JP2015068871A - 電子透かしシステム、電子透かし鍵生成装置、電子透かし埋込装置、電子透かし検出装置、電子透かし除去装置、関数実行装置、電子透かし方法及びプログラム - Google Patents

Abstract

【課題】損失落とし戸関数に対して電子透かしを埋め込み、検出し、除去する。
【解決手段】電子透かし鍵生成装置１０はベクトル空間パラメータ、公開鍵、秘密鍵、埋込鍵、検出鍵、除去鍵、単射鍵、損失鍵及び逆関数鍵を生成する。電子透かし埋込装置２０は入力された埋込対象関数鍵へ埋込鍵を用いて電子透かしを埋め込み、透かし付関数鍵を出力する。電子透かし検出装置３０は検出鍵を用いて入力された検出対象関数鍵に電子透かしが埋め込まれているか否かを検出する。電子透かし除去装置４０は除去鍵を用いて入力された除去対象関数鍵から電子透かしを除去して除去済関数鍵を出力する。関数実行装置５０は情報xから透かし付関数鍵を用いて情報yを計算する。また、情報yから逆関数鍵を用いて情報xを逆計算する。
【選択図】図４

Description

この発明は、著作権保護や不正コピー防止などに利用される電子透かし技術に関し、特に、電気通信システムの暗号機能を実現するために用いられる暗号学的関数に対する電子透かし技術に関する。

従来からデジタル音声、デジタル画像、デジタル動画などのマルチメディア情報に対して著作権保護や不正コピーの追跡、制御などを目的として電子透かし技術が用いられている。また、ソフトウェア、プログラムに対する電子透かしを実現するために、関数に対して電子透かしを入れる技術が考えられている。

関数に対する電子透かしを実現する方法として、例えば、ハッシュ関数へ著作権を付与する方法（非特許文献１）や、放送暗号における復号関数へ著作権を付与する方法（非特許文献２）がある。これらの方式は、電子透かしの概念と近い技術であり、不正な関数生成を防止することができる。また、ペアリング上のベクトル空間におけるベクトル分解問題に基づき、デジタル署名への電子透かし方法が提案されている（非特許文献３）。

David Naccache, Adi Shamir, and Julien P. Stern. "How to copyright a function?", In Public Key Cryptography, volume 1560 of Lecture Notes in Computer Science, pages 188-196. Springer, 1999. Aggelos Kiayias and Moti Yung. "Traitor tracing with constant transmission rate.", In EUROCRYPT, volume 2332 of Lecture Notes in Computer Science, pages 450-465. Springer, 2002. Maki Yoshida and Toru Fujiwara. "Toward digital watermarking for cryptographic data.", IEICE Transactions, 94-A(1):270-272, 2011.

しかしながら、従来の電子透かし技術は暗号学的な取り扱いがなされず、暗号学的に証明可能な安全性を有していなかった。また、暗号学的関数への電子透かし技術はこれまで実現されていなかった。

例えば、非特許文献１に記載の技術は、著作権を付与することができるのはハッシュ関数のみである。ハッシュ関数は署名に利用することはできるが、公開鍵暗号や紛失通信など、その他の強力な暗号プリミティブを実現できるかどうかがわかっていない。また、非特許文献１の方式は電子透かしの検出をデータベースに登録してある情報を検索することでしか実現できず、電子透かしの除去もできない。さらに、著作権付与回数が限定されている。非特許文献２に記載の技術も、著作権を付与できるのは復号関数のみであるので、その他の強力な暗号プリミティブに応用できるかどうかがわかっておらず、著作権付与回数が限定されている。非特許文献３に記載の技術は、電子署名に対してしか実現できておらず、その他の強力な暗号プリミティブに応用できるかどうかがわかっていない。また、暗号学的に証明可能な安全性を有していない。

この発明はこのような点に鑑みてなされたものであり、様々な暗号プリミティブを実現することができる暗号学的関数である損失落とし戸関数に対して電子透かしを埋め込み、検出し、除去することができる電子透かし技術を提供することを目的とする。

上記の課題を解決するために、この発明の電子透かしシステムは、電子透かし鍵生成装置、電子透かし埋込装置、電子透かし検出装置、電子透かし除去装置及び関数実行装置を含む。以下では、Nは自然数であり、qは素数であり、G,G_Tは位数qの巡回乗法群であり、gは群Gの生成元であり、F_qは位数qの有限体であり、F_q ^×は有限体F_q上の乗法群であり、GL(N,F_q)は有限体F_q上のN次元一般線形群であり、Xは一般線形群GL(N,F_q)からランダムに生成した正則行列であり、Vは有限体F_q上のN次元ベクトル空間であり、Aはベクトル空間Vの標準基底であり、eはV×V→G_Tの双線形写像であり、γはN以下の任意の整数であり、param_Vはparam_V:=(q,V,G_T,A,e)であるベクトル空間パラメータであるとする。

電子透かし鍵生成装置は、双対直交基底生成部、鍵ペア生成部、埋込鍵生成部、検出鍵生成部、除去鍵生成部、単射鍵生成部及び損失鍵生成部を含む。双対直交基底生成部は、標準基底A及び正則行列Xを用いて、ベクトル空間Vの双対直交基底である基底B及び基底B^*を生成する。鍵ペア生成部は、基底Bから所定の元を選択して基底B^を生成した上でベクトル空間パラメータparam_V及び基底B^を含む公開鍵pk並びに基底B^*から所定の元を選択した秘密鍵skを生成する。埋込鍵生成部は、基底B^*から秘密鍵skに含まれない元を選択して埋込鍵mkを生成する。検出鍵生成部は、基底Bから基底B^に含まれない元を選択して検出鍵dkを生成する。除去鍵生成部は、正則行列Xを除去鍵rkとして設定する。単射鍵生成部は、単位行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、基底Bを用いて生成した行列v_i,j及び基底B^*を用いて生成した値k_IDを含む単射鍵ek_I並びに有限体F_qからランダムに生成した逆関数鍵ikを生成する。損失鍵生成部は、ゼロ行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、基底Bを用いて生成した行列v_i,j及び基底B^*を用いて生成した値k_IDを含む損失鍵ek_Lを生成する。

電子透かし埋込装置は、電子透かし埋込部を含む。電子透かし埋込部は、埋込対象関数鍵ekを入力として、埋込鍵mkを用いて、埋込対象関数鍵ekに含まれる値k_IDに電子透かしを埋め込んだ透かし付関数鍵WM(ek)を生成する。

電子透かし検出装置は、電子透かし検出部を含む。電子透かし検出部は、検出対象関数鍵ek’を入力として、検出鍵dkを用いて、検出対象関数鍵ek’に含まれる値k_IDに電子透かしが埋め込まれているか否かを示す情報を出力する。

電子透かし除去装置は、電子透かし除去部を含む。電子透かし除去部は、除去対象関数鍵ek”を入力として、除去鍵rkを用いて、除去対象関数鍵ek”に含まれる値k_IDから電子透かしを取り除いた除去済関数鍵ek^を出力する。

関数実行装置は、関数実行部及び逆関数実行部を含む。関数実行部は、計算対象の情報xを入力として、透かし付関数鍵WM(ek)を用いて、計算結果である情報yを出力する。逆関数実行部は、逆計算対象の情報yを入力として、逆関数鍵ikを用いて、逆計算結果である情報xを出力する。

この発明の電子透かし処理技術によれば、損失落とし戸関数に対して電子透かしを埋め込み、検出し、除去することができる。損失落とし戸関数は、様々な暗号プリミティブを実現することができる暗号学的関数である。したがって、損失落とし戸関数により実現される暗号プリミティブを実装するソフトウェアに対して著作権の付与や不正コピーの防止などが可能となる。

図１は、損失落とし戸関数を説明するための図である。 図２は、関数に対する電子透かしの埋込及び除去を説明するための図である。 図３は、関数に対する電子透かしの検出を説明するための図である。 図４は、電子透かしシステムの機能構成を例示する図である。 図５は、電子透かし鍵生成装置の機能構成を例示する図である。 図６（Ａ）は、電子透かし埋込装置の機能構成を例示する図である。図６（Ｂ）は、電子透かし検出装置の機能構成を例示する図である。図６（Ｃ）は、電子透かし除去装置の機能構成を例示する図である。 図７は、関数実行装置の機能構成を例示する図である。 図８は、電子透かし鍵生成装置の処理フローを例示する図である。 図９（Ａ）は、電子透かし埋込装置の処理フローを例示する図である。図９（Ｂ）は、電子透かし検出装置の処理フローを例示する図である。図９（Ｃ）は、電子透かし除去装置の処理フローを例示する図である。 図１０は、関数実行装置の処理フローを例示する図である。 図１１は、電子透かしシステムのデータフローを例示する図である。 図１２は、この発明の電子透かし処理技術と従来技術との比較を示す図である。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

［表記方法］
実施形態の説明に先立ち、この明細書で用いる表記方法及び用語を定義する。

次式は、ある値a,bについて、aにbを代入する、又は、aをbで定義することを表す。

_（アンダースコア）は下付き添字を表す。例えば、x^y_zはy_zがxに対する上付き添字であり、x_{y_z}はy_zがxに対する下付き添字であることを表す。

次式は、ある有限集合Sについて、集合Sから要素rを一様ランダムに選ぶことを表す。

次式は、ある確率的多項式時間アルゴリズムAについて、アルゴリズムAがxを入力にとり、乱数を生成して動作し、aを出力することを表す。

^→（上付き文字の右矢印）は有限体F_q上のベクトル表現を表す。つまり、x^→は(x₁,…,x_n)∈F_qである。数式内における次式も同様である。

次式はいずれもベクトルx^→とベクトルy^→の内積を表す。

すなわち、x^→=(x₁,…,x_n)、y^→=(y₁,…,y_n)であるとして、次式により定義される演算を表す。

^T（上付き文字のT）は行列の転置を表す。例えば、X^Tは行列Xの転置行列である。数式内における次式も同様である。

^-1（上付き文字の-1）は逆行列を表す。例えば、X^-1は行列Xの逆行列である。数式内における次式も同様である。

b_i∈V(i=1,…,n)のとき、span<b₁,…,b_n>⊆Vは、b₁,…,b_nによって生成される部分空間である。

基底B:=(b₁,…,b_N)と基底B^*:=(b^* ₁,…,b^* _N)に対し、次式の演算を定義する。

ベクトルe^→ _jは次式により定義される標準基底ベクトルである。

λはセキュリティパラメータを表す。

qはλビットの素数である。

G,G_Tは素数位数qの巡回乗法群である。

gは群Gの生成元である。

eはe:V×V→G_Tの双線形写像である。

F_qは位数qの有限体である。

F_q ^×は有限体F_qの乗法群である。

GL(n,F_q)は有限体F_q上のn次元一般線形群である。

BMSetupは1^λを入力とし、双線形写像のパラメータ(q,g,G,G_T,e)を出力する標準的なアルゴリズムである。

［双線形写像の説明］
双線形写像とは、楕円曲線上の二点に定義されるペアリング演算を行うための関数である。G×G→G_Tの双線形写像eは以下の性質を満たす。
＜双線型性＞任意のg,h∈G及び任意のa,b∈F_qに対して、e(ag,bh)=e(g,h)^abが成立する。
＜非退化性＞e(g,g)≠1を満たすgが存在する。つまり、もしgがGの生成元ならe(g,g)はG_Tの生成元である。
＜計算可能性＞任意のg,h∈Gに対して、e(g,h)を効率的に（つまり多項式時間で）計算可能である。

双線形写像の具体例としては、例えば、WeilペアリングやTateペアリングなどが考えられる。ペアリング演算をコンピュータ上で行うためのアルゴリズムとしては、周知のMillerのアルゴリズムなどが存在する。詳しくは「D. Boneh and M. K. Franklin. “Identity-Based Encryption from the Weil Pairing.”, In CRYPTO’01,volume 2139 of Lecture Notes in Computer Science, pages 213-229, Springer, 2001.（参考文献１）」や「D. Moriyama, R. Nishimaki, and T. Okamoto, “公開鍵暗号の数理” 共立出版, 2011.（参考文献２）」及び「黒澤馨, “現代暗号への招待”, サイエンス社（参考文献３）」などを参照されたい。

［双対ペアリングベクトル空間の説明］
この発明では双対ペアリングベクトル空間を利用する。対称ペアリング群(q,G,G_T,g,e)による双対ペアリングベクトル空間(q,V,G_T,A,e)とは、素数q、有限体F_q上のN次元ベクトル空間V、位数qの巡回群G_T、ベクトル空間Vの標準基底A及びe:V×V→G_Tである双線形写像eの組である。

ここで、N次元ベクトル空間Vは以下の式で定義される。

ベクトル空間Vの標準基底Aは以下の式で定義される。

双線形写像eは以下の式で定義される。

これは非退化双線形である。つまり、e(sx,ty)=e(x,y)^st、かつ、もしすべてのy∈Vに対しe(x,y)=1ならばx=0である。

すべてのi及びjに対しe(a_i,a_j)=e(g,g)^δ_i,jである。ただし、i=jならばδ_i,j=1であり、i≠jならばδ_i,j=0である。またe(g,g)≠1である。

双対ペアリングベクトル空間生成アルゴリズムG_dpvsは1^λ及び自然数Nを入力として、ベクトル空間パラメータparam_V:=(q,V,G_T,A,e)を得る。ここで、Nはベクトル空間Vの次元数である。双対ペアリングベクトル空間生成アルゴリズムG_dpvsはG_bmpを使用して構成することができる。

双対ペアリングベクトル空間において、双対基底を構成する方法は以下の通りである。まず、双線形写像パラメータ(q,g,G,G_T,e)を次式により生成する。

次に、双対直交基底(param_V,B,B^*)を次式により生成する。

ただし、g_obは次式により定義される。

双対ペアリングベクトル空間は以下の性質を有する。
＜ペアリング演算＞双対ペアリングベクトル空間Vの要素x,y∈Vについて、次式が成立する。

ここで、x及びyは基底A上の係数ベクトルとして表現可能である。つまり、次式に示すように表すことができる。

＜基底変換＞標準基底Aは一様ランダムな正則行列Xを用いて、N次元ベクトル空間Vの基底Bに変換可能である。ただし、正則行列Xは有限体F_q上のN次元一般線形群GL(N,F_q)よりランダムに生成され、次式により定義される。

また、基底Bは次式により定義される。

標準基底Aは上記の正則行列Xを用いてN次元ベクトル空間Vの基底B^*にも変換可能である。ただし、基底B^*は次式により定義される。

ここで注目すべきは次式が成立することである。

つまり、基底Bと基底B^*はベクトル空間Vの双対直交基底である。

ここで、x:=x₁b₁+…+x_Nb_N∈V及びy:=y₁b^* ₁+…+y_Nb^* _N∈Vは基底B及び基底B^*の係数ベクトルとして表現可能である。つまり、次式が成立する。

双対ペアリングベクトル空間についての詳細は、「Tatsuaki Okamoto and Katsuyuki Takashima. “Fully secure functional encryption with general relations from the decisional linear assumption.”, In CRYPTO, volume 6223 of Lecture Notes in Computer Science, pages 191-208, Springer, 2010.（参考文献４）」を参照されたい。

［損失落とし戸関数の説明］
この発明では損失落とし戸関数に対する電子透かしを実現する。図１を参照して、損失落とし戸関数について説明する。ここでは、損失落とし戸関数LTFを定義域Dから定義域Rへの写像とする。損失落とし戸関数LTFは単射関数fと損失関数f_lossのいずれとしても動作することができるが、単射関数fと損失関数f_lossは識別不可能である。単射関数fは一対一の写像である。そして、逆関数f^-1が計算可能である。逆関数f^-1は計算が困難であるが、落とし戸tがあれば効率的に計算することができる。損失関数f_lossは単射ではない。したがって、落とし戸tがあったとしても逆関数f_loss ^-1は計算することができない。

損失落とし戸関数LTFは以下の四つの多項式時間アルゴリズムからなる。ここで、λはセキュリティパラメータであり、n(λ)は関数の入力長である。
・単射鍵生成：アルゴリズムLTF.IGenは、計算鍵ekと逆計算鍵ikを出力する。
・計算：アルゴリズムLTF.Eval_ek(X)(ただし、X∈D)は像Y=f_ek(X)を出力する。
・逆計算：アルゴリズムLTF.Invert_ik(Y)は逆像X=f^-1 _ik(Y)を出力する。
・損失鍵生成：アルゴリズムLTF.LGenは計算鍵ek’を出力する。

損失落とし戸関数LTFは以下の性質を有する。
＜完全性＞すべての計算鍵ek及び逆計算鍵ikの組み合わせ

及びX∈Dに対して、f_ik ^-1(f_ek(X))=Xが成立する。
＜識別不可能性＞すべての確率的多項式時間攻撃者Αに対して

が成立する。ここで、neglは無視できる関数である。
＜損失性＞損失落とし戸関数LTFがγ損失であるとは、すべての

に対して、像f_ek’(D)のサイズが高々|D|/2^γとなることである。

損失落とし戸関数を利用することで、一方向性関数、落とし戸付一方向性関数、衝突困難ハッシュ関数、選択暗号文攻撃に対して安全な公開鍵暗号、紛失通信などの様々な暗号プリミティブを実現することができる。したがって、損失落とし戸関数に対する電子透かしを実現することは、様々な電子透かし付き暗号プリミティブを実現できることを意味している。

損失落とし戸関数についての詳細は、「Chris Peikert and Brent Waters. “Lossy trapdoor functions and their applications.”, In STOC'08, pages 187-196, ACM, 2008.（参考文献５）」及び「D. Moriyama, R. Nishimaki, and T. Okamoto. “公開鍵暗号の数理” 共立出版, 2011.（参考文献６）」を参照されたい。

［関数への電子透かし処理の説明］
図２を参照して、関数に対する電子透かしの埋込方法及び除去方法を説明する。関数fに対して電子透かしを埋め込むために、埋込アルゴリズムMarkは、埋込鍵mkを用いてそれぞれに異なるパターンが埋め込まれた透かし付き関数fm₁,…,fm_nを出力する。透かし付き関数fm₁,…,fm_nはいずれも電子透かしを埋め込む前の関数fと同じ計算を行う。

電子透かしを除去する除去アルゴリズムRemoveは、除去鍵rkを用いて透かし付き関数fm₁,…,fm_nに埋め込まれた電子透かしを除去して元の関数fを復元することができる。

図３を参照して、関数に対する電子透かしの検出方法を説明する。関数に対して電子透かしが埋め込まれているか否かを検出する検出アルゴリズムDetectは、検出鍵dkを用いて入力された関数に電子透かしが埋め込まれているかを示す情報を出力する。透かし付き関数fm_jが入力された場合には、電子透かしが埋め込まれていることを示す「true」を出力する。透かしなし関数fが入力された場合には、電子透かしが埋め込まれていないことを示す「false」を出力する。不正なユーザjが他のユーザに関数fm_jのコピーを渡した場合、コピーされた関数に電子透かしが埋め込まれているか否かを検出し、検出した電子透かしのパターンから関数fm_jの流出元である不正ユーザjが誰かを特定することができる。

したがって、電子透かしを実現するために必要とされる要件は、電子透かしの偽造を防止するために埋込鍵mkがなければ電子透かしを埋め込むことができないこと、そして、除去鍵rkがないと関数の機能を破壊することなく電子透かしを取り除くことができないことである。

［この発明のポイント］
損失落とし戸関数への電子透かしを実現するために、この発明では、双対ペアリングベクトル空間を利用する。そして、双対ペアリングベクトル空間の双対直交基底を使用した電子透かしの実現のために、準機能暗号文と準機能鍵を利用する。準機能暗号文は通常の暗号文と識別不可能であり、通常の鍵を用いる限り通常通り復号が可能である。準機能鍵は通常の鍵と識別不可能であり、通常の暗号文については通常通り復号可能である。一方で、準機能暗号文を準機能鍵で復号することは不可能である。この準機能暗号文と準機能鍵の性質は、従来は暗号の安全性を証明するためのテクニックとして用いられてきたが、暗号機能を実行する上では利用されてこなかった。この発明による問題解決手法として重要な点は、これら準機能暗号文と準機能鍵を証明のテクニックとしてだけではなく、暗号機能を実行する上で利用したことである。

また、電子透かしの除去を可能とするために、双対ペアリングベクトル空間の生成に使用した正則行列Xを利用する。これまで双対ペアリングベクトル空間を利用した技術は双対直交基底を利用することで様々な問題を解決してきたが、その生成に用いた行列Xそのものを利用することは考えられていなかった。このように正則行列Xを利用することも問題解決手法として重要な点である。

［第一実施形態］
＜構成＞
図４を参照して、この発明の第一実施形態に係る電子透かしシステム１の機能構成例を説明する。電子透かしシステム１は電子透かし鍵生成装置１０、電子透かし埋込装置２０、電子透かし検出装置３０、電子透かし除去装置４０、関数実行装置５０及びネットワーク９から構成される。電子透かし鍵生成装置１０、電子透かし埋込装置２０、電子透かし検出装置３０、電子透かし除去装置４０及び関数実行装置５０はネットワーク９に接続されている。ネットワーク９は電子透かしシステム１を構成する各装置が相互に通信可能であればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。また、電子透かしシステム１を構成する各装置間は必ずしもネットワークを介してオンラインで通信可能である必要はない。例えば、電子透かし鍵生成装置１０が出力する情報をＵＳＢメモリなどの可搬記録媒体に記憶し、その可搬記録媒体から関数実行装置５０へオフラインで入力するように構成してもよい。

図５を参照して、電子透かしシステム１に含まれる電子透かし鍵生成装置１０の構成例を説明する。電子透かし鍵生成装置１０は、双線形写像パラメータ生成部１１０、ベクトル空間パラメータ生成部１１５、双対直交基底生成部１２０、鍵ペア生成部１２５、埋込鍵生成部１３０、検出鍵生成部１３５、除去鍵生成部１４０、透かし鍵配信部１４５、単射鍵生成部１５０、損失鍵生成部１５５及び関数鍵配信部１６０を備える。電子透かし鍵生成装置１０は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。電子透かし鍵生成装置１０は、例えば、中央演算処理装置の制御のもとで各処理を実行する。電子透かし鍵生成装置１０に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。

図６（Ａ）を参照して、電子透かしシステム１に含まれる電子透かし埋込装置２０の構成例を説明する。電子透かし埋込装置２０は、電子透かし埋込部２１０及び埋込鍵記憶部２９０を備える。電子透かし埋込装置２０は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。電子透かし埋込装置２０は、例えば、中央演算処理装置の制御のもとで各処理を実行する。電子透かし埋込装置２０に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。埋込鍵記憶部２９０は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスク若しくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、又はリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図６（Ｂ）を参照して、電子透かしシステム１に含まれる電子透かし検出装置３０の構成例を説明する。電子透かし検出装置３０は、電子透かし検出部３１０及び検出鍵記憶部３９０を備える。電子透かし検出装置３０は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。電子透かし検出装置３０は、例えば、中央演算処理装置の制御のもとで各処理を実行する。電子透かし検出装置３０に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。検出鍵記憶部３９０は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスク若しくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、又はリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図６（Ｃ）を参照して、電子透かしシステム１に含まれる電子透かし除去装置４０の構成例を説明する。電子透かし除去装置４０は、電子透かし除去部４１０及び除去鍵記憶部４９０を備える。電子透かし除去装置４０は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。電子透かし除去装置４０は、例えば、中央演算処理装置の制御のもとで各処理を実行する。電子透かし除去装置４０に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。除去鍵記憶部４９０は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスク若しくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、又はリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

図７を参照して、電子透かしシステム１に含まれる関数実行装置５０の構成例を説明する。関数実行装置５０は、関数実行部５１０、逆関数実行部５２０及び関数鍵記憶部５９０を備える。関数実行装置５０は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。関数実行装置５０は、例えば、中央演算処理装置の制御のもとで各処理を実行する。関数実行装置５０に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。関数鍵記憶部５９０は、例えば、ＲＡＭ（Random Access Memory）などの主記憶装置、ハードディスクや光ディスク若しくはフラッシュメモリ（Flash Memory）のような半導体メモリ素子により構成される補助記憶装置、又はリレーショナルデータベースやキーバリューストアなどのミドルウェアにより構成することができる。

＜鍵生成処理＞
図８を参照して、電子透かし鍵生成装置１０が実行する鍵生成処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

ステップＳ１１０において、電子透かし鍵生成装置１０の備える双線形写像パラメータ生成部１１０は、セキュリティパラメータ1^λを入力として、次式に示すようにBMSetupを実行して、双線形写像パラメータ(q,g,G,G_T,e)を生成する。

ステップＳ１１５において、電子透かし鍵生成装置１０の備えるベクトル空間パラメータ生成部１１５は、次式に示すように双対ペアリングベクトル空間生成アルゴリズムG_dpvsを実行して、ベクトル空間パラメータparam_V:=(q,V,G_T,A,e,g_T)を生成する。

ここで、g_Tは、有限体F_qの乗法群F_q ^×から乱数ψを選択し、次式により計算する。

ステップＳ１２０において、電子透かし鍵生成装置１０の備える双対直交基底生成部１２０は、ベクトル空間パラメータparam_V:=(q,V,G_T,A,e,g_T)を用いて、ベクトル空間Vの基底B,B^*,B^を生成する。まず、双対直交基底生成部１２０は、次式に示すように10次元一般線形群GL(10,F_q)から正則行列Xをランダムに生成する。ただし、i,j=1,…,10である。

次に、双対直交基底生成部１２０は、次式に示すように基底Bを生成する。

続いて、双対直交基底生成部１２０は、次式に示すように基底B^*を生成する。

そして、双対直交基底生成部１２０は、基底B:=(b₁,…,b₁₀)を用いて基底B^:=(b₁,b₂,b₃,b₁₀)を生成する。

ステップＳ１２５において、電子透かし鍵生成装置１０の備える鍵ペア生成部１２５は、公開鍵pk:=(param_V,B^,Samp)を生成する。ここで、Sampは双対ペアリングベクトル空間のパラメータを用いて損失落とし戸関数の関数インデックスを生成する関数鍵生成アルゴリズムである。第一実施形態に係る関数鍵生成アルゴリズムSampについての詳細は後述する。

そして、鍵ペア生成部１２５は、基底B^*:=(b^* ₁,…,b^* ₁₀)を用いて秘密鍵sk:=(b^* ₁,b^* ₂,b^* ₃,b^* ₆,b^* ₇)を生成する。

ステップＳ１３０において、電子透かし鍵生成装置１０の備える埋込鍵生成部１３０は、基底B^*:=(b^* ₁,…,b^* ₁₀)を用いて埋込鍵mk:=(b^* ₈,b^* ₉)を生成する。

ステップＳ１３５において、電子透かし鍵生成装置１０の備える検出鍵生成部１３５は、基底B:=(b₁,…,b₁₀)を用いて検出鍵dk:=(b₈,b₉)を生成する。

ステップＳ１４０において、電子透かし鍵生成装置１０の備える除去鍵生成部１４０は、正則行列Xを用いて除去鍵rk:=X=(χ_i,j)（i,j=1,…,10）を生成する。

ステップＳ１４５において、電子透かし鍵生成装置１０の備える透かし鍵配信部１４５は、生成した公開鍵pk:=(param_V,B^,Samp)、埋込鍵mk:=(b^* ₈,b^* ₉)、検出鍵dk:=(b₈,b₉)及び除去鍵rk:=Xを各装置に配信する。図１１に電子透かし鍵生成装置１０が生成した電子透かし鍵を配信する動作例を示す。公開鍵pkは電子透かし埋込装置２０、電子透かし検出装置３０及び電子透かし除去装置４０に配信される。埋込鍵mkは電子透かし埋込装置２０に配信される。検出鍵dkは電子透かし検出装置３０に配信される。除去鍵rkは電子透かし除去装置４０に配信される。

電子透かし埋込装置２０は、配信された公開鍵pk及び埋込鍵mkを埋込鍵記憶部２９０へ記憶する。電子透かし検出装置３０は、配信された公開鍵pk及び検出鍵dkを検出鍵記憶部３９０へ記憶する。電子透かし除去装置４０は、配信された公開鍵pk及び除去鍵rkを除去鍵記憶部４９０へ記憶する。

ステップＳ１５０において、電子透かし鍵生成装置１０の備える単射鍵生成部１５０は、ベクトル空間パラメータparam_V、基底B^及び秘密鍵skを入力として関数鍵生成アルゴリズムSampを実行し、関数鍵ek及び逆関数鍵ikを生成する。このとき、出力された関数鍵ekを単射鍵ek_Iとする。

第一実施形態に係る関数鍵生成アルゴリズムSampは、以下のように関数鍵ek及び逆関数鍵ikを生成する。まず、任意のビット列ID∈{0,1}^*を選択し、有限体F_q上のγ次元ベクトルψを次式に示すようにランダムに生成する。

次に、j=1,…,γについて、次式に示すようにg_{T_j}を計算する。

続いて、i=1,…,γについて、有限体F_q上の乱数ζ_i,φ_i,ω_iを次式に示すように生成する。

次に、i,j=1,…,γについて、行列u_i,j及び行列υ_iを次式に示すように計算する。

ただし、行列u_i,jを生成する際に用いる行列m_i,j（i,j=1,…,γ）は単位行列である。すなわち、m_i,j=1（i=j）かつm_i,j=0（i≠j）とする。

次に、有限体F_q上の乱数σ及び有限体F_q上の2次元ベクトルη^→を次式に示すようにランダムに生成する。

次に、ビット列ID、乱数σ、ベクトルη^→及び基底B^*を用いて次式に示すように値k_IDを生成する。

そして、関数鍵生成アルゴリズムSampは、関数鍵ekを次式に示すように設定する。

ここで、{u_i,j}_i,jは(u_1,1,…,u_γ,γ)を表し、{υ_i}_iは(υ₁,…,υ_γ)を表す。これを行列で表現すると、次式に示すように表すことができる。

また、関数鍵生成アルゴリズムSampは、逆関数鍵ikをik:=ψと設定する。

ステップＳ１５５において、電子透かし鍵生成装置１０の備える損失鍵生成部１５５は、単射鍵生成部１５０と同様に、関数鍵生成アルゴリズムSampを実行することで、損失鍵ek_L及び逆関数ikを生成する。ただし、関数鍵生成アルゴリズムSampにおいて、行列u_i,jを生成する際に用いる行列m_i,j（i,j=1,…,γ）はゼロ行列に設定する。すなわち、すべてのi,jについてm_i,j=0である。また、逆関数ikはik:=⊥が設定される。損失関数は逆関数を計算できないためである。

ステップＳ１６０において、電子透かし鍵生成装置１０の備える関数鍵配信部１６０は、生成した単射鍵ek_I若しくは損失鍵ek_L及び逆関数鍵ikを各装置に配信する。図１１に電子透かし鍵生成装置１０が生成した関数鍵を配信する動作例を示す。単射鍵ek_I若しくは損失鍵ek_Lは電子透かし埋込装置２０に配信される。逆関数鍵ikは関数実行装置５０に配信される。電子透かしを埋め込まずに損失落とし戸関数LTFを利用したい場合には、単射鍵ek_I若しくは損失鍵ek_Lを関数実行装置５０に配信してもよい。

電子透かし埋込装置２０は、配信された単射鍵ek_I若しくは損失鍵ek_Lを埋込鍵記憶部２９０へ記憶する。関数実行装置５０は、配信された逆関数鍵ikを関数鍵記憶部５９０へ記憶する。また、関数実行装置５０は、単射鍵ek_I若しくは損失鍵ek_Lが配信された場合には、その単射鍵ek_I若しくは損失鍵ek_Lを関数鍵記憶部５９０へ記憶する。

＜電子透かし埋込処理＞
図９（Ａ）を参照して、電子透かし埋込装置２０が実行する電子透かし埋込処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

上述の通り、電子透かし埋込装置２０の備える埋込鍵記憶部２９０には、電子透かし鍵生成装置１０が生成した公開鍵pk及び埋込鍵mkが記憶されている。

ステップＳ２１１において、電子透かし埋込装置２０の備える電子透かし埋込部２１０は、埋込対象関数鍵ekを入力として、埋込鍵記憶部２９０に記憶されている公開鍵pk及び埋込鍵mkを用いて、透かし付関数鍵WM(ek)を出力する。埋込対象関数鍵ekは、電子透かし鍵生成装置１０により生成された単射鍵ek_I若しくは損失鍵ek_Lであり、次式に示すように表すことができる。

まず、電子透かし埋込部２１０は、有限体F_q上の乱数μ₁,μ₂を選択する。

次に、電子透かし埋込部２１０は、埋込対象関数鍵ekに含まれる値k_ID、乱数μ₁,μ₂及び基底B^*を用いて、次式に示すように値k~_IDを計算する。

ステップＳ２１２において、電子透かし埋込部２１０は、透かし付関数鍵WM(ek)を次式に示すように出力する。

＜電子透かし検出処理＞
図９（Ｂ）を参照して、電子透かし検出装置３０が実行する電子透かし検出処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

上述の通り、電子透かし検出装置３０の備える検出鍵記憶部３９０には、電子透かし鍵生成装置１０が生成した公開鍵pk及び検出鍵dkが記憶されている。

ステップＳ３１１において、電子透かし検出装置３０の備える電子透かし検出部３１０は、検出対象関数鍵ek’を入力として、検出鍵記憶部３９０に記憶されている公開鍵pk及び検出鍵dkを用いて、検出対象関数鍵ek’に電子透かしが埋め込まれているか否かを示す情報を出力する。検出対象関数鍵ek’は、電子透かし鍵生成装置１０により生成された電子透かしが埋め込まれていない単射鍵ek_I若しくは損失鍵ek_L又は電子透かし埋込装置２０により電子透かしが埋め込まれた透かし付関数鍵WM(ek)であり、次式に示すように表すことができる。

まず、電子透かし検出部３１０は、有限体F_qの乗法群F_q ^×上の乱数δ₁,δ₂を選択する。

次に、電子透かし検出部３１０は、検出鍵dk:=(b₈,b₉)及び乱数δ₁,δ₂を用いて、次式に示すように値cを計算する。

そして、電子透かし検出部３１０は、検出対象関数鍵ek’に含まれる値k~_ID及び値cを用いて、次式に示すように値Δを計算する。

ステップＳ３１２において、電子透かし検出装置３０の備える電子透かし検出部３１０は、値Δを検証し、検証結果を出力する。具体的には、Δ≠1であれば、電子透かしが埋め込まれていることを示す情報として、例えば「true」を出力する。Δ=1であれば、電子透かしが埋め込まれていないことを示す情報として、例えば「false」を出力する。

＜電子透かし除去処理＞
図９（Ｃ）を参照して、電子透かし除去装置４０が実行する電子透かし除去処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

上述の通り、電子透かし除去装置４０の備える除去鍵記憶部４９０には、電子透かし鍵生成装置１０が生成した公開鍵pk及び除去鍵rkが記憶されている。

ステップＳ４１１において、電子透かし除去装置４０の備える電子透かし除去部４１０は、除去対象関数鍵ek”を入力として、除去鍵記憶部４９０に記憶されている公開鍵pk及び除去鍵rkを用いて、除去済関数鍵ek^を出力する。除去対象関数鍵ek”は、電子透かし埋込装置２０により電子透かしが埋め込まれた透かし付関数鍵WM(ek)であり、次式に示すように表すことができる。

まず、電子透かし除去部４１０は、除去鍵rk:=X=(χ_i,j)及び基底Bを用いて、ベクトル分解アルゴリズムDecomp(υ,(b₁,…,b_β),X,B)を実行し、i=1,…,10について、次式を満たすz_ib^* _i（z_i∈F_q）を出力する。

ベクトル分解アルゴリズムDecompは、(υ,(b₁,…,b_β),X,B)を入力にとり、次式により定義される値を出力する。

ただし、次式が成り立つ。

ここで、γ₂はγ₁より小さい任意の整数なので最小のγ₂から順にベクトルを分解すれば、すべてのiに対してx_ib_iを計算できる。

ベクトル分解アルゴリズムDecompは、「Tatsuaki Okamoto and Katsuyuki Takashima, “Homomorphic encryption and signatures from vector decomposition.”, In Pairing, volume 5209 of Lecture Notes in Computer Science, pages 57-74. Springer, 2008.（参考文献７）」に記載のアルゴリズムをそのまま利用することが可能である。参考文献７に記載のアルゴリズムを以下に示す。

ここで、prj_iは、以下の通りである。A:=(a₁,…,a_N)をベクトル空間Vの標準基底とし、ベクトルa_iはFの固有値ν_iをもつ。Fの多項式prj_j:=(Π_i≠j(ν_j-ν_i))^-1Π_i≠j(F-ν_i)は標準基底Aに関するj番目の射影演算である。つまり、к≠jに対してはprj_j(a_к)=0であり、к=jに対してはprj_j(a_j)=a_jである。

そして、電子透かし除去部４１０は、次式に示すようにk_IDを計算する。

ステップＳ４１２において、電子透かし除去装置４０の備える電子透かし除去部４１０は、次式に示すように除去済関数鍵ek^を出力する。

＜関数実行処理＞
図１０を参照して、関数実行装置５０が実行する関数実行処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

上述の通り、関数実行装置５０の備える関数鍵記憶部５９０には、電子透かし鍵生成装置１０が生成した透かし付関数鍵WM(ek)及び逆関数鍵ikが記憶されている。

ステップＳ５１０において、関数実行装置５０の備える関数実行部５１０は、計算対象の情報x∈{0,1}^γを入力として、関数鍵記憶部５９０に記憶されている透かし付関数鍵WM(ek)を用いて損失落とし戸関数LTFの計算アルゴリズムEvalを実行することで、計算結果である情報y:=(y₁,…,y_γ,y'_γ+1)を出力する。

まず、計算アルゴリズムEvalは、x:=(x₁,…,x_γ)=x^→として、j=1,…,γについて、次式に示すようにy₁,…,y_γ+1を計算する。

ただし、ζ^→:=(ζ₁,…,ζ_γ)、ω^→:=(ω₁,…,ω_γ)及びφ^→:=(φ₁,…,φ_γ)である。次に、計算アルゴリズムEvalは、次式に示すように値y'_γ+1を計算する。

そして、関数実行部５１０は、情報y:=(y₁,…,y_γ,y'_γ+1)を出力する。

＜逆関数実行処理＞
図１０を参照して、関数実行装置５０が実行する逆関数実行処理の動作例を実際に行われる手続きの順に従って詳細に説明する。

上述の通り、関数実行装置５０の備える関数鍵記憶部５９０には、電子透かし鍵生成装置１０が生成した透かし付関数鍵WM(ek)及び逆関数鍵ikが記憶されている。

ステップＳ５２０において、関数実行装置５０の備える逆関数実行部５２０は、逆計算対象の情報y:=(y₁,…,y_γ,y'_γ+1)を入力として、関数鍵記憶部５９０に記憶されている逆関数鍵ikを用いて損失落とし戸関数LTFの逆計算アルゴリズムInvertを実行することで、逆計算結果である情報x:=(x₁,…,x_γ)を出力する。

逆計算アルゴリズムInvertは、i,j:=1,…,γについて、次式に示すようにx'_jを計算する。

次に、j=1,…,γについて、x'_j=g_T ^x_jを満たす値となるように、x_j∈{0,1}を設定する。

そして、逆関数実行部５２０は、情報x:=(x₁,…,x_γ)を出力する。

［第二実施形態］
以降の説明では、第一実施形態と相違する点を中心に説明し、第一実施形態と同様の部分については説明を省略する。

第二実施形態の電子透かしシステムの機能構成及び処理フローは第一実施形態と同様である。したがって、以降では第一実施形態に係る図４から図１０を参照しながら説明をする。

＜鍵生成処理＞
図８に示すステップＳ１２０において、電子透かし鍵生成装置１０の備える双対直交基底生成部１２０は、ベクトル空間パラメータparam_V:=(q,V,G_T,A,e,g_T)を用いて、ベクトル空間Vの基底D,D^*,D^を生成する。まず、双対直交基底生成部１２０は、次式に示すように8次元一般線形群GL(8,F_q)から正則行列Xをランダムに生成する。ただし、i,j=1,…,8である。

次に、双対直交基底生成部１２０は、次式に示すように基底Dを生成する。

続いて、双対直交基底生成部１２０は、次式に示すように基底D^*を生成する。

そして、双対直交基底生成部１２０は、基底D:=(d₁,…,d₈)を用いて基底D^:=(d₁,d₂,d₃,d₄)を生成する。

ステップＳ１２５において、電子透かし鍵生成装置１０の備える鍵ペア生成部１２５は、公開鍵pk:=(param_V,D^,Samp)を生成する。ここで、Sampは双対ペアリングベクトル空間のパラメータを用いて損失落とし戸関数の関数インデックスを生成する関数鍵生成アルゴリズムである。第二実施形態に係る関数鍵生成アルゴリズムSampについての詳細は後述する。

そして、鍵ペア生成部１２５は、有限体F_qから乱数α,θ,σを選択し、g^_T:=e(d₁,d^* ₁)^αθとして、秘密鍵sk:=(αθd^* ₁,θd^* ₁,θd^* ₂,σd^* ₃,σd^* ₄)を生成する。

ステップＳ１３０において、電子透かし鍵生成装置１０の備える埋込鍵生成部１３０は、基底D^*:=(d^* ₁,…,d^* ₈)を用いて埋込鍵mk:=(d^* ₇,d^* ₈)を生成する。

ステップＳ１３５において、電子透かし鍵生成装置１０の備える検出鍵生成部１３５は、基底D:=(d₁,…,d₈)を用いて検出鍵dk:=(d₇,d₈)を生成する。

ステップＳ１４０において、電子透かし鍵生成装置１０の備える除去鍵生成部１４０は、正則行列Xを用いて除去鍵rk:=X=(χ_i,j)（i,j=1,…,8）を生成する。

ステップＳ１５０において、電子透かし鍵生成装置１０の備える単射鍵生成部１５０は、ベクトル空間パラメータparam_V、基底D^及び秘密鍵skを入力として関数鍵生成アルゴリズムSampを実行し、関数鍵ek及び逆関数鍵ikを生成する。このとき、出力された関数鍵ekを単射鍵ek_Iとする。

第二実施形態に係る関数鍵生成アルゴリズムSampは、以下のように関数鍵ek及び逆関数鍵ikを生成する。まず、任意のビット列ID∈{0,1}^*を選択し、有限体F_q上のγ次元ベクトルψを次式に示すように生成する。

次に、基底D,D^*、乱数α,θを用いて、次式に示すようにg^_Tを計算する。

次に、j=1,…,γについて、次式に示すようにg_{T_j}を計算する。

続いて、i=1,…,γについて、有限体F_q上の値s_i,1,s_i,2を次式に示すように生成する。

次に、i,j=1,…,γについて、行列u_i,j及び行列υ_iを次式に示すように計算する。

ただし、行列u_i,jを生成する際に用いる行列m_i,j（i,j=1,…,γ）は単位行列である。すなわち、m_i,j=1（i=j）かつm_i,j=0（i≠j）とする。

次に、有限体F_q上の乱数r₁,r₂を選択する。

次に、ビット列ID、乱数α,θ,σ,r₁,r₂及び基底D^*を用いて、次式に示すように値k_IDを生成する。

そして、関数鍵生成アルゴリズムSampは、関数鍵ekを次式に示すように設定する。

また、関数鍵生成アルゴリズムSampは、逆関数鍵ikをik:=ψと設定する。

＜電子透かし埋込処理＞
図９（Ａ）に示すステップＳ２１１において、電子透かし埋込装置２０の備える電子透かし埋込部２１０は、埋込対象関数鍵ekを入力として、埋込鍵記憶部２９０に記憶されている公開鍵pk及び埋込鍵mkを用いて、透かし付関数鍵WM(ek)を出力する。埋込対象関数鍵ekは、電子透かし鍵生成装置１０により生成された単射鍵ek_I若しくは損失鍵ek_Lであり、次式に示すように表すことができる。

まず、電子透かし埋込部２１０は、有限体F_q上の乱数t₁,t₂を選択する。

次に、電子透かし埋込部２１０は、埋込対象関数鍵ekに含まれる値k_ID、乱数t₁,t₂及び基底D^*を用いて、次式に示すように値k~_IDを計算する。

ステップＳ２１２において、電子透かし埋込部２１０は、透かし付関数鍵WM(ek)を次式に示すように出力する。

＜電子透かし検出処理＞
図９（Ｂ）に示すステップＳ３１１において、電子透かし検出装置３０の備える電子透かし検出部３１０は、検出対象関数鍵ek’を入力として、検出鍵記憶部３９０に記憶されている公開鍵pk及び検出鍵dkを用いて、検出対象関数鍵ek’に電子透かしが埋め込まれているか否かを示す情報を出力する。検出対象関数鍵ek’は、電子透かし鍵生成装置１０により生成された電子透かしが埋め込まれていない単射鍵ek_I若しくは損失鍵ek_L又は電子透かし埋込装置２０により電子透かしが埋め込まれた透かし付関数鍵WM(ek)であり、次式に示すように表すことができる。

まず、電子透かし検出部３１０は、有限体F_qの乗法群F_q ^×上の乱数z₁,z₂を選択する。

次に、電子透かし検出部３１０は、検出鍵dk:=(d₇,d₈)及び乱数z₁,z₂を用いて、次式に示すように値cを計算する。

そして、電子透かし検出部３１０は、検出対象関数鍵ek’に含まれるk~_ID及び値cを用いて、次式に示すように値Δを計算する。

ステップＳ３１２において、電子透かし検出装置３０の備える電子透かし検出部３１０は、値Δを検証し、検証結果を出力する。具体的には、Δ≠1であれば、電子透かしが埋め込まれていることを示す情報として、例えば「true」を出力する。Δ=1であれば、電子透かしが埋め込まれていないことを示す情報として、例えば「false」を出力する。

＜電子透かし除去処理＞
図９（Ｃ）に示すステップＳ４１１において、電子透かし除去装置４０の備える電子透かし除去部４１０は、除去対象関数鍵ek”を入力として、除去鍵記憶部４９０に記憶されている公開鍵pk及び除去鍵rkを用いて、除去済関数鍵ek^を出力する。除去対象関数鍵ek”は、電子透かし埋込装置２０により電子透かしが埋め込まれた透かし付関数鍵WM(ek)であり、次式に示すように表すことができる。

まず、電子透かし除去部４１０は、除去鍵rk:=X=(χ_i,j)及び基底Dを用いて、上述のベクトル分解アルゴリズムDecomp(υ,(d₁,…,d_β),X,D)を実行し、i=1,…,8について、次式を満たすz_id^* _i（z_i∈F_q）を出力する。

そして、電子透かし除去部４１０は、次式に示すようにk_IDを計算する。

ステップＳ４１２において、電子透かし除去装置４０の備える電子透かし除去部４１０は、次式に示すように除去済関数鍵ek^を出力する。

＜関数実行処理＞
図１０に示すステップＳ５１０において、関数実行装置５０の備える関数実行部５１０は、計算対象の情報x∈{0,1}^γを入力として、関数鍵記憶部５９０に記憶されている透かし付関数鍵WM(ek)を用いて損失落とし戸関数LTFの計算アルゴリズムEvalを実行することで、計算結果である情報y:=(y₁,…,y_γ,y'_γ+1)を出力する。

まず、計算アルゴリズムEvalは、x:=(x₁,…,x_γ)=x^→として、i,j=1,…,γについて、次式に示すようにy₁,…,y_γ+1を計算する。

ただし、s^→ ₁:=(s_1,1,…,s_1,γ)及びs^→ ₂:=(s_2,1,…,s_2,γ)である。次に、計算アルゴリズムEvalは、次式に示すように値y'_γ+1を計算する。

そして、関数実行部５１０は、情報y:=(y₁,…,y_γ,y'_γ+1)を出力する。

＜逆関数実行処理＞
図１０に示すステップＳ５２０において、関数実行装置５０の備える逆関数実行部５２０は、逆計算対象の情報y:=(y₁,…,y_γ,y'_γ+1)を入力として、関数鍵記憶部５９０に記憶されている逆関数鍵ikを用いて損失落とし戸関数LTFの逆計算アルゴリズムInvertを実行することで、逆計算結果である情報x:=(x₁,…,x_γ)を出力する。

逆計算アルゴリズムInvertは、i,j:=1,…,γについて、次式に示すようにx'_jを計算する。

次に、j=1,…,γについて、x'_j=g^_T ^x_jを満たす値となるように、x_j∈{0,1}を設定する。

そして、逆関数実行部５２０は、情報x:=(x₁,…,x_γ)を出力する。

［この発明と従来技術との比較］
図１２に、この発明の電子透かし技術と従来技術との比較を示す。“方式”列は、この明細書における文献の名称を表す。“タイプ”列は、それぞれの方式が目的としている技術の種類を表す。“対象”列は、それぞれの方式で著作権や電子透かしを処理する対象となる関数の種類を表す。“仮定”列は、それぞれの方式が安全性の根拠とする暗号学的な仮定を表す。“安全性”列は、それぞれの方式の安全性における特徴を表す。

非特許文献１及び非特許文献２は関数に対する著作権付与の方式であり、付与回数が限定されている。非特許文献３は関数に対する電子透かしの方式であるが、暗号学的に証明可能な安全性を有していない。このように、付与回数の限定がなく暗号学的に証明可能な安全性を有している電子透かし方式は、この発明のみが実現していることがわかる。

［プログラム、記録媒体］
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施例において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリなど、周知のどのような記録媒体であってもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭなどの可搬型記録媒体を販売、譲渡、貸与などすることによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラム若しくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータなど）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１ 電子透かしシステム
９ ネットワーク
１０ 電子透かし鍵生成装置
２０ 電子透かし埋込装置
３０ 電子透かし検出装置
４０ 電子透かし除去装置
５０ 関数実行装置
１１０ 双線形写像パラメータ生成部
１１５ ベクトル空間パラメータ生成部
１２０ 双対直交基底生成部
１２５ 鍵ペア生成部
１３０ 埋込鍵生成部
１３５ 検出鍵生成部
１４０ 除去鍵生成部
１４５ 透かし鍵配信部
１５０ 単射鍵生成部
１５５ 損失鍵生成部
１６０ 関数鍵配信部
２１０ 電子透かし埋込部
２９０ 埋込鍵記憶部
３１０ 電子透かし検出部
３９０ 検出鍵記憶部
４１０ 電子透かし除去部
４９０ 除去鍵記憶部
５１０ 関数実行部
５２０ 逆関数実行部
５９０ 関数鍵記憶部

Claims (10)

1. 電子透かし鍵生成装置、電子透かし埋込装置、電子透かし検出装置、電子透かし除去装置及び関数実行装置を含む電子透かしシステムであって、
   Nは自然数であり、qは素数であり、G,G_Tは位数qの巡回乗法群であり、gは群Gの生成元であり、F_qは位数qの有限体であり、F_q ^×は有限体F_q上の乗法群であり、GL(N,F_q)は有限体F_q上のN次元一般線形群であり、Xは一般線形群GL(N,F_q)からランダムに生成した正則行列であり、Vは有限体F_q上のN次元ベクトル空間であり、Aはベクトル空間Vの標準基底であり、eはV×V→G_Tの双線形写像であり、γはN以下の任意の整数であり、param_Vはparam_V:=(q,V,G_T,A,e)であるベクトル空間パラメータであり、
   上記電子透かし鍵生成装置は、
   上記標準基底A及び上記正則行列Xを用いて、上記ベクトル空間Vの双対直交基底である基底B及び基底B^*を生成する双対直交基底生成部と、
   上記基底Bから所定の元を選択して基底B^を生成した上で上記ベクトル空間パラメータparam_V及び上記基底B^を含む公開鍵pk並びに上記基底B^*から所定の元を選択した秘密鍵skを生成する鍵ペア生成部と、
   上記基底B^*から上記秘密鍵skに含まれない元を選択して埋込鍵mkを生成する埋込鍵生成部と、
   上記基底Bから上記基底B^に含まれない元を選択して検出鍵dkを生成する検出鍵生成部と、
   上記正則行列Xを除去鍵rkとして設定する除去鍵生成部と、
   単位行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む単射鍵ek_I並びに有限体F_qからランダムに生成した逆関数鍵ikを生成する単射鍵生成部と、
   ゼロ行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む損失鍵ek_Lを生成する損失鍵生成部と、
   を含み、
   上記電子透かし埋込装置は、
   埋込対象関数鍵ekを入力として、上記埋込鍵mkを用いて、上記埋込対象関数鍵ekに含まれる値k_IDに電子透かしを埋め込んだ透かし付関数鍵WM(ek)を生成する電子透かし埋込部
   を含み、
   上記電子透かし検出装置は、
   検出対象関数鍵ek’を入力として、上記検出鍵dkを用いて、上記検出対象関数鍵ek’に含まれる値k_IDに電子透かしが埋め込まれているか否かを示す情報を出力する電子透かし検出部
   を含み、
   上記電子透かし除去装置は、
   除去対象関数鍵ek”を入力として、上記除去鍵rkを用いて、上記除去対象関数鍵ek”に含まれる値k_IDから電子透かしを取り除いた除去済関数鍵ek^を出力する電子透かし除去部
   を含み、
   上記関数実行装置は、
   計算対象の情報xを入力として、上記透かし付関数鍵WM(ek)を用いて、計算結果である情報yを出力する関数実行部と、
   逆計算対象の情報yを入力として、上記逆関数鍵ikを用いて、逆計算結果である情報xを出力する逆関数実行部と、
   を含む
   電子透かしシステム。
2. 請求項１に記載の電子透かしシステムであって、
   ・^Tは行列・の転置行列であり、・^-1は行列・の逆行列であり、N=10であり、上記正則行列XはX:=χ_i,j（i,j=1,…,N）で定義され、上記標準基底AはA:=(a₁,…,a_N)で定義され、Sampは関数鍵ek及び逆関数鍵ikを出力する関数鍵生成アルゴリズムであり、
   上記双対直交基底生成部は、上記基底Bを次式により生成し、
   

   

   
   上記基底B^*を次式により生成するものであり、
   

   

   
   上記鍵ペア生成部は、上記基底B^:=(b₁,b₂,b₃,b₁₀)を生成した上で上記公開鍵pk:=(param_V,B^,Samp)及び上記秘密鍵sk:=(b^* ₁,b^* ₂,b^* ₃,b^* ₆,b^* ₇)を生成するものであり、
   上記埋込鍵生成部は、上記埋込鍵mk:=(b^* ₈,b^* ₉)を生成するものであり、
   上記検出鍵生成部は、上記検出鍵dk:=(b₈,b₉)を生成するものであり、
   上記除去鍵生成部は、上記除去鍵rk:=Xを生成するものであり、
   上記単射鍵生成部は、上記ベクトル空間パラメータparam_V、上記基底B^及び上記秘密鍵skを入力として、上記関数鍵生成アルゴリズムSampを実行し、上記関数鍵ekを上記単射鍵ek_Iとして生成するものであり、
   上記損失鍵生成部は、上記ベクトル空間パラメータparam_V、上記基底B^及び上記秘密鍵skを入力として、上記関数鍵生成アルゴリズムSampを実行し、上記関数鍵ekを上記単射鍵ek_Lとして生成するものであり、
   上記関数鍵生成アルゴリズムSampは、任意のビット列IDを生成し、有限体F_q上のγ次元ベクトルψをランダムに生成し、j=1,…,γについて、次式に示すようにg_{T_j}を計算し、
   

   

   
   有限体F_qから乱数ζ₁,…,ζ_γ、φ₁,…,φ_γ、ω₁,…,ω_γを選択し、i,j=1,…,γについて次式に示すように行列u_i,j及び行列υ_iを計算し、
   

   

   
   有限体F_q上の乱数σ及び有限体F_q上の2次元ベクトルη^→をランダムに生成し、次式に示すように値k_IDを生成し、
   

   

   
   上記関数鍵ekを次式により生成し、
   

   

   
   上記逆関数鍵ikをik:=ψと設定するものであり、
   上記電子透かし埋込部は、有限体F_q上の乱数μ₁,μ₂を選択し、次式に示すように値k~_IDを計算し、
   

   

   
   次式により上記透かし付関数鍵WM(ek)を生成するものであり、
   

   

   
   上記電子透かし検出部は、乗法群F_q ^×上の乱数δ₁,δ₂を選択し、次式に示すように値cを計算し、
   

   

   
   次式に示すように値Δを計算し、
   

   

   
   Δ≠1であれば電子透かしが埋め込まれていることを示す情報を出力し、Δ=1であれば電子透かしが埋め込まれていないことを示す情報出力するものであり、
   上記電子透かし除去部は、i=1,…,10について、次式を満たす値z_ib^* _iを計算し、
   

   

   
   次式に示すように値k_IDを計算し、
   

   

   
   次式に示すように除去済関数鍵ek^を出力するものであり、
   

   

   
   上記関数実行部は、上記情報xはx:=(x₁,…,x_γ)と表すとして、i,j=1,…,γについて次式に示すようにy₁,…,y_γ+1,y'_γ+1を計算し、
   

   

   
   上記情報y:=(y₁,…,y_γ,y'_γ+1)を出力するものであり、
   上記逆関数実行部は、i,j:=1,…,γについて次式によりx'_jを計算し、
   

   

   
   j=1,…,γについてx'_j=g_T ^x_jを満たす値となるようにx_jを設定し、上記情報x:=(x₁,…,x_γ)を出力するものである
   電子透かしシステム。
3. 請求項１に記載の電子透かしシステムであって、
   ・^Tは行列・の転置行列であり、・^-1は行列・の逆行列であり、N=8であり、上記正則行列XはX:=χ_i,j（i,j=1,…,N）で定義され、上記標準基底AはA:=(a₁,…,a_N)で定義され、Sampは関数鍵ek及び逆関数鍵ikを出力する関数鍵生成アルゴリズムであり、
   上記双対直交基底生成部は、上記基底Bを次式により生成し、
   

   

   
   上記基底B^*を次式により生成するものであり、
   

   

   
   上記鍵ペア生成部は、上記基底B^を次式により生成した上で
   

   

   
   有限体F_qから乱数α,θ,σを選択し、上記公開鍵pk:=(param_V,B^,Samp)及び上記秘密鍵sk:=(αθd^* ₁,θd^* ₁,θd^* ₂,σd^* ₃,σd^* ₄)を生成するものであり、
   上記埋込鍵生成部は、上記埋込鍵mk:=(d^* ₇,d^* ₈)を生成するものであり、
   上記検出鍵生成部は、上記検出鍵dk:=(d₇,d₈)を生成するものであり、
   上記除去鍵生成部は、上記除去鍵rk:=Xを生成するものであり、
   上記単射鍵生成部は、上記ベクトル空間パラメータparam_V、上記基底B^、上記秘密鍵skを入力として、上記関数鍵生成アルゴリズムSampを実行し、上記関数鍵ekを上記単射鍵ek_Iとして生成するものであり、
   上記損失鍵生成部は、上記ベクトル空間パラメータparam_V、上記基底B^及び上記秘密鍵skを入力として、上記関数鍵生成アルゴリズムSampを実行し、上記関数鍵ekを上記単射鍵ek_Lとして生成するものであり、
   上記関数鍵生成アルゴリズムSampは、任意のビット列IDを生成し、有限体F_q上のγ次元ベクトルψをランダムに生成し、g^_T:=e(d₁,d₁ ^*)^αθとして、j=1,…,γについて、次式に示すようにg_{T_j}を計算し、
   

   

   
   有限体F_qから乱数s_1,1,…,s_γ,1、s_1,2,…,s_γ,2を選択し、i,j=1,…,γについて次式に示すように行列u_i,j及び行列υ_iを計算し、
   

   

   
   有限体F_q上の乱数r₁,r₂を選択し、次式に示すように値k_IDを生成し、
   

   

   
   上記関数鍵ekを次式により生成し、
   

   

   
   上記逆関数鍵ikをik:=ψと設定するものであり、
   上記電子透かし埋込部は、有限体F_q上の乱数t₁,t₂を選択し、次式に示すように値k~_IDを計算し、
   

   

   
   次式により上記透かし付関数鍵WM(ek)を生成するものであり、
   

   

   
   上記電子透かし検出部は、乗法群F_q ^×上の乱数z₁,z₂を選択し、次式に示すように値cを計算し、
   

   

   
   次式に示すように値Δを計算し、
   

   

   
   Δ≠1であれば電子透かしが埋め込まれていることを示す情報を出力し、Δ=1であれば電子透かしが埋め込まれていないことを示す情報出力するものであり、
   上記電子透かし除去部は、i=1,…,8について、次式を満たす値z_id^* _iを計算し、
   

   

   
   次式に示すように値k_IDを計算し、
   

   

   
   次式に示すように除去済関数鍵ek^を出力するものであり、
   

   

   
   上記関数実行部は、上記情報xはx:=(x₁,…,x_γ)と表すとして、i,j=1,…,γについて次式に示すようにy₁,…,y_γ+1,y'_γ+1を計算し、
   

   

   
   上記情報y:=(y₁,…,y_γ,y'_γ+1)を出力するものであり、
   上記逆関数実行部は、i,j:=1,…,γについて次式によりx'_jを計算し、
   

   

   
   j=1,…,γについてx'_j=g^_T ^x_jを満たす値となるようにx_jを設定し、上記情報x:=(x₁,…,x_γ)を出力するものである
   電子透かしシステム。
4. Nは自然数であり、qは素数であり、G,G_Tは位数qの巡回乗法群であり、gは群Gの生成元であり、F_qは位数qの有限体であり、F_q ^×は有限体F_q上の乗法群であり、GL(N,F_q)は有限体F_q上のN次元一般線形群であり、Xは一般線形群GL(N,F_q)からランダムに生成した正則行列であり、Vは有限体F_q上のN次元ベクトル空間であり、Aはベクトル空間Vの標準基底であり、eはV×V→G_Tの双線形写像であり、γはN以下の任意の整数であり、param_Vはparam_V:=(q,V,G_T,A,e)であるベクトル空間パラメータであり、
   上記標準基底A及び上記正則行列Xを用いて、上記ベクトル空間Vの双対直交基底である基底B及び基底B^*を生成する双対直交基底生成部と、
   上記基底Bから所定の元を選択して基底B^を生成した上で上記ベクトル空間パラメータparam_V及び上記基底B^を含む公開鍵pk並びに上記基底B^*から所定の元を選択した秘密鍵skを生成する鍵ペア生成部と、
   上記基底B^*から上記秘密鍵skに含まれない元を選択して埋込鍵mkを生成する埋込鍵生成部と、
   上記基底Bから上記基底B^に含まれない元を選択して検出鍵dkを生成する検出鍵生成部と、
   上記正則行列Xを除去鍵rkとして設定する除去鍵生成部と、
   単位行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む単射鍵ek_I並びに有限体F_qからランダムに生成した逆関数鍵ikを生成する単射鍵生成部と、
   ゼロ行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む損失鍵ek_Lを生成する損失鍵生成部と、
   を含む電子透かし鍵生成装置。
5. Nは自然数であり、qは素数であり、F_qは位数qの有限体であり、B^*は有限体F_q上のN次元ベクトル空間Vの双対直交基底であり、skは基底B^*から所定の元を選択して生成された秘密鍵であり、mkは上記基底B^*から上記秘密鍵skに含まれない元を選択して生成した埋込鍵であり、
   埋込対象関数鍵ekを入力として、上記埋込鍵mkを用いて、上記埋込対象関数鍵ekに含まれる値k_IDに電子透かしを埋め込んだ透かし付関数鍵WM(ek)を生成する電子透かし埋込部
   を含む電子透かし埋込装置。
6. Nは自然数であり、qは素数であり、F_qは位数qの有限体であり、B,B^*は有限体F_q上のN次元ベクトル空間Vの双対直交基底であり、dkは上記基底Bから上記基底B^に含まれない元を選択して生成した検出鍵であり、
   検出対象関数鍵ek’を入力として、上記検出鍵dkを用いて、上記検出対象関数鍵ek’に含まれる値k_IDに電子透かしが埋め込まれているか否かを示す情報を出力する電子透かし検出部
   を含む電子透かし検出装置。
7. Nは自然数であり、qは素数であり、F_qは位数qの有限体であり、GL(N,F_q)は有限体F_q上のN次元一般線形群であり、Xは一般線形群GL(N,F_q)からランダムに生成した正則行列であり、rkは正則行列Xを設定された除去鍵であり、
   除去対象関数鍵ek”を入力として、上記除去鍵rkを用いて、上記除去対象関数鍵ek”に含まれる値k_IDから電子透かしを取り除いた除去済関数鍵ek^を出力する電子透かし除去部
   を含む電子透かし除去装置。
8. Nは自然数であり、qは素数であり、F_qは位数qの有限体であり、B^*は有限体F_q上のN次元ベクトル空間Vの双対直交基底であり、skは基底B^*から所定の元を選択して生成された秘密鍵であり、mkは基底B^*から秘密鍵skに含まれない元を選択して生成された埋込鍵であり、WM(ek)は埋込鍵mkを用いて、埋込対象関数鍵ekに含まれる値k_IDに電子透かしを埋め込まれた透かし付関数鍵であり、ikは有限体F_qからランダムに生成した逆関数鍵であり、
   計算対象の情報xを入力として、上記透かし付関数鍵WM(ek)を用いて、計算結果である情報yを出力する関数実行部と、
   逆計算対象の情報yを入力として、上記逆関数鍵ikを用いて、逆計算結果である情報xを出力する逆関数実行部と、
   を含む関数実行装置。
9. Nは自然数であり、qは素数であり、G,G_Tは位数qの巡回乗法群であり、gは群Gの生成元であり、F_qは位数qの有限体であり、F_q ^×は有限体F_q上の乗法群であり、GL(N,F_q)は有限体F_q上のN次元一般線形群であり、Xは一般線形群GL(N,F_q)からランダムに生成した正則行列であり、Vは有限体F_q上のN次元ベクトル空間であり、Aはベクトル空間Vの標準基底であり、eはV×V→G_Tの双線形写像であり、γはN以下の任意の整数であり、param_Vはparam_V:=(q,V,G_T,A,e)であるベクトル空間パラメータであり、
   双対直交基底生成部が、上記標準基底A及び上記正則行列Xを用いて、上記ベクトル空間Vの双対直交基底である基底B及び基底B^*を生成する双対直交基底生成ステップと、
   鍵ペア生成部が、上記基底Bから所定の元を選択して基底B^を生成した上で上記ベクトル空間パラメータparam_V及び上記基底B^を含む公開鍵pk並びに上記基底B^*から所定の元を選択した秘密鍵skを生成する鍵ペア生成ステップと、
   埋込鍵生成部が、上記基底B^*から上記秘密鍵skに含まれない元を選択して埋込鍵mkを生成する埋込鍵生成ステップと、
   検出鍵生成部が、上記基底Bから上記基底B^に含まれない元を選択して検出鍵dkを生成する検出鍵生成ステップと、
   除去鍵生成部が、上記正則行列Xを除去鍵rkとして設定する除去鍵生成ステップと、
   単射鍵生成部が、単位行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む単射鍵ek_I並びに有限体F_qからランダムに生成した逆関数鍵ikを生成する単射鍵生成ステップと、
   損失鍵生成部が、ゼロ行列に設定したγ×γの行列Mを用いて生成した行列u_i,j、上記基底Bを用いて生成した行列v_i,j及び上記基底B^*を用いて生成した値k_IDを含む損失鍵ek_Lを生成する損失鍵生成ステップと、
   電子透かし埋込部が、埋込対象関数鍵ekを入力として、上記埋込鍵mkを用いて、上記埋込対象関数鍵ekに含まれる値k_IDに電子透かしを埋め込んだ透かし付関数鍵WM(ek)を生成する電子透かし埋込ステップと、
   電子透かし検出部が、検出対象関数鍵ek’を入力として、上記検出鍵dkを用いて、上記検出対象関数鍵ek’に含まれる値k_IDに電子透かしが埋め込まれているか否かを示す情報を出力する電子透かし検出ステップと、
   電子透かし除去部が、除去対象関数鍵ek”を入力として、上記除去鍵rkを用いて、上記除去対象関数鍵ek”に含まれる値k_IDから電子透かしを取り除いた除去済関数鍵ek^を出力する電子透かし除去ステップと、
   関数実行部が、計算対象の情報xを入力として、上記透かし付関数鍵WM(ek)を用いて、計算結果である情報yを出力する関数実行ステップと、
   逆関数実行部が、逆計算対象の情報yを入力として、上記逆関数鍵ikを用いて、逆計算結果である情報xを出力する逆関数実行ステップと、
   を含む電子透かし方法。
10. 請求項４に記載の電子透かし鍵生成装置、請求項５に記載の電子透かし埋込装置、請求項６に記載の電子透かし検出装置、請求項７に記載の電子透かし除去装置又は請求項８に記載の関数実行装置としてコンピュータを機能させるプログラム。

Images