WO2015008607A1 - 復号装置、復号能力提供装置、それらの方法、およびプログラム - Google Patents

復号装置、復号能力提供装置、それらの方法、およびプログラム Download PDF

Info

Publication number
WO2015008607A1
WO2015008607A1 PCT/JP2014/067352 JP2014067352W WO2015008607A1 WO 2015008607 A1 WO2015008607 A1 WO 2015008607A1 JP 2014067352 W JP2014067352 W JP 2014067352W WO 2015008607 A1 WO2015008607 A1 WO 2015008607A1
Authority
WO
WIPO (PCT)
Prior art keywords
value
ciphertext
decryption
derived
decoding
Prior art date
Application number
PCT/JP2014/067352
Other languages
English (en)
French (fr)
Inventor
麗生 吉田
山本　剛
鉄太郎 小林
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to JP2015527239A priority Critical patent/JP6059347B2/ja
Priority to CN201480034506.2A priority patent/CN105339995B/zh
Priority to US14/900,517 priority patent/US10163370B2/en
Priority to EP14826053.2A priority patent/EP3001401A4/en
Publication of WO2015008607A1 publication Critical patent/WO2015008607A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/76—Proxy, i.e. using intermediary entity to perform cryptographic operations

Definitions

  • the present invention relates to a cloud key management type decryption technique.
  • a specific decryption key is required to decrypt a ciphertext encrypted by an encryption method such as a public key encryption method or a common key encryption method.
  • An encryption method such as a public key encryption method or a common key encryption method.
  • One conventional method for a decryption device that does not have a decryption key to obtain a decryption result of a ciphertext is that an external device that retains the decryption key provides the decryption device with the decryption key, and the decryption device decrypts the decryption key.
  • a ciphertext is decrypted using a key.
  • Another conventional method for the decryption device to obtain the decryption result of the ciphertext is a method in which the decryption device provides the ciphertext to the external device, and the external device decrypts the ciphertext and provides the decryption result to the decryption device. is there.
  • the former method has a security problem because the decryption key itself is provided to the decryption device.
  • the decoding device cannot verify the correctness of the decoding result.
  • Self-correction technology means that the correct calculation results are always output using a computer or system that does not necessarily output the correct calculation results (when using a computer that outputs the correct calculation results, the correct calculation results are output, and the correct results are not always output.
  • a computer that does not always output is used, a correct calculation result is obtained or a result indicating that the calculation cannot be obtained is obtained).
  • the decryption device that decrypts only the information for the decryption device to decrypt the ciphertext without the decryption capability providing device holding the decryption key giving the decryption key to the decryption device To give.
  • the decoding device can always perform a correct decoding operation using this information.
  • the decryption device performs a self-correction process with a decryption capability providing device that holds a decryption key for decrypting the first ciphertext that can be decrypted by the homomorphism operation, and obtains a decryption value of the first ciphertext, A non-homomorphic operation using the value corresponding to or derived from the decrypted value of the first ciphertext and the additional value is performed, and plaintext is output.
  • the self-correction process is used only for the decryption process of the first ciphertext that can be decrypted by the homomorphic operation, even if the decryption process includes a homomorphic operation and a non-homogeneous operation, Cloud key management type decryption using self-correction technology can be performed.
  • FIG. 1 is a block diagram of a security system according to an embodiment.
  • FIG. 2 is a block diagram of the encryption apparatus according to the first embodiment.
  • FIG. 3A is a block diagram of the decoding device and the decoding capability providing device of the first embodiment.
  • FIG. 3B is a block diagram illustrating details of the self-correction processing unit and the decoding capability providing unit 142 according to the first embodiment.
  • FIG. 4 is a diagram for explaining the decoding process of the first embodiment.
  • FIG. 5 is a block diagram of an encryption apparatus according to the second embodiment.
  • FIG. 6 is a block diagram of the decoding device and the decoding capability providing device of the second embodiment.
  • FIG. 7 is a diagram for explaining the decoding process of the second embodiment.
  • FIG. 1 is a block diagram of a security system according to an embodiment.
  • FIG. 2 is a block diagram of the encryption apparatus according to the first embodiment.
  • FIG. 3A is a block diagram of the decoding device and the decoding capability providing device
  • FIG. 8 is a block diagram of an encryption apparatus according to the third embodiment.
  • FIG. 9 is a block diagram of a decoding device and a decoding capability providing device according to the third embodiment.
  • FIG. 10 is a diagram for explaining a decoding process according to the third embodiment.
  • the decryption device performs a self-correction process with the decryption capability providing device that holds the decryption key for decrypting the first ciphertext that can be decrypted by the homomorphism operation, and the first ciphertext A decrypted value is obtained, a non-homogeneous operation using the value corresponding to or derived from the decrypted value of the first ciphertext and the additional value is performed, and plaintext is output.
  • the plaintext is a decrypted value of the second ciphertext corresponding to information including the first ciphertext.
  • Value B derived from A means (1) A or a part of information of A, or (2) a function value of A or a part of information, or (3) A or A A function value of information including a part of information of A and other information.
  • An example of “value B derived from A” is “B corresponding to A”.
  • Another example of “value B derived from A” is “B based on A”.
  • “B including A” means (1) B is A, (2) B includes A as an element, or (3) a part of B is A (for example, B That some of the bits represent A).
  • the second ciphertext is, for example, a ciphertext (for example, a first ciphertext and a ciphertext corresponding to the first ciphertext that can be decrypted by the homomorphic operation and an additional value that becomes an operand of the non-homogeneous operation at the time of decryption. Ciphertext including an additional value).
  • a decryption device that decrypts the second ciphertext performs self-correction processing with a decryption capability providing device that holds a decryption key for decrypting the first ciphertext, and the decrypted value of the first ciphertext Get.
  • the first ciphertext can be decrypted by a homomorphic operation, and such decryption of the first ciphertext can be executed by a known cloud key management type decryption method using a self-correction technique (for example, Patent Document 1). (See ⁇ 3 etc.) Further, the decryption device performs a non-homogeneous operation using the decrypted value and the additional value of the first ciphertext, and outputs the decrypted value of the second ciphertext.
  • the self-correction process is used only for the decryption process of the first ciphertext that can be decrypted by the homomorphism operation
  • the second ciphertext has an additional value that becomes an operand of the non-homogeneity operation at the time of the decryption. Even if it is included, cloud key management type decryption using self-correction technology can be performed.
  • the example of the first ciphertext includes a value obtained by encrypting a value derived from a random value (for example, a value obtained by encrypting a value corresponding to a random value), and an example of an additional value in this case Is a value including a value corresponding to information including a plaintext and a random value (for example, a value corresponding to a plaintext and a random value).
  • a value including a value corresponding to information including a plaintext and a random value for example, a value corresponding to a plaintext and a random value.
  • “It is difficult to obtain a decoded value” means, for example, that a decoded value cannot be obtained within a polynomial time.
  • “Polynomial time” means, for example, a time (calculation time) that can be expressed by a polynomial of the size (length) of the decryption key.
  • “polynomial time” means, for example, a time (calculation time) that can be expressed by an arbitrary polynomial for ⁇ when the length (for example, bit length) of the decryption key is ⁇ .
  • the first ciphertext is a value including a value obtained by encrypting a value derived from information including plaintext (for example, a value obtained by encrypting a value corresponding to plaintext).
  • the additional value is a value including a value derived from information including the first ciphertext and a random value (for example, a value corresponding to the first ciphertext and the random value).
  • values corresponding to the value ⁇ include information representing the value ⁇ or a map thereof, information representing a part of the information representing the value ⁇ or a map thereof, and information representing the value ⁇ .
  • Information or its mapping information including information representing a part of the information representing the value ⁇ or its mapping, another mapping of the mapping to obtain the value ⁇ , and the mapping of the mapping to obtain the value ⁇ It is another mapping of information including information.
  • the first ciphertext includes a value obtained by encrypting a value derived from a random value (for example, a value obtained by encrypting a value corresponding to the random value), and an additional value is a plaintext and a random value.
  • the decrypted value of the second ciphertext is difficult to obtain from only the decrypted value of the first ciphertext, the value including the value corresponding to the information including (for example, the value corresponding to the plaintext and the random value) In some cases (for example, when this is not possible), even if the information of the first ciphertext is given to the decryption capability providing device, the decryption of the second ciphertext is not performed unless the additional value information is given to the decryption capability providing device. The value information is not leaked to the decoding capability providing apparatus.
  • the decryption device gives the information of the first ciphertext to the decryption capability providing device without disturbing it (for example, the decryption device gives the information indicating the first ciphertext to the decryption capability providing device).
  • the information for obtaining the decrypted value of the first ciphertext may be obtained from the decryption capability providing device without obtaining the decryption key information from the decryption capability providing device. Thereby, the amount of calculation for the decryption apparatus to disturb the information of the first ciphertext can be reduced.
  • the decryption device may give information that disturbs the first ciphertext to the decryption capability providing device, and information for obtaining a decrypted value may be obtained from the decryption capability providing device. Good.
  • the decryption device gives the decryption capability providing device with information that disturbs the first ciphertext, and the decryption key It is desirable that the information for obtaining the decrypted value of the first ciphertext is obtained from the decryption capability providing device without obtaining the information from the decryption capability providing device.
  • a specific example of the first ciphertext is a ciphertext of an OW-CPA secure encryption method having homomorphism (OW-CPA secure ciphertext for the decrypted value of the first ciphertext), which is added to the first ciphertext.
  • a specific example of the second ciphertext corresponding to the value is an IND-CCA secure ciphertext that does not have homomorphism (IND-CCA secure ciphertext for plaintext).
  • IND-CCA secure ciphertext for plaintext The following is an example of an OW-CPA secure encryption scheme and an IND-CCA secure encryption scheme based thereon.
  • Method example 1 is a method based on a public key encryption method.
  • ⁇ OW-CPA secure encryption method 1-1 Key generation algorithm: KeyGen (1 ⁇ ) ⁇ (pk, sk)
  • ⁇ represents a security parameter that is an integer of 1 or more
  • 1 ⁇ represents a column of 1 ⁇
  • pk represents a public key (encryption key) of a public key cryptosystem
  • sk corresponds to it. Represents a secret key (decryption key).
  • KeyGen (1 ⁇ ) ⁇ (pk, sk) represents an operation to obtain (pk, sk) using 1 ⁇
  • Enc (pk, M 1 ) ⁇ C 0 is in accordance with the public key cryptosystem using pk.
  • Dec (sk, C 0 ) ⁇ M 1 ′ is obtained by decrypting C 0 according to the public key cryptosystem using sk.
  • Examples of the OW-CPA secure encryption method 1-1 include RSA encryption, ElGamal encryption, modified-ElGamal encryption, and Palier encryption.
  • ⁇ IND-CCA secure encryption method 1-2 based on OW-CPA secure encryption method 1-1
  • r represents a random value
  • ⁇ and k represent values derived from r (for example, values corresponding to r).
  • Enc_FO (pk) ⁇ C represents the operation of obtaining a ciphertext C corresponding to the random value r with pk
  • Enc (pk, alpha) ⁇ C 1 is ciphertext C 1 encrypts alpha with pk
  • FO (Q, r) ⁇ C 2 represents an operation of non-homogeneity that obtains a value C 2 derived from information including Q and r.
  • Q is a value derived from ⁇ . Since ⁇ and k are values derived from r, Q is a value corresponding to plaintext k.
  • Dec_FO (sk, C) ⁇ k represents an operation of non-homogeneity that obtains k by decoding C using sk.
  • the Dec_FO (sk, C) is a homomorphic operation Dec (sk, C 1 ) ⁇ Q obtained by decrypting the ciphertext C 1 by using the secret key sk and an inverse operation of FO.
  • a certain homomorphic operation FO ⁇ 1 (Q, C 2 ) ⁇ r is included.
  • the first ciphertext is C 1
  • the additional value is C 2
  • the second ciphertext (C 1 , C 2 ).
  • the plaintext is k, for example, a common key. However, the plaintext k may be a message.
  • a specific example of method example 1 is the PSEC-KEM method (see references 1, 2, etc.).
  • Reference 1 PSEC-KEM specification, Nippon Telegraph and Telephone Corporation, NTT Information Platform Research Laboratories, April 14, 2008
  • Reference 2 INTERNATIONAL STANDARD ISO / IEC 18033-2 “Information technology-Security techniques-Encryption algorithms -Part 2: Asymmetric ciphers ”
  • Method example 2 is an example based on an ID-based encryption method.
  • ⁇ OW-CPA secure encryption method 2-1 Setting algorithm: Setup (1 ⁇ ) ⁇ (PK, msk) Key generation algorithm: KeyGen (PK, id, msk) ⁇ sk id Encryption algorithm: Enc (PK, id, M) ⁇ c 0 Decoding algorithm: Dec (PK, sk id , c 0 ) ⁇ M ′ Encapsulation algorithm: Setup EC (1 ⁇ ) ⁇ pub S ( 1 ⁇ , pub) ⁇ (r, com, dec) R (pub, com, dec) ⁇ r'or ⁇
  • PK represents the public key (public parameter) of the ID-based encryption method
  • msk represents the master secret key
  • id represents the identifier
  • sk id represents the secret key corresponding to the identifier id.
  • pub represents an encapsulated public parameter
  • r, com, and dec represent random values
  • ⁇ represents an error.
  • Setup (1 ⁇ ) ⁇ (PK, msk) represents an operation to obtain (PK, msk) using 1 ⁇
  • KeyGen (PK, id, msk) ⁇ sk id uses PK, id, msk.
  • Enc (PK, id, M) ⁇ c 0 represents a homomorphic operation for encrypting M according to an ID-based encryption method using PK, id to obtain c 0.
  • Dec (PK, sk id , c 0 ) ⁇ M ′ represents a homomorphic operation that obtains M ′ by decrypting c 0 according to the ID-based encryption method using PK, sk id .
  • Setup EC (1 ⁇ ) ⁇ pub represents an operation for obtaining a pub with 1 ⁇ , S (1 ⁇ , pub) ⁇ (r, com, dec) , using (1 ⁇ , pub) (r , Com, dec) represents an operation for obtaining R ′ (pub, com, dec) ⁇ r′or ⁇ or ⁇ represents an operation for obtaining r ′ or ⁇ using (pub, com, dec).
  • Reference Document 3 An example of the ID-based encryption method is disclosed in Reference Document 3, for example.
  • Reference 3 D. Boneh and M. Franklin, “Identity-Based Encryption from the Weil Pairing,” Adv. In Cryptology
  • ⁇ IND-CCA secure encryption method 2-2 based on OW-CPA secure encryption method 2-1
  • dec) ⁇ c 0 MAC (r, c 0 ) ⁇ tag C (com, c 0 , tag)
  • dec represents a concatenated value of information representing M and information representing dec
  • MAC (r, c 0 ) ⁇ tag represents an operation for obtaining a message authenticator tag for (r, c 0 )
  • Vefy (r ′, c 0 , tag) represents the verification result of the message authenticator tag for (r ′, c 0 ).
  • the first ciphertext is a value c 0 obtained by encrypting a value derived from the plaintext M (a value corresponding to the plaintext M) M
  • the additional value is the first ciphertext c 0 (corresponding to the first ciphertext c 0 and a random value r) derived from the information including the random value r is a message authentication code tag.
  • a specific example of Method Example 2 is a method in which an ID-based encryption method is BK-converted (Reference Document 4). In the case of the method of Reference 4, the plain text M is a message.
  • the second ciphertext includes a first ciphertext that can be decrypted by homomorphic operation (for example, the second ciphertext is the first ciphertext, but the plaintext is not decrypted only by the decryption process of the first ciphertext).
  • the plaintext may be reconstructed by a non-homogeneous operation using a value derived from the decrypted value of the first ciphertext and an additional value derived from the decrypted value of the first ciphertext.
  • Such a decryption device that decrypts the second ciphertext performs self-correction processing with a decryption capability providing device that holds a decryption key for decrypting the first ciphertext, and the decrypted value of the first ciphertext Get.
  • the first ciphertext can be decrypted by a homomorphic operation, and such decryption of the first ciphertext can be executed by a known cloud key management type decryption method using a self-correction technique (for example, Patent Document 1).
  • the decryption device performs non-homogeneity calculation using the value derived from the decrypted value of the first ciphertext and the additional value derived from the decrypted value of the first ciphertext, and obtains and outputs the plaintext.
  • the self-correction process is used only for the decryption process of the first ciphertext that can be decrypted by the homomorphism operation, it is assumed that an additional value that becomes an operand of the non-homomorphism operation is included when the plaintext is restored.
  • cloud key management type decryption using self-correction technology can be performed.
  • the first ciphertext is an OW-CPA secure ciphertext with homomorphism (OW-CPA secure ciphertext for the decryption value of the first ciphertext). is there.
  • the second ciphertext is an IND-CCA secure ciphertext for plaintext.
  • the following is an example of the IND-CCA secure encryption method in Example 2 of the second ciphertext (see Reference 5). This example is also based on the above-described OW-CPA secure encryption method 1-1.
  • Reference 5 RSAES-OAEP Encryption Scheme: Algorithm specification and supporting documentation, RSA Laboratories, RSA Security Inc.
  • ⁇ IND-CCA secure encryption method 3-1 based on OW-CPA secure encryption method 1-1 >> Key generation algorithm: KeyGen (1 ⁇ ) ⁇ (pk, sk) Encryption algorithm: Enc (pk, Encode (M 3 , P)) ⁇ C 31 Decoding algorithm: Decode (Dec (sk, C 31 ), P) ⁇ M 3 ′ However, M 3 is a plain text, P is the encoding parameters. P may be empty. Enc (pk, Encode (M 3 , P)) ⁇ C 31 represents a homomorphic operation that encrypts Encode (M 3 , P) using pk to obtain ciphertext C 31 .
  • a specific example of the non-homomorphic operation Encode is an operation including EME-OAEP-Encode in Reference 5.
  • the additional value seed ′ matches the random value seed.
  • a specific example of the non-homogeneous operation Decode is an operation including EME-OAEP-Decode in Reference 5.
  • the first ciphertext C 31 is a value obtained by encrypting the value MS derived from the plaintext M 3 and information including seed that is a random value.
  • the additional value seed ′ is a value derived from information including the random value seed.
  • Second ciphertext of this example is first ciphertext C 31.
  • the first embodiment is an example of decoding the second cipher text C 10 of PSEC-KEM method described in reference 1.
  • the first ciphertext is a value C 11 obtained by encrypting the ⁇ value derived from a random value r (a value corresponding to r)
  • the additional value is the plaintext (common key) k (the random value r value) corresponding to the value ⁇ is a value C 12 corresponding to the information including the random value r.
  • the additional value C 12 is information derived from information including ⁇ and r.
  • the decoded value of the second ciphertext C 10 is common key k obtained from the random value r. That is, only from decoded value Q of the first ciphertext C 11, it is difficult to obtain a common key k is a decoded value of the second ciphertext C 10.
  • the security system 1 includes a key generation device 11, an encryption device 12, a decryption device 13, and a decryption capability providing device 14, which exchange information via a network. It is configured as possible.
  • FIG. 1 illustrates one key generation device 11, one encryption device 12, one decryption device 13, and one decryption capability providing device 14, but at least some of these devices. There may be more than one.
  • the encryption device 12 includes a storage unit 121, a random value generation unit 122, a corresponding value generation unit 123, a homomorphic encryption unit 124, a non-homomorphic processing unit 125, a synthesis Unit 126, encryption unit 127, and output unit 128.
  • the decoding device 13 includes an input unit 131, a storage unit 132, a decomposition unit 133, a self-correction processing unit 134, a non-homogeneity processing unit 135, and a decoding unit 136. As illustrated in FIG.
  • the decoding capability providing apparatus 14 includes a storage unit 141 and a decoding capability providing unit 142.
  • the key generation device 11, the encryption device 12, the decryption device 13, and the decryption capability providing device 14 are respectively a processor (hardware processor) such as a CPU (central processing unit) or a RAM (random-access memory).
  • a general-purpose or dedicated computer having a memory such as a ROM (read-only memory) is configured to execute a predetermined program.
  • the computer may include a single processor or memory, or may include a plurality of processors or memories. This program may be installed in a computer, or may be recorded in a ROM or the like in advance.
  • processing units may be configured using an electronic circuit that realizes a processing function independently instead of an electronic circuit (circuitry) that realizes a functional configuration by reading a program like a CPU.
  • an electronic circuit constituting one device may include a plurality of CPUs. Information output from each processing unit is stored in a temporary memory (not shown), read out as necessary, and used for processing of each processing unit.
  • the key generation device 11 executes a key generation algorithm KeyGen (1 ⁇ ) to obtain a public key pk and a secret key sk.
  • the public key pk is stored in the storage unit 121 of the encryption device 12 (FIG. 2). Furthermore, the public key pk is set in other devices.
  • the secret key sk is securely stored in the storage unit 141 of the decryption capability providing device 14 (FIG. 3).
  • the random value generation unit 122 of the encryption device 12 generates and outputs a random value r (step S101).
  • the corresponding value generator 123 receives the random value r, generates values (values corresponding to r) ⁇ , k derived from the random value r, and outputs them (step S102).
  • H is a bit string representing a hash value of information including information representing a random value r
  • H t
  • ⁇ is a function value of t.
  • k is a common key.
  • B represents concatenation of the bit strings A and B. Which position of H is defined as t and k is determined in advance.
  • Added value C 12 is a value that serves as the operator of the non homomorphism operation at the time of decoding.
  • C 10 is information including the information representing the information and C 12 representing the C 11, for example, connection information (e.g., bit sequence) the information representative of the C 11 (e.g., bit sequence) to represent C 12 Value.
  • connection information e.g., bit sequence
  • Encryption unit 127 receives as input an input message m and the common key k, and encrypts the input message m with the common key k in accordance with the common key encryption scheme, and outputs the common key cipher text C 13 (step S106).
  • Examples of the common key cryptosystem are AES and Cameria (registered trademark).
  • the output unit 128, a second ciphertext C 10 and the common key cipher text C 13 as input ciphertext C 1 including these (C 10, C 13) outputs a (step S107).
  • Ciphertext C 1 is sent to the decoder 13 via the network.
  • Ciphertext C 1 is input to the input unit 131 of the decoding device 13 (FIG. 3) is stored in the storage unit 132 (step S108).
  • the self-correction processing unit 134 receives the first ciphertext C 11 and the decryption capability of the decryption capability providing apparatus 14 that holds the secret key (decryption key) sk for decrypting the first ciphertext C 11 in the storage unit 141.
  • the cloud key management type decryption process using the self-correction technique is a known technique described in Patent Documents 1 to 3 and the like. The outline is shown below.
  • the self-correction processing unit 134 provides information corresponding to the first ciphertext C 11 to the decryption capability providing unit 142 of the decryption capability providing apparatus 14 and provides information on the secret key (decryption key) sk from the decryption capability providing apparatus 14. Without obtaining the information, the self-correction processing unit 134 obtains information for obtaining the decrypted value Q of the first ciphertext C 11 from the decryption capability providing apparatus 14.
  • the decoding capability providing unit 142 of the decoding capability providing apparatus 14 the information corresponding to the first ciphertext C 11 from the self-correction processing unit 134 gives the information of the private key (decryption key) sk to the decoder 13 it not, and outputs the information for self-correction processing unit 134 to obtain the decoded value Q of the first ciphertext C 11 by the self-correction process against self-correction processing unit 134.
  • the self-correction processing unit 134 obtains the decoded value Q using the information given from the decoding capability providing unit 142.
  • the “information corresponding to the first ciphertext C 11 ” given to the decryption capability providing unit 142 disturbs the first ciphertext C 11 .
  • it is difficult to obtain a common key k is a decoded value of the second ciphertext to C 10 only decoded value Q. Therefore, even if the decrypted value Q leaks to the decryption capability providing device 14, the information on the common key k does not leak to the decryption capability providing device 14.
  • the self-correction processing unit 134 may obtain information for obtaining the decoded value Q from the decoding capability providing unit 142.
  • G, H is the group (e.g., a finite-friendly ⁇ such cyclic groups)
  • f (x) is decoded
  • X 1 and X 2 are random variables having values in group G
  • x 1 is an actual value of random variable X 1
  • x 2 is an actual value of random variable X 2
  • A, b are natural numbers that are relatively prime.
  • the following examples do not limit the present invention, and other self-correction techniques may be used.
  • the group H is a cyclic group
  • the generation source of the cyclic group H is ⁇ h
  • r1 and r2 are random natural numbers of 0 or more
  • ⁇ 1 ⁇ h r1 x b
  • ⁇ 2 ⁇ h r2 x a
  • One of a and b may be a constant such as 1.
  • the natural numbers r1 and r2 are constants, processing for generating the natural numbers r1 and r2 at random is unnecessary.
  • the first input information ⁇ 1 and the second input information ⁇ 2 are sent to the decoding capability providing unit 142.
  • the “certain probability” is a probability of less than 100% and 0% or more.
  • the example of “certain probability” is a probability that cannot be ignored, and the example of “probability that cannot be ignored” is a case where a polynomial ⁇ (k) is a polynomial that is a broad monotone increasing function for the security parameter k. Of 1 / ⁇ (k) or more.
  • the first output information z 1 is sent to the self-correction processing unit 134.
  • Step 111b The processing unit 142b of the decryption capability providing unit 142 uses the sent second input information ⁇ 2 and the secret key sk stored in the storage unit 141, and uses f ( ⁇ 2 ) with a probability larger than a certain probability. correctly calculated, a calculation result obtained as the second output information z 2.
  • the decoding capability providing unit 142 can calculate f ( ⁇ 2 ), but may output a calculation result including an intentional or unintentional error.
  • the second output information z 2 is sent to the self-correction processing unit 134.
  • b and r1 are the same as those used in the processing unit 134a.
  • the calculation result u is stored in the storage unit 134e.
  • the self-correction processing unit 134 indicates error information indicating that decoding is impossible. Is output.
  • the process of step 110d may be performed between step 110b and step 110c.
  • the homomorphism processing unit 135 performs an exclusive OR of a bit string representing a hash value of information including information representing C 11 and information representing the decoded value Q and a bit string representing the additional value C 12 . Obtained as a bit string representing the random value r.
  • Decoding unit 136 receives as input a common key cipher text C 13 and the common key k, decrypts the common key cipher text C 13 with the common key k in accordance with the common key encryption scheme, and outputs the obtained decoded value m ' (Step S113).
  • the second embodiment is an example of decrypting a second ciphertext of a method obtained by performing BK conversion on the ID-based encryption method described in Reference Document 4.
  • message is a value C 21 obtained by encrypting the dec, additional value corresponds to the random value r first ciphertext C 21 authenticator tag.
  • the security system 2 of the second embodiment includes a key generation device 21, an encryption device 22, a decryption device 23, and a decryption capability providing device 24, which exchange information via a network. It is configured as possible.
  • FIG. 1 illustrates one key generation device 21, one encryption device 22, one decryption device 23, and one decryption capability providing device 24, but at least some of these devices. There may be more than one.
  • the encryption device 22 includes a storage unit 221, a random value generation unit 222, a homomorphic encryption unit 224, a non-homomorphic processing unit 225, and an output unit 228.
  • the decoding device 23 includes an input unit 231, a storage unit 232, a self-correction processing unit 234, a non-homogeneity processing unit 235, and an output unit 236.
  • the decryption capability providing apparatus 24 includes a storage unit 241, a decryption capability providing unit 242, and a secret key acquisition unit 243. As illustrated in FIG.
  • the key generation device 21 of this embodiment includes a storage unit 211, a secret key generation unit 212, and a setting unit 213.
  • the key generation device 21, the encryption device 22, the decryption device 23, and the decryption capability providing device 24 are each configured by, for example, a predetermined program being read into the above-described computer. Information output from each processing unit is stored in a temporary memory (not shown), read out as necessary, and used for processing of each processing unit.
  • the setting unit 213 of the key generation device 21 executes a setting algorithm Setup (1 ⁇ ) and Setup EC (1 ⁇ ) to obtain a public key (PK, pub) and a master secret key msk.
  • the public key (PK, pub) is stored in the storage unit 221 of the encryption device 22 (FIG. 5). Furthermore, the public key (PK, pub) is also set in other devices.
  • the master secret key msk is securely stored in the storage unit 211 of the key generation device 21.
  • the random value generation unit 222 of the encryption device 22 generates a random value (r, com, dec) by S (1 ⁇ , pub) ⁇ (r, com, dec) and outputs it. (Step S201). com functions as an identifier.
  • Homomorphism encryption unit 224 inputs the public key PK and a random value dec identifier com and the plaintext m, Enc (PK, com, m
  • the first ciphertext C 21 is a ciphertext that can be decrypted by a homomorphic operation.
  • the non-homomorphism processing unit 225 receives the random value r and the first ciphertext C 21 as input, and MAC (r, C 21 ) ⁇ tag to authenticate the random value r and the first ciphertext C 21.
  • tag is obtained as an additional value and output (step S204).
  • the additional value tag is a value that becomes an operand of non-homogeneous calculation at the time of decoding.
  • the second ciphertext C 2 is information including the information indicating the additional value tag information and the information representative of the first ciphertext C 21 representing the identifier com, for example, information representing the identity com (e.g., bit string ) And information (for example, bit string) representing the first ciphertext C 21 and information (for example, bit string) representing the additional value tag.
  • Second ciphertext C 2 is sent to the decoder 23 via the network.
  • the second ciphertext C 2 is input to the input unit 231 of the decoding device 23 (FIG. 6) is stored in the storage unit 232 (step S208).
  • the identifier “com” is input to the secret key acquisition unit 243 of the decryption capability providing device 24.
  • the secret key acquisition unit 243 outputs the identifier com to the key generation device 21 (step S209b).
  • the secret key generation unit 212 of the key generation device 21 receives the identifier com and the master secret key msk, obtains and outputs the secret key sk com corresponding to the identifier com by KeyGen (PK, com, msk) ⁇ sk com . To do.
  • the secret key sk com is input to the secret key acquisition unit 243, and is securely stored in the storage unit 241 (step S209c).
  • Self-correction processing (cloud key management type decryption processing using self-correction technology) is performed with the decryption capability providing unit 242 of the decryption capability providing apparatus 24 that holds sk com , and the first ciphertext C 21
  • the self-correction processing unit 234 provides information corresponding to the first ciphertext C 21 to the decryption capability providing unit 242 of the decryption capability providing apparatus 24 and provides the decryption capability with information on the secret key (decryption key) sk com. Without obtaining from the device 24, the self-correction processing unit 234 obtains information for obtaining the decrypted value m ′
  • the decryption capability providing unit 242 of the decryption capability providing device 24 obtains information corresponding to the first ciphertext C 21 from the self-correction processing unit 234, and does not give the information of the secret key sk com to the decryption device 23.
  • the self-correction processing unit 234 outputs information for obtaining the decrypted value m ′
  • the self-correction processing unit 234 obtains a decoded value m ′
  • the non-homomorphism processing unit 235 performs a non-homomorphic operation using the decrypted value m ′
  • dec ′, the identifier com included in the second ciphertext C 2 (com, C 21 , tag), and the additional value tag, and R ( pub, com, dec ′) ⁇ r ′ to obtain r ′.
  • the security system 3 includes a key generation device 31, an encryption device 32, a decryption device 33, and a decryption capability providing device 34, which exchange information via a network. It is configured as possible.
  • FIG. 1 illustrates one key generation device 31, one encryption device 32, one decryption device 33, and one decryption capability providing device 34, but at least some of these devices. There may be more than one.
  • the encryption device 32 includes a storage unit 321, a random value generation unit 322, a homomorphic encryption unit 324, a non-homomorphic processing unit 325, a conversion unit 326, and an output unit. 328.
  • the decoding device 33 includes an input unit 331, a storage unit 332, a restoration unit 333, a self-correction processing unit 334, an inhomogeneity processing unit 335, an output unit 236, and a conversion unit 337.
  • the decoding capability providing apparatus 34 includes a storage unit 341 and a decoding capability providing unit 342.
  • the key generation device 31, the encryption device 32, the decryption device 33, and the decryption capability providing device 34 are devices configured by, for example, reading a predetermined program into the above-described computer. Information output from each processing unit is stored in a temporary memory (not shown), read out as necessary, and used for processing of each processing unit.
  • the key generation device 31 executes a key generation algorithm KeyGen (1 ⁇ ) to obtain a public key pk and a secret key sk.
  • the public key pk is stored in the storage unit 321 of the encryption device 32 (FIG. 8). Furthermore, the public key pk is set in other devices.
  • the secret key sk is securely stored in the storage unit 341 of the decryption capability providing device 34 (FIG. 9).
  • the public key pk is an RSA public key (e, n)
  • the secret key sk is an RSA secret key (n, d) corresponding to the RSA public key (e, n).
  • the key generation device 31 outputs the encoding parameter P.
  • the encoding parameter P is stored in the storage unit 321 of the encryption device 32 and the storage unit 341 of the decryption capability providing device 34.
  • the homomorphic encryption unit 324 receives the MS (value derived from the plaintext m and information including the random value seed) and the public key pk read from the storage unit 321 as input, and Enc (pk, MS) ⁇ C 31 to obtain a first ciphertext C 31 encrypts the MS output by (step S303).
  • the first ciphertext C 31 is a ciphertext that can be decrypted by a homomorphic operation.
  • Ciphertext C 3 are input to the input unit 331 of the decoding device 33 (FIG. 3) is stored in the storage unit 332 (step S306).
  • the self-correction processing unit 334 gives information corresponding to the first ciphertext C 31 to the decryption capability providing unit 342 of the decryption capability providing apparatus 34 and also provides information on the secret key (decryption key) sk. Without obtaining from 34, the self-correction processing unit 334 obtains information for obtaining the decrypted value MS of the first ciphertext C 31 from the decryption capability providing apparatus 34. In other words, the decryption capability providing unit 342 of the decryption capability providing apparatus 34 obtains information corresponding to the first ciphertext C 31 from the self-correction processing unit 334, and does not give the information of the secret key sk to the decryption apparatus 33.
  • the correction processing unit 334 outputs information for obtaining the decrypted value MS of the first ciphertext C 31 to the self-correction processing unit 334 by self-correction processing.
  • the self-correction processing unit 334 obtains the decoded value MS using the information given from the decoding capability providing unit 342.
  • "information corresponding to the first ciphertext C 31" given to the decoding capability providing unit 342 to disrupt the first ciphertext C 31 Information is desirable.
  • the restoration unit 333 and the non-homomorphism processing unit 335 receive the decoded value MS and the encoding parameter P read from the storage unit 332 as inputs, and restore the plain text m by the homomorphism operation Decode (MS, P) ⁇ m. Output. That is, the restoration unit 333 restores the value maskedDB and the random value seed corresponding to the plaintext m from the MS (step S312), the non-homogeneity processing unit 335 restores and outputs the plaintext m from them, and the output unit 336 outputs the plaintext m (step S313). These processes are non-homogeneous operations.
  • m is obtained, and the output unit 336 outputs the plaintext m (step S313).
  • the present invention is not limited to the embodiment described above.
  • at least some of the devices may exchange information via a portable recording medium.
  • at least some of the devices may exchange information via a non-portable recording medium. That is, the combination which consists of a part of these apparatuses may be the same apparatus.
  • the self-correction technique is not limited to that described above.
  • the group H is a direct product group G ⁇ G of the group G
  • the group G is a cyclic group
  • the generation source of the cyclic group G is ⁇ g
  • the first ciphertext x (c 1 , c 2 )
  • is r4 ⁇ r7 0 or a natural number of random numbers
  • tau 1 Yes in (c 2 b W r4, c 1 b V r4 ⁇ g r5)
  • tau 2 a (c 2 a W r6, c 1 a V r6 ⁇ g r7)
  • the encoding parameter P may be empty. In this case, the encoding parameter P is not generated and P is processed as empty.
  • the bit string may be an octet string.
  • a computer-readable recording medium is a non-transitory recording medium. Examples of such a recording medium are a magnetic recording device, an optical disk, a magneto-optical recording medium, a semiconductor memory, and the like.
  • This program is distributed, for example, by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
  • a computer that executes such a program first stores a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, this computer reads a program stored in its own recording device and executes a process according to the read program. As another execution form of the program, the computer may read the program directly from the portable recording medium and execute processing according to the program, and each time the program is transferred from the server computer to the computer. The processing according to the received program may be executed sequentially.
  • the processing functions of the apparatus are realized by executing a predetermined program on a computer, but at least a part of these processing functions may be realized by hardware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

　復号装置１３は、準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、第１暗号文の復号値を得、第１暗号文の復号値に対応する又は由来する値と付加値とを用いた非準同型性演算を行い、平文を出力する。

Description

復号装置、復号能力提供装置、それらの方法、およびプログラム
　本発明は、クラウド鍵管理型の復号技術に関する。
　公開鍵暗号方式や共通鍵暗号方式などの暗号方式で暗号化された暗号文を復号するためには、特定の復号鍵が必要である。復号鍵を保持していない復号装置が暗号文の復号結果を得るための従来方法の一つは、復号鍵を保持している外部装置が復号装置に復号鍵を提供し、復号装置がその復号鍵を用いて暗号文の復号を行う方法である。復号装置が暗号文の復号結果を得るための他の従来方法は、復号装置が暗号文を外部装置に提供し、外部装置が暗号文を復号してその復号結果を復号装置に提供する方法である。
　しかしながら、前者の方法では、復号鍵そのものが復号装置に提供されるため、安全性の問題がある。一方、後者の方法では、復号装置が復号結果の正しさを検証できない。
　このような問題を解決する技術として、自己訂正（Self-Correcting）技術を用いたクラウド鍵管理型の復号技術がある（例えば、特許文献１～３等参照）。自己訂正技術とは、必ずしも正しい計算結果を出力するとは限らない計算機やシステムを用いて常に正しい計算を行う（正しい計算結果を出力する計算機を用いた場合に正しい計算結果を出力し、必ずしも正しい結果を出力するとは限らない計算機を用いた場合に、正しい計算結果を得るか、または計算できない旨の結果を得る）技術である。自己訂正技術を用いたクラウド鍵管理型の復号技術では、復号鍵を保持する復号能力提供装置が復号鍵を復号装置に与えることなく、復号装置が暗号文を復号するための情報のみを復号装置に与える。復号装置は、この情報を用いて常に正しい復号演算を行うことができる。
国際公開ＷＯ／２０１２／０５７１３４号公報 国際公開ＷＯ／２０１１／０８６９９２号公報 国際公開ＷＯ／２０１２／１２１１５２号公報
　しかしながら、準同型性演算と非準同型性演算とを含む復号処理の場合、自己訂正技術を用いたクラウド鍵管理型の復号を行うことができない。
　復号装置は、準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、第１暗号文の復号値を得、第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行い、平文を出力する。
　本発明では、準同型性演算によって復号可能な第１暗号文の復号処理のみに自己訂正処理を用いるため、復号処理が準同型性演算と非準同型性演算とを含む場合であっても、自己訂正技術を用いたクラウド鍵管理型の復号を行うことができる。
図１は、実施形態のセキュリティシステムのブロック図である。 図２は、第１実施形態の暗号化装置のブロック図である。 図３Ａは、第１実施形態の復号装置および復号能力提供装置のブロック図である。図３Ｂは、第１実施形態の自己訂正処理部および復号能力提供部１４２の詳細を例示するブロック図である。 図４は、第１実施形態の復号処理を説明するための図である。 図５は、第２実施形態の暗号化装置のブロック図である。 図６は、第２実施形態の復号装置および復号能力提供装置のブロック図である。 図７は、第２実施形態の復号処理を説明するための図である。 図８は、第３実施形態の暗号化装置のブロック図である。 図９は、第３実施形態の復号装置および復号能力提供装置のブロック図である。 図１０は、第３実施形態の復号処理を説明するための図である。
　以下、本発明の実施形態を説明する。
　［原理］
　各実施形態では、復号装置が、準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、第１暗号文の復号値を得、第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行い、平文を出力する。平文は、第１暗号文を含む情報に対応する第２暗号文の復号値である。「Ａに由来（derive）する値Ｂ」とは、（１）ＡもしくはＡの一部の情報、または、（２）ＡもしくはＡの一部の情報の関数値、または、（３）ＡもしくはＡの一部の情報およびその他の情報を含む情報の関数値を意味する。「Ａに由来する値Ｂ」の例は「Ａに対応するＢ」である。「Ａに由来する値Ｂ」の他の例は「Ａに基づくＢ」である。また「Ａを含むＢ」とは、（１）ＢがＡであること、または、（２）ＢがＡを要素に含むこと、または、（３）Ｂの一部分がＡである（例えば、Ｂの一部のビットがＡを表している）ことを意味する。
　＜第２暗号文の例１＞
　第２暗号文は、例えば、準同型性演算によって復号可能な第１暗号文と復号時に非準同型性演算の被演算子となる付加値とに対応する暗号文（例えば、第１暗号文と付加値とを含む暗号文）である。このような第２暗号文の復号を行う復号装置は、第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、第１暗号文の復号値を得る。第１暗号文は準同型性演算によって復号可能であり、このような第１暗号文の復号は、自己訂正技術を用いた公知のクラウド鍵管理型の復号方式によって実行できる（例えば、特許文献１～３等参照）。さらに復号装置は、この第１暗号文の復号値と付加値とを用いた非準同型性演算を行い、第２暗号文の復号値を出力する。このように、準同型性演算によって復号可能な第１暗号文の復号処理のみに自己訂正処理を用いるため、第２暗号文がその復号時に非準同型性演算の被演算子となる付加値を含んでいたとしても、自己訂正技術を用いたクラウド鍵管理型の復号を行うことができる。
　第１暗号文の例は、ランダム値に由来する値を暗号化して得られる値を含み（例えば、ランダム値に対応する値を暗号化して得られる値であり）、この場合の付加値の例は、平文とランダム値とを含む情報に対応する値を含む値（例えば、平文とランダム値とに対応する値）である。この第１暗号文の例において、好ましくは、第１暗号文の復号値のみから第２暗号文の復号値を得ることが困難（例えば不可能）である。「復号値を得ることが困難」とは、例えば、多項式時間内に復号値を得ることができないことを意味する。「多項式時間」とは、例えば、復号鍵のサイズ（長さ）の多項式で表現可能な時間（計算時間）を意味する。言い換えると、「多項式時間」とは、例えば、復号鍵の長さ（例えばビット長）をχとした場合のχについての任意の多項式で表現可能な時間（計算時間）を意味する。第１暗号文の他の例は、平文を含む情報に由来する値を暗号化して得られる値を含む値（例えば、平文に対応する値を暗号化して得られる値）であり、この場合の付加値は、第１暗号文とランダム値とを含む情報に由来する値を含む値（例えば、第１暗号文とランダム値とに対応する値）である。値θ（例えば、ランダム値や平文等）に対応する値の例は、値θを表す情報またはその写像、値θを表す情報の一部を表す情報またはその写像、値θを表す情報を含む情報またはその写像、値θを表す情報の一部を表す情報を含む情報またはその写像、値θを得るための写像の逆像の他の写像、値θを得るための写像の逆像を表す情報を含む情報の他の写像である。
　ここで、第１暗号文がランダム値に由来する値を暗号化して得られる値を含み（例えば、ランダム値に対応する値を暗号化して得られる値であり）、付加値が平文とランダム値とを含む情報に対応する値を含む値（例えば、平文とランダム値とに対応する値であり）、第１暗号文の復号値のみから第２暗号文の復号値を得ることが困難である場合（例えば、それが不可能な場合）、第１暗号文の情報が復号能力提供装置に与えられても、付加値の情報が復号能力提供装置に与えられない限り、第２暗号文の復号値の情報は復号能力提供装置に漏洩しない。よって、このような場合には、復号装置が第１暗号文の情報をかく乱することなく復号能力提供装置に与え（例えば、復号装置が第１暗号文を表す情報を復号能力提供装置に与え）、かつ、復号鍵の情報を復号能力提供装置から得ることなく、第１暗号文の復号値を得るための情報を復号能力提供装置から得てもよい。これにより、復号装置が第１暗号文の情報をかく乱するための演算量を削減できる。ただし、これは一例であって、このような場合に、復号装置が第１暗号文をかく乱した情報を復号能力提供装置に与え、復号値を得るための情報を復号能力提供装置から得てもよい。
　一方、第１暗号文の復号値から第２暗号文の復号値の情報が得られる場合には、復号装置が、第１暗号文をかく乱した情報を復号能力提供装置に与え、かつ、復号鍵の情報を復号能力提供装置から得ることなく、第１暗号文の復号値を得るための情報を復号能力提供装置から得る構成であることが望ましい。
　第１暗号文の具体例は、準同型性を持つＯＷ－ＣＰＡ安全な暗号方式の暗号文（第１暗号文の復号値についてＯＷ－ＣＰＡ安全な暗号文）であり、第１暗号文と付加値とに対応する第２暗号文の具体例は、準同型性を持たないＩＮＤ－ＣＣＡ安全な暗号方式の暗号文（平文についてＩＮＤ－ＣＣＡ安全な暗号文）である。以下に、ＯＷ－ＣＰＡ安全な暗号方式と、これに基づくＩＮＤ－ＣＣＡ安全な暗号方式を例示する。
　＜方式例１＞
　方式例１は、公開鍵暗号方式に基づく方式である。
　《ＯＷ－ＣＰＡ安全な暗号方式１－１》
　鍵生成アルゴリズム：ＫｅｙＧｅｎ（１λ）→（ｐｋ，ｓｋ）
　暗号化アルゴリズム：Ｅｎｃ（ｐｋ，Ｍ１）→Ｃ０
　復号アルゴリズム：Ｄｅｃ（ｓｋ，Ｃ０）→Ｍ１’
　ただし、λは１以上の整数であるセキュリティパラメータを表し、１λはλ個の１からなる列を表し、ｐｋは公開鍵暗号方式の公開鍵（暗号化鍵）を表し、ｓｋはそれに対応する秘密鍵（復号鍵）を表す。ＫｅｙＧｅｎ（１λ）→（ｐｋ，ｓｋ）は、１λを用いて（ｐｋ，ｓｋ）を得る演算を表し、Ｅｎｃ（ｐｋ，Ｍ１）→Ｃ０はｐｋを用いて公開鍵暗号方式に則ってＭ１を暗号化してＣ０を得る準同型性の演算を表し、Ｄｅｃ（ｓｋ，Ｃ０）→Ｍ１’は、ｓｋを用いて公開鍵暗号方式に則ってＣ０を復号してＭ１’を得る準同型性の演算を表す。ＯＷ－ＣＰＡ安全な暗号方式１－１の例は、ＲＳＡ暗号、ＥｌＧａｍａｌ暗号、ｍｏｄｉｆｉｅｄ－ＥｌＧａｍａｌ暗号、Ｐａｉｌｌｉｅｒ暗号などである。
　《ＯＷ－ＣＰＡ安全な暗号方式１－１に基づくＩＮＤ－ＣＣＡ安全な暗号方式１－２》
　鍵生成アルゴリズム：ＫｅｙＧｅｎ（１λ）→（ｐｋ，ｓｋ）
　暗号化アルゴリズム：Ｅｎｃ＿ＦＯ（ｐｋ）→Ｃ＝（Ｃ１，Ｃ２）＝（Ｅｎｃ（ｐｋ，α），ＦＯ（Ｑ，ｒ））
　復号アルゴリズム：Ｄｅｃ＿ＦＯ（ｓｋ，Ｃ）→ｋ
　ただし、ｒはランダム値を表し、αおよびｋはｒに由来する値（例えば、ｒに対応する値）を表す。Ｅｎｃ＿ＦＯ（ｐｋ）→Ｃはｐｋを用いてランダム値ｒに対応する暗号文Ｃを得る演算を表し、Ｅｎｃ（ｐｋ，α）→Ｃ１は、ｐｋを用いてαを暗号化して暗号文Ｃ１を得る準同型性の演算を表す。ＦＯ（Ｑ，ｒ）→Ｃ２は、Ｑとｒとを含む情報に由来する値Ｃ２を得る非準同型性の演算を表す。ただし、Ｑはαに由来する値である。αおよびｋはｒに由来する値であるため、Ｑは平文ｋに対応する値である。Ｄｅｃ＿ＦＯ（ｓｋ，Ｃ）→ｋはｓｋを用いてＣを復号してｋを得る非準同型性の演算を表す。このＤｅｃ＿ＦＯ（ｓｋ，Ｃ）は、秘密鍵ｓｋを用いて暗号文Ｃ１を復号して復元値Ｑを得る準同型性の演算Ｄｅｃ（ｓｋ，Ｃ１）→Ｑ、および、ＦＯの逆演算である非準同型性の演算ＦＯ－１（Ｑ，Ｃ２）→ｒを含む。方式例１の場合、第１暗号文はＣ１であり、付加値はＣ２であり、第２暗号文はＣ＝（Ｃ１，Ｃ２）である。平文はｋであり、例えば共通鍵である。ただし、平文ｋがメッセージであってもよい。方式例１の具体例は、ＰＳＥＣ－ＫＥＭ方式である（参考文献１，２等参照）。
　参考文献１：ＰＳＥＣ－ＫＥＭ仕様書、日本電信電話株式会社、ＮＴＴ情報プラットフォーム研究所、平成２０年４月１４日
　参考文献２：INTERNATIONAL STANDARD ISO/IEC 18033-2“Information technology - Security techniques - Encryption algorithms -Part 2:Asymmetric ciphers”
　＜方式例２＞
　方式例２は、ＩＤベース暗号方式に基づく例である。
　《ＯＷ－ＣＰＡ安全な暗号方式２－１》
　設定アルゴリズム：Ｓｅｔｕｐ（１λ）→（ＰＫ，ｍｓｋ）
　鍵生成アルゴリズム：ＫｅｙＧｅｎ（ＰＫ，ｉｄ，ｍｓｋ）→ｓｋｉｄ
　暗号化アルゴリズム：Ｅｎｃ（ＰＫ，ｉｄ，Ｍ）→ｃ０
　復号アルゴリズム：Ｄｅｃ（ＰＫ，ｓｋｉｄ，ｃ０）→Ｍ’
　カプセル化アルゴリズム：
　　ＳｅｔｕｐＥＣ（１λ）→ｐｕｂ
　　Ｓ（１λ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）
　　Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）→ｒ’　ｏｒ　｛⊥｝
　ただし、ＰＫはＩＤベース暗号方式の公開鍵（公開パラメータ）を表し、ｍｓｋはそのマスター秘密鍵を表し、ｉｄは識別子を表し、ｓｋｉｄは識別子ｉｄに対応する秘密鍵を表す。ｐｕｂはカプセル化の公開パラメータを表し、ｒ，ｃｏｍ，ｄｅｃはそれぞれランダム値を表し、｛⊥｝はエラーを表す。Ｓｅｔｕｐ（１λ）→（ＰＫ，ｍｓｋ）は、１λを用いて（ＰＫ，ｍｓｋ）を得る演算を表し、ＫｅｙＧｅｎ（ＰＫ，ｉｄ，ｍｓｋ）→ｓｋｉｄは、ＰＫ，ｉｄ，ｍｓｋを用いてｓｋｉｄを得る演算を表し、Ｅｎｃ（ＰＫ，ｉｄ，Ｍ）→ｃ０は、ＰＫ，ｉｄを用いてＩＤベース暗号方式に則ってＭを暗号化してｃ０を得る準同型性の演算を表し、Ｄｅｃ（ＰＫ，ｓｋｉｄ，ｃ０）→Ｍ’は、ＰＫ，ｓｋｉｄを用いてＩＤベース暗号方式に則ってｃ０を復号してＭ’を得る準同型性の演算を表す。ＳｅｔｕｐＥＣ（１λ）→ｐｕｂは、１λを用いてｐｕｂを得る演算を表し、Ｓ（１λ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）は、（１λ，ｐｕｂ）を用いて（ｒ，ｃｏｍ，ｄｅｃ）を得る演算を表し、Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）→ｒ’ｏｒ｛⊥｝は、（ｐｕｂ，ｃｏｍ，ｄｅｃ）を用いてｒ’または｛⊥｝を得る演算を表す。ＩＤベース暗号方式の一例については、例えば、参考文献３に開示されている。
　参考文献３：D. Boneh and M. Franklin, “Identity-Based Encryption from the Weil Pairing,” Adv. in Cryptology | Crypto 2001, LNCS vol. 2139, Springer-Verlag, pp. 213-229, 2001. Full version in SIAM J. Computing 32(3): 586-615, 2003.
　《ＯＷ－ＣＰＡ安全な暗号方式２－１に基づくＩＮＤ－ＣＣＡ安全な暗号方式２－２》
　設定アルゴリズム：
　　Ｓｅｔｕｐ（１λ）→（ＰＫ，ｍｓｋ）
　　ＳｅｔｕｐＥＣ（１λ）→ｐｕｂ
　暗号化アルゴリズム：
　　Ｓ（１λ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）
　　Ｅｎｃ（ＰＫ，ｃｏｍ，Ｍ｜ｄｅｃ）→ｃ０
　　ＭＡＣ（ｒ，ｃ０）→ｔａｇ
　　Ｃ＝（ｃｏｍ，ｃ０，ｔａｇ）
　復号アルゴリズム：
　　ＫｅｙＧｅｎ（ＰＫ，ｃｏｍ，ｍｓｋ）→ｓｋｃｏｍ
　　Ｄｅｃ（ＰＫ，ｓｋｃｏｍ，ｃ０）→Ｍ’｜ｄｅｃ’
　　Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ’）→ｒ’
　　ｒ’≠｛⊥｝であればＶｅｆｙ（ｒ’，ｃ０，ｔａｇ）
　　Ｖｅｆｙ（ｒ’，ｃ０，ｔａｇ）≠｛⊥｝であればＭ’出力。
　ただし、Ｍ｜ｄｅｃはＭを表す情報とｄｅｃを表す情報との連結値を表し、ＭＡＣ（ｒ，ｃ０）→ｔａｇは、（ｒ，ｃ０）に対するメッセージ認証子ｔａｇを得る演算を表し、Ｖｅｆｙ（ｒ’，ｃ０，ｔａｇ）は、（ｒ’，ｃ０）に対するメッセージ認証子ｔａｇの検証結果を表す。
　方式例２の場合、第１暗号文は平文Ｍに由来する値（平文Ｍに対応する値）Ｍ｜ｄｅｃを暗号化して得られる値ｃ０であり、付加値は第１暗号文ｃ０とランダム値ｒとを含む情報に由来する（第１暗号文ｃ０とランダム値ｒとに対応する）メッセージ認証子ｔａｇである。第２暗号文はＣ＝（ｃｏｍ，ｃ０，ｔａｇ）である。方式例２の具体例は、ＩＤベース暗号方式をＢＫ変換した方式である（参考文献４）。参考文献４の方式の場合、平文Ｍはメッセージである。
　参考文献４：Dan Boneh1, Jonathan Katz, “Improved Efficiency for CCA-Secure Cryptosystems Built Using Identity-Based Encryption,” In proceedings of RSA-CT '05, LNCS 3376, pp. 87-103, 2005.
　＜第２暗号文の例２＞
　第２暗号文が、準同型性演算によって復号可能な第１暗号文を含み（例えば、第２暗号文は第１暗号文であるが、第１暗号文の復号処理のみでは平文が復号されない）、第１暗号文の復号値に由来する値と当該第１暗号文の復号値に由来する付加値とを用いた非準同型性演算によって平文が復元可能なものであってもよい。このような第２暗号文の復号を行う復号装置は、第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、第１暗号文の復号値を得る。第１暗号文は準同型性演算によって復号可能であり、このような第１暗号文の復号は、自己訂正技術を用いた公知のクラウド鍵管理型の復号方式によって実行できる（例えば、特許文献１～３等参照）。さらに復号装置は、この第１暗号文の復号値に由来する値と当該第１暗号文の復号値に由来する付加値とを用いた非準同型性演算を行い、平文を得て出力する。このように、準同型性演算によって復号可能な第１暗号文の復号処理のみに自己訂正処理を用いるため、平文の復元時に非準同型性演算の被演算子となる付加値を含んでいたとしても、自己訂正技術を用いたクラウド鍵管理型の復号を行うことができる。
　第２暗号文の例２の場合も、第１暗号文は、準同型性を持つＯＷ－ＣＰＡ安全な暗号方式の暗号文（第１暗号文の復号値についてＯＷ－ＣＰＡ安全な暗号文）である。第２暗号文は、平文についてＩＮＤ－ＣＣＡ安全な暗号文である。以下に、第２暗号文の例２でのＩＮＤ－ＣＣＡ安全な暗号方式を例示する（参考文献５参照）。この例も前述のＯＷ－ＣＰＡ安全な暗号方式１－１に基づくものである。
　参考文献５：RSAES-OAEP Encryption Scheme:Algorithm specification and supporting documentation, RSA Laboratories, RSA Security Inc.
　《ＯＷ－ＣＰＡ安全な暗号方式１－１に基づくＩＮＤ－ＣＣＡ安全な暗号方式３－１》
　鍵生成アルゴリズム：ＫｅｙＧｅｎ（１λ）→（ｐｋ，ｓｋ）
　暗号化アルゴリズム：Ｅｎｃ（ｐｋ，Ｅｎｃｏｄｅ（Ｍ３，Ｐ））→Ｃ３１
　復号アルゴリズム： Ｄｅｃｏｄｅ（Ｄｅｃ（ｓｋ，Ｃ３１），Ｐ）→Ｍ３’
　ただし、Ｍ３は平文であり、Ｐはエンコーディングパラメータである。Ｐが空（Empty）であってもよい。Ｅｎｃ（ｐｋ，Ｅｎｃｏｄｅ（Ｍ３，Ｐ））→Ｃ３１はｐｋを用いてＥｎｃｏｄｅ（Ｍ３，Ｐ）を暗号化して暗号文Ｃ３１を得る準同型性の演算を表す。Ｅｎｃｏｄｅ（Ｍ３，Ｐ）は、Ｍ３およびＰを入力とし、ランダム値であるｓｅｅｄを内部生成し、Ｍ３，Ｐ，ｓｅｅｄを含む情報に由来する値ＭＳ＝Ｅｎｃｏｄｅ（Ｍ３，Ｐ）を得る非準同型性の演算を表す。非準同型性の演算Ｅｎｃｏｄｅの具体例は、参考文献５のＥＭＥ－ＯＡＥＰ－Ｅｎｃｏｄｅを含む演算である。Ｄｅｃｏｄｅ（Ｄｅｃ（ｓｋ，Ｃ３１），Ｐ）→Ｍ３’は、ｓｋを用いた準同型性の演算ＤｅｃによってＣ３１の復号値ＭＳ’＝Ｄｅｃ（ｓｋ，Ｃ３１）を得、Ｃ３１の復号値ＭＳ’とＭＳ’に由来する付加値ｓｅｅｄ’とＰを用いた非準同型性の演算Ｄｅｃｏｄｅ（ＭＳ’，Ｐ）によって平文Ｍ３’を得る演算を表す。付加値ｓｅｅｄ’はランダム値ｓｅｅｄに一致する。非準同型性の演算Ｄｅｃｏｄｅの具体例は、参考文献５のＥＭＥ－ＯＡＥＰ－Ｄｅｃｏｄｅを含む演算である。第１暗号文Ｃ３１は、平文Ｍ３とランダム値であるｓｅｅｄを含む情報とに由来する値ＭＳを暗号化して得られる値である。付加値ｓｅｅｄ’は、ランダム値ｓｅｅｄを含む情報に由来する値である。この例の第２暗号文は第１暗号文Ｃ３１である。
　以下、図面を参照して各実施形態を説明する。
　［第１実施形態］
　第１実施形態を説明する。第１実施形態は、参考文献１に記載されたＰＳＥＣ－ＫＥＭ方式の第２暗号文Ｃ１０を復号する例である。本形態では、第１暗号文がランダム値ｒに由来する値（ｒに対応する値）αを暗号化して得られる値Ｃ１１であり、付加値が平文（共通鍵）ｋ（ランダム値ｒと値αとに対応する値）とランダム値ｒとを含む情報に対応する値Ｃ１２である。言い換えると、付加値Ｃ１２はαおよびｒを含む情報に由来する情報である。第１暗号文Ｃ１１の復号値Ｑのみからランダム値ｒを得ることは困難であり、第２暗号文Ｃ１０の復号値がランダム値ｒから得られる共通鍵ｋである。つまり、第１暗号文Ｃ１１の復号値Ｑのみから、第２暗号文Ｃ１０の復号値である共通鍵ｋを得ることは困難である。
　＜構成＞
　図１に例示するように、第１実施形態のセキュリティシステム１は、鍵生成装置１１、暗号化装置１２、復号装置１３、および復号能力提供装置１４を有し、これらはネットワークを通じて情報のやり取りが可能なように構成されている。なお、説明の簡略化のため、図１では、鍵生成装置１１、暗号化装置１２、復号装置１３、および復号能力提供装置１４を１個ずつ図示しているが、これらの少なくとも一部の装置が複数個存在していてもよい。
　図２に例示するように、本形態の暗号化装置１２は、記憶部１２１、ランダム値生成部１２２、対応値生成部１２３、準同型性暗号化部１２４、非準同型性処理部１２５、合成部１２６、暗号化部１２７、および出力部１２８を有する。図３に例示するように、本形態の復号装置１３は、入力部１３１、記憶部１３２、分解部１３３、自己訂正処理部１３４、非準同型性処理部１３５、および復号部１３６を有する。図３に例示するように、本形態の復号能力提供装置１４は、記憶部１４１、および復号能力提供部１４２を有する。鍵生成装置１１、暗号化装置１２、復号装置１３、および復号能力提供装置１４は、それぞれ、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。コンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。
　＜処理＞
　鍵生成装置１１が、鍵生成アルゴリズムＫｅｙＧｅｎ（１λ）を実行し、公開鍵ｐｋと秘密鍵ｓｋとを得る。公開鍵ｐｋは暗号化装置１２（図２）の記憶部１２１に格納される。さらに公開鍵ｐｋはその他の装置にも設定される。秘密鍵ｓｋは復号能力提供装置１４（図３）の記憶部１４１に安全に格納される。
　その後、図４に例示するように、暗号化装置１２のランダム値生成部１２２がランダム値ｒを生成して出力する（ステップＳ１０１）。対応値生成部１２３は、ランダム値ｒを入力とし、ランダム値ｒに由来する値（ｒに対応する値）α，ｋを生成して出力する（ステップＳ１０２）。例えば、Ｈがランダム値ｒを表す情報を含む情報のハッシュ値を表すビット列であり、Ｈ＝ｔ｜ｋであり、αはｔの関数値である。ｋは共通鍵である。ただし、Ａ｜Ｂはビット列ＡとＢとの連結（concatenation）を表す。Ｈのどの位置をｔおよびｋとするかは事前に定められている。
　準同型性暗号化部１２４は、値αと公開鍵ｐｋを入力とし、第１暗号文Ｃ１１＝Ｅｎｃ（ｐｋ，α）を得て出力する（ステップＳ１０３）。第１暗号文Ｃ１１は、準同型性演算によって復号可能な暗号文である。例えば、楕円曲線Ｅ上の点ＰＥに対してｐｋ＝ｓｋ・ＰＥ∈Ｅを満たし、α∈Ｅであり、Ｃ１１＝Ｅｎｃ（ｐｋ，α）＝α・ＰＥ∈Ｅである。
　非準同型性処理部１２５は、ランダム値ｒ、第１暗号文Ｃ１１、および値αを入力とし、付加値Ｃ１２＝ＦＯ（α，ｒ）を得て出力する（ステップＳ１０４）。付加値Ｃ１２は、復号時に非準同型性演算の被演算子となる値である。例えば、Ｃ１２＝ＦＯ（α，ｒ）は、Ｃ１１を表す情報およびＱ＝α・ｐｋ＝α・ｓｋ・ＰＥ∈Ｅを表す情報を含む情報のハッシュ値を表すビット列と、ランダム値ｒを表すビット列との排他的論理和である。なお、値αおよび平文ｋはランダム値ｒに対応する。よって付加値Ｃ１２＝ＦＯ（α，ｒ）は平文ｋとランダム値ｒとに対応する。
　合成部１２６は、第１暗号文Ｃ１１と付加値Ｃ１２とを入力とし、これらに対応する第２暗号文Ｃ１０を得て出力する（ステップＳ１０５）。例えば、Ｃ１０は、Ｃ１１を表す情報とＣ１２を表す情報とを含む情報であり、例えば、Ｃ１１を表す情報（例えば、ビット列）とＣ１２を表す情報（例えば、ビット列）との連結値である。
　暗号化部１２７は、入力メッセージｍと共通鍵ｋとを入力とし、共通鍵暗号方式に則って共通鍵ｋで入力メッセージｍを暗号化し、共通鍵暗号文Ｃ１３を出力する（ステップＳ１０６）。共通鍵暗号方式の例は、ＡＥＳやＣａｍｅｒｉａ（登録商標）である。
　出力部１２８は、第２暗号文Ｃ１０と共通鍵暗号文Ｃ１３とを入力とし、これらを含む暗号文Ｃ１＝（Ｃ１０，Ｃ１３）を出力する（ステップＳ１０７）。暗号文Ｃ１はネットワークを通じて復号装置１３に送られる。
　暗号文Ｃ１は復号装置１３（図３）の入力部１３１に入力され、記憶部１３２に格納される（ステップＳ１０８）。分解部１３３は、暗号文Ｃ１＝（Ｃ１０，Ｃ１３）に含まれる第２暗号文Ｃ１０を入力とし、第２暗号文Ｃ１０から第１暗号文Ｃ１１と付加値Ｃ１２とを得て、第１暗号文Ｃ１１と付加値Ｃ１２とを出力する（ステップＳ１０９）。
　自己訂正処理部１３４は、第１暗号文Ｃ１１を入力とし、第１暗号文Ｃ１１を復号するための秘密鍵（復号鍵）ｓｋを記憶部１４１に保持する復号能力提供装置１４の復号能力提供部１４２との間で自己訂正処理（自己訂正技術を用いたクラウド鍵管理型の復号処理）を行い、第１暗号文Ｃ１１の復号値Ｑ＝Ｄｅｃ（ｓｋ，Ｃ１１）を得て出力する（ステップＳ１１０，Ｓ１１１）。前述のように、第１暗号文Ｃ１１は準同型性演算によって復号可能である。例えば、楕円曲線Ｅ上の点ｓｋおよびＣ１１に対するＱ＝ｓｋ・Ｃ１１∈Ｅ（ただし、Ｃ１１＝α・ＰＥ∈Ｅ）である。
　≪自己訂正技術を用いたクラウド鍵管理型の復号処理≫
　自己訂正技術を用いたクラウド鍵管理型の復号処理は、特許文献１～３等に記載された公知技術である。以下にその概要を示す。
　自己訂正処理部１３４は、第１暗号文Ｃ１１に対応する情報を復号能力提供装置１４の復号能力提供部１４２に与え、かつ、秘密鍵（復号鍵）ｓｋの情報を復号能力提供装置１４から得ることなく、自己訂正処理部１３４で第１暗号文Ｃ１１の復号値Ｑを得るための情報を復号能力提供装置１４から得る。言い換えると、復号能力提供装置１４の復号能力提供部１４２は、第１暗号文Ｃ１１に対応する情報を自己訂正処理部１３４から得、秘密鍵（復号鍵）ｓｋの情報を復号装置１３に与えることなく、自己訂正処理部１３４が自己訂正処理によって第１暗号文Ｃ１１の復号値Ｑを得るための情報を自己訂正処理部１３４に対して出力する。自己訂正処理部１３４は、復号能力提供部１４２から与えられた情報を用いて復号値Ｑを得る。ここで、復号能力提供装置１４への復号値Ｑの漏洩を避けるためには、復号能力提供部１４２に与えられる「第１暗号文Ｃ１１に対応する情報」が第１暗号文Ｃ１１をかく乱した情報でなければならない。しかしながら、本形態では、復号値Ｑのみから第２暗号文Ｃ１０の復号値である共通鍵ｋを得ることが困難である。そのため、たとえ復号値Ｑが復号能力提供装置１４へ漏洩したとしても、共通鍵ｋの情報は復号能力提供装置１４に漏洩しない。このような場合、自己訂正処理部１３４は、第１暗号文Ｃ１１の情報をかく乱することなく復号能力提供部１４２に与え（かく乱されていない第１暗号文Ｃ１１の情報を復号能力提供部１４２に与え）、自己訂正処理部１３４で復号値Ｑを得るための情報を復号能力提供部１４２から得てもよい。
　自己訂正技術を用いたクラウド鍵管理型の復号処理の具体例：
　以下に自己訂正技術を用いたクラウド鍵管理型の復号処理を例示する。以下の例では、Ｇ，Ｈが群（例えば、巡回群などの有限可換群）、ｆ（ｘ）が群Ｈの元である第１暗号文ｘ＝Ｃ１１を秘密鍵ｓｋで復号して群Ｇの元を得るための準同型性復号関数、Ｘ１，Ｘ２が群Ｇに値を持つ確率変数、ｘ１が確率変数Ｘ１の実現値、ｘ２が確率変数Ｘ２の実現値、ａ，ｂが互いに素である自然数である。ただし、以下の例は本発明を限定するものではなく、その他の自己訂正技術が用いられてもよい。
　ステップ１１０ａ：自己訂正処理部１３４の処理部１３４ａは、第１暗号文ｘ＝Ｃ１１に対応する、群Ｈの元である第一入力情報τ１及び第二入力情報τ２を出力する。例えば、群Ｈが巡回群、巡回群Ｈの生成元がμｈ、ｒ１，ｒ２が０以上のランダムな自然数、τ１＝μｈ ｒ１ｘｂ、τ２＝μｈ ｒ２ｘａである。ａ，ｂの一方が１などの定数であってもよい。なお、自己訂正処理部１３４の処理部１３４ａが、第１暗号文Ｃ１１の情報をかく乱することなく復号能力提供部１４２に与える場合、自然数ｒ１，ｒ２は１以上の定数であり、例えばτ１＝μｈｘｂ、τ２＝μｈｘａである。自然数ｒ１，ｒ２が定数の場合、自然数ｒ１，ｒ２をランダムに生成する処理は不要である。第一入力情報τ１及び第二入力情報τ２は復号能力提供部１４２に送られる。
　ステップ１１１ａ：復号能力提供部１４２の処理部１４２ａは、送られた第一入力情報τ１および記憶部１４１に格納された秘密鍵ｓｋを用い、或る確率より大きな確率でｆ（τ１）を正しく計算し、得られた計算結果を第一出力情報ｚ１とする。すなわち、ｚ１＝ｆ（τ１）である場合もあれば、ｚ１≠ｆ（τ１）である場合もある。言い換えると、復号能力提供部１４２は、ｆ（τ１）を計算可能であるが、意図的又は意図的ではない誤差を含んだ計算結果を出力する可能性がある。「或る確率」は１００％未満であり０％以上の確率である。「或る確率」の例は無視することができない確率であり、「無視することができない確率」の例は、セキュリティパラメータｋについての広義単調増加関数である多項式を多項式ψ（ｋ）とした場合の１／ψ（ｋ）以上の確率である。第一出力情報ｚ１は自己訂正処理部１３４に送られる。
　ステップ１１１ｂ：復号能力提供部１４２の処理部１４２ｂは、送られた第二入力情報τ２および記憶部１４１に格納された秘密鍵ｓｋを用い、或る確率より大きな確率でｆ（τ２）を正しく計算し、得られた計算結果を第二出力情報ｚ２とする。すなわち、ｚ２＝ｆ（τ２）である場合もあれば、ｚ２≠ｆ（τ２）である場合もある。言い換えると、復号能力提供部１４２は、ｆ（τ２）を計算可能であるが、意図的又は意図的ではない誤差を含んだ計算結果を出力する可能性がある。第二出力情報ｚ２は自己訂正処理部１３４に送られる。
　ステップ１１０ｂ：自己訂正処理部１３４の処理部１３４ｂは、送られた第一出力情報ｚ１から計算結果ｕ＝ｆ（ｘ）ｂｘ１を生成する。例えば、ν＝ｆ（μｈ）であり、ｕ＝ｚ１ν－ｒ１である。ｂおよびｒ１は処理部１３４ａで用いられたものと同じである。計算結果ｕは記憶部１３４ｅに格納される。
　ステップ１１０ｃ：自己訂正処理部１３４の処理部１３４ｃは、送られた第二出力情報ｚ２から計算結果ｖ＝ｆ（ｘ）ａｘ２を生成する。例えば、ｖ＝ｚ２ν－ｒ２である。ａおよびｒ２は処理部１３４ａで用いられたものと同じである。計算結果ｖは記憶部１３４ｅに格納される。
　ステップ１１０ｄ：自己訂正処理部１３４の処理部１３４ｄは、記憶部１３４ｅに格納されている何れかのｕ及びｖの組がｕａ＝ｖｂを満たすかを判定し、満たした場合に、ｕａ＝ｖｂを満たすｕ及びｖの組およびａ’ａ＋ｂ’ｂ＝１を満たす整数ａ’，ｂ’についてのｕｂ’ｖａ’を復号値Ｑとして出力する。
　ステップ１１０ａ～１１０ｄ，１１１ａ，１１１ｂの処理を所定回数繰り返しても計算結果ｕ及びｖがｕａ＝ｖｂを満たさなかった場合、自己訂正処理部１３４は、復号が不可能である旨のエラー情報を出力する。なお、記憶部１３４ｅに１個以上のｖが格納されている場合には、ステップ１１０ｂとステップ１１０ｃとの間でもステップ１１０ｄの処理が行われてもよい。（≪自己訂正技術を用いたクラウド鍵管理型の復号処理≫の説明終わり）。
　非準同型性処理部１３５は、復号値Ｑと付加値Ｃ１２とを入力とし、復号値Ｑと付加値Ｃ１２とを用いた非準同型性演算ＦＯ－１（Ｑ，Ｃ１２）を行ってｒを得、それから第２暗号文Ｃ１０の復号値（平文）ｋを得て出力する（ステップＳ１１２）。例えば、非準同型性処理部１３５は、復号値Ｑと付加値Ｃ１２とを用いてランダム値ｒ＝ＦＯ－１（Ｑ，Ｃ１２）を得、ランダム値ｒに対応する共通鍵ｋを出力する。例えば、まず非準同型性処理部１３５は、Ｃ１１を表す情報および復号値Ｑを表す情報を含む情報のハッシュ値を表すビット列と、付加値Ｃ１２を表すビット列との排他的論理和を、ランダム値ｒを表すビット列として得る。次に、非準同型性処理部１３５は、ランダム値ｒを表す情報を含む情報のハッシュ値を表すビット列ｈを得、ｈ＝ｔ｜ｋを満たす共通鍵ｋを得る。さらに、非準同型性処理部１３５は、ｔの関数値αを用いてＣ１１＝α・ＰＥ∈Ｅを満たすか確認し、これを満たせば共通鍵ｋを出力し、満たさなければエラーを出力する。
　復号部１３６は、共通鍵暗号文Ｃ１３と共通鍵ｋとを入力とし、共通鍵暗号方式に則って共通鍵ｋで共通鍵暗号文Ｃ１３を復号し、復号値ｍ’を得て出力する（ステップＳ１１３）。
　［第２実施形態］
　第２実施形態を説明する。第２実施形態は、参考文献４に記載されたＩＤベース暗号方式をＢＫ変換した方式の第２暗号文を復号する例である。本形態では、第１暗号文が平文ｍに対応する値ｍ｜ｄｅｃを暗号化して得られる値Ｃ２１であり、付加値が第１暗号文Ｃ２１とランダム値ｒとに対応するメッセージ認証子ｔａｇである。
　＜構成＞
　図１に例示するように、第２実施形態のセキュリティシステム２は、鍵生成装置２１、暗号化装置２２、復号装置２３、および復号能力提供装置２４を有し、これらはネットワークを通じて情報のやり取りが可能なように構成されている。なお、説明の簡略化のため、図１では、鍵生成装置２１、暗号化装置２２、復号装置２３、および復号能力提供装置２４を１個ずつ図示しているが、これらの少なくとも一部の装置が複数個存在していてもよい。
　図５に例示するように、本形態の暗号化装置２２は、記憶部２２１、ランダム値生成部２２２、準同型性暗号化部２２４、非準同型性処理部２２５、および出力部２２８を有する。図６に例示するように、本形態の復号装置２３は、入力部２３１、記憶部２３２、自己訂正処理部２３４、非準同型性処理部２３５、および出力部２３６を有する。図６に例示するように、本形態の復号能力提供装置２４は、記憶部２４１、復号能力提供部２４２、および秘密鍵取得部２４３を有する。図６に例示するように、本形態の鍵生成装置２１は、記憶部２１１、秘密鍵生成部２１２、および設定部２１３を有する。鍵生成装置２１、暗号化装置２２、復号装置２３、および復号能力提供装置２４は、それぞれ、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成された装置である。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。
　＜処理＞
　鍵生成装置２１の設定部２１３が、設定アルゴリズムＳｅｔｕｐ（１λ）およびＳｅｔｕｐＥＣ（１λ）を実行し、公開鍵（ＰＫ，ｐｕｂ）とマスター秘密鍵ｍｓｋとを得る。公開鍵（ＰＫ，ｐｕｂ）は、暗号化装置２２（図５）の記憶部２２１に格納される。さらに公開鍵（ＰＫ，ｐｕｂ）は、その他の装置にも設定される。マスター秘密鍵ｍｓｋは、鍵生成装置２１の記憶部２１１に安全に格納される。
　図７に例示するように、暗号化装置２２のランダム値生成部２２２が、Ｓ（１λ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）によってランダム値（ｒ，ｃｏｍ，ｄｅｃ）を生成して出力する（ステップＳ２０１）。ｃｏｍは識別子として機能する。
　準同型性暗号化部２２４は、公開鍵ＰＫとランダム値ｄｅｃと識別子ｃｏｍと平文ｍとを入力とし、Ｅｎｃ（ＰＫ，ｃｏｍ，ｍ｜ｄｅｃ）→Ｃ２１によって、平文ｍに対応する値ｍ｜ｄｅｃを暗号化して第１暗号文Ｃ２１を得て出力する（ステップＳ２０３）。第１暗号文Ｃ２１は、準同型性演算によって復号可能な暗号文である。
　非準同型性処理部２２５は、ランダム値ｒと第１暗号文Ｃ２１とを入力とし、ＭＡＣ（ｒ，Ｃ２１）→ｔａｇによって、ランダム値ｒと第１暗号文Ｃ２１とに対するメッセージ認証子ｔａｇを付加値として得て出力する（ステップＳ２０４）。付加値ｔａｇは、復号時に非準同型性演算の被演算子となる値である。
　出力部２２８は、識別子ｃｏｍと第１暗号文Ｃ２１と付加値ｔａｇとを入力とし、これらに対応する第２暗号文Ｃ２＝（ｃｏｍ，Ｃ２１，ｔａｇ）を出力する（ステップＳ２０７）。例えば、第２暗号文Ｃ２は、識別子ｃｏｍを表す情報と第１暗号文Ｃ２１を表す情報と付加値ｔａｇを表す情報とを含む情報であり、例えば、識別子ｃｏｍを表す情報（例えば、ビット列）と第１暗号文Ｃ２１を表す情報（例えば、ビット列）と付加値ｔａｇを表す情報（例えば、ビット列）との連結値である。第２暗号文Ｃ２はネットワークを通じて復号装置２３に送られる。
　第２暗号文Ｃ２は復号装置２３（図６）の入力部２３１に入力され、記憶部２３２に格納される（ステップＳ２０８）。出力部２３６は、第２暗号文Ｃ２＝（ｃｏｍ，Ｃ２１，ｔａｇ）が含む識別子ｃｏｍを出力する（ステップＳ２０９ａ）。識別子ｃｏｍは復号能力提供装置２４の秘密鍵取得部２４３に入力される。秘密鍵取得部２４３は、識別子ｃｏｍを鍵生成装置２１に対して出力する（ステップＳ２０９ｂ）。鍵生成装置２１の秘密鍵生成部２１２は、識別子ｃｏｍとマスター秘密鍵ｍｓｋとを入力とし、ＫｅｙＧｅｎ（ＰＫ，ｃｏｍ，ｍｓｋ）→ｓｋｃｏｍによって、識別子ｃｏｍに対応する秘密鍵ｓｋｃｏｍを得て出力する。秘密鍵ｓｋｃｏｍは秘密鍵取得部２４３に入力され、記憶部２４１に安全に格納される（ステップＳ２０９ｃ）。
　自己訂正処理部２３４は、第２暗号文Ｃ２＝（ｃｏｍ，Ｃ２１，ｔａｇ）に含まれる第１暗号文Ｃ２１を入力とし、第１暗号文Ｃ２１を復号するための秘密鍵（復号鍵）ｓｋｃｏｍを保持する復号能力提供装置２４の復号能力提供部２４２との間で自己訂正処理（自己訂正技術を用いたクラウド鍵管理型の復号処理）を行い、第１暗号文Ｃ２１の復号値ｍ’｜ｄｅｃ’＝Ｄｅｃ（ＰＫ，ｓｋｃｏｍ，Ｃ２１）を得て出力する（ステップＳ２１０，Ｓ２１１）。
　すなわち、自己訂正処理部２３４は、第１暗号文Ｃ２１に対応する情報を復号能力提供装置２４の復号能力提供部２４２に与え、かつ、秘密鍵（復号鍵）ｓｋｃｏｍの情報を復号能力提供装置２４から得ることなく、自己訂正処理部２３４で第１暗号文Ｃ２１の復号値ｍ’｜ｄｅｃ’を得るための情報を復号能力提供装置２４から得る。言い換えると、復号能力提供装置２４の復号能力提供部２４２は、第１暗号文Ｃ２１に対応する情報を自己訂正処理部２３４から得、秘密鍵ｓｋｃｏｍの情報を復号装置２３に与えることなく、自己訂正処理部２３４が自己訂正処理によって第１暗号文Ｃ２１の復号値ｍ’｜ｄｅｃ’を得るための情報を自己訂正処理部２３４に対して出力する。自己訂正処理部２３４は、復号能力提供部２４２から与えられた情報を用いて復号値ｍ’｜ｄｅｃ’を得る。ここで、復号能力提供装置２４への復号値ｍ’｜ｄｅｃ’の漏洩を避けるために、復号能力提供部２４２に与えられる「第１暗号文Ｃ２１に対応する情報」は第１暗号文Ｃ２１をかく乱した情報であることが望ましい。なお、ステップＳ２１０，Ｓ２１１の具体例は、ｘ＝Ｃ２１とし、秘密鍵ｓｋ＝ｓｋｃｏｍとし、自己訂正処理部１３４を自己訂正処理部２３４に置換し、復号能力提供部１４２を復号能力提供部２４２に置換して行われる、前述の「自己訂正技術を用いたクラウド鍵管理型の復号処理の具体例」である。
　非準同型性処理部２３５は、第１暗号文Ｃ２１の復号値ｍ’｜ｄｅｃ’と付加値ｔａｇとを用いた非準同型性演算を行い、第２暗号文Ｃ２の復号値ｍ’を出力する（ステップＳ２１２）。例えば、非準同型性処理部２３５は、復号値ｍ’｜ｄｅｃ’と第２暗号文Ｃ２＝（ｃｏｍ，Ｃ２１，ｔａｇ）に含まれる識別子ｃｏｍと付加値ｔａｇとを入力とし、Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ’）→ｒ’によってｒ’を得、ｒ’≠｛⊥｝であればＶｅｆｙ（ｒ’，Ｃ２１，ｔａｇ）≠｛⊥｝であるかを判定し、Ｖｅｆｙ（ｒ’，Ｃ２１，ｔａｇ）≠｛⊥｝であればｍ’を出力する。その他の場合にはエラー終了する。
　［第３実施形態］
　第３実施形態を説明する。第３実施形態は、前述の＜第２暗号文の例２＞に基づくものである。本形態の第１暗号文は、平文ｍとランダム値ｓｅｅｄを含む情報とに由来する値ＭＳ＝Ｅｎｃｏｄｅ（ｍ，Ｐ）を暗号化して得られる値Ｃ３１であり、付加値はランダム値ｓｅｅｄである。
　＜構成＞
　図１に例示するように、第３実施形態のセキュリティシステム３は、鍵生成装置３１、暗号化装置３２、復号装置３３、および復号能力提供装置３４を有し、これらはネットワークを通じて情報のやり取りが可能なように構成されている。なお、説明の簡略化のため、図１では、鍵生成装置３１、暗号化装置３２、復号装置３３、および復号能力提供装置３４を１個ずつ図示しているが、これらの少なくとも一部の装置が複数個存在していてもよい。
　図８に例示するように、本形態の暗号化装置３２は、記憶部３２１、ランダム値生成部３２２、準同型性暗号化部３２４、非準同型性処理部３２５、変換部３２６、および出力部３２８を有する。図９に例示するように、本形態の復号装置３３は、入力部３３１、記憶部３３２、復元部３３３、自己訂正処理部３３４、非準同型性処理部３３５、出力部２３６、および変換部３３７を有する。図９に例示するように、本形態の復号能力提供装置３４は、記憶部３４１、および復号能力提供部３４２を有する。鍵生成装置３１、暗号化装置３２、復号装置３３、および復号能力提供装置３４は、それぞれ、例えば、前述のコンピュータに所定のプログラムが読み込まれることで構成された装置である。各処理部から出力された情報は、図示していない一時メモリに格納され、必要に応じて読み出されて各処理部の処理に用いられる。
　＜処理＞
　鍵生成装置３１が、鍵生成アルゴリズムＫｅｙＧｅｎ（１λ）を実行し、公開鍵ｐｋと秘密鍵ｓｋとを得る。公開鍵ｐｋは暗号化装置３２（図８）の記憶部３２１に格納される。さらに公開鍵ｐｋはその他の装置にも設定される。秘密鍵ｓｋは復号能力提供装置３４（図９）の記憶部３４１に安全に格納される。参考文献５の例では、公開鍵ｐｋはＲＳＡ公開鍵（ｅ，ｎ）であり、秘密鍵ｓｋはＲＳＡ公開鍵（ｅ，ｎ）に対応するＲＳＡ秘密鍵（ｎ，ｄ）である。また、鍵生成装置３１はエンコーディングパラメータＰを出力する。エンコーディングパラメータＰは、暗号化装置３２の記憶部３２１および復号能力提供装置３４の記憶部３４１に格納される。
　その後、図１０に例示するように、暗号化装置３２のランダム値生成部３２２および非準同型性処理部３２５が、平文ｍ、および記憶部３２１から読み出したエンコーディングパラメータＰを入力とし、非準同型性演算Ｅｎｃｏｄｅ（ｍ，Ｐ）→ＭＳを行ってＭＳを得る。すなわち、ランダム値生成部３２２がランダム値ｓｅｅｄを生成し（ステップＳ３０１）、非準同型性処理部３２５が、平文ｍ、ランダム値ｓｅｅｄ、エンコーディングパラメータＰに対応する非準同型性演算を行ってＭＳ＝Ｅｎｃｏｄｅ（ｍ，Ｐ）を得る。例えば、非準同型性処理部３２５は、以下のようにＭＳを得る。
　ｐＨａｓｈ＝Ｈａｓｈ（Ｐ）
　ＤＢ＝ｐＨａｓｈ｜ＰＳ｜０１｜ｍ
　ｄｂＭａｓｋ＝ＭＧＦ(ｓｅｅｄ)
　ｍａｋｅｄＤＢ＝ＤＢ（＋）ｄｂＭａｓｋ
　ｓｅｅｄＭａｓｋ＝ＭＧＦ（ｍａｋｅｄＤＢ）
　ｍａｓｋｅｄＳｅｅｄ＝ｓｅｅｄ（＋）ｓｅｅｄＭａｓｋ
　ＥＭ＝ｍａｓｋｅｄＳｅｅｄ｜ｍａｓｋｅｄＤＢ
　ＭＳ＝ＯＳ２ＩＰ（ＥＭ）
ただし、ＨａｓｈはＰのハッシュ関数を表し、ＰＳは零ビット列であり、ＭＧＦはマスク生成関数であり、Ａ（＋）ＢはＡとＢとの排他的論理和を表し、ＯＳ２ＩＰは変換関数である（ステップＳ３０２）。
　準同型性暗号化部３２４は、ＭＳ（平文ｍとランダム値ｓｅｅｄを含む情報とに由来する値）、および記憶部３２１から読み出した公開鍵ｐｋを入力とし、Ｅｎｃ（ｐｋ，ＭＳ）→Ｃ３１によってＭＳを暗号化して第１暗号文Ｃ３１を得て出力する（ステップＳ３０３）。第１暗号文Ｃ３１は、準同型性演算によって復号可能な暗号文である。
　変換部３２６は第１暗号文Ｃ３１を入力として、それを変換関数ＩＳＯＳＰに入力して暗号文Ｃ３＝Ｉ２ＯＳＰ（Ｃ３１）を得て出力する（ステップＳ３０５）。暗号文Ｃ３はネットワークを通じて復号装置３３に送られる。
　暗号文Ｃ３は復号装置３３（図３）の入力部３３１に入力され、記憶部３３２に格納される（ステップＳ３０６）。変換部３３７は、記憶部３３２から暗号文Ｃ３を読み出し、それをＩ２ＯＳＰの逆変換関数ＯＳ２ＩＰに入力して第１暗号文Ｃ３１＝ＯＳ２ＩＰ（Ｃ３）を得て出力する（ステップＳ３０７）。
　自己訂正処理部３３４は、第１暗号文Ｃ３１を入力とし、第１暗号文Ｃ３１を復号するための秘密鍵（復号鍵）ｓｋを保持する復号能力提供装置３４の復号能力提供部３４２との間で自己訂正処理（自己訂正技術を用いたクラウド鍵管理型の復号処理）を行い、第１暗号文Ｃ３１の復号値ＭＳ＝Ｄｅｃ（ｓｋ，Ｃ３１）を得て出力する（ステップＳ３１０，Ｓ３１１）。
　すなわち、自己訂正処理部３３４は、第１暗号文Ｃ３１に対応する情報を復号能力提供装置３４の復号能力提供部３４２に与え、かつ、秘密鍵（復号鍵）ｓｋの情報を復号能力提供装置３４から得ることなく、自己訂正処理部３３４で第１暗号文Ｃ３１の復号値ＭＳを得るための情報を復号能力提供装置３４から得る。言い換えると、復号能力提供装置３４の復号能力提供部３４２は、第１暗号文Ｃ３１に対応する情報を自己訂正処理部３３４から得、秘密鍵ｓｋの情報を復号装置３３に与えることなく、自己訂正処理部３３４が自己訂正処理によって第１暗号文Ｃ３１の復号値ＭＳを得るための情報を自己訂正処理部３３４に対して出力する。自己訂正処理部３３４は、復号能力提供部３４２から与えられた情報を用いて復号値ＭＳを得る。ここで、復号能力提供装置３４への復号値ＭＳの漏洩を避けるために、復号能力提供部３４２に与えられる「第１暗号文Ｃ３１に対応する情報」は第１暗号文Ｃ３１をかく乱した情報であることが望ましい。なお、ステップＳ３１０，Ｓ３１１の具体例は、ｘ＝Ｃ３１とし、自己訂正処理部１３４を自己訂正処理部３３４に置換し、復号能力提供部１４２を復号能力提供部３４２に置換して行われる、前述の「自己訂正技術を用いたクラウド鍵管理型の復号処理の具体例」である。
　復元部３３３および非準同型性処理部３３５は、復号値ＭＳ、および記憶部３３２から読み出したエンコーディングパラメータＰを入力とし、準同型性演算Ｄｅｃｏｄｅ（ＭＳ，Ｐ）→ｍによって平文ｍを復元して出力する。すなわち、復元部３３３が、ＭＳから平文ｍに対応する値ｍａｓｋｅｄＤＢとランダム値ｓｅｅｄとを復元し（ステップＳ３１２）、非準同型性処理部３３５がそれらから平文ｍを復元して出力し、出力部３３６が平文ｍを出力する（ステップＳ３１３）。これらの処理は非準同型性演算である。例えば、復元部３３３は、ＯＳ２ＩＰの逆変換関数ＩＳ０ＳＰを用いてＥＭ＝ＩＳ０ＳＰ（ＭＳ）を得、ＥＭをＥＭ＝ｍａｓｋｅｄＳｅｅｄ｜ｍａｓｋｅｄＤＢを満たすｍａｓｋｅｄＳｅｅｄとｍａｓｋｅｄＤＢとに分離し、ｓｅｅｄＭａｓｋ＝ＭＧＦ（ｍａｋｅｄＤＢ）を得、ｓｅｅｄ＝ｍａｓｋｅｄＳｅｅｄ（＋）ｓｅｅｄＭａｓｋを得える（ステップＳ３１２）。非準同型性処理部３３５は、得られたｍａｓｋｅｄＤＢおよびｓｅｅｄを用い、ｄｂＭａｓｋ＝ＭＧＦ(ｓｅｅｄ)を得、ＤＢ＝ｍａｋｅｄＤＢ（＋）ｄｂＭａｓｋを得、ｐＨａｓｈ＝Ｈａｓｈ（Ｐ）を得、ＤＢ＝ｐＨａｓｈ｜ＰＳ｜０１｜ｍを満たす平文ｍを得、出力部３３６が平文ｍを出力する（ステップＳ３１３）。
　［その他の変形例等］
　なお、本発明は上述の実施の形態に限定されるものではない。例えば、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。或いは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。すなわち、これらの装置の一部からなる組み合わせが、同一の装置であってもよい。
　また自己訂正技術は前述したものに限定されない。例えば、群Ｈが群Ｇの直積群Ｇ×Ｇ、群Ｇが巡回群、巡回群Ｇの生成元がμｇ、第１暗号文ｘ＝（ｃ１，ｃ２），（Ｖ，Ｗ）が群Ｈの元、ｆ（Ｖ，Ｗ）＝Ｙであり、ｒ４～ｒ７が０以上の自然数の乱数であり、τ１＝（ｃ２ ｂＷｒ４，ｃ１ ｂＶｒ４μｇ ｒ５）であり、τ２＝（ｃ２ ａＷｒ６，ｃ１ ａＶｒ６μｇ ｒ７）であり、ｕ＝ｚ１Ｙ－ｒ４μｇ －ｒ５、ｖ＝ｚ２Ｙ－ｒ６μｇ －ｒ７であってもよい。
　第３実施形態においてエンコーディングパラメータＰが空であってもよい。この場合には、エンコーディングパラメータＰは生成されず、Ｐは空として処理される。また、各実施形態においてビット列がオクテット列であってもよい。
　上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
　上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
　このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。
　上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。
１，２，３　セキュリティシステム
１１，２１，３１　鍵生成装置
１２，２２，３２　暗号化装置
１３，２３，３３　復号装置
１４，２４，３４　復号能力提供装置

Claims (14)

  1. 　準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、前記第１暗号文の復号値を得る自己訂正処理部と、
    　前記第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行い、平文を出力する非準同型性処理部と、
    を有する復号装置。
  2. 　請求項１の復号装置であって、
    　前記平文は、前記第１暗号文を含む情報に対応する又は由来する第２暗号文の復号値であり、
    　前記第１暗号文は、前記第１暗号文の復号値についてＯＷ－ＣＰＡ安全であり、
    　前記第２暗号文は、前記平文についてＩＮＤ－ＣＣＡ安全である、復号装置。
  3. 　請求項１または２の復号装置であって、
    　前記第１暗号文は、ランダム値に対応する又は由来する値、を暗号化して得られる値を含み、
    　前記付加値は、前記平文と前記ランダム値とを含む情報に対応するまたは由来する値を含む、復号装置。
  4. 　請求項１または２の復号装置であって、
    　前記第１暗号文は、前記平文を含む情報に対応する又は由来する値、を暗号化して得られる値を含み、
    　前記付加値は、前記第１暗号文とランダム値とを含む情報に対応する又は由来する値を含む、復号装置。
  5. 　請求項１または２の復号装置であって、
    　前記第１暗号文は、前記平文とランダム値を含む情報とに対応する又は由来する値、を暗号化して得られる値であり、
    　前記付加値は、前記ランダム値を含む情報に対応する又は由来する値である、復号装置。
  6. 　準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する記憶部と、
    　前記第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行って平文を出力する復号装置から前記第１暗号文に対応する又は由来する情報を得、前記復号鍵を用い、前記復号装置に前記復号鍵の情報を与えることなく、前記復号装置が自己訂正処理によって前記第１暗号文の復号値を得るための情報を、前記復号装置に対して出力する復号能力提供部と、
    を有する復号能力提供装置。
  7. 　請求項６の復号能力提供装置であって、
    　前記平文は、前記第１暗号文を含む情報に対応する又は由来する第２暗号文、の復号値であり、
    　前記第１暗号文は、前記第１暗号文の復号値についてＯＷ－ＣＰＡ安全であり、
    　前記第２暗号文は、前記平文についてＩＮＤ－ＣＣＡ安全である、復号能力提供装置。
  8. 　請求項６または７の復号能力提供装置であって、
    　前記第１暗号文は、ランダム値に対応する又は由来する値、を暗号化して得られる値を含み、
    　前記付加値は、前記平文と前記ランダム値とを含む情報に対応する又は由来する値を含む、復号能力提供装置。
  9. 　請求項６または７の復号能力提供装置であって、
    　前記第１暗号文は、前記平文を含む情報に対応する又は由来する値を暗号化して得られる値を含み、
    　前記付加値は、前記第１暗号文とランダム値とを含む情報に対応する又は由来する値を含む、復号能力提供装置。
  10. 　請求項６または７の復号能力提供装置であって、
    　前記第１暗号文は、前記平文とランダム値を含む情報とに対応する又は由来する値、を暗号化して得られる値を含み、
    　前記付加値は、前記ランダム値を含む情報に対応する又は由来する値を含む、復号能力提供装置。
  11. 　自己訂正処理部が、準同型性演算によって復号可能な第１暗号文を復号するための復号鍵を保持する復号能力提供装置との間で自己訂正処理を行い、前記第１暗号文の復号値を得るステップと、
    　非準同型性処理部が、前記第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行い、平文を出力するステップと、
    を有する復号方法。
  12. 　復号能力提供部が、準同型性演算によって復号可能な第１暗号文の復号値に対応する又は由来する値と、付加値と、を用いた非準同型性演算を行って平文を出力する復号装置から前記第１暗号文に対応する情報を得るステップと、
    　前記復号能力提供部が、前記第１暗号文を復号するための復号鍵を用い、前記復号装置に前記復号鍵の情報を与えることなく、前記復号装置が自己訂正処理によって前記第１暗号文の復号値を得るための情報を、前記復号装置に対して出力するステップと、
    を有する復号能力提供方法。
  13. 　請求項１または２の復号装置としてコンピュータを機能させるためのプログラム。
  14. 　請求項６または７の復号能力提供装置としてコンピュータを機能させるためのプログラム。
PCT/JP2014/067352 2013-07-18 2014-06-30 復号装置、復号能力提供装置、それらの方法、およびプログラム WO2015008607A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2015527239A JP6059347B2 (ja) 2013-07-18 2014-06-30 復号装置、復号能力提供装置、それらの方法、およびプログラム
CN201480034506.2A CN105339995B (zh) 2013-07-18 2014-06-30 解密装置、解密能力提供装置、其方法、以及记录介质
US14/900,517 US10163370B2 (en) 2013-07-18 2014-06-30 Decoding apparatus, decoding capability providing apparatus, method thereof and program
EP14826053.2A EP3001401A4 (en) 2013-07-18 2014-06-30 Decoding device, decoding ability providing device, method thereof, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2013-149156 2013-07-18
JP2013149156 2013-07-18

Publications (1)

Publication Number Publication Date
WO2015008607A1 true WO2015008607A1 (ja) 2015-01-22

Family

ID=52346078

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2014/067352 WO2015008607A1 (ja) 2013-07-18 2014-06-30 復号装置、復号能力提供装置、それらの方法、およびプログラム

Country Status (5)

Country Link
US (1) US10163370B2 (ja)
EP (1) EP3001401A4 (ja)
JP (1) JP6059347B2 (ja)
CN (1) CN105339995B (ja)
WO (1) WO2015008607A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3048102A1 (fr) * 2016-02-24 2017-08-25 Commissariat Energie Atomique Methode d'execution confidentielle d'un programme operant sur des donnees chiffrees par un chiffrement homomorphe
WO2022259494A1 (ja) * 2021-06-10 2022-12-15 日本電信電話株式会社 通信システム、ユーザ端末、通信方法および通信プログラム

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105337736B (zh) * 2014-06-30 2018-10-30 华为技术有限公司 全同态消息认证方法、装置及系统
CN110089071B (zh) * 2016-11-04 2023-02-17 诺基亚技术有限公司 安全的分布式数据处理
JP7024666B2 (ja) * 2018-08-28 2022-02-24 日本電信電話株式会社 Ｉｄベースハッシュ証明系構成装置、ｉｄベース暗号装置及びプログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050066174A1 (en) * 2003-09-18 2005-03-24 Perlman Radia J. Blinded encryption and decryption
WO2011086992A1 (ja) 2010-01-12 2011-07-21 日本電信電話株式会社 代理計算システム、方法、依頼装置、プログラム及びその記録媒体
WO2012057134A1 (ja) 2010-10-26 2012-05-03 日本電信電話株式会社 代理計算システム、計算装置、能力提供装置、代理計算方法、能力提供方法、プログラム、及び記録媒体
WO2012121152A1 (ja) 2011-03-04 2012-09-13 日本電信電話株式会社 代理計算システム、方法、依頼装置及びプログラム
JP2012212031A (ja) * 2011-03-31 2012-11-01 Nippon Telegr & Teleph Corp <Ntt> 復号結果検証装置、方法及びプログラム

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11161164A (ja) * 1997-11-26 1999-06-18 Masao Kasahara 公開鍵暗号方式と暗号化装置および復号装置
US8544089B2 (en) * 2009-08-17 2013-09-24 Fatskunk, Inc. Auditing a device
CN102594570A (zh) * 2012-04-11 2012-07-18 福建师范大学 基于等级身份加密的密钥门限算法
JP5954030B2 (ja) * 2012-08-02 2016-07-20 富士通株式会社 暗号処理装置および方法
JP6173904B2 (ja) * 2013-12-13 2017-08-02 株式会社東芝 共通鍵暗号装置及びプログラム、並びに、共通鍵復号装置及びプログラム
CN106160995B (zh) * 2015-04-21 2019-04-16 郑珂威 基于系数映射变换的多项式完全同态加密方法及系统
US10129029B2 (en) * 2016-06-16 2018-11-13 International Business Machines Corporation Proofs of plaintext knowledge and group signatures incorporating same

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050066174A1 (en) * 2003-09-18 2005-03-24 Perlman Radia J. Blinded encryption and decryption
WO2011086992A1 (ja) 2010-01-12 2011-07-21 日本電信電話株式会社 代理計算システム、方法、依頼装置、プログラム及びその記録媒体
WO2012057134A1 (ja) 2010-10-26 2012-05-03 日本電信電話株式会社 代理計算システム、計算装置、能力提供装置、代理計算方法、能力提供方法、プログラム、及び記録媒体
WO2012121152A1 (ja) 2011-03-04 2012-09-13 日本電信電話株式会社 代理計算システム、方法、依頼装置及びプログラム
JP2012212031A (ja) * 2011-03-31 2012-11-01 Nippon Telegr & Teleph Corp <Ntt> 復号結果検証装置、方法及びプログラム

Non-Patent Citations (7)

* Cited by examiner, † Cited by third party
Title
"Information technology - Security techniques - Encryption algorithms -Part 2:Asymmetric ciphers", INTERNATIONAL STANDARD ISO/IEC 18033-2
"PSEC-KEM specifications, Nippon telegraph and telephone corporation", NTT INFORMATION PLATFORM LABORATORIES, 14 April 2008 (2008-04-14)
D. BONEH; M. FRANLDIN: "Adv. in Cryptology | Crypto 2001, LNCS", vol. 2139, 2001, SPRINGER-VERLAG, article "Identity-Based Encryption from the Weil Pairing", pages: 213 - 229
DAN BONEHL; JONATHAN KATZ: "Improved Efficiency for CCA-Secure Cryptosystems Built Using Identity-Based Encryption", PROCEEDINGS OFRSA-CT '05, LNCS, vol. 3376, 2005, pages 87 - 103
See also references of EP3001401A4 *
SIAM J. COMPUTING, vol. 32, no. 3, 2003, pages 586 - 615
YUTO KAWAHARA ET AL.: "Pairing Ango System ni Okeru Jiko Teisei o Mochiita Fukugo Module no Kosei Oyobi Jisso", 2011 NEN SYMPOSIUM ON CRYPTOGRAPHY AND INFORMATION SECURITY (SCIS2011, 25 January 2011 (2011-01-25), pages 2F1 - 2, XP008172390 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3048102A1 (fr) * 2016-02-24 2017-08-25 Commissariat Energie Atomique Methode d'execution confidentielle d'un programme operant sur des donnees chiffrees par un chiffrement homomorphe
EP3211823A1 (fr) * 2016-02-24 2017-08-30 Commissariat à l'Energie Atomique et aux Energies Alternatives Méthode d'exécution confidentielle d'un programme opérant sur des données chiffrées par un chiffrement homomorphe
US10439798B2 (en) 2016-02-24 2019-10-08 Commissariat A L'energie Atomique Et Aux Energies Alternatives Method for confidential execution of a program operating on data encrypted by a homomorphic encryption
WO2022259494A1 (ja) * 2021-06-10 2022-12-15 日本電信電話株式会社 通信システム、ユーザ端末、通信方法および通信プログラム

Also Published As

Publication number Publication date
JP6059347B2 (ja) 2017-01-11
JPWO2015008607A1 (ja) 2017-03-02
CN105339995B (zh) 2018-04-06
EP3001401A4 (en) 2017-03-22
US20160133164A1 (en) 2016-05-12
CN105339995A (zh) 2016-02-17
US10163370B2 (en) 2018-12-25
EP3001401A1 (en) 2016-03-30

Similar Documents

Publication Publication Date Title
US9973334B2 (en) Homomorphically-created symmetric key
EP2526505B1 (en) Device and method for obtaining a cryptographic key
US10880100B2 (en) Apparatus and method for certificate enrollment
KR101478766B1 (ko) 암호화 장치, 복호 장치, 암호화 방법, 복호 방법, 프로그램, 및 기록 매체
US9762560B2 (en) Method for generating cryptographic “one-time pads” and keys for secure network communications
JP6059347B2 (ja) 復号装置、復号能力提供装置、それらの方法、およびプログラム
US20150043735A1 (en) Re-encrypted data verification program, re-encryption apparatus and re-encryption system
CN107078906A (zh) 公钥加密系统
JP2018502320A (ja) 公開鍵暗号化システム
JP5852518B2 (ja) 認証暗号化装置、認証復号装置、およびプログラム
Hahn et al. Trustworthy delegation toward securing mobile healthcare cyber-physical systems
CN116830523A (zh) 阈值密钥交换
WO2014030706A1 (ja) 暗号化データベースシステム、クライアント装置およびサーバ、暗号化データ加算方法およびプログラム
WO2018043049A1 (ja) 暗号システム、暗号方法及び暗号プログラム
US10230532B2 (en) Entity authentication in network
JP6294882B2 (ja) 鍵保管装置、鍵保管方法、及びそのプログラム
JP2011091517A (ja) サインクリプションシステムおよびサインクリプション生成方法
US20230132163A1 (en) Memory processing apparatus, memory verification apparatus, memory updating apparatus, memory protection system, method, and computer readable medium
WO2021245931A1 (ja) 秘匿情報処理システム、暗号化装置、暗号化方法及び暗号化プログラム
JP2017038336A (ja) 復号方法
JP2011109510A (ja) 原本性保証装置、原本性保証プログラム、及びこのプログラムを記録する記録媒体
CN109617876A (zh) 基于Http协议的数据加密、解密方法及系统
WO2017203743A1 (ja) 暗号化装置、復号装置及び暗号システム
CN114844643A (zh) 一种基于双线性映射获取适配器签名的方法和电子设备
JP5480788B2 (ja) 公開鍵暗号システム、方法、暗号化装置、復号装置及びこれらのプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480034506.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14826053

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015527239

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14900517

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2014826053

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE