JP2022057188A - 暗号化装置、復号装置、暗号化方法及び暗号化プログラム - Google Patents

Abstract

【課題】任意のＷＩＢＥからＭＤＲＥを構成できる暗号化装置、復号装置、暗号化方法及び暗号化プログラムを提供すること。【解決手段】暗号化装置１は、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化部１１と、ＭＤＲＥにおける次元毎の値に対応するビット列を結合した多次元ＩＤに基づいて秘密鍵を生成する鍵生成部１５と、次元毎に、設定された範囲に割り当てられたビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成部１２と、次元毎のワイルドカードＩＤ集合から１要素ずつ取り出して結合した多次元ワイルドカードＩＤを要素とした全組み合わせの集合を生成する多次元ＩＤ集合生成部１３と、多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化部１６と、を備える。【選択図】図１

Description

本発明は、多次元範囲暗号（Ｍｕｌｔｉ－Ｄｉｍｅｎｓｉｏｎａｌ Ｒａｎｇｅ Ｅｎｃｒｙｐｔｉｏｎ， ＭＤＲＥ）を構成する装置、方法及びプログラムに関する。

従来、指定された範囲に含まれる周期（あるいは数値）に対応する秘密鍵によってのみ復号が可能な時間指定暗号（Ｔｉｍｅ－Ｓｐｅｃｉｆｉｃ Ｅｎｃｒｙｐｔｉｏｎ， ＴＳＥ）の構成法が提案されている。
例えば、特許文献１及び非特許文献１では、任意のワイルドカードＩＤベース暗号（Ｗｉｌｄｃａｒｄｅｄ Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＷＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。
また、非特許文献２では、任意のＩＤベース暗号（Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ， ＩＢＥ）からＴＳＥを構成する一般的構成法が提案されている。

さらに、１次元のＴＳＥを多次元化したＭＤＲＥについて、非特許文献３では、既存の具体的な階層的ＩＤベース暗号（Ｈｉｅｒａｒｃｈｉｃａｌ ＩＢＥ， ＨＩＢＥ）方式の構成法を参考にした具体的なＭＤＲＥ方式の構成法が提案されている。

特願２０２０－１８５３０号明細書

M. Ishizaka and S. Kiyomoto. Time-specific encryption with constant size secret-keys secure under standard assumption. Cryptology ePrint Archive: Report 2020/595, 2020. K. G. Paterson and E. A. Quaglia. Time-specific encryption. In SCN 2010, volume 6280 of LNCS, pages 1-16. Springer, 2010. K. Kasamatsu, T. Matsuda, G. Hanaoka and H. Imai. Ciphertext policy multi-dimensional range encryption. In ICISC 2012, volume 7839 of LNCS, pages 247-261. Springer, 2012.

しかしながら、任意のＷＩＢＥからＭＤＲＥを構成する一般的構成法は提案されていなかった。また、非特許文献１で提案されているＴＳＥの構成法をＭＤＲＥに拡張することは難しく、多次元化はできていなかった。

本発明は、任意のＷＩＢＥからＭＤＲＥを構成できる暗号化装置、復号装置、暗号化方法及び暗号化プログラムを提供することを目的とする。

本発明に係る暗号化装置は、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化部と、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成部と、前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成部と、前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成部と、前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化部と、を備える。

前記暗号化装置は、前記多次元ＩＤ及び前記多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える変換部を備えてもよい。

前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当ててもよい。

前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当ててもよい。

前記次元毎の値に対して前記数値は、所定の数だけ巡回シフトさせて対応付けられてもよい。

前記ＩＤ集合生成部は、前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲に含まれる最も大きなブロックの始点において、前記範囲を分割し、分割された部分範囲毎に前記ワイルドカードＩＤ集合を生成してもよい。

前記ＩＤ集合生成部は、前記部分範囲毎に生成された集合の全体をカバーする前記ワイルドカードＩＤ集合を生成してもよい。

本発明に係る復号装置は、前記暗号化装置により生成された暗号文に用いられた多次元ワイルドカードＩＤのいずれかの条件に、前記秘密鍵により示される前記多次元ＩＤが合致する場合に、当該暗号文を、前記ワイルドカードＩＤベース暗号方式により復号する。

本発明に係る暗号化方法は、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化ステップと、多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成ステップと、前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成ステップと、前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成ステップと、前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化ステップと、をコンピュータが実行する。

本発明に係る暗号化プログラムは、前記暗号化装置としてコンピュータを機能させるためのものである。

本発明によれば、任意のＷＩＢＥからＭＤＲＥを構成できる。

第１の構成法を実現する暗号化装置の機能構成を示す図である。 ＷＩＢＥｔｏＭＤＲＥを構成する、セットアップアルゴリズム、鍵生成アルゴリズム、暗号化アルゴリズム、及び復号アルゴリズムの定義を示す図である。 ＩＢＥｔｏＴＳＥ_ＰＱに関する完全二分木を例示する図である。 アルゴリズムＣｏｖｅｒ_ｌの定義を示す図である。 二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅ_ｌ及びワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤ_ｌの定義を示す図である。 ＷＩＢＥ_ＩＫにより具体化されたＷＩＢＥｔｏＭＤＲＥ_ＰＱと、ＷＩＢＥ_ＢＧＰにより具体化されたＷＩＢＥｔｏＭＤＲＥ_ＰＱとを比較評価した図である。 第２の構成法を実現する暗号化装置の機能構成を示す図である。 関数φ_ｆの定義を示す図である。 一般化されたＭＤＲＥ方式ＷＩＢＥｔｏＭＤＲＥ_ｆの定義を示す図である。 二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌの定義を示す図である。 ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌ及びＩＫ．Ｄｉｖｉｄｅ_ｌの定義を示す図である。 ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ、ＩＫ．Ｆｏｒｍｅｒ_ｌ、及びＩＫ．Ｍｅｒｇｅ_ｌの定義を示す図である。 二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌを実行した際の入力と出力との対応関係を例示する図である。 クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌの実行例を示す図である。 分割アルゴリズムＩＫ．Ｄｉｖｉｄｅ_ｌの実行例を示す図である。 後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ、前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒ_ｌ、及び前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅ_ｌのそれぞれの実行後の状態を例示する図である。 二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。 ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}が使用する補助アルゴリズムＣｌａｓｓｉｆｙ_ｌ ^{ｇｅｎｅｒａｌ}及びＤｉｖｉｄｅ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。 ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}が使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ ^{ｇｅｎｅｒａｌ}、ＩＫ．Ｆｏｒｍｅｒ_ｌ ^{ｇｅｎｅｒａｌ}及びＩＫ．Ｍｅｒｇｅ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。 特定のパラメータの下での二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}の実行例を示す図である。

以下、本発明の実施形態の一例について説明する。
本実施形態は、多次元範囲暗号（ＭＤＲＥ）の構成法に関し、まず、ＭＤＲＥを説明した後、ワイルドカードＩＤベース暗号（ＷＩＢＥ）について説明する。

［多次元範囲暗号（ＭＤＲＥ）］
ＭＤＲＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。

まず、λ∈Ｎ（自然数）として、１^λは、秘密鍵長等を決定するセキュリティパラメータである。また、Ｄ∈Ｎは、総次元数を表す。各次元ｉ∈［１，Ｄ］に対して、自然数Ｔ_ｉ∈Ｎについて、［０，Ｔ_ｉ－１］は、総数値数を表す。

セットアップアルゴリズムＳｅｔｕｐは、（１^λ，Ｄ，Ｔ_１，…，Ｔ_Ｄ）を入力として受け取り、マスタ公開鍵ｍｐｋとマスタ秘密鍵ｍｓｋを出力する。このアルゴリズムの実行を、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，Ｄ，Ｔ_１，…，Ｔ_Ｄ）と表記する。平文空間Ｍは、マスタ公開鍵ｍｐｋにより一意に定まるものとする。
セットアップアルゴリズムは、信頼できる第三者機関（Ｔｒｕｓｔｅｄ Ａｕｔｈｏｒｉｔｙ， ＴＡ）により実行される。マスタ秘密鍵ｍｓｋは、ＴＡにより秘密裏に保持される。また、マスタ公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して暗黙的に入力される。

鍵生成アルゴリズムＫＧｅｎは、マスタ秘密鍵ｍｓｋとＤ個の数値Ｑ：＝（ｔ_１，…，ｔ_Ｄ）とを入力として受け取り、秘密鍵ｓｋ_Ｑを出力する。ただし、全てのｉ∈［１，Ｄ］について、ｔ_ｉ∈［０，Ｔ_ｉ－１］とする。このアルゴリズムの実行を、ｓｋ_Ｑ←ＫＧｅｎ（ｍｓｋ，ｔ_１，…，ｔ_Ｄ）と表記する。
この鍵生成アルゴリズムＫＧｅｎは、ｍｓｋを用いてＴＡにより実行される。生成された秘密鍵ｓｋ_Ｑは、所定の安全な手段により鍵の所有者に譲渡されるものとする。

暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、Ｄ個の範囲Ｒ：＝（［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］）を入力として受け取り、暗号文Ｃ_Ｒを出力する。ただし、全てのｉ∈［１，Ｄ］について、［Ｌ_ｉ∈［０，Ｔ_ｉ－１］∧Ｒ_ｉ∈［０，Ｔ_ｉ－１］］とする。このとき、各ｉ∈［１，Ｄ］について、Ｌ_ｉ≦Ｒ_ｉであれば、［Ｌ_ｉ，Ｒ_ｉ］は、集合｛Ｌ_ｉ，Ｌ_ｉ＋１，…，Ｒ_ｉ－１，Ｒ_ｉ｝と等価であり、Ｌ_ｉ＞Ｒ_ｉであれば、［Ｌ_ｉ，Ｒ_ｉ］は、集合｛Ｌ_ｉ，…，Ｔ_ｉ－１｝∪｛０，…，Ｒ_ｉ｝と等価である。このアルゴリズムの実行を、Ｃ_Ｒ←Ｅｎｃ（ｍ，［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］）と表記する。

復号アルゴリズムＤｅｃは、秘密鍵ｓｋ_Ｑと暗号文Ｃ_Ｒとを入力として受け取り、平文ｍ∈Ｍあるいは復号失敗を表す特殊な記号⊥を出力する。このアルゴリズムの実行を、ｍ／⊥←Ｄｅｃ（ｓｋ_Ｑ，Ｃ_Ｒ）と表記する。

ここで、いかなるＭＤＲＥ方式も正当（Ｃｏｒｒｅｃｔ）であることが要求される。
ＭＤＲＥ方式Σ_ＭＤＲＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるＤ個の範囲Ｒの下で正しく暗号化された場合に、この暗号文は、当該範囲に含まれるＤ個の数値Ｑに対応する鍵として正しく作られた秘密鍵を用いることで、正しく復号できる場合をいい、次のように定義される。
∀λ∈Ｎ，∀Ｄ∈Ｎ，∀Ｔ_１∈Ｎ，…，∀Ｔ_Ｄ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，Ｄ，Ｔ_１，…，Ｔ_Ｄ），∀ｔ_１∈［０，Ｔ_１－１］，…，∀ｔ_Ｄ∈［０，Ｔ_Ｄ－１］，∀ｓｋ_Ｑ←ＫＧｅｎ（ｍｓｋ，ｔ_１，…，ｔ_Ｄ），ｗｈｅｒｅ Ｑ：＝（ｔ_１，…，ｔ_Ｄ），∀ｍ∈Ｍ，∀Ｌ_１∈［０，Ｔ_１－１］，∀Ｒ_１∈［０，Ｔ_１－１］，…，∀Ｌ_Ｄ∈［０，Ｔ_Ｄ－１］，∀Ｒ_Ｄ∈［０，Ｔ_Ｄ－１］ ｓ．ｔ． ∧_{ｉ∈［１，Ｄ］}ｔ_ｉ∈［Ｌ_ｉ，Ｒ_ｉ］，∀Ｃ_Ｒ←Ｅｎｃ（ｍ，［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］），ｗｈｅｒｅ Ｒ：＝（［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］），ｍ←Ｄｅｃ（ｓｋ_Ｑ，Ｃ_Ｒ）．

［ワイルドカードＩＤベース暗号（ＷＩＢＥ）］
ＷＩＢＥは、以下の４つの多項式時間アルゴリズム｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝により構成される。なお、Ｄｅｃは確定的アルゴリズムであり、それ以外は確率的アルゴリズムである。
ここで、λ∈Ｎ（自然数）として、１^λは、秘密鍵長等を決定するセキュリティパラメータである。また、ｌ∈Ｎは、ＩＤ長及びワイルドカードＩＤ長を表す。

セットアップアルゴリズムＳｅｔｕｐは、（１^λ，ｌ）を入力として受け取り、マスタ公開鍵ｍｐｋとマスタ秘密鍵ｍｓｋとを出力する。このアルゴリズムの実行を、（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，ｌ）と表記する。平文空間Ｍは、マスタ公開鍵ｍｐｋにより一意に定まるものとする。また、マスタ公開鍵ｍｐｋは、３つのアルゴリズム｛ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝に対して暗黙的に入力される。

鍵生成アルゴリズムＫＧｅｎは、ｍｓｋとＩＤ∈｛０，１｝^ｌとを入力として受け取り、秘密鍵ｓｋ_ＩＤを出力する。このアルゴリズムの実行を、ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ）と表記する。

暗号化アルゴリズムＥｎｃは、平文ｍ∈Ｍと、ワイルドカードＩＤ ｗＩＤ∈｛０，１，＊｝^ｌとを入力として受け取り、暗号文Ｃ_ｗＩＤを出力する。このアルゴリズムの実行を、Ｃ_ｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ）と表記する。

復号アルゴリズムＤｅｃは、秘密鍵ｓｋ_ＩＤと暗号文Ｃ_ｗＩＤとを入力として受け取り、平文ｍ∈Ｍあるいは復号失敗を表す特殊な記号⊥を出力する。このアルゴリズムの実行を、ｍ／⊥←Ｄｅｃ（ｓｋ_ＩＤ，Ｃ_ｗＩＤ）と表記する。

ＷＩＢＥ方式に関しては、これらの主要アルゴリズムに加えて次の補助アルゴリズムを導入する。
ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈ_ｌは、ＩＤ∈｛０，１｝^ｌ及びｗＩＤ∈｛０，１，＊｝^ｌを入力として受け取り、ＩＤがｗＩＤの条件に合致するか否かを判定し、ビットｂ∈｛０，１｝を出力する。具体的には、ｗＩＤ条件合致判定アルゴリズムＭａｔｃｈ_ｌは、全てのｉ∈［０，ｌ－１］ ｓ．ｔ． ｗＩＤ［ｉ］∈｛０，１｝について、ＩＤ［ｉ］＝ｗＩＤ［ｉ］が成立する場合、１を出力し、それ以外の場合、０を出力する。

ここで、いかなるＷＩＢＥ方式も正当（Ｃｏｒｒｅｃｔ）であることが要求される。
ＷＩＢＥ方式Σ_ＷＩＢＥ＝｛Ｓｅｔｕｐ，ＫＧｅｎ，Ｅｎｃ，Ｄｅｃ｝が正当であるとは、ある平文ｍがあるｗＩＤの下で正しく暗号化された場合に、この暗号文は、ｗＩＤの条件を満足するＩＤに対応する鍵として正しく作られた秘密鍵により、正しく復号される場合をいい、次のように定義される。
∀λ∈Ｎ，∀ｌ∈Ｎ，∀（ｍｐｋ，ｍｓｋ）←Ｓｅｔｕｐ（１^λ，ｌ），∀ＩＤ∈｛０，１｝^ｌ，∀ｓｋ_ＩＤ←ＫＧｅｎ（ｍｓｋ，ＩＤ），∀ｍ∈Ｍ，∀ｗＩＤ∈｛０，１，＊｝^ｌ ｓ．ｔ． Ｍａｔｃｈ_ｌ（ＩＤ，ｗＩＤ）＝１，∀Ｃ_ｗＩＤ←Ｅｎｃ（ｍ，ｗＩＤ），ｍ←Ｄｅｃ（ｓｋ_ＩＤ，Ｃ_ｗＩＤ）．

［ＷＩＢＥを用いたＭＤＲＥの第１の構成法］
ＷＩＢＥを用いたＭＤＲＥの一般的構成法の一形態（ＷＩＢＥｔｏＭＤＲＥ）では、ＭＤＲＥ方式が、任意の正当なＷＩＢＥ方式Σ_ＷＩＢＥ＝｛Ｓｅｔｕｐ’，ＫＧｅｎ’，Ｅｎｃ’，Ｄｅｃ’，Ｍａｔｃｈ_ｌ｝と、独自の確定的アルゴリズムＢｉｎａｒｉｚｅ_ｌ及びＧｅｎＷＩＤ_ｌとを用いて構成される。
以下、ＭＤＲＥの構成法を実現した暗号化装置１の機能構成を示し、続いて、構成されたＭＤＲＥ方式のアルゴリズムを説明する。

図１は、第１の構成法を実現する暗号化装置１の機能構成を示す図である。
暗号化装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、暗号化装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を暗号化装置１として機能させるための各種プログラム（暗号化プログラム）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。

制御部１０は、二値化部１１と、ＩＤ集合生成部１２と、多次元ＩＤ集合生成部１３と、セットアップ部１４と、鍵生成部１５と、暗号化部１６と、復号部１７とを備える。

二値化部１１は、二値化アルゴリズムＢｉｎａｒｉｚｅ_ｌを実行することにより、Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる。すなわち、二値化部１１は、ｌ∈Ｎとしたとき、数値ｔ∈［０，２^ｌ－１］を入力として受け取り、ビット列ｓｔｒ∈｛０，１｝^ｌを出力する。ここで、二値化アルゴリズムは正当でなければならないとする。
二値化アルゴリズムが正当であるとは、全単射である場合をいい、ビット列ｓｔｒは、数値ｔの二進数表現とは必ずしも一致しない。

ＩＤ集合生成部１２は、ワイルドカードＩＤ集合生成アルゴリズムＧｅｎＷＩＤ_ｌを実行することにより、次元毎に、設定された値の範囲に割り当てられたビット列の全てをカバーするワイルドカードＩＤ集合を生成する。すなわち、ＩＤ集合生成部１２は、ｌ∈Ｎとしたとき、数値範囲［Ｌ，Ｒ］（ただし、Ｌ，Ｒ∈［０，２^ｌ－１］とする）を入力として受け取り、ワイルドカードＩＤ集合Ｔ＝｛ｓｔｒ∈｛０，１，＊｝^ｌ｝を出力する。ここで、ワイルドカードＩＤ集合生成アルゴリズムは、正当な二値化アルゴリズムＢｉｎａｒｉｚｅ_ｌの下で正当でなければならないとする。

ワイルドカードＩＤ集合生成アルゴリズムが正当であるとは、出力されるワイルドカードＩＤ集合が範囲［Ｌ，Ｒ］に含まれる数値のみを漏れなくカバーする場合であり、全てのｌ∈Ｎ、全てのＬ∈［０，２^ｌ－１］、全てのＲ∈［０，２^ｌ－１］について、Ｔ_{［Ｌ，Ｒ］}←ＧｅｎＷＩＤ_ｌ（Ｌ，Ｒ）とした上で、次の両条件が成立する場合をいう。
・∀ｔ∈［Ｌ，Ｒ］，∃ｗｉｄ∈Ｔ_{［Ｌ，Ｒ］}，１←Ｍａｔｃｈ_ｌ（Ｂｉｎａｒｉｚｅ_ｌ（ｔ），ｗｉｄ）．
・∀ｔ∈［０，２^ｌ－１］＼［Ｌ，Ｒ］，∀ｗｉｄ∈Ｔ_{［Ｌ，Ｒ］}，０←Ｍａｔｃｈ_ｌ（Ｂｉｎａｒｉｚｅ_ｌ（ｔ），ｗｉｄ）．

多次元ＩＤ集合生成部１３は、ＩＤ集合生成部１２により生成された各次元のワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの多次元ワイルドカードＩＤを要素とした集合を生成する。

セットアップ部１４は、ＭＤＲＥにおける各次元のビット長の和をＩＤ長として、ＷＩＢＥ方式のセットアップアルゴリズムＫＧｅｎ’を使用して、マスタ公開鍵及びマスタ秘密鍵を出力する。

鍵生成部１５は、ＭＤＲＥにおける次元毎の値に対応する数値に割り当てられたビット列ｓｔｒを結合し、結合後の多次元ビット列をＩＤ（多次元ＩＤ）として、ＷＩＢＥ方式の鍵生成アルゴリズムＫＧｅｎ’を使用して秘密鍵を生成する。

暗号化部１６は、多次元ＩＤ集合生成部１３により生成された集合の要素である多次元ワイルドカードＩＤのそれぞれに基づいて、ＷＩＢＥ方式の暗号化アルゴリズムＥｎｃ’を使用して平文を暗号化し、暗号化の結果の全てを暗号文として出力する。

復号部１７は、暗号化部１６により生成された暗号文に用いられた多次元ワイルドカードＩＤのいずれかの条件に、秘密鍵により示される多次元ＩＤが合致する場合に、この暗号文を、ＷＩＢＥ方式の復号アルゴリズムＤｅｃ’を使用して復号する。

図２は、ＷＩＢＥｔｏＭＤＲＥを構成する、セットアップアルゴリズムＳｅｔｕｐ、鍵生成アルゴリズムＫＧｅｎ、暗号化アルゴリズムＥｎｃ、及び復号アルゴリズムＤｅｃの定義を示す図である。

ＷＩＢＥｔｏＭＤＲＥの総次元数をＤ∈Ｎ、各次元の総数値数をＴ_１，…Ｔ_Ｄ∈Ｎとする。ＷＩＢＥｔｏＭＤＲＥでは、構成要素としてＩＤ長がΣ_ｉ＝１ ^Ｄ ｌｏｇＴ_ｉのＷＩＢＥ方式を採用する。

Ｄ個の数値ｔ_１，…，ｔ_Ｄ（ただし、ｔ_ｉ∈［０，Ｔ_ｉ－１］）に対応する秘密鍵は、各数値の二進ビット列をｓｔｒ_ｉ←Ｂｉｎａｒｉｚｅ_{ｌｏｇＴｉ}（ｔ_ｉ）∈｛０，１｝^{ｌｏｇＴｉ}とし、さらに全ての二進ビット列を単純結合した二進ビット列（つまり、∥_ｉ＝１ ^Ｄ ｓｔｒ_ｉ）を単一のＩＤとした上で、当該ＩＤに対応するＷＩＢＥ方式の秘密鍵として生成される。

Ｄ個の範囲［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］の下で平文ｍを暗号化する際には、まず、各範囲のワイルドカードＩＤ集合Ｔ_{［Ｌｉ，Ｒｉ］}←ＧｅｎＷＩＤ_{ｌｏｇＴｉ}（Ｌ_ｉ，Ｒ_ｉ）を求め、多次元ワイルドカードＩＤ集合Ｔ^* _{［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］}の要素を、各集合Ｔ_{［Ｌｉ，Ｒｉ］}から１要素ずつ取り出した組み合わせ毎に、全要素を単純結合することにより求める。つまり、Ｔ^* _{［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］}：＝｛∥_ｉ＝１ ^Ｄ ｗｉｄ_ｉ｜ｗｉｄ_１∈Ｔ_{［Ｌ１，Ｒ１］}，…，ｗｉｄ_Ｄ∈Ｔ_{［ＬＤ，ＲＤ］}｝である。

この多次元ワイルドカードＩＤ集合Ｔ^* _{［Ｌ１，Ｒ１］，…，［ＬＤ，ＲＤ］}に含まれる各ワイルドカードＩＤの下で平文ｍをＷＩＢＥ方式の暗号化アルゴリズムにより暗号化する。

ｔ_１，…，ｔ_Ｄに対応する秘密鍵により、［Ｌ_１，Ｒ_１］，…，［Ｌ_Ｄ，Ｒ_Ｄ］に対応する暗号文を復号する際には、各ｉ∈［１，Ｄ］について、１←Ｍａｔｃｈ_{ｌｏｇＴｉ}（ｓｔｒ_ｉ，ｗｉｄ_ｉ）を満たすｗｉｄ_ｉ∈Ｔ_{［Ｌｉ，Ｒｉ］}が存在するか否かを調べ、全てのｉ∈［１，Ｄ］について存在するならば、ｔ_１，…，ｔ_Ｄに対応する秘密鍵（つまり、∥_ｉ＝１ ^Ｄ ｓｔｒ_ｉに対応するＷＩＢＥ秘密鍵）により、ワイルドカードＩＤ（∥_ｉ＝１ ^Ｄ ｗｉｄ_ｉ）に対応するＷＩＢＥ暗号文を復号し、復号結果を出力する。

ここで、構成要素のＷＩＢＥ方式が正当であり、かつ、２つのアルゴリズム（Ｂｉｎａｒｉｚｅ_ｌ，ＧｅｎＷＩＤ_ｌ）が正当であれば、ＷＩＢＥｔｏＭＤＲＥも正当であることがいえる。

次に、正当なアルゴリズム（Ｂｉｎａｒｉｚｅ_ｌ，ＧｅｎＷＩＤ_ｌ）の具体例として、ＰＱ．Ｂｉｎａｒｉｚｅ_ｌ及びＰＱ．ＧｅｎＷＩＤ_ｌを示す。また、これらのアルゴリズムに基づくＷＩＢＥｔｏＭＤＲＥを、ＷＩＢＥｔｏＭＤＲＥ_ＰＱと表記する。

ＷＩＢＥｔｏＭＤＲＥ_ＰＱにおいて使用されるアルゴリズム（ＰＱ．Ｂｉｎａｒｉｚｅ_ｌ，ＰＱ．ＧｅｎＷＩＤ_ｌ）は、非特許文献２により提案されたＩＤベース暗号（ＩＢＥ）を用いた時間指定暗号（ＴＳＥ）の一般的構成法ＩＢＥｔｏＴＳＥ_ＰＱを技術的に参考にしている。
ＩＢＥｔｏＴＳＥ_ＰＱは、ＩＤ総数２Ｔ－１のＩＢＥ方式を採用する。ＩＢＥｔｏＴＳＥ_ＰＱにおいては、葉総数Ｔの完全二分木を導入する。

図３は、ＩＢＥｔｏＴＳＥ_ＰＱに関する完全二分木を例示する図である。
ここでは、深さ３、葉総数Ｔ＝８（＝２^３）の完全二分木を示している。
各葉ノードは、各周期（数値）ｔ∈［０，Ｔ－１］に対応する。具体的には、二進数ｓｔｒ∈｛０，１｝^ｌｏｇＴが割り当てられた葉ノードは、この二進数を十進数化した数値ｔ∈［０，Ｔ－１］に対応する。

各数値ｔ∈［０，Ｔ－１］の秘密鍵は、根ノードから数値ｔの葉ノードに至るまでに通過する計ｌｏｇＴ＋１個のノードのＩＢＥ秘密鍵により構成される。具体的には、ＩＤに対応する（ランダムに生成された）ＩＢＥ秘密鍵をｓｋ_ＩＤと表記する場合、数値ｔ∈［０，Ｔ－１］の秘密鍵は、ｓｋ_ｔ＝（ｓｋ_ＩＤ＝φ，ｓｋ_{ＩＤ＝ｔ［０］}，ｓｋ_{ＩＤ＝ｔ［０］∥ｔ［１］}，…，ｓｋ_{ＩＤ＝ｔ［０］∥ｔ［１］∥…∥ｔ［ｌｏｇＴ－１］}）により定義される。なお、ｔ［ｉ］は、ｔの二進数表現における上位第ｉビットを表す。
例えば、Ｔ＝８の場合、ｔ＝３の秘密鍵は、ｓｋ_ｔ＝３＝（ｓｋ_φ，ｓｋ_０，ｓｋ_０１，ｓｋ_０１１）となる。

次に、範囲［Ｌ，Ｒ］に対応する平文ｍの暗号文の生成方法を示す。ここで、ノードｓｔｒ∈｛０，１｝^{≦ｌｏｇＴ}に紐づけられた集合Ｓ_ｓｔｒを導入する。Ｓ_ｓｔｒは、先祖ノードの一つがノードｓｔｒである葉ノードの集合である。要するに、Ｓ_ｓｔｒ：＝｛ｓｔｒ∥_{ｉ∈［０，ｌｏｇＴ－｜ｓｔｒ｜－１］}β_i｜β_i∈｛０，１｝｝である。ここで、｜ｓｔｒ｜∈［０，ｌｏｇＴ］は、ｓｔｒのビット長を表す。
例えば、Ｔ＝８の場合、Ｓ_１＝｛１００，１０１，１１０，１１１｝、Ｓ_１０＝｛１００，１０１｝、Ｓ_１１０＝｛１１０｝となる。

範囲［Ｌ，Ｒ］に対応する暗号文生成時には、始めに集合Ｔ_{［Ｌ，Ｒ］}＝｛ｓｔｒ∈｛０，１｝^{≦ｌｏｇＴ}｝を求める。Ｔ_{［Ｌ，Ｒ］}は、二分木における数値Ｌから数値Ｒの葉ノード全てをカバーするノードの集合である。具体的には、Ｔ_{［Ｌ，Ｒ］}は、次に示すアルゴリズムＣｏｖｅｒ_ｌにより求められる。

図４は、アルゴリズムＣｏｖｅｒ_ｌの定義を示す図である。
ここで、Ｐａｒｅｎｔ_ｌは、葉総数２^ｌの完全二分木において、ノード（節）を受け取り、当該ノードの親ノードを出力する関数である。なお、Ｃｏｖｅｒ_ｌは、非特許文献２におけるＡｌｇｏｒｉｔｈｍ １と機能的に同一である。
例えば、Ｔ＝８の場合、Ｔ_{［２，６］}＝｛０１，１０，１１０｝、Ｔ_{［０，６］}＝｛０，１０，１１０｝、Ｔ_{［７，７］}＝｛１１１｝となる。

集合Ｔ_{［Ｌ，Ｒ］}の導出後、Ｔ_{［Ｌ，Ｒ］}に含まれる各ＩＤの下で、それぞれ平文ｍのＩＢＥ暗号文が生成される。そして、生成された全ての暗号文を一つにまとめたものが範囲［Ｌ，Ｒ］の暗号文になる。

数値ｔの秘密鍵で範囲［Ｌ，Ｒ］の暗号文を復号する際には、葉ノードｔ又はその先祖ノードに、集合Ｔ_{［Ｌ，Ｒ］}に含まれるノードが存在するか否かを調べ、該当ノードが存在する場合は、該当ノードに対応するＩＢＥ秘密鍵により該当ノードに対応するＩＢＥ暗号文を復号する。なお、ｔ∈［Ｌ，Ｒ］の場合に、該当ノードは確実に存在し、それ以外の場合に該当ノードは存在しない。

図５は、二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅ_ｌ及びワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤ_ｌの定義を示す図である。
二値化アルゴリズムＰＱ．Ｂｉｎａｒｉｚｅ_ｌでは、数値ｔ∈［０，２^ｌ－１］を入力として受け取り、ビット列ｓｔｒ∈｛０，１｝^ｌが出力される。

ワイルドカードＩＤ集合生成アルゴリズムＰＱ．ＧｅｎＷＩＤ_ｌでは、範囲［Ｌ，Ｒ］を入力として受け取り、まず、ＩＢＥｔｏＴＳＥ_ＰＱと同様の方法により、葉総数２^ｌの完全二分木における葉ノードＬから葉ノードＲまでをカバーするノード集合Ｔ_{［Ｌ，Ｒ］}＝｛ｓｔｒ∈｛０，１｝^≦ｌ｝が導出される。その後、集合Ｔ_{［Ｌ，Ｒ］}に含まれるノード（ビット列）の中で、長さがｌに満たないノード（ビット列）に対して、長さがｌになるように、ワイルドカード記号（＊）を右から補完する変換を施した後の集合Ｔ^＊ _{［Ｌ，Ｒ］}が出力される。

次に、既存のＷＩＢＥ方式によるＷＩＢＥｔｏＭＤＲＥ_ＰＱの具体化の例を示す。
ＷＩＢＥｔｏＭＤＲＥ_ＰＱを具体化する既存のＷＩＢＥ方式として、非特許文献１で提案されたＷＩＢＥ方式ＷＩＢＥ_ＩＫと、次の文献Ａで提案されたＷＩＢＥ方式ＷＩＢＥ_ＢＧＰを取り上げる。
文献Ａ：O. Blazy, P. Germouty, and D. H. Phan. Downgradable identity-based encryption and applications. In CT-RSA 2019, volume 11405 of LNCS, pages 44-61. Springer, 2019.

図６は、ＷＩＢＥ_ＩＫにより具体化されたＷＩＢＥｔｏＭＤＲＥ_ＰＱと、ＷＩＢＥ_ＢＧＰにより具体化されたＷＩＢＥｔｏＭＤＲＥ_ＰＱとを比較評価した図である。
前者（ＷＩＢＥ_ＩＫによる場合）は、暗号文長及び暗号化計算コスト、特に群上のべき乗計算回数において、漸近的に非効率であるが、秘密鍵長は対称双線形ペアリングの群要素２つ分であり、いかなるパラメータＤ，Ｔ_１，…，Ｔ_Ｄにも依存せず、一定であるという特長を持つ。対する後者（ＷＩＢＥ_ＢＧＰによる場合）は、前者と異なり、特定の項目で大きく劣るということが無く、全ての項目において無難に優れている。また、復号計算コストが一定であるという特長もある。

［ＷＩＢＥを用いたＭＤＲＥの第２の構成法］
以下、第１の構成法の一般化に相当するＭＤＲＥ方式を示す。このＭＤＲＥ方式は、第１の構成法を実現する暗号化装置１に機能追加した暗号化装置１ａにより実現される。

図７は、第２の構成法を実現する暗号化装置１ａの機能構成を示す図である。
暗号化装置１ａの制御部１０ａは、新たな機能部として、変換部１８を備える。
変換部１８は、鍵生成に用いられる多次元ＩＤ、及び暗号化に用いられる多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替え、鍵生成部１５、暗号化部１６及び復号部１７に提供する。
すなわち、第２の構成法では、ＭＤＲＥ方式を定義する上で、次に示す２種類の関数が導入される。

関数ｆ：

は、全単射であるとする。

関数φ_ｆ：

は、全単射関数ｆに紐づけられた関数である。

図８は、関数φ_ｆの定義を示す図である。
関数φ_ｆは、入力ビット列における各ビット（ｉビット）を、全単射関数ｆにより一意に定まるｆ（ｉ）ビットに移動した新たなビット列を出力するものである。

図９は、一般化されたＭＤＲＥ方式ＷＩＢＥｔｏＭＤＲＥ_ｆの定義を示す図である。
図２のＷＩＢＥｔｏＭＤＲＥと比べて、符号Ａ～Ｄで示す箇所が変更されている。
すなわち、鍵生成アルゴリズムＫＧｅｎでは、関数φ_ｆによって変換された後の多次元ＩＤがＷＩＢＥ方式の鍵生成アルゴリズムＫＧｅｎ’に入力され、暗号化アルゴリズムＥｎｃでは、関数φ_ｆによって変換された後の多次元ワイルドカードＩＤがＷＩＢＥ方式の暗号化アルゴリズムＥｎｃ’に入力される。また、復号アルゴリズムＤｅｃでは、関数φ_ｆによって変換された後の多次元ＩＤ及び多次元ワイルドカードＩＤがｗＩＤ条件合致判定アルゴリズムＭａｔｃｈに入力される。

なお、ＷＩＢＥｔｏＭＤＲＥ_ｆが正当であることは、第１の構成法によるＷＩＢＥｔｏＭＤＲＥが正当であることと同様に確認できる。
ちなみに、ＷＩＢＥｔｏＭＤＲＥ_ｆにおいて、関数ｆを、入力をそのまま出力する恒等写像としたものが第１の構成法によるＷＩＢＥｔｏＭＤＲＥである。

［二値化及びワイルドカードＩＤ集合生成の変形例］
特許文献１では、ＷＩＢＥに基づく時間指定暗号（ＴＳＥ）の一般的構成法として、最も単純な構成法、及びこれを一般化した構成法の２種類が示されている。以下、これらの構成法を、それぞれ、ＷＩＢＥｔｏＴＳＥ_ＩＫ及びＷＩＢＥｔｏＴＳＥ_ＩＫ ^{ｇｅｎｅｒａｌ}と表記する。

ＷＩＢＥｔｏＴＳＥ_ＩＫは、前述のＷＩＢＥｔｏＭＤＲＥに対して、次の制限を導入したものである。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅ_ｌ及びＧｅｎＷＩＤ_ｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅ_ｌ及びＩＫ．ＧｅｎＷＩＤ_ｌに変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥ_ＩＫと同様の効果が得られる。

図１０は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌの定義を示す図である。
図１１は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌが使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌ及びＩＫ．Ｄｉｖｉｄｅ_ｌの定義を示す図である。
図１２は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌが使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ、ＩＫ．Ｆｏｒｍｅｒ_ｌ、及びＩＫ．Ｍｅｒｇｅ_ｌの定義を示す図である。

図１３は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌを実行した際の入力ｔ∈［０，２^ｌ－１］と出力ｓｔｒ∈｛０，１｝^ｌとの対応関係を例示する図である。
ここでは、ｌ＝５の場合を示しているが、ｌ≠５の場合についても同様に、次の法則でビット列ｓｔｒが割り当てられる。
・最上位ビット（第ｌ－１ビット）は、０で開始し、その後は２^ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次のビット（第ｌ－２ビット）は、０で開始し、２^ｌ－２間隔で最初の１への切り替わりが発生し、その後は２^ｌ－１間隔で０と１とが切り替わり続ける。
・最上位ビットの次々ビット（第ｌ－３ビット）は、０で開始し、２^ｌ－３間隔で最初の１への切り替わりが発生し、その後は２^ｌ－２間隔で０と１とが切り替わり続ける。
・（中略）
・最下位ビットの一つ前のビット（第１ビット）は、０で開始し、２^１＝２間隔で最初の１への切り替わりが発生し、その後は２^２＝４間隔で０と１とが切り替わり続ける。
・最下位ビット（第０ビット）は、０で開始し、２^０＝１間隔で最初の１への切り替わりが発生し、その後は２^１＝２間隔で０と１とが切り替わり続ける。

この法則により、ビット列ｓｔｒには、次のような特徴が表れる。
すなわち、数値ｔの並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれるビット列ｓｔｒのいずれか１ビットのみは反転し、他のビットは対称となる。
また、隣り合う数値ｔの間で１ビットのみが異なる。

ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌは、５つの補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌ、ＩＫ．Ｄｉｖｉｄｅ_ｌ、ＩＫ．Ｌａｔｔｅｒ_ｌ、ＩＫ．Ｆｏｒｍｅｒ_ｌ、ＩＫ．Ｍｅｒｇｅ_ｌを使用する。

クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌは、数値ｔ∈［０，２^ｌ－１］を入力として受け取り、クラス番号ｉ∈［０，ｌ］を出力する。
具体的には、ｔ＝０の場合、ｌを出力し、ｔ∈［１，２^ｌ－１］の場合、ｔ ｍｏｄ ２^ｉ＋１＝２^ｉを満たすｉ∈［０，ｌ－１］を出力する。

図１４は、クラス分類アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌの実行例を示す図である。
ここでは、２^ｌ＝Ｔ∈｛４，８，１６，３２｝の場合の出力をそれぞれ示している。
数値ｔの昇順の並びを再帰的に２分割していった際に、分割された右側のブロックの左端のｔに対して、左側のブロックの左端のクラス番号－１が割り当てられる。これにより、１ビットを除いて左右対称となっているビット列のブロック内において、左端のクラス番号が最大となる。

分割アルゴリズムＩＫ．Ｄｉｖｉｄｅ_ｌは、Ｌ，Ｒ∈［０，２^ｌ－１］を満たす範囲［Ｌ，Ｒ］を入力として受け取り、この範囲を前半範囲［Ｌ，Ｄ－１］と後半範囲［Ｄ，Ｒ］へ二分割する分割点Ｄ∈［Ｌ，Ｒ］を出力する。
この分割点は、範囲［Ｌ，Ｒ］内の数値のうち、最もクラス番号の大きい数値である。すなわち、範囲［Ｌ，Ｒ］に含まれる最も大きなブロックの区切りで二分割される。なお、Ｌ＞Ｒの場合、必ずＤ＝０になる。

図１５は、分割アルゴリズムＩＫ．Ｄｉｖｉｄｅ_ｌの実行例を示す図である。
ここでは、ｌ＝５とし、［Ｌ，Ｒ］∈｛［０，３０］，［９，３０］，［１，３０］，［２，０］｝の場合の分割点を、それぞれ△で示している。
例えば、範囲が［０，３０］の場合は、クラス番号が５の分割点Ｄ＝０、範囲が［９，３０］及び［１，３１］の場合は、クラス番号が４の分割点Ｄ＝１６、範囲が［２，０］の場合は、クラス番号が５の分割点Ｄ＝０が出力される。

後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌは、後半範囲［Ｄ，Ｒ］を入力として受け取り、ワイルドカードＩＤ集合Ｔ_{［Ｄ，Ｒ］}＝｛ｗＩＤ_ｉ｜ｉ∈［１，ｎ_１］｝を出力する。全てのｌ∈Ｎ、及びＬ，Ｒ∈［０，２^ｌ－１］を満たす全てのＬ，Ｒについて、Ｄ←ＩＫ．Ｄｉｖｉｄｅ_ｌ（Ｌ，Ｒ）とした場合、

が存在し、以下の２つの条件を満たす。

（１）後半範囲［Ｄ，Ｒ］は、２^ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。

（２）全てのｉ∈［１，ｎ_１］について、あるｗＩＤ_ｉ∈｛０，１，＊｝^ｌが存在し、ｗＩＤ_ｉは以下を満たす。
・｜ｗＩＤ_ｉ｜_＊＝ｋ_ｉ．
・後半範囲［Ｄ，Ｒ］の部分範囲である、

をカバーする。

前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒ_ｌは、前半範囲［Ｌ，Ｄ－１］を入力として受け取り、ワイルドカードＩＤ集合Ｔ_{［Ｌ，Ｄ－１］}＝｛ｗＩＤ_ｉ｜ｉ∈［ｎ_１＋１，ｎ_２］｝を出力する。全てのｌ∈Ｎ、及びＬ，Ｒ∈［０，２^ｌ－１］を満たす全てのＬ，Ｒについて、Ｄ←ＩＫ．Ｄｉｖｉｄｅ_ｌ（Ｌ，Ｒ）とした場合、

が存在し、以下の２つの条件を満たす。

（１）前半範囲［Ｌ，Ｄ－１］は、２^ｋ個の数値からなる前述のブロックの集合として、次のように表現できる。

（２）全てのｉ∈［ｎ_１＋１，ｎ_２］について、あるｗＩＤ_ｉ∈｛０，１，＊｝^ｌが存在し、ｗＩＤ_ｉは以下を満たす。
・｜ｗＩＤ_ｉ｜_＊＝ｋ_ｉ．
・ｗＩＤ_ｉは、前半範囲［Ｌ，Ｄ－１］の部分範囲である、

をカバーする。

前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅ_ｌは、前後半ワイルドカードＩＤ集合Ｔ_{［Ｄ，Ｒ］}，Ｔ_{［Ｌ，Ｄ－１］}を受け取り、ワイルドカードＩＤ集合Ｔ_{［Ｌ，Ｒ］}を出力する。

まず、以下の条件を満たす自然数ｎ^＊を定義する。

このとき、全てのｉ∈［１，ｎ^＊］について、以下の条件を満たすｗＩＤ′_ｉ∈｛０，１，＊｝^ｌが存在する。
・｜ｗＩＤ′_ｉ｜_＊＝ｋ_ｉ＋１＝ｋ_ｎ１＋ｉ＋１．
・ｗＩＤ′_ｉは、ｗＩＤ_ｉとｗＩＤ_ｎ１＋ｉによりカバーされる各範囲の和集合により定義される範囲、すなわち、

をカバーする。

図１６は、後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ、前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒ_ｌ、及び前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅ_ｌのそれぞれの実行後の状態を例示する図である。
ここでは、ｌ＝５，［Ｌ，Ｒ］＝［１，３０］，Ｄ＝１６の場合を例示しており、Ｓｔｅｐ１には、分割アルゴリズムＩＫ．Ｄｉｖｉｄｅ_ｌの実行例（図１５）を示している。

後半ｗＩＤ集合確定アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌでは、Ｔ_{［Ｄ，Ｒ］}：＝｛ｗＩＤ_ｉ｜ｉ∈［１，ｎ_１］｝が出力される。
Ｓｔｅｐ２に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ_１＝４，ｋ_１＝３，ｋ_２＝２，ｋ_３＝１，ｋ_４＝０，ｗＩＤ_１＝１１＊＊＊，ｗＩＤ_２＝１０１＊＊，ｗＩＤ_３＝１００１＊，ｗＩＤ_４＝１０００１である。結果として、Ｔ_{［１６，３０］}＝｛ｗＩＤ_１，ｗＩＤ_２，ｗＩＤ_３，ｗＩＤ_４｝＝｛１１＊＊＊，１０１＊＊，１００１＊，１０００１｝が出力される。

前半ｗＩＤ集合確定アルゴリズムＩＫ．Ｆｏｒｍｅｒ_ｌでは、Ｔ_{［Ｌ，Ｄ－１］}：＝｛ｗＩＤ_ｉ｜ｉ∈［ｎ_１＋１，ｎ_２］｝が出力される。
Ｓｔｅｐ３に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ_２＝４，ｎ_１＋ｎ_２＝８，ｋ_５＝３，ｋ_６＝２，ｋ_７＝１，ｋ_８＝０，ｗＩＤ_５＝０１＊＊＊，ｗＩＤ_６＝００１＊＊，ｗＩＤ_７＝０００１＊，ｗＩＤ_８＝００００１である。結果として、Ｔ_{［１，１５］}＝｛ｗＩＤ_５，ｗＩＤ_６，ｗＩＤ_７，ｗＩＤ_８｝＝｛０１＊＊＊，００１＊＊，０００１＊，００００１｝が出力される。

前後半ｗＩＤ集合合併アルゴリズムＩＫ．Ｍｅｒｇｅ_ｌでは、

が出力される。
Ｓｔｅｐ４に示す実行例の場合、図中で同一の数字が割り当てられた数値ｔは、単一のｗＩＤ∈｛０，１，＊｝^５によりカバーされる。具体的には、ｎ^＊＝４，ｗＩＤ′_１＝＊１＊＊＊，ｗＩＤ′_２＝＊０１＊＊，ｗＩＤ′_３＝＊００１＊，ｗＩＤ′_４＝＊０００１である。結果として、Ｔ_{［１，３０］}＝｛ｗＩＤ′_１，ｗＩＤ′_２，ｗＩＤ′_３，ｗＩＤ′_４｝＝｛＊１＊＊＊，＊０１＊＊，＊００１＊，＊０００１｝が出力される。

ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌは、各アルゴリズムを順番に実行する。具体的には、ＩＫ．ＧｅｎＷＩＤ_ｌは、範囲［Ｌ，Ｒ］に対して、最初にＤ←Ｄｉｖｉｄｅ_ｌ（Ｌ，Ｒ）により分割点Ｄ∈［Ｌ，Ｒ］を決定し、次にＴ_{［Ｄ，Ｒ］}←ＩＫ．Ｌａｔｔｅｒ_ｌ（Ｄ，Ｒ）により後半範囲ワイルドカードＩＤ集合Ｔ_{［Ｄ，Ｒ］}を決定し、Ｔ_{［Ｌ，Ｄ－１］}←ＩＫ．Ｆｏｒｍｅｒ_ｌ（Ｌ，Ｄ－１）により前半範囲ワイルドカードＩＤ集合Ｔ_{［Ｌ，Ｄ－１］}を決定する。最後に、ＩＫ．ＧｅｎＷＩＤ_ｌは、Ｔ_{［Ｌ，Ｒ］}←ＩＫ．Ｍｅｒｇｅ_ｌ（Ｔ_{［Ｄ，Ｒ］}，Ｔ_{［Ｌ，Ｄ－１］}）によりワイルドカードＩＤ集合Ｔ_{［Ｌ，Ｒ］}を決定する。

次に、ＷＩＢＥｔｏＴＳＥ_ＩＫ ^{ｇｅｎｅｒａｌ}は、前述のＷＩＢＥｔｏＭＤＲＥに対して、次の制限を導入したものである。
・総次元数Ｄ＝１とする。
・アルゴリズムＢｉｎａｒｉｚｅ_ｌ及びＧｅｎＷＩＤ_ｌを、それぞれ後述のＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}及びＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}に変更する。
これらのアルゴリズムの変更は、総次元数Ｄ＞１のＷＩＢＥｔｏＭＤＲＥに対しても適用可能であり、これにより、ＷＩＢＥｔｏＴＳＥ_ＩＫ ^{ｇｅｎｅｒａｌ}と同様の効果が得られる。

図１７は、二値化アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}及びワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。
図１８は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}が使用する補助アルゴリズムＩＫ．Ｃｌａｓｓｉｆｙ_ｌ ^{ｇｅｎｅｒａｌ}及びＩＫ．Ｄｉｖｉｄｅ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。
図１９は、ワイルドカードＩＤ集合生成アルゴリズムＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}が使用する補助アルゴリズムＩＫ．Ｌａｔｔｅｒ_ｌ ^{ｇｅｎｅｒａｌ}、ＩＫ．Ｆｏｒｍｅｒ_ｌ ^{ｇｅｎｅｒａｌ}及びＩＫ．Ｍｅｒｇｅ_ｌ ^{ｇｅｎｅｒａｌ}の定義を示す図である。

ＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}及びＩＫ．ＧｅｎＷＩＤ_ｌ ^{ｇｅｎｅｒａｌ}は、それぞれＩＫ．Ｂｉｎａｒｉｚｅ_ｌ及びＩＫ．ＧｅｎＷＩＤ_ｌの一般化である。これらのアルゴリズムは、ビット列ｓｔｒのパターンを一般化するために、関数ｆ、関数ｈ、定数δを導入している。

前述の通り、ＩＫ．Ｂｉｎａｒｉｚｅ_ｌにより定まる数値ｔと二進ビット列ｓｔｒとの対応関係においては、ｓｔｒの各ビットに、それぞれ異なる（０，１）パターンが割り当てられる。（０，１）パターンは全部でｌ種類ある。
具体的には、終始２^ｌ－１間隔で切り替わり続けるパターン、初回のみ２^ｌ－２間隔で切り替わりその後２^ｌ－１間隔で切り替わり続けるパターン、初回のみ２^ｌ－３間隔で切り替わりその後２^ｌ－２間隔で切り替わり続けるパターン、…、初回のみ２^１＝２間隔で切り替わりその後２^２＝４間隔で切り替わり続けるパターン、初回のみ２^０＝１間隔で切り替わりその後２^１＝２間隔で切り替わり続けるパターンである。これらのパターンを便宜上、それぞれ、Ｐ_ｌ－１，Ｐ_ｌ－２，…，Ｐ_１，Ｐ_０と表記する。

全単射関数ｆ：｛０，１，…，ｌ－１｝→｛０，１，…，ｌ－１｝は、各ビットをいずれの（０，１）パターンに割り当てるかを定義する。具体的には、ビットｉ∈｛０，１，…，ｌ－１｝を、（０，１）パターンＰ_ｆ（ｉ）に割り当てる。

関数ｈ：｛０，１，…，ｌ－１｝→｛０，１｝は、各ビットｉ∈｛０，１，…，ｌ－１｝において、（０，１）パターンの初期値を、０とするか１とするかを定義する。

定数δ∈｛０，…，２^ｌ－１｝は、二進ビット列の初期値ｓｔｒ＝ｈ［ｌ－１］∥ｈ［ｌ－２］∥…∥ｈ［１］∥ｈ［０］を、どの数値ｔ∈｛０，…，２^ｌ－１｝に対応付けるかを定義する。具体的には、ｓｔｒ＝ｈ［ｌ－１］∥ｈ［ｌ－２］∥…∥ｈ［１］∥ｈ［０］を、δに対応づける。
すなわち、（０，１）パターンに対して数値ｔをδだけ巡回シフトした対応関係が得られる。

例えば、図１３は、図１７のＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}において、そのパラメータを、
ｌ：＝５
ｆ（｛０，１，２，３，４｝）：＝｛０，１，２，３，４｝
ｈ（｛０，１，２，３，４｝）：＝｛０，０，０，０，０｝
δ：＝０
と設定した場合の当該アルゴリズムＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}の実行例を示す。

一方、図２０は、ＩＫ．Ｂｉｎａｒｉｚｅ_ｌ ^{ｇｅｎｅｒａｌ}において、そのパラメータを、
ｆ（｛０，１，２，３，４｝）：＝｛３，２，０，４，１｝
ｈ（｛０，１，２，３，４｝）：＝｛０，１，１，０，０｝
δ：＝１５
と設定した場合の当該アルゴリズムの実行例を示す。

本実施形態によれば、暗号化装置１は、次元毎の数値に割り当てられたビット列の結合をＩＤとした秘密鍵を生成すると共に、次元毎の範囲に基づいて生成したワイルドカードＩＤ集合から、１要素ずつ取り出した組み合わせ毎に、全要素を結合して多次元ワイルドカードＩＤとし、全組み合わせの多次元ワイルドカードＩＤを要素とした集合を生成する。そして、暗号化装置１は、多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、暗号化の結果の全てを暗号文として出力する。
したがって、暗号化装置１は、任意の正当なＷＩＢＥ方式に基づいて、任意の正当な二値化アルゴリズム及びワイルドカードＩＤ集合生成アルゴリズムを用いることにより、ＴＳＥを多次元に拡張したＭＤＲＥ方式を構成できる。

この結果、既存の、あるいは、将来発見され得る多様なＷＩＢＥ方式から、多様なＭＤＲＥ方式を構築することができる。
例えば、前述のように、ＷＩＢＥ_ＩＫを用いた秘密鍵長が一定のＭＤＲＥ方式、及びＷＩＢＥ_ＢＧＰを用いた全ての効率項目において無難に優れたＭＤＲＥ方式が具体的に得られる。また、将来、例えば、耐量子安全性を持つＷＩＢＥ方式が作られた場合、本実施形態により、耐量子安全性を持つＭＤＲＥ方式を構成できる。

暗号化装置１は、多次元ＩＤ及び多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える機能を備えることにより、ＩＤとなるビット列の任意の配列が可能となり、ＭＤＲＥ方式の一般化を実現できる。

暗号化装置１は、数値ｔに対するビット列ｓｔｒの対応関係について、数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれるビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当て、また、数値の並びにおいて、隣り合う数値間で１ビットのみが異なるビット列を割り当てる。
これにより、ＭＤＲＥの各次元において、指定された範囲をカバーする効率的なワイルドカードＩＤが生成され、この結果、効率的な多次元ワイルドカードＩＤ集合が生成される。したがって、暗号化装置１は、暗号文長を短くすることができる。

このとき、暗号化装置１は、数値ｔに対するビット列ｓｔｒの対応関係について、所定の数だけ巡回シフトさせて対応付けることで、アルゴリズムを一般化できる。

また、暗号化装置１は、範囲［Ｌ，Ｒ］を前半及び後半に分割することにより、それぞれの部分範囲において、効率的にワイルドカードＩＤ集合を生成できる。
さらに、暗号化装置１は、部分範囲毎に求めた集合をカバーするワイルドカードＩＤ集合を生成することにより、集合を縮小できる可能性がある。この結果、暗号文が短くなることが期待できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

暗号化装置１による暗号化方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１、１ａ 暗号化装置（復号装置）
１０、１０ａ 制御部
１１ 二値化部
１２ ＩＤ集合生成部
１３ 多次元ＩＤ集合生成部
１４ セットアップ部
１５ 鍵生成部
１６ 暗号化部
１７ 復号部
１８ 変換部
２０ 記憶部

Claims (10)

1. Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化部と、
   多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成部と、
   前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成部と、
   前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成部と、
   前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化部と、を備える暗号化装置。
2. 前記多次元ＩＤ及び前記多次元ワイルドカードＩＤに対して、全単射関数によって示されるビット位置を入れ替える変換部を備える請求項１に記載の暗号化装置。
3. 前記二値化部は、前記数値の並びを再帰的に２分割した際に、分割点を軸に両側のブロックに含まれる前記ビット列のいずれか１ビットのみは反転し、他のビットは対称となるように０又は１を割り当てる請求項１又は請求項２に記載の暗号化装置。
4. 前記二値化部は、前記数値の並びにおいて、隣り合う数値間で１ビットのみが異なる前記ビット列を割り当てる請求項３に記載の暗号化装置。
5. 前記次元毎の値に対して前記数値は、所定の数だけ巡回シフトさせて対応付けられる請求項３又は請求項４に記載の暗号化装置。
6. 前記ＩＤ集合生成部は、前記数値の並びを再帰的に２分割していく際に得られるブロックのうち、前記範囲に含まれる最も大きなブロックの始点において、前記範囲を分割し、分割された部分範囲毎に前記ワイルドカードＩＤ集合を生成する請求項３から請求項５のいずれかに記載の暗号化装置。
7. 前記ＩＤ集合生成部は、前記部分範囲毎に生成された集合の全体をカバーする前記ワイルドカードＩＤ集合を生成する請求項６に記載の暗号化装置。
8. 請求項１から請求項７のいずれかに記載の暗号化装置により生成された暗号文に用いられた多次元ワイルドカードＩＤのいずれかの条件に、前記秘密鍵により示される前記多次元ＩＤが合致する場合に、当該暗号文を、前記ワイルドカードＩＤベース暗号方式により復号する復号装置。
9. Ｔ個の数値に対して、それぞれｌｏｇＴビットのビット列を割り当てる二値化ステップと、
   多次元範囲暗号における次元毎の値に対応する数値に割り当てられた前記ビット列を結合し、結合後の単一の多次元ＩＤに基づいて秘密鍵を生成する鍵生成ステップと、
   前記次元毎に、設定された値の範囲に割り当てられた前記ビット列の全てをカバーするワイルドカードＩＤ集合を生成するＩＤ集合生成ステップと、
   前記ワイルドカードＩＤ集合から１要素ずつ取り出した組み合わせ毎に、全要素を結合して単一の多次元ワイルドカードＩＤとし、全組み合わせの当該多次元ワイルドカードＩＤを要素とした集合を生成する多次元ＩＤ集合生成ステップと、
   前記多次元ワイルドカードＩＤのそれぞれに基づいて、ワイルドカードＩＤベース暗号方式により平文を暗号化し、当該暗号化の結果の全てを暗号文として出力する暗号化ステップと、をコンピュータが実行する暗号化方法。
10. 請求項１から請求項７のいずれかに記載の暗号化装置としてコンピュータを機能させるための暗号化プログラム。

Images