WO2016162941A1 - 暗号システム及び鍵生成装置 - Google Patents

暗号システム及び鍵生成装置 Download PDF

Info

Publication number
WO2016162941A1
WO2016162941A1 PCT/JP2015/060825 JP2015060825W WO2016162941A1 WO 2016162941 A1 WO2016162941 A1 WO 2016162941A1 JP 2015060825 W JP2015060825 W JP 2015060825W WO 2016162941 A1 WO2016162941 A1 WO 2016162941A1
Authority
WO
WIPO (PCT)
Prior art keywords
matrix
unit
key
encryption
parameter
Prior art date
Application number
PCT/JP2015/060825
Other languages
English (en)
French (fr)
Inventor
克幸 高島
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to CN201580078523.0A priority Critical patent/CN107454975B/zh
Priority to PCT/JP2015/060825 priority patent/WO2016162941A1/ja
Priority to US15/562,344 priority patent/US10516534B2/en
Priority to JP2017510826A priority patent/JP6305638B2/ja
Priority to EP15888435.3A priority patent/EP3282437B1/en
Publication of WO2016162941A1 publication Critical patent/WO2016162941A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation

Definitions

  • This invention relates to a functional cryptosystem based on lattice theory.
  • Non-Patent Documents 1 to 3 describe functional cryptosystems based on lattice theory.
  • the functional cryptosystems described in Non-Patent Documents 1 to 3 have resistance to quantum computers based on the lattice theory.
  • the functional encryption methods described in Non-Patent Documents 1 to 3 are weak attribute concealment. In other words, the functional encryption methods described in Non-Patent Documents 1 to 3 may leak extra information from ciphertexts having attributes that satisfy the conditions of the secret key. It is an object of the present invention to prevent extra information from leaking from ciphertext having an attribute that satisfies the condition of a secret key.
  • An encryption system includes: The product of the matrix A Y determined by the input parameter Y and the matrix e is a matrix u j among a plurality of matrices u obtained from the public parameter PP, and a value in a set [N] including a plurality of values a key generation device that generates, as a secret key for the input parameter Y, a secret key that includes the matrix e as a key element for the matrix u j for j ; An encryption device that generates a ciphertext including a cryptographic element for each value included in the set [N]; A decryption device that decrypts the ciphertext using the cipher element for the value j of the ciphertext included in the ciphertext and the secret key.
  • a secret key is generated that includes, as a key element, a matrix e in which the product of the matrix A Y and the matrix e becomes the matrix u j for the value j included in the set N.
  • FIG. 1 is a configuration diagram of a cryptographic system 10 according to a first embodiment.
  • 1 is a configuration diagram of a key generation device 100 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of an encryption device 200 according to Embodiment 1.
  • FIG. 1 is a configuration diagram of a decoding device 300 according to Embodiment 1.
  • FIG. 5 is a flowchart showing processing of a Setup algorithm according to the first embodiment. 5 is a flowchart showing processing of a KeyGen algorithm according to the first embodiment. 5 is a flowchart showing processing of an Enc algorithm according to the first embodiment. 4 is a flowchart showing processing of a Dec algorithm according to the first embodiment.
  • FIG. 3 is a diagram illustrating a hardware configuration example of a key generation device 100, an encryption device 200, and a decryption device 300 according to the first embodiment.
  • Embodiment 1 FIG.
  • a key technique for making strong attribute concealment in which unnecessary information is not leaked from a ciphertext having an attribute that satisfies the condition of the secret key will be described.
  • an encryption method using key techniques will be described.
  • a method in which a key technique is applied to the functional encryption method described in Non-Patent Document 1 will be described.
  • the key technique can be applied to the functional encryption methods described in Non-Patent Documents 2 and 3 and the like.
  • a secret key having a matrix e satisfying j ′′ as a key element is generated.
  • a ciphertext including a cryptographic element is generated for each value included in the set N.
  • the ciphertext is decrypted using the encryption element for the value j and the secret key.
  • the encryption system 10 includes a key generation device 100, an encryption device 200, and a decryption device 300.
  • the key generation device 100 receives the parameters 1 n , 1 L, and 1 N and executes the Setup algorithm to generate a public parameter PP and a master key MK. Further, the key generation device 100 receives the public parameter PP, the master key MK, and the predicate vector v that is the input parameter Y, and executes the KeyGen algorithm to generate a secret key sk v for the predicate vector v. .
  • the Setup algorithm is executed once at the time of system setup or the like, and the KeyGen algorithm is executed every time the secret key sk v is generated. Also, the device that executes the Setup algorithm and the device that executes the KeyGen algorithm may be different devices.
  • the encryption device 200 receives the public parameter PP generated by the key generation device 100, the attribute vector w, and the 1-bit message M indicating 0 or 1, and executes the Enc algorithm to obtain the ciphertext CT. Generate.
  • the decryption device 300 receives the public parameter PP and the secret key sk v generated by the key generation device 100 and the ciphertext CT generated by the encryption device 200, executes the Dec algorithm, and sets 0 or 1 Output.
  • the key generation device 100 includes a parameter acquisition unit 110, a master key generation unit 120, a secret key generation unit 130, a parameter disclosure unit 140, and a secret key output unit 150.
  • the parameter acquisition unit 110 acquires 1 n , 1 L, and 1 N , which are parameters input by the administrator of the cryptographic system 10.
  • the parameter acquisition unit 110 acquires the predicate vector v input by the administrator of the cryptographic system 10.
  • the predicate vector v indicates a user attribute of the secret key sk v .
  • the master key generation unit 120 receives the 1 n , 1 L, and 1 N acquired by the parameter acquisition unit 110, executes the Setup algorithm, and generates a public parameter PP and a master key MK.
  • the master key generation unit 120 includes a basic matrix selection unit 121, a random matrix selection unit 122, and a random vector selection unit 123.
  • the secret key generation unit 130 receives the public parameter PP and master key MK generated by the master key generation unit 120 and the predicate vector v acquired by the parameter acquisition unit 110 as input, and executes the KeyGen algorithm to obtain a predicate vector.
  • a secret key sk v is generated for v .
  • the secret key generation unit 130 includes a vector decomposition unit 131, a predicate matrix generation unit 132, and a key element generation unit 133.
  • the parameter disclosure unit 140 discloses the public parameter PP generated by the master key generation unit 120.
  • the parameter disclosing unit 140 publishes the public parameter PP by transmitting the public parameter PP to a public server and making it accessible on the Internet or an intranet.
  • the public parameter PP may be disclosed by other methods such as being transmitted to the encryption device 200 and the decryption device 300.
  • the secret key output unit 150 secretly outputs the secret key sk v generated by the secret key generation unit 130 to the decryption device 300.
  • the secret key output unit 150 by transmitting over the network on encrypted in some cryptosystem private key sk v, and outputs the secret key sk v secretly.
  • the secret key sk v may be secretly output to the decryption apparatus 300 by another method such as storing the storage key in the storage medium and delivering the storage medium to the decryption apparatus 300.
  • the encryption device 200 includes a parameter acquisition unit 210, a ciphertext generation unit 220, and a ciphertext output unit 230.
  • the parameter acquisition unit 210 acquires the public parameter PP generated by the key generation device 100.
  • the parameter acquisition unit 210 acquires the attribute vector w and the message M input by the user of the encryption device 200.
  • the attribute vector w indicates an attribute of a user who can decrypt the ciphertext CT.
  • the message M is a 1-bit value indicating 0 or 1.
  • the ciphertext generation unit 220 receives the public parameter PP, the attribute vector w, and the message M acquired by the parameter acquisition unit 210, and executes the Enc algorithm to generate a ciphertext CT.
  • the ciphertext generation unit 220 includes a random matrix selection unit 221, a random number selection unit 222, a noise selection unit 223, and a cipher element generation unit 224.
  • the ciphertext output unit 230 outputs the ciphertext CT generated by the ciphertext generation unit 220 to the decryption device 300.
  • the ciphertext output unit 230 outputs the ciphertext CT to the decryption device 300 by transmitting the ciphertext CT to the decryption device 300 via the network.
  • the ciphertext CT may be output to the decryption apparatus 300 by another method such as storing the storage medium in the storage medium and delivering the storage medium to the decryption apparatus 300.
  • the configuration of decoding apparatus 300 according to Embodiment 1 will be described based on FIG.
  • the decoding device 300 includes a parameter acquisition unit 310 and a decoding unit 320.
  • the parameter acquisition unit 310 acquires the public parameter PP and the secret key sk v generated by the key generation device 100.
  • the parameter acquisition unit 310 acquires the ciphertext CT generated by the encryption device 200.
  • the decryption unit 320 receives the public parameter PP, the secret key sk v, and the ciphertext CT acquired by the parameter acquisition unit 310, executes the Dec algorithm, and outputs 0 or 1. That is, the decryption unit 320 outputs the result of decrypting the ciphertext CT with the secret key sk v .
  • the decoding unit 320 includes a matrix calculation unit 321, a value calculation unit 322, and a result output unit 323.
  • the operation of the cryptographic system 10 according to the first embodiment will be described with reference to FIGS.
  • the operation of the cryptographic system 10 according to the first embodiment corresponds to the cryptographic method according to the first embodiment.
  • the operation of the cryptographic system 10 according to the first embodiment corresponds to the processing of the cryptographic program according to the first embodiment.
  • the process of the Setup algorithm according to the first embodiment will be described. As described above, the Setup algorithm is executed by the key generation device 100.
  • the parameter acquisition unit 110 acquires parameters 1 n , 1 L, and 1 N that are input to the Setup algorithm.
  • n is a security parameter and is an integer of 1 or more.
  • L is an integer of 1 or more indicating the lengths of the predicate vector v and the attribute vector w.
  • N is an integer of 2 or more.
  • q is an integer greater than 2
  • m is an integer greater than n.
  • ⁇ and ⁇ are positive real Gaussian parameters.
  • the base matrix selection unit 121 In base matrix selection processing in S102, the base matrix selection unit 121, a matrix A ⁇ Z q n ⁇ m, it selects with full rank set T A vector as shown in Formula 11.
  • Base matrix selection unit 121 by using a TrapGen algorithm described in Non-Patent Document 1, it is possible to select a full rank set T A of the matrix A and vector.
  • T 1 to A are obtained by orthogonalizing T A with Gram Schmidt.
  • ⁇ is a symbol indicating an asymptotic lower bound
  • ⁇ ( ⁇ logm) means that it is the same as or slightly larger than ⁇ logm.
  • Z q means an integer space modulo q.
  • a in Z q a represents the number of elements. Therefore, the matrix A i, ⁇ ⁇ Z q n ⁇ m means an n-by-m matrix in an integer space modulo q.
  • the master key generation unit 120 uses the public parameter PP to generate the matrix A generated in S102 to S104, L ⁇ (k + 1) matrices A i, ⁇ and j vectors u j. And also, the master key generation unit 120, the set T A of vectors generated at S102 with the master key MK.
  • the parameter disclosure unit 140 discloses the disclosure parameter PP generated in S105.
  • the processing of the KeyGen algorithm according to the first embodiment will be described.
  • the KeyGen algorithm is executed by the key generation device 100.
  • v i, ⁇ is 0 or 1.
  • the predicate matrix generation unit 132 uses the values v i, ⁇ decomposed and generated in S202 and the matrices A i, ⁇ included in the public parameter PP acquired in S201, As shown in Equation 13, a matrix C v and a matrix A v are generated.
  • the matrix A v corresponds to the matrix A Y described in the key technique.
  • the sample Left algorithm is executed with the vector u j and the Gaussian parameter ⁇ as inputs, and the vector e is calculated at random.
  • the SampleLeft algorithm is described in Non-Patent Document 1. As long as the vector e can be calculated, a method other than the SampleLeft algorithm may be used.
  • the secret key output unit 150 uses the predicate vector v acquired in S201, the value j selected in S204, and the vector e calculated in S205 as the secret key sk. Output v .
  • the processing of the Enc algorithm according to the first embodiment will be described.
  • the Enc algorithm is executed by the encryption device 200.
  • the random matrix selection unit 221 selects a uniformly random matrix B ⁇ Z q n ⁇ m .
  • the random number selection unit 222 randomly selects the vector s ⁇ Z q n .
  • the noise selection unit 223, a noise vector X having m elements from the probability distribution phi alpha with randomly selecting, randomly select noise term x from the probability distribution phi alpha.
  • This is a probability distribution on Z q : Z / qZ obtained by generating x and outputting an integer closest to qx.
  • the cryptographic element generation unit 224 selects a random matrix R i, ⁇ ⁇ ⁇ 0, 1 ⁇ m ⁇ m .
  • the cryptographic element generation unit 224 selects the matrix A i, ⁇ included in the public parameter PP acquired in S301, the attribute vector w acquired in S301, the matrix B selected in S302, and the selection in S303.
  • “2 / q” means an integer closest to 2 / q.
  • ciphertext output processing S308 is ciphertext output unit 230, the calculated matrix c 0 in S305, the cryptographic elements computed matrix c i, and gamma, the computed matrix c 'j at S307 in S306
  • the ciphertext CT is output.
  • the processing of the Dec algorithm according to the first embodiment will be described.
  • the Dec algorithm is executed by the decoding device 300.
  • the parameter acquisition unit 310 acquires the public parameter PP disclosed by the parameter disclosure unit 140.
  • the parameter acquisition unit 310 acquires the secret key sk v output by the secret key output unit 150.
  • the parameter acquisition unit 310 acquires the ciphertext CT output by the ciphertext output unit 230.
  • the matrix calculation unit 321 uses the predicate vector v included in the secret key sk v acquired in S401 and the matrices c i, ⁇ included in the ciphertext CT acquired in S401. ,
  • the matrix cv is calculated as shown in equation (14).
  • c v ]. Then, the value calculation unit 322 uses the matrix c ′ j included in the ciphertext CT, the vector e included in the secret key sk v , and the matrix c, and z: c ′ j ⁇ e T c mod q The value z is calculated as follows.
  • the result output unit 323 outputs 0 if the absolute value
  • c v ] [A
  • z M ⁇ “q / 2” + noise.
  • “2 / q” is an integer closest to 2 / q.
  • Message M is 0 or 1
  • noise has been selected from phi alpha, a smaller value. Therefore, if the absolute value
  • the cryptographic system 10 according to the first embodiment implements a functional cryptographic scheme based on lattice theory.
  • a secret key sk v having the vector e as a key element is generated. Thereby, it is possible to prevent extra information from being leaked from the ciphertext having an attribute that satisfies the condition of the secret key.
  • e and u j are vectors. However, depending on the algorithm to which the key technique is applied, e and u j are matrices.
  • the matrix A Y , the matrix e, and the matrix u j may be read as elements of the function space. Further, the matrix A Y , the matrix e, and the matrix u j may be read as infinite dimensional vectors.
  • the matrix e has a shorter norm than the matrix AY .
  • the matrix e is calculated by the SampleLeft algorithm. In the SampleLeft algorithm, the matrix e is selected by sampling from the Gaussian distribution D ⁇ , ⁇ . Therefore, the matrix e is distributed according to a Gaussian distribution D ⁇ , ⁇ .
  • the standard deviation value ⁇ defines a substantial distribution width of 2 ⁇ (m + m 1 ).
  • the standard deviation value ⁇ is approximately the same as O ( ⁇ (n ⁇ (m + m1)) ⁇ logq ⁇ log (m + m 1 )). Therefore, the length of the matrix e is also approximately c ⁇ (n ⁇ (m + m 1 )) ⁇ logq ⁇ log (m + m 1 ) using an appropriate constant c.
  • M 1 is a positive integer.
  • FIG. 9 is a diagram illustrating a hardware configuration example of the key generation device 100, the encryption device 200, and the decryption device 300 according to the first embodiment.
  • the key generation device 100, the encryption device 200, and the decryption device 300 are computers.
  • the key generation device 100, the encryption device 200, and the decryption device 300 include hardware such as a processor 901, an auxiliary storage device 902, a memory 903, a communication device 904, an input interface 905, and a display interface 906.
  • the processor 901 is connected to other hardware via the signal line 910, and controls these other hardware.
  • the input interface 905 is connected to the input device 907 by a cable 911.
  • the display interface 906 is connected to the display 908 by a cable 912.
  • the processor 901 is an IC (Integrated Circuit) that performs processing.
  • the processor 901 is, for example, a CPU (Central Processing Unit), a DSP (Digital Signal Processor), or a GPU (Graphics Processing Unit).
  • the auxiliary storage device 902 is, for example, a ROM (Read Only Memory), a flash memory, or an HDD (Hard Disk Drive).
  • the memory 903 is, for example, a RAM (Random Access Memory).
  • the communication device 904 includes a receiver 9041 that receives data and a transmitter 9042 that transmits data.
  • the communication device 904 is, for example, a communication chip or a NIC (Network Interface Card).
  • the input interface 905 is a port to which the cable 911 of the input device 907 is connected.
  • the input interface 905 is, for example, a USB (Universal Serial Bus) terminal.
  • the display interface 906 is a port to which the cable 912 of the display 908 is connected.
  • the display interface 906 is, for example, a USB terminal or an HDMI (registered trademark) (High Definition Multimedia Interface) terminal.
  • the input device 907 is, for example, a mouse, a keyboard, or a touch panel.
  • the display 908 is, for example, an LCD (Liquid Crystal Display).
  • the parameter acquisition unit 110, the parameter disclosure unit 140, the secret key output unit 150, the parameter acquisition unit 210, the ciphertext output unit 230, and the parameter acquisition unit 310 are realized by the communication device 904.
  • the parameter acquisition unit 110, the parameter acquisition unit 210, and the parameter acquisition unit 310 may be realized by the input interface 905.
  • the result output unit 323 is realized by the display interface 906.
  • the auxiliary storage device 902 includes the master key generation unit 120, the basic matrix selection unit 121, the random matrix selection unit 122, the random vector selection unit 123, the secret key generation unit 130, the vector decomposition unit 131, and the like.
  • Matrix calculation unit 321, value calculation unit 322 hereinafter, master key generation unit 120, basic matrix selection unit 121, random matrix selection unit 122, random vector selection unit 123, secret key generation unit 130, , Vector decomposition unit 131, predicate matrix generation unit 132, key element generation unit 133, ciphertext generation unit 220, random matrix selection unit 221, random number A program for realizing the functions of the selection unit 222, the noise selection unit 223, the encryption element generation unit 224, the decryption unit 320, the matrix calculation unit 3
  • This program is loaded into the memory 903, read into the processor 901, and executed by the processor 901. Further, the auxiliary storage device 902 also stores an OS (Operating System). Then, at least a part of the OS is loaded into the memory 903, and the processor 901 executes a program that realizes the function of “unit” while executing the OS.
  • the key generation device 100, the encryption device 200, and the decryption device 300 may include a plurality of processors 901. A plurality of processors 901 may execute a program for realizing the function of “unit” in cooperation with each other.
  • information, data, signal values, and variable values indicating the results of the processing of “unit” are stored as files in the memory 903, the auxiliary storage device 902, or a register or cache memory in the processor 901.
  • Parts may be provided by “Circuitry”. Further, “part” may be read as “circuit”, “process”, “procedure”, or “processing”. “Circuit” and “Circuitry” include not only the processor 901 but also other types of processing circuits such as logic IC, GA (Gate Array), ASIC (Application Specific Integrated Circuit), or FPGA (Field-Programmable Gate Array). It is a concept to include.
  • 10 cryptographic system 100 key generation device, 110 parameter acquisition unit, 120 master key generation unit, 121 basic matrix selection unit, 122 random matrix selection unit, 123 random vector selection unit, 130 secret key generation unit, 131 vector decomposition unit, 132 Predicate matrix generation unit, 133 key element generation unit, 140 parameter disclosure unit, 150 secret key output unit, 200 encryption device, 210 parameter acquisition unit, 220 ciphertext generation unit, 221 random matrix selection unit, 222 random number selection unit, 223 Noise selection unit, 224 encryption element generation unit, 230 ciphertext output unit, 300 decryption device, 310 parameter acquisition unit, 320 decryption unit, 321 matrix calculation unit, 322 value calculation unit, 323 result output unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Mathematical Analysis (AREA)
  • Computing Systems (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Mathematical Optimization (AREA)
  • Algebra (AREA)
  • Storage Device Security (AREA)

Abstract

　暗号システム（１０）は、格子理論に基づく関数型暗号方式を実現する。暗号システム（１０）において、鍵生成装置（１００）は、入力パラメータＹである述語ベクトルｖによって定まる行列ＡＹと、行列ｅとの積が、公開パラメータＰＰから得られる複数の行列ｕのうちの行列ｕｊであって、複数の値を含む集合［Ｎ］のうちの値ｊについての行列ｕｊになる行列ｅを鍵要素として含む秘密鍵ｓｋｖを、述語ベクトルｖについての秘密鍵ｓｋｖとして生成する。

Description

暗号システム及び鍵生成装置
　この発明は、格子理論に基づく関数型暗号方式に関する。
　非特許文献１～３には、格子理論に基づく関数型暗号方式について記載されている。非特許文献１～３に記載された関数型暗号方式は、格子理論に基づくことにより、量子計算機にも耐性を有している。
Ｓｈｗｅｔａ　Ａｇｒａｗａｌ，　Ｄａｖｉｄ　Ｍａｎｄｅｌｌ　Ｆｒｅｅｍａｎ，　ａｎｄ　Ｖｉｎｏｄ　Ｖａｉｋｕｎｔａｎａｔｈａｎ．　Ｆｕｎｃｔｉｏｎａｌ　ｅｎｃｒｙｐｔｉｏｎ　ｆｏｒ　ｉｎｎｅｒ　ｐｒｏｄｕｃｔ　ｐｒｅｄｉｃａｔｅｓ　ｆｒｏｍ　ｌｅａｒｎｉｎｇ　ｗｉｔｈ　ｅｒｒｏｒｓ．　Ｉｎ　Ａｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＡＳＩＡＣＲＹＰＴ　２０１１　－　１７ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ｔｈｅ　Ｔｈｅｏｒｙ　ａｎｄ　Ａｐｐｌｉｃａｔｉｏｎ　ｏｆ　Ｃｒｙｐｔｏｌｏｇｙ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ，　Ｓｅｏｕｌ，　Ｓｏｕｔｈ　Ｋｏｒｅａ，　Ｄｅｃｅｍｂｅｒ　４－８，２０１１．　Ｐｒｏｃｅｅｄｉｎｇｓ，　ｐａｇｅｓ　２１－４０，　２０１１． Ｍｉｃｈｅｌ　Ａｂｄａｌｌａ，　Ａｎｇｅｌｏ　Ｄｅ　Ｃａｒｏ，　ａｎｄ　Ｋａｒｉｎａ　Ｍｏｃｈｅｔｔｉ．　Ｌａｔｔｉｃｅ－ｂａｓｅｄ　ｈｉｅｒａｒｃｈｉｃａｌ　ｉｎｎｅｒ　ｐｒｏｄｕｃｔ　ｅｎｃｒｙｐｔｉｏｎ．Ｉｎ　Ｐｒｏｇｒｅｓｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＬＡＴＩＮＣＲＹＰＴ　２０１２　－　２ｎｄ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｃｒｙｐｔｏｌｏｇｙ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　ｉｎ　Ｌａｔｉｎ　Ａｍｅｒｉｃａ，　Ｓａｎｔｉａｇｏ，　Ｃｈｉｌｅ，　Ｏｃｔｏｂｅｒ　７－１０，　２０１２．　Ｐｒｏｃｅｅｄｉｎｇｓ，　ｐａｇｅｓ　１２１－１３８，　２０１２． Ｋｅｉｔａ　Ｘａｇａｗａ．　Ｉｍｐｒｏｖｅｄ　（ｈｉｅｒａｒｃｈｉｃａｌ）　ｉｎｎｅｒ－ｐｒｏｄｕｃｔ　ｅｎｃｒｙｐｔｉｏｎ　ｆｒｏｍ　ｌａｔｔｉｃｅｓ．　Ｉｎ　Ｐｕｂｌｉｃ－Ｋｅｙ　Ｃｒｙｐｔｏｇｒａｐｈｙ　－　ＰＫＣ　２０１３　－　１６ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｐｒａｃｔｉｃｅ　ａｎｄ　Ｔｈｅｏｒｙ　ｉｎ　Ｐｕｂｌｉｃ－Ｋｅｙ　Ｃｒｙｐｔｏｇｒａｐｈｙ，　Ｎａｒａ，　Ｊａｐａｎ，　Ｆｅｂｒｕａｒｙ　２６　－　Ｍａｒｃｈ　１，　２０１３．　Ｐｒｏｃｅｅｄｉｎｇｓ，　ｐａｇｅｓ　２３５－２５２，　２０１３．
　非特許文献１～３に記載された関数型暗号方式は、弱属性秘匿である。つまり、非特許文献１～３に記載された関数型暗号方式は、秘密鍵の条件が満たされるような属性をもつ暗号文からは余計な情報が漏れる恐れがある。
　この発明は、秘密鍵の条件が満たされるような属性をもつ暗号文から余計な情報が漏れないようにすることを目的とする。
　この発明に係る暗号システムは、
　入力パラメータＹによって定まる行列ＡＹと、行列ｅとの積が、公開パラメータＰＰから得られる複数の行列ｕのうちの行列ｕｊであって、複数の値を含む集合［Ｎ］のうちの値ｊについての行列ｕｊになる前記行列ｅを鍵要素として含む秘密鍵を、前記入力パラメータＹについての秘密鍵として生成する鍵生成装置と、
　前記集合［Ｎ］に含まれる各値についての暗号要素を含む暗号文を生成する暗号化装置と、
　前記暗号文に含まれる暗号要素のうちの前記値ｊについての暗号要素と、前記秘密鍵とを用いて、前記暗号文を復号する復号装置と
を備える。
　この発明では、行列ＡＹと行列ｅとの積が、集合Ｎに含まれる値ｊについての行列ｕｊになる行列ｅを鍵要素として含む秘密鍵を生成する。これにより、秘密鍵の条件が満たされるような属性をもつ暗号文から余計な情報が漏れないようにすることが可能である。
実施の形態１に係る暗号システム１０の構成図。 実施の形態１に係る鍵生成装置１００の構成図。 実施の形態１に係る暗号化装置２００の構成図。 実施の形態１に係る復号装置３００の構成図。 実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＫｅｙＧｅｎアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＥｎｃアルゴリズムの処理を示すフローチャート。 実施の形態１に係るＤｅｃアルゴリズムの処理を示すフローチャート。 実施の形態１に係る鍵生成装置１００と暗号化装置２００と復号装置３００とのハードウェア構成例を示す図。
　実施の形態１．
　実施の形態１では、まず、秘密鍵の条件が満たされるような属性をもつ暗号文から余計な情報が漏れない強属性秘匿にするためのキーテクニックを説明する。その上で、キーテクニックを適用した暗号方式を説明する。
　実施の形態１では、非特許文献１に記載された関数型暗号方式に対して、キーテクニックを適用した方式について説明する。しかし、非特許文献２，３等に記載された関数型暗号方式にもキーテクニックを適用することができる。
　＊＊＊キーテクニック＊＊＊
　格子理論に基づく関数型暗号では、入力パラメータＹに関する秘密鍵生成において、入力パラメータＹによって定まる行列ＡＹと、公開パラメータＰＰから得られる行列ｕと、行列ＡＹ及び行列ｕよりもノルムが短い行列ｅとについて、行列ターゲット等式“ＡＹ・ｅ＝ｕ”を満たす行列ｅを鍵要素とする秘密鍵が生成される。
　実施の形態１では、公開パラメータＰＰから得られる行列ｕのうち、複数の値を含む集合Ｎから選択された値ｊについての行列ｕｊを用いて、行列ターゲット等式“ＡＹ・ｅ＝ｕｊ”を満たす行列ｅを鍵要素とする秘密鍵が生成される。
　暗号化する場合には、集合Ｎのうちのどの値が値ｊとして選択されたか特定できないため、集合Ｎに含まれる各値について暗号要素を含む暗号文が生成される。そして、復号する場合には、値ｊについての暗号要素と、秘密鍵とを用いて、暗号文が復号される。
　＊＊＊構成の説明＊＊＊
　図１に基づき、実施の形態１に係る暗号システム１０の構成を説明する。
　暗号システム１０は、鍵生成装置１００と、暗号化装置２００と、復号装置３００とを備える。
　鍵生成装置１００は、パラメータである１ｎと１Ｌと１Ｎとを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータＰＰと、マスター鍵ＭＫとを生成する。また、鍵生成装置１００は、公開パラメータＰＰと、マスター鍵ＭＫと、入力パラメータＹである述語ベクトルｖとを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、述語ベクトルｖについての秘密鍵ｓｋｖを生成する。
　なお、Ｓｅｔｕｐアルゴリズムは、システムセットアップ時等に１度実行され、ＫｅｙＧｅｎアルゴリズムは、秘密鍵ｓｋｖを生成する度に実行される。また、Ｓｅｔｕｐアルゴリズムを実行する装置と、ＫｅｙＧｅｎアルゴリズムを実行する装置とを別の装置としてもよい。
　暗号化装置２００は、鍵生成装置１００によって生成された公開パラメータＰＰと、属性ベクトルｗと、０又は１を示す１ビットのメッセージＭとを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ＣＴを生成する。
　復号装置３００は、鍵生成装置１００によって生成された公開パラメータＰＰ及び秘密鍵ｓｋｖと、暗号化装置２００によって生成された暗号文ＣＴとを入力として、Ｄｅｃアルゴリズムを実行して、０又は１を出力する。
　図２に基づき、実施の形態１に係る鍵生成装置１００の構成を説明する。
　鍵生成装置１００は、パラメータ取得部１１０と、マスター鍵生成部１２０と、秘密鍵生成部１３０と、パラメータ公開部１４０と、秘密鍵出力部１５０とを備える。
　パラメータ取得部１１０は、暗号システム１０の管理者によって入力された、パラメータである１ｎと１Ｌと１Ｎとを取得する。
　パラメータ取得部１１０は、暗号システム１０の管理者によって入力された、述語ベクトルｖを取得する。ここでは、述語ベクトルｖは、秘密鍵ｓｋｖのユーザの属性を示す。
　マスター鍵生成部１２０は、パラメータ取得部１１０によって取得された１ｎと１Ｌと１Ｎとを入力として、Ｓｅｔｕｐアルゴリズムを実行して、公開パラメータＰＰと、マスター鍵ＭＫとを生成する。
　マスター鍵生成部１２０は、基本行列選択部１２１と、ランダム行列選択部１２２と、ランダムベクトル選択部１２３とを備える。
　秘密鍵生成部１３０は、マスター鍵生成部１２０によって生成された公開パラメータＰＰ及びマスター鍵ＭＫと、パラメータ取得部１１０によって取得された述語ベクトルｖとを入力として、ＫｅｙＧｅｎアルゴリズムを実行して、述語ベクトルｖについての秘密鍵ｓｋｖを生成する。
　秘密鍵生成部１３０は、ベクトル分解部１３１と、述語行列生成部１３２と、鍵要素生成部１３３とを備える。
　パラメータ公開部１４０は、マスター鍵生成部１２０によって生成された公開パラメータＰＰを公開する。
　ここでは、パラメータ公開部１４０は、公開パラメータＰＰを公開用のサーバに送信し、インターネット又はイントラネットでアクセス可能にすることにより、公開パラメータＰＰを公開する。公開パラメータＰＰは、暗号化装置２００及び復号装置３００に送信されるといった他の方法により公開されてもよい。
　秘密鍵出力部１５０は、秘密鍵生成部１３０によって生成された秘密鍵ｓｋｖを秘密裡に復号装置３００に出力する。
　ここでは、秘密鍵出力部１５０は、秘密鍵ｓｋｖを何らかの暗号方式で暗号化した上でネットワークを介して送信することにより、秘密鍵ｓｋｖを秘密裡に出力する。秘密鍵ｓｋｖは、記憶媒体に記憶した上で記憶媒体を復号装置３００に配送するといった他の方法により、秘密裡に復号装置３００に出力されてもよい。
　図３に基づき、実施の形態１に係る暗号化装置２００の構成を説明する。
　暗号化装置２００は、パラメータ取得部２１０と、暗号文生成部２２０と、暗号文出力部２３０とを備える。
　パラメータ取得部２１０は、鍵生成装置１００によって生成された公開パラメータＰＰを取得する。
　パラメータ取得部２１０は、暗号化装置２００のユーザによって入力された、属性ベクトルｗと、メッセージＭとを取得する。ここでは、属性ベクトルｗは、暗号文ＣＴを復号可能なユーザの属性を示す。また、ここでは、メッセージＭは、０又は１を示す１ビットの値である。
　暗号文生成部２２０は、パラメータ取得部２１０によって取得された公開パラメータＰＰ及び属性ベクトルｗ及びメッセージＭを入力として、Ｅｎｃアルゴリズムを実行して、暗号文ＣＴを生成する。
　暗号文生成部２２０は、ランダム行列選択部２２１と、乱数選択部２２２と、ノイズ選択部２２３と、暗号要素生成部２２４とを備える。
　暗号文出力部２３０は、暗号文生成部２２０によって生成された暗号文ＣＴを復号装置３００に出力する。
　ここでは、暗号文出力部２３０は、暗号文ＣＴをネットワークを介して復号装置３００に送信することにより、暗号文ＣＴを復号装置３００に出力する。暗号文ＣＴは、記憶媒体に記憶した上で記憶媒体を復号装置３００に配送するといった他の方法により、復号装置３００に出力されてもよい。
　図４に基づき、実施の形態１に係る復号装置３００の構成を説明する。
　復号装置３００は、パラメータ取得部３１０と、復号部３２０とを備える。
　パラメータ取得部３１０は、鍵生成装置１００によって生成された公開パラメータＰＰ及び秘密鍵ｓｋｖを取得する。
　パラメータ取得部３１０は、暗号化装置２００によって生成された暗号文ＣＴを取得する。
　復号部３２０は、パラメータ取得部３１０によって取得された公開パラメータＰＰ及び秘密鍵ｓｋｖ及び暗号文ＣＴを入力として、Ｄｅｃアルゴリズムを実行して、０又は１を出力する。つまり、復号部３２０は、暗号文ＣＴを秘密鍵ｓｋｖによって復号した結果を出力する。
　復号部３２０は、行列計算部３２１と、値計算部３２２と、結果出力部３２３とを備える。
　＊＊＊動作の説明＊＊＊
　図５から図８に基づき、実施の形態１に係る暗号システム１０の動作を説明する。
　実施の形態１に係る暗号システム１０の動作は、実施の形態１に係る暗号方法に相当する。また、実施の形態１に係る暗号システム１０の動作は、実施の形態１に係る暗号プログラムの処理に相当する。
　図５に基づき、実施の形態１に係るＳｅｔｕｐアルゴリズムの処理を説明する。
　上述した通り、Ｓｅｔｕｐアルゴリズムは鍵生成装置１００によって実行される。
　Ｓ１０１のパラメータ取得処理では、パラメータ取得部１１０は、Ｓｅｔｕｐアルゴリズムの入力となるパラメータ１ｎと１Ｌと１Ｎとを取得する。
　ここで、ｎはセキュリティパラメータであり、１以上の整数である。Ｌは、述語ベクトルｖと属性ベクトルｗとの長さを示す１以上の整数である。Ｎは、２以上の整数である。
　以下の説明では、ｑは２より大きい整数であり、ｍはｎより大きい整数であるとする。また、σ及びαは、正の実数ガウスパラメータであるとする。
　Ｓ１０２の基本行列選択処理では、基本行列選択部１２１は、行列Ａ∈Ｚｑ ｎ×ｍを、数１１に示すようなベクトルの最大階数集合ＴＡとともに選択する。基本行列選択部１２１は、非特許文献１に記載されているＴｒａｐＧｅｎアルゴリズムを用いることにより、行列Ａとベクトルの最大階数集合ＴＡとを選択することが可能である。
Figure JPOXMLDOC01-appb-M000006
 　ここで、Ｔ～ Ａは、ＴＡをグラムシュミット直交化したものである。ωは、漸近的な下界を示す記号であり、ω（√ｌｏｇｍ）は、√ｌｏｇｍと同じか少し大きいという意味である。
　Ｓ１０３のランダム行列選択処理では、ランダム行列選択部１２２は、ｉ＝１，．．．，Ｌの各整数ｉと、γ＝０，．．．，ｋの各整数γとについてのＬ・（ｋ＋１）個の一様にランダムな行列Ａｉ，γ∈Ｚｑ ｎ×ｍを選択する。
　なお、Ｚｑとは、ｑを法とする整数空間を意味する。また、Ｚｑ ａにおけるａは要素数を表している。そのため、行列Ａｉ，γ∈Ｚｑ ｎ×ｍは、ｑを法とする整数空間におけるｎ行ｍ列の行列を意味する。
　Ｓ１０４のランダムベクトル選択処理では、ランダムベクトル選択部１２３は、ｊ＝１，．．．，Ｎの各整数ｊについてのｊ個の一様にランダムなベクトルｕｊ∈Ｚｑ ｎを選択する。
　Ｓ１０５の鍵生成処理では、マスター鍵生成部１２０は、Ｓ１０２からＳ１０４で生成された行列Ａと、Ｌ・（ｋ＋１）個の行列Ａｉ，γと、ｊ個のベクトルｕｊとを公開パラメータＰＰとする。また、マスター鍵生成部１２０は、Ｓ１０２で生成されたベクトルの集合ＴＡをマスター鍵ＭＫとする。
　Ｓ１０６のパラメータ公開処理では、パラメータ公開部１４０は、Ｓ１０５で生成された公開パラメータＰＰを公開する。
　図６に基づき、実施の形態１に係るＫｅｙＧｅｎアルゴリズムの処理を説明する。
　上述した通り、ＫｅｙＧｅｎアルゴリズムは鍵生成装置１００によって実行される。
　Ｓ２０１のパラメータ取得処理では、パラメータ取得部１１０は、述語ベクトルｖ：＝（ｖ１，．．．，ｖＬ）∈Ｚｑ Ｌを取得する。また、秘密鍵生成部１３０は、マスター鍵生成部１２０によって生成された公開パラメータＰＰ及びマスター鍵ＭＫを取得する。
　Ｓ２０２のベクトル分解処理では、ベクトル分解部１３１は、ｉ＝１，．．．，Ｌの各整数ｉについての述語ベクトルｖの要素ｖｉを数１２に示すように２進分解する。
Figure JPOXMLDOC01-appb-M000007
 　ここで、ｖｉ，γは、０又は１である。
　Ｓ２０３の述語行列生成処理では、述語行列生成部１３２は、Ｓ２０２で分解され生成された値ｖｉ，γと、Ｓ２０１で取得された公開パラメータＰＰに含まれる行列Ａｉ，γとを用いて、数１３に示すように行列Ｃｖと、行列Ａｖとを生成する。
Figure JPOXMLDOC01-appb-M000008
 　ここでは、入力パラメータＹが述語ベクトルｖであるため、行列Ａｖはキーテクニックで説明した行列ＡＹに相当する。
　Ｓ２０４のインデックス選択処理では、鍵要素生成部１３３は、集合［Ｎ］：＝１，．．．，Ｎに含まれる値からランダムに値ｊを選択する。
　Ｓ２０５の鍵要素生成処理では、鍵要素生成部１３３は、Ｓ２０４で選択された値ｊについて、行列Ａｖとベクトルｅとの積がベクトルｕｊとなる、つまりＡｖ・ｅ＝ｕｊ　ｍｏｄ　ｑとなるベクトルｅを計算する。
　ここでは、鍵要素生成部１３３は、Ｓ２０１で取得された公開パラメータＰＰに含まれる行列Ａと、Ｓ２０３で生成された行列Ｃｖと、マスター鍵ＭＫである集合ＴＡと、公開パラメータＰＰに含まれるベクトルｕｊと、ガウスパラメータσとを入力として、ＳａｍｐｌｅＬｅｆｔアルゴリズムを実行して、ランダムにベクトルｅを計算する。なお、ＳａｍｐｌｅＬｅｆｔアルゴリズムについては、非特許文献１に記載されている。ベクトルｅが計算できるのであれば、ＳａｍｐｌｅＬｅｆｔアルゴリズム以外の方法であってもよい。
　Ｓ２０６の秘密鍵出力処理では、秘密鍵出力部１５０は、Ｓ２０１で取得された述語ベクトルｖと、Ｓ２０４で選択された値ｊと、Ｓ２０５で計算されたベクトルｅとを鍵要素とする秘密鍵ｓｋｖを出力する。
　図７に基づき、実施の形態１に係るＥｎｃアルゴリズムの処理を説明する。
　上述した通り、Ｅｎｃアルゴリズムは暗号化装置２００によって実行される。
　Ｓ３０１のパラメータ取得処理では、パラメータ取得部２１０は、パラメータ公開部１４０によって公開された公開パラメータＰＰを取得する。また、パラメータ取得部２１０は、属性ベクトルｗ：＝（ｗ１，．．．，ｗＬ）と、メッセージＭ∈｛０，１｝とを取得する。
　Ｓ３０２のランダム行列選択処理では、ランダム行列選択部２２１は、一様にランダムな行列Ｂ∈Ｚｑ ｎ×ｍを選択する。
　Ｓ３０３の乱数選択処理では、乱数選択部２２２は、ベクトルｓ∈Ｚｑ ｎをランダムに選択する。
　Ｓ３０４のノイズ選択処理では、ノイズ選択部２２３は、確率分布φαからｍ個の要素を有するノイズベクトルＸをランダムに選択するとともに、確率分布φαからノイズ項ｘをランダムに選択する。
　ここで、確率分布φαは、α∈（０，１）と，２より大きい整数ｑとに対して、平均０であり、標準偏差α／√（２π）の正規分布（ガウス分布）から実数ｘを生成し、ｑｘに最も近い整数を出力することにより得られたＺｑ：＝Ｚ／ｑＺ上の確率分布である。
　Ｓ３０５のｃ０生成処理では、暗号要素生成部２２４は、Ｓ３０１で取得された公開パラメータＰＰに含まれる行列Ａと、Ｓ３０３で選択されたベクトルｓと、Ｓ３０４で生成されたノイズベクトルＸとを用いて、ｃ０：＝ＡＴｓ＋Ｘのように、行列ｃ０を計算する。
　Ｓ３０６のｃｉ，γ生成処理では、暗号要素生成部２２４は、ｉ＝１，．．．，Ｌの各整数ｉと、γ＝０，．．．，ｋの各整数γとについて、以下の（ａ）（ｂ）を実行する。
　（ａ）暗号要素生成部２２４は、ランダムな行列Ｒｉ，γ∈｛０，１｝ｍ×ｍを選択する。（ｂ）暗号要素生成部２２４は、Ｓ３０１で取得された公開パラメータＰＰに含まれる行列Ａｉ，γと、Ｓ３０１で取得された属性ベクトルｗと、Ｓ３０２で選択された行列Ｂと、Ｓ３０３で選択されたベクトルｓと、Ｓ３０４で生成されたノイズベクトルＸとを用いて、ｃｉ，γ：＝（Ａｉ，γ＋２γｗｉＢ）Ｔｓ＋Ｒｉ，γ ＴＸのように、行列ｃｉ，γを計算する。
　Ｓ３０７のｃ’ｊ生成処理では、暗号要素生成部２２４は、ｊ＝１，．．．，Ｎの各整数ｊについて、Ｓ３０１で取得された公開パラメータＰＰに含まれるベクトルｕｊと、Ｓ３０３で選択されたベクトルｓと、Ｓ３０４で選択されたノイズ項ｘと、Ｓ３０１で取得されたメッセージＭとを用いて、ｃ’ｊ：＝ｕｊ Ｔｓ＋ｘ＋Ｍ・“２／ｑ”∈Ｚｑのように、行列ｃ’ｊを計算する。つまり、暗号要素生成部２２４は、集合［Ｎ］に含まれる各値について、行列ｃ’ｊを計算する。
　ここで、“２／ｑ”は、２／ｑに最も近い整数を意味する。
　Ｓ３０８の暗号文出力処理では、暗号文出力部２３０は、Ｓ３０５で計算された行列ｃ０と、Ｓ３０６で計算された行列ｃｉ，γと、Ｓ３０７で計算された行列ｃ’ｊとを暗号要素とする暗号文ＣＴを出力する。
　図８に基づき、実施の形態１に係るＤｅｃアルゴリズムの処理を説明する。
　上述した通り、Ｄｅｃアルゴリズムは復号装置３００によって実行される。
　Ｓ４０１のパラメータ取得処理では、パラメータ取得部３１０は、パラメータ公開部１４０によって公開された公開パラメータＰＰを取得する。また、パラメータ取得部３１０は、秘密鍵出力部１５０によって出力された秘密鍵ｓｋｖを取得する。また、パラメータ取得部３１０は、暗号文出力部２３０によって出力された暗号文ＣＴを取得する。
　Ｓ４０２の行列計算処理では、行列計算部３２１は、Ｓ４０１で取得された秘密鍵ｓｋｖに含まれる述語ベクトルｖと、Ｓ４０１で取得された暗号文ＣＴに含まれる行列ｃｉ，γとを用いて、数１４に示すように、行列ｃｖを計算する。
Figure JPOXMLDOC01-appb-M000009
　Ｓ４０３の値計算処理では、値計算部３２２は、暗号文ＣＴに含まれる行列ｃ０と、Ｓ４０２で計算された行列ｃｖとを連接して行列ｃを計算する。つまり、値計算部３２２は、ｃ：＝［ｃ０｜｜ｃｖ］とする。
　そして、値計算部３２２は、暗号文ＣＴに含まれる行列ｃ’ｊと、秘密鍵ｓｋｖに含まれるベクトルｅと、行列ｃとを用いて、ｚ：＝ｃ’ｊ－ｅＴｃ　ｍｏｄ　ｑのように、値ｚを計算する。
　Ｓ４０４の結果出力処理では、結果出力部３２３は、Ｓ４０３で計算された値ｚの絶対値｜ｚ｜が、ｑ／４よりも小さいなら０を出力し、そうでないなら、１を出力する。
　ノイズベクトルＸとノイズ項ｘとを“ｎｏｉｓｅ”と表記する。すると、述語ベクトルｖと属性ベクトルｗとの内積が０（ｖ・ｗ＝０）なら、ｃｖ：＝Σｉ＝１ ＬΣγ＝０ ｋｖｉ，γｃｉ，γ＝Ｃｖ Ｔｓ＋ｎｏｉｓｅである。そのため、ｃ：＝［ｃ０｜｜ｃｖ］＝［Ａ｜｜Ｃｖ］Ｔｓ＋ｎｏｉｓｅ＝Ａｖ Ｔｓ＋ｎｏｉｓｅである。Ａｖ・ｅ＝ｕｊなので、ｅＴｃ＝ｅＴＡｖ Ｔｓ＋ｎｏｉｓｅ＝ｕＴｓ＋ｎｏｉｓｅである。したがって、ｚ＝Ｍ・“ｑ／２”＋ｎｏｉｓｅである。ここで、“２／ｑ”は、２／ｑに最も近い整数である。
　メッセージＭは０又は１であり、ｎｏｉｓｅはφαから選択されたものであり、小さい値である。そのため、絶対値｜ｚ｜が、ｑ／４よりも小さいなら、メッセージＭは０であり、そうでないなら、メッセージＭは１であるということができる。
　＊＊＊効果の説明＊＊＊
　以上のように、実施の形態１に係る暗号システム１０は、格子理論に基づく関数型暗号方式を実現する。特に、実施の形態１に係る暗号システム１０は、複数の値を含む集合Ｎから選択された値ｊについての行列ｕｊを用いて、行列ターゲット等式“Ａｖ・ｅ＝ｕｊ”を満たすベクトルｅを鍵要素とする秘密鍵ｓｋｖ生成する。
　これにより、秘密鍵の条件が満たされるような属性をもつ暗号文から余計な情報が漏れないようにすることが可能である。
　なお、上記関数型暗号方式では、ｅ及びｕｊがベクトルであった。しかし、キーテクニックを適用するアルゴリズムによっては、ｅ及びｕｊは行列になる。
　また、上記説明では、行列ＡＹと行列ｅと行列ｕｊとについて、行列ターゲット等式ＡＹ・ｅ＝ｕｊを満たす行列ｅを鍵要素とする秘密鍵を生成するとした。しかし、行列ＡＹと行列ｅと行列ｕｊとは、関数空間の要素と読み替えてもよい。また、行列ＡＹと行列ｅと行列ｕｊとは、無限次元ベクトルと読み替えてもよい。
　また、上記説明では、行列ｅは、行列ＡＹに比べてノルムが短いとした。
　行列ｅは、ＳａｍｐｌｅＬｅｆｔアルゴリズムによって計算される。ＳａｍｐｌｅＬｅｆｔアルゴリズムでは、行列ｅは、ガウス分布ＤΛ，σからサンプリングして選択される。そのため、行列ｅは、ほぼガウス分布ＤΛ，σに従って分布している。
　この場合、標準偏差値σが実質的な分布の幅を２σ√（ｍ＋ｍ１）に定めている。標準偏差値σは、大体、Ｏ（√（ｎ・（ｍ＋ｍ１））・ｌｏｇｑ・ｌｏｇ（ｍ＋ｍ１））と同じくらいである。そのため、行列ｅの長さも、適当な定数ｃを使って、ほぼｃ√（ｎ・（ｍ＋ｍ１））・ｌｏｇｑ・ｌｏｇ（ｍ＋ｍ１）である。なお、ｍ１は、正の整数である。
　図９は、実施の形態１に係る鍵生成装置１００と暗号化装置２００と復号装置３００とのハードウェア構成例を示す図である。
　鍵生成装置１００と暗号化装置２００と復号装置３００とはコンピュータである。
　鍵生成装置１００と暗号化装置２００と復号装置３００とは、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インタフェース９０５、ディスプレイインタフェース９０６といったハードウェアを備える。
　プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
　入力インタフェース９０５は、ケーブル９１１により入力装置９０７に接続されている。
　ディスプレイインタフェース９０６は、ケーブル９１２によりディスプレイ９０８に接続されている。
　プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）である。プロセッサ９０１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ　Ｓｉｇｎａｌ　Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）である。
　補助記憶装置９０２は、例えば、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）である。
　メモリ９０３は、例えば、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）である。
　通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。通信装置９０４は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）である。
　入力インタフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。入力インタフェース９０５は、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓ）端子である。
　ディスプレイインタフェース９０６は、ディスプレイ９０８のケーブル９１２が接続されるポートである。ディスプレイインタフェース９０６は、例えば、ＵＳＢ端子又はＨＤＭＩ（登録商標）（Ｈｉｇｈ　Ｄｅｆｉｎｉｔｉｏｎ　Ｍｕｌｔｉｍｅｄｉａ　Ｉｎｔｅｒｆａｃｅ）端子である。
　入力装置９０７は、例えば、マウス、キーボード又はタッチパネルである。
　ディスプレイ９０８は、例えば、ＬＣＤ（Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙ）である。
　パラメータ取得部１１０と、パラメータ公開部１４０と、秘密鍵出力部１５０と、パラメータ取得部２１０と、暗号文出力部２３０と、パラメータ取得部３１０とは、通信装置９０４によって実現される。パラメータ取得部１１０と、パラメータ取得部２１０と、パラメータ取得部３１０とは、入力インタフェース９０５によって実現されてもよい。
　結果出力部３２３は、ディスプレイインタフェース９０６によって実現される。
　補助記憶装置９０２には、上述したマスター鍵生成部１２０と、基本行列選択部１２１と、ランダム行列選択部１２２と、ランダムベクトル選択部１２３と、秘密鍵生成部１３０と、ベクトル分解部１３１と、述語行列生成部１３２と、鍵要素生成部１３３と、暗号文生成部２２０と、ランダム行列選択部２２１と、乱数選択部２２２と、ノイズ選択部２２３と、暗号要素生成部２２４と、復号部３２０と、行列計算部３２１と、値計算部３２２と（以下、マスター鍵生成部１２０と、基本行列選択部１２１と、ランダム行列選択部１２２と、ランダムベクトル選択部１２３と、秘密鍵生成部１３０と、ベクトル分解部１３１と、述語行列生成部１３２と、鍵要素生成部１３３と、暗号文生成部２２０と、ランダム行列選択部２２１と、乱数選択部２２２と、ノイズ選択部２２３と、暗号要素生成部２２４と、復号部３２０と、行列計算部３２１と、値計算部３２２とをまとめて「部」と表記する）の機能を実現するプログラムが記憶されている。
　このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
　更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）も記憶されている。
　そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
　図９では、１つのプロセッサ９０１が図示されているが、鍵生成装置１００と暗号化装置２００と復号装置３００とが複数のプロセッサ９０１を備えていてもよい。そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
　また、「部」の処理の結果を示す情報やデータや信号値や変数値が、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリにファイルとして記憶される。
　「部」を「サーキットリー」で提供してもよい。また、「部」を「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。「回路」及び「サーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ　Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。
　１０　暗号システム、１００　鍵生成装置、１１０　パラメータ取得部、１２０　マスター鍵生成部、１２１　基本行列選択部、１２２　ランダム行列選択部、１２３　ランダムベクトル選択部、１３０　秘密鍵生成部、１３１　ベクトル分解部、１３２　述語行列生成部、１３３　鍵要素生成部、１４０　パラメータ公開部、１５０　秘密鍵出力部、２００　暗号化装置、２１０　パラメータ取得部、２２０　暗号文生成部、２２１　ランダム行列選択部、２２２　乱数選択部、２２３　ノイズ選択部、２２４　暗号要素生成部、２３０　暗号文出力部、３００　復号装置、３１０　パラメータ取得部、３２０　復号部、３２１　行列計算部、３２２　値計算部、３２３　結果出力部。

Claims (6)

  1. 　入力パラメータＹによって定まる行列ＡＹと、行列ｅとの積が、公開パラメータＰＰから得られる複数の行列ｕのうちの行列ｕｊであって、複数の値を含む集合［Ｎ］のうちの値ｊについての行列ｕｊになる前記行列ｅを鍵要素として含む秘密鍵を、前記入力パラメータＹについての秘密鍵として生成する鍵生成装置と、
    　前記集合［Ｎ］に含まれる各値についての暗号要素を含む暗号文を生成する暗号化装置と、
    　前記暗号文に含まれる暗号要素のうちの前記値ｊについての暗号要素と、前記秘密鍵とを用いて、前記暗号文を復号する復号装置と
    を備える暗号システム。
  2. 　前記行列ｅは、前記行列ＡＹ及び行列ｕｊよりもノルムが短い
    請求項１に記載の暗号システム。
  3. 　前記各値についての暗号要素は、その値についての行列ｕを用いて生成された
    請求項１又は２に記載の暗号システム。
  4. 　前記行列ＡＹは、前記入力パラメータＹである述語ベクトルｖが設定された行列Ａｖであり、
    　前記暗号化装置は、前記各値についての暗号要素に加えて、属性ベクトルｗを設定した暗号要素を含む暗号文を生成する
    請求項１から３までのいずれか１項に記載の暗号システム。
  5. 　前記鍵生成装置は、数１に示す行列ｅを前記鍵要素として生成し、
    　前記暗号化装置は、数２に示すｃ０と、数３に示すｃｉ，γと、数４に示すｃ’ｊとを前記暗号要素として生成し、
    　前記復号装置は、数５に示す計算をして、前記暗号文を復号する
    請求項４に記載の暗号システム。
    Figure JPOXMLDOC01-appb-M000001
    Figure JPOXMLDOC01-appb-M000002
    Figure JPOXMLDOC01-appb-M000003
    Figure JPOXMLDOC01-appb-M000004
    Figure JPOXMLDOC01-appb-M000005
  6. 　入力パラメータＹと公開パラメータＰＰとを取得するパラメータ取得部と、
    　前記パラメータ取得部が取得した入力パラメータＹによって定まる行列ＡＹと、行列ｅとの積が、公開パラメータＰＰから得られる複数の行列ｕのうちの行列ｕｊであって、複数の値を含む集合［Ｎ］のうちの値ｊについての行列ｕｊになる前記行列ｅを秘密鍵の鍵要素として生成する秘密鍵生成部と
    を備える鍵生成装置。
PCT/JP2015/060825 2015-04-07 2015-04-07 暗号システム及び鍵生成装置 WO2016162941A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201580078523.0A CN107454975B (zh) 2015-04-07 2015-04-07 加密系统和密钥生成装置
PCT/JP2015/060825 WO2016162941A1 (ja) 2015-04-07 2015-04-07 暗号システム及び鍵生成装置
US15/562,344 US10516534B2 (en) 2015-04-07 2015-04-07 Cryptographic system and key generation apparatus
JP2017510826A JP6305638B2 (ja) 2015-04-07 2015-04-07 暗号システム及び鍵生成装置
EP15888435.3A EP3282437B1 (en) 2015-04-07 2015-04-07 Functional encryption system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/060825 WO2016162941A1 (ja) 2015-04-07 2015-04-07 暗号システム及び鍵生成装置

Publications (1)

Publication Number Publication Date
WO2016162941A1 true WO2016162941A1 (ja) 2016-10-13

Family

ID=57072424

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/060825 WO2016162941A1 (ja) 2015-04-07 2015-04-07 暗号システム及び鍵生成装置

Country Status (5)

Country Link
US (1) US10516534B2 (ja)
EP (1) EP3282437B1 (ja)
JP (1) JP6305638B2 (ja)
CN (1) CN107454975B (ja)
WO (1) WO2016162941A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2752697C1 (ru) * 2017-10-17 2021-07-30 Конинклейке Филипс Н.В. Криптографическое устройство с изменяемой конфигурацией

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6006842B1 (ja) * 2015-07-22 2016-10-12 日本電信電話株式会社 秘密計算装置、その方法、およびプログラム
WO2019157503A1 (en) 2018-02-12 2019-08-15 Massachusetts Institute Of Technology Systems and methods for providing secure communications using a protocol engine
KR20210130196A (ko) * 2019-02-19 2021-10-29 메사추세츠 인스티튜트 오브 테크놀로지 양자-보안 사물 인터넷을 위한 설정가능한 래티스 암호 프로세서 및 관련된 기법들
JP2023544198A (ja) * 2020-10-05 2023-10-20 エヌティーティー リサーチ インコーポレイテッド 分散型マルチ権限属性ベース暗号
CN114095170B (zh) * 2022-01-20 2022-05-27 北京信安世纪科技股份有限公司 数据处理方法、装置、系统及计算机可读存储介质

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5142579A (en) 1991-01-29 1992-08-25 Anderson Walter M Public key cryptographic system and method
JP4346929B2 (ja) * 2003-03-10 2009-10-21 三菱電機株式会社 量子鍵配送方法および通信装置
US7634085B1 (en) 2005-03-25 2009-12-15 Voltage Security, Inc. Identity-based-encryption system with partial attribute matching
US20090080658A1 (en) 2007-07-13 2009-03-26 Brent Waters Method and apparatus for encrypting data for fine-grained access control
JP5349261B2 (ja) 2009-04-23 2013-11-20 三菱電機株式会社 暗号処理システム、鍵生成装置、鍵委譲装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
CN102598576B (zh) * 2009-10-29 2014-09-17 三菱电机株式会社 数据处理装置
EP2503533B1 (en) 2009-11-20 2016-10-05 Mitsubishi Electric Corporation Cipher processing system, key generating device, key delegating device, encrypting device, decrypting device, cipher processing method and cipher processing program
JP5325755B2 (ja) 2009-12-11 2013-10-23 株式会社エヌ・ティ・ティ・データ 暗号文復号権限委譲システム、暗号文復号権限委譲方法、暗号文変換装置、復号権限所持者用装置および暗号文変換プログラム
JP5424974B2 (ja) 2010-04-27 2014-02-26 三菱電機株式会社 暗号処理システム、鍵生成装置、暗号化装置、復号装置、署名処理システム、署名装置及び検証装置
US8634563B2 (en) * 2010-12-17 2014-01-21 Microsoft Corporation Attribute based encryption using lattices
JP5693206B2 (ja) 2010-12-22 2015-04-01 三菱電機株式会社 暗号処理システム、鍵生成装置、暗号化装置、復号装置、暗号処理方法及び暗号処理プログラム
JP5513444B2 (ja) 2011-05-31 2014-06-04 日本電信電話株式会社 ベクトル構成システム、方法、装置及びプログラム並びに暗号システム
JP5651609B2 (ja) 2012-01-23 2015-01-14 日本電信電話株式会社 検索可能暗号システム、検索装置、計算装置、及びプログラム
JP5670366B2 (ja) * 2012-01-27 2015-02-18 日本電信電話株式会社 匿名データ提供システム、匿名データ装置、それらが実行する方法、およびプログラム
US9281941B2 (en) * 2012-02-17 2016-03-08 International Business Machines Corporation Homomorphic evaluation including key switching, modulus switching, and dynamic noise management
JP5730805B2 (ja) * 2012-04-04 2015-06-10 日本電信電話株式会社 格子問題に基づく階層型内積暗号システム，格子問題に基づく階層型内積暗号方法，装置
US8566601B1 (en) * 2012-09-12 2013-10-22 Zeutro Llc Systems and methods for functional encryption using a string of arbitrary length
JP5852551B2 (ja) * 2012-11-12 2016-02-03 日本電信電話株式会社 関数型暗号システム、鍵生成装置、暗号化装置、復号装置、関数型暗号方法、およびプログラム
JP6115573B2 (ja) 2012-11-30 2017-04-19 日本電気株式会社 暗号システム、データ保存システム、それに用いる装置および方法
JP2014186097A (ja) * 2013-03-22 2014-10-02 Kddi Corp 公開鍵暗号化方式における並列ＧａｕｓｓＳｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置、求解方法およびプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
AGRAWAL, SHWETA ET AL.: "Functional Encryption for Inner Product Predicates from Learning with Errors", ADVANCES IN CRYPTOLOGY -- ASIACRYPT, vol. 2011, 2011, pages 21 - 40, XP047309673 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2752697C1 (ru) * 2017-10-17 2021-07-30 Конинклейке Филипс Н.В. Криптографическое устройство с изменяемой конфигурацией

Also Published As

Publication number Publication date
US20180357933A1 (en) 2018-12-13
CN107454975A (zh) 2017-12-08
EP3282437A4 (en) 2018-04-04
CN107454975B (zh) 2020-11-27
JPWO2016162941A1 (ja) 2017-06-01
EP3282437B1 (en) 2021-10-27
JP6305638B2 (ja) 2018-04-04
US10516534B2 (en) 2019-12-24
EP3282437A1 (en) 2018-02-14

Similar Documents

Publication Publication Date Title
JP6305638B2 (ja) 暗号システム及び鍵生成装置
JP6732141B2 (ja) 変換鍵生成装置、暗号文変換装置、秘匿情報処理システム、変換鍵生成方法、変換鍵生成プログラム、暗号文変換方法及び暗号文変換プログラム
US20140233727A1 (en) Method for secure substring search
JP6575532B2 (ja) 暗号化装置、復号装置、暗号処理システム、暗号化方法、復号方法、暗号化プログラム、及び復号プログラム
CN110169010B (zh) 同态运算装置、加密系统和计算机能读取的存储介质
US11658806B2 (en) Identity-based hash proof system configuration apparatus, identity-based encryption apparatus, identity-based hash proof system configuration method and program
JP6270683B2 (ja) 暗号システム、暗号方法、普遍再暗号化鍵生成装置及び再暗号化鍵生成装置
JP2018036418A (ja) 暗号システム、暗号方法及び暗号プログラム
CN116170142B (zh) 分布式协同解密方法、设备和存储介质
WO2019239776A1 (ja) 復号装置、暗号化装置及び暗号システム
JP6081036B2 (ja) 復号条件追加装置及び暗号システム
JP6625283B2 (ja) 暗号化装置、復号装置、暗号化方法、暗号化プログラム、復号方法及び復号プログラム
Hussein et al. Proposed Parallel Algorithms to Encryption Image Based on Hybrid Enhancement RC5 and RSA
WO2019142260A1 (ja) 秘匿分析装置、秘匿分析システム、秘匿分析方法及び秘匿分析プログラム
JP6949276B2 (ja) 再暗号化装置、再暗号化方法、再暗号化プログラム及び暗号システム
US11811741B2 (en) Information processing system and information processing method
EP4024755B1 (en) Secured performance of an elliptic curve cryptographic process
WO2021130935A1 (ja) 電子透かし埋め込み装置、電子透かし抽出装置、電子透かし埋め込み方法、電子透かし抽出方法及びプログラム
Aruljothi et al. A Survey on Different Encryption Techniques in Network Security

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15888435

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017510826

Country of ref document: JP

Kind code of ref document: A

REEP Request for entry into the european phase

Ref document number: 2015888435

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE