WO2011052056A1 - データ処理装置 - Google Patents

データ処理装置 Download PDF

Info

Publication number
WO2011052056A1
WO2011052056A1 PCT/JP2009/068584 JP2009068584W WO2011052056A1 WO 2011052056 A1 WO2011052056 A1 WO 2011052056A1 JP 2009068584 W JP2009068584 W JP 2009068584W WO 2011052056 A1 WO2011052056 A1 WO 2011052056A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
encrypted
encryption
similarity
public key
Prior art date
Application number
PCT/JP2009/068584
Other languages
English (en)
French (fr)
Inventor
充洋 服部
陽一 柴田
伊藤　隆
松田　規
克幸 高島
米田　健
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to US13/504,506 priority Critical patent/US8958552B2/en
Priority to JP2011538156A priority patent/JP5300983B2/ja
Priority to PCT/JP2009/068584 priority patent/WO2011052056A1/ja
Priority to EP09850835.1A priority patent/EP2495908A4/en
Priority to CN200980162216.5A priority patent/CN102598576B/zh
Publication of WO2011052056A1 publication Critical patent/WO2011052056A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina

Definitions

  • the present invention relates to an authentication technique for performing personal authentication using biometric information or the like.
  • Biometric authentication such as fingerprint authentication and vein authentication
  • fingerprint authentication and vein authentication is a mechanism for performing personal identification by utilizing the fact that fingerprint patterns and vein shapes differ from person to person.
  • access management such as building entrance / exit management, personal computer login management, and personal authentication at a bank ATM (Automated Teller Machine).
  • bank ATM Automatic Teller Machine
  • biometric authentication authentication is generally performed between a user (authenticated person or prover) and an authentication device (certifier) as follows.
  • the user registers his / her biometric information in the authentication device in advance.
  • the user presents biometric information to the authentication device.
  • the authentication device collates the registered biometric information with the presented biometric information, and determines that the user is the user if the similarity satisfies a certain condition, and the other is the other person if the condition is not satisfied to decide.
  • biometric authentication it is desirable to protect biometric information because it is privacy information that characterizes individuals. Therefore, a method of performing biometric authentication without exposing the biometric information itself is proposed by encrypting and registering biometric information at the time of registration and performing verification by encrypting the biometric information at the time of authentication (for example, Patent Document 1). Further, as an encryption algorithm that can be used for encrypting biometric information, for example, an encryption algorithm disclosed in Non-Patent Documents 1-4 can be considered.
  • biometric information is protected by encryption using a public key cryptosystem.
  • a normal homomorphic cipher such as Palier cipher or ElGamal cipher is used as an encryption algorithm.
  • the normal homomorphic encryption means for example, T ciphertexts E (x 1 ), E (x 2 ),. . . , E (x T ) can be used to calculate a ciphertext E (x 1 + x 2 +... + X T ) so that a ciphertext of the sum of the original plaintexts can be calculated from a plurality of ciphertexts. It is.
  • E (x 1 ) represents the ciphertext of x 1 generated using a certain public key.
  • the normal homomorphic encryption here will be the ciphertext which performed one kind of operation with respect to the original plaintext from several ciphertexts. It is a cipher that can be calculated.
  • types of operations there are types such as addition and multiplication in a finite field, but in any case, the encryption is capable of performing only one type of operation.
  • the hamming distance of a feature vector generated from biological information (that is, the hamming distance between bit strings constituting a vector) is used as an index for determining similarity, and the following The secret collation process was performed in such a procedure.
  • the certification device communicates with the authentication device to perform biometric information registration processing and authentication processing. That is, a more general biometric authentication method including remote login using biometric information is assumed.
  • encryption is performed using a public key common to the system.
  • the certification device extracts biometric information from the user, and constructs a feature vector representing the user's features from the extracted biometric information.
  • the proving device uses the following property (equation 1) of the homomorphic encryption when calculating the ciphertext of the Hamming distance d H (X, Y) between the bit strings X and Y.
  • the shift from the second equation to the third equation is due to the fact that x 1 and y 1 are only binary values of 0 and 1.
  • the transition from the third formula to the fourth formula is based on the property that the Pailler cipher is a normal homomorphic cipher, and the ciphertext that is the sum of the original plaintext is obtained by the product of the ciphertexts.
  • the authentication device multiplies the received value by the following value (Equation 3) to calculate the encrypted Hamming distance E (d H (X, Y)). Then, the Hamming distance is decoded using a secure protocol, and similarity determination is performed.
  • E (x i ) ⁇ 2yi is calculated when calculating a ciphertext of ⁇ 2x i y i , so that plaintext y is included in the exponent part. i is required.
  • the encrypted biometric information E (X) (E (x 1 ), E (x 2 ),..., E (x T )) is once sent from the authentication device to the certification device. It is necessary to perform calculation using i .
  • the plaintext biometric information is deleted from the certification device as soon as possible.
  • plain text biometric information is required for authentication as described above, the biometric information on the terminal cannot be erased until the authentication is completed, particularly in 1: N authentication, and the subject is exposed to a risk of theft for a long time. There is.
  • One of the main objects of the present invention is to solve the above-mentioned problems, eliminating the need for plain text required in the process of authentication processing, reducing the chance of theft of plain text, and thereby making it more secure.
  • the main purpose is to provide a highly secure method of secret verification.
  • Another object is to reduce the amount of communication between the authentication device and the certification device.
  • the data processing apparatus A public key storage unit that stores a public key generated in the decryption device based on a double homomorphic encryption algorithm and distributed from the decryption device; An encrypted data storage unit that stores, as encrypted first data, first data that is encrypted using the public key held by an encryption device that holds the public key distributed from the decryption device; An encrypted data input unit that inputs, as encrypted second data, second data encrypted using the public key held by the encryption device after the encrypted first data is stored in the encrypted data storage unit When, A random number generator that generates a random number using at least a part of the public key; Performing an operation using the public key stored in the public key storage unit and the random number generated by the random number generation unit on the encrypted first data and the encrypted second data, and performing the encryption The first data and the second data are decrypted by using a secret key generated in association with the public key while the first data and the encrypted second data remain encrypted. And an encrypted similarity generation unit that generates encrypted information capable of deriving the similarity between the two as
  • the encrypted first data and the encrypted second data remain encrypted, and the first data and the encrypted data are decrypted using the secret key generated in association with the public key. Since encryption similarity information that can derive the similarity between the second data and the second data is generated, the similarity between the first data and the second data is derived without using the first data and the second data that are plaintext. It is possible to realize secure personal authentication with low possibility of plaintext theft.
  • FIG. 1 is a diagram illustrating a configuration example of a biometric authentication system according to Embodiment 1.
  • FIG. FIG. 3 shows a configuration example of a certification device according to the first embodiment.
  • FIG. 3 shows a configuration example of an authentication apparatus according to the first embodiment.
  • FIG. 3 shows a configuration example of a decoding apparatus according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of a setup process according to the first embodiment.
  • FIG. 3 is a flowchart showing an example of biometric information registration processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of authentication processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of authentication processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of authentication processing according to the first embodiment.
  • FIG. 4 is a flowchart showing an example of authentication processing according to the first embodiment.
  • the flowchart figure which shows the example of the registration process of the biometric information which concerns on Embodiment 2.
  • FIG. FIG. 9 is a flowchart showing an example of authentication processing according to the second embodiment.
  • FIG. 9 is a flowchart showing an example of authentication processing according to the second embodiment.
  • FIG. 10 is a flowchart showing an example of a setup process according to the third embodiment.
  • FIG. 9 is a flowchart showing an example of biometric information registration processing according to the third embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the third embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the third embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the third embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the third embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the fourth embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the fourth embodiment.
  • FIG. 10 is a flowchart showing an example of authentication processing according to the fourth embodiment.
  • FIG. 3 is a flowchart showing an outline of a setup process according to the first embodiment.
  • FIG. 3 is a flowchart showing an outline of biometric information registration processing according to the first embodiment.
  • FIG. 3 is a flowchart showing an outline of authentication processing according to the first embodiment.
  • FIG. 3 is a flowchart showing an outline of authentication processing according to the first embodiment.
  • FIG. 3 is a diagram illustrating a hardware configuration example of a certification device, an authentication device, and a decryption device according to Embodiment 1.
  • a cipher called double homomorphic encryption is used as an encryption method for protecting biometric information, instead of normal homomorphic encryption.
  • the double homomorphic encryption is different from the normal homomorphic encryption, for example, 2T ciphertexts E (x 1 ), E (x 2 ),. . . , E (x T ), E (y 1 ), E (y 2 ),. . . , E (y T ) can be used to calculate the ciphertext E (x 1 * y 1 + x 2 * y 2 + ... + x T * y T ) from a plurality of ciphertexts. It is a cipher that can calculate ciphertext combining the sum and product over the field.
  • the biometric information for registration is composed of T (T is an integer of 2 or more) partial data
  • the biometric information for authentication is T (T is an integer of 2 or more). Consists of partial data. Then, the number of partial data having the same value in the T partial data registered and the T partial data input for authentication, the Hamming distance, and the like are derived as the similarity, and the similarity is a predetermined level. If it is above, it authenticates itself.
  • Specific algorithms for the double homomorphic encryption include algorithms disclosed in Non-Patent Document 1 to Non-Patent Document 3, for example.
  • the identity determination index may not be used as it is.
  • the presence / absence of feature points is expressed by a bit string of 1, 0, and the identity is determined by using the number of locations where 1 bits match as an index, and the Hamming distance between bit strings.
  • Non-Patent Document 1 is disclosed in Embodiment 1 and Embodiment 2
  • the application method of Non-Patent Document 2 is disclosed in Embodiment 3 and Embodiment 4.
  • the Okamoto-Takashima cipher is a cipher that uses a dual pairing vector space defined using an elliptic curve.
  • a description will be given based on a method comprising a product of elliptic curves.
  • operations on groups on elliptic curves are often described as operations on additive groups, but here all operations including operations on finite fields are described as multiplicative groups.
  • G, G ⁇ , and the group of G T the number of prime number respectively q.
  • F q ⁇ 0, 1,..., Q ⁇ 1 ⁇ .
  • Equation 6 In the vector spaces V and V ⁇ , the relationship shown in Equation 6 holds.
  • Such a distortion map can be easily calculated.
  • two vector spaces that have a standard basis, define pairing between spaces, and define a computable distortion map are called dual pairing vector spaces.
  • X and X ⁇ configured in this way become a regular matrix with a very high probability.
  • W (w 1 , w 2 ,..., W N )
  • W ⁇ (w ⁇ 1 , w ⁇ 2 ,..., W ⁇ N ) Is also the basis. This basis is called a random basis.
  • Equation 8 k in Equation 8 is an integer.
  • a trapdoor function can be realized by using a regular matrix as a secret key.
  • Embodiment 1 An array of feature points is prepared as a feature vector used in biometric authentication, and 1 is stored in the array when the user owns the feature point, and 0 is stored in the array when the user does not have the feature point.
  • An authentication method will be described as an example in which the feature vector is used as a feature vector and the number of locations where 1 matches is used as an index of similarity.
  • FIG. 1 is a diagram illustrating a configuration example of a biometric authentication system according to Embodiment 1-4.
  • a certification device 101 is a device that measures biometric information from a user and performs a secret matching process using the measured biometric information.
  • the authentication device 102 is a device that encrypts and stores a user's biometric information and performs authentication using the stored biometric information.
  • the decryption device 103 is a device that decrypts the encrypted data.
  • the certification device 101 is an example of an encryption device, and the authentication device is an example of a data processing device.
  • FIG. 2 is a diagram illustrating a configuration example of the internal configuration of the certification device 101.
  • a biometric information extraction unit 201 extracts biometric information necessary for individual identification from a user using various sensors such as an optical camera and an infrared camera.
  • the feature vector forming unit 202 forms a feature vector representing an individual feature from the biological information extracted by the biological information extracting unit 201.
  • the random number generation unit 203 generates a random number using a part of the public key.
  • the encryption unit 204 encrypts the feature vector using the random number generated by the random number generation unit 203.
  • the storage unit 205 stores various data such as a public key.
  • the public key stored in the storage unit 205 is a public key generated by the decryption device 103 and distributed from the decryption device 103.
  • the communication unit 206 transmits / receives data to / from other devices such as a database.
  • FIG. 3 is a diagram illustrating a configuration example of the internal configuration of the authentication apparatus 102.
  • the storage unit 301 stores various data such as an encrypted feature vector (hereinafter also referred to as an encrypted feature vector) and a public key.
  • the storage unit 301 is an example of a public key storage unit and an encrypted data storage unit.
  • the encrypted feature vector stored in the storage unit 301 is a registration feature vector encrypted by the proving device 101.
  • the feature vector for registration before encryption corresponds to an example of the first data
  • the encryption feature vector corresponds to an example of the encrypted first data.
  • the public key stored in the storage unit 301 is a public key generated by the decryption device 103 and distributed from the decryption device 103.
  • the encryption similarity generation unit 302 calculates encryption similarity information from the registered encryption feature vector and the authentication encryption feature vector.
  • the authentication encrypted feature vector is an authentication feature vector encrypted by the proving apparatus 101.
  • the feature vector for authentication before encryption corresponds to an example of the second data
  • the encryption feature vector corresponds to an example of the encrypted second data.
  • the encryption similarity information is obtained by performing a decryption process using a secret key generated in association with a public key, between a registration feature vector (first data) and an authentication feature vector (second data).
  • the decrypted information can be derived by the decryption device 103.
  • the determination unit 303 performs individual identification based on the decrypted similarity and determines whether or not the person is the person himself / herself. That is, the determination unit 303 analyzes the similarity and determines whether the generation source of the authentication feature vector is valid.
  • the communication unit 304 transmits / receives data to / from the certification device 101 and the decryption device 103. More specifically, the communication unit 304 receives the encryption feature vector for authentication from the certification device 101 after the encryption feature vector for registration is stored in the storage unit 301. In addition, the communication unit 304 transmits the encryption similarity information generated by the encryption similarity generation unit 302 to the decryption device 103. In addition, the communication unit 304 uses the decryption device 103 to perform decryption processing using the secret key on the encrypted similarity information, and the similarity between the registration feature vector and the authentication feature vector. (Plaintext) is received.
  • the communication unit 304 is an example of an encrypted data input unit, an encrypted similarity output unit, and a similarity input unit.
  • the random number generation unit 305 generates a random number using a part of the public key.
  • FIG. 4 is a diagram illustrating a configuration example of the internal configuration of the decryption apparatus 103.
  • a parameter generation unit 401 generates parameters necessary for encryption and decryption, such as a public key and a secret key.
  • the decryption unit 402 decrypts the encryption similarity information and extracts the plaintext similarity.
  • the storage unit 403 stores various data such as a public key and a secret key.
  • the communication unit 404 transmits / receives data to / from other devices such as a database.
  • the operation is divided into three processes: a setup process, a registration process, and an authentication process.
  • the decryption device 103 generates parameters necessary for encryption and decryption.
  • the certification device 101 encrypts the user's biometric information and sends it to the authentication device 102, and the authentication device 102 stores it in the storage unit 301.
  • the authentication device 102 first, the certification device 101 encrypts the user's biometric information and sends it to the authentication device 102.
  • the authentication device 102 generates encrypted similarity information using the encrypted biometric information in the storage unit 301 and the received encrypted biometric information, and sends it to the decryption device 103.
  • the decryption device 103 decrypts the similarity and sends the decrypted similarity to the authentication device 102.
  • the authentication apparatus 102 compares the similarity with a threshold value and performs authentication.
  • FIG. 21 shows an outline of the setup process
  • FIG. 22 shows an outline of the registration process
  • FIGS. 23 and 24 show an outline of the authentication process.
  • the parameter generation unit 401 of the decryption apparatus 103 generates a secret key sk and a public key pk based on the Okamoto-Takashima encryption algorithm (S2101).
  • the storage unit 403 of the decryption device 103 stores the secret key sk, and the communication unit 404 transmits the public key pk to the certification device 101 and the authentication device 102 (S2102).
  • the communication unit 206 receives the public key pk
  • the storage unit 205 stores the public key pk
  • the communication unit 304 receives the public key pk
  • the storage unit 301 The public key pk is stored (S2102).
  • the method for distributing the public key pk to the certification device 101 and the authentication device 102 may be another method.
  • the decryption device 103 may store the public key pk in a recording medium, and the certification device 101 and the authentication device 102 may read and store the public key pk from the recording medium.
  • the biometric information extraction unit 201 extracts the biometric information of the user (S2201).
  • the feature vector forming unit 202 of the proving apparatus 101 generates the feature vector b of the biometric information extracted in S2201 (S2202).
  • the random number generation unit 203 of the proving apparatus 101 generates a random number using a part of the public key pk
  • the encryption unit 204 reads the public key pk from the storage unit 205
  • the encryption unit 204 reads the public key.
  • the feature vector b is encrypted using pk and a random number (S2203).
  • the communication unit 206 of the certification device 101 transmits the encrypted feature vector C to the authentication device 102 (S2204).
  • the communication unit 304 of the authentication apparatus 102 receives the encrypted feature vector C, and the storage unit 205 stores the encrypted feature vector C (S2205).
  • the biometric information extraction unit 201 extracts the biometric information of the user (S2301).
  • the feature vector forming unit 202 of the proving apparatus 101 generates the feature vector b ′ of the biometric information extracted in S2301 (S2302).
  • the random number generation unit 203 of the proving apparatus 101 generates a random number using a part of the public key pk
  • the encryption unit 204 reads the public key pk from the storage unit 205
  • the encryption unit 204 reads the public key.
  • the feature vector b ′ is encrypted using pk and a random number (S2303).
  • the communication unit 206 of the proving apparatus 101 transmits the encrypted feature vector C ⁇ to the authentication apparatus 102 (S2304).
  • the communication unit 304 of the authentication apparatus 102 receives the encrypted feature vector C ⁇ (S2305).
  • the encryption similarity generation unit 302 of the authentication device 102 reads the encryption feature vector C of the storage unit 301 (S2401).
  • the random number generation unit 305 of the authentication apparatus 102 generates a random number using a part of the public key pk
  • the encryption similarity generation unit 302 reads the public key pk from the storage unit 301, and the encryption similarity
  • encryption similarity information is generated using the public key pk and a random number (S2402).
  • the authentication apparatus 102 cannot know the secret key sk associated with the public key pk, the authentication feature vector C and the encrypted feature vector C ⁇ cannot be decrypted. For this reason, encryption similarity information is generated while the encrypted feature vector C and the encrypted feature vector C ⁇ are encrypted.
  • the communication unit 304 of the authentication device 102 transmits the encryption similarity information to the decryption device 103 (S2403).
  • the communication unit 404 of the decryption device 103 receives the encryption similarity information (S2404).
  • the decryption unit 402 of the decryption apparatus 103 reads the secret key sk from the parameter generation unit 401, performs decryption processing using the secret key sk as the encryption similarity information, and derives the plaintext similarity (S2405).
  • the communication unit 404 of the decryption device 103 transmits the plaintext similarity to the authentication device 102 (S2406).
  • the similarity is information indicating how similar the registration feature vector b and the authentication feature vector b ′ are, and the feature vector and biometric information cannot be calculated from the similarity.
  • the communication unit 304 of the authentication apparatus 102 receives the plaintext similarity (S2407).
  • the determination unit 303 of the authentication device 102 determines whether or not the plaintext similarity is greater than or equal to a predetermined threshold value. If it is lower, it is determined that the person is not the person (S2408).
