JP4960688B2 - 署名検証装置、暗号化装置、署名検証方法及び暗号化方法 - Google Patents
署名検証装置、暗号化装置、署名検証方法及び暗号化方法 Download PDFInfo
- Publication number
- JP4960688B2 JP4960688B2 JP2006319129A JP2006319129A JP4960688B2 JP 4960688 B2 JP4960688 B2 JP 4960688B2 JP 2006319129 A JP2006319129 A JP 2006319129A JP 2006319129 A JP2006319129 A JP 2006319129A JP 4960688 B2 JP4960688 B2 JP 4960688B2
- Authority
- JP
- Japan
- Prior art keywords
- signature
- key
- verification
- data
- ciphertext
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
本発明は、公開鍵暗号方式など、所定の暗号方式にしたがった暗号システムにおいて用いられる署名検証装置、暗号化装置、署名検証方法及び暗号化方法に関する。
今日、秘匿性を保ちつつ安全に情報を送受信するため、RSAなどの公開鍵暗号方式が広く用いられている。
公開鍵暗号方式を用いて電子署名をする場合において、一定の条件の下（例えば、ランダムオラクルの存在を仮定した場合）、署名データ（例えば、電子署名が付加された暗号文）から、電子署名に用いられる署名鍵に関連する“鍵関連データ”を抽出できる確率を一定の値以上とすることにより、当該暗号方式の安全性を示す方法が知られている（例えば、非特許文献１）。
なお、鍵関連データとは、署名鍵を用いれば容易に構成できるが、署名鍵を用いなければ構成が困難なデータである。すなわち、正しい鍵関連データを示すことができる場合、当該装置（ユーザ）は、当該鍵関連データに対応する署名鍵を用いて当該署名データを生成したことを示すことができる。
Yiannis Tsiounis and Moti Yung、"On the Security of ElGamal Based Encryption"、Public Key Cryptography 1998，pp.117-134、１９９８年
Yiannis Tsiounis and Moti Yung、"On the Security of ElGamal Based Encryption"、Public Key Cryptography 1998，pp.117-134、１９９８年
しかしながら、上述した鍵関連データを抽出できる確率を一定の値以上とする方法には、次のような問題があった。すなわち、署名鍵や鍵関連データを抽出できる確率を一定の値以上とする方法を暗号方式の安全性の向上に用いているため、当該暗号方式の安全性を証明することができない。
具体的には、選択暗号文攻撃における安全性の証明において、鍵関連データの抽出が何度も行われる。このため、すべての鍵関連データを抽出できる確率が小さくなり、当該暗号方式が安全であることを証明することができない。例えば、鍵関連データを１回のみ抽出する場合において鍵関連データを抽出できる確率が１０−９であるとすると、鍵関連データを１０９回すべて抽出できる確率は、１０−１８となり、極めて小さくなってしまう。
そこで、本発明は、このような状況に鑑みてなされたものであり、すべての鍵関連データを抽出できる確率を一定の値以上としつつ、暗号方式の安全性を証明することができる署名検証装置、暗号化装置、署名検証方法及び暗号化方法を提供することを目的とする。
上述した問題を解決するため、本発明は、次のような特徴を有している。まず、本発明の第１の特徴は、所定の暗号方式（しきい値暗号方式）にしたがった暗号システムにおいて用いられる署名検証装置（復号サーバ４００１〜４００ｎ）であって、署名対象データ（暗号文c）、及び前記署名対象データに対応する署名情報（署名情報v）を取得する取得部（受信部４０１）と、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵（検証鍵vk）とを用いて、署名鍵（署名鍵Sgk）を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるか否かを検証する検証部（検証部４０３）とを備え、前記所定の条件は、前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータ（システムパラメータparams）を任意に決定できる場合、前記署名情報の生成に用いられるハッシュ関数（ハッシュ関数H）への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、のうち、少なくとも何れかであることを要旨とする。
このような署名検証装置によれば、所定の条件の下、署名対象データと、署名対象データの検証に用いられる検証鍵とを用いて、署名鍵を用いれば容易に構成できるが署名鍵を用いなければ構成が困難な鍵関連データを抽出できるか否かが検証される。このため、選択暗号文攻撃における安全性の証明において、鍵関連データの抽出を何度も行ってもすべての鍵関連データを抽出できる確率が小さくなることを回避しつつ、署名対象データの安全性を検証することができる。
本発明の第２の特徴は、所定の暗号方式（しきい値暗号方式）にしたがった暗号システムにおいて用いられる暗号化装置（データ用共通鍵暗号化装置６００）であって、署名鍵（署名鍵Sgk）の元となる署名鍵元データ（署名鍵元データS）を用いて、暗号化対象データ（平文m）の暗号化に用いられるデータ用共通鍵（データ用共通鍵k）を暗号化した暗号データ（暗号データh）を出力する暗号データ出力部（暗号データ出力部６０５）と、署名対象データ、前記署名対象データに対応する署名情報及び前記暗号データを含む補強暗号文（補強暗号文C）を出力する補強暗号文出力部（補強暗号文出力部６０７）と、少なくとも前記暗号データを入力として前記署名対象データ、及び前記署名対象データの検証に用いられる検証鍵を出力する検証鍵出力部（検証鍵出力部６０９）とを備え、前記署名情報は、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、前記署名鍵を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるように構成され、前記所定の条件は、前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータ（システムパラメータparams）を任意に決定できる場合、前記署名情報の生成に用いられるハッシュ関数（ハッシュ関数H）への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、のうち、少なくとも何れかであることを要旨とする。
本発明の第３の特徴は、所定の暗号方式にしたがった暗号システムにおいて用いられる署名検証方法であって、署名対象データ、及び前記署名対象データに対応する署名情報を取得するステップと、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、署名鍵を用いれば容易に構成できるが署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるか否かを検証するステップとを備え、前記所定の条件は、前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、のうち、少なくとも何れかであることを要旨とする。
