JP2013109048A - 暗号処理システム、暗号処理方法、暗号処理プログラム及び鍵生成装置 - Google Patents

Abstract

【課題】公開パラメータやマスター秘密鍵のサイズを小さくするとともに、ユーザへ与える秘密鍵の生成の処理や暗号化の処理にかかる時間を短くすることを目的とする。
【解決手段】鍵生成装置１００は、各行各列に少なくとも１つは０以外の値を有する疎行列を用いて、公開パラメータやマスター秘密鍵となる基底Ｂと基底Ｂ^＊とを生成する。暗号化装置２００は、基底Ｂにおけるベクトルであって、所定の情報を埋め込んだベクトルを暗号ベクトルとして生成し、復号装置３００は、基底Ｂ^＊における所定のベクトルを鍵ベクトルとして、暗号ベクトルと鍵ベクトルとについてペアリング演算を行い暗号ベクトルを復号する。
【選択図】図１

Description

この発明は、内積暗号（Ｉｎｎｅｒ−Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ，ＩＰＥ）に関するものである。

非特許文献１３，１６，１７には内積暗号についての記載がある。
非特許文献１３，１６，１７に記載された内積暗号では、公開パラメータやマスター秘密鍵は、ベクトル空間の基底で与えられる。

Ａｂｄａｌｌａ，Ｍ．， Ｋｉｌｔｚ， Ｅ．， Ｎｅｖｅｎ，Ｇ．： Ｇｅｎｅｒａｌｉｚｅｄ ｋｅｙ ｄｅｌｅｇａｔｉｏｎ ｆｏｒ ｈｉｅｒａｒｃｈｉｃａｌ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． ＥＳＯＲＩＣＳ’０７， ＬＮＣＳ ４７３４， ｐｐ． １３９−１５４． Ｓｐｒｉｎｇｅｒ， （２００７） Ａｔｔｒａｐａｄｕｎｇ， Ｎ．， Ｌｉｂｅｒｔ， Ｂ．： Ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｉｎｎｅｒ ｐｒｏｄｕｃｔ： Ａｃｈｉｅｖｉｎｇ ｃｏｎｓｔａｎｔ−ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔｓ ｗｉｔｈ ａｄａｐｔｉｖｅ ｓｅｃｕｒｉｔｙ ｏｒ ｓｕｐｐｏｒｔ ｆｏｒ ｎｅｇａｔｉｏｎ． ＰＫＣ ２０１０． ＬＮＣＳ， ｖｏｌ． ６０５６， ｐｐ． ３８４−４０２． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ａｔｔｒａｐａｄｕｎｇ， Ｎ．， Ｌｉｂｅｒｔ， Ｂ．， Ｄｅ Ｐａｎａｆｉｅｕ， Ｅ．： Ｅｘｐｒｅｓｓｉｖｅ ｋｅｙ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ−ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔｓ． ＰＫＣ ２０１１． ＬＮＣＳ， ｖｏｌ． ６５７１， ｐｐ． ９０−１０８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１１） Ｂｅｔｈｅｎｃｏｕｒｔ， Ｊ．， Ｓａｈａｉ， Ａ．，Ｗａｔｅｒｓ， Ｂ．： Ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ：２００７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ， ｐｐ． ３２１−３３４． ＩＥＥＥ Ｐｒｅｓｓ （２００７） Ｂｏｎｅｈ， Ｄ．， Ｈａｍｂｕｒｇ， Ｍ．： Ｇｅｎｅｒａｌｉｚｅｄ ｉｄｅｎｔｉｔｙ ｂａｓｅｄ ａｎｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ． Ｉｎ：Ｐｉｅｐｒｚｙｋ， Ｊ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ５３５０， ｐｐ． ４５５−４７０． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｄｅｌｅｒａｂｌｅｅ， Ｃ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔｓ ａｎｄ ｐｒｉｖａｔｅ ｋｅｙｓ． Ｉｎ： ＡＳＩＡＣＲＹＰＴ ２００７， ＬＮＣＳ， ｐｐ． ２００−２１５． Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ （２００７） Ｅｍｕｒａ， Ｋ．， Ｍｉｙａｊｉ， Ａ．， Ｎｏｍｕｒａ， Ａ．， Ｏｍｏｔｅ， Ｋ．， Ｓｏｓｈｉ， Ｍ．： Ａ ｃｉｐｈｅｒｔｅｘｔ−ｐｏｌｉｃｙ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｓｃｈｅｍｅ ｗｉｔｈ ｃｏｎｓｔａｎｔ ｃｉｐｈｅｒｔｅｘｔ ｌｅｎｇｔｈ． Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＩＳＰＥＣ ２００９， ＬＮＣＳ， ｐｐ． １３−２３． Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ （２００９） Ｇｅｎｔｒｙ， Ｃ．， Ｗａｔｅｒｓ， Ｂ．： Ａｄａｐｔｉｖｅ ｓｅｃｕｒｉｔｙ ｉｎ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ ｓｙｓｔｅｍｓ （ｗｉｔｈ ｓｈｏｒｔ ｃｉｐｈｅｒｔｅｘｔｓ）． Ｉｎ： Ｊｏｕｘ， Ａ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００９． ＬＮＣＳ， ｖｏｌ． ５４７９， ｐｐ． １７１−１８８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｇｏｙａｌ， Ｖ．， Ｐａｎｄｅｙ， Ｏ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｆｉｎｅ−ｇｒａｉｎｅｄ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ ｏｆ ｅｎｃｒｙｐｔｅｄ ｄａｔａ． Ｉｎ： ＡＣＭ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｓｅｃｕｒｉｔｙ ２００６， ｐｐ． ８９−９８， ＡＣＭ （２００６） Ｈｅｒｒａｎｚ， Ｊ．， Ｌａｇｕｉｌｌａｕｍｉｅ， Ｆ．， Ｒａｆｏｌｓ， Ｃ．： Ｃｏｎｓｔａｎｔ ｓｉｚｅ ｃｉｐｈｅｒｔｅｘｔｓ ｉｎ ｔｈｅｒｅｓｈｏｌｄ ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ， Ｉｎ Ｎｇｕｙｅｎ， Ｐ．Ｑ．， Ｐｏｉｎｔｃｈｅｖａｌ， Ｄ． （ｅｄｓ．） ＰＫＣ ２０１０． ＬＮＣＳ， ｖｏｌ． ６０５６， ｐｐ． １９−３４． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｋａｔｚ， Ｊ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｓｕｐｐｏｒｔｉｎｇ ｄｉｓｊｕｎｃｔｉｏｎｓ， ｐｏｌｙｎｏｍｉａｌ ｅｑｕａｔｉｏｎｓ， ａｎｄ ｉｎｎｅｒ ｐｒｏｄｕｃｔｓ． Ｉｎ： Ｓｍａｒｔ， Ｎ．Ｐ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００８． ＬＮＣＳ， ｖｏｌ． ４９６５， ｐｐ． １４６−１６２． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｌｅｗｋｏ， Ａ．， Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｒｅｖｏｃａｔｉｏｎ ｓｙｓｔｅｍｓ ｗｉｔｈ ｖｅｒｙ ｓｍａｌｌ ｐｒｉｖａｔｅ ｋｅｙｓ， Ｉｎ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ ２０１０ （２０１０） Ｌｅｗｋｏ， Ａ．， Ｏｋａｍｏｔｏ， Ｔ．， Ｓａｈａｉ， Ａ．， Ｔａｋａｓｈｉｍａ， Ｋ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ： Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ （ｈｉｅｒａｒｃｈｉｃａｌ） ｉｎｎｅｒ ｐｒｏｄｕｃｔ ｅｎｃｒｙｐｔｉｏｎ， ＥＵＲＯＣＲＹＰＴ ２０１０． ＬＮＣＳ， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｆｕｌｌ ｖｅｒｓｉｏｎ ｉｓ ａｖａｉｌａｂｌｅ ａｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／１１０ Ｌｅｗｋｏ， Ａ．Ｂ．， Ｗａｔｅｒｓ， Ｂ．： Ｎｅｗ ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ ｄｕａｌ ｓｙｓｔｅｍ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｆｕｌｌｙ ｓｅｃｕｒｅ ＨＩＢＥ ｗｉｔｈ ｓｈｏｒｔ ｃｉｐｈｅｒｔｅｘｔｓ． Ｉｎ： Ｍｉｃｃｉａｎｃｉｏ， Ｄ． （ｅｄ．） ＴＣＣ ２０１０． ＬＮＣＳ， ｖｏｌ． ５９７８， ｐｐ． ４５５−４７９． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ａｎｄ ｓｉｇｎａｔｕｒｅｓ ｆｒｏｍ ｖｅｃｔｏｒ ｄｅｃｏｍｐｏｓｉｔｉｏｎ． Ｉｎ： Ｇａｌｂｒａｉｔｈ， Ｓ．Ｄ．， Ｐａｔｅｒｓｏｎ， Ｋ．Ｇ． （ｅｄｓ．） Ｐａｉｒｉｎｇ ２００８． ＬＮＣＳ， ｖｏｌ． ５２０９， ｐｐ． ５７−７４， Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００８） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｈｉｅｒａｒｃｈｉｃａｌ ｐｒｅｄｉｃａｔｅ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｉｎｎｅｒ−ｐｒｏｄｕｃｔｓ， Ｉｎ： Ｍａｔｓｕｉ， Ｍ． （ｅｄ．） ＡＳＩＡＣＲＹＰＴ ２００９． ＬＮＣＳ， ｖｏｌ． ５９１２， ｐｐ． ２１４−２３１． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９） Ｏｋａｍｏｔｏ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｆｕｌｌｙ ｓｅｃｕｒｅ ｆｕｎｃｔｉｏｎａｌ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ ｇｅｎｅｒａｌ ｒｅｌａｔｉｏｎｓ ｆｒｏｍ ｔｈｅ ｄｅｃｉｓｉｏｎａｌ ｌｉｎｅａｒ ａｓｓｕｍｐｔｉｏｎ． Ｉｎ： Ｒａｂｉｎ， Ｔ． （ｅｄ．） ＣＲＹＰＴＯ ２０１０． ＬＮＣＳ， ｖｏｌ． ６２２３， ｐｐ． １９１−２０８． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２０１０）． Ｆｕｌｌ ｖｅｒｓｉｏｎ ｉｓ ａｖａｉｌａｂｌｅ ａｔ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／５６３ Ｓａｈａｉ， Ａ．， Ｗａｔｅｒｓ， Ｂ．： Ｆｕｚｚｙ ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ． Ｉｎ： Ｃｒａｍｅｒ， Ｒ． （ｅｄ．） ＥＵＲＯＣＲＹＰＴ ２００５． ＬＮＣＳ， ｖｏｌ． ３４９４， ｐｐ． ４５７−４７３． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００５） Ｓａｋａｉ， Ｒ．， Ｆｕｒｕｋａｗａ， Ｊ．： Ｉｄｅｎｔｉｔｙ−ｂａｓｅｄ ｂｒｏａｄｃａｓｔ ｅｎｃｒｙｐｔｉｏｎ， ＩＡＣＲ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ： Ｒｅｐｏｒｔ ２００７／２１７ ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００７／２１７ （２００７）． Ｗａｔｅｒｓ， Ｂ．： Ｄｕａｌ ｓｙｓｔｅｍ ｅｎｃｒｙｐｔｉｏｎ： ｒｅａｌｉｚｉｎｇ ｆｕｌｌｙ ｓｅｃｕｒｅ ＩＢＥ ａｎｄ ＨＩＢＥ ｕｎｄｅｒ ｓｉｍｐｌｅ ａｓｓｕｍｐｔｉｏｎｓ． Ｉｎ： Ｈａｌｅｖｉ， Ｓ． （ｅｄ．） ＣＲＹＰＴＯ ２００９． ＬＮＣＳ， ｖｏｌ． ５６７７， ｐｐ． ６１９−６３６． Ｓｐｒｉｎｇｅｒ Ｈｅｉｄｅｌｂｅｒｇ （２００９）

非特許文献１３，１６，１７に記載された内積暗号では、内積暗号に用いるベクトルの長さをＮとすると、公開パラメータやマスター秘密鍵のサイズはＮ^２に比例し、ユーザへ与える秘密鍵の生成や暗号化の処理にＮ^２に比例する時間がかかる。
この発明は、公開パラメータやマスター秘密鍵のサイズを小さくするとともに、ユーザへ与える秘密鍵の生成の処理や暗号化の処理にかかる時間を短くすることを目的とする。

この発明に係る暗号処理システムは、
各行各列に少なくとも１つは０以外の値を有する疎行列を用いて所定の基底Ａを変形して生成された基底Ｂと基底Ｂ^＊を利用し、暗号処理を行う暗号処理システムであり、
前記基底Ｂにおけるベクトルであって、所定の情報を埋め込んだベクトルを暗号ベクトルとして生成する暗号化装置と、
前記基底Ｂ^＊における所定のベクトルを鍵ベクトルとして、前記暗号化装置が生成した暗号ベクトルと前記鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して前記所定の情報に関する情報を抽出する復号装置と
を備えることを特徴とする。

この発明に係る暗号処理システムでは、公開パラメータやマスター秘密鍵となる基底Ｂと基底Ｂ^＊とを生成するために用いる行列に疎行列を用いる。これにより、公開パラメータやマスター秘密鍵のサイズが小さくなるとともに、ユーザへ与える秘密鍵の生成の処理や暗号化の処理にかかる時間が短くなる。

零内積暗号方式と非零内積暗号方式とを実行する暗号処理システム１０の構成図。 ランダムな線形変換Ｘの特別な形式の説明図。 実施の形態２に係る鍵生成装置１００の構成図。 実施の形態２に係る暗号化装置２００の構成図。 実施の形態２に係る復号装置３００の構成図。 実施の形態２に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態２に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態３に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態４に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態５に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態２−４で説明した非零内積暗号方式及び零内積暗号方式と、非特許文献２に記載された非零内積暗号方式及び零内積暗号方式とを比較した図。 鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図。

以下、図に基づき、発明の実施の形態を説明する。
以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。

以下の説明における記法について説明する。
Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

ベクトル表記は、位数ｑの有限体Ｆ_ｑにおけるベクトル表示を表す。例えば、数１０３である。

数１０４は、数１０５に示す２つのベクトルｘ^→とｖ^→との数１０６に示す内積を表す。

Ｘ^Ｔは、行列Ｘの転置行列を表す。
ｂ_ｉ（ｉ＝１，．．．，ｎ）が空間Ｖのベクトルの要素であるとき、つまり、数１０７であるとき、数１０８は、数１０９によって生成される部分空間を表す。

数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。

ｊ＝１，．．．，ｎのｎ個のベクトルに対して、ｅ^→ _ｊは、数１１２に示す標準基底ベクトルを示す。

ＧＬ（ｎ，Ｆ_ｑ）は、有限体Ｆ_ｑにおける次数ｎの一般線形群を表す。

また、以下の説明において、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。同様に、基底Ｂ^＊における“＊”が下付き文字又は上付き文字に付されている場合、この“＊”は下付き文字又は上付き文字に上付きで付されていることを意味する。また、同様に、空間Ｖ_ｔにおけるｔが下付き文字又は上付き文字に付されている場合、この“ｔ”は下付き文字又は上付き文字に下付きで付されていることを意味する。

また、以下の説明において、暗号処理とは、暗号化処理、復号処理、鍵生成処理を含むものである。

実施の形態１．
この実施の形態では、内積暗号を実現する基礎となる概念と、内積暗号の構成とについて説明する。
第１に、内積暗号の概念を説明する。
第２に、内積暗号を実現するための空間である双対ペアリングベクトル空間（Ｄｕａｌ Ｐａｉｒｉｎｇ Ｖｅｃｔｏｒ Ｓｐａｃｅｓ，ＤＰＶＳ）を説明する。
第３に、以下の実施の形態で説明する内積暗号方式の基本構成を説明する。
第４に、以下の実施の形態で説明する内積暗号方式を実行する暗号処理システム１０の基本構成を説明する。
第５に、以下の実施の形態で説明する内積暗号方式の基本的な考え方を説明する。

＜第１．内積暗号の概念＞
まず、関数型暗号（Ｆｕｎｃｔｉｏｎａｌ Ｅｎｃｒｙｐｔｉｏｎ）について説明する。
関数型暗号は、進歩した暗号の概念である。また、関数型暗号は、公開鍵暗号（Ｐｕｂｌｉｃ−Ｋｅｙ Ｅｎｃｒｙｐｔｉｏｎ，ＰＫＥ）やＩＤベース暗号（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，ＩＢＥ）の一般化である。関数型暗号システムでは、暗号文を特定するパラメータｙにパラメータｘが適切に関連付けられているなら、受信者はパラメータｘに対応する秘密鍵を用いて暗号文を復号できる。つまり、復号には、ある関係Ｒ（（ｘ，ｙ）に対して成立する関係Ｒ）に対してＲ（ｘ，ｙ）＝１ことが必要である。

内積暗号は、関数型暗号の一種である。
内積暗号には、零内積暗号（Ｚｅｒｏ Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ，ＺＩＰＥ）と、非零内積暗号（Ｎｏｎ−ｚｅｒｏ Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ Ｅｎｃｒｙｐｔｉｏｎ，ＮＩＰＥ）とがある。

零内積暗号では、ベクトルｘ^→に対して暗号化された暗号文は、ｘ^→・ｙ^→＝０であるベクトルｙ^→と関連付けられた秘密鍵で復号することができる。つまり、ｘ^→・ｙ^→＝０である場合に限り、Ｒ^ＺＩＰＥ（ｘ^→，ｙ^→）＝１であることが必要である。

非零内積暗号では、ベクトルｘ^→に対して暗号化された暗号文は、ｘ^→・ｙ^→≠０であるベクトルｙ^→と関連付けられた秘密鍵で復号することができる。つまり、ｘ^→・ｙ^→≠０である場合に限り、Ｒ^ＮＩＰＥ（ｘ^→，ｙ^→）＝１であることが必要である。

＜第２．双対ペアリングベクトル空間＞
まず、対称双線形ペアリング群（Ｓｙｍｍｅｔｒｉｃ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ Ｇｒｏｕｐｓ）について説明する。
対称双線形ペアリング群（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群Ｇ_Ｔと、要素ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ Ｂｉｌｉｎｅａｒ Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→Ｇ_Ｔとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）^ｓｔであり、ｅ（ｇ，ｇ）≠１である。
以下の説明において、Ｇ_ｂｐｇを、１^λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）の値を出力するアルゴリズムとする。

次に、双対ペアリングベクトル空間について説明する。
双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）は、素数ｑ、数１１３に示す有限体Ｆ_ｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群Ｇ_Ｔ、空間Ｖの標準基底Ａ：＝（ａ_１，．．．，ａ_Ｎ）の組であり、以下の演算（１）（２）を有する。ここで、ａ_ｉは、数１１４に示す通りである。

演算（１）：非退化双線形ペアリング
空間Ｖにおけるペアリングは、数１１５によって定義される。

これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）^ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａ_ｉ，ａ_ｊ）＝ｅ（ｇ，ｇ）^δｉ，ｊである（このδｉ，ｊはδ_ｉ，ｊを意味する）。ここで、ｉ＝ｊであれば、δ_ｉ，ｊ＝１であり、ｉ≠ｊであれば、δ_ｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈Ｇ_Ｔである。

演算（２）：標準写像
数１１６に示す空間Ｖにおける線形変換φ_ｉ，ｊは、数１１７によって容易に実現することができる。

ここで、線形変換φ_ｉ，ｊを標準写像と呼ぶ。

以下の説明において、Ｇ_ｄｐｖｓを、１^λ（λ∈自然数）、Ｎ∈自然数を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）の値を出力するアルゴリズムとする。

なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。

＜第３．内積暗号方式の基本構成＞
まず、零内積暗号方式について説明する。
零内積暗号方式における関係Ｒ^ＺＩＰＥは、ベクトルｘ^→∈Ｆ^ｎ _ｑ＼｛０^→｝と、ベクトルｖ^→∈Ｆ^ｎ _ｑ＼｛０^→｝とにおいて定義される。そして、ｘ^→・ｖ^→＝０である場合に限り、関係Ｒ^ＺＩＰＥ（ｘ^→，ｖ^→）：＝１である。
同様に、非零内積暗号方式における関係Ｒ^ＮＩＰＥは、ベクトルｘ^→∈Ｆ^ｎ _ｑ＼｛０^→｝と、ベクトルｖ^→∈Ｆ^ｎ _ｑ＼｛０^→｝とにおいて定義される。そして、ｘ^→・ｖ^→≠０である場合に限り、関係Ｒ^ＮＩＰＥ（ｘ^→，ｖ^→）：＝１である。

零内積暗号方式と非零内積暗号方式とは、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｅｎｃ、Ｄｅｃの４つのアルゴリズムを備える。
（Ｓｅｔｕｐ）
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｐｋと、マスター秘密鍵ｓｋとを出力する確率的アルゴリズムである。
（ＫｅｙＧｅｎ）
ＫｅｙＧｅｎアルゴリズムは、ベクトルｖ^→と、公開パラメータｐｋと、マスター秘密鍵ｓｋとを入力として、復号鍵ｓｋ_ｖ→を出力する確率的アルゴリズムである。
（Ｅｎｃ）
Ｅｎｃアルゴリズムは、メッセージｍと、ベクトルｘ^→と、公開パラメータｐｋとを入力として、暗号文ｃｔ_ｘ→を出力する確率的アルゴリズムである。
（Ｄｅｃ）
Ｄｅｃアルゴリズムは、ベクトルｘ^→の下で暗号化された暗号文ｃｔ_ｘ→と、ベクトルｖ^→に対する復号鍵ｓｋ_ｖ→と、公開パラメータｐｋとを入力として、メッセージｍ、又は、識別情報⊥を出力するアルゴリズムである。識別情報⊥は、復号できなかったことを示す情報である。

＜第４．暗号処理システム１０の基本構成＞
図１は、零内積暗号方式と非零内積暗号方式とを実行する暗号処理システム１０の構成図である。
鍵生成装置１００は、セキュリティパラメータλを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、ベクトルｖ^→を入力としてＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ｖ→を生成して復号装置３００へ秘密裡に配布する。
暗号化装置２００は、メッセージｍと、ベクトルｘ^→と、公開パラメータｐｋとを入力としてＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘ→を生成する。暗号化装置２００は、生成した暗号文ｃｔ_ｘ→を復号装置３００へ送信する。
復号装置３００は、公開パラメータｐｋと、復号鍵ｓｋ_ｖ→と、暗号文ｃｔ_ｘ→とを入力としてＤｅｃアルゴリズムを実行して、メッセージｍ’（＝ｍ）又は識別情報⊥を出力する。

＜第５．暗号方式の基本的な考え方＞
双対ペアリングベクトル空間を暗号処理に適用した典型的なアプリケーションでは、双対基底（又は正規直交基底）のペアである基底Ｂと基底Ｂ^＊とが生成される。基底Ｂと基底Ｂ^＊とは、ＧＬ（Ｎ，Ｆ_ｑ）から一様に選択された、完全にランダムな線形変換Ｘ（基底変換行列）を用いて生成される。特に、基底Ｂと基底Ｂ^＊とは、それぞれ、線形変換Ｘと、（Ｘ^−１）^Ｔとにより、標準基底Ａを変換して生成される。なお、Ｎは、ｓｐａｎ＜Ｂ＞とｓｐａｎ＜Ｂ^＊＞との次元数である。
そして、双対ペアリングベクトル空間を暗号処理に適用した典型的なアプリケーションでは、基底Ｂの一部（Ｂ＾という）が公開パラメータとして用いられ、これに対応する基底Ｂ^＊の一部（Ｂ＾^＊という）が秘密鍵又はトラップドアとして用いられる。

以下の実施の形態で説明する内積暗号では、上述した完全にランダムな線形変換Ｘに代えて、Ｘ∈ＧＬ（Ｎ，Ｆ_ｑ）であるランダムな線形変換Ｘの特別な形式を用いる。この特別な形式の線形変換Ｘにより、暗号文又は秘密鍵のサイズを小さくすることができるとともに、処理に時間のかかるペアリング演算の数を減らすことができる。

図２は、特別な形式の線形変換Ｘの説明図である。
図２（ａ）は、完全にランダムな線形変換Ｘを示し、図２（ｂ）は、特別な形式の線形変換Ｘを示す。図２（ａ）（ｂ）において、四角が示す部分は成分の値が０以外の乱数であることを示し、図２（ｂ）において、空白部分は成分の値が０であることを示している。また、図２（ｂ）において、斜線が入れられた四角が示す部分は成分の値が同じ値であることを示す。なお、ここでは、Ｎ＝５としている。
図２（ａ）に示すように、従来の線形変換Ｘは、Ｎ^２（ここでは、５^２＝２５）のサイズであった。これに対して、図２（ｂ）に示すように、以下の実施の形態で説明する内積暗号で用いる線形変換Ｘ（以下、新しい線形変換Ｘ）は、Ｎ＋１（ここでは、５＋１＝６）のサイズである。

上述したように、基底Ｂと基底Ｂ^＊とは、線形変換Ｘを用いて標準基底Ａを変換して生成される。そのため、基底Ｂと基底Ｂ^＊とのサイズは、線形変換Ｘのサイズに比例する。また、上述したように、基底Ｂと基底Ｂ^＊とは、その一部が公開パラメータと秘密鍵にされる。したがって、公開パラメータと秘密鍵とのサイズは、線形変換Ｘのサイズに比例する。つまり、従来の線形変換Ｘを用いた場合、公開パラメータと秘密鍵とのサイズは、Ｎ^２に比例する。これに対して、新しい線形変換Ｘを用いた場合、公開パラメータと秘密鍵とのサイズは、Ｎ＋１に比例する。
その結果、従来の線形変換Ｘを用いた場合、ユーザ鍵の生成の処理や暗号化の処理にＮ^２に比例した時間がかかっていた。これに対して、新しい線形変換Ｘを用いた場合、ユーザ鍵の生成の処理や暗号化の処理にＮ＋１に比例した時間になる。つまり、新しい線形変換Ｘを用いた場合、計算時間が、Ｎのオーダーになる。

次に、非零内積暗号方式を例として、定数サイズの暗号文と効率的な復号を実現する具体的な方法について説明する。
なお、暗号文のサイズを説明する場合、ベクトルの記述は暗号文の一部に含めないものとする。復号鍵のサイズを説明する場合も同様に、ベクトルの記述は暗号文の一部に含めないものとする。

以下の実施の形態で説明する非零内積暗号方式を簡略化したものを用いて説明する。
簡略化した非零内積暗号方式における暗号文は、２つのベクトル要素（ｃ_０，ｃ_１）∈Ｇ^５×Ｇ^ｎと、ｃ_３∈Ｇ_Ｔとからなる。秘密鍵は、２つのベクトル要素ｋ^＊ _０，ｋ^＊ _１∈Ｇ^５×Ｇ^ｎからなる。なお、（ｃ_０，ｃ_１）∈Ｇ^５×Ｇ^ｎとは、ｃ_０がＧの５個の要素であり、ｃ_１がＧのｎ個の要素であることを意味する。同様に、ｋ^＊ _０，ｋ^＊ _１∈Ｇ^５×Ｇ^ｎとは、ｋ^＊ _０がＧの５個の要素であり、ｋ^＊ _１がＧのｎ個の要素であることを意味する。
そのため、暗号文のサイズを定数サイズにするには、ｃ_１∈Ｇ^ｎをｎについての定数サイズに圧縮する必要がある。

数１１８に示す特別な線形変換Ｘを用いる。

ここで、μ，μ’_１，．．．，μ’_ｎは有限体Ｆ_ｑから一様に選択された値であり、線形変換Ｘにおける空白は定数値０∈Ｆ_ｑであることを示す。定数値０とは、値が０に固定されていることを意味する。つまり、μ，μ’_１，．．．，μ’_ｎは０も取り得る一様乱数であるのに対して、線形変換Ｘにおける空白は値が０に固定されている。また、Ｈ（ｎ，Ｆ_ｑ）とは、有限体Ｆ_ｑを要素とするｎ次元の行列の集合を意味する。

システムパラメータ又はＤＰＶＳの公開基底は、数１１９に示す基底Ｂである。

ｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）に関連付けられた暗号文を、数１２０に示す暗号文ｃ_１とする。

ここで、ωは有限体Ｆ_ｑから一様に選択された値である。

すると、暗号文ｃ_１は、数１２１に示す２つのグループの要素Ｃ_１，Ｃ_２と、ベクトルｘ^→とに圧縮できる。

暗号文ｃ_１は、（ｘ_１Ｃ_１，．．．，ｘ_ｎ−１Ｃ_１，Ｃ_２）によって得られるためである。なお、ｉ＝１，．．．，ｎ−１の各ｉについて、ｘ_ｉＣ_１＝ｘ_ｉωμｇである。
したがって、暗号文（ベクトルｘ^→を除いた部分）は、２つのグループの要素とすることができ、ｎについての定数サイズとなる。

Ｂ^＊：＝（ｂ^＊ _ｉ）を、Ｂ：＝（ｂ_ｉ）の双対正規直交基底とし、基底Ｂ^＊を、簡略化した非零内積暗号方式におけるマスター秘密鍵であるとする。（ｃ_０，ｋ^＊ _０，ｃ_３）を、ｅ（ｃ_０，ｋ^＊ _０）＝ｇ_Ｔ ^ζ・ｇ_Ｔ ^ωδであり、ｃ_３：＝ｇ_Ｔ ^ζｍ∈Ｇ_Ｔであると規定する。また、ベクトルｖ^→に対する秘密鍵を、ｋ^＊ _１：＝（δｖ^→）_Ｂ＊＝δ（ｖ_１ｂ^＊ _１＋・・・＋ｖ_ｎｂ^＊ _ｎ）のように設定する。
基底Ｂと基底Ｂ^＊との双対正規直交性により、ｅ（ｃ_１，ｋ^＊ _１）＝ｇ_Ｔ ^{ωδ（ｘ→・ｖ→）}が成立する。そのため、復号者は、ｘ^→・ｖ^→≠０である場合に限り、ｇ_Ｔ ^ωδを計算できる。つまり、復号者は、数１２２によりメッセージｍを得ることができる。

暗号文ｃ_１は、（ｘ_１Ｃ_１，．．．，ｘ_ｎ−１Ｃ_１，Ｃ_２）∈Ｇ^ｎとして表され、秘密鍵ｋ^＊ _１は、（Ｋ_１，．．．，Ｋ_ｎ）のｎ組に分解される。そのため、ｅ（ｃ_１，ｋ^＊ _１）の値は、数１２３である。

つまり、ｅ（ｃ_１，ｋ^＊ _１）を計算するには、Ｇにおけるｎ−１個のスカラー乗法と、２つのペアリング演算とで十分である。すなわち、復号には、少ない数（定数）のペアリング演算だけが必要となる。一般に、ペアリング演算は、処理時間がかかる演算であるため、ペアリング演算の数を減らすことにより、処理全体としての処理時間を短くすることができる。

なお、簡略化した非零内積暗号方式では、暗号文ｃ_１はベクトルｘ^→が設定される基底ベクトル（実際の符号化部）のみを備え、秘密鍵ｋ^＊ _１はベクトルｖ^→が設定される基底ベクトル（実際の符号化部）のみを備えた。
以下の実施の形態で説明する非零内積暗号方式では、安全性を高めるため、暗号文ｃ_１と秘密鍵ｋ^＊ _１とに、実際の符号化部に加え、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とのための基底ベクトルを加える。
そのため、線形変換Ｘを数１２４のように拡張する。

ここで、各Ｘ_ｉ，ｊは、数１１８に示すＸ∈Ｈ（ｎ，Ｆ_ｑ）である。そして、ベクトル空間は、４つの直交する部分空間で構成される。つまり、ベクトル空間は、符号化部と、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とのための４つの直交する部分空間で構成される。

実施の形態２．
実施の形態２では、暗号文のサイズを定数サイズとした非零内積暗号方式について説明する。

図３は、実施の形態２に係る鍵生成装置１００の構成図である。図４は、実施の形態２に係る暗号化装置２００の構成図である。図５は、実施の形態２に係る復号装置３００の構成図である。
図６と図７とは、実施の形態２に係る鍵生成装置１００の動作を示すフローチャートである。なお、図６は、実施の形態２に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図７は、実施の形態２に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図８は、実施の形態２に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態２に係るＥｎｃアルゴリズムの処理を示すフローチャートである。図９は、実施の形態２に係る復号装置３００の動作を示すフローチャートであり、実施の形態２に係るＤｅｃアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、入力されるベクトルｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）は、Ｌ＝１，．．．，ｎ−１の各整数Ｌについてｘ_Ｌ≠０であり、入力されるベクトルｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）は、ｖ_ｎ≠０であるとする。

鍵生成装置１００について説明する。
図３に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０、復号鍵生成部１４０、鍵配布部１５０を備える。マスター鍵生成部１１０は、空間生成部１１１、行列生成部１１２、基底生成部１１３、鍵生成部１１４を備える。復号鍵生成部１４０は、乱数生成部１４１、鍵要素生成部１４２を備える。

図６に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ１０１：空間生成ステップ）
空間生成部１１１は、セキュリティパラメータ１^λを入力として、処理装置によりＧ_ｂｐｇを実行して、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）を生成する。
さらに、空間生成部１１１は、Ｎ_０：＝５、Ｎ_１：＝４ｎを設定する。そして、空間生成部１１１は、ｔ＝０，１の各ｔについて、セキュリティパラメータ１^λと、Ｎ_ｔと、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ_ｔ，Ｇ_Ｔ，Ａ_ｔ，ｅ）を生成する。

（Ｓ１０２：線形変換生成ステップ）
行列生成部１１２は、数１２５に示すように、処理装置により線形変換Ｘ_０を生成する。

なお、数１２５における（χ_{０，ｉ，ｊ}）_{ｉ，ｊ＝１，．．．，５}は、行列χ_{０，ｉ，ｊ}の添え字ｉ，ｊに関する行列という意味という意味である。
また、行列生成部１１２は、数１２６に示すように、処理装置により線形変換Ｘ_１を生成する。

数１２６におけるＬ（Ｎ，Ｆ_ｑ）は、数１２７に示す通りである。

なお、以下、｛μ_ｉ，ｊ，μ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、線形変換Ｘ_１における定数値０以外の要素を示す。

（Ｓ１０３：基底Ｂ生成ステップ）
基底生成部１１３は、数１２８に示すように、処理装置により基底Ｂ_０と変数Ｂ_ｉ，ｊと変数Ｂ’_{ｉ，ｊ，Ｌ}とを生成する。

また、基底生成部１１３は、数１２９に示すように、処理装置により基底Ｂ^＊ _０と基底Ｂ^＊ _１とを生成する。

（Ｓ１０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、数１３０に示すように、処理装置により基底Ｂ＾_０と、基底Ｂ＾^＊ _０と、基底Ｂ＾^＊ _１とを生成する。

（Ｓ１０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，Ｂ＾_０，｛Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ＝１，４；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}）とし、マスター秘密鍵ｓｋ：＝｛Ｂ＾^＊ _ｔ｝_{ｔ＝０，１}とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１}，ｇ_Ｔ）である。

つまり、Ｓ１０１からＳ１０５において、鍵生成装置１００は、数１３１に示すアルゴリズムＧ^（１） _ｏｂを用いた、数１３２に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

Ｓ１０３では、基底Ｂ_１を生成せず、代わりに変数Ｂ_ｉ，ｊを生成した。基底Ｂ_１を生成するのであれば、数１３３のようになる。

数１３３の行列における空白部分は成分の値が０∈Ｇであることを示している。基底Ｂ_１は、基底Ｂ^＊ _１の正規直交基底である。つまり、ｅ（ｂ_１，ｉ，ｂ^＊ _１，ｊ）＝ｇ_Ｔであり、１≦ｉ≠ｊ≦４ｎの整数ｉ，ｊに対して、ｅ（ｂ_１，ｉ，ｂ^＊ _１，ｊ）＝１である。

図７に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
（Ｓ１１１：情報入力ステップ）
情報入力部１３０は、ベクトルｖ^→を入力装置により入力する。

（Ｓ１１２：乱数生成ステップ）
乱数生成部１４１は、数１３４に示すように、処理装置により乱数を生成する。

（Ｓ１１３：要素ｋ^＊ _０生成ステップ）
鍵要素生成部１４２は、数１３５に示すように、処理装置により復号鍵ｓｋ_ｖ→の要素である要素ｋ^＊ _０を生成する。

なお、上述したように、数１１０に示す基底Ｂと基底Ｂ^＊とに対して、数１１１である。したがって、数１３５は、基底Ｂ^＊ _０の基底ベクトルｂ^＊ _０，１の係数としてδを設定し、基底ベクトルｂ^＊ _０，２の係数として０を設定し、基底ベクトルｂ^＊ _０，３の係数として１を設定し、基底ベクトルｂ^＊ _０，４の係数としてφ_０を設定し、基底ベクトルｂ^＊ _０，５の係数として０を設定することを意味する。

（Ｓ１１４：要素ｋ^＊ _１生成ステップ）
鍵要素生成部１４２は、数１３６に示すように、処理装置により復号鍵ｓｋ_ｖ→の要素である要素ｋ^＊ _１を生成する。

数１３６は、数１３５と同様に、基底Ｂ^＊ _１の基底ベクトルｂ^＊ _１，１，．．．，ｂ^＊ _１，ｎの係数としてδｖ_１，．．．，δｖ_ｎを設定し、基底ベクトルｂ^＊ _{１，ｎ＋１}，．．．，ｂ^＊ _１，２ｎの係数として０を設定し、基底ベクトルｂ^＊ _{１，２ｎ＋１}，．．．，ｂ^＊ _１，３ｎの係数としてφ_１ｖ_１，．．．，φ_１ｖ_ｎを設定し、基底ベクトルｂ^＊ _{１，３ｎ＋１}，．．．，ｂ^＊ _１，４ｎの係数として０を設定することを意味する。

（Ｓ１１５：鍵配布ステップ）
鍵配布部１５０は、Ｓ１１１で入力したベクトルｖ^→と、Ｓ１１３で生成した要素ｋ^＊ _０と、Ｓ１１４で生成した要素ｋ^＊ _１とを要素とする復号鍵ｓｋ_ｖ→を、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_ｖ→は、他の方法により復号装置３００へ配布されてもよい。

つまり、Ｓ１１１からＳ１１４において、鍵生成装置１００は、数１３７に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ｖ→を生成する。そして、Ｓ１１５において、鍵生成装置１００は、生成された復号鍵ｓｋ_ｖ→を復号装置３００へ配布する。

暗号化装置２００について説明する。
図４に示すように、暗号化装置２００は、公開パラメータ取得部２１０、情報入力部２２０、暗号文生成部２３０、データ送信部２４０を備える。暗号文生成部２３０は、乱数生成部２３１、暗号要素生成部２３２を備える。

図８に基づき、Ｅｎｃアルゴリズムの処理について説明する。
（Ｓ１２１：公開パラメータ取得ステップ）
公開パラメータ取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１２２：情報入力ステップ）
情報入力部２２０は、ベクトルｘ^→を入力装置により入力する。
また、情報入力部２２０は、メッセージｍを入力装置により入力する。

（Ｓ１２３：乱数生成ステップ）
乱数生成部２３１は、数１３８に示すように、処理装置により乱数を生成する。

（Ｓ１２４：要素ｃ_０生成ステップ）
暗号要素生成部２３２は、数１３９に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素ｃ_０を生成する。

数１３９は、数１３５と同様に、基底Ｂ_０の基底ベクトルｂ_０，１の係数として−ωを設定し、基底ベクトルｂ_０，２の係数として０を設定し、基底ベクトルｂ_０，３の係数としてζを設定し、基底ベクトルｂ_０，４の係数として０を設定し、基底ベクトルｂ_０，５の係数としてη_０を設定することを意味する。

（Ｓ１２５：要素Ｃ生成ステップ）
暗号要素生成部２３２は、数１４０に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素Ｃ_１，ｊと要素Ｃ_２，ｊとを生成する。

（Ｓ１２６：要素ｃ_３生成ステップ）
暗号要素生成部２３２は、数１４１に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素ｃ_３を生成する。

（Ｓ１２７：データ送信ステップ）
データ送信部２４０は、Ｓ１２２で入力したベクトルｘ^→と、Ｓ１２４で生成した要素ｃ_０と、Ｓ１２５で生成した要素Ｃ_１，ｊ，Ｃ_２，ｊと、Ｓ１２６で生成した要素ｃ_３とを要素とする暗号文ｃｔ_ｘ→を、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_ｘ→は、他の方法により復号装置３００へ送信されてもよい。

つまり、Ｓ１２１からＳ１２６において、暗号化装置２００は、数１４２に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘ→を生成する。そして、Ｓ１２７において、暗号化装置２００は、生成された暗号文ｃｔ_ｘ→を復号装置３００へ送信する。

復号装置３００について説明する。
図５に示すように、復号装置３００は、復号鍵取得部３１０、データ受信部３２０、ペアリング演算部３３０、メッセージ計算部３４０を備える。

図９に基づき、Ｄｅｃアルゴリズムの処理について説明する。
（Ｓ１３１：復号鍵取得ステップ）
復号鍵取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００から配布されたｓｋ_ｖ→を取得する。
また、復号鍵取得部３１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。

（Ｓ１３２：データ受信ステップ）
データ受信部３２０は、例えば、通信装置によりネットワークを介して、暗号化装置２００が送信した暗号文ｃｔ_ｘ→を受信する。

（Ｓ１３３：値Ｄ^＊ _ｊ計算ステップ）
ペアリング演算部３３０は、数１４３に示すように、処理装置により値Ｄ^＊ _ｊを計算する。

ここで、要素ｋ^＊ _１は、（Ｋ^＊ _１，．．．，Ｋ^＊ _４ｎ）∈Ｇ^４ｎの４ｎ組に分解される。

（Ｓ１３４：ペアリング演算ステップ）
ペアリング演算部３３０は、数１４４に示すように、処理装置によりペアリング演算を実行して、値Ｆを計算する。

（Ｓ１３５：メッセージ計算ステップ）
メッセージ計算部３４０は、数１４５に示すように、処理装置によりメッセージｍ’を計算する。

つまり、Ｓ１３１からＳ１３５において、復号装置３００は、数１４６に示すＤｅｃアルゴリズムを実行して、メッセージｍ’を計算する。

なお、数１３３からＢ_１：＝（ｂ_１，１，．．．，ｂ_１，４ｎ）は、｛Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}によって特定される。また、Ｓｅｔｕｐアルゴリズムの出力に含まれる｛Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ＝１，４；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、Ｂ＾_１：＝（ｂ_１，１，．．．，ｂ_１，ｎ，ｂ_{１，３ｎ＋１}，．．．，ｂ_１，４ｎ）によって特定される。
そして、Ｄｅｃアルゴリズムは、数１４７に示すＤｅｃ’アルゴリズムのように記述することができる。

数１４８に示すように、Ｄｅｃ'アルゴリズムを用いた場合、ｘ^→・ｖ^→≠０であれば、Ｆ＝ｇ^ζ _Ｔが得られる。そのため、ｃ_３＝ｇ^ζ _ＴｍをＦで除することにより、メッセージｍ’（＝ｍ）が得られる。

実施の形態２で説明した非零内積暗号方式では、暗号文ｃｔ_ｘ→は、数１３９に示す要素ｃ_０で５個と、数１４０に示す、ｊ＝１，．．．，４の各整数ｊについての要素Ｃ_１，ｊ及び要素Ｃ_２，ｊで８個との合計１３個のＧの要素を含む。また、数１４１に示す要素ｃ_３で１個のＧ_Ｔの要素を含む。つまり、暗号文ｃｔ_ｘ→は、ｎについて定数サイズである。

また、実施の形態２で説明した非零内積暗号方式では、復号処理（Ｄｅｃアルゴリズム）は、数１４４に示すｅ（ｃ_０，ｋ^＊ _０）で５個と、Π_ｊ＝１ ^４（ｅ（Ｃ_１，ｊ，Ｄ^＊ _ｊ）・ｅ（Ｃ_２，ｊ，Ｋ^＊ _ｊｎ））で８個との合計１３個のみペアリング演算を実行する。つまり、復号処理は、少ない数のペアリング演算のみ必要となる。

実施の形態３．
実施の形態３では、秘密鍵のサイズを定数サイズとした非零内積暗号方式について説明する。

鍵生成装置１００、暗号化装置２００、復号装置３００の構成は、それぞれ図３、図４、図５に示す実施の形態２に係る鍵生成装置１００、暗号化装置２００、復号装置３００の構成と同一である。
図１０と図１１とは、実施の形態３に係る鍵生成装置１００の動作を示すフローチャートである。なお、図１０は、実施の形態３に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１１は、実施の形態３に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１２は、実施の形態３に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態３に係るＥｎｃアルゴリズムの処理を示すフローチャートである。図１３は、実施の形態３に係る復号装置３００の動作を示すフローチャートであり、実施の形態３に係るＤｅｃアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、入力されるベクトルｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）は、Ｌ＝１，．．．，ｎ−１の各整数Ｌについてｖ_Ｌ≠０であり、入力されるベクトルｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）は、ｘ_ｎ≠０であるとする。

鍵生成装置１００について説明する。
図１０に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
Ｓ２０１からＳ２０２までの処理は、図６に示すＳ１０１からＳ１０２までの処理と同じである。

（Ｓ２０３：基底Ｂ生成ステップ）
基底生成部１１３は、実施の形態２における基底Ｂ_０と変数Ｂ_ｉ，ｊと同様に、数１４９に示すように、処理装置により基底Ｄ_０と変数Ｄ_ｉ，ｊと変数Ｄ’_{ｉ，ｊ，Ｌ}とを生成する。

また、基底生成部１１３は、実施の形態２における基底Ｂ^＊ _０と基底Ｂ^＊ _１と同様に、数１５０に示すように、処理装置により基底Ｄ^＊ _０と基底Ｄ^＊ _１とを生成する。

そして、基底生成部１１３は、基底Ｄ^＊ _０を基底Ｂ_０とし、基底Ｄ_０を基底Ｂ^＊ _０とし、基底Ｄ^＊ _１を基底Ｂ_１とする。また、基底生成部１１３は、ｉ，ｊ＝１，．．．，４の各整数ｉ，ｊと、Ｌ＝１，．．．，ｎの各整数Ｌとについて、変数Ｄ_ｉ，ｊを変数Ｂ^＊ _ｉ，ｊとし、変数Ｄ’_{ｉ，ｊ，Ｌ}を変数Ｂ’^＊ _{ｉ，ｊ，Ｌ}とする。

（Ｓ２０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、数１５１に示すように、処理装置により基底Ｂ＾_０と、基底Ｂ＾_１と、基底Ｂ＾^＊ _０とを生成する。

（Ｓ２０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，｛Ｂ＾_ｔ｝_{ｔ＝０，１}）とし、マスター秘密鍵ｓｋ：＝Ｂ＾^＊ _０，｛Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ＝１，３；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（｛ｐａｒａｍ_Ｖｔ｝_{ｔ＝０，１}，ｇ_Ｔ）である。

つまり、Ｓ２０１からＳ２０５において、鍵生成装置１００は、数１５２に示すアルゴリズムＧ^（２） _ｏｂを用いた、数１５３に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。ここで、数１５２に示すように、アルゴリズムＧ^（２） _ｏｂは、数１３１に示すアルゴリズムＧ^（１） _ｏｂを用いる。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

図１１に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
Ｓ２１１からＳ２１３までの処理は、図７に示すＳ１１１からＳ１１３までの処理と同じである。

（Ｓ２１４：要素Ｋ^＊生成ステップ）
鍵要素生成部１４２は、数１５４に示すように、処理装置により復号鍵ｓｋ_ｖ→の要素である要素Ｋ^＊ _１，ｊと要素Ｋ^＊ _２，ｊとを生成する。

（Ｓ２１５：鍵配布ステップ）
鍵配布部１５０は、Ｓ２１１で入力したベクトルｖ^→と、Ｓ２１３で生成した要素ｋ^＊ _０と、Ｓ２１４で生成した要素Ｋ^＊ _１，ｊ，Ｋ^＊ _２，ｊとを要素とする復号鍵ｓｋ_ｖ→を、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_ｖ→は、他の方法により復号装置３００へ配布されてもよい。

つまり、Ｓ２１１からＳ２１４において、鍵生成装置１００は、数１５５に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ｖ→を生成する。そして、Ｓ２１５において、鍵生成装置１００は、生成された復号鍵ｓｋ_ｖ→を復号装置３００へ配布する。

暗号化装置２００について説明する。
図１２に基づき、Ｅｎｃアルゴリズムの処理について説明する。
Ｓ２２１からＳ２２４までの処理は、図８に示すＳ１２１からＳ１２４までの処理と同じである。

（Ｓ２２５：要素ｃ_１生成ステップ）
暗号要素生成部２３２は、数１５６に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素ｃ_１を生成する。

数１５６は、数１３５と同様に、基底Ｂ_１の基底ベクトルｂ^＊ _１，１，．．．，ｂ^＊ _１，ｎの係数としてωｘ_１，．．．，ωｘ_ｎを設定し、基底ベクトルｂ^＊ _{１，ｎ＋１}，．．．，ｂ^＊ _１，３ｎの係数として０を設定し、基底ベクトルｂ^＊ _{１，３ｎ＋１}，．．．，ｂ^＊ _１，４ｎの係数としてη_１ｘ_１，．．．，η_１ｘ_ｎを設定することを意味する。

Ｓ２２６の処理は、図８に示すＳ１２６の処理と同じである。

（Ｓ２２７：データ送信ステップ）
データ送信部２４０は、Ｓ２２２で入力したベクトルｘ^→と、Ｓ２２４で生成した要素ｃ_０と、Ｓ２２５で生成した要素ｃ_１と、Ｓ２２６で生成した要素ｃ_３とを要素とする暗号文ｃｔ_ｘ→を、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_ｘ→は、他の方法により復号装置３００へ送信されてもよい。

つまり、Ｓ２２１からＳ２２６において、暗号化装置２００は、数１５７に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘ→を生成する。そして、Ｓ２２７において、暗号化装置２００は、生成された暗号文ｃｔ_ｘ→を復号装置３００へ送信する。

復号装置３００について説明する。
図１３に基づき、Ｄｅｃアルゴリズムの処理について説明する。
Ｓ２３１からＳ２３２までの処理は、図９に示すＳ１３１からＳ１３２までの処理と同じである。

（Ｓ２３３：値Ｄ_ｊ計算ステップ）
ペアリング演算部３３０は、数１５８に示すように、処理装置により値Ｄ_ｊを計算する。

ここで、要素ｃ_１は、（Ｃ_１，．．．，Ｃ_４ｎ）∈Ｇ^４ｎの４ｎ組に分解される。

（Ｓ２３４：ペアリング演算ステップ）
ペアリング演算部３３０は、数１５９に示すように、処理装置によりペアリング演算を実行して、値Ｆを計算する。

Ｓ２３５の処理は、図９に示すＳ１３５の処理と同じである。

つまり、Ｓ２３１からＳ２３５において、復号装置３００は、数１６０に示すＤｅｃアルゴリズムを実行して、メッセージｍ’を計算する。

なお、Ｂ^＊ _１：＝（ｂ^＊ _１，１，．．．，ｂ^＊ _１，４ｎ）は、｛Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}によって特定される。また、Ｓｅｔｕｐアルゴリズムの出力に含まれる｛Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ＝１，３；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、Ｂ＾^＊ _１：＝（ｂ^＊ _１，１，．．．，ｂ^＊ _１，ｎ，ｂ^＊ _{１，２ｎ＋１}，．．．，ｂ^＊ _１，３ｎ）によって特定される。
そして、Ｄｅｃアルゴリズムは、数１６１に示すＤｅｃ’アルゴリズムのように記述することができる。

実施の形態３で説明した非零内積暗号方式では、復号鍵ｓｋ_ｖ→は、数１３５に示す要素ｋ^＊ _０で５個と、数１５４に示す、ｊ＝１，．．．，４の各整数ｊについての要素Ｋ^＊ _１，ｊ及び要素Ｋ^＊ _２，ｊで８個との合計１３個のＧの要素を含む。つまり、復号鍵ｓｋ_ｖ→は、ｎについて定数サイズである。

また、実施の形態３で説明した非零内積暗号方式では、復号処理（Ｄｅｃアルゴリズム）は、数１５９に示すｅ（ｃ_０，ｋ^＊ _０）で５個と、Π_ｊ＝１ ^４（ｅ（Ｄ_ｊ，Ｋ^＊ _１，ｊ）・ｅ（Ｃ_ｊｎ，Ｋ^＊ _２，ｊ））で８個との合計１３個のみペアリング演算を実行する。つまり、復号処理は、少ない数のペアリング演算のみ必要となる。

実施の形態４．
実施の形態４では、暗号文のサイズを定数サイズとした零内積暗号方式について説明する。

鍵生成装置１００、暗号化装置２００、復号装置３００の構成は、それぞれ図３、図４、図５に示す実施の形態２に係る鍵生成装置１００、暗号化装置２００、復号装置３００の構成と同一である。
図１４と図１５とは、実施の形態４に係る鍵生成装置１００の動作を示すフローチャートである。なお、図１４は、実施の形態４に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１５は、実施の形態４に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１６は、実施の形態４に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態４に係るＥｎｃアルゴリズムの処理を示すフローチャートである。図１７は、実施の形態４に係る復号装置３００の動作を示すフローチャートであり、実施の形態４に係るＤｅｃアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、入力されるベクトルｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）は、Ｌ＝１，．．．，ｎ−１の各整数Ｌについてｘ_Ｌ≠０であり、入力されるベクトルｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）は、ｖ_ｎ≠０であるとする。

鍵生成装置１００について説明する。
図１４に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
（Ｓ３０１：空間生成ステップ）
空間生成部１１１は、セキュリティパラメータ１^λを入力として、処理装置によりＧ_ｂｐｇを実行して、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇ：＝（ｑ，Ｇ，Ｇ_Ｔ，ｇ，ｅ）を生成する。
さらに、空間生成部１１１は、Ｎ：＝４ｎ＋１を設定する。そして、空間生成部１１１は、セキュリティパラメータ１^λと、Ｎと、対称双線形ペアリング群のパラメータｐａｒａｍ_Ｇとを入力として、処理装置によりＧ_ｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍ_Ｖｔ：＝（ｑ，Ｖ，Ｇ_Ｔ，Ａ，ｅ）を生成する。

（Ｓ３０２：線形変換生成ステップ）
行列生成部１１２は、数１６２に示すように、処理装置により線形変換Ｘを生成する。

数１６２におけるＬ’（Ｎ，Ｆ_ｑ）は、数１６３に示す通りである。

なお、以下、｛χ_０，０，χ_０，ｊ，χ_{ｉ，０，Ｌ}，μ_ｉ，ｊ，μ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、線形変換Ｘにおける定数値０以外の要素を示す。

（Ｓ３０３：基底Ｂ生成ステップ）
基底生成部１１３は、数１６４に示すように、処理装置により変数Ｂ_０，０と変数Ｂ_０，ｊと変数Ｂ_{ｉ，０，Ｌ}と変数Ｂ_ｉ，ｊと変数Ｂ’_{ｉ，ｊ，Ｌ}とを生成する。

また、基底生成部１１３は、数１６５に示すように、処理装置により基底Ｂ^＊を生成する。

（Ｓ３０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、数１６６に示すように、処理装置により基底Ｂ＾^＊を生成する。

（Ｓ３０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，Ｂ＾_０，｛Ｂ_０，０，Ｂ_０，ｊ，Ｂ_{ｉ，０，Ｌ}，Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ＝１，４；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}）とし、マスター秘密鍵ｓｋ：＝Ｂ＾^＊とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（ｐａｒａｍ_Ｖ，ｇ_Ｔ）である。

つまり、Ｓ３０１からＳ３０５において、鍵生成装置１００は、数１６７に示すアルゴリズムＧ^（３） _ｏｂを用いた、数１６８に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

図１５に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
Ｓ３１１の処理は、図７に示すＳ１１１の処理と同じである。

（Ｓ３１２：乱数生成ステップ）
乱数生成部１４１は、数１６９に示すように、処理装置により乱数を生成する。

（Ｓ３１３：要素ｋ^＊生成ステップ）
鍵要素生成部１４２は、数１７０に示すように、処理装置により復号鍵ｓｋ_ｖ→の要素である要素ｋ^＊を生成する。

数１７０は、数１３５と同様に、基底Ｂ^＊の基底ベクトルｂ^＊ _０の係数として１を設定し、基底ベクトルｂ^＊ _１，．．．，ｂ^＊ _ｎの係数としてδｖ_１，．．．，δｖ_ｎを設定し、基底ベクトルｂ^＊ _ｎ＋１，．．．，ｂ^＊ _２ｎの係数として０を設定し、基底ベクトルｂ^＊ _２ｎ＋１，．．．，ｂ^＊ _３ｎの係数としてφｖ_１，．．．，φｖ_ｎを設定し、基底ベクトルｂ^＊ _３ｎ＋１，．．．，ｂ^＊ _４ｎの係数として０を設定することを意味する。

（Ｓ３１４：鍵配布ステップ）
鍵配布部１５０は、Ｓ３１３で生成した要素ｋ^＊を要素とする復号鍵ｓｋ_ｖ→を、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_ｖ→は、他の方法により復号装置３００へ配布されてもよい。

つまり、Ｓ３１１からＳ３１３において、鍵生成装置１００は、数１７１に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ｖ→を生成する。そして、Ｓ３１４において、鍵生成装置１００は、生成された復号鍵ｓｋ_ｖ→を復号装置３００へ配布する。

暗号化装置２００について説明する。
図１６に基づき、Ｅｎｃアルゴリズムの処理について説明する。
Ｓ３２１からＳ３２２までの処理は、図８に示すＳ１２１からＳ１２２までの処理と同じである。

（Ｓ３２３：乱数生成ステップ）
乱数生成部２３１は、数１７２に示すように、処理装置により乱数を生成する。

（Ｓ３２４：要素Ｃ生成ステップ）
暗号要素生成部２３２は、数１７３に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素Ｃ_０と要素Ｃ_１，ｊと要素Ｃ_２，ｊとを生成する。

Ｓ３２５の処理は、図８に示すＳ１２６の処理と同じである。

（Ｓ３２６：データ送信ステップ）
データ送信部２４０は、Ｓ３２２で入力したベクトルｘ^→と、Ｓ３２４で生成した要素Ｃ_０，Ｃ_１，ｊ，Ｃ_２，ｊと、Ｓ３２５で生成した要素ｃ_３とを要素とする暗号文ｃｔ_ｘ→を、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_ｘ→は、他の方法により復号装置３００へ送信されてもよい。

つまり、Ｓ３２１からＳ３２５において、暗号化装置２００は、数１７４に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘ→を生成する。そして、Ｓ３２６において、暗号化装置２００は、生成された暗号文ｃｔ_ｘ→を復号装置３００へ送信する。

復号装置３００について説明する。
図１７に基づき、Ｄｅｃアルゴリズムの処理について説明する。
Ｓ３３１からＳ３３２までの処理は、図９に示すＳ１３１からＳ１３２までの処理と同じである。

（Ｓ３３３：値Ｄ^＊ _ｊ計算ステップ）
ペアリング演算部３３０は、数１７５に示すように、処理装置により値Ｄ^＊ _ｊを計算する。

ここで、要素ｋ^＊は、（Ｋ^＊ _０，．．．，Ｋ^＊ _４ｎ）∈Ｇ^４ｎ＋１の（４ｎ＋１）組に分解される。

（Ｓ３３４：ペアリング演算ステップ）
ペアリング演算部３３０は、数１７６に示すように、処理装置によりペアリング演算を実行して、値Ｆを計算する。

Ｓ３３５の処理は、図９に示すＳ１３５の処理と同じである。

つまり、Ｓ３３１からＳ３３５において、復号装置３００は、数１７７に示すＤｅｃアルゴリズムを実行して、メッセージｍ’を計算する。

なお、Ｂ：＝（ｂ_０，．．．，ｂ_４ｎ）は、｛Ｂ_０，０，Ｂ_０，ｊ，Ｂ_{ｉ，０，Ｌ}，Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}によって特定される。また、Ｓｅｔｕｐアルゴリズムの出力に含まれる｛Ｂ_０，０，Ｂ_０，ｊ，Ｂ_{ｉ，０，Ｌ}，Ｂ_ｉ，ｊ，Ｂ’_{ｉ，ｊ，Ｌ}｝_{ｉ＝１，４；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、Ｂ＾：＝（ｂ_０，．．．，ｂ_ｎ，ｂ_３ｎ＋１，．．．，ｂ_４ｎ）によって特定される。
そして、Ｄｅｃアルゴリズムは、数１７８に示すＤｅｃ’アルゴリズムのように記述することができる。

数１７９に示すように、Ｄｅｃ'アルゴリズムを用いた場合、ｘ^→・ｖ^→＝０であれば、Ｆ＝ｇ^ζ _Ｔが得られる。そのため、ｃ_３＝ｇ^ζ _ＴｍをＦで除することにより、メッセージｍ’（＝ｍ）が得られる。

実施の形態４で説明した零内積暗号方式では、暗号文ｃｔ_ｘ→は、数１７３に示す要素Ｃ_０で１個と、ｊ＝１，．．．，４の各整数ｊについての要素Ｃ_１，ｊ及び要素Ｃ_２，ｊで８個との合計９個のＧの要素を含む。また、要素ｃ_３で１個のＧ_Ｔの要素を含む。つまり、暗号文ｃｔ_ｘ→は、ｎについて定数サイズである。

また、実施の形態４で説明した零内積暗号方式では、復号処理（Ｄｅｃアルゴリズム）は、数１７６に示すｅ（Ｃ_０，Ｋ^＊ _０）で１個と、Π_ｊ＝１ ^４（ｅ（Ｃ_１，ｊ，Ｄ^＊ _ｊ）・ｅ（Ｃ_２，ｊ，Ｋ^＊ _ｊｎ））で８個との合計９個のみペアリング演算を実行する。つまり、復号処理は、少ない数のペアリング演算のみ必要となる。

実施の形態５．
実施の形態５では、秘密鍵のサイズを定数サイズとした零内積暗号方式について説明する。

鍵生成装置１００、暗号化装置２００、復号装置３００の構成は、それぞれ図３、図４、図５に示す実施の形態２に係る鍵生成装置１００、暗号化装置２００、復号装置３００の構成と同一である。
図１８と図１９とは、実施の形態５に係る鍵生成装置１００の動作を示すフローチャートである。なお、図１８は、実施の形態５に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１９は、実施の形態５に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図２０は、実施の形態５に係る暗号化装置２００の動作を示すフローチャートであり、実施の形態５に係るＥｎｃアルゴリズムの処理を示すフローチャートである。図２１は、実施の形態５に係る復号装置３００の動作を示すフローチャートであり、実施の形態５に係るＤｅｃアルゴリズムの処理を示すフローチャートである。

なお、以下の説明において、入力されるベクトルｖ^→：＝（ｖ_１，．．．，ｖ_ｎ）は、Ｌ＝１，．．．，ｎ−１の各整数Ｌについてｖ_Ｌ≠０であり、入力されるベクトルｘ^→：＝（ｘ_１，．．．，ｘ_ｎ）は、ｘ_ｎ≠０であるとする。

鍵生成装置１００について説明する。
図１８に基づき、Ｓｅｔｕｐアルゴリズムの処理について説明する。
Ｓ４０１からＳ４０２までの処理は、図１４に示すＳ３０１からＳ３０２までの処理と同じである。

（Ｓ４０３：基底Ｂ生成ステップ）
基底生成部１１３は、実施の形態４における変数Ｂ_０，０と変数Ｂ_０，ｊと変数Ｂ_{ｉ，０，Ｌ}と変数Ｂ_ｉ，ｊと変数Ｂ’_{ｉ，ｊ，Ｌ}と同様に、数１８０に示すように、処理装置により変数Ｄ_０，０と変数Ｄ_０，ｊと変数Ｄ_{ｉ，０，Ｌ}と変数Ｄ_ｉ，ｊと変数Ｄ’_{ｉ，ｊ，Ｌ}とを生成する。

また、基底生成部１１３は、実施の形態４における基底Ｂ^＊と同様に、数１８１に示すように、処理装置により基底Ｄ^＊を生成する。

そして、基底生成部１１３は、基底Ｄ^＊を基底Ｂとする。また、基底生成部１１３は、ｉ，ｊ＝１，．．．，４の各整数ｉ，ｊと、Ｌ＝１，．．．，ｎの各整数Ｌとについて、変数Ｄ_０，０を変数Ｂ^＊ _０，０とし、変数Ｄ_０，ｊを変数Ｂ^＊ _０，ｊとし、変数Ｄ_{ｉ，０，Ｌ}を変数Ｂ^＊ _{ｉ，０，Ｌ}とし、変数Ｄ_ｉ，ｊを変数Ｂ^＊ _ｉ，ｊとし、変数Ｄ’_{ｉ，ｊ，Ｌ}を変数Ｂ’^＊ _{ｉ，ｊ，Ｌ}とする。

（Ｓ４０４：基底Ｂ＾生成ステップ）
鍵生成部１１４は、数１８２に示すように、処理装置により基底Ｂ＾を生成する。

（Ｓ４０５：マスター鍵生成ステップ）
鍵生成部１１４は、処理装置により公開パラメータｐｋ：＝（１^λ，ｐａｒａｍ_ｎ，Ｂ＾）とし、マスター秘密鍵ｓｋ：＝（｛Ｂ^＊ _０，０，Ｂ^＊ _０，ｊ，Ｂ^＊ _{ｉ，０，Ｌ}，Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ＝１，３；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}）とする。そして、鍵生成部１１４は、公開パラメータｐｋと、マスター秘密鍵ｓｋとをマスター鍵記憶部１２０に記憶する。
なお、ｐａｒａｍ_ｎ：＝（ｐａｒａｍ_Ｖ，ｇ_Ｔ）である。

つまり、Ｓ４０１からＳ４０５において、鍵生成装置１００は、数１８３に示すアルゴリズムＧ^（４） _ｏｂを用いた、数１８４に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター秘密鍵ｓｋとを生成する。ここで、数１８３に示すように、アルゴリズムＧ^（４） _ｏｂは、数１６７に示すアルゴリズムＧ^（３） _ｏｂを用いる。

なお、公開パラメータは、例えば、ネットワークを介して公開され、暗号化装置２００や復号装置３００が取得可能な状態にされる。

図１９に基づき、ＫｅｙＧｅｎアルゴリズムの処理について説明する。
Ｓ４１１からＳ４１２までの処理は、図１５に示すＳ３１１からＳ３１２までの処理と同じである。

（Ｓ４１３：要素Ｋ^＊生成ステップ）
鍵要素生成部１４２は、数１８５に示すように、処理装置により復号鍵ｓｋ_ｖ→の要素である要素Ｋ^＊ _０と要素Ｋ^＊ _１，ｊと要素Ｋ^＊ _２，ｊとを生成する。

（Ｓ４１４：鍵配布ステップ）
鍵配布部１５０は、Ｓ４１１で入力したベクトルｖ^→と、Ｓ３１３で生成した要素Ｋ^＊ _０，Ｋ^＊ _１，ｊ，Ｋ^＊ _２，ｊとを要素とする復号鍵ｓｋ_ｖ→を、例えば通信装置によりネットワークを介して秘密裡に復号装置３００へ配布する。もちろん、復号鍵ｓｋ_ｖ→は、他の方法により復号装置３００へ配布されてもよい。

つまり、Ｓ４１１からＳ４１３において、鍵生成装置１００は、数１８６に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ｖ→を生成する。そして、Ｓ４１４において、鍵生成装置１００は、生成された復号鍵ｓｋ_ｖ→を復号装置３００へ配布する。

暗号化装置２００について説明する。
図２０に基づき、Ｅｎｃアルゴリズムの処理について説明する。
Ｓ４２１からＳ４２３までの処理は、図１６に示すＳ３２１からＳ３２３までの処理と同じである。

（Ｓ４２４：要素ｃ生成ステップ）
暗号要素生成部２３２は、数１８７に示すように、処理装置により暗号文ｃｔ_ｘ→の要素である要素ｃを生成する。

数１８７は、数１３５と同様に、基底Ｂの基底ベクトルｂ_０の係数としてζを設定し、基底ベクトルｂ_１，．．．，ｂ_ｎの係数としてωｘ_１，．．．，ωｘ_ｎを設定し、基底ベクトルｂ_ｎ＋１，．．．，ｂ_３ｎの係数として０を設定し、基底ベクトルｂ_３ｎ＋１，．．．，ｂ_４ｎの係数としてηｘ_１，．．．，ηｘ_ｎを設定することを意味する。

Ｓ４２５の処理は、図１６に示すＳ３２５の処理と同じである。

（Ｓ４２６：データ送信ステップ）
データ送信部２４０は、Ｓ４２２で入力したベクトルｘ^→と、Ｓ４２４で生成した要素ｃと、Ｓ４２５で生成した要素ｃ_３とを要素とする暗号文ｃｔ_ｘ→を、例えば通信装置によりネットワークを介して復号装置３００へ送信する。もちろん、暗号文ｃｔ_ｘ→は、他の方法により復号装置３００へ送信されてもよい。

つまり、Ｓ４２１からＳ４２５において、暗号化装置２００は、数１８８に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ｘ→を生成する。そして、Ｓ４２６において、暗号化装置２００は、生成された暗号文ｃｔ_ｘ→を復号装置３００へ送信する。

復号装置３００について説明する。
図２１に基づき、Ｄｅｃアルゴリズムの処理について説明する。
Ｓ４３１からＳ４３２までの処理は、図１７に示すＳ３３１からＳ３３２までの処理と同じである。

（Ｓ４３３：値Ｄ_ｊ計算ステップ）
ペアリング演算部３３０は、数１８９に示すように、処理装置により値Ｄ_ｊを計算する。

ここで、要素ｃは、（Ｃ^＊ _０，．．．，Ｃ^＊ _４ｎ）∈Ｇ^４ｎ＋１の（４ｎ＋１）組に分解される。

（Ｓ４３４：ペアリング演算ステップ）
ペアリング演算部３３０は、数１９０に示すように、処理装置によりペアリング演算を実行して、値Ｆを計算する。

Ｓ４３５の処理は、図１７に示すＳ３３５の処理と同じである。

つまり、Ｓ４３１からＳ４３５において、復号装置３００は、数１９１に示すＤｅｃアルゴリズムを実行して、メッセージｍ’を計算する。

なお、Ｂ^＊：＝（ｂ^＊ _０，．．．，ｂ^＊ _４ｎ）は、｛Ｂ^＊ _０，０，Ｂ^＊ _０，ｊ，Ｂ^＊ _{ｉ，０，Ｌ}，Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ，ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}によって特定される。また、Ｓｅｔｕｐアルゴリズムの出力に含まれる｛Ｂ^＊ _０，０，Ｂ^＊ _０，ｊ，Ｂ^＊ _{ｉ，０，Ｌ}，Ｂ^＊ _ｉ，ｊ，Ｂ’^＊ _{ｉ，ｊ，Ｌ}｝_{ｉ＝１，３；ｊ＝１，．．．，４；Ｌ＝１，．．．，ｎ}は、Ｂ＾^＊：＝（ｂ^＊ _０，．．．，ｂ^＊ _ｎ，ｂ^＊ _２ｎ＋１，．．．，ｂ^＊ _３ｎ）によって特定される。
そして、Ｄｅｃアルゴリズムは、数１９２に示すＤｅｃ’アルゴリズムのように記述することができる。

実施の形態５で説明した零内積暗号方式では、復号鍵ｓｋ_ｖ→は、数１８５に示す要素Ｋ^＊ _０で１個と、ｊ＝１，．．．，４の各整数ｊについての要素Ｋ^＊ _１，ｊ及び要素Ｋ^＊ _２，ｊで８個との合計９個のＧの要素を含む。つまり、復号鍵ｓｋ_ｖ→は、ｎについて定数サイズである。

また、実施の形態５で説明した零内積暗号方式では、復号処理（Ｄｅｃアルゴリズム）は、数１９０に示すｅ（Ｃ_０，Ｋ^＊ _０）で１個と、Π_ｊ＝１ ^４（ｅ（Ｄ_ｊ，Ｋ^＊ _１，ｊ）・ｅ（Ｃ_ｊｎ，Ｋ^＊ _２，ｊ））で８個との合計９個のみペアリング演算を実行する。つまり、復号処理は、少ない数のペアリング演算のみ必要となる。

なお、以上の実施の形態では、図２（ｂ）に示す線形変換Ｘを用いた。しかし、線形変換Ｘは、図２（ｂ）に示すものに限らない。例えば、図２（ｂ）における斜線が入れられた四角が示す部分をそれぞれ異なる値としてもよい。また、図２（ｂ）では、Ｎ列における全ての成分を定数値０以外の乱数としたが、Ｎ列ではなく、他のいずれか少なくとも１列における全ての成分を定数値０以外の乱数としてもよい。
より一般的には、線形変換Ｘは、各行各列に少なくとも１つは定数値０以外の値を有する疎行列であればよい。さらに、線形変換Ｘは、ｎ行ｎ列の行列である場合、定数値０以外の値として、少なくともｎ個の異なる値を有しているとよい。さらに、線形変換Ｘは、少なくとも１つの列における全ての成分が定数値０以外の値であるとよい。さらに、線形変換Ｘは、対角成分と、少なくとも１つの列における全ての成分が定数値０以外の値であるとよい。さらに、線形変換Ｘは、全ての成分が定数値０以外の値である列を除き、対角成分の値が同一であるとよい。
このような線形変換Ｘを用いた場合であっても、従来の線形変換Ｘを用いた場合に比べ、公開パラメータと秘密鍵とのサイズは小さくなる。また、ユーザ鍵の生成や暗号化の処理の処理時間も短くなる。
但し、線形変換Ｘの形式によっては、ペアリング演算の数を減らすことができない場合もある。

以上の実施の形態では、ベクトル空間は、符号化部と、秘匿部と、秘密鍵ランダム化部と、暗号文ランダム化部とのための４つの直交する部分空間で構成した。そして、これに対応するため、数１２４に示すように、線形変換Ｘを、ｎ行ｎ列の行列Ｘ_ｉ，ｊ（ｉ，ｊ＝１，．．．，４）を用いて構成した。線形変換Ｘのこの構成は、秘匿部と秘密鍵ランダム化部と暗号文ランダム化部との部分空間が、符号化部の部分空間と同じｎ次元であることを前提としている。
しかし、秘匿部と秘密鍵ランダム化部と暗号文ランダム化部との部分空間は、符号化部の部分空間と同じｎ次元でなくてもよい。例えば、秘匿部の部分空間はｎ×ｕ次元、秘密鍵ランダム化部の部分空間はｎ×ｗ次元、暗号文ランダム化部の部分空間はｎ×ｚ次元（ｕ，ｗ，ｚは０以上の整数）であってもよい。この場合、数１９３に示すように、線形変換Ｘを、ｎ行ｎ列の行列Ｘ_ｉ，ｊ（ｉ，ｊ＝１，．．．，１＋ｕ＋ｗ＋ｚ）を用いて構成すればよい。

関数型暗号の一種として、ＩＤベースレボケーション（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｒｅｖｏｃａｔｉｏｎ，ＩＢＲ）やＩＤベースブロードキャスト暗号（Ｉｄｅｎｔｉｔｙ−Ｂａｓｅｄ Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ，ＩＢＢＥ）がある（非特許文献１，５，６，８，１９，１２参照）。
ＩＤベースレボケーションでは、暗号文は識別子の集合Ｓ＝（ＩＤ_１，．．．，ＩＤ_ｎ）に対して暗号化され、ＩＤ∈ＳでないＩＤと関連付けられた秘密鍵によって暗号文は復号される。つまり、復号には、ＩＤ∈Ｓでない場合に限り、Ｒ^ＩＢＲ（ＩＤ，Ｓ）＝１であることが必要である。
ＩＤベースブロードキャスト暗号では、暗号文は識別子の集合Ｓ＝（ＩＤ_１，．．．，ＩＤ_ｎ）に対して暗号化され、ＩＤ∈ＳであるＩＤと関連付けられた秘密鍵によって暗号文は復号される。つまり、復号には、ＩＤ∈Ｓである場合に限り、Ｒ^ＩＢＢＥ（ＩＤ，Ｓ）＝１であることが必要である。

Ｓ：＝｛ＩＤ_１，．．．，ＩＤ_ｎ｝である場合に、Ｓ（Ｘ）：＝Σ_ｉ＝０ ^ｎｖ_ｉＸ^ｉ：＝Π_ｉ＝１ ^ｎ（Ｘ−ＩＤ_ｉ）とする。そして、ベクトルｖ^→：＝（ｖ_０，ｖ_１，．．．，ｖ_ｎ）とし、ベクトルｘ^→：＝（１，ＩＤ，．．．，ＩＤ^ｎ）とする。
すると、実施の形態２，３で説明した非零内積暗号方式は、ＩＤベースレボケーション方式となり、実施の形態４，５で説明した零内積暗号方式は、ＩＤベースブロードキャスト暗号方式となる。
つまり、以上の実施の形態で説明した内積暗号方式により、ＩＤベースレボケーション方式及びＩＤベースブロードキャスト暗号方式を実現できる。この場合においても、暗号文又は復号鍵をｎについての定数サイズとすることができ、少ない数のペアリング演算で復号することができる。

実施の形態２−４で説明した具体的な暗号方式以外にも、非特許文献１３、１５、１６、１７等で説明されている暗号方式に、上述した線形変換Ｘを適用することで、公開パラメータと秘密鍵とのサイズは小さくなる。また、ユーザ鍵の生成や暗号化の処理の処理時間も短くなる。

図２２は、実施の形態２−４で説明した非零内積暗号方式及び零内積暗号方式と、非特許文献２に記載された非零内積暗号方式及び零内積暗号方式とを比較した図である。
なお、図２２において、｜Ｇ｜、｜Ｇ_Ｔ｜、｜Ｆ_ｑ｜、Ｐ、Ｍは、それぞれＧのサイズ、Ｇ_Ｔのサイズ、Ｆ_ｑのサイズ、ペアリング演算、Ｇにおけるスカラー積演算を示している。また、ＣＴ、ＳＫ、ＩＰ、ＤＢＤＨは、それぞれ暗号文、秘密鍵（復号鍵）、内積、決定的双線形Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎを示している。

実施の形態６．
以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。実施の形態６では、双対加群において暗号処理を実現する方法について説明する。

つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数１９４のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。

以上の実施の形態で説明したアルゴリズムにおけるＦ_ｑをＲに変更すれば、双対加群における暗号処理を実現することができる。

次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００）のハードウェア構成について説明する。
図２３は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図である。
図２３に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。

ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。

磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「復号鍵生成部１４０」、「鍵配布部１５０」、「公開パラメータ取得部２１０」、「情報入力部２２０」、「暗号文生成部２３０」、「データ送信部２４０」、「復号鍵取得部３１０」、「データ受信部３２０」、「ペアリング演算部３３０」、「メッセージ計算部３４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、上記の説明において「公開パラメータｐｋ」、「マスター秘密鍵ｓｋ」、「復号鍵ｓｋ_ｖ→」、「暗号文ｃｔ_ｘ→」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
また、上記の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。また、「〜装置」として説明するものは、「〜回路」、「〜機器」、「〜手段」、「〜機能」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。さらに、「〜処理」として説明するものは「〜ステップ」であっても構わない。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「〜部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「〜部」の手順や方法をコンピュータ等に実行させるものである。

１０ 暗号処理システム、１００ 鍵生成装置、１１０ マスター鍵生成部、１１１ 空間生成部、１１２ 行列生成部、１１３ 基底生成部、１１４ 鍵生成部、１２０ マスター鍵記憶部、１３０ 情報入力部、１４０ 復号鍵生成部、１４１ 乱数生成部、１４２ 鍵要素生成部、１５０ 鍵配布部、２００ 暗号化装置、２１０ 公開パラメータ取得部、２２０ 情報入力部、２３０ 暗号文生成部、２３１ 乱数生成部、２３２ 暗号要素生成部、２４０ データ送信部、３００ 復号装置、３１０ 復号鍵取得部、３２０ データ受信部、３３０ ペアリング演算部、３４０ メッセージ計算部。

Claims (15)

1. 各行各列に少なくとも１つは定数値０以外の値を有する疎行列を用いて所定の基底Ａを変形して生成された基底Ｂと基底Ｂ^＊を利用し、暗号処理を行う暗号処理システムであり、
   前記基底Ｂにおけるベクトルであって、所定の情報を埋め込んだベクトルを暗号ベクトルとして生成する暗号化装置と、
   前記基底Ｂ^＊における所定のベクトルを鍵ベクトルとして、前記暗号化装置が生成した暗号ベクトルと前記鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して前記所定の情報に関する情報を抽出する復号装置と
   を備えることを特徴とする暗号処理システム。
2. 前記疎行列は、ｎ行ｎ列（ｎは２以上の整数）の行列であり、定数値０以外の値として、少なくともｎ個の異なる値を有する
   ことを特徴とする請求項１に記載の暗号処理システム。
3. 前記疎行列は、少なくとも１つの列における全ての成分が定数値０以外の値である
   ことを特徴とする請求項２に記載の暗号処理システム。
4. 前記疎行列は、対角成分と、少なくとも１つの列における全ての成分が定数値０以外の値である
   ことを特徴とする請求項３に記載の暗号処理システム。
5. 前記疎行列は、全ての成分が定数値０以外の値である列を除き、対角成分の値が同一である
   ことを特徴とする請求項４に記載の暗号処理システム。
6. 前記疎行列は、数１に示す行列である
   ことを特徴とする請求項５に記載の暗号処理システム。
   

   
7. 前記暗号処理システムは、１行１列からｎ行ｎ列までの値が数２に示す疎行列であるＮ行Ｎ列（Ｎはｎ以上の整数）の線形変換Ｘを用いて、数３に示すように前記基底Ａから生成された基底Ｂと基底Ｂ^＊とを用い、
   前記暗号化装置は、数４を含むベクトルを前記暗号ベクトルとして生成し、
   前記復号装置は、数５を含むベクトルｋ^＊を前記鍵ベクトルとして、前記暗号ベクトルを復号する
   ことを特徴とする請求項１に記載の暗号処理システム。
   

   

   

   

   
8. 前記数２に示す疎行列の値Ｂ_ｉ（ｉ＝１，．．．，ｎ−１）の値は同一の値Ｂであり、
   前記暗号化装置は、数６を含むベクトルＣ_１と数７を含むベクトルＣ_２とを含むベクトルを前記暗号ベクトルとして生成し、
   前記復号装置は、数８に示すＤ^＊を計算して、数９に示すペアリング演算を行う
   ことを特徴とする請求項７に記載の暗号処理システム。
   

   

   

   

   
9. 前記数２に示す疎行列の値Ｂ_ｉ（ｉ＝１，．．．，ｎ−１）の値は同一の値Ｂであり、
   前記暗号化装置は、数１０を含むベクトルＣ_１と数１１を含むベクトルＣ_２とを含むベクトルを前記暗号ベクトルとして生成し、
   前記復号装置は、数１２に示すＤ^＊を計算して、数１３に示すペアリング演算を行う
   ことを特徴とする請求項７に記載の暗号処理システム。
   

   

   

   

   
10. 前記暗号処理システムは、１行１列からｎ行ｎ列までの値が数１４に示す疎行列であるＮ行Ｎ列（Ｎはｎ以上の整数）の線形変換Ｘを用いて、数１５に示すように前記基底Ａから生成された基底Ｂと基底Ｂ^＊とを用い、
    前記暗号化装置は、数１６を含むベクトルｃを前記暗号ベクトルとして生成し、
    前記復号装置は、数１７を含むベクトルを前記鍵ベクトルとして、前記暗号ベクトルを復号する
    ことを特徴とする請求項１に記載の暗号処理システム。
    

    

    

    

    
11. 前記数１４に示す疎行列の値Ｂ_ｉ（ｉ＝１，．．．，ｎ−１）の値は同一の値Ｂであり、
    前記復号装置は、数１８を含むベクトルＫ^＊ _１と数１９を含むベクトルＫ^＊ _２とを含むベクトルを前記鍵ベクトルとして、数２０に示すＤを計算して、数２１に示すペアリング演算を行う
    ことを特徴とする請求項１０に記載の暗号処理システム。
    

    

    

    

    
12. 前記数１４に示す疎行列の値Ｂ_ｉ（ｉ＝１，．．．，ｎ−１）の値は同一の値Ｂであり、
    前記復号装置は、数２２を含むベクトルＫ^＊ _１と数２３を含むベクトルＫ^＊ _２とを含むベクトルを前記鍵ベクトルとして、数２４に示すＤを計算して、数２５に示すペアリング演算を行う
    ことを特徴とする請求項１０に記載の暗号処理システム。
    

    

    

    

    
13. 各行各列に少なくとも１つは０以外の値を有する疎行列を用いて所定の基底Ａを変形して生成された基底Ｂと基底Ｂ^＊を利用し、暗号処理を行う暗号処理方法であり、
    暗号化装置が、前記基底Ｂにおけるベクトルであって、所定の情報を埋め込んだベクトルを暗号ベクトルとして生成し、
    復号装置が、前記基底Ｂ^＊における所定のベクトルを鍵ベクトルとして、前記暗号化装置が生成した暗号ベクトルと前記鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して前記所定の情報に関する情報を抽出する
    ことを特徴とする暗号処理方法。
14. 各行各列に少なくとも１つは０以外の値を有する疎行列を用いて所定の基底Ａを変形して生成された基底Ｂと基底Ｂ^＊を利用し、暗号処理を行う暗号処理プログラムであり、
    前記基底Ｂにおけるベクトルであって、所定の情報を埋め込んだベクトルを暗号ベクトルとして生成する暗号化処理と、
    前記基底Ｂ^＊における所定のベクトルを鍵ベクトルとして、前記暗号化処理で生成した暗号ベクトルと前記鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して前記所定の情報に関する情報を抽出する復号処理と
    をコンピュータに実行させることを特徴とする暗号処理プログラム。
15. 公開鍵暗号における公開パラメータと秘密鍵とを生成する鍵生成装置であり、
    各行各列に少なくとも１つは０以外の値を有する疎行列を含む線形変換Ｘを生成する行列生成部と、
    前記行列生成部が生成した線形変換Ｘを用いて、所定の基底Ａから数２６に示すように基底Ｄと基底Ｄ^＊とを生成する基底生成部と、
    前記基底生成部が生成した前記基底Ｄと前記基底Ｄ^＊との一方の基底の少なくとも一部の基底ベクトルを公開パラメータとし、他方の基底の少なくとも一部の基底ベクトルを秘密鍵として生成するマスター鍵生成部と
    を備えることを特徴とする鍵生成装置。
    

    

Images