WO2011062136A1 - 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム - Google Patents

暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム Download PDF

Info

Publication number
WO2011062136A1
WO2011062136A1 PCT/JP2010/070280 JP2010070280W WO2011062136A1 WO 2011062136 A1 WO2011062136 A1 WO 2011062136A1 JP 2010070280 W JP2010070280 W JP 2010070280W WO 2011062136 A1 WO2011062136 A1 WO 2011062136A1
Authority
WO
WIPO (PCT)
Prior art keywords
vector
key
basis
encryption
base
Prior art date
Application number
PCT/JP2010/070280
Other languages
English (en)
French (fr)
Inventor
克幸 高島
岡本　龍明
Original Assignee
三菱電機株式会社
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社, 日本電信電話株式会社 filed Critical 三菱電機株式会社
Priority to US13/509,695 priority Critical patent/US8577030B2/en
Priority to ES10831530.0T priority patent/ES2602052T3/es
Priority to KR1020127013861A priority patent/KR101336349B1/ko
Priority to EP10831530.0A priority patent/EP2503533B1/en
Priority to CN201080065337.0A priority patent/CN103038805B/zh
Publication of WO2011062136A1 publication Critical patent/WO2011062136A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H04L9/0833—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP] involving conference or group key
    • H04L9/0836—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP] involving conference or group key using tree structure or hierarchical structure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H04L9/0847—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving identity based encryption [IBE] schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/12—Transmitting and receiving encryption devices synchronised or initially set up in a particular manner
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing

Definitions

  • the present invention relates to a hierarchical predicate key concealment method and a hierarchical predicate encryption.
  • Non-Patent Document 18 describes that a hierarchical predicate key concealment method and a hierarchical predicate encryption are realized in a dual space associated by a pairing operation.
  • An object of the present invention is to provide a predicate encryption and a predicate key concealment method with high security.
  • an object of the present invention is to provide a predicate encryption and predicate key concealment method that enables authority transfer.
  • the cryptographic processing system is, for example, A cryptographic processing system that performs predicate cryptographic processing using a space V and a space V * that are dual vector spaces associated by the pairing operation shown in Equation 1,
  • Basis vectors b i (i 1,..., N,..., N) constituting a predetermined basis B in the space V (N is an integer of 3 or more, n is an integer of 1 to N ⁇ 2)
  • basis vector b i (i 1) of, ..., a n)
  • the processing device performs a pairing operation e (c 1 , k * L, dec ) shown in Equation 1 to decrypt the encryption vector c 1 and the predetermined information Concerning Characterized in that it comprises a decoding device for extracting a value.
  • a highly secure predicate encryption and predicate key concealment method can be realized.
  • FIG. 6 is a flowchart showing operations of the key generation device 100, the L-th layer encryption device 200, and the decryption device 300 of the cryptographic processing system 10.
  • FIG. 4 is a flowchart showing operations of an L-th layer key delegation apparatus 400, an (L + 1) -th layer encryption apparatus 200, and a decryption apparatus 300 of the cryptographic processing system 10.
  • FIG. 4 is a functional block diagram showing functions of a cryptographic processing system 10 that implements hierarchical predicate encryption according to a second embodiment.
  • 10 is a flowchart showing the operation of the key generation apparatus 100 according to the second embodiment.
  • 10 is a flowchart showing the operation of the encryption apparatus 200 according to the second embodiment.
  • 10 is a flowchart showing an operation of the decoding apparatus 300 according to Embodiment 2.
  • 10 is a flowchart showing the operation of the key delegation apparatus 400 according to the second embodiment.
  • FIG. 4 is a functional block diagram showing functions of a cryptographic processing system 10 that realizes a hierarchical predicate key concealment method according to a second embodiment.
  • 10 is a flowchart showing the operation of the encryption apparatus 200 according to the second embodiment.
  • 10 is a flowchart showing an operation of the decoding apparatus 300 according to Embodiment 2.
  • FIG. 9 is a functional block diagram showing functions of the cryptographic processing system 10 that realizes predicate encryption that can delegate authority according to the third embodiment.
  • the figure which shows an example of the hardware constitutions of the key generation apparatus 100, the encryption apparatus 200, the decoding apparatus 300, and the key transfer apparatus 400.
  • the processing device is a CPU 911 or the like which will be described later.
  • the storage device is a ROM 913, a RAM 914, a magnetic disk 920, etc., which will be described later.
  • the communication device is a communication board 915 or the like which will be described later.
  • the input device is a keyboard 902, a communication board 915, and the like which will be described later.
  • the output device is a RAM 914, a magnetic disk 920, a communication board 915, an LCD 901, etc., which will be described later. That is, the processing device, the storage device, the communication device, the input device, and the output device are hardware.
  • Equation 101 represents selecting y from A randomly according to the distribution of A. That is, in Equation 101, y is a random number.
  • Equation 102 represents selecting y from A uniformly. That is, in Equation 102, y is a uniform random number.
  • the number 103 represents that y is a set defined by z, or y is a set to which z is substituted.
  • the number 104 represents that the machine (algorithm) A outputs a for the input x.
  • the vector notation represents a vector representation in the finite field Fq . That is, Formula 105.
  • Equation 106 represents the inner product shown in Equation 108 between the two vectors x ⁇ and v ⁇ shown in Equation 107.
  • X T represents the transpose of the matrix X.
  • encryption processing includes encryption processing, decryption processing, and key generation processing, and also includes key concealment processing.
  • Embodiment 1 FIG.
  • Predicate Encryption with Delegation Predicate Encryption with Delegation
  • Predicate Key Encapsulation Method Delegation with Authority Delegation described in the following embodiments.
  • a basic concept and a basic configuration of a predicate encryption (predicate key concealment method) having authority transfer will be described.
  • the concept of “inner product predicate encryption with authority delegation (inner product predicate key concealment method)” which is a kind of predicate encryption with authority delegation (predicate key concealment method), will be described.
  • the predicate encryption (predicate key concealment method) having authority delegation described in a later embodiment is an inner product predicate encryption (inner product predicate key concealment method) having authority delegation.
  • inner product predicate encryption inner product predicate key concealment method
  • inner product predicate key concealment method inner product predicate key concealment method
  • Hierarchical inner product predicate encryption in vector space will be described.
  • the hierarchical predicate encryption and the hierarchical predicate key concealment method are realized in the vector space.
  • “basis” and “base vector” will be described first.
  • “inner product predicate encryption in vector space” will be described.
  • “a method for realizing a hierarchical structure in a vector space” will be described.
  • an example of realizing a hierarchical structure will be described.
  • DPVS Dual Pairing Vector Spaces
  • FIG. 1 is a diagram for explaining the concept of “authority delegation (hierarchical authority delegation)”.
  • Authority delegation means that a user who has a higher-order key generates a lower-order key whose function is more limited than that of the key (high-order key).
  • a Root key generation device
  • FIG. 1 a Root (key generation device) generates a secret key to a user in the first layer (Level-1) using a master secret key. That is, Root generates keys 1, 2, and 3 for users 1, 2, and 3 in the first layer.
  • the key 11 is used to generate the keys 11, 12, and 13 to the users 11, 12, and 13, which are users lower than the user 1 (first layer). can do.
  • the functions of the keys 11, 12, and 13 held by the users 11, 12, and 13 are more limited than those of the key 1 held by the user 1.
  • the function is restricted that the ciphertext that can be decrypted by the secret key is limited. That is, only a part of the ciphertext that can be decrypted with the upper secret key can be decrypted with the lower secret key.
  • Root generates a secret key for the user in the first layer
  • a user in the first layer generates a secret key for the user in the second layer
  • uses the second layer explained that the user generates a secret key to the third layer user.
  • Root can generate a secret key not only for the first layer user but also for the second layer and subsequent layers.
  • the user in the first layer can generate not only the secret key for the user in the second layer but also the secret key for the users in the third and lower layers. That is, the Root and the user can generate a secret key in a lower layer than the secret key that the Root or user has.
  • the attribute information x is embedded in the ciphertext
  • the predicate information f v is embedded in the secret key. That is, in the predicate encryption, the encrypted ciphertext c based on the attribute information x, decrypts the secret key SK f generated based on the predicate information f v.
  • the predicate encryption is described in detail in Non-Patent Document 16.
  • Hierarchical inner product predicate encryption is “inner product predicate encryption” having the concept of “hierarchical authority delegation” described above.
  • the inner product predicate encryption has a hierarchical authority delegation system, so that attribute information and predicate information have a hierarchical structure.
  • FIG. 3 is a diagram showing a hierarchical structure of attribute information and predicate information.
  • attribute information and predicate information corresponding to codes correspond to each other (that is, the inner product is 0). That is, the inner product of attribute 1 and predicate 1 is 0, the inner product of attribute 11 and predicate 11 is 0, the inner product of attribute 12 and predicate 12 is 0, and the inner product of attribute 13 and predicate 13 is 0. To do.
  • the ciphertext c1 encrypted with the attribute 1 can be decrypted if it is a secret key k1 generated based on the predicate 1.
  • the ciphertext c11 encrypted with the attribute 11 can be decrypted if it is a secret key k11 generated based on the predicate 11.
  • the same can be said for attribute 12 and predicate 12, and attribute 13 and predicate 13.
  • the hierarchical inner product predicate encryption has a hierarchical authority delegation system. Therefore, the secret key k11 can be generated based on the secret key k1 generated based on the predicate 1 and the predicate 11.
  • the user having the higher secret key k1 can generate the lower secret key k11 of the secret key k1 from the secret key k1 and the lower order predicate 11.
  • a secret key k12 can be generated from the secret key k1 and the predicate 12
  • a secret key k13 can be generated from the secret key k1 and the predicate 13.
  • a ciphertext encrypted with a key (public key) corresponding to a lower secret key can be decrypted with the upper secret key.
  • a ciphertext encrypted with a key (public key) corresponding to the upper secret key cannot be decrypted with the lower secret key.
  • the ciphertexts c11, c12, and c13 encrypted with the attribute 11, attribute 12, and attribute 13 can be decrypted if they are the secret key k1 generated based on the predicate 1.
  • the ciphertext c1 encrypted with the attribute 1 cannot be decrypted with the secret keys k11, k12, and k13 generated based on the predicate 11, the predicate 12, and the predicate 13. That is, the inner product of attribute 11, attribute 12, attribute 13 and predicate 1 is zero.
  • the inner product of attribute 1 and predicate 11, predicate 12, and predicate 13 is not zero.
  • FIG. 4 is a diagram showing an example of hierarchical ID-based encryption (HIBE), which is an application example of hierarchical inner product predicate encryption described later.
  • the hierarchical ID-based encryption is an encryption process in which the ID-based encryption is hierarchical.
  • ID-based encryption is a kind of predicate encryption, and is a matching predicate encryption that can decrypt a ciphertext when the ID included in the ciphertext matches the ID included in the secret key.
  • the Root key generation device
  • the Root generates a secret key (key A) corresponding to the ID “A” based on the master secret key sk and “A” that is the ID of company A.
  • the security officer of company A generates a secret key corresponding to the ID based on the key A and the ID of each department. For example, the security officer generates a secret key (key 1) corresponding to “A-1” which is the ID of the sales department.
  • the manager of each department generates a secret key corresponding to the ID based on the secret key of the department and the ID of each section belonging to the department.
  • the manager of the sales department generates a secret key (key 11) corresponding to “A-11” that is the ID of the sales department 1.
  • the ciphertext encrypted with the sales department 1 ID “A-11” can be decrypted with the key 11 which is a secret key corresponding to the sales department 1 ID “A-11”.
  • the ciphertext encrypted with the ID of the sales section 2 or the sales section 3 cannot be decrypted by the key 11.
  • the ciphertext encrypted with the sales department ID cannot be decrypted by the key 11.
  • the ciphertext encrypted with the sales department ID “A-1” can be decrypted with the key 1 which is the secret key corresponding to the sales department ID “A-1”.
  • the ciphertext encrypted with the ID of the section belonging to the sales department can be decrypted with the key 1. That is, the ciphertext encrypted with the IDs of the sales section 1, the sales section 2, and the sales section 3 can be decrypted with the key 1.
  • the ciphertext encrypted with the ID of the manufacturing department (ID: A-2) or the staff department (ID: A-3) cannot be decrypted with the key 1.
  • the ciphertext encrypted with the ID of Company A cannot be decrypted with the key 1.
  • the ciphertext encrypted with the ID “A” of the A company can be decrypted with the key A which is a secret key corresponding to the ID “A” of the A company. Also, it is possible to decrypt the ciphertext encrypted with the ID of each department belonging to the company A and the section belonging to the department.
  • the hierarchical inner product predicate encryption can be applied to various applications other than the ID-based encryption.
  • the cryptographic processing described below is not limited to the equality-related test class, it can be applied in many ways.
  • the predicate encryption having a conventional authority delegation system, such as limiting the searchable range for each hierarchy using conditional expressions such as AND conditions and OR conditions, etc.
  • conditional expressions such as AND conditions and OR conditions, etc.
  • Applications that could not be realized are possible. That is, the hierarchical predicate key concealment method and the hierarchical predicate encryption described in later embodiments can be widely applied to ID-based encryption, searchable encryption, and the like.
  • Hierarchical inner product predicate encryption in vector space The hierarchical predicate key concealment method and the hierarchical predicate encryption are realized in a high-dimensional vector space called a dual pairing vector space described later. Therefore, the hierarchical inner product predicate encryption in the vector space will be described.
  • FIG. 5 is a diagram for explaining the basis and the basis vector.
  • FIG. 5 shows a vector v in a two-dimensional vector space.
  • Vector v is c 1 a 1 + c 2 a 2.
  • the vector v is y 1 b 1 + y 2 b 2 .
  • C 1 , c 2 , y 1 , y 2 are coefficients for each basis vector.
  • FIG. 5 since it is a two-dimensional vector space, there are two basis vectors in each basis. However, in the N-dimensional vector space, there are N basis vectors in each basis.
  • the attribute information x and the predicate information f v are vectors, that is, when the attribute vector x ⁇ and the predicate vector v ⁇ , the inner product predicate is defined as in Expression 109.
  • the attribute vectors x ⁇ and the predicate vector v ⁇ and inner product that is, if the sum of the inner product of each element is 0, a result of entering attribute information x to the predicate information f v is 1 (True).
  • the predicate encryption when the inner product of the attribute vector x ⁇ and the predicate vector v ⁇ is not 0, the result of inputting the attribute information x to the predicate information f v is 0 (False).
  • FIG. 6 is a diagram for explaining an example of a method for realizing a hierarchical structure in a vector space.
  • d is a number representing the depth of the hierarchy.
  • the ciphertext is generated using not only the L-layer attribute information but also the attribute information from the first layer to the L-th layer. To do.
  • the secret key is generated using not only the L-layer predicate information but also the predicate information from the first layer to the L-th layer.
  • ⁇ 3 basis vectors c i (i 1,..., Assigned from the first layer to the third layer).
  • the ciphertext is generated using the attribute information from the first layer to the third layer.
  • ⁇ 3 to represent the predicate information from the first layer to the third layer and generate a secret key.
  • the attribute information and predicate information used in the lower layer includes attribute information and predicate information used in the upper layer.
  • the attribute information and the predicate information have a hierarchical structure.
  • the inner product predicate encryption has an authority delegation system.
  • Hierarchical information ⁇ ⁇ is used to indicate a hierarchical structure in the vector space.
  • Hierarchical information ⁇ ⁇ is shown in Formula 110. That is, the hierarchy information ⁇ ⁇ is for indicating n indicating the number of basis vectors (number of dimensions) assigned to represent the hierarchical structure, d indicating the depth of the hierarchy, and basis vectors assigned to each hierarchy.
  • each ⁇ L is Formula 111.
  • the hierarchical attribute is ⁇ shown in Equation 112.
  • the union is a disjoint union.
  • the hierarchical predicate shown in Expression 114 in the hierarchical attribute shown in Expression 113 is defined as Expression 115.
  • the hierarchical predicate space be F shown in Equation 116.
  • h in Expression 117 and L in Expression 118 are referred to as a hierarchy.
  • the second-layer secret key sk 2 is generated based on the predicate vector (v ⁇ 1 , v ⁇ 2 ).
  • the secret key sk 3 for the third layer can be generated. That is, the third-layer secret key sk 3 is generated based on the predicate vector (v ⁇ 1 , v ⁇ 2 , v ⁇ 3 ).
  • “*” indicates an arbitrary value.
  • the second-layer secret key sk 2 generated based on the second-layer predicate vector (v ⁇ 1 , v ⁇ 2 ) is (v ⁇ 1 , v ⁇ 2 , (0, 0)).
  • Hierarchical predicate encryption The configuration of the hierarchical predicate encryption will be briefly described.
  • the security parameter 1 ⁇ and the hierarchy information ⁇ ⁇ are input, and the master public key pk and the master secret key sk are output.
  • the master secret key sk is the highest key.
  • GenKey In the GenKey algorithm, the master public key pk, the master secret key sk, and the predicate vector shown in Expression 119 are input, and the L-th layer secret key shown in Expression 120 is output.
  • Enc In the Enc algorithm, the master public key pk, the attribute vector shown in Formula 121, and the plaintext information m are input, and the ciphertext c is output. That is, in the Enc algorithm, the plaintext information m is embedded, and the ciphertext c encrypted with the attribute vector shown in Expression 121 is output.
  • the master public key pk, the L-th layer secret key shown in Formula 122, and the ciphertext c are input, and plaintext information m or identification information ⁇ is output.
  • the identification information ⁇ is information indicating that decoding has failed. That is, in the Dec algorithm, the ciphertext c is decrypted with the secret key of the Lth layer, and the plaintext information m is extracted. If the decoding fails, the identification information ⁇ is output.
  • Delegate L In Delegate L , the master public key pk, the L-th layer private key shown in Equation 123, and the (L + 1) -layer predicate vector shown in Equation 124 are input, and the L + 1-layer private key shown in Equation 125 is output. Is done. That is, in the Delegate L algorithm, a lower secret key is output.
  • GenKey In the GenKey algorithm, the master public key pk, the master secret key sk, and the predicate vector shown in Expression 126 are input, and the L-th layer secret key shown in Expression 127 is output.
  • Enc In the Enc algorithm, the master public key pk and the attribute vector shown in Formula 128 are input, and the ciphertext c and the session key K are output. That is, in the Enc algorithm, the predetermined information ( ⁇ ) is embedded, and the ciphertext c encrypted by the attribute vector shown in Expression 128 and the session key K generated from the predetermined information ( ⁇ ) are output.
  • the master public key pk, the L-th layer secret key shown in Expression 129, and the ciphertext c are input, and the session key K or the identification information ⁇ is output.
  • the identification information ⁇ is information indicating that decoding has failed. That is, in the Dec algorithm, the ciphertext c is decrypted with the L-th layer secret key, information relating to the predetermined information ( ⁇ ) is extracted, and the session key K is generated. If the decoding fails, the identification information ⁇ is output.
  • FIG. 7 is a configuration diagram of the cryptographic processing system 10.
  • the cryptographic processing system 10 includes a key generation device 100, an encryption device 200, a decryption device 300, and a key delegation device 400.
  • decryption apparatus 300 includes key delegation apparatus 400.
  • the cryptographic processing system 10 since the cryptographic processing system 10 performs hierarchical cryptographic processing, the cryptographic processing system 10 includes a plurality of encryption devices 200, a plurality of decryption devices 300, and a plurality of key delegation devices. 400.
  • the key generation device 100 executes the Setup and GenKey algorithms of the hierarchical predicate key concealment method and the hierarchical predicate encryption.
  • the encryption device 200 executes the Enc algorithm of the hierarchical predicate key concealment method and the hierarchical predicate encryption.
  • the decryption apparatus 300 executes the Dec algorithm of the hierarchical predicate key concealment method and the hierarchical predicate encryption.
  • the key delegation apparatus 400 executes the Delegate L algorithm of the hierarchical predicate key concealment method and the hierarchical predicate encryption.
  • FIG. 8 is a flowchart showing operations of the key generation device 100, the L-th layer encryption device 200, and the decryption device 300 of the cryptographic processing system 10. That is, FIG. 8 is a flowchart showing operations from generation of a master key (master public key and master secret key) and generation of an L-th layer secret key to encryption and decryption in the L-th layer.
  • S101 Key generation step
  • the key generation device 100 generates a master public key pk and a master secret key sk by executing the Setup algorithm.
  • the decryption apparatus 300 executes the algorithm Dec based on the master public key pk distributed by the key generation apparatus 100 in (S101) and the L-layer private key, and the ciphertext c received from the encryption apparatus 200 is obtained. Decrypt. As a result of decrypting the ciphertext c, the decryption apparatus 300 obtains the session key K if the hierarchical predicate key concealment method, and obtains plaintext information m if the hierarchical predicate encryption. The decoding device 300 outputs the identification information ⁇ when the decoding fails.
  • FIG. 9 is a flowchart showing the operations of the L-th layer key delegation device 400, the (L + 1) -th layer encryption device 200, and the decryption device 300 of the cryptographic processing system 10. That is, FIG. 9 is a flowchart showing operations from generation of the (L + 1) th layer secret key to encryption and decryption in the (L + 1) th layer.
  • the L-th layer key delegation device 400 secretly distributes the generated secret key to the (L + 1) -th layer decryption device 300.
  • the encryption device 200 also generates a session key K. Then, the encryption device 200 transmits the generated ciphertext c to the decryption device 300 via a network or the like.
  • S203 Decoding step
  • the decryption device 300 executes the algorithm Dec based on the master public key pk distributed by the key generation device 100 in (S101) and the secret key distributed by the L-level key delegation device 400 in (S201).
  • the ciphertext c received from the encryption device 200 is decrypted.
  • the decryption apparatus 300 obtains the session key K if the hierarchical predicate key concealment method, and obtains plaintext information m if the hierarchical predicate encryption.
  • Bilinear Pairing Group Bilinear Pairing Group
  • Bilinear pairing groups (q, G 1 , G 2 , G T , g 1 , g 2 , g T ) will be described.
  • Bilinear pairing groups (q, G 1, G 2 , G T, g 1, g 2, g T) is the set of order three cyclic groups of q G 1, G 2, G T.
  • g 1 is a generator of G 1
  • g 2 is a generator of G 2 .
  • the bilinear pairing group (q, G 1 , G 2 , G T , g 1 , g 2 , g T ) satisfies the following non-degenerate bilinear pairing conditions.
  • Non-degenerate bilinear pairing There is a non-degenerate bilinear pairing shown in Equation 133 that can be calculated in polynomial time.
  • G 1 ⁇ G 2 it is called asymmetric bilinear pairing.
  • Symmetric bilinear pairings can be constructed using hypersingular (super) elliptic curves.
  • asymmetric bilinear pairing can be constructed using any (super) elliptic curve.
  • the asymmetric bilinear pairing can be constructed using, for example, a normal elliptic curve.
  • Vector space V and vector space V * > The cyclic group of the one-dimensional space is expanded to a high-dimensional space (high-dimensional vector space). That is, as shown in Equation 134, an N-dimensional vector space V and an N-dimensional vector space V * are constructed by a direct product of G 1 and G 2 .
  • Equation 135 shows a standard basis A and a standard basis A * .
  • the standard base A and the standard base A * satisfy the condition shown in Formula 136. That is, the standard base A and the standard base A * are dual orthonormal bases, and the space V and the space V * are dual vector spaces related by the pairing operation e. It supplements about the standard base A and standard base A * satisfy
  • FIG. First, e (a i , a * i ) g T will be described.
  • e (a 1 , a * 1 ) is calculated.
  • e (g 1 , g 2 ) g T.
  • the pairing operation e (x, y) with y 2 g 2 ,..., y N g 2 ) is defined as the product of the pairing operation for each element of the vector x and the vector y.
  • the pairing operation e (x, y) can be expressed as shown in Equation 138 from the above-described non-degenerate bilinear pairing conditions.
  • FIG. 10 is a diagram for explaining the basis conversion method.
  • the standard base A in the space V is converted to another base B in the space V as shown in Formula 140.
  • GL is an abbreviation for General Linear. That is, GL is a general linear group, a set of square matrices whose determinants are not 0, and a group for multiplication.
  • Formula 142 is established. That is, the base B and the base B * are dual orthonormal bases in the dual spaces V and V * . That is, even if the standard bases A and A * are transformed using X, the dual orthonormal bases are preserved.
  • a distortion map ⁇ i, j in the standard basis A of the space V is a map shown in Expression 143. Since Expression 144 is established, the distortion map ⁇ i, j can be converted into Expression 145. That is, the element of the basis vector j of the vector x of the standard basis A can be converted into the element of the basis vector i. At this time, all the elements other than the element of the converted basis vector j are 0. That is, the element of the basis vector j of the vector x is the element of the basis vector i, and the other elements are zero.
  • the distortion map ⁇ * i, j in the standard basis A * of the space V * can also be expressed in the same manner as the distortion map ⁇ i, j in the standard basis A of the space V.
  • Equation 147 a linear transformation W expressed as an N ⁇ N matrix shown in Equation 146, and any linear transformation W for x ⁇ V is efficient by Equation 147. Can be calculated automatically.
  • the dual pairing vector spaces (q, V, V *, G T, A, A *) , the following (1) non-degenerate bilinear pairing is present, (2) standard basis A, A * is It is a space that satisfies the three conditions of (3) a distortion map that is a dual orthonormal basis.
  • Non-degenerate bilinear pairing (see 4-1 above) A non-degenerate bilinear pairing e that can be calculated in polynomial time exists.
  • the first condition is that the non-degenerate bilinear pairing e shown in Formula 148 exists.
  • the third condition is that the homomorphism ⁇ i, j of the space V and the homomorphism ⁇ * i, j of the space V * shown in Formula 150 can be calculated in polynomial time.
  • the space V and the space V * are a dual space related by the pairing operation e (see the above 4-2).
  • Cryptographic processing system 10 includes dual pairing vector spaces (q, V, V *, G T, A, A *) to achieve the inner product predicate encryption in.
  • the spaces V and V * are both n + 3-dimensional spaces.
  • the base B ⁇ : (b 1 ,..., B n , d n + 1 , b n + 3 ) replaced with the base vector d n + 1 is generated.
  • the base B ⁇ is the master public key pk, and the base B * is the master secret key sk.
  • the ciphertexts c 1 and c 2 are generated as in Formula 152.
  • the decryption apparatus 300 calculates Formula 153 and extracts the plaintext information m.
  • the decryption apparatus 300 can obtain the plaintext information m by calculating the equation 153.
  • the subscript “dec” is an abbreviation for “decryption”, and the subscript “dec” is a key vector used for decryption of ciphertext.
  • the subscript “ran” is an abbreviation for “randomization”, and the subscript “ran” is a randomized vector for randomizing a coefficient for a predetermined base vector of a lower key vector.
  • the subscript “del” is an abbreviation for “delegation”, and the subscript “del” is a key generation vector for generating a lower key vector.
  • the attribute vector is corrected as shown in Equation 156.
  • the ciphertext c 1 which is generated by the attribute vector x ⁇ 1 is generated as the ciphertext c 1 which is generated by the attribute vector x ⁇ + shown in Formula 156.
  • First-layer predicate vector v ⁇ 1 : (v 1 , v 2 ) ⁇ F 2 q generated based on the first-layer secret key
  • k ⁇ * 1 : (k * 1, dec , k * 1, ran, 1 , k * 1, ran, 2 , k * 1, del, 3 ,..., K * 1, del, 6 ) are k * 1, dec and (k * 1, ran, 1 , k * 1, ran, 2 ) and (k * 1, del, 3 ,..., K * 1, del, 6 ).
  • k * 1 and dec are key vectors used for decrypting the ciphertext.
  • (K * 1, ran, 1 , k * 1, ran, 2 ) is a randomized vector for randomizing a coefficient for a predetermined base vector of a lower key vector.
  • (K * 1, del, 3 ,..., K * 1, del, 6 ) is a key generation vector for generating a lower key vector.
  • k * 1, dec (k * 1, ran, 1 , k * 1, ran, 2 ) and (k * 1, del, 3 , ..., k * 1, del, 6 ) It is generated as in Expression 157.
  • the expression is 158, so k * 1,0 can decrypt the ciphertexts c 1 and c 2 by calculating the expression 159.
  • k * 2, dec, ⁇ 2,0 and (v 3 k * 1, del , 3 + v 4 k * 1, del, 4) is added to k * 1, dec.
  • k * 2 and dec are key vectors used for decrypting the ciphertext.
  • K * 2, ran, 1 , k * 2, ran, 2 , k * 2, ran, 3 is a randomized vector for randomizing a coefficient of a lower key vector with respect to a predetermined base vector.
  • K * 2, del, 5 , k * 2, del, 6 is used to generate a lower-order key.
  • k * L, dec is the ciphertext This is a key vector used for decryption.
  • k * L, ran, j is a randomized vector for randomizing a coefficient of a lower key vector with respect to a predetermined base vector.
  • k * L, del, j is a key generation vector for generating a lower key vector.
  • Embodiment 2 FIG. In this embodiment, a cryptographic processing system 10 that implements hierarchical predicate encryption will be described based on the concept described in the first embodiment.
  • FIG. 11 is a functional block diagram showing functions of the cryptographic processing system 10 that implements hierarchical predicate encryption.
  • the cryptographic processing system 10 includes the key generation device 100, the encryption device 200, the decryption device 300, and the key delegation device 400. Also here, it is assumed that the decryption device 300 includes the key delegation device 400.
  • FIG. 12 is a flowchart showing the operation of the key generation device 100.
  • FIG. 13 is a flowchart showing the operation of the encryption device 200.
  • FIG. 14 is a flowchart showing the operation of the decoding device 300.
  • FIG. 15 is a flowchart showing the operation of the key delegation device 400.
  • FIG. 16 is a conceptual diagram showing the base structure of the dual pairing vector space.
  • the key generation device 100 includes a master key generation unit 110, a master key storage unit 120, a key vector generation unit 130, a randomized vector generation unit 140, a key generation vector generation unit 150, and a key distribution unit 160.
  • G Dpvs as inputs the 1 lambda and N, dual pairing vector spaces for a security parameter 1 lambda and N-dimensional space (q, V, V *, G T, A, A *) output This is a dual pairing vector space generation algorithm.
  • the master key generation unit 110 executes the Setup algorithm shown in Formula 162 to generate the master public key pk and the master secret key sk.
  • the key vector generation unit 130 generates a key vector k * L, dec .
  • the generated vector dv j is generated by the processing device. That is, the coefficient for the base vector b * n + 1 and the coefficient for the base vector b * n + 2 are set so that the sum of the coefficient for the base vector b * n + 1 and the coefficient for the base vector b * n + 2 becomes zero.
  • a random number ⁇ j is set as a coefficient for the base vector b * n + 1 by the processing device, and a value ( ⁇ j ) obtained by subtracting the random number ⁇ 0 from 0 is set as the coefficient for the base vector b * n + 2 .
  • the vector dv j is generated by the processing device. That is, the coefficient for the base vector b * n + 1 and the coefficient for the base vector b * n + 2 are set so that the sum of the coefficient for the base vector b * n + 1 and the coefficient for the base vector b * n + 2 becomes zero.
  • the key vector generation unit 130, the randomized vector generation unit 140, and the key generation vector generation unit 150 execute the GenKey algorithm expressed by Equation 167 by the processing device.
  • the key distribution unit 160 includes the master public key generated by the master key generation unit 110, the key information k ⁇ * L generated by the key vector generation unit 130, the randomized vector generation unit 140, and the key generation vector generation unit 150. Is transmitted to the decoding device 300 via the communication device. In addition, the key distribution unit 160 transmits the master public key to the encryption device 200 via the communication device.
  • the key information k ⁇ * L is secretly transmitted to the decryption device 300.
  • any method may be used to transmit the key information k ⁇ * L secretly to the decryption device 300. I do not care. For example, transmission may be performed using conventional cryptographic processing.
  • the encryption device 200 includes a transmission information setting unit 210, an encryption vector generation unit 220, an encryption information generation unit 230, a data transmission unit 240, and a public key acquisition unit 250.
  • the public key acquisition unit 250 acquires the master public key pk and the attribute information vector corresponding to the predicate information vector of the decryption device 300 before the following processing.
  • the transmission information setting unit 210 calculates Formula 168 by the processing device and generates a transmission information vector ⁇ v. That is, (1) the transmission information setting unit 210 generates a random number ⁇ by the processing device. (2) The transmission information setting unit 210 sets a random number ⁇ as a coefficient for the basis vector dn + 1 of the basis B ⁇ included in the master public key pk, and generates a transmission information vector ⁇ v.
  • the cryptographic vector generation unit 220 sets a random number ⁇ n + 3 as a coefficient for the base vector b n + 3 of the base B included in the master public key pk, and generates a vector rv.
  • the encryption vector generation unit 220 adds the generated vector xv and the vector rv to the transmission information vector ⁇ v generated by the transmission information setting unit 210 to generate the encryption vector c 1 by the processing device.
  • the vector rv is added to increase safety and is not an essential element.
  • the data transmission unit 240 transmits the encryption vector c 1 generated by the encryption vector generation unit 220 and the encryption information c 2 generated by the encryption information generation unit 230 to the decryption device 300 via the communication device.
  • the encryption device 200 executes the Enc algorithm expressed by Equation 172 to generate the encryption vector c 1 and the encryption information c 2 .
  • the decryption apparatus 300 includes a vector input unit 310, a key vector storage unit 320, and a pairing calculation unit 330.
  • the vector input unit 310 receives and inputs the encryption vector c 1 and the encryption information c 2 transmitted by the data transmission unit 240 of the encryption device 200 via the communication device.
  • the pairing calculation unit 330 calculates the number 173 by the processing device and generates plaintext information m ′. To do. That is, the pairing calculation unit 330 processes the pairing calculation e for the encryption vector c 1 input by the vector input unit 310 and the key vector k * L, dec stored in the storage device by the key vector storage unit 320. To do. Thereby, the pairing calculating unit 330 calculates g ⁇ T.
  • the key vector storage unit 320 the key vector from the key generation device 100 or the upper key delegation device 400 k * L, when it is distributed to dec, stores key vector k * L, a dec in the storage device.
  • g ⁇ T can be obtained by performing a pairing operation e on the encryption vector c 1 and the key vector k * L, dec .
  • the decryption apparatus 300 executes the Dec algorithm expressed by Equation 175 to generate plaintext information m ′.
  • the key delegation apparatus 400 includes a key vector acquisition unit 410 (key generation vector acquisition unit), a key vector generation unit 420, a randomized vector generation unit 430, a key generation vector generation unit 440, and a key distribution unit 450.
  • the key vector generation unit 420 calculates Formula 177 based on the master public key pk, the key information k ⁇ * L, and the predicate vector v ⁇ L + 1 shown in Formula 176, and uses the first element of the (L + 1) -th layer private key.
  • a vector obtained by adding a vector obtained by multiplying the coefficient of the randomized vector k * L, ran, i by a random number ⁇ 0, i is generated by the processing device.
  • the basis vector b * i (i ⁇ L +1, ..., ⁇ L + 1)
  • the coefficients for each element of the predicate vectors is embedded.
  • the key vector generation unit 420 adds the key vector k * L, dec , the vector rv, and the vector vv to generate the key vector k * L + 1, dec by the processing device.
  • key generation vector k * L, del, i ( i ⁇ L +1, ..., ⁇ L + 1) by adding the vector obtained by setting each element of the predicate vector coefficients of the random number ⁇
  • the vector vv j is generated by the processor by multiplying by j .
  • the basis vector b * i (i ⁇ L +1, ..., ⁇ L + 1)
  • the coefficients for each element of the predicate vectors is embedded.
  • the vector vv j is generated by the processor by multiplying by j .
  • the basis vector b * i (i ⁇ L +1, ..., ⁇ L + 1)
  • the coefficients for each element of the predicate vectors is embedded.
  • the coefficient of the key generation vector k * L, del, j is multiplied by a random number ⁇ ′, and a vector ⁇ v j is generated by the processing device.
  • the key distribution unit 440 transmits the key information k ⁇ * L + 1 generated by the key vector generation unit 420, the randomized vector generation unit 430, and the key generation vector generation unit 440 to the lower decryption apparatus 300 via the communication apparatus.
  • the key information k ⁇ * L + 1 is secretly transmitted to the decryption apparatus 300.
  • any method may be used to transmit the key information k ⁇ * L + 1 secretly to the decryption apparatus 300. I do not care. For example, transmission may be performed using conventional cryptographic processing.
  • the cryptographic processing realized by the cryptographic processing system 10 has higher security than the cryptographic processing proposed in Non-Patent Document 18, and can prove the safety in the standard model (Standard Model). .
  • This is mainly due to the following two points (1) and (2).
  • the base vector d n + 1 for which the encryption apparatus 200 sets transmission information is two-dimensional (base vector b n + 1 and base vector b n + 2 ).
  • the key vector k * L corresponding to base vector d n + 1 it is possible to select the coefficients for the basis vector b * n + 1 and the basis vector b * n + 2 in dec randomly.
  • the key delegation device 400 When the key delegation device 400 generates a lower-order key, the key delegation device 400 generates the key using a randomized vector. This makes it possible to randomize the coefficient of the lower key with respect to a predetermined basis vector, and generating the lower key does not degrade the security of the key.
  • the randomized vector when the randomized vector is not used, the two lower key vectors k * L + 1, dec (A) and key vector k * L + 1, dec (B) generated from the key information k ⁇ * L It becomes like 181.
  • the two lower key vectors k * L + 1, dec (A) and key vector k * L + 1, dec (B) generated from the key information k ⁇ * L are It becomes like this.
  • a randomized vector k * L, ran i in which coefficient values are uniformly distributed with random numbers ⁇ A , i is added to the key vector k * L + 1, dec (A).
  • dec (B) To the key vector k * L + 1, dec (B) is added a randomized vector k * L, ran, i in which coefficient values are uniformly distributed with random numbers ⁇ B, i .
  • the base vector dn + 1 for which the encryption apparatus 200 sets transmission information is two-dimensional.
  • the basis vector d n + 1 may be m dimensions (basis vectors b n + 1 ,..., Basis vectors b n + m ) that are three or more dimensions.
  • the key vector generation unit 130 generates the basis vectors b n + 1 ,. . . , Such that the sum of the coefficient of the basis vector b n + m is 1, basis vector b n + 1,. . .
  • the randomized vector generation unit 140 in the randomized vector k * L, ran, j generation step (S303), the randomized vector generation unit 140 generates the basis vectors b n + 1 ,. . . , Such that the sum of the coefficient of the basis vector b n + m is 0, basis vector b n + 1,. . . , Set the coefficient for the basis vector b n + m .
  • the key generation vector generation unit 150 generates the basis vectors b n + 1 ,. . .
  • the encryption vector generation unit 220 sets a random number as a coefficient for the base vector b n + m + 1 and generates a vector rv.
  • n is an integer of 1 or more. Therefore, N is an integer of 4 or more.
  • n is an integer of 2 or more. Therefore, N is an integer of 5 or more.
  • the above-described cryptographic processing does not use the distortion map included in the condition of being a dual pairing vector space.
  • the distortion map is not used in an algorithm that realizes cryptographic processing, but is used to prove the security of cryptographic processing. Therefore, it can be said that the above-described encryption processing is established even in a space where there is no distortion mapping. That is, it is not essential that there is a distortion map in the space for realizing the above-described encryption processing. The same applies to the encryption processing described below.
  • FIG. 17 is a functional block diagram illustrating functions of the cryptographic processing system 10 that implements the hierarchical predicate key concealment method.
  • the processing of the key generation device 100 and the processing of the key delegation device 400 are the same as in the case of the hierarchical predicate encryption described above. Therefore, only the processing of the encryption device 200 and the processing of the decryption device 300 will be described here.
  • FIG. 18 is a flowchart showing the operation of the encryption device 200.
  • FIG. 19 is a flowchart showing the operation of the decoding device 300.
  • the encryption device 200 illustrated in FIG. 17 includes a session key generation unit 260 in addition to the functions of the encryption device 200 illustrated in FIG. Note that the encryption device 200 illustrated in FIG. 17 does not include the encryption information generation unit 230 included in the encryption device 200 illustrated in FIG. (S701) and (S702) are the same as (S401) and (S402).
  • S703 data transmission step via the communication device to the decryption device 300 the cipher vector c 1 cipher vector generation unit 220 is generated in (S702). That is, in the hierarchical predicate key concealment method, the encryption information c 2 in which the plaintext information m is embedded is not generated and transmitted to the decryption device 300.
  • the session key generation unit 260 calculates Expression 183 by the processing device and generates a session key K.
  • the encryption device 200 executes the Enc algorithm expressed by Equation 184 to generate the encryption vector c 1 and the session key K.
  • the decoding device 300 illustrated in FIG. 17 has the same functional configuration as the decoding device 300 illustrated in FIG. (S801: Vector input step)
  • the vector input unit 310 receives and inputs the encryption vector c 1 transmitted from the data transmission unit 240 of the encryption device 200 via the communication device.
  • the session key K can be transmitted from the encryption device 200 to the decryption device 300 in a secret manner. That is, the session key can be shared between the encryption device 200 and the decryption device 300.
  • Embodiment 3 FIG. In Embodiment 3, predicate encryption having authority delegation that is more general than the hierarchical predicate encryption and the hierarchical predicate key concealment method described in Embodiment 2 will be described.
  • basis vectors are used as shown in FIG. That is, of the n + 3 basis vectors, n basis vectors are used as the basis vectors for the attribute vector and the predicate vector to represent the hierarchical structure.
  • the first ⁇ 1 basis vector is used as the basis vector for the first layer attribute vector or predicate vector
  • the ⁇ 2 ⁇ 1 basis vector is used for the second layer attribute vector or predicate vector.
  • ⁇ L ⁇ L ⁇ 1 basis vectors are used as attribute vectors and predicate vectors for the Lth layer.
  • n basis vectors are used as the basis for attribute vectors and predicate vectors. Use as a vector.
  • all n basis vectors are set as basis vectors for the predicate vector. That is, all n basis vectors are always set as the basis vectors for attribute vectors and predicate vectors.
  • FIG. 20 is a functional block diagram illustrating functions of the cryptographic processing system 10 that implements predicate encryption having authority delegation. Note that the functions of the cryptographic processing system 10 shown in FIG. 20 are the same as the functions of the cryptographic processing system 10 shown in FIG.
  • the flow of operation of the cryptographic processing system 10 according to the third embodiment in the case of realizing the predicate encryption having authority transfer is the same as the flow of operation of the cryptographic processing system 10 according to the second embodiment.
  • the function and operation of the cryptographic processing system 10 according to the third embodiment will be described with reference to FIG. 20 and FIGS.
  • the key vector generation unit 130 calculates the number 189 based on the master public key pk, the master secret key sk, and the predicate vector (v ⁇ 1 ,..., V ⁇ L ) shown in the number 188, A key vector k * L, dec , which is the first element of the layer (level L) secret key, is generated by the processing device.
  • the key distribution unit 160 includes the master public key generated by the master key generation unit 110, the key vector generation unit 130, the randomized vector generation unit 140, and the key generation vector generation unit.
  • 150 transmits the key information k ⁇ * L generated by 150 to the decryption device 300 via the communication device.
  • the key distribution unit 160 transmits the master public key to the encryption device 200 via the communication device.
  • the encryption device 200 executes the Enc algorithm expressed by Equation 197 to generate the encryption vector c 1 and the encryption information c 2 .
  • vector input section 310 receives encrypted vector c 1 and encrypted information c 2 transmitted by data transmitting section 240 of encryption apparatus 200 via the communication apparatus and inputs them. To do.
  • the pairing calculation unit 330 calculates the number 198 based on the master public key pk and the key vector k * L, dec that is the first element of the L-th layer secret key.
  • the plaintext information m ′ is generated by calculation by the processing device.
  • the pairing calculation unit 330 can generate the plaintext information m. It should be noted, and is a plain text information m ⁇ G T.
  • the decryption apparatus 300 executes the Dec algorithm shown in Formula 199 to generate plaintext information m ′.
  • the key vector generation unit 420 calculates the number 201 based on the master public key pk, the key information k ⁇ * L, and the predicate vector v ⁇ L + 1 shown in the number 200, and uses the first element of the secret key of the (L + 1) th layer.
  • a key vector k * L + 1, dec is generated by the processing device.
  • the L + 1 layer private key (key information k ⁇ * L + 1 ) including
  • the key distribution unit 450 subordinates the key information k ⁇ * L + 1 generated by the key vector generation unit 420, the randomized vector generation unit 430, and the key generation vector generation unit 440. To the decoding device 300 via the communication device.
  • the predicate of the attribute vector x ⁇ j (i 1,..., H) used by the encryption device 200 for encryption and the key vector k * L, dec used by the decryption device 300 for decryption.
  • the decoding apparatus 300 can perform decoding. That is, similar to the algorithm described in the second embodiment, the functions of the lower key vectors k * 2, dec are more limited than the upper key vectors k * 1, dec .
  • the base vector dn + 1 for which the encryption apparatus 200 sets transmission information is two-dimensional.
  • the basis vector d n + 1 may be m dimensions (basis vectors b n + 1 ,..., Basis vectors b n + m ) that are three or more dimensions.
  • the hierarchical predicates can be obtained by changing the Enc algorithm executed by the encryption device 200 and the Dec algorithm executed by the decryption device 300 to the numbers 205 and 206, respectively. It is also possible to realize a key concealment method.
  • Embodiment 4 FIG.
  • the method for realizing the cryptographic processing in the dual vector space has been described.
  • a method for realizing cryptographic processing in a dual module will be described.
  • cryptographic processing is realized in a cyclic group with a prime number q.
  • the ring R is expressed as the number 207 using the composite number M
  • the encryption processing described in the above embodiment can be applied even to modules with the ring R as a coefficient.
  • the hierarchical predicate encryption described in the second embodiment is shown as a method for realizing in a module with the ring R as a coefficient.
  • the processing described as the field F q in the above embodiment is replaced with the ring R, so that the other encryption processing described in the above embodiment can be applied to the module having the ring R as a coefficient. Can be realized.
  • FIG. 21 is a diagram illustrating an example of a hardware configuration of the key generation device 100, the encryption device 200, the decryption device 300, and the key delegation device 400.
  • the key generation device 100, the encryption device 200, the decryption device 300, and the key delegation device 400 include a CPU 911 (Central Processing Unit, a central processing unit, a processing unit, an arithmetic unit, a micro unit that executes a program.
  • the CPU 911 is connected to the ROM 913, the RAM 914, the LCD 901 (Liquid Crystal Display), the keyboard 902 (K / B), the communication board 915, and the magnetic disk device 920 via the bus 912, and controls these hardware devices.
  • the magnetic disk device 920 (fixed disk device)
  • a storage device such as an optical disk device or a memory card read / write device may be used.
  • the magnetic disk device 920 is connected via a predetermined fixed disk interface.
  • the ROM 913 and the magnetic disk device 920 are examples of a nonvolatile memory.
  • the RAM 914 is an example of a volatile memory.
  • the ROM 913, the RAM 914, and the magnetic disk device 920 are examples of a storage device (memory).
  • the keyboard 902 and the communication board 915 are examples of input devices.
  • the communication board 915 is an example of a communication device (network interface).
  • the LCD 901 is an example of a display device.
  • an operating system 921 OS
  • a window system 922 a program group 923
  • a file group 924 are stored in the magnetic disk device 920 or the ROM 913.
  • the programs in the program group 923 are executed by the CPU 911, the operating system 921, and the window system 922.
  • the program group 923 includes “master key generation unit 110”, “master key storage unit 120”, “key vector generation unit 130”, “randomized vector generation unit 140”, “key generation vector generation unit” in the above description.
  • 150 “ key distribution unit 160 ”,“ transmission information setting unit 210 ”,“ encryption vector generation unit 220 ”,“ encryption information generation unit 230 ”,“ data transmission unit 240 ”,“ public key acquisition unit 250 ”,“ Session key generation unit 260 ”,“ vector input unit 310 ”,“ key vector storage unit 320 ”,“ pairing calculation unit 330 ”,“ key vector acquisition unit 410 ”,“ key vector generation unit 420 ”,“ randomized vector ”
  • Program is stored.
  • the program is read and executed by the CPU 911.
  • information such as “master public key pk”, “master secret key sk”, “encryption vector c”, “key vector”, data, signal values, variable values, and parameters are “ It is stored as each item of “file” and “database”.
  • the “file” and “database” are stored in a recording medium such as a disk or a memory.
  • Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 911 via a read / write circuit, and extracted, searched, referenced, compared, and calculated.
  • Used for the operation of the CPU 911 such as calculation / processing / output / printing / display.
  • Information, data, signal values, variable values, and parameters are temporarily stored in the main memory, cache memory, and buffer memory during the operation of the CPU 911 for extraction, search, reference, comparison, calculation, calculation, processing, output, printing, and display. Is remembered.
  • the arrows in the flowcharts in the above description mainly indicate input / output of data and signals, and the data and signal values are recorded in a memory of the RAM 914, other recording media such as an optical disk, and an IC chip.
  • Data and signals are transmitted online by a bus 912, signal lines, cables, other transmission media, and radio waves.
  • what is described as “to part” in the above description may be “to circuit”, “to device”, “to device”, “to means”, and “to function”. It may be “step”, “ ⁇ procedure”, “ ⁇ processing”.
  • ⁇ device may be “ ⁇ circuit”, “ ⁇ equipment”, “ ⁇ means”, “ ⁇ function”, and “ ⁇ step”, “ ⁇ procedure”, “ May be “processing”.
  • to process may be “to step”. That is, what is described as “ ⁇ unit” may be realized by firmware stored in the ROM 913. Alternatively, it may be implemented only by software, or only by hardware such as elements, devices, substrates, and wirings, by a combination of software and hardware, or by a combination of firmware.
  • Firmware and software are stored in a recording medium such as ROM 913 as a program. The program is read by the CPU 911 and executed by the CPU 911. That is, the program causes a computer or the like to function as the “ ⁇ unit” described above. Alternatively, the procedure or method of “to unit” described above is executed by a computer or the like.
  • 10 cryptographic processing system 100 key generation device, 110 master key generation unit, 120 master key storage unit, 130 key vector generation unit, 140 randomized vector generation unit, 150 key generation vector generation unit, 160 key distribution unit, 200 encryption Device, 210 transmission information setting unit, 220 encryption vector generation unit, 230 encryption information generation unit, 240 data transmission unit, 250 public key acquisition unit, 260 session key generation unit, 300 decryption device, 310 vector input unit, 320 key vector Storage unit, 330 Pairing operation unit, 400 Key delegation device, 410 Key vector acquisition unit, 420 Key vector generation unit, 430 Randomized vector generation unit, 440 Key generation vector generation unit, 450 Key distribution unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Storage Device Security (AREA)
  • Complex Calculations (AREA)

Abstract

　権限委譲を可能とした述語暗号を実現することを目的とする。ペアリング演算によって関連付けられた双対ベクトル空間（双対ディストーションベクトル空間）である空間Ｖと空間Ｖ＊とを用いて暗号処理を行う。暗号化装置は、空間Ｖにおけるベクトルであって、送信情報を埋め込んだベクトルを暗号ベクトルとして生成する。復号装置は、空間Ｖ＊における所定のベクトルを鍵ベクトルとして、暗号化装置が生成した暗号ベクトルと鍵ベクトルとについて、ペアリング演算を行い前記暗号ベクトルを復号して送信情報に関する情報を抽出する。

Description

暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
　この発明は、階層的述語鍵秘匿方式及び階層的述語暗号に関するものである。
　非特許文献１８には、ペアリング演算によって関連付けられた双対空間において階層的述語鍵秘匿方式及び階層的述語暗号を実現することが記載されている。
Ｂｅｔｈｅｎｃｏｕｒｔ，　Ｊ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ－ｐｏｌｉｃｙ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：　２００７　ＩＥＥＥ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｐｒｉｖａｃｙ，　ｐｐ．　３２１－－３３４．　ＩＥＥＥ　Ｐｒｅｓｓ　（２００７） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．：　Ｅｆｆｉｃｉｅｎｔ　ｓｅｌｅｃｔｉｖｅ－ＩＤ　ｓｅｃｕｒｅ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍｏｒａｃｌｅｓ．Ｉｎ：　Ｃａｃｈｉｎ，　Ｃ．，　Ｃａｍｅｎｉｓｃｈ，　Ｊ．　（ｅｄｓ．）ＥＵＲＯＣＲＹＰＴ　２００４．　ＬＮＣＳ，　ｖｏｌ．　３０２７，　ｐｐ．　２２３－－２３８．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００４） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．：　Ｓｅｃｕｒｅ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ．Ｉｎ：　Ｆｒａｎｋｌｉｎ，　Ｍ．Ｋ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００４．ＬＮＣＳ，　ｖｏｌ．　３１５２，　ｐｐ．　４４３－－４５９．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００４） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．，　Ｇｏｈ，　Ｅ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｃｏｎｓｔａｎｔ　ｓｉｚｅｃｉｐｈｅｒｔｅｘｔ．Ｉｎ：　Ｃｒａｍｅｒ，　Ｒ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００５．　ＬＮＣＳ，　ｖｏｌ．　３４９４，　ｐｐ．　４４０－－４５６．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００５） Ｂｏｎｅｈ，　Ｄ．，　Ｆｒａｎｋｌｉｎ，　Ｍ．：　Ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｆｒｏｍ　ｔｈｅ　Ｗｅｉｌ　ｐａｉｒｉｎｇ．Ｉｎ：　Ｋｉｌｉａｎ，　Ｊ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００１．　ＬＮＣＳ，　ｖｏｌ．　２１３９，　ｐｐ．　２１３－－２２９．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００１） Ｂｏｎｅｈ，　Ｄ．，　Ｈａｍｂｕｒｇ，　Ｍ．：　Ｇｅｎｅｒａｌｉｚｅｄ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ａｎｄ　ｂｒｏａｄｃａｓｔ　ｅｎｃｒｙｐｔｉｏｎ　ｓｃｈｅｍｅ．　Ｉｎ：　Ｐｉｅｐｒｚｙｋ，　Ｊ．　（ｅｄ．）　ＡＳＩＡＣＲＹＰＴ　２００８．　ＬＮＣＳ，　ｖｏｌ．　５３５０，　ｐｐ．　４５５－－４７０．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｂｏｎｅｈ，　Ｄ．，　Ｗａｔｅｒｓ，　Ｂ．：Ｃｏｎｊｕｎｃｔｉｖｅ，　ｓｕｂｓｅｔ，　ａｎｄ　ｒａｎｇｅ　ｑｕｅｒｉｅｓ　ｏｎｅｎｃｒｙｐｔｅｄ　ｄａｔａ．　Ｉｎ：　Ｖａｄｈａｎ，　Ｓ．Ｐ．　（ｅｄ．）　ＴＣＣ　２００７．　ＬＮＣＳ，　ｖｏｌ．　４３９２，　ｐｐ．　５３５－－５５４．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００７） Ｂｏｙｅｎ，　Ｘ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ａｎｏｎｙｍｏｕｓ　ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　（ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ）．Ｉｎ：　Ｄｗｏｒｋ，　Ｃ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００６．　ＬＮＣＳ，　ｖｏｌ．　４１１７，　ｐｐ．　２９０－－３０７．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００６） Ｃｏｃｋｓ，　Ｃ．：Ａｎ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎ　ｑｕａｄｒａｔｉｃ　ｒｅｓｉｄｕｅｓ．Ｉｎ：　Ｈｏｎａｒｙ，　Ｂ．　（ｅｄ．）　ＩＭＡ　Ｉｎｔ．　Ｃｏｎｆ．　ＬＮＣＳ，　ｖｏｌ．　２２６０，　ｐｐ．　３６０－－３６３．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００１） Ｇｅｎｔｒｙ，　Ｃ．：Ｐｒａｃｔｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ．　Ｉｎ：　Ｖａｕｄｅｎａｙ，　Ｓ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００６．　ＬＮＣＳ，　ｖｏｌ．　４００４，　ｐｐ．　４４５－－４６４．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００６） Ｇｅｎｔｒｙ，　Ｃ．，　Ｈａｌｅｖｉ，　Ｓ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｐｏｌｙｎｏｍｉａｌｌｙ　ｍａｎｙ　ｌｅｖｅｌｓ．　Ｉｎ：　Ｒｅｉｎｇｏｌｄ，　Ｏ．　（ｅｄ．）　ＴＣＣ　２００９．ＬＮＣＳ，　ｖｏｌ．　５４４４，　ｐｐ．　４３７－－４５６．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００９） Ｇｅｎｔｒｙ，　Ｃ．，　Ｓｉｌｖｅｒｂｅｒｇ，　Ａ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ＩＤ－ｂａｓｅｄ　ｃｒｙｐｔｏｇｒａｐｈｙ．　Ｉｎ：　Ｚｈｅｎｇ，　Ｙ．　（ｅｄ．）　ＡＳＩＡＣＲＹＰＴ　２００２．ＬＮＣＳ，　ｖｏｌ．　２５０１，　ｐｐ．　５４８－－５６６．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００２） Ｇｏｙａｌ，　Ｖ．，　Ｐａｎｄｅｙ，　Ｏ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｆｏｒ　ｆｉｎｅ－ｇｒａｉｎｅｄ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｏｆ　ｅｎｃｒｙｐｔｅｄ　ｄａｔａ．　Ｉｎ：　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００６，　ｐｐ．　８９－－９８，　ＡＣＭ　（２００６） Ｇｒｏｔｈ，　Ｊ．，　Ｓａｈａｉ，　Ａ．：　Ｅｆｆｉｃｉｅｎｔ　ｎｏｎ－ｉｎｔｅｒａｃｔｉｖｅ　ｐｒｏｏｆ　ｓｙｓｔｅｍｓ　ｆｏｒ　ｂｉｌｉｎｅａｒ　ｇｒｏｕｐｓ．Ｉｎ：　Ｓｍａｒｔ，　Ｎ．Ｐ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００８．ＬＮＣＳ，　ｖｏｌ．　４９６５，ｐｐ．　４１５－－４３２．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｈｏｒｗｉｔｚ，　Ｊ．，　Ｌｙｎｎ，　Ｂ．：Ｔｏｗａｒｄｓ　ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　Ｉｎ：　Ｋｎｕｄｓｅｎ，　Ｌ．Ｒ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００２．ＬＮＣＳ，　ｖｏｌ．　２３３２，　ｐｐ．　４６６－－４８１．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００２） Ｋａｔｚ，　Ｊ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｓｕｐｐｏｒｔｉｎｇ　ｄｉｓｊｕｎｃｔｉｏｎｓ，ｐｏｌｙｎｏｍｉａｌ　ｅｑｕａｔｉｏｎｓ，　ａｎｄ　ｉｎｎｅｒ　ｐｒｏｄｕｃｔｓ．Ｉｎ：　Ｓｍａｒｔ，　Ｎ．Ｐ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００８．ＬＮＣＳ，　ｖｏｌ．　４９６５，ｐｐ．　１４６－－１６２．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｏｋａｍｏｔｏ，　Ｔ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．：Ｈｏｍｏｍｏｒｐｈｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ａｎｄ　ｓｉｇｎａｔｕｒｅｓ　ｆｒｏｍｖｅｃｔｏｒ　ｄｅｃｏｍｐｏｓｉｔｉｏｎ．Ｉｎ：　Ｇａｌｂｒａｉｔｈ，　Ｓ．Ｄ．，　Ｐａｔｅｒｓｏｎ，　Ｋ．Ｇ．　（ｅｄｓ．）　Ｐａｉｒｉｎｇ　２００８．　ＬＮＣＳ，　ｖｏｌ．　５２０９，　ｐｐ．　５７－－７４．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｏｋａｍｏｔｏ，　Ｔ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．：Ａ　ｇｅｏｍｅｔｒｉｃ　ａｐｐｒｏａｃｈ　ｏｎ　ｐａｉｒｉｎｇｓ　ａｎｄ　ｈｉｅｒａｒｃｈｉｃａｌ　ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ：　Ｐｏｓｔｅｒ　ｓｅｓｓｉｏｎ，　ＥＵＲＯＣＲＹＰＴ　２００９．（２００９） Ｏｓｔｒｏｖｓｋｙ，　Ｒ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｎｏｎ－ｍｏｎｏｔｏｎｉｃ　ａｃｃｅｓｓｓｔｒｕｃｔｕｒｅｓ．Ｉｎ：ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００７，　ｐｐ．　１９５－－２０３，　ＡＣＭ，（２００７） Ｐｉｒｒｅｔｔｉ，　Ｍ．，　Ｔｒａｙｎｏｒ，　Ｐ．，　ＭｃＤａｎｉｅｌ，　Ｐ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｓｅｃｕｒｅ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｓｙｓｔｅｍｓ．Ｉｎ：ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００６，　ｐｐ．　９９－－１１２，　ＡＣＭ，（２００６） Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｆｕｚｚｙ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　Ｉｎ：　Ｃｒａｍｅｒ，　Ｒ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００５．ＬＮＣＳ，　ｖｏｌ．　３４９４，　ｐｐ．　４５７－－４７３．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００５） Ｓｈｉ，　Ｅ．，　Ｗａｔｅｒｓ，　Ｂ．：Ｄｅｌｅｇａｔｉｎｇ　ｃａｐａｂｉｌｉｔｙ　ｉｎ　ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｓｙｓｔｅｍｓ．　Ｉｎ：　Ａｃｅｔｏ，　Ｌ．，　Ｄａｍｇａｒｄ，　Ｉ．，　Ｇｏｌｄｂｅｒｇ，　Ｌ．Ａ．，　Ｈａｌｌｄｏｒｓｓｏｎ，　Ｍ．Ｍ．，　Ｉｎｇｏｌｆｓｄｏｔｔｉｒ，　Ａ．，　Ｗａｌｕｋｉｅｗｉｃｚ，　Ｉ．　（ｅｄｓ．）ＩＣＡＬＰ　（２）　２００８．ＬＮＣＳ，　ｖｏｌ．　５１２６，　ｐｐ．　５６０－－５７８．Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｔａｋａｓｈｉｍａ，　Ｋ．：Ｅｆｆｉｃｉｅｎｔｌｙ　ｃｏｍｐｕｔａｂｌｅ　ｄｉｓｔｏｒｔｉｏｎ　ｍａｐｓ　ｆｏｒ　ｓｕｐｅｒｓｉｎｇｕｌａｒｃｕｒｖｅｓ．Ｉｎ：　ｖａｎ　ｄｅｒ　Ｐｏｏｒｔｅｎ，　Ａ．Ｊ．，　Ｓｔｅｉｎ，　Ａ．　（ｅｄｓ．）ＡＮＴＳ　ＶＩＩＩ，　ＬＮＣＳ，　ｖｏｌ．　５０１１，　ｐｐ．　８８－－１０１．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ（２００８） Ｗａｔｅｒｓ，　Ｂ．：Ｃｉｐｈｅｒｔｅｘｔ－ｐｏｌｉｃｙ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ：　ａｎ　ｅｘｐｒｅｓｓｉｖｅ，　ｅｆｆｉｃｉｅｎｔ，　ａｎｄ　ｐｒｏｖａｂｌｙ　ｓｅｃｕｒｅ　ｒｅａｌｉｚａｔｉｏｎ．　ｅＰｒｉｎｔ，　ＩＡＣＲ，　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０
　非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、理想化されたモデル（Ｇｅｎｅｒｉｃ　Ｍｏｄｅｌ）における安全性が証明されている。しかし、非特許文献１８で提案されている階層的述語鍵秘匿方式及び階層的述語暗号は、標準のモデル（Ｓｔａｎｄａｒｄ　Ｍｏｄｅｌ）における安全性は証明されていない。
　この発明は、安全性が高い述語暗号及び述語鍵秘匿方式を提供することを目的とする。特に、権限委譲を可能とした述語暗号及び述語鍵秘匿方式を提供することを目的とする。
　この発明に係る暗号処理システムは、例えば、
　数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
　前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
　前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊ Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
を備えることを特徴とする。
Figure JPOXMLDOC01-appb-M000046
　この発明に係る暗号システムによれば、安全性が高い述語暗号及び述語鍵秘匿方式を実現することができる。
「権限委譲（階層的な権限委譲）」という概念を説明するための図。 階層を飛ばした権限委譲を説明するための図。 属性情報と述語情報との階層構造を示す図。 階層的内積述語暗号の応用例である階層的ＩＤベース暗号の例を示す図。 基底と基底ベクトルとを説明するための図。 ベクトル空間における階層構造の実現方法の一例を説明するための図。 暗号処理システム１０の構成図。 暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。 暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャート。 基底変換方法を説明するための図。 実施の形態２に係る階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。 実施の形態２に係る鍵生成装置１００の動作を示すフローチャート。 実施の形態２に係る暗号化装置２００の動作を示すフローチャート。 実施の形態２に係る復号装置３００の動作を示すフローチャート。 実施の形態２に係る鍵委譲装置４００の動作を示すフローチャート。 実施の形態２に係る双対ペアリングベクトル空間の基底の構造を示す概念図。 実施の形態２に係る階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図。 実施の形態２に係る暗号化装置２００の動作を示すフローチャート。 実施の形態２に係る復号装置３００の動作を示すフローチャート。 実施の形態３に係る権限委譲が可能な述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図。 鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図。
　以下、図に基づき、発明の実施の形態を説明する。
　以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。出力装置は後述するＲＡＭ９１４、磁気ディスク９２０、通信ボード９１５、ＬＣＤ９０１等である。つまり、処理装置、記憶装置、通信装置、入力装置、出力装置はハードウェアである。
　以下の説明における記法について説明する。
　Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。
Figure JPOXMLDOC01-appb-M000047
 　Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。
Figure JPOXMLDOC01-appb-M000048
 　数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。
Figure JPOXMLDOC01-appb-M000049
 　ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。
Figure JPOXMLDOC01-appb-M000050
 　ベクトル表記は、有限体Ｆｑにおけるベクトル表示を表す。つまり、数１０５である。
Figure JPOXMLDOC01-appb-M000051
 　数１０６は、数１０７に示す２つのベクトルｘ→とｖ→との数１０８に示す内積を表す。
Figure JPOXMLDOC01-appb-M000052
Figure JPOXMLDOC01-appb-M000053
Figure JPOXMLDOC01-appb-M000054
 　ＸＴは、行列Ｘの転置行列を表す。
　また、以下の説明において、暗号処理とは、暗号化処理、復号処理、鍵生成処理を含むものであり、鍵秘匿処理も含むものである。
　実施の形態１．
　この実施の形態では、後の実施の形態で説明する「権限委譲を有する述語暗号（Ｐｒｅｄｉｃａｔｅ　Ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　Ｄｅｌｅｇａｔｉｏｎ）」や「権限委譲を有する述語鍵秘匿方式（Ｐｒｅｄｉｃａｔｅ　Ｋｅｙ　Ｅｎｃａｐｓｕｌａｔｉｏｎ　Ｍｅｃｈａｎｉｓｍ　ｗｉｔｈ　Ｄｅｌｅｇａｔｉｏｎ）」を実現する基礎となる概念と、権限委譲を有する述語暗号（述語鍵秘匿方式）の基本構成について説明する。
　第１に、権限委譲を有する述語暗号（述語鍵秘匿方式）の一種である「権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）」という概念を説明する。後の実施の形態で説明する権限委譲を有する述語暗号（述語鍵秘匿方式）は、権限委譲を有する内積述語暗号（内積述語鍵秘匿方式）である。権限委譲を有する内積述語暗号という概念を説明するに当たり、まず「権限委譲」という概念を説明する。また、併せて、「階層的（Ｈｉｅｒａｒｃｈｉａｌ）な権限委譲」という概念を説明する。次に、「内積述語暗号」を説明する。そして、階層的な権限委譲という概念を内積述語暗号に加えた「階層的内積述語暗号（階層的内積述語鍵秘匿方式）」を説明する。さらに、階層的内積述語暗号の理解を深めるため、階層的内積述語暗号の応用例を説明する。
　第２に、ベクトル空間における階層的内積述語暗号を説明する。この実施の形態及び以下の実施の形態では、階層的述語暗号と階層的述語鍵秘匿方式とをベクトル空間において実現する。ここでは、まず、「基底」と「基底ベクトル」について説明する。次に、「ベクトル空間における内積述語暗号」について説明する。そして、「ベクトル空間における階層構造の実現方法」について説明する。さらに、理解を深めるため、階層構造の実現例を説明する。
　第３に、この実施の形態及び後の実施の形態に係る「階層的述語暗号」と「階層的述語鍵秘匿方式」との基本構成を説明する。併せて、階層的述語暗号と階層的述語鍵秘匿方式とを実行する「暗号処理システム１０」の概要を説明する。
　第４に、階層的述語鍵秘匿方式や階層的述語暗号を実現するための概念を説明する。ここでは、「双線形ペアリンググループ」、「ベクトル空間Ｖとベクトル空間Ｖ＊」、「標準的な双対基底Ａ，Ａ＊」、「ペアリング演算」、「基底変換」、「ディストーション写像」を説明する。
　第５に、階層的述語鍵秘匿方式と階層的述語暗号とを実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ　Ｐａｉｒｉｎｇ　Ｖｅｃｔｏｒ　Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
　そして、第６に、以上の説明を踏まえ、後の実施の形態で詳細に説明する階層的述語暗号と階層的述語鍵秘匿方式との実現方法を簡単に説明する。
　＜第１．階層的内積述語暗号＞
　＜第１－１．権限委譲（階層的な権限委譲）という概念＞
　図１は、「権限委譲（階層的な権限委譲）」という概念を説明するための図である。
　権限委譲とは、上位の鍵を有する利用者が、その鍵（上位の鍵）よりも機能が制限された下位の鍵を生成することである。
　図１では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵を用いて、第１層目（Ｌｅｖｅｌ－１）の利用者へ秘密鍵を生成する。つまり、Ｒｏｏｔは、第１層目の利用者１，２，３それぞれへ鍵１，２，３を生成する。そして、例えば、利用者１であれば、鍵１を用いて、利用者１の下位（第１層目）の利用者である利用者１１，１２，１３それぞれへ鍵１１，１２，１３を生成することができる。ここで、利用者１が有する鍵１よりも、利用者１１，１２，１３が有する鍵１１，１２，１３は機能が制限されている。機能が制限されているとは、その秘密鍵によって復号できる暗号文が限定されているということである。つまり、上位の秘密鍵で復号できる暗号文の一部の暗号文のみ下位の秘密鍵で復号できることを意味する。すなわち、利用者１が有する鍵１で復号できる暗号文のうち、一部の暗号文のみ利用者１１，１２，１３が有する鍵１１，１２，１３で復号することができる。また、通常は、鍵１１と鍵１２と鍵１３とが復号できる暗号文は異なる。一方、鍵１１と鍵１２と鍵１３が復号できる暗号文は、鍵１で復号することができる。
　また、図１に示すように、各秘密鍵が階層（レベル）分けされていることを「階層的」という。つまり、図１に示すように、階層的に下位の鍵を生成することを「階層的な権限委譲」と呼ぶ。
　なお、図１では、Ｒｏｏｔが第１層目の利用者へ秘密鍵を生成し、第１層目の利用者が第２層目の利用者へ秘密鍵を生成し、第２層目の利用者が第３層目の利用者へ秘密鍵を生成すると説明した。しかし、図２に示すように、Ｒｏｏｔは、第１層目の利用者へ秘密鍵を生成するだけでなく、第２層目以下の層の利用者へ秘密鍵を生成することもできる。同様に、第１層目の利用者は、第２層目の利用者へ秘密鍵を生成するだけでなく、第３層目以下の層の利用者へ秘密鍵を生成することもできる。つまり、Ｒｏｏｔや利用者は、自分が持つ秘密鍵よりも下位の層の秘密鍵を生成することができる。
　＜第１－２．内積述語暗号＞
　次に、「内積述語暗号」について説明する。
　まず、述語暗号とは、述語情報ｆｖに属性情報ｘを入力した場合に１（Ｔｒｕｅ）となる場合（ｆｖ（ｘ）＝１となる場合）に、暗号文を復号できる暗号方式である。通常、暗号文に属性情報ｘが埋め込まれ、秘密鍵に述語情報ｆｖが埋め込まれる。つまり、述語暗号では、属性情報ｘに基づき暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号する。述語暗号は、例えば、述語情報ｆｖが条件式であり、属性情報ｘがその条件式への入力情報であり、入力情報（属性情報ｘ）が条件式（述語情報ｆｖ）を満たせば（ｆｖ（ｘ）＝１）、暗号文を復号できる暗号方式であるとも言える。
　なお、述語暗号について詳しくは非特許文献１６に記載されている。
　内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合に、ｆｖ（ｘ）＝１となる述語暗号である。つまり、属性情報ｘと述語情報ｆｖとの内積が所定の値の場合にのみ、属性情報ｘにより暗号化された暗号文ｃを、述語情報ｆｖに基づき生成された秘密鍵ＳＫｆにより復号することができる。以下の説明では、属性情報ｘと述語情報ｆｖとの内積が０の場合に、ｆｖ（ｘ）＝１となるものとする。
　＜第１－３．階層的内積述語暗号＞
　階層的内積述語暗号（階層的内積述語鍵秘匿方式）とは、上述した「階層的な権限委譲」という概念を有する「内積述語暗号」である。
　階層的内積述語暗号は、内積述語暗号に階層的な権限委譲システムを持たせるため、属性情報と述語情報とに階層構造を持たせる。
　図３は、属性情報と述語情報との階層構造を示す図である。
　図３において、符号が対応する属性情報と述語情報とは対応する（つまり、内積が０となる）ものとする。つまり、属性１と述語１との内積は０となり、属性１１と述語１１との内積は０となり、属性１２と述語１２との内積は０となり、属性１３と述語１３との内積は０となるとする。すなわち、属性１により暗号化された暗号文ｃ１は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。また、属性１１により暗号化された暗号文ｃ１１は、述語１１に基づき生成された秘密鍵ｋ１１であれば復号できる。属性１２と述語１２、属性１３と述語１３についても同様のことが言える。
　上記の通り、階層的内積述語暗号は階層的な権限委譲システムを有する。そのため、述語１に基づき生成された秘密鍵ｋ１と、述語１１とに基づき、秘密鍵ｋ１１を生成することができる。つまり、上位の秘密鍵ｋ１を有する利用者は、その秘密鍵ｋ１と下位の述語１１とから、秘密鍵ｋ１の下位の秘密鍵ｋ１１を生成することができる。同様に、秘密鍵ｋ１と述語１２とから秘密鍵ｋ１２を生成でき、秘密鍵ｋ１と述語１３とから秘密鍵ｋ１３を生成できる。
　また、下位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文を上位の秘密鍵で復号できる。一方、上位の秘密鍵に対応する鍵（公開鍵）で暗号化された暗号文は、下位の秘密鍵で復号できない。つまり、属性１１、属性１２、属性１３により暗号化された暗号文ｃ１１、ｃ１２、ｃ１３は、述語１に基づき生成された秘密鍵ｋ１であれば復号できる。一方、属性１により暗号化された暗号文ｃ１は、述語１１、述語１２、述語１３に基づき生成された秘密鍵ｋ１１、ｋ１２、ｋ１３では復号できない。すなわち、属性１１、属性１２、属性１３と述語１との内積は０となる。一方、属性１と述語１１、述語１２、述語１３との内積は０とならない。
　＜第１－４．階層的内積述語暗号の応用例＞
　図４は、後述する階層的内積述語暗号の応用例である階層的ＩＤベース暗号（Ｈｉｅｒａｒｃｈｉａｌ　Ｉｄｅｎｔｉｆｉｅｒ　Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ，ＨＩＢＥ）の例を示す図である。なお、階層的ＩＤベース暗号とは、ＩＤベース暗号が階層的になった暗号処理である。ＩＤベース暗号は、述語暗号の一種であり、暗号文に含まれるＩＤと秘密鍵に含まれるＩＤとが一致する場合に暗号文を復号できるマッチング述語暗号である。
　図４に示す例では、Ｒｏｏｔ（鍵生成装置）は、マスター秘密鍵ｓｋとＡ会社のＩＤである「Ａ」とに基づき、ＩＤ「Ａ」に対応する秘密鍵（鍵Ａ）を生成する。例えば、Ａ会社のセキュリティ担当者は、鍵Ａと各部門のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、セキュリティ担当者は、営業部門のＩＤである「Ａ－１」に対応する秘密鍵（鍵１）を生成する。次に、例えば、各部門の管理者は、その部門の秘密鍵とその部門に属する各課のＩＤとに基づき、そのＩＤに対応する秘密鍵を生成する。例えば、営業部門の管理者は、営業１課のＩＤである「Ａ－１１」に対応する秘密鍵（鍵１１）を生成する。
　ここで、営業１課のＩＤ「Ａ－１１」に対応する秘密鍵である鍵１１により、営業１課のＩＤ「Ａ－１１」で暗号化された暗号文を復号することができる。しかし、鍵１１により、営業２課や営業３課のＩＤで暗号化された暗号文は復号することはできない。また、鍵１１により、営業部門のＩＤで暗号化された暗号文は復号することができない。
　営業部門のＩＤ「Ａ－１」に対応する秘密鍵である鍵１により、営業部門のＩＤ「Ａ－１」で暗号化された暗号文を復号することができる。また、鍵１により、営業部門に属する課のＩＤで暗号化された暗号文を復号することができる。つまり、鍵１により、営業１課、営業２課、営業３課のＩＤで暗号化された暗号文を復号することができる。しかし、鍵１により、製造部門（ＩＤ：Ａ－２）やスタッフ部門（ＩＤ：Ａ－３）のＩＤで暗号化された暗号文は復号することができない。また、鍵１により、Ａ会社のＩＤで暗号化された暗号文は復号することができない。
　Ａ会社のＩＤ「Ａ」に対応する秘密鍵である鍵Ａにより、Ａ会社のＩＤ「Ａ」で暗号化された暗号文を復号することができる。また、Ａ会社に属する各部門や、その部門に属する課のＩＤで暗号化された暗号文を復号することができる。
　階層的内積述語暗号は、ＩＤベース暗号以外へも様々な応用が可能である。特に、以下に説明する暗号処理は、等号関係テストのクラスに限定されたものではないため、非常に多くの応用が可能である。例えば、内積述語暗号の一種である検索可能暗号等についても、階層毎に検索可能な範囲をＡＮＤ条件やＯＲ条件等の条件式を用いて限定する等、従来の権限委譲システムを有する述語暗号では実現できなかった応用が可能である。
　つまり、後の実施の形態で説明する階層的述語鍵秘匿方式と階層的述語暗号とは、ＩＤベース暗号や検索可能暗号等へ幅広い応用が可能である。
　＜第２．ベクトル空間における階層的内積述語暗号＞
　階層的述語鍵秘匿方式と階層的述語暗号とは、後述する双対ペアリングベクトル空間という高次元ベクトル空間において実現される。そこで、ベクトル空間における階層的内積述語暗号を説明する。
　＜第２－１．基底と基底ベクトル＞
　まず、ベクトル空間の説明において使用する「基底」と「基底ベクトル」とについて簡単に説明する。
　図５は、基底と基底ベクトルとを説明するための図である。
　図５は、２次元ベクトル空間におけるベクトルｖを示す。ベクトルｖは、ｃ１ａ１＋ｃ２ａ２である。また、ベクトルｖは、ｙ１ｂ１＋ｙ２ｂ２である。ここで、ａ１，ａ２を基底Ａにおける基底ベクトルといい、基底Ａ：＝（ａ１，ａ２）と表す。また、ｂ１，ｂ２を基底Ｂにおける基底ベクトルといい、基底Ｂ：＝（ｂ１，ｂ２）と表す。また、ｃ１，ｃ２，ｙ１，ｙ２は、各基底ベクトルに対する係数である。図５では、２次元ベクトル空間であったため、各基底における基底ベクトルは２個であった。しかし、Ｎ次元ベクトル空間であれば、各基底における基底ベクトルはＮ個である。
　＜第２－２．ベクトル空間における内積述語暗号＞
　次に、ベクトル空間における内積述語暗号を説明する。
　上記の通り、内積述語暗号とは、属性情報ｘと述語情報ｆｖとの内積が所定の値（ここでは、０）の場合に、ｆｖ（ｘ）＝１となる述語暗号である。属性情報ｘと述語情報ｆｖとがベクトルであった場合、つまり属性ベクトルｘ→と述語ベクトルｖ→とであった場合、内積述語は数１０９のように定義される。
Figure JPOXMLDOC01-appb-M000055
 　つまり、属性ベクトルｘ→と述語ベクトルｖ→との内積、つまり要素毎の内積の和が０である場合に、述語情報ｆｖに属性情報ｘを入力した結果が１（Ｔｒｕｅ）となる。また、属性ベクトルｘ→と述語ベクトルｖ→との内積が０でない場合に、述語情報ｆｖに属性情報ｘを入力した結果が０（Ｆａｌｓｅ）となる述語暗号である。
　＜第２－３．ベクトル空間における階層構造の実現方法＞
　次に、ベクトル空間における階層構造の実現方法を説明する。
　図６は、ベクトル空間における階層構造の実現方法の一例を説明するための図である。
　ここで扱うベクトル空間は、高次元（Ｎ次元）ベクトル空間であるとする。つまり、ベクトル空間における所定の基底Ｃには、基底ベクトルｃｉ（ｉ＝１，．．．，Ｎ）のＮ個の基底ベクトルが存在する。
　Ｎ個の基底ベクトルのうちのｎ個の基底ベクトル（基底ベクトルｃｉ（ｉ＝1，．．．，ｎ））を階層構造を表すために使用する。また、基底ベクトルｃｉ（ｉ＝１，．．．，ｎ）を、基底ベクトルｃｉ（ｉ＝１，．．．，μ１）と、基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）と、．．．、基底ベクトルｃｉ（ｉ＝μｄ－１＋１，．．．，ｎ）とのｄ個に分割する。ここで、ｄは、階層の深さを表す数となる。
　そして、μ１個の基底ベクトルｃｉ（ｉ＝１，．．．，μ１）を第１層目の属性情報や述語情報を表すために割り当てる。また、μ２－μ１個の基底ベクトルｃｉ（ｉ＝μ１＋１，．．．，μ２）を第２層目の属性情報や述語情報を表すために割り当てる。以下同様に、μｄ－μｄ－１個の基底ベクトルｃｉ（ｉ＝μｄ－１＋１，．．．，μｄ（＝ｎ））を第ｄ層目の属性情報や述語情報を表すために割り当てる。
　また、第Ｌ層目の属性情報によって暗号文を生成する場合には、第Ｌ層目の属性情報だけでなく、第１層目から第Ｌ層目までの属性情報を用いて暗号文を生成する。同様に、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第Ｌ層目の述語情報だけでなく、第１層目から第Ｌ層目までの述語情報を用いて秘密鍵を生成する。つまり、第Ｌ層目の属性情報によって暗号文を生成する場合や、第Ｌ層目の述語情報によって秘密鍵を生成する場合には、第１層目から第Ｌ層目までに割り当てられたμＬ個の基底ベクトルｃｉ（ｉ＝１，．．．，μＬ）を用いる。例えば、第３層目の属性情報によって暗号文を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの属性情報を用いて暗号文を生成する。同様に、第３層目の述語情報によって秘密鍵を生成する場合には、第１層目から第３層目までに割り当てられたμ３個の基底ベクトルｃｉ（ｉ＝１，．．．，μ３）を用いて、第１層目から第３層目までの述語情報を表して秘密鍵を生成する。つまり、下位の層で使用される属性情報や述語情報には、上位の層で使用される属性情報や述語情報が含まれる。これにより、属性情報と述語情報とに階層構造を持たせる。そして、この属性情報と述語情報とに階層構造を利用して、内積述語暗号に権限委譲システムを持たせる。
　なお、以下の説明においては、ベクトル空間における階層的構造を示すために、階層情報μ→を用いる。階層情報μ→を数１１０に示す。
Figure JPOXMLDOC01-appb-M000056
 　つまり、階層情報μ→は、階層構造を表すために割り当てられた基底ベクトル数（次元数）を示すｎと、階層の深さを示すｄと、各階層に割り当てられた基底ベクトルを示すためのμ１，．．．，μｄとの情報を有する。
　次に、ベクトル空間における階層的内積述語暗号を説明する。
　属性空間ΣＬ（Ｌ＝１，．．．，ｄ）を、第Ｌ層目の属性情報を表すために割り当てられた空間であるとする。ここで、各ΣＬは、数１１１である。
Figure JPOXMLDOC01-appb-M000057
 　階層的な属性を数１１２に示すΣとする。ここで、和集合は互いに素な和集合である。
Figure JPOXMLDOC01-appb-M000058
 　すると、数１１３に示す階層的な属性における数１１４に示す階層的な述語は、数１１５のように定義される。
Figure JPOXMLDOC01-appb-M000059
Figure JPOXMLDOC01-appb-M000060
Figure JPOXMLDOC01-appb-M000061
 　階層的な述語空間を数１１６に示すＦとする。
Figure JPOXMLDOC01-appb-M000062
 　また、数１１７のｈと数１１８のＬとを階層と呼ぶ。
Figure JPOXMLDOC01-appb-M000063
Figure JPOXMLDOC01-appb-M000064
　＜第２－４．階層構造の実現例＞
　ここで、簡単な例を用いて階層構造を説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元空間を用いて説明する。つまり、μ→：＝（ｎ，ｄ；μ１，．．．，μｄ）＝（６，３；２，４，６）である。
　第１層目の述語ベクトルｖ→ １：＝（ｖ１，ｖ２）に基づき生成された第１層目の秘密鍵ｓｋ１を有する利用者は、第１層目の秘密鍵ｓｋ１と第２層目の述語ベクトルｖ→ ２：＝（ｖ３，ｖ４）に基づき第２層目の秘密鍵ｓｋ２を生成することができる。つまり、第２層目の秘密鍵ｓｋ２は、述語ベクトル（ｖ→ １，ｖ→ ２）に基づき生成される。同様に、第２層目の秘密鍵ｓｋ２を有する利用者は、第２層目の秘密鍵ｓｋ２と第３層目の述語ベクトルｖ→ ３：＝（ｖ５，ｖ６）に基づき第３層目の秘密鍵ｓｋ３を生成することができる。つまり、第３層目の秘密鍵ｓｋ３は、述語ベクトル（ｖ→ １，ｖ→ ２，ｖ→ ３）に基づき生成される。
　第１層目の述語ベクトルｖ→ １に基づき生成された第１層目の秘密鍵ｓｋ１は、（ｖ→ １，（０，０），（０，０））により生成された秘密鍵である。そのため、第１層目の秘密鍵ｓｋ１は、属性ベクトル（ｘ→ １，（＊，＊），（＊，＊））：＝（（ｘ１，ｘ２），（＊，＊），（＊，＊））により暗号化された暗号文を、ｖ→ １・ｘ→ １＝０である場合には復号できる。なぜなら、（＊，＊）・（０，０）＝０であるためである。ここで、“＊”は、任意の値を示す。
　同様に、第２層目の述語ベクトル（ｖ→ １，ｖ→ ２）に基づき生成された第２層目の秘密鍵ｓｋ２は、（ｖ→ １，ｖ→ ２，（０，０））により生成された秘密鍵である。そのため、第２層目の秘密鍵ｓｋ２は、属性ベクトル（ｘ→ １，ｘ→ ２，（＊，＊））：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（＊，＊））により暗号化された暗号文を、ｖ→ １・ｘ→ １＝０かつｖ→ ２・ｘ→ ２＝０である場合には復号できる。
　しかし、第２層目の秘密鍵ｓｋ２は、第１層目の属性ベクトルｘ→ １：＝（ｘ１，ｘ２）（つまり、（ｘ→ １，（＊，＊），（＊，＊））により暗号化された暗号文を復号することはできない。なぜなら、ｖ→ ２＝（０，０）でなければ、（＊，＊）・ｖ→ ２≠０であり、ｖ→ ２・ｘ→ ２≠０であるためである。そのため、第２層目の秘密鍵ｓｋ２は、親である秘密鍵鍵ｓｋ２よりも限定された能力のみを有していると言える。
　＜第３．階層的述語暗号と階層的述語鍵秘匿方式との構成＞
　＜第３－１．階層的述語暗号＞
　階層的述語暗号の構成を簡単に説明する。
　階層的述語暗号は、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ－１）の５つの確率的多項式時間アルゴリズムを備える。
　（Ｓｅｔｕｐ）
　Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
　（ＧｅｎＫｅｙ）
　ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１１９に示す述語ベクトルが入力され、数１２０に示す第Ｌ層目の秘密鍵が出力される。
Figure JPOXMLDOC01-appb-M000065
Figure JPOXMLDOC01-appb-M000066
 　（Ｅｎｃ）
　Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２１に示す属性ベクトルと平文情報ｍとが入力され、暗号文ｃが出力される。つまり、Ｅｎｃアルゴリズムでは、平文情報ｍを埋め込み、数１２１に示す属性ベクトルにより暗号化された暗号文ｃが出力される。
Figure JPOXMLDOC01-appb-M000067
 　（Ｄｅｃ）
　Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２２に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、平文情報ｍ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、平文情報ｍを抽出する。また、復号に失敗した場合には識別情報⊥を出力する。
Figure JPOXMLDOC01-appb-M000068
 　（ＤｅｌｅｇａｔｅＬ）
　ＤｅｌｅｇａｔｅＬでは、マスター公開鍵ｐｋと数１２３に示す第Ｌ層目の秘密鍵と数１２４に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１２５に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
Figure JPOXMLDOC01-appb-M000069
Figure JPOXMLDOC01-appb-M000070
Figure JPOXMLDOC01-appb-M000071
　＜第３－２．階層的述語暗号＞
　階層的述語鍵秘匿方式の構成を簡単に説明する。
　階層的述語鍵秘匿方式は、階層的述語暗号と同様に、Ｓｅｔｕｐ、ＧｅｎＫｅｙ、Ｅｎｃ、Ｄｅｃ、ＤｅｌｅｇａｔｅＬ（Ｌ＝１，．．．，ｄ－１）の５つの確率的多項式時間アルゴリズムを備える。
　（Ｓｅｔｕｐ）
　Ｓｅｔｕｐアルゴリズムでは、セキュリティパラメータ１λと階層情報μ→とが入力され、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとが出力される。マスター秘密鍵ｓｋは最も上位の鍵である。
　（ＧｅｎＫｅｙ）
　ＧｅｎＫｅｙアルゴリズムでは、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと数１２６に示す述語ベクトルが入力され、数１２７に示す第Ｌ層目の秘密鍵が出力される。
Figure JPOXMLDOC01-appb-M000072
Figure JPOXMLDOC01-appb-M000073
 　（Ｅｎｃ）
　Ｅｎｃアルゴリズムでは、マスター公開鍵ｐｋと数１２８に示す属性ベクトルとが入力され、暗号文ｃとセッション鍵Ｋとが出力される。つまり、Ｅｎｃアルゴリズムでは、所定の情報（ρ）を埋め込み、数１２８に示す属性ベクトルにより暗号化された暗号文ｃと、所定の情報（ρ）から生成したセッション鍵Ｋとが出力される。
Figure JPOXMLDOC01-appb-M000074
 　（Ｄｅｃ）
　Ｄｅｃアルゴリズムでは、マスター公開鍵ｐｋと数１２９に示す第Ｌ層目の秘密鍵と暗号文ｃとが入力され、セッション鍵Ｋ又は識別情報⊥が出力される。識別情報⊥とは、復号に失敗したことを示す情報である。つまり、Ｄｅｃアルゴリズムでは、暗号文ｃを第Ｌ層目の秘密鍵で復号して、所定の情報（ρ）に関する情報を抽出し、セッション鍵Ｋを生成する。また、復号に失敗した場合には識別情報⊥を出力する。
Figure JPOXMLDOC01-appb-M000075
 　（ＤｅｌｅｇａｔｅＬ）
　ＤｅｌｅｇａｔｅＬアルゴリズムでは、マスター公開鍵ｐｋと数１３０に示す第Ｌ層目の秘密鍵と数１３１に示す第Ｌ＋１層目の述語ベクトルとが入力され、数１３２に示す第Ｌ＋１層目の秘密鍵が出力される。つまり、ＤｅｌｅｇａｔｅＬアルゴリズムでは、下位の秘密鍵が出力される。
Figure JPOXMLDOC01-appb-M000076
Figure JPOXMLDOC01-appb-M000077
Figure JPOXMLDOC01-appb-M000078
　＜第３－３．暗号処理システム１０＞
　暗号処理システム１０について説明する。暗号処理システム１０は、上述した階層的述語暗号と階層的述語鍵秘匿方式とのアルゴリズムを実行する。
　図７は、暗号処理システム１０の構成図である。
　暗号処理システム１０は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。なお、ここでは、復号装置３００は、鍵委譲装置４００を備えるものとする。また、上述したように、暗号処理システム１０は、階層的な暗号処理を実行するものであるため、暗号処理システム１０は、複数の暗号化装置２００、複数の復号装置３００、複数の鍵委譲装置４００を備えるものとする。
　鍵生成装置１００は、階層的述語鍵秘匿方式と階層的述語暗号とのＳｅｔｕｐ、ＧｅｎＫｅｙアルゴリズムを実行する。
　暗号化装置２００は、階層的述語鍵秘匿方式と階層的述語暗号とのＥｎｃアルゴリズムを実行する。
　復号装置３００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｃアルゴリズムを実行する。
　鍵委譲装置４００は、階層的述語鍵秘匿方式と階層的述語暗号とのＤｅｌｅｇａｔｅＬアルゴリズムを実行する。
　図８は、暗号処理システム１０の鍵生成装置１００と第Ｌ層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図８は、マスター鍵（マスター公開鍵とマスター秘密鍵）の生成、第Ｌ層目の秘密鍵の生成から、第Ｌ層目における暗号化と復号とまでの動作を示すフローチャートである。
　（Ｓ１０１：鍵生成ステップ）
　鍵生成装置１００は、Ｓｅｔｕｐアルゴリズムを実行してマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。また、鍵生成装置１００は、生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋと、所定の復号装置３００（第Ｌ層目の復号装置３００）に対応する述語ベクトルｖ→ Ｌ（ｖ→ Ｌ＝（ｖ１，．．．，ｖｉ）（ｉ＝μＬ））とに基づき、ＧｅｎＫｅｙアルゴリズムを実行して第Ｌ層目の秘密鍵を生成する。そして、鍵生成装置１００は、生成したマスター公開鍵ｐｋを公開（配布）するとともに、第Ｌ層目の秘密鍵を前記所定の復号装置３００へ秘密裡に配布する。なお、鍵生成装置１００は、マスター秘密鍵を秘密裡に保持する。
　（Ｓ１０２：暗号化ステップ）
　暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、前記復号装置３００の属性ベクトルｘ→ Ｌ（ｘ→ Ｌ＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→ Ｌは、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
　（Ｓ１０３：復号ステップ）
　復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと第Ｌ層目の秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。復号装置３００は、復号に失敗した場合には識別情報⊥を出力する。
　図９は、暗号処理システム１０の第Ｌ層目の鍵委譲装置４００と、第Ｌ＋１層目の暗号化装置２００と復号装置３００との動作を示すフローチャートである。つまり、図９は、第Ｌ＋１層目の秘密鍵の生成から、第Ｌ＋１層目における暗号化と復号とまでの動作を示すフローチャートである。
　（Ｓ２０１：鍵委譲ステップ）
　第Ｌ層目の鍵委譲装置４００（第Ｌ層目の復号装置３００が備える鍵委譲装置４００）は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、鍵生成装置１００又は第Ｌ－１層目の鍵委譲装置４００が配布した第Ｌ層目の秘密鍵と、第Ｌ＋１層目の復号装置３００に対応する述語ベクトルｖ→ Ｌ＋１（ｖ→ Ｌ＋１＝（ｖｉ，．．．，ｖｊ）（ｉ＝μＬ＋１，ｊ＝μＬ＋１））とに基づき、アルゴリズムＤｅｌｅｇａｔｅＬを実行して第Ｌ＋１層目の秘密鍵を生成する。そして、第Ｌ層目の鍵委譲装置４００は、生成した秘密鍵を第Ｌ＋１層目の復号装置３００へ秘密裡に配布する。
　（Ｓ２０２：暗号化ステップ）
　暗号化装置２００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、第Ｌ＋１層目までの復号装置３００の属性ベクトルｘ→ １から属性ベクトルｘ→ Ｌ＋１（ｘ→ ｉ（ｉ＝１，．．．，Ｌ＋１）（＝（ｘ１，．．．，ｘｉ）（ｉ＝μＬ＋１）））とに基づき、Ｅｎｃアルゴリズムを実行して暗号文ｃを生成する。なお、階層的述語鍵秘匿方式であれば、暗号化装置２００は、セッション鍵Ｋも併せて生成する。そして、暗号化装置２００は、生成した暗号文ｃを前記復号装置３００へネットワーク等を介して送信する。なお、属性ベクトルｘ→ １から属性ベクトルｘ→ Ｌ＋１（ｘ→ ｉ（ｉ＝１，．．．，Ｌ＋１））は、公開されているものとしてもよいし、暗号化装置２００が鍵生成装置１００や復号装置３００から取得するものとしてもよい。
　（Ｓ２０３：復号ステップ）
　復号装置３００は、（Ｓ１０１）で鍵生成装置１００が配布したマスター公開鍵ｐｋと、（Ｓ２０１）で第Ｌ層目の鍵委譲装置４００が配布した秘密鍵とに基づき、アルゴリズムＤｅｃを実行して、暗号化装置２００から受信した暗号文ｃを復号する。復号装置３００は、暗号文ｃを復号した結果、階層的述語鍵秘匿方式であればセッション鍵Ｋを取得し、階層的述語暗号であれば平文情報ｍを取得する。
　＜第４．階層的述語鍵秘匿方式と階層的述語暗号とを実現するための概念＞
　次に、上述した階層的述語暗号と階層的述語鍵秘匿方式との各アルゴリズムを実現するために必要となる概念を説明する。
　ここでは、非対称ペアリンググループの直積により後述する双対ペアリングベクトル空間を構成する例を用いて、暗号処理を実現する方法を説明する。しかし、双対ペアリングベクトル空間は、非対称ペアリンググループの直積により実現されるものに限定されない。つまり、他の方法により構成された双対ペアリングベクトル空間においても、以下に説明する暗号処理は実現可能である。なお、双対ペアリングベクトル空間の典型的な３つの例が、非特許文献１７に記載されている。
　＜第４－１．双線形ペアリンググループ＞
　双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）を説明する。
　双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、位数ｑの３つの巡回群Ｇ１，Ｇ２，ＧＴの組である。ｇ１はＧ１の生成元であり、ｇ２はＧ２の生成元である。そして、双線形ペアリンググループ（ｑ，Ｇ１，Ｇ２，ＧＴ，ｇ１，ｇ２，ｇＴ）は、以下の非退化双線形ペアリングの条件を満たす。
　（条件：非退化双線形ペアリング）
　多項式時間で計算可能な数１３３に示す非退化双線形ペアリングが存在すること。
Figure JPOXMLDOC01-appb-M000079
 　ここで、Ｇ１＝Ｇ２（＝：Ｇ）である場合、対称双線形ペアリングと呼ぶ。一方、Ｇ１≠Ｇ２である場合、非対称双線形ペアリングと呼ぶ。対称双線形ペアリングは、超特異（超）楕円曲線を用いて構築できる。一方、非対称双線形ペアリングは、どんな（超）楕円曲線を用いても構築できる。非対称双線形ペアリングは、例えば、通常の楕円曲線を用いて構築できる。
　＜第４－２．ベクトル空間Ｖとベクトル空間Ｖ＊＞
　１次元空間の巡回群を高次元空間（高次元ベクトル空間）へ拡張する。つまり、数１３４に示すように、Ｇ１とＧ２との直積によりＮ次元ベクトル空間ＶとＮ次元ベクトル空間Ｖ＊とを構築する。
Figure JPOXMLDOC01-appb-M000080
　＜第４－３．標準的な双対基底Ａ，Ａ＊＞
　Ｎ次元ベクトル空間Ｖの標準基底Ａと、Ｎ次元ベクトル空間Ｖ＊の標準基底Ａ＊とを説明する。
　数１３５は、標準基底Ａと標準基底Ａ＊とを示す。
Figure JPOXMLDOC01-appb-M000081
 　標準基底Ａと標準基底Ａ＊とは、数１３６に示す条件を満たす。
Figure JPOXMLDOC01-appb-M000082
 　つまり、標準基底Ａと標準基底Ａ＊とは、双対正規直交基底であり、空間Ｖと空間Ｖ＊とは、ペアリング演算ｅによって関連付けられた双対ベクトル空間である。
　標準基底Ａと標準基底Ａ＊とが数１３６に示す条件を満たすことについて補足する。
　まず、ｅ（ａｉ，ａ＊ ｉ）＝ｇＴであることについて説明する。一例として、ｅ（ａ１，ａ＊ １）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊ １＝（ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊ １）＝ｅ（ｇ１，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ここで、上記の通り、ｅ（ｇ１，ｇ２）＝ｇＴである。また、ｅ（０，０）＝ｅ（０・ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（０，０）＝１である。したがって、ｅ（ａ１，ａ＊ １）＝ｇＴとなる。他のｅ（ａｉ，ａ＊ ｉ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ ｉ）＝ｇＴとなる。
　次に、ｅ（ａｉ，ａ＊ ｊ）＝１（ｉ≠ｊ）であることについて説明する。一例として、ｅ（ａ１，ａ＊ ２）について計算する。上記の通り、ａ１＝（ｇ１，０，．．．，０）であり、ａ＊ ２＝（０，ｇ２，０，．．．，０）である。したがって、ｅ（ａ１，ａ＊ ２）＝ｅ（ｇ１，０）×ｅ（０，ｇ２）×ｅ（０，０）×，．．．，×ｅ（０，０）である。ｅ（ｇ１，０）＝ｅ（ｇ１，０・ｇ２）＝ｅ（ｇ１，ｇ２）０であるから、ｅ（ｇ１，０）＝１である。同様に、ｅ（０，ｇ２）＝１である。また、上記の通り、ｅ（０，０）＝１である。したがって、ｅ（ａｉ，ａ＊ ｊ）＝１となる。他のｅ（ａｉ，ａ＊ ｊ）についても同様の計算が成立し、ｅ（ａｉ，ａ＊ ｊ）＝１となる。
　したがって、標準基底Ａと標準基底Ａ＊とにおいて、ｅ（ａｉ，ａ＊ ｉ）＝ｇＴであり、ｅ（ａｉ，ａ＊ ｊ）＝１（ｉ≠ｊ）である。
　＜第４－４．ペアリング演算＞
　Ｎ次元ベクトル空間Ｖ，Ｖ＊におけるペアリング演算ｅを数１３７に示すように定義する。
Figure JPOXMLDOC01-appb-M000083
 　つまり、Ｎ次元ベクトル空間Ｖのベクトルｘ：＝（ｘ１ｇ１，ｘ２ｇ１，．．．，ｘＮｇ１）とＮ次元ベクトル空間Ｖ＊のベクトルｙ：＝（ｙ１ｇ２，ｙ２ｇ２，．．．，ｙＮｇ２）とのペアリング演算ｅ（ｘ，ｙ）は、ベクトルｘとベクトルｙとの要素毎のペアリング演算の積と定義する。すると、上述した非退化双線形ペアリングの条件から、ペアリング演算ｅ（ｘ，ｙ）は、数１３８に示すように表すことができる。
Figure JPOXMLDOC01-appb-M000084
　＜第４－５．基底変換＞
　標準基底Ａと標準基底Ａ＊とから他の基底Ｂと基底Ｂ＊とへ変換する基底変換方法について説明する。図１０は、基底変換方法を説明するための図である。
　空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂ：＝（ｂ１，．．．，ｂＮ）へ変換する。ここでは、数１３９に示す一様に選択された線形変換Ｘを用いて、数１４０に示すように空間Ｖにおける標準基底Ａから空間Ｖにおける他の基底Ｂに変換する。
Figure JPOXMLDOC01-appb-M000085
Figure JPOXMLDOC01-appb-M000086
 　ここで、ＧＬは、Ｇｅｎｅｒａｌ　Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。
　Ｘを用いることにより、空間Ｖ＊における標準基底Ａ＊から空間Ｖ＊における基底Ｂ＊：＝（ｂ＊ １，．．．，ｂ＊ Ｎ）を効率的に計算できる。ここでは、数１４１に示すようにＸを用いて、空間Ｖ＊における基底Ｂ＊を計算する。
Figure JPOXMLDOC01-appb-M000087
　ここで、数１４２が成立する。
Figure JPOXMLDOC01-appb-M000088
 　つまり、基底Ｂと基底Ｂ＊とは、双対空間ＶとＶ＊における双対正規直交基底である。すなわち、Ｘを用いて標準基底ＡとＡ＊とを変形した場合であっても、双対正規直交基底は保存される。
　＜第４－６．ディストーション写像＞
　標準基底Ａにおける空間Ｖの生成元ｘに対するディストーション写像という線形変換について説明する。
　空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊは、数１４３に示す写像である。
Figure JPOXMLDOC01-appb-M000089
 　数１４４が成立するため、ディストーション写像φｉ，ｊは、数１４５の変換を行うことができる。
Figure JPOXMLDOC01-appb-M000090
Figure JPOXMLDOC01-appb-M000091
 　つまり、標準基底Ａのベクトルｘの基底ベクトルｊの要素を基底ベクトルｉの要素へ変換することができる。この際、変換された基底ベクトルｊの要素を除く他の要素は、全て０となる。すなわち、ベクトルｘの基底ベクトルｊの要素が基底ベクトルｉの要素となり、その他の要素は０となる。
　空間Ｖ＊の標準基底Ａ＊におけるディストーション写像φ＊ ｉ，ｊも、空間Ｖの標準基底Ａにおけるディストーション写像φｉ，ｊと同様に表すことができる。
　ディストーション写像φｉ，ｊ（φ＊ ｉ，ｊ）を用いることにより、数１４６に示すＮ×Ｎ行列として表される線形変換Ｗであって、ｘ∈Ｖに対するどんな線形変換Ｗも数１４７によって効率的に計算することができる。
Figure JPOXMLDOC01-appb-M000092
Figure JPOXMLDOC01-appb-M000093
　＜第５．双対ペアリングベクトル空間＞
　第４で説明した概念を踏まえて、双対ペアリングベクトル空間について説明する。後述する階層的述語暗号と階層的述語鍵秘匿方式とは、双対ペアリングベクトル空間において実現される。
　双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、素数位数ｑと、Ｆｑ上の２つのＮ次元ベクトル空間Ｖ，Ｖ＊と、位数ｑの巡回群ＧＴと、空間Ｖの標準基底Ａ：＝（ａ１，．．．，ａＮ－１）と、空間Ｖ＊の標準基底Ａ＊：＝（ａ＊ １，．．．，ａ＊ Ｎ－１）とを有する空間である。そして、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）は、以下の（１）非退化双線形ペアリングが存在する、（２）標準基底Ａ，Ａ＊が双対正規直交基底である、（３）ディストーション写像が存在するという３つの条件を満たす空間である。
　（１）非退化双線形ペアリング（上記第４－１参照）
　多項式時間で計算可能な非退化双線形ペアリングｅが存在すること。
　つまり、数１４８に示す非退化双線形ペアリングｅが存在することが１つ目の条件である。
Figure JPOXMLDOC01-appb-M000094
　（２）双対正規直交基底（上記第４－２参照）
　空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが双対正規直交基底であること。
　つまり、空間Ｖの標準基底Ａと空間Ｖ＊の標準基底Ａ＊とが、数１４９に示す条件を満たすことが２つ目の条件である。
Figure JPOXMLDOC01-appb-M000095
　（３）ディストーション写像（上記第４－６参照）
　多項式時間で計算可能なディストーション写像φｉ，ｊとφ＊ ｉ，ｊが存在すること。
　つまり、数１５０に示す空間Ｖの準同型φｉ，ｊと空間Ｖ＊の準同型φ＊ ｉ，ｊが多項式時間で計算可能であることが３つ目の条件である。
Figure JPOXMLDOC01-appb-M000096
 　３つ目の条件を満たすことにより、空間Ｖと空間Ｖ＊とがペアリング演算ｅ（上記第４－２参照）によって関連付けられた双対空間であるということも言える。
　＜第６．階層的述語暗号と階層的述語鍵秘匿方式との実現方法の概要＞
　上述した概念（上記第４参照）と、双対ペアリングベクトル空間（上記第５参照）とを踏まえて、上述した暗号処理システム１０（上記第３参照）が階層的述語暗号と階層的述語鍵秘匿方式とを実現する方法を簡単に説明する。
　まず、暗号処理システム１０により実現される内積述語暗号の概要について説明する。なお、説明の簡単のため、ここでは、階層的という概念を省略し、１階層のみで構成される内積述語暗号の概要について説明する。
　暗号処理システム１０は、双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）において内積述語暗号を実現する。なお、ここで、空間Ｖ，Ｖ＊は、いずれもｎ＋３次元空間である。
　鍵生成装置１００は、第４－５で説明した基底変換により、標準基底Ａ，Ａ＊から正規直交基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）と、Ｂ＊：＝（ｂ＊ １，．．．，ｂ＊ ｎ＋３）とを生成する。鍵生成装置１００は、基底Ｂ：＝（ｂ１，．．．，ｂｎ＋３）のうちの基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底Ｂ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を生成する。そして、基底Ｂ＾をマスター公開鍵ｐｋとし、基底Ｂ＊をマスター秘密鍵ｓｋとする。さらに、鍵生成装置１００は、述語ベクトルｖ→（ｖ→＝（ｖ１，．．．，ｖｎ）∈Ｆｎ ｑから秘密鍵ｋ＊を数１５１のように生成して復号装置３００へ秘密裡に送信する。
Figure JPOXMLDOC01-appb-M000097
 　暗号化装置２００は、属性ベクトルｘ→（ｘ→＝（ｘ１，．．．，ｘｎ）∈Ｆｎ ｑと平文情報ｍとから、２つの暗号文ｃ１とｃ２とを生成する。暗号文ｃ１とｃ２とは数１５２のように生成される。
Figure JPOXMLDOC01-appb-M000098
 　復号装置３００は、暗号文ｃ１，ｃ２と秘密鍵ｋ＊とに基づき、数１５３を計算して、平文情報ｍを抽出する。
Figure JPOXMLDOC01-appb-M000099
 ここで、ｖ→・ｘ→＝０であるなら、数１５４に示すように、数１５３を計算することにより、復号装置３００は平文情報ｍを得ることができる。
Figure JPOXMLDOC01-appb-M000100
　次に、階層的な権限委譲を可能にした内積述語暗号、つまり階層的内積述語暗号の概要について、簡単な例を用いて説明する。ここでは、３つの階層を備え、各階層が２次元で構成された６次元を述語ベクトルと属性ベクトルとに用い、その他に３次元を有する９次元空間を用いて説明する。つまり、空間Ｖ，Ｖ＊は、９次元空間である。したがって、マスター公開鍵に含まれる基底Ｂ＾：＝（ｂ１，．．．，ｂ６，ｄ７，ｂ９）である。なお、ｄ７：＝ｂ７＋ｂ８である。また、マスター秘密鍵に含まれる基底Ｂ＊：＝（ｂ＊ １，．．．，ｂ＊ ９）である。
　なお、以下の説明において、添え字の「ｄｅｃ」は「ｄｅｃｒｙｐｔｉｏｎ」の略であり、添え字に「ｄｅｃ」とあるものは、暗号文の復号に用いられる鍵ベクトルである。また、添え字の「ｒａｎ」は「ｒａｎｄｏｍｉｚａｔｉｏｎ」の略であり、添え字に「ｒａｎ」とあるものは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。また、添え字の「ｄｅｌ」は「ｄｅｌｅｇａｔｉｏｎ」の略であり、添え字に「ｄｅｌ」とあるものは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
　ここで、暗号文ｃ１，ｃ２は、属性ベクトル（ｘ→ １，ｘ→ ２，ｘ→ ３）：＝（（ｘ１，ｘ２），（ｘ３，ｘ４），（ｘ５，ｘ６））と平文情報ｍとにより、数１５５のように生成される。
Figure JPOXMLDOC01-appb-M000101
 もし、属性ベクトルが、ｘ→ １：＝（ｘ１，ｘ２）のように高い階層である場合、属性ベクトルを数１５６のように修正する。
Figure JPOXMLDOC01-appb-M000102
 つまり、属性ベクトルｘ→ １で生成された暗号文ｃ１は、数１５６に示す属性ベクトルｘ→＋で生成された暗号文ｃ１として生成される。
　第１層目の述語ベクトルｖ→ １：＝（ｖ１，ｖ２）∈Ｆ２ ｑに基づき生成された第１層目の秘密鍵ｋ→＊ １：＝（ｋ＊ １，ｄｅｃ，ｋ＊ １，ｒａｎ，１，ｋ＊ １，ｒａｎ，２，ｋ＊ １，ｄｅｌ，３，．．．，ｋ＊ １，ｄｅｌ，６）は、ｋ＊ １，ｄｅｃと、（ｋ＊ １，ｒａｎ，１，ｋ＊ １，ｒａｎ，２）と、（ｋ＊ １，ｄｅｌ，３，．．．，ｋ＊ １，ｄｅｌ，６）との３つの要素からなる。ここで、ｋ＊ １，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊ １，ｒａｎ，１，ｋ＊ １，ｒａｎ，２）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊ １，ｄｅｌ，３，．．．，ｋ＊ １，ｄｅｌ，６）は、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。ｋ＊ １，ｄｅｃと、（ｋ＊ １，ｒａｎ，１，ｋ＊ １，ｒａｎ，２）と、（ｋ＊ １，ｄｅｌ，３，．．．，ｋ＊ １，ｄｅｌ，６）とは、数１５７のように生成される。
Figure JPOXMLDOC01-appb-M000103
 　暗号文ｃ１を生成する際用いられた属性ベクトルが、（ｘ１，ｘ２）・（ｖ１，ｖ２）＝０となる（（ｘ１，ｘ２），（＊，＊），（＊，＊））であるなら、数１５８であるため、ｋ＊ １，０は、数１５９を計算することにより、暗号文ｃ１，ｃ２を復号することができる。
Figure JPOXMLDOC01-appb-M000104
Figure JPOXMLDOC01-appb-M000105
　第２層目の述語ベクトルｖ→ ２：＝（ｖ３，ｖ４）により第２層目の秘密鍵ｋ→＊ ２：＝（ｋ＊ ２，ｄｅｃ，ｋ＊ ２，ｒａｎ，１，ｋ＊ ２，ｒａｎ，２，ｋ＊ ２，ｒａｎ，３，ｋ＊ ２，ｄｅｌ，５，ｋ＊ ２，ｄｅｌ，６）を生成する。
　まず、ｋ＊ ２，ｄｅｃを生成する場合、σ２，０（ｖ３ｋ＊ １，ｄｅｌ，３＋ｖ４ｋ＊ １，ｄｅｌ，４）を、ｋ＊ １，ｄｅｃに加える。ｋ＊ ２，ｒａｎ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊ １，ｄｅｌ，３＋ｖ４ｋ＊ １，ｄｅｌ，４）を０に加える（ｊ＝１，２，３）。ｋ＊ ２，ｄｅｌ，ｊを生成する場合、σ２，ｊ（ｖ３ｋ＊ １，ｄｅｌ，３＋ｖ４ｋ＊ １，ｄｅｌ，４）をψ＋ｋ＊ １，ｄｅｌ，ｊに加える（ｊ＝５，６）。ここで、σ２，ｊ（ｊ＝０，１，２，３，５，６）と、ψ＋とは一様に選択された値である。
　また、第２層目の秘密鍵の（ｖ１ｂ＊ １＋ｖ２ｂ＊ ２）とｂ＊ ７とｂ＊ ８との係数の値をランダム化する（一様に分布させる）。そこで、ｋ＊ ２，ｄｅｃを生成する場合、さらに（α０，１ｋ＊ １，ｒａｎ，１＋α０，２ｋ＊ １，ｒａｎ，２）を加える。ｋ＊ ２，ｒａｎ，ｊを生成する場合、（αｊ，１ｋ＊ １，ｒａｎ，１＋αｊ，２ｋ＊ １，ｒａｎ，２）を加える（ｊ＝１，２，３）。ｋ＊ ２，ｄｅｌ，ｊを生成する場合、（αｊ，１ｋ＊ １，ｒａｎ，１＋αｊ，２ｋ＊ １，ｒａｎ，２）を加える（ｊ＝５，６）。ここで、αｊ，１とαｊ，２と（ｊ＝０，１，２，３，５，６）は一様に選択された値である。
　つまり、第２層目の秘密鍵鍵ｋ→＊ ２：＝（ｋ＊ ２，ｄｅｃ，ｋ＊ ２，ｒａｎ，１，ｋ＊ ２，ｒａｎ，２，ｋ＊ ２，ｒａｎ，３，ｋ＊ ２，ｄｅｌ，５，ｋ＊ ２，ｄｅｌ，６）が数１６０のように生成される。
Figure JPOXMLDOC01-appb-M000106
 　なお、ｋ＊ ２，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。（ｋ＊ ２，ｒａｎ，１，ｋ＊ ２，ｒａｎ，２，ｋ＊ ２，ｒａｎ，３）は、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。（ｋ＊ ２，ｄｅｌ，５，ｋ＊ ２，ｄｅｌ，６）は、下位の鍵の生成に用いられる。
　一般に、第Ｌ層目の秘密鍵ｋ→＊ Ｌ：＝（ｋ＊ Ｌ，ｄｅｃ，ｋ＊ Ｌ，ｒａｎ，ｊ，ｋ＊ Ｌ，ｄｅｌ，ｊ）において、ｋ＊ Ｌ，ｄｅｃは、暗号文の復号に用いられる鍵ベクトルである。ｋ＊ Ｌ，ｒａｎ，ｊは、下位の鍵ベクトルの所定の基底ベクトルに対する係数をランダム化するためのランダム化ベクトルである。ｋ＊ Ｌ，ｄｅｌ，ｊは、下位の鍵ベクトルを生成するための鍵生成用ベクトルである。
　実施の形態２．
　この実施の形態では、実施の形態１で説明した概念に基づき、階層的述語暗号を実現する暗号処理システム１０について説明する。
　図１１から図１６に基づき、実施の形態２に係る暗号処理システム１０の機能と動作とについて説明する。
　図１１は、階層的述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。暗号処理システム１０は、上述したように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００を備える。また、ここでも、復号装置３００が鍵委譲装置４００を備えるものとする。
　図１２は、鍵生成装置１００の動作を示すフローチャートである。図１３は、暗号化装置２００の動作を示すフローチャートである。図１４は、復号装置３００の動作を示すフローチャートである。図１５は、鍵委譲装置４００の動作を示すフローチャートである。
　図１６は、双対ペアリングベクトル空間の基底の構造を示す概念図である。
　鍵生成装置１００の機能と動作とについて説明する。鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、鍵ベクトル生成部１３０、ランダム化ベクトル生成部１４０、鍵生成用ベクトル生成部１５０、鍵配布部１６０を備える。
　（Ｓ３０１：マスター鍵生成ステップ）
　マスター鍵生成部１１０は、数１６１を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
Figure JPOXMLDOC01-appb-M000107
 　つまり、（１）マスター鍵生成部１１０は、セキュリティパラメータ１λで、Ｎ（＝ｎ＋３）次元の双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を処理装置により生成する。ここで、Ｇｄｐｖｓは、１λとＮとを入力として、セキュリティパラメータ１λとＮ次元空間とについての双対ペアリングベクトル空間（ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊）を出力する双対ペアリングベクトル空間生成アルゴリズムである。
　（２）マスター鍵生成部１１０は、標準基底Ａから基底Ｂを生成するための線形変換Ｘを処理装置によりランダムに選択する。
　（３）マスター鍵生成部１１０は、選択した線形変換Ｘに基づき、基底Ａ：＝（ａ１，．．．，ａＮ）から基底Ｂ：＝（ｂ１，．．．，ｂＮ）を処理装置により生成する。
　（４）マスター鍵生成部１１０は、基底Ｂにおける基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とを、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２との和である基底ベクトルｄｎ＋１に置き換えた基底ベクトルＢ＾：＝（ｂ１，．．．，ｂｎ，ｄｎ＋１，ｂｎ＋３）を処理装置により生成する。
　（５）マスター鍵生成部１１０は、基底Ａ＊：＝（ａ＊ １，．．．，ａ＊ Ｎ）から基底Ｂ＊：＝（ｂ＊ １，．．．，ｂ＊ Ｎ）を生成するための線形変換（ＸＴ）－１を線形変換Ｘから処理装置により生成する。
　（６）マスター鍵生成部１１０は、生成した線形変換（ＸＴ）－１に基づき、基底Ａ＊から基底Ｂ＊：＝（ｂ＊ １，．．．，ｂ＊ Ｎ）を処理装置により生成する。
　（７）マスター鍵生成部１１０は、生成した線形変換Ｘと基底Ｂ＊とをマスター秘密鍵ｓｋとし、生成した基底Ｂ＾を含む（１λ，ｑ，Ｖ，Ｖ＊，ＧＴ，Ａ，Ａ＊，Ｂ＾）をマスター公開鍵ｐｋとする。そして、マスター鍵記憶部１２０は、マスター鍵生成部１１０が生成したマスター公開鍵ｐｋとマスター秘密鍵ｓｋとを記憶装置に記憶する。
　なお、双対ペアリングベクトル空間の次元数は、Ｎ（＝ｎ＋３）であるとした。ここで、ｎは、階層情報μ→が有する階層構造をあらわすために割り当てられている基底数を表すｎである。つまり、ここでは、階層構造をあらわすために割り当てられている基底数ｎに加え、３つの基底ベクトルが設けられている。もちろん、これよりも多くの基底ベクトルを設けてもよい。
　図１６に示すように、Ｎ（＝ｎ＋３）個の基底ベクトルのうち、ｎ個の基底ベクトルが述語ベクトルや属性ベクトルのために割り当てられている。述語ベクトルや属性ベクトルのために割り当てられている基底ベクトルの構造は、図６に示す構造と同様である。残り３つの基底ベクトルのうちの２つの基底ベクトル（ｎ＋１番目とｎ＋２番目との基底ベクトル）は、セッション鍵を生成する情報のための基底ベクトルである。残りの１つの基底ベクトル（ｎ＋３番目の基底ベクトル）は、暗号文ｃ１をランダム化するための基底ベクトルである。
　すなわち、（Ｓ３０１）において、マスター鍵生成部１１０は、数１６２に示すＳｅｔｕｐアルゴリズムを実行して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを生成する。
Figure JPOXMLDOC01-appb-M000108
　（Ｓ３０２：鍵ベクトルｋ＊ Ｌ，ｄｅｃ生成ステップ）
　鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１６４を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃを処理装置により生成する。
Figure JPOXMLDOC01-appb-M000109
Figure JPOXMLDOC01-appb-M000110
 　つまり、（１）鍵ベクトル生成部１３０は、乱数σ０，ｉ（ｉ＝１，．．．，Ｌ）と乱数η０とを処理装置により生成する。
　（２）鍵ベクトル生成部１３０は、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として生成した乱数σ０，ｔでランダム化した述語ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。また、鍵ベクトル生成部１３０は、基底ベクトルｂ＊ ｎ＋１に対する係数として乱数η０を処理装置により設定するとともに、基底ベクトルｂ＊ ｎ＋２に対する係数として１から乱数η０を引いた値（１－η０）を処理装置により設定する。つまり、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数との和が１となるように、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数とが設定される。これにより、鍵ベクトル生成部１３０は、鍵ベクトルｋ＊ Ｌ，ｄｅｃを生成する。
　（Ｓ３０３：ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ生成ステップ）
　ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１６５を計算して、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
Figure JPOXMLDOC01-appb-M000111
 　つまり、（１）ランダム化ベクトル生成部１４０は、乱数σｊ，ｉ（ｊ＝１，．．．，Ｌ＋１；ｉ＝１，．．．，Ｌ）と乱数ηｊ（ｊ＝１，．．．，Ｌ＋１）とを処理装置により生成する。
　（２）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定したベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
　（３）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ ｎ＋２に対する係数として０から乱数η０を引いた値（－ηｊ）を設定したベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数とが設定される。
　（４）ランダム化ベクトル生成部１４０は、ｊ＝１，．．．，Ｌ＋１の各ｊについて、生成したベクトルｖｖｊとベクトルｄｖｊと加算して、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
　（Ｓ３０４：鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ生成ステップ）
　鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１６３に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１６６を計算して、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊは、第Ｌ層目の秘密鍵のｊ番目の要素である。
Figure JPOXMLDOC01-appb-M000112
 　つまり、（１）鍵生成用ベクトル生成部１５０は、乱数σｊ，ｉ（ｊ＝μＬ＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ）と乱数ψと乱数ηｊ（ｊ＝μＬ＋１，．．．，ｎ）とを処理装置により生成する。
　（２）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として、乱数σｊ，ｔでランダム化した述語ベクトルの各要素を設定して、ベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれる。
　（３）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｊに対する係数として乱数ψを設定して、ベクトルψｖｊを処理装置により生成する。
　（４）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｎ＋１に対する係数として乱数ηｊを処理装置により設定するとともに、基底ベクトルｂ＊ ｎ＋２に対する係数として０から乱数η０を引いた値（－ηｊ）を設定して、ベクトルｄｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数との和が０となるように、基底ベクトルｂ＊ ｎ＋１に対する係数と基底ベクトルｂ＊ ｎ＋２に対する係数とが設定される。
　（５）鍵生成用ベクトル生成部１５０は、ｊ＝μＬ＋１，．．．，ｎの各ｊについて、ベクトルｖｖｊと、ベクトルψｖｊと、ベクトルｄｖｊとを加算して、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）を生成する。
　すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１６７に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊ Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊ Ｌ）が生成される。
Figure JPOXMLDOC01-appb-M000113
　（Ｓ３０５：鍵配布ステップ）
　鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊ Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊ Ｌは秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊ Ｌを秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
　暗号化装置２００の機能と動作とについて説明する。暗号化装置２００は、送信情報設定部２１０、暗号ベクトル生成部２２０、暗号情報生成部２３０、データ送信部２４０、公開鍵取得部２５０を備える。
　なお、以下の処理の前に、公開鍵取得部２５０は、マスター公開鍵ｐｋと、復号装置３００の述語情報ベクトルに対応する属性情報ベクトルを取得しているものとする。
　（Ｓ４０１：送信情報設定ステップ）
　送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１６８を処理装置により計算して送信情報ベクトルζｖを生成する。
Figure JPOXMLDOC01-appb-M000114
 　つまり、（１）送信情報設定部２１０は、乱数ζを処理装置により生成する。
　（２）送信情報設定部２１０は、マスター公開鍵ｐｋに含まれる基底Ｂ＾の基底ベクトルｄｎ＋１に対する係数として乱数ζを処理装置により設定して、送信情報ベクトルζｖを生成する。
　（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
　暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１６９に示す属性ベクトル（ｘ→ １，．．．，ｘ→ Ｌ）とに基づき、数１７０を処理装置により計算して暗号ベクトルｃ１を生成する。
Figure JPOXMLDOC01-appb-M000115
Figure JPOXMLDOC01-appb-M000116
 　つまり、（１）暗号ベクトル生成部２２０は、乱数（ｘ→ Ｌ＋１，．．．，ｘ→ ｄ）と、乱数δｉ（ｉ＝１，．．．，ｄ，ｎ＋３）を処理装置により生成する。
　（２）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数として属性ベクトルの各要素を処理装置により設定する。つまり、基底ベクトルｂｉ（ｉ＝１，．．．，μＬ）に対する係数には、属性ベクトルの各要素が埋め込まれる。また、暗号ベクトル生成部２２０は、基底ベクトルｂｉ（ｉ＝μＬ＋１，．．．，ｎ）に対する係数として乱数を処理装置により設定する。これにより、暗号ベクトル生成部２２０は、ベクトルｘｖを生成する。
　（３）暗号ベクトル生成部２２０は、マスター公開鍵ｐｋに含まれる基底Ｂの基底ベクトルｂｎ＋３に対する係数として乱数δｎ＋３を処理装置により設定して、ベクトルｒｖを生成する。
　（４）暗号ベクトル生成部２２０は、生成したベクトルｘｖとベクトルｒｖとを、送信情報設定部２１０が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する。
　なお、ベクトルｒｖは、安全性を高くするために加えられるものであり、必須の要素ではない。
　（Ｓ４０３：暗号情報ｃ２生成ステップ）
　暗号情報生成部２３０は、平文情報ｍに基づき、数１７１を処理装置により計算して暗号情報ｃ２を生成する。
Figure JPOXMLDOC01-appb-M000117
　（Ｓ４０４：データ送信ステップ）
　データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
　すなわち、暗号化装置２００は、数１７２に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
Figure JPOXMLDOC01-appb-M000118
　復号装置３００の機能と動作とについて説明する。復号装置３００は、ベクトル入力部３１０、鍵ベクトル記憶部３２０、ペアリング演算部３３０を備える。
　（Ｓ５０１：ベクトル入力ステップ）
　ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
　（Ｓ５０２：復号ステップ）
　ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃとに基づき、数１７３を処理装置により計算して平文情報ｍ’を生成する。
Figure JPOXMLDOC01-appb-M000119
 　つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、ｇζ Ｔを計算する。そして、計算したｇζ Ｔで暗号情報ｃ２（＝ｇζ Ｔｍ）を除することにより、平文情報ｍ’（＝ｍ）を計算する。なお、鍵ベクトル記憶部３２０は、鍵生成装置１００又は上位の鍵委譲装置４００から鍵ベクトルｋ＊ Ｌ，ｄｅｃを配布された際、鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶装置に記憶している。
　ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ ｉ（ｉ＝１，．．．，Ｌ）とについて、Ｌ≦ｈであり、全てのｉ（ｉ＝１，．．．，Ｌ）についてｘ→ ｉ・ｖ→ ｉ＝０であれば、数１７４に示すように、暗号ベクトルｃ１と鍵ベクトルｋ＊ Ｌ，ｄｅｃとについてペアリング演算ｅを行うことにより、ｇζ Ｔを得ることができる。
Figure JPOXMLDOC01-appb-M000120
　つまり、復号装置３００は、数１７５に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
Figure JPOXMLDOC01-appb-M000121
　鍵委譲装置４００の機能と動作とについて説明する。鍵委譲装置４００は、鍵ベクトル取得部４１０（鍵生成用ベクトル取得部）、鍵ベクトル生成部４２０、ランダム化ベクトル生成部４３０、鍵生成用ベクトル生成部４４０、鍵配布部４５０を備える。
　（Ｓ６０１：鍵情報ｋ＊ Ｌ取得ステップ）
　鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝μＬ＋１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊ Ｌ）を通信装置を介して取得する。
　（Ｓ６０２：鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ生成ステップ）
　鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数１７６に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数１７７を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを処理装置により生成する。
Figure JPOXMLDOC01-appb-M000122
Figure JPOXMLDOC01-appb-M000123
 　つまり、（１）鍵ベクトル生成部４２０は、乱数α０，ｉ（ｉ＝１，．．．，Ｌ＋１）と乱数σ０とを処理装置により生成する。
　（２）鍵ベクトル生成部４２０は、ｉ＝１，．．．，Ｌ＋１の各ｉについて、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉの係数を乱数α０，ｉ倍したベクトルを加算して、ベクトルｒｖを処理装置により生成する。なお、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖにおける基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
　（３）鍵ベクトル生成部４２０は、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルｖ→ Ｌ＋１の各要素を設定したベクトルを加算し、乱数σ０倍してベクトルｖｖを処理装置により生成する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
　（４）鍵ベクトル生成部４２０は、鍵ベクトルｋ＊ Ｌ，ｄｅｃと、ベクトルｒｖとベクトルｖｖとを加算して、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを処理装置により生成する。
　（Ｓ６０３：ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊ生成ステップ）
　ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数１７６に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数１７８を計算して、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）は、下位の鍵のうち、述語ベクトルの各要素が埋め込まれる基底ベクトルに対する係数を一様に分布させるためのベクトルである。なお、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
Figure JPOXMLDOC01-appb-M000124
 　つまり、（１）ランダム化ベクトル生成部４３０は、乱数αｊ，ｉ（ｊ＝１，．．．，Ｌ＋２；ｉ＝１，．．．，Ｌ）と乱数σｊ（ｊ＝１，．．．，Ｌ＋２）とを処理装置により生成する。
　（２）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ（ｉ＝１，．．．，Ｌ＋１）倍してベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
　（３）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
　（４）ランダム化ベクトル生成部４３０は、ｊ＝１，．．．，Ｌ＋２の各ｊについて、生成したベクトルｒｖｊとベクトルｖｖｊとを加算して、ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊを処理装置により生成する。
　（Ｓ６０４：鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
　鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数１７６に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数１７９を計算して、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）は、下位の秘密鍵（下位の鍵ベクトル）を生成するためのベクトルである。なお、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊは、第Ｌ＋１層目の秘密鍵のｊ番目の要素である。
Figure JPOXMLDOC01-appb-M000125
 　つまり、（１）鍵生成用ベクトル生成部４４０は、乱数αｊ，ｉ（ｊ＝μＬ＋１＋１，．．．，ｎ；ｉ＝１，．．．，Ｌ＋１）と、乱数σｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）と、乱数ψ’とを処理装置により生成する。
　（２）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）の係数を乱数αｊ，ｉ倍したベクトルｒｖｊを処理装置により生成する。上述したように、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉ（ｉ＝１，．．．，Ｌ＋１）における基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、述語ベクトルの各要素が埋め込まれている。そのため、ベクトルｒｖｊにおける基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数には、乱数倍された述語ベクトルの各要素が埋め込まれる。
　（３）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）の係数に述語ベクトルの各要素を設定したベクトルを加算し、乱数σｊ倍してベクトルｖｖｊを処理装置により生成する。つまり、基底ベクトルｂ＊ ｉ（ｉ＝μＬ＋１，．．．，μＬ＋１）に対する係数には、述語ベクトルの各要素が埋め込まれる。
　（４）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊの係数を乱数ψ’倍して、ベクトルψｖｊを処理装置により生成する。なお、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊにおける基底ベクトルｂ＊ ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）に対する係数には、述語ベクトルの要素が埋め込まれている。そのため、ベクトルψｖｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）における基底ベクトルｂ＊ ｊに対する係数には、乱数倍された述語ベクトルの要素が埋め込まれる。
　（５）鍵生成用ベクトル生成部４４０は、ｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、生成したベクトルｒｖｊと、ベクトルｖｖｊと、ベクトルψｖｊとを加算して、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）を処理装置により生成する。
　すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数１８０に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝μＬ＋１＋１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊ Ｌ＋１）を処理装置により生成する。
Figure JPOXMLDOC01-appb-M000126
　（Ｓ６０５：鍵配布ステップ）
　鍵配布部４４０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊ Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。ここで、鍵情報ｋ→＊ Ｌ＋１は秘密裡に復号装置３００へ送信されるが、鍵情報ｋ→＊ Ｌ＋１を秘密裡に復号装置３００へ送信する方法に関しては、どのような方法であっても構わない。例えば、従来の暗号処理を使用して送信してもよい。
　以上のように、暗号処理システム１０が実現する暗号処理は、非特許文献１８で提案されている暗号処理よりも安全性が高く、標準のモデル（Ｓｔａｎｄａｒｄ　Ｍｏｄｅｌ）における安全性を証明することができる。
　この理由は、主に以下の（１）（２）の２点である。
　（１）暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１が２次元（基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２）である。これにより、基底ベクトルｄｎ＋１に対応する鍵ベクトルｋ＊ Ｌ，ｄｅｃにおける基底ベクトルｂ＊ ｎ＋１と基底ベクトルｂ＊ ｎ＋２とに対する係数をランダムに選択することが可能となる。また、基底ベクトルｄｎ＋１が公開されるだけであり、基底ベクトルｂｎ＋１と基底ベクトルｂｎ＋２とは秘密にされている。
　（２）鍵委譲装置４００が下位の鍵を生成する場合に、ランダム化ベクトルを用いて生成する。これにより、下位の鍵の所定の基底ベクトルに対する係数をランダム化することができ、下位の鍵を生成することによって、鍵の安全性が劣化しない。
　ここで、ランダム化ベクトルを用いない場合、鍵情報ｋ→＊ Ｌから生成される２つの下位の鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８１のようになる。
Figure JPOXMLDOC01-appb-M000127
 　つまり、ランダム化ベクトルを用いない場合、鍵ベクトルｋ＊ Ｌ，ｄｅｃに含まれる述語情報が設定された基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）の係数は、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）との間で共通になってしまう。
　しかし、ランダム化ベクトルを用いる場合、鍵情報ｋ→＊ Ｌから生成される２つの下位の鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）とは、数１８２のようになる。
Figure JPOXMLDOC01-appb-M000128
 　つまり、ランダム化ベクトルを用いる場合、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）には、乱数αＡ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉが加えられ、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）には、乱数αＢ，ｉで係数の値を一様に分布したランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉが加えられる。ここで、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｉには、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）が含まれている。したがって、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）とにおける基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）の係数の値は一様に分布している。つまり、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ａ）と鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ（Ｂ）とにおいて、述語情報が設定された基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）の係数は異なる。
　なお、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
　この場合には、（Ｓ３０１）において、マスター鍵生成部１１０は、Ｎ＝ｎ＋ｍ＋１とする。また、鍵ベクトルｋ＊ Ｌ，ｄｅｃ生成ステップ（Ｓ３０２）において、鍵ベクトル生成部１３０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が１になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ生成ステップ（Ｓ３０３）において、ランダム化ベクトル生成部１４０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。同様に、鍵生成ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ生成ステップ（Ｓ３０４）において、鍵生成用ベクトル生成部１５０は、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数の和が０になるように、基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍに対する係数を設定する。また、暗号ベクトルｃ１生成ステップ（Ｓ４０２）において、暗号ベクトル生成部２２０は、基底ベクトルｂｎ＋ｍ＋１に対する係数として乱数を設定してベクトルｒｖを生成する。
　また、上記説明では、Ｎ（＝ｎ＋３）次元ベクトル空間で暗号処理を実現したが、権限委譲のない暗号処理であれば、ｎは１以上の整数である。したがって、Ｎは４以上の整数である。また、権限委譲を有する暗号処理であれば、ｎは２以上の整数である。したがって、Ｎは５以上の整数である。なお、上述したように、（Ｓ４０２）において、暗号化装置２００が基底ベクトルｂｎ＋３を用いて、ベクトルｒｖを生成することは必須ではない。ベクトルｒｖを生成しないのであれば、Ｎ（＝ｎ＋２）次元ベクトル空間で暗号処理を実現できる。したがって、権限委譲のない暗号処理であれば、Ｎは３以上の整数であり、権限委譲を有する暗号処理であれば、Ｎは４以上の整数である。
　また、上述した暗号処理では、双対ペアリングベクトル空間であることの条件に含まれていたディストーション写像を利用していない。ディストーション写像については、暗号処理を実現するアルゴリズムでは使用せず、暗号処理の安全性を証明するために使用する。したがって、上述した暗号処理は、ディストーション写像がない空間であっても成立するということができる。すなわち、上述した暗号処理を実現する空間にディストーション写像があることは、必須ではない。以下に説明する暗号処理についても同様である。
　また、上記説明では、階層的述語暗号について説明した。次に、階層的述語鍵秘匿方式について説明する。階層的述語鍵秘匿方式について、上述した階層的述語暗号と異なる部分のみを説明する。
　図１７は、階層的述語鍵秘匿方式を実現する暗号処理システム１０の機能を示す機能ブロック図である。
　ここで、鍵生成装置１００の処理と鍵委譲装置４００の処理とは、上述した階層的述語暗号の場合と同様である。そこで、ここでは、暗号化装置２００の処理と復号装置３００の処理とのみを説明する。
　図１８は、暗号化装置２００の動作を示すフローチャートである。図１９は、復号装置３００の動作を示すフローチャートである。
　暗号化装置２００の機能と動作とについて説明する。
　図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える機能に加え、セッション鍵生成部２６０を備える。なお、図１７に示す暗号化装置２００は、図１１に示す暗号化装置２００が備える暗号情報生成部２３０は備えていない。
　（Ｓ７０１）と（Ｓ７０２）とは、（Ｓ４０１）と（Ｓ４０２）と同様である。
　（Ｓ７０３：データ送信ステップ）では、（Ｓ７０２）で暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１を復号装置３００へ通信装置を介して送信する。つまり、階層的述語鍵秘匿方式では、平文情報ｍを埋め込んだ暗号情報ｃ２は生成されず、復号装置３００へ送信されない。
　（Ｓ７０４：セッション鍵生成ステップ）では、セッション鍵生成部２６０が数１８３を処理装置により計算してセッション鍵Ｋを生成する。
Figure JPOXMLDOC01-appb-M000129
　すなわち、暗号化装置２００は、数１８４に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１とセッション鍵Ｋとを生成する。
Figure JPOXMLDOC01-appb-M000130
　復号装置３００の機能と動作とについて説明する。
　図１７に示す復号装置３００は、図１１に示す復号装置３００と同様の機能構成である。
　（Ｓ８０１：ベクトル入力ステップ）
　ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１を通信装置を介して受信して入力する。
　（Ｓ８０２：復号ステップ）
　ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃとに基づき、数１８５を処理装置により計算してセッション鍵Ｋを生成する。
Figure JPOXMLDOC01-appb-M000131
 　つまり、ペアリング演算部３３０は、ベクトル入力部３１０が入力した暗号ベクトルｃ１と、鍵ベクトル記憶部３２０が記憶装置に記憶した鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、ペアリング演算ｅを処理装置により行う。これにより、ペアリング演算部３３０は、暗号化装置２００が埋め込んだζに関する値であるｇζ Ｔ（＝Ｋ）を計算する。
　すなわち、復号装置３００は、数１８６に示すＤｅｃアルゴリズムを実行して、セッション鍵Ｋ’（＝Ｋ）を生成する。
Figure JPOXMLDOC01-appb-M000132
　以上のように、階層的述語鍵秘匿方式によれば、暗号化装置２００から復号装置３００へ、セッション鍵Ｋを秘密裡に送信することができる。つまり、暗号化装置２００と復号装置３００との間でセッション鍵を共有することができる。
　実施の形態３．
　実施の形態３では、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とよりも一般化された権限委譲を有する述語暗号について説明する。
　上述したように、実施の形態２で説明した階層的述語暗号と階層的述語鍵秘匿方式とでは、図１６に示すように基底ベクトルを使用した。つまり、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして、階層構造を表すために使用した。特に、初めのμ１個の基底ベクトルを第１層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、μ２－μ１個の基底ベクトルを第２層目の属性ベクトルや述語ベクトルのための基底ベクトルとし、以下同様に、μＬ－μＬ－１個の基底ベクトルを第Ｌ層目の属性ベクトルや述語ベクトルのための基底ベクトルとした。
　そして、第Ｌ層目の鍵ベクトルｋ＊ Ｌ，ｄｅｃを数１６４に示すように計算した。つまり、第Ｌ層目の鍵ベクトルｋ＊ Ｌ，ｄｅｃは、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，Ｌ）に対する係数として述語ベクトルの各要素を割り当てられ、基底ベクトルｂ＊ ｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として０を割り当てられた。
　また、第Ｌ層目の暗号ベクトルｃ１を数１７０に示すように計算した。つまり、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，Ｌ）に対する係数として属性ベクトルの各要素を割り当てられ、基底ベクトルｂｉ（ｉ＝Ｌ＋１，．．．，ｎ）に対する係数として乱数を割り当てられた。
　これにより、階層的に権限委譲することが実現された。
　実施の形態３で説明する述語暗号（述語鍵秘匿方式）では、実施の形態２の場合と同様に、ｎ＋３個の基底ベクトルのうち、ｎ個の基底ベクトルを属性ベクトルや述語ベクトルのための基底ベクトルとして使用する。しかし、どの鍵であっても（上位の鍵であっても、下位の鍵であっても）、ｎ個の基底ベクトル全てを述語ベクトルのための基底ベクトルとする。つまり、ｎ個の基底ベクトル全てを常に属性ベクトルや述語ベクトルのための基底ベクトルとする。
　そして、鍵ベクトルｋ＊ Ｌ，ｄｅｃは、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）に対する係数として述語ベクトルの各要素を割り当てられる。また、第Ｌ層目の暗号ベクトルｃ１は、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）に対する係数として属性ベクトルの各要素を割り当てられる。
　つまり、ｎ個の基底ベクトルについて階層構造という概念はない。また、秘密鍵が階層的に権限委譲される概念はない。そのため、実施の形態２で説明した暗号方式に比べ、より自由度の高い権限委譲が可能となる。
　まず、権限委譲を有する述語暗号を実現する場合について説明する。
　図２０は、権限委譲を有する述語暗号を実現する暗号処理システム１０の機能を示す機能ブロック図である。なお、図２０に示す暗号処理システム１０が備える機能は、図１１に示す暗号処理システム１０が備える機能と同様である。
　権限委譲を有する述語暗号を実現する場合における実施の形態３に係る暗号処理システム１０の動作の流れは、実施の形態２に係る暗号処理システム１０の動作の流れと同様である。そこで、図２０と、図１２から図１６とに基づき、実施の形態３に係る暗号処理システム１０の機能と動作とについて説明する。
　鍵生成装置１００の機能と動作とについて説明する。
　（Ｓ３０１：マスター鍵生成ステップ）
　実施の形態２における（Ｓ３０１）と同様に、マスター鍵生成部１１０は、数１８７を計算して、マスター公開鍵ｐｋとマスター秘密鍵ｓｋとを処理装置により生成してマスター鍵記憶部１２０に記憶する。
Figure JPOXMLDOC01-appb-M000133
　（Ｓ３０２：鍵ベクトルｋ＊ Ｌ，ｄｅｃ生成ステップ）
　鍵ベクトル生成部１３０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１８９を計算して、第Ｌ層目（レベルＬ）の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃを処理装置により生成する。
Figure JPOXMLDOC01-appb-M000134
Figure JPOXMLDOC01-appb-M000135
　（Ｓ３０３：ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ生成ステップ）
　ランダム化ベクトル生成部１４０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１９０を計算して、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）を生成する。
Figure JPOXMLDOC01-appb-M000136
　（Ｓ３０４：鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ生成ステップ）
　鍵生成用ベクトル生成部１５０は、マスター公開鍵ｐｋとマスター秘密鍵ｓｋと、数１８８に示す述語ベクトル（ｖ→ １，．．．，ｖ→ Ｌ）とに基づき、数１９１を計算して、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
Figure JPOXMLDOC01-appb-M000137
　すなわち、（Ｓ３０２）から（Ｓ３０４）において、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とは、数１９２に示すＧｅｎＫｅｙアルゴリズムを処理装置により実行する。これにより、鍵ベクトルｋ＊ Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊ Ｌ）が生成される。
Figure JPOXMLDOC01-appb-M000138
　（Ｓ３０５：鍵配布ステップ）
　実施の形態２における（Ｓ３０５）と同様に、鍵配布部１６０は、マスター鍵生成部１１０が生成したマスター公開鍵と、鍵ベクトル生成部１３０とランダム化ベクトル生成部１４０と鍵生成用ベクトル生成部１５０とが生成した鍵情報ｋ→＊ Ｌとを復号装置３００へ通信装置を介して送信する。また、鍵配布部１６０は、マスター公開鍵を暗号化装置２００へ通信装置を介して送信する。
　暗号化装置２００の機能と動作とについて説明する。
　（Ｓ４０１：送信情報設定ステップ）
　実施の形態２における（Ｓ４０１）と同様に、送信情報設定部２１０は、マスター公開鍵ｐｋに基づき、数１９３を処理装置により計算して送信情報ベクトルζｖを生成する。
Figure JPOXMLDOC01-appb-M000139
　（Ｓ４０２：暗号ベクトルｃ１生成ステップ）
　暗号ベクトル生成部２２０は、マスター公開鍵ｐｋと、数１９４に示す属性ベクトル（ｘ→ １，．．．，ｘ→ Ｌ）とに基づき、数１９５を処理装置により計算して暗号ベクトルｃ１を生成する。
Figure JPOXMLDOC01-appb-M000140
Figure JPOXMLDOC01-appb-M000141
　（Ｓ４０３：暗号情報ｃ２生成ステップ）
　実施の形態２における（Ｓ４０３）と同様に、暗号情報生成部２３０は、平文情報ｍに基づき、数１９６を処理装置により計算して暗号情報ｃ２を生成する。
Figure JPOXMLDOC01-appb-M000142
　（Ｓ４０４：データ送信ステップ）
　実施の形態２における（Ｓ４０４）と同様に、データ送信部２４０は、暗号ベクトル生成部２２０が生成した暗号ベクトルｃ１と、暗号情報生成部２３０が生成した暗号情報ｃ２とを復号装置３００へ通信装置を介して送信する。
　すなわち、暗号化装置２００は、数１９７に示すＥｎｃアルゴリズムを実行して、暗号ベクトルｃ１と暗号情報ｃ２とを生成する。
Figure JPOXMLDOC01-appb-M000143
　復号装置３００の機能と動作とについて説明する。
　（Ｓ５０１：ベクトル入力ステップ）
　実施の形態２における（Ｓ５０１）と同様に、ベクトル入力部３１０は、暗号化装置２００のデータ送信部２４０が送信した暗号ベクトルｃ１と暗号情報ｃ２とを通信装置を介して受信して入力する。
　（Ｓ５０２：復号ステップ）
　実施の形態２における（Ｓ５０２）と同様に、ペアリング演算部３３０は、マスター公開鍵ｐｋと第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃとに基づき、数１９８を処理装置により計算して平文情報ｍ’を生成する。
Figure JPOXMLDOC01-appb-M000144
 　ここで、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ ｉ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルの述語ベクトルｖ→ ｊ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ ｉ・ｖ→ ｊ＝０であるなら、ペアリング演算部３３０は、平文情報ｍを生成することができる。なお、平文情報ｍ∈ＧＴであるとする。
　つまり、復号装置３００は、数１９９に示すＤｅｃアルゴリズムを実行して、平文情報ｍ’を生成する。
Figure JPOXMLDOC01-appb-M000145
　鍵委譲装置４００の機能と動作とについて説明する。
　（Ｓ６０１：鍵情報ｋ→＊ Ｌ取得ステップ）
　実施の形態２における（Ｓ６０１）と同様に、鍵ベクトル取得部４１０は、第Ｌ層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋１）と、鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ層目の秘密鍵（鍵情報ｋ→＊ Ｌ）を通信装置を介して取得する。
　（Ｓ６０２：鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃ生成ステップ）
　鍵ベクトル生成部４２０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数２００に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数２０１を計算して、第Ｌ＋１層目の秘密鍵の先頭要素である鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを処理装置により生成する。
Figure JPOXMLDOC01-appb-M000146
Figure JPOXMLDOC01-appb-M000147
　（Ｓ６０３：ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊ生成ステップ）
　ランダム化ベクトル生成部４３０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数２００に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数２０２を計算して、ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）を生成する。
Figure JPOXMLDOC01-appb-M000148
　（Ｓ６０４：鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ生成ステップ）
　鍵生成用ベクトル生成部４４０は、マスター公開鍵ｐｋと鍵情報ｋ→＊ Ｌと数２００に示す述語ベクトルｖ→ Ｌ＋１とに基づき、数２０３を計算して、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）を処理装置により生成する。
Figure JPOXMLDOC01-appb-M000149
　すなわち、（Ｓ６０２）から（Ｓ６０４）において、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とは、数２０４に示すＤｅｌｅｇａｔｅＬアルゴリズムを実行して、鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃと、ランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊ（ｊ＝１，．．．，Ｌ＋２）と、鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊ（ｊ＝１，．．．，ｎ）とを含む第Ｌ＋１層目の秘密鍵（鍵情報ｋ→＊ Ｌ＋１）を処理装置により生成する。
Figure JPOXMLDOC01-appb-M000150
　（Ｓ６０５：鍵配布ステップ）
　実施の形態２における（Ｓ６０５）と同様に、鍵配布部４５０は、鍵ベクトル生成部４２０とランダム化ベクトル生成部４３０と鍵生成用ベクトル生成部４４０とが生成した鍵情報ｋ→＊ Ｌ＋１を下位の復号装置３００へ通信装置を介して送信する。
　上述したように、暗号化装置２００が暗号化に用いた属性ベクトルｘ→ ｊ（ｉ＝１，．．．，ｈ）と、復号装置３００が復号に用いた鍵ベクトルｋ＊ Ｌ，ｄｅｃの述語ベクトルｖ→ ｉ（ｊ＝１，．．．，Ｌ）とについて、全てのｉ（ｉ＝１，．．．，ｈ）、ｊ（ｊ＝１，．．．，Ｌ）についてｘ→ ｉ・ｖ→ ｊ＝０であるなら、復号装置３００は復号することができる。つまり、述語ベクトル（ｖ→ １）に基づき生成された鍵ベクトルｋ＊ １，ｄｅｃで復号する場合、ｘ→・ｖ→ １＝０であるなら、復号装置３００は復号することができる。また、述語ベクトル（ｖ→ １，ｖ→ ２）に基づき生成された鍵ベクトルｋ＊ ２，ｄｅｃで復号する場合、ｘ→・ｖ→ １＝０かつｘ→・ｖ→ ２＝０であるなら、復号装置３００は復号することができる。つまり、実施の形態２で説明したアルゴリズムと同様に、下位の鍵ベクトルｋ＊ ２，ｄｅｃは、上位の鍵ベクトルｋ＊ １，ｄｅｃよりも機能が制限されている。
　なお、実施の形態２と同様に、以上の説明では、暗号化装置２００が送信情報を設定する基底ベクトルｄｎ＋１を２次元とした。しかし、基底ベクトルｄｎ＋１は３次元以上のｍ次元（基底ベクトルｂｎ＋１，．．．，基底ベクトルｂｎ＋ｍ）であってもよい。
　また、実施の形態２と同様に、暗号化装置２００が実行するＥｎｃアルゴリズムと、復号装置３００が実行するＤｅｃアルゴリズムとを、それぞれ数２０５と数２０６とのように変更することで、階層的述語鍵秘匿方式を実現することも可能である。
Figure JPOXMLDOC01-appb-M000151
Figure JPOXMLDOC01-appb-M000152
　実施の形態４．
　以上の実施の形態では、双対ベクトル空間において暗号処理を実現する方法について説明した。この実施の形態では、双対加群において暗号処理を実現する方法について説明する。
　つまり、以上の実施の形態では、素数位数ｑの巡回群において暗号処理を実現した。しかし、合成数Ｍを用いて数２０７のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した暗号処理を適用することができる。
Figure JPOXMLDOC01-appb-M000153
　例えば、実施の形態２で説明した階層的述語暗号を、環Ｒを係数とする加群において実現すると数２０８から数２１２のようになる。
Figure JPOXMLDOC01-appb-M000154
Figure JPOXMLDOC01-appb-M000155
Figure JPOXMLDOC01-appb-M000156
Figure JPOXMLDOC01-appb-M000157
Figure JPOXMLDOC01-appb-M000158
　ここでは、実施の形態２で説明した階層的述語暗号についてのみ、環Ｒを係数とする加群において実現する方法を示した。しかし、原則として、以上の実施の形態で体Ｆｑとして説明した処理を、環Ｒに置き換えることにより、以上の実施の形態で説明した他の暗号処理についても、環Ｒを係数とする加群において実現できる。
　次に、実施の形態における暗号処理システム１０（鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００）のハードウェア構成について説明する。
　図２１は、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００のハードウェア構成の一例を示す図である。
　図２１に示すように、鍵生成装置１００、暗号化装置２００、復号装置３００、鍵委譲装置４００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。
　ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置（ネットワークインタフェース）の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。
　磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
　プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「鍵ベクトル生成部１３０」、「ランダム化ベクトル生成部１４０」、「鍵生成用ベクトル生成部１５０」、「鍵配布部１６０」、「送信情報設定部２１０」、「暗号ベクトル生成部２２０」、「暗号情報生成部２３０」、「データ送信部２４０」、「公開鍵取得部２５０」、「セッション鍵生成部２６０」、「ベクトル入力部３１０」、「鍵ベクトル記憶部３２０」、「ペアリング演算部３３０」、「鍵ベクトル取得部４１０」、「鍵ベクトル生成部４２０」、「ランダム化ベクトル生成部４３０」、「鍵生成用ベクトル生成部４４０」、「鍵配布部４５０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
　ファイル群９２４には、上記の説明において「マスター公開鍵ｐｋ」、「マスター秘密鍵ｓｋ」、「暗号ベクトルｃ」、「鍵ベクトル」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
　また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
　また、上記の説明において「～部」として説明するものは、「～回路」、「～装置」、「～機器」、「～手段」、「～機能」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。また、「～装置」として説明するものは、「～回路」、「～機器」、「～手段」、「～機能」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。さらに、「～処理」として説明するものは「～ステップ」であっても構わない。すなわち、「～部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「～部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「～部」の手順や方法をコンピュータ等に実行させるものである。
　１０　暗号処理システム、１００　鍵生成装置、１１０　マスター鍵生成部、１２０　マスター鍵記憶部、１３０　鍵ベクトル生成部、１４０　ランダム化ベクトル生成部、１５０　鍵生成用ベクトル生成部、１６０　鍵配布部、２００　暗号化装置、２１０　送信情報設定部、２２０　暗号ベクトル生成部、２３０　暗号情報生成部、２４０　データ送信部、２５０　公開鍵取得部、２６０　セッション鍵生成部、３００　復号装置、３１０　ベクトル入力部、３２０　鍵ベクトル記憶部、３３０　ペアリング演算部、４００　鍵委譲装置、４１０　鍵ベクトル取得部、４２０　鍵ベクトル生成部、４３０　ランダム化ベクトル生成部、４４０　鍵生成用ベクトル生成部、４５０　鍵配布部。

Claims (32)

  1. 　数１に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
    　前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
    　前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、処理装置により数１に示すペアリング演算ｅ（ｃ１，ｋ＊ Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
    を備えることを特徴とする暗号処理システム。
    Figure JPOXMLDOC01-appb-M000001
  2. 　前記暗号処理システムは、さらに、
    　前記基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，Ｎ）のうち、基底ベクトルｂ＊ ｉ（ｉ＝０，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、ｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を設定したベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして処理装置により生成する鍵生成装置を備え、
    　前記復号装置は、前記鍵生成装置が生成した鍵ベクトルｋ＊ Ｌ，ｄｅｃを取得して、取得した鍵ベクトルｋ＊ Ｌ，ｄｅｃと暗号ベクトルｃ１とについて前記ペアリング演算を行う
    ことを特徴とする請求項１に記載の暗号処理システム。
  3. 　前記暗号処理システムは、さらに、
    　前記鍵生成装置が生成した鍵ベクトルｋ＊ Ｌ，ｄｅｃが復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能なベクトルであって、述語情報を設定した基底ベクトルに対する係数として一様に分布させた値を持つ乱数を設定したベクトルを鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃとして生成する鍵委譲装置
    を備えることを特徴とする請求項２に記載の暗号処理システム。
  4. 　述語暗号における秘密鍵である鍵ベクトルｋ＊ Ｌ，ｄｅｃを生成する鍵生成装置であり、
    　ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
    　前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
    を備えることを特徴とする鍵生成装置。
  5. 　前記鍵ベクトル生成部は、数２に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを生成する
    ことを特徴とする請求項４に記載の鍵生成装置。
    Figure JPOXMLDOC01-appb-M000002
  6. 　前記鍵ベクトル生成部は、数３に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを生成する
    ことを特徴とする請求項４に記載の鍵生成装置。
    Figure JPOXMLDOC01-appb-M000003
  7. 　前記鍵生成装置は、さらに、
    　前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊ Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値が設定された少なくともｎ－μＬ個のベクトルを鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
    　前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値が設定された少なくともＬ＋１個のベクトルをランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
    を備えることを特徴とする請求項４に記載の鍵生成装置。
  8. 　前記鍵ベクトル生成部は、数４に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを生成し、
    　前記ランダム化ベクトル生成部は、数５に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを生成する
    ことを特徴とする請求項７に記載の鍵生成装置。
    Figure JPOXMLDOC01-appb-M000004
    Figure JPOXMLDOC01-appb-M000005
  9. 　前記鍵ベクトル生成部は、数６に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを生成し、
    　前記ランダム化ベクトル生成部は、数７に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを生成する
    ことを特徴とする請求項７に記載の鍵生成装置。
    Figure JPOXMLDOC01-appb-M000006
    Figure JPOXMLDOC01-appb-M000007
  10. 　述語暗号における秘密鍵である鍵ベクトルｋ＊ Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
    　ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊ Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
    　少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値が設定された少なくともｎ－μＬ個の鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
    　前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊ Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
    を備えることを特徴とする鍵委譲装置。
  11. 　前記鍵委譲装置は、さらに、
    　少なくともｊ＝１，．．．，Ｌ＋１の各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値が設定された少なくともＬ＋１個のランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを取得するランダム化ベクトル取得部を備え、
    　前記鍵ベクトル生成部は、前記ランダム化ベクトル取得部が取得した前記ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊの少なくとも一部の前記ランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊの各基底ベクトルの係数を乱数倍し、前記鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃにさらに加算して鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する
    ことを特徴とする請求項１０に記載の鍵委譲装置。
  12. 　前記鍵ベクトル取得部は、数８に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを取得し、
    　前記鍵生成用ベクトル取得部は、数９に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得し、
    　前記ランダム化ベクトル取得部は、数１０に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを取得し、
    　前記鍵ベクトル生成部は、数１１に示す鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する
    ことを特徴とする請求項１１に記載の鍵委譲装置。
    Figure JPOXMLDOC01-appb-M000008
    Figure JPOXMLDOC01-appb-M000009
    Figure JPOXMLDOC01-appb-M000010
    Figure JPOXMLDOC01-appb-M000011
  13. 　前記鍵ベクトル取得部は、数１２に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを取得し、
    　前記鍵生成用ベクトル取得部は、数１３に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得し、
    　前記ランダム化ベクトル取得部は、数１４に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを取得し、
    　前記鍵ベクトル生成部は、数１５に示す鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する
    ことを特徴とする請求項１１に記載の鍵委譲装置。
    Figure JPOXMLDOC01-appb-M000012
    Figure JPOXMLDOC01-appb-M000013
    Figure JPOXMLDOC01-appb-M000014
    Figure JPOXMLDOC01-appb-M000015
  14. 　前記鍵委譲装置は、さらに、
    　前記鍵ベクトル生成部が生成した鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊ Ｌ＋２，ｄｅｃを生成するためのベクトルであって、少なくともｊ＝μＬ＋１＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値を設定した少なくともｎ－μＬ＋１個のベクトルを鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊとして処理装置により生成する鍵生成用ベクトル生成部と、
    　前記鍵生成用ベクトル生成部が生成した鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊで生成される鍵ベクトルｋ＊ Ｌ＋２，ｄｅｃのうち、述語情報が設定される基底ベクトルの係数に一様に分布した値を設定するためのベクトルであって、少なくともｊ＝１，．．．，Ｌ＋２の各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値を設定した少なくともＬ＋２個のベクトルをランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊとして処理装置により生成するランダム化ベクトル生成部と
    を備えることを特徴とする請求項１１に記載の鍵委譲装置。
  15. 　前記鍵生成用ベクトル取得部は、数１６に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得し、
    　前記ランダム化ベクトル取得部は、数１７に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを取得し、
    　前記鍵ベクトル生成部は、数１８に示す鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊを生成し、
    　前記ランダム化ベクトル生成部は、数１９に示すランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊを生成する
    ことを特徴とする請求項１４に記載の鍵委譲装置。
    Figure JPOXMLDOC01-appb-M000016
    Figure JPOXMLDOC01-appb-M000017
    Figure JPOXMLDOC01-appb-M000018
    Figure JPOXMLDOC01-appb-M000019
  16. 　前記鍵生成用ベクトル取得部は、数２０に示す鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得し、
    　前記ランダム化ベクトル取得部は、数２１に示すランダム化ベクトルｋ＊ Ｌ，ｒａｎ，ｊを取得し、
    　前記鍵ベクトル生成部は、数２２に示す鍵生成用ベクトルｋ＊ Ｌ＋１，ｄｅｌ，ｊを生成し、
    　前記ランダム化ベクトル生成部は、数２３に示すランダム化ベクトルｋ＊ Ｌ＋１，ｒａｎ，ｊを生成する
    ことを特徴とする請求項１４に記載の鍵委譲装置。
    Figure JPOXMLDOC01-appb-M000020
    Figure JPOXMLDOC01-appb-M000021
    Figure JPOXMLDOC01-appb-M000022
    Figure JPOXMLDOC01-appb-M000023
  17. 　述語暗号における暗号文である暗号ベクトルｃ１を生成する暗号化装置であり、
    　ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
    　前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
    　前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルζｖに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
    を備えることを特徴とする暗号化装置。
  18. 　前記送信情報設定部は、数２４に示す送信情報ベクトルζｖを生成し、
    　前記暗号ベクトル生成部は、数２５に示す暗号ベクトルｃ１を生成する
    ことを特徴とする請求項１７に記載の暗号化装置。
    Figure JPOXMLDOC01-appb-M000024
    Figure JPOXMLDOC01-appb-M000025
  19. 　前記送信情報設定部は、数２６に示す送信情報ベクトルζｖを生成し、
    　前記暗号ベクトル生成部は、数２７に示す暗号ベクトルｃ１を生成する
    ことを特徴とする請求項１７に記載の暗号化装置。
    Figure JPOXMLDOC01-appb-M000026
    Figure JPOXMLDOC01-appb-M000027
  20. 　前記暗号化装置は、さらに、
    　数２８に示す暗号情報ｃ２を生成する暗号情報生成部
    を備えることを特徴とする請求項１７に記載の暗号化装置。
    Figure JPOXMLDOC01-appb-M000028
  21. 　述語暗号における暗号文を復号する復号装置であり、
    　ペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうち少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
    　前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
    　前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
    を備えることを特徴とする復号装置。
  22. 　前記ベクトル入力部は、数２９に示す暗号ベクトルｃ１を入力し、
    　前記鍵ベクトル記憶部は、数３０に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶し、
    　前記ペアリング演算部は、数３１に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
    ことを特徴とする請求項２１に記載の復号装置。
    Figure JPOXMLDOC01-appb-M000029
    Figure JPOXMLDOC01-appb-M000030
    Figure JPOXMLDOC01-appb-M000031
  23. 　前記ベクトル入力部は、数３２に示す暗号ベクトルｃ１を入力し、
    　前記鍵ベクトル記憶部は、数３３に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶し、
    　前記ペアリング演算部は、数３４に示すペアリング演算を行い、前記暗号ベクトルから前記所定の情報に関する値を抽出する
    ことを特徴とする請求項２１に記載の復号装置。
    Figure JPOXMLDOC01-appb-M000032
    Figure JPOXMLDOC01-appb-M000033
    Figure JPOXMLDOC01-appb-M000034
  24. 　前記ベクトル入力部は、数３５に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数３６に示す暗号情報ｃ２とを入力し、
    　前記鍵ベクトル記憶部は、数３７に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶し、
    　前記ペアリング演算部は、数３８に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
    ことを特徴とする請求項２１に記載の復号装置。
    Figure JPOXMLDOC01-appb-M000035
    Figure JPOXMLDOC01-appb-M000036
    Figure JPOXMLDOC01-appb-M000037
    Figure JPOXMLDOC01-appb-M000038
  25. 　前記ベクトル入力部は、数３９に示す暗号ベクトルｃ１と、平文情報ｍを暗号化した数４０に示す暗号情報ｃ２とを入力し、
    　前記鍵ベクトル記憶部は、数４１に示す鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶し、
    　前記ペアリング演算部は、数４２に示す演算を行い、前記暗号ベクトルｃ１から前記平文情報ｍを抽出する
    ことを特徴とする請求項２１に記載の復号装置。
    Figure JPOXMLDOC01-appb-M000039
    Figure JPOXMLDOC01-appb-M000040
    Figure JPOXMLDOC01-appb-M000041
    Figure JPOXMLDOC01-appb-M000042
  26. 　数４３に示すペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理システムであり、
    　前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として処理装置により生成する暗号化装置と、
    　前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして、前記暗号化装置が生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、処理装置により数４３に示すペアリング演算ｅ（ｃ１，ｋ＊ Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号装置と
    を備えることを特徴とする暗号処理システム。
    Figure JPOXMLDOC01-appb-M000043
  27. 　述語暗号における秘密鍵である鍵ベクトルｋ＊ Ｌ，ｄｅｃを生成する鍵生成装置であり、
    　ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を記憶装置に記憶するマスター鍵記憶部と、
    　前記マスター鍵記憶部が記憶した前記基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルに対する係数として述語情報を設定するとともに、基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，Ｎ）うちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数を設定したベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして処理装置により生成する鍵ベクトル生成部と
    を備えることを特徴とする鍵生成装置。
  28. 　述語暗号における秘密鍵である鍵ベクトルｋ＊ Ｌ，ｄｅｃで復号可能な暗号ベクトルのうちの一部の暗号ベクトルを復号可能な鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する鍵委譲装置であり、
    　ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖ＊における所定の基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも一部の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）に対する係数として述語情報が設定されるとともに、基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊ Ｌ，ｄｅｃを取得する鍵ベクトル取得部と、
    　少なくともｊ＝μＬ＋１，．．．，ｎの各ｊについて、基底ベクトルｂ＊ ｊに対する係数として所定の値が設定された少なくともｎ－（μＬ＋１）個の鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊを取得する鍵生成用ベクトル取得部と、
    　前記鍵生成用ベクトル取得部が取得した前記鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊの少なくとも一部の前記鍵生成用ベクトルｋ＊ Ｌ，ｄｅｌ，ｊの各基底ベクトルの係数を述語情報倍し、前記鍵ベクトル取得部が取得した前記鍵ベクトルｋ＊ Ｌ，ｄｅｃに加算して鍵ベクトルｋ＊ Ｌ＋１，ｄｅｃを生成する鍵ベクトル生成部と
    を備えることを特徴とする鍵委譲装置。
  29. 　ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾を取得するとともに、所定の属性情報を取得する公開鍵取得部と、
    　前記公開鍵取得部が取得した基底Ｂ＾におけるベクトルであって、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を設定したベクトルを送信情報ベクトルζｖとして処理装置により生成する送信情報設定部と、
    　前記基底Ｂ＾の前記基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）のうちの少なくとも一部の基底ベクトルに対する係数として属性情報を設定した属性情報ベクトルを、前記送信情報設定部が生成した送信情報ベクトルに加算して暗号ベクトルｃ１を処理装置により生成する暗号ベクトル生成部と
    を備えることを特徴とする暗号化装置。
  30. 　ペアリング演算によって関連付けられた双対加群である空間Ｖと空間Ｖ＊とのうちの前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の所定の基底ベクトルの和である基底ベクトルｄｎ＋１とを有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂｉ（ｉ＝１，．．．，μｈ）に対する係数として属性情報が設定されるとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報が設定されたベクトルである暗号ベクトルｃ１を入力するベクトル入力部と、
    　前記空間Ｖ＊における所定の基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）のうち、基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）の少なくとも基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，μＬ）（μＬ≦μｈ）に対する係数として述語情報ｖｉ（ｉ＝１，．．．，μＬ）が設定されるとともに、前記基底ベクトルｄｎ＋１を構成する基底ベクトルｂｉに対応する基底ベクトルｂ＊ ｉに対する係数の和が１になるように、前記所定の基底ベクトルに対する係数が設定された鍵ベクトルｋ＊ Ｌ，ｄｅｃを記憶装置に記憶する鍵ベクトル記憶部と、
    　前記ベクトル入力部が入力した暗号ベクトルｃ１と、前記鍵ベクトル記憶部が記憶した鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて処理装置により前記ペアリング演算を行い、前記暗号ベクトルｃ１から前記所定の情報に関する値を抽出するペアリング演算部と
    を備えることを特徴とする復号装置。
  31. 　数４４に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理方法であり、
    　処理装置が、前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化ステップと、
    　処理装置が、前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして、前記暗号化ステップで生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、数４４に示すペアリング演算ｅ（ｃ１，ｋ＊ Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号ステップと
    を備えることを特徴とする暗号処理方法。
    Figure JPOXMLDOC01-appb-M000044
  32. 　数４５に示すペアリング演算によって関連付けられた双対ベクトル空間である空間Ｖと空間Ｖ＊とを用いて述語暗号処理を行う暗号処理プログラムであり、
    　前記空間Ｖにおける所定の基底Ｂを構成する基底ベクトルｂｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）（Ｎは３以上の整数，ｎは１以上Ｎ－２以下の整数）の基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）と、基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，Ｎ）のうちの２つ以上の基底ベクトルｂｉ（ｉ＝ｎ＋１，．．．，ｍ）の和である基底ベクトルｄｎ＋１とを基底ベクトルとして有する基底Ｂ＾におけるベクトルであって、基底ベクトルｂｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として属性情報を埋め込むとともに、前記基底ベクトルｄｎ＋１に対する係数として所定の情報を埋め込んだベクトルを暗号ベクトルｃ１として生成する暗号化処理と、
    　前記空間Ｖ＊の基底Ｂ＊におけるベクトルであって、基底Ｂ＊を構成する基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ，．．．，Ｎ）の基底ベクトルｂ＊ ｉ（ｉ＝１，．．．，ｎ）うちの少なくとも一部の基底ベクトルに対する係数として述語情報を埋め込むとともに、前記基底Ｂ＊の基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数の和が１になるように、前記基底ベクトルｂ＊ ｉ（ｉ＝ｎ＋１，．．．，ｍ）に対する係数を埋め込んだベクトルを鍵ベクトルｋ＊ Ｌ，ｄｅｃとして、前記暗号化処理で生成した暗号ベクトルｃ１と前記鍵ベクトルｋ＊ Ｌ，ｄｅｃとについて、により数４５に示すペアリング演算ｅ（ｃ１，ｋ＊ Ｌ，ｄｅｃ）を行い前記暗号ベクトルｃ１を復号して前記所定の情報に関する値を抽出する復号処理と
    をコンピュータに実行させることを特徴とする暗号処理プログラム。
    Figure JPOXMLDOC01-appb-M000045
PCT/JP2010/070280 2009-11-20 2010-11-15 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム WO2011062136A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
US13/509,695 US8577030B2 (en) 2009-11-20 2010-11-15 Cryptographic processing system, key generation device, key delegation device, encryption device, decryption device, cryptographic processing method, and cryptographic processing program
ES10831530.0T ES2602052T3 (es) 2009-11-20 2010-11-15 Sistema de procesamiento criptográfico, dispositivo de generación de clave, dispositivo de delegación de clave, dispositivo de cifrado, dispositivo de descifrado, método de procesamiento criptográfico y programa de procesamiento criptográfico
KR1020127013861A KR101336349B1 (ko) 2009-11-20 2010-11-15 암호 처리 시스템, 키 생성 장치, 키 위양 장치, 암호화 장치, 복호 장치, 암호 처리 방법 및 암호 처리 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
EP10831530.0A EP2503533B1 (en) 2009-11-20 2010-11-15 Cipher processing system, key generating device, key delegating device, encrypting device, decrypting device, cipher processing method and cipher processing program
CN201080065337.0A CN103038805B (zh) 2009-11-20 2010-11-15 密码处理系统、密钥生成装置、密钥转让装置、加密装置、解密装置、密码处理方法以及密码处理程序

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2009264454 2009-11-20
JP2009-264454 2009-11-20

Publications (1)

Publication Number Publication Date
WO2011062136A1 true WO2011062136A1 (ja) 2011-05-26

Family

ID=44059614

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/070280 WO2011062136A1 (ja) 2009-11-20 2010-11-15 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム

Country Status (7)

Country Link
US (1) US8577030B2 (ja)
EP (1) EP2503533B1 (ja)
JP (1) JP5769401B2 (ja)
KR (1) KR101336349B1 (ja)
CN (1) CN103038805B (ja)
ES (1) ES2602052T3 (ja)
WO (1) WO2011062136A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8615668B2 (en) 2010-01-15 2013-12-24 Mitsubishi Electric Corporation Confidential search system and cryptographic processing system

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8462939B2 (en) * 2010-12-07 2013-06-11 King Fahd University Of Petroleum And Minerals RNS-based cryptographic system and method
EP2756627B1 (en) * 2011-09-28 2018-11-14 Koninklijke Philips N.V. Hierarchical attribute-based encryption and decryption
US9237013B2 (en) * 2011-12-20 2016-01-12 Mitsubishi Electric Corporation Encrypted data management device, encrypted data management method, and encrypted data management program
JP5730805B2 (ja) * 2012-04-04 2015-06-10 日本電信電話株式会社 格子問題に基づく階層型内積暗号システム，格子問題に基づく階層型内積暗号方法，装置
WO2014112170A1 (ja) * 2013-01-16 2014-07-24 三菱電機株式会社 情報処理装置及び情報処理方法及びプログラム
EP2860905A1 (en) * 2013-10-09 2015-04-15 Thomson Licensing Method for ciphering a message via a keyed homomorphic encryption function, corresponding electronic device and computer program product
CN106031080B (zh) 2014-02-24 2019-07-16 三菱电机株式会社 加密系统
DE112014007235B4 (de) * 2014-12-05 2024-10-10 Mitsubishi Electric Corporation Kryptografisches System, Hauptschlüsselaktualisierungseinrichtung und Hauptschlüsselaktualisierungsprogramm
US10516534B2 (en) 2015-04-07 2019-12-24 Mitsubishi Electric Corporation Cryptographic system and key generation apparatus
JP6534778B2 (ja) * 2016-07-06 2019-06-26 日本電信電話株式会社 秘密計算システム、秘密計算装置、秘密計算方法、およびプログラム
US10205713B2 (en) * 2017-04-05 2019-02-12 Fujitsu Limited Private and mutually authenticated key exchange
US11157612B2 (en) * 2017-05-25 2021-10-26 Nippon Telegraph And Telephone Corporation Secret tampering detection system, secret tampering detection apparatus, secret tampering detection method, and program
JP6456451B1 (ja) 2017-09-25 2019-01-23 エヌ・ティ・ティ・コミュニケーションズ株式会社 通信装置、通信方法、及びプログラム
US11483136B2 (en) 2019-12-10 2022-10-25 Google Llc Wrapped keys with access control predicates
US12099997B1 (en) 2020-01-31 2024-09-24 Steven Mark Hoffberg Tokenized fungible liabilities
CN112733111B (zh) * 2020-12-31 2023-05-23 暨南大学 一种基于片段分割的阈值谓词加密生物特征认证方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070223686A1 (en) * 2004-09-16 2007-09-27 Shidong Li Methods and apparatus for data and signal encryption and decryption by irregular subspace leaping
JP2008011092A (ja) * 2006-06-28 2008-01-17 Fuji Xerox Co Ltd 暗号化コンテンツ検索方式
JP5094882B2 (ja) 2008-01-18 2012-12-12 三菱電機株式会社 暗号パラメータ設定装置及び鍵生成装置及び暗号システム及びプログラム及び暗号パラメータ設定方法及び鍵生成方法
CN101335615B (zh) * 2008-05-30 2010-12-29 北京飞天诚信科技有限公司 用于usb key音频加解密装置密钥协商的方法
CN101404577B (zh) * 2008-10-30 2010-04-21 南京大学 一种融合多种保密技术的保密通信方法
JP5349261B2 (ja) * 2009-04-23 2013-11-20 三菱電機株式会社 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
KR101246241B1 (ko) * 2009-04-24 2013-03-22 니뽄 덴신 덴와 가부시키가이샤 암호화 장치, 복호장치, 암호화 방법, 복호방법, 세큐러티 방법, 프로그램 및 기록매체
WO2011086687A1 (ja) * 2010-01-15 2011-07-21 三菱電機株式会社 秘匿検索システム及び暗号処理システム

Non-Patent Citations (31)

* Cited by examiner, † Cited by third party
Title
BETHENCOURT, J.; SAHAI, A.; WATERS, B.: "IEEE Symposium on Security and Privacy", 2007, IEEE PRESS, article "Ciphertext-policy attribute-based encryption", pages: 321 - 334
BONEH, D.; BOYEN, X.: "CRYPTO 2004", vol. 3152, 2004, SPRINGER HEIDELBERG, article "Secure identity based encryption without random oracles", pages: 443 - 459
BONEH, D.; BOYEN, X.: "EUROCRYPT", vol. 3027, 2004, SPRINGER HEIDELBERG, article "Efficient selective-ID secure identity based encryption without random oracles", pages: 223 - 238
BONEH, D.; BOYEN, X.; GOH, E.: "EUROCRYPT 2005", vol. 3494, 2005, SPRINGER HEIDELBERG, article "Hierarchical identity based encryption with constant size ciphertext", pages: 440 - 456
BONEH, D.; FRANKLIN, M.: "CRYPTO 2001", vol. 2139, 2001, SPRINGER HEIDELBERG, article "Identity-based encryption from the Weil pairing", pages: 213 - 229
BONEH, D.; HAMBURG, M.: "ASIACRYPT 2008", vol. 5350, 2008, SPRINGER HEIDELBERG, article "Generalized identity based and broadcast encryption scheme", pages: 455 - 470
BONEH, D.; WATERS, B.: "TCC 2007", vol. 4392, 2007, SPRINGER HEIDELBERG, article "Conjunctive, subset, and range queries on encrypted data", pages: 535 - 554
BOYEN, X.; WATERS, B.: "CRYPTO 2006", vol. 4117, 2006, SPRINGER HEIDELBERG, article "Anonymous hierarchical identity-based encryption (without random oracles", pages: 290 - 307
COCKS, C.: "IMA Int. Conf LNCS", vol. 2260, 2001, SPRINGER HEIDELBERG, article "An identity based encryption scheme based on quadratic residues", pages: 360 - 363
E. SHEN ET AL.: "Predicate Privacy in Encryption Systems", CRYPTOLOGY EPRINT ARCHIVE, 28 December 2008 (2008-12-28), XP008155961, Retrieved from the Internet <URL:http://eprint.iacr.org/2008/536> [retrieved on 20100527] *
GENTRY, C.: "EUROCRYPT 2006. LNCS", vol. 4004, 2006, SPRINGER HEIDELBERG, article "Practical identity-based encryption without random oracles", pages: 445 - 464
GENTRY, C.; HALEVI, S.: "TCC 2009", vol. 5444, 2009, SPRINGER HEIDELBERG, article "Hierarchical identity-based encryption with polynomially many levels", pages: 437 - 456
GENTRY, C.; SILVERBERG, A.: "ASIACRYPT 2002. LNCS", vol. 2501, 2002, SPRINGER HEIDELBERG, article "Hierarchical ID-based cryptography", pages: 548 - 566
GOYAL, V; PANDEY, 0.; SAHAI, A.; WATERS, B.: "ACM Conference on Computer and Communication Security 2006", 2006, ACM, article "Attribute-based encryption for fme-grained access control of encrypted data", pages: 89 - 98
GROTH, J.; SAHAI, A.: "EUROCRYPT 2008. LNCS", vol. 4965, 2008, SPRINGER HEIDELBERG, article "Efficient non-interactive proof systems for bilinear groups", pages: 415 - 432
HORWITZ, J.; LYNN, B.: "EUROCRYPT 2002. LNCS", vol. 2332, 2002, SPRINGER HEIDELBERG, article "Towards hierarchical identity-based encryption", pages: 466 - 481
J. KATZ ET AL.: "Predicate Encryption Supporting Disjunctions, Polynomial Equations, and Inner Products", CRYPTOLOGY EPRINT ARCHIVE, 8 July 2008 (2008-07-08), XP008155971, Retrieved from the Internet <URL:http://eprint.iacr.org/2007/404> [retrieved on 20100526] *
KATZ, J.; SAHAI, A.; WATERS, B.: "EUROCRYPT 2008. LNCS", vol. 4965, 2008, SPRINGER HEIDELBERG, article "Predicate encryption supporting disjunctions, polynomial equations, and inner products", pages: 146 - 162
OKAMOTO, T.; TAKASHIMA, EL: "Pairing 2008. LNCS", vol. 5209, 2008, SPRINGER HEIDELBERG, article "Homomorphic encryption and signatures from vector decomposition", pages: 57 - 74
OKAMOTO, T.; TAKASHIMA, K.: "A geometric approach on pairing and hierarchical predicate encryption", POSTER SESSION, EUROCRYPT 2009, 2009
OSTROVSKY, R.; SAHAI, A.; WATERS, B.: "ACM Conference on Computer and Communication Security 2007", 2007, ACM, article "Attribute-based encryption with non-monotonic access structures", pages: 195 - 203
PIRRETTI, M.; TRAYNOR, P.; MCDANIEL, P.; WATERS, B.: "ACM Conference on Computer and Communication Security 2006", 2006, ACM, article "Secure attribute-based systems", pages: 99 - 112
SAHAI, A.; WATERS, B.: "EUROCRYPT 2005. LNCS", vol. 3494, 2005, SPRINGER HEIDELBERG, article "Fuzzy identity-based encryption", pages: 457 - 473
See also references of EP2503533A4
SHI, E.; WATERS, B.: "ICALP (2) 2008. LNCS", vol. 5126, 2008, SPRINGER HEIDELBERG, article "Delegating capability in predicate encryption systems", pages: 560 - 578
T. OKAMOTO ET AL.: "A Geometric Approach on Pairings and Hierarchical Predicate Encryption", EUROCRYPT 2009, April 2009 (2009-04-01), XP008167747 *
T. OKAMOTO ET AL.: "Hierarchical Predicate Encryption for Inner-Products", LECTURE NOTES IN COMPUTER SCIENCE, vol. 5912, 1 December 2009 (2009-12-01), pages 214 - 231, XP008155970 *
T. OKAMOTO ET AL.: "Homomorphic Encryption and Signatures from Vector Decomposition", LECTURE NOTES IN COMPUTER SCIENCE, vol. 5209, 25 August 2008 (2008-08-25), pages 57 - 74, XP008155972 *
T. OKAMOTO ET AL.: "Relations among Computational and Decisional Problems concerning Vector Decomposition Problems", NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY YOKOSHU, 20 January 2009 (2009-01-20), XP008157297 *
TAKASHIMA, K.: "ANTS VIII, LNCS", vol. 5011, 2008, SPRINGER HEIDELBERG, article "Efficiently computable distortion maps for supersingular curves", pages: 88 - 101
WATERS, B: "Ciphertext-policy attribute-based encryption: an expressive, efficient, and provably secure realization. ePrint", IACR, Retrieved from the Internet <URL:http:Heprint.iacr.org/2008/290>

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8615668B2 (en) 2010-01-15 2013-12-24 Mitsubishi Electric Corporation Confidential search system and cryptographic processing system

Also Published As

Publication number Publication date
ES2602052T3 (es) 2017-02-17
EP2503533A4 (en) 2014-09-10
KR101336349B1 (ko) 2013-12-04
KR20120088774A (ko) 2012-08-08
US8577030B2 (en) 2013-11-05
JP5769401B2 (ja) 2015-08-26
EP2503533B1 (en) 2016-10-05
EP2503533A1 (en) 2012-09-26
US20120284530A1 (en) 2012-11-08
JP2011128609A (ja) 2011-06-30
CN103038805A (zh) 2013-04-10
CN103038805B (zh) 2015-07-29

Similar Documents

Publication Publication Date Title
JP5769401B2 (ja) 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及びプログラム
JP5334873B2 (ja) 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
KR101386294B1 (ko) 암호 처리 시스템, 키 생성 장치, 암호화 장치, 복호 장치, 서명 처리 시스템, 서명 장치 및 검증 장치
KR101359200B1 (ko) 암호 처리 시스템
KR101393899B1 (ko) 암호 처리 시스템, 키 생성 장치, 암호화 장치, 복호 장치, 암호 처리 방법 및 암호 처리 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
JP5618881B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
JP5606344B2 (ja) 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム
JP5606351B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、鍵委譲装置、暗号処理方法及び暗号処理プログラム
WO2014061324A1 (ja) 暗号システム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201080065337.0

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10831530

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2010831530

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2010831530

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13509695

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20127013861

Country of ref document: KR

Kind code of ref document: A