JP2012249215A

JP2012249215A - ベクトル構成システム、方法、装置及びプログラム並びに暗号システム

Info

Publication number: JP2012249215A
Application number: JP2011121300A
Authority: JP
Inventors: Reisei Yoshida; 麗生吉田; Tetsutaro Kobayashi; 鉄太郎小林; Katsumi Takahashi; 克巳高橋
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2011-05-31
Filing date: 2011-05-31
Publication date: 2012-12-13
Anticipated expiration: 2031-05-31
Also published as: JP5513444B2

Abstract

【課題】n個の属性の論理積t個の論理和についての述語論理に関する属性ベクトル及び述語ベクトルのそれぞれの次元数をt+1にする技術を提供する。
【解決手段】ベクトル構成システムは、nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nを生成する共通パラメータ生成装置１と、ｔを正の整数とし、x₁,x₂,…,x_n∈F_qとし、X=Σ_i=1 ⁿr_ix_iとして、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトルを生成する属性ベクトル生成装置２と、v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとし、s₀=1とし、s_kをV_jのk次基本対称式として、s₀,s₁,…,s_tを要素とする述語ベクトルを生成する述語ベクトル生成装置３と、を含む。
【選択図】図１

Description

この発明は、情報セキュリティ技術に関する。特に、二者間で同じ情報を共有するための技術に関する。

非特許文献１で属性秘匿な述語暗号が提案され、内積述語を用いることで様々な論理和を暗号化関数及び鍵生成関数を使って、暗号文や鍵に埋め込むことが可能になった。内積述語では、例えばn個の属性の論理積がt個あるとしてこれらのt個の論理積が論理和で組み合わされた述語論理、すなわちn個の属性の論理積t個の論理和についての述語論理を扱うことができる。n=2,t=2の場合の述語論理の例は、以下のような属性「役職」が部長でありかつ属性「部署」が人事部、または、属性「役職」が課長でありかつ属性「部署」が人事部というものである。
（役職＝部長かつ部署＝人事部）
または
（役職＝課長かつ部署＝総務部）

一般に、n個の属性の論理積t個の論理和についての述語論理は、n個の属性値x_i(i=1,2,…,n)∈F_q、t×n個の述語値v_j,i(j=1,2,…,t, i=1,2,…,n)∈F_q、t×n個の乱数r_j,i(j=1,2,…,t, i=1,2,…,n)∈F_qを用いて以下のように記述することができる。F_qは、位数ｑの有限体である。ここで、V_j=-Σ_i=1 ⁿr_j,iv_j,iとする。

[r_1,1(x₁-v_1,1)+r_1,2(x₂-v_1,2)+r_1,3(x₃-v_1,3)+…+r_1,n(x_n-v_1,n)]
×[r_2,1(x₁-v_2,1)+r_2,2(x₂-v_2,2)+r_2,3(x₃-v_2,3)+…+r_2,n(x_n-v_1,n)]
×…
×[r_t,1(x₁-v_t,1)+r_t,2(x₂-v_t,2)+r_t,3(x₃-v_t,3)+…+r_t,n(x_n-v_t,n)]
=Π_j=1 ^tΣ_i=1 ⁿr_j,i(x_i-v_j,i)
=Π_j=1 ^t(Σ_i=1 ⁿr_j,ix_i-Σ_i=1 ⁿr_j,iv_j,i)
=Π_j=1 ^t(Σ_i=1 ⁿr_j,ix_i+V_j)
この式の値が０になれば、この述語論理は所定の条件を満たしたと判断することができる。

Σ_i=1 ⁿr_j,ix_i+V_jは、x_iについての多項式として見るとn+1個の項から構成されている。したがって、上記のΠ_j=1 ^t(Σ_i=1 ⁿr_j,ix_i+V_j)は、x_iについての多項式として見ると_n+1H_t=_n+1+t-1C_t=(n+t)!/n!t!個の項から構成されている。このため、上記のΠ_j=1 ^t(Σ_i=1 ⁿr_j,ix_i+V_j)は、(n+t)!/n!t!次元の属性ベクトルと(n+t)!/n!t!次元の述語ベクトルとの内積とみなすことができる。属性ベクトルとは、属性値x_iから構成されるベクトルであり、述語ベクトルとは、述語値v_j,iから構成されるベクトルである。

Jonathan Katz, Amit Sahai, Brent Waters, "Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products", EUROCRYPTO 2008, LNCS 4965, pp.146-162, 2008

背景技術に記載した技術では、属性ベクトル及び述語ベクトルのそれぞれは(n+t)!/n!t!次元となる。

この発明の課題は、属性ベクトル及び述語ベクトルのそれぞれの次元数を背景技術に記載した技術の次元数以下にするベクトル構成システム、方法、装置及びプログラム並びに暗号システムを提供することである。

