WO2022219785A1 - 暗号システム、暗号化装置、復号装置、方法、及びプログラム - Google Patents

暗号システム、暗号化装置、復号装置、方法、及びプログラム Download PDF

Info

Publication number
WO2022219785A1
WO2022219785A1 PCT/JP2021/015630 JP2021015630W WO2022219785A1 WO 2022219785 A1 WO2022219785 A1 WO 2022219785A1 JP 2021015630 W JP2021015630 W JP 2021015630W WO 2022219785 A1 WO2022219785 A1 WO 2022219785A1
Authority
WO
WIPO (PCT)
Prior art keywords
tbe
key
encryption
algorithm
dec
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2021/015630
Other languages
English (en)
French (fr)
Inventor
恵太 草川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to PCT/JP2021/015630 priority Critical patent/WO2022219785A1/ja
Priority to US18/553,346 priority patent/US12381736B2/en
Priority to JP2023514282A priority patent/JP7605297B2/ja
Publication of WO2022219785A1 publication Critical patent/WO2022219785A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC

Definitions

  • the present invention relates to cryptographic systems, encryption devices, decryption devices, methods, and programs.
  • Non-Patent Document 1 describes a method of constructing an IND-CCA secure public key cipher by BK conversion from an ID-based cipher.
  • Non-Patent Document 1 if a public key is included in the ciphertext, it is possible to know from the ciphertext to whom the ciphertext is addressed, so that sufficient anonymity cannot be ensured. A problem exists.
  • An embodiment of the present invention has been made in view of the above points, and aims to realize secure public key cryptography that ensures anonymity.
  • a cryptosystem that performs encryption and decryption by a public key cryptosystem composed of MAC (T, V), where a security parameter is ⁇ and an encryption key ek is generated by a key generation algorithm Gen TBE (1 ⁇ ) Generate a TBE and a decryption key dk TBE , generate a common parameter pub by an initialization algorithm Init(1 ⁇ ), and convert the encryption key ek TBE and the common parameter pub to the encryption key ek of the public key cryptosystem , a key generation unit that uses the decryption key dk TBE as the decryption key dk of the public key cryptosystem, and a sender algorithm S (1 ⁇ , pub) to generate a random number r,
  • the public key cryptosystem PKE is composed of three algorithms ( GenPKE , EncPKE , DecPKE ).
  • Gen PKE ( 1 ⁇ ) ⁇ (ek, dk)
  • the key generation algorithm Gen PKE takes as input 1 ⁇ with a security parameter ⁇ and outputs a key pair (ek, dk).
  • ek is called an encryption key
  • dk is called a decryption key.
  • 1 ⁇ represents a ⁇ bit string of 1s. Strictly speaking, ⁇ is called a safety parameter, but if there is no misunderstanding, 1 ⁇ may be called a safety parameter.
  • Enc PKE receives an encryption key ek and a plaintext m ⁇ M and outputs a ciphertext c ⁇ C.
  • M represents a plaintext space
  • C represents a ciphertext space.
  • Dec PKE receives decryption key dk and ciphertext c, and outputs plaintext m ⁇ M or a symbol ⁇ representing rejection.
  • the symbol ⁇ representing refusal means that the decryption of the ciphertext c has failed, and is not included in the plaintext space M.
  • Tag-based encryption The tag-based encryption scheme TBE is composed of three algorithms (Gen TBE , Enc TBE , Dec TBE ).
  • Gen TBE (1 ⁇ ) ⁇ (ek, dk)
  • the key generation algorithm Gen TBE takes as input 1 ⁇ with a security parameter ⁇ and outputs a key pair (ek, dk).
  • Enc TBE receives an encryption key ek, a tag ⁇ , and a plaintext m ⁇ M, and outputs a ciphertext c ⁇ C.
  • Dec TBE receives the decryption key dk, the tag ⁇ , and the ciphertext c, and outputs the plaintext m ⁇ M or the symbol ⁇ representing rejection.
  • the weak commitment scheme wCom consists of three algorithms (Init, S, R).
  • the initialization algorithm Init takes as input 1 ⁇ using the security parameter ⁇ and outputs the common parameter pub.
  • the sender algorithm S takes as input 1 ⁇ using the security parameter ⁇ and the common parameter pub, and outputs a random value r ⁇ 0,1 ⁇ ⁇ , commitment com and de-commitment dec. Note that ⁇ 0, 1 ⁇ ⁇ represents a ⁇ -bit long binary sequence.
  • the recipient algorithm R takes as input the public parameters pub, the commitment com and the decommitment dec, and outputs a random value r ⁇ 0,1 ⁇ ⁇ or a symbol ⁇ representing rejection. Note that the symbol ⁇ representing rejection means that the commit has failed and is not included in ⁇ 0, 1 ⁇ ⁇ .
  • the message authentication code scheme MAC consists of two algorithms (T, V).
  • the MAC generation algorithm T takes as input a key r ⁇ 0,1 ⁇ ⁇ and a message ⁇ 0,1 ⁇ * and outputs a tag ⁇ .
  • ⁇ 0,1 ⁇ * represents a binary sequence of arbitrary length.
  • a verification algorithm V takes as input a key r, a message ⁇ and a tag ⁇ , and outputs a symbol T representing acceptance or a symbol ⁇ representing rejection. If the symbol T representing acceptance is output, it means that the verification of the tag ⁇ is successful, and if the symbol ⁇ representing rejection is output, it means that the verification of the tag ⁇ has failed.
  • the anonymous public key encryption scheme PKE is configured.
  • This configuration method itself is the BK conversion described in Non-Patent Document 1 above.
  • the ID-based encryption method IBE is used instead of the tag-based encryption method TBE.
  • each algorithm is configured as follows.
  • the encryption key ek and the decryption key dk of the tag-based encryption scheme TBE are hereinafter referred to as ek TBE and dk TBE , respectively.
  • Step 1 ⁇ ⁇ (ek, dk)
  • the key generation algorithm Gen PKE takes as input 1 ⁇ using a security parameter ⁇ and outputs a pair (ek, dk) of an encryption key ek and a decryption key dk.
  • the key generation algorithm Gen PKE outputs (ek, dk) by the following Steps 1-1 to 1-3.
  • Step 1-1 and Step 1-2 are in no particular order.
  • Step 1-1 (ek TBE , dk TBE ) ⁇ Gen TBE (1 ⁇ )
  • Enc PKE receives an encryption key ek and a plaintext m ⁇ M, and outputs a ciphertext ct ⁇ C. At this time, the encryption algorithm Enc PKE outputs the ciphertext ct through the following Steps 2-1 to 2-4.
  • Step 2-1 (r, com, dec) ⁇ S (1 ⁇ , pub)
  • Step 2-2 c ⁇ Enc TBE (ek TBE , com, (m, dec))
  • Step 2-3 ⁇ T(r, c)
  • Step 2-4: Output ct: (com, c, ⁇ ).
  • the decryption algorithm Dec PKE takes as input the decryption key dk and the ciphertext ct, and outputs the plaintext m ⁇ M or the symbol ⁇ representing rejection. At this time, the decryption algorithm Dec PKE outputs a plaintext m or a symbol ⁇ representing refusal by the following Steps 3-1 to 3-4.
  • the security of the anonymous public key cryptosystem PKE constructed above varies according to the security of its components, namely the tag-based cryptosystem TBE, the weak commitment system wCom, and the message authentication code system MAC.
  • the security of the anonymous public key cryptosystem PKE also changes.
  • the security of the anonymous public key cryptosystem PKE is INDr-CCA security and OS-CCA security, respectively.
  • security pattern 1 or security pattern 2 as the security of the tag-based encryption method TBE, the weak commitment method wCom, and the message authentication code method MAC, a secure public key cryptosystem that secures anonymity PKE can be implemented. It is possible to prove that the anonymous public key cryptosystem PKE is INDr-CCA secure in the case of security pattern 1, and that the anonymous public key cryptosystem PKE is OS-CCA secure in the case of security pattern 2. is.
  • Reference 1 Ran Canetti and Marc Fischlin. Universally composable commitments. In Joe Kilian, editor, CRYPTO 2001, volume 2139 of LNCS, pages 19-40. Springer, Heidelberg, August 2001. Reference 2: Charles Rackoff and Daniel R. Simon. Noninteractive zero-knowledge proof of knowledge and chosen ciphertext attack. In Joan Feigenbaum, editor, CRYPTO'91, volume 576 of LNCS, pages 433-444. Springer, Heidelberg, August 1992. Reference 3: Mihir Bellare, Anand Desai, David Pointcheval, and Phillip Rogaway. Relations among notions of security for public-key encryption schemes. In Hugo Krawczyk, editor, CRYPTO'98, volume 1462 of LNCS, pages 26-45.
  • FIG. 1 is a diagram showing an example of the overall configuration of a cryptographic system 1 according to this embodiment.
  • the encryption system 1 includes an encryption device 10 and a decryption device 20. Also, the encryption device 10 and the decryption device 20 are communicably connected via a communication network 30 such as the Internet.
  • the encryption device 10 is various information processing devices such as terminals and devices that encrypt the plaintext m.
  • the encryption device 10 has an encryption processing unit 101 and a storage unit 102 .
  • the encryption processing unit 101 encrypts the plaintext m by the encryption algorithm Enc PKE of the anonymous public key cryptosystem PKE.
  • the storage unit 102 stores various kinds of information (for example, encryption key ek, security parameter ⁇ , common parameter pub, etc.) necessary for executing the encryption algorithm Enc PKE of the anonymous public key cryptosystem PKE.
  • the decryption device 20 is various information processing devices such as a terminal and equipment for decrypting the ciphertext ct.
  • the decryption device 20 has a key generation processing unit 201 , a decryption processing unit 202 and a storage unit 203 .
  • the key generation processing unit 201 generates an encryption key ek and a decryption key dk by a key generation algorithm Gen PKE of the anonymous public key cryptosystem PKE.
  • the decryption processing unit 202 decrypts the ciphertext ct using the decryption algorithm Dec PKE of the anonymous public key cryptosystem PKE.
  • the storage unit 203 stores information (for example, security parameter ⁇ , common parameter pub, decryption key dk, etc.) necessary for executing the key generation algorithm Gen PKE and the decryption algorithm Dec PKE of the anonymous public key cryptosystem PKE. .
  • the security parameter ⁇ and the common parameter pub are hereinafter also referred to as public parameters.
  • the decryption device 20 generates the encryption key ek and the decryption key dk of the anonymous public key cryptosystem PKE, but this is just an example, and functions as a key generation authority, for example.
  • a server may generate the encryption key ek and the decryption key dk.
  • the server has a key generation processing unit 201, and the encryption key ek and the decryption key dk are generated by the key generation processing unit 201, and the decryption key dk is generated by a decryption device by some secure method.
  • the encryption key ek and public parameters are made public to the encryption device 10 and the decryption device 20 .
  • a computer 500 shown in FIG. 2 has an input device 501, a display device 502, an external I/F 503, a communication I/F 504, a processor 505, and a memory device 506 as hardware. Each of these pieces of hardware is communicably connected via a bus 507 .
  • the input device 501 is, for example, a keyboard, mouse, touch panel, or the like.
  • the display device 502 is, for example, a display. Note that the computer 500 may not have at least one of the input device 501 and the display device 502 .
  • the external I/F 503 is an interface with an external device such as a recording medium 503a.
  • Examples of the recording medium 503a include CD (Compact Disc), DVD (Digital Versatile Disk), SD memory card (Secure Digital memory card), USB (Universal Serial Bus) memory card, and the like.
  • a communication I/F 504 is an interface for connecting to the communication network 30 .
  • the processor 505 is, for example, various arithmetic units such as a CPU (Central Processing Unit) and a GPU (Graphics Processing Unit).
  • the memory device 506 is, for example, various storage devices such as HDD (Hard Disk Drive), SSD (Solid State Drive), RAM (Random Access Memory), ROM (Read Only Memory), and flash memory.
  • the encryption device 10 and the decryption device 20 according to the present embodiment can implement various processes described later by the hardware configuration of the computer 500 shown in FIG.
  • the hardware configuration of the computer 500 shown in FIG. 2 is an example, and various hardware configurations may be adopted according to the intended use to which the cryptographic system 1 is applied.
  • the encryption processing unit 101 is realized, for example, by causing the processor 505 of the computer 500 that realizes the encryption device 10 to execute one or more programs installed in the encryption device 10 .
  • the storage unit 102 is implemented by, for example, the memory device 506 of the computer 500 that implements the encryption device 10 .
  • the key generation processing unit 201 and the decryption processing unit 202 are implemented, for example, by causing the processor 505 of the computer 500 that implements the decryption device 20 to execute one or more programs installed in the decryption device 20.
  • the storage unit 203 is implemented by, for example, the memory device 506 of the computer 500 that implements the decoding device 20 .
  • FIG. 3 is a sequence diagram showing an example of the overall processing flow of the cryptographic system 1 according to this embodiment.
  • the key generation processing unit 201 of the decryption device 20 executes a key generation algorithm Gen PKE (1 ⁇ ) of the anonymous public key cryptosystem PKE to generate an encryption key ek and a decryption key dk (step S101).
  • the decryption key dk is stored in the storage unit 203 .
  • the key generation processing unit 201 of the decryption device 20 transmits the public parameters (that is, the security parameter ⁇ and the common parameter pub) and the encryption key ek generated in step S101 to the encryption device 10. (step S102).
  • the public parameters and the encryption key ek are transmitted to the encryption device 10 in this step, they do not necessarily need to be transmitted, and may be stored in a server or the like that can be referred to by the encryption device 10, for example. .
  • the encryption processing unit 101 of the encryption device 10 executes the encryption algorithm Enc PKE (ek, m) of the anonymous public key cryptosystem PKE to encrypt the plaintext m (step S103). Thus, the ciphertext ct is generated.
  • the encryption processing unit 101 of the encryption device 10 transmits the ciphertext ct generated in step S103 above to the decryption device 20 (step S104).
  • the decryption processing unit 202 of the decryption device 20 executes the decryption algorithm Dec PKE (dk, ct) of the anonymous public key cryptosystem PKE to decrypt the ciphertext ct (step S105). Plaintext m is thereby generated.
  • Encryption System 10 Encryption Device 20 Decryption Device 30 Communication Network 101 Encryption Processing Unit 102 Storage Unit 201 Key Generation Processing Unit 202 Decryption Processing Unit 203 Storage Unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

一実施形態に係る暗号システムは、タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムであって、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、を有する。

Description

暗号システム、暗号化装置、復号装置、方法、及びプログラム
　本発明は、暗号システム、暗号化装置、復号装置、方法、及びプログラムに関する。
　ＩＤベース暗号やタグベース暗号からＢｏｎｅｈ－Ｋａｔｚ変換（以下、ＢＫ変換ともいう。）によりＩＮＤ－ＣＣＡ安全な公開鍵暗号を構成する方法が知られている。例えば、非特許文献１には、ＩＤベース暗号からＢＫ変換によりＩＮＤ－ＣＣＡ安全な公開鍵暗号を構成する方法が記載されている。
Dan Boneh, Ran Canetti, Shai Halevi, and Jonathan Katz. Chosen-ciphertext security from identity-based encryption. SIAM J. Comput., 36(5):1301-1328, 2007.
　しかしながら、非特許文献１等に記載されている従来方法では、暗号文の中に公開鍵を入れておくと、暗号文から誰宛て暗号文かが分かる等、十分に匿名性が確保できない、といった問題が存在する。
　本発明の一実施形態は、上記の点に鑑みてなされたもので、匿名性を確保した安全な公開鍵暗号を実現することを目的とする。
　上記目的を達成するため、一実施形態に係る暗号システムは、タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムであって、安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、を有する。
　匿名性を確保した安全な公開鍵暗号を実現することができる。
本実施形態に係る暗号システムの全体構成の一例を示す図である。 コンピュータのハードウェア構成の一例を示す図である。 本実施形態に係る暗号システムの全体処理の流れの一例を示すシーケンス図である。
　以下、本発明の一実施形態について説明する。本実施形態では、匿名性を確保した安全な公開鍵暗号（以下、匿名公開鍵暗号ともいう。）を実現する暗号システム１について説明する。
　＜準備＞
　以下では、匿名公開鍵暗号を説明するために必要な構成要素を準備する。
　　≪公開鍵暗号≫
　公開鍵暗号方式ＰＫＥは、３つのアルゴリズム（ＧｅｎＰＫＥ，ＥｎｃＰＫＥ，ＤｅｃＰＫＥ）で構成される。
　・ＧｅｎＰＫＥ（１κ）→（ｅｋ，ｄｋ）
　鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。ｅｋを暗号化鍵、ｄｋを復号鍵と呼ぶ。なお、１κは１のκビット列を表す。正確にはκのことを安全性パラメータというが、誤解がない場合は１κのことを安全性パラメータと呼んでもよい。
　・ＥｎｃＰＫＥ（ｅｋ，ｍ）→ｃ
　暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。なお、Ｍは平文空間、Ｃは暗号文空間を表す。
　・ＤｅｃＰＫＥ（ｄｋ，ｃ）→ｍ／⊥
　復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥は暗号文ｃの復号に失敗したことを意味し、平文空間Ｍには含まれない。
　　≪タグベース暗号≫
　タグベース暗号方式ＴＢＥは、３つのアルゴリズム（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）で構成される。
　・ＧｅｎＴＢＥ（１κ）→（ｅｋ，ｄｋ）
　鍵生成アルゴリズムＧｅｎＴＢＥは、安全性パラメータκを使った１κを入力とし、鍵のペア（ｅｋ，ｄｋ）を出力する。
　・ＥｎｃＴＢＥ（ｅｋ，τ，ｍ）→ｃ
　暗号化アルゴリズムＥｎｃＴＢＥは、暗号化鍵ｅｋとタグτと平文ｍ∈Ｍを入力とし、暗号文ｃ∈Ｃを出力する。
　・ＤｅｃＴＢＥ（ｄｋ，τ，ｃ）→ｍ／⊥
　復号アルゴリズムＤｅｃＴＢＥは、復号鍵ｄｋとタグτと暗号文ｃを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。
　　≪弱いコミットメント≫
　弱いコミットメント方式ｗＣｏｍは、３つのアルゴリズム（Ｉｎｉｔ，Ｓ，Ｒ）で構成される。
　・Ｉｎｉｔ（１κ）→ｐｕｂ
　初期化アルゴリズムＩｎｉｔは、安全性パラメータκを使った１κを入力とし、共通パラメータｐｕｂを出力する。
　・Ｓ（１κ，ｐｕｂ）→（ｒ，ｃｏｍ，ｄｅｃ）
　送信者アルゴリズムＳは、安全性パラメータκを使った１κと共通パラメータｐｕｂを入力とし、乱数値ｒ∈｛０，１｝κとコミットメントｃｏｍとデコミットメントｄｅｃを出力する。なお、｛０，１｝κはκビット長のバイナリ系列を表す。
　・Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）→ｒ／⊥
