JP2014220661A - 証明装置、出力装置、検証装置、入力装置、証明方法、検証方法およびプログラム - Google Patents

Abstract

【課題】準同型暗号処理により平文を暗号化した対象暗号文が正当であることを、簡易に証明する。【解決手段】実施形態の証明装置は、コミットメント生成部と、レスポンス生成部と、を備える。コミットメント生成部は、ランダムに選択された検証値からコミットメント文を生成して、対象暗号文が正当であることを検証する検証装置へと送信する。レスポンス生成部は、取得したチャレンジ値と平文と検証値とを合成したレスポンス値を生成して、検証装置へと送信する。レスポンス生成部は、レスポンス値を用いた第一の演算の結果が、チャレンジ値と対象暗号文とコミットメント文とを第二の演算で処理した結果と同一となる第三の演算により、レスポンス値を生成する。【選択図】図２

Description

本発明の実施形態は、証明装置、出力装置、検証装置、入力装置、証明方法、検証方法およびプログラムに関する。

ある問題の解答を知っていることを検証するプロトコルとして、非対話ゼロ知識証明が知られている。この非対話ゼロ知識証明を公開鍵暗号に組み合わせることにより、暗号文の正当性を検証した後に暗号文を復号することができる。これにより、公開鍵暗号の安全性をより高くすることができる。

David Bernhard, Veronique Cortier, Olivier Pereira, Ben Smyth and Bogdan Warinschi, "Adapting Helios for provable ballot privacy", 16th European Symposium on Research in Computer Security 2011, LNCS 6879, Springer, pp.335-354 Moni Naor and Moti Yung, "Public-key cryptosystems provably secure against chosen ciphertext attacks", STOC 1990, pp.427-437, ACM Press, 1990

しかしながら、非対話ゼロ知識証明を公開鍵暗号と組み合わせると、暗号化および復号の処理に多くの計算コストを必要とするだけでなく、暗号文長も増大するという問題があった。

実施形態の証明装置は、準同型暗号処理により平文を暗号化した対象暗号文が正当であることを証明する。証明装置は、コミットメント生成部と、レスポンス生成部と、を備える。コミットメント生成部は、ランダムに選択された検証値からコミットメント文を生成して、対象暗号文が正当であることを検証する検証装置へと送信する。レスポンス生成部は、取得したチャレンジ値と平文と検証値とを合成したレスポンス値を生成して、検証装置へと送信する。レスポンス生成部は、レスポンス値を用いた第一の演算の結果が、チャレンジ値と対象暗号文とコミットメント文とを第二の演算で処理した結果と同一となる第三の演算により、レスポンス値を生成する。

第１実施形態に係る暗号処理システムの構成図。 第１実施形態に係る証明装置および検証装置の構成図。 第１実施形態に係る暗号処理システムの処理フロー図。 第２実施形態に係る証明装置および検証装置の構成図。 第３実施形態に係る暗号処理システムの構成図。 第３実施形態に係る証明装置の構成図。 第３実施形態に係る検証装置の構成図。 第３実施形態に係る暗号化装置および証明装置の処理のフロー図。 第３実施形態に係る復号装置および検証装置の処理のフロー図。 第１〜第３実施形態に係る出力装置および入力装置の構成図。

（第１実施形態）
図１は、第１実施形態に係る暗号処理システムの構成を示す図である。第１実施形態に係る暗号処理システム１０は、出力装置１１と、入力装置１２とを備える。出力装置１１と入力装置１２との間は、ネットワーク等により接続されて情報のやり取りがされる。

出力装置１１は、暗号化装置２０と、証明装置３０とを備える。入力装置１２は、復号装置４０と、検証装置５０とを備える。

暗号化装置２０は、準同型暗号により平文を暗号化した暗号文を生成する。そして、暗号化装置２０は、生成した暗号文を復号装置４０に送信する。復号装置４０は、出力装置１１の暗号化装置２０から暗号文を受信する。そして、復号装置４０は、受信した暗号文を復号して平文を出力する。

本実施形態においては、暗号化装置２０および復号装置４０は、モディファイドエルガマル暗号を用いた処理を行う。モディファイドエルガマル暗号を用いる場合、暗号化装置２０および復号装置４０は、以下の処理を行う。

復号装置４０は、秘密鍵ＳＫを秘匿して保持する。暗号化装置２０は、公開鍵情報を取得する。公開鍵情報には、巡回群Ｇ_ｑ、巡回群Ｇ_ｑの位数ｑ、巡回群Ｇ_ｑの生成元ｇ、および、公開鍵ＰＫが含まれる。

秘密鍵ＳＫおよび公開鍵ＰＫは、下記の式（１１１）および式（１１２）に示される関係を有する。なお、ｘは、巡回群Ｚ_ｑ（例えば、０からｑ−１までの整数）からランダムに選択された値である。
ＳＫ＝ｘ …（１１１）
ＰＫ＝ｇ^ｘ …（１１２）

暗号化装置２０は、平文ｍを受け取る。平文ｍは、巡回群Ｚ_ｑから選択された値である。また、暗号化装置２０は、巡回群Ｚ_ｑから乱数ｒをランダムに選択する。

暗号化装置２０は、公開鍵ＰＫ、平文ｍおよび乱数ｒに基づき、下記式（１１３）および式（１１４）の演算をして暗号文Ｃ_１，Ｃ_２を生成する。
Ｃ_１＝ｇ^ｒ …（１１３）
Ｃ_２＝ｇ^ｍ・ＰＫ^ｒ …（１１４）

暗号化装置２０は、このように生成した暗号文Ｃ_１，Ｃ_２を復号装置４０に送信する。復号装置４０は、暗号化装置２０から暗号文Ｃ_１，Ｃ_２を受信する。

復号装置４０は、暗号文Ｃ_１，Ｃ_２および秘密鍵ＳＫに基づき、下記式（１１５）の演算をして、ｇ^ｍを取得する。
ｇ^ｍ＝Ｃ_２／（Ｃ_１ ^ＳＫ） …（１１５）

続いて、復号装置４０は、生成元ｇに対して任意の値を順次に冪乗していき、ｇ^ｍと一致する値を探し出す。そして、復号装置４０は、一致したときに入力した値を、復号結果（平文ｍ）として出力する。

なお、本実施形態においては、モディファイドエルガマル暗号を用いた例を説明するが、暗号化装置２０および復号装置４０は、これに限らず、例えばラビン暗号等の他の準同型暗号を用いた処理を行ってもよい。

一方、証明装置３０および検証装置５０は、暗号化装置２０から復号装置４０へと転送された暗号文が正当であるか、すなわち、正しい平文および乱数を用いて暗号文が生成されたかを証明および検証する。暗号化装置２０から復号装置４０へと転送された検証対象となる暗号文を、対象暗号文という。

本例においては、証明装置３０は、対象暗号文Ｃ_１，Ｃ_２の生成に用いた平文ｍおよび乱数ｒを暗号化装置２０から受け取る。そして、証明装置３０は、公開鍵情報（Ｚ_ｑ，ｑ，ｇ，ＰＫ）を用いて、シグマプロトコルで検証装置５０とやり取りをして、対象暗号文Ｃ_１，Ｃ_２が正当であることを検証装置５０に対して証明する。

また、検証装置５０は、対象暗号文Ｃ_１，Ｃ_２を復号装置４０から受け取る。そして、検証装置５０は、公開鍵情報（Ｚ_ｑ，ｑ，ｇ，ＰＫ）を用いて、シグマプロトコルで証明装置３０とやり取りをして、対象暗号文Ｃ_１，Ｃ_２が正当であることを検証する。

検証装置５０は、受信した対象暗号文Ｃ_１，Ｃ_２が正当であると判定した場合、受容（Ａｃｃｅｐｔ）を復号装置４０に与える。また、検証装置５０は、受信した対象暗号文Ｃ_１，Ｃ_２が正当でないと判定した場合、拒否（Ｒｅｊｅｃｔ）を復号装置４０に与える。そして、復号装置４０は、検証装置５０により対象暗号文Ｃ_１，Ｃ_２が正当であると判定されたことを条件として、対象暗号文Ｃ_１，Ｃ_２を復号して、平文ｍを出力する。

図２は、第１実施形態に係る証明装置３０および検証装置５０の構成を示す図である。証明装置３０は、コミットメント生成部６１と、レスポンス生成部６２とを有する。検証装置５０は、チャレンジ生成部６３と、取得部６４と、検証部６５とを有する。

証明装置３０のコミットメント生成部６１は、検証値をランダムに選択する。続いて、コミットメント生成部６１は、ランダムに選択された検証値からコミットメント文を生成する。そして、コミットメント生成部６１は、生成したコミットメント文を検証装置５０の取得部６４へと送信する。また、コミットメント生成部６１は、検証値をレスポンス生成部６２に渡す。

モディファイドエルガマル暗号を用いた例では、コミットメント生成部６１は、巡回群Ｚ_ｑからランダムに２つの検証値ａ，ｂを選択する。そして、コミットメント生成部６１は、ａを乱数とし、ｂを平文とするモディファイドエルガマル暗号の暗号化と同様の処理により、２つのコミットメント文Ａ，Ｂを生成する。なお、具体的な演算式については、詳細を図３で説明する。

検証装置５０のチャレンジ生成部６３は、チャレンジ値をランダムに選択する。そして、チャレンジ生成部６３は、ランダムに選択されたチャレンジ値を証明装置３０のレスポンス生成部６２へと送信する。モディファイドエルガマル暗号を用いた例では、チャレンジ生成部６３は、巡回群Ｚ_ｑからランダムに１つのチャレンジ値ｅを選択する。

証明装置３０のレスポンス生成部６２は、チャレンジ値と平文と検証値とを受け取る。レスポンス生成部６２は、チャレンジ値と平文と検証値とを合成したレスポンス値を生成する。そして、レスポンス生成部６２は、生成したレスポンス値を検証装置５０の取得部６４へと送信する。この場合において、レスポンス生成部６２は、演算結果を準同型暗号処理により暗号化した暗号文が、チャレンジ値と対象暗号文とコミットメント文とを予め定められた準同型演算により合成した暗号文と同一となる演算により、レスポンス値を生成する。

なお、ここで、準同型演算とは、複数の暗号文を演算した場合に、暗号文を復号することなく平文同士を合成できる演算である。すなわち、下記の式（１１６）および式（１１７）のような関係が成り立つ演算である。
Ｅｎｃ（ｘ）×Ｅｎｃ（ｙ）＝Ｅｎｃ（ｘ＋ｙ） …（１１６）
（Ｅｎｃ（ｘ））^ｚ＝Ｅｎｃ（ｚ・ｘ） …（１１７）

式（１１６）および式（１１７）において、Ｅｎｃ（ｘ）は、平文ｘを暗号化した暗号文を表す。Ｅｎｃ（ｙ）は、平文ｙを暗号化した暗号文を表す。Ｅｎｃ（ｘ＋ｙ）は、平文ｘと平文ｙとを加算した結果を暗号化した暗号文を表す。Ｅｎｃ（ｚ・ｘ）は、平文ｘに平文ｚを乗算した結果を暗号化した暗号文を表す。

そして、式（１１６）および式（１１７）において、“×”は暗号文の乗算を表し、準同型演算の一例である。また、（Ｅｎｃ（ｘ））^ｚは、暗号文のＺ乗（すなわち、同一の暗号文のＺ回乗算）を表し、準同型演算の一例である。

なお、準同型演算の具体的な演算内容は、暗号化方式毎により異なる。例えば、モディファイドエルガマル暗号処理では、暗号文同士を乗算することにより平文同士が加算され、暗号文を定数乗することにより、平文に定数が乗算される。

モディファイドエルガマル暗号を用いた例では、レスポンス生成部６２は、チャレンジ値ｅと、平文ｍと、２つの検証値ａ，ｂとを演算により合成して、２つのレスポンス値Ｚ_１，Ｚ_２を生成する。なお、具体的な演算式については、詳細を図３で説明する。

検証装置５０の取得部６４は、証明装置３０から、コミットメント文およびレスポンス値を取得する。そして、取得部６４は、取得したコミットメント文およびレスポンス値を検証部６５に渡す。モディファイドエルガマル暗号を用いた例では、取得部６４は、２つのコミットメント文Ａ，Ｂ、および、２つのレスポンス値Ｚ_１，Ｚ_２を受信する。

検証装置５０の検証部６５は、コミットメント文およびレスポンス値を取得部６４から受け取る。また、検証部６５は、復号装置４０から対象暗号文を受信する。そして、検証部６５は、レスポンス値より予め定められた手順で導出される値と、チャレンジ値と対象暗号文とコミットメント文とを予め定められた準同型演算により合成した暗号文とが一致した場合に、対象暗号文が正当であると判定する。この場合において、検証部６５は、レスポンス値を準同型暗号処理により暗号化した暗号文と演算結果が同一となる準同型演算により、チャレンジ値と対象暗号文とコミットメント文とを合成する。

モディファイドエルガマル暗号を用いた例では、検証部６５は、２つのレスポンス値Ｚ_１，Ｚ_２を、Ｚ_１を乱数とし、Ｚ_２を平文とするモディファイドエルガマル暗号と同様の処理により暗号化して左辺暗号文を生成する。なお、具体的な演算式については、詳細を図３で説明する。

また、モディファイドエルガマル暗号を用いた例では、検証部６５は、チャレンジ値ｅと対象暗号文Ｃ_１，Ｃ_２とコミットメント文Ａ，Ｂとを予め定められた準同型演算により合成して右辺暗号文を生成する。この場合において、検証部６５は、演算結果が左辺暗号文と同一となる準同型演算により、右辺暗号文を生成する。なお、具体的な演算式については、詳細を図３で説明する。

そして、モディファイドエルガマル暗号を用いた例では、検証部６５は、左辺暗号文と右辺暗号文とが一致するか否かを判定する。検証部６５は、一致した場合には、対象暗号文Ｃ_１，Ｃ_２が正当であると判定して、受容（Ａｃｃｅｐｔ）を復号装置４０に供給する。検証部６５は、一致しなかった場合には、対象暗号文Ｃ_１，Ｃ_２が正当ではないと判定して、拒否（Ｒｅｊｅｃｔ）を復号装置４０に供給する。

図３は、第１実施形態に係る暗号処理システム１０の処理フローを示す図である。図３を参照して、モディファイドエルガマル暗号処理を用いた場合の、第１実施形態に係る暗号処理システム１０の処理フローを説明する。

まず、ステップＳ１１において、暗号化装置２０は、平文ｍを入力する。続いて、ステップＳ１２において、暗号化装置２０は、巡回群Ｚ_ｑからランダムに乱数ｒを選択する。

続いて、ステップＳ１３において、平文ｍを乱数ｒを用いてモディファイドエルガマル暗号処理により暗号化して、対象暗号文Ｃ_１，Ｃ_２を生成する。すなわち、暗号化装置２０は、下記の式（１２１）および式（１２２）の演算により、対象暗号文Ｃ_１，Ｃ_２を生成する。
Ｃ_１＝ｇ^ｒ …（１２１）
Ｃ_２＝ｇ^ｍ・ＰＫ^ｒ …（１２２）

続いて、ステップＳ１４において、暗号化装置２０は、対象暗号文Ｃ_１，Ｃ_２を復号装置４０へと送信する。

続いて、ステップＳ１５において、証明装置３０のコミットメント生成部６１は、巡回群Ｚ_ｑからランダムに２つの検証値ａ，ｂを選択する。

続いて、ステップＳ１６において、コミットメント生成部６１は、検証値ｂを検証値ａを用いてモディファイドエルガマル暗号処理により暗号化して２つのコミットメント文Ａ，Ｂを生成する。すなわち、コミットメント生成部６１は、２つの検証値ａ，ｂ、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（１２３）および式（１２４）の演算により、２つのコミットメント文Ａ，Ｂを生成する。
Ａ＝ｇ^ａ …（１２３）
Ｂ＝ｇ^ｂ・ＰＫ^ａ …（１２４）

なお、検証値ａを乱数ｒに置き換え、検証値ｂを平文ｍに置き換えれば、式（１２３）は式（１２１）と同一となり、式（１２４）は式（１２２）と同一となる。すなわち、コミットメント生成部６１は、検証値ａを乱数ｒに対応させ、且つ、検証値ｂを平文ｍに対応させたとした場合に、対象暗号文Ｃ_１と同様の演算によりコミットメント文Ａを生成し、対象暗号文Ｃ_２と同様の演算によりコミットメント文Ｂを生成する。

続いて、ステップＳ１７において、コミットメント生成部６１は、コミットメント文Ａ，Ｂを検証装置５０の取得部６４に送信する。

続いて、ステップＳ１８において、検証装置５０のチャレンジ生成部６３は、巡回群Ｚ_ｑからランダムにチャレンジ値ｅを選択する。続いて、ステップＳ１９において、チャレンジ生成部６３は、チャレンジ値ｅを証明装置３０のレスポンス生成部６２に送信する。

続いて、ステップＳ２０において、証明装置３０のレスポンス生成部６２は、２つの検証値ａ，ｂ、乱数ｒ、平文ｍ、チャレンジ値ｅ、および、巡回群Ｚ_ｑの位数ｑに基づき、下記の式（１２５）および式（１２６）の演算により、２つのレスポンス値Ｚ_１，Ｚ_２を生成する。なお、“＋”は加算演算、“・”は乗算演算、“ｍｏｄ”は剰余演算を表す。
Ｚ_１＝（ａ＋ｅ・ｒ） ｍｏｄ ｑ …（１２５）
Ｚ_２＝（ｂ＋ｅ・ｍ） ｍｏｄ ｑ …（１２６）

続いて、ステップＳ２１において、レスポンス生成部６２は、検証装置５０の取得部６４へ２つのレスポンス値Ｚ_１，Ｚ_２を送信する。

続いて、ステップＳ２２において、検証装置５０の検証部６５は、レスポンス値Ｚ_２をレスポンス値Ｚ_１を用いてモディファイドエルガマル暗号処理により暗号化して第１左辺暗号文および第２左辺暗号文を生成する。すなわち、検証部６５は、２つのレスポンス値Ｚ_１，Ｚ_２、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（１２７）および式（１２８）の演算により、第１左辺暗号文および第２左辺暗号文を生成する。なお、“＾”は、冪乗演算を表す。即ち、“ｘ＾ｙ”は、ｘ^ｙを表す。
第１左辺暗号文＝ｇ＾Ｚ_１ …（１２７）
第２左辺暗号文＝ｇ＾Ｚ_２・ＰＫ＾Ｚ_１ …（１２８）

なお、レスポンス値Ｚ_１を乱数ｒに置き換え、レスポンス値Ｚ_２を平文ｍに置き換えれば、式（１２７）は式（１２１）と同一となり、式（１２８）は式（１２２）と同一となる。すなわち、検証部６５は、レスポンス値Ｚ_１を乱数ｒに対応させ、且つ、レスポンス値Ｚ_２を平文ｍに対応させたとした場合に、対象暗号文Ｃ_１と同様の演算により第１左辺暗号文（式（１２７））を生成し、対象暗号文Ｃ_２と同様の演算により第２左辺暗号文（式（１２８））を生成する。

続いて、ステップＳ２３において、検証部６５は、チャレンジ値ｅと対象暗号文Ｃ_１とコミットメント文Ａとを、下記の式（１２９）の準同型演算により合成して第１右辺暗号文を生成する。これとともに、検証部６５は、チャレンジ値ｅと対象暗号文Ｃ_２とコミットメント文Ｂとを、下記の式（１３０）の準同型演算により合成して第２右辺暗号文を生成する。
第１右辺暗号文＝Ａ・Ｃ_１ ^ｅ …（１２９）
第２右辺暗号文＝Ｂ・Ｃ_２ ^ｅ …（１３０）

ここで、式（１２７）の第１左辺暗号文は、下記の式（１３１）に示されるように展開される。
第１左辺暗号文＝ｇ＾Ｚ_１＝ｇ^{（ａ＋ｅ・ｒ）} …（１３１）

式（１２９）の第１右辺暗号文は、下記の式（１３２）に示されるように展開される。
第１右辺暗号文＝Ａ・Ｃ_１ ^ｅ＝ｇ^ａ・（ｇ^ｒ）^ｅ＝ｇ^{（ａ＋ｅ・ｒ）}…（１３２）

従って、式（１２７）の第１左辺暗号文と式（１２９）の第１右辺暗号文とは同一である。

また、式（１２８）の第２左辺暗号文は、下記の式（１３３）に示されるように展開される。
第２左辺暗号文＝ｇ＾Ｚ_２・ＰＫ＾Ｚ_１＝ｇ^{（ｂ＋ｅ・ｍ）}・ＰＫ^{（ａ＋ｅ・ｒ）} …（１３３）

式（１３０）の第２右辺暗号文は、下記の式（１３４）に示されるように展開される。
第２右辺暗号文＝Ｂ・Ｃ_２ ^ｅ＝ｇ^ｂ・ＰＫ^ａ・（ｇ^ｍ・ＰＫ^ｒ）^ｅ＝ｇ^{（ｂ＋ｅ・ｍ）}・ＰＫ^{（ａ＋ｅ・ｒ）}…（１３４）

従って、式（１２８）の第２左辺暗号文と式（１３０）の第２右辺暗号文とは同一である。

すなわち、レスポンス生成部６２は、演算結果をモディファイドエルガマル暗号処理により暗号化した暗号文（第１左辺暗号文および第２左辺暗号文）が、チャレンジ値ｅと対象暗号文Ｃ_１，Ｃ_２とコミットメント文Ａ，Ｂとを予め定められた準同型演算により合成した暗号文（第１右辺暗号文および第２右辺暗号文）と同一となる演算により、レスポンス値Ｚ_１，Ｚ_２を生成する。換言すると、検証部６５は、レスポンス値Ｚ_１，Ｚ_２をモディファイドエルガマル暗号処理により暗号化した暗号文（第１左辺暗号文および第２左辺暗号文）と演算結果が同一となる準同型演算により、チャレンジ値ｅと対象暗号文Ｃ_１，Ｃ_２とコミットメント文Ａ，Ｂとを合成した合成暗号文（第１右辺暗号文および第２右辺暗号文）を生成する。

続いて、ステップＳ２４において、検証部６５は、下記の式（１３５）を演算する。
Ｘ＝（ｇ＾Ｚ_１＝＝Ａ・Ｃ_１ ^ｅ）∧（ｇ＾Ｚ_２・ＰＫ＾Ｚ_１＝＝Ｂ・Ｃ_２ ^ｅ）…（１３５）

なお、“＝＝”は、左辺と右辺が一致していれば真（ｔｒｕｅ）、不一致であれば偽（ｆａｌｓｅ）を出力する。また、“∧”は、左辺と右辺の論理積を出力する。すなわち、“ｔｒｕｅ∧ｔｒｕｅ”の場合にはｔｒｕｅを出力するが、それ以外である場合にはｆａｌｓｅを出力する。

続いて、ステップＳ２５において、検証部６５は、Ｘがｔｒｕｅであるか否かを判定する。すなわち、検証部６５は、第１左辺暗号文と第１右辺暗号文とが一致し且つ第２左辺暗号文と第２右辺暗号文とが一致するか、否かを判定する。

検証部６５は、第１左辺暗号文と第１右辺暗号文とが一致し且つ第２左辺暗号文と第２右辺暗号文とが一致する場合には（ステップＳ２５のＹｅｓ）、処理をステップＳ２６に進める。ステップＳ２６において、復号装置４０は、暗号化装置２０から受信した対象暗号文Ｃ_１，Ｃ_２を復号して、平文ｍを出力する。そして、復号装置４０は、本フローを終了する。

検証部６５は、第１左辺暗号文と第１右辺暗号文とが一致しない、または、第２左辺暗号文と第２右辺暗号文とが一致しない場合には（ステップＳ２５のＮｏ）、復号を実行せずに、本フローを終了する。

以上のように、第１実施形態に係る暗号処理システム１０では、チャレンジ値と対象暗号文とコミットメント文とを準同型演算により合成した暗号文と、レスポンス値を準同型暗号処理により暗号化した暗号文とが一致するように、コミットメント文およびレスポンス値を生成する。これにより、暗号処理システム１０によれば、対象暗号文を復号することなく、簡易に、対象暗号文が正当であるか否かを検証できる。

（第２実施形態）
図４は、第２実施形態に係る証明装置３０および検証装置５０の構成を示す図である。第２実施形態に係る暗号処理システム１０は、第１実施形態に係る暗号処理システム１０と略同一の機能および構成を有する。従って、第２実施形態に係る暗号処理システム１０の説明では、第１実施形態と略同一の機能および構成を有するユニットには同一の符号を付けて、相違点を除き説明を省略する。

第２実施形態に係る証明装置３０は、証明側チャレンジ生成部７１をさらに有する。また、第２実施形態に係る検証装置５０は、チャレンジ生成部６３に代えて、検証側チャレンジ生成部７２を有する。

証明側チャレンジ生成部７１は、コミットメント生成部６１により生成されたコミットメント文Ａ，Ｂを取得する。証明側チャレンジ生成部７１は、取得したコミットメント文Ａ，Ｂを予め定められたハッシュ関数に入力して、チャレンジ値ｅを生成する。証明側チャレンジ生成部７１は、生成したチャレンジ値ｅをレスポンス生成部６２に供給する。

検証側チャレンジ生成部７２は、取得部６４により受信されたコミットメント文Ａ，Ｂを取得する。検証側チャレンジ生成部７２は、取得したコミットメント文Ａ，Ｂを予め定められたハッシュ関数に入力して、チャレンジ値ｅを生成する。ここで、検証側チャレンジ生成部７２は、証明側チャレンジ生成部７１で用いられているハッシュ関数と同一のハッシュ関数によりチャレンジ値ｅを生成する。検証側チャレンジ生成部７２は、生成したチャレンジ値ｅを検証部６５に供給する。

第２実施形態に係る暗号処理システム１０では、証明側チャレンジ生成部７１および検証側チャレンジ生成部７２を有することにより、検証装置５０から証明装置３０へのチャレンジ値ｅの送信を無くすことができる。これにより、暗号処理システム１０では、証明装置３０から検証装置５０への一方向の情報の送信処理で、対象暗号文Ｃ_１，Ｃ_２が正当であるか否かを検証することができる。

なお、本実施の形態では、チャレンジ値ｅの生成にハッシュ関数を用いたが、生成に用いることのできる関数はハッシュ関数に限定されず、出力値の予測不能性を持ち、値域が巡回群Ｚｑなる関数ならば何でもよい。

（第３実施形態）
図５は、第３実施形態に係る暗号処理システム１０の構成を示す図である。第３実施形態に係る暗号処理システム１０は、第２実施形態に係る暗号処理システム１０と略同一の機能および構成を有する。従って、第３実施形態に係る暗号処理システム１０の説明では、第２実施形態と略同一の機能および構成を有するユニットには同一の符号を付けて、相違点を除き説明を省略する。

第３実施形態に係る暗号化装置２０は、複数の平文のそれぞれを暗号化して、複数の暗号文を生成する。また、第３実施形態に係る復号装置４０は、複数の暗号文のそれぞれを復号して、複数の平文を出力する。

本例においては、暗号化装置２０は、ｋ個（ｋは２以上の整数）の暗号化部８１−１〜８１−ｋを有する。ｋ個の暗号化部８１−１〜８１−ｋは、ｋ個の乱数ｒ〜ｒ_ｋを生成して、ｋ個の平文ｍ_１〜ｍ_ｋをモディファイドエルガマル暗号処理により暗号化して、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を生成する。

また、復号装置４０は、ｋ個の復号部８２−１〜８２−ｋと、決定部８３とを有する。ｋ個の復号部８２−１〜８２−ｋは、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を復号して、ｋ個の平文ｍ_１〜ｍ_ｋを出力する。決定部８３は、検証装置５０によりｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）の全てが正当であると判定されたことを条件として、ｋ個の復号部８２−１〜８２−ｋにより復号されたｋ個の平文ｍ_１〜ｍ_ｋを出力する。

証明装置３０は、ｋ個の平文ｍ_１〜ｍ_ｋおよび乱数ｒ_１〜ｒ_ｋを暗号化装置２０から受け取る。そして、証明装置３０は、公開鍵情報（Ｚ_ｑ，ｑ，ｇ，ＰＫ）を用いて、シグマプロトコルで検証装置５０とやり取りをして、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれが正当であることを検証装置５０に対して証明する。

また、検証装置５０は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を復号装置４０から受け取る。そして、検証装置５０は、公開鍵情報（Ｚ_ｑ，ｑ，ｇ，ＰＫ）を用いて、シグマプロトコルで証明装置３０とやり取りをして、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれが正当であることを検証する。

検証装置５０は、受信したｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）の全てが正当であると判定した場合、受容（Ａｃｃｅｐｔ）を復号装置４０に与える。また、検証装置５０は、正当でないと判定した場合、拒否（Ｒｅｊｅｃｔ）を復号装置４０に与える。

図６は、第３実施形態に係る証明装置３０の構成を示す図である。第３実施形態に係る証明装置３０は、ｋ個のコミットメント生成部６１−１〜６１−ｋと、合成コミットメント生成部９１と、証明側チャレンジ生成部７１と、ｋ個のレスポンス生成部６２−１〜６２−ｋと、合成レスポンス生成部９２とを有する。

ｋ個のコミットメント生成部６１−１〜６１−ｋのそれぞれは、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれに対応しており、対応する対象暗号文に対して第１実施形態のコミットメント生成部６１と同様の処理を行う。

より詳しくは、コミットメント生成部６１−１は、２つの検証値ａ_１，ｂ_１および２つのコミットメント文Ａ_１，Ｂ_１を生成する。コミットメント生成部６１−２は、２つの検証値ａ_２，ｂ_２および２つのコミットメント文Ａ_２，Ｂ_２を生成する。コミットメント生成部６１−ｋは、２つの検証値ａ_ｋ，ｂ_ｋおよび２つのコミットメント文Ａ_ｋ，Ｂ_ｋを生成する。

合成コミットメント生成部９１は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を準同型演算により合成した合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）に対応しており、合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）に対して第１実施形態のコミットメント生成部６１と同様の処理を行う。より詳しくは、合成コミットメント生成部９１は、２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌおよび２つの合成コミットメント文Ａ_ｔｔｌ，Ｂ_ｔｔｌを生成する。

証明側チャレンジ生成部７１は、ｋ個のコミットメント生成部６１−１〜６１−ｋから出力されたｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、合成コミットメント生成部９１から出力された１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）を入力する。そして、証明側チャレンジ生成部７１は、（２ｋ＋２）個のコミットメント文をハッシュ関数に入力して、ｋ個のチャレンジ値ｅ_１，ｅ_２，…，ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌを出力する。

ｋ個のレスポンス生成部６２−１〜６２−ｋのそれぞれは、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれに対応しており、対応する対象暗号文に対して第１実施形態のレスポンス生成部６２と同様の処理を行う。

より詳しくは、レスポンス生成部６２−１は、チャレンジ値ｅ_１と、平文ｍ_１と、乱数ｒ_１と、２つの検証値ａ_１，ｂ_１とを演算により合成して、２つのレスポンス値Ｚ_１，１，Ｚ_２，１を生成する。レスポンス生成部６２−２は、チャレンジ値ｅ_２と、平文ｍ_２と、乱数ｒ_２と、２つの検証値ａ_２，ｂ_２とを演算により合成して、２つのレスポンス値Ｚ_１，２，Ｚ_２，２を生成する。レスポンス生成部６２−ｋは、チャレンジ値ｅ_ｋと、平文ｍ_ｋと、乱数ｒ_ｋと、２つの検証値ａ_ｋ，ｂ_ｋとを演算により合成して、２つのレスポンス値Ｚ_１，ｋ，Ｚ_２，ｋを生成する。

合成レスポンス生成部９２は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を準同型演算により合成した合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）に対応している。合成レスポンス生成部９２は、ｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋを準同型演算に対応する平文演算により合成した合成平文ｍ_ｔｔｌを生成する。モディファイドエルガマル暗号の場合には、合成レスポンス生成部９２は、ｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋの全てを加算して合成平文ｍ_ｔｔｌを生成する。

合成レスポンス生成部９２は、ｋ個の乱数ｒ_１，ｒ_２，…，ｒ_ｋを準同型演算に対応する演算により合成した合成乱数ｒ_ｔｔｌを生成する。例えば、モディファイドエルガマル暗号の場合、合成レスポンス生成部９２は、ｋ個の乱数ｒ_１，ｒ_２，…，ｒ_ｋの全てを加算して合成乱数ｒ_ｔｔｌを生成する。

そして、合成レスポンス生成部９２は、合成チャレンジ値ｅ_ｔｔｌと、合成平文ｍ_ｔｔｌと、合成乱数ｒ_ｔｔｌと、２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌとに基づき、第１実施形態のレスポンス生成部６２と同様の処理を行う。より詳しくは、合成チャレンジ値ｅ_ｔｔｌと、合成平文ｍ_ｔｔｌと、合成乱数ｒ_ｔｔｌと、２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌとを演算により合成して、２つの合成レスポンス値Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}を生成する。

図７は、第３実施形態に係る検証装置５０の構成を示す図である。検証装置５０は、ｋ個の取得部６４−１〜６４−ｋと、合成取得部９３と、検証側チャレンジ生成部７２と、ｋ個の検証部６５−１〜６５−ｋと、合成検証部９４とを有する。

ｋ個の取得部６４−１〜６４−ｋのそれぞれは、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれに対応しており、対応する対象暗号文に対して第１実施形態の取得部６４と同様の処理を行う。

より詳しくは、取得部６４−１は、２つのコミットメント文Ａ_１，Ｂ_１、および、２つのレスポンス値Ｚ_１，１，Ｚ_２，１を受信する。取得部６４−２は、２つのコミットメント文Ａ_２，Ｂ_２、および、２つのレスポンス値Ｚ_１，２，Ｚ_２，２を受信する。取得部６４−ｋは、２つのコミットメント文Ａ_ｋ，Ｂ_ｋ、および、２つの合成レスポンス値Ｚ_１，ｋ，Ｚ_２，ｋを受信する。

合成取得部９３は、２つの合成コミットメント文Ａ_ｔｔｌ，Ｂ_ｔｔｌ、および、２つの合成レスポンス値Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}を受信する。

検証側チャレンジ生成部７２は、ｋ個の取得部６４−１〜６４−ｋにより受信されたｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、合成取得部９３により受信された１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）を入力する。そして、検証側チャレンジ生成部７２は、（２ｋ＋２）個のコミットメント文をハッシュ関数に入力して、ｋ個のチャレンジ値ｅ_１，ｅ_２，…，ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌを出力する。ここで、検証側チャレンジ生成部７２は、証明側チャレンジ生成部７１で用いられているハッシュ関数と同一のハッシュ関数によりチャレンジ値ｅ_１，ｅ_２，…，ｅ_ｋおよび合成チャレンジ値ｅ_ｔｔｌを生成する。

ｋ個の検証部６５−１〜６５−ｋのそれぞれは、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれに対応しており、対応する対象暗号文に対して第１実施形態の検証部６５と同様の処理を行う。

より詳しくは、検証部６５−１は、２つのコミットメント文Ａ_１，Ｂ_１、２つのレスポンス値Ｚ_１，１，Ｚ_２，１、チャレンジ値ｅ_１、および、対象暗号文（Ｃ_１，１，Ｃ_２，１）に基づき、対象暗号文（Ｃ_１，１，Ｃ_２，１）が正当であるか否かを判定する。検証部６５−１は、対象暗号文（Ｃ_１，１，Ｃ_２，１）が正当である場合には受容（Ａｃｃｅｐｔ）を復号装置４０に供給し、正当でない場合には、拒否（Ｒｅｊｅｃｔ）を復号装置４０に供給する。

検証部６５−２は、２つのコミットメント文Ａ_２，Ｂ_２、２つのレスポンス値Ｚ_１，２，Ｚ_２，２、チャレンジ値ｅ_２、および、対象暗号文（Ｃ_１，２，Ｃ_２，２）に基づき、対象暗号文（Ｃ_１，２，Ｃ_２，２）が正当であるか否かを判定する。検証部６５−２は、対象暗号文（Ｃ_１，２，Ｃ_２，２）が正当である場合には、受容（Ａｃｃｅｐｔ）を復号装置４０に供給し、正当でない場合には、拒否（Ｒｅｊｅｃｔ）を復号装置４０に供給する。

検証部６５−ｋは、２つのコミットメント文Ａ_ｋ，Ｂ_ｋ、２つのレスポンス値Ｚ_１，ｋ，Ｚ_２，ｋ、チャレンジ値ｅ_ｋ、および、対象暗号文（Ｃ_１，ｋ，Ｃ_２，ｋ）に基づき、対象暗号文（Ｃ_１，ｋ，Ｃ_２，ｋ）が正当であるか否かを判定する。検証部６５−ｋは、対象暗号文（Ｃ_１，ｋ，Ｃ_２，ｋ）が正当である場合には、受容（Ａｃｃｅｐｔ）を復号装置４０に供給し、正当でない場合には、拒否（Ｒｅｊｅｃｔ）を復号装置４０に供給する。

合成検証部９４は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）の全てを取得する。そして、合成検証部９４は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を準同型演算により合成した合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）を生成する。例えば、モディファイドエルガマル暗号の場合、合成検証部９４は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を乗算して、合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）を生成する。

