JP6259402B2 - 鍵配送管理装置、端末装置、鍵配送システム、およびプログラム - Google Patents

Description

本発明は、情報セキュリティ技術の応用技術に関し、特に、共通鍵を共有する鍵配送方式に関する。

従来の動的鍵配送方式の一つにＳＴＷ方式がある（例えば、非特許文献１参照）。ＳＴＷ方式では、ユーザ集合に属する端末装置がピア・ツー・ピアで通信を行い、これらの端末装置が共通のセッション鍵（共通鍵）を共有する。既存のユーザ集合に新たな端末装置を追加した場合や、既存のユーザ集合から端末装置を削除した場合には、更新後のユーザ集合に応じた新たな共通鍵が生成される。

Michael Steiner, Gene Tsudik, Michael Waidner, "Diffie-Hellman Key Distribution Extended to Group Communication," ACM Conference on Computer and Communications Security 1996, 31-37.

上記の既存技術では、通信路の盗聴のみを行う攻撃者に対しては、共通鍵の情報が漏れないが、通信路上で改ざんを行うような攻撃者に対しては成りすましを防げない。また、鍵配送時に一部の端末装置がブロードキャストを行う必要があり、端末装置数が増大するとそれらの端末装置の計算・通信コストが増大するという問題がある。

本発明の課題は、通信路上での成り済ましに対する安全性が高く、端末装置の計算・通信コストが小さな鍵配送技術を提供することである。

鍵配送管理装置は、関数暗号方式に則って第１シード値を暗号化し、有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵で復号可能な暗号文を得、暗号文と共有情報とを端末装置に出力する。端末装置は、前記有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵を用い、前記関数暗号方式に則って前記暗号文を復号して第１シード値を得、前記共有情報と端末秘密値の逆元とに応じた秘匿化共有情報を得て出力する。鍵配送管理装置は、前記秘匿化共有情報と管理秘密値とに応じた第２シード値の秘匿化情報を得て出力する。端末装置は、前記第２シード値の秘匿化情報と前記端末秘密値とに応じた第２シード値を得、前記第１シード値を含む情報と前記第２シード値を含む情報とに対応する共通鍵を得る。

以上より、通信路上での成り済ましに対する安全性が高く、端末装置の計算・通信コストが小さな鍵配送が可能となる。

図１は、実施形態の鍵配送システムの機能構成を例示したブロック図である。 図２Ａは、第１実施形態の鍵配送管理装置の機能構成を例示したブロック図であり、図２Ｂは、第１実施形態の端末装置の機能構成を例示したブロック図である。 図３は、第１実施形態の鍵配送処理を例示するためのシーケンス図である。 図４は、第１実施形態のユーザ追加処理を例示するためのシーケンス図である。 図５Ａは、第１実施形態の有効時間区間の更新処理を例示するためのシーケンス図であり、図５Ｂは、第１実施形態のユーザ削除処理を例示するためのシーケンス図である。 図６は、第２実施形態の鍵配送管理装置の機能構成を例示したブロック図である。 図７は、第２実施形態の端末装置の機能構成を例示したブロック図である。 図８は、第２実施形態の秘密鍵配送処理を例示するためのシーケンス図である。 図９は、第２実施形態の鍵配送処理を例示するためのシーケンス図である。 図１０は、第２実施形態の鍵配送処理を例示するためのシーケンス図である。 図１１は、第２実施形態の鍵配送処理を例示するためのシーケンス図である。 図１２は、第２実施形態の端末追加処理を例示するためのシーケンス図である。 図１３は、第２実施形態の端末追加処理を例示するためのシーケンス図である。 図１４は、第２実施形態の端末追加処理を例示するためのシーケンス図である。 図１５は、第２実施形態の端末削除処理を例示するためのシーケンス図である。

以下、図面を参照して本発明の実施形態を説明する。
［第１実施形態］
まず、本発明の第１実施形態を説明する。
＜構成＞
図１に例示するように、本形態の鍵配送システム１は、端末装置１２−１〜１２−Ｎと鍵配送管理装置１１とを有する。ただし、Ｎは３以上の整数である。端末装置１２−１〜１２−Ｎと鍵配送管理装置１１とはインターネット等の安全ではない通信路を通じて通信可能に構成されている。

図２Ａに例示するように、本形態の鍵配送管理装置１１は、制御部１１０と配送処理部１１１，１１２と通信部１１８と記憶部１１９とを有する。図２Ｂに例示するように、本形態の端末装置１２−ｈは、制御部１２０−ｈと処理部１２１−ｈ〜１２４−ｈと通信部１２８−ｈと記憶部１２９−ｈとを有する。ただし、ｈ∈［１，Ｎ］である。［１，Ｎ］は１以上Ｎ以下の整数からなる集合｛１，・・・，Ｎ｝を表す。各装置は、例えば、通信装置、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。また、各装置は自らが備える制御部１１０，１２０−ｈの制御に基づいて各処理を実行する。各装置の各処理で得られたデータは、逐一、それぞれが備える記憶部１１９，１２９−ｈに格納され、必要に応じて読み出されて使用される。

＜鍵配送処理＞
以下、端末装置１２−１〜１２−Ｎからなる集合の部分集合（ユーザ集合）である端末装置１２−σ（１）〜１２−σ（ｎ）がセッションを立ち上げ、共通鍵を共有する処理を説明する。ただし、ｎは２以上Ｎ以下の整数であり、｛σ（１），・・・，σ（ｎ）｝⊂｛１，・・・，Ｎ｝であるとする。以降、記述を簡単にするために、一般性を失うことなく（σ（１），・・・，σ（ｎ））＝（１，・・・，ｎ）と仮定することにする。

図３に例示するように、まず鍵配送管理装置１１（図２Ａ）の配送処理部１１１が、関数暗号方式に則り、端末装置１２−ｉの識別情報Ｕ_ｉと有効時間区間（タイムフレーム）ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む情報Ｖ（Ｕ_ｉ，ｔｉｍｅ）に対応する秘密鍵ｕｓｋ_ｉを生成し、各秘密鍵ｕｓｋ_ｉを端末装置１２−ｉに安全に配送する。ただし、ｉ∈［１，ｎ］である。「有効時間区間」は、所定の時間区間であり、所定の契機で更新される。秘密鍵ｕｓｋ_ｉは、端末装置１２−ｉの公開鍵で暗号化されてから配送されてもよいし、安全な通信路を通じて配送されてもよいし、可搬型記録媒体に格納されて配送されてもよい。秘密鍵ｕｓｋ_ｉは端末装置１２−ｉ（図２Ｂ）で復号等によって取得され、記憶部１２９−ｉに安全に格納される。

「関数暗号方式」とは、「属性情報」と呼ばれる情報と「アクセス構造（または述語情報）」と呼ばれる情報との組み合わせが所定の論理式の真理値を「真」にする関係にある場合に暗号文が復号される方式である。関数暗号方式では、「属性情報」と「アクセス構造（または述語情報）」との一方の情報が秘密鍵に埋め込まれ、他方の情報が暗号文に埋め込まれる。秘密鍵に埋め込まれた「属性情報」または「アクセス構造（または述語情報）」と暗号文に埋め込まれた「アクセス構造（または述語情報）」または「属性情報」が上述の論理式の真理値を「真」にする関係にある場合、当該秘密鍵と暗号文とから復号結果が得られる。「関数暗号方式」は「関数型暗号方式」や「述語暗号方式」と呼ばれることもあり、例えば、参考文献１「T. Okamoto, K. Takashima, "Fully Secure Functional Encryption with General Relations from the Decisional Linear Assumption," Advances in Cryptology - CRYPTO 2010, Lecture Notes in Computer Science, 2010, Volume 6223/2010, 191-208」、参考文献２（J. Katz, A. Sahai, and B. Waters., "Predicate encryption supporting disjunctions, polynomial equations, and inner products," In EUROCRYPT, pp. 146-162, 2008.）、参考文献３（T. Okamoto and K. Takashima., "Hierarchical predicate encryption for inner-products," In ASIACRYPT, pp. 214-231, 2009.）等に具体的な方式が開示されている。ただし、本形態で使用可能な関数暗号方式はこれらの方式に限定されない。「情報Ｖ（Ｕ_ｉ，ｔｉｍｅ）」は、識別情報Ｕ_ｉと時間ｔｉｍｅ∈ｔｉｍｅに対応する情報からなる情報であってもよいし、識別情報Ｕ_ｉと時間ｔｉｍｅ∈ｔｉｍｅに対応する情報とその他の情報（公開パラメータやセッションＩＤ等）とからなる情報であってもよい。本形態では「情報Ｖ（Ｕ_ｉ，ｔｉｍｅ）」が「属性情報」である例を示す。「属性情報」や「アクセス構造（または述語情報）」の実装方法に限定はないが、例えば、「属性情報」や「述語情報」はベクトルまたはベクトルの集合として実装でき、「アクセス構造」は行列とその各行に対応するラベルとからなるラベル付き行列と写像（例えば、ベクトルを写す写像）とによって実装できる。例えば、「α_１がη_１である」という命題１と「α_２がη_２である」という命題２との論理和（α_１＝η_１）∨（α_２＝η_２）は（α_１−η_１）・（α_２−η_２）という多項式で表現できる。論理和（α_１＝η_１）∨（α_２＝η_２）が真である場合、（α_１−η_１）・（α_２−η_２）＝０となり、論理和（α_１＝η_１）∨（α_２＝η_２）が偽である場合、（α_１−η_１）・（α_２−η_２）≠０となる。すなわち、論理和（α_１＝η_１）∨（α_２＝η_２）が真であることと、（α_１−η_１）・（α_２−η_２）＝０となることとは等価である。また、「α_１がη_１である」という命題１と「α_２がη_２である」という命題２との論理積（α_１＝η_１）∧（α_２＝η_２）はι_１・（α_１−η_１）＋ι_２・（α_２−η_２）という多項式で表現できる。ただし、ι_１及びι_２は乱数である。論理積（α_１＝η_１）∧（α_２＝η_２）が真である場合、ι_１・（α_１−η_１）＋ι_２・（α_２−η_２）＝０になり、論理積（α_１＝η_１）∧（α_２＝η_２）が偽である場合、ι_１・（ｘ_１−η_１）＋ι_２・（α_２−η_２）≠０となる。すなわち、論理積（α_１＝η_１）∧（α_２＝η_２）が真であることと、ι_１・（α_１−η_１）＋ι_２・（α_２−η_２）＝０となることとは等価である。このように、論理式は多項式によって表現することができる。また、論理式を表現する多項式は２つのベクトルの内積で表現できる。すなわち、論理式を表現する多項式は、各項の不定元成分と１とを各要素とするベクトルと、各項の係数成分を各要素とするベクトルとの内積に等しい。そのため、ベクトルまたはベクトルの集合を用いて「属性情報」や「述語情報」を実装でき、論理式の真理値が真であることを内積が０であることに置き換えることができる。同様にこのようなベクトル集合に対応する写像とラベル付き行列と用いて「アクセス構造」を実装できる。なお、ｔｉｍｅ∈ＴＦは、例えば、ＴＦ＝｛ｔ_ｍｉｎ，・・・，ｔ_ｍａｘ｝とすれば、（ｔｉｍｅ＝ｔ_ｍｉｎ）∨・・・∨（ｔｉｍｅ＝ｔ_ｍａｘ）のような論理和で表現できる（ステップＳ１０１）。

次に、鍵配送管理装置１１および端末装置１２−１〜１２−ｎが協力して共有情報Ｃを生成する。この際、各端末装置１２−ｉの端末秘密値ｘ_ｉが用いられる。例えば、Ｇを位数ｐの乗法巡回群とし、ｇ∈Ｇを群Ｇの生成元とし、ｘ_ｉ∈Ｚ_ｐとし、鍵配送管理装置１１および端末装置１２−１〜１２−ｎが協力してＣ：＝ｇ^{ｘ１・ｘ２・...・ｘｎ}を生成する。ただし、「α：＝β」はαがβを表すこと（αをβと定義すること）を意味する。上付き添え字の「ｘｉ」は「ｘ_ｉ」を表す。集合Ｘ＝｛ｘ_１，・・・，ｘ_ｎ｝についてｇ^{ｘ１・ｘ２・...・ｘｎ}をｇ^ΠＸと表記する。Ｘが空集合の場合にはΠＸ＝１となる。共有情報Ｃは、鍵配送管理装置１１（図２Ａ）の記憶部１１９に格納され、共有情報Ｃの生成に用いられた端末秘密値ｘ_ｉは各端末装置１２−ｉ（図２Ｂ）の記憶部１２９−ｉに安全に格納される（ステップＳ１０２）。

鍵配送管理装置１１（図２Ａ）の配送処理部１１１は、第１シード値Ｋ_１を生成し、関数暗号方式に則って第１シード値Ｋ_１を暗号化し、端末装置１２−ｉの識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間に対応する情報を含む情報に対応する秘密鍵ｕｓｋ_ｉで復号可能な暗号文ＣＴ’_ｉを生成し、暗号文ＣＴ’_ｉ（ただし、ｉ∈［１，ｎ］）と共有情報Ｃとを出力する。この暗号文ＣＴ’_ｉは、秘密鍵ｕｓｋ_ｉに対応する識別情報Ｕ_ｉおよび時間ｔｉｍｅが論理式Ｐ_ｉ：＝（ＩＤ＝Ｕ_ｉ）∧（ｔｉｍｅ∈ＴＦ）を真にする場合に、当該秘密鍵ｕｓｋ_ｉを用いて復号可能となる暗号文である。なお、第１シード値Ｋ_１は記憶部１１９に格納される（ステップＳ１０３）。

暗号文ＣＴ’_ｉと共有情報Ｃは通信部１１８に送られ、通信部１１８はこれらを端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）に送信する（ステップＳ１０４）。暗号文ＣＴ’_ｉと共有情報Ｃは、各端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）の通信部１２８−ｉに入力され、記憶部１２９−ｉに格納される。各処理部１２１−ｉは、記憶部１２９−ｉから秘密鍵ｕｓｋ_ｉと暗号文ＣＴ’_ｉとを読み込み、入力された秘密鍵ｕｓｋ_ｉを用い、関数暗号方式に則って、入力された暗号文ＣＴ’_ｉを復号して第１シード値Ｋ_１を生成し、第１シード値Ｋ_１を記憶部１２９−ｉに格納する（ステップＳ１０５）。

各端末装置１２−ｉの処理部１２２−ｉは、記憶部１２９−ｉから共有情報Ｃと端末秘密値ｘ_ｉを読み込み、入力された共有情報Ｃと端末秘密値ｘ_ｉの逆元１／ｘ_ｉとに応じた秘匿化共有情報ＳＣ_ｉを生成し、秘匿化共有情報ＳＣ_ｉを出力する。例えば、処理部１２２−ｉは、ＳＣ_ｉ：＝Ｃ^１／ｘｉを生成する（ステップＳ１０６）。秘匿化共有情報ＳＣ_ｉは、通信部１２８−ｉに送られ、信部１２８−ｉは秘匿化共有情報ＳＣ_ｉを鍵配送管理装置１１に送信する（ステップＳ１０７）。

秘匿化共有情報ＳＣ_ｉ（ただし、ｉ∈［１，ｎ］）は、鍵配送管理装置１１（図２Ａ）の通信部１１８に入力され、記憶部１１９に格納される。配送処理部１１２は、管理秘密値ｘ_ｓを生成して記憶部１１９に格納する（ステップＳ１０８）。配送処理部１１２は、記憶部１１９から秘匿化共有情報ＳＣ_ｉ（共有情報Ｃが秘匿化された秘匿化共有情報ＳＣ_ｉ）と管理秘密値ｘ_ｓを読み込み、入力された秘匿化共有情報ＳＣ_ｉと管理秘密値ｘ_ｓとに応じた第２シード値の秘匿化情報ＳＫ_２，ｉを生成し、第２シード値の秘匿化情報ＳＫ_２，ｉを出力する。例えば、ｘ_ｓ∈Ｚ_ｐとし、配送処理部１１２は、ＳＫ_２，ｉ：＝ＳＣ_ｉ ^ｘｓ＝Ｃ^{（１／ｘｉ）・ｘｓ}を生成する。ただし、上付き添え字の「ｘｓ」は「ｘ_ｓ」を表す。第２シード値の秘匿化情報ＳＫ_２，ｉは通信部１１８に送られ、通信部１１８は第２シード値の秘匿化情報ＳＫ_２，ｉ（ただし、ｉ∈［１，ｎ］）を端末装置１２−ｉに送信する（ステップＳ１０９）。

第２シード値の秘匿化情報ＳＫ_２，ｉ（ただし、ｉ∈［１，ｎ］）は、端末装置１２−ｉ（図２Ｂ）の通信部１２８−ｉに入力され、記憶部１２９−ｉに格納される。各処理部１２３−ｉ（ただし、ｉ∈［１，ｎ］）は、記憶部１２９−ｉから第２シード値の秘匿化情報ＳＫ_２，ｉと端末秘密値ｘ_ｉとを読み込み、入力された第２シード値の秘匿化情報ＳＫ_２，ｉと端末秘密値ｘ_ｉとに応じた第２シード値Ｋ_２を生成して出力する。例えば、処理部１２３−ｉは、Ｋ_２：＝ＳＫ_２，ｉ ^ｘｉ＝Ｃ^{（１／ｘｉ）・ｘｓ・ｘｉ}＝Ｃ^ｘｓを生成する。第２シード値Ｋ_２は記憶部１２９−ｉに格納される（ステップＳ１０９）。

各処理部１２４−ｉ（ただし、ｉ∈［１，ｎ］）は、記憶部１２９−ｉから第１シード値Ｋ_１および第２シード値Ｋ_２を読み込み、第１シード値Ｋ_１を含む情報と第２シード値Ｋ_２を含む情報とに対応する共通鍵Ｋを得て出力する。これにより、端末装置１２−１〜１２−ｎで共通鍵Ｋを共有できる。なお、第１シード値Ｋ_１を含む情報は、第１シード値Ｋ_１のみからなる情報であってもよいし、第１シード値Ｋ_１とその他の情報（公開パラメータやセッションＩＤ等）とからなる情報であってもよい。同様に、第２シード値Ｋ_２を含む情報は、第２シード値Ｋ_２のみからなる情報であってもよいし、第２シード値Ｋ_２とその他の情報（公開パラメータやセッションＩＤ等）とからなる情報であってもよい。また共通鍵Ｋは、第１シード値Ｋ_１を含む情報と第２シード値Ｋ_２を含む情報とから一義的に決まる。安全性の観点から、共通鍵Ｋは、第１シード値Ｋ_１に関する情報および第２シード値Ｋ_２に関する情報が隠蔽された情報であることが望ましい。言い換えると、共通鍵Ｋから第１シード値Ｋ_１に関する情報も第２シード値Ｋ_２に関する情報も漏洩しないことが望ましい。これにより、攻撃者に共通鍵Ｋが漏洩した場合であっても、第１シード値Ｋ_１または第２シード値Ｋ_２の一方を更新し、それらに応じた共通鍵Ｋに更新するだけで、当該攻撃者からの攻撃を防ぐことができる（ステップＳ１１０）。

＜端末装置追加処理＞
端末装置１２−１〜１２−ｎからなるユーザ集合に新たな端末装置１２−（ｎ＋１）を追加し、共通鍵Ｋを更新する処理を説明する。一般性を失うことなく、新たな端末装置を端末装置１２−（ｎ＋１）とすることができる。

図４に例示するように、まず、鍵配送管理装置１１（図２Ａ）の配送処理部１１１が、関数暗号方式に則り、端末装置１２−（ｎ＋１）の識別情報Ｕ_ｎ＋１と有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む情報Ｖ（ｎ＋１，ｔｉｍｅ）に対応する秘密鍵ｕｓｋ_ｎ＋１を生成し、秘密鍵ｕｓｋ_ｎ＋１を端末装置１２−（ｎ＋１）に安全に配送する。秘密鍵ｕｓｋ_ｎ＋１は端末装置１２−（ｎ＋１）（図２Ｂ）の記憶部１２９−（ｎ＋１）に安全に格納される（ステップＳ１１１）。

次に配送処理部１１１は、記憶部１１９から第１シード値Ｋ_１を読み込み、関数暗号方式に則って第１シード値Ｋ_１を暗号化し、端末装置１２−（ｎ＋１）の識別情報Ｕ_ｎ＋１と有効時間区間ＴＦに属する時間に対応する情報を含む情報に対応する秘密鍵ｕｓｋ_ｎ＋１で復号可能な暗号文ＣＴ’_ｎ＋１を生成し、記憶部１１９に格納する。暗号文ＣＴ’_ｎ＋１は、秘密鍵ｕｓｋ_ｎ＋１に対応する識別情報Ｕ_ｎ＋１および時間ｔｉｍｅが論理式Ｐ_ｎ＋１＝（ＩＤ＝Ｕ_ｎ＋１）∧（ｔｉｍｅ∈ＴＦ）を真にする場合に、当該秘密鍵ｕｓｋ_ｎ＋１を用いて復号可能となる暗号文である（ステップＳ１１３）。

配送処理部１１２は、新たな管理秘密値ｘ’_ｓを生成し、記憶部１１９に格納する。配送処理部１１２は、記憶部１１９から共有情報Ｃと新たな管理秘密値ｘ’_ｓとを読み込み、入力された共有情報Ｃと新たな管理秘密値ｘ’_ｓとに応じた新たな共有情報Ｃ’を生成し、記憶部１１９に格納する。例えば、ｘ’_ｓ∈Ｚ_ｐとし、配送処理部１１２は、Ｃ’：＝Ｃ^ｘ’ｓを生成する。ただし、上付き添え字の「ｘ’ｓ」は「ｘ’_ｓ」を表す（ステップＳ１１４）。

暗号文ＣＴ’_ｎ＋１、新たな共有情報Ｃ’、および秘匿化共有情報ＳＣ_ｉ（ただし、ｉ∈［１，ｎ］）が記憶部１１９から読み出されて通信部１１８に送られる。通信部１１８は、これらを端末装置１２−（ｎ＋１）に送信する（ステップＳ１１５）。

暗号文ＣＴ’_ｎ＋１、新たな共有情報Ｃ’、および秘匿化共有情報ＳＣ_ｉ（ただし、ｉ∈［１，ｎ］）は、端末装置１２−（ｎ＋１）（図２Ｂ）の通信部１２８−（ｎ＋１）に入力され、記憶部１２９−（ｎ＋１）に格納される。処理部１２１−（ｎ＋１）は、記憶部１２９−（ｎ＋１）から暗号文ＣＴ’_ｎ＋１と秘密鍵ｕｓｋ_ｎ＋１とを読み込み、入力された秘密鍵ｕｓｋ_ｎ＋１を用い、関数暗号方式に則って、入力された暗号文ＣＴ’_ｎ＋１を復号して第１シード値Ｋ_１を生成して出力する。第１シード値Ｋ_１は記憶部１２９−（ｎ＋１）に格納される（ステップＳ１１６）。

処理部１２２−（ｎ＋１）は、端末秘密値ｘ_ｎ＋１を生成して記憶部１２９−（ｎ＋１）に格納する。処理部１２２−（ｎ＋１）は、記憶部１２９−（ｎ＋１）から秘匿化共有情報ＳＣ_ｉ（ただし、ｉ∈［１，ｎ］）と端末秘密値ｘ_ｎ＋１とを読み込み、入力された秘匿化共有情報ＳＣ_ｉと端末秘密値ｘ_ｎ＋１とに応じた新たな秘匿化共有情報ＳＣ’_ｉ（ただし、ｉ∈［１，ｎ］）を生成して記憶部１２９−（ｎ＋１）に格納する。例えば、ｘ_ｎ＋１∈Ｚ_ｐとし、処理部１２２−（ｎ＋１）は、ＳＣ’_ｉ：＝ＳＣ_ｉ ^ｘｎ＋１＝Ｃ^{（１／ｘｉ）・ｘｎ＋１}を生成する。ただし、上付き添え字の「ｘｎ＋１」は「ｘ_ｎ＋１」を表す。新たな秘匿化共有情報ＳＣ’_ｉは記憶部１２９−（ｎ＋１）から読み出されて通信部１２８−（ｎ＋１）に送られ、通信部１２８−（ｎ＋１）は、新たな秘匿化共有情報ＳＣ’_ｉ（ただし、ｉ∈［１，ｎ］）を鍵配送管理装置１１に送信する（ステップＳ１１８）。

処理部１２３−（ｎ＋１）は、記憶部１２９−（ｎ＋１）から新たな共有情報Ｃ’と端末秘密値ｘ_ｎ＋１とを読み込み、入力された新たな共有情報Ｃ’と端末秘密値ｘ_ｎ＋１とに応じた新たな第２シード値Ｋ’_２を生成して出力する。例えば、処理部１２３−（ｎ＋１）は、Ｋ’_２：＝Ｃ’^ｘｎ＋１＝Ｃ^{ｘ’ｓ・ｘｎ＋１}を生成する。ただし、上付き添え字の「ｘ’ｓ・ｘｎ＋１」は「ｘ’_ｓ・ｘ_ｎ＋１」を表す。新たな第２シード値Ｋ’_２は記憶部１２９−（ｎ＋１）に格納される（ステップＳ１１９）。

新たな秘匿化共有情報ＳＣ’_ｉ（ただし、ｉ∈［１，ｎ］）は、鍵配送管理装置１１（図２Ａ）の通信部１１８に入力され、記憶部１１９に格納される。配送処理部１１２は、記憶部１１９から新たな秘匿化共有情報ＳＣ’_ｉと新たな管理秘密値ｘ’_ｓとを読み込み、入力された新たな秘匿化共有情報ＳＣ’_ｉと新たな管理秘密値ｘ’_ｓとに応じた新たな第２シード値の秘匿化情報ＳＫ’_２，ｉ（ただし、ｉ∈［１，ｎ］）を生成し、記憶部１１９に格納する。例えば、配送処理部１１２は、ＳＫ’_２，ｉ：＝ＳＣ’_ｉ ^ｘ’ｓ＝Ｃ^{（１／ｘｉ）・ｘｎ＋１・ｘ’ｓ}を生成する。新たな第２シード値の秘匿化情報ＳＫ’_２，ｉが記憶部１１９から読み出されて通信部１１８に送られる。通信部１１８は、新たな第２シード値の秘匿化情報ＳＫ’_２，ｉを端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）に送信する（ステップＳ１２０）。

新たな第２シード値の秘匿化情報ＳＫ’_２，ｉは、端末装置１２−ｉ（図２Ｂ）の通信部１２８−ｉに入力され、記憶部１２９−ｉに格納される。処理部１２３−ｉは、記憶部１２９−ｉから、新たな第２シード値の秘匿化情報ＳＫ’_２，ｉと端末秘密値ｘ_ｉとを読み込み、入力された新たな第２シード値の秘匿化情報ＳＫ’_２，ｉと端末秘密値ｘ_ｉとに応じた新たな第２シード値Ｋ’_２を生成して記憶部１２９−ｉに格納する。例えば、処理部１２３−ｉは、Ｋ’_２：＝ＳＫ’_２，ｉ ^ｘｉ＝Ｃ^{ｘ’ｓ・ｘｎ＋１}を生成する。新たな第２シード値Ｋ’_２は記憶部１２９−（ｎ＋１）に格納される（ステップＳ１２１）。

端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）の処理部１２４−ｉは、記憶部１２９−ｉから第１シード値Ｋ_１および新たな第２シード値Ｋ’_２を読み込み、Ｋ_１を含む情報とＫ’_２を含む情報とに対応する共通鍵Ｋ’を生成して出力する。同様に、端末装置１２−（ｎ＋１）の１２４−（ｎ＋１）は、記憶部１２９−（ｎ＋１）から第１シード値Ｋ_１および新たな第２シード値Ｋ’_２を読み込み、Ｋ_２：＝Ｋ’_２とし、Ｋ_１を含む情報とＫ_２を含む情報とに対応する共通鍵Ｋ’を生成して出力する（ステップＳ１２２）。

＜有効期間更新処理＞
端末装置１２−１〜１２−ｎからなるユーザ集合で共通鍵Ｋを共有した後、有効時間区間を更新する処理を説明する。

図５Ａに例示するように、まず鍵配送管理装置１１（図２Ａ）の配送処理部１１１が、関数暗号方式に則り、端末装置１２−ｉの識別情報Ｕ_ｉと新たな有効時間区間ＴＦ’に属する時間ｔｉｍｅ’∈ＴＦ’に対応する情報を含む情報Ｖ（ｉ，ｔｉｍｅ’）に対応する秘密鍵ｕｓｋ’_ｉを生成し、各秘密鍵ｕｓｋ’_ｉを端末装置１２−ｉに安全に配送する。秘密鍵ｕｓｋ’_ｉは端末装置１２−ｉ（図２Ｂ）の記憶部１２９−ｉに安全に格納される（ステップＳ１３０）。

鍵配送管理装置１１（図２Ａ）の配送処理部１１１は、新たな第１シード値Ｋ’_１を生成し、関数暗号方式に則って新たな第１シード値Ｋ’_１を暗号化し、端末装置１２−ｉの識別情報Ｕ_ｉと新たな有効時間区間ＴＦ’に属する時間に対応する情報を含む情報に対応する秘密鍵ｕｓｋ’_ｉで復号可能な新たな暗号文ＣＴ”_ｉを生成し、新たな暗号文ＣＴ”_ｉ（ただし、ｉ∈［１，ｎ］）を出力する。この暗号文ＣＴ”_ｉは、秘密鍵ｕｓｋ’_ｉに対応する識別情報Ｕ_ｉおよび時間ｔｉｍｅ’が論理式Ｐ_ｉ：＝（ＩＤ＝Ｕ_ｉ）∧（ｔｉｍｅ’∈ＴＦ’）を真にする場合に、当該秘密鍵ｕｓｋ’_ｉを用いて復号可能となる暗号文である（ステップＳ１３１）。

暗号文ＣＴ”_ｉは通信部１１８に送られ、通信部１１８はこれらを端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）に送信する（ステップＳ１３２）。暗号文ＣＴ”_ｉは、各端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）の通信部１２８−ｉに入力され、記憶部１２９−ｉに格納される。各処理部１２１−ｉは、記憶部１２９−ｉから秘密鍵ｕｓｋ’_ｉと暗号文ＣＴ”_ｉを読み込み、入力された秘密鍵ｕｓｋ’_ｉを用い、関数暗号方式に則って、入力された暗号文ＣＴ”_ｉを復号して新たな第１シード値Ｋ’_１を生成し、新たな第１シード値Ｋ’_１を記憶部１２９−ｉに格納する（ステップＳ１３３）。

端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）の処理部１２４−ｉは、記憶部１２９−ｉから新たな第１シード値Ｋ’_１および第２シード値Ｋ_２を読み込み、Ｋ_１：＝Ｋ’_１とし、Ｋ_１を含む情報とＫ_２を含む情報とに対応する共通鍵Ｋ”を生成して出力する（ステップＳ１３４）。

＜端末装置削除処理＞
共通鍵Ｋを共有した端末装置１２−１〜１２−ｎからなるユーザ集合から端末装置１２−ｊを削除し、端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）で新たな共通鍵を共有する処理を説明する。ｉ∈［１，ｎ］＼ｊは、集合［１，ｎ］からｊを除いた補集合を表す。

図５Ｂに例示するように、まず配送処理部１１２は、新たな管理秘密値ｘ”_ｓを生成して記憶部１１９に格納する（ステップＳ１３５）。配送処理部１１２は、記憶部１１９から秘匿化共有情報ＳＣ_ｉ（共有情報Ｃが秘匿化された秘匿化共有情報ＳＣ_ｉ）と新たな管理秘密値ｘ”_ｓとを読み込み、入力された秘匿化共有情報ＳＣ_ｉと新たな管理秘密値ｘ”_ｓとに応じた新たな第２シード値の秘匿化情報ＳＫ”_２，ｉを生成し、新たな第２シード値の秘匿化情報ＳＫ”_２，ｉを出力する（ただし、ｉ∈［１，ｎ］＼ｊ）。例えば、ｘ”_ｓ∈Ｚ_ｐとし、配送処理部１１２は、ＳＫ”_２，ｉ：＝ＳＣ_ｉ ^ｘ”ｓ＝Ｃ^{（１／ｘｉ）・ｘ”ｓ}を生成する。新たな第２シード値の秘匿化情報ＳＫ”_２，ｉは通信部１１８に送られ、通信部１１８は新たな第２シード値の秘匿化情報ＳＫ”_２，ｉを端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）に送信する（ステップＳ１３６）。

新たな第２シード値の秘匿化情報ＳＫ”_２，ｉは、端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）（図２Ｂ）の通信部１２８−ｉに入力され、記憶部１２９−ｉに格納される。各処理部１２３−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）は、記憶部１２９−ｉから新たな第２シード値の秘匿化情報ＳＫ”_２，ｉと端末秘密値ｘ_ｉとを読み込み、入力された新たな第２シード値の秘匿化情報ＳＫ”_２，ｉと端末秘密値ｘ_ｉとに応じた新たな第２シード値Ｋ”_２を生成して出力する。例えば、処理部１２３−ｉは、Ｋ”_２：＝ＳＫ”_２，ｉ ^ｘｉ＝Ｃ^{（１／ｘｉ）・ｘ”ｓ・ｘｉ}＝Ｃ^ｘ”ｓを生成する。第２シード値Ｋ”_２は記憶部１２９−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）に格納される（ステップＳ１３７）。

端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）の処理部１２４−ｉは、記憶部１２９−ｉから第１シード値Ｋ_１および新たな第２シード値Ｋ”_２を読み込み、Ｋ_２：＝Ｋ”_２とし、Ｋ_１を含む情報とＫ_２を含む情報とに対応する共通鍵Ｋ”’を生成して出力する（ステップＳ１３８）。

＜本形態の特徴＞
本形態の鍵配送処理では、鍵配送管理装置１１が、関数暗号方式に則って、端末装置１２−ｉの識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む情報Ｖ（Ｕ_ｉ，ｔｉｍｅ）に対応する秘密鍵ｕｓｋ_ｉで復号可能なように第１シード値Ｋ_１を暗号化し、それによって得られた暗号文ＣＴ’_ｉを各端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）に送信する。各端末装置１２−ｉは、安全に格納しておいた秘密鍵ｕｓｋ_ｉを用いて暗号文ＣＴ’_ｉを復号して第１シード値Ｋ_１を得る。秘密鍵ｕｓｋ_ｉを知らない通信路上の攻撃者は暗号文ＣＴ’_ｉを復号できないため第１シード値Ｋ_１を得ることができない。これにより、通信路上の成り済ましによる共通鍵Ｋの改ざんを防止できる。また、秘密鍵ｕｓｋ_ｉは有効時間区間ＴＦに属する時間ｔｉｍｅだけではなく、各端末装置１２−ｉの識別情報Ｕ_ｉにも対応するため、他の端末装置に成り済ますことも防止できる。他の端末装置の成り済ましの問題がないのであれば、秘密鍵ｕｓｋ_ｉが有効時間区間ＴＦに属する時間ｔｉｍｅに対応し、識別情報Ｕ_ｉに対応しないものであってもよい。

また、秘密鍵ｕｓｋ_ｉは有効時間区間ＴＦに属する時間で生成された暗号文ＣＴ’_ｉのみを復号でき、有効時間区間ＴＦ以外の時間で生成された暗号文を復号できない。そのため、端末装置１２−ｉの紛失等によって秘密鍵ｕｓｋ_ｉが漏洩した場合であっても、有効時間区間を更新することで秘密鍵を無効化できる。

さらに、本形態では鍵配送管理装置１１が端末装置１２−ｉ（ただし、ｉ∈［１，ｎ］）の間の通信を中継する。各端末装置１２−ｉはユニキャストによって鍵配送管理装置１１にデータを送信し、端末装置１２−ｉ同士は直接通信を行わない。ブロードキャストのように計算・通信コストが端末装置数に依存する処理は、鍵配送管理装置１１のみによって行われる。これにより、端末装置数によらず、各端末装置１２−ｉの計算・通信コストを一定にできる。

本形態の共通鍵Ｋは、第１シード値Ｋ_１を含む情報と第２シード値Ｋ_２を含む情報とに対応する。ここで、第１シード値Ｋ_１の配信には比較的計算コストが大きな関数暗号方式を利用する必要があるが、第２シード値Ｋ_２の配信には関数暗号方式を用いる必要がない。そのため、有効時間区間ＴＦ内であれば、関数暗号方式を利用することなく共通鍵Ｋを更新できる。例えば、有効時間区間ＴＦ内であれば、関数暗号方式を利用することなく、端末装置追加処理や端末装置削除処理を実行して共通鍵Ｋを更新できる。これにより、できるだけ小さな計算コストで、端末装置追加処理で新たに追加された端末装置が追加前に共有されていた共有鍵を取得することを防止したり、端末装置削除処理で削除された端末装置が取得できない共通鍵へ更新をしたりすることができる。

なお、秘密鍵を格納するデバイスとして例えば参考文献４（Java Card API and Export File for Card Specification v2.2.1 (org. global platform) v1.6, http://www.safenet-inc.jp/data-encryption/hardware-security-modules-hsms/luna-hsms-key-management/luna-sa-network-hsm/）に開示された装置が利用可能である。

その他、鍵配送管理装置１１と端末装置１２−ｈ（ただし、ｈ∈［１，Ｎ］）との通信時に、送信側の装置が一般的な存在的偽造不可能性を満たす電子署名を生成して送信情報に添付し、受信側の装置が電子署名の検証を行い、検証に成功した場合にのみ処理を継続してもよい。これにより、通信路上での改ざんに対する耐性が向上する。存在的偽造不可能性を満たす電子署名は、例えば、参考文献５（Mihir Bellare, Phillip Rogaway: Random Oracles are Practical: A Paradigm for Designing Efficient Protocols. ACM Conference on Computer and Communications Security 1993: 62-73）に開示されている。

［第２実施形態］
次に、本発明の第２実施形態を説明する。なお、第１実施形態と共通する事項については第１実施形態と同じ参照記号を用い、説明を省略する。
＜準備＞
ある集合Ｓｅｔについて、Ｓｅｔから要素ωをランダムに選ぶことをω∈_ＲＳｅｔと表記する。あるアルゴリズムＡＬＧについて、入力ｘと乱数ｒ（確定的アルゴリズムの場合は、乱数は空）に対してＡＬＧがｙを出力することをｙ←ＡＬＧ（ｘ；ｒ）またはＡＬＧ（ｘ；ｒ）→ｙと表記する。「｜Φ｜」は値Φのビット長を表す。集合Ｘ＝｛ｘ_１，・・・，ｘ_ｎ｝についてｇ^{ｘ１・ｘ２・...・ｘｎ}をｇ^ΠＸと表記する。Ｘが空集合の場合にはΠＸ＝１となる。ただし、Ｇを位数ｐの乗法巡回群とし、ｇ∈Ｇを群Ｇの生成元とする。

Ｆ＝｛Ｆ_κ：Ｄｏｍ_κ×ＦＳ_κ→Ｒｎｇ_κ｝_κを、セキュリティパラメータκ上で定められた定義域｛Ｄｏｍ_κ｝_κ、鍵空間｛ＦＳ_κ｝_κ、値域｛Ｒｎｇ_κ｝_κを持つ関数族とする。この時、もし多項式時間の識別者Ｄに対して、Ｆ_κと真性ランダム関数ＲＦ_κ：Ｄｏｍ_κ→Ｒｎｇ_κが見分けられなければ、Ｆ＝｛Ｆ_κ｝_κを擬似ランダム関数族と呼ぶ。

公開鍵暗号アルゴリズムを（ＥＧｅｎ，Ｅｎｃ，Ｄｅｃ）とする。鍵生成アルゴリズムＥＧｅｎはκを入力とし、暗号化鍵ｅｋと復号鍵ｄｋを出力する。暗号化アルゴリズムＥｎｃは暗号化鍵ｅｋと平文ｍを入力とし、暗号文ＣＴを出力する。復号アルゴリズムＤｅｃは復号鍵ｄｋと暗号文ＣＴを入力とし、平文ｍを出力する。

電子署名アルゴリズムを（ＳＧｅｎ，Ｓｉｇｎ，Ｖｅｒ）とする。鍵生成アルゴリズムＳＧｅｎはκを入力とし、検証鍵ｖｋと署名鍵ｓｋを出力する。署名生成アルゴリズムＳｉｇｎは署名鍵ｓｋと文書Ｍを入力とし、署名σを出力する。署名検証アルゴリズムＶｅｒは検証鍵ｖｋ、文書Ｍと署名σを入力とし、検証結果（検証成功／検証失敗）を出力する。

関数暗号アルゴリズムを（Ｓｅｔｕｐ，Ｄｅｒ，ＦＥｎｃ，ＦＤｅｃ）とする。セットアップアルゴリズムＳｅｔｕｐはκを入力とし、マスタ秘密鍵ｍｓｋと公開パラメータＰａｒａｍｓを出力する。鍵導出アルゴリズムＤｅｒは公開パラメータＰａｒａｍｓ、マスタ秘密鍵ｍｓｋと属性情報Ｖを入力とし、秘密鍵ｕｓｋを出力する。暗号化アルゴリズムＦＥｎｃは公開パラメータＰａｒａｍｓ、論理式Ｐに対応するアクセス構造と平文ｍを入力とし、暗号文ＣＴを出力する。復号アルゴリズムＦＤｅｃはユーザ秘密鍵ｕｓｋと暗号文ＣＴを入力とし、属性情報Ｖが論理式Ｐを真にする（論理式Ｐに対応するアクセス構造が属性情報を受け入れる）ならば平文ｍを出力する。

関数ｔＰＲＦ：｛０,１｝^κ×ＦＳ_κ×｛０,１｝^κ×ＦＳ_κ→Ｚ_ｐを「ねじれ擬似ランダム関数（例えば「Atsushi Fujioka, Koutarou Suzuki, Keita Xagawa, Kazuki Yoneyama: Strongly Secure Authenticated Key Exchange from Factoring, Codes, and Lattices. IACR Cryptology ePrint Archive 2012: 211 (2012)，http://eprint.iacr.org/2012/211」等参照）と呼び、擬似ランダム関数Ｆ_κを用いてｔＰＲＦ（ａ，ｂ，ａ’，ｂ’）：＝Ｆ_κ（ａ，b）（＋）Ｆ_κ（ａ’，ｂ’）と定義する。ただし、ａ，ａ’∈｛０,１｝^κであり、ｂ’，ｂ’∈ＦＳ_κである。｛０，１｝^κはκビット列を表し、「α（＋）β」はαとβとの排他的論理和を表す。

＜構成＞
図１に例示するように、本形態の鍵配送システム２は、端末装置２２−１〜２２−Ｎと鍵配送管理装置２１とを有する。ただし、Ｎは３以上の整数である。端末装置２２−１〜２２−Ｎと鍵配送管理装置２１とはインターネット等の安全ではない通信路を通じて通信可能に構成されている。

図６に例示するように、本形態の鍵配送管理装置２１は、制御部２１０と秘密鍵生成部２１０１と秘密鍵暗号化部２１０２と署名生成部２１０３と署名検証部２１０４と第１シード値生成部２１１１（第１，６配送処理部）と第１シード値暗号化部２１１２（第１，６配送処理部）と管理秘密値生成部２１２１（第２〜５配送処理部）と第２シード値秘匿化情報生成部２１２２（第２〜５配送処理部）と通信部２１８と記憶部２１９とを有する。

図７に例示するように、本形態の端末装置２２−ｈは、制御部２２０−ｈと秘密鍵復号部２２０１−ｈと端末秘密値生成部２２０２−ｈと公開情報生成部２２０３−ｈと署名生成部２２０４−ｈと署名検証部２２０５−ｈと第１シード値復号部２２１−ｈ（第１処理部）と秘匿化共有情報生成部２２２−ｈ（第２，６処理部）と第２シード値生成部２２３−ｈ（第３，５，７処理部）と共通鍵生成部２２４−ｈ（第４処理部）と通信部２２８−ｈと記憶部２２９−ｈとを有する。ただし、ｈ∈［１，Ｎ］である。

各装置は、例えば、上述のようなコンピュータが所定のプログラムを実行することで構成される装置であってもよいし、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、各装置は自らが備える制御部２１０，２２０−ｈの制御に基づいて各処理を実行する。各装置の各処理で得られたデータは、逐一、それぞれが備える記憶部２１９，２２９−ｈに格納され、必要に応じて読み出されて使用される。

＜システムセットアップ＞
鍵配送管理装置２１（図６）の制御部２１０は、関数暗号のセットアップアルゴリズムＳｅｔｕｐにより、公開パラメータＰａｒａｍｓとマスタ秘密鍵ｍｓｋを生成する。また制御部２１０は、公開鍵暗号の鍵生成アルゴリズムＥＧｅｎにより、暗号化鍵ｅｋ_ｓと復号鍵ｄｋ_ｓを生成し、電子署名の鍵生成アルゴリズムＳＧｅｎにより、検証鍵ｖｋ_ｓと署名鍵ｓｋ_ｓを生成する。各端末装置２２−ｈ（図７）の制御部２２０−ｈは、公開鍵暗号の鍵生成アルゴリズムＥＧｅｎにより、暗号化鍵ｅｋ_ｈと復号鍵ｄｋ_ｈを生成し、電子署名の鍵生成アルゴリズムＳＧｅｎにより、検証鍵ｖｋ_ｈと署名鍵ｓｋ_ｈを生成する。また制御部２２０−ｈは、秘密ストリング（ｓｔ_ｈ，ｓｔ’_ｈ）をそれぞれｓｔ_ｈ∈ＦＳ_κ、ｓｔ’_ｈ∈｛０，１｝^κとして生成する。また、鍵配送管理装置２１の識別情報Ｓおよび各端末装置２２−ｈの識別情報Ｕ_ｈが設定される。

Ｓ、Ｕ_１，・・・，Ｕ_Ｎ、Ｐａｒａｍｓは、鍵配送管理装置２１の記憶部２１９および各端末装置２２−ｈの記憶部２２９−ｈ（ただし、ｈ∈［１，Ｎ］）に格納される。鍵配送管理装置２１の記憶部２１９には、さらにｍｓｋ、ｓｋ_ｓ、ｅｋ_１，・・・，ｅｋ_Ｎ、ｖｋ_１，・・・，ｖｋ_Ｎが格納される。各端末装置２２−ｈの記憶部２２９−ｈには、さらにｄｋ_ｈ、ｓｋ_ｈ、ｓｔ_ｈ、ｓｔ’_ｈ、ｅｋ_ｓ、ｖｋ_ｓが格納される。

＜鍵配送処理＞
以下、端末装置２２−１〜２２−Ｎからなる集合の部分集合（ユーザ集合）である端末装置２２−σ（１）〜２２−σ（ｎ）がセッションを立ち上げ、共通鍵を共有する処理を説明する。ただし、ｎは２以上Ｎ以下の整数であり、｛σ（１），・・・，σ（ｎ）｝⊂｛１，・・・，Ｎ｝であるとする。以降、記述を簡単にするために、一般性を失うことなく（σ（１），・・・，σ（ｎ））＝（１，・・・，ｎ）と仮定することにする。セッションには、固有のセッション識別情報ｓｉｄが付され、ｓｉｄは鍵配送管理装置２１の記憶部２１９および各端末装置２２−ｉの記憶部２２９−ｉ（ただし、ｉ∈［１，ｎ］）に格納される。セッション識別情報ｓｉｄは例えば、鍵配送管理装置２１によって付される。

≪関数暗号方式に則った秘密鍵の配送≫
そのセッションが有効時間区間（タイムフレーム）ＴＦにおける最初のセッションであった場合、関数暗号方式に則った秘密鍵の配送が行われる。この場合、図８に例示するように、まず鍵配送管理装置２１（図６）の秘密鍵生成部２１０１が、記憶部２１９からＰａｒａｍｓ、ｍｓｋを読み込み、関数暗号方式に則り、端末装置２２−ｉの識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む属性情報Ｖ_ｉ：＝Ｖ（Ｕ_ｉ，ｔｉｍｅ）に対応する秘密鍵ｕｓｋ_ｉ：＝Ｄｅｒ（Ｐａｒａｍｓ，ｍｓｋ，Ｖ_ｉ）（ただし、ｉ∈［１，ｎ］）を生成して出力する。秘密鍵ｕｓｋ_ｉは記憶部２１９に格納される（ステップＳ２０１１）。秘密鍵暗号化部２１０２は、記憶部２１９から秘密鍵ｕｓｋ_ｉおよび暗号化鍵ｅｋ_ｉを読み込み、暗号化鍵ｅｋ_ｉを用いて秘密鍵ｕｓｋ_ｉを暗号化し、暗号文ＣＴ_ｉ←Ｅｎｃ_ｅｋｉ（ｕｓｋ_ｉ）を生成して出力する。ただし、下付き添え字の「ｅｋｉ」は「ｅｋ_ｉ」を表す（ステップＳ２０１２）。暗号文ＣＴ_ｉ（ただし、ｉ∈［１，ｎ］）は通信部２１８に送られ、通信部２１８は暗号文ＣＴ_ｉを端末装置２２−ｉに送信する。各暗号文ＣＴ_ｉは端末装置２２−ｉ（図７）の通信部２２８−ｉに入力され、記憶部２２９−ｉに格納される（ステップＳ２０１３）。秘密鍵復号部２２０１−ｉは、記憶部２２９−ｉから復号鍵ｄｋ_ｉおよび暗号文ＣＴ_ｉを読み込み、復号鍵ｄｋ_ｉを用いて暗号文ＣＴ_ｉを復号して秘密鍵ｕｓｋ_ｉ←Ｄｅｃ_ｄｋｉ（ＣＴ_ｉ）を生成して出力する。ただし、下付き添え字の「ｄｋｉ」は「ｄｋ_ｉ」を表す。秘密鍵ｕｓｋ_ｉは、端末装置２２−ｉの記憶部２２９−ｉに安全に格納される（ステップＳ２０１４）。なお、セッションが有効時間区間ＴＦにおける最初のセッションでない場合には、ステップＳ２０１１からＳ２０１４の処理が省略されてもよい。

≪共有情報の生成≫
次に、鍵配送管理装置２１および端末装置２２−１〜２２−ｎが協力して共有情報Ｃ＝ｇ^{Π｛ｘｉ｜ｉ∈［１，ｎ］｝}を生成する。図９に例示するように、まず端末装置２２−１（図７）の端末秘密値生成部２２０２−１は、記憶部２２９−１からｓｔ_１とｓｔ’_１を読み込み、ｒ_１∈_Ｒ｛０，１｝^κとｒ’_１∈_ＲＦＳ_κを生成し、端末秘密値ｘ_１←ｔＰＲＦ（ｒ_１，ｓｔ_１，ｓｔ’_１，ｒ’_１）を生成して出力する。端末秘密値ｘ_１は記憶部２２９−１に格納される（ステップＳ２０２２−１）。

公開情報生成部２２０３−１は、記憶部２２９−１から端末秘密値ｘ_１を読み込んでｇ^ｘ１∈Ｇを生成する。署名生成部２２０３−１は、記憶部２２９−１から署名鍵ｓｋ_１および識別情報Ｓ，Ｕ_１，・・・，Ｕ_ｎを読み込み、署名σ_１←Ｓｉｇ_ｓｋ１（Ｕ_１，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ，ｇ^ｘ１）を生成する。（Ｕ_１，ｇ^ｘ１，σ_１）は通信部２２８−１に送られ、通信部２２８−１は（Ｕ_１，ｇ^ｘ１，σ_１）を鍵配送管理装置２１に送信する（ステップＳ２０２３−１）。

その後、ｗ∈［１，ｎ−１］について、鍵配送管理装置２１と端末装置２２−ｉとの間で次のように通信を行う。ただし、ｗ∈［１，ｎ−１］の範囲では、実行する順序が前後してもかまわない。
端末装置２２−ｉから送信された（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}，σ_ｉ）は、鍵配送管理装置２１（図６）の通信部２１８に入力され、記憶部２１９に格納される。署名検証部２１０４は、記憶部２１９から検証鍵ｖｋ_ｉおよび署名σ_ｉを読み込み、検証鍵ｖｋ_ｉを用い、署名σ_ｉをＶｅｒ_ｖｋｉ（（Ｕ_ｉ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ−１］｝}，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}），σ_ｉ）として検証する。ただし、ｉ＝１でのｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ−１］｝}は公開情報ｇ^{Π｛ｘｋ｜ｋ∈［１，０］｝}：＝ｇであり、ｉ∈［２，ｎ−１］でのｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ−１］｝}は既に端末装置２２−（ｉ−１）から受け取っているものとする（ステップＳ２０２４−ｉ）。ここで、署名σ_ｉが正当でない（検証失敗）と判断された場合、セッションを終了する。一方、署名σ_ｉが正当である（検証成功）と判断された場合、（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}）が通信部２１８に送られ、通信部２１８は（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}）を端末装置２２−（ｉ＋１）に送信する（ステップＳ２０２１−（ｉ＋１））。（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}）は、端末装置２２−（ｉ＋１）（図７）の通信部２２８−（ｉ＋１）に入力され、記憶部２２９−（ｉ＋１）に格納される。端末装置２２−（ｉ＋１）の端末秘密値生成部２２０２−（ｉ＋１）は、記憶部２２９−（ｉ＋１）からｓｔ_ｉ＋１とｓｔ’_ｉ＋１を読み込み、ｒ_ｉ＋１∈_Ｒ｛０，１｝^κとｒ’_ｉ＋１∈_ＲＦＳ_κを生成し、端末秘密値ｘ_ｉ＋１←ｔＰＲＦ（ｒ_ｉ＋１，ｓｔ_ｉ＋１，ｓｔ’_ｉ＋１，ｒ’_ｉ＋１）を生成して出力する。端末秘密値ｘ_ｉ＋１は記憶部２２９−（ｉ＋１）に格納される（ステップＳ２０２２−（ｉ＋１））。公開情報生成部２２０３−（ｉ＋１）は、記憶部２２９−（ｉ＋１）から端末秘密値ｘ_ｉ＋１およびｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}を読み込み、ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ＋１］｝}：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝・ｘｉ＋１}∈Ｇを生成する。ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ＋１］｝}は記憶部２２９−（ｉ＋１）に格納される。署名生成部２２０４−（ｉ＋１）は、記憶部２２９−（ｉ＋１）から署名鍵ｓｋ_ｉ＋１および識別情報Ｓ，Ｕ_１，・・・，Ｕ_ｎを読み込み、署名σ_ｉ＋１←Ｓｉｇ_{ｓｋｉ＋１}（Ｕ_ｉ＋１，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ］｝}，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ＋１］｝}）を生成する。ただし、下付き添え字の「ｓｋｉ＋１」は「ｓｋ_ｉ＋１」を表す。（Ｕ_ｉ＋１，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ＋１］｝}，σ_ｉ＋１）は通信部２２８−（ｉ＋１）に送られ、通信部２２８−（ｉ＋１）は（Ｕ_ｉ＋１，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｉ＋１］｝}，σ_ｉ＋１）を鍵配送管理装置２１に送信する（ステップＳ２０２３−（ｉ＋１））。

上記の処理の結果、最後のステップＳ２０２３−ｎでは、共有情報Ｃ＝ｇ^{Π｛ｘｉ｜ｉ∈［１，ｎ］｝}＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}を含む（Ｕ_ｎ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，σ_ｎ）が鍵配送管理装置２１に送信される。（Ｕ_ｎ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，σ_ｎ）は、鍵配送管理装置２１（図６）の通信部２１８に入力され、記憶部２１９に格納される。署名検証部２１０４は、記憶部２１９から検証鍵ｖｋ_ｎ、識別情報Ｕ_１，・・・，Ｕ_ｎ，Ｓ、および署名σ_ｎを読み込み、検証鍵ｖｋ_ｎを用い、署名σ_ｎをＶｅｒ_ｖｋｉ（（Ｕ_ｎ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ−１］｝}，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}），σ_ｉ）として検証する（ステップＳ２０２４−ｎ）。ここで、署名σ_ｎが正当でないと判断された場合、セッションを終了する。一方、署名σ_ｎが正当であると判断された場合、シード値の共有処理に移る。

≪シード値の共有処理≫
図１０に例示するように、シード値の共有処理では、まず鍵配送管理装置２１（図６）の第１シード値生成部２１１１が第１シード値Ｋ_１∈_ＲＦＳ_κを生成し、記憶部２１９に格納する（ステップＳ２０３１）。次に、第１シード値暗号化部２１１２が記憶部２１９からＰａｒａｍｓおよび第１シード値Ｋ_１を読み込み、関数暗号方式に則って第１シード値Ｋ_１を暗号化し、端末装置２２−ｉの識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間ｔｉｍｅに対応する情報を含む属性情報Ｐ_ｉ：＝（ＩＤ＝Ｕ_ｉ）∧（ｔｉｍｅ∈ＴＦ）に対応する秘密鍵で復号可能な暗号文ＣＴ’_ｉ←ＦＥｎｃ（Ｐａｒａｍｓ，Ｐ_ｉ，Ｋ_１）を生成して記憶部２１９に格納する（ステップＳ２０３２）。署名生成部２１０３は、記憶部２１９から署名鍵ｓｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ、共有情報Ｃ＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}、暗号文ＣＴ’_ｗを読み込み、ｗ∈［１，ｎ−１］について署名σ_ｓｗ←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，ＣＴ’_ｗ）を生成する。また、ｎについて署名σ_ｓｎ←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ＣＴ’_ｎ）を生成する。ｗ∈［１，ｎ−１］について（Ｕ_ｗ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，ＣＴ’_ｗ，σ_ｓｗ）が通信部２１８に送られ、通信部２１８は（Ｕ_ｗ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，ＣＴ’_ｗ，σ_ｓｗ）を端末装置２２−ｗに送信する。（Ｕ_ｗ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，ＣＴ’_ｗ，σ_ｓｗ）は端末装置２２−ｗの通信部２２８−ｗに入力され、記憶部２２９−ｗに格納される。ｎについて（Ｕ_ｎ，ＣＴ’_ｎ，σ_ｓｎ）が通信部２１８に送られ、通信部２１８は（Ｕ_ｎ，ＣＴ’_ｎ，σ_ｓｎ）を端末装置２２−ｎに送信する。（Ｕ_ｎ，ＣＴ’_ｎ，σ_ｓｎ）は端末装置２２−ｎの通信部２２８−ｎに入力され、記憶部２２９−ｎに格納される。なお、記憶部２２９−ｎには、前述のステップＳ２０２３−ｎの過程で既にｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}が格納されている（ステップＳ２０３１）。

端末装置２２−ｗ（ただし、ｗ∈［１，ｎ−１］）の署名検証部２２０５−ｗは、記憶部２２９−ｗから検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ、共有情報Ｃ＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}、暗号文ＣＴ’_ｗ、および署名σ_ｓｗを読み込み、検証鍵ｖｋ_ｓを用い、署名σ_ｓｗをＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}，ＣＴ’_ｗ），σ_ｓｗ）として検証する（ステップＳ２０５１−ｗ）。ここで、署名σ_ｓｗが正当でないと判断された場合、セッションを終了する。一方、署名σ_ｓｗが正当であると判断された場合、ステップＳ２０５２−ｗの処理に進む。端末装置２２−ｎの署名検証部２２０５−ｎは、記憶部から検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ、暗号文ＣＴ’_ｎを読み込み、検証鍵ｖｋ_ｓを用い、署名σ_ｓｉをＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ＣＴ’_ｎ），σ_ｓｎ）として検証する（ステップＳ２０５１−ｎ）。ここで、署名σ_ｓｎが正当でないと判断された場合、セッションを終了する。一方、署名σ_ｓｎが正当であると判断された場合、ステップＳ２０５２−ｎの処理に進む。

ステップＳ２０５２−ｉ（ただし、ｉ∈［１，ｎ］）では、端末装置２２−ｉ（図７）の第１シード値復号部２２１−ｉが、記憶部２２９−ｉから秘密鍵ｕｓｋ_ｉおよび暗号文ＣＴ’_ｉを読み込み、秘密鍵ｕｓｋ_ｉを用い、関数暗号方式に則って暗号文ＣＴ’_ｉをＫ_１←ＦＤｅｃ_ｕｓｋｉ（ＣＴ’_ｉ，Ｐ_ｉ）として復号して第１シード値Ｋ_１を生成して出力する。第１シード値Ｋ_１は記憶部２２９−ｉに格納される（ステップＳ２０５２−ｉ）。

次に、秘匿化共有情報生成部２２２−ｉ（ただし、ｉ∈［１，ｎ］）は、記憶部２２９−ｉから共有情報Ｃ＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}および端末秘密値ｘ_ｉを読み込み、共有情報Ｃと端末秘密値の逆元１／ｘ_ｉとに応じた秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝／ｘｉ}を生成して出力する。秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}は記憶部２２９−ｉに格納される（ステップＳ２０６−ｉ）。

署名生成部２２０４−ｉは、記憶部２２９−ｉから、署名鍵ｓｋ_ｉ、識別情報Ｓ，Ｕ_１，・・・，Ｕ_ｎ、秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}を読み込み、署名σ’_ｉ←Ｓｉｇ_ｓｋｉ（Ｕ_ｉ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}）を生成する。（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}，σ’_ｉ）は通信部２２８−ｉに送られ、通信部２２８−ｉは（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}，σ’_ｉ）を鍵配送管理装置２１に送信する（ステップＳ２０７−ｉ）。

図１１に例示するように、各端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］）から送信された（Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}，σ’_ｉ）は、鍵配送管理装置２１の通信部２１８に入力され、記憶部２１９に格納される。署名検証部２１０４は、記憶部２１９から検証鍵ｖｋ_ｉ、識別情報Ｕ_１，・・・，Ｕ_ｎ，Ｓ、秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}、および署名σ’_ｉを読み込み、検証鍵ｖｋ_ｉを用い、署名σ’_ｉをＶｅｒ_ｖｋｉ（（Ｕ_ｉ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}），σ’_ｉ）として検証する（ステップＳ２０８１）。ここで、何れかの署名σ’_ｉが正当でないと判断された場合、セッションを終了する。一方、すべての署名σ’_ｉが正当であると判断された場合、管理秘密値生成部２１２１が管理秘密値ｘ_ｓ∈_ＲＺ_ｐを生成して記憶部２１９に格納する（ステップＳ２０８２）。第２シード値秘匿化共有情報部２１２２は、記憶部２１９から秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}および管理秘密値ｘ_ｓを読み込み、秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}と管理秘密値ｘ_ｓとに応じた第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}（ただし、ｉ∈［１，ｎ］）を生成する。第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}は記憶部２１９に格納される（ステップＳ２０９１）。署名生成部２１０３は、記憶部２１９から署名鍵ｓｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ、および第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}を読み込み、ｉ∈［１，ｎ］について署名σ’_ｓｉ←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}）を生成する。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}，σ’_ｓｉ)は通信部２１８に送られ、通信部２１８は、(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}，σ’_ｓｉ)を端末装置２２−ｉに送信する。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}，σ’_ｓｉ)は、端末装置２２−ｉ（図７）の通信部２２８−ｉに入力され、記憶部２２９−ｉに格納される（ステップＳ２０９２）。

端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］）の署名検証部２２０５−ｉは、記憶部２２９−ｉから検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ、ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}、および署名σ’_ｓｉを読み込み、検証鍵ｖｋ_ｓを用い、署名σ’_ｓｉをＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}），σ’_ｓｉ）として検証する（ステップＳ２１０１−ｉ）。ここで、署名σ’_ｓｉが正当でないと判断された場合、セッションを終了する。一方、署名σ’_ｓｉが正当であると判断された場合、第２シード値生成部２２３−ｉが、記憶部２２９−ｉから第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}および端末秘密値ｘ_ｉを読み込み、第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ}と端末秘密値ｘ_ｉとに応じた第２シード値Ｋ_２：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｓ・ｘｉ}＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘｓ}を生成して出力する。第２シード値Ｋ_２は記憶部２２９−ｉに格納される（ステップＳ２１０２−ｉ）。

共通鍵生成部２２４−ｉ（ただし、ｉ∈［１，ｎ］）は、記憶部２２９−ｉから、セッション識別情報ｓｉｄ、第１シード値Ｋ_１、および第２シード値Ｋ_２を読み込み、擬似ランダム関数Ｆ_κを用い、第１シード値Ｋ_１を含む情報と第２シード値Ｋ_２を含む情報とに対応する共通鍵Ｋ＝Ｆ_κ（ｓｉｄ，Ｋ_１）（＋）Ｆ_κ（ｓｉｄ，Ｋ_２）を生成して出力する。このように生成された共通鍵Ｋは、第１シード値Ｋ_１に関する情報および第２シード値Ｋ_２に関する情報が隠蔽された情報となる（ステップＳ２１１）。

＜端末装置追加処理＞
端末装置２２−１〜２２−ｎにより既に確立されたセッションに、新たな端末装置２２−（ｎ＋１）を追加し、共通鍵Ｋを更新する処理を説明する。本形態でも、一般性を失うことなく、新たな端末装置を端末装置２２−（ｎ＋１）とすることができる。

上述した確立されたセッションでの有効時間区間が終了し、端末装置２２−１〜２２−ｎにとって新たな有効時間区間ＴＦでセッションを行うことになる場合、前述した関数暗号方式に則った秘密鍵ｕｓｋ_ｉ（ただし、ｉ∈［１，ｎ］）の配送が行われる（図８：ステップＳ２０１１〜Ｓ２０１４）。この処理は既に説明したため、ここでの説明を省略する。

同様に、新たな端末装置２２−（ｎ＋１）にとって新たな有効時間区間ＴＦでセッションを行うことになる場合、端末装置２２−（ｎ＋１）に対し、関数暗号方式に則った秘密鍵の配送ｕｓｋ_ｎ＋１が行われる。この場合、図１２に例示するように、まず鍵配送管理装置２１（図６）の秘密鍵生成部２１０１が、記憶部２１９からＰａｒａｍｓ、ｍｓｋを読み込み、関数暗号方式に則り、端末装置２２−ｉの識別情報Ｕ_ｎ＋１と有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む属性情報Ｖ_ｉ：＝Ｖ（Ｕ_ｎ＋１，ｔｉｍｅ）に対応する秘密鍵ｕｓｋ_ｎ＋１：＝Ｄｅｒ（Ｐａｒａｍｓ，ｍｓｋ，Ｖ_ｎ＋１）を生成して出力する。秘密鍵ｕｓｋ_ｎ＋１は記憶部２１９に格納される（ステップＳ２０１５）。秘密鍵暗号化部２１０２は、記憶部２１９から秘密鍵ｕｓｋ_ｎ＋１および暗号化鍵ｅｋ_ｎ＋１を読み込み、暗号化鍵ｅｋ_ｎ＋１を用いて秘密鍵ｕｓｋ_ｎ＋１を暗号化し、暗号文ＣＴ_ｎ＋１←Ｅｎｃ_{ｅｋｎ＋１}（ｕｓｋ_ｎ＋１）を生成して出力する。ただし、下付き添え字の「ｅｋｎ＋１」は「ｅｋ_ｎ＋１」を表す（ステップＳ２０１６）。暗号文ＣＴ_ｎ＋１は通信部２１８に送られ、通信部２１８は暗号文ＣＴ_ｎ＋１を端末装置２２−（ｎ＋１）に送信する。暗号文ＣＴ_ｎ＋１は端末装置２２−（ｎ＋１）（図７）の通信部２２８−（ｎ＋１）に入力され、記憶部２２９−（ｎ＋１）に格納される（ステップＳ２０１７）。秘密鍵復号部２２０１−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から復号鍵ｄｋ_ｎ＋１および暗号文ＣＴ_ｎ＋１を読み込み、復号鍵ｄｋ_ｎ＋１を用いて暗号文ＣＴ_ｎ＋１を復号して秘密鍵ｕｓｋ_ｎ＋１←Ｄｅｃ_{ｄｋｎ＋１}（ＣＴ_ｎ＋１）を生成して出力する。ただし、下付き添え字の「ｄｋｉ＋１」は「ｄｋ_ｎ＋１」を表す。秘密鍵ｕｓｋ_ｎ＋１は、端末装置２２−（ｎ＋１）の記憶部２２９−（ｎ＋１）に安全に格納される（ステップＳ２０１８）。なお、端末装置２２−（ｎ＋１）にとって新たな有効時間区間ＴＦでセッションを行うことにならない場合には、ステップＳ２０１５からＳ２０１７の処理が省略されてもよい。

新たな有効時間区間ＴＦでセッションを行うことになる場合、鍵配送管理装置２１（図６）の第１シード値生成部２１１１が新たな第１シード値Ｋ’_１∈_ＲＦＳ_κを生成し、Ｋ_１：＝Ｋ’_１として記憶部２１９に格納し（ステップＳ２０１６）、ステップＳ２１３３に進む。そうでない場合、ステップＳ２０１６を行うことなく、ステップＳ２１３３に進む。

ステップＳ２１３３では、第１シード値暗号化部２１１２が記憶部２１９からＰａｒａｍｓおよび第１シード値Ｋ_１を読み込み、関数暗号方式に則って第１シード値Ｋ_１を暗号化し、端末装置の識別情報Ｕ_ｎ＋１と有効時間区間ＴＦに属する時間ｔｉｍｅに対応する情報を含む属性情報Ｐ_ｎ＋１：＝（ＩＤ＝Ｕ_ｎ＋１）∧（ｔｉｍｅ∈ＴＦ）に対応する秘密鍵で復号可能な暗号文ＣＴ’_ｎ＋１←ＦＥｎｃ（Ｐａｒａｍｓ，Ｐ_ｎ＋１，Ｋ_１）を生成して記憶部２１９に格納する（ステップＳ２１３３）。管理秘密値生成部２１２１が新たな管理秘密値ｘ’_ｓ∈_ＲＺ_ｐを生成して記憶部２１９に格納する（ステップＳ２１４１）。第２シード値秘匿化共有情報部２１２２は、記憶部２１９から共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}および新たな管理秘密値ｘ’_ｓを読み込み、共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝}と新たな管理秘密値ｘ’_ｓとに応じた新たな共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}を生成して出力する。新たな共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}は記憶部２１１に格納される（ステップＳ２１４２）。署名生成部２１０３は、記憶部２１９から、署名鍵ｓｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ＋１、新たな共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}、秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}、および暗号文ＣＴ’_ｎ＋１を読み込み、署名σ_ｓｎ＋１←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，ＣＴ’_ｎ＋１）を生成する。(Ｕ_ｎ＋１，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，ＣＴ’_ｎ＋１，σ_ｓｎ＋１)は通信部２１８に送られ、通信部２１８は、(Ｕ_ｎ＋１，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，ＣＴ’_ｎ＋１，σ_ｓｎ＋１)を端末装置２２−（ｎ＋１）に送信する。(Ｕ_ｎ＋１，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，ＣＴ’_ｎ＋１，σ_ｓｎ＋１)は、端末装置２２−（ｎ＋１）（図７）の通信部２２８−（ｎ＋１）に入力され、記憶部２２９−（ｎ＋１）に格納される（ステップＳ２１５）。

端末装置２２−（ｎ＋１）の署名検証部２２０５−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ＋１、ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}、暗号文ＣＴ’_ｎ＋１、および署名σ_ｓｎ＋１を読み込み、検証鍵ｖｋ_ｓを用い、署名σ_ｓｎ＋１をＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，ＣＴ’_ｎ＋１），σ_ｓｎ＋１）として検証する（ステップＳ２１６１）。ここで、署名σ_ｓｎ＋１が正当でないと判断された場合、セッションを終了する。一方、署名σ_ｓｎ＋１が正当であると判断された場合、端末装置２２−ｉ（図７）の第１シード値復号部２２１−（ｎ＋１）が、記憶部２２９−（ｎ＋１）から秘密鍵ｕｓｋ_ｎ＋１および暗号文ＣＴ’_ｎ＋１を読み込み、秘密鍵ｕｓｋ_ｎ＋１を用い、関数暗号方式に則って暗号文ＣＴ’_ｎ＋１をＫ_１←ＦＤｅｃ_{ｕｓｋｎ＋１}（ＣＴ’_ｎ＋１，Ｐ_ｎ＋１）として復号して第１シード値Ｋ_１を生成して出力する。第１シード値Ｋ_１は記憶部２２９−（ｎ＋１）に格納される（ステップ２１６２）。

端末秘密値生成部２２０２−（ｎ＋１）は、記憶部２２９−（ｎ＋１）からｓｔ_ｎ＋１とｓｔ’_ｎ＋１を読み込み、ｒ_ｎ＋１∈_Ｒ｛０，１｝^κとｒ’_ｎ＋１∈_ＲＦＳ_κを生成し、端末秘密値ｘ_ｎ＋１←ｔＰＲＦ（ｒ_ｎ＋１，ｓｔ_ｎ＋１，ｓｔ’_ｎ＋１，ｒ’_ｎ＋１）を生成して出力する。端末秘密値ｘ_ｎ＋１は記憶部２２９−（ｎ＋１）に格納される（ステップＳ２１７１）。秘匿化共有情報生成部２２２−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}と端末秘密値ｘ_ｎ＋１とを読み込み、ｉ∈［１，ｎ］について、秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}と端末秘密値ｘ_ｎ＋１とに応じた新たな秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘｎ＋１}を生成して出力する。新たな秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}は記憶部２２−（ｎ＋１）に格納される（ステップＳ２１７２）。

署名生成部２２０４−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から、署名鍵ｓｋ_ｎ＋１、識別情報Ｓ，Ｕ_１，・・・，Ｕ_ｎ＋１、新たな秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}を読み込み、署名σ_ｎ＋１←Ｓｉｇ_{ｓｋｎ＋１}（Ｕ_ｎ＋１，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}）を生成する。（Ｕ_ｎ＋１，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，σ_ｎ＋１）は通信部２２８−（ｎ＋１）に送られ、通信部２２８−（ｎ＋１）は（Ｕ_ｎ＋１，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，σ_ｎ＋１）を鍵配送管理装置２１に送信する（ステップＳ２１８）。

第２シード値生成部２２３−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から新たな共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}および端末秘密値ｘ_ｎ＋１を読み込み、新たな共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ}と端末秘密値ｘ_ｎ＋１とに応じた新たな第２シード値Ｋ’_２：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ’ｓ・ｘｎ＋１}＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］｝・ｘ’ｓ}を生成して出力する。新たな第２シード値Ｋ’_２は記憶部２２９−（ｎ＋１）に格納される（ステップＳ２１９）。共通鍵生成部２２４−（ｎ＋１）は、記憶部２２９−（ｎ＋１）から、セッション識別情報ｓｉｄ、第１シード値Ｋ_１、および新たな第２シード値Ｋ’_２を読み込み、擬似ランダム関数Ｆ_κを用い、第１シード値Ｋ_１を含む情報と新たな第２シード値Ｋ’_２を含む情報とに対応する共通鍵Ｋ’＝Ｆ_κ（ｓｉｄ，Ｋ_１）（＋）Ｆ_κ（ｓｉｄ，Ｋ’_２）を生成して出力する（ステップＳ２２２−（ｎ＋１））。

図１４に例示するように、端末装置２２−（ｎ＋１）から送信された（Ｕ_ｎ＋１，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}，σ_ｎ＋１）は、鍵配送管理装置２１の通信部２１８に入力され、記憶部２１９に格納される。署名検証部２１０４は、記憶部２１９から検証鍵ｖｋ_ｎ＋１、識別情報Ｕ_１，・・・，Ｕ_ｎ＋１，Ｓ、新たな秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}、および署名σ_ｎ＋１を読み込み、検証鍵ｖｋ_ｎ＋１を用い、署名σ_ｎ＋１をＶｅｒ_{ｖｋｎ＋１}（（Ｕ_ｎ＋１，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}），σ_ｎ＋１）として検証する（ステップＳ２２０１）。ここで、署名σ_ｎ＋１が正当でないと判断された場合、セッションを終了する。一方、署名σ_ｎ＋１が正当であると判断された場合、制御部２１０がステップＳ２１３２で第１シード値Ｋ_１が更新されたかを判定する。ここで、第１シード値Ｋ_１が更新されていた場合、第１シード値暗号化部２１１２が記憶部２１９からＰａｒａｍｓおよび第１シード値Ｋ_１を読み込み、関数暗号方式に則って第１シード値Ｋ_１を暗号化し、ｉ∈［１，ｎ］について、端末装置の識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間ｔｉｍｅに対応する情報を含む属性情報Ｐ_ｉ：＝（ＩＤ＝Ｕ_ｉ）∧（ｔｉｍｅ∈ＴＦ）に対応する秘密鍵で復号可能な暗号文ＣＴ’_ｉ←ＦＥｎｃ（Ｐａｒａｍｓ，Ｐ_ｉ，Ｋ_１）を生成して記憶部２１９に格納し（ステップＳ２２０３）、ステップＳ２２０５に進む。一方、第１シード値Ｋ_１が更新されていない場合、第１シード値暗号化部２１１２はＣＴ’_ｉ：＝｛｝（空）として記憶部２１９に格納し（ステップＳ２２０４）、ステップＳ２２０５に進む。

ステップＳ２２０５では、第２シード値秘匿化共有情報部２１２２は、記憶部２１９から新たな秘匿化共有情報新たな秘匿化共有情報｛ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}｝_{ｉ∈［１，ｎ］}および新たな管理秘密値ｘ’_ｓを読み込み、ｉ∈［１，ｎ］について、新たな秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝}と新たな管理秘密値ｘ’_ｓとに応じた新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}を生成して出力する。新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}は記憶部２１１に格納される（ステップＳ２２０５）。

署名生成部２１０３は、記憶部２１９から、署名鍵ｓｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ＋１、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}、および暗号文ＣＴ’_ｉを読み込み、署名σ”_ｓｉ←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}，ＣＴ’_ｉ）を生成する（ただし、ｉ∈［１，ｎ］）。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}，ＣＴ’_ｉ，σ”_ｓｉ)は通信部２１８に送られ、通信部２１８は、(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}，ＣＴ’_ｉ，σ”_ｓｉ)を端末装置２２−ｉに送信する。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}，ＣＴ’_ｉ，σ”_ｓｉ)は、端末装置２２−ｉ（図７）の通信部２２８−ｉに入力され、記憶部２２９−ｉ（ただし、ｉ∈［１，ｎ］）に格納される（ステップＳ２２０６）。

端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］）の署名検証部２２０５−ｉは、記憶部２２９−ｉから検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｎ＋１、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}、暗号文ＣＴ’_ｉ、および署名σ”_ｓｉを読み込み、検証鍵ｖｋ_ｓを用い、署名σ”_ｓｉをＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｎ＋１），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}，ＣＴ’_ｉ），σ”_ｓｉ）として検証する（ステップＳ２２１１−ｉ）。ここで、署名σ”_ｓｉが正当でないと判断された場合、セッションを終了する。一方、署名σ”_ｓｉが正当であると判断された場合、制御部２２０−ｉは記憶部２２９−ｉから暗号文ＣＴ’_ｉを読み込み、ＣＴ’_ｉ＝｛｝であるかを判定する（ステップＳ２２１２−ｉ）。ここで、ＣＴ’_ｉ＝｛｝でなければ、第１シード値復号部２２１−ｉが、記憶部２２９−ｉから秘密鍵ｕｓｋ_ｉおよび暗号文ＣＴ’_ｉを読み込み、秘密鍵ｕｓｋ_ｉを用い、関数暗号方式に則って暗号文ＣＴ’_ｉをＫ_１←ＦＤｅｃ_ｕｓｋｉ（ＣＴ’_ｉ，Ｐ_ｉ）として復号して第１シード値Ｋ_１を生成して出力する。第１シード値Ｋ_１は記憶部２２９−ｉに格納され（ステップＳ２２１３−ｉ）、ステップＳ２２１４−ｉに進む。一方、ＣＴ’_ｉ＝｛｝であればステップＳ２２１３−ｉを実行することなく、ステップＳ２２１４−ｉに進む。

ステップＳ２２１４−ｉ（ただし、ｉ∈［１，ｎ］）では、第２シード値生成部２２３−ｉが、記憶部２２９−ｉから新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}および端末秘密値ｘ_ｉを読み込み、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ}と端末秘密値ｘ_ｉとに応じた新たな第２シード値Ｋ’_２：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］∧ｋ≠ｉ｝・ｘ’ｓ・ｘｉ}＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ＋１］｝・ｘ’ｓ}を生成して出力する。新たな第２シード値Ｋ’_２は記憶部２２９−ｉに格納される（ステップＳ２２１４−ｉ）。

共通鍵生成部２２４−ｉ（ただし、ｉ∈［１，ｎ］）は、記憶部２２９−ｉから、セッション識別情報ｓｉｄ、第１シード値Ｋ_１、および新たな第２シード値Ｋ’_２を読み込み、擬似ランダム関数Ｆ_κを用い、第１シード値Ｋ_１を含む情報と新たな第２シード値Ｋ’_２を含む情報とに対応する共通鍵Ｋ＝Ｆ_κ（ｓｉｄ，Ｋ_１）（＋）Ｆ_κ（ｓｉｄ，Ｋ’_２）を生成して出力する（ステップＳ２２２−ｉ）。

＜端末装置削除処理＞
既にセッションが確立された端末装置２２−１〜２２−ｎから任意の端末装置２２−ｊを除き、端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）で新たな共通鍵を共有する処理を説明する

図１５に例示するように、管理秘密値生成部２１２１が新たな管理秘密値ｘ”_ｓ∈_ＲＺ_ｐを生成して記憶部２１９に格納する（ステップＳ２３５）。第２シード値秘匿化情報生成部２１２２は、記憶部２１９から秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}および新たな管理秘密値ｘ”_ｓを読み込み、秘匿化共有情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝}と新たな管理秘密値ｘ”_ｓとに応じた新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}（ただし、ｉ∈［１，ｎ］＼ｊ）を生成して出力する。新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}は記憶部２１１に格納される（ステップＳ２３６１）。

署名生成部２１０３は、記憶部２１９から、署名鍵ｓｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｊ−１，Ｕ_ｊ＋１，・・・，Ｕ_ｎ、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}を読み込み、署名σ’”_ｓｉ←Ｓｉｇ_ｓｋｓ（Ｓ，（Ｕ_１，・・・，Ｕ_ｊ−１，Ｕ_ｊ＋１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}）（ただし、ｉ∈［１，ｎ］＼ｊ）を生成する。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}，σ’”_ｓｉ)は通信部２１８に送られ、通信部２１８は、((Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}，σ’”_ｓｉ)を端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）に送信する。(Ｕ_ｉ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}，σ’”_ｓｉ)は、端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）の通信部２２８−ｉに入力され、記憶部２２９−ｉに格納される（ステップＳ２３６２）。

端末装置２２−ｉ（ただし、ｉ∈［１，ｎ］＼ｊ）の署名検証部２２０５−ｉは、記憶部２２９−ｉから検証鍵ｖｋ_ｓ、識別情報Ｓ、Ｕ_１，・・・，Ｕ_ｊ−１，Ｕ_ｊ＋１，・・・，Ｕ_ｎ、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}、および署名σ’”_ｓｉを読み込み、検証鍵ｖｋ_ｓを用い、署名σ’”_ｓｉをＶｅｒ_ｖｋｓ（（Ｓ，（Ｕ_１，・・・，Ｕ_ｊ−１，Ｕ_ｊ＋１，・・・，Ｕ_ｎ），Ｓ，ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}），σ’”_ｓｉ）として検証する（ステップＳ２３７１−ｉ）。ここで、署名σ’”_ｓｉが正当でないと判断された場合、セッションを終了する。一方、σ’”_ｓｉが正当であると判断された場合、第２シード値生成部２２３−ｉが、記憶部２２９−ｉから新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}および端末秘密値ｘ_ｉを読み込み、新たな第２シード値の秘匿化情報ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ}と端末秘密値ｘ_ｉとに応じた新たな第２シード値Ｋ”_２：＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］∧ｋ≠ｉ｝・ｘ”ｓ・ｘｉ}＝ｇ^{Π｛ｘｋ｜ｋ∈［１，ｎ］｝・ｘ”ｓ}を生成して出力する。新たな第２シード値Ｋ”_２は記憶部２２９−ｉに格納される（ステップＳ２３７２−ｉ）。共通鍵生成部２２４−ｉは、記憶部２２９−ｉから、セッション識別情報ｓｉｄ、第１シード値Ｋ_１、および新たな第２シード値Ｋ”_２を読み込み、擬似ランダム関数Ｆ_κを用い、第１シード値Ｋ_１を含む情報と新たな第２シード値Ｋ”_２を含む情報とに対応する共通鍵Ｋ”＝Ｆ_κ（ｓｉｄ，Ｋ_１）（＋）Ｆ_κ（ｓｉｄ，Ｋ”_２）を生成して出力する（ステップＳ２３８）。

［関数暗号方式の一例］
以下に関数暗号方式の一例を示す。本発明はこの方式に限定されない。また、［関数暗号方式の一例］の説明で使用する記号は上述で使用した記号と独立したものである。

＜記号の定義＞
(・)^T：(・)^Tは・の転置行列を表す。
(・)^-1：(・)^-1は・の逆行列を表す。
∧：∧は論理積（ＡＮＤ）を表す論理記号である。
∨：∨は論理和（ＯＲ）を表す論理記号である。
¬：¬は否定（ＮＯＴ）を表す論理記号である。
命題変数：命題変数は命題の「真」,「偽」（"false","true"）を要素とする集合｛真，偽｝上の変数である。すなわち、命題変数の定義域は「真」,「偽」を要素とする集合である。命題変数及び命題変数の否定を総称してリテラル（literal）と呼ぶ。

Ｚ：Ｚは整数集合を表す。
sec：secはセキュリティパラメータ（sec∈Z, sec>0）を表す。
0^*：0^*は*個の0からなる列を表す。
1^*：1^*は*個の１からなる列を表す。
F_q：F_qは位数qの有限体を表す。位数qは１以上の整数であり、例えば、素数や素数のべき乗値を位数qとする。
0_F：0_Fは有限体F_qの加法単位元を表す。
1_F：1_Fは有限体F_qの乗法単位元を表す。
δ(i,j)：δ(i,j)はクロネッカーのデルタ関数を表す。i=jの場合にδ(i,j)=1_Fを満たし、i≠jの場合にδ(i,j)=0_Fを満たす。

E：Eは有限体F_q上で定義された楕円曲線を表す。
G₁, G₂,G_T：G₁, G₂, G_Tは位数qの巡回群を表す。本形態では、巡回群G₁, G₂上で定義された演算を加法的に表現し、巡回群G_T上で定義された演算を乗法的に表現する。

Ψ：Ψは1以上の整数を表す。
ψ：ψは0以上Ψ以下の整数ψ=0,...,Ψを表す。
λ：λは1以上Ψ以下の整数λ=1,...,Ψを表す。
n(ψ)：n(ψ)は1以上の整数を表す。
ζ(ψ)：ζ(ψ)は0以上の整数を表す。

G₁ ^n(ψ)+ζ(ψ)：G₁ ^n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G₁の直積を表す。
G₂ ^n(ψ)+ζ(ψ)：G₂ ^n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G₂の直積を表す。
g₁, g₂,g_T：g₁, g₂, g_Tは巡回群G, G₁, G₂, G_Tの生成元を表す。
V(ψ)：V(ψ)はn(ψ)+ζ(ψ)個の巡回群G₁の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
V^*(ψ)：V^*(ψ)はn(ψ)+ζ(ψ)個の巡回群G₂の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
Σ_ν＝ν１ ^ν２ κ（ν）：Σ_ν＝ν１ ^ν２κ（ν）は以下を意味する。

Π_ν＝ν１ ^ν２ κ（ν）：Π_ν＝ν１ ^ν２κ（ν）は以下を意味する。

e_ψ：e_ψは直積G₁ ^n(ψ)+ζ(ψ)と直積G₂ ^n(ψ)+ζ(ψ)との直積G₁ ^n(ψ)+ζ(ψ)×G₂ ^n(ψ)+ζ(ψ)を巡回群G_Tに写す非退化な双線形写像（bilinear map）を表す。双線形写像e_ψは、巡回群G₁のn(ψ)+ζ(ψ)個の元γ_β(β=1,...,n(ψ)+ζ(ψ))と巡回群G₂のn(ψ)+ζ(ψ)個の元γ_β ^*(β=1,...,n(ψ)+ζ(ψ))とを入力とし、巡回群G_Tの１個の元を出力する。
e_ψ：G₁ ^n(ψ)+ζ(ψ)×G₂ ^n(ψ)+ζ(ψ)→G_T …(1)

双線形写像e_ψは以下の性質を満たす。
［双線形性］双線形写像e_ψは、すべてのΓ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ)及びν，κ∈F_qについて以下の関係を満たす。
e_ψ(ν・Γ₁,κ・Γ₂)=e_ψ(Γ₁,Γ₂)^ν・κ …(2)
［非退化性］双線形写像e_ψは、すべてのΓ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ)を巡回群G_Tの単位元に写す写像ではない。
［計算可能性］あらゆる
Γ₁∈G₁ ^n(ψ)+ζ(ψ)，Γ₂∈G₂ ^n(ψ)+ζ(ψ) …(3)
についてe_ψ(Γ₁,Γ₂)を効率的に計算するアルゴリズムが存在する。

本形態では、以下のような、巡回群G₁と巡回群G₂との直積G₁×G₂を巡回群G_Tに写す非退化な双線形写像を用いて双線形写像e_ψを構成する。
Pair:G₁×G₂→G_T …(4)
本形態の双線形写像e_ψは、巡回群G₁のn(ψ)+ζ(ψ)個の元γ_β (β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ₁,...,γ_n(ψ)+ζ(ψ))と、巡回群G₂のn(ψ)+ζ(ψ)個の元γ_β ^*(β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ₁ ^*,...,γ_n(ψ)+ζ(ψ) ^*)との入力に対し、巡回群G_Tの１個の元を出力する。
e_ψ：Π_β=1 ^n(ψ)+ζ(ψ)Pair(γ_β, γ_β ^*) …(5)

双線形写像Pairは、巡回群G₁の１個の元と巡回群G₂の１個の元との組を入力とし、巡回群G_Tの１個の元を出力する。双線形写像Pairは、以下の性質を満たす。
［双線形性］双線形写像Pairは、すべてのΩ₁∈G₁，Ω₂∈G₂及びν，κ∈F_qについて以下の関係を満たす。
Pair(ν・Ω₁,κ・Ω₂)=Pair(Ω₁,Ω₂)^ν・κ …(6)
［非退化性］双線形写像Pairは、すべての
Ω₁∈G₁，Ω₂∈G₂ …(7)
を巡回群G_Tの単位元に写す写像ではない。
［計算可能性］あらゆるΩ₁∈G₁，Ω₂∈G₂についてPair(Ω₁,Ω₂)を効率的に計算するアルゴリズムが存在する。

a_i(ψ)(i=1,...,n(ψ)+ζ(ψ))：a_i(ψ)は巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルa_i(ψ)の一例は、κ₁・g₁∈G₁をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G₁の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁(ψ)=(κ₁・g₁,0,0,...,0)
a₂(ψ)=(0,κ₁・g₁,0,...,0) …(8)
...
a_n(ψ)+ζ(ψ)(ψ)=(0,0,0,...,κ₁・g₁)
ここで、κ₁は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₁∈F_qの具体例はκ₁=1_Fである。基底ベクトルa_i(ψ)は直交基底であり、巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルa_i(ψ)は前述のベクトル空間V(ψ)を張る。

a_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))：a_i ^*(ψ)は巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルa_i ^*(ψ)の一例は、κ₂・g₂∈G₂をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G₂の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
a₁ ^*(ψ)=(κ₂・g₂,0,0,...,0)
a₂ ^*(ψ)=(0,κ₂・g₂,0,...,0) …(9)
...
a_n(ψ)+ζ(ψ) ^*(ψ)=(0,0,0,...,κ₂・g₂)
ここで、κ₂は加法単位元0_F以外の有限体F_qの元からなる定数であり、κ₂∈F_qの具体例はκ₂=1_Fである。基底ベクトルa_i ^*(ψ)は直交基底であり、巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルa_i ^*(ψ)は前述のベクトル空間V^*(ψ)を張る。

なお、基底ベクトルa_i(ψ)と基底ベクトルa_i ^*(ψ)とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について以下の関係を満たす。
e_ψ(a_i(ψ), a_j ^*(ψ))=g_T ^τ・δ(i,j) …(10)
すなわち、i=jの場合には、式(5)(6)の関係から、以下の関係が満たされる。
e_ψ(a_i(ψ), a_j ^*(ψ))=Pair(g₁, g₂)^κ1・κ2=g_T ^τ
上付き添え字κ1，κ2はそれぞれκ₁，κ₂を表す。一方、i≠jの場合には、e_ψ(a_i(ψ), a_j ^*(ψ))=Π_i=1 ^n(ψ)+ζ(ψ) Pair(a_i(ψ), a_j ^*(ψ))の右辺は、Pair(κ₁・g₁,κ₂・g₂)を含まず、Pair(κ₁・g₁,0)と Pair(0,κ₂・g₂)とPair(0,0)との積になる。さらに、式(6)の関係からPair(g₁, 0)=Pair(0, g₂)=Pair(g₁, g₂)⁰を満たす。そのため、i≠jの場合には、以下の関係が満たされる。
e_ψ(a_i(ψ), a_j ^*(ψ))=e_ψ(g₁, g₂)⁰=g_T ⁰

特に、τ=κ₁・κ₂=1_Fである場合（例えば、κ₁=κ₂=1_Fの場合）、以下の関係が満たされる。
e(a_i(ψ), a_j ^*(ψ))=g_T ^δ(i,j) …(11)
g_T ⁰=1は巡回群G_Tの単位元であり、g_T ¹=g_Tは巡回群G_Tの生成元である。

A(ψ)：A(ψ)は、基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルa_i(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(8)によって表現される場合、行列A(ψ)は以下のようになる。

A^*(ψ)：A^*(ψ)は、基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(9)によって表現される場合、行列A^*(ψ)は以下のようになる。

X(ψ)：X(ψ)は有限体F_qの元を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。行列X(ψ)は基底ベクトルa_i(ψ)の座標変換に用いられる。行列X(ψ)のi行j列(i=1,...,n(ψ)+ζ(ψ),j=1,...,n(ψ)+ζ(ψ))の要素をχ_i,j(ψ)∈F_qとすると、行列X(ψ)は以下のようになる。

なお、行列X(ψ)の各要素χ_i,j(ψ)を変換係数と呼ぶ。

X^*(ψ)：X^*(ψ)はX^*(ψ)=τ'・(X(ψ)^-1)^Tの関係を満たす行列である。ただし、τ'∈F_qは有限体F_qに属する任意の定数であり、例えば、τ'=1_Fである。X^*(ψ)は基底ベクトルa_i ^*(ψ)の座標変換に用いられる。行列X^*(ψ)のi行j列の要素をχ_i,j ^*(ψ)∈F_qとすると、行列Ｘ^*(ψ)は以下のようになる。

なお、行列Ｘ^*(ψ)の各要素χ_i,j ^*(ψ)を変換係数と呼ぶ。

この場合、n(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の単位行列をI(ψ)とするとX(ψ)・(X^*(ψ))^T=τ'・I(ψ)を満たす。すなわち、単位行列を以下のように定義する。

これについて以下が満たされる。

ここで、n(ψ)+ζ(ψ)次元ベクトルを以下のように定義する。
χ_i ^→(ψ)=(χ_i,1(ψ),...,χ_{i,n(ψ)+ζ(ψ)}(ψ)) …(18)
χ_j ^→*(ψ)=(χ_j,1 ^*(ψ),...,χ_{j,n(ψ)+ζ(ψ)} ^*(ψ)) …(19)
すると、式(17)の関係から、n(ψ)+ζ(ψ)次元ベクトルχ_i ^→(ψ)とχ_j ^→*(ψ)との内積は、以下のようになる。
χ_i ^→(ψ)・χ_j ^→*(ψ)=τ'・δ(i,j) …(20)

b_i(ψ)：b_i(ψ)は巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。b_i(ψ)は行列X(ψ)を用いて基底ベクトルa_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルb_i(ψ)は、以下の演算によって得られる。
b_i(ψ)=Σ_j=1 ^n(ψ)+ζ(ψ)χ_i,j(ψ)・a_j(ψ) …(21)
例えば、基底ベクトルa_j(ψ)(j=1,...,n(ψ)+ζ(ψ))が式(8)によって表現される場合、基底ベクトルb_i(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i(ψ)=(χ_i,1(ψ)・κ₁・g₁,χ_i,2(ψ)・κ₁・g₁,
...,χ_{i,n(ψ)+ζ(ψ)}(ψ)・κ₁・g₁) …(22)
巡回群G₁のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ)は前述のベクトル空間V(ψ)を張る。

b_i ^*(ψ)：b_i ^*(ψ)は巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。b_i ^*(ψ)は行列X^*(ψ)を用いて基底ベクトルa_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルb_i ^*(ψ)は、以下の演算によって得られる。
b_i ^*(ψ)=Σ_j=1 ^n(ψ)+ζ(ψ)χ_i,j ^*(ψ)・a_j ^*(ψ) …(23)
例えば、基底ベクトルa_j ^*(ψ) (j=1,...,n(ψ)+ζ(ψ))が式(9)によって表現される場合、基底ベクトルb_i ^*(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
b_i ^*(ψ)=(χ_i,1 ^*(ψ)・κ₂・g₂ ,χ_i,2 ^*(ψ)・κ₂・g₂,
...,χ_{i,n(ψ)+ζ(ψ)} ^*(ψ)・κ₂・g₂) …(24)
巡回群G₂のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)は前述のベクトル空間V^*(ψ)を張る。

なお、基底ベクトルb_i(ψ)と基底ベクトルb_i ^*(ψ)とは、0_Fを除く有限体F_qの元τ=κ₁・κ₂について以下の関係を満たす。
e_ψ(b_i(ψ), b_j ^*(ψ))=g_T ^{τ・τ'・δ(i,j)} …(25)
すなわち、式(5)(20)(22)(24)の関係から、以下の関係が満たされる。

特にτ=κ₁・κ₂=1_F（例えば、κ₁=κ₂=1_F）及びτ'=1_Fである場合、以下の関係が満たされる。
e_ψ(b_i(ψ), b_j ^*(ψ))=g_T ^δ(i,j) …(26)
基底ベクトルb_i(ψ)と基底ベクトルb_i ^*(ψ)とは、双対ペアリングベクトル空間（ベクトル空間V(ψ)とベクトル空間V^*(ψ)）の双対正規直交基底である。
なお、式(25)の関係を満たすのであれば、式(8)(9)で例示したもの以外の基底ベクトルa_i(ψ)及びa_i ^*(ψ)や、式(21)(23)で例示したもの以外の基底ベクトルb_i(ψ)及びb_i ^*(ψ)を用いてもよい。

B(ψ)：B(ψ)は基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列である。B(ψ)=X(ψ)・A(ψ)を満たす。例えば、基底ベクトルb_i(ψ)が式(22)によって表現される場合、行列B(ψ)は以下のように表される。

B^*(ψ)：B^*(ψ)は基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。B^*(ψ)=X^*(ψ)・A^*(ψ)を満たす。例えば、基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(24)によって表現される場合、行列B^*(ψ)は以下のように表される。

v(λ)^→：v(λ)^→は有限体F_qの元を要素とするn(λ)次元ベクトルを表す。
v(λ)^→=(v₁(λ)_,...,v_n(λ)(λ))∈F_q ^n(λ) …(29)
v_μ(λ)：v_μ(λ)はn(λ)次元ベクトルv(λ)^→のμ(μ=1,...,n(λ))番目の要素を表す。
w(λ)^→：w(λ)^→は有限体F_qの元を要素とするn(λ)次元ベクトルを表す。
w(λ)^→=(w₁(λ)_,...,w_n(λ)(λ))∈F_q ^n(λ) …(30)
w_μ(λ)：w_μ(λ)はn(λ)次元ベクトルw(λ)^→のμ(μ=1,...,n(λ))番目の要素を表す。

Enc：Encは共通鍵暗号方式の暗号化処理を示す共通鍵暗号関数を表す。
Enc_K(M)：Enc_K(M)は、共通鍵Kを用い、共通鍵暗号関数Encに従って平文Mを暗号化して得られた暗号文を表す。
Dec：Decは、共通鍵暗号方式の復号処理を示す共通鍵復号関数を表す。
Dec_K(C)：Dec_K(C)は、共通鍵Kを用い、共通鍵復号関数Decに従って暗号文Cを復号して得られた復号結果を表す。

＜関数暗号方式の基本的な構成＞
次に、関数暗号方式の基本的な構成について例示する。ここで例示する関数暗号方式では秘密情報に応じた値が所定の論理式に応じた態様で階層的に秘密分散される。所定の論理式は、第１情報と第２情報との組み合わせによって真理値が定まる命題変数を含み、必要に応じてさらに論理記号∧，∨，¬の何れか又はすべてを含む。各命題変数の真理値が特定されることで定まる当該所定の論理式の真理値が「真」となる場合に秘密情報に応じた値が復元され、それに基づいて暗号文が復号される。

＜論理式と階層的な秘密分散との関係＞
上述した所定の論理式と階層的な秘密分散との関係を説明する。
秘密分散とは、しきい値K_t(K_t≧1)個以上のシェア情報が得られた場合にのみ秘密情報が復元されるように、秘密情報をN(N≧2)個のシェア情報に分散することである。K_t=Nを満たす秘密分散の方式（SSS: Secret Sharing Scheme）をN-out-of-N分散方式（或いは「N-out-of-Nしきい値分散方式」）といい、K_t＜Nを満たす秘密分散の方式をK_t-out-of-N分散方式（或いは「K_t-out-of-Nしきい値分散方式」）という。

N-out-of-N分散方式では、すべてのシェア情報share(1),...,share(N)が与えられれば秘密情報SEを復元できるが、任意のN-1個のシェア情報share(φ₁),...,share(φ_N-1)が与えられても秘密情報SEの情報はまったく得られない。以下に、N-out-of-N分散方式の一例を示す。
・SH₁,...,SH_N-1をランダムに選択する。
・SH_N=SE-(SH₁+...+SH_N-1)の計算を行う。
・SH₁,...,SH_Nを各シェア情報share(1),...,share(N)とする。
・すべてのシェア情報share(1),...,share(N)が与えられれば、以下の復元処理によって秘密情報SEの復元が可能である。
SE=share(1)+...+share(N) …(31)

K_t-out-of-N分散方式では、任意の相違なるK_t個のシェア情報share(φ₁),...,share(φ_Kt)が与えられれば秘密情報SEを復元できるが、任意のK_t-1個のシェア情報share(φ₁),...,share(φ_Kt-1)が与えられても秘密情報SEの情報はまったく得られない。添え字のKtはK_tを表す。以下にK_t-out-of-N分散方式の一例を示す。
・f(0)=SEを満たすK_t-1次の多項式f(x)=ξ₀+ξ₁・x+ξ₂・x²+...+ξ_Kt-1・x^Kt-1をランダムに選ぶ。すなわち、ξ₀=SEとし、ξ₁,..., ξ_Kt-1をランダムに選ぶ。シェア情報をshare(ρ)=(ρ, f(ρ))（ρ=1,...,N）とする。(ρ, f(ρ))からのρ及びf(ρ)の抽出が可能であり、(ρ, f(ρ))の例はρとf(ρ)とのビット結合値である。
・任意の相違なるK_t個のシェア情報share(φ₁),...,share(φ_Kt)（(φ₁,...,φ_Kt)⊂(1,...,N)）が得られた場合、例えば、ラグランジェ(Lagrange)の補間公式を用い、以下のような復元処理によって秘密情報SEの復元が可能である。
SE=f(0)=LA₁・f(φ₁)+...+ LA_Kt・f(φ_Kt) …(32)

は先頭からρ番目の被演算子〔分母の要素(φ_ρ-φ_ρ)、分子の要素(x-φ_ρ)〕が存在しないことを意味する。すなわち、式(33)の分母は、以下のように表される。
(φ_ρ-φ₁)・...・(φ_ρ-φ_ρ-1)・(φ_ρ-φ_ρ+1)・...・(φ_ρ-φ_Kt)
式(33)の分子は、以下のように表される。
(x-φ₁)・...・(x-φ_ρ-1)・(x-φ_ρ+1)・...・(x-φ_Kt)

上述した各秘密分散を拡張し、秘密情報SEに応じた値をシェア情報shareに応じた値に秘密分散することもできる。秘密情報SEに応じた値とは秘密情報SEそのものや秘密情報SEの関数値であり、シェア情報shareに応じた値とはシェア情報shareそのものやシェア情報の関数値である。例えば、有限体F_qの元である秘密情報SE∈F_qに応じた巡回群G_Tの元g_T ^SE∈G_Tを秘密情報SEの各シェア情報share(1),share(2)に応じた巡回群G_Tの元g_T ^share(1),g_T ^share(2)∈G_Tに秘密分散することもできる。上述した秘密情報SEはシェア情報shareの線形結合となる（式(31)(32)）。秘密情報SEがシェア情報shareの線形結合となる秘密分散方式を線形秘密分散方式と呼ぶ。

上述した所定の論理式は、秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。すなわち、ド・モルガンの法則により、上述した所定の論理式はリテラルからなる論理式、又は、論理記号∧，∨の少なくとも一部とリテラルとからなる論理式（これらを「標準形論理式」と呼ぶことにする）によって表現でき、この標準形論理式は秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。

標準形論理式を表現する木構造データは複数のノードを含み、少なくとも一部のノードは１個以上の子ノードの親ノードとされ、親ノードの１つはルートノードとされ、子ノードの少なくとも一部は葉ノードとされる。ルートノードの親ノードや、葉ノードの子ノードは存在しない。ルートノードには秘密情報に応じた値が対応し、各親ノードの子ノードには当該親ノードに対応する値を秘密分散したシェア情報に応じた値が対応する。各ノードでの秘密分散形態（秘密分散方式やしきい値）は標準形論理式に応じて定まる。また、各葉ノードには標準形論理式を構成する各リテラルが対応し、当該各リテラルの真理値は第１情報と第２情報との組み合わせによって定まる。

ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られないものとする。また、上述した秘密分散の性質により、親ノードに対応するシェア情報に応じた値（その親ノードがルートノードであれば秘密情報に応じた値）は、その子ノードに対応するシェア情報に応じた値が当該親ノードに対応するしきい値以上の個数だけ得られた場合にのみ復元される。そのため、どの葉ノードに対応するリテラルの真理値が真になったのかと木構造データの構成（各ノードでの秘密分散の形態を含む）とに応じ、最終的にルートノードに対応する秘密情報に応じた値が復元できるか否かが定まる。そして、各葉ノードに対応する各リテラルの真理値が標準形論理式の真理値を真にする場合にのみ最終的にルートノードに対応する秘密情報に応じた値が復元できるように木構造データが構成されている場合、このような木構造データは標準形論理式を表現する。このような標準形論理式を表現する木構造データは容易に設定できる。

＜アクセス構造＞
上述のように秘密情報を階層的に秘密分散して得られる木構造データによって所定の論理式を表現した場合、第１情報と第２情報との組み合わせに対して得られる葉ノードでのシェア情報に応じた値から秘密情報に応じた値を復元できるか否かによって、第１情報と第２情報との組み合わせによって定まる論理式の真理値が「真」となるか「偽」となるかを判定できる。以下、第１情報と第２情報との組み合わせによって定まる論理式の真理値が「真」となる場合に第１情報と第２情報との組み合わせを受け入れ、「偽」となる場合に第１情報と第２情報との組み合わせを拒絶する仕組みをアクセス構造と呼ぶ。

上述のように所定の論理式を表現した木構造データの葉ノードの総数をΨとし、各葉ノードに対応する識別子をλ=1,...,Ψとする。各葉ノードに対応するn(λ)次元ベクトルv(λ)^→の集合{v(λ)^→}_λ=1,...,Ψを第１情報とし、n(λ)次元ベクトルw(λ)^→の集合{w(λ)^→}_λ=1,...,Ψを第２情報とする。また、上述した木構造データをラベル付き行列LMT(MT,LAB)として実装する。

ラベル付き行列LMT(MT,LAB)は、以下のΨ行COL列（COL≧1）の行列MTと、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)とを含む。

行列MTの各要素mt_λ,col（col=1,...,COL）は次の２つの要件を満たす。第１に、上述のように所定の論理式を表現した木構造データのルートノードに秘密情報SE∈F_qに応じた値が対応する場合、予め定められた有限体F_qの元を要素とするCOL次元ベクトルGV^→と秘密情報SEに応じた有限体F_qの元を要素とするCOL次元ベクトルCV^→との間に以下の関係が成立する。
GV^→=(gv₁,...,gv_COL)∈F_q ^COL …(35)
CV^→=(cv₁,...,cv_COL)∈F_q ^COL …(36)
SE=GV^→・(CV^→)^T …(37)

以下にCOL次元ベクトルGV^→の具体例を示す。
GV^→=(1_F,...,1_F)∈F_q ^COL …(38)
ただし、GV^→=(1_F,0_F,...,0_F)∈F_q ^COLなどのその他のCOL次元ベクトルがGV^→であってもよい。第２に、識別子λに対応する葉ノードにシェア情報share(λ)∈F_qに応じた値が対応する場合、以下の関係が成立する。
(share(1),...,share(Ψ))^T=MT・(CV^→)^T …(39)

上述のように所定の論理式を表現した木構造データが定まれば、これら２つの要件を満たす行列MTを選択することは容易である。また、秘密情報SEやシェア情報share(λ)が変数であったとしても、これら２つの要件を満たす行列MTを選択することは容易である。すなわち、行列MTを定めた後で秘密情報SEやシェア情報share(λ)の値が定められてもよい。

また、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)は、識別子λに対応する葉ノードに対応するリテラル（PRO(λ)又は¬PRO(λ)）に対応する。ここで、命題変数PRO(λ)の真理値が「真」であることと第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}が含むv(λ)^→と第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}が含むw(λ)^→との内積v(λ)^→・w(λ)^→が０となることとが等価であると扱い、命題変数PRO(λ)の真理値が「偽」であることと内積v(λ)^→・w(λ)^→が０とならないこととが等価であると扱う。PRO(λ)に対応するラベルLAB(λ)がv(λ)^→を表し、¬PRO(λ)に対応するラベルLAB(λ)が¬v(λ)^→を表すものとする。なお、¬v(λ)^→はv(λ)^→の否定を表す論理式であり、¬v(λ)^→からv(λ)^→の特定が可能である。また、LAB(λ)がv(λ)^→を表すことを「LAB(λ)=v(λ)^→」と表記し、LAB(λ)が¬v(λ)^→を表すことを「LAB(λ)=¬v(λ)^→」と表記する。また、LAB(λ)（λ=1,...,Ψ）の集合{LAB(λ)}_λ=1,...,ΨをLABと表記する。

さらに、Ψ次元ベクトルが以下のように定義される。
TFV^→=(tfv(1),...,tfv(Ψ)) …(40)
要素tfv(λ)は、内積v(λ)^→・w(λ)^→が０のときにtfv(λ)=１となり、０以外のときにtfv(λ)=0となる。
tfv(λ)=1 （PRO(λ)が真） if v(λ)^→・w(λ)^→=0 …(41)
tfv(λ)=0 （PRO(λ)が偽） if v(λ)^→・w(λ)^→≠0 …(42)
さらに、以下の論理式の真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。
{(LAB(λ)=v(λ)^→)∧(tfv(λ)=1)}∨{(LAB(λ)=¬v(λ)^→)∧(tfv(λ)=0)} …(43)
すなわち、識別子λに対応する葉ノードに対応するリテラルの真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。すると、行列MTが含む行ベクトルのうちLIT(λ)=1となる行ベクトルmt_λ ^→=(mt_λ,1,...,mt_λ,COL)のみからなる部分行列MT_TFVは以下のように表記できる。
MT_TFV=(MT)_LIT(λ)=1 …(44)

上述した秘密分散方式が線形秘密分散方式である場合、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できることと、識別子λに対応する行ベクトルmt_λ ^→で張られるベクトル空間にCOL次元ベクトルGV^→が属することとは等価である。すなわち、識別子λに対応する行ベクトルmt_λ ^→で張られるベクトル空間にCOL次元ベクトルGV^→が属するか否かを判定することで、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できるか否かが判定できる。行ベクトルmt_λ ^→で張られるベクトル空間とは、行ベクトルmt_λ ^→の線形結合で表すことができるベクトル空間を意味する。

ここで、上述の部分行列MT_TFVの各行ベクトルmt_λ ^→で張られるベクトル空間span<MT_TFV>にCOL次元ベクトルGV^→が属する場合に第１情報と第２情報との組み合わせが受け入れられ、そうでない場合に第１情報と第２情報との組み合わせが拒絶されることにする。これにより、上述のアクセス構造が具体化される。なお、上述したようにラベル付き行列LMT(MT,LAB)が第１情報に対応する場合、アクセス構造が第１情報と第２情報との組み合わせを受け入れることを「アクセス構造が第２情報を受け入れる」といい、アクセス構造が第１情報と第２情報との組み合わせを受け入れないことを「アクセス構造が第２情報を拒絶する」という。
受け入れ if GV^→∈span<MT_TFV>
拒絶 if ¬(GV^→∈span<MT_TFV>)

また、GV^→∈span<MT_TFV>の場合、以下を満たす係数const(μ)が存在し、このような係数const(μ)は行列MTのサイズのオーダーの多項式時間で求めることができる。
SE=Σ_μ∈SETconst(μ)・share(μ) …(45)
{const(μ)∈F_q|μ∈SET},SET⊆{1,...,λ|LIT(λ)=1}

＜アクセス構造を用いた関数暗号方式の基本方式＞
以下では、アクセス構造を用いた関数暗号方式によって鍵カプセル化メカニズムKEM (Key Encapsulation Mechanisms)を構成する場合の基本方式を例示する。この基本方式はSetup(1^sec，(Ψ;n(1),...,n(Ψ)))，GenKey(PK,MSK,LMT(MT,LAB))，Enc(PK,M,{λ,v(λ)^→|λ=1,...,Ψ})(v₁(λ)=1_F)，Dec(PK,SKS,C)を含む。また、第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の1番目の要素w₁(λ)が1_Fとされる。

［Setup(1^sec，(Ψ;n(1),...,n(Ψ)))：セットアップ］
−入力：1^sec，(Ψ;n(1),...,n(Ψ))
−出力：マスタ秘密鍵MSK，公開パラメータPK