本発明の第４の特徴は、所定の暗号方式にしたがった暗号システムにおいて用いられる暗号化方法であって、署名鍵の元となる署名鍵元データを用いて、暗号化対象データの暗号化に用いられるデータ用共通鍵を暗号化した暗号データを出力するステップと、署名対象データ、前記署名対象データに対応する署名情報及び前記暗号データを含む補強暗号文を出力するステップとを備え、前記署名情報は、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、署名鍵を用いれば容易に構成できるが署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるように構成され、前記所定の条件は、前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、のうち、少なくとも何れかであることを要旨とする。
本発明の特徴によれば、すべての鍵関連データを抽出できる確率を一定の値以上としつつ、暗号方式の安全性を証明する署名検証装置、暗号化装置、署名検証方法及び暗号化方法を提供することができる。
次に、本発明の実施形態について説明する。なお、以下の図面の記載において、同一または類似の部分には、同一または類似の符号を付している。ただし、図面は模式的なものであり、各寸法の比率などは現実のものとは異なることに留意すべきである。
したがって、具体的な寸法などは以下の説明を参酌して判断すべきものである。また、図面相互間においても互いの寸法の関係や比率が異なる部分が含まれていることは勿論である。
（暗号システムの全体概略構成）
図１は、本実施形態に係る暗号システムの全体概略構成図である。図１に示すように、本実施形態に係る暗号システムは、情報提供サーバ１００、端末装置２００、暗号文管理サーバ３００、復号サーバ４００１〜４００ｎ、端末装置５００及びデータ用共通鍵暗号化装置６００を含む。
図１は、本実施形態に係る暗号システムの全体概略構成図である。図１に示すように、本実施形態に係る暗号システムは、情報提供サーバ１００、端末装置２００、暗号文管理サーバ３００、復号サーバ４００１〜４００ｎ、端末装置５００及びデータ用共通鍵暗号化装置６００を含む。
また、本実施形態に係る暗号システムは、公開鍵暗号方式における復号鍵を複数の分散鍵に分散し、当該分散鍵を有する複数の復号サーバ（復号サーバ４００１〜４００ｎ）が共同で処理を実行しなければ、平文mを復元できないようにした、いわゆる“しきい値暗号方式”（例えば、Pierre-Alain Fouque and David Pointcheval、“Threshold Cryptosystems Secure against Chosen-Ciphertext Attacks”、ASIACRYPT 2001, pp.351-368、２００１年）にしたがった暗号システムである。しきい値暗号方式では、分散鍵を秘密の状態としつつ復号を実行することができる。
通信ネットワーク１０は、暗号システムに含まれる各サーバ及び端末装置を接続する通信ネットワークである。また、本実施形態では、端末装置２００及び端末装置５００は、無線基地局１１Ａ，１１Ｂとの間において無線通信を実行する無線通信端末装置である。なお、端末装置２００及び端末装置５００は、無線ではなく、有線によって通信ネットワーク１０に接続する端末装置であってもよい。
情報提供サーバ１００は、端末装置２００から端末装置５００に対して送信される情報（具体的には、平文m）の暗号化及び復号に必要な情報（以下、提供情報）、例えば、公開情報pkや分散鍵skなどを提供する。
端末装置２００は、本実施形態に係るしきい値暗号方式に基づいて、平文mを暗号化した補強暗号文Cを生成する。また、端末装置２００は、生成した補強暗号文Cを暗号文管理サーバ３００に送信する。なお、補強暗号文Cの生成方法については後述する。
暗号文管理サーバ３００は、端末装置２００から送信された補強暗号文Cを格納する。また、暗号文管理サーバ３００は、復号サーバ４００１〜４００ｎまたは端末装置５００からの要求に応じて、格納している補強暗号文Cを送信する。
復号サーバ４００１〜４００ｎは、暗号文管理サーバ３００から送信された補強暗号文Cの正当性を検証するとともに、補強暗号文Cを用いて、平文mの部分的な復号情報である部分復号情報δを生成する。また、復号サーバ４００１〜４００ｎは、生成した部分復号情報δを端末装置５００に送信する。
さらに、復号サーバ４００１〜４００ｎは、署名鍵Sgkを用いれば容易に構成できるが、署名鍵Sgkを用いなければ構成が困難な鍵関連データを抽出できるか否かを検証する機能を有する。本実施形態において、復号サーバ４００１〜４００ｎは、署名検証装置を構成する。
端末装置５００は、復号サーバ４００１〜４００ｎから送信された部分復号情報δを検証する。また、端末装置５００は、検証した部分復号情報δを用いて、平文mを復元する。
データ用共通鍵暗号化装置６００は、端末装置２００によって生成された署名情報vに基づいて生成されたデータ用共通鍵を用いて平文mが暗号化された補強暗号文Cを生成する。また、データ用共通鍵暗号化装置６００は、生成した補強暗号文Cを通信先（不図示）に送信する。本実施形態において、データ用共通鍵暗号化装置６００は、暗号化装置を構成する。
（暗号システムの機能ブロック構成）
次に、本実施形態に係る暗号システムの機能ブロック構成について説明する。なお、本実施形態では、位数qの群Gにおいて演算を実行するものとする。
次に、本実施形態に係る暗号システムの機能ブロック構成について説明する。なお、本実施形態では、位数qの群Gにおいて演算を実行するものとする。
また、本実施形態では、素数p（p-1はqを割り切る）に対して、Zp-1の部分群G（位数q）における利用方法を例として説明するが、楕円曲線上でも同様の演算を実行することができる。
さらに、群Gの生成元の一つをg1と定義する。また、特にただし書きがない場合、演算は、mod pにより実行されるものとする。
（１）情報提供サーバ１００
図２は、情報提供サーバ１００の機能ブロック構成図である。図２に示すように、情報提供サーバ１００は、提供情報生成部１０１、鍵データベース１０３及び送信部１０５を備える。
図２は、情報提供サーバ１００の機能ブロック構成図である。図２に示すように、情報提供サーバ１００は、提供情報生成部１０１、鍵データベース１０３及び送信部１０５を備える。
提供情報生成部１０１は、公開情報pkや分散鍵skなどを生成する。具体的には、提供情報生成部１０１は、定義域｛0, q-1｝の範囲内において、一様な確率で値を一つ選択し、選択した値（乱数x）を秘密情報xとする。
提供情報生成部１０１は、（１式）を用いて、公開鍵（h）を生成する。
また、提供情報生成部１０１は、所定の方式（例えば、Shamir法）に基づいて、分散鍵skを生成する。具体的には、提供情報生成部１０１は、秘密情報xを複数（n個）に分散し、複数（n個）の分散鍵sk1,…, ski,…, sknを生成する。
より具体的には、提供情報生成部１０１は、0<i<tに対して、ai∈UZLと定義するとともに、a0=xと定義する。なお、“ＺX”とは、０以上X未満の整数の集合（ZX=Z/XZ）を表す。また、“X∈UG”は、Gから一様な確率で要素Xを選択することを示す。
提供情報生成部１０１は、（２式）及び（３式）を用いて、分散鍵sk1,…, ski,…, sknを生成する。
さらに、提供情報生成部１０１は、（４式）を用いて、複数（n個）の部分復号検証鍵share vk1,…, share vki,…, share vknを生成する。
ここで、νは、群Gの生成元の一つである。
また、提供情報生成部１０１は、端末装置２００において用いられるハッシュ関数H1及びハッシュ関数H2（例えば、SHA-1）を選択することができる。提供情報生成部１０１は、選択したハッシュ関数H1及びハッシュ関数H2を示す情報（関数情報）を端末装置２００などに提供することができる。
さらに、提供情報生成部１０１は、署名対象データの検証に用いられる検証鍵vk、任意の方法によって定められたシード（例えば、乱数）、平文mの暗号処理及び暗号化された署名対象データの復号処理に用いられる公開鍵及び復号鍵を生成することができる。
鍵データベース１０３は、提供情報生成部１０１によって生成された公開情報pk（公開鍵）、分散鍵sk1,…, ski,…, skn及び部分復号検証鍵share vk1,…, share vki,…, share vknなどを格納する。
また、鍵データベース１０３は、端末装置２００において用いられるハッシュ関数H1及びハッシュ関数H2を格納することができる。
送信部１０５は、鍵データベース１０３に格納されている情報、具体的には、公開情報pk（公開鍵）、分散鍵sk1,…, ski,…, skn及び部分復号検証鍵share vk1,…, share vki,…, share vkn、シード、復号鍵などの提供情報を、暗号システムを構成する他のサーバなどに送信する。
また、送信部１０５は、鍵データベース１０３に格納されているハッシュ関数H1及びハッシュ関数H2を、端末装置２００や復号サーバ４００１〜４００ｎなどに送信することができる。
（２）端末装置２００
図３は、端末装置２００の機能ブロック構成図である。図３に示すように、端末装置２００は、受信部２０１、乱数生成部２０３、暗号文生成部２０７、検証鍵生成部２０９、第１ハッシュ値生成部２１１、第２ハッシュ値生成部２１３、署名情報生成部２１５、署名部２１７及び送信部２１９を備える。
図３は、端末装置２００の機能ブロック構成図である。図３に示すように、端末装置２００は、受信部２０１、乱数生成部２０３、暗号文生成部２０７、検証鍵生成部２０９、第１ハッシュ値生成部２１１、第２ハッシュ値生成部２１３、署名情報生成部２１５、署名部２１７及び送信部２１９を備える。
受信部２０１は、情報提供サーバ１００から公開情報pkを受信する。また、受信部２０１は、第１ハッシュ値生成部２１１において用いられるハッシュ関数H1、及び第２ハッシュ値生成部２１３において用いられるハッシュ関数H2を、情報提供サーバ１００から受信することができる。
乱数生成部２０３は、署名情報vなどの生成に用いられる乱数sを生成する。具体的には、乱数生成部２０３は、定義域｛0, q-1｝の範囲内において、一様な確率で値を選択し、選択した値を乱数sとする。
暗号文生成部２０７は、平文mを暗号化し、暗号文cを生成する。具体的には、暗号文生成部２０７は、（５式）及び（６式）を用いて演算を実行し、暗号文cを生成する。
ここで、Hは、ハッシュ関数（例えば、SHA-1）を示す。また、*は、排他的論理和を示す。
検証鍵生成部２０９は、乱数rを用いて、暗号文cの検証に用いられる検証鍵vkを生成する。具体的には、検証鍵生成部２０９は、（７式）を用いて検証鍵vkを生成する。
ここで、u1が検証鍵vkに相当する。
第１ハッシュ値生成部２１１は、少なくとも検証鍵vkをハッシュ関数H1（第１のハッシュ関数）に入力し、ハッシュ値hAを生成する。
具体的には、第１ハッシュ値生成部２１１は、（８式）を用いてハッシュ値hAを生成する。
ここで、g2がハッシュ値hAに相当する。
第２ハッシュ値生成部２１３は、少なくもハッシュ値hA及び暗号文cをハッシュ関数H2（第２のハッシュ関数）に入力し、ハッシュ値hBを生成する。
具体的には、第２ハッシュ値生成部２１３は、（９式）を用いてハッシュ値hBを生成する。
ここで、eがハッシュ値hBに相当する。また、第２ハッシュ値生成部２１３は、（１０式）〜（１２式）を用いて、w1、w2及びu2を演算する。
署名情報生成部２１５は、乱数rを用いて、暗号文cに対応する署名情報vを生成する。具体的には、署名情報生成部２１５は、ハッシュ値hA、ハッシュ値hB及び署名鍵元データSを用いて署名情報vを生成する。
本実施形態では、f及びu2が署名情報vに相当する。
また、署名情報生成部２１５は、暗号文cなどの生成に用いられるシードを生成する。なお、シードとは、任意の方法によって定められた数字列や文字列などである。本実施形態では、署名情報生成部２１５は、シードとして乱数rを生成する。具体的には、署名情報生成部２１５は、乱数生成部２０３と同様の方法によって、乱数rを生成する。
署名部２１７は、署名情報vを含む署名σを暗号文cに付加する。具体的には、署名部２１７は、署名σを（e，u2, f）として、暗号文cに付加する。
さらに、署名部２１７は、暗号文cに署名σが付加された補強暗号文Cを出力する。なお、補強暗号文Cは、（１４式）に示すような構成を有する。
上述した署名情報生成部２１５は、出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、検証鍵vkから作成できない情報（例えば、hやu1を用いて実行したしきい値暗号方式にしたがった演算結果）を、検証鍵vk及び署名情報vを用いて抽出できる。
より忠実には、ランダムオラクルの存在を仮定した場合、署名部２１７は、部分復号情報δを圧倒的に高い確率で抽出できる署名σを付加することができる。
さらに、署名情報生成部２１５は、検証鍵vkを用いて有効であると判断された署名σと、検証鍵vkとのペアに基づいて、検証鍵vkと同一の検証鍵、さらには、検証鍵vkと異なる他の検証鍵と、署名σとのペアを作成することができない署名情報vを生成することができる。
例えば、通常の署名では、（vk,σ,m）から（vk,σ',m'）を得ることができない（ここで、少なくともσ≠σ'もしくはm≠m'の何れかが成立）。本実施形態に係る署名では、（vk,σ,m）から（vk',σ',m'）を得ることができない（ここで、少なくともvk', σ', m'は、σ≠σ'、m≠mもしくはvk≠vk'の何れかが成立）。
また、署名部２１７は、上述したように、e（ハッシュ値hB）及びf（署名情報v）を含む署名σを前記署名対象データに付加することができる。さらに、署名部２１７は、e（ハッシュ値hB）と、e（ハッシュ値hB）及び乱数rを用いて生成されたf（署名情報v）とを含む署名σを、u1（検証鍵vk）とともに、乱数rを平文mの暗号化における乱数として用いて暗号化された暗号文cに付加することができる。
送信部２１９は、署名部２１７によって出力された補強暗号文Cを暗号文管理サーバ３００に送信する。
（３）暗号文管理サーバ３００
図４は、暗号文管理サーバ３００の機能ブロック構成図である。図４に示すように、暗号文管理サーバ３００は、受信部３０１、暗号文管理部３０３、暗号文データベース３０５及び送信部３０７を備える。
図４は、暗号文管理サーバ３００の機能ブロック構成図である。図４に示すように、暗号文管理サーバ３００は、受信部３０１、暗号文管理部３０３、暗号文データベース３０５及び送信部３０７を備える。
受信部３０１は、端末装置２００から補強暗号文Cを受信する。また、受信部３０１は、復号サーバ４００１〜４００ｎから補強暗号文Cの送信要求を受信する。
暗号文管理部３０３は、受信部３０１が受信した補強暗号文Cを、送信元の端末装置ごとに管理する。また、暗号文管理部３０３は、受信部３０１が受信した補強暗号文Cを暗号文データベース３０５に格納する。
暗号文データベース３０５は、受信部３０１が受信した補強暗号文Cを格納するデータベースである。暗号文データベース３０５は、受信部３０１が受信した補強暗号文Cと、当該補強暗号文Cに対応する公開情報pkとを対応付けて格納する。
送信部３０７は、復号サーバ４００１〜４００ｎからの補強暗号文Cの送信要求に応じて、補強暗号文Cを復号サーバ４００１〜４００ｎに送信する。
（４）復号サーバ４００１〜４００ｎ
図５は、復号サーバ４００１の機能ブロック構成図である。図４に示すように、復号サーバ４００１は、受信部４０１、検証部４０３、部分復号情報生成部４０５、送信部４０７及び記憶部４０９を備える。
図５は、復号サーバ４００１の機能ブロック構成図である。図４に示すように、復号サーバ４００１は、受信部４０１、検証部４０３、部分復号情報生成部４０５、送信部４０７及び記憶部４０９を備える。
なお、本実施形態では、復号サーバは複数（４００１〜４００ｎ）設けられており、他の復号サーバも復号サーバ４００１と同一の機能ブロック構成を有する。
受信部４０１は、暗号文管理サーバ３００から分散鍵sk及び補強暗号文Cを受信する。また、受信部４０１は、暗号文c（署名対象データ）、及び暗号文cに対応する署名情報vを取得する。本実施形態において、受信部４０１は、取得部を構成する。
検証部４０３は、補強暗号文Cに含まれる暗号文cが正当であることを検証する。具体的には、検証部４０３は、ハッシュ関数H1と、ハッシュ関数H2と、ハッシュ値hA及びハッシュ値hBを用いて生成され暗号文c（署名対象データ）に付加されている署名σとを用いて暗号文cが正当であることを検証する。
より具体的には、検証部４０３は、（１５式）を用いてg2を求める。
さらに、検証部４０３は、（１６式）を用いて当該演算が成立するか否かを判定する。検証部４０３は、当該演算が成立する場合、暗号文cが正当であると判定する。
すなわち、検証部４０３は、ハッシュ関数H1と、ハッシュ関数H2と、ハッシュ値hA及びハッシュ値hBを用いて生成され暗号文cに付加されている署名σと、u1（検証鍵vk）とを用いて、暗号文cが正当であることを検証する。
また、検証部４０３は、部分復号情報δが正当であることを検証することができる。検証部４０３は、部分復号情報δが正当であることを証明する正当性証明情報pfを端末装置５００に送信することができる。
さらに、検証部４０３は、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、暗号文cと、暗号文cの検証に用いられる検証鍵vkとを用いて、署名鍵Sgkを用いれば容易に構成できるが、署名鍵Sgkを用いなければ構成が困難な鍵関連データzを抽出できるか否かを検証することができる。
具体的には、検証部４０３は、（１６式）が成立するかによって、鍵関連データzを抽出できるか否かを検証する。
部分復号情報生成部４０５は、部分復号情報δを生成する。具体的には、部分復号情報生成部４０５は、検証部４０３によって暗号文cが正当であることが検証されたことに応じて、暗号文cを復号する。具体的には、部分復号情報生成部４０５は、（１７式）を用いて部分復号情報δ（δi）を生成する。
送信部４０７は、部分復号情報生成部４０５によって生成された部分復号情報δを端末装置５００に送信する。
記憶部４０９は、ハッシュ関数H1及びハッシュ関数H2を記憶する。なお、本実施形態では、記憶部４０９にハッシュ関数H1及びハッシュ関数H2に記憶されているが、ハッシュ関数H1及びハッシュ関数H2は、必要なときに、通信ネットワーク１０などを介して外部から取得してもよい。
（５）端末装置５００
図６は、端末装置５００の機能ブロック構成図である。図６に示すように、端末装置５００は、受信部５０１、検証部５０３、平文復元部５０５、送信部５０７、出力部５０９及び記憶部５１１を備える。
図６は、端末装置５００の機能ブロック構成図である。図６に示すように、端末装置５００は、受信部５０１、検証部５０３、平文復元部５０５、送信部５０７、出力部５０９及び記憶部５１１を備える。
受信部５０１は、復号サーバ４００１〜４００ｎのそれぞれによって復号された部分復号情報δを、復号サーバ４００１〜４００ｎから受信する。すなわち、受信部５０１は、平文mが暗号化された暗号文cの少なくとも一部分を復号することによって生成された複数の部分復号情報δ（δ1〜δn）を受信する。
また、受信部５０１は、部分復号情報δが正当であることを示す正当性証明情報pfを、復号サーバ４００１〜４００ｎから受信する。さらに、受信部５０１は、情報提供サーバ１００から部分復号検証鍵share vk1,…, share vki,…, share vknを受信する。
検証部５０３は、部分復号情報δ（δ1〜δn）が正当であることを検証する。具体的には、検証部５０３は、ハッシュ関数H1と、ハッシュ関数H2と、ハッシュ値hA及びハッシュ値hBを用いて生成され暗号文c（署名対象データ）に付加されている署名σと、部分復号検証鍵share vk1,…, share vki,…, share vknとを用いて、部分復号情報δ（δ1〜δn）が正当であることを検証する。
より具体的には、検証部５０３は、上述した非特許文献１に記載されている方法にしたがって、部分復号検証鍵share vk1,…, share vki,…, share vknのそれぞれと、それらの生成元νと、正当性証明情報pfとを用いて、複数の部分復号情報δ1〜δnのそれぞれを検証する。
平文復元部５０５は、検証部５０３によって暗号文cが正当であることが検証されたことに応じて、受信部５０１が受信した部分復号情報δ（δ1〜δn）を結合し、平文mを復元する。具体的には、平文復元部５０５は、（１８式）及び（１９式）を用いて平文mを復元する。
送信部５０７は、補強暗号文Cの送信要求を暗号文管理サーバ３００に送信する。また、送信部５０７は、補強暗号文Cの復号要求を復号サーバ４００１〜４００ｎに送信する。
出力部５０９は、平文復元部５０５によって復元された平文mを出力、例えば、表示部（不図示）に表示したり、文書ファイルとして生成したりすることができる。
記憶部５１１は、ハッシュ関数H1及びハッシュ関数H2を記憶する。なお、本実施形態では、記憶部５１１にハッシュ関数H1及びハッシュ関数H2に記憶されているが、ハッシュ関数H1及びハッシュ関数H2は、必要なときに、通信ネットワーク１０などを介して外部から取得してもよい。
（６）データ用共通鍵暗号化装置
図７は、データ用共通鍵暗号化装置６００の機能ブロック構成図である。図７に示すように、データ用共通鍵暗号化装置６００は、受信部６０１、暗号文生成部６０３、暗号データ出力部６０５、補強暗号文出力部６０７、検証鍵出力部６０９及び送信部６１１を備える。
図７は、データ用共通鍵暗号化装置６００の機能ブロック構成図である。図７に示すように、データ用共通鍵暗号化装置６００は、受信部６０１、暗号文生成部６０３、暗号データ出力部６０５、補強暗号文出力部６０７、検証鍵出力部６０９及び送信部６１１を備える。
受信部６０１は、他の装置（不図示）から暗号化される平文m（暗号化対象データ）などを受信する。
暗号文生成部６０３は、平文mを暗号化し、暗号文cを生成する。具体的には、暗号文生成部６０３は、暗号文生成部２０７と同様に、（５式）及び（６式）を用いて演算を実行し、暗号文cを生成する。
暗号データ出力部６０５は、署名鍵Sgkの元となる署名鍵元データSを生成し、暗号化対象データ（平文m）の暗号化に用いられるデータ用共通鍵kを暗号化した暗号データhを出力する。具体的には、暗号データ出力部６０５は、（５式）〜（１４式）の演算を実行する。なお、本実施形態では、署名鍵Sgkと署名鍵元データSとは、同一である。
補強暗号文出力部６０７は、暗号文c（署名対象データ）、暗号文cに対応する署名情報v及び暗号データhを含む補強暗号文Cを出力する。具体的には、補強暗号文出力部６０７は、（１４式）によって補強暗号文Cを出力する。
なお、署名情報vは、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、暗号文cと、暗号文cの検証に用いられる検証鍵vkとを用いて、署名鍵Sgkを用いれば容易に構成できるが署名鍵Sgkを用いなければ構成が困難な鍵関連データzを抽出できるように構成される。
検証鍵出力部６０９は、少なくとも暗号データhを入力として暗号文c（署名対象データ）、及び暗号文cの検証に用いられる検証鍵vkを出力する。なお、検証鍵出力部６０９は、暗号データh自体を検証鍵vkとして出力してもよい。
送信部６１１は、補強暗号文出力部６０７が出力した補強暗号文Cを通信先（不図示）に送信する。
（暗号システムの動作）
次に、上述した暗号システムの動作について説明する。具体的には、（１）鍵生成処理、（２）暗号化処理、（３）復号及び復元処理、及び（４）データ用共通鍵を用いた補強暗号文Cの生成及び送信処理の内容について説明する。
次に、上述した暗号システムの動作について説明する。具体的には、（１）鍵生成処理、（２）暗号化処理、（３）復号及び復元処理、及び（４）データ用共通鍵を用いた補強暗号文Cの生成及び送信処理の内容について説明する。
（１）鍵生成処理
図８は、暗号システムの全体概略シーケンス図である。まず、鍵生成処理について説明する。図８に示すように、ステップＳ１０において、情報提供サーバ１００は、暗号システムを構成する他の装置に提供される提供情報を生成する。
図８は、暗号システムの全体概略シーケンス図である。まず、鍵生成処理について説明する。図８に示すように、ステップＳ１０において、情報提供サーバ１００は、暗号システムを構成する他の装置に提供される提供情報を生成する。
具体的には、情報提供サーバ１００は、公開情報pk（公開鍵）、分散鍵sk1,…, ski,…, skn及び部分復号検証鍵share vk1,…, share vki,…, share vknを生成する。
ステップＳ２０において、情報提供サーバ１００は、生成した公開情報pkを端末装置２００、暗号文管理サーバ３００、復号サーバ４００１〜４００ｎ及び端末装置５００にそれぞれ送信する。
ステップＳ３０において、情報提供サーバ１００は、生成した分散鍵sk1,…, ski,…, sknを復号サーバ４００１〜４００ｎに送信する。例えば、情報提供サーバ１００は、分散鍵sk1を復号サーバ４００１に送信する。
ステップＳ４０において、情報提供サーバ１００は、生成した部分復号検証鍵share vk1,…, share vki,…, share vknを端末装置５００に送信する。
（２）暗号化処理
次に、暗号化処理について説明する。図８に示すように、ステップＳ１００において、端末装置２００は、平文mの暗号化処理を実行する。具体的には、端末装置２００は、図９に示す暗号化処理フローにしたがって、平文mの暗号化処理を実行する。
次に、暗号化処理について説明する。図８に示すように、ステップＳ１００において、端末装置２００は、平文mの暗号化処理を実行する。具体的には、端末装置２００は、図９に示す暗号化処理フローにしたがって、平文mの暗号化処理を実行する。
図９に示すように、ステップＳ１０１において、端末装置２００は、署名鍵元データSを選択する。
ステップＳ１０３において、端末装置２００は、（５式）を用いて、べき乗演算を実行する。
ステップＳ１０５において、端末装置２００は、（７式）を用いた演算を実行し、u1（検証鍵vk）を生成する。
ステップＳ１０７において、端末装置２００は、（８式）を用いた演算を実行し、g2（ハッシュ値hA）を演算する。
ステップＳ１０９において、端末装置２００は、（１１式）を用いて、u2を演算する。
ステップＳ１１１において、端末装置２００は、乱数sを選択する。
ステップＳ１１３において、端末装置２００は、（１０式）を用いて、w1を演算する。
ステップＳ１１５において、端末装置２００は、（１１式）を用いて、w2を演算する。
なお、ステップＳ１０１〜Ｓ１１５の処理順序は、必ずしも図９に示したフローにしたがう必要はない。また、ステップＳ１０１〜Ｓ１１５の処理は、平文mが決定する前に、予め実行することができる。
ステップＳ１１７において、端末装置２００は、（６式）を用いた演算を実行し、暗号文cを生成する。
ステップＳ１１９において、端末装置２００は、（９式）を用いた演算を実行し、e（ハッシュ値hB）を生成する。
ステップＳ１２１において、端末装置２００は、（１３式）を用いた演算を実行し、f（署名情報v）を生成する。
ステップＳ１２３において、端末装置２００は、（１４式）を用いた演算を実行し、補強暗号文Cを生成する。
次に、図８に示すように、ステップＳ２００において、端末装置２００は、生成した補強暗号文Cを暗号文管理サーバ３００に送信する。
ステップＳ２１０において、暗号文管理サーバ３００は、受信した補強暗号文Cを格納する。
（３）復号及び復元処理
次に、復号及び復元処理について説明する。図８に示すように、ステップＳ２２０において、端末装置５００は、補強暗号文Cの送信要求を暗号文管理サーバ３００に送信する。
次に、復号及び復元処理について説明する。図８に示すように、ステップＳ２２０において、端末装置５００は、補強暗号文Cの送信要求を暗号文管理サーバ３００に送信する。
ステップＳ２３０において、暗号文管理サーバ３００は、当該送信要求に基づいて、格納している補強暗号文Cを端末装置５００に送信する。なお、ステップＳ２２０及びＳ２３０の処理は省略しても構わない。
ステップＳ２４０において、端末装置５００は、補強暗号文Cに含まれる暗号文cの復号要求を復号サーバ４００１〜４００ｎに送信する。
ステップＳ２５０において、復号サーバ４００１〜４００ｎは、当該復号要求に基づいて、補強暗号文Cの送信要求を暗号文管理サーバ３００に送信する。
ステップＳ２６０において、暗号文管理サーバ３００は、当該送信要求に基づいて、格納している補強暗号文Cを端末装置５００に送信する。
ステップＳ２７０において、復号サーバ４００１〜４００ｎは、補強暗号文Cに含まれる暗号文cの正当性を検証する。具体的には、復号サーバ４００１〜４００ｎは、図１０に示すフローにしたがって正当性検証処理と復号処理を実行する
図１０に示すように、ステップＳ２７１において、復号サーバ（例えば、復号サーバ４００１）は、（１５式）を用いてg2を求める。ステップＳ２７３において、復号サーバは、（１６式）を用いてe'を求める。
図１０に示すように、ステップＳ２７１において、復号サーバ（例えば、復号サーバ４００１）は、（１５式）を用いてg2を求める。ステップＳ２７３において、復号サーバは、（１６式）を用いてe'を求める。
ステップＳ２７５において、復号サーバは、当該演算が成立するか否かを判定する。当該演算が成立する場合（ステップＳ２７５のＹＥＳ）、ステップＳ２７７において、復号サーバは、暗号文cが正当であると判定し、暗号文cを復号する。
一方、当該演算が成立しない場合（ステップＳ２７５のＮＯ）、ステップＳ２７９において、復号サーバは、暗号文cが正当でないと判定し、Invalid symbolを出力する。
さらに、復号サーバ４００１〜４００ｎは、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、暗号文cと、暗号文cの検証に用いられる検証鍵vkとを用いて、署名鍵Sgkを用いれば容易に構成できるが、署名鍵Sgkを用いなければ構成が困難な鍵関連データzを抽出できるか否かを検証することができる。具体的には、復号サーバ４００１〜４００ｎは、（１６式）が成立するかによって、鍵関連データzを抽出できるか否かを検証する。
次いで、図８に示すように、ステップＳ２８０において、復号サーバ４００１〜４００ｎは、部分復号情報δ（δ1〜δn）を生成する。具体的には、復号サーバ４００１〜４００ｎのそれぞれは、（１７式）を用いて部分復号情報δを生成する。
ステップＳ２９０において、復号サーバ４００１〜４００ｎは、生成した部分復号情報δ（δ1〜δn）を端末装置５００に送信する。
ステップＳ３００において、端末装置５００は、受信した部分復号情報δ（δ1〜δn）の正当性を検証する。具体的には、端末装置５００は、（１８式）を用いて演算を実行し、部分復号検証鍵share vk1,…, share vki,…, share vknのそれぞれと、それらの生成元νと、正当性証明情報pfとを用いて、複数の部分復号情報δ1〜δnのそれぞれを検証する。
ステップＳ３１０において、端末装置５００は、部分復号情報δ（δ1〜δn）を結合し、（１９式）を用いて平文mを復元する。
（４）データ用共通鍵を用いた補強暗号文Cの生成及び送信処理
図１１は、データ用共通鍵を用いた補強暗号文Cの生成及び送信処理フローを示す。図１１に示すように、ステップＳ４１０において、データ用共通鍵暗号化装置６００は、署名鍵元データSを生成するとともに、生成した署名鍵元データSを用いて暗号データhを生成する。具体的には、データ用共通鍵暗号化装置６００は、（５式）〜（１４式）の演算を実行する。
図１１は、データ用共通鍵を用いた補強暗号文Cの生成及び送信処理フローを示す。図１１に示すように、ステップＳ４１０において、データ用共通鍵暗号化装置６００は、署名鍵元データSを生成するとともに、生成した署名鍵元データSを用いて暗号データhを生成する。具体的には、データ用共通鍵暗号化装置６００は、（５式）〜（１４式）の演算を実行する。
ステップＳ４２０において、データ用共通鍵暗号化装置６００は、暗号文c、暗号文cに対応する署名情報v及び暗号データhを含む補強暗号文Cを出力する。具体的には、データ用共通鍵暗号化装置６００は、（１４式）によって補強暗号文Cを出力する。
ステップＳ４３０において、データ用共通鍵暗号化装置６００は、補強暗号文Cを通信先（不図示）に送信する。
（変更例１）
上述した本発明の実施形態では、Diffie-Hellman（DH）に基づくしきい値暗号方式を例として説明したが、例えば、RSAに基づくしきい値暗号方式にも本発明を適用することができる。また、これらのしきい値暗号方式に基づいて、一般的な公開鍵暗号方式において用いられる情報（秘密鍵や公開鍵）を構成することもできる。
上述した本発明の実施形態では、Diffie-Hellman（DH）に基づくしきい値暗号方式を例として説明したが、例えば、RSAに基づくしきい値暗号方式にも本発明を適用することができる。また、これらのしきい値暗号方式に基づいて、一般的な公開鍵暗号方式において用いられる情報（秘密鍵や公開鍵）を構成することもできる。
例えば、RSAの場合、鍵生成としてはじめにΛ/2ビットの素数p, qを生成する。ここで、セキュリティパラメータΛ2を導入する。また、gcd(e, φ(N)) = 1 となるような整数eを選択する。暗号文の生成は以下のように実行する。まず、0からN-1までの範囲で一様な確率で乱数sを演算し、h = seとなるhを求める。検証鍵はhになり、これらを用いて、以下の演算を実行する。
署名σ = (u, v)は以下のように生成する。平文のビット数を“l”（エル）としてハッシュ関数は（２０式）のように定義する。また、特にただし書きがない場合、演算はmod Nにより実行されるものとする。
まず、（２１式）による演算を実行する。次いで、乱数rj(j = 1, 2, . . .,Λ2)、（２２式）及び（２３式）を用いて、コミット値CTを演算する。
次に、（２４式）を用いて、チャレンジctを得る。
さらに、（２５式）を用いて、レスポンスRを返す。また、暗号文は、（２６式）に示すような構成となる。
検証は以下のように実行する。まず、（２７式）による演算を実行する。
次に、（２８式）が成立するか否かを判定する。なお、sの抽出は、Hの監視により可能となることにより安全性の証明を実行する。
なお、暗号文が正しい場合、hを部分復号し、部分復号情報を出力する。部分復号、部分復号情報の検証及び復号処理の方法は、「P.-A.Fouque, G.Poupard and J.Stern, "Sharing Decryption in the Context of Voting or Lotteries," Financial Cryptography 2000, pp.90-104, 2000」において紹介されている方法を用いることができる。
（変更例２）
上述した実施形態では、（１６式）が成立するか否かによって鍵関連データzを抽出できるか否かを検証したが、鍵関連データzを抽出できるか否かの検証は、以下のように変更することができる。すなわち、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合において、出力g2（式８参照）をhaと決めてもよい。ここで、aは、ランダムに選択され、第１ハッシュ値生成部２１１に記憶される。
上述した実施形態では、（１６式）が成立するか否かによって鍵関連データzを抽出できるか否かを検証したが、鍵関連データzを抽出できるか否かの検証は、以下のように変更することができる。すなわち、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合において、出力g2（式８参照）をhaと決めてもよい。ここで、aは、ランダムに選択され、第１ハッシュ値生成部２１１に記憶される。
この場合、（１１式）において、u2を1/a乗することによって得られるhSを鍵関連データzとして用いる。
（変更例３）
上述した実施形態では、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合を所定の条件としたが、所定の条件は、以下のように変更することができる。すなわち、ランダムオラクルの存在を仮定した場合に代えて、暗号システムにおいて用いられる少なくとも一部のシステムパラメータparamsの一部、例えば、g2を任意に決定できる場合とすることができる。
上述した実施形態では、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合を所定の条件としたが、所定の条件は、以下のように変更することができる。すなわち、ランダムオラクルの存在を仮定した場合に代えて、暗号システムにおいて用いられる少なくとも一部のシステムパラメータparamsの一部、例えば、g2を任意に決定できる場合とすることができる。
この場合、（８式）及び（１５式）は用いられず、g2が固定値となる。具体的には、g2は、haと決められる。また、（９式）及び（１６式）において、ハッシュ関数H2への入力にu1が追加される。
また、この場合、上述した変更例２と同様に、（１１式）において、u2を1/a乗することによって得られるhSを鍵関連データとして用いる。
（変更例４）
上述した実施形態では、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合を所定の条件としたが、所定の条件は、さらに以下のように変更することができる。すなわち、ランダムオラクルの存在を仮定した場合に代えて、署名情報vの生成に用いられるハッシュ関数H（２０式及び２２式参照）への入力値、及び当該入力値に対応するハッシュ関数Hからの出力値を取得できる場合とすることができる。
上述した実施形態では、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合を所定の条件としたが、所定の条件は、さらに以下のように変更することができる。すなわち、ランダムオラクルの存在を仮定した場合に代えて、署名情報vの生成に用いられるハッシュ関数H（２０式及び２２式参照）への入力値、及び当該入力値に対応するハッシュ関数Hからの出力値を取得できる場合とすることができる。
この場合、（２２式）において、C0j及びC1jに入力されるhと、re jとを共通とする。hと、re jとを共通とすると、rj及びRjSが得られる。RjSをrjで除算することによって得られるSを鍵関連データとして用いる。
（作用・効果）
以上説明した本実施形態に係る暗号システムによれば、所定の条件の下（例えば、ランダムオラクルの存在を仮定した場合）、暗号文c（署名対象データ）と、暗号文cの検証に用いられる検証鍵vkとを用いて、署名鍵Sgkを用いれば容易に構成できるが署名鍵Sgkを用いなければ構成が困難な鍵関連データzを抽出できるか否かが検証される。このため、選択暗号文攻撃における安全性の証明において、鍵関連データzの抽出を何度も行ってもすべての鍵関連データzを抽出できる確率が小さくなることを回避しつつ、暗号文cの安全性を検証することができる。
以上説明した本実施形態に係る暗号システムによれば、所定の条件の下（例えば、ランダムオラクルの存在を仮定した場合）、暗号文c（署名対象データ）と、暗号文cの検証に用いられる検証鍵vkとを用いて、署名鍵Sgkを用いれば容易に構成できるが署名鍵Sgkを用いなければ構成が困難な鍵関連データzを抽出できるか否かが検証される。このため、選択暗号文攻撃における安全性の証明において、鍵関連データzの抽出を何度も行ってもすべての鍵関連データzを抽出できる確率が小さくなることを回避しつつ、暗号文cの安全性を検証することができる。
上述した非特許文献１において開示されている方法では、署名データから電子署名に用いられる署名鍵Sgkに関連する鍵関連データzを略１の確率で抽出できるという実際とは異なる仮定を用いている。しかしながら、このような仮定を満たすことは現実的には不可能である。つまり、実際には、有り得ない仮定の下で暗号方式の安全性を証明しているため、真に当該暗号方式の安全性を証明していることにはならない。
本実施形態では、所定の条件の下（例えば、ランダムオラクルの存在を仮定した場合）、鍵関連データzを略１の確率で抽出できる（つまり、無視できる程度の確率でしか抽出が失敗しない）署名データを用いているため、鍵関連データの抽出が何度も行われても、すべての鍵関連データを抽出できる確率が小さくならないのである。つまり、鍵関連データの抽出が何度も行われる場合でも暗号方式の安全性を示すことができる。
また、本実施形態では、署名データを他のプロトコル（暗号化、認証または二重に署名を行う場合）と併用しても鍵関連データzを略１の確率で抽出できる。このため、暗号方式の安全性を確実に示しつつ、多様な要求に柔軟に対応することができる。
さらに、本実施形態では、署名データから鍵関連データzを略１の確率で抽出できる。一般的に、署名データから鍵関連データzを略１の確率で抽出できる署名は、署名データから鍵データ、つまり、署名鍵Sgkを略１の確率で抽出できる署名よりも、構成が簡単になる。構成が簡単になれば、署名に関する演算量や署名データのサイズを抑制することができる。
（その他の実施形態）
上述したように、本発明の一実施形態を通じて本発明の内容を開示したが、この開示の一部をなす論述及び図面は、本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態が明らかとなろう。
上述したように、本発明の一実施形態を通じて本発明の内容を開示したが、この開示の一部をなす論述及び図面は、本発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施の形態が明らかとなろう。
例えば、上述した本発明の実施形態では、端末装置２００は、無線通信端末装置としたが、端末装置２００は、携帯情報端末（ＰＤＡ）やＩＣカードであってもよい。
上述した本発明の実施形態では、暗号文管理サーバ３００を介して補強暗号文Cを送受信する形態としたが、端末装置２００は、暗号文管理サーバ３００を用いずに、復号サーバ４００１〜４００ｎに直接補強暗号文Cを送信するようにしてもよい。さらに、復号サーバ４００１〜４００ｎが端末装置５００の機能を兼ね備え、平文mを復元するようにしてもよい。
また、端末装置２００の機能及び端末装置５００の機能を１台の端末装置に具備してもよい。或いは、端末装置２００の機能及びデータ用共通鍵暗号化装置６００の機能を１台の端末装置に具備してもよい。さらに、上述した暗号システムを構成する各装置の機能は、コンピュータや通信端末装置において実行可能なプログラムとしても提供することもできる。
上述した本発明の実施形態では、乱数rを用いて暗号化された暗号文cを署名対象データとしていて、かつ乱数rをシードとして用いているが、暗号化されていない署名対象データに署名σを付加してもよい。
このように、本発明は、ここでは記載していない様々な実施の形態などを含むことは勿論である。したがって、本発明の技術的範囲は、上述の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。
１０…通信ネットワーク、１１Ａ，１１Ｂ…無線基地局、１００…情報提供サーバ、１０１…提供情報生成部、１０３…鍵データベース、１０５…送信部、２００…端末装置、２０１…受信部、２０５…乱数生成部、２０７…暗号文生成部、２０９…検証鍵生成部、２１１…第１ハッシュ値生成部、２１３…第２ハッシュ値生成部、２１５…署名情報生成部、２１７…署名部、２１９…送信部、３００…暗号文管理サーバ、３０１…受信部、３０３…暗号文管理部、３０５…暗号文データベース、３０７…送信部、４００１〜４００ｎ…復号サーバ、４０１…受信部、４０３…検証部、４０５…部分復号情報生成部、４０７…送信部、４０９…記憶部、５００…端末装置、５０１…受信部、５０３…検証部、５０５…平文復元部、５０７…送信部、５０９…出力部、５１１…記憶部、６００…データ用共通鍵暗号化装置、６０１…受信部、６０３…暗号文生成部、６０５…暗号データ出力部、６０７…補強暗号文出力部、６０９…検証鍵出力部、６１１…送信部
Claims (4)
- 所定の暗号方式にしたがった暗号システムにおいて用いられる署名検証装置であって、
署名対象データ、及び前記署名対象データに対応する署名情報を取得する取得部と、
所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、署名鍵を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるか否かを検証する検証部と
を備え、
前記所定の条件は、
前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、
前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、
出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、
のうち、少なくとも何れかである署名検証装置。 - 所定の暗号方式にしたがった暗号システムにおいて用いられる暗号化装置であって、
署名鍵の元となる署名鍵元データを用いて、暗号化対象データの暗号化に用いられるデータ用共通鍵を暗号化した暗号データを出力する暗号データ出力部と、
署名対象データ、前記署名対象データに対応する署名情報及び前記暗号データを含む補強暗号文を出力する補強暗号文出力部と、
少なくとも前記暗号データを入力として前記署名対象データ、及び前記署名対象データの検証に用いられる検証鍵を出力する検証鍵出力部と
を備え、
前記署名情報は、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる前記検証鍵とを用いて、前記署名鍵を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるように構成され、
前記所定の条件は、
前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、
前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、
出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、
のうち、少なくとも何れかである暗号化装置。 - 所定の暗号方式にしたがった暗号システムにおいて用いられる署名検証方法であって、
署名対象データ、及び前記署名対象データに対応する署名情報を取得するステップと、
所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、署名鍵を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるか否かを検証するステップと
を備え、
前記所定の条件は、
前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、
前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、
出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、
のうち、少なくとも何れかである署名検証方法。 - 所定の暗号方式にしたがった暗号システムにおいて用いられる暗号化方法であって、
署名鍵の元となる署名鍵元データを用いて、暗号化対象データの暗号化に用いられるデータ用共通鍵を暗号化した暗号データを出力するステップと、
署名対象データ、前記署名対象データに対応する署名情報及び前記暗号データを含む補強暗号文を出力するステップと
を備え、
前記署名情報は、所定の条件において、前記署名対象データと前記署名対象データの検証に用いられる検証鍵とを用いて、前記署名鍵を用いれば容易に構成できるが前記署名鍵を用いなければ構成が困難な鍵関連データを略１の確率で抽出できるように構成され、
前記所定の条件は、
前記暗号システムにおいて用いられる少なくとも一部のシステムパラメータを任意に決定できる場合、
前記署名情報の生成に用いられるハッシュ関数への入力値、及び前記入力値に対応する前記ハッシュ関数からの出力値を取得できる場合、または、
出力が常に一様分布にしたがって決まり、他の出力と無相関な関数であるランダムオラクルの存在を仮定した場合、
のうち、少なくとも何れかである暗号化方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006319129A JP4960688B2 (ja) | 2006-11-27 | 2006-11-27 | 署名検証装置、暗号化装置、署名検証方法及び暗号化方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006319129A JP4960688B2 (ja) | 2006-11-27 | 2006-11-27 | 署名検証装置、暗号化装置、署名検証方法及び暗号化方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2008135869A JP2008135869A (ja) | 2008-06-12 |
| JP4960688B2 true JP4960688B2 (ja) | 2012-06-27 |
Family
ID=39560418
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006319129A Expired - Fee Related JP4960688B2 (ja) | 2006-11-27 | 2006-11-27 | 署名検証装置、暗号化装置、署名検証方法及び暗号化方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4960688B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP7318490B2 (ja) * | 2019-11-01 | 2023-08-01 | 富士通株式会社 | 暗号処理システム及び暗号処理方法 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005321719A (ja) * | 2004-05-11 | 2005-11-17 | Ntt Docomo Inc | 通信システム、復号装置、復元装置、鍵生成装置及び通信方法 |
| JP4758110B2 (ja) * | 2005-02-18 | 2011-08-24 | 株式会社エヌ・ティ・ティ・ドコモ | 通信システム、暗号化装置、鍵生成装置、鍵生成方法、復元装置、通信方法、暗号化方法、暗号復元方法 |
| JP2006319485A (ja) * | 2005-05-10 | 2006-11-24 | Ntt Docomo Inc | 署名装置、署名暗号化装置、検証装置、復号装置、復元装置、情報提供装置、通信システム、署名方法、署名暗号化方法及び検証方法 |
-
2006
- 2006-11-27 JP JP2006319129A patent/JP4960688B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2008135869A (ja) | 2008-06-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7899184B2 (en) | Ends-messaging protocol that recovers and has backward security | |
| JP4962317B2 (ja) | 電子入札システムおよび電子入札方法 | |
| US9705683B2 (en) | Verifiable implicit certificates | |
| US11870891B2 (en) | Certificateless public key encryption using pairings | |
| EP3709566B1 (en) | Key exchange device, key exchange system, key exchange method, and key exchange program | |
| CN110545169B (zh) | 基于非对称密钥池和隐式证书的区块链方法和系统 | |
| JP6468567B2 (ja) | 鍵交換方法、鍵交換システム | |
| WO2022167163A1 (en) | Threshold key exchange | |
| US20220038267A1 (en) | Methods and devices for secured identity-based encryption systems with two trusted centers | |
| US20190294417A1 (en) | Method and system for deriving deterministic prime number | |
| KR20040009766A (ko) | 암호 시스템에서 송수신 장치 및 방법 | |
| KR100396740B1 (ko) | 계산적 디피-헬만 가정에 기반하는 안전성 증명 가능한공개키 암호화 방법 | |
| EP3010173B1 (en) | Key storage device, key storage method, and program therefor | |
| JP2011091517A (ja) | サインクリプションシステムおよびサインクリプション生成方法 | |
| JPWO2016199507A1 (ja) | 鍵交換方法、鍵交換システム、鍵配送装置、通信装置、およびプログラム | |
| JP4288184B2 (ja) | 鍵更新方法、暗号システム、暗号サーバ、端末装置及び外部装置 | |
| JP4758110B2 (ja) | 通信システム、暗号化装置、鍵生成装置、鍵生成方法、復元装置、通信方法、暗号化方法、暗号復元方法 | |
| JP4563037B2 (ja) | 暗号化装置および復号化装置、並びにこれらを備えた暗号システム、暗号化方法および復号化方法 | |
| KR101695361B1 (ko) | 페어링 연산 및 비밀키를 이용한 술어 암호화 방법 | |
| JP4856933B2 (ja) | 署名装置、検証装置、復号装置、平文復元装置、情報提供装置、署名システム、通信システム、鍵生成装置及び署名方法 | |
| JP4960688B2 (ja) | 署名検証装置、暗号化装置、署名検証方法及び暗号化方法 | |
| JP2005176144A (ja) | 端末装置、通信システム及び通信方法 | |
| JP2006319485A (ja) | 署名装置、署名暗号化装置、検証装置、復号装置、復元装置、情報提供装置、通信システム、署名方法、署名暗号化方法及び検証方法 | |
| JP3895245B2 (ja) | 鍵の更新が可能な利用者の識別情報に基づく暗号化方法及び暗号システム | |
| JP4146252B2 (ja) | 不正者特定可能な匿名通信方法、それに使用される利用者装置、及び中継サーバ装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20091002 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120228 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120323 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20150330 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4960688 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |