JP2012029271A - 暗号化装置、復号装置、暗号化システム、暗号化方法、プログラム - Google Patents

Abstract

【課題】ワンタイム署名とラベルを付加する必要のない複数の条件で暗号化する暗号化装置、復号装置を提供する。
【解決手段】本発明の暗号化装置は、乱数生成部、乱数結合部、秘密分散部、ハッシュ部、暗号部を備える。ハッシュ部は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める。暗号部はハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する。本発明の復号装置は、少なくとも復号部、取得部、確認部、復元部を備える。
【選択図】図２

Description

本発明は、メッセージを分割した上で、複数の条件で暗号化する暗号化装置と、多重に暗号化された暗号文を復号する復号装置、これらの装置を用いた暗号化システム、暗号化方法、およびプログラムに関する。

メッセージを分割した上で、複数の条件で暗号化する方法（多重暗号化方法）としては、非特許文献１などがある。図１は、従来の複数の条件で暗号化する暗号化方式を説明するための図である。従来の暗号化方式では、平文ｍを条件の数Ｎだけ分割し、それぞれを指定された条件の暗号化手段９３２−１，…，９３２−Ｎで暗号化する。そして、得られたメッセージｃ_１，…，ｃ_Ｎを連結して暗号文Ｃを出力する。また、一部だけを再利用するような攻撃が起きないようにするために、全体の完全性を保証するワンタイム署名を付加する。さらに、復号のためにラベルの情報も付加する。

Yevgeniy Dodis1 and Jonathan Katz, "Chosen-Ciphertext Security of Multiple Encryption" ［平成２２年６月１１日検索］、インターネット<URL: theory.lcs.mit.edu/~yevgen/ps/2enc.ps>.

しかしながら、従来技術はワンタイム署名を付加しなければならない。そして、ワンタイム署名は、署名長とラベル長が長くなるなどの問題を持つ電子署名方式であり、ワンタイム署名を用いることで暗号文が長くなってしまうという課題がある。例えば、Merkelのワンタイム署名では、１２８ビットのメッセージに対して、８７０４ビットのワンタイム署名が必要である。また、ＲＳＡ−ＯＡＥＰのラベルは１２０ビットである。

そこで本発明は、ワンタイム署名とラベルを付加する必要のない複数の条件で暗号化する暗号化装置、復号装置を提供することを目的とする。

Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とする。本発明の第１の暗号化装置は、乱数生成部、乱数結合部、秘密分散部、ハッシュ部、暗号部を備える。乱数生成部は、乱数ｒを生成する。乱数結合部は、メッセージＭと乱数ｒとを結合し、データＳとする。秘密分散部は、データＳを秘密分散して分割データＳ_１，…，Ｓ_Ｎを生成する。ハッシュ部は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める。暗号部はハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する。本発明の第１の復号装置は、復号部、ハッシュ部、暗号部、確認部、復元部、取得部を備える。復号部は、分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する。ハッシュ部は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める。暗号部は、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する。確認部は、すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する。復元部は、秘密分散されたデータである分割データＳ_１，…，Ｓ_Ｎから、元のデータＳを復元する。取得部は、データＳから、あらかじめ定めた条件にしたがってメッセージＭを切り出す。

本発明の第２の暗号化装置は、秘密分散部、乱数生成部、乱数結合部、ハッシュ部、暗号部を備える。秘密分散部は、メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する。乱数生成部は、乱数ｒを生成する。乱数結合部は、分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに乱数ｒを結合し、分割データＳ_１，…，Ｓ_Ｎとする。ハッシュ部は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める。暗号部は、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する。本発明の第２の復号装置は、復号部、取得部、確認部、復元部を備える。復号部は、分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する。取得部は、分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎと乱数ｒ_ｎを切り出す。確認部は、すべての乱数ｒ_１，…，ｒ_Ｎが一致することを確認する。復元部は、秘密分散されたデータである分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する。

本発明の暗号化装置と復号装置によれば、分割データＳ_ｎを暗号化するときに使用する乱数として、分割データＳ_ｎに対応するハッシュ値ｈ_ｎを使用する。このハッシュ値ｈ_ｎは分割データＳ_ｎに依存しているので、複数の条件で暗号化しても、暗号文にワンタイム署名とラベルを付加する必要がない。したがって、暗号文の長さを短くできる。

従来の複数の条件で暗号化する暗号化方式を説明するための図。 実施例１の暗号システムの構成例を示す図。 実施例１の暗号化装置の処理フローを示す図。 実施例１の復号装置の処理フローを示す図。 実施例２の暗号システムの構成例を示す図。 実施例２と実施例３の暗号化装置の処理フローを示す図。 実施例２の復号装置の処理フローを示す図。 実施例３の暗号システムの構成例を示す図。 実施例３の鍵生成装置の処理フローを示す図。 実施例３の復号装置の処理フローを示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。以下の説明では、Ｎは２以上の整数、ｎは１以上Ｎ以下の整数、“‖”はビット列同士を結合する記号、ｐｋ_ｎはｎ番目の条件に対する公開鍵、ｓｋ_ｎはｎ番目の条件に対する秘密鍵とする。

