースをピース要求によって他のノード５０，５１から取得する。また、ノード５１は、各暗号化ピースについて鍵要求によって各復号鍵を鍵サーバ５３から受信し、各暗号化ピースを復号することにより、上述の配信データを得る。

＜鍵サーバの構成＞
次に、鍵サーバ５３のＣＰＵが記憶装置や外部記憶装置に記憶された各種プログラムを実行することにより実現される各種機能について説明する。図９は、鍵サーバ５３の機能的構成を例示する図である。鍵サーバ５３は、秘密鍵格納部５３０と、復号鍵計算部５３２と、データ受信部５３１と、データ送信部５３４とを有する。尚、秘密鍵格納部５３０は、例えば鍵サーバ５３のＨＤＤなどの外部記憶装置に記憶領域として確保されるものである。復号鍵計算部５３２と、データ受信部５３１と、データ送信部５３４との実体は、鍵サーバ５３のＣＰＵのプログラム実行時にＲＡＭなどの記憶装置上に生成されるものである。

秘密鍵格納部５３０は、各ノード５０，５１に割り当てられた公開鍵にそれぞれ対応する秘密鍵を、各ノード５０，５１に割り当てられたノードＩＤと対応付けて記憶する。データ受信部５３１は、上述したノードＩＤ列及び算出情報列を含む鍵要求をノード５１から受信すると共に、暗号化ピースを復号するための復号鍵を要求する。

復号鍵計算部５３２における処理を上述の例（ノード５０からノード５１Ａへ、さらにノード５１Ａからノード５１Ｂへ暗号化ピースが配信され、ノード５１Ｂが鍵サーバ５３へ鍵要求する例）を用いて説明する。ID#0、ID#1、Ｃ_1,0、Ｃ_1,1を受信した鍵サーバ５３は、ノード５０に割り当てられた公開鍵に対応する秘密鍵ｘ₀とノード５１Ａに割り当てられた公開鍵に対応する秘密鍵ｘ₁とを用いて、以下の（１３）式、（１４）式によりＤ、Ｄ’を計算する。

ここで、ノード５１Ｂでの復号処理について説明する。ノード５１Ｂは、上式のＤ、Ｄ’と暗号化ピースＣ_2,1、Ｙ₁とを用いて、以下の（１５）式、（１６）式によりピースＰを得る。

上述した暗号方式は、ＥｌＧａｍａｌ暗号方式に基づいている。本暗号方式では、ＥｌＧａｍａｌ暗号方式が有する準同型性を利用し、ピースの暗号化に用いられた、ノード５０、ノード５１Ａの公開鍵ｙ₀、ｙ₁にそれぞれ対応する秘密鍵ｘ₀、ｘ₁を１つの復号鍵Ｄに集約している。これにより、暗号化ピースが経由するノード数が大きくなっても復号鍵サイズを一定に保つことが可能となる。従って、鍵サーバから送信されるデータ量を削減することが可能となる。なお、適用可能な暗号方式は、ＥｌＧａｍａｌ暗号方式に限られるものではない。また、集約する復号鍵の個数も１つに限られるものではない。すなわち、各ノードの公開鍵にそれぞれ対応する秘密鍵を、予め定められた個数の復号鍵に集約可能な暗号方式であればあらゆる方式を適用しうる。

データ送信部５３４は、復号鍵計算部５３２が計算した復号鍵を、データ受信部５３１が受信した鍵要求を送信したノード５１に対して送信する。例えば、上述の例では、ノード５１Ａが暗号化を行っていた場合には、鍵サーバ５３は、図７に示されるノードＩＤ列及び算出情報列を含む鍵要求に応じて、図８に示されるように、Ｄ、Ｄ’をノード５１Ｂに対して送信する。当該ピースについて行われた全ての暗号化のそれぞれを復号するための復号鍵がノード５１Ｂに対して送信されることにより、ノード５１Ｂは当該暗号化ピースの暗号化を完全に復号することができる。

（２）動作
＜配信開始ノード：配信処理＞
次に、本実施の形態にかかるデータ配信システムで行われる処理の手順について説明する。まず、配信開始ノードであるノード５０が行う配信処理の手順について図１０を用いて説明する。ノード５０は、配信データを複数のピースに分割する（ステップＳ１）。そして、ノード５０は、ピースを要求するピース要求を他のノード５１から受信すると（ステップＳ２：ＹＥＳ）、乱数ｒ₀を生成する（ステップＳ３）。次いで、ノード５０は、乱数ｒ₀と固有情報格納部５００に記憶された公開鍵ｙ₀とを用いて、送信対象となるピースＰを暗号化して、暗号化ピースを含む暗号化データを出力する（ステップＳ４）。尚、送信対象となるピースをどのように決定するかは特に限定されない。そして、ノード５０は、ステップＳ２で受信されたピース要求を送信した他のノード５１に対して、例えば図５に示されるように、固有情報格納部５００に記憶されているノードＩＤ「ID#0」と、ステップＳ３で生成した乱数ｒ₀と、ステップＳ４で出力した暗号化データとを送信する（ステップＳ５）。その後ステップＳ２に戻り、ノード５０は、新たなピース要求の受信を待機する。尚、ステップＳ２で受信されるピース要求は、同一のノード５１であるとは限らず、当該ピース要求によって要求されるピースＰは、同一のピースであるとは限らない。また、ステップＳ３で生成する乱数は基本的にステップＳ３の処理毎に異なる。

＜受信処理＞
次に、ノード５１がノード５０又は他のノード５１から暗号化ピースを受信する受信処理の手順について図１１を用いて説明する。ノード５１は、ピースを要求するピース要求をノード５０又は他のノード５１に対して送信する（ステップＳ１０）。次いで、ノード５１は、ステップＳ１０でピース要求を送信した相手であるノード５０又は他のノード５１から、ノードＩＤ列と暗号化データとを受信する（ステップＳ１１）。そして、ノード５１は、ステップＳ１１で受信したノードＩＤ列及び暗号化データを対応付けて記憶する（ステップＳ１２）。

