JP6228912B2 - ブラインド秘密鍵発行システム、ブラインドデータ検索システム、これらの方法、鍵生成サーバ、復号装置及びプログラム - Google Patents

Description

本発明は、情報セキュリティ技術の応用技術に関する。

非特許文献１から３に記載された関数型暗号方式が知られている（例えば、非特許文献１から３参照。）。

プライバシー安全性を付加したデータ検索方式としては、キーワード検索のような単純な検索方式が従来から提案されている（例えば、非特許文献４参照。）。

M. Green and S. Hohenberger. Blind identity‐based encryption and simulatable oblivious transfer. ASIACRYPT, volume 4833 of Lecture Notes in Computer Science, pages 265-282. Springer, 2007. T. Okamoto and K. Takashima. Adaptively attribute‐hiding (hierarchical) inner product encryption. EUROCRYPT, volume 7237 of Lecture Notes in Computer Science, pages 591-608. Springer, 2012. T. Okamoto and K. Takashima. Fully secure unbounded inner‐product and attributebased encryption. ASIACRYPT 2012, volume 7658 of Lecture Notes in Computer Science, pages 349-366. Springer, 2012. W. Ogata and K. Kurosawa. Oblivious keyword search. J. Complexity, 20(2‐3):356-371, 2004.

従来から様々な関数型暗号方式が提案されているが、秘密鍵発行機能にプライバシー安全性を付加したブラインド秘密鍵発行機能をもつ関数型暗号方式は提案されていなかった。

また、プライバシー安全性を付加したデータ検索方式としては、キーワード検索のような単純な検索方式が従来から提案されていたが、より高度な論理関係を用いた検索方式（ここでは、そのような検索方式を関数型検索と呼ぶ。）では、プライバシー安全性を付加した関数型データ検索方式は提案されていなかった。

この発明は、プライバシー安全性を付加した、ブラインド秘密鍵発行システム、ブラインドデータ検索システム、これらの方法、鍵生成サーバ、復号装置及びプログラムを提供することを目的とする。

本発明の一態様によるブラインド内積暗号システムは、復号装置から依頼を受けた鍵生成サーバが、内積暗号方式に用いられる秘密鍵を発行するブラインド秘密鍵発行システムにおいて、qを素数とし、F_qを要素の数がq個の有限体とし、nを所定の正の整数とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、I⊆[n]とし、秘密述語ベクトルをv^→=(v₁,…,v_n)∈F_q ⁿ s.t. v_i≠0 for i∈Iとし、B^*を内積暗号方式の基底とし、GL(n,F_q)を要素がF_qのn×n正則行列の集合とし、X^*:=ψ・(X^T)^-1 （ψ∈F_q,X=(χ_i,j)∈GL(4n+1,F_q)）とし、(v₁g,…,v_Lg)・(M_i,j)_i,j=1,…,L=(Σ_i=1 ^Lv_iM_i,1g,…,Σ_i=1 ^Lv_iM_i,Lg)として、復号装置は、α,β,γ←^UF_q, v₁ ^→=(v_1,1,…,v_1,n),v₂ ^→=(v_2,1,…,v_2,n)←^UF_q ⁿ, v₃ ^→=(v_3,1,…,v_3,n):=γv^→-(v₁ ^→+v₂ ^→)として、(αg,βg,(αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n)を計算して復号装置に送信する第一計算部と、鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,(v_1,i)_i=1,…,n, (v_2,i) _i=1,…,n, (v_3,i) _i=1,…,n, (π_i)∈I)| αg,βg, (αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n, π_i(v_1,i+v_2,i+v_3,i)g=g for i∈I}を行うゼロ知識証明部と、η^→=α^-1η₁ ^→+β^-1η₂ ^→+η₃ ^→として、sk_v→:=α^-1k₁ ^*+β^-1k₂ ^*+k₃ ^*=(1,δγv^→,0²ⁿ,η^→,0)_B*を計算して、e(b₀,sk_v→)=g_T, e(b_i,sk_v→)=e(b₁,sk_v→)^vi/v1(i=1,…,n), e(b_4n+1,sk_v→)=1を満たす場合には、sk_v→を秘密述語ベクトルv^→に対する秘密鍵とする第二計算部と、を含み、鍵生成サーバは、δ←^UF_q, r₁ ^→=(r_1,1,…,r_1,n),r₂ ^→=(r_2,1,…,r_2,n),η₁ ^→=(η_1,1,…,η_1,n),η₂ ^→=(η_2,1,…,η_2,n),η₃ ^→=(η_3,1,…,η_3,n)←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算して復号装置に送信する第一計算部を含む。

k₁ ^*:=(0,αδv₁ ^→+αr₁ ^→, 0²ⁿ, η₁ ^→, 0)_B*=(0g, δ(αv_1,1g)+r_1,1(αg),…,δ(αv_1,ng)+r_1,n(αg), 0²ⁿg, η_1,1g,…,η_1,ng, 0g)・X^*
k₂ ^*:=(0,βδv₂ ^→+βr₂ ^→, 0²ⁿ, η₂ ^→, 0)_B*=(0g, δ(βv_2,1g)+r_2,1(βg),…,δ(βv_2,ng)+r_2,n(βg), 0²ⁿg, η_2,1g,…,η_2,ng, 0g)・X^*
k₃ ^*:=(1,δv₃ ^→-(r₁ ^→+r₂ ^→), 0²ⁿ, η₃ ^→, 0)_B*=(1g, δ(v_3,1g)+ (r_1,1+r_2,1)g,…, δ(v_3,1g)+(r_1,n+r_2,n)g, 0²ⁿg, η_3,1g,…,η_3,ng, 0g)・X^*