そして、合成検証部９４は、２つの合成コミットメント文Ａ_ｔｔｌ，Ｂ_ｔｔｌ、２つの合成レスポンス値Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}、合成チャレンジ値ｅ_ｔｔｌ、および、合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）に基づき、第１実施形態の検証部６５と同様の処理を行い、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）が正当であるか否かを判定する。合成検証部９４は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）が正当である場合には、受容（Ａｃｃｅｐｔ）を復号装置４０に供給し、正当でない場合には、拒否（Ｒｅｊｅｃｔ）を復号装置４０に供給する。

図８は、第３実施形態に係る暗号化装置２０および証明装置３０の処理フローを示す図である。図８を参照して、モディファイドエルガマル暗号処理を用いた場合の、第３実施形態に係る暗号化装置２０および証明装置３０の処理フローを説明する。

まず、ステップＳ５１〜Ｓ５６において、暗号化装置２０は、ｉ＝１からｋまで、ｉを１ずつインクリメントしながらループ処理を実行する。ループ処理内のステップＳ５２において、暗号化装置２０は、平文ｍ_ｉを入力する。続いて、ステップＳ５３において、暗号化装置２０は、巡回群Ｚ_ｑからランダムに乱数ｒ_ｉを選択する。

続いて、ステップＳ５４において、暗号化装置２０は、平文ｍ_ｉを乱数ｒ_ｉを用いてモディファイドエルガマル暗号処理により暗号化する。すなわち、暗号化装置２０は、下記の式（２２１）および式（２２２）の演算により、対象暗号文Ｃ_１，ｉ，Ｃ_２，ｉを生成する。
Ｃ_１，ｉ＝ｇ＾ｒ_ｉ …（２２１）
Ｃ_２，ｉ＝ｇ＾ｍ_ｉ・ＰＫ＾ｒ_ｉ …（２２２）

続いて、ステップＳ５５において、暗号化装置２０は、対象暗号文Ｃ_１，ｉ，Ｃ_２，ｉを復号装置４０へと送信する。ステップＳ５１〜Ｓ５６のループ処理をｉ＝ｋまで終了すると、暗号化装置２０は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を復号装置４０へと送信することができる。ステップＳ５１〜Ｓ５６のループ処理をｉ＝ｋまで終了すると、暗号化装置２０は、処理をステップＳ５７に進める。

続いて、ステップＳ５７〜Ｓ６０において、証明装置３０は、ｉ＝１からｋまで、ｉを１ずつインクリメントしながらループ処理を実行する。ループ処理内のステップＳ５８において、証明装置３０は、巡回群Ｚ_ｑからランダムに２つの検証値ａ_ｉ，ｂ_ｉを選択する。

続いて、ステップＳ５９において、証明装置３０は、検証値ｂ_ｉを検証値ａ_ｉを用いてモディファイドエルガマル暗号処理により暗号化して２つのコミットメント文Ａ_ｉ，Ｂ_ｉを生成する。すなわち、証明装置３０は、２つの検証値ａ_ｉ，ｂ_ｉ、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（２２３）および式（２２４）の演算により、２つのコミットメント文Ａ_ｉ，Ｂ_ｉを生成する。
Ａ_ｉ＝ｇ＾ａ_ｉ …（２２３）
Ｂ_ｉ＝ｇ＾ｂ_ｉ・ＰＫ＾ａ_ｉ …（２２４）

ステップＳ５７〜Ｓ６０のループ処理をｉ＝ｋまで終了すると、証明装置３０は、ｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）を生成することができる。ステップＳ５７〜Ｓ６０のループ処理をｉ＝ｋまで終了すると、証明装置３０は、処理をステップＳ６１に進める。

続いて、ステップＳ６１において、証明装置３０は、巡回群Ｚ_ｑからランダムに２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌを選択する。

続いて、ステップＳ６２において、証明装置３０は、合成検証値ｂ_ｔｔｌを合成検証値ａ_ｔｔｌを用いてモディファイドエルガマル暗号処理により暗号化して２つの合成コミットメント文Ａ_ｔｔｌ，Ｂ_ｔｔｌを生成する。すなわち、証明装置３０は、２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌ、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（２２５）および式（２２６）の演算により、２つの合成コミットメント文Ａ_ｔｔｌ，Ｂ_ｔｔｌを生成する。
Ａ_ｔｔｌ＝ｇ＾ａ_ｔｔｌ …（２２５）
Ｂ_ｔｔｌ＝ｇ＾ｂ_ｔｔｌ・ＰＫ＾ａ_ｔｔｌ …（２２６）

続いて、ステップＳ６３において、証明装置３０は、ｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）をハッシュ関数に入力して、ｋ個のチャレンジ値ｅ_１〜ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌを出力する。証明装置３０は、一例として、下記の式（２２７）のハッシュ関数により、（２Ｋ＋２）個の値から、（ｋ＋１）個の値を出力する。なお、Ｇ_ｑは、巡回群を表す。
Ｈ：Ｇ_ｑ ^２Ｋ＋２→Ｚ_ｑ ^Ｋ＋１ …（２２７）

続いて、ステップＳ６４〜Ｓ６６において、証明装置３０は、ｉ＝１からｋまで、ｉを１ずつインクリメントしながらループ処理を実行する。ループ処理内のステップＳ６５において、証明装置３０は、２つの検証値ａ_ｉ，ｂ_ｉ、乱数ｒ_ｉ、平文ｍ_ｉ、チャレンジ値ｅ_ｉ、および、巡回群Ｚ_ｑの位数ｑに基づき、下記の式（２２８）および式（２２９）の演算により、２つのレスポンス値Ｚ_１，ｉ，Ｚ_２，ｉを生成する。
Ｚ_１，ｉ＝（ａ_ｉ＋ｅ_ｉ・ｒ_ｉ） ｍｏｄ ｑ …（２２８）
Ｚ_２，ｉ＝（ｂ_ｉ＋ｅ_ｉ・ｍ_ｉ） ｍｏｄ ｑ …（２２９）

ステップＳ６４〜Ｓ６６のループ処理をｉ＝ｋまで終了すると、証明装置３０は、ｋ組のレスポンス値（Ｚ_１，１，Ｚ_２，１）〜（Ｚ_２，ｋ，Ｚ_２，ｋ）を生成することができる。ステップＳ６４〜Ｓ６６のループ処理をｉ＝ｋまで終了すると、証明装置３０は、処理をステップＳ６７に進める。

続いて、ステップＳ６７において、証明装置３０は、ｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋの全てを、下記の式（２３０）に示されるように巡回群Ｚ_ｑ上で加算して合成平文ｍ_ｔｔｌを生成する。これにより、証明装置３０は、ｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋを準同型演算に対応する演算により合成することができる。
ｍ_ｔｔｌ＝（ｍ_１＋ｍ_２＋…＋ｍ_ｋ） ｍｏｄ ｑ …（２３０）

これとともに、ステップＳ６７において、証明装置３０は、ｋ個の乱数ｒ_１，ｒ_２，…，ｒ_ｋの全てを、下記の式（２３１）に示されるように巡回群Ｚ_ｑ上で加算して合成乱数ｒ_ｔｔｌを生成する。これにより、証明装置３０は、ｋ個の乱数ｒ_１，ｒ_２，…，ｒ_ｋを準同型演算に対応する演算により合成することができる。
ｒ_ｔｔｌ＝（ｒ_１＋ｒ_２＋…＋ｒ_ｋ） ｍｏｄ ｑ …（２３１）

続いて、ステップＳ６８において、証明装置３０は、合成チャレンジ値ｅ_ｔｔｌと、合成平文ｍ_ｔｔｌと、合成乱数ｒ_ｔｔｌと、２つの合成検証値ａ_ｔｔｌ，ｂ_ｔｔｌと、巡回群Ｚ_ｑの位数ｑに基づき、下記の式（２３２）および式（２３３）の演算により、２つの合成レスポンス値Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}を生成する。
Ｚ_{１，ｔｔｌ}＝（ａ_ｔｔｌ＋ｅ_ｔｔｌ・ｒ_ｔｔｌ） ｍｏｄ ｑ …（２３２）
Ｚ_{２，ｔｔｌ}＝（ｂ_ｔｔｌ＋ｅ_ｔｔｌ・ｍ_ｔｔｌ） ｍｏｄ ｑ …（２３３）

続いて、ステップＳ６９において、証明装置３０は、ｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）、ｋ組のレスポンス値（Ｚ_１，１，Ｚ_２，１）〜（Ｚ_１，ｋ，Ｚ_２，ｋ）、および、１組の合成コミットメント文（Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}）を、検証装置５０に送信する。

図９は、第３実施形態に係る復号装置４０および検証装置５０の処理フローを示す図である。

まず、ステップＳ８１において、検証装置５０は、証明装置３０から、ｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）、ｋ組のレスポンス値（Ｚ_１，１，Ｚ_２，１）〜（Ｚ_１，ｋ，Ｚ_２，ｋ）、および、１組の合成コミットメント文（Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}）を受信する。

続いて、ステップＳ８２において、検証装置５０は、受信されたｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）をハッシュ関数に入力して、ｋ個のチャレンジ値ｅ_１〜ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌを出力する。ここで、検証装置５０は、証明装置３０で用いられたハッシュ関数と同一のハッシュ関数により、ｋ個のチャレンジ値ｅ_１〜ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌを生成する。