この発明の一態様によるベクトル構成システムは、nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nを生成する共通パラメータ生成装置と、ｔを正の整数とし、x₁,x₂,…,x_n∈F_qとし、X=Σ_i=1 ⁿr_ix_iとして、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトルを生成する属性ベクトル生成装置と、v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとし、s₀=1とし、s_kをV_jのk次基本対称式として、s₀,s₁,…,s_tを要素とする述語ベクトルを生成する述語ベクトル生成装置と、を含む。

n個の属性の論理積t個の論理和についての述語論理に関する属性ベクトル及び述語ベクトルのそれぞれの次元数をt+1にすることができる。

実施形態のベクトル構成システムの構成を説明するためのブロック図。実施形態のベクトル構成システムの変形例の構成を説明するためのブロック図。実施形態のベクトル構成システムの変形例の構成を説明するためのブロック図。実施形態のベクトル構成システムの変形例の構成を説明するためのブロック図。暗号システムの一例の構成を説明するためのブロック図。実施形態のベクトル構成システムを説明するためのフローチャート。

以下、図面を参照してこの発明の一実施形態を説明する。

［技術的背景］
まず、技術的背景について説明する。

背景技術では、n個の属性の論理積がt個あるとしてこれらのt個の論理積が論理和で組み合わされた述語論理、すなわちn個の属性の論理積t個の論理和についての述語論理を、n個の属性値x_i(i=1,2,…,n)∈F_q、t×n個の述語値v_j,i(j=1,2,…,t, i=1,2,…,n)∈F_q、t×n個の乱数r_j,i(j=1,2,…,t, i=1,2,…,n)∈F_qを用いて記述した。n,tのそれぞれは、正の整数であり、F_qは位数qの有限体である。

これに対して、この実施形態では、t×n個の乱数r_j,i(j=1,2,…,t, i=1,2,…,n)∈F_qの代わりに、F_qの元又は整数であるn個の共通パラメータr_i(i=1,2,…,n)を用いて述語論理を記述する。属性値x_i(i=1,2,…,n)∈F_q及び述語値v_j,i(j=1,2,…,t, i=1,2,…,n)∈F_qは、背景技術と同様である。具体的には、n個の属性の論理積t個の論理和についての述語論理を以下のように表現する。この式の値が０になれば、この述語論理は所定の条件を満たしたと判断することができる。

[r₁(x₁-v_1,1)+r₂(x₂-v_1,2)+r₃(x₃-v_1,3)+…+r_n(x_n-v_1,n)]
×[r₁(x₁-v_2,1)+r₂(x₂-v_2,2)+r₃(x₃-v_2,3)+…+r_n(x_n-v_1,n)]
×…
×[r₁(x₁-v_t,1)+r₂(x₂-v_t,2)+r₃(x₃-v_t,3)+…+r_n(x_n-v_t,n)]
=Π_j=1 ^tΣ_i=1 ⁿr_i(x_i-v_j,i)
=Π_j=1 ^t(Σ_i=1 ⁿr_ix_i-Σ_i=1 ⁿr_iv_j,i)
=Π_j=1 ^t(X+V_j)
=X^t+(V₁+V₂+…+V_t)X^t-1+(V₁V₂+V₁V₃…+V_t-1V_t)X^t-2+…+ (V₁V₂…V_t-1V_t)X⁰
=Σ_k=1 ^ts_kX^t-k
=(X^t,X^t-1,X^t-2,…,X,1)(s₀,s₁,…,s_t)^T
ここで、X=Σ_i=1 ⁿr_ix_i, V_j=-Σ_i=1 ⁿr_iv_j,i, s₀=1, s_kはV_jのk次基本対称式、（・）^Tは・の転置とする。例えば、１次基本対称式s₁=V₁+V₂+…+V_nであり、２次基本対称式s₂=V₁V₂+V₁V₃…+V_n-1V_nである。kをt以下の正の整数として、k次基本対称式s_kは以下のように書くことができる。

ここで、X^t,X^t-1,X^t-2,…,X,1を要素とするベクトル、すなわち(X^t,X^t-1,X^t-2,…,X,1)を属性ベクトルとする。また、s₀,s₁,…,s_tを要素とするベクトル、すなわち(s₀,s₁,…,s_t)^Tを述語ベクトルとする。

このように、n個の共通パラメータr_i(i=1,2,…,n)を用いることにより、属性ベクトル及び述語ベクトルのそれぞれの次元数がt+1となり、背景技術の次元数(n+t)!/n!t!以下となる。これにより、この属性ベクトル及び述語ベクトルを用いた暗号技術の演算量を削減することができる。なお、このように、共通パラメータr_iを共有化することにより、これらの共通パラメータr_iの数を少なくしても、安全性には問題がない。

［実施形態］
ベクトル構成システム及び方法の一実施形態を以下に示す。

ベクトル構成システムは、図１に示すように、共通パラメータ生成装置１、属性ベクトル生成装置２、述語ベクトル生成装置３、判定装置４を例えば含む。ベクトル構成システムは、図６に例示されたベクトル構成方法の各ステップの処理を行う。

共通パラメータ生成装置１は、F_qの元又は整数であるn個の共通パラメータr_i(i=1,2,…,n)を生成する（ステップＳ１）。例えば、r_iを乱数とする。すなわち、F_qからランダムに選択した元をr_iとする。生成された共通パラメータr_iは、属性ベクトル生成装置２及び述語ベクトル生成装置３に送信される。

属性ベクトル生成装置２は、属性値x_i及び共通パラメータr_iを用いて、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトル(X^t,X^t-1,X^t-2,…,X,1)を生成する（ステップＳ２）。技術的背景の欄で説明したように、X=Σ_i=1 ⁿr_ix_iである。生成された属性ベクトルは、この例では判定装置４に送信される。

ここで、X=Σ_i=1 ⁿr_ix_iである。Xのベキ乗の計算は、既に計算されたXのベキ乗にXを乗算する操作を繰り返すことにより計算しても良いし、例えば参考文献１に記載されているような効率の良い計算手法を用いてもよい。

〔参考文献１〕WIEB BOSMA, “Signed bits and fast exponentiation”, Journal de Theorie des Nombres de Bordeaux, tome 13, n0 1, pp.27-41, 2001

属性ベクトル生成装置２自身が属性値x_iを生成しても良いし、属性ベクトル生成装置２以外の装置、例えば図４のセットアップ装置５が属性値x_iを生成してもよい。

述語ベクトル生成装置３は、述語値v_j,i及び共通パラメータr_iを用いて、s₀,s₁,…,s_tを要素とする述語ベクトル(s₀,s₁,…,s_t)^Tを生成する（ステップＳ３）。技術的背景の欄で説明したように、v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとして、s_kはV_jのk次基本対称式である。ただし、s₀=1である。生成された述語ベクトルは、この例では判定装置４に送信される。

述語ベクトル生成装置３自身が述語値v_j,iを生成しても良いし、述語ベクトル生成装置３以外の装置、例えば図４のセットアップ装置５が述語値v_j,iを生成してもよい。

判定装置４は、属性ベクトル(X^t,X^t-1,X^t-2,…,X,1)と述語ベクトル(s₀,s₁,…,s_t)^Tとの内積が０になるか判定する（ステップＳ４）。内積が０になれば所定の条件を満たしたと判断することができ、内積が０でなければその所定の条件は満たしていないと判断することができる。

［暗号システムへの応用例］
ベクトル構成システム及び方法により生成された属性ベクトル及び述語ベクトルは、関数暗号又は内積述語暗号を用いた暗号システムに用いることができる。すなわち、属性ベクトル及び述語ベクトルを用いる関数暗号又は内積述語暗号の暗号システムが、上記のベクトル構成システムを有していても良い。属性ベクトル及び述語ベクトルを用いる内積述語暗号の暗号システムについては、例えば参考文献２から４を参照のこと。また、属性ベクトル及び述語ベクトルを用いる内積述語暗号により、例えば参考文献５のようにファイルサーバの暗号情報の検索を階層的に利用することができる。また、属性ベクトル及び述語ベクトルを用いる関数暗号の暗号システムについては、例えば参考文献６を参照のこと。

〔参考文献２〕A.B.Lewko, T.Okamoto, A.Sahai, K.Takashima, B.Waters, “Fully
secure functional encryption: Attribute-based encryption and (hierarchical)
inner product encryption”, In EUROCRYPT, pp.62-91, 2010
〔参考文献３〕N.Matsuda, M.Hattori, T.Ito, T.Yoneda, “Secure datacenter systems with hierarchical predicate encryption”, In Symp. on Cryptography and Information Security, 2010
〔参考文献４〕T.Okamoto, K.Takashima, “Hierarchical predicate encryption for innerproducts”, In ASIACRYPT, pp.214-231, 2009
〔参考文献５〕R.Yoshida, A.Nagai, T.Kobayashi, “Hierarchical predicate encryption with keyword search in multi-user setting”, In Computer Security Symposium, 2010
〔参考文献６〕T.Okamoto, K.Takashima, “Fully secure functional encryption with general relations from the decisional linear assumption”, In CRYPTO, pp.191-208, 2010.

以下、図５を参照して、上記のベクトル構成システムを含む暗号システムの例を説明する。この例の暗号システムは、共通パラメータ生成装置１、属性ベクトル生成装置２、述語ベクトル生成装置３、暗号化装置６、鍵生成装置７及び復号装置８を含む。この例では、属性ベクトル生成装置２は暗号化装置６に含まれ、述語ベクトル生成装置３は鍵生成装置７に含まれる。

図示していないセットアップ装置により公開パラメータprm及びマスタ秘密鍵mskが生成され、公開パラメータprmは各装置に配布され、マスタ秘密鍵mskは鍵生成装置７に配布される。

共通パラメータ生成装置１、属性ベクトル生成装置２及び述語ベクトル生成装置３の処理は、上記と同様であるため重複説明を省略する。以下、属性ベクトル生成装置２により生成された属性ベクトル(X^t,X^t-1,X^t-2,…,X,1)をx^→と表記し、述語ベクトル生成装置３により生成された述語ベクトル(s₀,s₁,…,s_t)^Tをu^→と表記する。

暗号化装置６は、公開パラメータprm及び属性ベクトルx^→を用いて、所定の暗号化アルゴリズムEncにより平文mを暗号化して、暗号文cを生成する。暗号文cは、復号装置８に送信される。
c=Enc(prm,x^→,m)

鍵生成装置７は、マスタ秘密鍵msk、述語ベクトルu^→及び公開パラメータprmを用いて、所定の鍵生成アルゴリズムKeyGenより、鍵kを生成する。鍵kは、復号装置８に送信される。
k=KeyGen(msk,u^→,prm)

復号装置８は、鍵kを用いて所定の復号アルゴリズムDecにより暗号文cを復号して、平文mを生成する。
m=Dec(k,c)

［変形例等］
共通パラメータ生成装置１は、図２に示すように、属性ベクトル生成装置２に含まれていても良い。同様に、共通パラメータ生成装置１は、図３に示すように、述語ベクトル生成装置３に含まれていても良い。

また、図４に示すように、共通パラメータ生成装置１は、セットアップ装置５に含まれていても良い。

この場合、セットアップ装置５は、まず属性値x_iを生成する。そして、セットアップ装置５は、共通パラメータ生成装置１により生成された共通パラメータr_iと属性値x_iの積である新属性値r_ix_iを計算し、計算された新属性値r_ix_iを属性ベクトル生成装置２に送信する。属性ベクトル生成装置２は、新属性値r_ix_iを用いて属性ベクトルの生成を行う。また、セットアップ装置５は、まず述語値v_j,iを生成する。そして、セットアップ装置５は、共通パラメータ生成装置１により生成された共通パラメータr_iと述語値v_j,iの積である新述語値r_iv_j,iを計算し、計算された新述語値r_iv_j,iを述語ベクトル生成装置３に送信する。述語ベクトル生成装置３は、新述語値r_iv_j,iを用いて述語ベクトルの生成を行う。

各装置間のデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。同様に、各装置の内部でのデータのやり取りは直接行われてもよいし、図示していない記憶部を介して行われてもよい。

その他、この発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき各部の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、各部がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

１共通パラメータ生成装置
２属性ベクトル生成装置
３述語ベクトル生成装置

Claims

nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nを生成する共通パラメータ生成装置と、
ｔを正の整数とし、x₁,x₂,…,x_n∈F_qとし、X=Σ_i=1 ⁿr_ix_iとして、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトルを生成する属性ベクトル生成装置と、
v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとし、s ₀=1とし、s_kをV_jのk次基本対称式として、s₀,s₁,…,s_tを要素とする述語ベクトルを生成する述語ベクトル生成装置と、
を含むベクトル構成システム。
請求項１のベクトル構成システムを含む、関数暗号又は内積述語暗号の暗号システム。
共通パラメータ生成装置が、nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nを生成する共通パラメータ生成ステップと、
属性ベクトル生成装置が、ｔを正の整数とし、x₁,x₂,…,x_n∈F_qとし、X=Σ_i=1 ⁿr_ix_iとして、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトルを生成する属性ベクトル生成ステップと、
述語ベクトル生成装置が、v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとし、s₀=1とし、s_kをV_jのk次基本対称式として、s₀,s₁,…,s_tを要素とする述語ベクトルを生成する述語ベクトル生成ステップと、
を含むベクトル構成方法。
nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nとし、ｔを正の整数とし、x₁,x₂,…,x_n∈F_qとし、X=Σ_i=1 ⁿr_ix_iとして、X^t,X^t-1,…,X¹,X⁰を要素とする属性ベクトルを生成するベクトル構成装置。
nを正の整数とし、F_qを有限体として、F_qの元又は整数である共通パラメータr₁,r₂,…r_nとし、v_j,1,v_j,2,…,v_j,n∈F_qとし、V_j=-Σ_i=1 ⁿr_iv_j,iとし、s₀=1とし、s_kをV_jのk次基本対称式として、s₀,s₁,…,s_tを要素とする述語ベクトルを生成するベクトル構成装置。
請求項４又は５のベクトル構成装置の各部としてコンピュータを機能させるためのプログラム。