JP4143036B2

JP4143036B2 - 鍵生成システム、鍵生成サーバ及び鍵生成方法

Info

Publication number: JP4143036B2
Application number: JP2004017582A
Authority: JP
Inventors: 裕都子花岡; 悟一郎花岡; 順司四方; 秀樹今井
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2004-01-26
Filing date: 2004-01-26
Publication date: 2008-09-03
Anticipated expiration: 2024-01-26
Also published as: JP2005210639A

Description

本発明は、利用者に固有な所定の文字列である利用者固有文字列を利用者の公開鍵とする所定の暗号方式、いわゆるIBEに基づいて、当該公開鍵と対になる秘密鍵の生成を階層化する鍵生成システム、鍵生成サーバ及び鍵生成方法に関する。

従来、電子メールアドレスなど、利用者に固有な所定の文字列、すなわち、利用者に固有な識別子（ID）を公開鍵として用いることができる暗号方式、いわゆるIBE（Identity-Based Encryption）が知られている（例えば、非特許文献１、２）。すなわち、IBEは、平文の暗号化に用いられる公開鍵（暗号鍵）として、任意の文字列を選択することができる特徴を有している。

例えば、非特許文献１に係るBoneh, Franklin方式のIBEでは、まず、秘密鍵（復号鍵）の生成及び管理を行うセンタが、所定の利用者の集団内において共通に用いられる秘密情報、いわゆるマスタ鍵（s）を生成し、（s）に対応する公開情報（p）を公開する。次に、利用者の電子メールアドレスなど、任意の文宇列（char）と（s）を作用させ、当該文字列に対する復号鍵（d_char）を生成する（便宜上、このような復号鍵d_charを「charに基づく復号鍵」と呼ぶ）。（char）及び（p）を用いて暗号化された暗号文は、（d_char）により復号可能となる。例えば、（char）として、（char）に対応する復号鍵の保持者となる利用者、つまり暗号文の受信者の電子メールアドレスが利用される場合、平文（m）の送信者は、当該利用者の電子メールアドレス及び（p）を用いて、平文（m）の暗号文（c）を生成することができる。

より具体的には、センタは、p₀=2mod3及びp₀=6q-1となるような素数p₀を選択する。ここで、qはq>3となる素数とする。また、Eをy²=x³+1で表される有限体GF(p)上の楕円曲線とする。さらに、センタは位数がqとなるようなE/GF(p)の元Pを選択し、集合(1,2,...,q-1)よりランダムに選んだマスタ鍵sを用いてP_pub=sPを計算し、P_pub（公開情報）を公開する。文字列char（例えば、利用者の電子メールアドレス）に対し、センタはcharとマスタ鍵sとを作用させ、秘密鍵d_char=sQ_iを生成し、その利用者に与える。ここで、Q_iはcharに一意に対応する、Pによって構成される群の元とする。d_charの保持者に対し、秘密に平文mを送信する際は、送信者は、以下により、暗号文を生成する。

C:={rP,m(+)H(e(Q_i,P_pub)^r)}
ここで、H(・)は出力サイズがmのサイズと等しくなるようなランダム関数とし、e(・,・)は次の性質を満足するような写像である。Pによって生成される群における任意の２つの元P₁,P₂及び任意の整数a₁,a₂に関し、e（a₁P₁,a₂P₂）=e(P₁,P₂)^a1a2が成り立つ。このような写像は、例えば、（変形）Weil pairing等が知られている。

また、rは(1,2,...,q-1)よりランダムに選んだ値である。また、(+)は排他的論理和を表すものとする。d_charの保持者は、次のようにCを復号する。

｛m(+)H(e(Q_i,P_pub)^r)｝(+)H｛e(d_char,rP)｝=m
このようなIBEの特徴により、従来の公開鍵暗号方式（例えば、RSA方式）において必要となる、センタ（センタサーバ）からの公開鍵の取得手続や、公開鍵の正当性の検証処理を省くことが可能となるため、簡便な暗号システムを構成することができる。

上述したように、IBEは、従来の公開鍵暗号方式と比較して、有用な暗号方式であるものの、センタでは、すべての利用者の復号鍵を生成しなくてならないため、当該センタにおける復号鍵の生成に伴う負荷が問題となる。

そこで、かかる負荷を軽減するため、利用者の復号鍵を生成するセンタを階層化する、階層化IBE（Hierarchical IBE、以下、HIBEという）が提案されている（例えば、非特許文献３）。

HIBEでは、最上位のセンタ（ルートセンタ）は、マスタ鍵を用いて、任意の文字列（例えば、“char1”）に対応するサブマスタ鍵を生成し、“char1”が識別子として関連付けられた下位のセンタ（サブセンタ）にサブマスタ鍵を渡す。

当該サブセンタは、ルートセンタから渡されたサブマスタ鍵を用いて、利用者と対応付けられる任意の文字列（例えば、“char2”）に対し、公開鍵“char1,char2”に対応した復号鍵を生成することができる。また、当該サブマスタ鍵が漏洩したとしても、他のサブセンタのサブマスタ鍵を導出することは不可能であり、当該サブセンタ以外のサブセンタの安全性は保たれる。
D. Boneh and M. Franklin, "Identity Based Encryption from the Weil Pairing", Proc. of CRYPTO’01, Lecture Notes in Computer Science, Vol. 2139, Springer-Verlag, pp. 213-229, 2001 C. Cocks, "An Identity Based Encryption Scheme Based on Quadratic Residues", Proc. of IMA Int. Conf. 2001, Coding and Cryptography, LNCS 2260, Springer-Verlag, pp. 360-363, 2001. C. Gentry and A. Silverberg, "Hierarchical Identity-Based Cryptography", Proc. of Asiacrypt ’02, Lecture Notes in Computer Science, Vol. 2501, Springer-Verlag, pp. 548-566, 2002

しかしながら、これまでに知られているHIBEは、非特許文献１に示したBoneh, Franklin方式を拡張したもののみである。すなわち、従来のHIBEは、上述した（変形）Weil pairing等の写像を用いて暗号化通信の安全性を確保することに依拠しており、他の数学的問題（例えば、素因数分解）に基づいて暗号化通信の安全性を確保しつつ、HIBEを構成することができないといった問題があった。

つまり、Boneh, Franklin方式だけではなく、他のIBE、例えば、上述した非特許文献２に示されているCock氏提案のIBE（以下、“Coc01”という）に基づいて、HIBEを構成する方法が求められていた。

そこで、本発明は、以上の点に鑑みてなされたもので、利用者に固有な所定の文字列を公開鍵とすることができる任意の暗号方式を用いて、利用者の秘密鍵を生成するセンタを階層化する鍵生成システム、鍵生成サーバ及び鍵生成方法を提供することを目的とする。

上述した課題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、少なくとも第１の鍵生成サーバ（センタサーバ１００）と第２の鍵生成サーバ（サブセンタサーバ２００）とを具備し、利用者（端末１０）に固有な所定の文字列である利用者固有文字列（例えば、“char2”）を前記利用者の公開鍵とする所定の暗号方式（例えば、Boneh, Franklin方式）に基づいて、前記公開鍵と対になる秘密鍵を生成する鍵生成システムであって、前記第１の鍵生成サーバが、所定数の要素（例えば、1〜uのu個の要素から構成される集合（Ｌ））の一部から構成される部分集合（F₁,…,F_v）の集合（F）であって、閾値（w）以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合（(u,v,w)-Cover Free Family<L,F>）を保持する集合情報保持部（ＣＦＦ生成格納部１０３）と、前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵（s）を選択するとともに前記マスタ鍵に対応する公開情報（p₁,...,p_u）を生成する公開情報生成部と、前記カバーフリー集合に含まれる所定の部分集合と、前記第２の鍵生成サーバを識別するセンタ識別文字列（例えば、“char1”）とを対応付け、前記部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵（｛s_j|j∈Fi｝）を生成するサブマスタ鍵生成部（サブマスタ鍵生成部１０５）とを備え、前記第２の鍵生成サーバが、前記サブマスタ鍵生成部によって生成されたそれぞれの前記サブマスタ鍵、前記センタ識別文字列（例えば、“char1”）、及び前記利用者固有文字列（例えば、“char2”）とを用い、前記鍵生成アルゴリズムに基づいて、前記秘密鍵を生成する秘密鍵生成部（復号鍵生成部２０５）を備えることを要旨とする。

かかる特徴によれば、第１の鍵生成サーバが、(u,v,w)-Cover Free Family<L,F>に含まれる部分集合（Subset）の要素（元、Element）の値に基づいて、HIBEを構成するための複数のサブマスタ鍵を生成する。さらに、第２の鍵生成サーバが、それぞれのサブマスタ鍵、センタ識別文字列（例えば、“char1”）、及び前記利用者固有文字列（例えば、“char2”）を用い、IBEの鍵生成アルゴリズムに基づいて秘密鍵を生成する。

このため、利用者に固有な所定の文字列を公開鍵とすることができる任意の暗号方式を用いて、利用者の秘密鍵を生成するセンタを階層化することができる。

さらに、かかる特徴によれば、Boneh, Franklin方式だけではなく、他のIBE、例えば、“Coc01”方式に基づいて、HIBEを構成することができる。

また、かかる特徴によれば、サブマスタ鍵が、(u,v,w)-Cover Free Family<L,F>に含まれる部分集合（F₁,…,F_v）に基づいて生成されるため、Cover Free Familyの特性によって、他のサブセンタサーバ（第２の鍵生成サーバ）において用いられているサブマスタ鍵の情報の漏洩が防止され、暗号化通信の安全性を確保することができる。

本発明の第２の特徴は、利用者に固有な所定の文字列である利用者固有文字列を前記利用者の公開鍵とする所定の暗号方式に基づいて、前記公開鍵と対になる秘密鍵の生成に用いられる鍵生成サーバであって、所定数の要素の一部から構成される部分集合の集合であって、閾値以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合を保持する集合情報保持部と、前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵を選択するとともに前記マスタ鍵に対応する公開情報を生成する公開情報生成部と、前記カバーフリー集合に含まれる所定の部分集合と、前記秘密鍵を生成する第２の鍵生成サーバを識別するセンタ識別文字列とを対応付け、前記所定の部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵を生成するサブマスタ鍵生成部とを備えることを要旨とする。

また、本発明の第２の特徴において、前記サブマスタ鍵生成部は、前記所定の部分集合に含まれるそれぞれの要素の値を所定のハッシュ関数に入力されることによって得られるハッシュ値を前記サブマスタ鍵として生成することが好ましい。

本発明の第３の特徴は、少なくとも第１の鍵生成サーバと第２の鍵生成サーバとを用いて、利用者に固有な所定の文字列である利用者固有文字列を前記利用者の公開鍵とする所定の暗号方式に基づいて、前記公開鍵と対になる秘密鍵を生成する鍵生成方法であって、前記第１の鍵生成サーバが、所定数の要素の一部から構成される部分集合の集合であって、閾値以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合を保持しており、前記第１の鍵生成サーバが、前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵を選択するとともに前記マスタ鍵に対応する公開情報を生成するステップと、前記第１の鍵生成サーバが、前記カバーフリー集合に含まれる所定の部分集合と、前記第２の鍵生成サーバを識別するセンタ識別文字列とを対応付け、前記所定の部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵を生成するステップと、前記第２の鍵生成サーバが、前記サブマスタ鍵生成部によって生成されたそれぞれの前記サブマスタ鍵、前記センタ識別文字列、及び前記利用者固有文字列を用い、前記鍵生成アルゴリズムに基づいて前記秘密鍵を生成するステップとを備えることを要旨とする。

本発明によれば、利用者に固有な所定の文字列を公開鍵とすることができる任意の暗号方式を用いて、利用者の秘密鍵を生成するセンタを階層化する鍵生成システム、鍵生成サーバ及び鍵生成方法を提供することができる。

（鍵生成システムを含むネットワークの構成）
以下、本発明の実施形態について説明する。図１は、本実施形態に係る鍵生成システムを含むネットワークの構成を示している。

同図に示すように、インターネットなどから構成される通信ネットワーク１には、利用者の秘密鍵（復号鍵）を生成するために用いられるマスタ鍵（s）、サブマスタ鍵（｛s_j|j∈Fi｝）、及び当該利用者と通信を行う他の利用者に公開される公開情報（p₁,...,p_u）の生成などを行うセンタサーバ１００（第１の鍵生成サーバ）が接続されている。

また、通信ネットワーク１には、センタサーバ１００によって生成されたサブマスタ鍵と、利用者に固有な所定の文字列とを用い、IBE（Identity-Based Encryption、例えば、Boneh, Franklin方式）の鍵生成アルゴリズムに基づいて、利用者（例えば、端末１０）の秘密鍵を生成するサブセンタサーバ２００（第２の鍵生成サーバ）が接続されている。なお、本実施形態では、IBEとしてBoneh, Franklin方式が用いられているが、他のIBE（例えば、“Coc01”）を用いてもよい。

なお、本実施形態では、サブセンタサーバ２００を識別する所定の文字列（センタ識文字列）として、“char1”が関連付けられている。また、図１では、サブセンタサーバ２００のみが示されているが、複数のサブセンタサーバを用いて本実施形態に係る鍵生成システムを構成することができる。さらに、本実施形態では、利用者の秘密鍵（復号鍵）を生成するセンタを２階層（センタサーバ１００及びサブセンタサーバ２００）としているが、当該センタの階層は、２階層以外であってもよい。

また、通信ネットワーク１には、端末２０ａ，２０ｂから受信した暗号文（c）を復号して平文（m）を取得する端末１０が接続されている。なお、本実施形態では、端末１０（の利用者）を識別する所定の文字列（利用者固有文字列）として、“char2”が割り当てられている。また、当該文字列としては、例えば、端末１０の利用者の電子メールアドレスを用いることができる。

さらに、通信ネットワーク１には、利用者の公開情報（例えば、p₁,p₂,p₃）と、所定の文字列（例えば、“char1.char2”）とを用い、IBEの暗号化アルゴリズムに基づいて平文（m）を暗号化して、暗号文（c）を送信する端末２０ａ，２０ｂが接続されている。

また、通信ネットワーク１には、センタサーバ１００によって生成された公開情報（p₁,...,p_u）を公開する公開情報サーバ３００が接続されている。

（鍵生成システムの論理ブロック構成）
次に、図２を参照して、上述した通信ネットワーク１に接続されている各装置の論理ブロック構成について説明する。

同図に示すように、センタサーバ１００は、通信部１０１と、ＣＦＦ生成格納部１０３と、サブマスタ鍵生成部１０５と、公開情報生成部１０７と、マスタ鍵選択部１０９と、ハッシュ関数生成部１１１を備えている。

通信部１０１は、ＣＦＦ生成格納部１０３と、サブマスタ鍵生成部１０５と、公開情報生成部１０７と、マスタ鍵選択部１０９と、ハッシュ関数生成部１１１とを通信可能に接続するものである。また、通信部１０１は、サブマスタ鍵生成部１０５によって選択されたサブマスタ鍵の情報や、公開情報生成部１０７によって生成された公開情報を通信ネットワーク１に中継するものである。

ＣＦＦ生成格納部１０３は、所定数の要素（例えば、1〜uのu個の要素から構成される集合（Ｌ））の一部から構成される部分集合（F₁,…,F_v）の集合（F）であって、閾値以下（w）の部分集合に含まれる要素の値に基づいて、他の何れかの部分集合に含まれる要素の値を特定することができないカバーフリー集合の情報を保持するものであり、本実施形態では、集合情報保持部を構成する。

具体的には、ＣＦＦ生成格納部１０３は、所定数の要素（1〜uのu個）から構成される集合（Ｌ）の一部から構成される部分集合（F₁,…,F_v）の集合（F）であって、閾値以下の部分集合（例えば、F₁とF₂）に含まれる要素の値に基づいて、他の何れかの部分集合（例えば、F₃）に含まれる要素の値を特定することができない集合として、いわゆるCover Free Familyを生成する。

より具体的には、ＣＦＦ生成格納部１０３は、“Families of finite sets in which no sets is covered by the union of r others”（P. Erdos, P. Frankl and Z. Furedi, Israel Journal of Math., 51, pp.79-89, 1985）に記載されているようなCover Free Familyを生成する。

ここで、図５（ａ）は、ＣＦＦ生成格納部１０３によって生成されるCover Free Familyの概略の構成を示す図である。同図（ａ）に示すように、集合Ｌは、｛1,...,u｝によって構成される。また、｛1,...,u｝の一部から、部分集合（Subset）である（F₁,…,F_v）が構成される。このようなCover Free Familyは、w個の部分集合Ｆの情報が漏洩した場合にも、特定の部分集合（例えば、F₁）に含まれる要素（元、Element）の値を突き止めることができないといった特徴を有している。このような集合Ｌを以下、(u,v,w)-Cover Free Family<L,F>と表記する。

ＣＦＦ生成格納部１０３は、生成した(u,v,w)-Cover Free Family<L,F>の情報を格納することができる。なお、本実施形態では、ＣＦＦ生成格納部１０３が(u,v,w)-Cover Free Family<L,F>を生成しているが、外部において予め生成された(u,v,w)-Cover Free Family<L,F>をＣＦＦ生成格納部１０３に格納する形態でもよい。

マスタ鍵選択部１０９は、(u,v,w)-Cover Free Family<L,F>に含まれる要素｛1,...,u｝の数に基づいて、IBEのマスタ鍵を選択するものである。

具体的には、マスタ鍵選択部１０９は、(u,v,w)-Cover Free Family<L,F>に含まれる要素｛1,...,u｝の数とIBEの鍵生成アルゴリズムに基づいて、IBEのマスタ鍵とする値を所定の集合の中から、例えば、当該要素の数（s₁,...,s_u）分、ランダムに選択する。

公開情報生成部１０７は、マスタ鍵選択部１０９によって選択されたマスタ鍵（s₁,...,s_u）と対応する公開情報（p₁,...,p_u）をIBEの鍵生成アルゴリズムに基づいて生成するものである。

具体的には、公開情報生成部１０７は、マスタ鍵（s₁,...,s_u）のそれぞれを用い、各マスタ鍵に対応する公開情報（p₁,...,p_u）をIBEの鍵生成アルゴリズムに基づいて生成する。また、公開情報生成部１０７は、通信ネットワーク１を介して、生成した公開情報（p₁,...,p_u）を公開情報サーバ３００に送信する。

ハッシュ関数生成部１１１は、サブマスタ鍵生成部１０５において用いられるハッシュ関数（H）を生成するものである。

サブマスタ鍵生成部１０５は、ＣＦＦ生成格納部１０３によって生成された(u,v,w)-Cover Free Family<L,F>に含まれる所定の部分集合と、サブセンタサーバ２００を識別するセンタ識別文字列（“char1”）とを対応付け、当該部分集合（以下、Fiという）に含まれるそれぞれの要素を用い、サブセンタサーバ２００が利用者の秘密鍵の生成に用いるサブマスタ鍵を生成するものである。

例えば、サブマスタ鍵生成部１０５は、Fiと“char1”（具体的には、ハッシュ関数（H）を用いて生成された“char1”のハッシュ値）とを対応付ける。

さらに、サブマスタ鍵生成部１０５は、Fiに含まれる要素（例えば、F₁に含まれる1,2,3とする。なお、“1,2,3“は便宜上の数字であり、実際の要素の値を示すものとは限らない）の値をハッシュ関数生成部１１１によって生成されたハッシュ関数（H）に入力することによって得られたハッシュ値を、サブマスタ鍵（以下、｛s_j|j∈Fi｝と表記する）として生成する。なお、ここでは、説明の便宜上、F₁に含まれる要素“1,2,3“に基づいて、３つのサブマスタ鍵（ss₁,ss₂,ss₃）が生成されたものとして、以下、適宜説明する。

サブセンタサーバ２００は、通信部２０１と、サブマスタ鍵格納部２０３と、復号鍵生成部２０５とを備えている。

通信部２０１は、サブマスタ鍵格納部２０３と、復号鍵生成部２０５とを通信可能に接続するものである。また、通信部２０１は、利用者の秘密鍵の情報を通信ネットワーク１に中継したり、センタサーバ１００（サブマスタ鍵生成部１０５）によって選択されたサブマスタ鍵を通信ネットワーク１から中継したりするものである。

サブマスタ鍵格納部２０３は、センタサーバ１００（サブマスタ鍵生成部１０５）によって生成されたサブマスタ鍵（｛s_j|j∈Fi｝）を、通信ネットワーク１を介して受信するとともに、受信した当該サブマスタ鍵を格納するものである。

復号鍵生成部２０５は、センタサーバ１００（サブマスタ鍵生成部１０５）によって生成されたそれぞれのサブマスタ鍵（ss₁,ss₂,ss₃）と、利用者固有文字列（“char2”）とを用い、IBEの鍵生成アルゴリズムに基づいて利用者（端末１０）の秘密鍵（復号鍵）を生成するものであり、本実施形態では、秘密鍵生成部を構成する。

具体的には、復号鍵生成部２０５は、サブマスタ鍵生成部１０５によって生成されたそれぞれのサブマスタ鍵（ss₁,ss₂,ss₃）と、利用者固有文字列（“char2”）とを用い、IBEの鍵生成アルゴリズムに基づいて、複数の復号鍵（例えば、d₁,d₂,d₃）を、利用者（端末１０）の復号鍵として生成する。

また、復号鍵生成部２０５は、端末１０が属するサブセンタ（サブセンタサーバ２００）を識別するセンタ識別文字列（“char1”）と、端末１０の利用者に固有な所定の文字列（“char2”）とを用いて、すなわち、“char1.char2”を用いて、利用者の復号鍵を生成してもよい。

公開情報サーバ３００は、公開情報記憶部３０１を備えている。公開情報記憶部３０１は、センタサーバ１００（公開情報生成部１０７）によって生成された公開情報（p₁,...,p_u）を、通信ネットワーク１を介して、端末１０及び端末２０ａ，２０ｂに公開するものである。

端末２０ａ，２０ｂは、通信部２１と、公開情報取得部２３と、暗号化部２５と、乱数選択部２７とをそれぞれ備えている。

通信部２１は、公開情報取得部２３と、暗号化部２５と、乱数選択部２７と通信可能に接続されており、公開情報（p₁,...,p_u）を通信ネットワーク１から中継したり、端末１０に送信する暗号文（c）などを通信ネットワーク１に中継したりするものである。

公開情報取得部２３は、公開情報サーバ３００から、通信ネットワーク１を介して公開情報（p₁,...,p_u）を取得するものである。

暗号化部２５は、サブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）に対応した公開情報（例えば、p₁,p₂,p₃）、端末１０が属するサブセンタ（サブセンタサーバ２００）を識別するために関連付けられた所定の文字列（“char1”）、及び端末１０の利用者に固有な所定の文字列（“char2”）を用い、IBEの暗号化アルゴリズムに基づいて端末１０に送信する平文（m）を暗号化するものである。

また、暗号化部２５は、通信ネットワーク１を介して、平文（m）が暗号化された暗号文（c）を端末１０に送信する。

乱数選択部２７は、暗号化部２５が、平文（m）を暗号化する際に付加される乱数（r_i）を選択するものである。

具体的には、暗号化部２５は、乱数選択部２７によって選択された乱数（r_i）を用いて、複数に分割された平文（m_i）及び乱数（r_i）を所定のハッシュ関数に入力することによって得られるハッシュ値（例えば、SHA-1に入力することによって得られるハッシュ値）を取得する。さらに、暗号化部２５は、当該ハッシュ値を確率的暗号化のための乱数として用いて、平文（m_i）と、乱数（r_i）とが含まれる（m_i‖r_i）を暗号化して、複数の暗号文（c_i）を作成する。なお、具体的な暗号化方法及び復号方法については、後述する。

端末１０は、通信部１１と、復号鍵格納部１３と、復号部１５と、暗号化部１７ａと、判定部１７ｂと、公開情報取得部１９とを備えている。

通信部１１は、復号鍵格納部１３と、復号部１５と、暗号化部１７ａと、判定部１７ｂと、公開情報取得部１９と通信可能に接続するものである。また、通信部１１は、復号鍵（例えば、d₁,d₂,d₃）が含まれた情報などを通信ネットワーク１から中継するものである。

公開情報取得部１９は、公開情報サーバ３００から、通信ネットワーク１を介して、公開情報（p₁,...,p_u）を取得するものである。

復号鍵格納部１３は、サブセンタサーバ２００（復号鍵生成部２０５）において生成された復号鍵（例えば、d₁,d₂,d₃）を格納するものである。

復号部１５は、復号鍵格納部１３に格納されている復号鍵（例えば、d₁,d₂,d₃）を用いて、端末２０ａまたは２０ｂによって送信された暗号文（c）を平文（m）に復号するものである。

具体的には、復号部１５は、復号鍵格納部１３に格納される複数の復号鍵（d₁,d₂,d₃）と、当該復号鍵に対応する公開情報（p₁,p₂,p₃）とを用い、IBEの復号アルゴリズムに基づいて、暗号文（c）を平文（m）に復号する。

より具体的には、復号部１５は、複数の暗号文（c_i）をそれぞれの復号鍵と公開情報を用いて復号し、乱数を含む複数の平文（m_i‖r_i）に復号する。

暗号化部１７ａは、IBEの暗号化アルゴリズムを用いて、復号部１５によって復号された、平文（m_i）と乱数（r_i）とが含まれる平文（m_i‖r_i）を暗号化して、再暗号化文（c_i’）を作成するものである。

判定部１７ｂは、暗号化部１７ａによって暗号化された再暗号化文（c_i’）と、端末２０ａ，２０ｂから受信した暗号文（c_i）とが一致するか否かを判定するものである。

なお、復号部１５は、判定部１７ｂによって、すべての再暗号文（c_i’）と暗号文（c_i）とが一致すると判定された場合、平文（m）を出力する。

（鍵生成システムに係る動作）
次に、上述した鍵生成システムに係る動作について説明する。

まず、上述した鍵生成システム（センタサーバ１００及びサブセンタサーバ２００）による復号鍵（秘密鍵）の生成の動作について説明する。

図３に示すように、ステップＳ１において、センタサーバ１００は、図５（ａ）に示したような(u,v,w)-Cover Free Family<L,F>を生成する。具体的には、(u,v,w)-Cover Free Family<L,F>は、上述したように、w個の部分集合Ｆの情報が漏洩した場合にも、特定の部分集合（例えば、F₁）に含まれる要素（元、Element）の値を突き止めることができないといった特徴を有している。

ステップＳ２において、センタサーバ１００は、IBE（例えば、Boneh, Franklin方式）の鍵生成アルゴリズムに基づいて、所定の集合から、(u,v,w)-Cover Free Family<L,F>の要素の数に応じたマスタ鍵（s₁,...,s_u）を選択する。

ステップＳ３において、センタサーバ１００は、マスタ鍵（s₁,...,s_u）を用い、IBEの鍵生成アルゴリズムに基づいて、各マスタ鍵に対応する公開情報（p₁,...,p_u）を生成する。さらに、センタサーバ１００は、生成した公開情報（p₁,...,p_u）を公開情報サーバ３００に通知する。なお、公開情報サーバ３００に通知された公開情報（p）は、端末１０及び端末２０ａ，２０ｂが利用できるように公開される。

また、図５（ｂ）に示すように、センタサーバ１００は、ハッシュ関数（H）を生成する。

次に、図３に示すように、ステップＳ４において、センタサーバ１００は、サブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）を生成し、生成したサブマスタ鍵をサブセンタサーバ２００に送信する。

具体的には、図５（ｃ）に示すように、センタサーバ１００は、部分集合F₁と“char1”（具体的には、センタサーバ１００によって生成されたハッシュ関数に入力して生成された“char1”のハッシュ値）とを対応付ける。

さらに、センタサーバ１００は、F₁に含まれる要素（1,2,3とする。なお、“1,2,3“は便宜上の数字であり、実際の要素の値を示すものとは限らない）の値をハッシュ関数（H）に入力して得られたハッシュ値をサブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）として生成する。

次に、図３に示すように、ステップＳ５において、サブセンタサーバ２００は、センタサーバ１００によって生成されたサブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）を取得する。

ステップＳ６において、サブセンタサーバ２００は、利用者の秘密鍵、すなわち、本実施形態では、端末１０の利用者の秘密鍵（復号鍵）を生成する。

具体的には、サブセンタサーバ２００は、図５（ｄ）に示すように、センタサーバ１００によって生成されたそれぞれのサブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）、端末１０が属するサブセンタサーバ２００を識別するセンタ識別文字列（“char1”）、及び利用者固有文字列（“char2”）を用い、IBEの鍵生成アルゴリズムに基づいて、複数の復号鍵（d₁,d₂,d₃）を、利用者（端末１０）の復号鍵として生成する。

ステップＳ７において、サブセンタサーバ２００は、通信ネットワーク１を介して、生成した端末１０の利用者の復号鍵（d₁,d₂,d₃）を端末１０に送信する。

ステップＳ８において、端末１０は、通信ネットワーク１を介して復号鍵（d₁,d₂,d₃）を取得する。

次に、図４を参照して、端末２０ａが端末１０に暗号文（c）を送信し、端末１０が暗号文（c）を受信して復号する動作について説明する。

図４に示すように、ステップＳ９において、端末１０は、公開情報サーバ３００から公開情報（p₁,...,p_u）を取得する。

ステップＳ１０において、端末２０ａは、公開情報サーバ３００から、端末１０が属するサブセンタサーバ２００が用いるサブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）に対応した公開情報（p₁,p₂,p₃）を取得する。

具体的には、端末２０ａは、まず、“char1”と対応付けられている部分集合F₁の要素（例えば、1,2,3）を判別し、当該要素に対応する公開情報（p₁,p₂,p₃）を取得する。

ステップＳ１１において、端末２０ａは、“char1”、“char2”、及び公開情報（p₁,p₂,p₃）を用い、IBEの暗号化アルゴリズムを用いて、平文（m）を暗号した暗号文（c）を作成する。

具体的には、端末２０ａは、以下の式を満足するように複数に分割された平文（m_i）及び乱数（r_i）を、所定のハッシュ関数に入力することによって得られるハッシュ値（例えば、SHA-1に入力することによって得られるハッシュ値）を取得する。

Σ_i∈F1 m_i = m
また、端末２０ａは、当該ハッシュ値を確率的暗号化のための乱数として用い、平文（m_i）と、乱数（r_i）とが含まれる（m_i‖r_i）を、IBEの暗号化アルゴリズムに基づいて以下のように暗号化し、複数の暗号文（c_i）を作成する。なお、“R”は、すべてのr_iの「連結」（Concatenation）を意味する。

Enc_IBE (m_i‖r_i, char1.char2, p_i; H_i(m, m_i, R)) = c_i
さらに、端末２０ａは、それぞれの公開情報（p₁,p₂,p₃）に基づいて生成した複数の暗号文c_iを合成し、暗号文（c）を作成する。

ステップＳ１２において、端末２０ａは、作成した暗号文（c）を端末１０に送信する。

ステップＳ１３において、端末１０は、端末２０ａから通信ネットワーク１を介して暗号文（c）を受信する。

ステップＳ１４において、端末１０は、複数の復号鍵（d₁,d₂,d₃）と、当該復号鍵に対応する公開情報（p₁,p₂,p₃）とを用い、IBEの復号アルゴリズムに基づいて、暗号文（c）を平文（m）に復号する。

具体的には、端末１０は、複数の暗号文（c_i）をそれぞれの復号鍵と公開情報を用いて復号し、乱数を含む複数の平文（m_i‖r_i）に復号する。さらに、端末１０は、IBEの暗号化アルゴリズムを用いて、復号した平文（m_i）と乱数（r_i）とが含まれる平文（m_i‖r_i）を暗号化して、再暗号化文（c_i’）を作成する。なお、再暗号化文（c_i’）は、上述した暗号文（c_i）と同様の手法によって作成される。

また、端末１０は、作成した再暗号化文（c_i’）と、端末２０ａから受信した暗号文（c_i）とが一致するか否かを判定する。

そして、端末１０は、すべての再暗号化文（c_i’）と暗号文（c_i）とが一致すると判定された場合、平文（m）を出力する。

（作用・効果）
以上説明した本実施形態に係る鍵生成システム（センタサーバ１００及びサブセンタサーバ２００）によれば、センタサーバ１００が、(u,v,w)-Cover Free Family<L,F>の部分集合（Subset）の要素（元、Element）の値に基づいて、HIBEを構成するための複数のサブマスタ鍵（｛s_j|j∈Fi｝、ss₁,ss₂,ss₃）を生成する。さらに、サブセンタサーバ２００が、それぞれのサブマスタ鍵、センタ識別文字列（例えば、“char1”）、及び利用者固有文字列を用い、IBEの鍵生成アルゴリズムに基づいて複数の秘密鍵（d₁,d₂,d₃）を生成する。

このため、利用者に固有な所定の文字列を公開鍵とすることができる任意の暗号方式、つまりIBEを用いて、利用者の秘密鍵を生成するセンタを階層化することができる。

さらに、本実施形態に係る鍵生成システムによれば、Boneh, Franklin方式だけではなく、他のIBE、例えば、“Coc01”方式に基づいて、HIBEを構成することができる。

また、本実施形態に係る鍵生成システムによれば、サブマスタ鍵が、(u,v,w)-Cover Free Family<L,F>に含まれる部分集合（F₁,…,F_v）に基づいて生成されるため、Cover Free Familyの特性によって、他のサブセンタサーバにおいて用いられているサブマスタ鍵の情報の漏洩が防止され、暗号化通信の安全性を確保することができる。

本発明の実施形態に係る鍵生成システムを含むネットワーク構成を示す図である。本発明の実施形態に係る鍵生成システムを含む各装置の論理ブロック構成を示す図である。本発明の実施形態に係る復号鍵の生成の動作を示すシーケンス図である。本発明の実施形態に係る暗号文の送受信の動作を示すシーケンス図である。本発明の実施形態に係る鍵生成システムにおいて用いられるCover Free Familyの構成及び復号鍵の生成に用いられる情報を示す図である。

符号の説明

１…通信ネットワーク、１０…端末、１１…通信部、１３…復号鍵格納部、１５…復号部、１７ａ……暗号化部、１７ｂ…判定部、１９…公開情報取得部、２０ａ，２０ｂ…端末、２１…通信部、２３…公開情報取得部、２５…暗号化部、２７…乱数選択部、１００…センタサーバ、１０１…通信部、１０３…ＣＦＦ生成格納部、１０５…サブマスタ鍵生成部、１０７…公開情報生成部、１０９…マスタ鍵選択部、１１１…ハッシュ関数生成部、３００…公開情報サーバ、３０１…公開情報記憶部、Ｌ…集合、Ｆ_１，Ｆ_２，Ｆ_３，Ｆ_ｖ…部分集合

Claims

少なくとも第１の鍵生成サーバと第２の鍵生成サーバとを具備し、利用者に固有な所定の文字列である利用者固有文字列を前記利用者の公開鍵とする所定の暗号方式に基づいて、前記公開鍵と対になる秘密鍵を生成する鍵生成システムであって、
前記第１の鍵生成サーバは、
所定数の要素の一部から構成される部分集合の集合であって、閾値以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合を保持する集合情報保持部と、
前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵を選択するとともに前記マスタ鍵に対応する公開情報を生成する公開情報生成部と、
前記カバーフリー集合に含まれる所定の部分集合と、前記第２の鍵生成サーバを識別するセンタ識別文字列とを対応付け、前記所定の部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵を生成するサブマスタ鍵生成部と
を備え、
前記第２の鍵生成サーバは、
前記サブマスタ鍵生成部によって生成されたそれぞれの前記サブマスタ鍵、前記センタ識別文字列、及び前記利用者固有文字列を用い、前記鍵生成アルゴリズムに基づいて前記秘密鍵を生成する秘密鍵生成部を備えることを特徴とする鍵生成システム。
利用者に固有な所定の文字列である利用者固有文字列を前記利用者の公開鍵とする所定の暗号方式に基づいて、前記公開鍵と対になる秘密鍵の生成に用いられる鍵生成サーバであって、
所定数の要素の一部から構成される部分集合の集合であって、閾値以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合を保持する集合情報保持部と、
前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵を選択するとともに前記マスタ鍵に対応する公開情報を生成する公開情報生成部と、
前記カバーフリー集合に含まれる所定の部分集合と、前記秘密鍵を生成する第２の鍵生成サーバを識別するセンタ識別文字列とを対応付け、前記所定の部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵を生成するサブマスタ鍵生成部と
を備えることを特徴とする鍵生成サーバ。
前記サブマスタ鍵生成部は、前記所定の部分集合に含まれるそれぞれの要素の値を所定のハッシュ関数に入力されることによって得られるハッシュ値を前記サブマスタ鍵として生成することを特徴とする請求項２に記載の鍵生成サーバ。
少なくとも第１の鍵生成サーバと第２の鍵生成サーバとを用いて、利用者に固有な所定の文字列である利用者固有文字列を前記利用者の公開鍵とする所定の暗号方式に基づいて、前記公開鍵と対になる秘密鍵を生成する鍵生成方法であって、
前記第１の鍵生成サーバは、所定数の要素の一部から構成される部分集合の集合であって、閾値以下の前記部分集合に含まれる要素の値に基づいて、他の何れかの前記部分集合に含まれる要素の値を特定することができないカバーフリー集合の情報を保持しており、
前記第１の鍵生成サーバが、前記所定の暗号方式の鍵生成アルゴリズムに基づいて、前記所定の暗号方式のマスタ鍵を選択するとともに前記マスタ鍵に対応する公開情報を生成するステップと、
前記第１の鍵生成サーバが、前記カバーフリー集合に含まれる所定の部分集合と、前記第２の鍵生成サーバを識別するセンタ識別文字列とを対応付け、前記所定の部分集合に含まれるそれぞれの要素の値を用い、前記第２の鍵生成サーバが前記秘密鍵の生成に用いるサブマスタ鍵を生成するステップと、
前記第２の鍵生成サーバが、前記サブマスタ鍵生成部によって生成されたそれぞれの前記サブマスタ鍵、前記センタ識別文字列、及び前記利用者固有文字列を用い、前記鍵生成アルゴリズムに基づいて前記秘密鍵を生成するステップと
を備えることを特徴とする鍵生成方法。