続いて、ステップＳ８３〜Ｓ８８において、検証装置５０は、ｉ＝１からｋまで、ｉを１ずつインクリメントしながらループ処理を実行する。

ループ処理内のステップＳ８４において、検証装置５０は、レスポンス値Ｚ_２，ｉをレスポンス値Ｚ_１，ｉを用いてモディファイドエルガマル暗号処理により暗号化して第１左辺暗号文および第２左辺暗号文を生成する。すなわち、検証装置５０は、２つのレスポンス値Ｚ_１，ｉ，Ｚ_２，ｉ、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（２３４）および式（２３５）の演算により、第１左辺暗号文および第２左辺暗号文を生成する。
第１左辺暗号文＝ｇ＾Ｚ_１，ｉ …（２３４）
第２左辺暗号文＝ｇ＾Ｚ_２，ｉ・ＰＫ＾Ｚ_１，ｉ …（２３５）

続いて、ステップＳ８５において、検証装置５０は、チャレンジ値ｅ_ｉと対象暗号文Ｃ_１，ｉとコミットメント文Ａ_ｉとを、下記の式（２３６）の準同型演算により合成して第１右辺暗号文を生成する。また、検証装置５０は、チャレンジ値ｅ_ｉと対象暗号文Ｃ_２，ｉとコミットメント文Ｂ_，ｉとを、下記の式（２３７）の準同型演算により合成して第２右辺暗号文を生成する。
第１右辺暗号文＝Ａ_ｉ・Ｃ_１，ｉ＾ｅ_ｉ …（２３６）
第２右辺暗号文＝Ｂ_ｉ・Ｃ_２，ｉ＾ｅ_ｉ …（２３７）

続いて、ステップＳ８６において、検証装置５０は、下記の式（２３８）を演算する。
Ｘ_ｉ＝（第１左辺暗号文＝＝第１右辺暗号文）∧（第２左辺暗号文＝＝第２右辺暗号文）
＝（ｇ＾Ｚ_１，ｉ＝＝Ａ_ｉ・Ｃ_１，ｉ＾ｅ_ｉ）∧（ｇ＾Ｚ_２，ｉ・ＰＫ＾Ｚ_１，ｉ＝＝Ｂ_ｉ・Ｃ_２，ｉ＾ｅ_ｉ） …（２３８）

続いて、ステップＳ８７において、検証装置５０は、Ｘ_ｉがｔｒｕｅであるか否かを判定する。Ｘ_ｉがｔｒｕｅの場合（ステップＳ８７のＹｅｓ）、検証装置５０は、処理をステップＳ８８に進める。Ｘ_ｉがｆａｌｓｅの場合（ステップＳ８７のＮｏ）、検証装置５０は、ループ処理を抜けて、本フローを終了する。

ステップＳ８３〜Ｓ８８のループ処理をｉ＝ｋまで終了すると、検証装置５０は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）のそれぞれが正当であると検証することができる。ステップＳ８３〜Ｓ８８のループ処理をｉ＝ｋまで終了すると、検証装置５０は、処理をステップＳ８９に進める。

続いて、ステップＳ８９において、検証装置５０は、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を下記の式（２３９）および式（２４０）に示されるように巡回群Ｇ上で乗算して、合成対象暗号文（Ｃ_{１，ｔｔｌ}，Ｃ_{２，ｔｔｌ}）を生成する。
Ｃ_{１，ｔｔｌ}＝（Ｃ_１，１・Ｃ_１，２・…・Ｃ_１，ｋ） ｏｖｅｒ Ｇ_ｑ …（２３９）
Ｃ_{２，ｔｔｌ}＝（Ｃ_２，１・Ｃ_２，２・…・Ｃ_２，ｋ） ｏｖｅｒ Ｇ_ｑ …（２４０）

なお、式（２３９）および式（２４０）において、Ｇは、対象暗号文を元とする巡回群を表す。また、（ｘ・ｙ ｏｖｅｒ Ｇ_ｑ）は、巡回群Ｇ上での乗算を表す。

検証装置５０は、式（２３９）および式（２４０）の演算を実行することにより、ｋ組の対象暗号文（Ｃ_１，１，Ｃ_２，１）〜（Ｃ_１，ｋ，Ｃ_２，ｋ）を準同型演算により合成することができる。

続いて、ステップＳ９０において、検証装置５０は、合成レスポンス値Ｚ_{２，ｔｔｌ}を合成レスポンス値Ｚ_{１，ｔｔｌ}を用いてモディファイドエルガマル暗号処理により暗号化して第１左辺暗号文および第２左辺暗号文を生成する。すなわち、検証装置５０は、２つの合成レスポンス値Ｚ_{１，ｔｔｌ}，Ｚ_{２，ｔｔｌ}、生成元ｇ、および、公開鍵ＰＫに基づき、下記の式（２４１）および式（２４２）の演算により、第１左辺暗号文および第２左辺暗号文を生成する。
第１左辺暗号文＝ｇ＾Ｚ_{１，ｔｔｌ} …（２４１）
第２左辺暗号文＝ｇ＾Ｚ_{２，ｔｔｌ}・ＰＫ＾Ｚ_{１，ｔｔｌ} …（２４２）

続いて、ステップＳ９１において、検証装置５０は、合成チャレンジ値ｅ_ｔｔｌと合成対象暗号文Ｃ_{１，ｔｔｌ}と合成コミットメント文Ａ_ｔｔｌとを、下記の式（２４３）の準同型演算により合成して第１右辺暗号文を生成する。また、検証装置５０は、合成チャレンジ値ｅ_ｔｔｌと合成対象暗号文Ｃ_{２，ｔｔｌ}と合成コミットメント文Ｂ_ｔｔｌとを、下記の式（２４４）の準同型演算により合成して第２右辺暗号文を生成する。
第１右辺暗号文＝Ａ_ｔｔｌ・Ｃ_{１，ｔｔｌ}＾ｅ_ｔｔｌ …（２４３）
第２右辺暗号文＝Ｂ_ｔｔｌ・Ｃ_{２，ｔｔｌ}＾ｅ_ｔｔｌ …（２４４）

続いて、ステップＳ９２において、検証装置５０は、下記の式（２４５）を演算する。
Ｘ_ｔｔｌ＝（第１左辺暗号文＝＝第１右辺暗号文）∧（第２左辺暗号文＝＝第２右辺暗号文）
＝（ｇ＾Ｚ_{１，ｔｔｌ}＝＝Ａ_ｔｔｌ・Ｃ_{１，ｔｔｌ}＾ｅ_ｔｔｌ）∧（ｇ＾Ｚ_{２，ｔｔｌ}・ＰＫ＾Ｚ_{１，ｔｔｌ}＝＝Ｂ_ｔｔｌ・Ｃ_{２，ｔｔｌ}＾ｅ_ｔｔｌ） …（２４５）

続いて、ステップＳ９３において、検証装置５０は、Ｘ_ｔｔｌがｔｒｕｅであるか否かを判定する。Ｘ_ｔｔｌがｔｒｕｅの場合（ステップＳ９３のＹｅｓ）、検証装置５０は、処理をステップＳ９４に進める。Ｘ_ｔｔｌがｆａｌｓｅの場合（ステップＳ９３のＮｏ）、検証装置５０は、ループ処理を抜けて、本フローを終了する。

続いて、ステップＳ９４〜Ｓ９６において、復号装置４０は、ｉ＝１からｋまで、ｉを１ずつインクリメントしながらループ処理を実行する。ループ処理内のステップＳ９５において、復号装置４０は、暗号化装置２０から受信した対象暗号文Ｃ_１，ｉ，Ｃ_２，ｉを復号して、平文ｍ_ｉを出力する。

ステップＳ９４〜Ｓ９６のループ処理をｉ＝ｋまで終了すると、復号装置４０は、ｋ個の平文ｍ_１〜ｍ_ｋを出力することができる。ステップＳ９４〜Ｓ９６のループ処理をｉ＝ｋまで終了すると、復号装置４０は、本フローを終了する。

以上のように第３実施形態に係る暗号処理システム１０によれば、複数の対象暗号文のそれぞれが正当であるか否かを検証することができる。暗号処理システム１０によれば、複数の対象暗号文のそれぞれを個別に検証するとともに、複数の対象暗号文を合成して検証するので、より確実に検証をすることができる。

また、第３実施形態において、証明装置３０は、複数のコミットメント生成部６１−１〜６１−ｋおよび複数のレスポンス生成部６２−１〜６２−ｋを備えない構成であってもよい。すなわち、証明装置３０は、合成コミットメント生成部９１と、合成レスポンス生成部９２と、証明側チャレンジ生成部７１とを備える構成であってもよい。

そして、この場合、検証装置５０は、複数の取得部６４−１〜６４−ｋおよび複数の検証部６５−１〜６５−ｋを備えない構成であってもよい。すなわち、検証装置５０は、合成取得部９３と、合成検証部９４と、検証側チャレンジ生成部７２とを備える構成であってもよい。

これにより、証明装置３０および検証装置５０は、複数の対象暗号文のそれぞれを個別に検証しないでよいので、構成を非常に簡易にすることができる。

第３の実施形態では、ｋ個のチャレンジ値ｅ_１，ｅ_２，…，ｅ_ｋおよび１個の合成チャレンジ値ｅ_ｔｔｌは、相異なる値としているが、全て同一の値であってもよい。すなわち、証明側チャレンジ生成部７１は、ｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、合成コミットメント生成部９１から出力された１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）を受け取ると、１個のチャレンジ値ｅを出力し、それをレスポンス生成部６２−１〜６２−ｋと合成レスポンス生成部９２に出力する。また、検証側チャレンジ生成部７２は、ｋ個の取得部６４−１〜６４−ｋにより受信されたｋ組のコミットメント文（Ａ_１，Ｂ_１）〜（Ａ_ｋ，Ｂ_ｋ）、および、合成取得部９３により受信された１組の合成コミットメント文（Ａ_ｔｔｌ，Ｂ_ｔｔｌ）を受け取ると、（２ｋ＋２）個のコミットメント文をハッシュ関数に入力して、１個のチャレンジ値ｅを、検証部６５−１から６５−ｋと合成検証部９４に出力する。このように構成することで、証明側チャレンジ生成部７１および検証側チャレンジ生成部７２が生成すべきチャレンジのビット長を削減することができる。

図１０は、第１〜第３実施形態に係る出力装置１１および入力装置１２のハードウェア構成の一例を示す図である。第１〜第３実施形態に係る出力装置１１および入力装置１２は、ＣＰＵ（Central Processing Unit）１０１などの制御装置と、ＲＯＭ（Read Only Memory）１０２やＲＡＭ（Random Access Memory）１０３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ１０４と、各部を接続するバスを備えている。

実施形態にかかる出力装置１１および入力装置１２で実行されるプログラムは、ＲＯＭ１０２等に予め組み込まれて提供される。

実施形態にかかる出力装置１１および入力装置１２で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録してコンピュータプログラムプロダクトとして提供されるように構成してもよい。

さらに、実施形態にかかる出力装置１１および入力装置１２で実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、実施形態にかかる出力装置１１および入力装置１２で実行されるプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

実施形態にかかる出力装置１１で実行されるプログラムは、コンピュータを上述した出力装置１１の各部（コミットメント生成部６１，６１−１〜６１−ｋ、レスポンス生成部６２，６２−１〜６２−ｋ、証明側チャレンジ生成部７１、暗号化部８１−１〜８１−ｋ、合成コミットメント生成部９１、および、合成レスポンス生成部９２）として機能させうる。なお、これらの各部は、一部または全部がハードウェアにより構成されていてもよい。

また、実施形態にかかる入力装置１２で実行されるプログラムは、コンピュータを上述した入力装置１２の各部（チャレンジ生成部６３、取得部６４，６４−１〜６４−ｋ、検証部６５，６５−１〜６５−ｋ、検証側チャレンジ生成部７２、復号部８２−１〜８２−ｋ、合成取得部９３、合成検証部９４）として機能させうる。なお、これらの各部は、一部または全部がハードウェアにより構成されていてもよい。このコンピュータは、ＣＰＵ１０１がコンピュータ読取可能な記憶媒体からプログラムを主記憶装置上に読み出して実行することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、請求の範囲に記載された発明とその均等の範囲に含まれる。

１０ 暗号処理システム
１１ 出力装置
１２ 入力装置
２０ 暗号化装置
３０ 証明装置
４０ 復号装置
５０ 検証装置
６１ コミットメント生成部
６２ レスポンス生成部
６３ チャレンジ生成部
６４ 取得部
６５ 検証部
７１ 証明側チャレンジ生成部
７２ 検証側チャレンジ生成部
８１ 暗号化部
８２ 復号部
８３ 決定部
９１ 合成コミットメント生成部
９２ 合成レスポンス生成部
９３ 合成取得部
９４ 合成検証部
１０１ ＣＰＵ
１０２ ＲＯＭ
１０３ ＲＡＭ
１０４ 通信Ｉ／Ｆ

Claims (24)

1. 準同型暗号処理により平文を暗号化した対象暗号文が正当であることを証明する証明装置であって、
   ランダムに選択された検証値からコミットメント文を生成して、前記対象暗号文が正当であることを検証する検証装置へと送信するコミットメント生成部と、
   取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を生成して、前記検証装置へと送信するレスポンス生成部と、
   を備え、
   前記レスポンス生成部は、レスポンス値を用いた第一の演算の結果が、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算で処理した結果と同一となる第三の演算により、前記レスポンス値を生成する
   証明装置。
2. 前記コミットメント生成部は、前記検証値を前記準同型暗号処理により暗号化したコミットメント文を生成して、前記検証装置へと送信し、
   前記レスポンス生成部は、演算結果を前記準同型暗号処理により暗号化した暗号文が、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを予め定められた準同型演算により合成した暗号文と同一となる演算により、前記レスポンス値を生成する
   請求項１に記載の証明装置。
3. 前記コミットメント文をハッシュ関数に入力して前記チャレンジ値を生成する証明側チャレンジ生成部をさらに備える
   請求項１または２に記載の証明装置。
4. 前記準同型暗号処理は、モディファイドエルガマル暗号処理である
   請求項１から３の何れか一項に記載の証明装置。
5. 前記コミットメント生成部は、２つの検証値ａ、ｂと、前記モディファイドエルガマル暗号処理で用いる公開鍵ＰＫおよび巡回群の生成元ｇとに基づき、下記式（１１）および下記式（１２）で表される２つのコミットメント文Ａ、Ｂを生成し
   Ａ＝ｇ^ａ …（１１）
   Ｂ＝ｇ^ｂ・ＰＫ^ａ …（１２）
   前記レスポンス生成部は、前記対象暗号文の生成に用いた乱数ｒおよび平文ｍと、チャレンジ値ｅと、前記モディファイドエルガマル暗号処理で用いる位数ｑとに基づき、下記式（１３）および下記式（１４）で表される２つのレスポンス値Ｚ_１、Ｚ_２を生成する
   Ｚ_１＝（ａ＋ｅ・ｒ） ｍｏｄ ｑ …（１３）
   Ｚ_２＝（ｂ＋ｅ・ｍ） ｍｏｄ ｑ …（１４）
   請求項４に記載の証明装置。
6. 前記証明装置は、同一の前記準同型暗号処理により複数の平文を暗号化した複数の対象暗号文が正当であることを証明するものであって、
   ランダムに選択された合成検証値を前記準同型暗号処理により暗号化した合成コミットメント文を生成して、前記検証装置へと送信する合成コミットメント生成部と、
   取得した合成チャレンジ値と前記複数の平文と前記合成検証値とを合成した合成レスポンス値を生成して、前記検証装置へと送信する合成レスポンス生成部と、
   をさらに備え、
   前記合成レスポンス生成部は、演算結果を前記準同型暗号処理により暗号化した暗号文が、前記合成チャレンジ値と前記複数の対象暗号文と前記合成コミットメント文とを予め定められた準同型演算により合成した暗号文と同一となる演算により、前記合成レスポンス値を生成する
   請求項１から５の何れか一項に記載の証明装置。
7. 前記準同型暗号処理が、モディファイドエルガマル暗号処理である場合、
   前記コミットメント生成部は、２つの合成検証値ａ_ｔｔｌ、ｂ_ｔｔｌと、前記モディファイドエルガマル暗号処理で用いる公開鍵ＰＫおよび巡回群の生成元ｇとに基づき、下記式（２１）および下記式（２２）で表される２つの合成コミットメント文Ａ_ｔｔｌ、Ｂ_ｔｔｌを生成し、
   Ａ_ｔｔｌ＝ｇ＾ａ_ｔｔｌ …（２１）
   Ｂ_ｔｔｌ＝ｇ＾ｂ_ｔｔｌ・ＰＫ＾ａ_ｔｔｌ …（２２）
   前記合成レスポンス生成部は、前記複数の対象暗号文の生成に用いたｋ個（ｋは２以上の整数）の乱数ｒ_１，ｒ_２，…，ｒ_ｋおよびｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋと、合成チャレンジ値ｅ_ｔｔｌと、前記モディファイドエルガマル暗号処理で用いる位数ｑとに基づき、下記式（２３）および下記式（２４）で表される２つの合成レスポンス値Ｚ_{１，ｔｔｌ}、Ｚ_{２，ｔｔｌ}を生成する
   Ｚ_{１，ｔｔｌ}＝ａ_ｔｔｌ＋ｅ_ｔｔｌ・（（ｒ_１＋ｒ_２＋…＋ｒ_ｋ） ｍｏｄ ｑ）） ｍｏｄ ｑ …（２３）
   Ｚ_{２，ｔｔｌ}＝ｂ_ｔｔｌ＋ｅ_ｔｔｌ・（（ｍ_１＋ｍ_２＋…＋ｍ_ｋ） ｍｏｄ ｑ）） ｍｏｄ ｑ …（２４）
   請求項６に記載の証明装置。
8. 前記証明装置は、
   前記複数の対象暗号文のそれぞれに対応する、複数の前記コミットメント生成部と、
   前記複数の対象暗号文のそれぞれに対応する、複数の前記レスポンス生成部と、
   を備える請求項６または７に記載の証明装置。
9. 準同型暗号処理により平文を暗号化した対象暗号文を生成する暗号化装置と、
   前記暗号化装置により生成した前記対象暗号文が正当であることを証明する、請求項１から８の何れか一項に記載の証明装置と、
   を備える出力装置。
10. 準同型暗号処理により平文を暗号化した対象暗号文が正当であることを検証する検証装置であって、
    前記対象暗号文が正当であることを証明する証明装置から、ランダムに選択された検証値から生成されたコミットメント文、および、取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を取得する取得部と、
    前記レスポンス値を第一の演算により演算した結果と、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算により演算した結果とが一致した場合に、前記対象暗号文が正当であると判定する検証部と、
    を備え、
    前記レスポンス値が予め定められた手順で生成されていた場合に、前記第一の演算の結果と前記第二の演算の結果とは同一となる
    検証装置。
11. 前記取得部は、前記証明装置から前記検証値を前記準同型暗号処理により暗号化した前記コミットメント文、および、前記レスポンス値を取得し、
    前記検証部は、前記レスポンス値を前記準同型暗号処理により暗号化した暗号文と、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを予め定められた準同型演算により合成した暗号文とが一致した場合に、前記対象暗号文が正当であると判定し、
    前記検証部は、前記レスポンス値が予め定められた手順で生成されていた場合に、前記レスポンス値を前記準同型暗号処理により暗号化した暗号文と演算結果が同一となる準同型演算により、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを合成する
    請求項１０に記載の検証装置。
12. 前記コミットメント文をハッシュ関数に入力して前記チャレンジ値を生成する検証側チャレンジ生成部をさらに備える
    請求項１０または１１に記載の検証装置。
13. 前記準同型暗号処理は、モディファイドエルガマル暗号処理である
    請求項１０から１２の何れか一項に記載の検証装置。
14. 前記取得部は、２つの検証値ａ、ｂと、前記モディファイドエルガマル暗号処理で用いる公開鍵ＰＫおよび巡回群の生成元ｇとに基づく、下記式（３１）および下記式（３２）で表される２つのコミットメント文Ａ、Ｂを取得し、
    Ａ＝ｇ^ａ …（３１）
    Ｂ＝ｇ^ｂ・ＰＫ^ａ …（３２）
    さらに、前記取得部は、前記対象暗号文の生成に用いた乱数ｒおよび平文ｍと、チャレンジ値ｅと、前記モディファイドエルガマル暗号処理で用いる位数ｑとに基づく、下記式（３３）および下記式（３４）で表される２つのレスポンス値Ｚ_１、Ｚ_２を取得する
    Ｚ_１＝（ａ＋ｅ・ｒ） ｍｏｄ ｑ …（３３）
    Ｚ_２＝（ｂ＋ｅ・ｍ） ｍｏｄ ｑ …（３４）
    請求項１３に記載の検証装置。
15. 前記対象暗号文を下記式（３５）および式（３６）で表されるＣ_１およびＣ_２とした場合、
    Ｃ_１＝ｇ^ｒ …（３５）
    Ｃ_２＝ｇ^ｍ・ＰＫ^ｒ …（３６）
    前記検証部は、下記式（３７）が真の場合に、前記対象暗号文が正当であると判定する
    （ｇ＾Ｚ_１＝＝Ａ・Ｃ_１ ^ｅ）∧（ｇ＾Ｚ_２・ＰＫ＾Ｚ_１＝＝Ｂ・Ｃ_２ ^ｅ） …（３７）
    請求項１４に記載の検証装置。
16. 前記検証装置は、同一の準同型暗号処理により複数の平文を暗号化した複数の対象暗号文が正当であることを検証するものであって、
    前記証明装置から、ランダムに選択された合成検証値を前記準同型暗号処理により暗号化した合成コミットメント文、および、取得した合成チャレンジ値と前記複数の平文と前記合成検証値とを合成した合成レスポンス値を取得する合成取得部と、
    前記合成レスポンス値を前記準同型暗号処理により暗号化した暗号文と、前記合成チャレンジ値と前記複数の対象暗号文と前記合成コミットメント文とを予め定められた準同型演算により合成した暗号文とが一致した場合に、前記複数の対象暗号文が正当であると判定する合成検証部と、
    を備え、
    前記合成検証部は、前記合成レスポンス値を前記準同型暗号処理により暗号化した暗号文と演算結果が同一となる準同型演算により、前記合成チャレンジ値と前記複数の対象暗号文と前記合成コミットメント文と合成する
    請求項１０から１５の何れか一項に記載の検証装置。
17. 前記準同型暗号処理が、モディファイドエルガマル暗号処理である場合、
    前記合成取得部は、２つの合成検証値ａ_ｔｔｌ、ｂ_ｔｔｌと、前記モディファイドエルガマル暗号処理で用いる公開鍵ＰＫおよび巡回群の生成元ｇとに基づく、下記式（４１）および下記式（４２）で表される２つの合成コミットメント文Ａ_ｔｔｌ、Ｂ_ｔｔｌを取得し、
    Ａ_ｔｔｌ＝ｇ＾ａ_ｔｔｌ …（４１）
    Ｂ_ｔｔｌ＝ｇ＾ｂ_ｔｔｌ・ＰＫ＾ａ_ｔｔｌ …（４２）
    さらに、前記合成取得部は、前記複数の対象暗号文の生成に用いたｋ個（ｋは２以上の整数）の乱数ｒ_１，ｒ_２，…，ｒ_ｋおよびｋ個の平文ｍ_１，ｍ_２，…，ｍ_ｋと、合成チャレンジ値ｅ_ｔｔｌと、前記モディファイドエルガマル暗号処理で用いる位数ｑとに基づく、下記式（４３）および下記式（４４）で表される２つの合成レスポンス値Ｚ_{１，ｔｔｌ}、Ｚ_{２，ｔｔｌ}を取得する
    Ｚ_{１，ｔｔｌ}＝ａ_ｔｔｌ＋ｅ_ｔｔｌ・（（ｒ_１＋ｒ_２＋…＋ｒ_ｋ） ｍｏｄ ｑ）） ｍｏｄ ｑ …（４３）
    Ｚ_{２，ｔｔｌ}＝ｂ_ｔｔｌ＋ｅ_ｔｔｌ・（（ｍ_１＋ｍ_２＋…＋ｍ_ｋ） ｍｏｄ ｑ）） ｍｏｄ ｑ …（４４）
    請求項１６に記載の検証装置。
18. 対象暗号文を下記式（４５）および式（４６）で表されるＣ_１，ｉおよびＣ_２，ｉとした場合（ｉは１以上ｋ以下の整数）、
    Ｃ_１，ｉ＝ｇ＾ｒ_ｉ …（４５）
    Ｃ_２，ｉ＝ｇ＾ｍ_ｉ・ＰＫ＾ｒ_ｉ …（４６）
    前記検証部は、下記式（４７）が真の場合に、前記複数の対象暗号文が正当であると判定する
    （ｇ＾Ｚ_{１，ｔｔｌ}＝＝Ａ_ｔｔｌ・（Ｃ_１，１・Ｃ_１，２・…・Ｃ_１，ｋ）^＾ｅ_ｔｔｌ）∧（ｇ＾Ｚ_{２，ｔｔｌ}・ＰＫ＾Ｚ_{１，ｔｔｌ}＝＝Ｂ_ｔｔｌ・（Ｃ_２，１・Ｃ_２，２・…・Ｃ_２，ｋ）^＾ｅ_ｔｔｌ） …（４７）
    請求項１７に記載の検証装置。
19. 前記検証装置は、
    前記複数の対象暗号文のそれぞれに対応する、複数の前記取得部と、
    前記複数の対象暗号文のそれぞれに対応する、複数の前記検証部と、
    を備える請求項１６から１８の何れか一項に記載の検証装置。
20. 準同型暗号処理により平文を暗号化した対象暗号文を復号する復号装置と、
    前記復号装置により復号される前記対象暗号文が正当であることを検証する、請求項１０から１９の何れか一項に記載の検証装置と、
    を備え、
    前記復号装置は、前記検証装置により前記対象暗号文が正当であると判定されたことを条件として、前記対象暗号文を復号する
    入力装置。
21. 準同型暗号処理により平文を暗号化した対象暗号文が正当であることを証明する証明方法であって、
    ランダムに選択された検証値からコミットメント文を生成して、前記対象暗号文が正当であることを検証する検証装置へと送信するコミットメント生成ステップと、
    取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を生成して、前記検証装置へと送信するレスポンス生成ステップと、
    を含み、
    前記レスポンス生成ステップでは、レスポンス値を用いた第一の演算の結果が、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算で処理した結果と同一となる第三の演算により、前記レスポンス値を生成する
    証明方法。
22. 準同型暗号処理により平文を暗号化した対象暗号文が正当であることを検証する検証方法であって、
    前記対象暗号文が正当であることを証明する証明装置から、ランダムに選択された検証値から生成されたコミットメント文、および、取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を取得する取得ステップと、
    前記レスポンス値を第一の演算により演算した結果と、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算により演算した結果とが一致した場合に、前記対象暗号文が正当であると判定する検証ステップと、
    を含み、
    前記レスポンス値が予め定められた手順で生成されていた場合に、前記第一の演算の結果と前記第二の演算の結果とは同一となる
    検証方法。
23. コンピュータを、準同型暗号処理により平文を暗号化した対象暗号文が正当であることを証明する証明装置として機能させるためのプログラムであって、
    前記コンピュータを、
    ランダムに選択された検証値からコミットメント文を生成して、前記対象暗号文が正当であることを検証する検証装置へと送信するコミットメント生成部と、
    取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を生成して、前記検証装置へと送信するレスポンス生成部と、
    して機能させ、
    前記レスポンス生成部は、レスポンス値を用いた第一の演算の結果が、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算で処理した結果と同一となる第三の演算により、前記レスポンス値を生成する
    プログラム。
24. コンピュータを、準同型暗号処理により平文を暗号化した対象暗号文が正当であることを検証する検証装置として機能させるためのプログラムであって、
    前記コンピュータを、
    前記対象暗号文が正当であることを証明する証明装置から、ランダムに選択された検証値から生成されたコミットメント文、および、取得したチャレンジ値と前記平文と前記検証値とを合成したレスポンス値を取得する取得部と、
    前記レスポンス値を第一の演算により演算した結果と、前記チャレンジ値と前記対象暗号文と前記コミットメント文とを第二の演算により演算した結果とが一致した場合に、前記対象暗号文が正当であると判定する検証部と、
    して機能させ、
    前記レスポンス値が予め定められた手順で生成されていた場合に、前記第一の演算の結果と前記第二の演算の結果とは同一となる
    プログラム。

Images