JP7272439B2 - 暗号システム、関数値計算方法及びプログラム - Google Patents

Description

本発明は、暗号システム、関数値計算方法及びプログラムに関する。

スマートデバイスやＩｏＴ（Internet of Things）デバイスの普及により、ライフログやヘルスデータなどを利活用したサービスが注目を浴びている。これらのデータにはプライバシーに係る情報が多く含まれていることから、プライバシー保護の観点から暗号化したままデータを解析する技術が求められる。

暗号化したままデータを解析する技術の一つとして関数型暗号がある。関数型暗号は暗号文からデータの関数値だけを復号することが可能な暗号方式である。具体的には、鍵発行機関が関数ｆに応じた秘密鍵ｓ＿ｆを作成する。復号者は鍵発行機関が作成した秘密鍵ｓ＿ｆとユーザが作成したデータｘ＿１、ｘ＿２、．．．、ｘ＿ｎの暗号文ＣＴ＿１、ＣＴ＿２、．．．、ＣＴ＿ｎからｆ（ｘ＿１、ｘ＿２、．．．、ｘ＿ｎ）を計算できる。その際、ｘ＿１、ｘ＿２、．．．、ｘ＿ｎに関する情報が外部に漏洩することは一切ない。

関数型暗号は上述のような魅力的な機能を持つ暗号方式であるが、シミュレーションベースの安全性において、一般的な関数に対する関数型暗号の実現不可能性が報告されている。この実現不可能性を回避するために、安全な実行環境を利用した関数型暗号方式が提案されている。

ここで、安全な実行環境とは実行されたプログラムの途中結果に関する情報は一切漏洩しないような環境を想定している。上記安全な実行環境を利用した関数型暗号方式では、復号者に安全な実行環境内で暗号文を復号し関数を計算させる。その結果、復号者には関数値以外のデータに関する情報は一切漏洩せず、且つ、復号者は関数値を計算することが可能である。

例えば、非特許文献１は、ハードウェアトークンと呼ばれる実行環境の保護されたステートレスなデバイスを用いた関数型暗号方式を提案している。

非特許文献２では、メモリ内に存在する特定アプリケーションのコードとデータを隔離する、ハードウェア支援型のメモリ暗号化機能（以下、メモリ暗号化機能と表記する）を利用した関数型暗号方式が提案されている。

非特許文献３は、メモリ暗号化機能を利用したユーザ単位の制御が可能な複数入力関数型暗号方式を提案している。非特許文献３の方式では、鍵発行機関が各ユーザに乱数を配付する。ユーザは配付された乱数とともにデータを暗号化する。鍵発行機関はユーザに配付した乱数を基にした制御情報を復号者に送信する。復号者は非特許文献２と同様に安全な実行環境内を利用して関数値の計算を試みる。その際、安全な実行環境内で鍵発行機関が発行した制御情報と暗号文内の乱数を利用したユーザ単位の関数への入力の制御が行われ、鍵発行機関が許可したユーザが作成したデータを入力とした関数の関数値しか得ることができない。

Kai-Min Chung ,Jonathan Katz, Hong-Sheng Zhou, "Functional Encryption from(Small) Hardware Tokens.", Cryptology ePrint Archive, Report 2015/153. Ben A. Fisch, Dhinakaran Vinayagamurthy, Dan Boneh, Sergey Gorbunov, "Iron: Functional Encryption using Intel SGX.", Cryptology ePrint Archive, Report 2016/1071. 吉野慎司, 手塚真徹, 品川和雅, 田中圭介, "Intel SGXを用いた入力を制御できる複数入力関数型暗号" in 2019年 暗号と情報セキュリティシンポジウム(SCIS2019), 2019.

安全性をより向上させるために、ユーザ単位よりも細かい粒度の制御を導入することが考えられる。例えば、月ごと、日ごと、分ごとといったデータ単位の制御が考えられる。そのような場合、非特許文献３で提案されている方式を単純に拡張すると以下のような対応が必要になる。

暗号化時には鍵発行機関からユーザへ、ユーザが暗号化するデータの数の乱数を配付する。ユーザは暗号化するデータごとに異なる乱数をと共にデータを暗号化する。鍵発行機関はユーザが各データに埋め込んだ乱数を基にした制御情報を復号者に送信する。復号者は、非特許文献３と同様の方法で安全な実行環境内を利用してデータ単位の関数への入力制御と関数値の計算を行う。

ここで、上記方式により安全性は向上するが、ユーザが暗号化するデータの数の乱数を鍵発行機関からユーザへ送信する必要があり、分ごとや秒ごとなど細かなデータ単位での制御を行う場合、通信コストが多くなる問題が生じる。

本発明は、鍵発行機関からユーザへの通信コストを抑制しつつ、関数への入力をデータ単位で制御することに寄与する暗号システム、関数値計算方法及びプログラムを提供することを主たる目的とする。

本発明の第１の視点によれば、データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する暗号化装置と、前記暗号化装置が各データの暗号化に利用した疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する署名装置と、前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する安全実行装置と、を含む暗号システムが提供される。

本発明の第２の視点によれば、データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化するステップと、前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成するステップと、前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算するステップと、を含む関数値計算方法が提供される。

本発明の第３の視点によれば、コンピュータに、データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する処理と、前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する処理と、前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する処理と、を実行させるプログラムが提供される。

本発明の各視点によれば、鍵発行機関からユーザへの通信コストを抑制しつつ、関数への入力をデータ単位で制御することに寄与する暗号システム、関数値計算方法及びプログラムが提供される。なお、本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

一実施形態の概要を説明するための図である。 第１の実施形態に係る関数型暗号システムの構成の一例を示すブロック図である。 第１の実施形態に係る関数型暗号システムの構成の一例を示すブロック図である。 第１の実施形態に係る関数型暗号システムが実行する鍵生成処理の一例を示すシーケンス図である。 第１の実施形態に係る関数型暗号システムが実行する暗号化準備処理の一例を示すシーケンス図である。 第１の実施形態に係る関数型暗号システムが実行する暗号化処理の一例を示すシーケンス図である。 第１の実施形態に係る関数型暗号システムが実行する復号準備処理の一例を示すシーケンス図である。 第１の実施形態に係る関数型暗号システムが実行する復号処理の一例を示すシーケンス図である。 暗号化装置のハードウェア構成の一例を示す図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

一実施形態に係る暗号システムは、暗号化装置１０と、署名装置２０と、安全実行装置３０と、を含む（図１参照）。暗号化装置１０は、データごとに異なる疑似乱数を生成し、生成された疑似乱数をデータと共に暗号化する。署名装置２０は、暗号化装置１０が各データの暗号化に利用した疑似乱数を再現し、再現された疑似乱数からデータの正当性を証明する制御情報を生成する。安全実行装置３０は、データの暗号文を復号して得られた疑似乱数に基づき制御情報を検証し、制御情報の検証に成功した場合に、暗号文を復号して得られたデータの関数値を計算する。

図１に示す暗号システムでは、ユーザ（暗号化装置１０）に対し乱数シードが配付される。ユーザは配付された乱数シードを利用して疑似乱数を作成し、データと共に暗号化する。署名装置２０は、ユーザに配付された乱数シードを利用してユーザがデータと共に暗号化した疑似乱数を再現し、再現した疑似乱数を利用して制御情報を作成する。安全実行装置３０は、安全な実行環境内で暗号文を復号してデータと疑似乱数を得て、疑似乱数を利用して制御情報を検証する。安全実行装置３０は、当該検証に成功すれば復号して得たデータを入力とする関数値を計算する。

上記暗号システムでは、ユーザ自身が乱数シードに基づき暗号化時に利用するデータごとに異なる乱数を生成するため、鍵発行機関（乱数シード管理装置）はユーザに対して１つの乱数シードだけを送信すればよい。その結果、ユーザがデータベースに登録するデータ数に依存せず、鍵発行機関から各ユーザへの通信コストは１つの乱数シードに制限され、鍵発行機関から各ユーザへの通信コストを低く抑えることが可能になる。また、上記暗号システムでは、データはデータ単位で暗号化されているため、関数への入力をデータ単位で制御することも可能となる。即ち、本願開示により、関数への入力をデータ単位で制御可能な複数入力関数型暗号システムが提供される。

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

本願開示のシステムで言及する公開鍵暗号方式、署名方式、ハッシュ関数、疑似乱数生成方法の詳細な説明は省略する。但し、安全性の観点から、適応的選択暗号文攻撃に対して識別不可能性を持つ公開鍵暗号方式、選択平文攻撃に対して存在的偽造不可能性を持つ署名方式、衝突耐性を持つハッシュ関数、暗号論的疑似乱数生成器等の利用が望ましい。

例えば、公開鍵暗号方式としてＲＳＡ－ＯＡＥＰ（Rivest Shamir Adleman Optimal Asymmetric Encryption Padding）等の利用が考えられる。署名方式としてＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）署名等の利用が考えられる。ハッシュ関数としてＳＨＡ－２（Secure Hash Algorithm-2）等の利用が考えられる。疑似乱数生成方法としてＡＥＳ（Advanced Encryption Standard）のカウンターモード（ＣＴＲモード）やハッシュ関数等の利用が考えられる。

本願開示のシステムで扱う安全実行装置は、実行途中の装置内の情報が安全実行装置外に漏洩しないと想定される環境であればよい。例えば、安全実行装置として、上述のメモリ暗号化機能、ＴＥＥ（Trusted Execution Environment）、ハードウェアトークン、信頼できる第三者が管理する装置が考えられる。

本願開示のシステムでは、ユーザに対し公知で一意なユーザ索引（ユーザ識別子）が割り振られているとする。ユーザ索引は数字でもよいし、文字列でもよい。

本願開示のシステムには、非特許文献２や非特許文献３と同様に復号鍵を安全実行装置に配付する復号鍵配付装置を追加してよい。復号鍵配付装置から安全実行装置に復号鍵を配付する場合、非特許文献２や非特許文献３と同様の手法で復号鍵配付装置と安全実行装置の検証を行うことが望ましい。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。
［構成の説明］
図２は、第１の実施形態に係る関数型暗号システム１００の構成の一例を示すブロック図である。図２に示すように、関数型暗号システム１００は、鍵管理装置１１０と、暗号化装置１２０と、乱数シード管理装置１３０と、暗号文記憶装置１４０と、復号装置１５０と、署名装置１６０と、安全実行装置１７０を含む。

図２及び図３を参照すると、鍵管理装置１１０、乱数シード管理装置１３０及び署名装置１６０が鍵発行機関に相当する。また、暗号化装置１２０がユーザに相当する。復号装置１５０及び安全実行装置１７０が復号者に相当する。暗号文記憶装置１４０はユーザが作成した暗号文を記憶するデータベースである。

図２に示すように、鍵管理装置１１０は、暗号化装置１２０、乱数シード管理装置１３０、署名装置１６０及び安全実行装置１７０とそれぞれ所定の通信路（例えば、インターネット）を介して接続されている。暗号化装置１２０は、乱数シード管理装置１３０及び暗号文記憶装置１４０と所定の通信路を介して接続されている。乱数シード管理装置１３０は、署名装置１６０と所定の通信路を介して接続されている。暗号文記憶装置１４０は、復号装置１５０と所定の通信路を介して接続されている。復号装置１５０は、署名装置１６０及び安全実行装置１７０と所定の通信経路を介して接続されている。

なお、各装置はそれぞれ異なる装置に実装される必要はなく、例えば、鍵管理装置１１０、乱数シード管理装置１３０及び署名装置１６０は同じ装置に実装されてもよい。さらに、非特許文献２と同様に署名装置１６０や鍵管理装置の一部は、安全な実行環境内に実装されてもよい。また、復号装置１５０と安全実行装置１７０は、上述のメモリ暗号化機能のように復号装置１５０内に安全な実行環境が構築できる場合、同じ装置に実装してもよい。

鍵管理装置１１０は、検証鍵と署名鍵からなる署名鍵ペアと、暗号化鍵と復号鍵からなる暗号鍵ペアと、を生成する装置である。鍵管理装置１１０は、暗号鍵ペア生成部１１１と、署名鍵ペア生成部１１２と、暗号化鍵記憶部１１３と、復号鍵記憶部１１４と、検証鍵記憶部１１５を備える。

暗号化装置１２０は、データごとに異なる疑似乱数を生成し、当該生成された疑似乱数をデータと共に暗号化する装置である。暗号化装置１２０は、乱数シード記憶部１２１と、暗号化鍵記憶部１２２と、データ入力部１２３と、ユーザ索引入力部１２４と、データ索引生成部１２５、疑似乱数生成部１２６と、暗号化部１２７を備える。

乱数シード管理装置１３０は、暗号化装置１２０が疑似乱数を生成するための乱数シードを生成すると共に、当該生成された乱数シードを暗号化装置１２０に配布する装置である。乱数シード管理装置１３０は、ユーザ索引取得部１３１と、乱数シード生成部１３２と、乱数シード記憶部１３３を備える。

暗号文記憶装置１４０は、暗号文記憶部１４１と、索引取得部１４２を備える。

復号装置１５０は、署名装置１６０と安全実行装置１７０におけるデータの送受信を仲介する装置である。復号装置１５０は、外部から関数プログラムと、当該関数プログラムに入力するデータの索引と関数プログラムに入力するデータに対応するユーザの索引を対応付けた索引ペアと、取得する。復号装置１５０は、取得した関数プログラムと索引ペアを署名装置１６０に送信する。復号装置１５０は、署名装置１６０から署名（制御情報）を取得し、当該取得した署名を安全実行装置１７０に送信する。復号装置１５０は、関数プログラム入力部１５１と、暗号文取得部１５２と、索引入力部１５３と、署名取得部１５４と、関数値取得部１５５を備える。

署名装置１６０は、暗号化装置１２０が各データの暗号化に利用した疑似乱数を再現し、当該再現された疑似乱数からデータの正当性（関数プログラムに入力されるデータの送信元であるユーザの正当性）を証明する制御情報を生成する装置である。署名装置１６０は、署名鍵記憶部１６１と、関数プログラム取得部１６２と、暗号文取得部１６３と、索引取得部１６４と、乱数シード取得部１６５と、ハッシュ値計算部１６６と、疑似乱数生成部１６７と、署名生成部１６８を備える。

安全実行装置１７０は、データの暗号文を復号して得られた疑似乱数に基づき制御情報を検証し、制御情報の検証に成功した場合に、暗号文を復号して得られたデータの関数値を計算する装置である。安全実行装置１７０は、復号鍵記憶部１７１と、検証鍵記憶部１７２と、関数プログラム取得部１７３と、暗号文取得部１７４と、署名取得部１７５と、復号部１７６と、ハッシュ値計算部１７７と、署名検証部１７８と、関数値計算部１７９を備える。

［動作の説明］
次に、図面を参照して、第１の実施形態に係る関数型暗号システムの全体の動作について詳細に説明する。

第１の実施形態に係る関数型暗号システム１００は、鍵生成に係る動作と、暗号化準備に係る動作と、暗号化に係る動作と、復号準備に係る動作と、復号に係る動作を実行する。

鍵生成に係る動作では、鍵管理装置１１０は、公開鍵暗号のための鍵（暗号化鍵、復号鍵）ペアと署名のための鍵（署名鍵、検証鍵）ペアを生成する。暗号化鍵は暗号化装置１２０に送信される。署名鍵は署名装置１６０に送信される。復号鍵及び検証鍵は安全実行装置１７０に送信される。

暗号化準備に係る動作では、暗号化装置１２０は、ユーザ索引（ユーザ識別子）をシステム外から受け取る。また、暗号化装置１２０は、鍵管理装置１１０から暗号化鍵を受け取る。さらに、暗号化装置１２０は、乱数シード管理装置１３０からユーザ索引に紐づいた乱数シードを受け取る。

暗号化に係る動作では、暗号化装置１２０は、データをシステム外から受け取る。また、暗号化装置１２０は、ユーザ索引に紐づいた乱数シードと生成したデータ索引から疑似乱数を生成し、データと共に暗号化する。このように、暗号化装置１２０は、乱数シード管理装置１３０から配布された乱数シードを用いてデータごとに異なる疑似乱数を生成する。なお、暗号化装置１２０は、データ索引を外部から受け取ってもよい。暗号化装置１２０は、得られた暗号文と索引ペア（ユーザ索引とデータ索引からなるペア）を暗号文記憶装置１４０に送付する。暗号文記憶装置１４０は、索引ペアと暗号文を紐づけて記憶する。

復号準備に係る動作では、安全実行装置１７０は、復号鍵と検証鍵を鍵管理装置１１０から受け取る。

復号に係る動作では、復号装置１５０は、システム外から関数プログラムと索引ペアのリストを受け取る。また、復号装置１５０は、索引ペアのリストに対応した暗号文（暗号文のリスト；複数の暗号文からなるリスト）を暗号文記憶装置１４０から受け取る。

復号装置１５０は、署名装置１６０に関数プログラムと索引ペアのリストを送信する。署名装置１６０は、索引ペアのリストに含まれるユーザ索引のリストに対応する乱数シードのリストを乱数シード管理装置１３０から受け取る。また、署名装置１６０は、乱数シードとデータ索引のリストを利用して疑似乱数のリストを生成する。

署名装置１６０は、作成した疑似乱数のリストの各要素を結合しハッシュ関数（ハッシュ値）を計算する。署名装置１６０は関数プログラムのハッシュ値と疑似乱数のリストの各要素を結合しハッシュ関数を結合した列に対する署名を生成する。その際、署名装置１６０は、鍵管理装置１１０から取得した署名鍵を用いて上記署名を生成する。署名装置１６０は、生成された署名を復号装置１５０に送付する。

復号装置１５０は、暗号文記憶装置１４０から受け取った暗号文のリストと、署名装置１６０から受け取った署名と、関数プログラムと、を安全実行装置１７０に送付する。

安全実行装置１７０は、復号鍵を用いてデータの暗号文を復号し、検証鍵を用いて制御情報（署名装置１６０が生成した署名）の検証を行う。具体的には、安全実行装置１７０は、復号装置１５０から受け取った暗号文のリストの各暗号文を記憶している復号鍵で復号し、データのリストと疑似乱数のリストを得る。また、安全実行装置１７０は、関数プログラムのハッシュ値を計算する。その後、安全実行装置１７０は、復号装置１５０から受け取った署名を、関数プログラムのハッシュ値と疑似乱数のリストの各要素を結合しハッシュ関数を結合した列と、記憶している検証鍵と、を用いて検証する。

検証に成功すれば、安全実行装置１７０は、データのリストを入力とする関数プログラムを実行することで関数値を計算し、当該計算された関数値を復号装置１５０に送信する。

［鍵生成に係る動作］
図４は、鍵生成に際して、第１の実施形態に係る関数型暗号システム１００が実行する処理の一例を示すシーケンス図である。図４を参照しながら、第１の実施形態に係る関数型暗号システム１００が鍵生成に際して実行する処理について説明する。

鍵管理装置１１０の署名鍵ペア生成部１１２は、署名のための署名鍵ペア(ｓｋ、ｖｋ)を生成する（ステップＡ１）。署名鍵ペアの生成にあたり、署名鍵ペア生成部１１２はセキュリティパラメータを受け取り、それに応じた署名鍵ペアをしてもよいし、事前に決められたセキュリティパラメータを利用して署名鍵ペアを生成してもよい。

鍵管理装置１１０の検証鍵記憶部１１５は、署名鍵ペア生成部１１２が生成した署名鍵ペアのうち検証鍵ｖｋを記憶する（ステップＡ２）。

署名鍵ペア生成部１１２は、生成した署名鍵ペアのうち署名鍵ｓｋを署名装置１６０に送付する（ステップＡ３）。

署名装置１６０の署名鍵記憶部１６１は、署名鍵ｓｋを受け取り記憶する（ステップＡ４）。

鍵管理装置１１０の暗号鍵ペア生成部１１１は、公開鍵暗号のための暗号鍵ペア（ｅｋ、ｄｋ）を生成する（ステップＡ５）。暗号鍵ペアの生成にあたり、暗号鍵ペア生成部１１１は、セキュリティパラメータを受け取り、それに応じた暗号鍵ペアをしてもよいし、事前に決められたセキュリティパラメータを利用して暗号鍵ペアを生成してもよい。

鍵管理装置１１０の暗号化鍵記憶部１１３は、暗号鍵ペア生成部１１１が生成した暗号鍵ペアのうち暗号化鍵ｅｋを記憶する（ステップＡ６）。

鍵管理装置１１０の復号鍵記憶部１１４は、暗号鍵ペア生成部１１１が生成した暗号鍵ペアのうち復号鍵ｄｋを記憶する（ステップＡ７）。

［暗号化準備に係る動作］
図５は、暗号化準備に際して、第１の実施形態に係る関数型暗号システム１００が実行する処理の一例を示すシーケンス図である。図５を参照しながら、第１の実施形態に係る関数型暗号システム１００が暗号化準備に際して実行する処理について説明する。

鍵管理装置１１０の暗号化鍵記憶部１１３は、記憶している暗号化鍵ｅｋを暗号化装置１２０へ送付する（ステップＢ１）。

暗号化装置１２０の暗号化鍵記憶部１２２は、暗号化鍵ｅｋを受け取り、記憶する（ステップＢ２）。なお、暗号化鍵ｅｋの記憶は鍵生成に係る動作の中で実行されてもよい。

暗号化装置１２０のユーザ索引入力部１２４は、システム外からユーザ索引ｉを受け取る（ステップＢ３）。

ユーザ索引入力部１２４は、ユーザ索引ｉを乱数シード管理装置１３０に送付する（ステップＢ４）。

乱数シード管理装置１３０のユーザ索引取得部１３１は、ユーザ索引ｉを受け取る（ステップＢ５）。

ユーザ索引取得部１３１は、乱数シード管理装置１３０の乱数シード生成部１３２に乱数シードの生成を依頼する。乱数シード生成部１３２は、当該依頼に応じて、ユーザｉの乱数シードｓ＿ｉを生成する（ステップＢ６）。乱数シード生成部１３２は、依頼を受ける前に乱数シードｓ＿ｉを予め生成しておいてもよい。なお、乱数シードは、当該乱数シードを生成する際の時刻等に基づき生成される。

乱数シード生成部１３２は、乱数シード記憶部１３３に乱数シードｓ＿ｉを送付する。乱数シード記憶部１３３は、ユーザ索引ｉと乱数シードｓ＿ｉを紐づけて記憶する（ステップＢ７）。

乱数シード記憶部１３３は、暗号化装置１２０に乱数シードｓ＿ｉを送付する（ステップＢ８）。乱数シード記憶部１３３の代わりに、乱数シード生成部１３２が、乱数シードｓ＿ｉを暗号化装置１２０に送付してもよい。

暗号化装置１２０の乱数シード記憶部１２１は、乱数シードｓ＿ｉを記憶する（ステップＢ９）。

［暗号化に係る動作］
図６は、暗号化に際して、第１の実施形態に係る関数型暗号システム１００が実行する処理の一例を示すシーケンス図である。図６を参照しながら、第１の実施形態に係る関数型暗号システム１００が暗号化に際して実行する処理について説明する。

暗号化装置１２０は、システム外からデータｘ＿（ｉ、ｊ）を受け取る（ステップＣ１）。ｊは、データを識別するための正の整数である（以下同じ）。データｘ＿（ｉ、ｊ）は、ユーザｉのｊ番目のデータを示す。

暗号化装置１２０のデータ索引生成部１２５は、一意の自然数であるデータ索引ｊを生成する（ステップＣ２）。例えば、データ索引生成部１２５は、１から順にインクリメントすることによりデータ索引ｊを生成する。

暗号化装置１２０の疑似乱数生成部１２６は、乱数シード記憶部１２１が記憶している乱数シードｓ＿ｉとデータ索引ｊから疑似乱数ｒ＿（ｉ、ｊ）を計算する（ステップＣ３）。具体的には、疑似乱数生成部１２６は、疑似乱数関数ＰＲＮＧに乱数シードｓ＿ｉとデータ索引ｊを入力することで疑似乱数ｒ＿（ｉ、ｊ）を計算する（ｒ＿（ｉ、ｊ）＝ＰＲＮＧ（ｓ＿ｉ、ｊ））。

暗号化装置１２０の暗号化部１２７は、データ入力部１２３が受け取ったデータｘ＿（ｉ、ｊ）と疑似乱数生成部１２６が生成した疑似乱数ｒ＿（ｉ、ｊ）を結合し、結合列ｘ＿（ｉ、ｊ）||ｒ＿（ｉ、ｊ）を生成する。なお、||は結合を示す演算子である。暗号化部１２７は、上記結合により得られた結合列を暗号化鍵ｅｋで暗号化することで、暗号文ｃｔ＿（ｉ、ｊ）＝Ｅｎｃ（ｅｋ、ｘ＿（ｉ、ｊ）||ｒ＿（ｉ、ｊ））を生成する（ステップＣ４）。なお、「Ｅｎｃ」は暗号文生成処理を示す。

暗号化部１２７は、暗号文記憶装置１４０に暗号文ｃｔ＿（ｉ、ｊ）と、暗号文生成に利用した索引ペア（ｉ、ｊ）を送付する（ステップＣ５）。

暗号文記憶装置１４０の暗号文記憶部１４１は、受け取った暗号文ｃｔ＿（ｉ、ｊ）と索引ペア（ｉ、ｊ）を紐づけて記憶する（ステップＣ６）。

［復号準備に係る動作］
図７は、復号準備に際して、第１の実施形態に係る関数型暗号システム１００が実行する処理の一例を示すシーケンス図である。図７を参照しながら、第１の実施形態に係る関数型暗号システム１００が復号準備に際して実行する処理について説明する。

鍵管理装置１１０の復号鍵記憶部１１４は、安全実行装置１７０へ復号鍵ｄｋを送付する（ステップＤ１）。

安全実行装置１７０の復号鍵記憶部１７１は、復号鍵ｄｋを記憶する（ステップＤ２）。

鍵管理装置１１０の検証鍵記憶部１１５は、安全実行装置１７０へ復号鍵ｖｋを送付する（ステップＤ３）。

安全実行装置１７０の検証鍵記憶部１７２は、復号鍵ｖｋを記憶する（ステップＤ４）。

［復号に係る動作］
図８は、復号に際して、第１の実施形態に係る関数型暗号システム１００が実行する処理の一例を示すシーケンス図である。図８を参照しながら、第１の実施形態に係る関数型暗号システム１００が復号に際して実行する処理について説明する。

復号装置１５０の索引入力部１５３は、索引ペアのリストｌ＿ｐ＝（（ｉ_１、ｊ_１）、（ｉ_２、ｊ_２）、．．．、（ｉ_ｋ、ｊ_ｋ））をシステム外から受け取る（ステップＥ１）。ｉ_１、ｉ_２、．．．、ｉ_ｋはユーザ索引空間に含まれる。また、ｊ_１、ｊ_２、．．．、ｊ_ｋはデータ索引空間に含まれる。ｋは、ユーザｉ、データｊを区別するためのサフィックスである。

索引入力部１５３は、索引のリストｌ＿ｐを暗号文記憶装置１４０に送付する（ステップＥ２）。

暗号文記憶装置１４０の索引取得部１４２は、索引ペアｌ＿ｐを受け取る（ステップＥ３）。

索引取得部１４２は、索引ペアｌ＿ｐに対応する暗号文のリストｌ＿ｃｔ＝（ｃ＿（ｉ_１、ｊ_１）、ｃ＿（ｉ_２、ｊ_２）、．．．、ｃ＿（ｉ_ｋ、ｊ_ｋ））を暗号文記憶部１４１から取り出し、復号装置１５０に送付する（ステップＥ４）。

復号装置１５０の暗号文取得部１５２は、暗号文のリストｌ＿ｃｔを受け取る（ステップＥ５）。

復号装置１５０の関数プログラム入力部１５１は、システム外から関数プログラムＰを受け取る（ステップＥ６）。

関数プログラム入力部１５１は関数プログラムＰを、索引入力部１５３は索引ペアのリストｌ＿ｐをそれぞれ署名装置１６０に送付する（ステップＥ７）。

署名装置１６０の関数プログラム取得部１６２は、関数ｆが実装された関数プログラムＰを受け取り、署名装置１６０の索引取得部１６４は索引ペアのリストｌ＿ｐを受け取る（ステップＥ８）。

関数プログラム取得部１６２は、ハッシュ値計算部１６６に関数プログラムＰを送信する。ハッシュ値計算部１６６は、関数プログラムＰのハッシュ値ｈ＝Ｈ（Ｐ）を計算する（ステップＥ９）。

索引取得部１６４は、ユーザ索引のリストｌ＿ｕ＝（ｉ_１、ｉ_２、．．．、ｉ_ｋ）を乱数シード管理装置１３０に送付する（ステップＥ１０）。

乱数シード管理装置１３０のユーザ索引取得部１３１は、ユーザ索引のリストｌ＿ｕを受け取る（ステップＥ１１）。

乱数シード記憶部１３３は、ユーザ索引のリストｌ＿ｕに対応する乱数シードのリストｌ＿ｓ＝（ｓ＿（ｉ_１）、ｓ＿（ｉ_２）、．．．、ｓ＿（ｉ_ｋ））を署名装置１６０に送付する（ステップＥ１２）。

署名装置１６０の乱数シード取得部１６５は、乱数シードのリストｌ＿ｓを受け取る（ステップＥ１３）。

署名装置１６０の疑似乱数生成部１６７は、乱数シードのリストｌ＿ｓと、データ索引のリストｌ＿ｄ＝（ｊ_１、ｊ_２、．．．、ｊ_ｋ）から疑似乱数のリストｌ＿ｒを計算する（ステップＥ１４）。当該リストは以下のように計算される。
ｌ＿ｒ＝（r＿（ｉ_１、ｊ_１）、r＿（ｉ_２、ｊ_２）、．．．、r＿（ｉ_ｋ、ｊ_ｋ））
＝（ＰＲＮＧ（ｓ＿（ｉ_１）、ｊ_１）、ＰＲＮＧ（ｓ＿（ｉ_２）、ｊ_２）、．．．、ＰＲＮＧ（ｓ＿（ｉｋ）、ｊｋ））

ハッシュ値計算部１６６は、疑似乱数のリストｌ＿ｒの各要素を結合する。上記リストｌ＿ｒの各要素の結合は、
r＿（ｉ_１、ｊ_１）｜｜r＿（ｉ_２、ｊ_２）｜｜．．．｜｜r＿（ｉ_ｋ、ｊ_ｋ）
となる。
ハッシュ値計算部１６６は、上記リストｌ＿ｒの各要素の結合のハッシュ値ｇを計算する（ステップＥ１５）。ハッシュ値ｇは、
ハッシュ値ｇ＝Ｇ（r＿（ｉ_１、ｊ_１）｜｜r＿（ｉ_２、ｊ_２）｜｜．．．｜｜r＿（ｉ_ｋ、ｊ_ｋ））
となる。ここで、ハッシュ関数Ｇとハッシュ関数Ｈとは同じであってもよいし異なっていてもよい。

署名生成部１６８は、署名鍵ｓｋを用いて関数プログラムＰのハッシュ値ｈとハッシュ値ｇの結合列ｈ｜｜ｇに対する署名σ＝Ｓｉｇｎ（ｓｋ、ｈ｜｜ｇ）を生成する（ステップＥ１６）。

署名生成部１６８は、復号装置１５０に署名σを送付する（ステップＥ１７）。

復号装置１５０の署名取得部１５４は、署名σを受け取る（ステップＥ１８）。

復号装置１５０の関数プログラム入力部１５１、暗号文取得部１５２及び署名取得部１５４は、それぞれ関数プログラムＰ、暗号文リストｌ＿ｃｔ、署名σを安全実行装置１７０に送付する（ステップＥ１９）。

安全実行装置１７０の関数プログラム取得部１７３、暗号文取得部１７４及び署名取得部１７５は、それぞれ関数プログラムＰ、暗号文リストｌ＿ｃｔ及び署名σを受け取る（ステップＥ２０）。

安全実行装置１７０のハッシュ値計算部１７７は、関数プログラムＰのハッシュ値ｈ＝H（Ｐ）を計算する（ステップＥ２１）。

安全実行装置１７０の復号部１７６は、暗号のリストｌ＿ｃｔの各要素を復号して、（ｘ＿（ｉ_１、ｊ_１）|| r＿（ｉ_１、ｊ_１）、ｘ＿（ｉ_２、ｊ_２）|| r＿（ｉ_２、ｊ_２）、．．．、ｘ＿（ｉ_ｋ、ｊ_ｋ）|| r＿（ｉ_ｋ、ｊ_ｋ））を得る（ステップＥ２２）。

安全実行装置１７０のハッシュ値計算部１７７は、復号して得た（ｘ＿（ｉ_１、ｊ_１）|| r＿（ｉ_１、ｊ_１）、ｘ＿（ｉ_２、ｊ_２）|| r＿（ｉ_２、ｊ_２）、．．．、ｘ＿（ｉ_ｋ、ｊ_ｋ）|| r＿（ｉ_ｋ、ｊ_ｋ））の各要素をデータと疑似乱数に分ける。ハッシュ値計算部１７７は、当該分けて得られた疑似乱数のリストｌ＿ｒの各要素を結合したr＿（ｉ_１、ｊ_１）｜｜r＿（ｉ_２、ｊ_２）｜｜．．．｜｜r＿（ｉ_ｋ、ｊ_ｋ）のハッシュ値ｇを計算する（ステップＥ２３）。ハッシュ値ｇは、
ハッシュ値ｇ＝Ｇ（r＿（ｉ_１、ｊ_１）｜｜r＿（ｉ_２、ｊ_２）｜｜．．．｜｜r＿（ｉ_ｋ、ｊ_ｋ））
と表記できる。

安全実行装置１７０の署名検証部１７８は、検証鍵ｖｋと、関数プログラムのハッシュ値ｈと、疑似乱数のリストの各要素を結合した値のハッシュ値ｇを用いて、署名σを検証する（ステップＥ２４）。

ステップＥ２５の検証に成功すれば、安全実行装置１７０の関数値計算部１７９は、復号して得たデータのリストｌ＿ｘを入力とする関数プログラムＰを実行させリストｌ＿ｘを入力とする関数ｆの関数値を計算する（ステップＥ２５）。当該関数値は、
関数値＝ｆ（ｘ＿（ｉ_１、ｊ_１）、ｘ＿（ｉ_２、ｊ_２）、．．．、ｘ＿（ｉ_ｋ、ｊ_ｋ））
となる。

関数値計算部１７９は、復号装置１５０に関数値ｆ（ｘ＿（ｉ_１、ｊ_１）、ｘ＿（ｉ_２、ｊ_２）、．．．、ｘ＿（ｉ_ｋ、ｊ_ｋ））を送付する（ステップＥ２６）。

復号装置１５０の関数値取得部１５５は、関数値ｆ（ｘ＿（ｉ_１、ｊ_１）、ｘ＿（ｉ_２、ｊ_２）、．．．、ｘ＿（ｉ_ｋ、ｊ_ｋ））を受け取る（ステップＥ２７）。

［効果の説明］
上記実施形態における効果は、鍵発行機関からユーザへの通信コストを低く抑えつつ、データ単位の関数への入力制御が可能なことである。その理由は、以下のような構成を含むからである。即ち、乱数シード管理装置１３０は、暗号化装置１２０と署名装置１６０に乱数シードを送付する。暗号化装置１２０は、乱数シードとデータ索引からデータごとに異なる疑似乱数を生成し、データとともに暗号化する。署名装置１６０は、乱数シード管理装置１３０が管理する乱数シードを利用して暗号化装置１２０がデータと共に暗号化したデータごとに異なる疑似乱数を再現し、再現した疑似乱数と関数プログラムに基づく署名を生成する。安全実行装置１７０は、取得した暗号文を復号し、データとデータごとに異なる疑似乱数を得ると共に、署名を疑似乱数と関数プログラムに基づき検証する。署名の検証に成功しなければ、安全実行装置１７０は、署名装置１６０が署名生成に利用した疑似乱数を含まない暗号文のデータを関数に入力できない。

以上のように、第１の実施形態に係る暗号システムでは、ユーザ自身が乱数シードを基に暗号化時に利用するデータごとに異なる乱数を生成する。そのため、鍵発行機関からユーザには１つの乱数シードが送信されれば十分である。その結果、ユーザがデータベースに登録するデータ数に依存せず、鍵発行機関から各ユーザへの通信コストは１つの乱数シードに限られ、鍵発行機関から各ユーザへの通信コストを低く抑えることが可能になる。

続いて、関数型暗号システムを構成する各装置のハードウェアについて説明する。図９は、暗号化装置１２０のハードウェア構成の一例を示す図である。

暗号化装置１２０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図９に例示する構成を備える。例えば、暗号化装置１２０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図９に示す構成は、暗号化装置１２０のハードウェア構成を限定する趣旨ではない。暗号化装置１２０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、暗号化装置１２０に含まれるプロセッサ３１１等の数も図９の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が暗号化装置１２０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

暗号化装置１２０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、乱数シード管理装置１３０等も暗号化装置１２０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は暗号化装置１２０と相違する点はないので説明を省略する。

［変形例］
なお、上記実施形態にて説明した関数型暗号システム１００の構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。例えば、暗号文記憶装置１４０が存在せず、暗号化装置１２０と復号装置１５０が暗号化されたデータを、直接、送受信してもよい。

また、上述の説明で用いた複数のシーケンス図では、複数の工程（処理）が順番に記載されているが、実施形態で実行される工程の実行順序は、その記載の順番に制限されない。実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する暗号化装置（１０、１２０）と、
前記暗号化装置（１０、１２０）が各データの暗号化に利用した疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する署名装置（２０、１６０）と、
前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する安全実行装置（３０、１７０）と、
を含む暗号システム。
［付記２］
前記署名装置（２０、１６０）は、前記データの関数値を得るための関数プログラムと前記再現された疑似乱数に基づき署名を計算し、前記計算された署名を前記制御情報として扱い、
前記安全実行装置（３０、１７０）は、前記計算された署名を検証する、付記１に記載の暗号システム。
［付記３］
前記暗号化装置（１０、１２０）が前記疑似乱数を生成するための乱数シードを生成すると共に、前記生成された乱数シードを前記暗号化装置（１０、１２０）に配布する、乱数シード管理装置（１３０）をさらに含み、
前記暗号化装置（１０、１２０）は、前記配布された乱数シードを用いて前記データごとに異なる疑似乱数を生成する、付記２に記載の暗号システム。
［付記４］
検証鍵と署名鍵からなる署名鍵ペアと、暗号化鍵と復号鍵からなる暗号鍵ペアと、を生成する、鍵管理装置（１１０）をさらに含み、
前記鍵管理装置（１１０）は、前記署名鍵を前記署名装置（２０、１６０）に送信し、前記復号鍵及び前記検証鍵を前記安全実行装置（３０、１７０）に送信する、付記３に記載の暗号システム。
［付記５］
前記署名装置（２０、１６０）は、前記署名鍵を使って前記制御情報を生成する、付記４に記載の暗号システム。
［付記６］
前記安全実行装置（３０、１７０）は、前記復号鍵を用いて前記データの暗号文を復号し、前記検証鍵を用いて前記制御情報の検証を行う、付記４又は５に記載の暗号システム。
［付記７］
外部から前記関数プログラムと、前記関数プログラムに入力するデータの索引と前記関数プログラムに入力するデータに対応するユーザの索引を対応付けた索引ペアと、を取得すると共に、前記取得した関数プログラムと索引ペアを前記署名装置（２０、１６０）に送信する、復号装置（１５０）をさらに含み、
前記署名装置（２０、１６０）は、前記索引ペアに基づき前記疑似乱数を再現するための乱数シードを前記乱数シード管理装置（１３０）から取得すると共に、前記取得した関数プログラムと乱数シードに基づき前記署名を計算し、前記計算された署名を前記復号装置（１５０）に送信し、
前記復号装置（１５０）は、前記受信した署名を前記安全実行装置（３０、１７０）に送信する、付記６に記載の暗号システム。
［付記８］
前記安全実行装置（３０、１７０）は、ハードウェア支援型のメモリ暗号化機能を利用して前記関数値を計算する、付記１乃至７のいずれか一つに記載の暗号システム。
［付記９］
前記安全実行装置（３０、１７０）は、関数型暗号を実行する、付記１乃至８のいずれか一つに記載の暗号システム。
［付記１０］
前記署名装置（２０、１６０）は、ＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）署名を生成する、付記１乃至９のいずれか一つに記載の暗号システム。
［付記１１］
データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化するステップと、
前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成するステップと、
前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算するステップと、
を含む関数値計算方法。
［付記１２］
コンピュータ（３１１）に、
データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する処理と、
前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する処理と、
前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する処理と、
を実行させるプログラム。
なお、付記１１の形態及び付記１２の形態は、付記１の形態と同様に、付記２の形態～付記１０の形態に展開することが可能である。

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。

１０、１２０ 暗号化装置
２０、１６０ 署名装置
３０、１７０ 安全実行装置
１００ 関数型暗号システム
１１０ 鍵管理装置
１１１ 暗号鍵ペア生成部
１１２ 署名鍵ペア生成部
１１３ 暗号化鍵記憶部
１１４ 復号鍵記憶部
１１５ 検証鍵記憶部
１２１ 乱数シード記憶部
１２２ 暗号化鍵記憶部
１２３ データ入力部
１２４ ユーザ索引入力部
１２５ データ索引生成部
１２６ 疑似乱数生成部
１２７ 暗号化部
１３０ 乱数シード管理装置
１３１ ユーザ索引取得部
１３２ 乱数シード生成部
１３３ 乱数シード記憶部
１４０ 暗号文記憶装置
１４１ 暗号文記憶部
１４２ 索引取得部
１５０ 復号装置
１５１ 関数プログラム入力部
１５２ 暗号文取得部
１５３ 索引入力部
１５４ 署名取得部
１５５ 関数値取得部
１６１ 署名鍵記憶部
１６２ 関数プログラム取得部
１６３ 暗号文取得部
１６４ 索引取得部
１６５ 乱数シード取得部
１６６ ハッシュ値計算部
１６７ 疑似乱数生成部
１６８ 署名生成部
１７１ 復号鍵記憶部
１７２ 検証鍵記憶部
１７３ 関数プログラム取得部
１７４ 暗号文取得部
１７５ 署名取得部
１７６ 復号部
１７７ ハッシュ値計算部
１７８ 署名検証部
１７９ 関数値計算部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス

Claims (9)

1. データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する暗号化手段と、
   前記暗号化手段が前記疑似乱数を生成するための乱数シードを生成すると共に、前記生成された乱数シードを前記暗号化手段に配布する、乱数シード管理手段と、
   前記暗号化手段が各データの暗号化に利用した疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する署名手段と、
   前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する安全実行手段と、
   外部から前記データの関数値を得るための関数プログラムと、前記関数プログラムに入力するデータの索引と前記関数プログラムに入力するデータに対応するユーザの索引を対応付けた索引ペアと、を取得すると共に、前記取得した関数プログラムと索引ペアを前記署名手段に送信する、復号手段とを含み、
   前記暗号化手段は、前記配布された乱数シードを用いて前記データごとに異なる疑似乱数を生成し、
   前記署名手段は、前記索引ペアに基づき前記疑似乱数を再現するための乱数シードを前記乱数シード管理手段から取得すると共に、前記取得した関数プログラムと乱数シードに基づき署名を計算し、前記計算された署名を前記制御情報として前記復号手段に送信し、
   前記復号手段は、前記署名を前記安全実行手段に送信し、
   前記安全実行手段は、前記計算された署名を検証する、暗号システム。
2. 検証鍵と署名鍵からなる署名鍵ペアと、暗号化鍵と復号鍵からなる暗号鍵ペアと、を生成する、鍵管理手段をさらに含み、
   前記鍵管理手段は、前記署名鍵を前記署名手段に送信し、前記復号鍵及び前記検証鍵を前記安全実行手段に送信する、請求項１に記載の暗号システム。
3. 前記署名手段は、前記署名鍵を使って前記制御情報を生成する、請求項２に記載の暗号システム。
4. 前記安全実行手段は、前記復号鍵を用いて前記データの暗号文を復号し、前記検証鍵を用いて前記制御情報の検証を行う、請求項２又は３に記載の暗号システム。
5. 前記安全実行手段は、ハードウェア支援型のメモリ暗号化機能を利用して前記関数値を計算する、請求項１乃至４のいずれか一項に記載の暗号システム。
6. 前記安全実行手段は、関数型暗号を実行する、請求項１乃至５のいずれか一つに記載の暗号システム。
7. 前記署名手段は、ＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）署名を生成する、請求項１乃至６のいずれか一つに記載の暗号システム。
8. データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化するステップと、
   前記疑似乱数を生成するための乱数シードの生成と共に、前記生成された乱数シードを配布するステップと、
   前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成するステップと、
   前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算するステップと、
   外部から前記データの関数値を得るための関数プログラムと、前記関数プログラムに入力するデータの索引と前記関数プログラムに入力するデータに対応するユーザの索引を対応付けた索引ペアと、を取得すると共に、前記取得した関数プログラムと索引ペアを送信するステップとを含み、
   前記暗号化するステップでは、前記配布された乱数シードを用いて前記データごとに異なる疑似乱数を生成し、
   前記制御情報を生成するステップでは、前記索引ペアに基づき前記疑似乱数を再現するための乱数シードを前記配布された乱数シードから取得すると共に、前記取得した関数プログラムと乱数シードに基づき署名を計算し、前記計算された署名を前記制御情報として送信し、
   前記取得した関数プログラムと索引ペアを送信するステップでは、前記署名をさらに送信し、
   前記暗号文を復号して得られたデータの関数値を計算するステップでは、前記計算された署名を検証する、関数値計算方法。
9. コンピュータに、
   データごとに異なる疑似乱数を生成し、前記生成された疑似乱数をデータと共に暗号化する処理と、
   前記疑似乱数を生成するための乱数シードの生成と共に、前記生成された乱数シードを配布する処理と、
   前記データの暗号化に利用された疑似乱数を再現し、前記再現された疑似乱数から前記データの正当性を証明する制御情報を生成する処理と、
   前記データの暗号文を復号して得られた疑似乱数に基づき前記制御情報を検証し、前記制御情報の検証に成功した場合に、前記暗号文を復号して得られたデータの関数値を計算する処理と、
   外部から前記データの関数値を得るための関数プログラムと、前記関数プログラムに入力するデータの索引と前記関数プログラムに入力するデータに対応するユーザの索引を対応付けた索引ペアと、を取得すると共に、前記取得した関数プログラムと索引ペアを送信する処理とを実行させ、
   前記暗号化する処理では、前記配布された乱数シードを用いて前記データごとに異なる疑似乱数を生成し、
   前記制御情報を生成する処理では、前記索引ペアに基づき前記疑似乱数を再現するための乱数シードを前記配布された乱数シードから取得すると共に、前記取得した関数プログラムと乱数シードに基づき署名を計算し、前記計算された署名を前記制御情報として送信し、
   前記取得した関数プログラムと索引ペアを送信する処理では、前記署名をさらに送信し、
   前記暗号文を復号して得られたデータの関数値を計算する処理では、前記計算された署名を検証する、プログラム。
   

Images