本発明の一態様によるブラインドデータ検索システムは、ベクトルv₁ ^→,…,v_k ^→を保持する復号装置が、検索用ベクトルw₁ ^→,…,w_N ^→及びデータM₁,…,M_Nを保持する鍵生成サーバに対してv_a ^→・w_i ^→=0(a=1,…,k)を満たすデータM_iの検索を行うブラインドデータ検索システムにおいて、kを所定の正の整数とし、nを所定のk以上の正の整数とし、qを素数とし、F_qを要素の数がq個の有限体とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、B,B^*を内積暗号方式の基底とし、復号装置は、鍵生成サーバに対してゼロ知識証明ZKPoK{(χ_i,j)|b_i=(χ_i,jg,…,χ_i,4n+2g)∈B^ (i=0,1,…,n,4n+1)} (B^:=(b₀,…,b_n,b_4n+1))及びZKPoK{(ζ_i,ω_i,w_i ^→,φ_i)|c_i,1=(ζ_i,ω_i,w_i ^→,0³ⁿ,φ_i)_B^} for c_i,1を行う第一ゼロ知識証明部と、a=1,…,k, α,β,γ←^UF_q, u₁ ^→:=(u_1,1,…,u_1,n), u₂ ^→:=(u_2,1,…,u_2,n)←^UF_q ⁿ, u₃ ^→:=(u_3,1,…,u_3,n):=γv_a ^→-(u₁ ^→+u₂ ^→)として、(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g)∈G³ⁿ⁺²を計算して鍵生成サーバに送信する第一計算部と、a=1,…,kとして、鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,αu₁ ^→,βu₂ ^→,u₃ ^→,(π_p)_p∈Ia)|(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g), π_p(u_1,p+u_2,p+u_3,p)=1 for p∈I_a⊆[n]}を行う第二ゼロ知識証明部と、k₀ ^*:=α^-1k₁ ^*+β^-1k₂ ^*を計算する第二計算部と、a=1,…,k, j=1,…,n+1, ε=0,1, z_j ^(ε), t_j ^(ε), φ_j ^(ε)←^UF_q, x^→(ε), x_j ^→(ε)←^U{x^→∈F_q ⁿ|x^→・v_a ^→=0}, y_j ^→(ε)←^UF_q ⁿ (j=1,…,n), y_n+1 ^→(ε):=-Σ_j=1 ⁿy_j ^→(ε)として、c_i,j ^(ε):=z_j ^(ε)・(c_i,1+(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε),0³ⁿ,φ_j ^(ε))_B)の計算を行い{c_i,j ⁽⁰⁾|j=1,…,n+1},{c_i,j ⁽¹⁾|j=1,…,n+1}を鍵生成サーバに送信する第三計算部と、鍵生成サーバに対してゼロ知識証明ZKPoK{(0^i-1,z_j ^(ε),0^N-i,z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^(ε)),φ_j ^(ε))|c_i,j ^(ε)=0・c_1,1+…+z_j ^(ε)・c_i,1+…+0・c_N,1+(z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε)),0³ⁿ,φ_j ^(ε))_B} (ε=0,1, j=1,…,n,n+1)}を行う第三ゼロ知識証明部と、ε=0,1として、以下のK_i ^(ε)を計算して、K_i ⁽⁰⁾=K_i ⁽¹⁾を満たす場合には、M_i′:=c_i,2/K_i ⁽⁰⁾を計算して出力する第四計算部と、を含み、

鍵生成サーバは、内積暗号のマスター公開鍵mpk及びマスター秘密鍵mskを生成してマスター公開鍵mpkを復号装置に送信する鍵生成部と、暗号文C_i:=(c_i,1,c_i,2):=Enc(mpk,w_i ^→,M_i) (i=1,…,N)を生成し(C₁,…,C_N)を復号装置に送信する暗号文生成部と、δ←^UF_q, r₁ ^→,r₂ ^→, η₁ ^→,η₂ ^→,η₃ ^→←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算してk₁ ^*,k₂ ^*を復号装置に送信する第一計算部と、
k₁ ^*:=(0,αδu₁ ^→+αr₁ ^→,0²ⁿ,η₁ ^→,0)_B*
k₂ ^*:=(0,βδu₂ ^→+βr₂ ^→,0²ⁿ,η₂ ^→,0)_B*
k₃ ^*:=(1,δu₃ ^→-(r₁ ^→+r₂ ^→),0²ⁿ,η₃ ^→,0)_B*
g_i,j ^(ε):=e(k₃ ^*,c_i,j ^(ε)) (ε=0,1, j=1,…,n,n+1)を計算して復号装置４に送信する第二計算部と、を含む。

プライバシー安全性が確保される。

ブラインド内積暗号システム及びブラインド秘密鍵発行システムの例の機能ブロック図。 ブラインド秘密鍵発行システムの鍵生成サーバの例の機能ブロック図。 ブラインド秘密鍵発行システムの復号装置の例の機能ブロック図。 ブラインドデータ検索システムの例の機能ブロック図。 ブラインドデータ検索システムの鍵生成サーバの例の機能ブロック図。 ブラインドデータ検索システムの復号装置の例の機能ブロック図。

以下、本発明の実施形態について説明する。

双線形写像を多重に用いて高次の線形空間を構成するDPVS(Dual Pairing Vector Space: 双対双線形ベクトル空間）という手法を用いて、従来より提案されていた岡本-高島内積暗号方式において新たな「ブラインド秘密鍵発行プロトコルBlindKeyGen」を考案した。このブラインド秘密鍵発行プロトコルBlindKeyGenでは、述語ベクトルをもつ復号装置４は、秘密鍵の発行者である鍵生成サーバ２に述語ベクトルを隠して（ブラインド化して）鍵発行を依頼し、鍵生成サーバ２はブラインド化された述語ベクトル情報に対して秘密鍵を作成し、それを受け取った復号装置４は、受け取った情報を復元する（アンブラインド化する）ことで、述語ベクトルに関する秘密鍵を得ることができる。

[記法]
まず、最初に以下の記述で用いる記号の説明をする。

Aが集合のとき、y←^UAは、yが集合Aからランダムに選ばれることを意味する。F_qは、要素の数がq個の有限体を意味する。また、F_q＼{0}（F_qから0を除いたもの）をF_q ^×と記す。x^→はF_q上のベクトルを意味する。つまり、(x₁,…,x_n)∈F_q ⁿである。２つのベクトルx^→=(x₁,…,x_n)とv^→=(v₁,…,v_n)の間の内積演算Σn_i=1 ⁿx_iv_iをx^→・v^→と記す。Xが行列のとき、X^TはXの転置行列を意味する。

[双対双線形ベクトル空間: DPVS (Dual Pairing Vector Space)]
双対双線形ベクトル空間（DPVS)は、双線形写像群の上で構成される。そこで、まず双線形写像群について説明する。

[双線形写像群]
双線形写像群(q,G,G_T,g,e)は、位数が素数qの巡回加法群Gと位数がqの巡回乗法群G_Tおよびその要素g≠0∈G、ならびに、双線形写像e:G×G→G_Tからなる。ここで、e(sg,tg)=e(g,g)^stおよびe(g,g)≠1が成立する。e(g,g)=g_Tとする。G_bpgは、安全係数（パラメータサイズ）λを入力として双線形写像群のパラメータ(q,G,G_T,g,e)を出力するアルゴリズムである。

[双対双線形ベクトル空間（DPVS)]
双線形写像群(q,G,G_T,g,e)上の双対双線形ベクトル空間(q,V,G_T,A,e)は、素数q,F_q上のN-次元のベクトル空間V（群Gの要素をN 個並べたもの）、

位数がqの巡回群G_T、Vの標準基底A:=(a₁,…,a_N)（ここで、

）、および、双線形写像e:V×V→G_Tからなる。ここで、x:=(g₁,…,g_N)∈Vとy:=(H₁,…,H_N)∈Vの間の双線形写像eは、e(x,y):=Π_i=1 ^Ne(g_i,H_i)∈G_Tで定義される。このとき、以下が成立する。e(sx,ty)=e(x,y)^st、e(a_i,a_j)=e(g,g)^δ(i,j)、ここで、δ(i,j)は、いわゆるクロネッカーのデルタであり、i=jならばδ(i,j)=1であり、i≠jならばδ(i,j)=0である。

G_dpvsは、安全係数λと所定の整数である次元Nを入力として、双対双線形ベクトル空間（DPVS)のパラメータparam_V:=(q,V,G_T,A,e)を出力するアルゴリズムである。このアルゴリズムの内部で、G_bpgを利用する。

Vの基底B:=(b₁,…,b_N)と基底B^*:=(b₁ ^*,…,b_N ^*)に関して、(x₁,…,x_N)_B:=Σ_i=1 ^Nx_ib_iおよび(y₁,…,y_N)_B*:=Σ_i=1 ^Nx_ib_i ^*と定義する。ここで、b_i,b_i ^*は、双対双線形ベクトル空間Vの要素とする。すなわち、b_i,b_i ^*∈Vである。GL(n,F_q)は、F_q上の次数がnの一般線形群（要素がF_qのn×n正則行列の集合）を意味する。

[岡本・高島内積暗号]
今回の発明のベースとなる内積暗号（岡本・高島内積暗号）を説明する。この内積暗号は、後述する４つのアルゴリズム（セットアップSetup、秘密鍵生成KeyGen、暗号化Enc、復号Dec）から構成される。内積暗号システムは、図１に示すように、セットアップサーバ１、鍵生成サーバ２、暗号化装置３及び復号装置４を備えている。

内積暗号では、最初に、セットアップサーバ１が、セットアップSetupを用いて、マスター公開鍵（公開パラメータ）mpkとマスター秘密鍵mskを作成し、マスター公開鍵mpk をシステムパラメータとして公開する。

また、鍵生成サーバ２が、秘密鍵生成KeyGenを用いて、述語ベクトルv^→に対して秘密鍵sk_v→を作成する。生成された秘密鍵sk_v→は、復号装置４に送信される。

暗号化装置３が、平文mと属性ベクトルx^→に対してマスター公開鍵（公開パラメータ）mpkを用いて暗号化Encを行い暗号文c_x→を作る。生成された暗号文c_x→は、復号装置４に送信される。

復号装置４は、復号Decを用いて、暗号文c_x→を秘密鍵sk_v→で復号する。

ここで、v^→・x^→=0（v^→・x^→はベクトルの内積を意味する）でありその時に限り、平文m が復号できるとする。

セットアップSetupは、以下の通りである。

Setup(1^λ,n):
(param_V,B:=(b₀,…,b_4n+1),B^*:=(b₀ ^*,…,b_4n+1 ^*))←G_ob(1^λ,4n+2),
B^:=(b₀,…,b_n,b_4n+1),B^^*:=(b₀ ^*,…,b_n ^*,b_3n+1 ^*,…,b_4n ^*),
return mpk:=(1^λ,param_V,B^), msk:=B^^*

秘密鍵生成KeyGenは、以下の通りである。

KeyGen(mpk, msk, v^→∈F_q ⁿ＼{0^→}):σ←^UF_q,η←^UF_q ⁿ,

return sk_v→:=k^*

G_obは、以下のように定義される確率的アルゴリズムである。

G_ob(1^λ,N): param’_V:=(q,V,G_T,A,e)←^RG_dpvs(1^λ,N), ψ←^UF_q ^×, g_T:=e(g,g)^ψ,
X:=(χ_i,j)←^UGL(N,F_q), (ν_i,j):=ψ・(X^T)^-1, param_V:=(param’_V, g_T),
b_i:=Σ_j=1 ^Nχ_i,ja_j, B:=(b₁,…,b_N), b_i ^*:=Σ_j=1 ^Nν_i,ja_j, B^*:=(b₀ ^*,…,b_N ^*),
return (param_V, B, B^*)

暗号化Encは、以下の通りである。

Enc(mpk, 平文m∈G_T,x^→∈F_q ⁿ＼{0^→}): ω,φ,ζ←^UF_q,

return ct_x→:=(c₁,c₂)

復号Decは、以下の通りである。

Dec(mpk,sk_v→:=k^*, ct_x→:=(c₁,c₂)): m′:=c₂/e(c₁,k^*), return m′

[ブラインド秘密鍵発行プロトコルBlindKeyGen]
「ブラインド秘密鍵発行プロトコルBlindKeyGen」の一例の説明を行う。このプロトコルでは、岡本・高島内積暗号の秘密鍵生成KeyGen の代わりにブラインド秘密鍵発行プロトコルBlindKeyGenを用いて秘密鍵生成が行われる。ブラインド秘密鍵発行プロトコルBlindKeyGenは、鍵生成サーバ２及び復号装置４から成るブラインド秘密鍵発行システムにより行われる。鍵生成サーバ２は、図２に示すように、第一計算部２１を例えば備えている。復号装置４は、図３に示すように、第一計算部４１、ゼロ知識証明部４２及び第二計算部４３を例えば備えている。

このブラインド秘密鍵発行プロトコルを用いたブラインド内積暗号方式Π=(Setup, BlindKeyGen, Enc, Dec)は、以下のように構成される。

KeyGen,Enc,Dec は、岡本・高島内積暗号と同じである。Setup は、以下の点を除いて、岡本・高島内積暗号のSetup と同じである。異なる点は、(mpk, msk) が岡本・高島内積暗号の(mpk, msk) に加えて更に以下の情報を含むことである。

mpkとして、{d_i ^*}_i=1,…,2nを更に含む。ここで、d_i ^*:=(0,γ_i ^←,0²ⁿ,ω_i ^←,0)_B*(i=1,…,2n)、γ_i ^←,ω_i ^←∈F_q ⁿである。

mskとして、X^*を更に含む。ここで、X^*:=ψ・(X^T)^-1（ψ∈F_q,X=(χ_i,j)∈GL(4n+1,F_q)）である。

以下、「ブラインド秘密鍵発行プロトコルBlindKeyGen」の説明をする。

<入力> 共通入力：秘密鍵発行者である鍵生成サーバ２と依頼者である復号装置４は、マスター公開鍵mpk=(1^λ,param_V,B^,{d_i ^*}_i=1,…,2n)及びインデックス集合I⊆[n]を共有する。ここで、[n]は、[n]={1,…,n}であり、１からｎまでの整数の集合である。マスター公開鍵mpk=(1^λ,param_V,B^,{d_i ^*}_i=1,…,2n)は、セットアップサーバ１により生成されたものである。

