JP2021111910A

JP2021111910A - 鍵交換システム、情報処理装置、鍵交換方法及びプログラム

Info

Publication number: JP2021111910A
Application number: JP2020003857A
Authority: JP
Inventors: 裕樹岡野; Hiroki Okano; 美郷中林; Misato Nakabayashi; 鉄太郎小林; Tetsutaro Kobayashi; 啓造村上; Keizo Murakami; 一樹米山; Kazuki Yoneyama
Original assignee: Nippon Telegraph and Telephone Corp; Ibaraki University NUC
Current assignee: Nippon Telegraph and Telephone Corp; Ibaraki University NUC
Priority date: 2020-01-14
Filing date: 2020-01-14
Publication date: 2021-08-02
Anticipated expiration: 2040-01-14
Also published as: JP7292648B2

Abstract

【課題】非同期型のＩＤベース多者間鍵交換プロトコルを提供する。【解決手段】第１端末１１と、同一グループに属する１以上の第２端末１２１〜１２ｎと、第１端末と第２端末間でグループ鍵交換を補助する補助サーバ２０と、を含む鍵交換システム１であって、第１端末は、補助サーバで生成の公開鍵を用い、グループ鍵生成の生成鍵と該生成鍵を暗号化した暗号文とを生成の第１生成手段と、生成鍵を用いグループ鍵生成の第２生成手段と、暗号文を暗号化又はサインクリプション情報を生成する第３生成手段とを有する。補助サーバは、第１端末生成の事前計算鍵を用い、第３生成手段生成の情報を再暗号化した情報を生成する第４生成手段を有する。第２端末は、第４生成手段で生成の情報を復号して暗号文を生成する第５生成手段と、暗号文を補助サーバで復号して得た生成鍵を用い、グループ鍵を生成する第６生成手段とを有する。【選択図】図１

Description

本発明は、鍵交換システム、情報処理装置、鍵交換方法及びプログラムに関する。

近年、グループでの会話ができるコミュニケーションツールの普及に伴い、多者間で効率よく鍵交換を行う多者間鍵交換技術に注目が集まっている。多者間鍵交換技術の１つとして、ＩＤ−ＤＭＫＤと呼ばれるプロトコルが知られている（非特許文献１参照）。ＩＤ−ＤＭＫＤは同期型の多者間鍵交換プロトコルであり、サーバを中心としたスター型の通信ネットワーク上でユーザ同士がやり取りを行い、効率よく鍵の共有を行う技術である。また、ＩＤ−ＤＭＫＤはＩＤベースの鍵交換プロトコルであるため、公開鍵基盤が不要であるという特徴もある。

Kazuki YONEYAMA, Reo YOSHIDA, Yuto KAWAHARA, Tetsutaro KOBAYASHI, Hitoshi FUJI, Tomohide YAMAMOTO, "Exposure-Resilient Identity-Based Dynamic Multi-Cast Key Distribution", IEICE Transactions on Fundamentals of Electronics, Communications and Computer Sciences 2018 E101.A-6, pp929-944, 2018.

しかしながら、ＩＤ−ＤＭＫＤは同期型のプロトコルであるため、グループ内のユーザ全員がオンラインである必要がある。このため、適用できるアプリケーションが限られていた。

本発明の一実施形態は、上記の点に鑑みてなされたもので、非同期型のＩＤベース多者間鍵交換プロトコルを実現することを目的とする。

上記目的を達成するため、一実施形態に係る鍵交換システムは、第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムであって、前記第１の端末は、前記補助サーバで生成された公開鍵を用いて、前記グループ鍵を生成するための生成鍵と該生成鍵を暗号化した暗号文とを生成する第１の生成手段と、前記生成鍵を用いて、前記グループ鍵を生成する第２の生成手段と、前記暗号文を暗号化又はサインクリプションした情報を生成する第３の生成手段と、を有し、前記補助サーバは、前記第１の端末で事前に計算された事前計算鍵を用いて、前記第３の生成手段で生成された情報を再暗号化した情報を生成する第４の生成手段、を有し、前記第２の端末は、前記第４の生成手段で生成された情報を復号して前記暗号文を生成する第５の生成手段と、前記暗号文を前記補助サーバで復号して得られた前記生成鍵を用いて、前記グループ鍵を生成する第６の生成手段と、を有することを特徴とする。

非同期型のＩＤベース多者間鍵交換プロトコルを実現することができる。

本実施形態に係る鍵交換システムの全体構成の一例を示す図である。コンピュータのハードウェア構成の一例を示す図である。本実施形態に係る鍵交換システムの機能構成の一例を示す図である。実施例１におけるセットアップ処理の一例を示すフローチャートである。実施例１における事前計算処理の一例を示すシーケンス図である。実施例１における鍵交換処理の一例を示すシーケンス図である。実施例２におけるセットアップ処理の一例を示すフローチャートである。実施例２における事前計算処理の一例を示すシーケンス図である。実施例２における鍵交換処理の一例を示すシーケンス図である。

以下、本発明の一実施形態について説明する。本実施形態では、非同期型のＩＤベース多者間鍵交換プロトコルを実現する鍵交換システム１について説明する。非同期型の多者間鍵交換プロトコルでは、鍵（グループ鍵）の交換を行う際にグループ内の全員がオンラインである必要がない。このため、非同期型のＩＤベース多者間鍵交換プロトコルは、同期的なアプリケーション（例えば、電話やＶＰＮ（Virtual Private Network）、オンラインチャット等）だけでなく、例えば、メールやファイル共有、オフラインチャット等の非同期的なアプリケーションにも適用することができる。なお、グループとは、鍵交換を行うユーザの集合のことである。

また、上述したように、ＩＤベースで鍵交換プロトコルを実現することにより、公開鍵基盤が不要となる。このため、ユーザと公開鍵とを公開鍵基盤で紐付けたり、ユーザが証明書管理を行ったりすること等が不要となる。

なお、非同期型の多者間鍵交換プロトコルの従来技術として、以下の参考文献１に記載されている技術が知られている。

［参考文献１］
Colin Boyd, Gareth T. Davies, Kristian Gjosteen, Yao Jiang, "Offline Assisted Group Key Exchange", International Conference on Information Security 2018, volume 11060 of LNCS, pp.268-285, Springer, 2018.
しかしながら、この方式では、グループオーナーであるユーザは他のグループユーザ数の分だけ公開鍵暗号による暗号化と署名を実行しなければならないため、計算量・通信回数がグループユーザ数に比例してしまう。

上記の参考文献１に記載されている多者間鍵交換プロトコルは公開鍵ベースである（つまり、公開鍵基盤が必要となる）。公開鍵暗号方式をＩＤベース暗号方式に置き換えることでＩＤベースの非同期多者間鍵交換プロトコルが実現できるが、安全性の面で問題が生じる。非特許文献１では、KGC（Generation Center）と補助サーバ間の運用主体が一体であるような、両者の秘密情報が互いに共有されている状況であっても、ユーザ間で生成したグループ鍵を一切知ることができないように設計されていた。しかし、参考文献１の方式で単純にＩＤベース暗号方式を適用する場合では、KGCと補助サーバ間の運用主体が一体であると、グループ鍵が自明に計算されてしまう。このため、非特許文献１で達成されている上記の安全性と同等の安全性を担保することが必要である。

＜全体構成＞
まず、本実施形態に係る鍵交換システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る鍵交換システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る鍵交換システム１には、複数の通信端末１０と、鍵交換補助サーバ２０と、鍵生成サーバ３０とが含まれる。また、各通信端末１０と、鍵交換補助サーバ２０と、鍵生成サーバ３０とは、例えば、インターネット等の通信ネットワークＮを介して通信可能に接続される。

通信端末１０は、グループ鍵の交換を行うユーザが利用する各種端末である。通信端末１０としては、例えば、ＰＣ（パーソナルコンピュータ）やスマートフォン、タブレット端末、電話機等を用いることが可能である。ただし、これらに限られず、通信端末１０として、任意の端末を用いることが可能である。

本実施形態では、グループの作成者（つまり、鍵交換を開始するユーザ）を「イニシエータ」、当該グループに属する他のユーザを「レスポンダ」と呼び、イニシエータが利用する通信端末１０を「イニシエータ端末１１」、レスポンダが利用する通信端末１０を「レスポンダ端末１２」とも表す。また、レスポンダ端末１２はｎ台（ｎは１以上の整数）であるものとして、各レスポンダ端末１２の各々を区別する場合には「レスポンダ端末１２_ｉ」（ｉ＝１，・・・，ｎ）と表す。なお、イニシエータは、例えば、「グループオーナー」等と称されてもよい。

鍵交換補助サーバ２０は、通信端末１０の間での鍵交換を補助するサーバ装置である。鍵交換補助サーバ２０は、例えば、イニシエータ端末１１やレスポンダ端末１２でグループ鍵を生成するための公開鍵を生成したり、イニシエータ端末１１やレスポンダ端末１２とのセッションを識別するセッションＩＤを生成したりする。なお、グループ鍵は「セッション鍵」と称されることもある。以降では、グループ鍵をセッション鍵と表す。

鍵生成サーバ３０は、KGCとして機能するサーバ装置である。鍵生成サーバ３０は、例えば、公開パラメータやマスター秘密鍵を生成したり、通信端末１０や鍵交換補助サーバ２０のＩＤに対応する部分公開鍵や部分秘密鍵を生成したりする。ここで、ＩＤとは、各通信端末１０やそのユーザ、鍵交換補助サーバ２０を識別する識別情報のことである。各通信端末１０と鍵交換補助サーバ２０にはＩＤが事前に割り振られているものとする。

なお、ＩＤとしては任意の識別情報を使用することができるが、例えば、ユーザのメールアドレス、ＳＮＳ（Social Networking Service）のユーザＩＤ、電話番号、住所、氏名、マイナンバー、ＤＮＡ等の生体情報、ＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレス、ＵＲＬ（Uniform Resource Locator）、クレジットカード番号、機器や装置の製造固有番号等を使用することが可能である。

＜非同期型のＩＤベース多者間鍵交換プロトコルの概要＞
ここで、本実施形態に係る非同期型ＩＤベース多者間鍵交換プロトコルの概要について説明する。なお、本実施形態に係る非同期型ＩＤベース多者間鍵交換プロトコルは、後述するように、証明書不要署名方式（CS: Certificateless Signature）と、プロキシ再暗号化付き証明書不要サインクリプション方式（CSPRE: Certificateless Signcryption with Proxy Re-Encryption）又は証明書不要プロキシ再暗号化方式（CPRE: Certificateless Proxy Re-Encryption）とを用いて構成される。そこで、本実施形態に係る非同期型ＩＤベース多者間鍵交換プロトコルを証明書不要非同期多者間鍵交換プロトコル（CAGKE: Certificateless Asynchronous Group Key Exchange Protocol）と呼ぶことにする。

CAGKEにおけるプロトコル参加者は、通信端末１０、鍵交換補助サーバ２０及び鍵生成サーバ３０である。以降では、全ての通信端末１０の集合（つまり、全ユーザの集合）をWとして、通信端末１０をU∈W、鍵交換補助サーバ２０をSとも表記する。また、通信端末１０とそのユーザとを同一視して、通信端末１０をユーザとも表す。更に、イニシエータであるユーザをI、レスポンダであるユーザをi∈{1, …, n}とも表す。なお、１台の通信端末１０を複数のユーザが利用している場合は、これらのユーザ同士は異なるユーザ（例えば、U₁,U₂∈W）として区別される。

CAGKEにおけるプロトコルセットアップは、以下の５つのアルゴリズム（CAGKE.Setup, CAGKE.PKeyExt, CAGKE.SetSV, CAGKE.SetSSK, CAGKE.SetSPK）で構成される。これらのアルゴリズムのうち、CAGKE.Setup及びCAGKE.PKeyExtの２つのアルゴリズムは鍵生成サーバ３０が実行し、CAGKE.SetSV, CAGKE.SetSSK及びCAGKE.SetSPKの３つのアルゴリズムは通信端末１０及び鍵交換補助サーバ２０が実行する。

CAGKE.Setup(1^κ)→(params, msk)：セキュリティパラメータ1^κを入力として、公開パラメータparamsとマスター秘密鍵mskとを出力する確率的アルゴリズム。

CAGKE.PKeyExt(params msk, ID)→(ppk_ID, psk_ID)：公開パラメータparamsとマスター秘密鍵mskと自身（つまり、通信端末１０又は鍵交換補助サーバ２０）のＩＤ IDとを入力として、このＩＤに対応する部分公開鍵ppk_IDと部分秘密鍵psk_IDとを出力する確率的アルゴリズム。

CAGKE.SetSV(params, ID)→sv_ID：公開パラメータparamsと自身のＩＤ IDとを入力として、このＩＤに対応する秘密値sv_IDを出力する確率的アルゴリズム。

CAGKE.SetSSK(params, psk_ID, sv_ID)→ssk_ID：公開パラメータparamsと部分秘密鍵psk_IDと秘密値sv_IDとを入力として、自身のＩＤに対応する長期秘密鍵ssk_IDを出力する確率的アルゴリズム。

CAGKE.SetSPK(params, ppk_ID, sv_ID)→spk_ID：公開パラメータparamsと部分公開鍵ppk_IDと秘密値sv_IDとを入力として、長期公開鍵spk_IDを出力する確率的アルゴリズム。

上記のセットアップにより、各通信端末１０は、自身のＩＤ IDに対応する長期秘密鍵及び長期公開鍵のペア(ssk_ID, spk_ID)を得る。同様に、鍵交換補助サーバ２０も、自身のＩＤ IDに対応する長期秘密鍵及び長期公開鍵のペア(ssk_ID, spk_ID)を得る。

なお、以降では、通信端末１０を表すUと、この通信端末１０のＩＤ IDとを同一視する。同様に、鍵交換補助サーバ２０を表すSと、そのＩＤ IDとを同一視する。これにより、例えば、Uの長期秘密鍵及び長期公開鍵のペア(ssk_ID, spk_ID)は(ssk_U, spk_U)と表される。同様に、例えば、Sの長期秘密鍵及び長期公開鍵のペア(ssk_ID, spk_ID)は(ssk_S, spk_S)と表される。

次に、各通信端末１０（各U∈W）は、他の通信端末１０の公開鍵{spk_V}_V∈Wを使って、鍵交換前に以下の事前計算アルゴリズムCAGKE.PreCompを実行する。

CAGKE.PreComp(params, ssk_U, spk_U, {spk_V}_V∈W＼{U})→precomp_U,W
この事前計算アルゴリズムCAGKE.PreCompの出力precomp_U,Wは、鍵交換補助サーバ２０に保存される。このように、各通信端末１０は、鍵交換前に、他の通信端末１０の数に計算量が比例する事前計算アルゴリズムを１回実行する。

続いて、各通信端末１０は鍵交換補助サーバ２０と複数回通信を行い、セッション鍵keyを生成する。この通信が行なわれる中で、鍵交換補助サーバ２０は、precomp_U,Wを用いる。これにより、複数の通信端末１０間で、このセッション鍵keyを用いた暗号化通信を行うことが可能になる。

ここで、各通信端末１０と鍵交換補助サーバ２０には、セッション毎にインスタンスが割り当てられるものとする。インスタンスとは、メモリ上に展開されたデータ集合のことである。例えば、同一の通信端末１０を複数のユーザで利用する場合には、ユーザ毎に異なるインスタンスが割り当てられる。

各通信端末１０のs∈N番目のインスタンスをπ_U ^sと表記することにする。同様に、鍵交換補助サーバ２０のs∈N番目のインスタンスをπ_S ^sと表記することになる。これらの各インスタンスで扱う変数は、インスタンスの実行状態status∈{unused, active, accepted, rejected}、役割role∈{initiator, receiver}、セッション参加ユーザpid⊆W、セッションＩＤ sid、一時秘密鍵esk, セッション鍵keyである。ここで、インスタンスの初期の実行状態はunusedであり、セッション開始時に、各通信端末１０や鍵交換補助サーバ２０は、インスタンスを呼び出して、その実行状態をactiveにする。また、セッション鍵keyが生成された場合、その後、インスタンスの実行状態をacceptedにする。一方で、セッション鍵keyの生成に失敗した場合は、インスタンスの実行状態をrejectedにする。

なお、２つのユーザU,V∈Wのインスタンスπ_U ^s及びπ_V ^s´がパートナーであるとは、セッション参加ユーザpidとセッションＩＤ sidとが等しいときを言う。これは、２つのユーザU,Vが同一グループに属しており、共にオンラインであることを意味している。鍵交換補助サーバ２０のインスタンスについても同様である。

＜ハードウェア構成＞
次に、本実施形態に係る鍵交換システム１に含まれる通信端末１０、鍵交換補助サーバ２０及び鍵生成サーバ３０のハードウェア構成について説明する。通信端末１０、鍵交換補助サーバ２０及び鍵生成サーバ３０は一般的なコンピュータ（情報処理装置）のハードウェア構成により実現可能であり、例えば、図２に示すコンピュータ５００のハードウェア構成により実現可能である。図２は、コンピュータ５００のハードウェア構成の一例を示す図である。

図２に示すコンピュータ５００は、ハードウェアとして、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これら各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。

入力装置５０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置５０２は、例えば、ディスプレイ等である。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ５０３は、外部装置とのインタフェースである。外部装置には、記録媒体５０３ａ等がある。なお、記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ５０４は、通信ネットワークＮに接続するためのインタフェースである。プロセッサ５０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。メモリ装置５０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

本実施形態に係る鍵交換システム１に含まれる通信端末１０、鍵交換補助サーバ２０及び鍵生成サーバ３０は、例えば、図２に示すコンピュータ５００のハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２に示すコンピュータ５００のハードウェア構成は一例であって、他のハードウェア構成であってもよい。例えば、コンピュータ５００は、複数のプロセッサ５０５を有していてもよいし、複数のメモリ装置５０６を有していてもよい。

＜機能構成＞
次に、本実施形態に係る鍵交換システム１に含まれる通信端末１０、鍵交換補助サーバ２０及び鍵生成サーバ３０の機能構成について、図３を参照しながら説明する。図３は、本実施形態に係る鍵交換システム１の機能構成の一例を示す図である。

≪通信端末１０≫
図３に示すように、通信端末１０は、セットアップ部１１１と、事前計算部１１２と、鍵交換部１１３とを有する。これら各部は、例えば、通信端末１０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、通信端末１０は、記憶部１２１を有する。記憶部１２１は、例えば、通信端末１０のメモリ装置等を用いて実現可能である。

記憶部１２１には、各種情報（例えば、長期秘密鍵及び長期公開鍵のペア(ssk_U, spk_U)やインスタンスπ_U ^s等）が記憶される。

セットアップ部１１１は、セットアップ処理を実行する。すなわち、セットアップ部１１１は、CAGKE.SetSV, CAGKE.SetSSK及びCAGKE.SetSPKを実行する。

事前計算部１１２は、事前計算処理を実行する。すなわち、事前計算部１１２は、CAGKE.PreCompを実行する。

鍵交換部１１３は、鍵交換補助サーバ２０と複数回通信を行うことで、セッション鍵keyを生成する。

≪鍵交換補助サーバ２０≫
図３に示すように、鍵交換補助サーバ２０は、セットアップ部２１１と、鍵交換部２１２とを有する。これら各部は、例えば、鍵交換補助サーバ２０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、鍵交換補助サーバ２０は、記憶部２２１を有する。記憶部２２１は、例えば、鍵交換補助サーバ２０のメモリ装置等を用いて実現可能である。

記憶部２２１には、各種情報（例えば、長期秘密鍵及び長期公開鍵のペア(ssk_S, spk_S)や各通信端末１０で計算された事前計算結果precomp_U,W等）が記憶される。

セットアップ部２１１は、セットアップ処理を実行する。すなわち、セットアップ部２１１は、CAGKE.SetSV, CAGKE.SetSSK及びCAGKE.SetSPKを実行する。

鍵交換部２１２は、通信端末１０と複数回通信を行うことで、セッション鍵keyの生成に必要な情報を生成し、当該通信端末１０に送信する。

≪鍵生成サーバ３０≫
図３に示すように、鍵生成サーバ３０は、セットアップ部３１１を有する。セットアップ部３１１は、例えば、鍵生成サーバ３０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、鍵生成サーバ３０は、記憶部３２１を有する。記憶部３２１は、例えば、鍵生成サーバ３０のメモリ装置等を用いて実現可能である。

記憶部３２１は、各種情報（例えば、マスター秘密鍵msk等）が記憶される。セットアップ部３１１は、セットアップ処理を実行する。すなわち、セットアップ部３１１は、CAGKE.Setup及びCAGKE.PKeyExtを実行する。

［実施例１］
以降では、実施例１について説明する。実施例１では、ブラインド鍵カプセル化メカニズム（BKEM（Blinded Key Encapsulation Mechanism））と証明書不要署名方式（CS）とプロキシ再暗号化付き証明書不要サインクリプション方式（CSPRE）とを用いてCAGKEを構成する場合について説明する。

＜準備＞
CAGKEの構成について説明する前に、以下、ブラインド鍵カプセル化メカニズム（BKEM）と証明書不要署名方式（CS）とプロキシ再暗号化付き証明書不要サインクリプション方式（CSPRE）とについて説明する。

・ブラインド鍵カプセル化メカニズム（BKEM）
ブラインド鍵カプセル化メカニズムは、以下の５つのアルゴリズム（BKEM.KeyGen, BKEM.Encap, BKEM.Blind, BKEM.Decap, BKEM.Unblind）で構成される。

BKEM.KeyGen(r₁)→(ek, dk)：乱数r₁を入力として、公開鍵ekと秘密鍵dkとを出力する確定的アルゴリズム。

BKEM.Encap(ek, r₂)→(C, k)：公開鍵ekと乱数r₂とを入力として、暗号文Cと鍵kとを出力する確定的アルゴリズム。

：公開鍵ekと暗号文Cと乱数r₃とを入力として、ブラインドされた暗号文

を出力する確定的アルゴリズム。なお、以降、明細書のテキスト中では、Xがブラインドされていることを「^~X」と表す。

BKEM.Decap(dk, ^~C)→^~k：秘密鍵dkとブラインドされた暗号文^~Cとを入力として、ブラインドされた鍵^~kを出力する確定的アルゴリズム。

BKEM.Unblind(r₃, ^~k)→k：乱数r₃とブラインドされた鍵^~kとを入力として、鍵kを出力する確定的アルゴリズム。

なお、ブラインド鍵カプセル化メカニズムの詳細については、例えば、以下の参考文献２等を参照されたい。

［参考文献２］
Boyd, C., Davies, G.T., Gjosteen, K., Jiang, Y.: Offline assisted group key exchange. Cryptology ePrint Archive, Report 2018/114 (2018).
・証明書不要署名方式（CS）
証明書不要署名方式は、以下の７つのアルゴリズム（CS.Setup, CS.PKeyExt, CS.SetSV, CS.SetSK, CS.SetPK, CS.Sign, CS.Verify）で構成される。

CS.Setup(1^κ)→(params, msk)：セキュリティパラメータ1^κを入力として、公開パラメータparamsとマスター秘密鍵mskとを出力する確率的アルゴリズム。

CS.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)：公開パラメータparamsとマスター秘密鍵mskとＩＤ IDとを入力として、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを出力する確率的アルゴリズム。

CS.SetSV(params, ID)→sv_ID：公開パラメータparamsとＩＤ IDとを入力として、秘密値sv_IDを出力する確率的アルゴリズム。

CS.SetSK(params, psk_ID, sv_ID)→sk_ID：公開パラメータparamsと部分秘密鍵psk_IDと秘密値sv_IDとを入力として、秘密鍵sk_IDを出力する確率的アルゴリズム。

CS.SetPK(params, ppk_ID, sv_ID)→pk_ID：公開パラメータparamsと部分公開鍵ppk_IDと秘密値sv_IDとを入力として、公開鍵pk_IDを出力する確率的アルゴリズム。

CS.Sign(params, ID, sk_ID, m)→σ:公開パラメータparamsとＩＤ IDと秘密鍵sk_IDとメッセージmとを入力として、署名σを出力する確率的アルゴリズム。

CS.Verify(params, ID, pk_ID, m, σ)→1/0：公開パラメータparamsとＩＤ IDと公開鍵pk_IDとメッセージmと署名σとを入力として、検証成功を表す１又は検証失敗を表す０のいずれかを出力する確定的アルゴリズム。

なお、証明書不要署名方式の詳細については、例えば、以下の参考文献３等を参照されたい。

［参考文献３］
Yum, D.H., Lee, P.J.: Generic Construction of Certificateless Signature. In: Wang, H., Pieprzyk, J., Varadharajan, V. (eds.) ACISP 2004. LNCS, vol. 3108, pp. 200-211. Springer, Heidelberg (2004)
・プロキシ再暗号化付き証明書不要サインクリプション方式（CSPRE）
プロキシ再暗号化付き証明書不要サインクリプション方式は、以下の１０のアルゴリズム（CSPRE.Setup, CSPRE.PKeyExt, CSPRE.SetSV, CSPRE.SetSK, CSPRE.SetPK, CSPRE.RKGen, CSPRE.Signcrypt, CSPRE.ReSigncrypt, CSPRE.DeSigncrypt₁, CSPRE.DeSigncrypt₂）で構成される。

CSPRE.Setup(1^κ)→(params, msk)：セキュリティパラメータ1^κを入力として、公開パラメータparamsとマスター秘密鍵mskとを出力する確率的アルゴリズム。

CSPRE.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)：公開パラメータparamsとマスター秘密鍵mskとＩＤ IDとを入力として、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを出力する確率的アルゴリズム。

CSPRE.SetSV(params, ID)→sv_ID：公開パラメータparamsとＩＤ IDとを入力として、秘密値sv_IDを出力する確率的アルゴリズム。

CSPRE.SetSK(params, psk_ID, sv_ID)→sk_ID：公開パラメータparamsと部分秘密鍵psk_IDと秘密値sv_IDとを入力として、秘密鍵sk_IDを出力する確率的アルゴリズム。

CSPRE.SetPK(params, ppk_ID, sv_ID)→pk_ID：公開パラメータparamsと部分公開鍵ppk_IDと秘密値sv_IDとを入力として、公開鍵pk_IDを出力する確率的アルゴリズム。

CSPRE.RKGen(params, ID_A, sk_A, pk_A, ID_B, pk_B)→rk_A→B：公開パラメータparamsと委任者（delegator）のＩＤ ID_Aと委任者の秘密鍵sk_Aと委任者の公開鍵pk_Aと受任者（delegatee）のＩＤ ID_Bと受任者の公開鍵pk_Bとを入力として、再暗号化鍵rk_A→Bを出力する確率的アルゴリズム。

CSPRE.Signcrypt(params, ID_I, sk_I, pk_I, ID_i, pk_i, m)→σ_I,i：公開パラメータparamsとイニシエータIのＩＤ ID_IとイニシエータIの秘密鍵sk_IとイニシエータIの公開鍵pk_IとレスポンダiのＩＤ ID_iとレスポンダiの公開鍵pk_iと平文mとを入力として、サインクリプションσ_I,iを出力する確率的アルゴリズム。

CSPRE.ReSigncrypt(params, rk_i→i', σ_i)→σ'_i,i'：公開パラメータparamsと再暗号化鍵rk_i→i'とサインクリプションσ_iとを入力として、サインクリプションσ'_i,i'を出力する確率的アルゴリズム。

CSPRE.DeSigncrypt₁(params, ID_I, pk_I, sk_i, σ_I,i)→m/⊥：公開パラメータparamsとイニシエータIのＩＤ ID_IとイニシエータIの公開鍵pk_Iとレスポンダiの秘密鍵sk_iとレスポンダiのサインクリプションσ_I,iとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

CSPRE.DeSigncrypt₂(params, ID_I, pk_I, sk_i, σ'_I,i)→m/⊥：公開パラメータparamsとイニシエータIのＩＤ ID_IとイニシエータIの公開鍵pk_Iとレスポンダiの秘密鍵sk_iとレスポンダiのサインクリプションσ'_I,iとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

ここで、プロキシ再暗号化付き証明書不要サインクリプション方式は、正当性として以下の２つの条件を満たす。

条件１：任意の公開パラメータparamsと任意のイニシエータIのＩＤ ID_Iと当該ＩＤに対応する任意の秘密鍵sk_I及び公開鍵pk_Iと任意のレスポンダiのＩＤ ID_iと当該ＩＤに対応する任意の秘密鍵sk_i及び公開鍵pk_iと任意の平文mとに対して、
CSPRE.DeSigncrypt₁(params, ID_I, pk_I, sk_i, CSPRE.Signcrypt(params, ID_I, sk_I, pk_I, ID_i, pk_i, m))=m
が成り立つ。

条件２：任意の公開パラメータparamsと任意のイニシエータIのＩＤ ID_Iと当該ＩＤに対応する任意の秘密鍵sk_I及び公開鍵pk_Iと任意の２つのレスポンダi及びi'のＩＤ ID_i及びID_i'とこれらのＩＤにそれぞれ対応する任意の秘密鍵sk_i及びsk_i'並びに公開鍵pk_i及びpk_i'と任意の再暗号化鍵rk_i→i'と任意の平文mとに対して、
CSPRE.DeSigncrypt₂(params, ID_I, pk_I, sk_i', CSPRE.ReSigncrypt(params, rk_i→i', CSPRE.Signcrypt(params, ID_I, sk_I, pk_I, ID_i, pk_i, m)))=m
が成り立つ。

なお、プロキシ再暗号化付き証明書不要サインクリプション方式の詳細については、例えば、以下の参考文献４等を参照されたい。

［参考文献４］
Emmanuel Ahene, Junfeng Dai, Hao Feng, Fagen Li: A certificateless signcryption with proxy re-encryption for practical access control in cloud-based reliable smart grid. Telecommunication Systems April 2019, Volume 70, Issue 4, pp 491-510.
＜実施例１におけるCAGKE＞
以上で説明したブラインド鍵カプセル化メカニズム（BKEM）と証明書不要署名方式（CS）とプロキシ再暗号化付き証明書不要サインクリプション方式（CSPRE）とを用いて、実施例１におけるCAGKEのセットアップ処理、事前計算処理及び鍵交換処理を以下のように構成する。

≪実施例１におけるセットアップ処理≫
実施例１におけるセットアップ処理について、図４を参照しながら説明する。図４は、実施例１におけるセットアップ処理の一例を示すフローチャートである。

ステップＳ１０１：鍵生成サーバ３０のセットアップ部３１１は、CAGKE.Setupを実行して、公開パラメータparamsとマスター秘密鍵mskとを生成する。すなわち、セットアップ部３１１は、CAGKE.Setup(1^κ)を実行することで、以下により公開パラメータparamsとマスター秘密鍵mskとを生成する。

まず、セットアップ部３１１は、(params^CS, msk^CS)←CS.Setup(1^κ)と(params^CSPRE, msk^CSPRE)←CSPRE.Setup(1^κ)とを実行する。そして、セットアップ部３１１は、msk=(msk^CS, msk^CSPRE)、params=(params^CS, params^CSPRE, tPRF, KDF, H₁, H₂, H₃)とする。ここで、tPRF：{0, 1}^κ×Kspace_κ ²×{0, 1}^κはねじれ疑似ランダム関数（twisted PRF）、KDFは鍵導出関数（key derivation function）、H₁, H₂, H₃はそれぞれ衝突困難ハッシュ関数（collision resistance hash function）である。なお、Kspace_κは鍵空間である。

なお、公開パラメータparamsは記憶部３２１に保存されると共に公開される。一方で、マスター秘密鍵mskは記憶部３２１に保存される。

ステップＳ１０２：次に、鍵生成サーバ３０のセットアップ部３１１は、各通信端末１０及び鍵交換補助サーバ２０それぞれのＩＤを用いてCAGKE.PKeyExtを実行して、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを生成する。すなわち、セットアップ部３１１は、各ＩＤを用いてCAGKE.PKeyExt(params msk, ID)を実行することで、以下により各ＩＤのそれぞれに対応する部分公開鍵ppk_IDと部分秘密鍵psk_IDとを生成する。

まず、セットアップ部３１１は、(ppk_ID ^CS, psk_ID ^CS)←CS.PKeyExt(params^CS, msk^CS, ID)と(ppk_ID ^CSPRE, psk_ID ^CSPRE)←CSPRE.PKeyExt(params^CSPRE, msk^CSPRE, ID)とを実行する。そして、セットアップ部３１１は、ppk_ID=(ppk_ID ^CS, ppk_ID ^CSPRE)、psk_ID=(psk_ID ^CS, psk_ID ^CSPRE)とする。

なお、部分公開鍵ppk_IDは記憶部３２１に保存されると共に公開される。一方で、部分秘密鍵psk_IDは、この部分秘密鍵psk_IDの生成に用いたＩＤに対応する通信端末１０又は鍵交換補助サーバ２０に対してセキュアな方法で送信される。

ステップＳ１０３：各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSVを実行して、このＩＤに対応する秘密値sv_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSV(params, ID)を実行することで、以下により当該ＩＤに対応する秘密値sv_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、sv_ID ^CS←CS.SetSV(params^CS, ID)とsv_ID ^CSPRE←CSPRE.SetSV(params^CSPRE, ID)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、sv_ID=(sv_ID ^CS, sv_ID ^CSPRE)とする。

なお、セットアップ部１１１により生成された秘密値sv_IDは記憶部１２１に保存される。一方で、セットアップ部２１１により生成された秘密値sv_IDは記憶部２２１に保存される。

ステップＳ１０４：次に、各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSSKを実行して、このＩＤに対応する長期秘密鍵ssk_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSSK(params, psk_ID, sv_ID)を実行して、以下により当該ＩＤに対応する長期秘密鍵ssk_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、sk_ID ^CS←CS.SetSK(params^CS, psk_ID ^CS, sv_ID ^CS)とsk_ID ^CSPRE←CSPRE.SetSK(params^CSPRE, psk_ID ^CSPRE, sv_ID ^CSPRE)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、ssk_ID=(sk_ID ^CS, sk_ID ^CSPRE)とする。

なお、セットアップ部１１１により生成された長期秘密鍵ssk_IDは記憶部１２１に保存される。一方で、セットアップ部２１１により生成され長期秘密鍵ssk_IDは記憶部２２１に保存される。

ステップＳ１０５：次に、各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSPKを実行して、このＩＤに対応する長期公開鍵spk_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSPK(params, ppk_ID, sv_ID)を実行して、以下により当該ＩＤに対応する長期公開鍵spk_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、pk_ID ^CS←CS.SetPK(params^CS, ppk_ID ^CS, sv_ID ^CS)とpk_ID ^CSPRE←CSPRE.SetPK(params^CSPRE, ppk_ID ^CSPRE, sv_ID ^CSPRE)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、spk_ID=(pk_ID ^CS, sv_ID ^CSPRE)とする。

なお、セットアップ部１１１により生成された長期公開鍵spk_IDは記憶部１２１に保存される。一方で、セットアップ部２１１により生成され長期公開鍵spk_IDは記憶部２２１に保存される。

≪実施例１における事前計算処理≫
実施例１における事前計算処理について、図５を参照しながら説明する。図５は、実施例１における事前計算処理の一例を示すシーケンス図である。

ステップＳ２０１：まず、各通信端末１０の事前計算部１１２は、CAGKE.PreCompを実行して、precomp_U,Wを計算する。すなわち、事前計算部１１２は、自身のＩＤ ID_Uに対する長期秘密鍵ssk_U及び長期公開鍵spk_Uと、他の通信端末１０の長期公開鍵{spk_V}_V∈W＼{U}とを用いてCAGKE.PreComp(params, ssk_U, spk_U, {spk_V}_V∈W＼{U})を実行して、以下によりprecomp_U,Wを計算する。

まず、事前計算部１１２は、任意のV∈W＼{U}に対して、rk_U→V←CSPRE.RKGen(params^CSPRE, ID_U, sk_U ^CSPRE, pk_U ^CSPRE, ID_V, pk_V ^CSPRE)を実行する。そして、事前計算部１１２は、precomp_U,W={(ID_V, rk_U→V)}_V∈W＼{U}とする。ID_Vは、任意の他の通信端末１０を表すVのＩＤである。なお、以降では、任意のUと任意のV∈W＼{U}とに対して、(ID_V, rk_U→V)をprecomp_U,Vとも表す。

ステップＳ２０２：各通信端末１０の事前計算部１１２は、事前計算結果であるprecomp_U,Wを鍵交換補助サーバ２０に送信する。

ステップＳ２０３：鍵交換補助サーバ２０は、各通信端末１０から事前計算結果precomp_U,Wを受信すると、これらの事前計算結果precomp_U,Wを記憶部２２１に保存する。

≪実施例１における鍵交換処理≫
実施例１における鍵交換処理について、図６を参照しながら説明する。図６は、実施例１における鍵交換処理の一例を示すシーケンス図である。

なお、図６では、ユーザ集合G⊆Wでセッションを確立するものとする。また、イニシエータであるユーザをI∈G、レスポンダであるユーザをi∈{1, …, n}とする。なお、G={I, 1, …, n}である。更に、イニシエータIのインスタンスをπ_I ^ξ、レスポンダiのインスタンスをπ_i ^η、鍵交換補助サーバ２０（つまり、S）のインスタンスをπ_S ^ζとする。

ステップＳ３０１：イニシエータ端末１１の鍵交換部１１３は、以下により各種情報の生成を行う。

まず、イニシエータ端末１１の鍵交換部１１３は、セッション参加ユーザをpid_I ^ξ={I, 1, …, n}とする。次に、イニシエータ端末１１の鍵交換部１１３は、乱数Rand_I∈{0, 1}^κを任意に生成した上で、メッセージmsg₁:=(Rand_I, pid:= pid_I ^ξ)として、署名σ₁←CS.Sign(params^CS, ID_I, sk_I ^CS, msg₁)を生成する。

ステップＳ３０２：イニシエータ端末１１の鍵交換部１１３は、(Rand_I, pid, σ₁)を鍵交換補助サーバ２０に送信する。

ステップＳ３０３：鍵交換補助サーバ２０の鍵交換部２１２は、イニシエータ端末１１から(Rand_I, pid, σ₁)を受信すると、以下により検証及び各種情報の生成を行う。

まず、鍵交換補助サーバ２０の鍵交換部２１２は、CS.Verify(params^CS, ID_I, pk_I ^CS, msg₁=(Rand_I, pid), σ₁)を実行して検証を行う。そして、鍵交換補助サーバ２０の鍵交換部２１２は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、鍵交換補助サーバ２０の鍵交換部２１２は、r_S∈Kspace_κとr'_S∈{0, 1}^κを一様ランダムに生成した上で、(ek, dk)←BKEM.KeyGen(tPRF(H₁(ssk_S), H₂(ssk_S,) r_S, r'_S))を計算する。次に、鍵交換補助サーバ２０の鍵交換部２１２は、メッセージmsg₂:=(Rand_I, pid, ek)として、署名σ₂←CS.Sign(params^CS, ID_S, sk_S ^CS, msg₂)を生成する。

そして、鍵交換補助サーバ２０の鍵交換部２１２は、一時秘密鍵としてesk_S ^ζ:=(r_S, r'_S)をセットし、(sid, ID_I, pid, esk_S ^ζ, T=φ)をセッションリストとして記憶部２２１に保存する。なお、Tには、現時点でセッションに参加しているレスポンダのＩＤが格納される。

ステップＳ３０４：鍵交換補助サーバ２０の鍵交換部２１２は、(ek, σ₂)をイニシエータ端末１１に送信する。

ステップＳ３０５：イニシエータ端末１１の鍵交換部１１３は、鍵交換補助サーバ２０から(ek, σ₂)を受信すると、以下により検証及びセッション鍵を含む各種情報の生成を行う。

まず、イニシエータ端末１１の鍵交換部１１３は、CS.Verify(params^CS, ID_S, pk_S ^CS, msg₂=(Rand_I, pid, ek), σ₂)を実行して検証を行う。そして、イニシエータ端末１１の鍵交換部１１３は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、イニシエータ端末１１の鍵交換部１１３は、sid:=H₃(ID_I, Rand_I, pid_I ^ξ, ek)を計算する。また、イニシエータ端末１１の鍵交換部１１３は、r_I∈Kspace_κとr'_I∈{0, 1}^κを一様ランダムに生成した上で、一時秘密鍵としてesk_I ^ξ:=(r_I, r'_I)をセットする。

次に、イニシエータ端末１１の鍵交換部１１３は、(C, k)←BKEM.Encap(ek, tPRF(H₁(ssk_I), H₂(ssk_I,) r_I, r'_I))を計算した後、セッション鍵key_I ^ξ:=KDF('1', k, sid)と鍵検証値τ_I ^ξ:=KDF('2', k, sid)とを計算する。そして、イニシエータ端末１１の鍵交換部１１３は、メッセージmsg₃:=(C, ek, τ_I ^ξ, sid, pid)として、サインクリプションσ_I,I←CSPRE.Signcrypt(params^CSPRE, ID_I, sk_I ^CSPRE, pk_I ^CSPRE, ID_I, pk_I ^CSPRE, msg₃)と署名σ₄←CS.Sign(params^CS, ID_I, sk_I ^CS, msg₄:=(σ_I,I, sid))とを生成する。

ステップＳ３０６：イニシエータ端末１１の鍵交換部１１３は、(sid, σ_I,I, σ₄)を鍵交換補助サーバ２０に送信し、インスタンスの実行状態をacceptedにする。

なお、上記のステップＳ３０５ではイニシエータIのみが復号できるサインクリプションσ_I,Iを生成しているが、これに限られず、例えば、いずれかのレスポンダiが復号できるサインクリプションσ_I,iを生成してもよい。

ステップＳ３０７：鍵交換補助サーバ２０の鍵交換部２１２は、イニシエータ端末１１から(sid, σ_I,I, σ₄)を受信すると、以下により検証及び各種情報の生成を行う。

まず、鍵交換補助サーバ２０の鍵交換部２１２は、CS.Verify(params^CS, ID_I, pk_I ^CS, msg₄=(σ_I,I, sid), σ₄)を実行して検証を行う。そして、鍵交換補助サーバ２０の鍵交換部２１２は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダi∈G＼{I}に対して、記憶部２２１からprecomp_I,i（つまり、(ID_i, rk_I→i)）を取り出して、再暗号化サインクリプションσ'_I,i←CSPRE.ReSigncrypt(params^CSPRE, rk_I→i, σ_I,I)と署名σ₅←CS.Sign(params^CS, ID_S, sk_S ^CS, msg₅:=(ID_I, sid, σ'_I,i))とを生成する。

ステップＳ３０８：鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダiのレスポンダ端末１２がオンラインになった場合、(ID_I, sid, σ'_I,i, σ₅)を当該レスポンダ端末１２に送信する。

ステップＳ３０９：レスポンダ端末１２の鍵交換部１１３は、(ID_I, sid, σ'_I,i, σ₅)を受信すると、以下により検証及び各種情報の生成を行う。

まず、レスポンダ端末１２の鍵交換部１１３は、CS.Verify(params^CS, ID_S, pk_S ^CS, msg₅=(ID_I, sid, σ'_I,i), σ₅)を実行して検証を行う。そして、レスポンダ端末１２の鍵交換部１１３は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、レスポンダ端末１２の鍵交換部１１３は、(C, ek, τ_I ^ξ, sid, pid)←CSPRE.DeSigncrypt₂(params^CSPRE, ID_I, pk_I ^CSPRE, sk_i ^CSPRE, σ'_I,i)によりサインクリプションσ'_I,iを復号する。次に、レスポンダ端末１２の鍵交換部１１３は、r_i∈Kspace_κとr'_i∈{0, 1}^κを一様ランダムに生成した上で、ブラインドされた暗号文^~C←BKEM.Blind(ek, C, tPRF(H₁(ssk_i), H₂(ssk_i), r_i, r'_i))を計算する。そして、レスポンダ端末１２の鍵交換部１１３は、署名σ₆←CS.Sign(params^CS, ID_i, sk_i ^CS, msg₆:=(sid, ek, ^~C))を生成する。

ステップＳ３１０：レスポンダ端末１２の鍵交換部１１３は、(sid, ^~C, σ₆)を鍵交換補助サーバ２０に送信する。

ステップＳ３１１：鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダ端末１２から(sid, ^~C, σ₆)を受信すると、以下により検証、各種情報の生成及びセッションリストの更新を行う。

まず、鍵交換補助サーバ２０の鍵交換部２１２は、sidをキーとしてセッションリストから一時秘密鍵esk_S ^ζ=(r_S, r'_S)を取り出し、(ek, dk)←BKEM.KeyGen(tPRF(H₁(ssk_S), H₂(ssk_S,) r_S, r'_S))を計算する。次に、鍵交換補助サーバ２０の鍵交換部２１２は、CS.Verify(params^CS, ID_i, pk_i ^CS, msg₆=(sid, ek,^~C), σ₆)を実行して検証を行う。そして、鍵交換補助サーバ２０の鍵交換部２１２は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、鍵交換補助サーバ２０の鍵交換部２１２は、「ID_i∈pid」及び「ID_i∈Tでない」の両方が成り立つかを検証し、いずれかが成り立たない場合は処理を終了する。上記の両方が成り立つ場合は、鍵交換補助サーバ２０の鍵交換部２１２は、ブラインドされた鍵^~k←BKEM.Decap(dk, ^~C)と署名σ₇←CS.Sign(params^CS, ID_S, sk_S ^CS, msg₇:=(sid, ek, ^~k))とを生成する。

ステップＳ３１２：鍵交換補助サーバ２０の鍵交換部２１２は、(sid, ^~k, σ₇)をレスポンダ端末１２に送信すると共に、T':=T∪{ID_i}として、セッションリスト中のTをT'に更新する。

ステップＳ３１３：レスポンダ端末１２の鍵交換部１１３は、鍵交換補助サーバ２０から(sid, ^~k, σ₇)を受信すると、以下により検証及びセッション鍵の生成を行う。

まず、レスポンダ端末１２の鍵交換部１１３は、CS.Verify(params^CS, ID_S, pk_S ^CS, msg₇=(sid, ek, ^~k), σ₇)を実行して検証を行う。そして、レスポンダ端末１２の鍵交換部１１３は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、レスポンダ端末１２の鍵交換部１１３は、鍵k←BKEM.Unblind(tPRF(H₁(ssk_i), H₂(ssk_i), r_i, r'_i), ^~k)を計算した後、セッション鍵key_i ^η:=KDF('1', k, sid)と鍵検証値τ_i ^η:=KDF('2', k, sid)とを計算する。そして、レスポンダ端末１２の鍵交換部１１３は、τ_I ^ξ=τ_i ^ηであるかを検証し、この検証結果が正しければインスタンスの実行状態をacceptedにする。これにより、各U∈Gの間でセッション鍵keyが共有される。

［実施例２］
以降では、実施例２について説明する。実施例２では、ブラインド鍵カプセル化メカニズム（BKEM）と証明書不要署名方式（CS）と証明書不要プロキシ再暗号化方式（CPRE）とを用いてCAGKEを構成する場合について説明する。なお、実施例２では、実施例１と同様の構成要素については、その説明を省略する。

＜準備＞
CAGKEの構成について説明する前に、以下、証明書不要プロキシ再暗号化方式（CPRE）について説明する。

・証明書不要プロキシ再暗号化方式（CPRE）
証明書不要プロキシ再暗号化方式（CPRE）は、以下の１０のアルゴリズム（CPRE.Setup, CPRE.PKeyExt, CPRE.SetSV, CPRE.SetSK, CPRE.SetPK, CPRE.RKGen, CPRE.Enc, CPRE.ReEnc, CPRE.Dec₁, CPRE.Dec₂）で構成される。

CPRE.Setup(1^κ)→(params, msk)：セキュリティパラメータ1^κを入力として、公開パラメータparamsとマスター秘密鍵mskとを出力する確率的アルゴリズム。

CPRE.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)：公開パラメータparamsとマスター秘密鍵mskとＩＤ IDとを入力として、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを出力する確率的アルゴリズム。

CPRE.SetSV(params, ID)→sv_ID：公開パラメータparamsとＩＤ IDとを入力として、秘密値sv_IDを出力する確率的アルゴリズム。

CPRE.SetSK(params, psk_ID, sv_ID)→sk_ID：公開パラメータparamsと部分秘密鍵psk_IDと秘密値sv_IDとを入力として、秘密鍵sk_IDを出力する確率的アルゴリズム。

CPRE.SetPK(params, ppk_ID, sv_ID)→pk_ID：公開パラメータparamsと部分公開鍵ppk_IDと秘密値sv_IDとを入力として、公開鍵pk_IDを出力する確率的アルゴリズム。

CPRE.RKGen(params, ID_A, sk_A, pk_A, ID_B, pk_B)→rk_A→B：公開パラメータparamsと委任者（delegator）のＩＤ ID_Aと委任者の秘密鍵sk_Aと委任者の公開鍵pk_Aと受任者（delegatee）のＩＤ ID_Bと受任者の公開鍵pk_Bとを入力として、再暗号化鍵rk_A→Bを出力する確率的アルゴリズム。

CPRE.Enc(params, ID_i, pk_i, m)→c_i：公開パラメータparamsとレスポンダiのＩＤ ID_iとレスポンダiの公開鍵pk_iと平文mとを入力として、暗号文c_iを出力する確率的アルゴリズム。

CPRE.ReEnc(params, rk_i→i', c_i)→c'_i'：公開パラメータparamsと再暗号化鍵rk_i→i'と暗号文c_iとを入力として、暗号文c'_i'を出力する確率的アルゴリズム。

CPRE.Dec₁(params, sk_i, c_i)→m/⊥：公開パラメータparamsとレスポンダiの秘密鍵sk_iと暗号文c_iとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

CPRE.Dec₂(params, sk_i, c'_i)→m/⊥：公開パラメータparamsとレスポンダiの秘密鍵sk_iと暗号文c'_iとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

証明書不要プロキシ再暗号化方式は、正当性として以下の２つの条件を満たす。

条件１：任意の公開パラメータparamsと任意のレスポンダiのＩＤ ID_iと当該ＩＤに対応する任意の秘密鍵sk_i及び公開鍵pk_iと任意の平文mとに対して、
CPRE.Dec₁(params, sk_i, CPRE.Enc(params, ID_i, pk_i, m))=m
が成り立つ。

条件２：任意の公開パラメータparamsと任意の２つのレスポンダi及びi'のＩＤ ID_i及びID_i'とこれらのＩＤにそれぞれ対応する任意の秘密鍵sk_i及びsk_i'並びに公開鍵pk_i及びpk_i'と任意の再暗号化鍵rk_i→i'と任意の平文mとに対して、
CPRE.Dec₂(params, sk_i', CPRE.ReEnc(params, rk_i→i', CPRE.Enc(params, ID_i, pk_i, m)))=m
が成り立つ。

なお、証明書不要プロキシ再暗号化方式の詳細については、例えば、以下の参考文献５等を参照されたい。

［参考文献５］
Kang Yang, Jing Xu, and Zhenfeng Zhang: Certificateless Proxy Re-Encryption Without Pairings, Lecture Notes in Computer Science, 8565, 67-88.
＜実施例２におけるCAGKE＞
以上で説明したブラインド鍵カプセル化メカニズム（BKEM）と証明書不要署名方式（CS）と証明書不要プロキシ再暗号化方式（CPRE）とを用いて、実施例２におけるCAGKEのセットアップ処理、事前計算処理及び鍵交換処理を以下のように構成する。

≪実施例２におけるセットアップ処理≫
実施例２におけるセットアップ処理について、図７を参照しながら説明する。図７は、実施例２におけるセットアップ処理の一例を示すフローチャートである。

ステップＳ４０１：鍵生成サーバ３０のセットアップ部３１１は、CAGKE.Setupを実行して、公開パラメータparamsとマスター秘密鍵mskとを生成する。すなわち、セットアップ部３１１は、CAGKE.Setup(1^κ)を実行することで、以下により公開パラメータparamsとマスター秘密鍵mskとを生成する。

まず、セットアップ部３１１は、(params^CS, msk^CS)←CS.Setup(1^κ)と(params^CPRE, msk^CPRE)←CPRE.Setup(1^κ)とを実行する。そして、セットアップ部３１１は、msk=(msk^CS, msk^CPRE)、params=(params^CS, params^CPRE, tPRF, KDF, H₁, H₂, H₃)とする。

ステップＳ４０２：次に、鍵生成サーバ３０のセットアップ部３１１は、各通信端末１０及び鍵交換補助サーバ２０それぞれのＩＤを用いてCAGKE.PKeyExtを実行して、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを生成する。すなわち、セットアップ部３１１は、各ＩＤを用いてCAGKE.PKeyExt(params msk, ID)を実行することで、以下により各ＩＤのそれぞれに対応する部分公開鍵ppk_IDと部分秘密鍵psk_IDとを生成する。

まず、セットアップ部３１１は、(ppk_ID ^CS, psk_ID ^CS)←CS.PKeyExt(params^CS, msk^CS, ID)と(ppk_ID ^CPRE, psk_ID ^CPRE)←CPRE.PKeyExt(params^CPRE, msk^CPRE, ID)とを実行する。そして、セットアップ部３１１は、ppk_ID=(ppk_ID ^CS, ppk_ID ^CPRE)、psk_ID=(psk_ID ^CS, psk_ID ^CPRE)とする。

ステップＳ４０３：各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSVを実行して、このＩＤに対応する秘密値sv_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSV(params, ID)を実行することで、以下により当該ＩＤに対応する秘密値sv_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、sv_ID ^CS←CS.SetSV(params^CS, ID)とsv_ID ^CPRE←CPRE.SetSV(params^CPRE, ID)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、sv_ID=(sv_ID ^CS, sv_ID ^CPRE)とする。

ステップＳ４０４：次に、各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSSKを実行して、このＩＤに対応する長期秘密鍵ssk_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSSK(params, psk_ID, sv_ID)を実行して、以下により当該ＩＤに対応する長期秘密鍵ssk_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、sk_ID ^CS←CS.SetSK(params^CS, psk_ID ^CS, sv_ID ^CS)とsk_ID ^CPRE←CPRE.SetSK(params^CPRE, psk_ID ^CPRE, sv_ID ^CPRE)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、ssk_ID=(sk_ID ^CS, sk_ID ^CPRE)とする。

ステップＳ４０５：次に、各通信端末１０のセットアップ部１１１及び鍵交換補助サーバ２０のセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSPKを実行して、このＩＤに対応する長期公開鍵spk_IDを生成する。すなわち、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いてCAGKE.SetSPK(params, ppk_ID, sv_ID)を実行して、以下により当該ＩＤに対応する長期公開鍵spk_IDを生成する。

まず、セットアップ部１１１及びセットアップ部２１１は、自身のＩＤを用いて、pk_ID ^CS←CS.SetPK(params^CS, ppk_ID ^CS, sv_ID ^CS)とpk_ID ^CPRE←CPRE.SetPK(params^CPRE, ppk_ID ^CPRE, sv_ID ^CPRE)とを実行する。そして、セットアップ部１１１及びセットアップ部２１１は、spk_ID=(pk_ID ^CS, sv_ID ^CPRE)とする。

≪実施例２における事前計算処理≫
実施例２における事前計算処理について、図８を参照しながら説明する。図８は、実施例２における事前計算処理の一例を示すシーケンス図である。

ステップＳ５０１：まず、各通信端末１０の事前計算部１１２は、CAGKE.PreCompを実行して、precomp_U,Wを計算する。すなわち、事前計算部１１２は、自身のＩＤ ID_Uに対する長期秘密鍵ssk_U及び長期公開鍵spk_Uと、他の通信端末１０の長期公開鍵{spk_V}_V∈W＼{U}とを用いてCAGKE.PreComp(params, ssk_U, spk_U, {spk_V}_V∈W＼{U})を実行して、以下によりprecomp_U,Wを計算する。

まず、事前計算部１１２は、任意のV∈W＼{U}に対して、rk_U→V←CPRE.RKGen(params^CPRE, ID_U, sk_U ^CPRE, pk_U ^CPRE, ID_V, pk_V ^CPRE)を実行する。そして、事前計算部１１２は、precomp_U,W={(ID_V, rk_U→V)}_V∈W＼{U}とする。

ステップＳ５０２：各通信端末１０の事前計算部１１２は、事前計算結果であるprecomp_U,Wを鍵交換補助サーバ２０に送信する。

ステップＳ５０３：鍵交換補助サーバ２０は、各通信端末１０から事前計算結果precomp_U,Wを受信すると、これらの事前計算結果precomp_U,Wを記憶部２２１に保存する。

≪実施例２における鍵交換処理≫
実施例２における鍵交換処理について、図９を参照しながら説明する。図９は、実施例２における鍵交換処理の一例を示すシーケンス図である。

ステップＳ６０１：イニシエータ端末１１の鍵交換部１１３は、以下により各種情報の生成を行う。

ステップＳ６０２：イニシエータ端末１１の鍵交換部１１３は、(Rand_I, pid, σ₁)を鍵交換補助サーバ２０に送信する。

ステップＳ６０３：鍵交換補助サーバ２０の鍵交換部２１２は、イニシエータ端末１１から(Rand_I, pid, σ₁)を受信すると、以下により検証及び各種情報の生成を行う。

そして、鍵交換補助サーバ２０の鍵交換部２１２は、一時秘密鍵としてesk_S ^ζ:=(r_S, r'_S)をセットし、(sid, ID_I, pid, esk_S ^ζ, T=φ)をセッションリストとして記憶部２２１に保存する。

ステップＳ６０４：鍵交換補助サーバ２０の鍵交換部２１２は、(ek, σ₂)をイニシエータ端末１１に送信する。

ステップＳ６０５：イニシエータ端末１１の鍵交換部１１３は、鍵交換補助サーバ２０から(ek, σ₂)を受信すると、以下により検証及びセッション鍵を含む各種情報の生成を行う。

次に、イニシエータ端末１１の鍵交換部１１３は、(C, k)←BKEM.Encap(ek, tPRF(H₁(ssk_I), H₂(ssk_I,) r_I, r'_I))を計算した後、セッション鍵key_I ^ξ:=KDF('1', k, sid)と鍵検証値τ_I ^ξ:=KDF('2', k, sid)とを計算する。そして、イニシエータ端末１１の鍵交換部１１３は、メッセージmsg₃:=(C, ek, τ_I ^ξ, sid, pid)として、暗号文c_I←CPRE.Enc(params^CPRE, ID_I, pk_I ^CPRE, msg₃)と署名σ₄←CS.Sign(params^CS, ID_I, sk_I ^CS, msg₄:=(c_I, sid))とを生成する。

ステップＳ６０６：イニシエータ端末１１の鍵交換部１１３は、(sid, c_I, σ₄)を鍵交換補助サーバ２０に送信し、インスタンスの実行状態をacceptedにする。

なお、上記のステップＳ６０５ではイニシエータIのみが復号できる暗号文を生成しているが、これに限られず、例えば、いずれかのレスポンダiが復号できる暗号文c_iを生成してもよい。

ステップＳ６０７：鍵交換補助サーバ２０の鍵交換部２１２は、イニシエータ端末１１から(sid, c_I, σ₄)を受信すると、以下により検証及び各種情報の生成を行う。

まず、鍵交換補助サーバ２０の鍵交換部２１２は、CS.Verify(params^CS, ID_I, pk_I ^CS, msg₄=(c_I, sid), σ₄)を実行して検証を行う。そして、鍵交換補助サーバ２０の鍵交換部２１２は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダi∈G＼{I}に対して、記憶部２２１からprecomp_I,i（つまり、(ID_i, rk_I→i)）を取り出して、再暗号化c'_i←CPRE.ReEnc(params^CPRE, rk_I→i, c_I)と署名σ₅←CS.Sign(params^CS, ID_S, sk_S ^CS, msg₅:=(ID_I, sid, c'_i))とを生成する。

ステップＳ６０８：鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダiのレスポンダ端末１２がオンラインになった場合、(ID_I, sid, c'_i, σ₅)を当該レスポンダ端末１２に送信する。

ステップＳ６０９：レスポンダ端末１２の鍵交換部１１３は、(ID_I, sid, c'_i, σ₅)を受信すると、以下により検証及び各種情報の生成を行う。

まず、レスポンダ端末１２の鍵交換部１１３は、CS.Verify(params^CS, ID_S, pk_S ^CS, msg₅=(ID_I, sid, c'_i), σ₅)を実行して検証を行う。そして、レスポンダ端末１２の鍵交換部１１３は、検証失敗を表す０が出力された場合は処理を終了する。

一方で、検証成功を表す１が出力された場合は、レスポンダ端末１２の鍵交換部１１３は、(C, ek, τ_I ^ξ, sid, pid)←CPRE.Dec₂(params^CPRE, sk_i ^CPRE, c'_i)により暗号文c'_iを復号する。次に、レスポンダ端末１２の鍵交換部１１３は、r_i∈Kspace_κとr'_i∈{0, 1}^κを一様ランダムに生成した上で、ブラインドされた暗号文^~C←BKEM.Blind(ek, C, tPRF(H₁(ssk_i), H₂(ssk_i), r_i, r'_i))を計算する。そして、レスポンダ端末１２の鍵交換部１１３は、署名σ₆←CS.Sign(params^CS, ID_i, sk_i ^CS, msg₆:=(sid, ek, ^~C))を生成する。

ステップＳ６１０：レスポンダ端末１２の鍵交換部１１３は、(sid, ^~C, σ₆)を鍵交換補助サーバ２０に送信する。

ステップＳ６１１：鍵交換補助サーバ２０の鍵交換部２１２は、レスポンダ端末１２から(sid, ^~C, σ₆)を受信すると、以下により検証、各種情報の生成及びセッションリストの更新を行う。

ステップＳ６１２：鍵交換補助サーバ２０の鍵交換部２１２は、(sid, ^~k, σ₇)をレスポンダ端末１２に送信すると共に、T':=T∪{ID_i}として、セッションリスト中のTをT'に更新する。

ステップＳ６１３：レスポンダ端末１２の鍵交換部１１３は、鍵交換補助サーバ２０から(sid, ^~k, σ₇)を受信すると、以下により検証及びセッション鍵の生成を行う。

＜まとめ＞
以上のように、本実施形態に係る鍵交換システム１は、非同期のＩＤベース多者間鍵交換プロトコルを実現することができる。このとき、本実施形態に係る鍵交換システム１では、プロキシ再暗号化付き証明書不要サインクリプション方式又は証明書不要プロキシ再暗号化方式を用いて、非同期のＩＤベース多者間鍵交換プロトコルを実現する。これにより、例えば、鍵交換補助サーバ２０と鍵生成サーバ３０とが同一の事業者によって運営されているような場合であっても、グループ鍵（セッション鍵）を当該事業者に知られることなく、エンドツーエンドの暗号化を実現することが可能となる。

また、本実施形態に係る鍵交換システム１では、各ユーザは再暗号化鍵を事前に計算した上で鍵交換補助サーバ２０に登録しておく。そして、本実施形態に係る鍵交換システム１は、グループ鍵生成時に、鍵交換補助サーバ２０は署名暗号化された鍵（グループ鍵を生成するための鍵）を再暗号化して各ユーザ（各レスポンダ）に配布する。これにより、各ユーザは、事前計算を１回行う必要があるが、グループ鍵生成時の計算及び通信コストはグループ内のユーザ数には依存しなくなる。したがって、グループの規模に制限なく、効率よく鍵共有が可能になる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１鍵交換システム
１０通信端末
１１イニシエータ端末
１２レスポンダ端末
２０鍵交換補助サーバ
３０鍵生成サーバ
１１１セットアップ部
１１２事前計算部
１１３鍵交換部
１２１記憶部
２１１セットアップ部
２１２鍵交換部
２２１記憶部
３１１セットアップ部
３２１記憶部
Ｎ通信ネットワーク

Claims

第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムであって、
前記第１の端末は、
前記補助サーバで生成された公開鍵を用いて、前記グループ鍵を生成するための生成鍵と該生成鍵を暗号化した暗号文とを生成する第１の生成手段と、
前記生成鍵を用いて、前記グループ鍵を生成する第２の生成手段と、
前記暗号文を暗号化又はサインクリプションした情報を生成する第３の生成手段と、を有し、
前記補助サーバは、
前記第１の端末で事前に計算された事前計算鍵を用いて、前記第３の生成手段で生成された情報を再暗号化した情報を生成する第４の生成手段、を有し、
前記第２の端末は、
前記第４の生成手段で生成された情報を復号して前記暗号文を生成する第５の生成手段と、
前記暗号文を前記補助サーバで復号して得られた前記生成鍵を用いて、前記グループ鍵を生成する第６の生成手段と、
を有することを特徴とする鍵交換システム。
前記第３の生成手段は、
証明書不要プロキシ再暗号化方式によって前記暗号文を暗号化又はプロキシ再暗号化付き証明書不要サインクリプション方式によって前記暗号文をサインクリプションした情報を生成し、
前記第４の生成手段は、
前記事前計算鍵を用いて、前記証明書不要プロキシ再暗号化方式によって前記情報を再暗号化又は前記プロキシ再暗号化付き証明書不要サインクリプション方式によって前記情報を再暗号化した情報を生成する、ことを特徴とする請求項１に記載の鍵交換システム。
前記第１の端末は、
前記第１の端末のＩＤに対応する秘密鍵及び公開鍵と、前記１以上の第２の端末の各々のＩＤに対応する公開鍵とを用いて、前記第２の端末の各々に対応する事前計算鍵を計算する事前計算手段を有する、ことを特徴とする請求項１又は２に記載の鍵交換システム。
前記第４の生成手段は、
前記事前計算手段で計算された事前計算鍵の各々を用いて、前記事前計算鍵に対応する第２の端末で復号可能なように、前記第３の生成手段で生成された情報を再暗号化した情報を生成する、ことを特徴とする請求項３に記載の鍵交換システム。
第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末との間でグループ鍵の交換を補助する情報処理装置であって、
前記グループ鍵を生成するための生成鍵の暗号文を暗号化又はサインクリプションした第１の情報を前記第１の端末から受信すると、前記第１の端末で事前に計算された事前計算鍵を用いて、前記第１の情報を再暗号化した第２の情報を生成する第１の生成手段と
前記第１の生成手段で生成された第２の情報が前記第２の端末で復号して得られた前記第１の情報を受信すると、前記第１の情報を復号して生成鍵を生成する第２の生成手段と、
前記第２の生成手段で生成された生成鍵を前記第２の端末に送信する送信手段と、
を有することを特徴とする情報処理装置。
第１の端末と、前記第１の端末と同一グループに属する１以上の第２の端末と、前記第１の端末と前記第２の端末との間でグループ鍵の交換を補助する補助サーバとが含まれる鍵交換システムにおける鍵交換方法であって、
前記第１の端末が、
前記補助サーバで生成された公開鍵を用いて、前記グループ鍵を生成するための生成鍵と該生成鍵を暗号化した暗号文とを生成する第１の生成手順と、
前記生成鍵を用いて、前記グループ鍵を生成する第２の生成手順と、
前記暗号文を暗号化又はサインクリプションした情報を生成する第３の生成手順と、を実行し、
前記補助サーバが、
前記第１の端末で事前に計算された事前計算鍵を用いて、前記第３の生成手順で生成された情報を再暗号化した情報を生成する第４の生成手順、を実行し、
前記第２の端末が、
前記第４の生成手順で生成された情報を復号して前記暗号文を生成する第５の生成手順と、
前記暗号文を前記補助サーバで復号して得られた前記生成鍵を用いて、前記グループ鍵を生成する第６の生成手順と、
を実行することを特徴とする鍵交換方法。
コンピュータを、請求項１乃至４の何れか一項に記載の鍵交換システムに含まれる第１の端末、第２の端末又は補助サーバにおける各手段として機能させるためのプログラム。