JP2017212699A - 暗号化装置、復号装置及び暗号システム - Google Patents

Abstract

【課題】この発明は、量子計算機ができた場合にも有効な属性ベース暗号といった暗号を構成可能とすることを目的とする。【解決手段】暗号システムは、ｔ∈［ｄ］の整数ｔについての同種写像φｔと、ｔ∈［０，ｄ］の整数ｔについてのペアリング演算ｅｔとによって対応付けられた複数の群を用いる。暗号システムは、複数の群のうちのある群の暗号要素を含む暗号文を生成する暗号化装置と、複数の群のうちの前記ある群とは異なる群の鍵要素を含む復号鍵を用いて、暗号化装置によって生成された暗号文を復号する復号装置とを備える。【選択図】図１

Description

この発明は、耐量子暗号方式に関する。

量子計算機の開発が世界的に進められている。量子計算機に対しても安全性を維持できる、すなわち耐量子性を有する、格子暗号をはじめとした暗号方式の研究も進められている。しかし、格子暗号には、的確なデータサイズ設定が未だ困難であるという指摘があり、他の数学原理に基づいた構成法が望まれていた。

楕円曲線におけるペアリング演算を用いた属性ベース暗号（以下、ＡＢＥ）が数多く提案されている。非特許文献１には、楕円曲線におけるペアリング演算を用いた属性ベース暗号の１つの方式が記載されている。

また、非特許文献２には、同種写像を用いた、耐量子性を有する公開鍵暗号方式が記載されている。

Ｖ．Ｇｏｙａｌ， Ｏ．Ｐａｎｄｅｙ， Ａ．Ｓａｈａｉ， Ｂ．Ｗａｔｅｒｓ， Ａｔｔｒｉｂｕｔｅ−ｂａｓｅｄ ｅｎｃｒｙｐｔｉｏｎ ｆｏｒ ｃｉｒｃｕｉｔｓ Ｌ．Ｄｅ Ｆｅｏ， Ｄ．Ｊａｏ， Ｊ．Ｐｌｕｔ， Ｔｏｗａｒｄｓ ｑｕａｎｔｕｍ−ｒｅｓｉｓｔａｎｔ ｃｒｙｐｔｏｓｙｓｔｅｍｓ ｆｒｏｍ ｓｕｐｅｒｓｉｎｇｕｌａｒ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅ ｉｓｏｇｅｎｉｅｓ Ｄｅ Ｆｅｏ， Ｌ．， Ｊａｏ， Ｄ．， Ｐｌｕｔ， Ｊ．： Ｔｏｗａｒｄｓ ｑｕａｎｔｕｍ−ｒｅｓｉｓｔａｎｔ ｃｒｙｐｔｏｓｙｓｔｅｍｓ ｆｒｏｍ ｓｕｐｅｒｓｉｎｇｕｌａｒ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅ ｉｓｏｇｅｎｉｅｓ． Ｊ． Ｍａｔｈ． Ｃｒｙｐｔ． ８（３）， ２０９−２４７ （２０１４）， ｐｒｅｌｉｍｉｎａｒｙ ｖｅｒｓｉｏｎ： ＩＡＣＲ Ｃｒｙｐｔｏｌｏｇｙ ｅｐｒｉｎｔ Ａｒｃｈｉｖ， ２０１１：５０６， ２０１１ Ｃｈａｒｌｅｓ， Ｄ．， Ｌａｕｔｅｒ， Ｋ．， Ｇｏｒｅｎ， Ｅ．： Ｃｒｙｐｔｏｇｒａｐｈｉｃ ｈａｓｈ ｆｕｎｃｔｉｏｎｓ ｆｒｏｍ ｅｘｐａｎｄｅｒ ｇｒａｐｈｓ． Ｊ． Ｃｒｙｐｔ． ２２（１）， ９３−１１３ （２００９）， ｐｒｅｌｉｍｉｎａｒｙ ｖｅｒｓｉｏｎ： ＩＡＣＲ Ｃｒｙｐｔｏｌｏｇｙ ｅｐｒｉｎｔ Ａｒｃｈｉｖ， ２００６：０２１， ２００６ Ｙｏｓｈｉｄａ， Ｒ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｃｏｍｐｕｔｉｎｇ ａ ｓｅｑｕｅｎｃｅ ｏｆ ２−ｉｓｏｇｅｎｉｅｓ ｏｎ ｓｕｐｅｒｓｉｎｇｕｌａｒ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅｓ． ＩＥＩＣＥ Ｔｒａｎｓ． Ｆｕｎｄａｍｅｎｔａｌｓ ９６−Ａ（１）， １５８−１６５ （２０１３）， ｐｒｅｌｉｍｉｎａｒｙ ｖｅｒｓｉｏｎ ｉｓ ａｖａｉｌａｂｌｅ ｉｎ ＩＣＩＳＣ ２００８， ＬＮＣＳ， ｖｏｌ．５４６１， ｐｐ．５２−６５ （２００８）

しかし、楕円曲線ペアリングを用いた属性ベース暗号は全て、量子計算機によりマスター秘密鍵が暴かれ壊滅的な被害を受けることがわかっている。また、耐量子性を有する属性ベース暗号はなかった。
この発明は、量子計算機ができた場合にも有効な属性ベース暗号といった暗号方式を構成可能とすることを目的とする。

この発明に係る暗号化装置は、
同種写像とペアリング演算とによって対応付けられた複数の群を用いた暗号システムにおける暗号化装置であり、
前記複数の群のうちのある群の暗号要素を含む暗号文を生成する暗号文生成部を備える。

この発明では、同種写像とペアリング演算とによって対応付けられた複数の群を用いることにより、量子計算機ができた場合にも有効な属性ベース暗号といった暗号を構成可能となる。

実施の形態１に係るＩＢＥ方式で用いられる同種ペアリンググループの説明図。 実施の形態１に係る暗号システム１の構成図。 実施の形態１に係る鍵生成装置１０の構成図。 実施の形態１に係る暗号化装置２０の構成図。 実施の形態１に係る復号装置３０の構成図。 実施の形態１に係るＳｅｔｕｐアルゴリズムのフローチャート。 実施の形態１に係る同種ペアリンググループの説明図。 実施の形態１に係るＫｅｙＧｅｎアルゴリズムのフローチャート。 実施の形態１に係るＥｎｃアルゴリズムのフローチャート。 実施の形態１に係るＤｅｃアルゴリズムのフローチャート。 実施の形態１に係るＩＢＥ方式に対する攻撃法の説明図。 変形例１に係る鍵生成装置１０の構成図。 変形例１に係る暗号化装置２０の構成図。 変形例１に係る復号装置３０の構成図。 実施の形態２に係る暗号システム１の構成図。 実施の形態２に係る鍵生成装置１０の構成図。 実施の形態２に係る暗号化装置２０の構成図。 実施の形態２に係る復号装置３０の構成図。 実施の形態５に係るＩＰＧ生成アルゴリズムのフローチャート。 実施の形態５に係るアルゴリズムＩｓｏｇ_Ｌ〜，κ（Ｅ_０）の説明図。 実施の形態５に係るアルゴリズムＩｓｏｇ_Ｌ〜，κ（Ｅ_０）の説明図。

実施の形態１．
実施の形態１では、耐量子性を有するＩＤベース暗号（以下、ＩＢＥ）方式について説明する。

＊＊＊記法の説明＊＊＊
実施の形態１で用いられる記法について説明する。

Ａがランダムな値または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。

Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。

数１０３は、位数ｑの体を表す。

また、位数ｑの体を文中では単にＦ_ｑと記載する。

［ｎ］：＝｛１，．．．，ｎ｝とし、［０，ｎ］：＝｛０｝∪［ｎ］：＝｛０，．．．，ｎ｝とする。ｎは、０以上の整数である。

数１０４に示す２つのベクトルｙ^→及びｖ^→について、ｙ^→・ｖ^→は、数１０５に示す内積を示す。

＊＊＊概念の説明＊＊＊
図１を参照して、実施の形態１に係るＩＢＥ方式で用いられる同種ペアリンググループ（以下、ＩＰＧ）について説明する。

ＩＰＧは、同種写像とペアリング演算とによって対応付けられた複数の群を有する。
具体的には、ＩＰＧは、群Ｇ_０と、群Ｇ_０と同種写像φ_ｔによって対応付けられたｔ＝１，．．．，ｄの各群Ｇ_ｔと、ｔ＝０，．．．，ｄの各群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付られた群Ｇ_Ｔとを有する。そして、ＩＰＧでは、群Ｇ_０×群Ｇ＾_０からペアリング演算ｅ_０で変換された場合と、ｔ＝１，．．．，ｄのいずれの整数ｔについての同種写像φ_ｔによって群Ｇ_０×群Ｇ＾_０から群Ｇ_ｔ×群Ｇ＾_ｔに変換された上で、ペアリング演算ｅ_ｔによって変換された場合とで、結果は等しくなる。

より正確には、ＩＰＧは以下のように定義される。
ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）では、数１０６に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｓｋ^ＩＰＧとのマスター鍵ペアがランダムに生成される。

ここで、（Ｇ_ｔ，Ｇ＾_ｔ，ｅ_ｔ，Ｇ_Ｔ）は、ペアリング演算ｅ_ｔ：Ｇ_ｔ×Ｇ＾_ｔ→Ｇ_Ｔを有する素数位数ｑの非対称ペアリング群である。ｇ＾_ｔ∈Ｇ＾_ｔである。同種写像φ_ｔ：Ｇ_０→Ｇ_ｔであり、異なる楕円曲線間の同種によって与えられる。ｇ_ｔ＝φ_ｔ（ｇ_０）∈Ｇ_ｔである。
ＩＰＧは、数１０７に示す両立性を有する。

ここで、ｇ_Ｔ＝ｅ_０（ｇ_０，ｇ＾_０）≠１である。また、Ｇ_ｔ≠Ｇ＾_ｔである。

＊＊＊構成の説明＊＊＊
実施の形態１に係るＩＢＥ方式の構成を説明する。
ＩＢＥ方式は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとを備える。
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、公開パラメータｐｋと、マスター秘密鍵ｓｋとを出力する。
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター秘密鍵ｓｋと、識別子ＩＤとを入力として、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤを出力する。
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージ空間ｍｓｇにおけるメッセージｍと、識別子ＩＤ’とを入力として、暗号文ｃｔ_ＩＤ’を出力する。
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤと、識別子ＩＤ’の下で暗号化された暗号文ｃｔ_ＩＤ’とを入力として、メッセージｍ’∈ｍｓｇ、又は、復号に失敗したことを示す識別情報⊥を出力する。

図２を参照して、実施の形態１に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０とを備える。
鍵生成装置１０と暗号化装置２０と復号装置３０とは、コンピュータである。鍵生成装置１０と暗号化装置２０と復号装置３０とは、ネットワークを介して接続されている。

鍵生成装置１０は、セキュリティパラメータ１^λを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋと、マスター秘密鍵ｓｋとを生成する。また、鍵生成装置１０は、公開パラメータｐｋと、マスター秘密鍵ｓｋと、識別子ＩＤとを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。
鍵生成装置１０は、公開パラメータｐｋを公開し、復号鍵ｓｋ_ＩＤを識別子ＩＤに対応する復号装置３０に出力する。鍵生成装置１０は、マスター秘密鍵ｓｋを保管する。

暗号化装置２０は、公開パラメータｐｋと、メッセージｍと、識別子ＩＤ’とを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。暗号化装置２０は、暗号文ｃｔ_ＩＤ’を復号装置３０に出力する。

復号装置３０は、公開パラメータｐｋと、復号鍵ｓｋ_ＩＤと、暗号文ｃｔ_ＩＤ’とを入力として、Ｄｅｃアルゴリズムを実行して、メッセージｍ’、又は、復号に失敗したことを示す識別情報⊥を生成する。

図３を参照して、実施の形態１に係る鍵生成装置１０の構成を説明する。
鍵生成装置１０は、プロセッサ１１と、記憶装置１２と、入出力インタフェース１３とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

鍵生成装置１０は、機能構成要素として、マスター鍵生成部１４と、復号鍵生成部１５と、鍵出力部１６とを備える。マスター鍵生成部１４と、復号鍵生成部１５と、鍵出力部１６との各部の機能はソフトウェアにより実現される。
記憶装置１２には、鍵生成装置１０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ１１により読み込まれ、プロセッサ１１によって実行される。これにより、鍵生成装置１０の各部の機能が実現される。

図４を参照して、実施の形態１に係る暗号化装置２０の構成を説明する。
暗号化装置２０は、プロセッサ２１と、記憶装置２２と、入出力インタフェース２３とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

暗号化装置２０は、機能構成要素として、入力受付部２４と、暗号文生成部２５と、暗号文出力部２６とを備える。入力受付部２４と、暗号文生成部２５と、暗号文出力部２６との各部の機能はソフトウェアにより実現される。
記憶装置２２には、暗号化装置２０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ２１により読み込まれ、プロセッサ２１によって実行される。これにより、暗号化装置２０の各部の機能が実現される。

図５を参照して、実施の形態１に係る復号装置３０の構成を説明する。
復号装置３０は、プロセッサ３１と、記憶装置３２と、入出力インタフェース３３とのハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

復号装置３０は、機能構成要素として、入力受付部３４と、復号部３５と、メッセージ出力部３６とを備える。入力受付部３４と、復号部３５と、メッセージ出力部３６との各部の機能はソフトウェアにより実現される。
記憶装置３２には、復号装置３０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ３１により読み込まれ、プロセッサ３１によって実行される。これにより、復号装置３０の各部の機能が実現される。

プロセッサ１１，２１，３１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１，３１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

記憶装置１２，２２，３２は、具体例としては、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、記憶装置１２，２２，３２は、は、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体であってもよい。

入出力インタフェース１３，２３，３３は、外部からデータの入力を受け付け、外部へデータを出力するためのインタフェースである。入出力インタフェース１３，２３，３３は、具体例としては、キーボードといった入力装置と、ディスプレイといった出力装置とを接続するＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＰＳ／２、ＨＤＭＩ（登録商標、Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）といったコネクタである。また、入出力インタフェース１３，２３，３３は、具体例としては、外部からネットワークを介してデータを送受信するＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）であってもよい。

プロセッサ１１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置１２、又は、プロセッサ１１内のレジスタ又はキャッシュメモリに記憶される。同様に、プロセッサ２１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置２２、又は、プロセッサ２１内のレジスタ又はキャッシュメモリに記憶される。同様に、プロセッサ３１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置３２、又は、プロセッサ３１内のレジスタ又はキャッシュメモリに記憶される。

プロセッサ１１によって実現される各機能を実現するプログラムは、記憶装置１２に記憶されているとした。同様に、プロセッサ２１によって実現される各機能を実現するプログラムは、記憶装置２２に記憶されているとした。同様に、プロセッサ３１によって実現される各機能を実現するプログラムは、記憶装置３２に記憶されているとした。しかし、このプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体に記憶されてもよい。

図３では、プロセッサ１１は、１つだけ示されていた。しかし、鍵生成装置１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、鍵生成装置１０の各部の機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、プロセッシングを行うＩＣである。同様に、暗号化装置２０は、プロセッサ２１を代替する複数のプロセッサを備えていてもよい。また、復号装置３０は、プロセッサ３１を代替する複数のプロセッサを備えていてもよい。

＊＊＊動作の説明＊＊＊
図３から図９を参照して、実施の形態１に係る暗号システム１の動作を説明する。
実施の形態１に係る暗号システム１の動作は、実施の形態１に係る暗号方法に相当する。また、実施の形態１に係る暗号システム１の動作は、実施の形態１に係る暗号プログラムの処理に相当する。

図３及び図６を参照して、実施の形態１に係るＳｅｔｕｐアルゴリズムを説明する。
Ｓｅｔｕｐアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ１１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、ｄ＝１とを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実行して、数１０８に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

つまり、図７に示すように、実施の形態１では、ｔ＝０，１についての群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔと、群Ｇ_Ｔと、同種写像φ_１とが生成される。
なお、図７に示されるように、Ｇ_０からＧ_１への変換が“復号鍵生成（ＫｅｙＧｅｎ）”に、Ｇ_０×Ｇ＾_０からＧ_Ｔへの変換が“暗号化（Ｅｎｃ）”に、Ｇ_１×Ｇ＾_１からＧ_Ｔへの変換が“復号（Ｄｅｃ）”に大まかに対応している。

（ステップＳ１２：ハッシュ関数生成処理）
マスター鍵生成部１４は、識別子の空間である体Ｆ_ｑの要素を、群Ｇ_０の要素に変換するランダムなハッシュ関数Ｈを生成する。

（ステップＳ１３：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ１１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ１２で生成されたハッシュ関数Ｈとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｇ＾_ｔ，ｅ_ｔ）_{ｔ＝０，１}，Ｇ_Ｔ，Ｈ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ１１で生成されたマスター秘密鍵ｓｋ^ＩＰＧを用いて、マスター秘密鍵ｓｋ：＝φ_１を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１０９に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図３及び図８を参照して、実施の形態１に係るＫｅｙＧｅｎアルゴリズムを説明する。
ＫｅｙＧｅｎアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ２１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。

（ステップＳ２２：鍵要素生成処理）
復号鍵生成部１５は、ステップＳ２１で受け付けられた識別子ＩＤを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。復号鍵生成部１５は、マスター秘密鍵ｓｋに含まれる同種写像φ_１で要素ｈ_０を変換して、要素ｈ_１を生成する。

（ステップＳ２３：鍵要素出力処理）
鍵出力部１６は、ステップＳ２１で受け付けられた識別子ＩＤと、ステップＳ２２で生成された要素ｈ_１とを鍵要素とする復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。この際、鍵出力部１６は、何らかの暗号方式で暗号化するといった方法により、復号鍵ｓｋ_ＩＤが第三者に漏えいしないようにする。

つまり、復号鍵生成部１５は、数１１０に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図４及び図９を参照して、実施の形態１に係るＥｎｃアルゴリズムを説明する。
Ｅｎｃアルゴリズムは、暗号化装置２０によって実行される。

（ステップＳ３１：入力受付処理）
入力受付部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋと、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。

（ステップＳ３２：暗号文生成処理）
暗号文生成部２５は、ステップＳ３１で受け付けられた識別子ＩＤ’を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。また、暗号文生成部２５は、一様乱数ζを生成する。
暗号文生成部２５は、一様乱数ζを用いて、数１１１に示す要素ｃを生成する。

また、暗号文生成部２５は、要素ｈ_０及び一様乱数ζを用いて、数１１２に示す要素ｚを生成する。そして、暗号文生成部２５は、ステップＳ３１で受け付けられたメッセージｍと、要素ｚを用いて要素ｃ_Ｔ：＝ｚ・ｍを生成する。

（ステップＳ３３：暗号文出力処理）
暗号文出力部２６は、ステップＳ３１で受け付けられた識別子ＩＤ’と、ステップＳ３２で生成された要素ｃ，ｃ_Ｔとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１１３に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図５及び図１０を参照して、実施の形態１に係るＤｅｃアルゴリズムを説明する。
Ｄｅｃアルゴリズムは、復号装置３０によって実行される。

（ステップＳ４１：入力受付処理）
入力受付部３４は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_ＩＤと、暗号化装置２０によって生成された暗号文ｃｔ_ＩＤ’との入力を受け付ける。

（ステップＳ４２：復号判定処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤに含まれる識別子ＩＤと、暗号文ｃｔ_ＩＤ’に含まれる識別子ＩＤ’とが等しいか否かを判定する。これにより、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤで復号可能かが判定される。
復号部３５は、等しいと判定された場合、つまり復号可能と判定された場合、処理をステップＳ４３に進め、そうでない場合、処理をステップＳ４５に進める。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤに含まれる要素ｈ_１と、暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃとについてペアリング演算ｅ_１を行い、要素ｚ’を計算する。復号部３５は、計算された要素ｚ’を用いて、メッセージｍ’：＝ｃ_Ｔ・（ｚ’）^−１を計算する。

（ステップＳ４４：メッセージ出力処理）
メッセージ出力部３６は、ステップＳ４２で計算されたメッセージｍ’を、入出力インタフェース３３を介して出力する。

（ステップＳ４５：識別情報出力処理）
メッセージ出力部３６は、識別情報⊥を、入出力インタフェース３３を介して出力する。

つまり、復号装置３０は、数１１４に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る暗号システム１は、ＩＰＧを用いてＩＢＥ方式を実現する。ここで、鍵生成装置１０によって生成されるマスター秘密鍵ｓｋ：＝φ_１は、耐量子性を有している。そのため、量子計算機によってでも、マスター秘密鍵ｓｋが破られることがない。

図１１を参照して、実施の形態１の効果を詳しく説明する。
実施の形態１に係るＩＢＥ方式は、秘密鍵が２階層の階層的な構造となっている。つまり、実施の形態１に係るＩＢＥ方式は、秘密鍵が、上位階層のマスター秘密鍵と、下位階層の復号鍵との２階層の構造となっている。
もし、マスター秘密鍵が明らかになると、どんな識別子ＩＤについての復号鍵も、従来の確率的多項式時間マシンを用いて生成可能になる。そのため、攻撃者は、効率的に攻撃するために、初めにマスター秘密鍵を明らかにしようとする。もしマスター秘密鍵が守られると、攻撃者は暗号文を１つ１つ破る必要がある。マスター秘密鍵を攻撃する方法を“マスター鍵レベルアタック”と呼び、暗号文を１つ１つ攻撃する方法を“ユーザレベルアタック”と呼ぶ。
量子計算機が開発された場合、実施の形態１に係る暗号システム１では、ユーザレベルアタックは可能になってしまうものの、マスター鍵レベルアタックは防ぐことができる。
仮に量子計算機が完成したとしても、初期の段階では、既存のコンピュータの場合と同様に、開発速度は比較的遅いものと考えられる。そして、少なくとも、初期の段階では、持ち運び可能なハンディタイプの量子計算機は広まらないし、そのような量子計算機は高額であると考えられる。そのため、ユーザレベルアタックは非常に非効率となると考えられる。実施の形態１に係る暗号システム１では、効率的なＩＢＥ方式を実現しつつ、マスター鍵レベルアタックは防ぐことができる。したがって、実施の形態１に係る暗号システム１で実現されるＩＢＥ方式は、仮に量子計算機が完成したとしても、しばらくの間は効率的かつ有用なものと考えられる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能がソフトウェアで実現された。変形例１として、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。

図１２から図１４を参照して、変形例１に係る鍵生成装置１０、暗号化装置２０、復号装置３０の構成を説明する。
各部の機能がハードウェアで実現される場合、鍵生成装置１０、暗号化装置２０、復号装置３０は、プロセッサ１１，２１，３１と記憶装置１２，２２，３２とに代えて、処理回路１７，２７，３７を備える。処理回路１７，２７，３７は、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能と、記憶装置１２，２２，３２の機能とを実現する専用の電子回路である。

処理回路１７，２７，３７は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
鍵生成装置１０、暗号化装置２０、復号装置３０は、処理回路１７，２７，３７を代替する複数の処理回路を備えていてもよい。これら複数の処理回路により、全体として各部の機能が実現される。それぞれの処理回路は、処理回路１７，２７，３７と同じように、専用の電子回路である。

＜変形例２＞
変形例２として、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。つまり、鍵生成装置１０、暗号化装置２０、復号装置３０の各部のうち、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。

プロセッサ１１，２１，３１と記憶装置１２，２２，３２と処理回路１７，２７，３７とを、総称して「プロセッシングサーキットリー」という。つまり、各部の機能は、プロセッシングサーキットリーにより実現される。

実施の形態２．
実施の形態２では、耐量子性を有するＡＢＥ方式について説明する。実施の形態２では、実施の形態１と異なる点を説明する。
実施の形態２では、ｔ∈［ｄ］について（ｔ，１）∈［ｄ］×［１］＝［ｄ］×Ｕで特定される、多項式サイズのユニバース［ｄ］の要素として属性が与えられる場合を説明する。つまり、後述する属性集合Γ⊂［ｄ］の場合を説明する。

＊＊＊概念の説明＊＊＊
実施の形態２に係るＡＢＥ方式で用いられる概念について説明する。
スパンプログラムについて説明する。スパンプログラムは既存の概念であるため、ここでは以下の説明で必要な範囲だけ簡単に説明する。

体Ｆ_ｑ上のスパンプログラムは、ラベル付けされた行列Ｓ：＝（Ｍ，ρ）である。ここで、行列Ｍは、体Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。ラベルρは、｛（ｔ，ｖ），（ｔ’，ｖ’），．．．｝から属性に応じて行列Ｍの行に対して付されたラベルである。なお、全ての行が１つの属性にラベル付けされる。つまり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ），（ｔ’，ｖ’），．．．｝である。
スパンプログラムは、以下の基準に従い、入力を受理又は拒絶する。Γを属性集合とする。つまり、Γ：＝｛（ｔ_ｊ，ｘ_ｊ）｝_{１≦ｊ≦ｄ’}（ｘ_ｊ∈Ｕ_ｔｊ）である。１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{ρ（ｉ）∈Γ}＞の場合に限り、スパンプログラムＳは属性集合Γを受理する。スパンプログラムＳが属性集合Γを受理することを、Ｒ（Ｓ，Γ）＝１と表す。つまり、行列Ｍの行（Ｍ_ｉ）_{ρ（ｉ）∈Γ}の線形結合によって全ての要素が１のベクトルが得られる場合に限り、スパンプログラムＳは属性集合Γを受理する。行列Ｓをアクセスストラクチャと呼ぶ。

＊＊＊構成の説明＊＊＊
実施の形態２では、復号鍵に復号条件であるポリシーが設定される鍵ポリシー型のＡＢＥ（以下、ＫＰ−ＡＢＥ）方式について説明する。なお、同様の考え方により、暗号文にポリシーが設定される暗号文ポリシー型のＡＢＥを実現することも可能である。
特に、実施の形態２では、タグ付されたＫＰ−ＡＢＥ方式について説明する。タグ付けされたＫＰ−ＡＢＥ方式では、復号鍵のパラメータ（ｔａｇ，Ｓ）と、暗号文のパラメータ（ｔａｇ’，Γ）とに対して、関係Ｒ^＋（（ｔａｇ，Ｓ），（ｔａｇ’，Γ））：＝Ｅｑ（ｔａｇ，ｔａｇ’）∧Ｒ（Ｓ，Γ）と定義される。ここで、ｔａｇ＝ｔａｇ’の場合に限り、Ｅｑ（ｔａｇ，ｔａｇ’）＝１である。そして、Ｅｑ（ｔａｇ，ｔａｇ’）＝１∧Ｒ（Ｓ，Γ）＝１の場合に、暗号文を復号鍵で復号できる。

ＫＰ−ＡＢＥ方式は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとを備える。
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、公開パラメータｐｋと、マスター秘密鍵ｓｋとを出力する。
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター秘密鍵ｓｋと、入力タグｔａｇと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、入力タグｔａｇ及びアクセスストラクチャＳに対応した復号鍵ｓｋ_{ｔａｇ，Ｓ}を出力する。
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージ空間ｍｓｇにおけるメッセージｍと、入力タグｔａｇ’と、属性集合Γ：＝｛（ｔ_ｊ，ｘ_ｊ）｝_{１≦ｊ≦ｄ’}を入力として、暗号文ｃｔ_{ｔａｇ’，Γ}を出力する。
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、入力タグｔａｇ及びアクセスストラクチャＳに対応した復号鍵ｓｋ_{ｔａｇ，Ｓ}と、入力タグｔａｇ’及び属性集合Γの下で暗号化された暗号文ｃｔ_{ｔａｇ’，Γ}とを入力として、メッセージｍ’∈ｍｓｇ、又は、復号に失敗したことを示す識別情報⊥を出力する。

図１５を参照して、実施の形態２に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０とを備える。
鍵生成装置１０と暗号化装置２０と復号装置３０とは、コンピュータである。鍵生成装置１０と暗号化装置２０と復号装置３０とは、ネットワークを介して接続されている。

鍵生成装置１０は、セキュリティパラメータ１^λを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋと、マスター秘密鍵ｓｋとを生成する。また、鍵生成装置１０は、公開パラメータｐｋと、マスター秘密鍵ｓｋと、入力タグｔａｇと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_{ｔａｇ，Ｓ}を生成する。
鍵生成装置１０は、公開パラメータｐｋを公開し、復号鍵ｓｋ_{ｔａｇ，Ｓ}を入力タグｔａｇ及びアクセスストラクチャＳに対応する復号装置３０に出力する。鍵生成装置１０は、マスター秘密鍵ｓｋを保管する。

暗号化装置２０は、公開パラメータｐｋと、メッセージｍと、入力タグｔａｇ’と、属性集合Γとを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ｃｔ_{ｔａｇ’，Γ}を生成する。暗号化装置２０は、暗号文ｃｔ_{ｔａｇ’，Γ}を復号装置３０に出力する。

復号装置３０は、公開パラメータｐｋと、復号鍵ｓｋ_{ｔａｇ，Ｓ}と、暗号文ｃｔ_{ｔａｇ’，Γ}とを入力として、Ｄｅｃアルゴリズムを実行して、メッセージｍ’、又は、復号に失敗したことを示す識別情報⊥を生成する。

図１６に示す鍵生成装置１０と、図１７に示す暗号化装置２０と、図１８に示す復号装置３０との構成は、それぞれ図３に示す鍵生成装置１０と、図４に示す暗号化装置２０と、図５に示す復号装置３０との構成と同じである。但し、各構成要素で入出力される情報が異なる。

＊＊＊動作の説明＊＊＊
図１６から図１８と、図６から図１０とを参照して、実施の形態２に係る暗号システム１の動作を説明する。
実施の形態２に係る暗号システム１の動作は、実施の形態２に係る暗号方法に相当する。また、実施の形態２に係る暗号システム１の動作は、実施の形態２に係る暗号プログラムの処理に相当する。

図１６及び図６を参照して、実施の形態２に係るＳｅｔｕｐアルゴリズムを説明する。
Ｓｅｔｕｐアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ１１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、１以上の整数ｄとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実行して、数１１５に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

つまり、図１に示すように、実施の形態１では、ｔ＝０，１，．．．，ｄについての群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔと、群Ｇ_Ｔと、ｔ＝１，．．．，ｄについての同種写像φ_ｔとが生成される。つまり、ｄ＋１個のペアリング群が用いられる。
ここで、ｔ＝１，．．．，ｄの群Ｇ_ｔ及び群Ｇ＾_ｔに属性が設定される。したがって、整数ｄの値は、設定したい属性の数に応じて決定される。

（ステップＳ１２：ハッシュ関数生成処理）
実施の形態１と同様に、マスター鍵生成部１４は、ハッシュ関数Ｈを生成する。

（ステップＳ１３：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ１１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ１２で生成されたハッシュ関数Ｈとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｇ＾_ｔ，ｅ_ｔ）_{ｔ∈［０，ｄ］}，Ｇ_Ｔ，Ｈ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ１１で生成されたマスター秘密鍵ｓｋ^ＩＰＧを用いて、マスター秘密鍵ｓｋ：＝（φ_ｔ）_{ｔ∈［ｄ］}を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１１６に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１６及び図８を参照して、実施の形態２に係るＫｅｙＧｅｎアルゴリズムを説明する。
ＫｅｙＧｅｎアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ２１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_{ｔａｇ，Ｓ}を使用するユーザの入力タグｔａｇ及びアクセスストラクチャＳ：＝（Ｍ，ρ）の入力を受け付ける。アクセスストラクチャＳは、復号鍵ｓｋ_{ｔａｇ，Ｓ}で復号可能な範囲を示すものである。

（ステップＳ２２：鍵要素生成処理）
復号鍵生成部１５は、ステップＳ２１で受け付けられた入力タグｔａｇを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。
復号鍵生成部１５は、１^→・ｕ^→＝１であるベクトルｕ^→をランダムに選択する。復号鍵生成部１５は、ｉ∈［Ｌ］に対して、ｓ_ｉ：＝Ｍ_ｉ・ｕ^→とし、ｔ：＝ρ（ｉ）として、数１１７に示すように、マスター秘密鍵ｓｋに含まれる同種写像φ_ｔで要素ｈ_０を変換して、要素ｋ_ｉを生成する。

（ステップＳ２３：鍵要素出力処理）
鍵出力部１６は、ステップＳ２１で受け付けられた入力タグｔａｇ及びアクセスストラクチャＳと、ステップＳ２２で生成されたｉ∈［Ｌ］についての要素ｋ_ｉとを鍵要素とする復号鍵ｓｋ_{ｔａｇ，Ｓ}を、入出力インタフェース１３を介して復号装置３０に出力する。この際、鍵出力部１６は、何らかの暗号方式で暗号化するといった方法により、復号鍵ｓｋ_{ｔａｇ，Ｓ}が第三者に漏えいしないようにする。

つまり、復号鍵生成部１５は、数１１８に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_{ｔａｇ，Ｓ}を生成する。

図１７及び図９を参照して、実施の形態２に係るＥｎｃアルゴリズムを説明する。
Ｅｎｃアルゴリズムは、暗号化装置２０によって実行される。

（ステップＳ３１：入力受付処理）
入力受付部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋと、暗号化対象のメッセージｍと、復号条件となる入力タグｔａｇ’及び属性集合Γとの入力を受け付ける。

（ステップＳ３２：暗号文生成処理）
暗号文生成部２５は、ステップＳ３１で受け付けられた入力タグｔａｇ’を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。また、暗号文生成部２５は、一様乱数ζを生成する。
暗号文生成部２５は、属性集合Γに含まれる各整数ｔについて、一様乱数ζを用いて、数１１９に示す要素ｃ_ｔを生成する。

また、暗号文生成部２５は、要素ｈ_０及び一様乱数ζを用いて、数１２０に示す要素ｚを生成する。そして、暗号文生成部２５は、ステップＳ３１で受け付けられたメッセージｍと、要素ｚを用いて要素ｃ_Ｔ：＝ｚ・ｍを生成する。

（ステップＳ３３：暗号文出力処理）
暗号文出力部２６は、ステップＳ３１で受け付けられた入力タグｔａｇ’及び属性集合Γと、ステップＳ３２で生成された属性集合Γに含まれる各整数ｔについての要素ｃ_ｔ及び要素ｃ_Ｔとを暗号要素とする暗号文ｃｔ_{ｔａｇ’，Γ}を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１２１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_{ｔａｇ’，Γ}を生成する。

図１８及び図１０を参照して、実施の形態２に係るＤｅｃアルゴリズムを説明する。
Ｄｅｃアルゴリズムは、復号装置３０によって実行される。

（ステップＳ４１：入力受付処理）
入力受付部３４は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_{ｔａｇ，Ｓ}と、暗号化装置２０によって生成された暗号文ｃｔ_{ｔａｇ’，Γ}との入力を受け付ける。

（ステップＳ４２：復号判定処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_{ｔａｇ，Ｓ}に含まれる入力タグｔａｇと、暗号文ｃｔ_{ｔａｇ’，Γ}に含まれる入力タグｔａｇ’とが等しいか否かを判定する。また、復号部３５は、復号鍵ｓｋ_{ｔａｇ，Ｓ}に含まれるアクセスストラクチャＳが、暗号文ｃｔ_{ｔａｇ’，Γ}に含まれる属性集合Γを受理するか否かを判定する。これにより、暗号文ｃｔ_{ｔａｇ’，Γ}を復号鍵ｓｋ_{ｔａｇ，Ｓ}で復号可能かが判定される。
復号部３５は、入力タグｔａｇと入力タグｔａｇ’とが等しいと判定され、かつ、アクセスストラクチャＳが属性集合Γを受理すると判定された場合、処理をステップＳ４３に進め、そうでない場合、処理をステップＳ４５に進める。

（ステップＳ４３：復号処理）
復号部３５は、ρ（ｉ）∈Γについて、数１２２を満たす補完係数α_ｉを計算する。なお、Ｍ_ｉは、行列Ｍのｉ行目である。

復号部３５は、計算された補完係数α_ｉを用いて、ステップＳ４１で受け付けられた復号鍵ｓｋ_{ｔａｇ，Ｓ}に含まれる要素ｋ_ｉと、暗号文ｃｔ_{ｔａｇ’，Γ}に含まれる暗号要素ｃ_ｔとについて数１２３に示すペアリング演算を行い、要素ｚ’を計算する。

復号部３５は、計算された要素ｚ’を用いて、メッセージｍ’：＝ｃ_Ｔ・（ｚ’）^−１を計算する。

ステップＳ４４からステップＳ４５の処理は、実施の形態１と同じである。

つまり、復号装置３０は、数１２４に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

数１２５に示すように、ステップＳ４３で暗号文ｃｔ_{ｔａｇ’，Γ}を復号鍵ｓｋ_{ｔａｇ，Ｓ}で復号可能である。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る暗号システム１は、ＩＰＧを用いてＡＢＥ方式を実現する。ここで、鍵生成装置１０によって生成されるマスター秘密鍵ｓｋ：＝φ_ｔは、実施の形態１と同様に耐量子性を有している。そのため、量子計算機によってでも、マスター秘密鍵ｓｋが破られることがない。

実施の形態３．
実施の形態３では、どの部分ユニバース識別子ｔについても属性ｘ_ｔ：＝（ｘ_ｔ，ｊ）_{ｊ∈［ｎ］}がユニバースＵ：＝｛０，１｝^ｎの要素である場合におけるＡＢＥ方式について説明する。実施の形態３では、実施の形態２と異なる点を説明する。

実施の形態３では、ＡＢＥの小さなユニバースの２つのインスタンスｔ∈［ｄ］及びｊ∈［ｎ］についての階層的な構造が用いられる。そして、実施の形態３では、下位の階層のインスタンスにおいて、ｎ−ｏｕｔ−ｏｆ−２ｎの秘密共有述語の特別な形態が、長さｎの２値の識別子ｘ_ｔに対する識別子マッチングに用いられる。

＊＊＊動作の説明＊＊＊
図１６から図１８と、図６から図１０とを参照して、実施の形態３に係る暗号システム１の動作を説明する。
実施の形態３に係る暗号システム１の動作は、実施の形態３に係る暗号方法に相当する。また、実施の形態３に係る暗号システム１の動作は、実施の形態３に係る暗号プログラムの処理に相当する。

図１６及び図６を参照して、実施の形態３に係るＳｅｔｕｐアルゴリズムを説明する。
Ｓｅｔｕｐアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ１１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、１以上の整数ｄ及び１以上の整数ｎについての整数２ｄｎとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，２ｄｎ）を実行して、数１２６に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

つまり、実施の形態１では、ｔ＝０，１，．．．，ｄとｊ＝１，．．．，ｎとι＝０，１とについての群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}とペアリング演算ｅ_ｔと、群Ｇ_Ｔと、ｔ＝１，．．．，ｄとｊ＝１，．．．，ｎとι＝０，１とについての同種写像φ_{ｔ，ｊ，ι}とが生成される。つまり、２ｄｎ＋１個のペアリング群が用いられる。
ここで、ｔ＝１，．．．，ｄとｊ＝１，．．．，ｎとι＝０，１の群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}に属性が設定される。したがって、整数ｄ，ｎの値は、設定したい属性の数に応じて決定される。

（ステップＳ１２：ハッシュ関数生成処理）
実施の形態１と同様に、マスター鍵生成部１４は、ハッシュ関数Ｈを生成する。

（ステップＳ１３：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ１１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ１２で生成されたハッシュ関数Ｈとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｇ＾_ｔ，ｅ_ｔ）_{ｔ∈［０，ｄ］，ｊ∈［ｎ］，ι∈［０，１］}，Ｇ_Ｔ，Ｈ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ１１で生成されたマスター秘密鍵ｓｋ^ＩＰＧを用いて、マスター秘密鍵ｓｋ：＝（φ_{ｔ，ｊ，ι}）_{ｔ∈［ｄ］，ｊ∈［ｎ］，ι∈［０，１］}を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１２７に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１６及び図８を参照して、実施の形態２に係るＫｅｙＧｅｎアルゴリズムを説明する。
ＫｅｙＧｅｎアルゴリズムは、鍵生成装置１０によって実行される。

ステップＳ２１の処理は、実施の形態２と同じである。

（ステップＳ２２：鍵要素生成処理）
復号鍵生成部１５は、ステップＳ２１で受け付けられた入力タグｔａｇを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。
復号鍵生成部１５は、１^→・ｕ^→＝１であるベクトルｕ^→をランダムに選択する。復号鍵生成部１５は、ｉ∈［Ｌ］に対して、ｓ_ｉ：＝Ｍ_ｉ・ｕ^→とし、ｓ_ｉ＝Σ_ｊ＝１ ^ｎτ_ｉ，ｊである乱数τ^→：＝（τ_ｉ，ｊ）を選択する。復号鍵生成部１５は、乱数τ^→を用いて、数１２８に示すように、マスター秘密鍵ｓｋに含まれる同種写像φ_{ｔ，ｊ，ι}で要素ｈ_０を変換して、要素ｋ_ｉ，ｊを生成する。

（ステップＳ２３：鍵要素出力処理）
鍵出力部１６は、ステップＳ２１で受け付けられた入力タグｔａｇ及びアクセスストラクチャＳと、ステップＳ２２で生成されたｉ∈［Ｌ］及びｊ∈［ｎ］についての要素ｋ_ｉ，ｊとを鍵要素とする復号鍵ｓｋ_{ｔａｇ，Ｓ}を、入出力インタフェース１３を介して復号装置３０に出力する。この際、鍵出力部１６は、何らかの暗号方式で暗号化するといった方法により、復号鍵ｓｋ_{ｔａｇ，Ｓ}が第三者に漏えいしないようにする。

つまり、復号鍵生成部１５は、数１２９に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_{ｔａｇ，Ｓ}を生成する。

図１７及び図９を参照して、実施の形態２に係るＥｎｃアルゴリズムを説明する。
Ｅｎｃアルゴリズムは、暗号化装置２０によって実行される。

ステップＳ３１の処理は、実施の形態２と同じである。

（ステップＳ３２：暗号文生成処理）
暗号文生成部２５は、ステップＳ３１で受け付けられた入力タグｔａｇ’を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。また、暗号文生成部２５は、一様乱数ζを生成する。
暗号文生成部２５は、属性集合Γに含まれる（ｔ，ｘ_ｔ：＝（ｘ_ｔ，ｊ）∈｛０，１｝^ｎ）∈Γの各整数ｔ及び各整数ｊについて、一様乱数ζを用いて、数１３０に示す要素ｃ_ｔ，ｊを生成する。

また、暗号文生成部２５は、要素ｈ_０及び一様乱数ζを用いて、数１３１に示す要素ｚを生成する。そして、暗号文生成部２５は、ステップＳ３１で受け付けられたメッセージｍと、要素ｚを用いて要素ｃ_Ｔ：＝ｚ・ｍを生成する。

（ステップＳ３３：暗号文出力処理）
暗号文出力部２６は、ステップＳ３１で受け付けられた入力タグｔａｇ’及び属性集合Γと、ステップＳ３２で生成された属性集合Γに含まれる各整数ｔ及びｊ∈［ｎ］についての要素ｃ_ｔ，ｊ及び要素ｃ_Ｔとを暗号要素とする暗号文ｃｔ_{ｔａｇ’，Γ}を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１３２に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_{ｔａｇ’，Γ}を生成する。

図１８及び図１０を参照して、実施の形態２に係るＤｅｃアルゴリズムを説明する。
Ｄｅｃアルゴリズムは、復号装置３０によって実行される。

ステップＳ４１からステップＳ４２の処理は、実施の形態２と同じである。

（ステップＳ４３：復号処理）
復号部３５は、数１３３を満たす補完係数α_ｉを計算する。

復号部３５は、計算された補完係数α_ｉを用いて、ステップＳ４１で受け付けられた復号鍵ｓｋ_{ｔａｇ，Ｓ}に含まれる要素ｋ_ｉ，ｊと、暗号文ｃｔ_{ｔａｇ’，Γ}に含まれる暗号要素ｃ_ｔ，ｊとについて数１３４に示すペアリング演算を行い、要素ｚ’を計算する。

復号部３５は、計算された要素ｚ’を用いて、メッセージｍ’：＝ｃ_Ｔ・（ｚ’）^−１を計算する。

ステップＳ４４からステップＳ４５の処理は、実施の形態２と同じである。

つまり、復号装置３０は、数１３５に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

数１３６に示すように、ステップＳ４３で暗号文ｃｔ_{ｔａｇ’，Γ}を復号鍵ｓｋ_{ｔａｇ，Ｓ}で復号可能である。

＊＊＊実施の形態３の効果＊＊＊
以上のように、実施の形態３に係る暗号システム１は、ＩＰＧを用いて大きいユニバースについてのＡＢＥ方式を実現する。ここで、鍵生成装置１０によって生成されるマスター秘密鍵ｓｋ：＝φ_ｔは、実施の形態２と同様に耐量子性を有している。そのため、量子計算機によってでも、マスター秘密鍵ｓｋが破られることがない。

実施の形態４．
実施の形態４では、階層的なＩＢＥ（以下、ＨＩＢＥ）方式について説明する。実施の形態４では、実施の形態１と異なる点を説明する。

＊＊＊動作の説明＊＊＊
図３から図９を参照して、実施の形態４に係る暗号システム１の動作を説明する。
実施の形態４に係る暗号システム１の動作は、実施の形態４に係る暗号方法に相当する。また、実施の形態４に係る暗号システム１の動作は、実施の形態４に係る暗号プログラムの処理に相当する。

図３及び図６を参照して、実施の形態１に係るＳｅｔｕｐアルゴリズムを説明する。
Ｓｅｔｕｐアルゴリズムは、鍵生成装置１０によって実行される。

ステップＳ１１の処理は、実施の形態１と同じである。

（ステップＳ１２：ハッシュ関数生成処理）
マスター鍵生成部１４は、ｔ＝０，１について、識別子の空間である体Ｆ_ｑの要素を、群Ｇ_ｔの要素に変換するランダムなハッシュ関数Ｈ_ｔを生成する。

（ステップＳ１３：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ１１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ１２で生成されたハッシュ関数Ｈとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｇ＾_ｔ，ｅ_ｔ，Ｈ_ｔ）_{ｔ＝０，１}，Ｇ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ１１で生成されたマスター秘密鍵ｓｋ^ＩＰＧを用いて、マスター秘密鍵ｓｋ：＝φ_１を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１３７に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図３及び図８を参照して、実施の形態４に係るＫｅｙＧｅｎアルゴリズムを説明する。
ＫｅｙＧｅｎアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ２１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。ここでは、識別子ＩＤは、ｉ∈［ｊ］についてのＩＤ_ｉから構成される。ｊは、２以上の整数である。

（ステップＳ２２：鍵要素生成処理）
復号鍵生成部１５は、ｉ∈［ｊ−１］について、数１３８に示すように、要素ｄ＾_ｉを生成する。

復号鍵生成部１５は、ステップＳ２１で受け付けられた識別子ＩＤを構成するＩＤ_１を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈ_０を計算して、群Ｇ_０の要素である要素ｈ_１を生成する。また、復号鍵生成部１５は、ｉ∈［２，ｊ］について、識別子ＩＤを構成するＩＤ_１，．．．，ＩＤ_ｉを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈ_１を計算して、群Ｇ_１の要素である要素ｈ_ｉを生成する。そして、復号鍵生成部１５は、数１３９に示すように、マスター秘密鍵ｓｋに含まれる同種写像φ_１で要素ｈ_１を変換した要素ｄ_ｊを生成する。

（ステップＳ２３：鍵要素出力処理）
鍵出力部１６は、ステップＳ２１で受け付けられた識別子ＩＤと、ステップＳ２２で生成された、ｉ∈［ｊ−１］についての要素ｄ＾_ｊ及び要素ｄ_ｊとを鍵要素とする復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。この際、鍵出力部１６は、何らかの暗号方式で暗号化するといった方法により、復号鍵ｓｋ_ＩＤが第三者に漏えいしないようにする。

つまり、復号鍵生成部１５は、数１４０に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図４及び図９を参照して、実施の形態１に係るＥｎｃアルゴリズムを説明する。
Ｅｎｃアルゴリズムは、暗号化装置２０によって実行される。

（ステップＳ３１：入力受付処理）
入力受付部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋと、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。ここでは、識別子ＩＤ’は、ｉ∈［ｊ］についてのＩＤ’_ｉから構成される。

（ステップＳ３２：暗号文生成処理）
暗号文生成部２５は、一様乱数ζを生成する。暗号文生成部２５は、一様乱数ζを用いて、数１４１に示す要素ｃ＾_０を生成する。

暗号文生成部２５は、ｉ∈［２，ｊ］について、識別子ＩＤを構成するＩＤ’_１，．．．，ＩＤ’_ｉを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈ_１を計算して、群Ｇ_１の要素である要素ｈ_ｉを生成する。暗号文生成部２５は、要素ｈ_ｉを用いて、数１４２に示す要素ｃ_ｉを生成する。

暗号文生成部２５は、ステップＳ３１で受け付けられた識別子ＩＤ’を構成するＩＤ’_１を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈ_０を計算して、群Ｇ_０の要素である要素ｈ_１を生成する。また、暗号文生成部２５は、要素ｈ_１及び一様乱数ζを用いて、数１４３に示す要素ｚを生成する。そして、暗号文生成部２５は、ステップＳ３１で受け付けられたメッセージｍと、要素ｚを用いて要素ｃ_Ｔ：＝ｚ・ｍを生成する。

（ステップＳ３３：暗号文出力処理）
暗号文出力部２６は、ステップＳ３１で受け付けられた識別子ＩＤ’と、ステップＳ３２で生成された要素ｃ＾_０，（ｃ_ｉ）_{ｉ∈［２，ｊ］}，ｃ_Ｔとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１４４に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図５及び図１０を参照して、実施の形態１に係るＤｅｃアルゴリズムを説明する。
Ｄｅｃアルゴリズムは、復号装置３０によって実行される。

ステップＳ４１からステップＳ４２の処理は、実施の形態１と同じである。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤに含まれる要素ｄ＾_ｊ及び要素ｄ_ｊと、暗号文ｃｔ_ＩＤ’に含まれる要素ｃ＾_０及び要素ｃ_ｉとについて数１４５に示す演算を行い、要素ｚ’を計算する。復号部３５は、計算された要素ｚ’を用いて、メッセージｍ’：＝ｃ_Ｔ・（ｚ’）^−１を計算する。

ステップＳ４４からステップＳ４５の処理は、実施の形態１と同じである。

つまり、復号装置３０は、数１４６に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

数１４７に示すように、ステップＳ４３で暗号文ｃｔ_{ｔａｇ’，Γ}を復号鍵ｓｋ_{ｔａｇ，Ｓ}で復号可能である。

＊＊＊実施の形態４の効果＊＊＊
以上のように、実施の形態４に係る暗号システム１は、ＩＰＧを用いてＨＩＢＥ方式を実現する。ここで、鍵生成装置１０によって生成されるマスター秘密鍵ｓｋ：＝φ_ｔは、実施の形態１と同様に耐量子性を有している。そのため、量子計算機によってでも、マスター秘密鍵ｓｋが破られることがない。

実施の形態５．
実施の形態５では、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）について、楕円曲線を用いて具体的に説明する。

＊＊＊動作の説明＊＊＊
図１９を参照して、実施の形態５に係るＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）の処理を説明する。

（ステップＳ５１：要素生成処理）
マスター鍵生成部１４は、十分に大きい、奇素数ｐについての超楕円曲線Ｅ_０／Ｆ_ｐ２（ここで、ｐ２はｐ^２）をランダムに生成する。
マスター鍵生成部１４は、適切な（Ｌ^〜，κ）と、楕円曲線Ｅ_０の部分群から構成される位数ｒの非対称ペアリング群（Ｇ_０，Ｇ＾_０，Ｇ_Ｔ；ｅ_０）を生成する。ｅ_０は、楕円曲線Ｅ_０におけるヴェイユペアリングｅ_{ｗｅｉｌ，０}から、どのｈ_０∈Ｇ_０及びｈ＾_０∈Ｇ＾_０に対してもｅ_０（ｈ_０，ｈ＾_０）：＝ｅ_{ｗｅｉｌ，０}（ｈ_０，ｈ＾_０）^Ψと定義される。Ψ＝（Ｌ^〜）^κである。
マスター鍵生成部１４は、群Ｇ_０から要素ｇ_０を一様に選択し、群Ｇ＾_０から要素ｇ＾_０を一様に選択する。

（ステップＳ５２：同種生成処理）
マスター鍵生成部１４は、アルゴリズムＩｓｏｇ_Ｌ〜，κ（Ｅ_０）を実行して、ｔ∈［ｄ］について、楕円曲線Ｅ_０と同種となる楕円曲線Ｅ_ｔと、楕円曲線Ｅ_０から楕円曲線Ｅ_ｔへの同種写像を計算するためのトラップドアξ_ｔとをランダムに生成する。アルゴリズムＩｓｏｇ_Ｌ〜，κ（Ｅ_０）として、図２０に示す非特許文献３に記載されたＩｓｏｇ_Ｌ〜，κ ^ｄｊｐアルゴリズムを用いることができる。また、アルゴリズムＩｓｏｇ_Ｌ〜，κ（Ｅ_０）として、図２１に示す非特許文献４，５に記載されたＩｓｏｇ_Ｌ〜，κ ^ｃｌｇアルゴリズムを用いることができる。

（ステップＳ５３：同種要素生成処理）
マスター鍵生成部１４は、ステップＳ５２で生成された楕円曲線Ｅ_ｔ及びトラップドアξ_ｔを用いて、φ_ｔ：＝φ_ξｔと、Ｇ_ｔ：＝φ_ｔ（Ｇ_０）及びＧ＾_ｔ：＝φ_ｔ（Ｇ＾_０）と、ｇ_ｔ：＝φ_ｔ（ｇ_０）及びｇ＾_ｔ：＝φ_ｔ（ｇ＾_０）と、ｈ_ｔ∈Ｇ_ｔ及びｈ＾_ｔ∈Ｇ＾_ｔに対してｅ_ｔ（ｈ_ｔ，ｈ＾_ｔ）：＝ｅ_{ｗｅｉｌ，ｔ}（ｈ_ｔ，ｈ＾_ｔ）と設定する。ここで、ｅ_{ｗｅｉｌ，ｔ}は、楕円曲線Ｅ_ｔにおけるヴェイユペアリングである。

（ステップＳ５４：要素出力処理）
マスター鍵生成部１４は、ステップＳ５１及びステップＳ５３で生成された（Ｇ_ｔ，Ｇ＾_ｔ，ｇ_ｔ，ｇ＾_ｔ，ｅ_ｔ）_{ｔ∈［０，ｄ］}，Ｇ_Ｔを公開パラメータｐｋ^ＩＰＧとし、（φ_ｔ）_{ｔ∈［ｄ］}に対する（ξ_ｔ）_{ｔ∈［ｄ］}をマスター秘密鍵ｓｋ^ＩＰＧとして出力する。

つまり、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）は、数１４８に示す通りである。

＊＊＊実施の形態５の効果＊＊＊
以上のように、実施の形態５に係る暗号システム１では、楕円曲線を用いてＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実現できる。

実施の形態６．
実施の形態１〜４では、記載を単純化し、理解を容易にするために、楕円曲線を用いた詳細な記載を省略した。実施の形態６では、楕円曲線を用いた具体的な構成について説明する。実施の形態６では、実施の形態１で説明したＩＢＥ方式と、実施の形態２で説明したＡＢＥ方式とについて説明する。
実施の形態３で説明したＡＢＥ方式と、実施の形態４で説明したＨＩＢＥ方式とについても、同様の方法により、楕円曲線を用いた具体的な構成とすることが可能である。

＊＊＊動作の説明＊＊＊
実施の形態１で説明したＩＢＥ方式について説明する。
Ｓｅｔｕｐアルゴリズムは、数１４９のようになる。

ＫｅｙＧｅｎアルゴリズムは、数１５０のようになる。

Ｅｎｃアルゴリズムは、数１５１のようになる。

Ｄｅｃアルゴリズムは、数１５２のようになる。

数１５３に示すように、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤで復号可能である。ここで、ｄｅｇ（φ_１）＝Ｌ^〜κである。

実施の形態２で説明したＡＢＥ方式について説明する。
Ｓｅｔｕｐアルゴリズムは、数１５４のようになる。

ＫｅｙＧｅｎアルゴリズムは、数１５５のようになる。

Ｅｎｃアルゴリズムは、数１５６のようになる。

Ｄｅｃアルゴリズムは、数１５７のようになる。

数１５８に示すように、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤで復号可能である。

＊＊＊実施の形態６の効果＊＊＊
以上のように、実施の形態６に係る暗号システム１では、楕円曲線を用いた具体的にＩＢＥ方式及びＡＢＥ方式を構成することができる。

実施の形態７．
実施の形態１〜６では、同種写像とペアリング演算とを用いて、ＩＰＧを構成した。しかし、同種写像に代えて、トラップドア準同型写像（以下、ＴＨ）を用いてＩＰＧを構成してもよい。

以下の３つの条件を満たす場合、素数位数ｑの２つのランダムに選択された巡回群Ｇ_０，Ｇ_１についての写像φ：＝φ_ξ：Ｇ_０→Ｇ_１がＴＨである。
（条件１：準同型写像）
写像φが自明でない準同型写像であること。自明でないとは、例えば、加法群に対して非ゼロであることである。
（条件２：ＴＨ−ＤＨ（ＴＨ−Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）の難治性仮定）
ランダムに選択された写像φと群Ｇ_０から一様に選択されたｇ_０，ｇについて、（ｇ_０，φ（ｇ_０），ｇ）が与えられた場合に、どんな確率的多項式時間マシンＢも無視し得る確率でしかφ（ｇ）を計算しないこと。
（条件３：多項式サイズのトラップドア）
φ：＝φ_ξについての多項式サイズのトラップドアξが与えられると、どんなｇ∈Ｇ_０に対してもφ（ｇ）を計算する確率的多項式時間マシンＢが存在すること。

楕円曲線を用いたＴＨの例として以下の３つがある。以下の３つの例において、群の肩に“〜”が付されている場合、その群はペアリング群である。
（例１：累乗法）
Ｇ_０：＝Ｇ_１：＝Ｇ^〜は、楕円曲線巡回群である。φ：＝φ_ξは、群Ｇにおける累乗法、つまり曲線上のスカラー乗法である。つまり、φ_ξ：ｇ→ｇ^ξである。ここで、ξはスカラーである。
（例２：ペアリング）
Ｇ_０：＝Ｇ^〜，Ｇ_１：＝Ｇ^〜 _Ｔは、ペアリング群である。φ：＝φ_ξは、Ｇ^〜上のペアリング演算である。つまり、φ_ξ：ｇ→ｅ（ｇ，ξ）である。ここで、ξは、対称ペアリングの場合の群Ｇ、又は、非対称ペアリングの場合の群Ｇ＾の要素である。
（例３：同種写像）
Ｇ_０：＝Ｇ^〜 _０，Ｇ_１：＝Ｇ^〜 _１は、それぞれ２つの曲線Ｅ，Ｅ’から得られる２つの異なる楕円曲線巡回群である。φ：＝φ_ξは、群Ｇ^〜 _０から群Ｇ^〜 _１への同種写像である。つまり、φ_ξ：Ｅ→Ｅ’：＝Ｅ／Ｃである。ここで、ξ：＝Ｃは、曲線Ｅの巡回部分群である。

１ 暗号システム、１０ 鍵生成装置、１１ プロセッサ、１２ 記憶装置、１３ 入出力インタフェース、１４ マスター鍵生成部、１５ 復号鍵生成部、１６ 鍵出力部、２０ 暗号化装置、２１ プロセッサ、２２ 記憶装置、２３ 入出力インタフェース、２４ 入力受付部、２５ 暗号文生成部、２６ 暗号文出力部、３０ 復号装置、３１ プロセッサ、３２ 記憶装置、３３ 入出力インタフェース、３４ 入力受付部、３５ 復号部、３６ メッセージ出力部。

Claims (16)

1. 同種写像とペアリング演算とによって対応付けられた複数の群を用いた暗号システムにおける暗号化装置であり、
   前記複数の群のうちのある群の暗号要素を含む暗号文を生成する暗号文生成部を備える暗号化装置。
2. 前記暗号システムは、群Ｇ_０と、前記群Ｇ_０と同種写像φ_ｔによって対応付けられた群Ｇ_ｔと、前記群Ｇ_０及び群Ｇ＾_０とペアリング演算ｅ_０によって対応付られるとともに、前記群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付られた群Ｇ_Ｔとを用いる
   請求項１に記載の暗号化装置。
3. 前記暗号文は、前記群Ｇ_０の要素と前記群Ｇ＾_０の要素とについて前記ペアリング演算ｅ_０を行うことにより生成された前記群Ｇ_Ｔの要素ｚを含む暗号要素ｃ_Ｔと、前記群Ｇ＾_ｔの要素である暗号要素ｃとを含む請求項２に記載の暗号化装置。
4. 前記暗号システムは、ｔ＝１の整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
   前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数１に示す要素ｃ，ｃ_Ｔを含む請求項３に記載の暗号化装置。
   

   
5. 前記暗号システムは、２以上の整数ｄに関してｔ＝０，．．．，ｄの整数ｔについての群Ｇ_ｔ及び群Ｇ＾_ｔを用い、
   前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数２に示す要素ｃ_ｔ，ｃ_Ｔを含む請求項３に記載の暗号化装置。
   

   
6. 前記暗号システムは、１以上の整数ｄ及び１以上の整数ｎに関してｔ＝０，．．．，ｄの整数ｔとｊ＝０，．．．，ｎの整数ｎとι＝０，１の整数ιとについての群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}を用い、
   前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数３に示す要素ｃ_ｔ，ｊ，ｃ_Ｔを含む請求項３に記載の暗号化装置。
   

   
7. 前記暗号システムは、ｔ＝１の整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
   前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数９に示す要素ｃ＾_０，ｃ_ｉ，ｃ_Ｔを含む請求項３に記載の暗号化装置。
   

   
8. 同種写像とペアリング演算とによって対応付けられた複数の群を用いた暗号システムにおける復号装置であり、
   前記複数の群のうちのある群の暗号要素を含む暗号文を、前記複数の群のうちの前記ある群とは異なる群の鍵要素を含む復号鍵を用いて復号する復号部
   を備える復号装置。
9. 前記暗号システムは、群Ｇ_０と、前記群Ｇ_０と同種写像φ_ｔによって対応付けられた群Ｇ_ｔと、前記群Ｇ_０及び群Ｇ＾_０とペアリング演算ｅ_０によって対応付られるとともに、前記群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付られた群Ｇ_Ｔとを用いる
   請求項８に記載の復号装置。
10. 前記暗号文は、前記群Ｇ_０の要素と前記群Ｇ＾_０の要素とについて前記ペアリング演算ｅ_０を行うことにより生成された前記群Ｇ_Ｔの要素ｚを含む暗号要素ｃ_Ｔと、前記群Ｇ＾_ｔの要素である暗号要素ｃとを含み、
    前記復号鍵は、前記群Ｇ_ｔの鍵要素ｋを含み、
    前記復号部は、前記鍵要素ｋと前記暗号要素ｃとについて前記ペアリング演算ｅ_ｔを行い要素ｚ’を計算し、計算された前記要素ｚ’と前記暗号要素ｃ_Ｔとを用いて前記暗号文を復号する
    請求項９に記載の復号装置。
11. 前記暗号システムは、ｔ＝１の整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
    前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数５に示す要素ｃ，ｃ_Ｔを含み、
    前記復号鍵は、前記鍵要素ｋとして、数６に示す要素ｈ_１を含み、
    前記復号部は、前記要素ｈ_１と前記要素ｃとについて、ペアリング演算ｅ_１を行い、前記暗号文を復号する
    請求項１０に記載の復号装置。
    

    

    
12. 前記暗号システムは、２以上の整数ｄに関してｔ＝０，．．．，ｄの整数ｔについての群Ｇ_ｔ及び群Ｇ＾_ｔを用い、
    前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数７に示す要素ｃ_ｔ，ｃ_Ｔを含み、
    前記復号鍵は、前記鍵要素ｋとして、数８に示す要素ｋ_ｉを含み、
    前記復号部は、前記要素ｃ_ｔと前記要素ｋ_ｉについて、数９に示すペアリング演算を行い、前記暗号文を復号する
    請求項１０に記載の復号装置。
    

    

    

    
13. 前記暗号システムは、１以上の整数ｄ及び１以上の整数ｎに関してｔ＝０，．．．，ｄの整数ｔとｊ＝０，．．．，ｎの整数ｎとι＝０，１の整数ιとについての群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}を用い、
    前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数１０に示す要素ｃ_ｔ，ｊ，ｃ_Ｔを含み、
    前記復号鍵は、前記鍵要素ｋとして、数１１に示す要素ｋ_ｉ，ｊを含み、
    前記復号部は、前記要素ｃ_ｔ，ｊと前記要素ｋ_ｉ，ｊについて、数１２に示すペアリング演算を行い、前記暗号文を復号する
    請求項１０に記載の復号装置。
    

    

    

    
14. 前記暗号システムは、ｔ＝１の整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
    前記暗号文は、前記暗号要素ｃ及び前記暗号要素ｃ_Ｔとして、数１３に示す要素ｃ＾_０，ｃ_ｉ，ｃ_Ｔを含み、
    前記復号鍵は、前記鍵要素ｋとして数１４に示す要素ｄ＾_ｉ，ｄ_ｊを含み、
    前記復号部は、前記要素ｃ＾_０，ｃ_ｉと前記要素ｄ＾_ｉ，ｄ_ｊについて、数１５に示すペアリング演算を行い、前記暗号文を復号する
    請求項１０に記載の復号装置。
    

    

    

    
15. 同種写像とペアリング演算とによって対応付けられた複数の群を用いた暗号システムであり、
    前記複数の群のうちのある群の暗号要素を含む暗号文を生成する暗号化装置と、
    前記複数の群のうちの前記ある群とは異なる群の鍵要素を含む復号鍵を用いて、前記暗号化装置によって生成された暗号文を復号する復号装置と
    を備える暗号システム。
16. 群Ｇ_０と、前記群Ｇ_０と準同型写像φ_ｔによって対応付けられた群Ｇ_ｔと、前記群Ｇ_０及び群Ｇ＾_０とペアリング演算ｅ_０によって対応付られるとともに、前記群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付られた群Ｇ_Ｔとを用いた暗号システムであり、
    前記群Ｇ_０の要素と、前記群Ｇ＾_０の要素とについて前記ペアリング演算ｅ_０を行うことにより生成された前記群Ｇ_Ｔの要素ｚを含む前記暗号要素ｃ_Ｔと、前記群Ｇ＾_ｔの要素である暗号要素ｃとを含む暗号文を生成する暗号化装置と、
    前記群Ｇ_ｔの鍵要素ｋを含む復号鍵を用いて、前記鍵要素ｋと前記暗号要素ｃとについて前記ペアリング演算ｅ_ｔを行い要素ｚ’を計算し、計算された前記要素ｚ’と前記暗号要素ｃ_Ｔとを用いて前記暗号文を復号する復号装置と
    を備える暗号システム。

Images