JP2012244232A

JP2012244232A - Information sharing system, method, device and program

Info

Publication number: JP2012244232A
Application number: JP2011109490A
Authority: JP
Inventors: Kazuki Yoneyama; 一樹米山; Kotaro Suzuki; 幸太郎鈴木; Atsushi Fujioka; 淳藤岡
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2011-05-16
Filing date: 2011-05-16
Publication date: 2012-12-10
Anticipated expiration: 2031-05-16
Also published as: JP5512598B2

Abstract

PROBLEM TO BE SOLVED: To provide information sharing system, method, device and program in which safety is guaranteed by assuming the difficulty not of the gap problem but of the search problem.SOLUTION: Shared secret information for calculating the shared information by duplicating a short term secret key and derived from the short term secret key is calculated for each short term secret key. The information is shared based on the shared secret information. Consequently, safety can be proved by assuming only the difficulty of the search problem without assuming the difficulty of the gap problem.

Description

この発明は、情報セキュリティ技術に関する。特に、二者間で同じ情報を共有するための技術に関する。 The present invention relates to information security technology. In particular, the present invention relates to a technique for sharing the same information between two parties.

二者間でセッション鍵等の情報を共有する技術として、以下のような階層型ＩＤ鍵交換方式が知られている（例えば、非特許文献１参照。）。 As a technique for sharing information such as a session key between two parties, the following hierarchical ID key exchange method is known (for example, see Non-Patent Document 1).

＜公開パラメータ＞PIDをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。セキュリティパラメータをkとする。pをkビット素数とし、G,G_Tをそれぞれ双線形写像e:G×G→G_T を効率的に計算可能なg,g_Tを生成元とする群とする。H₁:{0,1}^*→G、H₂:{0,1}^*→Z_p、H:{0,1}^*→{0,1}^kをハッシュ関数とする。 <Public parameter> PID is a protocol ID, and a unique ID corresponding to the protocol specification. Let k be the security parameter. Let p be a k-bit prime number, and G and G _T be a group having g and g _T that can be efficiently calculated as a bilinear map e: G × G → G _T , respectively. H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p , and H: {0,1} ^* → {0,1} ^k are hash functions.

＜鍵生成＞鍵生成アルゴリズムは、一様ランダムにマスタ秘密鍵s₀∈Z_pを選び、S₀=1_Gを設定する。1GはGの単位元である。鍵生成アルゴリズムは、マスタ公開鍵P₀=g及びQ₀=P₀ ^s0を計算して公開する。 <Key generation> The key generation algorithm uniformly selects a master secret key s ₀ εZ _p and sets S ₀ = 1 _G. 1G is a unit element of G. The key generation algorithm calculates and publicizes the master public keys P ₀ = g and Q ₀ = P ₀ ^s0 .

＜鍵抽出＞ID=(ID₁,…,ID_t-1)に対応するユーザ装置は初期化として、s_t-1∈Z_pを一様ランダムに選び、秘密の状態情報として保持する。同様にして他のユーザのそれぞれも、秘密の状態情報としてZ_pの元を一様ランダムに選択して保持する。ID=(ID₁,…,ID_t-1)に対応するユーザは鍵抽出者として自分の長期秘密鍵(S_t-1,Q₁,…,Q_t-1)を用いて、そのユーザの下位のユーザであってID’=(ID₁,…,ID_t-1,ID_t)に対応するユーザ向けに次のように長期秘密鍵(S_t,Q₁,…,Q_t-1,Q_t)を生成する。ここで、P_t=H₁(ID₁,…,ID_t-1,ID_t)、S_t=S_t-1P_t ^st-1、Q_t=P₀ ^stである。 <Key extraction> The user apparatus corresponding to ID = (ID ₁ ,..., ID _t−1 ) selects s _t−1 εZ _p uniformly and randomly as initialization, and holds it as secret state information. Similarly, each of the other users also selects and holds the element of Z _p as secret state information uniformly at random. The user corresponding to ID = (ID ₁ , ..., ID _t-1 ) uses his / her long-term secret key (S _t-1 , Q ₁ , ..., Q _t-1 ) as a key extractor, and For lower-level users who correspond to ID '= (ID ₁ , ..., ID _t-1, ID _t ), the long-term secret key (S _t , Q ₁ , ..., Q _t-1, Q _t ) is generated. Here, P _t = H ₁ (ID ₁ ,..., ID _t−1 , ID _t ), S _t = S _t−1 P _t ^st−1 , and Q _t = P ₀ ^st .

＜鍵交換＞以下では、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_AはID_A=(ID_A,1,…,ID_A,α)に対応する長期秘密鍵を持ち、ユーザU_BはID_B=(ID_B,1,…,ID_B,β)に対応する長期秘密鍵を持つとする。 <Key Exchange> In the following, it is assumed that user U _A is the initiator of the key exchange session and user U _B is the responder. User U _A has a long-term secret key corresponding to ID _A = (ID _{A, 1} , ..., ID _{A, α} ), and user U _B has ID _B = (ID _{B, 1} , ..., ID _{B, β} ) Suppose you have a corresponding long-term secret key.

１．ユーザU_Aはランダムに短期秘密鍵x^~∈_UZ_pを選ぶ。このとき、ユーザU_Aは、x=H₂(S_A,α,x^~)を計算し、短期公開鍵epk_IDB=(X₀=P₀ ^x,X_B,2=P_B,2 ^x,…,X_B,β=P_B,β ^x)を計算する。ただし、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)である。ユーザU_Aは、epk_IDBをユーザU_Bに送る。 1. User U _A randomly selects a short-term secret key x ^~ ∈ _U Z _p . At this time, the user U _A calculates x = H ₂ (S _{A, α} , x ^~ ), and the short-term public key epk _IDB = (X ₀ = P ₀ ^x , X _{B, 2} = P _{B, 2} ^x , ..., X _{B, β} = P _{B, β} ^x ) is calculated. However, P _{B, i} = H ₁ (ID _{B, 1} ,..., ID _{B, i} ) (1 ≦ i ≦ β). User U _A sends an epk _IDB to user U _B.

２．ユーザU_Bはランダムに短期秘密鍵y^~∈_UZ_pを選ぶ。このとき、ユーザU_Bは、y=H₂(S_B,β,y^~)を計算し、短期公開鍵epk_IDA=(Y₀=P₀ ^y,Y_A,2=P_A,2 ^y,…,Y_A,α=P_A,α ^y)を計算する。ただし、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)である。ユーザU_Bは、epk_IDAをユーザU_Aに送る。 2. User U _B randomly selects the short-term secret key y ^~ ∈ _U Z _p . At this time, the user U _B calculates y = H ₂ (S _{B, β} , y ^~ ), and the short-term public key epk _IDA = (Y ₀ = P ₀ ^y , Y _{A, 2} = P _{A, 2} ^y , ..., Y _{A, α} = P _{A, α} ^y ). However, P _{A, i} = H ₁ (ID _{A, 1} ,..., ID _{A, i} ) (1 ≦ i ≦ α). User U _B sends epk _IDA to user U _A.

ユーザU_Bは、共有秘密情報σ₁,σ₂,σ₃をそれぞれ次のように計算する。 User U _B calculates the shared secret information σ ₁ , σ ₂ , and σ ₃ as follows.

σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)
σ₂=e(Q₀,P_A,1)^y
σ₃=(X₀)^y
その後、ユーザU_Bは、セッション鍵K=H(σ₁,σ₂,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。 σ ₁ = e (X ₀ , S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} )
σ ₂ = e (Q ₀ , P _{A, 1} ) ^y
σ ₃ = (X ₀ ) ^y
Thereafter, the user U _B calculates and outputs a session key K = H (σ ₁ , σ ₂ , σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ), and ends the session.

３．ユーザU_Aは、共有秘密情報σ₁,σ₂,σ₃をそれぞれ次のように計算する。 3. The user U _A calculates the shared secret information σ ₁ , σ ₂ , and σ ₃ as follows.

σ₁=e(Q₀,P_B,1)^x
σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)
σ₃=(Y₀)^x
その後、ユーザU_Aは、セッション鍵K=H(σ₁,σ₂,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。 σ ₁ = e (Q ₀ , P _{B, 1} ) ^x
σ ₂ = e (Y ₀ , S _{A, α} ) / Π _{i = 2} ^α e (Q _{A, i-1} , Y _{A, i} )
σ ₃ = (Y ₀ ) ^x
Thereafter, the user U _A calculates and outputs a session key K = H (σ ₁ , σ ₂ , σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ), and ends the session.

共有秘密情報には次の関係があるため、ユーザU_Aが計算した共有秘密情報σ₁,σ₂,σ₃はそれぞれユーザU_Bが計算した共有秘密情報σ₁,σ₂,σ₃と一致する。 Since the shared secret information has the following relationship, the shared secret information σ ₁ , σ ₂ , σ ₃ calculated by the user U _A matches the shared secret information σ ₁ , σ ₂ , σ ₃ calculated by the user U _B, respectively. To do.

σ₁=Π_i=1 ^βe(P₀,P_B,i)^xsi-1/Π_i=2 ^βe(P₀,P_B,i)^xsi-1=e(Q₀,P_B,1)^x=e(P₀,P_B,1)^s0x
σ₂=Π_i=1 ^αe(P₀,P_A,i)^ysi-1/Π_i=2 ^αe(P₀,P_A,i)^ysi-1=e(Q₀,P_A,1)^y=e(P₀,P_A,1)^s0y
σ₃=(X₀)^y=(Y₀)^x=P₀ ^xy
このようにして、同一の共有情報であるセッション鍵Kが共有される。 σ ₁ = Π _{i = 1} ^β e (P ₀ , P _{B, i} ) ^xsi-1 / Π _{i = 2} ^β e (P ₀ , P _{B, i} ) ^xsi-1 = e (Q ₀ , P _{B, 1} ) ^x = e (P ₀ , P _{B, 1} ) ^s0x
σ ₂ = Π _{i = 1} ^α e (P ₀ , P _{A, i} ) ^ysi-1 / Π _{i = 2} ^α e (P ₀ , P _{A, i} ) ^ysi-1 = e (Q ₀ , P _{A, 1} ) ^y = e (P ₀ , P _{A, 1} ) ^s0y
σ ₃ = (X ₀ ) ^y = (Y ₀ ) ^x = P ₀ ^xy
In this way, the session key K which is the same shared information is shared.

Atsushi Fujioka, Koutarou Suzuki, Kazuki Yoneyama, “Hierarchical ID-Based Authenticated Key Exchange Resilient to Ephemeral Key Leakage”, IWSE 2010, LNCS 6434, pp.164-180, 2010Atsushi Fujioka, Koutarou Suzuki, Kazuki Yoneyama, “Hierarchical ID-Based Authenticated Key Exchange Resilient to Ephemeral Key Leakage”, IWSE 2010, LNCS 6434, pp.164-180, 2010

背景技術に記載した技術では、安全性を保証するためにいわゆるギャップ問題の難しさを仮定する必要がある。ギャップ問題とは、探索問題を解くために判定オラクルの利用を許した問題のことであり、一般にいわゆる探索問題よりも解きやすい問題となる。よって、ギャップ問題の難しさを仮定するよりも、探索問題の難しさを仮定した方が仮定を弱めることができるので望ましい。 In the technique described in the background art, it is necessary to assume the difficulty of a so-called gap problem in order to guarantee safety. A gap problem is a problem that allows the use of a decision oracle to solve a search problem, and is generally easier to solve than a so-called search problem. Therefore, it is desirable to assume the difficulty of the search problem rather than to assume the difficulty of the gap problem because the assumption can be weakened.

この発明の課題は、探索問題の難しさを仮定することにより安全性が保証される情報共有システム、方法、装置及びプログラムを提供することである。 An object of the present invention is to provide an information sharing system, method, apparatus, and program in which safety is guaranteed by assuming difficulty of a search problem.

この発明の一態様による情報共有システムは、プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDAを情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、短期公開鍵epk_IDAを情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、を含む。 In the information sharing system according to one aspect of the present invention, PID which is a protocol ID is a predetermined bit string, and H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p is a hash function. , F is a predetermined function, G and G _T are groups that have bilinear maps e: G × G → G _T that can be calculated as g and g _T , respectively, and the unit element of _G is 1 _G S ₀ = 1 _G , master public key P ₀ = g, Q ₀ = P ₀ ^s0 ∈G, and information sharing apparatus corresponding to ID = (ID ₁ , ID ₂ ,..., ID _t-1 ) The secret information is s _t-1 ∈Z _p , the long-term secret key of the information sharing device is (S _t-1 , Q ₁ , ..., Q _t-1 ), and the information sharing device below the information sharing device Where the long-term secret key of the information sharing device corresponding to ID ′ = (ID ₁ , ID ₂ ,..., ID _t−1 , ID _t ) is (S _t , Q ₁ ,..., Q _t ), and P _t = H ₁ (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), and S _t = S _t-1 P _t ^st-1 , Q _t = P ₀ ^st , ID _A = ( ID _{a, 1, ...,} long secret of ID _a, the information sharing apparatus corresponding to _alpha) U _a The key _{_{(S A, α, Q A}} , 1, ..., Q A, α), ID B = (ID B, 1, ..., ID B, β) a long secret key of the information sharing apparatus U _B corresponding to (S _{B, β} , Q _{B, 1} , ..., Q _{B, β} ) as a short-term secret key generator for generating short-term secret keys x ^~ ₁ , x ^~ ₂ ∈Z _p , and x ₁ = H ₂ (S _{A, α} , x ^~ ₁ ) and x ₂ = H ₂ (S _{A, α} , x ^~ ₂ ) and a hash value calculator, and P _{B, i} = H ₁ (ID _{B, 1} ,, ..., ID _{B , i} ) (1 ≤ i ≤ β), short-term public key epk _IDB = (X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 , ..., X _{B, β} = P _{B, β} ^x1 , X ₀ ′ = P ₀ ^x2 , X _{B, 2} ′ = P _{B, 2} ^x2 ,…, X _{B, β} ′ = P _{B, β} ^x2 ) and short-term public key epk _IDB a transmission unit for transmitting to the shared device U _B, a receiver for receiving a short-term public key epk _IDA from the information sharing apparatus U _B, the first shared secret _{_{σ 1 = e (Q 0,}} P B, 1) to ^x1 A first shared secret information calculation unit for calculating, a second shared secret information calculation unit for calculating the second shared secret information σ ₁ ′ = e (Q ₀ , P _{B, 1} ) ^x2 , and a third shared secret information σ ₂ = e (Y ₀ , S _{A, α} ) / Π _{i = 2} ^α Third shared secret information calculation unit for calculating e (Q _{A, i-1} , Y _{A, i} ), and fourth shared secret information σ ₂ ′ = e (Y ₀ ′, S _{A, α} ) / Π _{i = 2} The fourth shared secret information calculation unit that calculates ^α e (Q _{A, i-1} , Y _{A, i} ') and the fifth secret information calculation unit σ ₃ = (Y ₀ ) ^x1 Information sharing including a calculation unit and a shared information generation unit that calculates F (σ ₁ , σ ₁ ', σ ₂ , σ ₂ ', σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ) a device U _a, a short-term private key generating unit for generating a short term private key ^{_{^{_{y ~ 1, y ~ 2 ∈Z}}}} p, y 1 = H 2 (S B, β, y ~ 1) and y _₂ = H ₂ ( A hash value calculation unit for calculating S _{B, β} , y ^~ ₂ ) and a short-term public key epk as P _{A, i} = H ₁ (ID _{A, 1} , ..., ID _{A, i} ) (1 ≦ i ≦ α) _IDA = (Y ₀ = P ₀ ^y1 , Y _{A, 2} = P _{A, 2} ^y1 ,…, Y _{A, α} = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A ^{_{, 2 y2, ..., Y a}}} , α '= P a, a short-term public key generation unit for calculating the _alpha ^y2), a transmission unit for transmitting the short-term public key epk _IDA to the information sharing apparatus U _a, short-term public key epk receive _IDB from the information sharing apparatus U _a A receiving unit that, the first shared secret _{_{σ 1 = e (X 0,}} S B, β) / Π i = 2 β e (Q B, i-1, X B, i) a first co-calculating the Secret information calculation section and second shared secret information σ ₁ '= e (X ₀ ', S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} ') Second shared secret information calculation unit, third shared secret information σ ₂ = e (Q ₀ , P _{A, 1} ) ^y1 and fourth shared secret information σ ₂ '= a fourth shared secret information calculation unit for calculating e (Q ₀ , P _{A, 1} ) ^y2 , a fifth secret information calculation unit for calculating a fifth secret information calculation unit σ ₃ = (X ₀ ) ^y1 , and F ( an information sharing device U _B including a shared information generating unit that calculates σ ₁ , σ ₁ ′, σ ₂ , σ ₂ ′, σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ) Including.

探索問題の難しさを仮定することにより安全性を保証することができる。 Safety can be ensured by assuming the difficulty of the search problem.

実施形態の情報共有システムの構成を説明するためのブロック図。The block diagram for demonstrating the structure of the information sharing system of embodiment. 実施形態の情報共有装置Ｕ_Ａの構成を説明するためのブロック図。The block diagram for _{demonstrating} the structure of the information sharing apparatus UA of embodiment. 実施形態の情報共有装置Ｕ_Ｂの構成を説明するためのブロック図。The block diagram for _{demonstrating} the structure of the information sharing apparatus UB of embodiment. 実施形態の情報共有装置Ｕ_Ａの処理を説明するためのフローチャート。Flow chart for explaining the processing of the information sharing apparatus U _A embodiment. 実施形態の情報共有装置Ｕ_Ｂの処理を説明するためのフローチャート。Flow chart for explaining a process of the information sharing apparatus U _B embodiment.

以下、図面を参照してこの発明の一実施形態を説明する。 An embodiment of the present invention will be described below with reference to the drawings.

［アルゴリズム］
まず、この発明のアルゴリズムの例について説明する。 [algorithm]
First, an example of the algorithm of the present invention will be described.

＜公開パラメータ＞PIDをプロトコルIDとし、プロトコル仕様に対応した固有のIDとする。すなわち、PIDはプロトコル仕様に応じた所定のビット列である。セキュリティパラメータをkとする。kは、所定の正の整数である。pをkビット素数とし、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを効率的に計算可能なg,g_Tを生成元とする群とする。H₁:{0,1}^*→G、H₂:{0,1}^*→Z_p、H:{0,1}^*→{0,1}^kをハッシュ関数とする。 <Public parameter> PID is a protocol ID, and a unique ID corresponding to the protocol specification. That is, the PID is a predetermined bit string corresponding to the protocol specification. Let k be the security parameter. k is a predetermined positive integer. Let p be a k-bit prime number, and G and G _T be a group having g and g _T that can be efficiently calculated as a bilinear map e: G × G → G _T , respectively. H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p , and H: {0,1} ^* → {0,1} ^k are hash functions.

＜鍵生成＞鍵生成アルゴリズムは、一様ランダムにマスタ秘密鍵s₀∈Z_pを選び、S₀=1_Gを設定する。1GはGの単位元である。鍵生成アルゴリズムは、マスタ公開鍵P₀=g及びQ₀=P₀ ^s0を計算して公開する。ここで、P₀の右肩の「s0」は「s₀」を意味する。このように、ある文字の上付きの文字及び数字の一部がその上付きの中で更に上付き又は下付きである場合がある点に留意する。同様に、ある文字の下付きの文字及び数字の一部がその下付きの中で更に上付き又は下付きである場合がある点に留意する。 <Key generation> The key generation algorithm uniformly selects a master secret key s ₀ εZ _p and sets S ₀ = 1 _G. 1G is a unit element of G. The key generation algorithm calculates and publicizes the master public keys P ₀ = g and Q ₀ = P ₀ ^s0 . Here, “s0” on the right shoulder of P ₀ means “s ₀ ”. Thus, it should be noted that some superscripts and numbers of a character may be superscripts or subscripts in the superscript. Similarly, it should be noted that some subscript letters and numbers of a character may be further superscripts or subscripts within the subscript.

＜鍵交換＞以下では、ユーザU_Aを鍵交換セッションのイニシエータとし、ユーザU_Bをレスポンダとする。ユーザU_AはID_A=(ID_A,1,…,ID_A,α)に対応する長期秘密鍵(S_A,α,Q_A,1,…,Q_A,α)を持ち、ユーザU_BはID_B=(ID_B,1,…,ID_B,β)に対応する長期秘密鍵(S_B,β,Q_B,1,…,Q_B,β)を持つとする。 <Key Exchange> In the following, it is assumed that user U _A is the initiator of the key exchange session and user U _B is the responder. User U _A has a long-term secret key (S _{A, α} , Q _{A, 1} , ..., Q _{A, α} ) corresponding to ID _A = (ID _{A, 1} , ..., ID _{A, α} ) and user U _B Is assumed to have a long-term secret key (S _{B, β} , Q _{B, 1} ,..., Q _{B, β} ) corresponding to ID _B = (ID _{B, 1} , ..., ID _{B, β} ).

１．ユーザU_Aはランダムに短期秘密鍵x^~ ₁,x^~ ₂∈_UZ_pを選ぶ。このとき、ユーザU_Aは、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算し、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する。ただし、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)である。ユーザU_Aは、epk_IDBをユーザU_Bに送る。 1. User U _A randomly selects short-term secret keys x ^~ ₁ , x ^~ ₂ ∈ _U Z _p . At this time, the user U _A calculates x ₁ = H ₂ (S _{A, α} , x ^~ ₁ ) and x ₂ = H ₂ (S _{A, α} , x ^~ ₂ ), and the short-term public key epk _IDB = ( X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 ,…, X _{B, β} = P _{B, β} ^x1 , X ₀ '= P ₀ ^x2 , X _{B, 2} ' = P _{B, 2} ^x2 , ..., X _{B, β} '= P _{B, β} ^x2 ). However, P _{B, i} = H ₁ (ID _{B, 1} ,..., ID _{B, i} ) (1 ≦ i ≦ β). User U _A sends an epk _IDB to user U _B.

２．ユーザU_Bはランダムに短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを選ぶ。このとき、ユーザU_Bは、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算し、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する。ただし、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)である。ユーザU_Bは、epk_IDAをユーザU_Aに送る。 2. The user U _B randomly selects the short-term secret key y ^~ ₁ , y ^~ ₂ ∈ Z _p . At this time, the user U _B calculates y ₁ = H ₂ (S _{B, β} , y ^~ ₁ ) and y ₂ = H ₂ (S _{B, β} , y ^~ ₂ ), and the short-term public key epk _IDA = ( Y ₀ = P ₀ ^y1 , Y _{A, 2} = P _{A, 2} ^y1 ,…, Y _{A, α} = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A, 2} ^y2 , ..., Y _{A, α} '= P _{A, α} ^y2 ). However, P _{A, i} = H ₁ (ID _{A, 1} ,..., ID _{A, i} ) (1 ≦ i ≦ α). User U _B sends epk _IDA to user U _A.

σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)
σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)
σ₂=e(Q₀,P_A,1)^y1
σ₂’=e(Q₀,P_A,1)^y2
σ₃=(X₀)^y1
その後、ユーザU_Bは、セッション鍵K=H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。 σ ₁ = e (X ₀ , S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} )
σ ₁ '= e (X ₀ ', S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} ')
σ ₂ = e (Q ₀ , P _{A, 1} ) ^y1
σ ₂ '= e (Q ₀ , P _{A, 1} ) ^y2
σ ₃ = (X ₀ ) ^y1
After that, the user U _B calculates and outputs the session key K = H (σ ₁ , σ ₁ ', σ ₂ , σ ₂ ', σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ). End the session.

３．ユーザU_Aは、共有秘密情報σ₁，σ₁’，σ₂，σ₂’，σ₃をそれぞれ次のように計算する。 3. The user U _A calculates the shared secret information σ ₁ , σ ₁ ′, σ ₂ , σ ₂ ′, and σ ₃ as follows.

σ₁=e(Q₀,P_B,1)^x1
σ₁’=e(Q₀,P_B,1)^x2
σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)
σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)
σ₃=(Y₀)^x1
その後、ユーザU_Aは、セッション鍵K=H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して出力し、セッションを終了する。 σ ₁ = e (Q ₀ , P _{B, 1} ) ^x1
σ ₁ '= e (Q ₀ , P _{B, 1} ) ^x2
σ ₂ = e (Y ₀ , S _{A, α} ) / Π _{i = 2} ^α e (Q _{A, i-1} , Y _{A, i} )
σ ₂ '= e (Y ₀ ', S _{A, α} ) / Π _{i = 2} ^α e (Q _{A, i-1} , Y _{A, i} ')
σ ₃ = (Y ₀ ) ^x1
After that, the user U _A calculates and outputs the session key K = H (σ ₁ , σ ₁ ', σ ₂ , σ ₂ ', σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ). End the session.

共有秘密情報には次の関係があるため、ユーザU_Aが計算した共有秘密情報σ₁,σ₁’,σ₂,σ₂’,σ₃はそれぞれユーザU_Bが計算した共有秘密情報σ₁,σ₁’,σ₂,σ₂’,σ₃と一致する。 Since the shared secret information have the following relationship, the user U _A shared secret sigma ₁ which has been _{_{calculated, σ 1 ', σ 2,}} σ 2', σ 3 shared secret sigma ₁ calculated by the user U _B, respectively , σ ₁ ′, σ ₂ , σ ₂ ′, σ ₃ .

σ₁=e(P₀,Π_i=1 ^βP_B,i ^si-1)^x1/Π_i=2 ^βe(P₀ ^si-1,P_B,i ^x1)=Π_i=1 ^βe(P₀,P_B,i)^x1si-1/Π_i=2 ^βe(P₀,P_B,i)^x1si-1=e(Q₀,P_B,1)^x1=e(P₀,P_B,1)^s0x1
σ₁’=e(P₀,Π_i=1 ^βP_B,i ^si-1)^x2/Π_i=2 ^βe(P₀ ^si-1,P_B,i ^x2)=Π_i=1 ^βe(P₀,P_B,i)^x2si-1/Π_i=2 ^βe(P₀,P_B,i)^x2si-1=e(Q₀,P_B,1)^x2=e(P₀,P_B,1)^s0x2
σ₂=e(P₀,Π_i=1 ^αP_A,i ^si-1)^y1/Π_i=2 ^αe(P₀ ^si-1,P_A,i ^y1)=Π_i=1 ^αe(P₀,P_A,i)^y1si-1/Π_i=2 ^αe(P₀,P_A,i)^y1si-1=e(Q₀,P_A,1)^y1=e(P₀,P_A,1)^s0y1
σ₂’=e(P₀,Π_i=1 ^αP_A,i ^si-1)^y2/Π_i=2 ^αe(P₀ ^si-1,P_A,i ^y2)=Π_i=1 ^αe(P₀,P_A,i)^y2si-1/Π_i=2 ^αe(P₀,P_A,i)^y2si-1=e(Q₀,P_A,1)^y2=e(P₀,P_A,1)^s0y2
σ₃=(X₀)^y1=(Y₀)^x1=P₀ ^x1y1
このようにして、同一の共有情報であるセッション鍵Kが共有される。 σ ₁ = e (P ₀ , Π _{i = 1} ^β P _{B, i} ^si-1 ) ^x1 / Π _{i = 2} ^β e (P ₀ ^si-1 , P _{B, i} ^x1 ) = Π _{i = 1} ^β e ( P ₀ , P _{B, i} ) ^x1si-1 / Π _{i = 2} ^β e (P ₀ , P _{B, i} ) ^x1si-1 = e (Q ₀ , P _{B, 1} ) ^x1 = e (P ₀ , P _{B , 1} ) ^s0x1
σ ₁ '= e (P ₀ , Π _{i = 1} ^β P _{B, i} ^si-1 ) ^x2 / Π _{i = 2} ^β e (P ₀ ^si-1 , P _{B, i} ^x2 ) = Π _{i = 1} ^β e (P ₀ , P _{B, i} ) ^x2si-1 / Π _{i = 2} ^β e (P ₀ , P _{B, i} ) ^x2si-1 = e (Q ₀ , P _{B, 1} ) ^x2 = e (P ₀ , P _{B, 1} ) ^s0x2
σ ₂ = e (P ₀ , Π _{i = 1} ^α P _{A, i} ^si-1 ) ^y1 / Π _{i = 2} ^α e (P ₀ ^si-1 , P _{A, i} ^y1 ) = Π _{i = 1} ^α e ( P ₀ , P _{A, i} ) ^y1si-1 / Π _{i = 2} ^α e (P ₀ , P _{A, i} ) ^y1si-1 = e (Q ₀ , P _{A, 1} ) ^y1 = e (P ₀ , P _{A , 1} ) ^s0y1
σ ₂ '= e (P ₀ , Π _{i = 1} ^α P _{A, i} ^si-1 ) ^y2 / Π _{i = 2} ^α e (P ₀ ^si-1 , P _{A, i} ^y2 ) = Π _{i = 1} ^α e (P ₀ , P _{A, i} ) ^y2si-1 / Π _{i = 2} ^α e (P ₀ , P _{A, i} ) ^y2si-1 = e (Q ₀ , P _{A, 1} ) ^y2 = e (P ₀ , P _{A, 1} ) ^s0y2
σ ₃ = (X ₀ ) ^y1 = (Y ₀ ) ^x1 = P ₀ ^x1y1
In this way, the session key K which is the same shared information is shared.

［実施形態］
次に、上記［アルゴリズム］の欄で説明したアルゴリズムを実行する情報共有システムの一例を説明する。この情報共有システムは、図１に例示するように、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂから構成される。情報共有装置Ｕ_Ａが［アルゴリズム］の欄で説明したユーザＵ_Ａに対応し、情報共有装置Ｕ_Ｂが［アルゴリズム］の欄で説明したユーザＵ_Ｂに対応する。情報共有装置Ｕ_Ａは図４に例示した処理を行い、情報共有装置Ｕ_Ｂは図５に例示した処理を行う。 [Embodiment]
Next, an example of an information sharing system that executes the algorithm described in the above [Algorithm] column will be described. The information sharing system, as illustrated in FIG. 1, an information sharing apparatus U _A and the information sharing apparatus U _B. Information sharing device U _A corresponds to the user U _A mentioned in the description of the algorithm, the information sharing apparatus U _B corresponding to the user U _B mentioned in the description of the algorithm. Information sharing apparatus U _A performs the processing illustrated in FIG. 4, the information sharing apparatus U _B performs the processing illustrated in FIG.

情報共有の前に、［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により、マスタ秘密鍵s₀及びマスタ公開鍵P₀=g及びQ₀=P₀ ^s0等の情報共有のために必要なパラメータが設定され、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。また、情報共有の前に、情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂには、［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により、ID及び秘密の状態情報及び長期秘密鍵が予め定められ、必要に応じて記憶部１０及び記憶部２０に記憶されているものとする。これらの記憶部１０及び２０に記憶されたデータは、適宜読み出されて下記に説明する計算が行われる。 Necessary for information sharing such as master secret key s ₀ and master public key P ₀ = g and Q ₀ = P ₀ ^s0 by the method described in the <Key extraction> column of [Algorithm] before information sharing It is assumed that various parameters are set and stored in the storage unit 10 and the storage unit 20 as necessary. Further, before the information sharing, the information sharing apparatus U _A and the information sharing apparatus U _B, by the method described in the section of <key extraction> of [Algorithm], advance the ID and secret state information and long-term private key It is determined and stored in the storage unit 10 and the storage unit 20 as necessary. The data stored in these storage units 10 and 20 is read out as appropriate, and the calculation described below is performed.

情報共有装置Ｕ_ＡのIDを、ID_A=(ID_A,1,…,ID_A,α)とする。αは正の整数である。このように、ID_Aはα個のID_Aの断片ID_A,1,…,ID_A,αから構成される。［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により定められた情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)とする。 The ID of the information sharing apparatus _{_{U A, ID A = (ID}} A, 1, ..., ID A, α) to. α is a positive integer. In this way, ID _A is composed of α ID _A fragments ID _{A, 1} ,..., ID _{A, α} . [Algorithm] of the long-term private key column in the information sharing apparatus defined by the method described U _A of <key _{extraction> (S A, α, Q} A, 1, ..., Q A, α) to.

情報共有装置Ｕ_ＢのIDを、ID_B=(ID_B,1,…,ID_B,β)とする。βは正の整数である。このように、ID_Bはβ個のID_Bの断片ID_B,1,…,ID_B,βから構成される。［アルゴリズム］の＜鍵抽出＞の欄で説明した方法により定められた情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)とする。 The ID of the information sharing apparatus _{_{U B, ID B = (ID}} B, 1, ..., ID B, β) to. β is a positive integer. Thus, ID _B is composed of β ID _B fragments ID _{B, 1} ,..., ID _{B, β} . [Algorithm] long term private key of the <key extraction> information sharing apparatus as defined by the method described in the column of _{_{U B (S B, β,}} Q B, 1, ..., Q B, β) to.

情報共有装置Ｕ_Ａ及び情報共有装置Ｕ_Ｂによる自分より下位の情報共有装置（ユーザ）に対する鍵の抽出、すなわち長期秘密鍵の生成は、それぞれ図２，３の鍵抽出部１１２，２１２により行われる。 Information sharing apparatus U _A and the information sharing apparatus U _B extracted key for the lower information sharing device than their (user) by, i.e. generation of long-term secret key is performed by the key extraction unit 112, 212, respectively, of FIG 2 and 3 .

情報共有装置Ｕ_Ａは、図２に示すように、記憶部１０、短期秘密鍵生成部１１、ハッシュ値計算部１２、短期公開鍵生成部１３、送信部１４、受信部１５、第一共有秘密情報生成部１６、第二共有秘密情報生成部１７、第三共有秘密情報生成部１８、第四共有秘密情報生成部１９、第五共有秘密情報生成部１１０、共有情報生成部１１１、鍵抽出部１１２を例えば含む。 Information sharing apparatus _{U A,} as shown in FIG. 2, the storage unit 10, the short-term private key generating unit 11, the hash value calculation unit 12, the short-term public key generation unit 13, transmitting unit 14, receiving unit 15, first shared Secret information generation unit 16, second shared secret information generation unit 17, third shared secret information generation unit 18, fourth shared secret information generation unit 19, fifth shared secret information generation unit 110, shared information generation unit 111, key extraction For example, the unit 112 is included.

情報共有装置Ｕ_Ｂは、図３に示すように、記憶部２０、短期秘密鍵生成部２１、ハッシュ値計算部２２、短期公開鍵生成部２３、送信部２４、受信部２５、第一共有秘密情報生成部２６、第二共有秘密情報生成部２７、第三共有秘密情報生成部２８、第四共有秘密情報生成部２９、第五共有秘密情報生成部２１０、共有情報生成部２１１、鍵抽出部２１２を例えば含む。 Information sharing apparatus _{U B,} as shown in FIG. 3, the storage unit 20, the short-term private key generation unit 21, the hash value calculation unit 22, the short-term public key generation unit 23, transmitting unit 24, receiving unit 25, first shared Secret information generation unit 26, second shared secret information generation unit 27, third shared secret information generation unit 28, fourth shared secret information generation unit 29, fifth shared secret information generation unit 210, shared information generation unit 211, key extraction For example, the unit 212 is included.

情報共有装置Ｕ_Ａの短期秘密鍵生成部１１（図２）は、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する（ステップＡ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵y^~ ₁,y^~ ₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵x^~ ₁,x^~ ₂は、ハッシュ値計算部１２に送信される。 Short-term secret key generation unit 11 of the information sharing apparatus U _A (FIG. 2) generates a short-term private key ^{_{^{_{x ~ 1, x ~ 2 ∈Z}}}} p ( step A1). For example, the respective short-term private key y ^~ _1, y ^~ ₂ uniformly randomly selected two original from the Z _p. When the required level of safety is not high, it is not necessary to select uniformly at random. The generated short-term secret keys x ^~ ₁ and x ^~ ₂ are transmitted to the hash value calculation unit 12.

情報共有装置Ｕ_Ａのハッシュ値計算部１２は、短期秘密鍵x^~ ₁,x^~ ₂及び長期秘密鍵の中のS_A,αを用いて、ハッシュ値x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算する（ステップＡ２）。ハッシュ値x₁は、短期公開鍵生成部１３、第一共有秘密情報生成部１６、第五共有秘密情報生成部１１０に送信される。ハッシュ値x₂は、短期公開鍵生成部１３、第二共有秘密情報生成部１７に送信される。 Hash value calculation unit of the information sharing apparatus U _A 12 is short secret key x ^{^~} _1, x ^~ ₂ and S _A in the long-term private _key, using _alpha, hash values _{_{_{x 1 = H 2 (S A}}} , α , x ^~ ₁₎ and _{_{_{x 2 = H 2 (S a}}} , α, x ~ 2) to calculate the (step A2). The hash value x ₁ is transmitted to the short-term public key generation unit 13, the first shared secret information generation unit 16, and the fifth shared secret information generation unit 110. The hash value x ₂ is transmitted to the short-term public key generation unit 13 and the second shared secret information generation unit 17.

情報共有装置Ｕ_Ａの短期公開鍵生成部１３は、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する（ステップＡ３）。ここで、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)とする。計算された短期公開鍵epk_IDBは、送信部１４に送信される。 Short-term public key generation unit 13 of the information sharing apparatus U _A is short public key _{_{epk IDB = (X 0 = P}} 0 x1, X B, 2 = P B, 2 x1, ..., X B, β = P B, β ^{_{_{x1, X 0 '= P 0}}} x2, X B, 2' = P B, 2 x2, ..., X B, β '= P B, β x2) to calculate the (step A3). Here, P _{B, i} = H ₁ (ID _{B, 1} ,..., ID _{B, i} ) (1 ≦ i ≦ β). The calculated short-term public key epk _IDB is transmitted to the transmission unit 14.

情報共有装置Ｕ_Ａの送信部１４は、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａに送信する（ステップＡ４）。 Transmission unit 14 of the information sharing apparatus _{U A} sends a short public key epk _IDB to the information sharing apparatus _{U A} (step A4).

情報共有装置Ｕ_Ｂの短期秘密鍵生成部２１（図３）は、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する（ステップＢ１）。例えば、Z_pの中から一様ランダムに２つの元を選びそれぞれ短期秘密鍵y^~ ₁,y^~ ₂とする。求める安全性のレベルが高くない場合には、一様ランダムに選択する必要はない。生成された短期秘密鍵y^~ ₁,y^~ ₂は、ハッシュ値計算部２２に送信される。 Short-term private key generation unit 21 of the information sharing apparatus U _B (FIG. 3) generates a short-term private key ^{_{^{_{y ~ 1, y ~ 2 ∈Z}}}} p ( step B1). For example, the respective short-term private key y ^~ _1, y ^~ ₂ uniformly randomly selected two original from the Z _p. When the required level of safety is not high, it is not necessary to select uniformly at random. Short-term private key y ^{^~} _1, y ^~ ₂ produced is sent to the hash value calculation unit 22.

情報共有装置Ｕ_Ｂのハッシュ値計算部２２は、短期秘密鍵y^~ ₁,y^~ ₂及び長期秘密鍵の中のS_B,βを用いて、ハッシュ値y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算する（ステップＢ２）。ハッシュ値y₁は、短期公開鍵生成部２３、第三共有秘密情報生成部２８、第五共有秘密情報生成部２１０に送信される。ハッシュ値y₂は、短期公開鍵生成部２３、第四共有秘密情報生成部２９に送信される。 Hash value calculation unit 22 of the information sharing apparatus U _B is short secret key y ^{^~} _1, y ^~ ₂ and long secret S _B in the _key, with a _beta, hash value _{_{_{y 1 = H 2 (S B}}} , β , y ^~ ₁₎ and _{_{_{y 2 = H 2 (S B}}} , β, y ~ 2) to calculate the (step B2). The hash value y ₁ is transmitted to the short-term public key generation unit 23, the third shared secret information generation unit 28, and the fifth shared secret information generation unit 210. The hash value y ₂ is transmitted to the short-term public key generation unit 23 and the fourth shared secret information generation unit 29.

情報共有装置Ｕ_Ｂの短期公開鍵生成部２３は、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する（ステップＢ３）。ここで、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)とする。計算された短期公開鍵epk_IDAは、送信部２４に送信される。 The short-term public key generation unit 23 of the information sharing apparatus U _B uses the short-term public key epk _IDA = (Y ₀ = P ₀ ^{y 1} , Y _{A, 2} = P _{A, 2} ^{y 1} ,..., Y _{A, α} = P _{A, α} ^{_{_{y1, Y 0 '= P 0}}} y2, Y a, 2' = P a, 2 y2, ..., Y a, α '= P a, α y2) calculate the (step B3). Here, P _{A, i} = H ₁ (ID _{A, 1} ,..., ID _{A, i} ) (1 ≦ i ≦ α). The calculated short-term public key epk _IDA is transmitted to the transmission unit 24.

情報共有装置Ｕ_Ｂの送信部２４は、短期公開鍵epk_IDＡを情報共有装置Ｕ_Ｂに送信する（ステップＢ４）。 Transmitter 24 of the information sharing apparatus _{U B} sends a short public key epk _IDA to the information sharing apparatus _{U B} (step B4).

情報共有装置Ｕ_Ｂの受信部２５は、短期公開鍵epk_IDBを情報共有装置Ｕ_Ａから受信する（ステップＢ５）。 Receiving unit 25 of the information sharing apparatus _{U B} receives the short-term public key epk _IDB from the information sharing apparatus _{U A} (step B5).

情報共有装置Ｕ_Ｂの第一共有秘密情報生成部２６は、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する（ステップＢ６）。計算された第一共有秘密情報σ₁は、共有情報生成部２１１に送信される。 First shared secret information generation unit 26 of the information sharing apparatus U _B, the first shared secret _{_{σ 1 = e (X 0,}} S B, β) / Π i = 2 β e (Q B, i-1 , X _{B, i} ) is calculated (step B6). The calculated first shared secret information σ ₁ is transmitted to the shared information generation unit 211.

情報共有装置Ｕ_Ｂの第二共有秘密情報生成部２７は、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する（ステップＢ７）。計算された第二共有秘密情報σ₁’は、共有情報生成部２１１に送信される。 The second shared secret information generating unit 27 of the information sharing apparatus U _B, the second shared secret _{_{σ 1 '= e (X 0}} ', S B, β) / Π i = 2 β e (Q B, i-1 , X _{B, i} ′) is calculated (step B7). The calculated second shared secret information σ ₁ ′ is transmitted to the shared information generation unit 211.

情報共有装置Ｕ_Ｂの第三共有秘密情報生成部２８は、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する（ステップＢ８）。計算された第三共有秘密情報σ₂は、共有情報生成部２１１に送信される。 Third shared secret information generation unit 28 of the information sharing apparatus U _B, the third shared secret _{_{σ 2 = e (Q 0,}} P A, 1) to calculate the ^y1 (step B8). The calculated third shared secret information σ ₂ is transmitted to the shared information generation unit 211.

情報共有装置Ｕ_Ｂの第四共有秘密情報生成部２９は、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する（ステップＢ９）。計算された第四共有秘密情報σ₂’は、共有情報生成部２１１に送信される。 Fourth shared secret information generation unit 29 of the information sharing apparatus U _B are quaternary shared secret _{_{σ 2 '= e (Q 0}} , P A, 1) to calculate the ^y2 (step B9). The calculated fourth shared secret information σ ₂ ′ is transmitted to the shared information generation unit 211.

情報共有装置Ｕ_Ｂの第五共有秘密情報生成部２１０は、第五秘密情報計算部σ₃=(X₀)^y1を計算する（ステップＢ１０）。計算された第五秘密情報計算部σ₃は、共有情報生成部２１１に送信される。 Fifth shared secret information generation unit 210 of the information sharing apparatus U _B is the fifth secret information calculation section σ ₃ = (X ₀₎ to calculate the ^y1 (step B10). The calculated fifth secret information calculation unit σ ₃ is transmitted to the shared information generation unit 211.

情報共有装置Ｕ_Ｂの共有情報生成部２１１は、H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報とする（ステップＢ１１）。 Share information generating unit 211 of the information sharing apparatus U _B _{_{is, H (σ 1, σ 1}} ', σ 2, σ 2', σ 3, PID, ID A, ID B, epk IDB, epk IDA) to calculate the The calculation result is used as shared information (step B11).

情報共有装置Ｕ_Ａの受信部１５（図２）は、短期公開鍵epk_IDAを情報共有装置Ｕ_Ａから受信する（ステップＡ５）。 Receiver 15 of the information sharing apparatus _{U A} (FIG. 2) receives the short-term public key epk _IDA from the information sharing apparatus _{U A} (step A5).

情報共有装置Ｕ_Ａの第一共有秘密情報生成部１６は、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する（ステップＡ６）。計算された第一共有秘密情報σ₁は、共有情報生成部１１１に送信される。 First shared secret information generation unit 16 of the information sharing apparatus U _A, the first shared secret _{_{σ 1 = e (Q 0,}} P B, 1) to calculate the ^x1 (step A6). The calculated first shared secret information σ ₁ is transmitted to the shared information generation unit 111.

情報共有装置Ｕ_Ａの第二共有秘密情報生成部１７は、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する（ステップＡ７）。計算された第二共有秘密情報σ₁’は、共有情報生成部１１１に送信される。 The second shared secret information generating unit 17 of the information sharing apparatus U _A, the second shared secret _{_{σ 1 '= e (Q 0}} , P B, 1) to calculate the ^x2 (step A7). The calculated second shared secret information σ ₁ ′ is transmitted to the shared information generation unit 111.

情報共有装置Ｕ_Ａの第三共有秘密情報生成部１８は、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)（ステップＡ８）。計算された第三共有秘密情報σ₂は、共有情報生成部１１１に送信される。 Third shared secret information generation unit 18 of the information sharing apparatus U _A, the third shared secret _{_{σ 2 = e (Y 0,}} S A, α) / Π i = 2 α e (Q A, i-1, Y _{A, i} ) (step A8). The calculated third shared secret information σ ₂ is transmitted to the shared information generation unit 111.

情報共有装置Ｕ_Ａの第四共有秘密情報生成部１９は、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する（ステップＡ９）。計算された第四共有秘密情報σ₂’は、共有情報生成部１１１に送信される。 Fourth shared secret information generation unit 19 of the information sharing apparatus U _A are quaternary shared secret _{_{σ 2 '= e (Y 0}} ', S A, α) / Π i = 2 α e (Q A, i-1 , Y _{A, i} ′) is calculated (step A9). The calculated fourth shared secret information σ ₂ ′ is transmitted to the shared information generation unit 111.

情報共有装置Ｕ_Ａの第五共有秘密情報生成部１１０は、第五秘密情報計算部σ₃=(Y₀)^x1を計算する（ステップＡ１０）。計算された第五秘密情報計算部σ₃は、共有情報生成部１１１に送信される。 Fifth shared secret information generation unit 110 of the information sharing apparatus U _A is the fifth secret information calculation section σ ₃ = (Y ₀₎ to calculate the ^x1 (step A10). The calculated fifth secret information calculation unit σ ₃ is transmitted to the shared information generation unit 111.

情報共有装置Ｕ_Ａの共有情報生成部１１１は、H(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報とする（ステップＡ１１）。この共有情報は、例えば認証鍵として用いられる。 Share information generating unit 111 of the information sharing apparatus U _A _{_{is, H (σ 1, σ 1}} ', σ 2, σ 2', σ 3, PID, ID A, ID B, epk IDB, epk IDA) to calculate the The calculation result is used as shared information (step A11). This shared information is used as an authentication key, for example.

このようにして、情報共有が行われる。 In this way, information sharing is performed.

［変形例等］
情報共有装置Ｕ_Ａの各部間のデータのやり取りは直接行われてもよいし、記憶部１０を介して行われてもよい。同様に、情報共有装置Ｕ_Ｂの各部間のデータのやり取りは直接行われてもよいし、記憶部２０を介して行われてもよい。 [Modifications, etc.]
Exchange of data between each part of the information sharing apparatus U _A is may be performed directly or may be performed via the storage unit 10. Similarly, the exchange of data between each part of the information sharing apparatus U _B is may be made directly or may be performed via the storage unit 20.

上記の例では、共有情報生成部１１１及び共有情報生成部２１１は、ハッシュ関数Hを用いたが、任意の予め定められた関数Fを用いて共有情報を求めてもよい。すなわち、共有情報生成部１１１及び共有情報生成部２１１は、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算して、その計算結果を共有情報としてもよい。 In the above example, the shared information generation unit 111 and the shared information generation unit 211 use the hash function H. However, the shared information may be obtained using an arbitrary predetermined function F. That is, the shared information generating unit 111 and the shared information generating unit 211 calculate F (σ ₁ , σ ₁ ′, σ ₂ , σ ₂ ′, σ ₃ , PID, ID _A , ID _B , epk _IDB , epk _IDA ). Then, the calculation result may be shared information.

その他、この発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。 In addition, the present invention is not limited to the above-described embodiment. For example, the various processes described above are not only executed in time series according to the description, but may also be executed in parallel or individually as required by the processing capability of the apparatus that executes the processes.

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。 Further, when the above-described configuration is realized by a computer, processing contents of functions that each device should have are described by a program. The processing functions are realized on the computer by executing the program on the computer.

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。 The program describing the processing contents can be recorded on a computer-readable recording medium. As the computer-readable recording medium, for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used.

その他、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。 Needless to say, other modifications are possible without departing from the spirit of the present invention.

［安全性の証明］
このように、短期秘密鍵を二重化し、共有情報を計算するための共有秘密情報であって短期秘密鍵に由来する共有秘密情報を短期秘密鍵ごとに計算する。これにより、ギャップ問題の難しさを仮定することなく探索問題の難しさをのみを仮定することで安全性を証明することができる。以下、その安全性の証明の概要を説明する。 [Proof of safety]
In this way, the short-term secret key is duplicated, and the shared secret information for calculating the shared information and derived from the short-term secret key is calculated for each short-term secret key. Thus, it is possible to prove the safety by assuming only the difficulty of the search problem without assuming the difficulty of the gap problem. The outline of the safety proof will be described below.

まず、探索問題（探索双線形Diffie-Hellman問題）及びギャップ問題（ギャップ双線形Diffie-Hellman問題）の定義を説明する。 First, definitions of a search problem (search bilinear Diffie-Hellman problem) and a gap problem (gap bilinear Diffie-Hellman problem) will be described.

探索双線形Diffie-Hellman問題：κをセキュリティパラメータとし、Pをκビット素数とする。Gをgを生成元とする位数pの巡回群とし、G_Tをg_Tを生成元とする巡回群とする。e:G×G→G_Tを双線形写像とする。双線形Diffie-Hellman関数BDH:G³→G_TをBDH(g^u,g^v,g^w)=g_T ^uvwとして定義する。解答者Sは一様ランダムに選ばれたU=g^u,V=g^v,W=g^w,∈Gを入力され、BDH(U,V,W)の出力を試みる。解答者Sのアドバンテージを次のように定義する。 Search Bilinear Diffie-Hellman Problem: Let κ be a security parameter and P be a κ-bit prime. Let G be a cyclic group of order p with g as the generator, and G _T be a cyclic group with g _T as the generator. e: G × G → G _T is a bilinear map. The bilinear Diffie-Hellman function BDH: G ³ → G _T is defined as BDH (g ^u , g ^v , g ^w ) = g _T ^uvw . The solver S receives U = g ^u , V = g ^v , W = g ^w , and ∈ G, which are uniformly selected at random, and tries to output BDH (U, V, W). The advantage of solver S is defined as follows:

ADV^BDH(S)=Pr[U,V,W∈G,S(g,g_T,U,V,)=BDH(U; V;W)]
ADV^BDH(S)が無視できない確率であるとき、解答者Sは探索双線形Diffie-Hellman 問題を解いたという。 ADV ^BDH (S) = Pr [U, V, W∈G, S (g, g _T , U, V,) = BDH (U; V; W)]
When ADV ^BDH (S) has a non-negligible probability, solver S is said to have solved the search bilinear Diffie-Hellman problem.

ギャップ双線形Diffie-Hellman 問題：κをセキュリティパラメータとし、pをκビット素数とする。Gをgを生成元とする位数pの巡回群とし、G_Tをg_Tを生成元とする巡回群とする。e:G×G→G_Tを双線形写像とする。双線形Diffie-Hellman関数BDH:G³→G_TをBDH(g^u,g^v,g^w)=g_T ^uvwとして定義し、判定双線形Diffie-Hellman述語オラクルDBDH:G³×G_T→{0,1}を(g^u,g^v,g^w,g_T ^r)を入力としuvw=r mod pが成り立つとき1を出力し、そうでなければ0を出力する関数として定義する。解答者Sは一様ランダムに選ばれたU=g^u,V=g^v,W=g^w∈Gと判定双線形Diffie-Hellman 述語オラクルDBDH(・,・,・,・)へのアクセスを入力され、BDH(U,V,W)の出力を試みる。解答者Sのアドバンテージを次のように定義する。 Gap bilinear Diffie-Hellman Problem: Let κ be a security parameter and p be a κ-bit prime. Let G be a cyclic group of order p with g as the generator, and G _T be a cyclic group with g _T as the generator. e: G × G → G _T is a bilinear map. Bilinear Diffie-Hellman function BDH: G ³ → G _T is defined as BDH (g ^u , g ^v , g ^w ) = g _T ^uvw and decision bilinear Diffie-Hellman predicate Oracle DBDH: G ³ × G _T → { 0,1} is defined as a function that inputs (g ^u , g ^v , g ^w , g _T ^r ) and outputs 1 when uvw = r mod p holds, and outputs 0 otherwise. Solver S has access to randomly chosen U = g ^u , V = g ^v , W = g ^w ∈G and the decision bilinear Diffie-Hellman predicate oracle DBDH (・, ・, ・, ・). Attempted to output BDH (U, V, W). The advantage of solver S is defined as follows:

ADV^GBDH(S)=Pr[U,V,W∈G,S^DBDH(・,・,・,・)(g,U,V,W)=BDH(U,V,W)]
ADV^GBDH(S)が無視できない確率であるとき、解答者Sはギャップ双線形Diffie-Hellman問題を解いたという。 ADV ^GBDH (S) = Pr [U, V, W∈G, S ^DBDH (・, ・, ・, ・) (g, U, V, W) = BDH (U, V, W)]
When ADV ^GBDH (S) has a non-negligible probability, solver S is said to have solved the gap bilinear Diffie-Hellman problem.

ギャップ問題は上記のように判定オラクルのヒント付きの探索問題とみなせるので、ギャップ問題の方が真に易しい。 Since the gap problem can be regarded as a search problem with a hint of judgment oracle as described above, the gap problem is really easier.

情報共有方式の安全性証明を行う際は、「ギャップ問題、もしくは探索問題を解くことが難しいことを仮定すると、情報共有方式への攻撃者が存在しない」ことを示す必要がある。これは、対偶を取ることにより、「情報共有方式への攻撃者が存在すると仮定すると、問題を解く解答者を構成できる」ことを示すことと同値である。したがって、安全性証明では実際に攻撃者から解答者を構成する必要がある。そのためには解答者は攻撃者を実際の攻撃環境と見分けがつかないように動作させなければならない。 When performing the security proof of the information sharing method, it is necessary to indicate that "there is no attacker to the information sharing method assuming that it is difficult to solve the gap problem or the search problem". This is equivalent to showing that by taking an even number, "assuming that there is an attacker to the information sharing method, an answerer who can solve the problem can be constructed". Therefore, in the security proof, it is necessary to actually configure the answerer from the attacker. In order to do so, the respondent must operate the attacker in a way that is indistinguishable from the actual attack environment.

既存方式では、攻撃者が出力したσ₁に対してσ₁=e(P_B,1,Q₀)^xとσ²=e(P_A,1,Q₀)^yを解答者が検証し、結果に応じて動作を変えねばならない。しかし、解答者はxとyを知ることができないので、自分で上記の検証を行うことができない。よって、判定オラクルに(P_B,1,Q₀,X,σ₁)と(P_A,1,Q₀,Y,σ₂)を聞き、検証式が成り立つかどうかの答えをもらうことによって証明を行う。このためギャップ問題の難しさを仮定する必要がある。上記の情報共有方式では、双線形ペアリング関数を用いた方式の場合は、w₂=s-rw₁に対してZ₁ ^rZ₂=e(X,Y)^sの真理値がZ₁=e(X,Y)^w1∧Z₂=e(X,Y)^w2の真理値と一致することを利用して検証を行う。このテクニックは落とし戸試験と呼ばれる。実施例では、任意のsとrについて、解答者は証明中でx₂=s-rx₁,y₂=s’-r’y₁と設定することでσ₁ ^rσ₁’=e(P_B,1,Q₀)^sとσ₂ ^r’σ₂’=e(P_A,1,Q₀)^s’の落とし戸試験を行うことで、σ₁=e(P_B,1,Q₀)^x1,σ₁’=e(P_B,1,Q₀)^x2,σ₂=e(P_A,1,Q₀)^y1,σ₂’=e(P_A,1,Q₀)^y2の検証をy₁とx₁を知ること無しに行うことができる。σ₁ ^rσ₁’=e(P_B,1,Q₀)^sとσ₂ ^r’σ₂’=e(P_A,1,Q₀)^s’は解答者の持つ情報のみで検証できるため、判定オラクルは不要であり、ギャップ問題の難しさを仮定する必要が無くなる。 In existing schemes, sigma ₁ = e respect sigma ₁ an attacker output _{_{(P B, 1, Q 0}} ) x and ^{_{σ 2 = e (P A,}} 1, Q 0) y the respondent verified, The operation must be changed according to the result. However, since the answerer cannot know x and y, he cannot perform the above verification by himself. Therefore, it is proved by hearing (P _{B, 1} , Q ₀ , X, σ ₁ ) and (P _{A, 1} , Q ₀ , Y, σ ₂ ) from the judgment oracle, and getting an answer as to whether the verification equation holds. I do. For this reason, it is necessary to assume the difficulty of the gap problem. In the above information sharing method, in the case of method using a bilinear pairing _{_{^{function, w 2 = Z 1 r Z}}} 2 with respect to _{= s-rw 1 e (X} , Y) truth value of ^s is Z ₁ = e (X, Y) ^w1 ∧Z ₂ = e (X, Y) Verify by using the fact that it matches the truth value of ^w2 . This technique is called the trapdoor test. In the example, for any s and r, the solver sets σ ₁ ^r σ ₁ '= e (P in the proof by setting x ₂ = s-rx ₁ , y ₂ = s'-r'y ₁ _{B, 1,} Q ₀₎ ^s and _{^{_{σ 2 r 'σ 2' =}}} e (P a, 1, Q 0) by performing a trapdoor test ^{_{s', σ 1 = e (}} P B, 1, Q 0 ) ^x1 , σ ₁ '= e (P _{B, 1} , Q ₀ ) ^x2 , σ ₂ = e (P _{A, 1} , Q ₀ ) ^y1 , σ ₂ ' = e (P _{A, 1} , Q ₀ ) ^y2 Verification can be done without knowing y ₁ and x ₁ . σ ₁ ^r σ ₁ '= e (P _{B, 1} , Q ₀ ) ^s and σ ₂ ^r ' σ ₂ '= e (P _{A, 1} , Q ₀ ) ^s' can be verified only with the information held by the answerer The determination oracle is unnecessary, and it is not necessary to assume the difficulty of the gap problem.

１０記憶部
１１短期秘密鍵生成部
１２ハッシュ値計算部
１３短期公開鍵生成部
１４送信部
１５受信部
１６第一共有秘密情報生成部
１７第二共有秘密情報生成部
１８第三共有秘密情報生成部
１９第四共有秘密情報生成部
１１０第五共有秘密情報生成部
１１１共有情報生成部
１１２鍵抽出部
２０記憶部
２１短期秘密鍵生成部
２２ハッシュ値計算部
２３短期公開鍵生成部
２４送信部
２５受信部
２６第一共有秘密情報生成部
２７第二共有秘密情報生成部
２８第三共有秘密情報生成部
２９第四共有秘密情報生成部
２１０第五共有秘密情報生成部
２１１共有情報生成部
２１２鍵抽出部 10 storage unit 11 short-term secret key generation unit 12 hash value calculation unit 13 short-term public key generation unit 14 transmission unit 15 reception unit 16 first shared secret information generation unit 17 second shared secret information generation unit 18 third shared secret information generation Unit 19 fourth shared secret information generation unit 110 fifth shared secret information generation unit 111 shared information generation unit 112 key extraction unit 20 storage unit 21 short-term secret key generation unit 22 hash value calculation unit 23 short-term public key generation unit 24 transmission unit 25 Receiving unit 26 first shared secret information generating unit 27 second shared secret information generating unit 28 third shared secret information generating unit 29 fourth shared secret information generating unit 210 fifth shared secret information generating unit 211 shared information generating unit 212 key Extraction unit

Claims

プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａと、
短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDBを上記情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂと、
を含む情報共有システム。 PID which is a protocol ID is a predetermined bit string, H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p is a hash function, F is a predetermined function, G , G _T is a bilinear map e: G × G → G _T is a group that can be calculated g, g _T as a generator, G unit element is 1 _G , S ₀ = 1 _G , master release The key P ₀ = g, Q ₀ = P ₀ ^s0 ∈G, and the secret information of the information sharing device corresponding to ID = (ID ₁ , ID ₂ , ..., ID _t-1 ) is s _t-1 ∈Z _p , The long-term secret key of the information sharing apparatus is (S _t−1 , Q ₁ ,..., Q _t−1 ), and the information sharing apparatus is a subordinate information sharing apparatus with ID ′ = (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), the long-term secret key of the information sharing apparatus is (S _t , Q ₁ , ..., Q _t ), and P _t = H ₁ (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), and S _t = S _t-1 P _t ^st-1 , Q _t = P ₀ ^st , ID _A = (ID _{A, 1} , ..., ID _{A, α} long private key (S _a of the information sharing apparatus U _a corresponding _{_{to), α, Q a, 1}} , ..., Q a, α), ID B = (ID B, 1, ..., ID B, Long private key (S _B of the information sharing apparatus U _B corresponding _{_{to), β, Q B, 1}} , ..., Q B, as _beta),
A short-term secret key generator for generating short-term secret keys x ^~ ₁ , x ^~ ₂ ∈Z _p , and x ₁ = H ₂ (S _{A, α} , x ^~ ₁ ) and x ₂ = H ₂ (S _{A, α} , x ^~ ₂ ) and a hash value calculation unit for calculating P _{B, i} = H ₁ (ID _{B, 1} , ..., ID _{B, i} ) (1 ≦ i ≦ β) and short-term public key epk _IDB = (X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 ,…, X _{B, β} = P _{B, β} ^x1 , X ₀ '= P ₀ ^x2 , X _{B, 2} ' = P _{B, 2} ^x2 ,… _{, X B, β '= P} B, β x2) and short-term public key generation unit for calculating a transmission section that transmits the short-term public key epk _IDB to the information sharing apparatus U _B, short public key epk _IDA said information a receiver for receiving from the shared device U _B, the first shared secret _{_{σ 1 = e (Q 0,}} P B, 1) and the first shared secret information calculation unit for calculating a ^x1, a second shared secret sigma ₁ ′ = e (Q ₀ , P _{B, 1} ) ^x2 second shared secret information calculation unit and third shared secret information σ ₂ = e (Y ₀ , S _{A, α} ) / Π _{i = 2} ^α Third shared secret information calculation unit for calculating e (Q _{A, i-1} , Y _{A, i} ), and fourth shared secret information σ ₂ ′ = e (Y ₀ ′, S _{A, α} ) / Π _{i = ^{_{2 α e (Q a, i}}} -1, Y a, i ') a A fourth shared secret calculation unit for calculation, a fifth secret information calculation unit for calculating a fifth secret information calculation section _{_{^{σ 3 = (Y 0) x1}}} , F (σ 1, σ 1 ', σ 2, σ 2 ', and _{_{σ 3, PID, ID a,}} ID B, epk IDB, information sharing device including the shared information generation unit for calculating a epk _IDA), the U _a,
A short-term secret key generator for generating short-term secret keys y ^~ ₁ , y ^~ ₂ ∈Z _p , and y ₁ = H ₂ (S _{B, β} , y ^~ ₁ ) and y ₂ = H ₂ (S _{B, β} , y ^~ ₂ ) and a hash value calculation unit for calculating P _{A, i} = H ₁ (ID _{A, 1} , ..., ID _{A, i} ) (1 ≦ i ≦ α), short-term public key epk _IDA = (Y ₀ = P ₀ ^y1 , Y _{A, 2} = P _{A, 2} ^y1 ,…, Y _{A, α} = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A, 2} ^y2 ,… _{, Y a, α '= P} a, a short-term public key generation unit for calculating the _alpha ^y2), and a transmission unit for transmitting the short-term public key epk _IDA in the information sharing apparatus U _a, a short-term public key epk _IDB above a receiver for receiving from the information sharing apparatus U _A, the first shared secret _{_{σ 1 = e (X 0,}} S B, β) / Π i = 2 β e (Q B, i-1, X B, i ) And a second shared secret information σ ₁ '= e (X ₀ ', S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} ′), a second shared secret information calculation unit that calculates third shared secret information σ ₂ = e (Q ₀ , P _{A, 1} ) ^y1 , a fourth shared secret information calculation unit, Shared secret information σ ₂ '= e (Q ₀ , P _{A, 1} ) ^{y A} fourth shared secret information calculation unit for calculating ² , a fifth secret information calculation unit σ ₃ = (X ₀ ) ^y1 , a F (σ ₁ , σ ₁ ', σ ₂ , sigma ₂ ', and _{_{σ 3, PID, ID a,}} ID B, epk IDB, epk IDA) information sharing apparatus U _B; and a shared information generating unit for calculating a,
Information sharing system.

請求項１の情報共有システムにおいて、
所定の正の整数をセキュリティパラメータkとして、
上記関数Fは、ハッシュ関数H:{0,1}^*→{0,1}である、
情報共有システム。 The information sharing system according to claim 1,
A predetermined positive integer as a security parameter k,
The function F is a hash function H: {0,1} ^* → {0,1}.
Information sharing system.

プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
情報共有装置Ｕ_Ａの短期秘密鍵生成部が、短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成ステップと、
情報共有装置Ｕ_Ａのハッシュ値計算部が、x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算ステップと、
情報共有装置Ｕ_Ａの短期公開鍵生成部が、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成ステップと、
情報共有装置Ｕ_Ａの送信部が、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信ステップと、
情報共有装置Ｕ_Ｂの短期秘密鍵生成部が、短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成ステップと、
情報共有装置Ｕ_Ｂのハッシュ値計算部が、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算ステップと、
情報共有装置Ｕ_Ｂの短期公開鍵生成部が、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成ステップと、
情報共有装置Ｕ_Ｂの送信部が、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信ステップと、
情報共有装置Ｕ_Ｂの受信部が、短期公開鍵epk_IDBを上記情報共有装置Ｕ_Ａから受信する受信ステップと、
情報共有装置Ｕ_Ｂの第一共有秘密情報計算部が、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算ステップと、
情報共有装置Ｕ_Ｂの第二共有秘密情報計算部が、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算ステップと、
情報共有装置Ｕ_Ｂの第三共有秘密情報計算部が、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算ステップと、
情報共有装置Ｕ_Ｂの第四共有秘密情報計算部が、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算ステップと、
情報共有装置Ｕ_Ｂの第五共有秘密情報計算部が、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算ステップと、
情報共有装置Ｕ_Ｂの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成ステップと、
情報共有装置Ｕ_Ａの受信部が、短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ｂから受信する受信ステップと、
情報共有装置Ｕ_Ａの第一共有秘密情報計算部が、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算ステップと、
情報共有装置Ｕ_Ａの第二共有秘密情報計算部が、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算ステップと、
情報共有装置Ｕ_Ａの第三共有秘密情報計算部が、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算ステップと、
情報共有装置Ｕ_Ａの第四共有秘密情報計算部が、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算ステップと、
情報共有装置Ｕ_Ａの第五共有秘密情報計算部が、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算ステップと、
情報共有装置Ｕ_Ａの共有情報生成部が、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成ステップと、
を含む情報共有方法。 PID which is a protocol ID is a predetermined bit string, H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p is a hash function, F is a predetermined function, G , G _T is a bilinear map e: G × G → G _T is a group that can be calculated g, g _T as a generator, G unit element is 1 _G , S ₀ = 1 _G , master release The key P ₀ = g, Q ₀ = P ₀ ^s0 ∈G, and the secret information of the information sharing device corresponding to ID = (ID ₁ , ID ₂ , ..., ID _t-1 ) is s _t-1 ∈Z _p , The long-term secret key of the information sharing apparatus is (S _t−1 , Q ₁ ,..., Q _t−1 ), and the information sharing apparatus is a subordinate information sharing apparatus with ID ′ = (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), the long-term secret key of the information sharing apparatus is (S _t , Q ₁ , ..., Q _t ), and P _t = H ₁ (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), and S _t = S _t-1 P _t ^st-1 , Q _t = P ₀ ^st , ID _A = (ID _{A, 1} , ..., ID _{A, α} long private key (S _a of the information sharing apparatus U _a corresponding _{_{to), α, Q a, 1}} , ..., Q a, α), ID B = (ID B, 1, ..., ID B, Long private key (S _B of the information sharing apparatus U _B corresponding _{_{to), β, Q B, 1}} , ..., Q B, as _beta),
_A short-term secret key generation unit in which a short-term secret key generation unit of the information sharing apparatus UA generates short-term secret keys x ^~ ₁ , x ^~ ₂ ∈Z _p ;
Hash value calculation unit of the information sharing apparatus U _A _{_{is, x 1 = H 2 (S}} A, α, x ~ 1) and _{_{_{x 2 = H 2 (S A}}} , α, x ~ 2) hash value calculation step of calculating the When,
Short-term public key generation unit of the information sharing apparatus U _A _{_{is, P B, i = H 1}} (ID B, 1, ..., ID B, i) (1 ≦ i ≦ β) short-term public key epk _IDB = (X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 ,…, X _{B, β} = P _{B, β} ^x1 , X ₀ '= P ₀ ^x2 , X _{B, 2} ' = P _{B, 2} ^x2 ,… , X _{B, β} '= P _{B, β} ^x2 )
Transmission of the information sharing apparatus U _A is a transmission step of transmitting the short-term public key epk _IDB to the information sharing apparatus U _B,
Short-term private key generating unit of the information sharing apparatus U _B is a short-term private key generation step of generating a short-term private key ^{_{^{_{y ~ 1, y ~ 2 ∈Z}}}} p,
Hash value calculation unit of the information sharing apparatus U _B _{_{is, y 1 = H 2 (S}} B, β, y ~ 1) and _{_{_{y 2 = H 2 (S B}}} , β, y ~ 2) hash value calculation step of calculating the When,
Short-term public key generation unit of the information sharing apparatus U _B _{_{is, P A, i = H 1}} (ID A, 1, ..., ID A, i) Short-term public key as (1 ≦ i ≦ α) epk IDA = (Y 0 = P ₀ ^y1 , Y _{A, 2} = P _{A, 2} ^y1 ,…, Y _{A, α} = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A, 2} ^y2 ,… , Y _{A, α} '= P _{A, α} ^y2 )
Transmission of the information sharing apparatus U _B is a transmission step of transmitting the short-term public key epk _IDA in the information sharing apparatus U _A,
Receiver of the information sharing apparatus U _B is a receiving step of receiving short-term public key epk _IDB from the information sharing device U _A,
First shared secret information calculation unit of the information sharing apparatus U _B is first shared secret _{_{σ 1 = e (X 0,}} S B, β) / Π i = 2 β e (Q B, i-1, X _{B, i} ) calculating first shared secret information step;
The second shared secret information calculation unit of the information sharing apparatus U _B performs the second shared secret information σ ₁ ′ = e (X ₀ ′, S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i−1} , A second shared secret calculation step for calculating X _{B, i} '),
Third shared secret information calculation unit of the information sharing apparatus U _B is a third shared secret calculation step of calculating a third shared secret _{_{σ 2 = e (Q 0,}} P A, 1) y1,
Fourth shared secret information calculation unit of the information sharing apparatus U _B is a fourth shared secret calculation step of calculating a fourth shared secret _{_{σ 2 '= e (Q 0}} , P A, 1) y2,
Fifth shared secret information calculation unit of the information sharing apparatus U _B is a fifth secret information calculating step of calculating a fifth secret information calculation section _{_{^{σ 3 = (X 0) y1}}} ,
Shared information generating unit of the information sharing apparatus U _B is, shared information to compute _{_{F (σ 1, σ 1 '}} , σ 2, σ 2', σ 3, PID, ID A, ID B, epk IDB, epk IDA) to Generation step;
Receiver of the information sharing apparatus U _A is a receiving step of receiving short-term public key epk _IDA from the information sharing device U _B,
_A first shared secret information calculation step in which the first shared secret information calculation unit of the information sharing device UA calculates the first shared secret information σ ₁ = e (Q ₀ , P _{B, 1} ) ^x ₁ ;
_A second shared secret information calculation step in which the second shared secret information calculation unit of the information sharing apparatus UA calculates the second shared secret information σ ₁ ′ = e (Q ₀ , P _{B, 1} ) ^{x 2} ;
Third shared secret information calculation unit of the information sharing apparatus U _A is the third shared secret _{_{σ 2 = e (Y 0,}} S A, α) / Π i = 2 α e (Q A, i-1, Y A _{, i} ) calculating a third shared secret information step;
Fourth shared secret information calculation unit of the information sharing apparatus U _A is the fourth shared secret _{_{σ 2 '= e (Y 0}} ', S A, α) / Π i = 2 α e (Q A, i-1, _A fourth shared secret calculation step for calculating Y _{A, i} ');
_A fifth secret information calculation step in which a fifth shared secret information calculation unit of the information sharing apparatus UA calculates a fifth secret information calculation unit σ ₃ = (Y ₀ ) ^x ₁ ;
Shared information generating unit of the information sharing apparatus U _A is, shared information to compute _{_{F (σ 1, σ 1 '}} , σ 2, σ 2', σ 3, PID, ID A, ID B, epk IDB, epk IDA) to Generation step;
Information sharing method.

プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
短期秘密鍵x^~ ₁,x^~ ₂∈Z_pを生成する短期秘密鍵生成部と、
x₁=H₂(S_A,α,x^~ ₁)及びx₂=H₂(S_A,α,x^~ ₂)を計算するハッシュ値計算部と、P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β)として短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDBを情報共有装置Ｕ_Ｂに送信する送信部と、短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)(P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)を上記情報共有装置Ｕ_Ｂから受信する受信部と、第一共有秘密情報σ₁=e(Q₀,P_B,1)^x1を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(Q₀,P_B,1)^x2を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Y₀,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i)を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Y₀’,S_A,α)/Π_i=2 ^αe(Q_A,i-1,Y_A,i’)を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(Y₀)^x1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ａである情報共有装置。 PID which is a protocol ID is a predetermined bit string, H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p is a hash function, F is a predetermined function, G , G _T is a bilinear map e: G × G → G _T is a group that can be calculated g, g _T as a generator, G unit element is 1 _G , S ₀ = 1 _G , master release The key P ₀ = g, Q ₀ = P ₀ ^s0 ∈G, and the secret information of the information sharing device corresponding to ID = (ID ₁ , ID ₂ , ..., ID _t-1 ) is s _t-1 ∈Z _p , The long-term secret key of the information sharing apparatus is (S _t−1 , Q ₁ ,..., Q _t−1 ), and the information sharing apparatus is a subordinate information sharing apparatus with ID ′ = (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), the long-term secret key of the information sharing apparatus is (S _t , Q ₁ , ..., Q _t ), and P _t = H ₁ (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), and S _t = S _t-1 P _t ^st-1 , Q _t = P ₀ ^st , ID _A = (ID _{A, 1} , ..., ID _{A, α} long private key (S _a of the information sharing apparatus U _a corresponding _{_{to), α, Q a, 1}} , ..., Q a, α), ID B = (ID B, 1, ..., ID B, Long private key (S _B of the information sharing apparatus U _B corresponding _{_{to), β, Q B, 1}} , ..., Q B, as _beta),
A short-term secret key generator for generating short-term secret keys x ^~ ₁ and x ^~ ₂ ∈Z _p ;
_A hash value calculator that calculates x ₁ = H ₂ (S _{A, α} , x ^~ ₁ ) and x ₂ = H ₂ (S _{A, α} , x ^~ ₂ ), and P _{B, i} = H ₁ (ID _{B , 1} , ..., ID _{B, i} ) (1≤i≤β) as short-term public key epk _IDB = (X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 , ..., X _{B, β} = (P _{B, β} ^x1 , X ₀ '= P ₀ ^x2 , X _{B, 2} ' = P _{B, 2} ^x2 , ..., X _{B, β} '= P _{B, β} ^x2 ) a transmission unit for transmitting the short-term public key epk _IDB to the information sharing apparatus U _B, short public key _{_{epk IDA = (Y 0 = P}} 0 y1, Y a, 2 = P a, 2 y1, ..., Y a, α = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A, 2} ^y2 ,…, Y _{A, α} '= P _{A, α} ^y2 ) (P _{A, i} = H ₁ ( _{ID a, 1, ..., ID} a, i) (1 a ≦ i ≦ α) a receiver for receiving from the information sharing device U _B, the first shared secret _{_{σ 1 = e (Q 0,}} P B, ₁ ) a first shared secret information calculation unit for calculating ^x1 , a second shared secret information calculation unit for calculating second shared secret information σ ₁ ′ = e (Q ₀ , P _{B, 1} ) ^x2 , and a third shared secret _{_{σ 2 = e (Y 0,}} S a, α) and the third shared secret calculation unit for calculating a _{^{/ Π i = 2 α e (}} Q a, i-1, Y a, i), the Shared secret _{_{σ 2 '= e (Y 0}} ' _{and, S A, α) / Π} i = 2 α e (Q A, i-1, Y A, i ') a fourth shared secret calculation unit for calculating a , The fifth secret information calculation unit σ ₃ = (Y ₀ ) ^x1 and F (σ ₁ , σ ₁ ', σ ₂ , σ ₂ ', σ ₃ , PID, ID _A , ID _B, epk _IDB, the information sharing apparatus which is information sharing apparatus U _a including the shared information generation unit for calculating a epk _IDA), the.

プロトコルＩＤであるPIDを所定のビット列とし、H₁:{0,1}^*→G、H₂:{0,1}^*→Z_pをハッシュ関数とし、Fを予め定められた関数として、G,G_Tをそれぞれ双線形写像e:G×G→G_Tを計算可能なg,g_Tを生成元とする群とし、Gの単位元を1_Gとし、S₀=1_Gとし、マスタ公開鍵P₀=g,Q₀=P₀ ^s0∈Gとし、ID=(ID₁,ID₂,…,ID_t-1)に対応する情報共有装置の秘密情報をs_t-1∈Z_pとし、その情報共有装置の長期秘密鍵を(S_t-1,Q₁,…,Q_t-1)とし、その情報共有装置の下位の情報共有装置であってID’=(ID₁,ID₂,…,ID_t-1,ID_t)に対応する情報共有装置の長期秘密鍵を(S_t,Q₁,…,Q_t)とし、P_t=H₁(ID₁,ID₂,…,ID_t-1,ID_t)とし、S_t=S_t-1P_t ^st-1,Q_t=P₀ ^stとすることにより定まる、ID_A=(ID_A,1,…,ID_A,α)に対応する情報共有装置Ｕ_Ａの長期秘密鍵を(S_A,α,Q_A,1,…,Q_A,α)、ID_B=(ID_B,1,…,ID_B,β)に対応する情報共有装置Ｕ_Ｂの長期秘密鍵を(S_B,β,Q_B,1,…,Q_B,β)として、
短期秘密鍵y^~ ₁,y^~ ₂∈Z_pを生成する短期秘密鍵生成部と、y₁=H₂(S_B,β,y^~ ₁)及びy₂=H₂(S_B,β,y^~ ₂)を計算するハッシュ値計算部と、P_A,i=H₁(ID_A,1,…,ID_A,i)(1≦i≦α)として短期公開鍵epk_IDA=(Y₀=P₀ ^y1,Y_A,2=P_A,2 ^y1,…,Y_A,α=P_A,α ^y1,Y₀’=P₀ ^y2,Y_A,2’=P_A,2 ^y2,…,Y_A,α’=P_A,α ^y2)を計算する短期公開鍵生成部と、上記短期公開鍵epk_IDAを上記情報共有装置Ｕ_Ａに送信する送信部と、短期公開鍵epk_IDB=(X₀=P₀ ^x1,X_B,2=P_B,2 ^x1,…,X_B,β=P_B,β ^x1,X₀’=P₀ ^x2,X_B,2’=P_B,2 ^x2,…,X_B,β’=P_B,β ^x2)(P_B,i=H₁(ID_B,1,…,ID_B,i)(1≦i≦β))を上記情報共有装置Ｕ_Ａから受信する受信部と、第一共有秘密情報σ₁=e(X₀,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i)を計算する第一共有秘密情報計算部と、第二共有秘密情報σ₁’=e(X₀’,S_B,β)/Π_i=2 ^βe(Q_B,i-1,X_B,i’)を計算する第二共有秘密情報計算部と、第三共有秘密情報σ₂=e(Q₀,P_A,1)^y1を計算する第三共有秘密情報計算部と、第四共有秘密情報σ₂’=e(Q₀,P_A,1)^y2を計算する第四共有秘密情報計算部と、第五秘密情報計算部σ₃=(X₀)^y1を計算する第五秘密情報計算部と、F(σ₁,σ₁’,σ₂,σ₂’,σ₃,PID,ID_A,ID_B,epk_IDB,epk_IDA)を計算する共有情報生成部と、を含む情報共有装置Ｕ_Ｂである情報共有装置。 PID which is a protocol ID is a predetermined bit string, H ₁ : {0,1} ^* → G, H ₂ : {0,1} ^* → Z _p is a hash function, F is a predetermined function, G , G _T is a bilinear map e: G × G → G _T is a group that can be calculated g, g _T as a generator, G unit element is 1 _G , S ₀ = 1 _G , master release The key P ₀ = g, Q ₀ = P ₀ ^s0 ∈G, and the secret information of the information sharing device corresponding to ID = (ID ₁ , ID ₂ , ..., ID _t-1 ) is s _t-1 ∈Z _p , The long-term secret key of the information sharing apparatus is (S _t−1 , Q ₁ ,..., Q _t−1 ), and the information sharing apparatus is a subordinate information sharing apparatus with ID ′ = (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), the long-term secret key of the information sharing apparatus is (S _t , Q ₁ , ..., Q _t ), and P _t = H ₁ (ID ₁ , ID ₂ , ..., ID _t-1 , ID _t ), and S _t = S _t-1 P _t ^st-1 , Q _t = P ₀ ^st , ID _A = (ID _{A, 1} , ..., ID _{A, α} long private key (S _a of the information sharing apparatus U _a corresponding _{_{to), α, Q a, 1}} , ..., Q a, α), ID B = (ID B, 1, ..., ID B, Long private key (S _B of the information sharing apparatus U _B corresponding _{_{to), β, Q B, 1}} , ..., Q B, as _beta),
A short-term secret key generator for generating short-term secret keys y ^~ ₁ , y ^~ ₂ ∈Z _p , and y ₁ = H ₂ (S _{B, β} , y ^~ ₁ ) and y ₂ = H ₂ (S _{B, β} , y ^~ ₂ ) and a hash value calculation unit for calculating P _{A, i} = H ₁ (ID _{A, 1} , ..., ID _{A, i} ) (1 ≦ i ≦ α), short-term public key epk _IDA = (Y ₀ = P ₀ ^y1 , Y _{A, 2} = P _{A, 2} ^y1 ,…, Y _{A, α} = P _{A, α} ^y1 , Y ₀ '= P ₀ ^y2 , Y _{A, 2} ' = P _{A, 2} ^y2 ,… _{, Y a, α '= P} a, α y2) and short-term public key generation unit for calculating a transmission section that transmits the short-term public key epk _IDA in the information sharing apparatus U _a, short-term public key epk _IDB = ( X ₀ = P ₀ ^x1 , X _{B, 2} = P _{B, 2} ^x1 ,…, X _{B, β} = P _{B, β} ^x1 , X ₀ '= P ₀ ^x2 , X _{B, 2} ' = P _{B, 2} ^x2 , ..., X _{B, β} '= P _{B, β} ^x2 ) (P _{B, i} = H ₁ (ID _{B, 1} , ..., ID _{B, i} ) (1 ≦ i ≦ β)) calculating a reception unit which receives from _a, the first shared secret _{_{σ 1 = e (X 0,}} S B, β) / Π i = 2 β e (Q B, i-1, X B, i) the The first shared secret information calculation unit and the second shared secret information σ ₁ '= e (X ₀ ', S _{B, β} ) / Π _{i = 2} ^β e (Q _{B, i-1} , X _{B, i} ' ) Calculate second shared secret information A Department, third shared secret _{_{σ 2 = e (Q 0,}} P A, 1) and the third shared secret calculation unit for calculating a ^y1, fourth shared secret _{_{σ 2 '= e (Q 0}} , P A _{, 1} ) a fourth shared secret information calculation unit for calculating ^y2 , a fifth secret information calculation unit σ ₃ = (X ₀ ) ^y1 , a fifth secret information calculation unit for calculating ^y2 , and F (σ ₁ , σ ₁ ', _{_{σ 2, σ 2 ', σ}} 3, PID, ID a, ID B, epk IDB, the information sharing apparatus which is information sharing apparatus U _B including the shared information generation unit for calculating a epk _IDA), the.

請求項４又は５の情報共有装置の各部としてコンピュータを機能させるためのプログラム。 The program for functioning a computer as each part of the information sharing apparatus of Claim 4 or 5.