JP2011147047A

JP2011147047A - プロキシ再暗号化システム、送信装置、再暗号化鍵生成装置、プロキシ装置、受信装置、プロキシ再暗号化方法、それらのプログラムおよび記録媒体

Info

Publication number: JP2011147047A
Application number: JP2010007789A
Authority: JP
Inventors: Ryo Nishimaki; 陵西巻
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-01-18
Filing date: 2010-01-18
Publication date: 2011-07-28

Abstract

【課題】双線型写像を用いずに標準モデルで双線型写像を用いた場合と同程度の安全性を有する双方向複数ホップ型のプロキシ再暗号化システムを実現する。
【解決手段】公開パラメータ生成装置と送信装置と受信装置と再暗号化鍵生成手段とプロキシとを備える双方向複数ホップ型のプロキシ再暗号化システムにおいて、鍵の生成、暗号化処理、復号処理の際に、ＡＢＯ−ＴＤＦ（All-But-One落とし戸付一方向性関数）、及びｒｅＬＴＤＦ（(re-appliable (n,k)-lossy落とし戸付一方向性関数）とその準同型性を利用する。
【選択図】図１

Description

本発明は、電気通信システムで暗号化方式において使われる双方向複数ホップ型のプロキシ再暗号化システム、送信装置、再暗号化鍵生成装置、プロキシ装置、受信装置、プロキシ再暗号化方法、それらのプログラムおよび記録媒体に関する。

プロキシ再暗号化方式は、ユーザ１とユーザ２との間でやりとりするメッセージにつき暗号通信を行う際に、両者間に配置したプロキシを用い、ユーザ１の暗号鍵で暗号化された暗号文を、ユーザ１の復号鍵を公開することなくユーザ２の復号鍵で復号可能な暗号文に変換することを可能とする方式である。暗号文の変換を行うプロキシには変換に用いる再暗号化鍵が与えられるのみであり、メッセージの内容を知ることなく変換処理を実行する。例えば、図7に示すように、ある送信者が文書ｍをAliceに送信する際、Aliceの公開鍵pk₁により暗号化した暗号文Ｃを、Aliceが復号することなくそのままBobに転送したい場合を考える。このような場合に、プロキシ再暗号化方式ではこの暗号文Ｃをプロキシが再暗号化鍵rk_{1_2}によりBobの秘密鍵sk₂により復号可能な暗号文Ｃ´に変換することにより、Bobの下での文書ｍの復元を可能とする。なお、再暗号化鍵rk_{1_2}は信頼できる第三者から提供され、プロキシにAliceの秘密鍵を与えることなく再暗号化が可能である。

プロキシ再暗号化方式は、図８(a)に示すように、一つの再暗号化鍵rk_{1_2}でユーザ１(Alice)の暗号文をユーザ２(Bob)の暗号文に変換することのみが可能な一方向型と、図８(b)に示すようにユーザ２の暗号文をユーザ１の暗号文に変換することも可能な双方向型とに分類することができる。また、暗号文変換が可能な回数という観点から、図８(a)に示すような暗号文変換が１回（ユーザ１からユーザ２への暗号文変換）のみが可能な単一ホップ型と、図８(c)に示すようなユーザ１からユーザ２への暗号文変換を行った後、更にユーザ２からユーザ３(Carol)への暗号文変換、・・・というように繰り返し暗号文変換が可能な複数ホップ型とに分類することができる。

従来の双方向複数ホップ型のプロキシ再暗号化方式として、例えば非特許文献１に示す方式が挙げられる。また、双方向単一ホップ型の方式として、例えば非特許文献２に示す方式が、片方向単一ホップ型の方式として、例えば非特許文献３に示す方式が挙げられる。

R. Canetti and S. Hohenberger, "Chosen-Ciphertext Secure Proxy Re-Encryption", Proceedings of the 14th ACM conference on Computer and communications security, 2007年, p.185-194 J. Weng, R. H. Deng, S. Liu, K. Chen, J. Lai, and X. Wang, "Chosen-Ciphertext Secure Proxy Re-Encryption Schemes without Pairings", Proceedings of the 7th International Conference on Cryptology and Network Security, 2008年, volume 5339 of Lecture Notes in Computer Science, p.1-17 J. Shao and Z. Cao, "CCA-Secure Proxy Re-Encryption without Pairings", Proceedings of the 12th International Conference on Practice and Theory in Public Key Cryptography, 2009年, volume 5443 of Lecture Notes in Computer Science, p.357-376

非特許文献１の方式は、標準モデルで安全性が証明されているが、まだ歴史の浅い双線型写像を用いるものであり、安全性の根拠となる仮定について、評価がまだ十分でなく信頼性に不安がある。一方、非特許文献２、３の方式は、双線型写像は用いない方式であるが、安全性がランダムオラクルモデルでしか証明されていない。

本発明の目的は、双線型写像を用いずに標準モデルで双線型写像を用いた場合と同程度の安全性を有する双方向複数ホップ型のプロキシ再暗号化システムを実現することにある。

本発明のプロキシ再暗号化システムは、公開パラメータ生成装置と送信装置と第ｉ受信装置と再暗号化鍵生成装置と第ｉプロキシ装置と第Ｎ受信装置とを備える。

公開パラメータ生成装置は、ＡＢＯ−ＴＤＦの関数インデックスｓ_aboとｒｅＬＴＤＦのパラメータparとハッシュ関数ｈとからなるシステムの公開パラメータを生成して公開する。

送信装置は、電子署名の公開鍵vkと秘密鍵sk_σとを生成する署名鍵生成手段と、乱数ｘを生成する乱数生成手段と、第１受信装置の公開鍵pk_１と乱数ｘとに基づきｒｅＬＴＤＦを評価し結果ｃ_1,1を出力するｒｅＬＴＤＦ評価手段と、関数インデックスｓ_aboと公開鍵vkと乱数ｘとに基づきＡＢＯ−ＴＤＦを評価し結果ｃ_２を出力するＡＢＯ−ＴＤＦ評価手段と、メッセージｍと乱数ｘとハッシュ関数ｈとが入力され、ハッシュ値ｈ(ｘ)とメッセージｍとの排他的論理和ｃ_３を出力するハッシュ値計算手段と、ｃ_２とｃ_３と秘密鍵sk_σとから電子署名σを生成する電子署名生成手段と、を備え、暗号文Ｃ_１＝（ｃ_1,1,ｃ_２,ｃ₃,vk,σ）を出力する。

第ｉ（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）受信装置は、パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_ｉと秘密鍵sk_ｉとを生成して出力する鍵生成手段と、暗号文Ｃ_ｉを中継する中継手段と、を備える。

再暗号化鍵生成装置は、第ｉ受信装置の秘密鍵sk_ｉと第ｉ＋１受信装置の秘密鍵sk_i+1とからｒｅＬＴＤＦの再暗号化鍵生成アルゴリズムにより再暗号化鍵rk_{i_i+1}を生成する。

第ｉプロキシ装置は、暗号文Ｃ_ｉと再暗号化鍵rk_{i_i+1}とが入力され、再暗号化アルゴリズムによりｃ_1,iをｃ_1,i+1に変換して、暗号文Ｃ_i+1＝（ｃ_1,i+1,ｃ_２,ｃ₃,vk,σ）を出力する。

第Ｎ受信装置は、パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_Ｎと秘密鍵sk_Ｎとを生成し出力する鍵生成手段と、ｃ_２とｃ_３と公開鍵vkと電子署名σとから電子署名の正当性を検証する電子署名検証手段と、上記電子署名が正当であった場合に秘密鍵sk_Ｎとｃ_1,NとからｒｅＬＴＤＦの復元アルゴリズムによりｘ´を求めるｘ´計算手段と、ｘ´と公開鍵pk_Ｎとに基づきｒｅＬＴＤＦを評価し結果がｃ_1,Nと等しいことの成否を検証するｒｅＬＴＤＦ検証手段と、ｘ´と関数インデックスｓ_aboと公開鍵vkとに基づきＡＢＯ−ＴＤＦを評価し結果がｃ_２に等しいことの成否を検証するＡＢＯ−ＴＤＦ検証手段と、各検証サブステップでの検証が成功した場合にｃ_３とハッシュ値ｈ(ｘ´)との排他的論理和を計算することによりメッセージｍを復元して出力する復元手段と、を備える。

本発明のプロキシ再暗号化システムによれば、ＡＢＯ−ＴＤＦ、及びｒｅＬＴＤＦとその準同型性を利用することにより、電子署名方式がワンタイム選択文書攻撃に対し強存在的偽造負荷かつ判定ディッフィー・ヘルマン仮定が真であれば双線型写像を用いずに標準モデルで双線型写像を用いた場合と同程度の安全性を確保することができる。

本発明のプロキシ再暗号化システム１００のＮ＝２（ホップ数が１）の場合の構成例を示すブロック図。本発明のプロキシ再暗号化システム１００のＮ≧３（ホップ数が２以上）である場合の構成例を示すブロック図。本発明の送信装置１２０の構成例を示すブロック図。本発明の第ｉ受信装置１３０の構成例を示すブロック図。本発明の第Ｎ受信装置１６０の構成例を示すブロック図。本発明のプロキシ再暗号化システム１００の処理フローの例を示す図。プロキシ再暗号化方式を説明する図。双方向性複数ホップ型を説明する図。

〔本発明において用いる用語の定義および基礎となる技術の説明〕
実施形態の説明に先立ち、本発明において用いる用語の定義および基礎となる技術について説明する。

（１）共通事項
λはセキュリティパラメータとし、ｎ、ｋ、ｋ′、ｋ″及びνはλに依存したパラメータとする。Sig＝Sig.{Gen,Sign,Vrfy}は強偽造不可能ワンタイム署名方式とし、公開の検証鍵の長さをνとする。なお、Sig.{Gen,Sign,Vrfy}は当該署名方式Sigが、Sig.Gen、Sig.Sign、Sig.Vrfyの３つのアルゴリズムから構成されていることを表す。

reLTDF＝reLTDF.{Set,Gen,Eval,Inv,ReIndex,ReEval,Trans,FakeKey}は、re-appliable (n,k)-lossy落とし戸付一方向性関数(ｒｅＬＴＤＦ)とする。また、ABO = ABO.{Gen,Eval,Inv}はbranch集合がB_λ＝{0,1}νの(n,k′)-All-But-One落とし戸付一方向性関数(ＡＢＯ−ＴＤＦ)とする。Ｈは{0,1}ⁿを{0,1}″へ写す対独立ハッシュ関数族とする。

なお、あるδ_１＝ω(logλ)とδ_２＝ω(logλ)に対して、
ｎ−(ｋ＋ｋ′＋ｋ″)≧δ_１＋δ_２
であることが要求される。また、暗号方式のメッセージ空間は{0,1}^ｋ″である。

（２）lossy落とし戸付一方向性関数(lossy trapdoor function：ＬＴＤＦ)
lossy落とし戸付一方向性関数は、４つの確率的多項式時間アルゴリズムの組LTDF.{Set,Gen,Eval,Inv}である。アルゴリズムLTDF.Set(1^λ)は公開パラメータparを出力する。他のアルゴリズムLTDF.Gen、LTDF.Eval、LTDF.Invはパラメータparをその計算に使用するが、使用を省略する場合もある。

以下の条件を満たすとき、(n,k)-lossy落とし戸付一方向性関数という。

Injectivity: 任意の公開パラメータ par ← LTDF.Set(1^λ)と、任意の関数インデックスと落とし戸のペア(s,td) ← LTDF.Gen(inj)に対して、アルゴリズムLTDF.Eval(s,・)は{0,1}^ｎ上の単射関数f_s(・)を計算し、アルゴリズムLTDF.Inv(td,・)はf_s ^-1(・)を計算する。

Lossiness: 任意の公開パラメータ par ← LTDF.Set(1^λ)と、任意の関数インデックスと擬似落とし戸のペア(s,ptd) ← LTDF.Gen(los)に対して、アルゴリズムLTDF.Eval(s,・)は{0,1}ⁿ上の関数f_s(・)を計算する。ただし|f_s({0,1}ⁿ)|≦2^n-kである。

Indistinguishability: 公開パラメータ parはLTDF.Set(1^λ)の出力であり、関数インデックスs_injとs_losはそれぞれ、LTDF.Gen(inj)とLTDF.Gen(los)の第一出力とする。このとき{(par,s_inj)}と{(par,s_los)}は計算量的識別不可能である。

（３）re-appliable (n,k)-lossy落とし戸付一方向性関数(ｒｅＬＴＤＦ)
ｒｅＬＴＤＦとは、８つの確率的多項式時間アルゴリズムreLTDF.{Set,Gen,Eval,ReIndex,ReEval,Trans,FakeKey}であり、reLTDF.Setによって出力された任意の公開パラメータparに対し、以下の条件を満たす。

Lossy trapdoor function: reLTDF.{Set,Gen,Eval,Inv}は(n,k)-lossy trapdoor functionsである。

Re-applying with respect to function indeces: reLTDF.Gen(inj)が出力した２組の関数インデックスと落とし戸のペア(s_ｉ,td_ｉ),(s_ｊ,td_ｊ)を入力として、reLTDF.ReIndex(td_ｉ,td_ｊ)はs_{i_j}を出力とする。任意のｘ∈{0,1}ⁿに対して、reLTDF.Eval(s_ｊ,x)＝reLTDF.ReEval(s_{i_j},reLTDF.Eval(s_i,x))が成立する。

Transitivity: reLTDF.Gen(inj)によって出力された３組の関数インデックスと落とし戸のペア(s_ｉ,td_ｉ),(s_ｊ,td_ｊ),(s_ｋ,td_ｋ)に対して、reLTDF.ReIndex(td_ｉ,td_ｊ),reLTDF.ReIndex(td_ｉ,td_ｋ),reLTDF.ReIndex(td_ｊ,td_ｋ)がそれぞれ、s_{i_j},s_{i_k}，s_{j_k}を出力したとき、s_{j_k}＝reLTDF.Trans(s_{i_j},s_{i_k})が成立している。

Statistical indistinguishability of the fake key: reLTDF.Gen(inj)が出力した２組の関数インデックスと落とし戸のペア(s_ｉ,td_ｉ),(s_ｊ,td_ｊ)に対して、reLTDF.FakeKeyアルゴリズムはs_ｉを入力にとって、(s_j´,s_{i_j}´)←reLTDF.FakeKey(s_ｉ)を出力する。このとき、(par,s_ｉ,s_ｊ,s_{i_j})と(par,s_ｉ,s_ｊ´,s_{i_j}´)は統計的識別不可能である。

Generation of Injective functions from loss functions: (s_１,s_２)←reLTDF.FakeKey(s_los)、(s_los,ptd)←reLTDF.Gen(los)のとき、reLTDF.Eval(s₁,・)は単射関数f_s1(・)に一致している。

（４）双方向ホップ方式(Bidirectional Multi-Hop Schemes)
双方向かつ複数ホップのプロキシ再暗号化方式Σは６つのアルゴリズム(Setup,KeyGen,Enc,Dec,ReKeyGen,ReEnc)から成る。

PP←Setup(1^ｋ): セキュリティパラメータ1^ｋが与えられると、公開パラメータPPを出力する。

(pk,sk)←KeyGen(PP): 公開パラメータPPが与えられると、公開鍵pkと秘密鍵skとを出力する。

Ｃ←Enc(pk,ｍ): 公開鍵pkとメッセージｍ∈Ｍ（Ｍはメッセージ空間）が与えられると、暗号文Ｃを出力する。

ｍ←Dec(sk,Ｃ): 秘密鍵skと暗号文Ｃが与えられると、メッセージｍまたはエラーシンボルを出力する。

rk_{i_j}←ReKeyGen(sk_ｉ,sk_ｊ): ２つの秘密鍵sk_ｉ,sk_ｊ(ただし、i≠j)が与えられると、ｉとｊとの間の再暗号化鍵rk_{i_j}を出力する。

Ｃ_ｊ←ReEnc(rk_{i_j},Ｃ_ｉ): ｉとｊとの間の再暗号化鍵rk_{i_j}とｉの暗号文Ｃ_ｉとが入力されると、別の公開鍵pk_ｊの下での暗号文Ｃ_ｊかエラーシンボルを出力する。

そして、以下の条件を満たすとプロキシ再暗号化方式Σは正当性を満たす。

・任意の(pk,sk)←KeyGenと任意のメッセージｍ∈Ｍに対し、Pr[Dec(sk,Ｃ)＝ｍ：Ｃ←Enc(pk,ｍ)]が成立する。

・任意のｎ∈Ｎ、任意の(pk_１,sk_１)...(pk_ｎ,sk_ｎ)←KeyGen、任意のメッセージｍ∈Ｍ、任意のrk_{1_2}...rk_{n-1_n}(ただし、rk_{i_i+1}←ReKeyGen(sk_ｉ,sk_i+1))に対し、Pr[Dec(sk_ｎ,ReEnc(rk_{n-1_n},...ReEnc(rk_{1_2},Ｃ₁)...))＝ｍ：Ｃ₁←Enc(pk_１,ｍ)]の値は十分大きい。

（５）All-But-One落とし戸付一方向性関数（参考文献１参照）
λはセキュリティパラメータとする。n(λ)は関数の入力長を表し、k(λ)は関数の欠落度を表す（以後この項目ではλを省略する）。ｒ＝ｎ−ｋは剰余漏洩量を表す。All-But-One落とし戸付一方向性関数は枝を持つ。Ｂ＝{Ｂ_λ}_λ∈Ｎを枝の集合とする。枝集合Ｂを持つ(n,k)-All-But-One落とし戸付一方向性関数は３つのアルゴリズムの組ABO.{Gen,Eval,Inv}からなり、以下の性質を持つ。

・任意のｂ^＊∈Ｂ_λに対し、(s,t)←ABO.Gen(1^λ,b^*)を生成できる。ただし、ｓは関数のインデックスでｔは落とし戸である。

・任意のｂ∈Ｂ_λに対し、ABO.Eval(s,b,・)は定義域{0,1}ⁿ上で単射関数g_s,b(・)を計算し、ABO.Inv(t,b,・)は逆関数g_s,b ^-1(・)を計算する。ただし、ｂ≠ｂ^＊。

・任意のｂ₀ ^＊、ｂ₁ ^＊∈Ｂ_λに対し、ｓ_０とｓ_１は多項式時間アルゴリズムでは識別不可能である。ただし、（s₀,t₀)←ABO.Gen(1^λ,b₀ ^*)かつ（s₁,t₁)←ABO.Gen(1^λ,b₁ ^*)。

（６）署名方式
電子署名は以下の３つの確率的多項式時間アルゴリズムの組Sig.{Gen,Sign,Vrfy}からなる。
・Sig.Gen(1^λ)は検証鍵vkと署名鍵sk_σを出力する。
・Sig.Sign(sk_σ,ｍ)は署名鍵sk_σとメッセージｍ∈Ｍ（ただしＭは固定されたメッセージ空間）とを入力とし、署名σを出力する。
・Sig.Vrfy(vk,ｍ,σ)は検証鍵vk、メッセージｍ∈Ｍ、及び署名σを入力とし、０または１を出力する。

任意の(vk,sk_σ)←Sig.Gen(1^λ)とｍ∈Ｍに対して、Sig.Vrfy(vk,ｍ,Sig.Sign(sk_σ,ｍ))＝１であることが要求される。電子署名がワンタイム選択文書攻撃に対して強存在的偽造不可能とは、
Adv_A ^sEUF-OT＝Pr[(ｍ,σ)≠(ｍ^*,σ^*)∧Sig.vrfy(vk,ｍ,σ)＝１;
(vk,sk_σ)←Sig.Gen(λ); (ｍ^*,st)←Ａ(vk);
σ^*←Sig.Sign(sk_σ,ｍ^*); (ｍ,σ)←Ａ(st,σ^*)]
と敵の優位性を定義したとき、Adv_A ^sEUF-OTが無視できるほど小さい場合をいう。

〈参考文献１〉C.Peikert and B.Waters,"Lossy trapdoor Functions and Their Applications", STOC '08, 2008年, p.187-196

（７）対独立ハッシュ関数(pairwise independent hash function)（参考文献２参照）
ドメインＤからレンジＲへのハッシュ関数族Ｈ＝{ｈ_i：Ｄ→Ｒ}が対独立であるとは、任意の相異なるｘ、ｘ´∈Ｄと任意のｙ、ｙ´∈Ｒに対して、以下が成立することである。

Pr_h←H[h(x)＝y ∧ h(x´)＝ｙ´]＝１／|Ｒ|^２

〈参考文献２〉V.Shoup,"A Computational Introduction to Number Theory and Algebra", Cambridge University Press, 2005年

（８）暗号学的仮定
素数である位数ｐの巡回群Ｇを考える。ｇを群Ｇの生成元とする。Ｇ_ｇは標準的な群の生成アルゴリズムで、セキュリティパラメータλを入力とし(Ｇ,ｐ,ｇ)を生成する。判定ディッフィー・ヘルマン問題とは(Ｇ,ｐ,ｇ)と(ｇ^ａ,ｇ^ｂ,ｚ)(ａ,ｂ←Ｚ_ｐ、ｚ∈Ｇ)が与えられたときに、ｚがランダムなＧの元かｇ^abかどうかを判定する問題である。この優位性は以下で定義される。

Adv_A ^DDH(λ)＝|Pr[Ａ(Ｇ,p,g,g^a,g^b,z): a,b←Ｚ_p、z←Ｇ]−Pr[Ａ(Ｇ,p,g,g^a,g^b,g^ab): a,b←Ｚ_p]|

判定ディッフィー・ヘルマン仮定が成立しているとは、判定ディッフィー・ヘルマン問題が困難である、つまり、どのような敵Ａに対してもAdv_A ^DDH(λ)が無視できる場合をいう。

〔実施例〕
本発明のプロキシ再暗号化システム１００の機能ブロック構成例を図１、図２に示す。プロキシ再暗号化システム１００は、公開パラメータ生成装置１１０と送信装置１２０と第ｉ受信装置１３０と再暗号化鍵生成装置１４０と第ｉプロキシ装置１５０と第Ｎ受信装置１６０とを備える。なお、ｉ＝１，・・・，Ｎ−１、Ｎ≧２であり、つまり、第ｉ受信装置１３０にあたる受信装置及び第ｉプロキシ装置１５０にあたるプロキシ装置は、それぞれ第１〜第Ｎ−１のＮ−１個ずつある。図１はＮ＝２の場合、図２はＮ≧３の場合の構成例である。

公開パラメータ生成装置１１０は、ＡＢＯ−ＴＤＦの関数インデックスｓ_aboとｒｅＬＴＤＦのパラメータparとハッシュ関数ｈとからなるシステムの公開パラメータＰＰ＝(s_abo,par,h)を生成して公開する。ｓ_aboはlossy branch b^*＝0^νとして生成する。つまり、(s_abo,td_abo)←ABO.Gen(1^λ,0^ν)を計算する。また、parはpar←LTDF.Set(1^λ)により生成し、ハッシュ関数ｈ←Ｈを選ぶ。

送信装置１２０は、署名鍵生成手段１２１と乱数生成手段１２２とｒｅＬＴＤＦ評価手段１２３とＡＢＯ−ＴＤＦ評価手段１２４とハッシュ値計算手段１２５と電子署名生成手段１２６とを備える。機能ブロック構成例を図３に示す。署名鍵生成手段１２１は電子署名の公開鍵vkと秘密鍵sk_σを(vk,sk_σ)←Sig.Gen(1^λ)により生成する。乱数生成手段１２２は乱数ｘを生成する。ｒｅＬＴＤＦ評価手段１２３は、第１受信装置１３０の公開鍵pk_１と乱数ｘとに基づきｃ_1,1を、ｃ_1,1＝reLTDF.Eval(pk_１,x)により求めて出力する。ＡＢＯ−ＴＤＦ評価手段１２４は、関数インデックスｓ_aboと公開鍵vkと乱数ｘとに基づきｃ_２を、ｃ_２＝ABO.Eval(s_abo,vk,x)により求めて出力する。ハッシュ値計算手段１２５は、メッセージｍと乱数ｘとハッシュ関数ｈとが入力され、ハッシュ値ｈ(ｘ)とメッセージｍとの排他的論理和ｃ_３を求めて出力する。電子署名生成手段１２６は、ｃ_２とｃ_３と秘密鍵sk_σとから電子署名σを、σ←Sig.Sign(sk_σ,(c₂,c₃))により生成する。そして、送信装置１２０は暗号文Ｃ_１＝（ｃ_1,1,ｃ_２,ｃ_３,vk,σ）を出力する。

第ｉ（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）受信装置１３０は、鍵生成手段１３１と中継手段１３２とを備える。機能ブロック構成例を図４に示す。鍵生成手段１３１は、パラメータparを用い公開鍵pk_ｉと秘密鍵sk_ｉを、(pk_ｉ,sk_ｉ)＝(s_ｉ,td_ｉ)←reLTDF.Gen(inj)により生成する。中継手段１３２は送信装置１２０から受信した暗号文Ｃ_ｉを第ｉプロキシ装置１５０に送信する。

再暗号化鍵生成装置１４０は、第ｉ受信装置の秘密鍵sk_ｉと第ｉ＋１受信装置の秘密鍵sk_i+1とから再暗号化鍵rk_{i_i+1}を、rk_{i_i+1}＝ｓ_{i_i+1}＝reLTDF.ReIndex(sk_ｉ,sk_i+1)により生成し、第ｉプロキシ装置１５０に与える。

第ｉプロキシ装置１５０は、暗号文Ｃ_ｉ＝(ｃ_1,i,ｃ_２,ｃ_３,vk,σ)と再暗号化鍵rk_{i_i+1}とが入力され、ｃ_1,i+1＝reLTDF.ReEval(rk_{i_i+1},ｃ_1,i)により、ｃ_1,iをｃ_1,i+1に変換して、暗号文Ｃ_i+1＝(ｃ_1,i+1,ｃ_２,ｃ_３,vk,σ)を出力する。

第Ｎ受信装置１６０は、鍵生成手段１６１と電子署名検証手段１６２とｘ´計算手段１６３とｒｅＬＴＤＦ検証手段１６４とＡＢＯ−ＴＤＦ検証手段１６５と復元手段１６６とを備える。機能ブロック構成例を図５に示す。鍵生成手段１６１は、パラメータparを用い公開鍵pk_Ｎと秘密鍵sk_Ｎを、(pk_Ｎ,sk_Ｎ)＝(s_Ｎ,td_Ｎ)←reLTDF.Gen(inj)により生成する。電子署名検証手段１６２は、Sig.Vrfy(vk,(c_２,c_３),σ)により電子署名の正当性を検証し、正当性が認められない場合には処理を終了する。電子署名が正当であった場合、ｘ´計算手段１６３は秘密鍵sk_Ｎとｃ_1,Nとからｘ´をｘ´＝reLTDF.Inv(sk_Ｎ,ｃ_1,N)により求める。ｒｅＬＴＤＦ検証手段１６４は、ｃ_1,N＝reLTDF.Eval(pk_Ｎ,x)が成立するか否かを検証し、成立しない場合には処理を終了する。ＡＢＯ−ＴＤＦ検証手段１６５は、ｃ_２＝ABO.Eval(s_abo,vk,ｘ´)が成立するか否かを検証し、成立しない場合には処理を終了する。復元手段１６６は、各検証手段での検証が成功した場合にｃ_３とハッシュ値ｈ(ｘ´)との排他的論理和を計算することによりメッセージｍを復元して出力する。

図６に本発明のプロキシ再暗号化システム１００の処理フロー例を示す。まず、公開パラメータ生成装置１１０が公開パラメータＰＰを生成して公開する（Ｓ１）。送信装置１２０は、電子署名の公開鍵vkと秘密鍵sk_σとを生成し（Ｓ２−１）、乱数ｘを生成し（Ｓ２−２）、ｒｅＬＴＤＦにより評価して結果ｃ_1,1を出力し（Ｓ２−３）、ＡＢＯ−ＴＤＦにより評価して結果ｃ_２を出力し（Ｓ２−４）、乱数ｘのハッシュ値とメッセージｍとの排他的論理和によりｃ_３を求めて出力し（Ｓ２−５）、電子署名σを生成する（Ｓ２−６）。またＳ２−１〜６と並行して、第ｉ受信装置１３０が公開鍵vk_ｉと秘密鍵sk_ｉを生成し（Ｓ３ａ）、第Ｎ受信装置１６０が公開鍵vk_Ｎと秘密鍵sk_Ｎを生成し（Ｓ６ａ）、再暗号化鍵生成装置１４０が再暗号化鍵rk_{i_i+1}を生成する（Ｓ４）。続いて、第ｉ受信装置１３０がＣ_ｉを中継し（Ｓ３ｂ）、第ｉプロキシ装置が暗号文Ｃ_ｉをＣ_i+1に変換する（Ｓ５）。Ｓ３ｂとＳ５はｉが１からＮ−１になるまで繰り返す。続いて、第Ｎ受信装置１６０が、電子署名σを検証し（Ｓ６−１）、署名が正当である場合にはｘ´を計算し（Ｓ６−２）、ｃ_1,Nを検証し（Ｓ６−３）、ｃ_２を検証し（Ｓ６−４）、最後にｘ´のハッシュ値とｃ_３との排他的論理和をとることによりメッセージｍを復元する（Ｓ６−５）。なお、検証に失敗した場合には処理を終了する。

以上のように本発明のプロキシ再暗号化システムによれば、ＡＢＯ−ＴＤＦ、及びｒｅＬＴＤＦとその準同型性を利用することにより、電子署名方式がワンタイム選択文書攻撃に対し強存在的偽造不可かつ判定ディッフィー・ヘルマン仮定が真であれば双線型写像を用いずに標準モデルで双線型写像を用いた場合と同程度の安全性を確保することができる。

〔実施例の各パラメータの具体的計算例等〕
・ＡＢＯ−ＴＤＦの関数インデックスｓ_aboについて
プロキシ再暗号化方式において、ｒｅＬＴＤＦとＡＢＯ−ＴＤＦの実現方法として判定ディッフィーへルマン問題を利用した方法で、システムパラメータに含まれるＡＢＯ−ＴＤＦの関数インデックスｓ_aboを生成するために、素数ｐ、位数ｐの巡回群Ｇ、Ｇの生成元ｇを用い、公開情報をｈ_ｊ＝ｇ^z_j、秘密の落とし戸情報をz_j∈Ｚ_ｐ(ただし,j∈[n])、lossy branch b^＊＝０^νとし、ｍ∈Ｚ_ｐを入力として、乱数ｒ∈Ｚ_ｐを使って、c＝(c₁,c₂)＝Enc_h(m;r)＝(g^r,h^rg^m)を生成する手続きを行い、Enc_h(m₁;r₁)◎Enc_h(m₂;r₂)＝Enc_h(m₁+m₂;r₁+r₂)（ただし、◎は成分ごとの掛け算を表す）であること、また、ｘ∈Ｚ_ｐに対しEnc_h(m;r)^ｘ＝Enc_h(mx;mr)であること、さらに演算□を次のように定義することで、c□ν＝(c₁,c₂・g^ν)＝Enc_h(m;r)◎Enc_h(ν;０)＝Enc_h(m+ν;r)、c_i,j＝Enc_h(0;r_ｉ)から行列Ｃ＝(c_i,j)＝(Ｃ_１,Ｃ_２)（ただし、i,j∈[n]）を生成して、ｓ_abo＝Ｃとする。ただし、r₁,・・・,r_n←Ｚ_ｐ、b^＊＝０である。

・ｒｅＬＴＤＦの公開パラメータparについて
ランダムなu₁,・・・,u_n←Ｚ_ｐを選び、Ｄ_１を

とする。このＤ_１をparとする。

・ｒｅＬＴＤＦの関数インデックス(s,td)＝(pk,sk)について
対角成分(i,i)が独立ランダムな値で、残りの成分が０の行列Ｍを考える。つまり、

ただし、m_1,1,・・・,m_n,n←Ｚ_ｐである。

入力として公開パラメータＤ_１(par)とコマンド（inj又はlos）を受け取り、w₁,w₂,・・・,w_n←Ｚ_ｐをランダムに選ぶ。コマンドがinjの場合は行列Ｍを上記の通りとし、コマンドがlossの場合はＭ＝０、すなわちゼロ行列とする。そして、

とする。落とし戸はｗ＝(w₁,w₂,・・・,w_n)である。入力のコマンドがlossの場合はm_1,1＝・・・＝m_n,n＝０である。このように求めた関数インデックスＤ_２と落とし戸ｗの組（Ｄ_２,ｗ）が（s,td)=(pk,sk)である。

・ｒｅＬＴＤＦの評価結果ｃ_１について
公開パラメータＤ_１(par)、関数インデックス(pk)、乱数ｘ=(x₁,・・・,x_n)∈{0,1}ⁿを入力として、ｒｅＬＴＤＦを評価する手順が、

であり、この計算結果として出力される(y₁,y₂)がｃ_１である。

・ＡＢＯ−ＴＤＦの評価結果ｃ_２について
乱数ｘと署名検証鍵vkを入力として関数インデックスｓ_abo＝ＣのＡＢＯ−ＴＤＦを評価する手順がｃ_２＝Ψ＝ｘ(Ｃ□vk・Ｉ)（ただし、ｘ＝(x₁,・・・,x_n)、x_j∈{0,1}、Ψ＝(ψ₁,・・・,ψ_n)であり、Ｉ∈Ｚ_ｐ ^n×nは単位行列、つまり対角成分のみ１で残りは全て０の行列、□は成分ごとに演算を行うことを示す）であり、

（ただし、i＝jならδ_i,j＝１、i≠jならδ_i,j＝０）である。

・reLTDF.ReIndexについて
(s_ｉ,td_ｉ),(s_ｊ,td_ｊ)をreLTDF.Gen(inj)の出力としたとき、reLTDF.ReIndexはtd_ｉとtd_ｊを入力にとって、再暗号化鍵s_{i_j}＝td_ｊ−td_ｉ＝(w₁´−w₁, w₂´−w₂,・・・, w_n´−w_n)＝(w_{1,1_2},・・・,w_{n,1_2})を出力とする。

・reLTDF.ReEvalについて
reLTDF.ReEvalは、(s_{i_j},(y₁,y₂))を入力にとって、新たな出力

を得る。(y₁,y₂´)を出力とする。このとき、任意のｘ∈{0,1}ⁿに対して、reLTDF.Eval(s_j,x)＝reLTDF.ReEval(s_{i_j},reLTDF.Eval(s_i,x))が成立する。reLTDF.Transはs_{2_3}＝reLTDF.Trans(s_{1_2},s_{1_3})= s_{1_3}−s_{1_2}を計算する。

本発明のプロキシ再暗号化システム及びその構成装置をコンピュータによって実現する場合、各処理機能はプログラムによって記述される。そしてパソコンや携帯端末上で、入力手段や各種記憶手段とＣＰＵとのデータのやりとりを通じてこのプログラムを実行することにより、ハードウェアとソフトウェアが協働し、各処理機能がコンピュータ上で実現されて本発明のプロキシ再暗号化システム及びその構成装置の作用効果を奏する。なおこの場合、処理機能の少なくとも一部をハードウェア的に実現することとしてもよい。また、上記の各種処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

また、上述した実施形態とは別の実行形態として、コンピュータが可搬型記録媒体から直接このプログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

Claims

ＡＢＯ−ＴＤＦの関数インデックスｓ_aboとｒｅＬＴＤＦのパラメータparとハッシュ関数ｈとからなるシステムの公開パラメータを生成して公開する公開パラメータ生成装置と、
電子署名の公開鍵vkと秘密鍵sk_σとを生成する署名鍵生成手段と、乱数ｘを生成する乱数生成手段と、第１受信装置の公開鍵pk_１と乱数ｘとに基づきｒｅＬＴＤＦを評価し結果ｃ_1,1を出力するｒｅＬＴＤＦ評価手段と、関数インデックスｓ_aboと公開鍵vkと乱数ｘとに基づきＡＢＯ−ＴＤＦを評価し結果ｃ_２を出力するＡＢＯ−ＴＤＦ評価手段と、メッセージｍと乱数ｘとハッシュ関数ｈとが入力され、ハッシュ値ｈ(ｘ)とメッセージｍとの排他的論理和ｃ_３を出力するハッシュ値計算手段と、ｃ_２とｃ_３と秘密鍵sk_σとから電子署名σを生成する電子署名生成手段と、を備え、暗号文Ｃ_１＝（ｃ_1,1,ｃ_２,ｃ₃,vk,σ）を出力する送信装置と、
パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_ｉ（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）と秘密鍵sk_ｉとを生成し出力する鍵生成手段と、暗号文Ｃ_ｉを中継する中継手段と、を備える第ｉ受信装置と、
第ｉ受信装置の秘密鍵sk_ｉと第ｉ＋１受信装置の秘密鍵sk_i+1とからｒｅＬＴＤＦの再暗号化鍵生成アルゴリズムにより再暗号化鍵rk_{i_i+1}を生成する再暗号化鍵生成装置と、
暗号文Ｃ_ｉと再暗号化鍵rk_{i_i+1}とが入力され、再暗号化アルゴリズムによりｃ_1,iをｃ_1,i+1に変換して、暗号文Ｃ_i+1＝（ｃ_1,i+1,ｃ_２,ｃ₃,vk,σ）を出力する第ｉプロキシ装置と、
パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_Ｎと秘密鍵sk_Ｎとを生成し出力する鍵生成手段と、ｃ_２とｃ_３と公開鍵vkと電子署名σとから電子署名の正当性を検証する電子署名検証手段と、上記電子署名が正当であった場合に秘密鍵sk_Ｎとｃ_1,ＮとからｒｅＬＴＤＦの復元アルゴリズムによりｘ´を求めるｘ´計算手段と、ｘ´と公開鍵pk_Ｎとに基づきｒｅＬＴＤＦを評価し結果がｃ_1,Ｎと等しいことの成否を検証するｒｅＬＴＤＦ検証手段と、ｘ´と関数インデックスｓ_aboと公開鍵vkとに基づきＡＢＯ−ＴＤＦを評価し結果がｃ_２に等しいことの成否を検証するＡＢＯ−ＴＤＦ検証手段と、各検証手段での検証が成功した場合にｃ_３とハッシュ値ｈ(ｘ´)との排他的論理和を計算することによりメッセージｍを復元して出力する復元手段と、を備える第Ｎ受信装置と、
を備えるプロキシ再暗号化システム。
電子署名の公開鍵vkと秘密鍵sk_σとを生成する署名鍵生成手段と、
乱数ｘを生成する乱数生成手段と、
受信装置の公開鍵pkと乱数ｘとに基づきｒｅＬＴＤＦを評価し結果ｃ₁を出力するｒｅＬＴＤＦ評価手段と、
関数インデックスｓ_aboと公開鍵vkと乱数ｘとに基づきＡＢＯ−ＴＤＦを評価し結果ｃ_２を出力するＡＢＯ−ＴＤＦ評価手段と、
メッセージｍと乱数ｘとハッシュ関数ｈとが入力され、ハッシュ値ｈ(ｘ)とメッセージｍとの排他的論理和ｃ_３を出力するハッシュ値計算手段と、
ｃ_２とｃ_３と秘密鍵sk_σとから電子署名σを生成する電子署名生成手段と、
を備え、暗号文Ｃ＝（ｃ₁,ｃ_２,ｃ₃,vk,σ）を出力する送信装置。
第ｉ受信装置（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）の秘密鍵sk_ｉと第ｉ＋１受信装置の秘密鍵sk_i+1とからｒｅＬＴＤＦの再暗号化鍵生成アルゴリズムにより再暗号化鍵rk_{i_i+1}を生成する再暗号化鍵生成装置。
暗号文Ｃ_ｉ＝（ｃ_1,i,ｃ_２,ｃ₃,vk,σ）（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）と再暗号化鍵rk_{i_i+1}とが入力され、再暗号化アルゴリズムによりｃ_1,iをｃ_1,i+1に変換して、暗号文Ｃ_i+1＝（ｃ_1,i+1,ｃ_２,ｃ₃,vk,σ）を出力するプロキシ装置。
ｒｅＬＴＤＦのパラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pkと秘密鍵skとを生成し出力する鍵生成手段と、
ｃ_２とｃ_３と公開鍵vkと電子署名σとから電子署名の正当性を検証する電子署名検証手段と、
上記電子署名が正当であった場合に秘密鍵sk_Ｎ（Ｎ≧２）とｃ_1,ＮとからｒｅＬＴＤＦの復元アルゴリズムによりｘ´を求めるｘ´計算手段と、
ｘ´と公開鍵pk_Ｎとに基づきｒｅＬＴＤＦを評価し結果がｃ_1,Ｎと等しいことの成否を検証するｒｅＬＴＤＦ検証手段と、
ｘ´と関数インデックスｓ_aboと公開鍵vkとに基づきＡＢＯ−ＴＤＦを評価し結果がｃ_２に等しいことの成否を検証するＡＢＯ−ＴＤＦ検証手段と、
各検証手段での検証が成功した場合にｃ_３とハッシュ値ｈ(ｘ´)との排他的論理和を計算することによりメッセージｍを復元して出力する復元手段と、
を備える受信装置。
公開パラメータ生成装置が、ＡＢＯ−ＴＤＦの関数インデックスｓ_aboとｒｅＬＴＤＦのパラメータparとハッシュ関数ｈとからなるシステムの公開パラメータを生成して公開する公開パラメータ生成ステップと、
送信装置が、電子署名の公開鍵vkと秘密鍵sk_σとを生成する署名鍵生成サブステップと、乱数ｘを生成する乱数生成サブステップと、第１受信装置の公開鍵pk_１と乱数ｘとに基づきｒｅＬＴＤＦを評価し結果ｃ_1,1を出力するｒｅＬＴＤＦ評価サブステップと、関数インデックスｓ_aboと公開鍵vkと乱数ｘとに基づきＡＢＯ−ＴＤＦを評価し結果ｃ_２を出力するＡＢＯ−ＴＤＦ評価サブステップと、メッセージｍと乱数ｘとハッシュ関数ｈとが入力され、ハッシュ値ｈ(ｘ)とメッセージｍとの排他的論理和ｃ_３を出力するハッシュ値計算サブステップと、ｃ_２とｃ_３と秘密鍵sk_σとから電子署名σを生成する電子署名生成サブステップと、を実行し、暗号文Ｃ_１＝（ｃ_1,1,ｃ_２,ｃ₃,vk,σ）を出力する送信ステップと、
第ｉ（ｉ＝１，・・・，Ｎ−１、Ｎ≧２）受信装置が、パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_ｉと秘密鍵sk_ｉとを生成して出力する鍵生成サブステップと、暗号文Ｃ_ｉを中継する中継サブステップと、を実行する第ｉ受信ステップと、
再暗号化鍵生成装置が、第ｉ受信装置の秘密鍵sk_ｉと第ｉ＋１受信装置の秘密鍵sk_i+1とからｒｅＬＴＤＦの再暗号化鍵生成アルゴリズムにより再暗号化鍵rk_{i_i+1}を生成する再暗号化鍵生成ステップと、
第ｉプロキシ装置が、暗号文Ｃ_ｉと再暗号化鍵rk_{i_i+1}とが入力され、再暗号化アルゴリズムによりｃ_1,iをｃ_1,i+1に変換して、暗号文Ｃ_i+1＝（ｃ_1,i+1,ｃ_２,ｃ₃,vk,σ）を出力する第ｉプロキシステップと、
第Ｎ受信装置が、パラメータparを用いｒｅＬＴＤＦの鍵生成アルゴリズムにより公開鍵pk_Ｎと秘密鍵sk_Ｎとを生成し出力する鍵生成サブステップと、ｃ_２とｃ_３と公開鍵vkと電子署名σとから電子署名の正当性を検証する電子署名検証サブステップと、上記電子署名が正当であった場合に秘密鍵sk_Ｎとｃ_1,ＮとからｒｅＬＴＤＦの復元アルゴリズムによりｘ´を求めるｘ´計算サブステップと、ｘ´と公開鍵pk_Ｎとに基づきｒｅＬＴＤＦを評価し結果がｃ_1,Ｎと等しいことの成否を検証するｒｅＬＴＤＦ検証サブステップと、ｘ´と関数インデックスｓ_aboと公開鍵vkとに基づきＡＢＯ−ＴＤＦを評価し結果がｃ_２に等しいことの成否を検証するＡＢＯ−ＴＤＦ検証サブステップと、各検証サブステップでの検証が成功した場合にｃ_３とハッシュ値ｈ(ｘ´)との排他的論理和を計算することによりメッセージｍを復元して出力する復元サブステップと、を実行する第Ｎ受信ステップと、
を実行するプロキシ再暗号化方法。
請求項１乃至５のいずれかに記載のシステム又は装置としてコンピュータを機能させるためのプログラム。
請求項１乃至５のいずれかに記載のシステム又は装置としてコンピュータを機能させるためのプログラムを記録したコンピュータが読み取り可能な記録媒体。