JP5365072B2 - 鍵生成装置、暗号化装置、受信装置、鍵生成方法、暗号化方法、鍵処理方法およびプログラム - Google Patents

Description

本発明は、鍵生成装置、暗号化装置、受信装置、鍵生成方法、暗号化方法、鍵処理方法およびプログラムに関する。

近年、パーソナルコンピュータ（ＰＣ）のみならず、携帯電話やディジタル家電等の普及、発達に伴い、音楽や映像等のコンテンツ配信ビジネスが益々重要になってきている。コンテンツ配信ビジネスとしては、ＣＡＴＶや衛星放送、インターネット等を利用した有料放送や、ＣＤ、ＤＶＤ等の物理メディアを利用したコンテンツの販売などが存在するが、いずれにおいても、契約者のみがコンテンツを取得可能となる仕組みを構成する必要がある。このようなコンテンツ配信システムを実現する手法として、Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎと呼ばれる暗号技術が存在する。Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎでは、システムの管理者（以下、センタと称する。）が予め契約者（以下、ユーザと称する。）にのみ鍵を提供しておき、コンテンツの配信時には、コンテンツをセッション鍵で暗号化した暗号文と、指定された集合に所属するユーザのみがセッション鍵を取得可能とするためのヘッダを配信することにより、特定の契約者のみがコンテンツを取得可能となる。

Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎには、共通鍵暗号を主体として構成する共通鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎと、公開鍵暗号を主体として構成する公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎが存在する。前者は、ヘッダからセッション鍵を取得する処理が共通鍵暗号を利用して行われるため、処理が非常に高速であるという利点が存在する。しかしながら、センタと各ユーザがあらかじめ同一の鍵、もしくはこの同一の鍵を導出するために必要な中間鍵を共有しておく必要があるため、コンテンツを配信可能となるのはセンタのみである、という制限が存在する。よって前者は、有料放送やＤＶＤ、次世代ＤＶＤ等の物理メディアによるコンテンツ配信等に適した方式であり、実際にＡＡＣＳ等の規格で利用されている。

一方後者は、システム全体、もしくは各ユーザの公開鍵、あるいはその両方が公開されているため、誰でもコンテンツを特定のユーザ集合に対して配信可能であるという利点が存在する。その反面、ヘッダからセッション鍵を取得する処理が公開鍵暗号を利用して行われるため、処理が前者と比較して遅くなる、という問題点が存在する。従って、前者とは異なり、事前に鍵共有することが困難な環境（例えば、インターネット上での配信や、安全なネットワークの動的な構成等）に適していると考えられる。

このように、Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎでは、各状況に応じて適用可能な各種方式が多数存在するが、いずれの方式においても、安全性は元より、ヘッダサイズ、ユーザが保持する鍵数、および、セッション鍵を取得するために必要な計算量の三点における効率性が、重要視されている。ヘッダサイズは、物理メディアの場合であればその容量に、ネットワークであればその転送情報量に影響を与える。ユーザが保持する鍵数は、各ユーザが保持する機器等を設計する際、鍵用として確保しなければならないメモリサイズに影響する。計算量は、ユーザが暗号化されたコンテンツを再生するまでにかかる時間や、ユーザが保持する機器等の消費電力に影響する。それに加えて公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎでは、暗号化、復号時のいずれか一方、もしくは両方において公開鍵を利用するため、公開鍵サイズも重要な指標となる。よってＢｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎにおいて重要となるのは、これらの値をいかに小さくできるかという点となる。

公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ方式として注目されている方式の一つに、以下の非特許文献１に開示された方式（以下、従来方式と称する。）が存在する。この方式は、それまでの方式同様、結託に対して安全な方式であると共に、公開鍵サイズはそれまでの方式と変わらないものの、復号時に公開鍵を利用しない構成を実現することによって、各機器が保持する情報量の削減に成功した方式である。また、システム設定後であっても、新たなユーザを自由に追加できるという利点を有する。

Ｃ．Ｄｅｌｅｒａｂｌｅｅ，Ｐ．Ｐａｉｌｌｉｅｒ，ａｎｄ Ｄ．Ｐｏｉｎｔｃｈｅｖａｌ，"Ｆｕｌｌｙ Ｃｏｌｌｕｓｉｏｎ Ｓｅｃｕｒｅ Ｄｉｎａｍｉｃ Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈ Ｃｏｎｓｔａｎｔ−Ｓｉｚｅ Ｃｉｐｈｅｒｔｅｘｔｓ ｏｒ Ｄｅｃｒｙｐｔｉｏｎ Ｋｅｙｓ，"Ｐａｉｒｉｎｇ−Ｂａｓｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ−Ｐａｉｒｉｎｇ２００７，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ４５７５，ｐｐ．３９−５９，Ｓｐｒｉｎｇｅｒ，２００７． Ｆ．Ｈｅｓｓ，Ｎ．Ｓｍａｒｔ，ａｎｄ Ｆ．Ｖｅｒｃａｕｔｅｒｅｎ，"Ｔｈｅ Ｅｔａ Ｐａｉｒｉｎｇ Ｒｅｖｉｓｉｔｅｄ，"ＩＥＥＥ ＴＲＡＮＳＡＣＴＩＯＮＳＯＮ ＩＮＦＯＲＭＡＴＩＯＮ ＴＨＥＯＲＹ，ＶＯＬ．５２，ＮＯ．１０，ｐｐ．４５９５−４６０２，ＯＣＴ．２００６．

しかしながら、上述の非特許文献１に記載の従来方式では、暗号化時に必要となる計算量が、排除されるユーザ数をｒとした場合、楕円曲線上の点の加算、スカラー倍算がｒ^２回程度必要であるのみならず、ビット長が長い巡回群上での乗算、冪乗算、逆元演算においてもｒ^２回程度必要となり、ｒが大きくなるに連れて、送信者の演算負担が非常に大きくなるという問題があった。

そこで、本発明は、このような問題に鑑みてなされたもので、その目的は、暗号化時に必要となる計算量を削減可能な、新規かつ改良された鍵生成装置、暗号化装置、受信装置、鍵生成方法、暗号化方法、鍵処理方法およびプログラムを提供することにある。

上記課題を解決するために、本発明のある観点によれば、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置であって、前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを無作為に決定するパラメータ決定部と、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択部と、前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成部と、を備える鍵生成装置が提供される。

前記パラメータ決定部は、所定の桁数の素数ｐをパラメータとして決定し、前記双線形群選択部は、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択してもよい。

前記パラメータ決定部は、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定し、前記鍵生成部は、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ_ｉを算出してもよい。

前記鍵生成部は、前記秘密鍵として使用されず、前記公開情報として公開される擬似秘密鍵を算出する擬似秘密鍵算出部を更に備え、前記擬似秘密鍵算出部は、前記公開情報として公開されるｕ_０∈Ｚ_ｐ ^＊を選択するとともに、下記式２に基づいて、前記擬似秘密鍵ｄｋ_０を算出してもよい。

前記鍵生成部は、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１およびＷ＝γＧ∈Ｇを算出するとともに、下記式３に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式４に基づいて公開鍵ｅｋ_ｉを算出してもよい。

前記鍵生成部は、Ｗ＝γＧ∈Ｇを算出するとともに、下記式５に基づいて、公開鍵ｅｋ_ｉを算出してもよい。

上記課題を解決するために、本発明の別の観点によれば、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置であって、前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを無作為に決定するパラメータ決定部と、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択部と、前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成部と、を備え、前記パラメータ決定部は、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定し、前記双線形群選択部は、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択し、前記鍵生成部は、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ_ｉを算出し、下記式６に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式７に基づいて公開鍵ｅｋ_ｉを算出する鍵生成装置が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、平文を公開鍵および公開情報に基づいて暗号化して暗号文とする暗号化装置であって、複数の受信装置の中から前記暗号文の復号を許可しない排除受信装置を特定し、前記排除受信装置の集合を決定する排除受信装置特定部と、前記秘密鍵として使用されず前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵、前記公開鍵および前記公開情報と、前記排除受信装置の集合とに基づいて、前記平文を暗号化するためのセッション鍵を決定するセッション鍵決定部と、前記セッション鍵を算出する際に必要となる双線形写像演算を実行する双線形写像演算部と、前記平文を、前記セッション鍵を用いて暗号化する暗号化部と、を備え、前記双線形写像演算部は、少なくとも下記式８で定義される値Ｐ_ｒを演算結果として前記セッション鍵決定部に出力し、前記セッション鍵決定部は、前記双線形写像演算部から出力された前記演算結果と前記公開情報とに基づいてγＰ_ｒと等価である値を算出し、算出した前記γＰ_ｒ、前記公開情報、および、前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵に基づいて、セッション鍵を算出する、暗号化装置が提供される。

前記双線形写像演算部は、前記排除受信装置の集合の要素数ｒが２以上である場合に、前記式８に加えて、下記式９および式１０で定義される値を演算結果として前記セッション鍵決定部に出力してもよい。

前記セッション鍵決定部は、前記双線形写像演算部から出力された前記演算結果と前記公開情報とに基づいて、下記式１１で定義される値γＰ_ｒを算出し、前記γＰ_ｒ、前記公開情報、および、前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵に基づいて、セッション鍵を算出してもよい。

前記セッション鍵決定部は、前記双線形写像演算部から出力された前記演算結果と前記公開情報とに基づいて、下記式１２で定義される値γＰ_ｒを算出し、前記γＰ_ｒ、前記公開情報、および、前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵に基づいて、セッション鍵を算出してもよい。

前記セッション鍵決定部は、ｋ∈Ｚ_ｐ ^＊を選択するとともに、前記γＰ_ｒ、前記公開情報、および、前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵に基づいて、下記式１３で定義される値Ｋ’を算出し、セッション鍵Ｋ＝（Ｋ’）^ｋ∈Ｇ_１を算出してもよい。

前記セッション鍵決定部は、前記暗号文とともに送信されるヘッダｈｄｒを、下記式１４に基づいて算出してもよい。

前記暗号化装置は、前記暗号化装置自体が前記暗号化装置に固有の秘密鍵を保持しているか否かを判断して、セッション鍵の算出に使用する秘密鍵を特定する使用鍵特定部を更に備え、前記セッション鍵決定部は、前記暗号化装置が前記暗号化装置に固有の秘密鍵を保持している場合には、前記暗号化装置に固有の秘密鍵を用いて前記セッション鍵Ｋを算出し、前記暗号化装置が前記暗号化装置に固有の秘密鍵を保持していない場合には、前記公開情報に含まれる擬似秘密鍵を用いて前記セッション鍵Ｋを算出してもよい。

前記暗号化装置は、前記セッション鍵Ｋを算出する第２のセッション鍵算出方法を更に有するとともに、前記セッション鍵Ｋを算出するためのセッション鍵算出方法を選択するセッション鍵算出方法選択部を更に備え、前記セッション鍵算出方法選択部は、前記排除受信装置の集合の要素数ｒに応じて、前記セッション鍵決定部が使用する前記セッション鍵算出方法を選択してもよい。

前記暗号化装置は、前記双線形写像演算部による演算結果を利用して、前記暗号文の改ざん検知および正当性を前記受信装置で検証する際に利用される送信者認証用情報を生成する送信者認証用情報生成部を更に備えてもよい。

前記送信者認証用情報生成部は、前記公開鍵と、前記公開情報と、前記暗号化装置に固有の秘密鍵と、前記セッション鍵の算出に利用したパラメータおよび前記セッション鍵と、前記暗号文と、を用いて、前記送信者認証用情報を生成してもよい。

前記送信者認証用情報生成部は、任意のパラメータｔ∈Ｚ_ｐ ^＊を選択するとともに、前記公開情報と前記パラメータｔとを用いて、下記式１５に基づき前記送信者認証用情報の要素ｓｉｇ_ｊ，０を算出し、前記暗号文Ｃ、セッション鍵Ｋ、算出したｓｉｇ_ｊ，０、および、ハッシュ関数Ｈを用いて、下記式１６に基づきハッシュ値ｈを算出してもよい。

前記送信者認証用情報生成部は、下記式１７に基づいて前記暗号化装置の秘密情報ｙを算出するとともに、前記秘密情報ｙおよび前記暗号化装置に固有の秘密鍵を用いて、下記式１８に基づき前記送信者認証用情報の要素ｓｉｇ_ｊ，１を算出し、前記暗号化装置に固有の値ｕ_ｉと、前記ｓｉｇ_ｊ，０と、ｓｉｇ_ｊ，１とを用いて、（ｕ_ｉ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を前記送信者認証用情報としてもよい。

前記送信者認証用情報生成部は、下記式１９に基づいて前記暗号化装置の秘密情報ｙを算出するとともに、前記秘密情報ｙおよび前記暗号化装置に固有の秘密鍵を用いて、下記式２０に基づき前記送信者認証用情報の要素ｓｉｇ_ｊ，１を算出し、前記暗号化装置に固有の値ｕ_ｉと、前記ｓｉｇ_ｊ，０と、ｓｉｇ_ｊ，１とを用いて、（ｕ_ｉ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を前記送信者認証用情報としてもよい。

また、前記送信者認証用情報生成部は、下記式１９に基づいて前記暗号化装置の秘密情報ｙを算出するとともに、前記秘密情報ｙおよび前記暗号化装置に固有の秘密鍵を用いて、下記式２０に基づき前記送信者認証用情報の要素ｓｉｇ_ｊ，１を算出し、前記暗号化装置に固有の値ｕ_ｉと、算出した前記ｈおよびｓｉｇ_ｊ，１とを用いて、（ｕ_ｉ，ｈ，ｓｉｇ_ｊ，１）を前記送信者認証用情報としてもよい。

上記課題を解決するために、本発明の更に別の観点によれば、鍵生成装置および暗号化装置と通信可能である受信装置であって、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出するセッション鍵算出部と、前記セッション鍵を算出する際に必要となる双線形写像演算を実行する双線形写像演算部と、を備え、前記双線形写像演算部は、前記公開鍵および前記公開情報に基づいて下記式２１で定義される値Ｂ_ｉ，ｒを演算し、前記セッション鍵算出部は、下記式２２に基づいて、前記セッション鍵を算出する受信装置が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、鍵生成装置および暗号化装置と通信可能である受信装置であって、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出するセッション鍵算出部と、前記ヘッダと、前記暗号文と、前記暗号化装置から送信された送信者認証用情報と、算出した前記セッション鍵とを用いて、受信した情報の検証を行う受信内容検証部と、前記セッション鍵の算出および前記受信した情報の検証の際に必要となる双線形写像演算を実行する双線形写像演算部と、を受信装置が提供される。

前記受信内容検証部は、算出した前記セッション鍵と、前記暗号文と、前記送信者認証用情報とを用いて所定の値を算出し、算出した値が前記送信者認証用情報を構成する要素の一部に一致するか否かで検証を行ってもよい。

前記受信内容検証部は、排除された受信装置の数であるｒに応じて算出される値であるγＰ_ｒと、前記送信者認証用情報（ｕ_ｉ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）と、前記ヘッダと、を用いて下記式２３に基づきパラメータＣＨ_１を算出し、前記暗号文と、算出した前記セッション鍵Ｋと、前記送信者認証用情報の要素であるｓｉｇ_ｊ，０とを用いて下記式２４に基づきハッシュ値ｈ’を算出し、前記パラメータＣＨ_１と、前記セッション鍵Ｋと、前記ハッシュ値ｈ’とを用いて下記式２５に基づき検証用パラメータＣＨ_２を算出してもよい。

前記受信内容検証部は、排除された受信装置の数であるｒに応じて算出される値であるγＰ_ｒと、前記送信者認証用情報（ｕ_ｉ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）と、前記ヘッダと、を用いて下記式２３に基づきパラメータＣＨ_１を算出し、前記暗号文と、算出した前記セッション鍵Ｋと、前記送信者認証用情報の要素であるｓｉｇ_ｊ，０とを用いて下記式２４に基づきハッシュ値ｈ’を算出し、前記公開鍵および前記公開情報と、算出した前記γＰ_ｒとを用いて下記式２６に基づきパラメータＫ’を算出し、前記パラメータＣＨ_１と、前記パラメータＫ’と、前記ハッシュ値ｈ’と、を用いて、下記式２７に基づき検証用パラメータＣＨ_２を算出してもよい。

前記受信内容検証部は、排除された受信装置の数であるｒに応じて算出される値であるγＰ_ｒと、前記送信者認証用情報（ｕ_ｊ，ｈ，ｓｉｇ_ｊ，１）と、前記ヘッダと、を用いて下記式２３に基づきパラメータＣＨ_１を算出し、前記公開鍵および前記公開情報と、算出した前記γＰ_ｒと、前記受信装置に固有の秘密鍵とを用いて下記式２８に基づきパラメータＫ’を算出し、前記パラメータＣＨ_１と、前記パラメータＫ’と、前記送信者認証用情報の要素であるｈとを用いて下記式２９に基づき検証用パラメータＣＨ_２を算出し、前記暗号文と、算出した前記セッション鍵Ｋと、算出した前記検証用パラメータＣＨ_２とを用いて下記式３０に基づきハッシュ値ｈ’を算出してもよい。

前記受信内容検証部は、前記検証用パラメータＣＨ_２が前記送信者認証用情報の要素ｓｉｇ_ｊ，０と一致する場合には、検証が成功したと判定し、前記検証用パラメータＣＨ_２が前記送信者認証用情報の要素ｓｉｇ_ｊ，０と一致しない場合には、検証が失敗したと判定してもよい。

前記受信内容検証部は、前記ハッシュ値ｈ’が前記送信者認証用情報の要素ｈと一致する場合には、検証が成功したと判定し、前記ハッシュ値ｈ’が前記送信者認証用情報の要素ｈと一致しない場合には、検証が失敗したと判定してもよい。

前記受信装置は、算出した前記セッション鍵を用いて前記暗号文を復号する復号部を更に備え、前記復号部は、前記受信内容検証部の検証結果に応じて前記暗号文の復号処理を行ってもよい。

前記復号部は、前記秘密鍵として使用されず前記公開情報として公開される擬似秘密鍵を用いて前記送信者認証用情報が生成されていた場合には、前記暗号文の復号処理を行わないようにしてもよい。

上記課題を解決するために、本発明の更に別の観点によれば、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成方法であって、前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを無作為に決定するパラメータ決定ステップと、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択ステップと、前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成ステップと、を含む鍵生成方法が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成方法であって、前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを無作為に決定するとともに、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択するステップと、前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成ステップと、を含み、前記パラメータの決定および前記複数の双線形群と双線形写像とを選択するステップでは、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定するとともに、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択し、前記鍵生成ステップでは、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ_ｉを算出し、下記式６に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式７に基づいて公開鍵ｅｋ_ｉを算出する鍵生成方法が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、平文を公開鍵および公開情報に基づいて暗号化して暗号文とする暗号化方法であって、複数の受信装置の中から前記暗号文の復号を許可しない排除受信装置を特定し、前記排除受信装置の集合を決定する排除受信装置特定ステップと、前記平文を暗号化するためのセッション鍵を算出する際に必要となる双線形写像演算を実行し、少なくとも下記式８で定義される値Ｐ_ｒを演算結果として出力する双線形写像演算ステップと、前記秘密鍵として使用されず前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵、前記公開鍵および前記公開情報と、前記排除受信装置の集合と、前記演算結果とに基づいて、前記平文を暗号化するためのセッション鍵を決定するセッション鍵決定ステップと、前記平文を、前記セッション鍵を用いて暗号化する暗号化ステップと、を含む暗号化方法が提供される。

前記双線形写像演算ステップでは、前記排除受信装置の集合の要素数ｒが２以上である場合に、前記式８に加えて、下記式９および式１０で定義される値を演算結果として出力してもよい。

前記双線形写像演算ステップでの演算結果を利用して、前記暗号文の改ざん検知および正当性を前記受信装置で検証する際に利用される送信者認証用情報を生成する送信者認証用情報生成ステップを更に含んでもよい。

上記課題を解決するために、本発明の更に別の観点によれば、鍵生成装置および暗号化装置と通信可能である受信装置が実行する鍵処理方法であって、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出する際に必要となる双線形写像演算を実行し、下記式２１で定義される値Ｂ_ｉ，ｒを出力する双線形写像演算ステップと、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、下記式２２を用いて前記セッション鍵を算出するセッション鍵算出ステップと、を含む鍵処理方法が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、鍵生成装置および暗号化装置と通信可能である受信装置が実行する鍵処理方法であって、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出する際に必要となる双線形写像演算を実行する双線形写像演算ステップと、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出するセッション鍵算出ステップと、前記ヘッダと、前記暗号文と、前記暗号化装置から送信された送信者認証用情報と、算出した前記セッション鍵とを用いて、受信した情報の検証を行う受信内容検証ステップと、を含む鍵処理方法が提供される。

上記課題を解決するために、本発明の更に別の観点によれば、コンピュータを、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置として機能させるためのプログラムであって、前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを無作為に決定するパラメータ決定機能と、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択機能と、前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成機能と、をコンピュータに実現させるためのプログラムが提供される。

上記課題を解決するために、本発明の更に別の観点によれば、コンピュータを、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置として機能させるためのプログラムであって、前記秘密鍵および前記公開鍵の生成に要する、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定するパラメータ決定機能と、前記所定の桁数の素数ｐに基づいて、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択する双線形群選択機能と、前記パラメータおよび前記複数の双線形群に基づいて、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１で定義される値を演算結果として出力し前記秘密鍵ｄｋ_ｉとし、下記式６で定義される値を演算結果として出力し前記受信装置に固有の公開情報Ｖ_ｉとし、下記式７で定義される値を演算結果として出力し公開鍵ｅｋ_ｉとする鍵生成機能と、をコンピュータに実現させるためのプログラムが提供される。

かかる構成によれば、コンピュータプログラムは、コンピュータが備える記憶部に格納され、コンピュータが備えるＣＰＵに読み込まれて実行されることにより、そのコンピュータを上記の鍵生成装置として機能させる。また、コンピュータプログラムが記録された、コンピュータで読み取り可能な記録媒体も提供することができる。記録媒体は、例えば、磁気ディスク、光ディスク、光磁気ディスク、フラッシュメモリなどである。また、上記のコンピュータプログラムは、記録媒体を用いずに、例えばネットワークを介して配信してもよい。

上記課題を解決するために、本発明の更に別の観点によれば、コンピュータを、コンピュータを、平文を公開鍵および公開情報に基づいて暗号化して暗号文とする暗号化装置として機能させるためのプログラムであって、複数の受信装置の中から前記暗号文の送信を行わない排除受信装置を特定し、前記排除受信装置の集合を決定する排除受信装置特定機能と、前記秘密鍵として使用されず前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵、前記公開鍵および前記公開情報と、前記排除受信装置の集合とに基づいて、前記平文を暗号化するためのセッション鍵を決定するセッション鍵決定機能と、前記秘密鍵として使用されず前記公開情報として公開される擬似秘密鍵もしくは前記暗号化装置に固有の秘密鍵、前記公開鍵および前記公開情報と、前記排除受信装置の集合とに基づいて前記セッション鍵を算出する際に必要となる双線形写像演算を実行し、少なくとも下記式８で定義される値Ｐ_ｒを演算結果として出力する双線形写像演算機能と、前記平文を、前記セッション鍵を用いて暗号化する暗号化機能と、をコンピュータに実現させるためのプログラムが提供される。

かかる構成によれば、コンピュータプログラムは、コンピュータが備える記憶部に格納され、コンピュータが備えるＣＰＵに読み込まれて実行されることにより、そのコンピュータを上記の暗号化装置として機能させる。また、コンピュータプログラムが記録された、コンピュータで読み取り可能な記録媒体も提供することができる。記録媒体は、例えば、磁気ディスク、光ディスク、光磁気ディスク、フラッシュメモリなどである。また、上記のコンピュータプログラムは、記録媒体を用いずに、例えばネットワークを介して配信してもよい。

上記課題を解決するために、本発明の更に別の観点によれば、コンピュータを、鍵生成装置および暗号化装置と通信可能である受信装置として機能させるためのプログラムであって、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出する際に必要となる双線形写像演算を実行し、下記式２１で定義される値Ｂ_ｉ，ｒを出力する双線形写像演算機能と、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、下記式２２を用いて前記セッション鍵を算出するセッション鍵算出機能と、をコンピュータに実現させるためのプログラムが提供される。

上記課題を解決するために、本発明の更に別の観点によれば、コンピュータを、鍵生成装置および暗号化装置と通信可能である受信装置として機能させるためのプログラムであって、前記鍵生成装置によって生成された前記受信装置に固有の秘密鍵と、公開鍵および公開情報と、前記暗号化装置から送信されたヘッダと、に基づいて、前記暗号化装置から送信された暗号文を復号するためのセッション鍵を算出するセッション鍵算出機能と、前記ヘッダと、前記暗号文と、前記暗号化装置から送信された送信者認証用情報と、算出した前記セッション鍵とを用いて、受信した情報の検証を行う受信内容検証機能と、前記セッション鍵の算出および前記受信した情報の検証の際に必要となる双線形写像演算を実行する双線形写像演算機能と、をコンピュータに実現させるためのプログラムが提供される。

かかる構成によれば、コンピュータプログラムは、コンピュータが備える記憶部に格納され、コンピュータが備えるＣＰＵに読み込まれて実行されることにより、そのコンピュータを上記の受信装置として機能させる。また、コンピュータプログラムが記録された、コンピュータで読み取り可能な記録媒体も提供することができる。記録媒体は、例えば、磁気ディスク、光ディスク、光磁気ディスク、フラッシュメモリなどである。また、上記のコンピュータプログラムは、記録媒体を用いずに、例えばネットワークを介して配信してもよい。

本発明によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

以下に添付図面を参照しながら、本発明の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

（第１の実施形態）
＜暗号鍵配信システムについて＞
以下に、本発明の第１の実施形態に係る暗号鍵配信システムについて、詳細に説明する。

図１は、本実施形態に係る暗号鍵配信システム１０を示した説明図である。暗号鍵配信システム１０は、例えば、通信網１２と、鍵生成装置２０と、暗号化装置３０と、受信装置４０Ａと、受信装置４０Ｂと、を含む。

通信網１２は、鍵生成装置２０、暗号化装置３０および受信装置４０を双方向通信又は一方向通信可能に接続する通信回線網である。この通信網は、例えば、インターネット、電話回線網、衛星通信網、同報通信路等の公衆回線網や、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）、ワイヤレスＬＡＮ等の専用回線網などで構成されており、有線／無線を問わない。

鍵生成装置２０は、公開鍵と、複数の受信装置それぞれに固有の秘密鍵とを生成し、公開鍵を公開するとともに、各受信装置に対して、安全な通信路を介して、それぞれの秘密鍵を配信する。なお、この鍵生成装置２０は、公開鍵および秘密鍵の生成・管理を行うセンタが所有する。

暗号化装置３０は、鍵生成装置２０によって生成および公開された公開鍵を用いて、任意のコンテンツを暗号化し、通信網１２を介して、各受信装置に配信する。この暗号化装置３０は、任意の第三者が所有することが可能であり、また、鍵生成装置２０の所有者や、受信装置４０の所有者が所有することも可能である。

受信装置４０は、暗号化装置３０から配信された暗号化されたコンテンツを、固有の秘密鍵によって復号化して利用することが可能である。なお、受信装置４０Ａと受信装置４０Ｂとは、通信網１２または有線を介して互いに接続可能である。なお、この受信装置４０は、各契約者によって所有されるものである。

なお、受信装置４０は、パーソナルコンピュータ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ：ＰＣ）等のコンピュータ装置（ノート型、デスクトップ型を問わない。）例に限定されず、ネットワークを介した通信機能を有する機器であれば、例えばＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、家庭用ゲーム機、ＤＶＤ／ＨＤＤレコーダ、Ｂｌｕ−ｒａｙレコーダ、テレビジョン受像器等の情報家電、テレビジョン放送用のチューナやデコーダなどで構成することもできる。また、受信装置４０は、契約者が持ち運びできるポータブルデバイス（Ｐｏｒｔａｂａｌｅ Ｄｅｖｉｃｅ）、例えば、携帯型ゲーム機、携帯電話、携帯型映像／音声プレーヤ、ＰＤＡ、ＰＨＳなどであってもよい。

＜鍵生成装置２０のハードウェア構成について＞
次に、本実施形態に係る鍵生成装置２０のハードウェア構成について、図２を参照しながら簡単に説明する。

図２は、鍵生成装置２０のハードウェア構成を示したブロック図である。鍵生成装置２０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０３と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０５と、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）２０７と、暗号処理部２０９と、メモリ（セキュアモジュール）２１１と、を主に備える。

ＣＰＵ２０１は、演算処理装置および制御装置として機能し、ＲＯＭ２０３、ＲＡＭ２０５、ＨＤＤ２０７、またはリムーバブル記録媒体１４等に記録された各種プログラムに従って鍵生成装置２０内の動作全般を制御する。ＲＯＭ２０３は、ＣＰＵ２０１が使用するプログラムや演算パラメータ等を記憶する。ＲＡＭ２０５は、ＣＰＵ２０１の実行において使用するプログラムや、このプログラムの実行において適宜変化するパラメータ等を、一次記憶する。

ＨＤＤ２０７は、本実施形態に係る鍵生成装置２０の記憶部の一例として構成されたデータ格納用の装置である。このＨＤＤ２０７は、ハードディスクを駆動し、ＣＰＵ２０１が実行するプログラムや各種データを格納する。暗号処理部２０９は、本実施形態に係る鍵生成装置２０がＣＰＵ２０１の制御のもとで実行する各種の暗号処理を実行する。メモリ（セキュアモジュール）２１１は、主に、個人秘密鍵や、センタ秘密である乱数等の秘匿が必要な情報を安全に格納するが、このメモリ２１１の内部に格納された情報は、外部から参照することができないという特徴がある。また、メモリ（セキュアモジュール）２１１は、例えば、耐タンパ性を有する記憶装置により構成されていてもよい。なお、セキュアモジュールはメモリである旨の記載をしているが、本発明に係るセキュアモジュールは、メモリに限定されるわけではなく、例えば、磁気ディスク、光ディスク、光磁気ディスクであってもよく、また、半導体メモリ等の記憶媒体であってもよい。

上記のＣＰＵ２０１、ＲＯＭ２０３、ＲＡＭ２０５、ＨＤＤ２０７、暗号処理部２０９、および、メモリ２１１は、ＣＰＵバス等から構成されるバス２１３により、相互に接続されている。

バス２１３は、ブリッジを介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バスなどの入出力インターフェース２１５に接続されている。

入力装置２１７は、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチおよびレバー等のユーザが操作する操作手段と、使用者による操作に基づいて入力信号を生成し、ＣＰＵ２０１に出力する入力制御回路等から構成されている。鍵生成装置２０の使用者は、この入力部２１７を操作することにより、鍵生成装置２０に対して各種のデータを入力したり処理動作を指示したりすることができる。

出力装置２１９は、例えば、ＣＲＴディスプレイ装置、液晶ディスプレイ装置、プラズマディスプレイ装置、ＥＬディスプレイ装置およびランプ等の表示装置と、スピーカおよびヘッドホン等の音声出力装置等で構成される。出力部２１９は、例えば、再生されたコンテンツを出力することが可能である。具体的には、表示装置は、再生された映像データ等の各種情報を、テキストまたはイメージで表示する。一方、音声出力装置は、再生された音楽データ等を音声に変換して出力する。

通信装置２２１は、例えば、通信網１２に接続するための通信デバイス等で構成された通信インターフェースである。この通信装置２２１は、例えば暗号化装置３０や受信装置４０Ａ、４０Ｂとの間で、通信網１２を介して、暗号鍵に関する情報や、コンテンツ情報等といった、各種データを送受信する。

ドライブ２２３は、記憶媒体用リーダライタであり、鍵生成装置２０に内蔵、あるいは外付けされる。ドライブ２２３は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記録媒体１４に記録されている情報を読み出して、ＲＡＭ２０５に出力する。また、ドライブ２２３は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記録媒体１４に記録を書き込むことも可能である。リムーバブル記録媒体１４は、例えば、ＤＶＤメディア、ＨＤ−ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、コンパクトフラッシュ（登録商標）（ＣｏｍｐａｃｔＦｌａｓｈ：ＣＦ）、メモリースティック、または、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）等である。また、リムーバブル記録媒体９２７は、例えば、非接触型ＩＣチップを搭載したＩＣカード（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ ｃａｒｄ）または電子機器等であってもよい。

なお、暗号化装置３０および受信装置４０のハードウェア構成は、鍵生成装置２０のハードウェア構成と実質的に同一であるので、説明を省略する。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能を実現可能なハードウェア構成の一例を示した。上記の各構成要素は、汎用的な部材を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用するハードウェア構成を変更することが可能である。また、上記のハードウェア構成は、あくまでも一例であり、これに限定されるものでないことは言うまでもない。例えば、ＨＤＤ２０７とメモリ（セキュアモジュール）２１１とを同一の記憶装置により構成してもよい。また、利用形態によっては、バス２１３、または入出力インターフェース２１５等を省略する構成も可能である。以下、上記のようなハードウェア構成により実現される暗号鍵生成方式について詳述する。

［基盤技術に関する説明］
まず、本発明に係る好適な実施形態について詳細なる説明をするに先立ち、本実施形態を実現する上で基盤を成す技術的事項について述べる。なお、本実施形態は、以下に記載する基盤技術の上に改良を加えることにより、より顕著な効果を得ることができるように構成されたものである。従って、その改良に係る技術こそが本実施形態の特徴を成す部分である。つまり、本実施形態は、ここで述べる技術的事項の基礎概念を踏襲するが、その本質はむしろ改良部分に集約されており、その構成が明確に相違すると共に、その効果において基盤技術とは一線を画するものであることに注意されたい。

まず、従来方式および本発明の実施形態に係る方式を説明する前に、これらを説明する上で必要となる記号、双線形写像、および双線形写像群について説明する。

＜記号の定義＞
従来方式および本発明の実施形態に係る方式を説明する上で使用する各記号を、以下のように定義する。

ｕ_ｉ ：ユーザｉに固有の番号
ｎ ：ユーザの総数
ｒ ：排除されたユーザ（ｒｅｖｏｋｅｄ ｕｓｅｒｓ）の総数
Ｒ ：排除されたユーザの集合。Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝
Ｍ ：コンテンツ等の平文
Ｋ ：配信毎に変更される一時的な鍵（セッション鍵）
Ｃ ：平文Ｍをセッション鍵Ｋで暗号化したときの暗号文
Ｅ_Ｋ（Ｍ） ：鍵Ｋによる平文Ｍの暗号化演算。Ｃ＝Ｅ_Ｋ（Ｍ）
Ｄ_Ｋ（Ｃ） ：鍵Ｋによる暗号文Ｃの復号演算。Ｍ＝Ｄ_Ｋ（Ｃ）
Ｈ（Ｍ） ：平文Ｍのハッシュ演算

＜双線形群における双線形写像＞
続いて、双線形群上の双線形写像に関して説明する。Ｇ、Ｇ’、Ｇ_１を、それぞれ素数ｐを位数とする巡回群とする。双線形写像ｅとは、任意のＧ∈Ｇ、Ｈ∈Ｇ’およびａ，ｂ∈Ｚｐに対して、以下２つの性質を満たす、ｅ：Ｇ×Ｇ’→Ｇ_１を実現する写像のことをいう。

１．双線形性：ｅ（ａＧ，ｂＨ）＝ｅ（Ｇ，Ｈ）^ａｂ
２．非退化性：ｅ（Ｇ，Ｈ）≠１（Ｇ≠１、または、Ｈ≠１の場合）

また、Ｇ、Ｇ’における群演算が効率的に計算可能であり、かつ、双線形写像ｅが効率的に計算可能である群Ｇ_１が存在する場合、Ｇ、Ｇ’を双線形写像群という。なお、Ｇ、Ｇ’は同一の群であってもよく、以降簡単のためにＧとＧ’を同一の群として扱うものとするが、以下で説明する従来方式および本発明に係る方式のいずれにおいても、Ｇ∈Ｇ、Ｈ∈Ｇ’とし、これらに関連する部分を変更することによって、Ｇ、Ｇ’が異なる群である場合にも、各方式において同様のことが実現可能である。

＜従来方式に関する説明＞
非特許文献１に開示されている従来方式は、Ｓｅｔｕｐ、Ｊｏｉｎ、Ｅｎｃｒｙｐｔｉｏｎ、Ｄｅｃｒｙｐｔｉｏｎという４つの基本処理から構成される。以下、各基本処理について、図３〜図８を参照しながら、詳細に説明する。

（Ｓｅｔｕｐ処理）
Ｓｅｔｕｐ処理は、鍵生成装置を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ処理を実行する。以下に、図３を参照しながら、本発明の基盤技術である従来方式における鍵生成処理について、詳細に説明する。図３は、本発明の基盤技術である従来方式における鍵生成処理について説明するための流れ図である。

まず、鍵生成装置は、λ−ｂｉｔの素数ｐを生成し、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ１１）。

続いて、鍵生成装置は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ１２）。

次に、鍵生成装置は、Ｇ，Ｈ∈Ｇを選択して、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１を計算する（ステップＳ１３）。

その後、鍵生成装置は、γ∈_ＲＺ_ｐ ^＊を選択し、Ｗ＝γＧ∈Ｇを計算する（ステップＳ１４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

次に、鍵生成装置は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ１５）。

ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ，Ｖ｝ ・・・（式９０１）

鍵生成装置は、Ｓｅｔｕｐ処理の実行によって得られた初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

（Ｊｏｉｎ処理）
Ｊｏｉｎ処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置に入力し、以下に説明するＪｏｉｎ処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。以下に、図４を参照しながら、本発明の基盤技術である従来方式におけるユーザ登録処理について、詳細に説明する。図４は、本発明の基盤技術である従来方式におけるユーザ登録処理について説明するための流れ図である。

まず、鍵生成装置は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊を計算する（ステップＳ２１）。その後、以下の式９０２に示す計算を行うことにより、センタは、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ２２）。

ここで、上記式９０２におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

次に、鍵生成装置は、ユーザｉに対応する公開情報を以下の式９０３のようにして計算し、ｄｋ_ｉおよび（ｕ_ｉ，Ｖ_ｉ）を得る（ステップＳ２３）。

鍵生成装置は、Ｊｏｉｎ処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ，Ｖ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式９０４のような構成となっている。

（Ｅｎｃｒｙｐｔｉｏｎ処理）
Ｅｎｃｒｙｐｔｉｏｎ処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を暗号化装置に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。以下に、図５を参照しながら、本発明の基盤技術である従来方式における暗号化処理について、詳細に説明する。図５は、本発明の基盤技術である従来方式における暗号化処理について説明するための流れ図である。

暗号化装置は、まず、Ｒの要素数をカウントして、カウント結果をｒとする（ステップＳ３１）。次に、送信者は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ３２）。

続いて、暗号化装置は、排除されたユーザの数ｒについて、判定を行う（ステップＳ３３）。ｒ＝０の場合（すなわち、排除されたユーザが誰もいない場合）には、暗号化装置は、後述するステップＳ３４を実行する。また、ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ３５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ３６を実行する。

排除されたユーザが誰もいない場合には、暗号化装置は、以下の式９０５および式９０６に基づいて、Ｐ_ｒおよびＫ’を決定し（ステップＳ３４）、その後ステップＳ３８を実行する。

また、排除されたユーザが一人である場合には、暗号化装置は、以下の式９０７および式９０８に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ３５）、その後ステップＳ３８を実行する。

また、排除されたユーザが２人以上である場合には、暗号化装置は、Ｇ上の演算に対して双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）を行い、以下の式９０９に示した値を計算する（ステップＳ３６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムについては、以下で改めて詳細に説明する。

続いて、暗号化装置は、Ｇ_１上の演算に対して双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）を行い、以下の式９１０に示した値を計算する（ステップＳ３７）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、暗号化装置は、ヘッダｈｄｒを、以下の式９１１のようにして計算する（ステップＳ３８）。

次に、暗号化装置は、セッション鍵Ｋを以下の式９１２に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する。

暗号化装置は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成した後、（ｈｄｒ，Ｃ）を同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ処理で実行する構成としてもよい。また、ステップＳ３１は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ処理を実行する暗号化装置に入力する形態をとってもよい。

（双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）
続いて、図６を参照しながら、Ｅｎｃｒｙｐｔｉｏｎ処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムについて、詳細に説明する。図６は、本発明の基盤技術に係る双線形群の演算処理を説明するための流れ図である。

Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムは、暗号化装置が（Ｐ_１，・・・Ｐ_ｒ）∈Ｇを算出する際に実行するアルゴリズムである。

まず、暗号化装置は、Ｐ_０，ｍ＝Ｖ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、ｊ＝１と設定する（ステップＳ４１）。続いて、暗号化装置は、ｌ＝ｊ＋１と設定する（ステップＳ４２）。

ここで、暗号化装置は、ｕ_Ｒｊとｕ_Ｒｌとの比較を行い、ｕ_Ｒｊ＝ｕ_Ｒｌであれば、エラーメッセージを出力し（ステップＳ４４）、処理を終了する。ｕ_Ｒｊ＝ｕ_Ｒｌでなければ、以下に示すステップＳ４５を実行する。

続いて、暗号化装置は、以下の式９１３を用いて、Ｐ_ｊ，ｌを計算する（ステップＳ４５）。

上記式９１３の計算が終了すると、暗号化装置は、ｌにｌ＋１を代入し（ステップＳ４６）、ｌとｒ＋１の比較を行う（ステップＳ４７）。ｌ＝ｒ＋１であれば、暗号化装置は、ステップＳ４８を実行し、ｌがｒ＋１と等しくなければ、暗号化装置は、ステップＳ４３に戻って処理を続行する。

次に、暗号化装置は、ｊにｊ＋１を代入し（ステップＳ４８）、ｊとｒの比較を行う（ステップＳ４９）。ｊ＝ｒであれば、暗号化装置は、ステップＳ５０を実行し、ｊがｒと等しくなければ、暗号化装置は、ステップＳ４２に戻って処理を続行する。

その後、暗号化装置は、Ｐ_{ｊ−１，ｌ}をＰ_ｒとして出力する（ステップＳ５０）。

例えば、ｒ＝３の場合には、暗号化装置は、上述のＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行することで、Ｐ_２，３をＰ_３として出力する。

なお、Ｋ’∈Ｇ_１も、上述のＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムによって算出することが可能である。この場合、Ｐ_０，ｍ＝Ｖ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、加（減）算を乗（除）算に、乗算を冪乗算に変更した上で、ステップＳ４５をＧ_１上での演算として実行すればよい。ただし、Ｚ_ｐ ^＊上の演算である１／（ｕ_Ｒ１−ｕ_Ｒｊ）は、いずれの場合においてもＺ_ｐ ^＊上での減算及び逆元演算として計算する必要がある。

（Ｄｅｃｒｙｐｔｉｏｎ処理）
Ｄｅｃｒｙｐｔｉｏｎ処理は、コンテンツ等の配信を受けた受信者が暗号文を復号して平文を取得する際に、受信装置によって実行される処理である。

受信装置は、送信者により送信されたｈｄｒと、秘密鍵ｄｋ_ｉと、自身に固有の値であるｕ_ｉと、に基づいて、以下に説明するＤｅｃｒｙｐｔｉｏｎ処理を実行することで、配信されたコンテンツ等の暗号文に復号処理を行う。以下に、図７を参照しながら、本発明の基盤技術である従来方式における復号処理について、詳細に説明する。図７は、本発明の基盤技術である従来方式における復号処理について説明するための流れ図である。

まず、受信装置は、送信者から配信されたｈｄｒの中に、自身に固有の値であるｕ_ｉが存在するか否かを判断する（ステップＳ５１）。ｈｄｒの中に自身に固有の値であるｕ_ｉが存在する場合には、送信者により受信者が排除されたことを意味するため、受信装置は、エラーメッセージを出力し（ステップＳ５２）、処理を終了する。また、ｈｄｒの中に自身に固有の値であるｕ_ｉが存在しない場合には、受信装置は、以下のステップＳ５３を実行する。

次に、受信装置は、ｒが０か否かを判定する（ステップＳ５３）。ｒ＝０の場合には、受信装置は、後述するステップＳ５４を実行する。また、ｒが０ではない場合には、受信装置は、後述するステップＳ５５を実行する。

ここで、ｒ＝０の場合には、受信装置は、Ｂ_ｉ，Ｒ＝Ｂ_ｉと設定し、後述するステップＳ５６を実施する。

また、ｒが０ではない場合には、受信装置は、双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム）を行い、以下の式９１４に示した値を計算する（ステップＳ５５）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについては、以下で改めて詳細に説明する。

ステップＳ５４またはステップＳ５５が終了すると、受信装置は、取得したＢ_ｉ，Ｒを用いて、以下の式９１５によりセッション鍵Ｋを算出する（ステップＳ５６）。

受信者は、上述のＤｅｃｒｙｐｔｉｏｎ処理により得られたセッション鍵Ｋを利用して、送信者から送信されたコンテンツ等の暗号文Ｃを復号し、平文Ｍ＝Ｄ_Ｋ（Ｃ）を取得する。

（双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム）
続いて、図８を参照しながら、Ｄｅｃｒｙｐｔｉｏｎ処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについて、詳細に説明する。図８は、本発明の基盤技術に係る双線形群の演算処理を説明するための流れ図である。

Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムは、受信装置がＢ_ｉ，Ｒ∈Ｇを算出する際に実行するアルゴリズムである。

まず、受信装置は、パラメータｔｍｐを設定し、ｔｍｐの初期値をＢ_ｉとし（ステップＳ６１）、続いて、受信装置は、ｊ＝１と設定する（ステップＳ６２）。

次に、受信装置は、ｕ_Ｒｊとｕ_ｉとの比較を行い、ｕ_Ｒｊ＝ｕ_ｉであれば、エラーメッセージを出力し（ステップＳ６４）、処理を終了する。ｕ_Ｒｊ＝ｕ_ｉでなければ、以下に示すステップＳ６５を実行する。

続いて、受信装置は、以下の式９１６を用いて、新たなｔｍｐの値を計算する（ステップＳ６８）。

ここで、上記式９１６から明らかなように、式中の分母に、受信装置に固有の値であるｕ_ｉが含まれているため、暗号化装置から送信されたｈｄｒに自身のｕ_ｉが含まれている場合には、ｔｍｐが値を持たなくなる。これにより、排除されたユーザは、セッション鍵Ｋの算出に必要なＢ_ｉ，Ｒを得ることが出来なくなるため、暗号文を復号化することができない。

上記の演算が終了すると、受信装置は、ｊの値をｊ＋１とし（ステップＳ６６）、次いで、ｊとｒ＋１の比較を行う（ステップＳ６７）。ｊ＝ｒ＋１であれば、受信装置は、後述するステップＳ６８を実行する。また、ｊがｒ＋１と等しくない場合には、受信装置は、ステップＳ６３に戻って処理を続行する。

次に、受信装置は、ｔｍｐを出力する（ステップＳ６８）。出力されたｔｍｐは、Ｂ_ｉ，Ｒであり、受信装置は、かかる出力値を用いてセッション鍵Ｋを算出する。

＜従来方式の問題点＞
上記説明のように、従来方式では、暗号化時にＧ上及びＧ_１上の両方においてＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する必要がある。ここで、暗号化時に送信者が実行する必要がある計算量を、図９に示す。なお、図中の「Ｐａｉｒｉｎｇ」とは、双線形写像ｅによる演算を表し、∈ＧにおけるＡｄｄおよびＭｕｌは、それぞれ楕円曲線上の点の加算及びスカラー倍算を表すものとする。また、表中の∈Ｇ、∈Ｇ_１および∈Ｚ_ｐ ^＊は各々その群上における演算を表すものとする。

図９（ａ）からも明らかなように、Ｇ上におけるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行することにより、Ｇ上における演算、すなわち楕円曲線上の加算および乗算が各々ｒ^２回程度必要となる。さらに、Ｋ’を導出するためにＧ_１上におけるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムをも実行する必要があるため、Ｇ_１上における各演算、すなわち、ビットサイズが大きい群における乗算、冪乗算、逆元演算も各々ｒ^２回程度必要となる。

特に、Ｇ_１上での演算は、安全性を確保するために８０−ｂｉｔ等価安全性を確保する場合には１０２４−ｂｉｔ、１２８−ｂｉｔ等価安全性を確保する場合には３０７２−ｂｉｔ程度という、大きなビットサイズでの演算となるため、暗号化時には最も計算時間が多くなる部分であり、Ｇ_１上での演算回数が多いという問題点があった。

そこで、本願発明者らは、上記の問題点を解決すべく鋭意研究を行い、以下に説明するような、本発明の一実施形態に係る暗号鍵配信システムを開発した。本実施形態に係る暗号鍵配信システムでは、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

［本実施形態に係る説明］
これまで説明したような基盤技術を踏まえながら、以下において、本発明の第１の実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０について、詳細に説明する。

本実施形態に係る暗号鍵配信システム１０では、秘密鍵ｄｋ_ｊを保持しているｅｎｔｉｔｙ、すなわち、ユーザｊが暗号化時に必要となる計算量を、従来方式におけるＥｎｃｒｙｐｔｉｏｎ処理およびＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを、後述するＥｎｃｒｙｐｔｉｏｎ’処理およびＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムへと変更することによって、暗号化時に必要となる計算量の削減を達成するものである。よってこれら以外の基本処理であるＳｅｔｕｐ処理、Ｊｏｉｎ処理、Ｄｅｃｒｙｐｔｉｏｎ処理、および、Ｄｅｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムに関しては、従来方式と同一のものを使用する。

＜本実施形態に係る鍵生成装置２０について＞
まず、図１０を参照しながら、本実施形態に係る鍵生成装置２０について、詳細に説明する。図１０は、本実施形態に係る鍵生成装置２０の構成について説明するためのブロック図である。

本実施形態に係る鍵生成装置２０は、例えば図１０に示したように、パラメータ決定部２５１と、双線形群選択部２５３と、鍵生成部２５５と、配布部２６１と、記憶部２６７と、を主に備える。

パラメータ決定部２５１は、本実施形態に係る鍵生成装置２０が公開鍵や秘密鍵等を生成するために用いる様々なパラメータを所定の方法に基づいて決定する。かかるパラメータの例として、例えば、Ｓｅｔｕｐ処理等で用いられる素数ｐやＧ、Ｈ、Ｖ、γ等を挙げることができる。パラメータ決定部２５１は、例えば素数ｐやＧ、Ｈ、γを決定する際に、例えば乱数等を利用して無作為に値を決定する。また、パラメータ決定部２５１は、後述する双線形群選択部２５３から伝送された各種双線形群や双線形写像ｅを利用して、パラメータを決定してもよい。パラメータ決定部２５１は、決定した各種パラメータを、後述する双線形群選択部２５３や鍵生成部２５５に伝送する。また、パラメータ決定部２５１は、決定した各種パラメータを、後述する記憶部２６７に記録してもよい。

双線形群選択部２５３は、パラメータ決定部２５１から伝送されたパラメータである素数ｐを用いて、ｐを位数とする双線形写像群Ｇと、巡回乗法群Ｇ_１を選択する。また、双線形群選択部２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する。双線形群選択部２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、パラメータ決定部２５１および後述する鍵生成部２５５に伝送する。また、双線形群選択部２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、後述する記憶部２６７に記録してもよい。

鍵生成部２５５は、パラメータ決定部２５１および双線形群選択部２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵、マスター鍵等の鍵や、各ユーザに対応する公開情報等を生成する。生成された鍵や公開情報は、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。また、公開が必要な情報および配布する鍵類は、後述する配布部２６１へと伝送される。

配布部２６１は、鍵生成装置２０が生成した公開鍵および秘密鍵と、公開が必要な情報とを、通信網１２を介して配布する。かかる配布部２６１は、送受信部２６３と、公開鍵配布部２６５と、を更に備える。

送受信部２６３は、鍵生成部２５５が生成した秘密鍵を、安全な通信路を介して個々のユーザに送信するとともに、受信装置４０から伝送されたシステム加入要求を受信する。受信されたシステム加入要求は鍵生成部２５５へと伝送され、鍵生成部２５５により新たな秘密鍵や公開鍵が生成される。

公開鍵配布部２６５は、鍵生成部２５５が生成した公開鍵や公開情報を、通信網１２を介して暗号化装置３０や受信装置４０に配布する。暗号化装置３０や受信装置４０は、かかる公開鍵や公開情報を利用して、平文の暗号化処理や暗号文の復号処理を実行する。

記憶部２６７には、パラメータ決定部２５１が決定した各種パラメータや、双線形群選択部２５３が選択した双線形群や双線形写像が記録される。また、記憶部２６７には、鍵生成部２５５が生成した各種鍵や公開情報が、秘密保持される。更に、これらの各種データ以外にも、鍵生成装置２０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部２６７は、パラメータ決定部２５１、双線形群選択部２５３、鍵生成部２５５、配布部２６１等が、自由に読み書きを行うことが可能である。

＜本実施形態に係る暗号化装置３０について＞
続いて、図１１を参照しながら、本実施形態に係る暗号化装置３０について、詳細に説明する。図１１は、本実施形態に係る暗号化装置３０の構成について説明するためのブロック図である。

本実施形態に係る暗号化装置３０は、例えば図１１に示したように、受信部３０１と、排除受信装置特定部３０３と、セッション鍵決定部３０７と、双線形写像演算部３１３と、暗号化部３１５と、暗号文送信部３１７と、記憶部３１９と、を主に備える。また、本実施形態に係る暗号化装置３０は、更に、セッション鍵算出方法選択部３２１を備えても良い。

受信部３０１は、鍵生成装置２０により生成され、公開された公開鍵と公開情報とを受信する。受信した公開鍵および公開情報は、後述する記憶部３１９に記録され、必要な際に読み出されて利用される。

排除受信装置特定部３０３は、暗号化装置３０に通信網１２を介して接続されている複数の受信装置４０の中から、暗号文の配信を排除する受信装置を特定し、排除される受信装置の集合Ｒを決定する。集合Ｒの決定に際しては、排除受信装置特定部３０３は、後述する記憶部３１９に記憶されている様々なデータを参照することができる。決定された集合Ｒは、後述するセッション鍵決定部３０７に伝送され、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等の算出に利用される。また、排除受信装置特定部３０３は、決定された集合Ｒを後述する記憶部３１９に記録してもよい。

セッション鍵決定部３０７は、受信部３０１が受信し記憶部３１９に記録されている公開鍵および公開情報と、排除受信装置特定部３０３が決定した集合Ｒ等とに基づいて、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等を決定する。このセッション鍵決定部３０７は、セッション鍵算出部３０９と、ヘッダ算出部３１１と、を更に備える。

セッション鍵算出部３０９は、記憶部３１９から取得した公開鍵および公開情報と、排除受信装置特定部３０３から伝送される、排除される受信装置の集合Ｒ等と、に基づいて、配信するコンテンツ等の平文を暗号化するために利用するセッション鍵を算出する。セッション鍵算出部３０９が算出したセッション鍵は、後述する暗号化部３１５に伝送され、平文を暗号化する際に利用される。また、セッション鍵算出部３０９は、算出したセッション鍵を、記憶部３１９に記録してもよい。

ヘッダ算出部３１１は、セッション鍵算出部３０９がセッション鍵を算出する際に計算した各種データと、記憶部３１９に記録されている公開鍵や公開情報等とを利用して、暗号文と同時に受信装置４０に配信されるヘッダを生成する。生成されたヘッダは、後述する暗号文送信部３１７へと伝送される。また、ヘッダ算出部３１１は、生成したヘッダ情報を、記憶部３１９に記録してもよい。

双線形写像演算部３１３は、セッション鍵の算出の際に実行する必要がある双線形写像に関する演算を行う処理部である。双線形写像演算部３１３は、記憶部３１９に記録されている公開情報に含まれる双線形群Ｇ，Ｇ_１と、セッション鍵決定部３０７から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵決定部３０７に再度伝送され、セッション鍵やヘッダの算出に利用される。なお、双線形写像演算部３１３は、演算結果を記憶部３１９に記録してもよい。

暗号化部３１５は、記憶部３１９等から配信するコンテンツ等の平文を取得し、セッション鍵決定部３０７で算出されたセッション鍵を用いて暗号化処理を行い、平文を暗号化する。暗号化された平文は、暗号文送信部３１７へと伝送される。また、暗号化部３１５は、暗号化した平文を、記憶部３１９に記録してもよい。

暗号文送信部３１７は、暗号化部３１５によって暗号化された暗号文と、ヘッダ算出部３１１によって算出されたヘッダとを、通信網１２等を介して、各受信装置に同報配信する。

記憶部３１９には、受信部３０１が受信した公開鍵および公開情報や、排除受信装置特定部３０３が決定した集合Ｒや、セッション鍵決定部３０７が算出したセッション鍵やヘッダ情報等が記録される。また、記憶部３１９には、これらの各種データ以外にも、暗号化装置３０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部３１９は、受信部３０１、排除受信装置特定部３０３、セッション鍵決定部３０７、双線形写像演算部３１３、暗号化部３１５、暗号文送信部３１７、セッション鍵算出方法選択部３２１等が、自由に読み書きを行うことが可能である。

セッション鍵算出方法選択部３２１は、本実施形態に係る暗号化装置３０が複数のセッション鍵算出方法を記憶しており、複数のセッション鍵算出方法を適宜選択可能である場合に、排除される受信装置の台数に応じて利用するセッション鍵算出方法を選択する。セッション鍵算出方法の選択に際しては、排除される受信装置の台数と所定の閾値との比較を行って、選択するセッション鍵算出方法を決定してもよく、排除される受信装置の台数に基づいて、選択可能なセッション鍵算出方法に要する計算量をそれぞれ算出し、算出した計算量を比較することで、利用するセッション鍵算出方法を選択してもよい。

＜本実施形態に係る受信装置４０について＞
続いて、図１２を参照しながら、本実施形態に係る受信装置４０について、詳細に説明する。図１２は、本実施形態に係る受信装置４０の構成について説明するためのブロック図である。

本実施形態に係る受信装置４０は、例えば図１２に示したように、受信部４０１と、セッション鍵算出部４０３と、双線形写像演算部４０５と、復号部４０７と、記憶部４０９と、を主に備える。

受信部４０１は、鍵生成装置２０により生成された秘密鍵、公開鍵および公開情報を受信する。また、受信部４０１は、暗号化装置３０によって暗号化された暗号文やヘッダ情報についても、受信することが可能である。受信部４０１は、鍵生成装置２０から受信した秘密鍵、公開鍵および公開情報と、暗号化装置３０から受信したヘッダを、後述するセッション鍵算出部４０３に伝送し、暗号化装置３０から受信した暗号文を、後述する復号部４０７に伝送する。なお、受信部４０１は、受信した秘密鍵、公開情報、暗号文、ヘッダ情報等を、後述する記憶部４０９に記録してもよい。

セッション鍵算出部４０３は、鍵生成装置２０から取得した秘密鍵、公開鍵および公開情報と、暗号化装置３０から送信されたヘッダ等に基づいて、暗号化装置３０から配信された暗号文を復号化処理する際に利用するセッション鍵を算出する。セッション鍵算出部４０３は、算出したセッション鍵を、後述する復号部４０３に伝送する。また、セッション鍵算出部４０３は、算出したセッション鍵を、後述する記憶部４０９に記録してもよい。

双線形写像演算部４０５は、セッション鍵の算出の際に実行する必要がある双線形写像に関する演算を行う処理部である。双線形写像演算部４０５は、公開情報に含まれる双線形群Ｇ，Ｇ_１と、セッション鍵算出部４０３から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵算出部４０３に再度伝送され、セッション鍵の算出に利用される。なお、双線形写像演算部４０５は、演算結果を記憶部４０９に記録してもよい。

復号部４０７は、セッション鍵算出部４０３が算出したセッション鍵を利用して、暗号化装置３０から配信されたコンテンツ等の暗号文を復号化し、平文に変換する。復号部４０７は、取得した平文を、記憶部４０９に格納することが可能である。

記憶部４０９には、受信部４０１が受信した秘密鍵、公開鍵および公開情報が記録される。また、記憶部４０９には、暗号化装置３０から送信された暗号文およびヘッダや、セッション鍵算出部４０３が算出したセッション鍵や、復号部４０７が復号化処理を行った平文等が記録されてもよい。さらに、記憶部４０９には、これらの各種データ以外にも、受信装置４０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部４０９は、受信部４０１、セッション鍵算出部４０３、双線形写像演算部４０５、復号部４０７等が、自由に読み書きを行うことが可能である。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能の一例を示した。上記の各構成要素は、汎用的な部材や回路を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。また、各構成要素の機能を、ＣＰＵ等が全て行ってもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用する構成を変更することが可能である。

＜鍵生成装置２０の動作：Ｓｅｔｕｐ処理およびＪｏｉｎ処理＞
センタは、所有する鍵生成装置２０を操作し、以下の手順に従って、公開鍵および公開情報と、各ユーザに対応する個人秘密鍵とを生成する。本実施形態に係る鍵生成装置２０が実行するＳｅｔｕｐ処理およびＪｏｉｎ処理は、従来方法におけるＳｅｔｕｐ処理およびＪｏｉｎ処理と同一であるため、図３および図４を参照しながら、本実施形態に係る鍵生成装置２０の動作（すなわち、Ｓｅｔｕｐ処理およびＪｏｉｎ処理）について、詳細に説明する。

（鍵生成装置２０におけるＳｅｔｕｐ処理）
Ｓｅｔｕｐ処理は、本実施形態に係る鍵生成装置２０を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ処理を実行する。

まず、鍵生成装置２０のパラメータ決定部２５１は、λ−ｂｉｔの素数ｐを生成し、次いで、双線形群選択部２５３は、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ１１）。

次に、鍵生成装置２０の双線形群選択部２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ１２）。

続いて、鍵生成装置２０のパラメータ決定部２５１は、Ｇ，Ｈ∈Ｇを選択して、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１を計算する（ステップＳ１３）。

その後、鍵生成装置２０のパラメータ決定部２５１は、γ∈_ＲＺ_ｐ ^＊を選択し、Ｗ＝γＧ∈Ｇを計算する（ステップＳ１４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

次に、鍵生成装置２０の鍵生成部２５５は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ１５）。

公開鍵の生成が終了すると、鍵生成装置２０の配布部２６１は、Ｓｅｔｕｐ処理の実行によって得られた初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

（鍵生成装置２０におけるＪｏｉｎ処理）
Ｊｏｉｎ処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置２０に入力し、以下に説明するＪｏｉｎ処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。

まず、鍵生成装置２０の鍵生成部２５５は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊を計算する（ステップＳ２１）。その後、以下の式１０２に示す計算を行うことにより、鍵生成部２５５は、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ２２）。

ここで、上記式１０２におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

次に、鍵生成装置２０の鍵生成部２５５は、ユーザｉに対応する公開情報を以下の式１０３のようにして計算し、ｄｋ_ｉおよび（ｕ_ｉ，Ｖ_ｉ）を得る（ステップＳ２３）。

鍵生成装置３０の配布部２６１は、Ｊｏｉｎ処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ，Ｖ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式１０４のような構成となっている。

以上、本実施形態に係る鍵生成装置２０で実行されるＳｅｔｕｐ処理およびＪｏｉｎ処理について説明した。続いて、本実施形態に係る暗号化装置３０で実行される暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ’処理）について、説明する。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ’処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。以下に、図１３および図１４を参照しながら、本実施形態に係る暗号化装置３０の動作について、詳細に説明する。図１３は、本実施形態に係る暗号化装置３０で実行される暗号化処理を説明するための流れ図であり、図１４は、本実施形態に係る暗号化装置３０で実行される双線形群の演算処理を説明するための流れ図である。

Ｅｎｃｒｙｐｔｉｏｎ’処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を本実施形態に係る暗号化装置３０に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ’処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。ユーザによって入力された集合Ｒは、暗号化装置３０の排除受信装置特定部３０３により、暗号化装置３０が利用可能なデジタルデータに変換され、Ｅｎｃｒｙｐｔｉｏｎ’処理に用いられる。

暗号化装置３０の排除受信装置特定部３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ１０１）、カウント結果ｒをセッション鍵決定部３０７に出力する。次に、暗号化装置３０のセッション鍵算出部３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ１０２）。

続いて、暗号化装置３０のセッション鍵算出部３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ１０３）。ｒ＝０の場合（すなわち、排除されたユーザが誰もいない場合）には、セッション鍵算出部３０９は、後述するステップＳ１０４を実行する。また、ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ１０５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ１０６を実行する。

排除されたユーザが誰もいない場合には、セッション鍵算出部３０９は、以下の式１０５および式１０６に基づいて、Ｐ_ｒおよびＫ’を決定し（ステップＳ１０４）、その後ステップＳ１０９を実行する。

また、排除されたユーザが一人である場合には、セッション鍵算出部３０９は、以下の式１０７および式１０８に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ１０５）、その後ステップＳ１０９を実行する。

また、排除されたユーザが２人以上である場合には、セッション鍵算出部３０９は、双線形写像演算部３１３に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）を行い、以下の式１０９〜式１１１に示した値を計算するよう要請し、双線形写像演算部３１３は、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行して、式１０９〜式１１１の値をセッション鍵算出部３０９に出力する（ステップＳ１０６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについては、以下で改めて詳細に説明する。

ここで、上記式１１０および式１１１は、式１０９（Ｐ_ｒ）を導出する際に、計算の途中経過として算出される値であり、従来方式では、式１１０および式１１１の値は、計算値として出力されるものではなかった。本実施形態に係る暗号化処理では、以下で説明するように、式１１０および式１１１の計算値を効果的に利用することで、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減することが可能となる。

例えば、ｒ＝３の場合には、双線形写像演算部３１３は、上述のＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行することで、Ｐ_１，２、Ｐ_１，３およびＰ_２，３の３つの値を、演算結果としてセッション鍵算出部３０９に出力する。

次に、セッション鍵算出部３０９は、双線形写像演算部３１３から出力された演算結果を利用して、以下の式１１２の値を算出する（ステップＳ１０７）。

上記式１１２を展開すると、以下の式１１３のようになる。本実施形態に係るセッション鍵算出部３０９は、上記γＰ_ｒを算出することで、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムが実行不要となり、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムの実行回数を１回に減らすことが可能となる。

続いて、セッション鍵算出部３０９は、双線形写像演算部３１３の演算結果と、上記式１１３の値を用いて、以下の式１１４に示した値を計算する（ステップＳ１０８）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、ヘッダ算出部３０７は、ヘッダｈｄｒを、以下の式１１５のようにして計算する（ステップＳ１０９）。

次に、セッション鍵算出部３０９は、セッション鍵Ｋを以下の式１１６に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する（ステップＳ１１０）。

暗号化装置３０の暗号化部３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、暗号文送信部３１７は、（ｈｄｒ，Ｃ）を同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ’処理で実行する構成としてもよい。また、ステップＳ１０１は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ’処理を実行する暗号化装置３０に入力する形態をとってもよい。

（双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）
続いて、図１４を参照しながら、Ｅｎｃｒｙｐｔｉｏｎ’処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについて、詳細に説明する。

Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムは、暗号化装置３０の双線形写像演算部３１３が（Ｐ_１，・・・Ｐ_ｒ）∈Ｇを算出する際に実行するアルゴリズムである。

まず、暗号化装置３０の双線形写像演算部３１３は、Ｐ_０，ｍ＝Ｂ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、ｊ＝１と設定する（ステップＳ２０１）。続いて、双線形写像演算部３１３は、ｌ＝ｊ＋１と設定する（ステップＳ２０２）。

ここで、双線形写像演算部３１３は、ｕ_Ｒｊとｕ_Ｒｌとの比較を行い（ステップＳ２０３）、ｕ_Ｒｊ＝ｕ_Ｒｌであれば、エラーメッセージを出力し（ステップＳ２０４）、処理を終了する。ｕ_Ｒｊ＝ｕ_Ｒｌでなければ、以下に示すステップＳ２０５を実行する。

続いて、双線形写像演算部３１３は、以下の式１１７を用いて、Ｐ_ｊ，ｌを計算する（ステップＳ２０５）。

上記式１１１の計算が終了すると、双線形写像演算部３１３は、ｌにｌ＋１を代入し（ステップＳ２０６）、ｌとｒ＋１の比較を行う（ステップＳ２０７）。ｌ＝ｒ＋１であれば、双線形写像演算部３１３は、ステップＳ２０８を実行し、ｌがｒ＋１と等しくなければ、双線形写像演算部３１３は、ステップＳ２０３に戻って処理を続行する。

次に、双線形写像演算部３１３は、ｊにｊ＋１を代入し（ステップＳ２０８）、ｊとｒの比較を行う（ステップＳ２０９）。ｊ＝ｒであれば、双線形写像演算部３１３は、ステップＳ２１０を実行し、ｊがｒと等しくなければ、双線形写像演算部３１３は、ステップＳ２０２に戻って処理を続行する。

その後、双線形写像演算部３１３は、Ｐｒ＝Ｐ_{ｊ−１，ｊ}、Ｐ_{ｊ−２，ｊ−１}およびＰ_{ｊ−２，ｊ}をセッション鍵算出部３０９に出力する（ステップＳ２１０）。

＜受信装置４０の動作：Ｄｅｃｒｙｐｔｉｏｎ処理＞
本実施形態に係る受信装置４０が実行するＤｅｃｒｙｐｔｉｏｎ処理は、従来方法におけるＤｅｃｒｙｐｔｉｏｎ処理と同一であるため、図７を参照しながら、本実施形態に係る受信装置４０の動作（すなわち、Ｄｅｃｒｙｐｔｉｏｎ処理）について、詳細に説明する。

Ｄｅｃｒｙｐｔｉｏｎ処理は、コンテンツ等の配信を受けた受信者が暗号文を復号して平文を取得する際に、本実施形態に係る受信装置４０によって実行される処理である。

受信装置４０は、送信者により送信されたｈｄｒと、秘密鍵ｄｋ_ｉと、自身に固有の値であるｕ_ｉと、に基づいて、以下に説明するＤｅｃｒｙｐｔｉｏｎ処理を実行することで、配信されたコンテンツ等の暗号文に復号処理を行う。

まず、受信装置４０のセッション鍵算出部４０３は、受信部４０１が受信したｈｄｒの中に、自身に固有の値であるｕ_ｉが存在するか否かを判断する（ステップＳ５１）。ｈｄｒの中に自身に固有の値であるｕ_ｉが存在する場合には、送信者により受信者が排除されたことを意味するため、受信装置４０は、エラーメッセージを出力し（ステップＳ５２）、処理を終了する。また、ｈｄｒの中に自身に固有の値であるｕ_ｉが存在しない場合には、受信装置４０は、以下のステップＳ５３を実行する。

次に、セッション鍵算出部４０３は、ｒが０か否かを判定する（ステップＳ５３）。ｒ＝０の場合には、セッション鍵算出部４０３は、後述するステップＳ５４を実行する。また、ｒが０ではない場合には、セッション鍵算出部４０３は、後述するステップＳ５５を実行する。

ここで、ｒ＝０の場合には、セッション鍵算出部４０３は、Ｂ_ｉ，Ｒ＝Ｂ_ｉと設定し、後述するステップＳ５６を実施する。

また、ｒが０ではない場合には、セッション鍵算出部４０３は、双線形写像演算部４０５に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム）を行い、以下の式１１２に示した値を計算するよう要請し、双線形写像演算部４０５は、Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムを実行して、式１１８の値をセッション鍵算出部４０３に出力する（ステップＳ５５）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについては、以下で改めて詳細に説明する。

ステップＳ５４またはステップＳ５５が終了すると、セッション鍵算出部４０３は、取得したＢ_ｉ，Ｒを用いて、以下の式１１９によりセッション鍵Ｋを算出する（ステップＳ５６）。

復号部４０７は、上述のＤｅｃｒｙｐｔｉｏｎ処理により得られたセッション鍵Ｋを利用して、送信者から送信されたコンテンツ等の暗号文Ｃを復号し、平文Ｍ＝Ｄ_Ｋ（Ｃ）を取得する。

（双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム）
続いて、図８を参照しながら、Ｄｅｃｒｙｐｔｉｏｎ処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについて、詳細に説明する。

Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムは、双線形写像演算部４０５がＢ_ｉ，Ｒ∈Ｇを算出する際に実行するアルゴリズムである。

まず、双線形写像演算部４０５は、パラメータｔｍｐを設定し、ｔｍｐの初期値をＢ_ｉとし（ステップＳ６１）、続いて、双線形写像演算部４０５は、ｊ＝１と設定する（ステップＳ６２）。

次に、双線形写像演算部４０５は、ｕ_Ｒｊとｕ_ｉとの比較を行い、ｕ_Ｒｊ＝ｕ_iであれば、エラーメッセージを出力し（ステップＳ６４）、処理を終了する。ｕ_Ｒｊ＝ｕ_iでなければ、以下に示すステップＳ６５を実行する。

続いて、双線形写像演算部４０５は、以下の式１２０を用いて、新たなｔｍｐの値を計算する（ステップＳ６８）。

ここで、上記式１１４から明らかなように、式中の分母に、受信装置に固有の値であるｕ_ｉが含まれているため、暗号化装置から送信されたｈｄｒに自身のｕ_ｉが含まれている場合には、ｔｍｐが値を持たなくなる。これにより、排除されたユーザは、セッション鍵Ｋの算出に必要なＢ_ｉ，Ｒを得ることが出来なくなるため、暗号文を復号化することができない。

上記の演算が終了すると、双線形写像演算部４０５は、ｊの値をｊ＋１とし（ステップＳ６６）、次いで、ｊとｒ＋１の比較を行う（ステップＳ６７）。ｊ＝ｒ＋１であれば、双線形写像演算部４０５は、後述するステップＳ６８を実行する。また、ｊがｒ＋１と等しくない場合には、双線形写像演算部４０５は、ステップＳ６３に戻って処理を続行する。

次に、双線形写像演算部４０５は、ｔｍｐをセッション鍵算出部４０３に出力する（ステップＳ６８）。出力されたｔｍｐは、Ｂ_ｉ，Ｒであり、セッション鍵算出部４０３は、かかる出力値を用いてセッション鍵Ｋを算出する。

＜従来方式との相違点について＞
従来方式では、Ｐ_１，・・・，Ｐ_ｒを導出するために、ｒ≧２で場合には、ＥｎｃｒｙｐｔｉｏｎアルゴリズムにおけるステップＳ３６にて、Ｇ上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する。その後、Ｋ’を導出するために、ステップＳ３７にてＧ_１上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行している。

これに対して、本実施形態に係る暗号化方法では、従来方式同様、Ｅｎｃｒｙｐｔｉｏｎ’アルゴリズムのステップＳ１０６にてＧ上の演算に対するＡｇｇｒｅｇａｔｅ（Ｃ）を実行しているが、Ｋ’導出には、ステップＳ１０７におけるＧ上の演算と、ステップＳ１０８におけるＧ_１上の演算を利用し、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを利用していない。ここで、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムとＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムは、ステップＳ５０およびステップＳ２１０における出力値が異なるのみであり、かつ、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムにおいて追加で出力されるＰ_{ｒ-２，ｒ-１}、Ｐ_{ｒ-２，ｒ}は、Ｐ_ｒを導出するために利用される値でもあるため、これらを追加出力したとしても、計算量はＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムと同じである。

すなわち、秘密鍵ｄｋ_ｊを持つユーザｊが暗号化を実行する際の計算は、従来方式ではＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズム実行回数が必ず二回となるのに対し、本実施形態に係る暗号化方法では、若干回数のＧ上での演算と一回の双線形写像演算が追加される代わりに、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム実行回数が一回へと削減されている。また、Ｋ’導出に必要な計算量に関しては、従来方式ではｒが大きくなるにつれｒ^２に比例して大きくなるのに対して、本実施形態に係る暗号化方法ではｒに関係なく、一定の計算量となっている点が大きく異なる。

本実施形態に係る暗号化処理の効果を示すため、従来方式と本実施形態に係る方式の両方における暗号化時の計算量比較を、図１５に示す。図１５に示したように、本実施形態に係る方法は、従来方式と比較して、双線形写像演算が１回、Ｇ上における各演算、すなわち楕円曲線上の加算及び乗算が各々３回および４回、Ｚ_ｐ ^＊上における逆元演算が２回増加している。しかしながら、Ｇ_１上、すなわちビットサイズが最も大きい群における乗算、冪乗算、逆元演算を、各々（ｒ^２-ｒ）／２回削減することに成功している。従来方式および本実施形態に係る方式における暗号化時の計算量を比較するため、まず、図１５の各演算を実行するために必要となる演算量を、以下のように定義する。この時、従来方式と比較して、本方式の暗号化時における計算量の増加分は、図１５より、以下の式１２１であることがわかる。一方、減少分は、以下の式１２２となる。よって、ｒが以下の式１２３を満たす場合には、本実施形態に係る方式の方が、暗号化時における計算量を削減可能となっていることが分かる。

なお、図１５および上記式１２１〜式１２３における記号の意味は、以下の通りである。

Ａ ：Ｇにおける楕円曲線上の点の加算
Ｄ ：Ｇにおける楕円曲線上の点の二倍算
Ｓ ：Ｇにおける楕円曲線上の点のスカラー倍算
Ｍ ：Ｇ_１における乗算
Ｑ ：Ｇ_１における二乗算
Ｅ ：Ｇ_１における冪乗算
Ｉ ：Ｇ_１における逆元演算
ｍｕｌ：Ｚ_ｐ ^＊における乗算
ｓｑｒ：Ｚ_ｐ ^＊における二乗算
ｉｎｖ：Ｚ_ｐ ^＊における逆元演算
Ｐ ：双線形写像演算

式１２３を満たすｒを、数値例を用いて導出する。なお，以下では、１２８−ｂｉｔ等価安全性を満たす場合について考える。この時、ｐのビットサイズは２５６−ｂｉｔ、Ｇ_１の元のビットサイズは３０７２−ｂｉｔとなる。以降、Ｚ_ｐ ^＊上での乗算ｍｕｌを基準として、具体的な数値例を示す。従来方式および本実施形態に係る方式の両方とも、Ｇ上における楕円曲線上の点の演算、Ｇ_１、Ｚ_ｐ ^＊上における各種演算、および、双線形写像演算を利用している。これらの演算には様々な演算手法が存在するため、ここでは非特許文献２に示された演算見積もりを利用する。

非特許文献２では、Ｚ_ｐ ^＊上における演算に対して、以下の式１２４の関係を適用している。また、３０７２／２５６＝１２＝２^２×３より、Ｇ_１上における演算に対しては、以下の式１２５のようになる。また、楕円曲線上の点の演算に関しては、ｐｒｏｊｅｃｔｉｖｅ座標系を利用することにより、以下の式１２６のようになる。ここで、スカラー倍算Ｓは、二倍算と加算を繰り返し実行することによって計算されるため、その平均的な計算量は、点の係数のビット長ｌｏｇ_２ｐ回の二倍算と（１／２）ｌｏｇ_２ｐ回の加算として見積もることができる。よって、Ｓは、以下の式１２７のように見積もることができる。また、Ｇ_１上での冪乗算Ｅも、位数ｐより指数部のビットサイズがｌｏｇ_２ｐであり、二乗算と乗算を繰り返し実行することによって計算されるため、スカラー倍算と同様に見積もることが可能であり、以下の式１２８のように見積もることができる。

双線形写像演算Ｐに関しては、双線形写像演算自体がＭｉｌｌｅｒ’ｓ ａｌｇｏｒｉｔｈｍによる演算と最終冪乗と呼ばれる冪乗剰余演算から構成されるため、Ｃ_Ｆｕｌｌを楕円曲線パラメータによって変動するＭｉｌｌｅｒ’ｓ ａｌｇｏｒｉｔｈｍの計算量とすると、Ｃ_Ｆｕｌｌ＋３Ｅとして見積もることができる。ここで、３Ｅは、現在想定しているパラメータに対する最終冪乗のコストである。今、非特許文献２に記載の表より、ｐｒｏｊｅｃｔｉｖｅ座標系におけるＡｔｅ ｐａｉｒｉｎｇ演算の平均値をＣ_Ｌｉｔｅとすると、双線形写像演算Ｐは、以下の式１２９となる。

上記式１２４〜式１２９を用いて、式１２３は、以下の式１３０と変形できる。この式１３０を図示すると、図１６のようになる。

図１６から明らかなように、前述したようなパラメータ設定を行った場合には、排除されるユーザ数が４人以上となった場合、本実施形態に係る方式の方が、非常に効率よく演算可能であることが分かる。

（本実施形態に係る暗号化方法の変形例）
本実施形態に係る暗号化方式は、暗号化処理中にユーザに固有な値であるｕ_ｉを利用するため、ユーザであれば暗号化を効率的に実行可能であるが、ユーザではないｅｎｔｉｔｙは実行不可能である。そのため、上述の暗号化方式のみを利用した場合、従来方式よりも暗号化可能なｅｎｔｉｔｙが制限される。また、ユーザであっても、ｒが非常に小さい場合には、従来方式の方が高速に暗号化可能である場合が存在する。よって、従来方式と本実施形態に係る方式を切り替えて利用ことで、効率よく暗号化処理を行うことができる。

例えば、暗号化装置３０がＥｎｃｒｙｐｔｉｏｎ処理またはＥｎｃｒｙｐｔｉｏｎ’処理を実行する前に、以下の処理を実行することにより、効率的な暗号化処理を選択することが可能である。

暗号化装置３０のセッション鍵決定部３０７は、自身が秘密鍵ｄｋ_ｊを保持しているか否かを判断する。自身が秘密鍵ｄｋ_ｊを保持していなければ、Ｅｎｃｒｙｐｔｉｏｎ処理を実行する。また、自身が秘密鍵ｄｋ_ｊを保持している場合には、排除受信装置特定部３０３は、排除されるユーザの集合Ｒの要素数をカウントして、ｒとする。

次に、セッション鍵算出部３０９は、本実施形態に係る暗号化処理のステップＳ１０６まで処理を実行する。

続いて、セッション鍵算出方法選択部３２１は、ｒに対するＥｎｃｒｙｐｔｉｏｎ処理の実行時の計算量と、Ｅｎｃｒｙｐｔｉｏｎ’処理の実行時の計算量と、を比較して、使用するセッション鍵算出方法を判定する。

その結果、Ｅｎｃｒｙｐｔｉｏｎ処理実行時の計算量が、Ｅｎｃｒｙｐｔｉｏｎ’処理実行時の計算量よりも少ない場合には、セッション鍵算出方法選択部３２１は、Ｅｎｃｒｙｐｔｉｏｎ処理を実行した方が効率が良い旨を、セッション鍵算出部３０９に出力する。その後、
セッション鍵算出部３０９は、Ｅｎｃｒｙｐｔｉｏｎ処理のステップＳ３７以降を実行する。

また、Ｅｎｃｒｙｐｔｉｏｎ’処理実行時の計算量が、Ｅｎｃｒｙｐｔｉｏｎ処理実行時の計算量よりも少ない場合には、セッション鍵算出方法選択部３２１は、Ｅｎｃｒｙｐｔｉｏｎ’処理を実行した方が効率が良い旨を、セッション鍵算出部３０９に出力する。その後、セッション鍵算出部３０９は、Ｅｎｃｒｙｐｔｉｏｎ’処理のステップＳ１０７以降を実行する。

暗号化装置３０は、かかる判定を行うことにより、効率的な暗号化処理を選択することが可能である。

なお、上述の変形例では、暗号化装置３０自身が、効率的な暗号化処理を選択する場合であったが、暗号化装置３０を操作する送信者自身が、処理に要する計算量を算出して、用いる処理の選択を行っても良い。

以上説明したように、本実施形態に係る方式によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

（第２の実施形態）
＜従来方式の問題点＞
従来方式では、上述の問題点に加えて、以下のような問題点も存在する。従来方式では、Ｓｅｔｕｐ処理の実行時に生成される初期公開鍵ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ，Ｖ｝に加え、Ｊｏｉｎ処理が実行されるたびに、ユーザｉに対する公開情報（ｕ_ｉ，Ｂ_ｉ，Ｖ_ｉ）が追加される。従って、ｎ人のユーザが存在する場合には、従来方式における公開鍵は、以下の式９１７のようになる。

すなわち、従来方式では、図９（ｂ）に示したように、ｎ人のユーザに対する公開鍵の要素数が３ｎ＋３となり、ユーザ数の増加に応じて、公開鍵のサイズが非常に大きくなるという問題があった。例えば、１２８−ｂｉｔ等価安全性を考えた場合、素数ｐのビットサイズが２５６−ｂｉｔとなり、Ｇ_１上の元のビットサイズが３０７２−ｂｉｔとなる。ここで、各ユーザの固有値ｕ_ｉ（ｉ＝１，・・・，ｎ）のビットサイズを３２−ｂｉｔとし、ｎ＝１００００人程度のシステムを考える。このとき、従来方式における公開鍵サイズは、最終的に、約４．３ＭＢとなってしまう。

なお、上述の公開鍵のうち、ｐ，Ｇ，Ｇ_１，ｅは、システムパラメータであるため、公開鍵の要素数にはカウントしない。

そこで、本願発明者らは、上記の問題点を解決すべく鋭意研究を行い、以下に説明するような、公開鍵サイズ及び暗号化時に必要となる計算量の削減を可能とした本発明の一実施形態に係る暗号鍵配信システムを開発した。

［本実施形態に係る説明］
これまで説明したような基盤技術を踏まえながら、以下において、本発明の第２の実施形態に係る暗号鍵配信システム１０について、詳細に説明する。なお、本実施形態に係る暗号鍵配信システム１０は、本発明の第１の実施形態に係る暗号鍵配信システムと同様の構成を有するため、構成に関する詳細な説明は省略する。

本実施形態に係る暗号鍵配信システム１０では、従来方式におけるＳｅｔｕｐ処理、Ｊｏｉｎ処理、Ｅｎｃｒｙｐｔｉｏｎ処理の各基本処理をＳｅｔｕｐ’処理、Ｊｏｉｎ’処理、Ｅｎｃｒｙｐｔｉｏｎ”処理へと変更し、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの代わりに、第１の実施形態において説明したＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを利用することによって、公開鍵サイズおよび暗号化時に必要となる計算量の削減を達成するものである。よって、Ｄｅｃｒｙｐｔｉｏｎ処理およびＤｅｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムに関しては、本発明の第１の実施形態に係る方式と同一のものを使用する。

また、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０のハードウェア構成は、本発明の第１の実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０のハードウェア構成と同一であるため、詳細な説明は省略する。

＜本実施形態に係る鍵生成装置２０について＞
まず、図１７を参照しながら、本実施形態に係る鍵生成装置２０について、詳細に説明する。図１７は、本実施形態に係る鍵生成装置２０の構成について説明するためのブロック図である。

本実施形態に係る鍵生成装置２０は、例えば図１７に示したように、パラメータ決定部２５１と、双線形群選択部２５３と、鍵生成部２５５と、配布部２６１と、を主に備える。

パラメータ決定部２５１は、本実施形態に係る鍵生成装置２０が公開鍵や秘密鍵等を生成するために用いる様々なパラメータを所定の方法に基づいて決定する。かかるパラメータの例として、例えば、Ｓｅｔｕｐ処理等で用いられる素数ｐやＧ、Ｈ、Ｖ、γ等を挙げることができる。パラメータ決定部２５１は、例えば素数ｐやＧ、Ｈ、γを決定する際に、例えば乱数等を利用して無作為に値を決定する。また、パラメータ決定部２５１は、後述する双線形群選択部２５３から伝送された各種双線形群や双線形写像ｅを利用して、パラメータを決定してもよい。パラメータ決定部２５１は、決定した各種パラメータを、後述する双線形群選択部２５３や鍵生成部２５５に伝送する。また、パラメータ決定部２５１は、決定した各種パラメータを、後述する記憶部２６７に記録してもよい。

双線形群選択部２５３は、パラメータ決定部２５１から伝送されたパラメータである素数ｐを用いて、ｐを位数とする双線形写像群Ｇと、巡回乗法群Ｇ_１を選択する。また、双線形群選択部２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する。双線形群選択部２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、パラメータ決定部２５１および後述する鍵生成部２５５に伝送する。また、双線形群選択部２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、後述する記憶部２６７に記録してもよい。

鍵生成部２５５は、パラメータ決定部２５１および双線形群選択部２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵、マスター鍵、擬似秘密鍵等の鍵や、各ユーザに対応する公開情報等を生成する。鍵生成部２５５は、鍵算出部２５７と、擬似秘密鍵算出部２５９と、を更に備える。

鍵生成部２５５は、パラメータ決定部２５１および双線形群選択部２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵およびマスター鍵と、各ユーザに対応する公開情報を生成する。生成された鍵および公開情報は、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。また、公開が必要な情報および配布する鍵類は、後述する配布部２６１へと伝送される。

擬似密鍵算出部２５９は、パラメータ決定部２５１および双線形群選択部２５３から伝送された各種データを利用して、擬似秘密鍵ｄｋ_０を生成する。生成された擬似秘密鍵は、後述する配布部２６１へと伝送されるとともに、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。

配布部２６１は、鍵生成装置２０が生成した公開鍵、秘密鍵および擬似秘密鍵と、公開が必要な情報とを、通信網１２を介して配布する。かかる配布部２６１は、送受信部２６３と、公開鍵配布部２６５と、を更に備える。

送受信部２６３は、鍵生成部２５５が生成した秘密鍵を、安全な通信路を介して個々のユーザに送信するとともに、受信装置４０から伝送されたシステム加入要求を受信する。受信されたシステム加入要求は鍵生成部２５５へと伝送され、鍵生成部２５５により新たな秘密鍵や公開鍵が生成される。

公開鍵配布部２６１は、鍵生成部２５５が生成した公開鍵、擬似秘密鍵および公開情報を、通信網１２を介して暗号化装置３０や受信装置４０に配布する。暗号化装置３０や受信装置４０は、かかる公開鍵、擬似秘密鍵および公開情報を利用して、平文の暗号化処理や暗号文の復号処理を実行する。

記憶部２６７には、パラメータ決定部２５１が決定した各種パラメータや、双線形群選択部２５３が選択した双線形群や双線形写像が記録される。また、記憶部２６７には、鍵生成部２５５が生成した各種鍵や公開情報が、秘密保持される。更に、これらの各種データ以外にも、鍵生成装置２０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部２６７は、パラメータ決定部２５１、双線形群選択部２５３、鍵生成部２５５、配布部２６１等が、自由に読み書きを行うことが可能である。

＜本実施形態に係る暗号化装置３０について＞
続いて、図１８を参照しながら、本実施形態に係る暗号化装置３０について、詳細に説明する。図１８は、本実施形態に係る暗号化装置３０の構成について説明するためのブロック図である。

本実施形態に係る暗号化装置３０は、例えば図１８に示したように、受信部３０１と、排除受信装置特定部３０３と、使用鍵特定部３０５と、セッション鍵決定部３０７と、双線形写像演算部３１３と、暗号化部３１５と、暗号文送信部３１７と、記憶部３１９と、を主に備える。また、本実施形態に係る暗号化装置３０は、更に、セッション鍵算出方法選択部３２１を備えても良い。

受信部３０１は、鍵生成装置２０により生成され、公開された公開鍵および擬似秘密鍵と公開情報とを受信する。受信した公開鍵、擬似秘密鍵および公開情報は、後述する記憶部３１９に記録され、必要な際に読み出されて利用される。

排除受信装置特定部３０３は、暗号化装置３０に通信網１２を介して接続されている複数の受信装置４０の中から、暗号文の配信を排除する受信装置を特定し、排除される受信装置の集合Ｒを決定する。集合Ｒの決定に際しては、排除受信装置特定部３０３は、後述する記憶部３１７に記憶されている様々なデータを参照することができる。決定された集合Ｒは、後述するセッション鍵決定部３０７に伝送され、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等の算出に利用される。また、排除受信装置特定部３０３は、決定された集合Ｒを後述する記憶部３１９に記録してもよい。

使用鍵特定部３０５は、後述する記憶部３１９を参照して、暗号化装置３０自体に個人秘密鍵が提供されているか否かを判定する。記憶部３１９に個人秘密鍵が記録されている場合には、使用鍵特定部３０５は、個人秘密鍵が存在する旨を後述するセッション鍵決定部３０５に出力する。また、記憶部３１９に個人秘密鍵が記録されていない場合には、使用鍵特定部３０５は、個人秘密鍵は存在せず擬似秘密鍵のみが存在する旨をセッション鍵決定部３０５に出力する。また、使用鍵特定部３０５は、判定結果を後述する記憶部３１９に記録して、次回以降の判定処理を省略するようにしてもよい。

セッション鍵決定部３０７は、受信部３０１が受信し記憶部３１９に記録されている公開鍵、個人秘密鍵および公開情報と、排除受信装置特定部３０３が決定した集合Ｒと、使用鍵特定部３０５が出力した判定結果とに基づいて、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等を決定する。このセッション鍵決定部３０７は、セッション鍵算出部３０９と、ヘッダ算出部３１１と、を更に備える。

セッション鍵算出部３０９は、記憶部３１９から取得した公開鍵および公開情報と、排除受信装置特定部３０３から伝送される、排除される受信装置の集合Ｒと、使用鍵特定部３０５が出力した判定結果とに基づいて、配信するコンテンツ等の平文を暗号化するために利用するセッション鍵を算出する。セッション鍵算出部３０９が算出したセッション鍵は、後述する暗号化部３１５に伝送され、平文を暗号化する際に利用される。また、セッション鍵算出部３０９は、算出したセッション鍵を、記憶部３１９に記録してもよい。

ヘッダ算出部３１１は、セッション鍵算出部３０９がセッション鍵を算出する際に計算した各種データと、記憶部３１９に記録されている公開鍵や公開情報等とを利用して、暗号文と同時に受信装置４０に配信されるヘッダを生成する。生成されたヘッダは、後述する暗号文送信部３１７へと伝送される。また、ヘッダ算出部３１１は、生成したヘッダ情報を、記憶部３１９に記録してもよい。

双線形写像演算部３１３は、セッション鍵の算出の際に実行する必要がある双線形写像に関する演算を行う処理部である。双線形写像演算部３１３は、記憶部３１９に記録されている公開情報に含まれる双線形群Ｇ，Ｇ_１と、セッション鍵決定部３０７から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵決定部３０７に再度伝送され、セッション鍵やヘッダの算出に利用される。なお、双線形写像演算部３１３は、演算結果を記憶部３１９に記録してもよい。

暗号化部３１５は、記憶部３１９等から配信するコンテンツ等の平文を取得し、セッション鍵決定部３０７で算出されたセッション鍵を用いて暗号化処理を行い、平文を暗号化する。暗号化された平文は、暗号文送信部３１７へと伝送される。また、暗号化部３１５は、暗号化した平文を、記憶部３１９に記録してもよい。

暗号文送信部３１７は、暗号化部３１５によって暗号化された暗号文と、ヘッダ算出部３１１によって算出されたヘッダとを、通信網１２等を介して、各受信装置に同報配信する。

記憶部３１９には、受信部３０１が受信した公開鍵、擬似秘密鍵および公開情報や、排除受信装置特定部３０３が決定した集合Ｒや、セッション鍵決定部３０７が算出したセッション鍵やヘッダ情報等が記録される。また、記憶部３１９には、これらの各種データ以外にも、暗号化装置３０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部３１９は、受信部３０１、排除受信装置特定部３０３、使用鍵特定部３０５、セッション鍵決定部３０７、双線形写像演算部３１３、暗号化部３１５、暗号文送信部３１７、セッション鍵算出方法選択部３２１等が、自由に読み書きを行うことが可能である。

セッション鍵算出方法選択部３２１は、本実施形態に係る暗号化装置３０が複数のセッション鍵算出方法を記憶しており、複数のセッション鍵算出方法を適宜選択可能である場合に、排除される受信装置の台数に応じて利用するセッション鍵算出方法を選択する。セッション鍵算出方法の選択に際しては、排除される受信装置の台数と所定の閾値との比較を行って、選択するセッション鍵算出方法を決定してもよく、排除される受信装置の台数に基づいて、選択可能なセッション鍵算出方法に要する計算量をそれぞれ算出し、算出した計算量を比較することで、利用するセッション鍵算出方法を選択してもよい。

＜本実施形態に係る受信装置４０について＞
続いて、図１９を参照しながら、本実施形態に係る受信装置４０について、詳細に説明する。図１９は、本実施形態に係る受信装置４０の構成について説明するためのブロック図である。

本実施形態に係る受信装置４０は、例えば図１９に示したように、受信部４０１と、セッション鍵算出部４０３と、双線形写像演算部４０５と、復号部４０７と、記憶部４０９と、を主に備える。

受信部４０１は、鍵生成装置２０により生成された秘密鍵、公開鍵および公開情報を受信する。また、受信部４０１は、暗号化装置３０によって暗号化された暗号文やヘッダ情報についても、受信することが可能である。受信部４０１は、鍵生成装置２０から受信した秘密鍵、公開鍵および公開情報と、暗号化装置３０から受信したヘッダを、後述するセッション鍵算出部４０３に伝送し、暗号化装置３０から受信した暗号文を、後述する復号部４０７に伝送する。なお、受信部４０１は、受信した秘密鍵、公開情報、暗号文、ヘッダ情報等を、後述する記憶部４０９に記録してもよい。

セッション鍵算出部４０３は、鍵生成装置２０から取得した秘密鍵、公開鍵および公開情報と、暗号化装置３０から送信されたヘッダ等に基づいて、暗号化装置３０から配信された暗号文を復号化処理する際に利用するセッション鍵を算出する。セッション鍵算出部４０３は、算出したセッション鍵を、後述する復号部４０３に伝送する。また、セッション鍵算出部４０３は、算出したセッション鍵を、後述する記憶部４０９に記録してもよい。

双線形写像演算部４０５は、セッション鍵の算出の際に実行する必要がある双線形写像に関する演算を行う処理部である。双線形写像演算部４０５は、公開情報に含まれる双線形群Ｇ，Ｇ_１と、セッション鍵算出部４０３から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵算出部４０３に再度伝送され、セッション鍵の算出に利用される。なお、双線形写像演算部４０５は、演算結果を記憶部４０９に記録してもよい。

復号部４０７は、セッション鍵算出部４０３が算出したセッション鍵を利用して、暗号化装置３０から配信されたコンテンツ等の暗号文を復号化し、平文に変換する。復号部４０７は、取得した平文を、記憶部４０９に格納することが可能である。

記憶部４０９には、受信部４０１が受信した秘密鍵、公開鍵および公開情報が記録される。また、記憶部４０９には、暗号化装置３０から送信された暗号文およびヘッダや、セッション鍵算出部４０３が算出したセッション鍵や、復号部４０７が復号化処理を行った平文等が記録されてもよい。さらに、記憶部４０９には、これらの各種データ以外にも、受信装置４０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部４０９は、受信部４０１、セッション鍵算出部４０３、双線形写像演算部４０５、復号部４０７等が、自由に読み書きを行うことが可能である。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能の一例を示した。上記の各構成要素は、汎用的な部材や回路を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。また、各構成要素の機能を、ＣＰＵ等が全て行ってもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用する構成を変更することが可能である。

＜鍵生成装置２０の動作：Ｓｅｔｕｐ’処理およびＪｏｉｎ’処理＞
センタは、所有する鍵生成装置２０を操作し、以下の手順に従って、公開鍵および公開情報と、各ユーザに対応する個人秘密鍵とを生成する。以下に、図２０および図２１を参照しながら、本実施形態に係る鍵生成装置２０の動作（すなわち、Ｓｅｔｕｐ’処理およびＪｏｉｎ’処理）について、詳細に説明する。図２０は、本実施形態に係る鍵生成処理を説明するための流れ図であり、図２１は、本実施形態に係るユーザ登録処理を説明するための流れ図である。

（鍵生成装置２０におけるＳｅｔｕｐ’処理）
Ｓｅｔｕｐ’処理は、本実施形態に係る鍵生成装置２０を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ’処理を実行する。

まず、鍵生成装置２０のパラメータ決定部２５１は、λ−ｂｉｔの素数ｐを生成し、次いで、双線形群選択部２５３は、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ３０１）。

次に、鍵生成装置２０の双線形群選択部２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ３０２）。

続いて、鍵生成装置２０のパラメータ決定部２５１は、Ｇ，Ｈ∈Ｇを選択する（ステップＳ３０３）。

その後、鍵生成装置２０のパラメータ決定部２５１は、γ∈_ＲＺ_ｐ ^＊を選択し、Ｗ＝γＧ∈Ｇを計算する（ステップＳ３０４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

続いて、鍵生成装置２０のパラメータ決定部２５１は、ユーザ固有値として利用しない値ｕ_０∈_ＲＺ_ｐ ^＊を選択し、擬似秘密鍵算出部２５９に出力する。擬似秘密鍵算出部２５９は、伝送されたｕ_０に基づいて、以下の式２０１を用いて擬似秘密鍵ｄｋ_０を算出する（ステップＳ３０５）。

次に、鍵生成装置２０の鍵算出部２５７は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ３０６）。

ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ，ｕ_０，ｄｋ_０｝ ・・・（式２０２）

公開鍵の生成が終了すると、鍵生成装置２０の配布部２６１は、Ｓｅｔｕｐ処理の実行によって得られた擬似秘密鍵ｄｋ_０および初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

（鍵生成装置２０におけるＪｏｉｎ’処理）
Ｊｏｉｎ’処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置２０に入力し、以下に説明するＪｏｉｎ’処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。

まず、鍵生成装置２０の鍵算出部２５７は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊＼｛ｕ_０｝を計算する（ステップＳ４０１）。その後、以下の式２０３に示す計算を行うことにより、鍵算出部２５７は、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ４０２）。

ここで、上記式２０３におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

鍵生成装置３０の配布部２６１は、Ｊｏｉｎ’処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式２０４のような構成となっている。

以上、本実施形態に係る鍵生成装置２０で実行されるＳｅｔｕｐ’処理およびＪｏｉｎ’処理について説明した。続いて、本実施形態に係る暗号化装置３０で実行される暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ”処理）について、説明する。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ”処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。以下に、図２２を参照しながら、本実施形態に係る暗号化装置３０の動作について、詳細に説明する。図２２は、本実施形態に係る暗号化装置３０で実行される暗号化処理を説明するための流れ図である。

Ｅｎｃｒｙｐｔｉｏｎ”処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を本実施形態に係る暗号化装置３０に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ”処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。ユーザによって入力された集合Ｒは、暗号化装置３０の排除受信装置特定部３０３により、暗号化装置３０が利用可能なデジタルデータに変換され、Ｅｎｃｒｙｐｔｉｏｎ”処理に用いられる。

また、暗号化装置３０の使用鍵特定部３０５は、暗号化装置３０が個人秘密鍵ｄｋ_ｊを保持しているか否かを判定し、結果をセッション鍵決定部３０５に予め通知しておく。セッション鍵決定部３０５は、使用鍵特定部３０５から個人秘密鍵ｄｋ_ｊが存在する旨の通知を受けた場合には、以下で説明する処理において、暗号化装置３０に固有の値であるｕ_ｊと、暗号化装置３０に固有の秘密鍵であるｄｋ_ｊを使用する。また、使用鍵特定部３０５から個人秘密鍵ｄｋ_ｊが存在しない旨の通知を受けた場合には、セッション鍵決定部３０５は、以下で説明する処理において、擬似ユーザに固有の値であるｕ_０と、擬似秘密鍵ｄｋ_０を使用する。

以下の説明では、ｕ_ｊおよびｄｋ_ｊを用いて式の表記を行うが、暗号化処理にｕ_０およびｄｋ_０を用いる場合には、式中のｕ_ｊがｕ_０となり、ｄｋ_ｊがｄｋ_０となる。

暗号化装置３０の排除受信装置特定部３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとする（ステップＳ５０１）。続いて、排除受信装置特定部３０３は、集合Ｒにｕ_０を追加して、ｒ＋１の値を新たにカウント結果ｒとする（ステップＳ５０２）。排除受信装置特定部３０３は、このカウント結果ｒをセッション鍵決定部３０７に出力する。

次に、暗号化装置３０のセッション鍵算出部３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ５０３）。

続いて、暗号化装置３０のセッション鍵算出部３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ５０４）。ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ５０５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ５０６を実行する。

排除されたユーザが一人である場合には、セッション鍵算出部３０９は、以下の式２０５および式２０６に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ５０５）、その後ステップＳ５０９を実行する。

また、排除されたユーザが２人以上である場合には、セッション鍵算出部３０９は、双線形写像演算部３１３に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）を行い、以下の式２０７〜式２０９に示した値を計算するよう要請し、双線形写像演算部３１３は、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行して、式２０７〜式２０９の値をセッション鍵算出部３０９に出力する（ステップＳ５０６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについては、本発明の第１の実施形態に係るＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムと同一であるため、詳細な説明は省略する。

ここで、上記式２０８および式２０９は、式２０７（Ｐ_ｒ）を導出する際に、計算の途中経過として算出される値であり、従来方式では、式２０８および式２０９の値は、計算値として出力されるものではなかった。本実施形態に係る暗号化処理では、式２０８および式２０９の計算値を効果的に利用することで、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減することが可能となる。

例えば、ｒ＝３の場合には、双線形写像演算部３１３は、上述のＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行することで、Ｐ_１，２、Ｐ_１，３およびＰ_２，３の３つの値を、演算結果としてセッション鍵算出部３０７に出力する。

次に、セッション鍵算出部３０９は、双線形写像演算部３１３から出力された演算結果を利用して、以下の式２１０の値を算出する（ステップＳ５０７）。

上記式２１０を展開すると、以下の式２１１のようになる。本実施形態に係るセッション鍵算出部３０９は、上記γＰ_ｒを算出することで、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムが実行不要となり、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムの実行回数を１回に減らすことが可能となる。

続いて、セッション鍵算出部３０９は、双線形写像演算部３１３の演算結果と、上記式２１１の値と、秘密鍵ｄｋ_ｊまたはｄｋ_０を用いて、以下の式２１２に示した値を計算する（ステップＳ５０８）。

・・・（式２１２）

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、ヘッダ算出部３１１は、ヘッダｈｄｒを、以下の式２１３のようにして計算する（ステップＳ５０９）。

次に、セッション鍵算出部３０７は、セッション鍵Ｋを以下の式２１４に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する（ステップＳ５１０）。

暗号化装置３０の暗号化部３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、暗号文送信部３１７は、（ｈｄｒ，Ｃ）を同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ”処理で実行する構成としてもよい。また、ステップＳ５０１およびステップＳ５０２は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ”処理を実行する暗号化装置３０に入力する形態をとってもよい。

なお、Ｅｎｃｒｙｐｔｉｏｎ”処理においては、ｕ_Ｒ１は必ずｕ_０となる。

＜受信装置４０の動作：Ｄｅｃｒｙｐｔｉｏｎ処理＞
本実施形態に係る受信装置４０が実行するＤｅｃｒｙｐｔｉｏｎ処理は、本発明の第１の実施形態におけるＤｅｃｒｙｐｔｉｏｎ処理と同一であるため、詳細な説明は省略する。

＜従来方式との相違点について＞
従来方式では、Ｐ_１，・・・，Ｐ_ｒを導出するために、ｒ≧２で場合には、ＥｎｃｒｙｐｔｉｏｎアルゴリズムにおけるステップＳ３６にて、Ｇ上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する。その後、Ｋ’を導出するために、ステップＳ３７にてＧ_１上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行している。

これに対して、本実施形態に係る暗号化方法では、従来方式同様、Ｅｎｃｒｙｐｔｉｏｎ”アルゴリズムのステップＳ５０６にてＧ上の演算に対するＡｇｇｒｅｇａｔｅ（Ｃ）を実行しているが、Ｋ’導出には、ステップＳ５０７におけるＧ上の演算と、ステップＳ５０８におけるＧ_１上の演算を利用し、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを利用していない。ここで、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムとＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムは、ステップＳ５０およびステップＳ２１０における出力値が異なるのみであり、かつ、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムにおいて追加で出力されるＰ_{ｒ-２，ｒ-１}、Ｐ_{ｒ-２，ｒ}は、Ｐ_ｒを導出するために利用される値でもあるため、これらを追加出力したとしても、計算量はＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムと同じである。

すなわち、秘密鍵ｄｋ_ｊを持つユーザｊが暗号化を実行する際の計算は、従来方式ではＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズム実行回数が必ず二回となるのに対し、本実施形態に係る暗号化方法では、若干回数のＧ上での演算と一回の双線形写像演算が追加される代わりに、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム実行回数が一回へと削減されている。また、Ｋ’導出に必要な計算量に関しては、従来方式ではｒが大きくなるにつれｒ^２に比例して大きくなるのに対して、本実施形態に係る暗号化方法ではｒに関係なく、一定の計算量となっている点が大きく異なる。

また、Ｓｅｔｕｐ処理およびＪｏｉｎ処理をそれぞれＳｅｔｕｐ’処理およびＪｏｉｎ’処理へと変更することによって擬似ユーザの秘密鍵（擬似秘密鍵）ｄｋ_０を生成、公開し、Ｅｎｃｒｙｐｔｉｏｎ”処理では、常にＲに擬似ユーザに固有の値であるｕ_０を追加することによって、秘密鍵を保持しないユーザであってもＥｎｃｒｙｐｔｉｏｎ”処理を実行可能としている。これにより、任意のユーザ、すなわち秘密鍵を保持しないユーザであっても、暗号化時に要する計算量を削減可能としている。

ここで、本実施形態に係る暗号化方式は、本発明の第１の実施形態におけるＥｎｃｒｙｐｔｉｏｎ’処理を、任意のｅｎｔｉｔｙが利用可能とするように変更したものであるため、暗号化時における計算量に関しては，任意のｅｎｔｉｔｙが、本発明の第１の実施形態に記載の暗号化時における計算量削減効果を得ることが可能である。なお、得られる削減効果の詳細に関しては、第１の実施形態に記載されているため、ここでは省略する。

また、従来方式では、暗号化時にＧ上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの実行に加えて、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの実行も必要となる。このとき、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムでは、Ｖ_ｉを利用する必要があるため、Ｊｏｉｎ処理の実行時に、センタはＶ_ｉを公開しておく必要がある。よって、ｎ人のユーザに対してＪｏｉｎ処理を実行した場合の公開鍵は、図２３に示したようなものとなり、システムパラメータを除いた要素数は、３ｎ＋３となる。

これに対し、本実施形態に係る方式では、Ｓｅｔｕｐ’処理の実行により擬似ユーザの秘密鍵（擬似秘密鍵）ｄｋ_０を公開しているため、任意のｅｎｔｉｔｙがＥｎｃｒｙｐｔｉｏｎ”処理を実行可能となり、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する必要がなくなる。そのため、センタはＶ_ｉを公開する必要が無くなるため、Ｊｏｉｎ’処理では、Ｊｏｉｎ処理において必要であったＶ_ｉの計算および出力が不要となる。これにより、ｎ人のユーザに対してＪｏｉｎ’処理を実行した場合の公開鍵は、図２３に示したようなものとなり、システムパラメータを除いた要素数は、２ｎ＋５となる。

以上の説明より、３ｎ＋３≧２ｎ＋５、すなわち、ｎ≧２である場合には、従来方式と比較して、公開鍵サイズを削減可能であることがわかる。

公開鍵における要素数に関しては、ｎ≧２を満たす場合には、本実施形態に係る方式が効果的であることを示した。しかしながら、公開鍵における各要素は、異なる群における元の集合であるため、安全性を確保するために必要となるビットサイズが異なる。よって以下では、具体的なビットサイズを想定した上で、公開鍵サイズの比較を行う。なお、以下では、１２８−ｂｉｔ等価安全性を満たす場合について考える。このとき、素数ｐのビットサイズは２５６−ｂｉｔとなり、Ｇ_１の元のビットサイズは３０７２−ｂｉｔとなる。

従来方式における公開鍵の各要素は、Ｗ，Ｈ，Ｂ_ｉ（ｉ＝１，・・・，ｎ）が楕円曲線上の点、すなわち、Ｇの元であり、Ｖ_ｉ（ｉ＝１，・・・，ｎ）がＧ_１の元となっている。今、簡単のため各ユーザに固有の値であるｕ_ｉ（ｉ＝１，・・・，ｎ）のビットサイズを３２−ｂｉｔとすると、従来方式における公開鍵のビットサイズは、以下の式２１５となる。

これに対して、本実施形態に係る方式では、公開鍵のビットサイズは、以下の式２１６のようになる。

ｎの増加に体得る各々の値を比較した結果を、図２４に示す。図２４から明らかなように、ビットサイズで比較した場合には、任意のｎに対して本実施形態に係る方式の方が、ビットサイズを低く抑えられることがわかる。

（本実施形態に係る暗号化方法の変形例）
本実施形態に係る暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ”処理）では、排除されるユーザの数が実質０、すなわち、擬似ユーザのみが排除されるユーザとなっている場合には、ステップＳ５０５において式２１２を用いてＫ’を算出している。しかしながら、以下のような方法を用いることで、ステップＳ５０５におけるＫ’の算出を削減することが可能である。

すなわち、鍵生成装置２０におけるＳｅｔｕｐ’処理において、以下の式２１７を予め計算しておき、公開鍵に係る値を追加することによって、ステップＳ５０５におけるＫ’の算出を削減することが可能である。

また、本実施形態に係るＥｎｃｒｙｐｔｉｏｎ”処理では、送信者が秘密鍵を保持していない場合は擬似秘密鍵ｄｋ_０を利用し、ユーザである、すなわち、個人秘密鍵を保持している場合には、自身の秘密鍵を利用することとしている。しかしながら、秘密鍵を安全に保持するためには、秘密鍵の利用頻度を必要最低限にとどめることが望ましい。従って、送信者が個人秘密鍵を保持しているか否かにかかわらず、暗号化時には常に擬似秘密鍵を利用するように構成することも可能である。

この場合、Ｅｎｃｒｙｐｔｉｏｎ”処理におけるステップＳ５０８の式２１２式を、以下の式２１８とすることが可能である。

かかる方法を用いることで、ステップＳ５０８におけるＫ’の算出を削減することが可能である。

また、本実施形態に係るＳｅｔｕｐ’処理中において、ステップＳ３０６では、以下の式２０２を初期公開鍵ｅｋ_０として公開している。

これに対し、以下の式２１９を計算し、初期公開鍵ｅｋ_０を、以下の式２２０とする。かかる初期公開鍵を用いる場合には、以降Ｈの代わりに式２１９で算出したＨ_０を利用することとする。かかる初期公開鍵を用いることで、Ｅｎｃｒｙｐｔｉｏｎ”処理におけるステップＳ５０２を省略することが可能となる。

以上説明したように、本実施形態に係る方式によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

また、公開情報として、擬似秘密鍵を公開することで、従来方式において暗号化時に必要となるビット長が長い巡回群上の要素を公開する必要がなくなるため、公開鍵サイズの削減も実現可能となる。

（第３の実施形態および第４の実施形態について）
ところで、従来方式では、任意のｅｎｔｉｔｙがヘッダを生成可能であるため、受信者がヘッダ作成者を確認することが不可能であるという問題があった。上記のような問題点を解決するためには、従来方式に加えて別途署名方式を利用することによって解決可能であるが、Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎと署名を同時に実現する方式はこれまで存在しなかったため、Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ用の鍵と、署名生成用の鍵という二種類の秘密鍵を保持する必要があり、これらの秘密保持によるメモリ量が増加するという問題も存在した。

そこで、以下に示す本発明の第３の実施形態および第４の実施形態では、受信者側における受信内容の改ざん検知および送信者の確認が可能となるとともに、受信者側が保持する鍵数の増加を抑制することが可能な鍵生成装置、暗号化装置、受信装置、鍵生成方法、暗号化方法、鍵処理方法およびプログラムを提供することを目的とする。

本発明の第３の実施形態および第４の実施形態によれば、Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ用の鍵を利用して送信者認証用情報を生成し、生成した送信者認証用情報をヘッダ及び暗号文と共に配信することによって、受信者側における受信内容の改ざん検知および送信者の確認が可能となるとともに、受信者側が保持する鍵数の増加を抑制することが可能である。

（第３の実施形態）
＜暗号鍵配信システムについて＞
以下に、本発明の第３の実施形態に係る暗号鍵配信システムについて、詳細に説明する。

図２５は、本実施形態に係る暗号鍵配信システム１０を示した説明図である。暗号鍵配信システム１０は、例えば、通信網１２と、鍵生成装置２０と、暗号化装置３０と、受信装置４０Ａと、受信装置４０Ｂと、を含む。

通信網１２は、鍵生成装置２０、暗号化装置３０および受信装置４０を双方向通信又は一方向通信可能に接続する通信回線網である。この通信網は、例えば、インターネット、電話回線網、衛星通信網、同報通信路等の公衆回線網や、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ−Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）、ワイヤレスＬＡＮ等の専用回線網などで構成されており、有線／無線を問わない。

鍵生成装置２０は、公開鍵と、複数の受信装置それぞれに固有の秘密鍵とを生成し、公開鍵を公開するとともに、各受信装置に対して、安全な通信路を介して、それぞれの秘密鍵を配信する。なお、この鍵生成装置２０は、公開鍵および秘密鍵の生成・管理を行うセンタが所有する。

暗号化装置３０は、鍵生成装置２０によって生成および公開された公開鍵を用いて、任意のコンテンツを暗号化し、通信網１２を介して、各受信装置に配信する。この暗号化装置３０は、任意の第三者が所有することが可能であり、また、鍵生成装置２０の所有者や、受信装置４０の所有者が所有することも可能である。

受信装置４０は、暗号化装置３０から配信された暗号化されたコンテンツを、固有の秘密鍵によって復号化して利用することが可能である。なお、受信装置４０Ａと受信装置４０Ｂとは、通信網１２または有線を介して互いに接続可能である。なお、この受信装置４０は、各契約者によって所有されるものである。

なお、受信装置４０は、パーソナルコンピュータ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ：ＰＣ）等のコンピュータ装置（ノート型、デスクトップ型を問わない。）例に限定されず、ネットワークを介した通信機能を有する機器であれば、例えばＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、家庭用ゲーム機、ＤＶＤ／ＨＤＤレコーダ、Ｂｌｕ−ｒａｙレコーダ、テレビジョン受像器等の情報家電、テレビジョン放送用のチューナやデコーダなどで構成することもできる。また、受信装置４０は、契約者が持ち運びできるポータブルデバイス（Ｐｏｒｔａｂａｌｅ Ｄｅｖｉｃｅ）、例えば、携帯型ゲーム機、携帯電話、携帯型映像／音声プレーヤ、ＰＤＡ、ＰＨＳなどであってもよい。

＜鍵生成装置２０のハードウェア構成について＞
次に、本実施形態に係る鍵生成装置２０のハードウェア構成について、図２６を参照しながら簡単に説明する。

図２６は、鍵生成装置２０のハードウェア構成を示したブロック図である。鍵生成装置２０は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２０１と、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２０３と、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２０５と、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）２０７と、暗号処理部２０９と、メモリ（セキュアモジュール）２１１と、を主に備える。

ＣＰＵ２０１は、演算処理装置および制御装置として機能し、ＲＯＭ２０３、ＲＡＭ２０５、ＨＤＤ２０７、またはリムーバブル記録媒体１４等に記録された各種プログラムに従って鍵生成装置２０内の動作全般を制御する。ＲＯＭ２０３は、ＣＰＵ２０１が使用するプログラムや演算パラメータ等を記憶する。ＲＡＭ２０５は、ＣＰＵ２０１の実行において使用するプログラムや、このプログラムの実行において適宜変化するパラメータ等を、一次記憶する。

ＨＤＤ２０７は、本実施形態に係る鍵生成装置２０の記憶部の一例として構成されたデータ格納用の装置である。このＨＤＤ２０７は、ハードディスクを駆動し、ＣＰＵ２０１が実行するプログラムや各種データを格納する。暗号処理部２０９は、本実施形態に係る鍵生成装置２０がＣＰＵ２０１の制御のもとで実行する各種の暗号処理を実行する。メモリ（セキュアモジュール）２１１は、主に、個人秘密鍵や、センタ秘密である乱数等の秘匿が必要な情報を安全に格納するが、このメモリ２１１の内部に格納された情報は、外部から参照することができないという特徴がある。また、メモリ（セキュアモジュール）２１１は、例えば、耐タンパ性を有する記憶装置により構成されていてもよい。なお、セキュアモジュールはメモリである旨の記載をしているが、本発明に係るセキュアモジュールは、メモリに限定されるわけではなく、例えば、磁気ディスク、光ディスク、光磁気ディスクであってもよく、また、半導体メモリ等の記憶媒体であってもよい。

上記のＣＰＵ２０１、ＲＯＭ２０３、ＲＡＭ２０５、ＨＤＤ２０７、暗号処理部２０９、および、メモリ２１１は、ＣＰＵバス等から構成されるバス２１３により、相互に接続されている。

バス２１３は、ブリッジを介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バスなどの入出力インターフェース２１５に接続されている。

入力装置２１７は、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチおよびレバー等のユーザが操作する操作手段と、使用者による操作に基づいて入力信号を生成し、ＣＰＵ２０１に出力する入力制御回路等から構成されている。鍵生成装置２０の使用者は、この入力部２１７を操作することにより、鍵生成装置２０に対して各種のデータを入力したり処理動作を指示したりすることができる。

出力装置２１９は、例えば、ＣＲＴディスプレイ装置、液晶ディスプレイ装置、プラズマディスプレイ装置、ＥＬディスプレイ装置およびランプ等の表示装置と、スピーカおよびヘッドホン等の音声出力装置等で構成される。出力部２１９は、例えば、再生されたコンテンツを出力することが可能である。具体的には、表示装置は、再生された映像データ等の各種情報を、テキストまたはイメージで表示する。一方、音声出力装置は、再生された音楽データ等を音声に変換して出力する。

通信装置２２１は、例えば、通信網１２に接続するための通信デバイス等で構成された通信インターフェースである。この通信装置２２１は、例えば暗号化装置３０や受信装置４０Ａ、４０Ｂとの間で、通信網１２を介して、暗号鍵に関する情報や、コンテンツ情報等といった、各種データを送受信する。

ドライブ２２３は、記憶媒体用リーダライタであり、鍵生成装置２０に内蔵、あるいは外付けされる。ドライブ２２３は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記録媒体１４に記録されている情報を読み出して、ＲＡＭ２０５に出力する。また、ドライブ２２３は、装着されている磁気ディスク、光ディスク、光磁気ディスク、または半導体メモリ等のリムーバブル記録媒体１４に記録を書き込むことも可能である。リムーバブル記録媒体１４は、例えば、ＤＶＤメディア、ＨＤ−ＤＶＤメディア、Ｂｌｕ−ｒａｙメディア、コンパクトフラッシュ（登録商標）（ＣｏｍｐａｃｔＦｌａｓｈ：ＣＦ）、メモリースティック、または、ＳＤメモリカード（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ ｍｅｍｏｒｙ ｃａｒｄ）等である。また、リムーバブル記録媒体９２７は、例えば、非接触型ＩＣチップを搭載したＩＣカード（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ ｃａｒｄ）または電子機器等であってもよい。

なお、暗号化装置３０および受信装置４０のハードウェア構成は、鍵生成装置２０のハードウェア構成と実質的に同一であるので、説明を省略する。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能を実現可能なハードウェア構成の一例を示した。上記の各構成要素は、汎用的な部材を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用するハードウェア構成を変更することが可能である。また、上記のハードウェア構成は、あくまでも一例であり、これに限定されるものでないことは言うまでもない。例えば、ＨＤＤ２０７とメモリ（セキュアモジュール）２１１とを同一の記憶装置により構成してもよい。また、利用形態によっては、バス２１３、または入出力インターフェース２１５等を省略する構成も可能である。以下、上記のようなハードウェア構成により実現される暗号鍵生成方式について詳述する。

＜従来方式の問題点＞
ここで、先に説明したように、従来方式では、任意のｅｎｔｉｔｙによる暗号化と、送信者が指定したユーザ集合に属するユーザのみによる復号という、公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ方式を実現している。しかしながら、ヘッダｈｄｒを生成したｅｎｔｉｔｙ自体の正当性を検証する手段が存在しないという問題点が存在する。

例えば、従来方式を利用して、インターネットを経由するコンテンツ配信システムにおいて、システムにおけるデバイスのアップデート用ファームウェアもコンテンツ同様の方法により暗号化し、配信する場合を考える。このような場合、従来方式の安全性により、ファームウェアの内容自体は送信者が指定したユーザ以外のｅｎｔｉｔｙが知ることはできない。しかしながら、従来方式を利用した場合には、送信者認証機能が付加されていないため、送信されたヘッダｈｄｒおよび暗号化されたファームウェアが、正しいｅｎｔｉｔｙ（デバイスの製造元等）によって作成されたものかどうかを、デバイス自身が判断不可能である。仮に、送信者を確認せずにｈｄｒを復号し、そこで得られたセッション鍵を利用して暗号化されたファームウェアを復号および実行した場合、ヘッダｈｄｒおよびセッション鍵Ｋは任意のｅｎｔｉｔｙが生成可能であるため、悪意のあるｅｎｔｉｔｙによって生成された不正なファームウェアであっても実行してしまうという問題（第１の問題点）が存在する。

上記のような問題点を回避するためには、通常、センタが各ユーザに対して従来方式における秘密鍵とは別に署名・検証用鍵ペアを提供し、ヘッダ送信時には、送信者がセッション鍵および暗号文と共にその署名を生成した後、ヘッダ、暗号文と共に配信する。受信者は、送信者の検証用鍵を利用してセッション鍵、暗号文および署名の正当性を検証し、検証に成功すれば、正当なユーザからのヘッダおよび暗号文であるとして復号する。このように構成することで前述の問題点は回避可能となるが、この場合には、各ユーザが従来方式における秘密鍵以外に、署名・検証用の鍵ペアを保持する必要がある。その結果、ユーザが所持するデバイスでは、保持する情報量、すなわちメモリ量が増加するという問題（第２の問題点）が存在する。

そこで、本願発明者らは、上述の問題点を解決すべく鋭意研究を行い、以下に説明するような、本発明の一実施形態に係る暗号鍵配信システムを開発した。

＜本実施形態に係る説明＞
これまで説明したような基盤技術を踏まえながら、以下において、本発明の第３の実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０について、詳細に説明する。

本実施形態に係る暗号鍵配信システム１０では、従来方式におけるＳｅｔｕｐアルゴリズムをＳｅｔｕｐ”アルゴリズムへと変更すると共に、ヘッダ署名用の処理として送信者認証用情報生成処理を追加するとともに、ヘッダ検証用の処理として受信内容検証処理を追加するものである。

よって、Ｊｏｉｎ処理、Ｅｎｃｒｙｐｔｉｏｎ処理、Ｄｅｃｒｙｐｔｉｏｎ処理、Ｅｎｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズム、および、Ｄｅｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムに関しては、従来方式と同一のものを使用する。

＜本実施形態に係る鍵生成装置２０について＞
まず、図２７を参照しながら、本実施形態に係る鍵生成装置２０について、詳細に説明する。図２７は、本実施形態に係る鍵生成装置２０の構成について説明するためのブロック図である。

本実施形態に係る鍵生成装置２０は、例えば図２７に示したように、パラメータ決定部１２５１と、双線形群選択部１２５３と、鍵生成部１２５５と、配布部１２６１と、記憶部１２６７と、を主に備える。

パラメータ決定部１２５１は、本実施形態に係る鍵生成装置２０が公開鍵や秘密鍵等を生成するために用いる様々なパラメータを所定の方法に基づいて決定する。かかるパラメータの例として、例えば、Ｓｅｔｕｐ処理等で用いられる素数ｐやＧ、Ｈ、Ｖ、γ等を挙げることができる。パラメータ決定部２５１は、例えば素数ｐやＧ、Ｈ、γを決定する際に、例えば乱数等を利用して無作為に値を決定する。また、パラメータ決定部１２５１は、後述する双線形群選択部１２５３から伝送された各種双線形群や双線形写像ｅを利用して、パラメータを決定してもよい。パラメータ決定部１２５１は、決定した各種パラメータを、後述する双線形群選択部１２５３や鍵生成部１２５５に伝送する。また、パラメータ決定部１２５１は、決定した各種パラメータを、後述する記憶部１２６７に記録してもよい。

双線形群選択部１２５３は、パラメータ決定部１２５１から伝送されたパラメータである素数ｐを用いて、ｐを位数とする双線形写像群Ｇと、巡回乗法群Ｇ_１を選択する。また、双線形群選択部１２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する。双線形群選択部１２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、パラメータ決定部１２５１および後述する鍵生成部１２５５に伝送する。また、双線形群選択部１２５３は、選択した双線形群Ｇ、Ｇ_１と、決定した双線形写像ｅとを、後述する記憶部１２６７に記録してもよい。

鍵生成部１２５５は、パラメータ決定部１２５１および双線形群選択部１２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵、マスター鍵等の鍵や、各ユーザに対応する公開情報等を生成する。生成された鍵や公開情報は、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。また、公開が必要な情報および配布する鍵類は、後述する配布部１２６１へと伝送される。

配布部１２６１は、鍵生成装置２０が生成した公開鍵および秘密鍵と、公開が必要な情報とを、通信網１２を介して配布する。かかる配布部１２６１は、送受信部１２６３と、公開鍵配布部１２６５と、を更に備える。

送受信部１２６３は、鍵生成部１２５５が生成した秘密鍵を、安全な通信路を介して個々のユーザに送信するとともに、受信装置４０から伝送されたシステム加入要求を受信する。受信されたシステム加入要求は鍵生成部１２５５へと伝送され、鍵生成部１２５５により新たな秘密鍵や公開鍵が生成される。

公開鍵配布部１２６５は、鍵生成部１２５５が生成した公開鍵や公開情報を、通信網１２を介して暗号化装置３０や受信装置４０に配布する。暗号化装置３０や受信装置４０は、かかる公開鍵や公開情報を利用して、平文の暗号化処理や暗号文の復号処理を実行する。

記憶部１２６７には、パラメータ決定部１２５１が決定した各種パラメータや、双線形群選択部１２５３が選択した双線形群や双線形写像が記録される。また、記憶部１２６７には、鍵生成部１２５５が生成した各種鍵や公開情報が、秘密保持される。更に、これらの各種データ以外にも、鍵生成装置２０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部１２６７は、パラメータ決定部１２５１、双線形群選択部１２５３、鍵生成部１２５５、配布部１２６１等が、自由に読み書きを行うことが可能である。

＜本実施形態に係る暗号化装置３０について＞
続いて、図２８を参照しながら、本実施形態に係る暗号化装置３０について、詳細に説明する。図２８は、本実施形態に係る暗号化装置３０の構成について説明するためのブロック図である。

本実施形態に係る暗号化装置３０は、例えば図２８に示したように、受信部１３０１と、排除受信装置特定部１３０３と、セッション鍵決定部１３０７と、双線形写像演算部１３１３と、暗号化部１３１５と、暗号文送信部１３１７と、記憶部１３１９と、送信者認証用情報生成部１３２１と、を主に備える。

受信部１３０１は、鍵生成装置２０により生成され、公開された公開鍵と公開情報とを受信する。受信した公開鍵および公開情報は、後述する記憶部１３１９に記録され、必要な際に読み出されて利用される。

排除受信装置特定部１３０３は、暗号化装置３０に通信網１２を介して接続されている複数の受信装置４０の中から、暗号文の配信を排除する受信装置を特定し、排除される受信装置の集合Ｒを決定する。集合Ｒの決定に際しては、排除受信装置特定部１３０３は、後述する記憶部１３１９に記憶されている様々なデータを参照することができる。決定された集合Ｒは、後述するセッション鍵決定部１３０７に伝送され、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等の算出に利用される。また、排除受信装置特定部１３０３は、決定された集合Ｒを後述する記憶部１３１９に記録してもよい。

セッション鍵決定部１３０７は、受信部１３０１が受信し記憶部１３１９に記録されている公開鍵および公開情報と、排除受信装置特定部１３０３が決定した集合Ｒ等とに基づいて、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等を決定する。このセッション鍵決定部１３０７は、セッション鍵算出部１３０９と、ヘッダ算出部１３１１と、を更に備える。

セッション鍵算出部１３０９は、記憶部１３１９から取得した公開鍵および公開情報と、排除受信装置特定部１３０３から伝送される、排除される受信装置の集合Ｒ等と、に基づいて、配信するコンテンツ等の平文を暗号化するために利用するセッション鍵を算出する。セッション鍵算出部１３０９が算出したセッション鍵は、後述する暗号化部１３１５に伝送され、平文を暗号化する際に利用される。また、セッション鍵算出部１３０９が算出したセッション鍵と、セッション鍵の算出の際に用いられた各種パラメータは、後述する送信者認証用情報生成部１３２１に伝送され、送信者認証用情報の生成に利用される。なお、セッション鍵算出部１３０９は、算出したセッション鍵を、記憶部１３１９に記録してもよい。

ヘッダ算出部１３１１は、セッション鍵算出部１３０９がセッション鍵を算出する際に計算した各種データと、記憶部１３１９に記録されている公開鍵や公開情報等とを利用して、暗号文と同時に受信装置４０に配信されるヘッダを生成する。生成されたヘッダは、後述する暗号文送信部１３１７および送信者認証用情報生成部１３２１へと伝送される。また、ヘッダ算出部１３１１は、生成したヘッダ情報を、記憶部１３１９に記録してもよい。

双線形写像演算部１３１３は、セッション鍵の算出の際および送信者認証用情報の生成の際に実行する必要がある双線形写像に関する演算を行う処理部である。セッション鍵の算出に際して、双線形写像演算部１３１３は、記憶部１３１９に記録されている公開情報に含まれる双線形群Ｇ，Ｇ_１および層線形写像ｅと、セッション鍵決定部１３０７から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵決定部１３０７に再度伝送され、セッション鍵やヘッダの算出に利用される。

また、送信者認証用情報の生成に際して、双線形写像演算部１３１３は、記憶部１３１９に記録されている公開情報に含まれる双線形群Ｇ，Ｇ_１および層線形写像ｅと、後述する送信者認証用情報生成部１３２１から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、送信者認証用情報生成部１３２１に再度伝送され、送信者認証用情報の生成に利用される。

なお、双線形写像演算部１３１３は、演算結果を記憶部１３１９に記録してもよい。

暗号化部１３１５は、記憶部１３１９等から配信するコンテンツ等の平文を取得し、セッション鍵決定部１３０７で算出されたセッション鍵を用いて暗号化処理を行い、平文を暗号化する。暗号化された平文は、暗号文送信部１３１７と送信者認証用情報生成部１３２１へと伝送される。また、暗号化部１３１５は、暗号化した平文を、記憶部１３１９に記録してもよい。

暗号文送信部１３１７は、暗号化部１３１５によって暗号化された暗号文と、ヘッダ算出部１３１１によって算出されたヘッダと、後述する送信者認証用情報生成部１３２１によって生成された送信者認証用情報とを、通信網１２等を介して、各受信装置に同報配信する。

記憶部１３１９には、受信部１３０１が受信した公開鍵および公開情報や、排除受信装置特定部１３０３が決定した集合Ｒや、セッション鍵決定部１３０７が算出したセッション鍵やヘッダ情報等が記録される。また、記憶部１３１９には、これらの各種データ以外にも、暗号化装置３０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部１３１９は、受信部１３０１、排除受信装置特定部１３０３、セッション鍵決定部１３０７、双線形写像演算部１３１３、暗号化部１３１５、暗号文送信部１３１７、送信者認証用情報生成部１３２１等が、自由に読み書きを行うことが可能である。

送信者認証用情報生成部１３２１は、セッション鍵算出部１３０９から伝送されたセッション鍵および算出に用いられたパラメータと、ヘッダ算出部１３１１から伝送されたヘッダと、暗号化部１３１５から伝送された暗号文と、公開鍵および公開情報と、暗号化装置に固有の値および秘密鍵と、を利用して、送信者認証用情報を生成する。この送信者認証用情報は、受信者が受信装置において、送信された暗号文およびヘッダの改ざんの有無と、送信者の正当性とを検証するために用いられる情報である。送信者認証用情報生成部１３２１は、この送信者認証用情報を生成する際に、双線形写像演算部１３１３を利用してもよい。生成された送信者認証用情報は、暗号文送信部１３１７へと伝送され、ヘッダおよび暗号文とともに、各受信装置に同報配信される。また、送信者認証用情報生成部１３２１は、生成した送信者認証用情報を、記憶部１３１９に記録してもよい。

＜本実施形態に係る受信装置４０について＞
続いて、図２９を参照しながら、本実施形態に係る受信装置４０について、詳細に説明する。図２９は、本実施形態に係る受信装置４０の構成について説明するためのブロック図である。

本実施形態に係る受信装置４０は、例えば図２９に示したように、受信部１４０１と、セッション鍵算出部１４０３と、双線形写像演算部１４０５と、受信内容検証部１４０７と、復号部１４０９と、記憶部１４１１と、を主に備える。

受信部１４０１は、鍵生成装置２０により生成された秘密鍵、公開鍵および公開情報を受信する。また、受信部１４０１は、暗号化装置３０によって暗号化された暗号文、ヘッダ情報および送信者認証用情報についても、受信することが可能である。受信部１４０１は、鍵生成装置２０から受信した秘密鍵、公開鍵および公開情報と、暗号化装置３０から受信したヘッダを、後述するセッション鍵算出部１４０３に伝送する。また、受信部１４０１は、暗号化装置３０から受信した暗号文、ヘッダおよび送信者認証用情報を、後述する受信内容検証部１４０７に伝送する。さらに、受信部１４０１は、暗号化装置３０から受信した暗号文を、後述する復号部１４０９に伝送する。なお、受信部１４０１は、受信した秘密鍵、公開情報、暗号文、ヘッダ情報、送信者認証用情報等を、後述する記憶部１４１１に記録してもよい。

セッション鍵算出部１４０３は、鍵生成装置２０から取得した秘密鍵、公開鍵および公開情報と、暗号化装置３０から送信されたヘッダ等に基づいて、暗号化装置３０から配信された暗号文を復号化処理する際に利用するセッション鍵を算出する。セッション鍵算出部１４０３は、算出したセッション鍵を、後述する受信内容検証部１４０７および復号部１４０９に伝送する。また、セッション鍵算出部１４０３は、算出したセッション鍵を、後述する記憶部１４１１に記録してもよい。

双線形写像演算部１４０５は、セッション鍵の算出および受信内容の検証の際に実行する必要がある双線形写像に関する演算を行う処理部である。双線形写像演算部１４０５は、公開情報に含まれる双線形群Ｇ，Ｇ_１と、セッション鍵算出部１４０３から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、セッション鍵算出部１４０３に再度伝送され、セッション鍵の算出に利用される。

また、受信内容の検証に際して、双線形写像演算部１４０５は、記憶部１４１１に記録されている公開情報に含まれる双線形群Ｇ，Ｇ_１および層線形写像ｅと、後述する受信内容検証部１４０７から伝送されるデータとを用いて、双線形写像の演算を行う。演算結果は、受信内容検証部１４０７に再度伝送され、受信内容の検証に利用される。

なお、双線形写像演算部１４０５は、演算結果を記憶部１４１１に記録してもよい。

受信内容検証部１４０７は、セッション鍵算出部１４０３で算出したセッション鍵と、暗号化装置３０から送信されたヘッダ、暗号文および送信者認証用情報とに基づいて、送信者の正当性と、受信した内容に施された改ざんの有無とを検証する。受信内容検証部１４０７は、検証処理を行う際に、双線形写像演算部１４０５を利用してもよい。受信内容検証部１４０７は、検証結果を、後述する復号部１４０９に出力する。また、受信内容検証部１４０７は、検証結果を、後述する記憶部１４１１に記録してもよい。

復号部１４０９は、セッション鍵算出部１４０３が算出したセッション鍵を利用して、暗号化装置３０から配信されたコンテンツ等の暗号文を復号化し、平文に変換する。復号部１４０９により行われる復号化処理は、受信内容検証部１４０７から伝送される検証結果に応じて行われてもよい。すなわち、復号部１４０９は、受信内容検証部１４０７から受信内容の検証が成功した旨の通知を受けた場合に復号化処理を実行し、検証が失敗した旨の通知を受けた場合には復号化処理を実行しないようにすることが可能である。復号部１４０９は、取得した平文を、記憶部１４１１に格納することが可能である。

記憶部１４１１には、受信部１４０１が受信した秘密鍵、公開鍵および公開情報が記録される。また、記憶部１４１１には、暗号化装置３０から送信された暗号文、ヘッダおよび送信者認証用情報や、セッション鍵算出部１４０３が算出したセッション鍵や、復号部１４０９が復号化処理を行った平文等が記録されてもよい。さらに、記憶部１４１１には、これらの各種データ以外にも、受信装置４０が、何らかの処理を行う際に保存する必要が生じた様々なパラメータや処理の途中経過等、または、各種のデータベース等を、適宜記憶することが可能である。この記憶部１４１１は、受信部１４０１、セッション鍵算出部１４０３、双線形写像演算部１４０５、受信内容検証部１４０７、復号部１４０９等が、自由に読み書きを行うことが可能である。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能の一例を示した。上記の各構成要素は、汎用的な部材や回路を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。また、各構成要素の機能を、ＣＰＵ等が全て行ってもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用する構成を変更することが可能である。

＜鍵生成装置２０の動作：Ｓｅｔｕｐ”処理およびＪｏｉｎ処理＞
センタは、所有する鍵生成装置２０を操作し、以下の手順に従って、公開鍵および公開情報と、各ユーザに対応する個人秘密鍵とを生成する。なお、本実施形態に係る鍵生成装置２０が実行するＪｏｉｎ処理は、従来方法におけるＪｏｉｎ処理と同一であるため、図４を参照しながら、本実施形態に係る鍵生成装置２０のＪｏｉｎ処理について、詳細に説明する。また、本実施形態に係る鍵生成装置２０が実行するＳｅｔｕｐ”処理については、図３０を参照しながら、詳細に説明する。図３０は、本実施形態に係るＳｅｔｕｐ”処理を説明するための流れ図である。

［鍵生成装置２０におけるＳｅｔｕｐ”処理］
Ｓｅｔｕｐ”処理は、本実施形態に係る鍵生成装置２０を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ”処理を実行する。

まず、鍵生成装置２０のパラメータ決定部１２５１は、λ−ｂｉｔの素数ｐを生成し、次いで、双線形群選択部１２５３は、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ１１０１）。

次に、鍵生成装置２０の双線形群選択部１２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ１１０２）。

続いて、鍵生成装置２０のパラメータ決定部１２５１は、Ｇ，Ｈ∈Ｇを選択して、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１を計算する（ステップＳ１１０３）。

その後、鍵生成装置２０のパラメータ決定部１２５１は、γ∈_ＲＺ_ｐ ^＊を選択し、鍵生成装置２０の鍵生成部１２５５は、Ｗ＝γＧ∈ＧおよびＸ＝γＨ∈Ｇを計算する（ステップＳ１１０４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

次に、鍵生成装置２０の鍵生成部１２５５は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ１１０５）。

ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ，Ｖ，Ｘ｝ ・・・（式３０１）

公開鍵の生成が終了すると、鍵生成装置２０の配布部１２６１は、Ｓｅｔｕｐ”処理の実行によって得られた初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

本実施形態に係る鍵生成装置２０は、公開情報として、Ｘ＝γＨ∈Ｇを公開するため、暗号化装置３０において暗号化処理を実行する際に、排除する受信装置がない場合（すなわち、全ての受信装置に対して送信を行う場合）の処理を簡略化することが可能となる。

［鍵生成装置２０におけるＪｏｉｎ処理］
Ｊｏｉｎ処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置２０に入力し、以下に説明するＪｏｉｎ処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。

まず、鍵生成装置２０の鍵生成部１２５５は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊を計算する（ステップＳ２１）。その後、以下の式３０２に示す計算を行うことにより、鍵生成部１２５５は、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ２２）。

ここで、上記式３０２におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

次に、鍵生成装置２０の鍵生成部１２５５は、ユーザｉに対応する公開情報を以下の式３０３のようにして計算し、ｄｋ_ｉおよび（ｕ_ｉ，Ｖ_ｉ）を得る（ステップＳ２３）。

鍵生成装置２０の配布部１２６１は、Ｊｏｉｎ処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ，Ｖ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式３０４のような構成となっている。

以上、本実施形態に係る鍵生成装置２０で実行されるＳｅｔｕｐ”処理およびＪｏｉｎ処理について説明した。続いて、本実施形態に係る暗号化装置３０で実行される暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ処理）および送信者認証用情報の生成処理（Ｓｉｇｎ処理）について、説明する。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ処理およびＳｉｇｎ処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。なお、本実施形態に係る暗号化装置３０が実行するＥｎｃｒｙｐｔｉｏｎ処理は、従来方法におけるＥｎｃｒｙｐｔｉｏｎ処理と同一であるため、図５を参照しながら、本実施形態に係る暗号化装置３０のＥｎｃｒｙｐｔｉｏｎ処理について、詳細に説明する。また、配信者は、暗号化装置３０を操作して、受信装置４０において生成した暗号文とヘッダの正当性および改ざんの有無の検証に用いられる送信者認証用情報を、以下の手順に従って生成する。図３１は、本実施形態に係る暗号化装置３０が送信者認証用情報を生成する際に実行するＳｉｇｎ処理を説明するための流れ図である。

［暗号化装置３０におけるＥｎｃｒｙｐｔｉｏｎ処理］
Ｅｎｃｒｙｐｔｉｏｎ処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を暗号化装置に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。

暗号化装置３０の排除受信装置特定部１３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ３１）、カウント結果ｒをセッション鍵決定部１３０７に出力する。次に、暗号化装置３０のセッション鍵算出部１３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ３２）。

続いて、暗号化装置３０のセッション鍵算出部１３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ３３）。ｒ＝０の場合（すなわち、排除されたユーザが誰もいない場合）には、セッション鍵算出部１３０９は、後述するステップＳ３４を実行する。また、ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ３５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ３６を実行する。

排除されたユーザが誰もいない場合には、セッション鍵算出部１３０９は、以下の式３０５および式３０６に基づいて、Ｐ_ｒおよびＫ’を決定し（ステップＳ３４）、その後ステップＳ３８を実行する。

また、排除されたユーザが一人である場合には、セッション鍵算出部１３０９は、以下の式３０７および式３０８に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ３５）、その後ステップＳ３８を実行する。

また、排除されたユーザが２人以上である場合には、セッション鍵算出部１３０９は、双線形写像演算部１３１３に対して、Ｇ上の演算における双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）を行い、以下の式３０９に示した値を計算するよう要請し、双線形写像演算部１３１３は、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行して、式３０９の値をセッション鍵算出部１３０９に出力する（ステップＳ３６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムについては、以下で改めて詳細に説明する。

続いて、暗号化装置は、セッション鍵算出部１３０９は、双線形写像演算部１３１３に対して、Ｇ_１上の演算における双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）を行い、以下の式３１０に示した値を計算するよう要請し、双線形写像演算部１３１３は、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行して、式３１０の値をセッション鍵算出部１３０９に出力する（ステップＳ３７）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、暗号化装置３０のヘッダ算出部１３１１は、ヘッダｈｄｒを、以下の式３１１のようにして計算する（ステップＳ３８）。

次に、暗号化装置のセッション鍵算出部１３０９は、セッション鍵Ｋを以下の式３１２に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する。

暗号化装置の暗号化部１３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、送信者認証用情報生成部１３２１に伝送する。また、暗号文送信部１３１７は、生成された（ｈｄｒ，Ｃ）を、後述する送信者認証用情報とともに同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ処理で実行する構成としてもよい。また、ステップＳ３１は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ処理を実行する暗号化装置に入力する形態をとってもよい。

［双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム］
続いて、図６を参照しながら、Ｅｎｃｒｙｐｔｉｏｎ処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムについて、詳細に説明する。

Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムは、双線形写像演算部１３１３が（Ｐ_１，・・・Ｐ_ｒ）∈Ｇを算出する際に実行するアルゴリズムである。

まず、双線形写像演算部１３１３は、Ｐ_０，ｍ＝Ｖ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、ｊ＝１と設定する（ステップＳ４１）。続いて、双線形写像演算部１３１３は、ｌ＝ｊ＋１と設定する（ステップＳ４２）。

ここで、双線形写像演算部１３１３は、ｕ_Ｒｊとｕ_Ｒｌとの比較を行い、ｕ_Ｒｊ＝ｕ_Ｒｌであれば、エラーメッセージを出力し（ステップＳ４４）、処理を終了する。ｕ_Ｒｊ＝ｕ_Ｒｌでなければ、以下に示すステップＳ４５を実行する。

続いて、双線形写像演算部１３１３は、以下の式３１３を用いて、Ｐ_ｊ，ｌを計算する（ステップＳ４５）。

上記式３１３の計算が終了すると、双線形写像演算部１３１３は、ｌにｌ＋１を代入し（ステップＳ４６）、ｌとｒ＋１の比較を行う（ステップＳ４７）。ｌ＝ｒ＋１であれば、双線形写像演算部１３１３は、ステップＳ４８を実行し、ｌがｒ＋１と等しくなければ、双線形写像演算部１３１３は、ステップＳ４３に戻って処理を続行する。

次に、双線形写像演算部１３１３は、ｊにｊ＋１を代入し（ステップＳ４８）、ｊとｒの比較を行う（ステップＳ４９）。ｊ＝ｒであれば、双線形写像演算部１３１３は、ステップＳ５０を実行し、ｊがｒと等しくなければ、双線形写像演算部１３１３は、ステップＳ４２に戻って処理を続行する。

その後、双線形写像演算部１３１３は、Ｐ_{ｊ−１，ｌ}をＰ_ｒとして出力する（ステップＳ５０）。

例えば、ｒ＝３の場合には、双線形写像演算部１３１３は、上述のＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行することで、Ｐ_２，３をＰ_３として出力する。

なお、Ｋ’∈Ｇ_１も、上述のＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムによって算出することが可能である。この場合、双線形写像演算部１３１３は、Ｐ_０，ｍ＝Ｖ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、加（減）算を乗（除）算に、乗算を冪乗算に変更した上で、ステップＳ４５をＧ_１上での演算として実行すればよい。ただし、Ｚ_ｐ ^＊上の演算である１／（ｕ_Ｒ１−ｕ_Ｒｊ）は、いずれの場合においてもＺ_ｐ ^＊上での減算及び逆元演算として計算する必要がある。

［送信者認証用情報の生成処理−Ｓｉｇｎ処理］
続いて、図３１を参照しながら、本実施形態に係る送信者認証用情報生成部３２１が実行する送信者認証用情報の生成処理（Ｓｉｇｎ処理）について、詳細に説明する。図３１は、本実施形態に係るＳｉｇｎ処理を説明するための流れ図である。

Ｓｉｇｎ処理は、本実施形態に係る暗号化装置３０を有する送信者がヘッダｈｄｒの生成後に実行する処理である。なお，Ｓｉｇｎ処理は、正規の秘密鍵を有する送信者（暗号化装置３０）にのみ実行可能な処理である。

送信者は、公開鍵ｅｋ_ｉ、送信者自身に固有の値ｕ_ｊ、送信者自身が保持する秘密鍵ｄｋ_ｊ、Ｅｎｃｒｙｐｔｉｏｎ処理の実行後にセッション鍵算出部１３０９から出力されるｋ、Ｋ’、セッション鍵Ｋ、および、暗号文Ｃを暗号化装置３０に入力し、以下で説明するＳｉｇｎ処理を実行させる。

まず、送信者認証用情報生成部１３２１は、パラメータｔ∈Ｚ_ｐ ^＊を無作為に選択する（ステップＳ１２０１）。次に、送信者認証用情報生成部１３２１は、以下の式３１４に基づいて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，０を算出する（ステップＳ１２０２）。

次に、送信者認証用情報生成部１３２１は、算出したｓｉｇ_ｊ，０と、暗号文Ｃと、セッション鍵Ｋとを用いて、これらの値のハッシュ値ｈを、ハッシュ関数を用いて以下の式３１５のように計算する（ステップＳ１２０３）。

続いて、送信者認証用情報生成部１３２１は、算出したハッシュ値ｈと、選択したパラメータｔと、セッション鍵算出部１３０９から伝送された値ｋとを用いて、送信者の秘密情報ｙを以下の式３１６のように算出する（ステップＳ１２０４）。

ｙ＝ｔ−ｈｋ∈Ｚ_ｐ ^＊ ・・・（式３１６）

次に、送信者認証用情報生成部１３２１は、算出した秘密情報ｙと、暗号化装置３０に固有の秘密鍵ｄｋｊとを用いて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，１を以下の式３１７に基づいて算出し、（ｕｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を送信者認証用情報として、暗号文送信部１３１７に出力する（ステップＳ１２０５）。

以上説明したように、本実施形態に係る送信者認証用情報生成部１３２１は、送信者が任意に選択したパラメータに基づいて算出された値と、暗号文Ｃと、セッション鍵Ｋとに関するハッシュ値を用いて送信者認証用情報を生成する。したがって、悪意のある第三者が暗号文の内容やセッション鍵を改ざんして送信者認証用情報を再生成した場合には、算出されるハッシュ値が異なる値となる。そのため、送信者認証用情報を受信した受信装置４０は、この送信者認証用情報を利用することで、送信者の正当性および送信内容に改ざんがなされたか否かを検証することができる。

以上、本実施形態に係る暗号化装置３０で実行されるＥｎｃｒｙｐｔｉｏｎ処理およびＳｉｇｎ処理について説明した。続いて、本実施形態に係る受信装置４０で実行されるセッション鍵の算出処理（Ｄｅｃｒｙｐｔｉｏｎ処理）および受信内容検証処理（Ｖｅｒｉｆｉｃａｔｉｏｎ処理）について、説明する。

＜受信装置４０の動作：Ｄｅｃｒｙｐｔｉｏｎ処理及びＶｅｒｉｆｉｃａｔｉｏｎ処理＞
暗号化装置３０から暗号文等の送信を受けた受信者は、所有する受信装置４０を操作し、以下の手順に従って、セッション鍵の算出処理であるＤｅｃｒｙｐｔｉｏｎ処理を実行する。なお、本実施形態に係る受信装置４０が実行するＤｅｃｒｙｐｔｉｏｎ処理は、従来方法におけるＤｅｃｒｙｐｔｉｏｎ処理と同一であるため、図７を参照しながら、本実施形態に係るＤｅｃｒｙｐｔｉｏｎ処理について、詳細に説明する。また、受信者は、受信装置４０を操作して、受信した内容の検証処理を、以下の手順に従って実行する。図３２は、本実施形態に係る受信装置４０が受信内容を検証する際に実行するＶｅｒｉｆｉｃａｔｉｏｎ処理を説明するための流れ図である。

［セッション鍵の算出処理−Ｄｅｃｒｙｐｔｉｏｎ処理］
Ｄｅｃｒｙｐｔｉｏｎ処理は、コンテンツ等の配信を受けた受信者が暗号文を復号して平文を取得する際に必要となるセッション鍵を算出する処理であり、本実施形態に係る受信装置４０によって実行される。

受信装置４０は、送信者により送信されたｈｄｒと、秘密鍵ｄｋ_ｉと、自身に固有の値であるｕ_ｉと、に基づいて、以下に説明するＤｅｃｒｙｐｔｉｏｎ処理を実行することで、配信されたコンテンツ等の暗号文を復号するためのセッション鍵を算出する。また、受信装置４０は、算出したセッション鍵を用いて暗号文の復号化処理を行う。

まず、受信装置４０のセッション鍵算出部１４０３は、受信部１４０１が受信したｈｄｒの中に、自身に固有の値であるｕ_ｉが存在するか否かを判断する（ステップＳ５１）。ｈｄｒの中に自身に固有の値であるｕ_ｉが存在する場合には、送信者により受信者が排除されたことを意味するため、受信装置４０は、エラーメッセージを出力し（ステップＳ５２）、処理を終了する。また、ｈｄｒの中に自身に固有の値であるｕ_ｉが存在しない場合には、受信装置４０は、以下のステップＳ５３を実行する。

次に、セッション鍵算出部１４０３は、ｒが０か否かを判定する（ステップＳ５３）。ｒ＝０の場合には、セッション鍵算出部１４０３は、後述するステップＳ５４を実行する。また、ｒが０ではない場合には、セッション鍵算出部１４０３は、後述するステップＳ５５を実行する。

ここで、ｒ＝０の場合には、セッション鍵算出部１４０３は、Ｂ_ｉ，Ｒ＝Ｂ_ｉと設定し、後述するステップＳ５６を実施する。

また、ｒが０ではない場合には、セッション鍵算出部１４０３は、双線形写像演算部１４０５に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム）を行い、以下の式３１８に示した値を計算するよう要請し、双線形写像演算部１４０５は、Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムを実行して、式３１８の値をセッション鍵算出部１４０３に出力する（ステップＳ５５）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについては、以下で改めて詳細に説明する。

ステップＳ５４またはステップＳ５５が終了すると、セッション鍵算出部１４０３は、取得したＢ_ｉ，Ｒを用いて、以下の式３１９によりセッション鍵Ｋを算出する（ステップＳ５６）。

セッション鍵算出部１４０３は、上述のＤｅｃｒｙｐｔｉｏｎ処理により得られたセッション鍵Ｋを、受信内容検証部１４０７へと出力する。受信内容検証部１４０７から検証が成功した旨の通知を受けた復号部１４０９は、上述のＤｅｃｒｙｐｔｉｏｎ処理により得られたセッション鍵Ｋを利用して、送信者から送信されたコンテンツ等の暗号文Ｃを復号し、平文Ｍ＝Ｄ_Ｋ（Ｃ）を取得する。また、受信内容検証部１４０７から検証が失敗した旨の通知を受けた復号部１４０９は、受信した暗号文の復号処理を行わないようにしてもよい。

［双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズム］
続いて、図８を参照しながら、Ｄｅｃｒｙｐｔｉｏｎ処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムについて、詳細に説明する。

Ａｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムは、双線形写像演算部１４０５がＢ_ｉ，Ｒ∈Ｇを算出する際に実行するアルゴリズムである。

まず、双線形写像演算部１４０５は、パラメータｔｍｐを設定し、ｔｍｐの初期値をＢ_ｉとし（ステップＳ６１）、続いて、双線形写像演算部１４０５は、ｊ＝１と設定する（ステップＳ６２）。

次に、双線形写像演算部１４０５は、ｕ_Ｒｊとｕ_ｉとの比較を行い、ｕ_Ｒｊ＝ｕ_iであれば、エラーメッセージを出力し（ステップＳ６４）、処理を終了する。ｕ_Ｒｊ＝ｕ_iでなければ、以下に示すステップＳ６５を実行する。

続いて、双線形写像演算部１４０５は、以下の式３２０を用いて、新たなｔｍｐの値を計算する（ステップＳ６８）。

ここで、上記式３１４から明らかなように、式中の分母に、受信装置に固有の値であるｕ_ｉが含まれているため、暗号化装置から送信されたｈｄｒに自身のｕ_ｉが含まれている場合には、ｔｍｐが値を持たなくなる。これにより、排除されたユーザは、セッション鍵Ｋの算出に必要なＢ_ｉ，Ｒを得ることが出来なくなるため、暗号文を復号化することができない。

上記の演算が終了すると、双線形写像演算部１４０５は、ｊの値をｊ＋１とし（ステップＳ６６）、次いで、ｊとｒ＋１の比較を行う（ステップＳ６７）。ｊ＝ｒ＋１であれば、双線形写像演算部１４０５は、後述するステップＳ６８を実行する。また、ｊがｒ＋１と等しくない場合には、双線形写像演算部１４０５は、ステップＳ６３に戻って処理を続行する。

次に、双線形写像演算部１４０５は、ｔｍｐをセッション鍵算出部１４０３に出力する（ステップＳ６８）。出力されたｔｍｐは、Ｂ_ｉ，Ｒであり、セッション鍵算出部１４０３は、かかる出力値を用いてセッション鍵Ｋを算出する。

［受信内容の検証処理−Ｖｅｒｉｆｉｃａｔｉｏｎ処理］
Ｖｅｒｉｆｉｃａｔｉｏｎ処理は、排除されていないユーザが、送信されたヘッダｈｄｒと、送信者認証用情報である（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を利用して、ヘッダｈｄｒおよび暗号文Ｃを生成したのが、正規の秘密鍵を有するユーザであり、かつ、ヘッダｈｄｒおよび暗号文Ｃが改ざんされていないかどうかを確認する際に実行する処理である。

検証者は、受信したヘッダｈｄｒ、ヘッダｈｄｒの復号結果として得られるセッション鍵Ｋ、暗号文Ｃ、および、送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を受信装置４０に入力し、受信装置４０は、以下で説明するＶｅｒｉｆｉｃａｔｉｏｎ処理を実行する。

なお、Ｖｅｒｉｆｉｃａｔｉｏｎ処理では、公開鍵ｅｋ_ｉのシステムパラメータ部分である（ｐ，Ｇ，Ｇ_１，ｅ）のみを利用するが、これらの値は、通常あらかじめ各ユーザ（あるいはユーザが保持する受信装置４０）によって保持されているため、ここでは入力として公開鍵を与える必要がないものとする。

まず、受信装置４０の受信内容検証部１４０７は、排除されるユーザの集合Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ１３０１）、カウント結果の判定を行う（ステップＳ１３０２）。カウント結果ｒが０である場合（すなわち、排除されるユーザは存在せず、全てのユーザが復号可能である場合）には、受信内容検証部１４０７は、後述するステップＳ１３０３を実行する。また、カウント結果ｒが１である場合には、受信内容検証部１４０７は、後述するステップＳ１３０４を実行する。また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、後述するステップＳ１３０５を実行する。

カウント結果ｒが０である場合には、受信内容検証部１４０７は、公開情報に含まれる値を利用してγＰ_ｒ＝Ｘ、Ｐ_ｒ＝Ｈと設定し（ステップＳ１３０３）、後述するステップＳ１３０６を実行する。

また、カウント結果ｒが１である場合には、受信内容検証部１４０７は、下記式３２１に基づいてγＰ_ｒを計算し（ステップＳ１３０４）、後述するステップＳ１３０６を実行する。

また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、下記式３２２に基づいてγＰ_ｒを計算し（ステップＳ１３０５）、後述するステップＳ１３０６を実行する。

次に、受信内容検証部１４０７は、算出したγＰ_ｒと、送信者認証用情報と、公開情報とを利用して、下記式３２３に基づいて、検証用に用いられるパラメータＣＨ_１を計算する（ステップＳ１３０６）。

続いて、受信内容検証部１４０７は、暗号化装置３０から送信された暗号文Ｃおよび送信者認証用情報と、セッション鍵算出部１４０３から伝送されたセッション鍵Ｋとを用いて、以下の式３２４に基づいてハッシュ値ｈ’を算出する（ステップＳ１３０７）。

次に、受信内容検証部１４０７は、算出した検証用パラメータＣＨ_１およびハッシュ値ｈ’と、セッション鍵算出部４０３から伝送されたセッション鍵Ｋとを用いて、検証用の値ＣＨ_２を、以下の式３２５に基づいて算出する（ステップＳ１３０８）。

続いて、受信内容検証部１４０７は、算出した検証用の値ＣＨ_２と、送信者認証用情報に含まれているｓｉｇ_ｊ，０とを比較する（ステップＳ１３０９）。ＣＨ_２＝ｓｉｇ_ｊ，０であった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒは、正当な秘密鍵を持つユーザｊから送信されたものであって、かつ、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされていない（すなわち、検証が成功した）と判定する（ステップＳ１３１０）。また、ＣＨ_２≠ｓｉｇ_ｊ，０であった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒが正当な秘密鍵を持つユーザｊから送信されたものではないか、または、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされたものである（すなわち、検証が失敗した）と判定する（ステップＳ１３１１）。

検証結果が確定すると、受信内容検証部１４０７は、検証結果を復号部１４０９へと伝送する。

なお、上述のステップＳ１３０１は、受信者自身が実行し、Ｖｅｒｉｆｉｃａｔｉｏｎ処理を実行する受信装置４０に入力する形態をとってもよい。

＜検証の正当性について＞
以上、本実施形態に係る受信装置４０の動作について、詳細に説明した。続いて、暗号化装置３０が送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を付加することにより、受信者側において，ヘッダｈｄｒおよび暗号文Ｃがユーザｊによって作成された（または、他者が生成したものをユーザｊが認証した）こと、および、ヘッダｈｄｒおよび暗号文Ｃが改ざんされていないこと、を確認可能であることを示す。

検証者であるユーザｉは、受信装置４０によってヘッダを復号してセッション鍵Ｋを取得した後、受信装置４０によりＶｅｒｉｆｉｃａｔｉｏｎ処理を実行する。Ｖｅｒｉｆｉｃａｔｉｏｎ処理では、ステップＳ１３０３〜ステップＳ１３０５においてγＰ_ｒを導出し、ステップＳ１３０６において検証用パラメータＣＨ_１を計算している．

ここで、ｓｉｇ_ｊ，１は、式３１７に示した値を有するものであるため、式３２３を展開すると、ＣＨ_１は、以下の式３２６のような値となる。

他方、ヘッダｈｄｒ，暗号文Ｃおよび送信者認証用情報ｓｉｇ_ｊ，０が改ざんされておらず、送信者認証用情報ｓｉｇ_ｊ，０がユーザｊにより生成され、かつ、ヘッダｈｄｒより正しいセッション鍵Ｋが導出されている場合には、ステップＳ１３０７によりｈ＝ｈ’となる。したがって、上述のような場合には、ステップＳ１３０８で算出される検証用の値ＣＨ_２は、以下の式３２７のようになる。

よって、ＣＨ_２＝ｓｉｇ_ｊ，０であるならば、検証が成立していることがわかる。

＜従来方式との相違点＞
従来方式では、ヘッダｈｄｒを任意のｅｎｔｉｔｙが生成・送信可能であり、排除されていないユーザのみが復号可能であるという公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎの機能を実現している。これに対して本実施形態に係る方式では、従来方式において実現されている公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎの機能に加えて、正規のユーザであれば、ヘッダｈｄｒ生成後、Ｓｉｇｎ処理を実行することによって、送信者認証用情報を付加することが可能となっている。これにより、ヘッダｈｄｒおよび送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を受信したユーザが、ヘッダｈｄｒ、暗号文Ｃの改ざん検出及び生成者の確認が可能となっている点が、従来方式と大きく異なる。

従来方式単独で利用した場合には、受信者が送信者の正当性を確認することが不可能であるが、従来方式に加え、別途既存の署名方式を適用すれば、ヘッダに送信者認証用情報を追加することは可能となる。しかしながら、この場合には、従来方式においてコンテンツを保護するための秘密鍵ｄｋ_ｉと、署名方式において利用する送信者認証用情報を生成するための署名鍵の二種類の秘密鍵を秘密保持する必要が発生する。これに対して、本実施形態に係る方式では、公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ方式を利用してコンテンツを保護する際に利用する演算と同様の演算を行うＳｉｇｎ処理およびＶｅｒｉｆｉｃａｔｉｏｎ処理を追加することにより、公開鍵Ｂｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ方式におけるコンテンツ保護用秘密鍵を利用して送信者認証用情報を生成することが可能となり、保持する秘密鍵が一つでよい、という点が、従来方式に署名を別途追加しただけの既存技術の組み合わせとは大きく異なる。

以上説明したように、従来方式においては、任意のｅｎｔｉｔｙが、指定したユーザ集合に属するユーザのみが復号可能となる暗号文を送信可能としている。しかしながら、ヘッダ生成が任意のｅｎｔｉｔｙによって可能であり、かつ、ヘッダｈｄｒにはヘッダ生成者を確認する情報が含まれていないため、受信者は受信したヘッダｈｄｒおよび暗号文Ｃに対する改ざんの有無、ならびに、正当なユーザによって生成されたものか否かの確認が不可能となっている。また、上述のような確認を実現するためには、別途、署名生成、検証を行う必要があるため、各ユーザが保持する鍵数が増加するという問題点が存在した。

これに対して、本実施形態に係る方式では、送信者側には、送信者であるユーザがヘッダ生成時に利用したパラメータｋ、自身の秘密鍵ｄｋ_ｊ、およびセッション鍵Ｋ等を利用してＳｉｇｎ処理を実行することにより、自身が生成したヘッダｈｄｒおよび暗号文Ｃの改ざん検知及び正当性確認を実行可能な状態とし、受信者側には、Ｖｅｒｉｆｉｃａｔｉｏｎ処理を実行することによって、改ざん検知およびヘッダｈｄｒの生成者検証を実現可能としている。これにより、例えば従来方式における第一の問題点で挙げた例では、悪意のあるｅｎｔｉｔｙが不正ファームウェアを送信したとしても、受信者側で生成者の検証が可能となるため、不正ファームウェアを実行する前に破棄できる、といった利点が生じる。また、従来方式では同様の機能を別途署名、検証用アルゴリズムおよびその鍵ペアを利用することによって実現可能であるが、この場合にはＢｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ用と署名用の二つの鍵が必要であるという第二の問題点が存在した。これに対して本実施形態に係る方式では、送信者は自身のＢｒｏａｄｃａｓｔ Ｅｎｃｒｙｐｔｉｏｎ用秘密鍵のみを利用してヘッダｈｄｒおよび送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を生成可能であり、受信者側においても、セッション鍵取得後、ヘッダｈｄｒおよび送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を利用するだけで、同様の機能が実現可能である。そのため、本実施形態に係る方式では、デバイスが保持する鍵数を増加させる必要がないという利点が存在する。

（第１変形例）
続いて、図３３〜図３６を参照しながら、本実施形態に係る暗号化装置３０の第１変形例について、詳細に説明する。本変形例に係る暗号化装置３０は、本実施形態に係るセッション鍵決定部１３０７が実施するＥｎｃｒｙｐｔｉｏｎ処理を、以下に説明するＥｎｃｒｙｐｔｉｏｎ’処理に変更して実行する装置であり、送信者認証用情報生成処理は、本実施形態に係るＳｉｇｎ処理を実行する。

本変形例に係る暗号化装置３０では、かかる変更を行うことで、暗号化時における計算量の削減を実現することが可能である。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ’処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。以下に、図３３および図３４を参照しながら、本変形例に係る暗号化装置３０の動作について、詳細に説明する。図３３は、本変形例に係る暗号化装置３０で実行される暗号化処理を説明するための流れ図であり、図３４は、本変形例に係る暗号化装置３０で実行される双線形群の演算処理を説明するための流れ図である。

Ｅｎｃｒｙｐｔｉｏｎ’処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を本変形例に係る暗号化装置３０に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ’処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。ユーザによって入力された集合Ｒは、暗号化装置３０の排除受信装置特定部１３０３により、暗号化装置３０が利用可能なデジタルデータに変換され、Ｅｎｃｒｙｐｔｉｏｎ’処理に用いられる。

暗号化装置３０の排除受信装置特定部１３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ１４０１）、カウント結果ｒをセッション鍵決定部１３０７に出力する。次に、暗号化装置３０のセッション鍵算出部１３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ１４０２）。

続いて、暗号化装置３０のセッション鍵算出部１３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ１４０３）。ｒ＝０の場合（すなわち、排除されたユーザが誰もいない場合）には、セッション鍵算出部１３０９は、後述するステップＳ１４０４を実行する。また、ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ１４０５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ１４０６を実行する。

排除されたユーザが誰もいない場合には、セッション鍵算出部１３０９は、以下の式３５１および式３５２に基づいて、Ｐ_ｒおよびＫ’を決定し（ステップＳ１４０４）、その後ステップＳ１４０９を実行する。

また、排除されたユーザが一人である場合には、セッション鍵算出部１３０９は、以下の式３５３および式３５４に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ１４０５）、その後ステップＳ１４０９を実行する。

また、排除されたユーザが２人以上である場合には、セッション鍵算出部１３０９は、双線形写像演算部１３１３に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）を行い、以下の式３５５〜式３５７に示した値を計算するよう要請し、双線形写像演算部１３１３は、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行して、式３５５〜式３５７の値をセッション鍵算出部１３０９に出力する（ステップＳ１４０６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについては、以下で改めて詳細に説明する。

ここで、上記式３５６および式３５７は、式３５５（Ｐ_ｒ）を導出する際に、計算の途中経過として算出される値であり、従来方式では、式３５６および式３５７の値は、計算値として出力されるものではなかった。本変形例に係る暗号化処理では、以下で説明するように、式３５６および式３５７の計算値を効果的に利用することで、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減することが可能となる。

例えば、ｒ＝３の場合には、双線形写像演算部１３１３は、上述のＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行することで、Ｐ_１，２、Ｐ_１，３およびＰ_２，３の３つの値を、演算結果としてセッション鍵算出部１３０９に出力する。

次に、セッション鍵算出部１３０９は、双線形写像演算部１３１３から出力された演算結果を利用して、以下の式３５８の値を算出する（ステップＳ１４０７）。

上記式３５８を展開すると、以下の式３５９のようになる。本変形例に係るセッション鍵算出部１３０９は、上記γＰ_ｒを算出することで、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムが実行不要となり、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムの実行回数を１回に減らすことが可能となる。

続いて、セッション鍵算出部１３０９は、双線形写像演算部１３１３の演算結果と、上記式３５９の値を用いて、以下の式３６０に示した値を計算する（ステップＳ１４０８）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、ヘッダ算出部１３０７は、ヘッダｈｄｒを、以下の式３６１のようにして計算する（ステップＳ１４０９）。

次に、セッション鍵算出部１３０９は、セッション鍵Ｋを以下の式３６２に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する（ステップＳ１４１０）。

暗号化装置の暗号化部１３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、送信者認証用情報生成部１３２１に伝送する。また、暗号文送信部１３１７は、生成された（ｈｄｒ，Ｃ）を、後述する送信者認証用情報とともに同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ’処理で実行する構成としてもよい。また、ステップＳ１４０１は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ’処理を実行する暗号化装置３０に入力する形態をとってもよい。

（双線形群の演算処理−Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）
続いて、図３４を参照しながら、Ｅｎｃｒｙｐｔｉｏｎ’処理中で実施される双線形群演算処理であるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについて、詳細に説明する。

Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムは、暗号化装置３０の双線形写像演算部１３１３が（Ｐ_１，・・・Ｐ_ｒ）∈Ｇを算出する際に実行するアルゴリズムである。

まず、暗号化装置３０の双線形写像演算部１３１３は、Ｐ_０，ｍ＝Ｂ_Ｒｍ（ｍ＝１，・・・，ｒ）とし、ｊ＝１と設定する（ステップＳ１５０１）。続いて、双線形写像演算部１３１３は、ｌ＝ｊ＋１と設定する（ステップＳ１５０２）。

ここで、双線形写像演算部１３１３は、ｕ_Ｒｊとｕ_Ｒｌとの比較を行い（ステップＳ１５０３）、ｕ_Ｒｊ＝ｕ_Ｒｌであれば、エラーメッセージを出力し（ステップＳ１５０４）、処理を終了する。ｕ_Ｒｊ＝ｕ_Ｒｌでなければ、以下に示すステップＳ１５０５を実行する。

続いて、双線形写像演算部１３１３は、以下の式３６３を用いて、Ｐ_ｊ，ｌを計算する（ステップＳ５０５）。

上記式３６３の計算が終了すると、双線形写像演算部１３１３は、ｌにｌ＋１を代入し（ステップＳ１５０６）、ｌとｒ＋１の比較を行う（ステップＳ１５０７）。ｌ＝ｒ＋１であれば、双線形写像演算部１３１３は、ステップＳ１５０８を実行し、ｌがｒ＋１と等しくなければ、双線形写像演算部１３１３は、ステップＳ１５０３に戻って処理を続行する。

次に、双線形写像演算部１３１３は、ｊにｊ＋１を代入し（ステップＳ１５０８）、ｊとｒの比較を行う（ステップＳ１５０９）。ｊ＝ｒであれば、双線形写像演算部１３１３は、ステップＳ１５１０を実行し、ｊがｒと等しくなければ、双線形写像演算部１３１３は、ステップＳ１５０２に戻って処理を続行する。

その後、双線形写像演算部１３１３は、Ｐｒ＝Ｐ_{ｊ−１，ｊ}、Ｐ_{ｊ−２，ｊ−１}およびＰ_{ｊ−２，ｊ}をセッション鍵算出部１３０９に出力する（ステップＳ１５１０）。

本変形例に係る暗号化処理の効果を示すため、従来方式と本変形例に係る方式の両方における暗号化時の計算量比較を、図３５に示す。図３５に示したように、本変形例に係る方法は、従来方式と比較して、双線形写像演算が１回、Ｇ上における各演算、すなわち楕円曲線上の加算及び乗算が各々３回および４回、Ｚ_ｐ ^＊上における逆元演算が２回増加している。しかしながら、Ｇ_１上、すなわちビットサイズが最も大きい群における乗算、冪乗算、逆元演算を、各々（ｒ^２‐ｒ）／２回削減することに成功している。従来方式および本変形例に係る方式における暗号化時の計算量を比較するため、まず、図３５の各演算を実行するために必要となる演算量を、以下のように定義する。この時、従来方式と比較して、本方式の暗号化時における計算量の増加分は、図３５より、以下の式３６４であることがわかる。一方、減少分は、以下の式３６５となる。よって、ｒが以下の式３６６を満たす場合には、本変形例に係る方式の方が、暗号化時における計算量を削減可能となっていることが分かる。

なお、図３５および上記式３６４〜式３６６における記号の意味は、以下の通りである。

Ａ ：Ｇにおける楕円曲線上の点の加算
Ｄ ：Ｇにおける楕円曲線上の点の二倍算
Ｓ ：Ｇにおける楕円曲線上の点のスカラー倍算
Ｍ ：Ｇ_１における乗算
Ｑ ：Ｇ_１における二乗算
Ｅ ：Ｇ_１における冪乗算
Ｉ ：Ｇ_１における逆元演算
ｍｕｌ：Ｚ_ｐ ^＊における乗算
ｓｑｒ：Ｚ_ｐ ^＊における二乗算
ｉｎｖ：Ｚ_ｐ ^＊における逆元演算
Ｐ ：双線形写像演算

式３６６を満たすｒを、数値例を用いて導出する。なお，以下では、１２８−ｂｉｔ等価安全性を満たす場合について考える。この時、ｐのビットサイズは２５６−ｂｉｔ、Ｇ_１の元のビットサイズは３０７２−ｂｉｔとなる。以降、Ｚ_ｐ ^＊上での乗算ｍｕｌを基準として、具体的な数値例を示す。従来方式および本変形例に係る方式の両方とも、Ｇ上における楕円曲線上の点の演算、Ｇ_１、Ｚ_ｐ ^＊上における各種演算、および、双線形写像演算を利用している。これらの演算には様々な演算手法が存在するため、ここでは非特許文献２に示された演算見積もりを利用する。

非特許文献２では、Ｚ_ｐ ^＊上における演算に対して、以下の式３６７の関係を適用している。また、３０７２／２５６＝１２＝２^２×３より、Ｇ_１上における演算に対しては、以下の式３６８のようになる。また、楕円曲線上の点の演算に関しては、ｐｒｏｊｅｃｔｉｖｅ座標系を利用することにより、以下の式３６９のようになる。ここで、スカラー倍算Ｓは、二倍算と加算を繰り返し実行することによって計算されるため、その平均的な計算量は、点の係数のビット長ｌｏｇ_２ｐ回の二倍算と（１／２）ｌｏｇ_２ｐ回の加算として見積もることができる。よって、Ｓは、以下の式３７０のように見積もることができる。また、Ｇ_１上での冪乗算Ｅも、位数ｐより指数部のビットサイズがｌｏｇ_２ｐであり、二乗算と乗算を繰り返し実行することによって計算されるため、スカラー倍算と同様に見積もることが可能であり、以下の式３７１のように見積もることができる。

双線形写像演算Ｐに関しては、双線形写像演算自体がＭｉｌｌｅｒ’ｓ ａｌｇｏｒｉｔｈｍによる演算と最終冪乗と呼ばれる冪乗剰余演算から構成されるため、Ｃ_Ｆｕｌｌを楕円曲線パラメータによって変動するＭｉｌｌｅｒ’ｓ ａｌｇｏｒｉｔｈｍの計算量とすると、Ｃ_Ｆｕｌｌ＋３Ｅとして見積もることができる。ここで、３Ｅは、現在想定しているパラメータに対する最終冪乗のコストである。今、非特許文献２に記載の表より、ｐｒｏｊｅｃｔｉｖｅ座標系におけるＡｔｅ ｐａｉｒｉｎｇ演算の平均値をＣ_Ｌｉｔｅとすると、双線形写像演算Ｐは、以下の式３７２となる。

上記式３６７〜式３７２を用いて、式３６６は、以下の式３７３と変形できる。この式３７３を図示すると、図３６のようになる。

図３６から明らかなように、前述したようなパラメータ設定を行った場合には、排除されるユーザ数が４人以上となった場合、本変形例に係る方式の方が、非常に効率よく演算可能であることが分かる。

以上説明したように、本変形例に係る方式によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

（第４の実施形態）
続いて、図３７〜図４６を参照しながら、本発明の第４の実施形態に係る暗号鍵配信システムについて詳細に説明する。なお、本実施形態に係る暗号鍵配信システム１０は、本発明の第３の実施形態に係る暗号鍵配信システムと同様の構成を有するため、構成に関する詳細な説明は省略する。

本実施形態に係る暗号鍵配信システムは、本発明の第３の実施形態におけるＳｅｔｕｐ”処理、Ｊｏｉｎ処理、Ｅｎｃｒｙｐｔｉｏｎ処理およびＥｎｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを、それぞれ以下で説明するＳｅｔｕｐ’処理、Ｊｏｉｎ’処理、Ｅｎｃｒｙｐｔｉｏｎ”処理および第３の実施形態の第１変形例に記載のＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムへと変更するとともに、本発明の第３の実施形態におけるＳｉｇｎ処理およびＶｅｒｉｆｉｃａｔｉｏｎ処理を、以下で説明するＳｉｇｎ’処理およびＶｅｒｉｆｉｃａｔｉｏｎ’処理へと変更するものである。よってＤｅｃｒｙｐｔｉｏｎ処理およびＤｅｃｒｙｐｔｉｏｎ処理において利用されるＡｇｇｒｅｇａｔｅ（Ｂ）アルゴリズムは、本発明の第３の実施形態における処理と同一である。

また、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０のハードウェア構成は、本発明の第３の実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０のハードウェア構成と同一であるため、詳細な説明は省略する。

＜本実施形態に係る鍵生成装置２０について＞
まず、図３７を参照しながら、本実施形態に係る鍵生成装置２０について、詳細に説明する。図３７は、本実施形態に係る鍵生成装置２０の構成について説明するためのブロック図である。

本実施形態に係る鍵生成装置２０は、例えば図３７に示したように、パラメータ決定部１２５１と、双線形群選択部１２５３と、鍵生成部１２５５と、配布部１２６１と、記憶部１２６７と、を主に備える。

ここで、本実施形態に係るパラメータ決定部１２５１、双線形群選択部１２５３および記憶部１２６７については、本発明の第３の実施形態に係るパラメータ決定部１２５１、双線形群選択部１２５３および記憶部１２６７とほぼ同一の構成を有し、同様の効果を奏するため、詳細な説明は省略する。

鍵生成部１２５５は、パラメータ決定部１２５１および双線形群選択部１２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵、マスター鍵、擬似秘密鍵等の鍵や、各ユーザに対応する公開情報等を生成する。鍵生成部１２５５は、鍵算出部１２５７と、擬似秘密鍵算出部１２５９と、を更に備える。

鍵生成部１２５５は、パラメータ決定部１２５１および双線形群選択部１２５３から伝送された各種データを利用して、公開鍵、各ユーザに配布される秘密鍵およびマスター鍵と、各ユーザに対応する公開情報を生成する。生成された鍵および公開情報は、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。また、公開が必要な情報および配布する鍵類は、後述する配布部１２６１へと伝送される。

擬似密鍵算出部１２５９は、パラメータ決定部１２５１および双線形群選択部１２５３から伝送された各種データを利用して、擬似秘密鍵ｄｋ_０を生成する。生成された擬似秘密鍵は、後述する配布部１２６１へと伝送されるとともに、ＨＤＤやセキュアモジュールを備えたメモリ等から構成される記憶部に記録される。

配布部１２６１は、鍵生成装置２０が生成した公開鍵、秘密鍵および擬似秘密鍵と、公開が必要な情報とを、通信網１２を介して配布する。かかる配布部１２６１は、送受信部１２６３と、公開鍵配布部１２６５と、を更に備える。

送受信部１２６３は、鍵生成部１２５５が生成した秘密鍵を、安全な通信路を介して個々のユーザに送信するとともに、受信装置４０から伝送されたシステム加入要求を受信する。受信されたシステム加入要求は鍵生成部１２５５へと伝送され、鍵生成部１２５５により新たな秘密鍵や公開鍵が生成される。

公開鍵配布部１２６５は、鍵生成部１２５５が生成した公開鍵、擬似秘密鍵および公開情報を、通信網１２を介して暗号化装置３０や受信装置４０に配布する。暗号化装置３０や受信装置４０は、かかる公開鍵、擬似秘密鍵および公開情報を利用して、平文の暗号化処理や暗号文の復号処理を実行する。

＜本実施形態に係る暗号化装置３０について＞
続いて、図３８を参照しながら、本実施形態に係る暗号化装置３０について、詳細に説明する。図３８は、本実施形態に係る暗号化装置３０の構成について説明するためのブロック図である。

本実施形態に係る暗号化装置３０は、例えば図３８に示したように、受信部１３０１と、排除受信装置特定部１３０３と、使用鍵特定部１３０５と、セッション鍵決定部１３０７と、双線形写像演算部１３１３と、暗号化部１３１５と、暗号文送信部１３１７と、記憶部１３１９と、送信者認証用情報生成部１３２１と、を主に備える。

ここで、本実施形態に係る受信部１３０１、排除受信装置特定部１３０３、双線形写像演算部１３１３、暗号化部１３１５、暗号文送信部１３１７および記憶部１３１９については、本発明の第３の実施形態に係る受信部１３０１、排除受信装置特定部１３０３、双線形写像演算部１３１３、暗号化部１３１５、暗号文送信部１３１７および記憶部１３１９とほぼ同一の構成を有し、同様の効果を奏するため、詳細な説明は省略する。

使用鍵特定部１３０５は、記憶部１３１９を参照して、暗号化装置３０自体に個人秘密鍵が提供されているか否かを判定する。記憶部１３１９に個人秘密鍵が記録されている場合には、使用鍵特定部１３０５は、個人秘密鍵が存在する旨を後述するセッション鍵決定部１３０７に出力する。また、記憶部１３１９に個人秘密鍵が記録されていない場合には、使用鍵特定部１３０５は、個人秘密鍵は存在せず擬似秘密鍵のみが存在する旨をセッション鍵決定部１３０７に出力する。また、使用鍵特定部１３０５は、判定結果を記憶部１３１９に記録して、次回以降の判定処理を省略するようにしてもよい。

セッション鍵決定部１３０７は、受信部１３０１が受信し記憶部１３１９に記録されている公開鍵、個人秘密鍵および公開情報と、排除受信装置特定部１３０３が決定した集合Ｒと、使用鍵特定部１３０５が出力した判定結果とに基づいて、配信するコンテンツ等の平文を暗号化するために用いられるセッション鍵等を決定する。このセッション鍵決定部１３０７は、セッション鍵算出部１３０９と、ヘッダ算出部１３１１と、を更に備える。

セッション鍵算出部１３０９は、記憶部１３１９から取得した公開鍵および公開情報と、排除受信装置特定部１３０３から伝送される、排除される受信装置の集合Ｒと、使用鍵特定部１３０５が出力した判定結果とに基づいて、配信するコンテンツ等の平文を暗号化するために利用するセッション鍵を算出する。セッション鍵算出部１３０９が算出したセッション鍵は、暗号化部１３１５に伝送され、平文を暗号化する際に利用される。また、セッション鍵算出部１３０９は、算出したセッション鍵を、記憶部１３１９に記録してもよい。

ヘッダ算出部１３１１は、セッション鍵算出部１３０９がセッション鍵を算出する際に計算した各種データと、記憶部１３１９に記録されている公開鍵や公開情報等とを利用して、暗号文と同時に受信装置４０に配信されるヘッダを生成する。生成されたヘッダは、暗号文送信部１３１７へと伝送される。また、ヘッダ算出部１３１１は、生成したヘッダ情報を、記憶部１３１９に記録してもよい。

送信者認証用情報生成部１３２１は、セッション鍵算出部１３０９から伝送されたセッション鍵および算出に用いられたパラメータと、ヘッダ算出部１３１１から伝送されたヘッダと、暗号化部１３１５から伝送された暗号文と、公開鍵および公開情報と、暗号化装置に固有の値および秘密鍵と、を利用して、送信者認証用情報を生成する。この送信者認証用情報は、受信者が受信装置において、送信された暗号文およびヘッダの改ざんの有無と、送信者の正当性とを検証するために用いられる情報である。送信者認証用情報生成部１３２１は、この送信者認証用情報を生成する際に、双線形写像演算部１３１３を利用してもよい。生成された送信者認証用情報は、暗号文送信部１３１７へと伝送され、ヘッダおよび暗号文とともに、各受信装置に同報配信される。また、送信者認証用情報生成部１３２１は、生成した送信者認証用情報を、記憶部１３１９に記録してもよい。

＜本実施形態に係る受信装置４０について＞
続いて、図３９を参照しながら、本実施形態に係る受信装置４０について、詳細に説明する。図３９は、本実施形態に係る受信装置４０の構成について説明するためのブロック図である。

本実施形態に係る受信装置４０は、例えば図３９に示したように、受信部１４０１と、セッション鍵算出部１４０３と、双線形写像演算部１４０５と、受信内容検証部１４０７と、復号部１４０９と、記憶部１４１１と、を主に備える。

ここで、本実施形態に係る受信部１４０１、セッション鍵算出部１４０３、双線形写像演算部１４０５、復号部１４０９および記憶部１４１１は、本発明の第３の実施形態に係る受信部１４０１、セッション鍵算出部１４０３、双線形写像演算部１４０５、復号部１４０９および記憶部１４１１とほぼ同一の構成を有し、同様の効果を奏するため、詳細な説明は省略する。

受信内容検証部１４０７は、セッション鍵算出部１４０３で算出したセッション鍵と、暗号化装置３０から送信されたヘッダ、暗号文および送信者認証用情報とに基づいて、送信者の正当性と、受信した内容に施された改ざんの有無とを検証する。受信内容検証部１４０７は、検証処理を行う際に、双線形写像演算部１４０５を利用してもよい。受信内容検証部１４０７は、検証結果を、復号部１４０９に出力する。また、受信内容検証部１４０７は、検証結果を、記憶部１４１１に記録してもよい。

以上、本実施形態に係る鍵生成装置２０、暗号化装置３０および受信装置４０の機能の一例を示した。上記の各構成要素は、汎用的な部材や回路を用いて構成されていてもよいし、各構成要素の機能に特化したハードウェアにより構成されていてもよい。また、各構成要素の機能を、ＣＰＵ等が全て行ってもよい。従って、本実施形態を実施する時々の技術レベルに応じて、適宜、利用する構成を変更することが可能である。

＜鍵生成装置２０の動作：Ｓｅｔｕｐ’処理およびＪｏｉｎ’処理＞
センタは、所有する鍵生成装置２０を操作し、以下の手順に従って、公開鍵および公開情報と、各ユーザに対応する個人秘密鍵とを生成する。以下に、図４０および図４１を参照しながら、本実施形態に係る鍵生成装置２０の動作（すなわち、Ｓｅｔｕｐ’処理およびＪｏｉｎ’処理）について、詳細に説明する。図４０は、本実施形態に係る鍵生成処理を説明するための流れ図であり、図４１は、本実施形態に係るユーザ登録処理を説明するための流れ図である。

［鍵生成装置２０におけるＳｅｔｕｐ’処理］
Ｓｅｔｕｐ’処理は、本実施形態に係る鍵生成装置２０を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ’処理を実行する。

まず、鍵生成装置２０のパラメータ決定部１２５１は、λ−ｂｉｔの素数ｐを生成し、次いで、双線形群選択部１２５３は、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ１６０１）。

次に、鍵生成装置２０の双線形群選択部１２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ１６０２）。

続いて、鍵生成装置２０のパラメータ決定部１２５１は、Ｇ，Ｈ∈Ｇを選択する（ステップＳ１６０３）。

その後、鍵生成装置２０のパラメータ決定部１２５１は、γ∈_ＲＺ_ｐ ^＊を選択し、Ｗ＝γＧ∈Ｇを計算する（ステップＳ１６０４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

続いて、鍵生成装置２０のパラメータ決定部１２５１は、ユーザ固有値として利用しない値ｕ_０∈_ＲＺ_ｐ ^＊を選択し、擬似秘密鍵算出部１２５９に出力する。擬似秘密鍵算出部１２５９は、伝送されたｕ_０に基づいて、以下の式４０１を用いて擬似秘密鍵ｄｋ_０を算出する（ステップＳ１６０５）。

次に、鍵生成装置２０の鍵算出部１２５７は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ１６０６）。

ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ，ｕ_０，ｄｋ_０｝ ・・・（式４０２）

公開鍵の生成が終了すると、鍵生成装置２０の配布部１２６１は、Ｓｅｔｕｐ処理の実行によって得られた擬似秘密鍵ｄｋ_０および初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

［鍵生成装置２０におけるＪｏｉｎ’処理］
Ｊｏｉｎ’処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置２０に入力し、以下に説明するＪｏｉｎ’処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。

まず、鍵生成装置２０の鍵算出部１２５７は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊＼｛ｕ_０｝を計算する（ステップＳ１７０１）。その後、以下の式４０３に示す計算を行うことにより、鍵算出部１２５７は、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ１７０２）。

ここで、上記式４０３におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

鍵生成装置３０の配布部１２６１は、Ｊｏｉｎ’処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式４０４のような構成となっている。

以上、本実施形態に係る鍵生成装置２０で実行されるＳｅｔｕｐ’処理およびＪｏｉｎ’処理について説明した。続いて、本実施形態に係る暗号化装置３０で実行される暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ”処理）について、説明する。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ”処理およびＳｉｇｎ処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。以下に、図４２を参照しながら、本実施形態に係る暗号化装置３０のＥｎｃｒｙｐｔｉｏｎ”処理について、詳細に説明する。図４２は、本実施形態に係る暗号化装置３０で実行される暗号化処理を説明するための流れ図である。また、配信者は、暗号化装置３０を操作して、受信装置４０において生成した暗号文とヘッダの正当性および改ざんの有無の検証に用いられる送信者認証用情報を、以下の手順に従って生成する。図４３は、本実施形態に係る暗号化装置３０が送信者認証用情報を生成する際に実行するＳｉｇｎ’処理を説明するための流れ図である。

［暗号化装置３０におけるＥｎｃｒｙｐｔｉｏｎ”処理］
Ｅｎｃｒｙｐｔｉｏｎ”処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を本実施形態に係る暗号化装置３０に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ”処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。ユーザによって入力された集合Ｒは、暗号化装置３０の排除受信装置特定部１３０３により、暗号化装置３０が利用可能なデジタルデータに変換され、Ｅｎｃｒｙｐｔｉｏｎ”処理に用いられる。

また、暗号化装置３０の使用鍵特定部１３０５は、暗号化装置３０が個人秘密鍵ｄｋ_ｊを保持しているか否かを判定し、結果をセッション鍵決定部１３０７に予め通知しておく。セッション鍵決定部１３０７は、使用鍵特定部１３０５から個人秘密鍵ｄｋ_ｊが存在する旨の通知を受けた場合には、以下で説明する処理において、暗号化装置３０に固有の値であるｕ_ｊと、暗号化装置３０に固有の秘密鍵であるｄｋ_ｊを使用する。また、使用鍵特定部１３０５から個人秘密鍵ｄｋ_ｊが存在しない旨の通知を受けた場合には、セッション鍵決定部１３０７は、以下で説明する処理において、擬似ユーザに固有の値であるｕ_０と、擬似秘密鍵ｄｋ_０を使用する。

以下の説明では、ｕ_ｊおよびｄｋ_ｊを用いて式の表記を行うが、暗号化処理にｕ_０およびｄｋ_０を用いる場合には、式中のｕ_ｊがｕ_０となり、ｄｋ_ｊがｄｋ_０となる。

暗号化装置３０の排除受信装置特定部１３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとする（ステップＳ１８０１）。続いて、排除受信装置特定部１３０３は、集合Ｒにｕ_０を追加して、ｒ＋１の値を新たにカウント結果ｒとする（ステップＳ１８０２）。排除受信装置特定部１３０３は、このカウント結果ｒをセッション鍵決定部１３０７に出力する。

次に、暗号化装置３０のセッション鍵算出部１３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ１８０３）。

続いて、暗号化装置３０のセッション鍵算出部１３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ１８０４）。ｒ＝１の場合（すなわち、排除されたユーザが一人だけの場合）には、後述するステップＳ１８０５を実行する。また、ｒ≧２の場合（すなわち、排除されたユーザが２人以上存在する場合）には、後述するステップＳ１８０６を実行する。

排除されたユーザが一人である場合には、セッション鍵算出部１３０９は、以下の式４０５および式４０６に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ１８０５）、その後ステップＳ１８０９を実行する。

また、排除されたユーザが２人以上である場合には、セッション鍵算出部１３０９は、双線形写像演算部１３１３に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム）を行い、以下の式４０７〜式４０９に示した値を計算するよう要請し、双線形写像演算部１３１３は、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行して、式４０７〜式４０９の値をセッション鍵算出部１３０９に出力する（ステップＳ１８０６）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムについては、本発明の第３の実施形態における第１変形例で説明したＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムと同一であるため、詳細な説明は省略する。

ここで、上記式４０８および式４０９は、式４０７（Ｐ_ｒ）を導出する際に、計算の途中経過として算出される値であり、従来方式では、式４０８および式４０９の値は、計算値として出力されるものではなかった。本実施形態に係る暗号化処理では、式４０８および式４０９の計算値を効果的に利用することで、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減することが可能となる。

例えば、ｒ＝３の場合には、双線形写像演算部１３１３は、上述のＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを実行することで、Ｐ_１，２、Ｐ_１，３およびＰ_２，３の３つの値を、演算結果としてセッション鍵算出部１３０９に出力する。

次に、セッション鍵算出部１３０９は、双線形写像演算部１３１３から出力された演算結果を利用して、以下の式４１０の値を算出する（ステップＳ１８０７）。

上記式４１０を展開すると、以下の式４１１のようになる。本実施形態に係るセッション鍵算出部１３０９は、上記γＰ_ｒを算出することで、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムが実行不要となり、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムの実行回数を１回に減らすことが可能となる。

続いて、セッション鍵算出部１３０９は、双線形写像演算部１３１３の演算結果と、上記式４１１の値と、秘密鍵ｄｋ_ｊまたはｄｋ_０を用いて、以下の式４１２に示した値を計算する（ステップＳ１８０８）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、ヘッダ算出部１３１１は、ヘッダｈｄｒを、以下の式４１３のようにして計算する（ステップＳ１８０９）。

次に、セッション鍵算出部１３０９は、セッション鍵Ｋを以下の式４１４に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する（ステップＳ１８１０）。

暗号化装置の暗号化部１３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、送信者認証用情報生成部１３２１に伝送する。また、暗号文送信部１３１７は、生成された（ｈｄｒ，Ｃ）を、後述する送信者認証用情報とともに同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ”処理で実行する構成としてもよい。また、ステップＳ１８０１およびステップＳ１８０２は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ”処理を実行する暗号化装置３０に入力する形態をとってもよい。

なお、Ｅｎｃｒｙｐｔｉｏｎ”処理においては、ｕ_Ｒ１は必ずｕ_０となる。

［送信者認証用情報の生成処理−Ｓｉｇｎ’処理］
続いて、図４３を参照しながら、本実施形態に係る送信者認証用情報生成部１３２１が実行する送信者認証用情報の生成処理（Ｓｉｇｎ’処理）について、詳細に説明する。

Ｓｉｇｎ’処理は、本実施形態に係る暗号化装置３０を有する送信者がヘッダｈｄｒの生成後に実行する処理である。なお，Ｓｉｇｎ’処理は、正規の秘密鍵を有する送信者（暗号化装置３０）にのみ実行可能な処理である。

送信者は、公開鍵ｅｋ_ｉ、送信者自身に固有の値ｕ_ｊ、送信者自身が保持する秘密鍵ｄｋ_ｊ、Ｅｎｃｒｙｐｔｉｏｎ”処理の実行後にセッション鍵算出部１３０９から出力されるｋ、Ｋ’、セッション鍵Ｋ、および、暗号文Ｃを暗号化装置３０に入力し、以下で説明するＳｉｇｎ’処理を実行させる。

まず、送信者認証用情報生成部１３２１は、パラメータｔ∈Ｚ_ｐ ^＊を無作為に選択する（ステップＳ１９０１）。次に、送信者認証用情報生成部１３２１は、以下の式４１５に基づいて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，０を算出する（ステップＳ１９０２）。

次に、送信者認証用情報生成部１３２１は、算出したｓｉｇ_ｊ，０と、暗号文Ｃと、セッション鍵Ｋとを用いて、これらの値のハッシュ値ｈを、ハッシュ関数を用いて以下の式４１６のように計算する（ステップＳ１９０３）。

続いて、送信者認証用情報生成部１３２１は、算出したハッシュ値ｈと、選択したパラメータｔとを用いて、送信者の秘密情報ｙを以下の式４１７のように算出する（ステップＳ１９０４）。

ｙ＝ｔ−ｈ∈Ｚ_ｐ ^＊ ・・・（式４１７）

次に、送信者認証用情報生成部１３２１は、算出した秘密情報ｙと、暗号化装置３０に固有の秘密鍵ｄｋｊとを用いて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，１を以下の式４１８に基づいて算出し、（ｕｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を送信者認証用情報として、暗号文送信部１３１７に出力する（ステップＳ１９０５）。

以上説明したように、本実施形態に係る送信者認証用情報生成部１３２１は、送信者が任意に選択したパラメータに基づいて算出された値と、暗号文Ｃと、セッション鍵Ｋとに関するハッシュ値を用いて送信者認証用情報を生成する。したがって、悪意のある第三者が暗号文の内容やセッション鍵を改ざんして送信者認証用情報を再生成した場合には、算出されるハッシュ値が異なる値となる。そのため、送信者認証用情報を受信した受信装置４０は、この送信者認証用情報を利用することで、送信者の正当性および送信内容に改ざんがなされたか否かを検証することができる。

以上、本実施形態に係る暗号化装置３０で実行されるＥｎｃｒｙｐｔｉｏｎ”処理およびＳｉｇｎ’処理について説明した。続いて、本実施形態に係る受信装置４０で実行されるセッション鍵の算出処理（Ｄｅｃｒｙｐｔｉｏｎ処理）および受信内容検証処理（Ｖｅｒｉｆｉｃａｔｉｏｎ’処理）について、説明する。

＜受信装置４０の動作：Ｄｅｃｒｙｐｔｉｏｎ処理およびＶｅｒｉｆｉｃａｔｉｏｎ’処理＞
暗号化装置３０から暗号文等の送信を受けた受信者は、所有する受信装置４０を操作し、以下の手順に従って、セッション鍵の算出処理であるＤｅｃｒｙｐｔｉｏｎ処理を実行する。なお、本実施形態に係る受信装置４０が実行するＤｅｃｒｙｐｔｉｏｎ処理は、本発明の第３の実施形態に係る受信装置４０が実行するＤｅｃｒｙｐｔｉｏｎ処理と同一であるため、詳細な説明は省略する。また、受信者は、受信装置４０を操作して、受信した内容の検証処理を、以下の手順に従って実行する。図４４は、本実施形態に係る受信装置４０が受信内容を検証する際に実行するＶｅｒｉｆｉｃａｔｉｏｎ’処理を説明するための流れ図である。

［受信内容の検証処理−Ｖｅｒｉｆｉｃａｔｉｏｎ’処理］
Ｖｅｒｉｆｉｃａｔｉｏｎ’処理は、排除されていないユーザが、送信されたヘッダｈｄｒと、送信者認証用情報である（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を利用して、ヘッダｈｄｒおよび暗号文Ｃを生成したのが、正規の秘密鍵を有するユーザであり、かつ、ヘッダｈｄｒおよび暗号文Ｃが改ざんされていないかどうかを確認する際に実行する処理である。

検証者は、受信したヘッダｈｄｒ、ヘッダｈｄｒの復号結果として得られるセッション鍵Ｋ、暗号文Ｃ、および、送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を受信装置４０に入力し、受信装置４０は、以下で説明するＶｅｒｉｆｉｃａｔｉｏｎ’処理を実行する。

なお、Ｖｅｒｉｆｉｃａｔｉｏｎ処理では、公開鍵ｅｋ_ｉのシステムパラメータ部分である（ｐ，Ｇ，Ｇ_１，ｅ）のみを利用するが、これらの値は、通常あらかじめ各ユーザ（あるいはユーザが保持する受信装置４０）によって保持されているため、ここでは入力として公開鍵を与える必要がないものとする。

まず、受信装置４０の受信内容検証部１４０７は、排除されるユーザの集合Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ２００１）、カウント結果の判定を行う（ステップＳ２００２）。カウント結果ｒが１である場合には、受信内容検証部１４０７は、後述するステップＳ２００３を実行する。また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、後述するステップＳ２００４を実行する。

カウント結果ｒが１である場合には、受信内容検証部１４０７は、下記式４１９に基づいてγＰ_ｒを計算し（ステップＳ２００３）、後述するステップＳ２００５を実行する。

また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、下記式４２０に基づいてγＰ_ｒを計算し（ステップＳ２００４）、後述するステップＳ２００５を実行する。

次に、受信内容検証部１４０７は、算出したγＰ_ｒと、送信者認証用情報と、公開情報とを利用して、下記式４２１に基づいて、検証用に用いられるパラメータＣＨ_１を計算する（ステップＳ２００５）。

続いて、受信内容検証部１４０７は、暗号化装置３０から送信された暗号文Ｃおよび送信者認証用情報と、セッション鍵算出部１４０３から伝送されたセッション鍵Ｋとを用いて、以下の式４２２に基づいてハッシュ値ｈ’を算出する（ステップＳ２００６）。

次に、受信内容検証部１４０７は、算出したγＰ_ｒと、公開情報とを利用して、以下の式４２３に基づいて、Ｋ’を算出する（ステップＳ２００７）。

次に、受信内容検証部１４０７は、算出した検証用パラメータＣＨ_１およびハッシュ値ｈ’と、算出したＫ’とを用いて、検証用の値ＣＨ_２を、以下の式４２４に基づいて算出する（ステップＳ２００８）。

続いて、受信内容検証部１４０７は、算出した検証用の値ＣＨ_２と、送信者認証用情報に含まれているｓｉｇ_ｊ，０とを比較する（ステップＳ２００９）。ＣＨ_２＝ｓｉｇ_ｊ，０であった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒは、正当な秘密鍵を持つユーザｊから送信されたものであって、かつ、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされていない（すなわち、検証が成功した）と判定する（ステップＳ２０１０）。また、ＣＨ_２≠ｓｉｇ_ｊ，０であった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒが正当な秘密鍵を持つユーザｊから送信されたものではないか、または、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされたものである（すなわち、検証が失敗した）と判定する（ステップＳ２０１１）。

検証結果が確定すると、受信内容検証部１４０７は、検証結果を復号部１４０９へと伝送する。

なお、上述のステップＳ２００１は、受信者自身が実行し、Ｖｅｒｉｆｉｃａｔｉｏｎ’処理を実行する受信装置４０に入力する形態をとってもよい。

＜検証の正当性について＞
以上、本実施形態に係る受信装置４０の動作について、詳細に説明した。続いて、暗号化装置３０が送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を付加することにより，受信者側において，ヘッダｈｄｒおよび暗号文Ｃがユーザｊによって作成された（または、他者が生成したものをユーザｊが認証した）こと、および、ヘッダｈｄｒおよび暗号文Ｃが改ざんされていないこと、を確認可能であることを示す。

検証者であるユーザｉは、受信装置４０によってヘッダを復号してセッション鍵Ｋを取得した後、受信装置４０によりＶｅｒｉｆｉｃａｔｉｏｎ’処理を実行する。Ｖｅｒｉｆｉｃａｔｉｏｎ’処理では、ステップＳ２００３〜ステップＳ２００４においてγＰ_ｒを導出し、ステップＳ２００５において検証用パラメータＣＨ_１を計算している．

ここで、ｓｉｇ_ｊ，１は、式４１８に示した値を有するものであるため、式４２１を展開すると、ＣＨ_１は、以下の式４２５のような値となる。

他方、ヘッダｈｄｒ，暗号文Ｃおよび送信者認証用情報ｓｉｇ_ｊ，０が改ざんされておらず、送信者認証用情報ｓｉｇ_ｊ，０がユーザｊにより生成され、かつ、ヘッダｈｄｒより正しいセッション鍵Ｋが導出されている場合には、ステップＳ２００６によりｈ＝ｈ’となる。したがって、上述のような場合には、ステップＳ２００８で算出される検証用の値ＣＨ_２は、以下の式４２６のようになる。

よって、ＣＨ_２＝ｓｉｇ_ｊ，０であるならば、検証が成立していることがわかる。

＜従来方式との相違点について＞
従来方式では、Ｐ_１，・・・，Ｐ_ｒを導出するために、ｒ≧２で場合には、ＥｎｃｒｙｐｔｉｏｎアルゴリズムにおけるステップＳ３６にて、Ｇ上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する。その後、Ｋ’を導出するために、ステップＳ３７にてＧ_１上の演算に対するＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行している。

これに対して、本実施形態に係る暗号化方法では、従来方式同様、Ｅｎｃｒｙｐｔｉｏｎ”アルゴリズムのステップＳ１８０６にてＧ上の演算に対するＡｇｇｒｅｇａｔｅ（Ｃ）を実行しているが、Ｋ’導出には、ステップＳ１８０７におけるＧ上の演算と、ステップＳ１８０８におけるＧ_１上の演算を利用し、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを利用していない。ここで、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムとＡｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムは、ステップＳ５０およびステップＳ１５１０における出力値が異なるのみであり、かつ、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムにおいて追加で出力されるＰ_{ｒ-２，ｒ-１}、Ｐ_{ｒ-２，ｒ}は、Ｐ_ｒを導出するために利用される値でもあるため、これらを追加出力したとしても、計算量はＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムと同じである。

すなわち、秘密鍵ｄｋ_ｊを持つユーザｊが暗号化を実行する際の計算は、従来方式ではＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズム実行回数が必ず二回となるのに対し、本実施形態に係る暗号化方法では、若干回数のＧ上での演算と一回の双線形写像演算が追加される代わりに、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズム実行回数が一回へと削減されている。また、Ｋ’導出に必要な計算量に関しては、従来方式ではｒが大きくなるにつれｒ^２に比例して大きくなるのに対して、本実施形態に係る暗号化方法ではｒに関係なく、一定の計算量となっている点が大きく異なる。

また、Ｓｅｔｕｐ処理およびＪｏｉｎ処理をそれぞれＳｅｔｕｐ’処理およびＪｏｉｎ’処理へと変更することによって擬似ユーザの秘密鍵（擬似秘密鍵）ｄｋ_０を生成、公開し、Ｅｎｃｒｙｐｔｉｏｎ”処理では、常にＲに擬似ユーザに固有の値であるｕ_０を追加することによって、秘密鍵を保持しないユーザであってもＥｎｃｒｙｐｔｉｏｎ”処理を実行可能としている。これにより、任意のユーザ、すなわち秘密鍵を保持しないユーザであっても、暗号化時に要する計算量を削減可能としている。

ここで、本実施形態に係る暗号化方式は、本発明の第３の実施形態における第１変形例と同様であるため、暗号化時における計算量に関しては，任意のｅｎｔｉｔｙが、本発明の第３の実施形態の第１変形例に記載の計算量削減効果を得ることが可能である。なお、得られる削減効果の詳細に関しては、第３の実施形態の第１変形例に記載されているため、ここでは省略する。

また、従来方式では、暗号化時にＧ上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの実行に加えて、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの実行も必要となる。このとき、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムでは、Ｖ_ｉを利用する必要があるため、Ｊｏｉｎ処理の実行時に、センタはＶ_ｉを公開しておく必要がある。よって、ｎ人のユーザに対してＪｏｉｎ処理を実行した場合の公開鍵は、図４５に示したようなものとなり、システムパラメータを除いた要素数は、３ｎ＋３となる。

これに対し、本実施形態に係る方式では、Ｓｅｔｕｐ’処理の実行により擬似ユーザの秘密鍵（擬似秘密鍵）ｄｋ_０を公開しているため、任意のｅｎｔｉｔｙがＥｎｃｒｙｐｔｉｏｎ”処理を実行可能となり、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行する必要がなくなる。そのため、センタはＶ_ｉを公開する必要が無くなるため、Ｊｏｉｎ’処理では、Ｊｏｉｎ処理において必要であったＶ_ｉの計算および出力が不要となる。これにより、ｎ人のユーザに対してＪｏｉｎ’処理を実行した場合の公開鍵は、図４５に示したようなものとなり、システムパラメータを除いた要素数は、２ｎ＋５となる。

以上の説明より、３ｎ＋３≧２ｎ＋５、すなわち、ｎ≧２である場合には、従来方式と比較して、公開鍵サイズを削減可能であることがわかる。

公開鍵における要素数に関しては、ｎ≧２を満たす場合には、本実施形態に係る方式が効果的であることを示した。しかしながら、公開鍵における各要素は、異なる群における元の集合であるため、安全性を確保するために必要となるビットサイズが異なる。よって以下では、具体的なビットサイズを想定した上で、公開鍵サイズの比較を行う。なお、以下では、１２８−ｂｉｔ等価安全性を満たす場合について考える。このとき、素数ｐのビットサイズは２５６−ｂｉｔとなり、Ｇ_１の元のビットサイズは３０７２−ｂｉｔとなる。

従来方式における公開鍵の各要素は、Ｗ，Ｈ，Ｂ_ｉ（ｉ＝１，・・・，ｎ）が楕円曲線上の点、すなわち、Ｇの元であり、Ｖ_ｉ（ｉ＝１，・・・，ｎ）がＧ_１の元となっている。今、簡単のため各ユーザに固有の値であるｕ_ｉ（ｉ＝１，・・・，ｎ）のビットサイズを３２−ｂｉｔとすると、従来方式における公開鍵のビットサイズは、以下の式４２７となる。

これに対して、本実施形態に係る方式では、公開鍵のビットサイズは、以下の式４２８のようになる。

ｎの増加に体得る各々の値を比較した結果を、図４６に示す。図４６から明らかなように、ビットサイズで比較した場合には、任意のｎに対して本実施形態に係る方式の方が、ビットサイズを低く抑えられることがわかる。

以上説明したように、本実施形態に係る方式によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

また、公開情報として、擬似秘密鍵を公開することで、従来方式において暗号化時に必要となるビット長が長い巡回群上の要素を公開する必要がなくなるため、公開鍵サイズの削減も実現可能となる。

（本実施形態に係る暗号化方法の変形例）
本実施形態に係るＳｅｔｕｐ’処理中において、ステップＳ１６０６では、以下の式４０２を初期公開鍵ｅｋ_０として公開している。

これに対し、以下の式４２９を計算し、初期公開鍵ｅｋ_０を、以下の式４３０とする。かかる初期公開鍵を用いる場合には、以降Ｈの代わりに式４２９で算出したＨ_０を利用することとする。かかる初期公開鍵を用いることで、Ｅｎｃｒｙｐｔｉｏｎ”処理におけるステップＳ１８０２を省略することが可能となる。

また、式４３０に示した初期公開鍵を用いることで、受信装置４０のＶｅｒｉｆｉｃａｔｉｏｎ’処理におけるステップＳ２００３の計算を、以下の式４３１のように変更する。

また、本実施形態に係る暗号鍵配信システムでは、送信者認証用情報の生成と、受信内容の検証に、それぞれＳｉｇｎ’処理およびＶｅｒｉｆｉｃａｔｉｏｎ’処理を用いているが、本発明の第３の実施形態に示したＳｉｇｎ処理およびＶｅｒｉｆｉｃａｔｉｏｎ処理を用いることも可能である。

また、本実施形態に係る方式では、Ｖｅｒｉｆｉｃａｔｉｏｎ’処理において、受信者、すなわち検証者が、Ｋ’∈Ｇ_１を計算しているが、送信者が送信者認証用情報としてヘッダと共にＫ’を配信してもよい。検証者は、送信者認証用情報に含まれるＫ’を利用することによって、Ｖｅｒｉｆｉｃａｔｉｏｎ’処理におけるステップＳ２００７を削除することも可能である。

また、本実施形態に係るＥｎｃｒｙｐｔｉｏｎ”処理では、擬似秘密鍵ｄｋ_０を利用した送信者認証用情報を生成することが可能である。しかしながら、擬似秘密鍵ｄｋ_０は公開情報であるため、任意のｅｎｔｉｔｙが取得可能であり、擬似秘密鍵ｄｋ_０を利用した送信者認証用情報（署名）は、その生成者を特定することが不可能となる。このような点を防止するために、本実施形態に係るＶｅｒｉｆｉｃａｔｉｏｎ’処理において、受信装置４０は、ｕ_ｊ＝ｕ_０の場合には、擬似秘密鍵ｄｋ_０を用いて送信者認証用情報が生成されたと判断し、検証が不成立であったとして処理を終了するようにしてもよい。

以上説明したように、本実施形態に係る方式によれば、従来方式において暗号化時に必要となるビット長が長い巡回群上での乗算、冪乗算、逆元演算を削除し、その代わりに１回の双線形写像演算（ｐａｉｒｉｎｇ）と楕円曲線上の点の演算等を若干数追加することによって、ユーザ、すなわち秘密鍵を保持するｅｎｔｉｔｙ（人、デバイス、サーバ等の動作主体）が暗号化を実行する際には、特にｒが増加するほど、暗号化時に必要となる計算量、すなわち計算時間または計算に必要となる機器のコストを削減可能となる。

また、公開情報として、擬似秘密鍵を公開することで、従来方式において暗号化時に必要となるビット長が長い巡回群上の要素を公開する必要がなくなるため、公開鍵サイズの削減も実現可能となる。

さらに、本実施形態に係る方式では、正規のユーザであれば、ヘッダｈｄｒ生成後、Ｓｉｇｎ’処理を実行することによって、送信者認証用情報を付加することが可能となっている。これにより、ヘッダｈｄｒおよび送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を受信したユーザが、ヘッダｈｄｒ、暗号文Ｃの改ざん検出及び生成者の確認を行うことが可能となる。

また、本実施形態に係る方式では、各処理を以下のように構成することにより、ユーザのみが署名生成可能となるように変更することも可能である。なお、以下の説明において、Ｄｅｃｒｙｐｔｉｏｎ処理およびＡｇｇｒｅｇａｔｅ（Ｂ）処理については、従来方式と同一であるため、詳細な説明は省略する。

＜鍵生成装置２０の動作：Ｓｅｔｕｐ’’’処理およびＪｏｉｎ’’’処理＞
センタは、所有する鍵生成装置２０を操作し、以下の手順に従って、公開鍵および公開情報と、各ユーザに対応する個人秘密鍵とを生成する。以下に、図４７および図４８を参照しながら、本変形例に係る鍵生成装置２０の動作（すなわち、Ｓｅｔｕｐ’’’処理およびＪｏｉｎ’’’処理）について、詳細に説明する。図４７は、本変形例に係る鍵生成処理を説明するための流れ図であり、図４８は、本変形例に係るユーザ登録処理を説明するための流れ図である。

［鍵生成装置２０におけるＳｅｔｕｐ’’’処理］
Ｓｅｔｕｐ’’’処理は、本変形例に係る鍵生成装置２０を有するセンタがシステム構築時に一度だけ実行する鍵生成処理である。センタは、セキュリティパラメータλを決定し、鍵生成装置は、入力されたセキュリティパラメータλを用いて、以下に説明するＳｅｔｕｐ’’’処理を実行する。

まず、鍵生成装置２０のパラメータ決定部１２５１は、λ−ｂｉｔの素数ｐを生成し、次いで、双線形群選択部１２５３は、ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１を選択する（ステップＳ２１０１）。

次に、鍵生成装置２０の双線形群選択部１２５３は、双線形写像ｅ：Ｇ×Ｇ→Ｇ_１を決定する（ステップＳ２１０２）。

続いて、鍵生成装置２０のパラメータ決定部１２５１は、Ｇ，Ｈ∈Ｇを選択する（ステップＳ２１０３）。

その後、鍵生成装置２０のパラメータ決定部１２５１は、γ∈_ＲＺ_ｐ ^＊を選択し、Ｗ＝γＧ∈Ｇを計算する（ステップＳ２１０４）。このようにして得られたγおよびＧは、センタのみがマスター鍵ｍｋ＝（γ，Ｇ）として秘密保持する。

次に、鍵生成装置２０の鍵算出部１２５７は、算出したデータを用いて、初期公開鍵ｅｋ_０を以下のようにして構成する（ステップＳ２１０５）。

ｅｋ_０＝｛ｐ，Ｇ，Ｇ_１，ｅ，Ｗ，Ｈ｝ ・・・（式４３２）

公開鍵の生成が終了すると、鍵生成装置２０の配布部１２６１は、Ｓｅｔｕｐ処理の実行によって得られた初期公開鍵ｅｋ_０を、システム全体の初期公開鍵として公開する。

［鍵生成装置２０におけるＪｏｉｎ’’’処理］
Ｊｏｉｎ’’’処理は、センタが、ユーザからのシステム加入要求がある毎に実行するユーザ登録処理である。この処理は、センタがシステム設定を終えた後に、任意のタイミングで実行されてよい。

センタは、公開鍵ｅｋ_ｉ―１（１≦ｉ≦ｎ）、マスター鍵ｍｋおよびｉ番目に加入したユーザのインデックスであるｉを鍵生成装置２０に入力し、以下に説明するＪｏｉｎ’’’処理を実行することで、システム加入要求を送信したユーザの秘密鍵を生成して、システムへの加入処理を行う。

まず、鍵生成装置２０の鍵算出部１２５７は、ユーザｉに固有の値である、ｕ_ｉ∈Ｚ_ｐ ^＊＼｛ｕ_０｝を計算する（ステップＳ２２０１）。その後、以下の式４３３に示す計算を行うことにより、鍵算出部１２５７は、システム加入要求を送信したユーザｉの秘密鍵ｄｋ_ｉを計算する（ステップＳ２２０２）。

ここで、上記式４３３におけるＢ_ｉは、秘密鍵ｄｋ_ｉの一部としているが、Ｂ_ｉは秘密の情報ではなく公開情報であり、ユーザｉは、Ｂ_ｉを秘密保持する必要はない。

鍵生成装置３０の配布部１２６１は、Ｊｏｉｎ’’’処理の実行によって得られたユーザｉの秘密鍵ｄｋ_ｉを、安全な通信路を利用してユーザｉに秘密裏に送信すると共に、現在の公開鍵ｅｋ_ｉ−１にユーザｉに対応する公開情報（ｕ_ｉ，Ｂ_ｉ）を追加し、公開鍵ｅｋ_ｉとして更新、公開する。このとき、新たな公開鍵ｅｋ_ｉは、以下の式４３４のような構成となっている。

以上、本実施形態に係る鍵生成装置２０で実行されるＳｅｔｕｐ’’’処理およびＪｏｉｎ’’’処理について説明した。続いて、本変形例に係る暗号化装置３０で実行される暗号化処理（Ｅｎｃｒｙｐｔｉｏｎ’’’処理）について、説明する。

＜暗号化装置３０の動作：Ｅｎｃｒｙｐｔｉｏｎ’’’処理及びＳｉｇｎ’’’処理＞
コンテンツ等の平文を配信する配信者は、所有する暗号化装置３０を操作し、以下の手順に従って、暗号文とヘッダとを生成する。以下に、図４９を参照しながら、本変形例に係る暗号化装置３０のＥｎｃｒｙｐｔｉｏｎ’’’処理について、詳細に説明する。図４９は、本変形例に係る暗号化装置３０で実行される暗号化処理を説明するための流れ図である。また、配信者は、暗号化装置３０を操作して、受信装置４０において生成した暗号文とヘッダの正当性および改ざんの有無の検証に用いられる送信者認証用情報を、以下の手順に従って生成する。図５０は、本変形例に係る暗号化装置３０が送信者認証用情報を生成する際に実行するＳｉｇｎ’’’処理を説明するための流れ図である。

［暗号化装置３０におけるＥｎｃｒｙｐｔｉｏｎ’’’処理］
Ｅｎｃｒｙｐｔｉｏｎ’’’処理は、コンテンツ等の配信を希望する任意の送信者が、暗号化装置３０を用いて、配信毎に実行する処理である。

送信者は、公開鍵ｅｋ_ｉ、排除されるユーザの集合Ｒ＝｛ｕ_Ｒ１，・・・ｕ_Ｒｒ｝を本変形例に係る暗号化装置３０に入力し、以下に説明するＥｎｃｒｙｐｔｉｏｎ’’’処理を実行することで、配信したいコンテンツ等の平文に暗号化処理を行う。ユーザによって入力された集合Ｒは、暗号化装置３０の排除受信装置特定部１３０３により、暗号化装置３０が利用可能なデジタルデータに変換され、Ｅｎｃｒｙｐｔｉｏｎ’’’処理に用いられる。

暗号化装置３０の排除受信装置特定部１３０３は、まず、Ｒの要素数をカウントして、カウント結果をｒとする（ステップＳ２３０１）。排除受信装置特定部１３０３は、このカウント結果ｒをセッション鍵決定部１３０７に出力する。

次に、暗号化装置３０のセッション鍵算出部１３０９は、ｋ∈Ｚ_ｐ ^＊を選択する（ステップＳ２３０２）。

続いて、暗号化装置３０のセッション鍵算出部１３０９は、排除されたユーザの数ｒについて、判定を行う（ステップＳ２３０３）。ｒ＝０の場合（すなわち、排除されたユーザがいない場合）には、後述するステップＳ２３０４を実行する。また、ｒ≧１の場合（すなわち、排除されたユーザが１人以上存在する場合）には、後述するステップＳ２３０５を実行する。

排除されたユーザがいない場合には、暗号化装置３０は、自身を排除されたユーザとして設定する。すなわち、セッション鍵算出部１３０９は、Ｒ_１＝ｊとしたうえで、以下の式４３５および式４３６に基づいてＰ_ｒおよびＫ’を決定し（ステップＳ２３０４）、その後ステップＳ２３０８を実行する。

また、排除されたユーザが１人以上である場合には、セッション鍵算出部１３０９は、双線形写像演算部１３１３に対して、Ｇ上で双線形群の演算処理（Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズム）を行い、以下の式４３７に示した値を計算するよう要請し、双線形写像演算部１３１３は、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを実行して、式４３７の値をセッション鍵算出部１３０９に出力する（ステップＳ２３０５）。なお、双線形群の演算処理アルゴリズムであるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムについては、従来技術におけるＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムと同一であるため、詳細な説明は省略する。

次に、セッション鍵算出部１３０９は、双線形写像演算部１３１３から出力された演算結果を利用して、以下の式４３８の値を算出する（ステップＳ２３０６）。

本実施形態に係るセッション鍵算出部１３０９は、上記γＰ_ｒを算出することで、Ｇ_１上でのＡｇｇｒｅｇａｔｅ（Ａ）アルゴリズムが実行不要となり、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムの実行回数を１回に減らすことが可能となる。

続いて、セッション鍵算出部１３０９は、双線形写像演算部１３１３の演算結果と、上記式４３８の値と、秘密鍵ｄｋ_ｊを用いて、以下の式４３９に示した値を計算する（ステップＳ２３０７）。

それぞれの場合について、Ｐ_ｒおよびＫ’の算出が終了すると、ヘッダ算出部１３１１は、ヘッダｈｄｒを、以下の式４４０のようにして計算する（ステップＳ２３０８）。

次に、セッション鍵算出部１３０９は、セッション鍵Ｋを以下の式４４１に基づいて計算し、ヘッダｈｄｒ、Ｋ’およびｋとともに出力する（ステップＳ２３０９）。

暗号化装置の暗号化部１３１５は、平文Ｍのセッション鍵Ｋによる暗号文Ｃ＝Ｅ_Ｋ（Ｍ）を生成し、送信者認証用情報生成部１３２１に伝送する。また、暗号文送信部１３１７は、生成された（ｈｄｒ，Ｃ）を、後述する送信者認証用情報とともに同報配信する。かかる処理を行うことで、送信者は、希望するユーザに対して暗号化されたコンテンツ等を送信することができる。

なお、上記の処理に加えて、さらに平文Ｍの暗号化、または暗号化及び同報配信までをＥｎｃｒｙｐｔｉｏｎ’’’処理で実行する構成としてもよい。また、ステップＳ２３０１は、送信者自身が実行し、Ｅｎｃｒｙｐｔｉｏｎ’’’処理を実行する暗号化装置３０に入力する形態をとってもよい。

［送信者認証用情報の生成処理−Ｓｉｇｎ’’’処理］
続いて、図５０を参照しながら、本変形例に係る送信者認証用情報生成部１３２１が実行する送信者認証用情報の生成処理（Ｓｉｇｎ’’’処理）について、詳細に説明する。

Ｓｉｇｎ’’’処理は、本変形例に係る暗号化装置３０を有する送信者がヘッダｈｄｒの生成後に実行する処理である。なお，Ｓｉｇｎ’’’処理は、正規の秘密鍵を有する送信者（暗号化装置３０）にのみ実行可能な処理である。

送信者は、公開鍵ｅｋ_ｉ、送信者自身に固有の値ｕ_ｊ、送信者自身が保持する秘密鍵ｄｋ_ｊ、Ｅｎｃｒｙｐｔｉｏｎ’’’処理の実行後にセッション鍵算出部１３０９から出力されるｋ、Ｋ’、セッション鍵Ｋ、および、暗号文Ｃを暗号化装置３０に入力し、以下で説明するＳｉｇｎ’’’処理を実行させる。

まず、送信者認証用情報生成部１３２１は、パラメータｔ∈Ｚ_ｐ ^＊を無作為に選択する（ステップＳ２４０１）。次に、送信者認証用情報生成部１３２１は、以下の式４４２に基づいて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，０を算出する（ステップＳ２４０２）。

次に、送信者認証用情報生成部１３２１は、算出したｓｉｇ_ｊ，０と、暗号文Ｃと、セッション鍵Ｋとを用いて、これらの値のハッシュ値ｈ_ｊを、ハッシュ関数を用いて以下の式４４３のように計算する（ステップＳ２４０３）。

続いて、送信者認証用情報生成部１３２１は、算出したハッシュ値ｈ_ｊと、選択したパラメータｔとを用いて、送信者の秘密情報ｙを以下の式４４４のように算出する（ステップＳ２４０４）。

ｙ＝ｔ−ｈ_ｊ∈Ｚ_ｐ ^＊ ・・・（式４４４）

次に、送信者認証用情報生成部１３２１は、算出した秘密情報ｙと、暗号化装置３０に固有の秘密鍵ｄｋ_ｊとを用いて、送信者認証用情報の要素の一つであるｓｉｇ_ｊ，１を以下の式４４５に基づいて算出し、（ｕ_ｊ，ｈ_ｊ，ｓｉｇ_ｊ，１）を送信者認証用情報として、暗号文送信部１３１７に出力する（ステップＳ２４０５）。

以上説明したように、本変形例に係る送信者認証用情報生成部１３２１は、送信者が任意に選択したパラメータに基づいて算出された値と、暗号文Ｃと、セッション鍵Ｋとに関するハッシュ値を用いて送信者認証用情報を生成する。したがって、悪意のある第三者が暗号文の内容やセッション鍵を改ざんして送信者認証用情報を再生成した場合には、算出されるハッシュ値が異なる値となる。そのため、送信者認証用情報を受信した受信装置４０は、この送信者認証用情報を利用することで、送信者の正当性および送信内容に改ざんがなされたか否かを検証することができる。

以上、本変形例に係る暗号化装置３０で実行されるＥｎｃｒｙｐｔｉｏｎ’’’処理およびＳｉｇｎ’’’処理について説明した。続いて、本変形例に係る受信装置４０で実行される受信内容検証処理（Ｖｅｒｉｆｉｃａｔｉｏｎ’’’処理）について、説明する。

＜受信装置４０の動作：Ｖｅｒｉｆｉｃａｔｉｏｎ’’’処理＞
暗号化装置３０から暗号文等の送信を受けた受信者は、所有する受信装置４０を操作し、以下の手順に従って、受信した内容の検証処理を実行する。図５１は、本変形例に係る受信装置４０が受信内容を検証する際に実行するＶｅｒｉｆｉｃａｔｉｏｎ’’’処理を説明するための流れ図である。

Ｖｅｒｉｆｉｃａｔｉｏｎ’’’処理は、排除されていないユーザが、送信されたヘッダｈｄｒと、送信者認証用情報である（ｕ_ｊ，ｈ_ｊ，ｓｉｇ_ｊ，１）を利用して、ヘッダｈｄｒおよび暗号文Ｃを生成したのが、正規の秘密鍵を有するユーザであり、かつ、ヘッダｈｄｒおよび暗号文Ｃが改ざんされていないかどうかを確認する際に実行する処理である。

検証者は、受信したヘッダｈｄｒ、ヘッダｈｄｒの復号結果として得られるセッション鍵Ｋ、暗号文Ｃ、および、送信者認証用情報（ｕ_ｊ，ｓｉｇ_ｊ，０，ｓｉｇ_ｊ，１）を受信装置４０に入力し、受信装置４０は、以下で説明するＶｅｒｉｆｉｃａｔｉｏｎ’’’処理を実行する。

なお、Ｖｅｒｉｆｉｃａｔｉｏｎ’’’処理では、公開鍵ｅｋ_ｉのシステムパラメータ部分である（ｐ，Ｇ，Ｇ_１，ｅ）のみを利用するが、これらの値は、通常あらかじめ各ユーザ（あるいはユーザが保持する受信装置４０）によって保持されているため、ここでは入力として公開鍵を与える必要がないものとする。

まず、受信装置４０の受信内容検証部１４０７は、排除されるユーザの集合Ｒの要素数をカウントして、カウント結果をｒとし（ステップＳ２５０１）、カウント結果の判定を行う（ステップＳ２５０２）。カウント結果ｒが１である場合には、受信内容検証部１４０７は、後述するステップＳ２５０３を実行する。また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、後述するステップＳ２５０４を実行する。

カウント結果ｒが１である場合には、受信内容検証部１４０７は、下記式４４６に基づいてγＰ_ｒを計算し（ステップＳ２５０３）、後述するステップＳ２５０５を実行する。

また、カウント結果ｒが２以上である場合には、受信内容検証部１４０７は、下記式４４７に基づいてγＰ_ｒを計算し（ステップＳ２５０４）、後述するステップＳ２５０５を実行する。

次に、受信内容検証部１４０７は、算出したγＰ_ｒと、送信者認証用情報と、公開情報とを利用して、下記式４４８に基づいて、検証用に用いられるパラメータＣＨ_１を計算する（ステップＳ２５０５）。

次に、受信内容検証部１４０７は、算出したγＰ_ｒと、自身が保持する秘密鍵ｕ_ｉとを利用して、以下の式４４９に基づいて、Ｋ’を算出する（ステップＳ２５０６）。

次に、受信内容検証部１４０７は、算出した検証用パラメータＣＨ_１およびハッシュ値ｈ_ｊと、算出したＫ’とを用いて、検証用の値ＣＨ_２を、以下の式４５０に基づいて算出する（ステップＳ２５０７）。

続いて、受信内容検証部１４０７は、暗号化装置３０から送信された暗号文Ｃと、セッション鍵算出部１４０３から伝送されたセッション鍵Ｋと、算出したＣＨ_２とを用いて、以下の式４５１に基づいてハッシュ値ｈ’を算出する（ステップＳ２５０８）。

続いて、受信内容検証部１４０７は、算出したハッシュ値ｈ’と、送信者認証用情報に含まれているｈ_ｊとを比較する（ステップＳ２５０９）。ｈ’＝ｈ_ｊであった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒは、正当な秘密鍵を持つユーザｊから送信されたものであって、かつ、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされていない（すなわち、検証が成功した）と判定する（ステップＳ２５１０）。また、ｈ’≠ｈ_ｊであった場合には、受信内容検証部１４０７は、暗号化装置３０から受信した暗号文Ｃおよびヘッダｈｄｒが正当な秘密鍵を持つユーザｊから送信されたものではないか、または、暗号文Ｃおよびヘッダｈｄｒに改ざんがなされたものである（すなわち、検証が失敗した）と判定する（ステップＳ２５１１）。

検証結果が確定すると、受信内容検証部１４０７は、検証結果を復号部１４０９へと伝送する。

なお、上述のステップＳ２５０１は、受信者自身が実行し、Ｖｅｒｉｆｉｃａｔｉｏｎ’’’処理を実行する受信装置４０に入力する形態をとってもよい。

以上説明したように、本変形例によれば、正規のユーザのみが署名の生成を実行できるようにすることが可能となる。

また、上述の第１の実施形態〜第４の実施形態における暗号化装置３０では、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムを利用し、以下の式５０１を用いてγＰ_ｒの算出を行っている。

しかしながら、上記式５０１の代わりに以下の式５０２を用いることで、Ａｇｇｒｅｇａｔｅ（Ｃ）アルゴリズムではなく、Ａｇｇｒｅｇａｔｅ（Ａ）アルゴリズムを利用して、γＰ_ｒを算出することも可能である。

以上、添付図面を参照しながら本発明の好適な実施形態について説明したが、本発明はかかる例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本発明の技術的範囲に属するものと了解される。

例えば、本明細書の各流れ図における各ステップは、必ずしも流れ図として記載された順序に沿って時系列に処理する必要はなく、並列的あるいは個別に実行される処理（例えば、並列処理あるいはオブジェクトによる処理）も含むとしても良い。

本発明の第１の実施形態に係る暗号鍵配信システムを説明するための説明図である。 同実施形態に係る鍵生成装置のハードウェア構成を説明するためのブロック図である。 本発明の基盤技術に係る鍵生成処理を説明するための流れ図である。 本発明の基盤技術に係るユーザ登録処理を説明するための流れ図である。 本発明の基盤技術に係る暗号化処理を説明するための流れ図である。 本発明の基盤技術に係る双線形群の演算処理を説明するための流れ図である。 本発明の基盤技術に係る復号化処理を説明するための流れ図である。 本発明の基盤技術に係る双線形群の演算処理を説明するための流れ図である。 従来方式におけるデータサイズおよび計算量を説明するための説明図である。 本発明の第１の実施形態に係る鍵生成装置の構成について説明するためのブロック図である。 同実施形態に係る暗号化装置の構成について説明するためのブロック図である。 同実施形態に係る受信装置の構成について説明するためのブロック図である。 同実施形態に係る暗号化処理を説明するための流れ図である。 同実施形態に係る双線形群の演算処理を説明するための流れ図である。 同実施形態に係る暗号化処理における計算量を説明するための説明図である。 暗号化処理時の計算量を比較したグラフ図である。 本発明の第２の実施形態に係る鍵生成装置の構成について説明するためのブロック図である。 同実施形態に係る暗号化装置の構成について説明するためのブロック図である。 同実施形態に係る受信装置の構成について説明するためのブロック図である。 同実施形態に係る鍵生成処理を説明するための流れ図である。 同実施形態に係るユーザ登録処理を説明するための流れ図である。 同実施形態に係る暗号化処理を説明するための流れ図である。 同実施形態に係る暗号化処理における公開鍵サイズを説明するための流れ図である。 暗号化処理における公開鍵サイズを比較したグラフ図である。 本発明の第３の実施形態に係る暗号鍵配信システムを説明するための説明図である。 同実施形態に係る鍵生成装置のハードウェア構成を説明するためのブロック図である。 同実施形態に係る鍵生成装置の構成について説明するためのブロック図である。 同実施形態に係る暗号化装置の構成について説明するためのブロック図である。 同実施形態に係る受信装置の構成について説明するためのブロック図である。 同実施形態に係る鍵生成処理を説明するための流れ図である。 同実施形態に係る送信者認証用情報の生成処理を説明するための流れ図である。 同実施形態に係る受信内容検証処理を説明するための流れ図である。 同実施形態に係る暗号化処理の第１変形例を説明するための流れ図である。 同変形例に係る双線形群の演算処理を説明するための流れ図である。 同変形例に係る暗号化処理における計算量を説明するための説明図である。 暗号化処理時の計算量を比較したグラフ図である。 本発明の第４の実施形態に係る鍵生成装置の構成について説明するためのブロック図である。 同実施形態に係る暗号化装置の構成について説明するためのブロック図である。 同実施形態に係る受信装置の構成について説明するためのブロック図である。 同実施形態に係る鍵生成処理を説明するための流れ図である。 同実施形態に係るユーザ登録処理を説明するための流れ図である。 同実施形態に係る暗号化処理を説明するための流れ図である。 同実施形態に係る送信者認証用情報の生成処理を説明するための流れ図である。 同実施形態に係る受信内容検証処理を説明するための流れ図である。 同実施形態に係る暗号化処理における公開鍵サイズを説明するための流れ図である。 暗号化処理における公開鍵サイズを比較したグラフ図である。 同実施形態に係る鍵生成処理の一変形例を説明するための流れ図である。 同実施形態に係るユーザ登録処理の一変形例を説明するための流れ図である。 同実施形態に係る暗号化処理の一変形例を説明するための流れ図である。 同実施形態に係る送信者認証用情報の生成処理の一変形例を説明するための流れ図である。 同実施形態に係る受信内容検証処理の一変形例を説明するための流れ図である。

符号の説明

１０ 暗号鍵配信システム
１２ 通信網
２０ 鍵生成装置
３０ 暗号化装置
４０ 受信装置
２５１ パラメータ決定部
２５３ 双線形群選択部
２５５ 鍵生成部
２５７ 鍵算出部
２５９ 擬似秘密鍵算出部
２６１ 配布部
２６３ 送受信部
２６５ 公開鍵配布部
２６７ 記憶部
３０１ 受信部
３０３ 排除受信装置特定部
３０５ 使用鍵特定部
３０７ セッション鍵決定部
３０９ セッション鍵算出部
３１１ ヘッダ算出部
３１３ 双線形写像演算部
３１５ 暗号化部
３１７ 暗号文送信部
３１９ 記憶部
３２１ セッション鍵算出方法選択部
４０１ 受信部
４０３ セッション鍵算出部
４０５ 双線形写像演算部
４０７ 復号部
４０９ 記憶部
１２５１ パラメータ決定部
１２５３ 双線形群選択部
１２５５ 鍵生成部
１２５７ 鍵算出部
１２５９ 擬似秘密鍵算出部
１２６１ 配布部
１２６３ 送受信部
１２６５ 公開鍵配布部
１２６７ 記憶部
１３０１ 受信部
１３０３ 排除受信装置特定部
１３０５ 使用鍵特定部
１３０７ セッション鍵決定部
１３０９ セッション鍵算出部
１３１１ ヘッダ算出部
１３１３ 双線形写像演算部
１３１５ 暗号化部
１３１７ 暗号文送信部
１３１９ 記憶部
１３２１ 送信者認証用情報生成部
１４０１ 受信部
１４０３ セッション鍵算出部
１４０５ 双線形写像演算部
１４０７ 受信内容検証部
１４０９ 復号部
１４１１ 記憶部

Claims (9)

1. 複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置であって、
   前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを決定するパラメータ決定部と、
   前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択部と、
   前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成部と、
   を備え、
   前記パラメータ決定部は、所定の桁数の素数ｐ、γ∈Ｚ _ｐ ^＊ およびＧ，Ｈ∈Ｇをパラメータとして決定し、
   前記双線形群選択部は、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ _１ を選択し、
   前記鍵生成部は、前記受信装置に固有の値ｕ _ｉ ∈Ｚ _ｐ ^＊ を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ _ｉ を算出する、鍵生成装置。
   

   
2. 前記鍵生成部は、前記秘密鍵として使用されず、前記公開情報として公開される擬似秘密鍵を算出する擬似秘密鍵算出部を更に備え、
   前記擬似秘密鍵算出部は、
   前記公開情報として公開されるｕ_０∈Ｚ_ｐ ^＊を選択するとともに、下記式２に基づいて、前記擬似秘密鍵ｄｋ_０を算出する、請求項１に記載の鍵生成装置。
   

   
3. 前記鍵生成部は、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１およびＷ＝γＧ∈Ｇを算出するとともに、下記式３に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式４に基づいて公開鍵ｅｋ_ｉを算出する、請求項１に記載の鍵生成装置。
   

   
4. 前記鍵生成部は、Ｗ＝γＧ∈Ｇを算出するとともに、下記式５に基づいて、公開鍵ｅｋ_ｉを算出する、請求項２に記載の鍵生成装置。
   

   
5. 複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置であって、
   前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを決定するパラメータ決定部と、
   前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択部と、
   前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成部と、
   を備え、
   前記パラメータ決定部は、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定し、
   前記双線形群選択部は、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択し、
   前記鍵生成部は、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ_ｉを算出し、下記式６に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式７に基づいて公開鍵ｅｋ_ｉを算出する、鍵生成装置。
   

   
6. 複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成方法であって、
   前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを決定するパラメータ決定ステップと、
   前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択ステップと、
   前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成ステップと、
   を含み、
   前記パラメータ決定ステップでは、所定の桁数の素数ｐ、γ∈Ｚ _ｐ ^＊ およびＧ，Ｈ∈Ｇをパラメータとして決定し、
   前記双線形群選択ステップでは、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ _１ を選択し、
   前記鍵生成ステップでは、前記受信装置に固有の値ｕ _ｉ ∈Ｚ _ｐ ^＊ を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ _ｉ を算出する、鍵生成方法。
   

   
7. 複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成方法であって、
   前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを決定するとともに、前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択するステップと、
   前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成ステップと、
   を含み、
   前記パラメータの決定および前記複数の双線形群と双線形写像とを選択するステップでは、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定するとともに、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択し、
   前記鍵生成ステップでは、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ_ｉを算出し、下記式６に基づいて前記受信装置に固有の公開情報Ｖ_ｉを算出し、下記式７に基づいて公開鍵ｅｋ_ｉを算出する、鍵生成方法。
   

   
8. コンピュータを、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置として機能させるためのプログラムであって、
   前記秘密鍵および前記公開鍵の生成に要する複数のパラメータを決定するパラメータ決定機能と、
   前記複数のパラメータに基づいて、複数の双線形群と双線形写像とを選択する双線形群選択機能と、
   前記パラメータおよび前記複数の双線形群に基づいて、前記秘密鍵および前記公開鍵を生成する鍵生成機能と、
   をコンピュータに実現させ、
   前記パラメータ決定機能は、所定の桁数の素数ｐ、γ∈Ｚ _ｐ ^＊ およびＧ，Ｈ∈Ｇをパラメータとして決定し、
   前記双線形群選択機能は、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ _１ を選択し、
   前記鍵生成機能は、前記受信装置に固有の値ｕ _ｉ ∈Ｚ _ｐ ^＊ を選択するとともに、下記式１に基づいて、前記秘密鍵ｄｋ _ｉ を算出する、プログラム。
   

   
9. コンピュータを、複数の受信装置それぞれに固有な秘密鍵と、前記複数の受信装置及び暗号化装置に公開される公開鍵および公開情報と、を生成する鍵生成装置として機能させるためのプログラムであって、
   前記秘密鍵および前記公開鍵の生成に要する、所定の桁数の素数ｐ、γ∈Ｚ_ｐ ^＊およびＧ，Ｈ∈Ｇをパラメータとして決定するパラメータ決定機能と、
   前記所定の桁数の素数ｐに基づいて、前記素数ｐを位数とする双線形写像群Ｇおよび巡回乗法群Ｇ_１と、双線形写像ｅとを選択する双線形群選択機能と、
   前記パラメータおよび前記複数の双線形群に基づいて、Ｖ＝ｅ（Ｇ，Ｈ）∈Ｇ_１、Ｗ＝γＧ∈Ｇ、Ｘ＝γＨ∈Ｇを算出し、前記受信装置に固有の値ｕ_ｉ∈Ｚ_ｐ ^＊を選択するとともに、下記式１で定義される値を演算結果として出力し前記秘密鍵ｄｋ_ｉとし、下記式６で定義される値を演算結果として出力し前記受信装置に固有の公開情報Ｖ_ｉとし、下記式７で定義される値を演算結果として出力し公開鍵ｅｋ_ｉとする鍵生成機能と、
   をコンピュータに実現させるためのプログラム。
   

   

Images