JP2023054920A - 暗号システム、端末、方法、及びプログラム - Google Patents

Abstract

【課題】デバイスの復号可否を制御可能なＩＤベース暗号を実現する暗号システム、端末、方法及びプログラムを提供する。【解決手段】暗号システム１は、階層型ＩＤベース暗号の公開パラメータと、マスタ秘密鍵とを生成し、代表端末の識別子と、マスタ秘密鍵と、公開パラメータとを用いて、代表端末のユーザ秘密鍵を生成する秘密鍵生成センタと、自身が利用する１以上の子端末の識別子で構成されるデバイスリストを記憶し、自身の識別子に対応するユーザ秘密鍵と、デバイスリストの更新時間を表すデバイス更新時間と、公開パラメータとを用いて、送信端末から送信される暗号文を復号するためのデバイス秘密鍵を生成し、デバイスリストの子端末に対して前記デバイス秘密鍵を送信する１以上の代表端末と、代表端末の識別子と、デバイス更新時間とを用いて、メッセージを暗号化した暗号文を生成し、代表端末又は子端末に暗号文を送信する送信端末からなる。【選択図】図１

Description

特許法第３０条第２項適用申請有り ２０２１年１月１９日～２０２１年１月２２日（公知日：２０２１年１月２１日）に２０２１年暗号と情報セキュリティシンポジウムにて公開

本発明は、暗号システム、端末、方法、及びプログラムに関する。

ＩＤベース暗号（ＩＢＥ：Identity-Based Encryption）技術は公開鍵暗号技術の一種であり、公開鍵として利用者のメールアドレスや氏名、ＩＰ（Internet Protocol）アドレス等を指定することができる暗号方式である（例えば、非特許文献１）。

ＩＤベース暗号技術により暗号化・復号を実現するシステムは、秘密鍵生成センタ（ＰＫＧ：private key generator）と、利用者（受信者）端末と、送信者端末とで構成され、次のような処理を実行する。まず、秘密鍵生成センタは、システム・セットアップとして公開パラメータとマスタ秘密鍵を生成し、公開パラメータをシステムに属する利用者端末や送信者端末に公開する。利用者端末は、ある識別子ＩＤに対する秘密鍵の生成を秘密鍵生成センタに要求する。秘密鍵生成センタは、利用者端末から識別子ＩＤを受け取ると、この識別ＩＤと公開パラメータ及びマスタ秘密鍵からその識別子ＩＤに対応する秘密鍵を生成し、この秘密鍵を利用者端末に送信する。送信者端末は、利用者端末に送信したいメッセージを公開パラメータとその利用者端末の識別子ＩＤとを用いて暗号化し、この暗号化によって得られた暗号文を当該利用者端末に送信する。暗号文を受信した利用者端末は、公開パラメータと自身の識別子ＩＤに対応する秘密鍵とを用いて暗号文を復号する。以上によって暗号化・復号が実現される。

ところで、近年、クラウド技術の進歩に伴って、複数のデバイスから同一のサービスを享受できる機会が増加している。例えば、Ｗｅｂメールサービスでは、デスクトップＰＣ、タブレットＰＣ、スマートフォンのような様々なデバイスで同一のメールアドレスを利用することができる。

このような状況を鑑みると、ＩＤベース暗号技術により暗号化・復号を実現するシステムにおいても同様のシナリオを考慮する必要がある。具体的には、例えば、あるクラウドサービスのアカウントを識別子ＩＤに用いて、利用者の識別子ＩＤに対応する秘密鍵を複数のデバイスに格納して運用し、その識別子ＩＤによって暗号化されたデータを当該デバイスで復号して利用する、といったシナリオを考慮する必要がある。一方で、このとき、将来にわたって同一のデバイスが使用し続けられるとは限らず、デバイスの追加や破棄も想定される。また、利用者のアカウントが停止又は削除されることも想定される。したがって、例えば、デバイスが破棄された場合には、他のデバイスで利用されている秘密鍵が、破棄されたデバイスから得られない仕組みが必要である。また、利用者のアカウントが停止又は削除された場合には、そのアカウントに対応する秘密鍵を持つすべてのデバイスでデータを復号できないようにする仕組みも必要である。

Ryuichi SAKAI, Masao KASAHARA, "ID based Cryptosystems with Pairing on Elliptic Curve"

しかしながら、非特許文献１に記載されているような既存のＩＤベース暗号技術では、デバイスの廃棄やアカウントの停止・削除に伴って秘密鍵がデバイスから適切に削除できるとは言い難い。

既存のＩＤベース暗号技術では、１つの識別子ＩＤに対応する秘密鍵を持つデバイスがあれば、その識別子ＩＤで暗号化された暗号文をいつでも復号できる。したがって、例えば、破棄されたデバイスからその識別子ＩＤに対応する秘密鍵が得られれば、そのデバイスが破棄された後であっても、当該識別子ＩＤで暗号化されたメッセージを読み取ることが可能になってしまう。

本発明の一実施形態は、上記の点に鑑みてなされたもので、デバイスの復号可否を制御可能なＩＤベース暗号を実現することを目的とする。

上記目的を達成するため、一実施形態に係る暗号システムは、秘密鍵生成センタと、１以上の代表端末と、前記代表端末と同一のユーザが利用する１以上の子端末と、１以上の送信端末とが含まれる暗号システムであって、前記秘密鍵生成センタは、階層型ＩＤベース暗号の公開パラメータと、マスタ秘密鍵とを生成するセットアップ部と、前記代表端末の識別子と、前記マスタ秘密鍵と、前記公開パラメータとを用いて、前記代表端末のユーザ秘密鍵を生成する第１のユーザ秘密鍵生成部と、を有し、前記代表端末は、自身を利用するユーザと同一のユーザが利用する子端末の識別子で構成されるデバイスリストを記憶する記憶部と、自身の識別子に対応するユーザ秘密鍵と、前記デバイスリストの更新時間を表すデバイス更新時間と、前記公開パラメータとを用いて、前記送信端末から送信される暗号文を復号するためのデバイス秘密鍵を生成するデバイス秘密鍵生成部と、前記デバイスリストに含まれる識別子が表す子端末に対して前記デバイス秘密鍵を送信する第１の送信部と、を有し、前記送信端末は、前記代表端末の識別子と、前記デバイス更新時間とを用いて、メッセージを暗号化した暗号文を生成する暗号化部と、前記代表端末又は前記子端末に前記暗号文を送信する第２の送信部と、を有する。

デバイスの復号可否を制御可能なＩＤベース暗号を実現することができる。

第一の実施形態に係る暗号システムの全体構成例を示す図である。 秘密鍵生成センタの機能構成例を示す図である。 代表端末の機能構成例を示す図である。 子端末の機能構成例を示す図である。 送信端末の機能構成例である。 実施例１－１における鍵生成例を説明するための図である。 実施例１－２における鍵生成例を説明するための図である。 第二の実施形態に係る暗号システムの全体構成例を示す図である。 識別子発行サーバの機能構成例を示す図である。 実施例２－１における鍵生成例を説明するための図である。 実施例２－２における鍵生成例を説明するための図である。 コンピュータのハードウェア構成例を示す図である。

以下、本発明の実施形態として、第一の実施形態と第二の実施形態について説明する。以下の各実施形態では、ＩＤベース暗号によって暗号文の復号が可能な複数のデバイスをユーザが管理している状況を想定し、あるデバイスが廃棄された場合にはそのデバイスが持つ秘密鍵では復号ができないように制御したり、当該識別子ＩＤが失効した場合にはすべてのデバイスで復号ができないように制御したりすることが可能な暗号システム１について説明する。

［準備］
各実施形態を説明する前に、その準備として、階層型ＩＤベース暗号（ＨＩＢＥ：Hierarchical Identity-Based Encryption）方式について説明する。

ユーザの識別子はＩＤ＝（ＩＤ_１，・・・，ＩＤ_ｔ）のように階層的に与えられているものとする。ｔは階層を表し、ＩＤ_ｔは第ｔ階層目の識別子である。

２つの識別子ＩＤ，ＩＤ'に対して、ＩＤ＝（ＩＤ_１，・・・，ＩＤ_ｔ－１）、かつ、ＩＤ'＝（ＩＤ_１，・・・，ＩＤ_ｔ－１，ＩＤ_ｔ）であるとき、ｐａ（ＩＤ）＝ＩＤ'と書くことにする。なお、ｔ＝１の場合、ＩＤ'はＰＫＧを指すものとする（つまり、第０階層目がＰＫＧである。）。

このとき、階層型ＩＤベース暗号方式は、以下の４つのアルゴリズム（ＨＩＢＥ．Ｓｅｔｕｐ，ＨＩＢＥ．ＫｅｙＧｅｎ，ＨＩＢＥ．Ｅｎｃｒｙｐｔ，ＨＩＢＥ．Ｄｅｃｒｙｐｔ）で構成される。

（ｐｐ，ｍｓｋ）←ＨＩＢＥ．Ｓｅｔｕｐ（１^κ）：セキュリティパラメータκに対応するビット列１^κ（つまり、１のκビット列）を入力として、公開パラメータｐｐとマスタ秘密鍵ｍｓｋとを生成及び出力する。

ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ｐａ（ＩＤ）}，ＩＤ）：公開パラメータｐｐと秘密鍵ｓｋ_{ｐａ（ＩＤ）}と識別子ＩＤとを入力として、当該識別子ＩＤに対応する秘密鍵ｓｋ_ＩＤを生成及び出力する。なお、ｔ＝１の場合、ｓｋ_{ｐａ（ＩＤ）}＝ｍｓｋである。

Ｃ←ＨＩＢＥ．Ｅｎｃｒｙｐｔ（ｐｐ，ＩＤ，Ｍ）：公開パラメータｐｐと識別子ＩＤと平文Ｍとを入力として、暗号文Ｃを生成及び出力する。

Ｍ'←ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ，ｓｋ_ＩＤ，Ｃ）：公開パラメータｐｐと識別子ＩＤと秘密鍵ｓｋ_ＩＤと暗号文Ｃとを入力として、平文Ｍ'を生成及び出力する。

また、任意の（ｐｐ，ｍｓｋ）←ＨＩＢＥ．Ｓｅｔｕｐ（１^κ）と、任意の平文Ｍと、任意の識別子ＩＤと、その識別子ＩＤに対応する秘密鍵ｓｋ_ＩＤ←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ｐａ（ＩＤ）}，ＩＤ）とに対して、Ｍ＝ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ，ｓｋ_ＩＤ，ＨＩＢＥ．Ｅｎｃｒｙｐｔ（ｐｐ，ＩＤ，Ｍ））を満たすものとする。

上記の階層型ＩＤベース暗号方式の一例としては、例えば、特許第５０９７１０２号公報に記載されている方式が挙げられる。

［第一の実施形態］
以下では、第一の実施形態について説明する。

＜暗号システム１の全体構成例＞
本実施形態に係る暗号システム１の全体構成例を図１に示す。図１に示すように、本実施形態に係る暗号システム１は、インターネット等のネットワーク９０を介して互いに接続される複数のエンティティで構成される。エンティティとしては、秘密鍵生成センタ１０、代表端末２０_ｉ（ｉ＝１，・・・，ｎ）、子端末３０_ｉ，ｊ（ｉ＝１，・・・，ｎ ｊ＝１，・・・，ｍ_ｉ）、タイムサーバ４０、送信端末５０が存在する。

秘密鍵生成センタ１０は、ＰＫＧとして機能するサーバである。代表端末２０_ｉは、識別子ＩＤ_ｉに対応する秘密鍵を持つデバイスである。子端末３０_ｉ，ｊは、代表端末２０_ｉと同じ識別子ＩＤ_ｉに対応する秘密鍵を持つデバイスである。代表端末２０_ｉと子端末３０_ｉ，ｊ（ｊ＝１，・・・，ｍ_ｉ）は、同一ユーザのデバイス群を表すユーザ端末群ｉを構成する。ｎは代表端末２０_ｉの総数、ｍ_ｉは識別子ＩＤ_ｉに対応する秘密鍵を持つ子端末３０_ｉ，ｊの総数を表す。

ここで、代表端末２０_ｉには識別子ＩＤ_ｉが割り当てられているものとする。識別子ＩＤ_ｉとしては、例えば、電話番号、メールアドレス、マイナンバー、社員番号、ソーシャルメディアアカウントのユーザＩＤ、代表端末２０_ｉの製造固有番号、ＩＰアドレス、ＭＡＣ（Media Access Control）アドレス等が挙げられる。ただし、これらは一例であって、人や組織、機器等の中で一意に識別可能な情報であれば任意の情報を識別子ＩＤ_ｉとして用いることが可能である。以下では、代表端末２０_ｉに割り当てられている識別子ＩＤ_ｉのことをユーザ識別子ＩＤ_ｉとも呼ぶことにする。

また、子端末３０_ｉ，ｊにも識別子ＩＤ_ｉ，ｊが割り当てられているものとする。識別子ＩＤ_ｉ，ｊとしては、例えば、子端末３０_ｉ，ｊが携帯電話やスマートフォン等であれば、ＩＭＥＩ（International Mobile Equipment Identity）、ＳＩＭ（Subscriber Identity Module）カードに紐付いた電話番号等が挙げられる。ただし、これらは一例であって、子端末３０_ｉ，ｊを識別可能な情報であれば任意の情報を識別子ＩＤ_ｉ，ｊとして用いることが可能である。以下では、子端末３０_ｉ，ｊに割り当てられている識別子ＩＤ_ｉ，ｊのことをデバイス識別子ＩＤ_ｉ，ｊとも呼ぶことにする。

タイムサーバ４０は、他のエンティティに時刻情報を配信するサーバである。これにより、本実施形態に係る暗号システム１を構成する各エンティティの時刻情報は同期されているものとする。この時刻情報は、後述するデバイス更新時間τやユーザ更新時間Ｔ、それらの更新間隔Δτ、ΔＴの特定又は算出に用いられる。

タイムサーバ４０としては、例えば、ＮＴＰ（Network Time Protocol）サーバ等が挙げられるが、これに限られるものではない。なお、図１に示す例ではタイムサーバ４０が１台のみ図示されているが、互いに時刻同期されていれば、複数のタイムサーバ４０が存在してもよい。

送信端末５０は、ユーザ識別子ＩＤ_ｉを用いてメッセージ（平文）を暗号化し、代表端末２０_ｉ又は子端末３０_ｉ，ｊに送信する。なお、代表端末２０_ｉ（ｉ＝１，・・・，ｎ）及び子端末３０_ｉ，ｊ（ｉ＝１，・・・，ｎ ｊ＝１，・・・，ｍ_ｉ）のいずれかが送信端末５０として機能してもよい。

＜機能構成例＞
秘密鍵生成センタ１０の機能構成例を図２に示す。図２に示すように、秘密鍵生成センタ１０は、セットアップ処理部１０１と、ユーザ秘密鍵生成部１０２とを有する。これら各部は、例えば、秘密鍵生成センタ１０にインストールされた１以上のプログラムが、ＣＰＵ（Central Processing Unit）等のプロセッサに実行させる処理により実現される。また、秘密鍵生成センタ１０は、記憶部１０３を有する。記憶部１０３は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、フラッシュメモリ等のメモリ装置により実現される。

セットアップ処理部１０１は、ＨＩＢＥ．Ｓｅｔｕｐアルゴリズムを実行し、公開パラメータとマスタ秘密鍵とを生成及び出力する。ユーザ秘密鍵生成部１０２は、ＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムを実行し、秘密鍵を生成及び出力する。記憶部１０３は、各種情報（例えば、マスタ秘密鍵、時刻情報、公開パラメータ等）を記憶する。

代表端末２０_ｉの機能構成例を図３に示す。図３に示すように、代表端末２０_ｉは、デバイス秘密鍵生成部２０１_ｉと、復号部２０２_ｉと、リスト更新部２０３_ｉとを有する。これら各部は、例えば、代表端末２０_ｉにインストールされた１以上のプログラムが、プロセッサに実行させる処理により実現される。また、代表端末２０_ｉは、記憶部２０４_ｉを有する。記憶部２０４_ｉは、例えば、メモリ装置により実現される。

デバイス秘密鍵生成部２０１_ｉは、ＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムを実行し、子端末３０_ｉ，ｊの秘密鍵（以下、この秘密鍵をデバイス秘密鍵ともいう。）を生成及び出力する。復号部２０２_ｉは、ＨＩＢＥ．Ｄｅｃｒｙｐｔアルゴリズムを実行し、送信端末５０から受け取った暗号文を復号する。リスト更新部２０３_ｉは、代表端末２０_ｉが持つデバイスリストＬｉｓｔ_ｉを更新する。デバイスリストＬｉｓｔ_ｉは、子端末３０_ｉ，ｊのデバイス識別子ＩＤ_ｉ，ｊを要素として持つリスト形式のデータである。記憶部２０４_ｉは、各種情報（例えば、自身のユーザ識別子ＩＤ_ｉ、このユーザ識別子ＩＤ_ｉに対応する秘密鍵、時刻情報、公開パラメータ、デバイスリストＬｉｓｔ_ｉ等）を記憶する。

子端末３０_ｉ，ｊの機能構成例を図４に示す。図４に示すように、子端末３０_ｉ，ｊは、復号部３０１_ｉ，ｊを有する。復号部３０１_ｉ，ｊは、例えば、子端末３０_ｉ，ｊにインストールされた１以上のプログラムが、プロセッサに実行させる処理により実現される。また、子端末３０_ｉ，ｊは、記憶部３０２_ｉ，ｊを有する。記憶部３０２_ｉ，ｊは、例えば、メモリ装置により実現される。

復号部３０１_ｉ，ｊは、ＨＩＢＥ．Ｄｅｃｒｙｐｔアルゴリズムを実行し、送信端末５０から受け取った暗号文を復号する。記憶部３０２_ｉ，ｊは、各種情報（例えば、自身のデバイス識別子ＩＤ_ｉ，ｊ、デバイス秘密鍵、時刻情報、公開パラメータ等）を記憶する。

送信端末５０の機能構成例を図５に示す。図５に示すように、送信端末５０は、暗号化部５０１を有する。暗号化部５０１は、例えば、送信端末５０にインストールされた１以上のプログラムが、プロセッサに実行させる処理により実現される。また、送信端末５０は、記憶部５０２を有する。記憶部５０２は、例えば、メモリ装置により実現される。

暗号化部５０１は、ＨＩＢＥ．Ｅｎｃｒｙｐｔアルゴリズムを実行し、メッセージ（平文）を暗号化する、記憶部５０２は、各種情報（例えば、ユーザ識別子、時刻情報、公開パラメータ等）を記憶する。

＜実施例１－１＞
以下では、実施例１－１について説明する。本実施例では、ユーザ端末群ｉの子端末３０_ｉ，ｊを追加・削除した場合に、その子端末３０_ｉ，ｊの復号可否を制御する場合について説明する。

ここで、本実施例では、代表端末２０_ｉがある更新間隔ΔτごとにデバイスリストＬｉｓｔ_ｉの更新（デバイス識別子ＩＤ_ｉ，ｊの追加・削除）を行うと共にデバイス秘密鍵を生成し、自身で管理しているデバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊにそのデバイス秘密鍵を配信する。このとき、デバイス秘密鍵を生成する際には、ユーザ識別子ＩＤ_ｉの他に、デバイス更新時間τを用いる。デバイス更新時間τは更新間隔Δτに従ったものであり、例えば、更新間隔Δτが１時間であればτ＝２０２１０３２５１５（２０２１年３月２５日１５時）というような文字列で与えられ、更新間隔Δτが１日であればτ＝２０２１０３２５（２０２１年３月２５日）というような文字列で与えられる。

また、送信端末５０は、ユーザ識別子ＩＤ_ｉの他に、デバイス更新時間τも用いてメッセージ（平文）を暗号化する。これにより、代表端末２０_ｉの他は、そのデバイス更新時間τにおいてデバイスリストＬｉｓｔ_ｉに含まれているデバイス識別子ＩＤ_ｉ，ｊを持つ子端末ＩＤ_ｉ，ｊのみが復号できるようになる。したがって、例えば、ある子端末３０_ｉ，ｊが破棄され、そのデバイス識別子ＩＤ_ｉ，ｊがデバイスリストＬｉｓｔ_ｉから削除された場合には、その子端末３０_ｉ，ｊが持つデバイス秘密鍵では、それ以降、暗号文の復号ができないように制御することができる。

なお、デバイス更新時間τは更新間隔Δτごとにτ←τ＋Δτと更新され、この更新が行われるごとにデバイスリストＬｉｓｔ_ｉの更新とデバイス秘密鍵の生成とが行われる。デバイス更新時間τは、例えば、更新間隔Δτが１時間、現在のデバイス更新時間がτ＝２０２１０３２５１５であれば、前回の更新から１時間経過時にτ＝２０２１０３２５１６と更新される。同様に、更新間隔Δτが１日、現在のデバイス更新時間がτ＝２０２１０３２５であれば、前回の更新から１日経過時にτ＝２０２１０３２６と更新される。

以下、本実施例におけるセットアップ、ユーザ秘密鍵生成、デバイスリスト更新、デバイス秘密鍵生成、暗号化、復号の各処理について説明する。なお、セキュリティパラメータκは安全性強度を表すものであり、例えば、κ＝１２８やκ＝２５６等とすればよい。

≪実施例１－１におけるセットアップ≫
秘密鍵生成センタ１０のセットアップ処理部１０１は、（ｐｐ，ｍｓｋ）←ＨＩＢＥ．Ｓｅｔｕｐ（１^κ）を実行し、公開パラメータｐｐとマスタ秘密鍵ｍｓｋとを生成及び出力する。公開パラメータｐｐは記憶部１０３に格納されると共に、他のエンティティ（代表端末２０_ｉ、子端末３０_ｉ，ｊ、送信端末５０等）に配布される。マスタ秘密鍵ｍｓｋは記憶部１０３に格納され、秘密に管理される。

≪実施例１－１におけるユーザ秘密鍵生成≫
秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、代表端末２０_ｉからの要求に応じて、この代表端末２０_ｉのユーザ識別子ＩＤ_ｉに対応する秘密鍵ｓｋ_{ＩＤ_ｉ}を生成し、当該代表端末２０_ｉに送信する。なお、秘密鍵ｓｋ_{ＩＤ_ｉ}を代表端末２０_ｉに送信する際には、例えば、ＴＬＳ（Transport Layer Security）等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_ｉ}の送信方法はこれに限定されるものではない。

具体的には、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、代表端末２０_ｉからの要求に応じて、ｓｋ_{ＩＤ_ｉ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｍｓｋ，ＩＤ_ｉ）を実行し、この秘密鍵ｓｋ_{ＩＤ_ｉ}を当該代表端末２０_ｉに送信する。秘密鍵ｓｋ_{ＩＤ_ｉ}は記憶部２０４_ｉに格納され、秘密に管理される。

≪実施例１－１におけるデバイスリスト更新≫
デバイス更新時間τが更新された場合、代表端末２０_ｉのリスト更新部２０３_ｉは、デバイスリストＬｉｓｔ_ｉを更新する。ここで、デバイスリストＬｉｓｔ_ｉに追加するデバイス識別子のリストをＡｄｄＤｅｖ_ｉ、デバイスリストＬｉｓｔ_ｉから削除するデバイス識別子のリストをＤｅｌＤｅｖ_ｉとする。なお、ＡｄｄＤｅｖ_ｉ及びＤｅｌＤｅｖ_ｉは代表端末２０_ｉに与えられ、いずれか一方又は両方が空のリストであってもよい。

このとき、代表端末２０_ｉのリスト更新部２０３_ｉは、Ｌｉｓｔ_ｉ←（Ｌｉｓｔ_ｉ＼ＤｅｌＤｅｖ_ｉ）∪ＡｄｄＤｅｖ_ｉによりデバイスリストＬｉｓｔ_ｉを更新する。なお、更新後のデバイスリストＬｉｓｔ_ｉは記憶部２０４_ｉに格納される。

≪実施例１－１におけるデバイス秘密鍵生成≫
デバイスリストＬｉｓｔ_ｉが更新された場合、代表端末２０_ｉのデバイス秘密鍵生成部２０１_ｉは、自身のユーザ識別子ＩＤ_ｉに対応する秘密鍵ｓｋ_{ＩＤ_ｉ}とデバイス更新時間τとを用いてデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を生成し、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊに当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を送信する。なお、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を子端末３０_ｉ，ｊに送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}の送信方法はこれに限定されるものではない。

具体的には、代表端末２０_ｉのデバイス秘密鍵生成部２０１_ｉは、ＩＤ_ｉ，τ＝（ＩＤ_ｉ，τ）という形の階層的な識別子を作成した上で、ｄｓｋ_{ＩＤ_ｉ，τ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ＩＤ_ｉ}，ＩＤ_ｉ，τ）を実行し、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊに当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を送信する。なお、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}は代表端末２０_ｉの記憶部２０４_ｉに格納されると共に、当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を受け取った子端末３０_ｉ，ｊの記憶部３０２_ｉ，ｊに格納され、秘密に管理される。

≪実施例１－１における暗号化≫
代表端末２０_ｉ又はその子端末３０_ｉ，ｊにメッセージＭの暗号文を送信する場合、送信端末５０の暗号化部５０１は、ユーザ識別子ＩＤ_ｉとデバイス更新時間τとを用いてメッセージＭを暗号化し、その暗号文を当該代表端末２０_ｉ又は子端末３０_ｉ，ｊに送信する。

具体的には、送信端末５０の暗号化部５０１は、ＩＤ_ｉ，τ＝（ＩＤ_ｉ，τ）という形の階層的な識別子を作成した上で、Ｃ←ＨＩＢＥ．Ｅｎｃｒｙｐｔ（ｐｐ，ＩＤ_ｉ，τ，Ｍ）を実行し、代表端末２０_ｉ又は子端末３０_ｉ，ｊに暗号文Ｃを送信する。

≪実施例１－１における復号≫
代表端末２０_ｉが暗号文Ｃを受け取った場合、当該代表端末２０_ｉの復号部２０２_ｉは、Ｍ←ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ_ｉ，τ，ｄｓｋ_{ＩＤ_ｉ，τ}，Ｃ）を実行し、暗号文Ｃを復号する。この復号により得られたメッセージＭは記憶部２０４_ｉに格納される。

同様に、子端末３０_ｉ，ｊが暗号文Ｃを受け取った場合、当該子端末３０_ｉ，ｊの復号部３０１_ｉ，ｊは、Ｍ←ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ_ｉ，τ，ｄｓｋ_{ＩＤ_ｉ，τ}，Ｃ）を実行し、暗号文Ｃを復号する。なお、これは、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を持つ子端末３０_ｉ，ｊのみが実行可能である。この復号により得られたメッセージＭは記憶部３０２_ｉ，ｊに格納される。

≪実施例１－１のまとめ≫
以上のように、本実施例では、ユーザ識別子ＩＤ_ｉとデバイス更新時間τから階層的な識別子ＩＤ_ｉ，τ＝（ＩＤ_ｉ，τ）を作成した上で、この識別子ＩＤ_ｉ，τに対応するデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊに配布する。また、メッセージＭを暗号化する際にも同様に識別子ＩＤ_ｉ，τを作成した上で、この識別子ＩＤ_ｉ，τを用いて暗号文Ｃを作成する。

これにより、代表端末２０_ｉの他は、デバイスリストＬｉｓｔ_ｉに含まれているデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊのみがデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}によって暗号文Ｃを復号することができる。したがって、例えば、ある子端末３０_ｉ，ｊが破棄され、そのデバイス識別子ＩＤ_ｉ，ｊがデバイスリストＬｉｓｔ_ｉから削除された場合には、その子端末３０_ｉ，ｊが持つデバイス秘密鍵が漏洩したとしても、そのデバイス秘密鍵により暗号文が復号されてしまう事態を防止することが可能となる。

ここで、本実施例における鍵生成の際の識別子と秘密鍵の関係を図６に示す。図６に示すように、秘密鍵生成センタ１０は第０階層目に相当し、代表端末２０_ｉのユーザ識別子ＩＤ_ｉに対応する秘密鍵ｓｋ_{ＩＤ_ｉ}を生成し、当該代表端末２０_ｉに配布する。代表端末２０_ｉは第１階層目に相当し、識別子ＩＤ_ｉ，τ＝（ＩＤ_ｉ，τ）に対応する秘密鍵ｓｋ_{ＩＤ_ｉ，τ}を生成し、自身の子端末３０_ｉ，ｊ（ただし、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊ）に配布する。各子端末３０_ｉ，ｊは第２階層目に相当する。

＜実施例１－２＞
以下では、実施例１－２について説明する。本実施例では、実施例１－１に加えて、ユーザ識別子ＩＤ_ｉが失効した場合に、ユーザ端末群ｉに含まれる代表端末２０_ｉとすべての子端末３０_ｉ，ｊで復号できないように制御する場合について説明する。なお、識別子ＩＤの失効には、その識別子ＩＤ（又は、その識別子ＩＤに対応するアカウント）が停止又は削除された場合が含まれるものとする。

ここで、本実施例では、秘密鍵生成センタ１０が代表端末２０_ｉの秘密鍵を生成する際に、ユーザ識別子ＩＤ_ｉの他に、ユーザ更新時間Ｔも用いて、ユーザ識別子ＩＤ_ｉに対応する秘密鍵を定期的に生成する。このとき、例えば、あるユーザ更新時間Ｔでユーザ識別子ＩＤ_ｉを失効させる場合、Ｔ＋ΔＴ以降では、ユーザ識別子ＩＤ_ｉに対応する秘密鍵の生成を行わないようにする。ここで、ΔＴはユーザ更新時間Ｔの更新間隔である。ユーザ更新時間Ｔは更新間隔ΔＴごとにＴ←Ｔ＋ΔＴと更新される。

また、送信端末５０は、ユーザ識別子ＩＤ_ｉの他に、ユーザ更新時間Ｔとデバイス更新時間τも用いてメッセージ（平文）を暗号化する。これにより、あるユーザ更新時間Ｔでユーザ識別子ＩＤ_ｉが失効された場合、Ｔ＋ΔＴ以降では、代表端末２０_ｉとすべての子端末３０_ｉ，ｊで復号ができないように制御することができる。

なお、ユーザ更新時間Ｔとデバイス更新時間τとの間には、特に依存関係はなく、互いに独立である。例えば、ユーザ更新時間Ｔの更新間隔ΔＴを１年（例えば、Ｔ＝２０２１、ΔＴ＝１）、デバイス更新時間τの更新間隔Δτを１か月（例えば、τ＝２０２１０３、Δτ＝１）等と設定されてもよい。

以下、本実施例におけるセットアップ、ユーザ秘密鍵生成、デバイスリスト更新、デバイス秘密鍵生成、暗号化、復号の各処理について説明する。

≪実施例１－２におけるセットアップ≫
本実施例におけるセットアップは、実施例１－１と同様であるため、その説明を省略する。

≪実施例１－２におけるユーザ秘密鍵生成≫
秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、代表端末２０_ｉからの要求に応じて、この代表端末２０_ｉのユーザ識別子ＩＤ_ｉとユーザ更新時間Ｔとの連結文字列ＩＤ_ｉ||Ｔに対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成し、当該代表端末２０_ｉに送信する。なお、秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を代表端末２０_ｉに送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}の送信方法はこれに限定されるものではない。

具体的には、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、代表端末２０_ｉからの要求に応じて、ｓｋ_{ＩＤ_ｉ，Ｔ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｍｓｋ，ＩＤ_ｉ||Ｔ）を実行し、この秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を当該代表端末２０_ｉに送信する。秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}は記憶部２０４_ｉに格納され、秘密に管理される。

なお、上述したように、あるユーザ更新時間Ｔであるユーザ識別子ＩＤ_ｉ'を失効させる場合、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、Ｔ＋ΔＴ以降のユーザ更新時間Ｔ'ではそのユーザ識別子ＩＤ_ｉ'に対応する秘密鍵ｓｋ_{ＩＤ_ｉ'，Ｔ'}の生成を行わないようにする。

≪実施例１－２におけるデバイスリスト更新≫
本実施例におけるデバイスリスト更新は、実施例１－１と同様であるため、その説明を省略する。

≪実施例１－２におけるデバイス秘密鍵生成≫
デバイスリストＬｉｓｔ_ｉが更新された場合、代表端末２０_ｉのデバイス秘密鍵生成部２０１_ｉは、連結文字列ＩＤ_ｉ||Ｔに対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}とデバイス更新時間τとを用いてデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成し、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊに当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を送信する。なお、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を子端末３０_ｉ，ｊに送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}の送信方法はこれに限定されるものではない。

具体的には、代表端末２０_ｉのデバイス秘密鍵生成部２０１_ｉは、ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_ｉ||Ｔ，τ）という形の階層的な識別子を作成した上で、ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ＩＤ_ｉ，Ｔ}，ＩＤ_{ｉ，Ｔ，τ}）を実行し、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊに当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を送信する。なお、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}は代表端末２０_ｉの記憶部２０４_ｉに格納されると共に、当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を受け取った子端末３０_ｉ，ｊの記憶部３０２_ｉ，ｊに格納され、秘密に管理される。

≪実施例１－２における暗号化≫
代表端末２０_ｉ又はその子端末３０_ｉ，ｊにメッセージＭの暗号文を送信する場合、送信端末５０の暗号化部５０１は、ユーザ識別子ＩＤ_ｉとユーザ更新時間Ｔとデバイス更新時間τとを用いてメッセージＭを暗号化し、その暗号文を当該代表端末２０_ｉ又は子端末３０_ｉ，ｊに送信する。

具体的には、送信端末５０の暗号化部５０１は、ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_ｉ||Ｔ，τ）という形の階層的な識別子を作成した上で、Ｃ←ＨＩＢＥ．Ｅｎｃｒｙｐｔ（ｐｐ，ＩＤ_{ｉ，Ｔ，τ}，Ｍ）を実行し、代表端末２０_ｉ又は子端末３０_ｉ，ｊに暗号文Ｃを送信する。

≪実施例１－２における復号≫
代表端末２０_ｉが暗号文Ｃを受け取った場合、当該代表端末２０_ｉの復号部２０２_ｉは、Ｍ←ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ_{ｉ，Ｔ，τ}，ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}，Ｃ）を実行し、暗号文Ｃを復号する。この復号により得られたメッセージＭは記憶部２０４_ｉに格納される。

同様に、子端末３０_ｉ，ｊが暗号文Ｃを受け取った場合、当該子端末３０_ｉ，ｊの復号部３０１_ｉ，ｊは、Ｍ←ＨＩＢＥ．Ｄｅｃｒｙｐｔ（ｐｐ，ＩＤ_{ｉ，Ｔ，τ}，ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}，Ｃ）を実行し、暗号文Ｃを復号する。なお、これは、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を持つ子端末３０_ｉ，ｊのみが実行可能である。この復号により得られたメッセージＭは記憶部３０２_ｉ，ｊに格納される。

≪実施例１－２のまとめ≫
以上のように、本実施例では、ユーザ識別子ＩＤ_ｉとユーザ更新時間Ｔとの連結文字列ＩＤ_ｉ||Ｔに対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成し、この秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を代表端末２０_ｉに配布する。そして、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成する際には、階層的な識別子ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_ｉ||Ｔ，τ）を作成した上で、この識別子ＩＤ_{ｉ，Ｔ，τ}を用いて当該デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成する。また、メッセージＭを暗号化する際にも同様に識別子ＩＤ_{ｉ，Ｔ，τ}を作成した上で、この識別子ＩＤ_ｉ，τを用いて暗号文Ｃを作成する。

これにより、デバイス更新時間τだけでなく、ユーザ更新時間Ｔにも依存するデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成することができる。したがって、例えば、あるユーザ更新時間Ｔであるユーザ識別子ＩＤ_ｉ'を失効させる場合には、Ｔ＋ΔＴ以降のユーザ更新時間Ｔ'ではそのユーザ識別子ＩＤ_ｉ'に対応する秘密鍵ｓｋ_{ＩＤ_ｉ'，Ｔ'}の生成を行わないようにすればよい。本実施例により、例えば、ユーザ更新時刻Ｔでユーザ識別子ＩＤ_ｉ'が失効された場合、それ以降のユーザ更新時間Ｔ'（≧Ｔ＋ΔＴ）では、代表端末２０_ｉ'及びその子端末３０_ｉ'，ｊが復号できないようにすることができる。また、仮にデバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ'，Ｔ}が漏洩したとしても、ユーザ更新時間Ｔ'（≧Ｔ＋ΔＴ）では復号することができないようにすることができる。

ここで、本実施例における鍵生成の際の識別子と秘密鍵の関係を図７に示す。図７に示すように、秘密鍵生成センタ１０は第０階層目に相当し、代表端末２０_ｉのユーザ識別子ＩＤ_ｉとユーザ更新時間Ｔに対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成し、当該代表端末２０_ｉに配布する。代表端末２０_ｉは第１階層目に相当し、識別子ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_ｉ||Ｔ，τ）に対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成し、自身の子端末３０_ｉ，ｊ（ただし、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊ）に配布する。各子端末３０_ｉ，ｊは第２階層目に相当する。

［第二の実施形態］
以下では、第二の実施形態について説明する。本実施形態では、ユーザ識別子ＩＤ_ｉを発行する識別子発行サーバ６０が存在する場合について説明する。なお、第一の実施形態と同様の構成要素については、その説明を省略するものとする。

＜暗号システム１の全体構成例＞
本実施形態に係る暗号システム１の全体構成例を図８に示す。図８に示すように、本実施形態に係る暗号システム１は、エンティティとして更に識別子発行サーバ６０が存在する。

識別子発行サーバ６０は、クラウドサービス等のアプリケーションを提供するサービス事業者が持つサーバである。識別子発行サーバ６０は、自身の秘密鍵と、自身が管理するユーザ識別子ＩＤ_ｉとを用いて、そのユーザＩＤ識別子ＩＤ_ｉを持つ代表端末２０_ｉの秘密鍵を生成する。

ここで、識別子発行サーバ６０には識別子ＩＤ_Ｓが割り当てられているものとする。識別子ＩＤ_Ｓとしては、例えば、電話番号、メールアドレス、マイナンバー、識別子発行サーバ６０の製造固有番号、ＩＰアドレス、ＭＡＣアドレス等が挙げられる。ただし、これらは一例であって、機器等の中で一意に識別可能な情報であれば任意の情報を識別子ＩＤ_Ｓとして用いることが可能である。

なお、すべてのユーザ識別子ＩＤ_ｉ（ｉ＝１，・・・，ｎ）が識別子発行サーバ６０で管理されている必要はなく、例えば、一部のユーザ識別子ＩＤ_ｉのみ（例えば、ｉ＝１，・・・，ｎ_１のユーザ識別子ＩＤ_ｉ）が識別子発行サーバ６０で管理されていてもよい。また、図８に示す例では識別子発行サーバ６０が１台のみ図示されているが、複数の識別子発行サーバ６０が存在してもよい。例えば、クラウドサービスＡのユーザ識別子ＩＤ_ｉを管理する識別子発行サーバ６０Ａと、クラウドサービスＢのユーザ識別子ＩＤ_ｉを管理する識別子発行サーバ６０Ｂとが存在してもよい。

＜機能構成例＞
識別子発行サーバ６０の機能構成例を図９に示す。図９に示すように、識別子発行サーバ６０は、ユーザ秘密鍵生成部６０１を有する。ユーザ秘密鍵生成部６０１は、例えば、識別子発行サーバ６０にインストールされた１以上のプログラムが、プロセッサに実行させる処理により実現される。また、識別子発行サーバ６０は、記憶部６０２を有する。記憶部６０２は、例えば、メモリ装置により実現される。

ユーザ秘密鍵生成部６０１は、ＨＩＢＥ．ＫｅｙＧｅｎアルゴリズムを実行し、秘密鍵を生成及び出力する。記憶部６０２は、各種情報（例えば、自身の識別子ＩＤ_Ｓ、このユーザ識別子ＩＤ_Ｓに対応する秘密鍵、自身が管理しているユーザ識別子ＩＤ_ｉ、時刻情報、公開パラメータ等）を記憶する。

＜実施例２－１＞
以下では、実施例２－１について説明する。本実施例では、ユーザ端末群ｉの子端末３０_ｉ，ｊを追加・削除した場合に、その子端末３０_ｉ，ｊの復号可否を制御する場合について説明する。

以下、本実施例におけるセットアップ、ユーザ秘密鍵生成、デバイスリスト更新、デバイス秘密鍵生成、暗号化、復号の各処理について説明する。

≪実施例２－１におけるセットアップ≫
本実施例におけるセットアップは、実施例１－１と同様であるため、その説明を省略する。

≪実施例２－１におけるユーザ秘密鍵生成≫
秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、識別子発行サーバ６０からの要求に応じて、この識別子発行サーバ６０の識別子ＩＤ_Ｓに対応する秘密鍵ｓｋ_{ＩＤ_Ｓ}を生成し、当該識別子発行サーバ６０に送信する。なお、秘密鍵ｓｋ_{ＩＤ_Ｓ}を識別子発行サーバ６０に送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_Ｓ}の送信方法はこれに限定されるものではない。

具体的には、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、識別子発行サーバ６０からの要求に応じて、ｓｋ_{ＩＤ_Ｓ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｍｓｋ，ＩＤ_Ｓ）を実行し、この秘密鍵ｓｋ_{ＩＤ_Ｓ}を当該識別子発行サーバ６０に送信する。秘密鍵ｓｋ_{ＩＤ_Ｓ}は記憶部６０２に格納され、秘密に管理される。

次に、識別子発行サーバ６０のユーザ秘密鍵生成部６０１は、識別子ＩＤ_Ｓと自身が管理しているユーザ識別子ＩＤ_ｉとに対応する秘密鍵ｓｋ_{ＩＤ_ｉ}を生成し、当該ユーザ識別子ＩＤ_ｉを持つ代表端末２０_ｉに送信する。なお、秘密鍵ｓｋ_{ＩＤ_ｉ}を代表端末２０_ｉに送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_ｉ}の送信方法はこれに限定されるものではない。

具体的には、識別子発行サーバ６０のユーザ秘密鍵生成部６０１は、ｓｋ_{ＩＤ_ｉ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ＩＤ_Ｓ}，（ＩＤ_Ｓ，ＩＤ_ｉ））を実行し、この秘密鍵ｓｋ_{ＩＤ_ｉ}を当該代表端末２０_ｉに送信する。秘密鍵ｓｋ_{ＩＤ_ｉ}は記憶部２０４に格納され、秘密に管理される。

≪実施例２－１におけるデバイスリスト更新≫
本実施例におけるデバイスリスト更新は、実施例１－１と同様であるため、その説明を省略する。

≪実施例２－１におけるデバイス秘密鍵生成≫
本実施例におけるデバイス秘密鍵生成は、実施例１－１とほぼ同様であるが、ＩＤ_ｉ，τ＝（ＩＤ_Ｓ，ＩＤ_ｉ，τ）という形の階層的な識別子を作成した上で、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，τ}を生成する。その他の点については、実施例１－１と同様であるため、その説明を省略する。

≪実施例２－１における暗号化≫
本実施例における暗号化は、実施例１－１とほぼ同様であるが、ＩＤ_ｉ，τ＝（ＩＤ_Ｓ，ＩＤ_ｉ，τ）という形の階層的な識別子を作成した上で、暗号文Ｃを生成する。その他の点については、実施例１－１と同様であるため、その説明を省略する。

≪実施例２－１における復号≫
本実施例における復号は、実施例１－１とほぼ同様であるが、ＩＤ_ｉ，τ＝（ＩＤ_Ｓ，ＩＤ_ｉ，τ）という形の階層的な識別子を作成した上で、暗号文Ｃを復号する。その他の点については、実施例１－１と同様であるため、その説明を省略する。

≪実施例２－１のまとめ≫
以上のように、本実施例では、ユーザ識別子ＩＤ_ｉを管理する識別子発行サーバ６０が存在し、この識別子発行サーバ６０が秘密鍵ｓｋ_{ＩＤ_ｉ}を生成する。

ここで、本実施例における鍵生成の際の識別子と秘密鍵の関係を図１０に示す。図１０に示すように、秘密鍵生成センタ１０は第０階層目に相当し、識別子発行サーバ６０の識別子ＩＤ_Ｓに対応する秘密鍵ｓｋ_{ＩＤ_Ｓ}を生成し、当該識別子発行サーバ６０に配布する。識別子発行サーバ６０は第１階層目に相当し、識別子発行サーバ６０の識別子ＩＤ_Ｓと代表端末２０_ｉのユーザ識別子ＩＤ_ｉとに対応する秘密鍵ｓｋ_{ＩＤ_ｉ}を生成し、当該代表端末２０_ｉに配布する。代表端末２０_ｉは第２階層目に相当し、識別子ＩＤ_ｉ，τ＝（ＩＤ_Ｓ，ＩＤ_ｉ，τ）に対応する秘密鍵ｓｋ_{ＩＤ_ｉ，τ}を生成し、自身の子端末３０_ｉ，ｊ（ただし、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊ）に配布する。各子端末３０_ｉ，ｊは第３階層目に相当する。

＜実施例２－２＞
以下では、実施例２－２について説明する。本実施例では、実施例２－１に加えて、ユーザ識別子ＩＤ_ｉが失効した場合に、ユーザ端末群ｉに含まれる代表端末２０_ｉとすべての子端末３０_ｉ，ｊで復号できないように制御する場合について説明する。

以下、本実施例におけるセットアップ、ユーザ秘密鍵生成、デバイスリスト更新、デバイス秘密鍵生成、暗号化、復号の各処理について説明する。

≪実施例２－２におけるセットアップ≫
本実施例におけるセットアップは、実施例２－１と同様であるため、その説明を省略する。

≪実施例２－２におけるユーザ秘密鍵生成≫
秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、識別子発行サーバ６０からの要求に応じて、この識別子発行サーバ６０の識別子ＩＤ_Ｓに対応する秘密鍵ｓｋ_{ＩＤ_Ｓ}を生成し、当該識別子発行サーバ６０に送信する。なお、秘密鍵ｓｋ_{ＩＤ_Ｓ}を識別子発行サーバ６０に送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_Ｓ}の送信方法はこれに限定されるものではない。

具体的には、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、識別子発行サーバ６０からの要求に応じて、ｓｋ_{ＩＤ_Ｓ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｍｓｋ，ＩＤ_Ｓ）を実行し、この秘密鍵ｓｋ_{ＩＤ_Ｓ}を当該識別子発行サーバ６０に送信する。秘密鍵ｓｋ_{ＩＤ_Ｓ}は記憶部６０２に格納され、秘密に管理される。

次に、識別子発行サーバ６０のユーザ秘密鍵生成部６０１は、識別子ＩＤ_Ｓと、自身が管理しているユーザ識別子ＩＤ_ｉとユーザ更新時間Ｔとの連結文字列ＩＤ_ｉ||Ｔとに対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成し、当該ユーザ識別子ＩＤ_ｉを持つ代表端末２０_ｉに送信する。なお、秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を代表端末２０_ｉに送信する際には、例えば、ＴＬＳ等の技術によりセキュアな通信路を確立して送信されることが望ましい。ただし、秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}の送信方法はこれに限定されるものではない。

具体的には、識別子発行サーバ６０のユーザ秘密鍵生成部６０１は、ｓｋ_{ＩＤ_ｉ，Ｔ}←ＨＩＢＥ．ＫｅｙＧｅｎ（ｐｐ，ｓｋ_{ＩＤ_Ｓ}，（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ））を実行し、この秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を当該代表端末２０_ｉに送信する。秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}は記憶部２０４に格納され、秘密に管理される。

なお、あるユーザ更新時間Ｔであるユーザ識別子ＩＤ_ｉ'を失効させる場合、秘密鍵生成センタ１０のユーザ秘密鍵生成部１０２は、Ｔ＋ΔＴ以降のユーザ更新時間Ｔ'ではそのユーザ識別子ＩＤ_ｉ'に対応する秘密鍵ｓｋ_{ＩＤ_ｉ'，Ｔ'}の生成を行わないようにする。

≪実施例２－２におけるデバイスリスト更新≫
本実施例におけるデバイスリスト更新は、実施例２－１と同様であるため、その説明を省略する。

≪実施例２－２におけるデバイス秘密鍵生成≫
本実施例におけるデバイス秘密鍵生成は、実施例１－２とほぼ同様であるが、ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ，τ）という形の階層的な識別子を作成した上で、デバイス秘密鍵ｄｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成する。その他の点については、実施例１－２と同様であるため、その説明を省略する。

≪実施例２－２における暗号化≫
本実施例における暗号化は、実施例１－２とほぼ同様であるが、ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ，τ）という形の階層的な識別子を作成した上で、暗号文Ｃを生成する。その他の点については、実施例１－２と同様であるため、その説明を省略する。

≪実施例２－２における復号≫
本実施例における復号は、実施例１－２とほぼ同様であるが、ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ，τ）という形の階層的な識別子を作成した上で、暗号文Ｃを復号する。その他の点については、実施例１－２と同様であるため、その説明を省略する。

≪実施例２－２のまとめ≫
以上のように、本実施例では、ユーザ識別子ＩＤ_ｉを管理する識別子発行サーバ６０が存在し、この識別子発行サーバ６０が秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成する。これにより、本実施例では、識別子発行サーバ６０がユーザ識別子ＩＤ_ｉの失効に伴う復号可否を制御することが可能となる。

ここで、本実施例における鍵生成の際の識別子と秘密鍵の関係を図１１に示す。図１１に示すように、秘密鍵生成センタ１０は第０階層目に相当し、識別子発行サーバ６０の識別子ＩＤ_Ｓに対応する秘密鍵ｓｋ_{ＩＤ_Ｓ}を生成し、当該識別子発行サーバ６０に配布する。識別子発行サーバ６０は第１階層目に相当し、（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ）に対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ}を生成し、当該代表端末２０_ｉに配布する。代表端末２０_ｉは第２階層目に相当し、識別子ＩＤ_{ｉ，Ｔ，τ}＝（ＩＤ_Ｓ，ＩＤ_ｉ||Ｔ，τ）に対応する秘密鍵ｓｋ_{ＩＤ_ｉ，Ｔ，τ}を生成し、自身の子端末３０_ｉ，ｊ（ただし、デバイスリストＬｉｓｔ_ｉに含まれるデバイス識別子ＩＤ_ｉ，ｊを持つ子端末３０_ｉ，ｊ）に配布する。各子端末３０_ｉ，ｊは第３階層目に相当する。

＜ハードウェア構成＞
上記の各実施例における秘密鍵生成センタ１０、代表端末２０_ｉ、子端末３０_ｉ，ｊ、タイムサーバ４０、送信端末５０、識別子発行サーバ６０は、例えば、図１２に示すコンピュータ９００のハードウェア構成で実現することが可能である。

図１２に示すコンピュータ９００は、入力装置９０１と、表示装置９０２と、外部Ｉ／Ｆ９０３と、通信Ｉ／Ｆ９０４と、プロセッサ９０５と、メモリ装置９０６とを有する。これらの各ハードウェアは、それぞれがバス９０７により通信可能に接続される。

入力装置９０１は、例えば、キーボードやマウス、タッチパネル、各種物理ボタン等である。表示装置９０２は、例えば、ディスプレイや表示パネル等である。ただし、コンピュータ９００は、入力装置９０１及び表示装置９０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ９０３は、記録媒体９０３ａ等の外部装置とのインタフェースである。なお、記録媒体９０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ９０４は、インターネット等の通信ネットワークに接続するためのインタフェースである。プロセッサ９０５は、例えば、ＣＰＵ等といった各種演算装置である。メモリ装置９０６は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ、ＲＡＭ、ＲＯＭ（Read Only Memory）等といった各種記憶装置である。

なお、図１２に示すコンピュータ９００のハードウェア構成は一例であって、例えば、複数のプロセッサ９０５を有していてもよいし、複数のメモリ装置９０６を有していてもよいし、図示したハードウェア以外の様々なハードウェアを有していてもよい。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１：暗号システム、１０：秘密鍵生成センタ（ＰＫＧ）、２０_ｉ：代表端末、３０_ｉ，ｊ：子端末、４０：タイムサーバ、５０：送信端末、６０：識別子発行サーバ、９０：ネットワーク、１０１：セットアップ処理部、１０２：ユーザ秘密鍵生成部、１０３：記憶部、２０１_ｉ：デバイス秘密鍵生成部、２０２_ｉ：復号部、２０３_ｉ：リスト更新部、２０４_ｉ：記憶部、３０１_ｉ，ｊ：復号部、３０２_ｉ，ｊ：記憶部、５０１：暗号化部、５０２：記憶部、６０１：ユーザ秘密鍵生成部、６０２：記憶部、９００：コンピュータ、９０１：入力装置、９０２：表示装置、９０３：外部Ｉ／Ｆ、９０３ａ：記録媒体、９０４：外部Ｉ／Ｆ、９０５：プロセッサ、９０６：メモリ装置、９０７：バス

Claims (8)

1. 秘密鍵生成センタと、１以上の代表端末と、前記代表端末と同一のユーザが利用する１以上の子端末と、１以上の送信端末とが含まれる暗号システムであって、
   前記秘密鍵生成センタは、
   階層型ＩＤベース暗号の公開パラメータと、マスタ秘密鍵とを生成するセットアップ部と、
   前記代表端末の識別子と、前記マスタ秘密鍵と、前記公開パラメータとを用いて、前記代表端末のユーザ秘密鍵を生成する第１のユーザ秘密鍵生成部と、を有し、
   前記代表端末は、
   自身を利用するユーザと同一のユーザが利用する子端末の識別子で構成されるデバイスリストを記憶する記憶部と、
   自身の識別子に対応するユーザ秘密鍵と、前記デバイスリストの更新時間を表すデバイス更新時間と、前記公開パラメータとを用いて、前記送信端末から送信される暗号文を復号するためのデバイス秘密鍵を生成するデバイス秘密鍵生成部と、
   前記デバイスリストに含まれる識別子が表す子端末に対して前記デバイス秘密鍵を送信する第１の送信部と、を有し、
   前記送信端末は、
   前記代表端末の識別子と、前記デバイス更新時間とを用いて、メッセージを暗号化した暗号文を生成する暗号化部と、
   前記代表端末又は前記子端末に前記暗号文を送信する第２の送信部と、
   を有する暗号システム。
2. 前記第１のユーザ秘密鍵生成部は、
   前記代表端末の識別子と、前記代表端末の識別子の更新時間を表すユーザ更新時間と、前記マスタ秘密鍵と、前記公開パラメータとを用いて、前記代表端末のユーザ秘密鍵を生成し、
   前記デバイス秘密鍵生成部は、
   自身の識別子に対応するユーザ秘密鍵と、前記ユーザ更新時間と、前記デバイス更新時間と、前記公開パラメータとを用いて、前記デバイス秘密鍵を生成し、
   前記暗号化部は、
   前記代表端末の識別子と、前記ユーザ更新時間と、前記デバイス更新時間とを用いて、前記暗号文を生成する、請求項１に記載の暗号システム。
3. 前記代表端末は、
   前記デバイス更新時間ごとに、前記デバイスリストの更新する更新部を有する請求項１又は２に記載の暗号システム。
4. 前記デバイスリストの更新には、前記デバイスリストに対して子端末の識別子を追加すること、前記デバイスリストから子端末の識別子の削除すること、が含まれる、請求項３に記載の暗号システム。
5. 前記暗号システムには、前記代表端末の識別子を発行及び管理する識別子発行サーバが含まれ、
   前記識別子発行サーバは、
   前記秘密鍵生成センタによって生成された自身のユーザ秘密鍵と、自身が管理する代表端末の識別子と、前記公開パラメータとを用いて、前記代表端末のユーザ秘密鍵を生成する第２の秘密鍵生成部を有する、請求項１乃至４の何れか一項に記載の暗号システム。
6. 階層型ＩＤベース暗号によりユーザ秘密鍵を生成する秘密鍵生成センタと、同一のユーザが利用する１以上の子端末と、送信端末とに通信可能に接続される端末であって、
   前記子端末の識別子で構成されるデバイスリストを記憶する記憶部と、
   前記秘密鍵生成センタで生成された、自身の識別子に対応するユーザ秘密鍵と、前記デバイスリストの更新時間を表すデバイス更新時間と、前記秘密鍵生成センタで生成された公開パラメータとを用いて、前記送信端末から送信される暗号文を復号するためのデバイス秘密鍵を生成するデバイス秘密鍵生成部と、
   前記デバイスリストに含まれる識別子が表す子端末に対して前記デバイス秘密鍵を送信する送信部と、
   を有する端末。
7. 秘密鍵生成センタと、１以上の代表端末と、前記代表端末と同一のユーザが利用する１以上の子端末と、１以上の送信端末とが含まれる暗号システムに用いられる方法であって、
   前記秘密鍵生成センタが、
   階層型ＩＤベース暗号の公開パラメータと、マスタ秘密鍵とを生成するセットアップ手順と、
   前記代表端末の識別子と、前記マスタ秘密鍵と、前記公開パラメータとを用いて、前記代表端末のユーザ秘密鍵を生成する第１のユーザ秘密鍵生成手順と、を実行し、
   前記代表端末が、
   自身を利用するユーザと同一のユーザが利用する子端末の識別子で構成されるデバイスリストを記憶部に記憶する記憶手順と、
   自身の識別子に対応するユーザ秘密鍵と、前記デバイスリストの更新時間を表すデバイス更新時間と、前記公開パラメータとを用いて、前記送信端末から送信される暗号文を復号するためのデバイス秘密鍵を生成するデバイス秘密鍵生成手順と、
   前記デバイスリストに含まれる識別子が表す子端末に対して前記デバイス秘密鍵を送信する第１の送信手順と、を実行し、
   前記送信端末が、
   前記代表端末の識別子と、前記デバイス更新時間とを用いて、メッセージを暗号化した暗号文を生成する暗号化手順と、
   前記代表端末又は前記子端末に前記暗号文を送信する第２の送信手順と、
   を実行する方法。
8. 請求項１乃至５の何れか一項に記載の暗号システムに含まれる秘密鍵生成センタ、代表端末、子端末、又は送信端末、としてコンピュータを機能させるプログラム。

Images