WO2013145796A1 - 再暗号文検証プログラム、再暗号化装置及び再暗号化システム - Google Patents

再暗号文検証プログラム、再暗号化装置及び再暗号化システム Download PDF

Info

Publication number
WO2013145796A1
WO2013145796A1 PCT/JP2013/050226 JP2013050226W WO2013145796A1 WO 2013145796 A1 WO2013145796 A1 WO 2013145796A1 JP 2013050226 W JP2013050226 W JP 2013050226W WO 2013145796 A1 WO2013145796 A1 WO 2013145796A1
Authority
WO
WIPO (PCT)
Prior art keywords
encryption
key
public key
ciphertext
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2013/050226
Other languages
English (en)
French (fr)
Inventor
吉弘 藤井
琢也 吉田
岡田　光司
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toshiba Corp
Toshiba Digital Solutions Corp
Original Assignee
Toshiba Corp
Toshiba Solutions Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toshiba Corp, Toshiba Solutions Corp filed Critical Toshiba Corp
Priority to SG11201405579RA priority Critical patent/SG11201405579RA/en
Priority to EP13767295.2A priority patent/EP2833573B1/en
Publication of WO2013145796A1 publication Critical patent/WO2013145796A1/ja
Priority to US14/480,073 priority patent/US9698984B2/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/76—Proxy, i.e. using intermediary entity to perform cryptographic operations

Definitions

  • Embodiments of the present invention relate to a re-ciphertext verification program, a re-encryption device, and a re-encryption system.
  • the basic model of this technology consists of the following five functions (hereinafter also referred to as algorithms): key generation, encryption, decryption, re-encryption key generation, and re-encryption.
  • Key generation, encryption, and decryption functions are the same as those of ordinary public key encryption.
  • Encryption Enc (pk A , m) ⁇ C A Encryption algorithm Enc, when the public key pk A and the message m of the user A is input, and outputs the ciphertext C A addressed to user A.
  • the decryption algorithm Dec outputs a message m when the secret key sk A of the user A and the ciphertext C A addressed to the user A are input.
  • Re-encryption key generation ReKeyGen (pk A , sk A , pk B , sk B ) ⁇ rk A ⁇ B
  • ReKeyGen (pk A , sk A , pk B , sk B ) ⁇ rk A ⁇ B
  • Re-encryption includes a re-encryption key rk A ⁇ B, if the ciphertext C A addressed to user A is inputted, and outputs the ciphertext C B addressed to the user B.
  • a model called non-interactive that does not require the user B's secret key sk B or a user B's secret key sk A instead of the user B's secret key sk A
  • a model in which the re-encryption key rk A ⁇ B addressed to the user and the secret key sk C of the user C are input is also considered.
  • the ciphertext C A ⁇ C B can be re-encrypted with the re-encryption key rk A ⁇ B , while the reverse ciphertext C B ⁇ C A cannot be converted, which is called unidirectional.
  • a model a model called bidirectional, which can perform reverse conversion.
  • the re-encryption key rk A ⁇ B may be expressed as rk A ⁇ B .
  • a scheme based on ID-based cryptography is also considered.
  • the function setup (Setup) for generating the master key is increased, and the master key and ID are added to the input of the key generation algorithm KeyGen.
  • the public key pk is the ID itself.
  • Non-Patent Documents 3 and 4 for a unidirectional model
  • a method described in Non-Patent Document 5 for a bidirectional model for a bidirectional model
  • a non-patent document 6 for an ID-based encryption. 7 and the like are known.
  • the method described in Non-Patent Document 8 is referred to.
  • FIG. 9 is a schematic diagram showing an example of a content distribution system for explaining such re-encryption technology.
  • This content distribution system is composed of three entities: a content provider 1, a distribution system 2, and a user 3.
  • the user 3 is referred to as a user A or a user B when distinguishing each user.
  • the content provider 1 has the public key pk Gr of the distribution system 2.
  • the distribution system 2 re-encrypts the ciphertext content E (pk Gr , M) addressed to the distribution system 2 into the ciphertext content E (pk A , M) or E (pk B , M) addressed to the specific user A or B. It is assumed that the re-encryption keys rk Gr ⁇ A and rk Gr ⁇ B are obtained.
  • Each user 3 has a secret key sk A or sk B for decrypting the re-ciphertext content E (pk A , M) or E (pk B , M) addressed to the user 3. Description of other various keys and parameters is omitted.
  • the content provider 1 encrypts the content M with the public key pk Gr of the distribution system 2 and distributes the obtained ciphertext content E (pk Gr , M) to the distribution system 2.
  • the distribution system 2 receives the ciphertext content E (pk Gr , M) from the content provider 1. Thereafter, for example, in response to a content request received from the user A, the distribution system 2 sends the ciphertext content E (pk Gr , M) to the user A based on the re-encryption key rk Gr ⁇ A for the specific user A.
  • the re-ciphertext content E (pk A , M) is re-encrypted, and the obtained re-ciphertext content E (pk A , M) is distributed to the user A.
  • the user A decrypts the re-ciphertext content E (pk A , M) received from the arbitrary distribution system 2 with the secret key sk A held by the user A , and uses the obtained content M.
  • the content provider 1 encrypts with the public key pk Gr of the distribution system 2 without specifying the user 3, the key to be managed is only the public key pk Gr of the distribution system 2. Cost can be reduced.
  • the distribution system 2 re-encrypts the ciphertext content E (pk Gr , M) to the user 3 without decrypting it, it is not necessary to strictly manage the server used for re-encryption, so the cost is reduced. Can be reduced.
  • User 3 can use arbitrary content M as before, simply by issuing a content request to distribution system 2.
  • JP 2004-36379 A Japanese Patent No. 4010766
  • the conventional encryption system is composed of two entities, the person who encrypts and the person who decrypts, it is sufficient that the person who decrypts can be specified.
  • the person who decrypts in the re-encryption technique does not know who receives the re-encrypted text data, there is an inconvenience that it is impossible to verify who the encrypted text data was originally re-encrypted.
  • the function of generating a re-encryption key and the function of performing re-encryption can be separated, so these functions may be implemented in another entity.
  • the user who decrypts receives the re-encrypted text content from the re-encrypted entity, there is no means for verifying who the encrypted text content was originally re-encrypted.
  • proxy re-signature (Proxy-Re-Signature) is known as a technique candidate for solving the inconvenience described above.
  • this technique is a method for changing the signature, it is realized by combining the re-encryption system (Proxy Re-encryption) and the re-signature system (Proxy Re-Signature) that realize the re-encryption function described above. There is a need. However, this combination is difficult to realize because the calculation amount and the data length for realizing both functions are increased, and a suitable method for linking both systems is not known.
  • An embodiment disclosed in the present specification is directed to a re-ciphertext verification program, a re-encryption device, and a decryption device that receives a re-ciphertext data and can verify who the ciphertext data was originally re-encrypted.
  • An object is to provide a re-encryption system.
  • the re-encryption system of the embodiment includes an encryption device, a re-encryption key generation device, a re-encryption device, and a decryption device.
  • the first storage means stores the public key of the re-encryption device.
  • the encryption unit obtains ciphertext data by encrypting the plaintext data using the public key of the re-encryption device read from the first storage unit.
  • the encryption device transmits the obtained ciphertext data to the re-encryption device.
  • the second storage means stores a secret key corresponding to the public key of the re-encryption device and a public key corresponding to the secret key of the decryption device.
  • the re-encryption key generation device generates a re-encryption key using the private key of the re-encryption device read from the second storage unit and the public key of the decryption device.
  • the re-encryption key generation apparatus transmits the generated re-encryption key to the re-encryption apparatus.
  • the third storage means stores the re-encryption key received from the re-encryption key generation device.
  • the re-encryption means receives the ciphertext data from the encryption device, it re-encrypts the ciphertext data without decrypting the ciphertext data using the re-encryption key read from the third storage means, Get re-ciphertext data.
  • the re-encryption device transmits the obtained re-ciphertext data to the decryption device.
  • the decoding device includes fourth storage means, decoding means, holding means, determination means, and output means.
  • the fourth storage means stores the public key of the re-encryption device and the secret key of the decryption device.
  • the decryption means When receiving the re-ciphertext data from the re-encryption device, the decryption means decrypts the re-ciphertext data based on the private key of the decryption device read from the fourth storage means, thereby Get the data.
  • the holding means includes a part of re-ciphertext data used in the re-encryption system, a public key used for encryption processing of ciphertext data before re-encrypting the re-ciphertext data, A verification formula that holds when a secret key that can decrypt the re-ciphertext data is substituted is stored in advance.
  • the determination means includes a part of the re-ciphertext data received from the re-encryption device and a public key of the re-encryption key generation device read from the fourth storage means based on the verification formula read from the holding means. And the secret key of the decryption apparatus are substituted into the verification formula to execute the calculation, thereby determining whether or not this verification formula is satisfied.
  • the output means confirms that the public key used for the encryption processing of the plaintext data is the public key of the re-encryption key generation device. Output.
  • FIG. 1 is a schematic diagram illustrating a configuration of a re-encryption system according to the first embodiment.
  • FIG. 2 is a sequence diagram for explaining the operation of the key setup process in the embodiment.
  • FIG. 3 is a sequence diagram for explaining the operation of the encryption processing in the embodiment.
  • FIG. 4 is a sequence diagram for explaining the operation of the re-encryption key generation process in the embodiment.
  • FIG. 5 is a sequence diagram for explaining the operation of the re-encryption process in the embodiment.
  • FIG. 6 is a sequence diagram for explaining the operation of the decoding process in the embodiment.
  • FIG. 7 is a sequence diagram for explaining the operation of the encryption processing in the second embodiment.
  • FIG. 8 is a sequence diagram for explaining the operation of the decoding process in the second embodiment.
  • FIG. 9 is a schematic diagram illustrating an example of a content distribution system for explaining a general re-encryption technique.
  • Each of the following devices can be implemented with either a hardware configuration or a combination configuration of hardware resources and software.
  • As the software of the combination configuration as shown in FIG. 1, it is installed in each computer in advance from a network or a non-transitory computer-readable storage medium (M1 to M5). By being executed by the processor, a program for causing each computer to realize the function of each device is used.
  • FIG. 1 is a schematic diagram showing a configuration of a re-encryption system according to the first embodiment.
  • the re-encryption system includes a key generation device 10, an encryption device 20, a re-encryption key generation device 30, a re-encryption device 40, and a decryption device 50.
  • the key generation device 10 generates various parameters of the re-encryption system and public / private key pairs of the devices 40 and 50.
  • the encryption device 20 transmits the ciphertext data obtained by encrypting the plaintext data using the public key corresponding to the secret key of the re-encryption key generation device 30 to the re-encryption device 40.
  • the re-encryption key generation device 30 generates a re-encryption key using the private key of the re-encryption key generation device 30 and the public key of the decryption device 50, and then re-encrypts the re-encryption key into the re-encryption device 40. Send to.
  • the re-encryption device 40 does not decrypt the ciphertext data received from the encryption device 20 and re-encrypts the re-encryption process obtained by the re-encryption process using the re-encryption key transmitted from the re-encryption key generation device 30.
  • the sentence data is transmitted to the decryption device 50.
  • the decryption device 50 verifies the re-ciphertext data using the public key of the re-encryption key generation device 30, and decrypts the re-ciphertext data using the private key corresponding to the public key of the own device 50. To obtain plaintext data.
  • a plurality of re-encryption key generation device 30, re-encryption device 40, and decryption device 50 may be provided, but here, a case where one device is provided will be described as an example.
  • the key generation device 10 includes a key generation parameter storage unit 11, a temporary data storage unit 12, a public parameter generation unit 13, a public key / secret key generation unit 14, a communication unit 15, and a control unit 16.
  • the key generation parameter storage unit 11 is a storage device that stores key generation parameters.
  • the temporary data storage unit 12 is a storage device that stores temporary data such as processing results and processing results of the generation units 13 and 14.
  • the public parameter generation unit 13 generates public parameters for key generation.
  • the public / private key generation unit 14 generates a public / private key addressed to the user.
  • the communication unit 15 is a communication interface for communicating with the other devices 20 to 50.
  • the communication unit 15 is controlled by the control unit 16 to set the public key / private key pair of 30, 50 in the temporary data storage unit 12. It has a function of transmitting to each of the devices 30 and 50 and a function of transmitting the public key of the re-encryption key generation device 30 in the temporary data storage unit 12 to the encryption device 20 under the control of the control unit 16.
  • the description to the effect that the communication unit 15 is passed may be omitted at the time of transmission / reception. The same applies to the communication units of the other devices 20-50.
  • the control unit 16 has a function of controlling the units 11 to 15 so as to execute the operation shown in FIG.
  • the encryption device 20 includes a temporary data storage unit 21, a communication unit 22, an encrypted data generation unit 23, a ciphertext generation unit 24, and a control unit 25.
  • the temporary data storage unit 21 receives temporary data (hereinafter, referred to as the public key of the re-encryption key generation device 30 received from the key generation device 10, the processing part and processing results of the generation units 23 and 24). (Also referred to as temporary data).
  • the communication unit 22 is a communication interface for communicating with the other devices 10, 30 to 50.
  • the communication unit 22 acquires the public key of the re-encryption key generation device 30 disclosed to the key generation device 10 and stores the temporary data.
  • the encryption parameter generation unit 23 has a function of generating encryption parameters.
  • the ciphertext generation unit 24 has a function of generating ciphertext data by encrypting plaintext data using the public key of the re-encryption key generation device 30 read from the temporary data storage unit 21. A function of writing the ciphertext data into the temporary data storage unit 21.
  • the control unit 25 has a function of controlling the units 21 to 24 so as to execute the operation shown in FIG.
  • the re-encryption key generation device 30 includes a secret key storage unit 31, a temporary data storage unit 32, a communication unit 33, a re-encryption key generation unit 34, and a control unit 35.
  • the private key storage unit 31 is a storage device that stores the private key of the re-encryption key generation device 30 received from the key generation device 10.
  • the temporary data storage unit 32 is a storage device that stores temporary data such as the public key of the decryption device 50 received from the key generation device 10 and the processing result and processing result of the re-encryption key generation unit 34.
  • the communication unit 33 is a communication interface for communicating with the other devices 10, 20, 40, 50.
  • the communication unit 33 is controlled by the control unit 35 and re-encrypts the re-encryption key in the temporary data storage unit 32. It has a function to send to.
  • the re-encryption key generation unit 34 re-encrypts using the private key of the re-encryption key generation device 30 read from the private key storage unit 31 and the public key of the decryption device 50 read from the temporary data storage unit 32. It has a function of generating a key and a function of writing the re-encryption key in the temporary data storage unit 32.
  • the control unit 35 has a function of controlling the units 31 to 34 so as to execute the operation shown in FIG.
  • the re-encryption device 40 includes a re-encryption key storage unit 41, a temporary data storage unit 42, a communication unit 43, a re-encryption processing unit 44, a verification program storage unit 45, a distribution unit 46, and a control unit 47.
  • the re-encryption key storage unit 41 is a storage device that stores the re-encryption key received from the re-encryption key generation device 30.
  • the temporary data storage unit 42 is a storage device that stores temporary data such as a processing result of the re-encryption processing unit 44 and a processing result.
  • the communication unit 43 is a communication interface for communicating with the other devices 10 to 30 and 50.
  • a function for sending ciphertext data received from the encryption device 20 to the re-encryption processing unit 44, and a control unit 47 the function of transmitting the re-ciphertext data in the temporary data storage unit 42 to the decryption device 50, and the re-ciphertext verification program in the verification program storage unit 45 controlled by the distribution unit 46 to the decryption device 50. It has a function to send.
  • the re-encryption processing unit 44 uses the re-encryption key read from the re-encryption key storage unit 41 to re-encrypt the ciphertext data without decrypting the ciphertext data.
  • the re-encryption processing unit 44 has a function of obtaining re-ciphertext data and a function of writing the obtained re-ciphertext data into the temporary data storage unit 42.
  • the verification program storage unit 45 is a storage device that stores the re-ciphertext verification program. Note that the re-encryption key storage unit 41 and the verification program storage unit 45 may be realized as separate storage areas in the same storage device, or may be realized as separate storage devices.
  • the distribution unit 46 has a function of distributing the re-ciphertext verification program in the verification program storage unit 45 from the communication unit 43 to the decryption device 50 when receiving the distribution request for the re-ciphertext verification program from the decryption device 50.
  • the verification program storage unit 45 is in the re-encryption device 40, and the re-ciphertext verification program in the verification program storage unit 45 is distributed from the distribution unit 46. It may be distributed from other than 40. The reason described above is merely an example of the embodiment, and it is conceivable to be distributed from other than the re-encryption device 40. Specifically, distribution from the key generation apparatus 10 to the decryption apparatus 50 described below and distribution from the re-encryption key generation apparatus 30 to the decryption apparatus 50 described below are also conceivable.
  • the control unit 47 has a function of controlling the units 41 to 46 so as to execute an operation (not shown) for distributing the re-ciphertext verification program and an operation shown in FIG.
  • the decryption apparatus 50 includes a secret key storage unit 51, a temporary data storage unit 52, a communication unit 53, a decryption processing unit 54, a ciphertext verification processing unit 55, and a control unit 56.
  • the private key storage unit 51 is a storage device that stores the private key of the own device 50 received from the key generation device 10.
  • the temporary data storage unit 52 receives the public key of the own device 50 and the public key of the re-encryption key generation device 30 received from the key generation device 10, and the process and results of the decryption processing unit 54 and the ciphertext verification processing unit 55. It is a storage device that stores temporary data such as.
  • the communication unit 53 is a communication interface for communicating with the other devices 10 to 40.
  • the function of writing the private key of the own device 50 received from the key generation device 10 into the private key storage unit 51, and the key generation device The function of writing the public key of the own device 50 received from 10 and the public key of the re-encryption key generating device 30 to the temporary data storage unit 52 and the re-encrypted data received from the re-encryption device 40 to the decryption processing unit 54 It has a function to send.
  • the decryption processing unit 54 When receiving the re-ciphertext data from the re-encryption device 40, the decryption processing unit 54 decrypts the re-ciphertext data based on the private key of the decryption device 50 read from the private key storage unit 51. Have a function of obtaining plaintext data and a function of writing the obtained plaintext data into the temporary data storage unit 52.
  • the ciphertext verification processing unit 55 has the following functions (f55-1) to (f55-3).
  • (f55-1) Part of the re-ciphertext data used in the re-encryption system, the public key used for the encryption processing of the ciphertext data before re-encrypting the re-encryption data, A holding function that holds in advance a verification expression that is established when a secret key that can decrypt re-ciphertext data is substituted.
  • the holding function for holding the verification formula in advance may be read as a holding function for holding a program code in which the verification formula is written in advance.
  • the control unit 56 has a function of controlling the respective units 51 to 55 so as to execute the operation shown in FIG.
  • the decryption device 50 transmits a re-ciphertext verification program distribution request to the re-encryption device 40 in advance, and is executing the re-ciphertext verification program received from the distribution unit 46 of the re-encryption device 40. It shall be.
  • the following operations are executed in the sequence of (1) key setup processing, (2) encryption processing, (3) re-encryption key generation processing, (4) re-encryption processing, and (5) decryption processing. Is described as an example. However, the following operations do not necessarily have to be executed in the above procedure. For example, the re-encryption key generation may be performed before the encryption process. Further, the ciphertext data may be decrypted without executing the re-encryption process.
  • Non-Patent Document 8 uses the technique described in Non-Patent Document 8 as an example, except for the processing of the ciphertext verification processing unit 55 in the decryption device 50. That is, processes other than the process of the ciphertext verification processing unit 55 can be deeply understood with reference to Non-Patent Document 8.
  • the key setup process is executed by the key generation apparatus 10 as shown in FIG. 2 and the following steps ST1 to ST12.
  • the public parameter generation unit 13 of the key generation device 10 generates public parameters (p, ⁇ , G, G T , g, u, v, Sig) (ST1). Specifically, the public parameter generating unit 13, based on the security parameter ⁇ previously stored in the key parameter storage unit 11, bilinear mapping group satisfying the number of number p> 2 [lambda] containing (bilinear map groups) (G, G T ), Generator g, u, v ⁇ G, one-time signature that satisfies strong forgery
  • Non-patent document 10 describes the disposable signature.
  • G, G T is a group set defined by elliptic curve, used in the pairing function as shown in the following equation.
  • This pairing function has the following properties.
  • the public parameter generation unit 13 writes the generated public parameter in the temporary data storage unit 12.
  • the key generation device 10 discloses the public parameters (p, ⁇ , G, G T , g, u, v, Sig) in the temporary data storage unit 12 (ST2).
  • the public key / private key generation unit 14 generates a secret key x i ⁇ Z p * of the re-encryption key generation device 30 when the identification information of the re-encryption key generation device 30 is i , and this secret public key of the re-encryption key generator 30 by using the key x i
  • the public / private key generation unit 14 writes the generated public / private key pair in the temporary data storage unit 12.
  • the communication unit 15 transmits the private key x i of the temporary controlled by the control unit 16 data storage unit 12 to the re-encryption key generator 30 (ST8).
  • the key generation device 10 discloses the public key X i of the re-encryption key generation device 30 in the temporary data storage unit 12 (ST9).
  • the public key / private key generation unit 14 generates a secret key x j ⁇ Z p * of the decryption device 50 when the identification information of the decryption device 50 is j, and uses this secret key x j.
  • the public / private key generation unit 14 writes the generated public / private key pair in the temporary data storage unit 12.
  • the communication unit 15 is controlled by the control unit 16 and transmits the secret key x j in the temporary data storage unit 12 to the decryption device 50 (ST11).
  • the key generation device 10 discloses the public key X j of the decryption device 50 in the temporary data storage unit 12 (ST12). If desired, the private key x h and the public key X h of the encryption device 20 are also processed in the same manner as in steps ST10 to ST12 to transmit the private key x h to the encryption device 20, and the public key X h may be disclosed.
  • each device 20, 30, 40, 50 can appropriately acquire and use public parameters and public keys disclosed in steps ST2, ST9, ST12.
  • the encryption parameter generation unit 23 of the encryption device 20 performs the security parameter ⁇ and key pair generation function in the public parameter.
  • the encryption parameter generation unit 23 generates a first random number r ⁇ Z p * and sends it to the ciphertext generation unit 24.
  • Ciphertext generating unit 24 based on the first random number r, for messages M ⁇ G T as plaintext data, the second, third and fourth encrypted data C 2, C 3, C 4 below Generate (ST22).
  • the encryption parameter generation unit 23 generates the second encrypted data C 2 based on the public key X i of the re-encryption key generation device 30 and the first random number r. Furthermore, the ciphertext generator 24, a generator g of the public parameters, and the first random number r, based on the message m, to produce a third encrypted data C 3 by pairing function. Furthermore, the ciphertext generation unit 24 generates the fourth encrypted data C 4 based on the generation sources u and v in the public parameters, the verification key svk generated in step ST21, and the first random number r.
  • step ST22 the ciphertext generator 24, to the third and fourth encrypted data C 3, C 4, the signature generation function in public parameter
  • the communication unit 22 transmits the ciphertext data C i of the control unit 25 temporary data storage unit 21 is controlled to the re-encryption unit 40 (ST24).
  • the re-encryption key generation process is executed by the re-encryption key generation apparatus 30 as shown in FIG. 4 and the following steps ST31 to ST33.
  • the communication unit 33 of the re-encryption key generation device 30 is controlled by the control unit 35 to acquire the public key X j of the decryption device 50 disclosed from the key generation device 10 and write it in the temporary data storage unit 32. (ST31). Further, the communication unit 33 receives the secret key x i of the re-encryption key generation device 30 from the key generation device 10 and writes it in the secret key storage unit 31 at the above-described step ST5.
  • the re-encryption key generation unit 34 re-encrypts the private key x i of the re-encryption key generation device 30 in the private key storage unit 31 and the public key X j of the decryption device 50 in the temporary data storage unit 32.
  • a key R ij is generated as shown in the following equation (ST32).
  • the re-encryption key generation unit 34 writes the generated re-encryption key R ij in the temporary data storage unit 32.
  • the communication unit 33 is controlled by the control unit 35 and transmits the re-encryption key R ij in the temporary data storage unit 32 to the re-encryption device 40 (ST33).
  • the re-encryption process is executed by the re-encryption device 40 as shown in FIG. 5 and the following steps ST41 to ST43.
  • the communication unit 43 of the encryption device 40 writes the ciphertext data C i transmitted in step ST24 and the re-encryption key R ij transmitted in step ST33 in the temporary data storage unit 42, respectively.
  • the re-encryption processing unit 44 verifies the ciphertext data C i in the temporary data storage unit 42 using the public parameter and the following verification formula (ST41). Here, if two verification formulas are satisfied, the verification is successful, and if any one verification formula is not satisfied, the verification fails.
  • the re-encryption processing unit 44 If the re-encryption processing unit 44 succeeds in the verification, the re-encryption processing unit 44 generates the second random number t ⁇ Z p * , and the first, second, third, and fourth re-encrypted data C 2 ′ as shown in the following equation. , C 2 ′′ , C 2 ′ ′′ , C 2V are generated (ST42).
  • the re-encryption processing unit 44 generates the first re-encrypted data C 2 ′ based on the public key X i of the re-encryption key generating device 30 and the second random number t. To do.
  • the re-encryption processing unit 44 generates second re-encrypted data C 2 ′′ based on the re-encryption key R ij and the second random number t.
  • the re-encryption processing unit 44 generates the third re-encrypted data C 2 ′′ ′′ based on the second encrypted data C 2 and the second random number t.
  • the re-encryption processing unit 44 generates the fourth re-encrypted data C 2V using the second random number t.
  • the re-encryption processing unit 44 uses the first to fourth re-encrypted data C 2 ′ to C 2 ′ ′′ and C 2V as the second encrypted data in the ciphertext data C i .
  • Re-ciphertext data C j (C 1 , C 2 ′ , C 2 ′′ , C 2 ′ ′′ , C 2V , C 3 , C 4 , ⁇ ) is generated by replacing C 2
  • the ciphertext data is written in the temporary data storage unit 42.
  • the communication unit 43 is controlled by the control unit 47 to transmit the re-ciphertext data C j in the temporary data storage unit 42 to the decryption device 50 (ST43).
  • step ST54 fails, steps ST55 and ST56 are further executed.
  • the communication unit 53 of the decryption device 50 receives the re-ciphertext data Cj transmitted at step ST43 and writes it into the temporary data storage unit 52.
  • the decryption processing unit 54 verifies the re-ciphertext data C j in the temporary data storage unit 52 using the public parameters, the public key X j of the own device 50 and the following verification formula (ST51). Here, if three verification expressions are satisfied, the verification is successful, and if any one verification expression is not satisfied, the verification fails.
  • the decryption processing unit 54 decrypts the message m from the re-ciphertext data C j based on the private key x j of its own device as shown in the following equation (ST52).
  • the communication unit 53 is controlled by the control unit 56, acquires the public key X i of the re-encryption key generation device 30 disclosed from the key generation device 10, and writes it in the temporary data storage unit 52.
  • the public key X i of the re-encryption key generation device 30 is the disclosure of the device having the identification information i that is considered to be the destination of the ciphertext data C i before the re-ciphertext data C j is re-encrypted. It corresponds to the key X i .
  • the ciphertext verification processing unit 55 encrypts a part of the re-ciphertext data C j used in the re-encryption system and the ciphertext data C i before re-encrypting the re-ciphertext data C j.
  • a verification formula such as the following formula that holds when the public key X i used in is substituted is stored in advance.
  • the ciphertext verification processing unit 55 based on the verification formula described above, a part (C 2 ' , C 2V ) of the re-ciphertext data C j received from the re-encryption device 40 and the temporary data storage unit 52.
  • the public key X i of the re-encryption key generation device 30 read from the above into the verification formula and executing the calculation, it is determined whether or not this verification formula is satisfied, and the re-ciphertext data is originally It is verified whether the ciphertext is addressed (ST54).
  • the ciphertext verification processing unit 55 uses the public key X i of the re-encryption key generation device 30 as the public key used for the encryption processing of the message m as plaintext data. Outputs verification success indicating that there was.
  • step ST54 If the verification formula is not satisfied as a result of the determination in step ST54, a public key of another device (eg, another re-encryption device not shown) is newly acquired (ST55), and the same verification as step ST54 is performed. By repeating (ST56), a re-encryption device having a public key that satisfies the verification formula is specified.
  • another device eg, another re-encryption device not shown
  • the encryption of previous ciphertext data C i to be re-encryption process the re-encrypted data C j A ciphertext verification processing unit 55 that holds in advance a verification formula that is established when a public key X i and a secret key x j that can decrypt the re-ciphertext data C j are assigned, and verifies the verification formula
  • the decryption device that has received the re-ciphertext data can verify who the ciphertext data was originally re-encrypted.
  • the order of processing may be changed as appropriate.
  • the order of the decryption process and the ciphertext verification process may be changed.
  • the order of the re-encryption key generation process may be changed before the encryption process.
  • this embodiment may be changed to a form in which ciphertext data is decrypted without re-encryption as described in Non-Patent Document 8.
  • the message m is not the decoding device 50 and decoded by the secret key x i of the re-encryption key generator 30 has.
  • the re-encryption key generation apparatus 30 verifies the ciphertext data as in step ST41, and then decrypts the message m based on the following equation.
  • Non-Patent Document 8 it is possible to add the processing described in Non-Patent Document 8 by adding the processing for generating C 2V and the ciphertext verification processing unit 55 by the re-encryption processing unit 44. .
  • the re-encryption key generation device 30 decrypts the ciphertext data without executing the re-encryption process, if the ciphertext data is verified as shown in the following equation, the ciphertext data is originally encrypted. It can be confirmed that the public key used for the sentence data is the public key X i of its own device (re-encryption key generation device 30).
  • This embodiment is a modification of the first embodiment, and in the arbitrary re-encryption system, to whom the public key X i of the re-encryption key generation device 30 is embedded in advance in the message m. It is possible to verify whether it was ciphertext data.
  • the ciphertext generation unit 24 of the encryption device 20 embeds the public key X i of the re-encryption key generation device 30 in the message m as plaintext data
  • It has a function of executing the encryption process described above.
  • the embedding process for example, a digital watermark generation process may be used, or a process of adding (concatenating) the ciphertext of the public key X i or the public key X i to the message m may be used. Good.
  • the ciphertext of the public key X i is decrypted, for example, when the ciphertext generation unit 24 encrypts the public key X i of the re-encryption key generation device 30 with the private key x h of the own device 20.
  • the public key X i of the re-encryption key generation device 30 can be extracted by decrypting with the public key X h of the encryption device 20.
  • control unit 25 of the encryption device 20 has a function of controlling the units 21 to 24 so as to execute the operation shown in FIG.
  • the ciphertext verification processing unit 55 of the decryption apparatus 50 replaces the holding function (f55-1), determination function (f55-2), and output function (f55-3) described above with the following functions (f55- 4) to (f55-6).
  • control unit 56 of the decoding device 50 has a function of controlling the units 51 to 55 so as to execute the operation shown in FIG.
  • step ST21 of the encryption process is as described above.
  • step ST21 the ciphertext generation unit 24 of the encryption device 20 embeds the public key X i of the re-encryption key generation device 30 in the message m as plaintext data as shown in FIG. 7 (ST22-x ) And the operation of step ST22 described above is executed for the embedded message m.
  • the ciphertext generating unit 24 based on the first random number r, with respect to the embedded pre messages M ⁇ G T, as described above, second, third and fourth encrypted data C 2, C 3, C 4 is generated (ST22).
  • steps ST23 to ST24 of the encryption process is as described above.
  • steps ST51 to ST53 of the decoding process are as described above.
  • the ciphertext verification processing unit 55 of the decryption device 50 extracts the public key X i embedded from the decrypted message m as shown in FIG. 8 (ST54-x1).
  • Ciphertext verification processing unit 55 includes a public key X i, which is the extracted, by comparing the public key X i of the re-encryption key generator 30 that is read from the temporary data storage unit 52, re-encrypted data is It is verified who originally sent the ciphertext (ST54-x2).
  • Ciphertext verification processing unit 55 the result of this comparison, when both match, that the public key X i used for encryption of the message m was public key X i of the re-encryption key generator 30 The verification success indicating is output.
  • step ST54-x2 If the result of determination in step ST54-x2 is that they do not match, a new public key of another device (eg, another re-encryption device not shown) is acquired (ST55-x) and a temporary data storage unit 52, the same verification as in step ST54-x2 is repeated (ST56-x), and the re-encryption device having the public key that matches the extracted public key is specified.
  • another device eg, another re-encryption device not shown
  • a ciphertext generation unit 24 that executes the above-described encryption processing is provided. Further, the decryption device 50 extracts the public key X i embedded from the decrypted message m and extracts the public key X i and the public key X of the re-encryption key generation device 30 read from the temporary data storage unit 52. A ciphertext verification processing unit 55 is provided to verify by comparing with i . Therefore, in the present embodiment, with the configuration including the encryption device 20 and the decryption device 50, the decryption device that has received the re-encrypted text data indicates who the encrypted text data was originally re-encrypted. Can be verified.
  • the decryption device that has received the re-ciphertext data can verify who the ciphertext data was originally re-encrypted.
  • the storage medium can store a program and can be read by a computer
  • the storage format may be any form.
  • an OS operating system
  • MW middleware
  • database management software network software
  • the storage medium in each embodiment is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
  • the number of storage media is not limited to one, and the case where the processing in each of the above embodiments is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
  • the computer in each embodiment executes each process in each of the above embodiments based on a program stored in a storage medium, and a single device such as a personal computer or a plurality of devices are connected to a network. Any configuration of the system or the like may be used.
  • the computer in each embodiment is not limited to a personal computer, and includes an arithmetic processing device, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. Yes.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Algebra (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

　実施形態の復号装置において、保持手段は、前記再暗号化システムに用いられる再暗号文データの一部と、当該再暗号文データを再暗号化処理する前の暗号文データの暗号化処理に用いられた公開鍵と、当該再暗号文データを復号可能な秘密鍵とが代入された場合に成立する検証式を予め保持する。判定手段は、前記保持手段から読み出した検証式に基づき、前記再暗号化装置から受けた再暗号文データの一部と、前記第４記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵と前記復号装置の秘密鍵とを当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定する。出力手段は、この判定の結果、前記検証式が成立したとき、検証成功を出力する。

Description

再暗号文検証プログラム、再暗号化装置及び再暗号化システム
　本発明の実施形態は、再暗号文検証プログラム、再暗号化装置及び再暗号化システムに関する。
　１９９８年にブレーズ（Blaze）らにより、公開鍵暗号系に関してプロキシ再暗号化（Proxy Re-Encryption）と呼ばれる技術が提案されている。
　この技術の基本的なモデルは、以下の鍵生成、暗号化、復号、再暗号化鍵生成、再暗号化の５つの関数（以下、アルゴリズムともいう）からなる。鍵生成、暗号化、復号の機能は通常の公開鍵暗号と同様である。
　（鍵生成）KeyGen（１k）→（ｐｋ，ｓｋ）
　鍵生成アルゴリズムKeyGenは、セキュリティパラメータ１kが入力されると、公開鍵ｐｋと秘密鍵ｓｋの組（ｐｋ，ｓｋ）を出力する。
　（暗号化）Enc（ｐｋA，ｍ）→ＣA 
　暗号化アルゴリズムEncは、ユーザＡの公開鍵ｐｋAとメッセージｍが入力されると、ユーザＡ宛の暗号文ＣAを出力する。
　（復号）Dec（ｓｋA，ＣA）→ｍ
　復号アルゴリズムDecは、ユーザＡの秘密鍵ｓｋAと、ユーザＡ宛の暗号文ＣAとが入力されると、メッセージｍを出力する。
　（再暗号化鍵生成）ReKeyGen（ｐｋA，ｓｋA，ｐｋB，ｓｋB）→ｒｋA→B 
　再暗号化鍵生成アルゴリズムReKeyGenは、ユーザＡの公開鍵ｐｋA、ユーザＡの秘密鍵ｓｋA、ユーザＢの公開鍵ｐｋB、ユーザＢの秘密鍵ｓｋBが入力されると、再暗号化鍵ｒｋA→Bを出力する。
　（再暗号化）ReEnc（ｒｋA→B，ＣA）→ＣB 
　再暗号化アルゴリズムReEncは、再暗号化鍵ｒｋA→Bと、ユーザＡ宛の暗号文ＣAとが入力されると、ユーザＢ宛の暗号文ＣBを出力する。
　以上が基本的なモデルである。但し、再暗号化の実現方式に応じて、関数への入力が異なるモデルや、上記以外の関数や鍵を含むモデルも考えられている。
　例えば、再暗号化鍵生成アルゴリズムの入力において、ユーザＢの秘密鍵ｓｋBを不要とした非相互作用的（non-interactive）と呼ばれるモデルや、ユーザＡの秘密鍵ｓｋAに代えて、ユーザＢ宛の再暗号化鍵ｒｋA→BとユーザＣの秘密鍵ｓｋCとが入力されるモデルなども考えられている。
　また、再暗号化鍵ｒｋA→Bで暗号文ＣA→ＣBの再暗号化を行える一方で、その逆の暗号文ＣB→ＣAの変換を行えない一方向性（unidirectional）と呼ばれるモデル、逆の変換も行える双方向性（bidirectional）と呼ばれるモデルなども知られている。なお、双方向性モデルでは、再暗号化鍵ｒｋA→BをｒｋA⇔Bと表すことがある。
　さらに、公開鍵暗号の中でもＩＤベース暗号に基づく方式も考えられている。その場合、マスター鍵生成のための関数セットアップ（Setup）が増え、鍵生成アルゴリズムKeyGenの入力にマスター鍵とＩＤが追加される。ＩＤベース暗号において、公開鍵ｐｋはＩＤそのものである。
　具体的な方式の例としては、一方向性モデルでは非特許文献３，４に記載の方式が、双方向性モデルでは非特許文献５に記載の方式が、ＩＤベース暗号では非特許文献６，７などに記載の方式がそれぞれ知られている。なお、実施形態では非特許文献８に記載の方式を参考にしている。
　図９はこのような再暗号化技術を説明するためのコンテンツ配信システムの一例を示す模式図である。このコンテンツ配信システムは、コンテンツプロバイダ１、配信システム２及びユーザ３という３者のエンティティからなる。なお、ユーザ３は、各々のユーザを区別する場合にはユーザＡ又はユーザＢと呼ぶ。
　事前準備として、コンテンツプロバイダ１は、配信システム２の公開鍵ｐｋGrを持っているものとする。配信システム２は、配信システム２宛の暗号文コンテンツＥ（ｐｋGr，Ｍ）を特定のユーザＡ又はＢ宛の暗号文コンテンツＥ（ｐｋA，Ｍ）又はＥ（ｐｋB，Ｍ）に再暗号化する再暗号化鍵ｒｋGr→A，ｒｋGr→B，を持っているものとする。各ユーザ３は自分宛の再暗号文コンテンツＥ（ｐｋA，Ｍ）又はＥ（ｐｋB，Ｍ）を復号する秘密鍵ｓｋA又はｓｋBを持っているものとする。その他の各種の鍵やパラメータの説明は省略する。
　次に、コンテンツプロバイダ１は、コンテンツＭを配信システム２の公開鍵ｐｋGrで暗号化し、得られた暗号文コンテンツＥ（ｐｋGr，Ｍ）を配信システム２に配布する。
　配信システム２は、コンテンツプロバイダ１から暗号文コンテンツＥ（ｐｋGr，Ｍ）を受ける。その後、配信システム２は、例えばユーザＡから受けたコンテンツ要求に対し、特定のユーザＡ宛の再暗号化鍵ｒｋGr→Aに基づいて、暗号文コンテンツＥ（ｐｋGr，Ｍ）をユーザＡ宛の再暗号文コンテンツＥ（ｐｋA，Ｍ）に再暗号化し、得られた再暗号文コンテンツＥ（ｐｋA，Ｍ）をユーザＡに配布する。
　ユーザＡは、任意の配信システム２から受けた再暗号文コンテンツＥ（ｐｋA，Ｍ）を自身が保有する秘密鍵ｓｋAで復号し、得られたコンテンツＭを利用する。
　以上のようなコンテンツ配信システムは、コンテンツプロバイダ１による暗号化からユーザＡによる復号までの間、コンテンツＭが一度も復号されないため、コンテンツ配信の過程における情報の漏洩を阻止することができる。
　また、コンテンツプロバイダ１は、ユーザ３を特定せずに、配信システム２の公開鍵ｐｋGrで暗号化することから、管理する鍵が配信システム２の公開鍵ｐｋGrのみでよいので、鍵管理のコストを低減させることができる。
　配信システム２は、暗号文コンテンツＥ（ｐｋGr，Ｍ）を復号せずにユーザ３宛に再暗号化することから、再暗号化に用いるサーバを厳重に管理しなくてもよいので、コストを低減させることができる。
　ユーザ３は、単純に配信システム２にコンテンツ要求を出すだけで、これまで同様に任意のコンテンツＭを利用することができる。
特開２００４－３６３７７９号公報 特許第４０１０７６６号公報
M. Blaze, M. Strauss. Atomic Proxy Cryptography. AT&T Labs Research TR98.5.1, 1997. M. Blaze, G. Bleumer, M. Strauss. Divertible Protocols and Atomic Proxy Cryptography. In Eurocrypt’98, LNCS 1403, pp. 127-144, 1998. G. Ateniese, K. Fu, M. Green, S. Hohenberger. Improved Proxy Re-Encryption Schemes with Applications to Secure Distributed Storage. In NDSS’05, 2005. B. Libert, D. Vergnaud. Tracing Malicious Proxies in Proxy Re-Encryption. In Pairing 2008, 2008. R. Canetti, S. Hohenberger. Chosen-Ciphertext Secure Proxy Re-Encryption. In ACM CCS’07, 2005. M. Green, G. Ateniese. Identity-Based Proxy Re-encryption. In ACNS’07, 2007. T. Matsuo. Proxy Re-encryption Systems for Identity-based Encryption. In Pairing 2007, 2007. Benoit Libert, Damien Vergnaud，"Unidirectional Chosen-Ciphertext Secure Proxy Re-encryption", Public Key Cryptography 2008, pp.360-279 G. Ateniese, S. Hohenberger，"Proxy re-signature: new definitions, algorithm, and applications", ACM Conference on Computer and Communications Security 2005, pp.310-319 A. Menezes, P. van Oorschot, S. Vanstone, "Handbook of Applied Cryptography", CRC Press, (1996),
　しかしながら以上のような再暗号化技術は、通常は特に問題ないが、本発明者の検討によれば、次のような不都合がある。
　従来の暗号システムは、暗号化する人と復号する人という２者のエンティティからなるため、復号する人を特定できればよい。これに対し、再暗号化技術において復号する人は、誰から再暗号文データを受けるか分からない場合には、元々誰宛の暗号文データが再暗号化されたのかを検証できない不都合がある。
　例えば、再暗号化技術では、再暗号化鍵を生成する機能と再暗号化を行う機能とを分離できるので、これらの機能を別のエンティティに実装する場合がある。この場合、復号するユーザは、再暗号化を行ったエンティティから再暗号文コンテンツを受けたとしても、元々誰宛の暗号文コンテンツが再暗号化されたのかを検証する手段がない。
　よって、ユーザ、または漏洩した原因を調査する第三者は、仮に、漏洩した暗号文コンテンツを再暗号化した状態で受けたとしても、この状態から元々誰宛の暗号文コンテンツだったのかを検証できないため、漏洩元を特定することが困難となる。
　なお、上述した不都合の解消を図る技術の候補として、例えばプロキシ再署名（Proxy Re-Signature）が知られている。但し、この技術は署名の付け替えを行う方式であるため、前述した再暗号化機能を実現する再暗号化システム(Proxy Re-encryption)と再署名システム(Proxy Re-Signature)とを組み合わせて実現する必要がある。しかしながら、この組み合わせは、両者の機能を実現するための計算量やデータ長が大きくなることに加え、両者のシステムを連携させる好適な方法が知られていないことから、実現が困難である。
　不都合の解消を図る別の候補として、再暗号化システム(Proxy Re-Encryption)に既存の電子署名システムを組み合わせる技術が提案されている。しかしながら、この技術は、暗号化する人と再暗号化する人がどのデータにどのように電子署名を施せばよいのかが現状では知られていないため、実現が困難である。
　すなわち、再暗号化技術は、前述した不都合が未だ解消されていない状況にある。
　本明細書に開示した実施形態は、再暗号文データを受けた復号装置が、元々誰宛の暗号文データが再暗号化されたのかを検証し得る再暗号文検証プログラム、再暗号化装置及び再暗号化システムを提供することを目的とする。
　そのため、本明細書では、再暗号化鍵を生成する機能と再暗号化を行う機能とを別のエンティティにより行う場合について説明する。
　実施形態の再暗号化システムは、暗号化装置、再暗号化鍵生成装置、再暗号化装置及び復号装置を備えている。
　前記暗号化装置においては、第１記憶手段が前記再暗号化装置の公開鍵を記憶する。暗号化手段は、前記第１記憶手段から読み出した前記再暗号化装置の公開鍵を用いて前記平文データを暗号化処理することにより、暗号文データを得る。前記暗号化装置は、前記得られた暗号文データを前記再暗号化装置に送信する。
　前記再暗号化鍵生成装置においては、第２記憶手段が、前記再暗号化装置の公開鍵に対応する秘密鍵と、前記復号装置の秘密鍵に対応する公開鍵とを記憶する。前記再暗号化鍵生成装置は、前記第２記憶手段から読み出した前記再暗号化装置の秘密鍵と前記復号装置の公開鍵とを用いて再暗号化鍵を生成する。前記再暗号化鍵生成装置は、前記生成された再暗号化鍵を前記再暗号化装置に送信する。
　前記再暗号化装置においては、第３記憶手段が、前記再暗号化鍵生成装置から受けた再暗号化鍵を記憶する。再暗号化手段は、前記暗号化装置から暗号文データを受けると、前記第３記憶手段から読み出した再暗号化鍵を用いて当該暗号文データを復号せずに再暗号化処理することにより、再暗号文データを得る。前記再暗号化装置は、前記得られた再暗号文データを前記復号装置に送信する。
　前記復号装置は、第４記憶手段、復号手段、保持手段、判定手段及び出力手段を備えている。第４記憶手段は、前記再暗号化装置の公開鍵と前記復号装置の秘密鍵を記憶する。
　復号手段は、前記再暗号化装置から再暗号文データを受けると、前記第４記憶手段から読み出した当該復号装置の秘密鍵に基づいて、当該再暗号文データを復号処理することにより、前記平文データを得る。
　保持手段は、前記再暗号化システムに用いられる再暗号文データの一部と、当該再暗号文データを再暗号化処理する前の暗号文データの暗号化処理に用いられた公開鍵と、当該再暗号文データを復号可能な秘密鍵とが代入された場合に成立する検証式を予め保持する。
　判定手段は、前記保持手段から読み出した検証式に基づき、前記再暗号化装置から受けた再暗号文データの一部と、前記第４記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵と前記復号装置の秘密鍵とを当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定する。
　出力手段は、この判定の結果、前記検証式が成立したとき、前記平文データの暗号化処理に用いられた公開鍵が前記再暗号化鍵生成装置の公開鍵であった旨を示す検証成功を出力する。
図１は、第１の実施形態に係る再暗号化システムの構成を示す模式図である。 図２は、同実施形態における鍵セットアップ処理の動作を説明するためのシーケンス図である。 図３は、同実施形態における暗号化処理の動作を説明するためのシーケンス図である。 図４は、同実施形態における再暗号化鍵生成処理の動作を説明するためのシーケンス図である。 図５は、同実施形態における再暗号化処理の動作を説明するためのシーケンス図である。 図６は、同実施形態における復号処理の動作を説明するためのシーケンス図である。 図７は、第２の実施形態における暗号化処理の動作を説明するためのシーケンス図である。 図８は、第２の実施形態における復号処理の動作を説明するためのシーケンス図である。 図９は、一般的な再暗号化技術を説明するためのコンテンツ配信システムの一例を示す模式図である。
　以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、図１に示す如き、予めネットワーク又は非一時的なコンピュータ読取可能な記憶媒体（non-transitory computer-readable storage medium）Ｍ１～Ｍ５から各コンピュータにインストールされ、当該各コンピュータのプロセッサに実行されることにより、当該各コンピュータに各装置の機能を実現させるためのプログラムが用いられる。
　（第１の実施形態）
　図１は第１の実施形態に係る再暗号化システムの構成を示す模式図である。この再暗号化システムは、鍵生成装置１０、暗号化装置２０、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０を備えている。ここで、鍵生成装置１０は、再暗号化システムの各種パラメータ及び各装置４０，５０の公開鍵・秘密鍵のペアを生成する。
　暗号化装置２０は、再暗号化鍵生成装置３０の秘密鍵に対応する公開鍵を用いて平文データを暗号化処理して得られた暗号文データを再暗号化装置４０に送信する。
　再暗号化鍵生成装置３０は、再暗号化鍵生成装置３０の秘密鍵と復号装置５０の公開鍵とを用いて再暗号化鍵を生成し、その後その再暗号化鍵を再暗号化装置４０に送信する。
　再暗号化装置４０は、暗号化装置２０から受けた暗号文データを復号せずに、再暗号化鍵生成装置３０から送信された再暗号化鍵により再暗号化処理して得られた再暗号文データを復号装置５０に送信する。
　復号装置５０は、再暗号化鍵生成装置３０の公開鍵を用いて再暗号文データを検証処理すると共に、自装置５０の公開鍵に対応する秘密鍵を用いて再暗号文データを復号処理して平文データを得る。なお、再暗号化鍵生成装置３０、再暗号化装置４０及び復号装置５０は、それぞれ複数台が設けられていてもよいが、ここでは一台ずつ設けられている場合を例に挙げて述べる。
　続いて、各装置１０～５０の構成を具体的に説明する。
　鍵生成装置１０は、鍵生成パラメータ記憶部１１、一時データ記憶部１２、公開パラメータ生成部１３、公開鍵・秘密鍵生成部１４、通信部１５及び制御部１６を備えている。
　ここで、鍵生成パラメータ記憶部１１は、鍵生成パラメータを記憶する記憶装置である。
　一時データ記憶部１２は、各生成部１３，１４の処理途中及び処理結果などの一時データを記憶する記憶装置である。
　公開パラメータ生成部１３は、鍵生成の公開パラメータを生成する。
　公開鍵・秘密鍵生成部１４は、ユーザ宛の公開鍵・秘密鍵を生成する。
　通信部１５は、他の装置２０～５０と通信するための通信インタフェースであり、例えば、制御部１６に制御されて一時データ記憶部１２内の各３０，５０の公開鍵・秘密鍵のペアを当該各装置３０，５０に送信する機能と、制御部１６に制御されて一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵を暗号化装置２０に送信する機能と、をもっている。なお、以下の説明では、送受信時の冗長な記載を避ける観点から、送受信の際に、通信部１５を介する旨の記載を省略する場合がある。これは他の装置２０～５０の通信部についても同様である。
　制御部１６は、図２に示す動作を実行するように、各部１１～１５を制御する機能をもっている。
　暗号化装置２０は、一時データ記憶部２１、通信部２２、暗号化データ生成部２３、暗号文生成部２４及び制御部２５を備えている。
　ここで、一時データ記憶部２１は、鍵生成装置１０から受けた再暗号化鍵生成装置３０の公開鍵や、各生成部２３，２４の処理途中及び処理結果などの一時的なデータ（以下、一時データともいう）を記憶する記憶装置である。
　通信部２２は、他の装置１０，３０～５０と通信するための通信インタフェースであり、例えば、鍵生成装置１０に公開された再暗号化鍵生成装置３０の公開鍵を取得して一時データ記憶部２１に書き込む機能や、制御部２５に制御されて一時データ記憶部２１内の暗号文データを再暗号化装置４０に送信する機能をもっている。
　暗号化パラメータ生成部２３は、暗号化パラメータを生成する機能をもっている。
　暗号文生成部２４は、一時データ記憶部２１から読み出した再暗号化鍵生成装置３０の公開鍵を用いて平文データを暗号化処理することにより、暗号文データを生成する機能と、得られた暗号文データを一時データ記憶部２１に書き込む機能とをもっている。
　制御部２５は、図３に示す動作を実行するように、各部２１～２４を制御する機能をもっている。
　再暗号化鍵生成装置３０は、秘密鍵記憶部３１、一時データ記憶部３２、通信部３３、再暗号化鍵生成部３４及び制御部３５を備えている。
　秘密鍵記憶部３１は、鍵生成装置１０から受けた再暗号化鍵生成装置３０の秘密鍵を記憶する記憶装置である。
　一時データ記憶部３２は、鍵生成装置１０から受けた復号装置５０の公開鍵や、再暗号化鍵生成部３４の処理途中及び処理結果などの一時データを記憶する記憶装置である。
　通信部３３は、他の装置１０，２０，４０，５０と通信するための通信インタフェースであり、例えば制御部３５に制御されて一時データ記憶部３２内の再暗号化鍵を再暗号化装置４０に送信する機能をもっている。
　再暗号化鍵生成部３４は、秘密鍵記憶部３１から読み出した再暗号化鍵生成装置３０の秘密鍵と、一時データ記憶部３２から読み出した復号装置５０の公開鍵とを用いて再暗号化鍵を生成する機能と、この再暗号化鍵を一時データ記憶部３２に書き込む機能とをもっている。
　制御部３５は、図４に示す動作を実行するように、各部３１～３４を制御する機能をもっている。
　再暗号化装置４０は、再暗号化鍵記憶部４１、一時データ記憶部４２、通信部４３、再暗号化処理部４４、検証プログラム記憶部４５、配信部４６及び制御部４７を備えている。
　再暗号化鍵記憶部４１は、再暗号化鍵生成装置３０から受けた再暗号化鍵を記憶する記憶装置である。
　一時データ記憶部４２は、再暗号化処理部４４の処理途中及び処理結果などの一時データを記憶する記憶装置である。
　通信部４３は、他の装置１０～３０，５０と通信するための通信インタフェースであり、例えば、暗号化装置２０から受けた暗号文データを再暗号化処理部４４に送出する機能と、制御部４７に制御されて一時データ記憶部４２内の再暗号文データを復号装置５０に送信する機能と、配信部４６に制御されて検証プログラム記憶部４５内の再暗号文検証プログラムを復号装置５０に送信する機能とをもっている。
　再暗号化処理部４４は、暗号化装置２０から暗号文データを受けると、再暗号化鍵記憶部４１から読み出した再暗号化鍵を用いて当該暗号文データを復号せずに再暗号化処理することにより、再暗号文データを得る機能と、得られた再暗号文データを一時データ記憶部４２に書き込む機能とをもっている。
　検証プログラム記憶部４５は、再暗号文検証プログラムを記憶する記憶装置である。なお、再暗号化鍵記憶部４１及び検証プログラム記憶部４５は、同一の記憶装置における別々の記憶領域として実現してもよく、別々の記憶装置として実現してもよい。
　配信部４６は、この再暗号文検証プログラムの配信要求を復号装置５０から受けると、検証プログラム記憶部４５内の再暗号文検証プログラムを通信部４３から当該復号装置５０に配信する機能をもっている。
　なお、検証プログラム記憶部４５は、再暗号化装置４０にあり、そこから検証プログラム記憶部４５内の再暗号文検証プログラムが配信部４６を通じて配信されることになっているが、再暗号化装置４０以外から配信されても良い。上記で説明したのはあくまでも実施形態の一例であり、再暗号化装置４０以外から配信されることも考えられるからである。具体的には、鍵生成装置１０から以下で説明する復号装置５０への配信や、再暗号化鍵生成装置３０から以下で説明する復号装置５０への配信も考えられる。
　制御部４７は、再暗号文検証プログラムを配信する動作（図示せず）と図５に示す動作を実行するように、各部４１～４６を制御する機能をもっている。
　復号装置５０は、秘密鍵記憶部５１、一時データ記憶部５２、通信部５３、復号処理部５４、暗号文検証処理部５５及び制御部５６を備えている。
　秘密鍵記憶部５１は、鍵生成装置１０から受けた自装置５０の秘密鍵を記憶する記憶装置である。
　一時データ記憶部５２は、鍵生成装置１０から受けた自装置５０の公開鍵及び再暗号化鍵生成装置３０の公開鍵や、復号処理部５４及び暗号文検証処理部５５の処理途中及び処理結果などの一時データを記憶する記憶装置である。
　通信部５３は、他の装置１０～４０と通信するための通信インタフェースであり、例えば、鍵生成装置１０から受けた自装置５０の秘密鍵を秘密鍵記憶部５１に書き込む機能と、鍵生成装置１０から受けた自装置５０の公開鍵及び再暗号化鍵生成装置３０の公開鍵を一時データ記憶部５２に書き込む機能と、再暗号化装置４０から受けた再暗号化データを復号処理部５４に送出する機能とをもっている。
　復号処理部５４は、再暗号化装置４０から再暗号文データを受けると、秘密鍵記憶部５１から読み出した当該復号装置５０の秘密鍵に基づいて、当該再暗号文データを復号処理することにより、平文データを得る機能と、得られた平文データを一時データ記憶部５２に書き込む機能とをもっている。
　暗号文検証処理部５５は、以下の各機能(f55-1)～(f55-3)をもっている。
　(f55-1)　再暗号化システムに用いられる再暗号文データの一部と、当該再暗号文データを再暗号化処理する前の暗号文データの暗号化処理に用いられた公開鍵と、当該再暗号文データを復号可能な秘密鍵とが代入された場合に成立する検証式を予め保持する保持機能。なお、検証式を予め保持する保持機能は、検証式が予め記述されたプログラムコードを保持する保持機能と読み替えてもよい。
　(f55-2)　保持機能から読み出した検証式に基づき、再暗号化装置から受けた再暗号文データの一部と、一時データ記憶部５２から読み出した再暗号化鍵生成装置３０の公開鍵と秘密鍵記憶部５１内の復号装置５０の秘密鍵とを当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定する判定機能。
　(f55-3)　この判定の結果、検証式が成立したとき、平文データの暗号化処理に用いられた公開鍵が再暗号化鍵生成装置３０の公開鍵であった旨を示す検証成功を出力する機能。
　制御部５６は、図６に示す動作を実行するように、各部５１～５５を制御する機能をもっている。
　次に、以上のように構成された再暗号化システムの動作を図２乃至図６のシーケンス図を用いて説明する。なお、復号装置５０においては、予め再暗号文検証プログラムの配信要求を再暗号化装置４０に送信しており、再暗号化装置４０の配信部４６から受信した再暗号文検証プログラムを実行中であるものとする。
　また、以下の動作は（１）鍵セットアップ処理、（２）暗号化処理、（３）再暗号化鍵生成処理、（４）再暗号化処理、（５）復号処理の手順で実行される場合を例に挙げて述べる。但し、以下の動作は、必ずしも上記手順で処理を実行しなくてもよい。例えば、再暗号化鍵生成は、暗号化処理の前に実行されてもよい。また、再暗号化処理が実行されずに、暗号文データが復号されてもよい。
　また、以下の動作は、復号装置５０内の暗号文検証処理部５５の処理を除き、非特許文献８に記載の技術を例に用いている。すなわち、暗号文検証処理部５５の処理以外の処理については、非特許文献８を補足的に参照して理解を深めることができる。
　（１）鍵セットアップ処理は、鍵生成装置１０により、図２及び以下の各ステップＳＴ１～ＳＴ１２に示すように実行される。
　始めに、鍵生成装置１０の公開パラメータ生成部１３は、公開パラメータ（ｐ，λ，Ｇ，ＧT，ｇ，ｕ，ｖ，Sig）を生成する（ＳＴ１）。具体的には、公開パラメータ生成部１３は、予め鍵パラメータ記憶部１１に記憶したセキュリティパラメータλに基づいて、素数位数ｐ＞２λを満たす双線型写像群(bilinear map groups)（Ｇ，ＧT）、生成元ｇ，ｕ，ｖ∈Ｇ、強偽造不可能性を満たす使い捨て署名（one-time signature）
Figure JPOXMLDOC01-appb-M000006
　使い捨て署名については非特許文献１０に詳しい。また、Ｇ，ＧTは楕円曲線で定義される群集合であり、次式に示す如きペアリング関数に用いられる。
　ペアリング関数：ｅ（ｇ1，ｇ2）＝ｇT 
　但し、ｇ1，ｇ2∈Ｇ、ｇT∈ＧT 
　このペアリング関数は、次式に示す如き性質がある。
　ｅ（ｇa，ｇ）＝ｅ（ｇ，ｇa）＝ｅ（ｇ，ｇ）a 
　但し、ｇ∈Ｇ、ａ∈Ｚp 
　続いて、公開パラメータ生成部１３は、生成した公開パラメータを一時データ記憶部１２に書き込む。鍵生成装置１０は、一時データ記憶部１２内の公開パラメータ（ｐ，λ，Ｇ，ＧT，ｇ，ｕ，ｖ，Sig）を公開する（ＳＴ２）。
　また、公開鍵・秘密鍵生成部１４は、再暗号化鍵生成装置３０の識別情報をｉとしたとき、再暗号化鍵生成装置３０の秘密鍵ｘｉ∈Ｚp ＊を生成し、この秘密鍵ｘｉを用いて再暗号化鍵生成装置３０の公開鍵
Figure JPOXMLDOC01-appb-M000007
を生成する（ＳＴ７）。なお、Ｚp ＊はＺpかつｐと互いに素な整数の集合（＝（Ｚ/pＺ）＊）であり、素数ｐに対する乗法群Ｚp ＊と呼んでもよい。Ｚpは０以上ｐ未満の整数の集合（＝（Ｚ/pＺ）である。
　続いて、公開鍵・秘密鍵生成部１４は、生成した公開鍵・秘密鍵のペアを一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｘｉを再暗号化鍵生成装置３０に送信する（ＳＴ８）。鍵生成装置１０は、一時データ記憶部１２内の再暗号化鍵生成装置３０の公開鍵Ｘｉを公開する（ＳＴ９）。
　また同様に、公開鍵・秘密鍵生成部１４は、復号装置５０の識別情報をｊとしたとき、復号装置５０の秘密鍵ｘj∈Ｚp ＊を生成し、この秘密鍵ｘjを用いて復号装置５０の公開鍵
Figure JPOXMLDOC01-appb-M000008
を生成する（ＳＴ１０）。
　続いて、公開鍵・秘密鍵生成部１４は、生成した公開鍵・秘密鍵のペアを一時データ記憶部１２に書き込む。通信部１５は、制御部１６に制御されて一時データ記憶部１２内の秘密鍵ｘjを復号装置５０に送信する（ＳＴ１１）。鍵生成装置１０は、一時データ記憶部１２内の復号装置５０の公開鍵Ｘjを公開する（ＳＴ１２）。また、所望により、暗号化装置２０の秘密鍵ｘh及び公開鍵Ｘhについても各ステップＳＴ１０～ＳＴ１２と同様の処理を実行して暗号化装置２０に秘密鍵ｘhを送信し、公開鍵Ｘhを公開してもよい。
　以上により、鍵セットアップ処理が完了する。以後、各装置２０，３０，４０，５０では、各ステップＳＴ２，ＳＴ９，ＳＴ１２で公開された公開パラメータ及び公開鍵を適宜、取得して利用することができる。
　（２）暗号化処理は、暗号化装置２０により、図３及び以下の各ステップＳＴ２１～ＳＴ２４に示すように実行される。
　すなわち、暗号化装置２０の暗号化パラメータ生成部２３は、公開パラメータにおけるセキュリティパラメータλ及び鍵ペア生成機能
Figure JPOXMLDOC01-appb-M000009
を生成し（ＳＴ２１）、第１暗号化データＣ1に検証鍵ｓｖｋをセットする（Ｃ1＝ｓｖｋ）。
　また、暗号化パラメータ生成部２３は、第１乱数ｒ∈Ｚp ＊を生成して暗号文生成部２４に送出する。
　暗号文生成部２４は、この第１乱数ｒに基づき、平文データとしてのメッセージｍ∈ＧT に対して、以下の第２、第３及び第４暗号化データＣ2，Ｃ3，Ｃ4を生成する（ＳＴ２２）。
Figure JPOXMLDOC01-appb-M000010
　具体的にはステップＳＴ２２において、暗号化パラメータ生成部２３は、再暗号化鍵生成装置３０の公開鍵Ｘiと、第１乱数ｒとに基づいて、第２暗号化データＣ2を生成する。また、暗号文生成部２４は、公開パラメータにおける生成元ｇと、第１乱数ｒと、メッセージｍとに基づき、ペアリング関数によって第３暗号化データＣ3を生成する。さらに、暗号文生成部２４は、公開パラメータにおける生成元ｕ，ｖと、ステップＳＴ２１で生成した検証鍵ｓｖｋと、第１乱数ｒとに基づいて、第４暗号化データＣ4を生成する。
　ステップＳＴ２２の終了後、暗号文生成部２４は、第３及び第４暗号化データＣ3，Ｃ4に対し、公開パラメータにおける署名生成機能
Figure JPOXMLDOC01-appb-M000011
　しかる後、暗号文生成部２４は、これら第１乃至第４暗号化データＣ1～Ｃ4と使い捨て署名σとを含む暗号文データＣi＝（Ｃ1，Ｃ2，Ｃ3，Ｃ4，σ）を生成し、得られた暗号文データを一時データ記憶部２１に書き込む。
　通信部２２は、制御部２５に制御されて一時データ記憶部２１内の暗号文データＣiを再暗号化装置４０に送信する（ＳＴ２４）。
　以上により、暗号化処理が完了する。
　（３）再暗号化鍵生成処理は、再暗号化鍵生成装置３０により、図４及び以下の各ステップＳＴ３１～ＳＴ３３に示すように実行される。
　すなわち、再暗号化鍵生成装置３０の通信部３３は、制御部３５に制御されて、鍵生成装置１０から公開された復号装置５０の公開鍵Ｘjを取得して一時データ記憶部３２に書き込む（ＳＴ３１）。また、通信部３３は、前述したステップＳＴ５のとき、再暗号化鍵生成装置３０の秘密鍵ｘiを鍵生成装置１０から受信して秘密鍵記憶部３１に書き込んでいる。
　再暗号化鍵生成部３４は、秘密鍵記憶部３１内の再暗号化鍵生成装置３０の秘密鍵ｘiと、一時データ記憶部３２内の復号装置５０の公開鍵Ｘjから、再暗号化鍵Ｒijを次式に示すように生成する（ＳＴ３２）。
Figure JPOXMLDOC01-appb-M000012
　しかる後、再暗号化鍵生成部３４は、生成した再暗号化鍵Ｒijを一時データ記憶部３２に書き込む。通信部３３は、制御部３５に制御されて、一時データ記憶部３２内の再暗号化鍵Ｒijを再暗号化装置４０に送信する（ＳＴ３３）。
　以上により、再暗号化鍵生成処理が完了する。
　（４）再暗号化処理は、再暗号化装置４０により、図５及び以下の各ステップＳＴ４１～ＳＴ４３に示すように実行される。
　暗号化装置４０の通信部４３は、ステップＳＴ２４で送信された暗号文データＣiと、ステップＳＴ３３で送信された再暗号化鍵Ｒijとをそれぞれ一時データ記憶部４２に書き込む。
　再暗号化処理部４４は、公開パラメータと次の検証式を用い、一時データ記憶部４２内の暗号文データＣiを検証する（ＳＴ４１）。ここで、２つの検証式が成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。
Figure JPOXMLDOC01-appb-M000013
　再暗号化処理部４４は、検証に成功すると、第２乱数ｔ∈Ｚp ＊を生成し、次式に示すように、第１、第２、第３及び第４再暗号化データＣ2 ’，Ｃ2 ’’，Ｃ2 ’’’ ，Ｃ2Vを生成する（ＳＴ４２）。
Figure JPOXMLDOC01-appb-M000014
　具体的にはステップＳＴ４２において、再暗号化処理部４４は、再暗号化鍵生成装置３０の公開鍵Ｘiと、第２乱数ｔとに基づいて、第１再暗号化データＣ2 ’を生成する。また、再暗号化処理部４４は、再暗号化鍵Ｒij及び第２乱数ｔに基づいて、第２再暗号化データＣ2 ’’を生成する。さらに、再暗号化処理部４４は、第２暗号化データＣ2及び第２乱数ｔに基づいて、第３再暗号化データＣ2 ’’’を生成する。さらに、再暗号化処理部４４は、第２乱数ｔを用いて、第４再暗号化データＣ2Vを生成する。
　ステップＳＴ４２の終了後、再暗号化処理部４４は、これら第１乃至第４再暗号化データＣ2 ’～Ｃ2 ’’’、Ｃ2Vを、暗号文データＣi内の第２暗号化データＣ2と置換して再暗号文データＣj＝（Ｃ1，Ｃ2 ’，Ｃ2 ’’，Ｃ2 ’’’，Ｃ２V，Ｃ3，Ｃ4，σ）を生成し、得られた暗号文データを一時データ記憶部４２に書き込む。
　通信部４３は、制御部４７に制御されて一時データ記憶部４２内の再暗号文データＣjを復号装置５０に送信する（ＳＴ４３）。
　以上により、再暗号化処理が完了する。
　（５）復号処理は、復号装置５０により、図６及び以下のステップＳＴ５１～ＳＴ５４に示すように実行され、ステップＳＴ５４が失敗した場合には更にステップＳＴ５５，ＳＴ５６が実行される。
　すなわち、復号装置５０の通信部５３は、ステップＳＴ４３で送信された再暗号文データＣjを受信して一時データ記憶部５２に書き込む。
　復号処理部５４は、公開パラメータ及び自装置５０の公開鍵Ｘjと次の検証式を用い、一時データ記憶部５２内の再暗号文データＣjを検証する（ＳＴ５１）。ここで、３つの検証式が成立すれば検証は成功し、１つでも成立しない検証式があれば検証は失敗する。
Figure JPOXMLDOC01-appb-M000015
　復号処理部５４は、検証に成功すると、自装置の秘密鍵ｘjに基づいて、次式に示すように、再暗号文データＣjからメッセージｍを復号する（ＳＴ５２）。
Figure JPOXMLDOC01-appb-M000016
　一方、通信部５３は、制御部５６に制御され、鍵生成装置１０から公開された再暗号化鍵生成装置３０の公開鍵Ｘiを取得して一時データ記憶部５２に書き込む。ここで、再暗号化鍵生成装置３０の公開鍵Ｘiは、再暗号文データＣjが再暗号化処理される前の暗号文データＣiの宛先と思われる識別情報ｉをもつ装置の公開鍵Ｘiに相当する。
　暗号文検証処理部５５は、再暗号化システムに用いられる再暗号文データＣjの一部と、当該再暗号文データＣjを再暗号化処理する前の暗号文データＣiの暗号化処理に用いられた公開鍵Ｘiが代入された場合に成立する次式の如き検証式を予め保持している。
Figure JPOXMLDOC01-appb-M000017
　続いて、暗号文検証処理部５５は、前述した検証式に基づき、再暗号化装置４０から受けた再暗号文データＣjの一部（Ｃ2 ’，Ｃ2V）と、一時データ記憶部５２から読み出した再暗号化鍵生成装置３０の公開鍵Ｘiを当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定して再暗号文データが元々誰宛の暗号文だったかを検証する（ＳＴ５４）。
　暗号文検証処理部５５は、この判定の結果、検証式が成立したとき、平文データとしてのメッセージｍの暗号化処理に用いられた公開鍵が再暗号化鍵生成装置３０の公開鍵Ｘiであった旨を示す検証成功を出力する。
　また、ステップＳＴ５４の判定の結果、検証式が成立しないとき、新たに別の装置（例、図示しない他の再暗号化装置）の公開鍵を取得し（ＳＴ５５）、ステップＳＴ５４と同様の検証を繰り返すことにより（ＳＴ５６）、検証式が成立する公開鍵をもつ再暗号化装置を特定する。
　上述したように本実施形態によれば、再暗号文データＣjの一部と、当該再暗号文データＣjを再暗号化処理する前の暗号文データＣiの暗号化処理に用いられた公開鍵Ｘiと、当該再暗号文データＣjを復号可能な秘密鍵ｘjとが代入された場合に成立する検証式を予め保持して当該検証式を検証する暗号文検証処理部５５を復号装置５０が備えた構成により、再暗号文データを受けた復号装置が、元々誰宛の暗号文データが再暗号化されたのかを検証することができる。
　なお、本実施形態は、適宜、処理の順番を変更してもよい。例えば、復号処理と暗号文検証処理の順番を変更してもよい。同様に、再暗号化鍵生成処理の順番を暗号化処理よりも前に変更してもよい。
　また、本実施形態は、非特許文献８にあるように再暗号化せずに暗号文データを復号する形態に変更してもよい。この場合、メッセージｍは、復号装置５０ではなく、再暗号化鍵生成装置３０が有する秘密鍵ｘｉにより復号される。例えば、再暗号化鍵生成装置３０は、ステップＳＴ４１と同様に暗号文データを検証した後、次式に基づいて、メッセージｍを復号する。
Figure JPOXMLDOC01-appb-M000018
　すなわち、本実施形態の再暗号化システムにおいて、非特許文献８に記載の技術に、再暗号化処理部４４でＣ２Vを生成する処理および暗号文検証処理部５５を付加すると実施することができる。
　これに加え、本実施形態では、再暗号化鍵生成装置３０が再暗号化処理を実行せずに暗号文データを復号する場合でも、次式に示すように暗号文データを検証すると、元々暗号文データに用いられていた公開鍵が、自身の装置（再暗号化鍵生成装置３０）の公開鍵Ｘiであることを確認することができる。
Figure JPOXMLDOC01-appb-M000019
　（第２の実施形態）
　次に、第２の実施形態に係る再暗号化システムについて、前述した図１を用いて説明する。本実施形態は、第１の実施形態の変形例であり、予めメッセージｍに再暗号化鍵生成装置３０の公開鍵Ｘiを埋め込んでおく構成により、任意の再暗号化システムにおいて、元々誰宛の暗号文データであったかを検証可能にしたものである。
　具体的には、暗号化装置２０の暗号文生成部２４は、再暗号化鍵生成装置３０の公開鍵Ｘiを平文データとしてのメッセージｍに埋め込むと、当該埋め込み済みのメッセージｍに対して、前述した暗号化処理を実行する機能をもっている。ここで、埋め込む処理としては、例えば、電子透かしの生成処理を用いてもよく、あるいは単に、メッセージｍに公開鍵Ｘi又は公開鍵Ｘiの暗号文を追加（連結）する処理を用いてもよい。公開鍵Ｘiの暗号文は、例えば、暗号文生成部２４が自装置２０の秘密鍵ｘhで再暗号化鍵生成装置３０の公開鍵Ｘiを暗号化して作成された場合には、復号装置５０において、暗号化装置２０の公開鍵Ｘhで復号されることにより、再暗号化鍵生成装置３０の公開鍵Ｘiが抽出可能となっている。
　これに伴い、暗号化装置２０の制御部２５は、図７に示す動作を実行するように、各部２１～２４を制御する機能をもっている。
　一方、復号装置５０の暗号文検証処理部５５は、前述した保持機能(f55-1)、判定機能(f55-2)及び出力機能(f55-3)に代えて、以下の各機能(f55-4)～(f55-6)をもっている。
　(f55-4)　前述した復号機能により復号されたメッセージｍから埋め込まれた公開鍵Ｘiを抽出する抽出機能。
　(f55-5)　当該抽出された公開鍵Ｘiと、一時データ記憶部５２から読み出した再暗号化鍵生成装置３０の公開鍵Ｘiとを比較する比較機能。
　(f55-6)　この比較の結果、両者が一致したとき、メッセージｍの暗号化処理に用いられた公開鍵Ｘiが再暗号化鍵生成装置３０の公開鍵Ｘiであった旨を示す検証成功を出力する機能。
　これに伴い、復号装置５０の制御部５６は、図８に示す動作を実行するように、各部５１～５５を制御する機能をもっている。
　次に、以上のように構成された再暗号化システムの動作を図７及び図８のシーケンス図を用いて説明する。
　（１）鍵セットアップ処理の動作は、前述した通りである。
　（２）暗号化処理のステップＳＴ２１の動作は、前述した通りである。
　ステップＳＴ２１の終了後、暗号化装置２０の暗号文生成部２４は、図７に示すように、再暗号化鍵生成装置３０の公開鍵Ｘiを平文データとしてのメッセージｍに埋め込む（ＳＴ２２－ｘ）と、当該埋め込み済みのメッセージｍに対して、前述したステップＳＴ２２の動作を実行する。
　すなわち、暗号文生成部２４は、第１乱数ｒに基づき、当該埋め込む済みのメッセージｍ∈ＧT に対して、前述した通り、第２、第３及び第４暗号化データＣ2，Ｃ3，Ｃ4を生成する（ＳＴ２２）。
　暗号化処理のステップＳＴ２３～ＳＴ２４の動作は、前述した通りである。
　（３）再暗号化鍵生成処理及び（４）再暗号化処理の動作は、前述した通りである。
　（５）復号処理のステップＳＴ５１～ＳＴ５３の動作は、前述した通りである。
　ステップＳＴ５３の終了後、復号装置５０の暗号文検証処理部５５は、図８に示すように、復号されたメッセージｍから埋め込まれた公開鍵Ｘiを抽出する（ＳＴ５４－ｘ１）。
　暗号文検証処理部５５は、当該抽出された公開鍵Ｘiと、一時データ記憶部５２から読み出した再暗号化鍵生成装置３０の公開鍵Ｘiとを比較することにより、再暗号文データが元々誰宛の暗号文だったかを検証する（ＳＴ５４－ｘ２）。
　暗号文検証処理部５５は、この比較の結果、両者が一致したとき、メッセージｍの暗号化処理に用いられた公開鍵Ｘiが再暗号化鍵生成装置３０の公開鍵Ｘiであった旨を示す検証成功を出力する。
　また、ステップＳＴ５４－ｘ２の判定の結果、両者が一致しないとき、新たに別の装置（例、図示しない他の再暗号化装置）の公開鍵を取得して（ＳＴ５５－ｘ）一時データ記憶部５２に書き込み、ステップＳＴ５４－ｘ２と同様の検証を繰り返すことにより（ＳＴ５６－ｘ）、抽出された公開鍵に一致する公開鍵をもつ再暗号化装置を特定する。
　上述したように本実施形態によれば、暗号化装置２０は、再暗号化鍵生成装置３０の公開鍵Ｘiを平文データとしてのメッセージｍに埋め込むと、当該埋め込み済みのメッセージｍに対して、前述した暗号化処理を実行する暗号文生成部２４を備えている。また、復号装置５０は、復号されたメッセージｍから埋め込まれた公開鍵Ｘiを抽出して当該公開鍵Ｘiと、一時データ記憶部５２から読み出した再暗号化鍵生成装置３０の公開鍵Ｘiとを比較して検証する暗号文検証処理部５５を備えている。従って、本実施形態では、このような暗号化装置２０及び復号装置５０を備えた構成により、再暗号文データを受けた復号装置が、元々誰宛の暗号文データが再暗号化されたのかを検証することができる。
　以上説明した少なくとも一つの実施形態によれば、再暗号化システムにおいて、再暗号文データを受けた復号装置が、元々誰宛の暗号文データが再暗号化されたのかを検証することができる。
　なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
　また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
　また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
　さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
　また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
　なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
　また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
　なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

Claims (6)

  1. 　暗号化装置（２０）が再暗号化鍵生成装置（３０）の秘密鍵に対応する公開鍵を用いて平文データを暗号化処理して得られた暗号文データを再暗号化装置（４０）に送信し、前記再暗号化装置がこの暗号文データを復号せずに再暗号化鍵により再暗号化処理して得られた再暗号文データを復号装置（５０）に送信し、前記復号装置が前記再暗号化装置の公開鍵を用いて前記再暗号文データを検証処理すると共に、前記復号装置が自己の公開鍵に対応する秘密鍵を用いて前記再暗号文データを復号処理して前記平文データを得る再暗号化システムにおいて、前記再暗号化鍵生成装置の公開鍵と前記復号装置の秘密鍵を記憶する記憶手段を備えた前記復号装置のプロセッサに実行され、非一時的なコンピュータ読取可能な記憶媒体（Ｍ５）に記憶された再暗号文検証プログラムであって、
    　前記再暗号化システムに用いられる再暗号文データの一部と、当該再暗号文データを再暗号化処理する前の暗号文データの暗号化処理に用いられた公開鍵が代入された場合に成立する検証式が予め記述されたプログラムコードを保持する処理を前記プロセッサに実行させる第１プログラムコード（５５）、
    　前記検証式に基づき、前記再暗号化装置から受けた再暗号文データの一部と、前記記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵を当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定する処理を前記プロセッサに実行させる第２プログラムコード（５５）、
    　この判定の結果、前記検証式が成立したとき、前記平文データの暗号化処理に用いられた公開鍵が前記再暗号化鍵生成装置の公開鍵であった旨を示す検証成功を出力する処理を前記プロセッサに実行させる第３プログラムコード（５５）、
    　を備えた再暗号文検証プログラム。
  2. 　請求項１に記載の再暗号文検証プログラムにおいて、
    　前記再暗号化鍵生成装置の秘密鍵及び公開鍵をそれぞれｘi及びＸiで表し（但し、セキュリティパラメータλに基づき、素数位数ｐ＞２λを満たす双線型写像群をＧ，ＧTで表し、第１生成元をｇ∈Ｇで表したとき、
    公開パラメータ（ｐ，λ，Ｇ，ＧT，ｇ，ｕ，ｖ，Sig）
    ）、
    　前記平文データをｍ∈ＧTで表し、
    　前記暗号文データをＣi＝（Ｃ1，Ｃ2，Ｃ3，Ｃ4，σ）で表し（但し、使い捨て署名の署名鍵及び検証鍵をそれぞれｓｓｋ及びｓｖｋで表し、素数ｐに対する乗法群をＺp ＊で表し、第１乱数をｒ∈Ｚp ＊で表し、ペアリング関数をｅ（ ， ）で表し、第２及び第３生成元をそれぞれｕ，ｖ∈Ｇで表し、前記使い捨て署名の署名生成機能を
    Figure JPOXMLDOC01-appb-M000001
     ）、
    　前記復号装置の秘密鍵及び公開鍵をそれぞれｘj及びＸjで表し（但し、
    Figure JPOXMLDOC01-appb-M000002
     ）、
    　前記再暗号化鍵を
    Figure JPOXMLDOC01-appb-M000003
     で表し、
    　前記再暗号文データをＣj＝（Ｃ1，Ｃ2’，Ｃ2’’，Ｃ2’’’， Ｃ2V，Ｃ3，Ｃ4，σ）で表すとき（但し、第２乱数をｔ∈Ｚp ＊で表したとき、
    Figure JPOXMLDOC01-appb-M000004
     ）、
    　前記検証式は、
    Figure JPOXMLDOC01-appb-M000005
     で表されることを特徴とする再暗号文検証プログラム。
  3. 　請求項１又は請求項２に記載の再暗号文検証プログラムを用いた前記再暗号化装置（４０）において、
    　前記再暗号文検証プログラムを記憶する検証プログラム記憶手段（４５）と、
    　この再暗号文検証プログラムの配信要求を前記復号装置から受けると、前記検証プログラム記憶手段内の再暗号文検証プログラムを当該復号装置に配信する検証プログラム配信手段（４６）と、
    　を備えた再暗号化装置。
  4. 　暗号化装置（２０）、再暗号化鍵生成装置（３０）、再暗号化装置（４０）及び復号装置（５０）を備えた再暗号化システムであって、
    　前記暗号化装置（２０）は、
    　前記再暗号化鍵生成装置の公開鍵を記憶する第１記憶手段（２１）と、
    　前記第１記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵を用いて前記平文データを暗号化処理することにより、暗号文データを得る暗号化手段（２４）と、
    　前記得られた暗号文データを前記再暗号化装置に送信する手段（２２）と、
    　を備え、
    　前記再暗号化鍵生成装置（３０）は、
    　前記再暗号化鍵生成装置の公開鍵に対応する秘密鍵と、前記復号装置の秘密鍵に対応する公開鍵とを記憶する第２記憶手段（３１，３２）と、
    　前記第２記憶手段から読み出した前記再暗号化鍵生成装置の秘密鍵と前記復号装置の公開鍵とを用いて再暗号化鍵を生成する手段（３４）と、
    　前記生成された再暗号化鍵を前記再暗号化装置に送信する手段（３３）と、
    　を備え、
    　前記再暗号化装置（４０）は、
    　前記再暗号化鍵生成装置から受けた再暗号化鍵を記憶する第３記憶手段（４１）と、
    　前記暗号化装置から暗号文データを受けると、前記第３記憶手段から読み出した再暗号化鍵を用いて当該暗号文データを復号せずに再暗号化処理することにより、再暗号文データを得る再暗号化手段（４４）と、
    　前記得られた再暗号文データを前記復号装置に送信する手段（４３）と、
    　を備え、
    　前記復号装置（５０）は、
    　前記再暗号化鍵生成装置の公開鍵と前記復号装置の秘密鍵を記憶する第４記憶手段（５１，５２）と、
    　前記再暗号化装置から再暗号文データを受けると、前記第４記憶手段から読み出した当該復号装置の秘密鍵に基づいて、当該再暗号文データを復号処理することにより、前記平文データを得る復号手段（５４）と、
    　前記再暗号化システムに用いられる再暗号文データの一部と、当該再暗号文データを再暗号化処理する前の暗号文データの暗号化処理に用いられた公開鍵が代入された場合に成立する検証式を予め保持する保持手段（５５）と、
    　前記保持手段から読み出した検証式に基づき、前記再暗号化装置から受けた再暗号文データの一部と、前記第４記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵を当該検証式に代入して演算を実行することにより、この検証式が成立するか否かを判定する判定手段（５５）と、
    　この判定の結果、前記検証式が成立したとき、前記平文データの暗号化処理に用いられた公開鍵が前記再暗号化鍵生成装置の公開鍵であった旨を示す検証成功を出力する出力手段（５５）と、
    　を備えたことを特徴とする再暗号化システム。
  5. 　暗号化装置（２０）、再暗号化鍵生成装置（３０）、再暗号化装置（４０）及び復号装置（５０）を備えた再暗号化システムであって、
    　前記暗号化装置（２０）は、
    　前記再暗号化鍵生成装置の公開鍵を記憶する第１記憶手段（２１）と、
    　前記再暗号化装置の公開鍵を前記平文データに埋め込むと、当該埋め込み済みの平文データを、前記第１記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵に基づいて暗号化処理することにより、暗号文データを得る暗号化手段（２４）と、
    　前記得られた暗号文データを前記再暗号化装置に送信する手段（２２）と、
    　を備え、
    　前記再暗号化鍵生成装置（３０）は、
    　前記再暗号化鍵生成装置の公開鍵に対応する秘密鍵と、前記復号装置の秘密鍵に対応する公開鍵とを記憶する第２記憶手段（３１，３２）と、
    　前記第２記憶手段から読み出した前記再暗号化鍵生成装置の秘密鍵と前記復号装置の公開鍵とを用いて再暗号化鍵を生成する手段（３４）と、
    　前記生成された再暗号化鍵を前記再暗号化装置に送信する手段（３３）と、
    　を備え、
    　前記再暗号化装置（４０）は、
    　前記再暗号化鍵生成装置から受けた再暗号化鍵を記憶する第３記憶手段（４１）と、
    　前記暗号化装置から暗号文データを受けると、前記第３記憶手段から読み出した再暗号化鍵を用いて当該暗号文データを復号せずに再暗号化処理することにより、再暗号文データを得る再暗号化手段（４４）と、
    　前記得られた再暗号文データを前記復号装置に送信する手段（４３）と、
    　を備え、
    　前記復号装置（５０）は、
    　前記再暗号化鍵生成装置の公開鍵と前記復号装置の秘密鍵を記憶する第４記憶手段（５１，５２）と、
    　前記再暗号化装置から再暗号文データを受けると、前記第４記憶手段から読み出した当該復号装置の秘密鍵に基づいて、当該再暗号文データを復号処理することにより、前記平文データを得る復号手段（５４）と、
    　前記復号手段により復号された平文データから前記埋め込まれた公開鍵を抽出する抽出手段（５５）と、
    　前記抽出された公開鍵と、前記第４記憶手段から読み出した前記再暗号化鍵生成装置の公開鍵とを比較する比較手段（５５）と、
    　この比較の結果、両者が一致したとき、前記平文データの暗号化処理に用いられた公開鍵が前記再暗号化鍵生成装置の公開鍵であった旨を示す検証成功を出力する手段（５５）と、
    　を備えたことを特徴とする再暗号化システム。
  6. 　請求項４又は請求項５に記載の再暗号化システムにおいて、
    　前記再暗号化装置及び復号装置のそれぞれの公開鍵と秘密鍵のペアを生成する鍵生成装置（１０）を更に備えたことを特徴とする再暗号化システム。
PCT/JP2013/050226 2012-03-28 2013-01-09 再暗号文検証プログラム、再暗号化装置及び再暗号化システム Ceased WO2013145796A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
SG11201405579RA SG11201405579RA (en) 2012-03-28 2013-01-09 Re-encrypted data verification program, re-encryption apparatus and re-encryption system
EP13767295.2A EP2833573B1 (en) 2012-03-28 2013-01-09 Re-encrypted text verification program, re-encryption device, and re-encryption system
US14/480,073 US9698984B2 (en) 2012-03-28 2014-09-08 Re-encrypted data verification program, re-encryption apparatus and re-encryption system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2012-074773 2012-03-28
JP2012074773A JP5389212B2 (ja) 2012-03-28 2012-03-28 再暗号文検証プログラム、再暗号化装置及び再暗号化システム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/480,073 Continuation US9698984B2 (en) 2012-03-28 2014-09-08 Re-encrypted data verification program, re-encryption apparatus and re-encryption system

Publications (1)

Publication Number Publication Date
WO2013145796A1 true WO2013145796A1 (ja) 2013-10-03

Family

ID=49259083

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/050226 Ceased WO2013145796A1 (ja) 2012-03-28 2013-01-09 再暗号文検証プログラム、再暗号化装置及び再暗号化システム

Country Status (5)

Country Link
US (1) US9698984B2 (ja)
EP (1) EP2833573B1 (ja)
JP (1) JP5389212B2 (ja)
SG (1) SG11201405579RA (ja)
WO (1) WO2013145796A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015065472A1 (en) * 2013-11-01 2015-05-07 Hewlett-Packard Development Company, L.P. Content encryption to produce multiply encrypted content
JP2017163326A (ja) * 2016-03-09 2017-09-14 株式会社日立製作所 暗号化システム、暗号化方法、及び暗号化プログラム

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9565022B1 (en) * 2013-07-02 2017-02-07 Impinj, Inc. RFID tags with dynamic key replacement
EP3286871B1 (en) * 2015-04-24 2020-07-22 PCMS Holdings, Inc. Systems, methods, and devices for device credential protection
JP6732141B2 (ja) * 2017-12-28 2020-07-29 三菱電機株式会社 変換鍵生成装置、暗号文変換装置、秘匿情報処理システム、変換鍵生成方法、変換鍵生成プログラム、暗号文変換方法及び暗号文変換プログラム
US10965653B2 (en) * 2018-03-28 2021-03-30 Xaptum, Inc. Scalable and secure message brokering approach in a communication system
US11362824B2 (en) 2018-05-25 2022-06-14 Intertrust Technologies Corporation Content management systems and methods using proxy reencryption
JP7119605B2 (ja) * 2018-06-08 2022-08-17 日本電信電話株式会社 暗号文変換システム、暗号文変換方法、及びプログラム
CN111010265B (zh) * 2019-12-21 2023-04-18 上海中和软件有限公司 基于分层密钥和bls数字签名的区块链组织密钥管理方法
CN111490876B (zh) * 2020-04-03 2021-12-28 北京达龙上东文化艺术传播有限责任公司 一种基于usb key的通信方法和usb key
CN112261015B (zh) * 2020-10-12 2023-05-12 北京沃东天骏信息技术有限公司 基于区块链的信息共享方法、平台、系统以及电子设备
US11888829B2 (en) * 2022-02-10 2024-01-30 7-Eleven, Inc. Dynamic routing and encryption using an information gateway

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004363779A (ja) 2003-06-03 2004-12-24 Fujitsu Ltd 認証システムおよび記録サーバ
JP4010766B2 (ja) 1999-12-21 2007-11-21 コンテントガード ホールディングズ インコーポレイテッド メッセージの公開型且つ非可換性の符号化方法及び暗号化方法
JP2008172736A (ja) * 2006-12-14 2008-07-24 Ntt Data Corp 暗号文復号権委譲システム
JP2011055309A (ja) * 2009-09-03 2011-03-17 National Institute Of Information & Communication Technology 二機能付きｉｄベース暗号化方法及び暗号システム
JP2011124853A (ja) * 2009-12-11 2011-06-23 Ntt Data Corp 暗号文復号権限委譲システム、暗号文復号権限委譲方法、暗号文変換装置、復号権限所持者用装置および暗号文変換プログラム
JP2011147047A (ja) * 2010-01-18 2011-07-28 Nippon Telegr & Teleph Corp <Ntt> プロキシ再暗号化システム、送信装置、再暗号化鍵生成装置、プロキシ装置、受信装置、プロキシ再暗号化方法、それらのプログラムおよび記録媒体

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6389403B1 (en) 1998-08-13 2002-05-14 International Business Machines Corporation Method and apparatus for uniquely identifying a customer purchase in an electronic distribution system
US7110984B1 (en) 1998-08-13 2006-09-19 International Business Machines Corporation Updating usage conditions in lieu of download digital rights management protected content
US7383228B2 (en) 1998-08-13 2008-06-03 International Business Machines Corporation Method and system for preventing unauthorized rerecording of multimedia content
US6859791B1 (en) 1998-08-13 2005-02-22 International Business Machines Corporation Method for determining internet users geographic region
US7962413B2 (en) 1998-08-13 2011-06-14 International Business Machines Corporation End-user system of preventing unauthorized rerecording of multimedia content
US6611812B2 (en) 1998-08-13 2003-08-26 International Business Machines Corporation Secure electronic content distribution on CDS and DVDs
US6959288B1 (en) 1998-08-13 2005-10-25 International Business Machines Corporation Digital content preparation system
US7228437B2 (en) 1998-08-13 2007-06-05 International Business Machines Corporation Method and system for securing local database file of local content stored on end-user system
US6983371B1 (en) 1998-10-22 2006-01-03 International Business Machines Corporation Super-distribution of protected digital content
US6226618B1 (en) 1998-08-13 2001-05-01 International Business Machines Corporation Electronic content delivery system
US7346580B2 (en) 1998-08-13 2008-03-18 International Business Machines Corporation Method and system of preventing unauthorized rerecording of multimedia content
JP2000181803A (ja) 1998-12-18 2000-06-30 Fujitsu Ltd 鍵管理機能付電子データ保管装置および電子データ保管方法
JP2002055830A (ja) 2000-05-29 2002-02-20 Seiko Epson Corp 割込信号生成装置及び割込信号の生成方法
EP1858194A4 (en) * 2005-02-28 2013-10-30 Nec Corp SHUFFLE DECLARATION VALIDITY VERIFICATION DEVICE AND METHODS, SHUFFLE DECISION VALIDATION DEVICE AND METHOD, PROGRAM AND RECORDING MEDIUM
US8347093B1 (en) 2010-07-19 2013-01-01 Google Inc. Privacy preserving name verification
JP2012150378A (ja) * 2011-01-21 2012-08-09 Nippon Telegr & Teleph Corp <Ntt> プロキシ再暗号化システム、鍵生成装置、再暗号化装置、プロキシ再暗号化方法、プログラム

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4010766B2 (ja) 1999-12-21 2007-11-21 コンテントガード ホールディングズ インコーポレイテッド メッセージの公開型且つ非可換性の符号化方法及び暗号化方法
JP2004363779A (ja) 2003-06-03 2004-12-24 Fujitsu Ltd 認証システムおよび記録サーバ
JP2008172736A (ja) * 2006-12-14 2008-07-24 Ntt Data Corp 暗号文復号権委譲システム
JP2011055309A (ja) * 2009-09-03 2011-03-17 National Institute Of Information & Communication Technology 二機能付きｉｄベース暗号化方法及び暗号システム
JP2011124853A (ja) * 2009-12-11 2011-06-23 Ntt Data Corp 暗号文復号権限委譲システム、暗号文復号権限委譲方法、暗号文変換装置、復号権限所持者用装置および暗号文変換プログラム
JP2011147047A (ja) * 2010-01-18 2011-07-28 Nippon Telegr & Teleph Corp <Ntt> プロキシ再暗号化システム、送信装置、再暗号化鍵生成装置、プロキシ装置、受信装置、プロキシ再暗号化方法、それらのプログラムおよび記録媒体

Non-Patent Citations (11)

* Cited by examiner, † Cited by third party
Title
A. MENEZES; P. VAN OORSCHOT; S. VANSTONE: "Handbook of Applied Cryptography", 1996, CRC PRESS
B. LIBERT; D. VERGNAUD: "Tracing Malicious Proxies in Proxy Re-Encryption", PAIRING 2008, 2008
BENOIT LIBERT; DAMIEN VERGNAUD: "Unidirectional Chosen-Ciphertext Secure Proxy Re-encryption", PUBLIC KEY CRYPTOGRAPHY, 2008, pages 360 - 279
G. ATENIESE; K. FU; M. GREEN; S. HOHENBERGER: "Improved Proxy Re-Encryption Schemes with Applications to Secure Distributed Storage", NDSS'05, 2005
G. ATENIESE; S. HOHENBERGER: "Proxy re-signature: new definitions, algorithm, and applications", ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY, 2005, pages 310 - 319
M. BLAZE; G. BLEUMER; M. STRAUSS: "Divertible Protocols and Atomic Proxy Cryptography", EUROCRYPT '98, LNCS, vol. 1403, 1998, pages 127 - 144
M. BLAZE; M. STRAUSS.: "Atomic Proxy Cryptography", AT&T LABS RESEARCH TR98.5.1, 1997
M. GREEN; G. ATENIESE: "Identity-Based Proxy Re-encryption", ACNS '07, 2007
R. CANETTI; S. HOHENBERGER: "Chosen-Ciphertext Secure Proxy Re-Encryption", ACM CCS'07, 2005
See also references of EP2833573A4
T. MATSUO: "Proxy Re-encryption Systems for Identity-based Encryption", PAIRING 2007, 2007

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015065472A1 (en) * 2013-11-01 2015-05-07 Hewlett-Packard Development Company, L.P. Content encryption to produce multiply encrypted content
GB2534772A (en) * 2013-11-01 2016-08-03 Hewlett Packard Development Co Lp Content encryption to produce multiply encrypted content
JP2017163326A (ja) * 2016-03-09 2017-09-14 株式会社日立製作所 暗号化システム、暗号化方法、及び暗号化プログラム

Also Published As

Publication number Publication date
US20150043735A1 (en) 2015-02-12
EP2833573A4 (en) 2015-12-16
US9698984B2 (en) 2017-07-04
JP2013207581A (ja) 2013-10-07
SG11201405579RA (en) 2014-11-27
EP2833573B1 (en) 2017-03-01
EP2833573A1 (en) 2015-02-04
JP5389212B2 (ja) 2014-01-15

Similar Documents

Publication Publication Date Title
JP5389212B2 (ja) 再暗号文検証プログラム、再暗号化装置及び再暗号化システム
JP5851558B2 (ja) 再暗号化鍵生成装置、再暗号化装置及びプログラム
JP6139804B2 (ja) 再暗号化鍵生成装置、再暗号化装置、暗号化装置、復号装置及びプログラム
JP5932040B2 (ja) 再暗号化鍵生成装置及びプログラム
CN113259329B (zh) 一种数据不经意传输方法、装置、电子设备及存储介质
CN102377564B (zh) 私钥的加密方法及装置
KR100568233B1 (ko) 인증서를 이용한 기기 인증 방법 및 상기 방법을 이용하여기기 인증을 수행하는 디지털 컨텐츠 처리 기기
JP5395938B1 (ja) 連携サービス提供システム及びサーバ装置
CN108632031B (zh) 密钥生成装置及方法、加密装置及方法
CN101743715A (zh) 在家庭网络的装置之间共享秘密信息的方法和设备
CN105763331A (zh) 一种数据加密方法和数据解密方法及装置
JP2020532177A (ja) データの高度なセキュリティ、高速暗号化および、伝送のためのコンピュータ実装システムおよび方法
KR101533950B1 (ko) 브로드캐스트 암호화 방법 및 시스템
CN112954388A (zh) 一种数据文件的获取方法、装置、终端设备和存储介质
KR101373577B1 (ko) Ｉｄ 기반 동적 임계 암호화 장치 및 그 방법
CN110932847A (zh) 一种针对具有密文同态性的身份标识密码系统的用户撤销方法
WO2014141907A1 (ja) 暗号化データ演算システム、装置及びプログラム
JP4143036B2 (ja) 鍵生成システム、鍵生成サーバ及び鍵生成方法
WO2010076899A1 (ja) 放送型暗号システム、送信者装置、ユーザ装置、カプセル化／脱カプセル化方法
JP4150328B2 (ja) ハイブリッド暗号装置およびハイブリッド暗号・復号方法
JP6000207B2 (ja) 暗号化システム、システムパラメータ生成装置、暗号化装置、復号装置、及びその方法、プログラム
JP2010141620A (ja) 通信装置、サーバ装置、通信方法、および通信プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13767295

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2013767295

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2013767295

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE