JP7119605B2 - 暗号文変換システム、暗号文変換方法、及びプログラム - Google Patents

Description

本発明は、暗号文変換システム、暗号文変換方法、及びプログラムに関する。

或る方式の暗号文を平文に戻すことなく他の方式の暗号文に変換する技術として暗号文変換と呼ばれる技術が知られている。このような暗号文変換の方式として、プロキシ再暗号方式が従来から数多く提案されている（例えば非特許文献１乃至３）。

Matt Blaze, Gerrit Bleumer, and Martin Strauss. Divertible protocols and atomic proxy cryptography. In Kaisa Nyberg, editor, EUROCRYPT'98, volume 1403 of LNCS, pages 127-144. Springer, Heidelberg, May / June 1998. Giuseppe Ateniese, Kevin Fu, Matthew Green, and Susan Hohenberger. Improved proxy re-encryption schemes with applications to secure distributed storage. In NDSS 2005. The Internet Society, February 2005. Ran Canetti and Susan Hohenberger. Chosen-ciphertext secure proxy re-encryption. In Peng Ning, Sabrina De Capitani di Vimercati, and Paul F. Syverson, editors, ACM CCS 07, pages 185-194. ACM Press, October 2007.

しかしながら、従来の暗号文変換方式では、その方式が定める形式の暗号文しか変換することができなかった。これに対して、或る暗号方式の暗号文を他の暗号方式に変換したい場合、これらの暗号方式にあわせてプロキシ再暗号を一から設計することも可能であるが、設計に時間を要すると共に、実用化への導入コストも高くなる。

また、従来の暗号文変換方式では、既存の公開鍵暗号方式の暗号文（すなわち、プロキシ再暗号でない通常の公開鍵暗号方式の暗号文）を汎用的に他の公開鍵暗号方式の暗号文に変換することができなかった。

本発明は、上記の点に鑑みてなされたもので、任意の公開鍵暗号方式の暗号文を他の公開鍵暗号方式の暗号文に変換することを目的とする。

上記目的を達成するため、本発明の変換鍵生成装置は、第１の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと、第２の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとを入力として、確率的回路又は関数秘密分散を用いて、前記第１の公開鍵暗号方式Σ_ｓによる第１の暗号文ｃｔ_ｓを前記第２の公開鍵暗号方式Σ_ｄによる第２の暗号文ｔｃｔに変換するための変換鍵ｕｔｋ_ｓ→ｄを生成する鍵生成手段、を有することを特徴とする。

また、本発明の暗号文変換装置は、第１の公開鍵暗号方式Σ_ｓによる第１の暗号文ｃｔ_ｓを第２の公開鍵暗号方式Σ_ｄによる第２の暗号文ｔｃｔに変換するための変換鍵ｕｔｋ_ｓ→ｄと、前記第１の暗号文ｃｔ_ｓとを入力として、確率的回路又は関数秘密分散を用いて、前記第１の暗号文ｃｔ_ｓを前記第２の暗号文ｔｃｔに変換する変換手段、を有することを特徴とする。

また、本発明の復号装置は、第１の公開鍵暗号方式Σ_ｓによる第１の暗号文ｃｔ_ｓが変換鍵ｕｔｋ_ｓ→ｄにより変換された第２の暗号文ｔｃｔと、第２の公開鍵暗号方式Σ_ｄの復号鍵ｓｋ_ｄとを入力として、前記第２の暗号文ｔｃｔを前記復号鍵ｓｋ_ｄにより復号したメッセージｍを出力する復号手段、を有することを特徴とする。

本発明によれば、任意の公開鍵暗号方式の暗号文を他の公開鍵暗号方式の暗号文に変換することができる。

第一の実施形態に係る暗号文変換システムの全体構成の一例を示す図である。 第一の実施形態に係る暗号文変換システムの全体処理の一例を示すフローチャート（実施例１）である。 第一の実施形態に係る暗号文変換システムの全体処理の一例を示すフローチャート（実施例２）である。 第二の実施形態に係る暗号文変換システムの全体構成の一例を示す図である。 第二の実施形態に係る暗号文変換システムの全体処理の一例を示すフローチャートである。 コンピュータのハードウェア構成の一例を示す図である。

以下、本発明の実施の形態（第一の実施形態及び第二の実施形態）について説明する。本発明の各実施形態では、任意の公開鍵暗号方式の暗号を他の公開鍵暗号方式の暗号文に変換する暗号文変換システム１について説明する。このような暗号文変換システム１により、現在利用している或る公開鍵暗号方式の暗号文を他の公開鍵暗号方式の暗号文に変換することができるため、例えば、プロキシ再暗号の設計の手間が省けると共に、実用化への導入コストも削減することができる。

＜準備＞
まず、本発明を説明する前に、いくつかの用語等について説明する。

・関数秘密分散（ＦＳＳ：Function Secret Sharing）
以降、関数秘密分散（ＦＳＳ）について説明する。記号等の表記は以下の参考文献１及び２に従う。ただし、筆記体で表されている記号等については、便宜上、ブロック体で表す。また、以降では、加法再構成法に限定して説明する。なお、関数秘密分散の詳細については、例えば、以下の参考文献１や参考文献２を参照されたい。

［参考文献１］
Elette Boyle, Niv Gilboa, and Yuval Ishai. Function secret sharing.
［参考文献２］
Elette Boyle, Niv Gilboa, and Yuval Ishai. Breaking the circuit size barrier for secure computation under DDH. In Matthew Robshaw and Jonathan Katz, editors, CRYPTO 2016, Part I, volume 9814 of LNCS, pages 509-539. Springer, Heidelberg, August 2016.
関数はビット列ｆの集合（クラス）Ｆとして表現される。各集合は、入力長ｎ及び出力長ｍである効率的な評価アルゴリズムＥｖａｌを定める。ここで、Ｅｖａｌ（ｆ，ｘ）は、ｆの入力ｘに対する出力値を計算するようなアルゴリズムである。

このとき、関数クラスＦに対するｍ－パーティ関数秘密分散は、２つのアルゴリズム（Ｇｅｎ，Ｅｖａｌ）からなる。

ここで、Ｇｅｎ（１^λ，ｆ）は、鍵生成アルゴリズムであり、セキュリティパラメータ１^λと関数の記述ｆ∈Ｆとを入力として、ｍ個の鍵（ｋ_１，・・・，ｋ_ｍ）を出力する。なお、各鍵は入力の領域Ｄ_ｆと出力の領域Ｒ_ｆとの記述を含んでいると仮定する。

また、Ｅｖａｌ（ｉ，ｋ_ｉ，ｘ）は、評価アルゴリズムであり、インデックスｉ∈［ｍ］と、鍵ｋ_ｉと、ｘ∈｛０，１｝^ｎとを入力として、ｙ_ｉを出力する。ここで、ｙ_ｉはｆ（ｘ）のｉ番目の分割値を示すｆ_ｉ（ｘ）である。

次に、関数クラスＦに対する安全な（ｍ，ｔ）－δ－ＦＳＳは、以下の（１－１）δ－正当性と、（１－２）秘匿性とを満たす。

（１－１）δ－正当性：全てのｆ∈Ｆ、ｘ∈Ｄ_ｆに対して、

が成立する。

（１－２）秘匿性：チャレンジャーと攻撃者Ａとの間の実験

を以下のＳｔｅｐ１～Ｓｔｅｐ５により定義する。

Ｓｔｅｐ１：チャレンジャーはセキュリティパラメータ１^λを攻撃者Ａに送る。

Ｓｔｅｐ２：攻撃者Ａは

であるような関数の記述ｆ_０，ｆ_１∈Ｆと、大きさが高々ｔの集合Ｓ⊂［ｍ］とをチャレンジャーに送る。

Ｓｔｅｐ３：チャレンジャーは（ｋ_１，・・・，ｋ_ｍ）←Ｇｅｎ（１^λ，ｆ_ｂ）を計算し、ｖ：＝｛ｋ_ｉ｝_ｉ∈Ｓと設定する。

Ｓｔｅｐ４：チャレンジャーはｖを攻撃者Ａに渡す。

Ｓｔｅｐ５：攻撃者Ａは推測ｂ´∈｛０，１｝を出力する。この出力ｂ´が実験の出力である。

このとき、もしどのような攻撃者Ａに対しても

が成立する場合、ＦＳＳはｔ－安全であるという。もし、δ≦ｎｅｇｌ（λ）の場合は、単に、（ｍ，ｔ）－ＦＳＳと表記する。

正当性は、最終的に計算したい値ｆ（ｘ）をＥｖａｌ（ｉ，ｋ_ｉ，ｘ）によって分散して計算しているということを意味する。また、秘匿性は、攻撃者は鍵の部分集合を与えられても（すなわち、ｋ_１，・・・，ｋ_ｍの一部が与えられても）関数ｆに関する情報を得られないということを意味している。

・識別不可能性難読化器（ＩＯ：Indistinguishability Obfuscator）
難読化器とはプログラムを変換し、異なるプログラムに変換する技術である。変換後のプログラムの機能は、変換前のプログラムの機能と完全に同一である。また、変換後のプログラムは、変換前のプログラムに関する情報を漏らさない。特に、識別不可能性難読化器とは、同一の機能を持つ２つの異なるプログラムを変換した場合に、変換後のプログラムがどちらのプログラムを変換して得られたものかを識別できないことを保証する難読化器である。なお、識別不可能性難読化器の詳細については、例えば、以下の参考文献３や参考文献４を参照されたい。

［参考文献３］
Boaz Barak, Oded Goldreich, Russell Impagliazzo, Steven Rudich, Amit Sahai, Salil P.Vadhan, and Ke Yang. On the (im)possibility of obfuscating programs. Journal of the ACM, 59(2):6, 2012.
［参考文献４］
Sanjam Garg, Craig Gentry, Shai Halevi, Mariana Raykova, Amit Sahai, and Brent Waters. Candidate indistinguishability obfuscation and functional encryption for all circuits. SIAM J. Comput., 45(3):882-929, 2016.
すなわち、確率的多項式時間機械ｉＯが回路族｛Ｃ_λ｝_λ∈Ｎに対する識別不可能性難読化器であるとは、以下の（２－１）正当性と、（２－２）識別不可能性とを満たすことである。ここで、Ｎは自然数全体の集合を表す。

（２－１）正当性：任意のセキュリティパラメータλ∈Ｎ、任意のｃ∈Ｃ_λ、任意の入力ｘに対して、Ｐｒ［ｃ´（ｘ）＝ｃ（ｘ）：ｃ´←ｉＯ（ｃ）］＝１となる。

（２－２）識別不可能性：任意の多項式サイズ識別器Ｄに対して、無視できる関数μ（・）が存在して、任意のセキュリティパラメータλ∈Ｎ、サイズが等しい任意の回路対ｃ_０，ｃ_１∈Ｃ_λで任意の入力ｘについてｃ_０（ｘ）＝ｃ_１（ｘ）が成立するものに対して、以下が成立する。

｜Ｐｒ［Ｄ（ｉＯ（ｃ_０））＝１］－Ｐｒ［Ｄ（ｉＯ（ｃ_１））＝１］｜≦μ（λ）
これは、ｃ_０及びｃ_１が同じ機能を持つ回路であるならば、攻撃者はｃ_０の難読化を受け取ったのか、ｃ_１の難読化を受け取ったのかを区別できないことを意味する。

・確率的識別不可能性難読化器（ＰＩＯ：Probabilistic Indistinguishability Obfuscator）
次に、確率的回路族Ｃ：＝｛Ｃ_λ｝_λ∈Ｎに対する難読化を考える。上述の難読化器は、確定的回路に対するものであったが、確率的識別不可能性難読化器（ＰＩＯ）は確率的回路に対する難読化器である。

確率的多項式時間アルゴリズムｐｉＯが確率的回路族Ｃ＝｛Ｃ_λ｝_λ∈Ｎに対する確率的識別不可能性難読化器であるとは、以下の（３－１）正当性と、（３－２）識別不可能性とを満たすことである。

（３－１）正当性：任意のλ∈Ｎと、任意のｃ∈Ｃ_λと、任意のｃ´←ｐｉＯ（Ｃ）と、任意の入力ｘとに対して、ｃ（ｘ）の確率分布とｃ´（ｘ）の確率分布とが同一である。なお、この正当性の詳細については、例えば、以下の参考文献５を参照されたい。

［参考文献５］
Yevgeniy Dodis, Shai Halevi, Ron D. Rothblum, and Daniel Wichs. Spooky encryption and its applications. In Matthew Robshaw and Jonathan Katz, editors, CRYPTO 2016, Part III, volume 9816 of LNCS, pages 93-122. Springer, Heidelberg, August 2016.
（３－２）識別不可能性：任意の多項式サイズ識別器Ｄに対して、無視できる関数μ（・）が存在して、任意のセキュリティパラメータλ∈Ｎ、サイズが等しい任意の回路対ｃ_０，ｃ_１∈Ｃ_λで任意の入力ｘについてｃ_０（ｘ）＝ｃ_１（ｘ）が成立するものに対して、以下が成立する。

｜Ｐｒ［Ｄ（ｃ_０，ｃ_１，ｐｉＯ（ｃ_０））＝１］－Ｐｒ［Ｄ（ｃ_０，ｃ_１，ｐｉＯ（ｃ_１））＝１］｜≦μ（λ）
なお、上記の（３－１）の正当性の定義は、参考文献５に記載されているDodisらの定義を採用したが、以下の参考文献６に記載されているCanettiらの定義を採用しても良い。

［参考文献６］
Ran Canetti, Huijia Lin, Stefano Tessaro, and Vinod Vaikuntanathan. Obfuscation of probabilistic circuits and applications. In Dodis and Nielsen [DN15], pages 468-497.
また、上記の（３－２）の識別不可能性の定義についても、上記の参考文献６に記載されているものを採用しても良い。

ここで、識別不可能性難読化器があれば、確率的識別不可能性難読化器が存在することが知られている。また、識別不可能性難読化器と一方向性関数とが存在すれば、確率的回路に対する確率的識別不可能性難読化器が構成できる。

識別不可能性難読化器の具体的な実現方法については、例えば、上記の参考文献４や以下の参考文献７、参考文献８を参照されたい。また、確率的識別不可能性難読化器の具体的な実現方法については、例えば、上記の参考文献６を参照されたい。

［参考文献７］
Boaz Barak, Sanjam Garg, Yael Tauman Kalai, Omer Paneth, and Amit Sahai. Protecting obfuscation against algebraic attacks. In Phong Q. Nguyen and Elisabeth Oswald, editors, EUROCRYPT 2014, volume 8441 of LNCS, pages 221-238. Springer, Heidelberg, May 2014.
［参考文献８］
Sanjam Garg, Eric Miles, Pratyay Mukherjee, Amit Sahai, Akshayaram Srinivasan, and Mark Zhandry. Secure obfuscation in a weak multilinear map model. In Martin Hirt and Adam D. Smith, editors, TCC 2016-B, Part II, volume 9986 of LNCS, pages 241-268.Springer, Heidelberg, October / November 2016.
＜本発明の概要＞
本発明の各実施形態では、任意の公開鍵暗号方式の暗号文を他の公開鍵暗号方式の暗号文に変換する汎用的暗号文変換器（ＵＣＴ：Universal Ciphertext Transformation）として機能する暗号文変換システム１について説明する。そこで、以降では、汎用的暗号文変換器を定義し、この汎用的暗号文変換器の性質等について説明する。なお、汎用的暗号文変換器はプロキシ再暗号の一般化とみることができるため、以降の用語等の多くは、例えば、上記の非特許文献１乃至３に記載されているプロキシ再暗号で用いられている用語等を踏襲する。

以降では、既存の全ての公開鍵暗号方式の総数をＫとして、各公開鍵暗号方式は［Ｋ］に属する番号によって番号付けされているものとする。また、公開鍵暗号方式で生成する鍵対に対して［Ｕ］に属する番号によって番号付けするものとする。ここで、

と記載した場合は、ｉ番目の鍵対が公開鍵暗号方式

によって生成されたことを意味する。ただし、σ_ｉ∈［Ｋ］である。なお、Ｇｅｎは鍵生成アルゴリズム、Ｅｎｃは暗号化アルゴリズム、Ｄｅｃは復号アルゴリズムを表す。

以降では、或るユーザが委譲者又は受任者であることを強調するときは、委譲者と受任者の鍵対をそれぞれ（ｐｋ_ｓ，ｓｋ_ｓ）及び（ｐｋ_ｄ，ｓｋ_ｄ）で表す。すなわち、ｐｋ_ｓの下での暗号文はｐｋ_ｄの下での暗号文に変換される。ここで、委譲者は、公開鍵暗号方式ｓの暗号文を公開鍵暗号方式ｓの暗号文に変換して、この変換後の暗号文の復号を受任者に委譲するユーザである。一方で、受任者は、公開鍵暗号方式ｓの暗号文を復号するユーザである。

なお、以降では、Σ_σｉ（ただし、「σｉ」の「ｉ」は、正確には「σ」の下付き表記「σ_ｉ」である。以降も同様である。）の記述の中に、暗号文空間Ｃ_σｉ及びメッセージ空間Ｍ_σｉも含まれているものとする。

汎用的暗号文変換器は、以下の３つのアルゴリズム（ＴｒＫｅｙＧｅｎ，ＴｒＣＴ，ＴｒＤｅｃ）から構成される。

ＴｒＫｅｙＧｅｎ（１^λ，Σ_σｓ，Σ_σｄ，ｓｋ_ｓ，ｐｋ_ｄ）は、セキュリティパラメータ１^λと、公開鍵暗号方式の対（Σ_σｓ，Σ_σｄ）と、公開鍵暗号方式Σ_σｓの復号鍵ｓｋ_ｓと、公開鍵暗号方式Σ_σｄの公開鍵ｐｋ_ｄとを入力として、ｐｋ_ｓの下での暗号文をｐｋ_ｄの下での暗号文に変換するための変換鍵ｕｔｋ_ｓ→ｄを出力する。以降、セキュリティパラメータ１^λはしばしば省略される。

ＴｒＣＴ（Σ_σｓ，Σ_σｄ，ｕｔｋ_ｓ→ｄ，ｃｔ_ｓ）は、公開鍵暗号方式の対（Σ_σｓ，Σ_σｄ）と、変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_σｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、変換された暗号文ｔｃｔを出力する。

ＴｒＤｅｃ（Σ_σｄ，ｓｋ_ｄ，ｔｃｔ）は、公開鍵暗号方式Σ_σｄと、公開鍵暗号方式Σ_σｄの復号鍵ｓｋ_ｄと、変換鍵ｕｔｋ_ｓ→ｄの下での変換後の暗号文ｔｃｔとを入力として、メッセージｍ∈Ｍ_σｓを出力する。

ただし、例えば、後述する実施例１等では、汎用的暗号文変換器にはＴｒＤｅｃが含まなくても良い。すなわち、２つのアルゴリズム（ＴｒＫｅｙＧｅｎ，ＴｒＣＴ）を汎用的暗号文変換器としても良い。

なお、変換後の暗号文空間Ｃ_{σｓ→σｄ}は潜在的にＣ_σｓ及びＣ_σｄに依存するため、ｔｃｔが暗号文空間Ｃ_σｄに含まれない場合も有り得る。

（単方向単一ホップＵＣＴ）
まず、単方向単一ホップの汎用的暗号文変換器（ＵＣＴ）について説明する。単方向単一ホップＵＣＴとは、暗号文が他の暗号文に変換されるのは一度のみであり、一度変換された暗号文はそれ以上変換できない汎用的暗号文変換器のことである。

単方向単一ホップのＵＣＴは、以下の性質（単方向の正当性）を持っている必要がある。すなわち、単方向単一ホップのＵＣＴは、任意の公開鍵暗号方式の対（Σ_σｓ，Σ_σｄ）と、鍵対（ｐｋ_ｓ，ｓｋ_ｓ）←Ｇｅｎ_σｓ（１^λｓ），（ｐｋ_ｄ，ｓｋ_ｄ）←Ｇｅｎ_σｄ（１^λｄ）（ただし、「λｉ」（ここではｉはｓ又はｄ）の「ｉ」は、正確にはそれぞれ「λ」の下付き表記「λ_ｉ」である。以降も同様である。）と、メッセージｍ∈Ｍ_σｓと、ｃｔ_ｓ←Ｅｎｃ_σｓ（ｐｋ_ｓ，ｍ）とに対して、以下が成立することが必要である。

Ｐｒ［ＴｒＤｅｃ（Σ_σｄ，ｓｋ_ｄ，ＴｒＣＴ（Σ´，ＴｒＫｅｙＧｅｎ（Σ´，ｓｋ_ｓ，ｐｋ_ｄ），ｃｔ_ｓ））＝ｍ］＝１
ただし、Σ´：＝（Σ_σｓ，Σ_σｄ）である。

（双方向ＵＣＴ）
双方向のＵＣＴを考えることもできる。すなわち、鍵対（ｐｋ_ｓ，ｓｋ_ｓ）及び（ｐｋ_ｄ，ｓｋ_ｄ）から生成された変換鍵は、ｐｋ_ｓの下での暗号文をｓｋ_ｄで復号可能な暗号文に変換可能で、かつ、ｐｋ_ｄの下での暗号文をｓｋ_ｓで復号可能な暗号文に変換可能である。しかしながら、単方向ＵＣＴは双方向ＵＣＴよりも強力である。これは、単方向ＵＣＴにより、変換鍵ｕｔｋ_ｓ→ｄと変換鍵_ｄ→ｓとを生成することで、双方向ＵＣＴを実現可能なためである。

（単方向複数ホップＵＣＴ）
次に、単方向複数ホップＵＣＴについて説明する。単方向複数ホップＵＣＴでは、変換鍵ｕｔｋ_ｓ→ｄによって変換された暗号文ｔｃｔは公開鍵ｐｋ_ｄの下での暗号文と同一のフォーマットをしており、複数回の暗号文変換が適用可能である。すなわち、ｔｃｔ←ＴｒＣＴ（Σ_σｓ，Σ_σｄ，ｕｔｋ_ｓ→ｄ，ｃｔ_ｓ）に対して、

が成立している。ただし、ｔはｔ≧１であるような整数である。

ここで、Ｌ＝Ｌ（λ）を汎用的暗号文変換器が扱える最大のホップ数とする。このとき、単方向複数ホップＵＣＴは、以下の性質（Ｌ－ホップ正当性）を持っている必要がある。すなわち、単方向複数ホップＵＣＴは、任意の公開鍵暗号方式の対（Σ_σ０，Σ_σ１，・・・，Σ_σＬ）と、鍵対（ｐｋ_ｉ，ｓｋ_ｉ）←Ｇｅｎ_σｉ（１^λｉ），（ｉ＝０，１，・・・，Ｌ）と、メッセージｍ∈Ｍ_σ０と、暗号文ｃｔ_０←Ｅｎｃ_σ０（ｐｋ_０，ｍ）とに対して、以下が成立することが必要である。

Ｐｒ［ＴｒＤｅｃ_ｊ（ｓｋ_ｊ，ＴｒＣＴ（Σ´，ＴｒＫｅｙＧｅｎ（Σ´，ｓｋ_ｊ－１，ｐｋ_ｊ），ｃｔ_ｊ））＝ｍ］＝１
ただし、ｊ∈［１，Ｌ］であり、

である。

なお、汎用的暗号文変換器の安全性は、攻撃者が変換鍵を与えられたとしても、暗号文から平文に関する情報が得られないことを要求している。

［第一の実施形態］
以降では、本発明の第一の実施形態について説明する。以降の各実施形態では、簡単のため、Σ_σｉ＝（Ｇｅｎ_σｉ，Ｅｎｃ_σｉ，Ｄｅｃ_σｉ）をΣ_ｉ＝（Ｇｅｎ_ｉ，Ｅｎｃ_ｉ，Ｄｅｃ_ｉ）とも表す。なお、例えば、或るユーザｉ（例えば、委譲者）の公開鍵暗号方式をΣ_ｉ、別のユーザｊ（例えば、受任者）の公開鍵暗号方式をΣ_ｊとした場合、Σ_ｉ＝Σ_ｊとなることも起こり得る。これは、Σ_ｉ及びΣ_ｊは正確にはそれぞれΣ_σｉ及びΣ_σｊであり、σ_ｉ＝σ_ｊ∈［Ｋ］となる場合が起こり得るためである。

＜全体構成＞
まず、本実施形態に係る暗号文変換システム１の全体構成について、図１を参照しながら説明する。図１は、第一の実施形態に係る暗号文変換システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る暗号文変換システム１には、変換鍵生成装置１０と、暗号文変換装置２０と、受信装置３０とが含まれる。なお、変換鍵生成装置１０と、暗号文変換装置２０と、受信装置３０とは、例えば、インターネット等の通信ネットワークを介して通信可能に接続される。

変換鍵生成装置１０は、任意の公開鍵暗号方式の公開鍵による暗号文を他の公開鍵暗号方式の公開鍵による暗号文に変換するための変換鍵を生成するコンピュータ又はコンピュータシステムである。変換鍵生成装置１０は、鍵生成処理部１１０と、記憶部１２０とを有する。

鍵生成処理部１１０は、ＴｒＫｅｙＧｅｎアルゴリズムを実行する。すなわち、鍵生成処理部１１０は、セキュリティパラメータ１^λと、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換元の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと、変換後の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとを入力として、公開鍵ｐｋ_ｓの下での暗号文を公開鍵ｐｋ_ｄの下での暗号文に変換するための変換鍵ｕｔｋ_ｓ→ｄを出力する。この変換鍵ｕｔｋ_ｓ→ｄは、例えば、記憶部１２０に記憶されると共に、暗号文変換装置２０に送信される。

なお、鍵生成処理部１１０は、例えば、変換鍵生成装置１０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。また、記憶部１２０は、例えば補助記憶装置等を用いて実現可能である。

暗号文変換装置２０は、任意の公開鍵暗号方式の公開鍵による暗号文を他の公開鍵暗号方式の公開鍵による暗号文に変換するコンピュータ又はコンピュータシステムである。暗号文変換装置２０は、変換処理部２１０と、記憶部２２０とを有する。

変換処理部２１０は、ＴｒＣＴアルゴリズムを実行する。すなわち、変換処理部２１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換鍵生成装置１０で生成された変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_ｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、公開鍵ｐｋ_ｄの下での暗号文ｃｔ_ｓを公開鍵ｐｋ_ｄの下での暗号文ｔｃｔに変換する。この暗号文ｔｃｔは、受信装置３０に送信される。

ここで、変換処理部２１０は、変換鍵生成装置１０から送信された暗号文ｃｔ_ｓを入力しても良いし、変換鍵生成装置１０とは異なる装置から送信された暗号文ｃｔ_ｓを入力しても良いし、記憶部２２０に記憶されている暗号文ｃｔ_ｓを入力しても良い。

なお、変換処理部２１０は、例えば、暗号文変換装置２０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。記憶部２２０は、例えば補助記憶装置等を用いて実現可能である。

受信装置３０は、変換後の暗号文を復号するコンピュータ又はコンピュータシステムである。受信装置３０は、復号処理部３１０と、記憶部３２０とを有する。

復号処理部３１０は、ＴｒＤｅｃアルゴリズムを実行する。すなわち、復号処理部３１０は、公開鍵暗号方式Σ_ｄと、公開鍵暗号方式Σ_ｄの復号鍵ｓｋ_ｄと、変換後の暗号文ｔｃｔとを入力として、メッセージｍを出力する。このメッセージｍは、例えば、記憶部３２０に記憶される。

なお、復号処理部３１０は、例えば、受信装置３０にインストールされた１以上のプログラムがプロセッサ等に実行させる処理により実現される。記憶部３２０は、例えば補助記憶装置等を用いて実現可能である。

なお、図１に示す暗号文変換システム１の構成は一例であって、他の構成であっても良い。例えば、変換鍵生成装置１０と暗号文変換装置２０とが一体で構成されていても良い。又は、例えば、暗号文変換装置２０と受信装置３０とが一体で構成されていても良い。又は、例えば、変換鍵生成装置１０と受信装置３０とが一体で構成されていても良い。

＜第一の実施形態に係る暗号文変換システム１の全体処理（実施例１）＞
以降では、本実施形態に係る暗号文変換システム１の全体処理の実施例１として、確率的識別不可能性難読化器（ＰＩＯ）を用いて単方向単一ホップの汎用的暗号文変換器を構成する場合の全体処理について、図２を参照しながら説明する。図２は、第一の実施形態に係る暗号文変換システム１の全体処理の一例を示すフローチャート（実施例１）である。なお、以降では、確率的識別不可能性難読化器（ＰＩＯ）を用いて構成された単方向単一ホップの汎用的暗号文変換器をＵＣＴ_ｐｉｏとも表す。

ステップＳ１０１：変換鍵生成装置１０の鍵生成処理部１１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換元の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと、変換後の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとを入力として、以下のステップＳ１０１－１～ステップＳ１０１～２により変換鍵ｕｔｋ_ｓ→ｄを出力する。

ステップＳ１０１－１：まず、鍵生成処理部１１０は、確率的回路Ｔ_ｐｉｏを以下のように定義（記述）する。したがって、確率的回路Ｔ_ｐｉｏは、Ｔ_ｐｉｏ［Σ_ｓ，Σ_ｄ，ｓｋ_ｓ，ｐｋ_ｄ］とも表される。

確率的回路Ｔ_ｐｉｏに直接書き込まれている値：Σ_ｓ，Σ_ｄ，ｓｋ_ｓ，ｐｋ_ｄ
確率的回路Ｔ_ｐｉｏの入力：ｃｔ_ｓ∈Ｃ_ｓ
確率的回路Ｔ_ｐｉｏの処理：（１）ｍ←Ｄｅｃ_ｓ（ｓｋ_ｓ，ｃｔ_ｓ）を計算する。（２）ｃｔ_ｄ←Ｅｎｃ_ｄ（ｐｋ_ｄ，ｍ）を生成して出力する。

ステップＳ１０１－２：次に、鍵生成処理部１１０は、ｕｔｋ_ｓ→ｄ：＝ｐｉＯ（Ｔ_ｐｉｏ）を変換鍵として出力する。すなわち、変換鍵ｕｔｋ_ｓ→ｄは、確率的回路Ｔ_ｐｉｏをＰＩＯによって難読化したものである。

これにより、変換鍵生成装置１０により変換鍵ｕｔｋ_ｓ→ｄが生成される。この変換鍵ｕｔｋ_ｓ→ｄは、例えば、記憶部１２０に記憶されると共に、暗号文変換装置２０に送信される。

ステップＳ１０２：暗号文変換装置２０の変換処理部２１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換鍵生成装置１０で生成された変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_ｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、以下のステップＳ１０２－１～ステップＳ１０２－２により暗号文ｃｔ_ｓを暗号文ｔｃｔに変換する。

ステップＳ１０２－１：まず、変換処理部２１０は、変換鍵をｕｔｋ_ｓ→ｄ＝ｐｉＯ（Ｔ_ｐｉｏ）とパースする。

ステップＳ１０２－２：次に、変換処理部２１０は、ｔｃｔ：＝ｐｉＯ（Ｔ_ｐｉｏ）（ｃｔ_ｓ）を計算して、変換後の暗号文として出力する。

これにより、暗号文変換装置２０により、暗号文ｃｔ_ｓが暗号文ｔｃｔに変換される。この変換後の暗号文ｔｃｔは、例えば、受信装置３０に送信される。

ステップＳ１０３：受信装置３０の復号処理部３１０は、公開鍵暗号方式Σ_ｄと、公開鍵暗号方式Σ_ｄの復号鍵ｓｋ_ｄと、変換後の暗号文ｔｃｔとを入力として、以下のステップＳ１０３－１～ステップＳ１０３－２によりメッセージｍを出力する。

ステップＳ１０３－１：まず、復号処理部３１０は、ｔｃｔ＝ｃｔ_ｄ´とパースする。

ステップＳ１０３－２：次に、復号処理部３１０は、ｍ´←Ｄｅｃ_ｄ（ｓｋ_ｄ，ｃｔ_ｄ´）を計算して、復号されたメッセージとして出力する。

これにより、受信装置３０により、復号されたメッセージｍ´が得られる。ここで、実施例１におけるメッセージｍ´の正当性について説明する。確率的回路Ｔ_ｐｉｏの定義により、ｃｔ_ｓ←Ｅｎｃ_ｓ（ｐｋ_ｓ，ｍ）に対して、Ｔ_ｐｉｏ（ｃｔ_ｓ）＝Ｅｎｃ_ｄ（ｐｋ_ｄ，ｍ）＝ｃｔ_ｄが成立する。このため、確率的識別不可能性難読化器ｐｉＯの正当性と、Σ_ｓの正当性とにより、ｔｃｔ＝ｐｉＯ（Ｔ_ｐｉｏ）（ｃｔ_ｓ）＝ｃｔ_ｄが成立する。したがって、Σ_ｄの正当性により、ｍ＝ｍ´＝Ｄｅｃ_ｄ（ｓｋ_ｄ，ｃｔ_ｄ´）が成立する。すなわち、任意のｊ∈［Ｌ］（ｓ＝０及びｔｃｔ_０＝ｃｔ_ｓと考える。）に対して、以下が成立する。

ＴｒＤｅｃ（Σ_ｊ，ｓｋ_ｊ，ＴｒＣＴ（Σ´，ＴｒＫｅｙＧｅｎ（Σ´，ｓｋ_ｊ－１，ｐｋ_ｊ），ｔｃｔ_ｊ－１））＝Ｄｅｃ_ｊ－１（ｓｋ_ｊ－１，ｔｃｔ_ｊ－１）
ただし、Σ´＝（Σ_ｊ－１，Σ_ｊ）である。

以上より、公開鍵暗号方式Σ_ｉが安全であり、ｐｉＯが安全な確率的回路に対する識別不可能性難読化であるならば、ＵＣＴ_ｐｉｏは、公開鍵暗号方式に対する安全な単方向複数ホップの汎用的暗号文変換器である。

＜第一の実施形態に係る暗号文変換システム１の全体処理（実施例２）＞
以降では、本実施形態に係る暗号文変換システム１の全体処理の実施例２として、関数秘密分散（ＦＳＳ）を用いて単方向複数ホップの汎用的暗号文変換器を構成する場合の全体処理について、図３を参照しながら説明する。図３は、第一の実施形態に係る暗号文変換システム１の全体処理の一例を示すフローチャート（実施例２）である。ここで、単方向複数ホップの汎用的暗号文変換器を構成する関数秘密分散は、２－パーティ関数秘密分散（すなわち、ＦＳＳ＝（ＦＳＳ．Ｇｅｎ，ＦＳＳ．Ｅｖａｌ））であるものとする。なお、以降では、関数秘密分散を用いて構成された単方向複数ホップの汎用的暗号文変換器をＵＣＴ_ｆｓｓとも表す。

ステップＳ２０１：変換鍵生成装置１０の鍵生成処理部１１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換元の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと、変換後の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとを入力として、以下のステップＳ２０１－１～ステップＳ２０１～３により変換鍵ｕｔｋ_ｓ→ｄを出力する。

ステップＳ２０１－１：まず、鍵生成処理部１１０は、関数Ｔ_ｆｓｓを以下のように定義（記述）する。したがって、関数Ｔ_ｆｓｓは、Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］とも表される。

関数Ｔ_ｆｓｓに直接書き込まれている値：Σ_ｓ，ｓｋ_ｓ
関数Ｔ_ｆｓｓの入力：暗号文ｃｔ_ｓ∈Ｃ_ｓ
関数Ｔ_ｆｓｓの処理：ｍ←Ｄｅｃ_ｓ（ｓｋ_ｓ，ｃｔ_ｓ）を計算して出力する。

ステップＳ２０１－２：次に、鍵生成処理部１１０は、関数秘密分散の鍵（ｋ_１，ｋ_２）←ＦＳＳ．Ｇｅｎ（１^λ，Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］）と、ｋ_２の暗号文

とを生成する。以降では、明細書のテキストの便宜上、このｋ_２の暗号文を「ｃｔ_ｄ～」とも表す。

ステップＳ２０１－３：次に、鍵生成処理部１１０は、ｕｔｋ_ｓ→ｄ：＝（ｋ_１，ｃｔ_ｄ～）を変換鍵として出力する。

これにより、変換鍵生成装置１０により変換鍵ｕｔｋ_ｓ→ｄが生成される。この変換鍵ｕｔｋ_ｓ→ｄは、例えば、記憶部１２０に記憶されると共に、暗号文変換装置２０に送信される。

ステップＳ２０２：暗号文変換装置２０の変換処理部２１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換鍵生成装置１０で生成された変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_ｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、以下のステップＳ２０２－１～ステップＳ２０２－３により暗号文ｃｔ_ｓを暗号文ｔｃｔに変換する。

ステップＳ２０２－１：まず、変換処理部２１０は、変換鍵をｕｔｋ_ｓ→ｄ＝（ｋ_１，ｃｔ_ｄ～）とパースする。

ステップＳ２０２－２：次に、変換処理部２１０は、ｙ_１←ＦＳＳ．Ｅｖａｌ（１，ｋ_１，ｃｔ_ｓ）を計算する。

ステップＳ２０２－３：次に、変換処理部２１０は、変換後の暗号文をｔｃｔ：＝（ｃｔ_ｓ，ｙ_１，ｃｔ_ｄ～）として出力する。

これにより、暗号文変換装置２０により、暗号文ｃｔ_ｓが暗号文ｔｃｔに変換される。この変換後の暗号文ｔｃｔは、例えば、受信装置３０に送信される。

ステップＳ２０３：受信装置３０の復号処理部３１０は、公開鍵暗号方式Σ_ｄと、公開鍵暗号方式Σ_ｄの復号鍵ｓｋ_ｄと、変換後の暗号文ｔｃｔとを入力として、以下のステップＳ２０３－１～ステップＳ２０３－３によりメッセージｍを出力する。

ステップＳ２０３－１：まず、復号処理部３１０は、変換後の暗号文をｔｃｔ＝（ｃｔ_ｓ，ｙ_１，ｃｔ_ｄ～）とパースする。

ステップＳ２０３－２：次に、復号処理部３１０は、ｋ_２´←Ｄｅｃ_ｄ（ｓｋ_ｄ，ｃｔ_ｄ～）と、ｙ_２←ＦＳＳ．Ｅｖａｌ（２，ｋ_２´，ｃｔ_ｓ）とを計算する。

ステップＳ２０３－３：次に、復号処理部３１０は、ｍ´：＝ｙ_１＋ｙ_２を、復号されたメッセージとして出力する。ここで、実施例２におけるメッセージｍ´の正当性について説明する。公開鍵暗号方式Σ_ｄの正当性より、ｋ_２＝ｋ_２´←Ｄｅｃ_ｄ（ｓｋ_ｄ，ｃｔ_ｄ～）が成立する。これは、ｃｔ_ｄ～←Ｅｎｃ_ｄ（ｐｋ_ｄ，ｋ_２）であるためである。また、（ｋ_１，ｋ_２）←ＦＳＳ．Ｇｅｎ（１^λ，Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］）に対して、（２，１）－δ－ＦＳＳの正当性により、以下が成立する。

Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］（ｃｔ_ｓ）＝ＦＳＳ．Ｅｖａｌ（１，ｋ_１，ｃｔ_ｓ）＋ＦＳＳ．Ｅｖａｌ（２，ｋ_２，ｃｔ_ｓ）＝ｙ_１＋ｙ_２
更に、関数Ｔ_ｆｓｓの定義より、ｃｔ_ｓ←Ｅｎｃ_ｓ（ｐｋ_ｓ，ｍ）に対して、Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］（ｃｔ_ｓ）＝ｍが成立する。したがって、ｍ＝ｍ´である。

以上より、公開鍵暗号方式Σ_ｉが安全であり、ＦＳＳが任意の回路に対する安全な（２，１）－δ－ＦＳＳであるならば、ＵＣＴ_ｆｓｓは、公開鍵暗号方式に対する安全な単方向単一ホップの汎用的暗号文変換器である。

なお、任意の回路に対する安全な（２，１）－δ－ＦＳＳは、ＬＷＥ（Learning With Error）仮定あるいは識別不可能性難読化を用いて実現することができる。このことの詳細については、例えば、上記の参考文献１や参考文献５を参照されたい。

（実施例２の拡張）
上記の実施例２で説明したＵＣＴ_ｆｓｓは定数回複数ホップに拡張することができる。定数とはセキュリティパラメータに依存しない定数という意味である。上記の実施例２では変換処理部２１０がｔｃｔ：＝（ｃｔ_ｓ，ｙ_１，ｃｔ_ｄ～）を出力したが、これに代えて、変換処理部２１０は、

を変換後の暗号文として出力するようにする。ここで、

である。

よって、ｔｃｔ∈Ｃ_ｄ ^２が成立し、このｔｃｔをもう一度別のユーザｄ´に向けて、変換鍵ｕｔｃ_ｄ→ｄ´を使うことで変換することができる。

また、復号処理部３１０が実行するＴｒＤｅｃアルゴリズムは次のように修正される。すなわち、ユーザｄ´の受信装置３０の復号処理部３１０は、まず、復号鍵ｓｋ_ｄ´を使うことで（ｃｔ_ｓ，ｙ_１，ｋ_２）を得ることができる。ただし、ｋ_２はＦＳＳ．Ｇｅｎ（Ｔ_ｆｓｓ［Σ_ｓ，ｓｋ_ｓ］）によって生成された関数秘密分散（ＦＳＳ）の鍵である。次に、復号処理部３１０は、ｍ＝ＦＳＳ．Ｅｖａｌ（１，ｋ_１，ｃｔ_ｓ）＋ＦＳＳ．Ｅｖａｌ（２，ｋ_２，ｃｔ_ｓ）を得ることができる。

上記では２回ホップの場合について説明したが、同様にＬ回ホップの場合も実現することができる。なお、この方法は、暗号文の変換を繰り返す毎に、暗号文の長さが或る多項式に従って増大するため、変換を定数回しか適用することができない。

以上より実施例２の拡張についても、実施例２と同様に、公開鍵暗号方式Σ_ｉが安全であり、ＦＳＳが任意の回路に対する安全な（２，１）－δ－ＦＳＳであるならば、ＵＣＴ_ｆｓｓは、公開鍵暗号方式に対する安全な単方向単一ホップの汎用的暗号文変換器である。

［第二の実施形態］
以降では、本発明の第二の実施形態について説明する。

＜全体構成＞
以降では、本実施形態に係る暗号文変換システム１の全体構成について、図４を参照しながら説明する。図４は、第二の実施形態に係る暗号文変換システム１の全体構成の一例を示す図である。

図４に示すように、本実施形態に係る暗号文変換システム１には、変換鍵生成装置１０と、外部ストレージ装置４０とが含まれる。変換鍵生成装置１０と外部ストレージ装置４０とは、例えば、インターネット等の通信ネットワークを介して通信可能に接続されている。

変換鍵生成装置１０は、第一の実施形態と同様に、変換鍵を生成するコンピュータ又はコンピュータシステムである。また、変換鍵生成装置１０が有する鍵生成処理部１１０及び記憶部１２０も第一の実施形態と同様である。

外部ストレージ装置４０は、任意の公開鍵暗号方式の公開鍵による暗号文を記憶しており、この暗号文を他の公開鍵暗号方式の公開鍵による暗号文に変換するコンピュータ又はコンピュータシステムである。外部ストレージ装置４０は、例えば、任意の公開鍵暗号方式の公開鍵による暗号文を記憶するクラウドストレージサーバ等である。外部ストレージ装置４０は、変換処理部４１０と、記憶部４２０とを有する。

変換処理部４１０は、ＴｒＣＴアルゴリズムを実行する。すなわち、変換処理部２１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換鍵生成装置１０で生成された変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_ｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、公開鍵ｐｋ_ｄの下での暗号文ｃｔ_ｓを公開鍵ｐｋ_ｄの下での暗号文ｔｃｔに変換する。ここで、変換処理部４１０は、記憶部４２０に記憶されている暗号文ｃｔ_ｓを入力として、この暗号文ｃｔ_ｓをｔｃｔに変換する。そして、変換処理部４１０は、変換後の暗号文ｔｃｔを記憶部４２０に記憶する。

このように、第二の実施形態に係る暗号文変換システム１では、外部ストレージ装置４０に記憶されている暗号文ｃｔ_ｓを、他の公開鍵暗号方式の公開鍵の下での暗号文ｔｃｔに変換する。これにより、例えば、或る公開鍵暗号方式Σ_ｓで暗号化された大量の暗号文が外部ストレージ装置４０に保存されているような場合に、これらの大量の暗号文を当該外部ストレージ装置４０上で他の公開鍵暗号方式Σ_ｄの暗号文に変換することができる。

しかも、このとき、本実施形態に係る暗号文変換システム１では、公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓを外部ストレージ装置４０に渡すことなく、暗号文の変換を行うことができる。このため、例えば、公開鍵暗号方式Σ_ｓに脆弱性が見つかったような場合や公開鍵ｐｋ_ｓの生成に利用したセキュリティパラメータでは十分な安全性が保証できない時代遅れのものになってしまったような場合等に、別の公開鍵暗号方式（例えば最新の公開鍵暗号方式等）への移行やより長いセキュリティパラメータを使って生成した公開鍵への移行等を外部ストレージ装置４０により容易に行うことができるようになる。

＜第二の実施形態に係る＞
以降では、本実施形態に係る暗号文変換システム１の全体処理について、図５を参照しながら説明する。図５は、第二の実施形態に係る暗号文変換システム１の全体処理の一例を示すフローチャートである。

ステップＳ３０１：変換鍵生成装置１０の鍵生成処理部１１０は、第一の実施形態と同様の方法により変換鍵ｕｔｋ_ｓ→ｄを生成し、この変換鍵ｕｔｋ_ｓ→ｄを外部ストレージ装置４０に出力（送信）する。

ステップＳ３０２：外部ストレージ装置４０の変換処理部４１０は、公開鍵暗号方式の対（Σ_ｓ，Σ_ｄ）と、変換鍵生成装置１０で生成された変換鍵ｕｔｋ_ｓ→ｄと、公開鍵暗号方式Σ_ｓの公開鍵ｐｋ_ｓの下での暗号文ｃｔ_ｓとを入力として、第一の実施形態と同様の方法により暗号文ｃｔ_ｓを暗号文ｔｃｔに変換する。そして、変換処理部４１０は、変換後の暗号文ｔｃｔを記憶部４２０に出力（保存）する。なお、変換処理部４１０は、暗号文ｃｔ_ｓを記憶部４２０から入力する。

これにより、外部ストレージ装置４０により、記憶部４２０に記憶されている暗号文ｃｔ_ｓが暗号文ｔｃｔに変換される。

＜ハードウェア構成＞
最後に、上記の各実施形態で説明した変換鍵生成装置１０、暗号文変換装置２０、受信装置３０及び外部ストレージ装置４０のハードウェア構成について説明する。これらの各装置は、例えば図６に示すコンピュータ５００と同様のハードウェア構成により実現可能である。図６は、コンピュータ５００のハードウェア構成の一例を示す図である
図５に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、ＲＡＭ（Random Access Memory）５０３と、ＲＯＭ（Read Only Memory）５０４と、プロセッサ５０５と、外部Ｉ／Ｆ５０６と、通信Ｉ／Ｆ５０７と、補助記憶装置５０８とを有する。これら各ハードウェアは、それぞれがバス５０９を介して通信可能に接続されている。

入力装置５０１は、例えばキーボードやマウス、タッチパネル等であり、ユーザが各種操作を入力するのに用いられる。表示装置５０２は、例えばディスプレイ等であり、ユーザに対して処理結果等を表示するのに用いられる。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくても良い。

ＲＡＭ５０３は、プログラムやデータを一時保持する揮発性の半導体メモリである。ＲＯＭ５０４は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。プロセッサ５０５は、例えばＣＰＵ（Central Processing Unit）等であり、ＲＯＭ５０４や補助記憶装置５０８等からプログラムやデータをＲＡＭ５０３上に読み出して処理を実行する演算装置である。

外部Ｉ／Ｆ５０６は、外部装置とのインタフェースである。外部装置には、記録媒体５０６ａ等がある、記録媒体５０６ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ５０７は、コンピュータ５００を通信ネットワークに接続するためのインタフェースである。コンピュータ５００は、通信Ｉ／Ｆ５０７を介して、他の装置との間でデータ通信を行うことができる。

補助記憶装置５０８は、例えばＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性の記憶装置である。補助記憶装置５０８には、各種データやプログラム等が記憶されている。

本発明の各実施形態で説明した変換鍵生成装置１０、暗号文変換装置２０、受信装置３０及び外部ストレージ装置４０は、例えば図６に示すコンピュータ５００のハードウェア構成を有することにより、上述した各種処理を実現することができる。なお、本発明の各実施形態で説明した変換鍵生成装置１０、暗号文変換装置２０、受信装置３０及び外部ストレージ装置４０は、例えば、複数台のコンピュータ５００のハードウェア構成を有していても良い。

本発明は、具体的に開示された上記の各実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、組み合わせ等が可能である。

１ 暗号文変換システム
１０ 変換鍵生成装置
２０ 暗号文変換装置
３０ 受信装置
４０ 外部ストレージ装置
１１０ 鍵生成処理部
１２０ 記憶部
２１０ 変換処理部
２２０ 記憶部
３１０ 復号処理部
３２０ 記憶部
４１０ 変換処理部
４２０ 記憶部

Claims (3)

1. 第１の公開鍵暗号方式Σ_ｓ＝（鍵生成アルゴリズムＧｅｎ_ｓ，暗号化アルゴリズムＥｎｃ_ｓ，復号アルゴリズムＤｅｃ_ｓ）による第１の暗号文ｃｔ_ｓを第２の公開鍵暗号方式Σ_ｄ＝（鍵生成アルゴリズムＧｅｎ_ｄ，暗号化アルゴリズムＥｎｃ_ｄ，復号アルゴリズムＤｅｃ_ｄ）による第２の暗号文ｔｃｔに変換するための変換鍵ｕｔｋ_ｓ→ｄを生成する変換鍵生成装置と、前記変換鍵ｕｔｋ_ｓ→ｄにより前記第１の暗号文ｃｔ_ｓを前記第２の暗号文ｔｃｔに変換する暗号文変換装置と、前記第２の暗号文ｔｃｔを復号する復号装置とが含まれる暗号文変換システムであって、
   前記変換鍵生成装置は、
   前記第１の公開鍵暗号方式Σ_ｓと前記第２の公開鍵暗号方式Σ_ｄと前記第１の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと前記第２の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとが直接書き込まれている確率的回路Ｔ_ｐｉｏであって、前記第１の暗号文ｃｔ_ｓを入力としてｍ←Ｄｅｃ_ｓ（ｓｋ_ｓ，ｃｔ_ｓ）及びｃｔ_ｄ←Ｅｎｃ_ｄ（ｐｋ_ｄ，ｍ）によりｃｔ_ｄを計算及び出力する確率的回路Ｔ_ｐｉｏと、確率的回路を難読化する確率的識別不可能性難読化器ｐｉＯとを用いて、前記確率的回路Ｔ_ｐｉｏを前記確率的識別不可能性難読化器ｐｉＯにより難読化することで前記変換鍵ｕｔｋ_ｓ→ｄ：＝ｐｉＯ（Ｔ_ｐｉｏ）を生成する鍵生成手段、を有し、
   前記暗号文変換装置は、
   前記変換鍵ｕｔｋ_ｓ→ｄ＝ｐｉＯ（Ｔ_ｐｉｏ）を用いて、前記第２の暗号文ｔｃｔ：＝ｐｉＯ（Ｔ_ｐｉｏ）（ｃｔ_ｓ）に変換する変換手段、を有し、
   前記復号装置は、
   前記第２の公開鍵暗号方式Σ _ｄ の復号鍵ｓｋ _ｄ を用いて、前記復号アルゴリズムＤｅｃ _ｄ により前記第２の暗号文ｔｃｔ＝ｃｔ _ｄ を復号したメッセージｍ←Ｄｅｃ _ｄ （ｓｋ _ｄ ，ｃｔ _ｄ ）を出力する計算及び出力する復号手段、を有する、
   ことを特徴とする暗号文変換システム。
2. 第１の公開鍵暗号方式Σ_ｓ＝（鍵生成アルゴリズムＧｅｎ_ｓ，暗号化アルゴリズムＥｎｃ_ｓ，復号アルゴリズムＤｅｃ_ｓ）による第１の暗号文ｃｔ_ｓを第２の公開鍵暗号方式Σ_ｄ＝（鍵生成アルゴリズムＧｅｎ_ｄ，暗号化アルゴリズムＥｎｃ_ｄ，復号アルゴリズムＤｅｃ_ｄ）による第２の暗号文ｔｃｔに変換するための変換鍵ｕｔｋ_ｓ→ｄを生成する変換鍵生成装置と、前記変換鍵ｕｔｋ_ｓ→ｄにより前記第１の暗号文ｃｔ_ｓを前記第２の暗号文ｔｃｔに変換する暗号文変換装置と、前記第２の暗号文ｔｃｔを復号する復号装置とが含まれる暗号文変換システムに用いられる暗号文変換方法であって、
   前記変換鍵生成装置が、
   前記第１の公開鍵暗号方式Σ_ｓと前記第２の公開鍵暗号方式Σ_ｄと前記第１の公開鍵暗号方式Σ_ｓの復号鍵ｓｋ_ｓと前記第２の公開鍵暗号方式Σ_ｄの公開鍵ｐｋ_ｄとが直接書き込まれている確率的回路Ｔ_ｐｉｏであって、前記第１の暗号文ｃｔ_ｓを入力としてｍ←Ｄｅｃ_ｓ（ｓｋ_ｓ，ｃｔ_ｓ）及びｃｔ_ｄ←Ｅｎｃ_ｄ（ｐｋ_ｄ，ｍ）によりｃｔ_ｄを計算及び出力する確率的回路Ｔ_ｐｉｏと、確率的回路を難読化する確率的識別不可能性難読化器ｐｉＯとを用いて、前記確率的回路Ｔ_ｐｉｏを前記確率的識別不可能性難読化器ｐｉＯにより難読化することで前記変換鍵ｕｔｋ_ｓ→ｄ：＝ｐｉＯ（Ｔ_ｐｉｏ）を生成する鍵生成手順、を実行し、
   前記暗号文変換装置が、
   前記変換鍵ｕｔｋ_ｓ→ｄ＝ｐｉＯ（Ｔ_ｐｉｏ）を用いて、前記第２の暗号文ｔｃｔ：＝ｐｉＯ（Ｔ_ｐｉｏ）（ｃｔ_ｓ）に変換する変換手順、を実行し、
   前記復号装置が、
   前記第２の公開鍵暗号方式Σ _ｄ の復号鍵ｓｋ _ｄ を用いて、前記復号アルゴリズムＤｅｃ _ｄ により前記第２の暗号文ｔｃｔ＝ｃｔ _ｄ を復号したメッセージｍ←Ｄｅｃ _ｄ （ｓｋ _ｄ ，ｃｔ _ｄ ）を出力する計算及び出力する復号手順、を実行する、
   ことを特徴とする暗号文変換方法。
3. コンピュータに、請求項２に記載の暗号文変換方法を実行させるためのプログラム。

Images