JP2011055309A - 二機能付きｉｄベース暗号化方法及び暗号システム - Google Patents

Abstract

【課題】
プロキシが代理復号機能及び代理再暗号機能を行うことが可能ID ベース二機能付きプロキシ暗号システムであって、代理人権限の解除可能なシステムを提供すること。
【解決手段】
双線形写像と複雑性の仮定を適用してシステムで共有されるパラメータを求め、このシステム共有パラメータを変数とする設定(setup)アルゴリズム、元の復号鍵の生成（KeyGen）アルゴリズム、代理復号鍵の生成（ProxyDecKeyGen）アルゴリズム、代理再暗号鍵の生成（ProxyReKeyGen）アルゴリズム、暗号化（Enc）アルゴリズム、再暗号化（REnc）アルゴリズム、復号化アルゴリズム(Dec_ID, Dec_job,
RDec_ID’)を具備し、復号者端末からプロキシ端末に送信されるデータに係るパラメータが乱数の変更を可能とすることを特徴とする。
【選択図】図３

Description

本発明は、たとえば暗号化方法及び暗号システムに係り、特に二機能付きＩＤベース暗号化方法及び暗号システムに関する。

１９９６年、満保雅浩氏と岡本栄司氏が代理署名方式を提案して以来、元の復号者の仕事を減らすためのプロキシ暗号システムも提案されてきた。具体的には、プロキシの役割によって下記の２種類のプロキシ暗号システムが研究されてきた。
（１）代理復号システム：１年後、満保雅浩氏と岡本栄司氏は、暗号文を復号する権限を委任するものとしての代理暗号システムを発明した。
（２）代理再暗号システム：１９９８年、ブレーズ（Ｂｌａｚｅ）氏らは、原子代理暗号文を導入した。これは原子プロキシ機能が１つの鍵による暗号文を他の鍵による暗号文へと変換するものである。

プロキシ暗号システムは、元の復号者が大量の復号機能を処理する必要がある場合に有効である。プロキシは上記作業の１つを行うよう委任されるものであり、本発明者はこれらを単機能プロキシ暗号システムと名付ける。しかし、実社会において、プロキシは２つまたはそれ以上の役割を行うよう要求されることがある。この場合、プロキシはこれらの任務を果たすために１つ以上のプロキシ暗号システムを使用しなければならない。したがって、プロキシが複数の権限を委任される多機能プロキシ暗号システムが望ましいのである。だが残念ながら、本発明者が知る限りでは、現状で存在するプロキシ暗号システム（例えば非特許文献１、同４〜７、同９）は単機能のものである。

Ｍ．ブレイズ、Ｇ．ブリューマーおよびＭ．シュトラウス「方向転換可能なプロトコルおよび原子プロキシ暗号法」暗号学の進歩、「ＥＵＲＯＣＲＹＰＴ（ユーロクリプト）」 １９９８、ＬＮＣＳ １４０３、１２７−１４４ページ、スプリンガー・フェアラーク、ベルリン、１９９８年

Ｄ．ボネー およびＸ．ボイエン 「ランダムオラクルを持たない高安全性識別子ベース暗号」 暗号学の進歩、「ＥＵＲＯＣＲＹＰＴ（ユーロクリプト）」 ２００４、ＬＮＣＳ 3152、４４３−４５９ページ、スプリンガー・フェアラーク、ベルリン、２００１年

Ｄ．ボネー およびＭ．フランクリン 「Ｗｅｉｌペアリングからの識別子ベース暗号」暗号学の進歩、「ＥＵＲＯＣＲＹＰＴ（ユーロクリプト）」 ２００１、ＬＮＣＳ ２１３９、２１３−２２９ページ、スプリンガー・フェアラーク、ベルリン、２００１年

満保雅浩、臼田啓介および岡本栄司 「署名機能の委任のためのプロキシ署名」 コンピュータ及び通信セキュリティに関するＡＣＭ会議 １９９６、４８−５７ページ、１９９６年

満保雅浩、および岡本栄司「プロキシ暗号システム：暗号文復号権限の委任」ＩＥＩＣＥ訳、基本原理集、Ｅ８０−Ａ版 Ｎｏ．１、５４−６３ページ、１９９７年

松尾俊彦「識別子ベースの暗号に関するプロキシ再暗号システム」ペアリングベースの暗号学―ペアリング２００７、ＬＮＣＳ ４５７５ ２４７−２６７ページ、スプリンガー・フェアラーク、ベルリン、２００７年

Ｙ．ムー、Ｖ．ヴァラドハラジャン およびＫ．Ｑ．ヌグーェン「復号化の委任」 ＩＭＡ−クリプト（暗号）およびコーティング（符号）‘９９、ＬＮＣＳ １７４６ ２５８−２６９ページ、スプリンガー・フェアラーク、ベルリン、１９９９年

境隆一、大岸聖史および笠原正雄「ペアリングに基づく暗号システム」ＳＣＩS２０００−Ｃ２０，２０００年

王立華、Ｊ．シャオ（邵俊）、Ｚ．カオ（曹珍富）、満保雅浩および山村明弘「解除可能な復号権限を有する認証ベースのプロキシ暗号システム」暗号学の進歩、「ＩＮＤＯＣＲＹＰＴＯ（インドクリプト）」２００７、ＬＮＣＳ ４８５９、２９７−３１１ページ、スプリンガー・フェアラーク、ベルリン、２００７年

Ｂ．ウォータズ 「ランダムオラクルを持たない効率的識別子ベースの暗号化」暗号学の進歩、「ＥＵＲＯＣＲＹＰＴ（ユーロクリプト）」 ２００５、ＬＮＣＳ ３４９４、１１４−１２７ページ、スプリンガー・フェアラーク、ベルリン、２００５年

本発明では、プロキシが代理復号機能及び代理再暗号機能という複数の機能を行うことが可能な、初めてのＩＤベース二機能付きプロキシ暗号システム（２−Ｆ ＩＢＰシステム）を提供することを目的とする。また、本発明は、代理人の代理権限の解除可能性（リボカビリティ）を備えたＩＤベース二機能付きプロキシ暗号システム（２−Ｆ ＩＢＰシステム）を提供することを目的とする。

本発明者による２−Ｆ ＩＢＰ方式は、先に本発明者によって提案されたリボカビリティ（解除可能性）を有する認証ベースプロキシ暗号システム（ＣＢＰｄシステム）に記述された技術、及び松尾俊彦氏によって提案されるＩＤベースプロキシ再暗号方式の考え方をもとに構築される。

かかる課題を解決するために、本願の請求項１に係る二機能付きＩＤベース暗号化方法は、第１の復号者端末、第２の復号者端末のそれぞれに関する公開情報である第１復号者端末識別子情報及び第２復号者端末識別子情報が、前記第１の復号者端末からセンターに対して送信されるステップと、前記送信された識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータの関数である秘密鍵情報及び再暗号化鍵情報が前記センターから前記第１の復号者端末に対して送信されるステップと、前記第１の復号者から特定のジョブについて委任される代理者に係るプロキシ端末に対して前記第１の復号者端末から、委任ジョブ情報及び前記秘密鍵情報に基づくプロキシ復号鍵情報と、前記委任ジョブ情報及び前記再暗号化鍵情報に基づくプロキシ再暗号化鍵情報とが送信されるステップと、伝達内容である平文が前記第１復号者端末識別子情報及び前記委任ジョブ情報を用いて暗号化されて暗号文に変換されるステップと、前記暗号文が送信者端末から前記プロキシ端末に対して送信されるステップと、前記プロキシ端末にて受信された前記暗号文が前記プロキシ再暗号化鍵情報を用いて再暗号化され、この再暗号化文が前記プロキシ端末から前記第２の復号者端末に対して送信されるステップ、もしくは代替的に、前記プロキシ端末にて受信された暗号文が前記プロキシ復号鍵情報を用いて前記平文に復号化されるステップと、前記再暗号化文が前記第２の復号者端末にて受信された場合には、該受信された再暗号化文が前記第２復号者端末識別子情報を用いて得られる鍵情報を用いて前記平文に復号化されるステップとを具備し、前記プロキシ端末に送信される前記プロキシ復号鍵情報及び前記プロキシ再暗号化鍵情報には前記第１の復号者端末によって設定可能なデータを変数とする関数が含まれることを特徴とする。

第１の復号者とは元の復号者（以下、「元復号者」ともいう。）（装置）、第２の復号者とは元の復号者から最も信頼を受けて、代理人であるプロキシですら読めない文書を復号化する権限を持つもの（以下、「元復号者信頼先（者）」ともいう。）（装置）をいう。

センターとは、代理権限等の認証を行い得る機能を有する暗号化の中央センター（装置）をいう。

プロキシ（代理者、代理人）とは、指定された特定のジョブに関して元復号者の代理人としての権限、代理復号化権限及び代理再暗号化権限を有したもの（装置）をいう。

代理復号化とは、元復号者からの委任に基づき、プロキシが元復号者に代わって、元復号者宛の暗号文の復号化を行うことをいう。このためには、代理鍵を使用する。

代理再暗号化とは、元復号者からの委任に基づき、プロキシが元復号者に代わって、元復号者宛の暗号文を元復号者から指定された最信頼者（元復号者信頼先）に対して、再暗号化を施した上で送信することをいうが、この場合、プロキシが該暗号文及び再暗号文を復号化する権限は与えられていない。

第１復号者端末識別子情報及び第２復号者端末識別子情報とは、それぞれの端末に固有の識別子を含む情報であればよく、たとえばそれぞれ対応する電子メールアドレスであってもよい。

秘密鍵情報とは、第１復号者端末識別子情報（たとえば元復号者の電子メールアドレス）を用いて作成される情報である。第１復号者端末識別子情報は公開情報であるが、秘密鍵情報は非公開情報である。

再暗号化鍵情報とは、第１復号者端末識別子情報（たとえば元復号者の電子メールアドレス）及び第２復号者端末識別子情報（たとえば元復号者信頼者の電子メールアドレス）を用いて作成される情報である。作成元情報は公開情報であるが、再暗号化鍵情報は非公開情報である。

委任ジョブ情報とは、元復号者がプロキシに対して委任するジョブに係る情報であり、複数のジョブを元復号者が抱えている場合には、各ジョブごとにプロキシを変えることができる。また、元復号者は自身をプロキシとして指定することもできる。

プロキシ復号鍵情報とは、元復号者のあるジョブに関する代理人であるプロキシが元復号者に代わって当該ジョブに関する機密文書（暗号化情報）を復号化するための鍵を与える情報であり、委任ジョブ情報及び元復号者（第１復号者）の秘密鍵情報に基づいて数学的に算出される情報である。この算出に当たっては、好適には、識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータを変数とする関数として構成する。これにより、楕円曲線上の離散対数の原理による計算量困難性の効果が享受される。

プロキシ再暗号化鍵情報とは、元復号者のあるジョブに関する代理人であるプロキシが、元復号者の厚く信頼する者（第２の復号者すなわち元復号者信頼先）に対して、当該ジョブに関する機密文書（暗号化情報）を再暗号化するための鍵を与える情報であり、委任ジョブ情報及び再暗号化鍵情報に基づいて数学的に算出される情報である。この算出に当たっても、好適には、識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータを変数とする関数として構成する。

「前記プロキシ端末にて受信された前記暗号文が前記プロキシ再暗号化鍵情報を用いて再暗号化され、この再暗号化文が前記プロキシ端末から前記第２の復号者端末に対して送信される…、もしくは代替的に、前記プロキシ端末にて受信された暗号文が前記プロキシ復号鍵情報を用いて前記平文に復号化される」とは、たとえば、暗号文に含まれるパラメータ（もしくは暗号種別情報あるいはフラグ情報）によって復号化もしくは再暗号化が自動的に選択されることをいう。具体的には、ある暗号文が与えられるとき、最高度の機密な情報（たとえば、秘書を含む全従業員に関する人事評定データ、ボーナス支給額データ等）として暗号者（たとえば役員会）から暗号化された情報が送信される場合については、元復号者（たとえば部門長）のプロキシ（たとえば部門長の秘書）でさえ復号化することが好ましくない一方で元復号者の最信任者（たとえば副部門長）と情報共有することが望ましいと仮定する。この場合には、プロキシは復号化する権限を与えられることなく再暗号化のみ行い、当該最信任者に対して送信することが求められる。或いは、中級程度の秘密データ（たとえば部門目標データ）が暗号者（たとえば役員会）から暗号化された情報として元復号者（たとえば部門長）に対して送信される場合については、プロキシ（たとえば部門長の秘書）が元復号者に代わって復号化することが求められると推定できる。上記の構成はこれらの場合等に有効となる。

「鍵情報を用いて前記平文に復号化」するとは、第２の復号者（たとえば元復号者信頼者）端末に対して送信された再暗号化文を該第２の復号者が自身の識別情報を基に復号化することをいう。この場合の鍵情報とは、第２復号者端末識別子情報（たとえば元復号者信頼者自身の電子メールアドレス）を用いて数学的に算出される情報をいう。

上記構成によれば、これらの暗号化、復号化、再暗号化の鍵となる鍵情報には公開鍵を用いているため、文書（情報）の送信者は容易に暗号化を行うことができる。この際、システム共有パラメータが識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められ、秘密鍵情報及び再暗号化鍵情報がこのシステム共有パラメータを変数とする構成から、公開されている情報から復号化の鍵を算出するのには、たとえコンピュータによる高速計算を行っても膨大な時間を要することとなる。したがって実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、代理人であるプロキシ端末は暗号文に含まれるパラメータ（もしくは暗号種別情報あるいはフラグ情報）を読み取ることで、そこに記述されている情報に基づき、復号化もしくは再暗号化がアルゴリズム上自動的に選択される。したがって、情報の種別によって、プロキシに復号化を認めたり、復号化を認めずに転送（再暗号化及び転送）のみを認めたりするという情報ごとの処理ルーチンの種別分けが、自動的になされることになる。つまり、代理復号化機能と代理再暗号化機能という二機能を一つのプロキシが同時に果たせ、かつ、この機能の振り分けを情報種別に応じて自動的に振り分けることが可能となる。したがって、機密情報の復号化、再暗号化について、特にそれぞれの代理機能を個別に果たす場合と比して、利便性が向上するばかりでなく、経営資源の消費削減も図れる。

また、プロキシ復号鍵情報及びプロキシ再暗号化鍵情報が含んでいる関数は第１の復号者端末によって設定可能なデータを変数とするために、当初センター経由で設定されたプロキシ復号鍵情報及びプロキシ再暗号化鍵情報であっても、その後、第１の復号者が任意に当該変数を変えることでこれら鍵情報も変更されるので、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができ、リボカビリティを実現できる。したがって、利便性がよいと同時に、機密保持環境の変動（たとえば、今迄信頼していた代理人が急に不良化したため、即座に代理権限をシステム的に剥奪したい場合等）に即時的に対応できる態勢が整えられて安全性の向上が実現される。なぜならば、仮にプロキシの一人が安全上、情報機密上良からぬ行動に出たとしても、上記変数を変更させ、変更後の変数によって作製されるプロキシ復号鍵情報及びプロキシ再暗号化鍵情報を当該問題あるプロキシ相手に送信しないことで、当該プロキシの代理権限を無効化する。この場合、その他の情報については変動させないことで、代理復号機能及び代理再暗号化機能自体には支障なく維持することができる。さらにこの場合、パラメータとして採用する変数をショートターム（短期間）データとロングターム（長期間）データとに分けるようにし、ショートターム（短期間）データについては日々更新したり時関の関数としたりすることで、リボカビリティの容易な実現が達成される。

また、上記課題を解決するために、本願の請求項２に係る暗号システムは、伝達対象である平文を公開鍵を用いて暗号化した暗号文が送信者端末から送信され、これが元復号者の特定のジョブについて委任される代理人であるプロキシ端末において受信され、公開情報である前記元復号者端末に係る識別子情報を用いて再暗号化しもしくは復号化され、前記再暗号化された場合には該再暗号文が受信された元復号者信頼先端末において自身の識別子情報を用いて復号化される二機能付きＩＤベース暗号システムにおいて、記憶装置を備え、
セキュリティパラメータ1^ｋが入力されて前記記憶装置に記憶され、該記憶装置から読みだされた前記セキュリティパラメータ1^ｋを用いて認証者のマスター秘密鍵情報msk、前記システムで共有される公開パラメータparamsが双線形ペアリングを適用して算出・出力される設定(setup)アルゴリズムと、
システムパラメータparams、前記設定(setup)アルゴリズムで出力された前記マスター秘密鍵情報msk及び前記元復号者端末に係る識別子情報であるユーザーＩＤが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記ユーザーＩＤに対応する秘密鍵情報SK_IDが算出・出力される元の復号鍵の生成（KeyGen）アルゴリズムと、
代理鍵の分配（ProxyKeyGen）アルゴリズムと、
平文情報m、前記ユーザーＩＤ、前記主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記平文情報mの暗号文情報Ｃが算出・出力される暗号化（Enc）アルゴリズムと、
前記暗号文情報Ｃ、前記ユーザーＩＤ及び前記元復号者信頼先端末に係る識別子情報であるユーザーＩＤ′が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記ユーザーＩＤ′に係る前記元復号者信頼先端末によって復号可能な前記平文情報mの暗号文情報Ｃ′が算出・出力される再暗号化（REnc）アルゴリズムと、
復号化アルゴリズム(Dec_ID, Dec_job,
RDec_ID’)と
をコンピュータに実行させるプログラムを有し、
前記代理鍵の分配（ProxyKeyGen）アルゴリズムは、
前記システムパラメータparams、前記元の復号鍵の生成（KeyGen）アルゴリズムで出力された前記秘密鍵情報SK_ID、および前記プロキシ端末に委任されるジョブに係る主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記主題情報jobに基づく前記ユーザーＩＤに係る代理復号鍵が算出・出力される代理復号鍵の生成（ProxyDecKeyGen）アルゴリズムと、
前記システムパラメータparams、前記マスター秘密鍵情報msk、前記元復号者端末に係る識別子情報及び元復号者信頼先端末に係る識別子情報(ID→ID’)が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて代理再暗号鍵情報rK_ID→ID’が算出・出力される代理再暗号鍵の生成（ProxyReKeyGen）アルゴリズムとを備え、
前記復号化アルゴリズム(Dec_ID, Dec_job,
RDec_ID’)は、
前記暗号文情報Ｃ及び前記ユーザーＩＤの元の復号鍵情報SK_IDが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記暗号文情報Ｃの平文mが算出・出力される元の／基本の復号化アルゴリズムDec_IDと、
暗号文情報Cjob、代理鍵情報

、前記ユーザーＩＤ及び前記主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記C_jobの平文mを算出・出力する代理復号化アルゴリズムDec_jobと、
前記ユーザーＩＤ′用として再暗号化された暗号文情報C’及び前記ユーザーＩＤ′の前記元の復号鍵情報SK_ID’が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いてこれに対応する平文情報mが算出・出力される復号化アルゴリズムRDec_ID’とを備える。

かかる構成によれば、設定（setup）アルゴリズムでは、公開パラメータparamsが双線形ペアリングを適用して算出されるから、楕円曲線上の離散対数の原理から、公開されている情報から復号化の鍵を算出するのには、たとえコンピュータによる高速計算を行っても膨大な時間を要することとなり実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、元復号者端末からプロキシ端末に送信されるデータに係る乱数dτが変更されることによって、たとえば１日に１度Y(τ)が更新されるため、当初センター経由で設定されたプロキシ復号鍵情報及びプロキシ再暗号化鍵情報であっても、その後、第１の復号者が任意に当該変数を変えることでこれら鍵情報も変更されるので、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができる。したがって、利便性がよいと同時に、安全性の向上が即時態勢で実現される。すなわち、プロキシであるJobの役割変更、Jobの代理鍵の露呈、Jobの破損などのような場合においては、委任者がJobの代理復号権限を無効化することができることとなり、機密保持程度に変動が生じた場合により柔軟に対応できる高性能の暗号化システムが実現される。

また、上記構成において、前記設定(setup)アルゴリズムにおいては、
ＢＤＨパラメータ生成元であるＩＧを前記セキュリティパラメータ1^ｋ上で動作させて、素数p，次数pの２つの乗法群Ｇ_１とＧ_２、及び

とし、
前記元の復号鍵の生成（KeyGen）アルゴリズムにおいては、
前記ユーザーＩＤに対する復号鍵情報として

を計算し、
前記ユーザーＩＤに係る前記元復号者端末からd₁が前記プロキシ端末に送信され、

として計算され、
乱数dτが変更されることが可能でとし、
前記代理復号鍵の生成（ProxyDecKeyGen）アルゴリズムにおいては、
前記ユーザーＩＤとしては、

を送り、
前記代理再暗号鍵の生成（ProxyReKeyGen）アルゴリズムにおいては、
前記ユーザーＩＤは再暗号鍵である

を送り、
前記暗号化（Enc）アルゴリズムにおいては、

を送信し、
前記再暗号化（REnc）アルゴリズムにおいては、

を送信し、
前記元の／基本の復号化アルゴリズムDec_IDにおいては、

を計算することによって復号化し、
前記代理復号化アルゴリズムDec_jobにおいては、

を計算することによって復号化し、
前記復号化アルゴリズムRDec_ID’ においては、

を計算することによって復号化するようにしてもよい。

かかる構成により、素数p ，次数pの２つの乗法群Ｇ_１とＧ_２、及び双線形写像

として、これらの関数として定義されるから、楕円曲線上の離散対数の原理から、復号化鍵の計算困難性という特徴を有効に享受でき、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、元の復号鍵の生成（KeyGen）アルゴリズムにおいて、有限体上の離散対数問題の性質から、ｇとｇ^αが知られていたとしてもαは実質的に解読が困難であるから、生成される複合鍵ＳＫ_ＩＤは高セキュリティ性を保持でき、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、上記構成により、暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３）で指標される場合には、一級情報すなわち元復号者ＩＤしか復号できない情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃをそのまま元復号者ＩＤへ渡す。暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４）で指標される場合には、二級情報すなわちプロキシは解読できないが、元復号者ＩＤが指定した元復号者信頼者ＩＤ’へ再暗号化できる情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃを再暗号文Ｃ’ に代理再暗号化し、元復号者信頼者ＩＤ’へ渡す。暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５）で指標される場合には、三級情報すなわちプロキシが解読できる情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃを代理復号する。このように、暗号文ＣにパラメータであるＣ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５のうちの必要要素を適宜含ませることで暗号文Ｃの情報としての機密の級別を行うことができる。また、情報の受領者側では暗号文Ｃに含まれるパラメータであるＣ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５の要素の存在状況に応じて情報の機密程度が判断できるから、代理人が復号権限を有するもの、復号権限を有しないもの、復号権限を有しないが再暗号化権限を有するものに種類分けして、それぞれに必要なルーチンを（自動的に）選択してプロキシ装置に必要機能を実行させることができる。

また、上記課題を解決するために、本願の請求項４に係る暗号システムは、伝達対象である平文が公開鍵を用いて暗号化された暗号文が送信者端末から送信され、これが元復号者の特定のジョブについて委任される代理人に係るプロキシ端末において受信され、公開情報である前記元復号者に係る識別子情報に基づいて再暗号化しもしくは復号化され、前記再暗号化された場合には該再暗号文が受信された元復号者信頼先端末において自身の識別子情報を用いて復号化される二機能付きＩＤベース暗号システムにおいて、
前記センター装置は、ネットワークを介して前記元復号者端末及び元復号者信頼先端末のそれぞれに関する公開情報である元復号者端末識別子情報及び元復号者信頼先端末識別子情報を受信しこれらを記憶装置に記録するための受信部と、前記記憶装置に記録された前記元復号者端末識別子情報及び／もしくは元復号者信頼先端末識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められたパラメータを含む関数としての秘密鍵情報及び再暗号化鍵情報を生成しこれら生成された各情報を前記記憶装置に記録する復号鍵生成部と、前記記録装置から前記秘密鍵情報及び前記再暗号化鍵情報を読みだしネットワークを介して送信する送信部とを具備し、
前記元復号者端末は、ネットワークを介して情報を送受信する元復号側送受信部と、前記元復号側送受信部を介して前記センター装置から受信した前記秘密鍵情報委任ジョブ情報に基づいてプロキシ復号鍵情報を生成し前記再暗号化鍵情報及び前記委任ジョブ情報に基づいてプロキシ再暗号化鍵情報を生成して前記元復号側送受信部を介して前記プロキシ端末に対して送信するプロキシ鍵生成分配部とを具備し、
前記送信者端末は、前記平文を公開情報である前記第１復号者端末識別子情報及び前記委任ジョブ情報を用いて暗号化する暗号化部と、前記暗号化された暗号文をネットワークを介して前記プロキシ端末に対して送信する送信側送信部とを具備し、
前記プロキシ端末は、ネットワークを介して情報を送受信するプロキシ側送受信部と、前記プロキシ側送受信部により受信された前記暗号文に書き込まれたパラメータ情報に応じて処理ルーチンを判定するルーチン判定部と、前記選択部により再暗号化ルーチンが選択された場合には前記プロキシ再暗号化鍵情報を用いて前記暗号文に対して再暗号化処理し得られた再暗号化文をプロキシ側記録装置に記憶し該再暗号化文をプロキシ側送受信部を介して前記元復号者信頼先端末に対して送信する再暗号化部と、前記選択部により復号化ルーチンが選択された場合には前記暗号文を前記プロキシ復号鍵情報を用いて前記平文に復号化するプロキシ側復号部とを具備し、
前記元復号者信頼先端末は、ネットワークを介して情報を送受信する元復号者信頼先側送受信部と、元復号者信頼先端末に係る識別子情報を用いて復号鍵情報を算出する復号鍵算出部と、前記元復号者信頼先側送受信部を介して前記プロキシ端末から受信した前記再暗号化文を前記復号鍵情報を用いて前記平文に復号化する元復号者信頼先側復号部とを具備し、
前記プロキシ端末に送信される前記プロキシ復号鍵情報及び前記プロキシ再暗号化鍵情報には前記元復号者端末によって設定可能なデータを変数とする関数が含まれることを特徴とする。

かかる構成によれば、復号鍵生成部によって生成される秘密鍵情報及び再暗号化鍵情報を初めとして、各アルゴリズムは識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータを変数とする関数として構成されるために、楕円曲線上の離散対数の原理による計算量困難性の効果が享受される。したがって、公開されている情報から復号化の鍵を算出するのには、たとえコンピュータによる高速計算を行っても膨大な時間を要することとなり実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、プロキシ復号鍵情報及びプロキシ再暗号化鍵情報が含んでいる関数は第１の復号者端末によって設定可能なデータを変数とするために、当初センター経由で設定されたプロキシ復号鍵情報及びプロキシ再暗号化鍵情報であっても、その後、第１の復号者が任意に当該変数を変えることでこれら鍵情報も変更されるので、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができる。したがって、利便性がよいと同時に、機密保持環境の変動に即時的に対応できる態勢で安全性の向上が実現される。

本願によれば、公開されている情報から復号化の鍵を算出するのには、たとえコンピュータによる高速計算を行っても膨大な時間を要することとなり実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

また、本願によれば、情報の種別によって、プロキシに復号化を認めたり、復号化を認めずに転送（再暗号化及び転送）のみを認めたりすることが、自動的になされる。したがって、機密情報の復号化、再暗号化について、特にそれぞれの代理機能を個別に果たす場合と比して、利便性が向上する。

さらに本願によれば、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができる。したがって、利便性がよいと同時に、機密保持環境の変動に即時的に対応できる態勢で安全性の向上が実現される。

本発明の一実施形態に係るＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システムを６つのアルゴリズムを備えて構成されるものとして捉えたアルゴリズム構成ブロック図である。 本発明の概略の動作フローを示したフローチャートである。 本発明の一実施形態に係るＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システムの構成を示した機能ブロック図である。 本発明の一実施形態に係る代理権限について説明するための概念図である。 本発明の一実施形態に係る元復号者装置１０の詳細な構成を示した機能ブロック図である。 本発明の一実施形態に係るＰＫＧ装置２０の詳細な構成を示した機能ブロック図である。 本発明の一実施形態に係るプロキシ装置３０の詳細な構成を示した機能ブロック図である。 本発明の一実施形態に係る送信者装置４０の詳細な構成を示した機能ブロック図である。 本発明の一実施形態に係る元復号者信頼先装置１１の詳細な構成を示した機能ブロック図である。 本発明の一実施形態に係るＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システム１の動作及び情報のやり取りのタイミングを表したタイミング・フローチャートである。

本願の骨子

＜バイリニア・ペアリング（双線形写像）と複雑性の仮定＞
本発明者の方式は、サカイ氏ら、およびボネー氏らが独自に暗号システムを構築するのに最初に使用したアドミッシブル・ペアリングに基づいている。超特異楕円曲線に関連付けられる修正ヴェイルペアリングとテートペアリングは、このようなアドミッシブル・ペアリングの一例である。しかし、ここではより一般的なフォーマットでのペアリングと関連数学について述べる。

Ｇ_１とＧ_２を、素数位数ｐを有する２つの乗法群とし、かつｇをＧ_１の生成元とする。以下の３つの条件が満たされれば、Ｇ_１はＧ_２に対して適格性を有する双線形写像、

を有する。

双線形Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ（ディフィー・へルマン）（ＢＤＨ）パラメータ生成元（非特許文献３）：ＩＧがセキュリティパラメータk > 0を取り、1^ｋを変数とする多項式の時間で実行され、同一の素数位数ｐを持つ２つの乗法群Ｇ_１とＧ_２についての記述と、アドミッシブル・ペアリング

という記述とを出力するのであれば、任意抽出されたアルゴリズムＩＧは、ＢＤＨ変数生成元である。

次の３つの問題は、いかなる多項式時間アルゴリズムに対しても解決困難であると推定される。

決定の双曲線Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ問題（ｄＢＤＨ問題）（非特許文献１０）：

が選ばれるとき、ｄＢＤＨ問題を解く上でアルゴリズムＡの利益は次のとおりである。ｄＢＤＨ問題を解くのが難しいという過程をｄＢＤＨ仮定という。

確率がランダムに選ばれた整数a、ｂ、ｃ、さらにランダムに選ばれるη∈_ＲＧ_２ 、かつＡによって使用されるランダムなビットよりも大きいとき、

である。上記のゲームを解く上で、いかなるｔ次の攻撃相手も少なくともｅ利益を有していない場合、この決定の（ t , e ）-DBDH 仮定は真となる。

＜関連作業＞
＜解除可能性を有するＣＢＰｄシステム（非特許文献９）＞
本発明者らは、解除可能性を持った認証ベースプロキシ復号（ＣＢＰｄ）システムを導入した（非特許文献９）。この解除可能性の特性は、プロキシによる復号権限を、元の復号者の公開情報を変更することなく、代理鍵の有効期間内であっても、無効にすることができる、というものである。

正式には、解除可能性を有するＣＢＰｄシステムは、次の６つのアルゴリズム（Setup、KeyGen、ProxyDecKeyGen、Enc、Dec、Rev）から成るが、これは、元の復号者による基本的復号工程Dec_ID、ユーザーＩＤ、およびプロキシであるＪｏｂによる代理復号工程Dec_jobをＤｅｃが決定する場合である。

ＣＢＰｄシステムにおける解除可能性という特性は、アルゴリズムRevによって保証される。しかし、この特性を満たす方法は唯一とはいえない可能性がある。本発明者らの方式によれば、代理復号鍵分配アルゴリズム ProxyDecKeyGen と、代理復号アルゴリズム Dec_job は、以下のように解除可能性要件を満たすものとして考案されている。

（１）元の復号者であるユーザーＩＤは有効期間内にある代理鍵を主題ごとのプロキシへ分配する。たとえば、

は、ユーザーＩＤがプロキシであるＪｏｂに分配する代理鍵を意味し、プロキシであるＪｏｂには主題であるjobを対象とした代理復号権限が委任される。

（２）元の復号者であるユーザーＩＤは共通のデータを分配し、時々（たとえば、１日に１度）、すべてのプロキシに対してこれらのデータを更新する。i =
1,2,…のとき、Y(τ_i)はτ_i日のデータを意味するとする。これら共通のデータは常に短期間である。

（３）主題であるjobおよびτ時間に関する暗号文を受信すると、プロキシであるJobは

とY(τ)を使って暗号文Ｃを復号する。

＜ＩＤベース再暗号方式（識別子を利用した再暗号方式）（非特許文献６）＞
松尾俊彦氏は、非特許文献６においてＩＤベースプロキシ再暗号システムを導入したが、この構築はランダムオラクルを持たないボネー氏およびボーエン氏のＩＢＥに基づいている。ＩＤベースプロキシ再暗号システムによって、プロキシはユーザーであるＩＤの識別子ＩＤに基づいて計算された暗号文を、ユーザーであるＩＤの秘密鍵で復号できる暗号文に変換することができる。このシステムは、次のように機能する。ユーザーであるＩＤまたは信頼される第３者が再暗号鍵rk_ID→ID’を生成し、あるプロキシ内に設定する。ユーザーであるＩＤの暗号文を受信すると、当該プロキシはrk_ID→ID’を用いた再暗号化アルゴリズムを実行してその暗号文を変換し、この変換した暗号文をユーザーＩＤ′に送る。ユーザーＩＤ′はこれを秘密鍵で復号する。

正式には、ＩＤベースプロキシ再暗号システムは、次の６つのアルゴリズム（Setup、KeyGen、ProxyDecKeyGen、Enc、REnc、（R）Dec）から成るが、これは、アルゴリズムREncが再暗号鍵rk_ID→ID’を持つプロキシによって実行され、かつ（R）DecがユーザーＩＤ′によって実行される場合である。再暗号化された暗号文に対する復号操作は、元の復号操作と見分けがつかない。

松尾俊彦氏は２種類のＩＤベース再暗号システムを構築している。１つは、プロキシがＰＫＩにおいて暗号文を変換するものである。

非特許文献６では、松尾俊彦氏は２つのプロキシ再暗号システムを提案した。１つは従来のＰＫＩベース公開鍵に基づいて暗号化された暗号文から、識別子ベース暗号用の秘密鍵によって復号可能な暗号文に変換するというものであり、もう１つは、ＩＢＥ方式によって暗号化された暗号文からＩＢＥに対する別の秘密鍵で復号可能な別個の暗号文に変換するというものである。後者は、再暗号鍵rk_ID→ID’が設定された後は、プロキシはユーザーＩＤのだけではなく他のユーザーの暗号文をもＩＤ′によって復号可能な暗号文へと常に変換可能となってしまうというデメリットがある。

松尾俊彦氏のＩＤベースプロキシ再暗号システムでは、プロキシの再暗号の権限を無効にすることはできないのに対して、本発明者らによるＣＢＰｄシステムでは、プロキシに再暗号の権限はない。これら２つのプロキシ暗号システムの利点を組み合わせによる、二機能付きプロキシ暗号システムを次の項以降で提案する。

＜本願に係る発明＞
＜ＩＤベース二機能付きプロキシ暗号システム＞
非特許文献６と同様に、たとえばボネー氏およびボーエン氏のＩＢＥに基づいて、本発明者はシステムを構築する。なお、本発明を実現するための方式としてはボネー氏およびボーエン氏のＩＢＥに限定されない。たとえば非特許文献１０の方式によっても実現できる。解除可能性問題については、非特許文献９に述べた方法を用いて処理する。

＜定義 （２−Ｆ ＩＢＰ）＞
ＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システムは、図１に示すように、次の６つのアルゴリズム（Setup、KeyGen、ProxyKeyGen（ProxyDecKeyGen、ProxyReKeyGen）、Enc、REnc、Dec（Dec_ID,
Dec_job, RDec_ID’)）からなる。

（１）設定(setup) ：このアルゴリズムはセキュリティパラメータ1^ｋを入力としてとり、認証者のマスター秘密鍵mskと、マスター公開鍵mpkを戻す。さらに、このシステムで共有される公開パラメータparamsを出力もする。

（２）元の復号鍵の生成（KeyGen）：このアルゴリズムは、システムパラメータparams、マスター鍵msk及びユーザーのＩＤを入力としてとる。ユーザーＩＤの秘密鍵SK_IDを出力する。

（３）代理（プロキシ）鍵の分配（ProxyKeyGen）
（３ア）代理復号鍵の生成（ProxyDecKeyGen）：このアルゴリズムはシステムパラメータparams、ユーザーの秘密鍵SK_ID、および主題jobを入力としてとる。主題jobに基づくユーザーＩＤの代理復号鍵を出力する。

（３イ）代理再暗号鍵の生成（ProxyReKeyGen）：このアルゴリズムは、システムパラメータparams、マスター鍵msk、および(ID → ID’)を入力としてとる。代理再暗号鍵rk_ID→ID’を出力する。rk_ID→ID’を使うことによって、プロキシはユーザーＩＤに対する暗号文をユーザーＩＤ′に対する暗号文へと再暗号化することができる。

（４）暗号化（Enc）：この暗号化アルゴリズムEncは、平文m、ユーザーであるＩＤの識別子ＩＤ、および主題名であるjobを入力としてとる確率的アルゴリズムである。mの暗号文Ｃを出力する。

（５）再暗号化（REnc）：再暗号化アルゴリズムREncは、ユーザーＩＤに対するmの暗号文Ｃ、対応するユーザーの識別子であるＩＤ及びＩＤ′を入力としてとる。ユーザーＩＤ′によって復号可能なmの暗号文Ｃ′を出力する。

（６）復号化（Dec）：この復号化アルゴリズム（Dec_ID, Dec_job,
RDec_ID’) は、元の／基本の復号化アルゴリズムであるDec_ID、代理復号化アルゴリズムであるDec_job、再暗号化された暗号文Ｃ′に対応する復号化アルゴリズムであるRDec_ID’から成る決定のアルゴリズムである。

（６ア）Dec_IDは暗号文Ｃ及びユーザーＩＤの元の復号鍵SK_IDを入力としてとる。Ｃの平文mを出力する。

（６イ）Dec_jobは、暗号文C_job、代理鍵

、及びユーザーＩＤの識別子であるＩＤ及びjobを入力としてとる。C_jobの平文mを出力する。

（６ウ）RDec_ID’は、ユーザーＩＤ′用として再暗号化された暗号文C’と、ユーザーＩＤ′の元の復号鍵SK_ID’を入力としてとる。これに対応する平文mを出力する。

この上記二機能付きプロキシ暗号システムにおいて、委任主題であるjobは、プロキシの「識別子」として作用する。そのため、暗号者は元復号者のプロキシが誰であるか、即ち、ユーザーＩＤについて知る必要はない。

＜正確性＞
正確性の特性を有するためには、所与のマスター秘密鍵である msk 、システムパラメータである params、メッセージスペースにおけるあらゆるメッセージ m、および任意のＩＤの秘密鍵 SK_ID ← PKG(1^ｋ) に対して次の条件が満たされなければならない。

＜本願の方式＞
図２は本発明の概略の動作フローを示したフローチャートである。次に同図を参照しながら本願の方式について説明する。
設定（ステップＳ１０１）：信任を受けている権限である ＰＫＧ は次のとおりである。
ＢＤＨパラメータ生成元であるＩＧを入力された1^ｋ上で動作させて、素数p，次数pの２つの乗法群Ｇ_１とＧ_２、及び適格性を有する

である。

元の復号鍵抽出（ステップＳ１０２）：ＰＫＧはユーザーＩＤに対する復号鍵を、

を計算することで生成する。

代理（プロキシ）鍵分配（ステップＳ１０３）：各プロキシに対する長期間用個人代理鍵、及び自身の全プロキシに対する短期間用共通データを生成する前に、ユーザーＩＤが

を計算する。

代理復号鍵（ステップＳ１０３Ａ）：Job、すなわちユーザーＩＤのプロキシの１つは、主題であるjobの復号化権限を委任される。ユーザーＩＤとしては、

を送る。

代理再暗号鍵（ステップＳ１０３Ｂ）：ユーザーＩＤは再暗号鍵である

を送る。

共通データの分配（ＰＤＫ）：ユーザーＩＤは、
・
d₁を自身のプロキシに送信する。

のように計算する。

乱数dτを変えることによって、１日に１度 Y(τ) を更新する。そのとき、プロキシの情報が含まれないので、Y(τ)は自身の全プロキシに対する共通データである。

パラメータυ（またはγ）、job ∈ {job₁,…,
jobn} に対するd_job、及びτ＝τ_１, τ_２に対するdτは、ユーザーＩＤ自身によって秘密が保たれなければならないことに注意する。

暗号化（Enc）（ステップＳ１０４）：

を計算する。
復号者に

を送信する。

再暗号化（ステップＳ１０６）：

を計算し、
・ユーザーＩＤ′にＣ´＝（Ｃ´_１、Ｃ_２、Ｃ_３）を送信する。

復号化：
Ｄｅｃ_ＩＤ：（Ｃ_１、Ｃ_２、Ｃ_３）が入力されると、元の復号者であるＩＤはいかなる主題下にある暗号文も、

を計算することによって復号することができる。

Ｄｅｃ_ｊｏｂ：（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５）が入力されると、Ｊｏｂは自身の主題であるJobに対する暗号文の代理復号機能を、

を計算することによって実行する。

ＲＤｅｃ_ＩＤ´：（Ｃ´_１、Ｃ_２、Ｃ_３）が入力されると、秘密鍵としてＳＫ_ＩＤ’ ＝（d’₀,
d’₁）を持つユーザーＩＤ′は、

を計算することによって復号機能を実行する（ステップＳ１０５）。

ここで注意すべきは、上記の機能は当該基本の復号機能である、
RDec_ID’
(C’) = Dec _ID’ (C’)と区別できない点に注意する。

＜正確性＞
正確性は以下のように立証されうる。
Dec
_ID :

したがって、

＜安全性＞
プロキシであるJobの役割変更、Jobの代理鍵の露呈、Jobの破損などのような場合においては、委任者がJobの代理復号権限を無効化することができることが望ましい。また、プロキシは代理復号権限及び代理再暗号権限の両方を委任されるため、二機能付きプロキシ暗号システムは、少なくとも以下の安全性要件を満たすべきである。

（１）委任者であるユーザーIDは、いかなる主題下のいかなる平文も取得可能であること。
（２）プロキシであるJobは、自身の主題であるjob下にあるIDに対する代理復号機能を行うことのみ可能であり、他の主題に対してはその機能を行うことができないこと。
（３）再暗号鍵rk_{ID → ID’}を委任されたプロキシは、IDの識別子（であって他のいかなるユーザーの識別子ではなく）で暗号化された暗号文をID′の秘密鍵で復号可能な暗号文に変換することのみ可能であること。
（４）ユーザーであるID′は、そのプロキシの協力がなければ、対応する平文を取得することができないこと。
（５）委任者は、必要であれば、Jobの代理権限を無効にすることができること。送信者側の無駄な作業を避けるために、プロキシに割り当てられる主題は、プロキシの復号権限が無効化される場合には、不変の状態のままであるべきである。

以下、図面を参照して本発明を実施するための形態について説明する。なお、以下では、本発明の目的を達成するための説明に必要な範囲を模式的に示し、本発明の該当部分の説明に必要な範囲を主に説明することとし、説明を省略する箇所については公知技術によるものとする。

図３は、本発明の一実施形態に係るＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システムの構成を示した機能ブロック図である。図４はそのうちの元復号者装置１０の詳細な構成を、図５はＰＫＧ装置２０の詳細な構成を、図６はプロキシ装置３０の詳細な構成を、図７は送信者装置４０の詳細な構成を、図８は元復号者信頼先装置１１の詳細な構成を、それぞれ示している。

図３に示すとおり、ＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システム１は、機密文書の主受け取り手である元復号者装置１０、元復号者からの厚い信頼を受ける信頼先である元復号者信頼先装置１１、システムに共通なパラメータの設定や秘密鍵の生成・送信等を行うセンター的機能を持つＰＫＧ装置２０、元復号者のジョブごとの代理人（たとえば秘書）に係るプロキシ装置３０、元復号者の代理人であるプロキシに対して情報を暗号化して送信する送信者装置４０がネットワーク５０を介して通信可能に連接されて構成される。同図において、矢印はその方向に情報が伝達・配信されることを示している。

元復号者のジョブごとの代理人たるプロキシは、図３Ａに示されるように、ジョブごとに設けられ、また、何人いてもよい。

元復号者装置１０（図４）は、プロキシ鍵を生成するプロキシ鍵生成分配部１０１と、各アルゴリズムとの間で情報の授受・記憶を行う記憶部１０３と、ネットワークを介して外部装置との間で情報のやり取りをする送受信部１０５とを備えて構成される。プロキシ鍵生成分配部１０１は、代理復号鍵生成部１０１１と、代理再暗号鍵生成部１０１２とを備えて構成される。

ＰＫＧ装置２０（図５）は、システムに共通するパラメータの設定等の各種設定機能を実行するセットアップルーチン部２０１と、各アルゴリズムとの間で情報の授受・記憶を行う記憶部２０３と、元の復号者が復号する場合の鍵を生成するための元の復号鍵生成部２０５と、ネットワークを介して外部装置との間で情報のやり取りをする送信部２０７及び受信部２０９とを備えて構成される。

プロキシ装置３０（図６）は、ネットワークを介して外部装置との間で情報のやり取りをする送受信部３０１と、各アルゴリズムとの間で情報の授受・記憶を行う記憶部３０３と、パラメータに記述されたＣ＝（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５）のうちどのデータが存在しているかによって代理人の当該ジョブに対する代理権限を判定するルーチン判定部３０５と、代理人に代理復号権限が与えられるときに代理復号化を行う復号化部３０７と、代理人に代理再暗号権限が与えられるときに代理再暗号化を行う再暗号化部３０９とを備えて構成される。

送信者装置４０（図７）は、平文を所定のＩＤを用いて暗号化する暗号化部４０１と、各アルゴリズムとの間で情報の授受・記憶を行う記憶部４０３と、ネットワークを介して外部装置との間で情報のやり取りをする送受信部４０５とを備えて構成される。

元復号者信頼先装置１１（図８）は、ネットワークを介して外部装置との間で情報のやり取りをする送受信部１１１と、各アルゴリズムとの間で情報の授受・記憶を行う記憶部１１３と、元の復号者から委任されて再暗号文を復号する場合の鍵を生成するための復号鍵算出部１１５と、復号鍵算出部１１５で算出された復号鍵を用いてプロキシから送信された再暗号文を復号する復号化部１１７とを備えて構成される。

次に、上記のように構成されるＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システムの動作について説明する。

図９は、本発明の一実施形態に係るＩＤベース二機能付きプロキシ（２−Ｆ ＩＢＰ）暗号システム１の動作及び情報のやり取りのタイミングを表したタイミング・フローチャートである。同図に示すとおり、まず、ＰＫＧセンター２０のセットアップルーチン部２０１がシステムに共通するパラメータ設定等の各種設定機能を実行する（ステップＳ１０１）。設定されたパラメータを含む各種情報は記憶部２０３に格納される。このパラメータに関して、上述したように、素数p，次数pの２つの乗法群Ｇ_１とＧ_２、及び双線形写像

として、これらの関数として定義されるから、楕円曲線上の離散対数の原理から、復号化鍵の計算困難性を有効に享受でき、攻撃者、剽窃者からの情報盗難を効果的に排除できることになる。

次に、元復号者装置１０の送受信部１０５及び元復号者信頼先１１の送受信部１１１により、それぞれ自分の識別子情報がＰＫＧセンター２０に対して送信される（ステップＳ１０−１）。受信部２０９はこれを受信し（ステップＳ２０−１）、受信したデータを記憶部２０３に格納する。

次に、元の復号鍵生成部２０５が元の復号鍵の生成アルゴリズムKeyGenによって、それぞれ元復号者装置１０及び元復号者信頼先１１の復号鍵を生成し（ステップＳ１０２）、記憶部２０３に格納する。このアルゴリズムにおいては、有限体上の離散対数問題の性質からｇとｇ^αが知られていたとしてもαは実質的に解読が困難であるから、生成される複合鍵ＳＫ_ＩＤは高セキュリティ性を保持でき、攻撃者、剽窃者からの情報盗難を効果的に排除できる。

次に、こうして生成された元の復号鍵を、送信部２０７が安全チャンネルを介して、それぞれ元復号者装置１０及び元復号者信頼先１１に対して送信する（ステップＳ２０−２）と、元復号者装置１０の送受信部１０５が受信して（ステップＳ１０−２）、これを記憶部１０３に記録する。元復号者信頼先１１の送受信部１１１が受信して（ステップＳ１０−２）、これを記憶部１１３に記録する。

次に元復号者装置１０では、プロキシ鍵生成分配部１０１が代理鍵の生成を行う（ステップＳ１０３）。具体的には、代理復号鍵生成部１０１１が代理復号鍵生成機能を、代理再暗号鍵生成部１０１２が代理再暗号鍵生成機能を果たすように動作する（ステップＳ１０３Ａ、Ｓ１０３Ｂ）。代理復号鍵生成部１０１１は上述したように、代理復号鍵の生成（ProxyDecKeyGen）アルゴリズムとして、
ユーザーＩＤとしては、

を送ることを実行する（ステップＳ１０３Ａ）。なお、生成された代理復号鍵は記憶部１０３に格納される。

代理再暗号鍵生成部１０１２は上述したように、代理再暗号鍵の生成（ProxyReKeyGen）アルゴリズムとして、
前記ユーザーＩＤは再暗号鍵である

を送ることを実行する（ステップＳ１０３Ｂ）。なお、生成された代理再暗号鍵は記憶部１０３に格納される。

こうして生成された代理鍵を送受信部１０５が安全チャンネルを介してプロキシ装置３０に対して送信（分配）する（ステップＳ１０−４）と、プロキシ装置３０では送受信部３０１がこれを受信して（ステップＳ３０−１）、記憶部３０３に格納する。

一方、送信者４０では元復号者１０に対して伝達を所望する平文を、暗号化部４０１が公開鍵を用いて暗号化して暗号文Ｃを生成する（ステップＳ１０４）。具体的には、上述のように、暗号化部４０１は、暗号化（Enc）アルゴリズムとして、

を送信することを実行する（ステップＳ１０４）。こうして作成された暗号文Ｃを記憶部４０３に格納するとともに送受信部４０５がネットワーク５０を介してプロキシ装置３０に対して送信する（ステップＳ１０４）と、プロキシ装置３０では送受信部３０１がこの暗号文Ｃを受信して（ステップＳ３０−２）、記憶部３０３に格納する。

次に、プロキシ装置３０のルーチン判定部３０５が、暗号文Ｃ中の特定パラメータを読み取ることにより、代理人に委任された代理権限及び爾後の処理ルーチンを判定する（ステップＳ３０−３）。具体的には、上述したように、暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３）で指標される場合（つまり、Ｃ_４、Ｃ_５が値を持たない場合）には、一級情報すなわち元復号者ＩＤしか復号できない情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃをそのまま元復号者IDへ渡す。暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４）で指標される場合（つまり、Ｃ_５が値を持たない場合）には、二級情報すなわちプロキシは解読できないが、元復号者ＩＤが指定した元復号者信頼者ＩＤ’へ再暗号化できる情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃを再暗号文Ｃ’ に代理再暗号化し、元復号者信頼者ＩＤ’へ渡す。暗号文においてＣ＝（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５）で指標される場合には、三級情報すなわちプロキシが解読できる情報として判断でき、代理人Ｊｏｂとしての対応は、暗号文Ｃを代理復号する。このように、暗号文ＣにパラメータであるＣ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５のうちの必要要素を適宜含ませる／含ませないことで暗号文Ｃの情報としての機密の級別を行うことができる。

上記で代理人（プロキシ装置３０）に代理復号権限が与えられていると判断されるときには、復号化部３０７が復号鍵を用いて復号化を行う（ステップＳ１０５）。具体的には、復号化部３０７は、Ｄｅｃ_ｊｏｂ：（Ｃ_１、Ｃ_２、Ｃ_３、Ｃ_４、Ｃ_５）が入力されると、Ｊｏｂは自身の主題であるJobに対する暗号文の代理復号機能を、

を計算することによって実行する（ステップＳ１０５）。

（プロキシ装置３０）に復号権限が与えられていず、代理再暗号化権限が与えられていると判断されるときには、再暗号化部３０９が再暗号化を行う（ステップＳ１０６）。具体的には、再暗号化部３０９は、再暗号化（REnc）アルゴリズムとして、

を計算し、ユーザーＩＤ′に対してＣ´＝（Ｃ´_１、Ｃ_２、Ｃ_３）を送信することを実行する（ステップＳ１０６）。なお、この場合、プロキシとしてはもとの暗号文Ｃを復号化することはできないで、暗号化されたＣに対して更なる暗号化（再暗号化）をかけることになる。こうして得られた再暗号文は記憶部３０３に格納される。

ステップＳ１０６で再暗号化された再暗号文Ｃ´は、送受信部３０１がネットワーク５０を介して元復号者信頼先装置１１に対して送信する（ステップＳ３０−４）と、元復号者信頼先装置１１側では送受信部１１１がこれを受信して（ステップＳ１１−１）、記憶部１１３に格納する。

次に、元復号者信頼先装置１１の復号鍵算出部１１５が復号鍵を自身のＩＤ情報をもとに算出する。

次に、元復号者信頼先装置１１の復号化部１１７が上記で算出された復号鍵を元に、再暗号文Ｃ´を復号化する（ステップＳ１０７）。具体的には、復号化部１１７としては、
ＲＤｅｃ_ＩＤ´：（Ｃ´_１、Ｃ_２、Ｃ_３）が入力されると、秘密鍵としてＳＫ_ＩＤ’ ＝（d’₀,
d’₁）を
持つことで、

を計算することによって復号機能を実行する（ステップＳ１０７）。こうして復号されて得られた平文ｍは、記憶部１１３に格納される。

ここで、上記の機能は当該基本の復号機能である、
RDec_ID’(C’)
= Dec_ID’(C’)と区別できない。したがって、元復号者信頼先装置１１側としては、暗号化されたものなのか再暗号化されたものなのかに拘らず、同じ自身のＩＤ´情報を用いて復号化できる。

ここで、代理人の代理権限解除について補足する。
暗号者による無駄な作業を避けるため、代理復号者に割り当てられたボブの公開情報鍵、およびサブジェクトは、代理による代理権限が無効とされる場合、変えず不変の状態で保持されねばならない。
まず、新しいパラメータv*を使ってデータY (τ)を更新する。
次に、新しいパラメータに関して、他のプロキシに対する代理鍵を更新する。
次に、上記の新しいパラメータv*と他のアシスタントd*_jobに関する復号権限を委任する前に、元の復号Dec_IDを実行する。

以上、詳細に説明したように、本発明によれば、代理復号と代理再暗号の機能を同時に有する二機能付きＩＤベースプロキシ暗号システムが実現される。したがって、これまで単機能でしか存在していなかった代理暗号システムに、より資源の無駄をなくし、効率的で、実用上の利用価値の高いものを提供することができる。

また、本発明によれば、各アルゴリズムは識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータを変数とする関数として構成されるために、楕円曲線上の離散対数の原理による計算量困難性の効果が享受される。したがって、公開されている情報から復号化の鍵を算出するのには、たとえコンピュータによる高速計算を行っても膨大な時間を要することとなり実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難や反セキュリティ活動を効果的に排除できる。

また、本発明によれば、代理権（代理復号権限と代理再暗号権限）を解除可能となるシステムが実現される。より詳細には、プロキシ復号鍵情報及びプロキシ再暗号化鍵情報が含んでいる関数は第１の復号者端末によって設定可能なデータを変数とするために、当初センター経由で設定されたプロキシ復号鍵情報及びプロキシ再暗号化鍵情報であっても、その後、第１の復号者が任意に当該変数を変えることでこれら鍵情報も変更されるので、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができる。したがって、利便性がよいと同時に、機密保持環境の変動に即時的に対応できる態勢で安全性の向上が実現される。

また、上記の数式中に、α（選択した乱数）の値を関数式から合理的に消去してしまう工夫が施されているので、αの設定と暗号の機密性とを別個独立のものとすることができる。したがって、管理上の必要に応じて自由度高く機密管理を行うことを可能とする暗号システムが実現される。

上記では、ＩＤベース二機能付きプロキシ暗号システム（２−Ｆ ＩＢＰ システム）を呈示したが、これは多機能プロキシ暗号システムの一例である。この２−Ｆ ＩＢＰ システムのプロキシは、委任者のために２つの機能、つまり代理復号機能および代理再暗号機能を行うように委任されたものである。当該提案に係る２−Ｆ ＩＢＰ システムは、解除可能性の特性を継承したものである。多機能暗号システムは安全性、および安全なセンサーネットワークを構築するために活用することが可能である。

将来的には、代理権の有効性は Y (τ)でコントロールされるから、一人のプロキシの代理権を廃止するため、全員のプロキシの鍵を更新しなければならない点を改善したい。また、二機能を超えた多機能までの拡張したい。

上述した実施形態は、本発明に係る技術思想を具現化するため一例を示したにすぎないものであり、他の実施形態でも本発明に係る技術思想を適用することが可能である。

さらにまた、本発明を用いて生産される装置、方法、システムが、その２次的生産品に搭載されて商品化された場合であっても、本発明の価値は何ら減ずるものではない。

上述したように、本願によれば、本発明によれば、代理復号と代理再暗号の機能を同時に有する二機能付きＩＤベースプロキシ暗号システムが実現される。したがって、これまで単機能でしかなかった代理暗号システムに、より資源の無駄をなくし、効率的で、実用上の利用価値の高いものを提供することができる。また、実質的に鍵の入手を困難ならしめることから、攻撃者、剽窃者からの情報盗難を効果的に排除できる。さらに、プロキシとして選定された代理人の代理権限を簡易に、センターに依頼することなく、解除することができる。したがって、利便性がよいと同時に、機密保持環境の変動に即時的に対応できる態勢で安全性の向上が実現される。

したがって、本願に係る暗号システムを製造する情報処理産業において相対的に廉価化及び高効率化が可能となり、この効果は、情報産業にとどまらず、広く暗号システムが活用されるあらゆる産業、たとえば金融産業、証券産業を始め、観光業、サービス業、安全産業等のあらゆる産業にとって、非常に巨大な有益をもたらすものである。

１…ＩＤベース二機能付きプロキシ暗号システム、１０…元復号者装置、１１…元復号者信頼先装置、２０…ＰＫＧ装置、３０…プロキシ装置、４０…送信者装置、５０…ネットワーク

Claims (3)

1. 第１の復号者端末、第２の復号者端末のそれぞれに関する公開情報である第１復号者端末識別子情報及び第２復号者端末識別子情報が、前記第１の復号者端末からセンターに対して送信されるステップと、
   前記送信された識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められるシステム共有パラメータの関数である秘密鍵情報及び再暗号化鍵情報が前記センターから前記第１の復号者端末に対して送信されるステップと、
   前記第１の復号者から特定のジョブについて委任される代理者に係るプロキシ端末に対して前記第１の復号者端末から、委任ジョブ情報及び前記秘密鍵情報に基づくプロキシ復号鍵情報と、前記委任ジョブ情報及び前記再暗号化鍵情報に基づくプロキシ再暗号化鍵情報とが送信されるステップと、
   伝達内容である平文が前記第１復号者端末識別子情報及び前記委任ジョブ情報を用いて暗号化されて暗号文に変換されるステップと、
   前記暗号文が送信者端末から前記プロキシ端末に対して送信されるステップと、
   前記プロキシ端末にて受信された前記暗号文が前記プロキシ再暗号化鍵情報を用いて再暗号化され、この再暗号化文が前記プロキシ端末から前記第２の復号者端末に対して送信されるステップ、もしくは代替的に、前記プロキシ端末にて受信された暗号文が前記プロキシ復号鍵情報を用いて前記平文に復号化されるステップと、
   前記再暗号化文が前記第２の復号者端末にて受信された場合には、該受信された再暗号化文が前記第２復号者端末識別子情報を用いて得られる鍵情報を用いて前記平文に復号化されるステップと
   を具備し、
   前記プロキシ端末に送信される前記プロキシ復号鍵情報及び前記プロキシ再暗号化鍵情報には前記第１の復号者端末によって設定可能なデータを変数とする関数が含まれることを特徴とする二機能付きＩＤベース暗号化方法。
2. 伝達対象である平文を公開鍵を用いて暗号化した暗号文が送信者端末から送信され、これが元復号者の特定のジョブについて委任される代理人であるプロキシ端末において受信され、公開情報である前記元復号者端末に係る識別子情報を用いて再暗号化しもしくは復号化され、前記再暗号化された場合には該再暗号文が受信された元復号者信頼先端末において自身の識別子情報を用いて復号化される二機能付きＩＤベース暗号システムにおいて、記憶装置を備え、
   セキュリティパラメータ1^ｋが入力されて前記記憶装置に記憶され、該記憶装置から読みだされた前記セキュリティパラメータ1^ｋを用いて認証者のマスター秘密鍵情報msk、前記システムで共有される公開パラメータparamsが双線形ペアリングを適用して算出・出力される設定(setup)アルゴリズムと、
   システムパラメータparams、前記設定(setup)アルゴリズムで出力された前記マスター秘密鍵情報msk及び前記元復号者端末に係る識別子情報であるユーザーＩＤが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記ユーザーＩＤに対応する秘密鍵情報SK_IDが算出・出力される元の復号鍵の生成（KeyGen）アルゴリズムと、
   代理鍵の分配（ProxyKeyGen）アルゴリズムと、
   平文情報m、前記ユーザーＩＤ、前記主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記平文情報mの暗号文情報Ｃが算出・出力される暗号化（Enc）アルゴリズムと、
   前記暗号文情報Ｃ、前記ユーザーＩＤ及び前記元復号者信頼先端末に係る識別子情報であるユーザーＩＤ′が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記ユーザーＩＤ′に係る前記元復号者信頼先端末によって復号可能な前記平文情報mの暗号文情報Ｃ′が算出・出力される再暗号化（REnc）アルゴリズムと、
   復号化アルゴリズム(Dec_ID, Dec_job,
   RDec_ID’)と
   をコンピュータに実行させるプログラムを有し、
   前記代理鍵の分配（ProxyKeyGen）アルゴリズムは、
   前記システムパラメータparams、前記元の復号鍵の生成（KeyGen）アルゴリズムで出力された前記秘密鍵情報SK_ID、および前記プロキシ端末に委任されるジョブに係る主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記主題情報jobに基づく前記ユーザーＩＤに係る代理復号鍵が算出・出力される代理復号鍵の生成（ProxyDecKeyGen）アルゴリズムと、
   前記システムパラメータparams、前記マスター秘密鍵情報msk、前記元復号者端末に係る識別子情報及び元復号者信頼先端末に係る識別子情報(ID→ID’)が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて代理再暗号鍵情報rK_ID→ID’が算出・出力される代理再暗号鍵の生成（ProxyReKeyGen）アルゴリズムとを備え、
   前記復号化アルゴリズム(Dec_ID, Dec_job,
   RDec_ID’)は、
   前記暗号文情報Ｃ及び前記ユーザーＩＤの元の復号鍵情報SK_IDが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記暗号文情報Ｃの平文mが算出・出力される元の／基本の復号化アルゴリズムDec_IDと、
   暗号文情報Cjob、代理鍵情報、前記ユーザーＩＤ及び前記主題情報jobが入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いて前記C_jobの平文mを算出・出力する代理復号化アルゴリズムDec_jobと、
   前記ユーザーＩＤ′用として再暗号化された暗号文情報C’及び前記ユーザーＩＤ′の前記元の復号鍵情報SK_ID’が入力されて前記記憶装置に記憶され、該記憶装置から読みだされたこれらの情報を用いてこれに対応する平文情報mが算出・出力される復号化アルゴリズムRDec_ID’とを備えることを特徴とする暗号システム。
3. 伝達対象である平文が公開鍵を用いて暗号化された暗号文が送信者端末から送信され、これが元復号者の特定のジョブについて委任される代理人に係るプロキシ端末において受信され、公開情報である前記元復号者に係る識別子情報に基づいて再暗号化しもしくは復号化され、前記再暗号化された場合には該再暗号文が受信された元復号者信頼先端末において自身の識別子情報を用いて復号化される二機能付きＩＤベース暗号システムにおいて、
   前記センター装置は、ネットワークを介して前記元復号者端末及び元復号者信頼先端末のそれぞれに関する公開情報である元復号者端末識別子情報及び元復号者信頼先端末識別子情報を受信しこれらを記憶装置に記録するための受信部と、前記記憶装置に記録された前記元復号者端末識別子情報及び／もしくは元復号者信頼先端末識別子情報を元に双線形ペアリングを適用したアルゴリズムによって求められたパラメータを含む関数としての秘密鍵情報及び再暗号化鍵情報を生成しこれら生成された各情報を前記記憶装置に記録する復号鍵生成部と、前記記録装置から前記秘密鍵情報及び前記再暗号化鍵情報を読みだしネットワークを介して送信する送信部とを具備し、
   前記元復号者端末は、ネットワークを介して情報を送受信する元復号側送受信部と、前記元復号側送受信部を介して前記センター装置から受信した前記秘密鍵情報委任ジョブ情報に基づいてプロキシ復号鍵情報を生成し前記再暗号化鍵情報及び前記委任ジョブ情報に基づいてプロキシ再暗号化鍵情報を生成して前記元復号側送受信部を介して前記プロキシ端末に対して送信するプロキシ鍵生成分配部とを具備し、
   前記送信者端末は、前記平文を公開情報である前記第１復号者端末識別子情報及び前記委任ジョブ情報を用いて暗号化する暗号化部と、前記暗号化された暗号文をネットワークを介して前記プロキシ端末に対して送信する送信側送信部とを具備し、
   前記プロキシ端末は、ネットワークを介して情報を送受信するプロキシ側送受信部と、前記プロキシ側送受信部により受信された前記暗号文に書き込まれたパラメータ情報に応じて処理ルーチンを判定するルーチン判定部と、前記選択部により再暗号化ルーチンが選択された場合には前記プロキシ再暗号化鍵情報を用いて前記暗号文に対して再暗号化処理し得られた再暗号化文をプロキシ側記録装置に記憶し該再暗号化文をプロキシ側送受信部を介して前記元復号者信頼先端末に対して送信する再暗号化部と、前記選択部により復号化ルーチンが選択された場合には前記暗号文を前記プロキシ復号鍵情報を用いて前記平文に復号化するプロキシ側復号部とを具備し、
   前記元復号者信頼先端末は、ネットワークを介して情報を送受信する元復号者信頼先側送受信部と、元復号者信頼先端末に係る識別子情報を用いて復号鍵情報を算出する復号鍵算出部と、前記元復号者信頼先側送受信部を介して前記プロキシ端末から受信した前記再暗号化文を前記復号鍵情報を用いて前記平文に復号化する元復号者信頼先側復号部とを具備し、
   前記プロキシ端末に送信される前記プロキシ復号鍵情報及び前記プロキシ再暗号化鍵情報には前記元復号者端末によって設定可能なデータを変数とする関数が含まれることを特徴とする暗号システム。

Images