WO2011016401A1 - 関数暗号応用システム及び方法 - Google Patents

関数暗号応用システム及び方法 Download PDF

Info

Publication number
WO2011016401A1
WO2011016401A1 PCT/JP2010/062948 JP2010062948W WO2011016401A1 WO 2011016401 A1 WO2011016401 A1 WO 2011016401A1 JP 2010062948 W JP2010062948 W JP 2010062948W WO 2011016401 A1 WO2011016401 A1 WO 2011016401A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
function
specific
correspondence information
protocol
Prior art date
Application number
PCT/JP2010/062948
Other languages
English (en)
French (fr)
Inventor
鉄太郎 小林
鈴木　幸太郎
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2011525871A priority Critical patent/JP5285778B2/ja
Priority to US13/387,764 priority patent/US8938068B2/en
Priority to CN201080033976.9A priority patent/CN102484586B/zh
Priority to KR1020127002779A priority patent/KR101362443B1/ko
Priority to EP10806400.7A priority patent/EP2464051B1/en
Publication of WO2011016401A1 publication Critical patent/WO2011016401A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms

Definitions

  • the present invention relates to cryptographic technology, and in particular, to functional cryptographic technology.
  • the ID-based encryption (IBE) method can generate ciphertext using public parameters and an identifier (ID), and uses key information SK ID corresponding to the identifier one-to-one.
  • ID public parameters
  • SK ID key information corresponding to the identifier one-to-one.
  • the ciphertext can be decrypted (see, for example, Non-Patent Document 1).
  • various protocols applying such ID-based encryption methods have been proposed.
  • forward-secure encryption or key information is generated by performing encryption or key information generation using a value corresponding to a time interval including the current date and time and a value including a unique identifier of the recipient device as an identifier.
  • -Insulated encryption can be configured (see, for example, Non-Patent Documents 2 and 3).
  • an encrypted database in which ciphertext having information including a keyword corresponding to a search target as an identifier is associated with the encrypted search target is stored, and the information including the keyword is referred to as an identifier.
  • a Keyword search cipher that searches an encrypted database using the key information that has been made can be configured (for example, see Non-Patent Document 4).
  • a Timed-Release cipher can be realized by using a point in time when a ciphertext is to be decrypted as an identifier
  • a CCA2 (Chosen Ciphertext Attack 2) cipher can be realized by using disposable information such as a random number as an identifier.
  • the protocol can be switched by switching the identifier to be used. If a combination of identifiers corresponding to a plurality of protocols is used as a new identifier, a combination of a plurality of protocols, that is, a new protocol having characteristics of a plurality of protocols can be configured.
  • the ID-based encryption ciphertext and identifier for one plaintext have a one-to-one correspondence. That is, a protocol applying the ID-based encryption method requires a separate ciphertext for each protocol. Therefore, when an apparatus used to generate key information is selected by the apparatus that generates the key information, and a system that switches the protocol according to the selected identifier is configured, the apparatus that generates the ciphertext can be switched. It is necessary to keep each ciphertext corresponding to each protocol separately. Such generation and management of ciphertext is complicated and undesirable.
  • an apparatus used to generate key information can select an identifier used for generating key information, and the protocol can be switched according to the selected identifier.
  • the apparatus selects an identifier to be used for ciphertext generation and the protocol can be switched in accordance with the selected identifier.
  • the present invention has been made in view of such a point, and an object thereof is to provide a technique capable of switching a protocol according to a selected identifier without requiring complicated processing and management.
  • a protocol according to a function cryptosystem that correctly decrypts a ciphertext when a truth value of a logical expression corresponding to a combination of first correspondence information and second correspondence information is true is provided.
  • the information output device is configured to use a specific protocol or a specific protocol according to a function encryption method according to a rule determined for each protocol according to a function encryption method or a rule determined for each combination of protocols according to a function encryption method.
  • One type of identifier or a plurality of types of identifiers corresponding to a specific protocol combination according to the function encryption method is specified, and specific first correspondence information corresponding to one type of identifier or a combination of a plurality of types of identifiers is set.
  • the first information which is the ciphertext or key information of the functional encryption method corresponding to the specific first correspondence information is output.
  • the information processing apparatus of the present invention inputs the first information and the second information which is the key information or ciphertext of the function encryption method corresponding to the specific second correspondence information to the decryption function of the function encryption method, and the first information
  • the first information is a ciphertext corresponding to the specific first correspondence information
  • the second information is key information corresponding to the specific second correspondence information
  • the first information is the specific first correspondence information.
  • the second information is a ciphertext corresponding to the specific second correspondence information.
  • the specific first correspondence information is information determined for one type of identifier or a combination of a plurality of types of identifiers.
  • the specific second correspondence information is obtained when the first information corresponding to the specific first correspondence information and the second information corresponding to the specific second correspondence information are input to the decoding function. A value from which a decoding result is obtained is taken for one type of value or a plurality of types of values taken by the information. That is, in the present invention, the same second information can be shared for one or more types of first information, and correct decoding can be performed.
  • the same second information can be shared for one or more types of first information. Therefore, even when the information output device selects one type of identifier or a combination of two or more types of the identifier and switches the protocol according to the selected identifier to generate the first information, the information processing device is switched. It is not necessary to generate the second information separately for each protocol to be used. As a result, according to the present invention, the protocol can be switched according to the selected identifier without requiring complicated processing / management.
  • FIG. 1 is a block diagram for explaining the overall configuration of the function encryption application system according to the first embodiment.
  • FIG. 2 is a block diagram for explaining the configuration of the sender apparatus (information output apparatus) in FIG.
  • FIG. 3 is a block diagram for explaining the configuration of the receiver apparatus (information processing apparatus) in FIG.
  • FIG. 4 is a block diagram for explaining the configuration of the key generation apparatus of FIG.
  • FIG. 5A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the first embodiment.
  • FIG. 5B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the first embodiment.
  • FIG. 5A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the first embodiment.
  • FIG. 5B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the first
  • FIG. 6A is a diagram for describing an example of a rule for specifying an identifier ID (h) defined for each protocol or each combination of protocols in the first embodiment.
  • FIG. 6B is a diagram for describing an example of a rule for specifying an identifier ID (h) that is defined for each protocol or each combination of protocols in the first embodiment.
  • FIG. 7 is a diagram for explaining an example of a rule for specifying the identifier ID (h) defined for each protocol or each combination of protocols in the first embodiment.
  • FIG. 8A is a diagram for explaining an example of an attribute information table for specifying one attribute information ATT for one type of identifier ID (h) or a combination of two or more types of identifier ID (h).
  • FIG. 8B is a diagram for explaining the data structure of the attribute information ATT determined by the attribute information table.
  • FIG. 9A is a diagram for explaining an example of an attribute information table for specifying one attribute information ATT for a combination of one type of identifier ID (h) or two or more types of identifier ID (h). .
  • FIG. 9B is a diagram for explaining a data configuration of attribute information ATT determined by the attribute information table.
  • FIG. 10A is a diagram for describing an example of predicate information PRE corresponding to the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • FIG. 10B is a diagram for explaining a data configuration of the predicate information PRE.
  • FIG. 10A is a diagram for describing an example of predicate information PRE corresponding to the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • FIG. 10B is a diagram for explaining a data configuration of the predicate information PRE.
  • FIG. 11A is a diagram for describing an example of the predicate information PRE corresponding to the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • FIG. 11B is a diagram for explaining a data configuration of the predicate information PRE.
  • FIG. 12A is a flowchart for explaining the encryption processing according to the first embodiment.
  • FIG. 12B is a flowchart for explaining key information generation processing according to the first embodiment.
  • FIG. 13 is a flowchart for explaining the decoding process of the first embodiment.
  • FIG. 14A is a diagram for explaining an example in which a part of the attribute information ATT and the predicate information PRE is a spare area.
  • FIG. 14B is a diagram for explaining an example in which a part of the attribute information ATT and the predicate information PRE is a spare area.
  • FIG. 15A is a diagram for explaining an example in which a part of the attribute information ATT and the predicate information PRE is a spare area.
  • FIG. 15B is a diagram for explaining an example in which a part of the attribute information ATT and the predicate information PRE is a spare area.
  • FIG. 16 shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance regardless of the value of the specific information PI. It is a figure for demonstrating.
  • FIG. 16 shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance regardless of the value of the specific information PI. It is a figure for demonstrating.
  • FIG. 16 shows an example of setting attribute information ATT
  • FIG. 17A shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance regardless of the value of specific information PI. It is a figure for demonstrating.
  • FIG. 17B shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including the logical product of propositions set to be true in advance regardless of the value of specific information PI. It is a figure for demonstrating.
  • FIG. 18A shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance regardless of the value of specific information PI. It is a figure for demonstrating.
  • FIG. 17B shows an example of setting attribute information ATT and predicate information PRE corresponding to a logical expression partially including the logical product of propositions set to be true in advance regardless of the value of specific information PI. It is a figure for demonstrating.
  • FIG. 18B shows an example in which attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance is set regardless of the value of specific information PI. It is a figure for demonstrating.
  • FIG. 19 is a block diagram for explaining the overall configuration of the function encryption application system of the second embodiment.
  • FIG. 20 is a block diagram for explaining the configuration of the sender device (information output device) in FIG.
  • FIG. 21 is a block diagram for explaining the configuration of the receiver apparatus (information processing apparatus) in FIG.
  • FIG. 22A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the second embodiment.
  • FIG. 22B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the second embodiment.
  • FIG. 23A is a diagram for describing an example of a rule for specifying an identifier ID (h) defined for each protocol or each combination of protocols in the second embodiment.
  • FIG. 23B is a diagram for describing an example of a rule for specifying an identifier ID (h) defined for each protocol or each combination of protocols in the second embodiment.
  • FIG. 24 is a diagram for explaining an example of a rule for specifying the identifier ID (h) defined for each protocol or each combination of protocols in the second embodiment.
  • FIG. 25 is a diagram for explaining an example of the encrypted DB according to the second embodiment.
  • FIG. 26A is a flowchart for explaining search request processing according to the second embodiment.
  • FIG. 26B is a flowchart for explaining key information generation processing according to the second embodiment.
  • FIG. 27 is a flowchart for explaining search processing according to the second embodiment.
  • FIG. 28 is a block diagram for explaining the overall configuration of the function encryption application system of the third embodiment.
  • FIG. 29 is a block diagram for explaining the configuration of the sender apparatus (information output apparatus) in FIG.
  • FIG. 30 is a block diagram for explaining the configuration of the receiver apparatus (information processing apparatus) in FIG.
  • FIG. 31A is a flowchart for explaining processing of the sender device of the third embodiment.
  • FIG. 31B is a flowchart for explaining processing of the receiver device of the third embodiment.
  • FIG. 32 is a diagram illustrating tree structure data expressing a standard logical expression.
  • FIG. 33 is a diagram exemplifying tree structure data expressing a standard logical expression.
  • FIG. 34 is a diagram for explaining a specific example of the (Dec-1) process of function encryption.
  • FIG. 35 is a block diagram for explaining the overall configuration of the function encryption application system of the fourth embodiment.
  • FIG. 36 is a block diagram for explaining the configuration of the sender device (information output device) of the fourth embodiment.
  • FIG. 37 is a block diagram for explaining a receiver device (information processing device) field configuration of the fourth embodiment.
  • FIG. 38 is a block diagram for explaining the configuration of the key generation apparatus of the fourth embodiment.
  • FIG. 38 is a block diagram for explaining the configuration of the key generation apparatus of the fourth embodiment.
  • FIG. 39A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fourth embodiment.
  • FIG. 39B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fourth embodiment.
  • FIG. 40A is a diagram for describing an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fourth embodiment.
  • FIG. 40B is a diagram for describing an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fourth embodiment.
  • FIG. 41 is a diagram for explaining an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fourth embodiment.
  • FIG. 42A is a diagram for explaining the data structure of the attribute information VSET1.
  • FIG. 42B is a diagram for explaining the data structure of the condition information VSET2.
  • FIG. 43A is a flowchart for explaining an encryption process according to the fourth embodiment.
  • FIG. 43B is a flowchart for explaining key information generation processing of the fourth embodiment.
  • FIG. 44 is a flowchart for explaining a decoding process according to the fourth embodiment.
  • FIG. 45A is a diagram for explaining an example in which a part of the attribute information VSET1 is a spare area.
  • FIG. 45B is a diagram for explaining an example in which a part of the condition information VSET2 is a spare area.
  • FIG. 46 is a block diagram for explaining the configuration of the sender device (information output device) of the fifth embodiment.
  • FIG. 47 is a block diagram for explaining a configuration of a recipient apparatus (information processing apparatus) according to the fifth embodiment.
  • FIG. 48A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fifth embodiment.
  • FIG. 48B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fifth embodiment.
  • FIG. 48A is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fifth embodiment.
  • FIG. 48B is a diagram illustrating a correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fifth embodiment.
  • FIG. 49A is a diagram for describing an example of a rule for specifying an identifier ID ( ⁇ ) defined for each protocol or each combination of protocols in the fifth embodiment.
  • FIG. 49B is a diagram for describing an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fifth embodiment.
  • FIG. 50 is a diagram for explaining an example of a rule for identifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fifth embodiment.
  • FIG. 51 is a diagram for explaining an example of the encrypted DB according to the fifth embodiment.
  • FIG. 52 is a flowchart for explaining search request processing according to the fifth embodiment.
  • FIG. 53A is a flowchart for explaining key information generation processing according to the fifth embodiment.
  • FIG. 53B is a flowchart for explaining search processing according to the fifth embodiment.
  • FIG. 54 is a block diagram for explaining a configuration of a sender device (information output device) according to the sixth embodiment.
  • FIG. 55 is a block diagram for explaining a configuration of a receiver apparatus (information processing apparatus) according to the sixth embodiment.
  • FIG. 56A is a flowchart for explaining processing of the sender device of the sixth embodiment.
  • FIG. 56B is a flowchart for explaining processing of the receiver device of the sixth embodiment.
  • Matrix represents a set of elements in which operations are defined arranged in a rectangle. Not only elements with elements of the ring but also elements with elements of the group are expressed as “matrix”.
  • (•) T represents a transposed matrix of (•) -1 : (•) -1 represents the inverse matrix of.
  • ⁇ : ⁇ represents a logical product.
  • ⁇ : ⁇ represents a logical sum.
  • Z Z represents an integer set.
  • k k represents a security parameter (k ⁇ Z, k> 0).
  • ⁇ 0,1 ⁇ * ⁇ 0,1 ⁇ * represents a binary sequence having an arbitrary bit length.
  • One example is a sequence consisting of integers 0 and 1.
  • ⁇ 0,1 ⁇ * is not limited to a sequence consisting of integers 0 and 1.
  • ⁇ 0,1 ⁇ * is synonymous with a finite field of order 2 or its extension.
  • q: q represents an integer of 1 or more.
  • Z q : Z q represents a finite ring of order q. The operation on the finite ring can be easily configured by, for example, a remainder operation modulo the order q.
  • F q represents a finite field of order q.
  • the order q must be a prime number or a power value of a prime number.
  • An example of a finite field F q is an elementary field or an extension field based on it. Note that the operation in the case where the finite field F q is a prime field can be easily configured by, for example, a remainder operation modulo the order q. In addition, the calculation when the finite field F q is an extension field can be easily configured by, for example, a remainder calculation modulo an irreducible polynomial.
  • a specific configuration method of the finite field F q is disclosed in, for example, Reference 1 “ISO / IEC 18033-2: Information technology-Security techniques-Encryption algorithms-Part 2: Asymmetric ciphers”.
  • 0 F 0 F represents an additive unit element (zero element) of the finite field F q . 1 F : 1 F represents a multiplicative unit element of the finite field F q .
  • ⁇ (i, j): ⁇ (i, j) represents the Kronecker delta function.
  • E represents an elliptic curve defined on the finite field Fq .
  • a binary operation + called ellipse addition can be defined for any two points on the elliptic curve E, and a unary operation called an elliptic inverse can be defined for any one point on the elliptic curve E.
  • a finite set of rational points on the elliptic curve E group in terms of elliptic addition that an operation called elliptic scalar multiplication can be defined using elliptic addition, and elliptic operations such as elliptic addition on a computer can be defined.
  • a finite set of rational points on the elliptic curve E has a subgroup of order p (p ⁇ 1). For example, if the number of elements of a finite set of rational points on the elliptic curve E is #E and p is a large prime number that divides #E, then the finite set E [p] of the p equal points of the elliptic curve E is A subgroup of a finite set of rational points on the elliptic curve E is constructed.
  • G 1 , G 2 , G T represent a cyclic group of order q.
  • specific examples of the cyclic group G T is a subgroup of the additive of the extension field of a finite field F q underlying body. An example is a finite set of one of the p th root of the algebraic closure of a finite field F q.
  • the operations defined on the cyclic groups G 1 and G 2 are expressed additively, and the operations defined on the cyclic group G T are expressed multiplicatively. That, ⁇ ⁇ ⁇ G 1 for Kai ⁇ F q and Omega ⁇ G 1 means that applying operation defined in the cyclic group G 1 with respect ⁇ G 1 ⁇ times, Omega 1, Omega 2 ⁇ 1 + ⁇ 2 ⁇ G for ⁇ G 1 1 is meant to carry out the operation defined in the cyclic group G 1 and the Omega 1 ⁇ G 1 and Omega 2 ⁇ G 1 as operand.
  • ⁇ ⁇ ⁇ G 2 for Kai ⁇ F q and Omega ⁇ G 2 means that applying operation defined in the cyclic group G 2 with respect ⁇ G 2 ⁇ times
  • Omega 1, Omega 2 ⁇ G ⁇ 1 + ⁇ 2 ⁇ G 2 for 2 means that perform defined operations in the cyclic group G 2 to the Omega 1 ⁇ G 2 and Omega 2 ⁇ G 2 as operands.
  • Omega chi ⁇ G T for Kai ⁇ F q and Omega ⁇ G T means that applying operation defined in the cyclic group G T against ⁇ G T ⁇ times, ⁇ 1, ⁇ 2 ⁇ ⁇ 1 ⁇ ⁇ 2 ⁇ G for G T T means to perform the operation defined in the cyclic group G T and Omega 1 ⁇ G T and Omega 2 ⁇ G T as an operand.
  • G 1 n + 1 represents a direct product of n + 1 (n ⁇ 1) cyclic groups G 1 .
  • G 2 n + 1 represents the direct product of n + 1 cyclic groups G 2 .
  • g 1 , g 2 , and g T represent generation sources of the cyclic groups G 1 , G 2 , and G T.
  • V represents a n + 1-dimensional vector space consisting of the n + 1 cyclic group G 1 Cartesian product.
  • V * represents a n + 1-dimensional vector space consisting of the n + 1 of the cyclic group G 2 direct product.
  • e represents the direct product G 1 n + 1 and the direct product G 2 direct product G 1 n + 1 ⁇ nondegenerate bilinear mapping which maps the G 2 n + 1 in the cyclic group G T and n + 1 (bilinear map) .
  • G 1 n + 1 ⁇ G 2 n + 1 ⁇ G T (2)
  • the bilinear map e satisfies the following properties.
  • the following relation is satisfied for all ⁇ 1 ⁇ G 1 n + 1 and ⁇ 2 ⁇ G 2 n + 1 and ⁇ and ⁇ F q .
  • e ( ⁇ ⁇ ⁇ 1 , ⁇ ⁇ ⁇ 2 ) e ( ⁇ 1 , ⁇ 2 ) ⁇ ⁇ ⁇ ... (3)
  • Non degenerative] All ⁇ 1 ⁇ G 1 n + 1, ⁇ 2 ⁇ G 2 n + 1 does not copy the identity element of the cyclic group G T a.
  • Bilinear map e of the first to third embodiments, n + 1 pieces of the original gamma L of cyclic groups G 1 (L 1, ...
  • bilinear map Pair is intended as input a set of the one of the original cyclic group G 1 of the cyclic group G 2 and one of the original, and outputs one of the original cyclic group G T, It satisfies the following properties.
  • Pair ( ⁇ ⁇ ⁇ 1 , ⁇ ⁇ ⁇ 2 ) Pair ( ⁇ 1 , ⁇ 2 ) ⁇ ⁇ ⁇ ... (6)
  • All Omega 1 ⁇ G 1 does not reproduce the Omega 2 ⁇ G 2 to unity of the cyclic group G T.
  • Pair ( ⁇ 1 , ⁇ 2 ) for every ⁇ 1 ⁇ G 1 and ⁇ 2 ⁇ G 2 .
  • a specific example of the bilinear map Pair is a function for performing pairing operations such as Weil pairing and Tate pairing (for example, Reference 4 “Alfred. J. Menezes, ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS, KLUWER ACADEMIC PUBLISHERS, ISBN0-7923-9368-6, pp. 61-81 ”).
  • a modified pairing function e ( ⁇ 1 , phi ( ⁇ 2 )) ( ⁇ 1 ⁇ ) that combines a function for performing pairing operations such as Tate pairing and a predetermined function phi G 1 , ⁇ 2 ⁇ G 2 ) may be used as the bilinear map Pair (for example, see Reference 2).
  • a i 1,..., n + 1): a i represents an n + 1-dimensional basis vector whose elements are n + 1 elements of the cyclic group G 1 .
  • An example of the basis vector a i uses ⁇ 1 ⁇ g 1 ⁇ G 1 as the i-th element, and the remaining n elements are the unit elements of the cyclic group G 1 (additionally expressed as “0”) This is an n + 1-dimensional basis vector.
  • a 1 ( ⁇ 1 ⁇ g 1 , 0,0, ..., 0)
  • kappa 1 is a constant consisting of elements of the finite field F q other than additive identity 0 F
  • a i * represents an n + 1-dimensional basis vector whose elements are n + 1 elements of the cyclic group G 2 .
  • An example of the basis vector a i * has ⁇ 2 ⁇ g 2 ⁇ G 2 as the i-th element, and the remaining n elements are the unit elements of the cyclic group G 2 (additionally expressed as “0”). This is an n + 1-dimensional basis vector.
  • a 1 * ( ⁇ 2 ⁇ g 2 , 0,0, ..., 0)
  • kappa 2 is a constant consisting of elements of the finite field F q other than additive identity 0 F
  • i ⁇ j, e (a i , a j * ) does not include Pair ( ⁇ 1 ⁇ g 1 , ⁇ 2 ⁇ g 2 ), and Pair ( ⁇ 1 ⁇ g 1 , 0) This is the product of Pair (0, ⁇ 2 ⁇ g 2 ) and Pair (0,0).
  • e (a i , a j * ) g T ⁇ (i, j) ... (10)
  • the basis vector a i and the basis vector a i * are dual orthonormal basis
  • the vector space V and the vector space V * are a dual vector space [dual pairing vector space ( DPVS: Dual Paring Vector space)].
  • Each element ⁇ i, j of the matrix X is referred to as a conversion coefficient.
  • the matrix X * is,
  • each element ⁇ i, j * of the matrix X * is referred to as a conversion coefficient.
  • X ⁇ (X * ) T I is satisfied. That is, the identity matrix
  • b i b i represents an n + 1-dimensional basis vector having n + 1 elements of the cyclic group G 1 as elements.
  • b i * represents an n + 1-dimensional basis vector having n + 1 elements of the cyclic group G 2 as elements.
  • the base vector b i and the base vector b i * are dual orthonormal bases of the dual pairing vector space (vector space V and vector space V * ).
  • basis vectors a i and a i * other than those exemplified in equations (7) and (8), and those other than those exemplified in equations (20) and (22) The basis vectors b i and b i * may be used.
  • the matrix B is
  • w ⁇ (w 1, ..., w n ) ⁇ F q n ...
  • v ⁇ : v ⁇ represents an n-dimensional vector having elements of the finite field F q as elements.
  • v ⁇ (v 1, ..., v n ) ⁇ F q n ...
  • Enc is a common key encryption function that indicates encryption processing of a common key cryptosystem. Specific examples of the common key cryptosystem represent Camellia (registered trademark), AES, and the like.
  • Enc k (M): Enc k (M) represents a ciphertext obtained by encrypting plaintext M using a common key K and a common key encryption function Enc.
  • Dec represents a common key decryption function indicating a decryption process of the common key cryptosystem.
  • Dec k (C): Dec k (C) represents a decryption result obtained by decrypting the ciphertext C according to the common key decryption function Dec using the common key K.
  • Inner product predicate encryption Next, a basic configuration of inner product predicate encryption, which is a kind of function encryption, will be exemplified.
  • the function encryption is a method in which a ciphertext can be decrypted when a combination of information called “attribute information” and information called “predicate information” makes a truth value of a predetermined logical expression “true”. That is, in function encryption, one of “attribute information” and “predicate information” is embedded in the ciphertext, the other is embedded in the key information, and the attribute information corresponding to the first information that is the ciphertext or key information, and the key When the predicate information corresponding to the second information that is information or ciphertext is input to a predetermined function, a correct decryption result is generated when the function value becomes a predetermined value.
  • the inner product predicate encryption is a predicate encryption in which vectors having the same dimension are used as attribute information and predicate information, and when the inner product is 0, the ciphertext is decrypted.
  • the inner product predicate encryption the inner product is 0 and the logical expression is “true”. Note that the predicate encryption described in Reference 9 is also a kind of inner product predicate encryption.
  • a logical expression composed of a logical sum or logical product can be expressed by a polynomial f (x) by using the expressions (30) and (31).
  • the logical product is expressed using one indefinite element x, but the logical product can also be expressed using a plurality of indefinite elements.
  • polynomial f indicating the logical expression (x 0, ..., x H -1) is undefined original x h and a constant eta the indefinite source x h by a polynomial taking the difference between h is the constant eta h
  • the proposition that the proposition is express the logical sum of the propositions by the product of the polynomials that express the propositions, respectively, A product is expressed, and thereby a polynomial expressing a logical expression.
  • a polynomial f (x 0 ,..., X H ⁇ 1 ) indicating a logical expression can be expressed by an inner product of two n-dimensional vectors. That is, the polynomial f (x 0 , ..., x H-1 ) is a vector v ⁇ with the indefinite element of each term of the polynomial f (x 0 , ..., x H-1 ) as each element.
  • the polynomial f (x 0, ..., x H-1) showing a logical expression and whether it is 0, the polynomial f (x 0, ..., x H-1) indeterminate in terms of Whether or not the inner product of the vector v ⁇ with each component as the element and the vector w ⁇ with the coefficient component of each term of the polynomial f (x 0 , ..., x H-1 ) as each element is 0
  • Predicate information PRE: w ⁇ (w 1, ..., w n )... (43) It is.
  • One of the attribute information ATT and the predicate information PRE is embedded in the ciphertext, and the other is embedded in the key information.
  • Basic configuration example 1 is an example in which a key encapsulation mechanism KEM (Key Encapsulation Mechanisms) is configured by inner product predicate encryption.
  • KEM Key Encapsulation Mechanisms
  • a ciphertext corresponding to the predicate information PRE is generated, and key information corresponding to the attribute information ATT is generated.
  • Basic configuration example 1 includes Setup (1 k ), GenKey (MSK, w ⁇ ), Enc (PA, v ⁇ ), and Dec (SKw, C 1 , C 2 ).
  • 1-column matrix A, n + 1-by-n + 1-column matrix A * whose elements are basis vectors a i * (i 1, ..., n + 1), and n + for coordinate transformation A 1-row, n + 1-column matrix X, X * is selected.
  • GenKey (MSK, w ⁇ ): Generate key information >> -Input: Master secret information MSK, vector w ⁇ -Output: Key information D * corresponding to vector w ⁇
  • an element ⁇ F q is selected from a finite field F q .
  • G 2 it is difficult, it is difficult to w ⁇ ⁇ b ⁇ * and b n + 1 * component separation extracted from the key information D *.
  • Enc (PA, v ⁇ ) first, a common key K and a random number ⁇ 1 that is an element of a finite field F q are generated.
  • ciphertext C 1 Enc k (M) (46) Is generated, and ciphertext C 1 , ciphertext C 2, and common key K are output.
  • ⁇ 2 subscript means ⁇ 2.
  • Dec (SKw, C 1 , C 2 ) first, the ciphertext C 2 and the key information D 1 * are input to the bilinear map e in Expression (2). Then, from the properties of equations (3) and (24),
  • a common key K is generated and output.
  • the decryption result M Dec k (C 1 ) (49) Is calculated and output.
  • the basic configuration example 2 is also a basic configuration example when the key encapsulation mechanism KEM is configured using the inner product predicate encryption.
  • a ciphertext corresponding to the attribute information ATT is generated, and the predicate information PRE Key information corresponding to is generated.
  • This configuration includes Setup (1 k ), GenKey (MSK, v ⁇ ), Enc (PA, w ⁇ ), and Dec (SKv, C 1 , C 2 ).
  • the basic configuration example 2 has a configuration in which the vector v ⁇ and the vector w ⁇ in the basic configuration example 1 are reversed.
  • predicate encryption is used as function encryption.
  • the function encryption application system of the first to third embodiments includes a sender device (information output device) and a receiver device (information processing device), and includes attribute information ATT (first correspondence information) and predicate information PRE (second The protocol (protocol according to the function cryptosystem) that applies the predicate cryptosystem using the correspondence information) is executed.
  • identification information for identifying one or more types of protocols to which the predicate encryption method to be executed is applied is input to the identifier identification unit of the sender device.
  • the identifier specifying unit specifies an identifier for each protocol or each combination of protocols according to a rule defined for each protocol or each combination of protocols specified by the specifying information, and specifies one or more types of the specified identifiers Is output.
  • each type of protocol that applies the predicate encryption method defines the type of attribute information ATT to be used for it (in other words, the nature of the attribute information ATT).
  • the rule specifies an identifier that defines a type of attribute information ATT to be used for a protocol specified by the specific information or a combination of the protocols.
  • the protocol is a Timed-Release cryptographic protocol
  • the rule is a rule that uses information for identifying a time point in the future from the generation time of the first information as an identifier
  • the protocol is a Forward-Secure cryptographic protocol or a Key-Insulated.
  • the rule is a rule that uses as an identifier a time interval including the generation time of the first information or information specifying a time interval in the future from the generation time of the first information.
  • the rule in the case of a secure encryption protocol is a rule that uses information for specifying disposable information that is newly set every time the first information is generated as an identifier
  • the rule in the case that the protocol is a keyword search encryption protocol is This is a rule in which information for specifying a database search keyword is used as an identifier.
  • the one or more types of identifiers specified by the identifier specifying unit are input to the attribute information setting unit of the sender device.
  • the attribute information setting unit sets one attribute information ATT (specific first correspondence information) determined for one type of the identifier or a combination of two or more types of the identifier, and outputs the set attribute information ATT.
  • the output unit of the sender device corresponds to the attribute information ATT obtained by inputting the attribute information ATT output from the attribute information setting unit to the encryption function or key generation function of the predicate encryption method. First information that is ciphertext or key information of the predicate encryption method is output.
  • the first information and the second information read from the storage unit are input to the decryption unit of the receiver device.
  • the second information is predicate encryption key information or ciphertext. If the first information is ciphertext corresponding to the attribute information ATT, the second information is predicate information PRE (specific second correspondence information). ) And the first information is key information corresponding to the attribute information ATT, the second information is a ciphertext corresponding to the predicate information PRE (specific second correspondence information).
  • the predicate information PRE and any one attribute information ATT are input to a predetermined function, the predicate information PRE has a function value of the function determined in advance for one or more types of attribute information ATT. It is information that becomes the value.
  • the examples of the attribute information ATT and the predicate information PRE are vectors having the same dimension
  • the example of the predetermined function is a function for calculating the inner product of the attribute information ATT and the predicate information PRE.
  • An example of the predetermined value is 0 (zero element).
  • the decryption unit of the receiver device inputs the first information and the second information to the decryption function of the predicate encryption method, executes the decryption process, and outputs the decryption result obtained thereby.
  • the decryption function of the predicate encryption method has a predetermined function value when the attribute information ATT corresponding to the first information and the predicate information PRE corresponding to the second information are input to the predetermined function. In this case, the function generates a correct decoding result. In other words, it is a function that generates a correct decoding result when the truth value of the logical expression corresponding to the combination of the attribute information ATT corresponding to the first information and the predicate information PRE corresponding to the second information is true.
  • a function value when the attribute information ATT corresponding to the first information and the predicate information PRE corresponding to the second information are input to a predetermined function is a predetermined value.
  • a correct decoding result is generated.
  • the attribute information ATT is information determined for one type of identifier or a combination of two or more types of identifiers, and the predicate information PRE and any one of the attribute information ATT are input to a predetermined function.
  • the function value of the function is a predetermined value for one or more types of attribute information ATT. That is, in the first to third embodiments, the same second information can be shared for one or more types of first information, and correct decoding can be performed.
  • the receiver device is switched. It is not necessary to generate the second information separately for each protocol to be used. That is, even if only one type of second information corresponding to one type of predicate information PRE is stored in the storage unit of the receiver device, the receiver device can select one or more selected protocols or combinations of protocols. Can correspond to the first information. As a result, in the first to third embodiments, the protocol can be switched according to the selected identifier without requiring complicated processing.
  • Such an effect is that, when all the predicate information PRE and the predicate information PRE and any one of the attribute information ATT are input to a predetermined function, the function information of two or more types of attribute information ATT is obtained. This is particularly large when the function value is a predetermined value.
  • the above-described logical expression includes a logical sum, when the predicate information PRE and any one of the attribute information ATT are input to a predetermined function, the function of the function with respect to two or more types of attribute information ATT. The value becomes a predetermined value “0” (zero element).
  • the degree of freedom in combining the protocols is high. That is, in the first to third embodiments, the function value when the attribute information ATT corresponding to the first information and the predicate information PRE corresponding to the second information are input to a predetermined function is a predetermined value. A correct decoding result is generated. A combination of two or more types of protocols corresponds to a combination of identifiers, and a combination of the identifiers corresponds to attribute information ATT. However, if the function value is a predetermined value, the combination method of the identifiers is limited. There is no.
  • a hierarchical ID-based encryption method applying the ID-based encryption method for example, Reference 10 “C. Gentry, A. Silverberg,“ Hierarchical ID-based cryptography, ”Proceedings of ASIACRYPT 2002, Lecture Notes in Computer Science , Springer-Verlag, 2002. ”etc.
  • the combination of protocols is limited. That is, in the hierarchical ID-based encryption method, the combination of a plurality of identifiers corresponding to a plurality of protocols is limited. That is, in the hierarchical ID-based encryption method, a new identifier generated by a combination of a plurality of identifiers needs to form a tree structure, and the new identifier must always include its parent identifier.
  • ID2 of the identifier ID1 and the identifier ID2 is a new identifier
  • ID3 the combination of the identifier ID1, the identifier ID2, and the identifier ID3 is set as a new identifier ID1
  • the combination of identifier ID1 and identifier ID3 cannot be a new identifier ID1
  • the sender device switches whether the attribute information ATT is input to the predicate encryption function or the attribute information ATT is input to the predicate encryption key generation function.
  • the first switching unit is further included, and the receiver device inputs the predicate information PRE to the key generation function of the predicate encryption method according to the protocol specified by the specific information, or encrypts the predicate information PRE in the predicate encryption method You may further have the 2nd switching part which switches whether a function is input. This expands the range of protocol selection.
  • some areas of the attribute information ATT and the predicate information PRE may be set as spare areas whose usage is not determined.
  • the attribute information ATT and the predicate information PRE are vectors having the same dimensions, and the system can perform correct decoding when the inner product of the attribute information ATT and the predicate information PRE is 0, at least a part of the attribute information ATT Is a vector in which the values of some elements (preliminary areas) are fixed in advance, and is a vector in which the values of some elements (preliminary areas) in the predicate information PRE are fixed in advance, and the reserved areas of the attribute information ATT And the position of the spare area of the predicate information PRE are equal to each other, and the inner product of the vector consisting of the element of the spare area of the attribute information ATT and the vector of the spare area element of the predicate information PRE is the specific information It may be set to be 0 regardless of the value. As a result, even if it is necessary to increase the number of selectable protocols or increase the poly
  • the first information corresponding to the attribute information ATT including the spare area is updated after some value is put in the spare area. It is upward compatible with the first information. That is, even if the attribute information ATT and the predicate information PRE are updated by giving some value to the spare area of the attribute information ATT and the predicate information PRE, if correct decoding is performed before the update, Correct decoding is performed by the first information corresponding to the attribute information ATT and the second information corresponding to the updated predicate information PRE. This is because the inner product between the spare areas of the attribute information ATT and the predicate information PRE is 0 regardless of the value put in the spare area of the updated predicate information PRE. For the same reason, when all the values of the spare area of the predicate information PRE are set to 0, the second information corresponding to the predicate information PRE including the spare area is updated after some value is put in the spare area. Has upward compatibility with the second information.
  • the attribute information ATT including the reserved area is supported.
  • the first information to be updated has upward compatibility with the updated first information in which some value is entered in the spare area, but the second information corresponding to the predicate information PRE including the spare area is the spare information. There is no upward compatibility with the updated second information in which some value is entered in the area.
  • the predicate information PRE including the spare area is associated.
  • the second information has upward compatibility with the updated second information in which some value is entered in the spare area, but the first information corresponding to the attribute information ATT including the spare area is the spare area. Is not compatible with the updated first information in which some value is entered. Thus, the upward compatibility before and after the update can be changed according to how the value of the spare area is set.
  • some of the elements of the attribute information ATT and predicate information PRE are not reserved areas, but a logical expression that partially includes the logical product of propositions set to be true in advance regardless of the value of the specific information Attribute information ATT and predicate information PRE corresponding to can be set. Then, the logical expression is updated by replacing the proposition set to be true in advance regardless of the value of the specific information with a proposition that is true or false depending on the value of the specific information.
  • the attribute information ATT and the predicate information PRE corresponding to the logical expression may be used as new attribute information ATT and predicate information PRE.
  • the first information is ciphertext corresponding to the attribute information ATT
  • the second information is key information corresponding to the predicate information PRE
  • the sender device performs encryption
  • the receiver device decrypts It is the form which performs.
  • Such a form can be applied, for example, when the protocol to which the predicate encryption method is applied is the Timed-Release encryption protocol, the Forward Secure encryption protocol, the Key Insulated encryption protocol, the CCA2 secure encryption protocol, or a combination thereof.
  • FIG. 1 is a block diagram for explaining the overall configuration of the function encryption application system 1 of the first embodiment.
  • the function encryption application system 1 of this embodiment includes a sender device 110 (information output device), a receiver device 120 (information processing device), and a key generation device 130 connected to a network 140.
  • a sender device 110 information output device
  • a receiver device 120 information processing device
  • a key generation device 130 connected to a network 140.
  • FIG. 1 shows one sender device 110, one recipient device 120, and one key generation device 130, but two or more sender devices 110, recipient devices 120, and so on. There may be a key generation device 130.
  • FIG. 2 is a block diagram for explaining the configuration of the sender apparatus 110 of FIG.
  • the sender apparatus 110 of this embodiment includes a temporary memory 111a, storage units 111b and 111c, an input unit 112, a control unit 113, an identifier specifying unit 114a, and an attribute information setting unit 114b ( A correspondence information setting unit), an encryption unit 114c, and a communication unit 115.
  • the sender device 110 is executed by a special program loaded into a known or dedicated computer having a CPU (central processing unit), RAM (random-access memory), ROM (read-only memory), and the like. It is a special device composed of That is, the control unit 113, the identifier specifying unit 114a, the attribute information setting unit 114b, and the encryption unit 114c are, for example, processing units configured by the CPU executing a predetermined program. Further, at least a part of the processing unit of the sender device 110 may be an integrated circuit.
  • the temporary memory 111a and the storage units 111b and 111c are storage areas including, for example, an auxiliary storage device such as a RAM, a register, a cache memory, an element in an integrated circuit, a hard disk, or a combination of at least a part thereof.
  • the input unit 112 is, for example, a keyboard, a mouse, an input port, and the like
  • the communication unit 115 is a communication device, such as a modem or a LAN card.
  • the sender device 110 executes each process under the control of the control unit 113.
  • data output from each processing unit of the sender device 110 and data received by the communication unit 115 are stored in the temporary memory 111a one by one.
  • the data stored in the temporary memory 111a is read out as necessary, is input to each processing unit of the sender device 110, and is used for the processing.
  • FIG. 3 is a block diagram for explaining the configuration of the recipient device 120 of FIG.
  • the recipient device 120 of this embodiment includes a temporary memory 121a, a storage unit 121b, a control unit 123, an identifier specifying unit 124a, a polynomial generation unit 124b, a predicate information generation unit 124c, A key generation processing unit 124d, a decryption unit 124e, and a communication unit 125 are included.
  • a temporary memory 121a a storage unit 121b
  • a control unit 123 an identifier specifying unit 124a
  • a polynomial generation unit 124b a predicate information generation unit 124c
  • a key generation processing unit 124d, a decryption unit 124e, and a communication unit 125 are included.
  • two blocks showing the communication unit 125 are shown in FIG. 3, but this does not mean that two separate communication units 125 are required.
  • the recipient device 120 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like. That is, the control unit 123, the identifier specifying unit 124a, the polynomial generation unit 124b, the predicate information generation unit 124c, the key generation processing unit 124d, and the decryption unit 124e are, for example, processing units configured by the CPU executing a predetermined program It is. Further, at least a part of the processing unit of the recipient device 120 may be an integrated circuit.
  • the temporary memory 121a and the storage unit 121b are, for example, a RAM, a register, a cache memory, an auxiliary storage device such as an element in an integrated circuit or a hard disk, or a storage area formed by a combination of at least a part thereof.
  • the communication unit 115 is a communication device such as a modem or a LAN card, for example.
  • the recipient device 120 executes each process under the control of the control unit 123.
  • data output from each processing unit of the recipient device 120 and data received by the communication unit 125 are stored in the temporary memory 121a one by one.
  • the data stored in the temporary memory 121a is read out as necessary, is input to each processing unit of the recipient device 120, and is used for the processing.
  • FIG. 4 is a block diagram for explaining the configuration of the key generation device 130 of FIG.
  • the key generation device 130 includes a temporary memory 131a, a storage unit 131b, a control unit 133, a key generation unit 134, and a communication unit 135.
  • the key generation device 130 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like. That is, the control unit 133 and the key generation unit 134 are, for example, processing units configured by the CPU executing a predetermined program. Further, at least a part of the processing unit of the key generation device 130 may be an integrated circuit.
  • the temporary memory 131a and the storage unit 131b are, for example, a RAM, a register, a cache memory, an auxiliary storage device such as an element in an integrated circuit or a hard disk, or a storage area composed of a combination of at least a part thereof.
  • the communication unit 135 is a communication device such as a modem or a LAN card, for example.
  • the key generation device 130 executes each process under the control of the control unit 133.
  • data output from each processing unit of the key generation device 130 and data received by the communication unit 135 are stored in the temporary memory 131a one by one.
  • the data stored in the temporary memory 131a is read out as necessary, is input to each processing unit of the key generation device 130, and is used for the processing.
  • FIG. 5A and FIG. 5B are diagrams illustrating the correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the first embodiment.
  • one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. The combination of specific information PI corresponding to each protocol is specified.
  • specific information PI is assigned for each protocol, and specific information PI is also assigned to a combination of two or more protocols.
  • specific information PI is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. Specific information PI corresponding to the combination of protocols is specified.
  • FIG. 6A, FIG. 6B, and FIG. 7 are diagrams for explaining an example of a rule for specifying an identifier ID (h) that is defined for each protocol or each combination of protocols in the first embodiment. .
  • an identifier ID (h) is assigned for each selectable protocol.
  • the identifier ID (h) assigned to the selected protocol is input with a value according to the rules defined for that protocol. For example, when the Timed-Release encryption protocol is selected, information (date and time, count value, etc.) specifying a future time point is input to the identifier ID (0).
  • An example of the “future time point” is a time point in the future than the generation time point of the first information.
  • identifier ID (1) a unique period (e-mail address, telephone number, MAC address, etc.) of the recipient device 120 or its user and a time interval including the current time point A value (bit combination value, etc.) determined by a combination with (date time interval, count value interval, etc.) is input to identifier ID (1) and identifier ID (2).
  • An example of “current time” is the generation time of the first information.
  • disposable information random number
  • a constant (const.) Is input to the identifier ID (h) assigned to the protocol that was not selected. For example, when only the Timed-Release encryption protocol is selected, information specifying a future time point is input to the identifier ID (0), and other identifiers ID (1), ID (2), ID (3) A constant (const.) Is input to. Examples of constants (const.) Are 0 and 1. Note that the constants (const.) Input to each identifier ID (h) may be the same value or different values.
  • the value of the identifier ID (h) is determined on the assumption that a plurality of protocols constituting the combination are selected. For example, when a combination of the Forward Secure encryption protocol and the CCA2 secure encryption protocol is selected, a value determined by a combination of the unique identifier of the receiver device 120 or the user and the time interval including the current time point is an identifier ID ( 1), disposable information is input to the identifier ID (3), and a constant (const.) Is input to the other identifiers ID (0) and ID (2).
  • the identifier ID (h) is assigned only to the selected protocol. For example, when only the Timed-Release encryption protocol is selected, only an identifier ID (0) indicating information specifying a future time point is assigned. In addition, for example, when a combination of the Forward Secure encryption protocol and the CCA2 secure encryption protocol is selected, a value determined by a combination of a unique identifier of the receiver device 120 or the user and a time interval including the current time point is indicated. Only an identifier ID (1) and an identifier ID (3) indicating disposable information are assigned.
  • an identifier ID (h) is assigned for each selectable protocol and protocol combination.
  • a value according to each rule defined for each protocol constituting the selected protocol or combination is input, and the protocol not selected
  • a constant (const.) Is input to the identifier ID (h) assigned to the combination.
  • the value determined by the combination of the unique identifier of the recipient device 120 or the user, the time interval including the current time point, and the disposable information is A constant (const.) Is input to the identifier ID (5) and the other identifier ID (h).
  • the above-described identifier determination method is merely an example, and the identifier may be specified by other methods.
  • the identifier ID (h) may be assigned only to the selected protocol and the combination of protocols.
  • one identifier may be constituted by a combination (for example, bit combination) of each identifier ID (h) obtained as described above.
  • Attribute information (first correspondence information)] 8A and 9A are diagrams for explaining an example of an attribute information table for specifying one attribute information ATT for one type of identifier ID (h) or a combination of two or more types of identifier ID (h). 8B and 9B are diagrams for explaining the data structure of the attribute information ATT determined by the attribute information table.
  • ⁇ (v 0, ..., v n-1 ) is attribute information ATT (see equation (42), etc.).
  • the dimension n of the attribute information ATT is the maximum number of terms (including constant terms) allowed for the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • 8A and 9A the indefinite element component of each term, the element value corresponding to each indefinite element component, and the element number corresponding to each element are associated with each other.
  • each number described in FIG. 8B and FIG. 9B shows the element number of FIG. 8A and FIG. 9A, respectively, and the position of each number described in FIG. 8B and FIG. An element value corresponding to the element number is arranged.
  • the polynomial f (x 0 , x 1 , x 2 , x 3 ) does not allow a term containing an indefinite power
  • the maximum value of the indeterminate component is x 0 ⁇ x 1 ⁇ x 2 ⁇ x 3 , x 0 ⁇ x 1 ⁇ x 2 , x 0 ⁇ x 1 ⁇ x 3 , x 0 ⁇ x 2 x 3 , ..., ⁇ x 0 ⁇ 0 , ⁇ x 1 ⁇ 0 , ⁇ x 2 ⁇ 0 , ⁇ x 3 ⁇ 0 .
  • a vector v ⁇ (v 0,... Having elements obtained by substituting identifiers ID (0),..., ID (3) for these 16 types of indefinite elements . , v n-1 ) is attribute information ATT.
  • the identifier ID (h) is assigned only to the selected protocol or combination of protocols, the unassigned identifier ID (h) is set as a constant (for example, 0 or 1). What is necessary is just to substitute each identifier for a component.
  • a constant for example, 0 or 1
  • the identifier ID (h) is assigned to the indeterminate original x h, ID (0) ⁇ ID (1) ⁇ ID (2) ⁇ ID (3), ID (0) ⁇ ID (1) ⁇ ID (2), ID (0) ⁇ ID (1) ⁇ ID (3), ID (0) ⁇ ID (2) ⁇ ID (3), ..., ⁇ ID (0) ⁇ 0 ⁇ ⁇ ID ( 1) ⁇ 0 • ⁇ ID (2) ⁇ 0 • ⁇ ID (3) ⁇
  • v ⁇ (v 0, ..., v n-1 ) with 0 as an element is attribute information ATT. Is done.
  • a vector v ⁇ (v 0,..., Each element having a value obtained by assigning each identifier ID (0),. v n-1 ) is attribute information ATT.
  • the identifier ID (h) is substituted for the indefinite source x h. Further, as shown in FIG.
  • the unassigned identifier ID (h) is set as a constant (for example, 0 or 1). What is necessary is just to substitute each identifier for a component.
  • the method for generating the attribute information ATT shown in FIGS. 8 and 9 is merely an example, and the type of the indefinite element may be other than 4, or the polynomial f (x 0 ,..., X H ⁇ 1 ). A term including a power of 3 or more of the indefinite element may be allowed. Further, the attribute information ATT has a polynomial f (x 0 ,..., X H ⁇ , such that a term including the square of a specific indefinite element is allowed but a term including the square of another indefinite element is not allowed. The configuration may not include an element corresponding to an indefinite element component that is not allowed in 1 ).
  • each logical expression ( ⁇ ID (0) (ID (1) ⁇ ⁇ ID (3), etc.) of identifier ID (h) or identifier ID (h) corresponds to attribute information ATT corresponding to the logical expression.
  • the attached table may be an attribute information table.
  • Predicate information (second correspondence information)] 10A and 11A are diagrams for explaining an example of the predicate information PRE corresponding to the polynomial f (x 0 ,..., X H-1 ), respectively, and FIGS. It is a figure for demonstrating the data structure of the information PRE.
  • a vector w ⁇ (w 0, ..., w n having the coefficient components of each term of the polynomial f (x 0 , ..., x H-1 ) representing the above-described logical expression as elements. -1 ) is predicate information PRE (see equation (43), etc.).
  • the dimension n of the predicate information PRE is the maximum value of the number of terms (including constant terms) allowed for the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • 10A and 11A the indefinite element component of each term, the element value that is the coefficient component of each term corresponding to each indefinite element component, and the element number corresponding to each element are associated with each other.
  • each number described in FIGS. 10B and 11B indicates an element number in FIGS. 10A and 11A, respectively, and the position of each number described in FIGS. 10B and 11B has FIGS. 10A and 11A.
  • the element value corresponding to the element number is arranged.
  • ID ′ (1), ID ′ (2), and ID ′ (3) are identifiers defined by rules corresponding to the respective protocols as described above, and the polynomial f (x 0 , ID ′ (2), and ID
  • ID '(1), ID' (2), and ID '(3) are identifiers defined by rules corresponding to the Forward Secure cryptographic protocol, Key Insulated cryptographic protocol, and CCA2 secure cryptographic protocol, respectively.
  • the polynomial f (x 0 , x 1 , x 2 , x 3 ) in Equation (52) is a logical expression that is true for the combination of the Forward Secure cryptographic protocol or Key Insulated cryptographic protocol and the CCA2 secure cryptographic protocol. Correspond.
  • the element with element number 8 is ⁇ 0
  • the element with element number 12 is - ⁇ 0 • ID '(2)
  • the element with element number 13 is - ⁇ 0 • ID' (1)
  • the element of number 14 is ⁇ 1
  • the element of element number 15 is ⁇ 0 ⁇ ID '(1) ⁇ ID' (2) - ⁇ 1 ⁇ ID '(3)
  • the other elements are 0.
  • the vector w ⁇ becomes predicate information PRE.
  • the inner product with ATT is 0.
  • ID ′ (1) and ID ′ (3) are identifiers defined by rules corresponding to the Forward Secure cryptographic protocol and the CCA2 secure cryptographic protocol, respectively, the polynomial f (x 0 , x 1 , x 2 , x 3 ) correspond to a combination of the Forward Secure cryptographic protocol and the CCA2 secure cryptographic protocol, or a logical expression that is true for the CCA2 secure cryptographic protocol.
  • the element of element number 9 is ⁇ 0
  • the element of element number 12 is - ⁇ 0 • ID '(3)
  • the element of element number 14 is - ⁇ 0 • ID' (1) -2 • ⁇ 1 ⁇ ID '(3)
  • the element with element number 15 is ⁇ 0 ⁇ ID' (1) ⁇ ID '(3) + ⁇ 1 ⁇ ⁇ ID' (3) ⁇ 2
  • the element with element number en is
  • the inner product with ATT is 0.
  • the generation method of the predicate information PRE in FIGS. 10 and 11 is merely an example, and the type of the indefinite element may be other than 4, and the indefinite element may be represented in the polynomial f (x 0 ,..., X H ⁇ 1 ).
  • a term including a power of 3 or more of may be allowed.
  • a configuration may be adopted in which some indeterminate components are not allowed, such as a term including the square of a specific indefinite element is allowed but a term including the square of another indefinite element is not allowed.
  • not only one predicate information PRE in which the inner product with one attribute information ATT is 0, but even if the predicate information PRE in which the inner product with the desired attribute information ATT is 0 is set by a method other than the above. Good.
  • the plaintext Mt to be encrypted is stored in the storage unit 111c of the sender device 110.
  • the value of the identifier ID ′ (h) constituting the logical expression is not specified, and the predicate information PRE is determined by determining the value of the identifier ID ′ (h).
  • Predicate encryption master secret information MSK is stored in the storage unit 131b of the key generation device 130 of this embodiment.
  • FIG. 12A is a flowchart for explaining the encryption processing according to the first embodiment.
  • FIG. 12B is a flowchart for explaining key information generation processing according to the first embodiment.
  • FIG. 13 is a flowchart for explaining the decoding process of the first embodiment.
  • identification information PI for identifying one or more types of protocols to which the predicate encryption method to be executed is applied is input to the input unit 112 of the sender device 110 (FIG. 2) ( Step S111). For example, if the specific information PI is determined as shown in FIG. 5A, specific information PI corresponding to one type of protocol selected by the user, or specific corresponding to two or more types of protocols selected by the user, respectively. A combination of information PI is input to the input unit 112. For example, if the specific information PI is determined as shown in FIG. 5B, the specific information PI corresponding to one type of protocol selected by the user or two or more types of protocol is input to the input unit 112.
  • the specific information PI input to the input unit 112 is input to the identifier specifying unit 114a.
  • the identifier specifying unit 114a uses an identifier ID for each protocol or each combination of protocols in accordance with a rule defined for each protocol or each combination of protocols specified by the specific information PI (see FIGS. 6 and 7). (h) is specified, and the specified one or more types of identifier ID (h) are output (step S112).
  • the one or more types of identifier ID (h) output from the identifier specifying unit 114a are input to the attribute information setting unit 114b.
  • the attribute information setting unit 114b uses an attribute information table (see FIG. 8, FIG. 9, etc.) stored in the storage unit 111b to store one type of the identifier ID (h) or two or more types of the identifier ID (h).
  • One attribute information ATT determined for the combination is set, and the set attribute information ATT is output (step S113).
  • the attribute information ATT output from the attribute information setting unit 114b is input to the encryption unit 114c.
  • the encryption unit 114c reads the plaintext Mt from the storage unit 111c, inputs the attribute information ATT and the plaintext Mt to the encryption function of the predicate encryption method, and generates a ciphertext Ct of the plaintext Mt (step S114).
  • An example of the encryption function of the predicate encryption method is the above-described equations (45) and (46).
  • the generated ciphertext Ct is sent to the communication unit 115.
  • the communication unit 115 (output unit) transmits the ciphertext Ct (first information) to the recipient device 120 via the network 140 (step S115).
  • the communication unit 125 of the recipient device 120 receives the ciphertext Ct (first information) (step S121).
  • the identifier specifying unit 124a performs a logical expression predetermined by the above-described receiver device 120 in accordance with a rule determined for each protocol or each combination of protocols according to a rule determined for each protocol or each combination of protocols.
  • One or more kinds of identifiers ID ′ (h) used in the above are specified (step S122).
  • This rule is the same as the rule for specifying the identifier ID (h) by the identifier specifying unit 114a of the sender device 110.
  • One or more types of identifiers ID ′ (h) specified by the identifier specifying unit 124a are input to the polynomial generating unit 124b.
  • the polynomial generator 124b uses the identifier ID '(h) to determine the value of the identifier ID' (h) that constitutes a logical expression predetermined by the receiver device 120 described above, and sets the logical expression determined thereby.
  • a corresponding polynomial f (x 0 , ..., x H-1 ) is generated (see, for example, the equations (52) and (53)), and the generated polynomial f (x 0 , ..., x H-1 ) is generated. Is output (step 123).
  • the polynomial f (x 0 ,..., X H ⁇ 1 ) output from the polynomial generation unit 124b is input to the predicate information generation unit 124c.
  • ⁇ 1 is generated as predicate information PRE (see, for example, FIGS. 10 and 11), and the predicate information PRE is output (step S124).
  • the predicate information PRE output from the predicate information generation unit 124c is input to the key generation processing unit 124d.
  • the key generation processing unit 124d transmits the predicate information PRE from the communication unit 125 to the key generation device 130 via the network 140, and requests generation of key information SKr corresponding to the predicate information PRE (step S125).
  • the communication unit 135 of the key generation device 130 receives the predicate information PRE (step S131).
  • the predicate information PRE received by the communication unit 135 is input to the key generation unit 134.
  • the key generation unit 134 reads the master secret information MSK from the storage unit 131b, inputs the master secret information MSK and the predicate information PRE to the key generation function of the predicate encryption method, and generates key information SKr corresponding to the predicate information PRE.
  • An example of the key generation function is the function of Expression (44).
  • the generated key information SKr is sent to the communication unit 135, and the communication unit 135 transmits the key information SKr to the recipient device 120 via the network 140 (step S133).
  • the communication unit 125 of the recipient device 120 receives the transmitted key information SKr and sends it to the key generation processing unit 124d.
  • the key generation processing unit 124d stores the key information SKr (second information) in the storage unit 121b (step S126).
  • the ciphertext Ct (first information) received by the communication unit 125 in step S121 and the key information SKr (second information) read from the storage unit 121b are input to the decryption unit 124e.
  • the decryption unit 124e inputs the ciphertext Ct (first information) and the key information SKr (second information) to the decryption function of the predicate encryption method, executes decryption processing, and outputs the decryption result Mr obtained thereby.
  • An example of the decryption function is Expressions (47) to (49).
  • the function value when the attribute information ATT corresponding to the ciphertext Ct (first information) and the predicate information PRE corresponding to the key information SKr (second information) are input to a predetermined function is determined in advance.
  • a predetermined value for example, when the inner product of the attribute information ATT and the predicate information PRE is 0
  • a protocol and a combination of protocols used by the sender apparatus 110 can be selected, and a ciphertext protocol and a protocol combination condition that can be decrypted by the receiver apparatus 120 are set. Can do. Then, only when the protocol or combination of protocols selected by the sender device 110 matches the conditions set in the receiver device 120, the receiver device 120 can correctly decrypt the transmitted ciphertext.
  • the ciphertext protocol that can be decrypted by the recipient apparatus 120 and the condition of the protocol combination can be set by freely combining logical sums and logical products. In particular, if a condition including a logical sum is set in the receiver apparatus 120, it is not necessary for the receiver apparatus 120 to use different key information according to the protocol selected by the sender apparatus 110 or the like.
  • FIG. 14A, FIG. 14B, FIG. 15A, and FIG. 15B are diagrams for explaining an example in which some areas of the attribute information ATT and the predicate information PRE are used as spare areas.
  • the attribute information ATT and the predicate information PRE are vectors having the same dimensions, and correct decoding can be performed when the inner product of the attribute information ATT and the predicate information PRE is 0.
  • the spare area is illustrated.
  • the values of the element numbers 0, ..., 4 (spare area) of the attribute information ATT are constants const. (0), ..., const, respectively. . (4)
  • the values of the element numbers 0, ..., 4 (preliminary areas) of the predicate information PRE are constants const. '(0), ..., const.' (4) It is said.
  • spare areas are specified by the inner product of the vector consisting of elements with element numbers 0, ..., 4 in the attribute information ATT and the vector consisting of elements with element numbers 0, ..., 4 in the predicate information PRE. It is set to 0 regardless of the PI value.
  • the constants const. (0), ..., const. (4) may all be 0, or the constants const. '(0), ..., const.' (4) are all 0 There may be, and the constants const. (0), ..., const. (4) are all 0 and some of the constants const. '(0), ..., const.' (4) are 0 , And the constants const.
  • '(0), ..., const.' (4) are all 0, and one of the constants const. (0), ..., const. (4)
  • 16 to 18 show a case where attribute information ATT and predicate information PRE corresponding to a logical expression partially including a logical product of propositions set to be true in advance is set regardless of the value of the specific information PI. It is a figure for demonstrating an example.
  • the identifier ID (3) is the unused identifier, the logical product of the values in advance true become so configured propositions Regardless of the specific information PI "undefined original x 3 is ID (3)" Is set to attribute information ATT and predicate information PRE corresponding to a logical expression including a part thereof.
  • the identifier ID (3) and the identifier ID ′ (3) are set to the same constant (const.) Regardless of the value of the specific information PI, and the attribute information ATT and the predicate as described above.
  • information PRE is set.
  • the proposition "undefined original x 3 is ID (3)" is true regardless of the value of the specific information PI.
  • the inner product of the attribute information ATT in FIGS. 17A and 17B and the predicate information PRE in FIGS. 18A and 18B is true regardless of the value of the specific information PI.
  • the attribute information ATT and the predicate information PRE are updated by inputting a value corresponding to the specific information PI into the identifier ID (3). Can do.
  • the first information is key information corresponding to the attribute information ATT
  • the second information is ciphertext corresponding to the predicate information PRE
  • the sender apparatus outputs the key information
  • the receiver apparatus This is a form in which the stored ciphertext is decrypted.
  • the protocol applying the predicate encryption method is, for example, the Keyword search encryption protocol, or a combination of the Keyword search encryption protocol and the Forward Secure encryption protocol, the Key Insulated encryption protocol, or the CCA2 secure encryption protocol. Applicable in certain cases. Below, it demonstrates centering around difference with 1st Embodiment, and simplifies description about the matter which is common in 1st Embodiment.
  • FIG. 19 is a block diagram for explaining the overall configuration of the function encryption application system 2 according to the second embodiment.
  • the function cryptographic application system 2 of this embodiment includes a sender device 210 (information output device), a receiver device 220 (information processing device), and a key generation device 130 connected to a network 140.
  • FIG. 19 shows one sender device 210, one recipient device 220, and one key generation device 130, but two or more sender devices 210, two recipient devices 220, There may be a key generation device 130.
  • FIG. 20 is a block diagram for explaining the configuration of the sender apparatus 210 of FIG.
  • parts common to the first embodiment are denoted by the same reference numerals as in the first embodiment, and description thereof will be omitted (the same applies hereinafter).
  • the sender device 210 of this embodiment includes a temporary memory 111a, storage units 111b and 211d, an input unit 112, a control unit 113, an identifier specifying unit 114a, and an attribute information setting unit 114b.
  • the key generation processing unit 214d and the communication unit 115 are included.
  • the sender device 210 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the key generation processing unit 214d is a processing unit or an integrated circuit configured by the CPU executing a predetermined program
  • the storage unit 211d is a RAM, a register, a cache memory, an element in the integrated circuit, or a hard disk Or a storage area comprising a combination of at least a part of them.
  • FIG. 21 is a block diagram for explaining the configuration of the recipient device 220 of FIG.
  • the recipient device 220 of this embodiment includes a temporary memory 121a, storage units 221b and 221c, a control unit 123, an identifier specifying unit 124a, a polynomial generation unit 124b, and a predicate information generation unit 124c.
  • the receiver device 220 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the encryption unit 224d is a processing unit or an integrated circuit configured by the CPU executing a predetermined program
  • the storage units 221b and 221c are RAM, registers, cache memory, elements in the integrated circuit, or It is an auxiliary storage device such as a hard disk, or a storage area composed of a combination of at least some of these.
  • FIG. 22A and FIG. 22B are diagrams exemplifying the correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the second embodiment.
  • one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. The combination of specific information PI corresponding to each protocol is specified.
  • specific information PI is assigned for each protocol, and specific information PI is also assigned to a combination of two or more types of protocols.
  • specific information PI is specified, when one of the protocols is selected alone, one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. Specific information PI corresponding to the combination of protocols is specified.
  • FIG. 23A, FIG. 23B, and FIG. 24 are diagrams for explaining an example of a rule for specifying an identifier ID (h) that is defined for each protocol or each combination of protocols in the second embodiment. is there.
  • an identifier ID (h) is assigned for each selectable protocol.
  • the identifier ID (h) assigned to the selected protocol is input with a value according to the rules defined for that protocol. For example, when the Keyword search encryption protocol is selected, a search keyword is input to the identifier ID (0). On the other hand, a constant (const.) Is input to the identifier ID (h) assigned to the protocol that has not been selected.
  • the value of the identifier ID (h) is determined on the assumption that a plurality of protocols constituting the combination are selected.
  • the search keyword is input to the identifier ID (0)
  • the disposable information is input to the identifier ID (3)
  • other identifiers A constant (const.) Is input to ID (1) and ID (3).
  • the identifier ID (h) is assigned only to the selected protocol. For example, when the Keyword search encryption protocol is selected, only the identifier ID (0) indicating the search keyword is assigned. Also, for example, when a combination of the Keyword search encryption protocol and the CCA2 secure encryption protocol is selected, only an identifier ID (0) indicating a search keyword and an identifier ID (3) indicating disposable information are assigned. .
  • an identifier ID (h) is assigned for each selectable protocol and protocol combination.
  • a value according to each rule defined for each protocol constituting the selected protocol or combination is input, and the protocol not selected
  • a constant (const.) Is input to the identifier ID (h) assigned to the combination.
  • a value determined by the combination of the search keyword and the disposable information is input to the identifier ID (3), and the other identifier ID (h ) Is a constant (const.).
  • the above-described identifier determination method is merely an example, and the identifier may be specified by other methods.
  • the identifier ID (h) may be assigned only to the selected protocol and the combination of protocols.
  • one identifier may be constituted by a combination (for example, bit combination) of each identifier ID (h) obtained as described above.
  • FIG. 25 is a diagram for explaining an example of the encrypted DB according to the second embodiment.
  • Mr1 to Mr99 are search target information such as documents
  • KWr1 to KWr9 are keywords such as words
  • True is data such as “1” meaning “true”.
  • C (Mr1),..., C (Mr99) are ciphertexts of the search target information Mr1 to Mr99, respectively.
  • the ciphertext C (Mr1),..., C (Mr99) may be encrypted using any method such as a common key encryption method, a public key encryption method, an ID-based encryption method, and a predicate encryption method.
  • Cr (KWr1, True), ..., Cr (KWr9, True) is the predicate encryption ciphertext obtained by inputting the predicate information PRE and plaintext True into the encryption function of the predicate encryption method, respectively. (Second information).
  • the ciphertext Cr (KWr1, True),..., Cr (KWr9, True) can be correctly decrypted using the key information corresponding to the attribute information ATT corresponding to the keywords KWr1 to KWr9, respectively.
  • the function of the function is a predetermined value (for example, the inner product of the attribute information ATT and the attribute information ATT is 0).
  • the encrypted DB for the ciphertext C (Mr1),..., C (Mr99) of the search target information (collectively referred to as “Mr”), converts the ciphertext corresponding to the corresponding keyword to Cr (KWr1, True), ..., Cr (KWr9, True) are associated.
  • the keywords corresponding to the search target information Mr1 are KWr1, KWr2, KWr3, and KWr4
  • the ciphertext C (Mr1) of the search target information Mr1 and the ciphertext Cr ( KWr1, True), Cr (KWr2, True), Cr (KWr3, True), and Cr (KWr4, True) are associated with each other.
  • the ciphertext Cr (KWr1, True) can be correctly decrypted using the key information corresponding to the attribute information ATT corresponding to the keyword KWr1, the ciphertext C (Mr1) of the search target information Mr1 is decrypted. Without knowing, it is possible to know that the keyword KWr1 corresponds to the search target information Mr1.
  • such an encrypted DB is stored in the storage unit 221c of the recipient device 220, and each keyword (collectively referred to as “KWr”) and plain text True are stored in the storage unit 221c. Further, each ciphertext Cr (KWr, True) corresponding to each keyword KWr constituting the encrypted DB is sequentially updated as described later.
  • Predicate encryption master secret information MSK is stored in the storage unit 131b of the key generation device 130 of this embodiment.
  • FIG. 26A is a flowchart for explaining search request processing according to the second embodiment.
  • FIG. 26B is a flowchart for explaining key information generation processing according to the second embodiment.
  • FIG. 27 is a flowchart for explaining search processing according to the second embodiment.
  • identification information PI for identifying one or more types of protocols to which the predicate encryption method to be executed is applied and the search keyword KWt are input to the sender apparatus 210 (FIG. 20).
  • the data is input to the unit 112 (step S211).
  • the specific information PI is determined as shown in FIG. 22A, specific information PI corresponding to one type of protocol selected by the user, or specific corresponding to two or more types of protocols selected by the user, respectively.
  • a combination of information PI is input to the input unit 112.
  • the specific information PI is determined as shown in FIG. 22B, the specific information PI corresponding to one type of protocol selected by the user or two or more types of protocol is input to the input unit 112.
  • the keyword search encryption protocol is included in the selected protocol or combination of protocols.
  • the specific information PI and the search keyword KWt input to the input unit 112 are input to the identifier specifying unit 114a.
  • the identifier specifying unit 114a searches for each protocol or each combination of protocols according to a rule defined for each protocol or each combination of protocols specified by the specific information PI (see FIGS. 23 and 24).
  • the identifier ID (h) corresponding to the keyword KWt is specified, and one or more types of the specified identifier ID (h) are output (step S212).
  • the one or more types of identifier ID (h) output from the identifier specifying unit 114a are input to the attribute information setting unit 114b.
  • the attribute information setting unit 114b uses an attribute information table (see FIG. 8, FIG. 9, etc.) stored in the storage unit 111b to store one type of the identifier ID (h) or two or more types of the identifier ID (h).
  • One attribute information ATT determined for the combination is set, and the set attribute information ATT is output (step S213).
  • the attribute information ATT output from the attribute information setting unit 114b is input to the key generation processing unit 214d.
  • the key generation processing unit 214d transmits the attribute information ATT from the communication unit 115 to the key generation device 130 via the network 140, and requests generation of key information SKt corresponding to the attribute information ATT (step S214).
  • the communication unit 135 of the key generation device 130 receives the attribute information ATT (step S231).
  • the attribute information ATT received by the communication unit 135 is input to the key generation unit 134.
  • the key generation unit 134 reads the master secret information MSK from the storage unit 131b, inputs the master secret information MSK and the attribute information ATT to the predicate encryption key generation function, and generates key information SKt corresponding to the attribute information ATT. And output (step S232).
  • An example of the key generation function is the function of Expression (50).
  • the generated key information SKt is sent to the communication unit 135, and the communication unit 135 transmits the key information SKr to the sender device 210 via the network 140 (step S233).
  • the communication unit 115 of the sender device 210 receives the key information SKt and sends it to the key generation processing unit 214d.
  • the key generation processing unit 214d stores the key information SKt in the storage unit 211d (step S215).
  • the key information SKt (first information) corresponding to the search keyword KWt read from the storage unit 211d is sent to the communication unit 115 and then sent to the recipient device 220 via the network 140 ( Step S216).
  • the communication unit 125 of the recipient device 220 receives key information SKt (first information) corresponding to the transmitted search keyword KWt and stores it in the storage unit 221b. (Step S221).
  • the identifier specifying unit 124a is determined for each protocol or each combination of protocols corresponding to each protocol or each combination of protocols corresponding to the logical expression predetermined in the receiver device 220 described above.
  • one or more types of identifier ID ′ (h) corresponding to each keyword KWr corresponding to each search target information Mr are specified (step S222).
  • This rule is the same as the rule for specifying the identifier ID (h) by the identifier specifying unit 114a of the sender device 210.
  • One or more types of identifiers ID ′ (h) specified for each keyword KWr by the identifier specifying unit 124a are input to the polynomial generating unit 124b.
  • the polynomial generator 124b uses the corresponding identifier ID ′ (h) for each keyword KWr, and the value of the identifier ID ′ (h) constituting the logical expression predetermined by the receiver device 220 described above.
  • the set, polynomial f (x 0, ..., x H-1) corresponding to the logical expression determined by it and outputs the generated polynomial f (x 0, ..., x H-1) outputs the (Step S223).
  • Each polynomial f (x 0 ,..., X H ⁇ 1 ) output from the polynomial generation unit 124b is input to the predicate information generation unit 124c.
  • Each predicate information PRE for each keyword KWr output from the predicate information generation unit 124c is input to the encryption unit 224d.
  • the encryption unit 224d reads the plaintext True from the storage unit 111c, inputs each predicate information PRE and plaintext True for each keyword KWr to the encryption function of the predicate encryption method, and plaintext True for each keyword KWr.
  • the ciphertext corresponding to each keyword of the encrypted DB is updated by these, and the encrypted DB is updated (step S225).
  • An example of the encryption function of the predicate encryption method is the above formulas (51) and (46).
  • step S221 the key information SKt (first information) corresponding to the search keyword KWt received by the communication unit 125, and any ciphertext Cr (KWr, K) of the encrypted DB read from the storage unit 221c. True) (second information) is input to the decoding unit 124e.
  • the decryption unit 124e inputs the key information SKt (first information) and the ciphertext Cr (KWr, True) (second information) to the decryption function of the predicate encryption method, executes decryption processing, and decryption obtained thereby
  • An example of the decryption function is Expressions (47) to (49).
  • attribute information ATT corresponding to information SKt (first information) and predicate information PRE corresponding to ciphertext Cr (KWr, True) (second information) are input to a predetermined function.
  • the function value is a predetermined value (for example, when the inner product of the attribute information ATT and the predicate information PRE is 0)
  • step S226 is executed for all ciphertexts Cr (KWr, True) constituting the encrypted DB.
  • the key information SKt (first information) corresponding to the search keyword KWt matches the protocol and / or a combination of the protocols and / or a keyword defined in advance by the recipient device 220 Then, the ciphertext C (Mr) of the search target information Mr corresponding to the same keyword KW as the search keyword KWt is extracted as a search result.
  • the protocol of the key information SKt (first information) that can select the protocol used by the sender apparatus 210, the combination of protocols, and the keyword and can search the encrypted DB in the receiver apparatus 220.
  • a spare area as described in the first and second modifications of the first embodiment may be provided for the attribute information ATT and the predicate information PRE.
  • the present invention is not limited to this.
  • the sender device switches whether the attribute information ATT is input to the encryption function of the predicate encryption method or the key generation function according to the protocol specified by the specific information PI, and the receiver device According to the protocol specified by the PI, the predicate information is switched between being input to the predicate encryption key generation function or the encryption function.
  • the predicate information is switched between being input to the predicate encryption key generation function or the encryption function.
  • FIG. 28 is a block diagram for explaining the overall configuration of the function encryption application system 3 according to the third embodiment.
  • the function cryptographic application system 3 of this embodiment includes a sender device 310 (information output device), a receiver device 320 (information processing device), and a key generation device 130 connected to a network 140.
  • FIG. 28 shows one sender device 310, one recipient device 320, and one key generation device 130, but two or more sender devices 310, receiver devices 320, There may be a key generation device 130.
  • FIG. 29 is a block diagram for explaining the configuration of the sender apparatus 310 of FIG.
  • portions common to the first and second embodiments are denoted by the same reference numerals as those in the first and second embodiments, and description thereof is omitted (the same applies hereinafter).
  • the sender apparatus 310 of this embodiment includes a temporary memory 111a, storage units 111b, 111c, and 211d, an input unit 112, a control unit 113, an identifier specifying unit 114a, and an attribute information setting unit. 114b, an encryption unit 114c, a key generation processing unit 214d, a switching unit 314, and a communication unit 115.
  • the sender device 310 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the switching unit 314 is a processing unit or an integrated circuit configured by the CPU executing a predetermined program.
  • FIG. 30 is a block diagram for explaining the configuration of the recipient device 320 of FIG.
  • the recipient device 320 of this embodiment includes a temporary memory 121a, storage units 121b and 221c, a control unit 123, an identifier specifying unit 124a, a polynomial generation unit 124b, and a predicate information generation unit 124c.
  • FIG. 30 shows two blocks indicating the communication unit 125, but this does not mean that two separate communication units 125 are required.
  • the receiver device 320 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the switching units 324a and 324b are a processing unit or an integrated circuit configured by the CPU executing a predetermined program.
  • FIG. 31A is a flowchart for explaining processing of the sender device 310 of the third embodiment.
  • FIG. 31B is a flowchart for explaining processing of the recipient device 320 according to the third embodiment.
  • the processing of this embodiment will be described with reference to these drawings.
  • identification information PI for specifying one or more types of protocols to which the predicate encryption method to be executed is applied is input to the input unit 112 of the sender device 310 (FIG. 29). (Step S311).
  • the protocol or combination of protocols specified by the specific information PI is encryption processing for generating ciphertext by inputting the attribute information ATT to the encryption function of the predicate encryption method as in the first embodiment.
  • the encryption process in steps S111 to S115 of the first embodiment is executed under the control of the switching unit 314.
  • the sender apparatus 310 of this embodiment transmits the specific information PI together with the ciphertext Ct to the receiver apparatus 320.
  • the protocol or the combination of protocols specified by the specific information PI causes the key information to be generated by inputting the attribute information ATT as in the second embodiment to the key generation function of the predicate encryption method and the key information generation. If it is a process, the search request process and the key information generation process of steps S211 to S216 and S231 to S233 of the second embodiment are executed under the control of the switching unit 314. However, the sender device 310 of this embodiment transmits the specific information PI together with the key information SKt to the receiver device 320.
  • the communication unit 125 of the receiver device 320 sets the ciphertext Ct transmitted from the sender device 310 and the specific information PI, or key information.
  • a set of SKt and specific information PI is received (step S311).
  • the protocol or combination of protocols specified by the specific information PI is a decryption process for generating key information by inputting the predicate information PRE as in the first embodiment to the key generation function of the predicate encryption method, and key information generation If it is a process, the decryption process and the key information generation process of steps S121 to S127 and S131 to S133 of the first embodiment are executed under the control of the switching units 324a and 324b.
  • the protocol or the combination of protocols specified by the specific information PI is search processing for generating ciphertext by inputting the predicate information PRE into the encryption function of the predicate encryption method as in the second embodiment.
  • the search processing in steps S221 to S226 of the second embodiment is executed under the control of the switching units 324a and 324b.
  • the present invention is not limited to the first to third embodiments described above.
  • the ciphertext C 2 illustrated in the basic configuration examples 1 and 2 is configured using n + 1-dimensional basis vectors (Equations (45) and (51)), but n + 2 dimensions or more orthogonal to each other.
  • the ciphertext C 2 may be configured using basis vectors b 1 ,... B n + ⁇ of.
  • the ciphertext C 2 of the following formulas (54) and (55) may be generated.
  • ⁇ is an integer equal to or greater than 2
  • ⁇ ⁇ + 1 is a constant or variable (such as a random number).
  • ⁇ ⁇ is a constant or variable (random number etc.).
  • Each ⁇ ⁇ may be selected at random so that
  • each operation defined on the finite field F q may be replaced with an operation defined on the finite ring Z q of order q .
  • An example of a method of replacing each operation defined on the finite field F q with an operation defined on the finite ring Z q is a method of allowing q other than a prime number or a power value thereof.
  • a method of directly encrypting the plaintext M by the inner product predicate encryption such as the inner product predicate encryption in Reference 9 may be used.
  • the specific configuration of the inner product predicate encryption method of Reference 9 is disclosed in P24-25 of Reference 9 and the like is omitted here, but the inner product predicate encryption method of Reference 9 is also dimensional with each other. This is a method in which decoding is correctly performed when the inner product of predicate information and attribute information that are equal vectors is zero.
  • any predicate encryption method may be used.
  • the key generation device is provided outside the sender device or the receiver device.
  • the sender device or the receiver device may have the function of the key generation device. .
  • Such a sender device or receiver device can generate key information itself without requesting the key generation device to generate key information.
  • the predicate information PRE is determined by the receiver device after the receiver device receives the ciphertext or key information transmitted from the transmitter device.
  • the receiver device may be able to define the predicate information PRE before the receiver device receives the ciphertext or key information transmitted from the sender device.
  • the receiver device may determine the predicate information PRE before receiving the ciphertext or key information transmitted from the sender device, and generate the key information or ciphertext corresponding to the predicate information PRE. Good.
  • predicate information PRE may be used instead of attribute information ATT, and attribute information ATT may be used instead of predicate information PRE. That is, the predicate information PRE may correspond to the first correspondence information, and the attribute information ATT may correspond to the second correspondence information.
  • each device exchanges information through the network.
  • each device may exchange information through a portable recording medium such as a USB memory.
  • Matrix represents a set of elements in which operations are defined arranged in a rectangle. Not only elements with elements of the ring but also elements with elements of the group are expressed as “matrix”.
  • (•) T represents a transposed matrix of (•) -1 : (•) -1 represents the inverse matrix of.
  • ⁇ : ⁇ is a logical symbol representing a logical product (AND).
  • ⁇ : ⁇ is a logical symbol representing a logical sum (OR).
  • ⁇ : ⁇ is a logical symbol representing negation (NOT).
  • Propositional variable A propositional variable is a variable on the set ⁇ true, false ⁇ whose elements are “true” and “false” (“false”, “true”) of the proposition. Propositional variables and negation of propositional variables are collectively referred to as literals.
  • Logical expression means an expression having a formal grammar representing a proposition in mathematical logic. Specifically, “true” and “false” are logical expressions, propositional variables are logical expressions, negation of logical expressions is logical expressions, and logical products of logical expressions and logical expressions are logical expressions, A logical sum of a logical expression and a logical expression is a logical expression.
  • Z Z represents an integer set.
  • sec represents a security parameter (sec ⁇ Z, sec> 0).
  • 0 * : 0 * represents a sequence of * 0's.
  • 1 * : 1 * represents a sequence of * 1's.
  • F q represents a finite field of order q.
  • the order q is an integer of 1 or more.
  • a prime number or a power value of a prime number is assumed to be the order q.
  • examples of the finite field F q are an elementary field and an extension field based on it.
  • the operation in the case where the finite field F q is a prime field can be easily configured by, for example, a remainder operation modulo the order q.
  • the calculation when the finite field F q is an extension field can be easily configured by, for example, a remainder calculation modulo an irreducible polynomial.
  • a specific configuration method of the finite field F q is disclosed in, for example, Reference 1 “ISO / IEC 18033-2: Information technology-Security techniques-Encryption algorithms-Part 2: Asymmetric ciphers”.
  • 0 F 0 F represents an additive unit of the finite field F q .
  • 1 F 1 F represents a multiplicative unit element of the finite field F q .
  • ⁇ (i, j): ⁇ (i, j) the Kronecker delta function.
  • E E represents an elliptic curve defined on the finite field Fq .
  • a binary operation + called ellipse addition can be defined for any two points on the elliptic curve E, and a unary operation called an elliptic inverse can be defined for any one point on the elliptic curve E.
  • a finite set of rational points on the elliptic curve E group in terms of elliptic addition that an operation called elliptic scalar multiplication can be defined using elliptic addition, and elliptic operations such as elliptic addition on a computer can be defined.
  • a finite set of rational points on the elliptic curve E has a subgroup of order p (p ⁇ 1). For example, if the number of elements of a finite set of rational points on the elliptic curve E is #E and p is a large prime number that divides #E, then the finite set E [p] of the p equal points of the elliptic curve E is A subgroup of a finite set of rational points on the elliptic curve E is constructed.
  • G 1 , G 2 , G T represent a cyclic group of order q.
  • specific examples of the cyclic group G T is a finite set constituting the extension field of a finite field F q underlying body. An example is a finite set of one of the p th root of the algebraic closure of a finite field F q. Safety is improved by making the order of the cyclic groups G 1 , G 2 , and G T the same as the order of the finite field F q .
  • operations defined on the cyclic groups G 1 and G 2 are expressed additively, and operations defined on the cyclic groups G T are expressed multiplicatively. That, ⁇ ⁇ ⁇ G 1 for Kai ⁇ F q and Omega ⁇ G 1 means that applying operation defined in the cyclic group G 1 with respect ⁇ G 1 ⁇ times, Omega 1, Omega 2 ⁇ 1 + ⁇ 2 ⁇ G for ⁇ G 1 1 is meant to carry out the operation defined in the cyclic group G 1 and the Omega 1 ⁇ G 1 and Omega 2 ⁇ G 1 as operand.
  • ⁇ ⁇ ⁇ G 2 for Kai ⁇ F q and Omega ⁇ G 2 means that applying operation defined in the cyclic group G 2 with respect ⁇ G 2 ⁇ times
  • Omega 1, Omega 2 ⁇ G ⁇ 1 + ⁇ 2 ⁇ G 2 for 2 means that perform defined operations in the cyclic group G 2 to the Omega 1 ⁇ G 2 and Omega 2 ⁇ G 2 as operands.
  • Omega chi ⁇ G T for Kai ⁇ F q and Omega ⁇ G T means that applying operation defined in the cyclic group G T against ⁇ G T ⁇ times, ⁇ 1, ⁇ 2 ⁇ ⁇ 1 ⁇ ⁇ 2 ⁇ G for G T T means to perform the operation defined in the cyclic group G T and Omega 1 ⁇ G T and Omega 2 ⁇ G T as an operand.
  • ⁇ ⁇ represents an integer of 1 or more.
  • n ( ⁇ ): n ( ⁇ ) represents an integer of 1 or more.
  • ⁇ ( ⁇ ): ⁇ ( ⁇ ) represents an integer of 0 or more.
  • G 1 n ( ⁇ ) + ⁇ ( ⁇ ) : G 1 n ( ⁇ ) + ⁇ ( ⁇ ) represents the direct product of n ( ⁇ ) + ⁇ ( ⁇ ) cyclic groups G 1 .
  • G 2 n ( ⁇ ) + ⁇ ( ⁇ ) : G 2 n ( ⁇ ) + ⁇ ( ⁇ ) represents the direct product of n ( ⁇ ) + ⁇ ( ⁇ ) cyclic groups G 2 .
  • e ⁇ is the direct product G 1 n ( ⁇ ) + ⁇ ( ⁇ ) ⁇ G 2 n ( ) of the direct product G 1 n ( ⁇ ) + ⁇ ( ⁇ ) and the direct product G 2 n ( ⁇ ) + ⁇ ( ⁇ ).
  • ⁇ ) + ⁇ ( ⁇ ) nondegenerate bilinear mapping which maps the cyclic group G T a represents a (bilinear map).
  • the bilinear map e ⁇ satisfies the following properties.
  • the following relations are satisfied for all ⁇ 1 ⁇ G 1 n ( ⁇ ) + ⁇ ( ⁇ ) , ⁇ 2 ⁇ G 2 n ( ⁇ ) + ⁇ ( ⁇ ), and ⁇ , ⁇ F q .
  • e ⁇ ( ⁇ ⁇ ⁇ 1 , ⁇ ⁇ ⁇ 2 ) e ⁇ ( ⁇ 1 , ⁇ 2 ) ⁇ ⁇ ⁇ ... (62)
  • All ⁇ 1 ⁇ G 1 n ( ⁇ ) + ⁇ ( ⁇ ), ⁇ 2 ⁇ G 2 n ( ⁇ ) + ⁇ ( ⁇ ) is not a mapping which maps the identity element of the cyclic group G T a.
  • a non-degenerate bilinear map Pair G 1 ⁇ G 2 ⁇ G T (64) that maps the direct product G 1 ⁇ G 2 of the cyclic group G 1 and the cyclic group G 2 to the cyclic group G T Is used to construct a bilinear map e ⁇ .
  • e ⁇ 1 n ( ⁇ ) + ⁇ ( ⁇ ) Pair ( ⁇ ⁇ , ⁇ ⁇ * )... (65)
  • bilinear map Pair is a set of one original cyclic group G 1 and the one of the original cyclic group G 2 as input, and outputs one of the original cyclic group G T.
  • the bilinear map Pair satisfies the following properties. [Bilinearity] For all ⁇ 1 ⁇ G 1 , ⁇ 2 ⁇ G 2 and ⁇ , ⁇ F q , the following relation is satisfied.
  • Pair ( ⁇ ⁇ ⁇ 1 , ⁇ ⁇ ⁇ 2 ) Pair ( ⁇ 1 , ⁇ 2 ) ⁇ ⁇ ⁇ ... (66)
  • All ⁇ 1 ⁇ G 1 , ⁇ 2 ⁇ G 2 (67) Not a mapping which maps the identity element of the cyclic group G T a.
  • Pair ( ⁇ 1 , ⁇ 2 ) for every ⁇ 1 ⁇ G 1 and ⁇ 2 ⁇ G 2 .
  • bilinear map Pair is a function for performing pairing operations such as Weil pairing and Tate pairing (for example, Reference 4 “Alfred. J. Menezes, ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS, KLUWER ACADEMIC PUBLISHERS , ISBN0-7923-9368-6, pp. 61-81 etc.).
  • a modified pairing function e ( ⁇ 1 , phi ( ⁇ 2 )) ( ⁇ 1 ⁇ ) that combines a function for performing pairing operations such as Tate pairing and a predetermined function phi G 1 , ⁇ 2 ⁇ G 2 ) may be used as the bilinear map Pair (for example, see Reference 2).
  • the well-known Miller algorithm reference document 5 “VS Miller,“ Short Programs for functions on Curves, ”1986, Internet ⁇ http: //crypto.stanford. edu / miller / miller.pdf> ”and the like.
  • a i ( ⁇ ) is an element of n ( ⁇ ) + ⁇ ( ⁇ ) elements of the cyclic group G 1 Represents an n ( ⁇ ) + ⁇ ( ⁇ ) -dimensional basis vector.
  • An example of the basis vector a i ( ⁇ ) is the unit of the cyclic group G 1 with ⁇ 1 ⁇ g 1 ⁇ G 1 as the i-th element and the remaining n ( ⁇ ) + ⁇ ( ⁇ ) -1 elements This is an n ( ⁇ ) + ⁇ ( ⁇ ) -dimensional basis vector that is an element (additively expressed as “0”).
  • a 1 ( ⁇ ) ( ⁇ 1 ⁇ g 1 , 0,0, ..., 0)
  • kappa 1 is a constant consisting of elements of the finite field F q other than additive identity 0 F
  • a i * ( ⁇ ) (i 1, ..., n ( ⁇ ) + ⁇ ( ⁇ )): n ( ⁇ ) with n ( ⁇ ) + ⁇ ( ⁇ ) elements of cyclic group G 2 as elements ) + ⁇ ( ⁇ ) -dimensional basis vector.
  • An example of the basis vector a i * ( ⁇ ) is ⁇ 2 ⁇ g 2 ⁇ G 2 as the i-th element, and the remaining n ( ⁇ ) + ⁇ ( ⁇ ) -1 elements of the cyclic group G 2 This is an n ( ⁇ ) + ⁇ ( ⁇ ) -dimensional basis vector as a unit element (additionally expressed as “0”).
  • kappa 2 is a constant consisting of elements of the finite field F q other than additive identity 0 F
  • the superscripts ⁇ 1 and ⁇ 2 represent ⁇ 1 and ⁇ 2 , respectively.
  • e (a i ( ⁇ ), a j * ( ⁇ )) g T ⁇ (i, j) ... (71)
  • the basis vector a i ( ⁇ ) and the basis vector a i * ( ⁇ ) are dual orthonormal basis
  • the vector space V ( ⁇ ) and the vector space V * ( ⁇ ) constitute a bilinear map. This is a possible dual vector space (dual paring vector space (DPVS)).
  • DPVS dual paring vector space
  • a ( ⁇ ): n ( ⁇ ) + ⁇ ( ⁇ ) row n ( ⁇ ) + with the basis vectors a i ( ⁇ ) (i 1, ..., n ( ⁇ ) + ⁇ ( ⁇ )) as elements
  • the matrix A ( ⁇ ) is
  • X ( ⁇ ) represents a matrix of n ( ⁇ ) + ⁇ ( ⁇ ) rows n ( ⁇ ) + ⁇ ( ⁇ ) columns having elements of the finite field F q as elements.
  • the matrix X ( ⁇ ) is used for coordinate transformation of the basis vector a i ( ⁇ ).
  • each element ⁇ i, j ( ⁇ ) of the matrix X ( ⁇ ) is called a transformation coefficient.
  • X * ( ⁇ ): X * ( ⁇ ) and the matrix X ( ⁇ ) satisfy the relationship X * ( ⁇ ) ⁇ ′ ⁇ (X ( ⁇ ) ⁇ 1 ) T.
  • X * ( ⁇ ) is used for coordinate transformation of the basis vector a i * ( ⁇ ). If the element of i row j column of the matrix X * ( ⁇ ) is ⁇ i, j * ( ⁇ ) ⁇ F q , the matrix X * ( ⁇ ) is
  • each element ⁇ i, j * ( ⁇ ) of the matrix X * ( ⁇ ) is called a transformation coefficient.
  • the unit matrix of n ( ⁇ ) + ⁇ ( ⁇ ) row n ( ⁇ ) + ⁇ ( ⁇ ) column is I ( ⁇ )
  • X ( ⁇ ) ⁇ (X * ( ⁇ )) T ⁇ ' ⁇ I ( ⁇ ) is satisfied. That is, the identity matrix
  • b i ( ⁇ ) represents an n ( ⁇ ) + ⁇ ( ⁇ ) -dimensional basis vector having n ( ⁇ ) + ⁇ ( ⁇ ) elements of the cyclic group G 1 as elements.
  • b i ( ⁇ ) ( ⁇ i, 1 ( ⁇ ) ⁇ ⁇ 1 ⁇ g 1 , ⁇ i, 2 ( ⁇ ) ⁇ ⁇ 1 ⁇ g 1 , ..., ⁇ i, n ( ⁇ ) + ⁇ ( ⁇ ) ( ⁇ ) ⁇ ⁇ 1 ⁇ g 1 )... (82)
  • b i * ( ⁇ ) represents an n ( ⁇ ) + ⁇ ( ⁇ ) -dimensional basis vector whose elements are n ( ⁇ ) + ⁇ ( ⁇ ) elements of the cyclic group G 2 .
  • the basis vector b i ( ⁇ ) and the basis vector b i * ( ⁇ ) are the dual orthonormal basis of the dual pairing vector space (vector space V ( ⁇ ) and vector space V * ( ⁇ )). .
  • ⁇ ) represents a matrix of rows n ( ⁇ ) + ⁇ ( ⁇ ) columns.
  • v ( ⁇ ) ⁇ : v ( ⁇ ) ⁇ represents an n ( ⁇ ) -dimensional vector having elements of the finite field F q as elements.
  • v ( ⁇ ) ⁇ (v 1 ( ⁇ ) , ..., v n ( ⁇ ) ( ⁇ )) ⁇ F q n ( ⁇ ) ... (89)
  • w ( ⁇ ) ⁇ : w ( ⁇ ) ⁇ represents an n ( ⁇ ) -dimensional vector having elements of the finite field F q as elements.
  • w ( ⁇ ) ⁇ (w 1 ( ⁇ ) , ..., w n ( ⁇ ) ( ⁇ )) ⁇ F q n ( ⁇ ) ... (90)
  • w ⁇ ( ⁇ ): w ⁇ ( ⁇ ) represents the ⁇ ( ⁇ 1,..., n ( ⁇ ))-th element of the n ( ⁇ ) -dimensional vector w ( ⁇ ) ⁇ .
  • Enc K (M): Enc K (M) represents a ciphertext obtained by encrypting plaintext M using a common key K according to a common key encryption function Enc.
  • Dec represents a common key decryption function indicating a decryption process of the common key cryptosystem.
  • Dec K (C) represents a decryption result obtained by decrypting the ciphertext C using the common key K according to the common key decryption function Dec.
  • the function encryption method is a method in which a ciphertext is decrypted when a truth value of a logical expression determined by a combination of condition information and attribute information is “true”.
  • condition information and “attribute information” is embedded in the ciphertext, and the other is embedded in the key information.
  • a value corresponding to secret information is secretly distributed hierarchically in a manner corresponding to a predetermined logical expression.
  • the predetermined logical expression includes a propositional variable whose truth value is determined by a combination of condition information and attribute information, and further includes any or all of logical symbols ⁇ , ⁇ , and ⁇ as necessary. Then, when the truth value of the predetermined logical expression determined by specifying the truth value of each propositional variable is “true”, the value corresponding to the secret information is restored, and the ciphertext is decrypted based on the value. .
  • Secret sharing refers to N (N ⁇ 2) pieces of shared information so that the secret information is restored only when threshold Kt (K t ⁇ 1) pieces of shared information is obtained. Is to be distributed.
  • the N-out-of-N distribution method can restore the secret information SE if all share information share (1), ..., share (N) is given, but any N-1 share information shares Even if ( ⁇ 1 ), ..., share ( ⁇ N-1 ) is given, no secret information SE information can be obtained.
  • An example is shown below.
  • ⁇ SH 1 , ..., SH N-1 are selected at random.
  • SH N SE- (SH 1 + ... + SH N-1 ).
  • -Let SH 1 , ..., SH N be share information (share (1), ..., share (N)).
  • SE share (1) + ... + share (N)... (91)
  • the secret information SE can be restored by the restoration process.
  • the K t -out-of-N distribution method can restore the secret information SE if K t pieces of different share information share ( ⁇ 1 ), ..., share ( ⁇ Kt ) are given.
  • the secret information SE is not obtained at all even if K t -1 pieces of share information share ( ⁇ 1 ), ..., share ( ⁇ Kt-1 ) are given.
  • Kt of the subscript represents the K t.
  • An example of the K t -out-of-N distribution method is shown below.
  • the Lagrange interpolation formula can be used to restore the secret information SE by the following restoration process.
  • the denominator of equation (93) is ( ⁇ ⁇ - ⁇ 1 ) ⁇ ⁇ ⁇ ⁇ ⁇ ( ⁇ ⁇ - ⁇ ⁇ -1 ) ⁇ ( ⁇ ⁇ - ⁇ ⁇ + 1 ) ⁇ ... ⁇ ( ⁇ ⁇ - ⁇ Kt )
  • the numerator of formula (93) is (x- ⁇ 1 ) ⁇ ... ⁇ (x- ⁇ ⁇ -1 ) ⁇ (x- ⁇ ⁇ + 1 ) ⁇ ... ⁇ (x- ⁇ Kt ) It is.
  • Each secret sharing described above can also be performed on the body. Also, these values can be extended to secretly distribute values corresponding to the secret information SE to the share information share.
  • the value corresponding to the secret information SE is the secret information SE itself or the function value of the secret information SE
  • the value corresponding to the share information share is the share information share itself or the function value of the share information.
  • finite field F q original a is secret information SE ⁇ F element g of q cyclic group G T corresponding to T SE ⁇ G T each share information share the secret information SE (1) of, according to share (2) original g T share (1) of the cyclic group G T, it may be a secret distributed g T share (2) ⁇ G T .
  • the secret information SE described above is a linear combination of the share information share (Equations (91) and (92)).
  • a secret sharing scheme in which the secret information SE is a linear combination of the share information share is called a linear secret sharing scheme.
  • the predetermined logical expression described above can be expressed by tree structure data obtained by secretly sharing secret information in a hierarchical manner. That is, according to De Morgan's law, the above-mentioned predetermined logical expression is a logical expression composed of literals, or a logical expression composed of at least part of the logical symbols ⁇ and ⁇ and literals (these are referred to as “standard logical expressions”). This standard logical expression can be expressed by tree structure data obtained by secretly sharing secret information in a hierarchical manner.
  • the tree structure data representing the standard logical expression includes a plurality of nodes, at least some of the nodes are parent nodes of one or more child nodes, one of the parent nodes is a root node, and at least of the child nodes Some are leaf nodes. There is no parent node of the root node or a child node of the leaf node.
  • the value corresponding to the secret information corresponds to the root node, and the value corresponding to the share information obtained by secretly sharing the value corresponding to the parent node corresponds to the child node of each parent node.
  • the secret sharing mode secret sharing scheme and threshold
  • Each leaf node corresponds to each literal constituting the standard logical expression, and the truth value of each literal is determined by a combination of condition information and attribute information.
  • a value corresponding to the share information corresponding to the leaf node corresponding to the literal whose truth value is true is obtained, but according to the share information corresponding to the leaf node corresponding to the literal whose truth value is false.
  • the obtained value is not obtained.
  • the value corresponding to the share information corresponding to the parent node depends on the share information corresponding to the child node. It is restored only when the number of values obtained is equal to or greater than the threshold value corresponding to the parent node.
  • the secret information finally corresponding to the root node depends on which literal value corresponding to which leaf node is true and the structure of the tree structure data (including the form of secret sharing at each node). It is determined whether or not the value corresponding to can be restored.
  • the tree structure data is such that the value corresponding to the secret information corresponding to the root node can be finally restored only when the truth value of each literal corresponding to each leaf node makes the truth value of the standard form logical expression true. Is configured, such tree structure data represents a standard logical expression. Tree structure data expressing such a standard logical expression can be easily set. Specific examples are shown below.
  • FIG. 32 shows a standard logical expression PRO (1) ⁇ PRO (2 including the propositional variables PRO (1), PRO (2) and the negation ⁇ PRO (3) of the propositional variable PRO (3) and logical symbols ⁇ , ⁇ . ) Is a diagram illustrating tree structure data expressing ⁇ PRO (3).
  • 32 includes a plurality of nodes N 1 ,..., N 5 .
  • Node N 1 is a parent node of nodes N 2 and N 5
  • node N 2 is a parent node of nodes N 3 and N 4
  • one of the parent nodes is node N 1 , and one of the child nodes.
  • Nodes N 3 , N 4 , and N 5 that are parts are set as leaf nodes.
  • the child nodes N 3 and N 4 of the node N 2 have values corresponding to the share information SE-SH 1 and SH 1 in which the value corresponding to the share information SE is secretly distributed by the 2-out-of-2 distribution method. Correspond to each.
  • the leaf nodes N 3 , N 4 , and N 5 include the literals PRO (1), PRO (2), and ⁇ PRO that constitute the standard logical expressions PRO (1) ⁇ PRO (2) ⁇ PRO (3). (3) correspond to each other, and the truth values of the literals PRO (1), PRO (2), and ⁇ PRO (3) are determined by a combination of condition information and attribute information.
  • FIG. 33 shows the propositional variables PRO (1), PRO (2), PRO (3), PRO (6), PRO (7) and the negation of the propositional variables PRO (4), PRO (5) ⁇ PRO (4), ⁇ PRO (5), standard form formula including logical symbols ⁇ , PRO PRO (1) ⁇ PRO (2) ⁇ PRO (2) ⁇ PRO (3) ⁇ PRO (1) ⁇ PRO (3) ⁇ PRO (4) It is a diagram illustrating tree structure data expressing ⁇ ( ⁇ PRO (5) ⁇ PRO (6)) ⁇ PRO (7).
  • Node N 1 is a parent node of nodes N 2 , N 6 and N 7
  • Node N 2 is a parent node of nodes N 3 , N 4 and N 5
  • Node N 7 is a parent node of nodes N 8 and N 11
  • the node N 8 is a parent node of the nodes N 9 and N 10
  • the node N 1 which is one of the parent nodes is a root node
  • the nodes N 3 , N 4 , N 5 , N 6 , N 9 , N 10 , and N 11 are leaf nodes.
  • the values corresponding to the share information SE, SE, and SE that are secretly shared with each other correspond to each other.
  • the child nodes N 3 , N 4 , and N 5 of the node N 2 each share information (1, f (1)) in which the value corresponding to the share information SE is secretly distributed by the 2-out-of-3 distribution method , (2, f (2)), (3, f (3)) correspond to values.
  • the child nodes N 8 and N 11 of the node N 7 have values corresponding to the share information SH 4 and SE-SH 4 in which the value corresponding to the share information SE is secretly distributed by the 2-out-of-2 distribution method.
  • the child node N 9, N 10 of the node N 8 is the value corresponding to the share information each share information value corresponding to the SH 4 is secret sharing in 1-out-of-2 balancing method SH 4, SH 4 Each corresponds.
  • the corresponding value corresponds
  • the leaf nodes N 3 , N 4 , N 5 , N 6 , N 9 , N 10 , and N 11 have standard logical expressions PRO (1) ⁇ PRO (2) ⁇ PRO (2) ⁇ PRO ( 3) ⁇ PRO (1) ⁇ PRO (3) ⁇ PRO (4) ⁇ ( ⁇ PRO (5) ⁇ PRO (6)) ⁇
  • Each literal PRO (1), PRO (2) that constitutes PRO (7) , PRO (2), PRO (3), PRO (1), PRO (3), ⁇ PRO (4), ⁇ PRO (5), PRO (6), PRO (7) correspond to each literal PRO (1), PRO (2), PRO (2), PRO (3), PRO (1), PRO (3), ⁇ PRO (4), ⁇ PRO (5), PRO (6), PRO (7)
  • the truth value of is determined by a combination of condition information and attribute information.
  • the combination of condition information and attribute information is the standard logical expression PRO (1) ⁇ PRO (2) ⁇ PRO (2) ⁇ PRO (3) ⁇ PRO (1) ⁇ PRO (3) ⁇ PRO (4 ) ⁇ ( ⁇ PRO (5) ⁇ PRO (6)) ⁇ The value corresponding to the secret information SE is restored only when the truth value of PRO (7) is made true.
  • ⁇ Access structure> When a predetermined logical expression is expressed by tree structure data obtained by secretly distributing secret information in a hierarchical manner as described above, according to the share information at the leaf node obtained for the combination of condition information and attribute information Whether the truth value of the logical expression determined by the combination of the condition information and the attribute information is “true” or “false” can be determined depending on whether the value corresponding to the secret information can be restored from the obtained value.
  • the truth value of the logical expression determined by the combination of the condition information and the attribute information is “true”
  • the combination of the condition information and the attribute information is accepted, and when it is “false”, the condition information and the attribute information are A mechanism for rejecting the combination is called an access structure.
  • the total number of leaf nodes of the tree structure data expressing a predetermined logical expression is ⁇
  • the labeled matrix LMT (MT, LAB) is a matrix with ⁇ rows and COL columns (COL ⁇ 1).
  • a value corresponding to the secret information SE ⁇ F q corresponds to the root node of the tree structure data expressing a predetermined logical expression as described above
  • an element of a predetermined finite field F q is defined as an element.
  • COL dimension vector GV ⁇ (gv 1 , ..., gv COL ) ⁇ F q COL ... (95)
  • COL dimension vector CV ⁇ (cv 1 , ..., cv COL ) ⁇ F q COL ... (96) with elements of finite field F q corresponding to secret information SE as elements
  • SE GV ⁇ ⁇ (CV ⁇ ) T ... (97) Is established.
  • the tree structure data expressing a predetermined logical expression is determined as described above, it is easy to select a matrix MT that satisfies these two requirements. Even if the secret information SE and the share information share ( ⁇ ) are variables, it is easy to select a matrix MT that satisfies these two requirements. That is, after the matrix MT is determined, the values of the secret information SE and the share information share ( ⁇ ) may be determined.
  • ⁇ 1, ..., ⁇ contains w ( ⁇ ) ⁇ and the inner product v ( ⁇ ) ⁇ ⁇ w ( ⁇ ) ⁇ that is 0 And the truth value of the propositional variable PRO ( ⁇ ) is “false” and the inner product v ( ⁇ ) ⁇ ⁇ w ( ⁇ ) ⁇ is not equal to 0.
  • a label LAB ( ⁇ ) corresponding to PRO ( ⁇ ) represents v ( ⁇ ) ⁇
  • a label LAB ( ⁇ ) corresponding to ⁇ PRO ( ⁇ ) represents ⁇ v ( ⁇ ) ⁇
  • ⁇ v ( ⁇ ) ⁇ is a logical expression that represents the v ( ⁇ ) ⁇ negative, it is possible ⁇ v ( ⁇ ) ⁇ from v ( ⁇ ) ⁇ the identified.
  • ⁇ -dimensional vector TFV ⁇ (tfv (1), ..., tfv ( ⁇ ))... (100)
  • tfv ( ⁇ ) 0 (PRO ( ⁇ ) is false) if v ( ⁇ ) ⁇ ⁇ w ( ⁇ ) ⁇ ⁇ 0... (102)
  • a value corresponding to the secret information SE can be restored from a value corresponding to the share information share ( ⁇ ) corresponding to the identifier ⁇ , and a row vector mt corresponding to the identifier ⁇
  • the COL dimension vector GV ⁇ belongs to the vector space spanned by ⁇ ⁇ . That is, by determining whether or not the COL dimension vector GV ⁇ belongs to the vector space spanned by the row vector mt ⁇ ⁇ corresponding to the identifier ⁇ , from the value corresponding to the share information share ( ⁇ ) corresponding to the identifier ⁇ It can be determined whether or not the value corresponding to the secret information SE can be restored.
  • the row vectors mt lambda ⁇ vector space spanned by means vector space can be represented by a row vector mt lambda ⁇ linear combination of.
  • the access structure accepts the attribute information
  • the access structure rejects the attribute information
  • N ( ⁇ ) + ⁇ ( ⁇ ) rows n ( ⁇ ) + ⁇ ( ⁇ ) columns with basis vectors b i ( ⁇ ) (i 1, ..., n ( ⁇ ) + ⁇ ( ⁇ ))
  • Matrix B ( ⁇ ) is generated.
  • B * ( ⁇ ) ⁇ is a matrix B * ( ⁇ ) or a submatrix thereof
  • B ( ⁇ ) ⁇ is a matrix B ( ⁇ ) or a submatrix thereof.
  • coef ( ⁇ ) and coef ⁇ ( ⁇ ) ⁇ F q are constants or random numbers.
  • ⁇ ' is any one of ⁇ 2 (0), ..., ⁇ I (0).
  • the common key encryption method Enc may be, for example, Camellia (registered trademark) configured to be encrypted using the common key K, AES, exclusive OR of the common key and plain text, etc.
  • Ciphertext C (VSET1, C (0), ⁇ C ( ⁇ ) ⁇ ( ⁇ , w ( ⁇ ) ⁇ ) ⁇ VSET1 , C ( ⁇ + 1))... (121) Is generated. However, the subscript “w ( ⁇ ) ⁇ ” represents “w ( ⁇ ) ⁇ ”. [Dec (PK, SKS, C): Decryption] -Input: Public parameter PK, key information SKS, ciphertext C -Output: Plaintext M '
  • ⁇ 1, ..., ⁇ and the label LAB ( ⁇ ) of LMT (MT, LAB) included in the statement C 1 ′
  • the submatrix MT TFV shown in (101)-(104) is generated.
  • MT TFV is expressed as follows.
  • MT TFV in equation (130) is a matrix of ⁇ rows and COL columns
  • ⁇ is an integer greater than or equal to 1
  • the MT TFV row vector mt ⁇ ' ⁇ to calculate the upper triangular matrix of ⁇ ⁇ ⁇ with the diagonal component as the unit of multiplication 1 F from 1 row 1 column to ⁇ row ⁇ column and until submatrix, on triangulation with the additive identity 0 F all elements ⁇ 'of row vectors mt lambda is Omega + 1 row after when ⁇ exists' Omega + 1 row after row vector mt lambda Generate the matrix MT TFV '.
  • ⁇ is an integer equal to or greater than 1 and equal to or less than the number of rows and columns of the submatrix MT TFV .
  • MT TFV ' is as follows.
  • each element after ⁇ + 1 row does not exist
  • submatrix MT TFV in the second row of the row vectors mt 2 ⁇ (mt 2,1, ..., mt 2, COL) mt 2,1 times a row vector of the first row of MT TFV 'from
  • the row vector (0 F , mt 2,2 '', ..., mt 2, COL '') obtained by subtracting the calculated row vector and divided by mt 2,2 '' is the second row of MT TFV ' A row vector.
  • the upper triangulation matrix MT TFV ' can be generated by processing each row vector of the already generated MT TFV ' and processing a row vector having a larger row number.
  • the operation for generating the upper triangulation matrix MT TFV ′ is an operation in units of row vectors and an operation between row vectors, and different operations cannot be performed on different elements of the same row vector. Further, when the division method becomes the additive unit element 0 F , the row vector to be processed is selected again. Further, when the submatrix MT TFV includes a plurality of row vectors that are not linearly independent from each other (that is, a plurality of row vectors that are linearly dependent), one row vector representing such a row vector is an upper triangular matrix of ⁇ ⁇ ⁇ . The row vector includes an element, and the other row vectors are row vectors having only the additive unit element 0 F as an element (step S402).
  • Decoding unit (mt 1,1 '... mt 1, COL') - (mt 1, ⁇ '- 1 F) ⁇ (mt ⁇ ', 1 '... mt ⁇ ', COL ') ... (132 )
  • the row vector (mt 1,1 '... mt 1, COL ') of the first row of the upper triangulation matrix MT TFV ' Update. Note that (mt ⁇ ′, 1 ′...
  • Mt ⁇ ′, COL ′ represents a row vector of the ⁇ ′ row of the upper triangulation matrix MT TFV ′.
  • the coefficient of the element in the first row obtained by applying to the matrix with the element as an indefinite element can be a coefficient const (ind) that satisfies the expression (105). That is, the indefinite element corresponding to the row vector of the submatrix MT TFV corresponding to the row vector of the ind row of the matrix MT obtained by performing these operations on the matrix having each element of the submatrix MT TFV as an indefinite element is obtained.
  • the coefficient of the first row vector as an element can be set as a coefficient const (ind) (see the relations of equations (97) and (99)).
  • g T tau and g T tau 'and g T ⁇ ⁇ ⁇ ' may be handled as generator of G T instead of a g T a generator of G T.
  • a combination of C ( ⁇ ) and D * ( ⁇ ) is specified using a mapping that specifies the correspondence between ⁇ of key information SKS and ⁇ of ciphertext, and [Dec (PK, SKS, C): The process of “decryption” may be executed.
  • the attribute information VSET1 ⁇ , w ( ⁇ ) ⁇
  • elements w 1 ( ⁇ ) is may be used w ( ⁇ ) ⁇ / w 1 ( ⁇ ) instead of w ( ⁇ ) ⁇
  • element v n ( ⁇ ) ( ⁇ ) is 1 if not F is v ( ⁇ ) ⁇ the place of v ( ⁇ ) ⁇ / v n ( ⁇ ) may be used (lambda).
  • the method in which the attribute information VSET1 corresponds to the ciphertext and the condition information VSET2 corresponds to the key information is referred to as a key policy (KP) method.
  • KP key policy
  • a cipher text (CP) method in which the attribute information VSET1 corresponds to the key information and the condition information VSET2 corresponds to the ciphertext may be used.
  • condition information VSET2 ⁇ , v ( ⁇ ) ⁇
  • ⁇ 1, ..., ⁇
  • the attribute information VSET1 ⁇ , w ( ⁇ ) ⁇
  • ⁇ 1, ..., ⁇ ⁇
  • attribute information VSET1 ⁇ , w ( ⁇ ) ⁇
  • ⁇ 1, ..., ⁇
  • condition information VSET2 ⁇ , v ( ⁇ ) ⁇
  • ⁇ 1, .. ., ⁇
  • the first element v 1 ( ⁇ ) of the condition information VSET2 ⁇ , v ( ⁇ ) ⁇
  • the corresponding label LAB ( ⁇ ) represents w ( ⁇ ) ⁇ , and the label LAB ( ⁇ ) corresponding to ⁇ PRO ( ⁇ ) represents ⁇ w ( ⁇ ) ⁇ .
  • the function encryption application system of the fourth to sixth embodiments includes a sender device (information output device) and a receiver device (information processing device), and includes attribute information VSET1 (first correspondence information) and condition information VSET2 (second When the truth value of the logical expression corresponding to the combination with the correspondence information) is true, a protocol (protocol according to the function cryptosystem) applying the functional cryptosystem that decrypts the ciphertext correctly is executed.
  • the identifier specifying unit specifies an identifier for each protocol or each combination of protocols according to a rule defined for each protocol or each combination of protocols specified by the specifying information, and specifies one or more types of the specified identifiers Is output.
  • the identifier in the fourth to sixth embodiments is a vector.
  • each type of protocol using the functional encryption method defines the type of attribute information VSET1 to be used for it (in other words, the nature of the attribute information VSET1).
  • the rule specifies an identifier that defines the type of attribute information VSET1 to be used for the protocol specified by the specifying information or a combination of the protocols.
  • the protocol is a Timed-Release cryptographic protocol
  • the rule is a rule that uses information for identifying a time point in the future from the generation time of the first information as an identifier
  • the protocol is a Forward-Secure cryptographic protocol or a Key-Insulated.
  • the rule is a rule that uses as an identifier a time interval including the generation time of the first information or information specifying a time interval in the future from the generation time of the first information.
  • the rule in the case of a secure encryption protocol is a rule that uses information for specifying disposable information that is newly set every time the first information is generated as an identifier
  • the rule in the case that the protocol is a keyword search encryption protocol is This is a rule in which information for specifying a database search keyword is used as an identifier.
  • the one or more types of identifiers specified by the identifier specifying unit are input to the attribute information setting unit of the sender device.
  • the attribute information setting unit sets one attribute information VSET1 (specific first correspondence information) determined for one type of the identifier or a combination of two or more types of the identifier, and outputs the set attribute information VSET1. .
  • the output unit of the sender device outputs first information that is ciphertext or key information of the function encryption method corresponding to the attribute information VSET1 output from the attribute information setting unit.
  • the first information and the second information read from the storage unit are input to the decryption unit of the receiver device.
  • the second information is function encryption key information or ciphertext. If the first information is ciphertext corresponding to the attribute information VSET1, the second information is condition information VSET2 (specific second correspondence information). If the first information is key information corresponding to the attribute information VSET1, the second information is ciphertext corresponding to the condition information VSET2 (specific second correspondence information).
  • the attribute information VSET1 (first correspondence information) includes one or more vectors w ( ⁇ ) ⁇ (first partial correspondence information), and the condition information VSET2 (second correspondence information) is one or more vectors.
  • v ( ⁇ ) ⁇ (second partial correspondence information) is included.
  • the decryption unit of the receiver device inputs the first information and the second information to the decryption function of the functional encryption method, executes the decryption process, and outputs the decryption result obtained thereby.
  • the decryption function of the functional encryption method using the access structure is obtained when the set of combinations of the vector w ( ⁇ ) ⁇ and the vector v ( ⁇ ) ⁇ that is true satisfies a predetermined condition. This function generates a correct decryption result.
  • the ciphertext is correctly decrypted when the truth value of the logical expression corresponding to the combination of the attribute information VSET1 and the condition information VSET2 is true.
  • the attribute information VSET1 is information determined for one type of identifier or a combination of two or more types of identifiers.
  • the attribute information VSET1 Each of the plurality of types of values taken by the information VSET1 takes a value for obtaining a correct decoding result. That is, in the fourth to sixth embodiments, the same second information can be shared for one or more types of first information, and correct decoding can be performed. Therefore, even when the sender device selects one type of identifier or a combination of two or more types of identifiers and switches the protocol according to the selected identifier to generate the first information, the receiver device is switched.
  • the receiver device can select one or more selected protocols or combinations of protocols. Can correspond to the first information.
  • the protocol can be switched according to the selected identifier without requiring complicated processing.
  • the degree of freedom in combining the protocols is high. That is, in the fourth to sixth embodiments, a correct decoding result is generated when the combination of the attribute information VSET1 corresponding to the first information and the condition information VSET2 corresponding to the second information makes the truth value of the logical expression true.
  • the A combination of two or more protocols corresponds to a combination of identifiers, and the combination of identifiers corresponds to attribute information VSET1, but if the truth value of the logical expression is true, there are no restrictions on the combination method of the identifiers Absent.
  • a hierarchical ID-based encryption method applying the ID-based encryption method for example, Reference 10 “C. Gentry, A. Silverberg,“ Hierarchical ID-based cryptography, ”Proceedings of ASIACRYPT 2002, Lecture Notes in Computer Science , Springer-Verlag, 2002. ”etc.
  • the combination of protocols is limited. That is, in the hierarchical ID-based encryption method, the combination of a plurality of identifiers corresponding to a plurality of protocols is limited. That is, in the hierarchical ID-based encryption method, a new identifier generated by a combination of a plurality of identifiers needs to form a tree structure, and the new identifier must always include its parent identifier.
  • ID2 of the identifier ID1 and the identifier ID2 is a new identifier
  • ID3 the combination of the identifier ID1, the identifier ID2, and the identifier ID3 is set as a new identifier ID1
  • the combination of identifier ID1 and identifier ID3 cannot be a new identifier ID1
  • the sender device switches whether the attribute information VSET1 corresponds to the function encryption encryption function or the attribute information VSET1 corresponds to the function encryption key generation function.
  • the receiver device further includes a first switching unit, and the receiver device associates the condition information VSET2 with a function encryption method key generation function or encrypts the condition information VSET2 with a function encryption method according to the protocol specified by the specified information. You may further have the 2nd switching part which switches whether it makes it respond
  • some areas of the attribute information VSET1 and the condition information VSET2 may be reserved areas for which usage is not determined.
  • the value of at least a part of the vector w ( ⁇ ) ⁇ (first partial correspondence information) included in the attribute information VSET1 is fixed in advance
  • at least a part of the vector v included in the condition information VSET2 (second correspondence information)
  • the value of ( ⁇ ) ⁇ (second partial correspondence information) may be fixed in advance, and a vector in which these values are fixed may be a spare area.
  • the inner product of the first partial correspondence information with a vector w ( ⁇ ) ⁇ whose value is fixed in advance and the second partial correspondence information with a vector v ( ⁇ ) ⁇ whose value is fixed in advance is one type of identifier or It may be 0 (zero element) regardless of the combination of plural types of identifiers.
  • the vector w ( ⁇ ) ⁇ (first partial correspondence information) set as the spare area is a vector whose elements are all zero elements (zero vector)
  • the first corresponding to the attribute information VSET1 including the spare area The information has upward compatibility with the updated first information in which some value is entered in the spare area.
  • the attribute information VSET1 and the condition information VSET2 are updated by giving some value to the spare area of the attribute information VSET1 and the condition information VSET2
  • Correct decoding is performed by the first information corresponding to the attribute information VSET1 and the second information corresponding to the updated condition information VSET2.
  • the vector w ( ⁇ ) ⁇ set as the spare area of the attribute information VSET1 is set as a zero vector
  • the vector v ( ⁇ ) ⁇ set as the reserved area of the condition information VSET2 is set as a vector including elements other than zero elements.
  • the first information corresponding to the attribute information VSET1 including the spare area has upward compatibility with the updated first information in which some value is entered in the spare area, but the condition including the spare area is included.
  • the second information corresponding to the information VSET2 does not have upward compatibility with the updated second information in which some value is entered in the spare area.
  • the vector v ( ⁇ ) ⁇ used as the spare area for the condition information VSET2 is set as a zero vector
  • the vector w ( ⁇ ) ⁇ used as the spare area for the attribute information VSET1 is a vector including elements other than the zero element.
  • the second information corresponding to the condition information VSET2 including the spare area has upward compatibility with the updated second information in which some value is entered in the spare area.
  • the first information corresponding to the attribute information VSET1 including is not upward compatible with the updated first information in which some value is entered in the spare area.
  • the upward compatibility before and after the update can be changed according to how the value of the spare area is set.
  • the first information is ciphertext corresponding to the attribute information VSET1
  • the second information is key information corresponding to the condition information VSET2
  • the sender device performs encryption
  • the receiver device decrypts the information. It is the form which performs.
  • Such a form can be applied, for example, when the protocol applying the functional encryption method is a Timed-Release encryption protocol, a Forward Secure encryption protocol, a Key Insulated encryption protocol, a CCA2 secure encryption protocol, or a combination thereof.
  • the KP method is used.
  • FIG. 35 is a block diagram for explaining the overall configuration of the function encryption application system 4 according to the fourth embodiment.
  • the function encryption application system 4 of this embodiment includes a sender device 410 (information output device), a receiver device 420 (information processing device), and a key generation device 430 connected to a network 140.
  • a sender device 410 information output device
  • a receiver device 420 information processing device
  • a key generation device 430 connected to a network 140.
  • FIG. 35 shows one sender device 410, one receiver device 420, and one key generation device 430, but two or more sender devices 410, receiver devices 420, and so on.
  • FIG. 36 is a block diagram for explaining the configuration of the sender apparatus 410 of FIG.
  • the sender device 410 of this embodiment includes a temporary memory 111a, a storage unit 111c, an input unit 112, a control unit 113, an identifier specifying unit 414a, an attribute information setting unit 414b (corresponding information).
  • a setting unit an encryption unit 414c, and a communication unit 115.
  • the sender device 410 is read and executed by a special program loaded into a known or dedicated computer having a CPU (central processing unit), RAM (random-access memory), ROM (read-only memory), etc. It is a special device composed of That is, the control unit 113, the identifier specifying unit 414a, the attribute information setting unit 414b, and the encryption unit 414c are, for example, processing units configured by the CPU executing a predetermined program. Further, at least a part of the processing unit of the sender device 410 may be an integrated circuit.
  • the temporary memory 111a and the storage unit 111c are, for example, a RAM, a register, a cache memory, an auxiliary storage device such as an element in an integrated circuit or a hard disk, or a storage area formed by combining at least a part of these.
  • the input unit 112 is, for example, a keyboard, a mouse, an input port, and the like, and the communication unit 115 is a communication device, such as a modem or a LAN card.
  • the sender device 410 executes each process under the control of the control unit 113.
  • data output from each processing unit of the sender device 410 and data received by the communication unit 115 are stored in the temporary memory 111a one by one.
  • the data stored in the temporary memory 111a is read out as necessary, is input to each processing unit of the sender device 410, and is used for the processing.
  • FIG. 37 is a block diagram for explaining the configuration of the recipient device 420 of FIG.
  • the recipient device 420 of this embodiment includes a temporary memory 121a, a storage unit 421b, a control unit 123, an identifier specifying unit 424a, a condition information generation unit 424c, and a key generation processing unit 424d. And a decoding unit 424e and a communication unit 125.
  • FIG. 37 shows two blocks indicating the communication unit 125, but this does not mean that two separate communication units 125 are required.
  • the receiver device 420 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like. That is, the control unit 123, the identifier specifying unit 424a, the condition information generation unit 424c, the key generation processing unit 424d, and the decryption unit 424e are, for example, processing units configured by the CPU executing a predetermined program. Further, at least a part of the processing unit of the recipient device 420 may be an integrated circuit.
  • the temporary memory 121a and the storage unit 421b are storage areas including, for example, a RAM, a register, a cache memory, an auxiliary storage device such as an element in an integrated circuit or a hard disk, or a combination of at least a part thereof.
  • the communication unit 115 is a communication device such as a modem or a LAN card, for example.
  • the receiver device 420 executes each process under the control of the control unit 123.
  • data output from each processing unit of the recipient device 420 and data received by the communication unit 125 are stored in the temporary memory 121a one by one.
  • the data stored in the temporary memory 121a is read out as necessary, is input to each processing unit of the recipient device 420, and is used for the processing.
  • FIG. 38 is a block diagram for explaining the configuration of the key generation device 430 of FIG.
  • the key generation device 430 of this embodiment includes a temporary memory 131a, a storage unit 431b, a control unit 133, a key generation unit 434, and a communication unit 135.
  • the key generation device 430 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like. That is, the control unit 133 and the key generation unit 434 are, for example, processing units configured by the CPU executing a predetermined program. Further, at least a part of the processing unit of the key generation device 430 may be an integrated circuit.
  • the temporary memory 131a and the storage unit 431b are, for example, a RAM, a register, a cache memory, an auxiliary storage device such as an element in an integrated circuit or a hard disk, or a storage area formed by a combination of at least a part thereof.
  • the communication unit 135 is a communication device such as a modem or a LAN card, for example.
  • the key generation device 430 executes each process under the control of the control unit 133.
  • data output from each processing unit of the key generation device 430 and data received by the communication unit 135 are stored in the temporary memory 131a one by one.
  • the data stored in the temporary memory 131a is read out as necessary, is input to each processing unit of the key generation device 430, and is used for the processing.
  • FIG. 39A and FIG. 39B are diagrams exemplifying the correspondence relationship between the specific information PI and the protocol for specifying one or more types of protocols in the fourth embodiment.
  • one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. The combination of specific information PI corresponding to each protocol is specified.
  • specific information PI is assigned for each protocol, and specific information PI is also assigned to a combination of two or more types of protocols.
  • specific information PI is specified, when one of the protocols is selected alone, one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. Specific information PI corresponding to the combination of protocols is specified.
  • FIG. 40A, FIG. 40B, and FIG. 41 are diagrams for explaining an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fourth embodiment.
  • the identifier ID ( ⁇ ) in this embodiment is an n ( ⁇ ) -dimensional vector whose elements are elements of the finite field Fq .
  • an identifier ID ( ⁇ ) is assigned for each selectable protocol.
  • the identifier ID ( ⁇ ) assigned to the selected protocol is entered according to the rules defined for that protocol. For example, when the Timed-Release encryption protocol is selected, information (n ( ⁇ ) dimensional vector corresponding to the date / time, count value, etc.) specifying the future time point is input to the identifier ID (1).
  • An example of the “future time point” is a time point in the future than the generation time point of the first information.
  • a time interval including the receiver device 420 and its user's unique identifier (e-mail address, telephone number, MAC address, etc.) and the current time point A value (n ( ⁇ ) dimension vector) determined by a combination with (a date / time interval or a count value interval) is input to the identifier ID (2) or the identifier ID (3).
  • An example of “current time” is the generation time of the first information.
  • disposable information random vector having a random value as an element
  • n ( ⁇ ) -dimensional vector is input to the identifier ID (4).
  • a constant (const.) That is an n ( ⁇ ) dimension vector is input to the identifier ID ( ⁇ ) assigned to the protocol that was not selected. For example, when only the Timed-Release encryption protocol is selected, information specifying a future time point is input to the identifier ID (1), and other identifiers ID (2), ID (3), ID (4) A constant (const.) Is input to.
  • An example of a constant (const.) Is an n ( ⁇ ) -dimensional zero vector. Note that the constant (const.) Input to each identifier ID ( ⁇ ) may be the same value or a different value.
  • the value of the identifier ID ( ⁇ ) is determined on the assumption that a plurality of protocols constituting the combination are selected. For example, when a combination of the Forward Secure encryption protocol and the CCA2 secure encryption protocol is selected, a value determined by a combination of the unique identifier of the receiver device 420 or the user and the time interval including the current time point is an identifier ID ( 2), disposable information is input to the identifier ID (4), and constants (const.) Are input to the other identifiers ID (1) and ID (3).
  • the identifier ID ( ⁇ ) is assigned only to the selected protocol. For example, when only the Timed-Release encryption protocol is selected, only an identifier ID (1) indicating information for specifying a future time point is assigned. Also, for example, when a combination of the Forward Secure encryption protocol and the CCA2 secure encryption protocol is selected, a value determined by a combination of the unique identifier of the receiver device 420 or the user and the time interval including the current time point is indicated. Only the identifier ID (2) and the identifier ID (4) indicating disposable information are assigned.
  • an identifier ID ( ⁇ ) is assigned for each selectable protocol and protocol combination.
  • the identifier ID ( ⁇ ) assigned to the selected protocol and protocol combination is input with a value according to each rule defined for each protocol constituting the selected protocol or combination, and the protocol not selected
  • a constant (const.) Is input to the identifier ID ( ⁇ ) assigned to the combination. For example, when the combination of the Forward Secure encryption protocol and the CCA2 secure encryption protocol is selected, the value determined by the combination of the unique identifier of the receiver device 420 or its user, the time interval including the current time point, and the disposable information is A constant (const.) Is input to the identifier ID (6) and the other identifier ID ( ⁇ ).
  • the above-described identifier determination method is merely an example, and the identifier may be specified by other methods.
  • the identifier ID ( ⁇ ) may be assigned only to the selected protocol and the combination of protocols.
  • one identifier may be constituted by a combination (for example, bit combination) of each identifier ID ( ⁇ ) obtained as described above.
  • FIG. 42A is a diagram for explaining the data structure of the attribute information VSET1.
  • FIG. 42B is a diagram for explaining the data structure of the condition information VSET2.
  • the identifier ID ′ ( ⁇ ) is an n ( ⁇ ) -dimensional vector corresponding to a predetermined identifier ID ( ⁇ ) assumed on the receiver device 420 side. That is, the value of the identifier ID ′ ( ⁇ ) is determined so that the inner product of the identifier ID ′ ( ⁇ ) and the predetermined identifier ID ( ⁇ ) is zero.
  • the identifier ID ( ⁇ ) is set according to the example of FIG. 40A
  • the identifiers ID (1), ID (2), ID (3), ID of the predetermined predetermined values determined according to the rule of FIG. 40A.
  • the “assumed predetermined value” corresponds to a condition composed of a protocol assumed on the receiver device 420 side and / or a combination of the protocols. Specifically, the “assumed predetermined value” corresponds to a literal of a standard logical expression assumed on the receiver device 420 side.
  • Identifier ID ′ (1) is set to be 0.
  • Such a rule for specifying each identifier ID ′ ( ⁇ ) is determined in advance and set in the identifier specifying unit 424a of the recipient device 420.
  • the key generation processing unit 424d and the decryption unit 424e of the recipient device 420 have a standard logical expression (for example, PRO (1) ⁇ PRO) corresponding to a condition including several protocols and / or combinations of the protocols. (2) ⁇ PRO (3)) is preset. In other words, a labeled matrix LMT (MT, LAB) corresponding to the standard logical expression is determined in advance in the key generation processing unit 424d and the decryption unit 424e.
  • a standard logical expression for example, PRO (1) ⁇ PRO
  • ⁇ PRO (3) is preset.
  • LMT labeled matrix LMT (MT, LAB) corresponding to the standard logical expression is determined in advance in the key generation processing unit 424d and the decryption unit 424e.
  • n (lambda) dimensional vector v ( ⁇ ) ⁇ specifying the PRO (lambda) and labels LAB (lambda) by is determined n (lambda) dimensional vector v ( ⁇ ) ⁇ the The value is determined, and the standard form formula and the labeled matrix LMT (MT, LAB) can be specified.
  • the plaintext Mt to be encrypted is stored in the storage unit 111c of the sender device 410.
  • the master secret information MSK [Setup (1 sec , ( ⁇ ; n (1),..., N ( ⁇ )): setup] of the functional encryption method is stored. Reference) is stored.
  • FIG. 43A is a flowchart for explaining an encryption process according to the fourth embodiment.
  • FIG. 43B is a flowchart for explaining key information generation processing of the fourth embodiment.
  • FIG. 44 is a flowchart for explaining the decoding processing of the fourth embodiment.
  • identification information PI for identifying one or more types of protocols to which the function encryption method to be executed is applied is input to the input unit 112 of the sender device 410 (FIG. 36) ( Step S411).
  • the specific information PI is determined as shown in FIG. 39A, specific information PI corresponding to one type of protocol selected by the user, or specific corresponding to two or more types of protocols selected by the user, respectively.
  • a combination of information PI is input to the input unit 112.
  • the specific information PI is determined as shown in FIG. 39B, the specific information PI corresponding to one type of protocol or two or more types of protocols selected by the user is input to the input unit 112.
  • the specific information PI input to the input unit 112 is input to the identifier specifying unit 414a.
  • the identifier specifying unit 414a performs each protocol or each combination of protocols in accordance with a rule determined for each protocol specified by the specific information PI or each protocol combination (see FIGS. 40A, 40B, and 41).
  • the identifier ID ( ⁇ ) is specified for the ID, and one or more types of the specified identifier ID ( ⁇ ) are output (step S412).
  • the attribute information VSET1 output from the attribute information setting unit 414b is input to the encryption unit 414c.
  • the encryption unit 414c reads the plaintext Mt from the storage unit 111c, inputs the attribute information VSET1 and the plaintext Mt to the encryption function of the functional encryption method, and generates the ciphertext Ct of the plaintext Mt (step S414).
  • the generated ciphertext Ct is sent to the communication unit 115.
  • the communication unit 115 (output unit) transmits the ciphertext Ct (first information) to the recipient device 420 via the network 140 (step S415).
  • the communication unit 125 of the recipient device 420 receives the ciphertext Ct (first information) (step S421).
  • the identifier specifying unit 424a uses the standard form predetermined by the receiver device 420 described above in accordance with the rules determined for each protocol or each combination of protocols for each protocol or each combination of protocols.
  • One or more types of identifiers ID ′ ( ⁇ ) used in the logical expression are specified (step S422).
  • condition information generating unit 424c One or more kinds of identifiers ID ′ ( ⁇ ) specified by the identifier specifying unit 424a are input to the condition information generating unit 424c.
  • the condition information generation unit 424c v ( ⁇ ) ⁇ ID '( ⁇ )... (138)
  • the condition information VSET2 output from the condition information generation unit 424c is input to the key generation processing unit 424d.
  • the key generation processing unit 424d identifies the label LAB ( ⁇ ) using the n ( ⁇ ) -dimensional vector v ( ⁇ ) ⁇ included in the condition information VSET2, and determines a labeled matrix LMT (MT, LAB) (step S424). .
  • the labeled matrix LMT (MT, LAB) in which the label LAB ( ⁇ ) is specified is sent to the communication unit 125.
  • the communication unit 125 transmits the labeled matrix LMT (MT, LAB) to the key generation device 430 via the network 140, and requests generation of key information SKS corresponding to the labeled matrix LMT (MT, LAB) ( Step S425).
  • the communication unit 135 of the key generation device 430 receives the labeled matrix LMT (MT, LAB) corresponding to the condition information VSET2 (step S431).
  • the labeled matrix LMT (MT, LAB) received by the communication unit 135 is input to the key generation unit 434.
  • the key generation unit 434 reads out the master secret information MSK from the storage unit 431b, and uses the master secret information MSK and the labeled matrix LMT (MT, LAB), and the key information SKS corresponding to the labeled matrix LMT (MT, LAB). Is generated and output (step S432).
  • the key generation unit 434 generates and outputs the key information SKS of the equation (112) specified by the equations (95)-(99) (106) (108) (109).
  • the generated key information SKS is sent to the communication unit 135, and the communication unit 135 transmits the key information SKS to the recipient device 420 via the network 140 (step S433).
  • the communication unit 125 of the receiver device 420 receives the transmitted key information SKS and sends it to the key generation processing unit 424d.
  • the key generation processing unit 424d stores the key information SKS (second information) in the storage unit 421b (step S426).
  • the ciphertext Ct (first information) received by the communication unit 125 in step S421 and the key information SKS (second information) read from the storage unit 421b are input to the decryption unit 424e.
  • the decryption unit 424e inputs the ciphertext Ct (first information) and the key information SKS (second information) to the decryption function of the function encryption method, executes the decryption process, and outputs the decryption result Mr obtained thereby. (Step S427).
  • the truth value of the standard form logical expression set in the key generation processing unit 424d is false, the attribute information VSET1 and the condition information VSET2 are not GV ⁇ ⁇ span ⁇ MT TFV > and are correct.
  • the decryption result cannot be obtained. This means that only the ciphertext Ct that matches the condition defined by the protocol and / or a combination of the protocols predetermined by the receiver device 420 is correctly decrypted.
  • the protocol and the combination of protocols used by the sender apparatus 410 can be selected, and the conditions of the ciphertext protocol and the protocol combination that can be decrypted by the receiver apparatus 420 are set. Can do. Then, only when the protocol or the combination of protocols selected by the sender apparatus 410 matches the conditions set in the receiver apparatus 420, the receiver apparatus 420 can correctly decrypt the transmitted ciphertext.
  • the ciphertext protocol that can be decrypted by the receiver device 420 and the condition of the protocol combination can be set by freely combining logical sum, logical product, and negation. In particular, if a condition including a logical sum is set in the receiver device 420, it is not necessary for the receiver device 420 to use different key information according to the protocol selected by the sender device 410 or the like.
  • some areas of the attribute information VSET1 and the condition information VSET2 may be reserved areas. That is, at least a part of the vector (first partial correspondence information) included in the attribute information VSET1 and the vector (second partial correspondence information) included in the condition information VSET2 may be set as a spare area.
  • the system settings can be made. These increases can be made without change.
  • 45A and 45B are diagrams for explaining an example in which some areas of the attribute information VSET1 and the condition information VSET2 are reserved areas.
  • the vector v ( ⁇ -s) ⁇ , ..., v ( ⁇ ) ⁇ included in the attribute information VSET and the vector w ( ⁇ -s) ⁇ , ..., w included in the condition information VSET2 ( ⁇ ) ⁇ is a reserved area.
  • s is an integer constant of 1 or more and less than ⁇ .
  • the vector v ( ⁇ -s) ⁇ , ..., v ( ⁇ ) ⁇ is a constant vector const. ( ⁇ -s), ... , const. ( ⁇ )
  • the vector w ( ⁇ -s) ⁇ , ..., w ( ⁇ ) ⁇ is a constant vector const. '( ⁇ -s), ..., const. '( ⁇ ).
  • spare areas are set so that the inner product of the spare area vector w ( ⁇ ) ⁇ and the spare area vector v ( ⁇ ) ⁇ becomes 0 regardless of the value of the specific information PI.
  • the constant vectors const. ( ⁇ -s), ..., const. ( ⁇ ) may be all zero vectors, or the constant vectors const. '( ⁇ -s), ..., const.' ( ⁇ ) may be all zero vectors.
  • the constant vectors const. ( ⁇ -s), ..., const. ( ⁇ ) are all zero vectors, and the constant vectors const. '( ⁇ -s), ..., const.' ( A part of ( ⁇ ) may be other than the zero vector.
  • '( ⁇ -s), ..., const.' ( ⁇ ) are all zero vectors, and the constant vectors const. ( ⁇ -s), ..., const. At least a part of ( ⁇ ) may be other than the zero vector.
  • the constant vector const. ( ⁇ -s), ..., const. ( ⁇ ) is at least partly non-zero, and the constant vector const. '( ⁇ -s), ..., const.
  • a part of '( ⁇ ) may be other than the zero vector, and the inner product of the vector w ( ⁇ ) ⁇ of the spare area and the vector v ( ⁇ ) ⁇ of the spare area may be zero.
  • the first information is key information corresponding to the attribute information VSET1
  • the second information is ciphertext corresponding to the condition information VSET2
  • the sender device outputs the key information to the receiver device.
  • This is a form in which the stored ciphertext is decrypted.
  • the protocol applying the functional encryption method is, for example, the Keyword search encryption protocol, or a combination of the Keyword search encryption protocol and the Forward Secure encryption protocol, the Key Insulated encryption protocol, or the CCA2 secure encryption protocol. Applicable in certain cases.
  • the CP method is used. Below, it demonstrates centering around difference with 4th Embodiment, and simplifies description about the matter which is common in 4th Embodiment.
  • the function encryption application system 5 of this embodiment includes a sender device 510 (information output device), a receiver device 520 (information processing device), and a key generation device 430 connected to a network 140.
  • a sender device 510 information output device
  • a receiver device 520 information processing device
  • a key generation device 430 connected to a network 140.
  • FIG. 35 shows one sender device 510, one recipient device 520, and one key generation device 430, but two or more sender devices 510, recipient devices 520, There may be a key generation device 430.
  • FIG. 46 is a block diagram for explaining the configuration of the sender apparatus 510 of this embodiment.
  • parts common to the fourth embodiment are denoted by the same reference numerals as in the fourth embodiment, and description thereof is omitted (the same applies hereinafter).
  • the sender apparatus 510 of this embodiment includes a temporary memory 111a, a storage unit 511d, an input unit 112, a control unit 113, an identifier specifying unit 414a, an attribute information setting unit 414b, a key A generation processing unit 514d and a communication unit 115 are included.
  • the sender device 510 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the key generation processing unit 514d is a processing unit or an integrated circuit configured by the CPU executing a predetermined program
  • the storage unit 511d is a RAM, a register, a cache memory, an element in the integrated circuit, or a hard disk Or a storage area comprising a combination of at least a part of them.
  • FIG. 47 is a block diagram for explaining the configuration of the recipient apparatus 520 of the present embodiment.
  • the recipient device 520 of this embodiment includes a temporary memory 121a, storage units 421b and 521c, a control unit 123, an identifier specifying unit 524a, a condition information generation unit 524c, and an encryption unit 524d. And a decoding unit 524e and a communication unit 125.
  • the recipient device 520 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the encryption unit 524d is a processing unit or an integrated circuit configured by the CPU executing a predetermined program
  • the storage units 421b and 521c are RAM, registers, cache memory, elements in the integrated circuit, or It is an auxiliary storage device such as a hard disk, or a storage area composed of a combination of at least some of these.
  • Specific information 48A and 48B are diagrams exemplifying the correspondence relationship between the specification information PI and the protocol for specifying one or more types of protocols in the fifth embodiment.
  • one specific information PI corresponding to the selected protocol is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. The combination of specific information PI corresponding to each protocol is specified.
  • specific information PI is assigned for each protocol, and specific information PI is also assigned to a combination of two or more protocols.
  • specific information PI is specified, and when selecting a combination of two or more protocols, two or more types to be selected are selected. Specific information PI corresponding to the combination of protocols is specified.
  • [identifier] 49A, 49B, and 50 are diagrams for explaining an example of a rule for specifying an identifier ID ( ⁇ ) that is defined for each protocol or each combination of protocols in the fifth embodiment. is there.
  • the identifier ID ( ⁇ ) in this embodiment is an n ( ⁇ ) -dimensional vector whose elements are elements of the finite field Fq .
  • an identifier ID ( ⁇ ) is assigned for each selectable protocol.
  • the identifier ID ( ⁇ ) assigned to the selected protocol is input with a value according to the rule defined for that protocol. For example, when the Keyword search encryption protocol is selected, an n ( ⁇ ) -dimensional vector corresponding to the search keyword is input to the identifier ID (1). On the other hand, a constant (const.) That is an n ( ⁇ ) -dimensional vector is input to the identifier ID ( ⁇ ) assigned to the protocol that has not been selected. Further, when a combination of a plurality of protocols is selected, the value of the identifier ID ( ⁇ ) is determined on the assumption that a plurality of protocols constituting the combination are selected.
  • the n ( ⁇ ) dimension vector corresponding to the search keyword is input to the identifier ID (1)
  • the n ( ⁇ ) dimension vector Disposable information is input to the identifier ID (4)
  • a constant (const.) That is an n ( ⁇ ) -dimensional vector is input to the other identifiers ID (2) and ID (3).
  • the identifier ID ( ⁇ ) is assigned only to the selected protocol. For example, when the Keyword search encryption protocol is selected, only an identifier ID (1) that is an n ( ⁇ ) -dimensional vector indicating a search keyword is assigned. Also, for example, when a combination of the Keyword search encryption protocol and the CCA2 secure encryption protocol is selected, an identifier ID (1) that is an n ( ⁇ ) dimension vector indicating a search keyword and an n ( ⁇ ) dimension vector Only the identifier ID (3) indicating the disposable information is assigned.
  • an identifier ID ( ⁇ ) is assigned for each selectable protocol and protocol combination.
  • the identifier ID ( ⁇ ) assigned to the selected protocol and protocol combination is input with a value according to each rule defined for each protocol constituting the selected protocol or combination, and the protocol not selected A constant (const.) That is an n ( ⁇ ) -dimensional vector is input to the identifier ID ( ⁇ ) assigned to the combination.
  • the n ( ⁇ ) dimension vector determined by the combination of the search keyword and the disposable information is input to the identifier ID (3), and others A constant (const.), Which is an n ( ⁇ ) dimensional vector, is input to the identifier ID ( ⁇ ).
  • the above-described identifier determination method is merely an example, and the identifier may be specified by other methods.
  • the identifier ID ( ⁇ ) may be assigned only to the selected protocol and the combination of protocols.
  • the identifier ID ′ ( ⁇ ) is an n ( ⁇ ) -dimensional vector corresponding to an assumed identifier ID ( ⁇ ) having a predetermined value. That is, the value of the identifier ID ′ ( ⁇ ) is determined so that the inner product of the identifier ID ′ ( ⁇ ) and the predetermined identifier ID ( ⁇ ) is zero.
  • the identifier ID ( ⁇ ) is set according to the example of FIG. 49A
  • the “assumed predetermined value” corresponds to a protocol and / or a combination of the protocol and / or a keyword assumed on the receiver device 520 side.
  • An identifier ID ′ (1) in which inner product ID (1) ⁇ ID ′ (1) 0 is set for the identifier ID (1) to be performed.
  • Such a rule for specifying each identifier ID ′ ( ⁇ ) is determined in advance and set in the identifier specifying unit 524a of the recipient device 520.
  • FIG. 51 is a diagram for explaining an example of the encrypted DB according to the fifth embodiment.
  • Mr1 to Mr99 are search target information such as documents
  • KWr1 to KWr9 are keywords such as words
  • True is data such as “1” meaning “true”.
  • C (Mr1),..., C (Mr99) are ciphertexts of the search target information Mr1 to Mr99, respectively.
  • the ciphertext C (Mr1),..., C (Mr99) encryption method may be any method such as a common key encryption method, a public key encryption method, an ID-based encryption method, and a function encryption method.
  • Cr (KWr1, True), ..., Cr (KWr9, True) are the ciphertexts of the function cryptosystem obtained by inputting the condition information VSET2 and plaintext True into the encryption function of the functional cryptosystem, respectively. (Second information).
  • the ciphertext Cr (KWr1, True),..., Cr (KWr9, True) can be correctly decrypted using the key information corresponding to the attribute information VSET1 corresponding to the keywords KWr1 to KWr9, respectively. That is, for example, the attribute information VSET1 corresponding to the keyword KWr1 and the condition information VSET2 used to encrypt the ciphertext Cr (KWr1, True) make the ethical value of the logical expression true.
  • the encrypted DB for the ciphertext C (Mr1),..., C (Mr99) of the search target information (collectively referred to as “Mr”), converts the ciphertext corresponding to the corresponding keyword to Cr (KWr1, True), ..., Cr (KWr9, True) are associated.
  • the keywords corresponding to the search target information Mr1 are KWr1, KWr2, KWr3, and KWr4
  • the ciphertext C (Mr1) of the search target information Mr1 and the ciphertext Cr ( KWr1, True), Cr (KWr2, True), Cr (KWr3, True), and Cr (KWr4, True) are associated with each other.
  • the ciphertext Cr (KWr1, True) can be correctly decrypted using the key information corresponding to the attribute information VSET1 corresponding to the keyword KWr1, and the ciphertext C (Mr1) of the search target information Mr1 is decrypted. Without knowing, it is possible to know that the keyword KWr1 corresponds to the search target information Mr1.
  • such an encrypted DB is stored in the storage unit 521c of the recipient device 520, and each keyword (collectively referred to as “KWr”) and plain text True are stored in the storage unit 521c. Further, each ciphertext Cr (KWr, True) corresponding to each keyword KWr constituting the encrypted DB is sequentially updated as described later.
  • PRO (1) ⁇ PRO (2) ⁇ PRO (3) is preset.
  • a labeled matrix LMT (MT, LAB) corresponding to the standard logical expression is determined in advance in the key generation processing unit 514d and the decryption unit 524e.
  • the master secret information MSK [Setup (1 sec , ( ⁇ ; n (1),..., N ( ⁇ )): setup] of the functional encryption method is stored. Reference) is stored.
  • FIG. 52 is a flowchart for explaining search request processing according to the fifth embodiment.
  • FIG. 53A is a flowchart for explaining key information generation processing according to the fifth embodiment.
  • FIG. 53B is a flowchart for explaining search processing according to the fifth embodiment.
  • identification information PI for identifying one or more types of protocols to which the function encryption method to be executed is applied and the search keyword KWt are input to the sender device 510 (FIG. 46).
  • the data is input to the unit 112 (step S511).
  • the specific information PI is determined as shown in FIG. 48A, specific information PI corresponding to one type of protocol selected by the user, or specific corresponding to two or more types of protocols selected by the user, respectively.
  • a combination of information PI is input to the input unit 112.
  • the specific information PI is determined as shown in FIG. 48B, the specific information PI corresponding to one type of protocol selected by the user or two or more types of protocol is input to the input unit 112.
  • the keyword search encryption protocol is included in the selected protocol or combination of protocols.
  • the specific information PI and the search keyword KWt input to the input unit 112 are input to the identifier specifying unit 414a.
  • the identifier specifying unit 414a performs each protocol or each combination of protocols according to a rule determined for each protocol specified by the specific information PI or each protocol combination (see FIG. 49A, FIG. 49B, and FIG. 50). Then, the identifier ID ( ⁇ ) corresponding to the search keyword KWt is specified, and the specified one or more types of the identifier ID ( ⁇ ) are output (step S512).
  • One or more types of identifier ID ( ⁇ ) output from the identifier specifying unit 414a are input to the attribute information setting unit 414b.
  • the attribute information VSET1 output from the attribute information setting unit 414b is input to the key generation processing unit 514d.
  • the key generation processing unit 514d identifies the label LAB ( ⁇ ) using the n ( ⁇ ) -dimensional vector w ( ⁇ ) ⁇ included in the attribute information VSET1, and determines a labeled matrix LMT (MT, LAB) (step S514). .
  • the labeled matrix LMT (MT, LAB) in which the label LAB ( ⁇ ) is specified is sent to the communication unit 115.
  • the communication unit 115 transmits the labeled matrix LMT (MT, LAB) to the key generation device 430 via the network 140, and the key information SKS (to the search keyword KWt) corresponding to the labeled matrix LMT (MT, LAB).
  • the generation of the corresponding key information SKS) is requested (step S515).
  • the communication unit 135 of the key generation device 430 receives the labeled matrix LMT (MT, LAB) corresponding to the attribute information VSET1 (step S531).
  • the labeled matrix LMT (MT, LAB) received by the communication unit 135 is input to the key generation unit 434.
  • the key generation unit 434 reads out the master secret information MSK from the storage unit 431b, and uses the master secret information MSK and the labeled matrix LMT (MT, LAB), and the key information SKS corresponding to the labeled matrix LMT (MT, LAB). Is generated and output (step S532).
  • a specific generation procedure may be the same as that of the fourth embodiment except that, for example, w ( ⁇ ) ⁇ is used instead of v ( ⁇ ) ⁇ .
  • the generated key information SKS is sent to the communication unit 135, and the communication unit 135 transmits the key information SKS to the sender device 520 via the network 140 (step S533).
  • the communication unit 115 of the sender device 510 receives the key information SKS and sends it to the key generation processing unit 514d.
  • the key generation processing unit 514d stores the key information SKS in the storage unit 511d (step S516).
  • the key information SKS (first information) corresponding to the search keyword KWt read from the storage unit 511d is sent to the communication unit 115, and then sent to the recipient device 520 via the network 140 ( Step S517).
  • the communication unit 125 of the recipient device 520 receives key information SKS (first information) corresponding to the transmitted search keyword KWt and stores it in the storage unit 421b. (Step S521).
  • the identifier specifying unit 524a performs one or more types of identifier ID ′ ( ⁇ corresponding to each keyword KWr corresponding to each search target information Mr according to a rule defined for each protocol or each combination of protocols. ) Is specified (step S522).
  • One or more types of identifier ID ′ ( ⁇ ) specified for each keyword KWr by the identifier specifying unit 524a are input to the condition information generating unit 524c.
  • Each condition information VSET2 for each keyword KWr output from the condition information generation unit 524c is input to the encryption unit 524d.
  • the encryption unit 524d reads the plaintext True from the storage unit 111c, inputs each condition information VSET2 and plaintext True for each keyword KWr to the encryption function of the function encryption method, and plaintext True for each keyword KWr.
  • Ciphertext Cr (KWr, True) (second information) is generated, and the ciphertext corresponding to each keyword of the encrypted DB is updated by these to update the encrypted DB (step S524).
  • the key information SKS (first information) corresponding to the search keyword KWt received by the communication unit 125 in step S521, and any ciphertext Cr (KWr, True) (second information) is input to the decoding unit 524e.
  • the decryption unit 524e inputs the key information SKS (first information) and the ciphertext Cr (KWr, True) (second information) to the decryption function of the function encryption method, executes the decryption process, and the decryption obtained thereby
  • the result Mr "True” or Not is output (step S525).
  • Condition information VSET2 ⁇ , v ( ⁇ ) ⁇
  • ⁇ 1, ... , ⁇ is performed (Equations (122) and (128)).
  • the attribute information VSET1 corresponding to the key information SKS (first information) and the condition information VSET2 corresponding to the ciphertext Cr (KWr, True) (second information) are stored in the key generation processing unit 514d and the decryption unit 524e.
  • the key information SKS first information
  • the ciphertext C (Mr) of the search target information Mr corresponding to the same keyword KW as the search keyword KWt is extracted as a search result.
  • the protocol of the key information SKS (first information) that can select the protocol used by the sender apparatus 510, the combination of protocols, and the keyword and can search the encrypted DB in the receiver apparatus 520.
  • the receiver device 520 can store the encrypted DB in the encrypted DB only when the protocol, the combination of protocols, and the keyword selected by the sender device 510 match the conditions set in the receiver device 520. A search will be performed.
  • a spare area as described in the first modification of the fourth embodiment may be provided for the attribute information VSET1 and the condition information VSET2.
  • the first information is key information corresponding to the attribute information VSET1 and the second information is ciphertext corresponding to the condition information VSET2
  • a protocol based on the Keyword search encryption protocol is used as an example of the case where the first information is key information corresponding to the attribute information VSET1 and the second information is ciphertext corresponding to the condition information VSET2
  • a protocol based on the Keyword search encryption protocol is used. The case where it is executed is illustrated.
  • the present invention is not limited to this.
  • the sender apparatus switches between generating ciphertext corresponding to the attribute information VSET1 or generating key information corresponding to the attribute information VSET1 according to the protocol specified by the specific information PI.
  • the receiver apparatus switches between generating key information corresponding to the condition information or generating a ciphertext corresponding to the condition information according to the protocol specified by the specific information PI.
  • the function encryption application system 6 of this embodiment includes a sender device 610 (information output device), a receiver device 620 (information processing device), and a key generation device 430 connected to a network 140.
  • a sender device 610 information output device
  • a receiver device 620 information processing device
  • a key generation device 430 connected to a network 140.
  • FIG. 35 shows one sender device 610, one recipient device 620, and one key generation device 430, but two or more sender devices 610, recipient devices 620, There may be a key generation device 430.
  • FIG. 54 is a block diagram for explaining the configuration of the sender apparatus 610 of this embodiment. Note that in this embodiment, portions that are the same as in the above-described embodiment are denoted by the same reference numerals as those in the above-described embodiment, and description thereof is omitted (the same applies hereinafter).
  • the sender device 610 of this embodiment includes a temporary memory 111a, storage units 111c and 511d, an input unit 112, a control unit 113, an identifier specifying unit 414a, and an attribute information setting unit 414b.
  • the sender device 610 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the switching unit 614 is a processing unit or an integrated circuit configured by the CPU executing a predetermined program.
  • FIG. 55 is a block diagram for explaining the configuration of the recipient device 620 of this embodiment.
  • the recipient device 620 of this embodiment includes a temporary memory 121a, storage units 421b and 521c, a control unit 123, an identifier specifying unit 624a, a condition information generation unit 624c, and a key generation processing unit. 424d, encryption unit 524d, decryption unit 624e, switching units 624a and 624b, and communication unit 125.
  • the identifier specifying unit 624a has the functions of both the identifier specifying units 424a and 524a.
  • the condition information generation unit 624c has the functions of both the condition information generation units 424c and 524c described above.
  • the decoding unit 624e has the functions of both the decoding units 424e and 524e described above.
  • FIG. 55 shows two blocks indicating the communication unit 125, but this does not mean that two separate communication units 125 are required.
  • the receiver device 620 is a special device configured by, for example, reading and executing a special program in a known or dedicated computer including a CPU, a RAM, a ROM, and the like.
  • the switching units 624a and 624b are a processing unit or an integrated circuit configured by the CPU executing a predetermined program.
  • FIG. 56A is a flowchart for explaining processing of the sender device 610 of the sixth embodiment.
  • FIG. 56B is a flowchart for explaining processing of the receiver device 620 of the sixth embodiment.
  • the processing of this embodiment will be described with reference to these drawings.
  • identification information PI for identifying one or more types of protocols to which the function encryption method to be executed is applied is input to the input unit 112 of the sender apparatus 610 (FIG. 54). (Step S611).
  • the control of the switching unit 614 is performed. Therefore, the encryption processing in steps S411 to S415 of the fourth embodiment is executed.
  • the sender apparatus 610 of this embodiment transmits the specific information PI together with the ciphertext Ct to the receiver apparatus 620.
  • the protocol or the combination of protocols specified by the specific information PI is the search request process and the key information generation process for generating the key information corresponding to the attribute information VSET1 as in the fifth embodiment
  • switching is performed.
  • the search request processing and key information generation processing of steps S511 to S517 and S531 to S533 of the fifth embodiment are executed.
  • the sender apparatus 610 of this embodiment transmits the specific information PI together with the key information SKS to the receiver apparatus 620.
  • the communication unit 125 of the receiver device 620 sets the ciphertext Ct and the specific information PI transmitted from the sender device 610 or key information.
  • a set of SKS and specific information PI is received (step S621).
  • the protocol or the combination of protocols specified by the specific information PI is the decryption process and the key information generation process for generating the key information corresponding to the condition information VSET2 as in the fourth embodiment, switching is performed. Under the control of the units 624a and 624b, the decryption process and the key information generation process of steps S421 to S427 and S431 to S433 of the fourth embodiment are executed.
  • the protocol or combination of protocols specified by the specific information PI is a search process for generating a ciphertext corresponding to the condition information VSET2 as in the fifth embodiment
  • the control of the switching units 624a and 624b Therefore, the search processing of steps S521 to S525 of the fifth embodiment is executed.
  • each operation defined on the finite field F q described above may be replaced with an operation defined on the finite ring Z q of order q .
  • An example of a method of replacing each operation defined on the finite field F q with an operation defined on the finite ring Z q is a method of allowing q other than a prime number or a power value thereof.
  • the key generation device is provided outside the sender device or the receiver device.
  • the sender device or the receiver device may have the function of the key generation device. .
  • Such a sender device or receiver device can generate key information itself without requesting the key generation device to generate key information.
  • the condition information VSET2 is determined by the receiver device.
  • the receiver apparatus may be able to determine the condition information VSET2 before the receiver apparatus receives the ciphertext or key information transmitted from the transmitter apparatus.
  • the receiver device may determine the condition information VSET2 before receiving the ciphertext or key information transmitted from the sender device, and generate the key information or ciphertext corresponding to the condition information VSET2. Good.
  • condition information VSET2 may be used instead of the attribute information VSET1, and the attribute information VSET1 may be used instead of the condition information VSET2. That is, the condition information VSET2 may correspond to the first correspondence information, and the attribute information VSET1 may correspond to the second correspondence information.
  • each device exchanges information through the network.
  • each device may exchange information through a portable recording medium such as a USB memory.
  • this program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
  • a computer that executes such a program first stores a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device.
  • the computer reads a program stored in its own recording medium and executes a process according to the read program.
  • the computer may directly read the program from a portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer.
  • the processing according to the received program may be executed sequentially.
  • the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes a processing function only by an execution instruction and result acquisition. It is good.
  • the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).
  • the present apparatus is configured by executing a predetermined program on a computer.
  • a predetermined program on a computer.
  • at least a part of these processing contents may be realized by hardware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)

Abstract

　情報出力装置が、関数暗号方式に従ったプロトコルごとに定められた規則、又は当該プロトコルの組み合わせごとに定められた規則に従い、関数暗号方式に従った特定のプロトコル又は当該特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定し、それら対応する特定の第１対応情報を設定し、特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する。情報処理装置が、第１情報、及び特定の第２対応情報に対応する関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、第１情報に対応する特定の第１対応情報及び第２情報に対応する特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する。

Description

[規則37.2に基づきISAが決定した発明の名称]　関数暗号応用システム及び方法
　本発明は、暗号技術に関し、特に、関数暗号技術に関する。
　IDベース暗号(IBE: Identity-based Encryption)方式は、公開パラメータと或る識別子(ID)とを用いて暗号文を生成することができ、当該識別子と一対一で対応する鍵情報SKIDを用いて当該暗号文を復号できる方式である（例えば、非特許文献１等参照）。近年、このようなIDベース暗号方式を応用した様々なプロトコルが提案されている。
　例えば、IDベース暗号方式において、現在の日時を含む時間区間に対応する値と受信者装置の固有識別子とを含む値を識別子として暗号化や鍵情報生成を行うことで、Forward-secure暗号やKey-Insulated暗号を構成できることが知られている（例えば、非特許文献２，３等参照）。また、IDベース暗号方式において、検索対象に対応するキーワードを含む情報を識別子とした暗号文を暗号化された検索対象に対応付けた暗号化データベースを格納しておき、キーワードを含む情報を識別子とした鍵情報を用いて暗号化データベースを検索するKeyword検索暗号を構成できることが知られている（例えば、非特許文献４等参照）。その他、例えば、暗号文を復号すべき時点を識別子とすればTimed-Release暗号が実現でき、ランダム数のような使い捨て情報を識別子とすればCCA2(Chosen Ciphertext Attack 2)暗号を実現できる。
D.Boneh, M. Franklin, "Identity Based Encryption from the Weil Pairing," Crypto 2001, Lecture Notes in Computer Science, Vol. 2139, Springer-Verlag, pp.213-229, 2001. R. Canetti, S. Halevi, J. Katz, "A Forward-Secure Public-Key Encryption Scheme," EUROCRYPT'2003, 255-271. Y. Dodis, M. Franklin, J. Katz, A. Miyaji and M. Yung, "Intrusion-Resilient Public-Key Encryption," CT RSA 2003, Lecture Notes in Computer Science, 2612(2003), Springer-Verlag, 19-32. D. Boneh, G. Di Crescenzo, R. Ostrovsky, and G. Persiano, "Public Key Encryption with keyword Serch," Eurocrypt 2004.
　上述のように、IDベース暗号方式では、使用する識別子に応じて様々なプロトコルを構成できる。そのため、使用する識別子を切り替えることでプロトコルを切り替えることができる。また、複数のプロトコルに対応する識別子の組み合わせを新たな識別子として用いれば、複数のプロトコルの組み合わせ、すなわち、複数のプロトコルの特徴を兼ね備えた新たなプロトコルを構成することもできる。
　しかしながら、IDベース暗号方式の鍵情報と識別子とは一対一で対応する。すなわち、IDベース暗号方式を応用したプロトコルでは、プロトコルごとに別個の鍵情報が必要となる。そのため、暗号文を生成する側の装置が暗号文の生成に使用する識別子を選択し、選択した識別子に応じてプロトコルを切り替えるシステムを構成した場合、暗号文の復号を行う装置は、切り替えられる各プロトコルにそれぞれ別個に対応する各鍵情報を保持しておく必要がある。このような鍵情報の生成・管理は煩雑であり、好ましくない。
　同様に、１つの平文に対するIDベース暗号方式の暗号文と識別子とは一対一で対応する。すなわち、IDベース暗号方式を応用したプロトコルでは、プロトコルごとに別個の暗号文が必要となる。そのため、鍵情報を生成する側の装置が鍵情報の生成に使用する識別子を選択し、選択した識別子に応じてプロトコルを切り替えるシステムを構成した場合、暗号文の生成を行う装置は、切り替えられる各プロトコルにそれぞれ別個に対応する各暗号文を保持しておく必要がある。このような暗号文の生成・管理は煩雑であり、好ましくない。
　このような問題は、鍵情報を生成する側の装置が鍵情報の生成に使用する識別子を選択し、選択した識別子に応じてプロトコルを切り替えることが可能であるとともに、暗号文を生成する側の装置が暗号文の生成に使用する識別子を選択し、選択した識別子に応じてプロトコルを切り替えることも可能なシステムを構成する場合でも同様に生じる。
　本発明はこのような点に鑑みてなされたものであり、煩雑な処理・管理を必要とせずに、選択した識別子に応じてプロトコルを切り替えることが可能な技術を提供することを目的とする。
　本発明では上記課題を解決するために、第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルを構成する。
　本発明の情報出力装置は、関数暗号方式に従ったプロトコルごとに定められた規則、又は関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従い、関数暗号方式に従った特定のプロトコル又は関数暗号方式に従った特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定し、１種類の識別子又は複数種類の識別子の組み合わせに対応する特定の第１対応情報を設定し、特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する。
　本発明の情報処理装置は、第１情報、及び特定の第２対応情報に対応する関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、第１情報に対応する特定の第１対応情報及び第２情報に対応する特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する。なお、第１情報が特定の第１対応情報に対応する暗号文である場合には第２情報は特定の第２対応情報に対応する鍵情報であり、第１情報が特定の第１対応情報に対応する鍵情報である場合には第２情報は特定の第２対応情報に対応する暗号文である。
　上述のように、関数暗号方式では、第１情報に対応する特定の第１対応情報と第２情報に対応する特定の第２対応情報との組み合わせに対応する論理式の真理値が真の場合に、正しい復号結果が生成される。また、特定の第１対応情報は、１種類の識別子又は複数種類の識別子の組み合わせに対して定まる情報である。また、特定の第２対応情報は、特定の第１対応情報に対応する第１情報、及び特定の第２対応情報に対応する第２情報が復号関数に入力された場合、特定の第１対応情報がとる１種類の値又は複数種類の値に対してそれぞれ復号結果が得られる値をとる。すなわち、本発明では、１種類以上の第１情報に対して同一の第２情報を共用して、正しい復号を行うことができる。
　以上のように本発明では、１種類以上の第１情報に対して同一の第２情報を共用できる。そのため、情報出力装置が１種類の識別子又は２種類以上の当該識別子の組み合わせを選択し、選択した識別子に応じてプロトコルを切り替えて第１情報を生成する場合であっても、情報処理装置は切り替えられるプロトコルごとに別個に第２情報を生成する必要はない。その結果、本発明では、煩雑な処理・管理を必要とせずに、選択した識別子に応じてプロトコルを切り替えることができる。
図１は、第１実施形態の関数暗号応用システムの全体構成を説明するためのブロック図である。 図２は、図１の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図３は、図１の受信者装置（情報処理装置）の構成を説明するためのブロック図である。 図４は、図１の鍵生成装置の構成を説明するためのブロック図である。 図５Ａは、第１実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。図５Ｂは、第１実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。 図６Ａは、第１実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。図６Ｂは、第１実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。 図７は、第１実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。 図８Ａは、１種類の識別子ID(h)又は２種類以上の識別子ID(h)の組み合わせに対して１つの属性情報ATTを特定するための属性情報テーブルの一例を説明するための図であり、図８Ｂは、当該属性情報テーブルによって定まる属性情報ATTのデータ構成を説明するための図である。 図９Ａは、１種類の識別子ID(h)又は２種類以上の識別子ID(h)の組み合わせに対して１つの属性情報ATTを特定するための属性情報テーブルの一例を説明するための図である。図９Ｂは、当該属性情報テーブルによって定まる属性情報ATTのデータ構成を説明するための図である。 図１０Ａは、それぞれ、多項式f(x0,...,xH-1)に対応する述語情報PREの一例を説明するための図である。図１０Ｂは、当該述語情報PREのデータ構成を説明するための図である。 図１１Ａは、それぞれ、多項式f(x0,...,xH-1)に対応する述語情報PREの一例を説明するための図である。図１１Ｂは、当該述語情報PREのデータ構成を説明するための図である。 図１２Ａは、第１実施形態の暗号化処理を説明するためのフローチャートである。図１２Ｂは、第１実施形態の鍵情報生成処理を説明するためのフローチャートである。 図１３は、第１実施形態の復号処理を説明するためのフローチャートである。 図１４Ａは、属性情報ATT及び述語情報PREの一部の領域を予備領域とした例を説明するための図である。図１４Ｂは、属性情報ATT及び述語情報PREの一部の領域を予備領域とした例を説明するための図である。 図１５Ａは、属性情報ATT及び述語情報PREの一部の領域を予備領域とした例を説明するための図である。図１５Ｂは、属性情報ATT及び述語情報PREの一部の領域を予備領域とした例を説明するための図である。 図１６は、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。 図１７Ａは、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。図１７Ｂは、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。 図１８Ａは、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。図１８Ｂは、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。 図１９は、第２実施形態の関数暗号応用システムの全体構成を説明するためのブロック図である。 図２０は、図１９の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図２１は、図１９の受信者装置（情報処理装置）の構成を説明するためのブロック図である。 図２２Ａは、第２実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。図２２Ｂは、第２実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。 図２３Ａは、第２実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。図２３Ｂは、第２実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。 図２４は、第２実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。 図２５は、第２実施形態の暗号化DBの一例を説明するための図である。 図２６Ａは、第２実施形態の検索依頼処理を説明するためのフローチャートである。図２６Ｂは、第２実施形態の鍵情報生成処理を説明するためのフローチャートである。 図２７は、第２実施形態の検索処理を説明するためのフローチャートである。 図２８は、第３実施形態の関数暗号応用システムの全体構成を説明するためのブロック図である。 図２９は、図２８の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図３０は、図２８の受信者装置（情報処理装置）の構成を説明するためのブロック図である。 図３１Ａは、第３実施形態の送信者装置の処理を説明するためのフローチャートである。図３１Ｂは、第３実施形態の受信者装置の処理を説明するためのフローチャートである。 図３２は、標準形論理式を表現する木構造データを例示する図である。 図３３は、標準形論理式を表現する木構造データを例示する図である。 図３４は、関数暗号の(Dec-1)の処理の具体例を説明するための図である。 図３５は、第４実施形態の関数暗号応用システムの全体構成を説明するためのブロック図である。 図３６は、第４実施形態の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図３７は、第４実施形態の受信者装置（情報処理装置）野構成を説明するためのブロック図である。 図３８は、第４実施形態の鍵生成装置の構成を説明するためのブロック図である。 図３９Ａは、第４実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。図３９Ｂは、第４実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。 図４０Ａは、第４実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。図４０Ｂは、第４実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。 図４１は、第４実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。 図４２Ａは、属性情報VSET1のデータ構成を説明するための図である。図４２Ｂは、条件情報VSET2のデータ構成を説明するための図である。 図４３Ａは、第４実施形態の暗号化処理を説明するためのフローチャートである。図４３Ｂは、第４実施形態の鍵情報生成処理を説明するためのフローチャートである。 図４４は、第４実施形態の復号処理を説明するためのフローチャートである。 図４５Ａは、属性情報VSET1の一部の領域を予備領域とした例を説明するための図である。図４５Ｂは、条件情報VSET2の一部の領域を予備領域とした例を説明するための図である。 図４６は、第５実施形態の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図４７は、第５実施形態の受信者装置（情報処理装置）の構成を説明するためのブロック図である。 図４８Ａは、第５実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。図４８Ｂは、第５実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。 図４９Ａは、第５実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。図４９Ｂは、第５実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。 図５０は、第５実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。 図５１は、第５実施形態の暗号化DBの一例を説明するための図である。 図５２は、第５実施形態の検索依頼処理を説明するためのフローチャートである。 図５３Ａは、第５実施形態の鍵情報生成処理を説明するためのフローチャートである。図５３Ｂは、第５実施形態の検索処理を説明するためのフローチャートである。 図５４は、第６実施形態の送信者装置（情報出力装置）の構成を説明するためのブロック図である。 図５５は、第６実施形態の受信者装置（情報処理装置）の構成を説明するためのブロック図である。 図５６Ａは、第６実施形態の送信者装置の処理を説明するためのフローチャートである。図５６Ｂは、第６実施形態の受信者装置の処理を説明するためのフローチャートである。
　以下、本発明を実施するための形態を説明する。
　〔第１～３実施形態での定義〕
　まず、第１～３実施形態で使用する用語や記号を定義する。
　行列：「行列」とは演算が定義された集合の元を矩形に並べたものを表す。環の元を要素とするものだけではなく、群の元を要素とするものも「行列」と表現する。
　(・)T：(・)Tは・の転置行列を表す。
　(・)-1：(・)-1は・の逆行列を表す。
　∧：∧は論理積を表す。
　∨：∨は論理和を表す。
　Ｚ：Ｚは整数集合を表す。
　ｋ：ｋはセキュリティパラメータ（k∈Z, k>0）を表す。
　{0,1}*：{0,1}*は任意ビット長のバイナリ系列を表す。その一例は、整数0及び1からなる系列である。しかし、{0,1}*は整数0及び1からなる系列に限定されない。{0,1}*は位数2の有限体又はその拡大体と同義である。
　q：qは１以上の整数を表す。
Zq：Zqは位数qの有限環を表す。有限環上の演算は、例えば、位数qを法とする剰余演算によって容易に構成できる。
　Fq：Fqは位数qの有限体を表す。Fqが有限体であるためには、位数qは素数又は素数のべき乗値でなければならない。有限体Fqの例は素体やそれを基礎体とした拡大体である。なお、有限体Fqが素体である場合の演算は、例えば、位数qを法とする剰余演算によって容易に構成できる。また、有限体Fqが拡大体である場合の演算は、例えば、既約多項式を法とする剰余演算によって容易に構成できる。有限体Fqの具体的な構成方法は、例えば、参考文献１「ISO/IEC 18033-2: Information technology - Security techniques - Encryption algorithms - Part 2: Asymmetric ciphers」に開示されている。
　0F：0Fは有限体Fqの加法単位元（零元）を表す。
　1F：1Fは有限体Fqの乗法単位元を表す。
　δ(i,j)：δ(i,j)はクロネッカーのデルタ関数を表す。i=jの場合にδ(i,j)=1Fを満たし、i≠jの場合にδ(i,j)=0 Fを満たす。
　E：Eは有限体Fq上で定義された楕円曲線を表す。楕円曲線Eはアフィン（affine）座標版のWeierstrass方程式
　　　y2+a1・x・y+a3・y=x3+a2・x2+a4・x+a6　　　　　…(1)
（ただし、a1,a2,a3,a4,a6∈Fq）を満たすx,y∈Fqからなる点(x,y)の集合に無限遠点と呼ばれる特別な点Ｏを付加したもので定義される。楕円曲線E上の任意の２点に対して楕円加算と呼ばれる二項演算＋及び楕円曲線E上の任意の１点に対して楕円逆元と呼ばれる単項演算－がそれぞれ定義できる。また、楕円曲線E上の有理点からなる有限集合が楕円加算に関して群をなすこと、楕円加算を用いて楕円スカラー倍算と呼ばれる演算が定義できること、及びコンピュータ上での楕円加算などの楕円演算の具体的な演算方法はよく知られている（例えば、参考文献１、参考文献２「RFC 5091: Identity-Based Cryptography Standard (IBCS) #1: Supersingular Curve Implementations of the BF and BB1 Cryptosystems」、参考文献３「イアン・Ｆ・ブラケ、ガディエル・セロッシ、ナイジェル・Ｐ・スマート＝著、「楕円曲線暗号」、出版＝ピアソン・エデュケーション、ISBN4-89471-431-0」等参照）。
　また、楕円曲線E上の有理点からなる有限集合は位数p(p≧1)の部分群を持つ。例えば、楕円曲線E上の有理点からなる有限集合の要素数を＃Eとし、pを＃Eを割り切る大きい素数とした場合、楕円曲線Eのp等分点からなる有限集合E[p]は、楕円曲線E上の有理点からなる有限集合の部分群を構成する。なお、楕円曲線Eのp等分点とは、楕円曲線E上の点Aのうち、楕円曲線E上での楕円スカラー倍算値p・Aがp・A＝Ｏを満たす点を意味する。
　G1, G2,GT：G1, G2, GTは位数qの巡回群を表す。巡回群G1, G2の具体例は、楕円曲線Eのp等分点からなる有限集合E[p]やその部分群である。G1=G2であってもよいしG1≠G2であってもよい。また、巡回群GTの具体例は、有限体Fqを基礎体とする拡大体の加法についての部分群である。その一例は、有限体Fqの代数閉包における１のｐ乗根からなる有限集合である。
　なお、第１～３実施形態では、巡回群G1, G2上で定義された演算を加法的に表現し、巡回群GT上で定義された演算を乗法的に表現する。すなわち、χ∈Fq及びΩ∈G1に対するχ・Ω∈G1は、Ω∈G1に対して巡回群G1で定義された演算をχ回施すことを意味し、Ω1, Ω2∈G1に対するΩ1+Ω2∈G1は、Ω1∈G1とΩ2∈G1とを被演算子として巡回群G1で定義された演算を行うことを意味する。同様に、χ∈Fq及びΩ∈G2に対するχ・Ω∈G2は、Ω∈G2に対して巡回群G2で定義された演算をχ回施すことを意味し、Ω1, Ω2∈G2に対するΩ1+Ω2∈G2は、Ω1∈G2とΩ2∈G2とを被演算子として巡回群G2で定義された演算を行うことを意味する。一方、χ∈Fq及びΩ∈GTに対するΩχ∈GTは、Ω∈GTに対して巡回群GTで定義された演算をχ回施すことを意味し、Ω1,Ω2∈GTに対するΩ1・Ω2∈GTは、Ω1∈GTとΩ2∈GTとを被演算子として巡回群GTで定義された演算を行うことを意味する。
　G1 n+1：G1 n+1はn+1(n≧1)個の巡回群G1の直積を表す。
　G2 n+1：n+1個の巡回群G2の直積を表す。
　g1, g2,gT：g1, g2, gTは巡回群G1, G2,GTの生成元を表す。
　V：Vはn+1個の巡回群G1の直積からなるn+1次元のベクトル空間を表す。
　V*：V*はn+1個の巡回群G2の直積からなるn+1次元のベクトル空間を表す。
　e：eは直積G1 n+1と直積G2 n+1との直積G1 n+1×G2 n+1を巡回群GTに写す非退化な双線形写像（bilinear map）を表す。双線形写像eは、巡回群G1のn+1個の元γL(L=1,...,n+1)(n≧1)と巡回群G2のn+1個の元γL *(L=1,...,n+1)とを入力とし、巡回群GTの１個の元を出力する。
　　　e：G1 n+1×G2 n+1→GT　　　　　　…(2)
　双線形写像eは以下の性質を満たす。
　［双線形性］すべてのΓ1∈G1 n+1，Γ2∈G2 n+1及びν，κ∈Fqについて以下の関係を満たす。
　　　e(ν・Γ1,κ・Γ2)=e(Γ1,Γ2)ν・κ　　　　　…(3)
　［非退化性］すべてのΓ1∈G1 n+1，Γ2∈G2 n+1を巡回群GTの単位元に写すものではない。
　［計算可能性］あらゆるΓ1∈G1 n+1，Γ2∈G2 n+1についてe(Γ1,Γ2)を効率的に計算するアルゴリズムが存在する。
　第１～３実施形態では、巡回群G1と巡回群G2との直積G1×G2を巡回群GTに写す非退化な双線形写像
　　　Pair:G1×G2→GT　　　　　　…(4)
を用いて双線形写像eを構成する。第１～３実施形態の双線形写像eは、巡回群G1のn+1個の元γL(L=1,...,n+1)からなるn+1次元ベクトル(γ1,...,γn+1)と、巡回群G2のn+1個の元γL *(i=1,...,n+1)からなるn+1次元ベクトル(γ1 *,...,γn+1 *)との入力に対し、巡回群GTの１個の元
　　　e=ΠL=1 n+1Pair(γL, γL *)　　　　　…(5)
を出力する。
　なお、双線形写像Pairは、巡回群G1の１個の元と巡回群G2の１個の元との組を入力とし、巡回群GTの１個の元を出力するものであり、以下の性質を満たす。
　［双線形性］すべてのΩ1∈G1，Ω2∈G2及びν，κ∈Fqについて以下の関係を満たす。
　　　Pair(ν・Ω1,κ・Ω2)=Pair(Ω1,Ω2)ν・κ　　　　　…(6)
　［非退化性］すべてのΩ1∈G1，Ω2∈G2を巡回群GTの単位元に写すものではない。
　［計算可能性］あらゆるΩ1∈G1，Ω2∈G2についてPair(Ω1,Ω2)を効率的に計算するアルゴリズムが存在する。
　なお、双線形写像Pairの具体例は、WeilペアリングやTateペアリングなどのペアリング演算を行うための関数である（例えば、参考文献４「Alfred. J. Menezes，ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS， KLUWER ACADEMIC PUBLISHERS， ISBN0-7923-9368-6，pp. 61-81」等参照）。また、楕円曲線Eの種類に応じ、Tateペアリングなどのペアリング演算を行うための関数と所定の関数phiを組み合わせた変更ペアリング関数e(Ω1,phi(Ω2))（Ω1∈G1，Ω2∈G2）を双線形写像Pairとして用いてもよい（例えば、参考文献２等参照）。また、ペアリング演算をコンピュータ上で行うためのアルゴリズムとしては、周知のMiller のアルゴリズム（参考文献５「V. S. Miller, “Short Programs for functions on Curves,”1986，インターネット＜http://crypto.stanford.edu/miller/miller.pdf＞」などが存在する。また、ペアリング演算を効率的に行うための楕円曲線や巡回群の構成方法はよく知られている（例えば、参考文献２、参考文献６「A. Miyaji, M. Nakabayashi, S.Takano, "New explicit conditions of elliptic curve Traces for FR-Reduction," IEICE Trans. Fundamentals, vol. E84-A, no05, pp. 1234-1243, May 2001」、参考文献７「P.S.L.M. Barreto, B. Lynn, M. Scott, "Constructing elliptic curves with prescribed embedding degrees," Proc. SCN '2002, LNCS 2576, pp.257-267, Springer-Verlag. 2003」、参考文献８「R. Dupont, A. Enge, F. Morain, "Building curves with arbitrary small MOV degree over finite prime fields," http://eprint.iacr.org/2002/094/」等参照）。
　ai(i=1,...,n+1)：aiは巡回群G1のn+1個の元を要素とするn+1次元の基底ベクトルを表す。基底ベクトルaiの一例は、κ1・g1∈G1をi次元目の要素とし、残りのn個の要素を巡回群G1の単位元（加法的に「0」と表現）とするn+1次元の基底ベクトルである。この場合、n+1次元の基底ベクトルai(i=1,...,n+1)の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　a1=(κ1・g1,0,0,...,0)
　　　a2=(0,κ1・g1,0,...,0) 　　　　　…(7)
　　　　　　　　...
　　　an+1=(0,0,0,...,κ1・g1)
　ここで、κ1は加法単位元0F以外の有限体Fqの元からなる定数であり、κ1∈Fqの具体例はκ1=1Fである。基底ベクトルaiは直交基底であり、巡回群G1のn+1個の元を要素とするすべてのn+1次元ベクトルは、n+1次元の基底ベクトルai(i=1,...,n+1)の線形和によって表される。すなわち、n+1次元の基底ベクトルaiは前述のベクトル空間Vを張る。
　ai *(i=1,...,n+1)：ai *は巡回群G2のn+1個の元を要素とするn+1次元の基底ベクトルを表す。基底ベクトルai *の一例は、κ2・g2∈G2をi次元目の要素とし、残りのn個の要素を巡回群G2の単位元（加法的に「0」と表現）とするn+1次元の基底ベクトルである。この場合、基底ベクトルai *(i=1,...,n+1)の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　a1 *=(κ2・g2,0,0,...,0)
　　　a2 *=(0,κ2・g2,0,...,0)  　　　　　…(8)
　　　　　　　...
　　　an+1 *=(0,0,0,...,κ2・g2)
　ここで、κ2は加法単位元0F以外の有限体Fqの元からなる定数であり、κ2∈Fqの具体例はκ2=1Fである。基底ベクトルai *は直交基底であり、巡回群G2のn+1個の元を要素とするすべてのn+1次元ベクトルは、n+1次元の基底ベクトルai *(i=1,...,n+1)の線形和によって表される。すなわち、n+1次元の基底ベクトルai *は前述のベクトル空間V*を張る。
　なお、基底ベクトルaiと基底ベクトルai *とは、0Fを除く有限体Fqの元τ=κ1・κ2について
　　　e(ai, aj *)=gT τ・δ(i,j) 　　　　　…(9)
を満たす。すなわち、i=jの場合には、式(5)(6)の関係から、
　　　e(ai, aj *)= Pair(κ1・g1,κ2・g2)・Pair(0, 0)・...・Pair(0, 0)
　　　　　　　= Pair(g1, g2)κ1・κ2・Pair(g1, g2)0・0・...・Pair(g1, g2)0・0
　　　　　　　= Pair(g1, g2)κ1・κ2=gT τ
を満たす。一方、i≠jの場合には、e(ai, aj *)は、Pair(κ1・g1,κ2・g2)を含まず、Pair(κ1・g1,0)と Pair(0,κ2・g2)とPair(0,0)との積になる。さらに、式(6)の関係からPair(g1, 0)=Pair(0, g2)=Pair(g1, g2)0を満たす。そのため、i≠jの場合には、
　　　e(ai, aj *)=e(g1, g2)0=gT 0
を満たす。
　特に、τ=κ1・κ2=1Fである場合（例えば、κ1=κ2=1Fの場合）、
　　　e(ai, aj *)=gT δ(i,j) 　　　　　…(10)
を満たす。ここで、gT 0=1は巡回群GTの単位元であり、gT 1= gTは巡回群GTの生成元である。この場合、基底ベクトルaiと基底ベクトルai *とは双対正規直交基底であり、ベクトル空間Vとベクトル空間V*とは、双線形写像を構成可能な双対ベクトル空間〔双対ペアリングベクトル空間（DPVS:Dual Paring Vector space)〕である。
　A：Aは基底ベクトルai(i=1,...,n+1)を要素とするn+1行n+1列の行列を表す。例えば、基底ベクトルai(i=1,...,n+1)が式(7)によって表現される場合、行列Aは、
Figure JPOXMLDOC01-appb-M000001
となる。
　A*：A*は基底ベクトルai *(i=1,...,n+1)を要素とするn+1行n+1列の行列を表す。例えば、基底ベクトルai *(i=1,...,n+1)が式(8)によって表現される場合、行列A*は、
Figure JPOXMLDOC01-appb-M000002
となる。
　X：Xは有限体Fqの元を要素とするn+1行n+1列の行列を表す。基底ベクトルaiの座標変換に用いられる。行列Ｘのi行j列(i=1,...,n+1,j=1,...,n+1)の要素をχi,j∈Fqとすると、行列Xは、
Figure JPOXMLDOC01-appb-M000003
となる。なお、行列Ｘの各要素χi,jを変換係数と呼ぶ。
　X *：X *は行列Xの逆行列の転置行列Ｘ*=(Ｘ-1)Tを表す。基底ベクトルai *の座標変換に用いられる。行列X*のi行j列の要素をχi,j *∈Fqとすると、行列Ｘ*は、
Figure JPOXMLDOC01-appb-M000004
となる。なお、行列Ｘ*の各要素χi,j *を変換係数と呼ぶ。
　この場合、n+1行n+1列の単位行列をIとするとＸ・(Ｘ*)T=Ｉを満たす。すなわち、単位行列
Figure JPOXMLDOC01-appb-M000005
に対し、
Figure JPOXMLDOC01-appb-M000006
を満たす。ここで、n+1次元ベクトル
　　　χi →=(χi,1,...,χi,n+1)　　　　　  …(17)
　　　χj →*=(χj,1 *,...,χj,n+1 *) 　　　　　…(18)
を定義する。すると、式(16)の関係から、n+1次元ベクトルχi →とχj →*との内積は、
　　　χi →・χj →*=δ(i,j)　　　　　…(19)
となる。
　bi：biは巡回群G1のn+1個の元を要素とするn+1次元の基底ベクトルを表す。biは行列Xを用いて基底ベクトルai(i=1,...,n+1)を座標変換することで得られる。具体的には、基底ベクトルbiは、
　　　bi=Σj=1 n+1χi,j・aj　　　　　…(20)
の演算によって得られる。例えば、基底ベクトルaj(j=1,...,n+1)が式(7)によって表現される場合、基底ベクトルbiの各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　bi=(χi,1・κ1・g1 ,χi,2・κ1・g1 ,...,χi,n+1・κ1・g1) 　　　…(21)
　巡回群G1のn+1個の元を要素とするすべてのn+1次元ベクトルは、n+1次元の基底ベクトルbi(i=1,...,n+1)の線形和によって表される。すなわち、n+1次元の基底ベクトルbiは前述のベクトル空間Vを張る。
　bi *：bi *は巡回群G2のn+1個の元を要素とするn+1次元の基底ベクトルを表す。bi *は行列X*を用いて基底ベクトルai *(i=1,...,n+1)を座標変換することで得られる。具体的には、基底ベクトルbi *は、
　　　bi *=Σj=1 n+1χi,j *・aj *　　　　　…(22)
の演算によって得られる。例えば、基底ベクトルaj *(j=1,...,n+1)が式(8)によって表現される場合、基底ベクトルbi *の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　bi *=(χi,1 *・κ2・g2 ,χi,2 *・κ2・g2 ,...,χi,n+1 *・κ2・g2) 　　…(23)
　巡回群G2のn+1個の元を要素とするすべてのn+1次元ベクトルは、n+1次元の基底ベクトルbi *(i=1,...,n+1)の線形和によって表される。すなわち、n+1次元の基底ベクトルbi *は前述のベクトル空間V*を張る。
　なお、基底ベクトルbiと基底ベクトルbi *とは、0Fを除く有限体Fqの元τ=κ1・κ2について
　　　e(bi, bj *)=gT τ・δ(i,j) 　　　　　…(24)
を満たす。すなわち、式(5)(19)(21)(23)の関係から、
Figure JPOXMLDOC01-appb-M000007
を満たす。特に、τ=κ1・κ2=1Fである場合（例えば、κ1=κ2=1Fの場合）、
　　　e(bi, bj *)=gT δ(i,j) 　　　　　…(25)
を満たす。この場合、基底ベクトルbiと基底ベクトルbi *とは、双対ペアリングベクトル空間（ベクトル空間Vとベクトル空間V*）の双対正規直交基底である。
　なお、式(24)の関係を満たすのであれば、式(7)(8)で例示したもの以外の基底ベクトルai及びai *や、式(20)(22)で例示したもの以外の基底ベクトルbi及びbi *を用いてもよい。
　B：Bは基底ベクトルbi(i=1,...,n+1)を要素とするn+1行n+1列の行列を表す。BはB=X・Aを満たす。例えば、基底ベクトルbiが式(21)によって表現される場合、行列Bは、
Figure JPOXMLDOC01-appb-M000008
となる。
　B*：B*は基底ベクトルbi *(i=1,...,n+1)を要素とするn+1行n+1列の行列を表す。B*=X*・A*を満たす。例えば、基底ベクトルbi *(i=1,...,n+1)が式(23)によって表現される場合、行列B*は、
Figure JPOXMLDOC01-appb-M000009
となる。
　w→：w→は有限体Fqの元を要素とするn次元ベクトルを表す。
　　　w→=(w1,...,wn)∈Fq n 　　　　　…(28)
　wμ：wμはn次元ベクトルのμ(μ=1,...,n)番目の要素を表す。
　v→：v→は有限体Fqの元を要素とするn次元ベクトルを表す。
　　　v→=(v1,...,vn)∈Fq n 　　　　　…(29)
　vμ：vμはn次元ベクトルのμ(μ=1,...,n)番目の要素を表す。
　Enc：Encは共通鍵暗号方式の暗号化処理を示す共通鍵暗号関数。共通鍵暗号方式の具体例は、カメリア（Camellia）(登録商標)やAESなどを表す。
　Enck(M)：Enck(M)は共通鍵Kを用い、共通鍵暗号関数Encに従って平文Mを暗号化して得られた暗号文を表す。
　Dec：Decは共通鍵暗号方式の復号処理を示す共通鍵復号関数を表す。
　Deck(C)：Deck(C)は共通鍵Kを用い、共通鍵復号関数Decに従って暗号文Cを復号して得られた復号結果を表す。
　〔内積述語暗号〕
　次に、関数暗号の一種である内積述語暗号の基本的な構成を例示する。
　＜関数暗号＞
　関数暗号とは、「属性情報」と呼ばれる情報と「述語情報」と呼ばれる情報との組み合わせが所定の論理式の真理値を「真」にする場合に暗号文が復号できる方式である。すなわち、関数暗号では、「属性情報」と「述語情報」の一方が暗号文に埋め込まれ、他方が鍵情報に埋め込まれ、暗号文又は鍵情報である第１情報に対応する属性情報と、鍵情報又は暗号文である第２情報に対応する述語情報とが予め定められた関数に入力された場合の当該関数値が予め定められた値となる場合に、正しい復号結果を生成する。例えば、参考文献９「"Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products," with Amit Sahai and Brent Waters One of 4 papers from Eurocrypt 2008 invited to the Journal of Cryptology」等に開示された述語暗号は関数暗号の一種である。
　＜内積述語暗号＞
　内積述語暗号は、属性情報や述語情報として互いに次元が等しいベクトルを用い、それらの内積が０となる場合に暗号文が復号される述語暗号である。内積述語暗号では、内積が０となることと論理式が「真」となることとが等価である。なお、参考文献９に記載された述語暗号も内積述語暗号の一種である。
　［論理式と多項式との関係］
　内積述語暗号では、論理和や論理積からなる論理式を多項式で表現する。
　まず、「xがη0である」という命題１と「xがη1である」という命題２との論理和 (x=η0)∨(x=η1)を
　　　(x-η0)・(x-η1)　　　　　…(30)
という多項式で表現する。すると、各真理値と式(30)の関数値との関係は以下のようになる。
Figure JPOXMLDOC01-appb-T000010
　[表1]から分かるように、論理和(x=η0)∨(x=η1)が真である場合、式(30)の関数値は0になり、論理和(x=η0)∨(x=η1)が偽である場合、式(30)の関数値は0以外の値となる。すなわち、論理和(x=η0)∨(x=η1)が真であることと、式(30)の関数値が0となることとは等価である。よって、論理和は式(30)で表現できる。
　また、「xがη0である」という命題１と「xがη1である」という命題２との論理積 (x=η0)∧(x=η1)を
　　　ι0・(x-η0)+ι1・(x-η1)　　　　　…(31)
という多項式で表現する。ただし、ι0及びι1は乱数である（その他の添え字が付いたιも同様）。すると、真理値と式(31)の関数値とは以下の関係となる。
Figure JPOXMLDOC01-appb-T000011
　[表２]から分かるように、論理積 (x=η0)∧(x=η1)が真である場合、式(31)の関数値は0になり、論理積 (x=η0)∧(x=η1)が偽である場合、式(31)の関数値は0以外の値となる。すなわち、論理積 (x=η0)∧(x=η1)が真であることと、式(31)の関数値が0となることとは等価である。よって、論理積は式(31)で表現できる。
　以上のように、式(30)と式(31)とを用いることで論理和や論理積からなる論理式を多項式f(x)で表現できる。例えば、論理式{(x=η0)∨(x=η1)∨(x=η2)}∧(x=η3)∧(x=η4)は、多項式
f(x)=ι0・{(x-η0)・(x-η1)・(x-η2)}+ι1・(x=η3)+ι2・(x=η4)　　…(32)
で表現できる。
　なお、式(30）では、１つの不定元xを用いて論理和を表現したが、複数の不定元を用いて論理和を表現することも可能である。例えば、２つの不定元x0及びx1を用い、「x0がη0である」という命題１と「x1がη1である」という命題２との論理和 (x0=η0)∨(x1=η1)を
　　　(x0-η0)・(x1-η1)　　　　　…(33)
という多項式で表現することも可能であり、３つ以上の不定元を用い、論理和を多項式で表現することも可能である。
　また、式(31）では、１つの不定元xを用いて論理積を表現したが、複数の不定元を用いて論理積を表現することも可能である。例えば、また、「x0がη0である」という命題１と「x1がη1である」という命題２との論理積 (x0=η0)∧(x1=η1)を
　　　ι0・(x0-η0)+ι1・(x1-η1)　　　　　…(34)
という多項式で表現することも可能であり、３つ以上の不定元を用い、論理積を多項式で表現することも可能である。
　以下では、論理和及び／又は論理積を含む論理式をH(H≧1)個の不定元x0,...,xH-1を用いて表現した多項式をf(x0,...,xH-1) と表現する。また、各不定元x0,...,xH-1に対応する命題を「xhがηhである」とする。ただし、ηh（h=0,...H-1）は命題ごとに定まる定数である。この場合、当該論理式を示す多項式f(x0,...,xH-1)は、不定元xhと定数ηhとの差をとる多項式によって当該不定元xhが当該定数ηhであるという命題を表現し、命題をそれぞれ表現する多項式の積によって当該命題の論理和を表現し、命題又は命題の論理和をそれぞれ表現する多項式の線形和によって当該命題又は命題の論理和の論理積を表現し、それによって論理式を表現した多項式となる。例えば、５つの不定元x0,...,x4を用い、論理式{(x0=η0)∨(x1=η1)∨(x2=η2)}∧(x3=η3)∧(x4=η4)を多項式で表現すると、
　f(x0,...,x4)=ι0・{(x0-η0)・(x1-η1)・(x2-η2)}+ι1・(x3=η3)+ι2・(x4=η4)
となる。
　［多項式と内積の関係］
　論理式を示す多項式f(x0,...,xH-1)は、２つのn次元ベクトルの内積で表現できる。すなわち、多項式f(x0,...,xH-1)は、当該多項式f(x0,...,xH-1)の各項の不定元成分を各要素とするベクトル
　　　v→=(v1,...,vn) 　　　　 …(35)
と、当該多項式f(x0,...,xH-1)の各項の係数成分を各要素とするベクトル
　　　w→=(w1,...,wn) 　　　　 …(36)
との内積
　　　f(x0,...,xH-1)=w→・v→　　　　　 …(37)
に等しい。例えば、１つの不定元xで表現された多項式f(x)=θ0・x0+θ1・x+...+θn-1・xn-1は、２つのn次元ベクトル
　　　v→=(v1,...,vn)=(x0 ,...,xn-1)　　　　　 …(38)
　　　w→=(w1,...,wn)=(θ0,...,θn-1)　　　　 …(39)
の内積
　　　f(x)= w→・v→　　　　　…(40)
に等しい。
　すなわち、論理式を示す多項式f(x0,...,xH-1)が0であるか否かと、多項式f(x0,...,xH-1)の各項の不定元成分を各要素とするベクトルv→と、多項式f(x0,...,xH-1)の各項の係数成分を各要素とするベクトルw→との内積が0であるか否かとは等価である。
　　　f(x0,...,xH-1)=0　←→　w→・v→=0　　　　　…(41)
　第１～３実施形態で例示する内積述語暗号では、当該不定元成分にプロトコルごと又は当該プロトコルの組み合わせごとに定められた識別子が代入された値を各要素とするベクトルv→=(v0,...,vn-1)を属性情報ATTとし、係数成分を各要素とするベクトルw→=(w0,...,wn-1)を述語情報PREとする。すなわち、
　　　属性情報ATT：v→=(v1,...,vn) 　　　　　…(42)
　　　述語情報PRE：w→=(w1,...,wn) 　　　　　…(43)
である。そして、属性情報ATTと述語情報PREの一方が暗号文に埋め込まれ、他方が鍵情報に埋め込まれる。
　［内積述語暗号の基本構成例１］
　次に、内積述語暗号の具体例を示す。基本構成例１は、内積述語暗号によって鍵カプセル化メカニズムKEM (Key Encapsulation Mechanisms)を構成する例である。基本構成例１では、述語情報PREに対応する暗号文が生成され、属性情報ATTに対応する鍵情報が生成される。基本構成例１は、Setup(1k)，GenKey(MSK,w→)，Enc(PA,v→)，Dec(SKw,C1,C2)を含む。
　《Setup(1k)：セットアップ》
　－入力：セキュリティパラメータk
　－出力：マスター秘密情報MSK，公開パラメータPK
　Setup(1k)の一例では、まず、セキュリティパラメータkをnとして、n+1次元の基底ベクトルai(i=1,...,n+1)を要素とするn+1行n+1列の行列Aと、基底ベクトルai *(i=1,...,n+1)を要素とするn+1行n+1列の行列A*と、座標変換のためのn+1行n+1列の行列X，X*とが選択される。次に、式(20)に従って座標変換されたn+1次元の基底ベクトルbi(i=1,...,n+1)が算出され、式(22)に従って座標変換されたn+1次元の基底ベクトルbi *(i=1,...,n+1)が算出される。そして、基底ベクトルbi *(i=1,...,n+1)を要素とするn+1行n+1列の行列B*がマスター秘密情報MSKとして出力され、ベクトル空間V, V*、基底ベクトルbi(i=1,...,n+1)を要素とするn+1行n+1列の行列B、セキュリティパラメータk、有限体Fq、楕円曲線E、巡回群G1, G2,GT、生成元g1, g2, gT、双線形写像eなどが公開パラメータPKとして出力される。
　《GenKey(MSK,w→)：鍵情報生成》
　－入力：マスター秘密情報MSK，ベクトルw→
　－出力：ベクトルw→に対応する鍵情報D*
GenKey(MSK,w→)の一例では、まず、有限体Fqから元α∈Fqが選択される。そして、マスター秘密情報MSKである行列B*を用い、ベクトルw→に対応する鍵情報
　　　D*=α・(Σμ=1 nwμ・bμ *)+bn+1 *∈G2 n+1　　　　…(44)
が生成され、出力される。なお、巡回群G2上での離散対数問題の求解が困難である場合、鍵情報D*からwμ・bμ *やbn+1 *の成分を分離抽出することは困難である。
　《Enc(PA,v→)：暗号化》
　－入力：公開パラメータPK，ベクトルv→，平文M
　－出力：暗号文C1，C2，共通鍵K
　Enc(PA,v→)の一例では、まず、共通鍵Kと有限体Fqの元である乱数υ1とが生成される。そして、行列Bなどの公開パラメータPKと、共通鍵Kを含む値に対応する有限体Fqの元υ2と、ベクトルv→と、乱数υ1とを用い、暗号文
　　　C2=υ1・(Σμ=1 nvμ・bμ)+υ2・bn+1∈G1 n+1　　　　…(45)
が生成される。
　そして、暗号文
　　　C1=Enck(M) 　　　　…(46)
が生成され、暗号文C1と暗号文C2と共通鍵Kとが出力される。共通鍵Kの一例はK=gT τ・υ2∈GTである。ここで、添え字のυ2はυ2を意味する。また、前述のようにτの一例はτ=1Fである。なお、巡回群G1上での離散対数問題の求解が困難である場合、暗号文C2からvμ・bμやυ2・bn+1の成分を分離抽出することは困難である。
　《Dec(SKw,C1,C2)：鍵共有・復号》
　－入力：ベクトルw→に対応する鍵情報D1 *，暗号文C1，C2
　－出力：共通鍵K，平文M
　Dec(SKw,C1,C2)の一例では、まず、暗号文C2と鍵情報D1 *とが式(2)の双線形写像eに入力される。すると、式(3)(24)の性質から、
Figure JPOXMLDOC01-appb-M000012
を満たす。
　ここで、内積w→・v→=0であれば、式(47)は、
Figure JPOXMLDOC01-appb-M000013
と変形できる。この結果から共通鍵Kが生成され出力される。共通鍵Kの一例はK=gT τ・υ2∈GTである。
　次に、当該共通鍵Kと暗号文C1とを用い、復号結果
　　　M=Deck(C1) 　　　　　…(49)
が算出され出力される。
　［内積述語暗号の基本構成例２］
　基本構成例２も、内積述語暗号を用いて鍵カプセル化メカニズムKEMを構成する場合の基本構成例であるが、基本構成例２では、属性情報ATTに対応する暗号文が生成され、述語情報PREに対応する鍵情報が生成される。この構成は、Setup(1k)，GenKey(MSK,v→)，Enc(PA,w→)，Dec(SKv,C1,C2)を含む。基本構成例２は、基本構成例１のベクトルv→とベクトルw→とを逆にした構成となる。
　すなわち、GenKey(MSK,v→)では、式(44)の代わりに、鍵情報
　　　D*=α・(Σμ=1 nvμ・bμ *)+bn+1 *∈G2 n+1　　　　…(50)
が生成され、出力される。また、Enc(PA,w→)では、式(45)の代わりに、暗号文
　　　C2=υ1・(Σμ=1 nwμ・bμ)+υ2・bn+1∈G1 n+1　　　　…(51)
が生成される。また、Dec(SKv,C1,C2)では、式(44)で生成された鍵情報の代わりに式(50)で生成された鍵情報が用いられる。その他は、基本構成例１と同様である。
　〔第１～３実施形態の原理〕
　次に、第１～３実施形態の原理を説明する。
　第１～３実施形態では関数暗号として述語暗号が用いられる。第１～３実施形態の関数暗号応用システムは、送信者装置（情報出力装置）と受信者装置（情報処理装置）とを含み、属性情報ATT（第１対応情報）と述語情報PRE（第２対応情報）とを用いる述語暗号方式を応用したプロトコル（関数暗号方式に従ったプロトコル）を実行する。
　まず、送信者装置の識別子特定部に、実行する述語暗号方式を応用した１種類以上のプロトコルを特定するための特定情報が入力される。識別子特定部は、当該特定情報によって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、当該プロトコルごと又は当該プロトコルの組み合わせごとに識別子を特定し、特定した１種類以上の当該識別子を出力する。
　なお、述語暗号方式を応用したプロトコルには、それぞれ、それに使用すべき属性情報ATTの種別（言い換えると属性情報ATTの性質）が定められている。当該規則は、特定情報によって特定されるプロトコル又は当該プロトコルの組み合わせに使用すべき種別の属性情報ATTを定める識別子を特定するものである。例えば、当該プロトコルがTimed-Release暗号プロトコルである場合の当該規則は、第１情報の生成時点より未来の時点を特定する情報を識別子とする規則であり、当該プロトコルがForward Secure暗号プロトコル又はKey Insulated暗号プロトコルである場合の当該規則は、それぞれ、第１情報の生成時点を含む時間区間又は第１情報の生成時点より未来の時間区間を特定する情報を識別子とする規則であり、当該プロトコルがCCA2安全暗号プロトコルである場合の当該規則は、第１情報の生成ごとに新たに設定される使い捨て情報を特定する情報を識別子とする規則であり、当該プロトコルがKeyword検索暗号プロトコルである場合の規則は、データベースの検索用キーワードを特定する情報を識別子とする規則である。
　識別子特定部で特定された１種類以上の識別子は、送信者装置の属性情報設定部に入力される。属性情報設定部は、１種類の当該識別子又は２種類以上の当該識別子の組み合わせに対して定まる１つの属性情報ATT（特定の第１対応情報）を設定し、設定した当該属性情報ATTを出力する。そして、送信者装置の出力部は、属性情報設定部から出力された属性情報ATTが述語暗号方式の暗号化関数又は鍵生成関数に入力されることで得られた、当該属性情報ATTに対応する述語暗号方式の暗号文又は鍵情報である第１情報を出力する。
　受信者装置の復号部には、第１情報と記憶部から読み出した第２情報とが入力される。なお、第２情報は、述語暗号方式の鍵情報又は暗号文であり、第１情報が属性情報ATTに対応する暗号文である場合には第２情報は述語情報PRE（特定の第２対応情報）に対応する鍵情報であり、第１情報が属性情報ATTに対応する鍵情報である場合には第２情報は述語情報PRE（特定の第２対応情報）に対応する暗号文である。また、述語情報PREは、当該述語情報PREと何れか１つの属性情報ATTとが予め定められた関数に入力された場合に、１種類以上の属性情報ATTについて当該関数の関数値が予め定められた値となる情報である。また、前述のように、属性情報ATT及び述語情報PREの例は、互いに次元が等しいベクトルであり、当該予め定められた関数の例は、属性情報ATTと述語情報PREとの内積を算出する関数であり、予め定められた値の例は０（零元）である。
　受信者装置の復号部は、当該第１情報と当該第２情報とを述語暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果を出力する。なお、述語暗号方式の復号関数は、第１情報に対応する属性情報ATTと第２情報に対応する述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値となる場合に、正しい復号結果を生成する関数である。言い換えると、第１情報に対応する属性情報ATT及び第２情報に対応する述語情報PREの組み合わせに対応する論理式の真理値が真の場合に正しい復号結果を生成する関数である。
　上述のように、述語暗号方式では、第１情報に対応する属性情報ATTと第２情報に対応する述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値となる場合に、正しい復号結果が生成される。また、属性情報ATTは、１種類の識別子又は２種類以上の当該識別子の組み合わせに対して定まる情報であり、述語情報PREと何れか１つの属性情報ATTとが予め定められた関数に入力された場合に、１種類以上の属性情報ATTについて当該関数の関数値が予め定められた値となる。すなわち、第１～３実施形態では、１種類以上の第１情報に対して同一の第２情報を共用し、正しい復号を行うことができる。そのため、送信者装置が１種類の識別子又は２種類以上の当該識別子の組み合わせを選択し、選択した識別子に応じてプロトコルを切り替えて第１情報を生成する場合であっても、受信者装置は切り替えられるプロトコルごとに別個に第２情報を生成する必要はない。すなわち、受信者装置の記憶部に１種類の述語情報PREに対応する１種類の第２情報のみが格納されていたとしても、受信者装置は、選択された１種類以上のプロトコル又はプロトコルの組み合わせに対する第１情報に対応することができる。その結果、第１～３実施形態では、煩雑な処理を必要とせずに、選択した識別子に応じてプロトコルを切り替えることができる。このような効果は、すべての述語情報PREが、当該述語情報PREと何れか１つの属性情報ATTとが予め定められた関数に入力された場合に、２種類以上の属性情報ATTについて当該関数の関数値が予め定められた値となる場合に特に大きくなる。なお、前述の論理式が論理和を含む場合、述語情報PREと何れか１つの属性情報ATTとが予め定められた関数に入力された場合に、２種類以上の属性情報ATTについて当該関数の関数値が予め定められた値「０」（零元）となる。
　また、識別子特定部に、２種類以上のプロトコルを特定するための特定情報が入力される場合、２種類以上のプロトコルの組み合わせ、すなわち、２種類以上のプロトコルの特徴を兼ね備えた新たなプロトコルを構成することもできる。
　また、第１～３実施形態では、述語暗号方式を用いるため、プロトコルの組み合わせ方の自由度が高い。すなわち、第１～３実施形態では、第１情報に対応する属性情報ATTと第２情報に対応する述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値となる場合に正しい復号結果が生成される。２種類以上のプロトコルの組み合わせは識別子の組み合わせに対応し、当該識別子の組み合わせは属性情報ATTに対応するが、当該関数値が予め定められた値となるのであれば、当該識別子の組み合わせ方法に制限はない。
　これに対し、IDベース暗号方式を応用した階層型IDベース暗号方式（例えば、参考文献１０「C. Gentry, A. Silverberg, "Hierarchical ID-based cryptography," Proceedings of ASIACRYPT 2002, Lecture Notes in Computer Science, Springer-Verlag, 2002.」等）を用いた場合には、プロトコルの組み合わせ方が制限される。すなわち、階層型IDベース暗号方式では、複数のプロトコルにそれぞれ対応する複数の識別子の組み合わせ方が制限される。つまり、階層型IDベース暗号方式では、複数の識別子の組み合わせによって生成された新たな識別子が木構造をなす必要あり、新たな識別子は必ずその親の識別子を含まなければならない。例えば、識別子ID1と識別子ID2との組み合わせID1|ID2を新たな識別子とした場合、それ以降、例えば、識別子ID1と識別子ID2と識別子ID3との組み合わせを新たな識別子ID1|ID2|ID3とすることはできるが、識別子ID1と識別子ID3との組み合わせを新たな識別子ID1|ID3とすることはできない。
　また、送信者装置が、特定情報によって特定されるプロトコルに応じ、属性情報ATTを述語暗号方式の暗号化関数に入力させるか、属性情報ATTを述語暗号方式の鍵生成関数に入力させるかを切り替える第１切り替え部をさらに有し、受信者装置が、特定情報によって特定されるプロトコルに応じ、述語情報PREを述語暗号方式の鍵生成関数に入力させるか、述語情報PREを述語暗号方式の暗号化関数に入力させるかを切り替える第２切り替え部をさらに有してもよい。これにより、プロトコルの選択の幅が広がる。
　また、属性情報ATT及び述語情報PREの一部の領域を、使い道が決まっていない予備領域としておいてもよい。例えば、属性情報ATT及び述語情報PREが互いに次元が等しいベクトルであり、属性情報ATTと述語情報PREとの内積が０のときに正しい復号ができるシステムの場合には、少なくとも一部の属性情報ATTにおける一部の要素（予備領域）の値が予め固定されたベクトルであり、述語情報PREの一部の要素（予備領域）の値が予め固定されたベクトルであり、当該属性情報ATTの予備領域の位置と当該述語情報PREの予備領域の位置とが互いに等しく、当該属性情報ATTの予備領域の要素からなるベクトルと当該述語情報PREの予備領域の要素からなるベクトルとの内積が、特定情報の値にかかわらず０となるように設定しておいてもよい。これにより、後に、選択可能なプロトコルを増加させたり、論理式を示す多項式の項を増加させたりする必要が生じた場合であっても、予備領域にそれらの増加分を割り当てればシステムの設定を変更することなく、これらの増加を行うことができる。
　また、属性情報ATTの予備領域の値をすべて０（零元）としておいた場合、当該予備領域を含む属性情報ATTに対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持つ。つまり、属性情報ATTや述語情報PREの予備領域に何らかの値が与えられることで属性情報ATTや述語情報PREが更新されたとしても、更新前に正しい復号が行われたのであれば、更新前の属性情報ATTに対応する第１情報と更新後の述語情報PREに対応する第２情報とによって正しい復号が行われる。更新後の述語情報PREの予備領域に入れられた値にかかわらず、属性情報ATT及び述語情報PREの予備領域同士の内積は０になるからである。同様な理由により、述語情報PREの予備領域の値をすべて０としておいた場合、当該予備領域を含む述語情報PREに対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持つ。
　属性情報ATTの予備領域の値をすべて０（零元）としておき、かつ、述語情報PREの予備領域の少なくとも一部の値を０以外としておいた場合、当該予備領域を含む属性情報ATTに対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持つが、当該予備領域を含む述語情報PREに対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持たない。逆に、述語情報PREの予備領域の値をすべて０としておき、かつ、属性情報ATTの予備領域の少なくとも一部の値を０以外としておいた場合、当該予備領域を含む述語情報PREに対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持つが、当該予備領域を含む属性情報ATTに対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持たない。このように、予備領域の値をどのように設定しておくかに応じ、更新前後での上位互換性を変化させることができる。
　また、属性情報ATTや述語情報PREの一部の要素を予備領域にするのではなく、特定情報の値にかかわらず予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定してもよい。そして、当該特定情報の値にかかわらず予め真となるように設定された命題を、後に、特定情報の値に応じて真又は偽となる命題に置き換えることで論理式を更新し、この更新後の論理式に対応する属性情報ATT及び述語情報PREを新たな属性情報ATT及び述語情報PREとしてもよい。
　〔第１実施形態〕
　次に、本発明の第１実施形態を説明する。第１実施形態は、第１情報が属性情報ATTに対応する暗号文であり、第２情報が述語情報PREに対応する鍵情報であり、送信者装置が暗号化を行い、受信者装置が復号を行う形態である。このような形態は、例えば、述語暗号方式を応用したプロトコルが、Timed-Release暗号プロトコル、Forward Secure暗号プロトコル、Key Insulated暗号プロトコル若しくはCCA2安全暗号プロトコル、又は、その組み合わせである場合などに適用できる。
　＜構成＞
　図１は、第１実施形態の関数暗号応用システム１の全体構成を説明するためのブロック図である。図１に示すように、本形態の関数暗号応用システム１は、ネットワーク１４０に接続された、送信者装置１１０（情報出力装置）と受信者装置１２０（情報処理装置）と鍵生成装置１３０とを有する。なお、説明の便宜上、図１には、送信者装置１１０と受信者装置１２０と鍵生成装置１３０とが１個ずつ表記されているが、２個以上の送信者装置１１０や受信者装置１２０や鍵生成装置１３０が存在してもよい。
　［送信者装置１１０（情報出力装置）］
　図２は、図１の送信者装置１１０の構成を説明するためのブロック図である。
　図２に示すように、本形態の送信者装置１１０は、一時メモリ１１１ａと、記憶部１１１ｂ，１１１ｃと、入力部１１２と、制御部１１３と、識別子特定部１１４ａと、属性情報設定部１１４ｂ（対応情報設定部）と、暗号化部１１４ｃと、通信部１１５とを有する。
　送信者装置１１０は、例えば、CPU(central processing unit)、RAM(random-access memory)、ROM(read-only memory)等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１１３、識別子特定部１１４ａ、属性情報設定部１１４ｂ及び暗号化部１１４ｃは、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、送信者装置１１０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１１１ａや記憶部１１１ｂ，１１１ｃは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、入力部１１２は、例えば、キーボード、マウス、入力ポート等であり、通信部１１５は、例えば、モデム、LANカード等の通信装置である。
　また、送信者装置１１０は、制御部１１３の制御のもと各処理を実行する。また、以下では説明を省略するが、送信者装置１１０の各処理部から出力されたデータや通信部１１５で受信されたデータは、逐一、一時メモリ１１１ａに格納される。一時メモリ１１１ａに格納されたデータは、必要に応じて読み出され、送信者装置１１０の各処理部に入力されてその処理に利用される。
　［受信者装置１２０（情報処理装置）］
　図３は、図１の受信者装置１２０の構成を説明するためのブロック図である。
　図３に示すように、本形態の受信者装置１２０は、一時メモリ１２１ａと、記憶部１２１ｂと、制御部１２３と、識別子特定部１２４ａと、多項式生成部１２４ｂと、述語情報生成部１２４ｃと、鍵生成処理部１２４ｄと、復号部１２４ｅと、通信部１２５とを有する。なお、図面表記の便宜上、図３には、通信部１２５を示すブロックが２つ表記されているが、これは別個の通信部１２５が２つ必要なことを意味しない。
　受信者装置１２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１２３、識別子特定部１２４ａ、多項式生成部１２４ｂ、述語情報生成部１２４ｃ、鍵生成処理部１２４ｄ及び復号部１２４ｅは、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、受信者装置１２０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１２１ａや記憶部１２１ｂは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、通信部１１５は、例えば、モデム、LANカード等の通信装置である。
　また、受信者装置１２０は、制御部１２３の制御のもと各処理を実行する。また、以下では説明を省略するが、受信者装置１２０の各処理部から出力されたデータや通信部１２５で受信されたデータは、逐一、一時メモリ１２１ａに格納される。一時メモリ１２１ａに格納されたデータは、必要に応じて読み出され、受信者装置１２０の各処理部に入力されてその処理に利用される。
　［鍵生成装置１３０］
　図４は、図１の鍵生成装置１３０の構成を説明するためのブロック図である。
　図４に示すように、本形態の鍵生成装置１３０は、一時メモリ１３１ａと、記憶部１３１ｂと、制御部１３３と、鍵生成部１３４と、通信部１３５とを有する。
　鍵生成装置１３０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１３３及び鍵生成部１３４は、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、鍵生成装置１３０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１３１ａや記憶部１３１ｂは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、通信部１３５は、例えば、モデム、LANカード等の通信装置である。
　また、鍵生成装置１３０は、制御部１３３の制御のもと各処理を実行する。また、以下では説明を省略するが、鍵生成装置１３０の各処理部から出力されたデータや通信部１３５で受信されたデータは、逐一、一時メモリ１３１ａに格納される。一時メモリ１３１ａに格納されたデータは、必要に応じて読み出され、鍵生成装置１３０の各処理部に入力されてその処理に利用される。
　＜事前設定＞
　次に、本形態の関数暗号応用システム１の事前設定を説明する。
　［特定情報］
　図５Ａ及び図５Ｂは、第１実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。
　図５Ａの例では、プロトコルごとに特定情報PIが割り当てられている。すなわち、この例では、特定情報PI=0に対してTimed-Release暗号プロトコルが割り当てられ、特定情報PI=1に対してForward Secure暗号プロトコルが割り当てられ、特定情報PI=2に対してKey Insulated暗号プロトコルが割り当てられ、特定情報PI=3に対してCCA2安全暗号プロトコルが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせを特定する。
　一方、図５Ｂの例では、プロトコルごとに特定情報PIが割り当てられているほか、２種類以上のプロトコルの組み合わせに対しても特定情報PIが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルの組み合わせに対応する特定情報PIを特定する。
　なお、図５に示した特定情報PIは一例であり、その他の方法によって１種類以上のプロトコルに対応する特定情報PIが特定されてもよい。
　［識別子］
　図６Ａ，図６Ｂ及び図７は、第１実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。
　図６Ａの例では、選択可能なプロトコルごとに識別子ID(h)が割り当てられる。
　選択されたプロトコルに割り当てられた識別子ID(h)には、そのプロトコルに定められた規則に従った値が入力される。例えば、Timed-Release暗号プロトコルが選択された場合には、未来の時点を特定する情報（日時やカウント値など）が識別子ID(0)に入力される。なお、「未来の時点」の一例は、第１情報の生成時点よりも未来の時点である。また、例えば、Forward Secure暗号プロトコルやKey Insulated暗号プロトコルが選択された場合には、受信者装置１２０やその利用者の固有識別子（メールアドレスや電話番号やMACアドレスなど）と現在時点を含む時間区間（日時区間やカウント値区間など）との組み合わせで定まる値（ビット結合値など）が識別子ID(1)や識別子ID(2)に入力される。なお、「現在時点」の一例は、第１情報の生成時点である。また、例えば、CCA2安全暗号プロトコルが選択された場合には、使い捨て情報（ランダム数）が識別子ID(3)に入力される。
　一方、選択されなかったプロトコルに割り当てられた識別子ID(h)には、定数(const.)が入力される。例えば、Timed-Release暗号プロトコルのみが選択された場合には、未来の時点を特定する情報が識別子ID(0)に入力され、その他の識別子ID(1),ID(2),ID(3)には定数(const.)が入力される。なお、定数(const.)の例は０や１である。なお、各識別子ID(h)に入力される定数(const.)は同一値であってもよいし、異なる値であってもよい。
　また、複数のプロトコルの組み合わせが選択された場合には、その組み合わせを構成する複数のプロトコルが選択されたものとして識別子ID(h)の値が決定される。例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置１２０やその利用者の固有識別子と現在時点を含む時間区間との組み合わせで定まる値が識別子ID(1)に入力され、使い捨て情報が識別子ID(3)に入力され、その他の識別子ID(0)，ID(2)には定数(const.)が入力される。
　図６Ｂの例では、選択されたプロトコルのみに識別子ID(h)が割り当てられる。例えば、Timed-Release暗号プロトコルのみが選択された場合には、未来の時点を特定する情報を示す識別子ID(0)のみが割り当てられる。また、例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置１２０やその利用者の固有識別子と現在時点を含む時間区間との組み合わせで定まる値を示す識別子ID(1)と、使い捨て情報を示す識別子ID(3)とのみが割り当てられる。
　図７の例では、選択可能なプロトコル及びプロトコルの組み合わせごとに識別子ID(h)が割り当てられる。選択されたプロトコル及びプロトコルの組み合わせに割り当てられた識別子ID(h)には、選択されたプロトコル又は組み合わせを構成する各プロトコルに定められた各規則に従った値が入力され、選択されなかったプロトコルや組み合わせに割り当てられた識別子ID(h)には定数(const.)が入力される。例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置１２０やその利用者の固有識別子と現在時点を含む時間区間と使い捨て情報との組み合わせで定まる値が識別子ID(5)に入力され、その他の識別子ID(h)には定数(const.)が入力される。
　また、上述の識別子の決定方法は一例に過ぎず、その他の方法で識別子が特定してもよい。例えば、図７の例の変形として、選択されたプロトコル及びプロトコルの組み合わせのみに識別子ID(h)が割り当てられてもよい。また、上述のように得られた各識別子ID(h)の組み合わせ（例えばビット結合）によって１つの識別子を構成してもよい。
　［属性情報（第１対応情報）］
　図８Ａ及び図９Ａは、１種類の識別子ID(h)又は２種類以上の識別子ID(h)の組み合わせに対して１つの属性情報ATTを特定するための属性情報テーブルの一例を説明するための図であり、図８Ｂ及び図９Ｂは、当該属性情報テーブルによって定まる属性情報ATTのデータ構成を説明するための図である。
　本形態では、前述した論理式を示す多項式f(x0,...,xH-1)の各項の不定元成分に識別子ID(h)が代入された値を各要素とするベクトルv→=(v0,...,vn-1)を属性情報ATTとする（式(42)等参照）。また、属性情報ATTの次元nは、多項式f(x0,...,xH-1)に許容される項数（定数項を含む）の最大値となる。図８Ａ及び図９Ａでは、各項の不定元成分と、各不定元成分に対応する要素値と、各要素に対応する要素番号とを対応付けている。また、図８Ｂ及び図９Ｂに記載された各番号は、それぞれ、図８Ａ及び図９Ａの要素番号を示し、図８Ｂ及び図９Ｂに記載された各番号の位置には、図８Ａ及び図９Ａの要素番号に対応する要素値が配置される。
　図８Ａは、不定元の種類を４種類（H=4）とし、多項式f(x0,x1,x2,x3)に不定元のべき乗を含む項が許容されない場合の属性情報テーブルの一例である。多項式f(x0,x1,x2,x3)に不定元のべき乗を含む項が許容されない場合、多項式f(x0,x1,x2,x3)の項数（定数項を含む）の最大値は１６となり、取り得る不定元成分は、x0・x1・x2・x3，x0・x1・x2，x0・x1・x3，x0・x2・x3，...,{x0}0・{x1}0・{x2}0・{x3}0の１６種類となる。図８Ａの例では、これらの１６種類の不定元成分に各識別子ID(0),...,ID(3)を代入した値を各要素とするベクトルv→=(v0,...,vn-1)を属性情報ATTとする。なお、図６Ｂのように、選択されたプロトコルやプロトコルの組み合わせのみに識別子ID(h)が割り当てられている場合、割り当てられていない識別子ID(h)を定数（例えば０や１）として不定元成分に各識別子を代入すればよい。図８の例では、不定元xhに識別子ID(h)が代入され、ID(0)・ID(1)・ID(2)・ID(3)，ID(0)・ID(1)・ID(2)，ID(0)・ID(1)・ID(3)，ID(0)・ID(2)・ID(3)，...,{ID(0)}0・{ ID(1)}0・{ ID(2)}0・{ ID(3)}0を各要素とする１６次元のベクトルv→=(v0,...,vn-1)が属性情報ATTとされる。
　図９Ａは、不定元の種類を４種類（H=4）とし、多項式f(x0,x1,x2,x3)に不定元の２乗を含む項が許容されるが不定元の３乗以上のべき乗を含む項が許容されない場合の属性情報テーブルの一例である。図９Ａの例では、この場合の各不定元成分に各識別子ID(0),...,ID(3)を代入した値を各要素とするベクトルv→=(v0,...,vn-1)を属性情報ATTとする。図９の例でも、不定元xhに識別子ID(h)が代入される。また、図６Ｂのように、選択されたプロトコルやプロトコルの組み合わせのみに識別子ID(h)が割り当てられている場合、割り当てられていない識別子ID(h)を定数（例えば０や１）として不定元成分に各識別子を代入すればよい。
　なお、図８や図９の属性情報ATTの生成方法は一例に過ぎず、不定元の種類が４以外であってもよいし、多項式f(x0,...,xH-1)に不定元の３乗以上のべき乗を含む項が許容されてもよい。また、特定の不定元の２乗を含む項は許容されるがその他の不定元の２乗を含む項は許容されないなど、属性情報ATTが、多項式f(x0,...,xH-1)に許容されない不定元成分に対応する要素を含まない構成であってもよい。或いは、識別子ID(h)や識別子ID(h)の論理式（{ID(0)∨ID(1)}∧ID(3)など）のそれぞれと当該論理式に対応する属性情報ATTとが対応付けられたテーブルを、属性情報テーブルとしてもよい。
　［述語情報（第２対応情報）］
　図１０Ａ及び図１１Ａは、それぞれ、多項式f(x0,...,xH-1)に対応する述語情報PREの一例を説明するための図であり、図１０Ｂ及び図１１Ｂは、当該述語情報PREのデータ構成を説明するための図である。
　本形態では、前述した論理式を示す多項式f(x0,...,xH-1)の各項の係数成分を各要素とするベクトルw→=(w0,...,wn-1)を述語情報PREとする（式(43)等参照）。また、述語情報PREの次元nは、多項式f(x0,...,xH-1)に許容される項数（定数項を含む）の最大値となる。図１０Ａ及び図１１Ａでは、各項の不定元成分と、各不定元成分に対応する各項の係数成分である要素値と、各要素に対応する要素番号とを対応付けている。また、図１０Ｂ及び図１１Ｂに記載された各番号は、それぞれ、図１０Ａ及び図１１Ａでの要素番号を示し、図１０Ｂ及び図１１Ｂに記載された各番号の位置には、図１０Ａ及び図１１Ａの要素番号に対応する要素値が配置される。
　図１０Ａの例は、不定元の種類を４種類（H=4）とし、不定元のべき乗を含む項が許容されない条件化で設定された多項式
f(x0,x1,x2,x3)=ι0・(x1-ID'(1))・(x2-ID'(2))+ι1・(x3-ID'(3))
　　　　　　 =ι0・x1・x2-ι0・ID'(2)・x1-ι0・ID'(1)・x2+ι1・x3 …(52)
　　　　　　　+(ι0・ID'(1)・ID'(2)-ι1・ID'(3))
に対応する。なお、ID'(1)，ID'(2)及びID'(3)は、それぞれ、前述したように各プロトコルに対応する規則で定められた識別子であり、この例の多項式f(x0,x1,x2,x3)は、論理式{(x1=ID'(1))∨(x2=ID'(2))}∧(x3=ID'(3))に対応する。例えば、ID'(1)，ID'(2)及びID'(3)が、それぞれ、Forward Secure暗号プロトコル、Key Insulated暗号プロトコル及びCCA2安全暗号プロトコルに対応する規則で定められた識別子であるとすると、式(52)の多項式f(x0,x1,x2,x3)は、Forward Secure暗号プロトコル又はKey Insulated暗号プロトコルと、CCA2安全暗号プロトコルとの組み合わせに対して真となる論理式に対応する。この例の場合、要素番号８の要素をι0とし、要素番号１２の要素を-ι0・ID'(2)とし、要素番号１３の要素を-ι0・ID'(1)とし、要素番号１４の要素をι１とし、要素番号１５の要素をι0・ID'(1)・ID'(2)-ι1・ID'(3)とし、その他の要素を０とした１６次元のベクトルw→が述語情報PREとなる。この例の述語情報PREと、{(x1=ID(1))∨(x2=ID(2))}∧(x3=ID(3))の場合に図８に従って生成された属性情報ATTとの内積は０となる。
　図１１Ａの例は、不定元の種類を４種類（H=4）とし、不定元の２乗を含む項が許容されるが不定元の３乗以上のべき乗を含む項が許容されない条件化で設定された多項式
f(x0,x1,x2,x3)={ι0・(x1-ID'(1))+ι1・(x3-ID'(3))}・(x3-ID'(3))
　　　　　　 =ι1・(x3)2+{-ι0・ID'(1)-2・ι1・ID'(3)}・x3+ι0・x1・x3
　　　　　　　-ι0・ID'(3)・x1+{ι0・ID'(1)・ID'(3) +ι1・{ID'(3)}2}
…(53)
に対応する。なお、ID'(1)，ID'(2)及びID'(3)は、それぞれ、前述したように各プロトコルに対応する規則で定められた識別子であり、この例の多項式f(x0,x1,x2,x3)は、論理式{(x1=ID'(1))∧(x2=ID'(3))}∨(x3=ID'(3))に対応する。例えば、ID'(1)及びID'(3)がそれぞれ、Forward Secure暗号プロトコル及びCCA2安全暗号プロトコルに対応する規則で定められた識別子であるとすると、式(52)の多項式f(x0,x1,x2,x3)は、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせ、又は、CCA2安全暗号プロトコルに対して真となる論理式に対応する。この例の場合、要素番号９の要素をι0とし、要素番号１２の要素を-ι0・ID'(3)とし、要素番号１４の要素を-ι0・ID'(1)-2・ι1・ID'(3)とし、要素番号１５の要素をι0・ID'(1)・ID'(3)+ι1・{ID'(3)}2とし、要素番号enの要素をι1とし、その他の要素を０とした１６次元のベクトルw→が述語情報PREとなる。この例の述語情報PREと、{(x1=ID(1))∧(x2=ID(3))}∨(x3=ID(3))の場合に図９に従って生成された属性情報ATTとの内積は０となる。
　図１０や図１１の述語情報PREの生成方法は一例に過ぎず、不定元の種類が４以外であってもよいし、多項式f(x0,...,xH-1)に不定元の３乗以上のべき乗を含む項が許容されてもよい。また、特定の不定元の２乗を含む項は許容されるがその他の不定元の２乗を含む項は許容されないなど一部の不定元成分が許容されない構成であってもよい。また、１つの属性情報ATTとの内積が０となる述語情報PREは１つだけではなく、上記以外の方法によって、所望の属性情報ATTとの内積が０となる述語情報PREが設定されてもよい。
　［平文］
　本形態では、送信者装置１１０の記憶部１１１ｃに暗号化対象の平文Mtが格納される。
　［受信者装置１２０で予め定められた論理式］
　本形態では、受信者装置１２０おいて、いくつかのプロトコル及び／又は当該プロトコルの組み合わせからなる条件に対応する論理式の構成（例えば、{(x1=ID'(1))∨(x2=ID'(2))}∧(x3=ID'(3))）が予め定められている。ただし、当該論理式を構成する識別子ID'(h)の値は特定されておらず、当該識別子ID'(h)の値が定まることで述語情報PREが定まる。
　［マスター秘密情報］
　本形態の鍵生成装置１３０の記憶部１３１ｂには、述語暗号方式のマスター秘密情報MSKが格納される。マスター秘密情報MSKの一例は、前述した基底ベクトルbi *(i=1,...,n+1)を要素とするn+1行n+1列の行列B*である。
　＜処理＞
　図１２Ａは、第１実施形態の暗号化処理を説明するためのフローチャートである。図１２Ｂは、第１実施形態の鍵情報生成処理を説明するためのフローチャートである。また、図１３は、第１実施形態の復号処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　［暗号化処理］
　本形態の暗号化処理では、まず、実行する述語暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIが、送信者装置１１０（図２）の入力部１１２に入力される（ステップＳ１１１）。例えば、特定情報PIが図５Ａように定まるのであれば、利用者に選択された１種類のプロトコルに対応する特定情報PI、又は、利用者に選択された２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせが入力部１１２に入力される。また、例えば、特定情報PIが図５Ｂように定まるのであれば、利用者に選択された１種類のプロトコル又は２種類以上のプロトコルに対応する特定情報PIが入力部１１２に入力される。
　入力部１１２に入力された特定情報PIは、識別子特定部１１４ａに入力される。識別子特定部１１４ａは、当該特定情報PIによって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って（図６及び図７等参照）、当該プロトコルごと又は当該プロトコルの組み合わせごとに識別子ID(h)を特定し、特定した１種類以上の当該識別子ID(h)を出力する（ステップＳ１１２）。
　識別子特定部１１４ａから出力された１種類以上の識別子ID(h)は属性情報設定部１１４ｂに入力される。属性情報設定部１１４ｂは、記憶部１１１ｂに格納された属性情報テーブル（図８、図９等参照）を用い、１種類の当該識別子ID(h)又は２種類以上の当該識別子ID(h)の組み合わせに対して定まる１つの属性情報ATTを設定し、設定した当該属性情報ATTを出力する（ステップＳ１１３）。
　属性情報設定部１１４ｂから出力された属性情報ATTは、暗号化部１１４ｃに入力される。暗号化部１１４ｃは、記憶部１１１ｃから平文Mtを読み出し、属性情報ATTと平文Mtとを述語暗号方式の暗号化関数に入力し、平文Mtの暗号文Ctを生成する（ステップＳ１１４）。述語暗号方式の暗号化関数の一例は前述の式(45)(46)である。
　生成された暗号文Ctは通信部１１５に送られる。通信部１１５（出力部）は、当該暗号文Ct（第１情報）をネットワーク１４０経由で受信者装置１２０に送信する（ステップＳ１１５）。
　［復号処理・鍵情報生成処理］
　本形態の復号処理では、まず、受信者装置１２０（図３）の通信部１２５が暗号文Ct（第１情報）を受信する（ステップＳ１２１）。
　これを契機とし、識別子特定部１２４ａが、プロトコルごと又は当該プロトコルの組み合わせごとに、当該プロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、前述した受信者装置１２０で予め定められた論理式に用いられる１種類以上の識別子ID'(h)を特定する（ステップＳ１２２）。なお、当該規則は、送信者装置１１０の識別子特定部１１４ａで識別子ID(h)を特定するための規則と同一である。
　識別子特定部１２４ａで特定された１種類以上の識別子ID'(h)は多項式生成部１２４ｂに入力される。多項式生成部１２４ｂは、当該識別子ID'(h)を用いて、前述した受信者装置１２０で予め定められた論理式を構成する識別子ID'(h)の値を定め、それによって定まる論理式に対応する多項式f(x0,...,xH-1)を生成し（例えば、式(52)(53)参照）、生成した多項式f(x0,...,xH-1)を出力する（ステップ１２３）。
　多項式生成部１２４ｂから出力された多項式f(x0,...,xH-1)は、述語情報生成部１２４ｃに入力される。述語情報生成部１２４ｃは、入力された多項式f(x0,...,xH-1)の各項の係数成分を各要素とするベクトルw→=(w0,...,wn-1)を述語情報PREとして生成し（例えば、図１０及び図１１参照）、当該述語情報PREを出力する（ステップＳ１２４）。
　述語情報生成部１２４ｃから出力された述語情報PREは、鍵生成処理部１２４ｄに入力される。鍵生成処理部１２４ｄは、述語情報PREを通信部１２５からネットワーク１４０経由で鍵生成装置１３０に送信し、述語情報PREに対応する鍵情報SKrの生成を依頼する（ステップＳ１２５）。
　本形態の鍵情報生成処理では、まず、鍵生成装置１３０（図４）の通信部１３５が上記の述語情報PREを受信する（ステップＳ１３１）。通信部１３５で受信された述語情報PREは、鍵生成部１３４に入力される。鍵生成部１３４は、記憶部１３１ｂからマスター秘密情報MSKを読み出し、マスター秘密情報MSKと述語情報PREとを述語暗号方式の鍵生成関数に入力し、述語情報PREに対応する鍵情報SKrを生成して出力する（ステップＳ１３２）。なお、鍵生成関数の一例は式(44)の関数である。生成された鍵情報SKrは通信部１３５に送られ、通信部１３５は当該鍵情報SKrをネットワーク１４０経由で受信者装置１２０に送信する（ステップＳ１３３）。
　受信者装置１２０（図３）の通信部１２５は、送信された鍵情報SKrを受信し、鍵生成処理部１２４ｄに送る。鍵生成処理部１２４ｄは、当該鍵情報SKr（第２情報）を記憶部１２１ｂに格納する（ステップＳ１２６）。
　次に、ステップＳ１２１で通信部１２５が受信した暗号文Ct（第１情報）と、記憶部１２１ｂから読み出された鍵情報SKr（第２情報）とが復号部１２４ｅに入力される。復号部１２４ｅは、暗号文Ct（第１情報）と鍵情報SKr（第２情報）を述語暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果Mrを出力する（ステップＳ１２７）。なお、復号関数の一例は式(47)～(49)である。
　ここで、暗号文Ct（第１情報）に対応する属性情報ATTと、鍵情報SKr（第２情報）に対応する述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値となる場合（例えば、当該属性情報ATTと当該述語情報PREとの内積が０となる場合）には、正しい復号結果が得られ、復号結果Mr=平文Mtとなる（例えば、式(48)(49)参照）。一方、当該属性情報ATTと当該述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値とならない場合（例えば、当該属性情報ATTと当該述語情報PREとの内積が０とならない場合）には、正しい復号結果が得られない。これは、受信者装置１２０で予め定められたプロトコル及び／又は当該プロトコルの組み合わせからなる条件に合致する暗号文Ctのみが正しく復号されることを意味する。
　以上のように、本形態では、送信者装置１１０が使用するプロトコルやプロトコルの組み合わせを選択でき、受信者装置１２０において復号可能となる暗号文のプロトコルやプロトコルの組み合わせの条件を設定しておくことができる。そして、送信者装置１１０で選択されたプロトコルやプロトコルの組み合わせが、受信者装置１２０に設定された条件に合致した場合にのみ、受信者装置１２０は送信された暗号文を正しく復号できる。また、受信者装置１２０において復号可能となる暗号文のプロトコルやプロトコルの組み合わせの条件は、論理和や論理積を自由に組み合わせて設定できる。特に、受信者装置１２０で論理和を含む条件を設定しておけば、受信者装置１２０が送信者装置１１０で選択されたプロトコル等に応じて鍵情報を使い分ける必要がなくなる。
　〔第１実施形態の変形例１〕
　前述のように、属性情報ATT及び述語情報PREの一部の領域を予備領域としておいてもよい。これにより、後に、選択可能なプロトコルを増加させたり、論理式を示す多項式の項を増加させたりする必要が生じた場合であっても、予備領域にそれらの増加分を割り当てればシステムの設定を変更することなく、これらの増加を行うことができる。
　図１４Ａ、図１４Ｂ、図１５Ａ及び図１５Ｂは、属性情報ATT及び述語情報PREの一部の領域を予備領域とした例を説明するための図である。
　図１４Ａ、図１４Ｂ、図１５Ａ及び図１５Ｂでは、属性情報ATT及び述語情報PREが互いに次元が等しいベクトルであり、属性情報ATTと述語情報PREとの内積が０のときに正しい復号ができる場合の予備領域を例示している。この例では、特定情報PIの値にかかわらず、属性情報ATTの要素番号0,...,4の要素（予備領域）の値が、それぞれ、定数const.(0),...,const.(4)とされ、述語情報PREの要素番号0,...,4の要素（予備領域）の値が、それぞれ、定数const.'(0),...,const.'(4)とされる。これらの予備領域は、属性情報ATTの要素番号0,...,4の要素からなるベクトルと述語情報PREの要素番号0,...,4の要素からなるベクトルとの内積が、特定情報PIの値にかかわらず０となるように設定されている。例えば、定数const.(0),...,const.(4)がすべて０であってもよいし、定数const.'(0),...,const.'(4)がすべて０であってもよし、定数const.(0),...,const.(4)がすべて０であって定数const.'(0),...,const.'(4)の一部が０以外であってもよいし、定数const.'(0),...,const.'(4)がすべて０であって定数const.(0),...,const.(4)の一部が０以外であってもよいし、定数const.(0),...,const.(4)の一部が０以外であって定数const.'(0),...,const.'(4)の一部が０以外であってconst.(0)・const.'(0)+...+ const.(4)・const.'(4)=0であってもよい。
　〔第１実施形態の変形例２〕
　また、前述のように、属性情報ATTや述語情報PREの一部の要素を予備領域にするのではなく、特定情報PIの値にかかわらず予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定してもよい。これにより、後に、選択可能なプロトコルを増加させたり、論理式を示す多項式の項を増加させたりする必要が生じた場合であっても、予備領域にそれらの増加分を割り当てればシステムの設定を変更することなく、これらの増加を行うことができる。
　図１６から図１８は、特定情報PIの値にかかわらず、予め真となるように設定された命題の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREを設定する場合の一例を説明するための図である。
　この例では、識別子ID(3)を未使用の識別子とし、特定情報PIの値にかかわらず予め真となるように設定された命題「不定元x3がID(3)である」の論理積を一部に含む論理式に対応する属性情報ATT及び述語情報PREが設定される。
　例えば、図１６～図１８Ｂの例は、特定情報PIの値にかかわらず識別子ID(3)及び識別子ID'(3)を同一の定数(const.)とし、前述のように属性情報ATT及び述語情報PREが設定された例である。このような設定では、命題「不定元x3がID(3)である」は特定情報PIの値にかかわらず真となる。実際、図１７Ａ及び図１７Ｂの属性情報ATTと図１８Ａ及び図１８Ｂの述語情報PREとの内積は、特定情報PIの値にかかわらず真となる。そして、後に識別子ID(3)を使用するようなシステムに拡張された場合には、識別子ID(3)に特定情報PIに対応する値を入力して属性情報ATT及び述語情報PREを更新することができる。
　〔第２実施形態〕
　次に、本発明の第２実施形態を説明する。
　第２実施形態は、第１情報が属性情報ATTに対応する鍵情報であり、第２情報が述語情報PREに対応する暗号文であり、送信者装置が鍵情報を出力し、受信者装置に格納された暗号文が復号される形態である。このような形態は、述語暗号方式を応用したプロトコルが、例えば、Keyword検索暗号プロトコルである場合、又は、Keyword検索暗号プロトコルとForward Secure暗号プロトコル、Key Insulated暗号プロトコル若しくはCCA2安全暗号プロトコルとの組み合わせである場合などに適用できる。以下では、第１実施形態との相違点を中心に説明し、第１実施形態と共通する事項については説明を簡略化する。
　＜構成＞
　図１９は、第２実施形態の関数暗号応用システム２の全体構成を説明するためのブロック図である。図１９に示すように、本形態の関数暗号応用システム２は、ネットワーク１４０に接続された、送信者装置２１０（情報出力装置）と受信者装置２２０（情報処理装置）と鍵生成装置１３０とを有する。なお、説明の便宜上、図１９には、送信者装置２１０と受信者装置２２０と鍵生成装置１３０とが１個ずつ表記されているが、２個以上の送信者装置２１０や受信者装置２２０や鍵生成装置１３０が存在してもよい。
　［送信者装置２１０（情報出力装置）］
　図２０は、図１９の送信者装置２１０の構成を説明するためのブロック図である。なお、本形態において、第１実施形態と共通する部分については第１実施形態と同じ符号を付して説明を省略する（以下、同様）。
　図２０に示すように、本形態の送信者装置２１０は、一時メモリ１１１ａと、記憶部１１１ｂ，２１１ｄと、入力部１１２と、制御部１１３と、識別子特定部１１４ａと、属性情報設定部１１４ｂと、鍵生成処理部２１４ｄと、通信部１１５とを有する。
　送信者装置２１０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、鍵生成処理部２１４ｄは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などであり、記憶部２１１ｄは、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。
　［受信者装置２２０（情報処理装置）］
　図２１は、図１９の受信者装置２２０の構成を説明するためのブロック図である。
　図２１に示すように、本形態の受信者装置２２０は、一時メモリ１２１ａと、記憶部２２１ｂ，２２１ｃと、制御部１２３と、識別子特定部１２４ａと、多項式生成部１２４ｂと、述語情報生成部１２４ｃと、暗号化部２２４ｄと、復号部１２４ｅと、通信部１２５とを有する。
　受信者装置２２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、暗号化部２２４ｄは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などであり、記憶部２２１ｂ，２２１ｃは、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。
　＜事前設定＞
　次に、本形態の関数暗号応用システム２の事前設定を説明する。
　［特定情報］
　図２２Ａ及び図２２Ｂは、第２実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。
　図２２Ａの例では、プロトコルごとに特定情報PIが割り当てられている。すなわち、この例では、特定情報PI=0に対してKeyword検索暗号プロトコルが割り当てられ、特定情報PI=1に対してForward Secure暗号プロトコルが割り当てられ、特定情報PI=2に対してKey Insulated暗号プロトコルが割り当てられ、特定情報PI=3に対してCCA2安全暗号プロトコルが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせを特定する。
　一方、図２２Ｂの例では、プロトコルごとに特定情報PIが割り当てられているほか、２種類以上のプロトコルの組み合わせに対しても特定情報PIが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルの組み合わせに対応する特定情報PIを特定する。
　なお、図２２に示した特定情報PIは一例であり、その他の方法によって１種類以上のプロトコルに対応する特定情報PIが特定されてもよい。
　［識別子］
　図２３Ａ及び図２３Ｂ及び図２４は、第２実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(h)を特定するための規則の一例を説明するための図である。
　図２３Ａの例では、選択可能なプロトコルごとに識別子ID(h)が割り当てられる。選択されたプロトコルに割り当てられた識別子ID(h)には、そのプロトコルに定められた規則に従った値が入力される。例えば、Keyword検索暗号プロトコルが選択された場合には、検索用キーワードが識別子ID(0)に入力される。一方、選択されなかったプロトコルに割り当てられた識別子ID(h)には、定数(const.)が入力される。また、複数のプロトコルの組み合わせが選択された場合には、その組み合わせを構成する複数のプロトコルが選択されたものとして識別子ID(h)の値が決定される。例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードが識別子ID(0)に入力され、使い捨て情報が識別子ID(3)に入力され、その他の識別子ID(1)，ID(3)には定数(const.)が入力される。
　図２３Ｂの例では、選択されたプロトコルのみに識別子ID(h)が割り当てられる。例えば、Keyword検索暗号プロトコルが選択された場合には、検索用キーワードを示す識別子ID(0)のみが割り当てられる。また、例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードを示す識別子ID(0)と、使い捨て情報を示す識別子ID(3)とのみが割り当てられる。
　図２４の例では、選択可能なプロトコル及びプロトコルの組み合わせごとに識別子ID(h)が割り当てられる。選択されたプロトコル及びプロトコルの組み合わせに割り当てられた識別子ID(h)には、選択されたプロトコル又は組み合わせを構成する各プロトコルに定められた各規則に従った値が入力され、選択されなかったプロトコルや組み合わせに割り当てられた識別子ID(h)には定数(const.)が入力される。例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードと使い捨て情報との組み合わせで定まる値が識別子ID(3)に入力され、その他の識別子ID(h)には定数(const.)が入力される。
　また、上述の識別子の決定方法は一例に過ぎず、その他の方法で識別子が特定してもよい。例えば、図２４の例の変形として、選択されたプロトコル及びプロトコルの組み合わせのみに識別子ID(h)が割り当てられてもよい。また、上述のように得られた各識別子ID(h)の組み合わせ（例えばビット結合）によって１つの識別子を構成してもよい。
　［属性情報・述語情報］
　第１実施形態と同様であるため説明を省略する。
　［暗号化データベース（DB）］
　図２５は、第２実施形態の暗号化DBの一例を説明するための図である。
　図２５におけるMr1～Mr99は、それぞれ、ドキュメントなどの検索対象情報であり、KWr1～KWr9は、それぞれ単語などのキーワードであり、Trueは「真」を意味する「１」などのデータである。また、C(Mr1),...,C(Mr99)は、それぞれ、検索対象情報Mr1～Mr99の暗号文である。暗号文C(Mr1),...,C(Mr99)の暗号化方式は、共通鍵暗号方式、公開鍵暗号方式、ＩＤベース暗号方式、述語暗号方式などどのようなものであってもよい。また、Cr(KWr1,True),...,Cr(KWr9,True)は、それぞれ、述語情報PREと平文Trueとを述語暗号方式の暗号化関数に入力して得られる述語暗号方式の暗号文（第２情報）である。暗号文Cr(KWr1,True),...,Cr(KWr9,True)は、それぞれ、キーワードKWr1～KWr9にそれぞれ対応する各属性情報ATTに対応する鍵情報を用いて正しく復号可能である。すなわち、例えば、キーワードKWr1に対応する属性情報ATTと、暗号文Cr(KWr1,True)を暗号化するために用いた述語情報PREとが予め定められた関数に入力された場合に当該関数の関数値は予め定められた値となる（例えば、当該属性情報ATTと当該属性情報ATTとの内積が０となる）。
　暗号化DBは、検索対象情報（「Mr」と総称する）の暗号文C(Mr1),...,C(Mr99)に対し、それぞれ、対応するキーワードに対応する暗号文をCr(KWr1,True),...,Cr(KWr9,True)を対応付けたものである。例えば、検索対象情報Mr1に対応するキーワードがKWr1, KWr2, KWr3, KWr4である場合、検索対象情報Mr1の暗号文C(Mr1)と、キーワードKWr1, KWr2, KWr3, KWr4に対応する暗号文Cr(KWr1,True),Cr(KWr2,True),Cr(KWr3,True),Cr(KWr4,True)と、が対応付けられる。これにより、例えば、キーワードKWr1に対応する属性情報ATTに対応する鍵情報を用いて暗号文Cr(KWr1,True)が正しく復号できたことをもって、検索対象情報Mr1の暗号文C(Mr1)を復号することなく、キーワードKWr1が検索対象情報Mr1に対応することを知ることができる。
　本形態では、このような暗号化DBが受信者装置２２０の記憶部２２１ｃに格納され、記憶部２２１ｃには、各キーワード（「KWr」と総称する）と平文Trueとが格納される。また、暗号化DBを構成する各キーワードKWrに対応する各暗号文Cr(KWr,True)は、後述のように順次更新される。
　［受信者装置２２０で予め定められた論理式］
　本形態でも、受信者装置２２０おいて、いくつかのプロトコル及び／又は当該プロトコルの組み合わせからなる条件に対応する論理式が予め定められている。ただし、当該論理式を構成する識別子ID'(h)の値は特定されておらず、当該識別子ID'(h)の値が定まることで述語情報PREが定まる。
　［マスター秘密情報］
　本形態の鍵生成装置１３０の記憶部１３１ｂには、述語暗号方式のマスター秘密情報MSKが格納される。マスター秘密情報MSKの一例は、前述した基底ベクトルbi *(i=1,...,n+1)を要素とするn+1行n+1列の行列B*である。
　＜処理＞
　図２６Ａは、第２実施形態の検索依頼処理を説明するためのフローチャートである。図２６Ｂは、第２実施形態の鍵情報生成処理を説明するためのフローチャートである。また、図２７は、第２実施形態の検索処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　［検索依頼処理・鍵情報生成処理］
　本形態の暗号化処理では、まず、実行する述語暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIと、検索用キーワードKWtとが、送信者装置２１０（図２０）の入力部１１２に入力される（ステップＳ２１１）。例えば、特定情報PIが図２２Ａように定まるのであれば、利用者に選択された１種類のプロトコルに対応する特定情報PI、又は、利用者に選択された２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせが入力部１１２に入力される。また、例えば、特定情報PIが図２２Ｂように定まるのであれば、利用者に選択された１種類のプロトコル又は２種類以上のプロトコルに対応する特定情報PIが入力部１１２に入力される。なお、本形態では、選択されるプロトコル又はプロトコルの組み合わせにKeyword検索暗号プロトコルが含まれるものとする。
　入力部１１２に入力された特定情報PIと検索用キーワードKWtとは、識別子特定部１１４ａに入力される。識別子特定部１１４ａは、当該特定情報PIによって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って（図２３及び図２４等参照）、当該プロトコルごと又は当該プロトコルの組み合わせごとに、検索用キーワードKWtに対応する識別子ID(h)を特定し、特定した１種類以上の当該識別子ID(h)を出力する（ステップＳ２１２）。
　識別子特定部１１４ａから出力された１種類以上の識別子ID(h)は属性情報設定部１１４ｂに入力される。属性情報設定部１１４ｂは、記憶部１１１ｂに格納された属性情報テーブル（図８、図９等参照）を用い、１種類の当該識別子ID(h)又は２種類以上の当該識別子ID(h)の組み合わせに対して定まる１つの属性情報ATTを設定し、設定した当該属性情報ATTを出力する（ステップＳ２１３）。
　属性情報設定部１１４ｂから出力された属性情報ATTは、鍵生成処理部２１４ｄに入力される。鍵生成処理部２１４ｄは、属性情報ATTを通信部１１５からネットワーク１４０経由で鍵生成装置１３０に送信し、属性情報ATTに対応する鍵情報SKtの生成を依頼する（ステップＳ２１４）。
　本形態の鍵情報生成処理では、まず、鍵生成装置１３０（図４）の通信部１３５が上記の属性情報ATTを受信する（ステップＳ２３１）。通信部１３５で受信された属性情報ATTは、鍵生成部１３４に入力される。鍵生成部１３４は、記憶部１３１ｂからマスター秘密情報MSKを読み出し、マスター秘密情報MSKと属性情報ATTとを述語暗号方式の鍵生成関数に入力し、属性情報ATTに対応する鍵情報SKtを生成して出力する（ステップＳ２３２）。なお、鍵生成関数の一例は式(50)の関数である。生成された鍵情報SKtは通信部１３５に送られ、通信部１３５は当該鍵情報SKrをネットワーク１４０経由で送信者装置２１０に送信する（ステップＳ２３３）。
　送信者装置２１０（図２０）の通信部１１５は鍵情報SKtを受信し、鍵生成処理部２１４ｄに送る。鍵生成処理部２１４ｄは当該鍵情報SKtを記憶部２１１ｄに格納する（ステップＳ２１５）。次に、記憶部２１１ｄから読み出された、検索用キーワードKWtに対応する鍵情報SKt（第１情報）は通信部１１５に送られ、そこからネットワーク１４０経由で受信者装置２２０に送信される（ステップＳ２１６）。
　［検索処理］
　本形態の検索処理では、まず、受信者装置２２０（図２１）の通信部１２５が、送信された検索用キーワードKWtに対応する鍵情報SKt（第１情報）を受信し、記憶部２２１ｂに格納する（ステップＳ２２１）。
　これを契機とし、識別子特定部１２４ａが、前述した受信者装置２２０で予め定められた論理式に対応するプロトコルごと又は当該プロトコルの組み合わせごとに、当該プロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、各検索対象情報Mrにそれぞれ対応する各キーワードKWrに対応する１種類以上の識別子ID'(h)を特定する（ステップＳ２２２）。なお、当該規則は、送信者装置２１０の識別子特定部１１４ａで識別子ID(h)を特定するための規則と同一である。
　識別子特定部１２４ａでキーワードKWrごとに特定された１種類以上の識別子ID'(h)は多項式生成部１２４ｂに入力される。多項式生成部１２４ｂは、各キーワードKWrに対し、それぞれ、対応する識別子ID'(h)を用いて、前述した受信者装置２２０で予め定められた論理式を構成する識別子ID'(h)の値を定め、それによって定まる論理式に対応する多項式f(x0,...,xH-1)を生成し、生成した多項式f(x0,...,xH-1)を出力する（ステップＳ２２３）。
　多項式生成部１２４ｂから出力された各多項式f(x0,...,xH-1)は、述語情報生成部１２４ｃに入力される。述語情報生成部１２４ｃは、各キーワードKWrに対し、それぞれ、入力された多項式f(x0,...,xH-1)の各項の係数成分を各要素とするベクトルw→=(w0,...,wn-1)を述語情報PREとして生成し、当該述語情報PREを出力する（ステップＳ２２４）。
　述語情報生成部１２４ｃから出力された各キーワードKWrに対する各述語情報PREは、暗号化部２２４ｄに入力される。暗号化部２２４ｄは、記憶部１１１ｃから平文Trueを読み出し、各キーワードKWrに対する各述語情報PREと平文Trueとをそれぞれ述語暗号方式の暗号化関数に入力し、各キーワードKWrに対し、それぞれ、平文Trueの暗号文Cr(KWr,True)（第２情報）
を生成し、これらによって暗号化DBの各キーワードに対応する各暗号文を更新し、暗号化DBを更新する（ステップＳ２２５）。なお、述語暗号方式の暗号化関数の一例は前述の式(51)(46)である。
　次に、ステップＳ２２１で通信部１２５が受信した検索用キーワードKWtに対応する鍵情報SKt（第１情報）と、記憶部２２１ｃから読み出された暗号化DBの何れかの暗号文Cr(KWr,True)（第２情報）とが復号部１２４ｅに入力される。復号部１２４ｅは、鍵情報SKt（第１情報）と暗号文Cr(KWr,True)（第２情報）を述語暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果Mr="True" or Notを出力する（ステップＳ２２６）。なお、復号関数の一例は式(47)～(49)である。
　ここで、情報SKt（第１情報）に対応する属性情報ATTと、暗号文Cr(KWr,True)（第２情報）に対応する述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値となる場合（例えば、当該属性情報ATTと当該述語情報PREとの内積が０となる場合）には、正しい復号結果が得られ、復号結果Mr=平文Trueとなる（例えば、式(48)(49)参照）。一方、当該属性情報ATTと当該述語情報PREとが予め定められた関数に入力された場合の関数値が予め定められた値とならない場合（例えば、当該属性情報ATTと当該述語情報PREとの内積が０とならない場合）には、正しい復号結果が得られない。そして、正しい復号結果が得られた場合には、その暗号文Cr(KWr,True)に対応付けられた検索対象情報Mrの暗号文C(Mr)が検索結果として抽出される。このようなステップＳ２２６の処理は、暗号化DBを構成するすべての暗号文Cr(KWr,True)に対してそれぞれ実行される。
　検索用キーワードKWtに対応する鍵情報SKt（第１情報）が受信者装置２２０で予め定められたプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に合致するものであった場合には、当該検索用キーワードKWtと同一のキーワードKWに対応する検索対象情報Mrの暗号文C(Mr)が検索結果として抽出される。
　一方、検索用キーワードKWtに対応する鍵情報SKt（第１情報）が受信者装置２２０で予め定められたプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に合致しないものであった場合には、正しい復号がなされないため、検索用キーワードKWtと同一のキーワードKWに対応する検索対象情報Mrの暗号文C(Mr)は抽出されない。つまり、実質的には、暗号化DBの検索が実行できない。
　以上のように、本形態では、送信者装置２１０が使用するプロトコルやプロトコルの組み合わせやキーワードを選択でき、受信者装置２２０において暗号化DBの検索が可能な鍵情報SKt（第１情報）のプロトコルやプロトコルの組み合わせやキーワードの条件を設定しておくことができる。そして、実質的には、受信者装置２２０は、送信者装置２１０で選択されたプロトコルやプロトコルの組み合わせやキーワードが、受信者装置２２０に設定された条件に合致した場合にのみ、暗号化DBの検索を実行することになる。
　〔第２実施形態の変形例〕
　第２実施形態においても、属性情報ATT及び述語情報PREに対し、第１実施形態の変形例１，２で説明したような予備領域を設けてもよい。
　また、本形態では、第１情報が属性情報ATTに対応する鍵情報であり、第２情報が述語情報PREに対応する暗号文である場合の一例として、Keyword検索暗号プロトコルを基本としたプロトコルが実行される場合を例示した。しかし、本発明はこれに限定されない。
　〔第３実施形態〕
　第３実施形態は、第１実施形態と第２実施形態との切り替えが可能な形態である。すなわち、送信者装置が、特定情報PIによって特定されるプロトコルに応じ、属性情報ATTを述語暗号方式の暗号化関数に入力させるか鍵生成関数に入力させるかを切り替え、受信者装置が、特定情報PIによって特定されるプロトコルに応じ、述語情報を述語暗号方式の鍵生成関数に入力させるか暗号化関数に入力させるかを切り替える形態である。以下では、第１実施形態との相違点を中心に説明し、第１実施形態と共通する部分については説明を省略する。
　＜構成＞
　図２８は、第３実施形態の関数暗号応用システム３の全体構成を説明するためのブロック図である。図２８に示すように、本形態の関数暗号応用システム３は、ネットワーク１４０に接続された、送信者装置３１０（情報出力装置）と受信者装置３２０（情報処理装置）と鍵生成装置１３０とを有する。なお、説明の便宜上、図２８には、送信者装置３１０と受信者装置３２０と鍵生成装置１３０とが１個ずつ表記されているが、２個以上の送信者装置３１０や受信者装置３２０や鍵生成装置１３０が存在してもよい。
　［送信者装置３１０（情報出力装置）］
　図２９は、図２８の送信者装置３１０の構成を説明するためのブロック図である。なお、本形態において、第１，２実施形態と共通する部分については第１，２実施形態と同じ符号を付して説明を省略する（以下、同様）。
　図２９に示すように、本形態の送信者装置３１０は、一時メモリ１１１ａと、記憶部１１１ｂ，１１１ｃ，２１１ｄと、入力部１１２と、制御部１１３と、識別子特定部１１４ａと、属性情報設定部１１４ｂと、暗号化部１１４ｃと、鍵生成処理部２１４ｄと、切り替え部３１４と、通信部１１５とを有する。
　送信者装置３１０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、切り替え部３１４は、CPUが所定のプログラムを実行することで構成される処理部や集積回路などである。
　［受信者装置３２０（情報処理装置）］
　図３０は、図２８の受信者装置３２０の構成を説明するためのブロック図である。
　図３０に示すように、本形態の受信者装置３２０は、一時メモリ１２１ａと、記憶部１２１ｂ，２２１ｃと、制御部１２３と、識別子特定部１２４ａと、多項式生成部１２４ｂと、述語情報生成部１２４ｃと、鍵生成処理部１２４ｄと、暗号化部２２４ｄと、復号部１２４ｅと、切り替え部３２４ａ，３２４ｂと、通信部１２５とを有する。なお、説明の便宜上、図３０には、通信部１２５を示すブロックが２つ表記されているが、これは別個の通信部１２５が２つ必要なことを意味しない。
　受信者装置３２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、切り替え部３２４ａ，３２４ｂは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などである。
　＜事前設定＞
　第１，２実施形態と同様であるため説明を省略する。
　＜処理＞
　図３１Ａは、第３実施形態の送信者装置３１０の処理を説明するためのフローチャートである。図３１Ｂは、第３実施形態の受信者装置３２０の処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　本形態の送信者装置３１０の処理では、まず、実行する述語暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIが、送信者装置３１０（図２９）の入力部１１２に入力される（ステップＳ３１１）。
　ここで、特定情報PIによって特定されるプロトコル又はプロトコルの組合せが、第１実施形態のような属性情報ATTを述語暗号方式の暗号化関数に入力させて暗号文を生成する暗号化処理であった場合には、切り替え部３１４の制御のもと、第１実施形態のステップＳ１１１～Ｓ１１５の暗号化処理が実行される。ただし、本形態の送信者装置３１０は、暗号文Ctとともに特定情報PIを受信者装置３２０に送信する。
　一方、特定情報PIによって特定されるプロトコル又はプロトコルの組合せが、第２実施形態のような属性情報ATTを述語暗号方式の鍵生成関数に入力させて鍵情報を生成する検索依頼処理及び鍵情報生成処理であった場合には、切り替え部３１４の制御のもと、第２実施形態のステップＳ２１１～Ｓ２１６，Ｓ２３１～Ｓ２３３の検索依頼処理及び鍵情報生成処理が実行される。ただし、本形態の送信者装置３１０は、鍵情報SKtとともに特定情報PIを受信者装置３２０に送信する。
　本形態の受信者装置３２０の処理では、まず、受信者装置３２０（図３０）の通信部１２５が、送信者装置３１０から送信された暗号文Ctと特定情報PIとの組、又は、鍵情報SKtと特定情報PIとの組を受信する（ステップＳ３１１）。
　ここで、特定情報PIによって特定されるプロトコル又はプロトコルの組合せが、第１実施形態のような述語情報PREを述語暗号方式の鍵生成関数に入力させて鍵情報を生成する復号処理及び鍵情報生成処理であった場合には、切り替え部３２４ａ，３２４ｂの制御のもと、第１実施形態のステップＳ１２１～Ｓ１２７，Ｓ１３１～Ｓ１３３の復号処理及び鍵情報生成処理が実行される。
　一方、特定情報PIによって特定されるプロトコル又はプロトコルの組合せが、第２実施形態のような述語情報PREを述語暗号方式の暗号化関数に入力させて暗号文を生成する検索処理であった場合には、切り替え部３２４ａ，３２４ｂの制御のもと、第２実施形態のステップＳ２２１～Ｓ２２６の検索処理が実行される。
　〔第１～３実施形態のその他の変形例〕
　なお、本発明は上述の第１～３の実施形態に限定されるものではない。例えば、前述の基本構成例１，２で例示した暗号文C2はn+1次元の基底ベクトルを用いて構成されたが（式(45)(51)）、互いに直交するn+2次元以上の基底ベクトルb1,...bn+ξを用いて暗号文C2が構成されてもよい。例えば、以下の式(54)(55)の暗号文C2が生成されてもよい。なお、ξは２以上の整数であり、υξ+1は定数や変数（乱数など）などである。
　　　C2=υ1・(Σμ=1 nvμ・bμ)+υ2・bn+1+…+υξ+1・bn+ξ∈G1 n+ξ　　…(54)
　　　C2=υ1・(Σμ=1 nwμ・bμ)+υ2・bn+1+…+υξ+1・bn+ξ∈G1 n+ξ　　…(55)
　また、式(44)の代わりに
　　　D*=α・(Σμ=1 nwμ・bμ *)+υn+1・bn+1 *∈G2 n+1　　　　…(56)
又は
　　　D*=α・(Σμ=1 nwμ・bμ *)+Σι=n+1 n+ξυι・bι *∈G2 n+ξ　　　　…(57)
を用いてもよい。
　また、式(50)の代わりに
　　　D*=α・(Σμ=1 nvμ・bμ *)+υn+1・bn+1 *∈G2 n+1　　　　…(58)
又は
　　　D*=α・(Σμ=1 nvμ・bμ *)+Σι=n+1 n+ξυι・bι *∈G2 n+ξ　　　　…(59)
を用いてもよい。ただし、υιは定数や変数（乱数など）などである。また、式(57)(59)の場合には、Σι=n+1 n+ξυιが定数となるように各υιが選択されてもよい。例えば、
　　　Σι=n+1 n+ξυι=0F　　　　…(60)
となるように各υιがランダムに選択されてもよい。
　また、上述の有限体Fq上で定義された各演算を位数qの有限環Zq上で定義された演算に置き換えてもよい。有限体Fq上で定義された各演算を有限環Zq上で定義された演算に置き換える方法の一例は、素数やそのべき乗値以外のqを許容する方法である。　その他、KEM方式ではなく、参考文献９の内積述語暗号のように、内積述語暗号によって平文Mを直接暗号化する方式を用いてもよい。なお、参考文献９の内積述語暗号方式の具体的な構成は参考文献９のP24-25等に開示されているためここでは説明を省略するが、参考文献９の内積述語暗号方式も、互いに次元が等しいベクトルである述語情報と属性情報との内積が０である場合に正しく復号される方式である。その他、どのような述語暗号方式を用いてもかまわない。
　また、第１～３実施形態では、送信者装置や受信者装置の外部に鍵生成装置が設けられていたが、送信者装置や受信者装置が鍵生成装置の機能を具備していてもよい。このような送信者装置や受信者装置は、鍵情報の生成を鍵生成装置に依頼することなく、自ら鍵情報を生成できる。
　また、第１～３実施形態では、受信者装置が送信者装置から送信された暗号文又は鍵情報を受信した後に、受信者装置で述語情報PREが定められた。しかし、プロトコルによっては、受信者装置が送信者装置から送信された暗号文又は鍵情報を受信する前に受信者装置で述語情報PREを定めることができる場合もある。この場合には、受信者装置が、送信者装置から送信された暗号文又は鍵情報を受信する前に述語情報PREを定め、当該述語情報PREに対応する鍵情報又は暗号文を生成してもよい。
　また、属性情報ATTの代わりに述語情報PREを用い、述語情報PREの代わりに属性情報ATTを用いてもよい。すなわち、述語情報PREが第１対応情報に相当し、属性情報ATTが第２対応情報に相当してもよい。
　また、第１～３実施形態では、各装置がネットワークを通じて情報のやり取りを行った。しかし、各装置がＵＳＢメモリなどの可搬型記録媒体を通じて情報のやり取りを行ってもよい。
　また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
　〔第４～６実施形態での定義〕
　次に、第４～６実施形態で使用する用語や記号を定義する。
　行列：「行列」とは演算が定義された集合の元を矩形に並べたものを表す。環の元を要素とするものだけではなく、群の元を要素とするものも「行列」と表現する。
　(・)T：(・)Tは・の転置行列を表す。
　(・)-1：(・)-1は・の逆行列を表す。
　∧：∧は論理積（ＡＮＤ）を表す論理記号である。
　∨：∨は論理和（ＯＲ）を表す論理記号である。
　￢：￢は否定（ＮＯＴ）を表す論理記号である。
　命題変数：命題変数は命題の「真」,「偽」（"false","true"）を要素とする集合｛真，偽｝上の変数である。命題変数及び命題変数の否定を総称してリテラル（literal）と呼ぶ。
　論理式：論理式とは数理論理学における命題を表す形式的文法を有する式を意味する。具体的には「真」及び「偽」は論理式であり、命題変数は論理式であり、論理式の否定は論理式であり、論理式と論理式との論理積は論理式であり、論理式と論理式との論理和は論理式である。
　Ｚ：Ｚは整数集合を表す。
　sec：secはセキュリティパラメータ（sec∈Z, sec>0）を表す。
　0*：0*は*個の0からなる列を表す。
　1*：1*は*個の１からなる列を表す。
　Fq：Fqは位数qの有限体を表す。位数qは１以上の整数であり、例えば、素数や素数のべき乗値を位数qとする。すなわち、有限体Fqの例は素体やそれを基礎体とした拡大体である。なお、有限体Fqが素体である場合の演算は、例えば、位数qを法とする剰余演算によって容易に構成できる。また、有限体Fqが拡大体である場合の演算は、例えば、既約多項式を法とする剰余演算によって容易に構成できる。有限体Fqの具体的な構成方法は、例えば、参考文献１「ISO/IEC 18033-2: Information technology - Security techniques - Encryption algorithms - Part 2: Asymmetric ciphers」に開示されている。
　0F：0Fは有限体Fqの加法単位元を表す。
　1F：1Fは有限体Fqの乗法単位元を表す。
　δ(i,j)：δ(i,j)はクロネッカーのデルタ関数を表す。i=jの場合にδ(i,j)=1Fを満たし、i≠jの場合にδ(i,j)=0 Fを満たす。
　E：Eは有限体Fq上で定義された楕円曲線を表す。Eはアフィン（affine）座標版のWeierstrass方程式
　　　y2+a1・x・y+a3・y=x3+a2・x2+a4・x+a6
（ただし、a1,a2,a3,a4,a6∈Fq）を満たすx,y∈Fqからなる点(x,y)の集合に無限遠点と呼ばれる特別な点Ｏを付加したもので定義される。楕円曲線E上の任意の２点に対して楕円加算と呼ばれる二項演算＋及び楕円曲線E上の任意の１点に対して楕円逆元と呼ばれる単項演算－がそれぞれ定義できる。また、楕円曲線E上の有理点からなる有限集合が楕円加算に関して群をなすこと、楕円加算を用いて楕円スカラー倍算と呼ばれる演算が定義できること、及びコンピュータ上での楕円加算などの楕円演算の具体的な演算方法はよく知られている（例えば、参考文献１、参考文献２「RFC 5091: Identity-Based Cryptography Standard (IBCS) #1: Supersingular Curve Implementations of the BF and BB1 Cryptosystems」、参考文献３「イアン・Ｆ・ブラケ、ガディエル・セロッシ、ナイジェル・Ｐ・スマート＝著、「楕円曲線暗号」、出版＝ピアソン・エデュケーション、ISBN4-89471-431-0」等参照）。
　また、楕円曲線E上の有理点からなる有限集合は位数p(p≧1)の部分群を持つ。例えば、楕円曲線E上の有理点からなる有限集合の要素数を＃Eとし、pを＃Eを割り切る大きい素数とした場合、楕円曲線Eのp等分点からなる有限集合E[p]は、楕円曲線E上の有理点からなる有限集合の部分群を構成する。なお、楕円曲線Eのp等分点とは、楕円曲線E上の点Aのうち、楕円曲線E上での楕円スカラー倍算値p・Aがp・A＝Ｏを満たす点を意味する。
　G1, G2,GT：G1, G2, GTは位数qの巡回群を表す。巡回群G1, G2の具体例は、楕円曲線Eのp等分点からなる有限集合E[p]やその部分群である。G1=G2であってもよいしG1≠G2であってもよい。また、巡回群GTの具体例は、有限体Fqを基礎体とする拡大体を構成する有限集合である。その一例は、有限体Fqの代数閉包における１のｐ乗根からなる有限集合である。巡回群G1, G2,GTの位数と有限体Fqの位数とを同一とすることで安全性が向上する。
　なお、本形態では、巡回群G1, G2上で定義された演算を加法的に表現し、巡回群GT上で定義された演算を乗法的に表現する。すなわち、χ∈Fq及びΩ∈G1に対するχ・Ω∈G1は、Ω∈G1に対して巡回群G1で定義された演算をχ回施すことを意味し、Ω1, Ω2∈G1に対するΩ1+Ω2∈G1は、Ω1∈G1とΩ2∈G1とを被演算子として巡回群G1で定義された演算を行うことを意味する。同様に、χ∈Fq及びΩ∈G2に対するχ・Ω∈G2は、Ω∈G2に対して巡回群G2で定義された演算をχ回施すことを意味し、Ω1, Ω2∈G2に対するΩ1+Ω2∈G2は、Ω1∈G2とΩ2∈G2とを被演算子として巡回群G2で定義された演算を行うことを意味する。一方、χ∈Fq及びΩ∈GTに対するΩχ∈GTは、Ω∈GTに対して巡回群GTで定義された演算をχ回施すことを意味し、Ω1,Ω2∈GTに対するΩ1・Ω2∈GTは、Ω1∈GTとΩ2∈GTとを被演算子として巡回群GTで定義された演算を行うことを意味する。
　Ψ：Ψは1以上の整数を表す。
　ψ：ψは0以上Ψ以下の整数ψ=0,...,Ψを表す。
　λ：λは1以上Ψ以下の整数λ=1,...,Ψを表す。
　n(ψ)：n(ψ)は1以上の整数を表す。
　ζ(ψ)：ζ(ψ)は0以上の整数を表す。
　G1 n(ψ)+ζ(ψ)：G1 n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G1の直積を表す。
　G2 n(ψ)+ζ(ψ)：G2 n(ψ)+ζ(ψ)はn(ψ)+ζ(ψ)個の巡回群G2の直積を表す。
　g1, g2,gT：g1, g2, gTは巡回群G, G1, G2, GTの生成元を表す。
　V(ψ)：V(ψ)はn(ψ)+ζ(ψ)個の巡回群G1の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
　V*(ψ)：V*(ψ)はn(ψ)+ζ(ψ)個の巡回群G2の直積からなるn(ψ)+ζ(ψ)次元のベクトル空間を表す。
　eψ：eψは直積G1 n(ψ)+ζ(ψ)と直積G2 n(ψ)+ζ(ψ)との直積G1 n(ψ)+ζ(ψ)×G2 n(ψ)+ζ(ψ)を巡回群GTに写す非退化な双線形写像（bilinear map）を表す。双線形写像eψは、巡回群G1のn(ψ)+ζ(ψ)個の元γβ(β=1,...,n(ψ)+ζ(ψ))と巡回群G2のn(ψ)+ζ(ψ)個の元γβ *(β=1,...,n(ψ)+ζ(ψ))とを入力とし、巡回群GTの１個の元を出力する。
　　　eψ：G1 n(ψ)+ζ(ψ)×G2 n(ψ)+ζ(ψ)→GT　　　　　…(61)
　双線形写像eψは以下の性質を満たす。
　［双線形性］すべてのΓ1∈G1 n(ψ)+ζ(ψ)，Γ2∈G2 n(ψ)+ζ(ψ)及びν，κ∈Fqについて以下の関係を満たす。
　　　eψ(ν・Γ1,κ・Γ2)=eψ(Γ1,Γ2)ν・κ　　　　　…(62)
　［非退化性］すべてのΓ1∈G1 n(ψ)+ζ(ψ)，Γ2∈G2 n(ψ)+ζ(ψ)を巡回群GTの単位元に写す写像ではない。
　［計算可能性］あらゆる
　　　Γ1∈G1 n(ψ)+ζ(ψ)，Γ2∈G2 n(ψ)+ζ(ψ)　　　　　…(63)
についてeψ(Γ1,Γ2)を効率的に計算するアルゴリズムが存在する。
　本形態では、巡回群G1と巡回群G2との直積G1×G2を巡回群GTに写す非退化な双線形写像
　　　Pair:G1×G2→GT　　　　　…(64)
を用いて双線形写像eψを構成する。本形態の双線形写像eψは、巡回群G1のn(ψ)+ζ(ψ)個の元γβ(β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ1,...,γn(ψ)+ζ(ψ))と、巡回群G2のn(ψ)+ζ(ψ)個の元γβ *(β=1,...,n(ψ)+ζ(ψ))からなるn(ψ)+ζ(ψ)次元ベクトル(γ1 *,...,γn(ψ)+ζ(ψ) *)との入力に対し、巡回群GTの１個の元を出力する。
　　　eψ：Πβ=1 n(ψ)+ζ(ψ)Pair(γβ, γβ *)　　　　　…(65)
　なお、双線形写像Pairは、巡回群G1の１個の元と巡回群G2の１個の元との組を入力とし、巡回群GTの１個の元を出力する。双線形写像Pairは、以下の性質を満たす。
　［双線形性］すべてのΩ1∈G1，Ω2∈G2及びν，κ∈Fqについて以下の関係を満たす。
　　　Pair(ν・Ω1,κ・Ω2)=Pair(Ω1,Ω2)ν・κ　　　　　…(66)
　［非退化性］すべての
　　　Ω1∈G1，Ω2∈G2　　　　　…(67)
を巡回群GTの単位元に写す写像ではない。
　［計算可能性］あらゆるΩ1∈G1，Ω2∈G2についてPair(Ω1,Ω2)を効率的に計算するアルゴリズムが存在する。
　双線形写像Pairの具体例は、WeilペアリングやTateペアリングなどのペアリング演算を行うための関数である（例えば、参考文献４「Alfred. J. Menezes，ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS， KLUWER ACADEMIC PUBLISHERS， ISBN0-7923-9368-6，pp. 61-81」等参照）。また、楕円曲線Eの種類に応じ、Tateペアリングなどのペアリング演算を行うための関数と所定の関数phiを組み合わせた変更ペアリング関数e(Ω1,phi(Ω2))（Ω1∈G1，Ω2∈G2）を双線形写像Pairとして用いてもよい（例えば、参考文献２等参照）。また、ペアリング演算をコンピュータ上で行うためのアルゴリズムとしては、周知のMiller のアルゴリズム（参考文献５「V. S. Miller, “Short Programs for functions on Curves,”1986，インターネット＜http://crypto.stanford.edu/miller/miller.pdf＞」などが存在する。また、ペアリング演算を効率的に行うための楕円曲線や巡回群の構成方法はよく知られている（例えば、参考文献２、参考文献６「A. Miyaji, M. Nakabayashi, S.Takano, "New explicit conditions of elliptic curve Traces for FR-Reduction," IEICE Trans. Fundamentals, vol. E84-A, no05, pp. 1234-1243, May 2001」、参考文献７「P.S.L.M. Barreto, B. Lynn, M. Scott, "Constructing elliptic curves with prescribed embedding degrees," Proc. SCN '2002, LNCS 2576, pp.257-267, Springer-Verlag. 2003」、参考文献８「R. Dupont, A. Enge, F. Morain, "Building curves with arbitrary small MOV degree over finite prime fields," http://eprint.iacr.org/2002/094/」等参照）。
　ai(ψ)(i=1,...,n(ψ)+ζ(ψ))：ai(ψ)は巡回群G1のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルai(ψ)の一例は、κ1・g1∈G1をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G1の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、n(ψ)+ζ(ψ)次元の基底ベクトルai(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　a1(ψ)=(κ1・g1,0,0,...,0)
　　　a2(ψ)=(0,κ1・g1,0,...,0)　　　　　…(68)
...
　　　an(ψ)+ζ(ψ)(ψ)=(0,0,0,...,κ1・g1)
　ここで、κ1は加法単位元0F以外の有限体Fqの元からなる定数であり、κ1∈Fqの具体例はκ1=1Fである。基底ベクトルai(ψ)は直交基底であり、巡回群G1のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルai(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルai(ψ)は前述のベクトル空間V(ψ)を張る。
　ai *(ψ)(i=1,...,n(ψ)+ζ(ψ))：巡回群G2のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。基底ベクトルai *(ψ)の一例は、κ2・g2∈G2をi次元目の要素とし、残りのn(ψ)+ζ(ψ)-1個の要素を巡回群G2の単位元（加法的に「0」と表現）とするn(ψ)+ζ(ψ)次元の基底ベクトルである。この場合、基底ベクトルai *(ψ)(i=1,...,n(ψ)+ζ(ψ))の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　a1 *(ψ)=(κ2・g2,0,0,...,0)
　　　a2 *(ψ)=(0,κ2・g2,0,...,0)　　　　　…(69)
　　　　　　　　...
　　　an(ψ)+ζ(ψ) *(ψ)=(0,0,0,...,κ2・g2)
　ここで、κ2は加法単位元0F以外の有限体Fqの元からなる定数であり、κ2∈Fqの具体例はκ2=1Fである。基底ベクトルai *(ψ)は直交基底であり、巡回群G2のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルai *(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルai *(ψ)は前述のベクトル空間V*(ψ)を張る。
　なお、基底ベクトルai(ψ)と基底ベクトルai *(ψ)とは、0Fを除く有限体Fqの元τ=κ1・κ2について
　　　eψ(ai(ψ), aj *(ψ))=gT τ・δ(i,j) 　　　　　…(70)
を満たす。すなわち、i=jの場合には、式(65)(66)の関係から、
　　eψ(ai(ψ), aj *(ψ))
  = Pair(κ1・g1,κ2・g2)・Pair(0, 0)・...・Pair(0, 0)
　　　　　　= Pair(g1, g2)κ1・κ2・Pair(g1, g2)0・0・...・Pair(g1, g2)0・0
　　　　　　= Pair(g1, g2)κ1・κ2=gT τ
を満たす。なお、上付き添え字κ1，κ2はそれぞれκ1，κ2を表す。一方、i≠jの場合には、eψ(ai(ψ), aj *(ψ))=Πi=1 n(ψ)+ζ(ψ) Pair(ai(ψ), aj *(ψ))の右辺は、Pair(κ1・g1,κ2・g2)を含まず、Pair(κ1・g1,0)と Pair(0,κ2・g2)とPair(0,0)との積になる。さらに、式(66)の関係からPair(g1, 0)=Pair(0, g2)=Pair(g1, g2)0を満たす。そのため、i≠jの場合には、
　　　eψ(ai(ψ), aj *(ψ))=eψ(g1, g2)0=gT 0
を満たす。
　特に、τ=κ1・κ2=1Fである場合（例えば、κ1=κ2=1Fの場合）、
　　　e(ai(ψ), aj *(ψ))=gT δ(i,j) 　　　　　…(71)
を満たす。ここで、gT 0=1は巡回群GTの単位元であり、gT 1=gTは巡回群GTの生成元である。この場合、基底ベクトルai(ψ)と基底ベクトルai *(ψ)とは双対正規直交基底であり、ベクトル空間V(ψ)とベクトル空間V*(ψ)とは、双線形写像を構成可能な双対ベクトル空間〔双対ペアリングベクトル空間（DPVS:Dual Paring Vector space)〕である。
　A(ψ)：基底ベクトルai(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルai(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(68)によって表現される場合、行列A(ψ)は、
Figure JPOXMLDOC01-appb-M000014
となる。
　A*(ψ)：基底ベクトルai *(ψ)(i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。例えば、基底ベクトルai *(ψ)(i=1,...,n(ψ)+ζ(ψ))が式(69)によって表現される場合、行列A*(ψ)は、
Figure JPOXMLDOC01-appb-M000015
となる。
　X(ψ)：X(ψ)は有限体Fqの元を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。行列X(ψ)は基底ベクトルai(ψ)の座標変換に用いられる。行列X(ψ)のi行j列(i=1,...,n(ψ)+ζ(ψ),j=1,...,n(ψ)+ζ(ψ))の要素をχi,j(ψ)∈Fqとすると、行列X(ψ)は、
Figure JPOXMLDOC01-appb-M000016
となる。なお、行列X(ψ)の各要素χi,j(ψ)を変換係数と呼ぶ。
　X *(ψ)：X*(ψ)と行列X(ψ)とはX*(ψ)=τ'・(X(ψ)-1)Tの関係を満たす。ただし、τ'∈Fqは有限体Fqに属する任意の定数であり、例えば、τ'=1Fである。X*(ψ)は基底ベクトルai *(ψ)の座標変換に用いられる。行列X*(ψ)のi行j列の要素をχi,j *(ψ)∈Fqとすると、行列Ｘ*(ψ)は、
Figure JPOXMLDOC01-appb-M000017
となる。なお、行列Ｘ*(ψ)の各要素χi,j *(ψ)を変換係数と呼ぶ。
　この場合、n(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の単位行列をI(ψ)とするとX(ψ)・(X*(ψ))T=τ'・I(ψ)を満たす。すなわち、単位行列
Figure JPOXMLDOC01-appb-M000018
に対し、
Figure JPOXMLDOC01-appb-M000019
を満たす。ここで、n(ψ)+ζ(ψ)次元ベクトル
　　　χi →(ψ)=(χi,1(ψ),...,χi,n(ψ)+ζ(ψ)(ψ))　　　　　…(78)
　　　χj →*(ψ)=(χj,1 *(ψ),...,χj,n(ψ)+ζ(ψ) *(ψ)) 　　　 …(79)
を定義する。すると、式(77)の関係から、n(ψ)+ζ(ψ)次元ベクトルχi →(ψ)とχj →*(ψ)との内積は、
　　　χi →(ψ)・χj →*(ψ)=τ'・δ(i,j)　　　　　…(80)
となる。
　bi(ψ)：bi(ψ)は巡回群G1のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。bi(ψ)は行列X(ψ)を用いて基底ベクトルai(ψ) (i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルbi(ψ)は、
　　　bi(ψ)=Σj=1 n(ψ)+ζ(ψ)χi,j(ψ)・aj(ψ)　　　　　…(81)
の演算によって得られる。例えば、基底ベクトルaj(ψ)(j=1,...,n(ψ)+ζ(ψ))が式(68)によって表現される場合、基底ベクトルbi(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　bi(ψ)=(χi,1(ψ)・κ1・g1,χi,2(ψ)・κ1・g1,
　　　　　　　...,χi,n(ψ)+ζ(ψ)(ψ)・κ1・g1)　　　　　…(82)
　巡回群G1のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルbi(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルbi(ψ)は前述のベクトル空間V(ψ)を張る。
　bi *(ψ)：bi *(ψ)は巡回群G2のn(ψ)+ζ(ψ)個の元を要素とするn(ψ)+ζ(ψ)次元の基底ベクトルを表す。bi *(ψ)は行列X*(ψ)を用いて基底ベクトルai *(ψ)(i=1,...,n(ψ)+ζ(ψ))を座標変換することで得られる。具体的には、基底ベクトルbi *(ψ)は、
　　　bi *(ψ)=Σj=1 n(ψ)+ζ(ψ)χi,j *(ψ)・aj *(ψ)　　　　　…(83)
の演算によって得られる。例えば、基底ベクトルaj *(ψ) (j=1,...,n(ψ)+ζ(ψ))が式(69)によって表現される場合、基底ベクトルbi *(ψ)の各要素をそれぞれ列挙して表現すると、以下のようになる。
　　　bi *(ψ)=(χi,1 *(ψ)・κ2・g2 ,χi,2 *(ψ)・κ2・g2,
　　　　　　　　　　　...,χi,n(ψ)+ζ(ψ) *(ψ)・κ2・g2)　　　　…(84)
となる。巡回群G2のn(ψ)+ζ(ψ)個の元を要素とするすべてのn(ψ)+ζ(ψ)次元ベクトルは、n(ψ)+ζ(ψ)次元の基底ベクトルbi *(ψ)(i=1,...,n(ψ)+ζ(ψ))の線形和によって表される。すなわち、n(ψ)+ζ(ψ)次元の基底ベクトルbi *(ψ)は前述のベクトル空間V*(ψ)を張る。
　なお、基底ベクトルbi(ψ)と基底ベクトルbi *(ψ)とは、0Fを除く有限体Fqの元τ=κ1・κ2について
　　　eψ(bi(ψ), bj *(ψ))=gT τ・τ'・δ(i,j)　　　　　…(85)
を満たす。すなわち、式(65)(80)(82)(84)の関係から、
Figure JPOXMLDOC01-appb-M000020
を満たす。特にτ=κ1・κ2=1F（例えば、κ1=κ2=1F）及びτ'=1Fである場合、
　　　eψ(bi(ψ), bj *(ψ))=gT δ(i,j)　　　　　…(86)
を満たす。この場合、基底ベクトルbi(ψ)と基底ベクトルbi *(ψ)とは、双対ペアリングベクトル空間（ベクトル空間V(ψ)とベクトル空間V*(ψ)）の双対正規直交基底である。
　なお、式(85)の関係を満たすのであれば、式(68)(69)で例示したもの以外の基底ベクトルai(ψ)及びai *(ψ)や、式(81)(83)で例示したもの以外の基底ベクトルbi(ψ)及びbi *(ψ)を用いてもよい。
　B(ψ)：B(ψ)は基底ベクトルbi(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列である。B(ψ)=X(ψ)・A(ψ)を満たす。例えば、基底ベクトルbi(ψ)が式(82)によって表現される場合、行列B(ψ)は、
Figure JPOXMLDOC01-appb-M000021
となる。
　B*(ψ)：B*(ψ)は基底ベクトルbi *(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列を表す。B*(ψ)=X*(ψ)・A*(ψ)を満たす。例えば、基底ベクトルbi *(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(84)によって表現される場合、行列B*(ψ)は、
Figure JPOXMLDOC01-appb-M000022
となる。
　v(λ)→：v(λ)→は有限体Fqの元を要素とするn(λ)次元ベクトルを表す。
　　　v(λ)→=(v1(λ),...,vn(λ)(λ))∈Fq n(λ)　　　　　…(89)
　vμ(λ)：vμ(λ)はn(λ)次元ベクトルv(λ)→のμ(μ=1,...,n(λ))番目の要素を表す。
　w(λ)→：w(λ)→は有限体Fqの元を要素とするn(λ)次元ベクトルを表す。
　　　w(λ)→=(w1(λ),...,wn(λ)(λ))∈Fq n(λ)　　　　　…(90)
　wμ(λ)：wμ(λ)はn(λ)次元ベクトルw(λ)→のμ(μ=1,...,n(λ))番目の要素を表す。
　Enc：Encは共通鍵暗号方式の暗号化処理を示す共通鍵暗号関数を表す。
　EncK(M)：EncK(M)は、共通鍵Kを用い、共通鍵暗号関数Encに従って平文Mを暗号化して得られた暗号文を表す。
　Dec：Decは、共通鍵暗号方式の復号処理を示す共通鍵復号関数を表す。
　DecK(C)：DecK(C)は、共通鍵Kを用い、共通鍵復号関数Decに従って暗号文Cを復号して得られた復号結果を表す。
　〔関数暗号方式〕
　次に、第４～６実施形態での関数暗号方式の基本的な構成について説明する。
　関数暗号方式とは、条件情報と属性情報との組み合わせによって定まる論理式の真理値が「真」となる場合に暗号文が復号される方式である。「条件情報」と「属性情報」の一方が暗号文に埋め込まれ、他方が鍵情報に埋め込まれる。例えば、「"Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products," with Amit Sahai and Brent Waters One of 4 papers from Eurocrypt 2008 invited to the Journal of Cryptology」（参考文献９）に開示された述語暗号方式は関数暗号方式の一種である。
　これ以外にも様々な公知の関数暗号方式が存在するが、以下では未公開の新たな関数暗号方式を説明する。以下に説明する新たな関数暗号方式では秘密情報に応じた値が所定の論理式に応じた態様で階層的に秘密分散される。所定の論理式は、条件情報と属性情報との組み合わせによって真理値が定まる命題変数を含み、必要に応じてさらに論理記号∧，∨，￢の何れか又はすべてを含む。そして、各命題変数の真理値が特定されることで定まる当該所定の論理式の真理値が「真」となる場合に秘密情報に応じた値が復元され、それに基づいて暗号文が復号される。
　＜論理式と階層的な秘密分散との関係＞
　上述した所定の論理式と階層的な秘密分散との関係を説明する。
　秘密分散とは、しきい値Kt(Kt≧1)個以上のシェア情報が得られた場合にのみ秘密情報が復元されるように、秘密情報をN(N≧2)個のシェア情報に分散することである。Kt=Nを満たす秘密分散の方式（SSS: Secret Sharing Scheme）をN-out-of-N分散方式（或いは「N-out-of-Nしきい値分散方式」）といい、Kt＜Nを満たす秘密分散の方式をKt-out-of-N分散方式（或いは「Kt-out-of-Nしきい値分散方式」）という（例えば、参考文献１１「黒沢馨、尾形わかは、“現代暗号の基礎数理 (電子情報通信レクチャーシリーズ)”、コロナ社 、２００４年３月、p.116-119」、参考文献１２「A. Shamir, "How to Share a Secret", Communications of the ACM, November 1979, Volume 22, Number 11, pp.612-613.」等参照）。
　N-out-of-N分散方式は、すべてのシェア情報share(1),...,share(N)が与えられれば秘密情報SEを復元できるが、任意のN-1個のシェア情報share(φ1),...,share(φN-1)が与えられても秘密情報SEの情報はまったく得られない方式である。以下に、その一例を示す。
　・SH1,...,SHN-1をランダムに選択する。
　・SHN=SE-(SH1+...+SHN-1)の計算を行う。
　・SH1,...,SHNを各シェア情報share(1),...,share(N)とする。
　・すべてのシェア情報share(1),...,share(N)が与えられれば、
　　　SE=share(1)+...+share(N)　　　　　…(91)
の復元処理によって秘密情報SEの復元が可能である。
　Kt-out-of-N分散方式は、任意の相違なるKt個のシェア情報share(φ1),...,share(φKt)が与えられれば秘密情報SEを復元できるが、任意のKt-1個のシェア情報share(φ1),...,share(φKt-1)が与えられても秘密情報SEの情報はまったく得られない方式である。なお、添え字のKtはKtを表す。以下にKt-out-of-N分散方式の一例を示す。
　・f(0)=SEを満たすKt-1次の多項式f(x)=ξ0+ξ1・x+ξ2・x2+...+ξKt-1・xKt-1をランダムに選ぶ。すなわち、ξ0=SEとし、ξ1,..., ξKt-1をランダムに選ぶ。シェア情報をshare(ρ)=(ρ, f(ρ))（ρ=1,...,N）とする。なお、(ρ, f(ρ))はρ及びf(ρ)の値をそれぞれ抽出可能な情報であり、例えばρとf(ρ)とのビット結合値である。
　・任意の相違なるKt個のシェア情報share(φ1),...,share(φKt)（(φ1,...,φKt)⊂(1,...,N)）が得られた場合、例えば、ラグランジェ(Lagrange)の補間公式を用い、以下のような復元処理によって秘密情報SEの復元が可能である。
　　　SE=f(0)=LA1・f(φ1)+...+ LAKt・f(φKt)　　　　　…(92)
Figure JPOXMLDOC01-appb-M000023
は先頭からρ番目の被演算子〔分母の要素(φρ-φρ)、分子の要素(x-φρ)〕が存在しないことを意味する。すなわち、式(93)の分母は、
　　　(φρ-φ1)・...・(φρ-φρ-1)・(φρ-φρ+1)・...・(φρ-φKt)
であり、式(93)の分子は、
　　　(x-φ1)・...・(x-φρ-1)・(x-φρ+1)・...・(x-φKt)
である。
　上述した各秘密分散は体上でも実行可能である。また、これらを拡張して秘密情報SEに応じた値をシェア情報shareに秘密分散することもできる。秘密情報SEに応じた値とは秘密情報SEそのものや秘密情報SEの関数値であり、シェア情報shareに応じた値とはシェア情報shareそのものやシェア情報の関数値である。例えば、有限体Fqの元である秘密情報SE∈Fqに応じた巡回群GTの元gT SE∈GTを秘密情報SEの各シェア情報share(1),share(2)に応じた巡回群GTの元gT share(1),gT share(2)∈GTに秘密分散することもできる。また、上述した秘密情報SEはシェア情報shareの線形結合となる（式(91)(92)）。このように秘密情報SEがシェア情報shareの線形結合となる秘密分散方式を線形秘密分散方式と呼ぶ。
　上述した所定の論理式は、秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。すなわち、ド・モルガンの法則により、上述した所定の論理式はリテラルからなる論理式、又は、論理記号∧，∨の少なくとも一部とリテラルとからなる論理式（これらを「標準形論理式」と呼ぶことにする）によって表現でき、この標準形論理式は秘密情報を階層的に秘密分散して得られる木構造データによって表現できる。
　標準形論理式を表現する木構造データは複数のノードを含み、少なくとも一部のノードは１個以上の子ノードの親ノードとされ、親ノードの１つはルートノードとされ、子ノードの少なくとも一部は葉ノードとされる。ルートノードの親ノードや、葉ノードの子ノードは存在しない。ルートノードには秘密情報に応じた値が対応し、各親ノードの子ノードには当該親ノードに対応する値を秘密分散したシェア情報に応じた値が対応する。各ノードでの秘密分散形態（秘密分散方式やしきい値）は標準形論理式に応じて定まる。また、各葉ノードには標準形論理式を構成する各リテラルが対応し、当該各リテラルの真理値は条件情報と属性情報との組み合わせによって定まる。
　ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られないものとする。また、上述した秘密分散の性質により、親ノードに対応するシェア情報に応じた値（その親ノードがルートノードであれば秘密情報に応じた値）は、その子ノードに対応するシェア情報に応じた値が当該親ノードに対応するしきい値以上の個数だけ得られた場合にのみ復元される。そのため、どの葉ノードに対応するリテラルの真理値が真になったのかと木構造データの構成（各ノードでの秘密分散の形態を含む）とに応じ、最終的にルートノードに対応する秘密情報に応じた値が復元できるか否かが定まる。そして、各葉ノードに対応する各リテラルの真理値が標準形論理式の真理値を真にする場合にのみ最終的にルートノードに対応する秘密情報に応じた値が復元できるように木構造データが構成されている場合、このような木構造データは標準形論理式を表現する。このような標準形論理式を表現する木構造データは容易に設定できる。以下に具体例を示す。
　図３２は、命題変数PRO(1),PRO(2)と命題変数PRO(3)の否定￢PRO(3)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨￢PRO(3)を表現する木構造データを例示する図である。図３２に例示する木構造データは複数のノードN1,...,N5を含む。ノードN1はノードN2,N5の親ノードとされ、ノードN2はノードN3,N4の親ノードとされ、親ノードの１つノードN1がルートノードとされ、子ノードの一部であるノードN3,N4,N5が葉ノードとされる。ノードN1には秘密情報SEに応じた値が対応し、ノードN1の子ノードN2,N5には、秘密情報SEに応じた値が1-out-of-2分散方式で秘密分散された各シェア情報SE,SEに応じた値がそれぞれ対応する。ノードN2の子ノードN3,N4には、シェア情報SEに応じた値が2-out-of-2分散方式で秘密分散された各シェア情報SE-SH1,SH1に応じた値がそれぞれ対応する。すなわち、葉ノードN3にはシェア情報share(1)=SE-SH1に応じた値が対応し、葉ノードN4にはシェア情報share(2)=SH1に応じた値が対応し、葉ノードN5にはシェア情報share(3)=SEに応じた値が対応する。また、葉ノードN3,N4,N5には標準形論理式PRO(1)∧PRO(2)∨￢PRO(3)を構成する各リテラルPRO(1),PRO(2),￢PRO(3)がそれぞれ対応し、当該各リテラルPRO(1),PRO(2),￢PRO(3)の真理値は条件情報と属性情報との組み合わせによって定まる。ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られない。この場合、条件情報と属性情報との組み合わせが標準形論理式PRO(1)∧PRO(2)∨￢PRO(3)の真理値を真にする場合にのみ秘密情報SEに応じた値が復元される。
　図３３は、命題変数PRO(1),PRO(2),PRO(3),PRO(6),PRO(7)と命題変数PRO(4),PRO(5)の否定￢PRO(4),￢PRO(5)と論理記号∧，∨とを含む標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨￢PRO(4)∨(￢PRO(5)∧PRO(6))∧PRO(7)を表現する木構造データを例示する図である。
　図３３に例示する木構造データは複数のノードN1,...,N11を含む。ノードN1はノードN2,N6,N7の親ノードとされ、ノードN2はノードN3,N4,N5の親ノードとされ、ノードN7はノードN8,N11の親ノードとされ、ノードN8はノードN9,N10の親ノードとされ、親ノードの１つであるノードN1がルートノードとされ、ノードN3,N4,N5,N6,N9,N10,N11が葉ノードとされる。ノードN1には秘密情報SEに応じた値が対応し、ノードN1の子ノードN2,N6,N7には、秘密情報SEに応じた値が1-out-of-3分散方式で秘密分散された各シェア情報SE,SE,SEに応じた値がそれぞれ対応する。ノードN2の子ノードN3,N4,N5には、シェア情報SEに応じた値が2-out-of-3分散方式で秘密分散された各シェア情報(1,f(1)),(2,f(2)),(3,f(3))に応じた値がそれぞれ対応する。ノードN7の子ノードN8,N11には、シェア情報SEに応じた値が2-out-of-2分散方式で秘密分散された各シェア情報SH4,SE-SH4に応じた値がそれぞれ対応する。ノードN8の子ノードN9,N10には、シェア情報SH4に応じた値が1-out-of-2分散方式で秘密分散された各シェア情報SH4,SH4に応じた値がそれぞれ対応する。すなわち、葉ノードN3にはシェア情報share(1)=(1,f(1))に応じた値が対応し、葉ノードN4にはシェア情報share(2)=(2,f(2))に応じた値が対応し、葉ノードN5にはシェア情報share(3)=(3,f(3))に応じた値が対応し、葉ノードN6にはシェア情報share(4)=SEに応じた値が対応し、葉ノードN9にはシェア情報share(5)=SH4に応じた値が対応し、葉ノードN10にはシェア情報share(6)=SH4に応じた値が対応し、葉ノードN11にはシェア情報share(7)=SE-SH4に応じた値が対応する。また、葉ノードであるノードN3,N4,N5,N6,N9,N10,N11には標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨￢PRO(4)∨(￢PRO(5)∧PRO(6))∧PRO(7)を構成する各リテラルPRO(1),PRO(2),PRO(2),PRO(3),PRO(1),PRO(3),￢PRO(4),￢PRO(5),PRO(6),PRO(7)がそれぞれ対応し、各リテラルPRO(1),PRO(2),PRO(2),PRO(3),PRO(1),PRO(3),￢PRO(4),￢PRO(5),PRO(6),PRO(7)の真理値は条件情報と属性情報との組み合わせによって定まる。ここで、真理値が真となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られるが、真理値が偽となったリテラルに対応する葉ノードに対応するシェア情報に応じた値は得られない。この場合、条件情報と属性情報との組み合わせが標準形論理式PRO(1)∧PRO(2)∨PRO(2)∧PRO(3)∨PRO(1)∧PRO(3)∨￢PRO(4)∨(￢PRO(5)∧PRO(6))∧PRO(7)の真理値を真にする場合にのみ秘密情報SEに応じた値が復元される。
　＜アクセス構造＞
　上述のように秘密情報を階層的に秘密分散して得られる木構造データによって所定の論理式を表現した場合、条件情報と属性情報との組み合わせに対して得られる葉ノードでのシェア情報に応じた値から秘密情報に応じた値を復元できるか否かによって、条件情報と属性情報との組み合わせによって定まる論理式の真理値が「真」となるか「偽」となるかを判定できる。以下、条件情報と属性情報との組み合わせによって定まる論理式の真理値が「真」となる場合に条件情報と属性情報との組み合わせを受け入れ、「偽」となる場合に条件情報と属性情報との組み合わせを拒絶する仕組みをアクセス構造と呼ぶ。
　上述のように所定の論理式を表現した木構造データの葉ノードの総数をΨとし、各葉ノードに対応する識別子をλ=1,...,Ψとする。各葉ノードに対応するn(λ)次元ベクトルv(λ)→の集合{v(λ)→}λ=1,...,Ψを条件情報とし、n(λ)次元ベクトルw(λ)→の集合{w(λ)→}λ=1,...,Ψを属性情報とする。また、上述した木構造データをラベル付き行列LMT(MT,LAB)として実装する。
　ラベル付き行列LMT(MT,LAB)は、Ψ行COL列（COL≧1）の行列
Figure JPOXMLDOC01-appb-M000024
と、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)とを含む。
　行列MTの各要素mtλ,col（col=1,...,COL）は次の２つの要件を満たす。第１に、上述のように所定の論理式を表現した木構造データのルートノードに秘密情報SE∈Fqに応じた値が対応する場合、予め定められた有限体Fqの元を要素とするCOL次元ベクトル
　　　GV→=(gv1,...,gvCOL)∈Fq COL　　　　　…(95)
と、秘密情報SEに応じた有限体Fqの元を要素とするCOL次元ベクトル
　　　CV→=(cv1,...,cvCOL)∈Fq COL　　　　　…(96)
とに対して
　　　SE=GV→・(CV→)T　　　　　…(97)
が成立する。COL次元ベクトルGV→の具体例は、
　　　GV→=(1F,...,1F)∈Fq COL　　　　　…(98)
であるが、GV→=(1F,0F,...,0F)∈Fq COLなどのその他のCOL次元ベクトルであってもよい。第２に、識別子λに対応する葉ノードにシェア情報share(λ)∈Fqに応じた値が対応する場合、
　　　(share(1),...,share(Ψ))T=MT・(CV→)T　　　　　…(99)
が成立する。上述のように所定の論理式を表現した木構造データが定まれば、これら２つの要件を満たす行列MTを選択することは容易である。また、秘密情報SEやシェア情報share(λ)が変数であったとしても、これら２つの要件を満たす行列MTを選択することは容易である。すなわち、行列MTを定めた後で秘密情報SEやシェア情報share(λ)の値が定められてもよい。
　また、行列MTの各行λ=1,...,Ψに対応付けられたラベルLAB(λ)は、識別子λに対応する葉ノードに対応するリテラル（PRO(λ)又は￢PRO(λ)）に対応する。ここで、命題変数PRO(λ)の真理値が「真」であることと条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}が含むv(λ)→と属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}が含むw(λ)→との内積v(λ)→・w(λ)→が０となることとが等価であると扱い、命題変数PRO(λ)の真理値が「偽」であることと内積v(λ)→・w(λ)→が０とならないこととが等価であると扱う。そして、PRO(λ)に対応するラベルLAB(λ)がv(λ)→を表し、￢PRO(λ)に対応するラベルLAB(λ)が￢v(λ)→を表すものとする。なお、￢v(λ)→はv(λ)→の否定を表す論理式であり、￢v(λ)→からv(λ)→の特定が可能である。また、LAB(λ)がv(λ)→を表すことを「LAB(λ)=v(λ)→」と表記し、LAB(λ)が￢v(λ)→を表すことを「LAB(λ)=￢v(λ)→」と表記する。また、LAB(λ)（λ=1,...,Ψ）の集合{LAB(λ)}λ=1,...,ΨをLABと表記する。
　さらに、Ψ次元ベクトル
　　　TFV→=(tfv(1),...,tfv(Ψ))　　　　　…(100)
を定義する。要素tfv(λ)は、内積v(λ)→・w(λ)→が０のときにtfv(λ)=１となり、０以外のときにtfv(λ)=0となる。
　　tfv(λ)=1　（PRO(λ)が真）　　if　v(λ)→・w(λ)→=0　　　…(101)
　　tfv(λ)=0　（PRO(λ)が偽）　　if　v(λ)→・w(λ)→≠0　　　…(102)
　さらに、論理式
　{(LAB(λ)=v(λ)→)∧(tfv(λ)=1)}∨{(LAB(λ)=￢v(λ)→)∧(tfv(λ)=0)}　…(103)
の真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。すなわち、識別子λに対応する葉ノードに対応するリテラルの真理値が「真」になるときLIT(λ)=1と表記し「偽」になるときLIT(λ)=0と表記する。すると、行列MTが含む行ベクトルのうちLIT(λ)=1となる行ベクトルmtλ →=(mtλ,1,...,mtλ,COL)のみからなる部分行列MTTFVは以下のように表記できる。
　　　MTTFV=(MT)LIT(λ)=1　　　　　…(104)
　上述した秘密分散方式が線形秘密分散方式である場合、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できることと、識別子λに対応する行ベクトルmtλ →で張られるベクトル空間にCOL次元ベクトルGV→が属することとは等価である。すなわち、識別子λに対応する行ベクトルmtλ →で張られるベクトル空間にCOL次元ベクトルGV→が属するか否かを判定することで、識別子λに対応するシェア情報share(λ)に応じた値から秘密情報SEに応じた値が復元できるか否かが判定できる。なお、行ベクトルmtλ →で張られるベクトル空間とは、行ベクトルmtλ →の線形結合で表すことができるベクトル空間を意味する。
　ここで、上述の部分行列MTTFVの各行ベクトルmtλ →で張られるベクトル空間span<MTTFV>にCOL次元ベクトルGV→が属する場合に条件情報と属性情報との組み合わせが受け入れられ、そうでない場合に条件情報と属性情報との組み合わせが拒絶されることにする。これにより、上述のアクセス構造が具体化される。なお、上述したようにラベル付き行列LMT(MT,LAB)が条件情報に対応する場合、アクセス構造が条件情報と属性情報との組み合わせを受け入れることを「アクセス構造が属性情報を受け入れる」といい、アクセス構造が条件情報と属性情報との組み合わせを受け入れないことを「アクセス構造が属性情報を拒絶する」という。
　　　受け入れ　if　GV→∈span<MTTFV>
　　　拒絶　　　if　￢(GV→∈span<MTTFV>)
　また、GV→∈span<MTTFV>の場合、
　　　SE=Σμ∈SETconst(μ)・share(μ)　　　　　…(105)
　　　{const(μ)∈Fq|μ∈SET},SET⊆{1,...,λ|LIT(λ)=1}
を満たす係数const(μ)が存在し、このような係数const(μ)は行列MTのサイズの多項式時間で求めることができる。
　＜アクセス構造を用いた関数暗号方式の基本構成＞
　以下では、アクセス構造を用いた関数暗号方式によって鍵カプセル化メカニズムKEM (Key Encapsulation Mechanisms)を構成する場合の基本構成を例示する。この構成はSetup(1sec，(Ψ;n(1),...,n(Ψ)))，GenKey(PK,MSK,LMT(MT,LAB))，Enc(PK,M,{λ,v(λ)→|λ=1,...,Ψ})(v1(λ)=1F)，Dec(PK,SKS,C)を含む。また、属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}の1番目の要素w1(λ)が1Fとされる。
　［Setup(1sec，(Ψ;n(1),...,n(Ψ)))：セットアップ］
　－入力：1sec，(Ψ;n(1),...,n(Ψ))
　－出力：マスター秘密情報MSK，公開パラメータPK
　Setupでは各ψ=0,...,Ψについて以下の処理が実行される。
　(Setup-1) 1secを入力としてセキュリティパラメータsecでの位数q、楕円曲線E、巡回群G1, G2,GT、双線形写像eψ(ψ=0,...,Ψ)が生成される（param=(q, E, G1, G2,GT, eψ)）。
　(Setup-2) τ'∈Fqが選択され、X*(ψ)=τ'・(X(ψ)-1)Tを満たす行列X(ψ)，X*(ψ)が選択される。
　(Setup-3) 基底ベクトルai(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(81)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルbi(ψ) (i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルbi(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B(ψ)が生成される。
　(Setup-4) 基底ベクトルai *(ψ) (i=1,...,n(ψ)+ζ(ψ))が式(83)に従って座標変換され、n(ψ)+ζ(ψ)次元の基底ベクトルbi *(ψ)(i=1,...,n(ψ)+ζ(ψ))が生成される。基底ベクトルbi *(ψ) (i=1,...,n(ψ)+ζ(ψ))を要素とするn(ψ)+ζ(ψ)行n(ψ)+ζ(ψ)列の行列B*(ψ)が生成される。
　(Setup-5) B*(ψ)＾の集合{B*(ψ)＾}ψ=0,...,Ψをマスター秘密情報MSK={B*(ψ)＾}ψ=0,...,Ψとする。また、B(ψ)＾の集合{B(ψ)＾}ψ=0,...,Ψと1secとparamとを公開パラメータPKとする。ただし、B*(ψ)＾は行列B*(ψ)又はその部分行列であり、B(ψ)＾は行列B(ψ)又はその部分行列である。また、集合{B*(ψ)＾}ψ=0,...,Ψは、少なくとも、b1 *(0),b1 *(λ) …,bn(λ) *(λ)（λ=1,...,Ψ）を含む。また、集合{B(ψ)＾}ψ=0,...,Ψは、少なくとも、b1(0),b1(λ),…,bn(λ)(λ)（λ=1,...,Ψ）を含む。以下に一例を示す。
　・n(0)+ζ(0)≧5, ζ(λ)=3・n(λ)
　・B(0)＾=(b1(0) b3(0) b5(0))T
　・B(λ)＾=(b1(λ) … bn(λ)(λ) b3・n(λ)+1(λ) … b4・n(λ)(λ))T
（λ=1,...,Ψ）
　・B*(0)＾=(b1 *(0) b3 *(0) b4 *(0))T
　・B*(λ)＾=(b1 *(λ) … bn(λ) *(λ) b2・n(λ)+1 *(λ) … b3・n(λ) *(λ))T
（λ=1,...,Ψ）
　［GenKey(PK,MSK,LMT(MT,LAB))：鍵情報生成］
　－入力：公開パラメータPK，マスター秘密情報MSK，条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}に対応するラベル付き行列LMT(MT,LAB)
　－出力：鍵情報SKS
　(GenKey-1) 式(95)-(99)を満たす秘密情報SEに対して以下の処理が実行される。
　　　D*(0)=-SE・b1 *(0)+Σι=2 Icoefι(0)・bι *(0)　　　　　…(106)
　ただし、Iは2以上n(0)+ζ(0)以下の定数である。coefι(0)∈Fqは定数又は乱数である。「乱数」とは真性乱数や擬似乱数を意味する。以下にD*(0)の一例を示す。なお、式(107)のcoef4(0)は乱数である。
　　　D*(0)=-SE・b1 *(0)+b3 *(0)+coef4(0)・b4 *(0)　　　　　…(107)
　(GenKey-2) 式(95)-(99)を満たすshare(λ)(λ=1,...,Ψ)に対して以下の処理が実行される。
　LAB(λ)=v(λ)→となるλに対して
　　　D*(λ)=(share(λ)+coef(λ)・v1(λ))・b1 *(λ)
　　　　　　　+Σι=2 n(λ)coef(λ)・vι(λ)・bι *(λ)
　　　　　　　+Σι=n(λ)+1 n(λ)+ζ(λ)coefι(λ)・bι *(λ)　　　　　…(108)
が生成され、
　LAB(λ)=￢v(λ)→となるλに対して
　　　D*(λ)=share(λ)・Σι=1 n(λ)vι(λ)・bι *(λ)
　　　　　　　+Σι=n(λ)+1 n(λ)+ζ(λ)coefι(λ)・bι *(λ)　　　　　…(109)
が生成される。ただしcoef(λ),coefι(λ)∈Fqは定数又は乱数である。以下に一例を示す。
　LAB(λ)=v(λ)→となるλに対して
　　　D*(λ)=(share(λ)+coef(λ)・v1(λ))・b1 *(λ)
　　　　　　　+Σι=2 n(λ)coef(λ)・vι(λ)・bι *(λ)
　　　　　　　+Σι=2・n(λ)+1 3・n(λ)coefι(λ)・bι *(λ)　　　　　…(110)
が生成され、
　LAB(λ)=￢v(λ)→となるλに対して
　　　D*(λ)=share(λ)・Σι=1 n(λ)vι(λ)・bι *(λ)
　　　　　　　+Σι=2・n(λ)+1 3・n(λ)coefι(λ)・bι *(λ)　　　　　…(111)
が生成される。なお、式(110)(111)のcoef(λ)及びcoefι(λ)は乱数である。
　(GenKey-3) 鍵情報
　　　SKS=(LMT(MT,LAB),D*(0),D*(1),...,D(Ψ))　　　　　…(112)
生成される。
　［Enc(PK,M,VSET1)：暗号化］
　－入力：公開パラメータPK，平文M，属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}(w1(λ)=1F)
　－出力：暗号文C
　(Enc-1) 以下の処理によって共通鍵Kの暗号文C(ψ)(ψ=0,...,Ψ)が生成される。
　　C(0)=υ・b1(0)+Σι=2 Iυι(0)・bι(0)　　　　　…(113)
　　C(λ)=υ・Σι=1 n(λ)wι(λ)・bι(λ)+Σι=n(λ)+1 n(λ)+ζ(λ)υι(λ)・bι(λ)　…(114)
　ただし、υ,υι(ψ)∈Fq(ψ=0,...,Ψ)は定数又は乱数であり、
　　　(coef2(0),...,coefI(0))・(υ2(0),...,υI(0))=υ'　　　…(115)
　　　coefι(λ)・υι(λ)=0F (ι=n(λ)+1,...,n(λ)+ζ(λ))　…(116)
を満たす。υ'の例はυ2(0),...,υI(0)の何れか１個である。例えば、υ,υ3(0),υ5(0),υ3・n(λ)+1(λ),...,υ4・n(λ)(λ)が乱数であり、ζ(λ)=3・n(λ)、I=5であり、
　　　(υ2(0),...,υI(0))=(0F,υ3(0),0F,υ5(0))
　　　υ'=υ3(0)
　　　(υn(λ)+1(λ),...,υ3・n(λ)(λ))=(0F,...,0F)
である。
　(Enc-2) 共通鍵
　　　K=gT τ・τ'・υ'∈GT　　　　　…(117)
が生成される。例えば、τ=τ'=1Fの場合、
　　　K=gT υ'∈GT　　　　　…(118)
である。
　(Enc-3) 共通鍵Kを用いて平文Mの暗号文
　　　C(Ψ+1)=EncK(M)　　　　　…(119)
が生成される。なお、共通鍵暗号方式Encは、例えば共通鍵Kを用いて暗号化可能に構成されたカメリア（Camellia）（登録商標）やAESや共通鍵と平文との排他的論理和などでよいが、その他の簡単な例として以下のようにEncK(M)を生成してもよい。ただし、式(120)の例ではM∈GTとされる。
　　　C(Ψ+1)=gT υ'・M　　　　　…(120)
　(Enc-4) 暗号文
　　　C=(VSET1,C(0),{C(λ)}(λ,w(λ)→)∈VSET1,C(Ψ+1))　　　　　…(121)
が生成される。ただし、下付き添え字の「w(λ)→」は「w(λ)→」を表す。
　［Dec(PK,SKS,C)：復号］
　－入力：公開パラメータPK，鍵情報SKS，暗号文C
　－出力：平文M'
　(Dec-1) λ=1,...,Ψについて、鍵情報SKSが含むラベル付き行列LMT(MT,LAB)の各ラベルLAB(λ)であるn(λ)次元ベクトルv(λ)→と暗号文CのVSET1が含むn(λ)次元ベクトルw(λ)→との内積v(λ)→・w(λ)→が0となるか否かが判定され、これとLMT(MT,LAB)の各ラベルLAB(λ)とによってGV→∈span<MTTFV>であるか否かが判定される（式(100)-(105)）。GV→∈span<MTTFV>でなければ暗号文Cが拒絶され、GV→∈span<MTTFV>であれば暗号文Cが受け入れられる。
　(Dec-2) 暗号文Cが受け入れられると、SET⊆{1,...,λ|LIT(λ)=1}と式(105)を満たす係数const(μ)(μ∈SET)とが計算される。
　(Dec-3) 共通鍵
Figure JPOXMLDOC01-appb-M000025
が生成される。ここで、式(66)(85)(115)から、
Figure JPOXMLDOC01-appb-M000026
を満たす。また、式(66)(85)(101)(108)(114)(116)及びw1(λ)=1Fから
Figure JPOXMLDOC01-appb-M000027
を満たす。また、式(66)(85)(102)(109)(114)(116)から
Figure JPOXMLDOC01-appb-M000028
を満たす。よって、式(105)(123)-(125)から
Figure JPOXMLDOC01-appb-M000029
を満たす。例えば、τ=τ'=1Fの場合、
　　　K=gT υ'∈GT　　　　　…(127)
を満たす。
　(Dec-4) 共通鍵Kを用いて平文
　　　M'=DecK(C(Ψ+1))=DecK(C(Ψ+1))　　　　　…(128)
が生成される。例えば、式(120)に例示した共通鍵暗号方式の場合、
　　　M'=C(Ψ+1)/K　　　　　…(129)
によって平文M'が生成される。
　［(Dec-1)の処理の具体例］
　以下に(Dec-1)の処理の具体例を説明する。なお、以下では説明の簡略化のため、式(98)のCOL次元ベクトルGV→が用いられる場合を例示する。ただし、これは本発明を限定するものではなく、式(96)のように一般化されたCOL次元ベクトルGV→が用いられる場合に以下の処理を拡張して適用してもよい。
　図３４に例示するように、まず復号部は、ラベル付き行列LMT(MT,LAB)に対応する条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}、暗号文C1'が含む属性情報VSET1'={λ,w(λ)→|λ=1,...,Ψ}、及びLMT(MT,LAB)の各ラベルLAB(λ)とを用い、式(101)-(104)に示した部分行列MTTFVを生成する。ここではMTTFVを以下のように表現する。
Figure JPOXMLDOC01-appb-M000030
　ただし、式(130)のMTTFVはω行COL列の行列であり、ωは１以上の整数であり、ROW(1),...,ROW(ω)はそれぞれLIT(ROW(1))=1,..., LIT(ROW(ω))=1となる行列MT（式(34)）の行番号ROW(1),...,ROW(ω)⊂{1,...,Ψ}である（ステップＳ４０１）。
　次に、復号部は、MTTFVの行ベクトルmtλ' →=(mtλ',1,...,mtλ',COL)（λ'= ROW(1),...,ROW(ω)）ごとの演算やMTTFVの行ベクトルmtλ' →間の演算を行って、対角成分を乗法単位元1FとしたΩ×Ωの上三角行列を１行１列からΩ行Ω列までの部分行列とし、Ω+１行以降の行ベクトルmtλ' →が存在する場合にはΩ+１行以降の行ベクトルmtλ' →の全要素を加法単位元0Fとした上三角化行列MTTFV'を生成する。ただし、Ωは１以上であって部分行列MTTFVの行数及び列数以下の整数である。MTTFV'は例えば以下のようになる。
Figure JPOXMLDOC01-appb-M000031
　ただしΩ+１行以降の各要素が存在しない場合もあり得、また、Ω+１列以降の各要素が存在しない場合もあり得る。
　このような上三角化行列MTTFV'は例えば、ガウスの消去法を利用して生成できる。すなわち、例えばまず、部分行列MTTFVの１行目の行ベクトルmt1 →=(mt1,1,...,mt1,COL)をmt1,1で除算したものをMTTFV'の１行目の行ベクトルとする。次に、部分行列MTTFVの２行目の行ベクトルmt2 →=(mt2,1,...,mt2,COL)からMTTFV'の１行目の行ベクトルをmt2,1倍した行ベクトルを減じた行ベクトル(0F,mt2,2'',...,mt2,COL'')をmt2,2''で除算したものをMTTFV'の２行目の行ベクトルとする。同様に、既に生成したMTTFV'の各行ベクトルを用いてそれよりも大きな行番号の行ベクトルを加工していくことにより、上三角化行列MTTFV'が生成できる。なお、上三角化行列MTTFV'を生成するための演算は、行ベクトル単位の演算と行ベクトル間の演算であり、同一の行ベクトルの異なる要素に対して異なる演算を行うことは許されない。また、除算するための法が加法単位元0Fとなった場合には加工対象の行ベクトルが選びなおされる。また、部分行列MTTFVが互いに線形独立でない複数の行ベクトル（すなわち一次従属な複数の行ベクトル）を含む場合、そのような行ベクトルを代表する１つの行ベクトルがΩ×Ωの上三角行列の要素を含む行ベクトルとなり、その他の行ベクトルは加法単位元0Fのみを要素とした行ベクトルとなる（ステップＳ４０２）。
　次に、復号部はλ'=2に設定する（ステップＳ４０３）。復号部は
　(mt1,1' ... mt1,COL')-(mt1,λ' - 1F)・(mtλ',1' ... mtλ',COL')　…(132)
を新たな(mt1,1' ... mt1,COL')として、上三角化行列MTTFV'の１行目の行ベクトル(mt1,1' ... mt1,COL')を更新する。なお、(mtλ',1' ... mtλ',COL')は上三角化行列MTTFV'のλ'行目の行ベクトルを表す。復号部はλ'=Ωであるか否かを判定し（ステップＳ４０５）、λ'=Ωでなければλ'+１を新たなλ'とし（ステップＳ４０６）、ステップＳ４３４の処理に戻る。一方、λ'=Ωであれば復号部は
(mt1,1' ... mt1,COL')=(1F,...,1F)　　　　…(133)
を満たすか否かを判定し（ステップＳ４０７）、これを満たすならばK'の復号が可能であるとし（ステップＳ４０８）、これを満たさないならばK'の復号が不可能であるとする（ステップＳ４０９）。
　なお、ステップＳ４０２の上三角化行列MTTFV'を生成するためのすべての演算内容とステップＳ４０４でのすべての演算内容とを記憶部に格納しておき、これらの演算を部分行列MTTFVの各要素を不定元とした行列に施して得られる１行目の要素の係数を式(105)を満たす係数const(ind)とすることができる。すなわち、これらの演算を部分行列MTTFVの各要素を不定元とした行列に施して得られる、行列MTのind行目の行ベクトルに対応する部分行列MTTFVの行ベクトルに対応する不定元を要素とする１行目の行ベクトルの係数を、係数const(ind)とすることができる（式(97)(99)の関係参照）。
　[変形例]
　なお、gTをGTの生成元とする代わりにgT τやgT τ'やgT τ・τ'をGTの生成元と扱ってもよい。また、鍵情報SKSのλと暗号文のλとを対応関係を特定する写像を用いてC(λ)とD*(λ)との組み合わせを特定し、［Dec(PK,SKS,C)：復号］の処理が実行されてもよい。また、属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}の1番目の要素w1(λ)が1Fとされるだけではなく、条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}のn(λ)番目の要素vn(λ)(λ)が1Fとされてもよい。また、要素w1(λ)が1Fでない場合にはw(λ)→の代わりにw(λ)→/w1(λ)を用いてもよく、要素vn(λ)(λ)が1Fでない場合にはv(λ)→の代わりにv(λ)→/vn(λ)(λ)を用いてもよい。
　また、上述のように属性情報VSET1が暗号文に対応し、条件情報VSET2が鍵情報に対応する方式をキーポリシー（KP）方式と呼ぶ。これに対し、属性情報VSET1が鍵情報に対応し、条件情報VSET2が暗号文に対応するサイファーテキスト（CP）方式が用いられてもよい。すなわち、条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}の代わりに属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}が用いられ、属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}の代わりに条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}が用いられてもよい。
　CP方式の場合には条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}の1番目の要素v1(λ)が1Fとされ、PRO(λ)に対応するラベルLAB(λ)がｗ(λ)→を表し、￢PRO(λ)に対応するラベルLAB(λ)が￢ｗ(λ)→を表す。また、CP方式の場合には、式(108)(109)の代わりに、
　LAB(λ)=w(λ)→となるλに対して
　　　D*(λ)=(share(λ)+coef(λ)・w1(λ))・b1 *(λ)
　　　　　　　+Σι=2 n(λ)coef(λ)・wι(λ)・bι *(λ)
　　　　　　　+Σι=n(λ)+1 n(λ)+ζ(λ)coefι(λ)・bι *(λ)　　　…(134)
が生成され、
　LAB(λ)=￢w(λ)→となるλに対して
　　　D*(λ)=share(λ)・Σι=1 n(λ)wι(λ)・bι *(λ)
　　　　　　　+Σι=n(λ)+1 n(λ)+ζ(λ)coefι(λ)・bι *(λ)　　　…(135)
が生成される。また、CP方式の場合には、式(114)の代わりに、
　C(λ)=υ・Σι=1 n(λ)vι(λ)・bι(λ)+Σι=n(λ)+1 n(λ)+ζ(λ)υι(λ)・bι(λ)　
                                                          …(136)
が生成され、式(121)の代わりに、
　　　C=(VSET2,C(0),{C(λ)}(λ,v(λ)→)∈VSET2,C(Ψ+1))　　  　…(137)
ただし、下付き添え字の「v(λ)→」は「v(λ)→」を表す。
〔第４～６実施形態の原理〕
　次に、第４～６実施形態の原理を説明する。
　第４～６実施形態では前述のアクセス構造を用いた関数暗号方式が用いられる。第４～６実施形態の関数暗号応用システムは、送信者装置（情報出力装置）と受信者装置（情報処理装置）とを含み、属性情報VSET1（第１対応情報）と条件情報VSET2（第２対応情報）との組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式を応用したプロトコル（関数暗号方式に従ったプロトコル）を実行する。
　まず、送信者装置の識別子特定部に、実行する関数暗号方式を応用した１種類以上のプロトコルを特定するための特定情報が入力される。識別子特定部は、当該特定情報によって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、当該プロトコルごと又は当該プロトコルの組み合わせごとに識別子を特定し、特定した１種類以上の当該識別子を出力する。第４～６実施形態における識別子はベクトルである。
　なお、関数暗号方式を応用したプロトコルには、それぞれ、それに使用すべき属性情報VSET1の種別（言い換えると属性情報VSET1の性質）が定められている。当該規則は、特定情報によって特定されるプロトコル又は当該プロトコルの組み合わせに使用すべき種別の属性情報VSET1を定める識別子を特定するものである。例えば、当該プロトコルがTimed-Release暗号プロトコルである場合の当該規則は、第１情報の生成時点より未来の時点を特定する情報を識別子とする規則であり、当該プロトコルがForward Secure暗号プロトコル又はKey Insulated暗号プロトコルである場合の当該規則は、それぞれ、第１情報の生成時点を含む時間区間又は第１情報の生成時点より未来の時間区間を特定する情報を識別子とする規則であり、当該プロトコルがCCA2安全暗号プロトコルである場合の当該規則は、第１情報の生成ごとに新たに設定される使い捨て情報を特定する情報を識別子とする規則であり、当該プロトコルがKeyword検索暗号プロトコルである場合の規則は、データベースの検索用キーワードを特定する情報を識別子とする規則である。
　識別子特定部で特定された１種類以上の識別子は、送信者装置の属性情報設定部に入力される。属性情報設定部は、１種類の当該識別子又は２種類以上の当該識別子の組み合わせに対して定まる１つの属性情報VSET1（特定の第１対応情報）を設定し、設定した当該属性情報VSET1を出力する。そして、送信者装置の出力部は、属性情報設定部から出力された属性情報VSET1に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する。
　受信者装置の復号部には、第１情報と記憶部から読み出した第２情報とが入力される。なお、第２情報は、関数暗号方式の鍵情報又は暗号文であり、第１情報が属性情報VSET1に対応する暗号文である場合には第２情報は条件情報VSET2（特定の第２対応情報）に対応する鍵情報であり、第１情報が属性情報VSET1に対応する鍵情報である場合には第２情報は条件情報VSET2（特定の第２対応情報）に対応する暗号文である。
　前述のように、属性情報VSET1（第１対応情報）は１又は複数のベクトルw(λ)→（第１部分対応情報）を含み、条件情報VSET2（第２対応情報）は１又は複数のベクトルv(λ)→（第２部分対応情報）を含む。ベクトルw(λ)→及びベクトルv(λ)→がそれらの内積を算出する関数（予め定められた関数）に入力された場合に、ベクトルw(λ)→の値及びベクトルv(λ)→の値の組み合わせに応じてそれらの内積が０（予め定められた値）となるか、又は、０以外の値となる。ベクトルw(λ)→及びベクトルv(λ)→の組み合わせごとに、それらの内積が０（予め定められた値）となる場合をベクトルw(λ)→及びベクトルv(λ)→の組み合わせが真であるとするか、又は、それらの内積が０とならない場合をベクトルw(λ)→及びベクトルv(λ)→の組み合わせが真であるとするかが定められている（式(101)(102)）。
　受信者装置の復号部は、当該第１情報と当該第２情報とを関数暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果を出力する。前述のように、アクセス構造を用いた関数暗号方式の復号関数は、真となるベクトルw(λ)→及びベクトルv(λ)→の組み合わせの集合が予め定められた条件を満たした場合に、正しい復号結果を生成する関数である。詳しくは、ベクトルw(λ)→のそれぞれ又はベクトルv(λ)→のそれぞれにベクトル(mtλ,1,...,mtλ,ＣＯＬ)が対応付けられている（ラベル付き行列LMT(MT,LAB)、式(34)参照）。すなわち、KP方式の場合にはベクトルv(λ)→がベクトル(mtλ,1,...,mtλ,ＣＯＬ)（LIT(λ)=1）が対応付けられ、CP方式の場合にはベクトルw(λ)→がベクトル(mtλ,1,...,mtλ,ＣＯＬ)（LIT(λ)=1）が対応付けられる。前述のように、アクセス構造を用いた関数暗号方式の復号関数は、真となるベクトルw(λ)→及びベクトルv(λ)→の組み合わせがそれぞれ含む、ベクトルw(λ)→又はベクトルv(λ)→に対応付けられたベクトルベクトル(mtλ,1,...,mtλ,ＣＯＬ)（LIT(λ)=1）で張られるベクトル空間内に特定のベクトルGV→が存在する場合（GV→∈span<MTTFV>）に、正しい復号結果を生成する。前述のように、ベクトル(mtλ,1,...,mtλ,ＣＯＬ)（LIT(λ)=1）で張られるベクトル空間内に特定のベクトルGV→が存在することは、第１情報に対応する属性情報VSET1と第２情報に対応する条件情報VSET2との組み合わせに対応する論理式の真理値が真となることと等価である。すなわち、この関数暗号方式では、属性情報VSET1と条件情報VSET2との組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される。
　また、属性情報VSET1は、１種類の識別子又は２種類以上の当該識別子の組み合わせに対して定まる情報であり、条件情報VSET2と何れか１つの属性情報VSET1とが復号関数に入力された場合、属性情報VSET1がとる複数種類の値に対してそれぞれ正しい復号結果が得られる値をとる。すなわち、第４～６実施形態では、１種類以上の第１情報に対して同一の第２情報を共用し、正しい復号を行うことができる。そのため、送信者装置が１種類の識別子又は２種類以上の当該識別子の組み合わせを選択し、選択した識別子に応じてプロトコルを切り替えて第１情報を生成する場合であっても、受信者装置は切り替えられるプロトコルごとに別個に第２情報を生成する必要はない。すなわち、受信者装置の記憶部に１種類の条件情報VSET2に対応する１種類の第２情報のみが格納されていたとしても、受信者装置は、選択された１種類以上のプロトコル又はプロトコルの組み合わせに対する第１情報に対応することができる。その結果、本形態では、煩雑な処理を必要とせずに、選択した識別子に応じてプロトコルを切り替えることができる。
　また、識別子特定部に、２種類以上のプロトコルを特定するための特定情報が入力される場合、２種類以上のプロトコルの組み合わせ、すなわち、２種類以上のプロトコルの特徴を兼ね備えた新たなプロトコルを構成することもできる。
　また、第４～６実施形態では、関数暗号方式を用いるため、プロトコルの組み合わせ方の自由度が高い。すなわち、第４～６実施形態では、第１情報に対応する属性情報VSET1と第２情報に対応する条件情報VSET2との組合せが論理式の真理値を真にする場合に正しい復号結果が生成される。２種類以上のプロトコルの組み合わせは識別子の組み合わせに対応し、当該識別子の組み合わせは属性情報VSET1に対応するが、当該論理式の真理値が真となるのであれば、当該識別子の組み合わせ方法に制限はない。
　これに対し、IDベース暗号方式を応用した階層型IDベース暗号方式（例えば、参考文献１０「C. Gentry, A. Silverberg, "Hierarchical ID-based cryptography," Proceedings of ASIACRYPT 2002, Lecture Notes in Computer Science, Springer-Verlag, 2002.」等）を用いた場合には、プロトコルの組み合わせ方が制限される。すなわち、階層型IDベース暗号方式では、複数のプロトコルにそれぞれ対応する複数の識別子を組み合わせ方が制限される。つまり、階層型IDベース暗号方式では、複数の識別子の組み合わせによって生成された新たな識別子が木構造をなす必要あり、新たな識別子は必ずその親の識別子を含まなければならない。例えば、識別子ID1と識別子ID2との組み合わせID1|ID2を新たな識別子とした場合、それ以降、例えば、識別子ID1と識別子ID2と識別子ID3との組み合わせを新たな識別子ID1|ID2|ID3とすることはできるが、識別子ID1と識別子ID3との組み合わせを新たな識別子ID1|ID3とすることはできない。
　また、送信者装置が、特定情報によって特定されるプロトコルに応じ、属性情報VSET1を関数暗号方式の暗号化関数に対応させるか、属性情報VSET1を関数暗号方式の鍵生成関数に対応させるかを切り替える第１切り替え部をさらに有し、受信者装置が、特定情報によって特定されるプロトコルに応じ、条件情報VSET2を関数暗号方式の鍵生成関数に対応させるか、条件情報VSET2を関数暗号方式の暗号化関数に対応させるかを切り替える第２切り替え部をさらに有してもよい。これにより、プロトコルの選択の幅が広がる。
　また、属性情報VSET1及び条件情報VSET2の一部の領域を、使い道が決まっていない予備領域としておいてもよい。例えば、属性情報VSET1が含む少なくとも一部のベクトルw(λ)→（第１部分対応情報）の値が予め固定されており、条件情報VSET2（第２対応情報）が含む少なくとも一部のベクトルv(λ)→（第２部分対応情報）の値が予め固定され、これらの値が固定されたベクトルを予備領域のものとしてもよい。例えば、値が予め固定されたベクトルw(λ)→である第１部分対応情報と値が予め固定されたベクトルv(λ)→である第２部分対応情報との内積が１種類の識別子又は複数種類の識別子の組み合わせにかかわらず０（零元）とされてもよい。これにより、後に、選択可能なプロトコルを増加させたり、論理式を構成する命題変数や論理記号を増加させたりする必要が生じた場合であっても、予備領域にそれらの増加分を割り当てればシステムの設定を変更することなく、これらの増加を行うことができる。
　また、予備領域とされたベクトルw(λ)→（第１部分対応情報）をすべての要素が零元のベクトル（零ベクトル）とした場合、当該予備領域を含む属性情報VSET1に対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持つ。つまり、属性情報VSET1や条件情報VSET2の予備領域に何らかの値が与えられることで属性情報VSET1や条件情報VSET2が更新されたとしても、更新前に正しい復号が行われたのであれば、更新前の属性情報VSET1に対応する第１情報と更新後の条件情報VSET2に対応する第２情報とによって正しい復号が行われる。更新後の条件情報VSET2の予備領域に入れられた値にかかわらず、属性情報VSET1及び条件情報VSET2の予備領域同士の内積は０になるからである。同様な理由により、予備領域とされたv(λ)→（第２部分対応情報）をすべての要素が零元のベクトル（零ベクトル）とした場合、当該予備領域を含む条件情報VSET2に対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持つ。
　属性情報VSET1の予備領域とされたベクトルw(λ)→を零ベクトルとしておき、かつ、条件情報VSET2の予備領域とされたベクトルv(λ)→を零元以外の要素を含むベクトルとしておいた場合、当該予備領域を含む属性情報VSET1に対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持つが、当該予備領域を含む条件情報VSET2に対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持たない。逆に、条件情報VSET2の予備領域とされたベクトルv(λ)→を零ベクトルとしておき、かつ、属性情報VSET1の予備領域とされたベクトルw(λ)→を零元以外の要素を含むベクトルとしておいた場合、当該予備領域を含む条件情報VSET2に対応する第２情報は、当該予備領域に何らかの値が入れられた更新後の第２情報に対して上位互換性を持つが、当該予備領域を含む属性情報VSET1に対応する第１情報は、当該予備領域に何らかの値が入れられた更新後の第１情報に対して上位互換性を持たない。このように、予備領域の値をどのように設定しておくかに応じ、更新前後での上位互換性を変化させることができる。
　〔第４実施形態〕
　次に、本発明の第４実施形態を説明する。第４実施形態は、第１情報が属性情報VSET1に対応する暗号文であり、第２情報が条件情報VSET2に対応する鍵情報であり、送信者装置が暗号化を行い、受信者装置が復号を行う形態である。このような形態は、例えば、関数暗号方式を応用したプロトコルが、Timed-Release暗号プロトコル、Forward Secure暗号プロトコル、Key Insulated暗号プロトコル若しくはCCA2安全暗号プロトコル、又は、その組み合わせである場合などに適用できる。また、本形態ではKP方式を用いる。
　＜構成＞
　図３５は、第４実施形態の関数暗号応用システム４の全体構成を説明するためのブロック図である。図３５に示すように、本形態の関数暗号応用システム４は、ネットワーク１４０に接続された、送信者装置４１０（情報出力装置）と受信者装置４２０（情報処理装置）と鍵生成装置４３０とを有する。なお、説明の便宜上、図３５には、送信者装置４１０と受信者装置４２０と鍵生成装置４３０とが１個ずつ表記されているが、２個以上の送信者装置４１０や受信者装置４２０や鍵生成装置４３０が存在してもよい。
　［送信者装置４１０（情報出力装置）］
　図３６は、図３５の送信者装置４１０の構成を説明するためのブロック図である。
　図３６に示すように、本形態の送信者装置４１０は、一時メモリ１１１ａと、記憶部１１１ｃと、入力部１１２と、制御部１１３と、識別子特定部４１４ａと、属性情報設定部４１４ｂ（対応情報設定部）と、暗号化部４１４ｃと、通信部１１５とを有する。
　送信者装置４１０は、例えば、CPU(central processing unit)、RAM(random-access memory)、ROM(read-only memory)等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１１３、識別子特定部４１４ａ、属性情報設定部４１４ｂ及び暗号化部４１４ｃは、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、送信者装置４１０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１１１ａや記憶部１１１ｃは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、入力部１１２は、例えば、キーボード、マウス、入力ポート等であり、通信部１１５は、例えば、モデム、LANカード等の通信装置である。
　また、送信者装置４１０は、制御部１１３の制御のもと各処理を実行する。また、以下では説明を省略するが、送信者装置４１０の各処理部から出力されたデータや通信部１１５で受信されたデータは、逐一、一時メモリ１１１ａに格納される。一時メモリ１１１ａに格納されたデータは、必要に応じて読み出され、送信者装置４１０の各処理部に入力されてその処理に利用される。
　［受信者装置４２０（情報処理装置）］
　図３７は、図３５の受信者装置４２０の構成を説明するためのブロック図である。
　図３７に示すように、本形態の受信者装置４２０は、一時メモリ１２１ａと、記憶部４２１ｂと、制御部１２３と、識別子特定部４２４ａと、条件情報生成部４２４ｃと、鍵生成処理部４２４ｄと、復号部４２４ｅと、通信部１２５とを有する。なお、図面表記の便宜上、図３７には、通信部１２５を示すブロックが２つ表記されているが、これは別個の通信部１２５が２つ必要なことを意味しない。
　受信者装置４２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１２３、識別子特定部４２４ａ、条件情報生成部４２４ｃ、鍵生成処理部４２４ｄ及び復号部４２４ｅは、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、受信者装置４２０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１２１ａや記憶部４２１ｂは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、通信部１１５は、例えば、モデム、LANカード等の通信装置である。
　また、受信者装置４２０は、制御部１２３の制御のもと各処理を実行する。また、以下では説明を省略するが、受信者装置４２０の各処理部から出力されたデータや通信部１２５で受信されたデータは、逐一、一時メモリ１２１ａに格納される。一時メモリ１２１ａに格納されたデータは、必要に応じて読み出され、受信者装置４２０の各処理部に入力されてその処理に利用される。
　［鍵生成装置４３０］
　図３８は、図３５の鍵生成装置４３０の構成を説明するためのブロック図である。
　図３８に示すように、本形態の鍵生成装置４３０は、一時メモリ１３１ａと、記憶部４３１ｂと、制御部１３３と、鍵生成部４３４と、通信部１３５とを有する。
　鍵生成装置４３０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。すなわち、制御部１３３及び鍵生成部４３４は、例えば、CPUが所定のプログラムを実行することで構成される処理部である。また、鍵生成装置４３０の処理部の少なくとも一部が集積回路であってもよい。また、一時メモリ１３１ａや記憶部４３１ｂは、例えば、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。また、通信部１３５は、例えば、モデム、LANカード等の通信装置である。
　また、鍵生成装置４３０は、制御部１３３の制御のもと各処理を実行する。また、以下では説明を省略するが、鍵生成装置４３０の各処理部から出力されたデータや通信部１３５で受信されたデータは、逐一、一時メモリ１３１ａに格納される。一時メモリ１３１ａに格納されたデータは、必要に応じて読み出され、鍵生成装置４３０の各処理部に入力されてその処理に利用される。
　＜事前設定＞
　次に、本形態の関数暗号応用システム４の事前設定を説明する。
　［特定情報］
　図３９Ａ及び図３９Ｂは、第４実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。
　図３９Ａの例では、プロトコルごとに特定情報PIが割り当てられている。すなわち、この例では、特定情報PI=0に対してTimed-Release暗号プロトコルが割り当てられ、特定情報PI=1に対してForward Secure暗号プロトコルが割り当てられ、特定情報PI=2に対してKey Insulated暗号プロトコルが割り当てられ、特定情報PI=3に対してCCA2安全暗号プロトコルが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせを特定する。
　一方、図３９Ｂの例では、プロトコルごとに特定情報PIが割り当てられているほか、２種類以上のプロトコルの組み合わせに対しても特定情報PIが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルの組み合わせに対応する特定情報PIを特定する。
　なお、図３９に示した特定情報PIは一例であり、その他の方法によって１種類以上のプロトコルに対応する特定情報PIが特定されてもよい。
　［識別子］
　図４０Ａ，図４０Ｂ及び図４１は、第４実施形態において、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。なお、本形態の識別子ID(λ)は有限体Fqの元を要素とするn(λ)次元ベクトルである。
　図４０Ａの例では、選択可能なプロトコルごとに識別子ID(λ)が割り当てられる。
　選択されたプロトコルに割り当てられた識別子ID(λ)には、そのプロトコルに定められた規則に従った値が入力される。例えば、Timed-Release暗号プロトコルが選択された場合には、未来の時点を特定する情報（日時やカウント値などに対応するn(λ)次元ベクトル）が識別子ID(1)に入力される。なお、「未来の時点」の一例は、第１情報の生成時点よりも未来の時点である。また、例えば、Forward Secure暗号プロトコルやKey Insulated暗号プロトコルが選択された場合には、受信者装置４２０やその利用者の固有識別子（メールアドレスや電話番号やMACアドレスなど）と現在時点を含む時間区間（日時区間やカウント値区間など）との組み合わせで定まる値（n(λ)次元ベクトル）が識別子ID(2)や識別子ID(3)に入力される。なお、「現在時点」の一例は、第１情報の生成時点である。また、例えば、CCA2安全暗号プロトコルが選択された場合には、n(λ)次元ベクトルである使い捨て情報（ランダム値を要素とするランダムベクトル）が識別子ID(4)に入力される。
　一方、選択されなかったプロトコルに割り当てられた識別子ID(λ)には、n(λ)次元ベクトルである定数(const.)が入力される。例えば、Timed-Release暗号プロトコルのみが選択された場合には、未来の時点を特定する情報が識別子ID(1)に入力され、その他の識別子ID(2),ID(3),ID(4)には定数(const.)が入力される。なお、定数(const.)の例はn(λ)次元の零ベクトルである。なお、各識別子ID(λ)に入力される定数(const.)は同一値であってもよいし、異なる値であってもよい。
　また、複数のプロトコルの組み合わせが選択された場合には、その組み合わせを構成する複数のプロトコルが選択されたものとして識別子ID(λ)の値が決定される。例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置４２０やその利用者の固有識別子と現在時点を含む時間区間との組み合わせで定まる値が識別子ID(2)に入力され、使い捨て情報が識別子ID(4)に入力され、その他の識別子ID(1)，ID(3)には定数(const.)が入力される。
　図４０（Ｂ）の例では、選択されたプロトコルのみに識別子ID(λ)が割り当てられる。例えば、Timed-Release暗号プロトコルのみが選択された場合には、未来の時点を特定する情報を示す識別子ID(1)のみが割り当てられる。また、例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置４２０やその利用者の固有識別子と現在時点を含む時間区間との組み合わせで定まる値を示す識別子ID(2)と、使い捨て情報を示す識別子ID(4)とのみが割り当てられる。
　図４１の例では、選択可能なプロトコル及びプロトコルの組み合わせごとに識別子ID(λ)が割り当てられる。選択されたプロトコル及びプロトコルの組み合わせに割り当てられた識別子ID(λ)には、選択されたプロトコル又は組み合わせを構成する各プロトコルに定められた各規則に従った値が入力され、選択されなかったプロトコルや組み合わせに割り当てられた識別子ID(λ)には定数(const.)が入力される。例えば、Forward Secure暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、受信者装置４２０やその利用者の固有識別子と現在時点を含む時間区間と使い捨て情報との組み合わせで定まる値が識別子ID(6)に入力され、その他の識別子ID(λ)には定数(const.)が入力される。
　また、上述の識別子の決定方法は一例に過ぎず、その他の方法で識別子が特定してもよい。例えば、図４１の例の変形として、選択されたプロトコル及びプロトコルの組み合わせのみに識別子ID(λ)が割り当てられてもよい。また、上述のように得られた各識別子ID(λ)の組み合わせ（例えばビット結合）によって１つの識別子を構成してもよい。
　［属性情報（第１対応情報）］
　図４２Ａは、属性情報VSET1のデータ構成を説明するための図である。
　本形態では、各識別子ID(λ)をn(λ)次元ベクトルw(λ)→（第１部分対応情報）とし（w(λ)→=ID(λ)）、n(λ)次元ベクトルw(λ)→（λ=1,...,Ψ）の集合{w(λ)→}λ=1,...,Ψを属性情報VSET1とする。
　［条件情報（第２対応情報）］
　図４２Ｂは、条件情報VSET2のデータ構成を説明するための図である。
　本形態では、各識別子ID’(λ)をn(λ)次元ベクトルv(λ)→（第２部分対応情報）とし（v(λ)→=ID’(λ)）、n(λ)次元ベクトルv(λ)→（λ=1,...,Ψ）の集合{v(λ)→}λ=1,...,Ψを条件情報VSET2とする。
　識別子ID’(λ)は、受信者装置４２０側で想定された所定値の識別子ID(λ)に対応するn(λ)次元ベクトルである。すなわち、識別子ID’(λ)と想定された所定値の識別子ID(λ)との内積が０となるように識別子ID’(λ)の値が定められる。例えば、図４０Ａの例によって識別子ID(λ)が設定される場合には、図４０Ａの規則に従って定められる想定された所定値の識別子ID(1), ID(2), ID(3), ID(4)に対して、内積ID(1)・ID’(1)=0, ID(2)・ID’(2)=0, ID(3)・ID’(3)=0, ID(4)・ID’(4)=0となる識別子ID’(λ)が定められる。
　なお「想定された所定値」は受信者装置４２０側で想定されたプロトコル及び／又は当該プロトコルの組み合わせからなる条件に対応する。具体的には、「想定された所定値」は受信者装置４２０側で想定された標準形論理式のリテラルに対応する。例えば、標準形論理式のλ=1に対応するリテラルを「識別子ID(1)は所定時点で復号が可能となるTimed-Release暗号プロトコルに対応する値をとる」という命題の命題変数PRO(1)又はその否定￢PRO(1)とする場合には、所定時点で復号が可能となるTimed-Release暗号プロトコルに対応する値の識別子ID(1)に対して内積ID(1)・ID’(1)=0となる識別子ID’(1)が設定される。例えば、標準形論理式のλ=2に対応するリテラルを「識別子ID(1)はForward Secure暗号プロトコルが選択されないことに対応する値をとる」という命題の命題変数PRO(2)又はその否定￢PRO(2)とする場合には、Forward Secure暗号プロトコルが選択されないことに対応する識別子ID(2)=const.に対して内積ID(2)・ID’(2)=0となる識別子ID’(2)が設定される。このような各識別子ID’(λ)を特定するための規則は予め定められ、受信者装置４２０の識別子特定部４２４ａに設定される。また、前述のように、内積ID(λ)・ID’(λ)が0の場合に標準形論理式のリテラルが真となるのか偽となるか、すなわち、リテラルを命題変数PRO(λ)とするのかその否定￢PRO(λ)とするのかは、ラベル付き行列LMT(MT,LAB)のラベルLAB(λ)によって指定できる。
　［受信者装置４２０で予め定められた論理式］
　本形態では、受信者装置４２０の鍵生成処理部４２４ｄ及び復号部４２４ｅに、いくつかのプロトコル及び／又は当該プロトコルの組み合わせからなる条件に対応する標準形論理式（例えば、PRO(1)∧PRO(2)∨￢PRO(3)）が予め設定されている。言い換えると、当該標準形論理式に対応するラベル付き行列LMT(MT,LAB)が予め鍵生成処理部４２４ｄ及び復号部４２４ｅに定められている。ただし、標準形論理式のリテラルであるPRO(λ)や￢PRO(λ)を特定するPRO(λ)やラベルLAB(λ)を特定するn(λ)次元ベクトルv(λ)→の値は定められていない。すなわち、予めラベルがLAB(λ)=v(λ)→であるかLAB(λ)=￢v(λ)→であるかは定められているが、n(λ)次元ベクトルv(λ)→の値は定められていない。識別子ID’(λ)に対応するn(λ)次元ベクトルv(λ)→が定められることでPRO(λ)やラベルLAB(λ)を特定するn(λ)次元ベクトルv(λ)→の値が定まり、標準形論理式やラベル付き行列LMT(MT,LAB)が特定できる。
　［平文］
　本形態では、送信者装置４１０の記憶部１１１ｃに暗号化対象の平文Mtが格納される。
　［マスター秘密情報］
　本形態の鍵生成装置４３０の記憶部４３１ｂには、関数暗号方式のマスター秘密情報MSK（［Setup(1sec，(Ψ;n(1),...,n(Ψ)))：セットアップ］参照）が格納される。
　＜処理＞
　図４３Ａは、第４実施形態の暗号化処理を説明するためのフローチャートである。図４３Ｂは、第４実施形態の鍵情報生成処理を説明するためのフローチャートである。また、図４４は、第４実施形態の復号処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　［暗号化処理］
　本形態の暗号化処理では、まず、実行する関数暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIが、送信者装置４１０（図３６）の入力部１１２に入力される（ステップＳ４１１）。例えば、特定情報PIが図３９Ａように定まるのであれば、利用者に選択された１種類のプロトコルに対応する特定情報PI、又は、利用者に選択された２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせが入力部１１２に入力される。また、例えば、特定情報PIが図３９Ｂように定まるのであれば、利用者に選択された１種類のプロトコル又は２種類以上のプロトコルに対応する特定情報PIが入力部１１２に入力される。
　入力部１１２に入力された特定情報PIは、識別子特定部４１４ａに入力される。識別子特定部４１４ａは、当該特定情報PIによって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って（図４０Ａ，図４０Ｂ及び図４１等参照）、当該プロトコルごと又は当該プロトコルの組み合わせごとに識別子ID(λ)を特定し、特定した１種類以上の当該識別子ID(λ)を出力する（ステップＳ４１２）。
　識別子特定部４１４ａから出力された１種類以上の識別子ID(λ)は属性情報設定部４１４ｂに入力される。属性情報設定部４１４ｂは、１種類の当該識別子ID(λ)又は２種類以上の当該識別子ID(λ)の組み合わせに対して定まる１つの属性情報VSET1={w(λ)→}λ=1,...,Ψ（特定の第１対応情報）を設定し、設定した当該属性情報VSET1を出力する（ステップＳ４１３）。
　属性情報設定部４１４ｂから出力された属性情報VSET1は、暗号化部４１４ｃに入力される。暗号化部４１４ｃは、記憶部１１１ｃから平文Mtを読み出し、属性情報VSET1と平文Mtとを関数暗号方式の暗号化関数に入力し、平文Mtの暗号文Ctを生成する（ステップＳ４１４）。関数暗号方式の暗号化関数の一例は前述の式(113)(114)(119)で特定される式(121)である（C=Ct，M=Mt）。
　生成された暗号文Ctは通信部１１５に送られる。通信部１１５（出力部）は、当該暗号文Ct（第１情報）をネットワーク１４０経由で受信者装置４２０に送信する（ステップＳ４１５）。
　［復号処理・鍵情報生成処理］
　本形態の復号処理では、まず、受信者装置４２０（図３７）の通信部１２５が暗号文Ct（第１情報）を受信する（ステップＳ４２１）。
　これを契機とし、識別子特定部４２４ａが、プロトコルごと又は当該プロトコルの組み合わせごとに、当該プロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、前述した受信者装置４２０で予め定められた標準形論理式に用いられる１種類以上の識別子ID'(λ)を特定する（ステップＳ４２２）。
　識別子特定部４２４ａで特定された１種類以上の識別子ID'(λ)は、条件情報生成部４２４ｃに入力される。条件情報生成部４２４ｃは、
　　　v(λ)→=ID’(λ)　　　　…(138)
とし、n(λ)次元ベクトルv(λ)→（λ=1,...,Ψ）の集合{v(λ)→}λ=1,...,Ψを条件情報VSET2（特定の第２対応情報）とし、当該条件情報VSET2を出力する（ステップＳ４２３）。
　条件情報生成部４２４ｃから出力された条件情報VSET2は、鍵生成処理部４２４ｄに入力される。鍵生成処理部４２４ｄは、条件情報VSET2が含むn(λ)次元ベクトルv(λ)→を用いてラベルLAB(λ)を特定し、ラベル付き行列LMT(MT,LAB)を定める（ステップＳ４２４）。ラベルLAB(λ)が特定されたラベル付き行列LMT(MT,LAB)は通信部１２５に送られる。通信部１２５は、ネットワーク１４０経由で当該ラベル付き行列LMT(MT,LAB)を鍵生成装置４３０に送信し、当該ラベル付き行列LMT(MT,LAB)に対応する鍵情報SKSの生成を依頼する（ステップＳ４２５）。
　本形態の鍵情報生成処理では、まず、鍵生成装置４３０（図３８）の通信部１３５が上記の条件情報VSET2に対応するラベル付き行列LMT(MT,LAB)を受信する（ステップＳ４３１）。通信部１３５で受信されたラベル付き行列LMT(MT,LAB)は、鍵生成部４３４に入力される。鍵生成部４３４は、記憶部４３１ｂからマスター秘密情報MSKを読み出し、マスター秘密情報MSKとラベル付き行列LMT(MT,LAB)とを用い、ラベル付き行列LMT(MT,LAB)に対応する鍵情報SKSを生成して出力する（ステップＳ４３２）。例えば、鍵生成部４３４は、式(95)-(99)(106)(108)(109)によって特定される式(112)の鍵情報SKSを生成して出力する。例えば、鍵生成部４３４は、有限体Fqの元を要素とするCOL次元ベクトルCV→∈Fq COL（式(36)）を任意に選択し、行列MT（式(94)）とCOL次元ベクトルCV→とを用い、式(99)に従ってシェア情報share(λ)∈Fq（λ=1,...,Ψ）を計算し、COL次元ベクトルCV→を用いて式(97)に従って秘密情報SEを生成し、式(106)に従って鍵情報D*(0)を生成し、ラベル情報LAB(λ)（λ=1,...,Ψ）を用いて鍵生成部１３６ｄは(108)(109)に従って鍵情報D*(λ)（λ=1,...,Ψ）を生成し、式(112)に従って鍵情報SKSを生成する。生成された鍵情報SKSは通信部１３５に送られ、通信部１３５は当該鍵情報SKSをネットワーク１４０経由で受信者装置４２０に送信する（ステップＳ４３３）。
　受信者装置４２０（図３７）の通信部１２５は、送信された鍵情報SKSを受信し、鍵生成処理部４２４ｄに送る。鍵生成処理部４２４ｄは、当該鍵情報SKS（第２情報）を記憶部４２１ｂに格納する（ステップＳ４２６）。
　次に、ステップＳ４２１で通信部１２５が受信した暗号文Ct（第１情報）と、記憶部４２１ｂから読み出された鍵情報SKS（第２情報）とが復号部４２４ｅに入力される。復号部４２４ｅは、暗号文Ct（第１情報）と鍵情報SKS（第２情報）を関数暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果Mrを出力する（ステップＳ４２７）。例えば、復号部４２４ｅは、C=Ct（式(121)）及び鍵情報SKS（式(112)）を用い、前述の(Dec-1)-(Dec-4)に従った処理を行う（式(122)(128)）。
　ここで、暗号文Ct（第１情報）に対応する属性情報VSET1と鍵情報SKS（第２情報）に対応する条件情報VSET2とが鍵生成処理部４２４ｄに設定されていた標準形論理式の真理値を真にする場合にはGV→∈span<MTTFV>となり、正しい復号結果が得られ、復号結果Mr=Mt（Mt=M'=M）となる。一方、当該属性情報VSET1と当該条件情報VSET2とが鍵生成処理部４２４ｄに設定されていた標準形論理式の真理値を偽にする場合にはGV→∈span<MTTFV>とならず、正しい復号結果が得られない。これは、受信者装置４２０で予め定められたプロトコル及び／又は当該プロトコルの組み合わせからなる条件に合致する暗号文Ctのみが正しく復号されることを意味する。
　以上のように、本形態では、送信者装置４１０が使用するプロトコルやプロトコルの組み合わせを選択でき、受信者装置４２０において復号可能となる暗号文のプロトコルやプロトコルの組み合わせの条件を設定しておくことができる。そして、送信者装置４１０で選択されたプロトコルやプロトコルの組み合わせが、受信者装置４２０に設定された条件に合致した場合にのみ、受信者装置４２０は送信された暗号文を正しく復号できる。また、受信者装置４２０において復号可能となる暗号文のプロトコルやプロトコルの組み合わせの条件は、論理和や論理積や否定を自由に組み合わせて設定できる。特に、受信者装置４２０で論理和を含む条件を設定しておけば、受信者装置４２０が送信者装置４１０で選択されたプロトコル等に応じて鍵情報を使い分ける必要がなくなる。
　〔第４実施形態の変形例１〕
　前述のように、属性情報VSET1及び条件情報VSET2の一部の領域を予備領域としておいてもよい。すなわち、属性情報VSET1が含むベクトル（第１部分対応情報）及び条件情報VSET2が含むベクトル（第２部分対応情報）の少なくとも一部を予備領域としておいてもよい。これにより、後に、選択可能なプロトコルを増加させたり、論理式を示す多項式の項を増加させたりする必要が生じた場合であっても、予備領域にそれらの増加分を割り当てればシステムの設定を変更することなく、これらの増加を行うことができる。
　図４５Ａ及び図４５Ｂは、属性情報VSET1及び条件情報VSET2の一部の領域を予備領域とした例を説明するための図である。
　図４５Ａ及び図４５Ｂでは、属性情報VSETが含むベクトルv(Ψ-s)→,...,v(Ψ)→及び条件情報VSET2が含むベクトルw(Ψ-s)→,...,w(Ψ)→が予備領域とされる。なお、sは１以上Ψ未満の整数定数である。この例では、特定情報PIの値にかかわらず、ベクトルv(Ψ-s)→,...,v(Ψ)→がそれぞれ定数要素からなる定数ベクトルconst.(Ψ-s),...,const.(Ψ)とされ、ベクトルw(Ψ-s)→,...,w(Ψ)→がそれぞれ定数要素からなる定数ベクトルconst.'(Ψ-s),...,const.'(Ψ)とされる。これらの予備領域は、予備領域のベクトルw(λ)→と予備領域のベクトルv(λ)→との内積が特定情報PIの値にかかわらず０となるように設定されている。例えば、定数ベクトルconst.(Ψ-s),...,const.(Ψ)がすべて零ベクトルであってもよいし、定数ベクトルconst.'(Ψ-s),...,const.'(Ψ)がすべて零ベクトルであってもよい。また、定数ベクトルconst.(Ψ-s),...,const.(Ψ)がすべて零ベクトルであって、なおかつ、定数ベクトルconst.'(Ψ-s),...,const.'(Ψ)の一部が零ベクトル以外であってもよい。また、定数ベクトルconst.'(Ψ-s),...,const.'(Ψ)がすべて零ベクトルであって、なおかつ、定数ベクトルconst.(Ψ-s),...,const.(Ψ)の少なくとも一部が零ベクトル以外であってもよい。定数ベクトルconst.(Ψ-s),...,const.(Ψ)の少なくとも一部が零ベクトル以外であって、なおかつ、定数ベクトルconst.'(Ψ-s),...,const.'(Ψ)の一部が零ベクトル以外であって、なおかつ、予備領域のベクトルw(λ)→と予備領域のベクトルv(λ)→との内積が０となってもよい。予備領域に対応するλでのラベルがLAB(λ)=v(λ)→である場合には特定情報PIの値にかかわらずLIT(λ)=1となり、予備領域に対応するλでのラベルがLAB(λ)=￢v(λ)→である場合には特定情報PIの値にかかわらずLIT(λ)=0となる（式(101)-(103)）。
　〔第５実施形態〕
　次に、本発明の第５実施形態を説明する。
　第５実施形態は、第１情報が属性情報VSET1に対応する鍵情報であり、第２情報が条件情報VSET2に対応する暗号文であり、送信者装置が鍵情報を出力し、受信者装置に格納された暗号文が復号される形態である。このような形態は、関数暗号方式を応用したプロトコルが、例えば、Keyword検索暗号プロトコルである場合、又は、Keyword検索暗号プロトコルとForward Secure暗号プロトコル、Key Insulated暗号プロトコル若しくはCCA2安全暗号プロトコルとの組み合わせである場合などに適用できる。また、本形態ではCP方式を用いる。以下では、第４実施形態との相違点を中心に説明し、第４実施形態と共通する事項については説明を簡略化する。
　＜構成＞
　図３５に示すように、本形態の関数暗号応用システム５は、ネットワーク１４０に接続された、送信者装置５１０（情報出力装置）と受信者装置５２０（情報処理装置）と鍵生成装置４３０とを有する。なお、説明の便宜上、図３５には、送信者装置５１０と受信者装置５２０と鍵生成装置４３０とが１個ずつ表記されているが、２個以上の送信者装置５１０や受信者装置５２０や鍵生成装置４３０が存在してもよい。
　［送信者装置５１０（情報出力装置）］
　図４６は、本形態の送信者装置５１０の構成を説明するためのブロック図である。なお、本形態において、第４実施形態と共通する部分については第４実施形態と同じ符号を付して説明を省略する（以下、同様）。
　図４６に示すように、本形態の送信者装置５１０は、一時メモリ１１１ａと、記憶部５１１ｄと、入力部１１２と、制御部１１３と、識別子特定部４１４ａと、属性情報設定部４１４ｂと、鍵生成処理部５１４ｄと、通信部１１５とを有する。
　送信者装置５１０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、鍵生成処理部５１４ｄは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などであり、記憶部５１１ｄは、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。
　［受信者装置５２０（情報処理装置）］
　図４７は、本形態の受信者装置５２０の構成を説明するためのブロック図である。
　図４７に示すように、本形態の受信者装置５２０は、一時メモリ１２１ａと、記憶部４２１ｂ，５２１ｃと、制御部１２３と、識別子特定部５２４ａと、条件情報生成部５２４ｃと、暗号化部５２４ｄと、復号部５２４ｅと、通信部１２５とを有する。
　受信者装置５２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、暗号化部５２４ｄは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などであり、記憶部４２１ｂ，５２１ｃは、RAM、レジスタ、キャッシュメモリ、集積回路内の素子若しくはハードディスク等の補助記憶装置、又は、これらの少なくとも一部の結合からなる記憶領域である。
　＜事前設定＞
　次に、本形態の関数暗号応用システム５の事前設定を説明する。
　［特定情報］
　図４８Ａ及び図４８Ｂは、第５実施形態における１種類以上のプロトコルを特定するための特定情報PIとプロトコルとの対応関係を例示した図である。
　図４８Ａの例では、プロトコルごとに特定情報PIが割り当てられている。すなわち、この例では、特定情報PI=0に対してKeyword検索暗号プロトコルが割り当てられ、特定情報PI=1に対してForward Secure暗号プロトコルが割り当てられ、特定情報PI=2に対してKey Insulated暗号プロトコルが割り当てられ、特定情報PI=3に対してCCA2安全暗号プロトコルが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせを特定する。
　一方、図４８Ｂの例では、プロトコルごとに特定情報PIが割り当てられているほか、２種類以上のプロトコルの組み合わせに対しても特定情報PIが割り当てられている。この例で何れかのプロトコルを単体で選択する場合には、選択するプロトコルに対応する１つの特定情報PIを特定し、２種類以上のプロトコルの組み合わせを選択する場合には、選択する２種類以上のプロトコルの組み合わせに対応する特定情報PIを特定する。
　なお、図４８Ａ及び図４８Ｂに示した特定情報PIは一例であり、その他の方法によって１種類以上のプロトコルに対応する特定情報PIが特定されてもよい。
　［識別子］
　図４９Ａ及び図４９Ｂ及び図５０は、第５実施形態おいて、プロトコルごと又は当該プロトコルの組み合わせごとに定められた、識別子ID(λ)を特定するための規則の一例を説明するための図である。なお、本形態の識別子ID(λ)は有限体Fqの元を要素とするn(λ)次元ベクトルである。
　図４９Ａの例では、選択可能なプロトコルごとに識別子ID(λ)が割り当てられる。選択されたプロトコルに割り当てられた識別子ID(λ)には、そのプロトコルに定められた規則に従った値が入力される。例えば、Keyword検索暗号プロトコルが選択された場合には、検索用キーワードに対応するn(λ)次元ベクトルが識別子ID(1)に入力される。一方、選択されなかったプロトコルに割り当てられた識別子ID(λ)には、n(λ)次元ベクトルである定数(const.)が入力される。また、複数のプロトコルの組み合わせが選択された場合には、その組み合わせを構成する複数のプロトコルが選択されたものとして識別子ID(λ)の値が決定される。例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードに対応するn(λ)次元ベクトルが識別子ID(1)に入力され、n(λ)次元ベクトルである使い捨て情報が識別子ID(4)に入力され、その他の識別子ID(2)，ID(3)にはn(λ)次元ベクトルである定数(const.)が入力される。
　図４９Ｂの例では、選択されたプロトコルのみに識別子ID(λ)が割り当てられる。例えば、Keyword検索暗号プロトコルが選択された場合には、検索用キーワードを示すn(λ)次元ベクトルである識別子ID(1)のみが割り当てられる。また、例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードを示すn(λ)次元ベクトルである識別子ID(1)と、n(λ)次元ベクトルである使い捨て情報を示す識別子ID(3)とのみが割り当てられる。
　図５０の例では、選択可能なプロトコル及びプロトコルの組み合わせごとに識別子ID(λ)が割り当てられる。選択されたプロトコル及びプロトコルの組み合わせに割り当てられた識別子ID(λ)には、選択されたプロトコル又は組み合わせを構成する各プロトコルに定められた各規則に従った値が入力され、選択されなかったプロトコルや組み合わせに割り当てられた識別子ID(λ)にはn(λ)次元ベクトルである定数(const.)が入力される。例えば、Keyword検索暗号プロトコルとCCA2安全暗号プロトコルとの組み合わせが選択された場合には、検索用キーワードと使い捨て情報との組み合わせで定まるn(λ)次元ベクトルが識別子ID(3)に入力され、その他の識別子ID(λ)にはn(λ)次元ベクトルである定数(const.)が入力される。
　また、上述の識別子の決定方法は一例に過ぎず、その他の方法で識別子が特定してもよい。例えば、図５０の例の変形として、選択されたプロトコル及びプロトコルの組み合わせのみに識別子ID(λ)が割り当てられてもよい。
　［属性情報（第１対応情報）］
　第４実施形態と同様であるため説明を省略する。
　［条件情報（第２対応情報）］
　本形態でも、各識別子ID’(λ)をn(λ)次元ベクトルv(λ)→（第２部分対応情報）とし（v(λ)→=ID’(λ)）、n(λ)次元ベクトルv(λ)→（λ=1,...,Ψ）の集合{v(λ)→}λ=1,...,Ψを条件情報VSET2とする。
　識別子ID’(λ)は、想定された所定値の識別子ID(λ)に対応するn(λ)次元ベクトルである。すなわち、識別子ID’(λ)と想定された所定値の識別子ID(λ)との内積が０となるように識別子ID’(λ)の値が定められる。例えば、図４９Ａの例によって識別子ID(λ)が設定される場合には、図４９Ａの規則に従って定められる想定された所定値の識別子ID(1), ID(2), ID(3), ID(4)に対して、内積ID(1)・ID’(1)=0, ID(2)・ID’(2)=0, ID(3)・ID’(3)=0, ID(4)・ID’(4)=0となる識別子ID’(λ)が定められる。
　なお「想定された所定値」は受信者装置５２０側で想定されたプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に対応する。具体的には、「想定された所定値」は受信者装置５２０側で想定された標準形論理式のリテラルに対応する。例えば、標準形論理式のλ=1に対応するリテラルを「識別子ID(1)はキーワードKWrに対応する値をとる」という命題の命題変数PRO(1)とする場合には、キーワードKWrに対応する識別子ID(1)に対して内積ID(1)・ID’(1)=0となる識別子ID’(1)が設定される。このような各識別子ID’(λ)を特定するための規則は予め定められ、受信者装置５２０の識別子特定部５２４ａに設定される。
　［暗号化データベース（DB）］
　図５１は、第５実施形態の暗号化DBの一例を説明するための図である。
　図５１におけるMr1～Mr99は、それぞれ、ドキュメントなどの検索対象情報であり、KWr1～KWr9は、それぞれ単語などのキーワードであり、Trueは「真」を意味する「１」などのデータである。また、C(Mr1),...,C(Mr99)は、それぞれ、検索対象情報Mr1～Mr99の暗号文である。暗号文C(Mr1),...,C(Mr99)の暗号化方式は、共通鍵暗号方式、公開鍵暗号方式、ＩＤベース暗号方式、関数暗号方式などどのようなものであってもよい。また、Cr(KWr1,True),...,Cr(KWr9,True)は、それぞれ、条件情報VSET2と平文Trueとを関数暗号方式の暗号化関数に入力して得られる関数暗号方式の暗号文（第２情報）である。暗号文Cr(KWr1,True),...,Cr(KWr9,True)は、それぞれ、キーワードKWr1～KWr9にそれぞれ対応する各属性情報VSET1に対応する鍵情報を用いて正しく復号可能である。すなわち、例えば、キーワードKWr1に対応する属性情報VSET1と、暗号文Cr(KWr1,True)を暗号化するために用いた条件情報VSET2とは論理式の倫理値を真にする。
　暗号化DBは、検索対象情報（「Mr」と総称する）の暗号文C(Mr1),...,C(Mr99)に対し、それぞれ、対応するキーワードに対応する暗号文をCr(KWr1,True),...,Cr(KWr9,True)を対応付けたものである。例えば、検索対象情報Mr1に対応するキーワードがKWr1, KWr2, KWr3, KWr4である場合、検索対象情報Mr1の暗号文C(Mr1)と、キーワードKWr1, KWr2, KWr3, KWr4に対応する暗号文Cr(KWr1,True),Cr(KWr2,True),Cr(KWr3,True),Cr(KWr4,True)と、が対応付けられる。これにより、例えば、キーワードKWr1に対応する属性情報VSET1に対応する鍵情報を用いて暗号文Cr(KWr1,True)が正しく復号できたことをもって、検索対象情報Mr1の暗号文C(Mr1)を復号することなく、キーワードKWr1が検索対象情報Mr1に対応することを知ることができる。
　本形態では、このような暗号化DBが受信者装置５２０の記憶部５２１ｃに格納され、記憶部５２１ｃには、各キーワード（「KWr」と総称する）と平文Trueとが格納される。また、暗号化DBを構成する各キーワードKWrに対応する各暗号文Cr(KWr,True)は、後述のように順次更新される。
　［送信者装置５１０で予め定められた論理式］
　本形態では、送信者装置５１０の鍵生成処理部５１４ｄ及び受信者装置５２０の復号部５２４ｅに、いくつかのプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に対応する標準形論理式（例えば、PRO(1)∧PRO(2)∨￢PRO(3)）が予め設定されている。言い換えると、当該標準形論理式に対応するラベル付き行列LMT(MT,LAB)が予め鍵生成処理部５１４ｄ及び復号部５２４ｅに定められている。ただし、標準形論理式のリテラルであるPRO(λ)や￢PRO(λ)を特定するPRO(λ)やラベルLAB(λ)を特定するn(λ)次元ベクトルw(λ)→の値は定められていない。すなわち、予めラベルがLAB(λ)=w(λ)→であるかLAB(λ)=￢w(λ)→であるかは定められているが、n(λ)次元ベクトルw(λ)→の値は定められていない。なお、検索用キーワードに対応するn(λ)次元ベクトルw(λ)→に対応するラベル（図４９Ａの例ではλ＝１のラベル）はLAB(λ)=w(λ)→である。識別子ID(λ)に対応するn(λ)次元ベクトルw(λ)→が定められることでPRO(λ)やラベルLAB(λ)を特定するn(λ)次元ベクトルw(λ)→の値が定まり、標準形論理式やラベル付き行列LMT(MT,LAB)が特定できる。
　［マスター秘密情報］
　本形態の鍵生成装置４３０の記憶部４３１ｂには、関数暗号方式のマスター秘密情報MSK（［Setup(1sec，(Ψ;n(1),...,n(Ψ)))：セットアップ］参照）が格納される。
　＜処理＞
　図５２は、第５実施形態の検索依頼処理を説明するためのフローチャートである。図５３Ａは、第５実施形態の鍵情報生成処理を説明するためのフローチャートである。また、図５３Ｂは、第５実施形態の検索処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　［検索依頼処理・鍵情報生成処理］
　本形態の暗号化処理では、まず、実行する関数暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIと、検索用キーワードKWtとが、送信者装置５１０（図４６）の入力部１１２に入力される（ステップＳ５１１）。例えば、特定情報PIが図４８Ａように定まるのであれば、利用者に選択された１種類のプロトコルに対応する特定情報PI、又は、利用者に選択された２種類以上のプロトコルにそれぞれ対応する特定情報PIの組み合わせが入力部１１２に入力される。また、例えば、特定情報PIが図４８Ｂように定まるのであれば、利用者に選択された１種類のプロトコル又は２種類以上のプロトコルに対応する特定情報PIが入力部１１２に入力される。なお、本形態では、選択されるプロトコル又はプロトコルの組み合わせにKeyword検索暗号プロトコルが含まれるものとする。
　入力部１１２に入力された特定情報PIと検索用キーワードKWtとは、識別子特定部４１４ａに入力される。識別子特定部４１４ａは、当該特定情報PIによって特定されるプロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って（図４９Ａ，図４９Ｂ及び図５０等参照）、当該プロトコルごと又は当該プロトコルの組み合わせごとに、検索用キーワードKWtに対応する識別子ID(λ)を特定し、特定した１種類以上の当該識別子ID(λ)を出力する（ステップＳ５１２）。
　識別子特定部４１４ａから出力された１種類以上の識別子ID(λ)は属性情報設定部４１４ｂに入力される。属性情報設定部４１４ｂは、
　　　w(λ)→=ID(λ)　　　　…(139)
とし、n(λ)次元ベクトルw(λ)→（λ=1,...,Ψ）の集合{w(λ)→}λ=1,...,Ψを属性情報VSET1（特定の第１対応情報）とし、当該属性情報VSET1を出力する（ステップＳ５１３）。
　属性情報設定部４１４ｂから出力された属性情報VSET1は、鍵生成処理部５１４ｄに入力される。鍵生成処理部５１４ｄは、属性情報VSET1が含むn(λ)次元ベクトルw(λ)→を用いてラベルLAB(λ)を特定し、ラベル付き行列LMT(MT,LAB)を定める（ステップＳ５１４）。ラベルLAB(λ)が特定されたラベル付き行列LMT(MT,LAB)は通信部１１５に送られる。通信部１１５は、ネットワーク１４０経由で当該ラベル付き行列LMT(MT,LAB)を鍵生成装置４３０に送信し、当該ラベル付き行列LMT(MT,LAB)に対応する鍵情報SKS（検索用キーワードKWtに対応する鍵情報SKS）の生成を依頼する（ステップＳ５１５）。
　本形態の鍵情報生成処理では、まず、鍵生成装置４３０（図３８）の通信部１３５が上記の属性情報VSET1に対応するラベル付き行列LMT(MT,LAB)を受信する（ステップＳ５３１）。通信部１３５で受信されたラベル付き行列LMT(MT,LAB)は、鍵生成部４３４に入力される。鍵生成部４３４は、記憶部４３１ｂからマスター秘密情報MSKを読み出し、マスター秘密情報MSKとラベル付き行列LMT(MT,LAB)とを用い、ラベル付き行列LMT(MT,LAB)に対応する鍵情報SKSを生成して出力する（ステップＳ５３２）。具体的な生成手順は、例えば、v(λ)→の代わりにw(λ)→が用いられる以外は第４実施形態と同様でよい。生成された鍵情報SKSは通信部１３５に送られ、通信部１３５は当該鍵情報SKSをネットワーク１４０経由で送信者装置５２０に送信する（ステップＳ５３３）。
　送信者装置５１０（図４６）の通信部１１５は鍵情報SKSを受信し、鍵生成処理部５１４ｄに送る。鍵生成処理部５１４ｄは当該鍵情報SKSを記憶部５１１ｄに格納する（ステップＳ５１６）。次に、記憶部５１１ｄから読み出された、検索用キーワードKWtに対応する鍵情報SKS（第１情報）は通信部１１５に送られ、そこからネットワーク１４０経由で受信者装置５２０に送信される（ステップＳ５１７）。
　［検索処理］
　本形態の検索処理では、まず、受信者装置５２０（図４７）の通信部１２５が、送信された検索用キーワードKWtに対応する鍵情報SKS（第１情報）を受信し、記憶部４２１ｂに格納する（ステップＳ５２１）。
　これを契機とし、識別子特定部５２４ａが、プロトコルごと又は当該プロトコルの組み合わせごとに定められた規則に従って、各検索対象情報Mrにそれぞれ対応する各キーワードKWrに対応する１種類以上の識別子ID'(λ)を特定する（ステップＳ５２２）。
　識別子特定部５２４ａでキーワードKWrごとに特定された１種類以上の識別子ID'(λ)は条件情報生成部５２４ｃに入力される。条件情報生成部５２４ｃは、各キーワードKWrに対し、それぞれ、
　　　v(λ)→=ID’(λ)　　　　…(140)
とし、n(λ)次元ベクトルv(λ)→（λ=1,...,Ψ）の集合{v(λ)→}λ=1,...,Ψを条件情報VSET2（特定の第２対応情報）とし、各キーワードKWrにそれぞれ対応する各条件情報VSET2を出力する（ステップＳ５２３）。
　条件情報生成部５２４ｃから出力された各キーワードKWrに対する各条件情報VSET2は、暗号化部５２４ｄに入力される。暗号化部５２４ｄは、記憶部１１１ｃから平文Trueを読み出し、各キーワードKWrに対する各条件情報VSET2と平文Trueとをそれぞれ関数暗号方式の暗号化関数に入力し、各キーワードKWrに対し、それぞれ、平文Trueの暗号文Cr(KWr,True)（第２情報）を生成し、これらによって暗号化DBの各キーワードに対応する各暗号文を更新し、暗号化DBを更新する（ステップＳ５２４）。なお、関数暗号方式の暗号化関数の一例は前述の式(113)(136)で特定される式(137)である（C=Cr(KWr,True)，M=KWr）。
　次に、ステップＳ５２１で通信部１２５が受信した検索用キーワードKWtに対応する鍵情報SKS（第１情報）と、記憶部５２１ｃから読み出された暗号化DBの何れかの暗号文Cr(KWr,True)（第２情報）とが復号部５２４ｅに入力される。復号部５２４ｅは、鍵情報SKS（第１情報）と暗号文Cr(KWr,True)（第２情報）を関数暗号方式の復号関数に入力して復号処理を実行し、それによって得られた復号結果Mr="True" or Notを出力する（ステップＳ５２５）。例えば、復号部５２４ｅは、C=Cr(KWr,True)（式(137)）及び鍵情報SKS（式(112)）を用い、前述の(Dec-1)-(Dec-4)の処理中の条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}の代わりに属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}が用いられ、属性情報VSET1={λ,w(λ)→|λ=1,...,Ψ}の代わりに条件情報VSET2={λ,v(λ)→|λ=1,...,Ψ}が用いられる処理を行う（式(122)(128)）。
　ここで、鍵情報SKS（第１情報）に対応する属性情報VSET1と、暗号文Cr(KWr,True)（第２情報）に対応する条件情報VSET2とが鍵生成処理部５１４ｄ及び復号部５２４ｅに設定されていた標準形論理式の真理値を真にする場合にはGV→∈span<MTTFV>となり、正しい復号結果が得られ、復号結果Mr=平文Trueとなる。一方、当該属性情報VSET1と当該条件情報VSET2とが鍵生成処理部５１４ｄ及び復号部５２４ｅに設定されていた標準形論理式の真理値を偽にする場合にはGV→∈span<MTTFV>とならず、正しい復号結果が得られない。正しい復号結果が得られた場合には、その暗号文Cr(KWr,True)に対応付けられた検索対象情報Mrの暗号文C(Mr)が検索結果として抽出される。このようなステップＳ５２５の処理は、暗号化DBを構成するすべての暗号文Cr(KWr,True)に対してそれぞれ実行される。
　検索用キーワードKWtに対応する鍵情報SKS（第１情報）が受信者装置５２０側で想定されたプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に合致するものであった場合には、当該検索用キーワードKWtと同一のキーワードKWに対応する検索対象情報Mrの暗号文C(Mr)が検索結果として抽出される。
　一方、検索用キーワードKWtに対応する鍵情報SKS（第１情報）が受信者装置５２０で予め定められたプロトコル及び／又は当該プロトコルの組み合わせ及び／又はキーワードからなる条件に合致しないものであった場合には、正しい復号がなされないため、検索用キーワードKWtと同一のキーワードKWに対応する検索対象情報Mrの暗号文C(Mr)は抽出されない。つまり、実質的には、暗号化DBの検索が実行できない。
　以上のように、本形態では、送信者装置５１０が使用するプロトコルやプロトコルの組み合わせやキーワードを選択でき、受信者装置５２０において暗号化DBの検索が可能な鍵情報SKS（第１情報）のプロトコルやプロトコルの組み合わせやキーワードの条件を設定しておくことができる。そして、実質的には、受信者装置５２０は、送信者装置５１０で選択されたプロトコルやプロトコルの組み合わせやキーワードが、受信者装置５２０に設定された条件に合致した場合にのみ、暗号化DBの検索を実行することになる。
　〔第５実施形態の変形例〕
　第５実施形態においても、属性情報VSET1及び条件情報VSET2に対し、第４実施形態の変形例１で説明したような予備領域を設けてもよい。
　また、本形態では、第１情報が属性情報VSET1に対応する鍵情報であり、第２情報が条件情報VSET2に対応する暗号文である場合の一例として、Keyword検索暗号プロトコルを基本としたプロトコルが実行される場合を例示した。しかし、本発明はこれに限定されない。
　〔第６実施形態〕
　第６実施形態は、第４実施形態と第５実施形態との切り替えが可能な形態である。すなわち、本形態の送信者装置は、特定情報PIによって特定されるプロトコルに応じ、属性情報VSET1に対応する暗号文を生成するか属性情報VSET1に対応する鍵情報を生成するかを切り替える。また、本形態の受信者装置は、特定情報PIによって特定されるプロトコルに応じ、条件情報に対応する鍵情報を生成するか条件情報に対応する暗号文を生成するかを切り替える。以下では、第４実施形態との相違点を中心に説明し、第４実施形態と共通する部分については説明を省略する。
　＜構成＞
　図３５に示すように、本形態の関数暗号応用システム６は、ネットワーク１４０に接続された、送信者装置６１０（情報出力装置）と受信者装置６２０（情報処理装置）と鍵生成装置４３０とを有する。なお、説明の便宜上、図３５には、送信者装置６１０と受信者装置６２０と鍵生成装置４３０とが１個ずつ表記されているが、２個以上の送信者装置６１０や受信者装置６２０や鍵生成装置４３０が存在してもよい。
　［送信者装置６１０（情報出力装置）］
　図５４は、本形態の送信者装置６１０の構成を説明するためのブロック図である。なお、本形態において、前述の実施形態と共通する部分については前述の実施形態と同じ符号を付して説明を省略する（以下、同様）。
　図５４に示すように、本形態の送信者装置６１０は、一時メモリ１１１ａと、記憶部１１１ｃ，５１１ｄと、入力部１１２と、制御部１１３と、識別子特定部４１４ａと、属性情報設定部４１４ｂと、暗号化部４１４ｃと、鍵生成処理部５１４ｄと、切り替え部６１４と、通信部１１５とを有する。
　送信者装置６１０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、切り替え部６１４は、CPUが所定のプログラムを実行することで構成される処理部や集積回路などである。
　［受信者装置６２０（情報処理装置）］
　図５５は、本形態の受信者装置６２０の構成を説明するためのブロック図である。
　図５５に示すように、本形態の受信者装置６２０は、一時メモリ１２１ａと、記憶部４２１ｂ，５２１ｃと、制御部１２３と、識別子特定部６２４ａと、条件情報生成部６２４ｃと、鍵生成処理部４２４ｄと、暗号化部５２４ｄと、復号部６２４ｅと、切り替え部６２４ａ，６２４ｂと、通信部１２５とを有する。識別子特定部６２４ａは前述の識別子特定部４２４ａ及び５２４ａの両方の機能を備える。条件情報生成部６２４ｃは前述の条件情報生成部４２４ｃ及び５２４ｃの両方の機能を備える。復号部６２４ｅは前述の復号部４２４ｅ及び５２４ｅの両方の機能を備える。なお、説明の便宜上、図５５には、通信部１２５を示すブロックが２つ表記されているが、これは別個の通信部１２５が２つ必要なことを意味しない。
　受信者装置６２０は、例えば、CPU、RAM、ROM等を備える公知又は専用のコンピュータに特別なプログラムが読み込まれて実行されることで構成される特別な装置である。例えば、切り替え部６２４ａ，６２４ｂは、CPUが所定のプログラムを実行することで構成される処理部や集積回路などである。
　＜事前設定＞
　第４，５実施形態と同様であるため説明を省略する。
　＜処理＞
　図５６Ａは、第６実施形態の送信者装置６１０の処理を説明するためのフローチャートである。図５６Ｂは、第６実施形態の受信者装置６２０の処理を説明するためのフローチャートである。以下、これらの図を用いて本形態の処理を説明する。
　本形態の送信者装置６１０の処理では、まず、実行する関数暗号方式を応用した１種類以上のプロトコルを特定するための特定情報PIが、送信者装置６１０（図５４）の入力部１１２に入力される（ステップＳ６１１）。
　ここで、特定情報PIによって特定されるプロトコル又はプロトコルの組み合わせが、第４実施形態のような属性情報VSET1に対応する暗号文を生成する暗号化処理であった場合には、切り替え部６１４の制御のもと、第４実施形態のステップＳ４１１～Ｓ４１５の暗号化処理が実行される。ただし、本形態の送信者装置６１０は、暗号文Ctとともに特定情報PIを受信者装置６２０に送信する。
　一方、特定情報PIによって特定されるプロトコル又はプロトコルの組み合わせが、第５実施形態のような属性情報VSET1に対応する鍵情報を生成する検索依頼処理及び鍵情報生成処理であった場合には、切り替え部６１４の制御のもと、第５実施形態のステップＳ５１１～Ｓ５１７，Ｓ５３１～Ｓ５３３の検索依頼処理及び鍵情報生成処理が実行される。ただし、本形態の送信者装置６１０は、鍵情報SKSとともに特定情報PIを受信者装置６２０に送信する。
　本形態の受信者装置６２０の処理では、まず、受信者装置６２０（図５５）の通信部１２５が、送信者装置６１０から送信された暗号文Ctと特定情報PIとの組、又は、鍵情報SKSと特定情報PIとの組を受信する（ステップＳ６２１）。
　ここで、特定情報PIによって特定されるプロトコル又はプロトコルの組み合わせが、第４実施形態のような条件情報VSET2に対応する鍵情報を生成する復号処理及び鍵情報生成処理であった場合には、切り替え部６２４ａ，６２４ｂの制御のもと、第４実施形態のステップＳ４２１～Ｓ４２７，Ｓ４３１～Ｓ４３３の復号処理及び鍵情報生成処理が実行される。
　一方、特定情報PIによって特定されるプロトコル又はプロトコルの組み合わせが、第５実施形態のような条件情報VSET2に対応する暗号文を生成する検索処理であった場合には、切り替え部６２４ａ，６２４ｂの制御のもと、第５実施形態のステップＳ５２１～Ｓ５２５の検索処理が実行される。
　〔第４～６実施形態のその他の変形例〕
　なお、本発明は上述の第４～６の実施形態に限定されるものではない。例えば、上述の有限体Fq上で定義された各演算を位数qの有限環Zq上で定義された演算に置き換えてもよい。有限体Fq上で定義された各演算を有限環Zq上で定義された演算に置き換える方法の一例は、素数やそのべき乗値以外のqを許容する方法である。
　また、第４～６実施形態では、送信者装置や受信者装置の外部に鍵生成装置が設けられていたが、送信者装置や受信者装置が鍵生成装置の機能を具備していてもよい。このような送信者装置や受信者装置は、鍵情報の生成を鍵生成装置に依頼することなく、自ら鍵情報を生成できる。
　また、第４～６実施形態では、受信者装置が送信者装置から送信された暗号文又は鍵情報を受信した後に、受信者装置で条件情報VSET2が定められた。しかし、プロトコルによっては、受信者装置が送信者装置から送信された暗号文又は鍵情報を受信する前に受信者装置で条件情報VSET2を定めることができる場合もある。この場合には、受信者装置が、送信者装置から送信された暗号文又は鍵情報を受信する前に条件情報VSET2を定め、当該条件情報VSET2に対応する鍵情報又は暗号文を生成してもよい。
　また、属性情報VSET1の代わりに条件情報VSET2を用い、条件情報VSET2の代わりに属性情報VSET1を用いてもよい。すなわち、条件情報VSET2が第１対応情報に相当し、属性情報VSET1が第２対応情報に相当してもよい。
　また、第４～６実施形態では、各装置がネットワークを通じて情報のやり取りを行った。しかし、各装置がＵＳＢメモリなどの可搬型記録媒体を通じて情報のやり取りを行ってもよい。
　また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。　　　　
〔プログラム及び記録媒体〕
　また、上述の第１～６実施形態の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。
　この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
　また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
　また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
１～３　関数暗号応用システム
１１０，２１０，３１０　送信者装置（情報出力装置）
１２０，２２０，３２０　受信者装置（情報処理装置）
１３０　鍵生成装置

Claims (47)

  1. 　第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従い、前記関数暗号方式に従った特定のプロトコル又は前記関数暗号方式に従った特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定する識別子特定部と、
    　前記１種類の識別子又は前記複数種類の識別子の組み合わせに対応する特定の第１対応情報を設定する対応情報設定部と、
    　前記特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する出力部と、を含む情報出力装置と、
    　前記第１情報、及び特定の第２対応情報に対応する関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、前記第１情報に対応する前記特定の第１対応情報及び前記第２情報に対応する前記特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する復号部と、を含む情報処理装置と、を有し、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる１種類の値又は複数種類の値に対してそれぞれ復号結果が得られる値をとり、
    　前記第１情報が前記特定の第１対応情報に対応する暗号文である場合には前記第２情報は前記特定の第２対応情報に対応する鍵情報であり、前記第１情報が前記特定の第１対応情報に対応する鍵情報である場合には前記第２情報は前記特定の第２対応情報に対応する暗号文である、関数暗号応用システム。
  2. 　請求項１の関数暗号応用システムであって、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる複数種類の値に対してそれぞれ復号結果が得られる値をとる、関数暗号応用システム。
  3. 　請求項１又は２の関数暗号応用システムであって、
    　前記識別子特定部は、前記特定のプロトコルの組み合わせに対応する前記１種類の識別子又は複数種類の識別子を特定し、
    　前記特定のプロトコルの組み合わせは、前記関数暗号方式に従った複数種類のプロトコルからなる組み合わせである、関数暗号応用システム。
  4. 　請求項３の関数暗号応用システムであって、
    　前記情報出力装置は、前記特定のプロトコルに応じ、前記第１情報が暗号文であるか鍵情報であるかを切り替える第１切り替え部をさらに有し、
    　前記情報処理装置は、前記特定のプロトコルに応じ、前記第２情報が鍵情報であるか暗号文であるかを切り替える第２切り替え部をさらに有する、関数暗号応用システム。
  5. 　請求項１又は２の関数暗号応用システムであって、
    　前記情報出力装置は、前記特定のプロトコルに応じ、前記第１情報が暗号文であるか鍵情報であるかを切り替える第１切り替え部をさらに有し、
    　前記情報処理装置は、前記特定のプロトコルに応じ、前記第２情報が鍵情報であるか暗号文であるかを切り替える第２切り替え部をさらに有する、関数暗号応用システム。
  6. 　請求項１の関数暗号応用システムであって、
    　前記第２対応情報は、当該第２対応情報と前記第１対応情報とが予め定められた関数に入力された場合に、前記第１対応情報がとる１種類又は複数種類の値に対して当該関数の関数値を予め定められた値にし、
    　前記復号関数は、前記第１情報に対応する前記特定の第１対応情報と前記第２情報に対応する前記特定の第２対応情報とが前記予め定められた関数に入力された場合の関数値が前記予め定められた値となる場合に、正しい復号結果を生成する関数である、関数暗号応用システム。
  7. 　請求項６の関数暗号応用システムであって、
    　前記第２対応情報は、当該第２対応情報と前記第１対応情報とが予め定められた関数に入力された場合に、前記第１対応情報がとる複数種類の値に対して当該関数の関数値を前記予め定められた値にする、関数暗号応用システム。
  8. 　請求項７の関数暗号応用システムであって、
    　前記第１対応情報及び前記第２対応情報はベクトルであり、
    　前記予め定められた関数は、前記第１対応情報と前記第２対応情報との内積を算出する関数であり、前記予め定められた値は０である、関数暗号応用システム。
  9. 　請求項８の関数暗号応用システムであって、
    　少なくとも一部の前記第１対応情報は、一部の要素である第１予備領域の値が予め固定されたベクトルであり、
    　少なくとも一部の前記第２対応情報は、一部の要素である第２予備領域の値が予め固定されたベクトルであり、
    　前記第１予備領域を含む前記第１対応情報の当該第１予備領域の位置と、前記第２対応情報の前記第２予備領域の位置とは、互いに等しく、
    　前記第１予備領域を含む前記第１対応情報の当該第１予備領域をなすベクトルと前記第２対応情報の前記第２予備領域をなすベクトルとの内積は、前記１種類の識別子又は前記複数種類の識別子の組み合わせにかかわらず０である、関数暗号応用システム。
  10. 　請求項９の関数暗号応用システムであって、
    　前記第１予備領域の値はすべて０である、関数暗号応用システム。
  11. 　請求項９の関数暗号応用システムであって、
    　前記第２予備領域の値はすべて０である、関数暗号応用システム。
  12. 　請求項１０の関数暗号応用システムであって、
    　前記第２予備領域の少なくとも一部の値は０以外である、関数暗号応用システム。
  13. 　請求項１１の関数暗号応用システムであって、
    　前記第１予備領域の少なくとも一部の値は０以外である、関数暗号応用システム。
  14. 　請求項８から１３の何れかの関数暗号応用システムであって、
    　前記第１対応情報は、論理和及び／又は論理積を含む論理式を示す多項式の各項の不定元成分に前記識別子が代入された値を各要素とするベクトルであり、
    　前記第２対応情報は、前記論理式を示す多項式の各項の係数成分を各要素とするベクトルであり、
    　前記論理式を示す多項式は、不定元と定数との差をとる多項式によって当該不定元が当該定数であるという命題を表現し、命題をそれぞれ表現する多項式の積によって当該命題の論理和を表現し、命題又は命題の論理和をそれぞれ表現する多項式の線形和によって当該命題又は命題の論理和の論理積を表現し、それによって前記論理式を表現した多項式であり、
    　前記論理式を示す多項式は、前記第１対応情報と前記第２対応情報との内積に等しく、前記論理式が真であることと前記論理式を示す多項式が０であることとが等価である、関数暗号応用システム。
  15. 　請求項１４の関数暗号応用システムであって、
    　前記第１対応情報及び前記第２対応情報は、前記１種類の識別子又は前記複数種類の識別子の組み合わせにかかわらず予め真となるように設定された命題の論理積を一部に含む前記論理式に対応する、関数暗号応用システム。
  16. 　請求項１の関数暗号応用システムであって、
    　前記第１対応情報は１又は複数の第１部分対応情報を含み、前記第２対応情報は１又は複数の第２部分対応情報を含み、
    　前記第１部分対応情報及び前記第２部分対応情報が予め定められた関数に入力された場合に、前記第１部分対応情報の値及び前記第２部分対応情報の値の組み合わせに応じて当該関数の関数値が予め定められた値となるか、又は、当該予め定められた値以外の値となり、
    　前記第１部分対応情報及び前記第２部分対応情報の組み合わせごとに、前記関数の関数値が前記予め定められた値となる場合を前記第１部分対応情報及び前記第２部分対応情報の組み合わせが真であるとするか、又は、前記関数の関数値が前記予め定められた値とならない場合を前記第１部分対応情報及び前記第２部分対応情報の組み合わせが真であるとするかが定められており、
    　前記復号関数は、真となる前記第１部分対応情報及び前記第２部分対応情報の組み合わせの集合が予め定められた条件を満たした場合に、正しい復号結果を生成する関数である、関数暗号応用システム。
  17. 　請求項１６の関数暗号応用システムであって、
    　前記第１部分対応情報のそれぞれ又は前記第２部分対応情報のそれぞれにベクトルが対応付けられており、
    　前記復号関数は、真となる前記第１部分対応情報及び前記第２部分対応情報の組み合わせがそれぞれ含む、前記第１部分対応情報又は前記第２部分対応情報に対応付けられたベクトルで張られるベクトル空間内に特定のベクトルが存在する場合に、正しい復号結果を生成する関数である、関数暗号応用システム。
  18. 　請求項１６又は１７の関数暗号応用システムであって、
    　前記第１部分対応情報及び前記第２部分対応情報はベクトルであり、
    　前記予め定められた関数は、前記第１部分対応情報と前記第２部分対応情報との内積を算出する関数であり、前記予め定められた値は０である、関数暗号応用システム。
  19. 　請求項１８の関数暗号応用システムであって、
    　少なくとも一部の前記第１部分対応情報は値が予め固定されたベクトルであり、
    　少なくとも一部の前記第２部分対応情報は値が予め固定されたベクトルであり、
    　値が予め固定されたベクトルである前記第１部分対応情報と値が予め固定されたベクトルである前記第２部分対応情報との内積は、前記１種類の識別子又は前記複数種類の識別子の組み合わせにかかわらず０である、関数暗号応用システム。
  20. 　請求項１９の関数暗号応用システムであって、
    　値が予め固定されたベクトルである前記第１部分対応情報はすべての要素が０のベクトルである、関数暗号応用システム。
  21. 　請求項１９の関数暗号応用システムであって、
    　値が予め固定されたベクトルである前記第２部分対応情報はすべての要素が０のベクトルである、関数暗号応用システム。
  22. 　請求項２０の関数暗号応用システムであって、
    　値が予め固定されたベクトルである前記第２部分対応情報は０以外の要素を含むベクトルである、関数暗号応用システム。
  23. 　請求項２１の関数暗号応用システムであって、
    　値が予め固定されたベクトルである前記第１部分対応情報は０以外の要素を含むベクトルである、関数暗号応用システム。
  24. 　請求項１の関数暗号応用システムであって、
    　前記情報処理装置は、１種類の前記特定の第２対応情報に対応する１種類の前記第２情報を格納する、関数暗号応用システム。
  25. 　請求項１の関数暗号応用システムであって、
    　前記関数暗号方式に従ったプロトコル又は前記関数暗号方式に従ったプロトコルの組み合わせに対して使用すべき第１対応情報の種別が定められており、前記規則は、前記特定のプロトコル又は前記特定のプロトコルの組み合わせに使用すべき種別の前記特定の第１対応情報を定める前記１種類の識別子又は前記複数種類の識別子の組み合わせを特定するものである、関数暗号応用システム。
  26. 　請求項１又は２５の関数暗号応用システムであって、
    　前記プロトコルは、Timed-Release暗号プロトコル、Forward Secure暗号プロトコル、Key Insulated暗号プロトコル、CCA2安全暗号プロトコル、Keyword検索暗号プロトコルの少なくとも１つを含む集合から選択されたものであり、
    　前記プロトコルがTimed-Release暗号プロトコルである場合の前記規則は、前記第１情報の生成時点より未来の時点を特定する情報を前記識別子とする規則であり、
    　前記プロトコルがForward Secure暗号プロトコル又はKey Insulated暗号プロトコルである場合の前記規則は、それぞれ、前記第１情報の生成時点を含む時間区間又は前記第１情報の生成時点より未来の時間区間を特定する情報を前記識別子とする規則であり、
    　前記プロトコルがCCA2安全暗号プロトコルである場合の前記規則は、前記第１情報の生成ごとに新たに設定される使い捨て情報を特定する情報を前記識別子とする規則であり、
    　前記プロトコルがKeyword検索暗号プロトコルである場合の前記規則は、データベースの検索用キーワードを特定する情報を前記識別子とする規則である、関数暗号応用システム。
  27. 　第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従い、前記関数暗号方式に従った特定のプロトコル又は前記関数暗号方式に従った特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定する識別子特定部と、
    　前記１種類の識別子又は前記複数種類の識別子の組み合わせに対応する特定の第１対応情報を設定する対応情報設定部と、
    　前記特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する出力部と、を有する情報出力装置。
  28. 　請求項２７の情報出力装置であって、
    　前記識別子特定部は、前記特定のプロトコルの組み合わせに対応する前記１種類の識別子又は複数種類の識別子を特定し、
    　前記特定のプロトコルの組み合わせは、前記関数暗号方式に従った複数種類のプロトコルからなる組み合わせである、情報出力装置。
  29. 　請求項２７又は２８の情報出力装置であって、
    　前記特定のプロトコルに応じ、前記第１情報が暗号文であるか鍵情報であるかを切り替える第１切り替え部をさらに有する、情報出力装置。
  30. 　第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従って定まる１種類の識別子又は複数種類の識別子の組み合わせに対応する特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報、及び特定の第２対応情報に対応する前記関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、前記第１情報に対応する特定の第１対応情報及び前記第２情報に対応する前記特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する復号部を有し、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる１種類の値又は複数種類の値に対してそれぞれ復号結果が得られる値をとり、
    　前記第１情報が前記特定の第１対応情報に対応する暗号文である場合には前記第２情報は前記特定の第２対応情報に対応する鍵情報であり、前記第１情報が前記特定の第１対応情報に対応する鍵情報である場合には前記第２情報は前記特定の第２対応情報に対応する暗号文である、情報処理装置。
  31. 　請求項３０の情報処理装置であって、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる複数種類の値に対してそれぞれ復号結果が得られる値をとる、情報処理装置。
  32. 　請求項３０又は３１の情報処理装置であって、
    　前記識別子特定部は、前記特定のプロトコルの組み合わせに対応する前記１種類の識別子又は複数種類の識別子を特定し、
    　前記特定のプロトコルの組み合わせは、前記関数暗号方式に従った複数種類のプロトコルからなる組み合わせである、情報処理装置。
  33. 　請求項３２の情報処理装置であって、
    　前記特定のプロトコルに応じ、前記第２情報が鍵情報又は暗号文であるかを切り替える第２切り替え部をさらに有する、情報処理装置。
  34. 　請求項３０又は３１の情報処理装置であって、
    　前記特定のプロトコルに応じ、前記第２情報が鍵情報又は暗号文であるかを切り替える第２切り替え部をさらに有する、情報処理装置。
  35. 　情報出力装置が、第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従い、前記関数暗号方式に従った特定のプロトコル又は前記関数暗号方式に従った特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定する識別子特定ステップと、
    　前記情報出力装置が、前記１種類の識別子又は前記複数種類の識別子の組み合わせに対応する特定の第１対応情報を設定する対応情報設定ステップと、
    　前記情報出力装置が、前記特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する出力ステップと、
    　情報処理装置が、前記第１情報、及び特定の第２対応情報に対応する関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、前記第１情報に対応する前記特定の第１対応情報及び前記第２情報に対応する前記特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する復号ステップと、を有し、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる１種類の値又は複数種類の値に対してそれぞれ復号結果が得られる値をとり、
    　前記第１情報が前記特定の第１対応情報に対応する暗号文である場合には前記第２情報は前記特定の第２対応情報に対応する鍵情報であり、前記第１情報が前記特定の第１対応情報に対応する鍵情報である場合には前記第２情報は前記特定の第２対応情報に対応する暗号文である、暗号プロトコル実行方法。
  36. 　識別子特定部が、第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従い、前記関数暗号方式に従った特定のプロトコル又は前記関数暗号方式に従った特定のプロトコルの組み合わせに対応する１種類の識別子又は複数種類の識別子を特定する識別子特定ステップと、
    　対応情報設定部が、前記１種類の識別子又は前記複数種類の識別子の組み合わせに対応する特定の第１対応情報を設定する対応情報設定ステップと、
    　出力部が、前記特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報を出力する出力ステップと、を有する情報出力方法。
  37. 　請求項３６の情報出力方法であって、
    　前記識別子特定ステップは、前記特定のプロトコルの組み合わせに対応する前記１種類の識別子又は複数種類の識別子を特定するステップであり、
    　前記特定のプロトコルの組み合わせは、前記関数暗号方式に従った複数種類のプロトコルからなる組み合わせである、情報出力方法。
  38. 　請求項３６又は３７の情報出力方法であって、
    　切り替え部が、前記特定のプロトコルに応じ、前記第１情報が暗号文であるか鍵情報であるかを切り替えるステップをさらに有する、情報出力方法。
  39. 　復号部が、第１対応情報及び第２対応情報の組み合わせに対応する論理式の真理値が真の場合に暗号文が正しく復号される関数暗号方式に従ったプロトコルごとに定められた規則、又は前記関数暗号方式に従ったプロトコルの組み合わせごとに定められた規則に従って定まる１種類の識別子又は複数種類の識別子の組み合わせに対応する特定の第１対応情報に対応する関数暗号方式の暗号文又は鍵情報である第１情報、及び特定の第２対応情報に対応する前記関数暗号方式の鍵情報又は暗号文である第２情報を関数暗号方式の復号関数に入力し、前記第１情報に対応する特定の第１対応情報及び前記第２情報に対応する前記特定の第２対応情報の組み合わせに対応する論理式の真理値が真の場合に復号結果を生成する復号ステップを有し、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる１種類の値又は複数種類の値に対してそれぞれ復号結果が得られる値をとり、
    　前記第１情報が前記特定の第１対応情報に対応する暗号文である場合には前記第２情報は前記特定の第２対応情報に対応する鍵情報であり、前記第１情報が前記特定の第１対応情報に対応する鍵情報である場合には前記第２情報は前記特定の第２対応情報に対応する暗号文である、情報処理方法。
  40. 　請求項３９の情報処理方法であって、
    　前記特定の第２対応情報は、前記特定の第１対応情報に対応する前記第１情報、及び前記特定の第２対応情報に対応する前記第２情報が前記復号関数に入力された場合、前記特定の第１対応情報がとる複数種類の値に対してそれぞれ復号結果が得られる値をとる、情報処理方法。
  41. 　請求項３９又は４０の情報処理方法であって、
    　前記１種類の識別子又は複数種類の識別子は、前記特定のプロトコルの組み合わせに対応し、前記特定のプロトコルの組み合わせは、前記関数暗号方式に従った複数種類のプロトコルからなる組み合わせである、情報処理方法。
  42. 　請求項４１の情報処理方法であって、
    　切り替え部が、前記特定のプロトコルに応じ、前記第２情報が鍵情報又は暗号文であるかを切り替えるステップをさらに有する、情報処理方法。
  43. 　請求項３９又は４０の情報処理方法であって、
    　切り替え部が、前記特定のプロトコルに応じ、前記第２情報が鍵情報又は暗号文であるかを切り替えるステップをさらに有する、情報処理方法。
  44. 　請求項２７の情報出力装置としてコンピュータを機能させるためのプログラム。
  45. 　請求項３０の情報処理装置としてコンピュータを機能させるためのプログラム。
  46. 　請求項２７の情報出力装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。
  47. 　請求項３０の情報処理装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。
PCT/JP2010/062948 2009-08-03 2010-07-30 関数暗号応用システム及び方法 WO2011016401A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2011525871A JP5285778B2 (ja) 2009-08-03 2010-07-30 関数暗号応用システム及び方法
US13/387,764 US8938068B2 (en) 2009-08-03 2010-07-30 Functional encryption applied system, information output apparatus, information processing apparatus, encryption protocol execution method, information output method, information processing method, program and recording medium
CN201080033976.9A CN102484586B (zh) 2009-08-03 2010-07-30 函数密码应用系统及方法
KR1020127002779A KR101362443B1 (ko) 2009-08-03 2010-07-30 함수 암호 응용 시스템, 정보 출력 장치, 정보 처리 장치, 암호 프로토콜 실행 방법, 정보 출력 방법, 정보 처리 방법, 프로그램, 및 기록 매체
EP10806400.7A EP2464051B1 (en) 2009-08-03 2010-07-30 Function cipher application system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2009-180493 2009-08-03
JP2009180493 2009-08-03

Publications (1)

Publication Number Publication Date
WO2011016401A1 true WO2011016401A1 (ja) 2011-02-10

Family

ID=43544296

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/062948 WO2011016401A1 (ja) 2009-08-03 2010-07-30 関数暗号応用システム及び方法

Country Status (6)

Country Link
US (1) US8938068B2 (ja)
EP (1) EP2464051B1 (ja)
JP (1) JP5285778B2 (ja)
KR (1) KR101362443B1 (ja)
CN (1) CN102484586B (ja)
WO (1) WO2011016401A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014095847A (ja) * 2012-11-12 2014-05-22 Nippon Telegr & Teleph Corp <Ntt> 関数型暗号システム、鍵生成装置、暗号化装置、復号装置、関数型暗号方法、およびプログラム

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1775880A1 (en) * 2005-10-11 2007-04-18 STMicroelectronics S.r.l. Method of processing information to be confidentially transmitted
CN103004129B (zh) * 2010-07-23 2015-04-08 日本电信电话株式会社 加密装置、解密装置、加密方法、解密方法、程序及记录介质
US9237013B2 (en) * 2011-12-20 2016-01-12 Mitsubishi Electric Corporation Encrypted data management device, encrypted data management method, and encrypted data management program
US8566601B1 (en) 2012-09-12 2013-10-22 Zeutro Llc Systems and methods for functional encryption using a string of arbitrary length
WO2014092105A1 (ja) * 2012-12-12 2014-06-19 日本電気株式会社 データベース検索装置、データベース検索方法及びプログラム
CA2906232C (en) * 2013-03-15 2023-09-19 Locus Analytics, Llc Domain-specific syntax tagging in a functional information system
JP6244728B2 (ja) * 2013-08-07 2017-12-13 富士通株式会社 情報処理方法及びプログラム
JP6144992B2 (ja) * 2013-08-08 2017-06-07 株式会社日立製作所 検索可能暗号処理システム及び方法
WO2015194117A1 (ja) * 2014-06-16 2015-12-23 日本電気株式会社 条件生成装置、条件生成方法、条件生成プログラムが格納された記録媒体、データベース検索システム、及び、データベース検索プログラムが格納された記録媒体
JP6104469B2 (ja) * 2014-07-02 2017-03-29 三菱電機株式会社 行列生成装置及び行列生成方法及び行列生成プログラム
CN107251479B (zh) * 2015-02-20 2020-08-11 三菱电机株式会社 数据保管装置和数据处理方法
US9209974B1 (en) * 2015-05-03 2015-12-08 Zeutro, Llc Functional encryption key management
CN106452770B (zh) * 2015-08-12 2020-10-13 深圳市腾讯计算机系统有限公司 一种数据加密方法、解密方法、装置和系统
WO2018070932A1 (en) * 2016-10-14 2018-04-19 Huawei International Pte. Ltd. System and method for querying an encrypted database for documents satisfying an expressive keyword access structure
US11818254B2 (en) * 2017-08-22 2023-11-14 Nippon Telegraph And Telephone Corporation Share generating device, reconstructing device, secure computation system, share generation method, reconstruction method, program, and recording medium
CN108733802B (zh) * 2018-05-17 2023-03-24 腾讯科技（深圳）有限公司 识别码生成及解析方法、装置、存储介质和电子设备
US11228432B2 (en) * 2019-03-04 2022-01-18 Siavash Bayat-Sarmadi Quantum-resistant cryptoprocessing

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008066671A2 (en) * 2006-11-08 2008-06-05 Voltage Security, Inc. Indentity-based-encryption extensions formed using multiple instances of an identity based encryption scheme

Family Cites Families (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IL113259A (en) * 1995-04-05 2001-03-19 Diversinet Corp A device and method for a secure interface for secure communication and data transfer
US5751811A (en) * 1995-08-30 1998-05-12 Magnotti; Joseph C. 32N +D bit key encryption-decryption system using chaos
US6259789B1 (en) * 1997-12-12 2001-07-10 Safecourier Software, Inc. Computer implemented secret object key block cipher encryption and digital signature device and method
US7194092B1 (en) * 1998-10-26 2007-03-20 Microsoft Corporation Key-based secure storage
US6937728B1 (en) * 1999-05-19 2005-08-30 Nippon Telegraph And Telephone Corporation Verifiable anonymous channel
US7184549B2 (en) * 2000-01-14 2007-02-27 Mitsubishi Denki Kabushiki Kaisha Method and apparatus for encryption, method and apparatus for decryption, and computer-readable medium storing program
EP1278331A4 (en) * 2000-03-30 2006-06-07 Sanyo Electric Co CONTENTS DATA STORAGE
US20040073790A1 (en) * 2001-07-13 2004-04-15 Giuseppe Ateniese Intermediated delivery scheme for asymmetric fair exchange of electronic items
US20030053625A1 (en) * 2001-09-10 2003-03-20 The Titan Corporation Self-synchronizing, stream-oriented data encryption technique
US7139918B2 (en) * 2002-01-31 2006-11-21 International Business Machines Corporation Multiple secure socket layer keyfiles for client login support
US7349538B2 (en) * 2002-03-21 2008-03-25 Ntt Docomo Inc. Hierarchical identity-based encryption and signature schemes
US7549147B2 (en) * 2002-04-15 2009-06-16 Core Sdi, Incorporated Security framework for protecting rights in computer software
EP1520369B1 (en) * 2002-05-31 2006-10-18 Scientific Generics Limited Biometric authentication system
JP2004015667A (ja) * 2002-06-10 2004-01-15 Takeshi Sakamura Ｉｃカード間暗号通信方法、電子チケット流通システムにおけるｉｃカード間暗号通信方法およびｉｃカード
KR100886551B1 (ko) * 2003-02-21 2009-03-02 삼성전자주식회사 이동통신시스템에서 인터넷 프로토콜 버전에 따른 트래픽플로우 탬플릿 패킷 필터링 장치 및 방법
KR20060069452A (ko) * 2003-08-08 2006-06-21 코닌클리케 필립스 일렉트로닉스 엔.브이. 데이터 처리 시스템 및 처리 방법
US7200226B2 (en) * 2003-09-04 2007-04-03 Intel Corporation Cipher block chaining decryption
GB0321335D0 (en) * 2003-09-11 2003-10-15 Rogers Paul J Method and apparatus for use in security
ATE552709T1 (de) * 2003-09-26 2012-04-15 Ericsson Telefon Ab L M Verbesserter sicherheitsentwurf für die kryptographie in mobilkommunikationssystemen
US8086536B2 (en) * 2004-09-16 2011-12-27 Microsoft Corporation Location based licensing
US20060075220A1 (en) * 2004-10-01 2006-04-06 Baugher Mark J System and method to authorize a device to receive a content work based on device capabilities and content-work permissions
US20060126841A1 (en) * 2004-12-14 2006-06-15 Tata Consultancy Services Ltd. Method and apparatus for a security system for wireless networks
US7634085B1 (en) * 2005-03-25 2009-12-15 Voltage Security, Inc. Identity-based-encryption system with partial attribute matching
US7546460B2 (en) * 2005-03-30 2009-06-09 Oracle International Corporation Secure communications across multiple protocols
JP2006333095A (ja) * 2005-05-26 2006-12-07 Hiromi Fukaya 暗号通信方法、暗号通信システム、暗号通信装置及び暗号通信プログラム
JP2007036364A (ja) * 2005-07-22 2007-02-08 Nec Corp タイム装置、暗号化装置、復号化装置、暗号化／復号化システム
EP1758337B1 (fr) * 2005-08-23 2012-08-01 Alcatel Lucent Procédé de transmission securisée de données, via des reseaux, par échange d'informations d'encryptage, et dispositif d'encryptage/decryptage correspondant
US20070223703A1 (en) * 2005-10-07 2007-09-27 Sanjeev Verma Method and apparatus for providing service keys within multiple broadcast networks
EP1855223A1 (en) * 2006-05-12 2007-11-14 Telefonaktiebolaget LM Ericsson (publ) Extending the DRM realm to external devices
JP4358239B2 (ja) * 2007-01-10 2009-11-04 株式会社東芝 コンテンツ提供システム、追跡システム、コンテンツ提供方法及び不正ユーザ特定方法
US8958562B2 (en) * 2007-01-16 2015-02-17 Voltage Security, Inc. Format-preserving cryptographic systems
EP2120227B1 (en) * 2007-01-19 2015-04-15 Mitsubishi Electric Corporation Cryptogram generating device, cryptogram communication system, and group parameter generating device
US20080304664A1 (en) * 2007-06-07 2008-12-11 Shanmugathasan Suthaharan System and a method for securing information
US8291231B2 (en) * 2007-11-07 2012-10-16 Nippon Telegraph And Telephone Corporation Common key setting method, relay apparatus, and program
US20090132423A1 (en) * 2007-11-15 2009-05-21 Ebay Inc. Send money plug in for web mails
US8964982B2 (en) * 2009-04-24 2015-02-24 Nippon Telegraph And Telephone Corporation Cryptographic system, cryptographic communication method, encryption apparatus, key generation apparatus, decryption apparatus, content server, program, and storage medium
KR101246241B1 (ko) * 2009-04-24 2013-03-22 니뽄 덴신 덴와 가부시키가이샤 암호화 장치, 복호장치, 암호화 방법, 복호방법, 세큐러티 방법, 프로그램 및 기록매체
JP5454673B2 (ja) * 2010-03-17 2014-03-26 富士通株式会社 通信装置、プログラムおよび方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008066671A2 (en) * 2006-11-08 2008-06-05 Voltage Security, Inc. Indentity-based-encryption extensions formed using multiple instances of an identity based encryption scheme

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
KATZ, J. ET AL.: "Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products", CRYPTOLOGY EPRINT ARCHIVE, REPORT 2007/404, 7 July 2008 (2008-07-07), pages 1 - 29, XP008149983 *
See also references of EP2464051A4 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014095847A (ja) * 2012-11-12 2014-05-22 Nippon Telegr & Teleph Corp <Ntt> 関数型暗号システム、鍵生成装置、暗号化装置、復号装置、関数型暗号方法、およびプログラム

Also Published As

Publication number Publication date
EP2464051B1 (en) 2015-05-27
KR101362443B1 (ko) 2014-02-11
JP5285778B2 (ja) 2013-09-11
EP2464051A4 (en) 2013-05-22
CN102484586B (zh) 2014-12-03
CN102484586A (zh) 2012-05-30
EP2464051A1 (en) 2012-06-13
US20120163588A1 (en) 2012-06-28
KR20120042901A (ko) 2012-05-03
JPWO2011016401A1 (ja) 2013-01-10
US8938068B2 (en) 2015-01-20

Similar Documents

Publication Publication Date Title
JP5285778B2 (ja) 関数暗号応用システム及び方法
JP5379914B2 (ja) 秘密分散システム、分散装置、分散管理装置、取得装置、秘密分散方法、プログラム、及び記録媒体
JP5466763B2 (ja) 暗号化装置、復号装置、暗号化方法、復号方法、プログラム、及び記録媒体
JP5618881B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
CN102396012B (zh) 秘密分散系统、分散装置、分散管理装置、取得装置、其处理方法、秘密分散方法
KR101588992B1 (ko) 암호 시스템, 암호 방법 및 암호 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
WO2012011575A1 (ja) 暗号システム、暗号通信方法、暗号化装置、鍵生成装置、復号装置、コンテンツサーバ装置、プログラム、記憶媒体
KR20110135962A (ko) 암호화 장치, 복호장치, 암호화 방법, 복호방법, 세큐러티 방법, 프로그램 및 기록매체
Seo et al. Revocable hierarchical identity-based encryption
Lee et al. Anonymous HIBE with short ciphertexts: full security in prime order groups
Lee et al. Functional encryption for set intersection in the multi-client setting
Kim et al. Collusion resistant trace-and-revoke for arbitrary identities from standard assumptions
JP2010160235A (ja) 検索システム、端末装置、データベース装置、検索方法及びプログラム
JP5612494B2 (ja) 関数暗号を用いた時限暗号システム、時限暗号方法、装置、プログラム
Mandal et al. Efficient identity-based outsider anonymous public-key trace and revoke with constant ciphertext-size and fast decryption
Ding et al. Ciphertext retrieval via attribute-based FHE in cloud computing
Su Pairing-based constructions: efficient revocation, compact ciphertexts and generic transformation

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201080033976.9

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10806400

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011525871

Country of ref document: JP

ENP Entry into the national phase

Ref document number: 20127002779

Country of ref document: KR

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2010806400

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13387764

Country of ref document: US