JP7377495B2 - 暗号システム及び方法 - Google Patents

Description

特許法第３０条第２項適用 ２０２０年１月２８日～２０２０年１月３１日（公知日：２０２０年１月２１日）開催の２０２０年暗号と情報セキュリティシンポジウム（ＳＣＩＳ２０２０）にて公開

本発明は、暗号システム及び方法に関する。

暗号化ファイルの復号権限を他のユーザに委任することが可能な暗号方式としてプロキシ再暗号化方式が知られている。この暗号方式を利用することで、例えば、ユーザＡの公開鍵で暗号化されたファイルがファイルサーバに保存されている場合に、ユーザＡは自身の秘密鍵と別のユーザＢの鍵とを使用して再暗号化鍵を生成してファイルサーバに渡すことで、ファイルサーバにファイルの中身を知られることなく、ユーザＡのみが復号できる暗号化ファイルをユーザＢのみが復号できる暗号化ファイルに変換することが可能となる。

また、プロキシ再暗号化方式に加えて暗号化ファイルとその暗号化を行ったユーザとの紐づけを復号者に検証できるようにした暗号方式としてプロキシ再暗号化付きサインクリプションが知られている。この暗号方式を利用することで、復号権限の委任が可能になりながらも、メッセージの秘匿性と完全性を実現することができる。

プロキシ再暗号化方式は公開鍵暗号方式の一種であるため、一般に、公開鍵とユーザとの紐づけを行う公開鍵基盤（ＰＫＩ：Public Key Infrastructure）等が必要となる。ＰＫＩでは証明書の失効や証明書そのものの検証等が必須であるため、公開鍵暗号方式には、そのための通信や計算処理を各ユーザで実行する必要があるという問題点がある。この問題点を解消する暗号方式として、任意の文字列（例えば、ユーザＩＤ等）を公開鍵のように利用することが可能なＩＤベース暗号方式が知られている。しかしながら、ＩＤベース暗号方式には、鍵生成センタ（ＫＧＣ：Key Generation Center）による鍵エスクロー問題が存在する。

公開鍵暗号方式とＩＤベース暗号方式それぞれのデメリットを補う暗号方式として証明書不要暗号方式が知られており、例えば、非特許文献１ではプロキシ再暗号化付き証明書不要サインクリプション方式（Certificateless Signcryption with proxy re-encryption）が提案されている。

Emmanuel Ahene, Junfeng Dai, Hao Feng, Fagen Li, "A certificateless signcryption with proxy re-encryption for practical access control in cloud-based reliable smart grid", Telecommunication Systems: Modelling, Analysis, Design and Management, Springer, vol. 70(4), pages 491-510, April.

しかしながら、従来のプロキシ再暗号化付き証明書不要サインクリプション方式では公開鍵の検証が不十分なため、公開鍵の不正な入れ替えによるなりすましが発生する可能性がある。

また、従来のプロキシ再暗号化付き証明書不要サインクリプション方式では不正な再暗号化リクエストがプロキシ側に流れてきても、当該再暗号化リクエストの検証は行われない。このため、例えば、ＩＤベース暗号方式を利用した多者間鍵交換技術の１つである非同期型ＩＤ－ＭＫＤ（Identity-Based Dynamic Multi-Cast Key Distribution）に対して従来のプロキシ再暗号化付き証明書不要サインクリプション方式を適用した場合、鍵交換確立時に、攻撃者によって不要なパケットが大量にユーザに流れて、ユーザ端末に多大な処理負荷が掛かる恐れがある。すなわち、ＤｏＳ（Denial of Services attack）攻撃が発生する可能性がある。

本発明の一実施形態は、上記の点に鑑みてなされたもので、安全なプロキシ再暗号化付き証明書不要サインクリプション方式を実現することを目的とする。

上記目的を達成するため、一実施形態に係る暗号システムは、複数のユーザ端末と、鍵生成センタとが含まれる暗号システムであって、前記複数のユーザ端末の各々は、前記鍵生成センタで生成された部分公開鍵を用いて、自身の署名が含まれるユーザ公開鍵を生成する公開鍵生成手段と、前記鍵生成センタで生成された部分秘密鍵を用いて、ユーザ秘密鍵を生成する秘密鍵生成手段と、他のユーザ端末のユーザ公開鍵に含まれる署名の検証を行い、前記検証に成功した場合、前記他のユーザ端末のユーザ公開鍵と自身のユーザ秘密鍵とを用いて、メッセージを暗号化し、前記他のユーザ端末が復号権限を持つ暗号文を生成する暗号化手段と、を有することを特徴とする。

安全なプロキシ再暗号化付き証明書不要サインクリプション方式を実現することができる。

本実施形態に係る暗号システムの全体構成の一例を示す図である。 コンピュータのハードウェア構成の一例を示す図である。 本実施形態に係る暗号システムの機能構成の一例を示す図である。 セットアップ処理及び鍵生成処理の一例を示すフローチャートである。 サインクリプション処理の一例を示すシーケンス図である。 再サインクリプション処理の一例を示すシーケンス図である。 デサインクリプション処理の一例を示すシーケンス図である。

以下、本発明の一実施形態について説明する。本実施形態では、安全なプロキシ再暗号化付き証明書不要サインクリプション方式を実現する暗号システム１について説明する。なお、本実施形態では、一例として、プロキシ再暗号化付き証明書不要サインクリプション方式を非同期型ＩＤ－ＭＫＤに対して適用する場合を想定して説明する。ただし、これは一例であって、本実施形態に係る暗号システム１によって実現されるプロキシ再暗号化付き証明書不要サインクリプション方式は、非同期型ＩＤ－ＭＫＤに対して適用する場合に限定されず、種々の多者間鍵交換技術又は多者間鍵交換プロトコルに対して適用可能である。

＜全体構成＞
まず、本実施形態に係る暗号システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る暗号システム１の全体構成の一例を示す図である。

図１に示すように、本実施形態に係る暗号システム１には、複数のユーザ端末１０と、サーバ２０と、ＫＧＣ３０とが含まれる。各ユーザ端末１０、サーバ２０及びＫＧＣ３０は、例えば、インターネット等の通信ネットワーク４０を介して通信可能に接続される。

ユーザ端末１０は、ユーザ（例えば、多者間鍵交換プロトコルによって鍵交換を行うユーザ等）が利用する各種端末である。ユーザ端末１０としては、例えば、ＰＣ（パーソナルコンピュータ）やスマートフォン、タブレット端末、携帯電話機等を用いることが可能である。ただし、これらに限られず、ユーザ端末１０としては、通信可能な任意の端末を用いることが可能である。

なお、本実施形態では、一例として、暗号システム１には３台のユーザ端末１０が含まれるものとして、それぞれユーザ端末１０Ａ、ユーザ端末１０Ｂ及びユーザ端末１０Ｃとする。また、ユーザ端末１０Ａを利用するユーザを「ユーザＡ」として、ＩＤベース暗号方式に利用されるＩＤを「ID_A」又は単に「A」と表す。同様に、ユーザ端末１０Ｂを利用するユーザを「ユーザＢ」として、そのＩＤを「ID_B」又は単に「B」と表す。同様に、ユーザ端末１０Ｃを利用するユーザを「ユーザＢ」として、そのＩＤを「ID_C」又は単に「C」と表す。一方で、任意のＩＤは「ID」等と表す。

ＩＤベース暗号方式に利用されるＩＤとしては任意の識別情報を使用することができるが、例えば、ユーザのメールアドレス、ＳＮＳ（Social Networking Service）のユーザＩＤ、電話番号、住所、氏名、マイナンバー、ＤＮＡ等の生体情報、ＩＰ（Internet Protocol）アドレス、ＭＡＣ（Media Access Control）アドレス、ＵＲＬ（Uniform Resource Locator）、クレジットカード番号、機器や装置の製造固有番号等を使用することが可能である。

サーバ２０は、再サインクリプション鍵を用いて、サインクリプションを再サインクリプションする装置又はシステムである。すなわち、サーバ２０は、プロキシ再暗号化付き証明書不要サインクリプション方式におけるプロキシとして機能する装置又はシステムである。なお、非同期型の多者間鍵交換プロトコルに適用される場合、サーバ２０は、鍵交換に関する補助的な処理を実行するサーバ（いわゆる鍵交換補助サーバ）であってもよい。

ＫＧＣ３０は、公開パラメータやマスター秘密鍵を生成したり、ＩＤベース暗号方式に利用されるＩＤに対応する部分公開鍵や部分秘密鍵を生成したりする装置又はシステムである。すなわち、ＫＧＣ３０は、鍵生成センタとして機能する装置又はシステムである。

なお、図１に示す暗号システム１の構成は一例であって、他の構成であってもよい。例えば、サーバ２０とＫＧＣ３０とは別体である必要はなく、サーバ２０とＫＧＣ３０とが一体で構成されていてもよい。

＜ハードウェア構成＞
次に、本実施形態に係る暗号システム１に含まれるユーザ端末１０、サーバ２０及びＫＧＣ３０のハードウェア構成について説明する。ユーザ端末１０、サーバ２０及びＫＧＣ３０は一般的なコンピュータ（情報処理装置）のハードウェア構成により実現可能であり、例えば、図２に示すコンピュータ５００のハードウェア構成により実現可能である。図２は、コンピュータ５００のハードウェア構成の一例を示す図である。

図２に示すコンピュータ５００は、ハードウェアとして、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これら各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。

入力装置５０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置５０２は、例えば、ディスプレイ等である。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。

外部Ｉ／Ｆ５０３は、外部装置とのインタフェースである。外部装置には、記録媒体５０３ａ等がある。なお、記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。

通信Ｉ／Ｆ５０４は、通信ネットワーク４０に接続するためのインタフェースである。プロセッサ５０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等の各種演算装置である。メモリ装置５０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。

本実施形態に係る暗号システム１に含まれるユーザ端末１０、サーバ２０及びＫＧＣ３０は、例えば、図２に示すコンピュータ５００のハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図２に示すコンピュータ５００のハードウェア構成は一例であって、コンピュータ５００は、他のハードウェア構成であってもよい。例えば、コンピュータ５００は、複数のプロセッサ５０５を有していてもよいし、複数のメモリ装置５０６を有していてもよい。

また、本実施形態に係る暗号システム１に含まれるユーザ端末１０、サーバ２０及びＫＧＣ３０は、例えば、複数のコンピュータ５００のハードウェア構成により実現されていてもよい。

＜プロキシ再暗号化付き証明書不要サインクリプション方式の構成＞
本実施形態では、プロキシ再暗号化付き証明書不要サインクリプション方式をCPRS（Certificateless Proxy Re-Signcryption）と表すものとする。CPRSは、一般に、以下の１０個のアルゴリズム（CPRS.Setup, CPRS.PKeyExt, CPRS.SetSV, CPRS.SetSK, CPRS.SetPK, CPRS.RKGen, CPRS.Signcrypt, CPRS.ReSigncrypt, CPRS.DeSigncrypt₁, CPRS.DeSigncrypt₂）で構成される。なお、以降では、一例として、復号権限を持つユーザをユーザＢとしてユーザＡがメッセージ（平文）を暗号化し、ユーザＢがその復号をユーザＣに委任するものとする。例えば、多者間鍵交換プロトコルではユーザＡはイニシエータ（又はグループオーナー等）、ユーザＢ及びＣはレスポンダに相当する。

・CPRS.Setup(1^κ)→(params, msk)：セキュリティパラメータ1^κを入力として、公開パラメータparamsとマスター秘密鍵mskとを出力する確率的アルゴリズム。

・CPRS.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)：公開パラメータparamsとマスター秘密鍵mskとＩＤ IDとを入力として、部分公開鍵ppk_IDと部分秘密鍵psk_IDとを出力する確率的アルゴリズム。

・CPRS.SetSV(params, ID)→sv_ID：公開パラメータparamsとＩＤ IDとを入力として、秘密値sv_IDを出力する確率的アルゴリズム。

・CPRS.SetSK(params, psk_ID, sv_ID)→sk_ID：公開パラメータparamsと部分秘密鍵psk_IDと秘密値sv_IDとを入力として、秘密鍵sk_IDを出力する確率的アルゴリズム。

・CPRS.SetPK(params, ppk_ID, sv_ID)→pk_ID：公開パラメータparamsと部分公開鍵ppk_IDと秘密値sv_IDとを入力として、公開鍵pk_IDを出力する確率的アルゴリズム。

・CPRS.RKGen(params, ID_B, sk_B, pk_B, ID_C, pk_C)→rk_B→C：公開パラメータparamsと復号権限を委任する委任者（delegator）であるユーザＢのＩＤ ID_BとユーザＢの秘密鍵sk_BとユーザＢの公開鍵pk_Bと復号権限を持つことになる受任者（delegatee）であるユーザＣのＩＤ ID_CとユーザＣの公開鍵pk_Cとを入力として、再サインクリプション鍵rk_B→Cを出力する確率的アルゴリズム。

・CPRS.Signcrypt(params, ID_A, sk_A, pk_A, ID_B, pk_B, m)→σ_A,B：公開パラメータparamsと暗号化を行うユーザＡのＩＤ ID_AとユーザＡの秘密鍵sk_AとユーザＡの公開鍵pk_Aと復号権限を持つことになるユーザＢのＩＤ ID_BとユーザＢの公開鍵pk_Bと平文mとを入力として、サインクリプションσ_A,Bを出力する確率的アルゴリズム。

・CPRS.ReSigncrypt(params, rk_B→C, σ_A,B)→σ'_A,C：公開パラメータparamsと再サインクリプション鍵rk_B→Cとサインクリプションσ_A,Bとを入力として、再サインクリプションσ'_A,Cを出力する確率的アルゴリズム。なお、再サインクリプションは単に「サインクリプション」と称されてもよい。

・CPRS.DeSigncrypt₁(params, ID_A, pk_A, sk_B, σ_A,B)→m/⊥：公開パラメータparamsと暗号化を行ったユーザＡのＩＤ ID_AとユーザＡの公開鍵pk_Aと復号権限を持つユーザＢの秘密鍵sk_Bとサインクリプションσ_A,Bとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

・CPRS.DeSigncrypt₂(params, ID_A, pk_A, sk_C, σ'_A,C)→m/⊥：公開パラメータparamsと暗号化を行ったユーザＡのＩＤ ID_AとユーザＡの公開鍵pk_Aと復号権限を持つユーザＣの秘密鍵sk_Cと再サインクリプションσ'_A,Cとを入力として、平文m又は失敗を示す⊥のいずれかを出力する確定的アルゴリズム。

ここで、プロキシ再暗号化付き証明書不要サインクリプション方式は、正当性として以下の２つの条件を満たす。

条件１：任意の公開パラメータparamsと任意のＩＤ IDと当該ＩＤ IDに対応する任意の秘密鍵sk_ID及び公開鍵pk_IDと任意のＩＤ ID'と当該ＩＤ ID'に対応する任意の秘密鍵sk_ID'及び公開鍵pk_ID'と任意の平文mとに対して、
CPRS.DeSigncrypt₁(params, ID, pk_ID, sk_ID', CPRS.Signcrypt(params, ID, sk_ID, pk_ID, ID', pk_ID', m))=m
が成り立つ。

条件２：任意の公開パラメータparamsと任意のＩＤ IDと当該ＩＤ IDに対応する任意の秘密鍵sk_ID及び公開鍵pk_IDと任意の２つのＩＤ ID'及びID"とこれらのＩＤにそれぞれ対応する任意の秘密鍵sk_ID'及びsk_ID"並びに公開鍵pk_ID'及びpk_ID"と任意の再サインクリプション鍵rk_ID'→ID"と任意の平文mとに対して、
CPRS.DeSigncrypt₂(params, ID, pk_ID, sk_ID", CPRS.ReSigncrypt(params, rk_ID'→ID", CPRS.Signcrypt(params, ID, sk_ID, pk_ID, ID', pk_ID', m)))=m
が成り立つ。

本実施形態では、（１）ユーザの公開鍵にmodified Schnorr署名を取り入れ、サインクリプション時やデサインクリプション時（つまり、メッセージを暗号化する時や復号する時）に他のユーザが公開鍵の検証を行えるようにプロキシ再暗号化付き証明書不要サインクリプション方式を構成すると共に、（２）サインクリプションそのものは復号権限を持つユーザにしか送信元ユーザの認証ができないため、署名に似た検証要素をサインクリプションの要素に追加し、プロキシ側でも暗号文のフォーマットの正しさを検証できるようにプロキシ再暗号化付き証明書不要サインクリプション方式を構成する。上記の（１）により、正当なユーザによって暗号化された暗号文であること又は暗号文の宛先ユーザ（つまり、復号権限を持つユーザ）の公開鍵が正しいことを保証し、攻撃者によるなりすましを防止することができる。また、上記の（２）により、例えば、非同期型ＩＤ－ＭＫＤシステムの外にいる攻撃者がでたらめな暗号文を送り付けるＤｏＳ攻撃によってユーザ端末１０の処理負荷が増大してしまう事態を防止することができる。

具体的には、本実施形態では、プロキシ再暗号化付き証明書不要サインクリプション方式の各アルゴリズムを以下の実施例１又は実施例２のように構成する。なお、実施例２は実施例１をより効率的に改良した方式である。以降では、Zを整数環として、この整数環の元q∈Zによる剰余環をZ_qと表す。また、その単数群をZ_q ^*と表す。

≪プロキシ再暗号化付き証明書不要サインクリプション方式の構成（実施例１）≫
・CPRS.Setup(1^κ)→(params, msk)
qをκビットの素数として、Gを位数qの乗法群とする。また、g∈Gを生成元とする。x∈Z_q ^*を一様ランダムにとり、y:=g^xとする。Gの元をビット表現した際のサイズ（ビット列の長さ）をLとし、平文空間を{0, 1}^κとする。このとき、ハッシュ関数を以下のように定める。

H : G → Z_q ^*
H₁ : {0, 1}^*×G → Z_q ^*
H₂ : {0, 1}^*×G⁴ → Z_q ^*
H₃ : G → {0, 1}^κ+L
H₄ : {0, 1}^κ+L → Z_q ^*
H₅ : G²×{0, 1}^κ+L×Z_q ^* → Z_q ^*
H₆ : {0, 1}^*×G² → Z_q ^*
H₇ : {0, 1}^*×{0, 1}^κ×{0, 1}^κ+L → Z_q ^*
そして、params:=(q, G, g, y, L, H, H₁, H₂, H₃, H₄, H₅, H₆, H₇)及びmsk:=xと設定する。

・CPRS.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)
一例として、ID=ID_A, ppk_ID=ppk_A, psk_ID=psk_Aである場合について説明する。まず、s_A,1, s_A,2, s_A,3, s_A,4∈Z_q ^*を一様ランダムにとり、

とする。次に、S_A,i:=s_A,i+xH₁(ID_A, Q_A,i) (i=1, 2, 3)とS_A,4:=s_A,4+xH₂(ID_A, Q_A,1, Q_A,2, Q_A,3, Q_A,4)とを計算し、ppk_A:=(Q_A,1, Q_A,2, Q_A,3, Q_A,4, S_A,4)及びpsk_A:=(S_A,1, S_A,2, S_A,3)と設定する。

・CPRS.SetSV(params, ID)→sv_ID
一例として、ID=ID_A, sv_ID=sv_Aである場合について説明する。z_A,1, z_A,2, z_A,3∈Z_q ^*を一様ランダムにとり、sv_A:=(z_A,1, z_A,2, z_A,3)と設定する。

・CPRS.SetSK(params, psk_ID, sv_ID)→sk_ID
一例として、psk_ID=psk_A, sv_ID=sv_A, sk_ID=sk_Aである場合について説明する。sk_A:=(z_A,1, z_A,2, z_A,3, S_A,1, S_A,2, S_A,3)と設定する。

・CPRS.SetPK(params, ppk_ID, sv_ID)→pk_ID
一例として、ppk_ID=ppk_A, sv_ID=sv_A, pk_ID=pk_Aである場合について説明する。まず、

を計算する。次に、t_A,1, t_A,2, t_A,3∈Z_q ^*を一様ランダムにとり、

とμ_A,i:=t_A,i+S_A,iH₆(ID_A, P_A,i, T_A,i) (i=1, 2, 3)を計算する。そして、pk_A:=(P_A,1, P_A,2, P_A,3, Q_A,1, Q_A,2, Q_A,3, Q_A,4, S_A,4, T_A,1, T_A,2, T_A,3, μ_A,1, μ_A,2, μ_A,3)と設定する。このように、本実施形態に係るプロキシ再暗号化付き証明書不要サインクリプション方式では、攻撃者によるなりすましを防止するために、公開鍵に対してmodified Schnorr署名を取り入れる。

・CPRS.RKGen(params, ID_B, sk_B, pk_B, ID_C, pk_C)→rk_B→C
まず、CPRS.PKVerify(params, ID_C, pk_C)を実行し、１が出力されることを確認する。ここで、CPRS.PKVerifyは公開鍵の署名検証を行うためのアルゴリズムであり、検証に成功した場合は１、そうでなければ０を出力する。実施例１におけるCPRS.PKVerifyの詳細については後述する。

次に、CPRS.PKVerifyで１が出力された場合は、

を計算する。次に、h∈Z_q ^*とπ∈{0, 1}^Lとを一様ランダムにとり、v:=H₄(h, π)を計算する。続いて、

を計算する。そして、rk_B→C:=(rk, V, W)と設定する。

・CPRS.Signcrypt(params, ID_A, sk_A, pk_A, ID_B, pk_B, m)→σ_A,B
まず、CPRS.PKVerify(params, ID_B, pk_B)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、

を計算する。次に、u∈Z_q ^*を一様ランダムにとり、U:=g^uとr:=H₄(m, U)とを計算する。続いて、

を計算する。そして、σ_A,B:=(D, E, F, s, t)と設定する。

・CPRS.ReSigncrypt(params, rk_B→C, σ_A,B)→σ'_A,C
まず、

が成り立つことを検証する。そして、この検証に成功した場合は、E':=E^rkを計算し、σ'_A,C:=(E', F, V, W, t)と設定する。このように、本実施形態に係るプロキシ再暗号化付き証明書不要サインクリプション方式では、例えば攻撃者によるＤｏｓ攻撃を防止するために、再サインクリプションを行うプロキシ側でも検証を行う。

・CPRS.DeSigncrypt₁(params, ID_A, pk_A, sk_B, σ_A,B)→m/⊥
まず、CPRS.PKVerify(params, ID_A, pk_A)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、

が成り立つことを検証する。次に、この検証に成功した場合は、K:=z_B,1+z_B,2H(P_B,1)+(S_B,1+S_B,2・H(R_B,1))H(X)を計算する。続いて、

を計算する。そして、

が成り立てばmを出力し、そうでなければ⊥を出力する。

・CPRS.DeSigncrypt₂(params, ID_A, pk_A, sk_C, σ'_A,C)→m/⊥
まず、CPRS.PKVerify(params, ID_A, pk_A)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、K':=z_C,1+S_C,1・H(P_C,1)を計算する。次に、

を計算する。そして、

が成り立てばmを出力し、そうでなければ⊥を出力する。

ここで、公開鍵の署名検証を行うためのアルゴリズムCPRS.PKVerifyについて説明する。このアルゴリズムは、CPRS.PKVerify(params, ID, pk_ID)→1/0であり、公開パラメータparamsと任意のユーザのＩＤ IDと当該ＩＤに対応する公開鍵pk_IDとを入力として、検証成功を示す１又は検証失敗を示す０のいずれかを出力する確定的アルゴリズムである。一例として、ID=ID_A, pk_ID=pk_Aである場合の具体的構成について説明する。まず、

を計算する。そして、

かつ

が成り立てば１を出力し、そうでなければ０を出力する。

≪プロキシ再暗号化付き証明書不要サインクリプション方式の構成（実施例２）≫
・CPRS.Setup(1^κ)→(params, msk)
qをκビットの素数として、Gを位数qの乗法群とする。また、g∈Gを生成元とする。x∈Z_q ^*を一様ランダムにとり、y:=g^xとする。Gの元をビット表現した際のサイズ（ビット列の長さ）をLとし、平文空間を{0, 1}^κとする。このとき、実施例２では、ハッシュ関数を以下のように定める。

H : G → Z_q ^*
H₁ : {0, 1}^*×G⁴ → Z_q ^*
H₂ : {0, 1}^*×G² → Z_q ^*
H₃ : G → {0, 1}^2κ+L
H₄ : {0, 1}^2κ+L → Z_q ^*
H₅ : G²×{0, 1}^2κ+L → Z_q ^*
H₆ : {0, 1}^*×{0, 1}^κ×G → Z_q ^*
そして、params:=(q, G, g, y, L, H, H₁, H₂, H₃, H₄, H₅, H₆)及びmsk:=xと設定する。

・CPRS.PKeyExt(params, msk, ID)→(ppk_ID, psk_ID)
一例として、ID=ID_A, ppk_ID=ppk_A, psk_ID=psk_Aである場合について説明する。まず、S_A,1, S_A,2, S_A,3, s_A,4∈Z_q ^*を一様ランダムにとり、

を計算し、ppk_A:=(R_A,1, R_A,2, R_A,3, Q_A,4, S_A,4)及びpsk_A:=(S_A,1, S_A,2, S_A,3)と設定する。

・CPRS.SetSV(params, ID)→sv_ID
一例として、ID=ID_A, sv_ID=sv_Aである場合について説明する。実施例１と同様に、z_A,1, z_A,2, z_A,3∈Z_q ^*を一様ランダムにとり、sv_A:=(z_A,1, z_A,2, z_A,3)と設定する。

・CPRS.SetSK(params, psk_ID, sv_ID)→sk_ID
一例として、psk_ID=psk_A, sv_ID=sv_A, sk_ID=sk_Aである場合について説明する。実施例１と同様に、sk_A:=(z_A,1, z_A,2, z_A,3, S_A,1, S_A,2, S_A,3)と設定する。

・CPRS.SetPK(params, ppk_ID, sv_ID)→pk_ID
一例として、ppk_ID=ppk_A, sv_ID=sv_A, pk_ID=pk_Aである場合について説明する。まず、実施例１と同様に、P_A,i, t_A,i, T_A,i, μ_A,iを計算する。そして、pk_A:=(P_A,1, P_A,2, P_A,3, R_A,1, R_A,2, R_A,3, Q_A,4, S_A,4, T_A,1, T_A,2, T_A,3, μ_A,1, μ_A,2, μ_A,3)と設定する。

・CPRS.RKGen(params, ID_B, sk_B, pk_B, ID_C, pk_C)→rk_B→C
まず、CPRS.PKVerify(params, ID_C, pk_C)を実行し、１が出力されることを確認する。CPRS.PKVerifyは公開鍵の署名検証を行うためのアルゴリズムであり、検証に成功した場合は１、そうでなければ０を出力する。実施例２におけるCPRS.PKVerifyの詳細については後述する。

次に、CPRS.PKVerifyで１が出力された場合は、

を計算する。次に、h∈Z_q ^*とπ∈{0, 1}^κ+Lとを一様ランダムにとり、v:=H₄(h, π)を計算する。続いて、

を計算する。そして、rk_B→C:=(rk, V, W)と設定する。

・CPRS.Signcrypt(params, ID_A, sk_A, pk_A, ID_B, pk_B, m)→σ_A,B
まず、CPRS.PKVerify(params, ID_B, pk_B)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、

を計算する。次に、u∈Z_q ^*を一様ランダムにとり、U:=g^uとt:=u+(z_A,3+S_A,3)H₆(ID_A, m, U)とr:=H₄(m, U, t)とを計算する。続いて、

を計算する。そして、σ_A,B:=(D, E, F, s)と設定する。

・CPRS.ReSigncrypt(params, rk_B→C, σ_A,B)→σ'_A,C
まず、

が成り立つことを検証する。そして、この検証に成功した場合は、E':=E^rkを計算し、σ'_A,C:=(E', F, V, W,)と設定する。

・CPRS.DeSigncrypt₁(params, ID_A, pk_A, sk_B, σ_A,B)→m/⊥
まず、CPRS.PKVerify(params, ID_A, pk_A)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、

が成り立つことを検証する。次に、この検証に成功した場合は、K_B:=z_B,1+z_B,2H(P_B,1)+(S_B,1+S_B,2H(R_B,1))H(X_B)を計算する。続いて、

を計算する。そして、

が成り立てばmを出力し、そうでなければ⊥を出力する。

・CPRS.DeSigncrypt₂(params, ID_A, pk_A, sk_C, σ'_A,C)→m/⊥
まず、CPRS.PKVerify(params, ID_A, pk_A)を実行し、１が出力されることを確認する。次に、CPRS.PKVerifyで１が出力された場合は、K_C':=z_C,1+S_C,1H(P_C,1)を計算する。次に、

を計算する。そして、

が成り立てばmを出力し、そうでなければ⊥を出力する。

ここで、公開鍵の署名検証を行うためのアルゴリズムCPRS.PKVerifyについて説明する。実施例１と同様に、このアルゴリズムは、CPRS.PKVerify(params, ID, pk_ID)→1/0であり、公開パラメータparamsと任意のユーザのＩＤ IDと当該ＩＤに対応する公開鍵pk_IDとを入力として、検証成功を示す１又は検証失敗を示す０のいずれかを出力する確定的アルゴリズムである。一例として、ID=ID_A, pk_ID=pk_Aである場合の具体的構成について説明する。実施例２では、

かつ

が成り立てば１を出力し、そうでなければ０を出力する。

＜機能構成＞
次に、本実施形態に係る暗号システム１に含まれるユーザ端末１０、サーバ２０及びＫＧＣ３０の機能構成について、図３を参照しながら説明する。図３は、本実施形態に係る暗号システム１の機能構成の一例を示す図である。

≪ユーザ端末１０≫
図３に示すように、ユーザ端末１０は、鍵設定部１１１と、再サインクリプション鍵生成部１１２と、サインクリプション部１１３と、デサインクリプション部１１４とを有する。これら各部は、例えば、ユーザ端末１０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、ユーザ端末１０は、記憶部１２１を有する。記憶部１２１は、例えば、ユーザ端末１０のメモリ装置等を用いて実現可能である。

記憶部１２１には、各種情報（例えば、秘密鍵や公開鍵等）が記憶される。鍵設定部１１１は、CPRS.SetSVアルゴリズムを実行して秘密値を生成した上で、CPRS.SetSKアルゴリズムを実行して秘密鍵を生成及び設定すると共に、CPRS.SetPKアルゴリズムを実行して公開鍵を生成及び設定する。再サインクリプション鍵生成部１１２は、CPRS.RKGenアルゴリズムを実行して再サインクリプション鍵を生成する。サインクリプション部１１３は、CPRS.Signcryptアルゴリズムを実行して暗号文（サインクリプション）を生成する。デサインクリプション部１１４は、CPRS.DeSigncrypt₁アルゴリズム又はCPRS.DeSigncrypt₂アルゴリズムを実行して暗号文（サインクリプション）を復号する。

≪サーバ２０≫
図３に示すように、サーバ２０は、再サインクリプション部２１１を有する。再サインクリプション部２１１は、例えば、サーバ２０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、サーバ２０は、記憶部２２１を有する。記憶部２２１は、例えば、サーバ２０のメモリ装置等を用いて実現可能である。

記憶部２２１には、各種情報（例えば、再サインクリプション鍵等）が記憶される。再サインクリプション部２１１は、CPRS.ReSigncryptアルゴリズムを実行して再サインクリプションを生成する。

≪ＫＧＣ３０≫
図３に示すように、ＫＧＣ３０は、セットアップ部３１１と、鍵生成部３１２とを有する。これら各部は、例えば、ＫＧＣ３０にインストールされた１以上のプログラムがプロセッサに実行させる処理により実現される。

また、ＫＧＣ３０は、記憶部３２１を有する。記憶部３２１は、例えば、ＫＧＣ３０のメモリ装置等を用いて実現可能である。

記憶部３２１には、各種情報（例えば、マスター秘密鍵等）が記憶される。セットアップ部３１１は、CPRS.Setupアルゴリズムを実行して公開パラメータ及びマスター秘密鍵を生成する。鍵生成部３１２は、CPRS.PKeyExtアルゴリズムを実行して各ユーザの部分公開鍵及び部分秘密鍵を生成する。

＜処理の流れ＞
以降では、本実施形態に係る暗号システム１に含まれるユーザ端末１０、サーバ２０及びＫＧＣ３０が実行する各種処理の流れについて説明する。

≪セットアップ処理及び鍵生成処理≫
まず、セットアップ処理及び鍵生成処理の流れについて、図４を参照しながら説明する。図４は、セットアップ処理及び鍵生成処理の一例を示すフローチャートである。

ステップＳ１０１：まず、ＫＧＣ３０のセットアップ部３１１は、セキュリティパラメータ1^κを用いてCPRS.Setupアルゴリズムを実行し、公開パラメータparams及びマスター秘密鍵mskを生成する。なお、公開パラメータparamsは記憶部３２１に保存されると共に公開される。一方で、マスター秘密鍵mskは記憶部３２１に保存される。

ステップＳ１０２：次に、ＫＧＣ３０の鍵生成部３１２は、公開パラメータparamsとマスター秘密鍵mskと各ユーザ（非同期型の多者間鍵交換プロトコルに適用される場合には、いわゆる鍵交換補助サーバも含む）それぞれのＩＤ IDとを用いてCPRS.PKeyExtアルゴリズムを実行し、部分公開鍵ppk_ID及び部分秘密鍵psk_IDを生成する。なお、部分公開鍵ppk_IDは記憶部３２１に保存されると共に公開される。一方で、部分秘密鍵psk_IDは、この部分秘密鍵psk_IDの生成に用いたＩＤに対応するユーザ端末１０等に対してセキュアな方法で送信される。

ステップＳ１０３：各ユーザ端末１０の鍵設定部１１１は、公開パラメータparamsと自身のＩＤ IDとを用いてCPRS.SetSVアルゴリズムを実行し、このＩＤ IDに対応する秘密値sv_IDを生成する。

ステップＳ１０４：次に、各ユーザ端末１０の鍵設定部１１１は、公開パラメータparamsと自身のＩＤに対応する部分秘密鍵psk_ID及び秘密値sv_IDとを用いてCPRS.SetSKアルゴリズムを実行し、このＩＤに対応する秘密鍵sk_IDを生成及び設定する。なお、秘密鍵sk_IDは記憶部１２１に保存される。

ステップＳ１０５：次に、各ユーザ端末１０の鍵設定部１１１は、公開パラメータparamsと自身のＩＤに対応する部分公開鍵ppk_ID及び秘密値sv_IDとを用いてCPRS.SetPKアルゴリズムを実行し、このＩＤに対応する公開鍵pk_IDを生成及び設定する。なお、公開鍵pk_IDは記憶部１２１に保存されると共に公開される。

≪サインクリプション処理≫
次に、サインクリプション処理の流れについて、図５を参照しながら説明する。図５は、サインクリプション処理の一例を示すシーケンス図である。以降では、一例として、復号権限をユーザＢとする暗号文（サインクリプション）をユーザＡが生成し、この暗号文をサーバ２０に保存する場合について説明する。

ステップＳ２０１：まず、ユーザ端末１０Ａのサインクリプション部１１３は、公開パラメータparamsと自身のＩＤ ID_Aと自身のＩＤに対応する秘密鍵sk_Aと自身のＩＤに対応する公開鍵pk_AとユーザＢのＩＤ ID_BとユーザＢのＩＤに対応する公開鍵pk_Bとを用いてCPRS.Signcryptアルゴリズムを実行し、暗号化対象の平文mを暗号化したサインクリプションσ_A,Bを生成する。

ステップＳ２０２：次に、ユーザ端末１０Ａは、サインクリプションσ_A,Bをサーバ２０に送信する。

ステップＳ２０３：そして、サーバ２０は、ユーザ端末１０Ａから受信したサインクリプションσ_A,Bを記憶部２２１に保存する。

≪再サインクリプション処理≫
次に、再サインクリプション処理の流れについて、図６を参照しながら説明する。図６は、再サインクリプション処理の一例を示すシーケンス図である。以降では、一例として、図５のステップＳ２０１で生成されたサインクリプションσ_A,Bの復号権限をユーザＣに委任する場合について説明する。

ステップＳ３０１：まず、ユーザ端末１０Ｂの再サインクリプション鍵生成部１１２は、公開パラメータparamsと自身のＩＤ ID_Bと自身のＩＤに対応する秘密鍵sk_Bと自身のＩＤに対応する公開鍵pk_BとユーザＣのＩＤ ID_CとユーザＣのＩＤに対応する公開鍵pk_Cとを用いてCPRS.RKGenアルゴリズムを実行し、再サインクリプション鍵rk_B→Cを生成する。

ステップＳ３０２：次に、ユーザ端末１０Ｂは、再サインクリプション鍵rk_B→Cをサーバ２０に送信する。

ステップＳ３０３：サーバ２０の再サインクリプション部２１１は、公開パラメータparamsとユーザ端末１０Ｂから受信した再サインクリプション鍵rk_B→Cとサインクリプションσ_A,Bとを用いてCPRS.ReSigncryptアルゴリズムを実行し、再サインクリプションσ'_A,Cを生成する。なお、再サインクリプションσ'_A,Cは記憶部２２１に保存される。

≪デサインクリプション処理≫
次に、デサインクリプション処理の流れについて、図７を参照しながら説明する。図７は、デサインクリプション処理の一例を示すシーケンス図である。以降では、一例として、ユーザＢがサインクリプションσ_A,Bを復号する場合又はユーザＣが再サインクリプションσ'_A,Cを復号する場合について説明する。

ステップＳ４０１：まず、サーバ２０は、サインクリプションσ_A,Bをユーザ端末１０Ｂに送信する、又は、再サインクリプションσ'_A,Cをユーザ端末１０Ｃに送信する。

ステップＳ４０２：ユーザ端末１０Ｂのデサインクリプション部１１４は、公開パラメータparamsとユーザＡのＩＤ ID_AとユーザＡの公開鍵pk_Aと自身のＩＤに対応する秘密鍵sk_Bとを用いてCPRS.DeSigncrypt₁アルゴリズムを実行し、サインクリプションσ_A,Bを復号する。又は、ユーザ端末１０Ｃのデサインクリプション部１１４は、公開パラメータparamsとユーザＡのＩＤ ID_AとユーザＡの公開鍵pk_Aと自身のＩＤに対応する秘密鍵sk_Cとを用いてCPRS.DeSigncrypt₂アルゴリズムを実行し、再サインクリプションσ'_A,Cを復号する。

＜まとめ＞
以上のように、本実施形態に係る暗号システム１は、ユーザの公開鍵にmodified Schnorr署名を取り入れ、サインクリプション時やデサインクリプション時にその検証を行うと共に、プロキシ側（つまり、サーバ２０）でも暗号文のフォーマットの正しさを検証するプロキシ再暗号化付き証明書不要サインクリプション方式を実現する。このため、正当なユーザによって暗号化された暗号文であること又は復号権限を持つユーザの公開鍵が正しいことを保証し、攻撃者によるなりすましを防止することができると共に、例えば、非同期型ＩＤ－ＭＫＤによる多者間鍵交換プロトコルに適用した場合に、システムの外にいる攻撃者がでたらめな暗号文を送り付けるＤｏＳ攻撃によってユーザ端末１０の処理負荷が増大してしまう事態を防止することができる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。

１ 暗号システム
１０ ユーザ端末
２０ サーバ
３０ ＫＧＣ
４０ 通信ネットワーク
１１１ 鍵設定部
１１２ 再サインクリプション鍵生成部
１１３ サインクリプション部
１１４ デサインクリプション部
１２１ 記憶部
２１１ 再サインクリプション部
２２１ 記憶部
３１１ セットアップ部
３１２ 鍵生成部
３２１ 記憶部

Claims (4)

1. 複数のユーザ端末と、鍵生成センタと、サーバとが含まれ、プロキシ再暗号化付き証明書不要サインクリプション方式を実現する暗号システムであって、
   前記複数のユーザ端末の各々は、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式のユーザ公開鍵生成アルゴリズムにより、前記鍵生成センタで生成された部分公開鍵を用いて、自身の署名が含まれるユーザ公開鍵を生成する公開鍵生成手段と、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の部分秘密鍵生成アルゴリズムにより、前記鍵生成センタで生成された部分秘密鍵を用いて、ユーザ秘密鍵を生成する秘密鍵生成手段と、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の暗号化アルゴリズムにより、他のユーザ端末のユーザ公開鍵に含まれる署名の検証を行い、前記検証に成功した場合、前記他のユーザ端末のユーザ公開鍵と自身のユーザ秘密鍵とを用いて、メッセージを暗号化し、前記他のユーザ端末が復号権限を持つ暗号文を生成する暗号化手段と、
   を有し、
   前記サーバは、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の再暗号化アルゴリズムにより、第１のユーザ端末が復号権限を持つ暗号文の復号権限を第２のユーザ端末に委任するための再暗号化鍵と、前記第１のユーザ端末が復号権限を持つ暗号文とを用いて、前記第１のユーザ端末が復号権限を持つ暗号文のフォーマットの正しさの検証を行い、前記検証に成功した場合、復号権限が前記第２のユーザ端末となるように、前記第１のユーザ端末が復号権限を持つ暗号文を再暗号化する再暗号化手段、
   を有し、
   前記復号権限は、前記プロキシ再暗号化付き証明書不要サインクリプション方式の復号アルゴリズムによって復号可能であることを表す権限であり、
   前記公開鍵生成手段は、
   modified Schnorr署名により、前記ユーザ公開鍵に対する前記署名を生成する、ことを特徴とする暗号システム。
2. 前記複数のユーザ端末の各々は、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の再サインクリプション鍵生成アルゴリズムにより、復号権限の委任先となる他のユーザ端末のユーザ公開鍵に含まれる署名の検証を行い、前記検証に成功した場合、自身のユーザ公開鍵と自身のユーザ秘密鍵と前記他のユーザ端末のユーザ公開鍵とを用いて、自身が復号権限を持つ暗号文の復号権限を前記他のユーザ端末に委任するための再暗号化鍵を生成する再暗号化鍵生成手段を有する、ことを特徴とする請求項１に記載の暗号システム。
3. 前記複数のユーザ端末の各々は、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の復号アルゴリズムにより、暗号化を行った他のユーザ端末のユーザ公開鍵に含まれる署名の検証を行い、前記検証に成功した場合、前記他のユーザ端末のユーザ公開鍵と、自身のユーザ秘密鍵とを用いて、前記他のユーザ端末が暗号化を行った暗号文であって、かつ、自身が復号権限を持つ暗号文を復号する復号手段を有する、ことを特徴とする請求項１又は２に記載の暗号システム。
4. 複数のユーザ端末と、鍵生成センタと、サーバとが含まれ、プロキシ再暗号化付き証明書不要サインクリプション方式を実現する暗号システムに用いられる方法であって、
   前記複数のユーザ端末の各々が、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式のユーザ公開鍵生成アルゴリズムにより、前記鍵生成センタで生成された部分公開鍵を用いて、自身の署名が含まれるユーザ公開鍵を生成する公開鍵生成手順と、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の部分秘密鍵生成アルゴリズムにより、前記鍵生成センタで生成された部分秘密鍵を用いて、ユーザ秘密鍵を生成する秘密鍵生成手順と、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の暗号化アルゴリズムにより、他のユーザ端末のユーザ公開鍵に含まれる署名の検証を行い、前記検証に成功した場合、前記他のユーザ端末のユーザ公開鍵と自身のユーザ秘密鍵とを用いて、メッセージを暗号化し、前記他のユーザ端末が復号権限を持つ暗号文を生成する暗号化手順と、
   を実行し、
   前記サーバが、
   前記プロキシ再暗号化付き証明書不要サインクリプション方式の再暗号化アルゴリズムにより、第１のユーザ端末が復号権限を持つ暗号文の復号権限を第２のユーザ端末に委任するための再暗号化鍵と、前記第１のユーザ端末が復号権限を持つ暗号文とを用いて、前記第１のユーザ端末が復号権限を持つ暗号文のフォーマットの正しさの検証を行い、前記検証に成功した場合、復号権限が前記第２のユーザ端末となるように、前記第１のユーザ端末が復号権限を持つ暗号文を再暗号化する再暗号化手順、
   を実行し、
   前記復号権限は、前記プロキシ再暗号化付き証明書不要サインクリプション方式の復号アルゴリズムによって復号可能であることを表す権限であり、
   前記公開鍵生成手順は、
   modified Schnorr署名により、前記ユーザ公開鍵に対する前記署名を生成する、ことを特徴とする方法。

Images