JP2007189597A - 暗号化装置および暗号化方法、並びに復号化装置および復号化方法 - Google Patents

Abstract

【課題】同報通信暗号システムにおいて、コンテンツの送信者に対する制限を抑止する。
【解決手段】同報通信システム１は、第１乃至３の同報通信暗号を実現するものであり、コンテンツを暗号化して送信する送信装置１０、暗号化されたコンテンツを受信して復号化する受信端末装置２０、送信装置１０と受信端末装置２０を結ぶ通信網３０から構成される。なお、受信端末装置２０は複数存在するものとする。第１の同報通信暗号ではＳＤ法、およびBTEを利用する。第２の同報通信暗号ではＳＤ法、BTE、およびＦＳを利用する。第３の同報通信暗号ではBGW Scheme、BTE、およびＦＳを利用する。本発明は、放送や記録媒体の配布によるコンテンツの同報通信に適用することができる。
【選択図】図１

Description

本発明は、暗号化装置および暗号化方法、並びに復号化装置および復号化方法に関し、特に、データを暗号化して同報通信する場合に用いて好適な暗号化装置および暗号化方法、並びに復号化装置および復号化方法に関する。

映像や楽曲などに代表されるコンテンツをテレビジョン放送やラジオ放送として送信したり、インターネットに代表されるネットワークを介して配信したり、記録媒体に記録して配布したりするサービスにおいては、コンテンツの著作権を保護するとともに、不正なユーザによってコンテンツが視聴されることを抑止するため、コンテンツをコンテンツ鍵によって暗号化し、このコンテンツ鍵をデバイス鍵によって暗号化して、暗号化されているコンテンツとデバイス鍵を送信（あるいは配信や記録）し、受信端末装置において予め保持しているデバイス鍵を用いて暗号化されているコンテンツ鍵を復号し、その結果得られるコンテンツ鍵を用いてコンテンツを復号するシステムの利用が一般的である。以下、このようなシステムを同報通信暗号システムと称する。

同報通信暗号システムにおいては、何らかの事故や不正な工作によって受信端末装置に保持されている鍵が流出してしまうと、コンテンツの視聴権限を有しているユーザによって操作される正規の受信端末装置ではない不正な受信端末装置（コンテンツの視聴権限を有してないユーザによって操作される正規の受信端末装置）がコンテンツを再生できてしまうことになる。

そこで、このような事態を抑止するため、流出したデバイス鍵では復号不可能となるように暗号化を行うことができる無効化鍵管理法(Revocation Scheme)が存在する。ただし、この無効化鍵管理法は、単純に個別の受信端末装置に対して鍵の無効化を行った場合、システムとして予め必要となる鍵の数が膨大になるという問題がある。

システムとして予め必要となるデバイス鍵の数を抑えることができる鍵管理手法としては、Subset-Cover Revocationが存在する。Subset-Cover Revocationでは、デバイス鍵を木構造を用いて管理し、木構造のリーフ（木構造の最下層）に受信端末装置を割り当て、ノードにデバイス鍵を割り当てるようになされている。Subset-Cover Revocationの具体的な実現方式としては、Subset Difference Method（ＳＤ法）が知られている（非特許文献１参照）。

D.Naor,M.Naor,and J.Lotspiech,"!Revocation and tracing schemes for stateless receivers",CRYPTO,'01,2001.

ＳＤ法は、無効化したいデバイス鍵の数が増加しても、暗号化符号列のメッセージ長を短く抑えることが可能である。しかしながら、送信側において秘密鍵を用いて暗号化している鍵管理方式の場合、コンテンツの送信は秘密鍵を知り得る信頼された機関に限定されてしまう。また、デバイス鍵が流出してしまった際にそのデバイス鍵を無効化しても、既に送信済みの暗号化されたコンテンツは、無効化されたデバイス鍵を用いて再生されてしまうという問題がある。

本発明はこのような状況に鑑みてなされたものであり、同報通信暗号システムの送信側における暗号化に公開鍵を用いることにより、コンテンツの送信者に対する制限を外すものである。

本発明の第１の側面は、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置（暗号化方法）において、ＳＤ法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段（ステップ）と、コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段（ステップ）と、決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化手段（ステップ）と、前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を出力する出力手段（ステップ）とを含む暗号化装置（暗号化方法）である。

本発明の第１の側面においては、ＳＤ法に基づき、不正な復号化装置が割り当てられているリーフに対応して２分木におけるカバーリングが決定され、決定されたカバーリングに対応してコンテンツ鍵が暗号化され、コンテンツの暗号化結果、およびコンテンツ鍵の暗号化結果を含む暗号文が出力される。

本発明の第２の側面は、ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化手段とを含む暗号化装置から出力された、前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を復号化する復号化装置（復号化方法）において、予め保持している第１の秘密鍵に基づき、前記カバーリングに対応する第２の秘密鍵を導出する導出手段（ステップ）と、導出された前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得手段（ステップ）と、取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化手段（ステップ）とを含む復号化装置（復号化方法である）。

本発明の第２の側面においては、予め保持している第１の秘密鍵に基づき、カバーリングに対応する第２の秘密鍵が導出され、導出された第２の秘密鍵に基づき、暗号文からコンテンツ鍵が取得され、取得されたコンテンツ鍵に基づき、暗号文が復号化されてコンテンツが得られる。

本発明の第３の側面は、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置（暗号化方法）において、ＳＤ法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段（ステップ）と、コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段（ステップ）と、決定されたカバーリングに対応し、時刻ｔ₂において前記コンテンツ鍵を暗号化する第２の暗号化手段（ステップ）と、前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文を出力する出力手段（ステップ）とを含む暗号化装置（暗号化方法）である。

本発明の第３の側面においては、ＳＤ法に基づき、不正な復号化装置が割り当てられているリーフに対応して２分木におけるカバーリングが決定され、コンテンツ鍵を用いてコンテンツが暗号化される。そして、決定されたカバーリングに対応し、時刻ｔ₂においてコンテンツ鍵が暗号化され、コンテンツの暗号化結果、コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文が出力される。

本発明の第４の側面は、ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、決定されたカバーリングに対応し、時刻ｔ₂において前記コンテンツ鍵を暗号化する第２の暗号化手段とを含む暗号化装置から出力された、前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文を復号化する復号化装置において、予め保持している時刻ｔ₁（≦ｔ₂）の第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₂の第２の秘密鍵を導出する導出手段（ステップ）と、導出された時刻ｔ₂の前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得手段（ステップ）と、取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化手段（ステップ）とを含む復号化装置（復号化方法）である。

前記導出手段は、予め保持している時刻ｔ₁の第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₁の第２の秘密鍵を生成し、生成した時刻ｔ₁の前記第２の秘密鍵を時刻ｔ₂の前記第２の秘密鍵に更新するようにすることができる。

前記導出手段は、生成した時刻ｔ₁の前記第２の秘密鍵を更新することにより、２つの前記第２の秘密鍵を取得し、一方を時刻ｔ₂の前記第２の秘密鍵とし、他方を蓄積するようにすることができる。

前記導出手段は、予め保持している時刻ｔ₁の第１の秘密鍵を時刻ｔ₂の前記第１の秘密鍵に更新し、更新した時刻ｔ₂の前記第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₂の第２の秘密鍵を生成するようにすることができる。

本発明の第４の側面においては、予め保持している時刻ｔ₁（≦ｔ₂）の第１の秘密鍵に基づき、カバーリングに対応する時刻ｔ₂の第２の秘密鍵が導出され、導出された時刻ｔ₂の第２の秘密鍵に基づき、暗号文からコンテンツ鍵が取得され、取得されたコンテンツ鍵に基づき、暗号文が復号化されてコンテンツが得られる。

本発明第５の側面は、BGW Schemeに基づいてコンテンツを暗号化する暗号化装置（暗号化方法）において、時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成手段（ステップ）と、生成された暗号文Ｃ，Hdrを出力する出力手段（ステップ）とを含み、前記暗号文Hdrには時刻ｔが含まれる暗号化装置（暗号化方法）である。

本発明第５の側面においては、時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrが生成され、生成された暗号文Ｃ，Hdrが出力される。

本発明の第６の側面は、時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成手段と、前記暗号文Hdrには時刻ｔが含まれる暗号化装置から出力された暗号文Ｃ，Hdrを復号化する復号化装置（復号化方法）において、予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵を導出する導出手段（ステップ）と、導出された時刻ｔ₂に対応する秘密鍵に基づき、前記暗号文Hdrからセッション鍵を取得する取得手段（ステップ）と、取得された前記セッション鍵に基づき、前記暗号文Ｃを復号化して前記コンテンツを得る復号化手段（ステップ）とを含む復号化装置（復号化方法）である。

前記導出手段は、予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、２つの秘密鍵を導出し、一方を暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵として、他方を蓄積するようにすることができる。

本発明の第６の側面においては、予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵が導出され、導出された時刻ｔ₂に対応する秘密鍵に基づき、暗号文Hdrからセッション鍵が取得され、取得されたセッション鍵に基づき、暗号文Ｃが復号化されてコンテンツが得られる。

以上のように、本発明の第１および第２の側面によれば、同報通信暗号システムにおいて、コンテンツの送信者に対する制限を外すことが可能となる。また、システムとして予め用意する公開鍵の数を減少させることができるとともに、比較的少ない計算量で秘密鍵を導出することが可能となる。

本発明の第３および第４の側面によれば、同報通信暗号システムにおいて、コンテンツの送信者に対する制限を外すことが可能となる。また、システムとして予め用意する公開鍵の数を減少させることができるとともに、比較的少ない計算量で秘密鍵を導出することが可能となる。さらに、過去に送信された暗号文が復号化されることを抑止することが可能となる。

本発明の第５および第６の側面によれば、同報通信暗号システムにおいて、コンテンツの送信者に対する制限を外すことが可能となる。また、復号化装置の総数や不正な復号化装置の数に拘わりなく、メッセージ長を一定に保つことが可能となる。さらに、過去に送信された暗号文が復号化されることを抑止することが可能となる。

以下、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。

図１は、本発明を適用した同報通信システムの構成例を示している。この同報通信システム１は、後述する３種類の同報通信暗号を実現するものであり、コンテンツを暗号化して送信する送信装置１０、暗号化されたコンテンツを受信して復号化する受信端末装置２０、送信装置１０と受信端末装置２０を結ぶ通信網３０から構成される。なお、受信端末装置２０は複数存在するものとする。

送信装置１０は、予め保持している公開鍵を用いてコンテンツを暗号化する暗号化部１１、および、暗号化部１１によって暗号化されたコンテンツを通信網３０を介して受信端末装置２０に送信する送信部１２から構成される。

受信端末装置２０は、暗号化されているコンテンツを通信網３０を介して受信する受信部２１、および、受信部２１によって受信された暗号化されているコンテンツを予め保持している秘密鍵に基づいて復号化する復号化部２２から構成される。

通信網３０は、テレビジョン放送、ラジオ放送、有線放送などの放送網、インターネットに代表されるWAN(Wide Area Network)やLAN(Local Area Network)などのデータネットワークなどの他、暗号化されたデータを記録媒体に記録して配布することなどを含むものとする。

なお、送信装置１０の暗号化部１１と受信端末装置２０の復号化部２２は、それぞれハードウェアによって実現してもよいし、ソフトウェアによって実現してもよい。

ソフトウェアにより実現する場合、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ、または、各種のプログラムをインストールすることで、各種の機能を実行することが可能な、例えば図２に示すように構成される汎用のパーソナルコンピュータなどに、記録媒体からインストールされる。

このパーソナルコンピュータ５０は、CPU(Central Processing Unit)５１を内蔵している。CPU５１にはバス５４を介して、入出力インタフェース５５が接続されている。バス５４には、ROM(Read Only Memory)５２およびRAM(Random Access Memory)５３が接続されている。

入出力インタフェース５５には、キーボード、マウス等の入力デバイスよりなる入力部５６、操作画面などを表示するCRT(Cathode Ray Tube)またはLCD(Liquid Crystal Display)等のディスプレイよりなる出力部５７、プログラムや各種データを格納するハードディスクドライブなどよりなる記憶部５８、およびモデム、LAN（Local Area Network）アダプタなどよりなり、インターネットに代表されるネットワークを介した通信処理を実行する通信部５９が接続されている。また、磁気ディスク（フレキシブルディスクを含む）、光ディスク（CD-ROM(Compact Disc-Read Only Memory)、DVD(Digital Versatile Disc)を含む）、光磁気ディスク（ＭＤ(Mini Disc)を含む）、もしくは半導体メモリなどの記録媒体６１に対してデータを読み書きするドライブ６０が接続されている。

このパーソナルコンピュータ５０に暗号化部１１あるいは復号化部２２としての処理を実行させるプログラムは、記録媒体６１に格納された状態でパーソナルコンピュータ５０に供給され、ドライブ６０によって読み出されて記憶部５８に内蔵されるハードディスクドライブにインストールされている。記憶部５８にインストールされているプログラムは、入力部５６に入力されるユーザからのコマンドに対応するCPU５１の指令によって、記憶部５８からRAM５３にロードされて実行される。

次に、同報通信システム１によって実現される３種類の同報通信暗号（以下、それぞれを第１の同報通信暗号、第２の同報通信暗号、または第３の同報通信暗号と称する）の基礎となる４種類の技術、すなわち、ＳＤ法、BTE(Binary Tree Encryption)、ＦＳ(Forward Security)、およびBGW Schemeについて説明する。

なお、第１の同報通信暗号ではＳＤ法、およびBTEを利用する。第２の同報通信暗号ではＳＤ法、BTE、およびＦＳを利用する。第３の同報通信暗号ではBGW Scheme、BTE、およびＦＳを利用する。以下、受信端末装置２０の符号”２０”を適宜省略する。

ＳＤ法
ＳＤ法は、Subset-Cover Revocationの一種である。Subset-Cover Revocationでは、暗号化されているコンテンツを復号化できないようにする処理を無効化(Revocation)と称し、複数存在する受信端末装置の全体の集合をＮ、無効化する受信端末装置の集合をＲとした場合、送信装置１０からの暗号化されているコンテンツを復号化する権限を有する受信端末装置∈Ｎ＼Ｒは、暗号化されているコンテンツを復号化できるが、無効化された受信端末装置∈Ｒは、これが多数結託したとしても暗号化されているコンテンツを復号化できないようにするものである。

ＳＤ法は、集合Ｒのサイズの拡大に伴ってカバーする部分木の個数（メッセージ長）が増加するＣＳ(Complete Subtree method)法の欠点を解決する手法であり、複数の受信端末装置２０をグループ化するとき、無効化する受信端末装置をその配下の部分木に含めて完全部分木の差ＳＤ_a,cを用いてカバーリングを行う。ここで、ａは、外部の完全部分木のルートであり、ｃは、無効化する受信端末装置を含む内部の完全部分木のルートである。例えば図３に示すように、無効化する受信端末装置（図中×印で示す）の集合Ｒ＝｛ｕ₀₁₁，ｕ₁₁₀，ｕ₁₁₁｝とした場合、カバーリングはＳＤ_0,011，ＳＤ_1,11となる。

ＳＤ法における、無効化された複数の受信端末装置が結託して暗号化されているコンテンツを復号化しようとする攻撃に対する安全性の要件は、受信端末装置をグループ化するカバーリングＳＤ_a,cごとに異なる鍵を割り当てることである。しかしながら、全てのカバーリングＳＤ_a,cに対して異なる鍵を割り当てるために必要な鍵数はＯ(ｎlogｎ)となる。

非特許文献１には、擬似乱数生成器を用い、親の鍵から子の鍵を作成できるようにすることで必要な鍵数をＯ(log²ｎ)まで減少させる方法が開示されている。この手法では、擬似乱数生成器の入力値である木の各内部ノードに割り当てられたラベル（鍵を生成する元のデータ）を全て異なる値に設定すると異なる鍵を生成できる。

なお、カバーリングＳ_a,cはＣＳ法において分割されていた部分木を統合できるので、メッセージ長（カバーリングに必要な部分木の個数と一致する）はＣＳ法に比較して短くなる。また、無効化する受信端末装置の総数をｒとした場合、部分木の個数はその上限値が２ｒ−１になることが知られている。

BTE
BTEは、階層型ＩＤベース暗号(HIDE)を２分木に簡易化したものであり、ルートノードをε、親ノードをｗ∈｛０，１｝^*とすると、左子ノードｗ０を、右子ノードをｗ１としてＩＤとみなしている。

以下、ノードｗのビット長を｜ｗ｜、ノードｗの左からｉビット目までをｗ｜_iと記述する。ただし、「ｗ｜_i」などを下付文字として使用する場合、表記の都合上、ｉの下付を解除して_|w|iとも記述する。また、ｗ０はノードｗの最下位ビット側に０を追加した値、ｗ１はノードｗの最下位ビット側に１を追加した値とする。例えば、ノードｗ＝１０１１である場合、｜ｗ｜＝４、ｗ｜₂＝１０、ｗ｜₃＝１０１、ｗ０＝１０１１０、ｗ１＝１０１１１である。

BTEの安全性は、BDH(Bilinear Diffie-Hellman)問題の難しさに基づいている。Ｇ₁，Ｇ₂は位数を素数ｑとした巡回群であって、Ｇ₁は加法群、Ｇ₂は乗法群とした場合、双線形写像ｅ：Ｇ₁×Ｇ₁→Ｇ₂は、∀Ｐ，Ｑ∈Ｇ₁，∀ａ，ｂ∈Ｚ_qについて、ｅ（ａＰ，ｂＱ）＝ｅ（ｂＰ，ａＱ）＝ｅ（Ｐ，Ｑ）^abである。

BTEにおけるセットアップアルゴリズムGEN_BTE、鍵生成アルゴリズムDER_BTE、暗号化アルゴリズムENC_BTE、および復号化アルゴリズムDEC_BTEについて説明する。

セットアップアルゴリズムGEN_BTE
セキュリティパラメータ１^λと木の高さｈを入力とした場合のセットアップアルゴリズムGEN_BTE（１^λ，ｈ）は、以下の（１）乃至（４）の処理からなる。
（１）BDHパラメータジェネレータＩＧ（１^λ）を実行し、位数ｑの群Ｇ₁、Ｇ₂と双線形写像ｅを生成する。
（２）ランダムにＰ∈Ｇ₁とα∈Ｚ_qを選択し、Ｑ＝αＰとする。ここで、Ｚ_qは０以上ｑ未満の整数の集合である。
（３）暗号的ハッシュ関数Ｈ：｛０，１｝^*→Ｇ₁を選択する。
（４）ＰＫ＝（Ｇ₁，Ｇ₂，ｅ，Ｐ，Ｑ，Ｈ）を公開鍵、Ｓ_ε＝αＨ（ε）をルートの秘密鍵とする。

鍵生成アルゴリズムDER_BTE
公開鍵ＰＫ、ノードｗに対応する秘密鍵ＳＫ_wを入力として、左子ノードｗ０、右子ノードｗ１にそれぞれ対応する秘密鍵ＳＫ_w0、ＳＫ_w1を出力する鍵生成アルゴリズムDER_BTE（ＰＫ，ｗ，ＳＫ_w）は、以下の（１）および（２）の処理からなる。
（１）ランダムにρ_w0，ρ_w1∈Ｚ_qを選択し、Ｒ_w0＝ρ_w0Ｐ、Ｒ_w1＝ρ_w1Ｐ、Ｓ_w0＝Ｓ_w＋ρ_w0Ｈ（ｗ０）、Ｓ_w1＝Ｓ_w＋ρ_w1Ｈ（ｗ１）を算出する。
（２）ＳＫ_w0＝（Ｒ_w|1，…，Ｒ_w||w|，Ｒ_w0，Ｓ_w0）、ＳＫ_w1＝（Ｒ_w|1，…，Ｒ_w||w|，Ｒ_w1，Ｓ_w1）を出力する。

暗号化アルゴリズムENC_BTE
公開鍵ＰＫ、ノードｗ、メッセージＭ∈Ｇ₂を入力として、暗号文Ｃを出力する暗号化アルゴリズムENC_BTE（ＰＫ，ｗ，Ｍ）は、以下の（１）および（２）の処理からなる。
（１）乱数ｒ∈Ｚ_qを発生する。
（２）Ｃ＝（ｒＰ，ｒＨ（ｗ｜₁），ｒＨ（ｗ｜₂），…,ｒＨ（ｗ｜_|w|），Ｍ・ｄ）＝（Ｕ₀，Ｕ₁，…，Ｕ_|w|，Ｖ）を出力する。
ここで、Ｕ₀＝ｒＰ、Ｕ_i＝ｒＨ（ｗ｜_i）（ｉは１以上、｜ｗ｜以下の整数）、ｄ＝ｅ（Ｑ，Ｈ（ε））^rである。

復号化アルゴリズムDEC_BTE
公開鍵ＰＫ、ノードｗ、秘密鍵ＳＫ_w＝（Ｒ_w|1，…，Ｒ_w||w|，Ｓ_w）に基づいて、暗号文Ｃを復号化する復号化アルゴリズムDEC_BTE（ＰＫ，ｗ，ＳＫ_w，Ｃ）は、以下の（１）および（２）の処理からなる。
（１）ＳＫ_wとＣに基づいてｄを算出する。

（２）Ｖ／ｄを算出することによりメッセージＭを得る。Ｍ＝Ｖ／ｄ

ＦＳ
ＦＳは、受信端末装置に保持されているデバイス鍵（秘密鍵）をそれ自身に基づいて所定の周期で更新することにより、ある時点においてデバイス鍵が流出したとしても、既に送信済みの暗号化されているコンテンツの復号化を不能とするものである。

本発明においてＦＳの実現は、BTEと秘密鍵を格納するスタックを用いる手法を適用する。秘密鍵は、２分木の全てのノードに対応づける。２分木の高さをｈとした場合、更新される秘密鍵の数は最大で２^h+1−１である。

図４に示す時間の２分木のように、秘密鍵の更新は、時刻ｔ＝０に木のルートから開始され、前順探索(pre-order)の順序である。時刻ｔに対応するノードをｗ^(t)とする。ただし、「ｗ^(t)」などを下付文字として使用する場合、表記の都合上、（ｔ）の上付きを解除して^w(t)とも記述する。当該ノードｗ^(t)に対応する秘密鍵をＳＫ_w(t)とする。また、時刻ｔ＋１に対応するノードｗ^(t+1)は、ノードｗ^(t)が内部ノードである場合にはｗ^(t+1)＝ｗ^(t)０とし、ノードｗ^(t)がリーフである場合にはｗ^(t+1)＝（ｗ＋１）｜_i'とする。ここで｜_i'は、最下位ビット側から１が出現するまで０を消去した値を示すものとする。

例えば、時刻ｔ＝５のノードｗ⁽⁵⁾＝０１_tであり、このノードｗ⁽⁵⁾は内部ノードであるので、時刻ｔ＝６のノードｗ⁽⁶⁾＝０１０_tとなる。ノードｗ⁽⁶⁾はリーフであるので、時刻ｔ＝７のノードｗ⁽⁷⁾＝０１０＋１＝０１１であり、最下位ビットに１が出現するので、ｗ⁽⁷⁾＝０１１_tとなる。ノードｗ⁽⁷⁾はリーフであるので、時刻ｔ＝８のノードｗ⁽⁸⁾＝０１１＋１＝１００であり、最下位ビット側から１が出現するまで０を消去すると１である。よって、ノードｗ⁽⁸⁾＝１_tとなる。

秘密鍵の更新は、時刻ｔの秘密鍵ＳＫ_w(t)が内部ノードに割り当てられている場合、その子ノードの一方に割り当てられた秘密鍵ＳＫ_w(t)0を次の時刻ｔ＋１の秘密鍵として使用するようにし、他方に割り当てられた秘密鍵ＳＫ_w(t)1スタックに蓄積する。そして、秘密鍵ＳＫ_w(t)がリーフに割り当てられている場合、スタックに最後に蓄積した秘密鍵を取り出し、時刻ｔ＋１の秘密鍵とする。

ＦＳにおけるセットアップアルゴリズムGEN_FS、鍵更新アルゴリズムKUD_FS、暗号化アルゴリズムENC_FS、および復号化アルゴリズムDEC_FSについて説明する。

セットアップアルゴリズムGEN_FS
セキュリティパラメータ１^λ、最大更新回数Ｌを入力とした場合のセットアップアルゴリズムGEN_FS（１^λ，Ｌ）では、上述したGEN_BTE（１^λ，ｈ）を実行することにより、公開鍵ＰＫ、ルートノードの秘密鍵ＳＫ_ε＝Ｓ_εを得る。なお、Ｌは２^h+1−１以下の整数である。

鍵更新アルゴリズムKUD_FS
時刻ｔの秘密鍵を更新によって得る鍵更新アルゴリズムKUD_FS（ＰＫ，ｔ，ＳＫ_w(t)）は、以下の（１）乃至（４）の処理からなる。
（１）時刻ｔのノードｗ^(t)を計算する。
（２）ノードｗ^(t)が２分木の内部ノードであるかリーフであるかを判定する。
（３）ノードｗ^(t)が内部ノードである場合、上述した鍵生成アルゴリズムDER_BTE（ＰＫ、ｗ^(t)，ＳＫ_w(t)）を実行して秘密鍵ＳＫ_w(t)0，ＳＫ_w(t)1を生成する。そして、秘密鍵ＳＫ_w(t)0を時刻ｔ＋１の秘密鍵ＳＫ_w(t+1)とし、秘密鍵ＳＫ_w(t)1をスタックに蓄積して、秘密鍵ＳＫ_w(t)を消去する。
（４）ノードｗ^(t)がリーフである場合、スタックに蓄積されている秘密鍵を取り出して時刻ｔ＋１の秘密鍵ＳＫ_w(t+1)とする。

暗号化アルゴリズムENC_FS
公開鍵ＰＫ、時刻ｔ、メッセージＭ∈Ｇ₂を入力として、暗号文Ｃを出力する暗号化アルゴリズムENC_FS（ＰＫ，ｔ，Ｍ）は、以下の（１）および（２）の処理からなる。
（１）時刻ｔのノードｗ^(t)を計算する。
（２）上述したENC_BTE（ＰＫ，ｗ^(t)，Ｍ）を実行することにより暗号文Ｃを得る。

復号化アルゴリズムDEC_FS
公開鍵ＰＫ、時刻ｔ、時刻ｔの秘密鍵ＳＫ_w(t)に基づいて、暗号文Ｃを復号化する復号化アルゴリズムDEC_FS（ＰＫ，ｔ，ＳＫ_w(t)，Ｃ）は、以下の（１）および（２）の処理からなる。
（１）時刻ｔのノードｗ^(t)を計算する。
（２）上述したDEC_BTE（ＰＫ，ｗ^(t)，ＳＫ_w(t)，Ｃ）を実行することによりメッセージＭを得る。

BGW Scheme
BGW Schemeは、D.Boneh,C.Gentry，and B.Waters,"Collusion Resistant Broadcast Encryption With Short Ciphertext and Private Keys",CRYPTO'05,2005.に開示されている技術であり、受信端末装置の総数ｎや不正な受信端末装置の数（無効化する受信端末装置の数）に拘わらず、常にメッセージ長を２、各受信端末装置がそれぞれ保持する秘密鍵の数を１個にすることが可能な公開鍵型同報通信暗号である。

BGW Schemeの安全性は、BTEの安全性と同様に、BDH問題の難しさに基づいている。Ｇ₁，Ｇ₂は位数を素数ｑとした巡回群であって、それぞれは乗法群とした場合、双線形写像ｅ：Ｇ₁×Ｇ₁→Ｇ₂は、∀Ｐ，Ｑ∈Ｇ₁，∀ａ，ｂ∈Ｚ_qについて、ｅ（Ｐ^a，Ｑ^b）＝ｅ（Ｐ^b，Ｑ^a）＝ｅ（Ｐ、Ｑ）^abである。

BGW SchemeにおけるセットアップアルゴリズムGEN_BGW、暗号化アルゴリズムENC_BGW、および復号化アルゴリズムDEC_BGWについて説明する。

セットアップアルゴリズムGEN_BGW
セキュリティパラメータ１^λと受信端末装置の総数ｎを入力とした場合のセットアップアルゴリズムGEN_BGW（１^λ，ｎ）は、以下の（１）乃至（３）の処理からなる。
（１）BDHパラメータジェネレータＩＧ（１^λ）を実行し、位数ｑの乗法群Ｇ₁，Ｇ₂と双線形写像ｅを生成する。
（２）Ｇ₁の生成元ｇとα，β∈Ｚ_qをランダムに選択し、ｇ_i，ｓｋ_i，ｖを計算する。

（３）ＰＫ＝（ｇ，ｇ₁，…，ｇ_n，ｇ_n+2，…，ｇ_2n，ｖ）を公開鍵、ｓｋ_iを受信端末装置ｉ（ｉ＝１，…，ｎ，ｎ＋２，…，２ｎ）の秘密鍵、α，βをシステムの秘密鍵とする。

暗号化アルゴリズムENC_BGW
正規の受信端末装置の集合Ｓ⊆｛１，２，…，ｎ｝と公開鍵ＰＫを入力とする暗号化アルゴリズムENC_BGW（Ｓ，ＰＫ）は、以下の（１）乃至（３）の処理からなる。なお、正規の受信端末装置の集合Ｓ⊆｛１，２，…，ｎ｝に対するセッション鍵Ｋを用いた暗号化関数をＥ_Kとする。
（１）乱数ｒ∈Ｚ_qを発生し、セッション鍵Ｋ＝ｅ（ｇ_n+1，ｇ）^rを決定する。なお、ｅ（ｇ_n+1，ｇ）は、（ｇ_n，ｇ₁）に基づいて計算する。
（２）コンテンツＭを暗号化関数Ｅ_Kを用いて暗号化し、暗号文Ｃ＝Ｅ_K（Ｍ）を得る。さらに、Hdrを計算する。

（３）暗号文ＣとHdrを出力する。

復号化アルゴリズムDEC_BGW
暗号文Ｃを復号化する復号化アルゴリズムDEC_BGW（Ｃ，Hdr，Ｓ，ｉ，ｓｋ_i，ＰＫ）は、以下の（１）および（２）の処理からなる。
（１）ｉ∈Ｓを満たす受信端末装置ｉでは、保持する秘密鍵ｓｋ_iを用いてセッション鍵Ｋを算出する。

（２）Ｅ_K（Ｃ）でコンテンツＭを復号化する。

次に、本発明を適用した同報通信システム１によって実現される第１乃至３の同報通信暗号について説明する。

第１の同報通信暗号では、送信側において公開鍵を用いるＳＤ法にBTEを適用する。BTEでは、上述したように親の秘密鍵から子の秘密鍵を作成できるので、２分木の内部ノードａを基点として子の秘密鍵を生成する場合、それぞれ異なるρ_a,cを用いて秘密鍵ＳＫ_a,cを作成すれば、各カバーリングに対してそれぞれ異なる秘密鍵を割り当てることができる。また、BTEは双線形写像を用いているので、公開鍵を用いて暗号化を行う同報通信暗号が実現できる。

第１の同報通信暗号におけるセットアップアルゴリズムGEN_SD、初期鍵生成アルゴリズムDER_CENT_SD、鍵導出アルゴリズムDER_TERM_SD、暗号化アルゴリズムENC_SD、および復号化アルゴリズムDEC_SDについて説明する。

セットアップアルゴリズムGEN_SD
セキュリティパラメータ１^λと木の高さｈを入力とした場合のセットアップアルゴリズムGEN_SD（１^λ，ｈ）は、以下の（１）乃至（４）の処理からなる。
（１）BDHパラメータジェネレータＩＧ（１^λ）を実行し、位数ｑの群Ｇ₁、Ｇ₂と双線形写像ｅを生成する。
（２）ランダムにＰ∈Ｇ₁とα∈Ｚ_qを選択し、Ｑ＝αＰとする。ここで、Ｚ_qは０以上ｑ未満の整数の集合である。
（３）暗号的ハッシュ関数Ｈ₁：｛０，１｝^*→Ｇ₁を選択する。
（４）ＰＫ＝（Ｇ₁，Ｇ₂，ｅ，Ｐ，Ｑ，Ｈ₁）を公開鍵、Ｓ_ε＝αＨ₁（ε）をルートの秘密鍵、Ｓ_ε'＝αＨ₁（ε’）を無効化する受信端末装置がない場合におけるＳＤ法のカバーリングに対応しない秘密鍵とする。

初期鍵生成アルゴリズムDER_CENT_SD
受信端末装置に保持させる、ＳＤ法のカバーリングＳＤ_a,bに対応する秘密鍵ＳＫ_a,bを生成する初期鍵生成アルゴリズムDER_SD（ＰＫ，ａ，ｂ）は、以下の（１）および（２）の処理からなる。
（１）ランダムにρ_a,b∈Ｚ_qを選択し、Ｒ_a,b＝ρ_a,bＰ、Ｓ_a,b＝Ｓ_ε＋ρ_a,bＨ₁（ｂ）を算出する。
（２）ＳＫ_a,b＝（Ｒ_a,b，Ｓ_a,b）を出力する。

なお、受信端末装置にはＳＤ法と同数の秘密鍵ＳＫ_a,bと秘密鍵Ｓ_ε'を保持させる。例えば、ノードｗに割り当てられた受信端末装置には、ルートからノードｗまでのパス上のノードをａ、当該パスから分岐するノードをｂとした場合、秘密鍵ＳＫ_a,b＝（Ｒ_a,b，Ｓ_a,b）＝（ρ_a,bＰ，Ｓ_ε＋ρ_a,bＨ（ｂ））が保持される。
ａはｗ｜_i ０≦ｉ＜logｎ
ｂはｗ｜_jの兄弟ノード １≦ｊ≦logｎ

鍵導出アルゴリズムDER_TERM_SD
受信端末装置において親の秘密鍵ＳＫ_a,bから子の秘密鍵ＳＫ’_a,b0、ＳＫ’_a,b1を導出する鍵導出アルゴリズムDER_TERM_SD（ＰＫ，ａ，ｂ，ＳＫ_a,b）は、以下の（１）および（２）の処理からなる。なお、ＳＫ’_a,b0などの「’」は、受信端末装置において導出した秘密鍵とその鍵成分を意味するものとする。
（１）ランダムにρ’_a,b0，ρ’_a,b1∈Ｚ_qを選択し、Ｒ’_a,b0＝ρ’_a,b0Ｐ、Ｒ’_a,b1＝ρ’_a,b1Ｐ、Ｓ’_a,b0＝Ｓ_a,b＋ρ’_a,b0Ｈ₁（ｂ０）、Ｓ’_a,b1＝Ｓ_a,b＋ρ’_a,b1Ｈ₁（ｂ１）を算出する。
（２）ＳＫ’_a,b0＝（Ｒ_a,b，Ｒ’_a,b0，Ｓ’_a,b0）、ＳＫ’_a,b1＝（Ｒ_a,b，Ｒ’_a,b1，Ｓ’_a,b1）を出力する。

暗号化アルゴリズムENC_SD
コンテンツ鍵Ｋ∈Ｇ₂を入力とし、カバーリングＳＤ_a,cに対応する暗号文Ｕ_a，Ｖ_aを出力する暗号化アルゴリズムENC_SD（ＰＫ，ａ，ｃ，Ｋ）は、以下の（１）乃至（５）の処理からなる。
（１）乱数ｒ_a∈Ｚ_qを発生する。
（２）ノードａからノードｃまでのパス上に存在するノードａの子ノードｂを検出する。
（３）Ｖ_a＝Ｋ・ｄ_aを算出する。ここで、ｄ_a＝ｅ（Ｑ，Ｈ₁（ε））^raである。
（４）Ｕ_a＝（ｒ_aＰ，ｒ_aＨ₁（ｃ｜_|b|），ｒ_aＨ₁（ｃ｜_|b|+1），…,ｒ_aＨ₁（ｃ｜_|c|））＝（Ｕ_a,0，Ｕ_a,c||b|，…，Ｕ_a,c||c|）を算出する。
（５）暗号文Ｕ_a，Ｖ_aと乱数ｒ_aを出力する。

復号化アルゴリズムDEC_SD
受信端末装置において秘密鍵ＳＫ_a,bに基づいて、暗号文Ｕ_a，Ｖ_aを復号化する復号化アルゴリズムDEC_SD（ＰＫ，ａ，ｂ，ｃ，ＳＫ_a,b，Ｕ_a，Ｖ_a）は、以下の（１）および（２）の処理からなる。
（１）受信端末装置が保持している秘密鍵ＳＫ_a,bを用い、上述した鍵導出アルゴリズムDER_TERM_SD（ＰＫ，ａ，ｂ，ＳＫ_a,b）をノードｂからノードｃに到るまで繰り返し実行することにより、秘密鍵ＳＫ’_a,c＝（Ｒ_a,c||b|，Ｒ’_a,c||b|+1，…，Ｒ’_a,c||c|，Ｓ’_a,c）を得る。
（２）次式に基づいてｄ_aを算出する。

ここで、Ｄは次式のとおりである。

（３）Ｖ_a／ｄ_aを算出することによりコンテンツ鍵Ｋを得る。Ｋ＝Ｖ_a／ｄ_a
（４）コンテンツ鍵Ｋを用いて暗号文Ｅ_K（Ｍ）を復号化し、コンテンツＭを得る。

次に、例えば図５に示すように、８台の受信端末装置（リーフ000に割り当てられた受信端末装置をｕ000と記述する。他も同様とする）のうち、ｕ001，ｕ100，ｕ101の３台を無効化するようにコンテンツを送信し、ｕ010においてコンテンツを再生する場合を例にして、第１の同報通信暗号を具体的に説明する。

なお、ｕ010には、秘密鍵Ｓ_ε'と初期鍵生成アルゴリズムDER_CENT_SDを用いて生成された秘密鍵ＳＫ_ε,1，ＳＫ_ε,00，ＳＫ_ε,011，ＳＫ_0,00，ＳＫ_0,011，ＳＫ_01,011が予め保持されているものとする。

図６は、第１の同報通信暗号における送信装置１０の処理(第１の暗号化処理)を説明するフローチャートである。

ステップＳ１において、暗号化部１１は、無効化する受信端末装置のノードに基づいてＳＤ法におけるカバーリングＳＤ_a,cを決定する。図５の例の場合、２個のカバーリングＳＤ_0,001，ＳＤ_1,10が決定される。

ステップＳ２において、暗号化部１１は、コンテンツ鍵Ｋを選択し、選択したコンテンツ鍵Ｋを用いてコンテンツＭを暗号化し、Ｅ_K（Ｍ）を得る。

ステップＳ３において、暗号化部１１は、ステップＳ１で決定したカバーリングＳＤ_a,cにそれぞれ対応して暗号化アルゴリズムENC_SDを実行する。図５の例の場合、暗号化アルゴリズムENC_SD（ＰＫ，０，００１，Ｋ），ENC_SD（ＰＫ，１，１０，Ｋ）を実行する。そして、暗号化アルゴリズムENC_SD（ＰＫ，０，００１，Ｋ）の結果として、Ｕ₀＝（ｒ₀Ｐ，ｒ₀Ｈ₁（００），ｒ₀Ｈ₁（００１）），Ｖ₀＝Ｋ・ｄ₀を得る。また、暗号化アルゴリズムENC_SD（ＰＫ，１，１０，Ｋ）の結果として、Ｕ₁＝（ｒ₁Ｐ，ｒ₁Ｈ₁（１０）），Ｖ₁＝Ｋ・ｄ₁を得る。ここで、ｄ₀＝ｅ（Ｑ，Ｈ₁（ε））^r0，ｄ₁＝ｅ（Ｑ，Ｈ₁（ε））^r1である。

ステップＳ４において、暗号化部１１は、ステップＳ２およびＳ３の処理結果に、カバーリングＳＤ_a,cの個数だけ検索情報ｉを付加して暗号文Ｃ_SDを生成し、送信部１２に出力する。図５の例の場合、検索情報ｉ₀，ｉ₁を付加して暗号文Ｃ_SD＝＜ｉ₀，ｉ₁；Ｕ₀，Ｕ₁；Ｖ₀，Ｖ₁；Ｅ_K（Ｍ）＞を生成し、送信部1２に出力する。なお、検索情報ｉ₀，ｉ₁は、受信端末装置において暗号文Ｃ_SDの中から暗号化鍵Ｕ₀，Ｕ₁；Ｖ₀，Ｖ₁を検索するためのものである。送信部１２は、暗号文Ｃ_SDを通信網３０を介して送信する。以上で、第１の暗号化処理は終了される。

図７は、第１の同報通信暗号における受信端末装置ｕ010の処理(第１の復号化処理)を説明するフローチャートである。

ステップＳ１１において、受信部２１は、送信装置１０から送信された暗号文Ｃ_SDを取得して復号化部２２に出力する。ステップＳ１２において、復号化部２２は、暗号文Ｃ_SDに含まれる検索情報ｉ₀，ｉ₁に基づいて暗号化鍵Ｕ₀，Ｕ₁；Ｖ₀，Ｖ₁を検索し、予め保持している秘密鍵ＳＫ_0,00を入力として鍵導出アルゴリズムDER_TERM_SD（ＰＫ，０，００，ＳＫ_0,00）を実行し、秘密鍵ＳＫ’_0,000，ＳＫ’_0,001を生成する。このうち、秘密鍵ＳＫ’_0,001が目的の機密鍵である。

ステップＳ１３において、復号化部２２は、秘密鍵ＳＫ’_0,001＝（Ｒ_0,00，Ｒ’_0,001，Ｓ’_0,001）を用い、次式のようにｄ₀を計算する。ただし、ｄ₀を算出する過程で発生させるρ’_0,001は、送信装置１０で発生されたρ_0,001と異なることに注意が必要である。さらに、復号化部２２は、Ｖ₀／ｄ₀を計算することによってコンテンツ鍵Ｋを取得する。

ステップＳ１４において、復号化部２２は、ステップＳ１３で生成したコンテンツ鍵Ｋを用い、Ｅ_K（Ｍ）を復号化してコンテンツＭを取得する。以上で、受信端末装置ｕ010による第１の復号化処理は終了される。

なお、例えば、受信端末装置ｕ0O0は、予め秘密鍵ＳＫ_0,001を保持しているので、ステップＳ１２の処理を省略することができる。

次に、第２の同報通信暗号について説明する。第２の同報通信暗号は、上述した第１の同報通信暗号にＦＳを適用した。すなわち、第２の同報通信暗号では、ＳＤ法における親の秘密鍵から子の秘密鍵を生成する２分木と、各秘密鍵を所定の時間周期で更新させる２分木の２つの２分木が用いられる。

第２の同報通信暗号におけるセットアップアルゴリズムGEN_{SD_FS}、鍵生成アルゴリズムDER_CENT_{SD_FS}、鍵更新アルゴリズムKUP_TERM_{SD_FS}、暗号化アルゴリズムENC_{SD_FS}、および復号化アルゴリズムDEC_{SD_FS}について説明する。

セットアップアルゴリズムGEN_{SD_FS}
セキュリティパラメータ１^λと木の高さｈを入力とした場合のセットアップアルゴリズムGEN_{SD_FS}（１^λ，ｈ）は、以下の（１）乃至（３）の処理からなる。
（１）セットアップアルゴリズムGEN_SD（１^λ，ｈ）を実行することにより公開鍵ＰＫを得る。
（２）暗号的ハッシュ関数Ｈ₂：｛０，１｝^*→Ｇ₁を選択する。
（３）ＰＫにＨ₂を追加し、ＰＫ＝（Ｇ₁，Ｇ₂，ｅ，Ｐ，Ｑ，Ｈ₁，Ｈ₂）を公開鍵とする。

鍵生成アルゴリズムDER_CENT_{SD_FS}
受信端末装置に保持させる、ＳＤ法のカバーリングＳＤ_a,bに対応する時刻ｔ＝０の秘密鍵ＳＫ_a,b,w(0)を生成する鍵生成アルゴリズムDER_{SD_FS}（ＰＫ，ａ，ｂ，ｔ）は、以下の（１）および（２）の処理からなる。
（１）初期鍵生成アルゴリズムDER_CENT_SDを実行してＳＫ_a,b＝（Ｒ_a,b，Ｓ_a,b）を得る。
（２）ＳＫ_a,bを秘密鍵ＳＫ_a,b,w(0)として出力する。

鍵更新アルゴリズムKUP_TERM_{SD_FS}
受信端末装置において、保持している時刻ｔの秘密鍵ＳＫ_a,b,w(t)を時刻ｔ＋１の秘密鍵ＳＫ_a,b,w(t+1)に更新する鍵更新アルゴリズムKUP_TERM_{SD_FS}（ＰＫ，ｔ，ＳＫ_a,b,w(t)）は、以下の（１）乃至（５）の処理からなる。
（１）時刻ｔに対応するノードｗ^(t)を算出する。
（２）ノードｗ^(t)が２分木の内部ノードであるか、リーフであるかを判定する。
（３）ノードｗ^(t)が２分木の内部ノードである場合、ランダムにσ’_w(t)0，σ’_w(t)1∈Ｚ_qを選択し、Ｒ’_w(t)0＝σ’_w(t)0Ｐ、Ｒ’_w(t)1＝σ’_w(t)1Ｐ、Ｓ’_a,b,w(t)0＝Ｓ_a,b,w(t)＋σ’_w(t)0Ｈ₂（ｗ^(t)０）、Ｓ’_a,b,w(t)1＝Ｓ_a,b,w(t)＋σ’_w(t)1Ｈ₂（ｗ^(t)１）を算出する。
さらに、秘密鍵ＳＫ’_a,b,w(t)0
＝（Ｒ_a,b，Ｒ’_w|1，…，Ｒ’_w||w(t)|，Ｒ’_w(t)0，Ｓ’_a,b,w(t)0）
秘密鍵ＳＫ’_a,b,w(t)1
＝（Ｒ_a,b，Ｒ’_w|1，…，Ｒ’_w||w(t)|，Ｒ’_w(t)1，Ｓ’_a,b,w(t)1）
を生成して秘密鍵ＳＫ’_a,b,w(t)0を時刻ｔ＋１の秘密鍵ＳＫ’_a,b,w(t+1)として使用し、秘密鍵ＳＫ’_a,b,w(t)1をスタックに蓄積する。
（４）ノードｗ^(t)が２分木のリーフである場合、スタックに蓄積されている秘密鍵を取り出して時刻ｔ＋１の秘密鍵秘密鍵ＳＫ’_a,b,w(t+1)として使用する。
（５）時刻ｔの秘密鍵ＳＫ_a,b,w(t)を消去する。

暗号化アルゴリズムENC_{SD_FS}
暗号化アルゴリズムENC_{SD_FS}は、カバーリングＳＤ_a,bごとに異なる時刻ｔを設定して実行することができる。受信端末装置が時刻ｔ₁の秘密鍵ＳＫ’_a,b,w(t1)を保持している場合、暗号化アルゴリズムENC_{SD_FS}の実行タイミングは時刻ｔ₂とする（ｔ₂≧ｔ₁）。ただし、「ｔ₁」，「ｔ₂」などを上付文字や下付文字として使用する場合、表記の都合上、数字の下付を解除して、^t1，^t2，_t1，_t2とも記述する。コンテンツ鍵Ｋ∈Ｇ₂を入力とし、カバーリングＳＤ_a,c、時刻ｔ＝ｔ２に対応する暗号文Ｕ_a，Ｖ_aを出力する暗号化アルゴリズムENC_{SD_FS}（ＰＫ，ａ，ｃ，ｔ，Ｋ）は、以下の（１）乃至（４）の処理からなる。
（１）時刻ｔ₂のノードｗ^(t2)を計算する。
（２）ENC_SD（ＰＫ，ａ，ｃ，Ｋ）を実行し、暗号文Ｕ_a，Ｖ_aと乱数ｒ_aを得る。
（３）（ｒ_aＨ₂（ｗ^(t2)｜₁），…,ｒ_aＨ₂（ｗ^(t2)｜_|w(t2)|））＝（Ｕ_a,w(t2)|1，…，Ｕ_{a,w(t2)|w(t2)}，ｔ₂）をＵ_aに追加する。
（４）暗号文Ｕ_a，Ｖ_aを出力する。

復号化アルゴリズムDEC_{SD_FS}
受信端末装置において、保持する時刻ｔ₁の秘密鍵ＳＫ’_a,b,w(t1)に基づいて、暗号文Ｕ_a，Ｖ_aを復号化する復号化アルゴリズムDEC_{SD_FS}（ＰＫ，ａ，ｂ，ｃ，ＳＫ_a,b,w(t)，Ｕ_a，Ｖ_a）は、以下の（１）乃至（４）の処理からなる。
（１）鍵更新アルゴリズムKUP_TERM_{SD_FS}（ＰＫ，ｔ，ＳＫ’_a,b,w(t1)）を時刻ｔ₂まで適用して秘密鍵ＳＫ’_a,b,w(t2)を得る。次式に基づいてｄ_aを算出する。

ここで、Ｄ₁、Ｄ₂は次式のとおりである。

（２）受信端末装置が保持している秘密鍵ＳＫ’_a,b,w(t2)を用い、鍵導出アルゴリズムDER_TERM_SD（ＰＫ，ａ，ｂ，ＳＫ’_a,b,w(t2)）をノードｂからノードｃに到るまで繰り返し実行することにより、秘密鍵ＳＫ’_a,c,w(t2)を得る。
（３）Ｖ_a／ｄ_aを算出することによりコンテンツ鍵Ｋを得る。Ｋ＝Ｖ_a／ｄ_a
（４）コンテンツ鍵Ｋを用いて暗号文Ｅ_K（Ｍ）を復号化し、コンテンツＭを得る。

なお、スタックに蓄積する秘密鍵は、受信端末装置に初期に格納された秘密鍵を入力として鍵更新アルゴリズムKUP_TERM_{SD_FS}を実行した結果得られる秘密鍵であり、鍵導出アルゴリズムDER_TERM_SDの実行結果を入力として鍵更新アルゴリズムKUP_TERM_{SD_FS}を実行して得る秘密鍵ではないことに注意する。

次に、上述した図５に示された場合を例にして、第２の同報通信暗号を具体的に説明する。

なお、ｕ010には、時刻ｔ₁に対応する秘密鍵Ｓ_ε',w(t1)と初期鍵生成アルゴリズムDER_CENT_{SD_FS}を用いて生成された秘密鍵ＳＫ_ε,1,w(t1)，ＳＫ_ε,00,w(t1)，ＳＫ_ε,011,w(t1)，ＳＫ_0,00,w(t1)，ＳＫ_0,011,w(t1)，ＳＫ_01,011,w(t1)が予め保持されているものとする。

図８は、第２の同報通信暗号における送信装置１０の処理(第２の暗号化処理)を説明するフローチャートである。

ステップＳ２１において、暗号化部１１は、無効化する受信端末装置のノードに基づいてＳＤ法におけるカバーリングＳＤ_a,cを決定する。図５の例の場合、２個のカバーリングＳＤ_0,001，ＳＤ_1,10が決定される。

ステップＳ２２において、暗号化部１１は、コンテンツ鍵Ｋを選択し、選択したコンテンツ鍵Ｋを用いてコンテンツＭを暗号化し、Ｅ_K（Ｍ）を得る。

ステップＳ２３において、暗号化部１１は、ステップＳ２１で決定したカバーリングＳＤ_a,cにそれぞれ対応し、暗号化アルゴリズムENC_{SD_FS}を実行し、暗号文を得る。図５の例の場合、暗号化アルゴリズムENC_{SD_FS}（ＰＫ，０，００１，ｔ₂，Ｋ），ENC_{SD_FS}（ＰＫ，１，１０，ｔ₂，Ｋ）を実行し、暗号文Ｕ₀，Ｖ₀と暗号文Ｕ₁，Ｖ₁を得る。

ステップＳ２４において、暗号化部１１は、ステップＳ２２およびＳ２３の処理結果に、カバーリングＳＤ_a,cの個数に対応する検索情報ｉを付加して暗号文Ｃ_SDを生成し、送信部１２に出力する。図５の例の場合、検索情報ｉ₀，ｉ₁を付加して暗号文Ｃ_SD＝＜ｉ₀，ｉ₁；Ｕ₀，Ｕ₁；Ｖ₀，Ｖ₁；Ｅ_K（Ｍ）＞を生成し、送信部1２に出力する。送信部１２は、暗号文Ｃ_SDを通信網３０を介して送信する。以上で、第２の暗号化処理は終了される。

図９は、第２の同報通信暗号における受信端末装置ｕ010の処理(第２の復号化処理)を説明するフローチャートである。

ステップＳ３１において、受信部２１は、送信装置１０から送信された暗号文Ｃ_SDを取得して復号化部２２に出力する。ステップＳ３２において、復号化部２２は、暗号文Ｃ_SDに含まれる検索情報ｉ₀，ｉ₁に基づいて暗号化鍵Ｕ₀，Ｕ₁；Ｖ₀，Ｖ₁を検索する。そして、予め保持している時刻ｔ₁の秘密鍵ＳＫ_0,00,w(t)を入力として鍵更新アルゴリズムKUP_TERM_{SD_FS}（ＰＫ，ｔ，ＳＫ’_0,00,w(t1)）を時刻ｔ₂まで適用し、秘密鍵ＳＫ’_0,00,w(t2)を生成する。さらに生成した秘密鍵ＳＫ’_0,00,w(t2)を入力として、鍵導出アルゴリズムDER_TERM_SD（ＰＫ，０，００，ＳＫ_0,00,w(t2)）を実行し、秘密鍵ＳＫ’_0,000,w(t2)，ＳＫ’_0,001,w(t2)を生成する。

ステップＳ３３において、復号化部２２は、秘密鍵ＳＫ’_0,001,w(t2)を用いてｄ₀を計算し、Ｖ₀／ｄ₀を計算することによってコンテンツ鍵Ｋを取得する。

ステップＳ３４において、復号化部２２は、ステップＳ３３で生成したコンテンツ鍵Ｋを用い、Ｅ_K（Ｍ）を復号化してコンテンツＭを取得する。以上で、受信端末装置ｕ010による第２の復号化処理は終了される。

なお、時刻ｔ₂＝ｔ₁である場合、ステップＳ３２において実行した鍵更新アルゴリズムKUP_TERM_{SD_FS}を省略することができる。

次に、第３の同報通信暗号について説明する。第３の同報通信暗号は、上述したBGW SchemeにＦＳを適用した。

第３の同報通信暗号におけるセットアップアルゴリズムGEN_{BGW_FS}、鍵更新アルゴリズムKUP_TERM_{BGW_FS}、暗号化アルゴリズムENC_{BGW_FS}、および復号化アルゴリズムDEC_{BGW_FS}について説明する。

セットアップアルゴリズムGEN_{BGW_FS}
セキュリティパラメータ１^λと受信端末装置の総数ｎを入力とした場合のセットアップアルゴリズムGEN_{BGW_FS}（１^λ，ｎ）は、以下の（１）乃至（３）の処理からなる。
（１）BDHパラメータジェネレータＩＧ（１^λ）を実行し、位数ｑの乗法群Ｇ₁，Ｇ₂と双線形写像ｅを生成する。
（２）Ｇ₁の生成元ｇとα，β∈Ｚ_qをランダムに選択し、ｇ_i，ｓｋ_i,w(0)，ｖを計算する。

（３）ＰＫ＝（ｇ，ｇ₁，…，ｇ_n，ｇ_n+2，…，ｇ_2n，ｖ）を公開鍵、ｓｋ_i,w(0)を受信端末装置ｉ（ｉ＝１，…，ｎ，ｎ＋２，…，２ｎ）の時刻ｔ＝０における秘密鍵、α，βをシステムの秘密鍵とする。

鍵更新アルゴリズムKUP_TERM_{BGW_FS}
受信端末装置において、保持している時刻ｔの秘密鍵ＳＫ_i,w(t)を時刻ｔ＋１の秘密鍵ＳＫ_i,w(t+1)に更新する鍵更新アルゴリズムKUP_TERM_{BGW_FS}（ＰＫ，ｔ，ＳＫ_i,w(t)）は、以下の（１）乃至（５）の処理からなる。
（１）時刻ｔに対応するノードｗ^(t)を算出する。
（２）ノードｗ^(t)が２分木の内部ノードであるか、リーフであるかを判定する。
（３）ノードｗ^(t)が２分木の内部ノードである場合、ランダムにσ’_w(t)0，σ’_w(t)1∈Ｚ_qを選択し、次式に基づいてＲ’_i,w(t)0，Ｒ’_i,w(t)1，ｓｋ_i,w(t)0，ｓｋ_i,w(t)1を算出する。

さらに、秘密鍵ＳＫ’_i,w(t)0
＝（Ｒ’_i,w|1，…，Ｒ’_i,w||w(t)|，Ｒ’_i,w(t)0，ｓｋ_i,w(t)0）
秘密鍵ＳＫ’_i,w(t)1
＝（Ｒ’_i,w|1，…，Ｒ’_i,w||w(t)|，Ｒ’_i,w(t)1，ｓｋ_i,w(t)1）
を生成して、秘密鍵ＳＫ’_i,w(t)0を時刻ｔ＋１の秘密鍵ＳＫ’_i,w(t+1)として使用し、秘密鍵ＳＫ’_i,w(t)1をスタックに蓄積する。
（４）ノードｗ^(t)が２分木のリーフである場合、スタックに蓄積されている秘密鍵を取り出して時刻ｔ＋１の秘密鍵秘密鍵ＳＫ’_i,w(t+1)として使用する。
（５）時刻ｔの秘密鍵ＳＫ_i,w(t)を消去する。

暗号化アルゴリズムENC_{BGW_FS}
正規の受信端末装置の集合Ｓ⊆｛１，２，…，ｎ｝と公開鍵ＰＫ、時刻ｔ₂を入力とする暗号化アルゴリズムENC_{BGW_FS}（Ｓ，ＰＫ，ｔ）は、以下の（１）乃至（６）の処理からなる。なお、正規の受信端末装置の集合Ｓ⊆｛１，２，…，ｎ｝に対するセッション鍵Ｋを用いた暗号化関数をＥ_Kとする。
（１）時刻ｔ₂に対応するノードｗ^(t2)を算出する。
（２）乱数ｒ∈Ｚ_qを発生し、セッション鍵Ｋ＝ｅ（ｇ_n+1，ｇ）^rを決定する。なお、ｅ（ｇ_n+1，ｇ）は、（ｇ_n，ｇ₁）に基づいて計算する。
（３）コンテンツＭを暗号化関数Ｅ_Kを用いて暗号化し、暗号文Ｃ＝Ｅ_K（Ｍ）を得る。さらに、Hdrを計算する。

（４）（Ｈ（ｗ^(t2)｜₁）^r，…,Ｈ（ｗ^(t2)｜_|w(t2)|）^r）
＝（Ｕ_w(t2)|1，…，Ｕ_{w(t2)||w(t2)|}）をHdrに追加する。
（５）ｔをHdrに追加する。
（６）暗号文ＣとHdrを出力する。

復号化アルゴリズムDEC_{BGW_FS}
受信端末装置において、保持している時刻ｔ１の秘密鍵ＳＫ_i,w(t1)を用いて、暗号文Ｃを復号化する復号化アルゴリズムDEC_{BGW_FS}（Ｃ，Hdr，Ｓ，ｉ，ＳＫ_i,w(t1)，ＰＫ）は、以下の（１）乃至（３）の処理からなる。
（１）ｉ∈Ｓを満たす受信端末装置ｉの受信端末装置では、保持する秘密鍵ＳＫ_i,w(t1)をHdrに含まれている時刻ｔ＝ｔ₂まで、鍵更新アルゴリズムKUP_TERM_{BGW_FS}を適用して更新し、秘密鍵ＳＫ_i,w(t2)を得る。
（２）秘密鍵ＳＫ_i,w(t2)を用いてセッション鍵Ｋを算出する。

（３）Ｅ_K（Ｃ）でコンテンツＭを復号化する。

次に、受信端末装置の集合を｛１，２，３｝、正規受信端末装置の集合Ｓ＝｛１，２｝、時刻の２分木の高さｈ＝３、時刻ｔ＝１の場合を例にして、第３の同報通信暗号を具体的に説明する。

図１０は、第３の同報通信暗号における送信装置１０の処理(第３の暗号化処理)を説明するフローチャートである。

ステップＳ４１において、暗号化部１１は、ENC_{BGW_FS}（Ｓ，ＰＫ，１）を実行し、その結果得られる暗号文Ｃ，Hdr＝（Ｃ₀，Ｃ₁，Ｕ₀，１）を送信部１２に出力する。ここで、

である。

ステップＳ４２において、送信部１２は、暗号文Ｃ，Hdrを通信網３０を介して送信する。以上で、第３の暗号化処理は終了される。

図１１は、第３の同報通信暗号における正規の受信端末装置１による処理(第３の復号化処理)を説明するフローチャートである。

ステップＳ５１において、受信部２１は、送信装置１０から送信された暗号文Ｃ,Hdrを取得して復号化部２２に出力する。ステップＳ５２において、復号化部２２は、予め保持している秘密鍵ＳＫ_1,εに復号化アルゴリズムDEC_{BGW_FS}（Ｃ，Hdr，Ｓ，ｉ，ＳＫ_1,ε，ＰＫ）を適用して、セッション鍵Ｋを取得する。

具体的には、Hdrから時刻情報ｔ＝１を読み出し、ノードｗ⁽¹⁾＝０を計算する。そして、秘密鍵ＳＫ_1,εを入力として鍵更新アルゴリズムKUP_TERM_{BGW_FS}（ＰＫ，１，ＳＫ_1,ε）を実行する。εは２分木の内部ノードであるので、ランダムにσ’_1,0，σ’_1,1∈Ｚ_qを選択し、次式に基づいてＲ’_1,0，Ｒ’_1,1，ｓｋ_1,0，ｓｋ_1,1を算出する。

さらに、秘密鍵ＳＫ’_1,0＝（Ｒ’_1,0，ｓｋ_1,0），ＳＫ’_1,1＝（Ｒ’_1,1，ｓｋ_1,1）を生成し、秘密鍵ＳＫ’_1,0，ＳＫ’_1,1のうち、一方の秘密鍵ＳＫ’_1,0を時刻ｔ＝１の秘密鍵として使用する。他方の秘密鍵ＳＫ’_1,1はスタックに蓄積される。そして、時刻ｔ＝１の秘密鍵ＳＫ’_1,0を用いてセッション鍵Ｋが算出される。

このようにして得られるセッション鍵Ｋが得られた後、ステップＳ５３において、復号化部２２は、Ｅ_K（Ｃ）でコンテンツＭを復号化する。以上で、正規の受信端末装置１による第３の復号化処理は終了される。

なお、正規の受信端末装置２による第３の復号化処理も同様に実行され、処理結果としてコンテンツＭを得ることができる。反対に、正規ではない不正な受信端末装置３においてはコンテンツＭを得ることができない。この不正な受信端末装置３に対する安全性について説明する。

不正な受信端末装置３が復号化アルゴリズムDEC_{BGW_FS}（Ｃ，Hdr，Ｓ，ｉ，ＳＫ_3,ε，ＰＫ）を実行すると、セッション鍵となるＫは次式のように算出される。

分子の第１項より、ｅ（ｇ₃，（ｖｇ₃ｇ₂）^r）＝ｅ（ｇ^r，ｖｇ₆ｇ₅）となるので、セッション鍵に相当するｅ（ｇ^r，ｇ₄）が得られないことがわかる。したがって、コンテンツＭを得ることができない。

仮に、セッション鍵に相当するｅ（ｇ^r，ｇ₄）を得るため、アルゴリズムに反してＩＤを偽造し、分子の第１項をｅ（ｇ₁，（ｖｇ₃ｇ₂）^r）にしてみるとセッション鍵となるＫは次式のように算出される。

このように、１行目の第１項に用いる公開鍵（いまの場合、ｇ１）を自己のＩＤ以外のものに変更してしまうと、４行目の分子の第２項を消すことができない。すなわち、セッション鍵を得ることができない。よって、第３の同報通信暗号の不正な受信端末装置３に対する安全性が証明された。

次に、第３の同報通信暗号がＦＳ(Forward Security)を満たしていることを説明する。例えば、正規の受信端末装置１の時刻ｔ=１における秘密鍵ＳＫ’_1,0が漏洩したと仮定し、この秘密鍵ＳＫ’_1,0に基づいて時刻ｔ＝０の暗号文Ｃ，Hdrが復号化できないことを示す。

まず、秘密鍵ＳＫ’_1,0から時刻ｔ＝０の秘密鍵ＳＫ’_1,εを算出することができないことを示す。漏洩した秘密鍵ＳＫ’_1,0＝（Ｒ’_1,0，ｓｋ_1,0）＝（ｇ^ρ'1,0，ｓｋ_1,ε・Ｈ（０）^ρ'1,0）である。したがって、秘密鍵ＳＫ’_1,0からρ’_1,0を求めることができない。よってＳＫ’_1,0からＳＫ’_1,εを算出することができない。

次に、秘密鍵ＳＫ’_1,0を用いて時刻ｔ＝０の暗号文Ｃ，Hdrからセッション鍵Ｋが得られないことを示す。ここで、Ｃ，Ｋ，Hdr，Ｃ₀，Ｃ₁は以下のとおりである。

このとき、復号化アルゴリズムDEC_{BGW_FS}（Ｃ，Hdr，Ｓ，ｉ，ＳＫ’_1,0，ＰＫ）を実行して得られるＫは、

となる。

この式より、分子にｅ（Ｒ’_1,0，Ｈ（０）^r）を乗算することができれば、これが分母と相殺されて、セッション鍵に相当するｅ（ｇ^r，ｇ₄）を得られることになる。しかしながら、漏洩した秘密鍵ＳＫ’_1,0からＲ’_1,0＝ｇ^ρ'1,0は導出できるものの、Ｈ（０）^rを導出することはできない。なぜならば、ｒはコンテンツの送信側のみが知りえる値であるからである。したがって、秘密鍵ＳＫ’_1,0を用いて時刻ｔ＝０の暗号文Ｃ，Hdrからセッション鍵Ｋを得ることができない。よって、秘密鍵ＳＫ’_1,0に基づいて時刻ｔ＝０の暗号文Ｃ，Hdrが復号化できないことが証明された。

次に、上述した第１乃至３の同報通信暗号の性能を比較する。

図１２は、第１乃至３の同報通信暗号それぞれのメッセージ長、鍵導出に要する計算量、復号化時に使用される公開鍵数の絶対的な評価とＦＳ機能の有無を示している。第１の同報通信暗号については、その長所として、鍵導出に要する計算量の少なさ、および公開鍵の少なさが挙げられる。第２の同報通信暗号については、その長所として、鍵導出に要する計算量の少なさ、公開鍵の少なさ、およびＦＳ機能を有することを挙げられる。第３の同報通信暗号については、その長所として、正規の受信端末装置の数や不正な受信端末装置の数に拘わらずメッセージ長が短いこと、およびＦＳ機能を有することを挙げられる。

図１３は、第１乃至３の同報通信暗号それぞれの受信端末装置に保持させるデバイス鍵（秘密鍵）数、同報通信される暗号文に含まれるメッセージ長、受信端末装置での鍵導出時の計算量、および暗号化時と復号化時に使用される公開鍵数の評価値を示している。また図１３には、ＳＤ法に階層型ＩＤベース暗号を適用した同報通信暗号（Y.Dois, and N.Fazio,"Public Key Broadcast Encryption for Stateless Receivers",proceeding of ACM FRM '02,2002参照。以下、DF02と記述する）、およびBGW Schemeに対応するそれぞれの評価値も追記した。

なお、評価値は想定される最悪値を示しており、鍵数は、鍵の成分の数も考慮した値である。例えば、第１の同報通信暗号におけるデバイス鍵数は、ＳＫ_a,b＝（Ｒ_a,b，Ｓ_a,b）であるので、ＳＤ法におけるデバイス鍵数の２倍とした。

図１３より、第１の同報通信暗号は、公開鍵数について、DF02やBGW Schemeよりも有利であることがわかる。反対に、デバイス鍵数とメッセージ長については、DF02およびBGW Schemeよりも不利である。しかしながら、デバイス鍵数はＳDF02のわずか２倍に過ぎない。

第２および第３の同報通信暗号は、従来考えられていなかったＦＳ機能を持っているので、DF02やBGW Schemeと単純に比較することができないが、第２の同報通信暗号では、ＦＳ機能を有するが故に鍵更新の影響でデバイス鍵数が増えているものの、その他の項目については第１の同報通信暗号と同様の性能を維持している。

第３の同報通信暗号は、第２の同報通信暗号と同様、ＦＳ機能を有するが故にメッセージ長が若干長くなっているものの、その他の項目についてはBGW Schemeと同様の性能を維持している。

以上説明した第１乃至３の同報通信暗号の評価をまとめると以下のとおりである。すなわち、第１の同報通信暗号は、デバイス鍵数、およびメッセージ長を大幅に増やすことなく、公開鍵を用いた同報通信暗号を実現しており、受信端末装置において目的の秘密鍵を得るまでに要する計算量がBGW Schemeよりも大幅に少ない。ここで、無効化する受信端末装置の数ｒを考慮して比較すると、ｒが少ない場合、第１の同報通信暗号の方がBGW Schemeよりも有利であると言える。このことからさらに、FS機能を考慮した場合、ｒが多い場合、第３の同報通信暗号が有利であり、ｒが少ない場合、第２の同報通信暗号が有利であると言える。

ところで、本明細書において、プログラムに基づいて実行されるステップは、記載された順序に従って時系列的に行われる処理はもちろん、必ずしも時系列的に処理されなくとも、並列的あるいは個別に実行される処理をも含むものである。

また、プログラムは、１台のコンピュータにより処理されるものであってもよいし、複数のコンピュータによって分散処理されるものであってもよい。さらに、プログラムは、遠方のコンピュータに転送されて実行されるものであってもよい。

また、本明細書において、システムとは、複数の装置により構成される装置全体を表すものである。

なお、本発明の実施の形態は、上述した実施の形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において種々の変更が可能である。

本発明を適用した同報通信システムの構成例を示すブロック図である。 汎用パーソナルコンピュータの構成例を示すブロック図である。 ＳＤ法のカバーリングを説明する図である。 ＦＳで用いる時間の２分木を示す図である。 第１の同報通信暗号の具体例を説明するための図である。 第１の暗号化処理を説明するフローチャートである。 第１の復号化処理を説明するフローチャートである。 第２の暗号化処理を説明するフローチャートである。 第２の復号化処理を説明するフローチャートである。 第３の暗号化処理を説明するフローチャートである。 第３の復号化処理を説明するフローチャートである。 第１乃至３の同報通信暗号の絶対的な評価を示す図である。 第１乃至３の同報通信暗号の評価値を示す図である。

符号の説明

１ 同報通信システム， １０ 送信装置， １１ 暗号化部， １２ 送信部， ２０ 受信端末装置， ２１ 受信部， ２２ 復号化部， ３０ 通信網， ５１ CPU

Claims (16)

1. ２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置において、
   ＳＤ(Subset Difference)法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
   決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化手段と、
   前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を出力する出力手段と
   を含む暗号化装置。
2. ２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置の暗号化方法において、
   ＳＤ法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定ステップと、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化ステップと、
   決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化ステップと、
   前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を出力する出力ステップと
   を含む暗号化方法。
3. ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
   決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化手段と
   を含む暗号化装置から出力された、前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を復号化する復号化装置において、
   予め保持している第１の秘密鍵に基づき、前記カバーリングに対応する第２の秘密鍵を導出する導出手段と、
   導出された前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得手段と、
   取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化手段と
   を含む復号化装置。
4. ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
   決定されたカバーリングに対応して前記コンテンツ鍵を暗号化する第２の暗号化手段と
   を含む暗号化装置から出力された、前記コンテンツの暗号化結果、および前記コンテンツ鍵の暗号化結果を含む暗号文を復号化する復号化装置の復号化方法において、
   予め保持している第１の秘密鍵に基づき、前記カバーリングに対応する第２の秘密鍵を導出する導出ステップと、
   導出された前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得ステップと、
   取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化ステップと
   を含む復号化方法。
5. ２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置において、
   ＳＤ法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
   決定されたカバーリングに対応し、時刻ｔ２において前記コンテンツ鍵を暗号化する第２の暗号化手段と、
   前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ２を含む暗号文を出力する出力手段と
   を含む暗号化装置。
6. ２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが復号化できないようにコンテンツを暗号化する暗号化装置の暗号化方法において、
   ＳＤ法に基づき、前記不正な復号化装置が割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定ステップと、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化ステップと、
   決定されたカバーリングに対応し、時刻ｔ₂において前記コンテンツ鍵を暗号化する第２の暗号化ステップと、
   前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文を出力する出力ステップと
   を含む暗号化方法。
7. ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
   コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
   決定されたカバーリングに対応し、時刻ｔ₂において前記コンテンツ鍵を暗号化する第２の暗号化手段と
   を含む暗号化装置から出力された、前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文を復号化する復号化装置において、
   予め保持している時刻ｔ¹（≦ｔ₂）の第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₂の第２の秘密鍵を導出する導出手段と、
   導出された時刻ｔ₂の前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得手段と、
   取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化手段と
   を含む復号化装置。
8. 前記導出手段は、予め保持している時刻ｔ₁の第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₁の第２の秘密鍵を生成し、生成した時刻ｔ₁の前記第２の秘密鍵を時刻ｔ₂の前記第２の秘密鍵に更新する
   請求項７に記載の復号化装置。
9. 前記導出手段は、生成した時刻ｔ₁の前記第２の秘密鍵を更新することにより、２つの前記第２の秘密鍵を取得し、一方を時刻ｔ₂の前記第２の秘密鍵とし、他方を蓄積する
   請求項８に記載の復号化装置。
10. 前記導出手段は、予め保持している時刻ｔ₁の第１の秘密鍵を時刻ｔ₂の前記第１の秘密鍵に更新し、更新した時刻ｔ₂の前記第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₂の第２の秘密鍵を生成する
    請求項７に記載の復号化装置。
11. ＳＤ法に基づき、２分木の各リーフに割り当てられた複数の復号化装置のうち、不正なものが割り当てられているリーフに対応して前記２分木におけるカバーリングを決定する決定手段と、
    コンテンツ鍵を用いて前記コンテンツを暗号化する第１の暗号化手段と、
    決定されたカバーリングに対応し、時刻ｔ₂において前記コンテンツ鍵を暗号化する第２の暗号化手段と
    を含む暗号化装置から出力された、前記コンテンツの暗号化結果、前記コンテンツ鍵の暗号化結果、および時刻ｔ₂を含む暗号文を復号化する復号化装置の復号化方法において、
    予め保持している時刻ｔ₁（≦ｔ₂）の第１の秘密鍵に基づき、前記カバーリングに対応する時刻ｔ₂の第２の秘密鍵を導出する導出ステップと、
    導出された時刻ｔ₂の前記第２の秘密鍵に基づき、前記暗号文から前記コンテンツ鍵を取得する取得ステップと、
    取得された前記コンテンツ鍵に基づき、前記暗号文を復号化して前記コンテンツを得る復号化ステップと
    を含む復号化方法。
12. BGW Schemeに基づいてコンテンツを暗号化する暗号化装置において、
    時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成手段と、
    生成された暗号文Ｃ，Hdrを出力する出力手段とを含み、
    前記暗号文Hdrには時刻ｔが含まれる
    暗号化装置。
13. BGW Schemeに基づいてコンテンツを暗号化する暗号化装置の暗号化方法において、
    時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成ステップと、
    生成された暗号文Ｃ，Hdrを出力する出力ステップとを含み、
    前記暗号文Hdrには時刻ｔが含まれる
    暗号化方法。
14. 時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成手段と、
    前記暗号文Hdrには時刻ｔが含まれる暗号化装置から出力された暗号文Ｃ，Hdrを復号化する復号化装置において、
    予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵を導出する導出手段と、
    導出された時刻ｔ₂に対応する秘密鍵に基づき、前記暗号文Hdrからセッション鍵を取得する取得手段と、
    取得された前記セッション鍵に基づき、前記暗号文Ｃを復号化して前記コンテンツを得る復号化手段と
    を含む復号化装置。
15. 前記導出手段は、予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、２つの秘密鍵を導出し、一方を暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵として、他方を蓄積する
    請求項１４に記載の復号化装置。
16. 時刻ｔ＝ｔ₂において暗号化アルゴリズムENC_{BGW_FS}（Ｓ、Ｋ、ｔ）により暗号文Ｃ，Hdrを生成する生成手段と、
    前記暗号文Hdrには時刻ｔが含まれる暗号化装置から出力された暗号文Ｃ，Hdrを復号化する復号化装置の復号化方法において、
    予め保持している時刻ｔ₁（≦ｔ₂）に対応する秘密鍵に基づき、暗号文Hdrに含まれる時刻ｔ＝ｔ₂に対応する秘密鍵を導出する導出ステップと、
    導出された時刻ｔ₂に対応する秘密鍵に基づき、前記暗号文Hdrからセッション鍵を取得する取得ステップと、
    取得された前記セッション鍵に基づき、前記暗号文Ｃを復号化して前記コンテンツを得る復号化ステップと
    を含む復号化方法。

Images