秘密入力: 鍵生成サーバ２は、マスター秘密鍵msk:=(B^^*,X^*)を保有する。マスター秘密鍵msk:=(B^^*,X^*)は、セットアップサーバ１により生成されたものである。

復号装置４は、秘密述語ベクトルv^→=(v₁,…,v_n)∈F_q ⁿ s.t. v_i≠0 for i∈Iを保持する。

<記号> 以下では、(v₁g,…,v_Lg)・(M_i,j)_i,j=1,…,L=(Σ_i=1 ^Lv_iM_i,1g,…,Σ_i=1 ^Lv_iM_i,Lg)とする。

<鍵生成フェーズ>鍵生成サーバ２と復号装置４は、以下のプロトコルを実行する。

1. 復号装置４は、以下の値を生成する。

α,β,γ←^UF_q, v₁ ^→,v₂ ^→←^UF_q ⁿ, v₃ ^→:=γv^→-(v₁ ^→+v₂ ^→)

復号装置４の第一計算部４１は、以下の計算を行い、鍵生成サーバ２に送信する。

(αg,βg,(αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n)

2. 復号装置４のゼロ知識証明部４２は、鍵生成サーバ２に対して以下のゼロ知識証明プロトコルZKPoKを実行する。ZKPoK は、5-ラウンドのゼロ知識証明プロトコルである。

ZKPoK{(α,β,(v_1,i)_i=1,…,n, (v_2,i) _i=1,…,n, (v_3,i) _i=1,…,n, (π_i)∈I)| αg,βg, (αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n, π_i(v_1,i+v_2,i+v_3,i)g=g for i∈I}
ここで、上記証明π_iは、i∈Iに対して、v_i≠0 であることを保証する。もし、ZKPoKが受理されなければ、鍵生成サーバ２はプロトコルを中止する。

ゼロ知識証明プロトコルZKPoK{A|B}は、情報Bを用いて情報Aを知っていることを情報Aを明かさずに証明するプロトコルである。言い換えれば、ゼロ知識証明プロトコルZKPoK{A|B}は、条件Bを満たす情報Aを知っていることを情報Aを明かさずに証明するプロトコルである。

ゼロ知識証明プロトコルについては、例えば参考文献１を参照のこと。

〔参考文献１〕I.Damgard, “Practical and provably secure release of a secret and exchange of signatures”, In EUROCRYPT’93, pages 200-217, 1994

3. 鍵生成サーバ２は、鍵生成サーバ２の配下の以下の値を選ぶ。

δ←^UF_q, r₁ ^→,r₂ ^→,η₁ ^→,η₂ ^→,η₃ ^→←^UF_q ⁿ

つぎに鍵生成サーバ２の第一計算部２１は、以下の値k₁ ^*, k₂ ^*, k₃ ^*を計算し、復号装置４に送信する。

k₁ ^*:=(0,αδv₁ ^→+αr₁ ^→, 0²ⁿ, η₁ ^→, 0)_B*=(0g, δ(αv_1,1g)+r_1,1(αg),…,δ(αv_1,ng)+r_1,n(αg), 0²ⁿg, η_1,1g,…,η_1,ng, 0g)・X^*
k₂ ^*:=(0,βδv₂ ^→+βr₂ ^→, 0²ⁿ, η₂ ^→, 0)_B*=(0g, δ(βv_2,1g)+r_2,1(βg),…,δ(βv_2,ng)+r_2,n(βg), 0²ⁿg, η_2,1g,…,η_2,ng, 0g)・X^*
k₃ ^*:=(1,δv₃ ^→-(r₁ ^→+r₂ ^→), 0²ⁿ, η₃ ^→, 0)_B*=(1g, δ(v_3,1g)+ (r_1,1+r_2,1)g,…, δ(v_3,1g)+(r_1,n+r_2,n)g, 0²ⁿg, η_3,1g,…,η_3,ng, 0g)・X^*

4. 復号装置４の第二計算部４３は、以下の手順で秘密鍵sk_v→を計算する。ここで、η^→=α^-1η₁ ^→+β^-1η₂ ^→+η₃ ^→である。

sk_v→:=α^-1k₁ ^*+β^-1k₂ ^*+k₃ ^*=(1,δγv^→,0²ⁿ,η^→,0)_B*,

復号装置４の第二計算部４３は、以下の関係が満たされるかを確認する。もし、関係が満たされない場合には、プロトコルを中止する。

e(b₀,sk_v→)=g_T, e(b_i,sk_v→)=e(b₁,sk_v→)^vi/v1(i=1,…,n), e(b_4n+1,sk_v→)=1

<出力> 復号装置４は、ベクトルv^→に対する秘密鍵sk_v→を得る。

[ブラインドデータ検索方式]
内積述語の関数型データ検索方式であるブラインドデータ検索方式について説明する。このブラインドデータ検索方式とは、鍵生成サーバ５が保持する検索用ベクトルw₁ ^→,…,w_n ^→∈F_q ⁿおよびデータM₁,…,M_Nに対して、これを検索する復号装置６がベクトルv₁ ^→,…,v_k ^→∈F_q ⁿを用いて検索を行う。ここで、kは所定の正の整数であり、Nは所定のk以上の正の整数である。

ブラインドデータ検索方式は、図４に例示する鍵生成サーバ５及び復号装置６から成るブラインドデータ検索システムにより行われる。鍵生成サーバ５は、図５に示すように、鍵生成部５１、暗号文生成部５２、第一計算部５３及び第二計算部５４を例えば備えている。復号装置６は、図６に示すように、第一ゼロ知識証明部６１、第一計算部６２、第二ゼロ知識証明部６３、第二計算部６４、第三計算部６４、第三ゼロ知識証明部６６及び第四計算部６７を例えば備えている。