＜配信開始ノード以外のノード：配信処理＞
次に、配信開始ノード以外のノード５１が行う配信処理の手順について図１２を用いて説明する。ノード５１は、ピースを要求するピース要求を他のノード５１から受信すると（ステップＳ２０：ＹＥＳ）、乱数を生成する（ステップＳ２１）。次いでノード５１は、ステップＳ２１で生成した乱数と、固有情報格納部５１０に記憶された公開鍵とを用いて、あるピースＰが暗号化された暗号化ピースであってデータ格納部５１７に記憶されている暗号化ピースを更に暗号化して、新たな暗号化ピースを出力する（ステップＳ２２）。その後ノード５１は、ステップＳ２０で受信されたピース要求を送信した他のノード５１に対して、送信対象である暗号化ピースに対応付けられてデータ格納部５１７に記憶されたノードＩＤに加え固有情報格納部５１０に記憶されたノードＩＤを含む新たなノードＩＤ列と、送信対象である暗号化ピースに対応付けられてデータ格納部５１７に記憶された算出情報に加えステップＳ２２の暗号化の際に生成した算出情報を含む新たな算出情報列と、ステップＳ２２で出力した新たな暗号化ピースとを送信する（ステップＳ２３）。

＜復号処理＞
次に、ノード５１が鍵サーバ５３から復号鍵を取得しこれを用いて暗号化ピースを復号する復号処理の手順について図１３を用いて説明する。ノード５１は、データ格納部５１７に記憶された暗号化ピースに対応付けられているノードＩＤ列及び算出情報列を読み出し（ステップＳ３０）、当該暗号化ピースを復号するための復号鍵を要求すると共に、当該ノードＩＤ列及び算出情報列を含む鍵要求を鍵サーバ５３に送信する（ステップＳ３１）。次いで、ノード５１は、ステップＳ３０で送信された鍵要求に応じて鍵サーバ５３から送信された復号鍵を受信し（ステップＳ３２）、当該復号鍵を用いて暗号化ピースを復号する（ステップＳ３３）。このようにして、各ノード５１は、複数のピースのそれぞれが暗号化された各暗号化ピースについて鍵要求によって各復号鍵を鍵サーバ５３から受信し、各暗号化ピースを復号することにより、上述の配信データを得ることができる。

＜鍵サーバ：鍵送信処理＞
次に、鍵サーバ５３がノード５１からの鍵要求に応じて復号鍵を送信する鍵送信処理の手順について図１４を用いて説明する。鍵サーバ５３は、ノードＩＤ列及び算出情報列を含む鍵要求（暗号化ピースを復号するための復号鍵の要求）をノード５１から受信すると（ステップＳ４０：ＹＥＳ）、受信した鍵要求に含まれるノードＩＤ列に含まれる各ノードＩＤに対応付けられて秘密鍵格納部５３０に記憶されている秘密鍵をノードＩＤ毎に読み出す（ステップＳ４１）。そして、鍵サーバ５３は、ステップＳ４１において読み出した秘密鍵と、ステップＳ４０において受信した算出情報を用いて復号鍵を計算する（ステップＳ４２）。次いで、鍵サーバ５３は、ステップＳ４２で生成した復号鍵を、ステップＳ４０で受信した鍵要求を送信したノード５１に対して送信する（ステップＳ４３）。

以上のような構成によれば、あるノードが取得する暗号化ピースの組み合わせは配信経路と配信時期とに固有のものとなり、確実に一意となり得る。このような構成によれば、Ｐ２Ｐ配信において配信方法に関する特別な工夫をしなくても、各ノードが取得する各暗号化ピースの組み合わせについてノード毎の一意性を確実に高めることができ、安全性を向上させることができる。更に、データの保護とデータの配信方法との独立性を維持することが可能になり、システム構築上の自由度を向上させることが可能になる。また、上述したように、複数のノードによる暗号化で用いられた複数の公開鍵にそれぞれ対応する複数の秘密鍵を１つの復号鍵に集約して復号に用いることができるため、暗号化ピースが経由するノード数が大きくなっても復号鍵サイズを一定に保ち、鍵サーバから送信されるデータ量を削減することが可能となる。

[変形例]
なお、本発明は前記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、前記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。また、以下に例示するような種々の変形が可能である。

＜変形例１＞
上述した実施の形態において、各ノード５０で実行される各種プログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成しても良い。また当該プログラムを、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成しても良い。この場合には、プログラムは、各ノード５０において上記記録媒体から読み出して実行することにより主記憶装置（例えばＲＡＭ）上にロードされ、上記機能的構成において説明した各部が主記憶装置上に生成される。鍵サーバ５３で実行される各種プログラムについても同様である。

また、上述した実施の形態において、各ノード５０の機能的構成において説明した各部のうち全部又は一部をハードウェアにより構成しても良い。鍵サーバ５３の機能的構成において説明した各部のうち全部又は一部についても同様である。

＜変形例２＞
第１の実施の形態では、暗号化ピースが各ノードにおいてさらに暗号化される例を説明したが、これに限らず、受信した暗号化ピースをそのまま他のノードに転送しても良い。また、配信開始ノードのみが暗号化を行っても良い。以下、配信開始ノードのみが暗号化を行う例を説明する。以下、第１の実施の形態と異なる点のみを記載し、第１の実施の形態と同様の処理を行う場合はその記載を省略する。（後述のその他の変形例についても同様である。）

各ノードは予め秘密鍵ｘ_i’を与えられている。鍵サーバ５３は以下の（１７）式を満たすz及び各ｘ_iを保持している。

ノード５０は、乱数rを生成し、以下の（１８）式、（１９）式により暗号化データを計算する。

各ノードは、Ｐ２Ｐネットワークを介して、暗号化データＣ₁、Ｃ₂を配信する。ノード５１Ｂは、以下の（２０）式で表されるＥを含む復号鍵要求メッセージを鍵サーバ５３へ送信する。鍵サーバ５３は、以下の（２１）式によりＤを計算し、ノード５１Ｂへ送信する。

Ｄを受信したノード５１Ｂは、以下の（２２）式により暗号化ピースを復号する。

＜変形例３＞
第１の実施の形態では、鍵サーバ５３は、復号鍵Ｄをそのまま送信する例を説明したが、Ｄを暗号化した上で送信しても良い。これにより、復号鍵を盗聴から守ることができる。ノード５１Ｂは、乱数ｔ₂を生成し、ノードＩＤ列、Ｃ_1,0、Ｃ_1,1に加えて以下の（２３）式で表されるＥを含む復号鍵要求メッセージを鍵サーバ５３へ送信する。

鍵サーバ５３は、第１の実施の形態と同様に復号鍵Ｄを計算し、以下の（２４）式によりＤ_eを計算し、Ｄ_eをノード５１Ｂへ送信する。

Ｄ_eを受信したノード５１Ｂは、以下の（２５）式により暗号化ピースを復号する。

尚、Ｄ_eの生成方法として、共通鍵暗号方式を用いても良い。つまり、ｇ＾ｔ_２を共通鍵としてＤを暗号化したものをＤ_eとしても良い。

＜変形例４＞
第１の実施の形態では、暗号化を有限体の乗法群上で行う例を説明したが、これに限らず、暗号化を楕円曲線上の点から成る加法群上で行っても良い。以下、暗号化を楕円曲線上の点から成る加法群上で行う例を説明する。Ｇを楕円曲線上のベースポイントとする。各ノードに与えられる公開鍵ｙ_iはｙ_i＝ｘ_iＧと表される。ノード５０は、以下の（２６）〜（２９）式により暗号化処理を行う。

こで、［Ａ］_xは楕円曲線上の点Ａのｘ座標を表す。ノード５１Ａは、以下の（３０）式〜（３３）式により暗号化処理を行う。

鍵サーバ５３は、以下の（３４）式、（３５）式により復号鍵Ｄ、Ｄ’を計算し、ノード５１Ｂへ送信する。

＜変形例５＞
変形例４では、ｍをスカラーとして扱う例を説明したが、これに限らず、ｍを楕円曲線上の点Ｍに変換して暗号化を行っても良い。以下、ｍを楕円曲線上の点Ｍに変換して暗号化を行う例を説明する。変形例４との相違点のみを記載する。関数Ｐｌｕｓ、関数Ｍｉｎｕｓを以下のように定義する。定義１、定義２のいずれを採用しても良い。
（定義１）Ｐｌｕｓ（Ａ，Ｂ）は、点Ａと点Ｂとの、ｍｏｄ ｐ（ｐは素数）上の長さ２のベクトルの加算を表す。この場合、Ｍｉｎｕｓ（Ａ，Ｂ）はｍｏｄ ｐ上の長さ２のベクトルの減算を表す。
（定義２）Ｐｌｕｓ（Ａ，Ｂ）はＡとＢとの点加算を表す。この場合、Ｍｉｎｕｓ（Ａ，Ｂ）はＢの逆元−ＢとＡとの点加算を表す。

ノード５０は、ｍを点Ｍへ変換し、以下の（３６）式〜（３９）式により暗号化処理を行う。

尚、ｍを点Ｍへ、又は点Ｍをｍへ変換する方法は、例えば、「Standards for Efficient Cryptography, SEC 1: Elliptic Curve Cryptography, Version 1.0, September 20, 2000. （http://www.secg.org/download/aid-385/sec1_final.pdf）」において開示されている。

ノード５１Ａは、以下の（４０）式〜（４３）式により暗号化処理を行う。

鍵サーバ５３は、以下の（４４）式、（４５）式により復号鍵Ｄ、Ｄ’を計算し、ノード５１Ｂへ送信する。ノード５１Ｂは、以下の（４６）式により点Ｍを計算し、点Ｍをｍへ変換する。

＜変形例６＞
変形例４では、暗号化を楕円曲線上の点から成る加法群上で行う例を説明した。これは変形例２に適用しても良い。以下、変形例２において、暗号化を楕円曲線上の点から成る加法群上で行う例を説明する。変形例４との相違点のみを記載する。

ノード５０は、乱数rを生成し、ｍを点Ｍに変換し、以下の（４７）式、（４８）式により暗号化データを計算する。

各ノードは、Ｐ２Ｐネットワークを介して、暗号化データＣ₁、Ｃ₂を配信する。ノード５１Ｂは、以下の（４９）式で表されるＥを含む復号鍵要求メッセージを鍵サーバ５３へ送信する。

鍵サーバ５３は、以下の（５０）式によりＤを計算し、ノード５１Ｂへ送信する。

Ｄを受信したノード５１Ｂは、以下の（５１）式により点Ｍを計算し、点Ｍをｍへ変換する。

＜変形例７＞
変形例４では、暗号化を楕円曲線上の点から成る加法群上で行う例を説明した。これは変形例３に適用しても良い。以下、変形例３において、暗号化を楕円曲線上の点から成る加法群上で行う例を説明する。変形例４との相違点のみを記載する。ノード５１Ｂは、乱数ｔ₂を生成し、ノードＩＤ列、Ｃ_1,0、Ｃ_1,1に加えて以下の（５２）式で表されるＥを含む復号鍵要求メッセージを鍵サーバ５３へ送信する。

