JP2015019333A - 生成装置、再暗号化装置、方法およびプログラム - Google Patents

Abstract

【課題】複数の第２鍵のうちの一部を更新する。【解決手段】実施形態の生成装置は、第１鍵生成部と、第２鍵生成部と、出力部と、更新部とを備える。第１鍵生成部は、乱数に基づきビットの系列である第１鍵を生成するための第１鍵規則に基づいて、第１鍵を生成する。第２鍵生成部は、第１鍵に基づき一部に互いに相関を有するビットの系列である複数の第２鍵を生成するための第２鍵規則に基づいて、複数の第２鍵を生成する。出力部は、第１鍵と複数の第２鍵のうち少なくとも１つの第２鍵とを出力する。更新部は、複数の第２鍵のうち一部の第２鍵を更新する場合、更新対象の第２鍵における、更新対象となっていない他の第２鍵と相関の無い部分系列を更新するための更新情報を生成する。【選択図】図５

Description

本発明の実施形態は、暗号化鍵の生成装置、再暗号化装置、方法およびプログラムに関する。

個人の既往歴または健康情報等の医療データは、将来における未病あるいは適切な医療対処のために長期間にわたり保管される。しかし、医療情報は、個人情報を含んでいるため情報漏洩時の被害が大きい。

また、情報は、保管期間が長いほど漏洩のリスクが増大する。長期間にわたって情報を安全に秘匿する技術として、情報理論的に安全性を保証する暗号技術が知られている。

特開２０１２−８０２１４号公報 特開２００７−１４３０９１号公報

C. E. Shannon, Communication theory of secrecy systems, Bell System Technical Journal, vol.28, no.4, pp. 656-715, 1949

情報理論的に安全性を保証する暗号技術を用いる場合には、通信装置は、通信相手ごとに、通信する平文と同じ長さの暗号化鍵を必要とする。そのため、通信相手の数が多い場合および通信する平文の長さが長い場合には、通信装置が管理すべき暗号化鍵のサイズが増大してしまう。従って、複数の通信相手が保持する複数の暗号化鍵を、まとめて小型化して一括管理できることが望ましい。

また、暗号化には、平文と同じビット長の暗号化鍵が必要なので、継続的に暗号通信を行うには、一定の暗号化回数または一定時間毎に更新をする必要がある。しかし、複数の暗号化鍵をまとめて小型化して一括管理した場合、これらの複数の暗号化鍵を一括して更新をしなければならない。このため、複数の暗号化鍵のうち一部のみについて更新が必要な場合も、複数の暗号化鍵の全てについて更新をしなければならない。

実施形態の生成装置は、第１鍵生成部と、第２鍵生成部と、出力部と、更新部とを備える。第１鍵生成部は、乱数に基づきビットの系列である第１鍵を生成するための第１鍵規則に基づいて、第１鍵を生成する。第２鍵生成部は、第１鍵に基づき一部に互いに相関を有するビットの系列である複数の第２鍵を生成するための第２鍵規則に基づいて、複数の第２鍵を生成する。出力部は、第１鍵と複数の第２鍵のうち少なくとも１つの第２鍵とを出力する。更新部は、複数の第２鍵のうち一部の第２鍵を更新する場合、更新対象の第２鍵における、更新対象となっていない他の第２鍵と相関の無い部分系列を更新するための更新情報を生成する。

第１実施形態の暗号処理システムの構成図。 サーバ鍵と複数のクライアント鍵との関係図。 クライアント鍵のビットの更新位置を示す図。 クライアント鍵のビットの更新位置を示す他の図。 生成装置の構成図。 クライアント端末の構成図。 サーバの構成図。 生成装置の処理フロー図。 サーバ鍵関数の内容を示す図。 クライアント鍵関数の内容を示す図。 サーバ鍵関数の内容を関数で表した図。 クライアント鍵関数の内容を関数で表した図。 第１例に係る更新部の構成図。 第１例に係る更新部の処理フロー図。 第１例に係るクライアント端末およびサーバの構成図。 第２例に係る更新部の構成図。 第２例に係る更新部の処理フロー図。 第２例に係るクライアント端末およびサーバの構成図。 第３例に係る更新部の構成図。 第３例に係る更新部の処理フロー図。 第３例に係るクライアント端末およびサーバの構成図。 第４例に係る更新部の構成図。 第４例に係る更新部の処理フロー図。 第４例に係るクライアント端末およびサーバの構成図。 第５例に係る更新部の構成図。 第５例に係る更新部の処理フロー図。 第５例に係るクライアント端末およびサーバの構成図。 第２実施形態に係る暗号処理システムの構成図。 再暗号化装置の構成図。 第２実施形態に係る暗号処理システムの処理フロー図。 コンピュータのハードウェア構成図。

（第１実施形態）
図１は、第１実施形態に係る暗号処理システム１０の構成を示す図である。暗号処理システム１０は、生成装置２０と、複数のクライアント端末３０と、サーバ４０とを備える。

生成装置２０は、コンピュータ等の情報処理装置である。生成装置２０は、サーバ鍵規則（第１鍵規則）に基づいて、乱数からサーバ鍵（第１鍵）Ｋ_Ｓを生成する。また、生成装置２０は、クライアント鍵規則（第２鍵規則）に基づいて、サーバ鍵Ｋ_Ｓから、一部に互いに相関を有するビットの系列である複数個（本例ではｎ個）のクライアント鍵（第２鍵）Ｋ_ｉ（＝Ｋ_１，Ｋ_２，…，Ｋ_ｎ）を生成する。

ｎは、１つのサーバ鍵Ｋ_Ｓから生成されるクライアント鍵Ｋ_ｉの数を表し、２以上の整数である。また、ｉは、それぞれのクライアント鍵Ｋ_ｉを識別する値であり、インデックスと呼ぶ。ｉは、複数のクライアント鍵Ｋ_ｉの全てに対応付けられており、本例では、１以上、ｎ以下の整数である。

ｎ個のクライアント鍵Ｋ_ｉのそれぞれは、平文を暗号化して暗号文を生成するため、および、その暗号文から平文を復号するためのビットの系列である。すなわち、クライアント鍵Ｋ_ｉは、暗号用および復号用が同一のデータ系列の暗号化鍵である。ｎ個のクライアント鍵Ｋ_ｉのそれぞれは、秘匿して管理がされる秘密情報である。

なお、ｎ個のクライアント鍵Ｋ_ｉのそれぞれは、暗号化鍵ＥＫ_ｉ（＝ＥＫ_１，ＥＫ_２，…，ＥＫ_ｎ）の生成の種となるビットの系列であってもよい。暗号化鍵ＥＫ_ｉのそれぞれは、平文を暗号化して暗号文を生成するため、および、その暗号文から平文を復号するためのビットの系列である。従って、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種となる場合には、クライアント鍵Ｋ_ｉ自体は、鍵とはならない。

また、この場合、生成装置２０は、複数のクライアント鍵Ｋ_ｉのそれぞれに対応して、変換関数Ｆδ_ｉ（＝Ｆδ_１，Ｆδ_２，…，Ｆδ_ｎ）を生成する。変換関数Ｆδ_ｉは、コンピュータがビットの変換をするための関数またはプログラム等である。変換関数Ｆδ_ｉは、一例として、一対一関数または擬似ランダム関数等である。

サーバ鍵Ｋ_Ｓは、ｎ個のクライアント鍵Ｋ_ｉの生成の種となるビットの系列である。なお、サーバ鍵Ｋ_Ｓは、そのデータ系列自体が、何からの平文の暗号化鍵となっていない。サーバ鍵Ｋ_Ｓは、秘匿して管理がされる秘密情報である。

サーバ鍵規則およびクライアント鍵規則は、コンピュータにより実行が可能な形式で記述されている電子データであって、例えば、コンピュータにより実行される関数またはプログラム等である。サーバ鍵規則は、乱数に基づきサーバ鍵Ｋ_Ｓを生成する規則（関数またはプログラム等）である。また、クライアント鍵規則は、サーバ鍵Ｋ_Ｓに基づきクライアント鍵Ｋ_ｉを生成する規則（関数またはプログラム等）である。

より詳細には、クライアント鍵規則とは、サーバ鍵Ｋ_Ｓの１つ以上の部分系列を抽出してクライアント鍵Ｋ_ｉを生成するための規則である。すなわち、クライアント鍵規則は、クライアント鍵Ｋ_ｉを定めるための規則である。クライアント鍵Ｋ_ｉは、１つ以上の部分系列を要素とする第１部分系列集合に基づいて定められる。複数のクライアント鍵Ｋ_ｉのうち、いずれか２つのクライアント鍵Ｋ_ｉの第１部分系列集合の少なくとも１つの部分系列が共通する。部分系列とは、サーバ鍵Ｋ_Ｓの部分情報である。なお、サーバ鍵規則およびクライアント鍵規則は、公開された情報（すなわち、秘匿されていない情報）であってもよいし、秘匿して管理される秘密情報であってもよい。

生成装置２０は、複数のクライアント端末３０のそれぞれとクライアント鍵Ｋ_ｉのインデックスｉとの対応関係を示すインデックス情報を生成する。一つのクライアント端末３０は、複数のインデックスｉと対応してよい。生成装置２０は、生成したｎ個のクライアント鍵Ｋ_ｉのそれぞれを、インデックスｉに対応するクライアント端末３０に送信する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、生成装置２０は、クライアント鍵Ｋ_ｉのそれぞれに対応して、対応する変換関数Ｆδ_ｉのそれぞれをクライアント端末３０に送信する。

生成装置２０は、生成したサーバ鍵Ｋ_Ｓおよびクライアント鍵規則をサーバ４０に送信する。クライアント鍵規則が公開されている場合、生成装置２０は、クライアント鍵規則をサーバ４０に送信しなくてもよい。また、生成装置２０は、インデックス情報もサーバ４０に送信する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、生成装置２０は、インデックスｉのそれぞれに対応した変換関数Ｆδ_ｉのそれぞれをサーバ４０に送信する。

生成装置２０は、サーバ鍵Ｋ_Ｓおよび複数のクライアント鍵Ｋ_ｉを生成してから所定回数の暗号通信後または所定期間を経過した後、複数のクライアント鍵Ｋ_ｉのうちのいずれかを更新するためのサーバ鍵更新情報ｓｒｉおよびクライアント鍵更新情報ｃｒｉを生成する。生成装置２０は、サーバ鍵更新情報ｓｒｉをサーバ４０に送信する。また、生成装置２０は、クライアント鍵更新情報ｃｒｉを、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０に送信する。

サーバ４０は、データ処理を実行する情報処理装置（第１情報処理装置）の一例である。サーバ４０は、サーバ鍵Ｋ_Ｓおよびクライアント鍵規則を生成装置２０から受信する。なお、クライアント鍵規則が公開されている場合、サーバ４０は、公開元の情報処理装置等からクライアント鍵規則を取得する。また、サーバ４０は、複数のクライアント端末３０のそれぞれと、そのクライアント端末３０が受信したクライアント鍵Ｋ_ｉのインデックスｉとの対応関係を示すインデックス情報も、生成装置２０から受信する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ４０は、インデックスｉのそれぞれに対応した変換関数Ｆδ_ｉのそれぞれを生成装置２０から受信する。

サーバ４０は、サーバ鍵Ｋ_Ｓを受信してから所定回数の暗号通信後または所定期間を経過した後、サーバ鍵更新情報ｓｒｉを生成装置２０から受信する。サーバ４０は、受信したサーバ鍵更新情報ｓｒｉに基づき、保持しているサーバ鍵Ｋ_Ｓおよびクライアント鍵規則の少なくとも一方を更新する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ４０は、受信したサーバ鍵更新情報ｓｒｉに基づき、更新対象のクライアント鍵Ｋ_ｉに対応する変換関数Ｆδ_ｉを更新してもよい。

複数のクライアント端末３０のそれぞれは、データ処理を実行する情報処理装置（第２情報処理装置）の一例である。複数のクライアント端末３０のそれぞれは、情報処理装置を内蔵した各種の医療機器または電子機器等であってもよい。複数のクライアント端末３０のそれぞれは、生成装置２０から対応するクライアント鍵Ｋ_ｉを受信する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、複数のクライアント端末３０のそれぞれは、クライアント鍵Ｋ_ｉに対応した変換関数Ｆδ_ｉを生成装置２０から受信する。

更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０は、クライアント鍵Ｋ_ｉを受信してから所定回数の暗号通信後または所定期間を経過した後、クライアント鍵更新情報ｃｒｉを生成装置２０から受信する。クライアント端末３０は、受信したクライアント鍵更新情報ｃｒｉに基づき、保持しているクライアント鍵Ｋ_ｉを更新する。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、クライアント端末３０は、受信したクライアント鍵更新情報ｃｒｉに基づき、変換関数Ｆδ_ｉを更新してもよい。

このような構成の暗号処理システム１０において、サーバ４０と、複数のクライアント端末３０のそれぞれとの間で、クライアント鍵Ｋ_ｉを用いた暗号通信がされる。クライアント端末３０からサーバ４０へと暗号文を伝達する場合、次のように処理がされる。

複数のクライアント端末３０のそれぞれは、平文Ｍ_ｉ（＝Ｍ_１，Ｍ_２，…，Ｍ_ｎ）を、対応するクライアント鍵Ｋ_ｉ（＝Ｋ_１，Ｋ_２，…，Ｋ_ｎ）で暗号化して、暗号文Ｃ_ｉ（＝Ｃ_１，Ｃ_２，…，Ｃ_ｎ）を生成する。複数のクライアント端末３０のそれぞれは、一例として、互いに同一のビット長の、平文Ｍ_ｉとクライアント鍵Ｋ_ｉとを排他的論理和演算して、暗号文Ｃ_ｉを生成する。そして、複数のクライアント端末３０のそれぞれは、生成した暗号文Ｃ_ｉをサーバ４０へと送信する。

なお、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、複数のクライアント端末３０のそれぞれは、対応するクライアント鍵Ｋ_ｉ（＝Ｋ_１，Ｋ_２，…，Ｋ_ｎ）と対応する変換関数Ｆδ_ｉ（＝Ｆδ_１，Ｆδ_２，…，Ｆδ_ｎ）とから、暗号化鍵ＥＫ_ｉ（＝ＥＫ_１，ＥＫ_２，…，ＥＫ_ｎ）を生成する。ここで、ＥＫ_ｉ＝Ｆδ_ｉ（Ｋ_ｉ）である。そして、複数のクライアント端末３０のそれぞれは、対応する暗号化鍵ＥＫ_ｉで暗号化して、暗号文Ｃ_ｉ（＝Ｃ_１，Ｃ_２，…，Ｃ_ｎ）を生成する。

サーバ４０は、クライアント端末３０から暗号文Ｃ_ｉを受信する。サーバ４０は、インデックス情報を参照して、暗号文Ｃ_ｉを送信したクライアント端末３０の端末情報から、暗号文Ｃ_ｉを暗号化したクライアント鍵Ｋ_ｉのインデックスｉを検出する。サーバ４０は、検出したインデックスｉとサーバ鍵Ｋ_Ｓとをクライアント鍵規則に入力して、対応するクライアント鍵Ｋ_ｉを生成する。そして、サーバ４０は、生成したクライアント鍵Ｋ_ｉにより暗号文Ｃ_ｉを復号して、平文Ｍ_ｉを生成する。なお、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ４０は、生成したクライアント鍵Ｋ_ｉと対応する変換関数Ｆδ_ｉとから暗号化鍵ＥＫ_ｉを生成し、生成した暗号化鍵ＥＫ_ｉにより平文Ｍ_ｉを生成する。

また、サーバ４０からクライアント端末３０へと暗号文を伝達する場合、次のように処理がされる。サーバ４０は、インデックス情報を参照して、送信先のクライアント端末３０の端末情報から、送信先のクライアント端末３０が保持しているクライアント鍵Ｋ_ｉのインデックスｉを検出する。サーバ４０は、検出したインデックスｉとサーバ鍵Ｋ_Ｓとをクライアント鍵規則に入力して、対応するクライアント鍵Ｋ_ｉを生成する。サーバ４０は、平文Ｍ_ｉをクライアント鍵Ｋ_ｉで暗号化して、暗号文Ｃ_ｉを生成する。そして、サーバ４０は、生成した暗号文Ｃ_ｉを対応するクライアント端末３０へと送信する。暗号文Ｃ_ｉを受信したクライアント端末３０は、保持しているクライアント鍵Ｋ_ｉにより暗号文Ｃ_ｉを復号して、平文Ｍ_ｉを生成する。

なお、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ４０は、生成したクライアント鍵Ｋ_ｉと対応する変換関数Ｆδ_ｉとから暗号化鍵ＥＫ_ｉを生成し、生成した暗号化鍵ＥＫ_ｉにより暗号文Ｃ_ｉを生成する。また、暗号文Ｃ_ｉを受信したクライアント端末３０は、保持しているクライアント鍵Ｋ_ｉと対応する変換関数Ｆδ_ｉとから暗号化鍵ＥＫ_ｉを生成し、生成した暗号化鍵ＥＫ_ｉにより平文Ｍ_ｉを生成する。

このような構成の暗号処理システム１０は、例えば、多数のクライアント端末３０が有するプライバシー情報等をサーバ４０に収集させて、一括して管理することができる。例えば、暗号処理システム１０は、患者の状態を検出するセンサ（体温計、血圧計、脈拍計）等をクライアント端末３０として機能させることにより、複数のセンサから検出データをサーバ４０が収集して一括して管理する医療システムに適用することができる。そして、サーバ４０は、検出データの出力が必要な場合には、サーバ鍵Ｋ_Ｓおよびクライアント鍵規則から対応するクライアント鍵Ｋ_ｉを生成して、検出データを復号することができる。

また、暗号処理システム１０は、一例として、所定のグループ毎（病院毎、病棟毎、診療科毎または担当医者毎）に、サーバ鍵Ｋ_Ｓおよびクライアント鍵Ｋ_ｉを変更して、グループ外に対する秘匿性を高めてもよい。

図２は、サーバ鍵Ｋ_Ｓと複数のクライアント鍵Ｋ_ｉとの関係を示す図である。

ここで、生成装置２０は、一部に互いに相関を有するビットの系列である複数のクライアント鍵Ｋ_ｉを生成するためのクライアント鍵規則に基づいて、複数のクライアント鍵Ｋ_ｉを生成する。互いに相関を有するビットの系列とは、ビットパターンが完全に同一である関係、または、ビットパターンが完全に同一ではないが予め定められたデータ変換（例えばビット反転、一対一関数または線形変換等）をすれば同一となる関係等をいう。

暗号処理システム１０は、ｎ個のクライアント鍵Ｋ_ｉの間にこのような相関性をもたせることにより、サーバ鍵Ｋ_Ｓの同一の部分系列から、複数のクライアント鍵Ｋ_ｉの一部分を生成することができる。これにより、暗号処理システム１０は、サーバ鍵Ｋ_Ｓのビット長を、ｎ個のクライアント鍵Ｋ_ｉの合計のビット長よりも短くすることができる。この結果、暗号処理システム１０によれば、サーバ４０が、ｎ個のクライアント鍵Ｋ_ｉの全てを保持したり、ｎ個のクライアント鍵Ｋ_ｉの合計と同一のビット長のサーバ鍵Ｋ_Ｓを保持したりしなくてよいので、ｎ個のクライアント鍵Ｋ_ｉの管理を容易にすることができる。

なお、１つのクライアント鍵Ｋ_ｉの系列の中には、異なる２以上のクライアント鍵Ｋ_ｉと相関を有する複数の部分系列を含んでいてもよい。例えば、第１のクライアント鍵Ｋ_１の系列の中は、第２のクライアント鍵Ｋ_２と相関を有する部分系列と、第３のクライアント鍵Ｋ_３と相関を有する部分系列とを含んでもよい。これにより、生成装置２０は、サーバ鍵Ｋ_Ｓを効率良く短くすることが可能なクライアント鍵Ｋ_ｉを生成することができる。

また、１つのクライアント鍵Ｋ_ｉの系列の中には、複数のクライアント鍵Ｋ_ｉと同時に相関を有する部分系列を含んでいてもよい。例えば、第１のクライアント鍵Ｋ_１の系列の中には、第２のクライアント鍵Ｋ_２および第３のクライアント鍵Ｋ_３の両方に相関を有する部分系列を含んでもよい。これにより、生成装置２０は、サーバ鍵Ｋ_Ｓを効率良く短くすることが可能なクライアント鍵Ｋ_ｉを生成することができる。

また、それぞれのクライアント鍵Ｋ_ｉの系列の中には、他のクライアント鍵Ｋ_ｉと相関の無い部分系列を含んでいてもよい。これにより、生成装置２０は、攻撃者が他のクライアント鍵Ｋ_ｉを獲得した場合における、安全性を高くすることができる。

なお、クライアント鍵Ｋ_ｉの系列は、他のクライアント鍵Ｋ_ｉと相関の無い部分系列を長くすれば、他のクライアント鍵Ｋ_ｉを獲得した攻撃者による攻撃耐性が高まり安全性が高くなるが、サーバ鍵Ｋ_Ｓのビット長を長くしてしまう。反対に、クライアント鍵Ｋ_ｉの系列は、他のクライアント鍵Ｋ_ｉと相関を有する部分系列を長くすれば、サーバ鍵Ｋ_Ｓのビット長を短くすることができるが、他のクライアント鍵Ｋ_ｉを取得した攻撃者による攻撃耐性が低まり安全性が低くなる。

このため、暗号処理システム１０は、それぞれのクライアント鍵Ｋ_ｉにおける他のクライアント鍵Ｋ_ｉに対する相関の強さ（例えば、相関の有る系列と無い系列との比率、および、同一の系列と相関がある他のクライアント鍵Ｋ_ｉの数等）を、使用する状況等に応じて調整してもよい。これにより、暗号処理システム１０は、ユーザの意図した安全性を有するクライアント鍵Ｋ_ｉを生成することができる。

図３および図４は、サーバ鍵Ｋ_Ｓおよびクライアント鍵Ｋ_ｉのビットの更新位置を示す図である。

生成装置２０は、サーバ鍵Ｋ_Ｓおよび複数のクライアント鍵Ｋ_ｉを生成した後に、複数のクライアント鍵Ｋ_ｉのうちの一部のクライアント鍵Ｋ_ｉを更新することができる。この場合、生成装置２０は、更新対象のクライアント鍵Ｋ_ｉにおける、更新対象となっていない他のクライアント鍵Ｋ_ｉと相関の無い部分系列を更新する。

さらに、生成装置２０は、サーバ鍵Ｋ_Ｓの系列の一部を更新する。具体的には、生成装置２０は、サーバ鍵Ｋ_Ｓの系列中における、更新対象のクライアント鍵Ｋ_ｉの更新する部分系列に対応する部分を更新する。この場合、生成装置２０は、更新後のサーバ鍵Ｋ_Ｓとクライアント鍵規則とから、更新後のクライアント鍵Ｋ_ｉの系列が生成されるように、サーバ鍵Ｋ_Ｓを更新する。

また、生成装置２０は、クライアント鍵規則の一部を更新してもよい。例えば、生成装置２０は、更新対象のクライアント鍵Ｋ_１を構成する部分系列からクライアント鍵Ｋ_１へ変換するための変換関数を更新する。この場合も、生成装置２０は、サーバ鍵Ｋ_Ｓと更新後のクライアント鍵規則とから、更新後のクライアント鍵Ｋ_ｉの系列が生成されるように、クライアント鍵規則を更新する。

また、生成装置２０は、サーバ鍵Ｋ_Ｓおよびクライアント鍵規則の両者を更新してもよい。

例えば、図３に示すように、１つのクライアント鍵Ｋ_１を更新し、他のクライアント鍵Ｋ_２，Ｋ_３，Ｋ_４を更新しない場合、生成装置２０は、クライアント鍵Ｋ_１の系列中おける、他のいずれのクライアント鍵Ｋ_２，Ｋ_３，Ｋ_４とも相関の無い部分系列を変更する。また、生成装置２０は、サーバ鍵Ｋ_Ｓの系列中における対応する部分、および、クライアント鍵規則の対応する部分の少なくとも一方も変更する。

また、例えば、図４に示すように、２つのクライアント鍵Ｋ_１，Ｋ_２を更新し、他のクライアント鍵Ｋ_３，Ｋ_４を更新しない場合、生成装置２０は、クライアント鍵Ｋ_１，Ｋ_２の系列中おける、他のいずれのクライアント鍵Ｋ_３，Ｋ_４とも相関の無い部分系列を変更する。なお、この場合には、生成装置２０は、クライアント鍵Ｋ_１とクライアント鍵Ｋ_２との間でのみ相関がある系列も変更してもよい。また、この場合も、生成装置２０は、サーバ鍵Ｋ_Ｓの系列中における対応する部分、および、クライアント鍵規則の対応する部分の少なくとも一方も変更する。

このように暗号処理システム１０は、複数のクライアント鍵Ｋ_ｉの間に相関性を持たせた場合であっても、複数のクライアント鍵Ｋ_ｉのうちの一部のクライアント鍵Ｋ_ｉを個別に更新することができる。これにより、暗号処理システム１０は、複数のクライアント鍵Ｋ_ｉを効率良く更新することができる。

図５は、第１実施形態に係る生成装置２０の構成を示す図である。生成装置２０は、入力部５１と、乱数発生部５２と、サーバ鍵生成部（第１鍵生成部）５３と、クライアント鍵生成部（第２鍵生成部）５４と、出力部５５と、更新部６０とを有する。

入力部５１は、ユーザから与えられた鍵生成のリクエストを入力する。また、入力部５１は、サーバ鍵規則およびクライアント鍵規則を、外部の情報処理装置等から入力する。なお、入力部５１は、サーバ鍵規則およびクライアント鍵規則を外部の情報処理装置等から入力するのではなく、内部に秘密に保持されているサーバ鍵規則およびクライアント鍵規則を取得してもよい。入力部５１は、サーバ鍵規則をサーバ鍵生成部５３に渡し、クライアント鍵規則をクライアント鍵生成部５４および出力部５５に渡す。

乱数発生部５２は、乱数を発生し、発生した乱数をサーバ鍵生成部５３に渡す。サーバ鍵生成部５３は、入力部５１から受け取ったサーバ鍵規則に基づいて、乱数発生部５２により発生された乱数に基づきサーバ鍵Ｋ_Ｓを生成する。サーバ鍵生成部５３は、生成したサーバ鍵Ｋ_Ｓをクライアント鍵生成部５４および出力部５５に渡す。

クライアント鍵生成部５４は、入力部５１から受け取ったクライアント鍵規則に基づいて、サーバ鍵生成部５３から受け取ったサーバ鍵Ｋ_Ｓから、ｎ個のクライアント鍵Ｋ_ｉを生成する。クライアント鍵生成部５４は、生成したｎ個のクライアント鍵Ｋ_ｉを出力部５５に渡す。また、クライアント鍵生成部５４は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、ｎ個の変換関数Ｆδ_ｉも生成して、出力部５５に渡す。

出力部５５は、サーバ鍵生成部５３から受け取ったサーバ鍵Ｋ_Ｓ、および、入力部５１から受け取ったクライアント鍵規則をサーバ４０に対して出力する。なお、出力部５５は、サーバ４０が外部の情報処理装置等からクライアント鍵規則を取得可能な場合には、クライアント鍵規則をサーバ４０に対して出力しなくてもよい。

また、出力部５５は、クライアント鍵生成部５４から受け取ったｎ個のクライアント鍵Ｋ_ｉのそれぞれを、対応するクライアント端末３０に対して出力する。さらに、出力部５５は、クライアント端末３０と、そのクライアント端末３０に出力したクライアント鍵Ｋ_ｉのインデックスｉとの対応関係を示すインデックス情報をサーバ４０に出力する。また、出力部５５は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、ｎ個の変換関数Ｆδ_ｉのそれぞれを、対応するクライアント端末３０に対して出力する。

更新部６０は、ユーザから更新のリクエストを入力する。さらに、更新部６０は、更新対象のクライアント鍵Ｋ_ｉのインデックスｉの集合を入力する。更新部６０は、入力部５１が入力したサーバ鍵規則およびクライアント鍵規則を受け取る。更新部６０は、サーバ鍵規則およびクライアント鍵規則に基づき、更新対象のクライアント鍵Ｋ_ｉを更新するためのサーバ鍵更新情報ｓｒｉおよびクライアント鍵更新情報ｃｒｉを生成する。ここで、サーバ鍵更新情報ｓｒｉおよびクライアント鍵更新情報ｃｒｉは、乱数、公開情報、システム管理番号および鍵のリビジョン番号等に基づいて生成される。

更新部６０は、クライアント鍵更新情報ｃｒｉをクライアント端末３０に出力する。また、更新部６０は、サーバ鍵更新情報ｓｒｉをサーバ４０に出力する。なお、更新部６０の構成の詳細については、図１３以降でさらに説明する。

図６は、第１実施形態に係るクライアント端末３０の構成を示す図である。クライアント端末３０は、クライアント内保持部６１と、クライアント内変換部６２と、クライアント内暗号化部６３と、クライアント内送信部６４と、クライアント内受信部６５と、クライアント内復号部６６と、クライアント内更新部６７とを有する。

クライアント内保持部６１は、生成装置２０から出力されたクライアント鍵Ｋ_ｉを受け取って保持する。また、クライアント内保持部６１は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、生成装置２０から出力された変換関数Ｆδ_ｉを受け取って保持する。

クライアント内変換部６２は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉを、変換関数Ｆδ_ｉに基づき暗号化鍵ＥＫ_ｉに変換する。なお、クライアント端末３０は、クライアント鍵Ｋ_ｉがそのまま暗号化鍵となる場合には、クライアント内変換部６２を備えなくてよい。

