JP5486468B2 - 鍵交換装置、鍵生成装置、鍵交換システム、鍵交換方法、プログラム - Google Patents

Description

本発明は情報セキュリティに関するものであり、特に、二者間でセッション鍵を共有するための鍵交換装置、鍵生成装置、鍵交換システム、鍵交換方法、プログラムに関する。

非特許文献１の述語認証鍵交換方式が従来技術として知られている。図１は、非特許文献１の鍵交換システムの構成例を示す図である。このシステムは、ネットワーク１０００で接続された鍵生成手段９００、鍵抽出手段８００、鍵交換装置７００_１，…，７００_Ｑ（ただし、Ｑは２以上の整数、ＡとＢは１以上Ｑ以下の異なる整数）で構成されている。以下に、このシステムを用いた鍵交換について説明する。

［準備］
γを根付き木とし、Ｌ（γ）をγの全ての葉ノードの集合とする。葉ノードでないノードに対してｃ_ｕを子ノードの数とし、葉ノードについてはｃ_ｕ＝１として扱う。つまり、葉ノードを１つだけ持つノードと葉ノードのｃ_ｕが１である。

それぞれのノードｕにはしきい値ｋ_ｕ（１≦ｋ_ｕ≦ｃ_ｕ）が割り当てられる。ここで、葉ノードを１つだけ持つノードと葉ノードについてはｋ_ｕ＝ｃ_ｕ＝１となる。それぞれのノードｕに対して、
ｉｎｄｅｘ（ｕ）∈｛１，…，ｃ_ｗ｝
を割り当てる。ただし、ノードｗはノードｕの親ノードとし、ノードｕはノードｗのｉｎｄｅｘ（ｕ）番目の子ノードとする。このとき、根付き木のそれぞれのノードｕにはｋ_ｕ−ｏｕｔ−ｏｆ−ｃ_ｕのしきい値ゲートが割り当てられる。

Ｕ＝｛１，２，…，ｎ｝
を属性の全体集合とする。それぞれの葉ノードに対して
ａｔｔ（ｕ）∈Ｕ
を割り当てる。すなわち、根付き木のそれぞれの葉ノードｕに１つの属性が割り当てられる。(ｋ_ｕ，ｉｎｄｅｘ（ｕ），ａｔｔ（ｕ）) を持つ根付き木γをアクセス木と呼ぶ。

属性集合δ⊂Ｕがアクセス木γを満たすことを次のように定義する。葉ノードｕについて、
ａｔｔ（ｕ）⊂δ
が成り立つとき、ｕは満たされたという。葉ノードでないノードｕについて、ｕの満たされた子ノードの数がｋ_ｕ以上であるとき、ｕは満たされたという。根ノードｕ_ｒが満たされたとき、属性集合δ⊂Ｕがアクセス木γを満たすという。

［公開パラメータ］
ｐｉｄはプロトコルＩＤであって、プロトコル仕様に対応した固有の識別子とする。セキュリティパラメータをκとする。ｐをκビット素数とし、ＧとＧ_Ｔをそれぞれ双線形ペアリング関数ｅ：Ｇ×Ｇ→Ｇ_Ｔを効率的に計算可能なｇとｇ_Ｔを生成元とする群とする。Ｈは任意長の整数をκビットの整数に変換するハッシュ関数、Ｈ’は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数とする。０以上ｐ−１以下の整数ｉと０以上ｐ−１以下の整数のある要素Ｓについて、Δ_ｉ，Ｓ（ｘ）を

となるようなラグランジュ係数とする。
［鍵生成］
鍵生成手段９００は、マスタ秘密鍵ｚを０以上ｐ−１以下の整数からランダムに選定する。また、すべての属性ｉ（ただし、ｉ∈Ｕ）について、ｔ_ｉを０以上ｐ−１以下の整数からランダムに選定する。さらに、鍵生成手段９００は、群Ｇ_Ｔの元であるマスタ公開鍵Ｚ＝ｇ_Ｔ＾ｚと｛Ｔ_ｉ＝ｇ＾ｔ_ｉ｝（ただし、ｉ∈Ｕ）を公開する。ここで、＾はべき乗を示している。

［鍵抽出］
鍵抽出手段８００は、鍵交換装置７００_Ａのアクセス木γ_Ａが入力されると、長期秘密鍵｛Ｄ_ｕ｝（ただし、ｕ∈Ｌ（γ_Ａ））をγ_Ａのそれぞれのノードについて多項式ｑ_ｕを選ぶことによって次のように計算する。

まず、鍵抽出手段８００は、多項式ｑ_ｕの次数をｄ_ｕ＝ｋ_ｕ−１に設定する。根ノードｕ_ｒについて、ｑ_ｕ＿ｒ（０）＝ｚとしｑ_ｕ＿ｒのその他のｄ_ｕ＿ｒ点を０以上ｐ−１以下の整数からランダムに選ぶ。よって、ｑ_ｕ＿ｒが一意に定まるため、残りｃ_ｕ＿ｒ−ｄ_ｕ＿ｒ点も一意に決まる。なお、ｑ_ｕ＿ｒ、ｃ_ｕ＿ｒ、ｄ_ｕ＿ｒの下付きの添え字である“ｕ＿ｒ”は、“ｕ_ｒ”を意味している。その他のノードｕについて、ｑ_ｕ（０）＝ｑ_ｕ’（ｉｎｄｅｘ（ｕ））とする。ただし、ｕ’はｕの親ノードである。ｑ_ｕのその他のｄ_ｕ点を０以上ｐ−１以下の整数からランダムに選ぶ。このように全てのノードの多項式を再帰的に決定していく。次に、それぞれの葉ノードｕの秘密の値を

として計算する。ただし、ｉ＝ａｔｔ（ｕ）である。最後に、鍵抽出手段８００は、ｕ∈Ｌ（γ_Ａ）であるすべてのｕについての秘密の値Ｄ_ｕの集合（以下では、｛Ｄ_ｕ｝（ｕ∈Ｌ（γ_Ａ）と表記する）を長期秘密鍵として出力する。
鍵交換装置７００_Ｂのアクセス木γ_Ｂに対する長期秘密鍵｛Ｄ_ｕ｝（ｕ∈Ｌ（γ_Ｂ））も同様の手続きによって計算する。

［鍵交換］
以下では、鍵交換装置７００_Ａを鍵交換処理でのイニシエータ、鍵交換装置７００_Ｂをレスポンダとする。鍵交換装置７００_Ａはアクセス木γ_Ａに対応する長期秘密鍵｛Ｄ_ｕ｝（ｕ∈Ｌ（γ_Ａ））を持ち、鍵交換装置７００_Ｂはアクセス木γ_Ｂに対応する長期秘密鍵｛Ｄ_ｕ｝（ｕ∈Ｌ（γ_Ｂ））を持つ。このとき、鍵交換装置７００_Ａは属性集合δ_Ａに対応する短期公開鍵（Ｘ，｛Ｔ_ｉ ^ｘ｝）（ただし、ｉ∈δ_Ａ）を鍵交換装置７００_Ｂに送り、鍵交換装置７００_Ｂは属性集合δ_Ｂに対応する短期公開鍵（Ｙ，｛Ｔ_ｉ ^ｙ｝）（ただし、ｉ∈δ_Ｂ）を鍵交換装置７００_Ａに送る。最後に、鍵交換装置７００_Ａと鍵交換装置７００_Ｂは、属性集合δ_Ｂがアクセス木γ_Ａを満たし、属性集合δ_Ａがアクセス木γ_Ｂを満たしたとき、またはその限りにおいて、セッション鍵Ｋを共有できる。なお、属性集合δ_Ｂがアクセス木γ_Ａを満たし、属性集合δ_Ａがアクセス木γ_Ｂを満たすとは、
述語Ｐ:｛０，１｝^Ｌ×｛０，１｝^Ｌ→｛０，１｝
を用いて、それぞれＰ（γ_Ａ，δ_Ｂ）＝１，Ｐ（γ_Ｂ，δ_Ａ）＝１と表現する。なお、ＬはＬ（γ）に属する全葉ノードの数である。本発明の場合、Ｐは「属性集合がアクセス木を満たす」という命題を表す。

つまり、鍵交換装置７００_Ａは、属性集合δ_Ａが鍵交換装置７００_Ｂのアクセス木γ_Ｂを満たすならば認証成功となることを期待して属性集合δ_Ａを設定する。また、鍵交換装置７００_Ｂは、属性集合δ_Ｂが鍵交換装置７００_Ａのアクセス木γ_Ａを満たすならば認証成功となることを期待して属性集合δ_Ｂを設定する。なお、鍵交換の具体的な処理については、非特許文献１を参照されたい。

A.Fujioka, K.Suzuki, K.Yoneyama,"Predicate-based Authenticated Key Exchange Resilient to Ephemeral Key Leakage", In: WISA 2010.

しかしながら、従来技術は以下のような２つの課題がある。
（課題１）アクセスポリシーを鍵交換時に指定できない。
（課題２）マスタ秘密鍵とマスタ公開鍵が属性の全体集合にパラメータライズされるため、鍵生成時に属性の全体集合をあらかじめ決めておかなければならない。したがって、あらかじめ決めた属性以外の任意の属性を扱うことができない。

本発明はこのような課題に鑑みてなされたものであり、鍵交換時にアクセスポリシーを指定でき、マスタ秘密鍵とマスタ公開鍵を生成した後にも任意の属性を扱うことができる鍵交換システムを提供することを目的とする。

本発明の鍵交換システムは、少なくとも鍵交換装置αと鍵交換装置βとを備え、セッション鍵を交換する。ここで、κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは鍵交換装置αの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ａは鍵交換装置αが鍵交換装置βに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ａは前記アクセス構造Ａ_Ａを示す関数、属性集合ρ_Ａ（ｉ）は前記アクセス構造Ａ_Ａに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ａはｉ行目が属性集合ρ_Ａ（ｉ）に対応するＬ_Ａ行Ｎ_Ａ列の行列、（Ｍ_Ａ）_ｉ，ｊはシェア情報生成行列Ｍ_Ａのｉ行ｊ列の要素、属性集合Ｓ_Ｂは鍵交換装置βの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ｂは鍵交換装置βが鍵交換装置αに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ｂは前記アクセス構造Ａ_Ｂを示す関数、属性集合ρ_Ｂ（ｉ）は前記アクセス構造Ａ_Ｂに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ｂはｉ行目が属性集合ρ_Ｂ（ｉ）に対応するＬ_Ｂ行Ｎ_Ｂ列の行列、（Ｍ_Ｂ）_ｉ，ｊはシェア情報生成行列Ｍ_Ｂのｉ行ｊ列の要素、Ｌ_Ａ、Ｎ_Ａ、Ｌ_Ｂ、Ｎ_Ｂは整数、Ｎ_ＭＡＸはＮ_ＡとＮ_Ｂが取りうる最大の整数、ｎとｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、ｋ_Ｂは属性集合Ｓ_Ｂの要素、ｒとｚは０以上ｐ−１以下の整数、（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）はマスタ公開鍵、ｇ＾ｚはマスタ秘密鍵、ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、ｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）、Ｓ’_Ｂ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ｂ［１］）、Ｔ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］、Ｔ_Ｂ［ｊ］＝ｇ＾ｔ_Ｂ［ｊ］、

、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｔ_Ｂ｝はＴ_Ｂ［１］，…，Ｔ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ｂ｝はＳ_Ｂ［１］，…，Ｓ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合、＾はべき乗を示す記号とする。

鍵交換装置αは、第１のアクセス構造決定部、第１の短期秘密鍵生成部、第１の交換情報生成部、第１の送信部、第１の受信部、第１の属性確認部、第１の秘密情報取得部、第１のセッション鍵計算部、第１の中間情報消去部を備える。鍵交換装置βは、第２のアクセス構造決定部、第２の短期秘密鍵生成部、第２の交換情報生成部、第２の送信部、第２の受信部、第２の属性確認部、第２の秘密情報取得部、第２のセッション鍵計算部、第２の中間情報消去部を備える。

第１のアクセス構造決定部は、アクセス構造Ａ_Ａを決定し、当該アクセス構造Ａ_Ａに対応するシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを生成する。第１の短期秘密鍵生成部は、１≦ｊ≦Ｎ_Ａについて、ｕ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する。第１の交換情報生成部は、
１≦ｊ≦Ｎ_Ａについて、ｕ_ｊ＝Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _ｊ）、
Ｘ＝ｇ＾ｕ_１、
１≦ｉ≦Ｌ_Ａと１≦ｊ≦Ｎ_Ａについて、
Ｕ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ａ）_ｉ，ｊｕ_ｊ）・Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）、
１≦ｉ≦Ｌ_ＡとＮ_Ａ＋１≦ｊ≦Ｎ_ＭＡＸについて、
Ｕ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）
を計算する。第１の送信部は、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを鍵交換装置βに送信する。第１の受信部は、鍵交換装置βから、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを受信する。第１の属性確認部は、属性集合Ｓ_Ａがシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを満たすか、Ｙと｛Ｖ｝が群Ｇの要素かを確認する。第１の秘密情報取得部は、Ｉ_Ａ＝｛ｋ：ρ_Ｂ（ｋ）∈Ｓ_Ａ｝となる集合Ｉ_Ａを求め、鍵交換装置βが生成した秘密情報ｖ_１に対する正当なシェア情報集合｛（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ｝について

が成り立つ０以上ｐ−１以下の整数ｗ_Ａ［ｋ］（ただし、ｋは集合Ｉ_Ａの要素）を求める。第１のセッション鍵計算部は、

σ_１＝（ｇ_Ｔ＾ｚ）＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
σ_３＝Ｙ＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
を計算し、セッション鍵Ｋを、
Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
のように求める。第１の中間情報消去部は、ｕ_ｊ（１≦ｊ≦Ｎ_Ａ）を消去する。

第２のアクセス構造決定部は、アクセス構造Ａ_Ｂを決定し、当該アクセス構造Ａ_Ｂに対応するシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを生成する。第２の短期秘密鍵生成部は、１≦ｊ≦Ｎ_Ｂについて、ｖ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する。

第２の交換情報生成部は、
１≦ｊ≦Ｎ_Ｂについて、ｖ_ｊ＝Ｈ_２（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝，ｖ^〜 _ｊ）と、
Ｙ＝ｇ＾ｖ_１と、
１≦ｉ≦Ｌ_Ｂと１≦ｊ≦Ｎ_Ｂについて、
Ｖ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ）・Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と、
１≦ｉ≦Ｌ_ＢとＮ_Ｂ＋１≦ｊ≦Ｎ_ＭＡＸについて、
Ｖ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と
を計算する。第２の送信部は、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを鍵交換装置αに送信する。第２の受信部は、鍵交換装置αから、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを受信する。第２の属性確認部は、属性集合Ｓ_Ｂがシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを満たすか、Ｘと｛Ｕ｝が群Ｇの要素かを確認する。第２の秘密情報取得部は、Ｉ_Ｂ＝｛ｋ：ρ_Ａ（ｋ）∈Ｓ_Ｂ｝となる集合Ｉ_Ｂを求め、鍵交換装置αが生成した秘密情報ｕ_１に対する正当なシェア情報集合｛（Ｍ_Ａ）_ｉ，ｊｕ_ｊ｝について

が成り立つ０以上ｐ−１以下の整数ｗ_Ｂ［ｋ］（ただし、ｋは集合Ｉ_Ｂの要素）を求める。第２のセッション鍵計算部は、

σ_２＝（ｇ_Ｔ＾ｚ）＾ｖ_１
σ_３＝Ｘ＾ｖ_１
を計算し、セッション鍵Ｋを、
Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
のように求める。第２の中間情報消去部は、ｖ_ｊ（１≦ｊ≦Ｎ_Ｂ）を消去する。

なお、本発明の鍵交換システムは、さらに、マスタ鍵生成部と長期秘密鍵生成部とを有する鍵生成装置を備えてもよい。マスタ鍵生成部がランダムにｒとｚを選定し、前記マスタ鍵生成部がマスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）とマスタ秘密鍵ｇ＾ｚを生成すればよい。また、前記長期秘密鍵生成部がｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］とｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］をランダムに選定し、Ｓ’_ＡとＳ’_Ｂ、Ｔ_Ａ［ｊ］とＴ_Ｂ［ｊ］、Ｓ_Ａ［ｋ_Ａ］とＳ_Ｂ［ｋ_Ｂ］を計算する。そして、鍵交換装置αは、鍵生成装置から長期秘密鍵としてＳ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝を取得し、鍵交換装置βは、鍵生成装置から長期秘密鍵としてＳ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝を取得すればよい。

本発明の鍵交換システムによれば、線形秘密分散法を利用することにより、鍵抽出（長期秘密鍵の生成）を行うときには鍵生成装置が、鍵交換装置αの属性集合Ｓ_Ａに基づき線形秘密分散法のシェア情報として長期秘密鍵Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝を発行する。また、鍵交換時にアクセスポリシーとして線形秘密分散のアクセス構造Ａ_Ａを割り当てることによって、相手のアクセスポリシーを鍵交換時に指定することが可能となった。このことによって、課題１を解決できる。また、本発明のマスタ秘密鍵ｇ＾ｚとマスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）は、属性集合とは独立なので、属性の全体集合をあらかじめ決めておく必要がない。つまり、鍵抽出時に任意の属性に基づき長期秘密鍵を発行することができるので、課題２を解決できる。

従来の鍵交換システムの構成例を示す図。 本発明の鍵交換システムの構成例を示す図。 本発明の鍵交換装置の機能構成例を示す図。 鍵生成装置の機能構成例を示す図。 マスタ秘密鍵とマスタ公開鍵と長期秘密鍵の生成の処理フローの例を示す図。 セッション鍵を共有する鍵交換の処理のフローの例を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

［準備］
本発明の鍵交換システムについて説明する前に、本発明を理解する上で必要な理論について説明する。本発明では、アクセスポリシーを次のようなアクセス構造として表すものとする。

まず、｛Ｐ_１，Ｐ_２，…，Ｐ_ｎ，…，Ｐ_Ｎ｝を属性集合とする。ただし、Ｎは整数、ｎは１以上Ｎ以下の整数である。Ｐ_ｎは、例えば、「性別が男性である。」や「○○会社の社員である。」などの鍵生成装置の利用者（ユーザ）の属性を示している。なお、以下の説明では、「鍵生成装置の利用者の属性」を単に「鍵生成装置の属性」と表現する。アクセス構造は｛Ｐ_１，Ｐ_２，…，Ｐ_Ｎ｝の空でない部分集合のべき集合Ａとして表わす。すなわち、
Ａ⊆２＾｛Ｐ_１，Ｐ_２，…，Ｐ_Ｎ｝＼｛φ｝
ただし、“＾”はべき乗を示す記号、“φ”は空集合を示す記号、“＼｛φ｝”は空集合を除くことを示す記号
に属する集合を許可集合、属さない集合を不許可集合とよぶ。本発明では、上記のアクセス構造に基づきアクセスコントロールを行うために次のように線形秘密分散法を用いる。

各属性集合に対応するシェア情報は０以上ｐ−１以下の整数の集合Ｚ_Ｐ上のベクトルとして表される。シェア情報を生成する行列としてＬ行Ｎ列のシェア情報生成行列Ｍを次のように用意する。ｉ＝１，…，Ｌについて、属性ラベリング関数ρを用いてシェア情報生成行列Ｍのｉ行目を属性ρ（ｉ）に対応させる。属性ラベリング関数ρは、ｉを特定すると属性ρ（ｉ）が決まる関数である。また、「属性ρ（ｉ）に対応させる」とは、例えば、属性ρ（１）がＰ_１∧Ｐ_２∧Ｐ_３であれば、１，１，１，０，０，…，０のようにシェア情報生成行列Ｍの１行目を設定し、属性ρ（２）がＰ_１∧Ｐ_Ｎであれば、１，０，０，…，０，１のようにシェア情報生成行列Ｍの２行目を設定するように、属性ρ（ｉ）と対応させてｉ行目を決めることである。なお、上記の例では、アンド条件に含まれる属性Ｐ_ｎに対応する要素を“１”とし、含まれない属性Ｐ_ｎに対応する要素を“０”としたが、これに限る必要はない。異なる条件に対応する行が同じ行にならないように対応付けされていればよいので、属性ラベリング関数ρは単射性を有する範囲で他の対応でもよい。

次に、０以上ｐ−１以下の整数ｓを秘密情報とし、０以上ｐ−１以下の整数からｒ_２，…，ｒ_Ｎをランダムに選び、列ベクトルｖ＝（ｓ，ｒ_２，…，ｒ_Ｎ）^Ｔを生成する。ただし、Ｔは転置を示す記号である。この時、Ｍｖは秘密情報ｓのＬ個のシェア情報のベクトルとなる。属性集合ρ（ｉ）にシェア情報（Ｍｖ）_ｉを割り当てる。ただし、（Ｍｖ）_ｉはベクトルＭｖのｉ番目の成分を示している。

このようにシェア情報生成行列Ｍと秘密情報ｓを含む列ベクトルｖを用いると、線形秘密分散法の線形復元性を利用できる。ここで、線形復元性について説明する。あるアクセス構造Ａを考え、集合ＳをＳ∈Ａの任意の許可集合とし、Ｉ⊂｛１，２，…，Ｌ｝をＩ＝｛ｉ：ρ（ｉ）∈Ｓ｝と定義する。このとき、｛λ_ｉ｝がｓの正しいシェア情報の集合の場合、

となるような０以上ｐ−１以下の整数の集合｛ｗ_ｉ｝が存在する。このような集合｛ｗ_ｉ｝はＭのサイズの多項式時間で見つけられることが知られている。一方、｛λ_ｉ｝がｓの正しいシェア情報の集合でない場合、集合｛ｗ_ｉ｝のすべての要素を求めることができない。本発明では、上述のようにシェア情報生成行列Ｍと秘密情報ｓを含む列ベクトルｖを用いることで、線形秘密分散法の線形復元性を利用してセッション鍵を交換する。

［構成］
図２に本発明の鍵交換システムの構成例を示す。本発明の鍵交換システムは、ネットワーク１０００を介して接続された鍵交換装置１００_１，…，１００_Ｑ（ただし、Ｑは２以上の整数、ｑは１以上Ｑ以下の整数、ＡとＢは１以上Ｑ以下の異なる整数）、鍵生成装置３００で構成される。図３に本発明の鍵交換装置の機能構成例、図４に鍵生成装置の機能構成例を示す。鍵交換装置１００_ｑは、アクセス構造決定部１１０_ｑ、短期秘密鍵生成部１２０_ｑ、交換情報生成部１３０_ｑ、送信部１４０_ｑ、受信部１４５_ｑ、属性確認部１５０_ｑ、秘密情報取得部１６０_ｑ、セッション鍵計算部１７０_ｑ、中間情報消去部１８０_ｑ、記録部１９０_ｑを備える。また、鍵生成装置３００は、マスタ鍵生成部３１０、長期秘密鍵生成部３２０、記録部３９０を備える。以下の説明では、鍵交換装置１００_Ａ（鍵交換装置αに相当）がイニシエータとして機能し、鍵交換装置１００_Ｂ（鍵交換装置βに相当）がレスポンダとして機能してセッション鍵を共有する場合について説明する。

なお、κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは鍵交換装置１００_Ａの属性を示す属性要素Ｐ_ｎの組み合わせの集合、属性集合Ｓ_Ｂは鍵交換装置１００_Ｂの属性を示す属性要素Ｐ_ｎの組み合わせの集合、Ｎ_ＭＡＸはあらかじめ定めた整数、ｊとｎは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、ｋ_Ｂは属性集合Ｓ_Ｂの要素、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｔ_Ｂ｝はＴ_Ｂ［１］，…，Ｔ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ｂ｝はＳ_Ｂ［１］，…，Ｓ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合である。

［鍵生成、鍵抽出］
図５に、マスタ秘密鍵とマスタ公開鍵と長期秘密鍵の生成の処理フローの例を示す。なお、長期秘密鍵生成の処理が従来技術の鍵抽出に相当する。鍵生成装置３００のマスタ鍵生成部３１０は、０以上ｐ−１以下の整数からランダムにｒとｚを選定する。そして、マスタ公開鍵を（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）、マスタ秘密鍵をｇ＾ｚとして記録部３９０に記録し、マスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）を公開する（Ｓ３１０）。鍵交換装置１００_Ａと鍵交換装置１００_Ｂは、それぞれマスタ公開鍵を（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）を受信し、記録部１９０_Ａと記録部１９０_Ｂに記録する。

長期秘密鍵生成部３２０は、０以上ｐ−１以下の整数からランダムにｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］を選び、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）を計算し、１以上Ｎ_ＭＡＸ以下のｊについてＴ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］を計算し、属性集合Ｓ_Ａの要素ｋ_Ａについて

を計算し、長期秘密鍵として（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝）を鍵交換装置１００_Ａに送信する（Ｓ３２０_Ａ）。鍵交換装置１００_Ａは、長期秘密鍵（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝）を受信し、記録部１９０_Ａに記録する（Ｓ１９２_Ａ）。

さらに、長期秘密鍵生成部３２０は、０以上ｐ−１以下の整数からランダムにｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］を選び、Ｓ’_Ｂ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ｂ［１］）を計算し、１以上Ｎ_ＭＡＸ以下のｊについてＴ_Ｂ［ｊ］＝ｇ＾ｔ_Ｂ［ｊ］を計算し、属性集合Ｓ_Ｂの要素ｋ_Ｂについて

を計算し、長期秘密鍵として（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝）を鍵交換装置１００_Ｂに送信する（Ｓ３２０_Ｂ）。鍵交換装置１００_Ｂは、長期秘密鍵（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝）を受信し、記録部１９０_Ｂに記録する（Ｓ１９２_Ｂ）。

なお、あらかじめ鍵交換装置１００_Ａの記録部１９０_Ａにマスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）と長期秘密鍵（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝）とを記録させ、鍵交換装置１００_Ｂの記録部１９０_Ｂにマスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）と長期秘密鍵（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝）とを記録させておけば、ネットワーク１０００を介して接続された鍵交換装置１００_Ａと鍵交換装置１００_Ｂだけで最低限の鍵交換システムが構成できる。

［鍵交換］
図６にセッション鍵を共有する鍵交換の処理のフローの例を示す。この例は、鍵交換装置１００_Ａ（鍵交換装置αに相当）がイニシエータとして機能し、鍵交換装置１００_Ｂ（鍵交換装置βに相当）がレスポンダとして機能する場合を示している。

鍵交換装置１００_Ａは、アクセス構造決定部１１０_Ａ（第１のアクセス構造決定部）、短期秘密鍵生成部１２０_Ａ（第１の短期秘密鍵生成部）、交換情報生成部１３０_Ａ（第１の交換情報生成部）、送信部１４０_Ａ（第１の送信部）、受信部１４５_Ａ（第１の受信部）、属性確認部１５０_Ａ（第１の属性確認部）、秘密情報取得部１６０_Ａ（第１の秘密情報取得部）、セッション鍵計算部１７０_Ａ（第１のセッション鍵計算部）、中間情報消去部１８０_Ａ（第１の中間情報消去部）を備える。鍵交換装置１００_Ｂは、アクセス構造決定部１１０_Ｂ（第２のアクセス構造決定部）、短期秘密鍵生成部１２０_Ｂ（第２の短期秘密鍵生成部）、交換情報生成部１３０_Ｂ（第２の交換情報生成部）、送信部１４０_Ｂ（第２の送信部）、受信部１４５_Ｂ（第２の受信部）、属性確認部１５０_Ｂ（第２の属性確認部）、秘密情報取得部１６０_Ｂ（第２の秘密情報取得部）、セッション鍵計算部１７０_Ｂ（第２のセッション鍵計算部）、中間情報消去部１８０_Ｂ（第２の中間情報消去部）を備える。

アクセス構造決定部１１０_Ａは、アクセス構造Ａ_Ａを決定し、当該アクセス構造Ａ_Ａに対応するシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを生成する（Ｓ１１０_Ａ）。短期秘密鍵生成部１２０_Ａは、１≦ｊ≦Ｎ_Ａについて、ｕ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する（Ｓ１２０_Ａ）。交換情報生成部１３０_Ａは、
１≦ｊ≦Ｎ_Ａについて、ｕ_ｊ＝Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _ｊ）、
Ｘ＝ｇ＾ｕ_１、
１≦ｉ≦Ｌ_Ａと１≦ｊ≦Ｎ_Ａについて、
Ｕ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ａ）_ｉ，ｊｕ_ｊ）・Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）、
１≦ｉ≦Ｌ_ＡとＮ_Ａ＋１≦ｊ≦Ｎ_ＭＡＸについて、
Ｕ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）
を計算する（１３０_Ａ）。送信部１４０_Ａは、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを鍵交換装置１００_Ｂに送信する（Ｓ１４０_Ａ）。中間情報消去部１８０_Ａは、ｕ_ｊ（１≦ｊ≦Ｎ_Ａ）を消去する（Ｓ１８０_Ａ）。

受信部１４５_Ｂは、鍵交換装置１００_Ａから、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを受信する（Ｓ１４５_Ｂ）。属性確認部１５０_Ｂは、属性集合Ｓ_Ｂがシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを満たすか、Ｘと｛Ｕ｝が群Ｇの要素かを確認する（Ｓ１５０_Ｂ）。

アクセス構造決定部１１０_Ｂは、アクセス構造Ａ_Ｂを決定し、当該アクセス構造Ａ_Ｂに対応するシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを生成する（Ｓ１１０_Ｂ）。短期秘密鍵生成部１２０_Ｂは、１≦ｊ≦Ｎ_Ｂについて、ｖ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する（Ｓ１２０_Ｂ）。交換情報生成部１３０_Ｂは、
１≦ｊ≦Ｎ_Ｂについて、ｖ_ｊ＝Ｈ_２（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝，ｖ^〜 _ｊ）、
Ｙ＝ｇ＾ｖ_１、
１≦ｉ≦Ｌ_Ｂと１≦ｊ≦Ｎ_Ｂについて、
Ｖ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ）・Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）、
１≦ｉ≦Ｌ_ＢとＮ_Ｂ＋１≦ｊ≦Ｎ_ＭＡＸについて、
Ｖ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）
を計算する（Ｓ１３０_Ｂ）。送信部１４０_Ｂは、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを鍵交換装置１００_Ａに送信する（Ｓ１４０_Ｂ）。

秘密情報取得部１６０_Ｂは、Ｉ_Ｂ＝｛ｋ：ρ_Ａ（ｋ）∈Ｓ_Ｂ｝となる集合Ｉ_Ｂを求め、鍵交換装置１００_Ａが生成した秘密情報ｕ_１に対する正当なシェア情報集合｛（Ｍ_Ａ）_ｉ，ｊｕ_ｊ｝について

が成り立つ０以上ｐ−１以下の整数ｗ_Ｂ［ｋ］（ただし、ｋは集合Ｉ_Ｂの要素）を求める（Ｓ１６０_Ｂ）。セッション鍵計算部１７０_Ｂは、

σ_２＝（ｇ_Ｔ＾ｚ）＾ｖ_１
σ_３＝Ｘ＾ｖ_１
を計算し、セッション鍵Ｋを、
Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
のように求める（Ｓ１７０_Ｂ）。中間情報消去部１８０_Ｂは、ｖ_ｊ（１≦ｊ≦Ｎ_Ｂ）を消去する（Ｓ１８０_Ｂ）。

受信部１４５_Ａは、鍵交換装置１００_Ｂから、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを受信する（Ｓ１４５_Ａ）。属性確認部１５０_Ａは、属性集合Ｓ_Ａがシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを満たすか、Ｙと｛Ｖ｝が群Ｇの要素かを確認する（Ｓ１５０_Ａ）。秘密情報取得部１６０_Ａは、Ｉ_Ａ＝｛ｋ：ρ_Ｂ（ｋ）∈Ｓ_Ａ｝となる集合Ｉ_Ａを求め、鍵交換装置１００_Ｂが生成した秘密情報ｖ_１に対する正当なシェア情報集合｛（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ｝について

が成り立つ０以上ｐ−１以下の整数ｗ_Ａ［ｋ］（ただし、ｋは集合Ｉ_Ａの要素）を求める（Ｓ１６０_Ａ）。セッション鍵計算部１７０_Ａは、

σ_１＝（ｇ_Ｔ＾ｚ）＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
σ_３＝Ｙ＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
を計算し、セッション鍵Ｋを、
Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
のように求める。

最後に鍵交換装置１００_Ａと鍵交換装置１００_Ｂが取得したセッション鍵Ｋが等しいことを説明する。

σ_３＝Ｘ＾ｖ_１＝Ｙ＾ｕ_１＝ｇ＾ｕ_１ｖ_１
よって、正しくセッション鍵を共有できる。

本発明の鍵交換システムによれば、線形秘密分散法を利用することにより、鍵抽出（長期秘密鍵の生成）を行うときには鍵生成装置が、鍵交換装置αの属性集合Ｓ_Ａに基づき線形秘密分散法のシェア情報として長期秘密鍵Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝を発行する。また、鍵交換時にアクセスポリシーとして線形秘密分散のアクセス構造Ａ_Ａを割り当てることによって、相手のアクセスポリシーを鍵交換時に指定することが可能となる。このことによって、課題１を解決できる。また、本発明のマスタ秘密鍵ｇ＾ｚとマスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）は、属性集合とは独立なので、属性の全体集合をあらかじめ決めておく必要がない。つまり、鍵抽出時に任意の属性に基づき長期秘密鍵を発行することができるので、課題２を解決できる。

さらに、従来技術と本発明との違いを属性集合とアクセスポリシーの観点から説明する。従来技術では、マスタ秘密鍵、マスタ公開鍵を生成する際には、属性の全体集合に対応したマスタ秘密鍵、マスタ公開鍵を生成する。長期秘密鍵を生成する際には、鍵交換装置（の使用者）がアクセスできるポリシーを決定する。そして、鍵交換のときに、属性集合を指定する。一方、本発明では、マスタ秘密鍵、マスタ公開鍵を生成する際には、属性集合とは独立にマスタ秘密鍵、マスタ公開鍵を生成する。長期秘密鍵を生成する際には、鍵交換装置（の使用者）が持っている属性に応じて、長期秘密鍵を生成する。そして、鍵交換のときに、アクセスポリシーを指定する。このように、本発明は、従来とは異なるアクセスコントロールの考え方を採用し、この考え方を実現できるセッション鍵を共有する技術を創作したものである。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明は、二者間でセッション鍵を共有した暗号通信に利用することができる。

１００_ｑ、７００ 鍵交換装置 １１０_ｑ アクセス構造決定部
１２０_ｑ 短期秘密鍵生成部 １３０_ｑ 交換情報生成部
１４０_ｑ 送信部 １４５_ｑ 受信部
１５０_ｑ 属性確認部 １６０_ｑ 秘密情報取得部
１７０_ｑ セッション鍵計算部 １８０_ｑ 中間情報消去部
１９０_ｑ、３９０ 記録部 ３００ 鍵生成装置
３１０ マスタ鍵生成部 ３２０ 長期秘密鍵生成部
８００ 鍵抽出手段 ９００ 鍵生成手段
１０００ ネットワーク

Claims (8)

1. セッション鍵を交換する鍵交換装置であって、
   κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは当該鍵交換装置の属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ａは当該鍵交換装置が鍵交換の対象となる装置に求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ａは前記アクセス構造Ａ_Ａを示す関数、属性集合ρ_Ａ（ｉ）は前記アクセス構造Ａ_Ａに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ａはｉ行目が属性集合ρ_Ａ（ｉ）に対応するＬ_Ａ行Ｎ_Ａ列の行列、（Ｍ_Ａ）_ｉ，ｊはシェア情報生成行列Ｍ_Ａのｉ行ｊ列の要素、属性集合Ｓ _Ｂ は鍵交換の対象となる装置の属性を示す属性要素Ｐ _ｎ の組み合わせの集合、アクセス構造Ａ_Ｂは鍵交換の対象となる装置が当該鍵交換装置に求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ｂは前記アクセス構造Ａ_Ｂを示す関数、属性集合ρ_Ｂ（ｉ）は前記アクセス構造Ａ_Ｂに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ｂはｉ行目が属性集合ρ_Ｂ（ｉ）に対応するＬ_Ｂ行Ｎ_Ｂ列の行列、（Ｍ_Ｂ）_ｉ，ｊはシェア情報生成行列Ｍ_Ｂのｉ行ｊ列の要素、Ｌ_Ａ、Ｎ_Ａ、Ｌ_Ｂ、Ｎ_Ｂは整数、Ｎ_ＭＡＸはＮ_ＡとＮ_Ｂが取りうる最大の整数、ｎとｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、ｋ _Ｂ は属性集合Ｓ _Ｂ の要素、ｒとｚは０以上ｐ−１以下の整数、（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）はマスタ公開鍵、ｇ＾ｚはマスタ秘密鍵、ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、ｔ _Ｂ ［１］，…，ｔ _Ｂ ［Ｎ _ＭＡＸ ］は０以上ｐ−１以下の整数、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）、Ｓ’ _Ｂ ＝ｇ＾ｚ・ｇ＾（ｒｔ _Ｂ ［１］）、Ｔ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］、Ｔ _Ｂ ［ｊ］＝ｇ＾ｔ _Ｂ ［ｊ］、
   

   

   
   、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｔ _Ｂ ｝はＴ _Ｂ ［１］，…，Ｔ _Ｂ ［Ｎ _ＭＡＸ ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ _Ｂ ｝はＳ _Ｂ ［１］，…，Ｓ _Ｂ ［Ｎ _ＭＡＸ ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合、＾はべき乗を示す記号であり、
   １≦ｊ≦Ｎ _Ｂ についてｖ ^〜 _ｊ を０以上ｐ−１以下の整数、１≦ｊ≦Ｎ _Ｂ についてｖ _ｊ ＝Ｈ _２ （Ｓ’ _Ｂ ，｛Ｔ _Ｂ ｝，｛Ｓ _Ｂ ｝，ｖ ^〜 _ｊ ）、Ｙ＝ｇ＾ｖ _１ 、１≦ｉ≦Ｌ _Ｂ と１≦ｊ≦Ｎ _Ｂ についてＶ _ｉ，ｊ ＝ｇ＾（ｒ（Ｍ _Ｂ ） _ｉ，ｊ ｖ _ｊ ）・Ｈ _１ （ｊ，ρ _Ｂ （ｉ））＾（−ｖ _１ ）、１≦ｉ≦Ｌ _Ｂ とＮ _Ｂ ＋１≦ｊ≦Ｎ _ＭＡＸ についてＶ _ｉ，ｊ ＝Ｈ _１ （ｊ，ρ _Ｂ （ｉ））＾（−ｖ _１ ）とし、
   アクセス構造Ａ_Ａを決定し、当該アクセス構造Ａ_Ａに対応するシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを生成するアクセス構造決定部と、
   １≦ｊ≦Ｎ_Ａについて、ｕ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する短期秘密鍵生成部と、
   １≦ｊ≦Ｎ_Ａについて、ｕ_ｊ＝Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _ｊ）と、
   Ｘ＝ｇ＾ｕ_１と、
   １≦ｉ≦Ｌ_Ａと１≦ｊ≦Ｎ_Ａについて、
   Ｕ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ａ）_ｉ，ｊｕ_ｊ）・Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と、
   １≦ｉ≦Ｌ_ＡとＮ_Ａ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｕ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と
   を計算する交換情報生成部と、
   （Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを鍵交換する対象の装置に送信する送信部と、
   鍵交換する対象の装置から、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを受信する受信部と、
   属性集合Ｓ_Ａがシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを満たすか、Ｙと｛Ｖ｝が群Ｇの要素かを確認する属性確認部と、
   Ｉ_Ａ＝｛ｋ：ρ_Ｂ（ｋ）∈Ｓ_Ａ｝となる集合Ｉ_Ａを求め、鍵交換する対象の装置が生成した秘密情報ｖ_１に対する正当なシェア情報集合｛（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ａ［ｋ］（ただし、ｋは集合Ｉ_Ａの要素）を求める秘密情報取得部と、
   

   

   
   σ_１＝（ｇ_Ｔ＾ｚ）＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   σ_３＝Ｙ＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求めるセッション鍵計算部と、
   ｕ_ｊ（１≦ｊ≦Ｎ_Ａ）を消去する中間情報消去部と、
   を備える鍵交換装置。
2. セッション鍵を交換する鍵交換装置であって、
   κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ｂは当該鍵交換装置の属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ｂは当該鍵交換装置が鍵交換の対象となる装置に求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ｂは前記アクセス構造Ａ_Ｂを示す関数、属性集合ρ_Ｂ（ｉ）は前記アクセス構造Ａ_Ｂに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ｂはｉ行目が属性集合ρ_Ｂ（ｉ）に対応するＬ_Ｂ行Ｎ_Ｂ列の行列、（Ｍ_Ｂ）_ｉ，ｊはシェア情報生成行列Ｍ_Ｂのｉ行ｊ列の要素、属性集合Ｓ _Ａ は鍵交換の対象となる装置の属性を示す属性要素Ｐ _ｎ の組み合わせの集合、アクセス構造Ａ_Ａは鍵交換の対象となる装置が当該鍵交換装置に求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ａは前記アクセス構造Ａ_Ａを示す関数、属性集合ρ_Ａ（ｉ）は前記アクセス構造Ａ_Ａに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ａはｉ行目が属性集合ρ_Ａ（ｉ）に対応するＬ_Ａ行Ｎ_Ａ列の行列、（Ｍ_Ａ）_ｉ，ｊはシェア情報生成行列Ｍ_Ａのｉ行ｊ列の要素、Ｌ_Ａ、Ｎ_Ａ、Ｌ_Ｂ、Ｎ_Ｂは整数、Ｎ_ＭＡＸはＮ_ＡとＮ_Ｂが取りうる最大の整数、ｎとｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ｂは属性集合Ｓ_Ｂの要素、ｋ _Ａ は属性集合Ｓ _Ａ の要素、ｒとｚは０以上ｐ−１以下の整数、（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）はマスタ公開鍵、ｇ＾ｚはマスタ秘密鍵、ｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、ｔ _Ａ ［１］，…，ｔ _Ａ ［Ｎ _ＭＡＸ ］は０以上ｐ−１以下の整数、Ｓ’_Ｂ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ｂ［１］）、Ｓ’ _Ａ ＝ｇ＾ｚ・ｇ＾（ｒｔ _Ａ ［１］）、Ｔ_Ｂ［ｊ］＝ｇ＾ｔ_Ｂ［ｊ］、Ｔ _Ａ ［ｊ］＝ｇ＾ｔ _Ａ ［ｊ］、
   

   

   
   、｛Ｔ_Ｂ｝はＴ_Ｂ［１］，…，Ｔ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｔ _Ａ ｝はＴ _Ａ ［１］，…，Ｔ _Ａ ［Ｎ _ＭＡＸ ］の集合、｛Ｓ_Ｂ｝はＳ_Ｂ［１］，…，Ｓ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｓ _Ａ ｝はＳ _Ａ ［１］，…，Ｓ _Ａ ［Ｎ _ＭＡＸ ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合、＾はべき乗を示す記号であり、
   １≦ｊ≦Ｎ _Ａ についてｕ ^〜 _ｊ は０以上ｐ−１以下の整数、１≦ｊ≦Ｎ _Ａ についてｕ _ｊ ＝Ｈ _２ （Ｓ’ _Ａ ，｛Ｔ _Ａ ｝，｛Ｓ _Ａ ｝，ｕ ^〜 _ｊ ）、Ｘ＝ｇ＾ｕ _１ 、１≦ｉ≦Ｌ _Ａ と１≦ｊ≦Ｎ _Ａ についてＵ _ｉ，ｊ ＝ｇ＾（ｒ（Ｍ _Ａ ） _ｉ，ｊ ｕ _ｊ ）・Ｈ _１ （ｊ，ρ _Ａ （ｉ））＾（−ｕ _１ ）、１≦ｉ≦Ｌ _Ａ とＮ _Ａ ＋１≦ｊ≦Ｎ _ＭＡＸ についてＵ _ｉ，ｊ ＝Ｈ _１ （ｊ，ρ _Ａ （ｉ））＾（−ｕ _１ ）とし、
   アクセス構造Ａ_Ｂを決定し、当該アクセス構造Ａ_Ｂに対応するシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを生成するアクセス構造決定部と、
   １≦ｊ≦Ｎ_Ｂについて、ｖ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する短期秘密鍵生成部と、
   １≦ｊ≦Ｎ_Ｂについて、ｖ_ｊ＝Ｈ_２（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝，ｖ^〜 _ｊ）と、
   Ｙ＝ｇ＾ｖ_１と、
   １≦ｉ≦Ｌ_Ｂと１≦ｊ≦Ｎ_Ｂについて、
   Ｖ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ）・Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と、
   １≦ｉ≦Ｌ_ＢとＮ_Ｂ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｖ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と
   を計算する交換情報生成部と、
   （Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを鍵交換する対象の装置に送信する送信部と、
   鍵交換する対象の装置から、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを受信する受信部と、
   属性集合Ｓ_Ｂがシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを満たすか、Ｘと｛Ｕ｝が群Ｇの要素かを確認する属性確認部と、
   Ｉ_Ｂ＝｛ｋ：ρ_Ａ（ｋ）∈Ｓ_Ｂ｝となる集合Ｉ_Ｂを求め、鍵交換する対象の装置が生成した秘密情報ｕ_１に対する正当なシェア情報集合｛（Ｍ_Ａ）_ｉ，ｊｕ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ｂ［ｋ］（ただし、ｋは集合Ｉ_Ｂの要素）を求める秘密情報取得部と、
   

   

   
   σ_２＝（ｇ_Ｔ＾ｚ）＾ｖ_１
   σ_３＝Ｘ＾ｖ_１
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求めるセッション鍵計算部と、
   ｖ_ｊ（１≦ｊ≦Ｎ_Ｂ）を消去する中間情報消去部と、
   を備える鍵交換装置。
3. 鍵交換装置用のマスタ秘密鍵、マスタ公開鍵、長期秘密鍵を生成する鍵生成装置であって、
   κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは前記鍵交換装置の属性を示す属性要素Ｐ_ｎの組み合わせの集合、Ｎ_ＭＡＸはあらかじめ定めた整数、ｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、＾はべき乗を示す記号であり、
   ０以上ｐ−１以下の整数からランダムにｒとｚを選定し、マスタ公開鍵を（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）、マスタ秘密鍵をｇ＾ｚとするマスタ鍵生成部と、
   ０以上ｐ−１以下の整数からランダムにｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］を選び、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）を計算し、１以上Ｎ_ＭＡＸ以下のｊについてＴ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］を計算し、属性集合Ｓ_Ａの要素ｋ_Ａについて
   

   

   
   を計算し、長期秘密鍵として（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝）を出力する長期秘密鍵生成部と、
   を備える鍵生成装置。
4. 少なくとも鍵交換装置αと鍵交換装置βとを備え、セッション鍵を交換する鍵交換システムであって、
   κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは鍵交換装置αの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ａは鍵交換装置αが鍵交換装置βに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ａは前記アクセス構造Ａ_Ａを示す関数、属性集合ρ_Ａ（ｉ）は前記アクセス構造Ａ_Ａに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ａはｉ行目が属性集合ρ_Ａ（ｉ）に対応するＬ_Ａ行Ｎ_Ａ列の行列、（Ｍ_Ａ）_ｉ，ｊはシェア情報生成行列Ｍ_Ａのｉ行ｊ列の要素、属性集合Ｓ_Ｂは鍵交換装置βの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ｂは鍵交換装置βが鍵交換装置αに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ｂは前記アクセス構造Ａ_Ｂを示す関数、属性集合ρ_Ｂ（ｉ）は前記アクセス構造Ａ_Ｂに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ｂはｉ行目が属性集合ρ_Ｂ（ｉ）に対応するＬ_Ｂ行Ｎ_Ｂ列の行列、（Ｍ_Ｂ）_ｉ，ｊはシェア情報生成行列Ｍ_Ｂのｉ行ｊ列の要素、Ｌ_Ａ、Ｎ_Ａ、Ｌ_Ｂ、Ｎ_Ｂは整数、Ｎ_ＭＡＸはＮ_ＡとＮ_Ｂが取りうる最大の整数、ｎとｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、ｋ_Ｂは属性集合Ｓ_Ｂの要素、ｒとｚは０以上ｐ−１以下の整数、（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）はマスタ公開鍵、ｇ＾ｚはマスタ秘密鍵、ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、ｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）、Ｓ’_Ｂ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ｂ［１］）、Ｔ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］、Ｔ_Ｂ［ｊ］＝ｇ＾ｔ_Ｂ［ｊ］、
   

   

   
   、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｔ_Ｂ｝はＴ_Ｂ［１］，…，Ｔ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ｂ｝はＳ_Ｂ［１］，…，Ｓ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合、＾はべき乗を示す記号であり、
   前記鍵交換装置αは、
   アクセス構造Ａ_Ａを決定し、当該アクセス構造Ａ_Ａに対応するシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを生成する第１のアクセス構造決定部と、
   １≦ｊ≦Ｎ_Ａについて、ｕ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する第１の短期秘密鍵生成部と、
   １≦ｊ≦Ｎ_Ａについて、ｕ_ｊ＝Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _ｊ）と、
   Ｘ＝ｇ＾ｕ_１と、
   １≦ｉ≦Ｌ_Ａと１≦ｊ≦Ｎ_Ａについて、
   Ｕ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ａ）_ｉ，ｊｕ_ｊ）・Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と、
   １≦ｉ≦Ｌ_ＡとＮ_Ａ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｕ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と
   を計算する第１の交換情報生成部と、
   （Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを鍵交換装置βに送信する第１の送信部と、
   鍵交換装置βから、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを受信する第１の受信部と、
   属性集合Ｓ_Ａがシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを満たすか、Ｙと｛Ｖ｝が群Ｇの要素かを確認する第１の属性確認部と、
   Ｉ_Ａ＝｛ｋ：ρ_Ｂ（ｋ）∈Ｓ_Ａ｝となる集合Ｉ_Ａを求め、鍵交換装置βが生成した秘密情報ｖ_１に対する正当なシェア情報集合｛（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ａ［ｋ］（ただし、ｋは集合Ｉ_Ａの要素）を求める第１の秘密情報取得部と、
   

   

   
   σ_１＝（ｇ_Ｔ＾ｚ）＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   σ_３＝Ｙ＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求める第１のセッション鍵計算部と、
   ｕ_ｊ（１≦ｊ≦Ｎ_Ａ）を消去する第１の中間情報消去部と、
   を備え、
   前記鍵交換装置βは、
   アクセス構造Ａ_Ｂを決定し、当該アクセス構造Ａ_Ｂに対応するシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを生成する第２のアクセス構造決定部と、
   １≦ｊ≦Ｎ_Ｂについて、ｖ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する第２の短期秘密鍵生成部と、
   １≦ｊ≦Ｎ_Ｂについて、ｖ_ｊ＝Ｈ_２（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝，ｖ^〜 _ｊ）と、
   Ｙ＝ｇ＾ｖ_１と、
   １≦ｉ≦Ｌ_Ｂと１≦ｊ≦Ｎ_Ｂについて、
   Ｖ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ）・Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と、
   １≦ｉ≦Ｌ_ＢとＮ_Ｂ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｖ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と
   を計算する第２の交換情報生成部と、
   （Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを鍵交換装置αに送信する第２の送信部と、
   鍵交換装置αから、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを受信する第２の受信部と、
   属性集合Ｓ_Ｂがシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを満たすか、Ｘと｛Ｕ｝が群Ｇの要素かを確認する第２の属性確認部と、
   Ｉ_Ｂ＝｛ｋ：ρ_Ａ（ｋ）∈Ｓ_Ｂ｝となる集合Ｉ_Ｂを求め、鍵交換装置αが生成した秘密情報ｕ_１に対する正当なシェア情報集合｛（Ｍ_Ａ）_ｉ，ｊｕ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ｂ［ｋ］（ただし、ｋは集合Ｉ_Ｂの要素）を求める第２の秘密情報取得部と、
   

   

   
   σ_２＝（ｇ_Ｔ＾ｚ）＾ｖ_１
   σ_３＝Ｘ＾ｖ_１
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求める第２のセッション鍵計算部と、
   ｖ_ｊ（１≦ｊ≦Ｎ_Ｂ）を消去する第２の中間情報消去部と、
   を備える
   鍵交換システム。
5. 請求項４記載の鍵交換システムであって、
   さらに、マスタ鍵生成部と長期秘密鍵生成部とを有する鍵生成装置を備え、
   前記ｒとｚは、前記マスタ鍵生成部がランダムに選定したものであり、マスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）とマスタ秘密鍵ｇ＾ｚは前記マスタ鍵生成部が生成したものであり、
   前記ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］とｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］は前記長期秘密鍵生成部がランダムに選定したものであり、Ｓ’_ＡとＳ’_Ｂ、Ｔ_Ａ［ｊ］とＴ_Ｂ［ｊ］、Ｓ_Ａ［ｋ_Ａ］とＳ_Ｂ［ｋ_Ｂ］は前記長期秘密鍵生成部が計算したものであり、
   前記鍵交換装置αは、前記鍵生成装置から長期秘密鍵としてＳ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝を取得し、前記鍵交換装置βは、前記鍵生成装置から長期秘密鍵としてＳ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝を取得する
   ことを特徴とする鍵交換システム。
6. 少なくとも鍵交換装置αと鍵交換装置βとを備える鍵交換システムを用いて、セッション鍵を交換する鍵交換方法であって、
   κは整数、ｐはκビットの素数、ＧとＧ_Ｔは位数ｐの群、ｇは群Ｇの生成元、ｇ_Ｔは群Ｇ_Ｔの生成元、ｅはＧ×Ｇ→Ｇ_Ｔのように写像する双線形写像、Ｈ_１は任意長の整数を群Ｇの元に変換するハッシュ関数、Ｈ_２は任意長の整数を０以上ｐ−１以下の整数に変換するハッシュ関数、Ｈ_３は任意長の整数をκビットの整数に変換するハッシュ関数、Ｐ_ｎは属性を示す属性要素、属性集合Ｓ_Ａは鍵交換装置αの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ａは鍵交換装置αが鍵交換装置βに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ａは前記アクセス構造Ａ_Ａを示す関数、属性集合ρ_Ａ（ｉ）は前記アクセス構造Ａ_Ａに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ａはｉ行目が属性集合ρ_Ａ（ｉ）に対応するＬ_Ａ行Ｎ_Ａ列の行列、（Ｍ_Ａ）_ｉ，ｊはシェア情報生成行列Ｍ_Ａのｉ行ｊ列の要素、属性集合Ｓ_Ｂは鍵交換装置βの属性を示す属性要素Ｐ_ｎの組み合わせの集合、アクセス構造Ａ_Ｂは鍵交換装置βが鍵交換装置αに求める属性要素Ｐ_ｎの組み合わせの集合、単射ラベリング関数ρ_Ｂは前記アクセス構造Ａ_Ｂを示す関数、属性集合ρ_Ｂ（ｉ）は前記アクセス構造Ａ_Ｂに対応するｉ番目の集合、シェア情報生成行列Ｍ_Ｂはｉ行目が属性集合ρ_Ｂ（ｉ）に対応するＬ_Ｂ行Ｎ_Ｂ列の行列、（Ｍ_Ｂ）_ｉ，ｊはシェア情報生成行列Ｍ_Ｂのｉ行ｊ列の要素、Ｌ_Ａ、Ｎ_Ａ、Ｌ_Ｂ、Ｎ_Ｂは整数、Ｎ_ＭＡＸはＮ_ＡとＮ_Ｂが取りうる最大の整数、ｎとｊは１以上Ｎ_ＭＡＸ以下の整数、ｋ_Ａは属性集合Ｓ_Ａの要素、ｋ_Ｂは属性集合Ｓ_Ｂの要素、ｒとｚは０以上ｐ−１以下の整数、（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）はマスタ公開鍵、ｇ＾ｚはマスタ秘密鍵、ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、ｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］は０以上ｐ−１以下の整数、Ｓ’_Ａ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ａ［１］）、Ｓ’_Ｂ＝ｇ＾ｚ・ｇ＾（ｒｔ_Ｂ［１］）、Ｔ_Ａ［ｊ］＝ｇ＾ｔ_Ａ［ｊ］、Ｔ_Ｂ［ｊ］＝ｇ＾ｔ_Ｂ［ｊ］、
   

   

   
   、｛Ｔ_Ａ｝はＴ_Ａ［１］，…，Ｔ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｔ_Ｂ｝はＴ_Ｂ［１］，…，Ｔ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ａ｝はＳ_Ａ［１］，…，Ｓ_Ａ［Ｎ_ＭＡＸ］の集合、｛Ｓ_Ｂ｝はＳ_Ｂ［１］，…，Ｓ_Ｂ［Ｎ_ＭＡＸ］の集合、｛Ｕ｝はＵ_ｉ，ｊの集合、｛Ｖ｝はＶ_ｉ，ｊの集合、＾はべき乗を示す記号であり、
   前記鍵交換装置αが、アクセス構造Ａ_Ａを決定し、当該アクセス構造Ａ_Ａに対応するシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを生成する第１のアクセス構造決定ステップと、
   前記鍵交換装置αが、１≦ｊ≦Ｎ_Ａについて、ｕ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する第１の短期秘密鍵生成ステップと、
   前記鍵交換装置αが、
   １≦ｊ≦Ｎ_Ａについて、ｕ_ｊ＝Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _ｊ）と、
   Ｘ＝ｇ＾ｕ_１と、
   １≦ｉ≦Ｌ_Ａと１≦ｊ≦Ｎ_Ａについて、
   Ｕ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ａ）_ｉ，ｊｕ_ｊ）・Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と、
   １≦ｉ≦Ｌ_ＡとＮ_Ａ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｕ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ａ（ｉ））＾（−ｕ_１）と
   を計算する第１の交換情報生成ステップと、
   前記鍵交換装置αが、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを鍵交換装置βに送信する第１の送信ステップと、
   前記鍵交換装置αが、ｕ_ｊ（１≦ｊ≦Ｎ_Ａ）を消去する第１の中間情報消去ステップと、
   前記鍵交換装置βが、鍵交換装置αから、（Ｘ，｛Ｕ｝）、Ｍ_Ａ、ρ_Ａを受信する第２の受信ステップと、
   前記鍵交換装置βが、属性集合Ｓ_Ｂがシェア情報生成行列Ｍ_Ａと単射ラベリング関数ρ_Ａを満たすか、Ｘと｛Ｕ｝が群Ｇの要素かを確認する第２の属性確認ステップと、
   前記鍵交換装置βが、アクセス構造Ａ_Ｂを決定し、当該アクセス構造Ａ_Ｂに対応するシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを生成する第２のアクセス構造決定ステップと、
   前記鍵交換装置βが、１≦ｊ≦Ｎ_Ｂについて、ｖ^〜 _ｊを０以上ｐ−１以下の整数からランダムに選定する第２の短期秘密鍵生成ステップと、
   前記鍵交換装置βが、
   １≦ｊ≦Ｎ_Ｂについて、ｖ_ｊ＝Ｈ_２（Ｓ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝，ｖ^〜 _ｊ）と、
   Ｙ＝ｇ＾ｖ_１と、
   １≦ｉ≦Ｌ_Ｂと１≦ｊ≦Ｎ_Ｂについて、
   Ｖ_ｉ，ｊ＝ｇ＾（ｒ（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ）・Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と、
   １≦ｉ≦Ｌ_ＢとＮ_Ｂ＋１≦ｊ≦Ｎ_ＭＡＸについて、
   Ｖ_ｉ，ｊ＝Ｈ_１（ｊ，ρ_Ｂ（ｉ））＾（−ｖ_１）と
   を計算する第２の交換情報生成ステップと、
   前記鍵交換装置βが、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを鍵交換装置αに送信する第２の送信ステップと、
   前記鍵交換装置βが、Ｉ_Ｂ＝｛ｋ：ρ_Ａ（ｋ）∈Ｓ_Ｂ｝となる集合Ｉ_Ｂを求め、鍵交換装置αが生成した秘密情報ｕ_１に対する正当なシェア情報集合｛（Ｍ_Ａ）_ｉ，ｊｕ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ｂ［ｋ］（ただし、ｋは集合Ｉ_Ｂの要素）を求める第２の秘密情報取得ステップと、
   前記鍵交換装置βが、
   

   

   
   σ_２＝（ｇ_Ｔ＾ｚ）＾ｖ_１
   σ_３＝Ｘ＾ｖ_１
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求める第２のセッション鍵計算ステップと、
   前記鍵交換装置βが、ｖ_ｊ（１≦ｊ≦Ｎ_Ｂ）を消去する第２の中間情報消去ステップと、
   前記鍵交換装置αが、鍵交換装置βから、（Ｙ，｛Ｖ｝）、Ｍ_Ｂ、ρ_Ｂを受信する第１の受信ステップと、
   前記鍵交換装置αが、属性集合Ｓ_Ａがシェア情報生成行列Ｍ_Ｂと単射ラベリング関数ρ_Ｂを満たすか、Ｙと｛Ｖ｝が群Ｇの要素かを確認する第１の属性確認ステップと、
   前記鍵交換装置αが、Ｉ_Ａ＝｛ｋ：ρ_Ｂ（ｋ）∈Ｓ_Ａ｝となる集合Ｉ_Ａを求め、鍵交換装置βが生成した秘密情報ｖ_１に対する正当なシェア情報集合｛（Ｍ_Ｂ）_ｉ，ｊｖ_ｊ｝について
   

   

   
   が成り立つ０以上ｐ−１以下の整数ｗ_Ａ［ｋ］（ただし、ｋは集合Ｉ_Ａの要素）を求める第１の秘密情報取得ステップと、
   前記鍵交換装置αが、
   

   

   
   σ_１＝（ｇ_Ｔ＾ｚ）＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   σ_３＝Ｙ＾Ｈ_２（Ｓ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝，ｕ^〜 _１）
   を計算し、セッション鍵Ｋを、
   Ｋ＝Ｈ_３（σ_１，σ_２，σ_３，（Ｘ，｛Ｕ｝，Ｍ_Ａ，ρ_Ａ），（Ｙ，｛Ｖ｝，Ｍ_Ｂ，ρ_Ｂ））
   のように求める第１のセッション鍵計算ステップと、
   を有する鍵交換方法。
7. 請求項６記載の鍵交換方法であって、
   前記鍵交換システムは、さらにマスタ鍵生成手段と長期秘密鍵生成手段も備え、
   前記マスタ鍵生成手段が、前記ｒとｚをランダムに選定し、マスタ公開鍵（ｇ，ｇ＾ｒ，ｇ_Ｔ＾ｚ）とマスタ秘密鍵ｇ＾ｚを生成する前記マスタ鍵生成ステップと、
   前記長期秘密鍵生成手段が、前記ｔ_Ａ［１］，…，ｔ_Ａ［Ｎ_ＭＡＸ］とｔ_Ｂ［１］，…，ｔ_Ｂ［Ｎ_ＭＡＸ］をランダムに選定し、Ｓ’_ＡとＳ’_Ｂ、Ｔ_Ａ［ｊ］とＴ_Ｂ［ｊ］、Ｓ_Ａ［ｋ_Ａ］とＳ_Ｂ［ｋ_Ｂ］を計算する長期秘密鍵生成ステップと、
   前記鍵交換装置αが、長期秘密鍵としてＳ’_Ａ，｛Ｔ_Ａ｝，｛Ｓ_Ａ｝を取得する第１の長期秘密鍵取得ステップと、
   前記鍵交換装置βが、長期秘密鍵としてＳ’_Ｂ，｛Ｔ_Ｂ｝，｛Ｓ_Ｂ｝を取得する第２の長期秘密鍵取得ステップ
   も有することを特徴とする鍵交換方法。
8. 請求項１または２記載の鍵交換装置、もしくは請求項３記載の鍵生成装置としてコンピュータを機能させるためのプログラム。

Images