WO2012101913A1 - 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム - Google Patents

署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム Download PDF

Info

Publication number
WO2012101913A1
WO2012101913A1 PCT/JP2011/078463 JP2011078463W WO2012101913A1 WO 2012101913 A1 WO2012101913 A1 WO 2012101913A1 JP 2011078463 W JP2011078463 W JP 2011078463W WO 2012101913 A1 WO2012101913 A1 WO 2012101913A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
key
vector
integer
verification
Prior art date
Application number
PCT/JP2011/078463
Other languages
English (en)
French (fr)
Inventor
克幸 高島
岡本　龍明
Original Assignee
三菱電機株式会社
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社, 日本電信電話株式会社 filed Critical 三菱電機株式会社
Priority to EP11856860.9A priority Critical patent/EP2670081B1/en
Priority to CN201180065941.8A priority patent/CN103348624B/zh
Priority to KR1020137022196A priority patent/KR101431412B1/ko
Priority to US13/981,679 priority patent/US9106408B2/en
Priority to ES11856860.9T priority patent/ES2684945T3/es
Publication of WO2012101913A1 publication Critical patent/WO2012101913A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H04L9/3255—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures using group based signatures, e.g. ring or threshold signatures

Definitions

  • the present invention relates to an attribute-based signature (ABS) scheme.
  • Non-Patent Documents 26, 29, 30, 34-37, 45, and 51 have descriptions related to attribute-based signature schemes.
  • Non-Patent Documents 36 and 37 describe an attribute-based signature scheme that supports monotone predicates.
  • An object of the present invention is to provide an attribute-based signature scheme that supports non-monotone predicates.
  • a key element 0 generation unit that generates a key element k * 0 in which a predetermined value ⁇ is set as a coefficient of the basis vector b * 0,1 of the basis B * 0 ;
  • the predetermined value ⁇ is set as the coefficient of the basis vector b * t, 1 of the basis B * t , and the basis vector b * t , 2 as a coefficient, a key element t generating unit for generating a key element k * t in which ⁇ x t obtained by multiplying the attribute information x t by the predetermined value ⁇ is set;
  • L is an integer equal to or greater than 1)
  • a second information input unit for inputting the matrix M and the message m;
  • a variable [rho (i) is affirmative form pairs (t, v i), and contains its set of v i, the attribute set ⁇ indicated by the set of identification information t and i and x t are equal to the variable [rho (i) is negative type set ⁇ (t, v i) is, and its set of v i, the attribute set ⁇ indicated by the set of identification information t
  • a set I with i that is not equal to x t included is specified, and for i included in the specified set I, M i that is an element in the i-th row of the matrix M input by the second information input unit is specified.
  • a complementary coefficient calculation unit that calculates a complementary coefficient ⁇ i that becomes a predetermined vector h ⁇ when ⁇ i M i is summed,
  • a signature element i generating unit that generates a signature element s * i including ⁇ i k * t ;
  • a signature element L + 1 generator for generating a signature element s * L + 1 including the sum of The signature element s * 0 generated by the signature element 0 generation unit and i 1,. . .
  • variable ⁇ (i) when the variable ⁇ (i) is a positive pair (t, v i ), the coefficient of the base vector b t, 1 of the base B t indicated by the identification information t of the pair S i + ⁇ i v i is set as, and ⁇ i is set as a coefficient of the basis vector b t, 2 to generate a verification element c i , and the variable ⁇ (i) is a negated combination (t, v i ), set s i v i as the coefficient of the basis vector b t, 1 indicated by the set of identification information t, and set -s i as the coefficient of the basis vector b t, 2 to verify A verification element i generator for generating an element c i ; As a coefficient of the basis vector b d + 1,1 of the basis B d + 1 , s L + 1 ⁇ L + 1 m ′ calculated from the predetermined value s L + 1 , the value
  • the attribute-based signature scheme according to the present invention supports non-monotone predicates. Therefore, an attribute-based signature scheme with a wide usage range is realized.
  • Explanatory drawing of the matrix M ⁇ .
  • Explanatory drawing of s- > T. 1 is a configuration diagram of a signature processing system 10 that executes an attribute-based signature scheme.
  • 3 is a functional block diagram showing functions of the key generation device 100.
  • FIG. 3 is a functional block diagram showing functions of the signature device 200.
  • FIG. 3 is a functional block diagram showing functions of the verification apparatus 300.
  • the flowchart which shows the process of a Setup algorithm.
  • FIG. 1 is a configuration diagram of a signature processing system 10 that executes a distributed multi-manager attribute-based signature scheme.
  • FIG. FIG. 3 is a functional block diagram showing functions of each key generation device 100.
  • FIG. 3 is a functional block diagram showing functions of the signature device 200.
  • FIG. 3 is a functional block diagram showing functions of the verification apparatus 300.
  • the flowchart which shows the process of a GSetup algorithm.
  • the flowchart which shows the process of an ASetup algorithm.
  • the flowchart which shows the process of an AttrGen algorithm.
  • the flowchart which shows the process of Ver algorithm. 2 is a diagram illustrating an example of a hardware configuration of a key generation device 100, a signature device 200, and a verification device 300.
  • the processing device is a CPU 911 or the like which will be described later.
  • the storage device is a ROM 913, a RAM 914, a magnetic disk 920, etc., which will be described later.
  • the communication device is a communication board 915 or the like which will be described later.
  • the input device is a keyboard 902, a communication board 915, and the like which will be described later. That is, the processing device, the storage device, the communication device, and the input device are hardware.
  • Equation 101 represents selecting y from A randomly according to the distribution of A. That is, in Equation 101, y is a random number.
  • Equation 102 represents selecting y from A uniformly. That is, in Equation 102, y is a uniform random number.
  • the number 103 represents that y is a set defined by z, or y is a set to which z is substituted.
  • a is a constant, the number 104 represents that the machine (algorithm) A outputs a for the input x.
  • the number 105 that is, F q indicates a finite field of order q.
  • the vector notation represents a vector representation in the finite field Fq . That is, Formula 106.
  • Equation 107 represents the inner product shown in Equation 109 between the two vectors x ⁇ and v ⁇ shown in Equation 108.
  • X T represents the transpose of the matrix X.
  • the number 111 represents the subspace generated by the number 112.
  • Equation 114 is obtained.
  • Vt in param Vt is that the V t.
  • nt in F q nt is that of n t.
  • sk gid the xt in (t, xt) is that of x t.
  • ".delta.i, j" if is indicated by superscript this .delta.i, j refers to [delta] i, j.
  • the signature processing includes key generation processing, signature processing, and verification processing.
  • Embodiment 1 the “attribute-based signature scheme” will be described.
  • the attribute-based signature will be briefly described.
  • DPVS Dual Pairing Vector Spaces
  • the concept for realizing the attribute-based signature scheme will be described.
  • “span program”, “inner product of attribute vectors and access structure”, and “secret sharing scheme (secret sharing scheme)” will be described.
  • secret sharing scheme secret sharing scheme
  • the “collision resistant hash functions” will be described.
  • the “attribute-based signature scheme” according to this embodiment will be described.
  • the basic configuration of the “attribute-based signature scheme” will be described.
  • the basic configuration of the “signature processing system 10” that realizes the “attribute-based signature scheme” will be described.
  • the “attribute-based signature scheme” and “signature processing system 10” according to this embodiment will be described in detail.
  • the signature key and the verification key are parameterized by the attribute x and the predicate v, respectively.
  • the signed message (m, ⁇ ) is generated by the signature key sk x with the parameter x
  • the predicate v accepts the attribute x by the public key pk and the parameter v (v (x) Is verified only if
  • the signer's privacy in this class of signature is that the signature for the predicate v generated by the signature key sk x does not leak information about the attribute x except that v (x) holds.
  • the signature class for this predicate is an ID-based signature (Identity-Based Signatures, IBS). (See Non-Patent Document 46).
  • Group signatures are signatures included in this class of signatures (see Non-Patent Document 19).
  • the parameter v of the predicate is the group identifier
  • the attribute x is the identifier of the group v member (or pk v is the public key identifying the group v
  • sk x is the secret of the member x of the group v
  • An attribute-based signature is a signature included in this class of signature, and is a signature with a more sophisticated predicate (see Non-Patent Documents 26, 29, 30, 34-36, 45, 51).
  • x for the signature key sk x is a set of attributes (x 1 ,..., X i ), and v for verification is a threshold value or an access structure predicate.
  • the widest class of predicates in the existing attribute-based signature scheme is a monotone access structure (see Non-Patent Documents 36 and 37).
  • MSP M, ⁇
  • v (x) holds.
  • T ( ⁇ ): 1
  • Such monotone predicates can represent AND, OR, and threshold gates.
  • TH2 means a threshold gate having a threshold value of 2 (that is, a gate that requires two or more to be established).
  • v (x A) and v (x B) are both satisfied it is clear.
  • Alice and Bob can generate a signature on this predicate.
  • the signature for predicate v does not leak information about the signer, ie, Alice and Bob (or other) attributes, except that the signer's attributes satisfy predicate v.
  • attribute-based signatures there are many applications such as attribute-based messaging (Attributed-Based Massaging, ABM), attribute-based authentication (Attributed-Based authentication), trust-negotiation, and leaking secrets (see Non-Patent Documents 36 and 37). ).
  • Symmetric Bilinear Pairing Groups (q, G, G T, g, e) is a prime number q, and the cyclic additive group G of order q, and a cyclic multiplicative group G T of order q, g ⁇ 0 ⁇ G If, nondegenerate bilinear pairing that can be calculated in polynomial time (nondegenerate bilinear pairing) e: a set of a G ⁇ G ⁇ G T.
  • a i is as shown in Equation 117.
  • Equation 120 The linear transformation ⁇ i, j in the space V shown in Equation 119 can perform Equation 120.
  • the linear transformation ⁇ i, j is called a distortion map.
  • a dual pairing vector space is configured by the above-described symmetric bilinear pairing group.
  • a dual pairing vector space can also be configured by an asymmetric bilinear pairing group. It is easy to apply the following description to a case where a dual pairing vector space is configured by an asymmetric bilinear pairing group.
  • FIG. 1 is an explanatory diagram of the matrix M ⁇ . ⁇ P 1 ,. . . , P n ⁇ be a set of variables.
  • M ⁇ : (M, ⁇ ) is a labeled matrix.
  • the matrix M is a matrix of (L rows ⁇ r columns) on F q . ⁇ is a label attached to each column of the matrix M, and ⁇ p 1 ,. . . , P n , ⁇ p 1 ,. . . , ⁇ p n ⁇ is associated with any one literal.
  • a submatrix M ⁇ of the matrix M is defined.
  • the matrix M ⁇ is a partial matrix composed of rows of the matrix M in which the value “1” is associated with the label ⁇ by the input column ⁇ .
  • the matrix M is a matrix of (6 rows ⁇ 5 columns).
  • the label [rho, the [rho 1 is ⁇ P 2
  • the [rho 2 is p 1
  • the [rho 3 is p 4
  • [rho to 4 ⁇ P 5 is a ⁇ P 3, [rho 6
  • a submatrix composed of rows of the matrix M associated with literals (p 1 , p 3 , p 6 , p 7 , ⁇ p 2 , ⁇ p 4 , ⁇ p 5 ) surrounded by broken lines is a matrix M. ⁇ . That is, the submatrix composed of the first row (M 1 ), the second row (M 2 ), and the fourth row (M 4 ) of the matrix M is the matrix M ⁇ .
  • (M j ) ⁇ (j) 1 is M 1 , M 2 , M 4 and the matrix M ⁇ . That is, whether or not the jth row of the matrix M is included in the matrix M ⁇ is determined depending on whether the value of the mapping ⁇ (j) is “0” or “1”.
  • the span program M ⁇ accepts the input sequence ⁇ only if 1 ⁇ ⁇ span ⁇ M ⁇ >, and rejects the input sequence ⁇ otherwise.
  • the span program M ⁇ accepts the input string ⁇ only when 1 ⁇ is obtained by linearly combining the rows of the matrix M ⁇ obtained from the matrix M ⁇ with the input string ⁇ .
  • 1 ⁇ is a row vector in which each element has a value “1”.
  • the span program M ⁇ will only change the input string ⁇ if 1 ⁇ is obtained by linearly combining the rows of the matrix M ⁇ consisting of the first, second, and fourth rows of the matrix M. Accept.
  • a literal ⁇ p 1 ,. . . , P n ⁇ the span program is called monotone.
  • the label ⁇ is a literal ⁇ p 1 ,. . . , P n , ⁇ p 1 ,. . . , ⁇ p n ⁇
  • the span program is assumed to be non-monotone.
  • an access structure non-monotone access structure
  • the range of use of the attribute-based signature scheme configured using the span program is expanded.
  • mapping ⁇ (j) is calculated using the inner product of the attribute vectors.
  • the inner product of the attribute vectors is used to determine which row of the matrix M is included in the matrix M ⁇ .
  • U t includes identification information (t) of a partial complete set and an n t dimensional vector (v ⁇ ). That is, U t is (t, v ⁇ ).
  • mapping ⁇ is calculated based on the inner product of the attribute vectors v 1 ⁇ and x 2 ⁇ .
  • the secret sharing scheme is to distribute secret information into meaningless shared information.
  • the secret information s is dispersed into 10 pieces, and 10 pieces of shared information are generated.
  • each of the 10 pieces of shared information does not have the information of the secret information s. Therefore, even if one piece of shared information is obtained, no information can be obtained regarding the secret information s.
  • the secret information s can be restored.
  • a case where the secret information s can be restored with 8 of the 10 pieces of shared information in this way is called 8-out-of-10. That is, a case where the secret information s can be restored with t pieces of the n pieces of shared information is called t-out-of-n. This t is called a threshold value.
  • D 1 ,. . . , D 10 , d 1 ,. . . , D 8 up to 8 shared information can restore the secret information s, but d 3 ,. . . , D 10 is also a secret sharing scheme in which the secret information s cannot be restored if it is eight pieces of shared information. In other words, there is a secret sharing scheme that controls whether or not the secret information s can be restored according to the combination of shared information as well as the number of shared information obtained.
  • FIG. 4 is an explanatory diagram of s ⁇ T.
  • the matrix M is a matrix of (L rows ⁇ r columns).
  • Let f ⁇ T be a column vector shown in Formula 122.
  • Let s 0 shown in Equation 123 be shared secret information.
  • s ⁇ T shown in Expression 124 is a vector of L pieces of distributed information of s 0 .
  • the shared information s i is assumed to belong to ⁇ (i).
  • the inner structure predicate and the secret sharing scheme are applied to the span program to configure the access structure. Therefore, the access control can be freely designed by designing the matrix M in the span program and the attribute information x and attribute information v (predicate information) in the inner product predicate. That is, the access control can be designed with a very high degree of freedom. Note that the design of the matrix M corresponds to a condition design such as a threshold of the secret sharing scheme.
  • the access structure in the attribute-based signature scheme according to this embodiment and the following embodiments constitutes a non-monotone access structure using a non-monotone span program. That is, the attribute-based signature scheme according to this embodiment and the following embodiments is a signature scheme with a non-monotone predicate. Therefore, the degree of freedom in designing access control becomes higher.
  • the collision-resistant hash function is a hash function in which it is difficult to find two inputs having the same output.
  • the key space system is indexed by ⁇ .
  • Each key space is a probability space in the bit string indicated by KH ⁇ .
  • each function H hk ⁇ , D is a mapping from an element of D to F q X.
  • q is the first element of the output param G of the algorithm G bpg (1 ⁇ ).
  • G bpg (1 ⁇ ).
  • d a deterministic polynomial time algorithm that takes 1 ⁇ , hk, and d ⁇ D as inputs and outputs H hk ⁇ , D (d).
  • ⁇ be a stochastic polynomial time machine. For every ⁇ , we define the number 126. For any stochastic polynomial time attacker ⁇ , if Adv ⁇ H, CR ( ⁇ ) is negligible, then H is a hard-to-collision hash function system.
  • the Ver algorithm is an algorithm that receives the signature data ⁇ and the public parameter pk and outputs a Boolean value 1 (acceptance) or 0 (rejection).
  • the attribute-based signature scheme includes all public parameters pk and master key sk shown in Formula 127, all messages m, a set of all attributes ⁇ , all signature keys sk ⁇ shown in Formula 128, and a set of attributes.
  • Ver (pk, m, S, ⁇ ) is established with probability 1 for all the access structures S that accept ⁇ and all the signature data ⁇ shown in Equation 129.
  • FIG. 5 is a configuration diagram of the signature processing system 10 that executes the algorithm of the attribute-based signature scheme.
  • the signature processing system 10 includes a key generation device 100, a signature device 200, and a verification device 300.
  • the signature device 200 transmits the generated signature data ⁇ to the verification device 300.
  • the verification apparatus 300 receives the signature data ⁇ and the public parameter pk, executes the Ver algorithm, and outputs a Boolean value 1 (acceptance) or 0 (rejection).
  • FIG. 6 is a functional block diagram illustrating functions of the key generation device 100.
  • FIG. 7 is a functional block diagram showing functions of the signature device 200.
  • FIG. 8 is a functional block diagram illustrating functions of the verification apparatus 300.
  • 9 and 10 are flowcharts showing the operation of the key generation apparatus 100.
  • FIG. 9 is a flowchart showing the process of the Setup algorithm
  • FIG. 10 is a flowchart showing the process of the KeyGen algorithm.
  • FIG. 11 is a flowchart showing the operation of the signature device 200, and is a flowchart showing the processing of the Sig algorithm.
  • FIG. 12 is a flowchart showing the operation of the verification apparatus 300, and is a flowchart showing the Ver algorithm processing.
  • the key generation device 100 includes a master key generation unit 110, a master key storage unit 120, an information input unit 130 (first information input unit), a signature key generation unit 140, a key distribution unit 150 (signature key). A transmission unit).
  • the signature key generation unit 140 includes a random number generation unit 141, a key element 0 generation unit 142, a key element t generation unit 143, and a key element d + 1 generation unit 144.
  • H: (KH ⁇ , H hk ⁇ , D ) is the collision-resistant hash function system described above.
  • the master key generation unit 110 executes the following process.
  • N t is an integer greater than or equal to 1
  • the master key generation unit 110 generates a random number ⁇ by the processing device.
  • GL is an abbreviation for General Linear. That is, GL is a general linear group, a set of square matrices whose determinants are not 0, and a group for multiplication.
  • the master key generation unit 110 the processing unit, (5) on the basis of linear transformation X t generated in, it generates a basis B t from canonical basis A t generated in (4).
  • the master key generation unit 110, the processing device the base B * t generated ([nu t, i, j) i, based on j, from the canonical basis A t generated in (4) (6) Generate.
  • the master key generation unit 110 sets e (g, g) ⁇ to g T by the processing device.
  • the master key generation unit 110 calculates the number 132 by the processing device and randomly generates the hash key hk.
  • Security parameter ⁇ (1 ⁇ ) param n ⁇ generated in (S101), hash key hk generated in (S102), basis vector b * 0, 1 + u0 + 1,. . . , B * 0, 1 + u0 + w0 (where u0, w0 are u 0 , w 0 ) together to be a public parameter pk.
  • the master key storage unit 120 stores the public parameter pk generated in (S103) in the storage device. Further, the master key storage unit 120 stores the master key sk generated in (S104) in the storage device.
  • the key generation device 100 executes the Setup algorithm shown in Formula 135 to generate the public parameter pk and the master key sk.
  • the key generation device 100 stores the generated public parameter pk and master key sk in the storage device.
  • the public parameter is made public via a network, for example, so that the signature device 200 and the verification device 300 can obtain the public parameter.
  • t may not be all integers from 1 to d, but may be at least some integers from 1 to d.
  • Equation 137 means that the basis vector coefficient of basis B * 0 is set as follows.
  • the notation is simplified and the basis vector is specified only by the portion i among the basis vectors b * 0, i .
  • the basis vector 1 means the basis vector b * 0,1 .
  • a random number ⁇ is set as the coefficient of the basis vector 1 of the basis B * 0 .
  • Basis vectors 1 + 1,. . . , 0 is set as the coefficient of 1 + u 0.
  • Basis vector 1 + u 0 + w 0 +1,. . . , 0 is set as the coefficient of 1 + u 0 + w 0 + z 0.
  • Key element t generation unit 143 the processing device, included in the set of attributes gamma (t, x ⁇ t) for each integer t of, indicated in Formula 138 key element k * t is an element of the signature key sk gamma Generate as follows. That is, the equation 138 means that the coefficient of the basis vector of the basis B * t is set as follows, like the equation 137. Here, the notation is simplified and the basis vector is specified only by the portion i among the basis vectors b * t, i . For example, the basis vector 1 means the basis vector b * t, 1 . Also, basis vectors 1,. . .
  • Basis vectors n t +1,. . . , N t + u t is set to 0.
  • Basis vectors n t + u t +1,. . . , N t + u t + w t are random numbers ⁇ t, 1 ,. . . , ⁇ t, wt (where wt is w t t ).
  • Basis vectors n t + u t + w t +1,. . . , N t + u t + w t + z t is set to 0.
  • the key element d + 1 generating unit 144 generates a key element k * d + 1,1 and a key element k * d + 1,2 that are elements of the signature key sk ⁇ , as shown in Expression 139, by the processing device. That is, the equation 139 means that the basis vector coefficient of the basis B * d + 1 is set as follows, like the equation 137. Here, the notation is simplified and the basis vector is specified only by the portion i among the basis vectors b * d + 1, i . For example, the basis vector 1 means the basis vector b * d + 1,1 . Also, basis vectors 1,. . .
  • Basis vector 2 + u d + 1 + w d + 1 +1,. . . , 2 + u d + 1 + w d + 1 + z d + 1 is set to 0.
  • k * d + 1 , 2 0 is set as the coefficient of the base vector 1.
  • a random number ⁇ is set as a coefficient of the base vector 2.
  • Basis vectors 2 + 1,. . . , 2 + u d + 1 , 0 is set.
  • Basis vector 2 + u d + 1 + w d + 1 +1,. . . , 2 + u d + 1 + w d + 1 + z d + 1 is set to 0.
  • the key distribution unit 150 includes an attribute set ⁇ , a key element k * 0 , a key element k * t (t is t in (t, x ⁇ t ) included in the attribute set ⁇ ), and a key element k *.
  • a signature key sk ⁇ having elements d + 1, 1 and key element k * d + 1 , 2 is distributed secretly to the signature apparatus 200 via a network, for example.
  • the signature key sk ⁇ may be distributed to the signature device 200 by other methods.
  • step S ⁇ b> 206 the key generation apparatus 100 distributes the generated signature key sk ⁇ to the signature apparatus 200.
  • the signature device 200 includes a signature key acquisition unit 210, an information input unit 220 (second information input unit), a span program calculation unit 230, a complementary coefficient calculation unit 240, a signature data generation unit 250, signature data.
  • a transmission unit 260 (signature data output unit) is provided.
  • the information input unit 220 includes a predicate information input unit 221 and a message input unit 222.
  • the signature data generation unit 250 includes a random number generation unit 251, a signature element 0 generation unit 252, a signature element i generation unit 253, and a signature element L + 1 generation unit 254.
  • the signature key acquisition unit 210 acquires the signature key sk ⁇ generated by the key generation device 100 via the network by the communication device.
  • the signature key acquisition unit 210 acquires the public parameter pk generated by the key generation device 100.
  • the matrix M is a matrix of L rows ⁇ r columns. L and r are integers of 1 or more.
  • the message input unit 222 inputs a message m to be signed with an input device. Note that the matrix M of the access structure S is set according to the conditions of the system to be realized.
  • the span program calculation unit 230 determines whether the access structure S input in (S302) accepts the attribute set ⁇ included in the signature key sk ⁇ acquired in (S301) by the processing device.
  • the method for determining whether or not the access structure accepts the attribute set is as described in “3. Concept for realizing functional encryption”.
  • the span program calculation unit 230 advances the process to (S304).
  • the access structure S rejects the attribute set ⁇ (rejected in S303)
  • the process ends.
  • the complement coefficient calculation unit 430 calculates I, which is Formula 141, and a constant (complement coefficient) ⁇ i for each integer i included in I by the processing device. Note that M i is the i-th row of the matrix M.
  • the signature element 0 generation unit 252 generates a signature element s * 0 , which is an element of the signature data ⁇ , as shown in Expression 143 by the processing device.
  • r * 0 is Equation 144 (see Equations 110 to 112 and the description of these equations).
  • r * i is Equation 146 (see Equations 110 to 112 and the description of these equations).
  • the signature element L + 1 generation unit 254 generates a signature element s * L + 1 , which is an element of the signature data ⁇ , as shown in Expression 148 by the processing device.
  • r * L + 1 is Equation 149 (see Equations 110 to 112 and the explanation of these equations).
  • the signature data ⁇ may be transmitted to the verification apparatus 300 by other methods.
  • the signature device 200 executes the Sig algorithm expressed by Formula 150 to generate signature data ⁇ .
  • the signature device 200 distributes the generated signature data ⁇ to the verification device 300.
  • the verification device 300 includes a public parameter acquisition unit 310, a data reception unit 320, a verification key generation unit 330, and a pairing calculation unit 340.
  • the verification key generation unit 330 includes a random number generation unit 331, an f vector generation unit 332, an s vector generation unit 333, a verification element 0 generation unit 334, a verification element i generation unit 335, and a verification element L + 1 generation unit 336.
  • the public parameter acquisition unit 310 acquires, for example, the public parameter pk generated by the key generation device 100 via the network by the communication device.
  • the data receiving unit 320 receives the signature data ⁇ transmitted by the signature device 200 via the network by the communication device.
  • the f vector generation unit 332 randomly generates a vector f ⁇ having r elements by using the processing device as shown in Formula 151.
  • the s vector generation unit 333 uses the processing device to generate the (L rows ⁇ r columns) matrix M of the access structure S included in the signature data ⁇ received in (S402) and the r elements generated in (S403). Based on the vector f ⁇ , the vector s ⁇ T is generated as shown in Formula 152. Further, the s vector generation unit 333 generates the value s 0 as shown in the expression 153 based on the vector f ⁇ generated in (S403) by the processing device. Note that 1 ⁇ is a vector in which all elements have a value of 1.
  • Equation 155 means that the coefficient of the basis vector of the basis B 0 is set as follows.
  • the notation is simplified and the basis vector is specified only by the portion i among the basis vectors b 0, i .
  • the basis vector 1 means the basis vector b 0,1 .
  • Basis vectors 1 + 1,. . . , 0 is set as the coefficient of 1 + u 0 + w 0.
  • the basis vector 1 means the basis vector b t, 1 .
  • Basis vectors 2,. . . , N t as the coefficients of ⁇ i v i, 2 ,. . . , ⁇ i v i, nt (where, nt is that the n t) is set.
  • Basis vectors n t +1,. . . , N t + u t + w t is set to 0.
  • N t + u t + w t is set to 0.
  • the verification element L + 1 generation unit 336 generates a verification element c L + 1 that is an element of the verification key by the processing device as shown in Expression 157. That is, the equation 157 means that the coefficient of the basis vector of the basis B d + 1 is set as follows, like the equation 155. Here, the notation is simplified, and the basis vector is specified only by the portion i among the basis vectors b d + 1, i .
  • the basis vector 1 means the basis vector b d + 1,1 .
  • ⁇ L + 1 is set as the coefficient of the base vector 2.
  • Basis vectors 2 + 1,. . . , 2 + u d + 1 + w d + 1 is set to 0.
  • the pairing calculation unit 340 calculates a pairing calculation e (b 0,1 , s * 0 ) by the processing device. If the result of calculating the pairing operation e (b 0,1 , s * 0 ) is a value 1, the pairing operation unit 340 outputs a value 0 indicating that the signature verification has failed, and performs processing. finish. On the other hand, if the result of calculating the pairing calculation e (b 0,1 , s * 0 ) is not the value 1, the pairing calculation unit 340 advances the process to S410.
  • the pairing calculation unit 340 calculates the pairing calculation shown in Formula 158 by the processing device. If the result of calculating the pairing calculation shown in Formula 158 is a value 1, the pairing calculation unit 340 outputs a value 1 indicating that the signature verification is successful. On the other hand, in the case of other values, the pairing calculation unit 340 outputs a value 0 indicating that the signature verification has failed. As shown in Expression 159, by calculating Expression 158, if the signature data ⁇ is valid, the value 1 is obtained.
  • the verification apparatus 300 executes the Ver algorithm shown in Expression 160 to verify the signature data ⁇ .
  • the signature processing system 10 implements the attribute-based signature scheme using the access structure S configured using the span program, inner product predicate, and secret sharing. Particularly, since the signature processing system 10 according to the first embodiment uses a non-monotone span program, an attribute-based signature scheme with a non-monotone predicate is realized.
  • the attribute-based signature scheme realized by the signature processing system 10 according to the first embodiment is highly secure and satisfies privacy requirements. Note that high security means that there is a low possibility that a signature is forged by another person.
  • the pairing operation e (b 0,1 , s * 0 ) is performed in (S409) using the basis vector b * 0,1 in which the signature data ⁇ is secret (master key sk). This is to confirm that the signature data is not generated.
  • the pairing operation e (b 0,1 , s * 0 ) indicates that the basis element b * 0,1 is included in the signature element s * 0 , that is, a value other than 0 as a coefficient of the basis vector b * 0,1. Is an operation to check whether or not is set.
  • the n t + u t + w t + z t may be set 3n t +1 to N t.
  • n 0 1
  • the Setup algorithm shown in Expression 135 is rewritten as Expression 161.
  • Gob is rewritten as shown in Formula 162.
  • the KeyGen algorithm shown in Expression 140 is rewritten as Expression 163.
  • the Sig algorithm shown in Expression 150 can be rewritten as Expression 164.
  • the Ver algorithm shown in Equation 159 can be rewritten as shown in Equation 165.
  • the Setup algorithm may be executed once when setting up the signature processing system 10, and need not be executed every time a signature key is generated.
  • the key generation device 100 executes the Setup algorithm and the KeyGen algorithm. However, different devices may execute the Setup algorithm and the KeyGen algorithm.
  • FIG. 1 a “distributed multi-manager attribute-based signature scheme” will be described.
  • the concept of “Decentralized Multi-Authority” will be described.
  • the “distributed multi-manager attribute-based signature scheme” according to this embodiment will be described.
  • the basic configuration of the “distributed multi-manager attribute-based signature scheme” will be described.
  • a basic configuration of the “signature processing system 10” for realizing the “distributed multi-manager attribute-based signature scheme” will be described.
  • the “distributed multiple administrator attribute-based signature scheme” and the “signature processing system 10” according to this embodiment will be described in detail.
  • Multi-manager means that there are a plurality of managers who generate a signature key.
  • the security of the entire system depends on a certain organization (administrator).
  • the security of the entire system depends on the key generation device 100 that generates the master key sk.
  • the signature processing system 10 does not function as a whole.
  • by making it a multi-administrator even if the security of some administrators is broken or the secret key (master key) of some administrators is leaked, only a part of the signature processing system Is not functioning, and other parts can be made to function normally.
  • FIG. 13 is an explanatory diagram of a multi administrator.
  • the government office manages attributes such as an address, a telephone number, and age.
  • the police also manages attributes such as the type of driver's license.
  • the company A manages attributes such as the title of the company A and the affiliation of the company A.
  • a signature key 1 for indicating an attribute managed by the government office is issued by the government office
  • a signature key 2 for indicating an attribute managed by the police is issued by the police
  • a signature key for indicating an attribute managed by the company A 3 is issued by company A.
  • the signer who performs the signature generates signature data by using a signature key that is a combination of the signature keys 1, 2, and 3 issued by managers such as the government office, police, and company A.
  • a combination of the signature keys issued by the respective managers is one signature key issued to itself.
  • the signature processing system will not function with respect to the attributes of company A, but will function with respect to attributes managed by other administrators. That is, when the signature data can be verified, the attributes managed by the company A cannot be trusted, but other attributes can be trusted.
  • each manager manages a certain category (subspace) or domain in the attribute, and the attribute of the user in the category It is natural to issue a signature key (a piece) for.
  • Distributed means that any institution can be an administrator, can issue a signature key (one piece) without interacting with other institutions, and can be managed without each user interacting with other institutions.
  • the signature key (one piece) can be obtained from the person. For example, when there is a central administrator, it cannot be said to be distributed.
  • the central administrator is a higher-order administrator than other administrators. If the security of the central administrator is broken, the security of all administrators is broken.
  • the distributed multi-manager attribute-based signature scheme includes four algorithms: GSetup, ASetup, AttrGen, Sig, and Ver.
  • GSetup The GSetup algorithm is a probabilistic algorithm that receives a security parameter ⁇ and outputs a public parameter gparam.
  • ASetup The ASetup algorithm is a stochastic algorithm that receives the public parameter gparam and the administrator identification information t, and outputs the administrator private key ask t and the administrator public parameter apk t .
  • Ver This is a probabilistic algorithm that outputs signature data ⁇ including S.
  • the Ver algorithm is an algorithm that outputs the Boolean value 1 (acceptance) or 0 (rejection) with the signature data ⁇ , the public parameter gparam, and the administrator public parameter apk t as inputs.
  • FIG. 14 is a configuration diagram of the signature processing system 10 that executes the algorithm of the distributed multi-manager attribute-based signature scheme.
  • the signature processing system 10 includes a plurality of key generation devices 100, a signature device 200, and a verification device 300. Any (one) key generation apparatus 100 receives the security parameter ⁇ and executes the GSetup algorithm to generate a public parameter gparam. Then, the key generation apparatus 100 discloses the generated public parameter gparam.
  • Each key generation device 100 executes the ASetup algorithm with the public parameter gparam and the identification information t assigned to the key generation device 100 as input, and executes the administrator secret key ask t , the administrator public parameter apk t , Is generated.
  • the signature device 200 transmits the generated signature data ⁇ to the verification device 300.
  • the verification apparatus 300 receives the signature data ⁇ , the public parameter gparam, and the administrator public parameter apk t , executes the Ver algorithm, and outputs a Boolean value 1 (acceptance) or 0 (rejection).
  • FIG. 15 is a functional block diagram illustrating functions of each key generation device 100.
  • FIG. 16 is a functional block diagram showing functions of the signature device 200.
  • FIG. 17 is a functional block diagram illustrating functions of the verification apparatus 300.
  • 18 to 20 are flowcharts showing the operation of the key generation apparatus 100.
  • 18 is a flowchart showing the process of the GSetup algorithm
  • FIG. 19 is a flowchart showing the process of the ASetup algorithm
  • FIG. 15 is a functional block diagram illustrating functions of each key generation device 100.
  • FIG. 16 is a functional block diagram showing functions of the signature device 200.
  • FIG. 17 is a functional block diagram illustrating functions of the verification apparatus 300.
  • 18 to 20 are flowcharts showing the operation of the key generation apparatus 100.
  • 18 is a flowchart showing the process of the GSetup algorithm
  • FIG. 19 is a flowchart showing the process of the ASetup algorithm
  • FIG. 20 is a flowchart showing the process of the AttrGen algorithm.
  • FIG. 21 is a flowchart showing the operation of the signature device 200, and is a flowchart showing the processing of the Sig algorithm.
  • FIG. 22 is a flowchart illustrating the operation of the verification apparatus 300, and is a flowchart illustrating Ver algorithm processing.
  • the key generation device 100 includes a master key generation unit 110, a master key storage unit 120, an information input unit 130 (first information input unit), a signature key generation unit 140, a key distribution unit 150 (signature key).
  • the master key generation unit 110 includes a global parameter generation unit 111 and an administrator secret key generation unit 112.
  • the signature key generation unit 140 includes a random number generation unit 141 and a key element generation unit 145.
  • the GSetup algorithm may be executed by one key generation device 100 among the plurality of key generation devices 100.
  • S501 Security parameter input step
  • the global parameter generation unit 111 inputs the security parameter ⁇ (1 ⁇ ) using an input device.
  • the hash functions H 1 and H 2 are assumed to be hash functions represented by Formula 166.
  • the master key storage unit 120 includes the param G generated in (S502), the hash functions H 1 and H 2 set by the global parameter generation unit 111 in (S503), and the generated elements G 0 , G 1 , G 2 , G 3 , G 4 and the set values g t , g 4 are stored in the storage device as global parameters gparam.
  • the key generation apparatus 100 executes the GSetup algorithm shown in Formula 168 to generate the global parameter gparam.
  • the key generation apparatus 100 stores the generated global parameter gparam in the storage device.
  • the global parameter gparam is made public via a network, for example, and is made available to other key generation apparatuses 100, signature apparatuses 200, and verification apparatuses 300.
  • the ASetup algorithm may be executed by all of the plurality of key generation devices 100 or only a part of the plurality of key generation devices 100.
  • the information input unit 130 inputs the identification information t assigned to itself (the key generation device 100) by the input device. Each key generation device 100 is assigned different identification information t.
  • the information input unit 130 acquires the global parameter gparam via a network by a communication device, for example. If the self is the key generation device 100 that has generated the global parameter gparam, the global parameter gparam may be read from the master key storage unit 120.
  • n t , u t , w t , and z t are integers of 1 or more.
  • Authority secret key generating unit 112 the processing unit generates, as shown a partial base B ⁇ t of the basis B t, and a base B * partial base B ⁇ * t to the number 173.
  • the master key storage unit 120 stores the parameter param Vt generated in (S602) and the partial base B ⁇ t and the partial base B ⁇ * t generated in (S606) in the storage device as the administrator public parameter apk t. .
  • the master key storage unit 120 stores in the storage device as the administrator private key ask t linear transformation X t generated in (S604).
  • the key generation apparatus 100 executes the ASetup algorithm shown in Formula 174 to generate the administrator public parameter apk t and the administrator secret key ask t .
  • the key generation device 100 stores the generated administrator public parameter apk t and the administrator secret key ask t in the storage device.
  • the administrator public parameter apk t is made public via a network, for example, so that the signature device 200 and the verification device 300 can be acquired.
  • Equation 177 means that the coefficient of the basis vector of the basis B * t is set as follows. Here, the notation is simplified, and the basis vector is specified only by the portion i among the basis vectors b * t, i .
  • the basis vector 1 means the basis vector b * t, 1 .
  • Basis vectors 2n t +1,. . . , 0 as the coefficient of 2n t + 2 + u t is set.
  • Basis vectors 2n t + 2 + u t + w t +1,. . . , 2n t + 2 + u t + w t + z t is set to 0.
  • the key distribution unit 150 communicates, for example , the signature key usk gid, (t, xt) including the user identification information gid, the identification information t and the attribute information x ⁇ t, and the key element k * t, j.
  • the device secretly distributes it to the signature device 200 via the network.
  • the signature key usk gid, (t, xt) may be distributed to the signature device 200 by other methods.
  • step S ⁇ b> 704 the key generation apparatus 100 distributes the generated signature key usk gid, (t, xt) to the signature apparatus 200.
  • the signature device 200 includes a signature key acquisition unit 210, an information input unit 220 (second information input unit), a span program calculation unit 230, a complementary coefficient calculation unit 240, a signature data generation unit 250, signature data.
  • a transmission unit 260 (signature data output unit) is provided.
  • the information input unit 220 includes a predicate information input unit 221 and a message input unit 222.
  • the signature data generation unit 250 includes a random number generation unit 251 and a signature element generation unit 255.
  • the signature key acquisition unit 210 acquires the signature key usk gid, (t, xt) generated by each key generation device 100 via the network by the communication device.
  • the signature key acquisition unit 210 acquires the global parameter gparam generated by the key generation device 100.
  • the matrix M is a matrix of L rows ⁇ r columns. L and r are integers of 1 or more.
  • the message input unit 222 inputs a message m to be signed with an input device. Note that the matrix M of the access structure S is set according to the conditions of the system to be realized.
  • the span program calculation unit 230 determines that the access structure S input in (S802) is a set ⁇ of attribute information x ⁇ t included in the signature key usk gid, (t, xt) acquired in (S801) by the processing device. Judge whether to accept. The method for determining whether or not the access structure accepts the attribute set is as described in “3. Concept for realizing functional encryption” in the first embodiment.
  • the span program calculation unit 230 advances the process to (S804).
  • the access structure S rejects the set ⁇ of the attribute information x ⁇ t (rejected in S803), the process ends.
  • the complement coefficient calculation unit 430 calculates I which becomes Formula 179 and a constant (complement coefficient) ⁇ i for each integer i included in I by the processing device. Note that M i is the i-th row of the matrix M.
  • r * i is Equation 182 (see Equations 110 to 112 and the description of these equations).
  • the signature data ⁇ may be transmitted to the verification apparatus 300 by other methods.
  • the signature device 200 executes the Sig algorithm expressed by Equation 184 to generate signature data ⁇ .
  • the signature device 200 distributes the generated signature data ⁇ to the verification device 300.
  • the verification device 300 includes a public parameter acquisition unit 310, a data reception unit 320 (data acquisition unit), a verification key generation unit 330, and a pairing calculation unit 340.
  • the verification key generation unit 330 includes a random number generation unit 331, an f vector generation unit 332, an s vector generation unit 333, and a verification element generation unit 337.
  • the public parameter acquisition unit 310 acquires, for example, the global parameter gparam generated by each key generation device 100 and the administrator public parameter apk t via the network by the communication device.
  • the data receiving unit 320 receives the signature data ⁇ transmitted by the signature device 200 via the network by the communication device.
  • the f vector generation unit 332 randomly generates a vector f 1 ⁇ having r elements by the processing device as shown in Expression 185.
  • the s vector generation unit 333 uses the processing device to generate the (L rows ⁇ r columns) matrix M of the access structure S included in the signature data ⁇ received in (S902) and the r elements generated in (S903). Based on the vector f ⁇ , the vector s ⁇ T is generated as shown in Equation 186. Further, the s vector generation unit 333 generates the value s 0 as shown in Expression 187 based on the vector f ⁇ generated in (S903) by the processing device. Note that 1 ⁇ is a vector in which all elements have a value of 1.
  • the f vector generation unit 332 randomly generates a vector f ⁇ ′ having r elements by the processing device as shown in Expression 188.
  • the s vector generation unit 333 causes the processing device to express a vector (s ⁇ ′) T based on a matrix M of (L rows ⁇ r columns) and a vector f ⁇ ′ having r elements, as shown in Expression 189. To generate.
  • the random number generation unit 331 generates a random number ⁇ ⁇ and a value ⁇ 0 as shown in the formula 190 by the processing device.
  • Equation 191 means that the coefficient of the basis vector of the basis B t is set as follows.
  • the notation is simplified, and the basis vector is specified only by the portion i among the basis vectors b t, i .
  • the basis vector 1 means the basis vector b t, 1 .
  • ⁇ (i) is an affirmative group (t, v ⁇ i )
  • s i + ⁇ i v i, 1 is set as the coefficient of the basis vector 1.
  • Basis vectors 2,. . . , N t as the coefficients of ⁇ i v i, 2 ,. . . , ⁇ i v i, nt (where, nt is that the n t) is set.
  • S i '+ ⁇ i ' v i, 1 is set as the coefficient of the basis vector n t +1.
  • H 2 (m, S) is set as a coefficient of the basis vector 2n t +1.
  • H 2 (m, S) means that the message m and the access structure S are given as the input of the hash function H 2 . For example, it may be H 2 (m
  • ⁇ i ′′ is set as the coefficient of the basis vector 2n t +2.
  • ⁇ i ⁇ i ′′ H 2 (m, S) is set as a coefficient of the basis vector 2n t +1.
  • ⁇ i ′′ is set as the coefficient of the basis vector 2n t +2.
  • 2n t + 2 + u t + w t is set to 0.
  • the pairing calculation unit 340 calculates the pairing calculation shown in Formula 192 by the processing device. If the result of calculating the pairing operation shown in Equation 192 is the value g T s0 g 0 ⁇ 0 (where s0 is s 0 and ⁇ 0 is ⁇ 0 ), the pairing operation unit 340 verifies the signature. Outputs a value 1 indicating success in. On the other hand, in the case of other values, the pairing calculation unit 340 outputs a value 0 indicating that the signature verification has failed. As shown in the equation 193, by calculating the equation 192, the value 1 is obtained if the signature data ⁇ is valid.
  • the verification apparatus 300 executes the Ver algorithm shown in Formula 194 to verify the signature data ⁇ .
  • the signature processing system 10 implements a multi-administrator attribute-based signature scheme in which a plurality of key generation devices 100 generate signature keys.
  • the signature scheme realized by the signature processing system 10 is a distributed multi-manager attribute-based signature scheme without a central manager.
  • the signature processing system 10 according to the second embodiment implements an attribute-based signature scheme with a non-monotone predicate, similar to the signature processing system 10 according to the first embodiment.
  • the attribute-based signature scheme realized by the signature processing system 10 according to the second embodiment is highly secure and satisfies privacy requirements.
  • the number of dimensions of the base B t and the base B * t is set to 2n t + 2 + u t + w t + z t .
  • 2n t + 2 + u t + w t + z t may be set to 2 + 2 + 2 + 6 + 4 + 1
  • the number of dimensions of the base B t and the base B * t may be set to 17.
  • the GSetup algorithm shown in Equation 168 can be rewritten as shown in Equation 195.
  • the ASetup algorithm shown in Equation 174 can be rewritten as shown in Equation 196.
  • the AttrGen algorithm shown in Expression 178 can be rewritten as shown in Expression 197.
  • the Sig algorithm shown in Expression 184 can be rewritten as shown in Expression 198.
  • the Ver algorithm shown in Formula 194 can be rewritten as shown in Formula 199.
  • the GSetup algorithm need only be executed once by any of the key generation devices 100 when setting up the signature processing system 10, and need not be executed every time a signature key is generated.
  • the ASetup algorithm only needs to be executed once by each key generation device 100 when setting up the signature processing system 10, and does not have to be executed every time a signature key is generated.
  • the key generation device 100 executes the GSetup algorithm, the ASetup algorithm, and the KeyGen algorithm.
  • different devices may execute the GSetup algorithm, the ASetup algorithm, and the KeyGen algorithm, respectively.
  • Embodiment 3 FIG.
  • the method for realizing the signature processing in the dual vector space has been described.
  • a method for realizing signature processing in a dual module will be described.
  • the signature processing is realized in the cyclic group of the prime order q.
  • the signature processing described in the above embodiment can be applied even to modules with the ring R as a coefficient.
  • Equations 206 to 210 are obtained.
  • ⁇ 1 may be limited to be injection.
  • the span program M ⁇ accepts the input string ⁇ only when 1 ⁇ is obtained by linearly combining the rows of the matrix M ⁇ obtained from the matrix M ⁇ with the input string ⁇ .
  • the span program M ⁇ may accept the input sequence ⁇ only when another vector h ⁇ is obtained instead of 1 ⁇ .
  • FIG. 23 is a diagram illustrating an example of a hardware configuration of the key generation device 100, the signature device 200, and the verification device 300.
  • the key generation device 100, the signature device 200, and the verification device 300 are a CPU 911 (Central Processing Unit, central processing unit, processing unit, arithmetic unit, microprocessor, microcomputer, processor that executes a program. (Also called).
  • CPU 911 Central Processing Unit, central processing unit, processing unit, arithmetic unit, microprocessor, microcomputer, processor that executes a program. (Also called).
  • the CPU 911 is connected to the ROM 913, the RAM 914, the LCD 901 (Liquid Crystal Display), the keyboard 902 (K / B), the communication board 915, and the magnetic disk device 920 via the bus 912, and controls these hardware devices.
  • the magnetic disk device 920 (fixed disk device)
  • a storage device such as an optical disk device or a memory card read / write device may be used.
  • the magnetic disk device 920 is connected via a predetermined fixed disk interface.
  • the ROM 913 and the magnetic disk device 920 are examples of a nonvolatile memory.
  • the RAM 914 is an example of a volatile memory.
  • the ROM 913, the RAM 914, and the magnetic disk device 920 are examples of a storage device (memory).
  • the keyboard 902 and the communication board 915 are examples of input devices.
  • the communication board 915 is an example of a communication device.
  • the LCD 901 is an example of a display device.
  • an operating system 921 OS
  • a window system 922 a program group 923
  • a file group 924 are stored in the magnetic disk device 920 or the ROM 913.
  • the programs in the program group 923 are executed by the CPU 911, the operating system 921, and the window system 922.
  • the program group 923 includes “master key generation unit 110”, “master key storage unit 120”, “information input unit 130”, “signature key generation unit 140”, “key distribution unit 150”, “signature” in the above description.
  • Software, programs, and other programs that execute the functions described as “310”, “data receiving unit 320”, “verification key generating unit 330”, “pairing calculation unit 340”, and the like are stored. The program is read and executed by the CPU 911.
  • the file group 924 includes “public parameter”, “master key”, “signature data ⁇ ”, “signature key”, “access structure S”, “attribute information”, “attribute set ⁇ ”, “ Information such as “message m”, data, signal values, variable values, and parameters are stored as items of “file” and “database”.
  • the “file” and “database” are stored in a recording medium such as a disk or a memory.
  • Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 911 via a read / write circuit, and extracted, searched, referenced, compared, and calculated.
  • Used for the operation of the CPU 911 such as calculation / processing / output / printing / display.
  • Information, data, signal values, variable values, and parameters are temporarily stored in the main memory, cache memory, and buffer memory during the operation of the CPU 911 for extraction, search, reference, comparison, calculation, calculation, processing, output, printing, and display. Is remembered.
  • the arrows in the flowchart mainly indicate input / output of data and signals, and the data and signal values are recorded in a memory of the RAM 914, other recording media such as an optical disk, and an IC chip.
  • Data and signals are transmitted online by a bus 912, signal lines, cables, other transmission media, and radio waves.
  • what is described as “to part” in the above description may be “to circuit”, “to device”, “to device”, “to means”, and “to function”. It may be “step”, “ ⁇ procedure”, “ ⁇ processing”.
  • ⁇ device may be “ ⁇ circuit”, “ ⁇ equipment”, “ ⁇ means”, “ ⁇ function”, and “ ⁇ step”, “ ⁇ procedure”, “ May be “processing”.
  • to process may be “to step”. That is, what is described as “ ⁇ unit” may be realized by firmware stored in the ROM 913. Alternatively, it may be implemented only by software, or only by hardware such as elements, devices, substrates, and wirings, by a combination of software and hardware, or by a combination of firmware.
  • Firmware and software are stored in a recording medium such as ROM 913 as a program. The program is read by the CPU 911 and executed by the CPU 911. That is, the program causes a computer or the like to function as the “ ⁇ unit” described above. Alternatively, the procedure or method of “unit” described above is executed by a computer or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Mathematical Analysis (AREA)
  • Algebra (AREA)
  • Storage Device Security (AREA)
  • Collating Specific Patterns (AREA)
  • Complex Calculations (AREA)

Abstract

　設計の自由度の高いノンモノトーン述語をサポートした属性ベース署名方式を提供することを目的とする。ノンモノトーンスパンプログラムに属性ベクトルの内積を適用することによりアクセスストラクチャを構成した。このアクセスストラクチャは、スパンプログラムの設計と、属性ベクトルの設計とに自由度があり、アクセス制御の設計に大きな自由度を有する。そして、このアクセスストラクチャに対して秘密分散の概念を用いることで、ノンモノトーン述語をサポートした属性ベース署名方式を実現した。

Description

署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム
　この発明は、属性ベース署名（Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅｓ，ＡＢＳ）方式に関するものである。
　非特許文献２６，２９，３０，３４－３７，４５，５１には、属性ベース署名方式に関する記載がある。特に、非特許文献３６，３７には、モノトーン述語をサポートした属性ベース署名方式についての記載がある。
Ｂｅｉｍｅｌ，　Ａ．，　Ｓｅｃｕｒｅ　ｓｃｈｅｍｅｓ　ｆｏｒ　ｓｅｃｒｅｔ　ｓｈａｒｉｎｇ　ａｎｄ　ｋｅｙ　ｄｉｓｔｒｉｂｕｔｉｏｎ．　ＰｈＤ　Ｔｈｅｓｉｓ，　Ｉｓｒａｅｌ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｔｅｃｈ－ｎｏｌｏｇｙ，　Ｔｅｃｈｎｉｏｎ，　Ｈａｉｆａ，　Ｉｓｒａｅｌ，　１９９６． Ｂｅｌｅｎｋｉｙ，　Ｍ．，　Ｃａｍｅｎｉｓｃｈ，　Ｊ．，　Ｃｈａｓｅ，　Ｍ．，　Ｋｏｈｌｗｅｉｓｓ，　Ｍ．，　Ｌｙｓｙａｎｓｋａｙａ，　Ａ．　ａｎｄ　Ｓｈａｃｈａｍ，　Ｈ．：　Ｒａｎｄｏｍｉｚａｂｌｅ　ｐｒｏｏｆｓ　ａｎｄ　ｄｅｌｅｇａｔａｂｌｅ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌｓ．　ＣＲＹＰＴＯ　２００９．　ＬＮＣＳ，　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００９） Ｂｅｌｅｎｋｉｙ，　Ｍ．，　Ｃｈａｓｅ，　Ｍ．，　Ｋｏｈｌｗｅｉｓｓ，　Ｍ．　ａｎｄ　Ｌｙｓｙａｎｓｋａｙａ，　Ａ．：　Ｐ－ｓｉｇｎａｔｕｒｅｓ　ａｎｄ　ｎｏｎｉｎｔｅｒａｃｔｉｖｅ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌｓ．　ＴＣＣ　２００８，　ＬＮＣＳ，　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｂｅｔｈｅｎｃｏｕｒｔ，　Ｊ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｃｉｐｈｅｒｔｅｘｔ－ｐｏｌｉｃｙ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　Ｉｎ：　２００７　ＩＥＥＥ　Ｓｙｍ－ｐｏｓｉｕｍ　ｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｐｒｉｖａｃｙ，　ｐｐ．　３２１．３３４．　ＩＥＥＥ　Ｐｒｅｓｓ　（２００７） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．：　Ｅｆｆｉｃｉｅｎｔ　ｓｅｌｅｃｔｉｖｅ－ＩＤ　ｓｅｃｕｒｅ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ．　Ｉｎ：Ｃａｃｈｉｎ，　Ｃ．，　Ｃａｍｅｎｉｓｃｈ，　Ｊ．　（ｅｄｓ．）　ＥＵＲＯＣＲＹＰＴ　２００４．　ＬＮＣＳ，　ｖｏｌ．　３０２７，　ｐｐ．　２２３．２３８．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００４） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．：　Ｓｅｃｕｒｅ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ．　Ｉｎ：　Ｆｒａｎｋｌｉｎ，　Ｍ．Ｋ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００４．　ＬＮＣＳ，　ｖｏｌ．　３１５２，　ｐｐ．　４４３．４５９．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００４） Ｂｏｎｅｈ，　Ｄ．，　Ｂｏｙｅｎ，　Ｘ．，　Ｇｏｈ，　Ｅ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｃｏｎｓｔａｎｔ　ｓｉｚｅ　ｃｉｐｈｅｒｔｅｘｔ．　Ｉｎ：Ｃｒａｍｅｒ，　Ｒ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００５．　ＬＮＣＳ，　ｖｏｌ．　３４９４，　ｐｐ．　４４０．４５６．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００５） Ｂｏｎｅｈ，　Ｄ．，　Ｆｒａｎｋｌｉｎ，　Ｍ．：　Ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｆｒｏｍ　ｔｈｅ　Ｗｅｉｌ　ｐａｉｒｉｎｇ．　Ｉｎ：　Ｋｉｌｉａｎ，　Ｊ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００１．　ＬＮＣＳ，　ｖｏｌ．　２１３９，　ｐｐ．　２１３．２２９．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００１） Ｂｏｎｅｈ，　Ｄ．，　Ｈａｍｂｕｒｇ，　Ｍ．：　Ｇｅｎｅｒａｌｉｚｅｄ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ａｎｄ　ｂｒｏａｄｃａｓｔ　ｅｎｃｒｙｐｔｉｏｎ　ｓｃｈｅｍｅ．　Ｉｎ：　Ｐｉｅｐｒｚｙｋ，　Ｊ．（ｅｄ．）　ＡＳＩＡＣＲＹＰＴ　２００８．　ＬＮＣＳ，　ｖｏｌ．　５３５０，　ｐｐ．　４５５．４７０．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｂｏｎｅｈ，　Ｄ．，　Ｋａｔｚ，　Ｊ．，　Ｉｍｐｒｏｖｅｄ　ｅｆｆｉｃｉｅｎｃｙ　ｆｏｒ　ＣＣＡ－ｓｅｃｕｒｅ　ｃｒｙｐｔｏｓｙｓｔｅｍｓ　ｂｕｉｌｔ　ｕｓｉｎｇ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐ－ｔｉｏｎ．　ＲＳＡ－ＣＴ　２００５，　ＬＮＣＳ，　Ｓｐｒｉｎｇｅｒ　Ｖｅｒｌａｇ　（２００５） Ｂｏｎｅｈ，　Ｄ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｃｏｎｊｕｎｃｔｉｖｅ，　ｓｕｂｓｅｔ，　ａｎｄ　ｒａｎｇｅ　ｑｕｅｒｉｅｓ　ｏｎ　ｅｎｃｒｙｐｔｅｄ　ｄａｔａ．　Ｉｎ：　Ｖａｄｈａｎ，　Ｓ．Ｐ．　（ｅｄ．）　ＴＣＣ　２００７．　ＬＮＣＳ，　ｖｏｌ．　４３９２，　ｐｐ．　５３５．５５４．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００７） Ｘ．　Ｂｏｙｅｎ：　Ｍｅｓｈ　ｓｉｇｎａｔｕｒｅｓ．　ＥＵＲＯＣＲＹＰＴ，　ＬＮＣＳ，　ｖｏｌ．　４５１５，　ｐｐ．　２１０．２２７．　Ｓｐｒｉｎｇｅｒ　（２００７）． Ｂｏｙｅｎ，　Ｘ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ａｎｏｎｙｍｏｕｓ　ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　（ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ）．　Ｉｎ：Ｄｗｏｒｋ，　Ｃ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００６．　ＬＮＣＳ，　ｖｏｌ．　４１１７，　ｐｐ．　２９０．３０７．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００６） Ｃａｍｅｎｉｓｃｈ，　Ｊ．　ａｎｄ　Ｇｒｏｓｓ，　Ｔ．：　Ｅｆｆｉｃｉｅｎｔ　ａｔｔｒｉｂｕｔｅｓ　ｆｏｒ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌｓ．　ＣＣＳ　２００８． Ｃａｍｅｎｉｓｃｈ，　Ｊ．　ａｎｄ　Ｌｙｓｙａｎｓｋａｙａ，　Ａ．：　Ａｎ　ｅｆｆｉｃｉｅｎｔ　ｓｙｓｔｅｍ　ｆｏｒ　ｎｏｎ－ｔｒａｎｓｆｅｒａｂｌｅ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌｓ　ｗｉｔｈ　ｏｐｔｉｎａｌ　ａｎｏｎｙｍｉｔｙ　ｒｅｖｏｃａｔｉｏｎ．　Ｅｕｒｏｃｒｙｐｔ　２００１． Ｃａｍｅｎｉｓｃｈ，　Ｊ．　ａｎｄ　Ｌｙｓｙａｎｓｋａｙａ，　Ａ．：　Ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅｓ　ａｎｄ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌｓ　ｆｒｏｍ　ｂｉｌｉｎｅａｒ　ｍａｐｓ．　Ｃｒｙｐｔｏ　２００４． Ｃａｎｅｔｔｉ，　Ｒ．，　Ｈａｌｅｖｉ　Ｓ．，　Ｋａｔｚ　Ｊ．，　Ｃｈｏｓｅｎ－ｃｉｐｈｅｒｔｅｘｔ　ｓｅｃｕｒｉｔｙ　ｆｒｏｍ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　ＥＵＲＯＣＲＹＰＴ　２００４，　ＬＮＣＳ，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ　（２００４） Ｃｈａｕｍ，　Ｄ．：　Ｓｅｃｕｒｉｔｙ　ｗｉｔｈｏｕｔ　ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：　Ｔｒａｎｓａｃｔｉｏｎ　ｓｙｓｔｅｍｓ　ｔｏ　ｍａｋｅ　ｂｉｇ　ｂｒｏｔｈｅｒ　ｏｂｓｏｌｅｔｅ．　ＣＡＣＭ　（１９８５）． Ｄ．　Ｃｈａｕｍ　ａｎｄ　Ｅ．　ｖａｎ　Ｈｅｙｓｔ：　Ｇｒｏｕｐ　ｓｉｇｎａｔｕｒｅｓ．　Ｉｎ　ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ＥＵＲＯＣＲＹＰＴ’９１，　ＬＮＣＳ，　ｖｏｌ．　５４７，　ｐｐ．２５７．２６５　（１９９１）． Ｃｏｃｋｓ，　Ｃ．：　Ａｎ　ｉｄｅｎｔｉｔｙ　ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｓｃｈｅｍｅ　ｂａｓｅｄ　ｏｎ　ｑｕａｄｒａｔｉｃ　ｒｅｓｉｄｕｅｓ．　Ｉｎ：　Ｈｏｎａｒｙ，　Ｂ．　（ｅｄ．）　ＩＭＡ　Ｉｎｔ．　Ｃｏｎｆ．　ＬＮＣＳ，　ｖｏｌ．　２２６０，　ｐｐ．　３６０．３６３．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００１） Ｇｅｎｔｒｙ，　Ｃ．：　Ｐｒａｃｔｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈｏｕｔ　ｒａｎｄｏｍ　ｏｒａｃｌｅｓ．　Ｉｎ：　Ｖａｕｄｅｎａｙ，　Ｓ．　（ｅｄ．）　ＥＵＲＯ－ＣＲＹＰＴ　２００６．　ＬＮＣＳ，　ｖｏｌ．　４００４，　ｐｐ．　４４５．４６４．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００６） Ｇｅｎｔｒｙ，　Ｃ．，　Ｈａｌｅｖｉ，　Ｓ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｐｏｌｙｎｏｍｉａｌｌｙ　ｍａｎｙ　ｌｅｖｅｌｓ．　Ｉｎ：　Ｒｅｉｎｇｏｌｄ，Ｏ．　（ｅｄ．）　ＴＣＣ　２００９．　ＬＮＣＳ，　ｖｏｌ．　５４４４，　ｐｐ．　４３７．４５６．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００９） Ｇｅｎｔｒｙ，　Ｃ．，　Ｓｉｌｖｅｒｂｅｒｇ，　Ａ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ＩＤ－ｂａｓｅｄ　ｃｒｙｐｔｏｇｒａｐｈｙ．　Ｉｎ：　Ｚｈｅｎｇ，　Ｙ．　（ｅｄ．）　ＡＳＩＡＣＲＹＰＴ　２００２．ＬＮＣＳ，　ｖｏｌ．　２５０１，　ｐｐ．　５４８．５６６．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００２） Ｇｏｙａｌ，　Ｖ．，　Ｐａｎｄｅｙ，　Ｏ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｆｏｒ　ｆｉｎｅ－ｇｒａｉｎｅｄ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｏｆ　ｅｎｃｒｙｐｔｅｄ　ｄａｔａ．　Ｉｎ：　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００６，　ｐｐ．　８９．９８，　ＡＣＭ　（２００６） Ｇｒｏｔｈ，　Ｊ．，　Ｓａｈａｉ，　Ａ．：　Ｅｆｆｉｃｉｅｎｔ　ｎｏｎ－ｉｎｔｅｒａｃｔｉｖｅ　ｐｒｏｏｆ　ｓｙｓｔｅｍｓ　ｆｏｒ　ｂｉｌｉｎｅａｒ　ｇｒｏｕｐｓ．　Ｉｎ：　Ｓｍａｒｔ，　Ｎ．Ｐ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００８．　ＬＮＣＳ，　ｖｏｌ．　４９６５，　ｐｐ．　４１５．４３２．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｓ．　Ｇｕｏ　ａｎｄ　Ｙ．　Ｚｅｎｇ：　Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅ　Ｓｃｈｅｍｅ，　Ｉｎ　ＩＳＡ’０８，　ｐｐ．　５０９．５１１　（２００８）． Ｈｏｒｗｉｔｚ，　Ｊ．，　Ｌｙｎｎ，　Ｂ．：　Ｔｏｗａｒｄｓ　ｈｉｅｒａｒｃｈｉｃａｌ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　Ｉｎ：　Ｋｎｕｄｓｅｎ，　Ｌ．Ｒ．　（ｅｄ．）　ＥＵＲＯ－ＣＲＹＰＴ　２００２．　ＬＮＣＳ，　ｖｏｌ．　２３３２，　ｐｐ．　４６６．４８１．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００２） Ｋａｔｚ，　Ｊ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｓｕｐｐｏｒｔｉｎｇ　ｄｉｓｊｕｎｃｔｉｏｎｓ，　ｐｏｌｙｎｏｍｉａｌ　ｅｑｕａｔｉｏｎｓ，　ａｎｄ　ｉｎｎｅｒ　ｐｒｏｄｕｃｔｓ．　Ｉｎ：　Ｓｍａｒｔ，　Ｎ．Ｐ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００８．　ＬＮＣＳ，　ｖｏｌ．　４９６５，　ｐｐ．　１４６．１６２．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌ－ｂｅｒｇ　（２００８） Ｄ．　Ｋｈａｄｅｒ：　Ａｔｔｒｉｂｕｔｅ　Ｂａｓｅｄ　Ｇｒｏｕｐ　Ｓｉｇｎａｔｕｒｅｓ，　Ｃｒｙｐｔｏｌｏｇｙ　ｅＰｒｉｎｔ　Ａｒｃｈｉｖｅ，　Ｒｅｐｏｒｔ　２００７／１５９　（２００７）．　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００７／１５９． Ｄ．　Ｋｈａｄｅｒ：　Ａｔｔｒｉｂｕｔｅ　Ｂａｓｅｄ　Ｇｒｏｕｐ　Ｓｉｇｎａｔｕｒｅ　ｗｉｔｈ　Ｒｅｖｏｃａｔｉｏｎ．　Ｃｒｙｐｔｏｌｏｇｙ　ｅＰｒｉｎｔ　Ａｒｃｈｉｖｅ，　Ｒｅｐｏｒｔ　２００７／２４１，　（２００７）．　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００７／２４１． Ｌｅｗｋｏ，　Ａ．，　Ｏｋａｍｏｔｏ，　Ｔ．，　Ｓａｈａｉ，　Ａ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．　ａｎｄ　Ｗａｔｅｒｓ，　Ｂ．：　Ｆｕｌｌｙ　Ｓｅｃｕｒｅ　Ｆｕｎｃｔｉｏｎａｌ　Ｅｎｃｒｙｐｔｉｏｎ：Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ　ａｎｄ　（Ｈｉｅｒａｒｃｈｉｃａｌ）　Ｉｎｎｅｒ　Ｐｒｏｄｕｃｔ　Ｅｎｃｒｙｐｔｉｏｎ，　ＥＵＲＯＣＲＹＰＴ　２０１０．　ＬＮＣＳ，Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２０１０） Ｌｅｗｋｏ，　Ａ．Ｂ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｆｕｌｌｙ　ｓｅｃｕｒｅ　ＨＩＢＥ　ｗｉｔｈ　ｓｈｏｒｔ　ｃｉｐｈｅｒｔｅｘｔｓ．　ｅＰｒｉｎｔ，　ＩＡＣＲ，　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００９／４８２ Ｌｅｗｋｏ，　Ａ．Ｂ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｄｅｃｅｎｔｒａｌｉｚｉｎｇ　Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｅｎｃｒｙｐｔｉｏｎ，　ｅＰｒｉｎｔ，　ＩＡＣＲ，　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１０／３５１． Ｊｉｎ　Ｌｉ，　Ｍａｎ　Ｈｏ　Ａｕ，　Ｗｉｌｌｙ　Ｓｕｓｉｌｏ，　Ｄｏｎｇｑｉｎｇ　Ｘｉｅ，　Ｋｕｉ　Ｒｅｎ：　Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅ　ａｎｄ　ｉｔｓ　Ａｐｐｌｉｃａｔｉｏｎ，ＡＳＩＡＣＣＳ’　２０１０，　ＡＣＭ　（２０１０） Ｊ．　Ｌｉ　ａｎｄ　Ｋ．　Ｋｉｍ：　Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｒｉｎｇ　ｓｉｇｎａｔｕｒｅｓ．　２００８．　Ａｖａｉｌａｂｌｅ　ａｔ　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／３９４．　Ｔｏ　ａｐｐｅａｒ　ｉｎ　Ｊｏｕｒｎａｌ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｃｉｅｎｃｅｓ． Ｍａｊｉ，　Ｈ．，　Ｐｒａｂｈａｋａｒａｎ，　Ｍ．，　Ｒｏｓｕｌｅｋ，　Ｍ．：　Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅｓ：　Ａｃｈｉｅｖｉｎｇ　Ａｔｔｒｉｂｕｔｅ－Ｐｒｉｖａｃｙ　ａｎｄ　Ｃｏｌｌｕｓｉｏｎ－Ｒｅｓｉｓｔａｎｃｅ．　ｅＰｒｉｎｔ，　ＩＡＣＲ，　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／３２８ Ｍａｊｉ，　Ｈ．，　Ｐｒａｂｈａｋａｒａｎ，　Ｍ．，　Ｒｏｓｕｌｅｋ，　Ｍ．：　Ａｔｔｒｉｂｕｔｅ－Ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅｓ．　ｈｔｔｐ：／／ｗｗｗ．ｃｓ．ｕｉｕｃ．ｅｄｕ／　ｍｍｐ／ｒｅｓｅａｒｃｈ．ｈｔｍｌ Ｏｋａｍｏｔｏ，　Ｔ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．：　Ｈｏｍｏｍｏｒｐｈｉｃ　ｅｎｃｒｙｐｔｉｏｎ　ａｎｄ　ｓｉｇｎａｔｕｒｅｓ　ｆｒｏｍ　ｖｅｃｔｏｒ　ｄｅｃｏｍｐｏｓｉｔｉｏｎ．　Ｉｎ：Ｇａｌｂｒａｉｔｈ，　Ｓ．Ｄ．，　Ｐａｔｅｒｓｏｎ，　Ｋ．Ｇ．　（ｅｄｓ．）　Ｐａｉｒｉｎｇ　２００８．　ＬＮＣＳ，　ｖｏｌ．　５２０９，　ｐｐ．　５７．７４．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｏｋａｍｏｔｏ，　Ｔ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．：　Ｈｉｅｒａｒｃｈｉｃａｌ　ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｆｏｒ　Ｉｎｎｅｒ－Ｐｒｏｄｕｃｔｓ，　Ｉｎ：　ＡＳＩＡＣＲＹＰＴ　２００９，　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００９） Ｏｋａｍｏｔｏ，　Ｔ．，　Ｔａｋａｓｈｉｍａ，　Ｋ．：　Ｆｕｌｌｙ　Ｓｅｃｕｒｅ　Ｆｕｎｃｔｉｏｎａｌ　Ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　Ｇｅｎｅｒａｌ　Ｒｅｌａｔｉｏｎｓ　ｆｒｏｍ　ｔｈｅ　Ｄｅｃｉ－ｓｉｏｎａｌ　Ｌｉｎｅａｒ　Ａｓｓｕｍｐｔｉｏｎ，　Ｉｎ：　ＣＲＹＰＴＯ　２０１０，　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２０１０） Ｏｓｔｒｏｖｓｋｙ，　Ｒ．，　Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ　ｗｉｔｈ　ｎｏｎ－ｍｏｎｏｔｏｎｉｃ　ａｃｃｅｓｓ　ｓｔｒｕｃｔｕｒｅｓ．　Ｉｎ：　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００７，　ｐｐ．　１９５．２０３，　ＡＣＭ　（２００７） Ｐｉｒｒｅｔｔｉ，　Ｍ．，　Ｔｒａｙｎｏｒ，　Ｐ．，　ＭｃＤａｎｉｅｌ，　Ｐ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｓｅｃｕｒｅ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｓｙｓｔｅｍｓ．　Ｉｎ：　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００６，　ｐｐ．　９９．１１２，　ＡＣＭ，　（２００６） Ｐｉｒｒｅｔｔｉ，　Ｍ．，　Ｔｒａｙｎｏｒ，　Ｐ．，　ＭｃＤａｎｉｅｌ，　Ｐ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｓｅｃｕｒｅ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｓｙｓｔｅｍｓ．　Ｉｎ：　ＡＣＭ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　２００６，　ｐｐ．　９９．１１２，　ＡＣＭ，　（２００６） Ｓａｈａｉ，　Ａ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｆｕｚｚｙ　ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ．　Ｉｎ：　Ｃｒａｍｅｒ，　Ｒ．　（ｅｄ．）　ＥＵＲＯＣＲＹＰＴ　２００５．　ＬＮＣＳ，　ｖｏｌ．　３４９４，　ｐｐ．　４５７．４７３．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００５） Ｓ．　Ｆ．　Ｓｈａｈａｎｄａｓｈｔｉ　ａｎｄ　Ｒ．　Ｓａｆａｖｉ－Ｎａｉｎｉ：　Ｔｈｒｅｓｈｏｌｄ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｓｉｇｎａｔｕｒｅｓ　ａｎｄ　ｔｈｅｉｒ　ａｐｐｌｉｃａｔｉｏｎ　ｔｏ　ａｎｏｎｙｍｏｕｓ　ｃｒｅｄｅｎｔｉａｌ　ｓｙｓｔｅｍｓ．　Ｉｎ　ＡＦＲＩＣＡＣＲＹＰＴ’０９，　ｐｐ．　１９８．２１６　（２００９）． Ａ．　Ｓｈａｍｉｒ：　Ｉｄｅｎｔｉｔｙ－ｂａｓｅｄ　ｃｒｙｐｔｏｓｙｓｔｅｍｓ　ａｎｄ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅｓ．　Ｉｎ　ＣＲＹＰＴＯ’８４，　ｐｐ．　４７．５３　（１９８４）． Ｓｈｉ，　Ｅ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｄｅｌｅｇａｔｉｎｇ　ｃａｐａｂｉｌｉｔｙ　ｉｎ　ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｓｙｓｔｅｍｓ．　Ｉｎ：　Ａｃｅｔｏ，　Ｌ．，　Ｄａｍｇ°ａｒｄ，　Ｉ．，Ｇｏｌｄｂｅｒｇ，　Ｌ．Ａ．，　Ｈａｌｌｄｏｒｓｓｏｎ，　Ｍ．Ｍ．，　Ｉｎｇｏｌｆｓｄｏｔｔｉｒ，　Ａ．，　Ｗａｌｕｋｉｅｗｉｃｚ，　Ｉ．　（ｅｄｓ．）　ＩＣＡＬＰ　（２）　２００８．　ＬＮＣＳ，　ｖｏｌ．５１２６，　ｐｐ．　５６０．５７８．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｓｈｉ，　Ｅ．，　Ｗａｔｅｒｓ，　Ｂ．：　Ｄｅｌｅｇａｔｉｎｇ　ｃａｐａｂｉｌｉｔｙ　ｉｎ　ｐｒｅｄｉｃａｔｅ　ｅｎｃｒｙｐｔｉｏｎ　ｓｙｓｔｅｍｓ．　Ｉｎ：　Ａｃｅｔｏ，　Ｌ．，　Ｄａｍｇ°ａｒｄ，　Ｉ．，Ｇｏｌｄｂｅｒｇ，　Ｌ．Ａ．，　Ｈａｌｌｄｏｒｓｓｏｎ，　Ｍ．Ｍ．，　Ｉｎｇｏｌｆｓｄｏｔｔｉｒ，　Ａ．，　Ｗａｌｕｋｉｅｗｉｃｚ，　Ｉ．　（ｅｄｓ．）　ＩＣＡＬＰ　（２）　２００８．　ＬＮＣＳ，　ｖｏｌ．５１２６，　ｐｐ．　５６０．５７８．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００８） Ｗａｔｅｒｓ，　Ｂ．：　Ｃｉｐｈｅｒｔｅｘｔ－ｐｏｌｉｃｙ　ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ　ｅｎｃｒｙｐｔｉｏｎ：　ａｎ　ｅｘｐｒｅｓｓｉｖｅ，　ｅｆｆｉｃｉｅｎｔ，　ａｎｄ　ｐｒｏｖａｂｌｙ　ｓｅｃｕｒｅ　ｒｅａｌｉｚａｔｉｏｎ．　ｅＰｒｉｎｔ，　ＩＡＣＲ，　ｈｔｔｐ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２００８／２９０ Ｗａｔｅｒｓ，　Ｂ．：　Ｄｕａｌ　ｓｙｓｔｅｍ　ｅｎｃｒｙｐｔｉｏｎ：　Ｒｅａｌｉｚｉｎｇ　ｆｕｌｌｙ　ｓｅｃｕｒｅ　ＩＢＥ　ａｎｄ　ＨＩＢＥ　ｕｎｄｅｒ　ｓｉｍｐｌｅ　ａｓｓｕｍｐｔｉｏｎｓ．　Ｉｎ：Ｈａｌｅｖｉ，　Ｓ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００９．　ＬＮＣＳ，　ｖｏｌ．　５６７７，　ｐｐ．　６１９．６３６．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００９） Ｗａｔｅｒｓ，　Ｂ．：　Ｄｕａｌ　ｓｙｓｔｅｍ　ｅｎｃｒｙｐｔｉｏｎ：　Ｒｅａｌｉｚｉｎｇ　ｆｕｌｌｙ　ｓｅｃｕｒｅ　ＩＢＥ　ａｎｄ　ＨＩＢＥ　ｕｎｄｅｒ　ｓｉｍｐｌｅ　ａｓｓｕｍｐｔｉｏｎｓ．　Ｉｎ：Ｈａｌｅｖｉ，　Ｓ．　（ｅｄ．）　ＣＲＹＰＴＯ　２００９．　ＬＮＣＳ，　ｖｏｌ．　５６７７，　ｐｐ．　６１９．６３６．　Ｓｐｒｉｎｇｅｒ　Ｈｅｉｄｅｌｂｅｒｇ　（２００９）
　従来の属性ベース署名方式では、ノンモノトーン述語をサポートしていなかった。
　この発明は、ノンモノトーン述語をサポートした属性ベース署名方式を提供することを目的とする。
　この発明に係る署名処理システムは、
　鍵生成装置と署名装置と検証装置とを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムであり、
　前記鍵生成装置は、
　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘｔとを含む属性集合Γを入力する第１情報入力部と、
　基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δを設定した鍵要素ｋ＊ ０を生成する鍵要素０生成部と、
　前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，１の係数として前記所定の値δを設定し、基底ベクトルｂ＊ ｔ，２の係数として属性情報ｘｔに前記所定の値δを乗じたδｘｔを設定した鍵要素ｋ＊ ｔを生成する鍵要素ｔ生成部と、
　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，１と、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，２とを生成する鍵要素ｄ＋１生成部と、
　前記鍵要素０生成部が生成した鍵要素ｋ＊ ０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ＊ ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２と、前記属性集合Γとを含む署名鍵ｓｋΓを前記署名装置へ送信する署名鍵送信部と
を備え、
　前記署名装置は、
　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖｉとの肯定形の組（ｔ，ｖｉ）又は否定形の組￢（ｔ，ｖｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
　前記署名鍵送信部が送信した署名鍵ｓｋΓを取得する署名鍵取得部と、
　前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋΓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖｉ）であり、かつ、その組のｖｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘｔとが等しいｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖｉ）であり、かつ、その組のｖｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘｔとが等しくないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算部と、
　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ０を含む署名要素ｓ＊ ０を生成する署名要素０生成部と、
　ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖｉ）である場合には値γｉ：＝αｉ／（ｖｉ－ｘｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｔに前記値γｉを乗じたγｉｋ＊ ｔを含む署名要素ｓ＊ ｉを生成する署名要素ｉ生成部と、
　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｄ＋１，１と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ＊ ｄ＋１，２に乗じたｍ’・ｋ＊ ｄ＋１，２との和を含む署名要素ｓ＊ Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
　前記署名要素０生成部が生成した署名要素ｓ＊ ０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ＊ Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
を備え、
　前記検証装置は、
　前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
　ｒ個の要素を有するベクトルｆ→と前記ベクトルｈ→と用いて生成される値ｓ０：＝ｈ→・ｆ→Ｔと、所定の値ｓＬ＋１とから計算される－ｓ０－ｓＬ＋１を、基底Ｂ０の基底ベクトルｂ０，１の係数として設定して検証要素ｃ０を生成する検証要素０生成部と、
　前記ベクトルｆ→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，１の係数としてｓｉ＋θｉｖｉを設定し、基底ベクトルｂｔ，２の係数として－θｉを設定して検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，１の係数としてｓｉｖｉを設定し、基底ベクトルｂｔ，２の係数として－ｓｉを設定して検証要素ｃｉを生成する検証要素ｉ生成部と、
　基底Ｂｄ＋１の基底ベクトルｂｄ＋１，１の係数として、前記所定の値ｓＬ＋１と前記値ｍ’と所定の値θＬ＋１とから計算されるｓＬ＋１－θＬ＋１ｍ’を設定し、基底ベクトルｂｄ＋１，２の係数として前記所定の値θＬ＋１を設定して検証要素ｃＬ＋１を生成する検証要素Ｌ＋１生成部と、
　前記検証要素０生成部が生成した検証要素ｃ０と、前記検証要素ｉ生成部が生成した検証要素ｃｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃＬ＋１と、前記署名データσに含まれる署名要素ｓ＊ ０，ｓ＊ ｉ，ｓ＊ Ｌ＋１とについて、ペアリング演算Πｉ＝０ Ｌ＋１ｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
を備えることを特徴とする。
　この発明に係る属性ベース署名方式では、ノンモノトーン述語をサポートしている。そのため、利用範囲の広い属性ベース署名方式を実現している。
行列Ｍ＾の説明図。 行列Ｍδの説明図。 ｓ０の説明図。 ｓ→Ｔの説明図。 属性ベース署名方式を実行する署名処理システム１０の構成図。 鍵生成装置１００の機能を示す機能ブロック図。 署名装置２００の機能を示す機能ブロック図。 検証装置３００の機能を示す機能ブロック図。 Ｓｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 Ｓｉｇアルゴリズムの処理を示すフローチャート。 Ｖｅｒアルゴリズムの処理を示すフローチャート。 多管理者の説明図。 分散多管理者属性ベース署名方式を実行する署名処理システム１０の構成図。 各鍵生成装置１００の機能を示す機能ブロック図。 署名装置２００の機能を示す機能ブロック図。 検証装置３００の機能を示す機能ブロック図。 ＧＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＡＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 ＡｔｔｒＧｅｎアルゴリズムの処理を示すフローチャート。 Ｓｉｇアルゴリズムの処理を示すフローチャート。 Ｖｅｒアルゴリズムの処理を示すフローチャート。 鍵生成装置１００、署名装置２００、検証装置３００のハードウェア構成の一例を示す図。
　以下、図に基づき、発明の実施の形態を説明する。
　以下の説明において、処理装置は後述するＣＰＵ９１１等である。記憶装置は後述するＲＯＭ９１３、ＲＡＭ９１４、磁気ディスク９２０等である。通信装置は後述する通信ボード９１５等である。入力装置は後述するキーボード９０２、通信ボード９１５等である。つまり、処理装置、記憶装置、通信装置、入力装置はハードウェアである。
　以下の説明における記法について説明する。
　Ａがランダムな変数または分布であるとき、数１０１は、Ａの分布に従いＡからｙをランダムに選択することを表す。つまり、数１０１において、ｙは乱数である。
Figure JPOXMLDOC01-appb-M000032
 　Ａが集合であるとき、数１０２は、Ａからｙを一様に選択することを表す。つまり、数１０２において、ｙは一様乱数である。
Figure JPOXMLDOC01-appb-M000033
 　数１０３は、ｙがｚにより定義された集合であること、又はｙがｚを代入された集合であることを表す。
Figure JPOXMLDOC01-appb-M000034
 　ａが定数であるとき、数１０４は、機械（アルゴリズム）Ａが入力ｘに対しａを出力することを表す。
Figure JPOXMLDOC01-appb-M000035
 　数１０５、つまりＦｑは、位数ｑの有限体を示す。
Figure JPOXMLDOC01-appb-M000036
 　ベクトル表記は、有限体Ｆｑにおけるベクトル表示を表す。つまり、数１０６である。
Figure JPOXMLDOC01-appb-M000037
 　数１０７は、数１０８に示す２つのベクトルｘ→とｖ→との数１０９に示す内積を表す。
Figure JPOXMLDOC01-appb-M000038
Figure JPOXMLDOC01-appb-M000039
Figure JPOXMLDOC01-appb-M000040
 　ＸＴは、行列Ｘの転置行列を表す。
　ｂｉ（ｉ＝１，．．．，ｎ）が空間Ｖのベクトルの要素であるとき、つまり、数１１０であるとき、数１１１は、数１１２によって生成される部分空間を表す。
Figure JPOXMLDOC01-appb-M000041
Figure JPOXMLDOC01-appb-M000042
Figure JPOXMLDOC01-appb-M000043
 　数１１３に示す基底Ｂと基底Ｂ＊とに対して、数１１４である。
Figure JPOXMLDOC01-appb-M000044
Figure JPOXMLDOC01-appb-M000045
　また、以下の説明において、ｐａｒａｍＶｔにおけるＶｔはＶｔのことである。
　同様に、Ｆｑ ｎｔにおけるｎｔはｎｔのことである。
　同様に、ｓｋｇｉｄ，（ｔ，ｘｔ）におけるｘｔはｘｔのことである。
　同様に、“δｉ，ｊ”が上付きで示されている場合、このδｉ，ｊは、δｉ，ｊを意味する。
　また、ベクトルを意味する“→”が下付き文字又は上付き文字に付されている場合、この“→”は下付き文字又は上付き文字に上付きで付されていることを意味する。
　また、以下の説明において、署名処理とは、鍵生成処理、署名処理、検証処理を含むものである。
　実施の形態１．
　この実施の形態では、「属性ベース署名方式」について説明する。
　第１に、属性ベース署名について簡単に説明する。
　第２に、属性ベース署名方式を実現するための空間である「双対ペアリングベクトル空間（Ｄｕａｌ　Ｐａｉｒｉｎｇ　Ｖｅｃｔｏｒ　Ｓｐａｃｅｓ，ＤＰＶＳ）」という豊かな数学的構造を有する空間を説明する。
　第３に、属性ベース署名方式を実現するための概念を説明する。ここでは、「スパンプログラム（Ｓｐａｎ　Ｐｒｏｇｒａｍ）」、「属性ベクトルの内積とアクセスストラクチャ」、「秘密分散方式（秘密共有方式）」について説明する。また、「衝突困難ハッシュ関数（Ｃｏｌｌｉｓｉｏｎ　Ｒｅｓｉｓｔａｎｔ　Ｈａｓｈ　Ｆｕｎｃｔｉｏｎｓ）」についても説明する。
　第４に、この実施の形態に係る「属性ベース署名方式」を説明する。まず、「属性ベース署名方式」の基本構成について説明する。次に、「属性ベース署名方式」を実現する「署名処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「属性ベース署名方式」及び「署名処理システム１０」について詳細に説明する。
　＜第１．属性ベース署名＞
　デジタル署名の概念は、ＤｉｆｆｉｅとＨｅｌｌｍａｎとによって１９７６年に論文で紹介された。そこでは、デジタル署名の概念は、秘密にされる署名鍵ｓｋと公開される検証鍵ｐｋとのペアが署名者に対して生成され、署名鍵ｓｋを用いて生成されたメッセージｍの署名σが、対応する検証鍵ｐｋによって検証されることとされた。つまり、署名鍵ｓｋを使って署名されたメッセージ（ｍ，σ）の署名者が、検証鍵ｐｋによって確認されることとされた。
　これは、デジタル署名の要件の１つではある。しかし、署名鍵ｓｋと検証鍵ｐｋとの関係が密接なため、署名者と署名によって証明される内容との間の関係に柔軟性やプライバシーがない。
　署名鍵と検証鍵との関係がより柔軟になり又は洗練されることで、用途が広く、プライバシーが向上したデジタル署名の改良型が研究されている。
　署名のこのクラスでは、署名鍵と検証鍵とはそれぞれ、属性ｘと述語ｖとによってパラメータ化されている。そして、署名されたメッセージ（ｍ，σ）は、パラメータｘを伴う署名鍵ｓｋｘによって生成され、公開された鍵ｐｋとパラメータｖとによって、述語ｖが属性ｘを受理する場合（ｖ（ｘ）が成立する場合）にのみ、正しいことが検証される。
　署名のこのクラスにおける署名者のプライバシーとは、署名鍵ｓｋｘによって生成された述語ｖに対する署名が、ｖ（ｘ）が成立することを除き属性ｘに関する情報を漏らさないことである。
　述語ｖがパラメータｖとの等号関係である場合（つまり、ｘ＝ｖの場合にのみｖ（ｘ）が成立する場合）、この述語に対する署名のクラスはＩＤベース署名（Ｉｄｅｎｔｉｔｙ－Ｂａｓｅｄ　Ｓｉｇｎａｔｕｒｅｓ，ＩＢＳ）である（非特許文献４６参照）。
　なお、ＩＤベース署名では、ｘ＝ｖのように、署名者の秘密鍵であるｓｋｘの属性ｘを述語ｖが一意に識別する。そのため、ＩＤベース署名にはプライバシーの余地はない。
　グループ署名（Ｇｒｏｕｐ　Ｓｉｇｎａｔｕｒｅｓ）は、署名のこのクラスに含まれる署名である（非特許文献１９参照）。グループ署名は、述語のパラメータｖがグループ識別子であり、属性ｘがグループｖのメンバーの識別子である（又はｐｋｖがグループｖを識別する公開鍵であり、ｓｋｘがグループｖのメンバーｘの秘密鍵である）場合にのみ、ｖ（ｘ）が成立するという述語ｖを伴う署名である。
　プライバシーの要件に基づき、秘密鍵ｓｋｘを使って生成された署名はｘがグループｖのメンバーであることを除き、識別子ｘに関する情報を漏らさない。
　属性ベース署名は、署名のこのクラス含まれる署名であり、より洗練された述語を伴う署名である（非特許文献２６，２９，３０，３４－３６，４５，５１参照）。属性ベース署名は、署名鍵ｓｋｘに対するｘが属性（ｘ１，．．．，ｘｉ）の組であり、検証のためのｖが閾値又はアクセスストラクチャの述語である。
　存在する属性ベース署名方式における述語の最も広いクラスはモノトーンアクセスストラクチャである（非特許文献３６，３７参照）。モノトーンアクセスストラクチャでは、述語ｖは、属性（ｖ１，．．．，ｖｊ）の組を伴うモノトーンスパンプログラム（Ｍ，ρ）（ＭＳＰ（Ｍ，ρ））によって特定され、ＭＳＰ（Ｍ，ρ）が（Ｔ（ｘｉ＿１＝ｖ１），．．．，Ｔ（ｘｉ＿ｊ＝ｖｊ））の真の値のベクトルを受理する場合のみ、ｖ（ｘ）が成立する。ここで、φが真である場合、Ｔ（φ）：＝１であり、φが偽である場合、Ｔ（φ）：＝１である。例えば、ｘ＝ｖである場合、Ｔ（ｘ＝ｖ）：＝１であり、ｘ≠ｖである場合、Ｔ（ｘ＝ｖ）：＝０である。
　このようなモノトーン述語は、ＡＮＤ、ＯＲ、閾値のゲートを表現することができる。
　属性ベース署名に対するモノトーン述語ｖの例を説明する。
　モノトーン述語ｖの例としては、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ）ＡＮＤ（ＴＨ２（（Ｄｅｐａｒｔｍｅｎｔ＝Ｂｉｏｌｏｇｙ），（Ｇｅｎｄｅｒ＝Ｆｅｍａｌｅ），（Ａｇｅ＝５０‘ｓ））ＯＲ（Ｐｏｓｉｔｉｏｎ＝Ｐｒｏｆｅｓｓｏｒ））である。ここで、ＴＨ２は閾値の値が２の閾値ゲート（つまり、２つ以上成立することを要求するゲート）を意味する。
　アリスの属性ｘＡが、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ），（Ｄｅｐａｒｔｍｅｎｔ＝Ｂｉｏｌｏｇｙ），（Ｐｏｓｉｔｉｏｎ＝Ｐｏｓｔｄｏｃ），（Ａｇｅ＝３０），（Ｇｅｎｄｅｒ＝Ｆｅｍａｌｅ）であり、ボブの属性ｘＢが、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ），（Ｄｅｐａｒｔｍｅｎｔ＝Ｍａｔｈｅｍａｔｉｃｓ），（Ｐｏｓｉｔｉｏｎ＝Ｐｒｏｆｅｓｓｏｒ），（Ａｇｅ＝４５），（Ｇｅｎｄｅｒ＝Ｍａｌｅ）であるとする。属性ｘＡと属性ｘＢとは全く異なるが、ｖ（ｘＡ）とｖ（ｘＢ）とがいずれも成立することは明らかである。また、述語ｖを満たす他の多くの属性があることは明らかである。
　そのため、アリスとボブとは、この述語における署名を生成することができる。また、属性ベース署名のプライバシー要件に基づき、署名者の属性が述語ｖを満たすことを除き、述語ｖに対する署名は署名者、つまりアリスとボブ（又はその他）の属性に関して情報を漏らさない。
　属性ベース署名には、属性ベースメッセージング（Ａｔｔｒｉｂｕｔｅｄ－Ｂａｓｅｄ　Ｍａｓｓａｇｉｎｇ，ＡＢＭ）、属性ベース認証（Ａｔｔｒｉｂｕｔｅｄ－Ｂａｓｅｄ　ａｕｔｈｅｎｔｉｃａｔｉｏｎ）、ｔｒｕｓｔ－ｎｅｇｏｔｉａｔｉｏｎ、ｌｅａｋｉｎｇ　ｓｅｃｒｅｔｓ等の多くのアプリケーションが存在する（非特許文献３６，３７参照）。
　しかし、ノンモノトーン述語に対する属性ベース署名方式は、弱い安全性のものであっても存在しなかった。ノンモノトーン述語は、ＡＮＤ、ＯＲ、閾値のゲートと同様に、ＮＯＴのゲートを表現することができる。
　つまり、モノトーン述語では、（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ）のように、肯定形の条件は設定できるが、（Ｉｎｓｔｉｔｕｔｅ≠Ｕｎｉｖ．Ａ）（つまり、Ｎｏｔ（Ｉｎｓｔｉｔｕｔｅ＝Ｕｎｉｖ．Ａ））のように否定形の条件は設定できない。これに対して、ノンモノトーン述語では、否定形の条件を設定できる。
　大学がＵｎｉｖ．Ａ以外にも多数存在する場合、肯定形の条件のみを用いて、Ｕｎｉｖ．Ａ以外という否定形の条件を設定するのは困難である（記述が複雑になる）。このことからも、ノンモノトーン述語の有用性が分かる。
　＜第２．双対ペアリングベクトル空間＞
　まず、対称双線形ペアリング群（Ｓｙｍｍｅｔｒｉｃ　Ｂｉｌｉｎｅａｒ　Ｐａｉｒｉｎｇ　Ｇｒｏｕｐｓ）について説明する。
　対称双線形ペアリング群（ｑ，Ｇ，ＧＴ，ｇ，ｅ）は、素数ｑと、位数ｑの巡回加法群Ｇと、位数ｑの巡回乗法群ＧＴと、ｇ≠０∈Ｇと、多項式時間で計算可能な非退化双線形ペアリング（Ｎｏｎｄｅｇｅｎｅｒａｔｅ　Ｂｉｌｉｎｅａｒ　Ｐａｉｒｉｎｇ）ｅ：Ｇ×Ｇ→ＧＴとの組である。非退化双線形ペアリングは、ｅ（ｓｇ，ｔｇ）＝ｅ（ｇ，ｇ）ｓｔであり、ｅ（ｇ，ｇ）≠１である。
　以下の説明において、数１１５を、１λを入力として、セキュリティパラメータをλとする双線形ペアリング群のパラメータｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値を出力するアルゴリズムとする。
Figure JPOXMLDOC01-appb-M000046
　次に、双対ペアリングベクトル空間について説明する。
　双対ペアリングベクトル空間（ｑ，Ｖ，ＧＴ，Ａ，ｅ）は、対称双線形ペアリング群（ｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ））の直積によって構成することができる。双対ペアリングベクトル空間（ｑ，Ｖ，ＧＴ，Ａ，ｅ）は、素数ｑ、数１１６に示すＦｑ上のＮ次元ベクトル空間Ｖ、位数ｑの巡回群ＧＴ、空間Ｖの標準基底Ａ：＝（ａ１，．．．，ａＮ）の組であり、以下の演算（１）（２）を有する。ここで、ａｉは、数１１７に示す通りである。
Figure JPOXMLDOC01-appb-M000047
Figure JPOXMLDOC01-appb-M000048
　演算（１）：非退化双線形ペアリング
　空間Ｖにおけるペアリングは、数１１８によって定義される。
Figure JPOXMLDOC01-appb-M000049
 　これは、非退化双線形である。つまり、ｅ（ｓｘ，ｔｙ）＝ｅ（ｘ，ｙ）ｓｔであり、全てのｙ∈Ｖに対して、ｅ（ｘ，ｙ）＝１の場合、ｘ＝０である。また、全てのｉとｊとに対して、ｅ（ａｉ，ａｊ）＝ｅ（ｇ，ｇ）δｉ，ｊである。ここで、ｉ＝ｊであれば、δｉ，ｊ＝１であり、ｉ≠ｊであれば、δｉ，ｊ＝０である。また、ｅ（ｇ，ｇ）≠１∈ＧＴである。
　演算（２）：ディストーション写像
　数１１９に示す空間Ｖにおける線形変換φｉ，ｊは、数１２０を行うことができる。
Figure JPOXMLDOC01-appb-M000050
Figure JPOXMLDOC01-appb-M000051
 　ここで、線形変換φｉ，ｊをディストーション写像と呼ぶ。
　以下の説明において、数１２１を、１λ（λ∈自然数）、Ｎ∈自然数、双線形ペアリング群のパラメータｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値を入力として、セキュリティパラメータがλであり、Ｎ次元の空間Ｖとする双対ペアリングベクトル空間のパラメータｐａｒａｍＶ：＝（ｑ，Ｖ，ＧＴ，Ａ，ｅ）の値を出力するアルゴリズムとする。
Figure JPOXMLDOC01-appb-M000052
　なお、ここでは、上述した対称双線形ペアリング群により、双対ペアリングベクトル空間を構成した場合について説明する。なお、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成することも可能である。以下の説明を、非対称双線形ペアリング群により双対ペアリングベクトル空間を構成した場合に応用することは容易である。
　＜第３．属性ベース署名方式を実現するための概念＞
　＜第３－１．スパンプログラム＞
　図１は、行列Ｍ＾の説明図である。
　｛ｐ１，．．．，ｐｎ｝を変数の集合とする。Ｍ＾：＝（Ｍ，ρ）は、ラベル付けされた行列である。ここで、行列Ｍは、Ｆｑ上の（Ｌ行×ｒ列）の行列である。また、ρは、行列Ｍの各列に付されたラベルであり、｛ｐ１，．．．，ｐｎ，￢ｐ１，．．．，￢ｐｎ｝のいずれか１つのリテラルへ対応付けられる。なお、Ｍの全ての行に付されたラベルρi（ｉ＝１，．．．，Ｌ）がいずれか１つのリテラルへ対応付けられる。つまり、ρ：｛１，．．．，Ｌ｝→｛ｐ１，．．．，ｐｎ，￢ｐ１，．．．，￢ｐｎ｝である。
　全ての入力列δ∈｛０，１｝ｎに対して、行列Ｍの部分行列Ｍδは定義される。行列Ｍδは、入力列δによってラベルρに値“１”が対応付けられた行列Ｍの行から構成される部分行列である。つまり、行列Ｍδは、δｉ＝１であるようなｐｉに対応付けられた行列Ｍの行と、δｉ＝０であるような￢ｐｉに対応付けられた行列Ｍの行とからなる部分行列である。
　図２は、行列Ｍδの説明図である。なお、図２では、ｎ＝７，Ｌ＝６，ｒ＝５としている。つまり、変数の集合は、｛ｐ１，．．．，ｐ７｝であり、行列Ｍは（６行×５列）の行列である。また、図２において、ラベルρは、ρ１が￢ｐ２に、ρ２がｐ１に、ρ３がｐ４に、ρ４が￢ｐ５に、ρ５が￢ｐ３に、ρ６がｐ５にそれぞれ対応付けられているとする。
　ここで、入力列δ∈｛０，１｝７が、δ１＝１，δ２＝０，δ３＝１，δ４＝０，δ５＝０，δ６＝１，δ７＝１であるとする。この場合、破線で囲んだリテラル（ｐ１，ｐ３，ｐ６，ｐ７，￢ｐ２，￢ｐ４，￢ｐ５）に対応付けられている行列Ｍの行からなる部分行列が行列Ｍδである。つまり、行列Ｍの１行目（Ｍ１），２行目（Ｍ２），４行目（Ｍ４）からなる部分行列が行列Ｍδである。
　言い替えると、写像γ：｛１，．．．，Ｌ｝→｛０，１｝が、［ρ（ｊ）＝ｐｉ］∧［δｉ＝１］又は［ρ（ｊ）＝￢ｐｉ］∧［δｉ＝０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０であるとする。この場合に、Ｍδ：＝（Ｍｊ）γ（ｊ）＝１である。ここで、Ｍｊは、行列Ｍのｊ番目の行である。
　つまり、図２では、写像γ（ｊ）＝１（ｊ＝１，２，４）であり、写像γ（ｊ）＝０（ｊ＝３，５，６）である。したがって、（Ｍｊ）γ（ｊ）＝１は、Ｍ１，Ｍ２，Ｍ４であり、行列Ｍδである。
　すなわち、写像γ（ｊ）の値が“０”であるか“１”であるかによって、行列Ｍのｊ番目の行が行列Ｍδに含まれるか否かが決定される。
　１→∈ｓｐａｎ＜Ｍδ＞である場合に限り、スパンプログラムＭ＾は入力列δを受理し、他の場合には入力列δを拒絶する。つまり、入力列δによって行列Ｍ＾から得られる行列Ｍδの行を線形結合して１→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。なお、１→とは、各要素が値“１”である行ベクトルである。
　例えば、図２の例であれば、行列Ｍの１，２，４行目からなる行列Ｍδの各行を線形結合して１→が得られる場合に限り、スパンプログラムＭ＾は入力列δを受理する。つまり、α１（Ｍ１）＋α２（Ｍ２）＋α４（Ｍ４）＝１→となるα１，α２，α４が存在する場合には、スパンプログラムＭ＾は入力列δを受理する。
　ここで、ラベルρが正のリテラル｛ｐ１，．．．，ｐｎ｝にのみ対応付けられている場合、スパンプログラムはモノトーンと呼ばれる。一方、ラベルρがリテラル｛ｐ１，．．．，ｐｎ，￢ｐ１，．．．，￢ｐｎ｝に対応付けられている場合、スパンプログラムはノンモノトーンと呼ばれる。ここでは、スパンプログラムはノンモノトーンとする。そして、ノンモノトーンスパンプログラムを用いて、アクセスストラクチャ（ノンモノトーンアクセスストラクチャ）を構成する。
　上述したように、スパンプログラムがモノトーンではなく、ノンモノトーンであることにより、スパンプログラムを利用して構成する属性ベース署名方式の利用範囲が広がる。
　＜第３－２．属性ベクトルの内積とアクセスストラクチャ＞
　ここでは、属性ベクトルの内積を用いて上述した写像γ（ｊ）を計算する。つまり、属性ベクトルの内積を用いて、行列Ｍのどの行を行列Ｍδに含めるかを決定する。
　Ｕｔ（ｔ＝１，．．．，ｄでありＵｔ⊂｛０，１｝＊）は、部分全集合（ｓｕｂ－ｕｎｉｖｅｒｓｅ）であり、属性の集合である。そして、Ｕｔは、それぞれ部分全集合の識別情報（ｔ）と、ｎｔ次元ベクトル（ｖ→）とを含む。つまり、Ｕｔは、（ｔ，ｖ→）である。ここで、ｔ∈｛１，．．．，ｄ｝であり、ｖ→∈Ｆｑ ｎｔである。
　Ｕｔ：＝（ｔ，ｖ→）をスパンプログラムＭ＾：＝（Ｍ，ρ）における変数ｐとする。つまり、ｐ：＝（ｔ，ｖ→）である。そして、変数（ｐ：＝（ｔ，ｖ→），（ｔ’，ｖ’→），．．．）としたスパンプログラムＭ＾：＝（Ｍ，ρ）をアクセスストラクチャＳとする。
　つまり、アクセスストラクチャＳ：＝（Ｍ，ρ）であり、ρ：｛１，．．．，Ｌ｝→｛（ｔ，ｖ→），（ｔ’，ｖ’→），．．．，￢（ｔ，ｖ→），￢（ｔ’，ｖ’→），．．．｝である。
　次に、Γを属性の集合とする。つまり、Γ：＝｛（ｔ，ｘ→ ｔ）｜ｘ→ ｔ∈Ｆｑｎｔ，１≦ｔ≦ｄ｝である。
　アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖ→ ｉ）］∧［（ｔ，ｘ→ ｔ）∈Γ］∧［ｖ→ ｉ・ｘ→ ｔ＝０］、又は、［ρ（ｉ）＝￢（ｔ，ｖ→ ｉ）］∧［（ｔ，ｘ→ ｔ）∈Γ］∧［ｖ→ ｉ・ｘ→ ｔ≠０］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
　つまり、属性ベクトルｖ→とｘ→との内積に基づき、写像γが計算される。そして、上述したように、写像γにより、行列Ｍのどの行を行列Ｍδに含めるかが決定される。すなわち、属性ベクトルｖ→とｘ→との内積により、行列Ｍのどの行を行列Ｍδに含めるかが決定され、１→∈ｓｐａｎ＜（Ｍｉ）γ（ｉ）＝１＞である場合に限り、アクセスストラクチャＳ：＝（Ｍ，ρ）はΓを受理する。
　ｔ∈｛１，．．．，ｄ｝の全ての整数ｔについて、ｎｔ＝２とし、ｘ→：＝（１，ｘ）、ｖ→：＝（ｖ，－１）とした場合、このアクセスストラクチャにおける内積述語の関係がより簡単な形式になる。
　この場合、（ｔ，ｘ→ ｔ）：＝（ｔ，（１，ｘ）），（ｔ，ｖ→ ｉ）：＝（ｔ，（ｖｉ，－１））である。しかし、これらを簡単化して（ｔ，ｘｔ）、（ｔ，ｖｉ）と表す。すると、アクセスストラクチャＳは、ρ：＝｛１，．．．，Ｌ｝→｛（ｔ，ｖ），（ｔ’、ｖ’），．．．，￢（ｔ，ｖ），￢（ｔ’，ｖ’），．．．｝（ｖ，ｖ’，．．．∈Ｆｑ）であるＳ：＝（Ｍ，ρ）となる。また、属性の集合Γは、Γ：＝｛（ｔ，ｘｔ）｜ｘｔ∈Ｆｑ，１≦ｔ≦ｄ｝となる。
　そして、アクセスストラクチャＳにΓが与えられた場合、スパンプログラムＭ＾：＝（Ｍ，ρ）に対する写像γ：｛１，．．．，Ｌ｝→｛０，１｝は、以下のように定義される。ｉ＝１，．．．，Ｌの各整数ｉについて、［ρ（ｉ）＝（ｔ，ｖｉ）］∧［（ｔ，ｘｔ）∈Γ］∧［ｖｉ＝ｘｔ］、又は、［ρ（ｉ）＝￢（ｔ，ｖｉ）］∧［（ｔ，ｘｔ）∈Γ］∧［ｖｉ≠ｘｔ］である場合、γ（ｊ）＝１であり、他の場合、γ（ｊ）＝０とする。
　＜第３－３．秘密分散方式＞
　アクセスストラクチャＳ：＝（Ｍ，ρ）に対する秘密分散方式について説明する。
　なお、秘密分散方式とは、秘密情報を分散させ、意味のない分散情報にすることである。例えば、秘密情報ｓを１０個に分散させ、１０個の分散情報を生成する。ここで、１０個の分散情報それぞれは、秘密情報ｓの情報を有していない。したがって、ある１個の分散情報を手に入れても秘密情報ｓに関して何ら情報を得ることはできない。一方、１０個の分散情報を全て手に入れれば、秘密情報ｓを復元できる。
　また、１０個の分散情報を全て手に入れなくても、一部だけ（例えば、８個）手に入れれば秘密情報ｓを復元できる秘密分散方式もある。このように、１０個の分散情報のうち８個で秘密情報ｓを復元できる場合を、８－ｏｕｔ－ｏｆ－１０と呼ぶ。つまり、ｎ個の分散情報のうちｔ個で秘密情報ｓを復元できる場合を、ｔ－ｏｕｔ－ｏｆ－ｎと呼ぶ。このｔを閾値と呼ぶ。
　また、ｄ１，．．．，ｄ１０の１０個の分散情報を生成した場合に、ｄ１，．．．，ｄ８までの８個の分散情報であれば秘密情報ｓを復元できるが、ｄ３，．．．，ｄ１０までの８個の分散情報であれば秘密情報ｓを復元できないというような秘密分散方式もある。つまり、手に入れた分散情報の数だけでなく、分散情報の組合せに応じて秘密情報ｓを復元できるか否かを制御する秘密分散方式もある。
　図３は、ｓ０の説明図である。図４は、ｓ→Ｔの説明図である。
　行列Ｍを（Ｌ行×ｒ列）の行列とする。ｆ→Ｔを数１２２に示す列ベクトルとする。
Figure JPOXMLDOC01-appb-M000053
 　数１２３に示すｓ０を共有される秘密情報とする。
Figure JPOXMLDOC01-appb-M000054
 　また、数１２４に示すｓ→Ｔをｓ０のＬ個の分散情報のベクトルとする。
Figure JPOXMLDOC01-appb-M000055
 　そして、分散情報ｓｉをρ（ｉ）に属するものとする。
　アクセスストラクチャＳ：＝（Ｍ，ρ）がΓを受理する場合、つまりγ：｛１，．．．，Ｌ｝→｛０，１｝について１→∈ｓｐａｎ＜（Ｍｉ）γ（ｉ）＝１＞である場合、Ｉ⊆｛ｉ∈｛１，．．．，Ｌ｝｜γ（ｉ）＝１｝である定数｛αｉ∈Ｆｑ｜ｉ∈Ｉ｝が存在する。
　これは、図２の例で、α１（Ｍ１）＋α２（Ｍ２）＋α４（Ｍ４）＝１→となるα１，α２，α４が存在する場合には、スパンプログラムＭ＾は入力列δを受理すると説明したことからも明らかである。つまり、α１（Ｍ１）＋α２（Ｍ２）＋α４（Ｍ４）＝１→となるα１，α２，α４が存在する場合には、スパンプログラムＭ＾が入力列δを受理するのであれば、α１（Ｍ１）＋α２（Ｍ２）＋α４（Ｍ４）＝１→となるα１，α２，α４が存在する。
　そして、数１２５である。
　なお、定数｛αｉ｝は、行列Ｍのサイズにおける多項式時間で計算可能である。
　この実施の形態及び以下の実施の形態に係る属性ベース署名方式は、上述したように、スパンプログラムに内積述語と秘密分散方式とを適用してアクセスストラクチャを構成する。そのため、スパンプログラムにおける行列Ｍや、内積述語における属性情報ｘ及び属性情報ｖ（述語情報）を設計することにより、アクセス制御を自由に設計することができる。つまり、非常に高い自由度でアクセス制御の設計を行うことができる。なお、行列Ｍの設計は、秘密分散方式の閾値等の条件設計に相当する。
　特に、この実施の形態及び以下の実施の形態に係る属性ベース署名方式におけるアクセスストラクチャは、ノンモノトーンスパンプログラムを用いたノンモノトーンアクセスストラクチャを構成する。つまり、この実施の形態及び以下の実施の形態に係る属性ベース署名方式は、ノンモノトーン述語を伴う署名方式である。そのため、アクセス制御の設計の自由度がより高くなる。
　＜第３－４．衝突困難ハッシュ関数＞
　衝突困難ハッシュ関数とは、出力が同じになる２つの入力を見つけることが困難なハッシュ関数である。
　自然数λをセキュリティパラメータとする。アルゴリズムＧｂｐｇに関する衝突困難ハッシュ関数系Ｈと、多項式ｐｏｌｙ（λ）とについて以下の２つのことが言える。
　１．鍵空間系は、λによって索引付けされる。各鍵空間は、ＫＨλによって示されるビット列における確率空間である。１λを入力とした場合の出力分布がＫＨλと等しい確率的多項式時間アルゴリズムが存在する。
　２．ハッシュ関数系は、λと、ＫＨλからランダムに選択されたｈｋと、Ｄ：＝｛０，１｝ｐｏｌｙ（λ）とによって索引付けされる。ここで、各関数Ｈｈｋ λ，Ｄは、Ｄの要素からＦｑ Ｘへの写像である。なお、ｑは、アルゴリズムＧｂｐｇ（１λ）の出力ｐａｒａｍＧの最初の要素である。１λとｈｋとｄ∈Ｄとを入力として、Ｈｈｋ λ，Ｄ（ｄ）を出力する決定的多項式時間アルゴリズムがある。
　εを確率的多項式時間機械であるとする。全てのλに対して、数１２６を定義する。
Figure JPOXMLDOC01-appb-M000057
 　どんな確率的多項式時間攻撃者εに対しても、Ａｄｖε Ｈ，ＣＲ（λ）が無視し得る程度であるなら、Ｈは衝突困難ハッシュ関数系である。
　＜第４．属性ベース署名方式の構成＞
　＜第４－１．属性ベース署名方式の基本構成＞
　属性ベース署名方式は、Ｓｅｔｕｐ、ＫｅｙＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
　（Ｓｅｔｕｐ）
　Ｓｅｔｕｐアルゴリズムは、セキュリティパラメータλと、属性のフォーマットｎ→：＝（（ｄ；ｎｔ，ｕｔ，ｗｔ，ｚｔ（ｔ＝１，．．．，ｄ））とを入力として、公開パラメータｐｋと、マスター鍵ｓｋとを出力する確率的アルゴリズムである。
　（ＫｅｙＧｅｎ）
　ＫｅｙＧｅｎアルゴリズムは、属性の集合であるΓ：＝｛（ｔ，ｘ→ ｔ）｜ｘ→ ｔ∈Ｆｑ ｎｔ＼{０→}，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力として、署名鍵ｓｋΓを出力する確率的アルゴリズムである。
　（Ｓｉｇ）
　Ｓｉｇアルゴリズムは、メッセージｍと、属性の集合Γを受理するようなアクセスストラクチャＳ：＝（Ｍ，ρ）と、署名鍵ｓｋΓと、公開パラメータｐｋとを入力として、署名ｓ→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを出力する確率的アルゴリズムである。
　（Ｖｅｒ）
　Ｖｅｒアルゴリズムは、署名データσと、公開パラメータｐｋとを入力として、ブール値１（受理）又は０（拒絶）を出力するアルゴリズムである。
　属性ベース署名方式は、数１２７に示す全ての公開パラメータｐｋ及びマスター鍵ｓｋと、全てのメッセージｍと、全ての属性の集合Γと、数１２８に示す全ての署名鍵ｓｋΓと、属性の集合Γを受理する全てのアクセスストラクチャＳと、数１２９に示す全ての署名データσとに対して、確率１で１＝Ｖｅｒ（ｐｋ，ｍ，Ｓ，σ）が成立する。
Figure JPOXMLDOC01-appb-M000058
Figure JPOXMLDOC01-appb-M000059
Figure JPOXMLDOC01-appb-M000060
　＜第４－２．署名処理システム１０＞
　上述した属性ベース署名方式のアルゴリズムを実行する署名処理システム１０について説明する。
　図５は、属性ベース署名方式のアルゴリズムを実行する署名処理システム１０の構成図である。
　署名処理システム１０は、鍵生成装置１００、署名装置２００、検証装置３００を備える。
　鍵生成装置１００は、セキュリティパラメータλと、属性のフォーマットｎ→：＝（（ｄ；ｎｔ，ｕｔ，ｗｔ，ｚｔ（ｔ＝１，．．．，ｄ））とを入力としてＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、鍵生成装置１００は、生成した公開パラメータｐｋを公開する。また、鍵生成装置１００は、属性の集合であるΓ：＝｛（ｔ，ｘ→ ｔ）｜ｘ→ ｔ∈Ｆｑ ｎｔ＼{０→}，１≦ｔ≦ｄ｝と、公開パラメータｐｋと、マスター鍵ｓｋとを入力としてＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋΓを生成して署名装置２００へ秘密裡に配布する。
　署名装置２００は、メッセージｍと、属性の集合Γを受理するようなアクセスストラクチャＳ：＝（Ｍ，ρ）と、署名鍵ｓｋΓと、公開パラメータｐｋとを入力としてＳｉｇアルゴリズムを実行して、署名ｓ→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを生成する。署名装置２００は、生成した署名データσを検証装置３００へ送信する。
　検証装置３００は、署名データσと、公開パラメータｐｋとを入力としてＶｅｒアルゴリズムを実行して、ブール値１（受理）又は０（拒絶）を出力する。
　＜第４－３．属性ベース署名方式及び署名処理システム１０の詳細＞
　図６から図１２に基づき、属性ベース署名方式、及び、属性ベース署名方式を実行する署名処理システム１０の機能と動作とについて説明する。
　図６は、鍵生成装置１００の機能を示す機能ブロック図である。図７は、署名装置２００の機能を示す機能ブロック図である。図８は、検証装置３００の機能を示す機能ブロック図である。
　図９と図１０とは、鍵生成装置１００の動作を示すフローチャートである。なお、図９はＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１０はＫｅｙＧｅｎアルゴリズムの処理を示すフローチャートである。図１１は、署名装置２００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図１２は、検証装置３００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。
　鍵生成装置１００の機能と動作とについて説明する。
　図６に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、署名鍵生成部１４０、鍵配布部１５０（署名鍵送信部）を備える。
　また、署名鍵生成部１４０は、乱数生成部１４１、鍵要素０生成部１４２、鍵要素ｔ生成部１４３、鍵要素ｄ＋１生成部１４４を備える。
　なお、以下の説明において、Ｈ：＝（ＫＨλ，Ｈｈｋ λ，Ｄ）は、上述した衝突困難ハッシュ関数系である。
　まず、図９に基づき、鍵生成装置１００が実行するＳｅｔｕｐアルゴリズムの処理について説明する。
　（Ｓ１０１：正規直交基底生成ステップ）
　マスター鍵生成部１１０は、処理装置により、数１３０を計算して、ｐａｒａｍｎ→と、ｔ＝０，．．．，ｄ＋１の各整数ｔについて基底Ｂｔ及び基底Ｂ＊ ｔとをランダムに生成する。
Figure JPOXMLDOC01-appb-M000061
　つまり、マスター鍵生成部１１０は以下の処理を実行する。
　（１）マスター鍵生成部１１０は、入力装置により、セキュリティパラメータλ（１λ）と、属性のフォーマットｎ→：＝（（ｄ；ｎｔ，ｕｔ，ｗｔ，ｚｔ（ｔ＝０，．．．，ｄ＋１））とを入力する。ここで、ｄは１以上の整数である。ｔ＝０についてのｎｔは１であり、ｔ＝１，．．．，ｄまでの各整数ｔについてｎｔは１以上の整数であり、ｔ＝ｄ＋１についてのｎｔは２である。ｔ＝０，．．．，ｄ＋１までの各整数ｔについてｕｔ，ｗｔ，ｚｔは１以上の整数である。
　（２）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１λ）を入力としてアルゴリズムＧｂｐｇを実行して、ランダムに双線形ペアリング群のパラメータｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値を生成する。
　（３）マスター鍵生成部１１０は、処理装置により、乱数ψを生成する。また、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄ＋１の各整数ｔについてＮｔにｎｔ＋ｕｔ＋ｗｔ＋ｚｔを設定する。
　続いて、マスター鍵生成部１１０は、ｔ＝０，．．．，ｄ＋１の各整数ｔについて以下の（４）から（８）までの処理を実行する。
　（４）マスター鍵生成部１１０は、処理装置により、（１）で入力したセキュリティパラメータλ（１λ）と、（３）で設定したＮｔと、（２）で生成したｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値とを入力としてアルゴリズムＧｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍＶｔ：＝（ｑ，Ｖｔ，ＧＴ，Ａｔ，ｅ）の値を生成する。
　（５）マスター鍵生成部１１０は、処理装置により、（３）で設定したＮｔと、Ｆｑとを入力として、線形変換Ｘｔ：＝（χｔ，ｉ，ｊ）ｉ，ｊをランダムに生成する。なお、ＧＬは、Ｇｅｎｅｒａｌ　Ｌｉｎｅａｒの略である。つまり、ＧＬは、一般線形群であり、行列式が０でない正方行列の集合であり、乗法に関し群である。また、（χｔ，ｉ，ｊ）ｉ，ｊは、行列χｔ，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎｔである。
　（６）マスター鍵生成部１１０は、処理装置により、乱数ψと線形変換Ｘｔとに基づき、（νｔ，ｉ，ｊ）ｉ，ｊ：＝ψ・（Ｘｔ Ｔ）－１を生成する。なお、（νｔ，ｉ，ｊ）ｉ，ｊも（χｔ，ｉ，ｊ）ｉ，ｊと同様に、行列νｔ，ｉ，ｊの添え字ｉ，ｊに関する行列という意味であり、ここでは、ｉ，ｊ＝１，．．．，ｎｔである。
　（７）マスター鍵生成部１１０は、処理装置により、（５）で生成した線形変換Ｘｔに基づき、（４）で生成した標準基底Ａｔから基底Ｂｔを生成する。
　（８）マスター鍵生成部１１０は、処理装置により、（６）で生成した（νｔ，ｉ，ｊ）ｉ，ｊに基づき、（４）で生成した標準基底Ａｔから基底Ｂ＊ ｔを生成する。
　（９）マスター鍵生成部１１０は、処理装置により、ｇＴにｅ（ｇ，ｇ）ψを設定する。また、マスター鍵生成部１１０は、ｐａｒａｍｎ→に（４）で生成した｛ｐａｒａｍＶｔ｝ｔ＝０，．．．，ｄ＋１と、ｇＴとを設定する。なお、ｔ＝０，．．．，ｄ＋１とｉ＝１，．．．，Ｎｔとの各整数ｔ，ｉについて、ｇＴ＝ｅ（ｂｔ，ｉ，ｂ＊ ｔ，ｉ）である。
　すなわち、（Ｓ１０１）で、マスター鍵生成部１１０は、数１３１に示すアルゴリズムＧｏｂを実行して、ｐａｒａｍｎ→と、ｔ＝０，．．．，ｄ＋１の各整数ｔについて基底Ｂｔ及び基底Ｂ＊ ｔとを生成する。
Figure JPOXMLDOC01-appb-M000062
　（Ｓ１０２：ハッシュキー生成ステップ）
　マスター鍵生成部１１０は、処理装置により、数１３２を計算して、ハッシュキーｈｋをランダムに生成する。
Figure JPOXMLDOC01-appb-M000063
　（Ｓ１０３：公開パラメータ生成ステップ）
　マスター鍵生成部１１０は、処理装置により、基底Ｂ０の部分基底Ｂ＾０と、ｔ＝１，．．．，ｄの各整数ｔについて基底Ｂｔの部分基底Ｂ＾ｔと、基底Ｂｄ＋１の部分基底Ｂ＾ｄ＋１とを数１３３に示すように生成する。
Figure JPOXMLDOC01-appb-M000064
 　また、マスター鍵生成部１１０は、処理装置により、ｔ＝１，．．．，ｄの各整数ｔについて基底Ｂ＊ ｔの部分基底Ｂ＾＊ ｔと、基底Ｂｄ＋１の部分基底Ｂ＾＊ ｄ＋１とを数１３４に示すように生成する。
Figure JPOXMLDOC01-appb-M000065
 　マスター鍵生成部１１０は、生成した部分基底Ｂ＾ｔ（ｔ＝０，．．．，ｄ＋１）と部分基底Ｂ＾＊ ｔ（ｔ＝１，．．．，ｄ＋１）と、（Ｓ１０１）で入力されたセキュリティパラメータλ（１λ）と、（Ｓ１０１）で生成したｐａｒａｍｎ→と、（Ｓ１０２）で生成したハッシュキーｈｋと、基底ベクトルｂ＊ ０，１＋ｕ０＋１，．．．，ｂ＊ ０，１＋ｕ０＋ｗ０（ここでｕ０、ｗ０は、ｕ０，ｗ０のことである）とを合わせて、公開パラメータｐｋとする。
　（Ｓ１０４：マスター鍵生成ステップ）
　マスター鍵生成部１１０は、基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１をマスター鍵ｓｋとする。
　（Ｓ１０５：マスター鍵記憶ステップ）
　マスター鍵記憶部１２０は、（Ｓ１０３）で生成した公開パラメータｐｋを記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ１０４）で生成したマスター鍵ｓｋを記憶装置に記憶する。
　つまり、（Ｓ１０１）から（Ｓ１０４）において、鍵生成装置１００は数１３５に示すＳｅｔｕｐアルゴリズムを実行して、公開パラメータｐｋとマスター鍵ｓｋとを生成する。そして、（Ｓ１０５）で、鍵生成装置１００は生成された公開パラメータｐｋとマスター鍵ｓｋとを記憶装置に記憶する。
　なお、公開パラメータは、例えば、ネットワークを介して公開され、署名装置２００や検証装置３００が取得可能な状態にされる。
Figure JPOXMLDOC01-appb-M000066
　次に、図１０に基づき、鍵生成装置１００が実行するＫｅｙＧｅｎアルゴリズムの処理について説明する。
　（Ｓ２０１：情報入力ステップ）
　情報入力部１３０は、入力装置により、属性の集合Γ：＝｛（ｔ，ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ））｜１≦ｔ≦ｄ｝を入力する。ｔは、１以上ｄ以下の全ての整数ではなく、１以上ｄ以下の少なくとも一部の整数であってもよい。
　（Ｓ２０２：乱数生成ステップ）
　乱数生成部１４１は、処理装置により、乱数δと、乱数φ０，φｔ，ι，φｄ＋１，１，ι，φｄ＋１，２，ι（ｔ＝１，．．．，ｄ；ι＝１，．．．，ｗｔ）とを数１３６に示すように生成する。
Figure JPOXMLDOC01-appb-M000067
　（Ｓ２０３：鍵要素０生成ステップ）
　鍵要素０生成部１４２は、処理装置により、署名鍵ｓｋΓの要素である鍵要素ｋ＊ ０を数１３７に示すように生成する。
Figure JPOXMLDOC01-appb-M000068
 　なお、上述したように、数１１３に示す基底Ｂと基底Ｂ＊とに対して、数１１４である。したがって、数１３７は、以下のように、基底Ｂ＊ ０の基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ＊ ０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ＊ ０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ＊ ０，１，．．．，ｂ＊ ０，３を意味する。
　基底Ｂ＊ ０の基底ベクトル１の係数として乱数δが設定される。基底ベクトル１＋１，．．．，１＋ｕ０の係数として０が設定される。基底ベクトル１＋ｕ０＋１，．．．，１＋ｕ０＋ｗ０の係数として乱数φ０，１，．．．，φ０，ｗｏ（ここで、ｗ０はｗ０のことである）が設定される。基底ベクトル１＋ｕ０＋ｗ０＋１，．．．，１＋ｕ０＋ｗ０＋ｚ０の係数として０が設定される。
　（Ｓ２０４：鍵要素ｔ生成ステップ）
　鍵要素ｔ生成部１４３は、処理装置により、属性の集合Γに含まれる（ｔ，ｘ→ ｔ）の各整数ｔについて、署名鍵ｓｋΓの要素である鍵要素ｋ＊ ｔを数１３８に示すように生成する。
Figure JPOXMLDOC01-appb-M000069
 　つまり、数１３８は、数１３７と同様に、以下のように、基底Ｂ＊ ｔの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ＊ ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ＊ ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ＊ ｔ，１，．．．，ｂ＊ ｔ，３を意味する。
　基底ベクトル１，．．．，ｎｔの係数としてδｘｔ，１，．．．，δｘｔ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトルｎｔ＋１，．．．，ｎｔ＋ｕｔの係数として０が設定される。基底ベクトルｎｔ＋ｕｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔの係数として乱数φｔ，１，．．．，φｔ，ｗｔ（ここで、ｗｔはｗｔのことである）が設定される。基底ベクトルｎｔ＋ｕｔ＋ｗｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔ＋ｚｔの係数として０が設定される。
　（Ｓ２０５：鍵要素ｄ＋１生成ステップ）
　鍵要素ｄ＋１生成部１４４は、処理装置により、署名鍵ｓｋΓの要素である鍵要素ｋ＊ ｄ＋１，１と鍵要素ｋ＊ ｄ＋１，２とを数１３９に示すように生成する。
Figure JPOXMLDOC01-appb-M000070
 　つまり、数１３９は、数１３７と同様に、以下のように、基底Ｂ＊ ｄ＋１の基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂ＊ ｄ＋１，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ＊ ｄ＋１，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ＊ ｄ＋１，１，．．．，ｂ＊ ｄ＋１，３を意味する。
　まず、鍵要素ｋ＊ ｄ＋１，１については、基底ベクトル１の係数として乱数δが設定される。基底ベクトル２の係数として０が設定される。基底ベクトル２＋１，．．．，２＋ｕｄ＋１の係数として０が設定される。基底ベクトル２＋ｕｄ＋１＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１の係数として乱数φｄ＋１，１，１，．．．，φｄ＋１，１，ｗｄ＋１（ここで、ｗｄ＋１はｗｄ＋１のことである）が設定される。基底ベクトル２＋ｕｄ＋１＋ｗｄ＋１＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１＋ｚｄ＋１の係数として０が設定される。
　また、鍵要素ｋ＊ ｄ＋１，２については、基底ベクトル１の係数として０が設定される。基底ベクトル２の係数として乱数δが設定される。基底ベクトル２＋１，．．．，２＋ｕｄ＋１の係数として０が設定される。基底ベクトル２＋ｕｄ＋１＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１の係数として乱数φｄ＋１，２，１，．．．，φｄ＋１，２，ｗｄ＋１（ここで、ｗｄ＋１はｗｄ＋１のことである）が設定される。基底ベクトル２＋ｕｄ＋１＋ｗｄ＋１＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１＋ｚｄ＋１の係数として０が設定される。
　（Ｓ２０６：鍵配布ステップ）
　鍵配布部１５０は、属性の集合Γと、鍵要素ｋ＊ ０と、鍵要素ｋ＊ ｔ（ｔは属性の集合Γに含まれる（ｔ，ｘ→ ｔ）におけるｔ）と、鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２とを要素とする署名鍵ｓｋΓを、例えば通信装置によりネットワークを介して秘密裡に署名装置２００へ配布する。もちろん、署名鍵ｓｋΓは、他の方法により署名装置２００へ配布されてもよい。
　つまり、（Ｓ２０１）から（Ｓ２０５）において、鍵生成装置１００は数１４０に示すＫｅｙＧｅｎアルゴリズムを実行して、署名鍵ｓｋΓを生成する。そして、（Ｓ２０６）で、鍵生成装置１００は生成された署名鍵ｓｋΓを署名装置２００へ配布する。
Figure JPOXMLDOC01-appb-M000071
　署名装置２００の機能と動作とについて説明する。
　図７に示すように、署名装置２００は、署名鍵取得部２１０、情報入力部２２０（第２情報入力部）、スパンプログラム計算部２３０、補完係数計算部２４０、署名データ生成部２５０、署名データ送信部２６０（署名データ出力部）を備える。
　また、情報入力部２２０は、述語情報入力部２２１、メッセージ入力部２２２を備える。また、署名データ生成部２５０は、乱数生成部２５１、署名要素０生成部２５２、署名要素ｉ生成部２５３、署名要素Ｌ＋１生成部２５４を備える。
　図１１に基づき、署名装置２００が実行するＳｉｇアルゴリズムの処理について説明する。
　（Ｓ３０１：署名鍵取得ステップ）
　署名鍵取得部２１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した署名鍵ｓｋΓを取得する。また、署名鍵取得部２１０は、鍵生成装置１００が生成した公開パラメータｐｋを取得する。
　（Ｓ３０２：情報入力ステップ）
　述語情報入力部２２１は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、行列Ｍは、Ｌ行×ｒ列の行列である。Ｌ，ｒは、１以上の整数である。
　また、メッセージ入力部２２２は、入力装置により、署名を付すメッセージｍを入力する。
　なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。
　（Ｓ３０３：スパンプログラム計算ステップ）
　スパンプログラム計算部２３０は、処理装置により、（Ｓ３０２）で入力したアクセスストラクチャＳが、（Ｓ３０１）で取得した署名鍵ｓｋΓに含まれる属性の集合Γを受理するか否かを判定する。
　なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、「第３．関数型暗号を実現するための概念」で説明した通りである。
　スパンプログラム計算部２３０は、アクセスストラクチャＳが属性の集合Γを受理する場合（Ｓ３０３で受理）、処理を（Ｓ３０４）へ進める。一方、アクセスストラクチャＳが属性の集合Γを拒絶する場合（Ｓ３０３で拒絶）、処理を終了する。
　（Ｓ３０４：補完係数計算ステップ）
　補完係数計算部４３０は、処理装置により、数１４１となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）αｉとを計算する。
Figure JPOXMLDOC01-appb-M000072
 　なお、Ｍｉとは、行列Ｍのｉ行目のことである。
　（Ｓ３０５：乱数生成ステップ）
　乱数生成部２５１は、処理装置により、乱数ξと、乱数βｉ（ｉ＝１，．．．，Ｌ）とを数１４２に示すように生成する。
Figure JPOXMLDOC01-appb-M000073
　（Ｓ３０６：署名要素０生成ステップ）
　署名要素０生成部２５２は、処理装置により、署名データσの要素である署名要素ｓ＊ ０を数１４３に示すように生成する。
Figure JPOXMLDOC01-appb-M000074
 　ここで、ｒ＊ ０は、数１４４（数１１０から数１１２及びこれらの数式の説明を参照）である。
Figure JPOXMLDOC01-appb-M000075
　（Ｓ３０７：署名要素ｉ生成ステップ）
　署名要素ｉ生成部２５３は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名データσの要素である署名要素ｓ＊ ｉを数１４５に示すように生成する。
Figure JPOXMLDOC01-appb-M000076
 　ここで、ｒ＊ ｉは、数１４６（数１１０から数１１２及びこれらの数式の説明を参照）である。
Figure JPOXMLDOC01-appb-M000077
 　また、γｉとｙ→ ｉ：＝（ｙｉ，ｉ’（ｉ’＝１，．．．，ｎｔ）とは、数１４７である。
Figure JPOXMLDOC01-appb-M000078
　（Ｓ３０８：署名要素Ｌ＋１生成ステップ）
　署名要素Ｌ＋１生成部２５４は、処理装置により、署名データσの要素である署名要素ｓ＊ Ｌ＋１を数１４８に示すように生成する。
Figure JPOXMLDOC01-appb-M000079
 　ここで、ｒ＊ Ｌ＋１は、数１４９（数１１０から数１１２及びこれらの数式の説明を参照）である。
Figure JPOXMLDOC01-appb-M000080
　（Ｓ３０９：データ送信ステップ）
　署名データ送信部２６０は、署名要素ｓ＊ ０と、署名要素ｓ＊ ｉ（ｉ＝１，．．．，Ｌ）と、署名要素ｓ＊ Ｌ＋１と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを含む署名データσを、例えば通信装置によりネットワークを介して検証装置３００へ送信する。もちろん、署名データσは、他の方法により検証装置３００へ送信されてもよい。
　つまり、（Ｓ３０１）から（Ｓ３０８）において、署名装置２００は数１５０に示すＳｉｇアルゴリズムを実行して、署名データσを生成する。そして、（Ｓ３０９）で、署名装置２００は生成された署名データσを検証装置３００へ配布する。
Figure JPOXMLDOC01-appb-M000081
　検証装置３００の機能と動作とについて説明する。
　図８に示すように、検証装置３００は、公開パラメータ取得部３１０、データ受信部３２０、検証鍵生成部３３０、ペアリング演算部３４０を備える。
　また、検証鍵生成部３３０は、乱数生成部３３１、ｆベクトル生成部３３２、ｓベクトル生成部３３３、検証要素０生成部３３４、検証要素ｉ生成部３３５、検証要素Ｌ＋１生成部３３６を備える。
　図１２に基づき、検証装置３００が実行するＶｅｒアルゴリズムの処理について説明する。
　（Ｓ４０１：公開パラメータ取得ステップ）
　公開パラメータ取得部３１０は、例えば、通信装置によりネットワークを介して、鍵生成装置１００が生成した公開パラメータｐｋを取得する。
　（Ｓ４０２：署名データ受信ステップ）
　データ受信部３２０は、例えば、通信装置によりネットワークを介して、署名装置２００が送信した署名データσを受信する。
　（Ｓ４０３：ｆベクトル生成ステップ）
　ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ→を数１５１に示すようにランダムに生成する。
Figure JPOXMLDOC01-appb-M000082
　（Ｓ４０４：ｓベクトル生成ステップ）
　ｓベクトル生成部３３３は、処理装置により、（Ｓ４０２）で受信した署名データσに含まれるアクセスストラクチャＳの（Ｌ行×ｒ列）の行列Ｍと、（Ｓ４０３）で生成したｒ個の要素を有するベクトルｆ→とに基づき、ベクトルｓ→Ｔを数１５２に示すように生成する。
Figure JPOXMLDOC01-appb-M000083
 　また、ｓベクトル生成部３３３は、処理装置により、（Ｓ４０３）で生成したベクトルｆ→に基づき、値ｓ０を数１５３に示すように生成する。なお、１→は、全ての要素が値１のベクトルである。
Figure JPOXMLDOC01-appb-M000084
　（Ｓ４０５：乱数生成ステップ）
　乱数生成部３３１は、処理装置により、ｉ＝１，．．．，ｚ0の各整数ｉについて乱数η０，ｉと、ｉ＝１，．．．，ｚｄ＋１の各整数ｉについて乱数ηＬ＋１，ｉと、乱数θＬ＋１と、乱数ｓＬ＋１とを数１５４に示すように生成する。
Figure JPOXMLDOC01-appb-M000085
　（Ｓ４０６：検証要素０生成ステップ）
　検証要素０生成部３３４は、処理装置により、検証鍵の要素である検証要素ｃ０を数１５５に示すように生成する。
Figure JPOXMLDOC01-appb-M000086
 　なお、上述したように、数１１３に示す基底Ｂと基底Ｂ＊とに対して、数１１４である。したがって、数１５５は、以下のように、基底Ｂ０の基底ベクトルの係数が設定されることを意味する。こでは、表記を簡略化して、基底ベクトルｂ０，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ０，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ０，１，．．．，ｂ０，３を意味する。
　基底Ｂ０の基底ベクトル１の係数として－ｓ０－ｓＬ＋１が設定される。基底ベクトル１＋１，．．．，１＋ｕ０＋ｗ０の係数として０が設定される。基底ベクトル１＋ｕ０＋ｗ０＋１，．．．，１＋ｕ０＋ｗ０＋ｚ０の係数として乱数η０，１，．．．，η０，ｚ０（ここで、ｚ０はｚ０のことである）が設定される。
　（Ｓ４０７：検証要素ｉ生成ステップ）
　検証要素ｉ生成部３３５は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素である検証要素ｃｉを数１５６に示すように生成する。
Figure JPOXMLDOC01-appb-M000087
 　つまり、数１５６は、数１５５と同様に、以下のように、基底Ｂｔの基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂｔ，１，．．．，ｂｔ，３を意味する。
　ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、基底ベクトル１の係数としてｓｉ＋θｉｖｉ，１が設定される。基底ベクトル２，．．．，ｎｔの係数としてθｉｖｉ，２，．．．，θｉｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトルｎｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔの係数として０が設定される。基底ベクトルｎｔ＋ｕｔ＋ｗｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔ＋ｚｔの係数としてηｉ，１，．．．，ηｉ，ｚｔ（ここで、ｚｔはｚｔのことである）が設定される。
　一方、ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、基底ベクトル１，．．．，ｎｔの係数としてｓｉｖｉ，１，．．．，θｉｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトル２の係数として－ｓｉが設定される。基底ベクトルｎｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔの係数として０が設定される。基底ベクトルｎｔ＋ｕｔ＋ｗｔ＋１，．．．，ｎｔ＋ｕｔ＋ｗｔ＋ｚｔの係数としてηｉ，１，．．．，ηｉ，ｚｔ（ここで、ｚｔはｚｔのことである）が設定される。
　なお、θｉ及びηｉ，ｉ’（ｉ’＝１，．．．，ｚｔ）は乱数生成部２３３によって生成される一様乱数である。
　（Ｓ４０８：署名要素Ｌ＋１生成ステップ）
　検証要素Ｌ＋１生成部３３６は、処理装置により、検証鍵の要素である検証要素ｃＬ＋１を数１５７に示すように生成する。
Figure JPOXMLDOC01-appb-M000088
 　つまり、数１５７は、数１５５と同様に、以下のように、基底Ｂｄ＋１の基底ベクトルの係数が設定されることを意味する。なお、ここでは、表記を簡略化して、基底ベクトルｂｄ＋１，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂｄ＋１，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂｄ＋１，１，．．．，ｂｄ＋１，３を意味する。
　基底ベクトル１の係数としてｓＬ＋１－θＬ＋１・Ｈｈｋ λ，Ｄ（ｍ｜｜Ｓ）が設定される。基底ベクトル２の係数としてθＬ＋１が設定される。基底ベクトル２＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１の係数として０が設定される。基底ベクトル２＋ｕｄ＋１＋ｗｄ＋１＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１＋ｚｄ＋１の係数として乱数ηＬ＋１，１，．．．，ηＬ＋１，ｚｄ＋１（ここで、ｚｄ＋１はｚｄ＋１のことである）が設定される。
　（Ｓ４０９：第１ペアリング演算ステップ）
　ペアリング演算部３４０は、処理装置により、ペアリング演算ｅ（ｂ０，１，ｓ＊ ０）を計算する。
　ペアリング演算ｅ（ｂ０，１，ｓ＊ ０）を計算した結果が値１であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力して、処理を終了する。一方、ペアリング演算ｅ（ｂ０，１，ｓ＊ ０）を計算した結果が値１でなければ、ペアリング演算部３４０は、処理をＳ４１０へ進める。
　（Ｓ４１０：第２ペアリング演算ステップ）
　ペアリング演算部３４０は、処理装置により、数１５８に示すペアリング演算を計算する。
Figure JPOXMLDOC01-appb-M000089
 　数１５８に示すペアリング演算を計算した結果が値１であれば、ペアリング演算部３４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力する。
　なお、数１５９に示すように、数１５８を計算することにより、署名データσが正当なものであれば、値１が得られる。
Figure JPOXMLDOC01-appb-M000090
　つまり、（Ｓ４０１）から（Ｓ４１０）において、検証装置３００は、数１６０に示すＶｅｒアルゴリズムを実行して、署名データσを検証する。
Figure JPOXMLDOC01-appb-M000091
　以上のように、実施の形態１に係る署名処理システム１０は、スパンプログラムと内積述語と秘密分散とを用いて構成したアクセスストラクチャＳを用いて、属性ベース署名方式を実現する。特に、実施の形態１に係る署名処理システム１０は、ノンモノトーンスパンプログラムを用いるため、ノンモノトーン述語を伴う属性ベース署名方式を実現する。
　実施の形態１に係る署名処理システム１０が実現する属性ベース署名方式は、安全性が高く、プライバシー要件を満たしている。なお、安全性が高いとは、署名を他人に偽造される可能性が低いということである。
　なお、（Ｓ４０９）でペアリング演算ｅ（ｂ０，１，ｓ＊ ０）を行うのは、署名データσが、秘密である（マスター鍵ｓｋである）基底ベクトルｂ＊ ０，１を用いることなく生成された署名データでないことを確認するためである。
　ペアリング演算ｅ（ｂ０，１，ｓ＊ ０）は、署名要素ｓ＊ ０に基底ベクトルｂ＊ ０，１が含まれているか、つまり基底ベクトルｂ＊ ０，１の係数として０以外の値が設定されているかを確認する演算である。ペアリング演算ｅ（ｂ０，１，ｓ＊ ０）＝１であれば、署名要素ｓ＊ ０では基底ベクトルｂ＊ ０，１の係数として０が設定されており、署名データσは、基底ベクトルｂ＊ ０，１を用いることなく生成された署名データであるということになる。したがって、この場合、署名データσは不正なものであると認められる。
　なお、上記説明において、ｕｔ、ｗｔ、ｚｔ（ｔ＝０，．．．，ｄ＋１）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕｔ、ｗｔ、ｚｔ（ｔ＝０，．．．，ｄ＋１）をそれぞれ０として、ｕｔ、ｗｔ、ｚｔ（ｔ＝０，．．．，ｄ＋１）の次元を設けなくてもよい。
　また、上記説明では、（Ｓ１０１）でＮｔにｎｔ＋ｕｔ＋ｗｔ＋ｚｔを設定した。しかし、ｎｔ＋ｕｔ＋ｗｔ＋ｚｔをｎｔ＋ｎｔ＋ｎｔ＋１として、Ｎｔに３ｎｔ＋１を設定してもよい。ここで、ｎ０は１であり、ｎｔ（ｔ＝１，．．．，ｄ＋１）は２である。
　この場合、数１３５に示すＳｅｔｕｐアルゴリズムは、数１６１のように書き換えられる。なお、Ｇｏｂは数１６２のように書き換えられる。
Figure JPOXMLDOC01-appb-M000092
Figure JPOXMLDOC01-appb-M000093
 　また、数１４０に示すＫｅｙＧｅｎアルゴリズムは、数１６３のように書き換えられる。
Figure JPOXMLDOC01-appb-M000094
 　また、数１５０に示すＳｉｇアルゴリズムは、数１６４のように書き換えられる。
Figure JPOXMLDOC01-appb-M000095
 　また、数１５９に示すＶｅｒアルゴリズムは、数１６５のように書き換えられる。
Figure JPOXMLDOC01-appb-M000096
　また、Ｓｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時に一度実行すればよく、署名鍵を生成する度に実行する必要はない。また、上記説明では、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。
　実施の形態２．
　この実施の形態では、「分散多管理者属性ベース署名方式」について説明する。
　第１に、「分散多管理者（Ｄｅｃｅｎｔｒａｌｉｚｅｄ　Ｍｕｌｔｉ－Ａｕｔｈｏｒｉｔｙ）」という概念について説明する。
　第２に、この実施の形態に係る「分散多管理者属性ベース署名方式」を説明する。まず、「分散多管理者属性ベース署名方式」の基本構成について説明する。次に、「分散多管理者属性ベース署名方式」を実現する「署名処理システム１０」の基本構成について説明する。そして、この実施の形態に係る「分散多管理者属性ベース署名方式」及び「署名処理システム１０」について詳細に説明する。
　＜第１．分散多管理者という概念＞
　まず、「多管理者」について説明する。多管理者とは、署名鍵を生成する管理者が複数存在するという意味である。
　一般的な署名処理システムでは、システム全体のセキュリティはある１つの機関（管理者）に依存している。例えば、実施の形態１で説明した署名処理システム１０であれば、システム全体のセキュリティは、マスター鍵ｓｋを生成する鍵生成装置１００に依存している。鍵生成装置１００のセキュリティが破られたり、マスター鍵ｓｋが漏洩した場合、署名処理システム１０は全体が機能しなくなる。
　しかし、多管理者とすることで、一部の管理者のセキュリティが破られたり、一部の管理者の秘密鍵（マスター鍵）が漏洩した場合であっても、署名処理システムの一部だけが機能しなくなるだけであり、他の部分については正常に機能する状態とすることができる。
　図１３は、多管理者の説明図である。
　図１３では、役所が、住所、電話番号、年齢等の属性について管理する。また、警察が、運転免許の種別等の属性について管理する。また、会社Ａが、会社Ａにおける役職、会社Ａにおける所属等の属性について管理する。そして、役所が管理する属性を示すための署名鍵１は役所が発行し、警察が管理する属性を示すための署名鍵２は警察が発行し、会社Ａが管理する属性を示すための署名鍵３は会社Ａが発行する。
　署名をする署名者は、役所、警察、会社Ａ等の各管理者が発行した署名鍵１，２，３を合わせた署名鍵用い、署名データを生成する。つまり、署名者から見た場合、各管理者から発行された署名鍵を合わせたものが、自分に発行された１つの署名鍵となる。
　例えば、会社Ａのマスター鍵が漏洩した場合、署名処理システムは、会社Ａの属性に関しては機能しなくなるが、他の管理者が管理する属性に関しては機能する。つまり、署名データの検証ができた場合、会社Ａが管理する属性については信頼できないが、他の属性については信頼することができる。
　また、図１３の例からも分かるように、属性ベース署名では、複数の管理者が存在し、各管理者が属性におけるあるカテゴリー（部分空間）又は定義域を管理し、そのカテゴリーにおけるユーザの属性についての署名鍵（の一片）を発行することが自然である。
　次に、「分散（Ｄｅｃｅｎｔｒａｌｉｚｅｄ）」について説明する。分散とは、どの機関も管理者となることができ、他の機関とやりとりすることなく、署名鍵（の一片）を発行することができ、各ユーザが他の機関とやりとりすることなく、管理者から署名鍵（の一片）を取得できることである。
　例えば、中央管理者がいる場合、分散とは言えない。中央管理者とは、他の管理者よりも上位の管理者である。中央管理者のセキュリティが破られた場合、全ての管理者のセキュリティが破られてしまう。
　＜第２．分散多管理者属性ベース署名方式の構成＞
　＜第２－１．分散多管理者属性ベース署名方式の基本構成＞
　分散多管理者属性ベース署名方式は、ＧＳｅｔｕｐ、ＡＳｅｔｕｐ、ＡｔｔｒＧｅｎ、Ｓｉｇ、Ｖｅｒの４つのアルゴリズムを備える。
　（ＧＳｅｔｕｐ）
　ＧＳｅｔｕｐアルゴリズムは、セキュリティパラメータλが入力され、公開パラメータｇｐａｒａｍを出力する確率的アルゴリズムである。
　（ＡＳｅｔｕｐ）
　ＡＳｅｔｕｐアルゴリズムは、公開パラメータｇｐａｒａｍと、管理者の識別情報ｔとを入力として、管理者秘密鍵ａｓｋｔと、管理者公開パラメータａｐｋｔとを出力する確率的アルゴリズムである。
　（ＡｔｔｒＧｅｎ）
　ＡｔｔｒＧｅｎアルゴリズムは、公開パラメータｇｐａｒａｍと、管理者の識別情報ｔと、管理者秘密鍵ａｓｋｔと、ユーザの識別情報ｇｉｄと、属性ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）∈Ｆｑとを入力として、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を出力する確率的アルゴリズムである。
　（Ｓｉｇ）
　Ｓｉｇアルゴリズムは、公開パラメータｇｐａｒａｍと、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力として、署名ｓ→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを出力する確率的アルゴリズムである。
　（Ｖｅｒ）
　Ｖｅｒアルゴリズムは、署名データσと、公開パラメータｇｐａｒａｍと、管理者公開パラメータａｐｋｔとを入力として、ブール値１（受理）又は０（拒絶）を出力するアルゴリズムである。
　＜第２－２．署名処理システム１０＞
　上述した分散多管理者属性ベース署名方式のアルゴリズムを実行する署名処理システム１０について説明する。
　図１４は、分散多管理者属性ベース署名方式のアルゴリズムを実行する署名処理システム１０の構成図である。
　署名処理システム１０は、複数の鍵生成装置１００、署名装置２００、検証装置３００を備える。
　いずれか（１つ）の鍵生成装置１００は、セキュリティパラメータλを入力としてＧＳｅｔｕｐアルゴリズムを実行して、公開パラメータｇｐａｒａｍを生成する。そして、その鍵生成装置１００は、生成した公開パラメータｇｐａｒａｍを公開する。
　各鍵生成装置１００は、公開パラメータｇｐａｒａｍと、その鍵生成装置１００に割り当てられた識別情報ｔとを入力としてＡＳｅｔｕｐアルゴリズムを実行して、管理者秘密鍵ａｓｋｔと、管理者公開パラメータａｐｋｔとを生成する。そして、各鍵生成装置１００は、公開パラメータｇｐａｒａｍと、その鍵生成装置１００に割り当てられた識別情報ｔと、管理者秘密鍵ａｓｋｔと、ユーザの識別情報ｇｉｄと、属性ｘｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）∈Ｆｑとを入力としてＡｔｔｒＧｅｎアルゴリズムを実行して、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を生成して署名装置２００へ秘密裡に配布する。
　署名装置２００は、公開パラメータｇｐａｒａｍと、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）とを入力としてＳｉｇアルゴリズムを実行して、署名ｓ→＊とメッセージｍとアクセスストラクチャＳとを含む署名データσを生成する。署名装置２００は、生成した署名データσを検証装置３００へ送信する。
　検証装置３００は、署名データσと、公開パラメータｇｐａｒａｍと、管理者公開パラメータａｐｋｔとを入力としてＶｅｒアルゴリズムを実行して、ブール値１（受理）又は０（拒絶）を出力する。
　＜第２－３．分散多管理者属性ベース署名方式及び署名処理システム１０の詳細＞
　図１５から図２２に基づき、分散多管理者属性ベース署名方式、及び、分散多管理者属性ベース署名方式を実行する署名処理システム１０の機能と動作とについて説明する。
　図１５は、各鍵生成装置１００の機能を示す機能ブロック図である。図１６は、署名装置２００の機能を示す機能ブロック図である。図１７は、検証装置３００の機能を示す機能ブロック図である。
　図１８から図２０は、鍵生成装置１００の動作を示すフローチャートである。なお、図１８はＧＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図１９はＡＳｅｔｕｐアルゴリズムの処理を示すフローチャートであり、図２０はＡｔｔｒＧｅｎアルゴリズムの処理を示すフローチャートである。図２１は、署名装置２００の動作を示すフローチャートであり、Ｓｉｇアルゴリズムの処理を示すフローチャートである。図２２は、検証装置３００の動作を示すフローチャートであり、Ｖｅｒアルゴリズムの処理を示すフローチャートである。
　鍵生成装置１００の機能と動作とについて説明する。
　図１５に示すように、鍵生成装置１００は、マスター鍵生成部１１０、マスター鍵記憶部１２０、情報入力部１３０（第１情報入力部）、署名鍵生成部１４０、鍵配布部１５０（署名鍵送信部）を備える。
　また、マスター鍵生成部１１０は、グローバルパラメータ生成部１１１、管理者秘密鍵生成部１１２を備える。署名鍵生成部１４０は、乱数生成部１４１、鍵要素生成部１４５を備える。
　まず、図１８に基づき、鍵生成装置１００が実行するＧＳｅｔｕｐアルゴリズムの処理について説明する。なお、上述したように、ＧＳｅｔｕｐアルゴリズムは、複数の鍵生成装置１００のうち１つの鍵生成装置１００が実行すればよい。
　（Ｓ５０１：セキュリティパラメータ入力ステップ）
　グローバルパラメータ生成部１１１は、入力装置により、セキュリティパラメータλ（１λ）を入力する。
　（Ｓ５０２：双線形ペアリング群生成ステップ）
　グローバルパラメータ生成部１１１は、処理装置により、Ｓ５０１で入力したセキュリティパラメータλ（１λ）を入力としてアルゴリズムＧｂｐｇを実行して、ランダムに双線形ペアリング群のパラメータｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値を生成する。
　（Ｓ５０３：パラメータ生成ステップ）
　ハッシュ関数Ｈ１とＨ２とを、数１６６に示すハッシュ関数とする。
Figure JPOXMLDOC01-appb-M000097
 　グローバルパラメータ生成部１１１は、処理装置により、数１６７に示すグローバルパラメータｇｐａｒａｍの要素Ｇ０，Ｇ１，Ｇ２，Ｇ３，Ｇ４を生成する。
Figure JPOXMLDOC01-appb-M000098
 　また、グローバルパラメータ生成部１１１は、ｇｔ：＝ｅ（Ｇ０，Ｇ１）、ｇ４：＝ｅ（Ｇ０，Ｇ４）とする。
　（Ｓ５０４：パラメータ記憶ステップ）
　マスター鍵記憶部１２０は、（Ｓ５０２）で生成したｐａｒａｍＧと、（Ｓ５０３）でグローバルパラメータ生成部１１１が設定したハッシュ関数Ｈ１，Ｈ２と、生成した要素Ｇ０，Ｇ１，Ｇ２，Ｇ３，Ｇ４と、設定した値ｇｔ，ｇ４とを、グローバルパラメータｇｐａｒａｍとして記憶装置に記憶する。
　つまり、（Ｓ５０１）から（Ｓ５０３）において、鍵生成装置１００は数１６８に示すＧＳｅｔｕｐアルゴリズムを実行して、グローバルパラメータｇｐａｒａｍを生成する。そして、（Ｓ５０４）で、鍵生成装置１００は生成されたグローバルパラメータｇｐａｒａｍを記憶装置に記憶する。
　なお、グローバルパラメータｇｐａｒａｍは、例えば、ネットワークを介して公開され、他の鍵生成装置１００や署名装置２００や検証装置３００が取得可能な状態にされる。
Figure JPOXMLDOC01-appb-M000099
　次に、図１９に基づき、鍵生成装置１００が実行するＡＳｅｔｕｐアルゴリズムの処理について説明する。なお、上述したように、ＡＳｅｔｕｐアルゴリズムは、複数の鍵生成装置１００全てが実行してもよいし、複数の鍵生成装置１００のうち一部の鍵生成装置１００だけが実行してもよい。
　（Ｓ６０１：情報入力ステップ）
　情報入力部１３０は、入力装置により、自己（その鍵生成装置１００）に割り当てられた識別情報ｔを入力する。なお、各鍵生成装置１００には、それぞれ異なる識別情報ｔが割り当てられている。
　また、情報入力部１３０は、例えば、通信装置によりネットワークを介して、グローバルパラメータｇｐａｒａｍを取得する。なお、自己がグローバルパラメータｇｐａｒａｍを生成した鍵生成装置１００である場合には、グローバルパラメータｇｐａｒａｍをマスター鍵記憶部１２０から読み出せばよい。
　（Ｓ６０２：空間生成ステップ）
　管理者秘密鍵生成部１１２は、処理装置により、セキュリティパラメータλ（１λ）と、Ｎｔ＝２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔと、ｐａｒａｍＧ：＝（ｑ，Ｇ，ＧＴ，ｇ，ｅ）の値とを入力としてアルゴリズムＧｄｐｖｓを実行して、双対ペアリングベクトル空間のパラメータｐａｒａｍＶｔ：＝（ｑ，Ｖｔ，ＧＴ，Ａｔ，ｅ）の値を生成する。
　なお、ｎｔ，ｕｔ，ｗｔ，ｚｔは、１以上の整数である。
　（Ｓ６０３：基底Ｕ生成ステップ）
　管理者秘密鍵生成部１１２は、処理装置により、ｌ＝１，．．．，４の各整数ｌについて、基底Ｕｌを数１６９に示すように生成する。
Figure JPOXMLDOC01-appb-M000100
　（Ｓ６０４：線形変換生成ステップ）
　管理者秘密鍵生成部１１２は、処理装置により、ｎｔ＋ｕｔ＋ｗｔ＋ｚｔと、Ｆｑとを入力として、線形変換Ｘｔ：＝（χｔ，ｉ，ｊ）ｉ，ｊを数１７０に示すようにランダムに生成する。
Figure JPOXMLDOC01-appb-M000101
　（Ｓ６０５：基底Ｂ生成ステップ）
　管理者秘密鍵生成部１１２は、処理装置により、基底Ｂｔ及び基底Ｂ＊ ｔを数１７１に示すように生成する。
Figure JPOXMLDOC01-appb-M000102
 　また、管理者秘密鍵生成部１１２は、π，π’，μ∈Ｆｑを、Ｇ２＝πＧ１，Ｇ３＝π’Ｇ１，Ｇ３＝μＧ１となる値とする。すると、数１７２となる。
Figure JPOXMLDOC01-appb-M000103
　（Ｓ６０６：基底Ｂ＾生成ステップ）
　管理者秘密鍵生成部１１２は、処理装置により、基底Ｂｔの部分基底Ｂ＾ｔと、基底Ｂ＊の部分基底Ｂ＾＊ ｔとを数１７３に示すように生成する。
Figure JPOXMLDOC01-appb-M000104
　（Ｓ６０７：マスター鍵記憶ステップ）
　マスター鍵記憶部１２０は、（Ｓ６０２）で生成したパラメータｐａｒａｍＶｔと、（Ｓ６０６）で生成した部分基底Ｂ＾ｔ及び部分基底Ｂ＾＊ ｔとを管理者公開パラメータａｐｋｔとして記憶装置に記憶する。また、マスター鍵記憶部１２０は、（Ｓ６０４）で生成した線形変換Ｘｔを管理者秘密鍵ａｓｋｔとして記憶装置に記憶する。
　つまり、（Ｓ６０１）から（Ｓ６０６）において、鍵生成装置１００は数１７４に示すＡＳｅｔｕｐアルゴリズムを実行して、管理者公開パラメータａｐｋｔと管理者秘密鍵ａｓｋｔとを生成する。そして、（Ｓ６０７）で、鍵生成装置１００は生成された管理者公開パラメータａｐｋｔと管理者秘密鍵ａｓｋｔとを記憶装置に記憶する。
　なお、管理者公開パラメータａｐｋｔは、例えば、ネットワークを介して公開され、署名装置２００や検証装置３００が取得可能な状態にされる。
Figure JPOXMLDOC01-appb-M000105
　次に、図２０に基づき、鍵生成装置１００が実行するＡｔｔｒＧｅｎアルゴリズムの処理について説明する。なお、上述したように、ＡｔｔｒＧｅｎアルゴリズムは、複数の鍵生成装置１００のうち、ＡＳｅｔｕｐアルゴリズムを実行した鍵生成装置１００が実行する。
　（Ｓ７０１：情報入力ステップ）
　情報入力部１３０は、入力装置により、自己（その鍵生成装置１００）に割り当てられた識別情報ｔと、署名鍵を発行するユーザの識別情報ｇｉｄと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）とを入力する。
　また、情報入力部１３０は、例えば、通信装置によりネットワークを介して、グローバルパラメータｇｐａｒａｍを取得する。なお、自己がグローバルパラメータｇｐａｒａｍを生成した鍵生成装置１００である場合には、グローバルパラメータｇｐａｒａｍをマスター鍵記憶部１２０から読み出せばよい。
　また、情報入力部１３０は、マスター鍵記憶部１２０から管理者秘密鍵ａｓｋｔを読み出す。
　（Ｓ７０２：乱数生成ステップ）
　乱数生成部１４１は、処理装置により、識別情報ｔとｊ＝１，２の各整数ｊとについて、乱数φ→ ｔ，ｊを数１７５に示すように生成する。
Figure JPOXMLDOC01-appb-M000106
　（Ｓ７０３：鍵要素生成ステップ）
　数１７６であるとする。
Figure JPOXMLDOC01-appb-M000107
 　鍵要素生成部１４５は、処理装置により、識別情報ｔとｊ＝１，２の各整数ｊとについて、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）の要素である鍵要素ｋ＊ ｔ，ｊを数１７７に示すように生成する。
Figure JPOXMLDOC01-appb-M000108
 　なお、上述したように、数１１３に示す基底Ｂと基底Ｂ＊とに対して、数１１４である。したがって、数１７７は、以下のように、基底Ｂ＊ ｔの基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂ＊ ｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂ＊ ｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂ＊ ｔ，１，．．．，ｂ＊ ｔ，３を意味する。
　基底ベクトル１，．．．，ｎｔの係数として（δｊ＋１）ｘｔ，１，．．．，（δｊ＋１）ｘｔ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ｔクトルｎｔ＋１，．．．，２ｎｔの係数として－δｊｘｔ，１，．．．，－δｊｘｔ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトル２ｎｔ＋１，．．．，２ｎｔ＋２＋ｕｔの係数として０が設定される。基底ベクトル２ｎｔ＋２＋ｕｔ＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔの係数として乱数φｔ，ｊ、１，．．．，φｔ，ｊ，ｗｔ（ここで、ｗｔはｗｔのことである）が設定される。基底ベクトル２ｎｔ＋２＋ｕｔ＋ｗｔ＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔの係数として０が設定される。
　（Ｓ７０４：鍵配布ステップ）
　鍵配布部１５０は、ユーザの識別情報ｇｉｄと、識別情報ｔ及び属性情報ｘ→ ｔと、鍵要素ｋ＊ ｔ，ｊとを要素とする署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を、例えば通信装置によりネットワークを介して秘密裡に署名装置２００へ配布する。もちろん、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）は、他の方法により署名装置２００へ配布されてもよい。
　つまり、（Ｓ７０１）から（Ｓ７０３）において、鍵生成装置１００は数１７８に示すＡｔｔｒＧｅｎアルゴリズムを実行して、署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を生成する。そして、（Ｓ７０４）で、鍵生成装置１００は生成された署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を署名装置２００へ配布する。
Figure JPOXMLDOC01-appb-M000109
　署名装置２００の機能と動作とについて説明する。
　図１６に示すように、署名装置２００は、署名鍵取得部２１０、情報入力部２２０（第２情報入力部）、スパンプログラム計算部２３０、補完係数計算部２４０、署名データ生成部２５０、署名データ送信部２６０（署名データ出力部）を備える。
　また、情報入力部２２０は、述語情報入力部２２１、メッセージ入力部２２２を備える。また、署名データ生成部２５０は、乱数生成部２５１、署名要素生成部２５５を備える。
　図２１に基づき、署名装置２００が実行するＳｉｇアルゴリズムの処理について説明する。
　（Ｓ８０１：署名鍵取得ステップ）
　署名鍵取得部２１０は、例えば、通信装置によりネットワークを介して、各鍵生成装置１００が生成した署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）を取得する。また、署名鍵取得部２１０は、鍵生成装置１００が生成したグローバルパラメータｇｐａｒａｍを取得する。
　（Ｓ８０２：情報入力ステップ）
　述語情報入力部２２１は、入力装置により、アクセスストラクチャＳ：＝（Ｍ，ρ）を入力する。なお、行列Ｍは、Ｌ行×ｒ列の行列である。Ｌ，ｒは、１以上の整数である。
　また、メッセージ入力部２２２は、入力装置により、署名を付すメッセージｍを入力する。
　なお、アクセスストラクチャＳの行列Ｍの設定については、実現したいシステムの条件に応じて設定されるものである。
　（Ｓ８０３：スパンプログラム計算ステップ）
　スパンプログラム計算部２３０は、処理装置により、（Ｓ８０２）で入力したアクセスストラクチャＳが、（Ｓ８０１）で取得した署名鍵ｕｓｋｇｉｄ，（ｔ，ｘｔ）に含まれる属性情報ｘ→ ｔの集合Γを受理するか否かを判定する。
　なお、アクセスストラクチャが属性の集合を受理するか否かの判定方法は、実施の形態１における「第３．関数型暗号を実現するための概念」で説明した通りである。
　スパンプログラム計算部２３０は、アクセスストラクチャＳが属性の集合Γを受理する場合（Ｓ８０３で受理）、処理を（Ｓ８０４）へ進める。一方、アクセスストラクチャＳが属性情報ｘ→ ｔの集合Γを拒絶する場合（Ｓ８０３で拒絶）、処理を終了する。
　（Ｓ８０４：補完係数計算ステップ）
　補完係数計算部４３０は、処理装置により、数１７９となるＩと、Ｉに含まれる各整数ｉについて定数（補完係数）αｉとを計算する。
Figure JPOXMLDOC01-appb-M000110
 　なお、Ｍｉとは、行列Ｍのｉ行目のことである。
　（Ｓ８０５：乱数生成ステップ）
　乱数生成部２５１は、処理装置により、乱数ξ１，ξ２と、乱数βｉ，βｉ’（ｉ＝１，．．．，Ｌ）とを数１８０に示すように生成する。
Figure JPOXMLDOC01-appb-M000111
　（Ｓ８０６：署名要素生成ステップ）
　署名要素生成部２５５は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、署名データσの要素である署名要素ｓ＊ ｉを数１８１に示すように生成する。
Figure JPOXMLDOC01-appb-M000112
 　ここで、ｒ＊ ｉは、数１８２（数１１０から数１１２及びこれらの数式の説明を参照）である。
Figure JPOXMLDOC01-appb-M000113
 　また、γｉとｙ→ ｉ：＝（ｙｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）とｙ’→ ｉ：＝（ｙ’ｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）とは、数１８３である。
Figure JPOXMLDOC01-appb-M000114
　（Ｓ８０７：データ送信ステップ）
　署名データ送信部２６０は、署名要素ｓ＊ ｉ（ｉ＝１，．．．，Ｌ）と、メッセージｍと、アクセスストラクチャＳ：＝（Ｍ，ρ）と、ｇ０：＝ｇ４ ξ２（ここで、ξ２はξ２である）とを含む署名データσを、例えば通信装置によりネットワークを介して検証装置３００へ送信する。もちろん、署名データσは、他の方法により検証装置３００へ送信されてもよい。
　つまり、（Ｓ８０１）から（Ｓ８０６）において、署名装置２００は数１８４に示すＳｉｇアルゴリズムを実行して、署名データσを生成する。そして、（Ｓ８０７）で、署名装置２００は生成された署名データσを検証装置３００へ配布する。
Figure JPOXMLDOC01-appb-M000115
　検証装置３００の機能と動作とについて説明する。
　図１７に示すように、検証装置３００は、公開パラメータ取得部３１０、データ受信部３２０（データ取得部）、検証鍵生成部３３０、ペアリング演算部３４０を備える。
　また、検証鍵生成部３３０は、乱数生成部３３１、ｆベクトル生成部３３２、ｓベクトル生成部３３３、検証要素生成部３３７を備える。
　図２２に基づき、検証装置３００が実行するＶｅｒアルゴリズムの処理について説明する。
　（Ｓ９０１：公開パラメータ取得ステップ）
　公開パラメータ取得部３１０は、例えば、通信装置によりネットワークを介して、各鍵生成装置１００が生成したグローバルパラメータｇｐａｒａｍと、管理者公開パラメータａｐｋｔとを取得する。
　（Ｓ９０２：署名データ受信ステップ）
　データ受信部３２０は、例えば、通信装置によりネットワークを介して、署名装置２００が送信した署名データσを受信する。
　（Ｓ９０３：ｆベクトル生成ステップ）
　ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ→を数１８５に示すようにランダムに生成する。
Figure JPOXMLDOC01-appb-M000116
　（Ｓ９０４：ｓベクトル生成ステップ）
　ｓベクトル生成部３３３は、処理装置により、（Ｓ９０２）で受信した署名データσに含まれるアクセスストラクチャＳの（Ｌ行×ｒ列）の行列Ｍと、（Ｓ９０３）で生成したｒ個の要素を有するベクトルｆ→とに基づき、ベクトルｓ→Ｔを数１８６に示すように生成する。
Figure JPOXMLDOC01-appb-M000117
 　また、ｓベクトル生成部３３３は、処理装置により、（Ｓ９０３）で生成したベクトルｆ→に基づき、値ｓ０を数１８７に示すように生成する。なお、１→は、全ての要素が値１のベクトルである。
Figure JPOXMLDOC01-appb-M000118
　（Ｓ９０５：ｆ’ベクトル生成ステップ）
　ｆベクトル生成部３３２は、処理装置により、ｒ個の要素を有するベクトルｆ→’を数１８８に示すようにランダムに生成する。
Figure JPOXMLDOC01-appb-M000119
　（Ｓ９０６：ｓ’ベクトル生成ステップ）
　ｓベクトル生成部３３３は、処理装置により、（Ｌ行×ｒ列）の行列Ｍと、ｒ個の要素を有するベクトルｆ→’とに基づき、ベクトル（ｓ→’）Ｔを数１８９に示すように生成する。
Figure JPOXMLDOC01-appb-M000120
　（Ｓ９０７：乱数生成ステップ）
　乱数生成部３３１は、処理装置により、乱数σ→と値σ０とを数１９０に示すように生成する。
Figure JPOXMLDOC01-appb-M000121
　（Ｓ９０８：検証要素生成ステップ）
　検証要素生成部３３７は、処理装置により、ｉ＝１，．．．，Ｌの各整数ｉについて、検証鍵の要素である検証要素ｃｉを数１９１に示すように生成する。
Figure JPOXMLDOC01-appb-M000122
 　なお、上述したように、数１１３に示す基底Ｂと基底Ｂ＊とに対して、数１１４である。したがって、数１９１は、以下のように、基底Ｂｔの基底ベクトルの係数が設定されることを意味する。ここでは、表記を簡略化して、基底ベクトルｂｔ，ｉのうち、ｉの部分のみで基底ベクトルを特定する。例えば、基底ベクトル１であれば、基底ベクトルｂｔ，１を意味する。また、基底ベクトル１，．．．，３であれば、基底ベクトルｂｔ，１，．．．，ｂｔ，３を意味する。
　ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、基底ベクトル１の係数としてｓｉ＋θｉｖｉ，１が設定される。基底ベクトル２，．．．，ｎｔの係数としてθｉｖｉ，２，．．．，θｉｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトルｎｔ＋１の係数としてｓｉ’＋θｉ’ｖｉ，１が設定される。基底ベクトルｎｔ＋２，．．．，２ｎｔの係数としてθｉ’ｖｉ，２，．．．，θｉ’ｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトル２ｎｔ＋１の係数としてσｉ－θｉ’’Ｈ２（ｍ，Ｓ）が設定される。なお、Ｈ２（ｍ，Ｓ）とは、ハッシュ関数Ｈ２の入力として、メッセージｍとアクセスストラクチャＳとが与えられることを意味する。例えば、Ｈ２（ｍ｜｜Ｓ）としてもよい。基底ベクトル２ｎｔ＋２の係数としてθｉ’’が設定される。基底ベクトル２ｎｔ＋２＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔの係数として０が設定される。基底ベクトル２ｎｔ＋２＋ｕｔ＋ｗｔ＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔの係数としてηｉ，１，．．．，ηｉ，ｚｔ（ここで、ｚｔはｚｔのことである）が設定される。
　一方、ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、基底ベクトル１，．．．，ｎｔの係数としてｓｉｖｉ，１，．．．，ｓｉｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトルｎｔ＋１，．．．，２ｎｔの係数としてｓｉ’ｖｉ，１，．．．，ｓｉ’ｖｉ，ｎｔ（ここで、ｎｔはｎｔのことである）が設定される。基底ベクトル２ｎｔ＋１の係数としてσｉ－θｉ’’Ｈ２（ｍ，Ｓ）が設定される。基底ベクトル２ｎｔ＋２の係数としてθｉ’’が設定される。基底ベクトル２ｎｔ＋２＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔの係数として０が設定される。基底ベクトル２ｎｔ＋２＋ｕｔ＋ｗｔ＋１，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔの係数としてηｉ，１，．．．，ηｉ，ｚｔ（ここで、ｚｔはｚｔのことである）が設定される。
　（Ｓ９０９：ペアリング演算ステップ）
　ペアリング演算部３４０は、処理装置により、数１９２に示すペアリング演算を計算する。
Figure JPOXMLDOC01-appb-M000123
 　数１９２に示すペアリング演算を計算した結果が値ｇＴ ｓ０ｇ０ σ０（ここでｓ０はｓ０であり、σ０はσ０である）であれば、ペアリング演算部３４０は、署名の検証に成功したことを示す値１を出力する。一方、その他の値であれば、ペアリング演算部３４０は、署名の検証に失敗したことを示す値０を出力する。
　なお、数１９３に示すように、数１９２を計算することにより、署名データσが正当なものであれば、値１が得られる。
Figure JPOXMLDOC01-appb-M000124
　つまり、（Ｓ９０１）から（Ｓ９０９）において、検証装置３００は、数１９４に示すＶｅｒアルゴリズムを実行して、署名データσを検証する。
Figure JPOXMLDOC01-appb-M000125
　以上のように、実施の形態２に係る署名処理システム１０は、複数の鍵生成装置１００が署名鍵を生成する多管理者属性ベース署名方式を実現する。特に、署名処理システム１０が実現する署名方式は、中央管理者がいない分散多管理者属性ベース署名方式である。
　なお、実施の形態２に係る署名処理システム１０は、実施の形態１に係る署名処理システム１０と同様に、ノンモノトーン述語を伴う属性ベース署名方式を実現する。
　実施の形態２に係る署名処理システム１０が実現する属性ベース署名方式は、安全性が高く、プライバシー要件を満たしている。
　なお、上記説明において、ｕｔ、ｗｔ、ｚｔ（ｔ＝１，．．．，ｄ）の次元は、安全性を高めるために設けた次元である。したがって、安全性が低くなってしまうが、ｕｔ、ｗｔ、ｚｔ（ｔ＝１，．．．，ｄ）をそれぞれ０として、ｕｔ、ｗｔ、ｚｔ（ｔ＝１，．．．，ｄ）の次元を設けなくてもよい。
　また、上記説明では、基底Ｂｔ及び基底Ｂ＊ ｔの次元数を２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔに設定した。しかし、２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔを２＋２＋２＋６＋４＋１として、基底Ｂｔ及び基底Ｂ＊ ｔの次元数を１７としてもよい。
　この場合、数１６８に示すＧＳｅｔｕｐアルゴリズムは、数１９５のように書き換えられる。
Figure JPOXMLDOC01-appb-M000126
 　また、数１７４に示すＡＳｅｔｕｐアルゴリズムは、数１９６のように書き換えられる。
Figure JPOXMLDOC01-appb-M000127
 　また、数１７８に示すＡｔｔｒＧｅｎアルゴリズムは、数１９７のように書き換えられる。
Figure JPOXMLDOC01-appb-M000128
 　また、数１８４に示すＳｉｇアルゴリズムは、数１９８のように書き換えられる。
Figure JPOXMLDOC01-appb-M000129
 　また、数１９４に示すＶｅｒアルゴリズムは、数１９９のように書き換えられる。
Figure JPOXMLDOC01-appb-M000130
　また、ＧＳｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時にいずれかの鍵生成装置１００が一度実行すればよく、署名鍵を生成する度に実行する必要はない。同様に、ＡＳｅｔｕｐアルゴリズムは、署名処理システム１０のセットアップ時に各鍵生成装置１００が一度実行すればよく、署名鍵を生成する度に実行する必要はない。
　また、上記説明では、ＧＳｅｔｕｐアルゴリズムとＡＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとを鍵生成装置１００が実行するとしたが、ＧＳｅｔｕｐアルゴリズムとＡＳｅｔｕｐアルゴリズムとＫｅｙＧｅｎアルゴリズムとをそれぞれ異なる装置が実行するとしてもよい。
　実施の形態３．
　以上の実施の形態では、双対ベクトル空間において署名処理を実現する方法について説明した。この実施の形態では、双対加群において署名処理を実現する方法について説明する。
　つまり、以上の実施の形態では、素数位数ｑの巡回群において署名処理を実現した。しかし、合成数Ｍを用いて数２００のように環Ｒを表した場合、環Ｒを係数とする加群においても、上記実施の形態で説明した署名処理を適用することができる。
Figure JPOXMLDOC01-appb-M000131
　実施の形態１で説明した属性ベース署名方式を、環Ｒを係数とする加群において実現すると数２０１から数２０５のようになる。
Figure JPOXMLDOC01-appb-M000132
Figure JPOXMLDOC01-appb-M000133
Figure JPOXMLDOC01-appb-M000134
Figure JPOXMLDOC01-appb-M000135
Figure JPOXMLDOC01-appb-M000136
　実施の形態２で説明した分散多管理者属性ベース署名方式を、環Ｒを係数とする加群において実現すると数２０６から数２１０のようになる。
Figure JPOXMLDOC01-appb-M000137
Figure JPOXMLDOC01-appb-M000138
Figure JPOXMLDOC01-appb-M000139
Figure JPOXMLDOC01-appb-M000140
Figure JPOXMLDOC01-appb-M000141
　なお、安全性の証明の観点から、以上の実施の形態において、ｉ＝１，．．．，Ｌの各整数ｉについてのρ（ｉ）は、それぞれ異なる識別情報ｔについての肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）であると限定してもよい。
　言い替えると、ρ（ｉ）＝（ｔ，ｖ→ ｉ）又はρ（ｉ）＝￢（ｔ，ｖ→ ｉ）である場合に、関数ρ～を、ρ～（ｉ）＝ｔである｛１，．．．，Ｌ｝→｛１，．．，ｄ｝の写像であるとする。この場合、ρ～が単射であると限定してもよい。なお、ρ（ｉ）は、上述したアクセスストラクチャＳ：＝（Ｍ，ρ（ｉ））のρ（ｉ）である。
　また、上記説明では、スパンプログラムＭ＾は、入力列δによって行列Ｍ＾から得られる行列Ｍδの行を線形結合して１→が得られる場合に限り、入力列δを受理するとした。しかし、スパンプログラムＭ＾は、１→ではなく、他のベクトルｈ→が得られる場合に限り、入力列δを受理するとしてもよい。
　この場合、ＫｅｙＧｅｎアルゴリズムにおいて、ｓ０：＝１→・ｆ→Ｔではなく、ｓ０：＝ｈ→・ｆ→Ｔとすればよい。
　次に、実施の形態における署名処理システム１０（鍵生成装置１００、署名装置２００、検証装置３００）のハードウェア構成について説明する。
　図２３は、鍵生成装置１００、署名装置２００、検証装置３００のハードウェア構成の一例を示す図である。
　図２３に示すように、鍵生成装置１００、署名装置２００、検証装置３００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、ＬＣＤ９０１（Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙ）、キーボード９０２（Ｋ／Ｂ）、通信ボード９１５、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０（固定ディスク装置）の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。磁気ディスク装置９２０は、所定の固定ディスクインタフェースを介して接続される。
　ＲＯＭ９１３、磁気ディスク装置９２０は、不揮発性メモリの一例である。ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３とＲＡＭ９１４と磁気ディスク装置９２０とは、記憶装置（メモリ）の一例である。また、キーボード９０２、通信ボード９１５は、入力装置の一例である。また、通信ボード９１５は、通信装置の一例である。さらに、ＬＣＤ９０１は、表示装置の一例である。
　磁気ディスク装置９２０又はＲＯＭ９１３などには、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。
　プログラム群９２３には、上記の説明において「マスター鍵生成部１１０」、「マスター鍵記憶部１２０」、「情報入力部１３０」、「署名鍵生成部１４０」、「鍵配布部１５０」、「署名鍵取得部２１０」、「情報入力部２２０」、「スパンプログラム計算部２３０」、「補完係数計算部２４０」、「署名データ生成部２５０」、「署名データ送信部２６０」、「公開パラメータ取得部３１０」、「データ受信部３２０」、「検証鍵生成部３３０」、「ペアリング演算部３４０」等として説明した機能を実行するソフトウェアやプログラムやその他のプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
　ファイル群９２４には、上記の説明において「公開パラメータ」、「マスター鍵」、「署名データσ」、「署名鍵」、「アクセスストラクチャＳ」、「属性情報」、「属性の集合Γ」、「メッセージｍ」等の情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶される。「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵ９１１の動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵ９１１の動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
　また、上記の説明におけるフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、その他光ディスク等の記録媒体やＩＣチップに記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体や電波によりオンライン伝送される。
　また、上記の説明において「～部」として説明するものは、「～回路」、「～装置」、「～機器」、「～手段」、「～機能」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。また、「～装置」として説明するものは、「～回路」、「～機器」、「～手段」、「～機能」であってもよく、また、「～ステップ」、「～手順」、「～処理」であってもよい。さらに、「～処理」として説明するものは「～ステップ」であっても構わない。すなわち、「～部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、ＲＯＭ９１３等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、上記で述べた「～部」としてコンピュータ等を機能させるものである。あるいは、上記で述べた「～部」の手順や方法をコンピュータ等に実行させるものである。
　１０　署名処理システム、１００　鍵生成装置、１１０　マスター鍵生成部、１１１　グローバルパラメータ生成部、１１２　管理者秘密鍵生成部、１２０　マスター鍵記憶部、１３０　情報入力部、１４０　署名鍵生成部、１４１　乱数生成部、１４２　鍵要素０生成部、１４３　鍵要素ｔ生成部、１４４　鍵要素ｄ＋１生成部、１４５　鍵要素生成部、１５０　鍵配布部、２００　署名装置、２１０　署名鍵取得部、２２０　情報入力部、２２１　述語情報入力部、２２２　メッセージ入力部、２３０　スパンプログラム計算部、２４０　補完係数計算部、２５０　署名データ生成部、２５１　乱数生成部、２５２　署名要素０生成部、２５３　署名要素ｉ生成部、２５４　署名要素Ｌ＋１生成部、２５５　署名要素生成部、２６０　署名データ送信部、３００　検証装置、３１０　公開パラメータ取得部、３２０　データ受信部、３３０　検証鍵生成部、３３１　乱数生成部、３３２　ｆベクトル生成部、３３３　ｓベクトル生成部、３３４　検証要素０生成部、３３５　検証要素ｉ生成部、３３６　検証要素Ｌ＋１生成部、３３７　検証要素生成部、３４０　ペアリング演算部。

Claims (16)

  1. 　鍵生成装置と署名装置と検証装置とを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムであり、
    　前記鍵生成装置は、
    　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力部と、
    　基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δを設定した鍵要素ｋ＊ ０を生成する鍵要素０生成部と、
    　前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ）の係数として属性情報ｘ→ ｔに前記所定の値δを乗じたδｘｔ，ｉ（ｉ＝１，．．．，ｎｔ）を設定した鍵要素ｋ＊ ｔを生成する鍵要素ｔ生成部と、
    　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，１と、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，２とを生成する鍵要素ｄ＋１生成部と、
    　前記鍵要素０生成部が生成した鍵要素ｋ＊ ０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ＊ ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２と、前記属性集合Γとを含む署名鍵ｓｋΓを前記署名装置へ送信する署名鍵送信部と
    を備え、
    　前記署名装置は、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
    　前記署名鍵送信部が送信した署名鍵ｓｋΓを取得する署名鍵取得部と、
    　前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋΓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算部と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ０を含む署名要素ｓ＊ ０を生成する署名要素０生成部と、
    　ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｔに前記値γｉを乗じたγｉｋ＊ ｔを含む署名要素ｓ＊ ｉを生成する署名要素ｉ生成部と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｄ＋１，１と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ＊ ｄ＋１，２に乗じたｍ’・ｋ＊ ｄ＋１，２との和を含む署名要素ｓ＊ Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
    　前記署名要素０生成部が生成した署名要素ｓ＊ ０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ＊ Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
    を備え、
    　前記検証装置は、
    　前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
    　ｒ個の要素を有するベクトルｆ→と前記ベクトルｈ→と用いて生成される値ｓ０：＝ｈ→・ｆ→Ｔと、所定の値ｓＬ＋１とから計算される－ｓ０－ｓＬ＋１を、基底Ｂ０の基底ベクトルｂ０，１の係数として設定して検証要素ｃ０を生成する検証要素０生成部と、
    　前記ベクトルｆ→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，１の係数としてｓｉ＋θｉｖｉ，１を設定し、基底ベクトルｂｔ，ｉ’（ｉ’＝２，．．．，ｎｔ）の係数としてθｉｖｉ，ｉ’（ｉ’＝２，．．．，ｎｔ）を設定して検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，ｎｔ）の係数としてｓｉｖｉ，ｉ’（ｉ’＝１，．．．，ｎｔ）を設定して検証要素ｃｉを生成する検証要素ｉ生成部と、
    　基底Ｂｄ＋１の基底ベクトルｂｄ＋１，１の係数として、前記所定の値ｓＬ＋１と前記値ｍ’と所定の値θＬ＋１とから計算されるｓＬ＋１－θＬ＋１ｍ’を設定し、基底ベクトルｂｄ＋１，２の係数として前記所定の値θＬ＋１を設定して検証要素ｃＬ＋１を生成する検証要素Ｌ＋１生成部と、
    　前記検証要素０生成部が生成した検証要素ｃ０と、前記検証要素ｉ生成部が生成した検証要素ｃｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃＬ＋１と、前記署名データσに含まれる署名要素ｓ＊ ０，ｓ＊ ｉ，ｓ＊ Ｌ＋１とについて、ペアリング演算Πｉ＝０ Ｌ＋１ｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
    を備えることを特徴とする署名処理システム。
  2. 　前記署名処理システムは、
    　少なくとも基底ベクトルｂｔ，ｉ（ｉ＝１，．．．，１＋ｕ０，．．．，１＋ｕ０＋ｗ０，．．．，１＋ｕ０＋ｗ０＋ｚ０）を有する基底Ｂ０と、
    　少なくとも基底ベクトルｂｔ，ｉ（ｉ＝１，．．．，ｎｔ，．．．，ｎｔ＋ｕｔ，．．．，ｎｔ＋ｕｔ＋ｗｔ，．．．，ｎｔ＋ｕｔ＋ｗｔ＋ｚｔ）（ｕｔ，ｗｔ，ｚｔは１以上の整数）を有する基底Ｂｔ（ｔ＝１，．．．，ｄ）と、
    　少なくとも基底ベクトルｂｔ，ｉ（ｉ＝１，２，．．．，２＋ｕｄ＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１＋ｚｄ＋１）を有する基底Ｂｄ＋１と、
    　少なくとも基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，１＋ｕ０，．．．，１＋ｕ０＋ｗ０，．．．，１＋ｕ０＋ｗ０＋ｚ０）を有する基底Ｂ＊ ０と、
    　少なくとも基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ，．．．，ｎｔ＋ｕｔ，．．．，ｎｔ＋ｕｔ＋ｗｔ，．．．，ｎｔ＋ｕｔ＋ｗｔ＋ｚｔ）（ｕｔ，ｗｔ，ｚｔは１以上の整数）を有する基底Ｂ＊ ｔ（ｔ＝１，．．．，ｄ）と、
    　少なくとも基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，２，．．．，２＋ｕｄ＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１，．．．，２＋ｕｄ＋１＋ｗｄ＋１＋ｚｄ＋１）を有する基底Ｂ＊ ｄ＋１と
    を用いて署名処理を実行し、
    　前記鍵生成装置では、
    　前記鍵要素０生成部は、乱数δと乱数φ０，ｉ（ｉ＝１，．．．，ｗ０）とに基づき、数１に示す鍵要素ｋ＊ ０を生成し、
    　前記鍵要素ｔ生成部は、前記乱数δと乱数φｔ，ｉ（ｉ＝１，．．．，ｗｔ）とに基づき、前記属性集合Γに含まれる各識別情報ｔについて、数２に示す鍵要素ｋ＊ ｔを生成し、
    　前記鍵要素ｄ＋１生成部は、前記乱数δと乱数φｄ＋１，１，ｉ（ｉ＝１，．．．，ｗｄ＋１）と乱数φｄ＋１，２，ｉ（ｉ＝１，．．．，ｗｄ＋１）とに基づき、数３に示す鍵要素ｋ＊ ｄ＋１，１と鍵要素ｋ＊ ｄ＋１，２とを生成し、
    　前記署名装置では、
    　前記署名要素０生成部は、乱数ξに基づき、数４に示す署名要素ｓ＊ ０を生成し、
    　前記署名要素ｉ生成部は、ｉ＝１，．．．，Ｌの各整数ｉについて、前記乱数ξに基づき、数５に示す署名要素ｓ＊ ｉを生成し、
    　前記署名要素Ｌ＋１生成部は、前記乱数ξと前記値ｍ’とに基づき、数６に示す署名要素ｓ＊ Ｌ＋１を生成し、
    　前記検証装置では、
    　前記検証要素０生成部は、前記値ｓ０と乱数ｓＬ＋１と乱数η０，ｉ（ｉ＝１，．．．，ｚ０）とに基づき、数７に示す検証要素ｃ０を生成し、
    　前記検証要素ｉ生成部は、前記列ベクトルｓ→Ｔと乱数θｉと乱数ηｉ，ｉ’（ｉ＝１，．．．，Ｌ；ｉ’＝１，．．．，ｚｔ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、数８に示す検証要素ｃｉを生成し、
    　前記検証要素Ｌ＋１生成部は、前記乱数ｓＬ＋１と乱数θＬ＋１と乱数ηＬ＋１，ｉ’（ｉ’＝１，．．．，ｚｄ＋１）と前記値ｍ’とに基づき、数９に示す検証要素ｃＬ＋１を生成する
    ことを特徴とする請求項１に記載の署名処理システム。
    Figure JPOXMLDOC01-appb-M000001
    Figure JPOXMLDOC01-appb-M000002
    Figure JPOXMLDOC01-appb-M000003
    Figure JPOXMLDOC01-appb-M000004
    Figure JPOXMLDOC01-appb-M000005
    Figure JPOXMLDOC01-appb-M000006
    Figure JPOXMLDOC01-appb-M000007
    Figure JPOXMLDOC01-appb-M000008
    Figure JPOXMLDOC01-appb-M000009
  3. 　前記署名装置では、
    　前記署名要素Ｌ＋１生成部は、前記メッセージｍと、前記行列Ｍと、ｉ＝１，．．．，Ｌの各整数ｉについての前記変数ρ（ｉ）とを入力としたハッシュ値を前記値ｍ’として用いて、署名要素ｓ＊ Ｌ＋１を生成し、
    　前記検証装置では、
    　前記検証要素Ｌ＋１生成部は、前記ハッシュ値を前記値ｍ’として用いて、検証要素ｃＬ＋１を生成する
    ことを特徴とする請求項１又は２に記載の署名処理システム。
  4. 　ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｓｋΓを生成する鍵生成装置であり、
    　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力部と、
    　基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δを設定した鍵要素ｋ＊ ０を生成する鍵要素０生成部と、
    　前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ）の係数として属性情報ｘ→ ｔに前記所定の値δを乗じたδｘｔ，ｉ（ｉ＝１，．．．，ｎｔ）を設定した鍵要素ｋ＊ ｔを生成する鍵要素ｔ生成部と、
    　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，１と、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，２とを生成する鍵要素ｄ＋１生成部と、
    　前記鍵要素０生成部が生成した鍵要素ｋ＊ ０と、前記鍵要素ｔ生成部が生成した前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ＊ ｔと、前記鍵要素ｄ＋１生成部が生成した鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２と、前記属性集合Γとを含む署
    名鍵ｓｋΓを署名装置へ送信する署名鍵送信部と
    を備えることを特徴とする鍵生成装置。
  5. 　ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
    　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）とを含む属性集合Γと、
    　基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δが設定された鍵要素ｋ＊ ０と、
    　前記第１情報入力部が入力した属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ）の係数として属性情報ｘ→ ｔに前記所定の値δを乗じたδｘｔ，ｉ（ｉ＝１，．．．，ｎｔ）が設定された鍵要素ｋ＊ ｔと、
    　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δが設定された鍵要素ｋ＊ ｄ＋１，１と、
    　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δが設定された鍵要素ｋ＊ ｄ＋１，２と
    を署名鍵ｓｋΓとして取得する署名鍵取得部と、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
    　前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｓｋΓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとがの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算部と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ０を含む署名要素ｓ＊ ０を生成する署名要素０生成部と、
    　ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｔに前記値γｉを乗じたγｉｋ＊ ｔを含む署名要素ｓ＊ ｉを生成する署名要素ｉ生成部と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｄ＋１，１と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ＊ ｄ＋１，２に乗じたｍ’・ｋ＊ ｄ＋１，２との和を含む署名要素ｓ＊ Ｌ＋１を生成する署名要素Ｌ＋１生成部と、
    　前記署名要素０生成部が生成した署名要素ｓ＊ ０と、前記署名要素ｉ生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記署名要素Ｌ＋１生成部が生成した署名要素ｓ＊ Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信部と
    を備えることを特徴とする署名装置。
  6. 　ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
    　署名要素ｓ＊ ０と、ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、署名要素ｓ＊ Ｌ＋１と、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
    　ｒ個の要素を有するベクトルｆ→とｒ個の要素を有するベクトルｈ→と用いて生成される値ｓ０：＝ｈ→・ｆ→Ｔと、所定の値ｓＬ＋１とから計算される－ｓ０－ｓＬ＋１を、基底Ｂ０の基底ベクトルｂ０，１の係数として設定して検証要素ｃ０を生成する検証要素０生成部と、
    　前記ベクトルｆ→と前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，１の係数としてｓｉ＋θｉｖｉ，１を設定し、基底ベクトルｂｔ，ｉ’（ｉ’＝２，．．．，ｎｔ）の係数としてθｉｖｉ，ｉ’（ｉ’＝２，．．．，ｎｔ）を設定して検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，ｎｔ）の係数としてｓｉｖｉ，ｉ’（ｉ’＝１，．．．，ｎｔ）を設定して検証要素ｃｉを生成する検証要素ｉ生成部と、
    　基底Ｂｄ＋１の基底ベクトルｂｄ＋１，１の係数として、前記所定の値ｓＬ＋１と前記値ｍ’と所定の値θＬ＋１とから計算されるｓＬ＋１－θＬ＋１ｍ’を設定し、基底ベクトルｂｄ＋１，２の係数として前記所定の値θＬ＋１を設定して検証要素ｃＬ＋１を生成する検証要素Ｌ＋１生成部と、
    　前記検証要素０生成部が生成した検証要素ｃ０と、前記検証要素ｉ生成部が生成した検証要素ｃｉと、前記検証要素Ｌ＋１生成部が生成した検証要素ｃＬ＋１と、前記署名データσに含まれる署名要素ｓ＊ ０，ｓ＊ ｉ，ｓ＊ Ｌ＋１とについて、ペアリング演算Πｉ＝０ Ｌ＋１ｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
    を備えることを特徴とする検証装置。
  7. 　ｄ個（ｄは１以上の整数）の鍵生成装置と、署名装置と、検証装置とを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムであり、
    　前記ｄ個の鍵生成装置の各鍵生成装置は、
    　ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）を入力する第１情報入力部と、
    　前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ→ ｔと、所定の値δｊと、所定の値Δと、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ）とに基づき、数１０に示すベクトルを含む鍵要素ｋ＊ ｔ，ｊを生成する鍵要素生成部と、
    　前記鍵要素生成部が生成した鍵要素ｋ＊ ｔ，ｊと、前記属性情報ｘ→ ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信部と
    を備え、
    　前記署名装置は、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
    　前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信部が送信した署名鍵ｕｓｋを取得する署名鍵取得部と、
    　前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算部と、
    　前記署名鍵ｕｓｋに含まれる鍵要素ｋ＊ ｔ，１及び鍵要素ｋ＊ ｔ，２と、所定の値ξ１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖｉ・ｘｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝２ｎｔ＋１，２ｎｔ＋２）を用いて、数１１に示すベクトルを含む署名要素ｓ＊ ｉを生成する署名要素生成部と、
    　前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
    を備え、
    　前記検証装置は、
    　前記署名データ送信部が送信した署名データσを取得するデータ取得部と、
    　ｒ個の要素を有するベクトルｆ→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔを生成するとともに、ｓ０：＝ｈ→・ｆ→Ｔとして、ｓ０＝ｈ→・（ｆ→’）Ｔであるｒ個の要素を有するベクトルｆ→’と、前記行列Ｍとに基づき列ベクトル（ｓ→’）Ｔ：＝（ｓ１’，．．．，ｓＬ’）Ｔ：＝Ｍ・（ｆ→’）Ｔを生成するベクトル生成部と、
    　前記ベクトル生成部が生成した列ベクトルｓ→Ｔ及び列ベクトル（ｓ→’）Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉ，θｉ’，θｉ’’，σｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数１２に示すベクトルを含む検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数１３に示すベクトルを含む検証要素ｃｉを生成する検証要素生成部と、
    　前記検証要素生成部が生成した検証要素ｃｉと、前記署名データσに含まれる署名要素ｓ＊ ｉとについて、ペアリング演算Πｉ＝１ Ｌｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
    を備えることを特徴とする署名処理システム。
    Figure JPOXMLDOC01-appb-M000010
    Figure JPOXMLDOC01-appb-M000011
    Figure JPOXMLDOC01-appb-M000012
    Figure JPOXMLDOC01-appb-M000013
  8. 　前記署名処理システムは、
    　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、少なくとも基底ベクトルｂｔ，ｉ（ｉ＝１，．．．，２ｎｔ＋２，．．．，２ｎｔ＋２＋ｕｔ，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔ）（ｕｔ，ｗｔ，ｚｔは１以上の整数）を有する基底Ｂｔと、少なくとも基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ＋２，．．．，２ｎｔ＋２＋ｕｔ，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ，．．．，２ｎｔ＋２＋ｕｔ＋ｗｔ＋ｚｔ）を有する基底Ｂ＊ ｔとを用いて署名処理を実行し、
    　前記鍵生成装置では、
    　前記属性情報ｘ→ ｔと前記所定の値δｊ，Δと乱数φｔ，ｊ，ｉ（ｊ＝１，２；ｉ＝１，．．．，ｗｔ）とに基づき、前記整数ｔと、ｊ＝１，２の各整数ｊについて、数１４に示す鍵要素ｋ＊ ｔ，ｊを生成し、
    　前記署名装置では、
    　前記署名要素生成部は、前記鍵要素ｋ＊ ｔ，１及び前記鍵要素ｋ＊ ｔ，２と乱数ξ１，ξ２と所定の値Ε，π，π’，μと前記値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、数１５に示すｒ＊ ｉ，γｉ，ｙ→ ｉ：＝（ｙｉ，ｉ）（ｉ＝１，．．．，ｎｔ），ｙ’→ ｉ：＝（ｙ’ｉ，ｉ）（ｉ＝１，．．．，ｎｔ）を用いて、数１６に示す署名要素ｓ＊ ｉを生成し、
    　前記検証装置では、
    　前記検証要素生成部は、前記列ベクトルｓ→Ｔ及び前記列ベクトル（ｓ→’）Ｔと乱数θｉ，θｉ’，θｉ’’と前記所定の値σｉと乱数ηｉ，ｉ’（ｉ＝１，．．．，Ｌ；ｉ’＝１，．．．，ｚｔ）とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、数１７に示す検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、数１８に示す検証要素ｃｉ
    を生成する
    ことを特徴とする請求項７に記載の署名処理システム。
    Figure JPOXMLDOC01-appb-M000014
    Figure JPOXMLDOC01-appb-M000015
    Figure JPOXMLDOC01-appb-M000016
    Figure JPOXMLDOC01-appb-M000017
    Figure JPOXMLDOC01-appb-M000018
  9. 　前記署名装置では、
    　前記署名要素生成部は、前記メッセージｍと、前記行列Ｍと、ｉ＝１，．．．，Ｌの各整数ｉについての前記変数ρ（ｉ）とを入力としたハッシュ値を前記値ｍ’として用いて、署名要素ｓ＊ ｉを生成し、
    　前記検証装置では、
    　前記検証要素生成部は、前記ハッシュ値を前記値ｍ’として用いて、検証要素ｃｉを生成する
    ことを特徴とする請求項７又は８に記載の署名処理システム。
  10. 　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名鍵ｕｓｋを生成する鍵生成装置であり、
    　ｔ＝１，．．．，ｄのうち所定の整数ｔについて、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）を入力する第１情報入力部と、
    　前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力部が入力した属性情報ｘ→ ｔと、所定の値δｊと、所定の値Δと、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ）とに基づき、数１９に示すベクトルを含む鍵要素ｋ＊ ｔ，ｊを生成する鍵要素生成部と、
    　前記鍵要素生成部が生成した鍵要素ｋ＊ ｔ，ｊと、前記属性情報ｘ→ ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信部と
    を備えることを特徴とする鍵生成装置。
    Figure JPOXMLDOC01-appb-M000019
  11. 　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを生成する署名装置であり、
    　ｔ＝１，．．．，ｄのうち少なくとも一部の整数ｔと、ｊ＝１，２の各整数ｊとについて、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）と、所定の値δｊと、所定の値Δと、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ）とに基づき、数２０に示すベクトルを含むように生成された鍵要素ｋ＊ ｔ，ｊと、前記属性情報ｘ→ ｔとを含む署名鍵ｕｓｋを取得する署名鍵取得部と、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力部と、
    　前記第２情報入力部が入力した変数ρ（ｉ）と、前記署名鍵取得部が取得した署名鍵ｕｓｋに含まれる属性情報ｘ→ ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得部が取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０とならないが等しくないｉとの集合Ｉを特定するとともに、特定した集合Ｉに含まれるｉについて、前記第２情報入力部が入力した行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算部と、
    　前記署名鍵ｕｓｋに含まれる鍵要素ｋ＊ ｔ，１及び鍵要素ｋ＊ ｔ，２と、所定の値ξ１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算部が特定した集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝２ｎｔ＋１，２ｎｔ＋２）を用いて、数２１に示すベクトルを含む署名要素ｓ＊ ｉを生成する署名要素生成部と、
    　前記署名要素生成部が生成したｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信部と
    を備えることを特徴とする署名装置。
    Figure JPOXMLDOC01-appb-M000020
    Figure JPOXMLDOC01-appb-M000021
  12. 　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理システムにおいて、署名データσを検証する検証装置であり、
    　ｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、メッセージｍと、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍとを含む署名データσを取得するデータ取得部と、
    　ｒ個の要素を有するベクトルｆ→と、前記データ取得部が取得した署名データσに含まれる行列Ｍとに基づき列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔを生成するとともに、ｓ０：＝ｈ→・ｆ→Ｔとして、ｓ０＝ｈ→・（ｆ→’）Ｔであるｒ個の要素を有するベクトルｆ→’と、前記行列Ｍとに基づき列ベクトル（ｓ→’）Ｔ：＝（ｓ１’，．．．，ｓＬ’）Ｔ：＝Ｍ・（ｆ→’）Ｔを生成するベクトル生成部と、
    　前記ベクトル生成部が生成した列ベクトルｓ→Ｔ及び列ベクトル（ｓ→’）Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉ，θｉ’，θｉ’’，σｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数２２に示すベクトルを含む検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数２３に示すベクトルを含む検証要素ｃｉを生成する検証要素生成部と、
    　前記検証要素生成部が生成した検証要素ｃｉと、前記署名データσに含まれる署名要素ｓ＊ ｉとについて、ペアリング演算Πｉ＝１ Ｌｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算部と
    を備えることを特徴とする検証装置。
    Figure JPOXMLDOC01-appb-M000022
    Figure JPOXMLDOC01-appb-M000023
  13. 　ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理方法であり、
    　鍵生成装置が、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力工程と、
    　前記鍵生成装置が、基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δを設定した鍵要素ｋ＊ ０を生成する鍵要素０生成工程と、
    　前記鍵生成装置が、前記第１情報入力工程で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ）の係数として属性情報ｘ→ ｔに前記所定の値δを乗じたδｘｔ，ｉ（ｉ＝１，．．．，ｎｔ）を設定した鍵要素ｋ＊ ｔを生成する鍵要素ｔ生成工程と、
    　前記鍵生成装置が、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，１と、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，２とを生成する鍵要素ｄ＋１生成工程と、
    　前記鍵生成装置が、前記鍵要素０生成工程で生成された鍵要素ｋ＊ ０と、前記鍵要素ｔ生成工程で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ＊ ｔと、前記鍵要素ｄ＋１生成工程で生成された鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２と、前記属性集合Γとを含む署名鍵ｓｋΓを署名装置へ送信する署名鍵送信工程と、
    　前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
    　前記署名装置が、前記署名鍵送信工程で送信された署名鍵ｓｋΓを取得する署名鍵取得工程と、
    　前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｓｋΓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算工程と、
    　前記署名装置が、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ０を含む署名要素ｓ＊ ０を生成する署名要素０生成工程と、
    　前記署名装置が、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｔに前記値γｉを乗じたγｉｋ＊ ｔを含む署名要素ｓ＊ ｉを生成する署名要素ｉ生成工程と、
    　前記署名装置が、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｄ＋１，１と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ＊ ｄ＋１，２に乗じたｍ’・ｋ＊ ｄ＋１，２との和を含む署名要素ｓ＊ Ｌ＋１を生成する署名要素Ｌ＋１生成工程と、
    　前記署名装置が、前記署名要素０生成工程で生成された署名要素ｓ＊ ０と、前記署名要素ｉ生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記署名要素Ｌ＋１生成工程で生成された署名要素ｓ＊ Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
    　前記検証装置が、前記署名データ送信工程で送信された署名データσを取得するデータ取得工程と、
    　前記検証装置が、ｒ個の要素を有するベクトルｆ→と前記ベクトルｈ→と用いて生成される値ｓ０：＝ｈ→・ｆ→Ｔと、所定の値ｓＬ＋１とから計算される－ｓ０－ｓＬ＋１を、基底Ｂ０の基底ベクトルｂ０，１の係数として設定して検証要素ｃ０を生成する検証要素０生成工程と、
    　前記検証装置が、前記ベクトルｆ→と前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，１の係数としてｓｉ＋θｉｖｉ，１を設定し、基底ベクトルｂｔ，ｉ’（ｉ’＝２，．．．，ｎｔ）の係数としてθｉｖｉ，ｉ’（ｉ’＝２，．．．，ｎｔ）を設定して検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，ｎｔ）の係数としてｓｉｖｉ，ｉ’（ｉ’＝１，．．．，ｎｔ）を設定して検証要素ｃｉを生成する検証要素ｉ生成工程と、
    　前記検証装置が、基底Ｂｄ＋１の基底ベクトルｂｄ＋１，１の係数として、前記所定の値ｓＬ＋１と前記値ｍ’と所定の値θＬ＋１とから計算されるｓＬ＋１－θＬ＋１ｍ’を設定し、基底ベクトルｂｄ＋１，２の係数として前記所定の値θＬ＋１を設定して検証要素ｃＬ＋１を生成する検証要素Ｌ＋１生成工程と、
    　前記検証装置が、前記検証要素０生成工程で生成された検証要素ｃ０と、前記検証要素ｉ生成工程で生成された検証要素ｃｉと、前記検証要素Ｌ＋１生成工程で生成された検証要素ｃＬ＋１と、前記署名データσに含まれる署名要素ｓ＊ ０，ｓ＊ ｉ，ｓ＊ Ｌ＋１とについて、ペアリング演算Πｉ＝０ Ｌ＋１ｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
    を備えることを特徴とする署名処理方法。
  14. 　鍵生成プログラムと署名プログラムと検証プログラムとを備え、ｔ＝０，．．．，ｄ＋１（ｄは１以上の整数）の各整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理プログラムであり、
    　前記鍵生成プログラムは、
    　ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについて、識別情報ｔと、属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ，ｎｔは１以上の整数）とを含む属性集合Γを入力する第１情報入力処理と、
    　基底Ｂ＊ ０の基底ベクトルｂ＊ ０，１の係数として所定の値δを設定した鍵要素ｋ＊ ０を生成する鍵要素０生成処理と、
    　前記第１情報入力処理で入力された属性集合Γに含まれる各識別情報ｔについて、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，ｎｔ）の係数として属性情報ｘ→ ｔに前記所定の値δを乗じたδｘｔ，ｉ（ｉ＝１，．．．，ｎｔ）を設定した鍵要素ｋ＊ ｔを生成する鍵要素ｔ生成処理と、
    　基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，１の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，１と、基底Ｂ＊ ｄ＋１の基底ベクトルｂ＊ ｄ＋１，２の係数として前記所定の値δを設定した鍵要素ｋ＊ ｄ＋１，２とを生成する鍵要素ｄ＋１生成処理と、
    　前記鍵要素０生成処理で生成された鍵要素ｋ＊ ０と、前記鍵要素ｔ生成処理で生成された前記属性集合Γに含まれる各識別情報ｔについての鍵要素ｋ＊ ｔと、前記鍵要素ｄ＋１生成処理で生成された鍵要素ｋ＊ ｄ＋１，１及び鍵要素ｋ＊ ｄ＋１，２と、前記属性集合Γとを含む署名鍵ｓｋΓを前記署名装置へ送信する署名鍵送信処理と
    をコンピュータに実行させ、
    　前記署名プログラムは、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
    　前記署名鍵送信処理で送信された署名鍵ｓｋΓを取得する署名鍵取得処理と、
    　前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｓｋΓに含まれる属性集合Γとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性集合Γに含まれるｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算処理と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ０を含む署名要素ｓ＊ ０を生成する署名要素０生成処理と、
    　ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｔに前記値γｉを乗じたγｉｋ＊ ｔを含む署名要素ｓ＊ ｉを生成する署名要素ｉ生成処理と、
    　前記署名鍵ｓｋΓに含まれる鍵要素ｋ＊ ｄ＋１，１と、前記メッセージｍを用いて生成される値ｍ’を前記鍵要素ｋ＊ ｄ＋１，２に乗じたｍ’・ｋ＊ ｄ＋１，２との和を含む署名要素ｓ＊ Ｌ＋１を生成する署名要素Ｌ＋１生成処理と、
    　前記署名要素０生成処理で生成された署名要素ｓ＊ ０と、前記署名要素ｉ生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記署名要素Ｌ＋１生成処理で生成された署名要素ｓ＊ Ｌ＋１と、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
    をコンピュータに実行させ、
    　前記検証プログラムは、
    　前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
    　ｒ個の要素を有するベクトルｆ→と前記ベクトルｈ→と用いて生成される値ｓ０：＝ｈ→・ｆ→Ｔと、所定の値ｓＬ＋１とから計算される－ｓ０－ｓＬ＋１を、基底Ｂ０の基底ベクトルｂ０，１の係数として設定して検証要素ｃ０を生成する検証要素０生成処理と、
    　前記ベクトルｆ→と前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき生成される列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉとを用いて、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，１の係数としてｓｉ＋θｉｖｉ，１を設定し、基底ベクトルｂｔ，ｉ’（ｉ’＝２，．．．，ｎｔ）の係数としてθｉｖｉ，ｉ’（ｉ’＝２，．．．，ｎｔ）を設定して検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，ｎｔ）の係数としてｓｉｖｉ，ｉ’（ｉ’＝１，．．．，ｎｔ）を設定して検証要素ｃｉを生成する検証要素ｉ生成処理と、
    　基底Ｂｄ＋１の基底ベクトルｂｄ＋１，１の係数として、前記所定の値ｓＬ＋１と前記値ｍ’と所定の値θＬ＋１とから計算されるｓＬ＋１－θＬ＋１ｍ’を設定し、基底ベクトルｂｄ＋１，２の係数として前記所定の値θＬ＋１を設定して検証要素ｃＬ＋１を生成する検証要素Ｌ＋１生成処理と、
    　前記検証要素０生成処理で生成された検証要素ｃ０と、前記検証要素ｉ生成処理で生成された検証要素ｃｉと、前記検証要素Ｌ＋１生成処理で生成された検証要素ｃＬ＋１と、前記署名データσに含まれる署名要素ｓ＊ ０，ｓ＊ ｉ，ｓ＊ Ｌ＋１とについて、ペアリング演算Πｉ＝０ Ｌ＋１ｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
    をコンピュータに実行させることを特徴とする署名処理プログラム。
  15. 　ｔ＝１，．．．，ｄ（ｄは１以上の整数）の少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理方法であり、
    　ｄ個の鍵生成装置の少なくとも１個以上の鍵生成装置が、ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）を入力する第１情報入力工程と、
    　前記少なくとも１個以上の鍵生成装置が、前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力工程で入力された属性情報ｘ→ ｔと、所定の値δｊと、所定の値Δと、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ）とに基づき、数２４に示すベクトルを含む鍵要素ｋ＊ ｔ，ｊを生成する鍵要素生成工程と、
    　前記少なくとも１個以上の鍵生成装置が、前記鍵要素生成工程で生成された鍵要素ｋ＊ ｔ，ｊと、前記属性情報ｘ→ ｔとを含む署名鍵ｕｓｋを署名装置へ送信する署名鍵送信工程と、
    　前記署名装置が、ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力工程と、
    　前記署名装置が、前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信工程で送信された署名鍵ｕｓｋを取得する署名鍵取得工程と、
    　前記署名装置が、前記第２情報入力工程で入力された変数ρ（ｉ）と、前記署名鍵取得工程で取得された署名鍵ｕｓｋに含まれる属性情報ｘ→ ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得工程で取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力工程で入力された行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算工程と、
    　前記署名装置が、前記署名鍵ｕｓｋに含まれる鍵要素ｋ＊ ｔ，１及び鍵要素ｋ＊ ｔ，２と、所定の値ξ１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算工程で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝２ｎｔ＋１，２ｎｔ＋２）を用いて、数２５に示すベクトルを含む署名要素ｓ＊ ｉを生成する署名要素生成工程と、
    　前記署名装置が、前記署名要素生成工程で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを検証装置へ送信する署名データ送信工程と、
    　前記検証装置が、前記署名データ送信工程が送信された署名データσを取得するデータ取得工程と、
    　前記検証装置が、ｒ個の要素を有するベクトルｆ→と、前記データ取得工程で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔを生成するとともに、ｓ０：＝ｈ→・ｆ→Ｔとして、ｓ０＝ｈ→・（ｆ→’）Ｔであるｒ個の要素を有するベクトルｆ→’と、前記行列Ｍとに基づき列ベクトル（ｓ→’）Ｔ：＝（ｓ１’，．．．，ｓＬ’）Ｔ：＝Ｍ・（ｆ→’）Ｔを生成するベクトル生成工程と、
    　前記検証装置が、前記ベクトル生成工程で生成された列ベクトルｓ→Ｔ及び列ベクトル（ｓ→’）Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉ，θｉ’，θｉ’’，σｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数２６に示すベクトルを含む検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，１から基底ベクトルｂｔ，ｉ（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数２７に示すベクトルを含む検証要素ｃｉを生成する検証要素生成工程と、
    　前記検証装置が、前記検証要素生成工程で生成された検証要素ｃｉと、前記署名データσに含まれる署名要素ｓ＊ ｉとについて、ペアリング演算Πｉ＝１ Ｌｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算工程と
    を備えることを特徴とする署名処理方法。
    Figure JPOXMLDOC01-appb-M000024
    Figure JPOXMLDOC01-appb-M000025
    Figure JPOXMLDOC01-appb-M000026
    Figure JPOXMLDOC01-appb-M000027
  16. 　ｄ個（ｄは１以上の整数）の鍵生成装置で動作させる鍵生成プログラムと、署名装置で動作させる署名プログラムと、検証装置で動作させる検証プログラムとを備え、ｔ＝１，．．．，ｄの少なくとも１つ以上の整数ｔについての基底Ｂｔと基底Ｂ＊ ｔとを用いて署名処理を実行する署名処理プログラムであり、
    　前記鍵生成プログラムは、
    　ｔ＝１，．．．，ｄのうち鍵生成装置毎に予め定められた整数ｔについての属性情報ｘ→ ｔ：＝（ｘｔ，ｉ）（ｉ＝１，．．．，ｎｔ）を入力する第１情報入力処理と、
    　前記整数ｔと、ｊ＝１，２の各整数ｊについて、前記第１情報入力処理で入力された属性情報ｘ→ ｔと、所定の値δｊと、所定の値Δと、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝１，．．．，２ｎｔ）とに基づき、数２８に示すベクトルを含む鍵要素ｋ＊ ｔ，ｊを生成する鍵要素生成処理と、
    　前記鍵要素生成処理で生成された鍵要素ｋ＊ ｔ，ｊと、前記属性情報ｘ→ ｔとを含む署名鍵ｕｓｋを前記署名装置へ送信する署名鍵送信処理と
    をコンピュータに実行させ、
    　前記署名プログラムは、
    　ｉ＝１，．．．，Ｌ（Ｌは１以上の整数）の各整数ｉについての変数ρ（ｉ）であって、識別情報ｔ（ｔ＝１，．．．，ｄのいずれかの整数）と、属性情報ｖ→ ｉ：＝（ｖｉ，ｉ’）（ｉ’＝１，．．．，ｎｔ）との肯定形の組（ｔ，ｖ→ ｉ）又は否定形の組￢（ｔ，ｖ→ ｉ）のいずれかである変数ρ（ｉ）と、Ｌ行ｒ列（ｒは１以上の整数）の所定の行列Ｍと、メッセージｍとを入力する第２情報入力処理と、
    　前記ｄ個の鍵生成装置のうち、少なくとも１つ以上の鍵生成装置の署名鍵送信処理で送信された署名鍵ｕｓｋを取得する署名鍵取得処理と、
    　前記第２情報入力処理で入力された変数ρ（ｉ）と、前記署名鍵取得処理で取得された署名鍵ｕｓｋに含まれる属性情報ｘ→ ｔとに基づき、ｉ＝１，．．．，Ｌの各整数ｉのうち、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０となるｉと、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）であり、かつ、その組の識別情報ｔが示すｘ→ ｔを含む署名鍵ｕｓｋを前記署名鍵取得処理で取得しており、かつ、その組のｖ→ ｉと、その組の識別情報ｔが示す属性情報ｘ→ ｔとの内積が０とならないｉとの集合Ｉを特定するとともに、特定された集合Ｉに含まれるｉについて、前記第２情報入力処理で入力された行列Ｍのｉ行目の要素であるＭｉに基づき、αｉＭｉを合計した場合に所定のベクトルｈ→となる補完係数αｉを計算する補完係数計算処理と、
    　前記署名鍵ｕｓｋに含まれる鍵要素ｋ＊ ｔ，１及び鍵要素ｋ＊ ｔ，２と、所定の値ξ１，Ε，μと、前記メッセージｍから計算される値ｍ’とに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、前記補完係数計算処理で特定された集合Ｉに含まれる整数ｉであり、かつ、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉとし、前記集合Ｉに含まれるｉであり、かつ、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には値γｉ：＝αｉ／（ｖ→ ｉ・ｘ→ ｔ）とし、前記集合Ｉに含まれない整数ｉの場合には値γｉ：＝０として、基底Ｂ＊ ｔの基底ベクトルｂ＊ ｔ，ｉ（ｉ＝２ｎｔ＋１，２ｎｔ＋２）を用いて、数２９に示すベクトルを含む署名要素ｓ＊ ｉを生成する署名要素生成処理と、
    　前記署名要素生成処理で生成されたｉ＝１，．．．，Ｌの各整数ｉについての署名要素ｓ＊ ｉと、前記メッセージｍと、前記変数ρ（ｉ）と、前記行列Ｍとを含む署名データσを前記検証装置へ送信する署名データ送信処理と
    をコンピュータに実行させ、
    　前記検証プログラムは、
    　前記署名データ送信処理で送信された署名データσを取得するデータ取得処理と、
    　ｒ個の要素を有するベクトルｆ→と、前記データ取得処理で取得された署名データσに含まれる行列Ｍとに基づき列ベクトルｓ→Ｔ：＝（ｓ１，．．．，ｓＬ）Ｔ：＝Ｍ・ｆ→Ｔを生成するとともに、ｓ０：＝ｈ→・ｆ→Ｔとして、ｓ０＝ｈ→・（ｆ→’）Ｔであるｒ個の要素を有するベクトルｆ→’と、前記行列Ｍとに基づき列ベクトル（ｓ→’）Ｔ：＝（ｓ１’，．．．，ｓＬ’）Ｔ：＝Ｍ・（ｆ→’）Ｔを生成するベクトル生成処理と、
    　前記ベクトル生成処理で生成された列ベクトルｓ→Ｔ及び列ベクトル（ｓ→’）Ｔと、ｉ＝１，．．．，Ｌの各整数ｉについての所定の値θｉ，θｉ’，θｉ’’，σｉとに基づき、ｉ＝１，．．．，Ｌの各整数ｉについて、変数ρ（ｉ）が肯定形の組（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底Ｂｔの基底ベクトルｂｔ，ｉ’（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数３０に示すベクトルを含む検証要素ｃｉを生成し、変数ρ（ｉ）が否定形の組￢（ｔ，ｖ→ ｉ）である場合には、その組の識別情報ｔが示す基底ベクトルｂｔ，ｉ（ｉ’＝１，．．．，２ｎｔ＋２）を用いて、数３１に示すベクトルを含む検証要素ｃｉを生成する検証要素生成処理と、
    　前記検証要素生成処理で生成された検証要素ｃｉと、前記署名データσに含まれる署名要素ｓ＊ ｉとについて、ペアリング演算Πｉ＝１ Ｌｅ（ｃｉ，ｓ＊ ｉ）を行い、前記署名データσの正当性を検証するペアリング演算処理と
    をコンピュータに実行させることを特徴とする署名処理プログラム。
    Figure JPOXMLDOC01-appb-M000028
    Figure JPOXMLDOC01-appb-M000029
    Figure JPOXMLDOC01-appb-M000030
    Figure JPOXMLDOC01-appb-M000031
PCT/JP2011/078463 2011-01-25 2011-12-08 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム WO2012101913A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP11856860.9A EP2670081B1 (en) 2011-01-25 2011-12-08 Signature processing system, key generation device, signature device, verification device, signature processing method and signature processing program
CN201180065941.8A CN103348624B (zh) 2011-01-25 2011-12-08 签名处理系统、密钥生成装置、签名装置、验证装置、签名处理方法以及签名处理程序
KR1020137022196A KR101431412B1 (ko) 2011-01-25 2011-12-08 서명 처리 시스템, 키 생성 장치, 서명 장치, 검증 장치, 서명 처리 방법 및 서명 처리 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체
US13/981,679 US9106408B2 (en) 2011-01-25 2011-12-08 Signature processing system, key generation device, signature device, verification device, signature processing method, and signature processing program
ES11856860.9T ES2684945T3 (es) 2011-01-25 2011-12-08 Sistema de procesamiento de firmas, dispositivo de generación de claves, dispositivo de firmas, dispositivo de verificación, método de procesamiento de firmas y programa de procesamiento de firmas

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2011013281A JP5606344B2 (ja) 2011-01-25 2011-01-25 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム
JP2011-013281 2011-01-25

Publications (1)

Publication Number Publication Date
WO2012101913A1 true WO2012101913A1 (ja) 2012-08-02

Family

ID=46580497

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2011/078463 WO2012101913A1 (ja) 2011-01-25 2011-12-08 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム

Country Status (7)

Country Link
US (1) US9106408B2 (ja)
EP (1) EP2670081B1 (ja)
JP (1) JP5606344B2 (ja)
KR (1) KR101431412B1 (ja)
CN (1) CN103348624B (ja)
ES (1) ES2684945T3 (ja)
WO (1) WO2012101913A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015231132A (ja) * 2014-06-05 2015-12-21 日本電信電話株式会社 署名システム、鍵生成装置、署名生成装置、署名検証装置、およびプログラム

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2755158A1 (en) * 2013-01-09 2014-07-16 Thomson Licensing Method and device for privacy-respecting data processing
EP2860904A1 (en) * 2013-10-08 2015-04-15 Thomson Licensing Method for signing a set of binary elements, and updating such signature, corresponding electronic device and computer program product
EP2860905A1 (en) * 2013-10-09 2015-04-15 Thomson Licensing Method for ciphering a message via a keyed homomorphic encryption function, corresponding electronic device and computer program product
JP6087849B2 (ja) * 2014-01-17 2017-03-01 日本電信電話株式会社 代理署名装置、署名検証装置、鍵生成装置、代理署名システム、およびプログラム
CN106031080B (zh) 2014-02-24 2019-07-16 三菱电机株式会社 加密系统
WO2016014048A1 (en) * 2014-07-23 2016-01-28 Hewlett-Packard Development Company, L.P. Attribute-based cryptography
EP3776318B1 (en) * 2018-04-10 2024-05-29 Visa International Service Association Tamper-resistant data encoding for mobile devices
CN109728910A (zh) * 2018-12-27 2019-05-07 北京永恒纪元科技有限公司 一种高效的门限分布式椭圆曲线密钥生成及签名方法和系统
JP7233265B2 (ja) * 2019-03-15 2023-03-06 三菱電機株式会社 署名装置、検証装置、署名方法、検証方法、署名プログラム及び検証プログラム
CN114189340B (zh) * 2021-12-09 2023-05-23 电子科技大学 一种基于素数阶群的基于属性签名方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1997016903A1 (en) * 1995-11-03 1997-05-09 Stefanus Alfonsus Brands Cryptographic methods for demonstrating satisfiable formulas from propositional logic
WO2007135580A2 (en) * 2006-05-21 2007-11-29 International Business Machines Corporation Assertion message signatures
US20100115281A1 (en) * 2008-08-28 2010-05-06 International Business Machines Corporation Attributes in cryptographic credentials
WO2011007697A1 (ja) * 2009-07-13 2011-01-20 日本電気株式会社 匿名認証署名システム、ユーザ装置、検証装置、署名方法、検証方法およびそれらのプログラム

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6320966B1 (en) 1996-10-23 2001-11-20 Stefanus A. Brands Cryptographic methods for demonstrating satisfiable formulas from propositional logic
US7181017B1 (en) * 2001-03-23 2007-02-20 David Felsher System and method for secure three-party communications
JP4620669B2 (ja) * 2005-04-18 2011-01-26 パナソニック株式会社 署名生成装置、署名検証装置、それらの方法、および集積回路
JP5001176B2 (ja) * 2005-12-28 2012-08-15 パナソニック株式会社 署名生成装置、署名生成方法及び署名生成プログラム
WO2008085579A2 (en) * 2006-10-25 2008-07-17 Spyrus, Inc. Method and system for deploying advanced cryptographic algorithms
WO2010123112A1 (ja) * 2009-04-24 2010-10-28 日本電信電話株式会社 暗号化装置、復号装置、暗号化方法、復号方法、セキュリティ方法、プログラム及び記録媒体
KR101351789B1 (ko) * 2009-04-24 2014-01-15 니뽄 덴신 덴와 가부시키가이샤 암호 시스템, 암호 통신 방법, 암호화 장치, 키 생성 장치, 복호 장치, 콘텐츠 서버 장치, 프로그램, 기억매체
JP5693206B2 (ja) 2010-12-22 2015-04-01 三菱電機株式会社 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1997016903A1 (en) * 1995-11-03 1997-05-09 Stefanus Alfonsus Brands Cryptographic methods for demonstrating satisfiable formulas from propositional logic
WO2007135580A2 (en) * 2006-05-21 2007-11-29 International Business Machines Corporation Assertion message signatures
US20100115281A1 (en) * 2008-08-28 2010-05-06 International Business Machines Corporation Attributes in cryptographic credentials
WO2011007697A1 (ja) * 2009-07-13 2011-01-20 日本電気株式会社 匿名認証署名システム、ユーザ装置、検証装置、署名方法、検証方法およびそれらのプログラム

Non-Patent Citations (50)

* Cited by examiner, † Cited by third party
Title
"PhD Thesis", 1996, ISRAEL INSTITUTE OF TECH-NOLOGY
A. SHAMIR: "Identity-based cryptosystems and signature schemes", CRYPTO'84, 1984, pages 47.53
BELENKIY, M.; CAMENISCH, J.; CHASE, M.; KOHLWEISS, M.; LYSYANSKAYA, A.; SHACHAM, H.: "CRYPTO 2009. LNCS", 2009, SPRINGER, article "Randomizable proofs and delegatable anonymous credentials"
BELENKIY, M.; CHASE, M.; KOHLWEISS, M.; LYSYANSKAYA, A.: "TCC 2008, LNCS", 2008, SPRINGER, article "P-signatures and noninteractive anonymous credentials"
BETHENCOURT, J.; SAHAI, A.; WATERS, B.: "2007 IEEE Sym-posium on Security and Privacy", 2007, IEEE PRESS, article "Ciphertext-policy attribute-based encryption", pages: 321.334
BONEH, D.; BOYEN, X.: "CRYPTO 2004. LNCS", vol. 3152, 2004, SPRINGER, article "Secure identity based encryption without random oracles", pages: 443.459
BONEH, D.; BOYEN, X.: "EUROCRYPT 2004. LNCS", vol. 3027, 2004, SPRINGER, article "Efficient selective-ID secure identity based encryption without random oracles", pages: 223.238
BONEH, D.; BOYEN, X.; GOH, E.: "EUROCRYPT 2005. LNCS", vol. 3494, 2005, SPRINGER, article "Hierarchical identity based encryption with constant size ciphertext", pages: 440.456
BONEH, D.; FRANKLIN, M.: "CRYPTO 2001. LNCS", vol. 2139, 2001, SPRINGER, article "Identity-based encryption from the Weil pairing", pages: 213.229
BONEH, D.; HAMBURG, M.: "ASIACRYPT 2008. LNCS", vol. 5350, 2008, SPRINGER, article "Generalized identity based and broadcast encryption scheme", pages: 455.470
BONEH, D.; KATZ, J.: "RSA-CT 2005, LNCS", 2005, SPRINGER VERLAG, article "Improved efficiency for CCA-secure cryptosystems built using identity based encryp-tion"
BONEH, D.; WATERS, B.: "TCC 2007. LNCS", vol. 4392, 2007, SPRINGER, article "Conjunctive, subset, and range queries on encrypted data", pages: 535.554
BOYEN, X.; WATERS, B.: "CRYPTO 2006. LNCS", vol. 4117, 2006, SPRINGER, article "Anonymous hierarchical identity-based encryption (without random oracles", pages: 290.307
CAMENISCH, J.; GROSS, T.: "Efficient attributes for anonymous credentials", CCS, 2008
CAMENISCH, J.; LYSYANSKAYA, A.: "An efficient system for non-transferable anonymous credentials with optinal anonymity revocation", EUROCRYPT, 2001
CAMENISCH, J.; LYSYANSKAYA, A.: "Signature schemes and anonymous credentials from bilinear maps", CRYPTO, 2004
CANETTI, R.; HALEVI S.; KATZ J.: "EUROCRYPT 2004, LNCS", 2004, SPRINGER-VERLAG, article "Chosen-ciphertext security from identity-based encryption"
CHAUM, D.: "Security without identification: Transaction systems to make big brother obsolete", CACM, 1985
CHAUM; E. VAN HEYST: GROUP SIGNATURES: "proceedings of EUROCRYPT'91", LNCS, vol. 547, 1991, pages 257.265
COCKS, C.: "IMA Int. Conf. LNCS", vol. 2260, 2001, SPRINGER, article "An identity based encryption scheme based on quadratic residues", pages: 360.363
D. KHADER: "Attribute Based Group Signature with Revocation", CRYPTOLOGY EPRINT ARCHIVE, REPORT 2007/241, 2007
D. KHADER: "Attribute Based Group Signatures", CRYPTOLOGY EPRINT ARCHIVE, REPORT 2007/159, 2007, Retrieved from the Internet <URL:http://eprint.iacr.org/2007/159>
GENTRY, C.: "EURO-CRYPT 2006. LNCS", vol. 4004, 2006, SPRINGER, article "Practical identity-based encryption without random oracles", pages: 445.464
GENTRY, C.; HALEVI, S.: "TCC 2009. LNCS", vol. 5444, 2009, SPRINGER, article "Hierarchical identity-based encryption with polynomially many levels", pages: 437.456
GENTRY, C.; SILVERBERG, A.: "ASIACRYPT 2002.LNCS", vol. 2501, 2002, SPRINGER, article "Hierarchical ID-based cryptography", pages: 548.566
GOYAL, V.; PANDEY, O.; SAHAI, A.; WATERS, B.: "ACM Conference on Computer and Communication Security", 2006, ACM, article "Attribute-based encryption for fme-grained access control of encrypted data", pages: 89.98
GROTH, J.; SAHAI, A.: "EUROCRYPT 2008. LNCS", vol. 4965, 2008, SPRINGER, article "Efficient non-interactive proof systems for bilinear groups", pages: 415.432
HORWITZ, J.; LYNN, B: "EURO-CRYPT 2002. LNCS", vol. 2332, 2002, SPRINGER, article "Towards hierarchical identity-based encryption", pages: 466.481
J. LI; K. KIM: "Attribute-based ring signatures. 2008", JOURNAL OF INFORMATION SCIENCES, Retrieved from the Internet <URL:http:lleprint.iacr.org/2008/394>
JIN LI; MAN HO AU; WILLY SUSILO; DONGQING XIE; KUI REN: "Attribute-based Signature and its Application,ASIACCS' 2010", ACM, 2010
KATZ, J.; SAHAI, A.; WATERS, B.: "EUROCRYPT 2008. LNCS", vol. 4965, 2008, SPRINGER, article "Predicate encryption supporting disjunctions, polynomial equations, and inner products.", pages: 146.162
KHADER, D.: "Authenticating with Attributes", CRYPTOLOGY EPRINT ARCHIVE REPORT 2008/031, 23 January 2008 (2008-01-23), XP061002722 *
LEWKO, A.; OKAMOTO, T.; SAHAI, A.; TAKASHIMA, K.; WATERS, B.: "EUROCRYPT 2010. LNCS", 2010, SPRINGER, article "Fully Secure Functional Encryption:Attribute-Based Encryption and (Hierarchical) Inner Product Encryption"
LEWKO, A.B.; WATERS, B.: "Decentralizing Attribute-Based Encryption, ePrint", IACR, Retrieved from the Internet <URL:http://eprint.iacr.org/2010/351>
LEWKO, A.B.; WATERS, B.: "Fully secure HIBE with short ciphertexts. ePrint", IACR, Retrieved from the Internet <URL:http://eprint.iacr.org/2009/482>
MAJI, H. ET AL.: "Attribute-Based Signatures: Achieving Attribute-Privacy and Collusion-Resistance", CRYPTOLOGY EPRINT ARCHIVE, REPORT 2008/328, 3 August 2008 (2008-08-03), XP002666414 *
MAJI, H.; PRABHAKARAN, M.; ROSULEK, M., ATTRIBUTE-BASED SIGNATURES, Retrieved from the Internet <URL:http://www.cs.uiuc.edu/ mmp/research.html>
MAJI, H.; PRABHAKARAN, M.; ROSULEK, M., ATTRIBUTE-BASED SIGNATURES: ACHIEVING ATTRIBUTE-PRIVACY AND COLLUSION-RESISTANCE
OKAMOTO, T.; TAKASHIMA, K.: "ASIACRYPT", 2009, SPRINGER, article "Hierarchical predicate encryption for Inner-Products"
OKAMOTO, T.; TAKASHIMA, K.: "CRYPTO 2010", 2010, SPRINGER HEIDELBERG, article "Fully Secure Functional Encryption with General Relations from the Deci-sional Linear Assumption"
OKAMOTO, T.; TAKASHIMA, K.: "Pairing 2008. LNCS", vol. 5209, 2008, SPRINGER, article "Homomorphic encryption and signatures from vector decomposition", pages: 57.74
OSTROVSKY, R.; SAHAI, A.; WATERS, B.: "Attribute-based encryption with non-monotonic access structures", ACM CONFERENCE ON COMPUTER AND COMMUNICATION SECURITY 2007, 2007, pages 195.203
PIRRETTI, M.; TRAYNOR, P.; MCDANIEL, P.; WATERS, B.: "ACM Conference on Computer and Communication Security 2006", 2006, ACM, article "Secure attribute-based systems", pages: 99.112
S. F. SHAHANDASHTI; R. SAFAVI-NAINI: "Threshold attribute-based signatures and their application to anonymous credential systems", AFRICACRYPT'09, 2009, pages 198.216
S. GUO; Y. ZENG: "Attribute-based Signature Scheme", ISA'08, pages 509.511
SAHAI, A.; WATERS, B.: "EUROCRYPT 2005. LNCS", vol. 3494, 2005, SPRINGER HEIDELBERG, article "Fuzzy identity-based encryption", pages: 457.473
SHI, E.; WATERS, B.: "ICALP (2) 2008. LNCS", vol. 5126, 2008, SPRINGER HEIDELBERG, article "Delegating capability in predicate encryption systems", pages: 560 - 578
WATERS, B.: "Ciphertext-policy attribute-based encryption: an expressive, efficient, and provably secure realization", EPRINT, IACR
WATERS, B.: "CRYPTO 2009. LNCS", vol. 5677, 2009, SPRINGER, article "Dual system encryption: Realizing fully secure IBE and HIBE under simple assumptions", pages: 619.636
X. BOYEN: "EUROCRYPT, LNCS", vol. 4515, 2007, SPRINGER, article "Mesh signatures", pages: 210.227

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015231132A (ja) * 2014-06-05 2015-12-21 日本電信電話株式会社 署名システム、鍵生成装置、署名生成装置、署名検証装置、およびプログラム

Also Published As

Publication number Publication date
KR20130130810A (ko) 2013-12-02
US9106408B2 (en) 2015-08-11
CN103348624A (zh) 2013-10-09
JP2012155088A (ja) 2012-08-16
EP2670081A1 (en) 2013-12-04
KR101431412B1 (ko) 2014-08-19
EP2670081B1 (en) 2018-07-11
US20130322627A1 (en) 2013-12-05
ES2684945T3 (es) 2018-10-05
JP5606344B2 (ja) 2014-10-15
EP2670081A4 (en) 2017-07-26
CN103348624B (zh) 2016-04-27

Similar Documents

Publication Publication Date Title
JP5606344B2 (ja) 署名処理システム、鍵生成装置、署名装置、検証装置、署名処理方法及び署名処理プログラム
JP5424974B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、署名処理システム、署名装置及び検証装置
JP5618881B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
JP5693206B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
JP5680007B2 (ja) 暗号システム、暗号方法及び暗号プログラム
JP5769401B2 (ja) 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及びプログラム
JP5334873B2 (ja) 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
JP5921410B2 (ja) 暗号システム
JP5606351B2 (ja) 暗号処理システム、鍵生成装置、暗号化装置、復号装置、鍵委譲装置、暗号処理方法及び暗号処理プログラム
WO2010024312A1 (ja) 演算装置、復号装置、暗号化装置、情報共有システム、２ｄｎｆ演算システム、署名生成装置、署名検証装置、署名処理システム、署名検証システム、演算方法及び演算プログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201180065941.8

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11856860

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011856860

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13981679

Country of ref document: US

ENP Entry into the national phase

Ref document number: 20137022196

Country of ref document: KR

Kind code of ref document: A