　受信者アルゴリズムＲは、公開パラメータｐｕｂとコミットメントｃｏｍとデコミットメントｄｅｃを入力とし、乱数値ｒ∈｛０，１｝κ又は拒否を表す記号⊥を出力する。なお、拒否を表す記号⊥はコミットに失敗したことを意味し、｛０，１｝κに含まれない。
　　≪メッセージ認証符号≫
　メッセージ認証符号方式ＭＡＣは、２つのアルゴリズム（Ｔ，Ｖ）で構成される。
　・Ｔ（ｒ，μ）→σ
　ＭＡＣ生成アルゴリズムＴは、鍵ｒ∈｛０，１｝κとメッセージμ∈｛０，１｝＊を入力とし、タグσを出力する。なお、｛０，１｝＊は任意長のバイナリ系列を表す。
　・Ｖ（ｒ，μ，σ）→Τ／⊥
　検証アルゴリズムＶは、鍵ｒとメッセージμとタグσを入力とし、受諾を表す記号Τ又は拒否を表す記号⊥を出力する。なお、受諾を表す記号Ｔが出力された場合はタグσの検証に成功したことを意味し、拒否を表す記号⊥が出力された場合はタグσの検証に失敗したことを意味する。
　＜匿名公開鍵暗号＞
　次に、上記で準備したタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣとを用いて、本実施形態に係る匿名公開鍵暗号方式ＰＫＥを構成する。なお、この構成方法そのものは、上記の非特許文献１に記載されているＢＫ変換である。ただし、上記の非特許文献１では、タグベース暗号方式ＴＢＥではなく、ＩＤベース暗号方式ＩＢＥを用いている。
　本実施形態に係る匿名公開鍵暗号方式ＰＫＥ＝（ＧｅｎＰＫＥ，ＥｎｃＰＫＥ，ＤｅｃＰＫＥ）では、各アルゴリズムを以下のように構成する。なお、以下では、タグベース暗号方式ＴＢＥの暗号化鍵ｅｋ及び復号鍵ｄｋをそれぞれｅｋＴＢＥ及びｄｋＴＢＥと表す。
　・ＧｅｎＰＫＥ（１κ）→（ｅｋ，ｄｋ）
　鍵生成アルゴリズムＧｅｎＰＫＥは、安全性パラメータκを使った１κを入力とし、暗号化鍵ｅｋと復号鍵ｄｋのペア（ｅｋ，ｄｋ）を出力する。このとき、鍵生成アルゴリズムＧｅｎＰＫＥは、以下のＳｔｅｐ１－１～Ｓｔｅｐ１－３により（ｅｋ，ｄｋ）を出力する。ただし、Ｓｔｅｐ１－１とＳｔｅｐ１－２は順不同である。
　Ｓｔｅｐ１－１：（ｅｋＴＢＥ，ｄｋＴＢＥ）←ＧｅｎＴＢＥ（１κ）
　Ｓｔｅｐ１－２：ｐｕｂ←Ｉｎｉｔ（１κ）
　Ｓｔｅｐ１－３：ｅｋ：＝（ｅｋＴＢＥ，ｐｕｂ）とｄｋ：＝ｄｋＴＢＥを出力する。
　・ＥｎｃＰＫＥ（ｅｋ，ｍ）→ｃｔ
　暗号化アルゴリズムＥｎｃＰＫＥは、暗号化鍵ｅｋと平文ｍ∈Ｍを入力とし、暗号文ｃｔ∈Ｃを出力する。このとき、暗号化アルゴリズムＥｎｃＰＫＥは、以下のＳｔｅｐ２－１～Ｓｔｅｐ２－４により暗号文ｃｔを出力する。
　Ｓｔｅｐ２－１：（ｒ，ｃｏｍ，ｄｅｃ）←Ｓ（１κ，ｐｕｂ）
　Ｓｔｅｐ２－２：ｃ←ＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））
　Ｓｔｅｐ２－３：σ←Ｔ（ｒ，ｃ）
　Ｓｔｅｐ２－４：ｃｔ：＝（ｃｏｍ，ｃ，σ）を出力する。
　・ＤｅｃＰＫＥ（ｄｋ，ｃｔ）→ｍ／⊥
　復号アルゴリズムＤｅｃＰＫＥは、復号鍵ｄｋと暗号文ｃｔを入力とし、平文ｍ∈Ｍ又は拒否を表す記号⊥を出力する。このとき、復号アルゴリズムＤｅｃＰＫＥは、以下のＳｔｅｐ３－１～Ｓｔｅｐ３－４により平文ｍ又は拒否を表す記号⊥を出力する。
　Ｓｔｅｐ３－１：ｃｔ＝（ｃｏｍ，ｃ，σ）をパースする。なお、ｃｔをパースするとは、ｃｔからｃｏｍとｃとσを取り出すことを意味する。
　Ｓｔｅｐ３－２：（ｍ，ｄｅｃ）←ＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）；そして、（ｍ，ｄｅｃ）＝⊥である場合は、拒否を表す記号⊥を出力
　Ｓｔｅｐ３－３：ｒ←Ｒ（ｐｕｂ，ｃｏｍ，ｄｅｃ）；そして、ｒ＝⊥である場合は、拒否を表す記号⊥を出力
　Ｓｔｅｐ３－４：Ｖ（ｒ，ｃ，σ）＝⊥である場合は⊥を出力し、そうでない場合はｍを出力する。
　＜安全性について＞
　上記で構成した匿名公開鍵暗号方式ＰＫＥは、その構成要素であるタグベース暗号方式ＴＢＥと弱いコミットメント方式ｗＣｏｍとメッセージ認証符号方式ＭＡＣの安全性に応じて、その安全性も変化する。
　・ＢＫの変換の場合（従来技術と同等）
　タグベース暗号方式ＴＢＥがＩＮＤ－ｓｔ－ｗＣＣＡ安全
　弱いコミットメント方式ｗＣｏｍが安全
　メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤ－ＣＣＡ安全となる。
　・安全性パターン１
　タグベース暗号方式ＴＢＥがＩＮＤｒ－ｓｔ－ｗＣＣＡ安全
　弱いコミットメント方式ｗＣｏｍが安全かつＩＮＤｒ安全
　メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつ疑似ランダム
である場合は、匿名公開鍵暗号方式ＰＫＥはＩＮＤｒ－ＣＣＡ安全となる。
　・安全性パターン２
　タグベース暗号方式ＴＢＥがＯＳ－ｓｔ－ｗＣＣＡ安全
　弱いコミットメント方式ｗＣｏｍが安全かつＯＳ安全
　メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつＯＳ安全
である場合は、匿名公開鍵暗号方式ＰＫＥはＯＳ－ＣＣＡ安全となる。
　このように、上記で構成した匿名公開鍵暗号方式ＰＫＥはその構成要素の安全性を変化させることで、当該匿名公開鍵暗号方式ＰＫＥの安全性も変化する。また、上記の通り、安全性パターン１及び安全性パターン２では、匿名公開鍵暗号方式ＰＫＥの安全性はそれぞれＩＮＤｒ－ＣＣＡ安全及びＯＳ－ＣＣＡ安全となる。このため、タグベース暗号方式ＴＢＥ、弱いコミットメント方式ｗＣｏｍ、及びメッセージ認証符号方式ＭＡＣの安全性として安全性パターン１又は安全性パターン２を採用することで、匿名性を確保した安全な公開鍵暗号方式ＰＫＥを実現することができる。なお、安全性パターン１の場合に匿名公開鍵暗号方式ＰＫＥがＩＮＤｒ－ＣＣＡ安全であること、安全性パターン２の場合に匿名公開鍵暗号方式ＰＫＥがＯＳ－ＣＣＡ安全であることはいずれも証明可能である。
　なお、上記の各安全性の定義は一般的に知られているものであるが、必要に応じて以下の参考文献等を参照されたい。
　参考文献１：Ran Canetti and Marc Fischlin. Universally composable commitments. In Joe Kilian, editor, CRYPTO 2001, volume 2139 of LNCS, pages 19-40. Springer, Heidelberg, August 2001.
　参考文献２：Charles Rackoff and Daniel R. Simon. Noninteractive zero-knowledge proof of knowledge and chosen ciphertext attack. In Joan Feigenbaum, editor, CRYPTO'91, volume 576
of LNCS, pages 433-444. Springer, Heidelberg, August 1992.
　参考文献３：Mihir Bellare, Anand Desai, David Pointcheval, and Phillip Rogaway. Relations among notions of security for public-key encryption schemes. In Hugo Krawczyk, editor, CRYPTO'98, volume 1462 of LNCS, pages 26-45. Springer, Heidelberg, August 1998.
　参考文献４：Eike Kiltz. Chosen-ciphertext security from tag-based encryption. In Shai Halevi and Tal Rabin, editors, TCC 2006, volume 3876 of LNCS, pages 581-600. Springer, Heidelberg, March 2006.
　＜暗号システム１の全体構成＞
　次に、本実施形態に係る暗号システム１の全体構成について、図１を参照しながら説明する。図１は、本実施形態に係る暗号システム１の全体構成の一例を示す図である。
　図１に示すように、本実施形態に係る暗号システム１には、暗号化装置１０と、復号装置２０とが含まれる。また、暗号化装置１０と復号装置２０は、インターネット等の通信ネットワーク３０を介して通信可能に接続される。
　暗号化装置１０は、平文ｍを暗号化する端末や機器等の各種情報処理装置である。暗号化装置１０は、暗号化処理部１０１と、記憶部１０２とを有する。暗号化処理部１０１は、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥにより平文ｍを暗号化する。記憶部１０２には、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥの実行に必要な各種情報（例えば、暗号化鍵ｅｋ、安全性パラメータκ、共通パラメータｐｕｂ等）が記憶される。
　復号装置２０は、暗号文ｃｔを復号する端末や機器等の各種情報処理装置である。復号装置２０は、鍵生成処理部２０１と、復号処理部２０２と、記憶部２０３とを有する。鍵生成処理部２０１は、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥにより暗号化鍵ｅｋ及び復号鍵ｄｋを生成する。復号処理部２０２は、匿名公開鍵暗号方式ＰＫＥの復号アルゴリズムＤｅｃＰＫＥにより暗号文ｃｔを復号する。記憶部２０３には、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥや復号アルゴリズムＤｅｃＰＫＥの実行に必要な情報（例えば、安全性パラメータκ、共通パラメータｐｕｂ、復号鍵ｄｋ等）が記憶される。なお、以下では、安全性パラメータκ及び共通パラメータｐｕｂを公開パラメータともいう。
　なお、図１に示す例では、匿名公開鍵暗号方式ＰＫＥの暗号化鍵ｅｋ及び復号鍵ｄｋを復号装置２０が生成しているが、これは一例であって、例えば、鍵生成局等として機能するサーバが当該暗号化鍵ｅｋ及び復号鍵ｄｋを生成してもよい。この場合、当該サーバが鍵生成処理部２０１を有しており、この鍵生成処理部２０１により暗号化鍵ｅｋ及び復号鍵ｄｋが生成され、当該復号鍵ｄｋは何等かのセキュアな方法で復号装置２０に配布される一方で、当該暗号化鍵ｅｋと公開パラメータは暗号化装置１０及び復号装置２０に公開される。
　＜暗号システム１のハードウェア構成＞
　次に、本実施形態に係る暗号システム１に含まれる暗号化装置１０及び復号装置２０のハードウェア構成について説明する。これらの暗号化装置１０及び復号装置２０は、例えば、図２に示すコンピュータ５００のハードウェア構成により実現可能である。
　図２に示すコンピュータ５００は、ハードウェアとして、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、プロセッサ５０５と、メモリ装置５０６とを有する。これらの各ハードウェアは、それぞれがバス５０７を介して通信可能に接続されている。
　入力装置５０１は、例えば、キーボードやマウス、タッチパネル等である。表示装置５０２は、例えば、ディスプレイ等である。なお、コンピュータ５００は、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。
　外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。なお、記録媒体５０３ａとしては、例えば、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。
　通信Ｉ／Ｆ５０４は、通信ネットワーク３０に接続するためのインタフェースである。プロセッサ５０５は、例えば、ＣＰＵ（Central Processing Unit）やＧＰＵ（Graphics Processing Unit）等といった各種演算装置である。メモリ装置５０６は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ等といった各種記憶装置である。
　本実施形態に係る暗号化装置１０及び復号装置２０は、図２に示すコンピュータ５００のハードウェア構成により、後述する各種処理を実現することができる。なお、図２に示すコンピュータ５００のハードウェア構成は一例であって、暗号システム１が適用される対象の用途等に応じて種々のハードウェア構成が採用されてもよい。
　なお、暗号化処理部１０１は、例えば、暗号化装置１０にインストールされた１以上のプログラムが、当該暗号化装置１０を実現するコンピュータ５００のプロセッサ５０５に実行させる処理により実現される。また、記憶部１０２は、例えば、当該暗号化装置１０を実現するコンピュータ５００のメモリ装置５０６により実現される。
　同様に、鍵生成処理部２０１及び復号処理部２０２は、例えば、復号装置２０にインストールされた１以上のプログラムが、当該復号装置２０を実現するコンピュータ５００のプロセッサ５０５に実行させる処理により実現される。また、記憶部２０３は、例えば、当該復号装置２０を実現するコンピュータ５００のメモリ装置５０６により実現される。
　＜暗号システム１の全体処理＞
　次に、本実施形態に係る暗号システム１の全体処理の流れについて、図３を参照しながら説明する。図３は、本実施形態に係る暗号システム１の全体処理の流れの一例を示すシーケンス図である。
　まず、復号装置２０の鍵生成処理部２０１は、匿名公開鍵暗号方式ＰＫＥの鍵生成アルゴリズムＧｅｎＰＫＥ（１κ）を実行し、暗号化鍵ｅｋと復号鍵ｄｋとを生成する（ステップＳ１０１）。なお、復号鍵ｄｋは記憶部２０３に保存される。
　次に、復号装置２０の鍵生成処理部２０１は、公開パラメータ（つまり、安全性パラメータκ及び共通パラメータｐｕｂ）と、上記のステップＳ１０１で生成された暗号化鍵ｅｋとを暗号化装置１０に送信する（ステップＳ１０２）。なお、本ステップでは公開パラメータと暗号化鍵ｅｋとを暗号化装置１０に送信しているが、必ずしも送信する必要はなく、例えば、暗号化装置１０が参照可能なサーバ等に保存されてもよい。
　暗号化装置１０の暗号化処理部１０１は、匿名公開鍵暗号方式ＰＫＥの暗号化アルゴリズムＥｎｃＰＫＥ（ｅｋ，ｍ）を実行し、平文ｍを暗号化する（ステップＳ１０３）。これにより、暗号文ｃｔが生成される。
　次に、暗号化装置１０の暗号化処理部１０１は、上記のステップＳ１０３で生成された暗号文ｃｔを復号装置２０に送信する（ステップＳ１０４）。
　復号装置２０の復号処理部２０２は、匿名公開鍵暗号方式ＰＫＥの復号アルゴリズムＤｅｃＰＫＥ（ｄｋ，ｃｔ）を実行し、暗号文ｃｔを復号する（ステップＳ１０５）。これにより、平文ｍが生成される。
　本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。
　１　　　　暗号システム
　１０　　　暗号化装置
　２０　　　復号装置
　３０　　　通信ネットワーク
　１０１　　暗号化処理部
　１０２　　記憶部
　２０１　　鍵生成処理部
　２０２　　復号処理部
　２０３　　記憶部

Claims (6)

  1. 　タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムであって、
    　安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、
    　送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、
    　前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、
    　を有する暗号システム。
  2. 　前記タグベース暗号方式ＴＢＥがＩＮＤｒ－ｓｔ－ｗＣＣＡ安全、前記弱いコミットメント方式ｗＣｏｍが安全かつＩＮＤｒ安全、前記メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつ疑似ランダムである場合、前記公開鍵暗号方式は、ＩＮＤｒ－ＣＣＡ安全であり、
    　前記タグベース暗号方式ＴＢＥがＯＳ－ｓｔ－ｗＣＣＡ安全、前記弱いコミットメント方式ｗＣｏｍが安全かつＯＳ安全、前記メッセージ認証符号方式ＭＡＣがｓＥＵＦ－ＯＴ－ＣＭＡ安全かつＯＳ安全である場合、前記公開鍵暗号方式は、ＯＳ－ＣＣＡ安全である、請求項１に記載の暗号システム。
  3. 　タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により平文ｍを暗号化する暗号化装置であって、
    　安全性パラメータをκ、共通パラメータをｐｕｂとして送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、前記公開鍵暗号方式の暗号化鍵をｅｋ＝ｅｋＴＢＥとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化部と、
    　前記暗号化装置と通信ネットワークを介して接続される復号装置に前記暗号文ｃｔを送信する送信部と、
    　を有する暗号化装置。
  4. 　タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号文ｃｔを復号する復号装置であって、
    　安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成部と、
    　前記暗号文ｃｔをコミットメントｃｏｍと暗号文ｃとタグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号部と、
    　を有する復号装置。
  5. 　タグベース暗号方式ＴＢＥ＝（ＧｅｎＴＢＥ，ＥｎｃＴＢＥ，ＤｅｃＴＢＥ）と弱いコミットメント方式ｗＣｏｍ＝（Ｉｎｉｔ，Ｓ，Ｒ）とメッセージ認証符号方式ＭＡＣ＝（Ｔ，Ｖ）とで構成される公開鍵暗号方式により暗号化及び復号を行う暗号システムが、
    　安全性パラメータをκとして、鍵生成アルゴリズムＧｅｎＴＢＥ（１κ）により暗号化鍵ｅｋＴＢＥ及び復号鍵ｄｋＴＢＥを生成すると共に、初期化アルゴリズムＩｎｉｔ（１κ）により共通パラメータｐｕｂを生成し、前記暗号化鍵ｅｋＴＢＥと前記共通パラメータｐｕｂとを前記公開鍵暗号方式の暗号化鍵ｅｋ、前記復号鍵ｄｋＴＢＥを前記公開鍵暗号方式の復号鍵ｄｋとする鍵生成手順と、
    　送信者アルゴリズムＳ（１κ，ｐｕｂ）により乱数ｒとコミットメントｃｏｍとデコミットメントｄｅｃとを生成し、暗号化対象の平文をｍとして暗号化アルゴリズムＥｎｃＴＢＥ（ｅｋＴＢＥ，ｃｏｍ，（ｍ，ｄｅｃ））により暗号文ｃを生成し、ＭＡＣ生成アルゴリズムＴ（ｒ，ｃ）によりタグσを生成し、前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとを前記公開鍵暗号方式の暗号文ｃｔとする暗号化手順と、
    　前記暗号文ｃｔを前記コミットメントｃｏｍと前記暗号文ｃと前記タグσとにパースし、復号アルゴリズムＤｅｃＴＢＥ（ｄｋＴＢＥ，ｃｏｍ，ｃ）により平文ｍとデコミットメントｄｅｃを生成し、受信者アルゴリズムＲ（ｐｕｂ，ｃｏｍ，ｄｅｃ）により乱数値ｒにコミットできたか否かを検証し、前記コミットに成功した場合は検証アルゴリズムＶ（ｒ，ｃ，σ）により前記タグσを検証する復号手順と、
    　を実行する方法。
  6. 　コンピュータを、請求項３に記載の暗号化装置、又は、請求項４に記載の復号装置、として機能させるプログラム。
PCT/JP2021/015630 2021-04-15 2021-04-15 暗号システム、暗号化装置、復号装置、方法、及びプログラム Ceased WO2022219785A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2021/015630 WO2022219785A1 (ja) 2021-04-15 2021-04-15 暗号システム、暗号化装置、復号装置、方法、及びプログラム
US18/553,346 US12381736B2 (en) 2021-04-15 2021-04-15 Cipher system, encryption apparatus, decryption apparatus, method, and program
JP2023514282A JP7605297B2 (ja) 2021-04-15 2021-04-15 暗号システム、暗号化装置、復号装置、方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/015630 WO2022219785A1 (ja) 2021-04-15 2021-04-15 暗号システム、暗号化装置、復号装置、方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2022219785A1 true WO2022219785A1 (ja) 2022-10-20

Family

ID=83640254

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/015630 Ceased WO2022219785A1 (ja) 2021-04-15 2021-04-15 暗号システム、暗号化装置、復号装置、方法、及びプログラム

Country Status (3)

Country Link
US (1) US12381736B2 (ja)
JP (1) JP7605297B2 (ja)
WO (1) WO2022219785A1 (ja)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015501110A (ja) * 2011-12-15 2015-01-08 トムソン ライセンシングＴｈｏｍｓｏｎ Ｌｉｃｅｎｓｉｎｇ グループ暗号化方法およびデバイス

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8108678B1 (en) * 2003-02-10 2012-01-31 Voltage Security, Inc. Identity-based signcryption system
WO2014177610A1 (en) * 2013-04-30 2014-11-06 Thomson Licensing Device and method for traceable group encryption
EP2846492A1 (en) * 2013-09-05 2015-03-11 Thomson Licensing Cryptographic group signature methods and devices
CN119603635A (zh) * 2019-04-17 2025-03-11 苹果公司 为无线附件共享密钥
EP4052193A1 (en) * 2019-10-31 2022-09-07 Ousia Ltd System and method for encryption and decryption using logic synthesis

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2015501110A (ja) * 2011-12-15 2015-01-08 トムソン ライセンシングＴｈｏｍｓｏｎ Ｌｉｃｅｎｓｉｎｇ グループ暗号化方法およびデバイス

Also Published As

Publication number Publication date
JP7605297B2 (ja) 2024-12-24
US12381736B2 (en) 2025-08-05
JPWO2022219785A1 (ja) 2022-10-20
US20240187246A1 (en) 2024-06-06

Similar Documents

Publication Publication Date Title
Yang et al. Data storage auditing service in cloud computing: challenges, methods and opportunities
Perlner et al. Quantum resistant public key cryptography: a survey
JP6763378B2 (ja) 暗号情報作成装置、暗号情報作成方法、暗号情報作成プログラム、及び、照合システム
EP3167569B1 (en) Method and system for providing a secure update of code on a memory-constrained device
JP6059347B2 (ja) 復号装置、復号能力提供装置、それらの方法、およびプログラム
Singh et al. Data security using private key encryption system based on arithmetic coding
Nosouhi et al. Bit flipping key encapsulation for the post-quantum era
US20210135851A1 (en) Encryption processing system and encryption processing method
CN102187617A (zh) 密码系统
JPWO2018016330A1 (ja) 通信端末、サーバ装置、プログラム
Iqbal et al. A survey on post quantum cryptosystems: concept, attacks, and challenges in IoT devices
Ramesh et al. Secure data storage in cloud: an e-stream cipher-based secure and dynamic updation policy
WO2019235102A1 (ja) 変換鍵生成装置、暗号文変換装置、復号装置、暗号文変換システム、変換鍵生成方法、暗号文変換方法、復号方法、及びプログラム
Bene et al. Post-quantum security overview of the public key infrastructure
JP7605297B2 (ja) 暗号システム、暗号化装置、復号装置、方法、及びプログラム
JP2017038336A (ja) 復号方法
JP7452676B2 (ja) 暗号システム、方法及びプログラム
Potey et al. Efficient homomorphic encryption using ECC-ElGamal scheme for cloud data
JP4758110B2 (ja) 通信システム、暗号化装置、鍵生成装置、鍵生成方法、復元装置、通信方法、暗号化方法、暗号復元方法
WO2022254578A1 (ja) 暗号システム、暗号文更新装置、プログラム
CN116415265A (zh) 加密、加密签名处理、解密方法及相关设备
Jasuja et al. Crypto-compression system: an integrated approach using stream cipher cryptography and entropy encoding
JP7700960B2 (ja) 情報処理装置、方法及びプログラム
JP7786593B2 (ja) 暗号システム、方法及びプログラム
Hati HYBRID APPROACHES IN CRYPTOGRAPHY.

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21936981

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023514282

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 18553346

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21936981

Country of ref document: EP

Kind code of ref document: A1

WWG Wipo information: grant in national office

Ref document number: 18553346

Country of ref document: US