鍵サーバ５３は、以下の（５３）式により復号鍵Ｄを計算し、さらに（５４）式によりＤ_eを計算する。そしてＤ_eをノード５１Ｂへ送信する。

Ｄ_eを受信したノード５１Ｂは、以下の（５５）式によりＤを計算する。

ノード５１Ｂは、以下の（５６）式によりＭを計算し、Ｍをｍに変換する。

尚、Ｄ_eの生成方法として、共通鍵暗号方式を用いても良い。つまり、ｔ₂Ｇを共通鍵としてＤを暗号化したものをＤ_eとしても良い。

＜変形例８＞
各ノードに上述したＫＸＯＲ処理を行うか行わないかの選択をさせても良い。この場合、鍵サーバ５３においてどのノードがＫＸＯＲ処理を行ったかが識別できるように、各ノードは、上述のノードＩＤ列とは別に、ＫＸＯＲ処理を行ったノードのノードＩＤ列を送信するようにすれば良い。

また、上述の関数ＫＸＯＲに代えて、以下に定義する関数ＫＸＯＲ’関数を用いても良い。ＫＸＯＲ’の入力は鍵ＫとデータＲであり、ＲはＲ=Ｒ₁||Ｒ₂||…||Ｒ_nと表せるとする。１≦ｉ≦ｎについて、Ｚ_i＝ｓ＊Ｚ_i-1＋ｔ、Ｚ₀＝Ｋ、および以下の（５７）式によりＲ_i’を計算し、出力をＲ₁’||Ｒ₂’||…||Ｒ_n’とする。本変形例において、「＊」および「＋」はそれぞれ拡大体上での乗算および加算を表す。ｓ，ｔは定数であるが、ｓ，ｔともにシステム固定であっても良いし、ｓは配信データ毎に変えても良いし、ｔは配信データ毎、ノード毎、又は配信データ毎かつノード毎に変えても良い。

＜変形例９＞
ピースＰとその一部分のデータであるｍとの関係について、図４に示した例のみに限らず、図１５に示すようにＰ＝ｍとしても良い。この場合、Ｙ_i、Ｋ_iの計算は行わない。また、図１６に示すように、Ｐ＝ｍ₁||ｍ₂||…||ｍ_Nとしても良い。この場合、各ｍ_iについて、（Ｙ_i、Ｋ_iの計算は行わずに）暗号化データをそれぞれ計算する。この場合、各ノードは必ずしも全てのｍ_iを暗号化しなくても良い。

ここで、図１７に示すように、Ｐ＝ｍ₁||ｍ₂||…||ｍ_N||Ｒとする場合の、ノード５１Ｂが鍵サーバ５３から受信する復号鍵の（ノード５１Ｂにおける）格納形式について説明する。第１の実施の形態のノード５１Ｂは、復号鍵を格納するための復号鍵格納部を有していても良い。図１８は、このように構成した本変形例のノード１８５１の機能的構成を例示する図である。同図に示すように、ノード１８５１は、復号鍵格納部１８５２１をさらに備えている。また、この復号鍵格納部１８５２１は、ＳＤメモリカードやＳＤＨＣメモリカード等の着脱可能な記録媒体によって実現されていても良い。特に、ＳＤメモリカードやＳＤＨＣメモリカード等の着脱可能な記録媒体の秘匿領域に復号鍵を格納することが望ましい。ｍ_iを復号するための復号鍵をＤ_iとし、Ｒを復号するための復号鍵をＤ’’とする。Ｄ_iの計算方法は上記（１３）式と同様である。Ｄ’’の計算方法は上記（１４）式と同様である。

復号鍵格納部１８５２１への復号鍵Ｄ₁、Ｄ₂、・・・,、Ｄ_N、Ｄ’’の格納形式の一例を図１９に示す。ノード５１Ｂは、鍵サーバ５３から受信した復号鍵を復号鍵格納部１８５２１に格納する。そして、ノード５１Ｂは、復号鍵格納部１８５２１より復号鍵を読み出し、上記（１５）式、（１６）式と同様の計算を行い、暗号化ピースを復号する。

＜変形例１０＞
第１の実施の形態におけるピース暗号化方式は、ＥｌＧａｍａｌ暗号方式が応用されているとみなすことができるが、これに限らず、「R. Cramer and V. Shoup, “A Practical Public Key Cryptosystem Provably Secure against Adaptive Chosen Ciphertext Attack,” Proc. CRYPTO'98, LNCS 1462, Springer-Verlag, pp.13-25, 1998」において開示されているCramer-Shoup暗号方式をピース暗号化方式に応用しても良い。

始めに、Cramer-Shoup暗号方式の概要を説明する。
（鍵生成）第１の実施の形態と同様に、素数ｐ，ｑを生成する。Ｇｑのランダムな要素ｇ₁、ｇ₂を選択し、秘密鍵ｘ₁、ｘ₂、ｙ₁、ｙ₂、ｚ（全てＺｑの要素）を生成する。この秘密鍵に対応する公開鍵ｇ₁、ｇ₂、ｃ、ｄ、ｈを生成する。ここで、ｃ、ｄ、ｈは以下の（５８）式〜（６０）式により定義される。

（暗号化）Ｚｑの要素をランダムに選択し、選択した要素をｒとする。Ｇｑの要素である平文ｍを以下の（６１）式〜（６５）式により暗号化し、暗号文ｕ₁、ｕ₂、ｅ、ｖを得る。ここでＨはハッシュ関数である。

（復号）以下の（６６）式によりａを計算する。

次に、秘密鍵を用いて以下の（６７）式が成立するか検査する。

検査に合格したら、秘密鍵を用いて以下の（６８）式により平文ｍを計算する。検査に不合格の場合、暗号文が無効である旨のメッセージを出して終了する。

次に、第１の実施の形態（ノード５０からノード５１Ａ、ノード５１Ｂへと暗号化ピースが配信され、ノード５１Ｂが鍵サーバ５３へ復号鍵を要求する例）にこれを当てはめた場合について説明する。鍵サーバ５３は、各ノードの公開鍵ｇ₁、ｇ₂、ｃ_i、ｄ_i、ｈ_i（＝ｇ₁ ^zi）にそれぞれ対応する秘密鍵ｘ_1,i、ｘ_2,i、ｙ_1,i、ｙ_2,i、z_iを知っている。ここで、ｃ_i、ｄ_i、ｈ_iは以下の（６９）式〜（７１）式により表される。

各ノードには公開鍵ｇ₁、ｇ₂、ｃ_i、ｄ_i、ｈ_iに加え、秘密鍵ｘ_1,i、ｘ_2,i、ｙ_1,i、ｙ_2,iもそれぞれ与えられる。暗号文ｕ₁、ｕ₂、ｅ、ｖの中で、上記（２）式のＣ_1,0がｕ₁、ｕ₂、ｖに、上記（３）式のＣ_2,0がｅに対応するとみなすことができる。ノード５１Ａの公開鍵をｇ₁、ｇ₂、ｃ₁、ｄ₁、ｈ₁と表記する。配信開始ノード５０は、乱数ｒ₀を生成し、以下の（７２）式〜（７８）式により暗号化を行う。

ここで、ｕ_1,i、ｕ_2,i、ａ_i、ｖ_i、ｅ_i、Ｙ_i、Ｋ_iとは、配信経路上でｉ番目に暗号化データの配信を仲介したノード５１で計算されるデータを意味する。そして、ｉ＝０のときのデータｕ_1,0、ｕ_2,0、ａ₀、ｖ₀、ｅ₀、Ｙ₀、Ｋ₀は、配信開始ノードであるノード５０で計算されるデータを意味する。

尚、ノード５０は、暗号化データをノード５１Ａに送信する際、自身のノードＩＤをノード５１Ａに送信しなくても良い。ノード５１Ｂの公開鍵をｇ₁、ｇ₂、ｃ₂、ｄ₂、ｈ₂と表記する。ノード５１Ａは、受信した暗号化データと自身の秘密鍵を用いて上記（６７）式の検証を行う。検査に合格したら、乱数ｒ₁を生成し、以下の（７９）式〜（８５）式により暗号化を行う。検査に不合格の場合、暗号化データが無効である旨のメッセージを出して終了する。

ノード５１Ａは、暗号化データをノード５１Ｂに送信する際、自身のノードＩＤをノード５１Ｂに送信する。ノード５１Ｂは、復号鍵要求メッセージを鍵サーバ５３に送信する際、ノード５１ＡのノードＩＤと自身のノードＩＤとをノードＩＤ列として鍵サーバ５３に送信する。ノード５１Ｂからｕ_1,0、ｕ_1,1及びノードＩＤ列を受信した鍵サーバ５３は、以下の（８６）式、（８７）式により復号鍵を計算し、復号鍵Ｄ、Ｄ’をノード５１Ｂへ送信する。

ノード５１Ｂは、ｕ_1,0、ｕ_1,1及びノードＩＤ列に加えてu_2,1、e₁、v₁を鍵サーバ５３に送信しても良い。この場合、鍵サーバ５３においても上記（６７）式の検証を行う。すなわち、鍵サーバ５３は、受信した暗号化データとノード５１Ｂの秘密鍵を用いて（６７）式の検証を行う。検査に合格したら、復号鍵Ｄ、Ｄ’をノード５１Ｂへ送信する。検査に不合格の場合、暗号化データが無効である旨のメッセージを出して終了する。ノード５１Ｂにおける復号は以下の（８８）式、（８９）式により行われる。

＜変形例１１＞
第１の実施の形態におけるピース暗号化方式は、ＥｌＧａｍａｌ暗号方式が応用されているとみなすことができるが、これに限らず、ＲＳＡ暗号方式をピース暗号化方式に応用しても良い。

始めに、ＲＳＡ暗号方式の概要を説明する。
（鍵生成）素数ｐ，ｑを生成し、Ｎ＝ｐｑを計算する。次に、（ｐ−１）（ｑ−１）との最大公約数が１となるｅをランダムに選択する。そして、ｅｄo１（ｍｏｄ （ｐ−１）（ｑ−１））となるｄを計算する。ここで、ａoｂ（ｍｏｄ Ｎ）とは、整数ａ，ｂの差ａ−ｂが０または正整数Nの倍数であることを表す。公開鍵は（ｅ，Ｎ）であり、それに対応する秘密鍵はｄである。

（暗号化）公開鍵を用いて、平文ｍ（ｍは０≦ｍ≦Ｎ−１を満たす整数）を以下の（９０）式により暗号化し、暗号文Ｃを得る。

（復号）秘密鍵ｄを用いて以下の（９１）式により平文ｍを計算する。

次に、第１の実施の形態（ノード５０からノード５１Ａ、ノード５１Ｂへと暗号化ピースが配信され、ノード５１Ｂが鍵サーバ５３へ復号鍵を要求する例）にこれを当てはめた場合について説明する。各ノードに与えられえる公開鍵を（ｅ_i，Ｎ）とする。鍵サーバ５３は、各ノードに与えられえる公開鍵に対応する秘密鍵ｄ_i（ｅ_iｄ_io１（ｍｏｄ （ｐ−１）（ｑ−１）））を全て保持している。また、鍵サーバ５３は、ｐ，ｑの値を知っている。配信開始ノード５０は、公開鍵ｅ₀を用いて、以下の（９２）式によりｍを暗号化する。ここで、Ｃ_iとは、配信経路上でｉ番目に暗号化データの配信を仲介したノード５１で計算される暗号化ピースを意味する。そして、ｉ＝０のときの暗号化ピースＣ₀は、配信開始ノードであるノード５０で計算される暗号化ピースを意味する。

ノード５０は、自身のノードＩＤ「ID#0」と暗号化ピースＣ₀とをノード５１Ａに送信する。ノード５１Ａは、公開鍵ｅ₁を用いて、以下の（９３）式によりＣ₀をさらに暗号化する。

ノード５１Ａは、ノードＩＤ列「ID#0，ID#1」と暗号化ピースＣ₁とをノード５１Ｂに送信する。ノード５１Ｂは、ノード５１Ａから受信したノードＩＤ列「ID#0，ID#1」を含む復号鍵要求メッセージを鍵サーバ５３へ送信する。鍵サーバ５３は、以下の（９４）式により復号鍵Ｄを計算する。

ノード５１Ｂにおける復号は以下の（９５）式により行われる。

＜変形例１２＞
第１の実施の形態においては、鍵サーバ５３が各ノードの公開鍵に対応する秘密鍵ｘ_iをそれぞれ保持する例を挙げたが、これに限らず、各ノードのノードＩＤ「ID#i」から秘密鍵ｘ_iを導出するようにして、導出アルゴリズム（例えば以下の（９６）式で表される関数F）のみ記憶しておいても良い。
ｘ_i=F（ID#i, Kmaster） ・・・（９６）

関数Fとしては、例えば、以下の（９７）式、（９８）式、及び（９９）式のいずれを用いてもよい。上記（９７）式、（９８）式、及び（９９）式では、ｘに「ID#i」が代入され、ｙに鍵サーバ５３の秘密鍵「Kmaster」が代入される。

F（ｘ，ｙ）＝H（ｘ || ｙ） ・・・（９９）

（９７）式のEは、暗号化関数を表し、E（Key）［X］は、XがKeyで暗号化されていることを表す。（９８）式のDは、復号関数を表し、D（Key）［X］は、XがKeyで復号されていることを表す。つまり、‘C=D（Key）［E（Key）［C］］’である。（９９）式のHは、ハッシュ関数を表し、||は、データの連結を表す。このようにすれば、鍵サーバ５３において各ノードの公開鍵に対応する秘密鍵を記憶しておく必要がなくなり、鍵サーバ５３での記憶容量を節約できる。

第１の実施の形態にかかるデータ配信システムの構成を示す図である。 同実施の形態にかかるノード５０の機能的構成を例示する図である。 同実施の形態にかかるノード５１の機能的構成を例示する図である。 同実施の形態にかかるノード５０からノード５１Ａに送信される情報を模式的に示す図である。 同実施の形態にかかるピースを模式的に示す図である。 同実施の形態にかかるノード５１Ａからノード５１Ｂに送信される情報を模式的に示す図である。 同実施の形態にかかるノード５１Ｂから鍵サーバに送信される情報を模式的に示す図である。 同実施の形態にかかる鍵サーバからノード５１Ｂに送信される情報を模式的に示す図である。 同実施の形態にかかる鍵サーバの機能的構成を例示する図である。 同実施の形態にかかる配信開始ノードであるノード５０が行う配信処理の手順を示すフローチャートである。 同実施の形態にかかるノード５１がノード５０又は他のノード５１から暗号化ピースを受信する受信処理の手順を示すフローチャートである。 同実施の形態にかかる配信開始ノード以外のノード５１が行う配信処理の手順を示すフローチャートである。 同実施の形態にかかるノード５１が鍵サーバから復号鍵を取得しこれを用いて暗号化ピースを復号する復号処理の手順を示すフローチャートである。 同実施の形態にかかる鍵サーバがノード５１からの鍵要求に応じて復号鍵を送信する鍵送信処理の手順を示すフローチャートである。 同実施の形態にかかるピースを模式的に示す図である。 同実施の形態にかかるピースを模式的に示す図である。 同実施の形態にかかるピースを模式的に示す図である。 同実施の形態にかかるノード１８５１の機能的構成を例示する図である。 同実施の形態にかかる復号鍵の格納形式を例示する図である。

符号の説明

５０，５１，５１Ａ，５１Ｂ ノード
５３ 鍵サーバ
５００ 固有情報格納部
５０１ 乱数生成部
５０３ ピース暗号化部
５０４ ピース化部
５０５ データ送信部
５０６ 送信要求受付部
５１０ 固有情報格納部
５１１ 乱数生成部
５１３ ピース暗号化部
５１４ データ受信部
５１５ データ送信部
５１６ 送信要求受付部
５１７ データ格納部
５１８ 送信要求送信部
５１９ 鍵要求送信部
５２０ ピース復号部
５３０ 秘密鍵格納部
５３１ データ受信部
５３２ 復号鍵計算部
５３４ データ送信部
１８５２１ 復号鍵計算部
ＮＴ Ｐ２Ｐネットワーク

Claims (18)

1. データの一部であるピースを暗号化して送信する通信装置であって、
   他の通信装置に割り当てられた第１暗号鍵によって暗号化されたピースである第１暗号化ピースと、前記他の通信装置を識別する第１装置識別情報と、を受信する受信手段と、
   前記通信装置に割り当てられた第２暗号鍵を記憶する記憶手段と、
   前記第２暗号鍵を用いて前記第１暗号化ピースを更に暗号化した第２暗号化ピースを生成する暗号化手段と、
   前記第２暗号化ピースと、前記第１装置識別情報と、前記通信装置を識別する第２装置識別情報と、を送信する送信手段と、
   を備えることを特徴とする通信装置。
2. 前記第１暗号化ピースは、複数の暗号鍵で暗号化されたピースを、暗号化に用いた複数の前記暗号鍵それぞれに対応する複数の秘密情報に基づいて算出される予め定められた個数の復号鍵で復号可能な暗号方式で定められた前記第１暗号鍵によって暗号化されており、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵を記憶すること、
   を特徴とする請求項１に記載の通信装置。
3. 前記受信手段は、前記第１暗号化ピースと、前記第１装置識別情報と、前記第１暗号化ピースを暗号化する際に当該他の通信装置によって算出された第１算出情報とを受信し、
   その生成毎に異なり得る一時情報を生成し、前記一時情報に応じた値を有する第２算出情報を算出する算出手段をさらに備え、
   前記暗号化手段は、前記一時情報と前記第２暗号鍵とを用いて前記第１暗号化ピースを更に暗号化した第２暗号化ピースを生成し、
   前記送信手段は、前記第２暗号化ピースと、前記第１装置識別情報と、前記第２装置識別情報と、前記第１算出情報と、前記第２算出情報とを送信すること、
   を特徴とする請求項１に記載の通信装置。
4. 前記受信手段は、ｉ個（ｉは１以上の自然数）の前記他の通信装置に割り当てられた前記第１暗号鍵ｙ_ｊ（０≦ｊ≦ｉ−１）で暗号化された前記第１暗号化ピースＣ_2,i-1と、前記第１装置識別情報と、前記第１算出情報Ｃ_1,i-1と、を受信し、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵ｙ_iを記憶し、
   前記算出手段は、前記一時情報ｒ_iを生成し、前記一時情報ｒ_iに応じた値を有する前記第２算出情報Ｃ_1,iを以下の（１）式により算出し、
   前記暗号化手段は、前記一時情報ｒ_iと前記第２暗号鍵ｙ_iとを用いて前記第１暗号化ピースＣ_2,i-1を更に暗号化した前記第２暗号化ピースＣ_2,iを以下の（２）式により生成すること、
   を特徴とする請求項３に記載の通信装置。
   

   

   （ただし、ｇは、Ｚｐ＊＝｛１，…，ｐ−１｝上の１のｑ乗根、ｐ，ｑは素数、ｑはｐ−１を割り切る）
5. 前記受信手段は、ｉ個（ｉは１以上の自然数）の前記他の通信装置に割り当てられた前記第１暗号鍵ｙ_ｊ（０≦ｊ≦ｉ−１）で暗号化された前記第１暗号化ピースＣ_2,i-1と、前記第１装置識別情報と、前記第１算出情報Ｃ_1,i-1と、を受信し、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵ｙ_iを記憶し、
   前記算出手段は、前記一時情報ｒ_iを生成し、前記一時情報ｒ_iに応じた値を有する前記第２算出情報Ｃ_1,iを以下の（３）式により算出し、
   前記暗号化手段は、前記一時情報ｒ_iと前記第２暗号鍵ｙ_iとを用いて前記第１暗号化ピースＣ_2,i-1を更に暗号化した前記第２暗号化ピースＣ_2,iを以下の（４）式により生成すること、
   を特徴とする請求項３に記載の通信装置。
   

   

   （ただし、Ｇは楕円曲線上のベースポイント、[Ａ]_xは楕円曲線上の点Ａのｘ座標を表す）
6. 前記受信手段は、ｉ個（ｉは１以上の自然数）の前記他の通信装置に割り当てられた前記第１暗号鍵ｙ_ｊ（０≦ｊ≦ｉ−１）で暗号化された前記第１暗号化ピースＣ_2,i-1と、前記第１装置識別情報と、前記第１算出情報Ｃ_1,i-1と、を受信し、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵ｙ_iを記憶し、
   前記算出手段は、前記一時情報ｒ_iを生成し、前記一時情報ｒ_iに応じた値を有する前記第２算出情報Ｃ_1,iを以下の（１）式により算出し、
   前記暗号化手段は、前記一時情報ｒ_iと前記第２暗号鍵ｙ_iとを用いて前記第１暗号化ピースＣ_2,i-1を更に暗号化した前記第２暗号化ピースＣ_2,iを以下の（２）式により生成すること、
   を特徴とする請求項３に記載の通信装置。
   

   

   （ただし、Plus（A, B）は、楕円曲線上の点Ａと点Ｂとの、ｍｏｄ ｐ（ｐは素数）上の長さ２のベクトルの加算、または、楕円曲線上の点Ａと点Ｂとの点加算を表す）
7. 前記受信手段は、ｉ個（ｉは１以上の自然数）の前記他の通信装置に割り当てられた前記第１暗号鍵（ｇ_1，ｇ_2，ｃ_j，ｄ_j，ｈ_j）（０≦ｊ≦ｉ−１）で暗号化された前記第１暗号化ピースｅ_i-1と、前記第１装置識別情報と、前記第１算出情報（ｕ_1,i-1，ｕ_2,i-1，v_i-1）と、を受信し、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵（ｇ_1，ｇ_2，ｃ_i，ｄ_i，ｈ_i）を記憶し、
   前記暗号化手段は、前記一時情報ｒ_iと前記第２暗号鍵（ｇ_1，ｇ_2，ｃ_i，ｄ_i，ｈ_i）とを用いて前記第１暗号化ピースｅ_i-1を更に暗号化した前記第２暗号化ピースｅ_iを以下の（７）式により生成し、
   前記算出手段は、前記一時情報ｒ_iを生成し、前記一時情報ｒ_iに応じた値を有する前記第２算出情報（ｕ_1,i，ｕ_2,i，v_i）を以下の（８）式〜（１１）式により算出すること、
   を特徴とする請求項３に記載の通信装置。
   

   

   （ただし、Ｈは予め定められたハッシュ関数を表す）
8. 前記受信手段は、ｉ個（ｉは１以上の自然数）の前記他の通信装置に割り当てられた前記第１暗号鍵ｅ_jおよびＮ（０≦ｊ≦ｉ−１）で暗号化された前記第１暗号化ピースＣ_i-1と、前記第１装置識別情報と、を受信し、
   前記記憶手段は、前記暗号方式で定められた前記第２暗号鍵ｅ_iおよびＮを記憶し、
   前記暗号化手段は、前記第２暗号鍵ｅ_iおよびＮを用いて前記第１暗号化ピースＣ_i-1を更に暗号化した前記第２暗号化ピースＣ_iを以下の（１２）式により生成すること、
   を特徴とする請求項１に記載の通信装置。
   

   

   （ただし、Ｎ＝ｐｑ（ｐ、ｑは素数）
9. 前記受信手段は、前記第１暗号鍵によって一部が暗号化された前記第１暗号化ピースと、前記第１装置識別情報と、を受信し、
   前記暗号化手段は、前記第２暗号鍵を用いて、前記第１暗号化ピースのうち前記第１暗号鍵によって暗号化された部分を更に暗号化した前記第２暗号化ピースを生成すること、
   を特徴とする請求項１に記載の通信装置。
10. 前記受信手段は、前記第１暗号鍵によって暗号化された部分以外の部分が、前記暗号方式と異なる他の暗号方式によって暗号化された前記第１暗号化ピースと、前記第１装置識別情報と、を受信し、
    前記暗号化手段は、前記第２暗号鍵を用いて、前記第１暗号化ピースのうち前記第１暗号鍵によって暗号化された部分を更に暗号化し、前記第１暗号化ピースのうち前記第１暗号鍵によって暗号化された部分以外の部分を前記他の暗号方式により更に暗号化した前記第２暗号化ピースを生成すること、
    を特徴とする請求項９に記載の通信装置。
11. 前記送信手段は、さらに、前記第１暗号化ピースを復号するための復号鍵を要求する、前記第１装置識別情報を含む鍵要求をサーバ装置へ送信し、
    前記受信手段は、さらに、前記第１暗号化ピースを復号するための復号鍵を前記サーバ装置から受信し、
    受信された前記復号鍵を用いて前記第１暗号化ピースを復号する復号手段をさらに備えたこと、
    を特徴とする請求項１に記載の通信装置。
12. 暗号化されたピースである暗号化ピースを復号するための復号鍵を要求する鍵要求であって、前記暗号化ピースの配信を仲介した前記通信装置の前記装置識別情報を含む前記鍵要求を前記通信装置から受信する受信手段と、
    前記鍵要求に含まれる各前記装置識別情報を用いて前記復号鍵を生成する鍵生成手段と、
    生成された前記復号鍵を、前記鍵要求を送信した前記通信装置に送信する送信手段と、
    を備えることを特徴とするサーバ装置。
13. データの一部であるピースを暗号化して送信する複数の通信装置のそれぞれに割り当てられた秘密情報と、前記通信装置それぞれに割り当てられた装置識別情報とを各々対応付けて記憶する記憶手段をさらに備え、
    前記鍵生成手段は、前記鍵要求に含まれる各前記装置識別情報に対応付けられて記憶されている前記秘密情報を用いて前記復号鍵を生成すること、
    を特徴とする請求項１２に記載のサーバ装置。
14. 前記暗号化ピースは、複数の暗号鍵で暗号化されたピースを、暗号化に用いた複数の暗号鍵それぞれに対応する複数の前記秘密情報に基づいて算出される予め定められた個数の前記復号鍵で復号可能な暗号方式で定められた暗号鍵によって暗号化されており、
    前記鍵生成手段は、前記鍵要求に含まれる前記装置識別情報それぞれに対応付けられて記憶されている前記秘密情報を用いて前記個数の前記復号鍵を生成すること、
    を特徴とする請求項１２又は１３に記載のサーバ装置。
15. 前記受信手段は、その生成毎に異なり得る一時情報と前記通信装置に割り当てられた暗号鍵とに基づいて算出される算出情報をさらに含む前記鍵要求を前記通信装置から受信し、
    前記鍵生成手段は、前記鍵要求に含まれる各前記装置識別情報に対応付けられて記憶されている前記秘密情報を用いて生成した前記復号鍵を、前記算出情報を用いて暗号化し、
    前記送信手段は、暗号化した前記復号鍵を前記鍵要求を送信した前記通信装置に送信すること、
    を特徴とする請求項１２又は１３に記載のサーバ装置。
16. データの一部であるピースを暗号化して送信する通信装置で実行される通信方法であって、
    受信手段が、他の通信装置に割り当てられた第１暗号鍵によって暗号化されたピースである第１暗号化ピースと、前記他の通信装置を識別する第１装置識別情報と、を受信する受信ステップと、
    暗号化手段が、記憶手段に記憶された、前記通信装置に割り当てられた第２暗号鍵を用いて前記第１暗号化ピースを更に暗号化した第２暗号化ピースを生成する暗号化ステップと、
    送信手段が、前記第２暗号化ピースと、前記第１装置識別情報と、前記通信装置を識別する第２装置識別情報と、を送信する送信ステップと、
    を備えることを特徴とする通信方法。
17. データの一部であるピースを暗号化して送信する通信装置を、
    他の通信装置に割り当てられた第１暗号鍵によって暗号化されたピースである第１暗号化ピースと、前記他の通信装置を識別する第１装置識別情報と、を受信する受信手段と、
    前記通信装置に割り当てられた第２暗号鍵を記憶する記憶手段と、
    前記第２暗号鍵を用いて前記第１暗号化ピースを更に暗号化した第２暗号化ピースを生成する暗号化手段と、
    前記第２暗号化ピースと、前記第１装置識別情報と、前記通信装置を識別する第２装置識別情報と、を送信する送信手段と、
    として機能させるための通信プログラム。
18. コンピュータを、
    暗号化されたピースである暗号化ピースを復号するための復号鍵を要求する鍵要求であって、前記暗号化ピースの配信を仲介した前記通信装置の前記装置識別情報を含む前記鍵要求を前記通信装置から受信する受信手段と、
    前記鍵要求に含まれる各前記装置識別情報を用いて前記復号鍵を生成する鍵生成手段と、
    生成された前記復号鍵を、前記鍵要求を送信した前記通信装置に送信する送信手段と、
    として機能させるための通信プログラム。

Images