JP7276423B2 - 暗号システム、鍵生成装置、鍵生成方法、鍵生成プログラム、および準同型演算装置 - Google Patents

Description

本発明は暗号システム、鍵生成装置、鍵生成方法、鍵生成プログラム、および準同型演算装置に関する。

個人認証の一例として、生体認証がある。「生体認証」は、被登録者の生体情報と、被認証者の生体情報とを照合することにより、被登録者と被認証者とが一致するか否かを確認する個人認証の手法である。ここで、「生体情報」とは、身体や行動に関する個人の一部の特徴から抽出されたデータである。

ところで、日本の「個人情報の保護に関する法律」では、個人を識別可能な情報である生体情報は個人情報であると定められており、電子的なデータベースで管理される個人情報が保護の対象であることが定められている。この観点から、クライアントサーバシステムで個人認証を行う場合、生体情報をクライアントからサーバへ送信せずに認証を行うことが好ましい。また、個人情報の漏洩を防ぐ観点からは生体情報を暗号化した状態でクライアント保存する必要がある。

そして、生体情報を用いた個人認証に限らず、認証システムでは生体情報を扱うのと同等の安全管理をすることが好ましい。

このような要請を満たす暗号方式として準同型公開鍵暗号がある。「準同型公開鍵暗号」とは、準同型性を有する公開鍵暗号のことであり、平文同士の演算結果の暗号文を暗号文から計算可能なものである。簡単に言うと、準同型公開鍵暗号では暗号文のまま行った演算（準同型演算）が復号化後においても維持されることになる。

乗法準同型性を有する公開鍵暗号では、演算を繰り返し実行することにより、定数乗などのより複雑な演算も実行可能である。加法準同型性を有する公開鍵暗号の場合、演算を繰り返し実行することにより、定数倍や内積などのより複雑な演算も実行可能である。さらに、Ｓｏｍｅｗｈａｔ準同型性を有する公開鍵暗号や完全準同型性を有する公開鍵暗号の場合、加法と乗法をより複雑に組み合わせた演算も実行可能である。例えば、準同型公開鍵暗号として以下の暗号方式が知られている。

特許文献１には、「Ｐａｉｌｌｉｅｒ暗号」として知られている加法準同型性を有する公開鍵暗号が記載されている。また、特許文献２には、「Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ」として知られている加法準同型性を有する公開鍵暗号が記載されている。

非特許文献１には、「Ｅｌｇａｍａｌ暗号」として知られている乗法準同型性を有する公開鍵暗号が記載されている。また，「Ｅｌｇａｍａｌ暗号」を変形して得られる加法準同型性を有する公開鍵暗号として、「Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号」と「楕円Ｅｌｇａｍａｌ暗号」とが知られている。

非特許文献２には、「ＢＧＮ暗号」として知られているＳｏｍｅｗｈａｔ準同型性を有する公開鍵暗号が記載されている。また、非特許文献３には、「Ｂｒａｋｅｒｓｋｉ－Ｖａｉｋｕｎｔａｎａｔｈａｎ暗号」として知られているＳｏｍｅｗｈａｔ準同型性を有する公開鍵暗号が記載されている。

準同型公開鍵暗号を用いた個人認証は、例えば次のように実行される。まず登録時には、ユーザが入力したパスワードや生体情報などの認証情報を、認証サーバが生成した暗号化鍵で暗号化して、ユーザが用いる認証端末に保存しておく。そして、認証を実行する際に認証端末では、ユーザが入力した認証情報と、端末に保存されている暗号化された認証情報とを照合して認証結果の暗号文が生成される。この処理は暗号化鍵を用いた準同型演算であり、認証情報が暗号化されたまま行われる。認証サーバには、この認証結果の暗号文のみが送信され、認証サーバは、自身の保持している復号鍵を用いて認証結果を得ることができる。この方法では、認証サーバがユーザの認証情報を知ることはない。

また、準同型公開鍵暗号は秘匿計算にも応用可能である。準同型公開鍵暗号を用いた秘匿計算は、例えば次のように実行される。まずデータ利用者は、暗号鍵をデータ提供者達およびデータ分析者に配布する。データ提供者達はこの暗号鍵を用いてデータを暗号化し、暗号化されたデータをデータ分析者に渡す。データ分析者は、受け取った複数の暗号文に対して、暗号化鍵を用いて準同型演算を行うことによって暗号化されたままのデータの分析し、その結果の暗号文を生成する。データ利用者は、受け取った分析結果の暗号文を自身の持つ復号鍵を用いて復号し、分析結果を得る。この方法では、データ利用者は、データの分析結果を得ることができるが、個々のデータの内容を知ることはない。

特許文献３には、準同型公開鍵暗号を暗号文の照合に用いる技術の例が記載されている。また、特許文献４には、公開鍵（検証鍵）よりも権限が強い準同型演算鍵を用いた「準同型署名」と呼ばれる方式の技術の例が記載されている。

特許第４１３７３８５号公報 特許第３４０２４４１号公報 国際公開第２０１７／１７０７８０号公報 国際公開第２０１７／０６１０１７号公報

Ｔａｈｅｒ ＥｌＧａｍａｌ． "Ａ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ ａｎｄ ａ ｓｉｇｎａｔｕｒｅ ｓｃｈｅｍｅ ｂａｓｅｄ ｏｎ ｄｉｓｃｒｅｔｅ ｌｏｇａｒｉｔｈｍｓ．" ＩＥＥＥ ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ ｉｎｆｏｒｍａｔｉｏｎ ｔｈｅｏｒｙ ３１．４ （１９８５）： ４６９－４７２． Ｄａｎ Ｂｏｎｅｈ， Ｅｕ－Ｊｉｎ Ｇｏｈ， ａｎｄ Ｋｏｂｂｉ Ｎｉｓｓｉｍ． "Ｅｖａｌｕａｔｉｎｇ ２－ＤＮＦ ｆｏｒｍｕｌａｓ ｏｎ ｃｉｐｈｅｒｔｅｘｔｓ．" Ｔｈｅｏｒｙ ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ Ｃｏｎｆｅｒｅｎｃｅ． Ｓｐｒｉｎｇｅｒ， Ｂｅｒｌｉｎ， Ｈｅｉｄｅｌｂｅｒｇ， ２００５． Ｚｖｉｋａ Ｂｒａｋｅｒｓｋｉ， Ｃｒａｉｇ Ｇｅｎｔｒｙ， ａｎｄ Ｖｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ． "（Ｌｅｖｅｌｅｄ） ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｂｏｏｔｓｔｒａｐｐｉｎｇ．" ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｐｕｔａｔｉｏｎ Ｔｈｅｏｒｙ ６．３ （２０１４）： １３．

なお、上記先行技術文献の各開示を、本書に引用をもって織り込むものとする。以下の分析は、本発明者らによってなされたものである。

上記準同型公開鍵暗号方式では、暗号化鍵を持っていれば誰でも暗号化アルゴリズムおよび準同型演算アルゴリズムを実行可能である。つまり、暗号化の実行権限と準同型演算の実行権限が等しい。これにより、例えば以下のような問題が生じる虞がある。

準同型公開鍵暗号を用いた個人認証の端末は、認証時には暗号化処理を行わないが、準同型演算処理のために暗号化鍵を保持している。したがって、悪意を持つ人が端末を手に入れた場合、端末に保存されている暗号化鍵を用いて自身の認証情報を暗号化することができ、しかも暗号化された自身の認証情報に対しも準同型演算を行うことができる。その結果、悪意を持つ人が認証に成功しまう可能性がある。

また、準同型公開鍵暗号を用いた秘匿計算におけるデータ分析者は、暗号化処理を行わないが、準同型演算処理のために暗号化鍵を取得する。したがって、悪意を持つデータ分析者は、正当な暗号化データの代わりに任意のデータを暗号化し、改ざん後のデータ準同型演算を行うことができる。その結果、データ利用者が取得する分析結果は、データ提供者からの正当なデータに対する分析結果ではなく、悪意を持つデータ分析者によって改ざんされた分析結果となってしまう可能性がある。

本発明は、暗号化の実行権限と準同型演算の実行権限とを分離し、準同型演算の実行権限では暗号化を実行できない準同型公開鍵暗号を実現することに寄与する暗号システム、鍵生成装置、鍵生成方法、鍵生成プログラム、および準同型演算装置を提供することを目的とする。

本発明の第１の視点によれば、平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る、前記暗号化鍵よりも権限が弱い準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを生成する鍵生成装置と、前記暗号化鍵を用いて平文から暗号文を生成する暗号化装置と、前記準同型演算鍵を用いて前記暗号文に対する準同型演算を実行する準同型演算装置と、前記復号鍵を用いて暗号文を復号する復号装置と、を備えることを特徴とする暗号システムが提供される。

本発明の第２の視点によれば、公開鍵暗号方式を用いて暗号化鍵と復号鍵のペアを生成し、前記暗号化鍵を用いて生成された暗号文を暗号化されたまま準同型演算を実行するための準同型演算鍵を、前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで生成する、ことを特徴とする鍵生成装置が提供される。

本発明の第３の視点によれば、公開鍵暗号方式を用いて暗号化鍵と復号鍵のペアを生成し、前記暗号化鍵を用いて生成された暗号文を暗号化されたまま準同型演算を実行するための準同型演算鍵を、前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで生成する、ことを特徴とする鍵生成方法が提供される。

本発明の第４の視点によれば、平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを生成する鍵生成装置において実行される鍵生成プログラムであって、公開鍵暗号方式を用いて前記暗号化鍵と前記復号鍵のペアを生成するステップと、前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで準同型演算鍵を生成するステップと、を含むことを特徴とする鍵生成プログラムが提供される。

なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記憶することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記憶媒体、光記憶媒体等の非トランジェントなものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明の第５の視点によれば、公開鍵暗号方式を用いて生成された暗号化鍵と復号鍵のペアのうち、前記暗号化鍵を用いて生成された暗号文の入力を受け付ける暗号文入力部と、前記暗号文を暗号化されたまま準同型演算を実行する権限に係る、前記暗号化鍵よりも権限が弱い準同型演算鍵を取得する準同型演算鍵取得部と、前記準同型演算鍵を用いて前記暗号文を暗号化されたまま前記準同型演算を実行する準同型演算部と、を備えることを特徴とする準同型演算装置が提供される。

発明の各視点によれば、暗号化の実行権限と準同型演算の実行権限とを分離し、準同型演算の実行権限では暗号化を実行できない準同型公開鍵暗号を実現することに寄与する暗号システム、鍵生成装置、鍵生成方法、鍵生成プログラム、および準同型演算装置が、提供される。

図１は、第１の実施形態に係る準同型暗号システムの構成を示すブロック図である。 図２は、第１の実施形態に係る準同型暗号システムの鍵生成処理を説明するフロー図である。 図３は、第１の実施形態に係る準同型暗号システムの暗号化処理を説明するフロー図である。 図４は、第１の実施形態に係る準同型暗号システムの復号処理を説明するフロー図である。 図５は、第１の実施形態に係る準同型暗号システムの準同型演算処理を説明するフロー図である。 図６は、第２の実施形態に係る準同型暗号システムの構成を示すブロック図である。 図７は、第２の実施形態に係る準同型暗号システムの鍵検証処理を説明するフロー図である。 図８は、第３の実施形態に係る準同型暗号システムの構成を示すブロック図である。 図９は、第３の実施形態に係る準同型暗号システムの鍵検証処理を説明するフロー図である。 図１０は、第４の実施形態に係る準同型暗号システムの構成を示すブロック図である。 図１１は、第５の実施形態に係る準同型暗号システムの構成を示すブロック図である。

本発明を実施するための形態について図面を参照して詳細に説明する。なお、各図面及び明細書記載の各実施形態において、同様の構成要素には同一の符号を付与し、説明を適宜省略する。また、以下には、個人認証および秘匿計算を例にした実施形態の説明が含まれるが、本発明の実施の形態はこれに限定されるものではない。

［第１の実施形態］
図１は、第１の実施形態に係る準同型暗号システム１００の構成を示すブロック図である。図１に示されるように、準同型暗号システム１００は、鍵生成装置１１０と、準同型演算鍵記憶装置１２０と、暗号化鍵記憶装置１３０と、復号鍵記憶装置１４０と、暗号化装置１５０と、復号装置１６０と、準同型演算装置１７０と、を備えている。ただし、準同型暗号システム１００が備える上記各装置は、別個の装置として構成することも、適宜用途に応じて同一の装置内に実装されることもある。準同型暗号システム１００は、上記各装置をサーバとクライアントとに分けて実装することによって、サーバクライアントシステムとして実現することも可能である。

鍵生成装置１１０は、公開パラメータの入力を受け付ける公開パラメータ入力部１１１と、公開パラメータ入力部１１１に入力された公開パラメータから準同型演算鍵と暗号化鍵と復号鍵とを生成する鍵生成部１１２と、鍵生成部１１２で生成された準同型演算鍵を出力する準同型演算鍵出力部１１３と、鍵生成部１１２で生成された暗号化鍵を出力する暗号化鍵出力部１１４と、鍵生成部１１２で生成された復号鍵を出力する復号鍵出力部１１５とを有する。

準同型演算鍵記憶装置１２０は、鍵生成装置１１０の準同型演算鍵出力部１１３が出力した準同型演算鍵を記憶する準同型演算鍵記憶部１２１を有し、暗号化鍵記憶装置１３０は、鍵生成装置１１０の暗号化鍵出力部１１４が出力した暗号化鍵を記憶する暗号化鍵記憶部１３１を有し、復号鍵記憶装置１４０は鍵生成装置１１０の復号鍵出力部１１５が出力した復号鍵を記憶する復号鍵記憶部１４１を有する。

暗号化装置１５０は、メッセージの入力を受け付けるメッセージ入力部１５１と、記憶されている暗号化鍵を取得する暗号化鍵取得部１５２と、暗号化鍵取得部１５２が取得した暗号化鍵を用いて入力されたメッセージの暗号文を生成する暗号化部１５３と、生成された暗号文を出力する暗号文出力部１５４とを有する。ここで、メッセージとは、いわゆる「平文」であり、文字情報に限らず画像や音声などの情報であってもよい。

復号装置１６０は、暗号文の入力を受け付ける暗号文入力部１６１と、記憶されている復号鍵を取得する復号鍵取得部１６２と、復号鍵取得部１６２が取得した復号鍵を用いて前記暗号文の復号処理を行い、復号結果を生成する復号部１６３と、復号結果を出力する復号結果出力部１６４とを有する。ここで、暗号文入力部１６１に入力される暗号文は典型的には暗号化装置１５０または準同型演算装置１７０の出力である。

準同型演算装置１７０は、暗号文の入力を受け付ける暗号文入力部１７１と、記憶されている準同型演算鍵を取得する準同型演算鍵取得部１７２と、準同型演算鍵取得部１７２が取得した準同型演算鍵を用いて入力された暗号文の準同型演算を行い、準同型演算結果を生成する準同型演算部１７３と、準同型演算結果を出力する準同型演算結果出力部１７４とを有する。なお、準同型演算結果出力部１７４が出力する準同型演算結果はそれ自体も暗号文である。

次に、図２から図３を参照しながら、準同型暗号システム１００において行われる処理について説明する。準同型暗号システム１００において行われる処理は、鍵生成処理、暗号化処理、復号処理、準同型演算処理の４つに分割できる。以下では各処理の動作例についてそれぞれ説明する。

図２は、鍵生成処理を説明するフロー図である。鍵生成処理は鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０とにより、次のように実行される。

まず、鍵生成装置１１０の公開パラメータ入力部１１１に公開パラメータが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２は、公開パラメータに基づいて準同型演算鍵と暗号化鍵と復号鍵とを生成する（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３は、ステップＡ２で生成した準同型演算鍵を出力する（ステップＡ３）。出力された準同型演算鍵は、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４は、ステップＡ２で生成した暗号化鍵を出力する（ステップＡ５）。出力された暗号化鍵は、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５は、ステップＡ２で生成した復号鍵を出力する（ステップＡ７）。出力された復号鍵は、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

なお、上記処理の手順は一例である。例えば、各鍵の出力であるステップＡ３、ステップＡ５、およびステップＡ７の順番は交換することが可能である。

図３は暗号化処理を説明するフロー図である。暗号化処理は暗号化装置１５０により次のように実行される。

まず、メッセージ入力部１５１に暗号化対象のメッセージが入力される（ステップＢ１）。先述のように、ここでメッセージとは文字情報に限定されない。

次に、暗号化鍵取得部１５２は、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵を取得する（ステップＢ２）。

次に、暗号化部１５３は、ステップＢ２で取得した暗号化鍵を用い、ステップＢ１で受け取ったメッセージを暗号化し、暗号文を生成する（ステップＢ３）。

最後に、暗号文出力部１５４は、ステップＢ３で生成した暗号文を出力する（ステップＢ４）。

なお、以上は処理の例である。例えば、ステップＢ２がステップＢ１より先に実行されても構わない。

図４は復号処理を説明するフロー図である。復号処理は復号装置１６０により次のように実行される。

まず、暗号文入力部１６１に復号対象の暗号文が入力される（ステップＣ１）。

次に、復号鍵取得部１６２は、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵を取得する（ステップＣ２）。

次に、復号部１６３は、ステップＣ２で取得した復号鍵を用い、ステップＣ１で受け取った暗号文を復号し、復号結果を生成する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果を出力する（ステップＣ４）。

ただし、以上は処理の例である。例えば、ステップＣ２がステップＣ１より先に実行されても構わない。

図５は準同型演算処理を説明するフロー図である。準同型演算処理は準同型演算装置１７０により次のように実行される。

まず、暗号文入力部１７１に準同型演算対象の複数の暗号文が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵を取得する（ステップＤ２）。

次に、準同型演算部１７３は、ステップＤ２で取得した準同型演算鍵を用い、ステップＤ１で受け取った複数の暗号文に対し準同型演算を施し、準同型演算結果を生成する（ステップＤ３）。

最後に、準同型演算結果出力部１７４は、ステップＤ３で生成した準同型演算結果を出力する（ステップＤ４）。

ただし、以上は処理の例である。例えば、ステップＤ２がステップＤ１より先に実行されても構わない。

［第１の実施形態に係る実施例１］
次に、Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号を基礎とした、本実施形態に係る準同型暗号システム１００の処理の一例を説明する。Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号は、加法準同型性を有する公開鍵暗号の一例である。以下では、準同型公開鍵暗号の説明とＬｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号の説明とをした後に、本実施形態に係る準同型暗号システム１００の処理の説明を行う。

（準同型公開鍵暗号）
公開鍵暗号方式は、鍵生成アルゴリズム（ＫｅｙＧｅｎ）、暗号化アルゴリズム（Ｅｎｃ）、復号アルゴリズム（Ｄｅｃ）の３つのアルゴリズムで構成される。

鍵生成アルゴリズムは、セキュリティパラメータと呼ばれる鍵の強度を表すパラメータを用いて、暗号化鍵ｅｋおよび復号鍵ｄｋを生成する。この動作は、セキュリティパラメータをκとすると、次式のように表すことができる。
ＫｅｙＧｅｎ（κ）→（ｅｋ，ｄｋ）

暗号化アルゴリズムは、暗号化鍵ｅｋにより平文のメッセージｍを暗号化した結果である暗号文ｃを生成する。これは次式のように表すことができる。
Ｅｎｃ（ｅｋ，ｍ）→ｃ

復号アルゴリズムは、復号鍵ｄｋにより暗号文ｃを復号した結果であるｍ′を生成する。これは次式のように表すことができる。
Ｄｅｃ（ｄｋ，ｃ）→ｍ′

公開鍵暗号方式は正しく暗号文を復号できる必要がある。すなわち、鍵生成アルゴリズムで生成された任意の暗号化鍵ｅｋおよび復号鍵ｄｋのペアに対し、任意のメッセージｍを暗号化鍵ｅｋで暗号化した結果である暗号文ｃを復号鍵ｄｋによって復号した結果ｍ′はｍと等しくなる必要がある。すなわち、ＫｅｙＧｅｎ（κ）→（ｅｋ，ｄｋ）に対し、任意のメッセージｍについて
Ｄｅｃ（ｄｋ，Ｅｎｃ（ｅｋ，ｍ））→ｍ
が成り立つ必要がある。

公開鍵暗号方式では、暗号化鍵を持っていれば誰でも暗号化アルゴリズムを実行可能であるが、復号鍵なしでは復号アルゴリズムは実行できない。

準同型性を有する公開鍵暗号方式は、公開鍵暗号の各アルゴリズムに加え、準同型演算アルゴリズム（Ｈｏｍ）を有する。

準同型演算アルゴリズムは、暗号化鍵により、入力された複数の暗号文に対応するメッセージの演算結果の暗号文を生成する。入力できるメッセージが２つである場合、次式のように表すことができる。
Ｈｏｍ（ｅｋ，ｃ_１，ｃ_２）→ｃ

なお、準同型演算アルゴリズムに３つ以上の暗号文を入力可能な方式や、暗号文と平文を入力可能な方式も存在する。また、複数種類の演算に対応する準同型演算を実行可能な方式などでは、準同型演算アルゴリズムの実行時に、実行する演算を指定する方式も存在する。

例えば、加法準同型性を有する公開鍵暗号の場合、メッセージｍ_１の暗号化鍵ｅｋによる暗号文ｃ_１と、メッセージｍ_２の暗号化鍵ｅｋによる暗号文ｃ_２と、から生成される暗号文ｃは２つのメッセージの和ｍ_１＋ｍ_２の暗号文である。すなわち、ＫｅｙＧｅｎ（κ）→（ｅｋ，ｄｋ）に対し、任意のメッセージｍ_１とメッセージｍ_２について、
Ｅｎｃ（ｅｋ，ｍ_１）→ｃ_１，Ｅｎｃ（ｅｋ，ｍ_２）→ｃ_２
とすると、
Ｄｅｃ（ｄｋ，Ｈｏｍ（ｅｋ，ｃ_１，ｃ_２））→ｍ_１＋ｍ_２
が成り立つ必要がある。
また、例えば、乗法準同型性を有する公開鍵暗号の場合、メッセージｍ_１の暗号化鍵ｅｋによる暗号文ｃ_１と、メッセージｍ_２の暗号化鍵ｅｋによる暗号文ｃ_２と、から生成される暗号文ｃは、２つのメッセージの積ｍ_１・ｍ_２の暗号文である必要がある。すなわち、ＫｅｙＧｅｎ（κ）→（ｅｋ，ｄｋ）に対し、任意のメッセージｍ_１とメッセージｍ_２について、
Ｅｎｃ（ｅｋ，ｍ_１）→ｃ_１，Ｅｎｃ（ｅｋ，ｍ_２）→ｃ_２
とすると、
Ｄｅｃ（ｄｋ，Ｈｏｍ（ｅｋ，ｃ_１，ｃ_２））→ｍ_１・ｍ_２
が成り立つ必要がある。

（Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号）
Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号は、加法準同型性を有する公開鍵暗号の一例である。Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号の各アルゴリズムは次のように動作する。

鍵生成アルゴリズムは、まず、セキュリティパラメータκを入力として受け取る。次に、κビットの素数ｑをランダムに選び、位数がｑである乗法群Ｇおよびその生成元ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し、ｈ：＝ｇ^ｘと定める。最後に、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）および復号鍵ｄｋ＝（ｅｋ，ｘ）を出力する。

暗号化アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）およびメッセージｍを入力として受け取る。次に、１以上ｑ未満の整数ｒを一様ランダムに選択し、ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｇ^ｍ・ｈ^ｒと定める。最後に、暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する。

復号アルゴリズムは、まず、復号鍵ｄｋ＝（ｅｋ，ｘ）および暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）を入力として受け取る。次に、Ｍ′＝ｃ_ｂ／（（ｃ_ａ）^ｘ）を計算する。最後に、復号結果ｍ′＝Ｄｌｏｇ_ｇ（Ｍ′）を出力する。ただし、Ｄｌｏｇは、Ｄｌｏｇ_ｇ（ｇ^ｘ）＝ｘとなる関数である。

メッセージｍの暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）＝（ｇ^ｒ，ｇ^ｍ・ｈ^ｒ）に対し、Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号の復号アルゴリズムにより、暗号文ｃをｍに正しく復号できることを、次式によって確認できる。
Ｍ′＝ｃ_ｂ／（ｃ_ａ）^ｘ＝（ｇ^ｍ・ｈ^ｒ）／（ｇ^ｒ）^ｘ＝（ｇ^ｍ・ｇ^ｘ・ｒ）／（ｇ^ｒ）^ｘ＝ｇ^ｍ
ｍ′＝Ｄｌｏｇ_ｇ（ｇ^ｍ）＝ｍ

準同型演算アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）および第一の暗号文ｃ_１＝（ｃ_１，ａ，ｃ_１，ｂ）および第二の暗号文ｃ_２＝（ｃ_２，ａ，ｃ_２，ｂ）を入力として受け取る。次に、ｃ_ａ＝ｃ_１，ａ・ｃ_２，ａ，ｃ_ｂ＝ｃ_１，ｂ・ｃ_２，ｂを計算する。最後に、準同型演算結果ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する。

メッセージｍ_１の暗号文（ｃ_１，ａ＝ｇ^ｒ，ｃ_１，ｂ＝ｇ^ｍ１・ｈ^ｒ）（ただし、ｇ^ｍ１はｇをｍ_１乗したものを表す）およびメッセージｍ_２の暗号文（ｃ_２，ａ＝ｇ^ｓ，ｃ_２，ｂ＝ｇ^ｍ２・ｈ^ｓ（ただし、ｇ^ｍ２はｇをｍ_２乗したものを表す））に対し、次の２式が成り立つ。
ｃ_ａ＝ｇ^{（ｒ＋ｓ）}
ｃ_ｂ＝ｇ^{（ｍ１＋ｍ２）}・ｈ^{（ｒ＋ｓ）}（ただし、ｇ^{（ｍ１＋ｍ２）}はｇをｍ_１＋ｍ_２乗したものを表す）

したがって、ｃはｍ_１＋ｍ_２の暗号文であり、Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号は加法準同型性を有する。

（本実施例）
第１の実施形態に係る実施例１は、Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号を基礎とし、以下に説明するような修正を加える。以下では、図１から図５に記載の符号を参照しながら、準同型暗号システム１００が実行する実施例の説明を行う。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２はκビットの素数ｑをランダムに選び、位数がｑである乗法群Ｇおよびその生成元ｇを選ぶ。そして、１以上ｑ未満の整数ｘを一様ランダムに選択し、ｈ：＝ｇ^ｘとする。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、準同型演算鍵をｈｋ＝（κ，ｑ，Ｇ）、暗号化鍵をｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）、復号鍵をｄｋ＝（ｅｋ，ｘ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

そして、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）を取得する（ステップＢ２）。

次に、暗号化部１５３は１以上ｑ未満の整数ｒを一様ランダムに選択し、ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｇ^ｍ・ｈ^ｒを計算する（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した（ｃ_ａ，ｃ_ｂ）を暗号文として出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｑ，Ｇ，ｇ，ｈ，ｘ）を取得する（ステップＣ２）。

次に、復号部１６３はＭ′＝ｃ_ｂ／（（ｃ_ａ）^ｘ）を計算する。さらに、復号部１６３はｍ′＝Ｄｌｏｇ_ｇ（Ｍ′）を計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１＝（ｃ_１，ａ，ｃ_１，ｂ）および第二の暗号文ｃ_２＝（ｃ_２，ａ，ｃ_２，ｂ）が入力される（ステップＤ１）。

そして、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ_ａ＝ｃ_１，ａ・ｃ_２，ａおよびｃ_ｂ＝ｃ_１，ｂ・ｃ_２，ｂを計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する（ステップＤ４）。

上記のように、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）と準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）が異なる。さらに、暗号化におけるｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｇ^ｍ・ｈ^ｒの計算にはｇおよびｈが必要であるところ、準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）にはｇおよびｈが含まれないので、準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）を入手しても、暗号化を実行することはできない。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。つまり、準同型演算の実行権限では暗号化を実行できない。

また、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）と準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）の生成方法から解るように、準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）は、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）の要素のうち、準同型演算に用いない要素ｇおよびｈを取り除くことで得られる。

［第１の実施形態に係る実施例２］
次に、Ｐａｉｌｌｉｅｒ暗号を基礎とした、本実施形態に係る準同型暗号システム１００の処理の一例を説明する。Ｐａｉｌｌｉｅｒ暗号は、加法準同型性を有する公開鍵暗号の一例である。以下では、Ｐａｉｌｌｉｅｒ暗号の説明をした後に、本実施形態に係る準同型暗号システム１００の処理の説明を行う。なお、準同型公開鍵暗号に関する事項は実施例１の場合と同様なので説明を省略する。

（Ｐａｉｌｌｉｅｒ暗号）
Ｐａｉｌｌｉｅｒ暗号は、加法準同型性を有する公開鍵暗号の一例である。Ｐａｉｌｌｉｅｒ暗号の各アルゴリズムは次のように動作する。

鍵生成アルゴリズムは、まず、セキュリティパラメータκを入力として受け取る。次にκビットの２つの素数ｐ、ｑをランダムに選び、ｎ＝ｐｑとする。次に、１以上ｎ以下の整数ｋをランダムに選び、ｇ＝１＋ｋｎ ｍｏｄ ｎ^２とする。最後に、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）および復号鍵ｄｋ＝（ｅｋ，ｐ，ｑ）を出力する。

暗号化アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）およびメッセージｍを入力として受け取る。次に、ｎ^２未満の整数ｒを一様ランダムに選択し、ｃ＝ｇ^ｍ・ｒ^ｎ ｍｏｄ ｎ^２とする。最後に、暗号文ｃを出力する。

復号アルゴリズムは、まず、復号鍵ｄｋ＝（ｅｋ，ｐ，ｑ）および暗号文ｃを入力として受け取る。次に、λをｐ－１とｑ－１の最小公倍数とする。次に、ｃ_λ＝ｃ^λ ｍｏｄ ｎ^２とし、さらに、ｃ_Ｌ＝（ｃ_λ－１）／ｎとする。次に、ｇ_λ＝ｇ^λ ｍｏｄ ｎ^２とし、さらに、ｇ_Ｌ＝（ｇ_λ－１）／ｎとする。最後に、復号結果ｍ′＝ｃ_Ｌ／ｇ_Ｌ ｍｏｄ ｎを出力する。

任意の整数ｈに対し、ｈ^ｎλ ｍｏｄ ｎ^２＝１が成り立つことを利用すると、メッセージｍの暗号文ｃ＝ｇ^ｍ・ｒ^ｎ ｍｏｄ ｎ^２に対し、Ｐａｉｌｌｉｅｒ暗号の復号アルゴリズムにより、暗号文ｃをｍに正しく復号できることを、次式によって確認できる。

ｃ_λ＝ｃ^λ ｍｏｄ ｎ^２＝（ｇ^ｍ・ｒ^ｎ）^λ ｍｏｄ ｎ^２＝ｇ^ｍλ・ｒ^ｎλ ｍｏｄ ｎ^２＝ｇ^ｍλ ｍｏｄ ｎ^２＝（１＋ｋｎ）^ｍλ ｍｏｄ ｎ^２＝１＋ｎ（ｋｍλ ｍｏｄ ｎ）
ｃ_Ｌ＝（ｃ_λ－１）／ｎ＝ｋｍλ ｍｏｄ ｎ
ｇ_λ＝ｇ^λ ｍｏｄ ｎ^２＝＝ｇ^λ ｍｏｄ ｎ^２＝（１＋ｋｎ）^λ ｍｏｄ ｎ^２＝１＋ｎ（ｋλ ｍｏｄ ｎ）
ｇ_Ｌ＝（ｇ_λ－１）／ｎ＝ｋλ ｍｏｄ ｎ
ｍ′＝ｃ_λ／ｇ_λ ｍｏｄ ｎ＝ｋｍλ／ｋλ ｍｏｄ ｎ＝ｍ

準同型演算アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）および第一の暗号文ｃ_１および第二の暗号文ｃ_２を入力として受け取る。次に、ｃ＝ｃ_１・ｃ_２ ｍｏｄ ｎ^２を計算する。最後に、準同型演算結果ｃを出力する。

メッセージｍ_１の暗号文ｃ_１＝ｇ^ｍ１・ｒ^ｎ ｍｏｄ ｎ^２（ただし、ｇ^ｍ１はｇをｍ_１乗したものを表す）およびメッセージｍ_２の暗号文ｃ_２＝ｇ^ｍ２・ｓ^ｎ ｍｏｄ ｎ^２（ただし、ｇ^ｍ２はｇをｍ_２乗したものを表す）に対し、次式が成り立つ。
ｃ＝ｇ^{（ｍ１＋ｍ２）}・（ｒ・ｓ）^ｎ ｍｏｄ ｎ^２（ただし、ｇ^{（ｍ１＋ｍ２）}はｇをｍ_１＋ｍ_２乗したものを表す）

したがって、ｃはｍ_１＋ｍ_２の暗号文であり、Ｐａｉｌｌｉｅｒ暗号は加法準同型性を有する。

（本実施例）
第１の実施形態に係る実施例２は、Ｐａｉｌｌｉｅｒ暗号を基礎とし、以下に説明するような修正を加える。以下では、図１から図５に記載の符号を参照しながら、準同型暗号システム１００が実行する実施例の説明を行う。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２はκビットの２つの素数ｐ、ｑをランダムに選び、ｎ＝ｐｑとする。次に、１以上ｎ以下の整数ｋをランダムに選び、ｇ＝１＋ｋｎ ｍｏｄ ｎ^２とする。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、準同型演算鍵をｈｋ＝（κ，ｎ）、暗号化鍵をｅｋ＝（κ，ｎ，ｇ）、復号鍵をｄｋ＝（ｅｋ，ｐ，ｑ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｎ，ｇ）を取得する（ステップＢ２）。

次に、１以上ｎ^２以下の整数ｒをランダムに選び、ｃ＝ｇ^ｍ・ｒ^ｎ ｍｏｄ ｎ^２を計算する（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した暗号文ｃを出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃが入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｎ，ｇ，ｐ，ｑ）を取得する（ステップＣ２）。

次に、復号部１６３はλをｐ－１とｑ－１の最小公倍数とする。そして、復号部１６３はステップＣ１で受け取った暗号文ｃからｃ_λ＝ｃ^λ ｍｏｄ ｎ^２を計算し、さらに、ｃ_Ｌ＝（ｃ_λ－１）／ｎを計算する。次に、復号部１６３はステップＣ２で取得した復号鍵ｄｋからｇ_λ＝ｇ^λ ｍｏｄ ｎ^２を計算し、さらに、ｇ_Ｌ＝（ｇ_λ－１）／ｎを計算する。次に、ｍ′＝ｃＬ／ｇＬ ｍｏｄ ｎを計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１および第二の暗号文ｃ_２入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｎ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ＝ｃ_１・ｃ_２ ｍｏｄ ｎ^２を計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃを出力する（ステップＤ４）。

上記のように、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）と準同型演算鍵ｈｋ＝（κ，ｎ）が異なる。さらに、暗号化におけるｃ＝ｇ^ｍ・ｒ^ｎ ｍｏｄ ｎ^２の計算にはｇが必要であるところ、準同型演算鍵ｈｋ＝（κ，ｎ）にはｇが含まれないので、準同型演算鍵ｈｋ＝（κ，ｎ）を入手しても、暗号化を実行することはできない。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。つまり、準同型演算の実行権限では暗号化を実行できない。

また、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）と準同型演算鍵ｈｋ＝（κ，ｎ）の生成方法から解るように、準同型演算鍵ｈｋ＝（κ，ｎ）は、暗号化鍵ｅｋ＝（κ，ｎ，ｇ）の要素のうち、準同型演算に用いない要素ｇを取り除くことで得られる。

［第１の実施形態に係る実施例３］
次に、Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号を基礎とした、本実施形態に係る準同型暗号システム１００の処理の一例を説明する。Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号は、加法準同型性を有する公開鍵暗号の一例である。以下では、Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号の説明をした後に、本実施形態に係る準同型暗号システム１００の処理の説明を行う。なお、準同型公開鍵暗号に関する事項は実施例１の場合と同様なので説明を省略する。

（Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号）
Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号は、加法準同型性を有する公開鍵暗号の一例である。Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号の各アルゴリズムは次のように動作する。

（Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号）
鍵生成アルゴリズムは、まず、セキュリティパラメータκを入力として受け取る。次にκビットの２つの素数ｐ、ｑをランダムに選び、ｎ＝ｐ^２ｑとする。次に、１以上ｎ以下で、ｎと互いに素である（すなわちｎとの最大公約数が１である）整数ｇをランダムに選ぶ。ｇ^ｐ－１ ｍｏｄ ｐ^２＝１であったらｇを選びなおす。次に、ｈ＝ｇ^ｎ ｍｏｄ ｎを計算する。最後に、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）および復号鍵ｄｋ＝（ｅｋ，ｐ，ｑ）を出力する。

暗号化アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）およびメッセージｍを入力として受け取る。次に、ｎ未満の整数ｒを一様ランダムに選択し、ｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎとする。最後に、暗号文ｃを出力する。

復号アルゴリズムは、まず、復号鍵ｄｋ＝（ｅｋ，ｐ，ｑ）および暗号文ｃを入力として受け取る。次に、ｃ_ｐ＝ｃ^ｐ－１ ｍｏｄ ｐ^２とし、さらに、ｃ_Ｌ＝（ｃ_ｐ－１）／ｐとする。次に、ｇ_ｐ＝ｇ^ｐ－１ ｍｏｄ ｐ^２とし、さらに、ｇ_Ｌ＝（ｇ_ｐ－１）／ｐとする。
最後に、復号結果ｍ′＝ｃ_Ｌ／ｇ_Ｌ ｍｏｄ ｐを出力する。

任意の整数ｈに対し，ｈ^{ｐｑ（ｐ－１）} ｍｏｄ ｎ＝１が成り立つことと、ある整数ｋを用いてｈ^ｐ－１＝１＋ｋｐと表せることを利用すると，メッセージｍの暗号文ｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎに対し、Ｐａｉｌｌｉｅｒ暗号の復号アルゴリズムにより、暗号文ｃをｍに正しく復号できることを、次式によって確認できる。

ｃ_ｐ＝ｃ^ｐ－１ ｍｏｄ ｐ^２＝（ｇ^ｍ・ｈ^ｒ）^ｐ－１ ｍｏｄ ｐ^２＝ｇ^{ｍ（ｐ－１）}・ｇ^{ｒｎ（ｐ－１）} ｍｏｄ ｐ^２＝ｇ^{ｍ（ｐ－１）} ｍｏｄ ｐ^２＝（１＋ｋｐ）^ｍ ｍｏｄ ｐ^２＝１＋ｐ（ｋｍ ｍｏｄ ｐ）
ｃ_Ｌ＝（ｃ_ｐ－１）／ｐ＝ｋｍ ｍｏｄ ｐ
ｇ_ｐ＝ｇ^ｐ－１ ｍｏｄ ｐ^２＝（１＋ｋｐ） ｍｏｄ ｐ^２＝１＋ｐ（ｋ ｍｏｄ ｐ）
ｇ_Ｌ＝（ｇ_ｐ－１）／ｐ＝ｋ ｍｏｄ ｐ
ｍ′＝ｃ_Ｌ／ｇ_Ｌ ｍｏｄ ｐ＝ｋｍ／ｋ ｍｏｄ ｐ＝ｍ

準同型演算アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）および第一の暗号文ｃ_１および第二の暗号文ｃ_２を入力として受け取る。次に、ｃ＝ｃ_１・ｃ_２ ｍｏｄ ｎを計算する。最後に、準同型演算結果ｃを出力する。

メッセージｍ_１の暗号文ｃ_１＝ｇ^ｍ１・ｈ^ｒ ｍｏｄ ｎ（ただし、ｇ^ｍ１はｇをｍ_１乗したものを表す）およびメッセージｍ_２の暗号文ｃ_２＝ｇ^ｍ２・ｈ^ｓ ｍｏｄ ｎ（ただし、ｇ^ｍ２はｇをｍ_２乗したものを表す）に対し、次式が成り立つ。
ｃ＝ｇ^{（ｍ１＋ｍ２）}・ｈ^{（ｒ＋ｓ）} ｍｏｄ ｎ（ただし、ｇ^{（ｍ１＋ｍ２）}はｇをｍ_１＋ｍ_２乗したものを表す）

したがって、ｃはｍ_１＋ｍ_２の暗号文であり、Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号は加法準同型性を有する。

（本実施例）
第１の実施形態に係る実施例３は、Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号を基礎とし、以下に説明するような修正を加える。以下では、図１から図５に記載の符号を参照しながら、準同型暗号システム１００が実行する実施例の説明を行う。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、鍵生成装置１１０の鍵生成部１１２はκビットの２つの素数ｐ、ｑをランダムに選び、ｎ＝ｐ^２ｑとする。次に、１以上ｎ以下で、ｎと互いに素である（すなわちｎとの最大公約数が１である）整数ｇをランダムに選ぶ。ｇ^ｐ－１ ｍｏｄ ｐ^２＝１であったらｇを選びなおす。次に、ｈ＝ｇ^ｎ ｍｏｄ ｎを計算する。そして、準同型演算鍵をｈｋ＝（κ，ｎ）、暗号化鍵をｅｋ＝（κ，ｎ，ｇ，ｈ）、復号鍵ｄｋ＝（ｅｋ，ｐ，ｑ）をとする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）を取得する（ステップＢ２）。

次に、暗号化部１５３はｎ未満の整数ｒを一様ランダムに選択し、ｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎを計算する（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した暗号文ｃを出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃが入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｎ，ｇ，ｈ，ｐ，ｑ）を取得する（ステップＣ２）。

次に、復号部１６３はｃ_ｐ＝ｃ^ｐ－１ ｍｏｄ ｐ^２を計算し、さらに、ｃ_Ｌ＝（ｃ_ｐ－１）／ｐを計算する。次に、ｇ_ｐ＝ｇ^ｐ－１ ｍｏｄ ｐ^２を計算し、さらに、ｇ_Ｌ＝（ｇ_ｐ－１）／ｐを計算する。最後に、ｍ′＝ｃ_Ｌ／ｇ_Ｌ ｍｏｄ ｐを計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１および第二の暗号文ｃ_２が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｎ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ＝ｃ_１・ｃ_２ ｍｏｄ ｎを計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃを出力する（ステップＤ４）。

上記のように、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）と準同型演算鍵ｈｋ＝（κ，ｎ）が異なる。さらに、暗号化におけるｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎの計算にはｇおよびｈが必要であるところ、準同型演算鍵ｈｋ＝（κ，ｎ）にはｇおよびｈが含まれないので、準同型演算鍵ｈｋ＝（κ，ｎ）を入手しても、暗号化を実行することはできない。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。つまり、準同型演算の実行権限では暗号化を実行できない。

また、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）と準同型演算鍵ｈｋ＝（κ，ｎ）の生成方法から解るように、準同型演算鍵ｈｋ＝（κ，ｎ）は、暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）の要素のうち、準同型演算に用いない要素ｇおよびｈを取り除くことで得られる。

［第２の実施形態］
図６は、第２の実施形態に係る準同型暗号システム２００の構成を示すブロック図である。図６に示されるように、準同型暗号システム２００は、第１の実施形態に係る準同型暗号システム１００の構成に加え、鍵検証装置２８０を備えている。したがって、以下の説明では、鍵生成装置１１０、準同型演算鍵記憶装置１２０、暗号化鍵記憶装置１３０、復号鍵記憶装置１４０、暗号化装置１５０、復号装置１６０、および準同型演算装置１７０の構成の説明は省略する。

鍵検証装置２８０は、暗号文の入力を受け付ける暗号文入力部２８１と、入力された暗号文が鍵生成装置１１０で生成された暗号化鍵で生成された暗号文であるかの検証結果を生成する検証部２８４と、その検証結果を出力する検証結果出力部２８５とを有する。

鍵検証装置２８０は、次のように鍵検証処理を実行する。図７は鍵検証処理を説明するフロー図である。

まず、暗号文入力部２８１に検証対象の暗号文が入力される（ステップＥ１）。

次に、検証部２８４は、ステップＥ１で受け取った暗号文が、ステップＡ２で生成された暗号化鍵で生成された暗号文であるかを検証し、検証結果を生成する（ステップＥ２）。

最後に、検証結果出力部２８５は、ステップＥ２で生成した検証結果を出力する（ステップＥ３）。

ただし、以上は処理の例である。例えば、ステップＥ２がステップＥ１より先に実行されても構わない。

［第２の実施形態に係る実施例１］
次に、Ｅｌｇａｍａｌ暗号を基礎とした、本実施形態に係る準同型暗号システム２００の処理の一例を説明する。Ｅｌｇａｍａｌ暗号は、乗法準同型性を有する公開鍵暗号の一例である。以下では、Ｅｌｇａｍａｌ暗号の説明をした後に、本実施形態に係る準同型暗号システム２００の処理の説明を行う。

（Ｅｌｇａｍａｌ暗号）
Ｅｌｇａｍａｌ暗号は、乗法準同型性を有する公開鍵暗号の一例である。Ｅｌｇａｍａｌ暗号の各アルゴリズムは次のように動作する。

鍵生成アルゴリズムは、まず、セキュリティパラメータκを入力として受け取る。次に、κビットの素数ｑをランダムに選び、位数がｑである乗法群Ｇおよびその生成元ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し，ｈ＝ｇ^ｘとする。最後に、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）と、復号鍵ｄｋ＝（ｅｋ，ｘ）とを出力する。

暗号化アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）およびメッセージｍを入力として受け取る。次に、１以上ｑ未満の整数ｒを一様ランダムに選択し、ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｍ・ｈ^ｒとする。最後に、暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する。

復号アルゴリズムは、まず、復号鍵ｄｋ＝（ｅｋ，ｘ）および暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）を入力として受け取る。次に、ｍ′＝ｃ_ｂ／（（ｃ_ａ）^ｘ）を計算する。最後に、復号結果ｍ′を出力する。

メッセージｍの暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）＝（ｇ^ｒ，ｍ・ｈ^ｒ）に対し、Ｅｌｇａｍａｌ暗号の復号アルゴリズムにより、暗号文ｃをｍに正しく復号できることを、次式によって確認できる。
ｍ′＝ｃ_ｂ／（ｃ_ａ）^ｘ＝（ｍ・ｈ^ｒ）／（ｇ^ｒ）^ｘ＝（ｍ・ｇ^ｘ・ｒ）／（ｇ^ｒ）^ｘ＝ｍ

準同型演算アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）および第一の暗号文ｃ_１＝（ｃ_１，ａ，ｃ_１，ｂ）および第二の暗号文ｃ_２＝（ｃ_２，ａ，ｃ_２，ｂ）を入力として受け取る。次に、ｃ_ａ＝ｃ_１，ａ・ｃ_２，ａ，ｃ_ｂ：＝ｃ_１，ｂ・ｃ_２，ｂを計算する。最後に、準同型演算結果ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する。

メッセージｍ_１の暗号文（ｃ_１，ａ＝ｇ^ｒ，ｃ_１，ｂ＝ｍ_１・ｈ^ｒ）およびメッセージｍ_２の暗号文（ｃ_２，ａ＝ｇ^ｓ，ｃ_２，ｂ＝ｍ_２・ｈ^ｓ）に対し、次の２式が成り立つ。
ｃ_ａ＝ｇ^{（ｒ＋ｓ）}
ｃ_ｂ＝（ｍ_１・ｍ_２）・ｈ^{（ｒ＋ｓ）}

したがって、ｃはｍ_１・ｍ_２の暗号文であり、Ｅｌｇａｍａｌ暗号は乗法準同型性を有する。

（本実施例）
第２の実施形態に係る実施例１は、Ｅｌｇａｍａｌ暗号を基礎とし、以下に説明するような修正を加える。以下では、図２から図７に記載の符号を参照しながら、準同型暗号システム２００が実行する実施例の説明を行う。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、鍵生成装置１１０の鍵生成部１１２はκビットの素数ｑをランダムに選び、位数がｑである乗法群Ｇおよびその生成元ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し，ｈ＝ｇ^ｘとする。次に、準同型演算鍵をｈｋ＝（κ，ｑ，Ｇ）暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）と、復号鍵ｄｋ＝（ｅｋ，ｘ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）を取得する（ステップＢ２）。

次に、暗号化部１５３は１以上ｑ未満の整数ｒを一様ランダムに選択し、ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｍ・ｈ^ｒとする（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃが入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｑ，Ｇ，ｇ，ｈ，ｘ）を取得する（ステップＣ２）。

次に、復号部１６３はｍ′＝ｃ_ｂ／（（ｃ_ａ）^ｘ）を計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１＝（ｃ_１，ａ，ｃ_１，ｂ）および第二の暗号文ｃ_２＝（ｃ_２，ａ，ｃ_２，ｂ）暗号文が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ_ａ＝ｃ_１，ａ・ｃ_２，ａ，ｃ_ｂ：＝ｃ_１，ｂ・ｃ_２，ｂを計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する（ステップＤ４）。

鍵検証装置２８０は、以下のような処理を行う。

まず、暗号文入力部２８１に検証対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が入力される（ステップＥ１）。

次に、検証部２８４は、ｃ_ａ＝１であったらｒｅｓｕｌｔ＝ＮＧ、そうでなければｒｅｓｕｌｔ＝ＯＫとする（ステップＥ２）。

最後に、検証結果出力部２８５は、ステップＥ２で生成した検証結果ｒｅｓｕｌｔを出力する（ステップＥ３）。

第２の実施形態に係る実施例１では、準同型演算鍵にはｇおよびｈが含まれないため、準同型演算鍵のみを用いると、メッセージｍに対する暗号文ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｍ・ｈ^ｒとして計算することができるのはｒ＝０の場合の暗号文であるｃ_ａ＝１、ｃ_ｂ＝ｍのみである。そこで、鍵検証処理ではｃ_ａ＝１を満たす暗号文であるかどうかを確認し、検証対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が、暗号化鍵に含まれるｇおよびｈを知らない攻撃者によって作られたものでないことを確認する。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。したがって、準同型演算の実行権限ではｒ＝０の場合の暗号文以外の暗号文を生成できない。

また、第２の実施形態に係る実施例１は、第１の実施形態の場合と同様に、準同型演算鍵は、暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで得られる。

［第２の実施形態に係る実施例２］
次に、Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号を基礎とした、本実施形態に係る準同型暗号システム２００の処理の一例を説明する。Ｌｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号は、加法準同型性を有する公開鍵暗号の一例である。なお、準同型公開鍵暗号およびＬｉｆｔｅｄ－Ｅｌｇａｍａｌ暗号に関する事項は実施例１の場合と同様なので説明を省略する。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２はκビットの素数ｑをランダムに選び、位数がｑである乗法群Ｇおよびその生成元ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し、ｈ：＝ｇ^ｘとする。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、準同型演算鍵をｈｋ＝（κ，ｑ，Ｇ，ｇ）、暗号化鍵をｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）、復号鍵をｄｋ＝（ｅｋ，ｘ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）を取得する（ステップＢ２）。

次に、暗号化部１５３は１以上ｑ未満の整数ｒを一様ランダムに選択し、ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｇ^ｍ・ｈ^ｒを計算する（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した（ｃ_ａ，ｃ_ｂ）を暗号文として出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｑ，Ｇ，ｇ，ｈ，ｘ）を取得する（ステップＣ２）。

次に、復号部１６３はＭ′＝ｃ_ｂ／（（ｃ_ａ）^ｘ）を計算する。さらに、ｍ′＝Ｄｌｏｇ_ｇ（Ｍ′）を計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１＝（ｃ_１，ａ，ｃ_１，ｂ）および第二の暗号文ｃ_２＝（ｃ_２，ａ，ｃ_２，ｂ）が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｑ，Ｇ，ｇ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ_ａ＝ｃ_１，ａ・ｃ_２，ａおよびｃ_ｂ＝ｃ_１，ｂ・ｃ_２，ｂを計算する（ステップＤ３）。
最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃ＝（ｃ_ａ，ｃ_ｂ）を出力する（ステップＤ４）。

鍵検証装置２８０は、以下のような処理を行う。

まず、暗号文入力部２８１に検証対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が入力される（ステップＥ１）。

次に、検証部２８４は、ｃ_ａ＝１であったらｒｅｓｕｌｔ＝ＮＧ、そうでなければｒｅｓｕｌｔ＝ＯＫとする（ステップＥ２）。

最後に、検証結果出力部２８５は、ステップＥ２で生成した検証結果ｒｅｓｕｌｔを出力する（ステップＥ３）。

第２の実施形態に係る実施例２では、準同型演算鍵にはｈが含まれないため、準同型演算鍵のみを用いると、メッセージｍに対する暗号文ｃ_ａ＝ｇ^ｒ、ｃ_ｂ＝ｍ・ｈ^ｒとして計算することができるのはｒ＝０の場合の暗号文であるｃ_ａ＝１、ｃ_ｂ＝ｍのみである。そこで、鍵検証処理ではｃ_ａ＝１を満たす暗号文であるかどうかを確認し、検証対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が、暗号化鍵に含まれるｈを知らない攻撃者によって作られたものでないことを確認する。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。したがって、準同型演算の実行権限ではｒ＝０の場合の暗号文以外の暗号文を生成できない。

また、第２の実施形態に係る実施例２は、第１の実施形態の場合と同様に、準同型演算鍵は、暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで得られる。

［第２の実施形態に係る実施例３］
次に、楕円Ｅｌｇａｍａｌ暗号を基礎とした、本実施形態に係る準同型暗号システム２００の処理の一例を説明する。楕円Ｅｌｇａｍａｌ暗号は、加法準同型性を有する公開鍵暗号の一例である。以下では、楕円Ｅｌｇａｍａｌ暗号の説明をした後に、本実施形態に係る準同型暗号システム２００の処理の説明を行う。

（楕円Ｅｌｇａｍａｌ暗号）
楕円Ｅｌｇａｍａｌ暗号は、加法準同型性を有する公開鍵暗号の一例である。楕円Ｅｌｇａｍａｌ暗号の各アルゴリズムは次のように動作する。

鍵生成アルゴリズムは、まず、セキュリティパラメータκを入力として受け取る。次に、κビットの素数ｑをランダムに選び、楕円曲線Ｅ上の位数がｑである群の生成元Ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し、Ｐ＝ｘ・Ｇとする。最後に、暗号化鍵ｅｋ＝（κ，ｑ，Ｅ，Ｇ，Ｐ）および復号鍵ｄｋ＝（ｅｋ，ｘ）を出力する。

暗号化アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）およびメッセージｍを入力として受け取る。次に、１以上ｑ未満の整数ｒを一様ランダムに選択し、Ｃ_ａ：＝ｒ・Ｇ、Ｃ_ｂ：＝ｍ＋ｒ・Ｐとする。最後に、暗号文ｃ＝（Ｃ_ａ，Ｃ_ｂ）を出力する。

復号アルゴリズムは、まず、復号鍵ｄｋ＝（ｅｋ，ｘ）および暗号文ｃ＝（Ｃ_ａ，Ｃ_ｂ）を入力として受け取る。次に、ｍ′＝Ｃ_ｂ－ｘ・Ｃ_ａを計算する。最後に、復号結果ｍ′を出力する。

メッセージｍの暗号文ｃ＝（Ｃ_ａ，Ｃ_ｂ）＝（ｒ・Ｇ，ｍ＋ｒ・Ｐ）に対し、楕円Ｅｌｇａｍａｌ暗号の復号アルゴリズムにより、暗号文ｃをｍに正しく復号できることを、次式によって確認できる。
ｍ′＝Ｃ_ｂ－ｘ・Ｃ_ａ＝（ｍ＋ｒ・Ｐ）－ｘ・（ｒ・Ｇ）＝ｍ＋ｒ・（ｘ・Ｇ）－ｘ・（ｒ・Ｇ）＝ｍ

準同型演算アルゴリズムは、まず、暗号化鍵ｅｋ＝（κ，ｑ，Ｇ，ｇ，ｈ）および第一の暗号文ｃ_１＝（Ｃ_１，ａ，Ｃ_１，ｂ）および第二の暗号文ｃ_２＝（Ｃ_２，ａ，Ｃ_２，ｂ）を入力として受け取る。次に、Ｃ_ａ＝Ｃ_１，ａ＋Ｃ_２，ａ，Ｃ_ｂ＝Ｃ_１，ｂ＋Ｃ_２，ｂを計算する。最後に、準同型演算結果ｃ＝（Ｃ_ａ，Ｃ_ｂ）を出力する。

メッセージｍ_１の暗号文（Ｃ_１，ａ＝ｒ・Ｇ，Ｃ_１，ｂ＝ｍ_１＋ｒ・Ｐ）およびメッセージｍ_２の暗号文（Ｃ_２，ａ＝ｓ・Ｇ，Ｃ_２，ｂ＝ｍ_２＋ｓ・Ｐ）に対し、次の２式が成り立つ。
Ｃ_ａ＝（ｒ＋ｓ）・Ｇ
Ｃ_ｂ＝（ｍ_１＋ｍ_２）＋（ｒ＋ｓ）・Ｐ

したがって、ｃはｍ_１＋ｍ_２の暗号文であり、楕円Ｅｌｇａｍａｌ暗号は加法準同型性を有する。

（本実施例）
第２の実施形態に係る実施例３は、楕円Ｅｌｇａｍａｌ暗号を基礎とし、以下に説明するような修正を加える。以下では、図２から図７に記載の符号を参照しながら、準同型暗号システム２００が実行する実施例の説明を行う。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２はκビットの素数ｑをランダムに選び、楕円曲線Ｅ上の位数がｑである群の生成元Ｇを選ぶ。次に、１以上ｑ未満の整数ｘを一様ランダムに選択し、Ｐ＝ｘ・Ｇとする。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、準同型演算鍵をｈｋ＝（κ，ｑ，Ｅ）、暗号化鍵をｅｋ＝（κ，ｑ，Ｅ，Ｇ，Ｐ）、復号鍵をｄｋ＝（κ，ｑ，Ｅ，Ｇ，Ｐ，ｘ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｑ，Ｅ，Ｇ，Ｐ）を取得する（ステップＢ２）。

次に、暗号化部１５３は１以上ｑ未満の整数ｒを一様ランダムに選択し、Ｃ_ａ：＝ｒ・Ｇ、Ｃ_ｂ：＝ｍ＋ｒ・Ｐとする（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した暗号文ｃ＝（Ｃ_ａ，Ｃ_ｂ）を出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃが入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｑ，Ｅ，Ｇ，Ｐ，ｘ）を取得する（ステップＣ２）。

次に、復号部１６３はｍ′＝Ｃ_ｂ－ｘ・Ｃ_ａを計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１＝（Ｃ_１，ａ，Ｃ_１，ｂ）および第二の暗号文ｃ_２＝（Ｃ_２，ａ，Ｃ_２，ｂ）が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｑ，Ｅ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はＣ_ａ＝Ｃ_１，ａ＋Ｃ_２，ａ，Ｃ_ｂ＝Ｃ_１，ｂ＋Ｃ_２，ｂを計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃ＝（Ｃ_ａ，Ｃ_ｂ）を出力する（ステップＤ４）。

鍵検証装置２８０は、以下のような処理を行う。

まず、暗号文入力部２８１に検証対象の暗号文ｃ＝（Ｃ_ａ，Ｃ_ｂ）が入力される（ステップＥ１）。

次に、検証部２８４は、Ｃ_ａ＝０であったらｒｅｓｕｌｔ＝ＮＧ、そうでなければｒｅｓｕｌｔ＝ＯＫとする（ステップＥ２）。

最後に、検証結果出力部２８５は、ステップＥ２で生成した検証結果ｒｅｓｕｌｔを出力する（ステップＥ３）。

第２の実施形態に係る実施例３では、準同型演算鍵にはＰが含まれないため、準同型演算鍵のみを用いると、メッセージｍに対する暗号文Ｃ_ａ：＝ｒ・Ｇ、Ｃ_ｂ：＝ｍ＋ｒ・Ｐとして計算することができるのはｒ＝０の場合の暗号文であるｃ_ａ＝０、ｃ_ｂ＝ｍのみである。そこで、鍵検証処理ではｃ_ａ＝０を満たす暗号文であるかどうかを確認し、検証対象の暗号文ｃ＝（ｃ_ａ，ｃ_ｂ）が、暗号化鍵に含まれるＰを知らない攻撃者によって作られたものでないことを確認する。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。したがって、準同型演算の実行権限ではｒ＝０の場合の暗号文以外の暗号文を生成できない。

また、第２の実施形態に係る実施例３は、第１の実施形態の場合と同様に、準同型演算鍵は、暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで得られる。

［第３の実施形態］
図８は、第３の実施形態に係る準同型暗号システム３００の構成を示すブロック図である。図８に示されるように、準同型暗号システム３００は、第１の実施形態に係る準同型暗号システム１００の構成に加え、鍵検証装置３８０を備えている。したがって、以下の説明では、鍵生成装置１１０、準同型演算鍵記憶装置１２０、暗号化鍵記憶装置１３０、復号鍵記憶装置１４０、暗号化装置１５０、復号装置１６０、および準同型演算装置１７０の構成の説明は省略する。

鍵検証装置３８０は、暗号文の入力を受け付ける暗号文入力部３８１と、暗号文入力部３８１に入力された暗号文に対応するメッセージの入力を受け付けるメッセージ入力部３８２と、記憶されている復号鍵を取得する復号鍵取得部３８３と、暗号文がメッセージに対し、復号鍵取得部３８３が取得した暗号化鍵で生成された暗号文であるかどうかの検証結果を生成する検証部３８４と、検証結果を出力する検証結果出力部３８５とを有する。

鍵検証装置３８０は、次のように鍵検証処理を実行する。図９は鍵検証処理を説明するフロー図である。

まず、暗号文入力部３８１に検証対象の暗号文が入力され、メッセージ入力部３８２に検証対象の暗号文の復号結果であるメッセージが入力される（ステップＦ１）。

次に、復号鍵取得部３８３は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵を取得する（ステップＦ２）。

次に、検証部３８４は、ステップＦ１で受け取った暗号文が、ステップＦ２で取得した復号鍵に対応する暗号化鍵で暗号化されたものであるかを検証し、検証結果を生成する（ステップＦ３）。

最後に、検証結果出力部３８５は、ステップＦ３で生成した検証結果を出力する（ステップＦ４）。

ただし、以上は処理の例である。例えば、ステップＦ２がステップＦ１より先に実行されても構わない。

［第３の実施形態に係る実施例１］
次に、Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号を基礎とした、本実施形態に係る準同型暗号システム３００の処理の一例を説明する。Ｏｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号は、加法準同型性を有する公開鍵暗号の一例である。なお、準同型公開鍵暗号およびＯｋａｍｏｔｏ－Ｕｃｈｉｙａｍａ暗号に関する事項は第１の実施形態の場合と同様なので説明を省略する。

鍵生成装置１１０と準同型演算鍵記憶装置１２０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０は、以下のような処理を行う。

まず、鍵生成装置１１０の公開パラメータ入力部１１１にセキュリティパラメータκが入力される（ステップＡ１）。

次に、鍵生成装置１１０の鍵生成部１１２はκビットの２つの素数ｐ、ｑをランダムに選び、ｎ＝ｐ^２ｑとする。次に、１以上ｎ以下で、ｎと互いに素である（すなわちｎとの最大公約数が１である）整数ｇをランダムに選ぶ。ｇ^ｐ－１ ｍｏｄ ｐ^２＝１であったらｇを選びなおす。次に、ｈ＝ｇ^{ｐ（ｐ－１）} ｍｏｄ ｎを計算する。

次に、鍵生成部１１２が、暗号鍵と復号鍵だけではなく、準同型演算鍵も生成する。具体的には、準同型演算鍵をｈｋ＝（κ，ｎ，ｇ）、暗号化鍵をｅｋ＝（κ，ｎ，ｇ，ｈ）、復号鍵をｄｋ＝（κ，ｎ，ｇ，ｈ，ｐ，ｑ）とする（ステップＡ２）。

次に、鍵生成装置１１０の準同型演算鍵出力部１１３はステップＡ２で生成した準同型演算鍵ｈｋを出力する（ステップＡ３）。出力された準同型演算鍵ｈｋは、準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶される（ステップＡ４）。

次に、鍵生成装置１１０の暗号化鍵出力部１１４はステップＡ２で生成した暗号化鍵ｅｋを出力する（ステップＡ５）。出力された暗号化鍵ｅｋは、暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶される（ステップＡ６）。

最後に、鍵生成装置１１０の復号鍵出力部１１５はステップＡ２で生成した復号鍵ｄｋを出力する（ステップＡ７）。出力された復号鍵ｄｋは、復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶される（ステップＡ８）。

暗号化装置１５０は、以下のような処理を行う。

まず、メッセージ入力部１５１に暗号化対象のメッセージｍが入力される（ステップＢ１）。

次に、暗号化鍵取得部１５２は暗号化鍵記憶装置１３０の暗号化鍵記憶部１３１に記憶されている暗号化鍵ｅｋ＝（κ，ｎ，ｇ，ｈ）を取得する（ステップＢ２）。

次に、暗号化部１５３はｎ未満の整数ｒを一様ランダムに選択し、ｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎとする（ステップＢ３）。

最後に、暗号文出力部１５４はステップＢ３で生成した暗号文ｃを出力する（ステップＢ４）。

復号装置１６０は、以下のような処理を行う。

まず、暗号文入力部１６１に復号対象の暗号文ｃが入力される（ステップＣ１）。

次に、復号鍵取得部１６２は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｎ，ｇ，ｈ，ｐ，ｑ）を取得する（ステップＣ２）。

次に、復号部１６３はｃ_ｐ＝ｃ^ｐ－１ ｍｏｄ ｐ^２とし、さらに、ｃ_Ｌ＝（ｃ_ｐ－１）／ｐとする。

次に、ｇ_ｐ＝ｇ^ｐ－１ ｍｏｄ ｐ^２とし、さらに、ｇ_Ｌ＝（ｇ_ｐ－１）／ｐとする。

次に、ｍ′＝ｃ_Ｌ／ｇ_Ｌ ｍｏｄ ｐを計算する（ステップＣ３）。

最後に、復号結果出力部１６４は、ステップＣ３で生成した復号結果ｍ′を出力する（ステップＣ４）。

準同型演算装置１７０は、以下のような処理を行う。

まず、暗号文入力部１７１に準同型演算対象の第一の暗号文ｃ_１および第二の暗号文ｃ_２が入力される（ステップＤ１）。

次に、準同型演算鍵取得部１７２は準同型演算鍵記憶装置１２０の準同型演算鍵記憶部１２１に記憶されている準同型演算鍵ｈｋ＝（κ，ｎ，ｇ）を取得する（ステップＤ２）。

次に、準同型演算部１７３はｃ＝ｃ_１・ｃ_２ ｍｏｄ ｎを計算する（ステップＤ３）。

最後に、準同型演算結果出力部１７４はステップＤ３で生成した準同型演算結果ｃを出力する（ステップＤ４）。

鍵検証装置３８０は、以下のような処理を行う。

まず、暗号文入力部３８１に検証対象の暗号文ｃが入力され、メッセージ入力部３８２に検証対象の暗号文の復号結果であるメッセージｍが入力される（ステップＦ１）。

次に、復号鍵取得部３８３は復号鍵記憶装置１４０の復号鍵記憶部１４１に記憶されている復号鍵ｄｋ＝（κ，ｎ，ｇ，ｈ，ｐ，ｑ）を取得する（ステップＦ２）。

次に、検証部３８４は、ｃ′＝ｃ／ｇ^ｍおよびｃ′′＝ｃ′^{（ｑ－１）／２} ｍｏｄ ｎを計算する。

次に、ｃ′′＝１であったらｒｅｓｕｌｔ＝ＯＫ、そうでなければｒｅｓｕｌｔ＝ＮＧとする（ステップＦ３）。

最後に、検証結果出力部３８５は、ステップＦ３で生成した検証結果ｒｅｓｕｌｔを出力する（ステップＦ４）。

なお、鍵生成処理のステップＡ２におけるｈの計算方法および鍵検証処理のステップＦ３におけるｃ′′の計算方法は異なっても構わない。ｘｙ ｍｏｄ λ（ｎ）＝１（ただし、λはカーマイケル関数を表す）を満たすｘおよびｙに対し、ｈ＝ｇ^ｘ ｍｏｄ ｎ、ｃ′′＝ｃ′^ｙ ｍｏｄ ｎとなっていればよい。例えば、ｈ＝ｇ^{ｐ（ｐ－１）／２} ｍｏｄ ｎ、ｈ＝ｇ^{ｐ（ｑ－１）} ｍｏｄ ｎ，ｈ＝ｇ^{ｐ（ｑ－１）／２} ｍｏｄ ｎとした場合、それぞれｃ′′＝ｃ′^{（ｑ－１）} ｍｏｄ ｎ、ｃ′′＝ｃ′^{（ｐ－１）／２} ｍｏｄ ｎ、ｃ′′＝ｃ′^{（ｐ－１）} ｍｏｄ ｎとすることができる。

第３の実施形態に係る実施例１では、準同型演算鍵にはｈが含まれないため、準同型演算鍵のみを用いると、メッセージｍに対する暗号文ｃ＝ｇ^ｍ・ｈ^ｒ ｍｏｄ ｎとして計算することができるのはｈ＝ｇ^{ｐ（ｐ－１）} ｍｏｄ ｎの代わりにｈ′＝ｇ^ｎ ｍｏｄ ｎを用いて計算した暗号文ｃ＝ｇ^ｍ・ｈ′^ｒ ｍｏｄ ｎである。

ここで、
ｃ′＝ｃ／ｇ^ｍ＝ｈ^ｒ ｍｏｄ ｎ＝ｇ^{ｐ（ｐ－１）ｒ} ｍｏｄ ｎ
ｃ′′＝ｃ′^{（ｑ－１）／２} ｍｏｄ ｎ＝ｇ^{ｐ（ｐ－１）（ｑ－１）ｒ／２} ｍｏｄ ｎ＝１
となるが、ｈ′を用いて計算された暗号文は
ｃ′＝ｃ／ｇ^ｍ＝ｈ′^ｒ ｍｏｄ ｎ＝ｇ^ｐｐｑｒ ｍｏｄ ｎ
ｃ′′＝ｃ′^{（ｑ－１）／２} ｍｏｄ ｎ＝ｇ^{ｐｐｑ（ｑ－１）ｒ／２} ｍｏｄ ｎ≠１
となる。

そこで、第３の実施形態に係る実施例１の鍵検証処理では、ｃ′′＝１となるかどうかを確認している。これにより、暗号化鍵に含まれるが準同型演算鍵に含まれない要素を知らない攻撃者によって作られたものでないことを確認する。本実施例は暗号化の実行権限と準同型演算の実行権限とが異なり、準同型演算鍵の権限が暗号化鍵よりも弱い。したがって、準同型演算の実行権限ではｈ＝ｇ^{ｐ（ｐ－１）} ｍｏｄ ｎの代わりにｈ′＝ｇ^ｎ ｍｏｄ ｎを用いて計算した場合の暗号文以外の暗号文を生成できない。

また、第３の実施形態に係る実施例１は、第１の実施形態の場合と同様に、準同型演算鍵は、暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで得られる。

［第４の実施形態］
図１０は、第４の実施形態に係る準同型暗号システム４００の構成を示すブロック図である。第４の実施形態に係る準同型暗号システム４００は、先述の第１の実施形態に係る準同型暗号システム１００の構成を個人認証に応用したものである。したがって、第１の実施形態に記載の各構成は、同一の符号を付すことによって説明を省略する。

図１０に示すように、準同型暗号システム４００は、認証サーバ４１０と認証端末４２０を備えるサーバクライアントシステムである。

認証サーバ４１０は、鍵生成装置１１０と暗号化鍵記憶装置１３０と復号鍵記憶装置１４０と復号装置１６０とを備えている。一方、認証端末４２０は、準同型演算鍵記憶装置１２０と暗号化装置１５０と準同型演算装置１７０と登録認証情報記憶装置１９０とを備えている。なお、登録認証情報記憶装置１９０は、暗号化装置１５０で暗号化されたと登録認証情報を記憶しておくための記憶装置である。

上記構成の準同型暗号システム４００は、以下のように個人認証を行う。

既述したように、鍵生成装置１１０は、平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを生成する。生成された暗号化鍵と復号鍵は、それぞれ認証サーバ４１０における暗号化鍵記憶装置１３０と復号鍵記憶装置１４０とに記憶される。一方、生成された準同型演算鍵は、認証端末における準同型演算鍵記憶装置１２０に記憶される。

認証情報の登録時には、ユーザが登録認証情報を認証端末４２０の暗号化装置１５０に入力する。ここで、認証情報は生体情報やパスワード等の情報である。すると、認証端末４２０の暗号化装置１５０は、認証サーバ４１０の暗号化鍵記憶装置１３０から暗号化鍵を取得し、この暗号化鍵を用いて登録認証情報を暗号化する。暗号化された登録認証情報は、登録認証情報記憶装置１９０に記憶される。

認証処理の実行時には、ユーザが入力認証情報を認証端末４２０の準同型演算装置１７０に入力する。すると、認証端末４２０の準同型演算装置１７０は、入力された入力認証情報と記憶している登録認証情報との間で認証処理を行う。この時、準同型演算装置１７０は、登録認証情報に対して準同型演算を行うことによって、暗号化されたままで認証処理を行う。準同型演算装置１７０が行う準同型演算には、準同型演算鍵記憶装置１２０に記憶されている準同型演算鍵が用いられる。

準同型演算装置１７０が行う認証処理は、暗号化されたままで行われるので、認証結果も暗号文である。認証結果の暗号文は、認証サーバ４１０の復号装置１６０に送信され、復号装置１６０が復号鍵を用いて認証結果の暗号文を復号する。これにより、認証サーバは、認証端末４２０に入力された入力認証情報が正当なものであるか否かを判定する。

上記構成の個人認証では、暗号化鍵が認証端末４２０に保持されないので、悪意を持つ人が認証端末４２０を手に入れた場合でも自身の認証情報を暗号化することができない。したがって、上記構成の個人認証は、なりすましに対する脆弱性が低下する。

なお、上記構成は本発明の応用の一例であり、第１の実施形態だけではなく、第２の実施形態や第３の実施形態のように、鍵検証装置２８０，３８０を備える構成とすることもできる。また、暗号化装置１５０を認証端末４２０から分離して別個に備える構成とすることもできる。暗号化鍵と準同型演算鍵を別個に管理し、認証処理の実行時には準同型演算鍵のみを用いるような構成であれば、本発明を適切に応用することが可能である。

［第５の実施形態］
図１１は、第５の実施形態に係る準同型暗号システム５００の構成を示すブロック図である。第５の実施形態に係る準同型暗号システム５００は、先述の第１の実施形態に係る準同型暗号システム１００の構成を秘匿計算に応用したものである。したがって、第１の実施形態に記載の各構成は、同一の符号を付すことによって説明を省略する。

図１１に示すように、準同型暗号システム５００は、鍵生成装置１１０とデータ提供者装置５１０とデータ分析者装置５２０とデータ利用者装置５３０とを備えている。

データ提供者装置５１０は、暗号化鍵記憶装置１３０と暗号化装置１５０を備えている。データ分析者装置５２０は、準同型演算鍵記憶装置１２０と準同型演算装置１７０を備えている。データ利用者装置５３０は、復号鍵記憶装置１４０と復号装置１６０とを備えている。

上記構成の準同型暗号システム４００は、以下のように秘匿計算を行う。

既述したように、鍵生成装置１１０は、平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを生成する。生成された暗号化鍵と準同型演算鍵と復号鍵は、それぞれ、データ提供者装置５１０の暗号化鍵記憶装置１３０とデータ分析者装置５２０の準同型演算鍵記憶装置１２０とデータ利用者装置５３０の復号鍵記憶装置１４０とに記憶される。

秘匿計算では最初に、各ユーザが提供するデータ１からデータｎをデータ提供者装置５１０に入力する。ここで、各ユーザが提供するデータとは、例えば投票得点やプライバシー情報など、他人には知られたくない情報とすることができる。また、データ提供者装置５１０を複数備え、各ユーザが個別のデータ提供者装置５１０にデータを入力するとしてもよい。

そして、データ提供者装置５１０の暗号化装置１５０が暗号化鍵記憶装置１３０に記憶されている暗号化鍵を用いて、データ１からデータｎを暗号化する。暗号化されたデータ１からデータｎは、データ分析者装置５２０に送信される。

データ分析者装置５２０では、準同型演算装置１７０が暗号化されたデータ１からデータｎを暗号化されたまま分析する。この分析は、例えば投票得点の合計やプライバシー情報の平均など各種の分析を行うことが可能である。この分析のための準同型演算には、データ分析者装置５２０の準同型演算鍵記憶装置１２０に記憶されている準同型演算鍵が用いられる。

準同型演算装置１７０が行う分析は、暗号化されたままで行われるので、分析結果も暗号文である。分析結果の暗号文は、データ利用者装置５３０の復号装置１６０に送信され、復号装置１６０が復号鍵を用いて分析結果の暗号文を復号する。これにより、データ利用者装置５３０は、各ユーザが提供するデータ１からデータｎに対する分析結果を知得する。

上記構成の秘匿計算では、各ユーザが提供するデータ１からデータｎを暗号化したまま分析するので、ユーザが提供する情報の秘密が保持される。その上、データ分析者装置５２０には暗号化鍵が保持されていないので、データ分析者装置５２０を悪意の第３者が使用して、虚偽のデータを暗号化して分析結果に追加するような改竄をすることができない。したがって、データ利用者装置５３０で知得される分析結果の信頼性が高まる。

なお、上記構成は本発明の応用の一例であり、第１の実施形態だけではなく、第２の実施形態や第３の実施形態のように、鍵検証装置２８０，３８０を備える構成とすることもできる。また、本例では鍵生成装置１１０を分離して別個に備える構成としているが、データ利用者装置５３０に鍵生成装置１１０を備える構成とすることもできる。

なお、引用した上記の特許文献及び非特許文献等の各開示は、本書に引用をもって織り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。例えば、上記開示と同様の手法が、上述した準同型公開鍵暗号方式以外の準同型公開鍵暗号方式（加法準同型公開鍵暗号方式、乗法準同型公開鍵暗号方式、Ｓｏｍｅｗｈａｔ準同型公開鍵暗号、および完全準同型公開鍵暗号を含む）にも適用可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（少なくとも部分的な非選択を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、修正を含むことはもちろんである。特に、本書に記載した数値範囲について、当該範囲内に含まれる任意の数値ないし小範囲が別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。

本発明は、個人認証や秘匿計算を行うシステムに好適に適用される。

１００ 準同型暗号システム
１１０ 鍵生成装置
１１１ 公開パラメータ入力部
１１２ 鍵生成部
１１３ 準同型演算鍵出力部
１１４ 暗号化鍵出力部
１１５ 復号鍵出力部
１２０ 準同型演算鍵記憶装置
１２１ 準同型演算鍵記憶部
１３０ 暗号化鍵記憶装置
１３１ 暗号化鍵記憶部
１４０ 復号鍵記憶装置
１４１ 復号鍵記憶部
１５０ 暗号化装置
１５１ メッセージ入力部
１５２ 暗号化鍵取得部
１５３ 暗号化部
１５４ 暗号文出力部
１６０ 復号装置
１６１ 暗号文入力部
１６２ 復号鍵取得部
１６３ 復号部
１６４ 復号結果出力部
１７０ 準同型演算装置
１７１ 暗号文入力部
１７２ 準同型演算鍵取得部
１７３ 準同型演算部
１７４ 準同型演算結果出力部
２００ 準同型暗号システム
２８０ 鍵検証装置
２８１ 暗号文入力部
２８４ 検証部
２８５ 検証結果出力部
３００ 準同型暗号システム
３８０ 鍵検証装置
３８１ 暗号文入力部
３８２ メッセージ入力部
３８３ 復号鍵取得部
３８４ 検証部
３８５ 検証結果出力部
４００ 準同型暗号システム
４１０ 認証サーバ
４２０ 認証端末
５００ 準同型暗号システム
５１０ データ提供者装置
５２０ データ分析者装置
５３０ データ利用者装置

Claims (9)

1. 平文から暗号文を生成する権限に係る暗号化鍵と、暗号文を復号する権限に係る復号鍵とを公開鍵暗号方式を用いて生成し、前記暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで、暗号化されたまま暗号文の準同型演算を実行する権限に係る準同型演算鍵を生成する鍵生成装置と、
   前記暗号化鍵を用いて平文から暗号文を生成する暗号化装置と、
   前記準同型演算鍵を用いて前記暗号文に対する準同型演算を実行する準同型演算装置と、
   前記復号鍵を用いて暗号文を復号する復号装置と、
   を備えることを特徴とする暗号システム。
2. 入力された暗号文が前記暗号化鍵を用いて生成されたか否かを検証する鍵検証装置をさらに備える請求項１に記載の暗号システム。
3. 前記鍵検証装置は、前記復号鍵を用いて前記検証をすることを特徴とする請求項２に記載の暗号システム。
4. 前記平文は被登録認証情報であり、
   前記準同型演算装置は、入力された認証情報と前記暗号化された被登録認証情報とに対する準同型演算によって、前記認証情報と前記被登録認証情報との間の認証結果の暗号文を生成し、
   前記復号装置は、前記認証結果の暗号文を復号することで、前記入力された認証情報の認証結果を取得する、
   ことを特徴とする請求項１から請求項３のいずれか１項に記載の暗号システム。
5. 前記暗号化装置は、複数の平文から複数の暗号文を生成し、
   前記準同型演算装置は、入力された前記複数の暗号文に対する準同型演算によって、前記複数の平文に対する分析結果の暗号文を生成し、
   前記復号装置は、前記分析結果の暗号文を復号することで、前記複数の平文に対する分析結果を取得する、
   ことを特徴とする請求項１から請求項３のいずれか１項に記載の暗号システム。
6. 公開鍵暗号方式を用いて暗号化鍵と復号鍵のペアを生成し、
   前記暗号化鍵を用いて生成された暗号文を暗号化されたまま準同型演算を実行するための準同型演算鍵を、前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで生成する、
   ことを特徴とする鍵生成装置。
7. 平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る、前記暗号化鍵よりも権限が弱い準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを鍵生成装置が生成する鍵生成方法であって、
   前記鍵生成装置が公開鍵暗号方式を用いて前記暗号化鍵と前記復号鍵のペアを生成し、
   前記鍵生成装置が前記暗号化鍵を用いて生成された暗号文を暗号化されたまま準同型演算を実行するための準同型演算鍵を、前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで生成する、
   ことを特徴とする鍵生成方法。
8. 平文から暗号文を生成する権限に係る暗号化鍵と、暗号化されたまま暗号文の準同型演算を実行する権限に係る準同型演算鍵と、暗号文を復号する権限に係る復号鍵とを生成する鍵生成装置において実行される鍵生成プログラムであって、
   前記鍵生成装置が公開鍵暗号方式を用いて前記暗号化鍵と前記復号鍵のペアを生成するステップと、
   前記鍵生成装置が前記暗号化鍵の要素のうち、前記準同型演算に用いない要素を取り除くことで前記準同型演算鍵を生成するステップと、
   を含むことを特徴とする鍵生成プログラム。
9. 公開鍵暗号方式を用いて生成された暗号化鍵と復号鍵のペアのうち、前記暗号化鍵を用いて生成された暗号文の入力を受け付ける暗号文入力部と、
   前記暗号化鍵の要素のうち、準同型演算に用いない要素を取り除くことで生成した前記暗号文を暗号化されたまま準同型演算を実行する権限に係る準同型演算鍵を取得する準同型演算鍵取得部と、
   前記準同型演算鍵を用いて前記暗号文を暗号化されたまま前記準同型演算を実行する準同型演算部と、
   を備えることを特徴とする準同型演算装置。

Images