Setupでは各ψ=0,...,Ψについて以下の処理が実行される。
(Setup-1) 1^secを入力としてセキュリティパラメータsecでの位数q、楕円曲線E、巡回群G₁, G₂, G_T、双線形写像e_ψ(ψ=0,...,Ψ)が生成される（param=(q, E, G₁, G₂, G_T, e_ψ)）。
(Setup-2) τ'∈F_qが選択され、X^*(ψ)=τ'・(X(ψ)^-1)^Tを満たす行列X(ψ)，X^*(ψ)が選択される。
(Setup-3) 基底ベクトルa_i(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(21)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルb_i(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B(ψ)が生成される。

(Setup-4) 基底ベクトルa_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(23)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルb_i ^*(ψ)(i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルb_i ^*(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B^*(ψ)が生成される。
(Setup-5) B^*(ψ)＾の集合{B^*(ψ)＾}_ψ=0,...,Ψをマスタ秘密鍵MSK={B^*(ψ)＾}_ψ=0,...,Ψとする。B(ψ)＾の集合{B(ψ)＾}_ψ=0,...,Ψと1^secとparamとを公開パラメータPKとする。ただし、B^*(ψ)＾は行列B^*(ψ)又はその部分行列であり、B(ψ)＾は行列B(ψ)又はその部分行列である。集合{B^*(ψ)＾}_ψ=0,...,Ψは、少なくとも、b₁ ^*(0),b₁ ^*(λ) …,b_n(λ) ^*(λ)（λ=1,...,Ψ）を含む。集合{B(ψ)＾}_ψ=0,...,Ψは、少なくとも、b₁(0),b₁(λ),…,b_n(λ)(λ)（λ=1,...,Ψ）を含む。以下に一例を示す。

・n(0)+ζ(0)≧5, ζ(λ)=3・n(λ)
・B(0)＾=(b₁(0) b₃(0) b₅(0))^T
・B(λ)＾=(b₁(λ) … b_n(λ)(λ) b_3・n(λ)+1(λ) … b_4・n(λ)(λ))^T（λ=1,...,Ψ）
・B^*(0)＾=(b₁ ^*(0) b₃ ^*(0) b₄ ^*(0))^T
・B^*(λ)＾=(b₁ ^*(λ) … b_n(λ) ^*(λ) b_2・n(λ)+1 ^*(λ) … b_3・n(λ) ^*(λ))^T（λ=1,...,Ψ）

［GenKey(PK,MSK,LMT(MT,LAB))：秘密鍵生成］
−入力：公開パラメータPK，マスタ秘密鍵MSK，第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}に対応するラベル付き行列LMT(MT,LAB)
−出力：秘密鍵SKS

(GenKey-1) 式(35)-(39)を満たす秘密情報SEに対して以下の処理が実行される。
D^*(0)=-SE・b₁ ^*(0)+Σ_ι=2 ^Icoef_ι(0)・b_ι ^*(0) …(46)
ただし、Iは2以上n(0)+ζ(0)以下の定数である。coef_ι(0)∈F_qは定数又は乱数である。「乱数」とは真性乱数や擬似乱数を意味する。以下にD^*(0)の一例を示す。なお、式(47)のcoef₄(0)は乱数である。
D^*(0)=-SE・b₁ ^*(0)+b₃ ^*(0)+coef₄(0)・b₄ ^*(0) …(47)
(GenKey-2) 式(35)-(39)を満たすshare(λ)(λ=1,...,Ψ)に対して以下の処理が実行される。
LAB(λ)=v(λ)^→となるλに対して、以下のD^*(λ)が生成される。
D^*(λ)=(share(λ)+coef(λ)・v₁(λ))・b₁ ^*(λ)
+Σ_ι=2 ^n(λ)coef(λ)・v_ι(λ)・b_ι ^*(λ)
+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)coef_ι(λ)・b_ι ^*(λ) …(48)
LAB(λ)=¬v(λ)^→となるλに対して、以下のD^*(λ)が生成される。
D^*(λ)=share(λ)・Σ_ι=1 ^n(λ)v_ι(λ)・b_ι ^*(λ)
+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)coef_ι(λ)・b_ι ^*(λ) …(49)
ただしcoef(λ),coef_ι(λ)∈F_qは定数又は乱数である。以下に一例を示す。

LAB(λ)=v(λ)^→となるλに対して、例えば以下のD^*(λ)が生成される。
D^*(λ)=(share(λ)+coef(λ)・v₁(λ))・b₁ ^*(λ)
+Σ_ι=2 ^n(λ)coef(λ)・v_ι(λ)・b_ι ^*(λ)
+Σ_{ι=2・n(λ)+1} ^3・n(λ)coef_ι(λ)・b_ι ^*(λ) …(50)
LAB(λ)=¬v(λ)^→となるλに対して、例えば以下のD^*(λ)が生成される。
D^*(λ)=share(λ)・Σ_ι=1 ^n(λ)v_ι(λ)・b_ι ^*(λ)
+Σ_{ι=2・n(λ)+1} ^3・n(λ)coef_ι(λ)・b_ι ^*(λ) …(51)
なお、式(50)(51)のcoef(λ)及びcoef_ι(λ)は乱数である。
(GenKey-3) 以下の秘密鍵が生成される。
SKS=(LMT(MT,LAB),D^*(0),D^*(1),...,D(Ψ)) …(52)

［Enc(PK,M,VSET2)：暗号化］
−入力：公開パラメータPK，平文M，第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}(w₁(λ)=1_F)
−出力：暗号文C

(Enc-1) 以下の処理によって共通鍵Kの暗号文C(ψ)(ψ=0,...,Ψ)が生成される。
C(0)=υ・b₁(0)+Σ_ι=2 ^Iυ_ι(0)・b_ι(0) …(53)
C(λ)=υ・Σ_ι=1 ^n(λ)w_ι(λ)・b_ι(λ)+Σ_ι=n(λ)+1 ^n(λ)+ζ(λ)υ_ι(λ)・b_ι(λ) …(54)
ただし、υ,υ_ι(ψ)∈F_q(ψ=0,...,Ψ)は定数又は乱数であり、以下の関係が満たされる。
(coef₂(0),...,coef_I(0))・(υ₂(0),...,υ_I(0))=υ' …(55)
coef_ι(λ)・υ_ι(λ)=0_F (ι=n(λ)+1,...,n(λ)+ζ(λ)) …(56)
υ'の例はυ₂(0),...,υ_I(0)の何れか１個である。例えば、υ,υ₃(0),υ₅(0),υ_3・n(λ)+1(λ),...,υ_4・n(λ)(λ)が乱数であり、ζ(λ)=3・n(λ)、I=5であり、以下の関係が満たされる。
(υ₂(0),...,υ_I(0))=(0_F,υ₃(0),0_F,υ₅(0))
υ'=υ₃(0)
(υ_n(λ)+1(λ),...,υ_3・n(λ)(λ))=(0_F,...,0_F)
(Enc-2) 共通鍵
K=g_T ^{τ・τ'・υ'}∈G_T …(57)
が生成される。例えば、τ=τ'=1_Fの場合、以下の関係が満たされる。
K=g_T ^υ'∈G_T …(58)
(Enc-3) 共通鍵Kを用いて平文Mの暗号文C(Ψ+1)が生成される。
C(Ψ+1)=Enc_K(M) …(59)

共通鍵暗号方式Encは、例えば共通鍵Kを用いて暗号化可能に構成されたカメリア（Camellia）（登録商標）やAESや共通鍵と平文との排他的論理和などでよいが、その他の簡単な例として以下のようにEnc_K(M)を生成してもよい。ただし、式(60)の例ではM∈G_Tとされる。
C(Ψ+1)=g_T ^υ'・M …(60)
(Enc-4) 以下の暗号文が生成される。
C=(VSET2,C(0),{C(λ)}_{(λ,w(λ)→)∈VSET2},C(Ψ+1)) …(61)
ただし、下付き添え字の「w(λ)→」は「w(λ)^→」を表す。

［Dec(PK,SKS,C)：復号］
−入力：公開パラメータPK，秘密鍵SKS，暗号文C
−出力：平文M'

(Dec-1) λ=1,...,Ψについて、秘密鍵SKSが含むラベル付き行列LMT(MT,LAB)の各ラベルLAB(λ)であるn(λ)次元ベクトルv(λ)^→と暗号文CのVSET2が含むn(λ)次元ベクトルw(λ)^→との内積v(λ)^→・w(λ)^→が0となるか否かが判定され、これとLMT(MT,LAB)の各ラベルLAB(λ)とによってGV^→∈span<MT_TFV>であるか否かが判定される（式(40)-(45)）。GV^→∈span<MT_TFV>でなければ暗号文Cが拒絶され、GV^→∈span<MT_TFV>であれば暗号文Cが受け入れられる。
(Dec-2) 暗号文Cが受け入れられると、SET⊆{1,...,λ|LIT(λ)=1}と式(45)を満たす係数const(μ)(μ∈SET)とが計算される。
(Dec-3) 以下の共通鍵が生成される。

式(6)(25)(55)より、以下の関係が満たされる。

式(6)(25)(41)(48)(54)(56)及びw₁(λ)=1_Fより、以下の関係が満たされる。

式(6)(25)(42)(49)(54)(56)より以下の関係がみたされる。

を満たす。

式(45)(63)-(65)より以下の関係が満たされる。

例えば、τ=τ'=1_Fの場合、以下の関係が満たされる。
K=g_T ^υ'∈G_T …(67)

(Dec-4) 共通鍵Kを用い、以下のように平文M'が生成される。
M'=Dec_K(C(Ψ+1))=Dec_K(C(Ψ+1)) …(68)
例えば、式(60)に例示した共通鍵暗号方式の場合、以下のように平文M'が生成される。
M'=C(Ψ+1)/K …(69)

なお、g_TをG_Tの生成元とする代わりにg_T ^τやg_T ^τ'やg_T ^τ・τ'をG_Tの生成元と扱ってもよい。秘密鍵SKSのλと暗号文のλとを対応関係を特定する写像を用いてC(λ)とD^*(λ)との組み合わせを特定し、［Dec(PK,SKS,C)：復号］の処理が実行されてもよい。第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の1番目の要素w₁(λ)が1_Fとされるだけではなく、第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}のn(λ)番目の要素v_n(λ)(λ)が1_Fとされてもよい。要素w₁(λ)が1_Fでない場合にはw(λ)^→の代わりにw(λ)^→/w₁(λ)を用いてもよく、要素v_n(λ)(λ)が1_Fでない場合にはv(λ)^→の代わりにv(λ)^→/v_n(λ)(λ)を用いてもよい。第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}の代わりに第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}が用いられ、第２情報VSET2={λ,w(λ)^→|λ=1,...,Ψ}の代わりに第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}が用いられてもよい。この場合には第１情報VSET1={λ,v(λ)^→|λ=1,...,Ψ}の1番目の要素v₁(λ)が1_Fとされる。

［その他の変形例等］
なお、本発明は上述の実施形態に限定されるものではない。例えば、上記の実施形態の秘密鍵ｕｓｋ_ｉは、端末装置１２，２２−ｉの識別情報Ｕ_ｉと有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む情報に対応するものであった。しかしながら、秘密鍵ｕｓｋ_ｉが識別情報Ｕ_ｉに対応せず、有効時間区間ＴＦに属する時間ｔｉｍｅ∈ＴＦに対応する情報を含む情報に対応するものであってもよい。また、共有情報Ｃが予め生成されていてもよいし、共有情報Ｃが定数であってもよい。さらに共有情報Ｃは第２実施形態で例示したものには限定されない。例えば、公知の鍵配送方式で鍵配送がなされる端末装置間で共有されるその他の情報を共有情報Ｃとしてもよい。また、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。すなわち、これらの装置の一部からなる組み合わせが、同一の装置であってもよい。上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ 鍵配送システム
１１，２１ 鍵配送管理装置
１２−ｋ，２２−ｋ 端末装置

Claims (10)

1. 関数暗号方式に則って第１シード値を暗号化し、有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵で復号可能な暗号文を得、前記暗号文と共有情報とを出力する第１配送処理部と、
   前記共有情報が秘匿化された秘匿化共有情報が入力され、前記秘匿化共有情報と管理秘密値とに応じた第２シード値の秘匿化情報を得、前記第２シード値の秘匿化情報を出力する第２配送処理部と、
   を有する鍵配送管理装置。
2. 請求項１の鍵配送管理装置であって、
   前記共有情報と新たな管理秘密値とに応じた新たな共有情報を得、前記新たな共有情報と前記秘匿化共有情報とを出力する第３配送処理部と、
   前記新たな共有情報が秘匿化された新たな秘匿化共有情報が入力され、前記新たな秘匿化共有情報と前記新たな管理秘密値とに応じた新たな第２シード値の秘匿化情報を得、前記新たな第２シード値の秘匿化情報を出力する第４配送処理部を有する、鍵配送管理装置。
3. 請求項１の鍵配送管理装置であって、
   前記秘匿化共有情報と新たな管理秘密値とに応じた新たな第２シード値の秘匿化情報を得、前記新たな第２シード値の秘匿化情報を出力する第５配送処理部を有する、鍵配送管理装置。
4. 請求個１から３の何れかの鍵配送管理装置であって、
   前記関数暗号方式に則って新たな第１シード値を暗号化し、新たな有効時間区間に属する時間に対応する情報を含む情報に対応する新たな秘密鍵で復号可能な新たな暗号文を得、前記新たな暗号文を出力する第６配送処理部を有する、鍵配送管理装置。
5. 暗号文が入力され、有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵を用い、関数暗号方式に則って前記暗号文を復号して第１シード値を得る第１処理部と、
   共有情報が入力され、前記共有情報と端末秘密値の逆元とに応じた秘匿化共有情報を得、前記秘匿化共有情報を出力する第２処理部と、
   第２シード値の秘匿化情報が入力され、前記第２シード値の秘匿化情報と前記端末秘密値とに応じた第２シード値を得る第３処理部と、
   前記第１シード値を含む情報と前記第２シード値を含む情報とに対応する共通鍵を得る第４処理部と、
   を有する端末装置。
6. 請求項５の端末装置であって、
   前記共通鍵は、前記第１シード値に関する情報および前記第２シード値に関する情報が隠蔽された情報である、端末装置。
7. 請求項５または６の端末装置であって、
   新たな第２シード値の秘匿化情報が入力され、前記新たな第２シード値の秘匿化情報と前記端末秘密値とに応じた新たな第２シード値を得る第５処理部を有する端末装置。
8. 暗号文が入力され、有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵を用い、関数暗号方式に則って前記暗号文を復号して第１シード値を得る第１処理部と、
   秘匿化共有情報が入力され、前記秘匿化共有情報と端末秘密値とに応じた新たな秘匿化共有情報を得、前記新たな秘匿化共有情報を出力する第６処理部と、
   新たな共有情報が入力され、前記新たな共有情報と前記端末秘密値とに応じた新たな第２シード値を得る第７処理部と、
   前記第１シード値を含む情報と前記第２シード値を含む情報とに対応する共通鍵を得る第４処理部と、
   を有する端末装置。
9. 鍵配送管理装置と複数の端末装置とを有する鍵配送システムであって、
   前記鍵配送管理装置は、
   関数暗号方式に則って第１シード値を暗号化し、有効時間区間に属する時間に対応する情報を含む情報に対応する秘密鍵で復号可能な暗号文を得、前記暗号文と共有情報とを前記端末装置に出力する第１配送処理部を含み、
   前記端末装置は、
   前記暗号文が入力され、前記秘密鍵を用い、前記関数暗号方式に則って前記暗号文を復号して第１シード値を得る第１処理部と、
   前記共有情報が入力され、前記共有情報と端末秘密値の逆元とに応じた秘匿化共有情報を得、前記秘匿化共有情報を出力する第２処理部と、を含み、
   前記鍵配送管理装置は、
   前記秘匿化共有情報が入力され、前記秘匿化共有情報と管理秘密値とに応じた第２シード値の秘匿化情報を得、前記第２シード値の秘匿化情報を出力する第２配送処理部を含み、
   前記端末装置は、
   前記第２シード値の秘匿化情報が入力され、前記第２シード値の秘匿化情報と前記端末秘密値とに応じた第２シード値を得る第３処理部と、
   前記第１シード値を含む情報と前記第２シード値を含む情報とに対応する共通鍵を得る第４処理部とを含む、鍵配送システム。
10. 請求項１から４の何れかの鍵配送管理装置または請求項５から８の何れかの端末装置としてコンピュータを機能させるためのプログラム。

Images