復号装置６は、内積述語関係を満足する、つまりv_a ^→・w_i ^→=0(a=1,…,k)を満たすデータM_iのみを検索することができる。

<入力> 共有入力: 鍵生成サーバ５と復号装置６の共有情報は、インデックス集合I_a⊆[n](a=1,…,k)である。

固有入力: 鍵生成サーバ５の固有入力は、ベクトルw₁ ^→:=(w_1,1,…,w_1,n),…, w_N ^→:=(w_N,1,…,w_N,n)∈F_q ⁿおよびデータM₁,…,M_Nである。ここで、M_i∈G’⊆G_T#G’/#G_T<ε(λ)およびw_i,n=1 (i=1,…,N)とする。#Aは、群Aの要素の数である。ε(λ)は、セキュリティパラメータλのネグリジブルな関数である。

復号装置６の固有入力Σは、ベクトルv₁ ^→:=(v_1,1,…,v_1,n),…,v_k ^→:=(v_k,1,…,v_k,n)∈F_q ⁿである。ここで、v_a,i≠0 for a=1,…,k, i∈I

<初期フェーズ>
1. 鍵生成サーバ５の鍵生成部５１は、前に示した岡本・高島内積暗号のセットアップSetupを用いて、(mpk, msk):=Setup(1^λ,n)を生成し、マスター公開鍵mpkを復号装置６に送る。

2. 鍵生成サーバ５の暗号文生成部５２は、暗号文C_i:=(c_i,1,c_i,2):=Enc(mpk,w_i ^→,M_i) (i=1,…,N)を生成し、(C₁,…,C_N)を復号装置６に送る。

3. 証明者としての復号装置６及び検証者としての鍵生成サーバ５は、ゼロ知識証明プロトコルZKPoK{(χ_i,j)|b_i=(χ_i,jg,…,χ_i,4n+2g)∈B^ (i=0,1,…,n,4n+1)} (B^:=(b₀,…,b_n,b_4n+1))及びZKPoK{(ζ_i,ω_i,w_i ^→,φ_i)|c_i,1=(ζ_i,ω_i,w_i ^→,0³ⁿ,φ_i)_B^} for c_i,1を実行する。もし、検証に失敗すれば、復号装置６はこのプロトコルの実行を中止する。

言い換えれば、復号装置６の第一ゼロ知識証明部６１は、鍵生成サーバ５に対してゼロ知識証明ZKPoK{(χ_i,j)|b_i=(χ_i,jg,…,χ_i,4n+2g)∈B^ (i=0,1,…,n,4n+1)} (B^:=(b₀,…,b_n,b_4n+1))及びZKPoK{(ζ_i,ω_i,w_i ^→,φ_i)|c_i,1=(ζ_i,ω_i,w_i ^→,0³ⁿ,φ_i)_B^} for c_i,1を行う。

<検索フェーズ>
鍵生成サーバ５及び復号装置６は、順次、以下の検索プロトコルをk回実行する。

そのa回目の検索プロトコル(1≦a≦k)で、鍵生成サーバ５は、v_a ^→に対して、すべてのi(1≦i≦N)のC_iとの間で検索（復号）プロトコルを実行する。

1. 復号装置６の第一計算部６２は、乱数α,β,γ←^UF_q、ランダムベクトルu₁ ^→:=(u_1,1,…,u_1,n), u₂ ^→:=(u_2,1,…,u_2,n)←^UF_q ⁿを選び、u₃ ^→:=(u_3,1,…,u_3,n):=γv_a ^→-(u₁ ^→+u₂ ^→)とする。

復号装置６の第一計算部６２は、(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g)∈G³ⁿ⁺²を計算し、それらを鍵生成サーバ５に送る。

2. 復号装置６の第二ゼロ知識証明部６３は、鍵生成サーバ５に対して、知識(α,β,αu₁ ^→,βu₂ ^→,u₃ ^→,(π_p)_p∈Ia)に関する、次の値に対するゼロ知識証明ZKPoKを実行する。

(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g)およびπ_p(u_1,p+u_2,p+u_3,p)=1 for p∈I_a⊆[n]

すなわち、ゼロ知識証明ZKPoKは、ZKPoK{(α,β,αu₁ ^→,βu₂ ^→,u₃ ^→,(π_p)_p∈Ia)|(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g), π_p(u_1,p+u_2,p+u_3,p)=1 for p∈I_a⊆[n]}である。

もし、ゼロ知識証明ZKPoKの検証に失敗すれば、鍵生成サーバ５は検索処理を中止する。

3. 鍵生成サーバ５の第一計算部５３は、δ←^UF_qおよびr₁ ^→,r₂ ^→, η₁ ^→,η₂ ^→,η₃ ^→←^UF_q ⁿを選び、以下の値k₁ ^*, k₂ ^*, k₃ ^*を計算する。

k₁ ^*:=(0,αδu₁ ^→+αr₁ ^→,0²ⁿ,η₁ ^→,0)_B*
k₂ ^*:=(0,βδu₂ ^→+βr₂ ^→,0²ⁿ,η₂ ^→,0)_B*
k₃ ^*:=(1,δu₃ ^→-(r₁ ^→+r₂ ^→),0²ⁿ,η₃ ^→,0)_B*

鍵生成サーバ５の第一計算部５３は、k₁ ^*とk₂ ^*を復号装置４に送り、k₃ ^*を秘密に保存する。

4. 復号装置６の第二計算部６４は、以下の値k₀ ^*を計算する。

k₀ ^*:=α^-1k₁ ^*+β^-1k₂ ^*

5. 復号装置６が鍵であるベクトルv_a ^→でC_i(1≦i≦N)を復号しようとするときは、復号装置６の第三計算部６５は、以下のc_i,j ^(ε)を計算する。

c_i,j ^(ε):=z_j ^(ε)・(c_i,1+(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε),0³ⁿ,φ_j ^(ε))_B)

ここで、j=1,…,n+1, ε=0,1, z_j ^(ε), t_j ^(ε), φ_j ^(ε)←^UF_q, x^→(ε), x_j ^→(ε)←^U{x^→∈F_q ⁿ|x^→・v_a ^→=0}, y_j ^→(ε)←^UF_q ⁿ (j=1,…,n), y_n+1 ^→(ε):=-Σ_j=1 ⁿy_j ^→(ε)(つまり、Σ_j=1 ⁿ⁺¹y_j ^→(ε)=0^→)とする。

復号装置６の第三計算部６５は、鍵生成サーバ５に以下を送る。

{c_i,j ⁽⁰⁾|j=1,…,n+1},{c_i,j ⁽¹⁾|j=1,…,n+1}

また、復号装置６の第三ゼロ知識証明部６６は、鍵生成サーバ５に対して以下のゼロ零知識証明ZKPoKを実行する。
ZKPoK{(0^i-1,z_j ^(ε),0^N-i,z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^(ε)),φ_j ^(ε))|c_i,j ^(ε)=0・c_1,1+…+z_j ^(ε)・c_i,1+…+0・c_N,1+(z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε)),0³ⁿ,φ_j ^(ε))_B} (ε=0,1, j=1,…,n,n+1)}

もし、ZKPoK の検証に失敗すれば、鍵生成サーバ５は検索処理を中止する。さもなければ、鍵生成サーバ５の第二計算部５４は、g_i,j ^(ε):=e(k₃ ^*,c_i,j ^(ε)) (ε=0,1, j=1,…,n,n+1)を計算し、それらを復号装置６に送る。

7. 復号装置６の第四計算部６７は、以下の値を計算する。

さらに、復号装置６の第四計算部６７は、K_i ⁽⁰⁾=K_i ⁽¹⁾をチェックして、満足しなければ処理を中止し、満足すれば、M_i′:=c_i,2/K_i ⁽⁰⁾を計算する。もし、M_i′∈G’ならば、復号装置６の第四計算部６７はそれを出力する。さもなくば、処理を中止する旨の信号を出力する。

［変形例等］
上記装置及び方法において説明した処理は、記載の順にしたがって時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記各装置における各種の処理機能をコンピュータによって実現してもよい。その場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶部に格納する。そして、処理の実行時、このコンピュータは、自己の記憶部に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実施形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよい。さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、プログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、コンピュータ上で所定のプログラムを実行させることにより、各装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (9)

1. 復号装置から依頼を受けた鍵生成サーバが、内積暗号方式に用いられる秘密鍵を発行するブラインド秘密鍵発行システムにおいて、
   qを素数とし、F_qを要素の数がq個の有限体とし、nを所定の正の整数とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、I⊆[n]とし、秘密述語ベクトルをv^→=(v₁,…,v_n)∈F_q ⁿ s.t. v_i≠0 for i∈Iとし、B^*を上記内積暗号方式の基底とし、GL(n,F_q)を要素がF_qのn×n正則行列の集合とし、X^*:=ψ・(X^T)^-1 （ψ∈F_q,X=(χ_i,j)∈GL(4n+1,F_q)）とし、(v₁g,…,v_Lg)・(M_i,j)_i,j=1,…,L=(Σ_i=1 ^Lv_iM_i,1g,…,Σ_i=1 ^Lv_iM_i,Lg)として、
   上記復号装置は、α,β,γ←^UF_q, v₁ ^→=(v_1,1,…,v_1,n),v₂ ^→=(v_2,1,…,v_2,n)←^UF_q ⁿ, v₃ ^→=(v_3,1,…,v_3,n):=γv^→-(v₁ ^→+v₂ ^→)として、(αg,βg,(αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n)を計算して上記復号装置に送信する第一計算部と、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,(v_1,i)_i=1,…,n, (v_2,i) _i=1,…,n, (v_3,i) _i=1,…,n, (π_i)∈I)| αg,βg, (αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n, π_i(v_1,i+v_2,i+v_3,i)g=g for i∈I}を行うゼロ知識証明部と、η^→=α^-1η₁ ^→+β^-1η₂ ^→+η₃ ^→として、sk_v→:=α^-1k₁ ^*+β^-1k₂ ^*+k₃ ^*=(1,δγv^→,0²ⁿ,η^→,0)_B*を計算して、e(b₀,sk_v→)=g_T, e(b_i,sk_v→)=e(b₁,sk_v→)^vi/v1(i=1,…,n), e(b_4n+1,sk_v→)=1を満たす場合には、sk_v→を上記秘密述語ベクトルv^→に対する秘密鍵とする第二計算部と、を含み、
   上記鍵生成サーバは、δ←^UF_q, r₁ ^→=(r_1,1,…,r_1,n),r₂ ^→=(r_2,1,…,r_2,n),η₁ ^→=(η_1,1,…,η_1,n),η₂ ^→=(η_2,1,…,η_2,n),η₃ ^→=(η_3,1,…,η_3,n)←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算して上記復号装置に送信する第一計算部を含む、
   k₁ ^*:=(0,αδv₁ ^→+αr₁ ^→, 0²ⁿ, η₁ ^→, 0)_B*=(0g, δ(αv_1,1g)+r_1,1(αg),…,δ(αv_1,ng)+r_1,n(αg), 0²ⁿg, η_1,1g,…,η_1,ng, 0g)・X^*
   k₂ ^*:=(0,βδv₂ ^→+βr₂ ^→, 0²ⁿ, η₂ ^→, 0)_B*=(0g, δ(βv_2,1g)+r_2,1(βg),…,δ(βv_2,ng)+r_2,n(βg), 0²ⁿg, η_2,1g,…,η_2,ng, 0g)・X^*
   k₃ ^*:=(1,δv₃ ^→-(r₁ ^→+r₂ ^→), 0²ⁿ, η₃ ^→, 0)_B*=(1g, δ(v_3,1g)+ (r_1,1+r_2,1)g,…, δ(v_3,1g)+(r_1,n+r_2,n)g, 0²ⁿg, η_3,1g,…,η_3,ng, 0g)・X^*
   ブラインド秘密鍵発行システム。
2. 請求項１のブラインド秘密鍵発行システムの鍵生成サーバ。
3. 請求項１のブラインド秘密鍵発行システムの復号装置。
4. 復号装置から依頼を受けた鍵生成サーバが、内積暗号方式に用いられる秘密鍵を発行するブラインド秘密鍵発行方法において、
   qを素数とし、F_qを要素の数がq個の有限体とし、nを所定の正の整数とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、I⊆[n]とし、秘密述語ベクトルをv^→=(v₁,…,v_n)∈F_q ⁿ s.t. v_i≠0 for i∈Iとし、B^*を上記内積暗号方式の基底とし、GL(n,F_q)を要素がF_qのn×n正則行列の集合とし、X^*:=ψ・(X^T)^-1 （ψ∈F_q,X=(χ_i,j)∈GL(4n+1,F_q)）とし、(v₁g,…,v_Lg)・(M_i,j)_i,j=1,…,L=(Σ_i=1 ^Lv_iM_i,1g,…,Σ_i=1 ^Lv_iM_i,Lg)として、
   上記復号装置の第一計算部が、は、α,β,γ←^UF_q, v₁ ^→=(v_1,1,…,v_1,n),v₂ ^→=(v_2,1,…,v_2,n)←^UF_q ⁿ, v₃ ^→=(v_3,1,…,v_3,n):=γv^→-(v₁ ^→+v₂ ^→)として、(αg,βg,(αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n)を計算して上記復号装置に送信する第一計算ステップと、
   上記復号装置のゼロ知識証明部が、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,(v_1,i)_i=1,…,n, (v_2,i) _i=1,…,n, (v_3,i) _i=1,…,n, (π_i)∈I)| αg,βg, (αv_1,ig)_i=1,…,n, (βv_2,ig)_i=1,…,n, (v_3,ig)_i=1,…,n, π_i(v_1,i+v_2,i+v_3,i)g=g for i∈I}を行うゼロ知識証明ステップと、
   上記鍵生成サーバの第一計算部が、δ←^UF_q, r₁ ^→=(r_1,1,…,r_1,n),r₂ ^→=(r_2,1,…,r_2,n),η₁ ^→=(η_1,1,…,η_1,n),η₂ ^→=(η_2,1,…,η_2,n),η₃ ^→=(η_3,1,…,η_3,n)←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算して上記復号装置に送信する第一計算ステップと、
   k₁ ^*:=(0,αδv₁ ^→+αr₁ ^→, 0²ⁿ, η₁ ^→, 0)_B*=(0g, δ(αv_1,1g)+r_1,1(αg),…,δ(αv_1,ng)+r_1,n(αg), 0²ⁿg, η_1,1g,…,η_1,ng, 0g)・X^*
   k₂ ^*:=(0,βδv₂ ^→+βr₂ ^→, 0²ⁿ, η₂ ^→, 0)_B*=(0g, δ(βv_2,1g)+r_2,1(βg),…,δ(βv_2,ng)+r_2,n(βg), 0²ⁿg, η_2,1g,…,η_2,ng, 0g)・X^*
   k₃ ^*:=(1,δv₃ ^→-(r₁ ^→+r₂ ^→), 0²ⁿ, η₃ ^→, 0)_B*=(1g, δ(v_3,1g)+ (r_1,1+r_2,1)g,…, δ(v_3,1g)+(r_1,n+r_2,n)g, 0²ⁿg, η_3,1g,…,η_3,ng, 0g)・X^*
   上記復号装置の第二計算部が、η^→=α^-1η₁ ^→+β^-1η₂ ^→+η₃ ^→として、sk_v→:=α^-1k₁ ^*+β^-1k₂ ^*+k₃ ^*=(1,δγv^→,0²ⁿ,η^→,0)_B*を計算して、e(b₀,sk_v→)=g_T, e(b_i,sk_v→)=e(b₁,sk_v→)^vi/v1(i=1,…,n), e(b_4n+1,sk_v→)=1を満たす場合には、sk_v→を上記秘密述語ベクトルv^→に対する秘密鍵とする第二計算ステップと、
   を含むブラインド秘密鍵発行方法。
5. ベクトルv₁ ^→,…,v_k ^→を保持する復号装置が、検索用ベクトルw₁ ^→,…,w_N ^→及びデータM₁,…,M_Nを保持する鍵生成サーバに対してv_a ^→・w_i ^→=0(a=1,…,k)を満たすデータM_iの検索を行うブラインドデータ検索システムにおいて、
   kを所定の正の整数とし、nを所定のk以上の正の整数とし、qを素数とし、F_qを要素の数がq個の有限体とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、B,B^*を上記内積暗号方式の基底とし、
   上記復号装置は、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(χ_i,j)|b_i=(χ_i,jg,…,χ_i,4n+2g)∈B^ (i=0,1,…,n,4n+1)} (B^:=(b₀,…,b_n,b_4n+1))及びZKPoK{(ζ_i,ω_i,w_i ^→,φ_i)|c_i,1=(ζ_i,ω_i,w_i ^→,0³ⁿ,φ_i)_B^} for c_i,1を行う第一ゼロ知識証明部と、a=1,…,k, α,β,γ←^UF_q, u₁ ^→:=(u_1,1,…,u_1,n), u₂ ^→:=(u_2,1,…,u_2,n)←^UF_q ⁿ, u₃ ^→:=(u_3,1,…,u_3,n):=γv_a ^→-(u₁ ^→+u₂ ^→)として、(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g)∈G³ⁿ⁺²を計算して上記鍵生成サーバに送信する第一計算部と、a=1,…,kとして、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,αu₁ ^→,βu₂ ^→,u₃ ^→,(π_p)_p∈Ia)|(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g), π_p(u_1,p+u_2,p+u_3,p)=1 for p∈I_a⊆[n]}を行う第二ゼロ知識証明部と、k₀ ^*:=α^-1k₁ ^*+β^-1k₂ ^*を計算する第二計算部と、a=1,…,k, j=1,…,n+1, ε=0,1, z_j ^(ε), t_j ^(ε), φ_j ^(ε)←^UF_q, x^→(ε), x_j ^→(ε)←^U{x^→∈F_q ⁿ|x^→・v_a ^→=0}, y_j ^→(ε)←^UF_q ⁿ (j=1,…,n), y_n+1 ^→(ε):=-Σ_j=1 ⁿy_j ^→(ε)として、c_i,j ^(ε):=z_j ^(ε)・(c_i,1+(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε),0³ⁿ,φ_j ^(ε))_B)の計算を行い{c_i,j ⁽⁰⁾|j=1,…,n+1},{c_i,j ⁽¹⁾|j=1,…,n+1}を上記鍵生成サーバに送信する第三計算部と、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(0^i-1,z_j ^(ε),0^N-i,z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^(ε)),φ_j ^(ε))|c_i,j ^(ε)=0・c_1,1+…+z_j ^(ε)・c_i,1+…+0・c_N,1+(z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε)),0³ⁿ,φ_j ^(ε))_B} (ε=0,1, j=1,…,n,n+1)}を行う第三ゼロ知識証明部と、ε=0,1として、以下のK_i ^(ε)を計算して、K_i ⁽⁰⁾=K_i ⁽¹⁾を満たす場合には、M_i′:=c_i,2/K_i ⁽⁰⁾を計算して出力する第四計算部と、を含み、
   

   

   上記鍵生成サーバは、内積暗号のマスター公開鍵mpk及びマスター秘密鍵mskを生成して上記マスター公開鍵mpkを上記復号装置に送信する鍵生成部と、暗号文C_i:=(c_i,1,c_i,2):=Enc(mpk,w_i ^→,M_i) (i=1,…,N)を生成し(C₁,…,C_N)を上記復号装置に送信する暗号文生成部と、δ←^UF_q, r₁ ^→,r₂ ^→, η₁ ^→,η₂ ^→,η₃ ^→←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算してk₁ ^*,k₂ ^*を上記復号装置に送信する第一計算部と、
   k₁ ^*:=(0,αδu₁ ^→+αr₁ ^→,0²ⁿ,η₁ ^→,0)_B*
   k₂ ^*:=(0,βδu₂ ^→+βr₂ ^→,0²ⁿ,η₂ ^→,0)_B*
   k₃ ^*:=(1,δu₃ ^→-(r₁ ^→+r₂ ^→),0²ⁿ,η₃ ^→,0)_B*
   g_i,j ^(ε):=e(k₃ ^*,c_i,j ^(ε)) (ε=0,1, j=1,…,n,n+1)を計算して復号装置４に送信する第二計算部と、を含む、
   ブラインドデータ検索システム。
6. 請求項５のブラインドデータ検索システムの鍵生成サーバ。
7. 請求項５のブラインドデータ検索システムの復号装置。
8. ベクトルv₁ ^→,…,v_k ^→を保持する復号装置が、検索用ベクトルw₁ ^→,…,w_N ^→及びデータM₁,…,M_Nを保持する鍵生成サーバに対してv_a ^→・w_i ^→=0(a=1,…,k)を満たすデータM_iの検索を行うブラインドデータ検索システムにおいて、
   kを所定の正の整数とし、nを所定のk以上の正の整数とし、qを素数とし、F_qを要素の数がq個の有限体とし、gを位数qの巡回加法群Gの要素とし、g_Tを位数qの巡回加法群G_Tの要素とし、B,B^*を上記内積暗号方式の基底とし、
   上記鍵生成サーバの鍵生成部が、内積暗号のマスター公開鍵mpk及びマスター秘密鍵mskを生成して上記マスター公開鍵mpkを上記復号装置に送信する鍵生成ステップと、
   上記鍵生成サーバの暗号文生成部が、暗号文C_i:=(c_i,1,c_i,2):=Enc(mpk,w_i ^→,M_i) (i=1,…,N)を生成し(C₁,…,C_N)を上記復号装置に送信する暗号文生成ステップと、
   上記復号装置の第一ゼロ知識証明部が、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(χ_i,j)|b_i=(χ_i,jg,…,χ_i,4n+2g)∈B^ (i=0,1,…,n,4n+1)} (B^:=(b₀,…,b_n,b_4n+1))及びZKPoK{(ζ_i,ω_i,w_i ^→,φ_i)|c_i,1=(ζ_i,ω_i,w_i ^→,0³ⁿ,φ_i)_B^} for c_i,1を行う第一ゼロ知識証明ステップと、
   上記復号装置の第一計算部が、a=1,…,k, α,β,γ←^UF_q, u₁ ^→:=(u_1,1,…,u_1,n), u₂ ^→:=(u_2,1,…,u_2,n)←^UF_q ⁿ, u₃ ^→:=(u_3,1,…,u_3,n):=γv_a ^→-(u₁ ^→+u₂ ^→)として、(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g)∈G³ⁿ⁺²を計算して上記鍵生成サーバに送信する第一計算ステップと、
   上記復号装置の第二ゼロ知識証明部が、a=1,…,kとして、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(α,β,αu₁ ^→,βu₂ ^→,u₃ ^→,(π_p)_p∈Ia)|(αg,βg,αu₁ ^→g,βu₂ ^→g,u₃ ^→g), π_p(u_1,p+u_2,p+u_3,p)=1 for p∈I_a⊆[n]}を行う第二ゼロ知識証明ステップと、
   上記鍵生成サーバの第一計算部が、δ←^UF_q, r₁ ^→,r₂ ^→, η₁ ^→,η₂ ^→,η₃ ^→←^UF_q ⁿとして、以下に定義されるk₁ ^*, k₂ ^*, k₃ ^*を計算してk₁ ^*,k₂ ^*を上記復号装置に送信する第一計算ステップと、
   k₁ ^*:=(0,αδu₁ ^→+αr₁ ^→,0²ⁿ,η₁ ^→,0)_B*
   k₂ ^*:=(0,βδu₂ ^→+βr₂ ^→,0²ⁿ,η₂ ^→,0)_B*
   k₃ ^*:=(1,δu₃ ^→-(r₁ ^→+r₂ ^→),0²ⁿ,η₃ ^→,0)_B*
   上記復号装置の第二計算部が、k₀ ^*:=α^-1k₁ ^*+β^-1k₂ ^*を計算する第二計算ステップと、
   上記復号装置の第三計算部が、a=1,…,k, j=1,…,n+1, ε=0,1, z_j ^(ε), t_j ^(ε), φ_j ^(ε)←^UF_q, x^→(ε), x_j ^→(ε)←^U{x^→∈F_q ⁿ|x^→・v_a ^→=0}, y_j ^→(ε)←^UF_q ⁿ (j=1,…,n), y_n+1 ^→(ε):=-Σ_j=1 ⁿy_j ^→(ε)として、c_i,j ^(ε):=z_j ^(ε)・(c_i,1+(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε),0³ⁿ,φ_j ^(ε))_B)の計算を行い{c_i,j ⁽⁰⁾|j=1,…,n+1},{c_i,j ⁽¹⁾|j=1,…,n+1}を上記鍵生成サーバに送信する第三計算ステップと、
   上記復号装置の第三ゼロ知識証明部が、上記鍵生成サーバに対してゼロ知識証明ZKPoK{(0^i-1,z_j ^(ε),0^N-i,z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^(ε)),φ_j ^(ε))|c_i,j ^(ε)=0・c_1,1+…+z_j ^(ε)・c_i,1+…+0・c_N,1+(z_j ^(ε)・(t_j ^(ε),x_j ^→(ε)+y_j ^→(ε)),0³ⁿ,φ_j ^(ε))_B} (ε=0,1, j=1,…,n,n+1)}を行う第三ゼロ知識証明ステップと、
   上記鍵生成サーバの第二計算部が、g_i,j ^(ε):=e(k₃ ^*,c_i,j ^(ε)) (ε=0,1, j=1,…,n,n+1)を計算して復号装置４に送信する第二計算ステップと、
   上記復号装置の第四計算部が、ε=0,1として、以下のK_i ^(ε)を計算して、K_i ⁽⁰⁾=K_i ⁽¹⁾を満たす場合には、M_i′:=c_i,2/K_i ⁽⁰⁾を計算して出力する第四計算ステップと、
   

   

   を含むブラインドデータ検索方法。
9. 請求項２の鍵生成装置、請求項３の復号装置、請求項６の鍵生成装置又は請求項７の復号装置の各部としてコンピュータを機能させるためのプログラム。

Images