WO2009104260A1 - 検証装置 - Google Patents

検証装置 Download PDF

Info

Publication number
WO2009104260A1
WO2009104260A1 PCT/JP2008/052884 JP2008052884W WO2009104260A1 WO 2009104260 A1 WO2009104260 A1 WO 2009104260A1 JP 2008052884 W JP2008052884 W JP 2008052884W WO 2009104260 A1 WO2009104260 A1 WO 2009104260A1
Authority
WO
WIPO (PCT)
Prior art keywords
integer
unit
verification
input
ciphertext
Prior art date
Application number
PCT/JP2008/052884
Other languages
English (en)
French (fr)
Inventor
克幸 高島
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to EP08720765.0A priority Critical patent/EP2244243B1/en
Priority to PCT/JP2008/052884 priority patent/WO2009104260A1/ja
Priority to CN2008801253575A priority patent/CN101925942B/zh
Priority to JP2009554166A priority patent/JP5079024B2/ja
Priority to US12/809,440 priority patent/US8458479B2/en
Publication of WO2009104260A1 publication Critical patent/WO2009104260A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3252—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using DSA or related signature schemes, e.g. elliptic based signatures, ElGamal or Schnorr schemes

Definitions

  • the present invention relates to a verification device for verifying the integrity of ciphertexts in an encryption system such as a public key encryption system.
  • a cryptographic system that uses a finite group such as a group formed by multiplication of integer remainders and a group formed by points on an elliptic curve.
  • h e ⁇ s (addition of a group operation of a finite group is added based on the elements h and s of the finite group and an integer e in order to verify the integrity of the ciphertext.
  • h s e (when a group operation of a finite group is described in a multiplicative manner).
  • a finite group used in a cryptographic system has a very large order, and it may take a long time for a processing device such as a computer to perform one group operation.
  • the verification device is: A processing device for processing data, an integer dividing unit, a verification value calculating unit, and a verification determining unit;
  • the integer dividing unit inputs the order p of the finite group G and the integer e using the processing device, and based on the input order p and the integer e, e 1 ⁇ e ⁇ e 2 ( calculating an integer e 1 and an integer e 2 satisfying (mod p),
  • the verification determination unit determines that the verification is successful when the element a is a unit element of the finite group G based on the element a calculated by the verification value calculation unit using the processing device.
  • the verification device is:
  • the integer dividing unit uses the processing device to satisfy the condition that the absolute value of the integer e 1 is smaller than the square root of the order p and the integer e 2 is smaller than the square root of the order p.
  • An integer e 1 and an integer e 2 that satisfy the condition are calculated.
  • the verification device further includes a storage device for storing data
  • the integer dividing unit includes a first residue storage unit, a second residue storage unit, an initial value setting unit, a suitability determination unit, a third residue calculation unit, and a divided integer output unit
  • the first remainder storage unit stores the integer v 1 using the storage device
  • the second remainder storage unit stores the integer v 2 using the storage device
  • the initial value setting unit stores the order p as the integer v 1 in the first remainder storage unit and the integer e as the integer v 2 in the second remainder storage unit using the processing device.
  • the suitability determination unit determines that the output condition is satisfied when the integer v 2 stored in the second remainder storage unit is smaller than the square root of the order p using the processing device
  • the third remainder calculation unit uses the processing device and, when the compatibility determination unit does not determine that the output condition is satisfied, the integer v 1 stored in the first residue storage unit and the second residue storage.
  • the remainder obtained by dividing the integer v 1 by the integer v 2 is calculated as an integer v 3
  • the integer v 2 stored by the second remainder storage unit is calculated as the integer v 1 is stored in the first remainder storage unit, and the calculated integer v 3 is stored in the second remainder storage unit as the integer v 2
  • the divided integer output unit outputs the integer v 2 stored in the second remainder storage unit as the integer e 2 when the compatibility determination unit determines that the output condition is satisfied using the processing device. It is characterized by that.
  • the verification device is:
  • the integer dividing unit further includes a first coefficient storage unit, a second coefficient storage unit, a quotient calculation unit, and a third coefficient calculation unit
  • the first coefficient storage unit stores an integer t 1 using the storage device
  • the second coefficient storage unit stores the integer t 2 using the storage device
  • the initial value setting unit further uses the processing device to store 0 as the integer t 1 in the first coefficient storage unit, and store 1 as the integer t 2 in the second coefficient storage unit
  • the quotient calculation unit, using the processing device, the integer v 1 of the first remainder storage unit stores, the second remainder storage unit is based on the integer v 2 stored, the said integer v 1
  • the largest integer not exceeding the quotient divided by the integer v 2 is calculated as the integer q
  • the third coefficient calculation unit uses the processing device and, when the compatibility determination unit does not determine that the output condition is satisfied, the integer t 1 stored by the first coefficient storage unit and the second coefficient storage Based on the integer t 2 stored by the unit and the
  • the verification device is:
  • the verification value calculation unit uses the processing device to calculate ⁇ (n i ⁇ P i ) (where n is a predetermined integer of 2 or more, i is an integer of 0 to k, and k is the integer e 1 .
  • P i is an element of the finite group G
  • P i e 1, sgn ⁇ e 1, i ⁇ he 2, i ⁇ s, e 1, sgn is 1 or ⁇ 1
  • e 1, i and e 2 i are integers of 0 to n ⁇ 1
  • e 1 e 1, sgn ⁇ ⁇ (n i ⁇ e 1, i )
  • e 2 ⁇ (n i ⁇ e 2, i ).
  • the ciphertext decryption apparatus includes: A storage device for storing data, a processing device for processing data, a key storage unit, a ciphertext input unit, a ciphertext verification unit, a verification device, and a decrypted text generation unit,
  • the key storage unit stores a key for decrypting the ciphertext using the storage device
  • the ciphertext input unit inputs ciphertext using the processing device
  • the ciphertext verification unit uses the processing device, and based on the key stored in the key storage unit and the ciphertext input by the ciphertext input unit, the integer e input to the verification device, Calculate the element s of the finite group G and the element h of the finite group G;
  • the verification device inputs the integer e calculated by the ciphertext verification unit, the element s of the finite group G, and the element h of the finite group G, and determines whether the verification is successful
  • the decrypted text generation unit uses the processing device to de
  • the ciphertext decryption apparatus further includes an encryption parameter storage unit, an identification storage unit, an identification source calculation unit, and an identification source storage unit.
  • the encryption parameter storage unit using the storage device, and stores the order p of the finite group G, and a generator g 1 of the finite group G, and the element R of the finite group G
  • the identification storage unit stores a bit string ID for identifying the ciphertext decryption device using the storage device
  • the bit string calculation unit using the processing device, based on the pairing value pairing calculation unit has calculated value alpha, the predetermined hash function H 2 calculates a hash value obtained by hashing the pairing value alpha Te, the bit string H 2 and (alpha), exclusive of the bit string V by the ciphertext input unit inputs, based on the calculated bit string H 2 ( ⁇ ), the bit string V and the bit string between H 2 (alpha)
  • the verification device stores the order p stored by the encryption parameter storage unit as the
  • the ciphertext decryption apparatus includes: The identification source calculation unit calculates the element Q before the ciphertext input unit inputs the ciphertext.
  • the ciphertext decryption apparatus further includes a common key storage unit, an encrypted message input unit, and a message decryption unit,
  • the common key storage unit stores the common key K output by the decrypted text generation unit using the storage device
  • the encrypted message input unit inputs an encrypted message using the processing device
  • the message decryption unit decrypts the encrypted message input by the encrypted message input unit using the common key K stored in the common key storage unit, using the processing device.
  • the ciphertext decryption apparatus further includes an encryption parameter storage unit,
  • the encryption parameter storage unit stores the order p of the finite group G using the storage device,
  • the key storage unit uses the storage device to include an integer w of 1 to p ⁇ 1, an integer x of 1 to p ⁇ 1, an integer y of 1 to p ⁇ 1, and 1 to p ⁇ .
  • the ciphertext input unit inputs the element u of the finite group G, the element u ′ of the finite group G, and the element v of the finite group G as the ciphertext using the processing device
  • the ciphertext verification unit includes a hash value calculation unit and an integer calculation unit,
  • the hash value calculation unit uses the processing device to hash the element u and the element u ′ with a predetermined hash function H based on the element u and the element u ′ input by the ciphertext input unit.
  • the element u and the element u ′ input by the ciphertext input unit as the element h are input, it is determined whether or not the verification is successful, and the first verification result is stored in the encryption parameter storage unit.
  • a number p, an integer t calculated by the integer calculation unit as the integer e, an element u input by the ciphertext input unit as the element s, and an element v input by the ciphertext input unit as the element h Determine whether the verification is successful, and use it as the second verification result
  • the decrypted text generation unit uses the processing device to store the integer z stored by the key storage unit when the verification device determines that the verification is successful in both the first verification result and the second verification result.
  • the ciphertext decryption apparatus further includes a common key storage unit, an encrypted message input unit, and a message decryption unit,
  • the common key storage unit stores the common key K output by the decrypted text generation unit using the storage device
  • the encrypted message input unit inputs an encrypted message using the processing device
  • the message decryption unit decrypts the encrypted message input by the encrypted message input unit using the common key K stored in the common key storage unit, using the processing device.
  • the ciphertext decryption apparatus further includes an encryption parameter storage unit, The encryption parameter storage unit, using the storage device, and the order p of the additive group G 1, and the generator g of the additive group G 1, the original multiplicative group G T to of order the order p remember v 0 ,
  • the key storage unit stores the element d 0 of the additive group G 2 having the order p as the order and the element d 1 of the additive group G 2 using the storage device,
  • the ciphertext input unit using the processing device, the bit string c, the original c 0 of the additive group G 1, the original c 1 of the additive group G 1, and one or more p-1 an integer t
  • the ciphertext verification unit includes a pairing value calculation unit and an integer calculation unit,
  • the pairing value calculation unit uses the processing device to determine a predetermined pairing function e based on the element c0 input by the ciphertext input unit and the element d0 stored by the secret key storage unit.
  • the integer calculating unit uses the processing device to determine a predetermined value based on the element k calculated by the pairing value calculating unit, the bit string c, the element c 0, and the element c 1 input by the ciphertext input unit.
  • the verification device, the additive group G 1 as the finite group G, and order p by the encryption parameter storage unit is stored as the position number p, the integer s the integer calculation unit has calculated as the integer
  • the multiplicative group G T as the finite group G, and order p by the encryption parameter storage unit is stored as the position number p
  • the integer s the integer calculation unit has calculated as the integer e
  • the The element v 0 stored in the encryption parameter storage unit as the element s and the element k calculated by the pairing value calculation unit as the element h are input, and whether or not the verification is successful is determined.
  • the decrypted text generation unit calculates the pairing value calculation unit using the processing device when the verification device determines that both the first verification result and the second verification result are successfully verified.
  • a hash value obtained by hashing the element k with a predetermined hash function H ′ is calculated as a bit string H ′ (k), and the bit string c input by the ciphertext input unit is calculated.
  • a signature verification apparatus includes: A processing device for processing data, a message input unit, a signature input unit, a signature verification unit, a verification device, and a verification result output unit;
  • the message input unit inputs a message using the processing device,
  • the signature input unit inputs a signature for the message input by the message input unit using the processing device,
  • the signature verification unit uses the processing device to input an integer e input to the verification device based on the message input by the message input unit and the signature input by the signature input unit, and the finite group G And the element h of the finite group G is calculated,
  • the verification device inputs the integer e calculated by the signature verification unit, the element s of the finite group G, and the element h of the finite group G, and determines whether the verification is successful
  • the verification result output unit outputs a verification result indicating whether the verification is successful based on a result verified by the verification device using the processing device.
  • the signature verification apparatus further includes a storage device for storing data, an encryption parameter storage unit, and an identification storage unit
  • the encryption parameter storage unit stores the order p of the finite group G, the generator g of the finite group G, and the element X of the finite group G using the storage device
  • the identification storage unit stores a bit string ID for identifying a signature device using the storage device
  • the message input unit inputs the bit string M as the message using the processing device
  • the signature input unit uses the processing device to generate an element R of the finite group G, an element S of the finite group G, an element Y of the finite group G, and an integer z of 1 to p ⁇ 1.
  • the signature verification unit includes an integer calculation unit, a verification source calculation unit, a challenge calculation unit, and a first verification unit,
  • the integer calculation unit uses the processing device to generate the element R and the bit string using a predetermined hash function H based on the element R input by the signature input unit and the bit string ID stored by the identification storage unit.
  • the challenge calculation unit uses the processing device to store the bit string ID stored in the identification storage unit, the element R, element S, and element Y input by the signature input unit, and the bit string M input by the message input unit.
  • the first verification unit uses the processing device to calculate the generator g stored in the cryptographic parameter storage unit, the element S, the element Y, and the integer z input from the signature input unit, and the challenge calculation unit Based on the obtained integer c, the element Y + c ⁇ S obtained by adding the element c ⁇ S obtained by adding the element S to the integer c times and the element Y is obtained as the element z ⁇ g obtained by adding the element g to the integer z times.
  • the verification apparatus stores the order p stored by the encryption parameter storage unit as the order p, the integer h calculated by the integer calculation unit as the integer e, and the encryption parameter storage unit stored as the element s.
  • the verification result output unit uses the processing device to perform the first verification based on the first verification result verified by the first verification unit and the second verification result verified by the verification device. When both the result and the second verification result are determined to be successful, a verification result indicating that the verification is successful is output.
  • the authentication apparatus is A processing device that processes data, a transmitting device that transmits data, a receiving device that receives data, an authentication request receiving unit, a question transmitting unit, an answer receiving unit, a signature verification unit, a verification device, and an authentication A result output unit,
  • the authentication request receiving unit receives an authentication request message using the receiving device,
  • the question transmitter uses the transmitter to transmit a question message as a response to the authentication request message received by the authentication request receiver.
  • the answer receiving unit receives an answer message to the transmitted question message using the receiving device
  • the signature verification unit uses the processing device to input an integer e that is input to the verification device based on the authentication request message received by the authentication request reception unit and the response message received by the response reception unit; Calculating an element s of the finite group G and an element h of the finite group G;
  • the verification device inputs the integer e calculated by the signature verification unit, the element s of the finite group G, and the element h of the finite group G, and determines whether the verification is successful
  • the authentication result output unit outputs an authentication result indicating whether or not the authentication is successful based on a result verified by the verification device using the processing device.
  • the authentication device further includes a storage device for storing data, an encryption parameter storage unit, an identification storage unit, and a challenge generation unit,
  • the encryption parameter storage unit stores the order p of the finite group G, the generator g of the finite group G, and the element X of the finite group G using the storage device
  • the identification storage unit uses the storage device to store a bit string ID that identifies the proving device
  • the authentication request receiving unit receives the element R of the finite group G, the element S of the finite group G, and the element Y of the finite group from the proof device as the authentication request message using the receiving device.
  • the challenge generation unit randomly generates an integer c of 1 or more and p-1 or less using the processing device
  • the question transmission unit transmits the integer c generated by the challenge generation unit as the question message to the certification device using the transmission device
  • the answer receiving unit receives an integer z of 1 or more and p-1 or less as the answer message from the proving apparatus using the receiving apparatus
  • the signature verification unit includes an integer calculation unit, a verification source calculation unit, and a first verification unit,
  • the integer calculation unit uses the processing device to generate the R and the R using a predetermined hash function H based on the element R received by the authentication request receiving unit and the bit string ID stored by the identification storage unit.
  • the first verification unit uses the processing device to generate the source g stored in the encryption parameter storage unit, the source S and the source Y received by the authentication request reception unit, and the integer generated by the challenge generation unit c and the element Y + c ⁇ S obtained by adding the element c ⁇ S obtained by adding the element S to the integer c times and the element Y based on the integer z received by the answer receiving unit It is determined whether or not the element z ⁇ g added by integer z times is equal, and when the element Y + c ⁇ S and the element z ⁇ g are equal, it is determined that the verification is successful, and the first verification result
  • the verification apparatus stores the order p stored by the encryption parameter storage unit as the order p, the integer h calculated by the integer calculation unit as the integer e, and the encryption parameter storage unit stored as the element s.
  • the authentication result output unit uses the processing device to perform the first verification based on the first verification result verified by the first verification unit and the second verification result verified by the verification device. When both the result and the second verification result determine that the verification is successful, an authentication result indicating that the authentication is successful is output.
  • the cryptographic system according to the present invention includes the verification device.
  • the computer program according to the present invention causes a computer having a processing device for processing data to function as the verification device.
  • the verification method according to the present invention is as follows.
  • the processing device inputs the order p of the finite group G and the integer e, and the integer e 1 that satisfies e 1 ⁇ e ⁇ e 2 (mod p) based on the input order p and the integer e.
  • Embodiment 1 FIG. The first embodiment will be described with reference to FIGS.
  • G be a finite group used by the cryptographic system.
  • operations in the finite group G are described additively. This is for convenience of explanation, and does not exclude groups in which group operations are described in a multiplicative manner.
  • the order p of the finite group G is assumed to be a prime number. Therefore, the finite group G is a cyclic group.
  • FIG. 1 is a block configuration diagram showing an example of a functional block configuration of the ciphertext decryption apparatus 200 in this embodiment.
  • the ciphertext decryption apparatus 200 inputs a ciphertext, decrypts the input ciphertext, and generates a decrypted text.
  • the ciphertext decryption apparatus 200 includes a key storage unit 210, a ciphertext input unit 220, a ciphertext verification unit 230, a verification device 100, and a decrypted text generation unit 260.
  • the key storage unit 210 stores a key (secret key) for decrypting the ciphertext.
  • the ciphertext input unit 220 inputs a ciphertext.
  • the ciphertext verification unit 230 is a value necessary for verifying the ciphertext input by the ciphertext input unit 220 based on the key stored by the key storage unit 210 and the ciphertext input by the ciphertext input unit 220. Is calculated.
  • the verification device 100 verifies the ciphertext input by the ciphertext input unit 220 based on the value calculated by the ciphertext verification unit 230.
  • the decrypted text generation unit 260 generates a decrypted text by decrypting the cipher text input by the cipher text input unit 220 with the key stored in the key storage unit 210.
  • An unauthorized person may input a ciphertext into the ciphertext decryption apparatus 200 and analyze the decrypted text generated by the ciphertext decryption apparatus 200 to obtain a clue to decrypt the regular ciphertext. is there.
  • the ciphertext decryption apparatus 200 prevents a fraudulent person from being given a clue to decrypt a legitimate ciphertext by generating the decrypted text only when the verification of the consistency of the ciphertext is successful and the verification is successful.
  • FIG. 2 is a diagram showing an example of the appearance of the ciphertext decryption apparatus 200 in this embodiment.
  • the ciphertext decryption apparatus 200 includes a system unit 910, a display device 901 having a CRT (Cathode / Ray / Tube) or LCD (liquid crystal) display screen, a keyboard 902 (Key / Board: K / B), a mouse 903, an FDD 904 ( (Flexible / Disk / Drive), compact disk device 905 (CDD), printer device 906, scanner device 907, and other hardware resources, which are connected by cables and signal lines.
  • the system unit 910 is a computer, and is connected to the facsimile machine 932 and the telephone 931 with a cable, and is connected to the Internet 940 via a local area network 942 (LAN) and a gateway 941.
  • LAN local area network 942
  • FIG. 3 is a diagram illustrating an example of hardware resources of the ciphertext decryption apparatus 200 according to this embodiment.
  • the ciphertext decryption apparatus 200 includes a CPU 911 (also referred to as a central processing unit, a central processing unit, a processing unit, an arithmetic unit, a microprocessor, a microcomputer, or a processor) that executes a program.
  • the CPU 911 is connected to a ROM 913, a RAM 914, a communication device 915, a display device 901, a keyboard 902, a mouse 903, an FDD 904, a CDD 905, a printer device 906, a scanner device 907, and a magnetic disk device 920 via a bus 912, and these hardware components. Control the device.
  • a storage device such as an optical disk device or a memory card read / write device may be used.
  • the RAM 914 is an example of a volatile memory.
  • the storage media of the ROM 913, the FDD 904, the CDD 905, and the magnetic disk device 920 are an example of a nonvolatile memory. These are examples of a storage device or a storage unit.
  • a communication device 915, a keyboard 902, a scanner device 907, an FDD 904, and the like are examples of an input unit and an input device. Further, the communication device 915, the display device 901, the printer device 906, and the like are examples of an output unit and an output device.
  • the communication device 915 is connected to a facsimile machine 932, a telephone 931, a LAN 942, and the like.
  • the communication device 915 is not limited to the LAN 942, and may be connected to the Internet 940, a WAN (wide area network) such as ISDN, or the like.
  • a WAN wide area network
  • the gateway 941 is unnecessary.
  • the magnetic disk device 920 stores an operating system 921 (OS), a window system 922, a program group 923, and a file group 924.
  • the programs in the program group 923 are executed by the CPU 911, the operating system 921, and the window system 922.
  • the program group 923 stores a program for executing a function described as “unit” in the description of the embodiment described below.
  • the program is read and executed by the CPU 911.
  • the file group 924 includes information, data, signal values, variable values, and parameters that are described as “determination results”, “calculation results of”, and “processing results of” in the description of the embodiments described below.
  • the “ ⁇ file” and “ ⁇ database” are stored in a recording medium such as a disk or a memory.
  • Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 911 via a read / write circuit, and extracted, searched, referenced, compared, Used for CPU operations such as calculation, calculation, processing, output, printing, and display.
  • Information, data, signal values, variable values, and parameters are temporarily stored in the main memory, cache memory, and buffer memory during the CPU operations of extraction, search, reference, comparison, operation, calculation, processing, output, printing, and display. Is remembered.
  • the arrows in the flowcharts described in the following description of the embodiments mainly indicate input / output of data and signals.
  • the data and signal values are the RAM 914 memory, the FDD 904 flexible disk, the CDD 905 compact disk, and the magnetic field.
  • the data is recorded on a recording medium such as a magnetic disk of the disk device 920, another optical disk, a mini disk, or a DVD (Digital Versatile Disk).
  • Data and signals are transmitted online via a bus 912, signal lines, cables, or other transmission media.
  • what is described as “to part” in the following description of the embodiment may be “to circuit”, “to apparatus”, and “to device”, and “to step”, “to” It may be “procedure” or “processing”. That is, what is described as “ ⁇ unit” may be realized by firmware stored in the ROM 913. Alternatively, it may be implemented only by software, or only by hardware such as elements, devices, substrates, and wirings, by a combination of software and hardware, or by a combination of firmware.
  • Firmware and software are stored as programs in a recording medium such as a magnetic disk, a flexible disk, an optical disk, a compact disk, a mini disk, and a DVD.
  • the program is read by the CPU 911 and executed by the CPU 911. In other words, the program causes the computer to function as “ ⁇ unit” described below. Alternatively, it causes the computer to execute the procedures and methods of “to part” described below.
  • FIG. 4 is a block configuration diagram showing an example of the configuration of the internal blocks of the verification apparatus 100 in this embodiment.
  • the verification apparatus 100 includes an integer dividing unit 110, a verification value calculation unit 130, and a verification determination unit 150.
  • the integer dividing unit 110 inputs the order p of the finite group G and the integer e, and calculates two integers e 1 and e 2 .
  • the verification value calculation unit 130 uses the CPU 911 to calculate the element a of the finite group G based on the element s and element h of the finite group G and the integer e 1 and integer e 2 calculated by the integer dividing unit 110. To do.
  • the integer division unit 110 uses the CPU 911 to calculate two integers e 1 and e 2 based on the input order p and integer e.
  • the integer dividing unit 110 calculates an integer e 1 and an integer e 2 that satisfy the conditions of e 1 ⁇ e ⁇ e 2 (mod p),
  • the verification determination unit 150 uses the CPU 911 to describe the element a calculated by the verification value calculation unit 130 in the verification value calculation process S702 as a unit element of the finite group G (hereinafter “O”). ).
  • the process proceeds to the success determination process S704. If it is determined that the element a is not the unit element O, the process proceeds to a failure determination process S705.
  • the verification determination unit 150 determines that the verification is successful using the CPU 911, and ends the verification process.
  • failure determination processing S705 the verification determination unit 150 determines that the charter has failed using the CPU 911, and ends the verification processing.
  • FIG. 6 is a detailed block diagram showing an example of the configuration of the internal blocks of the integer dividing unit 110 in this embodiment.
  • the integer dividing unit 110 calculates an integer e 1 and an integer e 2 that satisfy e 1 ⁇ e ⁇ e 2 (mod p). That is, the integer partitioning unit 110, the remainder obtained by dividing the product of the integer e 1 and integer e in order p is, to be equal to an integer e 2, defining the integer e 1 and integer e 2.
  • the integer dividing unit 110 determines that the absolute value of the integer e 1 and the integer e 2 satisfying e 1 ⁇ e ⁇ e 2 (mod p) is an order p.
  • An integer e 1 smaller than the square root of and an integer e 2 that is an integer of 1 or more smaller than the square root of the order p are selected.
  • the integer dividing unit 110 includes an order input unit 111, an integer input unit 112, an initial value setting unit 113, a first residue storage unit 114, a second residue storage unit 115, a suitability determination unit 116, a third residue calculation unit 117, A first coefficient storage unit 124, a second coefficient storage unit 125, a quotient calculation unit 126, a third coefficient calculation unit 127, and a divided integer output unit 129 are included.
  • the order input unit 111 uses the CPU 911 to input data representing the order p of the finite group G.
  • the order input unit 111 uses the RAM 914 to store data representing the input order p.
  • the integer input unit 112 uses the CPU 911 to input data representing the integer e.
  • the integer input unit 112 uses the RAM 914 to store data representing the input integer e.
  • the first remainder storage unit 114 using the RAM 914, stores data representing the integer v 1.
  • Second remainder storage unit 115 using the RAM 914, stores data representing the integer v 2.
  • the first coefficient storage unit 124 stores data representing the integer t 1 using the RAM 914.
  • the second coefficient storage unit 125 using the RAM 914, stores data representing the integer t 2.
  • the initial value setting unit 113 sets initial values in the first remainder storage unit 114, the second remainder storage unit 115, the first coefficient storage unit 124, and the second coefficient storage unit 125.
  • the initial value setting unit 113 uses the CPU 911 to input data representing the order p stored in the order input unit 111 and data representing the integer e stored in the integer input unit 112.
  • the initial value setting unit 113 using the CPU 911, the data representing the order p input and stored in the first remainder storage unit 114 as data representing the integer v 1.
  • the initial value setting unit 113, using the CPU 911, the data representing the integer e input, is stored in the second remainder storage unit 115 as data representing the integer v 2.
  • the initial value setting unit 113 using the CPU 911, and stores the data representing 0 as the data representing the integer t 1 in the first coefficient storage unit 124.
  • the initial value setting unit 113 using the CPU 911, and stores the data representing 1 as the data representing the integer t 2 the second coefficient storage unit 125.
  • Conformity judging unit 116 using the CPU 911, the data representing the order p of position number input unit 111 and stored by the second remainder storage unit 115 inputs the data representing the integer v 2.
  • the compatibility determination unit 116 uses the CPU 911 to determine whether or not the output condition is satisfied based on the order p and the integer v 2 represented by the input data. Specifically, the suitability determination unit 116 uses the CPU 911 to compare the integer v 2 and the square root of the order p, and when the integer v 2 is smaller than the square root of the order p, the output condition Is determined to be satisfied. Note that the suitability determination unit 116 may use the CPU 911 in advance to calculate the maximum integer that does not exceed the square root of the order p.
  • the suitability determination unit 116 uses the CPU 911 in advance to obtain the number of bits of data representing the order p, and divides the obtained number of bits by 2 (rounds up if not divisible) to obtain the square root bit number. .
  • the number of square root bits represents the number of digits in the binary notation of an integer not exceeding the square root of the order p.
  • Conformity judging unit 116 uses the RAM 914, stores the number of the square root of bits calculated using the CPU 911, calculates the number of bits of the data representing the integer v 2.
  • the compatibility determination unit 116 uses the CPU 911 to compare the calculated number of bits with the stored number of square root bits, and when the number of bits of data representing the integer v 2 is equal to or less than the number of square root bits, the integer v 2 is considered to be smaller than the square root of the order p, and it is determined that the output condition is satisfied.
  • the third residue calculation unit 117 uses the CPU 911 to store data representing the integer v 1 stored in the first residue storage unit 114 and the second residue. Data representing the integer v 2 stored in the storage unit 115 is input. The third remainder calculating unit 117 calculates a remainder obtained by dividing the integer v 1 by the integer v 2 based on the integer v 1 and the integer v 2 represented by the input data, and sets it as the integer v 3 .
  • the quotient calculation unit 126 uses the CPU 911 to store the data representing the integer v 1 stored in the first remainder storage unit 114 and the second remainder. Data representing the integer v 2 stored in the storage unit 115 is input. The quotient calculation unit 126 calculates the maximum integer not exceeding the quotient obtained by dividing the integer v 1 by the integer v 2 based on the integer v 1 and the integer v 2 represented by the input data, and sets it as the integer q. Using the RAM 914, the quotient calculation unit 126 stores data representing the calculated integer q.
  • the third coefficient calculation unit 127 uses the CPU 911 to store data representing the integer t 1 stored in the first coefficient storage unit 124, data representing the integer t 2 stored in the second coefficient storage unit 125, and a quotient calculation unit. Data representing the integer q calculated by 126 is input.
  • the integer v 3 is a remainder obtained by dividing the integer v 1 by the integer v 2 . Further, if v 1 > v 2 > 0, q ⁇ 1, so t 1 ⁇ 0 and t 2 > 0, If t 1 > 0, t 2 ⁇ 0, Therefore, in either case, Therefore,
  • the third remainder calculation unit 117 by using the CPU 911, the data representing the integer v 2 entered, is stored in the first remainder storage unit 114 as data representing the integer v 1.
  • the third remainder calculation unit 117 by using the CPU 911, based on the calculated integer v 3, the data representing the integer v 3, is stored in the second remainder storage unit 115 as data representing the integer v 2.
  • the third coefficient calculation unit 127 by using the CPU 911, the data representing the integer t 2 entered, is stored in the first coefficient storage unit 124 as data representing the integer t 1.
  • the third coefficient calculation unit 127 by using the CPU 911, based on the calculated integer t 3, the data representing the integer t 3, is stored in the second coefficient storage unit 125 as data representing the integer t 2.
  • Equations 1 to 5 also hold between the integer t 1 and the integer t 2 .
  • the divided integer output unit 129 uses the CPU 911 to store the data representing the integer v 2 stored in the second remainder storage unit 115 and the second coefficient storage unit 125. There and the data representing the integer t 2 stored. Dividing the integer output unit 129, using the CPU 911, the data representing the integer t 2 input, and outputs it as data representing the integer e 1. Moreover, dividing the integer output unit 129, using the CPU 911, the data representing the integer v 2 input, and outputs it as data representing the integer e 2.
  • v 2 eventually becomes the greatest common divisor of the order p and the integer e. Since the order p is a prime number, the greatest common divisor of the order p and the integer e is 1. Therefore, 0 ⁇ v 2 ⁇ p is always satisfied, and the divided integer output unit 129 outputs data representing the integer e 1 and the integer e 2 .
  • FIG. 7 is a flowchart showing an example of the flow of integer dividing processing in which the integer dividing unit 110 in this embodiment divides the integer e.
  • the initial value setting unit 113 uses the CPU 911 to set initial values in the first remainder storage unit 114, the second remainder storage unit 115, the first coefficient storage unit 124, and the second coefficient storage unit 125.
  • the first remainder storage unit 114 using the RAM 914, stores the order p of the position number of input unit 111 and input as an integer v 1.
  • Second remainder storage unit 115 using the RAM 914, to store the integer e integer input unit 112 inputs the integer v 2.
  • the first coefficient storage unit 124 stores 0 as the integer t 1 using the RAM 914.
  • the second coefficient storage unit 125 stores 1 as an integer t 2 using the RAM 914.
  • conformity judging step S712 the conformity judging unit 116, using the CPU 911, or an integer v 2 of the second remainder storage unit 115 is stored is smaller than the square root of the order p of the position number of input unit 111 and inputs whether Determine whether. If an integer v 2 is determined to be smaller than the square root of the order p, the process proceeds to divide integer output step S718. If an integer v 2 is determined to be greater than the square root of the order p, the process proceeds to the remainder calculation step S713.
  • the third remainder calculation unit 117 uses the CPU 911 to divide the remainder obtained by dividing the integer v 1 stored in the first remainder storage unit 114 by the integer v 2 stored in the second remainder storage unit 115. Calculate the integer v 3 .
  • the quotient calculation unit 126 uses the CPU 911 to not exceed the quotient obtained by dividing the integer v 1 stored in the first remainder storage unit 114 by the integer v 2 stored in the second remainder storage unit 115.
  • the maximum integer is calculated and set as the integer q.
  • the third coefficient calculation unit 127 uses the CPU 911 to convert the integer t 2 stored in the second coefficient storage unit 125 from the integer t 1 stored in the first coefficient storage unit 124 and the quotient calculation step S714. in calculates the integer obtained by subtracting the product of the integer q quotient calculation unit 126 has calculated, and the integer t 3.
  • the third residue calculation unit 117 updates the first residue storage unit 114 and the second residue storage unit 115 using the CPU 911.
  • the first remainder storage unit 114 uses the RAM 914 to store the integer v 2 stored in the second remainder storage unit 115 as the integer v 1 .
  • Second remainder storage unit 115, using the RAM 914, the third remainder calculation unit 117 in the remainder calculation step S713 is an integer v 3 calculated and stored as an integer v 2.
  • the third coefficient calculation unit 127 uses the CPU 911 to update the first coefficient storage unit 124 and the second coefficient storage unit 125.
  • split integer output step S718 dividing the integer output unit 129, using the CPU 911, the integer t 2 of the second coefficient storage unit 125 is stored, and outputs the integer e 1. Dividing the integer output unit 129, using the CPU 911, the integer v 2 of the second remainder storage unit 115 is stored, and outputs the integer e 2. Thereafter, the integer division process is terminated.
  • the integer e 1 and the integer e 2 output from the divided integer output unit 129 are expressed by the following equation 2.
  • the integer dividing unit 110 uses the extended Euclidean algorithm to obtain integers satisfying e 1 ⁇ e ⁇ e 2 (mod p),
  • the verification value calculation unit 130 includes a divided integer input unit 131, an original input unit 132, an index calculation unit 133, a table generation unit 134, a table storage unit 135, a verification initial value setting unit 141, a multiplication result storage unit 142, and a two-basis addition. Section 143, addition result storage section 144, multiplication section 145, and verification value output section 149.
  • the divided integer input unit 131 uses the CPU 911 to input data representing the integer e 1 and the integer e 2 output from the integer dividing unit 110.
  • the divided integer input unit 131 uses the RAM 914 to store data representing the input integer e 1 and integer e 2 .
  • the element input unit 132 uses the CPU 911 to input data representing elements s and elements h of the finite group G.
  • the original input unit 132 uses the RAM 914 to store data representing the input element s and element h.
  • Index calculating unit 133 using the CPU 911, dividing the integer input unit 131 inputs the data representing the integer e 1 and integer e 2 and stored.
  • the index calculation unit 133 uses the CPU 911 to determine whether the integer e 1 is a positive integer or a negative integer.
  • the index calculation unit 133 uses the RAM 914 to store data representing the determination result. If the CPU 911 determines that the integer e 1 is a negative integer, the index calculation unit 133 inverts the sign of the integer e 1 to make it a positive integer. Based on the absolute value of the integer e 1 calculated by the CPU 911, the index calculation unit 133 uses a set of integers (e 1, i ) (each digit representing the absolute value of the integer e 1 in n-ary notation).
  • i is an integer from 0 to k ⁇ 1, and n is an integer greater than or equal to 2). That is, the index calculation unit 133 uses the CPU 911 to calculate an integer set (e 1, i ) that satisfies the following conditions. Similarly, the index calculation unit 133, using the CPU 911, based on the integer e 2, and calculates the integer which is the digit representing an integer e 2 in n-ary set (e 2, i). That is,
  • the index calculation unit 133 uses the CPU 911 to decompose the data representing the absolute value of the integer e 1 and the integer e 2 for each bit to obtain (e 1, i ), ( e2 , i ).
  • the index calculation unit 133 decomposes the data representing the absolute value of the integer e 1 and the integer e 2 into two bits to obtain (e 1, i ) and (e 2, i ). .
  • the index calculation unit 133 uses the RAM 914 to store data representing the calculated set of integers (e 1, i ) and (e 2, i ).
  • the table generation unit 134 calculates four elements p 0,0 , p 1,0 , p 0,1 , p 1,1 . Note that since the element p 0,0 is always a unit element, the table generation unit 134 may calculate only the other three elements.
  • the table storage unit 135 uses the RAM 914 to store data representing n ⁇ n elements px, y calculated by the table generation unit 134.
  • the multiplication result storage unit 142 uses the RAM 914 to store data representing the element a ′ of the finite group G, which is a value in the middle of calculating the element a of the finite group G.
  • the addition result storage unit 144 uses the RAM 914 to store data representing the element a ′′ of the finite group G, which is a value in the middle of calculating the element a of the finite group G.
  • the verification initial value setting unit 141 causes the multiplication result storage unit 142 to store data representing the unit element of the finite group G as data representing the element a ′.
  • the two-basis addition unit 143 uses the CPU 911 to input the data representing the set of integers (e 1, i ) and (e 2, i ) stored in the index calculation unit 133 one by one from the largest i To do.
  • the two-basis addition unit 143 uses the CPU 911, the two-basis addition unit 143 inputs data representing the element a ′ of the finite group G stored in the multiplication result storage unit 142. Double-base addition unit 143, using the CPU 911, based on a finite group G represented by the input data 'and, based on P i based on the original a' and source the sum of the original P i a '+ P i Is calculated. Using the CPU 911, the two-basis addition unit 143 causes the addition result storage unit 144 to store data representing the calculated element a ′ + P i as data representing the element a ′′.
  • the multiplication unit 145 uses the CPU 911 to input data representing the element a ′′ of the finite group G stored by the addition result storage unit 144.
  • the multiplication unit 145 uses the CPU 911 to input the element represented by the input data.
  • the multiplication unit 145 uses the CPU 911, the multiplication unit 145 causes the multiplication result storage unit 142 to store data representing the calculated element n ⁇ a ′′ as data representing the element a ′.
  • the verification value output unit 149 uses the CPU 911 to add the addition result storage unit.
  • the data representing the element a ′′ of the finite group G stored in 144 is input.
  • the verification value output unit 149 outputs the data representing the element a ′′ input as data representing the element a.
  • FIG. 9 is a flowchart showing an example of the flow of verification value calculation processing in which the verification value calculation unit 130 calculates the element a of the finite group G in this embodiment.
  • the index calculation unit 133 uses the CPU 911 to calculate integers e 1 and sgn based on the integer e 1 input by the divided integer input unit 131.
  • Index calculating unit 133 using the CPU 911, if the integer e 1 is positive, integer e 1, sgn was to 1, if the integer e 2 is negative, integer e 1, sgn to -1.
  • the index calculation unit 133 uses the CPU 911 to calculate k integers e 1, i (where i is an integer from 0 to k ⁇ 1) based on the integer e 1 input by the divided integer input unit 131. calculate.
  • the index calculation unit 133 uses the CPU 911 to calculate a remainder obtained by dividing a maximum integer not exceeding a quotient obtained by dividing the absolute value of the integer e 1 by n to the power of i, and e 1, i and To do.
  • the index calculation unit 133 uses k integers e 2, i (where i is an integer from 0 to k ⁇ 1) based on the integer e 2 input by the divided integer input unit 131 using the CPU 911. ) Is calculated.
  • the index calculation unit 133 by using the CPU 911, the maximum integer not exceeding a quotient obtained by dividing the integer e 2, i square of n by calculating the modulo n, and e 2, i.
  • the table generation unit 134 uses the CPU 911 to convert the elements s and h input by the element input unit 132 and the integers e 1 and sgn calculated by the index calculation unit 133 in the index calculation step S721. Based on this, the element p x, y of n 2 finite groups G (where x and y are integers from 0 to n ⁇ 1) is calculated. Using the CPU 911, the table generation unit 134 calculates an element obtained by subtracting the element obtained by adding the element s y times from the element obtained by adding the element h e e , sgn ⁇ x times , and obtains the element p x, y . . The table storage unit 135 uses the RAM 914 to store n 2 elements px, y calculated by the table generation unit 134.
  • the verification initial value setting unit 141 uses the CPU 911 to initialize the multiplication result storage unit 142.
  • the multiplication result storage unit 142 stores the unit element of the finite group G as the element a ′ using the RAM 914.
  • the two-basis addition unit 143 uses the RAM 914 to store an integer obtained by subtracting 1 from the integer k as the integer j.
  • the two-basis addition unit 143 uses the CPU 911 to obtain the elements p x, y of the n 2 finite groups G stored in the table storage unit 135 based on the acquired integers e 1, i and integers e 2, i.
  • the two-basis addition unit 143 uses the CPU 911 to calculate the element a ′ by performing an operation on the finite group G based on the element a ′ of the finite group G stored in the multiplication result storage unit 142 and the acquired element P i. calculating the original a '+ P i obtained by adding the original P i and.
  • the addition result storage unit 144 stores the element a ′ + P i calculated by the two-basis addition unit 143 as the element a ′′.
  • the two-basis addition unit 143 uses the CPU 911 to calculate an integer j-1 obtained by subtracting 1 from the stored integer j.
  • the two-basis addition unit 143 stores the integer j ⁇ 1 calculated using the RAM 914 as the integer j.
  • the process proceeds to the multiplication step S727.
  • the process proceeds to the verification value output step S728.
  • the multiplication unit 145 uses the CPU 911 to add the element a ′′ n times by the calculation in the finite group G based on the element a ′′ of the finite group G stored in the addition result storage unit 144.
  • the calculated element n ⁇ a ′′ is calculated.
  • the multiplication result storage unit 142 stores the element n ⁇ a ′′ calculated by the multiplication unit 145 as the element a ′. Thereafter, the process returns to the two-basis addition step S725.
  • the verification value output unit 149 uses the CPU 911 to output the element a ′′ of the finite group G stored in the addition result storage unit 144 as the element a. Thereafter, the verification value calculation process ends.
  • the verification value calculation unit 130 calculates the element a using the two-basis scalar multiplication in the additive group (or the two-basis power multiplication in the multiplicative group).
  • T is the time taken to perform one group operation of the finite group G.
  • the time required for other calculations and data acquisition is much shorter than T, and is ignored.
  • the table generation unit 134 performs group operation n-2 times to calculate the element p 0, y (y ⁇ 0,1) and the element p x, 0 (x ⁇ 0,1). n-2 times group operation in order to calculate, based on p x, y (x ⁇ 0 , y ⁇ 0) the group operation for calculating the (n-1) so twice, according to the table generating step S722
  • the time is (n 2 -3) T.
  • the two-base count unit 143 performs a group operation once to calculate the element a ′′.
  • the time required for the two-base count process S725 is KT in all.
  • k ′ be the number of digits when the integer e is expressed in n-ary.
  • the calculation procedure is the same as the verification value calculation process.
  • n elements x ⁇ s (x is an integer not less than 0 and not more than n ⁇ 1) are stored in a table calculated in advance.
  • the time taken to generate the table is (n ⁇ 2) T.
  • the total time required for addition is k′T.
  • e is an integer between 1 and p ⁇ 1
  • k ′ is approximately equal in probability to the number of digits when p is expressed in n-ary.
  • the absolute value of e 1 and e 2 are integers greater than or equal to 1 and less than ⁇ p
  • k is approximately equal in number to the number of digits when ⁇ p is expressed in n-ary
  • k ′ About half.
  • the verification device 100 in this embodiment includes a processing device (CPU 911) that processes data, an integer dividing unit 110, a verification value calculation unit 130, and a verification determination unit 150.
  • the integer dividing unit 110 inputs the order p of the finite group G and the integer e using the processing device (CPU 911), and e 1 ⁇ e based on the input order p and the integer e.
  • An integer e 1 and an integer e 2 satisfying ⁇ e 2 (mod p) are calculated.
  • the verification determination unit 150 uses the processing device (CPU 911) to verify successfully when the element a is a unit element of the finite group G based on the element a calculated by the verification value calculation unit 130. Is determined.
  • the integer dividing unit 110 in this embodiment uses the processing device (CPU 911) to make the absolute value of the integer e 1 smaller than the square root of the order p, and the integer e 2 becomes the order p.
  • An integer e 1 and an integer e 2 satisfying the condition that the value is smaller than the square root of are calculated.
  • the absolute value of the integer e 1 is smaller than the square root of the order p, and satisfies the condition integer e 1 of the integer e 2 is smaller than the square root of the order p Since the integer e 2 and the integer dividing unit 110 calculate, the verification value calculating unit 130 can shorten the time required for the process of calculating the element a.
  • the verification device 100 in this embodiment further includes a storage device (such as a RAM 914 and a magnetic disk device 920) that stores data.
  • the integer dividing unit 110 includes a first residue storage unit 114, a second residue storage unit 115, an initial value setting unit 113, a suitability determination unit 116, a third residue calculation unit 117, and a divided integer output unit 129. And have.
  • the first remainder storage unit 114 using the storage device (RAM 914), and stores the integer v 1.
  • the second remainder storage unit 115 using the storage device (RAM 914), and stores the integer v 2.
  • the initial value setting unit 113 using the processing device (CPU 911), the order p is stored in the first remainder storage unit 114 as the integer v 1, the first and the integer e as the integer v 2 It is stored in the second remainder storage unit 115.
  • the conformity judging unit 116 uses the processing device (CPU 911), determining an integer v 2 of the second remainder storage unit 115 is stored is smaller than the square root of the position number p, satisfying the output condition To do.
  • the third remainder calculation unit 117 uses the integer v 1 stored in the first remainder storage unit 114 when the compatibility determination unit 116 does not determine that the output condition is satisfied using the processing device (CPU 911).
  • the remainder obtained by dividing the integer v 1 by the integer v 2 is calculated as an integer v 3, and the second residue storage unit 115
  • the stored integer v 2 is stored as the integer v 1 in the first remainder storage unit 114
  • the calculated integer v 3 is stored as the integer v 2 in the second residue storage unit 115.
  • the divided integer output unit 129 uses the processing device (CPU 911) to determine the integer v 2 stored in the second remainder storage unit 115 when the compatibility determination unit 116 determines that the output condition is satisfied. and outputs as an integer e 2.
  • ⁇ p, 0 ⁇ e 2 ⁇ p is reduced for a short time. There is an effect that it can be calculated by.
  • the integer dividing unit 110 in this embodiment further includes a first coefficient storage unit 124, a second coefficient storage unit 125, a quotient calculation unit 126, and a third coefficient calculation unit 127.
  • the first coefficient storage unit 124 stores the integer t 1 using the storage device (RAM 914).
  • the second coefficient storage unit 125 using the storage device (RAM 914), and stores the integer t 2.
  • the initial value setting unit 113 further stores 0 as the integer t 1 in the first coefficient storage unit 124 and 1 as the integer t 2 using the processing device (CPU 911).
  • the processing device CPU 911
  • the quotient calculation unit 126 uses the processing device (CPU 911).
  • a maximum integer not exceeding a quotient obtained by dividing the integer v 1 by the integer v 2 is calculated as an integer q.
  • the third coefficient calculation unit 127 uses the processing device (CPU 911) and the integer t 1 stored in the first coefficient storage unit 124 when the compatibility determination unit 116 does not determine that the output condition is satisfied.
  • the product of the integer t 2 and the integer q is subtracted from the integer t 1 based on the integer t 2 stored in the second coefficient storage unit 125 and the integer q calculated by the quotient calculation unit 126.
  • the divided integer output unit 129 further uses the processing device (CPU 911) to store the integer t 2 stored in the second coefficient storage unit 125 when the compatibility determination unit 116 determines that the output condition is satisfied. and outputs as the integer e 1.
  • ⁇ p, 0 ⁇ e 2 ⁇ p is reduced for a short time. There is an effect that it can be calculated by.
  • the verification value calculation unit 130 in this embodiment uses the processing device (CPU 911) to calculate ⁇ (n i ⁇ P i ) (where n is a predetermined integer equal to or greater than 2 and i is an integer equal to or greater than 0 and equal to or less than k.
  • K is the absolute value of the integer e 1 and the maximum value of the number of digits when the integer e 2 is expressed in n-ary notation
  • P i is an element of the finite group G
  • P i e 1, sgn ⁇ e 1, i ⁇ h ⁇ e 2, i ⁇ s , e 1, sgn is 1 or ⁇ 1
  • e 1, i and e 2 i are integers of 0 to n ⁇ 1
  • e 1 e 1, sgn ⁇ ⁇ (n i ⁇ e 1, i )
  • the time taken for the verification value calculation unit 130 to calculate the element a is the number of digits when the absolute value of the integer e 1 and the integer e 2 are expressed in n-ary notation. Since it is proportional to k, the time required to calculate the element a can be shortened.
  • the ciphertext decryption apparatus 200 in this embodiment includes a storage device (such as a RAM 914 and a magnetic disk device 920) that stores data, a processing device (such as a CPU 911) that processes data, a key storage unit 210, and a ciphertext input.
  • a storage device such as a RAM 914 and a magnetic disk device 920
  • a processing device such as a CPU 911
  • a key storage unit 210 ciphertext input.
  • the key storage unit 210 stores a key for decrypting the ciphertext using the storage device.
  • the ciphertext input unit 220 inputs ciphertext using the processing device.
  • the ciphertext verification unit 230 uses the processing device to input an integer to be input to the verification device 100 based on the key stored in the key storage unit 210 and the ciphertext input by the ciphertext input unit 220. e, an element s of the finite group G, and an element h of the finite group G are calculated.
  • the verification apparatus 100 inputs the integer e calculated by the ciphertext verification unit 230, the element s of the finite group G, and the element h of the finite group G, and determines whether the verification is successful.
  • the decrypted text generation unit 260 uses the key stored in the key storage unit 210 to store the ciphertext input by the ciphertext input unit 220. Decrypt to generate a decrypted text.
  • the verification apparatus 100 in this embodiment can be realized by causing a computer to execute a computer program that causes the computer to function as the verification apparatus 100.
  • the verification method in which the verification apparatus 100 according to this embodiment verifies the consistency includes the following steps.
  • the processor (CPU 911) inputs the order p of the finite group G and the integer e, and satisfies e 1 ⁇ e ⁇ e 2 (mod p) based on the input order p and the integer e.
  • An integer e 1 and an integer e 2 are calculated.
  • the processing device (CPU 911) is, the element s of the finite group G, and inputs the element h of the finite group G, based on the element s and element h input, calculated integer e 1 and the integer e 2
  • the processing device (CPU 911) determines that the verification is successful when the element a is a unit element of the finite group G.
  • the ciphertext decryption apparatus 200 described above is a public key encryption / decryption apparatus.
  • the ciphertext decryption apparatus 200 performs exponentiation multiplication in a multiplicative group such as a group formed by integer remainder classes, or scalar multiplication in an additive group such as a group formed by points on a (super) elliptic curve. It is determined whether or not the ciphertext is correct by verifying whether the element s e obtained by multiplying s by e or the element e ⁇ s obtained by adding the element s of the additive group e times matches the known element h. It has a ciphertext validity verification device (verification device 100).
  • the ciphertext validity verification device (verification device 100)
  • a device for dividing the exponent part (integer e); Divided exponents (integer e 1 and integer e 2 ) were used to perform a two-basis exponent power multiplication in a multiplicative group, or a two-basis scalar multiplication in an additive group such as a (hyper) elliptic point group.
  • a device for calculating a value (h e1 -s e2 or e 1 ⁇ he 2 ⁇ s);
  • An apparatus (verification determination unit 150) for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the integer dividing unit 110 described above receives the exponent (integer) e and the group number p of the multiplicative group or additive group used in encryption, and has a bit length that is half the bit length of the group number p. It is a computing device that calculates two integers e 1 and e 2 (where e 1 ⁇ e ⁇ e 2 (mod p)).
  • the integer dividing unit 110 described above divides the exponent part by calculating the extended Euclidean algorithm.
  • the integer dividing unit 110 described above performs the repeated division of two integers. Integer v 2 for the division, and an integer v 1 is divided, respectively, computing device an integer v 2 for the division of the remainder v 3, and before the step of dividing the previous steps (third remainder calculation unit 117) , Certain number of the remainder v 2 of the division result of each step ( ⁇ p) above, and a computing device (conformity judging unit 116) determines that or at a certain number ( ⁇ p) below.
  • the integer dividing unit 110 may calculate the integers e 1 and e 2 by the following procedure, for example.
  • the integer dividing unit 110 uses the CPU 911 to input a positive integer p, an integer e where 1 ⁇ e ⁇ p, and a square root ⁇ p of p.
  • the integer dividing unit 110 uses the RAM 914 to store u 1 ⁇ 1, v 1 ⁇ p, u 2 ⁇ 0, v 2 ⁇ e as initial values.
  • the integer dividing unit 110 uses the CPU 911 to check whether v 2 ⁇ p.
  • the integer dividing unit 110 uses the CPU 911 to perform q ⁇ v 1 / v 2 (rounded down), v 3 ⁇ v 1 mod v 2 , u 3 ⁇ u 1 ⁇ q ⁇ u 2.
  • the process returns to checking whether v 2 ⁇ p. If v 2 > ⁇ p, the same calculation is repeated.
  • the integer dividing unit 110 uses the CPU 911 to calculate e 1 ⁇ (v 2 ⁇ u 2 ⁇ p) / v 1 and set e 2 ⁇ v 2 . Finally, the integer dividing unit 110 outputs e 1 and e 2 using the CPU 911. Even in such a procedure, e 1 ⁇ e ⁇ e 2 (mod p), and the bit lengths of e 1 and e 2 are about half of the bit length of p.
  • Embodiment 2 FIG. The second embodiment will be described with reference to FIGS.
  • FIG. 10 is a system configuration diagram showing an example of the overall configuration of the ID-based public key encryption system 820A in this embodiment.
  • the ID-based public key encryption system 820A is an encryption communication system that uses identification data such as an email address that identifies the ciphertext decryption apparatus 200A as a public key of the ciphertext decryption apparatus 200A. Since there is no need to prove the correspondence between the ciphertext decryption apparatus 200A and the public key, no public key certificate or certificate authority is required.
  • the ID-based public key encryption system 820A includes an encryption parameter setting device 810A, a key generation device 300A, a ciphertext generation device 400A, and a ciphertext decryption device 200A.
  • the encryption parameter setting device 810A determines encryption parameters used in the ID-based public key encryption system 820A.
  • the encryption parameters determined by the encryption parameter setting device 810A are disclosed to users of the ID-based public key encryption system 820A.
  • the cryptographic parameters defining the encryption parameter setting apparatus 810A for example, of order p, an additive group G 1, the original g 1 of the additive group G 1, additive group G 2, the original g 2 of the additive group G 2, the multiplicative group G T , Pairing e, hash function H 1 , hash function H 2 , hash function H 3 , hash function H 4, and the like.
  • the order p is a prime number. Order of the additive group G 1 is is p.
  • the element g 1 is a generator of the additive group G 1 .
  • Order of the additive group G 2 is the same as p and the additive group G 1.
  • the element g 2 is a generator of the additive group G 2 .
  • Order of the multiplicative group G T is the same as p and the additive group G 1 and the additive group G 2.
  • Pairing e is a set of the original source and additive group G 2 of the additive group G 1, a mapping which maps to the original (pairing value) of the multiplicative group G T.
  • the pairing e has a bilinear shape.
  • e (a ⁇ u, b ⁇ v) e (u, v) ab (where u is an element of the additive group G 1 and v is an additive group G 2 Element a and b are integers). Further, based on g 1 and pairing value e (g 1, g 2) of the original g 2 of the additive group G 2 of the additive group G 1 is not a unit of the multiplicative group G T source.
  • the hash function H 1 is a hash function that generates an integer of 1 to p ⁇ 1 from a bit string of an arbitrary length.
  • Hash function H 2 from the original multiplicative group G T, is a hash function that generates a bit string having a predetermined length.
  • the hash function H 3 is a hash function that generates an integer of 1 to p ⁇ 1 from a bit string having a predetermined length.
  • Hash function H 4 from the bit string of predetermined length, a hash function that generates a bit string having a predetermined length.
  • the encryption parameter setting device 810A may not determine these encryption parameters.
  • the encryption parameter setting device 810A generates a secret random number s and a public source R generated based on the secret random number s.
  • the secret random number s generated by the encryption parameter setting device 810A is secretly notified to the key generation device 300A.
  • the disclosure source R generated by the encryption parameter setting device 810A is disclosed to the user of the ID-based public key encryption system 820A.
  • the public source R includes information on the secret random number s, but it is virtually impossible to obtain the secret random number s from the public source R. Therefore, the user of the ID-based public key cryptosystem 820A can use the secret information without knowing the secret information by calculating using the public source R.
  • the key generation device 300A holds the secret random number s notified from the encryption parameter setting device 810A in a secret manner.
  • the key generation device 300A generates the secret key D ID of the ciphertext decryption device 200A based on the disclosed encryption parameter, the disclosed identification data ID of the ciphertext decryption device 200A, and the stored secret random number s. .
  • the secret key D ID generated by the key generation device 300A is secretly notified to the ciphertext decryption device 200A.
  • the ciphertext generation apparatus 400A generates the ciphertext c and the common key K based on the disclosed encryption parameters, the disclosure source R, and the identification data ID of the ciphertext decryption apparatus 200A.
  • the ciphertext generation apparatus 400A encrypts the message M with the generated common key K and generates an encrypted message CM.
  • the ciphertext generation apparatus 400A transmits the generated ciphertext c and the encrypted message CM to the ciphertext decryption apparatus 200A.
  • the ciphertext decryption apparatus 200A holds the secret key D ID generated by the key generation apparatus 300A in a secret key.
  • the ciphertext decryption apparatus 200A receives the ciphertext c and the encrypted message CM transmitted by the ciphertext generation apparatus 400A.
  • the ciphertext decryption apparatus 200A decrypts the received ciphertext c with the stored secret key D ID based on the disclosed encryption parameters, and generates the same common key K as the ciphertext generation apparatus 400A.
  • the ciphertext decryption apparatus 200A decrypts the encrypted message CM using the generated common key K, and generates the same message M ′ as the message M.
  • the appearance and hardware resources of the cipher parameter setting device 810A, the key generation device 300A, the ciphertext generation device 400A, and the ciphertext decryption device 200A are the same as the appearance and hardware resources of the ciphertext decryption device 200 described in the first embodiment. It is the same.
  • FIG. 11 is a block configuration diagram showing an example of the configuration of a part of functional blocks of the encryption parameter setting device 810A in this embodiment.
  • the encryption parameter setting device 810A includes an encryption parameter storage unit 819A, a public source generation unit 811A, a secret random number output unit 814A, and a public source output unit 815A.
  • the encryption parameter storage unit 819A uses the magnetic disk device 920 to store data representing the disclosed encryption parameters.
  • the disclosure source generation unit 811A generates a secret random number s and a disclosure source R based on the encryption parameter stored in the encryption parameter storage unit 819A.
  • the disclosure source generation unit 811A includes a secret random number generation unit 812A and a disclosure source calculation unit 813A.
  • the secret random number generation unit 812A uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 819A. Using the CPU 911, the secret random number generation unit 812A randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number s. Using the RAM 914, the secret random number generation unit 812A stores data representing the generated secret random number s.
  • Public element calculation unit 813A using the CPU 911, the data representing the the additive group G 1 and the original g 1 among the encryption parameters encryption parameter storage unit 819A is stored, the secret random number s by the secret random number generating unit 812A is stored Enter the data to represent.
  • Public element calculation unit 813A using the CPU 911, based on the additive group G 1 represented by the input data based g 1 and the secret random number s, by the operation on the additive group G 1, the original g 1 plus s times The element is calculated and set as the publication source R.
  • the publication source calculation unit 813A stores data representing the calculated publication source R.
  • the secret random number output unit 814A inputs data representing the secret random number s stored by the secret random number generation unit 812A. Using the CPU 911, the secret random number output unit 814A outputs data representing the input secret random number s. The secret random number s output by the secret random number output unit 814A is notified secretly to the key generation device 300A.
  • the publication source output unit 815A inputs data representing the publication source R stored by the publication source calculation unit 813A.
  • the publishing source output unit 815A outputs data representing the input publishing source R.
  • the publisher R output by the publisher output unit 815A is disclosed to the user of the ID-based public key cryptosystem 820A.
  • FIG. 12 is a block configuration diagram showing an example of a functional block configuration of the key generation device 300A in this embodiment.
  • the key generation device 300A includes an encryption parameter storage unit 390A, a secret random number storage unit 330A, an identification input unit 340A, a secret key generation unit 350A, and a secret key output unit 360A.
  • the encryption parameter storage unit 390A uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the secret random number storage unit 330A stores, in a secret manner, data representing the secret random number s notified from the encryption parameter setting device 810A using a tamper-resistant storage device.
  • the identification input unit 340A uses the CPU 911 to input a bit string ID having an arbitrary length, which is identification data for identifying the ciphertext decryption apparatus 200A, for the ciphertext decryption apparatus 200A to generate a secret key.
  • the bit string ID is data representing a character string that is a mail address of the ciphertext decryption apparatus 200A, for example.
  • the identification input unit 340A stores the input bit string ID.
  • the secret key generating unit 350A based on the encryption parameter encryption parameter storage unit 390A is stored, the secret random number s by the secret random number storage unit 330A is stored, and the bit string ID that identifies the input unit 340A inputs the secret key D ID Is generated.
  • the secret key generation unit 350A includes a hash value calculation unit 351A, an integer addition unit 352A, an inverse number calculation unit 353A, and a secret key calculation unit 354A.
  • Hash value calculation unit 351A using the CPU 911, inputs the data representing the hash function H 1 among the encryption parameters encryption parameter storage unit 390A is stored, and a bit string ID that identifies the input unit 340A is stored. Using the CPU 911, the hash value calculation unit 351A obtains a hash value H 1 (ID) obtained by hashing the bit string ID with the hash function H 1 based on the hash function H 1 represented by the input data and the input bit string ID. calculate. The hash value H 1 (ID) is an integer between 1 and p ⁇ 1. Using the RAM 914, the hash value calculation unit 351A stores data representing the calculated hash value H 1 (ID).
  • the integer addition unit 352A uses the CPU 911 to calculate the order p of the encryption parameters stored in the encryption parameter storage unit 390A, the data indicating the secret random number s stored in the secret random number storage unit 330A, and the hash value calculation Data representing hash value H 1 (ID) stored in unit 351A is input.
  • the integer adding unit 352A uses the CPU 911 to add the secret random number s and the hash value H 1 (ID) based on the order p represented by the input data, the secret random number s, and the hash value H 1 (ID).
  • An integer s + H 1 (ID) which is a remainder obtained by dividing by the order p, is calculated.
  • the integer adding unit 352A stores data representing the calculated integer s + H 1 (ID).
  • Reciprocal calculation unit 353A uses CPU 911 to input data representing the order p among the encryption parameters stored by encryption parameter storage unit 390A and data representing integer s + H 1 (ID) stored by integer addition unit 352A. To do.
  • the reciprocal number calculation unit 353A uses the CPU 911 to calculate a remainder obtained by dividing the product of the integer s + H 1 (ID) by the order p based on the order p represented by the input data and the integer s + H 1 (ID). An integer 1 / [s + H 1 (ID)] is calculated.
  • the reciprocal calculation unit 353A stores data representing the calculated integer 1 / [s + H 1 (ID)].
  • the secret key calculation unit 354A using the CPU 911, the encryption parameter storage unit and the data representing the the additive group G 2 and the original g 2 among the encryption parameters 390A and stored by the integer 1 / inverse calculation unit 353A is calculated [s + H 1 (ID)] is input.
  • the secret key calculation unit 354A using the CPU 911, based on the additive group G 2 represented by the input data based g 2 and integer 1 / [s + H 1 ( ID)] and, by the operation on the additive group G 2, the original An element obtained by adding g 2 to 1 / [s + H 1 (ID)] times is calculated and set as a secret key D ID .
  • the secret key calculation unit 354A stores data representing the calculated secret key D ID .
  • the secret key output unit 360A inputs data representing the secret key D ID stored by the secret key calculation unit 354A. Using the CPU 911, the secret key output unit 360A outputs data representing the input secret key D ID . The secret key D ID output by the secret key output unit 360A is secretly notified to the ciphertext decryption apparatus 200A.
  • FIG. 13 is a block configuration diagram illustrating an example of a functional block configuration of the ciphertext generation apparatus 400A according to this embodiment.
  • the ciphertext generation apparatus 400A includes an encryption parameter storage unit 490A, an identification storage unit 410A, a common key generation unit 420A, a common key storage unit 430A, a message input unit 440A, a message encryption unit 450A, an encrypted message output unit 460A, a ciphertext An output unit 470A is provided.
  • the encryption parameter storage unit 490A stores in advance data representing disclosed encryption parameters (including the disclosure source R).
  • the identification storage unit 410A uses the magnetic disk device 920 to store a bit string ID that is identification data of the ciphertext decryption device 200A that is a ciphertext transmission partner.
  • the common key generation unit 420A notifies the ciphertext decryption apparatus 200A of the common key K and the common key K based on the encryption parameter stored in the encryption parameter storage unit 490A and the bit string ID stored in the identification storage unit 410A. To generate a ciphertext.
  • the common key generation unit 420A includes a secret bit string generation unit 421A, a secret integer calculation unit 422A, an identification source calculation unit 423A, an encryption source calculation unit 424A, a secret pairing value calculation unit 425A, an encryption bit string calculation unit 426A, and a common key calculation unit 427A.
  • the secret bit string generation unit 421A uses the CPU 911 to randomly generate a bit string m having a predetermined length. Using the RAM 914, the secret bit string generation unit 421A stores the generated bit string m.
  • the secret integer calculation unit 422A uses the CPU 911, inputs the data representing the hash function H 3 among the encryption parameters encryption parameter storage unit 490A is stored, and a bit string m stored secret bit string generating unit 421A. Using the CPU 911, the secret integer calculation unit 422A calculates a hash value r obtained by hashing the bit string m with the hash function H 3 based on the hash function H 3 represented by the input data and the input bit string m. The hash value r is an integer from 1 to p-1. Using the RAM 914, the secret integer calculation unit 422A stores data representing the calculated hash value r.
  • Identifier element calculation unit 423A using the CPU 911, the data representing the hash function H 1 and the additive group G 1 and the original g 1 and public element R among the encryption parameters encryption parameter storage unit 490A is stored, the identification storage unit The bit string ID stored in 410A is input. Using the CPU 911, the identification source calculation unit 423A obtains a hash value H 1 (ID) obtained by hashing the bit string ID with the hash function H 1 based on the hash function H 1 represented by the input data and the input bit string ID. calculate.
  • the hash value H 1 (ID) is an integer between 1 and p ⁇ 1.
  • Identifier element calculation unit 423A using the CPU 911, the additive group G 1 represented by the input data to the original g 1, based on the calculated hash value H 1 (ID), by the operation on the additive group G 1, the original An element H 1 (ID) ⁇ g 1 obtained by adding g 1 to H 1 (ID) times is calculated.
  • Identifier element calculation unit 423A using the CPU 911, the additive group G 1 represented by the input data and the public element R, based calculated based H 1 (ID) ⁇ g 1 and to, by the operation on the additive group G 1 Then, an element obtained by adding the disclosure source R and the element H 1 (ID) ⁇ g 1 is calculated and set as the element Q.
  • Cipher element calculation unit 424A using the CPU 911, the data representing the additive group G 1 among the encryption parameters encryption parameter storage unit 490A is stored, the data representing the hash value r and stored by the secret integer calculation unit 422A, identification Data representing the element Q stored in the element calculation unit 423A is input. Cipher element calculation unit 424A, using the CPU 911, based on the additive group G 1 represented by the input data and the hash value r and the original Q, by the operation on the additive group G 1, an element which is obtained when the element Q obtained by adding r times Calculate the element U. Using the RAM 914, the encryption element calculation unit 424A stores data representing the calculated element U.
  • the secret pairing value calculation unit 425A using the CPU 911, the data representing the original g 1 and the original g 2 pairing e and the multiplicative group G T among the encryption parameter storage unit encryption parameter 490A is stored, a secret integer Data representing the hash value r stored by the calculation unit 422A is input.
  • the secret pairing value calculation unit 425A using the CPU 911, based on the original g 1 from the original g 2 pairing e represented by the input data, based on g 1 from the original g 2 pairing value e (g 1 , G 2 ). Pairing value e (g 1, g 2) is the original multiplicative group G T.
  • the secret pairing value calculation unit 425A in advance, to calculate a pairing value e (g 1, g 2), by using the magnetic disk device 920, the calculated pairing value e of (g 1, g 2)
  • the data to be represented may be stored.
  • the secret pairing value calculation unit 425A using the CPU 911, the hash value r represented by the input data, based on the calculated pairing value e (g 1, g 2) , by the operation on the multiplicative group G T, An element obtained by multiplying the pairing value e (g 1 , g 2 ) r times is calculated and is defined as element ⁇ .
  • the secret pairing value calculation unit 425A stores data representing the calculated element ⁇ .
  • Cipher bit string calculation unit 426A using the CPU 911, the data representing the hash function H 2 among the encryption parameters encryption parameter storage unit 490A is stored, the bit string m stored secret bit string generating unit 421A, calculates secret pairing value Data representing the element ⁇ stored by the unit 425A is input.
  • the encryption bit string calculation unit 426A uses the CPU 911, the encryption bit string calculation unit 426A calculates a hash value H 2 ( ⁇ ) obtained by hashing the element ⁇ with the hash function H 2 based on the hash function H 2 and the element ⁇ represented by the input data.
  • the hash value H 2 ( ⁇ ) is a bit string having a predetermined length.
  • the encryption bit string calculation unit 426A uses the CPU 911 to exclude each bit between the bit string m and the hash value H 2 ( ⁇ ) based on the input bit string m and the calculated hash value H 2 ( ⁇ ). A logical OR is taken to obtain a bit string V. Using the RAM 914, the encrypted bit string calculation unit 426A stores the calculated bit string V.
  • Common key calculation unit 427A using the CPU 911, inputs the data representing the hash function H 4 among the encryption parameters encryption parameter storage unit 490A is stored, and a bit string m stored secret bit string generating unit 421A. Using the CPU 911, the common key calculation unit 427A calculates a hash value obtained by hashing the bit string m with the hash function H 4 based on the hash function H 4 represented by the input data and the input bit string m. K.
  • the common key K is a bit string having a predetermined length.
  • the common key calculation unit 427A stores the calculated common key K.
  • the common key storage unit 430A uses the CPU 911 to input the common key K stored by the common key calculation unit 427A. Using the RAM 914, the common key storage unit 430A stores the input common key K.
  • the ciphertext output unit 470A uses the CPU 911 to input data representing the element U stored by the encryption source calculation unit 424A and the bit string V stored by the encryption bit string calculation unit 426A. Using the CPU 911, the ciphertext output unit 470A generates data including the input data representing the element U and the bit string V, and outputs the data as ciphertext c.
  • the message input unit 440A uses the CPU 911 to input a message M to be transmitted to the ciphertext decryption apparatus 200A.
  • the message input unit 440A stores the input message M using the magnetic disk device 920.
  • the message encryption unit 450A uses the CPU 911 to input the common key K stored by the common key storage unit 430A and the message M stored by the message input unit 440A. Using the CPU 911, the message encryption unit 450A encrypts the message M with the common key K based on the input message M and the common key K to obtain an encrypted message CM. The message encryption unit 450A uses the magnetic disk device 920 to store the generated encrypted message CM.
  • the encrypted message output unit 460A uses the CPU 911 to input the encrypted message CM stored in the message encryption unit 450A. Using the CPU 911, the encrypted message output unit 460A outputs the input encrypted message CM.
  • the ciphertext c output from the ciphertext output unit 470A and the encrypted message CM output from the encrypted message output unit 460A are transmitted to the ciphertext decryption apparatus 200A.
  • FIG. 14 is a block configuration diagram illustrating an example of a functional block configuration of the ciphertext decryption apparatus 200A according to this embodiment.
  • the ciphertext decryption apparatus 200A includes an encryption parameter storage unit 290A, an identification storage unit 241A, an identification source calculation unit 242A, an identification source storage unit 243A, a key storage unit 210A, a ciphertext input unit 220A, a ciphertext verification unit 230A, and a verification device 100A.
  • the encryption parameter storage unit 290A stores in advance data representing disclosed encryption parameters (including the disclosure source R).
  • the identification storage unit 241A stores a bit string ID for identifying the ciphertext decryption apparatus 200A itself using the magnetic disk device 920.
  • the identification source calculation unit 242A uses the CPU 911 to store data representing the hash function H 1 , the additive group G 1 , the element g 1, and the disclosure source R among the encryption parameters stored in the encryption parameter storage unit 290A, and the identification storage unit
  • the bit string ID stored in 241A is input.
  • the identification source calculation unit 242A obtains a hash value H 1 (ID) obtained by hashing the bit string ID with the hash function H 1 based on the hash function H 1 represented by the input data and the input bit string ID. calculate.
  • the hash value H 1 (ID) is an integer between 1 and p ⁇ 1.
  • Identifier element calculation unit 242A using the CPU 911, the additive group G 1 represented by the input data to the original g 1, based on the calculated hash value H 1 (ID), by the operation on the additive group G 1, the original An element H 1 (ID) ⁇ g 1 obtained by adding g 1 to H 1 (ID) times is calculated.
  • Identifier element calculation unit 242A using the CPU 911, and additive group G 1 represented by the input data and the public element R, based calculated based H 1 (ID) ⁇ g 1 and to, by the operation on the additive group G 1 Then, an element obtained by adding the disclosure source R and the element H 1 (ID) ⁇ g 1 is calculated as element Q.
  • the identification source calculation unit 242A stores data representing the calculated element Q.
  • the identification source storage unit 243A uses the CPU 911 to input data representing the element Q stored by the identification source calculation unit 242A. Using the magnetic disk device 920, the identification source storage unit 243A stores data representing the input source Q.
  • the identification element calculation unit 242A calculates the element Q to identify If the original storage unit 243A stores it, the amount of calculation when the ciphertext c is input can be reduced.
  • the key storage unit 210A stores data representing the secret key D ID previously generated by the key generation device 300A in a secret manner.
  • the ciphertext input unit 220A inputs the ciphertext c received from the ciphertext generation apparatus 400A. Using the CPU 911, the ciphertext input unit 220A acquires data representing the element U and the bit string V from the input ciphertext c. Using the RAM 914, the ciphertext input unit 220A stores data representing the acquired element U and the bit string V.
  • the ciphertext verification unit 230A includes a cipher parameter stored by the cipher parameter storage unit 290A, a secret key D ID stored by the key storage unit 210, an element U and a bit string V represented by the ciphertext c input by the ciphertext input unit 220A. Based on the above, data to be input to the verification device 100A is generated.
  • the ciphertext verification unit 230A includes a pairing value calculation unit 231A, a bit string calculation unit 232A, and an integer calculation unit 233A.
  • the pairing value calculation unit 231A uses the CPU 911 to store the data representing the pairing e among the encryption parameters stored in the encryption parameter storage unit 290A, the data indicating the secret key D ID stored in the key storage unit 210A, and the encryption The data representing the original U stored in the sentence input unit 220 is input.
  • the pairing value calculation unit 231A uses the CPU 911 to perform pairing between the source U and the secret key D ID by the pairing e based on the pairing e, the source U, and the secret key D ID represented by the input data.
  • the value is calculated as a pairing value ⁇ .
  • Pairing value ⁇ is the original multiplicative group G T.
  • the pairing value calculation unit 231A stores data representing the calculated pairing value ⁇ .
  • the pairing value ⁇ calculated by the pairing value calculation unit 231A is based on the bilinearity of the pairing e.
  • the pairing value calculated pairing value calculation unit 231A alpha is equal to the original alpha secret pairing value calculation unit 425A of the ciphertext generating apparatus 400A has been calculated by the multiplicative group G T.
  • Bit string calculation unit 232A using the CPU 911, the data representing the hash function H 2 among the encryption parameters encryption parameter storage unit 290A is stored, the bit string V ciphertext input unit 220 and stored by the pairing value calculation unit 231A And the data representing the pairing value ⁇ stored therein.
  • Bit string calculation unit 232A using the CPU 911, based on the hash function H 2 represented by the input data pairing value alpha and the hash value H 2 obtained by hashing the pairing value alpha by the hash function H 2 and (alpha) calculate.
  • the hash value H 2 ( ⁇ ) is a bit string having a predetermined length.
  • the bit string calculation unit 232A uses the CPU 911 to perform exclusive for each bit between the bit string V and the hash value H 2 ( ⁇ ) based on the input bit string V and the calculated hash value H 2 ( ⁇ ). The logical sum is taken as bit string m. Using the RAM 914, the bit string calculation unit 232A stores the calculated bit string m.
  • pairing value pairing value calculation unit 231A is calculated ⁇ is equal to the original ⁇ of the multiplicative group G T which secret pairing value calculation unit 425A is calculated in the ciphertext generating apparatus 400A
  • the bit string m to the bit string calculation unit 232A calculates Is equal to the bit string m generated by the secret bit string generation unit 421A of the ciphertext generation apparatus 400A.
  • Integer calculation unit 233A using the CPU 911, inputs the data representing the hash function H 3 among the encryption parameters encryption parameter storage unit 290A is stored, and a bit string m to the bit string calculation unit 232A is stored. Integer calculation unit 233A, using the CPU 911, the hash function H 3 represented by the input data, based on the bit string m inputted, calculates a hash value obtained by hashing the bit string m by the hash function H 3, the hash value r And The hash value r is an integer from 1 to p-1. Using the RAM 914, the integer calculation unit 233A stores data representing the calculated hash value r.
  • the verification device 100A is the same device as the verification device 100 described in the first embodiment.
  • the verification apparatus 100A uses the CPU 911, the verification apparatus 100A inputs data representing the order p among the encryption parameters stored by the encryption parameter storage unit 290A as data representing the order p described in the first embodiment.
  • the verification device 100A inputs data representing the hash value r stored by the integer calculation unit 233A as data representing the integer e described in the first embodiment.
  • the verification apparatus 100A inputs data representing the element U stored by the ciphertext input unit 220 as data representing the element h described in the first embodiment.
  • the verification device 100A uses the CPU 911 to determine e 1 ⁇ r ⁇ e 2 (mod p),
  • the verification apparatus 100A uses the CPU 911 to calculate the element of the additive group G 1 by performing an operation on the additive group G 1 based on the element U and element Q represented by the input data and the calculated integer e 1 and integer e 2.
  • Verification apparatus 100A using the CPU 911, based on the calculated element a, the element a is determined whether the identity element of the additive group G 1. Verification apparatus 100A, using the CPU 911, if the element a is an identity element of the additive group G 1, determines "the verification is successful" when the element a is not the identity of the additive group G 1 source, a "verification failure" judge. Using the CPU 911, the verification device 100A outputs data representing the verification result.
  • the decrypted text generation unit 260A uses the CPU 911 to input data representing the verification result output by the verification device 100A.
  • the verification result represented by the input data is “verification success”
  • the decrypted text generation unit 260A generates the common key K using the CPU 911.
  • the verification result is “verification failure”
  • the decrypted text generation unit 260A does not generate the common key K.
  • the decrypted text generation unit 260A may generate a random common key K that does not give a clue to an unauthorized person.
  • the decrypted text generating unit 260A using the CPU 911, the data representing the hash function H 4 among the encryption parameters encryption parameter storage unit 290A is stored bit string calculation unit 232A is stored Input bit string m.
  • the decrypted text generating unit 260A using the CPU 911, the hash function H 4 represented by the input data, based on the bit string m input by the hash function H 4, and calculates a hash value obtained by hashing the bit string m, A common key K is assumed.
  • the common key K is a bit string having a predetermined length.
  • the decrypted text generation unit 260A stores the calculated common key K.
  • the bit string m calculated by the bit string calculation unit 232A is equal to the bit string m generated by the secret bit string generation unit 421A of the ciphertext generation apparatus 400A.
  • the common key K calculated by the decrypted text generation unit 260A is equal to the common key K calculated by the common key calculation unit 427A of the ciphertext generation apparatus 400A. Therefore, the ciphertext generation apparatus 400A and the ciphertext decryption apparatus 200A can share the same common key K.
  • the common key storage unit 270A uses the CPU 911 to input the common key K stored by the decrypted text generation unit 260A. Using the RAM 914, the common key storage unit 270A stores the input common key K.
  • the encrypted message input unit 281A uses the CPU 911 to input the encrypted message CM received from the ciphertext generating apparatus 400A. Using the magnetic disk device 920, the encrypted message input unit 281A stores the input encrypted message CM.
  • the message decryption unit 282A uses the CPU 911 to input the common key K stored by the common key storage unit 270A and the encrypted message CM stored by the encrypted message input unit 281A. Using the CPU 911, the message decryption unit 282A decrypts the input encrypted message CM using the input common key K to generate a message M ′.
  • the message decoding unit 282A stores the generated message M ′ using the magnetic disk device 920. Since the ciphertext generation apparatus 400A and the ciphertext decryption apparatus 200A share the same common key K, the message M ′ generated by the message decryption unit 282A is the message input by the message input unit 440A of the ciphertext generation apparatus 400A. Same as M.
  • the decryption message output unit 283A inputs the message M ′ stored by the message decryption unit 282A. Using the CPU 911, the decrypted message output unit 283A outputs the input message M ′.
  • FIG. 15 is a flowchart showing an example of the flow of ciphertext decryption processing in which the ciphertext decryption apparatus 200A in this embodiment decrypts the ciphertext c.
  • the pairing value calculation unit 231A uses the CPU 911 based on the source U input by the ciphertext input unit 220A and the secret key D ID stored by the key storage unit 210A.
  • a pairing value between the original U and the secret key D ID is calculated from the ring e, and is set as a pairing value ⁇ .
  • bit string calculation step S732A the bit string calculation unit 232A, using the CPU 911, based on the pairing value ⁇ pairing value calculation unit 231A is calculated in the pairing value calculation step S731A, the hash function H 2, pairing value A hash value H 2 ( ⁇ ) obtained by hashing ⁇ is calculated.
  • the bit string calculation unit 232A uses the CPU 911 to determine between the bit string V and the hash value H 2 ( ⁇ ) based on the bit string V input by the ciphertext input unit 220A and the calculated hash value H 2 ( ⁇ ). Of each bit is taken as a bit string m.
  • integer calculation step S733A the integer calculation unit 233A, using the CPU 911, based on the bit string m to the bit string calculation unit in the bit string calculation step S732A 232A is calculated calculated by the hash function H 3, a hash value obtained by hashing the bit string m And a hash value r.
  • decrypted text generating step S735A the decrypted text generating unit 260A, using the CPU 911, based on the bit string m to the bit string calculation unit 232A in the bit string calculation step S732A is calculated by the hash function H 4, the hash value obtained by hashing the bit string m Is calculated as a common key K. Thereafter, the ciphertext decryption process is terminated, and the encrypted message CM is decrypted with the calculated common key K.
  • the ciphertext decryption apparatus 200A needs to verify whether or not the ciphertext is consistent in order not to give a clue to decrypt the cipher to an unauthorized person who intends to decrypt the cipher.
  • the ciphertext decryption apparatus 200A in this embodiment includes a storage device (RAM 914, magnetic disk device 920, etc.) for storing data, a processing device (CPU 911) for processing data, a key storage unit 210A, and a ciphertext input unit. 220A, ciphertext verification unit 230A, verification device 100A, and decrypted text generation unit 260A.
  • the key storage unit 210 stores a key (secret key D ID ) for decrypting the ciphertext using the storage device.
  • the ciphertext input unit 220A inputs the ciphertext c using the processing device (CPU 911).
  • the ciphertext verification unit 230 uses the processing device (CPU 911) and based on the key (secret key D ID ) stored in the key storage unit 210A and the ciphertext c input by the ciphertext input unit 220A. Te, an integer e (hash value r) to be input to the verification devices 100A, and the finite group G (additive group G 1) of the original s (source Q), the element h of the finite group G (additive group G 1) (Original U) is calculated.
  • the verification device 100A includes an integer e (hash value r) calculated by the ciphertext verification unit 230A, an element s (element Q) of the finite group G (additive group G 1 ), and the finite group G (additive group).
  • the element h (element U) of G 1 ) is input to determine whether the verification is successful.
  • the decryption text generation unit 260A uses the processing device (CPU 911) to transmit the ciphertext c input by the ciphertext input unit 220A to the key storage unit 210A.
  • the decrypted text (common key K) is generated by decrypting with the stored key (private key D ID ).
  • the decrypted text generation unit 260A when the verification apparatus 100A verifies the consistency of the ciphertext and determines that the verification is successful, the decrypted text generation unit 260A generates the decrypted text.
  • An illegal ciphertext is input to the decrypting apparatus 200A, and it is possible to prevent a fraudulent person who wants to obtain a clue to decrypt the cipher from the decryption result from giving a clue to decrypt the cipher.
  • the time required for the verification device 100A to verify the integrity of the ciphertext can be shortened, the time required for the entire processing for the ciphertext decryption device 200A to decrypt the ciphertext can be shortened.
  • the ciphertext decryption apparatus 200A in this embodiment further includes an encryption parameter storage unit 290A, an identification storage unit 241A, an identification source calculation unit 242A, and an identification source storage unit 243A.
  • the encryption parameter storage unit 290A using the storage device (magnetic disk drive 920), the order p of the finite group G (additive group G 1), generator of the finite group G (additive group G 1) Store g 1 and element R of the finite group G (additive group G 1 ).
  • the identification storage unit 241A stores a bit string ID for identifying the ciphertext decryption device 200A using the storage device (magnetic disk device 920).
  • the identification source calculation unit 242A uses the processing device to calculate a hash value obtained by hashing the bit string ID with a predetermined hash function H 1 based on the bit string ID stored in the identification storage unit 241A.
  • Hash value H 1 (ID)
  • generator g 1 stored in the encryption parameter storage unit 290A
  • element R stored in the encryption parameter storage unit 290A
  • calculated integer H 1 (ID )
  • the identification source storage unit 243A stores the element Q calculated by the identification source calculation unit 242A using the storage device (magnetic disk device 920).
  • the key storage unit 210A using the storage device, the finite group (additive group) storing original D ID of G 2.
  • the ciphertext input unit 220A inputs the element U of the finite group G (additive group G 1 ) and the bit string V as the ciphertext c using the processing device (CPU 911).
  • the ciphertext verification unit 230A includes a pairing value calculation unit 231A, a bit string calculation unit 232A, and an integer calculation unit 233A.
  • the bit string calculation unit 232A uses the processing device (CPU 911) to hash the pairing value ⁇ using a predetermined hash function H 2 based on the pairing value ⁇ calculated by the pairing value calculation unit 231A.
  • the verification apparatus 100A includes the order p stored in the encryption parameter storage unit 290A, the integer (hash value) r calculated by the integer calculation unit 233A as the integer e, and the identification source storage unit 243A as the element s. Is input as the element Q and the element U input by the ciphertext input unit 220A as the element h to determine whether the verification is successful.
  • the identification source calculation unit 242A in this embodiment calculates the element Q before the ciphertext input unit 220A inputs the ciphertext c.
  • the ciphertext input unit 220A executes the process of calculating the element Q before the ciphertext input unit 220A inputs the ciphertext c. It is possible to further shorten the time taken for the decrypted text generation unit 260A to calculate the common key K after the input of.
  • the ciphertext decryption apparatus 200A in this embodiment further includes a common key storage unit 270A, an encrypted message input unit 281A, and a message decryption unit 282A.
  • the common key storage unit 270A stores the common key K output by the decrypted text generation unit 260A using the storage device (RAM 914).
  • the encrypted message input unit 281A inputs the encrypted message CM using the processing device (CPU 911).
  • the message decryption unit 282A decrypts the encrypted message CM input by the encrypted message input unit 281A using the common key K stored by the common key storage unit 270A using the processing device (CPU 911).
  • the message decryption unit 282A decrypts the encrypted message CM with the common key K shared with the ciphertext generation apparatus 400A via the ciphertext c
  • the encrypted message The CM can be generated / decrypted by using a common key cryptosystem that can be processed at high speed.
  • the encryption system (ID-based public key encryption system 820A) in this embodiment has a verification device 100A.
  • the verification device 100A verifies the integrity of the ciphertext, thereby preventing an unauthorized person from giving a clue to decrypt the encryption. be able to.
  • the time required for the verification apparatus 100A to verify the integrity of the ciphertext can be shortened, the time required for the entire encrypted communication can be shortened.
  • the ciphertext decryption apparatus 200A (public key encryption / decryption apparatus) described above is a key decapsulation apparatus in a public key encryption system (ID-based public key encryption system 820A), and is a multiplicative method such as a group formed by integer remainder classes.
  • multiplication index should in the group, or by scalar multiplication on the additive group such as a point form groups on (super) elliptic curve, the element s of the element s e or additive group which the element s of the multiplicative group is multiplied e times e times It has a ciphertext validity verification device (verification device 100A) that determines whether or not the ciphertext is correct by verifying whether the added element e ⁇ s matches the known element h.
  • verification device 100A ciphertext validity verification device
  • the ciphertext validity verification device (verification device 100A) A device (integer division unit 110) for dividing the exponent part (integer e); Using the divided exponents (integer e 1 and integer e 2 ), perform two-basis exponent power multiplication in the multiplicative group, or two-basis scalar multiplication in the additive group such as a group formed by (hyper) elliptic curve points. A device for calculating the value h e1 -s e2 or e 1 ⁇ he 2 ⁇ s (verification value calculation unit 130), An apparatus (verification determination unit 150) for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ciphertext decryption apparatus 200A described above is an ID-based encryption / decryption apparatus.
  • the ciphertext decryption apparatus 200A (ID-based encryption / decryption apparatus) described above is A pre-calculation device (identification source calculation unit 242A) that calculates in advance a public parameter (source g 1 and public source R) and a value (source Q) calculated from the ID of the receiver (ciphertext decryption device 200A); A storage device (identification source storage unit 243A) for storing the pre-calculated value (source Q); A value (Q r or r ⁇ Q) obtained by multiplying the pre-computed value (element Q) by exponentiation in a multiplicative group or by scalar multiplication in an additive group such as a group formed by (super) elliptic curve points is verified.
  • identity source calculation unit 242A that calculates in advance a public parameter (source g 1 and public source R) and a value (source Q) calculated from the ID of the receiver (ciphertext decryption device 200A)
  • a storage device (identification source storage
  • the verification device 100A A device (integer division unit 110) for dividing the exponent part (hash value r); Using the divided exponents (integer e 1 and integer e 2 ), perform two-basis exponent power multiplication in the multiplicative group, or two-basis scalar multiplication in the additive group such as a group formed by (hyper) elliptic curve points.
  • An apparatus (verification determination unit 150) for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ciphertext decryption apparatus 200A described above is an SK (Sakai-Kasahara) -ID-based encryption / decryption apparatus.
  • the ciphertext decryption apparatus 200A described above is a key decapsulation apparatus (SK-ID base encryption key decapsulation apparatus) in the SK-ID base encryption system (ID base public key encryption system 820A).
  • An apparatus for calculating the value U e1 ⁇ Q ⁇ e2 or e 1 ⁇ Ue 2 ⁇ Q,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • An apparatus for calculating the value U e1 ⁇ Q ⁇ e2 or e 1 ⁇ Ue 2 ⁇ Q,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ID-based public key encryption system 820A described above is an SK-IBKEM encryption system that is an ID-based encryption that uses a pairing operation on a (super) elliptic curve.
  • additive group G 1 of order p is a prime number
  • the additive group G 2 and the multiplicative group G T
  • base points in the group G 1 (generation source) g 1 in the group G 2 A base point g 2 and pairing e are used.
  • the encryption parameter setting device 810A uses the CPU 911 to randomly select an integer s from 1 to p ⁇ 1.
  • the encryption parameter setting device 810A obtains a secret key (secret random number) s for a key generation device 300A (key generation center; PKG: Private Key Generator) and a public key (public source) R for PKG. Output.
  • the key generation device 300A secret key derivation device
  • the ciphertext generation apparatus 400A (encryption apparatus) first generates a random bit string m using the CPU 911.
  • a bit string V XOR (m, H 2 (e (g 1 , g 2 ) r )) is calculated.
  • Embodiment 3 will be described with reference to FIGS. 16 to 20.
  • FIG. 1 is a diagrammatic representation of Embodiment 3
  • FIG. 16 is a system configuration diagram showing an example of the overall configuration of the public key cryptosystem 820B in this embodiment.
  • the ciphertext generation apparatus 400B generates a ciphertext using the public key of the ciphertext decryption apparatus 200B, and the ciphertext decryption apparatus 200B decrypts the ciphertext using a secret key corresponding to the public key.
  • System the public key encryption system 820B
  • the ciphertext generation apparatus 400B generates a ciphertext using the public key of the ciphertext decryption apparatus 200B
  • the ciphertext decryption apparatus 200B decrypts the ciphertext using a secret key corresponding to the public key.
  • the public key encryption system 820B includes an encryption parameter setting device 810B, a key generation device 300B, a ciphertext generation device 400B, and a ciphertext decryption device 200B.
  • the encryption parameter setting device 810B determines encryption parameters used in the public key encryption system 820B.
  • the encryption parameters determined by the encryption parameter setting device 810B are disclosed to users of the public key encryption system 820B.
  • Examples of the encryption parameters defined by the encryption parameter setting device 810B include the order p, the additive group G, the element g of the additive group G, the hash function H, and the key derivation function KDF.
  • the order p is a prime number.
  • the order of the additive group G is p.
  • the element g is a generator of the additive group G.
  • the hash function H is a hash function that generates an integer of 1 to p ⁇ 1 from two original ordered pairs of the additive group G.
  • the key derivation function KDF is a function that generates a bit string having a predetermined length from two original ordered pairs of the additive group G.
  • the encryption parameter setting device 810A is not necessary.
  • the key generation device 300B generates a private key / public key pair based on the disclosed encryption parameters.
  • the secret key generated by the key generation device 300B is secretly notified to the ciphertext decryption device 200B.
  • the public key generated by the key generation device 300B is released as the public key of the ciphertext decryption device 200B, for example, in the form of a public key certificate.
  • the key generation device 300B generates four elements g ′, c, d, h of the additive group G as public keys.
  • the key generation device 300B generates four integers w, x, y, and z that are 1 or more and p-1 or less as secret keys.
  • the key generation device 300B may be a part of the ciphertext decryption device 200B.
  • the ciphertext generation apparatus 400B generates the ciphertext c and the common key K based on the publicly available encryption parameters and public key.
  • the ciphertext generation apparatus 400B encrypts the message M with the generated common key K and generates an encrypted message CM.
  • the ciphertext generation apparatus 400B transmits the generated ciphertext c and the encrypted message CM to the ciphertext decryption apparatus 200B.
  • the ciphertext decryption apparatus 200B holds the secret key generated by the key generation apparatus 300B in a secret key.
  • the ciphertext decryption apparatus 200B receives the ciphertext c and the encrypted message CM transmitted by the ciphertext generation apparatus 400B.
  • the ciphertext decryption apparatus 200B decrypts the ciphertext c received using the stored secret key based on the disclosed encryption parameters, and generates the same common key K as the ciphertext generation apparatus 400B.
  • the ciphertext decryption apparatus 200B decrypts the encrypted message CM using the generated common key, and generates the same message M ′ as the message M.
  • the appearance and hardware resources of the cipher parameter setting device 810B, the key generation device 300B, the ciphertext generation device 400B, and the ciphertext decryption device 200B are the appearance and hardware resources of the ciphertext decryption device 200 described in the first embodiment. It is the same.
  • FIG. 17 is a block configuration diagram showing an example of a functional block configuration of the key generation device 300B in this embodiment.
  • the key generation device 300B includes an encryption parameter storage unit 390B, a secret key generation unit 350B, a public key generation unit 370B, a secret key output unit 360B, and a public key output unit 380B.
  • the encryption parameter storage unit 390B stores in advance data representing the disclosed encryption parameters using the magnetic disk device 920.
  • the secret key generation unit 350B generates a secret key based on the encryption parameter stored in the encryption parameter storage unit 390B.
  • the secret key generation unit 350B has four secret random number generation units 351B to 354B.
  • Each of the four secret random number generation units 351B to 354B uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 390B.
  • Each of the four secret random number generation units 351B to 354B uses the CPU 911 to randomly generate an integer of 1 to p ⁇ 1 based on the order p represented by the input data.
  • the first secret random number generation unit 351B uses the generated integer as an integer w, and stores data representing the generated integer w using the RAM 914.
  • the second secret random number generation unit 352B uses the generated integer as an integer x and stores data representing the generated integer x using the RAM 914.
  • the third secret random number generation unit 353B sets the generated integer to an integer y, and stores data representing the generated integer y using the RAM 914.
  • the fourth secret random number generation unit 354B sets the generated integer to an integer z, and uses the RAM 914 to store data representing the generated integer z.
  • the public key generation unit 370B generates a public key based on the encryption parameter stored by the encryption parameter storage unit 390B and the secret key generated by the secret key generation unit 350B.
  • the public key generation unit 370B has four public source calculation units 371B to 374B.
  • Each of the four public element calculation units 371B to 374B uses the CPU 911 to input data representing the additive group G and the element g among the encryption parameters stored in the encryption parameter storage unit 390B.
  • the first public source calculation unit 371B inputs data representing the integer w stored by the first secret random number generation unit 351B.
  • the first public element calculation unit 371B uses the CPU 911 to calculate the element obtained by adding the element g w times by the calculation in the addition group G based on the addition group G, the element g, and the integer w represented by the input data. Calculate the element g ′.
  • the first public element calculation unit 371B stores data representing the calculated element g ′.
  • the second public source calculation unit 372B uses the CPU 911 to calculate an element obtained by adding the element g x times by the calculation in the addition group G based on the addition group G, the element g, and the integer x represented by the input data. Calculate the element c.
  • the second publication source calculation unit 372B stores data representing the calculated element c.
  • the third public source calculation unit 373B inputs data representing the integer y stored by the third secret random number generation unit 353B.
  • the third public element calculation unit 373B uses the CPU 911 to calculate the element obtained by adding the element g y times by the calculation in the addition group G based on the addition group G, the element g, and the integer y represented by the input data. Calculate the element d.
  • the third public source calculation unit 373B stores data representing the calculated element d.
  • the fourth public source calculation unit 374B inputs data representing the integer z stored by the fourth secret random number generation unit 354B.
  • the fourth public element calculation unit 374B uses the CPU 911 to calculate an element obtained by adding the element g z times by the calculation in the addition group G based on the addition group G, the element g, and the integer z represented by the input data. Calculate the element h.
  • the fourth public element calculation unit 374B uses the RAM 914 to store data representing the calculated element h.
  • the secret key output unit 360B inputs data representing the integer w, the integer x, the integer y, and the integer z stored by the four secret random number generation units 351B to 354B. Using the CPU 911, the secret key output unit 360B outputs the data representing the input integer w, integer x, integer y, and integer z as a secret key. The secret key output from the secret key output unit 360B is secretly notified to the ciphertext decryption apparatus 200B.
  • the public key output unit 380B uses the CPU 911 to input data representing the element g ′, the element c, the element d, and the element h stored by the four disclosure element calculation units 371B to 374B. Using the CPU 911, the public key output unit 380B outputs the input data representing the element g ′, the element c, the element d, and the element h as a public key.
  • the public key output by the public key output unit 380B is disclosed to the user of the public key encryption system 820B as the public key of the ciphertext decryption apparatus 200.
  • FIG. 18 is a block configuration diagram showing an example of a functional block configuration of the ciphertext generation apparatus 400B in this embodiment.
  • the ciphertext generation apparatus 400B includes an encryption parameter storage unit 490B, a public key storage unit 410B, a common key generation unit 420B, a ciphertext output unit 470B, a common key storage unit 430B, a message input unit 440B, a message encryption unit 450B, an encryption It has a message output unit 460B.
  • the encryption parameter storage unit 490B uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the public key storage unit 410B uses the magnetic disk device 920 to store data representing the public key of the ciphertext decryption device 200B that is the ciphertext transmission partner.
  • the common key generation unit 420B notifies the ciphertext decryption apparatus 200B of the common key K and the common key K based on the encryption parameter stored in the encryption parameter storage unit 490B and the public key stored in the public key storage unit 410B. To generate a ciphertext.
  • the common key generation unit 420B includes a secret random number generation unit 421B, a first encryption element calculation unit 422B, a second encryption element calculation unit 423B, a hash value calculation unit 424B, an integer calculation unit 425B, a third encryption element calculation unit 426B, and a secret element.
  • a calculation unit 427B and a common key calculation unit 428B are included.
  • the secret random number generation unit 421B uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 490B. Using the CPU 911, the secret random number generation unit 421B randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number r. Using the RAM 914, the secret random number generation unit 421B stores data representing the generated secret random number r.
  • the first cryptographic element calculation unit 422B uses the CPU 911 to obtain data representing the additive group G and the element g among the cryptographic parameters stored by the cryptographic parameter storage unit 490B, and the secret random number r stored by the secret random number generation unit 421B. Enter the data to represent.
  • the first cryptographic element calculation unit 422B uses the CPU 911 to calculate the element obtained by adding the element g r times by the calculation in the additive group G based on the additive group G, the element g, and the secret random number r represented by the input data. Calculate the element u.
  • the first encryption element calculation unit 422B stores data representing the calculated element u.
  • the second cipher element calculation unit 423B uses the CPU 911 to store the data representing the additive group G among the cipher parameters stored in the cipher parameter storage unit 490B and the public key of the ciphertext decryption apparatus 200B stored in the public key storage unit 410B. Data representing the element g ′ and data representing the secret random number r stored by the secret random number generation unit 421B are input.
  • the second encryption element calculation unit 423B adds the element g ′ r times by calculation in the additive group G based on the additive group G, the element g ′, and the secret random number r represented by the input data. The element is calculated and set as element u ′.
  • the second encryption element calculation unit 423B stores data representing the calculated element u ′.
  • the hash value calculation unit 424B uses data representing the hash function H among the encryption parameters stored in the encryption parameter storage unit 490B, data representing the element u stored in the first encryption element calculation unit 422B, The data representing the element u ′ stored in the second encryption element calculation unit 423B is input.
  • the hash value calculation unit 424B calculates a hash value obtained by hashing the ordered pair of the element u and the element u ′ based on the hash function H represented by the input data, the element u, and the element u ′. And a hash value ⁇ .
  • the hash value ⁇ is an integer between 1 and p ⁇ 1.
  • the hash value calculation unit 424B stores data representing the calculated hash value ⁇ .
  • the integer calculation unit 425B calculates data representing the order p among the encryption parameters stored by the encryption parameter storage unit 490B, data representing the secret random number r stored by the secret random number generation unit 421B, and hash value calculation Data representing the hash value ⁇ calculated by the unit 424B is input.
  • the integer calculation unit 425B divides the product of the hash value ⁇ and the secret random number r by the order p based on the order p represented by the input data, the secret random number r, and the hash value ⁇ . The remainder is calculated and set as an integer r ′.
  • the integer calculation unit 425B stores data representing the calculated integer r ′.
  • the third cipher element calculation unit 426B uses the CPU 911 to store data representing the additive group G among the encryption parameters stored in the encryption parameter storage unit 490B, and the public key of the ciphertext decryption apparatus 200B stored in the public key storage unit 410B.
  • Data representing element c and element d, data representing secret random number r stored by secret random number generation unit 421B, and data representing integer r ′ stored by integer calculation unit 425B are input.
  • the third cipher element calculation unit 426B uses the CPU 911 to calculate the element c based on the addition group G, the element c, the element d, the secret random number r, and the integer r ′ represented by the input data.
  • the common key calculation unit 428B uses the CPU 911 to store data representing the key derivation function KDF among the encryption parameters stored in the encryption parameter storage unit 490B, data representing the element u stored in the first encryption element calculation unit 422B, and the data representing the original h ⁇ the secret element calculation unit 427B is stored.
  • the common key calculation unit 428B calculates a bit string from the ordered pair of the element u and the element h 1 ⁇ with the key derivation function, A common key K is assumed.
  • the common key calculation unit 428B stores the calculated common key K.
  • the common key storage unit 430B uses the CPU 911 to input the common key K stored by the common key calculation unit 428B. Using the RAM 914, the common key storage unit 430B stores the input common key K.
  • the ciphertext output unit 470B uses the CPU 911 to store data representing the element u stored by the first encryption element calculation unit 422B, data representing the element u ′ stored by the second encryption element calculation unit 423B, and the third encryption The data representing the element v stored in the element calculation unit 426B is input. Using the CPU 911, the ciphertext output unit 470B outputs the data representing the input element u, element u ', and element v as ciphertext c.
  • Message input unit 440B uses CPU 911 to input message M to be transmitted to ciphertext decryption apparatus 200B.
  • the message input unit 440B stores the input message M using the magnetic disk device 920.
  • the message encryption unit 450B uses the CPU 911 to input the common key K stored by the common key storage unit 430B and the message M stored by the message input unit 440B. Using the CPU 911, the message encryption unit 450B encrypts the message M with the common key K based on the input message M and the common key K to obtain an encrypted message CM. The message encryption unit 450B uses the magnetic disk device 920 to store the generated encrypted message CM.
  • the encrypted message output unit 460B uses the CPU 911 to input the encrypted message CM stored in the message encryption unit 450B. Using the CPU 911, the encrypted message output unit 460B outputs the input encrypted message CM.
  • the ciphertext c output from the ciphertext output unit 470B and the encrypted message CM output from the encrypted message output unit 460B are transmitted to the ciphertext decryption apparatus 200B.
  • FIG. 19 is a block configuration diagram showing an example of a functional block configuration of the ciphertext decryption apparatus 200B in this embodiment.
  • the ciphertext decryption apparatus 200B includes a cipher parameter storage unit 290B, a key storage unit 210B, a ciphertext input unit 220B, a ciphertext verification unit 230B, a verification device 100B, a decrypted text generation unit 260B, a common key storage unit 270B, and an encrypted message input.
  • Unit 281B, message decoding unit 282B, and decoded message output unit 283B is an encrypted message input.
  • the encryption parameter storage unit 290B uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the key storage unit 210B stores, in a secret manner, data representing a secret key generated in advance by the key generation device 300B using a tamper-resistant storage device.
  • the ciphertext input unit 220B inputs the ciphertext c received from the ciphertext generation apparatus 400B. Using the CPU 911, the ciphertext input unit 220B acquires data representing the element u, element u ', and element v from the input ciphertext c. Using the RAM 914, the ciphertext input unit 220B stores the data representing the acquired element u, element u ', and element v.
  • the ciphertext verification unit 230B includes a hash value calculation unit 231B and an integer calculation unit 232B.
  • the hash value calculation unit 231B uses the CPU 911 to represent the data representing the hash function H among the cryptographic parameters stored in the cryptographic parameter storage unit 290B, and the data representing the elements u and u ′ stored in the ciphertext input unit 220B. Enter.
  • the hash value calculation unit 231B uses the CPU 911 to hash the ordered pair of the element u and the element u ′ with the hash function H based on the hash function H, the element u, and the element u ′ represented by the input data.
  • a hash value is calculated and set as a hash value ⁇ .
  • the hash value ⁇ is an integer between 1 and p ⁇ 1.
  • the hash value calculation unit 231B stores data representing the calculated hash value ⁇ .
  • the hash value ⁇ calculated by the hash value calculation unit 231B is equal to the hash value ⁇ calculated by the hash value calculation unit 424B of the ciphertext generation apparatus 400B.
  • the integer calculation unit 232B represents the data representing the order p among the encryption parameters stored in the encryption parameter storage unit 290B and the integer x and the integer y among the secret keys stored in the key storage unit 210B.
  • the data and the hash value ⁇ stored by the hash value calculation unit 231B are input.
  • the integer calculation unit 232B uses the CPU 911 to calculate the sum of the product of the integer y and the hash value ⁇ and the integer x based on the order p represented by the input data, the integer x, the integer y, and the hash value ⁇ . Is divided by the order p to calculate an integer t.
  • the integer calculation unit 232B stores data representing the calculated integer t.
  • the verification device 100B is the same device as the verification device 100 described in the first embodiment.
  • the verification device 100B uses the order p represented by the input data and the integer w to indicate e 1 ⁇ w ⁇ e 2 (mod p),
  • e 1 and an integer e 2 satisfying ⁇ p are calculated.
  • the verification device 100B determines whether the element a is a unit element of the additive group G based on the calculated element a.
  • the verification apparatus 100B uses the CPU 911 to determine that the first verification is successful when the element a is the unit element of the additive group G, and when the element a is not the unit element of the additive group G, “verification failure”. Is determined.
  • the verification apparatus 100B uses the order p represented by the input data and the integer t to indicate e 1 ⁇ t ⁇ e 2 (mod p),
  • An integer e 1 and an integer e 2 satisfying ⁇ p are calculated.
  • the verification device 100B determines whether the element a is a unit element of the additive group G based on the calculated element a. When the element a is a unit element of the additive group G using the CPU 911, the verification apparatus 100B determines that the second verification is also successful, determines “verification is successful”, and the element a is the additive group G. If it is not a unit element, it is determined as “verification failure”.
  • the verification device 100B outputs data representing the verification result.
  • the decrypted text generation unit 260B generates the common key K when the verification device 100B determines that “verification is successful”.
  • the decrypted text generation unit 260B includes a secret element calculation unit 261B and a common key calculation unit 262B.
  • the secret element calculation unit 261B uses the CPU 911 to store the data representing the additive group G among the cryptographic parameters stored in the cryptographic parameter storage unit 290B, and the key storage Data representing the integer z of the secret key stored in the unit 210B and data representing the element u stored in the ciphertext input unit 220B are input.
  • the secret element calculation unit 261B calculates an element obtained by adding the element u z times by an operation in the addition group G based on the addition group G, the integer z, and the element u represented by the input data.
  • Secret element calculation unit 261B by using the RAM 914, stores data representing the element h ⁇ calculated. If the ciphertext c input by the ciphertext input unit 220A is a valid ciphertext, the element h 1 to be calculated by the secret element calculation unit 261B is calculated by the secret element calculation unit 427B of the ciphertext generation apparatus 400B from Equation 26. Is equal to the element h.
  • the common key calculation unit 262B uses the CPU 911 to store data representing the key derivation function KDF among the encryption parameters stored by the encryption parameter storage unit 290B, data representing the element u stored by the ciphertext input unit 220B, calculator 261B and the data representing the original h ⁇ stored.
  • Common key calculation unit 262B by using the CPU 911, based on the key derivation function KDF to the input data representing the element u original h ⁇ and, by the key derivation function KDF, the ordered pair of the original h ⁇ and element u A bit string is calculated and set as a common key K.
  • the common key calculation unit 262B stores the calculated common key K.
  • the secret element calculation unit 261B is calculated, since the secret element calculation unit 427B of the ciphertext generating apparatus 400B is equal to the original h ⁇ calculated, the common key K calculated by the common key calculation unit 262B is generated ciphertext It is equal to the common key K calculated by the common key calculation unit 428B of the device 400B. Therefore, the ciphertext generation apparatus 400B and the ciphertext decryption apparatus 200B can share the same common key K.
  • the common key storage unit 270B uses the CPU 911 to input the common key K stored by the common key calculation unit 262B. Using the RAM 914, the common key storage unit 270B stores the input common key K.
  • the encrypted message input unit 281B uses the CPU 911 to input the encrypted message CM received from the ciphertext generating apparatus 400B. Using the magnetic disk device 920, the encrypted message input unit 281B stores the input encrypted message CM.
  • the message decryption unit 282B uses the CPU 911 to input the common key K stored by the common key storage unit 270B and the encrypted message CM stored by the encrypted message input unit 281B. Using the CPU 911, the message decryption unit 282B decrypts the input encrypted message CM using the input common key K to generate a message M ′. The message decryption unit 282B uses the magnetic disk device 920 to store the generated message M ′. Since the ciphertext generation apparatus 400B and the ciphertext decryption apparatus 200B share the same common key K, the message M ′ generated by the message decryption unit 282B is the message input by the message input unit 440B of the ciphertext generation apparatus 400B. Same as M.
  • the decrypted message output unit 283B inputs the message M ′ stored by the message decrypting unit 282B. Using the CPU 911, the decrypted message output unit 283B outputs the input message M ′.
  • FIG. 20 is a flowchart showing an example of the flow of the ciphertext decryption process in which the ciphertext decryption apparatus 200A in this embodiment decrypts the ciphertext c.
  • the hash value calculation unit 231B uses the CPU 911 to calculate the element u and the element u ′ using the hash function H based on the element u and the element u ′ input by the ciphertext input unit 220B.
  • a hash value obtained by hashing the ordered pair is calculated as a hash value ⁇ .
  • the integer calculation unit 232B uses the CPU 911 to store the order p stored in the encryption parameter storage unit 290B, the integer x and integer y stored in the key storage unit 210B, and the hash value calculation step S731B. Based on the hash value ⁇ calculated by the hash value calculation unit 231B, a remainder obtained by dividing the sum of the product of the integer y and the hash value ⁇ and the integer x by the order p is calculated as an integer t. .
  • u ′ w ⁇ u
  • the process proceeds to the second verification step S734B. If u ′ ⁇ w ⁇ u, the ciphertext decryption process is terminated.
  • the secret element calculation unit 261B uses the CPU 911 to calculate in the additive group G based on the integer z stored in the key storage unit 210B and the element u input in the ciphertext input unit 220B. by, by calculating the original that the original u plus z times, to the original h ⁇ .
  • the common key calculation unit 262B uses the CPU 911 to convert the element u input by the ciphertext input unit 220B and the elements h 1 to 4 calculated by the secret element calculation unit 261B in the secret element calculation step S735B. based on, by the key derivation function KDF, and calculates a bit string from an ordered pair of the original h ⁇ the original u, and shared key K. Thereafter, the ciphertext decryption process is terminated, and the encrypted message CM is decrypted with the calculated common key K.
  • the ciphertext decryption apparatus 200B in this embodiment further includes an encryption parameter storage unit 290B.
  • the encryption parameter storage unit 290B stores the order p of the finite group (additive group) G using the storage device (magnetic disk device 920).
  • the key storage unit 210B uses an integer w of 1 to p ⁇ 1, an integer x of 1 to p ⁇ 1, an integer y of 1 to p ⁇ 1, and 1 to p.
  • the ciphertext input unit 220B uses the processing device (CPU 911) to generate an element u of the finite group (additive group) G, an element u ′ of the finite group (additive group) G, and the finite group (additive). Group)
  • the element v of G is input as the ciphertext c.
  • the ciphertext verification unit 230B includes a hash value calculation unit 231B and an integer calculation unit 232B.
  • the hash value calculation unit 231B uses the processing device (CPU 911) to generate the element u and the element by using a predetermined hash function H based on the element u and the element u ′ input by the ciphertext input unit 220B.
  • the verification apparatus 100B includes the order p stored in the encryption parameter storage unit 290B, the integer w stored in the key storage unit 210B as the integer e, and the element input by the ciphertext input unit 220B as the element s. u and the element u ′ input by the ciphertext input unit 220B as the element h are input, whether or not the verification is successful is determined, and the first verification result is stored by the encryption parameter storage unit 290B.
  • the order p, the integer t calculated by the integer calculation unit 232B as the integer e, the element u input by the ciphertext input unit 220B as the element s, and the ciphertext input unit 220B input as the element h Is input as a second verification result.
  • the ciphertext decryption apparatus 200B in this embodiment further includes a common key storage unit 270B, an encrypted message input unit 281B, and a message decryption unit 282B.
  • the common key storage unit 270B stores the common key K output from the decrypted text generation unit 260B using the storage device (RAM 914).
  • the encrypted message input unit 281B inputs the encrypted message CM using the processing device (CPU 911).
  • the message decryption unit 282B decrypts the encrypted message CM input by the encrypted message input unit 281B using the common key K stored by the common key storage unit 270B using the processing device (CPU 911).
  • the message decryption unit 282B decrypts the encrypted message CM using the common key K shared with the ciphertext generation apparatus 400B via the ciphertext c
  • the encrypted message The CM can be generated / decrypted by using a common key cryptosystem that can be processed at high speed.
  • the ciphertext decryption apparatus 200B public key cipher decryption apparatus described above is between the elements u and u ′ of the multiplicative group or additive group that are part of the ciphertext and the integer w that is part of the secret key.
  • a device for dividing the exponent part (integer w); Using the divided exponents (integer e 1 and integer e 2 ), perform two-basis exponent power multiplication in the multiplicative group, or two-basis scalar multiplication in the additive group such as a group formed by (hyper) elliptic curve points.
  • An apparatus for calculating the value u ′ e1 ⁇ u ⁇ e2 or e 1 ⁇ u′ ⁇ e 2 ⁇ u,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ciphertext decryption apparatus 200B public key decryption apparatus
  • the ciphertext decryption apparatus 200B includes an exponent (integer) t calculated based on the hash value ⁇ calculated from a part of the ciphertext (element u and element u ′), and ciphertext
  • exponent t calculated based on the hash value ⁇ calculated from a part of the ciphertext (element u and element u ′), and ciphertext
  • An apparatus for calculating the value v e1 ⁇ u ⁇ e2 or e 1 ⁇ ve 2 ⁇ u,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the public key cryptosystem 820B described above is a key encapsulation ACE-KEM cryptosystem standardized based on the Cramer-Shoup public key cryptosystem.
  • the public key cryptosystem 820B uses a group (additive group) G of prime order p and a base point (generator) g in the group G.
  • the key generation device 300B randomly selects an integer w, an integer x, an integer y, and an integer z that are 0 or more and p ⁇ 1 or less.
  • the key generation device 300B outputs a public key (g ′, c, d, h) and a secret key (w, x, y, z).
  • the ciphertext generation apparatus 400B (encryption apparatus) inputs the public key (g ′, c, d, h).
  • An integer r ′ ⁇ ⁇ r mod p is calculated.
  • the integer dividing unit 110 uses the CPU 911 to input w and p, calculates integers e 1 and e 2 that become e 1 ⁇ w ⁇ e 2 (mod p), and the verification value
  • the integer dividing unit 110 inputs t and p using the CPU 911 to calculate integers e 1 and e 2 that become e 1 ⁇ t ⁇ e 2 (mod p), and the verification value calculating unit 130.
  • Embodiment 4 will be described with reference to FIGS. 21 to 27.
  • FIG. 1 is a diagrammatic representation of Embodiment 4
  • FIG. 21 is a system configuration diagram showing an example of the overall configuration of the ID-based public key encryption system 820C in this embodiment. Similar to the ID-based public key encryption system 820A described in the second embodiment, the ID-based public key encryption system 820C is an encryption that uses identification data for identifying the ciphertext decryption apparatus 200C as a public key of the ciphertext decryption apparatus 200C. It is a communication system.
  • the ID-based public key encryption system 820C includes an encryption parameter setting device 810C, a key generation device 300C, a ciphertext generation device 400C, and a ciphertext decryption device 200C.
  • the encryption parameter setting device 810C determines encryption parameters used in the ID-based public key encryption system 820C.
  • Cryptographic parameters determined by the cryptographic parameter setting device 810C are disclosed to users of the ID-based public key cryptographic system 820C.
  • the encryption parameters determined by the encryption parameter setting device 810C include, for example, the order p, the additive group G, the element g of the additive group G, the additive group G ′, the element g ′ of the additive group G ′, the multiplicative group G t , and pairing e, hash function H, hash function H ′, hash function H ′′, and the like.
  • the order p is a prime number.
  • the order of the additive group G is p.
  • the element g is a generator of the additive group G.
  • the order of the additive group G ′ is p which is the same as that of the additive group G.
  • the element g ′ is a generator of the additive group G ′.
  • the order of the multiplicative group G t is the same p as the additive group G and the additive group G ′.
  • Pairing e is a set of the original source and additive group G 'of the additive group G, a mapping which maps to the original (pairing value) of the multiplicative group G t.
  • the pairing e has a bilinear shape. Further, pairing with 'original g of' element g and additive group G of the additive group G value e (g, g ') is not a unit of the multiplicative group G t source.
  • the hash function H is a hash function that generates an integer of 1 to p ⁇ 1 from a bit string of an arbitrary length.
  • the hash function H ′ is a hash function that generates a bit string having a predetermined length from the element of the multiplicative group G t .
  • the hash function H ′′ is a hash function that generates an integer of 1 to p ⁇ 1 from a combination of an element of the multiplicative group G t , a bit string of a predetermined length, and an original ordered pair of the two additive groups G. It is.
  • the element g ′ of the additive group G ′ is used only by the key generation device 300C, and thus may not be disclosed to other users. Further, when these encryption parameters are determined in advance, the encryption parameter setting device 810C may not determine these encryption parameters.
  • the encryption parameter setting device 810C generates a master key and a public parameter generated based on the master key.
  • the master key generated by the encryption parameter setting device 810C includes three integers ⁇ , ⁇ , and ⁇ .
  • the public parameters generated by the encryption parameter setting device 810C include an element g 1 of the additive group G, an element g 3 of the additive group G, and an element v 0 of the multiplicative group G t .
  • the master key generated by the encryption parameter setting device 810C is secretly notified to the key generation device 300C.
  • the public parameters generated by the encryption parameter setting device 810C are disclosed to users of the ID-based public key encryption system 820C.
  • the key generation device 300C holds the master key notified from the encryption parameter setting device 810C in a secret manner.
  • the key generation device 300A generates the secret key of the ciphertext decryption device 200C based on the disclosed encryption parameter, the disclosed identification data ID of the ciphertext decryption device 200C, and the held master key.
  • Private key key generating apparatus 300C generates includes 'the original d 0 of the additive group G' additive group G and the element d 1 of the.
  • the secret key generated by the key generation device 300A is secretly notified to the ciphertext decryption device 200C.
  • the ciphertext generation apparatus 400C encrypts the message M based on the disclosed encryption parameters, public parameters, and identification data ID of the ciphertext decryption apparatus 200C, and generates the ciphertext C.
  • the ciphertext generation apparatus 400C transmits the generated ciphertext C to the ciphertext decryption apparatus 200C.
  • the ciphertext decryption apparatus 200C holds the secret key generated by the key generation apparatus 300C in a secret key.
  • the ciphertext decryption apparatus 200C receives the ciphertext C transmitted by the ciphertext generation apparatus 400C.
  • the ciphertext decryption apparatus 200C decrypts the received ciphertext C based on the disclosed cipher parameters and the stored secret key, and generates the same message M ′ as the message M.
  • the appearance and hardware resources of the cipher parameter setting device 810C, the key generation device 300C, the ciphertext generation device 400C, and the ciphertext decryption device 200C are the appearance and hardware resources of the ciphertext decryption device 200 described in the first embodiment. It is the same.
  • FIG. 22 is a block configuration diagram showing an example of the configuration of some of the functional blocks of the encryption parameter setting device 810C in this embodiment.
  • the encryption parameter setting device 810C includes an encryption parameter storage unit 819C, a master key generation unit 812C, a public parameter generation unit 813C, a master key output unit 814C, and a public parameter output unit 815C.
  • the encryption parameter storage unit 819C stores data representing the disclosed encryption parameters using the magnetic disk device 920.
  • the master key generation unit 812C generates a master key based on the encryption parameter stored in the encryption parameter storage unit 819C.
  • the master key generation unit 812C has three secret random number generation units 816C to 818C. Using the CPU 911, the three secret random number generation units 816C to 818C each input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 819C. Each of the three secret random number generation units 816C to 818C uses the CPU 911 to randomly generate an integer between 1 and p ⁇ 1 based on the order p represented by the input data.
  • the first secret random number generation unit 816C sets the generated integer as an integer ⁇ , and uses the RAM 914 to store data representing the generated integer ⁇ .
  • the second secret random number generation unit 817C sets the generated integer as an integer ⁇ , and stores data representing the generated integer ⁇ using the RAM 914.
  • the third secret random number generation unit 818C sets the generated integer as an integer ⁇ , and uses the RAM 914 to store data representing the generated integer ⁇ .
  • the public parameter generation unit 813C generates a public parameter based on the encryption parameter stored by the encryption parameter storage unit 819C and the master key generated by the master key generation unit 812C.
  • the public parameter generation unit 813C includes a first public source calculation unit 831C, a public pairing value calculation unit 832C, and a second public source calculation unit 833C.
  • the first public element calculation unit 831C uses the CPU 911 to represent the data representing the additive group G and the element g among the cryptographic parameters stored in the cryptographic parameter storage unit 819C and the integer ⁇ stored in the secret random number generation unit 816C. Enter the data.
  • the first public element calculation unit 831C uses the CPU 911 to calculate an element obtained by adding the element g to ⁇ times by an operation in the addition group G based on the addition group G, the element g, and the integer ⁇ represented by the input data. and, to the original g 1.
  • the first public element calculation unit 831C by using the RAM 914, stores data representing the element g 1 calculated.
  • the public pairing value calculation unit 832C uses the CPU 911 to store the data representing the element g, the element g ′, and the pairing e among the encryption parameters stored in the encryption parameter storage unit 819C, and the secret random number generation unit 816C. Data representing the integer ⁇ and data representing the integer ⁇ stored by the secret random number generation unit 817C are input.
  • the public pairing value calculation unit 832C uses the pairing e to set the pairing value between the element g and the element g ′ based on the element g, the element g ′, and the pairing e represented by the input data. e (g, g ′) is calculated.
  • the pairing value e (g, g ′) is an element of the multiplicative group G t .
  • Public pairing value calculation unit 832C using the CPU 911, the integer ⁇ and integer ⁇ represented by the input data, the calculated pairing value e (g, g ') on the basis of the, by the operation on the multiplicative group G t Then, an element obtained by multiplying the pairing value e (g, g ′) by the product ⁇ times the integer ⁇ and the integer ⁇ is calculated as an element v 0 .
  • Public pairing value calculation unit 832C by using the RAM 914, stores data representing the element v 0 calculated.
  • the second public element calculation unit 833C represents data representing the additive group G and the element g among the cryptographic parameters stored in the cryptographic parameter storage unit 819C, and represents the integer ⁇ stored in the secret random number generation unit 818C. Enter the data.
  • the second public element calculation unit 833C uses the CPU 911 to calculate an element obtained by adding the element g to ⁇ times by an operation in the addition group G based on the addition group G, the element g, and the integer ⁇ represented by the input data. and, to the original g 3.
  • Second public element calculation unit 833C by using the RAM 914, stores data representing the element g 3 calculated.
  • the master key output unit 814C inputs data representing the integer ⁇ , integer ⁇ , and integer ⁇ stored by the three secret random number generation units 816C to 818C. Using the CPU 911, the master key output unit 814C outputs data representing the input integer ⁇ , integer ⁇ , and integer ⁇ as a master key. The master key output from the master key output unit 814C is secretly notified to the key generation device 300C.
  • Public parameter output unit 815C using the CPU 911, and data representing the element g 1 of the first public element calculation unit 831C has stored the data representing the element v 0 of the public pairing value calculation unit 832C is stored, the second public element calculation unit 833C inputs the data representing the element g 3 stored.
  • Public parameter output unit 815C using the CPU 911, the data representing the original g 1 inputted original g 3 and the original v 0, and outputs as public parameters.
  • the public parameters output by the public parameter output unit 815C are disclosed to users of the ID-based public key encryption system 820C.
  • FIG. 23 is a block configuration diagram showing an example of a functional block configuration of the key generation device 300C in this embodiment.
  • the key generation device 300C includes an encryption parameter storage unit 390C, a master key storage unit 330C, an identification input unit 340C, a secret key generation unit 350C, and a secret key output unit 360C.
  • the encryption parameter storage unit 390C uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the master key storage unit 330C stores the master key notified from the encryption parameter setting device 810C in a secret manner using a tamper-resistant storage device.
  • the identification input unit 340C uses the CPU 911 to input a bit string ID having an arbitrary length, which is identification data for identifying the ciphertext decryption apparatus 200C, for the ciphertext decryption apparatus 200C to generate a secret key.
  • the identification input unit 340C stores the input bit string ID.
  • the secret key generation unit 350C based on the encryption parameter stored by the encryption parameter storage unit 390C, the master key stored by the master key storage unit 330C, and the bit string ID input by the identification input unit 340C, Generate a secret key for.
  • the secret key generation unit 350C includes a secret random number generation unit 351C, a first secret element calculation unit 352C, and a second secret element calculation unit 353C.
  • the secret random number generation unit 351C uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 390C. Using the CPU 911, the secret random number generation unit 351C randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number r. Using the RAM 914, the secret random number generation unit 351C stores data representing the generated secret random number r.
  • the first secret element calculation unit 352C uses the CPU 911 to store data representing the additive group G ′, the element g ′, and the hash function H among the encryption parameters stored in the encryption parameter storage unit 390C, and the master key storage unit 330C Of the stored master key, data representing the integer ⁇ , integer ⁇ and integer ⁇ , the bit string ID stored in the identification input unit 340C, and the data representing the secret random number r stored in the secret random number generation unit 351C are input.
  • the first secret element calculation unit 352C uses the hash function H represented by the input data and the input bit string ID to generate a hash value H (ID) obtained by hashing the bit string ID using the hash function H. calculate.
  • the first secret element calculation unit 352C uses the integer ⁇ , the integer ⁇ , the integer ⁇ , the secret random number r, and the calculated hash value H (ID) to represent the integer ⁇ and the hash.
  • An integer ⁇ ⁇ ⁇ + obtained by adding a product of an integer ( ⁇ ⁇ H (ID) + ⁇ ) obtained by adding an integer ⁇ to a product of the value H (ID) and a secret random number r and a product of the integer ⁇ and the integer ⁇ [ ⁇ ⁇ H (ID) + ⁇ ] ⁇ r ⁇ is calculated.
  • the first secret element calculation unit 352C uses the CPU 911 to add the additive group G ′ and element g ′ represented by the input data and the calculated integer ⁇ ⁇ ⁇ + [ ⁇ ⁇ H (ID) + ⁇ ] ⁇ r ⁇ . Based on the calculation in the additive group G ′, the element obtained by adding the element g ′ ⁇ ⁇ ⁇ + [ ⁇ ⁇ H (ID) + ⁇ ] ⁇ r ⁇ times is calculated and set as the secret element d 0 .
  • the first secret element calculation unit 352C by using the RAM 914, stores data representing the secret element d 0 calculated.
  • the second secret element calculation unit 353C uses the CPU 911 to store data representing the additive group G ′ and the element g ′ among the encryption parameters stored in the encryption parameter storage unit 390C, and the secret random number stored in the secret random number generation unit 351C. Data representing r is input.
  • the second secret element calculation unit 353C uses the CPU 911 to calculate the element g ′ r times by an operation in the additive group G ′ based on the additive group G ′, the element g ′, and the secret random number r represented by the input data. and calculates the addition to the original, the secret element d 1.
  • Second secret element calculation unit 353C by using the RAM 914, stores data representing the calculated secret element d 1.
  • the secret key output unit 360C using the CPU 911, the data representing the secret element d 0 by the first secret element calculation unit 352C has stored the data representing the secret element d 1 of the second secret element calculation unit 353C has stored input.
  • the secret key output unit 360C using the CPU 911, the data representing the secret element d 0 and inputs and secret element d 1, and outputs a secret key of the ciphertext decryption apparatus 200C.
  • the secret key of the ciphertext decryption apparatus 200C output by the secret key output unit 360C is secretly notified to the ciphertext decryption apparatus 200C.
  • FIG. 24 is a block configuration diagram showing an example of a functional block configuration of the ciphertext generation apparatus 400C in this embodiment.
  • the ciphertext generation apparatus 400C includes an encryption parameter storage unit 490C, an identification storage unit 410C, a message input unit 440C, a message encryption unit 450C, and a ciphertext output unit 470C.
  • the encryption parameter storage unit 490C uses the magnetic disk device 920 to store public encryption parameters (including public parameters) in advance.
  • the identification storage unit 410C uses the magnetic disk device 920 to store a bit string ID that is identification data of the ciphertext decryption device 200C that is a ciphertext transmission partner.
  • the message input unit 440C uses the CPU 911 to input a bit string M having a predetermined length that is a message to be transmitted to the ciphertext decryption apparatus 200C.
  • the message input unit 440C divides the message into a predetermined length and forms a plurality of bit strings M. Enter.
  • the message input unit 440C uses the RAM 914 to store the input bit string M.
  • the message encryption unit 450C encrypts the bit string M input by the message input unit 440C based on the encryption parameters (including public parameters) stored by the encryption parameter storage unit 490C and the bit string ID stored by the identification storage unit 410C. To generate ciphertext C.
  • the message encryption unit 450C includes a secret random number generation unit 451C, a pairing value calculation unit 452C, an encryption bit string calculation unit 453C, a first encryption element calculation unit 454C, a second encryption element calculation unit 455C, and an encryption integer calculation unit 456C.
  • the secret random number generation unit 451C inputs data representing the order p among the encryption parameters stored by the encryption parameter storage unit 490C. Using the CPU 911, the secret random number generation unit 451C randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as a secret random number s. Using the RAM 914, the secret random number generation unit 451C stores data representing the generated secret random number s.
  • the pairing value calculation unit 452C uses the CPU 911 to store data representing the multiplicative group G t and the element v 0 among the encryption parameters stored in the encryption parameter storage unit 490C, and the secret random number s stored in the secret random number generation unit 451C. Is input. Pairing value calculation unit 452C, using the CPU 911, based on the multiplicative group G t represented by the input data and the original v 0 and secret random number s, by the operation on the multiplicative group G t, a former v 0 s multiplications The calculated element is calculated as element k.
  • the pairing value calculation unit 452C uses the RAM 914 to store data representing the calculated element k.
  • the encryption bit string calculation unit 453C uses the CPU 911 to store the data representing the hash function H ′ among the encryption parameters stored in the encryption parameter storage unit 490C, the bit string M stored in the message input unit 440C, and the pairing value calculation unit 452C. Is stored and data representing the element k stored.
  • the encryption bit string calculation unit 453C calculates a hash value H ′ (k) obtained by hashing the element k using the hash function H ′ based on the hash function H ′ represented by the input data and the element k.
  • the hash value H ′ (k) is a bit string having a predetermined length.
  • the encrypted bit string calculation unit 453C uses the CPU 911 to perform exclusive processing for each bit between the bit string M and the hash value H (k) based on the input bit string M and the calculated hash value H ′ (k). A logical sum is taken as bit string c.
  • the encryption bit string calculation unit 453C stores the calculated bit string c.
  • the first cryptographic element calculation unit 454C uses the CPU 911 to obtain data representing the additive group G and the element g among the cryptographic parameters stored by the cryptographic parameter storage unit 490C and the secret random number s stored by the secret random number generation unit 451C. Enter the data to represent.
  • the first cryptographic element calculation unit 454C uses the CPU 911 to calculate an element obtained by adding the element g s times by the calculation in the additive group G based on the additive group G, the element g, and the secret random number s represented by the input data. calculated and, to the original c 0.
  • the first cipher element calculation unit 454C by using the RAM 914, stores data representing the element c 0 calculated.
  • the second encryption element calculation unit 455C uses the CPU 911 to calculate the hash value H (ID) obtained by hashing the bit string ID using the hash function H based on the hash function H represented by the input data and the input bit string ID. calculate.
  • the hash value H (ID) is an integer between 1 and p-1.
  • Second cipher element calculation unit 455C using the CPU 911, based on the input original g 1 and additive group G of data represents the original g 3 and the secret random number s, the calculated hash value H and (ID), additive An element obtained by adding the element H 1 obtained by adding the product H (ID) ⁇ s times of the hash value H (ID) and the secret random number s times and the element obtained by adding the element g 3 s times by calculation in the group G The element c 1 is calculated.
  • Second cipher element calculation unit 455C by using the RAM 914, stores data representing the element c 1 calculated.
  • the cryptographic integer calculation unit 456C uses the data representing the order p and the hash function H ′′ among the cryptographic parameters stored in the cryptographic parameter storage unit 490C, and the secret random number s stored in the secret random number generation unit 451C.
  • Data representing the element c 1 stored in the second cipher element calculation unit 455C is input to the cipher integer calculation unit 456C using the CPU 911, the hash function H ′′, the element k, and the element c 0 represented by the input data.
  • the hash value H ′′ (k, c, c 0 , c 1 ) is an integer of 1 to p ⁇ 1.
  • the cryptographic integer calculation unit 456C uses the CPU 911 to use the order p represented by the input data and the secret a random number s, the calculated hash value H "based on the (k, c, c 0, c 1) and secret random number s and hash value H" (k, c, c 0, c 1) the sum of, The remainder obtained by dividing the order p is calculated as an integer t, and the cryptographic integer calculation unit 456C stores data representing the calculated integer t using the CPU 911.
  • Ciphertext output unit 470C using the CPU 911, the encryption bit string calculation unit 453C bit string stored is c, and the data representing the element c 0 the first cipher element calculation unit 454C is stored, the second cipher element calculation unit 455C and data representing the element c 1 stored encryption integer calculation unit 456C inputs the data representing the integer t stored.
  • Ciphertext output unit 470C using the CPU 911, the bit string c input, generates a ciphertext C including the original c 0 input the data representing the original c 1 and integer t. Using the CPU 911, the ciphertext output unit 470C outputs the generated ciphertext C.
  • the ciphertext C output from the ciphertext output unit 470C is transmitted to the ciphertext decryption apparatus 200C.
  • FIG. 25 is a block configuration diagram showing an example of a functional block configuration of the ciphertext decryption apparatus 200C in this embodiment.
  • the ciphertext decryption apparatus 200C includes an encryption parameter storage unit 290C, a key storage unit 210C, a ciphertext input unit 220C, a ciphertext verification unit 230C, a verification device 100C, a decrypted text generation unit 260C, and a decrypted message output unit 283C.
  • the encryption parameter storage unit 290C uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the key storage unit 210C stores a secret key generated in advance by the key generation device 300C in a secret manner using a tamper-resistant storage device.
  • the ciphertext input unit 220C inputs the ciphertext C received from the ciphertext generation apparatus 400C.
  • Ciphertext input unit 220C using the CPU 911, based on the ciphertext C input, acquires the bit string c, and the data representing the element c 0 and the original c 1 and integer t.
  • Cipher-text input unit 220C using the RAM 914, stores the data representing to the bit string c acquisition, and the element c 0 of the original c 1 and integer t.
  • the ciphertext verification unit 230C Based on the encryption parameter stored in the encryption parameter storage unit 290C, the secret key stored in the key storage unit 210C, and the ciphertext C input in the ciphertext input unit 220C, the ciphertext verification unit 230C Generate input data.
  • the ciphertext verification unit 230C includes a pairing value calculation unit 231C and an integer calculation unit 232C.
  • Pairing value calculation unit 231C using the CPU 911, the data representing the multiplicative group G t and pairing e among the encryption parameters represented by the encryption parameter storage unit 290C, of the secret key key storage unit 210C has stored secret Data representing element d 0 and secret element d 1 and data representing element c 0 and element c 1 stored in ciphertext input unit 220C are input. Pairing value calculation unit 231C, using the CPU 911, based on the pairing e and the original c 0 and the secret element d 0 of the input data represented by the pairing e, the original c 0 and secret element d 0 and calculates the pairing value, the pairing value k 0.
  • the pairing value k 0 is an element of the multiplicative group G t .
  • Pairing value calculation unit 231C uses the CPU 911, based on the pairing e, the input data representing the original c 1 and the secret element d 1, the pairing e, the original c 1 and secret element d 1 and the It calculates the pairing value, the pairing value k 1.
  • Pairing value k 1 is the original multiplicative group G t.
  • Pairing value calculation unit 231C using the CPU 911, and the multiplicative group G t represented by the input data, based on the calculated pairing value k 0 and pairing value k 1, by the operation on the multiplicative group G t, An element obtained by multiplying the pairing value k 0 and the inverse element of the pairing value k 1 is calculated and set as element k.
  • the pairing value calculation unit 231C stores data representing the calculated element k.
  • the element k calculated by the pairing value calculation unit 231C is based on the bilinearity of the pairing e. Therefore, if the ciphertext C input by the ciphertext input unit 220C is a valid ciphertext, the source k calculated by the pairing value calculation unit 231C is calculated by the pairing value calculation unit 452C of the ciphertext generation apparatus 400C. It is equal to the original k.
  • the integer calculation unit 232C uses the CPU 911 to store data representing the order p and the hash function H ′′ among the encryption parameters stored in the encryption parameter storage unit 290C, the bit string c stored in the ciphertext input unit 220C, Data representing c 0 , element c 1 and integer t and data representing element k stored in the pairing value calculation unit 231C are input to the integer calculation unit 232C using the CPU 911.
  • the hash function H ′′ uses the ordered pair of the element k, the bit string c, the element c 0 and the element c 1 .
  • a hash value H ′′ (k, c, c 0 , c 1 ) is calculated.
  • the hash value H ′′ (k, c, c 0 , c 1 ) is an integer between 1 and p ⁇ 1.
  • the integer calculation unit 232C uses the CPU 911 to calculate the order p and integer t represented by the input data. And an integer obtained by subtracting the hash value H ′′ (k, c, c 0 , c 1 ) from the integer t based on the calculated hash value H ′′ (k, c, c 0 , c 1 ) The remainder obtained by dividing by p is calculated as an integer s.
  • the integer s calculated by the integer calculation unit 232C is the secret random number generation unit 451C. Is equal to the secret random number s generated.
  • the verification device 100C outputs data representing the verification result.
  • the decrypted text generation unit 260C uses the CPU 911 to store the data representing the hash function H ′ among the encryption parameters stored in the encryption parameter storage unit 290C, and the encryption
  • the bit string c stored in the sentence input unit 220C and the data representing the element k stored in the pairing value calculation unit 231C are input.
  • the decrypted text generation unit 260C uses the CPU 911 to calculate a hash value H ′ (k) obtained by hashing the element k using the hash function H ′ based on the hash function H ′ represented by the input data and the element k. .
  • the hash value H ′ (k) is a bit string having a predetermined length.
  • the decrypted text generation unit 260C uses the CPU 911 to exclude each bit between the bit string c and the hash value H ′ (k) based on the input bit string c and the calculated hash value H ′ (k).
  • the logical OR is taken as a bit string M ′.
  • the decrypted text generation unit 260C uses the RAM 914 to store the calculated bit string M ′.
  • the bit string M ′ calculated by the decrypted text generation unit 260C is equal to the bit string M input by the message input unit 440C of the ciphertext generation apparatus 400C.
  • the decrypted message output unit 283C inputs the bit string M ′ stored in the decrypted text generating unit 260C. Using the CPU 911, the decrypted message output unit 283C outputs the input bit string M ′ as a decrypted message.
  • FIG. 26 is a detailed block diagram showing an example of the internal block configuration of the verification apparatus 100C in this embodiment.
  • the verification apparatus 100C includes an integer division unit 110C, two verification value calculation units 130C 1 and 130C 2 , and a verification determination unit 150C.
  • Verification apparatus 100C is a device similar to the verification apparatus 100 described in Embodiment 1, for the operation on the additive group G, and an operation in the multiplicative group G t, two verification value calculation unit 130C 1, with the 130C 2.
  • the integer dividing unit 110C uses the order p represented by the input data and the integer s to indicate e 1 ⁇ s ⁇ e 2 (mod p),
  • Integer partitioning unit 110C stores data representing the integer e 1 and integer e 2 which were calculated using the RAM 914.
  • Verification value calculation unit 130C 1 using the CPU 911, inputs the data representing the element g among the encryption parameters encryption parameter storage unit 290C has stored, as data representing the element s described in the first embodiment.
  • Verification value calculation unit 130C 1 using the CPU 911, inputs the data representing the element c 0 by the ciphertext input unit 220C is stored, as data representing the element h described in the first embodiment.
  • the verification value calculation unit 130C 1 inputs data representing the integer e 1 and the integer e 2 stored by the integer dividing unit 110C.
  • the verification value calculation unit 130C 1 uses the CPU 911 to convert the element c 0 into e 1 by performing an operation on the additive group G based on the element g, the element c 0 , the integer e 1 and the integer e 2 represented by the input data. the original obtained by adding times, and calculates an element which is obtained when the element g is the sum of the original inverse obtained by adding twice e, and original a. Verification value calculation unit 130C 1, using the RAM 914, stores data representing the element a calculated.
  • Verification value calculation unit 130C 2 using the CPU 911, inputs the data representing the element v 0 among the encryption parameters encryption parameter storage unit 290C has stored, as data representing the element s described in the first embodiment.
  • Verification value calculation unit 130C 2 using the CPU 911, inputs the data representing the element k pairing value calculation unit 231C has stored, as data representing the element h described in the first embodiment.
  • the verification value calculation unit 130C 2 uses the CPU 911, the verification value calculation unit 130C 2 inputs data representing the integer e 1 and the integer e 2 stored by the integer dividing unit 110C.
  • the verification value calculation unit 130C 2 uses the CPU 911 to calculate the element k as e 1 by performing an operation on the multiplicative group G t based on the element v 0 , element k, integer e 1 and integer e 2 represented by the input data.
  • An element obtained by adding the element obtained by multiplying the element v 0 and the inverse element obtained by multiplying the element v 0 by e 2 times is calculated as an element a ′.
  • Verification value calculation unit 130C 2 stores data representing the using RAM 914, is calculated based on a '.
  • FIG. 27 is a flowchart showing an example of the flow of a ciphertext decryption process in which the ciphertext decryption apparatus 200C in this embodiment decrypts the ciphertext C.
  • integer calculation step S732C the integer calculation unit 232C, using the CPU 911, the bit string c and the original c 0 by the ciphertext input unit 220C inputs the original c 1, the pairing value calculation unit 231C in the pairing value calculation step S731C Is a hash value H ′′ (k, c, c 0) obtained by hashing the element k, the bit string c, and the ordered pair of the element c 0 and the element c 1 by the hash function H ′′. , C 1 ).
  • the integer calculation unit 232C uses the CPU 911 to store the order p stored by the cipher parameter storage unit 290C, the integer t input by the ciphertext input unit 220, and the calculated hash value H ′′ (k, c, c 0 , based on the c 1) and a hash from the integer t value H "(k, c, integer obtained by subtracting the c 0, c 1), and calculates the modulo of order p, an integer s.
  • the integer dividing unit 110C uses the CPU 911 to calculate e based on the order p stored in the encryption parameter storage unit 290C and the integer s calculated by the integer calculating unit 232C in the integer calculating step S732C.
  • ⁇ p, and 0 ⁇ e 2 ⁇ p are calculated.
  • a first verification step S734C the verification value calculation unit 130C 1, using the CPU 911, and element g by the encryption parameter storage unit 290C has stored the original c 0 by the ciphertext input unit 220C inputs, an integer division step S733C Based on the integer e 1 and the integer e 2 calculated by the integer dividing unit 110C, an element obtained by adding the element c 0 e 1 times and an element inverse obtained by adding the element g e 2 times by an operation in the additive group G Is calculated as element a. Verification judging unit 150C, using the CPU 911, based on the original verification value calculation unit 130C 1 is calculated a, based on a determines whether the identity element of the additive group G.
  • the process proceeds to the second verification step S735C.
  • the element a is not a unit element of the additive group G (that is, when c 0 ⁇ s ⁇ g)
  • the ciphertext decryption process is terminated.
  • the verification value calculation unit 130C 2 using the CPU 911, the original v 0 by the encryption parameter storage unit 290C has stored element k pairing value calculation unit 231C in the pairing calculation step S731C is calculated Then, based on the integer e 1 and the integer e 2 calculated by the integer dividing unit 110C in the integer dividing step S733C, an element obtained by multiplying the element k by e 1 times and an element v 0 by e on the multiplicative group G t An element obtained by multiplying the inverse element of the element multiplied twice is calculated as element a ′.
  • Verification judging unit 150C judges using CPU 911, 'on the basis of the original a' source a verification value calculation unit 130C 2 was calculated whether it is the identity element of the multiplicative group G t.
  • the process proceeds to the decrypted text generation step S736C.
  • the element a ′ is not a unit element of the multiplicative group G t (that is, when k ⁇ v 0 s )
  • the ciphertext decryption process is terminated.
  • the decrypted text generation unit 260C uses the CPU 911 to calculate the element k using the hash function H ′ based on the element k calculated by the pairing value calculation unit 231C in the pairing value calculation step S731C.
  • a hashed hash value H ′ (k) is calculated.
  • the decrypted text generation unit 260C uses the CPU 911 to calculate the bit string c and the hash value H ′ (k) based on the bit string c input by the ciphertext input unit 220C and the calculated hash value H ′ (k).
  • the bitwise exclusive OR is taken as a bit string M ′.
  • the decrypted message output unit 283C uses the CPU 911 to output the bit string M ′ calculated by the decrypted text generating unit 260C as a decrypted message. Thereafter, the ciphertext decryption process is terminated.
  • the ciphertext decryption apparatus 200C in this embodiment further includes an encryption parameter storage unit 290C.
  • the encryption parameter storage unit 290C by using the storage device (magnetic disk drive 920), the order p of the additive group G 1 (additive group G), a generator g of the additive group G 1 (additive group G) And the element v 0 of the multiplicative group G t having the order p as the order.
  • the key storage unit 210C by using the storage device, the source (private source) d 0 of the additive group G 2 to position number the position number p (additive group G '), the additive group G 2 (additive The element (secret source) d 1 of the group G ′) is stored.
  • the ciphertext input unit 220C by using the processing device (CPU 911), the bit string c, the original c 0 of the additive group G 1, the original c 1 of the additive group G 1, 1 or p-1 or less Is input as the ciphertext C.
  • the ciphertext verification unit 230C includes a pairing value calculation unit 231C and an integer calculation unit 232C.
  • the verification apparatus 100C uses the additive group G 1 (additive group G) as the finite group G, the order p stored in the cryptographic parameter storage unit 290C as the order p, and the integer calculation unit as the integer e. enter the integer s 232C is calculated, and the generator g to the encryption parameter storage unit 290C has stored as the element s, and the element c 0 by the ciphertext input unit 220C, as the element h is input, whether the verification is successful
  • the multiplicative group G t as the finite group G
  • the integer e as described above and integer s integer calculation unit 232C has been calculated
  • the above encryption parameter storage unit 290C is the original v 0 stored as original s, from which the pairing value calculation unit 231C, as the element h is calculated Enter the door, it is determined whether or not the verification is successful, the second verification result.
  • the decrypted text generation unit 260C uses the processing device (CPU 911) to perform the pairing when the verification device 100C determines that both the first verification result and the second verification result are verified successfully. Based on the element k calculated by the value calculation unit 231C, a hash value obtained by hashing the element k using a predetermined hash function H ′ is calculated to obtain a bit string H ′ (k), which is input by the ciphertext input unit 220C.
  • the ciphertext decryption apparatus 200C described above is a BB (Boneh-Boyen) 1-ID base encryption / decryption apparatus.
  • the ciphertext decryption apparatus 200C described above is a key decapsulation apparatus in the BB1-ID base encryption system (ID base public key encryption system 820C).
  • the ID-based public key encryption system 820C described above is a BB1-ID base encryption system.
  • an additive group G an additive group G ′, a multiplicative group G t , a generator g of the additive group G, a generator g ′ of the additive group G ′, and pairing.
  • the encryption parameter setting device 810C performs a setting process (Setup).
  • the encryption parameter setting device 810C outputs (g, g 1 , g 3 , v 0 ) as the PKG public key and (g ′, ⁇ , ⁇ , ⁇ ) as the PKG secret key.
  • the key generation device 300C performs a secret key derivation process (Extract).
  • the integer dividing unit 110C uses the CPU 911 to input s and p and calculate an integer e 1 and an integer e 2 that are e 1 ⁇ s ⁇ e 2 (mod p).
  • Embodiment 5 The fifth embodiment will be described with reference to FIGS. 28 to 33.
  • FIG. 5 A first embodiment will be described with reference to FIGS. 28 to 33.
  • FIG. 28 is a system configuration diagram showing an example of the overall configuration of the ID-based signature system 820D in this embodiment.
  • the ID-based signature system 820D is an electronic signature system that uses identification data for identifying the signature device 400D as a public key of the signature device 400D.
  • the ID-based signature system 820D includes an encryption parameter setting device 810D, a key generation device 300D, a signature device 400D, and a signature verification device 200D.
  • the encryption parameter setting device 810D determines encryption parameters used in the ID-based signature system 820D.
  • the encryption parameters determined by the encryption parameter setting device 810D are disclosed to users of the ID-based signature system 820D.
  • Examples of the encryption parameters defined by the encryption parameter setting device 810D include the order p, the additive group G, the element g of the additive group G, the hash function H, and the hash function H ′.
  • the order p is a prime number.
  • the order of the additive group G is the order p.
  • the element g is a generator of the additive group G.
  • the hash function H is a hash function that generates an integer of 1 to p ⁇ 1 from a set of an element of the additive group G and a bit string of an arbitrary length.
  • the hash function H ′ is a hash function that generates an integer of 1 to p ⁇ 1 from a pair of an ordered pair of two bit strings having an arbitrary length and three original ordered pairs of the additive group G.
  • the encryption parameter setting device 810D may not determine these encryption parameters.
  • the encryption parameter setting device 810D generates a master key and a public parameter generated based on the master key.
  • the master key generated by the encryption parameter setting device 810D includes an integer x of 1 or more and p ⁇ 1 or less.
  • the master key generated by the encryption parameter setting device 810D is secretly notified to the key generation device 300D.
  • the public parameter generated by the encryption parameter setting device 810D includes the element X of the additive group G.
  • the public parameters generated by the cryptographic parameter setting device 810D are disclosed to users of the ID-based signature system 820D.
  • the key generation device 300D holds the master key notified from the encryption parameter setting device 810D in a secret manner.
  • the key generation device 300D generates the signature key of the signature device 400D based on the disclosed encryption parameter, the disclosed identification data ID of the signature device 400D, and the held master key.
  • the signature key generated by the key generation device 300D includes an integer s of 1 to p ⁇ 1 and an element R of the additive group G.
  • the signature key generated by the key generation device 300D is secretly notified to the signature device 400D.
  • the signature device 400D holds the signature key notified from the key generation device 300D in a secret manner.
  • the signature device 400D generates a signature ⁇ for the message M based on the disclosed encryption parameters, the public parameters, and the stored signature key.
  • the signature ⁇ guarantees that the content of the message M has not been altered.
  • the signature verification apparatus 200D verifies the signature ⁇ attached to the message M on the basis of the disclosed encryption parameters, public parameters, and identification data ID of the signature apparatus 400D, and determines whether the message M has been altered. judge.
  • the signature verification apparatus 200D outputs a verification result.
  • FIG. 29 is a block configuration diagram showing an example of a configuration of a part of functional blocks of the encryption parameter setting device 810D in this embodiment.
  • the encryption parameter setting device 810D includes an encryption parameter storage unit 819D, a secret random number generation unit 812D, a public source calculation unit 813D, a master key output unit 814D, and a public parameter output unit 815D.
  • the encryption parameter storage unit 819D stores the disclosed encryption parameters using the magnetic disk device 920.
  • the secret random number generation unit 812D uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 819D. Using the CPU 911, the secret random number generation unit 812D randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number x. Using the RAM 914, the secret random number generation unit 812D stores data representing the generated secret random number x.
  • the public element calculation unit 813D uses the CPU 911 to represent data representing the additive group G and the element g among the cryptographic parameters stored by the cryptographic parameter storage unit 819D, and data representing the secret random number x stored by the secret random number generation unit 812D. Enter. Based on the additive group G, the element g, and the secret random number x represented by the input data, the publishing element calculation unit 813D calculates the element obtained by adding the element g x times by the calculation in the additive group G, and the publishing element X And Using the RAM 914, the publication source calculation unit 813D stores data representing the calculated publication source X.
  • the master key output unit 814D inputs data representing the secret random number x stored by the secret random number generation unit 812D. Using the CPU 911, the master key output unit 814D outputs data representing the input secret random number x as a master key. The master key output from the master key output unit 814D is secretly notified to the key generation device 300D.
  • the public parameter output unit 815D inputs data representing the public source X stored by the public source calculation unit 813D. Using the CPU 911, the public parameter output unit 815D outputs data representing the input public source X as a public parameter.
  • the public parameter output from the public parameter output unit 815D is disclosed to the user of the ID-based signature system 820D together with the encryption parameter.
  • FIG. 30 is a block configuration diagram showing an example of a functional block configuration of the key generation device 300D in this embodiment.
  • the key generation device 300D includes an encryption parameter storage unit 390D, a master key storage unit 330D, an identification input unit 340D, a signature key generation unit 350D, and a signature key output unit 360D.
  • the encryption parameter storage unit 390D uses the magnetic disk device 920 to store data representing the disclosed encryption parameters in advance.
  • the master key storage unit 330D stores the master key notified from the encryption parameter setting device 810D using a tamper-resistant storage device.
  • the identification input unit 340D uses the CPU 911 to input a bit string ID having an arbitrary length, which is identification data for identifying the signature device 400D for generating a signature key. Using the RAM 914, the identification input unit 340D stores data representing the input bit string ID.
  • the signature key generation unit 350D uses the signature of the signature device 400D based on the encryption parameters stored in the encryption parameter storage unit 390D, the master key stored in the master key storage unit 330D, and the bit string ID input by the identification input unit 340D. Generate a key.
  • the signature key generation unit 350D includes a secret random number generation unit 351D, a key element calculation unit 352D, and a key integer calculation unit 353D.
  • the secret random number generation unit 351D uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 390D. Using the CPU 911, the secret random number generation unit 351D randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number r. Using the RAM 914, the secret random number generation unit 351D stores data representing the generated secret random number r.
  • the key element calculation unit 352D uses the CPU 911 to store data representing the additive group G and the element g among the encryption parameters stored in the encryption parameter storage unit 390D and data representing the secret random number r stored in the secret random number generation unit 351D. Enter. Using the CPU 911, the key element calculation unit 352D adds an element r ⁇ g obtained by adding r times to the element g based on the addition group G, the element g, and the secret random number r represented by the input data. Is calculated as element R. Using the RAM 914, the key element calculation unit 352D stores data representing the calculated element R.
  • the key integer calculation unit 353D uses the CPU 911 to store data representing the order p and the hash function H among the encryption parameters stored in the encryption parameter storage unit 390D and the secret among the master keys stored in the master key storage unit 330D. Data representing random number x, bit string ID stored in identification input unit 340D, data representing secret random number r stored in secret random number generation unit 351D, and data representing element R calculated by key element calculation unit 352D are input. To do. Using the CPU 911, the key integer calculation unit 353D hashes the set of the element R and the bit string ID by the hash function H based on the hash function H and the element R represented by the input data and the input bit string ID. A hash value H (R, ID) is calculated.
  • the key integer calculation unit 353D uses the CPU 911 to calculate the hash value H (R, R, ID) based on the order p, the secret random number x, the secret random number r, and the calculated hash value H (R, ID). , ID) and the secret random number x and the sum of the secret random number r divided by the order p is calculated as an integer s.
  • the key integer calculation unit 353D stores data representing the calculated integer s.
  • the signature key output unit 360D inputs data representing the element R stored by the key element calculation unit 352D and data representing the integer s stored by the key integer calculation unit 353D. Using the CPU 911, the signature key output unit 360D outputs data representing the input integer s and element R as a signature key. The signature key output from the signature key output unit 360D is secretly notified to the signature device 400D.
  • FIG. 31 is a block configuration diagram showing an example of a functional block configuration of the signature device 400D in this embodiment.
  • the signature device 400D includes an encryption parameter storage unit 490D, an identification storage unit 410D, a signature key storage unit 420D, a message input unit 440D, a signature generation unit 450D, and a signature output unit 470D.
  • the encryption parameter storage unit 490D stores data representing the disclosed encryption parameters in advance.
  • the identification storage unit 410D uses the magnetic disk device 920 to store a bit string ID that identifies the signature device 400D itself.
  • the signature key storage unit 420D stores data representing the signature key generated by the key generation device 300D using a tamper-resistant storage device.
  • the message input unit 440D uses the CPU 911 to input a bit string M having an arbitrary length that is a message to be signed. Using the RAM 914, the message input unit 440D stores the input bit string M.
  • the signature generation unit 450D includes the encryption parameter stored in the encryption parameter storage unit 490D, the bit string ID stored in the identification storage unit 410D, the signature key stored in the signature key storage unit 420D, and the bit string M input in the message input unit 440D. Based on the above, a signature ⁇ is generated.
  • the signature generation unit 450D includes a first signature source calculation unit 451D, a secret random number generation unit 452D, a second signature source calculation unit 453D, a challenge calculation unit 454D, and a signature integer calculation unit 455D.
  • the first signature source calculation unit 451D uses the data representing the additive group G and the element g among the encryption parameters stored in the encryption parameter storage unit 490D and the signature key stored in the signature key storage unit 420D. Data representing the integer s is input.
  • the first signature element calculation unit 451D uses the CPU 911 to calculate an element obtained by adding the element g s times by an operation in the addition group G based on the addition group G, the element g, and the integer s represented by the input data. Then, the source S is assumed.
  • the first signature source calculation unit 451D stores data representing the calculated source S. Since the element S is constant regardless of the bit string M, the first signature element calculation unit 451D calculates the element S in advance before the message input unit 440D inputs the bit string M and stores it using the magnetic disk device 920. You may keep it.
  • the secret random number generation unit 452D uses the CPU 911 to input data representing the order p among the encryption parameters stored in the encryption parameter storage unit 490D. Using the CPU 911, the secret random number generation unit 452D randomly generates an integer between 1 and p ⁇ 1 based on the order p represented by the input data, and sets it as the secret random number y. Using the RAM 914, the secret random number generation unit 452D stores data representing the generated secret random number y.
  • the second signature element calculation unit 453D uses the data representing the additive group G and the element g among the encryption parameters stored in the encryption parameter storage unit 490D and the secret random number y stored in the secret random number generation unit 452D. Enter the data to represent.
  • the second signature element calculation unit 453D uses the CPU 911 to calculate an element obtained by adding the element g y times by an operation in the additive group G based on the additive group G, the element g, and the secret random number y represented by the input data. Calculate the element Y.
  • the second signature element calculation unit 453D stores data representing the calculated element Y.
  • the challenge calculation unit 454D uses the CPU 911 to store the data representing the hash function H ′ among the encryption parameters stored in the encryption parameter storage unit 490D, the bit string ID stored in the identification storage unit 410D, and the signature key storage unit 420D. Data representing the element R, the bit string M stored by the message input unit 440D, the data representing the element S stored by the first signature source calculation unit 451D, and the second signature source calculation unit 453D Data representing the original Y is input.
  • the challenge calculation unit 454D uses the CPU 911 to generate the bit string ID, the bit string M, and the hash function H ′ based on the element R, the element S, and the element Y represented by the input data, and the input bit string ID and the bit string M.
  • a hash value obtained by hashing a pair of the ordered pair of the element R, the element S, and the element Y is calculated as a hash value c.
  • the hash value c is an integer between 1 and p-1.
  • the challenge calculation unit 454D stores data representing the calculated hash value c.
  • the signature integer calculation unit 455D uses the CPU 911 to store data representing the order p among the encryption parameters stored in the encryption parameter storage unit 490D and data representing the integer s out of the signature keys stored in the signature key storage unit 420D.
  • the data representing the secret random number y stored by the secret random number generation unit 452D and the data representing the hash value c stored by the challenge calculation unit 454D are input.
  • the signature integer calculation unit 455D based on the order p, the integer s, the secret random number y, and the hash value c represented by the input data, and the secret random number y
  • the remainder obtained by dividing the sum of and by the order p is calculated as an integer z.
  • the signature integer calculation unit 455D stores data representing the calculated integer z.
  • the signature output unit 470D uses the CPU 911 to store data representing the element R among the signature keys stored in the signature key storage unit 420D, data representing the element S stored in the first signature source calculation unit 451D, and the second signature. Data representing the element Y stored in the element calculation unit 453D and data representing the integer z stored in the signature integer calculation unit 455D are input. Using the CPU 911, the signature output unit 470D generates a signature ⁇ including data representing the input element R, element S, element Y, and integer z based on the input data. Using the CPU 911, the signature output unit 470D outputs the generated signature ⁇ .
  • FIG. 32 is a block configuration diagram showing an example of a functional block configuration of the signature verification apparatus 200D in this embodiment.
  • the signature verification device 200D includes an encryption parameter storage unit 290D, an identification storage unit 210D, a message input unit 225D, a signature input unit 220D, a signature verification unit 230D, a verification device 100D, and a verification result output unit 260D.
  • the encryption parameter storage unit 290D stores in advance data representing public encryption parameters (including public parameters).
  • the identification storage unit 210D uses the magnetic disk device 920 to store a bit string ID that identifies the signature device 400D.
  • the message input unit 225D inputs a bit string M that is a message with the signature ⁇ .
  • the message input unit 225D stores the input bit string M using the RAM 914.
  • the signature input unit 220D inputs the signature ⁇ attached to the bit string M input by the message input unit 225D.
  • the signature input unit 220D acquires data representing the element R, element S, element Y, and integer z from the input signature ⁇ .
  • the signature input unit 220D stores data representing the acquired element R, element S, element Y, and integer z.
  • the signature verification unit 230D includes a challenge calculation unit 231D, an integer calculation unit 232D, a verification source calculation unit 233D, and a first verification unit 250D.
  • the challenge calculation unit 231D uses the CPU 911 to store data representing the hash function H ′ stored in the encryption parameter storage unit 290D, the bit string ID that identifies the signature device 400D stored in the identification storage unit 210D, and the signature input unit 220D
  • the stored data representing the element R, the element S, and the element Y and the bit string M stored by the message input unit 225D are input.
  • the challenge calculation unit 231D uses the hash function H ′ based on the hash function H ′ represented by the input data, the element R, the element S, the element Y, the input bit string ID, and the bit string M to generate a bit string.
  • a hash value obtained by hashing a set of the ordered pair of ID and bit string M and the ordered pair of element R, element S, and element Y is calculated as a hash value c.
  • the hash value c is an integer between 1 and p-1.
  • the challenge calculation unit 231D stores data representing the calculated hash value c. If the bit string M is not altered, the hash value c calculated by the challenge calculation unit 231D is equal to the hash value c calculated by the challenge calculation unit 454D of the signature device 400D.
  • the integer calculation unit 232D uses the CPU 911 to store the data representing the hash function H among the cryptographic parameters stored in the cryptographic parameter storage unit 290D, the bit string ID that identifies the signature device 400D stored in the identification storage unit 210D, and the signature input Data representing the element R stored in the part 220D is input.
  • the integer calculation unit 232D uses the CPU 911 to hash the pair of the element R and the bit string ID with the hash function H based on the hash function H and the element R represented by the input data and the input bit string ID.
  • the value is calculated as a hash value h.
  • the hash value h is an integer from 1 to p-1.
  • the integer calculation unit 232D stores data representing the calculated hash value h.
  • the verification source calculation unit 233D uses the cryptographic parameter stored by the cryptographic parameter storage unit 290D to generate data representing the additive group G and data representing the element R and the element S stored by the signature input unit 220D. input.
  • the verification element calculation unit 233D adds the element S and the inverse element of the element R based on the addition group G, the element R, and the element S represented by the input data, by the operation in the addition group G.
  • the calculated element is calculated as element R ′.
  • the verification source calculation unit 233D stores data representing the calculated element R ′.
  • the first verification unit 250D uses the CPU 911 to determine that the verification is successful when the element z ⁇ g and the element Y + c ⁇ S are equal, and when the element z ⁇ g and the element Y + c ⁇ S are not equal, It is determined as “verification failure”. Using the CPU 911, the first verification unit 250D stores data representing the verification result.
  • the verification device 100D is the same device as the verification device 100 described in the first embodiment.
  • the verification apparatus 100D uses the CPU 911, the verification apparatus 100D inputs data representing the order p among the encryption parameters stored by the encryption parameter storage unit 290D as data representing the order p described in the first embodiment.
  • the verification device 100D uses the CPU 911, the verification device 100D inputs data representing the hash value h stored by the integer calculation unit 232D as data representing the integer e described in the first embodiment.
  • the verification device 100D inputs data representing the element R ′ stored by the verification source calculation unit 233D as data representing the element h described in the first embodiment.
  • R r ⁇ g
  • h H (R, ID)
  • X x ⁇ g
  • the verification result output unit 260D uses the CPU 911 to determine “verification success” when both the first verification unit 250D and the verification apparatus 100D determine “verification success” based on the two input verification results. Otherwise, it is determined as “verification failure”. Using the CPU 911, the verification result output unit 260D outputs data representing the verification result.
  • FIG. 33 is a flowchart showing an example of a signature verification processing flow in which the signature verification apparatus 200D in this embodiment verifies the signature ⁇ .
  • the challenge calculation unit 231D uses the CPU 911 to store the bit string ID stored in the identification storage unit 210D, the source R, the source S, and the source Y input by the signature input unit 220D, and the message input unit 225D. Based on the input bit string M, a hash value H ′ (ID) obtained by hashing a pair of the ordered pair of the bit string ID and the bit string M and the ordered pair of the element R, the element S, and the element Y by the hash function H ′. , R, S, Y, M) to obtain a hash value c.
  • the process proceeds to the integer calculation step S733D.
  • the process proceeds to the failure determination step S737D.
  • the integer calculation unit 232D uses the CPU 911 to calculate the element R by the hash function H based on the bit string ID stored in the identification storage unit 210D and the element R input by the signature input unit 220D.
  • a hash value H (R, ID) obtained by hashing the pair with the bit string ID is calculated and set as a hash value h.
  • the verification source calculation unit 233D uses the CPU 911 to calculate the elements S and R of the elements R and R based on the element R and the element S input by the signature input unit 220D.
  • An element SR obtained by adding the inverse element is calculated as an element R ′.
  • R ′ h ⁇ X
  • the process proceeds to the success determination step S736D. If R ′ ⁇ h ⁇ X, the process proceeds to failure determination step S737D.
  • the verification result output unit 260D uses the CPU 911 to determine that the verification is successful and outputs the verification result. Thereafter, the signature verification process ends.
  • the verification result output unit 260D determines that the verification has failed using the CPU 911, and outputs the verification result. Thereafter, the signature verification process ends.
  • the signature verification device 200D in this embodiment includes a processing device (CPU 911) for processing data, a message input unit 225D, a signature input unit 220D, a signature verification unit 230D, a verification device 100D, and a verification result output unit 260D. And have.
  • the message input unit 225D inputs a message (bit string M) using the processing device (CPU 911).
  • the signature input unit 220D inputs the signature ⁇ for the message (bit string M) input by the message input unit 225D using the processing device (CPU 911).
  • the signature verification unit 230D uses the processing device (CPU 911) to determine the verification device based on the message (bit string M) input by the message input unit 225D and the signature ⁇ input by the signature input unit 220D.
  • An integer e (hash value h) input to 100D, an element s (public source X) of the finite group (additive group) G, and an element h (element R ′) of the finite group (additive group) G are calculated.
  • the verification device 100D includes the integer e (hash value h) calculated by the signature verification unit 230D, the element s (public source X) of the finite group (additive group) G, and the finite group (additive group) G.
  • the element h (element R ′) is input to determine whether the verification is successful.
  • the verification result output unit 260D uses the processing device (CPU 911) to output a verification result indicating whether the verification is successful based on the result verified by the verification device 100D.
  • the signature verification apparatus 200D in this embodiment further includes a storage device (such as a magnetic disk device 920 and a RAM 914) that stores data, an encryption parameter storage unit 290D, and an identification storage unit 210D.
  • a storage device such as a magnetic disk device 920 and a RAM 914.
  • the encryption parameter storage unit 290D uses the order p of the finite group (additive group) G, the generator g of the finite group (additive group) G, and the above An element (public source) X of a finite group (additive group) G is stored.
  • the identification storage unit 210D stores a bit string ID for identifying the signature device 400D using the storage device (magnetic disk device 920).
  • the message input unit 225D inputs the bit string M as the message using the processing device (CPU 911).
  • the signature input unit 220D uses the element R of the finite group (additive group) G, the element S of the finite group (additive group) G, and the finite group (additive group).
  • An element Y of G and an integer z not less than 1 and not more than p ⁇ 1 are input as the signature ⁇ .
  • the signature verification unit 230D includes an integer calculation unit 232D, a verification source calculation unit 233D, a challenge calculation unit 231D, and a first verification unit 250D.
  • the integer calculation unit 232D uses the processing device (CPU 911) to perform a predetermined hash function H based on the element R input by the signature input unit 220D and the bit string ID stored by the identification storage unit 210D.
  • the first verification unit 250D uses the processing device (CPU 911) to generate the generator g stored in the cryptographic parameter storage unit 290D, the element S, the element Y, and the integer z input by the signature input unit 220D. Based on the integer (hash value) c calculated by the challenge calculation unit 231D, an element Y + c ⁇ S obtained by adding the element c ⁇ S obtained by adding the element S to the integer (hash value) c times and the element Y is obtained. It is determined whether the generator g is equal to the element z ⁇ g obtained by adding the integer z times. When the element Y + c ⁇ S is equal to the element z ⁇ g, it is determined that the verification is successful. One verification result.
  • the verification apparatus 100D includes the order p stored by the encryption parameter storage unit 290D as the order p, the integer h calculated by the integer calculation unit 232D as the integer e, and the encryption parameter storage unit as the element s.
  • the element X stored in 290D and the element R ′ calculated by the verification element calculation unit 233D are input as the element h, and whether or not the verification is successful is determined as a second verification result.
  • the verification result output unit 260D uses the processing device (CPU 911), based on the first verification result verified by the first verification unit 250D and the second verification result verified by the verification device 100D. When both the first verification result and the second verification result are determined to be successful, a verification result indicating that the verification is successful is output.
  • the signature verification apparatus 200D described above has an element s obtained by multiplying the element s of the multiplicative group e times by exponentiation multiplication in the multiplicative group or scalar multiplication in an additive group such as a group formed by a point on the (super) elliptic curve.
  • This is a digital signature verification device that determines whether or not a signature is correct by verifying whether an element e ⁇ s obtained by adding e or an element s of an additive group e times matches a known element h.
  • the signature verification apparatus 200D A device (integer division unit 110) for dividing the exponent part (integer e); Using the divided exponents (integer e 1 and integer e 2 ), perform two-basis exponent power multiplication in the multiplicative group, or two-basis scalar multiplication in the additive group, such as the group formed by the points on the (hyper) elliptic curve.
  • a device for calculating the value h e1 ⁇ e ⁇ e2 or e 1 ⁇ he 2 ⁇ s (verification value calculation unit 130),
  • An apparatus (verification determination unit 150) for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the integer dividing unit 110 described above divides the exponent part (integer e) by calculating the extended Euclidean algorithm.
  • the integer dividing unit 110 described above performs the repeated division of two integers.
  • Integer v 1 is an integer v 2 and division to the division, respectively, computing device an integer v 2 for the remainder v 3, and the division of previous step division before steps (third remainder calculation unit 117), Certain number of the remainder v 3 of the division result of each step ( ⁇ p) above, and a computing device (conformity judging unit 116) determines that or at a certain number ( ⁇ p) below.
  • the signature verification apparatus 200D described above is a BNN (Bellare-Namppre-Neven) -ID-based signature verification apparatus.
  • the signature verification apparatus 200D A multiplicative or additive group element X that is a public key of the secret key generation center (key generation apparatus 300D), an element R that is a part of the private key (signature key) of the signer (signature apparatus 400D), and a signature ⁇ Whether or not the element R ⁇ X H (R, ID) or R + H (R, ID) ⁇ X matches the element S is verified based on the element S that is part of the ID and the bit string ID that identifies the signer
  • An apparatus for calculating the value (S / R) e1 ⁇ X ⁇ e2 or e 1 ⁇ (S ⁇ R) ⁇ e 2 ⁇ X,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ID-based signature system 820D described above is a signature system based on the BNN-ID-based signature method obtained by converting the BNN-ID-based authentication method into a Fiat-Shamir.
  • the ID-based authentication system 820E uses a multiplicative group G whose order p is a prime number and a generator g of the multiplicative group G.
  • the key generation device 300D uses the CPU 911 to generate a random integer (secret random number) r between 1 and p ⁇ 1.
  • the signature device 400D performs signature generation processing. Using the CPU 911, the signature device 400D inputs the message M and the secret key (R, s). First, the signature device 400D uses the CPU 911 to generate a random integer (secret random number) y of 1 or more and p ⁇ 1 or less.
  • the signature verification apparatus 200D performs signature verification processing. Using the CPU 911, the signature verification apparatus 200D inputs a signature (c, z, S, Y, R) and a bit string ID that identifies the signature apparatus 400D.
  • Embodiment 6 will be described with reference to FIGS. 34 to 37.
  • FIG. 1 is a diagrammatic representation of Embodiment 6
  • FIG. 34 is a system configuration diagram showing an example of the overall configuration of the ID-based authentication system 820E in this embodiment.
  • the ID-based authentication system 820E is a system in which the authentication device 200E authenticates that the certification device 400E is not a fake. At this time, the authentication device 200E uses identification data for identifying the certification device 400E as a public key of the certification device 400E.
  • the ID-based authentication system 820E includes an encryption parameter setting device 810D, a key generation device 300D, a certification device 400E, and an authentication device 200E.
  • the certification device 400E transmits an authentication request message to the authentication device 200E.
  • the authentication request message transmitted by the proving apparatus 400E includes the element R, element S, and element Y of the additive group G.
  • authentication device 200E Upon receiving the authentication request message, authentication device 200E transmits a question message to certification device 400E.
  • the question message transmitted by the authentication device 200E includes an integer c of 1 to p-1.
  • the certification device 400E Upon receiving the question message, transmits an answer message to the authentication device 200E.
  • the reply message transmitted by the certification device 400E includes an integer z that is 1 or more and p ⁇ 1 or less calculated based on the integer c.
  • the authentication device 200E verifies the source R, the source S, and the source Y included in the received authentication request message and the integer z included in the received answer message, and if there is consistency, the verification device 400E is not a fake. Authenticate that there is no.
  • FIG. 35 is a block configuration diagram showing an example of a functional block configuration of the proving apparatus 400E in this embodiment. Note that portions common to the signature device 400D described in the fifth embodiment are denoted by the same reference numerals, and description thereof is omitted here.
  • the certification device 400E includes an encryption parameter storage unit 490D, a signature key storage unit 420D, a signature generation unit 450D, an authentication request transmission unit 470E, a question reception unit 454E, and an answer transmission unit 475E.
  • the authentication request transmission unit 470E uses the CPU 911 to store the data representing the element R out of the signature keys stored in the signature key storage unit 420D, the data representing the element S stored in the first signature source calculation unit 451D, and the second Data representing the element Y stored in the signature source calculation unit 453D is input.
  • the authentication request transmission unit 470E uses the CPU 911 to store the data representing the element R out of the signature keys stored in the signature key storage unit 420D, the data representing the element S stored in the first signature source calculation unit 451D, and the second Data representing the element Y stored in the signature source calculation unit 453D is input.
  • the authentication request transmission unit 470E uses the CPU 911 to store the data representing the element R out of the signature keys stored in the signature key storage unit 420D, the data representing the element S stored in the first signature source calculation unit 451D, and the second Data representing the element Y stored in the signature source calculation unit 453D is input.
  • the authentication request transmission unit 470E uses the CPU 911 to store the data representing the element R
  • the question receiving unit 454E receives the question message transmitted from the authentication device 200E using the communication device 915.
  • the question receiving unit 454E uses the CPU 911 to acquire data representing the integer c included in the received question message.
  • the question receiving unit 454E stores data representing the acquired integer c.
  • the signature integer calculation unit 455D uses the CPU 911 to store data representing the order p among the encryption parameters stored in the encryption parameter storage unit 490D and data representing the integer s out of the signature keys stored in the signature key storage unit 420D. Then, the data representing the secret random number y stored in the secret random number generation unit 452D and the data representing the integer c stored in the question receiving unit 454E are input. The signature integer calculation unit 455D uses the CPU 911 to calculate the product of the integer c and the integer s and the secret random number y based on the order p, the integer s, the secret random number y, and the integer c represented by the input data. The remainder obtained by dividing the sum by the order p is calculated to be an integer z. Using the RAM 914, the signature integer calculation unit 455D stores data representing the calculated integer z.
  • the response transmission unit 475E inputs data representing the integer z stored by the signature integer calculation unit 455D.
  • the reply transmission unit 475E uses the communication device 915 to transmit the generated reply message to the authentication device 200E.
  • FIG. 36 is a block configuration diagram showing an example of a functional block configuration of the authentication device 200E in this embodiment. Note that portions common to the signature verification apparatus 200D described in the fifth embodiment are denoted by the same reference numerals, and description thereof is omitted here.
  • the authentication device 200E includes an encryption parameter storage unit 290D, an identification storage unit 210D, an authentication request reception unit 220E, a challenge generation unit 231E, a question transmission unit 226E, an answer reception unit 227E, a signature verification unit 230D, a verification device 100D, and an authentication result output unit. 260E.
  • the authentication request receiving unit 220E uses the communication device 915 to receive the authentication request message transmitted by the proving device 400E. Using the CPU 911, the authentication request receiving unit 220E acquires data representing the element R, the element S, and the element Y included in the received authentication request message. Using the RAM 914, the authentication request receiving unit 220E stores data representing the acquired element R, element S, and element Y.
  • the challenge generation unit 231E uses the CPU 911 to randomly generate an integer between 1 and p ⁇ 1 and set it as the integer c. Using the RAM 914, the challenge generation unit 231E stores data representing the generated integer c.
  • the question transmission unit 226E uses the CPU 911 to input data representing the integer c stored by the challenge generation unit 231E. Using the CPU 911, the question transmission unit 226E generates a question message including data representing the input integer c. The question transmitting unit 226E transmits the generated question message to the proving device 400E using the communication device 915.
  • the response receiving unit 227E receives the response message transmitted by the proving device 400E using the communication device 915. Using the CPU 911, the answer receiving unit 227E acquires data representing the integer z included in the received answer message. Using the RAM 914, the answer receiving unit 227E stores data representing the acquired integer z.
  • the first verification unit 250D uses the CPU 911 to determine that the verification is successful when the element z ⁇ g and the element Y + c ⁇ S are equal, and when the element z ⁇ g and the element Y + c ⁇ S are not equal, It is determined as “verification failure”. Using the CPU 911, the first verification unit 250D stores data representing the verification result.
  • the authentication result output unit 260E uses the CPU 911 to determine “authentication success” when both the first verification unit 250D and the verification device 100D determine “verification success” based on the two input verification results, Otherwise, it is determined as “authentication failure”. Using the CPU 911, the authentication result output unit 260E outputs data representing the authentication result.
  • FIG. 37 is a flowchart showing an example of the flow of authentication processing in which the authentication device 200E in this embodiment authenticates the proving device 400E. Note that portions common to the signature verification processing described in the fifth embodiment are denoted by the same reference numerals, and description thereof is omitted here.
  • the secret random number generation unit 452D of the certification device 400E uses the CPU 911 to randomly generate a secret random number y of 1 or more and p ⁇ 1 or less.
  • the authentication request receiving unit 220E of the authentication device 200E uses the communication device 915 to receive the authentication request message transmitted by the proving device 400E in the authentication request transmitting step S743E.
  • the challenge generation unit 231E of the authentication device 200E uses the CPU 911 to randomly generate an integer c of 1 or more and p ⁇ 1 or less.
  • the question transmission step S753E the question transmission unit 226E of the authentication device 200E transmits a question message including the integer c generated by the challenge generation unit 231E in the challenge generation step S752E to the certification device 400E using the communication device 915. To do.
  • the question receiving unit 454E of the proving device 400E uses the communication device 915 to receive the question message transmitted by the authentication device 200E in the question transmitting step S753E.
  • the signature integer calculation step S745E the signature integer calculation unit 455D of the certification device 400E uses the CPU 911 to store the order p stored in the encryption parameter storage unit 490D, the integer s stored in the signature key storage unit 420D, and the secret random number.
  • the reply transmission unit 475E of the certification device 400E uses the communication device 915 to send a reply message including the integer z calculated by the signature integer calculation unit 455D in the signature integer calculation step S745E to the authentication device 200E. To send.
  • the response reception unit 227E of the authentication device 200E receives the response message transmitted by the certification device 400E in the response transmission step S746E using the communication device 915.
  • the first verification step S732D to the second verification step S735D are the same as the steps described in the fifth embodiment.
  • the authentication result output unit 260E uses the CPU 911 to determine that the authentication is successful and outputs the authentication result. Thereafter, the authentication process is terminated.
  • the authentication result output unit 260E uses the CPU 911 to determine that authentication has failed and outputs the authentication result.
  • the authentication device 200E in this embodiment includes a processing device (CPU 911) that processes data, a transmission device (communication device 915) that transmits data, a reception device (communication device 915) that receives data, and an authentication request reception.
  • the authentication request receiving unit 220E receives the authentication request message using the receiving device (communication device 915).
  • the question transmission unit 226E transmits a question message as a response to the authentication request message received by the authentication request reception unit 220E using the transmission device (communication device 915).
  • the answer receiving unit 227E receives an answer message to the transmitted question message using the receiving device (communication device 915).
  • the signature verification unit 230D uses the processing device (CPU 911) to determine the verification device 100D based on the authentication request message received by the authentication request reception unit 220E and the response message received by the response reception unit 227E. , An integer e (hash value h), an element s (element X) of the finite group (additive group) G, and an element h (element R ′) of the finite group (additive group) G are calculated.
  • the verification apparatus 100D includes an integer e (hash value h) calculated by the signature verification unit 230D, an element s (element X) of the finite group (additive group) G, and an element of the finite group (additive group) G.
  • h (element R ′) is input to determine whether the verification is successful.
  • the authentication result output unit 260E uses the processing device (CPU 911) to output an authentication result indicating whether or not the authentication is successful based on the result verified by the verification device 100D.
  • the time required for the verification device 100D to verify the integrity of the signature can be shortened, the time required for the entire processing for the authentication device 200E to verify the certification device 400E can be shortened. .
  • the authentication device 200E in this embodiment further includes a storage device (such as a magnetic disk device 920 or a RAM 914) that stores data, an encryption parameter storage unit 290D, an identification storage unit 210D, and a challenge generation unit 231E.
  • a storage device such as a magnetic disk device 920 or a RAM 914.
  • the encryption parameter storage unit 290D uses the order p of the finite group (additive group) G, the generator g of the finite group (additive group) G, and the above
  • the element X of the finite group (additive group) G is stored.
  • the identification storage unit 210D stores a bit string ID for identifying the proving device 400E using the storage device (magnetic disk device 920).
  • the authentication request receiving unit 220E uses the element R of the finite group (additive group) G, the element S of the finite group (additive group) G, and the finite group ( The element Y of the additive group) is received from the proving device 400E as the authentication request message.
  • the challenge generation unit 231E randomly generates an integer c of 1 or more and p ⁇ 1 or less using the processing device (CPU 911).
  • the question transmission unit 226E transmits the integer c generated by the challenge generation unit 231E as the question message to the certification device 400E using the transmission device (communication device 915).
  • the answer receiving unit 227E receives the integer z of 1 or more and p ⁇ 1 or less from the proving apparatus 400E as the answer message using the receiving device (communication device 915).
  • the signature verification unit 230D includes an integer calculation unit 232D, a verification source calculation unit 233D, and a first verification unit 250D.
  • the first verification unit 250D uses the processing device (CPU 911) to generate the source g stored in the cryptographic parameter storage unit 290D, the source S and the source Y received by the authentication request receiving unit 220E, and the challenge Based on the integer c generated by the generating unit 231E and the integer z received by the answer receiving unit 227E, an element Y + c ⁇ obtained by adding the element c ⁇ S obtained by adding the element S to the integer c times and the element Y + It is determined whether S is equal to an element z ⁇ g obtained by adding the element g to the integer z times. If the element Y + c ⁇ S is equal to the element z ⁇ g, it is determined that the verification is successful, This is the first verification result.
  • CPU 911 processing device
  • the verification apparatus 100D includes the order p stored by the encryption parameter storage unit 290D as the order p, the integer h calculated by the integer calculation unit 232D as the integer e, and the encryption parameter storage unit as the element s.
  • the element X stored in 290D and the element R ′ calculated by the verification element calculation unit 233D are input as the element h, and whether or not the verification is successful is determined as a second verification result.
  • the authentication result output unit 260E uses the processing device (CPU 911) based on the first verification result verified by the first verification unit 250D and the second verification result verified by the verification device 100D. If both the first verification result and the second verification result determine that the verification is successful, an authentication result indicating that the authentication is successful is output.
  • the authentication apparatus 200E described above has an element s e obtained by multiplying the element s of the multiplicative group e times by exponential multiplication in the multiplicative group or scalar multiplication in an additive group such as a group formed by points on the (super) elliptic curve.
  • the authentication method verification device authenticates the proving device 400E by verifying whether the element e ⁇ s obtained by adding the element s of the additive group e times matches the known element h.
  • the authentication device 200E A device (integer division unit 110) for dividing the exponent part (integer e); Using the divided exponents (integer e 1 and integer e 2 ), perform two-basis exponent power multiplication in the multiplicative group, or two-basis scalar multiplication in the additive group, such as the group formed by the points on the (hyper) elliptic curve.
  • a device for calculating the value h e1 ⁇ e ⁇ e2 or e 1 ⁇ he 2 ⁇ s (verification value calculation unit 130),
  • An apparatus (verification determination unit 150) for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the authentication device 200E authentication method verification device
  • the integer dividing unit 110 described above divides the exponent part (integer e) by calculating the extended Euclidean algorithm.
  • the integer dividing unit 110 described above performs the repeated division of two integers. Integer v 2 for the division, and an integer v 1 is divided, respectively, computing device an integer v 2 for the division of the remainder v 3, and before the step of dividing the previous steps (third remainder calculation unit 117) , Certain number of the remainder v 3 of the division result of each step ( ⁇ p) above, and a computing device (conformity judging unit 116) determines that or at a certain number ( ⁇ p) below.
  • the authentication device 200E described above is a BNN-ID based authentication method verification device.
  • the authentication device 200E A multiplicative or additive group element X that is a public key of the secret key generation center (key generation apparatus 300D), an element R that is a part of the private key (signature key) of the person to be authenticated (certification apparatus 400E), Based on the commit value (original) S of the authenticator and the bit string ID for identifying the user to be authenticated, the original R ⁇ X ⁇ H (R, ID) or R + H (R, ID) ⁇ X matches the original S.
  • An apparatus for calculating the value (S / R) e1 ⁇ X ⁇ e2 or e 1 ⁇ (S ⁇ R) ⁇ e 2 ⁇ X,
  • An apparatus for determining whether the value is equal to the unit element 1 of the multiplicative group or the unit element 0 of the additive group.
  • the ID-based authentication system 820E described above is an authentication system based on the BNN-ID-based authentication method.
  • the ID-based authentication system 820E includes a prover (certification device 400E) and an authenticator (authentication device 200E).
  • the prover (certification device 400E) sends a commitment Cmt (authentication request message) to the verifier (authentication device 200E).
  • the verifier (authentication apparatus 200E) receives the commitment Cmt, calculates challenge data Ch (question message) from the commitment Cmt and public information (encryption parameters, public parameters), and sends it to the prover (certification apparatus 400E).
  • the prover receives the challenge data Ch, calculates the response data Rsp, and sends it to the verifier (authentication device 200E).
  • the verifier receives the response data Rsp and verifies whether it is correct data.
  • the verifier determines that authentication is successful if the answer data is correct, and otherwise fails.
  • the ID-based authentication system 820E uses a multiplicative group G whose order p is a prime number and a generator g of the multiplicative group G.
  • the key generation device 300D performs a user secret key derivation process.
  • the key generation device 300D uses the CPU 911 to generate a random integer (secret random number) r between 1 and p ⁇ 1.
  • the proving apparatus 400E first uses the CPU 911 to generate a random integer (secret random number) y that is 1 or more and p ⁇ 1 or less.
  • the authentication device 200E uses the CPU 911 to generate a random integer c of 1 or more and p ⁇ 1 or less and sets it as challenge data Ch (question data).
  • the verification apparatus 100 speeds up the verification process has been described.
  • this technique is not limited to the example described above, and is widely distributed logarithmic type.
  • the present invention can be applied to cryptographic systems such as cryptographic communication systems, authentication systems, and signature systems.
  • the group operation is described additively has been mainly described, but it is not essential whether the group operation is described by addition or multiplication.
  • group operations can be calculated using a processing device such as a computer, and if a single group operation takes a lot of time, this technology can significantly increase the speed. It is.
  • FIG. 3 is a block configuration diagram illustrating an example of a functional block configuration of the ciphertext decryption apparatus 200 according to the first embodiment.
  • FIG. 3 is a diagram illustrating an example of an appearance of a ciphertext decryption apparatus 200 according to Embodiment 1.
  • FIG. 3 is a diagram illustrating an example of hardware resources of the ciphertext decryption apparatus 200 according to the first embodiment.
  • FIG. 3 is a block configuration diagram illustrating an example of a configuration of an internal block of the verification apparatus 100 according to the first embodiment.
  • FIG. 3 is a detailed block diagram illustrating an example of a configuration of an internal block of the integer dividing unit 110 according to the first embodiment.
  • the flowchart figure which shows an example of the flow of the integer division
  • FIG. 3 is a detailed block diagram illustrating an example of a configuration of an internal block of a verification value calculation unit 130 in the first embodiment.
  • FIG. 6 is a flowchart showing an example of a flow of verification value calculation processing in which the verification value calculation unit according to Embodiment 1 calculates an element a of a finite group G.
  • FIG. 9 is a system configuration diagram showing an example of the overall configuration of an ID-based public key encryption system 820A in the second embodiment.
  • FIG. 10 is a block configuration diagram illustrating an example of a configuration of a part of functional blocks of an encryption parameter setting device 810A according to Embodiment 2.
  • FIG. 9 is a block configuration diagram showing an example of a functional block configuration of a key generation device 300A in a second embodiment.
  • the block block diagram which shows an example of a structure of the functional block of the ciphertext generator 400A in Embodiment 2.
  • FIG. The block block diagram which shows an example of a structure of the functional block of 200 A of ciphertext decryption apparatuses in Embodiment 2.
  • FIG. 10 is a system configuration diagram illustrating an example of an overall configuration of a public key encryption system 820B according to Embodiment 3.
  • FIG. 10 is a block configuration diagram illustrating an example of a functional block configuration of a key generation device 300B according to Embodiment 3.
  • FIG. 10 is a block configuration diagram illustrating an example of a functional block configuration of a ciphertext generation apparatus 400B according to Embodiment 3.
  • FIG. 10 is a block configuration diagram illustrating an example of a functional block configuration of a ciphertext decryption apparatus 200B according to Embodiment 3.
  • the flowchart figure which shows an example of the flow of the ciphertext decryption process in which the ciphertext decryption apparatus 200A in Embodiment 3 decrypts the ciphertext c.
  • FIG. 10 is a system configuration diagram illustrating an example of an overall configuration of an ID-based public key encryption system 820C according to a fourth embodiment.
  • FIG. 10 is a block configuration diagram illustrating an example of a configuration of a part of functional blocks of an encryption parameter setting device 810C according to a fourth embodiment.
  • FIG. 10 is a block configuration diagram illustrating an example of a functional block configuration of a key generation device 300C according to a fourth embodiment.
  • FIG. 10 is a block configuration diagram illustrating an example of a functional block configuration of a ciphertext generation apparatus 400C according to a fourth embodiment.
  • the block block diagram which shows an example of a structure of the functional block of 200 C of ciphertext decryption apparatuses in Embodiment 4.
  • FIG. FIG. 10 is a detailed block diagram illustrating an example of a configuration of an internal block of a verification device 100C according to a fourth embodiment.
  • FIG. 18 is a system configuration diagram illustrating an example of an overall configuration of an ID-based signature system 820D according to the fifth embodiment.
  • FIG. 16 is a block configuration diagram illustrating an example of a configuration of a part of functional blocks of an encryption parameter setting device 810D according to a fifth embodiment.
  • FIG. 16 is a block configuration diagram illustrating an example of a functional block configuration of a key generation device 300D according to a fifth embodiment.
  • FIG. 16 is a block configuration diagram illustrating an example of a functional block configuration of a signature device 400D according to the fifth embodiment.
  • FIG. 16 is a block configuration diagram illustrating an example of a functional block configuration of a signature verification apparatus 200D according to a fifth embodiment.
  • the signature verification apparatus 200D in Embodiment 5 is a flowchart figure which shows an example of the flow of the signature verification process which verifies signature (sigma).
  • FIG. 18 is a system configuration diagram showing an example of the overall configuration of an ID-based authentication system 820E in a sixth embodiment.
  • FIG. 20 is a block configuration diagram showing an example of a functional block configuration of a certification device 400E according to a sixth embodiment.
  • FIG. 20 is a block configuration diagram illustrating an example of a functional block configuration of an authentication device 200E according to a sixth embodiment.
  • the flowchart figure which shows an example of the flow of the authentication process in which the authentication apparatus 200E in Embodiment 6 authenticates the certification
  • 100, 100A, 100B, 100C, 100D verification device 110, 110C integer division unit, 111 order input unit, 112 integer input unit, 113 initial value setting unit, 114 first remainder storage unit, 115 second remainder storage unit, 116 conformity determination unit, 117 third remainder calculation unit, 124 first coefficient storage unit, 125 second coefficient storage unit, 126 quotient calculation unit, 127 third coefficient calculation unit, 129 divided integer output unit, 130, 130C verification value Calculation unit, 131 Divided integer input unit, 132 Original input unit, 133 Index calculation unit, 134 Table generation unit, 135 Table storage unit, 141 Verification initial value setting unit, 142 Multiplication result storage unit, 143 Dual basis addition unit, 144 Addition result storage unit, 145 multiplication unit, 149 verification value output unit, 150, 150C verification determination unit, 00, 200A, 200B, 200C ciphertext decryption device, 200D signature verification device, 200E authentication device, 210, 210A, 210B, 210C key storage unit, 210D

Abstract

　整数分割処理Ｓ７０１において、整数分割部１１０は、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出する。検証値算出処理Ｓ７０２において、検証値算出部１３０は、有限群Ｇの元ｓと、加法群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、整数分割処理Ｓ７０１で整数分割部１１０が算出した整数ｅ１と整数ｅ２とに基づいて、有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出する。検証判定処理Ｓ７０３において、検証判定部１５０は、検証値算出部１３０が算出した元ａに基づいて、元ａが有限群Ｇの単位元Ｏであるか否かを判定する。これにより、ｈ＝ｅ・ｓが成立するか否かを高速に判定する。

Description

[規則37.2に基づきISAが決定した発明の名称]　検証装置
　この発明は、公開鍵暗号システムなどの暗号システムにおいて、暗号文などの整合性を検証する検証装置に関する。
　整数の剰余類が乗法についてなす群や楕円曲線上の点がなす群などの有限群（ｆｉｎｉｔｅ　ｇｒｏｕｐ）を利用した暗号システムがある。
　有限群を利用した暗号システムにおいて、暗号文の整合性を検証するなどのために、有限群の元ｈ、ｓ及び整数ｅに基づいて、ｈ＝ｅ・ｓ（有限群の群演算を加法的に記述した場合）またはｈ＝ｓｅ（有限群の群演算を乗法的に記述した場合）であるか否かを判定する場合がある。
特開２００４－２０１１２４号公報 国際公開００／３９６６８号公報 米国特許７１１０５３８号公報 Ｒ．Ｐ．Ｇａｌｌａｎｔ、Ｒ．Ｊ．Ｌａｍｂｅｒｔ、Ｓ．Ａ．Ｖａｎｓｔｏｎｅ「Ｆａｓｔｅｒ　Ｐｏｉｎｔ　Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ　ｏｎ　Ｅｌｌｉｐｔｉｃ　Ｃｕｒｖｅｓ　ｗｉｔｈ　Ｅｆｆｉｃｉｅｎｔ　Ｅｎｄｏｍｏｒｐｈｉｓｍｓ"Ｃｒｙｐｔｏ　２００１、ＬＮＣＳ　２１３９、１９０～２００ページ、２００１年。 「１８０３３－２：Ｉｎｆｏｒｍａｔｉｏｎ　Ｔｅｃｈｎｏｌｏｇｙ―Ｓｅｃｕｒｉｔｙ　ｔｅｃｈｎｉｑｕｅｓ―Ｅｎｃｒｙｐｔｉｏｎ　ａｌｇｏｒｉｔｈｍｓ―Ｐａｒｔ２：Ａｓｙｍｍｅｔｒｉｃ　ｃｉｐｈｅｒｓ」ＩＳＯ／ＩＥＣ　１８０３３－２、２００６年。 Ｒ．Ｃｒａｍｅｒ、Ｖ．Ｓｈｏｕｐ「Ｄｅｓｉｇｎ　ａｎｄ　Ａｎａｌｙｓｉｓ　ｏｆ　Ｐｒａｃｔｉｃａｌ　Ｐｕｂｌｉｃ－Ｋｅｙ　Ｅｎｃｒｙｐｔｉｏｎ　Ｓｃｈｅｍｅｓ　ｓｅｃｕｒｅ　ａｇａｉｎｓｔ　Ａｄａｐｔｉｖｅ　Ｃｈｏｓｎ　Ｃｉｐｈｅｒｔｅｘｔ　Ａｔｔａｃｋ」Ｃｒｙｐｔｏｌｏｇｙ　ｅＰｒｉｎｔ　Ａｒｃｈｉｖｅ、ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ、２００１年。 Ｄ．Ｂｏｎｅｈ、Ｘ．Ｂｏｙｅｎ「Ｅｆｆｉｃｉｅｎｔ　Ｓｅｌｅｃｔｉｖｅ－ＩＤ　Ｓｅｃｕｒｅ　Ｉｄｅｎｔｉｔｙ　Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ　Ｗｉｔｈｏｕｔ　Ｒａｎｄｏｍ　Ｏｒａｃｌｅ」ＥＵＲＯＣＲＹＰＴ　２００４、ＬＮＣＳ　３０２７、２２３～２３８ページ、２００４年。 Ｘ．Ｂｏｙｅｎ「Ｔｈｅ　ＢＢ１　Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ　Ｃｒｙｐｔｏｓｙｓｔｅｍ：Ａ　Ｓｔａｎｄａｒｄ　ｆｏｒ　Ｅｎｃｒｙｐｔｉｏｎ　ａｎｄ　Ｋｅｙ　Ｅｎｃａｐｓｕｌａｔｉｏｎ」Ｓｕｂｍｉｓｓｉｏｎｓ　ｆｏｒ　ＩＥＥＥ　Ｐ１３６３．３、ｈｔｔｐ：／／ｇｒｏｕｐｅｒ．ｉｅｅｅ．ｏｒｇ／ｇｒｏｕｐｓ／１３６３／ＩＢＣ／ｓｕｂｍｉｓｓｉｏｎｓ／ｉｎｄｅｘ．ｈｔｍｌ、２００６年。 Ｍ．Ｂａｒｂｏｓａ、Ｌ．Ｃｈｅｎ，Ｚ．Ｃｈｅｎｇ、Ｍ．Ｃｈｉｍｌｅｙ、Ａ．Ｄｅｎｔ、Ｐ．Ｆａｒｓｈｉｍ、Ｋ．Ｈａｒｒｉｓｏｎ、Ｊ．Ｍａｌｏｎｅ－Ｌｅｅ、Ｎ．Ｐ．Ｓｍａｒｔ、Ｆ．Ｖｅｒｃａｕｔｅｒｅｎ「ＳＫ－ＫＥＭ：Ａｎ　Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ　ＫＥＭ」Ｓｕｂｍｉｓｓｉｏｎｓ　ｆｏｒ　ＩＥＥＥ　Ｐ１３６３．３、ｈｔｔｐ：／／ｇｒｏｕｐｅｒ．ｉｅｅｅ．ｏｒｇ／ｇｒｏｕｐｓ／１３６３／ＩＢＣ／ｓｕｂｍｉｓｓｉｏｎｓ／ｉｎｄｅｘ．ｈｔｍｌ。 Ｍ．Ｂｅｌｌａｒｅ、Ｃ．Ｎａｍｐｒｅｍｐｒｅ、Ｇ．Ｎｅｖｅｎ「Ｓｅｃｕｒｉｔｙ　Ｐｒｏｏｆｓ　ｆｏｒ　Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　ａｎｄ　Ｓｉｇｎａｔｕｒｅ　Ｓｃｈｅｍｅｓ」ＥＵＲＯＣＲＹＰＴ　２００４、ＬＮＣＳ　３０２７、２００４年
　暗号システムに利用される有限群は、位数が非常に大きく、コンピュータなどの処理装置が１回の群演算をするのに、多くの時間がかかる場合がある。
　この発明は、例えば、上記のような課題を解決するためになされたものであり、コンピュータなどの処理装置を用いてｈ＝ｓ・ｅであるか否かを高速に判定することを目的とする。
　この発明にかかる検証装置は、
　データを処理する処理装置と、整数分割部と、検証値算出部と、検証判定部とを有し、
　上記整数分割部は、上記処理装置を用いて、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出し、
　上記検証値算出部は、上記処理装置を用いて、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、上記整数分割部が算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出し、
　上記検証判定部は、上記処理装置を用いて、上記検証値算出部が算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定することを特徴とする。
　この発明にかかる検証装置は、
　上記整数分割部が、上記処理装置を用いて、上記整数ｅ１の絶対値が上記位数ｐの平方根よりも小さく、かつ、上記整数ｅ２が上記位数ｐの平方根よりも小さいという条件を満たす整数ｅ１と整数ｅ２とを算出することを特徴とする。
　この発明にかかる検証装置は、更に、データを記憶する記憶装置を有し、
　上記整数分割部は、第一剰余記憶部と、第二剰余記憶部と、初期値設定部と、適合性判定部と、第三剰余算出部と、分割整数出力部とを有し、
　上記第一剰余記憶部は、上記記憶装置を用いて、整数ｖ１を記憶し、
　上記第二剰余記憶部は、上記記憶装置を用いて、整数ｖ２を記憶し、
　上記初期値設定部は、上記処理装置を用いて、上記位数ｐを上記整数ｖ１として上記第一剰余記憶部に記憶させ、上記整数ｅを上記整数ｖ２として上記第二剰余記憶部に記憶させ、
　上記適合性判定部は、上記処理装置を用いて、上記第二剰余記憶部が記憶した整数ｖ２が上記位数ｐの平方根よりも小さい場合に、出力条件を満たしたと判定し、
　上記第三剰余算出部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定しない場合に、上記第一剰余記憶部が記憶した整数ｖ１と、上記第二剰余記憶部が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った余りを算出して、整数ｖ３とし、上記第二剰余記憶部が記憶した整数ｖ２を上記整数ｖ１として上記第一剰余記憶部に記憶させ、算出した整数ｖ３を上記整数ｖ２として上記第二剰余記憶部に記憶させ、
　上記分割整数出力部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定した場合に、上記第二剰余記憶部が記憶した整数ｖ２を上記整数ｅ２として出力することを特徴とする。
　この発明にかかる検証装置は、
　上記整数分割部が、更に、第一係数記憶部と、第二係数記憶部と、商算出部と、第三係数算出部とを有し、
　上記第一係数記憶部は、上記記憶装置を用いて、整数ｔ１を記憶し、
　上記第二係数記憶部は、上記記憶装置を用いて、整数ｔ２を記憶し、
　上記初期値設定部は、更に、上記処理装置を用いて、上記整数ｔ１として０を上記第一係数記憶部に記憶させ、上記整数ｔ２として１を上記第二係数記憶部に記憶させ、
　上記商算出部は、上記処理装置を用いて、上記第一剰余記憶部が記憶した整数ｖ１と、上記第二剰余記憶部が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った商を超えない最大の整数を算出して、整数ｑとし、
　上記第三係数算出部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定しない場合に、上記第一係数記憶部が記憶した整数ｔ１と、上記第二係数記憶部が記憶した整数ｔ２と、上記商算出部が算出した整数ｑとに基づいて、上記整数ｔ２と上記整数ｑとの積を、上記整数ｔ１から減算した整数を算出して、整数ｔ３とし、上記第二係数記憶部が記憶した整数ｔ２を上記整数ｔ１として上記第一係数記憶部に記憶させ、算出した整数ｔ３を上記整数ｔ２として上記第二係数記憶部に記憶させ、
　上記分割整数出力部は、更に、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定した場合に、上記第二係数記憶部が記憶した整数ｔ２を上記整数ｅ１として出力することを特徴とする。
　この発明にかかる検証装置は、
　上記検証値算出部が、上記処理装置を用いて、Σ（ｎｉ・Ｐｉ）（ただし、ｎは２以上の所定の整数。ｉは０以上ｋ以下の整数。ｋは上記整数ｅ１の絶対値及び上記整数ｅ２をｎ進法で表記した場合の桁数の最大値。Ｐｉは、上記有限群Ｇの元で、Ｐｉ＝ｅ１，ｓｇｎ・ｅ１，ｉ・ｈ－ｅ２，ｉ・ｓ。ｅ１，ｓｇｎは１または－１。ｅ１，ｉ及びｅ２，ｉは０以上ｎ－１以下の整数で、ｅ１＝ｅ１，ｓｇｎ・Σ（ｎｉ・ｅ１，ｉ）、ｅ２＝Σ（ｎｉ・ｅ２，ｉ）。）を算出して、上記有限群Ｇの元ａとすることを特徴とする。
　この発明にかかる暗号文復号装置は、
　データを記憶する記憶装置と、データを処理する処理装置と、鍵記憶部と、暗号文入力部と、暗号文検証部と、検証装置と、復号文生成部とを有し、
　上記鍵記憶部は、上記記憶装置を用いて、暗号文を復号する鍵を記憶し、
　上記暗号文入力部は、上記処理装置を用いて、暗号文を入力し、
　上記暗号文検証部は、上記処理装置を用いて、上記鍵記憶部が記憶した鍵と、上記暗号文入力部が入力した暗号文とに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
　上記検証装置は、上記暗号文検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
　上記復号文生成部は、上記処理装置を用いて、上記検証装置が検証成功と判定した場合に、上記暗号文入力部が入力した暗号文を上記鍵記憶部が記憶した鍵により復号して、復号文を生成することを特徴とする。
　この発明にかかる暗号文復号装置は、更に、暗号パラメータ記憶部と、識別記憶部と、識別元算出部と、識別元記憶部とを有し、
　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇ１と、上記有限群Ｇの元Ｒとを記憶し、
　上記識別記憶部は、上記記憶装置を用いて、上記暗号文復号装置を識別するビット列ＩＤを記憶し、
　上記識別元算出部は、上記処理装置を用いて、上記識別記憶部が記憶したビット列ＩＤに基づいて、所定のハッシュ関数Ｈ１により上記ビット列ＩＤをハッシュしたハッシュ値を算出して、整数Ｈ１（ＩＤ）とし、上記暗号パラメータ記憶部が記憶した生成元ｇ１と、上記暗号パラメータ記憶部が記憶した元Ｒと、算出した整数Ｈ１（ＩＤ）とに基づいて、上記生成元ｇ１を整数Ｈ１（ＩＤ）倍した元と、上記元Ｒとを加算して、上記有限群Ｇの元Ｑ（＝Ｒ＋Ｈ１（ＩＤ）・ｇ１）とし、
　上記識別元記憶部は、上記記憶装置を用いて、上記識別元算出部が算出した元Ｑを記憶し、
　上記鍵記憶部は、上記記憶装置を用いて、有限群Ｇ２の元ＤＩＤを記憶し、
　上記暗号文入力部は、上記処理装置を用いて、上記有限群Ｇの元Ｕと、ビット列Ｖとを上記暗号文として入力し、
　上記暗号文検証部は、ペアリング値算出部と、ビット列算出部と、整数算出部とを有し、
　上記ペアリング値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元Ｕと、上記鍵記憶部が記憶した元ＤＩＤとに基づいて、所定のペアリング関数ｅにより上記元Ｕと上記元ＤＩＤとのペアリング値を算出して、ペアリング値α（＝ｅ（Ｕ，ＤＩＤ））とし、
　上記ビット列算出部は、上記処理装置を用いて、上記ペアリング値算出部が算出したペアリング値αに基づいて、所定のハッシュ関数Ｈ２により上記ペアリング値αをハッシュしたハッシュ値を算出して、ビット列Ｈ２（α）とし、上記暗号文入力部が入力したビット列Ｖと、算出したビット列Ｈ２（α）とに基づいて、上記ビット列Ｖと上記ビット列Ｈ２（α）との排他的論理和を取って、ビット列ｍ（＝Ｖ　ＸＯＲ　Ｈ２（α））とし、
　上記整数算出部は、上記処理装置を用いて、上記ビット列算出部が算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ３により上記ビット列ｍをハッシュしたハッシュ値を算出して、整数ｒ（＝Ｈ３（ｍ））とし、
　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｒと、上記元ｓとして上記識別元記憶部が記憶した元Ｑと、上記元ｈとして上記暗号文入力部が入力した元Ｕとを入力して、検証成功か否かを判定し、
　上記復号文生成部は、上記処理装置を用いて、上記検証装置が検証成功と判定した場合に、上記ビット列算出部が算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ４により上記ビット列ｍをハッシュしたハッシュ値を算出して、共通鍵Ｋ（＝Ｈ４（ｍ））とし、算出した共通鍵Ｋを上記復号文として出力することを特徴とする。
　この発明にかかる暗号文復号装置は、
　上記識別元算出部が、上記暗号文入力部が上記暗号文を入力するよりも前に、上記元Ｑを算出することを特徴とする。
　この発明にかかる暗号文復号装置は、更に、共通鍵記憶部と、暗号化メッセージ入力部と、メッセージ復号部とを有し、
　上記共通鍵記憶部は、上記記憶装置を用いて、上記復号文生成部が出力した共通鍵Ｋを記憶し、
　上記暗号化メッセージ入力部は、上記処理装置を用いて、暗号化メッセージを入力し、
　上記メッセージ復号部は、上記処理装置を用いて、上記共通鍵記憶部が記憶した共通鍵Ｋにより上記暗号化メッセージ入力部が入力した暗号化メッセージを復号することを特徴とする。
　この発明にかかる暗号文復号装置は、更に、暗号パラメータ記憶部を有し、
　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐを記憶し、
　上記鍵記憶部は、上記記憶装置を用いて、１以上ｐ－１以下の整数ｗと、１以上ｐ－１以下の整数ｘと、１以上ｐ－１以下の整数ｙと、１以上ｐ－１以下の整数ｚとを記憶し、
　上記暗号文入力部は、上記処理装置を用いて、上記有限群Ｇの元ｕと、上記有限群Ｇの元ｕ’と、上記有限群Ｇの元ｖとを上記暗号文として入力し、
　上記暗号文検証部は、ハッシュ値算出部と、整数算出部とを有し、
　上記ハッシュ値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元ｕと元ｕ’とに基づいて、所定のハッシュ関数Ｈにより上記元ｕと上記元ｕ’とをハッシュしたハッシュ値を算出して、整数α（＝Ｈ（ｕ，ｕ’））とし、
　上記整数算出部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した位数ｐと、上記鍵記憶部が記憶した整数ｘと整数ｙと、上記ハッシュ値算出部が算出した整数αとに基づいて、上記整数ｙと上記整数αとの積と、上記整数ｘとの和を、上記位数ｐで割った余りを算出して、整数ｔ（＝（ｘ＋ｙ・α）ｍｏｄ　ｐ）とし、
　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記鍵記憶部が記憶した整数ｗと、上記元ｓとして上記暗号文入力部が入力した元ｕと、上記元ｈとして上記暗号文入力部が入力した元ｕ’とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｔと、上記元ｓとして上記暗号文入力部が入力した元ｕと、上記元ｈとして上記暗号文入力部が入力した元ｖとを入力し、検証成功か否かを判定して、第二の検証結果とし、
　上記復号文生成部は、上記処理装置を用いて、上記検証装置が上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、上記鍵記憶部が記憶した整数ｚと、上記暗号文入力部が入力した元ｕとに基づいて、上記元ｕを上記整数ｚ回加算して、上記有限群Ｇの元ｈ（＝ｚ・ｕ）とし、上記暗号文入力部が入力した元ｕと、算出した元ｈ～とに基づいて、所定の鍵導出関数ＫＤＦにより上記元ｕと上記元ｈ～とから共通鍵Ｋ（＝ＫＤＦ（ｕ，ｈ～））を生成し、生成した共通鍵Ｋを上記復号文として出力することを特徴とする。
　この発明にかかる暗号文復号装置は、更に、共通鍵記憶部と、暗号化メッセージ入力部と、メッセージ復号部とを有し、
　上記共通鍵記憶部は、上記記憶装置を用いて、上記復号文生成部が出力した共通鍵Ｋを記憶し、
　上記暗号化メッセージ入力部は、上記処理装置を用いて、暗号化メッセージを入力し、
　上記メッセージ復号部は、上記処理装置を用いて、上記共通鍵記憶部が記憶した共通鍵Ｋにより上記暗号化メッセージ入力部が入力した暗号化メッセージを復号することを特徴とする。
　この発明にかかる暗号文復号装置は、更に、暗号パラメータ記憶部を有し、
　上記暗号パラメータ記憶部は、上記記憶装置を用いて、加法群Ｇ１の位数ｐと、上記加法群Ｇ１の生成元ｇと、上記位数ｐを位数とする乗法群ＧＴの元ｖ０とを記憶し、
　上記鍵記憶部は、上記記憶装置を用いて、上記位数ｐを位数とする加法群Ｇ２の元ｄ０と、上記加法群Ｇ２の元ｄ１とを記憶し、
　上記暗号文入力部は、上記処理装置を用いて、ビット列ｃと、上記加法群Ｇ１の元ｃ０と、上記加法群Ｇ１の元ｃ１と、１以上ｐ－１以下の整数ｔとを上記暗号文として入力し、
　上記暗号文検証部は、ペアリング値算出部と、整数算出部とを有し、
　上記ペアリング値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元ｃ０と、上記秘密鍵記憶部が記憶した元ｄ０とに基づいて、所定のペアリング関数ｅにより上記元ｃ０と上記元ｄ０とのペアリング値を算出して、上記乗法群ＧＴの元ｋ０（＝ｅ（ｃ０，ｄ０））とし、上記暗号文入力部が入力した元ｃ１と、上記秘密鍵記憶部が記憶した元ｄ１とに基づいて、上記ペアリング関数ｅにより上記元ｃ１と上記元ｄ１とのペアリング値を算出して、上記乗法群ＧＴの元ｋ１（＝ｅ（ｃ１，ｄ１））とし、算出した上記元ｋ０と、算出した上記元ｋ１とに基づいて、上記元ｋ０を上記元ｋ１で除算して、上記乗法群ＧＴの元ｋ（＝ｋ０／ｋ１）とし、
　上記整数算出部は、上記処理装置を用いて、上記ペアリング値算出部が算出した元ｋと、上記暗号文入力部が入力したビット列ｃと元ｃ０と元ｃ１とに基づいて、所定のハッシュ関数Ｈ”により上記元ｋと上記ビット列ｃと上記元ｃ０と上記元ｃ１とをハッシュしたハッシュ値を算出して、整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とし、上記暗号文入力部が入力した整数ｔと、算出した整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）と、上記暗号パラメータ記憶部が機記憶した位数ｐとに基づいて、上記整数ｔから上記整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を減算した整数を位数ｐで割った余りを算出して、整数ｓ（＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）ｍｏｄ　ｐ）とし、
　上記検証装置は、上記加法群Ｇ１を上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部が記憶した生成元ｇと、上記元ｈとして上記暗号文入力部が入力した元ｃ０とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記乗法群ＧＴを上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元ｖ０と、上記元ｈとして上記ペアリング値算出部が算出した元ｋとを入力し、検証成功か否かを判定して、第二の検証結果とし、
　上記復号文生成部は、上記処理装置を用いて、上記検証装置が上記第一の検証結果及び上記第二の検証結果おいてともに検証成功と判定した場合に、上記ペアリング値算出部が算出した元ｋとに基づいて、所定のハッシュ関数Ｈ’により上記元ｋをハッシュしたハッシュ値を算出して、ビット列Ｈ’（ｋ）とし、上記暗号文入力部が入力したビット列ｃと、算出したビット列Ｈ’（ｋ）とに基づいて、上記ビット列ｃと上記ビット列Ｈ’（ｋ）との排他的論理和を取って、ビット列Ｍ’（＝ｃ　ＸＯＲ　Ｈ’（ｋ））とし、算出したビット列Ｍ’を上記復号文として出力することを特徴とする。
　この発明にかかる署名検証装置は、
　データを処理する処理装置と、メッセージ入力部と、署名入力部と、署名検証部と、検証装置と、検証結果出力部とを有し、
　上記メッセージ入力部は、上記処理装置を用いて、メッセージを入力し、
　上記署名入力部は、上記処理装置を用いて、上記メッセージ入力部が入力したメッセージに対する署名を入力し、
　上記署名検証部は、上記処理装置を用いて、上記メッセージ入力部が入力したメッセージと、上記署名入力部が入力した署名とに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
　上記検証装置は、上記署名検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
　上記検証結果出力部は、上記処理装置を用いて、上記検証装置が検証した結果に基づいて、検証成功であるか否か表わす検証結果を出力することを特徴とする。
　この発明にかかる署名検証装置は、更に、データを記憶する記憶装置と、暗号パラメータ記憶部と、識別記憶部とを有し、
　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇと、上記有限群Ｇの元Ｘとを記憶し、
　上記識別記憶部は、上記記憶装置を用いて、署名装置を識別するビット列ＩＤを記憶し、
　上記メッセージ入力部は、上記処理装置を用いて、ビット列Ｍを上記メッセージとして入力し、
　上記署名入力部は、上記処理装置を用いて、上記有限群Ｇの元Ｒと、上記有限群Ｇの元Ｓと、上記有限群Ｇの元Ｙと、１以上ｐ－１以下の整数ｚとを上記署名として入力し、
　上記署名検証部は、整数算出部と、検証元算出部と、チャレンジ算出部と、第一検証部とを有し、
　上記整数算出部は、上記処理装置を用いて、上記署名入力部が入力した元Ｒと、上記識別記憶部が記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列ＩＤとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とし、
　上記検証元算出部は、上記処理装置を用いて、上記署名入力部が入力した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群Ｇの元Ｒ’（＝Ｓ－Ｒ）とし、
　上記チャレンジ算出部は、上記処理装置を用いて、上記識別記憶部が記憶したビット列ＩＤと、上記署名入力部が入力した元Ｒと元Ｓと元Ｙと、上記メッセージ入力部が入力したビット列Ｍとに基づいて、所定のハッシュ関数Ｈ’により上記ビット列ＩＤと上記元Ｒと上記元Ｓと上記元Ｙと上記ビット列Ｍとをハッシュしたハッシュ値を算出して、整数ｃ（＝Ｈ’（Ｉ，Ｒ，Ｓ，Ｙ，Ｍ））とし、
　上記第一検証部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した生成元ｇと、上記署名入力部が入力した元Ｓと元Ｙと整数ｚと、上記チャレンジ算出部が算出した整数ｃとに基づいて、上記元Ｓを上記整数ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とし、
　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元Ｘと、上記元ｈとして上記検証元算出部が算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とし、
　上記検証結果出力部は、上記処理装置を用いて、上記第一検証部が検証した第一の検証結果と、上記検証装置が検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、検証成功であることを表わす検証結果を出力することを特徴とする。
　この発明にかかる認証装置は、
　データを処理する処理装置と、データを送信する送信装置と、データを受信する受信装置と、認証要求受信部と、質問送信部と、回答受信部と、署名検証部と、検証装置と、認証結果出力部とを有し、
　上記認証要求受信部は、上記受信装置を用いて、認証要求メッセージを受信し、
　上記質問送信部は、上記送信装置を用いて、上記認証要求受信部が受信した認証要求メッセージに対する応答として、質問メッセージを送信し、
　上記回答受信部は、上記受信装置を用いて、送信した質問メッセージに対する回答メッセージを受信し、
　上記署名検証部は、上記処理装置を用いて、上記認証要求受信部が受信した認証要求メッセージと、上記回答受信部が受信した回答メッセージとに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
　上記検証装置は、上記署名検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
　上記認証結果出力部は、上記処理装置を用いて、上記検証装置が検証した結果に基づいて、認証成功であるか否か表わす認証結果を出力することを特徴とする。
　上記認証装置は、更に、データを記憶する記憶装置と、暗号パラメータ記憶部と、識別記憶部と、チャレンジ生成部とを有し、
　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇと、上記有限群Ｇの元Ｘとを記憶し、
　上記識別記憶部は、上記記憶装置を用いて、証明装置を識別するビット列ＩＤを記憶し、
　上記認証要求受信部は、上記受信装置を用いて、上記有限群Ｇの元Ｒと、上記有限群Ｇの元Ｓと、上記有限群の元Ｙとを上記認証要求メッセージとして上記証明装置から受信し、
　上記チャレンジ生成部は、上記処理装置を用いて、１以上ｐ－１以下の整数ｃをランダムに生成し、
　上記質問送信部は、上記送信装置を用いて、上記チャレンジ生成部が生成した整数ｃを上記質問メッセージとして上記証明装置に対して送信し、
　上記回答受信部は、上記受信装置を用いて、１以上ｐ－１以下の整数ｚを上記回答メッセージとして上記証明装置から受信し、
　上記署名検証部は、整数算出部と、検証元算出部と、第一検証部とを有し、
　上記整数算出部は、上記処理装置を用いて、上記認証要求受信部が受信した元Ｒと、上記識別記憶部が記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列ＩＤとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とし、
　上記検証元算出部は、上記処理装置を用いて、上記認証要求受信部が受信した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群Ｇの元Ｒ’（＝Ｓ－Ｒ）とし、
　上記第一検証部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した生成元ｇと、上記認証要求受信部が受信した元Ｓと元Ｙと、上記チャレンジ生成部が生成した整数ｃと、上記回答受信部が受信した整数ｚとに基づいて、上記元Ｓを上記整数ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とし、
　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元Ｘと、上記元ｈとして上記検証元算出部が算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とし、
　上記認証結果出力部は、上記処理装置を用いて、上記第一検証部が検証した第一の検証結果と、上記検証装置が検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、認証成功であることを表わす認証結果を出力することを特徴とする。
　この発明にかかる暗号システムは、上記検証装置を有することを特徴とする。
　この発明にかかるコンピュータプログラムは、データを処理する処理装置を有するコンピュータを、上記検証装置として機能させることを特徴とする。
　この発明にかかる検証方法は、
　データを処理する処理装置を有する検証装置が、整合性を検証する検証方法において、
　上記処理装置が、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出し、
　上記処理装置が、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出し、
　上記処理装置が、算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定することを特徴とする。
　この発明によれば、例えば、整数分割部が算出した整数ｅ１及び整数ｅ２に基づいて検証値算出部が算出した元ａが有限群Ｇの単位元である場合に、検証判定部が検証成功と判定するので、ｈ＝ｅ・ｓである場合に検証成功と判定することができる。検証値算出部において元ａを算出する処理にかかる時間が、ｅ・ｓを算出するのにかかる時間より短ければ、ｈ＝ｅ・ｓであるか否かを判定する処理にかかる時間を短縮することができるという効果を奏する。
　実施の形態１．
　実施の形態１について、図１～図９を用いて説明する。
　以下の説明において、暗号システムが利用する有限群をＧとする。
　また、有限群Ｇにおける演算は、加法的に記述する。なお、これは、説明の便宜のためであって、群演算を乗法的に記述する群を除外するものではない。
　有限群Ｇの位数ｐは、素数であるものとする。したがって、有限群Ｇは巡回群である。
　図１は、この実施の形態における暗号文復号装置２００の機能ブロックの構成の一例を示すブロック構成図である。
　暗号文復号装置２００は、暗号文を入力し、入力した暗号文を復号して、復号文を生成する。
　暗号文復号装置２００は、鍵記憶部２１０、暗号文入力部２２０、暗号文検証部２３０、検証装置１００、復号文生成部２６０を有する。
　鍵記憶部２１０は、暗号文を復号する鍵（秘密鍵）を記憶する。
　暗号文入力部２２０は、暗号文を入力する。
　暗号文検証部２３０は、鍵記憶部２１０が記憶した鍵と、暗号文入力部２２０が入力した暗号文とに基づいて、暗号文入力部２２０が入力した暗号文を検証するために必要な値を算出する。
　検証装置１００は、暗号文検証部２３０が算出した値に基づいて、暗号文入力部２２０が入力した暗号文を検証する。
　復号文生成部２６０は、検証装置１００が検証に成功した場合に、暗号文入力部２２０が入力した暗号文を、鍵記憶部２１０が記憶した鍵により復号して、復号文を生成する。
　不正者は、暗号文復号装置２００に不正な暗号文を入力して、暗号文復号装置２００が生成した復号文を解析することにより、正規の暗号文を解読する手がかりを得ようとする場合がある。
　暗号文復号装置２００は、暗号文の整合性を検証して検証に成功した場合にのみ、復号文を生成することにより、正規の暗号文を解読する手がかりを不正者に与えるのを防ぐ。
　図２は、この実施の形態における暗号文復号装置２００の外観の一例を示す図である。
　暗号文復号装置２００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
　システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。
　図３は、この実施の形態における暗号文復号装置２００のハードウェア資源の一例を示す図である。
　暗号文復号装置２００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信装置９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
　ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
　通信装置９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
　また、通信装置９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。
　通信装置９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信装置９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
　磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
　上記プログラム群９２３には、以下に述べる実施の形態の説明において「～部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
　ファイル群９２４には、以下に述べる実施の形態の説明において、「～の判定結果」、「～の計算結果」、「～の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「～ファイル」や「～データベース」の各項目として記憶されている。「～ファイル」や「～データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
　また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
　また、以下に述べる実施の形態の説明において「～部」として説明するものは、「～回路」、「～装置」、「～機器」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。すなわち、「～部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「～部」としてコンピュータを機能させるものである。あるいは、以下に述べる「～部」の手順や方法をコンピュータに実行させるものである。
　図４は、この実施の形態における検証装置１００の内部ブロックの構成の一例を示すブロック構成図である。
　検証装置１００は、有限群Ｇの元ｓ及び元ｈ、有限群Ｇの位数ｐ、整数ｅを入力し、ｈ＝ｅ・ｓであるか否かを判定する。なお、整数ｅは１以上ｐ－１以下であるものとする。
　検証装置１００は、整数分割部１１０、検証値算出部１３０、検証判定部１５０を有する。
　整数分割部１１０は、ＣＰＵ９１１を用いて、有限群Ｇの位数ｐと、整数ｅとを入力して、２つの整数ｅ１，ｅ２を算出する。
　検証値算出部１３０は、ＣＰＵ９１１を用いて、有限群Ｇの元ｓ及び元ｈと、整数分割部１１０が算出した整数ｅ１及び整数ｅ２とに基づいて、有限群Ｇの元ａを算出する。
　検証判定部１５０は、ＣＰＵ９１１を用いて、検証値算出部１３０が算出した元ａが有限群Ｇの単位元であるか否かを判定する。元ａが有限群Ｇの単位元である場合、検証判定部１５０は、検証成功（すなわち、ｈ＝ｅ・ｓである）と判定する。
　図５は、この実施の形態における検証装置１００がｈ＝ｅ・ｓであるか否かを判定する検証処理の流れの一例を示すフローチャート図である。
　整数分割処理Ｓ７０１において、整数分割部１１０は、ＣＰＵ９１１を用いて、入力した位数ｐと整数ｅとに基づいて、２つの整数ｅ１，ｅ２を算出する。整数分割部１１０は、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜｜ｅ２｜＜√ｐという条件を満たす整数ｅ１及び整数ｅ２を算出する。
　検証値算出処理Ｓ７０２において、検証値算出部１３０は、ＣＰＵ９１１を用いて、入力した元ｓと元ｈと、整数分割処理Ｓ７０１で整数分割部１１０が算出した整数ｅ１と整数ｅ２とに基づいて、有限群Ｇの元ａ＝ｅ１・ｈ－ｅ２・ｓを算出する。
　検証判定処理Ｓ７０３において、検証判定部１５０は、ＣＰＵ９１１を用いて、検証値算出処理Ｓ７０２で検証値算出部１３０が算出した元ａが、有限群Ｇの単位元（以下「Ｏ」と記述する。）であるか否かを判定する。
　元ａが単位元Ｏであると判定した場合、成功判定処理Ｓ７０４へ進む。
　元ａが単位元Ｏでないと判定した場合、失敗判定処理Ｓ７０５へ進む。
　成功判定処理Ｓ７０４において、検証判定部１５０は、ＣＰＵ９１１を用いて、検証成功と判定し、検証処理を終了する。
　失敗判定処理Ｓ７０５において、検証判定部１５０は、ＣＰＵ９１１を用いて、憲章失敗と判定し、検証処理を終了する。
　図６は、この実施の形態における整数分割部１１０の内部ブロックの構成の一例を示す詳細ブロック図である。
　整数分割部１１０は、有限群Ｇの位数ｐと、整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１及び整数ｅ２を算出する。すなわち、整数分割部１１０は、整数ｅ１と整数ｅとの積を位数ｐで割った余りが、整数ｅ２と等しくなるよう、整数ｅ１及び整数ｅ２を定める。
　なお、検証値算出部１３０における計算を高速化するため、整数分割部１１０は、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１及び整数ｅ２のうち、絶対値が位数ｐの平方根よりも小さい整数ｅ１と、位数ｐの平方根よりも小さい１以上の整数である整数ｅ２とを選択する。
　整数分割部１１０は、位数入力部１１１、整数入力部１１２、初期値設定部１１３、第一剰余記憶部１１４、第二剰余記憶部１１５、適合性判定部１１６、第三剰余算出部１１７、第一係数記憶部１２４、第二係数記憶部１２５、商算出部１２６、第三係数算出部１２７、分割整数出力部１２９を有する。
　位数入力部１１１は、ＣＰＵ９１１を用いて、有限群Ｇの位数ｐを表わすデータを入力する。位数入力部１１１は、ＲＡＭ９１４を用いて、入力した位数ｐを表わすデータを記憶する。
　整数入力部１１２は、ＣＰＵ９１１を用いて、整数ｅを表わすデータを入力する。整数入力部１１２は、ＲＡＭ９１４を用いて、入力した整数ｅを表わすデータを記憶する。
　第一剰余記憶部１１４は、ＲＡＭ９１４を用いて、整数ｖ１を表わすデータを記憶する。
　第二剰余記憶部１１５は、ＲＡＭ９１４を用いて、整数ｖ２を表わすデータを記憶する。
　第一係数記憶部１２４は、ＲＡＭ９１４を用いて、整数ｔ１を表わすデータを記憶する。
　第二係数記憶部１２５は、ＲＡＭ９１４を用いて、整数ｔ２を表わすデータを記憶する。
　初期値設定部１１３は、第一剰余記憶部１１４、第二剰余記憶部１１５、第一係数記憶部１２４、第二係数記憶部１２５に初期値を設定する。
　初期値設定部１１３は、ＣＰＵ９１１を用いて、位数入力部１１１が記憶した位数ｐを表わすデータと、整数入力部１１２が記憶した整数ｅを表わすデータとを入力する。初期値設定部１１３は、ＣＰＵ９１１を用いて、入力した位数ｐを表わすデータを、整数ｖ１を表わすデータとして第一剰余記憶部１１４に記憶させる。初期値設定部１１３は、ＣＰＵ９１１を用いて、入力した整数ｅを表わすデータを、整数ｖ２を表わすデータとして第二剰余記憶部１１５に記憶させる。初期値設定部１１３は、ＣＰＵ９１１を用いて、整数ｔ１を表わすデータとして０を表わすデータを第一係数記憶部１２４に記憶させる。初期値設定部１１３は、ＣＰＵ９１１を用いて、整数ｔ２を表わすデータとして１を表わすデータを第二係数記憶部１２５に記憶させる。
　ここで、ｖ１＝ｐ、ｖ２＝ｅ、ｔ１＝０、ｔ２＝１だから、ｋ１、ｋ２を整数とすると、
Figure JPOXMLDOC01-appb-M000001
Figure JPOXMLDOC01-appb-M000002
Figure JPOXMLDOC01-appb-M000003
Figure JPOXMLDOC01-appb-M000004
Figure JPOXMLDOC01-appb-M000005
　適合性判定部１１６は、ＣＰＵ９１１を用いて、位数入力部１１１が記憶した位数ｐを表わすデータと、第二剰余記憶部１１５が整数ｖ２を表わすデータを入力する。適合性判定部１１６は、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｖ２とに基づいて、出力条件を満たしたか否かを判定する。具体的には、適合性判定部１１６は、ＣＰＵ９１１を用いて、整数ｖ２と位数ｐの平方根とを比較して、整数ｖ２のほうが位数ｐの平方根よりも小さい場合に、出力条件を満たしたと判定する。
　なお、適合性判定部１１６は、あらかじめ、ＣＰＵ９１１を用いて、位数ｐの平方根を超えない最大の整数を算出しておいてもよい。
　また、位数ｐの平方根を算出する代わりに、整数ｖ２の２進表記における桁数と、位数ｐの２進表記における桁数とを比較することにより、出力条件を満たしたか否かを判定してもよい。すなわち、適合性判定部１１６は、あらかじめ、ＣＰＵ９１１を用いて、位数ｐを表わすデータのビット数を求め、求めたビット数を２で割って（割り切れない場合は切り上げ）、平方根ビット数とする。平方根ビット数は、位数ｐの平方根を超えない整数の２進表記における桁数を表わす。適合性判定部１１６は、ＲＡＭ９１４を用いて、算出した平方根ビット数を記憶しておき、ＣＰＵ９１１を用いて、整数ｖ２を表わすデータのビット数を算出する。適合性判定部１１６は、ＣＰＵ９１１を用いて、算出したビット数と、記憶した平方根ビット数とを比較し、整数ｖ２を表わすデータのビット数が、平方根ビット数以下である場合に、整数ｖ２のほうが位数ｐの平方根よりも小さいものとみなし、出力条件を満たしたと判定する。
　適合性判定部１１６が出力条件を満たしていないと判定した場合、第三剰余算出部１１７は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４が記憶した整数ｖ１を表わすデータと、第二剰余記憶部１１５が記憶した整数ｖ２を表わすデータとを入力する。第三剰余算出部１１７は、入力したデータが表わす整数ｖ１と整数ｖ２とに基づいて、整数ｖ１を整数ｖ２で割った余りを算出し、整数ｖ３とする。
　また、適合性判定部１１６が出力条件を満たしていないと判定した場合、商算出部１２６は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４が記憶した整数ｖ１を表わすデータと、第二剰余記憶部１１５が記憶した整数ｖ２を表わすデータとを入力する。商算出部１２６は、入力したデータが表わす整数ｖ１と整数ｖ２とに基づいて、整数ｖ１を整数ｖ２で割った商を超えない最大の整数を算出し、整数ｑとする。商算出部１２６は、ＲＡＭ９１４を用いて、算出した整数ｑを表わすデータを記憶する。
　第三係数算出部１２７は、ＣＰＵ９１１を用いて、第一係数記憶部１２４が記憶した整数ｔ１を表わすデータと、第二係数記憶部１２５が記憶した整数ｔ２を表わすデータと、商算出部１２６が算出した整数ｑを表わすデータとを入力する。第三係数算出部１２７は、ＣＰＵ９１１を用いて、入力したデータが表わす整数ｔ１と整数ｔ２と整数ｑとに基づいて、整数ｔ１から、整数ｑと整数ｔ２との積を減算した整数ｔ３（＝ｔ１－ｑ・ｔ２）を算出する。
　ここで、ｋ３を整数とすると、
Figure JPOXMLDOC01-appb-M000006
 　また、整数ｖ３は、整数ｖ１を整数ｖ２で割った余りだから、
Figure JPOXMLDOC01-appb-M000007
 　また、ｖ１＞ｖ２＞０であれば、ｑ≧１なので、ｔ１≦０、ｔ２＞０ならば、
Figure JPOXMLDOC01-appb-M000008
 　ｔ１＞０、ｔ２＜０ならば、
Figure JPOXMLDOC01-appb-M000009
 　したがって、いずれの場合も、
Figure JPOXMLDOC01-appb-M000010
 　よって、
Figure JPOXMLDOC01-appb-M000011
　第三剰余算出部１１７は、ＣＰＵ９１１を用いて、入力した整数ｖ２を表わすデータを、整数ｖ１を表わすデータとして第一剰余記憶部１１４に記憶させる。第三剰余算出部１１７は、ＣＰＵ９１１を用いて、算出した整数ｖ３に基づいて、整数ｖ３を表わすデータを、整数ｖ２を表わすデータとして第二剰余記憶部１１５に記憶させる。
　第三係数算出部１２７は、ＣＰＵ９１１を用いて、入力した整数ｔ２を表わすデータを、整数ｔ１を表わすデータとして第一係数記憶部１２４に記憶させる。第三係数算出部１２７は、ＣＰＵ９１１を用いて、算出した整数ｔ３に基づいて、整数ｔ３を表わすデータを、整数ｔ２を表わすデータとして第二係数記憶部１２５に記憶させる。
　数６～数１１より、第一剰余記憶部１１４、第二剰余記憶部１１５、第一係数記憶部１２４、第二係数記憶部１２５が新たに記憶したデータが表わす整数ｖ１、整数ｖ２、整数ｔ１、整数ｔ２の間にも、数１～数５が成り立つ。
　適合性判定部１１６が出力条件を満たしたと判定した場合、分割整数出力部１２９は、ＣＰＵ９１１を用いて、第二剰余記憶部１１５が記憶した整数ｖ２を表わすデータと、第二係数記憶部１２５が記憶した整数ｔ２を表わすデータとを入力する。分割整数出力部１２９は、ＣＰＵ９１１を用いて、入力した整数ｔ２を表わすデータを、整数ｅ１を表わすデータとして出力する。また、分割整数出力部１２９は、ＣＰＵ９１１を用いて、入力した整数ｖ２を表わすデータを、整数ｅ２を表わすデータとして出力する。
　第三剰余算出部１１７及び第三係数算出部１２７がこの計算を繰り返すと、ｖ２はやがて位数ｐと整数ｅとの最大公約数になる。位数ｐは素数なので、位数ｐと整数ｅとの最大公約数は１である。したがって、必ず０＜ｖ２＜√ｐとなり、分割整数出力部１２９が整数ｅ１及び整数ｅ２を表わすデータを出力する。
　図７は、この実施の形態における整数分割部１１０が整数ｅを分割する整数分割処理の流れの一例を示すフローチャート図である。
　初期値設定工程Ｓ７１１において、初期値設定部１１３は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４、第二剰余記憶部１１５、第一係数記憶部１２４、第二係数記憶部１２５に初期値を設定する。第一剰余記憶部１１４は、ＲＡＭ９１４を用いて、位数入力部１１１が入力した位数ｐを整数ｖ１として記憶する。第二剰余記憶部１１５は、ＲＡＭ９１４を用いて、整数入力部１１２が入力した整数ｅを整数ｖ２として記憶する。第一係数記憶部１２４は、ＲＡＭ９１４を用いて、整数ｔ１として０を記憶する。第二係数記憶部１２５は、ＲＡＭ９１４を用いて、整数ｔ２として１を記憶する。
　適合性判定工程Ｓ７１２において、適合性判定部１１６は、ＣＰＵ９１１を用いて、第二剰余記憶部１１５が記憶した整数ｖ２が、位数入力部１１１が入力した位数ｐの平方根より小さいか否かを判定する。
　整数ｖ２が位数ｐの平方根より小さいと判定した場合、分割整数出力工程Ｓ７１８へ進む。
　整数ｖ２が位数ｐの平方根より大きいと判定した場合、剰余算出工程Ｓ７１３へ進む。
　剰余算出工程Ｓ７１３において、第三剰余算出部１１７は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４が記憶した整数ｖ１を、第二剰余記憶部１１５が記憶した整数ｖ２で割った余りを算出し、整数ｖ３とする。
　商算出工程Ｓ７１４において、商算出部１２６は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４が記憶した整数ｖ１を、第二剰余記憶部１１５が記憶した整数ｖ２で割った商を超えない最大の整数を算出し、整数ｑとする。
　係数算出工程Ｓ７１５において、第三係数算出部１２７は、ＣＰＵ９１１を用いて、第一係数記憶部１２４が記憶した整数ｔ１から、第二係数記憶部１２５が記憶した整数ｔ２と商算出工程Ｓ７１４で商算出部１２６が算出した整数ｑとの積を減算した整数を算出して、整数ｔ３とする。
　剰余更新工程Ｓ７１６において、第三剰余算出部１１７は、ＣＰＵ９１１を用いて、第一剰余記憶部１１４、第二剰余記憶部１１５を更新する。第一剰余記憶部１１４は、ＲＡＭ９１４を用いて、第二剰余記憶部１１５が記憶した整数ｖ２を、整数ｖ１として記憶する。第二剰余記憶部１１５は、ＲＡＭ９１４を用いて、剰余算出工程Ｓ７１３で第三剰余算出部１１７が算出した整数ｖ３を、整数ｖ２として記憶する。
　係数更新工程Ｓ７１７において、第三係数算出部１２７は、ＣＰＵ９１１を用いて、第一係数記憶部１２４、第二係数記憶部１２５を更新する。第一係数記憶部１２４は、ＲＡＭ９１４を用いて、第二係数記憶部１２５が記憶した整数ｔ２を、整数ｔ１として記憶する。第二係数記憶部１２５は、ＲＡＭ９１４を用いて、係数算出工程Ｓ７１５で第三係数算出部１２７が算出した整数ｔ３を、整数ｔ２として記憶する。
　その後、適合性判定工程Ｓ７１２に戻る。
　分割整数出力工程Ｓ７１８において、分割整数出力部１２９は、ＣＰＵ９１１を用いて、第二係数記憶部１２５が記憶した整数ｔ２を、整数ｅ１として出力する。分割整数出力部１２９は、ＣＰＵ９１１を用いて、第二剰余記憶部１１５が記憶した整数ｖ２を、整数ｅ２として出力する。
　その後、整数分割処理を終了する。
　分割整数出力部１２９が出力する整数ｅ１及び整数ｅ２は、数２より、
Figure JPOXMLDOC01-appb-M000012
 　また、適合性判定工程Ｓ７１２で出力条件を満たすと判定されたので、
Figure JPOXMLDOC01-appb-M000013
 　適合性判定工程Ｓ７１２を２回以上実行した場合、前回の適合性判定工程Ｓ７１２では出力条件を満たさないと判定されたので、
Figure JPOXMLDOC01-appb-M000014
 　このとき、数５より、
Figure JPOXMLDOC01-appb-M000015
 　なお、適合性判定工程Ｓ７１２を１回しか実行しなかった場合も、ｅ１＝１なので、数１５は満たされている。
　以上のように、整数分割部１１０は、拡張ユークリッド互除法を利用して、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。
　図８は、この実施の形態における検証値算出部１３０の内部ブロックの構成の一例を示す詳細ブロック図である。
　検証値算出部１３０は、有限群Ｇの元ｓ及び元ｈと、整数分割部１１０が算出した整数ｅ１及び整数ｅ２とに基づいて、有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出する。
　検証値算出部１３０は、分割整数入力部１３１、元入力部１３２、索引算出部１３３、テーブル生成部１３４、テーブル記憶部１３５、検証初期値設定部１４１、倍算結果記憶部１４２、二基底加算部１４３、加算結果記憶部１４４、倍算部１４５、検証値出力部１４９を有する。
　分割整数入力部１３１は、ＣＰＵ９１１を用いて、整数分割部１１０が出力した整数ｅ１及び整数ｅ２を表わすデータを入力する。分割整数入力部１３１は、ＲＡＭ９１４を用いて、入力した整数ｅ１及び整数ｅ２を表わすデータを記憶する。
　元入力部１３２は、ＣＰＵ９１１を用いて、有限群Ｇの元ｓ及び元ｈを表わすデータを入力する。元入力部１３２は、ＲＡＭ９１４を用いて、入力した元ｓ及び元ｈを表わすデータを記憶する。
　索引算出部１３３は、ＣＰＵ９１１を用いて、分割整数入力部１３１が記憶した整数ｅ１及び整数ｅ２を表わすデータを入力する。索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ１が正の整数であるか負の整数であるかを判定する。索引算出部１３３は、ＲＡＭ９１４を用いて、判定結果を表わすデータを記憶する。索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ１が負の整数であると判定した場合、整数ｅ１の符号を反転して、正の整数にする。
　索引算出部１３３は、ＣＰＵ９１１を用いて、算出した整数ｅ１の絶対値に基づいて、整数ｅ１の絶対値をｎ進法で表わした各桁である整数の組（ｅ１，ｉ）（ただし、ｉは０以上ｋ－１以下の整数。ｎはあらかじめ定めた２以上の整数。）を算出する。すなわち、索引算出部１３３は、ＣＰＵ９１１を用いて、以下の条件を満たす整数の組（ｅ１，ｉ）を算出する。
Figure JPOXMLDOC01-appb-M000016
 　同様に、索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ２に基づいて、整数ｅ２をｎ進法で表わした各桁である整数の組（ｅ２，ｉ）を算出する。すなわち、
Figure JPOXMLDOC01-appb-M000017
　例えば、ｎ＝２の場合、索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ１の絶対値及び整数ｅ２をそれぞれ表わすデータを１ビットごとに分解して、（ｅ１，ｉ）、（ｅ２，ｉ）とする。ｎ＝４の場合、索引算出部１３３は、整数ｅ１の絶対値及び整数ｅ２をそれぞれ表わすデータを２ビットごとに分解して、（ｅ１，ｉ）、（ｅ２，ｉ）とする。
　なお、ｋは、ｉ≧ｋであるすべてのｉについて、ｅ１，ｉ＝０、ｅ２，ｉ＝０である最小の整数である。
　例えば、ｎ＝２、ｅ１＝２３、ｅ２＝３４であれば、ｅ１＝（１０１１１）２、ｅ２＝（１０００１０）２であるから、ｋ＝６である。
　索引算出部１３３は、ＲＡＭ９１４を用いて、算出した整数の組（ｅ１，ｉ）及び（ｅ２，ｉ）を表わすデータを記憶する。
　テーブル生成部１３４は、ＣＰＵ９１１を用いて、元入力部１３２が記憶した元ｓ及び元ｈを表わすデータと、索引算出部１３３が判定した整数ｅ１が正であるか負であるかの判定結果を表わすデータとを入力する。
　テーブル生成部１３４は、ＣＰＵ９１１を用いて、入力したデータが表わす元ｓと元ｈと判定結果とに基づいて、ｎ×ｎ個の有限群Ｇの元ｐｘ，ｙ（＝ｅ１，ｓｇｎ・ｘ・ｈ－ｙ・ｓ。ただし、ｘ及びｙは０以上ｎ－１以下の整数。ｅ１，ｓｇｎは、整数ｅ１が正の場合、１。整数ｅ１が負の場合、－１。）を算出する。
　例えば、ｎ＝２の場合、テーブル生成部１３４は、４つの元ｐ０，０、ｐ１，０、ｐ０，１、ｐ１，１を算出する。なお、元ｐ０，０は常に単位元であるから、テーブル生成部１３４は、他の３つの元だけを算出してもよい。
　テーブル記憶部１３５は、ＲＡＭ９１４を用いて、テーブル生成部１３４が算出したｎ×ｎ個の元ｐｘ，ｙを表わすデータを記憶する。
　倍算結果記憶部１４２は、ＲＡＭ９１４を用いて、有限群Ｇの元ａを算出する途中の値である有限群Ｇの元ａ’を表わすデータを記憶する。
　加算結果記憶部１４４は、ＲＡＭ９１４を用いて、有限群Ｇの元ａを算出する途中の値である有限群Ｇの元ａ”を表わすデータを記憶する。
　検証初期値設定部１４１は、ＣＰＵ９１１を用いて、有限群Ｇの単位元を表わすデータを、元ａ’を表わすデータとして倍算結果記憶部１４２に記憶させる。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、索引算出部１３３が記憶した整数の組（ｅ１，ｉ）及び（ｅ２，ｉ）を表わすデータを、ｉが大きいほうから１つずつ順に入力する。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、入力したデータが表わす整数ｅ１，ｉ及び整数ｅ２，ｉに基づいて、テーブル記憶部１３５が記憶した有限群Ｇの元ｐｘ，ｙを表わすデータのなかから、ｘ＝ｅ１，ｉ、ｙ＝ｅ２，ｉである元ｐｘ，ｙを表わすデータを元Ｐｉを表わすデータとして取得する。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、倍算結果記憶部１４２が記憶した有限群Ｇの元ａ’を表わすデータを入力する。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、入力したデータが表わす有限群Ｇの元ａ’と、元Ｐｉとに基づいて、元ａ’と元Ｐｉとを加算した元ａ’＋Ｐｉを算出する。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、算出した元ａ’＋Ｐｉを表わすデータを、元ａ”を表わすデータとして加算結果記憶部１４４に記憶させる。
　倍算部１４５は、ＣＰＵ９１１を用いて、加算結果記憶部１４４が記憶した有限群Ｇの元ａ”を表わすデータを入力する。倍算部１４５は、ＣＰＵ９１１を用いて、入力したデータが表わす元ａ”に基づいて、元ａ”をｎ回加算した元ｎ・ａ”を算出する。例えば、ｎ＝２の場合、倍算部１４５は、元ａ”と元ａ”とを加算して、元２・ａ”を算出する。ｎ＝４の場合であれば、倍算部１４５は、元ａ”と元ａ”とを加算して元２・ａ”を算出し、更に、算出した元２・ａ”と元２・ａ”とを加算して元４・ａ”を算出する。
　倍算部１４５は、ＣＰＵ９１１を用いて、算出した元ｎ・ａ”を表わすデータを、元ａ’を表わすデータとして倍算結果記憶部１４２に記憶させる。
　以上を繰り返し、索引算出部１３３が記憶した整数ｅ１，ｉ及び整数ｅ２，ｉを二基底加算部１４３がすべて入力した場合、検証値出力部１４９は、ＣＰＵ９１１を用いて、加算結果記憶部１４４が記憶した有限群Ｇの元ａ”を表わすデータを入力する。検証値出力部１４９は、ＣＰＵ９１１を用いて、入力した元ａ”を表わすデータを、元ａを表わすデータとして出力する。
　図９は、この実施の形態における検証値算出部１３０が有限群Ｇの元ａを算出する検証値算出処理の流れの一例を示すフローチャート図である。
　索引算出工程Ｓ７２１において、索引算出部１３３は、ＣＰＵ９１１を用いて、分割整数入力部１３１が入力した整数ｅ１に基づいて、整数ｅ１，ｓｇｎを算出する。索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ１が正なら、整数ｅ１，ｓｇｎを１にし、整数ｅ２が負なら、整数ｅ１，ｓｇｎを－１にする。
　索引算出部１３３は、ＣＰＵ９１１を用いて、分割整数入力部１３１が入力した整数ｅ１に基づいて、ｋ個の整数ｅ１，ｉ（ただし、ｉは０以上ｋ－１以下の整数。）を算出する。例えば、索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ１の絶対値をｎのｉ乗で割った商を超えない最大の整数をｎで割った余りを算出して、ｅ１，ｉとする。
　同様に、索引算出部１３３は、ＣＰＵ９１１を用いて分割整数入力部１３１が入力した整数ｅ２に基づいて、ｋ個の整数ｅ２，ｉ（ただし、ｉは０以上ｋ－１以下の整数。）を算出する。例えば、索引算出部１３３は、ＣＰＵ９１１を用いて、整数ｅ２をｎのｉ乗で割った商を超えない最大の整数をｎで割った余りを算出して、ｅ２，ｉとする。
　テーブル生成工程Ｓ７２２において、テーブル生成部１３４は、ＣＰＵ９１１を用いて、元入力部１３２が入力した元ｓと元ｈと、索引算出工程Ｓ７２１で索引算出部１３３が算出した整数ｅ１，ｓｇｎとに基づいて、ｎ２個の有限群Ｇの元ｐｘ，ｙ（ただし、ｘ及びｙは０以上ｎ－１以下の整数。）を算出する。テーブル生成部１３４は、ＣＰＵ９１１を用いて、元ｈをｅ１，ｓｇｎ・ｘ回加算した元から、元ｓをｙ回加算した元を減算した元を算出して、元ｐｘ，ｙとする。
　テーブル記憶部１３５は、ＲＡＭ９１４を用いて、テーブル生成部１３４が算出したｎ２個の元ｐｘ，ｙを記憶する。
　検証初期値設定工程Ｓ７２３において、検証初期値設定部１４１は、ＣＰＵ９１１を用いて、倍算結果記憶部１４２を初期化する。倍算結果記憶部１４２は、ＲＡＭ９１４を用いて、有限群Ｇの単位元を元ａ’として記憶する。
　繰り返し初期値設定工程Ｓ７２４において、二基底加算部１４３は、ＲＡＭ９１４を用いて、整数ｋから１を減算した整数を、整数ｊとして記憶する。
　二基底加算工程Ｓ７２５において、二基底加算部１４３は、ＣＰＵ９１１を用いて、記憶した整数ｊに基づいて、索引算出工程Ｓ７２１で索引算出部１３３が算出したｋ個の整数ｅ１，ｉ及び整数ｅ２，ｉのなかから、ｉ＝ｊである整数ｅ１，ｊと整数ｅ２，ｊとを取得する。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、取得した整数ｅ１，ｉと整数ｅ２，ｉとに基づいて、テーブル記憶部１３５が記憶したｎ２個の有限群Ｇの元ｐｘ，ｙのなかから、ｘ＝ｅ１，ｊ、ｙ＝ｅ２，ｊである元ｐｘ，ｙを取得して、元Ｐｉとする。
　二基底加算部１４３は、ＣＰＵ９１１を用いて、倍算結果記憶部１４２が記憶した有限群Ｇの元ａ’と、取得した元Ｐｉとに基づいて、有限群Ｇにおける演算により、元ａ’と元Ｐｉとを加算した元ａ’＋Ｐｉを算出する。
　加算結果記憶部１４４は、ＲＡＭ９１４を用いて、二基底加算部１４３が算出した元ａ’＋Ｐｉを、元ａ”として記憶する。
　繰り返し更新工程Ｓ７２６において、二基底加算部１４３は、ＣＰＵ９１１を用いて、記憶した整数ｊから１を減算した整数ｊ－１を算出する。二基底加算部１４３は、ＲＡＭ９１４を用いて算出した整数ｊ－１を、整数ｊとして記憶する。
　算出した整数ｊが正または０である場合、倍算工程Ｓ７２７へ進む。
　算出した整数ｊが負になった場合、検証値出力工程Ｓ７２８へ進む。
　倍算工程Ｓ７２７において、倍算部１４５は、ＣＰＵ９１１を用いて、加算結果記憶部１４４が記憶した有限群Ｇの元ａ”に基づいて、有限群Ｇにおける演算により、元ａ”をｎ回加算した元ｎ・ａ”を算出する。
　倍算結果記憶部１４２は、ＲＡＭ９１４を用いて、倍算部１４５が算出した元ｎ・ａ”を、元ａ’として記憶する。
　その後、二基底加算工程Ｓ７２５に戻る。
　検証値出力工程Ｓ７２８において、検証値出力部１４９は、ＣＰＵ９１１を用いて、加算結果記憶部１４４が記憶した有限群Ｇの元ａ”を、元ａとして出力する。
　その後、検証値算出処理を終了する。
　以上のように、検証値算出部１３０は、加法群における二基底スカラー倍算（あるいは、乗法群における二基底べき乗算）を利用して、元ａを算出する。
　以上の処理において、ｊ＝ｉのときに二基底加算工程Ｓ７２５で加算結果記憶部１４４が記憶する元ａ”をａｉを書くと、
Figure JPOXMLDOC01-appb-M000018
 　ここで、有限群Ｇの元Ｐｉは、
Figure JPOXMLDOC01-appb-M000019
 　したがって、
Figure JPOXMLDOC01-appb-M000020
 　ここで、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）なので、
Figure JPOXMLDOC01-appb-M000021
 　ｈ＝ｅ・ｓであれば、元ａは、有限群Ｇの単位元となる。また、ｈ≠ｅ・ｓであれば、有限群Ｇの位数ｐが素数なので、ｅ１＝０でない限り、元ａは、有限群Ｇの単位元とはならない。したがって、検証値算出部１３０が算出した元ａが単位元であるか否かを判定することにより、ｈ＝ｅ・ｓであるか否かを判定できる。
　次に、検証値算出部１３０が有限群Ｇの元ａを算出する計算にかかる時間について説明する。
　なお、以下の説明において、有限群Ｇの群演算を１回するのにかかる時間をＴとする。また、それ以外の計算やデータの取得などにかかる時間は、Ｔよりもはるかに短いので、無視する。
　テーブル生成工程Ｓ７２２において、テーブル生成部１３４は、元ｐ０，ｙ（ｙ≠０，１）を算出するために群演算をｎ－２回、元ｐｘ，０（ｘ≠０，１）を算出するために群演算をｎ－２回、元ｐｘ，ｙ（ｘ≠０、ｙ≠０）を算出するために群演算を（ｎ－１）２回するので、テーブル生成工程Ｓ７２２にかかる時間は、（ｎ２－３）Ｔである。
　二基底可算工程Ｓ７２５において、二基底加算部１４３は、元ａ”を算出するために群演算を１回する。二基底可算工程Ｓ７２５はｋ回繰り返されるので、二基底可算工程Ｓ７２５にかかる時間は、全部でｋＴである。
　ｎが２のべき乗である場合、倍算工程Ｓ７２７において、倍算部１４５は、元ａ’を算出するために群演算をｌｏｇ２ｎ回する。倍算工程Ｓ７２７はｋ－１回繰り返されるので、倍算工程Ｓ７２７にかかる時間は、全部でｌｏｇ２ｎ（ｋ－１）Ｔである。
　したがって、検証値算出処理全体にかかる時間は、［ｎ２－３＋ｋ＋ｌｏｇ２ｎ（ｋ－１）］Ｔである。例えば、ｎ＝２の場合は２ｋＴ、ｎ＝４の場合は（３ｋ＋１２）Ｔである。
　比較のため、整数ｅを分割せず、ｅ・ｓを算出する場合にかかる時間について述べる。
　整数ｅをｎ進法で表わした場合の桁数をｋ’とする。
　算出手順は、検証値算出処理と同様とする。ただし、基底となる元が一つなので、あらかじめ算出しておくテーブルには、ｎ個の元ｘ・ｓ（ｘは０以上ｎ－１以下の整数。）を記憶する。
　テーブルの生成にかかる時間は、（ｎ－２）Ｔである。
　加算にかかる時間は、全部でｋ’Ｔである。
　倍算にかかる時間は、全部でｌｏｇ２ｎ（ｋ’－１）Ｔである。
　したがって、ｅ・ｓの算出全体にかかる時間は、［ｎ－２＋ｋ’＋ｌｏｇ２ｎ（ｋ’－１）］Ｔである。例えば、ｎ＝２の場合は（２ｋ’－１）Ｔ、ｎ＝４の場合は３ｋ’Ｔである。
　ここで、ｅは１以上ｐ－１以下の整数なので、ｋ’は、ｐをｎ進法で表わした場合の桁数と、確率的にほぼ等しい。
　これに対して、ｅ１の絶対値及びｅ２は１以上√ｐ未満の整数なので、ｋは、√ｐをｎ進法で表わした場合の桁数と、確率的にほぼ等しく、ｋ’の約半分である。
　そこで、ｋ＝ｋ’／２と仮定すると、検証値算出処理全体にかかる時間は、ｎ＝２の場合はｋ’Ｔ、ｎ＝４の場合は（１．５ｋ’＋１２）Ｔとなる。有限群Ｇの位数ｐが十分大きいとすると、検証値算出処理全体にかかる時間は、ｅ・ｓを算出する処理にかかる時間の約半分である。
　したがって、ｈ＝ｅ・ｓであるか否かを判定するのにかかる時間が、約半分になる。
　この実施の形態における検証装置１００は、データを処理する処理装置（ＣＰＵ９１１）と、整数分割部１１０と、検証値算出部１３０と、検証判定部１５０とを有する。
　上記整数分割部１１０は、上記処理装置（ＣＰＵ９１１）を用いて、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出する。
　上記検証値算出部１３０は、上記処理装置（ＣＰＵ９１１）を用いて、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、上記整数分割部１１０が算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出する。
　上記検証判定部１５０は、上記処理装置（ＣＰＵ９１１）を用いて、上記検証値算出部１３０が算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定する。
　この実施の形態における検証装置１００によれば、整数分割部１１０が算出した整数ｅ１及び整数ｅ２に基づいて検証値算出部１３０が算出した元ａが有限群Ｇの単位元である場合に、検証判定部１５０が検証成功と判定するので、ｈ＝ｅ・ｓである場合に検証成功と判定することができる。検証値算出部１３０において元ａを算出する処理にかかる時間が、ｅ・ｓを算出するのにかかる時間より短ければ、ｈ＝ｅ・ｓであるか否かを判定する処理にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における整数分割部１１０は、上記処理装置（ＣＰＵ９１１）を用いて、上記整数ｅ１の絶対値が上記位数ｐの平方根よりも小さく、かつ、上記整数ｅ２が上記位数ｐの平方根よりも小さいという条件を満たす整数ｅ１と整数ｅ２とを算出する。
　この実施の形態における検証装置１００によれば、整数ｅ１の絶対値が位数ｐの平方根よりも小さく、かつ、整数ｅ２が位数ｐの平方根よりも小さいという条件を満たす整数ｅ１と整数ｅ２と整数分割部１１０が算出するので、検証値算出部１３０において元ａを算出する処理にかかる時間を短くすることができるという効果を奏する。
　この実施の形態における検証装置１００は、更に、データを記憶する記憶装置（ＲＡＭ９１４、磁気ディスク装置９２０など）を有する。
　上記整数分割部１１０は、第一剰余記憶部１１４と、第二剰余記憶部１１５と、初期値設定部１１３と、適合性判定部１１６と、第三剰余算出部１１７と、分割整数出力部１２９とを有する。
　上記第一剰余記憶部１１４は、上記記憶装置（ＲＡＭ９１４）を用いて、整数ｖ１を記憶する。
　上記第二剰余記憶部１１５は、上記記憶装置（ＲＡＭ９１４）を用いて、整数ｖ２を記憶する。
　上記初期値設定部１１３は、上記処理装置（ＣＰＵ９１１）を用いて、上記位数ｐを上記整数ｖ１として上記第一剰余記憶部１１４に記憶させ、上記整数ｅを上記整数ｖ２として上記第二剰余記憶部１１５に記憶させる。
　上記適合性判定部１１６は、上記処理装置（ＣＰＵ９１１）を用いて、上記第二剰余記憶部１１５が記憶した整数ｖ２が上記位数ｐの平方根よりも小さい場合に、出力条件を満たしたと判定する。
　上記第三剰余算出部１１７は、上記処理装置（ＣＰＵ９１１）を用いて、上記適合性判定部１１６が出力条件を満たしたと判定しない場合に、上記第一剰余記憶部１１４が記憶した整数ｖ１と、上記第二剰余記憶部１１５が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った余りを算出して、整数ｖ３とし、上記第二剰余記憶部１１５が記憶した整数ｖ２を上記整数ｖ１として上記第一剰余記憶部１１４に記憶させ、算出した整数ｖ３を上記整数ｖ２として上記第二剰余記憶部１１５に記憶させる。
　上記分割整数出力部１２９は、上記処理装置（ＣＰＵ９１１）を用いて、上記適合性判定部１１６が出力条件を満たしたと判定した場合に、上記第二剰余記憶部１１５が記憶した整数ｖ２を上記整数ｅ２として出力する。
　この実施の形態における検証装置１００によれば、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐという条件を満たす整数ｅ２を、短い時間で算出することができるという効果を奏する。
　この実施の形態における整数分割部１１０は、更に、第一係数記憶部１２４と、第二係数記憶部１２５と、商算出部１２６と、第三係数算出部１２７とを有する。
　上記第一係数記憶部１２４は、上記記憶装置（ＲＡＭ９１４）を用いて、整数ｔ１を記憶する。
　上記第二係数記憶部１２５は、上記記憶装置（ＲＡＭ９１４）を用いて、整数ｔ２を記憶する。
　上記初期値設定部１１３は、更に、上記処理装置（ＣＰＵ９１１）を用いて、上記整数ｔ１として０を上記第一係数記憶部１２４に記憶させ、上記整数ｔ２として１を上記第二係数記憶部１２５に記憶させる。
　上記商算出部１２６は、上記処理装置（ＣＰＵ９１１）を用いて、上記第一剰余記憶部１１４が記憶した整数ｖ１と、上記第二剰余記憶部１１５が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った商を超えない最大の整数を算出して、整数ｑとする。
　上記第三係数算出部１２７は、上記処理装置（ＣＰＵ９１１）を用いて、上記適合性判定部１１６が出力条件を満たしたと判定しない場合に、上記第一係数記憶部１２４が記憶した整数ｔ１と、上記第二係数記憶部１２５が記憶した整数ｔ２と、上記商算出部１２６が算出した整数ｑとに基づいて、上記整数ｔ２と上記整数ｑとの積を、上記整数ｔ１から減算した整数を算出して、整数ｔ３とし、上記第二係数記憶部１２５が記憶した整数ｔ２を上記整数ｔ１として上記第一係数記憶部１２４に記憶させ、算出した整数ｔ３を上記整数ｔ２として上記第二係数記憶部１２５に記憶させる。
　上記分割整数出力部１２９は、更に、上記処理装置（ＣＰＵ９１１）を用いて、上記適合性判定部１１６が出力条件を満たしたと判定した場合に、上記第二係数記憶部１２５が記憶した整数ｔ２を上記整数ｅ１として出力する。
　この実施の形態における検証装置１００によれば、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐという条件を満たす整数ｅ１を、短い時間で算出することができるという効果を奏する。
　この実施の形態における検証値算出部１３０は、上記処理装置（ＣＰＵ９１１）を用いて、Σ（ｎｉ・Ｐｉ）（ただし、ｎは２以上の所定の整数。ｉは０以上ｋ以下の整数。ｋは上記整数ｅ１の絶対値及び上記整数ｅ２をｎ進法で表記した場合の桁数の最大値。Ｐｉは、上記有限群Ｇの元で、Ｐｉ＝ｅ１，ｓｇｎ・ｅ１，ｉ・ｈ－ｅ２，ｉ・ｓ。ｅ１，ｓｇｎは１または－１。ｅ１，ｉ及びｅ２，ｉは０以上ｎ－１以下の整数で、ｅ１＝ｅ１，ｓｇｎ・Σ（ｎｉ・ｅ１，ｉ）、ｅ２＝Σ（ｎｉ・ｅ２，ｉ）。）を算出して、上記有限群Ｇの元ａとする。
　この実施の形態における検証装置１００によれば、検証値算出部１３０が元ａを算出するのにかかる時間が、整数ｅ１の絶対値及び整数ｅ２をｎ進法で表記した場合の桁数ｋに比例するので、元ａを算出するのにかかる時間を短縮することができるという効果を奏する。
　この実施の形態における暗号文復号装置２００は、データを記憶する記憶装置（ＲＡＭ９１４や磁気ディスク装置９２０など）と、データを処理する処理装置（ＣＰＵ９１１など）と、鍵記憶部２１０と、暗号文入力部２２０と、暗号文検証部２３０と、検証装置１００と、復号文生成部２６０とを有する。
　上記鍵記憶部２１０は、上記記憶装置を用いて、暗号文を復号する鍵を記憶する。
　上記暗号文入力部２２０は、上記処理装置を用いて、暗号文を入力する。
　上記暗号文検証部２３０は、上記処理装置を用いて、上記鍵記憶部２１０が記憶した鍵と、上記暗号文入力部２２０が入力した暗号文とに基づいて、上記検証装置１００に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出する。
　上記検証装置１００は、上記暗号文検証部２３０が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定する。
　上記復号文生成部２６０は、上記処理装置を用いて、上記検証装置１００が検証成功と判定した場合に、上記暗号文入力部２２０が入力した暗号文を上記鍵記憶部２１０が記憶した鍵により復号して、復号文を生成する。
　この実施の形態における暗号文復号装置２００によれば、入力した暗号文の整合性を検証し、検証に成功した場合に復号文を生成するので、不正者に暗号文を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００がｈ＝ｅ・ｓであるか否かを判定することにより暗号文の整合性を検証するので、検証にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における検証装置１００は、コンピュータを検証装置１００として機能させるコンピュータプログラムを、コンピュータが実行することにより、実現することができる。
　この実施の形態におけるコンピュータプログラムによれば、整数分割部１１０が算出した整数ｅ１及び整数ｅ２に基づいて検証値算出部１３０が算出した元ａが有限群Ｇの単位元である場合に、検証判定部１５０が検証成功と判定するので、ｈ＝ｅ・ｓである場合に検証成功と判定でき、検証値算出部１３０において元ａを算出する処理にかかる時間が、ｅ・ｓを算出するのにかかる時間より短ければ、ｈ＝ｅ・ｓであるか否かを判定する処理にかかる時間を短縮できる検証装置１００を実現することができるという効果を奏する。
　この実施の形態における検証装置１００が、整合性を検証する検証方法は、以下の工程を有する。
　上記処理装置（ＣＰＵ９１１）が、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出する。
　上記処理装置（ＣＰＵ９１１）が、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出する。
　上記処理装置（ＣＰＵ９１１）が、算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定する。
　この実施の形態における検証方法によれば、処理装置（ＣＰＵ９１１）が、算出した整数ｅ１及び整数ｅ２に基づいて算出した元ａが有限群Ｇの単位元である場合に、検証成功と判定するので、ｈ＝ｅ・ｓである場合に検証成功と判定でき、元ａを算出する処理にかかる時間が、ｅ・ｓを算出するのにかかる時間より短ければ、ｈ＝ｅ・ｓであるか否かを判定する処理にかかる時間を短縮できるという効果を奏する。
　以上説明した暗号文復号装置２００は、公開鍵暗号復号装置である。暗号文復号装置２００は、整数の剰余類がなす群などの乗法群における指数べき乗算、または、（超）楕円曲線上の点がなす群などの加法群におけるスカラー倍算により、乗法群の元ｓをｅ回乗算した元ｓｅまたは加法群の元ｓをｅ回加算した元ｅ・ｓが、既知の元ｈと一致するかどうか検証することにより、暗号文が正しいか否かを判定する暗号文正当性検証装置（検証装置１００）を有する。
　暗号文正当性検証装置（検証装置１００）は、
　指数部（整数ｅ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をした値（ｈｅ１－ｓｅ２またはｅ１・ｈ－ｅ２・ｓ）を計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した整数分割部１１０は、指数（整数）ｅと、暗号で使用する乗法群または加法群の群位数ｐとを入力して、群位数ｐのビット長の半分のビット長を有する二つの整数ｅ１，ｅ２（ただし、ｅ１・ｅ　≡　ｅ２　（ｍｏｄ　ｐ））を計算する計算装置である。
　検証装置１００は、ｓｅ２・ｈ－ｅ１＝１（乗法的記述）またはｅ２・ｓ－ｅ１・ｈ＝０（加法的記述）を検証する。
　以上説明した整数分割部１１０は、拡張ユークリッド互除法を計算することにより、指数部を分割する。
　以上説明した整数分割部１１０は、二つの整数の繰り返し除算において、
　除算をする整数ｖ２、及び除算される整数ｖ１が、それぞれ、前ステップの除算の剰余ｖ３、及び前ステップの除算をする整数ｖ２である計算装置（第三剰余算出部１１７）と、
　各ステップの除算結果の剰余ｖ２がある一定の数（√ｐ）以上、又はある一定の数（√ｐ）以下であることを判定する計算装置（適合性判定部１１６）とを有する。
　整数分割部１１０は、上記説明した手順のほか、例えば、以下の手順により、整数ｅ１及びｅ２を算出してもよい。
　最初に、整数分割部１１０は、ＣＰＵ９１１を用いて、正の整数ｐ、１＜ｅ＜ｐである整数ｅ、ｐの平方根√ｐを入力する。
　次に、整数分割部１１０は、ＲＡＭ９１４を用いて、ｕ１←１，ｖ１←ｐ，ｕ２←０，ｖ２←ｅを初期値として記憶する。
　次に、整数分割部１１０は、ＣＰＵ９１１を用いて、ｖ２＜√ｐかどうかをチェックする。
　ｖ２＞√ｐならば、整数分割部１１０は、ＣＰＵ９１１を用いて、ｑ←ｖ１／ｖ２（端数切捨て）、ｖ３←ｖ１　ｍｏｄ　ｖ２、ｕ３←ｕ１－ｑ・ｕ２を計算し、ＲＡＭ９１４を用いて、ｖ１←ｖ２、ｖ２←ｖ３、ｕ１←ｕ２、ｕ２←ｕ３として記憶する。その後、ｖ２＜√ｐかどうかのチェックに戻り、ｖ２＞√ｐなら、同じ計算を繰り返す。
　ｖ２＜√ｐになったら、整数分割部１１０は、ＣＰＵ９１１を用いて、ｅ１←（ｖ２－ｕ２・ｐ）／ｖ１を計算し、ｅ２←ｖ２とする。
　最後に、整数分割部１１０は、ＣＰＵ９１１を用いて、ｅ１，ｅ２を出力する。
　このような手順でも、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）となり、ｅ１，ｅ２のビット長はｐのビット長の約半分となる。
　実施の形態２．
　実施の形態２について、図１０～図１５を用いて説明する。
　図１０は、この実施の形態におけるＩＤベース公開鍵暗号システム８２０Ａの全体構成の一例を示すシステム構成図である。
　ＩＤベース公開鍵暗号システム８２０Ａは、暗号文復号装置２００Ａを識別するメールアドレスなどの識別データを、暗号文復号装置２００Ａの公開鍵として利用する暗号通信システムである。暗号文復号装置２００Ａと公開鍵との対応関係を証明する必要がないので、公開鍵証明書や認証局などが必要ない。
　ＩＤベース公開鍵暗号システム８２０Ａは、暗号パラメータ設定装置８１０Ａ、鍵生成装置３００Ａ、暗号文生成装置４００Ａ、暗号文復号装置２００Ａを有する。
　暗号パラメータ設定装置８１０Ａは、ＩＤベース公開鍵暗号システム８２０Ａで利用される暗号パラメータを定める。暗号パラメータ設定装置８１０Ａが定めた暗号パラメータは、ＩＤベース公開鍵暗号システム８２０Ａの利用者に公開される。暗号パラメータ設定装置８１０Ａが定める暗号パラメータには、例えば、位数ｐ、加法群Ｇ１、加法群Ｇ１の元ｇ１、加法群Ｇ２、加法群Ｇ２の元ｇ２、乗法群ＧＴ、ペアリングｅ、ハッシュ関数Ｈ１、ハッシュ関数Ｈ２、ハッシュ関数Ｈ３、ハッシュ関数Ｈ４などがある。
　位数ｐは、素数である。
　加法群Ｇ１の位数は、ｐである。元ｇ１は、加法群Ｇ１の生成元である。
　加法群Ｇ２の位数は、加法群Ｇ１と同じｐである。元ｇ２は、加法群Ｇ２の生成元である。
　乗法群ＧＴの位数は、加法群Ｇ１及び加法群Ｇ２と同じｐである。
　ペアリングｅは、加法群Ｇ１の元と加法群Ｇ２の元との組を、乗法群ＧＴの元（ペアリング値）へ写す写像である。ペアリングｅは、双線形を有する。すなわち、すべてのｕ、ｖ、ａ、ｂについて、ｅ（ａ・ｕ，ｂ・ｖ）＝ｅ（ｕ，ｖ）ａｂ（ただし、ｕは加法群Ｇ１の元。ｖは加法群Ｇ２の元。ａ及びｂは整数。）である。また、加法群Ｇ１の元ｇ１と加法群Ｇ２の元ｇ２とのペアリング値ｅ（ｇ１，ｇ２）は、乗法群ＧＴの単位元ではない。
　ハッシュ関数Ｈ１は、任意の長さのビット列から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　ハッシュ関数Ｈ２は、乗法群ＧＴの元から、所定の長さのビット列を生成するハッシュ関数である。
　ハッシュ関数Ｈ３は、所定の長さのビット列から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　ハッシュ関数Ｈ４は、所定の長さのビット列から、所定の長さのビット列を生成するハッシュ関数である。
　なお、これらの暗号パラメータがあらかじめ定められている場合には、暗号パラメータ設定装置８１０Ａは、これらの暗号パラメータを定めなくてもよい。
　また、暗号パラメータ設定装置８１０Ａは、秘密乱数ｓと、秘密乱数ｓに基づいて生成した公開元Ｒとを生成する。暗号パラメータ設定装置８１０Ａが生成した秘密乱数ｓは、鍵生成装置３００Ａに対して秘密裡に通知される。また、暗号パラメータ設定装置８１０Ａが生成した公開元Ｒは、ＩＤベース公開鍵暗号システム８２０Ａの利用者に公開される。公開元Ｒには、秘密乱数ｓに関する情報が含まれているが、公開元Ｒから秘密乱数ｓを求めることが事実上不可能であるようになっている。このため、ＩＤベース公開鍵暗号システム８２０Ａの利用者は、公開元Ｒを用いて演算することにより、秘密情報を知ることなく、秘密情報を利用することができる。
　鍵生成装置３００Ａは、暗号パラメータ設定装置８１０Ａから通知された秘密乱数ｓを秘密裡に保持する。鍵生成装置３００Ａは、公開された暗号パラメータと、公開された暗号文復号装置２００Ａの識別データＩＤと、保持した秘密乱数ｓとに基づいて、暗号文復号装置２００Ａの秘密鍵ＤＩＤを生成する。鍵生成装置３００Ａが生成した秘密鍵ＤＩＤは、暗号文復号装置２００Ａに対して秘密裡に通知される。
　暗号文生成装置４００Ａは、公開された暗号パラメータ、公開元Ｒ、暗号文復号装置２００Ａの識別データＩＤに基づいて、暗号文ｃと、共通鍵Ｋとを生成する。暗号文生成装置４００Ａは、生成した共通鍵Ｋにより、メッセージＭを暗号化して、暗号化メッセージＣＭを生成する。暗号文生成装置４００Ａは、生成した暗号文ｃと暗号化メッセージＣＭとを、暗号文復号装置２００Ａに対して送信する。
　暗号文復号装置２００Ａは、鍵生成装置３００Ａが生成した秘密鍵ＤＩＤを秘密裡に保持する。暗号文復号装置２００Ａは、暗号文生成装置４００Ａが送信した暗号文ｃと暗号化メッセージＣＭとを受信する。暗号文復号装置２００Ａは、公開された暗号パラメータに基づいて、保持した秘密鍵ＤＩＤにより、受信した暗号文ｃを復号し、暗号文生成装置４００Ａと同じ共通鍵Ｋを生成する。暗号文復号装置２００Ａは、生成した共通鍵Ｋにより、暗号化メッセージＣＭを復号して、メッセージＭと同じメッセージＭ’を生成する。
　なお、暗号パラメータ設定装置８１０Ａ、鍵生成装置３００Ａ、暗号文生成装置４００Ａ、暗号文復号装置２００Ａの外観、ハードウェア資源は、実施の形態１で説明した暗号文復号装置２００の外観、ハードウェア資源と同様である。
　図１１は、この実施の形態における暗号パラメータ設定装置８１０Ａの一部の機能ブロックの構成の一例を示すブロック構成図である。
　暗号パラメータ設定装置８１０Ａは、暗号パラメータ記憶部８１９Ａ、公開元生成部８１１Ａ、秘密乱数出力部８１４Ａ、公開元出力部８１５Ａを有する。
　暗号パラメータ記憶部８１９Ａは、磁気ディスク装置９２０を用いて、公開した暗号パラメータを表わすデータを記憶する。
　公開元生成部８１１Ａは、暗号パラメータ記憶部８１９Ａが記憶した暗号パラメータに基づいて、秘密乱数ｓと、公開元Ｒとを生成する。
　公開元生成部８１１Ａは、秘密乱数生成部８１２Ａ、公開元算出部８１３Ａを有する。
　秘密乱数生成部８１２Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ａが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部８１２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成して、秘密乱数ｓとする。秘密乱数生成部８１２Ａは、ＲＡＭ９１４を用いて、生成した秘密乱数ｓを表わすデータを記憶する。
　公開元算出部８１３Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ａが記憶した暗号パラメータのうち加法群Ｇ１と元ｇ１とを表わすデータと、秘密乱数生成部８１２Ａが記憶した秘密乱数ｓを表わすデータとを入力する。公開元算出部８１３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１と元ｇ１と秘密乱数ｓとに基づいて、加法群Ｇ１における演算により、元ｇ１をｓ回加算した元を算出して、公開元Ｒとする。公開元算出部８１３Ａは、ＲＡＭ９１４を用いて、算出した公開元Ｒを表わすデータを記憶する。
　秘密乱数出力部８１４Ａは、ＣＰＵ９１１を用いて、秘密乱数生成部８１２Ａが記憶した秘密乱数ｓを表わすデータを入力する。秘密乱数出力部８１４Ａは、ＣＰＵ９１１を用いて、入力した秘密乱数ｓを表わすデータを出力する。
　秘密乱数出力部８１４Ａが出力した秘密乱数ｓは、鍵生成装置３００Ａに対して秘密裡に通知される。
　公開元出力部８１５Ａは、ＣＰＵ９１１を用いて、公開元算出部８１３Ａが記憶した公開元Ｒを表わすデータを入力する。公開元出力部８１５Ａは、ＣＰＵ９１１を用いて、入力した公開元Ｒを表わすデータを出力する。
　公開元出力部８１５Ａが出力した公開元Ｒは、ＩＤベース公開鍵暗号システム８２０Ａの利用者に公開される。
　図１２は、この実施の形態における鍵生成装置３００Ａの機能ブロックの構成の一例を示すブロック構成図である。
　鍵生成装置３００Ａは、暗号パラメータ記憶部３９０Ａ、秘密乱数記憶部３３０Ａ、識別入力部３４０Ａ、秘密鍵生成部３５０Ａ、秘密鍵出力部３６０Ａを有する。
　暗号パラメータ記憶部３９０Ａは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　秘密乱数記憶部３３０Ａは、耐タンパ性のある記憶装置を用いて、暗号パラメータ設定装置８１０Ａから通知された秘密乱数ｓを表わすデータを秘密裡に記憶する。
　識別入力部３４０Ａは、ＣＰＵ９１１を用いて、秘密鍵を生成すべき暗号文復号装置２００Ａについて、暗号文復号装置２００Ａを識別する識別データである任意の長さのビット列ＩＤを入力する。ビット列ＩＤは、例えば、暗号文復号装置２００Ａのメールアドレスである文字列を表わすデータである。識別入力部３４０Ａは、ＲＡＭ９１４を用いて、入力したビット列ＩＤを記憶する。
　秘密鍵生成部３５０Ａは、暗号パラメータ記憶部３９０Ａが記憶した暗号パラメータと、秘密乱数記憶部３３０Ａが記憶した秘密乱数ｓと、識別入力部３４０Ａが入力したビット列ＩＤとに基づいて、秘密鍵ＤＩＤを生成する。
　秘密鍵生成部３５０Ａは、ハッシュ値算出部３５１Ａ、整数加算部３５２Ａ、逆数算出部３５３Ａ、秘密鍵算出部３５４Ａを有する。
　ハッシュ値算出部３５１Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ１を表わすデータと、識別入力部３４０Ａが記憶したビット列ＩＤとを入力する。ハッシュ値算出部３５１Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ１と、入力したビット列ＩＤとに基づいて、ビット列ＩＤをハッシュ関数Ｈ１によりハッシュしたハッシュ値Ｈ１（ＩＤ）を算出する。なお、ハッシュ値Ｈ１（ＩＤ）は、１以上ｐ－１以下の整数である。ハッシュ値算出部３５１Ａは、ＲＡＭ９１４を用いて、算出したハッシュ値Ｈ１（ＩＤ）を表わすデータを記憶する。
　整数加算部３５２Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ａが記憶した暗号パラメータのうち位数ｐを表わすデータと、秘密乱数記憶部３３０Ａが記憶した秘密乱数ｓを表わすデータと、ハッシュ値算出部３５１Ａが記憶したハッシュ値Ｈ１（ＩＤ）を表わすデータとを入力する。整数加算部３５２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと秘密乱数ｓとハッシュ値Ｈ１（ＩＤ）とに基づいて、秘密乱数ｓとハッシュ値Ｈ１（ＩＤ）との和を位数ｐで割った余りである整数ｓ＋Ｈ１（ＩＤ）を算出する。整数加算部３５２Ａは、ＲＡＭ９１４を用いて、算出した整数ｓ＋Ｈ１（ＩＤ）を表わすデータを記憶する。
　逆数算出部３５３Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ａが記憶した暗号パラメータのうち位数ｐを表わすデータと、整数加算部３５２Ａが記憶した整数ｓ＋Ｈ１（ＩＤ）を表わすデータとを入力する。逆数算出部３５３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｓ＋Ｈ１（ＩＤ）とに基づいて、整数ｓ＋Ｈ１（ＩＤ）との積を位数ｐで割った余りが１になる整数１／［ｓ＋Ｈ１（ＩＤ）］を算出する。逆数算出部３５３Ａは、ＲＡＭ９１４を用いて、算出した整数１／［ｓ＋Ｈ１（ＩＤ）]を表わすデータを記憶する。
　秘密鍵算出部３５４Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ａが記憶した暗号パラメータのうち加法群Ｇ２と元ｇ２とを表わすデータと、逆数算出部３５３Ａが算出した整数１／［ｓ＋Ｈ１（ＩＤ）］を表わすデータとを入力する。秘密鍵算出部３５４Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ２と元ｇ２と整数１／［ｓ＋Ｈ１（ＩＤ）]とに基づいて、加法群Ｇ２における演算により、元ｇ２を１／［ｓ＋Ｈ１（ＩＤ）］回加算した元を算出して、秘密鍵ＤＩＤとする。秘密鍵算出部３５４Ａは、ＲＡＭ９１４を用いて、算出した秘密鍵ＤＩＤを表わすデータを記憶する。
　秘密鍵出力部３６０Ａは、ＣＰＵ９１１を用いて、秘密鍵算出部３５４Ａが記憶した秘密鍵ＤＩＤを表わすデータを入力する。秘密鍵出力部３６０Ａは、ＣＰＵ９１１を用いて、入力した秘密鍵ＤＩＤを表わすデータを出力する。
　秘密鍵出力部３６０Ａが出力した秘密鍵ＤＩＤは、暗号文復号装置２００Ａに対して秘密裡に通知される。
　図１３は、この実施の形態における暗号文生成装置４００Ａの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文生成装置４００Ａは、暗号パラメータ記憶部４９０Ａ、識別記憶部４１０Ａ、共通鍵生成部４２０Ａ、共通鍵記憶部４３０Ａ、メッセージ入力部４４０Ａ、メッセージ暗号化部４５０Ａ、暗号化メッセージ出力部４６０Ａ、暗号文出力部４７０Ａを有する。
　暗号パラメータ記憶部４９０Ａは、磁気ディスク装置９２０を用いて、公開された暗号パラメータ（公開元Ｒを含む）を表わすデータを、あらかじめ記憶している。
　識別記憶部４１０Ａは、磁気ディスク装置９２０を用いて、暗号文の送信相手である暗号文復号装置２００Ａの識別データであるビット列ＩＤを記憶している。
　共通鍵生成部４２０Ａは、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータと、識別記憶部４１０Ａが記憶したビット列ＩＤとに基づいて、共通鍵Ｋと、共通鍵Ｋを暗号文復号装置２００Ａに通知するための暗号文とを生成する。
　共通鍵生成部４２０Ａは、秘密ビット列生成部４２１Ａ、秘密整数算出部４２２Ａ、識別元算出部４２３Ａ、暗号元算出部４２４Ａ、秘密ペアリング値算出部４２５Ａ、暗号ビット列算出部４２６Ａ、共通鍵算出部４２７Ａを有する。
　秘密ビット列生成部４２１Ａは、ＣＰＵ９１１を用いて、所定の長さのビット列ｍをランダムに生成する。秘密ビット列生成部４２１Ａは、ＲＡＭ９１４を用いて、生成したビット列ｍを記憶する。
　秘密整数算出部４２２Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ３を表わすデータと、秘密ビット列生成部４２１Ａが記憶したビット列ｍとを入力する。秘密整数算出部４２２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ３と、入力したビット列ｍとに基づいて、ビット列ｍをハッシュ関数Ｈ３によりハッシュしたハッシュ値ｒを算出する。ハッシュ値ｒは、１以上ｐ－１以下の整数である。秘密整数算出部４２２Ａは、ＲＡＭ９１４を用いて、算出したハッシュ値ｒを表わすデータを記憶する。
　識別元算出部４２３Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ１と加法群Ｇ１と元ｇ１と公開元Ｒとを表わすデータと、識別記憶部４１０Ａが記憶したビット列ＩＤとを入力する。識別元算出部４２３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ１と、入力したビット列ＩＤとに基づいて、ビット列ＩＤをハッシュ関数Ｈ１によりハッシュしたハッシュ値Ｈ１（ＩＤ）を算出する。ハッシュ値Ｈ１（ＩＤ）は、１以上ｐ－１以下の整数である。識別元算出部４２３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１と元ｇ１と、算出したハッシュ値Ｈ１（ＩＤ）とに基づいて、加法群Ｇ１における演算により、元ｇ１をＨ１（ＩＤ）回加算した元Ｈ１（ＩＤ）・ｇ１を算出する。識別元算出部４２３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１と公開元Ｒと、算出した元Ｈ１（ＩＤ）・ｇ１とに基づいて、加法群Ｇ１における演算により、公開元Ｒと元Ｈ１（ＩＤ）・ｇ１とを加算した元を算出し、元Ｑとする。識別元算出部４２３Ａは、ＲＡＭ９１４を用いて、算出した元Ｑを表わすデータを記憶する。
　識別元算出部４２３Ａが算出する元Ｑは、Ｒ＝ｓ・ｇ１だから、
Figure JPOXMLDOC01-appb-M000022
　暗号元算出部４２４Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうち加法群Ｇ１を表わすデータと、秘密整数算出部４２２Ａが記憶したハッシュ値ｒを表わすデータと、識別元算出部４２３Ａが記憶した元Ｑを表わすデータとを入力する。暗号元算出部４２４Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１とハッシュ値ｒと元Ｑとに基づいて、加法群Ｇ１における演算により、元Ｑをｒ回加算した元を算出して、元Ｕとする。暗号元算出部４２４Ａは、ＲＡＭ９１４を用いて、算出した元Ｕを表わすデータを記憶する。
　秘密ペアリング値算出部４２５Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうち元ｇ１と元ｇ２とペアリングｅと乗法群ＧＴとを表わすデータと、秘密整数算出部４２２Ａが記憶したハッシュ値ｒを表わすデータとを入力する。秘密ペアリング値算出部４２５Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす元ｇ１と元ｇ２とペアリングｅとに基づいて、元ｇ１と元ｇ２とペアリング値ｅ（ｇ１，ｇ２）を算出する。ペアリング値ｅ（ｇ１，ｇ２）は、乗法群ＧＴの元である。なお、秘密ペアリング値算出部４２５Ａは、あらかじめ、ペアリング値ｅ（ｇ１，ｇ２）を算出し、磁気ディスク装置９２０を用いて、算出したペアリング値ｅ（ｇ１，ｇ２）を表わすデータを記憶しておいてもよい。秘密ペアリング値算出部４２５Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ値ｒと、算出したペアリング値ｅ（ｇ１，ｇ２）とに基づいて、乗法群ＧＴにおける演算により、ペアリング値ｅ（ｇ１，ｇ２）をｒ回乗算した元を算出し、元αとする。秘密ペアリング値算出部４２５Ａは、ＲＡＭ９１４を用いて、算出した元αを表わすデータを記憶する。
　暗号ビット列算出部４２６Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ２を表わすデータと、秘密ビット列生成部４２１Ａが記憶したビット列ｍと、秘密ペアリング値算出部４２５Ａが記憶した元αを表わすデータとを入力する。暗号ビット列算出部４２６Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ２と元αとに基づいて、元αをハッシュ関数Ｈ２によりハッシュしたハッシュ値Ｈ２（α）を算出する。ハッシュ値Ｈ２（α）は、所定の長さのビット列である。暗号ビット列算出部４２６Ａは、ＣＰＵ９１１を用いて、入力したビット列ｍと、算出したハッシュ値Ｈ２（α）とに基づいて、ビット列ｍとハッシュ値Ｈ２（α）との間のビットごとの排他的論理和をとり、ビット列Ｖとする。暗号ビット列算出部４２６Ａは、ＲＡＭ９１４を用いて、算出したビット列Ｖを記憶する。
　共通鍵算出部４２７Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ４を表わすデータと、秘密ビット列生成部４２１Ａが記憶したビット列ｍとを入力する。共通鍵算出部４２７Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ４と、入力したビット列ｍとに基づいて、ビット列ｍをハッシュ関数Ｈ４によりハッシュしたハッシュ値を算出し、共通鍵Ｋとする。共通鍵Ｋは、所定の長さのビット列である。共通鍵算出部４２７Ａは、ＲＡＭ９１４を用いて、算出した共通鍵Ｋを記憶する。
　共通鍵記憶部４３０Ａは、ＣＰＵ９１１を用いて、共通鍵算出部４２７Ａが記憶した共通鍵Ｋを入力する。共通鍵記憶部４３０Ａは、ＲＡＭ９１４を用いて、入力した共通鍵Ｋを記憶する。
　暗号文出力部４７０Ａは、ＣＰＵ９１１を用いて、暗号元算出部４２４Ａが記憶した元Ｕを表わすデータと、暗号ビット列算出部４２６Ａが記憶したビット列Ｖとを入力する。暗号文出力部４７０Ａは、ＣＰＵ９１１を用いて、入力した元Ｕを表わすデータとビット列Ｖとを含むデータを生成し、暗号文ｃとして出力する。
　メッセージ入力部４４０Ａは、ＣＰＵ９１１を用いて、暗号文復号装置２００Ａに対して送信しようとするメッセージＭを入力する。メッセージ入力部４４０Ａは、磁気ディスク装置９２０を用いて、入力したメッセージＭを記憶する。
　メッセージ暗号化部４５０Ａは、ＣＰＵ９１１を用いて、共通鍵記憶部４３０Ａが記憶した共通鍵Ｋと、メッセージ入力部４４０Ａが記憶したメッセージＭとを入力する。メッセージ暗号化部４５０Ａは、ＣＰＵ９１１を用いて、入力したメッセージＭと共通鍵Ｋとに基づいて、共通鍵ＫによりメッセージＭを暗号化して、暗号化メッセージＣＭとする。メッセージ暗号化部４５０Ａは、磁気ディスク装置９２０を用いて、生成した暗号化メッセージＣＭを記憶する。
　暗号化メッセージ出力部４６０Ａは、ＣＰＵ９１１を用いて、メッセージ暗号化部４５０Ａが記憶した暗号化メッセージＣＭを入力する。暗号化メッセージ出力部４６０Ａは、ＣＰＵ９１１を用いて、入力した暗号化メッセージＣＭを出力する。
　暗号文出力部４７０Ａが出力した暗号文ｃと、暗号化メッセージ出力部４６０Ａが出力した暗号化メッセージＣＭとは、暗号文復号装置２００Ａに対して送信される。
　図１４は、この実施の形態における暗号文復号装置２００Ａの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文復号装置２００Ａは、暗号パラメータ記憶部２９０Ａ、識別記憶部２４１Ａ、識別元算出部２４２Ａ、識別元記憶部２４３Ａ、鍵記憶部２１０Ａ、暗号文入力部２２０Ａ、暗号文検証部２３０Ａ、検証装置１００Ａ、復号文生成部２６０Ａ、共通鍵記憶部２７０Ａ、暗号化メッセージ入力部２８１Ａ、メッセージ復号部２８２Ａ、復号メッセージ出力部２８３Ａを有する。
　暗号パラメータ記憶部２９０Ａは、磁気ディスク装置９２０を用いて、公開された暗号パラメータ（公開元Ｒを含む）を表わすデータを、あらかじめ記憶している。
　識別記憶部２４１Ａは、磁気ディスク装置９２０を用いて、暗号文復号装置２００Ａ自身を識別するビット列ＩＤを記憶している。
　識別元算出部２４２Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ１と加法群Ｇ１と元ｇ１と公開元Ｒとを表わすデータと、識別記憶部２４１Ａが記憶したビット列ＩＤとを入力する。識別元算出部２４２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ１と、入力したビット列ＩＤとに基づいて、ビット列ＩＤをハッシュ関数Ｈ１によりハッシュしたハッシュ値Ｈ１（ＩＤ）を算出する。ハッシュ値Ｈ１（ＩＤ）は、１以上ｐ－１以下の整数である。識別元算出部２４２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１と元ｇ１と、算出したハッシュ値Ｈ１（ＩＤ）とに基づいて、加法群Ｇ１における演算により、元ｇ１をＨ１（ＩＤ）回加算した元Ｈ１（ＩＤ）・ｇ１を算出する。識別元算出部２４２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ１と公開元Ｒと、算出した元Ｈ１（ＩＤ）・ｇ１とに基づいて、加法群Ｇ１における演算により、公開元Ｒと元Ｈ１（ＩＤ）・ｇ１とを加算した元を算出して、元Ｑとする。識別元算出部２４２Ａは、ＲＡＭ９１４を用いて、算出した元Ｑを表わすデータを記憶する。
　識別元記憶部２４３Ａは、ＣＰＵ９１１を用いて、識別元算出部２４２Ａが記憶した元Ｑを表わすデータを入力する。識別元記憶部２４３Ａは、磁気ディスク装置９２０を用いて、入力した元Ｑを表わすデータを記憶する。
　暗号文復号装置２００Ａにとって、自身を識別するビット列ＩＤは一定であるから、元Ｑの値も一定である。したがって、暗号文復号装置２００Ａが暗号文ｃを入力するたびに、元Ｑを計算し直す必要はなく、暗号文ｃを入力する前に、識別元算出部２４２Ａが元Ｑを算出して、識別元記憶部２４３Ａが記憶しておけば、暗号文ｃを入力したときの計算量を減らすことができる。
　鍵記憶部２１０Ａは、耐タンパ性のある記憶装置を用いて、あらかじめ鍵生成装置３００Ａが生成した秘密鍵ＤＩＤを表わすデータを秘密裡に記憶している。
　暗号文入力部２２０Ａは、ＣＰＵ９１１を用いて、暗号文生成装置４００Ａから受信した暗号文ｃを入力する。暗号文入力部２２０Ａは、ＣＰＵ９１１を用いて、入力した暗号文ｃから、元Ｕとビット列Ｖとを表わすデータを取得する。暗号文入力部２２０Ａは、ＲＡＭ９１４を用いて、取得した元Ｕとビット列Ｖとを表わすデータを記憶する。
　暗号文検証部２３０Ａは、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータと、鍵記憶部２１０が記憶した秘密鍵ＤＩＤと、暗号文入力部２２０Ａが入力した暗号文ｃが表わす元Ｕとビット列Ｖとに基づいて、検証装置１００Ａに入力するデータを生成する。
　暗号文検証部２３０Ａは、ペアリング値算出部２３１Ａ、ビット列算出部２３２Ａ、整数算出部２３３Ａを有する。
　ペアリング値算出部２３１Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうちペアリングｅを表わすデータと、鍵記憶部２１０Ａが記憶した秘密鍵ＤＩＤを表わすデータと、暗号文入力部２２０が記憶した元Ｕを表わすデータとを入力する。ペアリング値算出部２３１Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすペアリングｅと元Ｕと秘密鍵ＤＩＤとに基づいて、ペアリングｅにより、元Ｕと秘密鍵ＤＩＤとのペアリング値を算出して、ペアリング値αとする。ペアリング値αは、乗法群ＧＴの元である。ペアリング値算出部２３１Ａは、ＲＡＭ９１４を用いて、算出したペアリング値αを表わすデータを記憶する。
　ペアリング値算出部２３１Ａが算出するペアリング値αは、ペアリングｅの双線形より、
Figure JPOXMLDOC01-appb-M000023
　すなわち、ペアリング値算出部２３１Ａが算出するペアリング値αは、暗号文生成装置４００Ａの秘密ペアリング値算出部４２５Ａが算出した乗法群ＧＴの元αと等しい。
　ビット列算出部２３２Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ２を表わすデータと、暗号文入力部２２０が記憶したビット列Ｖと、ペアリング値算出部２３１Ａが記憶したペアリング値αを表わすデータとを入力する。ビット列算出部２３２Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ２とペアリング値αとに基づいて、ハッシュ関数Ｈ２によりペアリング値αをハッシュしたハッシュ値Ｈ２（α）を算出する。ハッシュ値Ｈ２（α）は、所定の長さのビット列である。ビット列算出部２３２Ａは、ＣＰＵ９１１を用いて、入力したビット列Ｖと、算出したハッシュ値Ｈ２（α）とに基づいて、ビット列Ｖとハッシュ値Ｈ２（α）との間のビットごとの排他的論理和をとり、ビット列ｍとする。ビット列算出部２３２Ａは、ＲＡＭ９１４を用いて、算出したビット列ｍを記憶する。
　ペアリング値算出部２３１Ａが算出したペアリング値αが暗号文生成装置４００Ａの秘密ペアリング値算出部４２５Ａが算出した乗法群ＧＴの元αと等しいので、ビット列算出部２３２Ａが算出するビット列ｍは、暗号文生成装置４００Ａの秘密ビット列生成部４２１Ａが生成したビット列ｍと等しい。
　整数算出部２３３Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ３を表わすデータと、ビット列算出部２３２Ａが記憶したビット列ｍとを入力する。整数算出部２３３Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ３と、入力したビット列ｍとに基づいて、ハッシュ関数Ｈ３によりビット列ｍをハッシュしたハッシュ値を算出し、ハッシュ値ｒとする。ハッシュ値ｒは、１以上ｐ－１以下の整数である。整数算出部２３３Ａは、ＲＡＭ９１４を用いて、算出したハッシュ値ｒを表わすデータを記憶する。
　ビット列算出部２３２Ａが算出したビット列ｍが暗号文生成装置４００Ａの秘密ビット列生成部４２１Ａが生成したビット列ｍと等しいので、整数算出部２３３Ａが算出したハッシュ値ｒは、暗号文生成装置４００Ａの秘密整数算出部４２２Ａが算出したハッシュ値ｒと等しい。
　したがって、暗号文入力部２２０Ａが入力した暗号文ｃが正当な暗号文であれば、Ｕ＝ｒ・Ｑが成り立つ。
　検証装置１００Ａは、Ｕ＝ｒ・Ｑであるか否かを判断し、Ｕ＝ｒ・Ｑである場合に、検証成功と判定する。
　検証装置１００Ａは、実施の形態１で説明した検証装置１００と同様の装置である。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうち位数ｐを表わすデータを、実施の形態１で説明した位数ｐを表わすデータとして入力する。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、整数算出部２３３Ａが記憶したハッシュ値ｒを表わすデータを、実施の形態１で説明した整数ｅを表わすデータとして入力する。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、暗号文入力部２２０が記憶した元Ｕを表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、識別元記憶部２４３Ａが記憶した元Ｑを表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐとハッシュ値ｒとに基づいて、ｅ１・ｒ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。検証装置１００Ａは、ＣＰＵ９１１を用いて、入力したデータが表わす元Ｕと元Ｑと、算出した整数ｅ１と整数ｅ２とに基づいて、加法群Ｇ１における演算により、加法群Ｇ１の元ａ＝ｅ１・Ｕ－ｅ２・Ｑを算出する。検証装置１００Ａは、ＣＰＵ９１１を用いて、算出した元ａに基づいて、元ａが加法群Ｇ１の単位元であるか否かを判定する。検証装置１００Ａは、ＣＰＵ９１１を用いて、元ａが加法群Ｇ１の単位元である場合、「検証成功」と判定し、元ａが加法群Ｇ１の単位元でない場合、「検証失敗」と判定する。
　検証装置１００Ａは、ＣＰＵ９１１を用いて、検証結果を表わすデータを出力する。
　復号文生成部２６０Ａは、ＣＰＵ９１１を用いて、検証装置１００Ａが出力した検証結果を表わすデータを入力する。復号文生成部２６０Ａは、入力したデータが表わす検証結果が「検証成功」である場合、ＣＰＵ９１１を用いて、共通鍵Ｋを生成する。復号文生成部２６０Ａは、検証結果が「検証失敗」である場合、共通鍵Ｋを生成しない。なお、検証結果が「検証失敗」である場合、復号文生成部２６０Ａは、不正者に手がかりを与えないランダムな共通鍵Ｋを生成してもよい。
　判定結果が「検証成功」である場合、復号文生成部２６０Ａは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ａが記憶した暗号パラメータのうちハッシュ関数Ｈ４を表わすデータと、ビット列算出部２３２Ａが記憶したビット列ｍとを入力する。復号文生成部２６０Ａは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ４と、入力したビット列ｍとに基づいて、ハッシュ関数Ｈ４により、ビット列ｍをハッシュしたハッシュ値を算出して、共通鍵Ｋとする。共通鍵Ｋは、所定の長さのビット列である。復号文生成部２６０Ａは、ＲＡＭ９１４を用いて、算出した共通鍵Ｋを記憶する。
　暗号文入力部２２０Ａが入力した暗号文ｃが正当な暗号文であれば、ビット列算出部２３２Ａが算出したビット列ｍが、暗号文生成装置４００Ａの秘密ビット列生成部４２１Ａが生成したビット列ｍと等しいので、復号文生成部２６０Ａが算出する共通鍵Ｋは、暗号文生成装置４００Ａの共通鍵算出部４２７Ａが算出した共通鍵Ｋと等しい。
　したがって、暗号文生成装置４００Ａと暗号文復号装置２００Ａとが同じ共通鍵Ｋを共有できる。
　共通鍵記憶部２７０Ａは、ＣＰＵ９１１を用いて、復号文生成部２６０Ａが記憶した共通鍵Ｋを入力する。共通鍵記憶部２７０Ａは、ＲＡＭ９１４を用いて、入力した共通鍵Ｋを記憶する。
　暗号化メッセージ入力部２８１Ａは、ＣＰＵ９１１を用いて、暗号文生成装置４００Ａから受信した暗号化メッセージＣＭを入力する。暗号化メッセージ入力部２８１Ａは、磁気ディスク装置９２０を用いて、入力した暗号化メッセージＣＭを記憶する。
　メッセージ復号部２８２Ａは、ＣＰＵ９１１を用いて、共通鍵記憶部２７０Ａが記憶した共通鍵Ｋと、暗号化メッセージ入力部２８１Ａが記憶した暗号化メッセージＣＭとを入力する。メッセージ復号部２８２Ａは、ＣＰＵ９１１を用いて、入力した共通鍵Ｋにより、入力した暗号化メッセージＣＭを復号して、メッセージＭ’を生成する。メッセージ復号部２８２Ａは、磁気ディスク装置９２０を用いて、生成したメッセージＭ’を記憶する。
　暗号文生成装置４００Ａと暗号文復号装置２００Ａとが同じ共通鍵Ｋを共有しているので、メッセージ復号部２８２Ａが生成するメッセージＭ’は、暗号文生成装置４００Ａのメッセージ入力部４４０Ａが入力したメッセージＭと同じになる。
　復号メッセージ出力部２８３Ａは、ＣＰＵ９１１を用いて、メッセージ復号部２８２Ａが記憶したメッセージＭ’を入力する。復号メッセージ出力部２８３Ａは、ＣＰＵ９１１を用いて、入力したメッセージＭ’を出力する。
　図１５は、この実施の形態における暗号文復号装置２００Ａが暗号文ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図である。
　ペアリング値算出工程Ｓ７３１Ａにおいて、ペアリング値算出部２３１Ａは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ａが入力した元Ｕと、鍵記憶部２１０Ａが記憶した秘密鍵ＤＩＤとに基づいて、ペアリングｅにより、元Ｕと秘密鍵ＤＩＤとのペアリング値を算出し、ペアリング値αとする。
　ビット列算出工程Ｓ７３２Ａにおいて、ビット列算出部２３２Ａは、ＣＰＵ９１１を用いて、ペアリング値算出工程Ｓ７３１Ａでペアリング値算出部２３１Ａが算出したペアリング値αに基づいて、ハッシュ関数Ｈ２により、ペアリング値αをハッシュしたハッシュ値Ｈ２（α）を算出する。ビット列算出部２３２Ａは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ａが入力したビット列Ｖと、算出したハッシュ値Ｈ２（α）とに基づいて、ビット列Ｖとハッシュ値Ｈ２（α）との間のビットごとの排他的論理和をとり、ビット列ｍとする。
　整数算出工程Ｓ７３３Ａにおいて、整数算出部２３３Ａは、ＣＰＵ９１１を用いて、ビット列算出工程Ｓ７３２Ａでビット列算出部２３２Ａが算出したビット列ｍに基づいて、ハッシュ関数Ｈ３により、ビット列ｍをハッシュしたハッシュ値を算出し、ハッシュ値ｒとする。
　暗号文検証工程Ｓ７３４Ａにおいて、検証装置１００Ａは、ＣＰＵ９１１を用いて、識別元記憶部２４３Ａが記憶した元Ｑと、暗号文入力部２２０Ａが入力した元Ｕと、整数算出工程Ｓ７３３Ａで整数算出部２３３Ａが算出したハッシュ値ｒとに基づいて、Ｕ＝ｒ・Ｑであるかを検証する。
　Ｕ＝ｒ・Ｑである場合、復号文生成工程Ｓ７３５Ａへ進む。
　Ｕ≠ｒ・Ｑである場合、暗号文復号処理を終了する。
　復号文生成工程Ｓ７３５Ａにおいて、復号文生成部２６０Ａは、ＣＰＵ９１１を用いて、ビット列算出工程Ｓ７３２Ａでビット列算出部２３２Ａが算出したビット列ｍに基づいて、ハッシュ関数Ｈ４により、ビット列ｍをハッシュしたハッシュ値を算出し、共通鍵Ｋとする。
　その後、暗号文復号処理を終了し、算出した共通鍵Ｋにより、暗号化メッセージＣＭを復号する。
　不正に暗号を解読しようとする不正者に対して、暗号を解読する手がかりを与えないためには、暗号文復号装置２００Ａが、暗号文に整合性があるかを検証することが必要である。
　この実施の形態における暗号文復号装置２００Ａは、暗号文の整合性を検証するため、検証装置１００ＡがＵ＝ｒ・Ｑであるか否かを判定する。
　実施の形態１で説明したように、検証装置１００Ａは、Ｕ＝ｒ・Ｑであるか否かを高速に検証することができる。
　したがって、暗号文復号装置２００Ａは、高速に暗号文を復号することができる。
　この実施の形態における暗号文復号装置２００Ａは、データを記憶する記憶装置（ＲＡＭ９１４、磁気ディスク装置９２０など）と、データを処理する処理装置（ＣＰＵ９１１）と、鍵記憶部２１０Ａと、暗号文入力部２２０Ａと、暗号文検証部２３０Ａと、検証装置１００Ａと、復号文生成部２６０Ａとを有する。
　上記鍵記憶部２１０は、上記記憶装置を用いて、暗号文を復号する鍵（秘密鍵ＤＩＤ）を記憶する。
　上記暗号文入力部２２０Ａは、上記処理装置（ＣＰＵ９１１）を用いて、暗号文ｃを入力する。
　上記暗号文検証部２３０は、上記処理装置（ＣＰＵ９１１）を用いて、上記鍵記憶部２１０Ａが記憶した鍵（秘密鍵ＤＩＤ）と、上記暗号文入力部２２０Ａが入力した暗号文ｃとに基づいて、上記検証装置１００Ａに入力する整数ｅ（ハッシュ値ｒ）と、上記有限群Ｇ（加法群Ｇ１）の元ｓ（元Ｑ）と、上記有限群Ｇ（加法群Ｇ１）の元ｈ（元Ｕ）とを算出する。
　上記検証装置１００Ａは、上記暗号文検証部２３０Ａが算出した整数ｅ（ハッシュ値ｒ）と、上記有限群Ｇ（加法群Ｇ１）の元ｓ（元Ｑ）と、上記有限群Ｇ（加法群Ｇ１）の元ｈ（元Ｕ）とを入力して、検証成功か否かを判定する。
　上記復号文生成部２６０Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ａが検証成功と判定した場合に、上記暗号文入力部２２０Ａが入力した暗号文ｃを上記鍵記憶部２１０Ａが記憶した鍵（秘密鍵ＤＩＤ）により復号して、復号文（共通鍵Ｋ）を生成する。
　この実施の形態における暗号文復号装置２００Ａによれば、検証装置１００Ａが暗号文の整合性を検証して検証成功と判定した場合に、復号文生成部２６０Ａが復号文を生成するので、暗号文復号装置２００Ａに不正な暗号文を入力して、復号結果から、暗号を解読する手がかりを得ようとする不正者に対して、暗号を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００Ａが暗号文の整合性を検証する処理にかかる時間を短縮できるので、暗号文復号装置２００Ａが暗号文を復号する処理全体にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における暗号文復号装置２００Ａは、更に、暗号パラメータ記憶部２９０Ａと、識別記憶部２４１Ａと、識別元算出部２４２Ａと、識別元記憶部２４３Ａとを有する。
　上記暗号パラメータ記憶部２９０Ａは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記有限群Ｇ（加法群Ｇ１）の位数ｐと、上記有限群Ｇ（加法群Ｇ１）の生成元ｇ１と、上記有限群Ｇ（加法群Ｇ１）の元Ｒとを記憶する。
　上記識別記憶部２４１Ａは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記暗号文復号装置２００Ａを識別するビット列ＩＤを記憶する。
　上記識別元算出部２４２Ａは、上記処理装置を用いて、上記識別記憶部２４１Ａが記憶したビット列ＩＤに基づいて、所定のハッシュ関数Ｈ１により上記ビット列ＩＤをハッシュしたハッシュ値を算出して、整数（ハッシュ値）Ｈ１（ＩＤ）とし、上記暗号パラメータ記憶部２９０Ａが記憶した生成元ｇ１と、上記暗号パラメータ記憶部２９０Ａが記憶した元Ｒと、算出した整数（ハッシュ値）Ｈ１（ＩＤ）とに基づいて、上記生成元ｇ１を整数（ハッシュ値）Ｈ１（ＩＤ）倍した元と、上記元Ｒとを加算して、上記有限群Ｇ（加法群Ｇ１）の元Ｑ（＝Ｒ＋Ｈ１（ＩＤ）・ｇ１）とする。
　上記識別元記憶部２４３Ａは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記識別元算出部２４２Ａが算出した元Ｑを記憶する。
　上記鍵記憶部２１０Ａは、上記記憶装置を用いて、有限群（加法群）Ｇ２の元ＤＩＤを記憶する。
　上記暗号文入力部２２０Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記有限群Ｇ（加法群Ｇ１）の元Ｕと、ビット列Ｖとを上記暗号文ｃとして入力する。
　上記暗号文検証部２３０Ａは、ペアリング値算出部２３１Ａと、ビット列算出部２３２Ａと、整数算出部２３３Ａとを有する。
　上記ペアリング値算出部２３１Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号文入力部２２０Ａが入力した元Ｕと、上記鍵記憶部２１０Ａが記憶した元ＤＩＤとに基づいて、所定のペアリング関数ｅにより上記元Ｕと上記元ＤＩＤとのペアリング値を算出して、ペアリング値α（＝ｅ（Ｕ，ＤＩＤ））とする。
　上記ビット列算出部２３２Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記ペアリング値算出部２３１Ａが算出したペアリング値αに基づいて、所定のハッシュ関数Ｈ２により上記ペアリング値αをハッシュしたハッシュ値を算出して、ビット列（ハッシュ値）Ｈ２（α）とし、上記暗号文入力部２２０Ａが入力したビット列Ｖと、算出したビット列（ハッシュ値）Ｈ２（α）とに基づいて、上記ビット列Ｖと上記ビット列（ハッシュ値）Ｈ２（α）との排他的論理和を取って、ビット列ｍ（＝Ｖ　ＸＯＲ　Ｈ２（α））とする。
　上記整数算出部２３３Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記ビット列算出部２３２Ａが算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ３により上記ビット列ｍをハッシュしたハッシュ値を算出して、整数（ハッシュ値）ｒ（＝Ｈ３（ｍ））とする。
　上記検証装置１００Ａは、上記暗号パラメータ記憶部２９０Ａが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３３Ａが算出した整数（ハッシュ値）ｒと、上記元ｓとして上記識別元記憶部２４３Ａが記憶した元Ｑと、上記元ｈとして上記暗号文入力部２２０Ａが入力した元Ｕとを入力して、検証成功か否かを判定する。
　上記復号文生成部２６０Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ａが検証成功と判定した場合に、上記ビット列算出部２３２Ａが算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ４により上記ビット列ｍをハッシュしたハッシュ値を算出して、共通鍵Ｋ（＝Ｈ４（ｍ））とし、算出した共通鍵Ｋを上記復号文として出力する。
　この実施の形態における暗号文復号装置２００Ａによれば、検証装置１００ＡがＵ＝ｒ・Ｑであるかを検証して検証成功と判定した場合に、復号文生成部２６０Ａが復号文を生成するので、不正者に対して、暗号を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００ＡがＵ＝ｒ・Ｑであるかを検証する処理にかかる時間を短縮できるので、暗号文復号装置２００Ａが暗号文を復号する処理全体にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における識別元算出部２４２Ａは、上記暗号文入力部２２０Ａが上記暗号文ｃを入力するよりも前に、上記元Ｑを算出する。
　この実施の形態における暗号文復号装置２００Ａによれば、元Ｑを算出する処理を暗号文入力部２２０Ａが暗号文ｃを入力するよりも前に実行するので、暗号文入力部２２０Ａが暗号文ｃを入力してから、復号文生成部２６０Ａが共通鍵Ｋを算出するまでにかかる時間を更に短縮することができるという効果を奏する。
　この実施の形態における暗号文復号装置２００Ａは、更に、共通鍵記憶部２７０Ａと、暗号化メッセージ入力部２８１Ａと、メッセージ復号部２８２Ａとを有する。
　上記共通鍵記憶部２７０Ａは、上記記憶装置（ＲＡＭ９１４）を用いて、上記復号文生成部２６０Ａが出力した共通鍵Ｋを記憶する。
　上記暗号化メッセージ入力部２８１Ａは、上記処理装置（ＣＰＵ９１１）を用いて、暗号化メッセージＣＭを入力する。
　上記メッセージ復号部２８２Ａは、上記処理装置（ＣＰＵ９１１）を用いて、上記共通鍵記憶部２７０Ａが記憶した共通鍵Ｋにより上記暗号化メッセージ入力部２８１Ａが入力した暗号化メッセージＣＭを復号する。
　この実施の形態における暗号文復号装置２００Ａによれば、暗号文ｃを介して暗号文生成装置４００Ａと共有した共通鍵Ｋにより、メッセージ復号部２８２Ａが暗号化メッセージＣＭを復号するので、暗号化メッセージＣＭの生成・復号には、高速に処理が可能な共通鍵暗号方式を用いることができるという効果を奏する。
　この実施の形態における暗号システム（ＩＤベース公開鍵暗号システム８２０Ａ）は、検証装置１００Ａを有する。
　この実施の形態における暗号システム（ＩＤベース公開鍵暗号システム８２０Ａ）によれば、検証装置１００Ａが暗号文の整合性を検証するので、不正者に対して、暗号を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００Ａが暗号文の整合性を検証する処理にかかる時間を短縮できるので、暗号通信全体にかかる時間を短縮することができるという効果を奏する。
　以上説明した暗号文復号装置２００Ａ（公開鍵暗号復号装置）は、公開鍵暗号システム（ＩＤベース公開鍵暗号システム８２０Ａ）内における鍵デカプセル化装置であって、整数の剰余類がなす群などの乗法群における指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群におけるスカラー倍算により、乗法群の元ｓをｅ回乗算した元ｓｅまたは加法群の元ｓをｅ回加算した元ｅ・ｓが、既知の元ｈと一致するかどうか検証することにより、暗号文が正しいか否かを判定する暗号文正当性検証装置（検証装置１００Ａ）を有する。
　暗号文正当性検証装置（検証装置１００Ａ）は、
　指数部（整数ｅ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値ｈｅ１－ｓｅ２またはｅ１・ｈ－ｅ２・ｓを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した暗号文復号装置２００Ａは、ＩＤベース暗号復号装置である。
　暗号文復号装置２００Ａは、
　公開パラメータ（元ｇ１及び公開元Ｒ）と、受信者（暗号文復号装置２００Ａ）のＩＤから計算される値（元Ｑ＝Ｒ＋Ｈ１（ＩＤ）・ｇ１）を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その事前計算値（元Ｑ）を記憶する記憶装置（識別元記憶部２４３Ａ）とを有する。
　以上説明した暗号文復号装置２００Ａ（ＩＤベース暗号復号装置）は、
　公開パラメータ（元ｇ１及び公開元Ｒ）と、受信者（暗号文復号装置２００Ａ）のＩＤから計算される値（元Ｑ）を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その事前計算値（元Ｑ）を記憶する記憶装置（識別元記憶部２４３Ａ）と、
　その事前計算値（元Ｑ）に対する、乗法群におけるべき乗算、または（超）楕円曲線上の点がなす群などの加法群におけるスカラー倍算をした値（Ｑｒまたはｒ・Ｑ）を検証する検証装置１００Ａとを有する。
　検証装置１００Ａは、
　指数部（ハッシュ値ｒ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値Ｕｅ１・Ｑ－ｅ２またはｅ１・Ｕ－ｅ２・Ｑを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した暗号文復号装置２００Ａは、ＳＫ（境－笠原）－ＩＤベース暗号復号装置である。
　暗号文復号装置２００Ａは、
　公開パラメータ（暗号パラメータ）である乗法群または加法群の元Ｒ，元ｇ１と、受信者（暗号文復号装置２００Ａ）を識別するビット列ＩＤのハッシュ値ｈ＝Ｈ１（ＩＤ）とから計算される元Ｑ＝Ｒ・ｇ１ ｈまたはＱ＝Ｒ＋ｈ・ｇ１を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その元Ｑを記憶する記憶装置（識別元記憶部２４３Ａ）と、
　ランダムなビット列ｍのハッシュ値である整数ｒに対して、Ｑｒまたはｒ・Ｑが既知のＵと一致するかどうか検証することにより、暗号文が正しいか判定する暗号文正当性検証装置（検証装置１００Ａ）とを有する。
　以上説明した暗号文復号装置２００Ａは、ＳＫ－ＩＤベース暗号システム（ＩＤベース公開鍵暗号システム８２０Ａ）内における鍵デカプセル化装置（ＳＫ－ＩＤベース暗号鍵デカプセル化装置）である。
　暗号文復号装置２００Ａは、
　公開パラメータ（暗号パラメータ）である乗法群または加法群の元Ｒ，元ｇ１と、受信者（暗号文復号装置２００Ａ）を識別するビット列ＩＤのハッシュ値ｈ＝Ｈ１（ＩＤ）とから計算される元Ｑ＝Ｒ・ｇ１ ｈまたはＱ＝Ｒ＋ｈ・ｇ１を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その元Ｑを記憶する記憶装置（識別元記憶部２４３Ａ）と、
　ランダムなビット列ｍのハッシュ値である整数ｒに対して、Ｑｒまたはｒ・Ｑが既知のＵと一致するかどうか検証することにより、暗号文が正しいか判定する暗号文正当性検証装置（検証装置１００Ａ）とを有する。
　以上説明した暗号文復号装置２００Ａ（ＳＫ－ＩＤベース暗号復号装置）は、
　公開パラメータ（暗号パラメータ）である乗法群または加法群の元Ｒ，元ｇ１と、受信者（暗号文復号装置２００Ａ）を識別するビット列ＩＤのハッシュ値ｈ＝Ｈ１（ＩＤ）とから計算される元Ｑ＝Ｒ・ｇ１ ｈまたはＱ＝Ｒ＋ｈ・ｇ１を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その元Ｑを記憶する記憶装置（識別元記憶部２４３Ａ）と、
　ランダムなビット列ｍのハッシュ値（整数ｒ）を計算する装置（整数算出部２３３Ａ）と、
　指数部（整数ｒ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値Ｕｅ１・Ｑ－ｅ２またはｅ１・Ｕ－ｅ２・Ｑを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した暗号文復号装置２００Ａ（ＳＫ－ＩＤベース暗号鍵デカプセル化装置）は、
　公開パラメータ（暗号パラメータ）である乗法群または加法群の元Ｒ，元ｇ１と、受信者（暗号文復号装置２００Ａ）を識別するビット列ＩＤのハッシュ値ｈ＝Ｈ１（ＩＤ）とから計算される元Ｑ＝Ｒ・ｇ１ ｈまたはＱ＝Ｒ＋ｈ・ｇ１を事前に計算する事前計算装置（識別元算出部２４２Ａ）と、
　その元Ｑを記憶する記憶装置（識別元記憶部２４３Ａ）と、
　ランダムなビット列ｍのハッシュ値である整数ｒを計算する装置（整数算出部２３３Ａ）と、
　指数部（整数ｒ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値Ｕｅ１・Ｑ－ｅ２またはｅ１・Ｕ－ｅ２・Ｑを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明したＩＤベース公開鍵暗号システム８２０Ａは、（超）楕円曲線上のペアリング演算を利用したＩＤベース暗号であるＳＫ－ＩＢＫＥＭ暗号システムである。
　ＩＤベース公開鍵暗号システム８２０Ａでは、位数ｐが素数である加法群Ｇ１，加法群Ｇ２，乗法群ＧＴと、群Ｇ１内の基点（生成元）ｇ１，群Ｇ２内の基点ｇ２、ペアリングｅを用いる。
　まず、暗号パラメータ設定装置８１０Ａ（暗号パラメータ生成装置）は、ＣＰＵ９１１を用いて、１以上ｐ－１以下の整数ｓをランダムに選ぶ。次に、暗号パラメータ設定装置８１０Ａは、ＣＰＵ９１１を用いて、群Ｇ１の元Ｒ＝ｓ・ｇ１を計算する。暗号パラメータ設定装置８１０Ａは、ＣＰＵ９１１を用いて、鍵生成装置３００Ａ（鍵生成センタ。ＰＫＧ：Ｐｒｉｖａｔｅ　Ｋｅｙ　Ｇｅｎｅｒａｔｏｒ）用の秘密鍵（秘密乱数）ｓと、ＰＫＧ用の公開鍵（公開元）Ｒとを出力する。
　鍵生成装置３００Ａ（秘密鍵導出装置）は、ＣＰＵ９１１を用いて、暗号文復号装置２００Ａを識別するビット列ＩＤを入力する。まず、鍵生成装置３００Ａは、ＣＰＵ９１１を用いて、ハッシュ値ｈ＝Ｈ１（ＩＤ）を計算する。次に、鍵生成装置３００Ａは、ＣＰＵ９１１を用いて、整数ｅ＝１／（ｓ＋ｈ）　ｍｏｄ　ｐを計算し、ＩＤ用の秘密鍵である群Ｇ２の元ｄＩＤ＝ｅ・ｇ２を計算して、出力する。
　暗号文生成装置４００Ａ（暗号化装置）は、まず、ＣＰＵ９１１を用いて、ランダムなビット列ｍを生成する。次に、暗号文生成装置４００Ａは、ＣＰＵ９１１を用いて、ハッシュ値ｒ＝Ｈ３（ｍ），ハッシュ値ｈ＝Ｈ１（ＩＤ）を計算し、群Ｇ１の元Ｑ＝Ｒ＋ｈ・ｇ１を計算する。暗号文生成装置４００Ａは、ＣＰＵ９１１を用いて、群Ｇ１の元Ｕ＝ｒ・Ｑを計算し、ビット列ｍとハッシュ値Ｈ２（ｅ（ｇ１，ｇ２）ｒ）との排他的論理和であるビット列Ｖ＝ＸＯＲ（ｍ，Ｈ２（ｅ（ｇ１，ｇ２）ｒ））を計算する。暗号文生成装置４００Ａは、ＣＰＵ９１１を用いて、鍵（共通鍵）Ｋ＝Ｈ４（ｍ），暗号文ｃ＝（Ｕ，Ｖ）を出力する。
　暗号文復号装置２００Ａ（復号装置）は、自身を識別するビット列ＩＤと、鍵生成装置３００Ａが生成した秘密鍵ｄＩＤと、暗号文生成装置４００Ａが出力した暗号文ｃ＝（Ｕ，Ｖ）とを入力する。暗号文復号装置２００Ａは、ペアリング値α＝ｅ（Ｕ，ｄＩＤ）を計算し、ビット列Ｖと、ハッシュ値Ｈ２（α）との排他的論理和であるビット列ｍ＝ＸＯＲ（Ｖ，Ｈ２（α））を計算する。暗号文復号装置２００Ａは、ハッシュ値ｒ＝Ｈ３（ｍ），ハッシュ値ｈ＝Ｈ１（ＩＤ）を計算し、群Ｇ１の元Ｑ＝Ｒ＋ｈ・ｇ１を計算する。暗号文復号装置２００Ａは、ＣＰＵ９１１を用いて、ｒ・Ｑ＝Ｕが成り立つかどうかをチェックする。成立しなければ、暗号文復号装置２００Ａは、「拒絶」を出力する。成立すれば、暗号文復号装置２００Ａは、ＣＰＵ９１１を用いて、共通鍵Ｋ＝Ｈ４（ｍ）を計算し、出力する。
　以上説明した検証装置１００Ａは、このようなＳＫ－ＩＢＫＥＭ暗号システムにおいて、ｒ・Ｑ＝Ｕが成立するかどうかをチェックする処理を、高速化する。
　識別元算出部２４２Ａは、ＣＰＵ９１１を用いて、システム全体で共通に用いられる暗号パラメータである元ｇ１と、元Ｒと、受信者（暗号文復号装置２００Ａ）自身のＩＤのハッシュ値ｈ＝Ｈ１（ＩＤ）とに基づいて、暗号文生成装置４００Ａとの通信の内容とは無関係に、群Ｇ１における二基底スカラー倍算により、群Ｇ１の元Ｑ＝Ｒ＋ｈ・ｇ１を事前に計算しておく。
　検証装置１００Ａでは、整数分割部１１０が、ＣＰＵ９１１を用いて、ｒとｐとを入力して、ｅ１・ｒ≡ｅ２（ｍｏｄ　ｐ）となる整数ｅ１，ｅ２を算出し、検証値算出部１３０が、ＣＰＵ９１１を用いて、群Ｇ１における二基底スカラー倍算により、群Ｇ１の元Ｗ＝ｅ２・Ｑ－ｅ１・Ｕを計算し、検証判定部１５０が、ＣＰＵ９１１をもちいて、元Ｗが群Ｇ１の単位元Ｏであるかどうかをチェックすることにより、ｒ・Ｑ＝Ｕが成立するかを高速にチェックする。
　実施の形態３．
　実施の形態３について、図１６～図２０を用いて説明する。
　図１６は、この実施の形態における公開鍵暗号システム８２０Ｂの全体構成の一例を示すシステム構成図である。
　公開鍵暗号システム８２０Ｂは、暗号文生成装置４００Ｂが暗号文復号装置２００Ｂの公開鍵を使って暗号文を生成し、暗号文復号装置２００Ｂが公開鍵に対応する秘密鍵を使って暗号文を復号するシステムである。
　公開鍵暗号システム８２０Ｂは、暗号パラメータ設定装置８１０Ｂ、鍵生成装置３００Ｂ、暗号文生成装置４００Ｂ、暗号文復号装置２００Ｂを有する。
　暗号パラメータ設定装置８１０Ｂは、公開鍵暗号システム８２０Ｂで利用される暗号パラメータを定める。暗号パラメータ設定装置８１０Ｂが定めた暗号パラメータは、公開鍵暗号システム８２０Ｂの利用者に公開される。暗号パラメータ設定装置８１０Ｂが定める暗号パラメータには、例えば、位数ｐ、加法群Ｇ、加法群Ｇの元ｇ、ハッシュ関数Ｈ、鍵導出関数ＫＤＦなどがある。
　位数ｐは、素数である。
　加法群Ｇの位数は、ｐである。元ｇは、加法群Ｇの生成元である。
　ハッシュ関数Ｈは、加法群Ｇの二つの元の順序対から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　鍵導出関数ＫＤＦは、加法群Ｇの二つの元の順序対から、所定の長さのビット列を生成する関数である。
　なお、これらの暗号パラメータがあらかじめ定められている場合には、暗号パラメータ設定装置８１０Ａは、なくてもよい。
　鍵生成装置３００Ｂは、公開された暗号パラメータに基づいて、秘密鍵と公開鍵とのペアを生成する。鍵生成装置３００Ｂが生成した秘密鍵は、暗号文復号装置２００Ｂに秘密裡に通知される。鍵生成装置３００Ｂが生成した公開鍵は、例えば、公開鍵証明書などの形で、暗号文復号装置２００Ｂの公開鍵として公開される。
　鍵生成装置３００Ｂは、公開鍵として、加法群Ｇの四つの元ｇ’、ｃ、ｄ、ｈを生成する。鍵生成装置３００Ｂは、秘密鍵として、１以上ｐ－１以下の四つの整数ｗ、ｘ、ｙ、ｚを生成する。
　なお、鍵生成装置３００Ｂは、暗号文復号装置２００Ｂの一部であってもよい。
　暗号文生成装置４００Ｂは、公開された暗号パラメータと公開鍵とに基づいて、暗号文ｃと、共通鍵Ｋとを生成する。暗号文生成装置４００Ｂは、生成した共通鍵Ｋにより、メッセージＭを暗号化して暗号化メッセージＣＭを生成する。暗号文生成装置４００Ｂは、生成した暗号文ｃと暗号化メッセージＣＭとを、暗号文復号装置２００Ｂに対して送信する。
　暗号文復号装置２００Ｂは、鍵生成装置３００Ｂが生成した秘密鍵を秘密裡に保持する。暗号文復号装置２００Ｂは、暗号文生成装置４００Ｂが送信した暗号文ｃと暗号化メッセージＣＭとを受信する。暗号文復号装置２００Ｂは、公開された暗号パラメータに基づいて、保持した秘密鍵により受信した暗号文ｃを復号し、暗号文生成装置４００Ｂと同じ共通鍵Ｋを生成する。暗号文復号装置２００Ｂは、生成した共通鍵により、暗号化メッセージＣＭを復号して、メッセージＭと同じメッセージＭ’を生成する。
　なお、暗号パラメータ設定装置８１０Ｂ、鍵生成装置３００Ｂ、暗号文生成装置４００Ｂ、暗号文復号装置２００Ｂの外観、ハードウェア資源は、実施の形態１で説明した暗号文復号装置２００の外観、ハードウェア資源と同様である。
　図１７は、この実施の形態における鍵生成装置３００Ｂの機能ブロックの構成の一例を示すブロック構成図である。
　鍵生成装置３００Ｂは、暗号パラメータ記憶部３９０Ｂ、秘密鍵生成部３５０Ｂ、公開鍵生成部３７０Ｂ、秘密鍵出力部３６０Ｂ、公開鍵出力部３８０Ｂを有する。
　暗号パラメータ記憶部３９０Ｂは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　秘密鍵生成部３５０Ｂは、暗号パラメータ記憶部３９０Ｂが記憶した暗号パラメータに基づいて、秘密鍵を生成する。
　秘密鍵生成部３５０Ｂは、四つの秘密乱数生成部３５１Ｂ～３５４Ｂを有する。
　四つの秘密乱数生成部３５１Ｂ～３５４Ｂは、それぞれ、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。四つの秘密乱数生成部３５１Ｂ～３５４Ｂは、それぞれ、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成する。
　第一の秘密乱数生成部３５１Ｂは、生成した整数を整数ｗとし、ＲＡＭ９１４を用いて、生成した整数ｗを表わすデータを記憶する。
　第二の秘密乱数生成部３５２Ｂは、生成した整数を整数ｘとし、ＲＡＭ９１４を用いて、生成した整数ｘを表わすデータを記憶する。
　第三の秘密乱数生成部３５３Ｂは、生成した整数を整数ｙとし、ＲＡＭ９１４を用いて、生成した整数ｙを表わすデータを記憶する。
　第四の秘密乱数生成部３５４Ｂは、生成した整数を整数ｚとし、ＲＡＭ９１４を用いて、生成した整数ｚを表わすデータを記憶する。
　公開鍵生成部３７０Ｂは、暗号パラメータ記憶部３９０Ｂが記憶した暗号パラメータと、秘密鍵生成部３５０Ｂが生成した秘密鍵とに基づいて、公開鍵を生成する。
　公開鍵生成部３７０Ｂは、四つの公開元算出部３７１Ｂ～３７４Ｂを有する。
　四つの公開元算出部３７１Ｂ～３７４Ｂは、それぞれ、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｂが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータを入力する。
　第一の公開元算出部３７１Ｂは、ＣＰＵ９１１を用いて、第一の秘密乱数生成部３５１Ｂが記憶した整数ｗを表わすデータを入力する。第一の公開元算出部３７１Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数ｗとに基づいて、加法群Ｇにおける演算により、元ｇをｗ回加算した元を算出し、元ｇ’とする。第一の公開元算出部３７１Ｂは、ＲＡＭ９１４を用いて、算出した元ｇ’を表わすデータを記憶する。
　第二の公開元算出部３７２Ｂは、ＣＰＵ９１１を用いて、第二の秘密乱数生成部３５２Ｂが記憶した整数ｘを表わすデータを入力する。第二の公開元算出部３７２Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数ｘとに基づいて、加法群Ｇにおける演算により、元ｇをｘ回加算した元を算出し、元ｃとする。第二の公開元算出部３７２Ｂは、ＲＡＭ９１４を用いて、算出した元ｃを表わすデータを記憶する。
　第三の公開元算出部３７３Ｂは、ＣＰＵ９１１を用いて、第三の秘密乱数生成部３５３Ｂが記憶した整数ｙを表わすデータを入力する。第三の公開元算出部３７３Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数ｙとに基づいて、加法群Ｇにおける演算により、元ｇをｙ回加算した元を算出し、元ｄとする。第三の公開元算出部３７３Ｂは、ＲＡＭ９１４を用いて、算出した元ｄを表わすデータを記憶する。
　第四の公開元算出部３７４Ｂは、ＣＰＵ９１１を用いて、第四の秘密乱数生成部３５４Ｂが記憶した整数ｚを表わすデータを入力する。第四の公開元算出部３７４Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数ｚとに基づいて、加法群Ｇにおける演算により、元ｇをｚ回加算した元を算出し、元ｈとする。第四の公開元算出部３７４Ｂは、ＲＡＭ９１４を用いて、算出した元ｈを表わすデータを記憶する。
　秘密鍵出力部３６０Ｂは、ＣＰＵ９１１を用いて、四つの秘密乱数生成部３５１Ｂ～３５４Ｂが記憶した整数ｗと整数ｘと整数ｙと整数ｚとを表わすデータを入力する。秘密鍵出力部３６０Ｂは、ＣＰＵ９１１を用いて、入力した整数ｗと整数ｘと整数ｙと整数ｚとを表わすデータを、秘密鍵として出力する。
　秘密鍵出力部３６０Ｂが出力した秘密鍵は、暗号文復号装置２００Ｂに対して秘密裡に通知される。
　公開鍵出力部３８０Ｂは、ＣＰＵ９１１を用いて、四つの公開元算出部３７１Ｂ～３７４Ｂが記憶した元ｇ’と元ｃと元ｄと元ｈとを表わすデータを入力する。公開鍵出力部３８０Ｂは、ＣＰＵ９１１を用いて、入力した元ｇ’と元ｃと元ｄと元ｈとを表わすデータを、公開鍵として出力する。
　公開鍵出力部３８０Ｂが出力した公開鍵は、暗号文復号装置２００の公開鍵として公開鍵暗号システム８２０Ｂの利用者に公開される。
　図１８は、この実施の形態における暗号文生成装置４００Ｂの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文生成装置４００Ｂは、暗号パラメータ記憶部４９０Ｂ、公開鍵記憶部４１０Ｂ、共通鍵生成部４２０Ｂ、暗号文出力部４７０Ｂ、共通鍵記憶部４３０Ｂ、メッセージ入力部４４０Ｂ、メッセージ暗号化部４５０Ｂ、暗号化メッセージ出力部４６０Ｂを有する。
　暗号パラメータ記憶部４９０Ｂは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　公開鍵記憶部４１０Ｂは、磁気ディスク装置９２０を用いて、暗号文の送信相手である暗号文復号装置２００Ｂの公開鍵を表わすデータを記憶している。
　共通鍵生成部４２０Ｂは、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータと、公開鍵記憶部４１０Ｂが記憶した公開鍵とに基づいて、共通鍵Ｋと、共通鍵Ｋを暗号文復号装置２００Ｂに通知するための暗号文とを生成する。
　共通鍵生成部４２０Ｂは、秘密乱数生成部４２１Ｂ、第一暗号元算出部４２２Ｂ、第二暗号元算出部４２３Ｂ、ハッシュ値算出部４２４Ｂ、整数算出部４２５Ｂ、第三暗号元算出部４２６Ｂ、秘密元算出部４２７Ｂ、共通鍵算出部４２８Ｂを有する。
　秘密乱数生成部４２１Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部４２１Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成して、秘密乱数ｒとする。秘密乱数生成部４２１Ｂは、ＲＡＭ９１４を用いて、生成した秘密乱数ｒを表わすデータを記憶する。
　第一暗号元算出部４２２Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部４２１Ｂが記憶した秘密乱数ｒを表わすデータとを入力する。第一暗号元算出部４２２Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと秘密乱数ｒとに基づいて、加法群Ｇにおける演算により、元ｇをｒ回加算した元を算出して、元ｕとする。第一暗号元算出部４２２Ｂは、ＲＡＭ９１４を用いて、算出した元ｕを表わすデータを記憶する。
　第二暗号元算出部４２３Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち加法群Ｇを表わすデータと、公開鍵記憶部４１０Ｂが記憶した暗号文復号装置２００Ｂの公開鍵のうち元ｇ’を表わすデータと、秘密乱数生成部４２１Ｂが記憶した秘密乱数ｒを表わすデータとを入力する。第二暗号元算出部４２３Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇ’と秘密乱数ｒとに基づいて、加法群Ｇにおける演算により、元ｇ’をｒ回加算した元を算出して、元ｕ’とする。第二暗号元算出部４２３Ｂは、ＲＡＭ９１４を用いて、算出した元ｕ’を表わすデータを記憶する。
　第二暗号元算出部４２３Ｂが算出する元ｕ’は、ｇ’＝ｗ・ｇ、ｕ＝ｒ・ｇだから、
Figure JPOXMLDOC01-appb-M000024
　ハッシュ値算出部４２４Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうちハッシュ関数Ｈを表わすデータと、第一暗号元算出部４２２Ｂが記憶した元ｕを表わすデータと、第二暗号元算出部４２３Ｂが記憶した元ｕ’を表わすデータとを入力する。ハッシュ値算出部４２４Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと元ｕと元ｕ’とに基づいて、元ｕと元ｕ’との順序対をハッシュしたハッシュ値を算出して、ハッシュ値αとする。ハッシュ値αは、１以上ｐ－１以下の整数である。ハッシュ値算出部４２４Ｂは、ＲＡＭ９１４を用いて、算出したハッシュ値αを表わすデータを記憶する。
　整数算出部４２５Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータと、秘密乱数生成部４２１Ｂが記憶した秘密乱数ｒを表わすデータと、ハッシュ値算出部４２４Ｂが算出したハッシュ値αを表わすデータとを入力する。整数算出部４２５Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと秘密乱数ｒとハッシュ値αとに基づいて、ハッシュ値αと秘密乱数ｒとの積を、位数ｐで割った余りを算出して、整数ｒ’とする。整数算出部４２５Ｂは、ＲＡＭ９１４を用いて、算出した整数ｒ’を表わすデータを記憶する。
　第三暗号元算出部４２６Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち加法群Ｇを表わすデータと、公開鍵記憶部４１０Ｂが記憶した暗号文復号装置２００Ｂの公開鍵のうち元ｃと元ｄとを表わすデータと、秘密乱数生成部４２１Ｂが記憶した秘密乱数ｒを表わすデータと、整数算出部４２５Ｂが記憶した整数ｒ’を表わすデータとを入力する。第三暗号元算出部４２６Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｃと元ｄと秘密乱数ｒと整数ｒ’とに基づいて、加法群Ｇにおける演算により、元ｃをｒ回加算した元と、元ｄをｒ’回加算した元とを加算した元を算出し、元ｖとする。第三暗号元算出部４２６Ｂは、ＲＡＭ９１４を用いて、算出した元ｖを表わすデータを記憶する。
　第三暗号元算出部４２６Ｂが算出する元ｖは、ｃ＝ｘ・ｇ、ｄ＝ｙ・ｇ、ｕ＝ｒ・ｇだから、
Figure JPOXMLDOC01-appb-M000025
　秘密元算出部４２７Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち加法群Ｇを表わすデータと、公開鍵記憶部４１０Ｂが記憶した暗号文復号装置２００Ｂの公開鍵のうち元ｈを表わすデータと、秘密乱数生成部４２１Ｂが記憶した秘密乱数ｒを表わすデータとを入力する。秘密元算出部４２７Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｈと秘密乱数ｒとに基づいて、加法群Ｇにおける演算により、元ｈをｒ回加算した元を算出して、元ｈ～とする。秘密元算出部４２７Ｂは、ＣＰＵ９１１を用いて、算出した元ｈ～を表わすデータを記憶する。
　秘密元算出部４２７Ｂが算出する元ｈ～は、ｈ＝ｚ・ｇ、ｕ＝ｒ・ｇだから、
Figure JPOXMLDOC01-appb-M000026
　共通鍵算出部４２８Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｂが記憶した暗号パラメータのうち鍵導出関数ＫＤＦを表わすデータと、第一暗号元算出部４２２Ｂが記憶した元ｕを表わすデータと、秘密元算出部４２７Ｂが記憶した元ｈ～を表わすデータとを入力する。共通鍵算出部４２８Ｂは、入力したデータが表わす鍵導出関数ＫＤＦと元ｕと元ｈ～とに基づいて、鍵導出関数により、元ｕと元ｈ～との順序対からビット列を算出して、共通鍵Ｋとする。共通鍵算出部４２８Ｂは、ＲＡＭ９１４を用いて、算出した共通鍵Ｋを記憶する。
　共通鍵記憶部４３０Ｂは、ＣＰＵ９１１を用いて、共通鍵算出部４２８Ｂが記憶した共通鍵Ｋを入力する。共通鍵記憶部４３０Ｂは、ＲＡＭ９１４を用いて、入力した共通鍵Ｋを記憶する。
　暗号文出力部４７０Ｂは、ＣＰＵ９１１を用いて、第一暗号元算出部４２２Ｂが記憶した元ｕを表わすデータと、第二暗号元算出部４２３Ｂが記憶した元ｕ’を表わすデータと、第三暗号元算出部４２６Ｂが記憶した元ｖを表わすデータとを入力する。暗号文出力部４７０Ｂは、ＣＰＵ９１１を用いて、入力した元ｕと元ｕ’と元ｖとを表わすデータを、暗号文ｃとして出力する。
　メッセージ入力部４４０Ｂは、ＣＰＵ９１１を用いて、暗号文復号装置２００Ｂに対して送信しようとするメッセージＭを入力する。メッセージ入力部４４０Ｂは、磁気ディスク装置９２０を用いて、入力したメッセージＭを記憶する。
　メッセージ暗号化部４５０Ｂは、ＣＰＵ９１１を用いて、共通鍵記憶部４３０Ｂが記憶した共通鍵Ｋと、メッセージ入力部４４０Ｂが記憶したメッセージＭとを入力する。メッセージ暗号化部４５０Ｂは、ＣＰＵ９１１を用いて、入力したメッセージＭと共通鍵Ｋとに基づいて、共通鍵ＫによりメッセージＭを暗号化して、暗号化メッセージＣＭとする。メッセージ暗号化部４５０Ｂは、磁気ディスク装置９２０を用いて、生成した暗号化メッセージＣＭを記憶する。
　暗号化メッセージ出力部４６０Ｂは、ＣＰＵ９１１を用いて、メッセージ暗号化部４５０Ｂが記憶した暗号化メッセージＣＭを入力する。暗号化メッセージ出力部４６０Ｂは、ＣＰＵ９１１を用いて、入力した暗号化メッセージＣＭを出力する。
　暗号文出力部４７０Ｂが出力した暗号文ｃと、暗号化メッセージ出力部４６０Ｂが出力した暗号化メッセージＣＭとは、暗号文復号装置２００Ｂに対して送信される。
　図１９は、この実施の形態における暗号文復号装置２００Ｂの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文復号装置２００Ｂは、暗号パラメータ記憶部２９０Ｂ、鍵記憶部２１０Ｂ、暗号文入力部２２０Ｂ、暗号文検証部２３０Ｂ、検証装置１００Ｂ、復号文生成部２６０Ｂ、共通鍵記憶部２７０Ｂ、暗号化メッセージ入力部２８１Ｂ、メッセージ復号部２８２Ｂ、復号メッセージ出力部２８３Ｂを有する。
　暗号パラメータ記憶部２９０Ｂは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　鍵記憶部２１０Ｂは、耐タンパ性のある記憶装置を用いて、あらかじめ鍵生成装置３００Ｂが生成した秘密鍵を表わすデータを秘密裡に記憶している。
　暗号文入力部２２０Ｂは、ＣＰＵ９１１を用いて、暗号文生成装置４００Ｂから受信した暗号文ｃを入力する。暗号文入力部２２０Ｂは、ＣＰＵ９１１を用いて、入力した暗号文ｃから、元ｕと元ｕ’と元ｖとを表わすデータを取得する。暗号文入力部２２０Ｂは、ＲＡＭ９１４を用いて、取得した元ｕと元ｕ’と元ｖとを表わすデータを記憶する。
　暗号文検証部２３０Ｂは、ハッシュ値算出部２３１Ｂ、整数算出部２３２Ｂを有する。
　ハッシュ値算出部２３１Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうちハッシュ関数Ｈを表わすデータと、暗号文入力部２２０Ｂが記憶した元ｕと元ｕ’とを表わすデータとを入力する。ハッシュ値算出部２３１Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと元ｕと元ｕ’とに基づいて、ハッシュ関数Ｈにより、元ｕと元ｕ’との順序対をハッシュしたハッシュ値を算出して、ハッシュ値αとする。ハッシュ値αは、１以上ｐ－１以下の整数である。ハッシュ値算出部２３１Ｂは、ＲＡＭ９１４を用いて、算出したハッシュ値αを表わすデータを記憶する。
　ハッシュ値算出部２３１Ｂが算出するハッシュ値αは、暗号文生成装置４００Ｂのハッシュ値算出部４２４Ｂが算出したハッシュ値αと等しい。
　整数算出部２３２Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータと、鍵記憶部２１０Ｂが記憶した秘密鍵のうち整数ｘと整数ｙとを表わすデータと、ハッシュ値算出部２３１Ｂが記憶したハッシュ値αとを入力する。整数算出部２３２Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｘと整数ｙとハッシュ値αとに基づいて、整数ｙとハッシュ値αとの積と、整数ｘとの和を、位数ｐで割った余りを算出して、整数ｔとする。整数算出部２３２Ｂは、ＣＰＵ９１１を用いて、算出した整数ｔを表わすデータを記憶する。
　暗号文入力部２２０Ａが入力した暗号文ｃが正当な暗号文であれば、数２４及び数２５が成り立つ。したがって、ｕ’＝ｗ・ｕであるか、ｖ＝ｔ・ｕであるかを検証することにより、暗号文入力部２２０Ａが入力した暗号文ｃが正当な暗号文であるか判定することができる。
　検証装置１００Ｂは、ｕ’＝ｗ・ｕであるか否かを判断し、ｖ＝ｔ・ｕであるか否かを判断し、ｕ’＝ｗ・ｕかつｖ＝ｔ・ｕである場合に、検証成功と判定する。
　判断の順序はどちらが先でもよいが、以下では、まず、ｕ’＝ｗ・ｕであるか否かを判断し、次に、ｖ＝ｔ・ｕであるか否かを判断するものとして、説明する。
　検証装置１００Ｂは、実施の形態１で説明した検証装置１００と同様の装置である。
　まず、検証装置１００Ｂは、ｕ’＝ｗ・ｕであるか否かを判定する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータを、実施の形態１で説明した位数ｐを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、鍵記憶部２１０Ｂが記憶した秘密鍵のうち整数ｗを表わすデータを、実施の形態１で説明した整数ｅを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｂが記憶した元ｕ’を表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｂが記憶した元ｕを表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｗとに基づいて、ｅ１・ｗ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。なお、整数ｗは、暗号文復号装置２００の秘密鍵の一部であり、暗号文入力部２２０Ｂが暗号文ｃを入力する前からわかっているので、検証装置１００Ｂは、暗号文入力部２２０Ｂが暗号文ｃを入力する前に、ＣＰＵ９１１を用いて、あらかじめ整数ｅ１及び整数ｅ２を算出し、耐タンパ性のある記憶装置を用いて記憶しておいてもよい。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす元ｕ’と元ｕと、算出した整数ｅ１と整数ｅ２とに基づいて、加法群Ｇにおける演算により、加法群Ｇの元ａ＝ｅ１・ｕ’－ｅ２・ｕを算出する。検証装置１００Ｂは、ＣＰＵ９１１を用いて、算出した元ａに基づいて、元ａが加法群Ｇの単位元であるか否かを判定する。検証装置１００Ｂは、ＣＰＵ９１１を用いて、元ａが加法群Ｇの単位元である場合、第一の検証に成功したと判定し、元ａが加法群Ｇの単位元でない場合、「検証失敗」と判定する。
　第一の検証に成功したと判定した場合、検証装置１００Ｂは、ｖ＝ｔ・ｕであるか否かを判定する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうち位数ｐを表わすデータを、実施の形態１で説明した位数ｐを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、整数算出部２３２Ｂが記憶した整数ｔを表わすデータを、実施の形態１で説明した整数ｅを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０が記憶した元ｖを表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０が記憶した元ｕを表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｔとに基づいて、ｅ１・ｔ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。検証装置１００Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす元ｖと元ｕと、算出した整数ｅ１と整数ｅ２とに基づいて、加法群Ｇにおける演算により、加法群Ｇの元ａ＝ｅ１・ｖ－ｅ２・ｕを算出する。検証装置１００Ｂは、ＣＰＵ９１１を用いて、算出した元ａに基づいて、元ａが加法群Ｇの単位元であるか否かを判定する。検証装置１００Ｂは、ＣＰＵ９１１を用いて、元ａが加法群Ｇの単位元である場合、第二の検証にも成功したと判定して「検証成功」と判定し、元ａが加法群Ｇの単位元でない場合、「検証失敗」と判定する。
　検証装置１００Ｂは、ＣＰＵ９１１を用いて、検証結果を表わすデータを出力する。
　復号文生成部２６０Ｂは、検証装置１００Ｂが「検証成功」と判定した場合に、共通鍵Ｋを生成する。
　復号文生成部２６０Ｂは、秘密元算出部２６１Ｂ、共通鍵算出部２６２Ｂを有する。
　秘密元算出部２６１Ｂは、ＣＰＵ９１１を用いて、検証装置１００Ｂが出力した検証結果を表わすデータを入力する。秘密元算出部２６１Ｂは、入力したデータが表わす検証結果が「検証成功」である場合、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうち加法群Ｇを表わすデータと、鍵記憶部２１０Ｂが記憶した秘密鍵のうち整数ｚを表わすデータと、暗号文入力部２２０Ｂが記憶した元ｕを表わすデータとを入力する。秘密元算出部２６１Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと整数ｚと元ｕとに基づいて、加法群Ｇにおける演算により、元ｕをｚ回加算した元を算出して、元ｈ～とする。秘密元算出部２６１Ｂは、ＲＡＭ９１４を用いて、算出した元ｈ～を表わすデータを記憶する。
　暗号文入力部２２０Ａが入力した暗号文ｃが正当な暗号文であれば、数２６より、秘密元算出部２６１Ｂが算出する元ｈ～は、暗号文生成装置４００Ｂの秘密元算出部４２７Ｂが算出した元ｈ～と等しい。
　共通鍵算出部２６２Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した暗号パラメータのうち鍵導出関数ＫＤＦを表わすデータと、暗号文入力部２２０Ｂが記憶した元ｕを表わすデータと、秘密元算出部２６１Ｂが記憶した元ｈ～を表わすデータとを入力する。共通鍵算出部２６２Ｂは、ＣＰＵ９１１を用いて、入力したデータが表わす鍵導出関数ＫＤＦと元ｕと元ｈ～とに基づいて、鍵導出関数ＫＤＦにより、元ｕと元ｈ～との順序対からビット列を算出して、共通鍵Ｋとする。共通鍵算出部２６２Ｂは、ＲＡＭ９１４を用いて、算出した共通鍵Ｋを記憶する。
　秘密元算出部２６１Ｂが算出した元ｈ～が、暗号文生成装置４００Ｂの秘密元算出部４２７Ｂが算出した元ｈ～と等しいので、共通鍵算出部２６２Ｂが算出する共通鍵Ｋは、暗号文生成装置４００Ｂの共通鍵算出部４２８Ｂが算出した共通鍵Ｋと等しい。
　したがって、暗号文生成装置４００Ｂと暗号文復号装置２００Ｂとが同じ共通鍵Ｋを共有できる。
　共通鍵記憶部２７０Ｂは、ＣＰＵ９１１を用いて、共通鍵算出部２６２Ｂが記憶した共通鍵Ｋを入力する。共通鍵記憶部２７０Ｂは、ＲＡＭ９１４を用いて、入力した共通鍵Ｋを記憶する。
　暗号化メッセージ入力部２８１Ｂは、ＣＰＵ９１１を用いて、暗号文生成装置４００Ｂから受信した暗号化メッセージＣＭを入力する。暗号化メッセージ入力部２８１Ｂは、磁気ディスク装置９２０を用いて、入力した暗号化メッセージＣＭを記憶する。
　メッセージ復号部２８２Ｂは、ＣＰＵ９１１を用いて、共通鍵記憶部２７０Ｂが記憶した共通鍵Ｋと、暗号化メッセージ入力部２８１Ｂが記憶した暗号化メッセージＣＭとを入力する。メッセージ復号部２８２Ｂは、ＣＰＵ９１１を用いて、入力した共通鍵Ｋにより、入力した暗号化メッセージＣＭを復号して、メッセージＭ’を生成する。メッセージ復号部２８２Ｂは、磁気ディスク装置９２０を用いて、生成したメッセージＭ’を記憶する。
　暗号文生成装置４００Ｂと暗号文復号装置２００Ｂとが同じ共通鍵Ｋを共有しているので、メッセージ復号部２８２Ｂが生成するメッセージＭ’は、暗号文生成装置４００Ｂのメッセージ入力部４４０Ｂが入力したメッセージＭと同じになる。
　復号メッセージ出力部２８３Ｂは、ＣＰＵ９１１を用いて、メッセージ復号部２８２Ｂが記憶したメッセージＭ’を入力する。復号メッセージ出力部２８３Ｂは、ＣＰＵ９１１を用いて、入力したメッセージＭ’を出力する。
　図２０は、この実施の形態における暗号文復号装置２００Ａが暗号文ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図である。
　ハッシュ値算出工程Ｓ７３１Ｂにおいて、ハッシュ値算出部２３１Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｂが入力した元ｕと元ｕ’とに基づいて、ハッシュ関数Ｈにより、元ｕと元ｕ’との順序対をハッシュしたハッシュ値を算出し、ハッシュ値αとする。
　整数算出工程Ｓ７３２Ｂにおいて、整数算出部２３２Ｂは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｂが記憶した位数ｐと、鍵記憶部２１０Ｂが記憶した整数ｘと整数ｙと、ハッシュ値算出工程Ｓ７３１Ｂでハッシュ値算出部２３１Ｂが算出したハッシュ値αとに基づいて、整数ｙとハッシュ値αとの積と、整数ｘとの和を、位数ｐで割った余りを算出して、整数ｔとする。
　第一検証工程Ｓ７３３Ｂにおいて、検証装置１００Ｂは、ＣＰＵ９１１を用いて、鍵記憶部２１０が記憶した整数ｗと、暗号文入力部２２０Ａが入力した元ｕと元ｕ’とに基づいて、ｕ’＝ｗ・ｕであるかを検証する。
　ｕ’＝ｗ・ｕである場合、第二検証工程Ｓ７３４Ｂへ進む。
　ｕ’≠ｗ・ｕである場合、暗号文復号処理を終了する。
　第二検証工程Ｓ７３４Ｂにおいて、検証装置１００Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｂが入力した元ｕと元ｖと、整数算出工程Ｓ７３２Ｂで整数算出部２３２Ｂが算出した整数ｔとに基づいて、ｖ＝ｔ・ｕであるかを検証する。
　ｖ＝ｔ・ｕである場合、秘密元算出工程Ｓ７３５Ｂへ進む。
　ｖ≠ｔ・ｕである場合、暗号文復号処理を終了する。
　秘密元算出工程Ｓ７３５Ｂにおいて、秘密元算出部２６１Ｂは、ＣＰＵ９１１を用いて、鍵記憶部２１０Ｂが記憶した整数ｚと、暗号文入力部２２０Ｂが入力した元ｕとに基づいて、加法群Ｇにおける演算により、元ｕをｚ回加算した元を算出して、元ｈ～とする。
　共通鍵算出工程Ｓ７３６において、共通鍵算出部２６２Ｂは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｂが入力した元ｕと、秘密元算出工程Ｓ７３５Ｂで秘密元算出部２６１Ｂが算出した元ｈ～とに基づいて、鍵導出関数ＫＤＦにより、元ｕと元ｈ～との順序対からビット列を算出して、共通鍵Ｋとする。
　その後、暗号文復号処理を終了し、算出した共通鍵Ｋにより、暗号化メッセージＣＭを復号する。
　この実施の形態における暗号文復号装置２００Ｂは、更に、暗号パラメータ記憶部２９０Ｂを有する。
　上記暗号パラメータ記憶部２９０Ｂは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記有限群（加法群）Ｇの位数ｐを記憶する。
　上記鍵記憶部２１０Ｂは、上記記憶装置を用いて、１以上ｐ－１以下の整数ｗと、１以上ｐ－１以下の整数ｘと、１以上ｐ－１以下の整数ｙと、１以上ｐ－１以下の整数ｚとを記憶する。
　上記暗号文入力部２２０Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、上記有限群（加法群）Ｇの元ｕと、上記有限群（加法群）Ｇの元ｕ’と、上記有限群（加法群）Ｇの元ｖとを上記暗号文ｃとして入力する。
　上記暗号文検証部２３０Ｂは、ハッシュ値算出部２３１Ｂと、整数算出部２３２Ｂとを有する。
　上記ハッシュ値算出部２３１Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号文入力部２２０Ｂが入力した元ｕと元ｕ’とに基づいて、所定のハッシュ関数Ｈにより上記元ｕと上記元ｕ’とをハッシュしたハッシュ値を算出して、整数（ハッシュ値）α（＝Ｈ（ｕ，ｕ’））とする。
　上記整数算出部２３２Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号パラメータ記憶部２９０Ｂが記憶した位数ｐと、上記鍵記憶部２１０Ｂが記憶した整数ｘと整数ｙと、上記ハッシュ値算出部２３１Ｂが算出した整数（ハッシュ値）αとに基づいて、上記整数ｙと上記整数（ハッシュ値）αとの積と、上記整数ｘとの和を、上記位数ｐで割った余りを算出して、整数ｔ（＝（ｘ＋ｙ・α）ｍｏｄ　ｐ）とする。
　上記検証装置１００Ｂは、上記暗号パラメータ記憶部２９０Ｂが記憶した位数ｐと、上記整数ｅとして上記鍵記憶部２１０Ｂが記憶した整数ｗと、上記元ｓとして上記暗号文入力部２２０Ｂが入力した元ｕと、上記元ｈとして上記暗号文入力部２２０Ｂが入力した元ｕ’とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記暗号パラメータ記憶部２９０Ｂが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３２Ｂが算出した整数ｔと、上記元ｓとして上記暗号文入力部２２０Ｂが入力した元ｕと、上記元ｈとして上記暗号文入力部２２０Ｂが入力した元ｖとを入力し、検証成功か否かを判定して、第二の検証結果とする。
　上記復号文生成部２６０Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ｂが上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、上記鍵記憶部２１０Ｂが記憶した整数ｚと、上記暗号文入力部２２０Ｂが入力した元ｕとに基づいて、上記元ｕを上記整数ｚ回加算した元を算出して、上記有限群Ｇの元ｈ（＝ｚ・ｕ）とし、上記暗号文入力部２２０Ｂが入力した元ｕと、算出した元ｈ～とに基づいて、所定の鍵導出関数ＫＤＦにより上記元ｕと上記元ｈ～とから共通鍵Ｋ（＝ＫＤＦ（ｕ，ｈ～））を生成し、生成した共通鍵Ｋを上記復号文として出力する。
　この実施の形態における暗号文復号装置２００Ｂによれば、検証装置１００Ｂがｕ’＝ｗ・ｕかつｖ＝ｔ・ｕであるかを検証して検証成功と判定した場合に、復号文生成部２６０Ｂが復号文を生成するので、不正者に対して、暗号を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００Ｂがｕ’＝ｗ・ｕかつｖ＝ｔ・ｕであるかを検証する処理にかかる時間を短縮できるので、暗号文復号装置２００Ｂが暗号文を復号する処理全体にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における暗号文復号装置２００Ｂは、更に、共通鍵記憶部２７０Ｂと、暗号化メッセージ入力部２８１Ｂと、メッセージ復号部２８２Ｂとを有する。
　上記共通鍵記憶部２７０Ｂは、上記記憶装置（ＲＡＭ９１４）を用いて、上記復号文生成部２６０Ｂが出力した共通鍵Ｋを記憶する。
　上記暗号化メッセージ入力部２８１Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、暗号化メッセージＣＭを入力する。
　上記メッセージ復号部２８２Ｂは、上記処理装置（ＣＰＵ９１１）を用いて、上記共通鍵記憶部２７０Ｂが記憶した共通鍵Ｋにより上記暗号化メッセージ入力部２８１Ｂが入力した暗号化メッセージＣＭを復号する。
　この実施の形態における暗号文復号装置２００Ｂによれば、暗号文ｃを介して暗号文生成装置４００Ｂと共有した共通鍵Ｋにより、メッセージ復号部２８２Ｂが暗号化メッセージＣＭを復号するので、暗号化メッセージＣＭの生成・復号には、高速に処理が可能な共通鍵暗号方式を用いることができるという効果を奏する。
　以上説明した暗号文復号装置２００Ｂ（公開鍵暗号復号装置）は、暗号文の一部である乗法群または加法群の元ｕ及び元ｕ’と、秘密鍵の一部である整数ｗとの間に、関係ｕ’＝ｕｗ（乗法的記述）またはｕ’＝ｗ・ｕ（加法的記述）が成り立つかを検証するため、
　指数部（整数ｗ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値ｕ’ｅ１・ｕ－ｅ２またはｅ１・ｕ’－ｅ２・ｕを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した暗号文復号装置２００Ｂ（公開鍵暗号復号装置）は、暗号文の一部（元ｕ及び元ｕ’）から算出したハッシュ値αに基づいて計算した指数（整数）ｔと、暗号文の一部である元ｕ及び元ｖとの間に、関係ｖ＝ｕｔ（乗法的記述）またはｔ・ｕ＝ｖ（加法的記述）が成り立つかを検証するため、
　指数部（整数ｔ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値ｖｅ１・ｕ－ｅ２またはｅ１・ｖ－ｅ２・ｕを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した公開鍵暗号システム８２０Ｂは、Ｃｒａｍｅｒ－Ｓｈｏｕｐ公開鍵暗号をもとに標準化された鍵カプセル化方式のＡＣＥ－ＫＥＭ暗号システムである。
　公開鍵暗号システム８２０Ｂでは、素数位数ｐの群（加法群）Ｇと群Ｇ内の基点（生成元）ｇとを用いる。
　鍵生成装置３００Ｂは、ＣＰＵ９１１を用いて、０以上ｐ－１以下の整数ｗ，整数ｘ，整数ｙ，整数ｚをランダムに選ぶ。鍵生成装置３００Ｂは、ＣＰＵ９１１を用いて、群Ｇの元ｇ’＝ｗ・ｇ，群Ｇの元ｃ＝ｘ・ｇ，群Ｇの元ｄ＝ｙ・ｇ，群Ｇの元ｈ＝ｚ・ｇを計算する。鍵生成装置３００Ｂは、ＣＰＵ９１１を用いて、公開鍵（ｇ’，ｃ，ｄ，ｈ）と、秘密鍵（ｗ，ｘ，ｙ，ｚ）とを出力する。
　暗号文生成装置４００Ｂ（暗号化装置）は、ＣＰＵ９１１を用いて、公開鍵（ｇ’，ｃ，ｄ，ｈ）を入力する。暗号文生成装置４００Ｂは、ＣＰＵ９１１を用いて、０以上ｐ－１以下の乱数ｒを生成し、群Ｇの元ｕ＝ｒ・ｇ，群Ｇの元ｕ’＝ｒ・ｇ’，群Ｇの元ｈ～＝ｒ・ｈを計算する。暗号文生成装置４００Ｂは、ＣＰＵ９１１を用いて、元ｕを表わすビット列と元ｕ’を表わすビット列とを連接したビット列ｕ∥ｕ’をハッシュしたハッシュ値α＝Ｈ（ｕ∥ｕ’）を計算し、整数ｒ’＝α・ｒ　ｍｏｄ　ｐを計算する。暗号文生成装置４００Ｂは、ＣＰＵ９１１を用いて、群Ｇの元ｖ＝ｒ・ｃ＋ｒ’・ｄを計算する。暗号文生成装置４００Ｂは、ＣＰＵ９１１を用いて、元ｕを表わすビット列と元ｈ～を表わすビット列とを連接したビット列ｕ∥ｈ～に基づいて鍵導出した鍵Ｋ＝ＫＤＦ（ｕ∥ｈ～）を計算する。暗号文生成装置４００Ｂは、ＣＰＵ９１１を用いて、暗号文Ｃ０＝（ｕ，ｕ’，ｖ）と、鍵Ｋとを出力する。
　暗号文復号装置２００Ｂ（復号装置）は、ＣＰＵ９１１を用いて、秘密鍵（ｗ，ｘ，ｙ，ｚ）と、暗号文Ｃ０＝（ｕ，ｕ’，ｖ）を入力する。暗号文復号装置２００Ｂは、ＣＰＵ９１１を用いて、元ｕを表わすビット列と元ｕ’を表わすビット列とを連接したビット列ｕ∥ｕ’をハッシュしたハッシュ値α＝Ｈ（ｕ∥ｕ’）を計算する。暗号文復号装置２００Ｂは、ＣＰＵ９１１を用いて、整数ｔ＝ｘ＋ｙ・α　ｍｏｄ　ｐを計算する。暗号文復号装置２００Ｂは、ＣＰＵ９１１を用いて、ｗ・ｕ＝ｕ’とｔ・ｕ＝ｖが成立するかどうかをチェックする。成立しなければ、暗号文復号装置２００Ｂは、「拒絶」を出力する。成立すれば、暗号文復号装置２００Ｂは、ＣＰＵ９１１を用いて、群Ｇの元ｈ～＝ｚ・ｕを計算し、鍵Ｋ＝ＫＤＦ（ｕ∥ｈ～）を計算して、出力する。
　以上説明した検証装置１００Ｂは、このようなＡＣＥ－ＫＥＭ暗号システムにおいて、ｗ・ｕ＝ｕ’とｔ・ｕ＝ｖが成立するかどうかをチェックする処理を、高速化する。
　検証装置１００Ｂでは、整数分割部１１０が、ＣＰＵ９１１を用いて、ｗとｐとを入力して、ｅ１・ｗ≡ｅ２（ｍｏｄ　ｐ）となる整数ｅ１，ｅ２を算出し、検証値算出部１３０が、ＣＰＵ９１１を用いて、群Ｇにおける二基底スカラー倍算により、群Ｇの元Ｕ＝ｅ２・ｕ－ｅ１・ｕ’を算出し、検証判定部１５０が、ＣＰＵ９１１を用いて、元Ｕが群Ｇの単位元Ｏであるかをチェックすることにより、ｗ・ｕ＝ｕ’であるかを高速にチェックする。また、整数分割部１１０が、ＣＰＵ９１１を用いて、ｔとｐとを入力して、ｅ１・ｔ≡ｅ２（ｍｏｄ　ｐ）となる整数ｅ１，ｅ２を算出し、検証値算出部１３０が、ＣＰＵ９１１を用いて、群Ｇにおける二基底スカラー倍算により、群Ｇの元Ｖ＝ｅ２・ｕ－ｅ１・ｖを算出し、検証判定部１５０が、ＣＰＵ９１１を用いて、元Ｖが群Ｇの単位元Ｏであるかどうかをチェックすることにより、ｔ・ｕ＝ｖが成立するかを高速にチェックする。
　実施の形態４．
　実施の形態４について、図２１～図２７を用いて説明する。
　図２１は、この実施の形態におけるＩＤベース公開鍵暗号システム８２０Ｃの全体構成の一例を示すシステム構成図である。
　ＩＤベース公開鍵暗号システム８２０Ｃは、実施の形態２で説明したＩＤベース公開鍵暗号システム８２０Ａと同様、暗号文復号装置２００Ｃを識別する識別データを、暗号文復号装置２００Ｃの公開鍵として利用する暗号通信システムである。
　ＩＤベース公開鍵暗号システム８２０Ｃは、暗号パラメータ設定装置８１０Ｃ、鍵生成装置３００Ｃ、暗号文生成装置４００Ｃ、暗号文復号装置２００Ｃを有する。
　暗号パラメータ設定装置８１０Ｃは、ＩＤベース公開鍵暗号システム８２０Ｃで利用される暗号パラメータを定める。暗号パラメータ設定装置８１０Ｃが定める暗号パラメータは、ＩＤベース公開鍵暗号システム８２０Ｃの利用者に公開される。暗号パラメータ設定装置８１０Ｃが定める暗号パラメータには、例えば、位数ｐ、加法群Ｇ、加法群Ｇの元ｇ、加法群Ｇ’、加法群Ｇ’の元ｇ’、乗法群Ｇｔ、ペアリングｅ、ハッシュ関数Ｈ、ハッシュ関数Ｈ’、ハッシュ関数Ｈ”などがある。
　位数ｐは、素数である。
　加法群Ｇの位数は、ｐである。元ｇは、加法群Ｇの生成元である。
　加法群Ｇ’の位数は、加法群Ｇと同じｐである。元ｇ’は、加法群Ｇ’の生成元である。
　乗法群Ｇｔの位数は、加法群Ｇ及び加法群Ｇ’と同じｐである。
　ペアリングｅは、加法群Ｇの元と加法群Ｇ’の元との組を、乗法群Ｇｔの元（ペアリング値）へ写す写像である。ペアリングｅは、双線形を有する。また、加法群Ｇの元ｇと加法群Ｇ’の元ｇ’とのペアリング値ｅ（ｇ，ｇ’）は、乗法群Ｇｔの単位元ではない。
　ハッシュ関数Ｈは、任意の長さのビット列から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　ハッシュ関数Ｈ’は、乗法群Ｇｔの元から、所定の長さのビット列を生成するハッシュ関数である。
　ハッシュ関数Ｈ”は、乗法群Ｇｔの元と、所定の長さのビット列と、二つの加法群Ｇの元の順序対との組から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　なお、加法群Ｇ’の元ｇ’は、鍵生成装置３００Ｃだけが使用するので、他の利用者に対して公開しなくてもよい。
　また、これらの暗号パラメータがあらかじめ定められている場合には、暗号パラメータ設定装置８１０Ｃは、これらの暗号パラメータを定めなくてもよい。
　また、暗号パラメータ設定装置８１０Ｃは、マスター鍵と、マスター鍵に基づいて生成した公開パラメータを生成する。暗号パラメータ設定装置８１０Ｃが生成するマスター鍵は、三つの整数α、β、γを含む。暗号パラメータ設定装置８１０Ｃが生成する公開パラメータは、加法群Ｇの元ｇ１、加法群Ｇの元ｇ３、乗法群Ｇｔの元ｖ０を含む。暗号パラメータ設定装置８１０Ｃが生成したマスター鍵は、鍵生成装置３００Ｃに対して秘密裡に通知される。暗号パラメータ設定装置８１０Ｃが生成した公開パラメータは、ＩＤベース公開鍵暗号システム８２０Ｃの利用者に公開される。
　鍵生成装置３００Ｃは、暗号パラメータ設定装置８１０Ｃから通知されたマスター鍵を秘密裡に保持する。鍵生成装置３００Ａは、公開された暗号パラメータと、公開された暗号文復号装置２００Ｃの識別データＩＤと、保持したマスター鍵とに基づいて、暗号文復号装置２００Ｃの秘密鍵を生成する。鍵生成装置３００Ｃが生成する秘密鍵は、加法群Ｇ’の元ｄ０と、加法群Ｇ’の元ｄ１とを含む。鍵生成装置３００Ａが生成した秘密鍵は、暗号文復号装置２００Ｃに対して秘密裡に通知される。
　暗号文生成装置４００Ｃは、公開された暗号パラメータ、公開パラメータ、暗号文復号装置２００Ｃの識別データＩＤに基づいて、メッセージＭを暗号化して、暗号文Ｃを生成する。暗号文生成装置４００Ｃは、生成した暗号文Ｃを、暗号文復号装置２００Ｃに対して送信する。
　暗号文復号装置２００Ｃは、鍵生成装置３００Ｃが生成した秘密鍵を秘密裡に保持する。暗号文復号装置２００Ｃは、暗号文生成装置４００Ｃが送信した暗号文Ｃを受信する。暗号文復号装置２００Ｃは、公開された暗号パラメータと、保持した秘密鍵とに基づいて、受信した暗号文Ｃを復号して、メッセージＭと同じメッセージＭ’を生成する。
　なお、暗号パラメータ設定装置８１０Ｃ、鍵生成装置３００Ｃ、暗号文生成装置４００Ｃ、暗号文復号装置２００Ｃの外観、ハードウェア資源は、実施の形態１で説明した暗号文復号装置２００の外観、ハードウェア資源と同様である。
　図２２は、この実施の形態における暗号パラメータ設定装置８１０Ｃの一部の機能ブロックの構成の一例を示すブロック構成図である。
　暗号パラメータ設定装置８１０Ｃは、暗号パラメータ記憶部８１９Ｃ、マスター鍵生成部８１２Ｃ、公開パラメータ生成部８１３Ｃ、マスター鍵出力部８１４Ｃ、公開パラメータ出力部８１５Ｃを有する。
　暗号パラメータ記憶部８１９Ｃは、磁気ディスク装置９２０を用いて、公開した暗号パラメータを表わすデータを記憶する。
　マスター鍵生成部８１２Ｃは、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータに基づいて、マスター鍵を生成する。
　マスター鍵生成部８１２Ｃは、三つの秘密乱数生成部８１６Ｃ～８１８Ｃを有する。
　三つの秘密乱数生成部８１６Ｃ～８１８Ｃは、それぞれ、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。三つの秘密乱数生成部８１６Ｃ～８１８Ｃは、それぞれ、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成する。
　第一の秘密乱数生成部８１６Ｃは、生成した整数を整数αとし、ＲＡＭ９１４を用いて、生成した整数αを表わすデータを記憶する。
　第二の秘密乱数生成部８１７Ｃは、生成した整数を整数βとし、ＲＡＭ９１４を用いて、生成した整数βを表わすデータを記憶する。
　第三の秘密乱数生成部８１８Ｃは、生成した整数を整数γとし、ＲＡＭ９１４を用いて、生成した整数γを表わすデータを記憶する。
　公開パラメータ生成部８１３Ｃは、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータと、マスター鍵生成部８１２Ｃが生成したマスター鍵とに基づいて、公開パラメータを生成する。
　公開パラメータ生成部８１３Ｃは、第一公開元算出部８３１Ｃ、公開ペアリング値算出部８３２Ｃ、第二公開元算出部８３３Ｃを有する。
　第一公開元算出部８３１Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部８１６Ｃが記憶した整数αを表わすデータとを入力する。第一公開元算出部８３１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数αとに基づいて、加法群Ｇにおける演算により、元ｇをα回加算した元を算出して、元ｇ１とする。第一公開元算出部８３１Ｃは、ＲＡＭ９１４を用いて、算出した元ｇ１を表わすデータを記憶する。
　公開ペアリング値算出部８３２Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータのうち元ｇと元ｇ’とペアリングｅとを表わすデータと、秘密乱数生成部８１６Ｃが記憶した整数αを表わすデータと、秘密乱数生成部８１７Ｃが記憶した整数βを表わすデータとを入力する。公開ペアリング値算出部８３２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす元ｇと元ｇ’とペアリングｅとに基づいて、ペアリングｅにより、元ｇと元ｇ’とのペアリング値ｅ（ｇ，ｇ’）を算出する。ペアリング値ｅ（ｇ，ｇ’）は、乗法群Ｇｔの元である。公開ペアリング値算出部８３２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす整数αと整数βと、算出したペアリング値ｅ（ｇ，ｇ’）とに基づいて、乗法群Ｇｔにおける演算により、ペアリング値ｅ（ｇ，ｇ’）を、整数αと整数βとの積αβ回乗算した元を算出して、元ｖ０とする。公開ペアリング値算出部８３２Ｃは、ＲＡＭ９１４を用いて、算出した元ｖ０を表わすデータを記憶する。
　第二公開元算出部８３３Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｃが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部８１８Ｃが記憶した整数γを表わすデータとを入力する。第二公開元算出部８３３Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数γとに基づいて、加法群Ｇにおける演算により、元ｇをγ回加算した元を算出して、元ｇ３とする。第二公開元算出部８３３Ｃは、ＲＡＭ９１４を用いて、算出した元ｇ３を表わすデータを記憶する。
　マスター鍵出力部８１４Ｃは、ＣＰＵ９１１を用いて、三つの秘密乱数生成部８１６Ｃ～８１８Ｃが記憶した整数αと整数βと整数γとを表わすデータを入力する。マスター鍵出力部８１４Ｃは、ＣＰＵ９１１を用いて、入力した整数αと整数βと整数γとを表わすデータを、マスター鍵として出力する。
　マスター鍵出力部８１４Ｃが出力したマスター鍵は、鍵生成装置３００Ｃに対して秘密裡に通知される。
　公開パラメータ出力部８１５Ｃは、ＣＰＵ９１１を用いて、第一公開元算出部８３１Ｃが記憶した元ｇ１を表わすデータと、公開ペアリング値算出部８３２Ｃが記憶した元ｖ０を表わすデータと、第二公開元算出部８３３Ｃが記憶した元ｇ３を表わすデータとを入力する。公開パラメータ出力部８１５Ｃは、ＣＰＵ９１１を用いて、入力した元ｇ１と元ｇ３と元ｖ０とを表わすデータを、公開パラメータとして出力する。
　公開パラメータ出力部８１５Ｃが出力した公開パラメータは、ＩＤベース公開鍵暗号システム８２０Ｃの利用者に公開される。
　図２３は、この実施の形態における鍵生成装置３００Ｃの機能ブロックの構成の一例を示すブロック構成図である。
　鍵生成装置３００Ｃは、暗号パラメータ記憶部３９０Ｃ、マスター鍵記憶部３３０Ｃ、識別入力部３４０Ｃ、秘密鍵生成部３５０Ｃ、秘密鍵出力部３６０Ｃを有する。
　暗号パラメータ記憶部３９０Ｃは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　マスター鍵記憶部３３０Ｃは、耐タンパ性のある記憶装置を用いて、暗号パラメータ設定装置８１０Ｃから通知されたマスター鍵を秘密裡に記憶している。
　識別入力部３４０Ｃは、ＣＰＵ９１１を用いて、秘密鍵を生成すべき暗号文復号装置２００Ｃについて、暗号文復号装置２００Ｃを識別する識別データである任意の長さのビット列ＩＤを入力する。識別入力部３４０Ｃは、ＲＡＭ９１４を用いて、入力したビット列ＩＤを記憶する。
　秘密鍵生成部３５０Ｃは、暗号パラメータ記憶部３９０Ｃが記憶した暗号パラメータと、マスター鍵記憶部３３０Ｃが記憶したマスター鍵と、識別入力部３４０Ｃが入力したビット列ＩＤとに基づいて、暗号文復号装置２００Ｃの秘密鍵を生成する。
　秘密鍵生成部３５０Ｃは、秘密乱数生成部３５１Ｃ、第一秘密元算出部３５２Ｃ、第二秘密元算出部３５３Ｃを有する。
　秘密乱数生成部３５１Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｃが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部３５１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成し、秘密乱数ｒとする。秘密乱数生成部３５１Ｃは、ＲＡＭ９１４を用いて、生成した秘密乱数ｒを表わすデータを記憶する。
　第一秘密元算出部３５２Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｃが記憶した暗号パラメータのうち加法群Ｇ’と元ｇ’とハッシュ関数Ｈとを表わすデータと、マスター鍵記憶部３３０Ｃが記憶したマスター鍵のうち整数αと整数βと整数γとを表わすデータと、識別入力部３４０Ｃが記憶したビット列ＩＤと、秘密乱数生成部３５１Ｃが記憶した秘密乱数ｒを表わすデータとを入力する。第一秘密元算出部３５２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと、入力したビット列ＩＤとに基づいて、ハッシュ関数Ｈにより、ビット列ＩＤをハッシュしたハッシュ値Ｈ（ＩＤ）を算出する。第一秘密元算出部３５２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす整数αと整数βと整数γと秘密乱数ｒと、算出したハッシュ値Ｈ（ＩＤ）とに基づいて、整数αとハッシュ値Ｈ（ＩＤ）との積に整数γを加算した整数（α・Ｈ（ＩＤ）＋γ）と秘密乱数ｒとの積と、整数αと整数βとの積とを加算した整数｛α・β＋［α・Ｈ（ＩＤ）＋γ］・ｒ｝を算出する。第一秘密元算出部３５２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ’と元ｇ’と、算出した整数｛α・β＋［α・Ｈ（ＩＤ）＋γ］・ｒ｝とに基づいて、加法群Ｇ’における演算により、元ｇ’を｛α・β＋［α・Ｈ（ＩＤ）＋γ］・ｒ｝回加算した元を算出して、秘密元ｄ０とする。第一秘密元算出部３５２Ｃは、ＲＡＭ９１４を用いて、算出した秘密元ｄ０を表わすデータを記憶する。
　第二秘密元算出部３５３Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｃが記憶した暗号パラメータのうち加法群Ｇ’と元ｇ’とを表わすデータと、秘密乱数生成部３５１Ｃが記憶した秘密乱数ｒを表わすデータとを入力する。第二秘密元算出部３５３Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇ’と元ｇ’と秘密乱数ｒとに基づいて、加法群Ｇ’における演算により、元ｇ’をｒ回加算した元を算出して、秘密元ｄ１とする。第二秘密元算出部３５３Ｃは、ＲＡＭ９１４を用いて、算出した秘密元ｄ１を表わすデータを記憶する。
　秘密鍵出力部３６０Ｃは、ＣＰＵ９１１を用いて、第一秘密元算出部３５２Ｃが記憶した秘密元ｄ０を表わすデータと、第二秘密元算出部３５３Ｃが記憶した秘密元ｄ１を表わすデータとを入力する。秘密鍵出力部３６０Ｃは、ＣＰＵ９１１を用いて、入力した秘密元ｄ０と秘密元ｄ１とを表わすデータを、暗号文復号装置２００Ｃの秘密鍵として出力する。
　秘密鍵出力部３６０Ｃが出力した暗号文復号装置２００Ｃの秘密鍵は、暗号文復号装置２００Ｃに対して秘密裡に通知される。
　図２４は、この実施の形態における暗号文生成装置４００Ｃの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文生成装置４００Ｃは、暗号パラメータ記憶部４９０Ｃ、識別記憶部４１０Ｃ、メッセージ入力部４４０Ｃ、メッセージ暗号化部４５０Ｃ、暗号文出力部４７０Ｃを有する。
　暗号パラメータ記憶部４９０Ｃは、磁気ディスク装置９２０を用いて、公開された暗号パラメータ（公開パラメータを含む）を、あらかじめ記憶している。
　識別記憶部４１０Ｃは、磁気ディスク装置９２０を用いて、暗号文の送信相手である暗号文復号装置２００Ｃの識別データであるビット列ＩＤを記憶している。
　メッセージ入力部４４０Ｃは、ＣＰＵ９１１を用いて、暗号文復号装置２００Ｃに対して送信したいメッセージである所定の長さのビット列Ｍを入力する。なお、暗号文復号装置２００Ｃに対して送信したいメッセージの長さが所定の長さ以上である場合、メッセージ入力部４４０Ｃは、メッセージを所定の長さに分割して、複数のビット列Ｍとしたものを入力する。メッセージ入力部４４０Ｃは、ＲＡＭ９１４を用いて、入力したビット列Ｍを記憶する。
　メッセージ暗号化部４５０Ｃは、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータ（公開パラメータを含む）と、識別記憶部４１０Ｃが記憶したビット列ＩＤとに基づいて、メッセージ入力部４４０Ｃが入力したビット列Ｍを暗号化して、暗号文Ｃを生成する。
　メッセージ暗号化部４５０Ｃは、秘密乱数生成部４５１Ｃ、ペアリング値算出部４５２Ｃ、暗号ビット列算出部４５３Ｃ、第一暗号元算出部４５４Ｃ、第二暗号元算出部４５５Ｃ、暗号整数算出部４５６Ｃを有する。
　秘密乱数生成部４５１Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部４５１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成して、秘密乱数ｓとする。秘密乱数生成部４５１Ｃは、ＲＡＭ９１４を用いて、生成した秘密乱数ｓを表わすデータを記憶する。
　ペアリング値算出部４５２Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうち乗法群Ｇｔと元ｖ０とを表わすデータと、秘密乱数生成部４５１Ｃが記憶した秘密乱数ｓを表わすデータとを入力する。ペアリング値算出部４５２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす乗法群Ｇｔと元ｖ０と秘密乱数ｓとに基づいて、乗法群Ｇｔにおける演算により、元ｖ０をｓ回乗算した元を算出して、元ｋとする。ペアリング値算出部４５２Ｃは、ＲＡＭ９１４を用いて、算出した元ｋを表わすデータを記憶する。
　暗号ビット列算出部４５３Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうちハッシュ関数Ｈ’を表わすデータと、メッセージ入力部４４０Ｃが記憶したビット列Ｍと、ペアリング値算出部４５２Ｃが記憶した元ｋを表わすデータとを入力する。暗号ビット列算出部４５３Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ’と元ｋとに基づいて、ハッシュ関数Ｈ’により、元ｋをハッシュしたハッシュ値Ｈ’（ｋ）を算出する。ハッシュ値Ｈ’（ｋ）は、所定の長さのビット列である。暗号ビット列算出部４５３Ｃは、ＣＰＵ９１１を用いて、入力したビット列Ｍと、算出したハッシュ値Ｈ’（ｋ）とに基づいて、ビット列Ｍとハッシュ値Ｈ（ｋ）との間のビットごとの排他的論理和をとり、ビット列ｃとする。暗号ビット列算出部４５３Ｃは、ＲＡＭ９１４を用いて、算出したビット列ｃを記憶する。
　第一暗号元算出部４５４Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部４５１Ｃが記憶した秘密乱数ｓを表わすデータとを入力する。第一暗号元算出部４５４Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと秘密乱数ｓとに基づいて、加法群Ｇにおける演算により、元ｇをｓ回加算した元を算出して、元ｃ０とする。第一暗号元算出部４５４Ｃは、ＲＡＭ９１４を用いて、算出した元ｃ０を表わすデータを記憶する。
　第二暗号元算出部４５５Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうち加法群Ｇとハッシュ関数Ｈと元ｇ１と元ｇ３とを表わすデータと、識別記憶部４１０Ｃが記憶したビット列ＩＤと、秘密乱数生成部４５１Ｃが記憶した秘密乱数ｓを表わすデータとを入力する。第二暗号元算出部４５５Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと、入力したビット列ＩＤとに基づいて、ハッシュ関数Ｈにより、ビット列ＩＤをハッシュしたハッシュ値Ｈ（ＩＤ）を算出する。ハッシュ値Ｈ（ＩＤ）は、１以上ｐ－１以下の整数である。第二暗号元算出部４５５Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇ１と元ｇ３と秘密乱数ｓと、算出したハッシュ値Ｈ（ＩＤ）とに基づいて、加法群Ｇにおける演算により、元ｇ１をハッシュ値Ｈ（ＩＤ）と秘密乱数ｓとの積Ｈ（ＩＤ）・ｓ回加算した元と、元ｇ３をｓ回加算した元とを加算した元を算出して、元ｃ１とする。第二暗号元算出部４５５Ｃは、ＲＡＭ９１４を用いて、算出した元ｃ１を表わすデータを記憶する。
　第二暗号元算出部４５５Ｃは算出する元ｃ１は、ｇ１＝α・ｇ、ｇ３＝γ・ｇであるから、
Figure JPOXMLDOC01-appb-M000027
　暗号整数算出部４５６Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｃが記憶した暗号パラメータのうち位数ｐとハッシュ関数Ｈ”とを表わすデータと、秘密乱数生成部４５１Ｃが記憶した秘密乱数ｓを表わすデータと、ペアリング値算出部４５２Ｃが記憶した元ｋを表わすデータと、暗号ビット列算出部４５３Ｃが記憶したビット列ｃと、第一暗号元算出部４５４Ｃが記憶した元ｃ０を表わすデータと、第二暗号元算出部４５５Ｃが記憶した元ｃ１を表わすデータとを入力する。暗号整数算出部４５６Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ”と元ｋと元ｃ０と元ｃ１と、入力したビット列ｃとに基づいて、ハッシュ関数Ｈ”により、元ｋと、ビット列ｃと、元ｃ０と元ｃ１との順序対とをハッシュしたハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を算出する。ハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）は、１以上ｐ－１以下の整数である。暗号整数算出部４５６Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと秘密乱数ｓと、算出したハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とに基づいて、秘密乱数ｓとハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）との和を、位数ｐで割った余りを算出して、整数ｔとする。暗号整数算出部４５６Ｃは、ＣＰＵ９１１を用いて、算出した整数ｔを表わすデータを記憶する。
　暗号文出力部４７０Ｃは、ＣＰＵ９１１を用いて、暗号ビット列算出部４５３Ｃが記憶したビット列ｃと、第一暗号元算出部４５４Ｃが記憶した元ｃ０を表わすデータと、第二暗号元算出部４５５Ｃが記憶した元ｃ１を表わすデータと、暗号整数算出部４５６Ｃが記憶した整数ｔを表わすデータとを入力する。暗号文出力部４７０Ｃは、ＣＰＵ９１１を用いて、入力したビット列ｃと、入力した元ｃ０と元ｃ１と整数ｔとを表わすデータとを含む暗号文Ｃを生成する。暗号文出力部４７０Ｃは、ＣＰＵ９１１を用いて、生成した暗号文Ｃを出力する。
　暗号文出力部４７０Ｃが出力した暗号文Ｃは、暗号文復号装置２００Ｃに対して送信される。
　図２５は、この実施の形態における暗号文復号装置２００Ｃの機能ブロックの構成の一例を示すブロック構成図である。
　暗号文復号装置２００Ｃは、暗号パラメータ記憶部２９０Ｃ、鍵記憶部２１０Ｃ、暗号文入力部２２０Ｃ、暗号文検証部２３０Ｃ、検証装置１００Ｃ、復号文生成部２６０Ｃ、復号メッセージ出力部２８３Ｃを有する。
　暗号パラメータ記憶部２９０Ｃは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　鍵記憶部２１０Ｃは、耐タンパ性のある記憶装置を用いて、あらかじめ鍵生成装置３００Ｃが生成した秘密鍵を秘密裡に記憶している。
　暗号文入力部２２０Ｃは、ＣＰＵ９１１を用いて、暗号文生成装置４００Ｃから受信した暗号文Ｃを入力する。暗号文入力部２２０Ｃは、ＣＰＵ９１１を用いて、入力した暗号文Ｃに基づいて、ビット列ｃと、元ｃ０と元ｃ１と整数ｔとを表わすデータとを取得する。暗号文入力部２２０Ｃは、ＲＡＭ９１４を用いて、取得したビット列ｃと、元ｃ０と元ｃ１と整数ｔとを表わすデータとを記憶する。
　暗号文検証部２３０Ｃは、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータと、鍵記憶部２１０Ｃが記憶した秘密鍵と、暗号文入力部２２０Ｃが入力した暗号文Ｃとに基づいて、検証装置１００Ｃに入力するデータを生成する。
　暗号文検証部２３０Ｃは、ペアリング値算出部２３１Ｃ、整数算出部２３２Ｃを有する。
　ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが表わす暗号パラメータのうち乗法群Ｇｔとペアリングｅとを表わすデータと、鍵記憶部２１０Ｃが記憶した秘密鍵のうち秘密元ｄ０と秘密元ｄ１とを表わすデータと、暗号文入力部２２０Ｃが記憶した元ｃ０と元ｃ１とを表わすデータとを入力する。ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすペアリングｅと元ｃ０と秘密元ｄ０とに基づいて、ペアリングｅにより、元ｃ０と秘密元ｄ０とのペアリング値を算出して、ペアリング値ｋ０とする。ペアリング値ｋ０は、乗法群Ｇｔの元である。ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすペアリングｅと元ｃ１と秘密元ｄ１とに基づいて、ペアリングｅにより、元ｃ１と秘密元ｄ１とのペアリング値を算出して、ペアリング値ｋ１とする。ペアリング値ｋ１は、乗法群Ｇｔの元である。ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす乗法群Ｇｔと、算出したペアリング値ｋ０とペアリング値ｋ１とに基づいて、乗法群Ｇｔにおける演算により、ペアリング値ｋ０と、ペアリング値ｋ１の逆元とを乗算した元を算出して、元ｋとする。ペアリング値算出部２３１Ｃは、算出した元ｋを表わすデータを記憶する。
　ペアリング値算出部２３１Ｃが算出した元ｋは、ペアリングｅの双線形より、
Figure JPOXMLDOC01-appb-M000028
 　したがって、暗号文入力部２２０Ｃが入力した暗号文Ｃが正当な暗号文であれば、ペアリング値算出部２３１Ｃが算出する元ｋは、暗号文生成装置４００Ｃのペアリング値算出部４５２Ｃが算出した元ｋと等しい。
　整数算出部２３２Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータのうち位数ｐとハッシュ関数Ｈ”とを表わすデータと、暗号文入力部２２０Ｃが記憶したビット列ｃと、元ｃ０と元ｃ１と整数ｔとを表わすデータと、ペアリング値算出部２３１Ｃが記憶した元ｋを表わすデータとを入力する。整数算出部２３２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ”とビット列ｃと元ｃ０と元ｃ１と、入力した元ｋとに基づいて、ハッシュ関数Ｈ”により、元ｋとビット列ｃと、元ｃ０と元ｃ１との順序対とをハッシュしたハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を算出する。ハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）は、１以上ｐ－１以下の整数である。整数算出部２３２Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｔと、算出したハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とに基づいて、整数ｔからハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を減算した整数を、位数ｐで割った余りを算出して、整数ｓとする。
　ペアリング値算出部２３１Ｃが算出した元ｋが、暗号文生成装置４００Ｃのペアリング値算出部４５２Ｃが算出した元ｋと等しければ、整数算出部２３２Ｃが算出する整数ｓは、秘密乱数生成部４５１Ｃが生成した秘密乱数ｓと等しい。
　検証装置１００Ｃは、ｋ＝ｖ０ ｓであるか及びｃ０＝ｓ・ｇであるかを判断し、ｋ＝ｖ０ ｓかつｃ０＝ｓ・ｇである場合に、検証成功と判定する。
　検証装置１００Ｃは、検証結果を表わすデータを出力する。
　復号文生成部２６０Ｃは、ＣＰＵ９１１を用いて、検証装置１００Ｃが出力した検証結果を表わすデータを入力する。復号文生成部２６０Ｃは、入力したデータが表わす検証結果が「検証成功」である場合、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータのうちハッシュ関数Ｈ’を表わすデータと、暗号文入力部２２０Ｃが記憶したビット列ｃと、ペアリング値算出部２３１Ｃが記憶した元ｋを表わすデータとを入力する。復号文生成部２６０Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ’と元ｋとに基づいて、ハッシュ関数Ｈ’により、元ｋをハッシュしたハッシュ値Ｈ’（ｋ）を算出する。ハッシュ値Ｈ’（ｋ）は、所定の長さのビット列である。復号文生成部２６０Ｃは、ＣＰＵ９１１を用いて、入力したビット列ｃと、算出したハッシュ値Ｈ’（ｋ）とに基づいて、ビット列ｃとハッシュ値Ｈ’（ｋ）との間のビットごとの排他的論理和をとり、ビット列Ｍ’とする。復号文生成部２６０Ｃは、ＲＡＭ９１４を用いて、算出したビット列Ｍ’を記憶する。
　暗号文入力部２２０Ｃが入力した暗号文ｃが正当な暗号文であれば、ペアリング値算出部２３１Ｃが算出した元ｋが、暗号文生成装置４００Ａのペアリング値算出部４５２Ｃが算出した元ｋと等しいので、復号文生成部２６０Ｃが算出するビット列Ｍ’は、暗号文生成装置４００Ｃのメッセージ入力部４４０Ｃが入力したビット列Ｍと等しい。
　復号メッセージ出力部２８３Ｃは、ＣＰＵ９１１を用いて、復号文生成部２６０Ｃが記憶したビット列Ｍ’を入力する。復号メッセージ出力部２８３Ｃは、ＣＰＵ９１１を用いて、入力したビット列Ｍ’を、復号されたメッセージとして出力する。
　図２６は、この実施の形態における検証装置１００Ｃの内部ブロックの構成の一例を示す詳細ブロック図である。
　検証装置１００Ｃは、整数分割部１１０Ｃ、二つの検証値算出部１３０Ｃ１，１３０Ｃ２、検証判定部１５０Ｃを有する。
　検証装置１００Ｃは、実施の形態１で説明した検証装置１００と同様の装置であるが、加法群Ｇにおける演算と、乗法群Ｇｔにおける演算とをするため、二つの検証値算出部１３０Ｃ１，１３０Ｃ２を有する。
　整数分割部１１０Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータのうち位数ｐを表わすデータを、実施の形態１で説明した位数ｐを表わすデータとして入力する。
　整数分割部１１０Ｃは、ＣＰＵ９１１を用いて、整数算出部２３２Ｃが記憶した整数ｓを表わすデータを、実施の形態１で説明した整数ｅを表わすデータとして入力する。
　整数分割部１１０Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｓとに基づいて、ｅ１・ｓ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。
　整数分割部１１０Ｃは、ＲＡＭ９１４を用いて、算出した整数ｅ１及び整数ｅ２を表わすデータを記憶する。
　検証値算出部１３０Ｃ１は、加法群Ｇにおける演算により、加法群Ｇの元ａ＝ｅ１・ｃ０－ｅ２・ｇを算出する。
　検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータのうち元ｇを表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｃが記憶した元ｃ０を表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、整数分割部１１０Ｃが記憶した整数ｅ１と整数ｅ２とを表わすデータを入力する。
　検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、入力したデータが表わす元ｇと元ｃ０と整数ｅ１と整数ｅ２とに基づいて、加法群Ｇにおける演算により、元ｃ０をｅ１回加算した元と、元ｇをｅ２回加算した元の逆元とを加算した元を算出して、元ａとする。
　検証値算出部１３０Ｃ１は、ＲＡＭ９１４を用いて、算出した元ａを表わすデータを記憶する。
　検証値算出部１３０Ｃ２は、乗法群Ｇｔにおける演算により、乗法群Ｇｔの元ａ’＝ｋｅ１・ｖ０ －ｅ２を算出する。なお、乗法群Ｇｔにおける演算を加法的に記述すれば、ａ’＝ｅ１・ｋ－ｅ２・ｖ０であるから、群演算の具体的計算方法が異なる点を除けば、検証値算出部１３０Ｃ２が行う処理は、検証値算出部１３０Ｃ１が行う処理と実質的に同一である。
　検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した暗号パラメータのうち元ｖ０を表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、ペアリング値算出部２３１Ｃが記憶した元ｋを表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、整数分割部１１０Ｃが記憶した整数ｅ１と整数ｅ２とを表わすデータを入力する。
　検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、入力したデータが表わす元ｖ０と元ｋと整数ｅ１と整数ｅ２とに基づいて、乗法群Ｇｔにおける演算により、元ｋをｅ１回乗算した元と、元ｖ０をｅ２回乗算した元の逆元とを加算した元を算出して、元ａ’とする。
　検証値算出部１３０Ｃ２は、ＲＡＭ９１４を用いて、算出した元ａ’を表わすデータを記憶する。
　検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、検証値算出部１３０Ｃ１が記憶した元ａを表わすデータと、検証値算出部１３０Ｃ２が記憶した元ａ’を表わすデータとを入力する。検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、入力したデータが表わす元ａに基づいて、元ａが加法群Ｇの単位元であるか否かを判定する。元ａが加法群Ｇの単位元であれば、ｃ０＝ｓ・ｇなので、検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、第一の検証に成功したと判定する。検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、入力したデータが表わす元ａ’に基づいて、元ａ’が乗法群Ｇｔの単位元であるか否かを判定する。元ａ’が乗法群Ｇｔの単位元であれば、ｋ＝ｖ０ ｓなので、検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、第二の検証に成功したと判定する。検証判定部１５０Ｃは、第一の検証に成功したと判定し、かつ、第二の検証に成功したと判定した場合、「検証成功」と判定し、それ以外の場合、「検証失敗」と判定する。
　検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、検証結果を表わすデータを出力する。
　図２７は、この実施の形態における暗号文復号装置２００Ｃが暗号文Ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図である。
　ペアリング値算出工程Ｓ７３１Ｃにおいて、ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、鍵記憶部２１０Ｃが記憶した秘密元ｄ０と、暗号文入力部２２０Ｃが入力した元ｃ０とに基づいて、ペアリングｅにより、元ｃ０と元ｄ０とのペアリング値ｋ０＝ｅ（ｃ０，ｄ０）を算出する。ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、鍵記憶部２１０Ｃが記憶した秘密元ｄ１と、暗号文入力部２２０Ｃが入力した元ｃ１とに基づいて、ペアリングｅにより、元ｃ１と元ｄ１とのペアリング値ｋ１＝ｅ（ｃ１，ｄ１）を算出する。ペアリング値算出部２３１Ｃは、ＣＰＵ９１１を用いて、算出したペアリング値ｋ０とペアリング値ｋ１とに基づいて、乗法群Ｇｔにおける演算により、ペアリング値ｋ０と、ペアリング値ｋ１の逆元とを乗算した元ｋ＝ｋ０／ｋ１を算出する。
　整数算出工程Ｓ７３２Ｃにおいて、整数算出部２３２Ｃは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｃが入力したビット列ｃと元ｃ０と元ｃ１と、ペアリング値算出工程Ｓ７３１Ｃでペアリング値算出部２３１Ｃが算出した元ｋとに基づいて、ハッシュ関数Ｈ”により、元ｋと、ビット列ｃと、元ｃ０と元ｃ１との順序対とをハッシュしたハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を算出する。整数算出部２３２Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した位数ｐと、暗号文入力部２２０が入力した整数ｔと、算出したハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とに基づいて、整数ｔからハッシュ値Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を減算した整数を、位数ｐで割った余りを算出し、整数ｓとする。
　整数分割工程Ｓ７３３Ｃにおいて、整数分割部１１０Ｃは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した位数ｐと、整数算出工程Ｓ７３２Ｃで整数算出部２３２Ｃが算出した整数ｓとに基づいて、ｅ１・ｓ≡ｅ２（ｍｏｄ　ｐ）、｜ｅ１｜＜√ｐ、０＜ｅ２＜√ｐを満たす整数ｅ１及び整数ｅ２を算出する。
　第一検証工程Ｓ７３４Ｃにおいて、検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した元ｇと、暗号文入力部２２０Ｃが入力した元ｃ０と、整数分割工程Ｓ７３３Ｃで整数分割部１１０Ｃが算出した整数ｅ１と整数ｅ２とに基づいて、加法群Ｇにおける演算により、元ｃ０をｅ１回加算した元と、元ｇをｅ２回加算した元の逆元とを加算した元を算出して、元ａとする。
　検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、検証値算出部１３０Ｃ１が算出した元ａに基づいて、元ａが加法群Ｇの単位元であるか否かを判定する。
　元ａが加法群Ｇの単位元である場合（すなわち、ｃ０＝ｓ・ｇである場合）、第二検証工程Ｓ７３５Ｃへ進む。
　元ａが加法群Ｇの単位元でない場合（すなわち、ｃ０≠ｓ・ｇである場合）、暗号文復号処理を終了する。
　第二検証工程Ｓ７３５Ｃにおいて、検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｃが記憶した元ｖ０と、ペアリング算出工程Ｓ７３１Ｃでペアリング値算出部２３１Ｃが算出した元ｋと、整数分割工程Ｓ７３３Ｃで整数分割部１１０Ｃが算出した整数ｅ１と整数ｅ２とに基づいて、乗法群Ｇｔにおける演算により、元ｋをｅ１回乗算した元と、元ｖ０をｅ２回乗算した元の逆元とを乗算した元を算出して、元ａ’とする。
　検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、検証値算出部１３０Ｃ２が算出した元ａ’に基づいて、元ａ’が乗法群Ｇｔの単位元であるか否かを判定する。
　元ａ’が乗法群Ｇｔの単位元である場合（すなわち、ｋ＝ｖ０ ｓである場合）、復号文生成工程Ｓ７３６Ｃへ進む。
　元ａ’が乗法群Ｇｔの単位元でない場合（すなわち、ｋ≠ｖ０ ｓである場合）、暗号文復号処理を終了する。
　復号文生成工程Ｓ７３６Ｃにおいて、復号文生成部２６０Ｃは、ＣＰＵ９１１を用いて、ペアリング値算出工程Ｓ７３１Ｃでペアリング値算出部２３１Ｃが算出した元ｋに基づいて、ハッシュ関数Ｈ’により、元ｋをハッシュしたハッシュ値Ｈ’（ｋ）を算出する。復号文生成部２６０Ｃは、ＣＰＵ９１１を用いて、暗号文入力部２２０Ｃが入力したビット列ｃと、算出したハッシュ値Ｈ’（ｋ）とに基づいて、ビット列ｃとハッシュ値Ｈ’（ｋ）との間のビットごとの排他的論理和をとり、ビット列Ｍ’とする。
　復号メッセージ出力部２８３Ｃは、ＣＰＵ９１１を用いて、復号文生成部２６０Ｃが算出したビット列Ｍ’を、復号したメッセージとして出力する。
　その後、暗号文復号処理を終了する。
　なお、この例では、最初に、ｃ０＝ｓ・ｇであるかを検証し、その後、ｋ＝ｖ０ ｓであるかを検証しているが、検証の順序は逆でもよい。また、検証値算出部１３０Ｃ１と検証値算出部１３０Ｃ２とが同時に並行して、元ａと元ａ’を算出してもよい。
　この実施の形態における暗号文復号装置２００Ｃは、更に、暗号パラメータ記憶部２９０Ｃを有する。
　上記暗号パラメータ記憶部２９０Ｃは、上記記憶装置（磁気ディスク装置９２０）を用いて、加法群Ｇ１（加法群Ｇ）の位数ｐと、上記加法群Ｇ１（加法群Ｇ）の生成元ｇと、上記位数ｐを位数とする乗法群Ｇｔの元ｖ０とを記憶する。
　上記鍵記憶部２１０Ｃは、上記記憶装置を用いて、上記位数ｐを位数とする加法群Ｇ２（加法群Ｇ’）の元（秘密元）ｄ０と、上記加法群Ｇ２（加法群Ｇ’）の元（秘密元）ｄ１とを記憶する。
　上記暗号文入力部２２０Ｃは、上記処理装置（ＣＰＵ９１１）を用いて、ビット列ｃと、上記加法群Ｇ１の元ｃ０と、上記加法群Ｇ１の元ｃ１と、１以上ｐ－１以下の整数ｔとを上記暗号文Ｃとして入力する。
　上記暗号文検証部２３０Ｃは、ペアリング値算出部２３１Ｃと、整数算出部２３２Ｃとを有する。
　上記ペアリング値算出部２３１Ｃは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号文入力部２２０が入力した元ｃ０と、上記鍵記憶部２１０Ｃが記憶した元（秘密元）ｄ０とに基づいて、所定のペアリング関数ｅにより上記元ｃ０と上記元（秘密元）ｄ０とのペアリング値を算出して、上記乗法群Ｇｔの元ｋ０（＝ｅ（ｃ０，ｄ０））とし、上記暗号文入力部２２０Ｃが入力した元ｃ１と、上記鍵記憶部２１０Ｃが記憶した元ｄ１とに基づいて、上記ペアリング関数ｅにより上記元ｃ１と上記元ｄ１とのペアリング値を算出して、上記乗法群ＧＴの元ｋ１（＝ｅ（ｃ１，ｄ１））とし、算出した上記元ｋ０と、算出した上記元ｋ１とに基づいて、上記元ｋ０と上記元ｋ１の逆元とを乗算して、上記乗法群Ｇｔの元ｋ（＝ｋ０／ｋ１）とする。
　上記整数算出部２３２Ｃは、上記処理装置（ＣＰＵ９１１）を用いて、上記ペアリング値算出部２３１Ｃが算出した元ｋと、上記暗号文入力部２２０Ｃが入力したビット列ｃと元ｃ０と元ｃ１とに基づいて、所定のハッシュ関数Ｈ”により上記元ｋと上記ビット列ｃと上記元ｃ０と上記元ｃ１とをハッシュしたハッシュ値を算出して、整数（ハッシュ値）Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とし、上記暗号文入力部２２０Ｃが入力した整数ｔと、算出した整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）と、上記暗号パラメータ記憶部２９０Ｃが記憶した位数ｐとに基づいて、上記整数ｔから上記整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を減算した整数を位数ｐで割った余りを算出して、整数ｓ（＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）ｍｏｄ　ｐ）とする。
　上記検証装置１００Ｃは、上記加法群Ｇ１（加法群Ｇ）を上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部２９０Ｃが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３２Ｃが算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部２９０Ｃが記憶した生成元ｇと、上記元ｈとして上記暗号文入力部２２０Ｃが入力した元ｃ０とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記乗法群Ｇｔを上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部２９０Ｃが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３２Ｃが算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部２９０Ｃが記憶した元ｖ０と、上記元ｈとして上記ペアリング値算出部２３１Ｃが算出した元ｋとを入力し、検証成功か否かを判定して、第二の検証結果とする。
　上記復号文生成部２６０Ｃは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ｃが上記第一の検証結果及び上記第二の検証結果おいてともに検証成功と判定した場合に、上記ペアリング値算出部２３１Ｃが算出した元ｋに基づいて、所定のハッシュ関数Ｈ’により上記元ｋをハッシュしたハッシュ値を算出して、ビット列Ｈ’（ｋ）とし、上記暗号文入力部２２０Ｃが入力したビット列ｃと、算出したビット列Ｈ’（ｋ）とに基づいて、上記ビット列ｃと上記ビット列Ｈ’（ｋ）との排他的論理和を取って、ビット列Ｍ’（＝ｃ　ＸＯＲ　Ｈ’（ｋ））とし、算出したビット列Ｍ’を上記復号文として出力する。
　この実施の形態における暗号文復号装置２００Ｃによれば、検証装置１００Ｃがｃ０＝ｓ・ｇかつｋ＝ｖ０ ｓであるかを検証して検証成功と判定した場合に、復号文生成部２６０Ｃが復号文を生成するので、不正者に対して、暗号を解読する手がかりを与えるのを防ぐことができる。また、検証装置１００Ｃがｃ０＝ｓ・ｇかつｋ＝ｖ０ ｓであるかを検証する処理にかかる時間を短縮できるので、暗号文復号装置２００Ｃが暗号文を復号する処理全体にかかる時間を短縮することができるという効果を奏する。
　以上説明した暗号文復号装置２００Ｃは、ＢＢ（Ｂｏｎｅｈ－Ｂｏｙｅｎ）１－ＩＤベース暗号復号装置である。
　暗号文復号装置２００Ｃは、
　秘密鍵ｄＩＤ＝（ｄ０，ｄ１）と、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）とを入力し、
　ペアリング値の比ｋ＝ｅ（ｃ０，ｄ０）／ｅ（ｃ１，ｄ１）を計算する計算装置（ペアリング値算出部２３１Ｃ）と、
　整数ｓ＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を計算する計算装置（整数算出部２３２Ｃ）と、
　指数部（整数）ｓを分割する装置（整数分割部１１０Ｃ）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群ＧＴにおける二基底指数べき乗算をして、値ｋｅ１・ｖ０ －ｅ２を計算する装置（検証値算出部１３０Ｃ２）と、
　その値が乗法群ＧＴの単位元１に等しいかどうか判定する装置（検証判定部１５０Ｃ）とを有する。
　以上説明した暗号文復号装置２００Ｃは、ＢＢ１－ＩＤベース暗号システム(ＩＤベース公開鍵暗号システム８２０Ｃ）内における鍵デカプセル化装置である。
　暗号文復号装置２００Ｃ（ＢＢ１－ＩＤベース暗号鍵デカプセル化装置）は、
　秘密鍵ｄＩＤ＝（ｄ０，ｄ１）と、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）とを入力し、
　ペアリング値の比ｋ＝ｅ（ｃ０，ｄ０）／ｅ（ｃ１，ｄ１）を計算する計算装置（ペアリング値算出部２３１Ｃ）と、
　整数ｓ＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を計算する計算装置（整数算出部２３２Ｃ）と、
　指数部（整数）ｓを分割する装置（整数分割部１１０Ｃ）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群ＧＴにおける二基底指数べき乗算をして、値ｋｅ１・ｖ０ －ｅ２を計算する装置（検証値算出部１３０Ｃ２）と、
　その値が乗法群ＧＴの単位元１に等しいかどうか判定する装置（検証判定部１５０Ｃ）とを有する。
　以上説明した暗号文復号装置２００Ｃ（ＢＢ１－ＩＤベース暗号復号装置）は、
　秘密鍵ｄＩＤ＝（ｄ０，ｄ１）と、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）とを入力し、
　ペアリング値の比ｋ＝ｅ（ｃ０，ｄ０）／ｅ（ｃ１，ｄ１）を計算する計算装置（ペアリング値算出部２３１Ｃ）と、
　整数ｓ＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を計算する計算装置（整数算出部２３２Ｃ）と、
　指数部（整数）ｓを分割する装置（整数分割部１１０Ｃ）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群ＧＴにおける二基底指数べき乗算をして、値ｋｅ１・ｖ０ －ｅ２を計算する装置（検証値算出部１３０Ｃ２）と、
　その値が乗法群ＧＴの単位元１に等しいかどうか判定する装置（検証判定部１５０Ｃ）とを有する。
　以上説明した暗号文復号装置２００Ｃ（ＢＢ１－ＩＤベース暗号鍵デカプセル化装置）は、
　秘密鍵ｄＩＤ＝（ｄ０，ｄ１）と、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）とを入力し、
　ペアリング値の比ｋ＝ｅ（ｃ０，ｄ０）／ｅ（ｃ１，ｄ１）を計算する計算装置（ペアリング値算出部２３１Ｃ）と、
　整数ｓ＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を計算する計算装置（整数算出部２３２Ｃ）と、
　指数部（整数）ｓを分割する装置（整数分割部１１０Ｃ）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、（超）楕円曲線上の点がなす元などの加法群Ｇにおける二基底スカラー倍算をして、値（ｅ１・ｃ０－ｅ２・ｇ）を計算する装置（検証値算出部１３０Ｃ１）と、
　その値が加法群Ｇの単位元０に等しいかどうか判定する装置（検証判定部１５０Ｃ）とを有する。
　以上説明したＩＤベース公開鍵暗号システム８２０Ｃは、ＢＢ１－ＩＤベース暗号システムである。
　ＩＤベース公開鍵暗号システム８２０Ｃでは、位数ｐが素数である加法群Ｇ、加法群Ｇ’、乗法群Ｇｔ、加法群Ｇの生成元ｇ、加法群Ｇ’の生成元ｇ’、ペアリングｅを用いる。
　暗号パラメータ設定装置８１０Ｃは、設定処理（Ｓｅｔｕｐ）をする。暗号パラメータ設定装置８１０Ｃは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数α、整数β、整数γを生成し、群Ｇの元ｇ１＝α・ｇ、群Ｇの元ｇ２　＝β・ｇ、群Ｇの元ｇ３　＝γ・ｇを計算する。暗号パラメータ設定装置８１０Ｃは、ＣＰＵ９１１を用いて、群Ｇ’の元ｇ’１＝α・ｇ’、群Ｇ’の元ｇ’２＝β・ｇ’、群Ｇ’の元ｇ’３＝γ・ｇ’を計算する。暗号パラメータ設定装置８１０Ｃは、ＣＰＵ９１１を用いて、群Ｇ’の元ｇ’０＝（α・β）・ｇ’と、乗法群Ｇｔの元であるペアリング値ｖ０＝ｅ（ｇ，ｇ’０）（すなわち、ｖ０＝ｅ（ｇ，ｇ’）α・β）を計算する。暗号パラメータ設定装置８１０Ｃは、ＰＫＧの公開鍵として（ｇ，ｇ１，ｇ３，ｖ０）を、ＰＫＧの秘密鍵として（ｇ’，α，β，γ）を出力する。
　鍵生成装置３００Ｃは、秘密鍵導出処理（Ｅｘｔｒａｃｔ）をする。鍵生成装置３００Ｃは、ＣＰＵ９１１を用いて、暗号文復号装置２００Ｃを識別するビット列ＩＤを入力し、１以上ｐ－１以下のランダムな整数（秘密乱数）ｒを生成する。鍵生成装置３００Ｃは、ＣＰＵ９１１を用いて、整数ｅ＝α・β＋（α・Ｈ（ＩＤ）＋γ）・ｒと、群Ｇ’の元ｄ０＝ｅ・ｇ’と、群Ｇ’の元ｄ１＝ｒ・ｇ’とを計算し、（ｄ０，ｄ１）をＩＤに対する秘密鍵ｄＩＤとして出力する。
　暗号文生成装置４００Ｃは、暗号化処理（Ｅｎｃｒｙｐｔ）をする。暗号文生成装置４００Ｃは、ＣＰＵ９１１を用いて、平文（ビット列）Ｍと、受信者ＩＤ（暗号文復号装置２００Ｃを識別するビット列ＩＤ）とを入力する。暗号文生成装置４００Ｃは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数（秘密乱数）ｓを生成する。暗号文生成装置４００Ｃは、ＣＰＵ９１１を用いて、Ｇｔの元ｋ＝ｖ０ ｓを計算する。暗号文生成装置４００Ｃは、ＣＰＵ９１１を用いて、ハッシュ関数Ｈ，　Ｈ’，　Ｈ”により、ビット列ｃ＝ＸＯＲ（Ｍ，Ｈ’（ｋ）），群Ｇの元ｃ０＝ｓ・ｇ，群Ｇの元ｃ１＝ｓ・ｇ３＋（Ｈ（ＩＤ）・ｓ）・ｇ１，整数ｔ＝ｓ＋Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を計算する。暗号文生成装置４００Ｃは、ＣＰＵ９１１を用いて、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）を出力する。
　暗号文復号装置２００Ｃは、復号処理（Ｄｅｃｒｙｐｔ）をする。暗号文復号装置２００Ｃは、ＣＰＵ９１１を用いて、秘密鍵ｄＩＤ＝（ｄ０，ｄ１）と、暗号文Ｃ＝（ｃ，ｃ０，ｃ１，ｔ）とを入力する。暗号文復号装置２００Ｃは、ＣＰＵ９１１を用いて、乗法群Ｇｔの元ｋ＝ｅ（ｃ０，ｄ０）／ｅ（ｃ１，ｄ１）と、整数ｓ＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とを計算し、ｋ＝ｖ０ ｓとｃ０＝ｓ・ｇとが成り立つかどうかをチェックする。成立しなければ、暗号文復号装置２００Ｃは、ＣＰＵ９１１を用いて、「拒絶」を出力する。成立すれば、暗号文復号装置２００Ｃは、ＣＰＵ９１１を用いて、ビット列Ｍ＝ＸＯＲ（ｃ，Ｈ’（ｋ））を算出し、出力する。
　以上説明した検証装置１００Ｃは、このようなＢＢ１－ＩＤベース暗号システムにおいて、ｋ＝ｖ０ ｓとｃ０＝ｓ・ｇとが成り立つかどうかをチェックする処理を、高速化する。
　検証装置１００Ｃでは、整数分割部１１０Ｃが、ＣＰＵ９１１を用いて、ｓとｐとを入力して、ｅ１・ｓ≡ｅ２（ｍｏｄ　ｐ）となる整数ｅ１及び整数ｅ２を算出する。検証値算出部１３０Ｃ２は、ＣＰＵ９１１を用いて、乗法群Ｇｔにおける二基底べき乗算により、ｖ１＝ｋｅ１・ｖ０ －ｓ２を計算する。検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、ｖ１＝１かどうかをチェックすることにより、ｋ＝ｖ０ ｓが成立するかを高速にチェックする。
　ｖ１＝１が成立した場合、検証値算出部１３０Ｃ１は、ＣＰＵ９１１を用いて、加法群Ｇにおける二基底スカラー倍算により、Ｗ＝ｅ１・ｃ０－ｅ２・ｇを計算する。検証判定部１５０Ｃは、ＣＰＵ９１１を用いて、Ｗ＝０かどうかをチェックすることにより、ｃ０＝ｓ・ｇが成立するかを高速にチェックする。
　実施の形態５．
　実施の形態５について、図２８～図３３を用いて説明する。
　図２８は、この実施の形態におけるＩＤベース署名システム８２０Ｄの全体構成の一例を示すシステム構成図である。
　ＩＤベース署名システム８２０Ｄは、署名装置４００Ｄを識別する識別データを、署名装置４００Ｄの公開鍵として利用する電子署名システムである。
　ＩＤベース署名システム８２０Ｄは、暗号パラメータ設定装置８１０Ｄ、鍵生成装置３００Ｄ、署名装置４００Ｄ、署名検証装置２００Ｄを有する。
　暗号パラメータ設定装置８１０Ｄは、ＩＤベース署名システム８２０Ｄで利用される暗号パラメータを定める。暗号パラメータ設定装置８１０Ｄが定めた暗号パラメータは、ＩＤベース署名システム８２０Ｄの利用者に公開される。暗号パラメータ設定装置８１０Ｄが定める暗号パラメータには、例えば、位数ｐ、加法群Ｇ、加法群Ｇの元ｇ、ハッシュ関数Ｈ、ハッシュ関数Ｈ’などがある。
　位数ｐは、素数である。
　加法群Ｇの位数は、位数ｐである。元ｇは、加法群Ｇの生成元である。
　ハッシュ関数Ｈは、加法群Ｇの元と、任意の長さのビット列との組から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　ハッシュ関数Ｈ’は、任意の長さの二つのビット列の順序対と、加法群Ｇの三つの元の順序対との組から、１以上ｐ－１以下の整数を生成するハッシュ関数である。
　なお、これらの暗号パラメータがあらかじめ定められている場合には、暗号パラメータ設定装置８１０Ｄは、これらの暗号パラメータを定めなくてもよい。
　また、暗号パラメータ設定装置８１０Ｄは、マスター鍵と、マスター鍵に基づいて生成した公開パラメータとを生成する。暗号パラメータ設定装置８１０Ｄが生成するマスター鍵には、１以上ｐ－１以下の整数ｘが含まれる。暗号パラメータ設定装置８１０Ｄが生成したマスター鍵は、鍵生成装置３００Ｄに対して秘密裡に通知される。また、暗号パラメータ設定装置８１０Ｄが生成する公開パラメータには、加法群Ｇの元Ｘが含まれる。暗号パラメータ設定装置８１０Ｄが生成した公開パラメータは、ＩＤベース署名システム８２０Ｄの利用者に公開される。
　鍵生成装置３００Ｄは、暗号パラメータ設定装置８１０Ｄから通知されたマスター鍵を秘密裡に保持する。鍵生成装置３００Ｄは、公開された暗号パラメータと、公開された署名装置４００Ｄの識別データＩＤと、保持したマスター鍵とに基づいて、署名装置４００Ｄの署名鍵を生成する。鍵生成装置３００Ｄが生成する署名鍵には、１以上ｐ－１以下の整数ｓと、加法群Ｇの元Ｒとが含まれる。鍵生成装置３００Ｄが生成した署名鍵は、署名装置４００Ｄに対して秘密裡に通知される。
　署名装置４００Ｄは、鍵生成装置３００Ｄから通知された署名鍵を秘密裡に保持する。署名装置４００Ｄは、公開された暗号パラメータ、公開パラメータと、保持した署名鍵に基づいて、メッセージＭに対する署名σを生成する。署名σは、メッセージＭの内容が改変されていないことを保証するものである。
　署名検証装置２００Ｄは、公開された暗号パラメータ、公開パラメータと、署名装置４００Ｄの識別データＩＤとに基づいて、メッセージＭに付された署名σを検証して、メッセージＭが改変されていないかを判定する。署名検証装置２００Ｄは、検証結果を出力する。
　図２９は、この実施の形態における暗号パラメータ設定装置８１０Ｄの一部の機能ブロックの構成の一例を示すブロック構成図である。
　暗号パラメータ設定装置８１０Ｄは、暗号パラメータ記憶部８１９Ｄ、秘密乱数生成部８１２Ｄ、公開元算出部８１３Ｄ、マスター鍵出力部８１４Ｄ、公開パラメータ出力部８１５Ｄを有する。
　暗号パラメータ記憶部８１９Ｄは、磁気ディスク装置９２０を用いて、公開した暗号パラメータを記憶する。
　秘密乱数生成部８１２Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部８１２Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成し、秘密乱数ｘとする。秘密乱数生成部８１２Ｄは、ＲＡＭ９１４を用いて、生成した秘密乱数ｘを表わすデータを記憶する。
　公開元算出部８１３Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部８１９Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部８１２Ｄが記憶した秘密乱数ｘを表わすデータとを入力する。公開元算出部８１３Ｄは、入力したデータが表わす加法群Ｇと元ｇと秘密乱数ｘとに基づいて、加法群Ｇにおける演算により、元ｇをｘ回加算した元を算出して、公開元Ｘとする。公開元算出部８１３Ｄは、ＲＡＭ９１４を用いて、算出した公開元Ｘを表わすデータを記憶する。
　マスター鍵出力部８１４Ｄは、ＣＰＵ９１１を用いて、秘密乱数生成部８１２Ｄが記憶した秘密乱数ｘを表わすデータを入力する。マスター鍵出力部８１４Ｄは、ＣＰＵ９１１を用いて、入力した秘密乱数ｘを表わすデータを、マスター鍵として出力する。
　マスター鍵出力部８１４Ｄが出力したマスター鍵は、鍵生成装置３００Ｄに対して秘密裡に通知される。
　公開パラメータ出力部８１５Ｄは、ＣＰＵ９１１を用いて、公開元算出部８１３Ｄが記憶した公開元Ｘを表わすデータを入力する。公開パラメータ出力部８１５Ｄは、ＣＰＵ９１１を用いて、入力した公開元Ｘを表わすデータを、公開パラメータとして出力する。
　公開パラメータ出力部８１５Ｄが出力した公開パラメータは、暗号パラメータとともに、ＩＤベース署名システム８２０Ｄの利用者に公開される。
　図３０は、この実施の形態における鍵生成装置３００Ｄの機能ブロックの構成の一例を示すブロック構成図である。
　鍵生成装置３００Ｄは、暗号パラメータ記憶部３９０Ｄ、マスター鍵記憶部３３０Ｄ、識別入力部３４０Ｄ、署名鍵生成部３５０Ｄ、署名鍵出力部３６０Ｄを有する。
　暗号パラメータ記憶部３９０Ｄは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　マスター鍵記憶部３３０Ｄは、耐タンパ性のある記憶装置を用いて、暗号パラメータ設定装置８１０Ｄから通知されたマスター鍵を記憶する。
　識別入力部３４０Ｄは、ＣＰＵ９１１を用いて、署名鍵を生成すべき署名装置４００Ｄを識別する識別データである任意の長さのビット列ＩＤを入力する。識別入力部３４０Ｄは、ＲＡＭ９１４を用いて、入力したビット列ＩＤを表わすデータを記憶する。
　署名鍵生成部３５０Ｄは、暗号パラメータ記憶部３９０Ｄが記憶した暗号パラメータと、マスター鍵記憶部３３０Ｄが記憶したマスター鍵と、識別入力部３４０Ｄが入力したビット列ＩＤとに基づいて、署名装置４００Ｄの署名鍵を生成する。
　署名鍵生成部３５０Ｄは、秘密乱数生成部３５１Ｄ、鍵元算出部３５２Ｄ、鍵整数算出部３５３Ｄを有する。
　秘密乱数生成部３５１Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部３５１Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成して、秘密乱数ｒとする。秘密乱数生成部３５１Ｄは、ＲＡＭ９１４を用いて、生成した秘密乱数ｒを表わすデータを記憶する。
　鍵元算出部３５２Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部３５１Ｄが記憶した秘密乱数ｒを表わすデータとを入力する。鍵元算出部３５２Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと秘密乱数ｒとに基づいて、加法群Ｇにおける演算により、元ｇをｒ回加算した元ｒ・ｇを算出して、元Ｒとする。鍵元算出部３５２Ｄは、ＲＡＭ９１４を用いて、算出した元Ｒを表わすデータを記憶する。
　鍵整数算出部３５３Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部３９０Ｄが記憶した暗号パラメータのうち位数ｐとハッシュ関数Ｈとを表わすデータと、マスター鍵記憶部３３０Ｄが記憶したマスター鍵のうち秘密乱数ｘを表わすデータと、識別入力部３４０Ｄが記憶したビット列ＩＤと、秘密乱数生成部３５１Ｄが記憶した秘密乱数ｒを表わすデータと、鍵元算出部３５２Ｄが算出した元Ｒを表わすデータとを入力する。鍵整数算出部３５３Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと元Ｒと、入力したビット列ＩＤとに基づいて、ハッシュ関数Ｈにより、元Ｒとビット列ＩＤとの組をハッシュしたハッシュ値Ｈ（Ｒ，ＩＤ）を算出する。鍵整数算出部３５３Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと秘密乱数ｘと秘密乱数ｒと、算出したハッシュ値Ｈ（Ｒ，ＩＤ）とに基づいて、ハッシュ値Ｈ（Ｒ，ＩＤ）と秘密乱数ｘとの積と、秘密乱数ｒとの和を、位数ｐで割った余りを算出して、整数ｓとする。鍵整数算出部３５３Ｄは、ＲＡＭ９１４を用いて、算出した整数ｓを表わすデータを記憶する。
　署名鍵出力部３６０Ｄは、ＣＰＵ９１１を用いて、鍵元算出部３５２Ｄが記憶した元Ｒを表わすデータと、鍵整数算出部３５３Ｄが記憶した整数ｓを表わすデータとを入力する。署名鍵出力部３６０Ｄは、ＣＰＵ９１１を用いて、入力した整数ｓと元Ｒとを表わすデータを、署名鍵として出力する。
　署名鍵出力部３６０Ｄが出力した署名鍵は、署名装置４００Ｄに対して秘密裡に通知される。
　図３１は、この実施の形態における署名装置４００Ｄの機能ブロックの構成の一例を示すブロック構成図である。
　署名装置４００Ｄは、暗号パラメータ記憶部４９０Ｄ、識別記憶部４１０Ｄ、署名鍵記憶部４２０Ｄ、メッセージ入力部４４０Ｄ、署名生成部４５０Ｄ、署名出力部４７０Ｄを有する。
　暗号パラメータ記憶部４９０Ｄは、磁気ディスク装置９２０を用いて、公開された暗号パラメータを表わすデータを、あらかじめ記憶している。
　識別記憶部４１０Ｄは、磁気ディスク装置９２０を用いて、署名装置４００Ｄ自身を識別するビット列ＩＤを記憶している。
　署名鍵記憶部４２０Ｄは、耐タンパ性のある記憶装置を用いて、鍵生成装置３００Ｄが生成した署名鍵を表わすデータを記憶している。
　メッセージ入力部４４０Ｄは、ＣＰＵ９１１を用いて、署名すべきメッセージである任意の長さのビット列Ｍを入力する。メッセージ入力部４４０Ｄは、ＲＡＭ９１４を用いて、入力したビット列Ｍを記憶する。
　署名生成部４５０Ｄは、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータと、識別記憶部４１０Ｄが記憶したビット列ＩＤと、署名鍵記憶部４２０Ｄが記憶した署名鍵と、メッセージ入力部４４０Ｄが入力したビット列Ｍとに基づいて、署名σを生成する。
　署名生成部４５０Ｄは、第一署名元算出部４５１Ｄ、秘密乱数生成部４５２Ｄ、第二署名元算出部４５３Ｄ、チャレンジ算出部４５４Ｄ、署名整数算出部４５５Ｄを有する。
　第一署名元算出部４５１Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち整数ｓを表わすデータとを入力する。第一署名元算出部４５１Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと整数ｓとに基づいて、加法群Ｇにおける演算により、元ｇをｓ回加算した元を算出して、元Ｓとする。第一署名元算出部４５１Ｄは、ＲＡＭ９１４を用いて、算出した元Ｓを表わすデータを記憶する。
　なお、元Ｓはビット列Ｍにかかわらず一定なので、第一署名元算出部４５１Ｄは、メッセージ入力部４４０Ｄがビット列Ｍを入力する前に、あらかじめ元Ｓを算出し、磁気ディスク装置９２０を用いて記憶しておいてもよい。
　秘密乱数生成部４５２Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータを入力する。秘密乱数生成部４５２Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐに基づいて、１以上ｐ－１以下の整数をランダムに生成し、秘密乱数ｙとする。秘密乱数生成部４５２Ｄは、ＲＡＭ９１４を用いて、生成した秘密乱数ｙを表わすデータを記憶する。
　第二署名元算出部４５３Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、秘密乱数生成部４５２Ｄが記憶した秘密乱数ｙを表わすデータとを入力する。第二署名元算出部４５３Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと秘密乱数ｙとに基づいて、加法群Ｇにおける演算により、元ｇをｙ回加算した元を算出して、元Ｙとする。第二署名元算出部４５３Ｄは、ＲＡＭ９１４を用いて、算出した元Ｙを表わすデータを記憶する。
　チャレンジ算出部４５４Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうちハッシュ関数Ｈ’を表わすデータと、識別記憶部４１０Ｄが記憶したビット列ＩＤと、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち元Ｒを表わすデータと、メッセージ入力部４４０Ｄが記憶したビット列Ｍと、第一署名元算出部４５１Ｄが記憶した元Ｓを表わすデータと、第二署名元算出部４５３Ｄが記憶した元Ｙを表わすデータとを入力する。チャレンジ算出部４５４Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす元Ｒと元Ｓと元Ｙと、入力したビット列ＩＤとビット列Ｍとに基づいて、ハッシュ関数Ｈ’により、ビット列ＩＤとビット列Ｍとの順序対と、元Ｒと元Ｓと元Ｙとの順序対との組をハッシュしたハッシュ値を算出し、ハッシュ値ｃとする。ハッシュ値ｃは、１以上ｐ－１以下の整数である。チャレンジ算出部４５４Ｄは、ＲＡＭ９１４を用いて、算出したハッシュ値ｃを表わすデータを記憶する。
　署名整数算出部４５５Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータと、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち整数ｓを表わすデータと、秘密乱数生成部４５２Ｄが記憶した秘密乱数ｙを表わすデータと、チャレンジ算出部４５４Ｄが記憶したハッシュ値ｃを表わすデータとを入力する。署名整数算出部４５５Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｓと秘密乱数ｙとハッシュ値ｃとに基づいて、ハッシュ値ｃと整数ｓとの積と、秘密乱数ｙとの和を、位数ｐで割った余りを算出して、整数ｚとする。署名整数算出部４５５Ｄは、ＲＡＭ９１４を用いて、算出した整数ｚを表わすデータを記憶する。
　署名出力部４７０Ｄは、ＣＰＵ９１１を用いて、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち元Ｒを表わすデータと、第一署名元算出部４５１Ｄが記憶した元Ｓを表わすデータと、第二署名元算出部４５３Ｄが記憶した元Ｙを表わすデータと、署名整数算出部４５５Ｄが記憶した整数ｚを表わすデータとを入力する。署名出力部４７０Ｄは、ＣＰＵ９１１を用いて、入力したデータに基づいて、入力した元Ｒと元Ｓと元Ｙと整数ｚとを表わすデータを含む署名σを生成する。署名出力部４７０Ｄは、ＣＰＵ９１１を用いて、生成した署名σを出力する。
　図３２は、この実施の形態における署名検証装置２００Ｄの機能ブロックの構成の一例を示すブロック構成図である。
　署名検証装置２００Ｄは、暗号パラメータ記憶部２９０Ｄ、識別記憶部２１０Ｄ、メッセージ入力部２２５Ｄ、署名入力部２２０Ｄ、署名検証部２３０Ｄ、検証装置１００Ｄ、検証結果出力部２６０Ｄを有する。
　暗号パラメータ記憶部２９０Ｄは、磁気ディスク装置９２０を用いて、公開された暗号パラメータ（公開パラメータも含む）を表わすデータを、あらかじめ記憶している。
　識別記憶部２１０Ｄは、磁気ディスク装置９２０を用いて、署名装置４００Ｄを識別するビット列ＩＤを記憶している。
　メッセージ入力部２２５Ｄは、ＣＰＵ９１１を用いて、署名σを付されたメッセージであるビット列Ｍを入力する。メッセージ入力部２２５Ｄは、ＲＡＭ９１４を用いて、入力したビット列Ｍを記憶する。
　署名入力部２２０Ｄは、ＣＰＵ９１１を用いて、メッセージ入力部２２５Ｄが入力したビット列Ｍに付された署名σを入力する。署名入力部２２０Ｄは、ＣＰＵ９１１を用いて、入力した署名σから、元Ｒと元Ｓと元Ｙと整数ｚとを表わすデータを取得する。署名入力部２２０Ｄは、ＲＡＭ９１４を用いて、取得した元Ｒと元Ｓと元Ｙと整数ｚとを表わすデータを記憶する。
　署名検証部２３０Ｄは、チャレンジ算出部２３１Ｄ、整数算出部２３２Ｄ、検証元算出部２３３Ｄ、第一検証部２５０Ｄを有する。
　チャレンジ算出部２３１Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶したハッシュ関数Ｈ’を表わすデータと、識別記憶部２１０Ｄが記憶した署名装置４００Ｄを識別するビット列ＩＤと、署名入力部２２０Ｄが記憶した元Ｒと元Ｓと元Ｙとを表わすデータと、メッセージ入力部２２５Ｄが記憶したビット列Ｍとを入力する。チャレンジ算出部２３１Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈ’と元Ｒと元Ｓと元Ｙと、入力したビット列ＩＤとビット列Ｍとに基づいて、ハッシュ関数Ｈ’により、ビット列ＩＤとビット列Ｍとの順序対と、元Ｒと元Ｓと元Ｙとの順序対との組をハッシュしたハッシュ値を算出して、ハッシュ値ｃとする。ハッシュ値ｃは、１以上ｐ－１以下の整数である。チャレンジ算出部２３１Ｄは、ＲＡＭ９１４を用いて、算出したハッシュ値ｃを表わすデータを記憶する。
　ビット列Ｍが改変されていなければ、チャレンジ算出部２３１Ｄが算出するハッシュ値ｃは、署名装置４００Ｄのチャレンジ算出部４５４Ｄが算出したハッシュ値ｃと等しい。
　整数算出部２３２Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうちハッシュ関数Ｈを表わすデータと、識別記憶部２１０Ｄが記憶した署名装置４００Ｄを識別するビット列ＩＤと、署名入力部２２０Ｄが記憶した元Ｒを表わすデータとを入力する。整数算出部２３２Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わすハッシュ関数Ｈと元Ｒと、入力したビット列ＩＤとに基づいて、ハッシュ関数Ｈにより、元Ｒとビット列ＩＤとの組をハッシュしたハッシュ値を算出して、ハッシュ値ｈとする。ハッシュ値ｈは、１以上ｐ－１以下の整数である。整数算出部２３２Ｄは、ＣＰＵ９１１を用いて、算出したハッシュ値ｈを表わすデータを記憶する。
　検証元算出部２３３Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうち加法群Ｇを表わすデータと、署名入力部２２０Ｄが記憶した元Ｒと元Ｓとを表わすデータとを入力する。検証元算出部２３３Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元Ｒと元Ｓとに基づいて、加法群Ｇにおける演算により、元Ｓと、元Ｒの逆元とを加算した元を算出して、元Ｒ’とする。検証元算出部２３３Ｄは、ＲＡＭ９１４を用いて、算出した元Ｒ’を表わすデータを記憶する。
　第一検証部２５０Ｄは、ｚ・ｇ＝Ｙ＋ｃ・Ｓであるかを検証する。
　第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、署名入力部２２０Ｄが記憶した元Ｓと元Ｙと整数ｚとを表わすデータと、チャレンジ算出部２３１Ｄが記憶したハッシュ値ｃを表わすデータとを入力する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと元Ｓと元Ｙと整数ｚとハッシュ値ｃとに基づいて、加法群Ｇにおける演算により、元Ｓをｃ回加算した元と、元Ｙとを加算した元Ｙ＋ｃ・Ｓが、元ｇをｚ回加算した元ｚ・ｇと等しいか否かを判定する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、元ｚ・ｇと元Ｙ＋ｃ・Ｓとが等しい場合、「検証成功」と判定し、元ｚ・ｇと元Ｙ＋ｃ・Ｓとが等しくない場合、「検証失敗」と判定する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、検証結果を表わすデータを記憶する。
　Ｙ＝ｙ・ｇ、Ｓ＝ｓ・ｇ、ｚ＝ｙ＋ｃ・ｓ　ｍｏｄ　ｐなので、
Figure JPOXMLDOC01-appb-M000029
 　したがって、ビット列Ｍが改変されていなければ、ｚ・ｇ＝Ｙ＋ｃ・Ｓが成立する。
　検証装置１００Ｄは、Ｒ’＝ｈ・Ｘであるかを検証する。
　検証装置１００Ｄは、実施の形態１で説明した検証装置１００と同様の装置である。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータを、実施の形態１で説明した位数ｐを表わすデータとして入力する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、整数算出部２３２Ｄが記憶したハッシュ値ｈを表わすデータを、実施の形態１で説明した整数ｅを表わすデータとして入力する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、検証元算出部２３３Ｄが記憶した元Ｒ’を表わすデータを、実施の形態１で説明した元ｈを表わすデータとして入力する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうち公開元Ｘを表わすデータを、実施の形態１で説明した元ｓを表わすデータとして入力する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐとハッシュ値ｈと元Ｒ’と公開元Ｘとに基づいて、Ｒ’＝ｈ・Ｘであるかを検証する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、Ｒ’＝ｈ・Ｘである場合、「検証成功」と判定し、Ｒ’≠ｈ・Ｘである場合、「検証失敗」と判定する。
　検証装置１００Ｄは、ＣＰＵ９１１を用いて、検証結果を表わすデータを出力する。
　Ｒ＝ｒ・ｇ、Ｓ＝ｓ・ｇ＝ｒ＋Ｈ（Ｒ，ＩＤ）・ｘ　ｍｏｄ　ｐ、ｈ＝Ｈ（Ｒ，ＩＤ）、Ｘ＝ｘ・ｇ、なので、
Figure JPOXMLDOC01-appb-M000030
 　したがって、ビット列Ｍが改変されていなければ、Ｒ’＝ｈ・Ｘが成立する。
　検証結果出力部２６０Ｄは、ＣＰＵ９１１を用いて、第一検証部２５０Ｄが記憶した検証結果を表わすデータと、検証結果出力部２６０Ｄが出力した検証結果を表わすデータとを入力する。検証結果出力部２６０Ｄは、ＣＰＵ９１１を用いて、入力した二つの検証結果に基づいて、第一検証部２５０Ｄ及び検証装置１００Ｄがともに「検証成功」と判定した場合に「検証成功」と判定し、それ以外の場合に「検証失敗」と判定する。検証結果出力部２６０Ｄは、ＣＰＵ９１１を用いて、検証結果を表わすデータを出力する。
　図３３は、この実施の形態における署名検証装置２００Ｄは、署名σを検証する署名検証処理の流れの一例を示すフローチャート図である。
　チャレンジ算出工程Ｓ７３１Ｄにおいて、チャレンジ算出部２３１Ｄは、ＣＰＵ９１１を用いて、識別記憶部２１０Ｄが記憶したビット列ＩＤと、署名入力部２２０Ｄが入力した元Ｒと元Ｓと元Ｙと、メッセージ入力部２２５Ｄが入力したビット列Ｍとに基づいて、ハッシュ関数Ｈ’により、ビット列ＩＤとビット列Ｍとの順序対と、元Ｒと元Ｓと元Ｙとの順序対との組をハッシュしたハッシュ値Ｈ’（ＩＤ，Ｒ，Ｓ，Ｙ，Ｍ）を算出して、ハッシュ値ｃとする。
　第一検証工程Ｓ７３２Ｄにおいて、第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した位数ｐと元ｇと、署名入力部２２０Ｄが入力した元Ｓと元Ｙと整数ｚと、チャレンジ算出工程Ｓ７３１Ｄでチャレンジ算出部２３１Ｄが算出したハッシュ値ｃとに基づいて、ｚ・ｇ＝Ｙ＋ｃ・Ｓであるか検証する。
　ｚ・ｇ＝Ｙ＋ｃ・Ｓである場合、整数算出工程Ｓ７３３Ｄへ進む。
　ｚ・ｇ≠Ｙ＋ｃ・Ｓである場合、失敗判定工程Ｓ７３７Ｄへ進む。
　整数算出工程Ｓ７３３において、整数算出部２３２Ｄは、ＣＰＵ９１１を用いて、識別記憶部２１０Ｄが記憶したビット列ＩＤと、署名入力部２２０Ｄが入力した元Ｒとに基づいて、ハッシュ関数Ｈにより、元Ｒとビット列ＩＤとの組をハッシュしたハッシュ値Ｈ（Ｒ，ＩＤ）を算出して、ハッシュ値ｈとする。
　検証元算出工程Ｓ７３４Ｄにおいて、検証元算出部２３３Ｄは、ＣＰＵ９１１を用いて、署名入力部２２０Ｄが入力した元Ｒと元Ｓとに基づいて、加法群Ｇにおける演算により、元Ｓと、元Ｒの逆元とを加算した元Ｓ－Ｒを算出して、元Ｒ’とする。
　第二検証工程Ｓ７３５Ｄにおいて、検証装置１００Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した位数ｐと元Ｘと、整数算出工程Ｓ７３３Ｄで整数算出部２３２Ｄが算出したハッシュ値ｈと、検証元算出工程Ｓ７３４Ｄで検証元算出部２３３Ｄが算出した元Ｒ’とに基づいて、Ｒ’＝ｈ・Ｘであるか検証する。
　Ｒ’＝ｈ・Ｘである場合、成功判定工程Ｓ７３６Ｄへ進む。
　Ｒ’≠ｈ・Ｘである場合、失敗判定工程Ｓ７３７Ｄへ進む。
　成功判定工程Ｓ７３６において、検証結果出力部２６０Ｄは、ＣＰＵ９１１を用いて、検証成功と判定し、検証結果を出力する。
　その後、署名検証処理を終了する。
　失敗判定工程Ｓ７３７Ｄにおいて、検証結果出力部２６０Ｄは、ＣＰＵ９１１を用いて、検証失敗と判定し、検証結果を出力する。
　その後、署名検証処理を終了する。
　なお、この例では、最初にｚ・ｇ＝Ｙ＋ｃ・Ｓであるか検証し、次にＲ’＝ｈ・Ｘであるか検証しているが、検証の順序は、いずれが先であってもよい。
　この実施の形態における署名検証装置２００Ｄは、データを処理する処理装置（ＣＰＵ９１１）と、メッセージ入力部２２５Ｄと、署名入力部２２０Ｄと、署名検証部２３０Ｄと、検証装置１００Ｄと、検証結果出力部２６０Ｄとを有する。
　上記メッセージ入力部２２５Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、メッセージ（ビット列Ｍ）を入力する。
　上記署名入力部２２０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部２２５Ｄが入力したメッセージ（ビット列Ｍ）に対する署名σを入力する。
　上記署名検証部２３０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部２２５Ｄが入力したメッセージ（ビット列Ｍ）と、上記署名入力部２２０Ｄが入力した署名σとに基づいて、上記検証装置１００Ｄに入力する整数ｅ（ハッシュ値ｈ）と、上記有限群（加法群）Ｇの元ｓ（公開元Ｘ）と、上記有限群（加法群）Ｇの元ｈ（元Ｒ’）とを算出する。
　上記検証装置１００Ｄは、上記署名検証部２３０Ｄが算出した整数ｅ（ハッシュ値ｈ）と、上記有限群（加法群）Ｇの元ｓ（公開元Ｘ）と、上記有限群（加法群）Ｇの元ｈ（元Ｒ’）とを入力して、検証成功か否かを判定する。
　上記検証結果出力部２６０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ｄが検証した結果に基づいて、検証成功であるか否か表わす検証結果を出力する。
　この実施の形態における署名検証装置２００Ｄによれば、検証装置１００Ｄがｈ＝ｅ・ｓであるかを判定することにより、署名を検証することができる。また、検証装置１００Ｄが署名の整合性を検証する処理にかかる時間を短縮することができるので、署名検証装置２００Ｄが署名を検証する処理全体にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における署名検証装置２００Ｄは、更に、データを記憶する記憶装置(磁気ディスク装置９２０、ＲＡＭ９１４など）と、暗号パラメータ記憶部２９０Ｄと、識別記憶部２１０Ｄとを有する。
　上記暗号パラメータ記憶部２９０Ｄは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記有限群（加法群）Ｇの位数ｐと、上記有限群（加法群）Ｇの生成元ｇと、上記有限群（加法群）Ｇの元（公開元）Ｘとを記憶する。
　上記識別記憶部２１０Ｄは、上記記憶装置（磁気ディスク装置９２０）を用いて、署名装置４００Ｄを識別するビット列ＩＤを記憶する。
　上記メッセージ入力部２２５Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、ビット列Ｍを上記メッセージとして入力する。
　上記署名入力部２２０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記有限群（加法群）Ｇの元Ｒと、上記有限群（加法群）Ｇの元Ｓと、上記有限群（加法群）Ｇの元Ｙと、１以上ｐ－１以下の整数ｚとを上記署名σとして入力する。
　上記署名検証部２３０Ｄは、整数算出部２３２Ｄと、検証元算出部２３３Ｄと、チャレンジ算出部２３１Ｄと、第一検証部２５０Ｄとを有する。
　上記整数算出部２３２Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記署名入力部２２０Ｄが入力した元Ｒと、上記識別記憶部２１０Ｄが記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列Ｉとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とする。
　上記検証元算出部２３３Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記署名入力部２２０Ｄが入力した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群（加法群）Ｇの元Ｒ’（＝Ｓ－Ｒ）とする。
　上記チャレンジ算出部２３１Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記識別記憶部２１０Ｄが記憶したビット列ＩＤと、上記署名入力部２２０Ｄが入力した元Ｒと元Ｓと元Ｙと、上記メッセージ入力部２２５Ｄが入力したビット列Ｍとに基づいて、所定のハッシュ関数Ｈ’により上記ビット列ＩＤと上記元Ｒと上記元Ｓと上記元Ｙと上記ビット列Ｍとをハッシュしたハッシュ値を算出して、整数（ハッシュ値）ｃ（＝Ｈ’（ＩＤ，Ｒ，Ｓ，Ｙ，Ｍ））とする。
　上記第一検証部２５０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号パラメータ記憶部２９０Ｄが記憶した生成元ｇと、上記署名入力部２２０Ｄが入力した元Ｓと元Ｙと整数ｚと、上記チャレンジ算出部２３１Ｄが算出した整数（ハッシュ値）ｃとに基づいて、上記元Ｓを上記整数（ハッシュ値）ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記生成元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とする。
　上記検証装置１００Ｄは、上記位数ｐとして上記暗号パラメータ記憶部２９０Ｄが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３２Ｄが算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部２９０Ｄが記憶した元Ｘと、上記元ｈとして上記検証元算出部２３３Ｄが算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とする。
　上記検証結果出力部２６０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記第一検証部２５０Ｄが検証した第一の検証結果と、上記検証装置１００Ｄが検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、検証成功であることを表わす検証結果を出力する。
　この実施の形態における署名検証装置２００Ｄによれば、検証装置１００ＤがＲ’＝ｈ・Ｘであるかを検証するので、署名σを検証することができる。また、検証装置１００ＤがＲ’＝ｈ・Ｘであるかを検証する処理にかかる時間を短縮することができるので、署名検証装置２００Ｄが署名を検証する処理全体にかかる時間を短縮することができるという効果を奏する。
　以上説明した署名検証装置２００Ｄは、乗法群における指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群におけるスカラー倍算により、乗法群の元ｓをｅ回乗算した元ｓｅまたは加法群の元ｓをｅ回加算した元ｅ・ｓが、既知の元ｈと一致するかどうかを検証することにより、署名が正しいか否かを判定するディジタル署名検証装置である。
　署名検証装置２００Ｄは、
　指数部（整数ｅ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値ｈｅ１・ｅ－ｅ２またはｅ１・ｈ－ｅ２・ｓを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した署名検証装置２００Ｄ（ディジタル署名検証装置）は、
　指数（整数）ｅと、暗号で使用する乗法群または加法群の群位数ｐとを入力して、位数ｐのビット長の半分のビット長を有する二つの整数ｅ１，ｅ２（ただし、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）。）を計算する計算装置（整数分割部１１０）と、
　ｓｅ２・ｈ－ｅ１＝１またはｅ２・ｓ－ｅ１・ｈ＝０を検証する検証装置（検証値算出部１３０、検証判定部１５０）とを有する。
　以上説明した整数分割部１１０は、拡張ユークリッド互除法を計算することにより、指数部（整数ｅ）を分割する。
　以上説明した整数分割部１１０は、二つの整数の繰り返し除算において、
　除算をする整数ｖ２及び除算される整数ｖ１が、それぞれ、前ステップの除算の剰余ｖ３、及び前ステップの除算をする整数ｖ２である計算装置（第三剰余算出部１１７）と、
　各ステップの除算結果の剰余ｖ３がある一定の数（√ｐ）以上、又はある一定の数（√ｐ）以下であることを判定する計算装置（適合性判定部１１６）とを有する。
　以上説明した署名検証装置２００Ｄは、ＢＮＮ（Ｂｅｌｌａｒｅ－Ｎａｍｐｒｅｍｐｒｅ－Ｎｅｖｅｎ）－ＩＤベース署名検証装置である。
　署名検証装置２００Ｄは、
　秘密鍵生成センタ（鍵生成装置３００Ｄ）の公開鍵である乗法群または加法群の元Ｘと、署名者（署名装置４００Ｄ）の秘密鍵（署名鍵）の一部である元Ｒと、署名σの一部である元Ｓと、署名者を識別するビット列ＩＤとに基づいて、元Ｒ・ＸＨ（Ｒ，ＩＤ）またはＲ＋Ｈ（Ｒ，ＩＤ）・Ｘが元Ｓと一致するかどうか検証するため、
　指数部（ハッシュ値ｈ＝Ｈ（Ｒ，ＩＤ））を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値（Ｓ／Ｒ）ｅ１・Ｘ－ｅ２またはｅ１・（Ｓ－Ｒ）－ｅ２・Ｘを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明したＩＤベース署名システム８２０Ｄは、ＢＮＮ－ＩＤベース認証法をＦｉａｔ－Ｓｈａｍｉｒ変換したＢＮＮ－ＩＤベース署名法による署名システムである。
　ＩＤベース認証システム８２０Ｅでは、位数ｐが素数である乗法群Ｇと、乗法群Ｇの生成元ｇとを用いる。
　暗号パラメータ設定装置８１０Ｄは、ＰＫＧ用鍵生成処理をする。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数ｘを生成する。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、乗法群Ｇの元Ｘ＝ｇｘを計算する。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、群Ｇの元ＸをＰＫＧ公開鍵、整数ｘをＰＫＧ秘密鍵として出力する。
　鍵生成装置３００Ｄは、ユーザ秘密鍵導出処理をする。鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、ＰＫＧ秘密鍵ｘと、証明装置４００Ｅを識別するビット列ＩＤとを入力する。まず、鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数（秘密乱数）ｒを生成する。鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、群Ｇの元Ｒ＝ｇｒと、整数ｓ＝ｒ＋Ｈ（Ｒ，ＩＤ）・ｘとを計算し、（Ｒ，ｓ）をユーザ秘密鍵として出力する。
　署名装置４００Ｄは、署名生成処理をする。署名装置４００Ｄは、ＣＰＵ９１１を用いて、メッセージＭと秘密鍵（Ｒ，ｓ）とを入力する。まず、署名装置４００Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数（秘密乱数）ｙを生成する。署名装置４００Ｄは、ＣＰＵ９１１を用いて、群Ｇの元Ｓ＝ｇｓと、群Ｇの元Ｙ＝ｇｙとを計算し、整数ｃ＝Ｈ１（Ｓ，Ｙ，Ｒ，Ｍ）を計算する。署名装置４００Ｄは、ＣＰＵ９１１を用いて、整数ｚ＝ｙ＋ｃ・ｓ　ｍｏｄ　ｐを計算し、（ｃ，ｚ，Ｓ，Ｙ，Ｒ）を署名として出力する。
　署名検証装置２００Ｄは、署名検証処理をする。署名検証装置２００Ｄは、ＣＰＵ９１１を用いて、署名（ｃ，ｚ，Ｓ，Ｙ，Ｒ）と、署名装置４００Ｄを識別するビット列ＩＤとを入力する。署名検証装置２００Ｄは、ｇｚ＝Ｙ・ＳｃとＳ＝Ｒ・ＸＨ（Ｒ，ＩＤ）とが成立するか、元Ｓ，元ＹがＧの元であるか、整数ｚが１以上ｐ－１以下であるかを検証する。すべて成立すれば、署名検証装置２００Ｄは、ＣＰＵ９１１を用いて、署名検証合格と判定し、そうでなければ、署名検証不合格と判定する。
　以上説明した検証装置１００Ｄは、このようなＢＮＮ－ＩＤベース署名システムにおいて、Ｓ＝Ｒ・ＸＨ（Ｒ，ＩＤ）であるかどうかを検証する処理を、高速化する。
　検証装置１００Ｄでは、整数分割部１１０が、ＣＰＵ９１１を用いて、ｈ（＝Ｈ（Ｒ，ＩＤ））とｐとを入力し、ｅ１・ｈ≡ｅ２（ｍｏｄ　ｐ）となる整数ｅ１及び整数ｅ２を算出する。検証値算出部１３０は、ＣＰＵ９１１を用いて、乗法群Ｇにおける二基底べき乗算により、Ｘ１＝Ｘｅ１・Ｒ’ｅ２（ただし、Ｒ’＝Ｓ・Ｒ－１。）を計算する。検証装置１００Ｅは、Ｘ１＝１かどうかをチェックすることにより、Ｓ＝Ｒ・ＸＨ（Ｒ，ＩＤ）が成立するかを、高速にチェックする。
　実施の形態６．
　実施の形態６について、図３４～図３７を用いて説明する。
　図３４は、この実施の形態におけるＩＤベース認証システム８２０Ｅの全体構成の一例を示すシステム構成図である。
　ＩＤベース認証システム８２０Ｅは、証明装置４００Ｅが偽物ではないことを、認証装置２００Ｅが認証するシステムである。このとき、認証装置２００Ｅは、証明装置４００Ｅを識別する識別データを証明装置４００Ｅの公開鍵として利用する。
　ＩＤベース認証システム８２０Ｅは、暗号パラメータ設定装置８１０Ｄ、鍵生成装置３００Ｄ、証明装置４００Ｅ、認証装置２００Ｅを有する。
　暗号パラメータ設定装置８１０Ｄ、鍵生成装置３００Ｄは、実施の形態５で説明したものと同様なので、ここでは説明を省略する。
　証明装置４００Ｅは、認証装置２００Ｅに対して、認証要求メッセージを送信する。証明装置４００Ｅが送信する認証要求メッセージには、加法群Ｇの元Ｒ、元Ｓ、元Ｙが含まれる。
　認証装置２００Ｅは、認証要求メッセージを受信すると、証明装置４００Ｅに対して、質問メッセージを送信する。認証装置２００Ｅが送信する質問メッセージには、１以上ｐ－１以下の整数ｃが含まれる。
　証明装置４００Ｅは、質問メッセージを受信すると、認証装置２００Ｅに対して回答メッセージを送信する。証明装置４００Ｅが送信する回答メッセージには、整数ｃに基づいて算出した１以上ｐ－１以下の整数ｚが含まれる。
　認証装置２００Ｅは、受信した認証要求メッセージに含まれる元Ｒ、元Ｓ、元Ｙと、受信した回答メッセージに含まれる整数ｚとを検証して、整合性があれば、証明装置４００Ｅが偽物ではないことを認証する。
　図３５は、この実施の形態における証明装置４００Ｅの機能ブロックの構成の一例を示すブロック構成図である。
　なお、実施の形態５で説明した署名装置４００Ｄと共通する部分については、同一の符号を付し、ここでは説明を省略する。
　証明装置４００Ｅは、暗号パラメータ記憶部４９０Ｄ、署名鍵記憶部４２０Ｄ、署名生成部４５０Ｄ、認証要求送信部４７０Ｅ、質問受信部４５４Ｅ、回答送信部４７５Ｅを有する。
　認証要求送信部４７０Ｅは、ＣＰＵ９１１を用いて、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち元Ｒを表わすデータと、第一署名元算出部４５１Ｄが記憶した元Ｓを表わすデータと、第二署名元算出部４５３Ｄが記憶した元Ｙを表わすデータとを入力する。認証要求送信部４７０Ｅは、ＣＰＵ９１１を用いて、入力した元Ｒと元Ｓと元Ｙとを表わすデータを含む認証要求メッセージを生成する。認証要求送信部４７０Ｅは、通信装置９１５を用いて、生成した認証要求メッセージを、認証装置２００Ｅに対して送信する。
　質問受信部４５４Ｅは、通信装置９１５を用いて、認証装置２００Ｅが送信した質問メッセージを受信する。質問受信部４５４Ｅは、ＣＰＵ９１１を用いて、受信した質問メッセージに含まれる整数ｃを表わすデータを取得する。質問受信部４５４Ｅは、ＲＡＭ９１４を用いて、取得した整数ｃを表わすデータを記憶する。
　署名整数算出部４５５Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した暗号パラメータのうち位数ｐを表わすデータと、署名鍵記憶部４２０Ｄが記憶した署名鍵のうち整数ｓを表わすデータと、秘密乱数生成部４５２Ｄが記憶した秘密乱数ｙを表わすデータと、質問受信部４５４Ｅが記憶した整数ｃを表わすデータとを入力する。署名整数算出部４５５Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす位数ｐと整数ｓと秘密乱数ｙと整数ｃとに基づいて、整数ｃと整数ｓとの積と、秘密乱数ｙとの和を、位数ｐで割った余りを算出して、整数ｚとする。署名整数算出部４５５Ｄは、ＲＡＭ９１４を用いて、算出した整数ｚを表わすデータを記憶する。
　回答送信部４７５Ｅは、ＣＰＵ９１１を用いて、署名整数算出部４５５Ｄが記憶した整数ｚを表わすデータを入力する。回答送信部４７５Ｅは、ＣＰＵ９１１を用いて、入力した整数ｚを表わすデータを含む回答メッセージを生成する。回答送信部４７５Ｅは、通信装置９１５を用いて、生成した回答メッセージを、認証装置２００Ｅに対して送信する。
　図３６は、この実施の形態における認証装置２００Ｅの機能ブロックの構成の一例を示すブロック構成図である。
　なお、実施の形態５で説明した署名検証装置２００Ｄと共通する部分については、同一の符号を付し、ここでは説明を省略する。
　認証装置２００Ｅは、暗号パラメータ記憶部２９０Ｄ、識別記憶部２１０Ｄ、認証要求受信部２２０Ｅ、チャレンジ生成部２３１Ｅ、質問送信部２２６Ｅ、回答受信部２２７Ｅ、署名検証部２３０Ｄ、検証装置１００Ｄ、認証結果出力部２６０Ｅを有する。
　認証要求受信部２２０Ｅは、通信装置９１５を用いて、証明装置４００Ｅが送信した認証要求メッセージを受信する。認証要求受信部２２０Ｅは、ＣＰＵ９１１を用いて、受信した認証要求メッセージに含まれる元Ｒと元Ｓと元Ｙとを表わすデータを取得する。認証要求受信部２２０Ｅは、ＲＡＭ９１４を用いて、取得した元Ｒと元Ｓと元Ｙとを表わすデータを記憶する。
　チャレンジ生成部２３１Ｅは、認証要求受信部２２０Ｅが認証要求メッセージを受信した場合に、ＣＰＵ９１１を用いて、１以上ｐ－１以下の整数をランダムに生成して、整数ｃとする。チャレンジ生成部２３１Ｅは、ＲＡＭ９１４を用いて、生成した整数ｃを表わすデータを記憶する。
　質問送信部２２６Ｅは、ＣＰＵ９１１を用いて、チャレンジ生成部２３１Ｅが記憶した整数ｃを表わすデータを入力する。質問送信部２２６Ｅは、ＣＰＵ９１１を用いて、入力した整数ｃを表わすデータを含む質問メッセージを生成する。質問送信部２２６Ｅは、通信装置９１５を用いて、生成した質問メッセージを、証明装置４００Ｅに対して送信する。
　回答受信部２２７Ｅは、通信装置９１５を用いて、証明装置４００Ｅが送信した回答メッセージを受信する。回答受信部２２７Ｅは、ＣＰＵ９１１を用いて、受信した回答メッセージに含まれる整数ｚを表わすデータを取得する。回答受信部２２７Ｅは、ＲＡＭ９１４を用いて、取得した整数ｚを表わすデータを記憶する。
　第一検証部２５０Ｄは、ｚ・ｇ＝Ｙ＋ｃ・Ｓであるかを検証する。
　第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部２９０Ｄが記憶した暗号パラメータのうち加法群Ｇと元ｇとを表わすデータと、認証要求受信部２２０Ｅが記憶した元Ｓと元Ｙとを表わすデータと、チャレンジ生成部２３１Ｅが記憶した整数値ｃを表わすデータと、回答受信部２２７Ｅが記憶した整数ｚを表わすデータとを入力する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、入力したデータが表わす加法群Ｇと元ｇと元Ｓと元Ｙと整数ｚとハッシュ値ｃとに基づいて、加法群Ｇにおける演算により、元Ｓをｃ回加算した元と、元Ｙとを加算した元Ｙ＋ｃ・Ｓが、元ｇをｚ回加算した元ｚ・ｇと等しいか否かを判定する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、元ｚ・ｇと元Ｙ＋ｃ・Ｓとが等しい場合、「検証成功」と判定し、元ｚ・ｇと元Ｙ＋ｃ・Ｓとが等しくない場合、「検証失敗」と判定する。第一検証部２５０Ｄは、ＣＰＵ９１１を用いて、検証結果を表わすデータを記憶する。
　認証結果出力部２６０Ｅは、ＣＰＵ９１１を用いて、第一検証部２５０Ｄが記憶した検証結果を表わすデータと、検証装置１００Ｄが出力した検証結果を表わすデータとを入力する。認証結果出力部２６０Ｅは、ＣＰＵ９１１を用いて、入力した二つの検証結果に基づいて、第一検証部２５０Ｄ及び検証装置１００Ｄがともに「検証成功」と判定した場合に「認証成功」と判定し、それ以外の場合に「認証失敗」と判定する。認証結果出力部２６０Ｅは、ＣＰＵ９１１を用いて、認証結果を表わすデータを出力する。
　図３７は、この実施の形態における認証装置２００Ｅが証明装置４００Ｅを認証する認証処理の流れの一例を示すフローチャート図である。
　なお、実施の形態５で説明した署名検証処理と共通する部分については、同一の符号を付し、ここでは説明を省略する。
　秘密乱数生成工程Ｓ７４１Ｅにおいて、証明装置４００Ｅの秘密乱数生成部４５２Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下の秘密乱数ｙをランダムに生成する。
　署名元算出工程Ｓ７４２Ｅにおいて、第二署名元算出部４５３Ｄは、ＣＰＵ９１１を用いて、秘密乱数生成部４５２Ｄが生成した秘密乱数ｙに基づいて、加法群Ｇの元Ｙ（＝ｙ・ｇ）を算出する。
　認証要求送信工程Ｓ７４３Ｅにおいて、証明装置４００Ｅの認証要求送信部４７０Ｅは、通信装置９１５を用いて、署名鍵記憶部４２０Ｄが記憶した元Ｒと、第一署名元算出部４５１Ｄが算出した元Ｓ（＝ｓ・ｇ）と、秘密乱数生成工程Ｓ７４１Ｅで第二署名元算出部４５３Ｄが算出した元Ｙとを含む認証要求メッセージを、認証装置２００Ｅに対して送信する。
　認証要求受信工程Ｓ７５１Ｅにおいて、認証装置２００Ｅの認証要求受信部２２０Ｅは、通信装置９１５を用いて、認証要求送信工程Ｓ７４３Ｅで証明装置４００Ｅが送信した認証要求メッセージを受信する。
　チャレンジ生成工程Ｓ７５２Ｅにおいて、認証装置２００Ｅのチャレンジ生成部２３１Ｅは、ＣＰＵ９１１を用いて、１以上ｐ－１以下の整数ｃをランダムに生成する。
　質問送信工程Ｓ７５３Ｅにおいて、認証装置２００Ｅの質問送信部２２６Ｅは、通信装置９１５を用いて、チャレンジ生成工程Ｓ７５２Ｅでチャレンジ生成部２３１Ｅが生成した整数ｃを含む質問メッセージを、証明装置４００Ｅに対して送信する。
　質問受信工程Ｓ７４４Ｅにおいて、証明装置４００Ｅの質問受信部４５４Ｅは、通信装置９１５を用いて、質問送信工程Ｓ７５３Ｅで認証装置２００Ｅが送信した質問メッセージを受信する。
　署名整数算出工程Ｓ７４５Ｅにおいて、証明装置４００Ｅの署名整数算出部４５５Ｄは、ＣＰＵ９１１を用いて、暗号パラメータ記憶部４９０Ｄが記憶した位数ｐと、署名鍵記憶部４２０Ｄが記憶した整数ｓと、秘密乱数生成工程Ｓ７４１Ｅで秘密乱数生成部４５２Ｄが生成した秘密乱数ｙと、質問受信工程Ｓ７４４Ｅで質問受信部４５４Ｅが受信した質問メッセージに含まれる整数ｙとに基づいて、整数ｚ（＝ｙ＋ｃ・ｓ　ｍｏｄ　ｐ）を算出する。
　回答送信工程Ｓ７４６Ｅにおいて、証明装置４００Ｅの回答送信部４７５Ｅは、通信装置９１５を用いて、署名整数算出工程Ｓ７４５Ｅで署名整数算出部４５５Ｄが算出した整数ｚを含む回答メッセージを、認証装置２００Ｅに対して送信する。
　回答受信工程Ｓ７５４Ｅにおいて、認証装置２００Ｅの回答受信部２２７Ｅは、通信装置９１５を用いて、回答送信工程Ｓ７４６Ｅで証明装置４００Ｅが送信した回答メッセージを受信する。
　第一検証工程Ｓ７３２Ｄ～第二検証工程Ｓ７３５Ｄは、実施の形態５で説明した工程と同様である。
　成功判定工程Ｓ７３６Ｅにおいて、認証結果出力部２６０Ｅは、ＣＰＵ９１１を用いて、認証成功と判定し、認証結果を出力する。
　その後、認証処理を終了する。
　失敗判定工程Ｓ７３７Ｅにおいて、認証結果出力部２６０Ｅは、ＣＰＵ９１１を用いて、認証失敗と判定し、認証結果を出力する。
　この実施の形態における認証装置２００Ｅは、データを処理する処理装置（ＣＰＵ９１１）と、データを送信する送信装置（通信装置９１５）と、データを受信する受信装置（通信装置９１５）と、認証要求受信部２２０Ｅと、質問送信部２２６Ｅと、回答受信部２２７Ｅと、署名検証部２３０Ｄと、検証装置１００Ｄと、認証結果出力部２６０Ｅとを有する。
　上記認証要求受信部２２０Ｅは、上記受信装置（通信装置９１５）を用いて、認証要求メッセージを受信する。
　上記質問送信部２２６Ｅは、上記送信装置（通信装置９１５）を用いて、上記認証要求受信部２２０Ｅが受信した認証要求メッセージに対する応答として、質問メッセージを送信する。
　上記回答受信部２２７Ｅは、上記受信装置（通信装置９１５）を用いて、送信した質問メッセージに対する回答メッセージを受信する。
　上記署名検証部２３０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記認証要求受信部２２０Ｅが受信した認証要求メッセージと、上記回答受信部２２７Ｅが受信した回答メッセージとに基づいて、上記検証装置１００Ｄに入力する整数ｅ（ハッシュ値ｈ）と、上記有限群（加法群）Ｇの元ｓ（元Ｘ）と、上記有限群（加法群）Ｇの元ｈ（元Ｒ’）とを算出する。
　上記検証装置１００Ｄは、上記署名検証部２３０Ｄが算出した整数ｅ（ハッシュ値ｈ）と、上記有限群（加法群）Ｇの元ｓ（元Ｘ）と、上記有限群（加法群）Ｇの元ｈ（元Ｒ’）とを入力して、検証成功か否かを判定する。
　上記認証結果出力部２６０Ｅは、上記処理装置（ＣＰＵ９１１）を用いて、上記検証装置１００Ｄが検証した結果に基づいて、認証成功であるか否か表わす認証結果を出力する。
　この実施の形態における認証装置２００Ｅによれば、検証装置１００Ｄがｈ＝ｅ・ｓであるかを判定することにより、証明装置４００Ｅを認証することができる。また、検証装置１００Ｄが署名の整合性を検証する処理にかかる時間を短縮することができるので、認証装置２００Ｅが証明装置４００Ｅを検証する処理全体にかかる時間を短縮することができるという効果を奏する。
　この実施の形態における認証装置２００Ｅは、更に、データを記憶する記憶装置（磁気ディスク装置９２０やＲＡＭ９１４など）と、暗号パラメータ記憶部２９０Ｄと、識別記憶部２１０Ｄと、チャレンジ生成部２３１Ｅとを有する。
　上記暗号パラメータ記憶部２９０Ｄは、上記記憶装置（磁気ディスク装置９２０）を用いて、上記有限群（加法群）Ｇの位数ｐと、上記有限群（加法群）Ｇの生成元ｇと、上記有限群（加法群）Ｇの元Ｘとを記憶する。
　上記識別記憶部２１０Ｄは、上記記憶装置（磁気ディスク装置９２０）を用いて、証明装置４００Ｅを識別するビット列ＩＤを記憶する。
　上記認証要求受信部２２０Ｅは、上記受信装置（通信装置９１５）を用いて、上記有限群（加法群）Ｇの元Ｒと、上記有限群（加法群）Ｇの元Ｓと、上記有限群（加法群）の元Ｙとを上記認証要求メッセージとして上記証明装置４００Ｅから受信する。
　上記チャレンジ生成部２３１Ｅは、上記処理装置（ＣＰＵ９１１）を用いて、１以上ｐ－１以下の整数ｃをランダムに生成する。
　上記質問送信部２２６Ｅは、上記送信装置（通信装置９１５）を用いて、上記チャレンジ生成部２３１Ｅが生成した整数ｃを上記質問メッセージとして上記証明装置４００Ｅに対して送信する。
　上記回答受信部２２７Ｅは、上記受信装置（通信装置９１５）を用いて、１以上ｐ－１以下の整数ｚを上記回答メッセージとして上記証明装置４００Ｅから受信する。
　上記署名検証部２３０Ｄは、整数算出部２３２Ｄと、検証元算出部２３３Ｄと、第一検証部２５０Ｄとを有する。
　上記整数算出部２３２Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記認証要求受信部２２０Ｅが受信した元Ｒと、上記識別記憶部２１０Ｄが記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列ＩＤとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とする。
　上記検証元算出部２３３Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記認証要求受信部２２０Ｅが受信した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群Ｇの元Ｒ’（＝Ｓ－Ｒ）とする。
　上記第一検証部２５０Ｄは、上記処理装置（ＣＰＵ９１１）を用いて、上記暗号パラメータ記憶部２９０Ｄが記憶した生成元ｇと、上記認証要求受信部２２０Ｅが受信した元Ｓと元Ｙと、上記チャレンジ生成部２３１Ｅが生成した整数ｃと、上記回答受信部２２７Ｅが受信した整数ｚとに基づいて、上記元Ｓを上記整数ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とする。
　上記検証装置１００Ｄは、上記位数ｐとして上記暗号パラメータ記憶部２９０Ｄが記憶した位数ｐと、上記整数ｅとして上記整数算出部２３２Ｄが算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部２９０Ｄが記憶した元Ｘと、上記元ｈとして上記検証元算出部２３３Ｄが算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とする。
　上記認証結果出力部２６０Ｅは、上記処理装置（ＣＰＵ９１１）を用いて、上記第一検証部２５０Ｄが検証した第一の検証結果と、上記検証装置１００Ｄが検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、認証成功であることを表わす認証結果を出力する。
　この実施の形態における認証装置２００Ｅによれば、検証装置１００ＤがＲ’＝ｈ・Ｘであるかを検証するので、証明装置４００Ｅを認証することができる。また、検証装置１００ＤがＲ’＝ｈ・Ｘであるかを検証する処理にかかる時間を短縮することができるので、認証装置２００Ｅが証明装置４００Ｅを認証する処理全体にかかる時間を短縮することができるという効果を奏する。
　以上説明した認証装置２００Ｅは、乗法群における指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群におけるスカラー倍算により、乗法群の元ｓをｅ回乗算した元ｓｅまたは加法群の元ｓをｅ回加算した元ｅ・ｓが、既知の元ｈと一致するかどうかを検証することにより、証明装置４００Ｅを認証する認証法検証装置である。
　認証装置２００Ｅは、
　指数部（整数ｅ）を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値ｈｅ１・ｅ－ｅ２またはｅ１・ｈ－ｅ２・ｓを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明した認証装置２００Ｅ（認証法検証装置）は、
　指数（整数）ｅと、暗号で使用する乗法群または加法群の群位数ｐとを入力して、位数ｐのビット長の半分のビット長を有する二つの整数ｅ１，ｅ２（ただし、ｅ１・ｅ　＝　ｅ２（ｍｏｄ　ｐ）。）を計算する計算装置（整数分割部１１０）と、
　ｓｅ２・ｈ－ｅ１＝１またはｅ２・ｓ－ｅ１・ｈ＝０を検証する検証装置（検証値算出部１３０、検証判定部１５０）とを有する。
　以上説明した整数分割部１１０は、拡張ユークリッド互除法を計算することにより、指数部（整数ｅ）を分割する。
　以上説明した整数分割部１１０は、二つの整数の繰り返し除算において、
　除算をする整数ｖ２、及び除算される整数ｖ１が、それぞれ、前ステップの除算の剰余ｖ３、及び前ステップの除算をする整数ｖ２である計算装置（第三剰余算出部１１７）と、
　各ステップの除算結果の剰余ｖ３がある一定の数（√ｐ）以上、又はある一定の数（√ｐ）以下であることを判定する計算装置（適合性判定部１１６）とを有する。
　以上説明した認証装置２００Ｅは、ＢＮＮ－ＩＤベース認証法検証装置である。
　認証装置２００Ｅは、
　秘密鍵生成センタ（鍵生成装置３００Ｄ）の公開鍵である乗法群または加法群の元Ｘと、被認証者（証明装置４００Ｅ）の秘密鍵（署名鍵）の一部である元Ｒと、被認証者のコミット値（元）Ｓと、被認証者を識別するビット列ＩＤとに基づいて、元Ｒ・Ｘ｛Ｈ（Ｒ，ＩＤ）またはＲ＋Ｈ（Ｒ，ＩＤ）・Ｘが元Ｓと一致するかどうか検証するため、
　指数部（ハッシュ値ｈ＝Ｈ（Ｒ，ＩＤ））を分割する装置（整数分割部１１０）と、
　分割された指数（整数ｅ１及び整数ｅ２）を用いて、乗法群における二基底指数べき乗算、または（超）楕円曲線上の点がなす群などの加法群における二基底スカラー倍算をして、値（Ｓ／Ｒ）ｅ１・Ｘ－ｅ２またはｅ１・（Ｓ－Ｒ）－ｅ２・Ｘを計算する装置（検証値算出部１３０）と、
　その値が乗法群の単位元１または加法群の単位元０に等しいかどうか判定する装置（検証判定部１５０）とを有する。
　以上説明したＩＤベース認証システム８２０Ｅは、ＢＮＮ－ＩＤベース認証法による認証システムである。
　ＩＤベース認証システム８２０Ｅは、証明者（証明装置４００Ｅ）と認証者（認証装置２００Ｅ）とを有する。最初に、証明者（証明装置４００Ｅ）が、検証者（認証装置２００Ｅ）にコミットメントＣｍｔ（認証要求メッセージ）を送付する。検証者（認証装置２００Ｅ）は、コミットメントＣｍｔを受け取り、コミットメントＣｍｔと公開情報（暗号パラメータ、公開パラメータ）からチャレンジデータＣｈ（質問メッセージ）を計算し、証明者（証明装置４００Ｅ）に送付する。証明者（証明装置４００Ｅ）は、チャレンジデータＣｈを受け取り、回答データＲｓｐを計算して、検証者（認証装置２００Ｅ）に送付する。検証者（認証装置２００Ｅ）は、回答データＲｓｐを受け取り、それが正しいデータかどうかを検証する。検証者（認証装置２００Ｅ）は、回答データが正しければ認証合格、そうでなければ認証不合格と判定する。
　ＩＤベース認証システム８２０Ｅでは、位数ｐが素数である乗法群Ｇと、乗法群Ｇの生成元ｇとを用いる。
　暗号パラメータ設定装置８１０Ｄは、ＰＫＧ用鍵生成処理をする。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数ｘを生成する。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、乗法群Ｇの元Ｘ＝ｇｘを計算する。暗号パラメータ設定装置８１０Ｄは、ＣＰＵ９１１を用いて、群Ｇの元ＸをＰＫＧ公開鍵、整数ｘをＰＫＧ秘密鍵として出力する。
　鍵生成装置３００Ｄは、ユーザ秘密鍵導出処理をする。鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、ＰＫＧ秘密鍵ｘと、証明装置４００Ｅを識別するビット列ＩＤとを入力する。まず、鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数（秘密乱数）ｒを生成する。鍵生成装置３００Ｄは、ＣＰＵ９１１を用いて、群Ｇの元Ｒ＝ｇｒと、整数ｓ＝ｒ＋Ｈ（Ｒ，ＩＤ）・ｘとを計算し、（Ｒ，ｓ）をユーザ秘密鍵として出力する。
　証明装置４００Ｅは、Ｃｍｔ計算処理において、ＣＰＵ９１１を用いて、まず、１以上ｐ－１以下のランダムな整数（秘密乱数）ｙを生成する。証明装置４００Ｅは、ＣＰＵ９１１を用いて、群Ｇの元Ｓ＝ｇｓと、群Ｇの元Ｙ＝ｇｙとを計算し、元Ｓと元Ｙと元ＲとをコミットメントＣｍｔ（認証要求データ）とする。
　認証装置２００Ｅは、Ｃｈ計算処理において、ＣＰＵ９１１を用いて、１以上ｐ－１以下のランダムな整数ｃを生成し、チャレンジデータＣｈ（質問データ）とする。
　証明装置４００Ｅは、Ｒｓｐ計算処理において、ＣＰＵ９１１を用いて、整数ｚ＝ｙ＋ｃ・ｓ　ｍｏｄ　ｐを計算し、回答データＲｓｐとする。
　認証装置２００Ｅは、ＣＰＵ９１１を用いて、Ｒｓｐを受け取り、ｇｚ＝Ｙ・ＳｃとＳ＝Ｒ・ＸＨ（Ｒ，ＩＤ）が成立するかどうか、元Ｓ及び元Ｙとが群Ｇの元であるかどうか、整数ｚが１以上ｐ－１以下であるかどうかを検証する。すべて成立すれば、認証装置２００Ｅは、ＣＰＵ９１１を用いて、認証合格と判定し、そうでなければ、認証不合格と判定する。
　以上説明した検証装置１００Ｅは、このようなＢＮＮ－ＩＤベース認証システムにおいて、Ｓ＝Ｒ・ＸＨ（Ｒ，ＩＤ）であるかどうかを検証する処理を、高速化する。
　検証装置１００Ｅでは、整数分割部１１０が、ＣＰＵ９１１を用いて、ｈ（＝Ｈ（Ｒ，ＩＤ））とｐとを入力し、ｅ１・ｈ＝ｅ２（ｍｏｄ　ｐ）となる整数ｅ１及び整数ｅ２を算出する。検証値算出部１３０は、ＣＰＵ９１１を用いて、乗法群Ｇにおける二基底べき乗算により、Ｘ１＝Ｘｅ１・Ｒ’ｅ２（ただし、Ｒ’＝Ｓ・Ｒ－１。）を計算する。検証装置１００Ｅは、Ｘ１＝１かどうかをチェックすることにより、Ｓ＝Ｒ・ＸＨ（Ｒ，ＩＤ）が成立するかを、高速にチェックする。
　以上、いくつかの暗号通信システム、署名システム、認証システムにおいて、検証装置１００が検証処理を高速化する例を説明したが、この技術は、上記説明した例に限るものではなく、広く離散対数型の暗号通信システム、認証システム、署名システムなどの暗号システムに適用することができる。
　また、説明の都合上、主に、群演算を加法的に記述する場合について説明したが、群演算が加法で記述されているか、乗法で記述されているかは、本質的ではない。
　暗号システムが利用する有限群において、群演算がコンピュータなどの処理装置を用いて計算可能であり、１回の群演算に多くの時間がかかる場合であれば、この技術による格段の高速化が可能である。
実施の形態１における暗号文復号装置２００の機能ブロックの構成の一例を示すブロック構成図。 実施の形態１における暗号文復号装置２００の外観の一例を示す図。 実施の形態１における暗号文復号装置２００のハードウェア資源の一例を示す図。 実施の形態１における検証装置１００の内部ブロックの構成の一例を示すブロック構成図。 実施の形態１における検証装置１００がｈ＝ｅ・ｓであるか否かを判定する検証処理の流れの一例を示すフローチャート図。 実施の形態１における整数分割部１１０の内部ブロックの構成の一例を示す詳細ブロック図。 実施の形態１における整数分割部１１０が整数ｅを分割する整数分割処理の流れの一例を示すフローチャート図。 実施の形態１における検証値算出部１３０の内部ブロックの構成の一例を示す詳細ブロック図。 実施の形態１における検証値算出部１３０が有限群Ｇの元ａを算出する検証値算出処理の流れの一例を示すフローチャート図。 実施の形態２におけるＩＤベース公開鍵暗号システム８２０Ａの全体構成の一例を示すシステム構成図。 実施の形態２における暗号パラメータ設定装置８１０Ａの一部の機能ブロックの構成の一例を示すブロック構成図。 実施の形態２における鍵生成装置３００Ａの機能ブロックの構成の一例を示すブロック構成図。 実施の形態２における暗号文生成装置４００Ａの機能ブロックの構成の一例を示すブロック構成図。 実施の形態２における暗号文復号装置２００Ａの機能ブロックの構成の一例を示すブロック構成図。 実施の形態２における暗号文復号装置２００Ａが暗号文ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図。 実施の形態３における公開鍵暗号システム８２０Ｂの全体構成の一例を示すシステム構成図。 実施の形態３における鍵生成装置３００Ｂの機能ブロックの構成の一例を示すブロック構成図。 実施の形態３における暗号文生成装置４００Ｂの機能ブロックの構成の一例を示すブロック構成図。 実施の形態３における暗号文復号装置２００Ｂの機能ブロックの構成の一例を示すブロック構成図。 実施の形態３における暗号文復号装置２００Ａが暗号文ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図。 実施の形態４におけるＩＤベース公開鍵暗号システム８２０Ｃの全体構成の一例を示すシステム構成図。 実施の形態４における暗号パラメータ設定装置８１０Ｃの一部の機能ブロックの構成の一例を示すブロック構成図。 実施の形態４における鍵生成装置３００Ｃの機能ブロックの構成の一例を示すブロック構成図。 実施の形態４における暗号文生成装置４００Ｃの機能ブロックの構成の一例を示すブロック構成図。 実施の形態４における暗号文復号装置２００Ｃの機能ブロックの構成の一例を示すブロック構成図。 実施の形態４における検証装置１００Ｃの内部ブロックの構成の一例を示す詳細ブロック図。 実施の形態４における暗号文復号装置２００Ｃが暗号文Ｃを復号する暗号文復号処理の流れの一例を示すフローチャート図。 実施の形態５におけるＩＤベース署名システム８２０Ｄの全体構成の一例を示すシステム構成図。 実施の形態５における暗号パラメータ設定装置８１０Ｄの一部の機能ブロックの構成の一例を示すブロック構成図。 実施の形態５における鍵生成装置３００Ｄの機能ブロックの構成の一例を示すブロック構成図。 実施の形態５における署名装置４００Ｄの機能ブロックの構成の一例を示すブロック構成図。 実施の形態５における署名検証装置２００Ｄの機能ブロックの構成の一例を示すブロック構成図。 実施の形態５における署名検証装置２００Ｄは、署名σを検証する署名検証処理の流れの一例を示すフローチャート図。 実施の形態６におけるＩＤベース認証システム８２０Ｅの全体構成の一例を示すシステム構成図。 実施の形態６における証明装置４００Ｅの機能ブロックの構成の一例を示すブロック構成図。 実施の形態６における認証装置２００Ｅの機能ブロックの構成の一例を示すブロック構成図。 実施の形態６における認証装置２００Ｅが証明装置４００Ｅを認証する認証処理の流れの一例を示すフローチャート図。
符号の説明
　１００，１００Ａ，１００Ｂ，１００Ｃ，１００Ｄ　検証装置、１１０，１１０Ｃ　整数分割部、１１１　位数入力部、１１２　整数入力部、１１３　初期値設定部、１１４　第一剰余記憶部、１１５　第二剰余記憶部、１１６　適合性判定部、１１７　第三剰余算出部、１２４　第一係数記憶部、１２５　第二係数記憶部、１２６　商算出部、１２７　第三係数算出部、１２９　分割整数出力部、１３０，１３０Ｃ　検証値算出部、１３１　分割整数入力部、１３２　元入力部、１３３　索引算出部、１３４　テーブル生成部、１３５　テーブル記憶部、１４１　検証初期値設定部、１４２　倍算結果記憶部、１４３　二基底加算部、１４４　加算結果記憶部、１４５　倍算部、１４９　検証値出力部、１５０，１５０Ｃ　検証判定部、２００，２００Ａ，２００Ｂ，２００Ｃ　暗号文復号装置、２００Ｄ　署名検証装置、２００Ｅ　認証装置、２１０，２１０Ａ，２１０Ｂ，２１０Ｃ　鍵記憶部、２１０Ｄ　識別記憶部、２２０，２２０Ａ，２２０Ｂ，２２０Ｃ　暗号文入力部、２２０Ｄ　署名入力部、２２５Ｄ　メッセージ入力部、２２０Ｅ　認証要求受信部、２２６Ｅ　質問送信部、２２７Ｅ　回答受信部、２３０，２３０Ａ，２３０Ｂ，２３０Ｃ　暗号文検証部、２３０Ｄ　署名検証部、２３１Ａ　ペアリング値算出部、２３２Ａ　ビット列算出部、２３３Ａ　整数算出部、２３１Ｂ　ハッシュ値算出部、２３２Ｂ　整数算出部、２３１Ｃ　ペアリング値算出部、２３２Ｃ　整数算出部、２３１Ｄ　チャレンジ算出部、２３２Ｄ　整数算出部、２３３Ｄ　検証元算出部、２３１Ｅ　チャレンジ生成部、２４１Ａ　識別記憶部、２４２Ａ　識別元算出部、２４３Ａ　識別元記憶部、２５０Ｄ　第一検証部、２６０，２６０Ａ，２６０Ｂ，２６０Ｃ　復号文生成部、２６０Ｄ　検証結果出力部、２６０Ｅ　認証結果出力部、２６１Ｂ　秘密元算出部、２６２Ｂ　共通鍵算出部、２７０Ａ，２７０Ｂ　共通鍵記憶部、２８１Ａ，２８１Ｂ　暗号化メッセージ入力部、２８２Ａ，２８２Ｂ　メッセージ復号部、２８３Ａ，２８３Ｂ，２８３Ｃ　復号メッセージ出力部、２９０Ａ，２９０Ｂ，２９０Ｃ，２９０Ｄ，３９０Ａ，３９０Ｂ，３９０Ｃ，３９０Ｄ，４９０Ａ，４９０Ｂ，４９０Ｃ，４９０Ｄ，８１９Ａ，８１９Ｃ，８１９Ｄ　暗号パラメータ記憶部、３００Ａ，３００Ｂ，３００Ｃ，３００Ｄ　鍵生成装置、３３０Ａ　秘密乱数記憶部、３３０Ｃ，３３０Ｄ　マスター鍵記憶部、３４０Ａ，３４０Ｃ，３４０Ｄ　識別入力部、３５０Ａ，３５０Ｂ，３５０Ｃ　秘密鍵生成部、３５０Ｄ　署名鍵生成部、３５１Ａ　ハッシュ値算出部、３５２Ａ　整数加算部、３５３Ａ　逆数算出部、３５４Ａ　秘密鍵算出部、３５１Ｂ，３５２Ｂ，３５３Ｂ，３５４Ｂ　秘密乱数生成部、３５１Ｃ　秘密乱数生成部、３５２Ｃ　第一秘密元算出部、３５３Ｃ　第二秘密元算出部、３５１Ｄ　秘密乱数生成部、３５２Ｄ　鍵元算出部、３５３Ｄ　鍵整数算出部、３６０Ａ，３６０Ｂ，３６０Ｃ　秘密鍵出力部、３６０Ｄ　署名鍵出力部、３７０Ｂ　公開鍵生成部、３７１Ｂ，３７２Ｂ，３７３Ｂ，３７４Ｂ　公開元算出部、３８０Ｂ　公開鍵出力部、４００Ａ，４００Ｂ，４００Ｃ　暗号文生成装置、４００Ｄ　署名装置、４００Ｅ　証明装置、４１０Ａ，４１０Ｃ，４１０Ｄ　識別記憶部、４１０Ｂ　公開鍵記憶部、４２０Ａ，４２０Ｂ　共通鍵生成部、４２０Ｄ　署名鍵記憶部、４２１Ａ　秘密ビット列生成部、４２２Ａ　秘密整数算出部、４２３Ａ　識別元算出部、４２４Ａ　暗号元算出部、４２５Ａ　秘密ペアリング値算出部、４２６Ａ　暗号ビット列算出部、４２７Ａ　共通鍵算出部、４２１Ｂ　秘密乱数生成部、４２２Ｂ　第一暗号元算出部、４２３Ｂ　第二暗号元算出部、４２４Ｂ　ハッシュ値算出部、４２５Ｂ　整数算出部、４２６Ｂ　第三暗号元算出部、４２７Ｂ　秘密元算出部、４２８Ｂ　共通鍵算出部、４３０Ａ，４３０Ｂ　共通鍵記憶部、４４０Ａ，４４０Ｂ，４４０Ｃ，４４０Ｄ　メッセージ入力部、４５０Ａ，４５０Ｂ，４５０Ｃ　メッセージ暗号化部、４５０Ｄ　署名生成部、４５１Ｃ　秘密乱数生成部、４５２Ｃ　ペアリング値算出部、４５３Ｃ　暗号ビット列算出部、４５４Ｃ　第一暗号元算出部、４５５Ｃ　第二暗号元算出部、４５６Ｃ　暗号整数算出部、４５１Ｄ　第一署名元算出部、４５２Ｄ　秘密乱数生成部、４５３Ｄ　第二署名元算出部、４５４Ｄ　チャレンジ算出部、４５５Ｄ　署名整数算出部、４５４Ｅ　質問受信部、４６０Ａ，４６０Ｂ　暗号化メッセージ出力部、４７０Ａ，４７０Ｂ，４７０Ｃ　暗号文出力部、４７０Ｄ　署名出力部、４７０Ｅ　認証要求送信部、４７５Ｅ　回答送信部、８１０Ａ，８１０Ｂ，８１０Ｃ，８１０Ｄ　暗号パラメータ設定装置、８１１Ａ　公開元生成部、８１２Ａ　秘密乱数生成部、８１３Ａ　公開元算出部、８１４Ａ　秘密乱数出力部、８１５Ａ　公開元出力部、８１２Ｃ　マスター鍵生成部、８１３Ｃ　公開パラメータ生成部、８１４Ｃ　マスター鍵出力部、８１５Ｃ　公開パラメータ出力部、８１６Ｃ，８１７Ｃ，８１８Ｃ　秘密乱数生成部、８３１Ｃ　第一公開元算出部、８３２Ｃ　公開ペアリング値算出部、８３３Ｃ　第二公開元算出部、８１２Ｄ　秘密乱数生成部、８１３Ｄ　公開元算出部、８１４Ｄ　マスター鍵出力部、８１５Ｄ　公開パラメータ出力部、８２０Ａ，８２０Ｃ　ＩＤベース公開鍵暗号システム、８２０Ｂ　公開鍵暗号システム、８２０Ｄ　ＩＤベース署名システム、８２０Ｅ　ＩＤベース認証システム、９０１　表示装置、９０２　キーボード、９０３　マウス、９０４　ＦＤＤ、９０５　ＣＤＤ、９０６　プリンタ装置、９０７　スキャナ装置、９１０　システムユニット、９１１　ＣＰＵ、９１２　バス、９１３　ＲＯＭ、９１４　ＲＡＭ、９１５　通信装置、９２０　磁気ディスク装置、９２１　ＯＳ、９２２　ウィンドウシステム、９２３　プログラム群、９２４　ファイル群、９３１　電話器、９３２　ファクシミリ機、９４０　インターネット、９４１　ゲートウェイ、９４２　ＬＡＮ。

Claims (19)

  1. 　データを処理する処理装置と、整数分割部と、検証値算出部と、検証判定部とを有し、
    　上記整数分割部は、上記処理装置を用いて、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出し、
    　上記検証値算出部は、上記処理装置を用いて、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｓと元ｈと、上記整数分割部が算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出し、
    　上記検証判定部は、上記処理装置を用いて、上記検証値算出部が算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定することを特徴とする検証装置。
  2. 　上記整数分割部は、上記処理装置を用いて、上記整数ｅ１の絶対値が上記位数ｐの平方根よりも小さく、かつ、上記整数ｅ２が上記位数ｐの平方根よりも小さいという条件を満たす整数ｅ１と整数ｅ２とを算出することを特徴とする請求項１に記載の検証装置。
  3. 　上記検証装置は、更に、データを記憶する記憶装置を有し、
    　上記整数分割部は、第一剰余記憶部と、第二剰余記憶部と、初期値設定部と、適合性判定部と、第三剰余算出部と、分割整数出力部とを有し、
    　上記第一剰余記憶部は、上記記憶装置を用いて、整数ｖ１を記憶し、
    　上記第二剰余記憶部は、上記記憶装置を用いて、整数ｖ２を記憶し、
    　上記初期値設定部は、上記処理装置を用いて、上記位数ｐを上記整数ｖ１として上記第一剰余記憶部に記憶させ、上記整数ｅを上記整数ｖ２として上記第二剰余記憶部に記憶させ、
    　上記適合性判定部は、上記処理装置を用いて、上記第二剰余記憶部が記憶した整数ｖ２が上記位数ｐの平方根よりも小さい場合に、出力条件を満たしたと判定し、
    　上記第三剰余算出部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定しない場合に、上記第一剰余記憶部が記憶した整数ｖ１と、上記第二剰余記憶部が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った余りを算出して、整数ｖ３とし、上記第二剰余記憶部が記憶した整数ｖ２を上記整数ｖ１として上記第一剰余記憶部に記憶させ、算出した整数ｖ３を上記整数ｖ２として上記第二剰余記憶部に記憶させ、
    　上記分割整数出力部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定した場合に、上記第二剰余記憶部が記憶した整数ｖ２を上記整数ｅ２として出力することを特徴とする請求項２に記載の検証装置。
  4. 　上記整数分割部は、更に、第一係数記憶部と、第二係数記憶部と、商算出部と、第三係数算出部とを有し、
    　上記第一係数記憶部は、上記記憶装置を用いて、整数ｔ１を記憶し、
    　上記第二係数記憶部は、上記記憶装置を用いて、整数ｔ２を記憶し、
    　上記初期値設定部は、更に、上記処理装置を用いて、上記整数ｔ１として０を上記第一係数記憶部に記憶させ、上記整数ｔ２として１を上記第二係数記憶部に記憶させ、
    　上記商算出部は、上記処理装置を用いて、上記第一剰余記憶部が記憶した整数ｖ１と、上記第二剰余記憶部が記憶した整数ｖ２とに基づいて、上記整数ｖ１を上記整数ｖ２で割った商を超えない最大の整数を算出して、整数ｑとし、
    　上記第三係数算出部は、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定しない場合に、上記第一係数記憶部が記憶した整数ｔ１と、上記第二係数記憶部が記憶した整数ｔ２と、上記商算出部が算出した整数ｑとに基づいて、上記整数ｔ２と上記整数ｑとの積を、上記整数ｔ１から減算した整数を算出して、整数ｔ３とし、上記第二係数記憶部が記憶した整数ｔ２を上記整数ｔ１として上記第一係数記憶部に記憶させ、算出した整数ｔ３を上記整数ｔ２として上記第二係数記憶部に記憶させ、
    　上記分割整数出力部は、更に、上記処理装置を用いて、上記適合性判定部が出力条件を満たしたと判定した場合に、上記第二係数記憶部が記憶した整数ｔ２を上記整数ｅ１として出力することを特徴とする請求項３に記載の検証装置。
  5. 　上記検証値算出部は、上記処理装置を用いて、Σ（ｎｉ・Ｐｉ）（ただし、ｎは２以上の所定の整数。ｉは０以上ｋ以下の整数。ｋは上記整数ｅ１の絶対値及び上記整数ｅ２をｎ進法で表記した場合の桁数の最大値。Ｐｉは、上記有限群Ｇの元で、Ｐｉ＝ｅ１，ｓｇｎ・ｅ１，ｉ・ｈ－ｅ２，ｉ・ｓ。ｅ１，ｓｇｎは１または－１。ｅ１，ｉ及びｅ２，ｉは０以上ｎ－１以下の整数で、ｅ１＝ｅ１，ｓｇｎ・Σ（ｎｉ・ｅ１，ｉ）、ｅ２＝Σ（ｎｉ・ｅ２，ｉ）。）を算出して、上記有限群Ｇの元ａとすることを特徴とする請求項１に記載の検証装置。
  6. 　データを記憶する記憶装置と、データを処理する処理装置と、鍵記憶部と、暗号文入力部と、暗号文検証部と、請求項１に記載の検証装置と、復号文生成部とを有し、
    　上記鍵記憶部は、上記記憶装置を用いて、暗号文を復号する鍵を記憶し、
    　上記暗号文入力部は、上記処理装置を用いて、暗号文を入力し、
    　上記暗号文検証部は、上記処理装置を用いて、上記鍵記憶部が記憶した鍵と、上記暗号文入力部が入力した暗号文とに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
    　上記検証装置は、上記暗号文検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
    　上記復号文生成部は、上記処理装置を用いて、上記検証装置が検証成功と判定した場合に、上記暗号文入力部が入力した暗号文を上記鍵記憶部が記憶した鍵により復号して、復号文を生成することを特徴とする暗号文復号装置。
  7. 　上記暗号文復号装置は、更に、暗号パラメータ記憶部と、識別記憶部と、識別元算出部と、識別元記憶部とを有し、
    　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇ１と、上記有限群Ｇの元Ｒとを記憶し、
    　上記識別記憶部は、上記記憶装置を用いて、上記暗号文復号装置を識別するビット列ＩＤを記憶し、
    　上記識別元算出部は、上記処理装置を用いて、上記識別記憶部が記憶したビット列ＩＤに基づいて、所定のハッシュ関数Ｈ１により上記ビット列ＩＤをハッシュしたハッシュ値を算出して、整数Ｈ１（ＩＤ）とし、上記暗号パラメータ記憶部が記憶した生成元ｇ１と、上記暗号パラメータ記憶部が記憶した元Ｒと、算出した整数Ｈ１（ＩＤ）とに基づいて、上記生成元ｇ１を整数Ｈ１（ＩＤ）倍した元と、上記元Ｒとを加算して、上記有限群Ｇの元Ｑ（＝Ｒ＋Ｈ１（ＩＤ）・ｇ１）とし、
    　上記識別元記憶部は、上記記憶装置を用いて、上記識別元算出部が算出した元Ｑを記憶し、
    　上記鍵記憶部は、上記記憶装置を用いて、有限群Ｇ２の元ＤＩＤを記憶し、
    　上記暗号文入力部は、上記処理装置を用いて、上記有限群Ｇの元Ｕと、ビット列Ｖとを上記暗号文として入力し、
    　上記暗号文検証部は、ペアリング値算出部と、ビット列算出部と、整数算出部とを有し、
    　上記ペアリング値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元Ｕと、上記鍵記憶部が記憶した元ＤＩＤとに基づいて、所定のペアリング関数ｅにより上記元Ｕと上記元ＤＩＤとのペアリング値を算出して、ペアリング値α（＝ｅ（Ｕ，ＤＩＤ））とし、
    　上記ビット列算出部は、上記処理装置を用いて、上記ペアリング値算出部が算出したペアリング値αに基づいて、所定のハッシュ関数Ｈ２により上記ペアリング値αをハッシュしたハッシュ値を算出して、ビット列Ｈ２（α）とし、上記暗号文入力部が入力したビット列Ｖと、算出したビット列Ｈ２（α）とに基づいて、上記ビット列Ｖと上記ビット列Ｈ２（α）との排他的論理和を取って、ビット列ｍ（＝Ｖ　ＸＯＲ　Ｈ２（α））とし、
    　上記整数算出部は、上記処理装置を用いて、上記ビット列算出部が算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ３により上記ビット列ｍをハッシュしたハッシュ値を算出して、整数ｒ（＝Ｈ３（ｍ））とし、
    　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｒと、上記元ｓとして上記識別元記憶部が記憶した元Ｑと、上記元ｈとして上記暗号文入力部が入力した元Ｕとを入力して、検証成功か否かを判定し、
    　上記復号文生成部は、上記処理装置を用いて、上記検証装置が検証成功と判定した場合に、上記ビット列算出部が算出したビット列ｍに基づいて、所定のハッシュ関数Ｈ４により上記ビット列ｍをハッシュしたハッシュ値を算出して、共通鍵Ｋ（＝Ｈ４（ｍ））とし、算出した共通鍵Ｋを上記復号文として出力することを特徴とする請求項６に記載の暗号文復号装置。
  8. 　上記識別元算出部は、上記暗号文入力部が上記暗号文を入力するよりも前に、上記元Ｑを算出することを特徴とする請求項７に記載の暗号文復号装置。
  9. 　上記暗号文復号装置は、更に、共通鍵記憶部と、暗号化メッセージ入力部と、メッセージ復号部とを有し、
    　上記共通鍵記憶部は、上記記憶装置を用いて、上記復号文生成部が出力した共通鍵Ｋを記憶し、
    　上記暗号化メッセージ入力部は、上記処理装置を用いて、暗号化メッセージを入力し、
    　上記メッセージ復号部は、上記処理装置を用いて、上記共通鍵記憶部が記憶した共通鍵Ｋにより上記暗号化メッセージ入力部が入力した暗号化メッセージを復号することを特徴とする請求項７に記載の暗号文復号装置。
  10. 　上記暗号文復号装置は、更に、暗号パラメータ記憶部を有し、
    　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐを記憶し、
    　上記鍵記憶部は、上記記憶装置を用いて、１以上ｐ－１以下の整数ｗと、１以上ｐ－１以下の整数ｘと、１以上ｐ－１以下の整数ｙと、１以上ｐ－１以下の整数ｚとを記憶し、
    　上記暗号文入力部は、上記処理装置を用いて、上記有限群Ｇの元ｕと、上記有限群Ｇの元ｕ’と、上記有限群Ｇの元ｖとを上記暗号文として入力し、
    　上記暗号文検証部は、ハッシュ値算出部と、整数算出部とを有し、
    　上記ハッシュ値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元ｕと元ｕ’とに基づいて、所定のハッシュ関数Ｈにより上記元ｕと上記元ｕ’とをハッシュしたハッシュ値を算出して、整数α（＝Ｈ（ｕ，ｕ’））とし、
    　上記整数算出部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した位数ｐと、上記鍵記憶部が記憶した整数ｘと整数ｙと、上記ハッシュ値算出部が算出した整数αとに基づいて、上記整数ｙと上記整数αとの積と、上記整数ｘとの和を、上記位数ｐで割った余りを算出して、整数ｔ（＝（ｘ＋ｙ・α）ｍｏｄ　ｐ）とし、
    　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記鍵記憶部が記憶した整数ｗと、上記元ｓとして上記暗号文入力部が入力した元ｕと、上記元ｈとして上記暗号文入力部が入力した元ｕ’とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｔと、上記元ｓとして上記暗号文入力部が入力した元ｕと、上記元ｈとして上記暗号文入力部が入力した元ｖとを入力し、検証成功か否かを判定して、第二の検証結果とし、
    　上記復号文生成部は、上記処理装置を用いて、上記検証装置が上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、上記鍵記憶部が記憶した整数ｚと、上記暗号文入力部が入力した元ｕとに基づいて、上記元ｕを上記整数ｚ回加算して、上記有限群Ｇの元ｈ（＝ｚ・ｕ）とし、上記暗号文入力部が入力した元ｕと、算出した元ｈ～とに基づいて、所定の鍵導出関数ＫＤＦにより上記元ｕと上記元ｈ～とから共通鍵Ｋ（＝ＫＤＦ（ｕ，ｈ～））を生成し、生成した共通鍵Ｋを上記復号文として出力することを特徴とする請求項６に記載の暗号文復号装置。
  11. 　上記暗号文復号装置は、更に、共通鍵記憶部と、暗号化メッセージ入力部と、メッセージ復号部とを有し、
    　上記共通鍵記憶部は、上記記憶装置を用いて、上記復号文生成部が出力した共通鍵Ｋを記憶し、
    　上記暗号化メッセージ入力部は、上記処理装置を用いて、暗号化メッセージを入力し、
    　上記メッセージ復号部は、上記処理装置を用いて、上記共通鍵記憶部が記憶した共通鍵Ｋにより上記暗号化メッセージ入力部が入力した暗号化メッセージを復号することを特徴とする請求項１０に記載の暗号文復号装置。
  12. 　上記暗号文復号装置は、更に、暗号パラメータ記憶部を有し、
    　上記暗号パラメータ記憶部は、上記記憶装置を用いて、加法群Ｇ１の位数ｐと、上記加法群Ｇ１の生成元ｇと、上記位数ｐを位数とする乗法群ＧＴの元ｖ０とを記憶し、
    　上記鍵記憶部は、上記記憶装置を用いて、上記位数ｐを位数とする加法群Ｇ２の元ｄ０と、上記加法群Ｇ２の元ｄ１とを記憶し、
    　上記暗号文入力部は、上記処理装置を用いて、ビット列ｃと、上記加法群Ｇ１の元ｃ０と、上記加法群Ｇ１の元ｃ１と、１以上ｐ－１以下の整数ｔとを上記暗号文として入力し、
    　上記暗号文検証部は、ペアリング値算出部と、整数算出部とを有し、
    　上記ペアリング値算出部は、上記処理装置を用いて、上記暗号文入力部が入力した元ｃ０と、上記秘密鍵記憶部が記憶した元ｄ０とに基づいて、所定のペアリング関数ｅにより上記元ｃ０と上記元ｄ０とのペアリング値を算出して、上記乗法群ＧＴの元ｋ０（＝ｅ（ｃ０，ｄ０））とし、上記暗号文入力部が入力した元ｃ１と、上記秘密鍵記憶部が記憶した元ｄ１とに基づいて、上記ペアリング関数ｅにより上記元ｃ１と上記元ｄ１とのペアリング値を算出して、上記乗法群ＧＴの元ｋ１（＝ｅ（ｃ１，ｄ１））とし、算出した上記元ｋ０と、算出した上記元ｋ１とに基づいて、上記元ｋ０を上記元ｋ１で除算して、上記乗法群ＧＴの元ｋ（＝ｋ０／ｋ１）とし、
    　上記整数算出部は、上記処理装置を用いて、上記ペアリング値算出部が算出した元ｋと、上記暗号文入力部が入力したビット列ｃと元ｃ０と元ｃ１とに基づいて、所定のハッシュ関数Ｈ”により上記元ｋと上記ビット列ｃと上記元ｃ０と上記元ｃ１とをハッシュしたハッシュ値を算出して、整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）とし、上記暗号文入力部が入力した整数ｔと、算出した整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）と、上記暗号パラメータ記憶部が機記憶した位数ｐとに基づいて、上記整数ｔから上記整数Ｈ”（ｋ，ｃ，ｃ０，ｃ１）を減算した整数を位数ｐで割った余りを算出して、整数ｓ（＝ｔ－Ｈ”（ｋ，ｃ，ｃ０，ｃ１）ｍｏｄ　ｐ）とし、
    　上記検証装置は、上記加法群Ｇ１を上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部が記憶した生成元ｇと、上記元ｈとして上記暗号文入力部が入力した元ｃ０とを入力し、検証成功か否かを判定して、第一の検証結果とし、上記乗法群ＧＴを上記有限群Ｇとして、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｓと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元ｖ０と、上記元ｈとして上記ペアリング値算出部が算出した元ｋとを入力し、検証成功か否かを判定して、第二の検証結果とし、
    　上記復号文生成部は、上記処理装置を用いて、上記検証装置が上記第一の検証結果及び上記第二の検証結果おいてともに検証成功と判定した場合に、上記ペアリング値算出部が算出した元ｋとに基づいて、所定のハッシュ関数Ｈ’により上記元ｋをハッシュしたハッシュ値を算出して、ビット列Ｈ’（ｋ）とし、上記暗号文入力部が入力したビット列ｃと、算出したビット列Ｈ’（ｋ）とに基づいて、上記ビット列ｃと上記ビット列Ｈ’（ｋ）との排他的論理和を取って、ビット列Ｍ’（＝ｃ　ＸＯＲ　Ｈ’（ｋ））とし、算出したビット列Ｍ’を上記復号文として出力することを特徴とする請求項６に記載の暗号文復号装置。
  13. 　データを処理する処理装置と、メッセージ入力部と、署名入力部と、署名検証部と、請求項１に記載の検証装置と、検証結果出力部とを有し、
    　上記メッセージ入力部は、上記処理装置を用いて、メッセージを入力し、
    　上記署名入力部は、上記処理装置を用いて、上記メッセージ入力部が入力したメッセージに対する署名を入力し、
    　上記署名検証部は、上記処理装置を用いて、上記メッセージ入力部が入力したメッセージと、上記署名入力部が入力した署名とに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
    　上記検証装置は、上記署名検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
    　上記検証結果出力部は、上記処理装置を用いて、上記検証装置が検証した結果に基づいて、検証成功であるか否か表わす検証結果を出力することを特徴とする署名検証装置。
  14. 　上記署名検証装置は、更に、データを記憶する記憶装置と、暗号パラメータ記憶部と、識別記憶部とを有し、
    　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇと、上記有限群Ｇの元Ｘとを記憶し、
    　上記識別記憶部は、上記記憶装置を用いて、署名装置を識別するビット列ＩＤを記憶し、
    　上記メッセージ入力部は、上記処理装置を用いて、ビット列Ｍを上記メッセージとして入力し、
    　上記署名入力部は、上記処理装置を用いて、上記有限群Ｇの元Ｒと、上記有限群Ｇの元Ｓと、上記有限群Ｇの元Ｙと、１以上ｐ－１以下の整数ｚとを上記署名として入力し、
    　上記署名検証部は、整数算出部と、検証元算出部と、チャレンジ算出部と、第一検証部とを有し、
    　上記整数算出部は、上記処理装置を用いて、上記署名入力部が入力した元Ｒと、上記識別記憶部が記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列ＩＤとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とし、
    　上記検証元算出部は、上記処理装置を用いて、上記署名入力部が入力した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群Ｇの元Ｒ’（＝Ｓ－Ｒ）とし、
    　上記チャレンジ算出部は、上記処理装置を用いて、上記識別記憶部が記憶したビット列ＩＤと、上記署名入力部が入力した元Ｒと元Ｓと元Ｙと、上記メッセージ入力部が入力したビット列Ｍとに基づいて、所定のハッシュ関数Ｈ’により上記ビット列ＩＤと上記元Ｒと上記元Ｓと上記元Ｙと上記ビット列Ｍとをハッシュしたハッシュ値を算出して、整数ｃ（＝Ｈ’（Ｉ，Ｒ，Ｓ，Ｙ，Ｍ））とし、
    　上記第一検証部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した生成元ｇと、上記署名入力部が入力した元Ｓと元Ｙと整数ｚと、上記チャレンジ算出部が算出した整数ｃとに基づいて、上記元Ｓを上記整数ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とし、
    　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元Ｘと、上記元ｈとして上記検証元算出部が算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とし、
    　上記検証結果出力部は、上記処理装置を用いて、上記第一検証部が検証した第一の検証結果と、上記検証装置が検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、検証成功であることを表わす検証結果を出力することを特徴とする請求項１３に記載の署名検証装置。
  15. 　データを処理する処理装置と、データを送信する送信装置と、データを受信する受信装置と、認証要求受信部と、質問送信部と、回答受信部と、署名検証部と、請求項１に記載の検証装置と、認証結果出力部とを有し、
    　上記認証要求受信部は、上記受信装置を用いて、認証要求メッセージを受信し、
    　上記質問送信部は、上記送信装置を用いて、上記認証要求受信部が受信した認証要求メッセージに対する応答として、質問メッセージを送信し、
    　上記回答受信部は、上記受信装置を用いて、送信した質問メッセージに対する回答メッセージを受信し、
    　上記署名検証部は、上記処理装置を用いて、上記認証要求受信部が受信した認証要求メッセージと、上記回答受信部が受信した回答メッセージとに基づいて、上記検証装置に入力する整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを算出し、
    　上記検証装置は、上記署名検証部が算出した整数ｅと、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力して、検証成功か否かを判定し、
    　上記認証結果出力部は、上記処理装置を用いて、上記検証装置が検証した結果に基づいて、認証成功であるか否か表わす認証結果を出力することを特徴とする認証装置。
  16. 　上記認証装置は、更に、データを記憶する記憶装置と、暗号パラメータ記憶部と、識別記憶部と、チャレンジ生成部とを有し、
    　上記暗号パラメータ記憶部は、上記記憶装置を用いて、上記有限群Ｇの位数ｐと、上記有限群Ｇの生成元ｇと、上記有限群Ｇの元Ｘとを記憶し、
    　上記識別記憶部は、上記記憶装置を用いて、証明装置を識別するビット列ＩＤを記憶し、
    　上記認証要求受信部は、上記受信装置を用いて、上記有限群Ｇの元Ｒと、上記有限群Ｇの元Ｓと、上記有限群の元Ｙとを上記認証要求メッセージとして上記証明装置から受信し、
    　上記チャレンジ生成部は、上記処理装置を用いて、１以上ｐ－１以下の整数ｃをランダムに生成し、
    　上記質問送信部は、上記送信装置を用いて、上記チャレンジ生成部が生成した整数ｃを上記質問メッセージとして上記証明装置に対して送信し、
    　上記回答受信部は、上記受信装置を用いて、１以上ｐ－１以下の整数ｚを上記回答メッセージとして上記証明装置から受信し、
    　上記署名検証部は、整数算出部と、検証元算出部と、第一検証部とを有し、
    　上記整数算出部は、上記処理装置を用いて、上記認証要求受信部が受信した元Ｒと、上記識別記憶部が記憶したビット列ＩＤとに基づいて、所定のハッシュ関数Ｈにより上記元Ｒと上記ビット列ＩＤとをハッシュしたハッシュ値を算出して、整数ｈ（＝Ｈ（Ｒ，ＩＤ））とし、
    　上記検証元算出部は、上記処理装置を用いて、上記認証要求受信部が受信した元Ｒと元Ｓとに基づいて、上記元Ｓと、上記元Ｒの逆元とを加算して、上記有限群Ｇの元Ｒ’（＝Ｓ－Ｒ）とし、
    　上記第一検証部は、上記処理装置を用いて、上記暗号パラメータ記憶部が記憶した生成元ｇと、上記認証要求受信部が受信した元Ｓと元Ｙと、上記チャレンジ生成部が生成した整数ｃと、上記回答受信部が受信した整数ｚとに基づいて、上記元Ｓを上記整数ｃ回加算した元ｃ・Ｓと上記元Ｙとを加算した元Ｙ＋ｃ・Ｓが、上記元ｇを上記整数ｚ回加算した元ｚ・ｇと等しいか否かを判定し、上記元Ｙ＋ｃ・Ｓと上記元ｚ・ｇとが等しい場合に、検証成功と判定して、第一の検証結果とし、
    　上記検証装置は、上記位数ｐとして上記暗号パラメータ記憶部が記憶した位数ｐと、上記整数ｅとして上記整数算出部が算出した整数ｈと、上記元ｓとして上記暗号パラメータ記憶部が記憶した元Ｘと、上記元ｈとして上記検証元算出部が算出した元Ｒ’とを入力し、検証成功か否かを判定して、第二の検証結果とし、
    　上記認証結果出力部は、上記処理装置を用いて、上記第一検証部が検証した第一の検証結果と、上記検証装置が検証した第二の検証結果とに基づいて、上記第一の検証結果及び上記第二の検証結果においてともに検証成功と判定した場合に、認証成功であることを表わす認証結果を出力することを特徴とする請求項１５に記載の認証装置。
  17. 　請求項１に記載の検証装置を有することを特徴とする暗号システム。
  18. 　データを処理する処理装置を有するコンピュータを、請求項１に記載の検証装置として機能させることを特徴とするコンピュータプログラム。
  19. 　データを処理する処理装置を有する検証装置が、整合性を検証する検証方法において、
    　上記処理装置が、有限群Ｇの位数ｐと、整数ｅとを入力し、入力した位数ｐと整数ｅとに基づいて、ｅ１・ｅ≡ｅ２（ｍｏｄ　ｐ）を満たす整数ｅ１と整数ｅ２とを算出し、
    　上記処理装置が、上記有限群Ｇの元ｓと、上記有限群Ｇの元ｈとを入力し、入力した元ｇと元ｈと、算出した整数ｅ１と整数ｅ２とに基づいて、上記有限群Ｇの元ａ（＝ｅ１・ｈ－ｅ２・ｓ）を算出し、
    　上記処理装置が、算出した元ａに基づいて、上記元ａが上記有限群Ｇの単位元である場合に、検証成功と判定することを特徴とする検証方法。
PCT/JP2008/052884 2008-02-20 2008-02-20 検証装置 WO2009104260A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP08720765.0A EP2244243B1 (en) 2008-02-20 2008-02-20 Verifying device
PCT/JP2008/052884 WO2009104260A1 (ja) 2008-02-20 2008-02-20 検証装置
CN2008801253575A CN101925942B (zh) 2008-02-20 2008-02-20 验证装置
JP2009554166A JP5079024B2 (ja) 2008-02-20 2008-02-20 検証装置及び暗号文復号装置及び署名検証装置及び認証装置及び暗号システム及びコンピュータプログラム
US12/809,440 US8458479B2 (en) 2008-02-20 2008-02-20 Verification apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2008/052884 WO2009104260A1 (ja) 2008-02-20 2008-02-20 検証装置

Publications (1)

Publication Number Publication Date
WO2009104260A1 true WO2009104260A1 (ja) 2009-08-27

Family

ID=40985155

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2008/052884 WO2009104260A1 (ja) 2008-02-20 2008-02-20 検証装置

Country Status (5)

Country Link
US (1) US8458479B2 (ja)
EP (1) EP2244243B1 (ja)
JP (1) JP5079024B2 (ja)
CN (1) CN101925942B (ja)
WO (1) WO2009104260A1 (ja)

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100208884A1 (en) * 2009-02-19 2010-08-19 Thomson Licensing Method and device for hashing onto points of an elliptic curve
DE112013000357B4 (de) * 2012-01-19 2018-02-15 Globalfoundries Inc. System zum Authentifizieren einer Annahme einer Zeichenfolge durch einen Automaten
KR101380895B1 (ko) * 2012-06-12 2014-04-10 한국전자통신연구원 보안 서비스 제공 장치 및 이를 이용한 보안 서비스 방법
US9189581B2 (en) 2012-07-30 2015-11-17 Synopsys, Inc. Equivalence checking between two or more circuit designs that include division circuits
US8806625B1 (en) * 2012-10-02 2014-08-12 Symantec Corporation Systems and methods for performing security scans
WO2014076927A1 (ja) 2012-11-13 2014-05-22 パナソニック株式会社 機器を遠隔操作するシステムにおいて用いられる方法
JP6317099B2 (ja) * 2013-01-08 2018-04-25 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ プログラムの正当性を確認するための確認方法及び、確認システム
US8930687B1 (en) * 2013-03-15 2015-01-06 Emc Corporation Secure distributed deduplication in encrypted data storage
GB2515057B (en) 2013-06-12 2016-02-24 Cryptomathic Ltd System and Method for Obtaining a Digital Signature
US9350550B2 (en) 2013-09-10 2016-05-24 M2M And Iot Technologies, Llc Power management and security for wireless modules in “machine-to-machine” communications
US9100175B2 (en) 2013-11-19 2015-08-04 M2M And Iot Technologies, Llc Embedded universal integrated circuit card supporting two-factor authentication
US10498530B2 (en) 2013-09-27 2019-12-03 Network-1 Technologies, Inc. Secure PKI communications for “machine-to-machine” modules, including key derivation by modules and authenticating public keys
US10700856B2 (en) 2013-11-19 2020-06-30 Network-1 Technologies, Inc. Key derivation for a module using an embedded universal integrated circuit card
WO2015132632A1 (en) * 2014-03-06 2015-09-11 Telefonaktiebolaget Lm Ericsson (Publ) Network node, device and methods for providing an authentication module
US9565114B1 (en) * 2014-03-08 2017-02-07 Google Inc. Weighted load balancing using scaled parallel hashing
US9853977B1 (en) 2015-01-26 2017-12-26 Winklevoss Ip, Llc System, method, and program product for processing secure transactions within a cloud computing system
JP6490613B2 (ja) * 2016-03-14 2019-03-27 株式会社東芝 通信装置、量子鍵配送システム、量子鍵配送方法およびプログラム
US11895240B2 (en) * 2016-12-15 2024-02-06 Nec Corporation System, apparatus, method and program for preventing illegal distribution of an access token
JP2018146766A (ja) * 2017-03-06 2018-09-20 キヤノン株式会社 スカラー倍演算装置、スカラー倍演算方法及びプログラム
US10742413B2 (en) * 2017-04-25 2020-08-11 International Business Machines Corporation Flexible verifiable encryption from lattices
US10404454B1 (en) * 2018-04-25 2019-09-03 Blockchain Asics Llc Cryptographic ASIC for derivative key hierarchy
AU2019259262B2 (en) * 2018-04-26 2021-07-22 Nippon Telegraph And Telephone Corporation Secure aggregate median system, secure computation apparatus, secure aggregate median method, and program
US10673625B1 (en) * 2019-06-15 2020-06-02 University Of South Florida Efficient identity-based and certificateless cryptosystems
US20200412545A1 (en) * 2019-06-26 2020-12-31 Micron Technology, Inc. Payload validation for a memory system

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000039668A1 (en) 1998-12-24 2000-07-06 Certicom Corp. A method for accelerating cryptographic operations on elliptic curves
JP2002215023A (ja) * 2001-01-18 2002-07-31 Mitsubishi Electric Corp 超楕円曲線暗号生成方法及び超楕円曲線暗号生成装置
JP2003216027A (ja) * 2002-01-28 2003-07-30 Nec Corp 確率公開鍵暗号文の冪乗剰余積の各指数係数が区間内にあることの証明システム及び方法並びにプログラム
JP2004201124A (ja) 2002-12-19 2004-07-15 Murata Mach Ltd 公開鍵暗号方法，署名方法，暗号通信システム及びコンピュータプログラム

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5497423A (en) * 1993-06-18 1996-03-05 Matsushita Electric Industrial Co., Ltd. Method of implementing elliptic curve cryptosystems in digital signatures or verification and privacy communication
US7567669B2 (en) * 1996-05-17 2009-07-28 Certicom Corp. Strengthened public key protocol
CA2253009C (en) * 1997-11-04 2002-06-25 Nippon Telegraph And Telephone Corporation Method and apparatus for modular inversion for information security and recording medium with a program for implementing the method
US6295359B1 (en) * 1998-05-21 2001-09-25 Pitney Bowes Inc. Method and apparatus for distributing keys to secure devices such as a postage meter
JP3551853B2 (ja) * 1999-08-27 2004-08-11 日本電気株式会社 αＹａ＋βＸｂ＋１＝０という形の定義方程式をもつ代数曲線暗号における安全なパラメータの生成装置、生成方法、および記録媒体
US7200225B1 (en) * 1999-11-12 2007-04-03 Richard Schroeppel Elliptic curve point ambiguity resolution apparatus and method
US6836784B2 (en) * 2001-01-17 2004-12-28 Matsushita Electric Industrial Co., Ltd. Efficient greatest common divisor algorithm using multiprecision arithmetic
US7308469B2 (en) * 2001-06-15 2007-12-11 Robert Joseph Harley Method for generating secure elliptic curves using an arithmetic-geometric mean iteration
EP1430641A2 (en) * 2001-09-27 2004-06-23 Matsushita Electric Industrial Co., Ltd. An encryption device, a decrypting device, a secret key generation device,a copyright protection system and a cipher communication device
US7458006B2 (en) * 2002-02-22 2008-11-25 Avago Technologies General Ip (Singapore) Pte. Ltd. Methods for computing the CRC of a message from the incremental CRCs of composite sub-messages
US7197527B2 (en) * 2002-10-17 2007-03-27 Telefonaktiebolaget Lm Ericsson (Publ) Efficient arithmetic in finite fields of odd characteristic on binary hardware
US7724898B2 (en) * 2002-10-17 2010-05-25 Telefonaktiebolaget L M Ericsson (Publ) Cryptography using finite fields of odd characteristic on binary hardware
US20050135610A1 (en) * 2003-11-01 2005-06-23 Liqun Chen Identifier-based signcryption
US7499544B2 (en) * 2003-11-03 2009-03-03 Microsoft Corporation Use of isogenies for design of cryptosystems
JP4629972B2 (ja) 2003-12-12 2011-02-09 三菱電機株式会社 ベクトル演算装置及び分割値演算装置及び楕円曲線スカラー倍演算装置及び楕円暗号演算装置及びベクトル演算方法及びプログラム及びプログラムを記録したコンピュータ読み取り可能な記録媒体
US7395494B2 (en) * 2003-12-22 2008-07-01 Electronics And Telecommunications Research Institute Apparatus for encoding and decoding of low-density parity-check codes, and method thereof
US7664957B2 (en) * 2004-05-20 2010-02-16 Ntt Docomo, Inc. Digital signatures including identity-based aggregate signatures
WO2006115021A1 (ja) * 2005-04-18 2006-11-02 Matsushita Electric Industrial Co., Ltd. 署名生成装置及び署名検証装置
EP1993086B1 (en) 2006-01-11 2012-09-05 Mitsubishi Electric Corporation Elliptical curve encryption parameter generation device, elliptical curve encryption calculation device, elliptical curve encryption parameter generation program, and elliptical curve encryption calculation program
CN101617351B (zh) 2007-01-19 2011-06-22 三菱电机株式会社 密文生成装置、密码通信系统以及群参数生成装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2000039668A1 (en) 1998-12-24 2000-07-06 Certicom Corp. A method for accelerating cryptographic operations on elliptic curves
US7110538B2 (en) 1998-12-24 2006-09-19 Certicom Corp. Method for accelerating cryptographic operations on elliptic curves
JP2002215023A (ja) * 2001-01-18 2002-07-31 Mitsubishi Electric Corp 超楕円曲線暗号生成方法及び超楕円曲線暗号生成装置
JP2003216027A (ja) * 2002-01-28 2003-07-30 Nec Corp 確率公開鍵暗号文の冪乗剰余積の各指数係数が区間内にあることの証明システム及び方法並びにプログラム
JP2004201124A (ja) 2002-12-19 2004-07-15 Murata Mach Ltd 公開鍵暗号方法，署名方法，暗号通信システム及びコンピュータプログラム

Non-Patent Citations (8)

* Cited by examiner, † Cited by third party
Title
"18033-2: Information Technology-Security techniques-Encryption algorithms-Part 2: Asymmetric ciphers", ISO/IEC 18033-2, 2006
D. BONEH; X. BOYEN: "Efficient Selective-ID Secure Identity Based Encryption Without Random Oracle", EUROCRYPT 2004, vol. 3027, 2004, pages 223 - 238
M. BARBOSA; L. CHEN; Z. CHENG; M. CHIMLEY; A. DENT; P. FARSHIM; K. HARRISON; J. MALONE-LEE; N.P. SMART; F. VERCAUTEREN: "SK-KEM: An Identity-Based KEM", IEEE P1363.3
M. BELLARE; C. NAMPREMPRE; G. NEVEN: "Security Proofs for Identity-Based Identification and Signature Schemes", EUROCRYPT 2004, 2004
R. CRAMER; V. SHOUP: "Design and Analysis of Practical Public-KeyEncryption Schemes secure against Adaptive Chosn Ciphertext Attack", CRYPTOLOGY EPRINT ARCHIVE, 2001, Retrieved from the Internet <URL:http://eprint.iacr.org>
R.P. GALLANT; R.J. LAMBERT; S.A. VANSTONE: "Faster Point Multiplication on Elliptic Curves with Efficient Endomorphisms", CRYPTO 2001, vol. 2139, 2001, pages 190 - 200, XP000988701
SAKAI Y. ET AL.: "Ango Module Kensho Tool no Kaihatsu", DENSHI SEIFU GYOSEI JOHOKA JIGYO, HEISEI 16 NENDO GAIYOBAN HOKOKUSHO, INFORMATION-TECHNOLOGY PROMOTION AGENCY, JAPAN : SECURITY CENTER, 8 April 2005 (2005-04-08), XP008142170, Retrieved from the Internet <URL:http://www.ipa.go.jp/security/fy16/development/crypt_module/index.html> *
X. BOYEN: "The BB1 Identity-Based Cryptosystem: A Standard for Encryption and Key Encapsulation", IEEE P1363.3

Also Published As

Publication number Publication date
US8458479B2 (en) 2013-06-04
EP2244243A4 (en) 2013-11-13
EP2244243B1 (en) 2017-12-13
US20100275028A1 (en) 2010-10-28
CN101925942B (zh) 2013-11-27
EP2244243A1 (en) 2010-10-27
JP5079024B2 (ja) 2012-11-21
CN101925942A (zh) 2010-12-22
JPWO2009104260A1 (ja) 2011-06-16

Similar Documents

Publication Publication Date Title
JP5079024B2 (ja) 検証装置及び暗号文復号装置及び署名検証装置及び認証装置及び暗号システム及びコンピュータプログラム
CN111106936B (zh) 一种基于sm9的属性加密方法与系统
US7594261B2 (en) Cryptographic applications of the Cartier pairing
Rodriguez-Henriquez et al. A brief introduction to modern cryptography
CN104270249B (zh) 一种从无证书环境到基于身份环境的签密方法
JP3872107B2 (ja) 暗号キー回復システム
JP4859933B2 (ja) 暗号文生成装置及び暗号通信システム及び群パラメータ生成装置
US7308097B2 (en) Digital signature and authentication method and apparatus
CN110830236B (zh) 基于全域哈希的身份基加密方法
US7574596B2 (en) Cryptographic method and apparatus
Harkins Dragonfly key exchange
CN110113150B (zh) 基于无证书环境的可否认认证的加密方法和系统
US20150288527A1 (en) Verifiable Implicit Certificates
CN110896351B (zh) 基于全域哈希的身份基数字签名方法
CN114448641A (zh) 一种隐私加密方法、电子设备、存储介质以及芯片
Lizama-Pérez et al. Public hash signature for mobile network devices
US20150006900A1 (en) Signature protocol
CN111669275B (zh) 一种无线网络环境下可选择从节点的主从协作签名方法
CN116346336B (zh) 一种基于多层密钥生成中心的密钥分发方法及相关系统
Yang et al. Certificateless universal designated verifier signature schemes
CN115442057A (zh) 一种具有强不可链接性的可随机化盲签名方法及系统
JP5679344B2 (ja) 署名鍵難読化システム、署名鍵難読化方法、難読化された署名鍵を用いた暗号化署名システム、難読化された署名鍵を用いた暗号化署名方法とプログラム
WO2023016729A1 (en) Generating digital signature shares
Dugardin et al. A New Fair Identity Based Encryption Scheme
Kumar A Reliable Authentication Protocol for Peer to Peer Based Applications

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200880125357.5

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08720765

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2009554166

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2008720765

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 12809440

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE