JP6625283B2 - 暗号化装置、復号装置、暗号化方法、暗号化プログラム、復号方法及び復号プログラム - Google Patents

Description

この発明は、高い安全性を持つＩＤベース暗号（Ｉｄｅｎｔｉｔｙ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，以下ＩＢＥ）方式と、高い安全性を持つ属性ベース暗号（Ａｔｔｒｉｂｕｔｅ Ｂａｓｅｄ Ｅｎｃｒｙｐｔｉｏｎ，以下ＡＢＥ）方式との少なくともいずれかに関する。

量子計算機の開発が、世界的に進められている。量子計算機に対しても安全性を維持できる暗号方式として、同種写像を用いた暗号の提案が行われている。非特許文献１には、Ｉｓｏｇ−ＤＢＤＨ仮定に基づいてプレチャレンジ量子安全性が示されていた部分的に耐量子性をもつ属性ベース暗号方式が記載されている。

Ｋｏｓｈｉｂａ， Ｔ．， Ｔａｋａｓｈｉｍａ， Ｋ．： Ｐａｉｒｉｎｇ ｃｒｙｐｔｏｇｒａｐｈｙ ｍｅｅｔｓ ｉｓｏｇｅｎｙ： Ａ ｎｅｗ ｆｒａｍｅｗｏｒｋ ｏｆ ｉｓｏｇｅｎｏｕｓ ｐａｉｒｉｎｇ ｇｒｏｕｐｓ． ＩＡＣＲ Ｃｒｙｐｔｏｌｏｇｙ ｅＰｒｉｎｔ Ａｒｃｈｉｖｅ ２０１６， １１３８ （２０１６）

しかし、非特許文献１に記載された方式は、これまで広く使われてきたＤＢＤＨ仮定のようなペアリング系の問題困難性から安全性が証明できるかどうかは不明であった。一般に、同種写像問題は、耐量子性を示すなど、ペアリング系の問題より困難と認識されている一方、まだ困難性の検証が十分になされていないため、未知の攻撃発見が懸念されている。
この発明は、複数の問題困難性から安全性を示すことができる暗号方式を構成可能にすることを目的とする。

この発明に係る暗号化装置は、
群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける暗号化装置であり、
前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_’を生成する暗号文生成部であって、前記要素Ｘは前記群Ｇ_Ｔの生成元が鍵生成乱数によって変換されて生成された、又は、前記要素Ｙ＾は前記群Ｇ＾_ｔの生成元が鍵生成乱数によって変換されて生成された前記生成要素を用いて暗号文ｃｔ_’を生成する暗号文生成部
を備え、
前記暗号文生成部は、
前記要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍを設定して前記暗号文ｃｔ_’の要素である暗号要素ｃ_Ｔを生成する第１暗号要素生成部と、
前記要素Ｙ＾に対して前記暗号化乱数ζを設定して前記暗号文ｃｔ_’の要素である暗号要素ｃを生成する第２暗号要素生成部と
を備える。

この発明では、対応付けが行われた複数の群を用いることにより、ある問題困難性から安全性を示すことを可能とすることができる。また、この発明では、鍵生成乱数によって変換されて生成された生成要素を用いて暗号文ｃｔ_ＩＤ’を生成することにより、別の問題困難性から安全性を示すことを可能とすることができる。

実施の形態１に係るＩＢＥ方式で用いられる同種ペアリンググループの説明図。 実施の形態１に係る暗号システム１の構成図。 実施の形態１に係る鍵生成装置１０の構成図。 実施の形態１に係る暗号化装置２０の構成図。 実施の形態１に係る復号装置３０の構成図。 実施の形態１に係るＳｅｔｕｐアルゴリズムのフローチャート。 実施の形態１に係るＩＰＧの説明図。 実施の形態１に係るＫｅｙＧｅｎアルゴリズムのフローチャート。 実施の形態１に係るＥｎｃアルゴリズムのフローチャート。 実施の形態１に係るＤｅｃアルゴリズムのフローチャート。 変形例１に係る鍵生成装置１０の構成図。 変形例１に係る暗号化装置２０の構成図。 変形例１に係る復号装置３０の構成図。 実施の形態２に係るＩＤ群の性質の説明図。 実施の形態２に係るＳｅｔｕｐアルゴリズムにおけるＩＤ群の説明図。 実施の形態２に係るＫｅｙＧｅｎアルゴリズムにおけるＩＤ群の説明図。 実施の形態２に係るＥｎｃアルゴリズムにおけるＩＤ群の説明図。 実施の形態２に係るＤｅｃアルゴリズムにおけるＩＤ群の説明図。 実施の形態２に係る鍵生成装置１０の構成図。 実施の形態２に係る暗号化装置２０の構成図。 実施の形態２に係るＳｅｔｕｐアルゴリズムのフローチャート。 実施の形態２に係るＫｅｙＧｅｎアルゴリズムのフローチャート。 実施の形態２に係るＥｎｃアルゴリズムのフローチャート。 実施の形態３に係る暗号システム１の構成図。 実施の形態５に係る暗号システム１の構成図。 実施の形態５に係る鍵委譲装置４０の構成図。 実施の形態５に係るＤｅｌｅｇａｔｅアルゴリズムのフローチャート。

実施の形態１．
実施の形態１では、高安全高効率なＩＢＥ方式を説明する。

＊＊＊表記の説明＊＊＊
以下の説明における記法について説明する。
なお、以下の説明では、数式中で変数の上に記載された記号等が、文中では変数の右上に示される。具体的には、記号“＾”及び記号“→”は、数式中では変数の上に記載されるが、文中では変数の右上に示される。例えば、数１０１は、文中ではＢ＾と記載される。

また、ベクトルを表す記号“→”が上付き文字に付される場合、記号“→”は上付文字に対する上付き文字で示されているものとする。つまり、ｇ^ｙ→は、ｙ^→がｇの上付き文字として示されていることを意味する。

Ａがランダムな変数または分布であるとき、数１０２は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０２において、ｙは乱数である。

Ａが集合であるとき、数１０３は、Ａからｙを一様に選択することを表す。つまり、数１０３において、ｙは一様乱数である。

数１０４、つまりＦ_ｑは、位数ｑの有限体を示す。

０より大きい整数ｎについて、数１０５が成立するものとする。

数１０６は、数１０７に示す２つのベクトルｙ^→とｖ^→との数１０８に示す内積を表す。

数１０９に示す直積群Ｋの要素ｇ（ｒｅｓｐ．直積群Ｋ＾の要素ｇ＾）と、数１１０に示すベクトルｙとに対して、ｇ^ｙ→は、数１１１に示す群要素を示す。

スカラーζ∈Ｆ_ｑに対して、ｇ^ζは、数１１２に示すスカラー累乗を示す。

上述した直積群Ｋ及び直積群Ｋ＾の要素ｇ：＝（ｇ_ｉ）及び要素ｇ＾：＝（ｇ＾_ｉ）に対して、ペアリングｅ_ｉが数１１３に示す空間で定義されているなら、ペアリングｅ_Ｋは、数１１４のように定義される。

＊＊＊概念の説明＊＊＊
図１を参照して、実施の形態１に係るＩＢＥ方式で用いられる同種ペアリンググループ（以下、ＩＰＧ）について説明する。

ＩＰＧは、同種写像とペアリング演算とによって対応付けられた複数の群を有する。
具体的には、ＩＰＧは、群Ｇ_０と、群Ｇ_０と同種写像φ_ｔによって対応付けられたｔ＝１，．．．，ｄの各群Ｇ_ｔと、群Ｇ＾_０と同種写像φ_ｔによって対応付けられたｔ＝１，．．．，ｄの各群Ｇ＾_ｔと、ｔ＝０，．．．，ｄの各群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付られた群Ｇ_Ｔとを有する。そして、ＩＰＧでは、要素が群Ｇ_０×群Ｇ＾_０からペアリング演算ｅ_０で変換された場合と、ｔ＝１，．．．，ｄのいずれの整数ｔについての同種写像φ_ｔによって群Ｇ_０×群Ｇ＾_０から群Ｇ_ｔ×群Ｇ＾_ｔに変換された上で、ペアリング演算ｅ_ｔによって変換された場合とで、結果は等しくなる。
例えば、ｔ＝０，．．．，ｄの各整数ｔについての群Ｇ_ｔ及び群Ｇ＾_ｔは、異なる楕円曲線における群である。

より正確には、ＩＰＧは以下のように定義される。
ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，Ｎ）では、数１１５に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアがランダムに生成される。

ここで、（Ｇ_ｔ，Ｇ＾_ｔ，ｅ_ｔ，Ｇ_Ｔ）は、ペアリング演算ｅ_ｔ：Ｇ_ｔ×Ｇ＾_ｔ→Ｇ_Ｔと、トラップドア準同型写像φ_ｔとを有する素数位数ｑの非対称ペアリング群である。トラップドア準同型写像φ_ｔは、異なる楕円曲線の間の同種写像によって与えられた自然な同一性Ｇ＝Ｇ×１_Ｇ＾及びＧ＾＝１_Ｇ×Ｇ＾の下でのＧ_ｔ＝φ_ｔ（Ｇ_０）及びＧ＾_ｔ＝φ_ｔ（Ｇ＾_０）であるＧ_０×Ｇ＾_０からＧ_ｔ×Ｇ＾_ｔへの写像である。ｇ_ｔ＝φ_ｔ（ｇ_０）∈Ｇ_ｔ，ｇ＾_ｔ＝φ_ｔ（ｇ＾_０）∈Ｇ＾_ｔである。
ＩＰＧは、数１１６に示す両立性を有する。

ここで、ｇ_Ｔ＝ｅ_０（ｇ_０，ｇ＾_０）≠１である。また、Ｇ_ｔ≠Ｇ＾_ｔである。

＊＊＊構成の説明＊＊＊
実施の形態１に係るＩＢＥ方式の構成を説明する。
ＩＢＥ方式は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとを備える。
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、公開パラメータｐｋと、マスター秘密鍵ｍｓｋとを出力する。
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター秘密鍵ｍｓｋと、識別子ＩＤとを入力として、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤを出力する。
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージ空間ｍｓｇにおけるメッセージｍと、識別子ＩＤ’とを入力として、暗号文ｃｔ_ＩＤ’を出力する。
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤと、識別子ＩＤ’の下で暗号化された暗号文ｃｔ_ＩＤ’とを入力として、メッセージｍ’∈ｍｓｇ、又は、復号に失敗したことを示す識別情報⊥を出力する。

図２を参照して、実施の形態１に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０とを備える。鍵生成装置１０と、暗号化装置２０と、復号装置３０とは、伝送路を介して接続されている。伝送路は、具体例としては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、又は、インターネットである。鍵生成装置１０と、暗号化装置２０と、復号装置３０とは、伝送路を介して通信可能である。

鍵生成装置１０は、セキュリティパラメータ１^λを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋと、マスター秘密鍵ｍｓｋとを生成する。また、鍵生成装置１０は、公開パラメータｐｋと、マスター秘密鍵ｍｓｋと、識別子ＩＤとを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。
鍵生成装置１０は、公開パラメータｐｋを公開し、復号鍵ｓｋ_ＩＤを識別子ＩＤに対応する復号装置３０に出力する。鍵生成装置１０は、マスター秘密鍵ｍｓｋを保管する。
なお、Ｓｅｔｕｐアルゴリズムは、暗号システム１０のセットアップ時等に１度だけ実行されればよい。

暗号化装置２０は、公開パラメータｐｋと、メッセージｍと、識別子ＩＤ’とを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。暗号化装置２０は、暗号文ｃｔ_ＩＤ’を復号装置３０に出力する。

復号装置３０は、公開パラメータｐｋと、復号鍵ｓｋ_ＩＤと、暗号文ｃｔ_ＩＤ’とを入力として、Ｄｅｃアルゴリズムを実行して、メッセージｍ’、又は、復号に失敗したことを示す識別情報⊥を生成する。

図３を参照して、実施の形態１に係る鍵生成装置１０の構成を説明する。
鍵生成装置１０は、プロセッサ１１と、記憶装置１２と、入出力インタフェース１３とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

鍵生成装置１０は、機能構成要素として、マスター鍵生成部１４と、復号鍵生成部１５と、鍵出力部１６とを備える。マスター鍵生成部１４と、復号鍵生成部１５と、鍵出力部１６との各部の機能はソフトウェアにより実現される。
記憶装置１２には、鍵生成装置１０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ１１により読み込まれ、プロセッサ１１によって実行される。これにより、鍵生成装置１０の各部の機能が実現される。

図４を参照して、実施の形態１に係る暗号化装置２０の構成を説明する。
暗号化装置２０は、プロセッサ２１と、記憶装置２２と、入出力インタフェース２３とのハードウェアを備える。プロセッサ２１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

暗号化装置２０は、機能構成要素として、取得部２４と、暗号文生成部２５と、暗号文出力部２６とを備える。暗号文生成部２５は、変換情報生成部２５１と、第１暗号要素生成部２５２と、第２暗号要素生成部２５３とを備える。取得部２４と、暗号文生成部２５と、変換情報生成部２５１と、第１暗号要素生成部２５２と、第２暗号要素生成部２５３と、暗号文出力部２６との各部の機能はソフトウェアにより実現される。
記憶装置２２には、暗号化装置２０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ２１により読み込まれ、プロセッサ２１によって実行される。これにより、暗号化装置２０の各部の機能が実現される。

図５を参照して、実施の形態１に係る復号装置３０の構成を説明する。
復号装置３０は、プロセッサ３１と、記憶装置３２と、入出力インタフェース３３とのハードウェアを備える。プロセッサ３１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

復号装置３０は、機能構成要素として、取得部３４と、復号部３５と、メッセージ出力部３６とを備える。取得部３４は、復号鍵取得部３４１と、暗号文取得部３４２とを備える。復号部３５は、変換情報生成部３５１と、メッセージ生成部３５２とを備える。取得部３４と、復号鍵取得部３４１と、暗号文取得部３４２と、復号部３５と、変換情報生成部３５１と、メッセージ生成部３５２と、メッセージ出力部３６との各部の機能はソフトウェアにより実現される。
記憶装置３２には、復号装置３０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ３１により読み込まれ、プロセッサ３１によって実行される。これにより、復号装置３０の各部の機能が実現される。

プロセッサ１１，２１，３１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ１１，２１，３１は、具体例としては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

記憶装置１２，２２，３２は、具体例としては、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。また、記憶装置１２，２２，３２は、は、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリカード、ＣＦ（ＣｏｍｐａｃｔＦｌａｓｈ）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体であってもよい。

入出力インタフェース１３，２３，３３は、外部からデータの入力を受け付け、外部へデータを出力するためのインタフェースである。入出力インタフェース１３，２３，３３は、具体例としては、キーボードといった入力装置と、ディスプレイといった出力装置とを接続するＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）、ＰＳ／２、ＨＤＭＩ（登録商標、Ｈｉｇｈ−Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）といったコネクタである。また、入出力インタフェース１３，２３，３３は、具体例としては、外部からネットワークを介してデータを送受信するＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）であってもよい。

プロセッサ１１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置１２、又は、プロセッサ１１内のレジスタ又はキャッシュメモリに記憶される。同様に、プロセッサ２１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置２２、又は、プロセッサ２１内のレジスタ又はキャッシュメモリに記憶される。同様に、プロセッサ３１によって実現される各部の機能の処理の結果を示す情報とデータと信号値と変数値は、記憶装置３２、又は、プロセッサ３１内のレジスタ又はキャッシュメモリに記憶される。

プロセッサ１１によって実現される各機能を実現するプログラムは、記憶装置１２に記憶されているとした。同様に、プロセッサ２１によって実現される各機能を実現するプログラムは、記憶装置２２に記憶されているとした。同様に、プロセッサ３１によって実現される各機能を実現するプログラムは、記憶装置３２に記憶されているとした。しかし、このプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬記憶媒体に記憶されてもよい。

図３では、プロセッサ１１は、１つだけ示されていた。しかし、鍵生成装置１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、鍵生成装置１０の各部の機能を実現するプログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、プロセッシングを行うＩＣである。同様に、暗号化装置２０は、プロセッサ２１を代替する複数のプロセッサを備えていてもよい。また、復号装置３０は、プロセッサ３１を代替する複数のプロセッサを備えていてもよい。

＊＊＊動作の説明＊＊＊
図３から図１０を参照して、実施の形態１に係る暗号システム１の動作を説明する。
実施の形態１に係る暗号システム１の動作は、実施の形態１に係る暗号方法に相当する。また、実施の形態１に係る暗号システム１の動作は、実施の形態１に係る暗号プログラムの処理に相当する。
実施の形態１に係る鍵生成装置１０の動作は、実施の形態１に係る鍵生成方法に相当する。また、実施の形態１に係る鍵生成装置１０の動作は、実施の形態１に係る鍵生成プログラムの処理に相当する。
実施の形態１に係る暗号化装置２０の動作は、実施の形態１に係る暗号化方法に相当する。また、実施の形態１に係る暗号化装置２０の動作は、実施の形態１に係る暗号化プログラムの処理に相当する。
実施の形態１に係る復号装置３０の動作は、実施の形態１に係る復号方法に相当する。また、実施の形態１に係る復号装置３０の動作は、実施の形態１に係る復号プログラムの処理に相当する。

図３及び図６を参照して、実施の形態１に係るＳｅｔｕｐアルゴリズムを説明する。
Ｓｅｔｕｐアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ１１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、ｄ＝１とを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実行して、数１１７に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

つまり、図７に示すように、実施の形態１では、ｔ＝０，１についての群Ｇ_ｔ及び群Ｇ＾_ｔとペアリング演算ｅ_ｔと、群Ｇ_Ｔと、同種写像φ_１とが生成される。
なお、図７に示されるように、Ｇ_０からＧ_１への変換が“復号鍵生成（ＫｅｙＧｅｎ）”に、Ｇ_０×Ｇ＾_０からＧ_Ｔへの変換が“暗号化（Ｅｎｃ）”に、Ｇ_１×Ｇ＾_１からＧ_Ｔへの変換が“復号（Ｄｅｃ）”に大まかに対応している。

（ステップＳ１２：ハッシュ関数生成処理）
マスター鍵生成部１４は、識別子の空間である体Ｆ_ｑの要素を、群Ｇ_０の要素に変換するランダムなハッシュ関数Ｈを生成する。

（ステップＳ１３：鍵生成乱数生成処理）
マスター鍵生成部１４は、一様乱数である鍵生成乱数γを生成する。

（ステップＳ１４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ１１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ１２で生成されたハッシュ関数Ｈとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｅ_ｔ）_{ｔ＝０，１}，ｇ＾_０’：＝ｇ＾_０ ^γ，ｇ＾_１，Ｇ_Ｔ，Ｈ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ１１で生成されたマスター秘密鍵ｍｓｋ^ＩＰＧと、ステップＳ１３で生成された鍵生成乱数γとを用いて、マスター秘密鍵ｍｓｋ：＝（φ_１，γ）を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１１８に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図３及び図８を参照して、実施の形態１に係るＫｅｙＧｅｎアルゴリズムを説明する。
ＫｅｙＧｅｎアルゴリズムは、鍵生成装置１０によって実行される。

（ステップＳ２１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。識別子ＩＤは、例えば、鍵生成装置１０の使用者によって入力装置を介して入力される。

（ステップＳ２２：鍵要素生成処理）
復号鍵生成部１５は、ステップＳ２１で受け付けられた識別子ＩＤを入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。
復号鍵生成部１５は、マスター秘密鍵ｍｓｋに含まれる同種写像φ_１及び鍵生成乱数γで要素ｈ_０を変換して、要素ｈ_１を生成する。具体的には、復号鍵生成部１５は、数１１９に示すように、同種写像φ_１及び鍵生成乱数γで要素ｈ_０を変換して、鍵要素ｋである要素ｈ_１を生成する。

つまり、要素ｈ_１は、鍵生成乱数γで変換された群Ｇ_ｔ（＝群Ｇ_１）の要素である。

（ステップＳ２３：鍵出力処理）
鍵出力部１６は、ステップＳ２１で受け付けられた識別子ＩＤと、ステップＳ２２で生成された要素ｈ_１とを含む復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。この際、鍵出力部１６は、何らかの暗号方式で暗号化するといった方法により、復号鍵ｓｋ_ＩＤが第三者に漏えいしないようにする。

つまり、復号鍵生成部１５は、数１２０に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図４及び図９を参照して、実施の形態１に係るＥｎｃアルゴリズムを説明する。
Ｅｎｃアルゴリズムは、暗号化装置２０によって実行される。

（ステップＳ３１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。メッセージｍと識別子ＩＤ’とは、例えば、暗号化装置２０の使用者によって入力装置を介して入力される。

（ステップＳ３２：暗号文生成処理）
暗号文生成部２５は、ステップＳ３１で取得された公開パラメータｐｋ及び識別子ＩＤ’を用いて、暗号文ｃｔ_ＩＤ’の要素を生成する。暗号文生成部２５は、群Ｇ_Ｔの要素Ｘと群Ｇ＾_ｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_ＩＤ’の要素を生成する。ここで、要素Ｘは、後述するｅ_０（ｈ_０，ｇ＾_０’）のことであり、要素Ｙ＾は、公開パラメータｐｋに含まれるｇ＾_１のことである。
暗号文生成処理は、ステップＳ３２１からステップＳ３２３の処理を含む。

（ステップＳ３２１：変換情報生成処理）
変換情報生成部２５１は、ステップＳ３１で受け付けられた識別子ＩＤ’を入力として、公開パラメータｐｋに含まれるハッシュ関数Ｈを計算して、群Ｇ_０の要素である要素ｈ_０を生成する。また、変換情報生成部２５１は、一様乱数である暗号化乱数ζを生成する。
変換情報生成部２５１は、要素ｈ_０と、暗号化乱数ζとを用いて、数１２１に示すように、変換情報ｚを生成する。

つまり、変換情報生成部２５１は、群Ｇ_Ｔの要素Ｘであるｅ_０（ｈ_０，ｇ＾_０’）を、暗号化乱数ζを用いて変換して変換情報ｚを生成する。また、要素Ｘであるｅ_０（ｈ_０，ｇ＾_０’）は、ｇ＾_０’：＝ｇ＾_０ ^γを含んでいるため、群Ｇ_Ｔの生成元（ｇ＾_０）が鍵生成乱数γによって変換されて生成されている。

（ステップＳ３２２：第１暗号要素生成処理）
第１暗号要素生成部２５２は、数１２２に示すように、ステップＳ３２１で生成された変換情報ｚに対して、メッセージｍを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ_Ｔを生成する。

（ステップＳ３２３：第２暗号要素生成処理）
第２暗号要素生成部２５３は、数１２３に示すように、要素Ｙ＾であるｇ＾_１に対して暗号化乱数ζを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃを生成する。

（ステップＳ３３：暗号文出力処理）
暗号文出力部２６は、ステップＳ３１で受け付けられた識別子ＩＤ’と、ステップＳ３２で生成された暗号要素ｃ_Ｔ，ｃとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１２４に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図５及び図１０を参照して、実施の形態１に係るＤｅｃアルゴリズムを説明する。
Ｄｅｃアルゴリズムは、復号装置３０によって実行される。

（ステップＳ４１：取得処理）
取得部３４は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_ＩＤと、暗号化装置２０によって生成された暗号文ｃｔ_ＩＤ’とを取得する。
取得処理は、ステップＳ４１１とステップＳ４１２との処理を含む。

（ステップＳ４１１：復号鍵取得処理）
復号鍵取得部３４１は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_ＩＤを取得する。ここで、復号鍵ｓｋ_ＩＤは、鍵生成乱数γで変換された群Ｇ_ｔ（＝群Ｇ_１）の要素である要素ｈ_１を鍵要素ｋとして含む。

（ステップＳ４１２：暗号文取得処理）
暗号文取得部３４２は、暗号化装置２０によって生成された暗号文ｃｔ_ＩＤ’を取得する。ここで、暗号文ｃｔ_ＩＤ’は、暗号要素ｃ_Ｔと、暗号要素ｃとが含まれる。暗号要素ｃ_Ｔは、群Ｇ_Ｔの生成元（ｅ_０（ｈ_０，ｇ＾_０））が鍵生成乱数γによって変換されて生成された要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに、メッセージｍが設定されている。暗号要素ｃは、要素Ｙ＾であるｇ＾_１に対して暗号化乱数ζが設定されている。

（ステップＳ４２：復号判定処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤに含まれる識別子ＩＤと、暗号文ｃｔ_ＩＤ’に含まれる識別子ＩＤ’とが等しいか否かを判定する。これにより、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤで復号可能かが判定される。
復号部３５は、識別子ＩＤと識別子ＩＤ’とが等しいと判定された場合、つまり復号可能と判定された場合、処理をステップＳ４３に進め、そうでない場合、処理をステップＳ４５に進める。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤにより、暗号文ｃｔ_ＩＤ’を復号して、メッセージｍ’を生成する。
復号処理は、ステップＳ４３１とステップＳ４３２との処理を含む。

（ステップＳ４３１：変換情報生成処理）
変換情報生成部３５１は、ステップＳ４１１で取得された復号鍵ｓｋ_ＩＤに含まれる要素ｈ_１と、ステップＳ４１２で取得された暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃとを用いて、数１２５に示すように、変換情報ｚ’を生成する。

ここで、数１２６であるため、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤが復号可能であれば、変換情報ｚ’と変換情報ｚとは同一になる。

（ステップＳ４３２：メッセージ生成処理）
メッセージ生成部３５２は、ステップＳ４３１で生成された変換情報ｚ’と、ステップＳ４１２で取得された暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃ_Ｔとを用いて、数１２７に示すように、メッセージｍ’を生成する。

（ステップＳ４４：メッセージ出力処理）
メッセージ出力部３６は、ステップＳ４３で計算されたメッセージｍ’を、入出力インタフェース３３を介して出力する。

（ステップＳ４５：識別情報出力処理）
メッセージ出力部３６は、復号に失敗したことを示す識別情報⊥を、入出力インタフェース３３を介して出力する。

つまり、復号装置３０は、数１２８に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る暗号システム１は、ＩＰＧを用いてＩＢＥ方式を実現する。ＩＰＧは、対応付けが行われた複数の群により構成される。そのため、複数の群の対応付けに使用された写像に基づく問題困難性から安全性を示すことを可能とすることができる。具体的には、ＩＰＧでは、群Ｇ_０と、ｔ＝１，．．．，ｄの各群Ｇ_ｔとの間と、群Ｇ＾_０と、ｔ＝１，．．．，ｄの各群Ｇ＾_ｔとの間とが同種写像φ_ｔによって対応付けられている。これにより、同種写像問題困難性から安全性を示すことを可能とすることができる。

また、実施の形態１に係る暗号システム１は、鍵生成乱数γによって変換された生成要素である要素Ｘを用いて暗号文ｃｔ_ＩＤ’を生成する。具体的には、暗号システム１は、要素Ｘであるｅ_０（ｈ_０，ｇ＾_０’）を用いて暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ_Ｔを生成する。要素Ｘであるｅ_０（ｈ_０，ｇ＾_０’）は、群Ｇ_Ｔの生成元（ｇ＾_０）が鍵生成乱数γによって変換されて生成されている。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能がソフトウェアで実現された。変形例１として、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。

図１１から図１３を参照して、変形例１に係る鍵生成装置１０、暗号化装置２０、復号装置３０の構成を説明する。
各部の機能がハードウェアで実現される場合、鍵生成装置１０、暗号化装置２０、復号装置３０は、プロセッサ１１，２１，３１と記憶装置１２，２２，３２とに代えて、電子回路１８，２８，３８を備える。電子回路１８，２８，３８は、鍵生成装置１０、暗号化装置２０、復号装置３０の各部の機能と、記憶装置１２，２２，３２の機能とを実現する専用の回路である。

電子回路１８，２８，３８は、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ（Ｇａｔｅ Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）が想定される。
鍵生成装置１０、暗号化装置２０、復号装置３０は、電子回路１８，２８，３８を代替する複数の電子回路を備えていてもよい。これら複数の電子回路により、全体として各部の機能が実現される。それぞれの電子回路は、電子回路１８，２８，３８と同じように、専用の回路である。

＜変形例２＞
変形例２として、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。つまり、鍵生成装置１０、暗号化装置２０、復号装置３０の各部のうち、一部の機能がハードウェアで実現され、他の機能がソフトウェアで実現されてもよい。

プロセッサ１１，２１，３１と記憶装置１２，２２，３２と電子回路１８，２８，３８とを、処理回路という。つまり、各部の機能は、処理回路により実現される。

実施の形態２．
実施の形態２では、高安全なベーシックＩＢＥ方式を説明する。
実施の形態２では、実施の形態１と同一の点については説明を省略し、異なる点を説明する。

＊＊＊キーテクニック＊＊＊
実施の形態２に係るＩＢＥ方式で用いられるキーテクニックを説明する。
従来ペアリングを用いて実現されたＩＢＥは、ただ一対のペアリング群Ｇ，Ｇ＾上に、秘密鍵及び暗号文をエンコードしていた。これに対して、実施の形態２に係るＩＢＥは、ＩＤ毎に異なる群Ｇ_ＩＤ，Ｇ＾_ＩＤをそのＩＤに対応させる。これらの群Ｇ_ＩＤ，Ｇ＾_ＩＤをＩＤ群と呼ぶ。
これにより、図１４に示す関係が成立する。図１４では、矢印は、“ｉｆ ａｎｄ ｏｎｌｙ ｉｆ”を意味する。つまり、ＩＤ≠ＩＤ’である場合かつその場合に限り、Ｇ_ＩＤ≠Ｇ_ＩＤ’である。また、Ｇ_ＩＤ≠Ｇ_ＩＤ’である場合かつその場合に限り、Ｇ＾_ＩＤ≠Ｇ＾_ＩＤ’である。

図１５から図１８を参照して具体的に説明する。なお、以下の説明でＩＤｊが下付きで示されている場合には、このＩＤｊはＩＤ_ｊを意味し、ＩＤ’ｊが下付きで示されている場合には、このＩＤ’ｊはＩＤ’_ｊを意味する。
図１５に示すように、Ｓｅｔｕｐアルゴリズムでは、群Ｇ_ｔとして、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについての群Ｇ_ｊ，ι及び群Ｇ＾_ｊ，ιが生成される。つまり、２ｎ個の群Ｇ_ｊ，ι及び２ｎ個の群Ｇ＾_ｊ，ιが生成される。
図１６に示すように、ＫｅｙＧｅｎアルゴリズムでは、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ_ｊの集合であるＩＤが入力される。ここで、ＩＤ_ｊは、０又は１である。そして、ｊ＝１，．．．，ｎの各整数ｊについて、ＩＤ_ｊに対して、群Ｇ_{ｊ，ＩＤｊ}が割り当てられる。ｊ＝１，．．．，ｎの各整数ｊについて、ＩＤ_ｊに割り当てられた群Ｇ_{ｊ，ＩＤｊ}の直積がＩＤ群Ｇ_ＩＤである。つまり、ＩＤ＝０１．．．１０である場合には、ＩＤ群Ｇ_ＩＤ：＝Ｇ_１，０×Ｇ_２，１×・・・×Ｇ_{ｎ−１，１}×Ｇ_ｎ，０である。
図１７に示すように、Ｅｎｃアルゴリズムでは、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ’_ｊの集合であるＩＤ’が入力される。ここで、ＩＤ’_ｊは、０又は１である。そして、ｊ＝１，．．．，ｎの各整数ｊについて、ＩＤ’_ｊに対して、群Ｇ＾_{ｊ，ＩＤ’ｊ}が割り当てられる。ｊ＝１，．．．，ｎの各整数ｊについて、ＩＤ’_ｊに割り当てられた群Ｇ＾_{ｊ，ＩＤ’ｊ}の直積がＩＤ群Ｇ＾_ＩＤ’である。つまり、ＩＤ’＝０１．．．１０である場合には、ＩＤ群Ｇ＾_ＩＤ’：＝Ｇ＾_１，０×Ｇ＾_２，１×・・・×Ｇ＾_{ｎ−１，１}×Ｇ＾_ｎ，０である。
図１８に示すように、Ｄｅｃアルゴリズムでは、ｊ＝１，．．．，ｎの各整数ｊについて、ＩＤ_ｊに割り当てられた群Ｇ_{ｊ，ＩＤｊ}の要素と、ＩＤ’_ｊに割り当てられた群Ｇ＾_{ｊ、ＩＤ’ｊ}の要素とのペアリング演算の直積が計算される。このとき、ＩＤ＝ＩＤ’であれば、ｊ＝１，．．．，ｎの各整数ｊについての群Ｇ_{ｊ，ＩＤｊ}と群Ｇ＾_{ｊ，ＩＤ’ｊ}とが対応している。そのため、ｊ＝１，．．．，ｎの各整数ｊについてペアリング演算が計算された結果が群Ｇ_Ｔの要素になる。しかし、ＩＤ≠ＩＤ’である場合には、ｊ＝１，．．．，ｎのうち少なくとも一部の整数ｊについての群Ｇ_{ｊ，ＩＤｊ}と群Ｇ＾_{ｊ，ＩＤ’ｊ}とが対応していない。そのため、ｊ＝１，．．．，ｎのうち少なくとも一部の整数ｊについてペアリング演算が計算された結果が群Ｇ_Ｔの要素にならない。一部の整数ｊについてでもペアリング演算が計算された結果が群Ｇ_Ｔの要素にならなければ、正しく復号することはできない。

＊＊＊構成の説明＊＊＊
図１９を参照して、実施の形態２に係る鍵生成装置１０の構成を説明する。
鍵生成装置１０は、機能構成要素としてＩＤ群割当部１７を備える点が図３に示す鍵生成装置１０と異なる。ＩＤ群割当部１７は、他の機能構成要素の機能と同様に、ソフトウェア又はハードウェアにより実現される。

図２０を参照して、実施の形態２に係る暗号化装置２０の構成を説明する。
暗号化装置２０は、機能構成要素としてＩＤ群割当部２７を備える点が図４に示す暗号化装置２０と異なる。ＩＤ群割当部２７は、他の機能構成要素の機能と同様に、ソフトウェア又はハードウェアにより実現される。

＊＊＊動作の説明＊＊＊
図５と、図１０と、図１９から図２３とを参照して、実施の形態２に係る暗号システム１の動作を説明する。実施の形態２についても、実施の形態１と同様に各動作は、各方法及び各プログラムの処理に相当する。

図１９及び図２１を参照して、実施の形態２に係るＳｅｔｕｐアルゴリズムを説明する。
（ステップＳ５１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λと、ＩＤのビット数である値ｎとの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、ｄ＝２ｎとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実行して、数１２９に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

（ステップＳ５２：秘密情報生成処理）
マスター鍵生成部１４は、一様乱数である秘密情報ｓ_０を生成する。
マスター鍵生成部１４は、数１３０に示すように、群Ｇ_Ｔの要素ｇ_Ｔに秘密情報ｓ_０を設定して要素ｈ_Ｔを生成する。

（ステップＳ５３：鍵生成乱数生成処理）
マスター鍵生成部１４は、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについて、一様乱数である鍵生成乱数τ_ｊ，ιを生成する。
マスター鍵生成部１４は、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについて、数１３１に示すように、群Ｇ＾_ｊ，ιの要素ｇ＾_ｊ，ιに、鍵生成乱数τ_ｊ，ιを設定して要素ｈ＾_ｊ，ιを生成する。

また、マスター鍵生成部１４は、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについて、数１３２に示すように、群Ｇ_ｊ，ιの要素ｇ_ｊ，ιに、鍵生成乱数τ_ｊ，ιの逆数１／τ_ｊ，ιを設定して要素ｈ_ｊ，ιを生成する。

（ステップＳ５４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ５１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ５２で生成された要素ｈ_Ｔと、ステップＳ５３で生成された要素ｈ＾_ｊ，ιとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｊ，ι，Ｇ＾_ｊ，ι，ｈ＾_ｊ，ι，ｅ_ｊ，ι）_{ｊ∈［ｎ］，ι∈［０，１］}，Ｇ_Ｔ，ｈ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ５２で生成された秘密情報ｓ_０と、ステップＳ５３で生成された要素ｈ_ｊ，ιとを用いて、マスター秘密鍵ｍｓｋ：＝（ｓ_０，（ｈ_ｊ，ι）_{ｊ∈［ｎ］，ι∈［０，１］}）を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１３３に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１９及び図２２を参照して、実施の形態２に係るＫｅｙＧｅｎアルゴリズムを説明する。
（ステップＳ６１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。識別子ＩＤは、例えば、鍵生成装置１０の使用者によって入力装置を介して入力される。
上述した通り、識別子ＩＤ：＝（ＩＤ_ｊ）_{ｊ＝１，．．．，ｎ}である。また、各ＩＤ_ｊは、０又は１である。

（ステップＳ６２：ＩＤ群割当処理）
ＩＤ群割当部１７は、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ_ｊを、群Ｇ_ｔである群Ｇ_ｊ，ιのうちの異なる群に割り当てる。具体的には、ＩＤ群割当部１７は、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ_ｊを、群Ｇ_{ｊ，ＩＤｊ}に割り当てる。そして、ＩＤ群割当部１７は、ｊ＝１，．．．，ｎの各整数ｊについての群Ｇ_{ｊ，ＩＤｊ}の直積をＩＤ群Ｇ_ＩＤとする。つまり、ＩＤ群割当部１７は、数１３４に示すように、ＩＤ群Ｇ_ＩＤを生成する。

ＩＤ群割当部１７は、マスター秘密鍵ｍｓｋに含まれる要素ｈ_ｊ，ιのうち、ＩＤ群Ｇ_ＩＤに含まれる要素ｈ_ｊ，ιの集合を、要素ｈ_ＩＤとして生成する。具体的には、ＩＤ群割当部１７は、数１３５に示すように、要素ｈ_ＩＤを生成する。

（ステップＳ６３：分散情報生成処理）
復号鍵生成部１５は、数１３６に示すように、分散情報ｓ^→をランダムに生成する。分散情報ｓ^→は、秘密情報ｓ_０を分散させた情報である。

（ステップＳ６４：鍵要素生成処理）
復号鍵生成部１５は、数１３７に示すように、ステップＳ６２で生成された要素ｈ_ＩＤに、ステップＳ６３で生成された分散情報ｓ^→を設定して、鍵要素ｋを生成する。

（ステップＳ６５：鍵出力処理）
鍵出力部１６は、ステップＳ６１で受け付けられた識別子ＩＤと、ステップＳ６４で生成された鍵要素ｋとを含む復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数１３８に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図２０及び図２３を参照して、実施の形態２に係るＥｎｃアルゴリズムを説明する。
（ステップＳ７１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。メッセージｍと識別子ＩＤ’とは、例えば、暗号化装置２０の使用者によって入力装置を介して入力される。
上述した通り、識別子ＩＤ’：＝（ＩＤ’_ｊ）_{ｊ＝１，．．．，ｎ}である。また、各ＩＤ’_ｊは、０又は１である。

（ステップＳ７２：ＩＤ群割当処理）
ＩＤ群割当部２７は、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ’_ｊを、群Ｇ＾_ｔである群Ｇ＾_ｊ，ιのうちの異なる群に割り当てる。具体的には、ＩＤ群割当部１７は、ｊ＝１，．．．，ｎの各整数ｊについてのＩＤ’_ｊを、群Ｇ＾_{ｊ，ＩＤ’ｊ}に割り当てる。そして、ＩＤ群割当部１７は、ｊ＝１，．．．，ｎの各整数ｊについての群Ｇ＾_{ｊ，ＩＤ’ｊ}の直積をＩＤ群Ｇ＾_ＩＤとする。つまり、ＩＤ群割当部１７は、数１３９に示すように、ＩＤ群Ｇ＾_ＩＤを生成する。

ＩＤ群割当部１７は、公開パラメータｐｋに含まれる要素ｈ＾_ｊ，ιのうち、ＩＤ群Ｇ＾_ＩＤに含まれる要素ｈ＾_ｊ，ιの集合を、要素ｈ＾_ＩＤとして生成する。具体的には、ＩＤ群割当部１７は、数１４０に示すように、要素ｈ＾_ＩＤを生成する。

（ステップＳ７３：暗号文生成処理）
暗号文生成部２５は、ステップＳ７１で取得された公開パラメータｐｋと、ステップＳ７２で生成された要素ｈ＾_ＩＤとを用いて、暗号文ｃｔ_ＩＤ’の要素を生成する。暗号文生成部２５は、群Ｇ_Ｔの要素Ｘと群Ｇ＾_ｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_ＩＤ’の要素を生成する。ここで、要素Ｘは、公開パラメータｐｋに含まれる要素ｈ_Ｔのことであり、要素Ｙ＾は、ステップＳ７２で生成された要素ｈ＾_ＩＤのことである。
暗号文生成処理は、ステップＳ７３１からステップＳ７３３の処理を含む。

（ステップＳ７３１：変換情報生成処理）
変換情報生成部２５１は、一様乱数である暗号化乱数ζを生成する。
変換情報生成部２５１は、要素ｈ_Ｔと、暗号化乱数ζとを用いて、数１４１に示すように、変換情報ｚを生成する。

（ステップＳ７３２：第１暗号要素生成処理）
第１暗号要素生成部２５２は、数１４２に示すように、ステップＳ７３１で生成された変換情報ｚに対して、メッセージｍを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ_Ｔを生成する。

（ステップＳ７３３：第２暗号要素生成処理）
第２暗号要素生成部２５３は、数１４３に示すように、要素Ｙ＾である要素ｈ＾_ＩＤに対して暗号化乱数ζを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃを生成する。

（ステップＳ７４：暗号文出力処理）
暗号文出力部２６は、ステップＳ７１で受け付けられた識別子ＩＤ’と、ステップＳ７３で生成された暗号要素ｃ_Ｔ，ｃとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１４４に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図５及び図１０を参照して、実施の形態２に係るＤｅｃアルゴリズムを説明する。
ステップＳ４１とステップＳ４２との処理と、ステップＳ４４とステップＳ４５との処理とは、実施の形態１と同じである。
但し、復号鍵ｓｋ_ＩＤは、要素ｈ_ＩＤに分散情報ｓ^→が設定された鍵要素ｋを含む。ここで、要素ｈ_ＩＤは、要素ｈ_ｊ，ιを用いて生成される。要素ｈ_ｊ，ιは、群Ｇ_ｊ，ιの要素ｇ_ｊ，ιに、鍵生成乱数τ_ｊ，ιの逆数１／τ_ｊ，ιを設定してされる。したがって、復号鍵ｓｋ_ＩＤは、鍵生成乱数τ_ｊ，ιで変換された群Ｇ_ｔ（＝群Ｇ_ｊ，ι）の要素である鍵要素ｋを含む。
また、暗号文ｃｔ_ＩＤ’は、暗号要素ｃ_Ｔと、暗号要素ｃとが含まれる。暗号要素ｃ_Ｔは、群Ｇ_Ｔの生成元ｈ_Ｔである要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに、メッセージｍが設定されている。暗号要素ｃは、群Ｇ＾_ｔの生成元ｇ＾_ｊ，ιが鍵生成乱数τ_ｊ，ιによって変換された要素Ｙ＾である要素ｈ＾_ＩＤに対して暗号化乱数ζが設定されている。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤにより、暗号文ｃｔ_ＩＤ’を復号して、メッセージｍ’を生成する。
復号処理は、ステップＳ４３１とステップＳ４３２との処理を含む。

（ステップＳ４３１：変換情報生成処理）
変換情報生成部３５１は、復号鍵ｓｋ_ＩＤに含まれる要素ｋと、暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃとを用いて、数１４５に示すように、変換情報ｚ’を生成する。

ここで、数１４６であるため、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤが復号可能であれば、変換情報ｚ’と変換情報ｚとは同一になる。

（ステップＳ４３２：メッセージ生成処理）
メッセージ生成部３５２は、ステップＳ４３１で生成された変換情報ｚ’と、暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃ_Ｔとを用いて、数１４７に示すように、メッセージｍ’を生成する。

つまり、復号装置３０は、数１４８に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る暗号システム１は、実施の形態１に係る暗号システム１と同様に、ＩＰＧを用いてＩＢＥ方式を実現する。そのため、同種写像問題困難性から安全性を示すことを可能とすることができる。
また、実施の形態２に係る暗号システム１は、鍵生成乱数τ_ｊ，ιによって変換された生成要素である要素Ｙ＾を用いて暗号文ｃｔ_ＩＤ’を生成する。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

実施の形態２に係る暗号システム１は、ＩＤ群Ｇ_ＩＤ，Ｇ＾_ＩＤを用いる。これにより、識別子ＩＤと識別子ＩＤ’とが一致しない場合には、群Ｇ_ＩＤと群Ｇ＾_ＩＤとが一致しない。そのため、復号ができない状態とすることができる。

実施の形態２に係る暗号システム１では、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとでは、同種写像φを用いていない。その結果、ハッシュ関数Ｈを用いる必要がない。
なお、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとでは、同種写像φを用いていないため、図２１のステップＳ５１でＧｅｎ^ＩＰＧアルゴリズムは、同種写像φ_ｔを出力しなくてもよい。

実施の形態３．
実施の形態３では、小さい属性集合のＡＢＥ方式を説明する。
実施の形態３では、実施の形態２と同一の点については説明を省略し、異なる点を説明する。

実施の形態３では、復号鍵に復号条件であるポリシーが設定される鍵ポリシー型のＡＢＥ（以下、ＫＰ−ＡＢＥ）方式について説明する。なお、ＫＰ−ＡＢＥ方式を、暗号文にポリシーが設定される暗号文ポリシー型のＡＢＥ（以下、ＣＰ−ＡＢＥ）方式にＮａｏｒ変換といった方法により変換することも可能である。

＊＊＊構成の説明＊＊＊
ＫＰ−ＡＢＥ方式は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズムとを備える。
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、公開パラメータｐｋと、マスター秘密鍵ｍｓｋとを出力する。
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター秘密鍵ｍｓｋと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、入力タグｔａｇ及びアクセスストラクチャＳに対応した復号鍵ｓｋ_Ｓを出力する。
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージ空間ｍｓｇにおけるメッセージｍと、属性集合Γを入力として、暗号文ｃｔ_Γを出力する。
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、アクセスストラクチャＳに対応した復号鍵ｓｋ_Ｓと、属性集合Γの下で暗号化された暗号文ｃｔ_Γとを入力として、メッセージｍ’∈ｍｓｇ、又は、復号に失敗したことを示す識別情報⊥を出力する。

図２４を参照して、実施の形態３に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０とを備える。鍵生成装置１０と、暗号化装置２０と、復号装置３０とは、伝送路を介して接続されている。伝送路は、具体例としては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、又は、インターネットである。鍵生成装置１０と、暗号化装置２０と、復号装置３０とは、伝送路を介して通信可能である。

鍵生成装置１０は、セキュリティパラメータ１^λを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋと、マスター秘密鍵ｍｓｋとを生成する。また、鍵生成装置１０は、公開パラメータｐｋと、マスター秘密鍵ｍｓｋと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。
鍵生成装置１０は、公開パラメータｐｋを公開し、復号鍵ｓｋ_ＳをアクセスストラクチャＳに対応する復号装置３０に出力する。鍵生成装置１０は、マスター秘密鍵ｍｓｋを保管する。

暗号化装置２０は、公開パラメータｐｋと、メッセージｍと、属性集合Γとを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。暗号化装置２０は、暗号文ｃｔ_Γを復号装置３０に出力する。

復号装置３０は、公開パラメータｐｋと、復号鍵ｓｋ_Ｓと、暗号文ｃｔ_Γとを入力として、Ｄｅｃアルゴリズムを実行して、メッセージｍ’、又は、復号に失敗したことを示す識別情報⊥を生成する。

＊＊＊概念の説明＊＊＊
実施の形態２に係るＡＢＥ方式で用いられる概念について説明する。
スパンプログラムについて説明する。スパンプログラムは既存の概念であるため、ここでは以下の説明で必要な範囲だけ簡単に説明する。

体Ｆ_ｑ上のスパンプログラムは、ラベル付けされた行列Ｓ：＝（Ｍ，ρ）である。ここで、行列Ｍは、体Ｆ_ｑ上の（Ｌ行×ｒ列）の行列である。ラベルρは、｛（ｔ，ｖ），（ｔ’，ｖ’），．．．｝から属性に応じて行列Ｍの行に対して付されたラベルである。なお、各行が１つの属性にラベル付けされる。つまり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ），（ｔ’，ｖ’），．．．｝である。
スパンプログラムは、以下の基準に従い、入力を受理又は拒絶する。Γを属性集合とする。つまり、Γ：＝｛（ｔ_ｊ，ｘ_ｊ）｝_{１≦ｊ≦ｄ’}（ｘ_ｊ∈Ｕ_ｔｊ）である。１^→∈ｓｐａｎ＜（Ｍ_ｉ）_{ρ（ｉ）∈Γ}＞の場合に限り、スパンプログラムＳは属性集合Γを受理する。スパンプログラムＳが属性集合Γを受理することを、Ｒ（Ｓ，Γ）＝１と表す。つまり、行列Ｍの行（Ｍ_ｉ）_{ρ（ｉ）∈Γ}の線形結合によって全ての要素が１のベクトルが得られる場合に限り、スパンプログラムＳは属性集合Γを受理する。スパンプログラムＳをアクセスストラクチャと呼ぶ。

＊＊＊動作の説明＊＊＊
図５と、図１０と、図１９から図２３とを参照して、実施の形態３に係る暗号システム１の動作を説明する。実施の形態３についても、実施の形態２と同様に各動作は、各方法及び各プログラムの処理に相当する。

図１９及び図２１を参照して、実施の形態３に係るＳｅｔｕｐアルゴリズムを説明する。
（ステップＳ５１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λと、属性の最大数である値ｄとの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、ｄとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ）を実行して、数１４９に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

（ステップＳ５２：秘密情報生成処理）
マスター鍵生成部１４は、一様乱数である秘密情報ｓ_０を生成する。
マスター鍵生成部１４は、数１５０に示すように、群Ｇ_Ｔの要素ｇ_Ｔに秘密情報ｓ_０を設定して要素ｈ_Ｔを生成する。

（ステップＳ５３：鍵生成乱数生成処理）
マスター鍵生成部１４は、ｔ∈［ｄ］の各整数ｔについて、一様乱数である鍵生成乱数τ_ｔを生成する。
マスター鍵生成部１４は、ｔ∈［ｄ］の各整数ｔについて、数１５１に示すように、群Ｇ＾_ｔの要素ｇ＾_ｔに、鍵生成乱数τ_ｔを設定して要素ｈ＾_ｔを生成する。

また、マスター鍵生成部１４は、ｔ∈［ｄ］の各整数ｔについて、数１５２に示すように、群Ｇ_ｔの要素ｇ_ｔに、鍵生成乱数τ_ｔの逆数１／τ_ｔを設定して要素ｈ_ｔを生成する。

（ステップＳ５４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ５１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ５２で生成された要素ｈ_Ｔと、ステップＳ５３で生成された要素ｈ＾_ｔとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，Ｇ＾_ｔ，ｈ＾_ｔ，ｅ_ｔ）_{ｔ∈［ｄ］}，Ｇ_Ｔ，ｈ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ５２で生成された秘密情報ｓ_０と、ステップＳ５３で生成された要素ｈ_ｔとを用いて、マスター秘密鍵ｍｓｋ：＝（ｓ_０，（ｈ_ｔ）_{ｔ∈［ｄ］}）を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１５３に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１９及び図２２を参照して、実施の形態３に係るＫｅｙＧｅｎアルゴリズムを説明する。
（ステップＳ６１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_Ｓを使用するユーザのアクセスストラクチャＳ：＝（Ｍ，ρ）の入力を受け付ける。アクセスストラクチャＳは、復号鍵ｓｋ_Ｓで復号可能な範囲を示す情報である。

（ステップＳ６２：ＩＤ群割当処理）
ＩＤ群割当部１７は、ｉ∈［Ｌ］の各整数ｉについて、ｔ＝ρ（ｉ）である群Ｇ_ｔの直積をＩＤ群Ｇ_ＩＤとする。ＩＤ群割当部１７は、マスター秘密鍵ｍｓｋに含まれる要素ｈ_ｔのうち、ＩＤ群Ｇ_ＩＤに含まれる要素ｈ_ｔの集合を、要素ｈ_ＩＤとして生成する。具体的には、ＩＤ群割当部１７は、数１５４に示すように、要素ｈ_ＩＤを生成する。

（ステップＳ６３：分散情報生成処理）
復号鍵生成部１５は、数１５５に示すように、分散情報ｓ^→を生成する。

（ステップＳ６４：鍵要素生成処理）
復号鍵生成部１５は、数１５６に示すように、ステップＳ６２で生成された要素ｈ_ＩＤに、ステップＳ６３で生成された分散情報ｓ^→を設定して、鍵要素ｋ：＝｛ｋ_ｉ｝を生成する。

（ステップＳ６５：鍵出力処理）
鍵出力部１６は、ステップＳ６１で受け付けられたアクセスストラクチャＳと、ステップＳ６４で生成された鍵要素ｋ：＝｛ｋ_ｉ｝とを含む復号鍵ｓｋ_Ｓを、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数１５７に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。

図２０及び図２３を参照して、実施の形態３に係るＥｎｃアルゴリズムを説明する。
ステップＳ７３の処理は、実施の形態２と同じである。
（ステップＳ７１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる属性集合Γとの入力を受け付ける。

（ステップＳ７２：ＩＤ群割当処理）
ＩＤ群割当部２７は、ｔ∈Γの各整数ｔについて、群Ｇ＾_ｔの直積をＩＤ群Ｇ＾_ＩＤとする。ＩＤ群割当部１７は、公開パラメータｐｋに含まれる要素ｈ＾_ｔのうち、ＩＤ群Ｇ＾_ＩＤに含まれる要素ｈ＾_ｔの集合を、要素ｈ＾_ＩＤとして生成する。具体的には、ＩＤ群割当部１７は、数１５８に示すように、要素ｈ＾_ＩＤを生成する。

（ステップＳ７４：暗号文出力処理）
暗号文出力部２６は、ステップＳ７１で受け付けられた属性集合Γと、ステップＳ７３で生成された暗号要素ｃ_Ｔ，ｃ：＝｛ｃ_ｔ：＝ｈ＾_ｔ ^ζ｝とを暗号要素とする暗号文ｃｔ_Γを、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１５９に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。

図５及び図１０を参照して、実施の形態３に係るＤｅｃアルゴリズムを説明する。
ステップＳ４４とステップＳ４５との処理は、実施の形態２と同じである。

（ステップＳ４１：取得処理）
取得部３４は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_Ｓと、暗号化装置２０によって生成された暗号文ｃｔ_Γとを取得する。

（ステップＳ４１１：復号鍵取得処理）
復号鍵取得部３４１は、入出力インタフェース３３を介して、鍵生成装置１０によって生成された公開パラメータｐｋ及び復号鍵ｓｋ_Ｓを取得する。ここで、復号鍵ｓｋ_Ｓは、要素ｈ_ＩＤに分散情報ｓ^→が設定された鍵要素ｋ：＝｛ｋ_ｉ｝を含む。つまり、実施の形態２と同様に、復号鍵ｓｋ_Ｓは、鍵生成乱数τ_ｔで変換された群Ｇ_ｔの要素である鍵要素ｋを含む。

（ステップＳ４１２：暗号文取得処理）
暗号文取得部３４２は、暗号化装置２０によって生成された暗号文ｃｔ_Γを取得する。ここで、暗号文ｃｔ_Γは、暗号要素ｃ_Ｔと、暗号要素ｃ：＝｛ｃ_ｔ｝とが含まれる。暗号要素ｃ_Ｔは、群Ｇ_Ｔの生成元ｈ_Ｔである要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに、メッセージｍが設定されている。暗号要素ｃは、群Ｇ＾_ｔの生成元ｇ＾_ｔが鍵生成乱数τ_ｔによって変換された要素Ｙ＾である要素ｈ＾_ＩＤに対して暗号化乱数ζが設定されている。

（ステップＳ４２：復号判定処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_Ｓに含まれるアクセスストラクチャＳが、暗号文ｃｔ_Γに含まれる属性集合Γを受理するか否かを判定する。これにより、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓで復号可能かが判定される。
復号部３５は、受理すると判定された場合、つまり復号可能と判定された場合、処理をステップＳ４３に進め、そうでない場合、処理をステップＳ４５に進める。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_Ｓにより、暗号文ｃｔ_Γを復号して、メッセージｍ’を生成する。
復号処理は、ステップＳ４３１とステップＳ４３２との処理を含む。

（ステップＳ４３１：変換情報生成処理）
変換情報生成部３５１は、数１６０に示す補完係数σ_ｉを計算する。

変換情報生成部３５１は、補完係数σ_ｉと、復号鍵ｓｋ_Ｓに含まれる要素ｋと、暗号文ｃｔ_Γに含まれる暗号要素ｃとを用いて、数１６１に示すように、変換情報ｚ’を生成する。

ここで、数１６２であるため、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓが復号可能であれば、変換情報ｚ’と変換情報ｚとは同一になる。

（ステップＳ４３２：メッセージ生成処理）
メッセージ生成部３５２は、ステップＳ４３１で生成された変換情報ｚ’と、暗号文ｃｔ_Γに含まれる暗号要素ｃ_Ｔとを用いて、数１６３に示すように、メッセージｍ’を生成する。

つまり、復号装置３０は、数１６４に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

＊＊＊実施の形態３の効果＊＊＊
以上のように、実施の形態３に係る暗号システム１は、ＩＰＧを用いてＡＢＥ方式を実現する。そのため、同種写像問題困難性から安全性を示すことを可能とすることができる。
また、実施の形態３に係る暗号システム１は、鍵生成乱数τ_ｔによって変換された生成要素である要素Ｙ＾を用いて暗号文ｃｔ_Γを生成する。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

実施の形態４．
実施の形態４では、大きい属性集合のＡＢＥ方式を説明する。
実施の形態４では、実施の形態３と同一の点については説明を省略し、異なる点を説明する。

実施の形態３では、属性集合Γには属性ｔが含まれた。実施の形態４では、属性集合Γには、属性のカテゴリｔと、カテゴリｔについての属性ｘ_ｔ：＝（ｘ_ｔ，ｊ）∈｛０，１｝^ｎが含まれる。
なお、以下の説明において、ｘｔが下付きで示されている場合には、このｘｔはｘ_ｔを意味し、ｖｉが下付きで示されている場合には、このｖｉはｖ_ｉを意味する。

＊＊＊動作の説明＊＊＊
図５と、図１０と、図１９から図２３とを参照して、実施の形態４に係る暗号システム１の動作を説明する。実施の形態４についても、実施の形態３と同様に各動作は、各方法及び各プログラムの処理に相当する。

図１９及び図２１を参照して、実施の形態４に係るＳｅｔｕｐアルゴリズムを説明する。
（ステップＳ５１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λと、属性の最大数である値ｄと、各カテゴリｔについてのビット数を表す値ｎとの入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、ｄと、ｎとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，ｄ，ｎ）を実行して、数１６５に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

（ステップＳ５２：秘密情報生成処理）
マスター鍵生成部１４は、一様乱数である秘密情報ｓ_０を生成する。
マスター鍵生成部１４は、数１６６に示すように、群Ｇ_Ｔの要素ｇ_Ｔに秘密情報ｓ_０を設定して要素ｈ_Ｔを生成する。

（ステップＳ５３：鍵生成乱数生成処理）
マスター鍵生成部１４は、ｔ∈［ｄ］とｊ∈［ｎ］とι∈［０，１］との各整数ｔ，ｊ，ιについて、一様乱数である鍵生成乱数τ_{ｔ，ｊ，ι}を生成する。
マスター鍵生成部１４は、ｔ∈［ｄ］とｊ∈［ｎ］とι∈［０，１］との各整数ｔ，ｊ，ιについて、数１６７に示すように、群Ｇ＾_{ｔ，ｊ，ι}の要素ｇ＾_{ｔ，ｊ，ι}に、鍵生成乱数τ_{ｔ，ｊ，ι}を設定して要素ｈ＾_{ｔ，ｊ，ι}を生成する。

また、マスター鍵生成部１４は、ｔ∈［ｄ］とｊ∈［ｎ］とι∈［０，１］との各整数ｔ，ｊ，ιについて、数１６８に示すように、群Ｇ_{ｔ，ｊ，ι}の要素ｇ_{ｔ，ｊ，ι}に、鍵生成乱数τ_{ｔ，ｊ，ι}の逆数１／τ_{ｔ，ｊ，ι}を設定して要素ｈ_{ｔ，ｊ，ι}を生成する。

（ステップＳ５４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ５１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ５２で生成された要素ｈ_Ｔと、ステップＳ５３で生成された要素ｈ＾_{ｔ，ｊ，ι}とを用いて、公開パラメータｐｋ：＝（（Ｇ_{ｔ，ｊ，ι}，Ｇ＾_{ｔ，ｊ，ι}，ｈ＾_{ｔ，ｊ，ι}，ｅ_{ｔ，ｊ，ι}）_{ｔ∈［ｄ］，ｊ∈［ｎ］，ι∈［０，１］}，Ｇ_Ｔ，ｈ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ５２で生成された秘密情報ｓ_０と、ステップＳ５３で生成された要素ｈ_{ｔ，ｊ，ι}とを用いて、マスター秘密鍵ｍｓｋ：＝（ｓ_０，（ｈ_{ｔ，ｊ，ι}）_{ｔ∈［ｄ］，ｊ∈［ｎ］，ι∈［０，１］}）を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１６９に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１９及び図２２を参照して、実施の形態４に係るＫｅｙＧｅｎアルゴリズムを説明する。
ステップＳ６１の処理は、実施の形態３と同じである。

（ステップＳ６２：ＩＤ群割当処理）
ＩＤ群割当部１７は、ｉ∈［Ｌ］の各整数ｉについて、ρ（ｉ）＝（ｔ，ｖ_ｉ：＝（ｖ_ｉ，ｊ）∈｛０，１｝^ｎ）である場合に、ｊ＝１，．．．，ｎの各整数ｊについての群Ｇ_{ｔ，ｊ，ｖｉ}の直積をＩＤ群Ｇ_ｔ，ｖｉとする。なお、ＩＤ群Ｇ_ｔ，ｖｉは、ｔ番目の基底群である。つまり、ＩＤ群割当部１７は、数１７０に示すように、ＩＤ群Ｇ_ｔ，ｖｉを生成する。

ＩＤ群割当部１７は、マスター秘密鍵ｍｓｋに含まれる要素ｈ_{ｔ，ｊ，ι}のうち、ＩＤ群Ｇ_ｔ，ｖｉに含まれる要素ｈ_{ｔ，ｊ，ι}の集合を、要素ｈ_ｔ，ｖｉとして生成する。具体的には、ＩＤ群割当部１７は、数１７１に示すように、要素ｈ_ｔ，ｖｉを生成する。

（ステップＳ６３：分散情報生成処理）
復号鍵生成部１５は、ｉ∈［Ｌ］の各整数ｉについて、数１７２に示すように、分散情報ｓ^→ _ｉを生成する。

（ステップＳ６４：鍵要素生成処理）
復号鍵生成部１５は、数１７３に示すように、ステップＳ６２で生成された要素ｈ_ｔ，ｖｉに、ステップＳ６３で生成された分散情報ｓ^→ _ｉを設定して、鍵要素ｋ_ｉを生成する。

（ステップＳ６５：鍵出力処理）
鍵出力部１６は、ステップＳ６１で受け付けられたアクセスストラクチャＳと、ステップＳ６４で生成された鍵要素ｋ：＝｛ｋ_ｉ｝とを含む復号鍵ｓｋ_Ｓを、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数１７４に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_Ｓを生成する。

図２０及び図２３を参照して、実施の形態４に係るＥｎｃアルゴリズムを説明する。
ステップＳ７３とステップＳ７４との処理は、実施の形態２と同じである。
（ステップＳ７１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる属性集合Γとの入力を受け付ける。

（ステップＳ７２：ＩＤ群割当処理）
ＩＤ群割当部２７は、（ｔ，ｘ_ｔ：＝（ｘ_ｔ，ｊ）∈｛０，１｝^ｎ）∈Γの各整数ｔについて、ｊ＝１，．．．，ｎの各整数ｊの群Ｇ＾_{ｔ，ｊ，ｘｔ}の直積をＩＤ群Ｇ＾_ｔ，ｘｔとする。つまり、ＩＤ群割当部２７は、数１７５に示すように、ＩＤ群Ｇ＾_ｔ，ｘｔを生成する。

ＩＤ群割当部１７は、公開パラメータｐｋに含まれる要素ｈ＾_{ｔ，ｊ，ｘｔ}のうち、ＩＤ群Ｇ＾_ｔ，ｘｔに含まれる要素ｈ＾_{ｔ，ｊ，ｘｔ}の集合を、要素ｈ＾_ｔ，ｘｔとして生成する。具体的には、ＩＤ群割当部１７は、数１７６に示すように、要素ｈ＾_ｔ，ｘｔを生成する。

（ステップＳ７３：暗号文生成処理）
暗号文生成部２５は、ステップＳ７１で取得された公開パラメータｐｋと、ステップＳ７２で生成された要素ｈ＾_ｔ，ｘｔとを用いて、暗号文ｃｔ_Γの要素を生成する。暗号文生成部２５は、群Ｇ_Ｔの要素Ｘと群Ｇ＾_ｔ，ｘｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_Γの要素を生成する。ここで、要素Ｘは、公開パラメータｐｋに含まれる要素ｈ_Ｔのことであり、要素Ｙ＾は、ステップＳ７２で生成された要素ｈ＾_ｔ，ｘｔのことである。
暗号文生成処理は、ステップＳ７３１からステップＳ７３３の処理を含む。

（ステップＳ７３１：変換情報生成処理）
変換情報生成部２５１は、一様乱数である暗号化乱数ζを生成する。
変換情報生成部２５１は、要素ｈ_Ｔと、暗号化乱数ζとを用いて、数１７７に示すように、変換情報ｚを生成する。

（ステップＳ７３２：第１暗号要素生成処理）
第１暗号要素生成部２５２は、数１７８に示すように、ステップＳ７３１で生成された変換情報ｚに対して、メッセージｍを設定して暗号文ｃｔ_Γの要素である暗号要素ｃ_Ｔを生成する。

（ステップＳ７３３：第２暗号要素生成処理）
第２暗号要素生成部２５３は、数１７９に示すように、（ｔ，ｘ_ｔ：＝（ｘ_ｔ，ｊ）∈｛０，１｝^ｎ）∈Γの各整数ｔについて、要素Ｙ＾である要素ｈ＾_ｔ，ｘｔに対して暗号化乱数ζを設定して暗号文ｃｔ_Γの要素である暗号要素ｃ_ｔを生成する。

（ステップＳ７４：暗号文出力処理）
暗号文出力部２６は、ステップＳ７１で受け付けられた属性集合Γと、ステップＳ７３で生成された暗号要素ｃ_Ｔ，ｃ：＝｛ｃ_ｔ｝_ｔ∈Γとを暗号要素とする暗号文ｃｔ_Γを、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数１８０に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_Γを生成する。

図５及び図１０を参照して、実施の形態４に係るＤｅｃアルゴリズムを説明する。
ステップＳ４１とステップＳ４２との処理と、ステップＳ４４とステップＳ４５との処理とは、実施の形態３と同じである。
但し、復号鍵ｓｋ_Ｓは、要素ｈ_ｔ，ｖｉに分散情報ｓ^→が設定された鍵要素ｋを含む。つまり、実施の形態３と同様に、復号鍵ｓｋ_Ｓは、鍵生成乱数τ_{ｔ，ｊ，ι}で変換された群Ｇ_ｔ，ｖｉの要素である鍵要素ｋ：＝｛ｋ_ｉ｝を含む。
また、暗号文ｃｔ_Γは、暗号要素ｃ_Ｔと、暗号要素ｃとが含まれる。暗号要素ｃ_Ｔは、群Ｇ_Ｔの生成元ｈ_Ｔである要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに、メッセージｍが設定されている。暗号要素ｃは、群Ｇ＾_ｔ，ｘｔの生成元ｇ＾_{ｔ，ｊ，ι}が鍵生成乱数τ_{ｔ，ｊ，ι}によって変換された要素Ｙ＾である要素ｈ＾_ｔ，ｘｔに対して暗号化乱数ζが設定されている。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_Ｓにより、暗号文ｃｔ_Γを復号して、メッセージｍ’を生成する。
復号処理は、ステップＳ４３１とステップＳ４３２との処理を含む。

（ステップＳ４３１：変換情報生成処理）
変換情報生成部３５１は、数１８１に示す補完係数σ_ｉを計算する。

変換情報生成部３５１は、補完係数σ_ｉと、復号鍵ｓｋ_Ｓに含まれる要素ｋ：＝｛ｋ_ｉ｝と、暗号文ｃｔ_Γに含まれる暗号要素ｃ：＝｛ｃ_ｔ｝とを用いて、数１８２に示すように、変換情報ｚ’を生成する。

ここで、数１８３であるため、暗号文ｃｔ_Γを復号鍵ｓｋ_Ｓが復号可能であれば、変換情報ｚ’と変換情報ｚとは同一になる。

（ステップＳ４３２：メッセージ生成処理）
メッセージ生成部３５２は、ステップＳ４３１で生成された変換情報ｚ’と、暗号文ｃｔ_Γに含まれる暗号要素ｃ_Ｔとを用いて、数１８４に示すように、メッセージｍ’を生成する。

つまり、復号装置３０は、数１８５に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

＊＊＊実施の形態４の効果＊＊＊
以上のように、実施の形態４に係る暗号システム１は、ＩＰＧを用いてＡＢＥ方式を実現する。そのため、同種写像問題困難性から安全性を示すことを可能とすることができる。
また、実施の形態４に係る暗号システム１は、鍵生成乱数τ_{ｔ，ｊ，ι}によって変換された生成要素である要素Ｙ＾を用いて暗号文ｃｔ_Γを生成する。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

実施の形態５．
実施の形態５では、実施の形態２で説明したＩＢＥ方式に基づく、階層的なＩＢＥ（Ｈｉｅｒａｒｃｈｉｃａｌ ＩＢＥ，以下ＨＩＢＥ）を説明する。
実施の形態５では、実施の形態２と同一の点については説明を省略し、異なる点を説明する。

実施の形態５では、まず１ビットＨＩＢＥを説明し、次に１ビットＨＩＢＥを応用したｎ（ｎ≧１）ビットＨＩＢＥを説明する。

＊＊＊構成の説明＊＊＊
ＨＩＢＥ方式は、Ｓｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズム、Ｄｅｌｅｇａｔｅアルゴリズムとを備える。
Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータ１^λを入力として、公開パラメータｐｋと、マスター秘密鍵ｍｓｋとを出力する。
ＫｅｙＧｅｎアルゴリズムは、公開パラメータｐｋと、マスター秘密鍵ｍｓｋと、識別子ＩＤとを入力として、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤを出力する。
Ｅｎｃアルゴリズムは、公開パラメータｐｋと、メッセージ空間ｍｓｇにおけるメッセージｍと、識別子ＩＤ’とを入力として、暗号文ｃｔ_ＩＤ’を出力する。
Ｄｅｃアルゴリズムは、公開パラメータｐｋと、識別子ＩＤに対応した復号鍵ｓｋ_ＩＤと、識別子ＩＤ’の下で暗号化された暗号文ｃｔ_ＩＤ’とを入力として、メッセージｍ’∈ｍｓｇ、又は、復号に失敗したことを示す識別情報⊥を出力する。
Ｄｅｌｅｇａｔｅアルゴリズムは、公開パラメータｐｋと、長さＬの階層的な識別子ＩＤに対応した秘密鍵ｓｋ_ＩＤと、Ｌ＋１番目のＩＤ_Ｌ＋１とを入力として、長さＬ＋１の階層的な識別子ＩＤ’：＝（ＩＤ，ＩＤ_Ｌ＋１）に対応した秘密鍵ｓｋ_ＩＤ’、又は、鍵生成に失敗したことを示す識別情報⊥を出力する。

図２５を参照して、実施の形態５に係る暗号システム１の構成を説明する。
暗号システム１は、鍵生成装置１０と、暗号化装置２０と、復号装置３０と、鍵委譲装置４０とを備える。鍵生成装置１０と、暗号化装置２０と、復号装置３０と、鍵委譲装置４０とは、伝送路を介して接続されている。

鍵委譲装置４０は、公開パラメータｐｋと、長さＬの階層的な識別子ＩＤに対応した秘密鍵ｓｋ_ＩＤと、Ｌ＋１番目のＩＤ_Ｌ＋１とを入力として、Ｄｅｌｅｇａｔｅアルゴリズムを実行して、長さＬ＋１の階層的な識別子ＩＤ’：＝（ＩＤ，ＩＤ_Ｌ＋１）に対応した秘密鍵ｓｋ_ＩＤ’、又は、鍵生成に失敗したことを示す識別情報⊥を生成する。

図２６を参照して、実施の形態５に係る鍵委譲装置４０の構成を説明する。
鍵委譲装置４０は、プロセッサ４１と、記憶装置４２と、入出力インタフェース４３とのハードウェアを備える。プロセッサ４１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

鍵委譲装置４０は、機能構成要素として、取得部４４と、ＩＤ群割当部４５と、下位鍵生成部４６と、下位鍵出力部４７とを備える。取得部４４と、ＩＤ群割当部４５と、下位鍵生成部４６と、下位鍵出力部４７との各部の機能はソフトウェアにより実現される。
記憶装置４２には、鍵委譲装置４０の各部の機能を実現するプログラムが記憶されている。このプログラムは、プロセッサ４１により読み込まれ、プロセッサ４１によって実行される。これにより、鍵委譲装置４０の各部の機能が実現される。

＊＊＊動作の説明＊＊＊
図１９から図２３と、図２６と、図２７とを参照して、実施の形態５に係る暗号システム１の動作を説明する。実施の形態５についても、実施の形態２と同様に各動作は、各方法及び各プログラムの処理に相当する。また、実施の形態５に係る鍵委譲装置４０の動作は、実施の形態５に係る鍵委譲方法と、実施の形態５に係る鍵委譲プログラムの処理とに対応する。
なお、Ｄｅｃアルゴリズムは、実施の形態２と同じであるため、説明を省略する。

まず、１ビットＨＩＢＥを説明する。
なお、以下の説明でＩＤｔが下付きで示されている場合には、このＩＤｔはＩＤ_ｔを意味し、ＩＤ’ｔが下付きで示されている場合には、このＩＤ’ｔはＩＤ’_ｔを意味する。

図１９及び図２１を参照して、実施の形態５に係るＳｅｔｕｐアルゴリズムを説明する。
（ステップＳ５１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λと、階層数である値ｄ≧２との入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、２ｄとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，２ｄ）を実行して、数１８６に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

（ステップＳ５２：秘密情報生成処理）
マスター鍵生成部１４は、一様乱数である秘密情報ｓ_０を生成する。
マスター鍵生成部１４は、数１８７に示すように、群Ｇ_Ｔの要素ｇ_Ｔに秘密情報ｓ_０を設定して要素ｈ_Ｔを生成する。

（ステップＳ５３：鍵生成乱数生成処理）
マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、一様乱数である鍵生成乱数τ_ｔ，ιを生成する。
マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、数１８８に示すように、群Ｇ＾_ｔ，ιの要素ｇ＾_ｔ，ιに、鍵生成乱数τ_ｔ，ιを設定して要素ｈ＾_ｔ，ιを生成する。

また、マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、数１８９に示すように、群Ｇ_ｔ，ιの要素ｇ_ｔ，ιに、鍵生成乱数τ_ｔ，ιを設定して要素ｈ_ｔ，ιを生成する。

（ステップＳ５４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ５１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ５２で生成された要素ｈ_Ｔと、ステップＳ５３で生成された要素ｈ＾_ｔ，ιと要素ｈ_ｔ，ιとを用いて、公開パラメータｐｋ：＝（（Ｇ_ｔ，ι，Ｇ＾_ｔ，ι，ｈ_ｔ，ι，ｈ＾_ｔ，ι，ｅ_ｔ，ι）_{ｔ∈［ｄ］，ι∈［０，１］}，Ｇ_Ｔ，ｈ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ５２で生成された秘密情報ｓ_０を用いて、マスター秘密鍵ｍｓｋ：＝ｓ_０を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数１９０に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１９及び図２２を参照して、実施の形態５に係るＫｅｙＧｅｎアルゴリズムを説明する。
（ステップＳ６１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。識別子ＩＤは、例えば、鍵生成装置１０の使用者によって入力装置を介して入力される。
ここでは、識別子ＩＤ：＝（ＩＤ_ｔ）_{ｔ∈［Ｌ］}であるとする。Ｌ＜ｄである。また、各ＩＤ_ｔは、０又は１である。

（ステップＳ６２：ＩＤ群割当処理）
ＩＤ群割当部１７は、ｔ∈［Ｌ］の各整数ｔについてのＩＤ_ｔを、群Ｇ_{ｔ，ＩＤｔ}に割り当てる。そして、ＩＤ群割当部１７は、ｔ∈［Ｌ］の各整数ｔについての群Ｇ_{ｔ，ＩＤｔ}の直積をＩＤ群Ｇ_ＩＤとする。つまり、ＩＤ群割当部１７は、数１９１に示すように、ＩＤ群Ｇ_ＩＤを生成する。

ＩＤ群割当部１７は、数１９２に示すように、要素ｈ_ＩＤを生成する。

（ステップＳ６３：分散情報生成処理）
復号鍵生成部１５は、数１９３に示すように、分散情報ｓ^→を生成する。分散情報ｓ^→は、秘密情報ｓ_０を分散させた情報である。

（ステップＳ６４：鍵要素生成処理）
復号鍵生成部１５は、数１９４に示すように、ステップＳ６２で生成された要素ｈ_ＩＤに、ステップＳ６３で生成された分散情報ｓ^→を設定して、鍵要素ｋを生成する。

（ステップＳ６５：鍵出力処理）
鍵出力部１６は、ステップＳ６１で受け付けられた識別子ＩＤと、ステップＳ６４で生成された鍵要素ｋとを含む復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数１９５に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図２０及び図２３を参照して、実施の形態５に係るＥｎｃアルゴリズムを説明する。
（ステップＳ７１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。メッセージｍと識別子ＩＤ’とは、例えば、暗号化装置２０の使用者によって入力装置を介して入力される。
ここでは、識別子ＩＤ’：＝（ＩＤ’_ｔ）_{ｔ∈［Ｌ］}であるとする。Ｌ＜ｄである。また、各ＩＤ_ｔは、０又は１である。

（ステップＳ７２：ＩＤ群割当処理）
ＩＤ群割当部２７は、ｔ∈［Ｌ］の各整数ｔについてのＩＤ’_ｔを、群Ｇ＾_{ｔ，ＩＤｔ}に割り当てる。そして、ＩＤ群割当部２７は、ｔ∈［Ｌ］の各整数ｔについての群Ｇ＾_{ｔ，ＩＤ’ｔ}の直積をＩＤ群Ｇ＾_ＩＤとする。つまり、ＩＤ群割当部２７は、数１９６に示すように、ＩＤ群Ｇ＾_ＩＤを生成する。

ＩＤ群割当部２７は、数１９７に示すように、要素ｈ＾_ＩＤを生成する。

（ステップＳ７３：暗号文生成処理）
暗号文生成部２５は、ステップＳ７１で取得された公開パラメータｐｋと、ステップＳ７２で生成された要素ｈ＾_ＩＤとを用いて、暗号文ｃｔ_ＩＤ’の要素を生成する。暗号文生成部２５は、群Ｇ_Ｔの要素Ｘと群Ｇ＾_ｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_ＩＤ’の要素を生成する。ここで、要素Ｘは、公開パラメータｐｋに含まれる要素ｈ_Ｔのことであり、要素Ｙ＾は、ステップＳ７２で生成された要素ｈ＾_ＩＤとのことである。
暗号文生成処理は、ステップＳ７３１からステップＳ７３３の処理を含む。

（ステップＳ７３１：変換情報生成処理）
変換情報生成部２５１は、一様乱数である暗号化乱数ζを生成する。
変換情報生成部２５１は、要素ｈ_Ｔと、暗号化乱数ζとを用いて、数１９８に示すように、変換情報ｚを生成する。

（ステップＳ７３２：第１暗号要素生成処理）
第１暗号要素生成部２５２は、数１９９に示すように、ステップＳ７３１で生成された変換情報ｚに対して、メッセージｍを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ_Ｔを生成する。

（ステップＳ７３３：第２暗号要素生成処理）
第２暗号要素生成部２５３は、数２００に示すように、要素Ｙ＾である要素ｈ＾_ＩＤに対して暗号化乱数ζを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃを生成する。

（ステップＳ７４：暗号文出力処理）
暗号文出力部２６は、ステップＳ７１で受け付けられた識別子ＩＤ’と、ステップＳ７３で生成された暗号要素ｃ_Ｔ，ｃとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数２０１に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図２６及び図２７を参照して、実施の形態５に係るＤｅｌｅｇａｔｅアルゴリズムを説明する。
Ｄｅｌｅｇａｔｅアルゴリズムは、鍵委譲装置４０によって実行される。

（ステップＳ８１：取得処理）
取得部４４は、入出力インタフェース４３を介して、鍵生成装置１０によって生成された公開パラメータｐｋと、下位の鍵の生成対象である復号鍵ｓｋ_ＩＤ：＝ｋを取得する。また、取得部４４は、入出力インタフェース４３を介して、復号鍵ｓｋ_ＩＤの下位の復号鍵ｓｋ_ＩＤ＊を使用するユーザの識別子ＩＤ_Ｌ＋１∈｛０，１｝の入力を受け付ける。

（ステップＳ８２：ＩＤ群割当処理）
ＩＤ群割当部４５は、ＩＤ^＊：＝（ＩＤ，ＩＤ_Ｌ＋１）とする。また、ＩＤ群割当部４５は、数２０２に示すように、ＩＤ群Ｇ_ＩＤ＊を生成する。

ＩＤ群割当部４５は、数２０３に示すように、要素ｋ^＋と、要素ｈ_ＩＤ＊とを生成する。

（ステップＳ８３：分散情報生成処理）
下位鍵生成部４６は、数２０４に示すように、分散情報τ^→’を生成する。

（ステップＳ８４：鍵要素生成処理）
下位鍵生成部４６は、数２０５に示すように、ステップＳ８２で生成された要素ｈ_ＩＤ＊に、ステップＳ８３で生成された分散情報τ^→’を設定して、鍵要素ｋ_ＩＤ＊を生成する。

（ステップＳ８５：鍵出力処理）
下位鍵出力部４７は、識別子ＩＤ^＊と、ステップＳ６４で生成された鍵要素ｋ_ＩＤ＊とを含む下位の復号鍵ｓｋ_ＩＤ＊を、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数２０６に示すＤｅｌｅｇａｔｅアルゴリズムを実行して、下位の復号鍵ｓｋ_ＩＤ＊を生成する。

次に、上述した１ビットＨＩＢＥを応用したｎ（ｎ≧１）ビットＨＩＢＥを説明する。
ｎビットＨＩＢＥ方式は、１ビットＨＩＢＥのＳｅｔｕｐアルゴリズムと、ＫｅｙＧｅｎアルゴリズムと、Ｅｎｃアルゴリズムと、Ｄｅｃアルゴリズム、Ｄｅｌｅｇａｔｅアルゴリズムとを用いて構成される。

ｎビットＨＩＢＥ方式の説明では、上述した１ビットＨＩＢＥ方式のＳｅｔｕｐアルゴリズムを、ｏｂＨＩＢＥ＿Ｓｅｔｕｐと呼ぶ。また、１ビットＨＩＢＥ方式のＫｅｙＧｅｎアルゴリズムを、ｏｂＨＩＢＥ＿ＫｅｙＧｅｎと呼ぶ。１ビットＨＩＢＥ方式のＥｎｃアルゴリズムを、ｏｂＨＩＢＥ＿Ｅｎｃと呼ぶ。１ビットＨＩＢＥ方式のＤｅｃアルゴリズムを、ｏｂＨＩＢＥ＿Ｄｅｃと呼ぶ。１ビットＨＩＢＥ方式のＤｅｌｅｇａｔｅアルゴリズムを、ｏｂＨＩＢＥ＿Ｄｅｌｅｇａｔｅと呼ぶ。
これに対して、ｎビットＨＩＢＥ方式のＳｅｔｕｐアルゴリズムを、ｎｂＨＩＢＥ＿Ｓｅｔｕｐと呼ぶ。また、ｎビットＨＩＢＥ方式のＫｅｙＧｅｎアルゴリズムを、ｎｂＨＩＢＥ＿ＫｅｙＧｅｎと呼ぶ。ｎビットＨＩＢＥ方式のＥｎｃアルゴリズムを、ｎｂＨＩＢＥ＿Ｅｎｃと呼ぶ。ｎビットＨＩＢＥ方式のＤｅｃアルゴリズムを、ｎｂＨＩＢＥ＿Ｄｅｃと呼ぶ。ｎビットＨＩＢＥ方式のＤｅｌｅｇａｔｅアルゴリズムを、ｎｂＨＩＢＥ＿Ｄｅｌｅｇａｔｅと呼ぶ。

ｎｂＨＩＢＥ＿Ｓｅｔｕｐを説明する。
マスター鍵生成部１４は、セキュリティパラメータ１^λと、階層数である値ｄと、ビット数である値ｎとの入力を受け付ける。
マスター鍵生成部１４は、セキュリティパラメータ１^λと、値ｄ×ｎとを入力として、ｏｂＨＩＢＥ＿Ｓｅｔｕｐを実行して、公開パラメータｐｋ_ｏｂとマスター秘密鍵ｍｓｋ_ｏｂとを生成する。マスター鍵生成部１４は、公開パラメータｐｋ_ｏｂをｎビットＨＩＢＥ方式の公開パラメータｐｋとし、マスター秘密鍵ｍｓｋ_ｏｂをｎビットＨＩＢＥ方式のマスター秘密鍵ｍｓｋとする。
つまり、マスター鍵生成部１４は、数２０７に示すｎｂＨＩＢＥ＿Ｓｅｔｕｐを実行して、マスター鍵ペアを生成する。

ｎｂＨＩＢＥ＿ＫｅｙＧｅｎを説明する。
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。ここでは、識別子ＩＤ：＝（ＩＤ_ｔ：＝（ＩＤ_ｔ，ｊ））_{ｔ∈［Ｌ］，ｊ∈［ｎ］}であるとする。Ｌ＜ｄである。また、各ＩＤ_ｔ，ｊは、０又は１である。
ＩＤ＾：＝（ＩＤ_ｔ，ｊ）_{ｔ∈［Ｌ］，ｊ∈［ｎ］}は、階層数Ｌｎの階層的な１ビットの識別子として扱われる。復号鍵生成部１５は、ｎｂＨＩＢＥ＿Ｓｅｔｕｐで生成された公開パラメータｐｋ及びマスター秘密鍵ｍｓｋと、識別子ＩＤ＾とを入力として、ｏｂＨＩＢＥ＿ＫｅｙＧｅｎを実行して、復号鍵ｓｋ_ＩＤを生成する。
つまり、復号鍵生成部１５は、数２０８に示すｎｂＨＩＢＥ＿ＫｅｙＧｅｎを実行して、復号鍵ｓｋ_ＩＤを生成する。

ｎｂＨＩＢＥ＿Ｅｎｃを説明する。
取得部２４は、入出力インタフェース２３を介して、公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。ここでは、識別子ＩＤ’：＝（ＩＤ’_ｔ：＝（ＩＤ’_ｔ，ｊ））_{ｔ∈［Ｌ］，ｊ∈［ｎ］}であるとする。
ＩＤ’^＊：＝（ＩＤ’_ｔ，ｊ）_{ｔ∈［Ｌ］，ｊ∈［ｎ］}は、階層数Ｌｎの階層的な１ビットの識別子として扱われる。暗号文生成部２５とＩＤ群割当部２７とは、公開パラメータｐｋと、メッセージｍと、識別子ＩＤ’^＊とを入力として、ｏｂＨＩＢＥ＿Ｅｎｃを実行して、暗号文ｃｔ_ＩＤ’を生成する。

つまり、暗号化装置２０は、数２０９に示すｎｂＨＩＢＥ＿Ｅｎｃを実行して、暗号文ｃｔ_ＩＤ’を生成する。

ｎｂＨＩＢＥ＿Ｄｅｃを説明する。
取得部３４は、入出力インタフェース３３を介して、公開パラメータｐｋと、復号鍵ｓｋ_ＩＤと、暗号文ｃｔ_ＩＤ’とを取得する。
復号部３５は、公開パラメータｐｋと、復号鍵ｓｋ_ＩＤのＩＤをＩＤ^＊とした復号鍵ｓｋ_ＩＤ＊と、暗号文ｃｔ_ＩＤ’のＩＤ’をＩＤ’^＊とした暗号文ｃｔ_ＩＤ’＊とを入力として、ｏｂＨＩＢＥ＿Ｄｅｃを実行して、メッセージｍ’を生成する。
つまり、復号装置３０は、数２１０に示すｎｂＨＩＢＥ＿Ｄｅｃを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

ｎｂＨＩＢＥ＿Ｄｅｌｅｇａｔｅを説明する。
取得部４４は、入出力インタフェース４３を介して、公開パラメータｐｋと、復号鍵ｓｋ_ＩＤとを取得する。また、取得部４４は、入出力インタフェース４３を介して、識別子ＩＤ_Ｌ＋１∈｛０，１｝^ｎの入力を受け付ける。
ＩＤ群割当部４５と下位鍵生成部４６とは、識別子ＩＤ_Ｌ＋１を（ＩＤ_{Ｌ＋１，ｊ}）_{ｊ∈［ｎ］}とし、復号鍵ｓｋ_ＩＤを復号鍵ｓｋ_０とする。そして、ＩＤ群割当部４５と下位鍵生成部４６とは、ｊ∈［ｎ］の各整数ｊについて、公開パラメータｐｋと、復号鍵ｓｋ_ｊ−１と、識別子ＩＤ_{Ｌ＋１，ｊ}とを入力として、ｏｂＨＩＢＥ＿Ｄｅｌｅｇａｔｅを実行して、復号鍵ｓｋ_ｊを生成する。そして、下位鍵出力部４７は、復号鍵ｓｋ_ｎを下位の復号鍵ｓｋ_ＩＤ’として出力する。
つまり、復号鍵生成部１５は、数２１１に示すｎｂＨＩＢＥ＿Ｄｅｌｅｇａｔｅを実行して、下位の復号鍵ｓｋ_ＩＤ’を生成する。

＊＊＊実施の形態５の効果＊＊＊
以上のように、実施の形態５に係る暗号システム１は、ＩＰＧを用いてＨＩＢＥ方式を実現する。そのため、同種写像問題困難性から安全性を示すことを可能とすることができる。
また、実施の形態５に係る暗号システム１は、鍵生成乱数τ_ｊ，ιによって変換された生成要素である要素Ｙ＾を用いて暗号文ｃｔ_Γを生成する。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

実施の形態６．
実施の形態６では、高安全なＢｏｎｅｈ−Ｂｏｙｅｎ型の１ビットＨＩＢＥを説明する。
実施の形態６では、実施の形態５と同一の点については説明を省略し、異なる点を説明する。

＊＊＊動作の説明＊＊＊
図５と、図１０と、図１９から図２３と、図２６と、図２７とを参照して、実施の形態６に係る暗号システム１の動作を説明する。実施の形態６についても、実施の形態５と同様に各動作は、各方法及び各プログラムの処理に相当する。

図１９及び図２１を参照して、実施の形態６に係るＳｅｔｕｐアルゴリズムを説明する。
（ステップＳ５１：ＩＰＧ生成処理）
マスター鍵生成部１４は、入出力インタフェース１３を介してセキュリティパラメータ１^λと、階層数である値ｄ≧２との入力を受け付ける。マスター鍵生成部１４は、受け付けられたセキュリティパラメータ１^λと、４ｄとを入力として、ＩＰＧ生成アルゴリズムＧｅｎ^ＩＰＧ（１^λ，４ｄ）を実行して、数２１２に示す公開パラメータｐｋ^ＩＰＧとマスター秘密鍵ｍｓｋ^ＩＰＧとのマスター鍵ペアを生成する。

（ステップＳ５２：秘密情報生成処理）
マスター鍵生成部１４は、一様乱数である秘密情報π，τを生成する。
マスター鍵生成部１４は、数２１３に示すように、群Ｇ_Ｔの要素ｇ_Ｔに秘密情報π，τを設定して要素ｈ_Ｔを生成する。

また、マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、数２１４に示すように、秘密情報π，τを用いて、要素ｆ^Ｌ _ｔ，ιと要素ｆ＾^Ｒ _ｔ，ιと要素ｕ^Ｌ _ιとを生成する。

（ステップＳ５３：鍵生成乱数生成処理）
マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、一様乱数である鍵生成乱数σ_ｔ，ιを生成する。
マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、数２１５に示すように、群Ｇ＾^Ｒ _ｔ，ιの要素ｇ＾^Ｒ _ｔ，ιに、鍵生成乱数σ_ｔ，ιを設定して要素ｈ＾^Ｒ _ｔ，ιを生成する。

また、マスター鍵生成部１４は、ｔ∈［ｄ］とι∈［０，１］の各整数ｔ，ιについて、数２１６に示すように、群Ｇ^Ｌ _ｔ，ιの要素ｇ^Ｌ _ｔ，ιに、鍵生成乱数σ_ｔ，ιを設定して要素ｈ^Ｌ _ｔ，ιを生成する。

（ステップＳ５４：マスター鍵生成処理）
マスター鍵生成部１４は、ステップＳ５１で生成された公開パラメータｐｋ^ＩＰＧと、ステップＳ５２で生成された要素ｈ_Ｔと要素ｆ^Ｌ _ｔ，ιと要素ｆ＾^Ｒ _ｔ，ιと要素ｕ^Ｌ _ιと、ステップＳ５３で生成された要素ｈ＾^Ｒ _ｔ，ιと要素ｈ^Ｌ _ｔ，ιとを用いて、公開パラメータｐｋ：＝（（（Ｇ^Ｌ _ｔ，ι，Ｇ＾^Ｌ _ｔ，ι，ｆ^Ｌ _ｔ，ι，ｈ^Ｌ _ｔ，ι，ｇ＾^Ｌ _ｔ，ι，ｅ^Ｌ _ｔ，ι），（Ｇ^Ｒ _ｔ，ι，Ｇ＾^Ｒ _ｔ，ι，ｇ^Ｒ _ｔ，ｆ＾^Ｒ _ｔ，ι，ｈ＾^Ｒ _ｔ，ι，_ι，ｅ^Ｒ _ｔ，ι））_{ｔ∈［ｄ］，ι∈［０，１］}，Ｇ_Ｔ，ｈ_Ｔ）を生成する。鍵出力部１６は、公開パラメータｐｋを入出力インタフェース１３を介して外部の公開用サーバ等へ出力することにより、公開パラメータｐｋを暗号化装置２０及び復号装置３０に出力する。
また、マスター鍵生成部１４は、ステップＳ５２で生成された要素ｕ^Ｌ _ιを用いて、マスター秘密鍵ｍｓｋ：＝（要素ｕ^Ｌ _ι）_{ι∈［０，１］}を生成する。マスター鍵生成部１４は、生成されたマスター秘密鍵ｍｓｋを記憶装置１２に書き込む。

つまり、マスター鍵生成部１４は、数２１７に示すＳｅｔｕｐアルゴリズムを実行して、マスター鍵ペアを生成する。

図１９及び図２２を参照して、実施の形態６に係るＫｅｙＧｅｎアルゴリズムを説明する。
（ステップＳ６１：ＩＤ受付処理）
復号鍵生成部１５は、入出力インタフェース１３を介して、復号鍵ｓｋ_ＩＤを使用するユーザの識別子ＩＤの入力を受け付ける。識別子ＩＤは、例えば、鍵生成装置１０の使用者によって入力装置を介して入力される。
ここでは、識別子ＩＤ：＝（ＩＤ_ｔ）_{ｔ∈［Ｌ］}であるとする。Ｌ＜ｄである。また、各ＩＤ_ｔは、０又は１である。

（ステップＳ６２：ＩＤ群割当処理）
ＩＤ群割当部１７は、ｔ∈［Ｌ］の各整数ｔについてのＩＤ_ｔを、群Ｇ^Ｌ _{ｔ，ＩＤｔ}及び群Ｇ^Ｒ _{ｔ，ＩＤｔ}に割り当てる。そして、ＩＤ群割当部１７は、ｔ∈［Ｌ］の各整数ｔについての群Ｇ^Ｌ _{ｔ，ＩＤｔ}の直積をＩＤ群Ｇ^Ｌ _ＩＤとし、ｔ∈［Ｌ］の各整数ｔについての群Ｇ^Ｒ _{ｔ，ＩＤｔ}の直積をＩＤ群Ｇ^Ｒ _ＩＤとする。つまり、ＩＤ群割当部１７は、数２１８に示すように、ＩＤ群Ｇ^Ｌ _ＩＤ及びＩＤ群Ｇ^Ｒ _ＩＤを生成する。

ＩＤ群割当部１７は、数２１９に示すように、要素ｇ^Ｌ _ＩＤと要素ｆ^Ｌ _ＩＤと要素ｈ^Ｌ _ＩＤと要素ｇ^Ｒ _ＩＤとを生成する。

（ステップＳ６３：分散情報生成処理）
復号鍵生成部１５は、数２２０に示すように、分散情報τ^→を生成する。

（ステップＳ６４：鍵要素生成処理）
復号鍵生成部１５は、数２２１に示すように、ステップＳ６２で生成された要素ｇ^Ｌ _ＩＤと要素ｆ^Ｌ _ＩＤと要素ｈ^Ｌ _ＩＤと要素ｇ^Ｒ _ＩＤとに、ステップＳ６３で生成された分散情報τ^→と、一様乱数ｒ^→：＝（ｒ_ｔ）_{ｔ∈［Ｌ］}とを用いて、鍵要素ｋ：＝｛ｖ^Ｌ _ＩＤ・Ｆ^Ｌ（ＩＤ）^ｒ→，（ｇ^Ｒ _ＩＤ）｝を生成する。

（ステップＳ６５：鍵出力処理）
鍵出力部１６は、ステップＳ６１で受け付けられた識別子ＩＤと、ステップＳ６４で生成された鍵要素ｋとを含む復号鍵ｓｋ_ＩＤを、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数２２２に示すＫｅｙＧｅｎアルゴリズムを実行して、復号鍵ｓｋ_ＩＤを生成する。

図２０及び図２３を参照して、実施の形態６に係るＥｎｃアルゴリズムを説明する。
（ステップＳ７１：取得処理）
取得部２４は、入出力インタフェース２３を介して、鍵生成装置１０によって生成された公開パラメータｐｋを取得する。また、取得部２４は、暗号化対象のメッセージｍと、復号条件となる識別子ＩＤ’との入力を受け付ける。メッセージｍと識別子ＩＤ’とは、例えば、暗号化装置２０の使用者によって入力装置を介して入力される。
ここでは、識別子ＩＤ’：＝（ＩＤ’_ｔ）_{ｔ∈［Ｌ］}であるとする。Ｌ＜ｄである。また、各ＩＤ’_ｔは、０又は１である。

（ステップＳ７２：ＩＤ群割当処理）
ＩＤ群割当部２７は、ｔ∈［Ｌ］の各整数ｔについてのＩＤ’_ｔを、群Ｇ＾^Ｌ _{ｔ，ＩＤｔ}及び群Ｇ＾^Ｒ _{ｔ，ＩＤｔ}に割り当てる。そして、ＩＤ群割当部２７は、ｔ∈［Ｌ］の各整数ｔについての群Ｇ＾^Ｌ _{ｔ，ＩＤ’ｔ}の直積をＩＤ群Ｇ＾^Ｌ _ＩＤとし、ｔ∈［Ｌ］の各整数ｔについての群Ｇ＾^Ｒ _{ｔ，ＩＤ’ｔ}の直積をＩＤ群Ｇ＾^Ｒ _ＩＤとする。つまり、ＩＤ群割当部２７は、数２２３に示すように、ＩＤ群Ｇ＾^Ｌ _ＩＤ及びＩＤ群Ｇ＾^Ｒ _ＩＤを生成する。

ＩＤ群割当部２７は、数２２４に示すように、要素ｇ＾^Ｌ _ＩＤと要素ｆ＾^Ｒ _ＩＤと要素ｈ＾^Ｒ _ＩＤとを生成する。

（ステップＳ７３：暗号文生成処理）
暗号文生成部２５は、ステップＳ７１で取得された公開パラメータｐｋと、ステップＳ７２で生成された要素ｇ＾^Ｌ _ＩＤと要素ｆ＾^Ｒ _ＩＤと要素ｈ＾^Ｒ _ＩＤとを用いて、暗号文ｃｔ_ＩＤ’の要素を生成する。暗号文生成部２５は、群Ｇ_Ｔの要素Ｘと群Ｇ＾_ｔの要素Ｙ＾との生成要素を用いて暗号文ｃｔ_ＩＤ’の要素を生成する。ここで、要素Ｘは、公開パラメータｐｋに含まれる要素ｈ_Ｔのことであり、要素Ｙ＾は、ステップＳ７２で生成された要素ｇ＾^Ｌ _ＩＤと要素ｆ＾^Ｒ _ＩＤと要素ｈ＾^Ｒ _ＩＤとのことである。
暗号文生成処理は、ステップＳ７３１からステップＳ７３３の処理を含む。

（ステップＳ７３１：変換情報生成処理）
変換情報生成部２５１は、一様乱数である暗号化乱数ζを生成する。
変換情報生成部２５１は、要素ｈ_Ｔと、暗号化乱数ζとを用いて、数２２５に示すように、変換情報ｚを生成する。

（ステップＳ７３２：第１暗号要素生成処理）
第１暗号要素生成部２５２は、数２２６に示すように、ステップＳ７３１で生成された変換情報ｚに対して、メッセージｍを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ_Ｔを生成する。

（ステップＳ７３３：第２暗号要素生成処理）
第２暗号要素生成部２５３は、数２２７に示すように、要素Ｙ＾である要素ｇ＾^Ｌ _ＩＤと要素ｆ＾^Ｒ _ＩＤと要素ｈ＾^Ｒ _ＩＤとに対して暗号化乱数ζを設定して暗号文ｃｔ_ＩＤ’の要素である暗号要素ｃ：＝｛（ｇ＾^Ｌ _ＩＤ）^ζ，Ｆ＾^Ｒ（ＩＤ）^ζ｝を生成する。

（ステップＳ７４：暗号文出力処理）
暗号文出力部２６は、ステップＳ７１で受け付けられた識別子ＩＤ’と、ステップＳ７３で生成された暗号要素ｃ_Ｔ，ｃとを暗号要素とする暗号文ｃｔ_ＩＤ’を、入出力インタフェース２３を介して復号装置３０に出力する。

つまり、暗号化装置２０は、数２２８に示すＥｎｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を生成する。

図５及び図１０を参照して、実施の形態６に係るＤｅｃアルゴリズムを説明する。
ステップＳ４１とステップＳ４２との処理と、ステップＳ４４とステップＳ４５との処理とは、実施の形態５と同じである。

（ステップＳ４３：復号処理）
復号部３５は、ステップＳ４１で受け付けられた復号鍵ｓｋ_ＩＤにより、暗号文ｃｔ_ＩＤ’を復号して、メッセージｍ’を生成する。
復号処理は、ステップＳ４３１とステップＳ４３２との処理を含む。

（ステップＳ４３１：変換情報生成処理）
変換情報生成部３５１は、復号鍵ｓｋ_ＩＤに含まれる鍵要素ｋ：＝｛ｖ^Ｌ _ＩＤ・Ｆ^Ｌ（ＩＤ）^ｒ→，（ｇ^Ｒ _ＩＤ）｝と、暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃ：＝｛（ｇ＾^Ｌ _ＩＤ）^ζ，Ｆ＾^Ｒ（ＩＤ）^ζ｝とを用いて、数２２９に示すように、変換情報ｚ’を生成する。ここで、ｋ^Ｌ：＝^Ｌ _ＩＤ・Ｆ^Ｌ（ＩＤ）^ｒ→であり、ｋ^Ｒ：＝（ｇ^Ｒ _ＩＤ）である。また、ｃ^Ｌ：＝（ｇ＾^Ｌ _ＩＤ）^ζであり、ｃ^Ｒ：＝Ｆ＾^Ｒ（ＩＤ）^ζである。

ここで、数２３０であるため、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤが復号可能であれば、変換情報ｚ’と変換情報ｚとは同一になる。

（ステップＳ４３２：メッセージ生成処理）
メッセージ生成部３５２は、ステップＳ４３１で生成された変換情報ｚ’と、暗号文ｃｔ_ＩＤ’に含まれる暗号要素ｃ_Ｔとを用いて、数２３１に示すように、メッセージｍ’を生成する。

つまり、復号装置３０は、数２３２に示すＤｅｃアルゴリズムを実行して、暗号文ｃｔ_ＩＤ’を復号鍵ｓｋ_ＩＤにより復号する。

図２６及び図２７を参照して、実施の形態６に係るＤｅｌｅｇａｔｅアルゴリズムを説明する。
Ｄｅｌｅｇａｔｅアルゴリズムは、鍵委譲装置４０によって実行される。

（ステップＳ８１：取得処理）
取得部４４は、入出力インタフェース４３を介して、鍵生成装置１０によって生成された公開パラメータｐｋと、下位の鍵の生成対象である復号鍵ｓｋ_ＩＤ：＝（ＩＤ，ｋ^Ｌ，ｋ^Ｒ）を取得する。ここで、ｋ^Ｌ：＝^Ｌ _ＩＤ・Ｆ^Ｌ（ＩＤ）^ｒ→であり、ｋ^Ｒ：＝（ｇ^Ｒ _ＩＤ）である。また、取得部４４は、入出力インタフェース４３を介して、復号鍵ｓｋ_ＩＤの下位の復号鍵ｓｋ_ＩＤ’を使用するユーザの識別子ＩＤ_Ｌ＋１∈｛０，１｝の入力を受け付ける。

（ステップＳ８２：ＩＤ群割当処理）
ＩＤ群割当部４５は、ＩＤ’：＝（ＩＤ，ＩＤ_Ｌ＋１）とする。また、ＩＤ群割当部４５は、数２３３に示すように、ＩＤ群Ｇ^Ｌ _ＩＤ’及びＩＤ群Ｇ^Ｒ _ＩＤ’を生成する。

ＩＤ群割当部４５は、数２３４に示すように、要素ｋ^＋Ｌと、要素ｇ^Ｌ _ＩＤ’と、要素ｋ^＋Ｒと、要素ｇ^Ｒ _ＩＤ’とを生成する。

（ステップＳ８３：分散情報生成処理）
下位鍵生成部４６は、数２３５に示すように、分散情報τ^→’を生成する。

（ステップＳ８４：鍵要素生成処理）
下位鍵生成部４６は、数２３６に示すように、ステップＳ８２で生成された要素ｋ^＋Ｌと、要素ｇ^Ｌ _ＩＤ’と、要素ｋ^＋Ｒと、要素ｇ^Ｒ _ＩＤ’とに、ステップＳ８３で生成された分散情報τ^→’と、一様乱数ｒ^→’：＝（ｒ’_ｔ）_{ｔ∈［Ｌ＋１］}とを設定して、鍵要素ｋ：＝｛ｋ^Ｌ，ｋ^Ｒ｝を生成する。

（ステップＳ８５：鍵出力処理）
下位鍵出力部４７は、識別子ＩＤ’と、ステップＳ８４で生成された鍵要素ｋとを含む下位の復号鍵ｓｋ_ＩＤ’を、入出力インタフェース１３を介して復号装置３０に出力する。

つまり、復号鍵生成部１５は、数２３７に示すＤｅｌｅｇａｔｅアルゴリズムを実行して、下位の復号鍵ｓｋ_ＩＤ’を生成する。

＊＊＊実施の形態６の効果＊＊＊
以上のように、実施の形態６に係る暗号システム１は、ＩＰＧを用いてＨＩＢＥ方式を実現する。そのため、同種写像問題困難性から安全性を示すことを可能とすることができる。
また、実施の形態６に係る暗号システム１は、鍵生成乱数σ_ｊ，ιによって変換された生成要素である要素Ｙ＾を用いて暗号文ｃｔ_Γを生成する。これにより、ペアリング問題困難性から安全性を示すことを可能とすることができる。

１ 暗号システム、１０ 鍵生成装置、１１ プロセッサ、１２ 記憶装置、１３ 入出力インタフェース、１４ マスター鍵生成部、１５ 復号鍵生成部、１６ 鍵出力部１６、１７ ＩＤ群割当部、１８ 電子回路、２０ 暗号化装置、２１ プロセッサ、２２ 記憶装置、２３ 入出力インタフェース、２４ 取得部、２５ 暗号文生成部、２６ 暗号文出力部、２７ ＩＤ群割当部、２８ 電子回路、３０ 復号装置、３１ プロセッサ、３２ 記憶装置、３３ 入出力インタフェース、３４ 取得部、３５ 復号部、３６ メッセージ出力部、３８ 電子回路、４０ 鍵委譲装置、４１ プロセッサ、４２ 記憶装置、４３ 入出力インタフェース、４４ 取得部、４５ ＩＤ群割当部、４６ 下位鍵生成部、４７ 下位鍵出力部、４８ 電子回路。

Claims (18)

1. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける暗号化装置であり、
   前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾を用いて暗号文ｃｔを生成する暗号文生成部
   を備え、
   前記暗号文生成部は、
   前記要素Ｘに暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍを設定して前記暗号文ｃｔの要素である暗号要素ｃ_Ｔを生成する第１暗号要素生成部と、
   前記要素Ｙ＾に対して前記暗号化乱数ζを設定して前記暗号文ｃｔの要素である暗号要素ｃを生成する第２暗号要素生成部と
   を備える暗号化装置。
2. 前記第１暗号要素生成部は、数１に示す暗号要素ｃ_Ｔを生成し、
   前記第２暗号要素生成部は、数２に示す暗号要素ｃを生成する
   請求項１に記載の暗号化装置。
   

   

   
3. 前記暗号システムは、２以上の整数ｗに関して、ｔ＝１，．．．，ｗの各整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
   前記暗号化装置は、さらに、
   ２以上ｗ以下の整数ｎに関してｊ＝１，．．．，ｎの各整数ｊについての属性ｘ_ｊを、前記群Ｇ＾_ｔのうちの異なる群に割り当てるＩＤ群割当部
   を備え、
   前記第２暗号要素生成部は、前記ＩＤ群割当部によってｊ＝１，．．．，ｎの各整数ｊについての属性ｘ_ｊに割り当てられた群の要素に対して前記暗号化乱数ζを設定して前記暗号要素ｃを生成する
   請求項１に記載の暗号化装置。
4. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｔ＝１，．．．，ｎの各整数ｔと、ι＝０，１の各整数ιとについての群Ｇ_ｔ，ι及び群Ｇ＾_ｔ，ιを用い、
   前記ＩＤ群割当部は、ｊ＝１，．．．，ｎの各整数ｊについての前記属性ｘ_ｊである識別子ＩＤ’_ｊであって、０又は１である識別子ＩＤ’_ｊを、ｔ＝ｊかつι＝ＩＤ’_ｊの群Ｇ＾_ｔ，ιに割り当て、
   前記第１暗号要素生成部は、数３に示す暗号要素ｃ_Ｔを生成し、
   前記第２暗号要素生成部は、数４に示す暗号要素ｃを生成する
   請求項３に記載の暗号化装置。
   

   

   
5. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔについての群Ｇ_ｔ及び群Ｇ＾_ｔを用い、
   前記ＩＤ群割当部は、属性集合Γに含まれる属性ｘ_ｔを、群Ｇ＾_ｔに割り当て、
   前記第１暗号要素生成部は、数５に示す暗号要素ｃ_Ｔを生成し、
   前記第２暗号要素生成部は、数６に示す暗号要素ｃを生成する
   請求項３に記載の暗号化装置。
   

   

   
6. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔと、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについての群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}を用い、
   前記ＩＤ群割当部は、属性集合Γに含まれる属性ｘ_ｔを、群Ｇ＾_ｔに割り当て、
   前記第１暗号要素生成部は、数７に示す暗号要素ｃ_Ｔを生成し、
   前記第２暗号要素生成部は、数８に示す暗号要素ｃを生成する
   請求項３に記載の暗号化装置。
   

   

   
7. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔと、ι＝０，１の各整数ιとについての群Ｇ^Ｌ _ｔ，ι及び群Ｇ^Ｒ _ｔ，ιと、群Ｇ＾^Ｌ _ｔ，ι及び群Ｇ＾^Ｒ _ｔ，ιとを用い、
   前記ＩＤ群割当部は、１以上ｄ以下の整数Ｌに関して、ｊ＝１，．．．，Ｌの各整数ｊについての前記属性ｘ_ｊである識別子ＩＤ’_ｊであって、０又は１である識別子ＩＤ’_ｊを、ｔ＝ｊかつι＝ＩＤ’_ｊの群Ｇ＾^Ｌ _ｔ，ι及び群Ｇ＾^Ｒ _ｔ，ιに割り当て、
   前記第１暗号要素生成部は、数９に示す暗号要素ｃ_Ｔを生成し、
   前記第２暗号要素生成部は、数１０に示す暗号要素ｃを生成し、
   請求項３に記載の暗号化装置。
   

   

   
8. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける復号装置であり、
   前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾とを用いて生成された暗号文ｃｔであって、前記要素Ｘに暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍが設定された暗号要素ｃ_Ｔと、前記要素Ｙ＾に対して前記暗号化乱数ζが設定された暗号要素ｃとを含む暗号文ｃｔを取得する暗号文取得部と、
   前記鍵生成乱数によって変換された前記群Ｇ_ｔの要素である鍵要素ｋを含む復号鍵ｓｋと、前記暗号要素ｃとから変換情報ｚ’を生成し、前記変換情報ｚ’と前記暗号要素ｃ_Ｔとからメッセージｍ’を生成する復号部と
   を備える復号装置。
9. 前記暗号文取得部は、数１１に示す前記暗号要素ｃ_Ｔ及び前記暗号要素ｃを含む前記暗号文ｃｔを取得し、
   前記復号部は、数１２に示すように、前記変換情報ｚ’を生成するとともに、前記メッセージｍ’を生成する
   請求項８に記載の復号装置。
   

   

   
10. 前記暗号システムは、２以上の整数ｗに関して、ｔ＝１，．．．，ｗの各整数ｔについての前記群Ｇ_ｔ及び前記群Ｇ＾_ｔを用い、
    前記暗号要素ｃは、２以上ｗ以下の整数ｎに関してｊ＝１，．．．，ｎの各整数ｊについての属性ｘ_ｊが前記群Ｇ＾_ｔのうちの異なる群に割り当てられ、前記各整数ｊについての属性ｘ_ｊが割り当てられた群の要素に対して前記暗号化乱数ζが設定されており、
    前記鍵要素ｋは、前記整数ｎに関してｊ’＝１，．．．，ｎの各整数ｊ’についての属性ｘ_ｊ’が前記群Ｇ_ｔのうちの異なる群に割り当てられ、前記各整数ｊ’についての属性ｘ_ｊ’が割り当てられた群の要素に対して前記暗号化乱数ζが設定されている
    請求項８に記載の復号装置。
11. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｔ＝１，．．．，ｎの各整数ｔと、ι＝０，１の各整数ιとについての群Ｇ_ｔ，ι及び群Ｇ＾_ｔ，ιを用い、
    前記暗号文取得部は、数１３に示す前記暗号要素ｃ_Ｔ及び前記暗号要素ｃを含む前記暗号文ｃｔを取得し、
    前記復号部は、数１４に示すように、前記変換情報ｚ’を生成するとともに、前記メッセージｍ’を生成する
    請求項１０に記載の復号装置。
    

    

    
12. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔについての群Ｇ_ｔ及び群Ｇ＾_ｔを用い、
    前記暗号文取得部は、数１５に示す前記暗号要素ｃ_Ｔ及び前記暗号要素ｃを含む前記暗号文ｃｔを取得し、
    前記復号部は、数１６に示すように、前記変換情報ｚ’を生成するとともに、前記メッセージｍ’を生成する
    請求項１０に記載の復号装置。
    

    

    
13. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔと、ｊ＝１，．．．，ｎの各整数ｊと、ι＝０，１の各整数ιとについての群Ｇ_{ｔ，ｊ，ι}及び群Ｇ＾_{ｔ，ｊ，ι}を用い、
    前記暗号文取得部は、数１７に示す前記暗号要素ｃ_Ｔ及び前記暗号要素ｃを含む前記暗号文ｃｔを取得し、
    前記復号部は、数１８に示すように、前記変換情報ｚ’を生成するとともに、前記メッセージｍ’を生成する
    請求項１０に記載の復号装置。
    

    

    
14. 前記暗号システムは、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとして、ｄ＝ｗの整数ｄに関して、ｔ＝１，．．．，ｄの各整数ｔと、ι＝０，１の各整数ιとについての群Ｇ^Ｌ _ｔ，ι及び群Ｇ^Ｒ _ｔ，ιと、群Ｇ＾^Ｌ _ｔ，ι及び群Ｇ＾^Ｒ _ｔ，ιとを用い、
    前記暗号文取得部は、数１９に示す前記暗号要素ｃ_Ｔ及び前記暗号要素ｃを含む前記暗号文ｃｔを取得し、
    前記復号部は、数２０に示すように、前記変換情報ｚ’を生成するとともに、前記メッセージｍ’を生成する
    請求項１０に記載の復号装置。
    

    

    
15. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける暗号化方法であり、
    前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾を用いて暗号文ｃｔを生成する暗号文生成工程
    を備え、
    前記暗号文生成工程は、
    前記要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍを設定して前記暗号文ｃｔの要素である暗号要素ｃ_Ｔを生成する第１暗号要素生成工程と、
    前記要素Ｙ＾に対して前記暗号化乱数ζを設定して前記暗号文ｃｔの要素である暗号要素ｃを生成する第２暗号要素生成工程と
    を備える暗号化方法。
16. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける暗号化プログラムであり、
    前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾を用いて暗号文ｃｔを生成する暗号文生成処理
    をコンピュータに実行させ、
    前記暗号文生成処理は、
    前記要素Ｘに対して暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍを設定して前記暗号文ｃｔの要素である暗号要素ｃ_Ｔを生成する第１暗号要素生成処理と、
    前記要素Ｙ＾に対して前記暗号化乱数ζを設定して前記暗号文ｃｔの要素である暗号要素ｃを生成する第２暗号要素生成処理と
    を含む暗号化プログラム。
17. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける復号方法であり、
    前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾とを用いて生成された暗号文ｃｔであって、前記要素Ｘに暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍが設定された暗号要素ｃ_Ｔと、前記要素Ｙ＾に対して前記暗号化乱数ζが設定された暗号要素ｃとを含む暗号文ｃｔを取得する暗号文取得工程と、
    前記鍵生成乱数によって変換された前記群Ｇ_ｔの要素である鍵要素ｋを含む復号鍵ｓｋと、前記暗号要素ｃとから変換情報ｚ’を生成し、前記変換情報ｚ’と前記暗号要素ｃ_Ｔとからメッセージｍ’を生成する復号工程と
    を備える復号方法。
18. 群Ｇ_０と、前記群Ｇ_０と対応付けられた群Ｇ_ｔと、群Ｇ＾_０と、前記群Ｇ＾_０と対応付けられた群Ｇ＾_ｔと、前記群Ｇ_０及び前記群Ｇ＾_０とペアリング演算ｅ_０によって対応付けられるとともに、前記群Ｇ_ｔ及び前記群Ｇ＾_ｔとペアリング演算ｅ_ｔによって対応付けられた群Ｇ_Ｔとを用いた暗号システムにおける復号プログラムであり、
    前記群Ｇ_Ｔの要素Ｘと前記群Ｇ＾_ｔの要素Ｙ＾とであって、少なくともいずれかが生成元が鍵生成乱数によって変換されて生成された要素Ｘと要素Ｙ＾とを用いて生成された暗号文ｃｔであって、前記要素Ｘに暗号化乱数ζが設定された変換情報ｚに対して、メッセージｍが設定された暗号要素ｃ_Ｔと、前記要素Ｙ＾に対して前記暗号化乱数ζが設定された暗号要素ｃとを含む暗号文ｃｔを取得する暗号文取得処理と、
    前記鍵生成乱数によって変換された前記群Ｇ_ｔの要素である鍵要素ｋを含む復号鍵ｓｋと、前記暗号要素ｃとから変換情報ｚ’を生成し、前記変換情報ｚ’と前記暗号要素ｃ_Ｔとからメッセージｍ’を生成する復号処理と
    をコンピュータに実行させる復号プログラム。

Images