サーバ４０へ暗号文Ｃ_ｉを送信する場合、クライアント内暗号化部６３は、平文Ｍ_ｉを例えば機器本体等から受け取る。クライアント内暗号化部６３は、受け取った平文Ｍ_ｉを、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉまたはクライアント内変換部６２により変換された暗号化鍵ＥＫ_ｉにより暗号化して、暗号文Ｃ_ｉを生成する。クライアント内暗号化部６３は、生成した暗号文Ｃ_ｉをクライアント内送信部６４に渡す。そして、クライアント内送信部６４は、クライアント内暗号化部６３から受け取った暗号文Ｃ_ｉを、サーバ４０へと送信する。

暗号文Ｃ_ｉをサーバ４０から受信する場合、クライアント内受信部６５は、サーバ４０から送信された暗号文Ｃ_ｉを受信し、受信した暗号文Ｃ_ｉをクライアント内復号部６６に渡す。クライアント内復号部６６は、クライアント内受信部６５から受け取った暗号文Ｃ_ｉを、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉまたはクライアント内変換部６２により変換された暗号化鍵ＥＫ_ｉにより復号して、平文Ｍ_ｉを生成する。そして、クライアント内復号部６６は、生成した平文Ｍ_ｉを例えば機器本体等に出力する。なお、暗号化および復号が同一処理により実行される場合には、クライアント内暗号化部６３およびクライアント内復号部６６は共通のモジュール等により実現されていてもよい。

クライアント内更新部６７は、生成装置２０から出力されたクライアント鍵更新情報ｃｒｉを受け取る。クライアント内更新部６７は、受け取ったクライアント鍵更新情報ｃｒｉに応じて、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉまたは変換関数Ｆδ_ｉを更新する。

なお、クライアント内変換部６２は、暗号文Ｃ_ｉの送信時および受信時毎に、クライアント鍵Ｋ_ｉを暗号化鍵ＥＫ_ｉに変換するのではなく、生成装置２０からクライアント鍵Ｋ_ｉおよび変換関数Ｆδ_ｉを最初に受け取ったとき、または、生成装置２０により更新された時に、クライアント鍵Ｋ_ｉを暗号化鍵ＥＫ_ｉに変換してもよい。この場合、クライアント内保持部６１は、クライアント内変換部６２により変換された暗号化鍵ＥＫ_ｉを保持する。そして、クライアント内暗号化部６３およびクライアント内復号部６６は、暗号文Ｃ_ｉの送信時および受信時毎に、クライアント内保持部６１から暗号化鍵ＥＫ_ｉを取得する。

図７は、第１実施形態に係るサーバ４０の構成を示す図である。サーバ４０は、サーバ内保持部７１と、サーバ内受信部７２と、サーバ内クライアント鍵生成部７３と、サーバ内変換部７４と、サーバ内復号部７５と、サーバ内暗号化部７６と、サーバ内送信部７７と、サーバ内更新部７８とを有する。

サーバ内保持部７１は、生成装置２０から出力されたサーバ鍵Ｋ_Ｓおよびクライアント鍵規則を受け取って保持する。なお、サーバ内保持部７１は、クライアント鍵規則が公開されている場合には、公開元の情報処理装置からクライアント鍵規則を受け取る。また、サーバ内保持部７１は、それぞれのクライアント端末３０とクライアント鍵Ｋ_ｉのインデックスｉとの関係を示すインデックス情報を生成装置２０から受け取って、保持する。また、サーバ内保持部７１は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、生成装置２０から出力されたｎ個の変換関数Ｆδ_ｉを受け取って保持する。

サーバ内受信部７２は、クライアント端末３０から送信された暗号文Ｃ_ｉを受信し、受信した暗号文Ｃ_ｉをサーバ内復号部７５に渡す。サーバ内受信部７２は、さらに暗号文Ｃ_ｉを送信したクライアント端末３０を特定する端末情報を、サーバ内クライアント鍵生成部７３に渡す。

暗号文Ｃ_ｉを受信した場合には、サーバ内クライアント鍵生成部７３は、サーバ内受信部７２から受け取った端末情報、および、サーバ内保持部７１に保持されているインデックス情報に基づき、暗号文Ｃ_ｉを生成したクライアント鍵Ｋ_ｉのインデックスｉを特定する。サーバ内クライアント鍵生成部７３は、インデックスｉを特定すると、サーバ内保持部７１に保持されているクライアント鍵規則に基づいて、サーバ内保持部７１に保持されているサーバ鍵Ｋ_Ｓから、インデックスｉに対応するクライアント鍵Ｋ_ｉを生成する。

サーバ内変換部７４は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、サーバ内クライアント鍵生成部７３が生成したクライアント鍵Ｋ_ｉを受け取る。サーバ内変換部７４は、受け取ったクライアント鍵Ｋ_ｉを、サーバ内保持部７１に保持された対応する変換関数Ｆδ_ｉに基づき暗号化鍵ＥＫ_ｉに変換する。なお、サーバ４０は、クライアント鍵Ｋ_ｉがそのまま暗号化鍵となる場合には、サーバ内変換部７４を備えなくてよい。また、サーバ４０は、サーバ内クライアント鍵生成部７３とサーバ内変換部７４とを合成したブロックを有してもよい。この場合、この合成したブロックは、クライアント鍵規則および変換関数を合成した合成関数を実行して、インデックスｉから暗号化鍵ＥＫ_ｉを直接生成する。

サーバ内復号部７５は、サーバ内受信部７２から受け取った暗号文Ｃ_ｉを、サーバ内クライアント鍵生成部７３により生成されたクライアント鍵Ｋ_ｉまたはサーバ内変換部７４により変換された暗号化鍵ＥＫ_ｉにより復号して、平文Ｍ_ｉを生成する。そして、サーバ内復号部７５は、生成した平文Ｍ_ｉを出力する。

暗号文Ｃ_ｉを送信する場合には、サーバ内クライアント鍵生成部７３は、暗号文の送信先のクライアント端末３０を特定する端末情報を取得する。サーバ内クライアント鍵生成部７３は、受け取った端末情報、および、サーバ内保持部７１に保持されているインデックス情報に基づき、送信先のクライアント端末３０が保持しているクライアント鍵Ｋ_ｉのインデックスｉを特定する。サーバ内クライアント鍵生成部７３は、インデックスｉを特定すると、サーバ内保持部７１に保持されているクライアント鍵規則に基づいて、サーバ内保持部７１に保持されているサーバ鍵Ｋ_Ｓから、インデックスｉに対応するクライアント鍵Ｋ_ｉを生成する。

サーバ内変換部７４は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、サーバ内クライアント鍵生成部７３が生成したクライアント鍵Ｋ_ｉを受け取る。サーバ内変換部７４は、受け取ったクライアント鍵Ｋ_ｉを、サーバ内保持部７１に保持された対応する変換関数Ｆδ_ｉに基づき暗号化鍵ＥＫ_ｉに変換する。

サーバ内暗号化部７６は、平文Ｍ_ｉを外部から受け取る。サーバ内暗号化部７６は、受け取った平文Ｍ_ｉを、サーバ内クライアント鍵生成部７３から受け取ったクライアント鍵Ｋ_ｉまたはサーバ内変換部７４により変換された暗号化鍵ＥＫ_ｉにより暗号化して、暗号文Ｃ_ｉを生成する。サーバ内暗号化部７６は、生成した暗号文Ｃ_ｉをサーバ内送信部７７に渡す。そして、サーバ内送信部７７は、サーバ内暗号化部７６から受け取った暗号文Ｃ_ｉを、送信先となるクライアント端末３０へと送信する。なお、暗号化および復号が同一処理により実行される場合には、サーバ内復号部７５およびサーバ内暗号化部７６は共通のモジュール等により実現されていてもよい。

図８は、第１実施形態に係る生成装置２０の処理フローを示す図である。まず、ステップＳ１１において、生成装置２０の入力部５１は、鍵生成のリクエストを入力する。続いて、ステップＳ１２において、入力部５１は、サーバ鍵規則およびクライアント鍵規則を取得する。また、ステップＳ１２において、入力部５１は、クライアント鍵Ｋ_ｉのビット系列を暗号化鍵ＥＫ_ｉのビット系列に変換するための変換関数Ｆδ_ｉを取得してもよい。

続いて、ステップＳ１３において、生成装置２０のサーバ鍵生成部５３は、サーバ鍵規則を実行して、乱数に基づきサーバ鍵Ｋ_Ｓを生成する。ここで、本例において、サーバ鍵規則は、下記の式（１）に示されるような、乱数ｒを入力してサーバ鍵Ｋ_Ｓのビットの系列を出力するサーバ鍵関数である。なお、式（１）のサーバ鍵関数の内容については、図９を参照して詳細を後述する。

続いて、生成装置２０のクライアント鍵生成部５４は、インデックスｉ毎に、ステップＳ１４からステップＳ１７のループ処理を実行する。本例においては、クライアント鍵生成部５４は、ｉ＝１からｉ＝ｎまで、ｉを１ずつ増加させながら、ステップＳ１５およびステップＳ１６の処理を実行する。

クライアント鍵生成部５４は、ステップＳ１５において、クライアント鍵規則を実行して、サーバ鍵Ｋ_Ｓに基づき、インデックスｉに対応するクライアント鍵Ｋ_ｉを生成する。ここで、本例において、クライアント鍵規則は、下記の式（２）に示されるような、サーバ鍵Ｋ_Ｓおよびインデックスｉを入力してクライアント鍵Ｋ_ｉのビットの系列を出力するクライアント鍵関数である。なお、式（２）のクライアント鍵関数の内容については、図１０等を参照して詳細を後述する。

続いて、クライアント鍵生成部５４は、ステップＳ１６において、クライアント鍵Ｋ_ｉのビット系列を暗号化鍵ＥＫ_ｉのビット系列に変換するための変換関数Ｆδ_ｉを生成する。クライアント鍵生成部５４は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、ステップＳ１６を実行し、クライアント鍵Ｋ_ｉのビット系列がそのまま暗号化鍵となる場合には、ステップＳ１６を実行しない。また、クライアント鍵生成部５４は、ステップＳ１２で既に変換関数Ｆδ_ｉを取得している場合も、ステップＳ１６を実行しない。

ステップＳ１７において、クライアント鍵生成部５４は、ｉ＝ｎとなるとループ処理を抜けて、処理をステップＳ１８に進める。ステップＳ１８において、生成装置２０の出力部５５は、サーバ鍵Ｋ_Ｓおよびクライアント鍵規則をサーバ４０に対して出力する。なお、出力部５５は、サーバ４０が外部からクライアント鍵規則を取得可能な場合には、クライアント鍵規則をサーバ４０に対して出力しなくてもよい。また、出力部５５は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、ｎ個の変換関数Ｆδ_ｉもサーバ４０に対して出力する。

また、出力部５５は、ｎ個のクライアント鍵Ｋ_ｉのそれぞれを、対応するクライアント端末３０に対して出力する。また、出力部５５は、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、ｎ個の変換関数Ｆδ_ｉのそれぞれも対応するクライアント端末３０に対して出力する。そして、生成装置２０は、ステップＳ１８の処理が完了すると、本フローを終了する。

図９は、サーバ鍵関数ＳＫｅｙＧｅｎ（ｒ）の内容の一例を示す図である。サーバ鍵関数は、乱数ｒが入力される。

サーバ鍵関数は、入力された乱数ｒを、複数の部分系列に分割する。さらに、サーバ鍵関数は、複数の集合Ｄのそれぞれに対して、複数の部分系列のそれぞれを対応付ける。

ここで、集合Ｄは、インデックスを要素とする集合であって、１からｎまでのインデックスの全ての組み合わせを表す。例えば、ｎ＝３である場合（すなわち、ｉ＝１，２，３である場合）、集合Ｄ＝｛１｝，｛２｝，｛３｝，｛１，２｝，｛１，３｝，｛２，３｝，｛１，２，３｝となる。なお、｛ｘ，ｙ，ｚ｝は、ｘとｙとｚとの組み合わせの集合を表す。

また、集合Ｄに対応付けた部分系列を、Ｋ^Ｄと表す。従って、乱数ｒは、一例として、下記の式（３）のように表される。なお、‖は、左右のビット列を結合する演算子である。また、部分系列Ｋ^Ｄは、集合Ｄの要素に対応するクライアント鍵Ｋ_ｉの生成に用いられる情報であることを意味する。例えば、Ｋ^{｛１，２｝}は、クライアント鍵Ｋ_１、Ｋ_２の生成に用いられる情報である。

また、それぞれの部分系列のビット長は、サーバ鍵関数により定められる。部分系列Ｋ^Ｄのビット長を、ｌ^Ｄと表す。ｌ^Ｄは０以上の整数である。

さらに、サーバ鍵関数は、複数の部分系列Ｋ^Ｄを一列に配列して、連結する。サーバ鍵関数は、一例として、対応付けられた集合Ｄに含まれているインデックス（要素）の数が少ないほど左側に配置し、インデックス（要素）の数が同一の場合にはより小さい値のインデックス（要素）を含むほど左側に配置する。

例えば、サーバ鍵関数は、Ｋ^｛１｝とＫ^{｛２，３｝}とであれば、インデックス（要素）の数が少ないＫ^｛１｝を左側に配置する。また、例えば、サーバ鍵関数は、Ｋ^{｛１，２｝}とＫ^{｛２，３｝}とであればより小さい値のインデックス（要素）を含むＫ^{｛１，２｝}を左側に配置する。また、例えば、サーバ鍵関数は、Ｋ^{｛１，２｝}とＫ^{｛１，３｝}とであればより小さい値のインデックス（要素）を含むＫ^{｛１，２｝}を左側に配置する。

そして、サーバ鍵関数は、このように配置した複数の部分系列を連結して、下記の式（４）のように表されるサーバ鍵Ｋ_Ｓを出力する。なお、図９には、ｎ＝３の場合の配列例が示されている。

このようなサーバ鍵関数は、例えば、ｌ_ｒビットの乱数から、ｌ_Ｓビットのサーバ鍵Ｋ_Ｓを生成することができる。この場合、ｌ_ｒ＝ｌ_Ｓとなる。なお、配列の方法は、予め定められた方法であれば、どのような方法であってもよい。

図１０は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）の内容の一例を示す図である。クライアント鍵関数は、サーバ鍵Ｋ_Ｓおよびインデックスの値ｉが入力される。

クライアント鍵関数は、入力されたサーバ鍵Ｋ_Ｓから、複数の部分系列Ｋ^Ｄを抽出する。すなわち、クライアント鍵関数は、下記式（５）に示されるように、部分系列を抽出する。なお、図１０の（ａ）には、ｎ＝３の場合に抽出される部分系列が示されている。

続いて、クライアント鍵関数は、抽出された複数の部分系列の中から、入力されたインデックスの値ｉを要素に含む集合に対応する２以上の部分系列を選択する。例えば、クライアント鍵関数は、ｉ＝１の場合には、下記式（６）に示されるような部分系列を選択する。なお、図１０の（ｂ）には、ｎ＝３、ｉ＝１の場合に選択される部分系列が示されている。

また、例えば、クライアント鍵関数は、ｉ＝２の場合には、下記式（７）に示されるような部分系列を選択する。なお、図１０の（ｃ）には、ｎ＝３、ｉ＝２の場合に選択される部分系列が示されている。

また、例えば、クライアント鍵関数は、ｉ＝ｎの場合には、下記式（８）に示されるような部分系列を選択する。なお、図１０の（ｄ）には、ｎ＝３、ｉ＝３の場合に選択される部分系列が示されている。

続いて、クライアント鍵関数は、選択した２以上の部分系列Ｋ^Ｄを一列に配列して、連結する。クライアント鍵関数は、一例として、対応付けられた集合Ｄに含まれているインデックス（要素）の数が少ないほど左側に配置し、インデックス（要素）の数が同一の場合にはより小さい値の要素を含むほど左側に配置する。この配列方法は、サーバ鍵関数と同様である。

そして、クライアント鍵関数は、このように配置した複数の部分系列を連結してクライアント鍵Ｋ_ｉを出力する。例えば、クライアント鍵関数は、ｉ＝１の場合には、下記式（９）に示されるようなクライアント鍵Ｋ_１を出力する。なお、図１０の（ｅ）には、ｎ＝３、ｉ＝１の場合に出力されるクライアント鍵Ｋ_１が示されている。

例えば、クライアント鍵関数は、ｉ＝２の場合には、下記式（１０）に示されるようなクライアント鍵Ｋ_２を出力する。なお、図１０の（ｆ）には、ｎ＝３、ｉ＝２の場合に出力されるクライアント鍵Ｋ_２が示されている。

例えば、クライアント鍵関数は、ｉ＝ｎの場合には、下記式（１１）に示されるようなクライアント鍵Ｋ_ｎを出力する。なお、図１０の（ｇ）には、ｎ＝３、ｉ＝３の場合に出力されるクライアント鍵Ｋ_３が示されている。

なお、配列の方法は、予め定められた方法であれば、どのような方法であってもよい。

このように生成されたクライアント鍵Ｋ_ｉは、含まれているインデックス（要素）の数が２個以上の集合Ｄに対応する部分系列が、他のクライアント鍵Ｋ_ｉと相関が有る。これにより、第１実施形態に係る生成装置２０によれば、このようなクライアント鍵関数をクライアント鍵規則とすることにより、ｎ個のクライアント鍵Ｋ_ｉの合計のビット長を、サーバ鍵Ｋ_Ｓのビット長ｌ_Ｓよりも短くすることができる。

図１１は、サーバ鍵関数の内容を関数で表した図である。サーバ鍵関数は、図９で説明した内容の関数に限らず、乱数ｒに対してデータ変換（第１データ変換Ｆα）をしてサーバ鍵Ｋ_Ｓを生成する関数であってもよい。

例えば、第１データ変換Ｆαは、下記の式（２１）に示されるように、乱数ｒをそのままサーバ鍵Ｋ_Ｓとして出力する関数であってもよい。

また、例えば、第１データ変換Ｆαは、下記の式（２２）に示されるように、乱数ｒを関数Ｆ_１により変換した系列を出力してもよい。Ｆ_１は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_１は、ｌ_ｒビットの入力に対して、ｌ_Ｓビット（ｌ_ｒ≧ｌ_Ｓ）を出力する。

また、例えば、第１データ変換Ｆαは、下記の式（２３）に示されるように、乱数ｒと、乱数ｒを関数Ｆ_２により変換した系列との排他的論理和を出力してもよい。Ｆ_２は、一例として、一対一関数、擬似ランダム関数、ハッシュ関数または定数関数等である。また、Ｆ_２は、ｌ_Ｓビットの入力に対して、ｌ_Ｓビットを出力する。

また、例えば、第１データ変換Ｆαは、下記の式（２４）に示されるように、乱数ｒを関数Ｆ_１により変換した系列と、乱数ｒを関数Ｆ_３により変換した系列との、排他的論理和を出力してもよい。Ｆ_３は、一例として、一対一関数、擬似ランダム関数、ハッシュ関数または定数関数等である。また、Ｆ_３は、ｌ_ｒビットの入力に対して、ｌ_Ｓビット（ｌ_ｒ≧ｌ_Ｓ）を出力する。

図１２は、クライアント鍵関数の内容を関数で表した図である。クライアント鍵関数は、サーバ鍵Ｋ_Ｓの系列に対してデータ変換（第２データ変換Ｆβ）をし、変換後のサーバ鍵Ｋ_Ｓ´の系列に基づき複数のクライアント鍵Ｋ_ｉを生成する関数であってもよい。

例えば、第２データ変換Ｆβは、下記の式（３１）に示されるように、サーバ鍵Ｋ_Ｓをそのまま変換後サーバ鍵Ｋ_Ｓ´として出力する関数であってもよい。

また、例えば、第２データ変換Ｆβは、下記の式（３２）に示されるように、サーバ鍵Ｋ_Ｓを関数Ｆ_４により変換した系列を、変換後サーバ鍵Ｋ_Ｓ´として出力してもよい。Ｆ_４は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_４は、ｌ_Ｓビットの入力に対して、ｌ_Ｓビットを出力する。

また、例えば、第２データ変換Ｆβは、下記の式（３３）に示されるように、サーバ鍵Ｋ_Ｓと、サーバ鍵Ｋ_Ｓを関数Ｆ_５により変換した系列との排他的論理和を、変換後サーバ鍵Ｋ_Ｓ´として出力してもよい。Ｆ_５は、一例として、一対一関数、擬似ランダム関数、ハッシュ関数または定数関数等である。また、Ｆ_５は、ｌ_Ｓビットの入力に対して、ｌ_Ｓビットを出力する。

また、例えば、第２データ変換Ｆβは、下記の式（３４）に示されるように、サーバ鍵Ｋ_Ｓを関数Ｆ_４により変換した系列と、サーバ鍵Ｋ_Ｓを関数Ｆ_５により変換した系列との、排他的論理和を、変換後サーバ鍵Ｋ_Ｓ´として出力してもよい。

また、クライアント鍵関数は、変換後サーバ鍵Ｋ_Ｓ´の系列から、部分系列Ｋ^Ｄを選択および配列した系列（変換前クライアント鍵Ｋ_ｉ´）に対して、データ変換（第３データ変換Ｆγ）をしてクライアント鍵Ｋ_ｉを生成する関数であってもよい。

例えば、第３データ変換Ｆγは、下記の式（４１）に示されるように、変換前クライアント鍵Ｋ_ｉ´をそのままクライアント鍵Ｋ_ｉとして出力する関数であってもよい。

また、例えば、第３データ変換Ｆγは、下記の式（４２）に示されるように、変換前クライアント鍵Ｋ_ｉ´を関数Ｆ_６により変換した系列を、クライアント鍵Ｋ_ｉとして出力してもよい。Ｆ_６は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_６は、ｌ_ｉビットの入力に対して、ｌ_ｉビットを出力する。

Ｆ_６は、下記の式（４３）に示されるように、Ｋ_ｉ´を行ベクトルと考え右から正則行列Ｒをかけてもよい。例えば、Ｋ_ｉ´の１ビットをベクトルの１要素とし、Ｒをｌ_ｉ×ｌ_ｉの正則行列として計算する。また、例えば、Ｋ_ｉ´の複数ビットが示す数をベクトルの１つの要素としてもよい。ここで、Ｒは公開してもよい。変換前クライアント鍵Ｋ_ｉ´に正則行列Ｒをかけることで、共通の部分系列を有する複数のクライアント鍵Ｋ_ｉで、共通の部分系列のビット位置を変えることができる。攻撃者がクライアント鍵Ｋ_ｉを持っていてもクライアント鍵Ｋ_ｊのビット系列の中でクライアント鍵Ｋ_ｉと共通の部分系列のビット位置を推測不能にする。

また、例えば、第３データ変換Ｆγは、下記の式（４４）に示されるように、変換前クライアント鍵Ｋ_ｉ´と、変換前クライアント鍵Ｋ_ｉ´を関数Ｆ_７により変換した系列との排他的論理和を、クライアント鍵Ｋ_ｉとして出力してもよい。Ｆ_７は、一例として、一対一関数、擬似ランダム関数、ハッシュ関数または定数関数等である。また、Ｆ_７は、ｌ_ｉビットの入力に対して、ｌ_ｉビットを出力する。

また、例えば、第３データ変換Ｆγは、下記の式（４５）に示されるように、変換前クライアント鍵Ｋ_ｉ´を関数Ｆ_６により変換した系列と、変換前クライアント鍵Ｋ_ｉ´を関数Ｆ_７により変換した系列との、排他的論理和を、クライアント鍵Ｋ_ｉとして出力してもよい。

また、例えば、第３データ変換Ｆγは、下記の式（４６）に示されるように、変換前クライアント鍵Ｋ_ｉ´と、集合Ｄとを関数Ｆ_８により変換した系列を、クライアント鍵Ｋ_ｉとして出力してもよい。Ｆ_８は、集合Ｄに対応する部分系列Ｋ^ＤをＫ_ｉ´から削除する。

また、例えば、第３データ変換Ｆγは、下記の式（４７）に示されるように、複数の変換前クライアント鍵Ｋ_ｉ´を関数Ｆ_９により変換した系列を、複数のクライアント鍵Ｋ_ｉ，Ｋ_ｊとして出力してもよい。なお、Ｋ_ｊは、Ｋ_ｉとは異なるクライアント鍵を表す。Ｆ_９は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。

また、Ｆ_９は、下記の式（４８）に示されるように、複数のクライアント鍵Ｋ_ｉ´を１つの行ベクトルと考え右から正則行列Ｒをかけてもよい。式（４７）、（４８）は、変換前クライアント鍵Ｋ_ｉ´が２つの場合の例であるが、変換前クライアント鍵Ｋ_ｉ´が３つ以上であってもよい。

また、クライアント鍵関数ＣＫｅｙＧｅｎ（ｒ）は、第２データ変換Ｆβ、部分系列の選択，配列処理および第３データ変換Ｆγを一括して実行する関数であってもよい。

また、生成装置２０は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と変換関数Ｆδ_ｉとを合成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を生成してもよい。この場合、生成装置２０は、生成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）をサーバ４０に送信して、サーバ４０にサーバ鍵Ｋ_Ｓおよびインデックスｉから、暗号化鍵ＥＫ_ｉを直接生成させる。

図１３は、第１例に係る更新部６０の構成をクライアント端末３０およびサーバ４０とともに示す図である。

第１例において、クライアント鍵Ｋ_ｉは、暗号化鍵ＥＫ_ｉを生成するための種情報である。従って、第１例においては、生成装置２０は、複数のクライアント鍵Ｋ_ｉのそれぞれ毎に、対応するクライアント鍵Ｋ_ｉを暗号化鍵ＥＫ_ｉに変換するための変換関数Ｆδ_ｉを生成する。第１例において、生成装置２０は、それぞれのクライアント端末３０に対して、対応する変換関数Ｆδ_ｉを出力する。そして、第１例において、更新部６０は、変換関数Ｆδ_ｉを更新する。

第１例において、更新部６０は、図１３に示すように、入力部８０と、乱数発生部８１と、更新情報生成部８２と、出力部８３とを有する。

入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。インデックスｉの集合には、１つのインデックスｉのみが含まれていてもよいし、複数のインデックスｉが含まれていてもよい。乱数発生部８１は、予め定められた桁数の乱数を発生する。

更新情報生成部８２は、乱数発生部８１により発生された乱数に基づき、入力部８０が入力したそれぞれのインデックスｉに対応してマスター鍵ｇ_ｉを生成する。マスター鍵ｇ_ｉは、インデックスｉに対応する変換関数Ｆδ_ｉを生成するための種となる情報である。

出力部８３は、インデックスｉおよびマスター鍵ｇ_ｉをサーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに対して、対応するインデックスｉおよびマスター鍵ｇ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

なお、更新情報生成部８２は、マスター鍵ｇ_ｉに代えて、インデックスｉに対応する変換関数Ｆδ_ｉを生成してもよい。この場合、出力部８３は、マスター鍵ｇ_ｉに代えて対応する変換関数Ｆδ_ｉを、サーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。また、この場合、出力部８３は、マスター鍵ｇ_ｉに代えて対応する変換関数Ｆδ_ｉをクライアント端末３０にクライアント鍵更新情報ｃｒｉとして出力する。

ここで、変換関数Ｆδ_ｉとして、以下の例がある。なお、更新情報生成部８２は、マスター鍵ｇ_ｉに加えてシステム管理番号およびリビジョン番号等の情報に基づいて変換関数Ｆδ_ｉを生成してもよい。ここでは、マスター鍵ｇ_ｉ以外の情報を管理情報ｗと表す。管理情報ｗは、秘匿情報であってもよいし、公開情報であってもよい。

例えば、変換関数Ｆδ_ｉは、下記の式（６０）〜式（６２）に示されるように、クライアント鍵Ｋ_ｉとマスター鍵ｇ_ｉとの算術和、算術積または排他的論理和を出力する関数であってもよい。なお、式（６２）は、Ｋ_ｉとｇ_ｉとのビット長が等しい場合の式である。

また、例えば、変換関数Ｆδ_ｉは、下記の式（６３）に示されるように、クライアント鍵Ｋ_ｉとマスター鍵ｇ_ｉと管理情報ｗとの演算結果を出力する関数であってもよい。なお、○は、算術加算、算術乗算、排他的論理和演算などの演算子であり、他の式でも同様である。

また、例えば、変換関数Ｆδ_ｉは、下記の式（６４）に示されるように、クライアント鍵Ｋ_ｉとマスター鍵ｇ_ｉと管理情報ｗとの和、積または排他的論理和を関数Ｆ_１０により変換した系列を出力する関数であってもよい。Ｆ_１０は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_１０は、ｌ_ｉビットの入力に対して、ｌ_ｉビットを出力する。

また、例えば、変換関数Ｆδ_ｉは、下記の式（６５）に示されるように、Ｋ_ｉを行ベクトルと考え右から正則行列ｇ_ｉをかけてもよい。例えば、変換関数Ｆδ_ｚは、Ｋ_ｉの１ビットをベクトルの１要素とし１×ｌ_ｉの行ベクトルとし、ｇ_ｉをｌ_ｉ×ｌ_ｉの正則行列として計算する。また、例えば、変換関数Ｆδ_ｚは、Ｋ_ｉの複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、変換関数Ｆδ_ｉは、下記の式（６６）に示されるように、Ｋ_ｉを列ベクトルと考え、行列ｗと列ベクトルｇ_ｉの積を加えてもよい。例えば、変換関数Ｆδ_ｚは、Ｋ_ｉの１ビットをベクトルの１要素とし、ｌ_ｉ×１の列ベクトルとし、ｗをｌ_ｉ×ｌ_ｇ行列とし、ｇ_ｉをｌ_ｇ×１の列ベクトルとして計算する。また、例えば、変換関数Ｆδ_ｚは、Ｋ_ｉ、ｇ_ｉ、ｗの複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、変換関数Ｆδ_ｉは、下記の式（６７）に示されるように、クライアント鍵Ｋ_ｉを関数Ｆ_１０により変換した系列と、マスター鍵ｇ_ｉを関数Ｆ_１１により変換した系列との、演算結果を出力してもよい。Ｆ_１１は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。

なお、変換関数Ｆδ_ｉは、このような関数に限らず、クライアント鍵Ｋ_ｉを、マスター鍵ｇ_ｉまたは管理情報ｗ等によって変換する関数であればよい。

図１４は、第１例に係る更新部６０の処理フローを示す図である。まず、ステップＳ１１１において、更新部６０の入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。続いて、ステップＳ１１２において、更新情報生成部８２は、乱数に基づき、入力部８０が入力したそれぞれのインデックスｉに対応してマスター鍵ｇ_ｉを生成する。

そして、ステップＳ１１３において、出力部８３は、インデックスｉおよびマスター鍵ｇ_ｉをサーバ４０に出力する。さらに、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０に、対応するインデックスｉおよびマスター鍵ｇ_ｉを出力する。

図１５は、第１例に係るクライアント端末３０およびサーバ４０の構成の一部を更新部６０とともに示す図である。

第１例において、更新対象のクライアント端末３０のクライアント内更新部６７は、更新部６０からインデックスｉおよびマスター鍵ｇ_ｉを取得する。クライアント内更新部６７は、取得したインデックスｉおよびマスター鍵ｇ_ｉを、予め保持しているマスター関数Ｇｆ（ｇ_ｉ，ｉ）に入力して、変換関数Ｆδ_ｉを生成する。マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、マスター鍵ｇ_ｉおよびインデックスｉから、変換関数Ｆδ_ｉを生成するための関数である。マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、公開情報であってもよいし、生成装置２０により生成された秘匿情報であってもよい。また、マスター関数は、管理情報ｗを引数にとるＧｆ（ｇ_ｉ，ｉ，ｗ）であってもよい。また、マスター関数が出力する変換関数Ｆδ_ｉは、例えば、式（６０）〜（６７）に示す関数である。

そして、クライアント内更新部６７は、クライアント内保持部６１に保持されている変換関数Ｆδ_ｉを、新たに生成した変換関数Ｆδ_ｉに置き換える。なお、クライアント内更新部６７は、更新部６０から、マスター鍵ｇ_ｉに代えて変換関数Ｆδ_ｉを取得してもよい。この場合、クライアント内更新部６７は、クライアント内保持部６１に保持されている変換関数Ｆδ_ｉを、取得した変換関数Ｆδ_ｉに置き換える。

暗号化時または復号時において、クライアント内変換部６２は、クライアント内保持部６１に保持されている既存のクライアント鍵Ｋ_ｉと、新たな変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、クライアント端末３０は、新たな暗号化鍵ＥＫ_ｉを用いてサーバ４０との間で暗号通信をすることができる。

第１例において、サーバ４０のサーバ内更新部７８は、更新部６０からインデックスｉおよびマスター鍵ｇ_ｉを取得する。サーバ内更新部７８は、取得したインデックスｉおよびマスター鍵ｇ_ｉをマスター関数Ｇｆ（ｇ_ｉ，ｉ）に入力して、変換関数Ｆδ_ｉを生成する。マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、対応するクライアント端末３０が保持しているものと同一である。

そして、サーバ内更新部７８は、サーバ内保持部７１に保持されている変換関数Ｆδ_ｉを、新たに生成した変換関数Ｆδ_ｉに置き換える。なお、サーバ内更新部７８は、更新部６０から、マスター鍵ｇ_ｉに代えて変換関数Ｆδ_ｉを取得してもよい。この場合、サーバ内更新部７８は、サーバ内保持部７１に保持されている変換関数Ｆδ_ｉを、取得した変換関数Ｆδ_ｉに置き換える。

暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、クライアント鍵Ｋ_ｉを生成する。サーバ内変換部７４は、生成されたクライアント鍵Ｋ_ｉと、新たな変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

第１例に係る更新部６０によれば、変換関数Ｆδ_ｉを更新することにより、暗号化鍵ＥＫ_ｉを更新することができる。

図１６は、第２例に係る更新部６０の構成をクライアント端末３０およびサーバ４０とともに示す図である。なお、第２例を説明するに当たり、第１例と略同一の構成および機能を有する部材には同一の符号を付けて、相違点を除き説明を省略する。

第２例において、生成装置２０は、更新対象のクライアント鍵Ｋ_ｉを更新する。これとともに、生成装置２０は、サーバ鍵Ｋ_Ｓにおける一部のビットを更新する。具体的には、生成装置２０は、サーバ鍵Ｋ_Ｓにおける更新対象のクライアント鍵Ｋ_ｉの種となり且つ更新対象ではないクライアント鍵Ｋ_ｉの種となっていないビットを更新する。

第２例において、更新部６０は、図１６に示すように、入力部８０と、乱数発生部８１と、第１更新情報生成部８４と、第２更新情報生成部８５と、出力部８３とを有する。

第１更新情報生成部８４は、サーバ鍵更新情報ｓｒｉを生成する。第１更新情報生成部８４は、位置検出部９１と、値生成部９２とを含む。

位置検出部９１は、入力部８０が入力したそれぞれのインデックスｉに基づき、サーバ鍵Ｋ_Ｓにおける、更新対象のクライアント鍵Ｋ_ｉの種となり且つ更新対象ではないクライアント鍵Ｋ_ｉの種となっていないビット位置（更新位置Ｐ）を検出する。すなわち、位置検出部９１は、そのビットの値を変更すると、更新対象のクライアント鍵Ｋ_ｉは変更されるが、更新対象ではないクライアント鍵Ｋ_ｉは変更されないビット位置を検出する。

例えば、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）が、図１０に示した変換をする場合、サーバ鍵Ｋ_Ｓにおける、部分系列のビット位置は予め判明している。従って、図１０に示した変換をする場合、位置検出部９１は、予め判明している情報に基づき、更新対象のクライアント鍵Ｋ_ｉの種となり且つ更新対象ではないクライアント鍵Ｋ_ｉの種となっていないビット位置（更新位置Ｐ）を検出する。

また、例えば、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）が、図１２に示した変換をする場合、位置検出部９１は、このようなビット位置を、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を逆に辿って検出する。以下逆に辿る場合の例について説明する。図１２で、変換前クライアント鍵Ｋ_ｉ’に対応する変換後サーバ鍵Ｋ_Ｓ’は、部分系列の選択、配置方法が定まっているため分かっている。従って、位置検出部９１は、変換後サーバ鍵Ｋ_Ｓ’と変換前サーバ鍵Ｋ_Ｓとの対応に基づき、変換前サーバ鍵Ｋ_Ｓのうち更新できるビット位置を検出する。

第２例は、第２データ変換Ｆβが置換または線形変換の場合に適用できる。このため、Ｋ_Ｓ’＝Ｆβ（Ｋ_Ｓ）＝φ（Ｋ_Ｓ）の場合を考える。φは、行列であり、置換または線形変換を表す。Ｂは、Ｋ_Ｓ’の更新するビット位置集合を表す。ｂ∈Ｂ行目が１であるような列の位置を更新位置Ｐとする。なお、ｂが含まれる行とｂが含まれない行とが共に１である列が、行列φに含まれる場合は適用できない。

具体的に示すと以下の通りである。Ｋ_Ｓ’およびＫ_Ｓを以下の通りとする。ｘ_ｉ、ｙ_ｉは、１ビットである。

Ｋ_Ｓ’で更新する値をｘ_１、ｙ_３とすると、更新するビット位置は１ビット目と３ビット目である。従って、Ｋ_Ｓ’の更新するビット位置集合は、Ｂ＝｛１，３｝である。ｂ＝１行目が１である列は、２列目と５列目である。ｂ＝３行目が１である列は、１列目と５列目である。すなわち、この具体例の場合には、変換前サーバ鍵Ｋ_Ｓの更新位置は、Ｐ＝１，２，５となる。

なお、逆に辿ってビット位置を検出するので、第２例においては、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、ビット位置の配置変更または線形変換をする関数である必要がある。従って、第２例において、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、ビット位置を逆に辿ることができない、擬似ランダム関数およびハッシュ関数等ではない。

また、位置検出部９１は、さらに、検出したビット位置の合計のビット数ｌを示す情報を生成する。

値生成部９２は、乱数発生部８１により発生された乱数に基づき、位置検出部９１が生成したビット数ｌ分の更新値Ｖを生成する。

第２更新情報生成部８５は、クライアント鍵更新情報ｃｒｉを生成する。第２更新情報生成部８５は、サーバ鍵生成部９３と、クライアント鍵生成部９４とを含む。

サーバ鍵生成部９３は、更新前のサーバ鍵Ｋ_Ｓ、更新位置Ｐおよび更新値Ｖに基づき、更新後の新たなサーバ鍵Ｋ_Ｓを生成する。具体的には、サーバ鍵生成部９３は、更新前のサーバ鍵Ｋ_Ｓにおける更新位置Ｐに示されたビット位置の値を、更新値Ｖに示された値に置き換える。クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および更新後の新たなサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。

出力部８３は、第１更新情報生成部８４が生成した更新位置Ｐおよび更新値Ｖをサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、第２更新情報生成部８５が生成した新たなクライアント鍵Ｋ_ｉを出力する。

図１７は、第２例に係る更新部６０の処理フローを示す図である。まず、ステップＳ１２１において、更新部６０の入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。

続いて、ステップＳ１２２において、第１更新情報生成部８４は、入力部８０が入力したそれぞれのインデックスｉに基づき、サーバ鍵Ｋ_Ｓにおける、更新対象のクライアント鍵Ｋ_ｉの種となり且つ更新対象ではないクライアント鍵Ｋ_ｉの種となっていないビット位置（更新位置Ｐ）、および、ビット数ｌを検出する。続いて、ステップＳ１２３において、第１更新情報生成部８４は、乱数に基づき、ビット数ｌ分の更新値Ｖを生成する。

続いて、ステップＳ１２４において、第２更新情報生成部８５は、更新位置Ｐ、更新値Ｖおよび更新前のサーバ鍵Ｋ_Ｓに基づき、更新後の新たなサーバ鍵Ｋ_Ｓを生成する。続いて、ステップＳ１２５において、第２更新情報生成部８５は、入力部８０が入力したインデックスｉ、更新後の新たなサーバ鍵Ｋ_Ｓおよび既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に基づき、新たなクライアント鍵Ｋ_ｉを生成する。

そして、ステップＳ１２６において、出力部８３は、更新位置Ｐおよび更新値Ｖをサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、新たなクライアント鍵Ｋ_ｉを出力する。

図１８は、第２例に係るクライアント端末３０およびサーバ４０の構成の一部を更新部６０とともに示す図である。第２例において、更新対象のクライアント端末３０のクライアント内更新部６７は、更新部６０からクライアント鍵Ｋ_ｉを取得する。そして、クライアント内更新部６７は、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉを、取得した新たなクライアント鍵Ｋ_ｉに置き換える。

これにより、クライアント端末３０は、暗号化時または復号時において、クライアント内保持部６１に保持されている新たなクライアント鍵Ｋ_ｉを用いてサーバ４０との間で暗号通信をすることができる。

なお、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、クライアント内変換部６２は、クライアント内保持部６１に保持されている新たなクライアント鍵Ｋ_ｉと、既存の変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、クライアント端末３０は、新たな暗号化鍵ＥＫ_ｉを用いてサーバ４０との間で暗号通信をすることができる。

第２例において、サーバ４０のサーバ内更新部７８は、更新部６０から、更新位置Ｐおよび更新値Ｖを取得する。サーバ内更新部７８は、更新前の既存のサーバ鍵Ｋ_Ｓ、更新位置Ｐおよび更新値Ｖに基づき、更新後の新たなサーバ鍵Ｋ_Ｓを生成する。具体的には、サーバ内更新部７８は、更新前のサーバ鍵Ｋ_Ｓにおける更新位置Ｐに示されたビット位置の値を、更新値Ｖに示された値に置き換える。そして、サーバ内更新部７８は、サーバ内保持部７１に保持されている既存のサーバ鍵Ｋ_Ｓを、更新後の新たなサーバ鍵Ｋ_Ｓに置き換える。

暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および更新後の新たなサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。これにより、サーバ４０は、新たなクライアント鍵Ｋ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

なお、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ内変換部７４は、生成された新たなクライアント鍵Ｋ_ｉと、既存の変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ４０は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および変換関数Ｆδ_ｉを合成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を用いてもよい。この場合、サーバ内保持部７１は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および変換関数Ｆδ_ｉに代えて、合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を保持する。そして、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている既存の合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）および新たなサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。

また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、更新部６０は、更新後の新たなクライアント鍵Ｋ_ｉに代えて新たな暗号化鍵ＥＫ_ｉを生成して、クライアント端末３０に送信してもよい。この場合、クライアント内更新部６７は、クライアント内保持部６１に保持されている暗号化鍵ＥＫ_ｉを、取得した新たな暗号化鍵ＥＫ_ｉに置き換える。

第２例に係る更新部６０によれば、サーバ鍵Ｋ_Ｓの一部を更新することにより、クライアント鍵Ｋ_ｉまたは暗号化鍵ＥＫ_ｉを更新することができる。

図１９は、第３例に係る更新部６０の構成をクライアント端末３０およびサーバ４０とともに示す図である。なお、第３例を説明するに当たり、第２例と略同一の構成および機能を有する部材には同一の符号を付けて、相違点を除き説明を省略する。

第３例において、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、複数のクライアント鍵Ｋ_ｉのそれぞれに対応して異なる複数の関数を含む。例えば、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、複数のクライアント鍵Ｋ_ｉのそれぞれに対応する複数の関数から構成される。例えば、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、図１２に示した、更新対象のクライアント鍵Ｋ_１を構成する部分系列からクライアント鍵Ｋ_１へ変換するための第３データ変換Ｆγに対応した複数の部分関数を含む。従って、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）は、指定されたインデックスｉに対応する関数部分が変更されることにより、この指定されたインデックスｉに対応して生成するクライアント鍵Ｋ_ｉが変更される。

また、生成装置２０は、サーバ鍵Ｋ_Ｓとともに、マスター関数Ｇｆ（ｇ_ｉ，ｉ）を出力する。第３例において、マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、マスター鍵ｇ_ｉおよびインデックスｉから、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に含まれる指定されたインデックスｉに対応する関数部分を生成するための関数である。すなわち、マスター関数Ｇｆ（ｇ_ｉ，ｉ）にマスター鍵ｇ_ｉおよびインデックスｉを入力すると、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に含まれるインデックスｉに対応する関数部分が生成される。

第３例においては、更新部６０は、更新対象のクライアント鍵Ｋ_ｉを更新する。これとともに、更新部６０は、マスター鍵ｇ_ｉを更新して、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に含まれる更新対象のクライアント鍵Ｋ_ｉに対応する関数部分を更新する。

クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）が、図１２に示す変換で、第３データ変換Ｆγがクライアント毎に異なる場合、第３データ変換Ｆγが指定されたインデックスｉに対応する関数部分となる。インデックスｉに対応する第３データ変換ＦγをＦγ_ｉとする。

マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、例えば、以下に示すような例の第３データ変換Ｆγを出力する。ここで、なお、更新情報生成部８２は、マスター鍵ｇ_ｉに加えてシステム管理番号およびリビジョン番号等の情報に基づいて第３データ変換Ｆγを生成してもよい。ここでは、マスター鍵ｇ_ｉ以外を管理情報ｗと表す。管理情報ｗは、秘匿情報であってもよいし、公開情報であってもよい。このとき、マスター関数Ｇｆ（ｇ_ｉ，ｉ，ｗ）は、第３データ変換Ｆγを出力する。

例えば、第３データ変換Ｆγは、下記の式（７０）〜（７２）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉとの算術和、算術積または排他的論理和を出力する関数であってもよい。なお、式（７２）は、Ｋ_ｉ’とｇ_ｉとのビット長が等しい場合の式である。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（７３）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉと管理情報ｗとの演算結果を出力する関数であってもよい。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（７４）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉと管理情報ｗとの和、積または排他的論理和を関数Ｆ_１２により変換した系列を出力する関数であってもよい。Ｆ_１２は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_１２は、ｌ_ｉビットの入力に対して、ｌ_ｉビットを出力する。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（７５）に示されるように、Ｋ_ｉ’を行ベクトルと考え右から正則行列ｇ_ｉをかけてもよい。例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉの１ビットをベクトルの１要素とし、１×ｌ_ｉの行ベクトルとし、ｇ_ｉをｌ_ｉ×ｌ_ｉの正則行列として計算する。また、例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’の複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（７６）に示されるように、Ｋ_ｉ’を列ベクトルと考え、行列ｗと列ベクトルｇ_ｉの積を加えてもよい。例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’の１ビットをベクトルの１要素とし、ｌ_ｉ×１の列ベクトルとし、ｗをｌ_ｉ×ｌ_ｇ行列とし、ｇ_ｉをｌ_ｇ×１の列ベクトルとして計算する。また、例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’_、ｇ_ｉ、ｗの複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（７７）に示されるように、クライアント鍵Ｋ_ｉを関数Ｆ_１２により変換した系列と、マスター鍵ｇ_ｉを関数Ｆ_１３により変換した系列との、演算結果を出力してもよい。Ｆ_１３は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。

なお、第３データ変換Ｆγ_ｉは、このような関数に限らず、変換前クライアント鍵Ｋ_ｉ’を、マスター鍵ｇ_ｉまたは管理情報ｗ等によってクライアント鍵Ｋ_ｉに変換する関数であればよい。

クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）が、関数Ｈ（ｉ）の出力値がＫ_Ｓのビット位置を示すと考え、Ｋ_Ｓの該当位置のビットを連結させてクライアント鍵を生成する場合を考える。ここで、関数Ｈはハッシュ関数または疑似ランダム関数等である。この場合、マスター関数Ｇｆ（ｇ_ｉ，ｉ，ｗ）は、関数Ｈ（ｉ○ｇ_ｉ○ｗ）を出力する。

更新部６０は、図１９に示すように、入力部８０と、乱数発生部８１と、第１更新情報生成部８４と、第２更新情報生成部８５と、出力部８３とを有する。

第１更新情報生成部８４は、マスター鍵生成部９５を含む。マスター鍵生成部９５は、乱数発生部８１により発生された乱数に基づき、マスター鍵ｇ_ｉを生成する。

第２更新情報生成部８５は、関数生成部９６と、クライアント鍵生成部９４とを含む。関数生成部９６は、マスター関数Ｇｆ（ｇ_ｉ，ｉ）を保持し、入力部８０が入力したインデックスｉおよびマスター鍵生成部９５により生成されたマスター鍵ｇ_ｉに基づき、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に含まれる、入力部８０が入力したインデックスｉに対応する関数部分を生成する。そして、関数生成部９６は、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）における入力部８０が入力したインデックスｉに対応する部分を新たな関数に置き換えて、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を生成する。

クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、関数生成部９６が生成した新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。

出力部８３は、第１更新情報生成部８４が生成したマスター鍵ｇ_ｉおよび入力部８０が入力したインデックスｉをサーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、第２更新情報生成部８５が生成した新たなクライアント鍵Ｋ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

なお、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、マスター鍵ｇ_ｉおよびインデックスｉから、指定されたインデックスｉに対応する変換関数Ｆδ_ｉを生成してもよい。この場合、関数生成部９６は、インデックスｉおよびマスター鍵ｇ_ｉに基づき、新たな変換関数Ｆδ_ｉを生成する。また、この場合、クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、関数生成部９６が生成した新たな変換関数Ｆδ_ｉ、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。そして、出力部８３は、新たな暗号化鍵ＥＫ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。また、出力部８３は、クライアント鍵Ｋ_ｉおよび変換関数Ｆδ_ｉをクライアント鍵更新情報ｃｒｉとして出力してもよい。

また、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、関数生成部９６は、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と既存の変換関数Ｆδ_ｉとを合成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）、または、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と新たな変換関数Ｆδ_ｉとを合成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を生成してもよい。出力部８３は、この合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）をサーバ鍵更新情報ｓｒｉとしてサーバ４０に送信してもよい。また、この場合、クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。そして、この場合、出力部８３は、新たな暗号化鍵ＥＫ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

図２０は、第３例に係る更新部６０の処理フローを示す図である。まず、ステップＳ１３１において、更新部６０の入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。

続いて、ステップＳ１３２において、第１更新情報生成部８４は、乱数に基づきマスター鍵ｇ_ｉを生成する。続いて、ステップＳ１３３において、第２更新情報生成部８５は、マスター鍵ｇ_ｉに基づき、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を生成する。

続いて、ステップＳ１３４において、第２更新情報生成部８５は、入力部８０が入力したインデックスｉ、既存のサーバ鍵Ｋ_Ｓおよび新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に基づき、新たなクライアント鍵Ｋ_ｉを生成する。

そして、ステップＳ１３５において、出力部８３は、マスター鍵ｇ_ｉおよびインデックスｉをサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、新たなクライアント鍵Ｋ_ｉを出力する。

図２１は、第３例に係るクライアント端末３０およびサーバ４０の構成の一部を更新部６０とともに示す図である。第３例において、更新対象のクライアント端末３０のクライアント内更新部６７は、更新部６０からクライアント鍵Ｋ_ｉを取得する。そして、クライアント内更新部６７は、クライアント内保持部６１に保持されているクライアント鍵Ｋ_ｉを、取得した新たなクライアント鍵Ｋ_ｉに置き換える。これにより、クライアント端末３０は、暗号化時または復号時において、クライアント内保持部６１に保持されている新たなクライアント鍵Ｋ_ｉを用いてサーバ４０との間で暗号通信をすることができる。

なお、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、クライアント内変換部６２は、クライアント内保持部６１に保持されている新たなクライアント鍵Ｋ_ｉと、既存の変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、クライアント端末３０は、新たな暗号化鍵ＥＫ_ｉを用いてサーバ４０との間で暗号通信をすることができる。

また、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、クライアント内更新部６７は、更新部６０から、更新後の新たなクライアント鍵Ｋ_ｉに代えて新たな暗号化鍵ＥＫ_ｉを取得してもよい。この場合、クライアント内更新部６７は、クライアント内保持部６１に保持されている暗号化鍵ＥＫ_ｉを、取得した新たな暗号化鍵ＥＫ_ｉに置き換える。

第３例において、サーバ４０のサーバ内更新部７８は、更新部６０からインデックスｉおよびマスター鍵ｇ_ｉを取得する。サーバ内更新部７８は、取得したマスター鍵ｇ_ｉおよびインデックスｉを、予め保持しているマスター関数Ｇｆ（ｇ_ｉ，ｉ）に入力して、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に含まれる、入力部８０が入力したインデックスｉに対応する関数部分を生成する。この関数部分は、更新部６０が更新する関数部分に対応する。サーバ内更新部７８は、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）における入力部８０が入力したインデックスｉに対応する部分を新たな関数に置き換えて、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を生成する。そして、サーバ内更新部７８は、サーバ内保持部７１に保持されている既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に置き換える。

暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。これにより、サーバ４０は、新たなクライアント鍵Ｋ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

なお、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合であって、且つ、マスター関数Ｇｆ（ｇ_ｉ，ｉ）が変換関数Ｆδ_ｉを生成するための関数である場合には、サーバ内更新部７８は、マスター鍵ｇ_ｉに基づき、新たな変換関数Ｆδ_ｉを生成する。この場合、サーバ内変換部７４は、既存のクライアント鍵Ｋ_ｉと新たな変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

また、第３例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ内更新部７８は、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と既存の変換関数Ｆδ_ｉとを合成した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）、または、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と新たな変換関数Ｆδ_ｉとを合成した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を生成してもよい。また、サーバ内更新部７８は、合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を生成装置２０から取得してもよい。また、この場合、サーバ内更新部７８は、サーバ内保持部７１に保持されている合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を、新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）に置き換える。そして、暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

第３例に係る更新部６０によれば、マスター鍵ｇ_ｉを用いてクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を更新することにより、クライアント鍵Ｋ_ｉまたは暗号化鍵ＥＫ_ｉを更新することができる。

図２２は、第４例に係る更新部６０の構成をクライアント端末３０およびサーバ４０とともに示す図である。なお、第４例を説明するに当たり、第３例と略同一の構成および機能を有する部材には同一の符号を付けて、相違点を除き説明を省略する。

第４例においては、更新部６０は、更新対象のクライアント鍵Ｋ_ｉを更新する。これとともに、更新部６０は、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を生成して、サーバ４０が保持するクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を更新する。

更新部６０は、図２２に示すように、入力部８０と、乱数発生部８１と、第１更新情報生成部８４と、第２更新情報生成部８５と、出力部８３とを有する。

第１更新情報生成部８４は、マスター鍵生成部９５と、関数生成部９６とを含む。第２更新情報生成部８５は、クライアント鍵生成部９４を含む。

出力部８３は、第１更新情報生成部８４が生成した新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）をサーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、第２更新情報生成部８５が生成した新たなクライアント鍵Ｋ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

なお、第４例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、マスター関数Ｇｆ（ｇ_ｉ，ｉ）は、マスター鍵ｇ_ｉおよびインデックスｉから、指定されたインデックスｉに対応する変換関数Ｆδ_ｉを生成してもよい。この場合、関数生成部９６は、インデックスｉおよびマスター鍵ｇ_ｉに基づき、新たな変換関数Ｆδ_ｉを生成する。そして、出力部８３は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に代えて、新たな変換関数Ｆδ_ｉをサーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。

図２３は、第４例に係る更新部６０の処理フローを示す図である。まず、ステップＳ１４１において、更新部６０の入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。

続いて、ステップＳ１４２において、第１更新情報生成部８４は、乱数に基づきマスター鍵ｇ_ｉを生成する。続いて、ステップＳ１４３において、第１更新情報生成部８４は、マスター鍵ｇ_ｉに基づき、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を生成する。

続いて、ステップＳ１４４において、第２更新情報生成部８５は、入力部８０が入力したインデックスｉ、既存のサーバ鍵Ｋ_Ｓおよび新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に基づき、新たなクライアント鍵Ｋ_ｉを生成する。

そして、ステップＳ１４５において、出力部８３は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）をサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、新たなクライアント鍵Ｋ_ｉを出力する。

図２４は、第４例に係るクライアント端末３０およびサーバ４０の構成の一部を更新部６０とともに示す図である。

第４例において、サーバ４０のサーバ内更新部７８は、更新部６０から新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を取得する。サーバ内更新部７８は、サーバ内保持部７１に保持されている既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を、取得した新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に置き換える。

暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。これにより、サーバ４０は、新たなクライアント鍵Ｋ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

なお、第４例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合であって、且つ、マスター関数Ｇｆ（ｇ_ｉ，ｉ）が変換関数Ｆδ_ｉを生成するための関数である場合には、サーバ内更新部７８は、更新部６０から、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）に代えて新たな変換関数Ｆδ_ｉを取得する。そして、サーバ内更新部７８は、サーバ内保持部７１に保持されている既存の変換関数Ｆδ_ｉを、取得した新たな変換関数Ｆδ_ｉに置き換える。この場合、暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、クライアント鍵Ｋ_ｉを生成する。サーバ内変換部７４は、生成されたクライアント鍵Ｋ_ｉと、サーバ内保持部７１に保持されている新たな変換関数Ｆδ_ｉとに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

また、第４例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、サーバ内更新部７８は、新たなクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と既存の変換関数Ｆδ_ｉとを合成した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）、または、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）と新たな変換関数Ｆδ_ｉとを合成した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を、更新部６０から取得してもよい。この場合、サーバ内更新部７８は、サーバ内保持部７１に保持されている合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）を、取得した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）に置き換える。そして、暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

第４例に係る更新部６０によれば、サーバ４０に保持されているクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ）を更新することにより、クライアント鍵Ｋ_ｉまたは暗号化鍵ＥＫ_ｉを更新することができる。

図２５は、第５例に係る更新部６０の構成をクライアント端末３０およびサーバ４０とともに示す図である。なお、第５例を説明するに当たり、第４例と略同一の構成および機能を有する部材には同一の符号を付けて、相違点を除き説明を省略する。

第５例において、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）は、インデックスｉ、サーバ鍵Ｋ_Ｓ、および、マスター鍵ｇ_ｉに基づき、インデックスｉにより指定されたクライアント鍵Ｋ_ｉを生成する。すなわち、第５例に係るクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）は、引数としてマスター鍵ｇ_ｉが追加されている。

第５例においては、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）は、図１２に示す第２データ変換Ｆβおよび第３データ変換Ｆγにより構成される。このとき、第３データ変換は、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉを引数にとるＦγ_ｉ（Ｋ_ｉ’，ｇ_ｉ）である。また、第５例においては、クライアント鍵関数をＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ，ｗ）とし、インデックスｉ、サーバ鍵Ｋ_Ｓ、マスター鍵ｇ_ｉおよび管理情報ｗに基づき、インデックスｉにより指定されたクライアント鍵Ｋ_ｉを生成してもよい。このとき、第３データ変換をＦγ_ｉ（Ｋ_ｉ’,ｇ_ｉ，ｗ）とし、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉおよび管理情報ｗに基づき、変換後クライアント鍵Ｋ_ｉを生成してもよい。

例えば、第３データ変換Ｆγは、下記の式（８０）〜式（８２）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉとの算術和、算術積または排他的論理和を出力する関数であってもよい。なお、式（８２）は、Ｋ_ｉ’とｇ_ｉとのビット長が等しい場合の式である。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（８３）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉと管理情報ｗとの演算結果を出力する関数であってもよい。

また、例えば、例えば、第３データ変換Ｆγ_ｉは、下記の式（８４）に示されるように、変換前クライアント鍵Ｋ_ｉ’とマスター鍵ｇ_ｉと管理情報ｗとの和、積または排他的論理和を関数Ｆ_１２により変換した系列を出力する関数であってもよい。Ｆ_１２は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。また、Ｆ_１２は、ｌ_ｉビットの入力に対して、ｌ_ｉビットを出力する。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（８５）に示されるように、Ｋ_ｉ’を行ベクトルと考え右から正則行列ｇ_ｉをかけてもよい。例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉの１ビットをベクトルの１要素とし、１×ｌ_ｉの行ベクトルとし、ｇ_ｉをｌ_ｉ×ｌ_ｉの正則行列として計算する。また、例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’の複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（８６）に示されるように、Ｋ_ｉ’を列ベクトルと考え、行列ｗと列ベクトルｇ_ｉの積を加えてもよい。例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’の１ビットをベクトルの１要素とし、ｌ_ｉ×１の列ベクトルとし、ｗをｌ_ｉ×ｌ_ｇ行列とし，ｇ_ｉをｌ_ｇ×１の列ベクトルとして計算する。また、例えば、第３データ変換Ｆγ_ｉは、Ｋ_ｉ’_，ｇ_ｉ，ｗの複数ビットが示す数をベクトルの１つの要素として計算してもよい。

また、例えば、第３データ変換Ｆγ_ｉは、下記の式（８７）に示されるように、クライアント鍵Ｋ_ｉを関数Ｆ_１２により変換した系列と、マスター鍵ｇ_ｉを関数Ｆ_１３により変換した系列との、演算結果を出力してもよい。Ｆ_１３は、一例として、一対一関数、擬似ランダム関数またはハッシュ関数等である。

なお、第３データ変換Ｆγ_ｉは、このような関数に限らず、変換前クライアント鍵Ｋ_ｉ’を、マスター鍵ｇ_ｉまたは管理情報ｗ等によってクライアント鍵Ｋ_ｉに変換する関数であればよい。

クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ，ｇ_ｉ）が、関数Ｈ（ｉ）の出力値がＫＳのビット位置を示すと考え、Ｋ_Ｓの該当位置のビットを連結させてクライアント鍵を生成する場合を考える。ここで、関数Ｈはハッシュ関数または疑似ランダム関数等である。クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ，ｇ_ｉ）を構成する関数Ｈ（ｉ○ｇ_ｉ）は、インデックスｉおよびマスター鍵ｇ_ｉに基づいて、サーバ鍵Ｋ_Ｓのビット位置を出力する。また、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｉ，ｇ_ｉ,ｗ）を構成する関数Ｈ（ｉ○ｇ_ｉ○ｗ）は、インデックスｉ、マスター鍵ｇ_ｉおよび管理情報ｗに基づいて、サーバ鍵Ｋ_Ｓのビット位置を出力してもよい。

そして、第５例において、更新部６０は、更新対象のクライアント鍵Ｋ_ｉを更新するとともに、マスター鍵ｇ_ｉを更新することにより更新対象のクライアント鍵Ｋ_ｉを更新する。

更新部６０は、図２５に示すように、入力部８０と、乱数発生部８１と、第１更新情報生成部８４と、第２更新情報生成部８５と、出力部８３とを有する。

第１更新情報生成部８４は、マスター鍵生成部９５を含む。マスター鍵生成部９５は、乱数発生部８１により発生された乱数に基づき、新たなマスター鍵ｇ_ｉを生成する。

第２更新情報生成部８５は、クライアント鍵生成部９４を含む。クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）、新たなマスター鍵ｇ_ｉおよび既存のサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。

出力部８３は、第１更新情報生成部８４が生成した新たなマスター鍵ｇ_ｉをサーバ鍵更新情報ｓｒｉとしてサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、第２更新情報生成部８５が生成した新たなクライアント鍵Ｋ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

また、第５例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合には、クライアント鍵生成部９４は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）と変換関数Ｆδ_ｉとを合成した合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）を保持していてもよい。この場合、クライアント鍵生成部９４は、入力部８０が入力したインデックスｉ、合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）、新たなマスター鍵ｇ_ｉおよび既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。そして、この場合、出力部８３は、新たな暗号化鍵ＥＫ_ｉをクライアント鍵更新情報ｃｒｉとして出力する。

図２６は、第５例に係る更新部６０の処理フローを示す図である。まず、ステップＳ１５１において、更新部６０の入力部８０は、更新対象のクライアント鍵Ｋ_ｉを指定するためのインデックスｉの集合を入力する。

続いて、ステップＳ１５２において、第１更新情報生成部８４は、乱数に基づきマスター鍵ｇ_ｉを生成する。続いて、ステップＳ１５３において、第２更新情報生成部８５は、入力部８０が入力したインデックスｉ、既存のサーバ鍵Ｋ_Ｓ、新たなマスター鍵ｇ_ｉおよび既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）に基づき、新たなクライアント鍵Ｋ_ｉを生成する。

そして、ステップＳ１５４において、出力部８３は、マスター鍵ｇ_ｉをサーバ４０に出力する。また、出力部８３は、更新対象のクライアント鍵Ｋ_ｉを保持するクライアント端末３０のそれぞれに、新たなクライアント鍵Ｋ_ｉを出力する。

図２７は、第５例に係るクライアント端末３０およびサーバ４０の構成の一部を更新部６０とともに示す図である。第５例において、サーバ４０のサーバ内更新部７８は、マスター鍵ｇ_ｉを取得する。サーバ内更新部７８は、サーバ内保持部７１に保持されている既存のマスター鍵ｇ_ｉを、取得した新たなマスター鍵ｇ_ｉに置き換える。

暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、サーバ内保持部７１に保持されている新たなマスター鍵ｇ_ｉ、既存のクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たなクライアント鍵Ｋ_ｉを生成する。これにより、サーバ４０は、新たなクライアント鍵Ｋ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

なお、第５例において、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、サーバ内保持部７１は、クライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）と変換関数Ｆδ_ｉとを合成した新たな合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）を保持していてもよい。この場合、暗号化時または復号時において、サーバ内クライアント鍵生成部７３は、インデックスｉ、新たなマスター鍵ｇ_ｉ、サーバ内保持部７１に保持されている合成関数ＣＥＫＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）および既存のサーバ鍵Ｋ_Ｓに基づき、新たな暗号化鍵ＥＫ_ｉを生成する。これにより、サーバ４０は、新たな暗号化鍵ＥＫ_ｉを用いてクライアント端末３０と暗号通信をすることができる。

第５例に係る更新部６０によれば、マスター鍵ｇ_ｉを用いてクライアント鍵関数ＣＫｅｙＧｅｎ（Ｋ_Ｓ，ｇ_ｉ，ｉ）を更新することにより、クライアント鍵Ｋ_ｉまたは暗号化鍵ＥＫ_ｉを更新することができる。なお、生成装置２０がサーバ鍵更新情報ｓｒｉおよびクライアント鍵更新情報ｃｒｉを送信する通信路は、安全な通信路が望ましいが、そうでない通信路であってもよい。

以上のように、第１実施形態に係る暗号処理システム１０によれば、複数のクライアント鍵Ｋ_ｉのそれぞれの一部を他のクライアント鍵Ｋ_ｉと相関を持たせた場合であっても、複数のクライアント鍵Ｋ_ｉまたは暗号化鍵ＥＫ_ｉの一部を容易に更新することができる。また、クライアント鍵Ｋ_ｉが暗号化鍵ＥＫ_ｉの生成の種である場合、クライアント鍵更新情報ｃｒｉは、クライアント鍵Ｋ_ｉ、マスター鍵ｇ_ｉまたは変換関数Ｆδ_ｉであるが、これらの何れかが漏えいした場合にも、暗号化鍵ＥＫ_ｉは漏洩せず、安全に鍵を更新することができる。

（第２実施形態）
図２８は、第２実施形態に係る暗号処理システム１１０の構成を示す図である。暗号処理システム１１０は、生成装置１２０と、第１のクライアント端末１３１と、第２のクライアント端末１３２と、サーバ１４０と、再暗号化装置１５０とを備える。

生成装置１２０は、第１のクライアント鍵Ｋ_１、第２のクライアント鍵Ｋ_２、および、マスター鍵Ｋ_ｒを生成する。生成装置１２０は、一例として、乱数発生器により発生された乱数に基づき、クライアント鍵Ｋ_１、クライアント鍵Ｋ_２およびマスター鍵Ｋ_ｒを生成する。

生成装置１２０は、第１のクライアント鍵Ｋ_１を第１のクライアント端末１３１に出力する。生成装置１２０は、第２のクライアント鍵Ｋ_２を第２のクライアント端末１３２に出力する。さらに、生成装置１２０は、第１のクライアント鍵Ｋ_１、第２のクライアント鍵Ｋ_２およびマスター鍵Ｋ_ｒをサーバ１４０に出力する。なお、生成装置１２０は、第１のクライアント鍵Ｋ_１および第２のクライアント鍵Ｋ_２に代えて、第１実施形態の生成装置２０と同様に、第１のクライアント鍵Ｋ_１および第２のクライアント鍵Ｋ_２を生成するためのサーバ鍵Ｋ_Ｓおよびクライアント鍵規則をサーバ１４０に出力してもよい。

サーバ１４０は、クライアント鍵Ｋ_１、クライアント鍵Ｋ_２およびマスター鍵Ｋ_ｒを生成装置１２０から取得する。サーバ１４０は、第１のクライアント鍵Ｋ_１をマスター鍵Ｋ_ｒにより暗号化した第１再暗号化鍵Ｋ_１ ^（ｒ）を生成する。また、サーバ１４０は、第２のクライアント鍵Ｋ_２をマスター鍵Ｋ_ｒにより暗号化した第２再暗号化鍵Ｋ_２ ^（ｒ）を生成する。サーバ１４０は、再暗号化装置１５０からのリクエストに応じて、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を再暗号化装置１５０に出力する。なお、生成装置１２０およびサーバ１４０は、一体の構成であってもよい。

第１のクライアント端末１３１は、生成装置１２０から第１のクライアント鍵Ｋ_１を取得して保持する。第１のクライアント端末１３１は、平文ｍを第１のクライアント鍵Ｋ_１で暗号化した第１暗号文Ｃ_１（＝Ｅｎｃ（ｋ_１，ｍ））を生成する。第１のクライアント端末１３１は、第１暗号文Ｃ_１を再暗号化装置１５０に出力する。

再暗号化装置１５０は、第１のクライアント端末１３１から第１暗号文Ｃ_１を取得する。再暗号化装置１５０は、第１暗号文Ｃ_１を取得したことに応じてサーバ１４０にリクエストを出力して、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を取得する。

再暗号化装置１５０は、第１暗号文Ｃ_１、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）に基づき、平文ｍを第２のクライアント鍵Ｋ_２で暗号化した第２暗号文Ｃ_２（＝Ｅｎｃ（ｋ_２，ｍ））を生成する。そして、再暗号化装置１５０は、第２暗号文Ｃ_２を第２のクライアント端末１３２に出力する。

第２のクライアント端末１３２は、生成装置１２０から第２のクライアント鍵Ｋ_２を取得して保持する。第２のクライアント端末１３２は、再暗号化装置１５０から第２暗号文Ｃ_２を取得する。第２のクライアント端末１３２は、第２のクライアント鍵Ｋ_２により第２暗号文Ｃ_２を復号して、平文ｍを生成する。

以下、暗号化処理として、排他的論理和演算を用いる場合の再暗号化装置１５０の構成を説明する。この場合、平文ｍ、第１のクライアント鍵Ｋ_１、第２のクライアント鍵Ｋ_２、マスター鍵Ｋ_ｒ、第１再暗号化鍵Ｋ_１ ^（ｒ）、第２再暗号化鍵Ｋ_２ ^（ｒ）、合成鍵Ｋ_１，２ ^（ｒ）、第１暗号文Ｃ_１および第２暗号文Ｃ_２は、全て同一ビット長の２進数データである。

図２９は、再暗号化装置１５０の構成を示す図である。再暗号化装置１５０は、受信部１５１と、取得部１５２と、合成鍵生成部１５３と、再暗号化部１５４と、送信部１５５とを有する。

受信部１５１は、第１のクライアント端末１３１から、平文ｍと第１のクライアント鍵Ｋ_１とを排他的論理和演算した第１暗号文Ｃ_１を受信する。取得部１５２は、第１のクライアント鍵Ｋ_１とマスター鍵Ｋ_ｒとを排他的論理和演算した第１再暗号化鍵Ｋ_１ ^（ｒ）をサーバ１４０から取得する。また、取得部１５２は、第２のクライアント鍵Ｋ_２とマスター鍵Ｋ_ｒとを排他的論理和演算した第２再暗号化鍵Ｋ_２ ^（ｒ）を取得する。

合成鍵生成部１５３は、取得部１５２が取得した第１再暗号化鍵Ｋ_１ ^（ｒ）と第２再暗号化鍵Ｋ_２ ^（ｒ）とを排他的論理和演算して、合成鍵Ｋ_１，２ ^（ｒ）を生成する。再暗号化部１５４は、受信部１５１が受信した第１暗号文Ｃ_１と、合成鍵生成部１５３が生成した合成鍵Ｋ_１，２ ^（ｒ）とを排他的論理和演算して、第２暗号文Ｃ_２を生成する。送信部１５５は、再暗号化部１５４が生成した第２暗号文Ｃ_２を第２のクライアント端末１３２に送信する。

図３０は、第２実施形態に係る暗号処理システム１１０の処理フローを示す図である。第１のクライアント端末１３１から第２のクライアント端末１３２へ暗号通信により平文ｍを転送する場合、以下のステップＳ２０１からステップＳ２１０の処理が実行される。

まず、ステップＳ２０１において、第１のクライアント端末１３１は、下記の式（１０１）に示すように、平文ｍと第１のクライアント鍵Ｋ_１とを排他的論理和演算した第１暗号文Ｃ_１を生成する。

続いて、ステップＳ２０２において、第１のクライアント端末１３１は、第１暗号文Ｃ_１を再暗号化装置１５０に出力する。この場合に、第１のクライアント端末１３１は、送信先（第２のクライアント端末１３２）を指定する情報も再暗号化装置１５０に出力する。

続いて、ステップＳ２０３において、再暗号化装置１５０は、第１のクライアント端末１３１から第１暗号文Ｃ_１を取得したことに応じて、サーバ１４０にリクエストを出力する。この場合に、再暗号化装置１５０は、送信元（第１のクライアント端末１３１）および送信先（第２のクライアント端末１３２）を指定する情報もサーバ１４０に出力する。

続いて、ステップＳ２０４において、サーバ１４０は、送信元の第１のクライアント端末１３１が保持する第１のクライアント鍵Ｋ_１、送信先の第２のクライアント端末１３２が保持する第２のクライアント鍵Ｋ_２、および、マスター鍵Ｋ_ｒを取得する。サーバ１４０は、一例として、第１のクライアント鍵Ｋ_１、第２のクライアント鍵Ｋ_２およびマスター鍵Ｋ_ｒを、生成装置１２０から予め取得して保持している。また、サーバ１４０は、一例として、再暗号化装置１５０からリクエストを受けた後に、生成装置１２０から取得してもよい。また、サーバ１４０は、生成装置１２０からマスター鍵Ｋ_ｒを取得するのではなく、内部に備える乱数発生器により発生された乱数をマスター鍵Ｋ_ｒとしてもよい。

続いて、ステップＳ２０５において、サーバ１４０は、下記の式（１０２）に示すように、第１のクライアント鍵Ｋ_１とマスター鍵Ｋ_ｒとを排他的論理和演算した第１再暗号化鍵Ｋ_１ ^（ｒ）を生成する。また、サーバ１４０は、下記の式（１０３）に示すように、第２のクライアント鍵Ｋ_２とマスター鍵Ｋ_ｒとを排他的論理和演算した第２再暗号化鍵Ｋ_２ ^（ｒ）を生成する。

続いて、ステップＳ２０６において、サーバ１４０は、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を再暗号化装置１５０に返信する。

続いて、ステップＳ２０７において、再暗号化装置１５０は、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を取得したことに応じて、下記の式（１０４）に示すように、第１再暗号化鍵Ｋ_１ ^（ｒ）と第２再暗号化鍵Ｋ_２ ^（ｒ）とを排他的論理和演算して、合成鍵Ｋ_１，２ ^（ｒ）を生成する。

続いて、ステップＳ２０８において、再暗号化装置１５０は、下記の式（１０５）に示すように、第１暗号文Ｃ_１と合成鍵Ｋ_１，２ ^（ｒ）とを排他的論理和演算して、第２暗号文Ｃ_２を生成する。

続いて、ステップＳ２０９において、再暗号化装置１５０は、第２暗号文Ｃ_２を第２のクライアント端末１３２に送信する。

ここで、第２暗号文Ｃ_２と第１のクライアント鍵Ｋ_１とを排他的論理和演算した式は、下記の式（１０６）のように表される。

また、第１暗号文Ｃ_１は、式（１０１）に示したように、第１のクライアント鍵Ｋ_１と平文ｍとを排他的論理和した値である。また、合成鍵Ｋ_１，２ ^（ｒ）は、下記の式（１０７）に示すように、第１のクライアント鍵Ｋ_１と第２のクライアント鍵Ｋ_２とを排他的論理和した値である。

従って、式（１０１）および式（１０７）を式（１０６）に代入すると、右辺には平文ｍだけが残る。

そこで、ステップＳ２１０において、第２のクライアント端末１３２は、第２暗号文Ｃ_２を受信したことに応じて、下記式（１０８）に示すように、第２暗号文Ｃ_２と第２のクライアント鍵Ｋ_２とを排他的論理和演算して平文ｍを生成する。これにより、第２のクライアント端末１３２は、第１のクライアント端末１３１から送信された平文ｍを取得することができる。

なお、再暗号化装置１５０は、予め、第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）の一方または全部をサーバ１４０から取得していてもよい。この場合、サーバ１４０は、第１のクライアント鍵Ｋ_１および第２のクライアント鍵Ｋ_２の更新時に、更新した第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を再暗号化装置１５０に送信する。再暗号化装置１５０は、更新した第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）を、元の第１再暗号化鍵Ｋ_１ ^（ｒ）および第２再暗号化鍵Ｋ_２ ^（ｒ）に追加してもよいし、上書きしてもよい。

以上のように、第２実施形態に係る再暗号化装置１５０は、第１のクライアント鍵Ｋ_１および第２のクライアント鍵Ｋ_２を知らずに、平文ｍを第１のクライアント鍵Ｋ_１により暗号化した第１暗号文Ｃ_１を、平文ｍを第２のクライアント鍵Ｋ_２により暗号化した第２暗号文Ｃ_２に変換することができる。

図３１は、生成装置２０、クライアント端末３０、サーバ４０および再暗号化装置１５０のハードウェア構成の一例を示す図である。生成装置２０、クライアント端末３０、サーバ４０および再暗号化装置１５０は、ＣＰＵ（Central Processing Unit）２０１などの制御装置と、ＲＯＭ（Read Only Memory）２０２やＲＡＭ（Random Access Memory）２０３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ２０４と、各部を接続するバスを備えている。

実施形態に係る生成装置２０、クライアント端末３０、サーバ４０および再暗号化装置１５０で実行されるプログラムは、ＲＯＭ２０２等に予め組み込まれて提供される。また、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録してコンピュータプログラムプロダクトとして提供されるように構成してもよい。

さらに、このプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、このプログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

実施形態に係る生成装置２０で実行されるプログラムは、コンピュータを上述した生成装置２０の各部（入力部５１、乱数発生部５２、サーバ鍵生成部５３、クライアント鍵生成部５４、出力部５５）として機能させうる。なお、入力部５１、乱数発生部５２、サーバ鍵生成部５３、クライアント鍵生成部５４、出力部５５は、一部または全部がハードウェアにより構成されていてもよい。

実施形態に係るクライアント端末３０で実行されるプログラムは、コンピュータを上述したクライアント端末３０の各部（クライアント内保持部６１、クライアント内変換部６２、クライアント内暗号化部６３、クライアント内送信部６４、クライアント内受信部６５、クライアント内復号部６６およびクライアント内更新部６７）として機能させうる。なお、クライアント内保持部６１、クライアント内変換部６２、クライアント内暗号化部６３、クライアント内送信部６４、クライアント内受信部６５、クライアント内復号部６６およびクライアント内更新部６７は、一部または全部がハードウェアにより構成されていてもよい。

実施形態に係るサーバ４０で実行されるプログラムは、コンピュータを上述したサーバ４０の各部（サーバ内保持部７１、サーバ内受信部７２、サーバ内クライアント鍵生成部７３、サーバ内変換部７４、サーバ内復号部７５、サーバ内暗号化部７６、サーバ内送信部７７およびサーバ内更新部７８）として機能させうる。なお、サーバ内保持部７１、サーバ内受信部７２、サーバ内クライアント鍵生成部７３、サーバ内変換部７４、サーバ内復号部７５、サーバ内暗号化部７６、サーバ内送信部７７およびサーバ内更新部７８は、一部または全部がハードウェアにより構成されていてもよい。

実施形態に係る再暗号化装置１５０で実行されるプログラムは、コンピュータを上述した再暗号化装置１５０の各部（受信部１５１、取得部１５２、合成鍵生成部１５３、再暗号化部１５４および送信部１５５）として機能させうる。なお、受信部１５１、取得部１５２、合成鍵生成部１５３、再暗号化部１５４および送信部１５５は、一部または全部がハードウェアにより構成されていてもよい。

そして、このコンピュータは、ＣＰＵ２０１がコンピュータ読取可能な記憶媒体から上述した各プログラムを主記憶装置上に読み出して実行することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、請求の範囲に記載された発明とその均等の範囲に含まれる。

１０ 暗号処理システム
２０ 生成装置
３０ クライアント端末
４０ サーバ
５１ 入力部
５２ 乱数発生部
５３ サーバ鍵生成部
５４ クライアント鍵生成部
５５ 出力部
６０ 更新部
６１ クライアント内保持部
６２ クライアント内変換部
６３ クライアント内暗号化部
６４ クライアント内送信部
６５ クライアント内受信部
６６ クライアント内復号部
６７ クライアント内更新部
７１ サーバ内保持部
７２ サーバ内受信部
７３ サーバ内クライアント鍵生成部
７４ サーバ内変換部
７５ サーバ内復号部
７６ サーバ内暗号化部
７７ サーバ内送信部
７８ サーバ内更新部
８０ 入力部
８１ 乱数発生部
８２ 更新情報生成部
８３ 出力部
８４ 第１更新情報生成部
８５ 第２更新情報生成部
９１ 位置検出部
９２ 値生成部
９３ サーバ鍵生成部
９４ クライアント鍵生成部
９５ マスター鍵生成部
９６ 関数生成部
１１０ 暗号処理システム
１３１ 第１のクライアント端末
１３２ 第２のクライアント端末
１４０ サーバ
１５０ 再暗号化装置
１５１ 受信部
１５２ 取得部
１５３ 合成鍵生成部
１５４ 再暗号化部
１５５ 送信部
２０１ ＣＰＵ
２０２ ＲＯＭ
２０３ ＲＡＭ
２０４ 通信Ｉ／Ｆ

Claims (12)

1. 乱数に基づきビットの系列である第１鍵を生成するための第１鍵規則に基づいて、前記第１鍵を生成する第１鍵生成部と、
   前記第１鍵に基づき一部に互いに相関を有するビットの系列である複数の第２鍵を生成するための第２鍵規則に基づいて、前記複数の第２鍵を生成する第２鍵生成部と、
   前記第１鍵と前記複数の第２鍵のうち少なくとも１つの第２鍵とを出力する出力部と、
   前記複数の第２鍵のうち一部の第２鍵を更新する場合、更新対象の第２鍵における、更新対象となっていない他の第２鍵と相関の無い部分系列を更新するための更新情報を生成する更新部と、
   を備える生成装置。
2. 前記更新部は、前記出力部から出力された前記更新対象の第２鍵を更新するための第１の更新情報を生成するとともに、前記出力部から出力された前記第１鍵と前記第２鍵規則との少なくとも一方を更新することにより、前記第１鍵と前記第２鍵規則とにより生成される更新対象の第２鍵を更新するための第２の更新情報を生成する
   請求項１に記載の生成装置。
3. 前記第２鍵は、暗号化鍵を生成するための種であり、
   前記第２鍵生成部は、前記複数の第２鍵のそれぞれ毎に、対応する前記第２鍵を暗号化鍵に変換するための変換関数を生成し、
   前記出力部は、前記第２鍵とともに対応する前記変換関数を出力し、
   前記更新部は、前記更新対象の第２鍵または前記更新対象の第２鍵に対応する変換関数を更新するための第１の更新情報を生成する
   請求項２に記載の生成装置。
4. 前記更新部は、前記第１鍵における、前記更新対象の第２鍵の種となり且つ更新対象ではない第２鍵の種となっていないビットを更新することにより更新対象の第２鍵を更新するための第２の更新情報を生成する
   請求項２に記載の生成装置。
5. 前記第２鍵規則は、生成する前記複数の第２鍵のそれぞれに対応して異なる複数の関数を含み、
   前記出力部は、前記第１鍵とともに、マスター鍵から前記第２鍵規則を生成するためのマスター関数を出力し、
   前記更新部は、前記マスター鍵を更新することにより、前記第２鍵規則に含まれる更新対象の第２鍵に対応する関数を更新して更新対象の第２鍵を更新する第２の更新情報を生成する
   請求項２に記載の生成装置。
6. 前記第２鍵規則は、生成する前記複数の第２鍵のそれぞれに対応して異なる関数を含み、
   前記更新部は、前記第２鍵規則に含まれる更新対象の第２鍵に対応する関数を更新して更新対象の第２鍵を更新する第２の更新情報を生成する
   請求項２に記載の生成装置。
7. 前記第２鍵規則は、前記複数の第２鍵のうちのいずれか１つを指定するインデックス、前記第１鍵、および、マスター鍵に基づき、前記インデックスにより指定された第２鍵を生成し、
   前記更新部は、前記マスター鍵を更新することにより前記更新対象の第２鍵を更新するための第２の更新情報を生成する
   請求項２に記載の生成装置。
8. 乱数に基づきビットの系列である第１鍵を生成するための第１鍵規則に基づいて、前記第１鍵を生成する第１鍵生成ステップと、
   前記第１鍵に基づき一部に互いに相関を有するビットの系列である複数の第２鍵を生成するための第２鍵規則に基づいて、前記複数の第２鍵を生成する第２鍵生成ステップと、
   前記第１鍵と前記複数の第２鍵のうち少なくとも１つの第２鍵とを出力する出力ステップと、
   前記複数の第２鍵のうち一部の第２鍵を更新する場合、更新対象の第２鍵における、更新対象となっていない他の第２鍵と相関の無い部分系列を更新するための更新情報を生成する更新ステップと、
   を含む生成方法。
9. 乱数に基づきビットの系列である第１鍵を生成するための第１鍵規則に基づいて、前記第１鍵を生成する第１鍵生成ステップと、
   前記第１鍵に基づき一部に互いに相関を有するビットの系列である複数の第２鍵を生成するための第２鍵規則に基づいて、前記複数の第２鍵を生成する第２鍵生成ステップと、
   前記第１鍵と前記複数の第２鍵のうち少なくとも１つの第２鍵とを出力する出力ステップと、
   前記複数の第２鍵のうち一部の第２鍵を更新する場合、更新対象の第２鍵における、更新対象となっていない他の第２鍵と相関の無い部分系列を更新するための更新情報を生成する更新ステップと、
   をコンピュータに実行させるためのプログラム。
10. 第１のクライアント端末から、平文と第１のクライアント鍵とを排他的論理和演算した第１暗号文を受信する受信部と、
    前記第１のクライアント鍵とマスター鍵とを排他的論理和演算した第１再暗号化鍵と、第２のクライアント端末が保持する第２のクライアント鍵と前記マスター鍵とを排他的論理和演算した第２再暗号化鍵とを取得する取得部と、
    前記第１再暗号化鍵と前記第２再暗号化鍵とを排他的論理和演算した合成鍵を生成する合成鍵生成部と、
    前記第１暗号文と前記合成鍵とを排他的論理和演算した第２暗号文を生成する再暗号化部と、
    前記第２暗号文を前記第２のクライアント端末に送信する送信部と
    を備える再暗号化装置。
11. 第１のクライアント端末から、平文と第１のクライアント鍵とを排他的論理和演算した第１暗号文を受信する受信ステップと、
    前記第１のクライアント鍵とマスター鍵とを排他的論理和演算した第１再暗号化鍵と、第２のクライアント端末が保持する第２のクライアント鍵と前記マスター鍵とを排他的論理和演算した第２再暗号化鍵とを取得する取得ステップと、
    前記第１再暗号化鍵と前記第２再暗号化鍵とを排他的論理和演算した合成鍵を生成する合成鍵生成ステップと、
    前記第１暗号文と前記合成鍵とを排他的論理和演算した第２暗号文を生成する再暗号化ステップと、
    前記第２暗号文を前記第２のクライアント端末に送信する送信ステップと
    を含む再暗号化方法。
12. 第１のクライアント端末から、平文と第１のクライアント鍵とを排他的論理和演算した第１暗号文を受信する受信ステップと、
    前記第１のクライアント鍵とマスター鍵とを排他的論理和演算した第１再暗号化鍵と、第２のクライアント端末が保持する第２のクライアント鍵と前記マスター鍵とを排他的論理和演算した第２再暗号化鍵とを取得する取得ステップと、
    前記第１再暗号化鍵と前記第２再暗号化鍵とを排他的論理和演算した合成鍵を生成する合成鍵生成ステップと、
    前記第１暗号文と前記合成鍵とを排他的論理和演算した第２暗号文を生成する再暗号化ステップと、
    前記第２暗号文を前記第２のクライアント端末に送信する送信ステップと
    をコンピュータに実行させるためのプログラム。

Images