図２に実施例１の暗号システムの構成例を示す。また、図３は実施例１の暗号化装置の処理フローを示す図、図４は実施例１の復号装置の処理フローを示す図である。実施例１の暗号化装置１００は、Ｎ個の条件でメッセージを暗号化する暗号化装置である。暗号化装置１００は、乱数生成部１１０、乱数結合部１２０、秘密分散部１３０、ハッシュ部１４０、暗号部１５０、入出力部１８０、記録部１９０を備える。

暗号化装置１００の入出力部１８０がメッセージＭを受け取ると記録部１９０に記録し、乱数生成部１１０が乱数ｒを生成する（Ｓ１１０）。乱数結合部１２０は、メッセージＭと乱数ｒとを結合し、データＳとし、記録部１９０に記録する（Ｓ１２０）。例えば、
Ｓ←Ｍ‖ｒ
とすればよい。また、乱数ｒのビット数をあらかじめ定めておいてもよいし、メッセージＭの最後の数ビットを、メッセージの終了が判別できるビット列としておいてもよい。このように、あらかじめ定めた条件でメッセージＭと乱数ｒとを結合しておく。

秘密分散部１３０は、データＳを秘密分散して分割データＳ_１，…，Ｓ_Ｎを生成し、記録部１９０に記録する（Ｓ１３０）。秘密分散の方法としては、ＡＯＮＴ（All or Nothing Transform）もしくは閾値秘密分散法（ＳＳＳ：Secret Sharing Schemes）を用いればよい。

ハッシュ部１４０は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める（Ｓ１４０）。ハッシュ関数Ｈ_ｎは、暗号化の条件（分割データＳ_ｎを暗号化する関数）などから、分割データＳ_ｎごとに選定したハッシュ関数でもよいし、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数でもよい。分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、記録部１９０は選定されたハッシュ関数を特定するインデックスｉｎｄｅｘ_ｎを記録しておく。また、「分割データＳ_ｎに対応するハッシュ値ｈ_ｎ」とは、ハッシュ関数に分割データＳ_ｎを入力した結果でもよいし、分割データＳ_ｎに他のビット列を付加したビット列を入力した結果でもよい。例えば、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ）
としてもよいし、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
のように、公開鍵ｐｋ_ｎを付加して入力してもよい。なお、このとき付加した公開鍵ｐｋ_ｎはｎを正しく認証できる情報（暗号化装置と復号装置で共有できる情報）であれば、他の情報に置き換えることもできる。また、
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）
のように、全てを連結したものを入力してもよい。ここで、Σ^N _i=1はｉ＝１，…，Ｎについて、ビット列を連結することを意味する。例えば、Σ^N _i=1 Ｓ_i‖ｐｋ_iはＳ₁‖ｐｋ₁‖Ｓ₂‖ｐｋ₂‖・・・‖Ｓ_N‖ｐｋ_Nを意味する。なお、上記の例は、
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
としてもよい。

暗号部１５０は、ｎ＝１，…，Ｎについて、ハッシュ値ｈ_ｎを乱数として用いて、ｎ番目の暗号化の条件で分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成し、記録部１９０に記録する（Ｓ１５０）。具体的には、ハッシュ部１４０が、分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｉｎｄｅｘ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。また、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。そして、入出力部１８０が、分割暗号文Ｃ_１，…，Ｃ_Ｎを暗号文として復号装置２００に送信する。

なお、ハッシュ値ｈ_ｎとしてＨ_ｎ（Ｓ_ｎ）を用いると、
Ｃ_ｎ’←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ’，ｈ_ｎ） ただし、ｐｋ_ｎ’≠ｐｋ_ｎ
のように求めた分割暗号文Ｃ_ｎ’が分割暗号文Ｃ_ｎと一致してしまう可能性が残る。一方、ハッシュ値ｈ_ｎとしてＨ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）を用いると、異なる公開鍵ｐｋ_ｎ’の場合にはＥｎｃ_ｎへ入力されるハッシュ値（乱数）も異なるので、
Ｃ_ｎ”←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ’，ｈ_ｎ’） ただし、ｐｋ_ｎ’≠ｐｋ_ｎ，ｈ_ｎ’≠ｈ_ｎ
のように求めた分割暗号文Ｃ_ｎ”は、分割暗号文Ｃ_ｎとは必ず異なる。一方、ハッシュ値ｈ_ｎとしてＨ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）を用いると、全てのＳ_iを入手しないと復号することができないため、一部のＳ_iを所持している場合の悪意のある復号を防ぐことができる。

復号装置２００は、復号部２１０、ハッシュ部２２０、暗号部２３０、確認部２４０、復元部２５０、取得部２６０、入出力部２８０、記録部２９０を備える。復号装置２００の入出力部２８０が暗号文を受け取ると、復号装置２００は暗号文を分割暗号文Ｃ_１，…，Ｃ_Ｎに分けて記録部２９０に記録する。

復号部２１０は、複数の条件に適合した復号方法で分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する（Ｓ２１０）。具体的には、ｎ＝１，…，Ｎについて、
Ｓ_ｎ←Ｄｅｃ_ｎ（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｓｋ_ｎ）
のように分割データＳ_ｎを求める。

ハッシュ部２２０は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める（Ｓ２２０）。なお、ハッシュ部２２０は、暗号化装置１００のハッシュ部１４０と同じ方法でハッシュ値ｈ_ｎを求める。つまり、ハッシュ部１４０が分割データＳ_ｎごとに選定したハッシュ関数を用いたのであれば、ハッシュ関数を特定するインデックスｉｎｄｅｘ_ｎを用いて同じハッシュ関数を求める。また、ハッシュ部１４０が、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数を用いるのであれば、同じように定めたハッシュ関数を用いる。さらに、ハッシュ部２２０は、ハッシュ関数への入力もハッシュ部１４０と同じにする。例えば、ハッシュ部１４０が、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

暗号部２３０は、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する（Ｓ２３０）。つまり、
Ｃ_ｎ’←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ）
のように分割暗号文Ｃ_ｎ’を求める。

確認部２４０は、すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する（Ｓ２４０）。いずれかの分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致しなかった場合には、処理を中止する。

すべての分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致した場合には、復元部２５０は、秘密分散されたデータである分割データＳ_１，…，Ｓ_Ｎから、元のデータＳを復元し、記録部２９０に記録する（Ｓ２５０）。なお、具体的な復元の方法は、暗号化装置１００の秘密分散部１３０と対応した方法を用いればよい。

取得部２６０は、データＳから、あらかじめ定めた条件にしたがってメッセージＭを切り出し、記録部２９０に記録する（Ｓ２６０）。例えば、データＳは、Ｍ‖ｒのような構造となっており、乱数ｒのビット数が決まっているのであれば、乱数のビット数分のビット列を削除することで切り出すことができる。メッセージの終了が判別できるビット列があるのであれば、そのビット列を探して切り出せばよい。

実施例１の暗号化装置と復号装置によれば、分割データＳ_ｎを暗号化するときに使用する乱数として、分割データＳ_ｎに対応するハッシュ値ｈ_ｎを使用する。このハッシュ値ｈ_ｎは分割データＳ_ｎに依存しているので、暗号文にワンタイム署名とラベルを付加する必要がない。したがって、暗号文の長さを短くできる。例えば、Merkelのワンタイム署名では、１２８ビットのメッセージに対して、８７０４ビットのワンタイム署名が必要であったが、このワンタイム署名が不要となる。また、ＲＳＡ−ＯＡＥＰのラベルは１２０ビットであったが、これも不要となる。さらに、暗号時にハッシュ関数を利用することで、復号時に乱数が必要なくなる。これにより、資源の乏しい計算機でも複数の条件で暗号化する多重暗号を実行できるようになる。

図５に実施例２の暗号システムの構成例を示す。また、図６は実施例２の暗号化装置の処理フローを示す図、図７は実施例２の復号装置の処理フローを示す図である。実施例２の暗号化装置３００も、Ｎ個の条件でメッセージを暗号化する暗号化装置である。暗号化装置３００は、秘密分散部３１０、乱数生成部３２０、乱数結合部３３０、ハッシュ部３４０、暗号部３５０、入出力部３８０、記録部３９０を備える。

暗号化装置３００の入出力部３８０がメッセージＭを受け取ると記録部３９０に記録する。秘密分散部３１０は、メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成し、記録部３９０に記録する（Ｓ３１０）。秘密分散の方法としては、ＡＯＮＴ（All or Nothing Transform）もしくは閾値秘密分散法（ＳＳＳ：Secret Sharing Schemes）を用いればよい。

乱数生成部３２０は、乱数ｒを生成する（Ｓ３２０）。乱数結合部３３０は、分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに乱数ｒを結合し、分割データＳ_１，…，Ｓ_Ｎとし、記録部３９０に記録する（Ｓ３３０）。例えば、乱数ｒのビット数をあらかじめ定めておいて
Ｓ_ｎ←Ｍ_ｎ‖ｒ
とすればよい。このように、あらかじめ定めた条件で分割メッセージＭ_ｎと乱数ｒとを結合しておく。

ハッシュ部３４０は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める（Ｓ３４０）。ハッシュ関数Ｈ_ｎは、暗号化の条件（分割データＳ_ｎを暗号化する関数）などから、分割データＳ_ｎごとに特定したハッシュ関数でもよいし、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数でもよい。分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、記録部３９０は選定されたハッシュ関数を特定するインデックスｉｎｄｅｘ_ｎを記録しておく。また、「分割データＳ_ｎに対応するハッシュ値ｈ_ｎ」とは、ハッシュ関数に分割データＳ_ｎを入力した結果でもよいし、分割データＳ_ｎに他のビット列を付加したビット列を入力した結果でもよい。例えば、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ）
としてもよいし、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
のように、公開鍵ｐｋ_ｎを付加して入力してもよい。なお、このとき付加した公開鍵ｐｋ_ｎはｎを正しく認証できる情報（暗号化装置と復号装置で共有できる情報）であれば、他の情報に置き換えることもできる。また、
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）
のように、全てを連結したものを入力してもよい。ここで、Σ^N _i=1はｉ＝１，…，Ｎについて、ビット列を連結することを意味する。例えば、Σ^N _i=1 Ｓ_i‖ｐｋ_iはＳ₁‖ｐｋ₁‖Ｓ₂‖ｐｋ₂‖・・・‖Ｓ_N‖ｐｋ_Nを意味する。なお、上記の例は
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
としてもよい。なお、公開鍵ｐｋ_ｎを付加する理由は、実施例１と同じである。

暗号部３５０は、ｎ＝１，…，Ｎについて、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成し、記録部３９０に記録する（Ｓ３５０）。具体的には、ハッシュ部３４０が、分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｉｎｄｅｘ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。また、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。そして、入出力部３８０が、分割暗号文Ｃ_１，…，Ｃ_Ｎを暗号文として復号装置４００に送信する。

復号装置４００は、復号部４１０、取得部４２０、確認部４３０、復元部４４０、入出力部４８０、記録部４９０を備える。復号装置４００の入出力部４８０が暗号文を受け取ると、復号装置４００は暗号文を分割暗号文Ｃ_１，…，Ｃ_Ｎに分けて記録部４９０に記録する。

復号部４１０は、複数の条件に適合した復号方法で分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する（Ｓ４１０）。具体的には、ｎ＝１，…，Ｎについて、
Ｓ_ｎ←Ｄｅｃ_ｎ（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｓｋ_ｎ）
のように分割データＳ_ｎを求める。

取得部４２０は、分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎと乱数ｒ_ｎを切り出す（Ｓ４２０）。例えば、乱数のビット数をあらかじめ定めておき、分割データＳ_ｎの後ろのそのビット数分を乱数ｒ_ｎとし、残りを分割メッセージＭ_ｎとすればよい。

確認部４３０は、すべての乱数ｒ_１，…，ｒ_Ｎが一致することを確認する（Ｓ４３０）。いずれかの乱数ｒ_ｎが一致しなかった場合には、処理を中止する。

すべての乱数ｒ_１，…，ｒ_Ｎが一致した場合には、復元部４４０は、秘密分散されたデータである分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元し、記録部４９０に記録する（Ｓ４４０）。なお、具体的な復元の方法は、暗号化装置３００の秘密分散部３１０と対応した方法を用いればよい。

実施例２の暗号化装置と復号装置によれば、分割データＳ_ｎを暗号化するときに使用する乱数として、分割データＳ_ｎに対応するハッシュ値ｈ_ｎを使用する。このハッシュ値ｈ_ｎは分割データＳ_ｎに依存しているので、実施例１と同じように暗号文にワンタイム署名とラベルを付加する必要がない。さらに、暗号時にハッシュ関数を利用することで、復号時に乱数が必要なくなる。これにより、資源の乏しい計算機でも複数の条件で暗号化する多重暗号を実行できるようになる。

図８に実施例３の暗号システムの構成例を示す。また、図９は実施例３の鍵生成装置の処理フローを示す図、図６は実施例３の暗号化装置の処理フローを示す図、図７は実施例３の復号装置の処理フローを示す図である。実施例３ではメッセージを暗号化する条件が、時刻と受信者の２つの場合を説明する。この２つの条件での暗号化では、復号時刻と復号者を限定でき、新作映画の封切りや試験問題の配布などでの利用が考えられる。なお、条件は２つに限定する必要はなく、実施例１や実施例２で説明したように３個以上の条件としてもかまわない。以下の説明では条件が２つの場合について説明しながら、３個以上の条件の場合を含む一般的な場合も補足的に説明する。

実施例１と実施例２では、鍵は与えられた状態（生成され、記録されるべき装置が記録した状態）から説明したが、実施例３の暗号システムでは鍵生成装置についても簡単に説明する。実施例３の鍵生成装置８００は、時刻鍵生成部８１０、受信鍵生成部８２０、リリース鍵生成部８３０を備える。時刻鍵生成部８１０は、時刻に関する秘密鍵ｔｓｋと公開鍵ｔｐｋを生成する（Ｓ８１０）。受信鍵生成部８２０は、受信者用の秘密鍵ｕｓｋと公開鍵ｕｐｋを生成し、秘密鍵ｕｓｋを何らかの安全な方法で復号装置６００に送り、公開鍵ｕｐｋを公開する（Ｓ８２０）。リリース鍵生成部８３０は、指定された時刻Ｔに対する秘密鍵ｓ_Ｔを生成し、秘密鍵ｓ_Ｔを何らかの安全な方法で復号装置６００に送る（Ｓ８３０）。なお、時刻Ｔは暗号文が復号できる時刻を示す公開情報である。本実施例では、時刻Ｔが公開鍵ｐｋ_１に、秘密鍵ｓ_Ｔが秘密鍵ｓｋ_１に、公開鍵ｕｐｋが公開鍵ｐｋ_２に、秘密鍵ｕｓｋが秘密鍵ｓｋ_２に相当する。

実施例３の暗号化装置５００は、秘密分散部５１０、乱数生成部５２０、乱数結合部５３０、ハッシュ部５４０、暗号部５５０、入出力部５８０、記録部５９０を備える。暗号化装置５００の入出力部５８０がメッセージＭを受け取ると記録部５９０に記録する。秘密分散部５１０は、メッセージＭを秘密分散して分割メッセージＭ_１，Ｍ_２を生成し、記録部５９０に記録する（Ｓ５１０）。具体的には、乱数ｒ_ｍを生成し、Ｍ_１＝ｒ_ｍ、Ｍ_２＝Ｍ（＋）ｒ_ｍのように分割メッセージＭ_１，Ｍ_２を生成すればよい。ただし、（＋）は排他的論理和を示す記号である。なお、３個以上を含むＮ個に分割する場合は、ＡＯＮＴ（All or Nothing Transform）もしくは閾値秘密分散法（ＳＳＳ：Secret Sharing Schemes）を用いて秘密分散すればよい。

乱数生成部５２０は、乱数ｒ_１，ｒ_２を生成する（Ｓ５２０）。なお、暗号化の条件がＮ個あるのであれば、乱数ｒ_１，…，ｒ_Ｎを生成すればよい。乱数結合部５３０は、分割メッセージＭ_１に乱数ｒ_１を結合し、分割メッセージＭ_２に乱数ｒ_２を結合し、分割データＳ_１，Ｓ_２とし、記録部５９０に記録する（Ｓ５３０）。例えば、乱数ｒ_１，ｒ_２のビット数をあらかじめ定めておいて
Ｓ_ｎ←Ｍ_ｎ‖ｒ_ｎ
とすればよい。このように、あらかじめ定めた条件で分割メッセージＭ_ｎと乱数ｒ_ｎとを結合しておく。

ハッシュ部５４０は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める（Ｓ５４０）。ハッシュ関数Ｈ_ｎは、暗号化の条件（分割データＳ_ｎを暗号化する関数）などから、分割データＳ_ｎごとに特定したハッシュ関数でもよいし、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数でもよい。分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、記録部５９０は選定されたハッシュ関数を特定するインデックスｉｎｄｅｘ_ｎを記録しておく。また、「分割データＳ_ｎに対応するハッシュ値ｈ_ｎ」とは、ハッシュ関数に分割データＳ_ｎを入力した結果でもよいし、分割データＳ_ｎに他のビット列を付加したビット列を入力した結果でもよい。例えば、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ）
としてもよいし、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
のように、公開鍵ｐｋ_ｎを付加して入力してもよい。なお、このとき付加した公開鍵ｐｋ_ｎはｎを正しく認証できる情報（暗号化装置と復号装置で共有できる情報）であれば、他の情報に置き換えることもできる。また、
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）
または
ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
のように、全てを連結したものを入力してもよい。実施例３の場合であれば、
ｈ_ｎ←Ｈ_ｎ（ｐｋ_１‖Ｓ_１‖ｐｋ_２‖Ｓ_２）
とすればよい。また、乱数結合部５３０とハッシュ部５４０の処理を一度に行うのであれば、
ｈ_ｎ←Ｈ_ｎ（ｐｋ_１‖Ｍ_１‖ｒ_１‖ｐｋ_２‖Ｍ_２‖ｒ_２）
のように処理してもよい。なお、公開鍵ｐｋ_ｎを付加する理由は、実施例１と同じである。

暗号部５５０は、ｎ＝１，２について、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成し、記録部５９０に記録する（Ｓ５５０）。一般的に表現すると、ハッシュ部５４０が、分割データＳ_ｎごとに選定したハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｉｎｄｅｘ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。また、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数を用いる場合には、ｎ＝１，…，Ｎについて、
Ｃ_ｎ←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ）
のように分割暗号文Ｃ_ｎを生成する。そして、入出力部５８０が、分割暗号文Ｃ_１，…，Ｃ_Ｎを暗号文として復号装置６００に送信する。

復号装置６００は、復号部６１０、ハッシュ部６２０、暗号部６３０、確認部６４０、取得部６５０、復元部６６０、入出力部６８０、記録部６９０を備える。復号装置６００の入出力部６８０が暗号文を受け取ると、復号装置６００は暗号文を分割暗号文Ｃ_１，Ｃ_２に分けて記録部６９０に記録する。

復号部６１０は、複数の条件に適合した復号方法で分割暗号文Ｃ_１，Ｃ_２を分割データＳ_１，Ｓ_２に復号する（Ｓ６１０）。一般的に表現すると、ｎ＝１，…，Ｎについて、
Ｓ_ｎ←Ｄｅｃ_ｎ（Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ），ｓｋ_ｎ）
のように分割データＳ_ｎを求める。

ハッシュ部６２０は、分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める（Ｓ６２０）。なお、ハッシュ部６２０は、暗号化装置５００のハッシュ部５４０と同じ方法でハッシュ値ｈ_ｎを求める。つまり、ハッシュ部５４０が分割データＳ_ｎごとに選定したハッシュ関数を用いたのであれば、ハッシュ関数を特定するインデックスｉｎｄｅｘ_ｎを用いて同じハッシュ関数を求める。また、ハッシュ部５４０が、暗号化の条件ごと（分割データＳ_ｎごと）にあらかじめ定めたハッシュ関数を用いるのであれば、同じように定めたハッシュ関数を用いる。さらに、ハッシュ部６２０は、ハッシュ関数への入力もハッシュ部５４０と同じにする。例えば、ハッシュ部５４０が、
ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1 Ｓ_i‖ｐｋ_i）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。また、上述した例のように
ｈ_ｎ←Ｈ_ｎ（ｐｋ_１‖Ｓ_１‖ｐｋ_２‖Ｓ_２）
のようにハッシュ値ｈ_ｎを求めるのであれば、同じようにハッシュ値ｈ_ｎを求める。

暗号部６３０は、ｎ＝１，２について、ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する（Ｓ６３０）。一般的に表現すると、
Ｃ_ｎ’←Ｅｎｃ_ｎ（Ｓ_ｎ，ｐｋ_ｎ，ｈ_ｎ）
のように分割暗号文Ｃ_ｎ’を求めればよい。

確認部６４０は、ｎ＝１，２について、分割暗号文Ｃ_１と分割暗号文Ｃ_１’、分割暗号文Ｃ_２と分割暗号文Ｃ_２’とが一致することを確認する（Ｓ６４０）。一般的に表現すると、いずれかの分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致しなかった場合には、処理を中止する。

すべての分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致した場合には、取得部６５０は、分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎを切り出し、記録部６９０に記録する（Ｓ６５０）。例えば、分割データＳ_ｎは、Ｍ_ｎ‖ｒ_ｎのような構造となっており、乱数ｒ_ｎのビット数が決まっているのであれば、乱数のビット数分のビット列を削除することで切り出すことができる。分割メッセージの終了が判別できるビット列があるのであれば、そのビット列を探して切り出せばよい。

復元部６６０は、分割メッセージＭ_１，Ｍ_２から、元のメッセージＭを復元し、記録部６９０に記録する（Ｓ２５０）。なお、具体的な復元の方法は、暗号化装置５００の秘密分散部５１０と対応した方法を用いればよい。例えば、Ｍ_１＝ｒ_ｍ、Ｍ_２＝Ｍ（＋）ｒ_ｍのように分割メッセージＭ_１，Ｍ_２を生成したのであれば、メッセージＭをＭ＝Ｍ_１（＋）Ｍ_２のように計算し、復元すればよい。そして、入出力部６８０がメッセージＭを出力する。

実施例３の暗号化装置と復号装置でも、実施例１や実施例２と同様の効果が得られる。また、多重化する暗号の中に時刻を条件として含めることもできる。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明は、暗号通信の分野に利用することができる。

１００、３００、５００ 暗号化装置 １１０、３２０、５２０ 乱数生成部
１２０、３３０，５３０ 乱数結合部 １３０、３１０、５１０ 秘密分散部
１４０、３４０、５４０ ハッシュ部 １５０、３５０、５５０ 暗号部
１８０、３８０、５８０ 入出力部 １９０、３９０、３９０ 記録部
２００、４００、６００ 復号装置 ２１０、４１０、６１０ 復号部
２２０、６２０ ハッシュ部 ２３０、６３０ 暗号部
２４０、４３０、６４０ 確認部 ２５０、４４０、６６０ 復元部
２６０、４２０、６５０ 取得部 ２８０、４８０、６８０ 入出力部
２９０、４９０、６９０ 記録部 ８００ 鍵生成装置
８１０ 時刻鍵生成部 ８２０ 受信鍵生成部
８３０ リリース鍵生成部 １０００ ネットワーク

Claims (33)

1. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
   乱数ｒを生成する乱数生成部と、
   メッセージＭと前記乱数ｒとを結合し、データＳとする乱数結合部と、
   データＳを秘密分散して分割データＳ_１，…，Ｓ_Ｎを生成する秘密分散部と、
   前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
   前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
   を備える暗号化装置。
2. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
   メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散部と、
   乱数ｒを生成する乱数生成部と、
   前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに前記乱数ｒを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合部と、
   前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
   前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
   を備える暗号化装置。
3. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
   メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散部と、
   乱数ｒ_１，…，ｒ_Ｎを生成する乱数生成部と、
   前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに対応する前記乱数ｒ_１，…，ｒ_Ｎを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合部と、
   前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
   前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
   を備える暗号化装置。
4. 請求項１から３のいずれかに記載の暗号化装置であって、
   前記ハッシュ関数Ｈ_ｎは、分割データＳ_ｎを暗号化する関数から、分割データＳ_ｎごとに特定したハッシュ関数である
   ことを特徴とする暗号化装置。
5. 請求項１から３のいずれかに記載の暗号化装置であって、
   前記ハッシュ関数Ｈ_ｎは、あらかじめ分割データＳ_ｎごとに定めたハッシュ関数である
   ことを特徴とする暗号化装置。
6. 請求項１から５のいずれかに記載の暗号化装置であって、
   “‖”はビット列同士を結合する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
   前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
   ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
   のように求める
   ことを特徴とする暗号化装置。
7. 請求項１から５のいずれかに記載の暗号化装置であって、
   “‖”はビット列同士を結合する記号、Σ^N _i=1はｉ＝１，…，Ｎについてビット列を連結することを意味する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
   前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
   ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1Ｓ_i‖ｐｋ_i）
   または
   ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
   のように求める
   ことを特徴とする暗号化装置。
8. 請求項１から７のいずれかに記載の暗号化装置であって、
   前記秘密分散部は、ＡＯＮＴまたは閾値秘密分散法によって秘密分散する
   ことを特徴とする暗号化装置。
9. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
   分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
   前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
   前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する暗号部と、
   すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認部と、
   秘密分散されたデータである分割データＳ_１，…，Ｓ_Ｎから、元のデータＳを復元する復元部と、
   前記データＳから、あらかじめ定めた条件にしたがってメッセージＭを切り出す取得部と
   を備える復号装置。
10. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
    前記分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎと乱数ｒ_ｎを切り出す取得部と、
    すべての乱数ｒ_１，…，ｒ_Ｎが一致することを確認する確認部と、
    秘密分散されたデータである分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元部と
    を備える復号装置。
11. Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する暗号部と、
    すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認部と、
    前記分割データＳ_１，…，Ｓ_Ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_１，…，Ｍ_Ｎを切り出す取得部と、
    前記分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元部と、
    を備える復号装置。
12. 請求項９または１１記載の復号装置であって、
    前記ハッシュ関数Ｈ_ｎは、分割データＳ_ｎを暗号化する関数から、分割データＳ_ｎごとに特定したハッシュ関数である
    ことを特徴とする復号装置。
13. 請求項９または１１記載の復号装置であって、
    前記ハッシュ関数Ｈ_ｎは、あらかじめ分割データＳ_ｎごとに定めたハッシュ関数である
    ことを特徴とする復号装置。
14. 請求項９、１１、１２、１３のいずれかに記載の復号装置であって、
    “‖”はビット列同士を結合する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
    のように求める
    ことを特徴とする復号装置。
15. 請求項９、１１、１２、１３のいずれかに記載の復号装置であって、
    “‖”はビット列同士を結合する記号、Σ^N _i=1はｉ＝１，…，Ｎについてビット列を連結することを意味する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1Ｓ_i‖ｐｋ_i）
    または
    ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
    のように求める
    ことを特徴とする復号装置。
16. 請求項９から１５のいずれかに記載の復号装置であって、
    前記復元部は、ＡＯＮＴまたは閾値秘密分散法によって秘密分散されたデータを復元する
    ことを特徴とする復号装置。
17. 暗号化装置と復号装置を有する暗号化システムであって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置は、
    乱数ｒを生成する乱数生成部と、
    メッセージＭと前記乱数ｒとを結合し、データＳとする乱数結合部と、
    データＳを秘密分散して分割データＳ_１，…，Ｓ_Ｎを生成する秘密分散部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
    を備え、
    前記復号装置は、
    分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する暗号部と、
    すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認部と、
    秘密分散されたデータである分割データＳ_１，…，Ｓ_Ｎから、元のデータＳを復元する復元部と、
    前記データＳから、あらかじめ定めた条件にしたがってメッセージＭを切り出す取得部と
    を備える
    暗号化システム。
18. 暗号化装置と復号装置を有する暗号化システムであって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置は、
    メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散部と、
    乱数ｒを生成する乱数生成部と、
    前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに前記乱数ｒを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
    を備え、
    前記復号装置は、
    分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
    前記分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎと乱数ｒ_ｎを切り出す取得部と、
    すべての乱数ｒ_１，…，ｒ_Ｎが一致することを確認する確認部と、
    秘密分散されたデータである分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元部と
    を備える
    暗号化システム。
19. 暗号化装置と復号装置を有する暗号化システムであって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置は、
    メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散部と、
    乱数ｒ_１，…，ｒ_Ｎを生成する乱数生成部と、
    前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに対応する前記乱数ｒ_１，…，ｒ_Ｎを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号部と
    を備え、
    前記復号装置は、
    分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号部と、
    前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュ部と、
    前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する暗号部と、
    すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認部と、
    前記分割データＳ_１，…，Ｓ_Ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_１，…，Ｍ_Ｎを切り出す取得部と、
    前記分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元部と、
    を備える
    暗号化システム。
20. 請求項１７から１９のいずれかに記載の暗号化システムであって、
    前記ハッシュ関数Ｈ_ｎは、分割データＳ_ｎを暗号化する関数から、分割データＳ_ｎごとに特定したハッシュ関数である
    ことを特徴とする暗号化システム。
21. 請求項１７から１９のいずれかに記載の暗号化システムであって、
    前記ハッシュ関数Ｈ_ｎは、あらかじめ分割データＳ_ｎごとに定めたハッシュ関数である
    ことを特徴とする暗号化システム。
22. 請求項１７から２１のいずれかに記載の暗号化システムであって、
    “‖”はビット列同士を結合する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
    のように求める
    ことを特徴とする暗号化システム。
23. 請求項１７から２１のいずれかに記載の暗号化システムであって、
    “‖”はビット列同士を結合する記号、Σ^N _i=1はｉ＝１，…，Ｎについてビット列を連結することを意味する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1Ｓ_i‖ｐｋ_i）
    のように求める
    ことを特徴とする暗号化システム。
24. 請求項１７から２３のいずれかに記載の暗号化システムであって、
    前記秘密分散部は、ＡＯＮＴまたは閾値秘密分散法によって秘密分散し、
    前記復元部は、ＡＯＮＴまたは閾値秘密分散法によって秘密分散されたデータを復元する
    ことを特徴とする暗号化システム。
25. 暗号化装置と復号装置を有する暗号化システムを用いた暗号化方法であって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置で、
    乱数生成部が、乱数ｒを生成する乱数生成ステップと、
    乱数結合部が、メッセージＭと前記乱数ｒとを結合し、データＳとする乱数結合ステップと、
    秘密分散部が、データＳを秘密分散して分割データＳ_１，…，Ｓ_Ｎを生成する秘密分散ステップと、
    ハッシュ部が、前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュステップと、
    暗号部が、前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号ステップと、
    前記復号装置で、
    復号部が、分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号ステップと、
    受信ハッシュ部が、前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める受信ハッシュステップと、
    受信暗号部が、前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する受信暗号ステップと、
    確認部が、すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認ステップと、
    復元部が、秘密分散されたデータである分割データＳ_１，…，Ｓ_Ｎから、元のデータＳを復元する復元ステップと、
    取得部が、前記データＳから、あらかじめ定めた条件にしたがってメッセージＭを切り出す取得ステップと
    を有する暗号化方法。
26. 暗号化装置と復号装置を有する暗号化システムを用いた暗号化方法であって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置で、
    秘密分散部が、メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散ステップと、
    乱数生成部が、乱数ｒを生成する乱数生成ステップと、
    乱数結合部が、前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに前記乱数ｒを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合ステップと、
    ハッシュ部が、前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュステップと、
    暗号部が、前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号ステップと、
    前記復号装置で、
    復号部が、分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号ステップと、
    取得部が、前記分割データＳ_ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_ｎと乱数ｒ_ｎを切り出す取得ステップと、
    確認部が、すべての乱数ｒ_１，…，ｒ_Ｎが一致することを確認する確認ステップと、
    復元部が、秘密分散されたデータである分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元ステップと
    を有する暗号化方法。
27. 暗号化装置と復号装置を有する暗号化システムを用いた暗号化方法であって、
    Ｎは２以上の整数、ｎは１以上Ｎ以下の整数とし、
    前記暗号化装置で、
    乱数生成部が、メッセージＭを秘密分散して分割メッセージＭ_１，…，Ｍ_Ｎを生成する秘密分散ステップと、
    乱数生成部が、乱数ｒ_１，…，ｒ_Ｎを生成する乱数生成ステップと、
    乱数結合部が、前記分割メッセージＭ_１，…，Ｍ_Ｎそれぞれに対応する前記乱数ｒ_１，…，ｒ_Ｎを結合し、分割データＳ_１，…，Ｓ_Ｎとする乱数結合ステップと、
    ハッシュ部が、前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求めるハッシュステップと、
    暗号部が、前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎを生成する暗号ステップと、
    前記復号装置で、
    復号部が、分割暗号文Ｃ_１，…，Ｃ_Ｎを分割データＳ_１，…，Ｓ_Ｎに復号する復号ステップと、
    受信ハッシュ部が、前記分割データＳ_ｎごとに、対応するハッシュ関数Ｈ_ｎを用いて分割データＳ_ｎに対応するハッシュ値ｈ_ｎを求める受信ハッシュステップと、
    受信暗号部が、前記ハッシュ値ｈ_ｎを用いて分割データＳ_ｎを暗号化し、分割暗号文Ｃ_ｎ’を生成する受信暗号ステップと、
    確認部が、すべてのｎについて、分割暗号文Ｃ_ｎと分割暗号文Ｃ_ｎ’とが一致することを確認する確認ステップと、
    取得部が、前記分割データＳ_１，…，Ｓ_Ｎから、あらかじめ定めた条件にしたがって分割メッセージＭ_１，…，Ｍ_Ｎを切り出す取得ステップと、
    復元部が、前記分割メッセージＭ_１，…，Ｍ_Ｎから、元のメッセージＭを復元する復元ステップと、
    を有する暗号化方法。
28. 請求項２５から２７のいずれかに記載の暗号化方法であって、
    前記ハッシュ関数Ｈ_ｎは、分割データＳ_ｎを暗号化する関数から、分割データＳ_ｎごとに特定したハッシュ関数である
    ことを特徴とする暗号化方法。
29. 請求項２５から２７のいずれかに記載の暗号化方法であって、
    前記ハッシュ関数Ｈ_ｎは、あらかじめ分割データＳ_ｎごとに定めたハッシュ関数である
    ことを特徴とする暗号化方法。
30. 請求項２５から２９のいずれかに記載の暗号化方法であって、
    “‖”はビット列同士を結合する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Ｓ_ｎ‖ｐｋ_ｎ）
    のように求める
    ことを特徴とする暗号化方法。
31. 請求項２５から２９のいずれかに記載の暗号化方法であって、
    “‖”はビット列同士を結合する記号、Σ^N _i=1はｉ＝１，…，Ｎについてビット列を連結することを意味する記号、ｐｋ_ｎは暗号化装置と復号装置で共有できるｎ番目の情報とし、
    前記の分割データＳ_ｎに対応するハッシュ値ｈ_ｎは、
    ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1Ｓ_i‖ｐｋ_i）
    または
    ｈ_ｎ←Ｈ_ｎ（Σ^N _i=1ｐｋ_i‖Ｓ_i）
    のように求める
    ことを特徴とする暗号化方法。
32. 請求項２５から３１のいずれかに記載の暗号化方法であって、
    前記秘密分散ステップは、ＡＯＮＴまたは閾値秘密分散法によって秘密分散し、
    前記復元ステップは、ＡＯＮＴまたは閾値秘密分散法によって秘密分散されたデータを復元する
    ことを特徴とする暗号化方法。
33. 請求項１から８のいずれかに記載の暗号化装置、もしくは請求項９から１６のいずれかに記載の復号装置としてコンピュータを機能させるプログラム。
    

Images