  • FIG. 5 shows details of the setup process
  • FIG. 6 shows details of the registration process
  • FIGS. 7 to 9 show details of the authentication process.
  • the decryption device 103 generates a public key pk and a secret key sk.
  • the public key pk and secret key sk may be different public keys and secret keys for each user, or may be one public key and secret key for the system.
  • a case where one public key and a private key are used in the system will be described. However, this can be easily extended to the case of a public key and a private key for each user.
  • FIG. 5 is a flowchart showing a procedure for generating the public key pk and the secret key sk in the parameter generation unit 401.
  • the parameter generating unit 401 defines the group quantiles q, the group G, G ⁇ , G T, generated based on g ⁇ G, the g ⁇ ⁇ G ⁇ . This specific method is described in Non-Patent Document 4, for example, and is omitted here.
  • the group number is determined according to the security level, but is usually a large prime number such as 200 bits or 1024 bits.
  • This matrix must be a regular matrix, but it becomes a regular matrix with very high probability by defining the matrix in this way.
  • regularity is determined by a method such as calculating a determinant after determining a matrix in this way, and if it is not regular, the elements of the matrix may be selected again at random.
  • This matrix becomes a regular matrix with a very high probability, but if it does not become a regular matrix, it can be selected again at random.
  • FIG. 6 is a flowchart showing a procedure for registering biometric information in the certification device 101.
  • the biological information extraction unit 201 extracts the biological information of the user.
  • the pattern is extracted by applying light to the fingerprint and reading the pattern with a sensor.
  • T is the size of the array for storing the feature vectors, and is a value determined by the feature vector forming method.
  • the formation method according to the present embodiment is characterized by dividing the read pattern into regions, detecting the presence or absence of feature points in each region, and storing 1 in the array where there are feature points and 0 in the array where there are no feature points. This is a method of forming a vector.
  • a tampering detection technique for communication such as SSL (Secure Sockets Layer).
  • 7, 8, and 9 are flowcharts showing a procedure for performing authentication.
  • step S701 the biometric information extraction unit 201 of the certification device 101 extracts the biometric information of the user.
  • the extraction method is the same as that when biometric information is registered.
  • the formation method is the same as that when biometric information is registered.
  • the vector C ⁇ (c ⁇ 1 , c ⁇ 2 ,..., C ⁇ T ) is calculated.
  • w 1 , w 2 , and w 3 are distributed from the decryption apparatus 103 as a part of the public key (W ⁇ ).
  • a communication tampering detection technique such as SSL.
  • the encrypted biometric information of a large number of users is stored in the storage unit 301, and ID information given separately is used as to which one is to be extracted.
  • step S709 the random number generation unit 305 of the authentication apparatus 102 extracts a value from the integers 0 to q ⁇ 1 uniformly and randomly four times, and ⁇ u 2 , u 3 , u ⁇ 2 , u ⁇ 3 ⁇ .
  • w 1 , w 2 , and w 3 are distributed from the decryption apparatus 103 as a part (W) of the public key.
  • w 1 , w 2 , and w 3 are distributed from the decryption apparatus 103 as a part of the public key (W ⁇ ).
  • step S712 the encryption similarity generation unit 302 of the authentication device 102 calculates E according to Equation 11.
  • step S713 the encryption similarity generation unit 302 of the authentication device 102 calculates E ⁇ according to Equation 12.
  • step S ⁇ b> 714 the communication unit 304 of the authentication apparatus 102 transmits (d 1 ,..., D T , d ⁇ 1 ,..., D ⁇ T , E, E ⁇ ) to the decryption apparatus 103.
  • a communication tampering detection technique such as SSL.
  • step S715 the communication unit 404 of the decoding apparatus 103 receives (d 1 ,..., D T , d ⁇ 1 ,..., D ⁇ T , E, E ⁇ ).
  • step S718 the decoding device 103 calculates Z 1 according to Equation 13.
  • Deco algorithm is calculated as shown in Equation 14 below. Note that k in Expression 14 is an integer.
  • This Deco algorithm is also calculated in the same manner as described above.
  • step S721 the decoding unit 402 of the decoding device 103 calculates the discrete logarithm d of Z with e (g, g ⁇ ) as the base.
  • This discrete logarithm d corresponds to the number of matching feature points, and represents the similarity.
  • d is sufficiently smaller than the order q and can be calculated efficiently.
  • step S ⁇ b> 722 the communication unit 404 of the decryption device 103 transmits the similarity d to the authentication device 102. At that time, it is desirable to prevent tampering in the middle of communication using a communication tampering detection technique such as SSL.
  • step S723 the communication unit 304 of the authentication device 102 receives the similarity d.
  • step S724 it is determined whether the similarity d is greater than or equal to a threshold value.
  • the threshold value is a value determined in advance by the system in consideration of various factors such as the type of biometric information to be used and safety requirements. If it is equal to or greater than the threshold value, it is determined that the encrypted biometric information sent from the certification device 101 belongs to the person specified by the ID. On the other hand, if it is less than the threshold value, it is determined that the encrypted biometric information sent from the proving apparatus 101 is not that of the person specified by the ID but that of the other person.
  • the authentication device 102 can perform biometric authentication with the certification device 101.
  • the feature vector is not stored as it is in the authentication apparatus 102 but is stored in an encrypted state. Therefore, for the user, the feature vector that is privacy information is stored in the authentication apparatus 102. There is an effect that it is possible to reduce the risk of being stolen by the administrator.
  • the authentication device 102 even if the encrypted feature vector leaks, the original feature vector itself does not leak, so the data management effort is reduced compared to storing the feature vector itself. There is an effect that can be done.
  • the decoding apparatus 103 can only decode the index value called similarity, and cannot decode the feature vector. Therefore, unless the certifying device 101 and the decryption device 103 collide, a feature vector does not appear in the authentication process, and thus there is an effect that biometric authentication can be performed while keeping biometric information secret.
  • the encryption feature vector is sent from the certification device 101 to the authentication device 102 during authentication, authentication processing can be performed between the authentication device 102 and the decryption device 103 thereafter.
  • N authentication there is no need to perform the number of times of communication proportional to the number of users between the certification device 101 and the authentication device 102, and the amount of communication can be reduced.
  • the encryption feature vector is sent from the certification device 101 to the authentication device 102 during authentication, authentication processing can be performed between the authentication device 102 and the decryption device 103 thereafter.
  • the biometric information acquired on the proving device 101 can be immediately deleted. Therefore, there is an effect that the chance of the theft of the biometric information in the proving device 101 can be reduced.
  • three-dimensional is merely an example, and need not be three-dimensional.
  • it can be implemented in two dimensions, and can be implemented in four or more dimensions.
  • the vector of w 3 and w ⁇ 3 appearing in this embodiment may be removed. By doing this, there is an effect that the amount of calculation at the time of registration or authentication of biometric information can be reduced.
  • it is only necessary to make the increased vector have the same function as w 2 , w 3 , w ⁇ 2 , w ⁇ 3 .
  • ⁇ u 2 , u 3 , u ⁇ 2 , u ⁇ 3 ⁇ is selected in step S709 during authentication, and is used in steps S712 and S713. This can be omitted. By doing so, the authentication procedure can be omitted, and the amount of calculation can be reduced.
  • Embodiment 2 FIG. In the first embodiment described above, an authentication method in which biometric authentication is performed using the number of matching feature points as an evaluation index has been disclosed. Next, an authentication method in which biometric authentication is performed based on the Hamming distance or the Euclidean square distance of the feature vector State.
  • a configuration example of the biometric authentication system according to the present embodiment is also as shown in FIG. Also, internal configuration examples of the certification device 101, the authentication device 102, and the decryption device 103 according to the present embodiment are as shown in FIGS.
  • T arrays are prepared as in the first embodiment, and thereby feature vectors are configured.
  • the Hamming distance or Euclidean square distance between the two feature vectors is used as an index of similarity.
  • the Hamming distance between the two feature vectors is given by Equation 15 (where b i , b ′ i ⁇ ⁇ 0, 1 ⁇ ), and the Euclidean square distance between the two feature vectors is given by Equation 16. .
  • the parameter generation method in the present embodiment is the same as that in FIG.
  • FIG. 10 is a flowchart showing a procedure for registering biometric information in the certification device 101.
  • Steps S1001 and S1002 are the same as those in the first embodiment. However, note that b i ⁇ ⁇ 0,1 ⁇ in the case of the Hamming distance, and b i ⁇ ⁇ 0,1,..., Q ⁇ 1 ⁇ in the case of the Euclidean square distance.
  • w 1 , w 2 , w 3 and w ⁇ 1 , w ⁇ 2 , w ⁇ 3 are distributed from the decryption apparatus 103 as part of the public key (W and W ⁇ ).
  • a communication tampering detection technique such as SSL.
  • Steps S1101 and S1102 are the same as those in the first embodiment. However, it should be noted that b ′ i ⁇ ⁇ 0, 1 ⁇ in the case of the Hamming distance and b ′ i ⁇ ⁇ 0, 1,..., Q ⁇ 1 ⁇ in the case of the Euclidean square distance.
  • a communication tampering detection technique such as SSL.
  • the encrypted biometric information of a large number of users is stored in the storage unit 301, and ID information given separately is used as to which one is to be extracted.
  • step S1109 the random number generation unit 203 of the authentication apparatus 102 extracts a value four times uniformly from an integer from 0 to q ⁇ 1, and ⁇ u 2 , u 3 , u ⁇ 2 , u ⁇ 3 ⁇ .
  • step S ⁇ b> 1112 the encryption similarity generation unit 302 of the authentication device 102 calculates E according to Equation 17.
  • step S 1113 the encryption similarity generation unit 302 of the authentication device 102 calculates E ⁇ according to Equation 18.
  • step S ⁇ b> 1114 the communication unit 206 of the authentication apparatus 102 transmits (d 1 ,..., D T , d ⁇ 1 ,..., D ⁇ T ..., E, E ⁇ ) to the decryption apparatus 103.
  • a communication tampering detection technique such as SSL.
  • (d 1 ,..., D T , d ⁇ 1 ,..., D ⁇ T ..., E, E ⁇ ) is an example of the encryption similarity information.
  • Embodiment 3 As described above, in Embodiment 1 and Embodiment 2, the method of performing biometric authentication using the Okamoto-Takashima cipher is disclosed. Next, BGN (Boneh-Goh-Nissim) shown in Non-Patent Document 2 is disclosed. A method for performing biometric authentication using cryptography is disclosed. A configuration example of the biometric authentication system according to the present embodiment is also as shown in FIG. Also, internal configuration examples of the certification device 101, the authentication device 102, and the decryption device 103 according to the present embodiment are as shown in FIGS.
  • BGN encryption consists of three algorithms: key generation, encryption, and decryption.
  • the encryption algorithm is as follows.
  • the plaintext space is ⁇ 0, 1,..., L ⁇ . Choose r uniformly at random from ⁇ 0, 1,..., N ⁇ 1 ⁇ .
  • ciphertext for x E a (x) E (x) and g x h r.
  • a method of performing biometric authentication using such BGN encryption will be described.
  • a feature vector construction method similar to that of the first embodiment is employed. That is, an array of feature points is prepared as a feature vector used in biometric authentication, and 1 is stored in the array when the user has the feature point, and 0 is stored in the array when the user does not have the feature point, and the array is used as the feature vector.
  • An example of an authentication method will be described in which the number of locations where 1 matches is used as an index of similarity during authentication.
  • FIG. 13 is a flowchart showing a procedure for generating a public key and a secret key in the parameter generation unit 401.
  • step S1301 the parameter generator 401, a prime number p, q, the group G, define the G T.
  • the prime number is determined according to the security level, since the product of the prime numbers p and q is a group number, the prime number is normally a large prime number such as 1024 bits or 2048 bits so that prime factorization cannot be performed.
  • biometric information registration method Next, a biometric information registration method will be described with reference to FIG.
  • a case where the user registers biometric information in the authentication device 102 via the certification device 101 will be described.
  • biometric information is registered directly on the authentication device 102 or through a dedicated device for registration. The same procedure can be used when registering.
  • FIG. 14 is a flowchart showing a procedure for registering biometric information in the certification device 101.
  • the biometric information extraction unit 201 extracts the biometric information of the user.
  • the pattern is extracted by applying light to the fingerprint and reading the pattern with a sensor.
  • FIG. 15, FIG. 16, and FIG. 17 are flowcharts showing a procedure for performing authentication.
  • step S1501 the biometric information extraction unit 201 of the certification device 101 extracts the biometric information of the user.
  • the extraction method is the same as that when biometric information is registered.
  • the formation method is the same as that when biometric information is registered.
  • a communication tampering detection technique such as SSL.
  • step S1508 the random number generation unit 305 of the authentication apparatus 102 extracts a value uniformly from an integer from 0 to N ⁇ 1 and sets it to s.
  • step S 1509 the encryption similarity generation unit 302 of the authentication device 102 calculates E according to Equation 19.
  • step S1510 the communication unit 304 of the authentication device 102 transmits E to the decryption device 103. At that time, it is desirable to prevent tampering in the middle of communication using a communication tampering detection technique such as SSL.
  • E is encryption similarity information.
  • step S1511 the communication unit 404 of the decryption apparatus 103 receives E.
  • step S 1512 the decryption unit 402 of the decryption device 103 extracts the secret key p from the storage unit 403.
  • step S1514 the decoding unit 402 of the decoding device 103 calculates a discrete logarithm d of Z with e (g, g) p as the base. Also in this embodiment, the discrete logarithm d corresponds to the similarity.
  • step S1515 the communication unit 404 of the decryption device 103 transmits d to the authentication device 102. At that time, it is desirable to prevent tampering in the middle of communication using a communication tampering detection technique such as SSL.
  • step S1516 the communication unit 304 of the authentication device 102 receives the similarity d.
  • the determination unit 303 determines whether the similarity d is greater than or equal to a threshold value.
  • This threshold is a value determined in advance by the system in consideration of various factors such as the type of biometric information to be used and safety requirements. If it is equal to or greater than the threshold value, it is determined that the encrypted biometric information sent from the certification device 101 belongs to the person specified by the ID. On the other hand, if it is less than the threshold value, it is determined that the encrypted biometric information sent from the proving apparatus 101 is not that of the person specified by the ID but that of the other person.
  • the authentication device 102 can perform biometric authentication with the certification device 101.
  • the number of public keys and secret keys can be reduced as compared with the first embodiment.
  • Embodiment 4 FIG.
  • an authentication method is disclosed in which the inner product of feature vectors is calculated and biometric authentication is performed using the calculated value.
  • authentication is performed in which biometric authentication is performed using the Hamming distance or Euclidean square distance of the feature vector. Describe the method.
  • a configuration example of the biometric authentication system according to the present embodiment is also as shown in FIG.
  • internal configuration examples of the certification device 101, the authentication device 102, and the decryption device 103 according to the present embodiment are as shown in FIGS.
  • steps S1801 to S1808 are the same as those in the third embodiment, description thereof is omitted.
  • step S1809 the encryption similarity generation unit 302 of the authentication device 102 calculates E according to Equation 20.
  • the biometric authentication method using the double homomorphic encryption has been disclosed from the first embodiment to the fourth embodiment.
  • this is not limited to the biometric authentication and can be applied to the pattern matching field. That is, according to the authentication method shown in Embodiment 1-4, it is possible to determine the similarity of data while the data is encrypted. Therefore, it is possible to perform image search, moving image search, voice search, etc. with the data encrypted.
  • biometric authentication is realized while biometric information is encrypted by using biometric authentication and double homomorphic encryption.
  • biometric authentication and double homomorphic encryption conventionally, since normal homomorphic encryption was used, it was not possible to perform authentication processing while all the encryption was performed. Therefore, there is a problem that the amount of communication between the user and the authentication device is increased in the authentication process.
  • double homomorphic encryption it is possible to perform the authentication process while all the encryption is performed. Therefore, an effect that the amount of communication between the user and the authentication device can be reduced is produced.
  • the combination of this biometric authentication and double homomorphic encryption has the effect of realizing biometric authentication that is safe and has high communication efficiency.
  • FIG. 25 is a diagram illustrating an example of hardware resources of the certification device 101, the authentication device 102, and the decryption device 103 according to Embodiment 1-4. Note that the configuration in FIG. 25 is merely an example of the hardware configuration of the certification device 101, the authentication device 102, and the decryption device 103. The hardware configuration of the certification device 101, the authentication device 102, and the decryption device 103 is shown in FIG. The configuration described above is not limited, and other configurations may be used.
  • the certification device 101, the authentication device 102, and the decryption device 103 include a CPU 911 (also referred to as a central processing unit, a central processing unit, a processing unit, an arithmetic unit, a microprocessor, a microcomputer, and a processor) that executes a program. Yes.
  • the CPU 911 is connected to, for example, a ROM (Read Only Memory) 913, a RAM (Random Access Memory) 914, a communication board 915, a display device 901, a keyboard 902, a mouse 903, and a magnetic disk device 920 via a bus 912. Control hardware devices.
  • the CPU 911 may be connected to an FDD 904 (Flexible Disk Drive), a compact disk device 905 (CDD), and a printer device 906.
  • the certification device 101 is connected to a reading device 907 for reading biometric information.
  • a storage device such as an optical disk device or a memory card (registered trademark) read / write device may be used.
  • the RAM 914 is an example of a volatile memory.
  • the storage media of the ROM 913, the FDD 904, the CDD 905, and the magnetic disk device 920 are an example of a nonvolatile memory. These are examples of the storage device.
  • the “storage unit” described in the embodiment 1-4 is realized by the RAM 914, the magnetic disk device 920, and the like.
  • a communication board 915, a keyboard 902, a mouse 903, a reading device 907, an FDD 904, and the like are examples of input devices.
  • the communication board 915, the display device 901, the printer device 906, and the like are examples of output devices
  • the communication board 915 may be connected to, for example, a LAN (Local Area Network), the Internet, a WAN (Wide Area Network), a SAN (Storage Area Network), etc., in addition to being connected to other devices.
  • LAN Local Area Network
  • WAN Wide Area Network
  • SAN Storage Area Network
  • the magnetic disk device 920 stores an operating system 921 (OS), a window system 922, a program group 923, and a file group 924.
  • the programs in the program group 923 are executed by the CPU 911 using the operating system 921 and the window system 922.
  • the RAM 914 temporarily stores at least part of the operating system 921 program and application programs to be executed by the CPU 911.
  • the RAM 914 stores various data necessary for processing by the CPU 911.
  • the ROM 913 stores a BIOS (Basic Input Output System) program
  • the magnetic disk device 920 stores a boot program.
  • BIOS Basic Input Output System
  • the BIOS program in the ROM 913 and the boot program in the magnetic disk device 920 are executed, and the operating system 921 is activated by the BIOS program and the boot program.
  • the program group 923 stores programs that execute the functions described as “ ⁇ unit” (other than “storage unit”, the same applies below) in the description of Embodiment 1-4.
  • the program is read and executed by the CPU 911.
  • Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 911 via a read / write circuit, and extracted, searched, referenced, compared, and calculated. Used for CPU operations such as calculation, processing, editing, output, printing, and display.
  • Information, data, signal values, variable values, and parameters are stored in the main memory, registers, cache memory, and buffers during the CPU operations of extraction, search, reference, comparison, calculation, processing, editing, output, printing, and display. It is temporarily stored in a memory or the like.
  • the arrows in the flowchart described in the embodiment 1-4 mainly indicate input / output of data and signals.
  • the data and signal values are the RAM 914 memory, the FDD 904 flexible disk, the CDD 905 compact disk, and the magnetic field. Recording is performed on a recording medium such as a magnetic disk of the disk device 920, other optical disks, mini disks, DVDs, and the like. Data and signals are transmitted online via a bus 912, signal lines, cables, or other transmission media.
  • ⁇ unit in the description of Embodiment 1-4 may be “ ⁇ circuit”, “ ⁇ device”, “ ⁇ equipment”, and “ ⁇ step”, It may be “ ⁇ procedure” or “ ⁇ processing”. That is, what is described as “ ⁇ unit” may be realized by firmware stored in the ROM 913. Alternatively, it may be implemented only by software, only hardware such as elements, devices, substrates, wirings, etc., or a combination of software and hardware, and further a combination of firmware. Firmware and software are stored as programs in a recording medium such as a magnetic disk, a flexible disk, an optical disk, a compact disk, a mini disk, and a DVD.
  • the program is read by the CPU 911 and executed by the CPU 911. That is, the program causes the computer to function as “ ⁇ unit” in the embodiment 1-4. Alternatively, the procedure and method of “ ⁇ unit” in Embodiment 1-4 are executed by a computer.
  • the certification device 101, the authentication device 102, and the decryption device 103 shown in the embodiment 1-4 include a CPU that is a processing device, a memory that is a storage device, a magnetic disk, and a keyboard, a mouse, and a communication board that are input devices.
  • the computer includes a display device, a communication board, and the like as an output device, and implements the functions indicated as “ ⁇ unit” using the processing device, the storage device, the input device, and the output device as described above.

Abstract

　証明装置１０１が、復号装置１０３にて秘密鍵と対応付けられている公開鍵と、乱数を用いて登録用の特徴ベクトルを暗号化し、登録用の暗号化特徴ベクトルを認証装置１０２に登録し、認証時には、証明装置が認証用の特徴ベクトルを前記公開鍵と乱数を用いて暗号化し、認証装置が、２つの暗号化特徴ベクトルが暗号化された状態のままで、復号装置において前記秘密鍵を用いた復号処理により２つの特徴ベクトル間の類似度を導出可能な暗号化類似度情報を生成し、復号装置１０３が暗号化類似度情報を復号して平文の類似度を導出し、認証装置１０２では、類似度がしきい値以上であれば本人と判定し、平文の特徴ベクトルを用いることなく類似度を導出でき、平文の窃取の可能性の低い安全な本人認証を実現する。

Description

データ処理装置
　本発明は、生体情報等を用いて本人認証を行う認証技術に関する。
　指紋認証や静脈認証などの生体認証は、指紋の紋様や静脈の形が個人ごとに異なることを利用して個人識別を行う仕組みのことである。
　近年はビルの入退室管理やパーソナルコンピュータのログイン管理、銀行ＡＴＭ（Ａｕｔｏｍａｔｅｄ　Ｔｅｌｌｅｒ　Ｍａｃｈｉｎｅ）での本人認証などのアクセス管理に用いられている。
　生体認証においては、ユーザ（被認証者あるいは証明者）と認証装置（認証者）の間で以下のようにして認証を行うのが一般的である。
　あらかじめ登録段階において、ユーザが自分の生体情報を認証装置に登録しておく。
　そして認証時には、ユーザが認証装置に生体情報を提示する。
　認証装置は、登録されている生体情報と提示された生体情報とを照合し、その類似度がある条件を満たしていればユーザ本人であると判断し、条件を満たしていなければ他人であると判断する。
　このような生体認証において、生体情報は個人を特徴付けるプライバシー情報であるため保護されることが望ましい。
　そこで、登録時に生体情報を暗号化して登録し、認証時にも生体情報を暗号化して照合を行うことで、生体情報そのものを露わにすることなく生体認証を行う方法が提案されている（例えば特許文献１）。
　また、生体情報の暗号化に利用可能な暗号アルゴリズムとして、例えば、非特許文献１－４に開示の暗号アルゴリズムが考えられる。
特表２００８－５２１０２５号公報
Ｔ．Ｏｋａｍｏｔｏ、Ｋ．Ｔａｋａｓｈｉｍａ、"Ｈｏｍｏｍｏｒｐｈｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ａｎｄ　ｓｉｇｎａｔｕｒｅｓ　ｆｒｏｍ　ｖｅｃｔｏｒ　ｄｅｃｏｍｐｏｓｉｔｉｏｎ"、Ｐａｉｒｉｎｇ　２００８、Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ、　Ｖｏｌ．５２０９、　ｐｐ．５７－７４、　２００８． Ｄ．Ｂｏｎｅｈ、Ｅ．－Ｊ．Ｇｏｈ、Ｋ．Ｎｉｓｓｉｍ、　"Ｅｖａｌｕａｔｉｎｇ　２－ＤＮＦ　ｆｏｒｍｕｌａｓ　ｏｎ　ｃｉｐｈｅｒｔｅｘｔｓ"、　Ｔｈｅｏｒｙ　Ｏｆ　Ｃｒｙｐｔｏｇｒａｐｈｙ　Ｃｏｎｆｅｒｅｎｃｅ、　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ、　Ｖｏｌ．３３７８、　ｐｐ．３２５－３４１、　２００５． Ｃ．Ｇｅｎｔｒｙ、　"Ｆｕｌｌｙ　ｈｏｍｏｍｏｒｐｈｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ｕｓｉｎｇ　ｉｄｅａｌ　ｌａｔｔｉｃｅｓ"、　ＡＣＭ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｔｈｅｏｒｙ　Ｏｆ　Ｃｏｍｐｕｔｉｎｇ、　ｐｐ．１６９－１７８、　２００９． Ｄ．Ｆｒｅｅｍａｎ、Ｍ．Ｓｃｏｔｔ、Ｅ．Ｔｅｓｋｅ、　"Ａ　ｔａｘｏｎｏｍｙ　ｏｆ　ｐａｉｒｉｎｇ－ｆｒｉｅｎｄｌｙ　ｅｌｌｉｐｔｉｃ　ｃｕｒｖｅｓ"、　Ｊｏｕｒｎａｌ　Ｏｆ　Ｃｒｙｐｔｏｌｏｇｙ、２００９年６月．
　特許文献１では、公開鍵暗号技術を用いた暗号化により生体情報の保護を図っているが、生体情報を暗号化する際、暗号アルゴリズムとしてＰａｉｌｌｉｅｒ暗号やＥｌＧａｍａｌ暗号などの通常の準同型暗号を用いている。
　ここで通常の準同型暗号とは、例えばＴ個の暗号文Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ）を用いて暗号文Ｅ（ｘ１＋ｘ２＋．．．＋ｘＴ）が計算できるというように、複数の暗号文から元の平文の和の暗号文が計算できるような暗号である。
　ここでＥ（ｘ１）はある公開鍵を用いて生成したｘ１の暗号文を表す。
　なお、上記では加算を例に挙げたが、正確に定義すると、ここでいう通常の準同型暗号とは、複数の暗号文から元の平文に対してある１種類の演算を施した暗号文が計算できるような暗号である。
　演算の種類としては、有限体における加法や乗法などの種類があるが、いずれにしても１種類のみの演算が可能な暗号である。
　しかし、このような通常の準同型暗号を用いた場合、認証時の計算過程において、暗号化した生体情報だけですべての処理を完結させることはできず、平文の生体情報を必要とする箇所が存在していた。
　例えば、特許文献１に記載の認証方法の場合、類似度判定の指標として、生体情報から生成された特徴ベクトルのハミング距離（すなわち、ベクトルを構成するビット列同士のハミング距離）を利用し、以下のような手順で秘匿照合処理を行っていた。
　なお、ここでは、ユーザは認証装置に直接アクセスするのではなく、証明装置にアクセスし、証明装置が認証装置との間で通信を行って、生体情報の登録処理および認証処理を行うものとする。
　つまり、生体情報を用いたリモートログインをも含めたより一般的な生体認証方式を想定する。
　また、暗号化時には、システム共通の公開鍵を用いて暗号化を行うものとする。
　登録時、証明装置はユーザから生体情報を抽出し、抽出した生体情報からユーザの特徴を表す特徴ベクトルを構成する。
　この特徴ベクトルをビット列Ｘ＝（ｘ１，ｘ２，．．．，ｘＴ）とする。
　証明装置は、抽出した特徴ベクトルを、Ｐａｉｌｌｉｅｒ暗号を用いてビットごとに暗号化して暗号化ビット列Ｅ（Ｘ）＝（Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ））を計算し、認証装置に送付して登録する。
　認証時、証明装置は登録時と同様にユーザから生体情報ビット列Ｙ＝（ｙ１，ｙ２，．．．，ｙＴ）を抽出する。
　その上で、登録しておいた暗号化ビット列Ｅ（Ｘ）＝（Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ））を認証装置から受け取る。
　ここで証明装置は、ビット列ＸとＹのハミング距離ｄＨ（Ｘ，Ｙ）の暗号文を算出するに際して、準同型暗号の以下の性質（数１）を利用する。
Figure JPOXMLDOC01-appb-M000001
　ここで、第２式から第３式への移行は、ｘ１，ｙ１が０、１の二値しかとらないことによる。
　また、第３式から第４式への移行は、Ｐａｉｌｌｉｅｒ暗号が通常の準同型暗号であり、暗号文同士の積により元の平文の和の暗号文が得られるという性質による。
　この性質を利用して、証明装置は、認証装置から受け取った暗号化ビット列Ｅ（Ｘ）＝（Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ））と、生体情報ビット列Ｙ＝（ｙ１，ｙ２，．．．，ｙＴ）を用いて以下の値を計算し（数２）、認証装置に送付する。
Figure JPOXMLDOC01-appb-M000002
　認証装置では、受け取った値に以下の値（数３）を掛け合わせ、暗号化ハミング距離Ｅ（ｄＨ（Ｘ，Ｙ））を計算する。
　そして、セキュアプロトコルを用いてハミング距離を復号し、類似度判定を行う。
Figure JPOXMLDOC01-appb-M000003
　このように、Ｐａｉｌｌｉｅｒ暗号などの通常の準同型暗号を用いた場合には、－２ｘｉｙｉの暗号文を計算する際にＥ（ｘｉ）－２ｙｉと計算するため、指数部分に平文ｙｉが必要である。
　つまり、準同型暗号の本質上、すべてを暗号文で処理することはできない。
　そのため、一旦認証装置から証明装置に暗号化生体情報Ｅ（Ｘ）＝（Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ））を送付し、証明装置が平文ｙｉを用いた計算を行う必要がある。
　この暗号化生体情報の送付に際しては、認証の対象となるユーザが別途ＩＤ情報などによって特定されているいわゆる１：１認証の場合には１人分の送付でよいが、認証の対象となるユーザが特定されておらず、データベースに格納された多くのユーザとの照合を必要とするいわゆる１：Ｎ認証の場合には、ユーザ数に比例した送付が必要となる。
　そのため、ユーザ数に比例して認証装置と証明装置との間の通信量が増大するという課題がある。
　また、証明装置から平文の生体情報をできるだけ早く消去することがセキュリティの観点から望ましい。
　しかし、上記のように認証に平文の生体情報が必要なため、特に１：Ｎ認証においては認証が完了するまで端末上の生体情報を消去できず、窃取の危険により長くさらされてしまうという課題がある。
　本発明は、上記のような課題を解決することを主な目的の一つとし、認証処理の過程において必要であった平文を不要とし、平文の窃取の機会を減少させ、それによってより安全性の高い秘匿照合方法を提供することを主な目的とする。
　また、認証装置と証明装置との間の通信量を低減させることも目的とする。
　本発明に係るデータ処理装置は、
　二重準同型暗号アルゴリズムに基づいて復号装置において生成され、前記復号装置から配布された公開鍵を記憶する公開鍵記憶部と、
　前記復号装置から配布された前記公開鍵を保有する暗号装置が保有する前記公開鍵を用いて暗号化した第１データを暗号化第１データとして記憶する暗号化データ記憶部と、
　前記暗号化第１データが前記暗号化データ記憶部に記憶された後に前記暗号装置が保有する前記公開鍵を用いて暗号化した第２データを暗号化第２データとして入力する暗号化データ入力部と、
　前記公開鍵の少なくとも一部を用いて、乱数を生成する乱数生成部と、
　前記暗号化第１データと前記暗号化第２データに対して前記公開鍵記憶部に記憶されている前記公開鍵と前記乱数生成部により生成された乱数を用いた演算を行って、前記暗号化第１データと前記暗号化第２データがそれぞれ暗号化された状態のままで、前記公開鍵に対応付けられて生成された秘密鍵を用いた復号処理により前記第１データと前記第２データとの間の類似度を導出可能な暗号化された情報を暗号化類似度情報として生成する暗号化類似度生成部とを有することを特徴とする。
　本発明によれば、暗号化第１データと暗号化第２データがそれぞれ暗号化された状態のままで、公開鍵に対応付けられて生成された秘密鍵を用いた復号処理により第１データと第２データとの間の類似度を導出可能な暗号化類似度情報を生成するので、平文である第１データと第２データを用いることなく第１データと第２データの類似度を導出することができ、平文の窃取の可能性の低い安全な本人認証を実現することができる。
実施の形態１に係る生体認証システムの構成例を示す図。 実施の形態１に係る証明装置の構成例を示す図。 実施の形態１に係る認証装置の構成例を示す図。 実施の形態１に係る復号装置の構成例を示す図。 実施の形態１に係るセットアップ処理の例を示すフローチャート図。 実施の形態１に係る生体情報の登録処理の例を示すフローチャート図。 実施の形態１に係る認証処理の例を示すフローチャート図。 実施の形態１に係る認証処理の例を示すフローチャート図。 実施の形態１に係る認証処理の例を示すフローチャート図。 実施の形態２に係る生体情報の登録処理の例を示すフローチャート図。 実施の形態２に係る認証処理の例を示すフローチャート図。 実施の形態２に係る認証処理の例を示すフローチャート図。 実施の形態３に係るセットアップ処理の例を示すフローチャート図。 実施の形態３に係る生体情報の登録処理の例を示すフローチャート図。 実施の形態３に係る認証処理の例を示すフローチャート図。 実施の形態３に係る認証処理の例を示すフローチャート図。 実施の形態３に係る認証処理の例を示すフローチャート図。 実施の形態４に係る認証処理の例を示すフローチャート図。 実施の形態４に係る認証処理の例を示すフローチャート図。 実施の形態４に係る認証処理の例を示すフローチャート図。 実施の形態１に係るセットアップ処理の概要を示すフローチャート図。 実施の形態１に係る生体情報の登録処理の概要を示すフローチャート図。 実施の形態１に係る認証処理の概要を示すフローチャート図。 実施の形態１に係る認証処理の概要を示すフローチャート図。 実施の形態１に係る証明装置、認証装置、復号装置のハードウェア構成例を示す図。
　以下に示す実施の形態では、生体情報を保護するための暗号方式として、通常の準同型暗号ではなく、二重準同型暗号（Ｄｏｕｂｌｙ　Ｈｏｍｏｍｏｒｐｈｉｃ　Ｅｎｃｒｙｐｔｉｏｎ）と呼ばれる暗号を用いる。
　ここで二重準同型暗号とは、通常の準同型暗号とは異なり、例えば２Ｔ個の暗号文Ｅ（ｘ１），Ｅ（ｘ２），．．．，Ｅ（ｘＴ），Ｅ（ｙ１），Ｅ（ｙ２），．．．，Ｅ（ｙＴ）を用いて暗号文Ｅ（ｘ１＊ｙ１＋ｘ２＊ｙ２＋．．．＋ｘＴ＊ｙＴ）が計算できるというように、複数の暗号文から元の平文の有限体上の和と積を組み合わせた暗号文を計算できる暗号である。
　つまり、以下に示す実施の形態では、登録用の生体情報はＴ（Ｔは２以上の整数）個の部分データから構成され、認証用の生体情報はＴ（Ｔは２以上の整数）個の部分データから構成される。
　そして、登録されているＴ個の部分データと、認証用として入力されたＴ個の部分データにおいて値が一致する部分データの数やハミング距離等を類似度として導出して、類似度が所定レベル以上であれば本人であると認証する。
　二重準同型暗号の具体的なアルゴリズムとしては、例えば非特許文献１から非特許文献３に開示のアルゴリズムがある。
　生体認証においてこれらの二重準同型暗号を利用するには、生体情報から特徴ベクトルを生成する方法と、特徴ベクトルに対する二重準同型暗号の適用方法とにそれぞれ工夫を加える必要がある。
　生体認証では、本人判定をするための指標に様々な種類があり、それに応じて特徴ベクトルの生成方法にも様々な種類がある。
　しかし、二重準同型暗号の特性を生かして平文の特徴ベクトルを認証処理時に不要とするためには、本人判定の指標をそのまま用いてもよいというわけではない。
　以下の実施の形態では、特徴点の有無を１，０のビット列で表現し、１のビットが一致した箇所の数の多さを指標とすることにより本人判定をする方法、ビット列同士のハミング距離を指標とすることにより本人判定をする方法、数値列同士のユークリッド二乗距離を指標とすることにより本人判定をする方法、を開示する。
　また、本人判定の方法に合わせて各文献の暗号の適用方法を工夫する必要もある。
　本発明では、実施の形態１および実施の形態２において非特許文献１の適用方法を開示し、実施の形態３および実施の形態４において非特許文献２の適用方法を開示する。
　ここで、非特許文献１の岡本－高島暗号のアルゴリズムを、実施の形態１および実施の形態２の説明に必要となる範囲に限って説明する。
　岡本－高島暗号は、楕円曲線を用いて定義される双対ペアリングベクトル空間を用いた暗号である。
　この双対ペアリングベクトル空間を構成する方法は複数考えられるが、ここでは楕円曲線の直積により構成する方法に基づいて説明する。
　なお、楕円曲線上の群の演算は一般に加法群の演算として記述されることが多いが、ここでは有限体上の演算も含めすべて乗法群として記述する。
　また、非対称ペアリングを用いたより一般的な方式に従って記述する。
　Ｇ、Ｇ＾、ＧＴをそれぞれ素数位数ｑの群とする。
　Ｆｑ＝｛０，１，…，ｑ－１｝とする。
　ｅ：Ｇ×Ｇ＾→ＧＴを、双線型性（任意のｕ∈Ｇ，ｖ＾∈Ｇ＾，ａ，ｂ∈Ｆｑに対してｅ（ｕａ，ｖ＾ｂ）＝ｅ（ｕ，ｖ＾）ａｂとなる性質）および非退化性（ｅ（ｇ，ｇ＾）≠１であるようなｇ∈Ｇ，ｇ＾∈Ｇ＾が存在する性質）を満たすペアリングとする。
　Ｎ個の群Ｇの直積集合をＶ＝Ｇ×Ｇ×…×Ｇ、同じくＮ個の群Ｇ＾の直積集合をＶ＾＝Ｇ＾×Ｇ＾×…×Ｇ＾とする。
　このとき、数４に示す関係が成り立つ。
Figure JPOXMLDOC01-appb-M000004
　２つのベクトル空間Ｖ，Ｖ＾のペアリングとして、
　ｕ＝（ｕ１，ｕ２，…，ｕＮ）∈Ｖ，ｖ＾＝（ｖ＾１，ｖ＾２，…，ｖ＾Ｎ）∈Ｖ＾に対するペアリングを、数５のように定義する。
Figure JPOXMLDOC01-appb-M000005
　ベクトル空間Ｖ，Ｖ＾において、数６に示す関係が成り立つ。
Figure JPOXMLDOC01-appb-M000006
　ｘ＝ｘ１ａ１＋ｘ２ａ２＋…＋ｘＮａＮ∈Ｖとする。
　ベクトル空間Ｖにおけるディストーション写像φｉ，ｊ：Ｖ→Ｖを、φｉ，ｊ（ｘ）＝ｘｊａｉと定義する。
　同様に、ｘ＾＝ｘ１ａ＾１＋ｘ２ａ＾２＋…＋ｘＮａ＾Ｎ∈Ｖ＾に対し、φ＾ｉ，ｊ：Ｖ＾→Ｖ＾を、φ＾ｉ，ｊ（ｘ＾）＝ｘｊａ＾ｉと定義する。
　このようなディストーション写像は容易に計算可能である。
　このように、標準基底があり、空間同士のペアリングが定義され、計算可能なディストーション写像が定義された２つのベクトル空間を双対ペアリングベクトル空間という。
　Ｘ＝（Ｘｉ，ｊ），Ｘ＾＝（Ｘ＾ｉ，ｊ）を、各要素がＦｑから一様ランダムに選ばれた値で構成されるＮ行Ｎ列の正方行列とする。
　このように構成したＸ，Ｘ＾はきわめて高い確率で正則行列となる。
　このような正則行列を用いて、数７に示すように定義すると、Ｗ＝（ｗ１，ｗ２，…，ｗＮ），Ｗ＾＝（ｗ＾１，ｗ＾２，…，ｗ＾Ｎ）もまた基底となる。この基底をランダム基底と呼ぶ。
Figure JPOXMLDOC01-appb-M000007
　非特許文献１によれば、ベクトル空間Ｖ，Ｖ＾におけるランダム基底Ｗ＝（ｗ１，ｗ２，…，ｗＮ），Ｗ＾＝（ｗ＾１，ｗ＾２，…，ｗ＾Ｎ）に関して、以下の性質が成り立つ。
　ＦＮ ｑの要素（ｘ１，ｘ２，…，ｘＮ）が与えられたとき、ｘ＝ｘ１ｗ１＋ｘ２ｗ２＋…＋ｘＮｗＮ，ｘ＾＝ｘ１ｗ＾１＋ｘ２ｗ＾２＋…＋ｘＮｗ＾Ｎを得ることは容易である。
　しかし、ｘ＝ｘ１ｗ１＋ｘ２ｗ２＋…＋ｘＬｗＬ，ｘ＾＝ｘ１ｗ＾１＋ｘ２ｗ＾２＋…＋ｘＬｗ＾Ｌ（１＜Ｌ≦Ｎ）が与えられたときに、Ｘ＝（Ｘｉ，ｊ），Ｘ＾＝（Ｘ＾ｉ，ｊ）を用いずしてベクトルｙ＝ｘ１ｗ１＋ｘ２ｗ２＋…＋ｘｌｗｌ，ｙ＾＝ｘ１ｗ＾１＋ｘ２ｗ＾２＋…＋ｘｌｗ＾ｌ（１≦ｌ＜Ｌ）を得ることは、一般化されたＤｉｆｆｉｅ－Ｈｅｌｌｍａｎ計算問題と同程度に難しいことが知られている。
　一方で、Ｘ＝（Ｘｉ，ｊ），Ｘ＾＝（Ｘ＾ｉ，ｊ）を用いるならば、以下のアルゴリズムＤｅｃｏ（数８）により上記のようなベクトル分解が容易に計算可能である。なお、数８中のｋは整数である。
Figure JPOXMLDOC01-appb-M000008
　この性質から、正則行列を秘密鍵とすることによりトラップドア関数が実現できる。
　以下、双対ペアリングベクトル空間を用いて、生体情報を暗号化したままで生体認証を行う方法の例を説明する。
　実施の形態１．
　本実施の形態では、生体認証で用いる特徴ベクトルとして、特徴点の配列を用意し、ユーザがその特徴点を保有する場合に１、特徴点を保有しない場合に０を配列に格納して、配列を特徴ベクトルとし、認証時には１が一致している箇所の数を類似度の指標とするような認証方式を例に説明する。
　より詳しく言うと、例えば指紋認証の場合、指紋画像を小領域に分割しその領域内で隆線の流れる方向を調べると、個人ごとに各領域における流れの方向に特徴が出る。
　そこで、例えば各領域について４つの流れの方向（０度、４５度、９０度、１３５度など）を定義しておき、検出した流れの方向を１、それ以外を０として、Ｎ個すべての領域について各４個の配列を用意し、検出値にしたがって配列値を定めることで特徴ベクトルとするような認証方式を考える。
　このような認証方式においては、同一人物の特徴ベクトルでは１の位置がほぼ同じであるため、登録した特徴ベクトルと認証対象の特徴ベクトルの内積値が大きくなることが期待される。
　一方、別人物の特徴ベクトルでは１の位置が本人のときよりも異なることが多いため、２つの特徴ベクトルの内積値が小さくなることが期待される。
　図１は、実施の形態１－４に係る生体認証システムの構成例を示す図である。
　図１において、証明装置１０１はユーザから生体情報を測定し、測定した生体情報を用いて秘匿照合処理を行う装置である。
　認証装置１０２は、ユーザの生体情報を暗号化して格納しておくとともに、格納した暗号化された生体情報を用いて認証を行う装置である。
　復号装置１０３は、暗号化データを復号する装置である。
　なお、証明装置１０１は暗号装置の例であり、認証装置はデータ処理装置の例である。
　図２は、証明装置１０１の内部構成の構成例を示す図である。
　図２において、生体情報抽出部２０１は、光学カメラ、赤外線カメラなどの各種センサを用いて、個人識別を行うのに必要となる生体情報をユーザから抽出する。
　特徴ベクトル形成部２０２は、生体情報抽出部２０１で抽出された生体情報から、個人の特徴を表す特徴ベクトルを形成する。
　乱数生成部２０３は、公開鍵の一部を用いて乱数を生成する。
　暗号化部２０４は、乱数生成部２０３が生成した乱数を用いて特徴ベクトルを暗号化する。
　記憶部２０５は、公開鍵などの各種データを格納する。記憶部２０５が記憶する公開鍵は、復号装置１０３で生成され、復号装置１０３から配布された公開鍵である。
　通信部２０６は、データベースなど他の装置との間でデータの送受信を行う。
　図３は、認証装置１０２の内部構成の構成例を示す図である。
　図３において、記憶部３０１は、暗号化された特徴ベクトル（以下、暗号化特徴ベクトルともいう）や公開鍵などの各種データを格納する。記憶部３０１は、公開鍵記憶部及び暗号化データ記憶部の例である。
　なお、記憶部３０１が記憶する暗号化特徴ベクトルは、証明装置１０１により暗号化された登録用の特徴ベクトルである。暗号化前の登録用の特徴ベクトルが第１データの例に相当し、暗号化特徴ベクトルが暗号化第１データの例に相当する。
　また、記憶部３０１が記憶する公開鍵は、復号装置１０３で生成され、復号装置１０３から配布された公開鍵である。
　暗号化類似度生成部３０２は、登録されている暗号化特徴ベクトルと、認証用の暗号化特徴ベクトルから、暗号化類似度情報を算出する。
　認証用の暗号化特徴ベクトルは、証明装置１０１により暗号化された認証用の特徴ベクトルである。暗号化前の認証用の特徴ベクトルが第２データの例に相当し、暗号化特徴ベクトルが暗号化第２データの例に相当する。
　また、暗号化類似度情報は、公開鍵に対応付けられて生成された秘密鍵を用いた復号処理により登録用の特徴ベクトル（第１データ）と認証用の特徴ベクトル（第２データ）との間の類似度を復号装置１０３において導出可能な暗号化された情報である。
　判定部３０３は、復号された類似度から個人識別を行い、本人か否かを判定する。
　つまり、判定部３０３は、類似度を解析して、認証用の特徴ベクトルの発生源が正当であるか否かを判定する。
　通信部３０４は、証明装置１０１や復号装置１０３との間でデータの送受信を行う。
　より具体的には、通信部３０４は、登録用の暗号化特徴ベクトルが記憶部３０１に格納された後に証明装置１０１から認証用の暗号化特徴ベクトルを受信する。
　また、通信部３０４は、暗号化類似度生成部３０２により生成された暗号化類似度情報を復号装置１０３に送信する。
　また、通信部３０４は、復号装置１０３において暗号化類似度情報に対して秘密鍵を用いた復号処理が行われて導出された登録用の特徴ベクトルと認証用の特徴ベクトルとの間の類似度（平文）を受信する。
　通信部３０４は、暗号化データ入力部、暗号化類似度出力部及び類似度入力部の例である。
　乱数生成部３０５は、公開鍵の一部を用いて乱数を生成する。
　図４は復号装置１０３の内部構成の構成例を示す図である。
　図４において、パラメータ生成部４０１は、公開鍵や秘密鍵など、暗号化と復号に必要なパラメータを生成する。
　復号部４０２は、暗号化類似度情報を復号し、平文の類似度を取り出す。
　記憶部４０３は、公開鍵や秘密鍵などの各種データを格納する。
　通信部４０４は、データベースなど他の装置との間でデータの送受信を行う。
　次に、本実施の形態に係るデータ処理方法を説明する。
　まず、動作の全体像を説明する。
　動作は、セットアップ処理、登録処理、認証処理の３つに分かれる。
　セットアップ処理では、復号装置１０３が、暗号化と復号に必要となるパラメータを生成する。
　登録処理では、証明装置１０１がユーザの生体情報を暗号化して認証装置１０２に送付し、認証装置１０２が記憶部３０１に格納する。
　認証処理では、まず証明装置１０１がユーザの生体情報を暗号化して認証装置１０２に送付する。次に、認証装置１０２が、記憶部３０１の暗号化生体情報と受領した暗号化生体情報を用いて暗号化類似度情報を生成し復号装置１０３に送付する。次に、復号装置１０３が類似度を復号し、認証装置１０２に復号された類似度を送付する。最後に認証装置１０２が類似度としきい値とを比較し、認証をする。
　以下、図２１－図２４を用いて、各処理の概要を説明する。
　図２１がセットアップ処理の概要を示し、図２２が登録処理の概要を示し、図２３及び図２４が認証処理の概要を示す。
　まず、図２１を参照して、セットアップ処理の概要を説明する。
　最初に、復号装置１０３のパラメータ生成部４０１が、岡本－高島暗号アルゴリズムに基づき、秘密鍵ｓｋと公開鍵ｐｋを生成する（Ｓ２１０１）。
　次に、復号装置１０３の記憶部４０３が秘密鍵ｓｋを記憶し、通信部４０４が公開鍵ｐｋを証明装置１０１及び認証装置１０２に送信する（Ｓ２１０２）。
　次に、証明装置１０１では、通信部２０６が公開鍵ｐｋを受信し、記憶部２０５が公開鍵ｐｋを記憶し、認証装置１０２では、通信部３０４が公開鍵ｐｋを受信し、記憶部３０１が公開鍵ｐｋを記憶する（Ｓ２１０２）。
　なお、ここでは、公開鍵ｐｋを送受信する例を説明しているが、証明装置１０１及び認証装置１０２に公開鍵ｐｋを配布する方法は他の方法でもよい。
　例えば、復号装置１０３が公開鍵ｐｋを記録媒体に格納し、証明装置１０１及び認証装置１０２において当該記録媒体から公開鍵ｐｋを読み出して格納するようにしてもよい。
　次に、図２２を参照して、登録処理の概要を説明する。
　最初に、証明装置１０１において、生体情報抽出部２０１が、ユーザの生体情報を抽出する（Ｓ２２０１）。
　次に、証明装置１０１の特徴ベクトル形成部２０２が、Ｓ２２０１で抽出された生体情報の特徴ベクトルｂを生成する（Ｓ２２０２）。
　次に、証明装置１０１の乱数生成部２０３が公開鍵ｐｋの一部を用いて乱数を生成し、また、暗号化部２０４が記憶部２０５から公開鍵ｐｋを読み出し、暗号化部２０４が公開鍵ｐｋと乱数を用いて特徴ベクトルｂを暗号化する（Ｓ２２０３）。
　次に、証明装置１０１の通信部２０６が、暗号化された特徴ベクトルＣを認証装置１０２に送信する（Ｓ２２０４）。
　次に、認証装置１０２の通信部３０４が、暗号化された特徴ベクトルＣを受信し、記憶部２０５が暗号化された特徴ベクトルＣを記憶する（Ｓ２２０５）。
　次に、図２３及び図２４を参照して、認証処理の概要を説明する。
　最初に、証明装置１０１において、生体情報抽出部２０１が、ユーザの生体情報を抽出する（Ｓ２３０１）。
　次に、証明装置１０１の特徴ベクトル形成部２０２が、Ｓ２３０１で抽出された生体情報の特徴ベクトルｂ’を生成する（Ｓ２３０２）。
　次に、証明装置１０１の乱数生成部２０３が公開鍵ｐｋの一部を用いて乱数を生成し、また、暗号化部２０４が記憶部２０５から公開鍵ｐｋを読み出し、暗号化部２０４が公開鍵ｐｋと乱数を用いて特徴ベクトルｂ’を暗号化する（Ｓ２３０３）。
　次に、証明装置１０１の通信部２０６が、暗号化された特徴ベクトルＣ＾を認証装置１０２に送信する（Ｓ２３０４）。
　次に、認証装置１０２の通信部３０４が、暗号化された特徴ベクトルＣ＾を受信する（Ｓ２３０５）。
　次に、認証装置１０２の暗号化類似度生成部３０２が、記憶部３０１の暗号化特徴ベクトルＣを読み出す（Ｓ２４０１）。
　次に、認証装置１０２の乱数生成部３０５が公開鍵ｐｋの一部を用いて乱数を生成し、また、暗号化類似度生成部３０２が記憶部３０１から公開鍵ｐｋを読み出し、暗号化類似度生成部３０２が記憶部３０１から読み出した暗号化特徴ベクトルＣと証明装置１０１から受信した暗号化特徴ベクトルＣ＾に対して、公開鍵ｐｋと乱数を用いて暗号化類似度情報を生成する（Ｓ２４０２）。
　認証装置１０２は、公開鍵ｐｋに対応付けられている秘密鍵ｓｋを知りえないので、暗号化特徴ベクトルＣ及び暗号化特徴ベクトルＣ＾を復号することはできない。このため、暗号化特徴ベクトルＣ及び暗号化特徴ベクトルＣ＾が暗号化された状態のままで、暗号化類似度情報が生成される。
　次に、認証装置１０２の通信部３０４が、暗号化類似度情報を復号装置１０３に送信する（Ｓ２４０３）。
　次に、復号装置１０３の通信部４０４が、暗号化類似度情報を受信する（Ｓ２４０４）。
　次に、復号装置１０３の復号部４０２が、パラメータ生成部４０１から秘密鍵ｓｋを読み出し、暗号化類似度情報に秘密鍵ｓｋを用いて復号処理を行い、平文の類似度を導出する（Ｓ２４０５）。
　次に、復号装置１０３の通信部４０４が、平文の類似度を認証装置１０２に送信する（Ｓ２４０６）。なお、類似度は、登録用の特徴ベクトルｂと認証用の特徴ベクトルｂ’がどの程度類似しているかを示す情報であり、類似度からは特徴ベクトル、生体情報を計算することはできない。
　次に、認証装置１０２の通信部３０４が、平文の類似度を受信する（Ｓ２４０７）。
　次に、認証装置１０２の判定部３０３が、平文の類似度が所定のしきい値以上であるか否かを判定し、しきい値以上であれば本人であると判定し、しきい値を下回っている場合は、本人ではないと判定する（Ｓ２４０８）。
　以下、図５－図９を参照して、各処理の動作をより詳しく説明する。
　図５がセットアップ処理の詳細を示し、図６が登録処理の詳細を示し、図７－図９が認証処理の詳細を示す。
　まず、図５を用いてセットアップについて説明する。
　セットアップでは、復号装置１０３が、公開鍵ｐｋおよび秘密鍵ｓｋを生成する。
　この公開鍵ｐｋおよび秘密鍵ｓｋは、ユーザごとに異なる公開鍵および秘密鍵であってもよいし、システムに１つの公開鍵および秘密鍵であってもよい。
　ここでは、説明を簡単にするために、システムに１つの公開鍵および秘密鍵を用いる場合について説明するが、これをユーザごとの公開鍵および秘密鍵の場合に拡張するのは容易である。
　図５は、パラメータ生成部４０１における公開鍵ｐｋ及び秘密鍵ｓｋの生成手順を示したフローチャートである。
　はじめに、ステップＳ５０１にて、パラメータ生成部４０１は、群位数ｑ、群Ｇ、Ｇ＾、ＧＴ、生成元ｇ∈Ｇ、ｇ＾∈Ｇ＾を定める。
　この具体的な方法は例えば非特許文献４にあるので、ここでは省略する。
　なお、群位数はセキュリティレベルに応じて定まるが、通常は２００ビットや１０２４ビットなどの大きなサイズの素数とする。
　次に、ステップＳ５０２にて、パラメータ生成部４０１は、ベクトル空間をＶ＝Ｇ×Ｇ×Ｇ、Ｖ＾＝Ｇ＾×Ｇ＾×Ｇ＾とし、標準基底Ａ＝（ａ１，ａ２，ａ３），Ａ＾＝（ａ＾１，ａ＾２，ａ＾３）を定める。
　この定め方はすでに述べたとおりである。
　次に、ステップＳ５０３にて、パラメータ生成部４０１は、０からｑ－１までの整数から一様ランダムに値を９回取り出し、それらを用いて３行３列の行列Ｘ＝（Ｘｉ，ｊ）を定める。
　この行列は正則行列でなければならないが、この方法で行列を定めることによりきわめて高い確率で正則行列になる。なお、より正確性を期すのであれば、このように行列を定めた後に行列式を計算するなどの方法により正則性を判定し、正則でなければ行列の要素を再度ランダムに選べばよい。
　次に、ステップＳ５０４にて、パラメータ生成部４０１は、０からｑ－１までの整数から一様ランダムに値を９回取り出し、それらを用いて３行３列の行列Ｘ＾＝（Ｘ＾ｉ，ｊ）を定める。
　この行列はきわめて高い確率で正則行列になるが、正則行列にならなかった場合には再度ランダムに選べばよい。
　次に、ステップＳ５０５にて、パラメータ生成部４０１は、以下の数９および数１０によりランダム基底Ｗ＝（ｗ１，ｗ２，ｗ３），Ｗ＾＝（ｗ＾１，ｗ＾２，ｗ＾３）を定める。
Figure JPOXMLDOC01-appb-M000009
Figure JPOXMLDOC01-appb-M000010
　最後に、ステップＳ５０６にて、パラメータ生成部４０１は、公開鍵ｐｋ＝（ｑ、Ｖ、Ｖ＾、ｅ、ＧＴ、Ａ、Ａ＾、Ｗ、Ｗ＾）を公開し、秘密鍵ｓｋ＝（Ｘ、Ｘ＾）を記憶部４０３に格納する。
　次に、図６を用いて、生体情報の登録方法を説明する。
　なお、ここではユーザが証明装置１０１を経由して認証装置１０２に生体情報を登録する場合について説明するが、認証装置１０２上で直接生体情報を登録する場合や、登録用の専用装置を経由して登録する場合などにおいても同様の手順により実現できる。
　図６は、証明装置１０１において生体情報を登録する手順を示したフローチャートである。
　はじめに、ステップＳ６０１にて、生体情報抽出部２０１が、ユーザの生体情報を抽出する。
　これには様々な方法があるが、例えば指紋に光を当てて紋様をセンサで読み取るといったことにより抽出する。
　次に、ステップＳ６０２にて、特徴ベクトル形成部２０２が、生体情報から特徴ベクトルｂ＝（ｂ１，ｂ２，…，ｂＴ）を形成する。
　ここでＴは特徴ベクトルを格納する配列の大きさであり、特徴ベクトルの形成方法によって決まる値である。
　本実施の形態の形成方法は、読み取った紋様を領域分割し、各領域で特徴点の有無を検出し、特徴点がある箇所の配列に１、ない箇所の配列に０を格納することにより特徴ベクトルを形成するという方法である。
　次に、ステップＳ６０３にて、乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を２Ｔ回取り出し、｛ｒ２，ｉ，ｒ３，ｉ｝ｉ＝１，２，…，Ｔとする。
　なお、ｑ－１のｑは、公開鍵ｐｋに含まれているｑである。
　次に、ステップＳ６０４にて、暗号化部２０４が、ｃｉ＝ｂｉｗ１＋ｒ２，ｉｗ２＋ｒ３，ｉｗ３により暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を計算する。
　なお、ｗ１，ｗ２，ｗ３は、公開鍵の一部（Ｗ）として、復号装置１０３から配布されたものである。
　次に、ステップＳ６０５にて、通信部２０６が、暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を認証装置１０２に送信する。
　その際、例えばＳＳＬ（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔｓ　Ｌａｙｅｒ）などの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　最後に、ステップＳ６０６にて、認証装置１０２において、通信部３０４が暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を受信し、記憶部３０１に格納する。
　次に、図７ないし図９を用いて、認証方法を説明する。
　なお、簡単のためここでは認証時に認証の対象となるユーザが別途ＩＤ情報などによって特定されているいわゆる１：１認証の場合について説明する。
　図７、図８、図９は、認証を行う手順を示したフローチャートである。
　はじめに、ステップＳ７０１にて、証明装置１０１の生体情報抽出部２０１がユーザの生体情報を抽出する。
　抽出方法は生体情報の登録時と同様である。
　次に、ステップＳ７０２にて、証明装置１０１の特徴ベクトル形成部２０２が、生体情報から特徴ベクトルｂ’＝（ｂ’１，ｂ’２，…，ｂ’Ｔ）を形成する。
　形成方法は、生体情報の登録時と同様である。
　次に、ステップＳ７０３にて、証明装置１０１の乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を２Ｔ回取り出し、｛ｒ’２，ｉ，ｒ’３，ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ７０４にて、証明装置１０１の暗号化部２０４が、ｃ＾ｉ＝（ｂ’ｉｗ＾１＋ｒ’２，ｉｗ＾２＋ｒ’３，ｉｗ＾３）により暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を計算する。
　なお、ｗ＾１，ｗ＾２，ｗ＾３は、公開鍵の一部（Ｗ＾）として、復号装置１０３から配布されたものである。
　次に、ステップＳ７０５にて、証明装置１０１の通信部２０６が、暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を認証装置１０２に送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　次に、ステップＳ７０６にて、認証装置１０２の通信部３０４が、暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を受信する。
　次に、ステップＳ７０７にて、認証装置１０２において、暗号化類似度生成部３０２が、記憶部３０１から暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を取り出す。
　このとき、一般に記憶部３０１には多数のユーザの暗号化生体情報が格納されているが、その中からどれを取り出すかについては、別途与えられるＩＤ情報を用いる。
　次に、ステップＳ７０８にて、認証装置１０２の乱数生成部３０５が、０からｑ－１までの整数から一様ランダムに値を６Ｔ回取り出し、｛ｓ１，ｉ，ｓ２，ｉ，ｓ３，ｉ，ｓ＾１，ｉ，ｓ＾２，ｉ，ｓ＾３，ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ７０９にて、認証装置１０２の乱数生成部３０５が、０からｑ－１までの整数から一様ランダムに値を４回取り出し、｛ｕ２，ｕ３，ｕ＾２，ｕ＾３｝とする。
　次に、ステップＳ７１０にて、認証装置１０２の暗号化類似度生成部３０２が、ｄｉ＝ｃｉ＋ｓ１，ｉｗ１＋ｓ２，ｉｗ２＋ｓ３，ｉｗ３を計算する。
　暗号化類似度生成部３０２は、これをすべてのｉ＝１、２、…、Ｔについて行う。
　なお、ｗ１，ｗ２，ｗ３は、公開鍵の一部（Ｗ）として、復号装置１０３から配布されたものである。
　次に、ステップＳ７１１にて、認証装置１０２の暗号化類似度生成部３０２、がｄ＾ｉ＝ｃ＾ｉ＋ｓ＾１，ｉｗ＾１＋ｓ＾２，ｉｗ＾２＋ｓ＾３，ｉｗ＾３を計算する。
　暗号化類似度生成部３０２は、これをすべてのｉ＝１、２、…、Ｔについて行う。
　なお、ｗ＾１，ｗ＾２，ｗ＾３は、公開鍵の一部（Ｗ＾）として、復号装置１０３から配布されたものである。
　次に、ステップＳ７１２にて、認証装置１０２の暗号化類似度生成部３０２が、数１１に従って、Ｅを計算する。
Figure JPOXMLDOC01-appb-M000011
　次に、ステップＳ７１３にて、認証装置１０２の暗号化類似度生成部３０２が、数１２に従って、Ｅ＾を計算する。
Figure JPOXMLDOC01-appb-M000012
　次に、ステップＳ７１４にて、認証装置１０２の通信部３０４が、（ｄ１，…，ｄＴ，ｄ＾１，…，ｄ＾Ｔ，Ｅ，Ｅ＾）を復号装置１０３へ送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　なお、上記（ｄ１，…，ｄＴ，ｄ＾１，…，ｄ＾Ｔ，Ｅ，Ｅ＾）が、一体となって暗号化類似度情報を構成する。
　次に、ステップＳ７１５にて、復号装置１０３の通信部４０４が、（ｄ１，…，ｄＴ，ｄ＾１，…，ｄ＾Ｔ，Ｅ，Ｅ＾）を受信する。
　次に、ステップＳ７１６にて、復号装置１０３の復号部４０２が、記憶部４０３から秘密鍵ｓｋ＝（Ｘ，Ｘ＾）を取り出す。
　次に、ステップＳ７１７にて、復号装置１０３の復号部４０２が、Ｘの逆行列Ｘ－１＝（ｔｉ，ｊ）およびＸ＾の逆行列Ｘ＾－１＝（ｔ＾ｉ，ｊ）を計算する。
　なお、この値は毎回計算するのではなく、あらかじめ計算した状態で記憶部４０３に格納しておき、それを取り出すものとしてもよい。
　次に、ステップＳ７１８にて、復号装置１０３が、数１３に従ってＺ１を計算する。
Figure JPOXMLDOC01-appb-M000013
　ここで、Ｄｅｃｏアルゴリズムは以下の数１４のように計算される。なお、数１４中のｋは整数である。
Figure JPOXMLDOC01-appb-M000014
　次に、ステップＳ７１９にて、復号装置１０３の復号部４０２が、Ｚ２＝ｅ（Ｄｅｃｏ（Ｅ，〈ｗ１〉，Ｘ），ｗ＾１）・ｅ（ｗ１，Ｄｅｃｏ（Ｅ＾，〈ｗ＾１〉，Ｘ＾））を計算する。
　このＤｅｃｏアルゴリズムも上記と同様に計算される。
　次に、ステップＳ７２０にて、復号装置１０３の復号部４０２がＺ＝Ｚ１／Ｚ２を計算する。
　次に、ステップＳ７２１にて、復号装置１０３の復号部４０２がｅ（ｇ，ｇ＾）を底とするＺの離散対数ｄを計算する。
　この離散対数ｄが、特徴点の一致数に対応しており、類似度を表す。
　なお、離散対数を求める計算は現代の計算機能力では困難とされているが、ｄが小さい場合には効率的に計算することができる。
　本実施の形態においてｄは位数ｑに比べて十分小さいため、効率的に計算することができる。
　次に、ステップＳ７２２にて、復号装置１０３の通信部４０４が、類似度ｄを認証装置１０２へ送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　次に、ステップＳ７２３にて、認証装置１０２の通信部３０４が、類似度ｄを受信する。
　次に、ステップＳ７２４にて、類似度ｄがしきい値以上かを判定する。
　しきい値は、利用する生体情報の種類や安全性要件などさまざまな要素を勘案してあらかじめシステムで決められた値である。
　しきい値以上であれば、証明装置１０１から送られてきた暗号化生体情報はＩＤで指定された本人のものであると判断する。
　一方、しきい値未満であれば、証明装置１０１から送られてきた暗号化生体情報はＩＤで指定された人物のものではなく、他人のものであると判断する。
　以上のステップにより、認証装置１０２は証明装置１０１との間で生体認証を行うことができる。
　以上の実施の形態によれば、認証装置１０２には特徴ベクトルがそのまま保管されるのではなく、暗号化された状態で保管されるため、ユーザにとっては、プライバシー情報である特徴ベクトルが認証装置１０２の管理者に盗み見られるというリスクを低減させることができるという効果がある。
　また、認証装置１０２にとっては、暗号化された特徴ベクトルが仮に漏洩したとしても、元の特徴ベクトル自体が漏洩することはないため、特徴ベクトルそのものを保管するのに比べてデータ管理の手間を削減できるという効果がある。
　また、本実施の形態の手順に従えば、復号装置１０３が復号できるのは類似度という指標値だけであり、特徴ベクトルを復号することはできない。
　したがって、証明装置１０１と復号装置１０３が結託しない限り、認証の過程において特徴ベクトルが現れることはないため、生体情報を秘匿したままでの生体認証が可能であるという効果がある。
　また、本実施の形態によれば、認証時に証明装置１０１から認証装置１０２へ暗号化特徴ベクトルを送付すれば、その後は認証装置１０２と復号装置１０３との間で認証処理を行うことができるため、特に１：Ｎ認証においては、証明装置１０１と認証装置１０２との間でユーザ数に比例した回数の通信を行う必要がなく、通信量を低減させることができるという効果がある。
　また、本実施の形態によれば、認証時に証明装置１０１から認証装置１０２へ暗号化特徴ベクトルを送付すれば、その後は認証装置１０２と復号装置１０３との間で認証処理を行うことができるため、証明装置１０１上で取得した生体情報をただちに消去できる。
　したがって、証明装置１０１における生体情報の窃取の機会を低減できるという効果がある。
　また、本実施の形態では、特徴ベクトルの構成時に、特徴点がある箇所に１、特徴点がない箇所に０を格納し、１と０から構成されるベクトル同士で内積を取るという構成としたが、これに重要度の概念を導入し、重要な特徴点については重みをつける（たとえば１の代わりに５を格納する）という構成にすることもできる。
　このような構成にすれば、単に内積をとる場合に比べて、より精度の高い生体認証を実現することができるという効果がある。
　なお、本実施の形態では３次元の双対ペアリングベクトル空間を用いる方法を開示したが、３次元というのはあくまで例であって、必ずしも３次元である必要はない。
　例えば２次元でも実施可能であるし、４次元以上でも実施可能である。
　２次元の場合には、本実施の形態中に現れたｗ３，ｗ＾３のベクトルを取り除いて実施すればよい。
　このようにすれば、生体情報の登録時や認証時の計算量を低減できるという効果がある。
　また、４次元以上の場合には、増えた分のベクトルにｗ２，ｗ３，ｗ＾２，ｗ＾３と同様のはたらきをさせればよい。
　すなわち、ｃｉ，ｃ＾ｉ，ｄｉ，ｄ＾ｉを計算する際、増えた分のベクトルに乱数係数をかけて、ｗ２，ｗ３，ｗ＾２，ｗ＾３に加え合わせればよい。
　このようにすれば、より解読が困難な暗号文を作成することができ、安全性を向上させることができる。
　また、本実施の形態では安全性向上のため、認証時にステップＳ７０９にて｛ｕ２，ｕ３，ｕ＾２，ｕ＾３｝を選び、ステップＳ７１２およびステップＳ７１３にて使用する構成としていたが、これを省略することもできる。
　そうすれば、認証の手順が省けるので、計算量を低減させることができる。
　実施の形態２．
　以上の実施の形態１では、特徴点の一致数を評価指標として生体認証を行うという認証方法を開示したが、次に、特徴ベクトルのハミング距離またはユークリッド二乗距離により生体認証を行うという認証方法を述べる。
　なお、本実施の形態に係る生体認証システムの構成例も図１に示した通りである。
　また、本実施の形態に係る証明装置１０１、認証装置１０２、復号装置１０３の内部構成例も、図２－図４に示した通りである。
　本実施の形態では、実施の形態１と同様にＴ個の配列を用意し、それによって特徴ベクトルを構成するが、このとき類似度の指標として２つの特徴ベクトルのハミング距離またはユークリッド二乗距離を用いる。２つの特徴ベクトルをｂ＝（ｂ１，ｂ２，…，ｂＴ）、ｂ’＝（ｂ’１，ｂ’２，…，ｂ’Ｔ）とする。
　このとき、２つの特徴ベクトルのハミング距離は、数１５で与えられ（ただしｂｉ，ｂ’ｉ∈｛０，１｝）、また、２つの特徴ベクトルのユークリッド二乗距離は、数１６で与えられる。
Figure JPOXMLDOC01-appb-M000015
Figure JPOXMLDOC01-appb-M000016
　本実施の形態におけるパラメータ生成方法は、実施の形態１の図５と同様であるので説明を省略する。
　次に、図１０を用いて、生体情報の登録方法を説明する。
　なお、ここではユーザが証明装置１０１を経由して認証装置１０２に生体情報を登録する場合について説明するが、認証装置１０２上で直接生体情報を登録する場合や、登録用の専用装置を経由して登録する場合などにおいても同様の手順により実現できる。
　図１０は、証明装置１０１において生体情報を登録する手順を示したフローチャートである。
　ステップＳ１００１とステップＳ１００２は実施の形態１と同様である。
　ただし、ここでハミング距離の場合はｂｉ∈｛０，１｝であり、ユークリッド二乗距離の場合は、ｂｉ∈｛０，１，…，ｑ－１｝であることに注意する。
　次に、ステップＳ１００３にて、乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を４Ｔ回取り出し、｛ｒ２，ｉ，ｒ３，ｉ，ｒ＾２，ｉ，ｒ＾３，ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ１００４にて、暗号化部２０４が、ｃｉ＝ｂｉｗ１＋ｒ２，ｉｗ２＋ｒ３，ｉｗ３，ｃ＾ｉ＝ｂｉｗ＾１＋ｒ＾２，ｉｗ＾２＋ｒ＾３，ｉｗ＾３により暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ），暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を計算する。
　なお、ｗ１，ｗ２，ｗ３とｗ＾１，ｗ＾２，ｗ＾３は、公開鍵の一部（Ｗ及びＷ＾）として、復号装置１０３から配布されたものである。
　次に、ステップＳ１００５にて、通信部２０６が、暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ），暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を認証装置１０２に送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　最後に、ステップＳ１００６にて、認証装置１０２が、暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ），暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を記憶部３０１に格納する。
　次に、図１１、図１２、図１３を用いて、認証方法を説明する。
　なお、簡単のためここでは認証時に認証の対象となるユーザが別途ＩＤ情報などによって特定されているいわゆる１：１認証の場合について説明する。
　ステップＳ１１０１とステップＳ１１０２は実施の形態１と同様である。
　ただし、ここでハミング距離の場合はｂ’ｉ∈｛０，１｝であり、ユークリッド二乗距離の場合はｂ’ｉ∈｛０，１，…，ｑ－１｝であることに注意する。
　次に、ステップＳ１１０３にて、証明装置１０１の乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を４Ｔ回取り出し、｛ｒ’２，ｉ，ｒ’３，ｉ，ｒ＾’２，ｉ，ｒ＾’３，ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ１１０４にて、証明装置１０１の暗号化部２０４が、ｃ’ｉ＝ｂ’ｉｗ１＋ｒ’２，ｉｗ２＋ｒ’３，ｉｗ３，ｃ＾’ｉ＝ｂ’ｉｗ＾１＋ｒ’２，ｉｗ＾２＋ｒ’３，ｉｗ＾３により暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ），暗号化特徴ベクトルＣ＾’＝（ｃ＾’１，ｃ＾’２，…，ｃ＾’Ｔ）を計算する。
　次に、ステップＳ１１０５にて、証明装置１０１の通信部２０６が、暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ），暗号化特徴ベクトルＣ＾’＝（ｃ＾’１，ｃ＾’２，…，ｃ＾’Ｔ）を認証装置１０２に送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　次に、ステップＳ１１０６にて、認証装置１０２の通信部２０６が、暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ），暗号化特徴ベクトルＣ＾’＝（ｃ＾’１，ｃ＾’２，…，ｃ＾’Ｔ）を受信する。
　次に、ステップＳ１１０７にて、認証装置１０２の暗号化類似度生成部３０２が、記憶部３０１から暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ），暗号化特徴ベクトルＣ＾＝（ｃ＾１，ｃ＾２，…，ｃ＾Ｔ）を取り出す。
　このとき、一般に記憶部３０１には多数のユーザの暗号化生体情報が格納されているが、その中からどれを取り出すかについては、別途与えられるＩＤ情報を用いる。
　次に、ステップＳ１１０８にて、認証装置１０２の乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を６Ｔ回取り出し、｛ｓ１，ｉ，ｓ２，ｉ，ｓ３，ｉ，ｓ＾１，ｉ，ｓ＾２，ｉ，ｓ＾３，ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ１１０９にて、認証装置１０２の乱数生成部２０３が、０からｑ－１までの整数から一様ランダムに値を４回取り出し、｛ｕ２，ｕ３，ｕ＾２，ｕ＾３｝とする。
　次に、ステップＳ１１１０にて、認証装置１０２の暗号化類似度生成部３０２が、ｄｉ＝（ｃｉ－ｃ’ｉ）＋ｓ１，ｉｗ１＋ｓ２，ｉｗ２＋ｓ３，ｉｗ３を計算する。
　なお、ｗ１，ｗ２，ｗ３は、公開鍵の一部（Ｗ）として、復号装置１０３から配布されたものである。
　次に、ステップＳ１１１１にて、認証装置１０２の暗号化類似度生成部３０２が、ｄ＾ｉ＝（ｃ＾ｉ－ｃ＾’ｉ）＋ｓ＾１，ｉｗ＾１＋ｓ＾２，ｉｗ＾２＋ｓ＾３，ｉｗ＾３を計算する。
　なお、ｗ＾１，ｗ＾２，ｗ＾３は、公開鍵の一部（Ｗ＾）として、復号装置１０３から配布されたものである。
　次に、ステップＳ１１１２にて、認証装置１０２の暗号化類似度生成部３０２が、数１７に従って、Ｅを計算する。
Figure JPOXMLDOC01-appb-M000017
　次に、ステップＳ１１１３にて、認証装置１０２の暗号化類似度生成部３０２が、数１８に従って、Ｅ＾を計算する。
Figure JPOXMLDOC01-appb-M000018
　次に、ステップＳ１１１４にて、認証装置１０２の通信部２０６が（ｄ１，…，ｄＴ，ｄ＾１，…，ｄ＾Ｔ…，Ｅ，Ｅ＾）を復号装置１０３へ送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　本実施の形態では、（ｄ１，…，ｄＴ，ｄ＾１，…，ｄ＾Ｔ…，Ｅ，Ｅ＾）が暗号化類似度情報の例となる。
　これ以降のステップは実施の形態１と同様であるので説明を省略する。
　以上の実施の形態によれば、実施の形態１と同様の効果を奏するのに加えて、類似度の指標としてハミング距離またはユークリッド二乗距離を用いることができるという効果がある。
　実施の形態３．
　以上、実施の形態１および実施の形態２にて、岡本－高島暗号を用いて生体認証を行う方法を開示したが、次に、非特許文献２に示されたＢＧＮ（Ｂｏｎｅｈ－Ｇｏｈ－Ｎｉｓｓｉｍ）暗号を用いて生体認証を行う方法を開示する。
　なお、本実施の形態に係る生体認証システムの構成例も図１に示した通りである。
　また、本実施の形態に係る証明装置１０１、認証装置１０２、復号装置１０３の内部構成例も、図２－図４に示した通りである。
　はじめに、ＢＧＮ暗号のアルゴリズムについて説明する。
　ＢＧＮ暗号は、鍵生成、暗号化、復号の３つのアルゴリズムからなる。
　鍵生成アルゴリズムは以下のとおりである。
　ｐ、ｑをそれぞれ素数とする。
　Ｎ＝ｐｑとして、Ｎを位数とする群Ｇ、ＧＴを生成する。
　ｅ：Ｇ×Ｇ→ＧＴを、双線型性および非退化性を満たすペアリングとする。
　ｇ、ｕをＧから一様ランダムに選んだ要素とする。
　ｈ＝ｕｑによりｈを定める。
　そして、公開鍵を（（Ｇ，ＧＴ，Ｎ，ｅ），ｇ，ｈ）、秘密鍵をｐとする。
　暗号化アルゴリズムは以下のとおりである。
　なお、平文空間を｛０，１，…，Ｌ｝とする。｛０，１，…，Ｎ－１｝から一様ランダムにｒを選ぶ。
　ｘに対する暗号文Ｅ（ｘ）をＥ（ｘ）＝ｇｘｈｒとする。
　復号アルゴリズムは以下のとおりである。
　暗号文をＥ（ｘ）とすると、まず、秘密鍵ｐを用いてＥ（ｘ）ｐを計算する。
　定義より、Ｅ（ｘ）ｐ＝（ｇｘｈｒ）ｐ＝（ｇｐ）ｘとなる。
　そして、この値について、ｇｐを底とする離散対数を求め、元の平文ｘを得る。
　なお、離散対数を求める計算は現在の計算機能力では困難とされているが、平文空間の大きさＬが小さい場合には、Ｐｏｌｌａｒｄのラムダ法を用いることにより√Ｌ程度の計算量で計算できることが知られている。
　このようなＢＧＮ暗号を用いて、生体認証を行う方法を述べる。
　本実施の形態では、実施の形態１と同様の特徴ベクトル構成法をとる場合について説明する。
　すなわち、生体認証で用いる特徴ベクトルとして、特徴点の配列を用意し、ユーザがその特徴点を保有する場合に１、特徴点を保有しない場合に０を配列に格納して、配列を特徴ベクトルとし、認証時には１が一致している箇所の数を類似度の指標とするような認証方式を例に説明する。
　まず、図１３を用いてセットアップについて説明する。
　図１３は、パラメータ生成部４０１における公開鍵及び秘密鍵の生成手順を示したフローチャートである。
　はじめに、ステップＳ１３０１にて、パラメータ生成部４０１が、素数ｐ，ｑ、群Ｇ，ＧＴを定める。
　なお、素数はセキュリティレベルに応じて定まるが、素数ｐとｑの積を群位数とするため、通常は素因数分解ができないように素数を１０２４ビットや２０４８ビットなどの大きなサイズの素数とする。
　次に、ステップＳ１３０２にて、パラメータ生成部４０１が、Ｇから一様ランダムにｇ、ｕを選び、ｈ＝ｕｑを計算する。
　最後に、ステップＳ１３０３にて、パラメータ生成部４０１が、公開鍵ｐｋ＝（（Ｇ，ＧＴ，Ｎ，ｅ），ｇ，ｈ）を公開し、秘密鍵ｓｋ＝ｐを記憶部４０３に格納する。
　次に、図１４を用いて、生体情報の登録方法を説明する。
　なお、ここではユーザが証明装置１０１を経由して認証装置１０２に生体情報を登録する場合について説明するが、認証装置１０２上で直接生体情報を登録する場合や、登録用の専用装置を経由して登録する場合などにおいても同様の手順により実現できる。
　図１４は、証明装置１０１において生体情報を登録する手順を示したフローチャートである。
　はじめに、ステップＳ１４０１にて、生体情報抽出部２０１がユーザの生体情報を抽出する。これには様々な方法があるが、例えば指紋に光を当てて紋様をセンサで読み取るといったことにより抽出する。
　次に、ステップＳ１４０２にて、特徴ベクトル形成部２０２が、生体情報から特徴ベクトルｂ＝（ｂ１，ｂ２，…，ｂＴ）を形成する。
　次に、ステップＳ１４０３にて、乱数生成部２０３が、０からＮ－１までの整数から一様ランダムに値をＴ回取り出し、｛ｒｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ１４０４にて、暗号化部２０４が、ｃｉ＝ｇｂｉｈｒｉにより暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を計算する。
　なお、ｇ、ｈは公開鍵の一部として復号装置１０３から配布されたものである。
　次に、ステップＳ１４０５にて、通信部２０６が、暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を認証装置１０２に送信する。
　最後に、ステップＳ１４０６にて、認証装置１０２が、暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を記憶部３０１に格納する。
　次に、図１５ないし図１７を用いて、認証方法を説明する。
　なお、簡単のためここでは認証時に認証の対象となるユーザが別途ＩＤ情報などによって特定されているいわゆる１：１認証の場合について説明する。
　図１５、図１６、図１７は、認証を行う手順を示したフローチャートである。
　はじめに、ステップＳ１５０１にて、証明装置１０１の生体情報抽出部２０１が、ユーザの生体情報を抽出する。
　抽出方法は生体情報の登録時と同様である。
　次に、ステップＳ１５０２にて、証明装置１０１の特徴ベクトル形成部２０２が、生体情報から特徴ベクトルｂ’＝（ｂ’１，ｂ’２，…，ｂ’Ｔ）を形成する。
　形成方法は、生体情報の登録時と同様である。
　次に、ステップＳ１５０３にて、証明装置１０１の乱数生成部２０３が、０からＮ－１までの整数から一様ランダムに値をＴ回取り出し、｛ｒ’ｉ｝ｉ＝１，２，…，Ｔとする。
　次に、ステップＳ１５０４にて、証明装置１０１の暗号化部２０４が、ｃ’ｉ＝ｇｂ’ｉｈｒ’ｉにより暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ）を計算する。
　次に、ステップＳ１５０５にて、証明装置１０１の通信部２０６が、暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ）を認証装置１０２に送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　次に、ステップＳ１５０６にて、認証装置１０２の通信部２０６が、暗号化特徴ベクトルＣ’＝（ｃ’１，ｃ’２，…，ｃ’Ｔ）を受信する。
　次に、ステップＳ１５０７にて、認証装置１０２の暗号化類似度生成部３０２が、記憶部３０１から暗号化特徴ベクトルＣ＝（ｃ１，ｃ２，…，ｃＴ）を取り出す。
　次に、ステップＳ１５０８にて、認証装置１０２の乱数生成部３０５が、０からＮ－１までの整数から一様ランダムに値を取り出し、ｓとする。
　次に、ステップＳ１５０９にて、認証装置１０２の暗号化類似度生成部３０２が、数１９に従って、Ｅを計算する。
Figure JPOXMLDOC01-appb-M000019
　次に、ステップＳ１５１０にて、認証装置１０２の通信部３０４が、Ｅを復号装置１０３へ送信する。
　その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　本実施の形態では、Ｅが暗号化類似度情報となる。
　次に、ステップＳ１５１１にて、復号装置１０３の通信部４０４が、Ｅを受信する。
　次に、ステップＳ１５１２にて、復号装置１０３の復号部４０２が、記憶部４０３から秘密鍵ｐを取り出す。
　次に、ステップＳ１５１３にて、復号装置１０３の復号部４０２が、Ｚ＝Ｅｐを計算する。
　次に、ステップＳ１５１４にて、復号装置１０３の復号部４０２が、ｅ（ｇ，ｇ）ｐを底とするＺの離散対数ｄを計算する。
　本実施の形態でも、この離散対数ｄが類似度に相当する。
　次に、ステップＳ１５１５にて、復号装置１０３の通信部４０４がｄを認証装置１０２へ送信する。その際、例えばＳＳＬなどの通信用改ざん検出技術を用いて通信の途中で改ざんが行われないようにすることが望ましい。
　次に、ステップＳ１５１６にて、認証装置１０２の通信部３０４が、類似度ｄを受信する。
　次に、ステップＳ１５１７にて、判定部３０３が、類似度ｄがしきい値以上かを判定する。
　このしきい値は、利用する生体情報の種類や安全性要件などさまざまな要素を勘案してあらかじめシステムで決められた値である。
　しきい値以上であれば、証明装置１０１から送られてきた暗号化生体情報はＩＤで指定された本人のものであると判断する。
　一方、しきい値未満であれば、証明装置１０１から送られてきた暗号化生体情報はＩＤで指定された人物のものではなく、他人のものであると判断する。
　以上のステップにより、認証装置１０２は証明装置１０１との間で生体認証を行うことができる。
　以上の実施の形態によれば、実施の形態１と同様の効果を奏するのに加えて、実施の形態１に比べて公開鍵、秘密鍵の数を低減できるという効果がある。
　また、実施の形態１に比べて復号装置１０３に送付する暗号文の数を低減できるという効果がある。
　実施の形態４．
　以上の実施の形態３では、特徴ベクトルの内積を計算し、その値により生体認証を行うという認証方法を開示したが、次に、特徴ベクトルのハミング距離またはユークリッド二乗距離により生体認証を行うという認証方法を述べる。
　なお、本実施の形態に係る生体認証システムの構成例も図１に示した通りである。
　また、本実施の形態に係る証明装置１０１、認証装置１０２、復号装置１０３の内部構成例も、図２－図４に示した通りである。
　本実施の形態におけるパラメータ生成方法と生体情報の登録方法は実施の形態３と同様であるので説明を省略する。
　次に、図１８、図１９、図２０を用いて、認証方法を説明する。
　なお、簡単のためここでは認証時に認証の対象となるユーザが別途ＩＤ情報などによって特定されているいわゆる１：１認証の場合について説明する。
　ステップＳ１８０１からＳ１８０８までは実施の形態３と同様であるので説明を省略する。
　ステップＳ１８０９にて、認証装置１０２の暗号化類似度生成部３０２が、数２０に従って、Ｅを計算する。
Figure JPOXMLDOC01-appb-M000020
　これ以降のステップは実施の形態３と同様であるので説明を省略する。
　以上の実施の形態によれば、実施の形態２と同様の効果を奏する上に、実施の形態３と同様の効果を奏する。
　以上、実施の形態１から実施の形態４にわたって、二重準同型暗号を用いた生体認証方法を開示したが、これは生体認証に限らず、パターンマッチング分野に応用できることは明らかである。
　すなわち、実施の形態１－４に示した認証方法によれば、データを暗号化したままでデータの類似度判定ができる。
　したがって、データを暗号化したままでの画像検索、動画検索、音声検索などが可能となる。
　以上の実施の形態１－４では、生体認証と二重準同型暗号とを用いることで、生体情報を暗号化したままで生体認証を実現したことを説明した。
　つまり、従来は、通常の準同型暗号を使っていたので、すべてを暗号化したままで認証処理を行うことができなかった。そのため認証処理においてユーザと認証装置との間の通信量が大きくなってしまうという課題がある。
　二重準同型暗号を用いることで、すべてを暗号化したままで認証処理を行うことができるようになる。そのためユーザと認証装置との間の通信量を低減させることができるという効果が生まれる。
　また、この生体認証と二重準同型暗号との組合せにより、安全でかつ通信量効率の高い生体認証が実現できるという効果が生まれる。
　最後に、実施の形態１－４に示した証明装置１０１、認証装置１０２、復号装置１０３のハードウェア構成例について説明する。
　図２５は、実施の形態１－４に示す証明装置１０１、認証装置１０２、復号装置１０３のハードウェア資源の一例を示す図である。
　なお、図２５の構成は、あくまでも証明装置１０１、認証装置１０２、復号装置１０３のハードウェア構成の一例を示すものであり、証明装置１０１、認証装置１０２、復号装置１０３のハードウェア構成は図２５に記載の構成に限らず、他の構成であってもよい。
　図２５において、証明装置１０１、認証装置１０２、復号装置１０３は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
　ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
　更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ　Ｄｉｓｋ　Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６と接続していてもよい。また、証明装置１０１は、生体情報を読み取るための読取り装置９０７と接続されている。また、磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
　ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
　実施の形態１－４で説明した「記憶部」は、ＲＡＭ９１４、磁気ディスク装置９２０等により実現される。
　通信ボード９１５、キーボード９０２、マウス９０３、読取り装置９０７、ＦＤＤ９０４などは、入力装置の一例である。
　また、通信ボード９１５、表示装置９０１、プリンタ装置９０６などは、出力装置の一例である。
　通信ボード９１５は、他の装置と接続されている以外に、例えば、ＬＡＮ（ローカルエリアネットワーク）、インターネット、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などに接続されていても構わない。
　磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
　プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
　また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
　また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
　また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ　Ｉｎｐｕｔ　Ｏｕｔｐｕｔ　Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
　証明装置１０１、認証装置１０２、復号装置１０３の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
　上記プログラム群９２３には、実施の形態１－４の説明において「～部」（「記憶部」以外、以下も同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
　ファイル群９２４には、実施の形態１－４の説明において、「～の判断」、「～の判定」、「～の計算」、「～の比較」、「～の導出」、「～の抽出」、「～の形成」、「～の更新」、「～の設定」、「～の登録」、「～の選択」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「～ファイル」や「～データベース」の各項目として記憶されている。
　「～ファイル」や「～データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示などのＣＰＵの動作に用いられる。
　抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
　また、実施の形態１－４で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
　また、実施の形態１－４の説明において「～部」として説明しているものは、「～回路」、「～装置」、「～機器」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。すなわち、「～部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、実施の形態１－４の「～部」としてコンピュータを機能させるものである。あるいは、実施の形態１－４の「～部」の手順や方法をコンピュータに実行させるものである。
　このように、実施の形態１－４に示す証明装置１０１、認証装置１０２、復号装置１０３は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータであり、上記したように「～部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
　１０１　証明装置、１０２　認証装置、１０３　復号装置、２０１　生体情報抽出部、２０２　特徴ベクトル形成部、２０３　乱数生成部、２０４　暗号化部、２０５　記憶部、２０６　通信部、３０１　記憶部、３０２　暗号化類似度生成部、３０３　判定部、３０４　通信部、３０５　乱数生成部、４０１　パラメータ生成部、４０２　復号部、４０３　記憶部、４０４　通信部。

Claims (15)

  1. 　二重準同型暗号アルゴリズムに基づいて復号装置において生成され、前記復号装置から配布された公開鍵を記憶する公開鍵記憶部と、
    　前記復号装置から配布された前記公開鍵を保有する暗号装置が保有する前記公開鍵を用いて暗号化した第１データを暗号化第１データとして記憶する暗号化データ記憶部と、
    　前記暗号化第１データが前記暗号化データ記憶部に記憶された後に前記暗号装置が保有する前記公開鍵を用いて暗号化した第２データを暗号化第２データとして入力する暗号化データ入力部と、
    　前記公開鍵の少なくとも一部を用いて、乱数を生成する乱数生成部と、
    　前記暗号化第１データと前記暗号化第２データに対して前記公開鍵記憶部に記憶されている前記公開鍵と前記乱数生成部により生成された乱数を用いた演算を行って、前記暗号化第１データと前記暗号化第２データがそれぞれ暗号化された状態のままで、前記公開鍵に対応付けられて生成された秘密鍵を用いた復号処理により前記第１データと前記第２データとの間の類似度を導出可能な暗号化された情報を暗号化類似度情報として生成する暗号化類似度生成部とを有することを特徴とするデータ処理装置。
  2. 　前記公開鍵記憶部は、
    　前記復号装置により前記二重準同型暗号アルゴリズムに基づいて秘密鍵と対応付けられて生成された公開鍵を記憶し、
    　前記データ処理装置は、更に、
    　前記暗号化類似度生成部により生成された暗号化類似度情報を前記復号装置に出力する暗号化類似度出力部と、
    　前記復号装置において前記暗号化類似度情報に対して前記秘密鍵を用いた復号処理が行われて導出された前記第１データと前記第２データとの間の類似度を入力する類似度入力部と、
    　前記類似度入力部により入力された前記類似度を解析して、前記第２データの発生源が正当であるか否かを判定する判定部とを有することを特徴とする請求項１に記載のデータ処理装置。
  3. 　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第２データを入力し、
    　前記暗号化類似度生成部は、
    　部分データごとに、前記暗号化第１データと前記暗号化第２データに対して前記公開鍵記憶部に記憶されている前記公開鍵と前記乱数生成部により生成された乱数を用いた演算を行って、前記第１データと前記第２データとの間の類似度として、前記第１データのＴ個の部分データと前記第２データのＴ個の部分データにおいて値が一致する部分データの数を導出可能な情報を生成することを特徴とする請求項１に記載のデータ処理装置。
  4. 　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第２データを入力し、
    　前記暗号化類似度生成部は、
    　部分データごとに、前記暗号化第１データと前記暗号化第２データに対して前記公開鍵記憶部に記憶されている前記公開鍵と前記乱数生成部により生成された乱数を用いた演算を行って、前記第１データと前記第２データとの間の類似度として、前記第１データのＴ個の部分データと前記第２データのＴ個の部分データにおけるハミング距離を導出可能な情報を生成することを特徴とする請求項１に記載のデータ処理装置。
  5. 　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データが前記暗号装置により暗号化されて得られたＴ個の暗号化された部分データで構成される暗号化第２データを入力し、
    　前記暗号化類似度生成部は、
    　部分データごとに、前記暗号化第１データと前記暗号化第２データに対して前記公開鍵記憶部に記憶されている前記公開鍵と前記乱数生成部により生成された乱数を用いた演算を行って、前記第１データと前記第２データとの間の類似度として、前記第１データのＴ個の部分データと前記第２データのＴ個の部分データにおけるユークリッド二乗距離を導出可能な情報を生成することを特徴とする請求項１に記載のデータ処理装置。
  6. 　前記公開鍵記憶部は、
    　前記二重準同型暗号アルゴリズムに基づいて生成された公開鍵として、岡本－高島暗号アルゴリズムに基づいて生成された公開鍵を記憶し、
    　前記暗号化データ記憶部は、
    　前記岡本－高島暗号アルゴリズムに基づいて生成された公開鍵による暗号化で得られた暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記岡本－高島暗号アルゴリズムに基づいて生成された公開鍵による暗号化で得られた暗号化第２データを入力することを特徴とする請求項１に記載のデータ処理装置。
  7. 　前記公開鍵記憶部は、
    　正則行列である秘密鍵に対応付けられて生成されたランダム基底ｗ１、ｗ２、ｗ３、ｗ＾１、ｗ＾２、ｗ＾３と所定の値ｑを公開鍵として記憶し、
    　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データｂｉ（添字ｉは１からＴ）に前記ランダム基底ｗ１、ｗ２、ｗ３を保有する前記暗号装置により前記ランダム基底ｗ１、ｗ２、ｗ３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃｉ（添字ｉは１からＴ）で構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データｂ’ｉ（添字ｉは１からＴ）に前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３を保有する前記暗号装置により前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ＾ｉ（添字ｉは１からＴ）で構成される暗号化第２データを入力し、
    　前記乱数生成部は、
    　前記値ｑに基づいて複数の乱数値ｓ１，ｉ、ｓ２，ｉ、ｓ３，ｉ、ｓ＾１，ｉ、ｓ＾２，ｉ、ｓ＾３，ｉ（添字ｉは１からＴ）を生成し、前記値ｑに基づいて複数の乱数値ｕ２、ｕ３，、ｕ＾２、ｕ＾３を生成し、
    　前記暗号化類似度生成部は、
    　ｄｉ＝ｃｉ＋（ｓ１，ｉ×ｗ１）＋（ｓ２，ｉ×ｗ２）＋（ｓ３，ｉ×ｗ３）を添字ｉについて１からＴまでを計算し、
    　ｄ＾ｉ＝ｃ＾ｉ＋（ｓ＾１，ｉ×ｗ＾１）＋（ｓ＾２，ｉ×ｗ＾２）＋（ｓ＾３，ｉ×ｗ＾３）を添字ｉについて１からＴまでを計算し、
    　Ｅ＝｛（ｓ＾１，ｉ×ｃｉ＋ｓ１，ｉ×ｓ＾１，ｉ×ｗ１）の添字ｉについての１からＴまでの総和｝＋（ｕ２×ｗ２）＋（ｕ３×ｗ３）を計算し、
    　Ｅ＾＝｛（ｓ１，ｉ×ｃ＾ｉ）の添字ｉについての１からＴまでの総和｝＋（ｕ＾２×ｗ＾２）＋（ｕ＾３×ｗ＾３）を計算し、
    　計算した値ｄｉ、ｄ＾ｉ、Ｅ及びＥ＾を含む暗号化類似度情報を生成することを特徴とする請求項６に記載のデータ処理装置。
  8. 　前記暗号化データ記憶部は、
    　Ｔ個の部分データｂｉが前記暗号装置で生成された乱数値ｒ２，ｉとｒ３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ１、ｗ２、ｗ３が用いられてｃｉ＝（ｂｉ×ｗ１）＋（ｒ２，ｉ×ｗ２）＋（ｒ３，ｉ×ｗ３）により暗号化されたＴ個の部分データｃｉで構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　Ｔ個の部分データｂ’ｉが前記暗号装置で生成された乱数値ｒ’２，ｉとｒ’３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３が用いられてｃｉ＝（ｂ’ｉ×ｗ＾１）＋（ｒ’２，ｉ×ｗ＾２）＋（ｒ’３，ｉ×ｗ＾３）により暗号化されたＴ個の部分データｃ＾ｉで構成される暗号化第２データを入力することを特徴とする請求項７に記載のデータ処理装置。
  9. 　前記データ処理装置は、更に、
    　前記暗号化類似度生成部により生成された暗号化類似度情報を前記復号装置に出力する暗号化類似度出力部と、
    　前記復号装置において前記暗号化類似度情報に対して前記秘密鍵の逆行列と双対ペアリングベクトル空間におけるディストーション写像とが用いられる復号処理が行われて導出された前記第１データと前記第２データとの間の類似度を入力する類似度入力部と、
    　前記類似度入力部により入力された前記類似度を解析して、前記第２データの発生源が正当であるか否かを判定する判定部とを有することを特徴とする請求項７に記載のデータ処理装置。
  10. 　前記公開鍵記憶部は、
    　正則行列である秘密鍵に対応付けて生成されたランダム基底ｗ１、ｗ２、ｗ３、ｗ＾１、ｗ＾２、ｗ＾３と所定の値ｑを公開鍵として記憶し、
    　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データｂｉ（添字ｉは１からＴ）に前記ランダム基底ｗ１、ｗ２、ｗ３を保有する前記暗号装置により前記ランダム基底ｗ１、ｗ２、ｗ３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃｉ（添字ｉは１からＴ）と、前記第１データを構成するＴ個の部分データｂｉに前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３を保有する前記暗号装置により前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ＾ｉ（添字ｉは１からＴ）で構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データｂ’ｉ（添字ｉは１からＴ）に前記暗号装置により前記ランダム基底ｗ１、ｗ２、ｗ３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ’ｉ（添字ｉは１からＴ）と、前記第２データを構成するＴ個の部分データｂ’ｉに前記暗号装置により前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３を用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ’＾ｉ（添字ｉは１からＴ）で構成される暗号化第２データを入力し、
    　前記乱数生成部は、
    　前記値ｑに基づいて複数の乱数値ｓ１，ｉ、ｓ２，ｉ、ｓ３，ｉ、ｓ＾１，ｉ、ｓ＾２，ｉ、ｓ＾３，ｉ（添字ｉは１からＴ）を生成し、前記値ｑに基づいて複数の乱数値ｕ２、ｕ３，、ｕ＾２、ｕ＾３を生成し、
    　前記暗号化類似度生成部は、
    　ｄｉ＝（ｃｉ－ｃ’ｉ）＋（ｓ１，ｉ×ｗ１）＋（ｓ２，ｉ×ｗ２）＋（ｓ３，ｉ×ｗ３）を添字ｉについて１からＴまでを計算し、
    　ｄ＾ｉ＝（ｃ＾ｉ－ｃ’＾ｉ）＋（ｓ＾１，ｉ×ｗ＾１）＋（ｓ＾２，ｉ×ｗ＾２）＋（ｓ＾３，ｉ×ｗ＾３）を添字ｉについて１からＴまでを計算し、
    　Ｅ＝｛（ｓ＾１，ｉ×（ｃｉ－ｃ’ｉ）＋ｓ１，ｉ×ｓ＾１，ｉ×ｗ１）の添字ｉについての１からＴまでの総和｝＋（ｕ２×ｗ２）＋（ｕ３×ｗ３）を計算し、
    　Ｅ＾＝［｛ｓ１，ｉ×（ｃ＾ｉ－ｃ’＾ｉ）｝の添字ｉについての１からＴまでの総和］＋（ｕ＾２×ｗ＾２）＋（ｕ＾３×ｗ＾３）を計算し、
    　計算した値ｄｉ、ｄ＾ｉ、Ｅ及びＥ＾を含む暗号化類似度情報を生成することを特徴とする請求項６に記載のデータ処理装置。
  11. 　前記暗号化データ記憶部は、
    　Ｔ個の部分データｂｉが前記暗号装置で生成された乱数値ｒ２，ｉとｒ３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ１、ｗ２、ｗ３が用いられてｃｉ＝（ｂｉ×ｗ１）＋（ｒ２，ｉ×ｗ２）＋（ｒ３，ｉ×ｗ３）により暗号化されたＴ個の部分データｃｉと、Ｔ個の部分データｂｉが前記暗号装置で生成された乱数値ｒ＾２，ｉとｒ＾３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３が用いられてｃ＾ｉ＝（ｂｉ×ｗ＾１）＋（ｒ＾２，ｉ×ｗ＾２）＋（ｒ＾３，ｉ×ｗ＾３）により暗号化されたＴ個の部分データｃ＾ｉで構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　Ｔ個の部分データｂ’ｉが前記暗号装置で生成された乱数値ｒ’２，ｉとｒ’３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ１、ｗ２、ｗ３が用いられてｃ’ｉ＝（ｂ’ｉ×ｗ１）＋（ｒ’２，ｉ×ｗ２）＋（ｒ’３，ｉ×ｗ３）により暗号化されたＴ個の部分データｃ’ｉと、Ｔ個の部分データｂ’ｉが前記暗号装置で生成された乱数値ｒ’＾２，ｉとｒ’＾３，ｉ（添字ｉは１からＴ）と前記ランダム基底ｗ＾１、ｗ＾２、ｗ＾３が用いられてｃ’＾ｉ＝（ｂ’ｉ×ｗ＾１）＋（ｒ’＾２，ｉ×ｗ＾２）＋（ｒ’＾３，ｉ×ｗ＾３）により暗号化されたＴ個の部分データｃ’＾ｉで構成される暗号化第２データを入力することを特徴とする請求項１０に記載のデータ処理装置。
  12. 　前記データ処理装置は、更に、
    　前記暗号化類似度生成部により生成された暗号化類似度情報を前記復号装置に出力する暗号化類似度出力部と、
    　前記復号装置において前記暗号化類似度情報に対して前記秘密鍵の逆行列と双対ペアリングベクトル空間におけるディストーション写像とが用いられる復号処理が行われて導出された前記第１データと前記第２データとの間の類似度を入力する類似度入力部と、
    　前記類似度入力部により入力された前記類似度を解析して、前記第２データの発生源が正当であるか否かを判定する判定部とを有することを特徴とする請求項１０に記載のデータ処理装置。
  13. 　前記公開鍵記憶部は、
    　前記二重準同型暗号アルゴリズムに基づいて生成された公開鍵として、ＢＧＮ（Ｂｏｎｅｈ－Ｇｏｈ－Ｎｉｓｓｉｍ）暗号アルゴリズムに基づいて生成された公開鍵を記憶し、
    　前記ＢＧＮ暗号アルゴリズムに基づいて生成された公開鍵による暗号化で得られた暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記ＢＧＮ暗号アルゴリズムに基づいて生成された公開鍵による暗号化で得られた暗号化第２データを入力することを特徴とする請求項１に記載のデータ処理装置。
  14. 　前記公開鍵記憶部は、
    　Ｎ＝ｐ×ｑ（ｐ及びｑは素数）を位数とする群Ｇからランダムに選択された値ｇと値ｕと、値ｈ＝ｕｑと、所定の値Ｎを公開鍵として記憶し、
    　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データｂｉ（添字ｉは１からＴ）に値ｇと値ｈを保有する前記暗号装置により値ｇと値ｈを用いた暗号化が行われて得られたＴ個の暗号化された部分データｃｉ（添字ｉは１からＴ）で構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データｂ’ｉ（添字ｉは１からＴ）に前記暗号装置により値ｇと値ｈを用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ’ｉ（添字ｉは１からＴ）で構成される暗号化第２データを入力し、
    　前記乱数生成部は、
    　前記値Ｎに基づいて乱数値ｓを生成し、
    　前記暗号化類似度生成部は、
    　Ｅ＝ｅ（ｃｉ、ｃ’ｉ）×ｅ（ｇ、ｈ）ｓの添字ｉについて１からＴまでの総乗を計算し（ｅ：Ｇ×Ｇ＾→ＧＴは双線型性と非退化性を満たすペアリング）、計算した値Ｅを含む暗号化類似度情報を生成することを特徴とする請求項１３に記載のデータ処理装置。
  15. 　前記公開鍵記憶部は、
    　Ｎ＝ｐ×ｑ（ｐ及びｑは素数）を位数とする群Ｇからランダムに選択された値ｇと値ｕと、値ｈ＝ｕｑと、所定の値Ｎを公開鍵として記憶し、
    　前記暗号化データ記憶部は、
    　前記第１データを構成するＴ（Ｔは２以上の整数）個の部分データｂｉ（添字ｉは１からＴ）に値ｇと値ｈを保有する前記暗号装置により値ｇと値ｈを用いた暗号化が行われて得られた部分データｃｉ（添字ｉは１からＴ）で構成される暗号化第１データを記憶し、
    　前記暗号化データ入力部は、
    　前記第２データを構成するＴ（Ｔは２以上の整数）個の部分データｂ’ｉ（添字ｉは１からＴ）に前記暗号装置により値ｇと値ｈを用いた暗号化が行われて得られたＴ個の暗号化された部分データｃ’ｉ（添字ｉは１からＴ）で構成される暗号化第２データを入力し、
    　前記乱数生成部は、
    　前記値Ｎに基づいて乱数値ｓを生成し、
    　前記暗号化類似度生成部は、
    　Ｅ＝ｅ（ｃｉ、ｇ）×ｅ（ｃ’ｉ、ｇ）×ｅ（ｃｉ×ｃ’ｉ）－２×ｅ（ｇ、ｈ）ｓの添字ｉについて１からＴまでの総乗を計算し（ｅ：Ｇ×Ｇ＾→ＧＴは双線型性と非退化性を満たすペアリング）、計算した値Ｅを含む暗号化類似度情報を生成することを特徴とする請求項１３に記載のデータ処理装置。
PCT/JP2009/068584 2009-10-29 2009-10-29 データ処理装置 WO2011052056A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
US13/504,506 US8958552B2 (en) 2009-10-29 2009-10-29 Data processing device
JP2011538156A JP5300983B2 (ja) 2009-10-29 2009-10-29 データ処理装置
PCT/JP2009/068584 WO2011052056A1 (ja) 2009-10-29 2009-10-29 データ処理装置
EP09850835.1A EP2495908A4 (en) 2009-10-29 2009-10-29 Data processing device
CN200980162216.5A CN102598576B (zh) 2009-10-29 2009-10-29 数据处理装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2009/068584 WO2011052056A1 (ja) 2009-10-29 2009-10-29 データ処理装置

Publications (1)

Publication Number Publication Date
WO2011052056A1 true WO2011052056A1 (ja) 2011-05-05

Family

ID=43921497

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/068584 WO2011052056A1 (ja) 2009-10-29 2009-10-29 データ処理装置

Country Status (5)

Country Link
US (1) US8958552B2 (ja)
EP (1) EP2495908A4 (ja)
JP (1) JP5300983B2 (ja)
CN (1) CN102598576B (ja)
WO (1) WO2011052056A1 (ja)

Cited By (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013080320A1 (ja) 2011-11-30 2013-06-06 三菱電機株式会社 データ処理装置及びデータ処理方法及びプログラム
KR101327980B1 (ko) 2012-01-19 2013-11-13 서울대학교산학협력단 아이디 기반 덧셈 준동형 암호화 방법
JP2014002365A (ja) * 2012-06-15 2014-01-09 Mitsubishi Electric Corp プライバシーを保護することができる暗号化データの問い合わせ方法及びシステム
WO2014010725A1 (ja) * 2012-07-13 2014-01-16 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014175334A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014175326A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014175320A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014185447A1 (ja) * 2013-05-15 2014-11-20 日本電気株式会社 照合システム、ノード、照合方法およびプログラム
WO2014185450A1 (ja) * 2013-05-15 2014-11-20 日本電気株式会社 照合システム、ノード、照合方法およびプログラム
JP5676064B1 (ja) * 2011-12-20 2015-02-25 モルフォ フィルタを用いるセキュアなマルチパーティ計算によるバイオメトリック認証
JP2015139014A (ja) * 2014-01-20 2015-07-30 富士通株式会社 情報処理プログラム、情報処理装置および情報処理方法
JP2015192352A (ja) * 2014-03-28 2015-11-02 富士通株式会社 プログラム、暗号処理方法、及び暗号処理装置
JP2015225343A (ja) * 2014-05-25 2015-12-14 富士通株式会社 リレーショナル暗号化
JP2016111594A (ja) * 2014-12-09 2016-06-20 日本電気株式会社 暗号文照合システム、方法、およびプログラム
JPWO2014092183A1 (ja) * 2012-12-14 2017-01-12 日本電気株式会社 ビット列照合システムと方法とプログラム
JP2017022697A (ja) * 2015-07-13 2017-01-26 富士通株式会社 リレーショナル暗号化を利用する同等性確認方法、コンピュータプログラム及び記憶媒体
JP2017021330A (ja) * 2015-07-13 2017-01-26 富士通株式会社 リレーショナル暗号化を利用する同等性確認方法及びコンピュータプログラム
US9910478B2 (en) 2013-05-17 2018-03-06 Nec Corporation Collation system, node, collation method, and computer readable medium
US9960905B2 (en) 2015-03-10 2018-05-01 Fujitsu Limited Cryptographic processing device and cryptographic processing method
US10171459B2 (en) 2015-10-13 2019-01-01 Fujitsu Limited Method of processing a ciphertext, apparatus, and storage medium
US10235539B2 (en) 2013-02-25 2019-03-19 Mitsubishi Electric Corporation Server device, recording medium, and concealed search system
WO2020121459A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 認証システム、クライアントおよびサーバ
WO2020121458A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ
JPWO2021070275A1 (ja) * 2019-10-09 2021-04-15
JP2021073788A (ja) * 2021-01-21 2021-05-13 日本電気株式会社 照合システムと方法とプログラム
WO2022085126A1 (ja) * 2020-10-21 2022-04-28 日本電気株式会社 照合システム、照合方法、及び、コンピュータ可読媒体
WO2022172347A1 (ja) * 2021-02-10 2022-08-18 日本電気株式会社 類似度計算システム、類似度計算装置、類似度計算方法および類似度計算プログラム
WO2024057538A1 (ja) * 2022-09-16 2024-03-21 日本電気株式会社 サーバ、認証システム、認証方法及びプログラム

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8539220B2 (en) * 2010-02-26 2013-09-17 Microsoft Corporation Secure computation using a server module
CN103380591B (zh) * 2011-02-22 2016-03-30 三菱电机株式会社 类似度计算系统、类似度计算装置以及类似度计算方法
EP2731040B1 (en) 2012-11-08 2017-04-19 CompuGroup Medical SE Computer system for storing and retrieval of encrypted data items, client computer, computer program product and computer-implemented method
JP2014126865A (ja) * 2012-12-27 2014-07-07 Fujitsu Ltd 暗号処理装置および方法
US8966277B2 (en) * 2013-03-15 2015-02-24 Mitsubishi Electric Research Laboratories, Inc. Method for authenticating an encryption of biometric data
JP6244728B2 (ja) 2013-08-07 2017-12-13 富士通株式会社 情報処理方法及びプログラム
US9363264B2 (en) * 2013-11-25 2016-06-07 At&T Intellectual Property I, L.P. Networked device access control
JP6281425B2 (ja) 2014-06-27 2018-02-21 富士通株式会社 秘匿データ照合装置、秘匿データ更新プログラムおよび秘匿データ更新方法
US9645794B2 (en) 2014-09-23 2017-05-09 Texas Instruments Incorporated Homogeneous atomic pattern for double, add, and subtract operations for digital authentication using elliptic curve cryptography
EP3282437B1 (en) * 2015-04-07 2021-10-27 Mitsubishi Electric Corporation Functional encryption system
JP2016224400A (ja) * 2015-05-29 2016-12-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ 類似情報検索方法、端末装置及び類似情報検索システム
JP6524899B2 (ja) * 2015-12-02 2019-06-05 富士通株式会社 秘匿データ照合装置、秘匿データ照合プログラムおよび秘匿データ照合方法
CN105915520B (zh) * 2016-04-18 2019-02-12 深圳大学 基于公钥可搜索加密的文件存储、搜索方法及存储系统
FR3054054B1 (fr) * 2016-07-13 2019-07-19 Safran Identity & Security Procede et systeme d'authentification par circuits confus
US10728227B2 (en) * 2016-08-02 2020-07-28 X-Logos, LLC Methods and systems for enhanced data-centric encryption systems using geometric algebra
WO2018109809A1 (ja) * 2016-12-12 2018-06-21 日本電気株式会社 復号装置、復号方法およびプログラム
EP3920040A1 (en) 2016-12-23 2021-12-08 CompuGroup Medical SE & Co. KGaA Offline preparation for bulk inserts
KR102289419B1 (ko) * 2017-06-26 2021-08-12 한국전자통신연구원 바이오메트릭을 이용한 사용자의 인증 방법 및 장치
US10878072B2 (en) * 2017-11-20 2020-12-29 Ppip, Llc Systems and methods for biometric identity and authentication
US20190318118A1 (en) * 2018-04-16 2019-10-17 International Business Machines Corporation Secure encrypted document retrieval
US11354422B2 (en) * 2018-11-02 2022-06-07 Rank One Computing Corporation Optimizations for privacy-preserving distance metric computation
JP6767580B2 (ja) * 2018-11-07 2020-10-14 アリババ・グループ・ホールディング・リミテッドＡｌｉｂａｂａ Ｇｒｏｕｐ Ｈｏｌｄｉｎｇ Ｌｉｍｉｔｅｄ 準同型暗号を使用したブロックチェーンデータ保護
US11368308B2 (en) * 2019-01-11 2022-06-21 Visa International Service Association Privacy preserving biometric authentication

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006054208A1 (en) * 2004-11-16 2006-05-26 Koninklijke Philips Electronics N.V. Securely computing a similarity measure

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2688068B2 (ja) 1988-07-15 1997-12-08 セコム株式会社 暗号化指紋照合装置
JPH05290149A (ja) 1992-04-13 1993-11-05 N T T Data Tsushin Kk 指紋照合認証方式及びその装置
JP2002132731A (ja) 2000-10-23 2002-05-10 Hitachi Systems & Services Ltd 生体情報とデータ記録媒体を用いたユーザ認証方法、認証装置およびプログラム記録媒体
JP4002198B2 (ja) 2003-02-28 2007-10-31 株式会社東芝 認証システム、認証用オブジェクトおよび認証装置
JP2007501975A (ja) * 2003-08-08 2007-02-01 コーニンクレッカ　フィリップス　エレクトロニクス　エヌ　ヴィ データ処理システム及びその方法
JP2005130384A (ja) 2003-10-27 2005-05-19 Kddi Corp 生体認証システム及び生体認証方法
JP4283126B2 (ja) 2004-01-23 2009-06-24 Ｋｄｄｉ株式会社 生体認証システム及び生体認証方法
JP4564348B2 (ja) 2004-12-10 2010-10-20 株式会社日立製作所 生体情報の特徴量変換方法および生体認証システム
JP2007114494A (ja) 2005-10-20 2007-05-10 Nippon Telegr & Teleph Corp <Ntt> 秘匿計算方法及び装置
CN101150395B (zh) * 2006-09-22 2010-05-12 中国科学院声学研究所 一种加密授权管理系统的双重分组的四层加密方法
JP4867601B2 (ja) 2006-11-20 2012-02-01 株式会社日立製作所 生体情報の特徴量変換装置を用いたユーザ認証方法およびユーザ認証システム
JP4929136B2 (ja) * 2007-11-27 2012-05-09 株式会社日立製作所 生体認証方法、装置およびシステム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006054208A1 (en) * 2004-11-16 2006-05-26 Koninklijke Philips Electronics N.V. Securely computing a similarity measure

Non-Patent Citations (7)

* Cited by examiner, † Cited by third party
Title
C. GENTRY: "Fully homomorphic encryption using ideal lattices", ACM SYMPOSIUM ON THEORY OF COMPUTING, 2009, pages 169 - 178
D. BONEH; E. -J. GOH; K. NISSIM: "Evaluating 2-DNF formulas on ciphertexts", THEORY OF CRYPTOGRAPHY CONFERENCE, LECTURE NOTES IN COMPUTER SCIENCE, vol. 3378, 2005, pages 325 - 341
D. FREEMAN; M. SCOTT; E. TESKE: "A taxonomy of pairing-friendly elliptic curves", JOURNAL OF CRYPTOLOGY, June 2009 (2009-06-01)
HATTORI M. ET AL.: "Public-key Encryption with Fuzzy Keyword Search", 2009 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY, January 2009 (2009-01-01), pages 1 - 6, XP008159076 *
See also references of EP2495908A4 *
T. OKAMOTO; K. TAKASHIMA: "Homomorphic encryption and signatures from vector decomposition", PAIRING 2008, LECTURE NOTES IN COMPUTER SCIENCE, vol. 5209, 2008, pages 57 - 74
VLADIMIR KOLESNIKOV ET AL.: "How to Combine Homomorphic Encryption and Garbled Circuits", SIGNAL PROCESSING IN THE ENCRYPTED DOMAIN 2009, September 2009 (2009-09-01), pages 100 - 121, XP008157070, Retrieved from the Internet <URL:http://www.speedproject.eu/dmdocuments/SPEED2009/papers/paper7.pdf> [retrieved on 20091228] *

Cited By (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013080320A1 (ja) 2011-11-30 2013-06-06 三菱電機株式会社 データ処理装置及びデータ処理方法及びプログラム
JP5586795B2 (ja) * 2011-11-30 2014-09-10 三菱電機株式会社 データ処理装置及びデータ処理方法及びプログラム
JP5676064B1 (ja) * 2011-12-20 2015-02-25 モルフォ フィルタを用いるセキュアなマルチパーティ計算によるバイオメトリック認証
JP2015506485A (ja) * 2011-12-20 2015-03-02 モルフォ フィルタを用いるセキュアなマルチパーティ計算によるバイオメトリック認証
KR101327980B1 (ko) 2012-01-19 2013-11-13 서울대학교산학협력단 아이디 기반 덧셈 준동형 암호화 방법
JP2014002365A (ja) * 2012-06-15 2014-01-09 Mitsubishi Electric Corp プライバシーを保護することができる暗号化データの問い合わせ方法及びシステム
JPWO2014010725A1 (ja) * 2012-07-13 2016-06-23 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014010725A1 (ja) * 2012-07-13 2014-01-16 日本電気株式会社 暗号文照合システムと方法とプログラム
US9906363B2 (en) 2012-07-13 2018-02-27 Nec Corporation Encrypted data verification system, method and recording medium
EP2874346A4 (en) * 2012-07-13 2016-03-09 Nec Corp SYSTEM, METHOD AND PROGRAM FOR CONTROLLING CODED TEXT
JPWO2014092183A1 (ja) * 2012-12-14 2017-01-12 日本電気株式会社 ビット列照合システムと方法とプログラム
US10235539B2 (en) 2013-02-25 2019-03-19 Mitsubishi Electric Corporation Server device, recording medium, and concealed search system
WO2014175334A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
US9882712B2 (en) 2013-04-24 2018-01-30 Nec Corporation Encrypted text matching system, method, and computer readable medium
JPWO2014175334A1 (ja) * 2013-04-24 2017-02-23 日本電気株式会社 暗号文照合システムと方法とプログラム
US9985779B2 (en) 2013-04-24 2018-05-29 Nec Corporation Encrypted text matching system, method, and computer readable medium
WO2014175326A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
JPWO2014175326A1 (ja) * 2013-04-24 2017-02-23 日本電気株式会社 暗号文照合システムと方法とプログラム
JPWO2014175320A1 (ja) * 2013-04-24 2017-02-23 日本電気株式会社 暗号文照合システムと方法とプログラム
WO2014175320A1 (ja) * 2013-04-24 2014-10-30 日本電気株式会社 暗号文照合システムと方法とプログラム
US9900146B2 (en) 2013-04-24 2018-02-20 Nec Corporation Encrypted text matching system, method, and computer readable medium
WO2014185447A1 (ja) * 2013-05-15 2014-11-20 日本電気株式会社 照合システム、ノード、照合方法およびプログラム
WO2014185450A1 (ja) * 2013-05-15 2014-11-20 日本電気株式会社 照合システム、ノード、照合方法およびプログラム
JPWO2014185447A1 (ja) * 2013-05-15 2017-02-23 日本電気株式会社 照合システム、ノード、照合方法およびプログラム
US10211986B2 (en) 2013-05-15 2019-02-19 Nec Corporation Program collation system, node, collation method, and computer-readable medium
US9910478B2 (en) 2013-05-17 2018-03-06 Nec Corporation Collation system, node, collation method, and computer readable medium
JP2015139014A (ja) * 2014-01-20 2015-07-30 富士通株式会社 情報処理プログラム、情報処理装置および情報処理方法
US9531539B2 (en) 2014-01-20 2016-12-27 Fujitsu Limited Information processing apparatus, and information processing method
EP2905921A1 (en) 2014-01-20 2015-08-12 Fujitsu Limited Information processing program, information processing apparatus, and information processing method
JP2015192352A (ja) * 2014-03-28 2015-11-02 富士通株式会社 プログラム、暗号処理方法、及び暗号処理装置
JP2015225343A (ja) * 2014-05-25 2015-12-14 富士通株式会社 リレーショナル暗号化
JP2016111594A (ja) * 2014-12-09 2016-06-20 日本電気株式会社 暗号文照合システム、方法、およびプログラム
US9960905B2 (en) 2015-03-10 2018-05-01 Fujitsu Limited Cryptographic processing device and cryptographic processing method
JP2017021330A (ja) * 2015-07-13 2017-01-26 富士通株式会社 リレーショナル暗号化を利用する同等性確認方法及びコンピュータプログラム
JP2017022697A (ja) * 2015-07-13 2017-01-26 富士通株式会社 リレーショナル暗号化を利用する同等性確認方法、コンピュータプログラム及び記憶媒体
US10171459B2 (en) 2015-10-13 2019-01-01 Fujitsu Limited Method of processing a ciphertext, apparatus, and storage medium
WO2020121458A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 照合システム、クライアントおよびサーバ
WO2020121459A1 (ja) * 2018-12-12 2020-06-18 日本電気株式会社 認証システム、クライアントおよびサーバ
JPWO2020121458A1 (ja) * 2018-12-12 2021-10-21 日本電気株式会社 照合システム、クライアントおよびサーバ
JPWO2020121459A1 (ja) * 2018-12-12 2021-10-21 日本電気株式会社 認証システム、クライアントおよびサーバ
JP7235055B2 (ja) 2018-12-12 2023-03-08 日本電気株式会社 認証システム、クライアントおよびサーバ
US11909892B2 (en) 2018-12-12 2024-02-20 Nec Corporation Authentication system, client, and server
JPWO2021070275A1 (ja) * 2019-10-09 2021-04-15
WO2021070275A1 (ja) * 2019-10-09 2021-04-15 日本電気株式会社 情報照合システム及び情報照合方法
JP7259979B2 (ja) 2019-10-09 2023-04-18 日本電気株式会社 情報照合システム及び情報照合方法
WO2022085126A1 (ja) * 2020-10-21 2022-04-28 日本電気株式会社 照合システム、照合方法、及び、コンピュータ可読媒体
JP2021073788A (ja) * 2021-01-21 2021-05-13 日本電気株式会社 照合システムと方法とプログラム
WO2022172347A1 (ja) * 2021-02-10 2022-08-18 日本電気株式会社 類似度計算システム、類似度計算装置、類似度計算方法および類似度計算プログラム
WO2024057538A1 (ja) * 2022-09-16 2024-03-21 日本電気株式会社 サーバ、認証システム、認証方法及びプログラム

Also Published As

Publication number Publication date
CN102598576A (zh) 2012-07-18
EP2495908A4 (en) 2017-07-19
US8958552B2 (en) 2015-02-17
JP5300983B2 (ja) 2013-09-25
US20120207299A1 (en) 2012-08-16
CN102598576B (zh) 2014-09-17
JPWO2011052056A1 (ja) 2013-03-14
EP2495908A1 (en) 2012-09-05

Similar Documents

Publication Publication Date Title
JP5300983B2 (ja) データ処理装置
JP5586795B2 (ja) データ処理装置及びデータ処理方法及びプログラム
CN108632248B (zh) 数据加密方法、数据查询方法、装置、设备及存储介质
EP2680488B1 (en) Similarity calculation system, similarity calculation device, computer program, and similarity calculation method
JP6413598B2 (ja) 暗号処理方法、暗号処理装置、及び暗号処理プログラム
JP2014126865A (ja) 暗号処理装置および方法
CN109981265B (zh) 一种基于身份的不使用双线性对的密文等值判定方法
CN110190945A (zh) 基于多加密的线性回归隐私保护方法及系统
CN104718566B (zh) 密码系统
Ali et al. Attribute-based fine-grained access control for outscored private set intersection computation
Erkin et al. Privacy-preserving user clustering in a social network
Arkin et al. Ciphertext-Policy Attribute Based Encryption with Selectively-Hidden Access Policy.
JP5651609B2 (ja) 検索可能暗号システム、検索装置、計算装置、及びプログラム
KR100617456B1 (ko) 비밀키 관리 기능을 가지는 비밀키 단말장치 및 비밀키관리방법
JP5931795B2 (ja) 鍵交換システム、鍵生成装置、通信装置、鍵交換方法及びプログラム
Asaad et al. Sharing secret using lattice construction
Ding et al. Ciphertext retrieval via attribute-based FHE in cloud computing
JP7411526B2 (ja) 情報処理システム及び情報処理方法
CN112307499B (zh) 一种云计算中加密数据频繁项集的挖掘方法
Jahan et al. Securely distributing files in cloud environment by dispensing asymmetric key management system applying hashing
EP3573284B1 (en) Distance-revealing encryption
Cui et al. Two-factor decryption: A better way to protect data security and privacy
JPWO2017170780A1 (ja) 暗号文照合システム、ノード装置、暗号文照合方法、およびプログラム
WO2021070838A1 (ja) 秘匿認証方法および秘匿認証システム
Imtiyazuddin et al. Faster biometric authentication system using Fan and Vercauteren scheme

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980162216.5

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09850835

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011538156

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 13504506

Country of ref document: US

Ref document number: 2009850835

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE