JP4528114B2 - Key generation device, encryption device, inspection device, decryption device, key generation program, encryption program, inspection program, decryption program - Google Patents

Abstract

<P>PROBLEM TO BE SOLVED: To achieve homomorphous functional encryption (encryption that functions as deterministic encryption to prescribed people and functions as probabilistic encryption to the other people). <P>SOLUTION: A secret key x is provided in random numbers. An inspection key J in the functional encryption is provided by performing an operation J=xP from the secret key x and an element P of a set E[L]. A public key g is provided by performing an operation g=&Psi;(P) for applying linear transformation &Psi; to the element P of the set E[L]. A public key y is provided by performing an operation g=&Psi;(J) for applying linear transformation &Psi; to the inspection key J. A ciphertext c obtained by enciphering a plaintext m is provided by c=(G, Y)=(tg, m+ty). The plaintext m obtained from the ciphertext c is provided by m=Y-xG. Consistency of the plaintexts corresponding to the two ciphertexts c<SB>1</SB>=(G<SB>1</SB>, Y<SB>1</SB>) and c<SB>2</SB>=(G<SB>2</SB>, Y<SB>2</SB>) is inspected and judged by whether two pairing operations e<SB>L</SB>(&delta;(G<SB>1</SB>-G<SB>2</SB>), J) and e<SB>L</SB>(Y<SB>1</SB>-Y<SB>2</SB>, P) are equal or not. <P>COPYRIGHT: (C)2006,JPO&amp;NCIPI

Description

本発明は，情報セキュリティ技術に関し，特に計算量理論に基づく情報セキュリティ技術に関する。   The present invention relates to information security technology, and more particularly to information security technology based on the computational complexity theory.

近時，公衆電気通信網の発達に伴い，情報セキュリティ技術の重要性が高まっている。情報セキュリティ技術には，計算量理論に基づくもの，計算可能性理論に基づくもの，情報理論に基づくものなどがある。これらの中でも，計算量理論に基づくものが計算効率などの観点から実用性が高いと言える。   Recently, with the development of public telecommunications networks, the importance of information security technology is increasing. Information security technologies include those based on computational complexity theory, those based on computability theory, and those based on information theory. Among these, the one based on the computational complexity theory is said to be highly practical from the viewpoint of calculation efficiency.

ところで現在，実用化されている情報セキュリティ技術として，ＲＳＡ暗号がある（下記非特許文献１参照）。このＲＳＡ暗号は公開鍵を用いるものであり，公開鍵暗号である。公開鍵暗号は，暗号化と復号化において用いる鍵が異なることが特徴の暗号系である。   By the way, RSA cryptography is currently used as an information security technology (see Non-Patent Document 1 below). This RSA encryption uses a public key and is a public key encryption. Public key cryptography is an encryption system characterized by different keys used for encryption and decryption.

以下，ＲＳＡ暗号の鍵生成，暗号化及び復号化について概略を説明する。ここで，暗号化される情報を平文ｍとし，これが暗号化されたものを暗号文ｃとする。なお，ｍはＺ_ｎの元とする（この明細書において特に断りの無い限り，Ｚ_ｎは０以上ｎ未満の整数集合を表す。）。
＜鍵生成＞
十分に大きい２つの素数ｐ，ｑを選択し，ｎ＝ｐｑとする。また，λ（ｎ）＝ＬＣＭ（ｐ−１，ｑ−１）を演算する（ＬＣＭ（α，β）は，αとβの最小公倍数を表す。）。Ｚ_λ（ｎ）の元であり且つＧＣＤ（ｅ，λ（ｎ））を満足する適当なｅを定め（ＧＣＤ（α，β）は，αとβの最大公約数を表す。），ｄ＝ｅ^−１ ｍｏｄ λ（ｎ）を演算する。ここで得られたｄを秘密鍵とし，ｅ，ｎを公開鍵とする。
＜暗号化＞
平文ｍは公開鍵ｅ，ｎを用いて暗号化される。具体的には暗号文ｃは，ｃ＝ｍ^ｅ ｍｏｄ ｎとして得られる。
＜復号化＞
暗号文ｃは，秘密鍵ｄを用いて復号化される。具体的には平文ｍは，ｍ＝ｃ^dｍｏｄ ｎとして得られる。 The outline of RSA encryption key generation, encryption, and decryption will be described below. Here, it is assumed that the information to be encrypted is plaintext m, and the encrypted information is ciphertext c. Incidentally, m is an original Z _n (unless otherwise stated in this specification, Z _n represents an integer set from 0 to less than n.).
<Key generation>
Two sufficiently large prime numbers p and q are selected, and n = pq. Further, λ (n) = LCM (p−1, q−1) is calculated (LCM (α, β) represents the least common multiple of α and β). An appropriate e that is an element of Z _{λ (n)} and satisfies GCD (e, λ (n)) is determined (GCD (α, β) represents the greatest common divisor of α and β), d = e ⁻¹ mod λ (n) is calculated. Here, d obtained is a secret key, and e and n are public keys.
<Encryption>
The plaintext m is encrypted using the public keys e and n. Specifically, the ciphertext c is obtained as c = m ^e mod n.
<Decryption>
The ciphertext c is decrypted using the secret key d. Specifically, the plaintext m is obtained as m = c ^d mod n.

このＲＳＡ暗号には，２つの平文ｍ_０，ｍ_１のそれぞれに対応する暗号文ｃ_０，ｃ_１に関して，ｃ_０ｃ_１＝（ｍ_０ｍ_１）^ｅ ｍｏｄ ｎとなる性質がある。即ち，暗号文に対応する平文の内容を知らなくても，暗号文さえ知っていれば，平文同士の演算結果に対応する暗号文を生成することができる。暗号のこうような性質を準同型性という。 This RSA cipher has the property that c ₀ c ₁ = (m ₀ m ₁ ) ^e mod n for cipher texts c ₀ and c ₁ corresponding to two plaintexts m ₀ and m ₁ , respectively. That is, even if the plaintext corresponding to the ciphertext is not known, the ciphertext corresponding to the operation result between the plaintexts can be generated as long as the ciphertext is known. This property of cryptography is called homomorphism.

ところで，ＲＳＡ暗号のような公開鍵暗号において，１ｂｉｔの情報ｍ∈｛ｍ_０，ｍ_１｝（記号∈は，ｍが集合｛ｍ_０，ｍ_１｝の元であることを表す。）を暗号化して，この暗号文ｃを，公衆電気通信網を介して秘密鍵の持ち主に伝達する場合を考える。この場合，誰でも公開鍵ｅ，ｎと１ｂｉｔの情報ｍ∈｛ｍ_０，ｍ_１｝を利用できるので，平文ｍ_０，ｍ_１のそれぞれに対応する暗号文ｃ_０，ｃ_１を演算できてしまう。従って例えば，ある暗号文ｃが暗号文ｃ_０に対応するかを判定することで，暗号化されて伝達された平文がｍ_０であったか否かを判定できてしまうことになる。 By the way, in public key cryptography such as RSA cryptography, 1-bit information mε {m ₀ , m ₁ } (the symbol ε represents that m is an element of the set {m ₀ , m ₁ }). Consider the case where the ciphertext c is transmitted to the owner of the secret key via the public telecommunication network. In this case, since anyone can use the public key e, n and 1-bit information mε {m ₀ , m ₁ }, the ciphertexts c ₀ and c ₁ corresponding to the plaintexts m ₀ and m ₁ can be calculated. End up. Thus, for example, by determining whether a ciphertext c corresponds to the ciphertext c _0, so that the plaintext has been transmitted is encrypted she can determine whether a m _0.

ＲＳＡ暗号のような公開鍵暗号の弱点を解決するには，暗号文から平文の部分情報が漏出しない公開鍵暗号を構築すれば良い。これは，暗号化の手続きが確率的に行われることによって実現され，一般には，同一の平文から生成される暗号文は異なる。このような暗号を確率暗号と呼び，ＲＳＡ暗号のように，同一の平文からは同一の暗号文が生成される公開鍵暗号を確定暗号と呼ぶ。そして，確率暗号としてはＥｌＧａｍａｌ暗号が挙げられる（下記非特許文献１参照）。ＥｌＧａｍａｌ暗号は，Diffie-Hellman鍵配送の一種の変形であって，Diffie-Hellman判定問題の困難性の下に確率暗号と言うことができる。   In order to solve the weaknesses of public key cryptography such as RSA cryptography, public key cryptography in which plaintext partial information is not leaked from the ciphertext may be constructed. This is realized by performing the encryption procedure stochastically. Generally, ciphertexts generated from the same plaintext are different. Such a cipher is called a stochastic cipher, and a public key cipher in which the same ciphertext is generated from the same plaintext, like the RSA cipher, is called a definite cipher. An example of the stochastic encryption is ElGamal encryption (see Non-Patent Document 1 below). The ElGamal cipher is a kind of variant of Diffie-Hellman key distribution, and can be said to be a probabilistic cipher under the difficulty of the Diffie-Hellman decision problem.

以下，ＥｌＧａｍａｌ暗号の鍵生成，暗号化及び復号化について概略を説明する。ここで，暗号化される情報を平文ｍとし，これが暗号化されたものを暗号文ｃとする。なお，ｍはＺ_ｐ ^＊の元とする（この明細書において特に断りの無い限り，Ｚ_ｐ ^＊はＺ_ｐかつｐと互いに素な整数集合を表す。）。
＜鍵生成＞
十分に大きい素数ｐを選択し，乗法群Ｚ_ｐ ^＊の生成元ｇを求める。また，乱数ｘを求め（ｘは，Ｚ_ｐ−１の元とする。），ｙ＝ｇ^ｘ ｍｏｄ ｐを演算する。ここで得られたｘを秘密鍵とし，ｙ，ｇ，ｐを公開鍵とする（ｇ，ｐは，暗号システム上共通のものでも良い。）。
＜暗号化＞
平文ｍは乱数ｔ（但し乱数ｔは，Ｚ_ｐ−１の元とする。）と公開鍵ｙ，ｇ，ｐを用いて暗号化される。具体的には暗号文ｃは，ｃ＝（Ｇ，Ｙ）として得られ，Ｇ＝ｇ^ｔ ｍｏｄ ｐ，Ｙ＝ｍ×ｙ^ｔ ｍｏｄ ｐである。
＜復号化＞
暗号文ｃ＝（Ｇ，Ｙ）は，秘密鍵ｘを用いて復号化される。具体的には平文ｍは，ｍ＝Ｙ／Ｇ^ｘ ｍｏｄ ｐとして得られる。 Hereinafter, an outline of key generation, encryption, and decryption of ElGamal encryption will be described. Here, it is assumed that the information to be encrypted is plaintext m, and the encrypted information is ciphertext c. Note that m is an element of Z _p ^* (unless otherwise specified in this specification, Z _p ^* represents a set of integers relatively prime to Z _p and p).
<Key generation>
A sufficiently large prime p is selected, and a generator g of the multiplicative group Z _p ^* is obtained. Further, a random number x is obtained (x is an element of Z _p-1 ), and y = g ^x mod p is calculated. X obtained here is a secret key, and y, g, and p are public keys (g and p may be common on the cryptographic system).
<Encryption>
The plaintext m is encrypted using a random number t (where random number t is an element of Z _p-1 ) and public keys y, g, and p. Specifically, the ciphertext c is obtained as c = (G, Y), and G = g ^t mod p, Y = m × y ^t mod p.
<Decryption>
The ciphertext c = (G, Y) is decrypted using the secret key x. Specifically, the plaintext m is obtained as m = Y / G ^x mod p.

このＥｌＧａｍａｌ暗号には，２つの平文ｍ_０，ｍ_１のそれぞれに対応する暗号文ｃ_０＝（Ｇ_０，Ｙ_０），ｃ_１＝（Ｇ_１，Ｙ_１）に関して，ｍ_０ｍ_１に対応する暗号文がｃ_０ｃ_１＝（Ｇ_０Ｇ_１，Ｙ_０Ｙ_１）となる性質がある。即ち，暗号文に対応する平文の内容を知らなくても，暗号文さえ知っていれば，平文同士の演算結果に対応する暗号文を生成することができる（準同型性）。 This ElGamal cipher corresponds to m ₀ m ₁ with respect to cipher texts c ₀ = (G ₀ , Y ₀ ) and c ₁ = (G ₁ , Y ₁ ) corresponding to the two plaintexts m ₀ and m ₁ , respectively. The ciphertext is such that c ₀ c ₁ = (G ₀ G ₁ , Y ₀ Y ₁ ). That is, without knowing the contents of the plaintext corresponding to the ciphertext, the ciphertext corresponding to the operation result between the plaintexts can be generated as long as the ciphertext is known (homogeneity).

以上のような公開鍵暗号において，所定の者に対しては確定暗号として機能し，その他の者に対しては確率暗号として機能する機能暗号を考えると，確定暗号に確率暗号を関連付けて適用することで実現可能になる。そして一般の確率暗号において，暗号文に対応する平文が一致するかを判定するためには，確率暗号の秘密鍵を持つ必要があるので，この秘密鍵を，所定の者に対して確定暗号として機能するための機能暗号における検査鍵とすればよい。この検査鍵を用いると，検査鍵を持つ所定の者には，機能暗号が確定暗号として機能することになり，平文そのものを秘匿したまま２つの暗号文に対応する平文の一致性を検査することができることになる。   In the public key cryptography as described above, if a functional cipher that functions as a definite cipher for a predetermined person and functions as a stochastic cipher for others, a stochastic cipher is associated with the definitive cipher and applied. It becomes feasible. In general stochastic encryption, in order to determine whether the plaintext corresponding to the ciphertext matches, it is necessary to have a secret key for the stochastic encryption. What is necessary is just to use the inspection key in the functional encryption for functioning. If this check key is used, the function cipher will function as a definite cipher for a given person with the check key, and the plaintext corresponding to the two ciphertexts will be checked for consistency while keeping the plaintext itself secret. Will be able to.

例えば，確定暗号Ｅ_１について，
＜鍵生成＞
ｋをセキュリティパラメータとして（ｄ_１，ｅ_１）＝Ｇｅｎ_１（ｋ）によって，秘密鍵ｄ_１，公開鍵ｅ_１を生成する（Ｇｅｎ_１は適当な関数である。），
＜暗号化＞
平文ｍに対して，暗号文ｃ＝Ｅｎｃ_１（ｍ，ｅ_１）を得る（Ｅｎｃ_１は適当な暗号化関数である。），
＜復号化＞
暗号文ｃに対して，平文ｍ＝Ｄｅｃ_１（ｃ，ｄ_１）を得る（Ｄｅｃ_１は適当な暗号化関数である。）
ものとし，確率暗号Ｅ_２について，
＜鍵生成＞
ｋをセキュリティパラメータとして（ｄ_２，ｅ_２）＝Ｇｅｎ_２（ｋ）によって，秘密鍵ｄ_２，公開鍵ｅ_２を生成する（Ｇｅｎ_１は適当な関数である。），
＜暗号化＞
平文ｍに対して，暗号文ｃ＝Ｅｎｃ_２（ｍ，ｅ_２）を得る（Ｅｎｃ_２は適当な暗号化関数である。），
＜復号化＞
暗号文ｃに対して，平文ｍ＝Ｄｅｃ_２（ｃ，ｄ_２）を得る（Ｄｅｃ_２は適当な暗号化関数である。）
ものとする。この場合に，確定暗号Ｅ_１に確率暗号Ｅ_２を関連付けて適用することで，
＜鍵生成＞
ｋをセキュリティパラメータ，ｋ’をｋによって定めるパラメータとして，（ｄ_１，ｅ_１）＝Ｇｅｎ_１（ｋ），（ｄ_２，ｅ_２）＝Ｇｅｎ_２（ｋ’）によって，公開鍵ｅ_１，ｅ_２，秘密鍵ｄ_１，検査鍵ｄ_２を生成する，
＜暗号化＞
平文ｍに対して，暗号文ｃ＝Ｅｎｃ_２（Ｅｎｃ_１（ｍ，ｅ_１），ｅ_２）を得る，
＜復号化＞
暗号文ｃに対して，平文ｍ＝Ｄｅｃ_１（Ｄｅｃ_２（ｃ，ｄ_２），ｄ_１）を得る，
＜検査＞
検査鍵ｄ_２を用いて，２つの暗号文ｃ_０，ｃ_１に対して，Ｄｅｃ_２（ｃ_０，ｄ_２）＝Ｄｅｃ_２（ｃ_１，ｄ_２）の成立（平文の一致性）を検査することができる機能暗号とすることができる。
しかし，このような機能暗号では，一般に準同型性を持たない。
岡本龍明、山本博資著、「シリーズ／情報科学の数学 現代暗号」、第３版、産業図書株式会社、２０００年１月２５日、p.107-119 For example, for the final encryption E ₁
<Key generation>
Using k as a security parameter, (d ₁ , e ₁ ) = Gen ₁ (k) is used to generate a secret key d ₁ and a public key e ₁ (Gen ₁ is an appropriate function).
<Encryption>
For plaintext m, ciphertext c = Enc ₁ (m, e ₁ ) is obtained (Enc ₁ is an appropriate encryption function).
<Decryption>
For the ciphertext c, the plaintext m = Dec ₁ (c, d ₁ ) is obtained (Dec ₁ is an appropriate encryption function).
Suppose that the stochastic cipher E ₂
<Key generation>
Using k as a security parameter, (d ₂ , e ₂ ) = Gen ₂ (k) is used to generate a secret key d ₂ and a public key e ₂ (Gen ₁ is an appropriate function).
<Encryption>
For plaintext m, ciphertext c = Enc ₂ (m, e ₂ ) is obtained (Enc ₂ is a suitable encryption function),
<Decryption>
Against ciphertext c, the plaintext _{m = Dec 2 (c, d} 2) obtaining (Dec ₂ is a suitable encryption function.)
Shall. In this case, by applying the stochastic cipher E ₂ in association with the definitive cipher E ₁ ,
<Key generation>
With k being a security parameter and k ′ being a parameter determined by k, the public keys e ₁ , e are expressed by (d ₁ , e ₁ ) = Gen ₁ (k), (d ₂ , e ₂ ) = Gen ₂ (k ′). ₂ , generating a secret key d ₁ and a check key d ₂ ,
<Encryption>
For plaintext m, obtain ciphertext c = Enc ₂ (Enc ₁ (m, e ₁ ), e ₂ ),
<Decryption>
For ciphertext c, obtain plaintext m = Dec ₁ (Dec ₂ (c, d ₂ ), d ₁ ),
<Inspection>
Using the inspection key d ₂ , the establishment of Dec ₂ (c ₀ , d ₂ ) = Dec ₂ (c ₁ , d ₂ ) is checked for the _two ciphertexts c ₀ and c ₁ (plain text consistency). Function encryption that can be performed.
However, such functional encryption generally does not have homomorphism.
Okamoto Tatsuaki and Yamamoto Hiroshi, “Series / Mathematics of Information Science Modern Cryptography”, 3rd edition, Sangyo Tosho, January 25, 2000, p.107-119

そこで本発明は，以上の点に鑑みて、準同型性を有する機能暗号を実現する鍵生成装置、暗号化装置、検査装置、復号化装置並びに各装置をコンピュータ上で機能させる鍵生成プログラム、暗号化プログラム、検査プログラム、復号化プログラムを提供することを目的とする。   Therefore, in view of the above points, the present invention provides a key generation apparatus, encryption apparatus, inspection apparatus, decryption apparatus, and key generation program that causes each apparatus to function on a computer, a cipher that realizes functional encryption having homomorphism. An object of the present invention is to provide an encryption program, an inspection program, and a decryption program.

本発明の鍵生成装置は，上記の問題点を解決するものとして，少なくともＥ［Ｌ］（有限体上定義された楕円曲線Ｅ上の点Ｒであって、ＬＲ＝Ｏ〔Ｌは素数とし、Ｏは無限遠点とする。〕を満たす点Ｒの集合）の元Ｐ（但し元Ｐは、Ｅ［Ｌ］のフロベニウス〔Frobenius〕写像φ^ｎ〔ｎは正整数〕の非固有空間上における位数Ｌの巡回群の元とする。）を記憶する元記憶手段と、乱数（０以上Ｌ未満の整数）を秘密鍵ｘとして出力する秘密鍵生成手段と、秘密鍵生成手段において出力された秘密鍵ｘと、元記憶手段において記憶された元Ｐとで楕円スカラー倍演算Ｊ＝ｘＰを行い、この演算結果を検査鍵Ｊとして出力する検査鍵生成手段と、元記憶手段において記憶された元Ｐに対して線形変換Ψ（但し線形変換Ψは、Ｅ［Ｌ］から、フロベニウス写像φ^ｎの固有値λ^ｎに関する固有空間Ψ（Ｅ［Ｌ］）への準同型写像であって、Ψ＝const×（φ^ｎ−λ^ｎ）〔constは定数〕で定義される。）の演算を行い、この演算結果を公開鍵ｇとして出力する第１公開鍵生成手段と、検査鍵生成手段において出力された検査鍵Ｊに対して線形変換Ψの演算を行い、この演算結果を公開鍵ｙとして出力する第２公開鍵生成手段とを備えることを特徴としている。 The key generation device of the present invention solves the above-described problems by at least E [L] (the point R on the elliptic curve E defined on the finite field, LR = O [L is a prime number, O is a set of points R satisfying an infinite point], where the element P is a position on a non-eigenspace of a Frobenius map φ ⁿ [n is a positive integer] of E [L]. Original storage means for storing a number L of cyclic groups), a secret key generation means for outputting a random number (an integer of 0 or more and less than L) as a secret key x, and a secret output by the secret key generation means An ellipse scalar multiplication operation J = xP is performed on the key x and the element P stored in the original storage means, and an inspection key generation means for outputting the result of the calculation as the inspection key J, and an element P stored in the original storage means Linear transformation Ψ (however, linear transformation Ψ A homomorphism to eigenspace Ψ (E [L]) about the eigenvalues lambda ⁿ of the mapping ^{φ n, Ψ = const × (} φ n -λ n) [const is a constant] is defined.) Operation The first public key generation means for outputting the calculation result as the public key g, and the linear transformation Ψ is calculated for the check key J output from the check key generation means, and the calculation result is calculated as the public key y. And a second public key generating means for outputting as a feature.

この構成によれば、上記説明した機能暗号における鍵は次のように与えられる。秘密鍵ｘは、乱数（０以上Ｌ未満の整数）をもって与えられる。また、上記説明した機能暗号における検査鍵Ｊは、秘密鍵ｘと元記憶手段に記憶されるＥ［Ｌ］の元Ｐとから、楕円スカラー倍演算Ｊ＝ｘＰをもって与えられる。さらに公開鍵の１つである公開鍵ｇは、元記憶手段に記憶されるＥ［Ｌ］の元Ｐに線形変換Ψを施す演算ｇ＝Ψ（Ｐ）によって与えられる。加えて公開鍵の１つである公開鍵ｙは、検査鍵Ｊに線形変換Ψを施す演算ｇ＝Ψ（Ｊ）によって与えられる。   According to this configuration, the key in the functional encryption described above is given as follows. The secret key x is given with a random number (an integer greater than or equal to 0 and less than L). Also, the check key J in the functional encryption described above is given with the elliptic scalar multiplication J = xP from the secret key x and the element P of E [L] stored in the original storage means. Further, the public key g, which is one of the public keys, is given by an operation g = Ψ (P) that performs a linear transformation Ψ on the element P of E [L] stored in the original storage means. In addition, the public key y, which is one of the public keys, is given by an operation g = Ψ (J) that performs a linear transformation Ψ on the check key J.

また、本発明の鍵生成装置において、好ましくは、Ｅ［Ｌ］上の元Ｐに対して、演算φ^ｎＰ−λ_ｉ ^ｎＰ（但しｉ＝１、２とし、λ_１ ^ｎ、λ_２ ^ｎは、それぞれＥ［Ｌ］のフロベニウス写像φ^ｎの固有値とする。）を行い、各演算結果を出力する元演算手段と、元演算手段によって出力された各演算結果の少なくとも１つが無限遠点であるかを判定する元演算結果判定手段とを備え、鍵生成装置の元記憶手段が、元演算結果判定手段において、元演算手段によって出力された各演算結果がともに無限遠点Ｏにならないと判定された上記元Ｐを記憶するものとする。 In the key generation device of the present invention, it is preferable that the operation φ ⁿ P−λ _i ⁿ P (where i = 1, 2 and λ ₁ ⁿ , λ ₂ ⁿ for the element P on E [L]. Are each an eigenvalue of the Frobenius map φ ⁿ of E [L]), and at least one of the operation results output by the original operation means is an infinite point. Original calculation result determination means for determining whether or not there is an original storage means of the key generation device, wherein the original calculation result determination means determines that each of the calculation results output by the original calculation means is not the infinity point O. It is assumed that the generated element P is stored.

この構成において記憶される元Ｐは、必ずＥ［Ｌ］のフロベニウス写像φの非固有空間上の元として与えられる。   The element P stored in this configuration is always given as an element on the non-eigenspace of the F [11] Frobenius map φ.

次に本発明の暗号化装置は，上記の問題点を解決するものとして，少なくとも平文ｍ（但し平文ｍは、Ｅ［Ｌ］のフロベニウス写像φ^ｎの固有空間上の元とする。）と、上記記載の鍵生成装置で出力された公開鍵ｇ及び公開鍵ｙとを記憶する暗号化要素記憶手段と、乱数ｔ（但し、０以上Ｌ未満の整数とする。）を出力する乱数生成手段と、暗号化要素記憶手段に記憶された公開鍵ｇと、乱数生成手段において出力された乱数ｔとで楕円スカラー倍演算Ｇ＝ｔｇを行い、暗号化要素記憶手段に記憶された公開鍵ｙと、乱数生成手段において出力された乱数ｔと、暗号化要素記憶手段に記憶された平文ｍとで楕円加算及び楕円スカラー倍による演算Ｙ＝ｍ＋δｔｙ（但しδは、１または−１とする。）を行い、これらの演算結果Ｇと演算結果Ｙとを暗号文ｃ＝（Ｇ、Ｙ）として出力する暗号化手段とを備えることを特徴としている。 Encrypting device of the present invention then, as to solve the above problems, (the proviso plaintext m, the original eigenspace Frobenius mapping phi ⁿ of E [L].) At least the plaintext m and, An encryption element storage means for storing the public key g and the public key y output by the key generation apparatus described above, and a random number generation means for outputting a random number t (provided that the integer is 0 or more and less than L). The elliptic key multiplication operation G = tg is performed on the public key g stored in the encryption element storage unit and the random number t output in the random number generation unit, and the public key y stored in the encryption element storage unit is obtained. An operation Y = m + δty (where δ is set to 1 or −1) by elliptic addition and elliptic scalar multiplication is performed on the random number t output from the random number generation unit and the plaintext m stored in the encryption element storage unit. These calculation result G and calculation result Y And ciphertext c = (G, Y).

この構成によれば、上記説明した機能暗号における暗号文は次のように与えられる。暗号文ｃを構成する２つの要素のうち、一方の要素Ｇは、乱数ｔと公開鍵ｇとの楕円スカラー倍演算Ｇ＝ｔｇによって与えられる。また、他方の要素Ｙは、平文ｍ、公開鍵ｙ及び乱数ｔとの間において楕円加算と楕円スカラー倍による演算Ｙ＝ｍ＋δｔｙによって与えられる。なおδは、楕円加算される演算子の符号を与えるパラメータであり、１または−１である。即ち、楕円加算と楕円スカラー倍による演算Ｙ＝ｍ＋δｔｙは、演算Ｙ＝ｍ＋（ｔｙ）または演算Ｙ＝ｍ＋（−ｔｙ）のいずれか一方である。   According to this configuration, the ciphertext in the functional cipher described above is given as follows. Of the two elements constituting the ciphertext c, one element G is given by an elliptic scalar multiplication G = tg of the random number t and the public key g. The other element Y is given by the operation Y = m + δty by elliptic addition and elliptic scalar multiplication between the plaintext m, the public key y and the random number t. Note that δ is a parameter that gives the sign of the operator to be elliptically added, and is 1 or -1. In other words, the calculation Y = m + δty by ellipse addition and elliptic scalar multiplication is either the calculation Y = m + (ty) or the calculation Y = m + (− ty).

さらに本発明の検査装置は，上記の問題点を解決するものとして，少なくとも同一または別個の上記暗号化装置で出力された２つの暗号文ｃ_１＝（Ｇ_１、Ｙ_１）及びｃ_２＝（Ｇ_２、Ｙ_２）と、上記記載の鍵生成装置において記憶された元Ｐ及び上記記載の鍵生成装置において出力された検査鍵Ｊとを記憶する検査要素記憶手段と、検査要素記憶手段に記憶された暗号文ｃ_１、ｃ_２との間において、検査要素記憶手段に記憶された元Ｐ、検査鍵Ｊを用いて、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）を演算し、各演算結果をそれぞれ出力するペアリング演算手段と、ペアリング演算手段によって出力された各演算結果の一致を判定し、この判定結果を出力するペアリング演算結果判定手段とを備えることを特徴としている。 Furthermore, in order to solve the above-described problem, the inspection device of the present invention is configured to at least two ciphertexts c ₁ = (G ₁ , Y ₁ ) and c ₂ = (( ₂ ) output by the same or different encryption devices. G ₂ , Y ₂ ), the element P stored in the key generation apparatus described above and the inspection key J output in the key generation apparatus described above, and stored in the inspection element storage means Paired e _L (δ (G ₁ -G ₂ ), J) and a pair using the original P and the inspection key J stored in the inspection element storage means between the encrypted ciphertexts c ₁ and c ₂ The ring e _L (Y ₁ −Y ₂ , P) is calculated, and a pairing calculation unit that outputs each calculation result and a match between the calculation results output by the pairing calculation unit are determined. Judgment result judgment for output It is characterized in that it comprises a stage.

この構成によれば、上記説明した機能暗号における検査は次のように処理される。２つの暗号文ｃ_１＝（Ｇ_１、Ｙ_１）及びｃ_２＝（Ｇ_２、Ｙ_２）を構成する各要素Ｇ_１、Ｙ_１、Ｇ_２、Ｙ_２及び元Ｐ、検査鍵Ｊを用いて、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）を演算し、この各演算結果が一致するか否かを判定する。この判定によって２つの暗号文に対応する２つの平文が一致するかが検査されることになる。なお、パラメータδは、上記暗号化装置で説明したδに対応する。従って、δ＝１の場合はペアリングｅ_Ｌ（Ｇ_１−Ｇ_２、Ｊ）であり、δ＝−１の場合はペアリングｅ_Ｌ（−（Ｇ_１−Ｇ_２）、Ｊ）である。 According to this configuration, the check in the functional encryption described above is processed as follows. Using each of the elements G ₁ , Y ₁ , G ₂ , Y ₂ and the element P and the check key J that constitute _two ciphertexts c ₁ = (G ₁ , Y ₁ ) and c ₂ = (G ₂ , Y ₂ ) Then, the pairing e _L (δ (G ₁ -G ₂ ), J) and the pairing e _L (Y ₁ -Y ₂ , P) are calculated, and it is determined whether or not the respective calculation results match. By this determination, it is checked whether two plaintexts corresponding to the two ciphertexts match. The parameter δ corresponds to δ described in the encryption apparatus. Therefore, when δ = 1, it is pairing e _L (G ₁ -G ₂ , J), and when δ = −1, it is pairing e _L (-(G ₁ -G ₂ ), J).

また、本発明の検査装置において、好ましくは、検査要素記憶手段がＥ［Ｌ］の無限遠点Ｏ以外の元Ｓを記憶し、検査要素記憶手段に記憶された元Ｓと検査要素記憶手段に記憶された元Ｐとの間のペアリングｅ_Ｌ（Ｓ、Ｐ）を演算し、この演算結果を出力する検査ペアリング演算手段と、検査ペアリング演算手段で演算されたペアリングｅ_Ｌ（Ｓ、Ｐ）の値が単位元１であるかを判定し、この判定結果を出力する部分群上元判定手段とを備えるものとする。 In the inspection apparatus of the present invention, preferably, the inspection element storage means stores elements S other than the infinity point O of E [L], and the element S stored in the inspection element storage means and the inspection element storage means pairing e _L between the stored original P _(S, P) is calculated and a test pairing computation means for outputting the operation result, the inspection paired calculated by the pairing computation means e _{L (S} , P) is determined to include a unit element 1 for determining whether the value of the unit element 1 is output and outputting the determination result.

この構成とすることで、公開鍵として公開される元Ｐが、Ｅ［Ｌ］上の非固有空間上の元が生成する位数Ｌの巡回群に属するか否かが判定される。   With this configuration, it is determined whether or not the element P disclosed as a public key belongs to a cyclic group of order L generated by elements in the non-unique space on E [L].

加えて本発明の復号化装置は、少なくとも上記記載の鍵生成装置において出力された秘密鍵ｘと、上記記載の暗号化装置において出力された暗号文ｃ＝（Ｇ、Ｙ）とを記憶する復号化要素記憶手段と、復号化要素記憶手段に記憶された秘密鍵ｘ及び暗号文ｃ＝（Ｇ、Ｙ）の間で楕円スカラー倍及び楕円減算による演算ｍ＝Ｙ−δｘＧを行い、この演算結果を平文ｍとして出力する復号化手段とを備えることを特徴としている。   In addition, the decryption device of the present invention stores at least the secret key x output from the key generation device described above and the ciphertext c = (G, Y) output from the encryption device described above. The calculation result m = Y−δxG by elliptic scalar multiplication and ellipse subtraction is performed between the encryption element storage means and the secret key x and ciphertext c = (G, Y) stored in the decryption element storage means. And decryption means for outputting as plaintext m.

この構成によれば、上記説明した機能暗号における平文ｍは、暗号文ｃの要素Ｇ、Ｙと秘密鍵ｘとの間で楕円スカラー倍及び楕円減算による演算ｍ＝Ｙ−δｘＧによって与えられる。なお、パラメータδは、上記暗号化装置で説明したδに対応する。従って、δ＝１の場合は演算ｍ＝Ｙ−ｘＧであり、δ＝−１の場合は、演算ｍ＝Ｙ−（−ｘＧ）である。   According to this configuration, the plaintext m in the functional cipher described above is given by the operation m = Y−δxG by elliptic scalar multiplication and elliptic subtraction between the elements G and Y of the ciphertext c and the secret key x. The parameter δ corresponds to δ described in the encryption apparatus. Accordingly, the calculation m = Y−xG when δ = 1, and the calculation m = Y − (− xG) when δ = −1.

また、上記各装置をコンピュータ上で機能させる鍵生成プログラム、暗号化プログラム、検査プログラム、復号化プログラムによって、コンピュータを上記各装置として作動処理させることができる。   Further, the computer can be operated as each device by a key generation program, an encryption program, an inspection program, and a decryption program that cause the devices to function on the computer.

本発明の鍵生成装置によれば、上記記載の機能暗号における公開鍵、秘密鍵、検査鍵を生成することができる。また、本発明の暗号化装置によれば、鍵生成装置において生成された公開鍵などを用いることによって、機能暗号における平文から暗号文への暗号化ができる。また、この暗号化について、２つの平文ｍ_０，ｍ_１のそれぞれに対応する暗号文ｃ_１＝（Ｇ_１，Ｙ_１），ｃ_２＝（Ｇ_２，Ｙ_２）に関して，ｃ_１＋ｃ_２＝（Ｇ_１＋Ｇ_２，Ｙ_１＋Ｙ_２）となる性質がある。即ち，暗号文に対応する平文の内容を知らなくても，暗号文さえ知っていれば，平文同士の演算結果に対応する暗号文を生成することができる。従って、準同型性を有する機能暗号が実現される。さらに、本発明の検査装置によれば、暗号化装置によって暗号化された２つの暗号文の間において、平文そのものを秘匿したまま２つの暗号文に対応する平文の一致性を検査することができることになる。加えて、本発明の復号化装置によれば、鍵生成装置において生成された秘密鍵を用いることによって、機能暗号における暗号文から平文への復号化ができる。 According to the key generation device of the present invention, it is possible to generate a public key, a secret key, and a check key in the functional encryption described above. Further, according to the encryption apparatus of the present invention, encryption from plaintext to ciphertext in functional encryption can be performed by using a public key generated by the key generation apparatus. Also, for this encryption, c ₁ + c ₂ = for cipher text c ₁ = (G ₁ , Y ₁ ), c ₂ = (G ₂ , Y ₂ ) corresponding to each of the two plaintexts m ₀ and m _1. (G ₁ + G ₂ , Y ₁ + Y ₂ ) That is, even if the plaintext corresponding to the ciphertext is not known, the ciphertext corresponding to the operation result between the plaintexts can be generated as long as the ciphertext is known. Therefore, functional encryption having homomorphism is realized. Furthermore, according to the inspection apparatus of the present invention, it is possible to inspect the coincidence of plaintexts corresponding to two ciphertexts while keeping the plaintext itself secret between the two ciphertexts encrypted by the encryption device. become. In addition, according to the decryption apparatus of the present invention, the ciphertext in the functional cipher can be decrypted into the plaintext by using the secret key generated in the key generation apparatus.

まず、本発明の各装置において上記構成をとる理論背景を説明する。その上で、本発明の各装置の実施形態を説明する。
＜理論背景＞
まず，体Ｋ上に定義された楕円曲線について説明する。
一般に，体Ｋ上に定義された楕円曲線とは，ａ_１，ａ_２，ａ_３，ａ_４，ａ_６∈Ｋとして，

を満たす点（ｘ，ｙ）の集合に無限遠点Ｏと呼ばれる点を付加したものである。体Ｋ上に定義された楕円曲線上の任意の２点に対して楕円加算と呼ばれる二項演算＋及び楕円曲線上の任意の１点に対して楕円逆元と呼ばれる単項演算−がそれぞれ有限回のＫの体演算により定義できる。また、以下の性質を持つことにより，体Ｋ上に定義された楕円曲線は楕円加算に関して群をなす。 First, the theoretical background that takes the above configuration in each apparatus of the present invention will be described. Then, embodiments of each device of the present invention will be described.
<Theoretical background>
First, the elliptic curve defined on the body K will be described.
In general, an elliptic curve defined on a field K is defined as a ₁ , a ₂ , a ₃ , a ₄ , a ₆ ∈K,

A point called an infinite point O is added to a set of points (x, y) that satisfy the above. A binary operation called elliptic addition for an arbitrary two points on an elliptic curve defined on the field K and a unary operation called an elliptic inverse for an arbitrary point on the elliptic curve are performed finite times. It can be defined by the field operation of K. Further, due to the following properties, the elliptic curve defined on the field K forms a group with respect to elliptic addition.

［１］体Ｋ上に定義された楕円曲線上の任意の２点Ｒ_１，Ｒ_２に対して，Ｒ_１＋Ｒ_２は楕円曲線上の点である。 [1] For any two points R ₁ and R ₂ on the elliptic curve defined on the body K, R ₁ + R ₂ is a point on the elliptic curve.

［２］体Ｋ上に定義された楕円曲線上の任意の３点Ｒ_１，Ｒ_２，Ｒ_３に対して，Ｒ_１＋（Ｒ_２＋Ｒ_３）＝（Ｒ_１＋Ｒ_２）＋Ｒ_３が成り立つ（結合律）。 [2] R ₁ + (R ₂ + R ₃ ) = (R ₁ + R ₂ ) + R ₃ holds for any three points R ₁ , R ₂ , R ₃ on the elliptic curve defined on the field K (Combination law).

［３］無限遠点Ｏに関して，体Ｋ上に定義された楕円曲線上の任意の点Ｒ_１に対して，Ｒ_１＋Ｏ＝Ｏ＋Ｒ_１＝Ｒ_１が成り立つ（単位元の存在）。 [3] For an infinite point O, R ₁ + O = O + R ₁ = R ₁ holds for an arbitrary point R ₁ on the elliptic curve defined on the field K (existence of unit element).

［４］体Ｋ上に定義された楕円曲線上の任意の点Ｒ_１に対して逆元（−Ｒ_１）が存在してＲ_１＋（−Ｒ_１）＝（−Ｒ_１）＋Ｒ_１＝Ｏが成立する（逆元の存在）。 [4] An inverse element (−R ₁ ) exists for an arbitrary point R ₁ on the elliptic curve defined on the body K, and R ₁ + (− R ₁ ) = (− R ₁ ) + R ₁ = O is established (inverse existence).

［５］体Ｋ上に定義された楕円曲線上の任意の２点Ｒ_１，Ｒ_２に対して，Ｒ_１＋Ｒ_２＝Ｒ_２＋Ｒ_１が成り立つ（交換律）。 [5] R ₁ + R ₂ = R ₂ + R ₁ holds for any two points R ₁ and R ₂ on the elliptic curve defined on the body K (exchange rule).

体Ｋ上に定義された楕円曲線上の１点Ｒがあれば，楕円加算を用いて２Ｒ＝Ｒ＋Ｒとなる体Ｋ上に定義された楕円曲線上の点２Ｒを作ることができる。同様にして，３Ｒ＝２Ｒ＋Ｒなどとすることにより，任意の正整数ｈに対してｈＲを定義することができる。また，任意の正整数ｈに対して（−ｈ）Ｒ＝ｈ（−Ｒ）及び０Ｒ＝Ｏと定義すると，結局任意の整数ｈに対してｈＲを定義することができる。このように整数ｈと体Ｋ上に定義された楕円曲線上の点Ｒから点ｈＲを求めることを楕円スカラー倍と呼ぶ。また，二項演算−をＲ_１−Ｒ_２＝Ｒ_１＋（−Ｒ_２）として定義し，これを楕円減算と呼ぶ。 If there is one point R on the elliptic curve defined on the field K, the point 2R on the elliptic curve defined on the field K such that 2R = R + R can be created using ellipse addition. Similarly, by setting 3R = 2R + R, etc., hR can be defined for any positive integer h. If (−h) R = h (−R) and 0R = O are defined for an arbitrary positive integer h, hR can be defined for an arbitrary integer h. Thus, obtaining the point hR from the integer h and the point R on the elliptic curve defined on the field K is called elliptic scalar multiplication. Further, the binary operation − is defined as R ₁ −R ₂ = R ₁ + (− R ₂ ), and this is called elliptic subtraction.

特に体Ｋが有限体であってＫ上の点，あるいは体Ｋの有限次拡大上の点Ｒが数１に表される楕円曲線上の点であるとき，点Ｒは有限巡回群を形成し，これを用いて暗号系など（例えば、楕円ＥｌＧａｍａｌ暗号）を構成することが可能になる。このような暗号系などでは，楕円加算や楕円スカラー倍が効率的に計算可能な楕円曲線を用いる。   In particular, when the field K is a finite field and a point on K, or a point R on the finite degree expansion of the field K is a point on the elliptic curve expressed by Equation 1, the point R forms a finite cyclic group. Using this, it becomes possible to construct an encryption system (for example, elliptic ElGamal encryption). In such a cryptographic system, an elliptic curve that can be efficiently calculated by elliptic addition and elliptic scalar multiplication is used.

ここでＬを素数とし，有限体上定義された楕円曲線Ｅ（以下、特に断りなく楕円曲線といえば、有限体上に定義された楕円曲線をいうものとする。）上の点Ｒのうち，ＬＲ＝Ｏを満たす点Ｒの集合をＥ［Ｌ］とする。集合Ｅ［Ｌ］は以下の性質を有するので，集合Ｅ［Ｌ］は楕円加算を加法とし楕円スカラー倍をスカラー倍とする体Ｚ_Ｌ上の線形空間である。 Here, L is a prime number, and among the points R on the elliptic curve E defined on the finite field (hereinafter, the elliptic curve defined on the finite field is referred to as the elliptic curve unless otherwise specified). A set of points R satisfying LR = O is defined as E [L]. Since the set E [L] has the following properties, the set E [L] is a linear space on the field Z _{L in} which the addition of ellipse is added and the elliptic scalar multiplication is the scalar multiplication.

楕円加算に関しては，
［１］Ｅ［Ｌ］の任意の２点Ｒ_１，Ｒ_２に対して，楕円加算Ｒ_１＋Ｒ_２はＥ［Ｌ］上の点である。 For ellipse addition:
[1] for any two points _R 1, _{R 2} of E [L], the elliptic curve addition _R 1 + _{R 2} is a point on E [L].

［２］楕円加算の結合律は，Ｅ［Ｌ］でも成り立つ。   [2] The coupling rule of ellipse addition also holds for E [L].

［３］楕円加算の交換律は，Ｅ［Ｌ］でも成り立つ。   [3] The exchange rule of ellipse addition also holds for E [L].

［４］無限遠点ＯはＥ［Ｌ］上の点であり，Ｅ［Ｌ］上の任意の点Ｒ_１に対して，Ｒ_１＋Ｏ＝Ｏ＋Ｒ_１＝Ｒ_１が成り立つ。 [4] point at infinity O is a point on E [L], with respect to any point _{R 1} on _{E [L], R 1 +} O = O + R 1 = R 1 holds.

［５］Ｅ［Ｌ］上の任意の点Ｒ_１に対して逆元（−Ｒ_１）はＥ［Ｌ］上に唯一存在する。 [5] For any point R ₁ on E [L], the inverse element (−R ₁ ) exists only on E [L].

楕円スカラー倍に関しては，
［１］Ｅ［Ｌ］上の任意の点Ｒ_１及び体Ｚ_Ｌの任意の元ｈ_１に対して，楕円スカラー倍ｈ_１Ｒ_１はＥ［Ｌ］上の点である。 For elliptic scalar multiplication,
[1] For an arbitrary point R ₁ on E [L] and an arbitrary element h ₁ of the field Z _L , the elliptic scalar multiplication h ₁ R ₁ is a point on E [L].

［２］Ｅ［Ｌ］上の任意の点Ｒ_１及び体Ｚ_Ｌの任意の２元ｈ_１，ｈ_２に対して，（ｈ_１＋ｈ_２）Ｒ_１＝ｈ_１Ｒ_１＋ｈ_２Ｒ_１が成り立つ。 [2] with respect to E [L] Any binary _h 1 of any point _{R 1} and the body _{Z L} on, _{h 2,} is _{(h 1 + h 2) R} 1 = h 1 R 1 + h 2 R 1 It holds.

［３］Ｅ［Ｌ］上の任意の２点Ｒ_１，Ｒ_２及び体Ｚ_Ｌの任意の元ｈ_１に対して，ｈ_１（Ｒ_１＋Ｒ_２）＝ｈ_１Ｒ_１＋ｈ_１Ｒ_２が成り立つ。 [3] For any two points R ₁ and R ₂ on E [L] and any element h ₁ of the body Z _L , h ₁ (R ₁ + R ₂ ) = h ₁ R ₁ + h ₁ R ₂ is It holds.

［４］Ｅ［Ｌ］上の任意の点Ｒ_１及び体Ｚ_Ｌの任意の２元ｈ_１，ｈ_２に対して，（ｈ_１ｈ_２）Ｒ_１＝ｈ_１（ｈ_２ Ｒ_１）が成り立つ。 [4] For any point R ₁ on E [L] and any binary h ₁ , h _{2 of the} field Z _L , (h ₁ h ₂ ) R ₁ = h ₁ (h ₂ R ₁ ) It holds.

［５］Ｅ［Ｌ］上の任意の点Ｒ_１及び体Ｚ_Ｌの任意の乗法単位元１に対して，１Ｒ_１＝Ｒ_１が成り立つ。 [5] For any point R ₁ on E [L] and any multiplicative unit element ₁ of the field Z _L , 1R ₁ = R ₁ holds.

なお、点ＲがＥ［Ｌ］上の点であるという場合、点Ｒが集合Ｅ［Ｌ］に属するという側面から、Ｅ［Ｌ］の元Ｒと表現することもある。この明細書では、説明の都合として点Ｒと元Ｒという表現を適宜用いることにする。また、双方の表現で意味内容が格別異なるものではなく、本発明の本質には全く影響するものではない。   When the point R is a point on E [L], it may be expressed as an element R of E [L] from the aspect that the point R belongs to the set E [L]. In this specification, the expressions R and R are used as appropriate for convenience of explanation. In addition, the meanings and contents of the two expressions are not particularly different, and the essence of the present invention is not affected at all.

次に，有限体のフロベニウス写像を説明する。
ここでｑを素数またはその冪とする。有限体ＧＦ（ｑ^ｍ）上の元ｘを表現するのに，有限体ＧＦ（ｑ）上のｍ個の元の組ｘ_ｉ（０≦ｉ＜ｍ）を用いることができる。ｍ個のｘ_ｉ∈ＧＦ（ｑ）（０≦ｉ＜ｍ）の組をＧＦ（ｑ^ｍ）上の元に対応させる代表的な方法は，ｍ個のα_ｉ∈ＧＦ（ｑ^ｍ）（０≦ｉ＜ｍ）を使って，

なる対応を取るものである。この時，α_ｉ∈ＧＦ（ｑ^ｍ）（０≦ｉ＜ｍ）は，ＧＦ（ｑ）^ｍとＧＦ（ｑ^ｍ）とで１対１対応が取れるような特別な組み合わせであるとする。このような性質を持つα_ｉ∈ＧＦ（ｑ^ｍ）（０≦ｉ＜ｍ）を基底と呼ぶ。 Next, the Frobenius map of a finite field is explained.
Here, q is a prime number or its power. A set of m elements x _i (0 ≦ i <m) on the finite field GF (q) can be used to represent the element x on the finite field GF (q ^m ). A typical method for associating a set of m x _i εGF (q) (0 ≦ i <m) with an element on GF (q ^m ) is m α _i εGF (q ^m ) (0 ≦ i <m),

Is to take a response. At this time, α _i ∈ GF (q ^m ) (0 ≦ i <m) is assumed to be a special combination in which one-to-one correspondence can be obtained between GF (q) ^m and GF (q ^m ). Α _i εGF (q ^m ) (0 ≦ i <m) having such properties is called a base.

ところで二項定理によれば，

である。右辺の各項の係数は二項係数と呼ばれる定数で，ｉ≠０かつｉ≠ｑの場合，必ずｑの倍数となる。α，β∈ＧＦ（ｑ^ｍ）の時は，ｑの整数倍は０と同値であるから，

が成り立つ。更に，ｃ∈ＧＦ（ｑ）なるｃに関して，ｃ^ｑ＝ｃが成立する。 By the way, according to the binomial theorem,

It is. The coefficient of each term on the right side is a constant called a binomial coefficient, and is always a multiple of q when i ≠ 0 and i ≠ q. When α, β∈GF (q ^m ), the integer multiple of q is equivalent to 0.

Holds. Furthermore, c ^q = c holds for c where c∈GF (q).

一般に，α_１，α_２，・・・，α_ｎを不定元とする任意のＧＦ（ｑ）係数有利式ｆ（α_１，α_２，・・・，α_ｎ）に対して，

が成立する。従って，

なる時，数２は、

と表せる。そこで事前に

なるｃ_ｉｊ∈ＧＦ（ｑ）が求められていれば，

によって，元の基底α_ｉを用いたｘ^ｑの表現が得られる。即ち，ｘ∈ＧＦ（ｑ^ｍ）を表現するベクトル（ｘ_ｉ）に行列（ｃ_ｉｊ）を掛けるだけでｘ^ｑを表現するベクトルが得られる。 In general, alpha _1, alpha _2, · · ·, any GF (q) coefficient advantageous equation f for the alpha _n and indeterminate _{(α 1, α 2, ···} , α n) with respect to,

Is established. Therefore,

Then the number 2 is

It can be expressed. So in advance

If c _ij ∈GF (q) is obtained,

^Gives a representation of x ^q using the original basis α _i . That is, a vector expressing x ^q can be obtained by simply multiplying the vector (x _i ) expressing x∈GF (q ^m ) by the matrix (c _ij ).

この演算コストは，一般には，ＧＦ（ｑ^ｍ）上の乗算１回分の演算コストとほぼ等しい。また，行列（ｃ_ｉｊ）^ｎ（ｎ＝２，３，・・・）を事前に求めておけば，行列（ｃ_ｉｊ）^ｎを掛けるだけで，ｘ^ｗ（但しｗ＝ｑ^ｎとする。）を表現するベクトルを求めることができる。あるいは逆行列（ｃ_ｉｊ）^−１を事前に求めておけば，逆行列（ｃ_ｉｊ）^−１を掛けるだけでｘ^１／ｑを表現するベクトルを得られる。従って，一般の整数ｎに対して，ｘ^ｗの演算コストは一般にＧＦ（ｑ^ｍ）上の乗算１回分の演算コストに等しくなる。さらに，行列（ｃ_ｉｊ）が簡潔に表現できる特別な基底が存在し，この基底を採用した場合，ｘ^ｗの演算コストはＧＦ（ｑ^ｍ）上の乗算と比較して無視できるほどに小さいものとなる。
なお、ＧＦ（ｑ^ｍ）上の元ｘからｘ^ｑへの写像をフロベニウス写像と呼び，整数ｎに関して，ｘからｘ^ｗへの写像をｑ^ｎ乗フロベニウス写像と呼ぶ。 This calculation cost is generally almost equal to the calculation cost for one multiplication on GF (q ^m ). In addition, the matrix ^{_{(c ij) n (n =}} 2,3, ···) if seeking to advance, only multiply matrices _{^{(c ij) n, x w}} ( and provided that w = ^{q n.)} Can be obtained. Alternatively, if an inverse matrix (c _ij ) ⁻¹ is obtained in advance, a vector expressing x ^{1 / q} can be obtained by simply multiplying the inverse matrix (c _ij ) ⁻¹ . Thus, for general integer n, calculating the cost of x ^w is generally equal to GF (q ^m) multiplied batch of computational cost on. Furthermore, there is a special base that can express the matrix (c _ij ) succinctly, and when this base is adopted, the operation cost of x ^w is negligibly small compared with the multiplication on GF (q ^m ). It becomes.
Incidentally, it referred to as Frobenius mapping mapping to ^{x q} from the original x on GF ^{(q m),} with respect to the integer n, is referred to as ^{q n-th} power Frobenius map mapping to ^{x w} from x.

次に，楕円曲線のフロベニウス写像について説明する。
ｍを整数，ｑを素数またはその冪とする。有限体ＧＦ（ｑ）上に定義された楕円曲線

（但し，ａ_１，ａ_２，ａ_３，ａ_４，ａ_６∈ＧＦ（ｑ）とする。）上のＧＦ（ｑ^ｍ）有理点Ｒに対して，

なるφを楕円曲線のフロベニウス写像と呼ぶ。有限体のフロベニウス写像の数５の性質により，点Ｒが楕円曲線Ｅ／ＧＦ（ｑ）上の点であるならば，点φＲも楕円曲線Ｅ／ＧＦ（ｑ）上の点である。一般に楕円曲線Ｅ／ＧＦ（ｑ）上の点の楕円加算及び楕円スカラー倍は，与えられる点の座標に関するＧＦ（ｑ）係数有理写像で与えられる。従って，有限体のフロベニウス写像の数５の性質から，下記の性質が成り立つので，フロベニウス写像φは線形空間Ｅ［Ｌ］の線形変換である。 Next, the Frobenius map of an elliptic curve will be described.
Let m be an integer and q be a prime number or its power. Elliptic curve defined on finite field GF (q)

(Note that a ₁ , a ₂ , a ₃ , a ₄ , a ₆ ∈ GF (q).) For GF (q ^m ) rational point R on

This φ is called the Frobenius map of an elliptic curve. Due to the property of the Frobenius map of the finite field, if the point R is a point on the elliptic curve E / GF (q), the point φR is also a point on the elliptic curve E / GF (q). In general, the elliptic addition and elliptic scalar multiplication of points on the elliptic curve E / GF (q) are given by the GF (q) coefficient rational mapping with respect to the coordinates of the given points. Accordingly, since the following property holds from the property of the Frobenius map of the finite field, the Frobenius map φ is a linear transformation of the linear space E [L].

［１］楕円曲線のフロベニウス写像は，Ｅ／ＧＦ（ｑ）上の自己準同型写像であり，φ（Ｒ_１＋Ｒ_２）＝（φＲ_１）＋（φＲ_２）が成り立つ。 [1] The Frobenius map of an elliptic curve is a self-homogeneous map on E / GF (q), and φ (R ₁ + R ₂ ) = (φR ₁ ) + (φR ₂ ) holds.

［２］楕円スカラー倍と楕円曲線のフロベニウス写像は可換であり，φ（ｈＲ）＝ｈ（φＲ）が成り立つ。   [2] The Frobenius map of the elliptic scalar multiplication and the elliptic curve is commutative, and φ (hR) = h (φR) holds.

［３］特に，Ｅ［Ｌ］上の点はフロベニウス写像によってＥ［Ｌ］の点に移る。つまり，∀Ｒ∈Ｅ［Ｌ］，Ｌ（φＲ）＝φ（ＬＲ）＝Ｏである（記号∀αは、任意のαを表す。）。   [3] In particular, the point on E [L] moves to the point of E [L] by the Frobenius map. That is, ∀RεE [L], L (φR) = φ (LR) = O (the symbol ∀α represents an arbitrary α).

ｎを整数として，一般にｑ^ｎ乗フロベニウス写像φ^ｎは，

と定義されるが，上記の性質は，ｑ^ｎ乗フロベニウス写像φ^ｎでも同様に成立する。 In general, n is an integer, and the q ⁿ power Frobenius map φ ⁿ is

Although defined as the above properties are satisfied similarly in q ^n-th power Frobenius map phi ^n.

次に，フロベニウス写像の固有空間と射影について説明する。
（参考文献１） イアン・Ｆ・ブラケ、ガディエル・セロッシ、ナイジェル・Ｐ・スマート＝著、鈴木治郎＝訳、「楕円曲線暗号」、出版＝ピアソン・エデュケーション、ISBN4-89471-431-0、p112 Next, the eigenspace and projection of the Frobenius map are explained.
(Reference 1) Ian F. Brake, Gadiel Selossi, Nigel P. Smart = Author, Jiro Suzuki = Translation, "Elliptic Curve Cryptography", Publishing = Pearson Education, ISBN4-89471-431-0, p112

参考文献１において示されるように、フロベニウス写像φは数１０で表される楕円曲線上の任意のＧＦ（ｑ^ｍ）有理点Ｒに対して、

を満たす（但しｔは、ｑ、ａ_１，ａ_２，ａ_３，ａ_４，ａ_６によって一意に決定される整数である。）。フロベニウス写像φに関する多項式φ^２−ｔφ＋ｑを特性多項式と呼ぶ。 As shown in Reference 1, the Frobenius map φ is given to an arbitrary GF (q ^m ) rational point R on the elliptic curve expressed by Equation 10,

(Where t is an integer uniquely determined by q, a ₁ , a ₂ , a ₃ , a ₄ , and a ₆ ). A polynomial φ ² −tφ + q related to the Frobenius map φ is called a characteristic polynomial.

ここで楕円曲線をＥ［Ｌ］（但しＬは素数とする。）に限定すると、楕円スカラー倍はＺ_Ｌで考えればよい。Ｚ_Ｌ係数の特性多項式は分解体上で、

と分解でき、λ_１、λ_２をフロベニウス写像φの固有値と呼ぶ。以下においては、λ_１、λ_２∈Ｚ_Ｌでかつλ_１≠λ_２である場合を考える。線形空間であるＥ［Ｌ］の線形変換Ψ_λ１、Ψ_λ２（但し、添え字λ１及びλ２は、λ_１及びλ_２を表す。）を

と定義すると、任意のＥ［Ｌ］上の点Ｒに対して、

なるＥ［Ｌ］上の点Ｐ，Ｑが存在し、点Ｒは、

と一意に分解できる。 Now the elliptic curve E [L] (where L is a prime number.) Limited to, elliptical scalar multiplication may be considered in Z _L. The characteristic polynomial of the Z _L coefficient is on the decomposition,

Λ ₁ and λ ₂ are called eigenvalues of the Frobenius map φ. In the following, let us consider the case where λ ₁ , λ ₂ εZ _L and λ ₁ ≠ λ ₂ . Linear transformations Ψ _λ1 and Ψ _{λ2 of} E [L], which is a linear space (however, subscripts λ1 and λ2 represent λ ₁ and λ ₂ ).

For any point R on E [L],

There exist points P and Q on E [L], and the point R is

And can be decomposed uniquely.

線形空間Ｅ［Ｌ］の線形変換Ψ_λ１による像Ψ_λ１（Ｅ［Ｌ］）を、フロベニウス写像φの固有値λ_１に関する固有空間と呼び、固有空間Ψ_λ１（Ｅ［Ｌ］）上の任意の点Ｐに関して、

が成り立つ。Ｅ［Ｌ］から固有空間Ψ_λ１（Ｅ［Ｌ］）への準同型写像をΨ_λ１（Ｅ［Ｌ］）への射影と呼ぶ。線形変換Ψ_λ１は、Ψ_λ１（Ｅ［Ｌ］）への射影である。 The image Ψ _λ1 (E [L]) by the linear transformation Ψ _λ1 of the linear space E [L] is referred to as an eigenspace related to the eigenvalue λ ₁ of the Frobenius map φ, and is arbitrary on the eigenspace Ψ _λ1 (E [L]). For point P,

Holds. A homomorphic mapping from E [L] to the eigenspace ψ _λ1 (E [L]) is called a projection onto ψ _λ1 (E [L]). The linear transformation Ψ _λ1 is a projection onto Ψ _λ1 (E [L]).

同様に、線形空間Ｅ［Ｌ］の線形変換Ψ_λ２による像Ψ_λ２（Ｅ［Ｌ］）を、フロベニウス写像φの固有値λ_２に関する固有空間と呼び、固有空間Ψ_λ２（Ｅ［Ｌ］）上の任意の点Ｑに関して、

が成り立つ。Ｅ［Ｌ］から固有空間Ψ_λ２（Ｅ［Ｌ］）への準同型写像をΨ_λ２（Ｅ［Ｌ］）への射影と呼ぶ。線形変換Ψ_λ２は、Ψ_λ２（Ｅ［Ｌ］）への射影である。また、数１９に示される分解をフロベニウス写像φの固有空間に関する固有分解と呼ぶ。固有空間はそれぞれ、位数Ｌの巡回群となり、

である。 Similarly, the image Ψ _λ2 (E [L]) by the linear transformation Ψ _λ2 of the linear space E [L] is called an eigenspace related to the eigenvalue λ ₂ of the Frobenius map φ, and is on the eigenspace Ψ _λ2 (E [L]) For any point Q of

Holds. A homomorphic mapping from E [L] to the eigenspace Ψ _λ2 (E [L]) is called a projection onto Ψ _λ2 (E [L]). The linear transformation Ψ _λ2 is a projection onto Ψ _λ2 (E [L]). Further, the decomposition expressed by Equation 19 is referred to as eigendecomposition related to the eigenspace of the Frobenius map φ. Each eigenspace is a cyclic group of order L,

It is.

一般に、ｑ^ｎ乗フロベニウス写像φ^ｎに関しても、Ｅ［Ｌ］に関するＺ_Ｌ係数の特性多項式

（ｔ_ｎは、ｔ、ｎ、ｑによって決まる整数）を考えることによって、上記と同様に、固有値、固有空間、固有分解、射影などを構成できる。そこで、フロベニウス写像φはｑ^ｎ乗フロベニウス写像φ^ｎ（ｎは１以上の整数）をいうものとする。 In general, the characteristic polynomial of the Z _L coefficient for E [L] also for the q ⁿ power Frobenius map φ ⁿ

By considering (t _n is an integer determined by t, n, and q), eigenvalues, eigenspaces, eigendecompositions, projections, and the like can be configured as described above. Therefore, the Frobenius map φ refers to the q ⁿ power Frobenius map φ ⁿ (n is an integer of 1 or more).

続いて、ペアリングについて説明する。
（参考文献２） Alfred.J.Menezes, ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS, KLUWER ACADEMIC PUBLISHERS, ISBN0-7923-9368-6,pp.61-81 Subsequently, pairing will be described.
(Reference 2) Alfred. J. Menezes, ELLIPTIC CURVE PUBLIC KEY CRYPTOSYSTEMS, KLUWER ACADEMIC PUBLISHERS, ISBN0-7923-9368-6, pp.61-81

μ_Ｌを楕円曲線の定義体Ｋの代数閉体上の乗法単位元１のＬ乗根の作る乗法群とする。このとき、参考文献２において示されるように、ペアリングｅ_Ｌとは、

なる関数であり、次の性質を有する（数２４における記号→は線形写像を表す）。 Let μ _{L be} a multiplicative group created by the L-th root of the multiplicative unit element 1 on the algebraic closed field of the elliptic curve definition field K. At this time, as shown in Reference Document 2, the pairing e _L is

And has the following property (the symbol → in Equation 24 represents a linear mapping).

［１］Ｅ［Ｌ］上の任意の点Ｒ_１に対して、ｅ_Ｌ（Ｒ_１、Ｒ_１）＝１が成り立つ。 [1] e _L (R ₁ , R ₁ ) = 1 holds for an arbitrary point R ₁ on E [L].

［２］Ｅ［Ｌ］上の任意の２点Ｒ_１、Ｒ_２に対して、ｅ_Ｌ（Ｒ_１、Ｒ_２）＝ｅ_Ｌ（Ｒ_２、Ｒ_１）^−１が成り立つ。 [2] For any two points R ₁ and R ₂ on E [L], e _L (R ₁ , R ₂ ) = e _L (R ₂ , R ₁ ) ⁻¹ holds.

［３］Ｅ［Ｌ］上の任意の３点Ｒ_１、Ｒ_２、Ｒ_３に対して、ｅ_Ｌ（Ｒ_１＋Ｒ_２、Ｒ３）＝ｅ_Ｌ（Ｒ_１、Ｒ_３）ｅ_Ｌ（Ｒ_２、Ｒ_３）であり、ｅ_Ｌ（Ｒ_１、Ｒ_２＋Ｒ_３）＝ｅ_Ｌ（Ｒ_１、Ｒ_２）ｅ_Ｌ（Ｒ_１、Ｒ_３）が成り立つ。 [3] For any three points R ₁ , R ₂ , R ₃ on E [L], e _L (R ₁ + R ₂ , R ₃ ) = e _L (R ₁ , R ₃ ) e _L (R ₂ , R ₃ ), and e _L (R ₁ , R ₂ + R ₃ ) = e _L (R ₁ , R ₂ ) e _L (R ₁ , R ₃ ) holds.

［４］Ｅ［Ｌ］上の任意の点Ｒ_１に対して、ｅ_Ｌ（Ｒ_１、Ｏ）＝１が成り立つ。 [4] For any point R ₁ on E [L], e _L (R ₁ , O) = 1 holds.

［５］Ｅ［Ｌ］上のある点Ｒ_１がＥ［Ｌ］上の全ての点Ｒ_２に対して、ｅ_Ｌ（Ｒ_１、Ｒ_２）＝１を満たすなら、Ｒ_１＝Ｏが成り立つ。 [5] If a certain point R ₁ on E [L] satisfies e _L (R ₁ , R ₂ ) = 1 for all points R ₂ on E [L], then R ₁ = O holds. .

本発明におけるペアリングは、例えば、参考文献２に示されるＷｅｉｌペアリングやＴａｔｅペアリングなどを用いることができる。   For the pairing in the present invention, for example, Weil pairing or Tate pairing described in Reference 2 can be used.

次に、射影を用いた一方向性関数について説明する。
ここでＬが十分に大きい素数であるとして、Ｅ［Ｌ］に関して、フロベニウス写像φの固有値λ_１、λ_２がλ_１、λ_２∈Ｚ_Ｌかつλ_１≠λ_２なる場合を考える。固有空間Ψ_λ１（Ｅ［Ｌ］）の任意の生成元Ｐ及び固有空間Ψ_λ２（Ｅ［Ｌ］）の任意の生成元Ｑを用いて、Ｅ［Ｌ］上の任意の点Ｒはｈ_１、ｈ_２∈Ｚ_Ｌとして、

と表される。点Ｒによって生成される巡回群〈Ｒ〉上の任意の点Ｒ_１から固有空間Ψ_λ１（Ｅ［Ｌ］）あるいは固有空間Ψ_λ２（Ｅ［Ｌ］）への射影は、それぞれ数１７、数１８に従って、楕円加算、楕円逆元、楕円スカラー倍、フロベニウス写像を用いて効率的に演算できる。一方、ｈ_１≠０かつｈ_２≠０の時、Ｒ_１の射影Ｐ_１＝Ψ_λ１Ｒ_１あるいはＱ_１＝Ψ_λ２Ｒ_１のいずれか一方からＲ_１を求めることは、楕円曲線Ｅが特別な場合を除いて、一般には困難であるといえる。つまり、射影は一方向性を有する。そこでこの一方向性に関して、数１７、数１８などから、いずれか一方の固有値に対応する線形変換Ψを考えることができ、定数constを用いてΨ＝const×（φ^ｎ−λ^ｎ）と表せる。なお、射影の一方向性については次の性質がある。 Next, a one-way function using projection will be described.
Here, suppose that L is a sufficiently large prime number, and the eigenvalues λ ₁ and λ _{2 of} the Frobenius map φ are λ ₁ , λ ₂ εZ _L and λ ₁ ≠ λ _{2 with} respect to E [L]. Using an arbitrary generator P of the eigenspace Ψ _λ1 (E [L]) and an arbitrary generator Q of the eigenspace Ψ _λ2 (E [L]), an arbitrary point R on E [L] is h ₁ , H ₂ ∈Z _L ,

It is expressed. Projection from an arbitrary point R ₁ on the cyclic group <R> generated by the point R to the eigenspace Ψ _λ1 (E [L]) or eigenspace Ψ _λ2 (E [L]) is 18 can be efficiently calculated using elliptic addition, elliptic inverse, elliptic scalar multiplication, and Frobenius map. On the other hand, when the _{h 1} ≠ 0 and _{h 2} ≠ 0, to obtain the _{R 1} from one of the projection _{P 1} = _{Ψ λ1} R ₁ or _{Q 1} = _{Ψ λ2} R ₁ of _{R 1,} the special is ellipse E In general, it can be said that it is difficult except for cases. That is, the projection is unidirectional. Therefore, with regard to this one-way property, the linear transformation Ψ corresponding to one of the eigenvalues can be considered from Expressions 17 and 18, and can be expressed as Ψ = const × (φ ⁿ −λ ⁿ ) using a constant const. . The unidirectionality of projection has the following properties.

［１］ＧＦ（ｑ）上定義された非超特異楕円曲線Ｅ／ＧＦ（ｑ）（上記の特別な場合の楕円曲線ではないものである。）に関して、Ｅ（ＧＦ（ｑ））をＥ／ＧＦ（ｑ）のＧＦ（ｑ）有理点とし、Ｅ（ＧＦ（ｑ^ｍ））をＥ／ＧＦ（ｑ）のＧＦ（ｑ^ｍ）有理点とする。また、Ｌ｜＃Ｅ（ＧＦ（ｑ））かつＬ¬｜＃Ｅ（ＧＦ（ｑ））とし、Ｌ^２｜＃Ｅ（ＧＦ（ｑ^ｍ））とする。なお、記号｜は、Ａ｜Ｂと表記する場合にＡはＢを割り切ることを表し、記号¬｜は、Ａ¬｜Ｂと表記する場合にＡはＢを割り切らないことを表し、＃は位数を表す。このとき、例えばλ_１＝１、λ_２＝ｑ ｍｏｄ Ｌとすることができる。ここで、ｍがＬよりも十分に小さいとすると、効率的に演算できるペアリングｅ_Ｌが存在する（例えば、参考文献２）。 [1] With respect to the non-super singular elliptic curve E / GF (q) defined on GF (q) (which is not the elliptic curve in the above special case), E (GF (q)) is changed to E / Let GF (q) rational point of GF (q) be E, and let GF (q ^m ) rational point of E / GF (q) be E (GF (q ^m )). Further, L | and ^{#E (GF (q)),} L 2 | | #E (GF (q)) and L¬ and ^{#E (GF (q m))} . The symbol | indicates that A is divisible by B when expressed as A | B, the symbol ¬ | indicates that A is not divisible when expressed as A¬ | B, and # is a position. Represents a number. At this time, for example, λ ₁ = 1 and λ ₂ = q mod L can be set. Here, if m is sufficiently smaller than _L , there is a pairing e _L that can be efficiently calculated (for example, Reference 2).

［２］ＧＦ（ｑ）上定義された非超特異楕円曲線Ｅ／ＧＦ（ｑ）に関して、固有空間Ψ_λ１（Ｅ［Ｌ］）あるいは固有空間Ψ_λ２（Ｅ［Ｌ］）のいずれか一方から巡回群〈Ｒ〉への同型写像で単一の有理写像で記述できるものは存在しない。 [2] With respect to the non-super singular elliptic curve E / GF (q) defined on GF (q), from either the eigenspace Ψ _λ1 (E [L]) or eigenspace Ψ _λ2 (E [L]) There is no isomorphic mapping to the cyclic group <R> that can be described by a single rational mapping.

［３］ＧＦ（ｑ）上定義された非超特異楕円曲線Ｅ／ＧＦ（ｑ）に関して、十分に大きい素数位数部分群でのDiffie-Hellman判定問題を効率的に解決することは困難といえる。   [3] Regarding the non-super singular elliptic curve E / GF (q) defined on GF (q), it can be said that it is difficult to efficiently solve the Diffie-Hellman decision problem with a sufficiently large prime order subgroup. .

［４］ＧＦ（ｑ）上定義された非超特異楕円曲線Ｅ／ＧＦ（ｑ）に関して、Ｅ［Ｌ］上の無限遠点Ｏ以外の任意の点Ｒ_１が生成する巡回群〈Ｒ_１〉及びＥ［Ｌ］上の任意の点Ｒ_２について、Ｒ_２∈〈Ｒ_１〉であるか否かは、ペアリングｅ_Ｌを用いて効率的に判定できる。即ち、ペアリングｅ_Ｌ（Ｒ_１、Ｒ_２）の演算結果が単位元１になる場合、Ｒ_２∈〈Ｒ_１〉であるといえる。 [4] A cyclic group <R ₁ > generated by any point R ₁ other than the infinity point O on E [L] with respect to the non-super singular elliptic curve E / GF (q) defined on GF (q). And for any point R ₂ on E [L], whether or not R ₂ ε <R ₁ > can be efficiently determined using the pairing e _L. That is, when the calculation result of pairing e _L (R ₁ , R ₂ ) is unity 1, it can be said that R ₂ ∈ <R ₁ >.

以上の理論背景に基づく具体的な機能暗号の構成例は次のとおりである。
まず、Ｅ［Ｌ］のフロベニウス写像φ^ｎの非固有空間上の元Ｐ（位数Ｌの巡回群の元であり、位数Ｌの巡回群の生成元も含む。）を１つ選択する。他方、ｘ∈Ｚ_Ｌなる乱数ｘを１つ決める。そして、楕円スカラー倍演算によってＪ＝ｘＰを求める。また、線形変換Ψによる演算によってｇ＝Ψ（Ｐ）、ｙ＝Ψ（Ｊ）を求める。なお、平文ｍは、Ｅ［Ｌ］の線形変換Ψによる固有空間上の元、つまり、ｍ∈Ψ（Ｅ［Ｌ］）とする（Ｅ［Ｌ］、元Ｐ及びｇは、機能暗号システムに共通のものとしてよい。）。 Specific configuration examples of functional encryption based on the above theoretical background are as follows.
First, (a cyclic group of order L based, also origin of the cyclic group of order L contains.) Original P on non eigenspace Frobenius mapping phi ⁿ of E [L] one selection to. On the other hand, one random number x satisfying xεZ _{L is} determined. Then, J = xP is obtained by elliptic scalar multiplication. Further, g = Ψ (P) and y = Ψ (J) are obtained by calculation using linear transformation Ψ. The plaintext m is an element on the eigenspace by the linear transformation Ψ of E [L], that is, m∈Ψ (E [L]) (E [L], elements P and g are stored in the functional cryptographic system. It may be common.)

このとき、機能暗号における公開鍵は、ｇ、ｙ、元Ｐ、線形変換Ψ、Ｅ［Ｌ］であり、秘密鍵はｘ、検査鍵はＪである。   At this time, the public keys in the functional encryption are g, y, element P, linear transformation Ψ, E [L], the secret key is x, and the check key is J.

そして、平文ｍが暗号化された暗号文ｃは、乱数ｔ（但し、ｔ∈Ｚ_Ｌとする。）を用いて、楕円スカラー倍及び楕円加算による演算ｃ＝（Ｇ、Ｙ）＝（ｔｇ、ｍ＋δｔｙ）で与えられる。乱数ｔを用いて暗号文ｃを生成するため、平文ｍと暗号文ｃとの間に１対１の関係は存在しない。 The ciphertext c plaintext m is encrypted, a random number t (where the t∈Z _L.) Using a calculation by elliptic scalar multiplication and elliptic curve addition c = (G, Y) = (tg, m + δty). Since the ciphertext c is generated using the random number t, there is no one-to-one relationship between the plaintext m and the ciphertext c.

以上の暗号化に対して、暗号文ｃから復号化される平文ｍは、秘密鍵ｘを用いて、楕円スカラー倍及び楕円減算による演算ｍ＝Ｙ−δｘＧで与えられる（より詳細には、Ｙ−δｘＧ＝（ｍ＋δｔｙ）−δｘ（ｔｇ）＝（ｍ＋δｔｘΨ（Ｐ））−δｘｔΨ（Ｐ）＝ｍとなる。）。   For the above encryption, the plaintext m decrypted from the ciphertext c is given by the operation m = Y−δxG by elliptic scalar multiplication and elliptic subtraction using the secret key x (more specifically, Y −δxG = (m + δty) −δx (tg) = (m + δtxψ (P)) − δxtψ (P) = m.

また、検査鍵Ｊを用いた、２つの暗号文に対応するそれぞれの平文の一致性の検査は、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）の演算結果が一致するか否かによる。より詳細には、ペアリングの性質を利用することで、ｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）の演算は、

となる。一方、ｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）の演算は、ペアリングの性質を利用することで、

となる。ここでさらに、平文ｍがｍ∈Ψ（Ｅ［Ｌ］）であること及びｇ＝Ψ（Ｐ）に留意すると、適当な値αを用いてｍ_１−ｍ_２＝αｇと表せるので、結局、数２７は、

となる。以上の２式数２６、数２８を比較すると、その指数αだけが異なることがわかる。もし、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）の演算結果が一致するならば、α＝０なので、ｍ_１＝ｍ_２となって２つの暗号文に対応するそれぞれの平文が一致することがわかる。逆に、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）の演算結果が一致しないならば、２つの暗号文に対応するそれぞれの平文が一致しないとわかる。 Also, the verification of the consistency between the plaintexts corresponding to the two ciphertexts using the check key J is performed by pairing e _L (δ (G ₁ -G ₂ ), J) and pairing e _L (Y ₁ -Y _2, P) of the operation result depends on whether match. More specifically, by using the property of pairing, the calculation of e _L (δ (G ₁ -G ₂ ), J) is

It becomes. On the other hand, the calculation of e _L (Y ₁ -Y ₂ , P) uses the property of pairing,

It becomes. Further, if the plaintext m is mεΨ (E [L]) and g = Ψ (P), it can be expressed as m ₁ −m ₂ = αg using an appropriate value α. Equation 27 is

It becomes. Comparing the above two formulas 26 and 28, it can be seen that only the index α is different. If the pairing e _L (δ (G ₁ -G ₂ ), J) and the pairing e _L (Y ₁ -Y ₂ , P) are the same, α = 0, so m ₁ = m ₂ and it can be seen that the plaintexts corresponding to the two ciphertexts match. Conversely, if the pairing e _L (δ (G ₁ -G ₂ ), J) and the pairing e _L (Y ₁ -Y ₂ , P) do not match, each corresponding to the two ciphertexts. You can see that the plaintext of does not match.

以上の理論を基礎として本発明の各装置等は構成されるものであり、有限体上定義された楕円曲線の上記諸性質を利用することで機能暗号に準同型性を与え、さらに、射影Ψの一方向性から機能暗号の安全性を保障している。   Based on the above theory, each device of the present invention is configured, and by using the above properties of the elliptic curve defined on the finite field, the function encryption is given homomorphism, and the projection Ψ The security of functional encryption is guaranteed from the one-way direction.

次に、本発明の実施の形態を、図面を参照して説明する。
なお、ここでは本実施形態の各装置（鍵生成装置、暗号化装置、検査装置、復号化装置）の構成及び処理を順次説明し、最後に各装置を用いた機能暗号システムについて説明する。 Next, embodiments of the present invention will be described with reference to the drawings.
Here, the configuration and processing of each device (key generation device, encryption device, inspection device, decryption device) of this embodiment will be described sequentially, and finally a functional encryption system using each device will be described.

＜鍵生成装置＞
図１は、鍵生成装置（１）のハードウェア構成を例示した構成ブロック図である。図１に例示するように、鍵生成装置（１）は、キーボードなどが接続可能な入力部（１１）、液晶ディスプレイなどが接続可能な出力部（１２）、鍵生成装置（１）外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部（１３）、ＣＰＵ（Central Processing Unit）（１４）、メモリであるＲＡＭ（１５）、ＲＯＭ（１６）やハードディスクである外部記憶装置（１７）並びにこれらの入力部（１１）、出力部（１２）、通信部（１３）、ＣＰＵ（１４）、ＲＡＭ（１５）、ＲＯＭ（１６）、外部記憶装置（１７）間のデータのやり取りが可能なように接続するバス（１８）を有している。また必要に応じて、鍵生成装置（１）に、ＣＤ−ＲＯＭなどの記憶媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。 <Key generation device>
FIG. 1 is a configuration block diagram illustrating a hardware configuration of the key generation device (1). As illustrated in FIG. 1, the key generation device (1) communicates with an input unit (11) to which a keyboard or the like can be connected, an output unit (12) to which a liquid crystal display or the like can be connected, and the key generation device (1) outside. A communication unit (13) to which a connectable communication device (for example, a communication cable) can be connected, a CPU (Central Processing Unit) (14), a RAM (15) as a memory, a ROM (16), and an external storage device (17) as a hard disk ) And the input unit (11), the output unit (12), the communication unit (13), the CPU (14), the RAM (15), the ROM (16), and the external storage device (17). It has the bus (18) which connects like this. If necessary, the key generation device (1) may be provided with a device (drive) that can read and write a storage medium such as a CD-ROM.

鍵生成装置（１）の外部記憶装置（１７）には、後述する鍵を生成するためのプログラムが保存記憶され、このプログラムの処理において必要となるデータ及びプログラムの処理によって得られた鍵の値などを保存記憶するデータ格納領域が確保されている。より具体的には、鍵を生成するためのプログラムは、Ｅ［Ｌ］から元Ｐを選択するための元Ｐ選択プログラム（１７１）、元Ｐの線形変換Ψを演算するための元演算プログラム（１７２）、元演算結果について所定の判定を行うための元演算結果判定プログラム（１７３）、秘密鍵ｘを生成するための秘密鍵生成プログラム（１７４）、検査鍵Ｊを生成するための検査鍵生成プログラム（１７５）、公開鍵ｇを生成するための第１公開鍵生成プログラム（１７６）、公開鍵ｙを生成するための第２公開鍵生成プログラム（１７７）、各プログラムの処理などを制御する制御プログラム（１７８）である。これらのプログラムの処理において必要となるデータとして、集合Ｅ［Ｌ］のデータ、線形変換Ψ＝const×（φ^ｎ−λ^ｎ）を演算するための演算係数がある。これらのデータに加え、各プログラムの処理によって得られる秘密鍵ｘ、検査鍵Ｊ、公開鍵ｇ、公開鍵ｙ及び元Ｐは、外部記憶装置（１７）のデータ格納領域（１７９）に保存記憶される。
鍵生成装置（１）では、外部記憶装置（１７）に記憶されたプログラムとこのプログラムの処理に必要なデータが必要に応じてＲＡＭ（１５）に呼び出されて、順次ＣＰＵ（１４）で処理されることで鍵が生成される。 The external storage device (17) of the key generation device (1) stores and stores a program for generating a key, which will be described later, and data necessary for the processing of the program and the key value obtained by the processing of the program. A data storage area for storing and storing such data is secured. More specifically, a program for generating a key includes an element P selection program (171) for selecting an element P from E [L], and an element operation program for calculating a linear transformation Ψ of the element P ( 172), an original calculation result determination program (173) for making a predetermined determination on the original calculation result, a secret key generation program (174) for generating the secret key x, and a check key generation for generating the check key J Program (175), first public key generation program (176) for generating public key g, second public key generation program (177) for generating public key y, control for controlling the processing of each program, etc. Program (178). As data necessary for the processing of these programs, there is an operation coefficient for calculating data of the set E [L] and linear transformation Ψ = const × (φ ⁿ −λ ⁿ ). In addition to these data, the private key x, inspection key J, public key g, public key y, and source P obtained by the processing of each program are stored and stored in the data storage area (179) of the external storage device (17). The
In the key generation device (1), the program stored in the external storage device (17) and the data necessary for the processing of this program are called to the RAM (15) as necessary, and sequentially processed by the CPU (14). To generate a key.

図２は、鍵生成装置（１）のＣＰＵ（１４）において上記所定のプログラムが処理されることにより、機能暗号における鍵が生成される処理機能を示す機能ブロック図である。
以下、機能暗号における鍵が生成される処理の流れを順次説明する。 FIG. 2 is a functional block diagram showing a processing function for generating a key in functional encryption by processing the predetermined program in the CPU (14) of the key generation device (1).
Hereinafter, the flow of processing for generating a key in functional encryption will be sequentially described.

十分に大きい素数Ｌにおける集合Ｅ［Ｌ］は、予めデータとして外部記憶装置（１７）のデータ格納領域（１７９）に記憶されているとする。数１０で表される楕円曲線を具体的に１つ定めると、この楕円曲線における集合Ｅ［Ｌ］を求めるアルゴリズムは、例えば下記の参考文献３、参考文献４において公知とされている。そこで、鍵生成装置とは別の装置（コンピュータ）においてＥ［Ｌ］のデータを求め、このデータを外部記憶装置（１７）のデータ格納領域（１７９）に記憶させるとする。なお、このアルゴリズムをプログラムとして鍵生成装置（１）で処理し、鍵生成装置（１）においてＥ［Ｌ］のデータを得るものとしてもよい。
（参考文献３） Generating more MNT elliptic curves, Michael Scott and Paulo S.L.M Barreto,http://eprint.iacr.org/2004/058/,(Cryptology ePrint Archive: Report 2004/058)
（参考文献４） Characterization of Elliptic Curves Traces under FG-Reduction, Atsuko Miyaji, Masaki Nakabayashi, and Shunzo Takano, ICISC 2000, LNCS 2015, pp.90-108, 2001, Springer-Verlag Berlin Heidelberg 2001 Assume that the set E [L] in a sufficiently large prime L is stored in advance in the data storage area (179) of the external storage device (17). When one elliptic curve represented by Equation 10 is specifically determined, an algorithm for obtaining the set E [L] in this elliptic curve is known in, for example, Reference 3 and Reference 4 below. Therefore, it is assumed that E [L] data is obtained in a device (computer) different from the key generation device, and this data is stored in the data storage area (179) of the external storage device (17). The algorithm may be processed by the key generation device (1) as a program to obtain E [L] data in the key generation device (1).
(Reference 3) Generating more MNT elliptic curves, Michael Scott and Paulo SLM Barreto, http://eprint.iacr.org/2004/058/, (Cryptology ePrint Archive: Report 2004/058)
(Reference 4) Characterization of Elliptic Curves Traces under FG-Reduction, Atsuko Miyaji, Masaki Nakabayashi, and Shunzo Takano, ICISC 2000, LNCS 2015, pp.90-108, 2001, Springer-Verlag Berlin Heidelberg 2001

次に、元Ｒに対する線形変換Ψの演算は、本実施形態において具体的に、Ψ（Ｒ）＝（λ_１−λ_２）Ψ_λ１（Ｒ）＝φＲ−λ_２Ｒで与えられるとする。つまり、本実施形態では、上記理論背景で説明したフロベニウス写像φをｑ乗フロベニウス写像φ^１（ｎ＝１）とした線形変換Ψ＝const×（φ−λ）においてconst＝１としている。さらに、上記理論背景において説明したように、本実施形態における固有値λ_１、固有値λ_２は、λ_１＝１、λ_２＝ｑ ｍｏｄ Ｌとする。そうすると、上記理論背景で説明した素数またはその冪であるｑ、基底α_ｉ、行列ｃ_ｉｊを求めておくことで、フロベニウス写像φとλ_２が演算可能になる。つまり、基底α_ｉ、行列ｃ_ｉｊ、固有値λ_１、固有値λ_２を予めデータとして外部記憶装置（１７）のデータ格納領域（１７９）に記憶しておくことで、本実施形態における上記線形変換Ψが演算できることになる。以下、予めデータとして外部記憶装置（１７）のデータ格納領域（１７９）に記憶された基底α_ｉ、行列ｃ_ｉｊ、固有値λ_１、固有値λ_２を「線形変換Ψの演算係数」という。 Next, the calculation of the linear transformation Ψ with respect to the element R is specifically given by Ψ (R) = (λ ₁ −λ ₂ ) Ψ _λ1 (R) = φR−λ ₂ R in the present embodiment. That is, in the present embodiment, const = 1 is set in the linear transformation Ψ = const × (φ−λ) in which the Frobenius map φ described in the above theoretical background is the qth power Frobenius map φ ¹ (n = 1). Furthermore, as explained in the above theoretical background, the eigenvalue λ ₁ and the eigenvalue λ ₂ in the present embodiment are λ ₁ = 1 and λ ₂ = q mod L. Then, by previously obtained q is prime or power of the described above theory background, basal alpha _i, the matrix c _ij, Frobenius mapping φ and lambda ₂ becomes possible operation. That is, by storing the base α _i , the matrix c _ij , the eigenvalue λ ₁ , and the eigenvalue λ ₂ in advance in the data storage area (179) of the external storage device (17), the linear transformation Ψ in this embodiment is performed. Can be calculated. Hereinafter, the base α _i , matrix c _ij , eigenvalue λ ₁ , and eigenvalue λ ₂ stored in advance in the data storage area (179) of the external storage device (17) are referred to as “calculation coefficients of the linear transformation Ψ”.

まず、予め外部記憶装置（１７）に記憶されている集合Ｅ［Ｌ］のデータが、メモリ（ここではＲＡＭ（１５）とする。）上に読み込まれ、ＲＡＭ（１５）上のＥ［Ｌ］格納領域（１５２）に格納される。この集合Ｅ［Ｌ］のデータから１つの元Ｐが元Ｐ選択部（１４１）によって選択され、ＲＡＭ（１５）上の元Ｐ格納領域（１５３）に格納される。選択方法は、例えば乱数を発生させて、それに対応する集合Ｅ［Ｌ］のデータを１つ抽出するものとする。乱数の発生は、公知の汎用コンピュータにおける疑似乱数生成方法でよい（例えば、ＳＨＡ−１などの一方向性ハッシュ関数〔one-way hash function〕を用いて構成される、計算量理論に基づく擬似乱数生成アルゴリズム等）。   First, the data of the set E [L] stored in advance in the external storage device (17) is read into a memory (here, RAM (15)) and E [L] on the RAM (15) is read. It is stored in the storage area (152). One element P is selected from the data of the set E [L] by the element P selection unit (141) and stored in the element P storage area (153) on the RAM (15). As a selection method, for example, a random number is generated and one piece of data of the set E [L] corresponding to the random number is extracted. The generation of the random number may be performed by a known general-purpose computer using a pseudo-random number generation method (for example, a pseudo-random number based on a computational complexity theory configured using a one-way hash function such as SHA-1. Generation algorithm).

次に、元演算部（１４２）において、元Ｐ格納領域（１５３）に格納された元Ｐ及び、予め外部記憶装置（１７）から読み込まれてＲＡＭ（１５）上の線形変換演算係数格納領域（１５４）に格納される線形変換Ψの演算係数を読み出し、演算φＰ−λ_１Ｐ及びφＰ−λ_２Ｐを行う。この各演算結果は、ＲＡＭ（１５）上の元演算結果格納領域（１５１）に格納される。 Next, in the element calculation unit (142), the element P stored in the element P storage area (153) and the linear conversion calculation coefficient storage area (in the RAM (15) read in advance from the external storage device (17)). The calculation coefficient of the linear transformation Ψ stored in 154) is read, and the calculations φP-λ ₁ P and φP-λ ₂ P are performed. Each calculation result is stored in the original calculation result storage area (151) on the RAM (15).

続いて、元演算結果判定部（１４３）において、上記演算結果φＰ−λ_１Ｐ及びφＰ−λ_２Ｐについて、（φＰ−λ_１Ｐ＝Ｏ）、（φＰ−λ_２Ｐ＝Ｏ）の論理値（真または偽）の少なくとも１つが真になるかを判定する。もし論理値が真であれば、制御部（１４０）による制御の下、改めて元Ｐ選択部においてＥ［Ｌ］から新たな元Ｐの選択を行う。そしてこの処理を、元演算結果判定部（１４３）において論理値が偽になるまで繰り返す。この処理は、選択された元ＰがＥ［Ｌ］のフロベニウス写像φの非固有空間上の点ではないことを保障するためのものである。もし論理値が偽であれば、制御部（１４０）の制御の下、選択された元Ｐを基に鍵生成の処理を順次実行していく。 Subsequently, in the original calculation result determination unit (143), for the calculation results φP−λ ₁ P and φP−λ ₂ P, the logic of (φP−λ ₁ P = O) and (φP−λ ₂ P = O). Determine if at least one of the values (true or false) is true. If the logical value is true, a new source P is selected from E [L] again in the source P selection unit under the control of the control unit (140). This process is repeated until the logical value becomes false in the original calculation result determination unit (143). This process is to ensure that the selected element P is not a point on the non-eigenspace of the F [11] Frobenius map φ. If the logical value is false, the key generation processing is sequentially executed based on the selected element P under the control of the control unit (140).

なお、元Ｐは、Ｅ［Ｌ］と同様に予め与えられて外部記憶装置（１７）に記憶されるものとしてもよい。要は、Ｅ［Ｌ］上の（かつ、フロベニウス写像φの非固有空間上の）元Ｐを用いて鍵が生成されるのであればよく、元Ｐの選択は本発明の本質ではない。また、Ｅ［Ｌ］から任意に選択した元がＥ［Ｌ］のフロベニウス写像φの固有空間上の点である確率は、およそ１／Ｌのオーダーなので、素数Ｌが十分に大きい場合にこの確率は十分に小さくなる。そこで、元Ｐ選択部（１４１）で選択された元Ｐを基に、（この元ＰがＥ［Ｌ］のフロベニウス写像φの固有空間上の点ではないという十分な信頼度をもって）元演算部（１４２）及び元演算結果判定部（１４３）での処理を省略して鍵生成の処理を順次進めるとすることもできる。   The source P may be given in advance and stored in the external storage device (17) in the same manner as E [L]. In short, it is sufficient that the key is generated using the element P on E [L] (and on the non-eigenspace of the Frobenius map φ), and the selection of the element P is not the essence of the present invention. The probability that the element arbitrarily selected from E [L] is a point on the eigenspace of the Frobenius map φ of E [L] is on the order of 1 / L, and this probability is obtained when the prime number L is sufficiently large. Is sufficiently small. Therefore, based on the element P selected by the element P selection unit (141), the element calculation unit (with sufficient reliability that this element P is not a point on the eigenspace of the Frobenius map φ of E [L]) It is also possible to omit the processing in (142) and the original calculation result determination unit (143) and sequentially proceed with the key generation processing.

上記のようにして元Ｐが定まると、第１公開鍵生成部（１４４）において、元Ｐ格納領域（１５３）に格納された元Ｐ及び線形変換演算係数格納領域（１５４）に格納された線形変Ψの演算係数を読み出して、演算ｇ＝φＰ−λ_２Ｐ（＝Ψ（Ｐ））を行い、この演算結果をＲＡＭ（１５）上の第１公開鍵格納領域（１５５）に格納する。この演算結果が公開鍵ｇである。 When the element P is determined as described above, in the first public key generation unit (144), the element P stored in the element P storage area (153) and the linear transformation stored in the linear transformation calculation coefficient storage area (154) are stored. The calculation coefficient of the variable Ψ is read out, the calculation g = φP−λ ₂ P (= Ψ (P)) is performed, and the calculation result is stored in the first public key storage area (155) on the RAM (15). This calculation result is the public key g.

また、秘密鍵生成部（１４５）において、乱数を発生させることで０以上Ｌ未満の整数を１つ生成し、この整数をＲＡＭ（１５）上の秘密鍵格納領域（１５６）に格納する。乱数の発生は、公知の汎用コンピュータにおける疑似乱数生成方法でよい（例えば、ＳＨＡ−１などの一方向性ハッシュ関数〔one-way hash function〕を用いて構成される、計算量理論に基づく擬似乱数生成アルゴリズム等）。ここで生成された整数が秘密鍵ｘである。   The secret key generation unit (145) generates a random number to generate one integer less than or equal to 0 and less than L, and stores this integer in the secret key storage area (156) on the RAM (15). The generation of the random number may be performed by a known general-purpose computer using a pseudo-random number generation method (for example, a pseudo-random number based on a computational complexity theory configured using a one-way hash function such as SHA-1. Generation algorithm). The integer generated here is the secret key x.

秘密鍵ｘが求められると、検査鍵生成部（１４６）において、元Ｐ格納領域（１５３）に格納された元Ｐ及び秘密鍵格納領域（１５６）に格納された秘密鍵ｘを読み出して、楕円スカラー倍演算Ｊ＝ｘＰを行い、この演算結果をＲＡＭ（１５）上の検査鍵格納領域（１５７）に格納する。この演算結果が検査鍵Ｊである。   When the secret key x is obtained, the inspection key generation unit (146) reads the source P stored in the source P storage area (153) and the secret key x stored in the secret key storage area (156), A scalar multiplication operation J = xP is performed, and the calculation result is stored in the inspection key storage area (157) on the RAM (15). This calculation result is the inspection key J.

検査鍵Ｊが求められると、第２公開鍵生成部（１４７）において、線形変換演算係数格納領域（１５４）に格納された線形変Ψの演算係数及び検査鍵格納領域（１５７）に格納された検査鍵Ｊを読み出して、演算ｙ＝φＪ−λ_２Ｊ（＝Ψ（Ｊ））を行い、この演算結果をＲＡＭ（１５）上の第２公開鍵格納領域（１５８）に格納する。この演算結果が公開鍵ｙである。 When the check key J is obtained, the second public key generation unit (147) stores the calculation coefficient of the linear transformation Ψ stored in the linear transformation calculation coefficient storage area (154) and the check key storage area (157). The inspection key J is read out, the calculation y = φJ−λ ₂ J (= Ψ (J)) is performed, and the calculation result is stored in the second public key storage area (158) on the RAM (15). This calculation result is the public key y.

本実施形態では、元Ｐの選択、公開鍵ｇの生成、秘密鍵ｘの生成、検査鍵Ｊの生成、公開鍵ｙの生成の順に鍵が生成されるとして説明したが、この順によってのみ鍵が生成されるものではない。要は、公開鍵ｇの生成の前に元Ｐが選択されていること、検査鍵Ｊの生成の前に元Ｐ及び秘密鍵ｘが生成されていること、公開鍵ｙの生成の前に検査鍵Ｊが生成されていることの条件下で適宜変更可能であり、例えば、制御部（１４０）の制御の下、秘密鍵ｘの生成、元Ｐの選択、検査鍵Ｊの生成、公開鍵ｙの生成、公開鍵ｇの生成という順で鍵の生成を行うこととしてもよい。   In the present embodiment, it has been described that the keys are generated in the order of the selection of the source P, the generation of the public key g, the generation of the secret key x, the generation of the inspection key J, and the generation of the public key y. Is not generated. In short, the element P is selected before the generation of the public key g, the element P and the secret key x are generated before the generation of the inspection key J, and the inspection before the generation of the public key y. It can be changed as appropriate under the condition that the key J is generated. For example, under the control of the control unit (140), generation of the secret key x, selection of the source P, generation of the inspection key J, public key y The key may be generated in the order of generating the public key g and generating the public key g.

以上のようにして最終的には、ＲＡＭ（１５）の所定の格納領域に、元Ｐ、秘密鍵ｘ、検査鍵Ｊ、公開鍵ｇ、公開鍵ｙが格納される。さらに、このようにして生成された元Ｐ、秘密鍵ｘ、検査鍵Ｊ、公開鍵ｇ、公開鍵ｙを、外部記憶装置（１７）のデータ格納領域（１７９）に書き込みを行って保存記憶する。結局、外部記憶装置（１７）の所定のデータ格納領域（１７９）には、Ｅ［Ｌ］、元Ｐ、線形変換Ψの演算係数、秘密鍵ｘ、検査鍵Ｊ、公開鍵ｇ、公開鍵ｙが格納されることになる。   Eventually, the original P, the secret key x, the inspection key J, the public key g, and the public key y are stored in a predetermined storage area of the RAM (15) as described above. Further, the source P, the secret key x, the inspection key J, the public key g, and the public key y generated in this way are written and stored in the data storage area (179) of the external storage device (17). . After all, in the predetermined data storage area (179) of the external storage device (17), E [L], element P, calculation coefficient of linear transformation Ψ, secret key x, check key J, public key g, public key y Will be stored.

鍵生成装置（１）は、通信部（１３）に通信装置（例えば、同軸ケーブルや光ファイバなどの通信ケーブル）を接続することで外部（インターネットなどのネットワーク）と通信可能である。従って、鍵生成装置（１）の外部記憶装置（１７）に保存されるＥ［Ｌ］、元Ｐ、線形変換Ψの演算係数、公開鍵ｇ、公開鍵ｙの各データを、ネットワークを介して配布することができる。   The key generation device (1) can communicate with the outside (a network such as the Internet) by connecting a communication device (for example, a communication cable such as a coaxial cable or an optical fiber) to the communication unit (13). Therefore, the E [L], the element P, the operation coefficient of the linear transformation Ψ, the public key g, and the public key y stored in the external storage device (17) of the key generation device (1) are transmitted via the network. Can be distributed.

＜暗号化装置＞
図３は、暗号化装置（２）のハードウェア構成を例示した構成ブロック図である。図３に例示するように、暗号化装置（２）は、キーボードなどが接続可能な入力部（２１）、液晶ディスプレイなどが接続可能な出力部（２２）、暗号化装置（２）外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部（２３）、ＣＰＵ（Central Processing Unit）（２４）、メモリであるＲＡＭ（２５）、ＲＯＭ（２６）やハードディスクである外部記憶装置（２７）並びにこれらの入力部（２１）、出力部（２２）、通信部（２３）、ＣＰＵ（２４）、ＲＡＭ（２５）、ＲＯＭ（２６）、外部記憶装置（２７）間のデータのやり取りが可能なように接続するバス（２８）を有している。また必要に応じて、暗号化装置（２）に、ＣＤ−ＲＯＭなどの記憶媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。 <Encryption device>
FIG. 3 is a configuration block diagram illustrating the hardware configuration of the encryption device (2). As illustrated in FIG. 3, the encryption device (2) includes an input unit (21) to which a keyboard or the like can be connected, an output unit (22) to which a liquid crystal display or the like can be connected, and the encryption device (2) to communicate with the outside. A communication unit (23) to which a connectable communication device (for example, a communication cable) can be connected, a CPU (Central Processing Unit) (24), a RAM (25) as a memory, a ROM (26), and an external storage device (27) as a hard disk ) And the input unit (21), the output unit (22), the communication unit (23), the CPU (24), the RAM (25), the ROM (26), and the external storage device (27). The bus (28) is connected in such a manner. If necessary, the encryption device (2) may be provided with a device (drive) that can read and write a storage medium such as a CD-ROM.

暗号化装置（２）の外部記憶装置（２７）には、後述する暗号文を生成するためのプログラムが保存記憶され、このプログラムの処理において必要となるデータ及びプログラムの処理によって得られた暗号文などを保存記憶するデータ格納領域が確保されている。より具体的には、暗号文を生成するためのプログラムは、乱数ｔを生成する乱数生成プログラム（２７１）、公開鍵ｇ、公開鍵ｙ及び乱数ｔを用いて平文から暗号文を生成する暗号化プログラム（２７２）である。これらのプログラムの処理において必ず必要となるデータとして、公開鍵ｇ、公開鍵ｙ、平文ｍがある。これらのデータに加え、各プログラムの処理によって得られる暗号文は、外部記憶装置（２７）のデータ格納領域（２７３）に保存記憶される。
暗号化装置（２）では、外部記憶装置（２７）に記憶されたプログラムとこのプログラムの処理に必要なデータが必要に応じてＲＡＭ（２５）に呼び出されて、順次ＣＰＵ（２４）で処理されることで暗号文が生成される。 The external storage device (27) of the encryption device (2) stores and stores a program for generating a ciphertext, which will be described later, and data necessary for the processing of the program and ciphertext obtained by the processing of the program A data storage area for storing and storing such data is secured. More specifically, the program for generating the ciphertext includes a random number generation program (271) that generates a random number t, an encryption that generates a ciphertext from plaintext using the public key g, the public key y, and the random number t. The program (272). As data that is absolutely necessary in the processing of these programs, there are a public key g, a public key y, and a plaintext m. In addition to these data, the ciphertext obtained by the processing of each program is stored and stored in the data storage area (273) of the external storage device (27).
In the encryption device (2), the program stored in the external storage device (27) and the data necessary for the processing of this program are called to the RAM (25) as necessary, and sequentially processed by the CPU (24). By doing so, a ciphertext is generated.

図４は、暗号化装置（２）のＣＰＵ（２４）において上記所定のプログラムが処理されることにより、機能暗号における暗号文が生成される処理機能を示す機能ブロック図である。
以下、機能暗号における暗号文が生成される処理の流れを順次説明する。 FIG. 4 is a functional block diagram showing processing functions for generating a ciphertext in the functional cipher by processing the predetermined program in the CPU (24) of the encryption device (2).
Hereinafter, a process flow for generating a ciphertext in the functional encryption will be sequentially described.

暗号化される平文ｍは、予めデータとして外部記憶装置（２７）のデータ格納領域（２７３）に記憶されているとする。ここで平文ｍは、Ｅ［Ｌ］に対する線形変換Ψによって得られる空間上の点であることを要し、ここでのＥ［Ｌ］及び線形変換Ψは、上記鍵生成装置（１）で用いられたものと同じものであることを要する。   It is assumed that the plaintext m to be encrypted is stored in advance in the data storage area (273) of the external storage device (27). Here, the plaintext m needs to be a point on the space obtained by the linear transformation Ψ for E [L], and the E [L] and the linear transformation Ψ here are used in the key generation device (1). It must be the same as the one given.

また、外部記憶装置（２７）のデータ格納領域（２７３）には、上記鍵生成装置（１）で得られた鍵である公開鍵ｇ、公開鍵ｙが予め記憶されているとする。   Further, it is assumed that a public key g and a public key y, which are keys obtained by the key generation device (1), are stored in advance in the data storage area (273) of the external storage device (27).

まず、乱数生成部（２４１）において、乱数を発生させることで０以上Ｌ未満の整数を１つ生成し、この整数をＲＡＭ（２５）上の乱数格納領域（２５４）に格納する。乱数の発生は、公知の汎用コンピュータにおける疑似乱数生成方法などでよい（例えば、ＳＨＡ−１などの一方向性ハッシュ関数〔one-way hash function〕を用いて構成される、計算量理論に基づく擬似乱数生成アルゴリズム等）。ここで生成された整数が乱数ｔである。   First, in the random number generation unit (241), a random number is generated to generate one integer of 0 or more and less than L, and this integer is stored in a random number storage area (254) on the RAM (25). The generation of random numbers may be a pseudo random number generation method in a known general-purpose computer or the like (for example, pseudo random number generation based on a computational complexity theory configured using a one-way hash function such as SHA-1. Random number generation algorithm). The integer generated here is a random number t.

次いで、暗号化部（２４２）において、ＲＡＭ（２５）からｇ、ｙ、ｍ及びｔを読み出して、２つの演算Ｇ＝ｔｇ、Ｙ＝ｍ＋ｔｙを行い、この演算結果Ｇ及びＹをＲＡＭ（２５）上の暗号文格納領域（２５５）に格納する。ここで、ｇ、ｙ、ｍ及びｔはそれぞれ、予め外部記憶装置（２７）から読み込まれてＲＡＭ（２５）上の第１公開鍵格納領域（２５２）に格納される公開鍵ｇ、同様に第２公開鍵格納領域（２５３）に格納される公開鍵ｙ、同様に平文格納領域（２５１）に格納される平文ｍ及び乱数格納領域（２５４）に格納された乱数ｔである。暗号文ｃは、２つの演算結果Ｇ及びＹから構成される。また、本実施形態では、演算Ｙ＝ｍ＋δｔｙにおけるδを＋１とした。   Next, the encryption unit (242) reads g, y, m, and t from the RAM (25), performs two operations G = tg, Y = m + ty, and stores the calculation results G and Y in the RAM (25). It stores in the upper ciphertext storage area (255). Here, g, y, m, and t are public keys g that are read in advance from the external storage device (27) and stored in the first public key storage area (252) on the RAM (25), respectively. 2 public key y stored in the public key storage area (253), similarly plaintext m stored in the plaintext storage area (251) and random number t stored in the random number storage area (254). The ciphertext c is composed of two calculation results G and Y. In this embodiment, δ in the calculation Y = m + δty is set to +1.

以上のようにしてＲＡＭ（２５）の所定の格納領域に、暗号文ｃの要素Ｇ及び要素Ｙが格納されるが、さらに、暗号文ｃの要素Ｇ及び要素Ｙを、外部記憶装置（２７）のデータ格納領域（２７３）に書き込みを行って保存記憶する。   As described above, the elements G and Y of the ciphertext c are stored in the predetermined storage area of the RAM (25). Further, the elements G and Y of the ciphertext c are further stored in the external storage device (27). The data storage area (273) is written and stored.

暗号化装置（２）は、通信部（２３）に通信装置（例えば、同軸ケーブルや光ファイバなどの通信ケーブル）を接続することで外部（インターネットなどのネットワーク）と通信可能である。従って、暗号化装置（２）の外部記憶装置（２７）に保存される暗号文ｃの要素Ｇ及び要素Ｙであるデータを、ネットワークを介して他のコンピュータなどに送信することができる。   The encryption device (2) can communicate with the outside (network such as the Internet) by connecting a communication device (for example, a communication cable such as a coaxial cable or an optical fiber) to the communication unit (23). Therefore, the data that is the element G and the element Y of the ciphertext c stored in the external storage device (27) of the encryption device (2) can be transmitted to another computer or the like via the network.

この実施形態では、上記鍵生成装置（１）で得られた鍵である公開鍵ｇ、公開鍵ｙは、予めデータとして外部記憶装置（２７）のデータ格納領域（２７３）に記憶されているとしたが、より具体的には、例えば暗号化装置（２）が、ネットワークを介して、鍵生成装置（１）から公開鍵ｇ及び公開鍵ｙの各データを受信して、これらのデータを外部記憶装置（２７）のデータ格納領域（２７３）に記憶するものである。また、このような形態に限定されず、鍵生成装置（１）で得られた公開鍵ｇ及び公開鍵ｙをＣＤ−ＲＯＭなどの記憶媒体に記憶して、この記憶媒体から暗号化装置（２）の外部記憶装置（２７）に記憶させるものとしてもよい。   In this embodiment, the public key g and the public key y, which are keys obtained by the key generation device (1), are stored in advance in the data storage area (273) of the external storage device (27). However, more specifically, for example, the encryption device (2) receives each data of the public key g and the public key y from the key generation device (1) via the network, and externally transmits these data. The data is stored in the data storage area (273) of the storage device (27). Further, the present invention is not limited to such a form, and the public key g and the public key y obtained by the key generation device (1) are stored in a storage medium such as a CD-ROM, and the encryption device (2 ) May be stored in the external storage device (27).

また、暗号化される平文ｍについても、鍵生成装置（１）から集合Ｅ［Ｌ］、線形変換Ψの演算係数の各データを受信して、これらのデータを外部記憶装置（２７）のデータ格納領域（２７３）に記憶し、暗号化装置（２）においてＥ［Ｌ］の線形変換Ψを求め、この空間上の点から１つ選択されるものとしてもよい。また、入力部（２２）から入力されたテキストについても、適宜バイナリコードに改めるなどして、平文ｍに対応させるとしてもよい。   Also for the plaintext m to be encrypted, each data of the set E [L] and the coefficient of linear transformation Ψ is received from the key generation device (1), and these data are stored in the data in the external storage device (27). The data may be stored in the storage area (273), the linear transformation Ψ of E [L] may be obtained in the encryption device (2), and one of the points on this space may be selected. Also, the text input from the input unit (22) may be changed to a binary code as appropriate to correspond to the plaintext m.

＜検査装置＞
図５は、検査装置（３）のハードウェア構成を例示した構成ブロック図である。図５に例示するように、検査装置（３）は、キーボードなどが接続可能な入力部（３１）、液晶ディスプレイなどが接続可能な出力部（３２）、検査装置（３）外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部（３３）、ＣＰＵ（Central Processing Unit）（３４）、メモリであるＲＡＭ（３５）、ＲＯＭ（３６）やハードディスクである外部記憶装置（３７）並びにこれらの入力部（３１）、出力部（３２）、通信部（３３）、ＣＰＵ（３４）、ＲＡＭ（３５）、ＲＯＭ（３６）、外部記憶装置（３７）間のデータのやり取りが可能なように接続するバス（３８）を有している。また必要に応じて、検査装置（３）に、ＣＤ−ＲＯＭなどの記憶媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。 <Inspection device>
FIG. 5 is a configuration block diagram illustrating a hardware configuration of the inspection apparatus (3). As illustrated in FIG. 5, the inspection device (3) can communicate with an input unit (31) to which a keyboard or the like can be connected, an output unit (32) to which a liquid crystal display or the like can be connected, and the inspection device (3). A communication unit (33) to which a communication device (for example, a communication cable) can be connected, a CPU (Central Processing Unit) (34), a RAM (35) as a memory, a ROM (36), an external storage device (37) as a hard disk, and It is possible to exchange data among these input unit (31), output unit (32), communication unit (33), CPU (34), RAM (35), ROM (36), and external storage device (37). A bus (38) connected to If necessary, the inspection device (3) may be provided with a device (drive) that can read and write a storage medium such as a CD-ROM.

検査装置（３）の外部記憶装置（３７）には、後述する検査結果を得るためのプログラムが保存記憶され、このプログラムの処理において必要となるデータ及びプログラムの処理によって得られた検査結果などを保存記憶するデータ格納領域が確保されている。より具体的には、検査結果を得るためのプログラムは、２つの暗号文の間でのペアリングを演算するペアリング演算プログラム（３７１）、ペアリング演算結果について所定の判定を行うためのペアリング演算結果判定プログラム（３７２）、２つの元の間でのペアリングを演算するための検査ペアリング演算プログラム（３７３）、検査ペアリング演算結果について所定の判定を行うための部分群上元判定プログラム（３７４）である。これらのプログラムの処理において必要となるデータとして、２つの暗号文の各要素、元Ｐ、検査鍵Ｊ及びＥ［Ｌ］の無限遠点Ｏ以外の元Ｓがある。これらのデータに加え、各プログラムの処理によって得られる検査結果などは、外部記憶装置（３７）のデータ格納領域（３７５）に保存記憶される。
検査装置（３）では、外部記憶装置（３７）に記憶されたプログラムとこのプログラムの処理に必要なデータが必要に応じてＲＡＭ（３５）呼び出されて、順次ＣＰＵ（３４）で処理されることで所定の検査結果が得られる。 The external storage device (37) of the inspection device (3) stores and stores a program for obtaining an inspection result, which will be described later, and stores the data necessary for the processing of the program and the inspection result obtained by the processing of the program. A data storage area for saving and storing is secured. More specifically, the program for obtaining the inspection result is a pairing operation program (371) for calculating pairing between two ciphertexts, and a pairing for making a predetermined determination on the pairing operation result. Calculation result determination program (372), inspection pairing calculation program (373) for calculating pairing between two elements, and subgroup element determination program for performing predetermined determination on the inspection pairing calculation result (374). As data necessary for processing of these programs, there are elements S other than the infinity point O of each element of the two ciphertexts, element P, check key J and E [L]. In addition to these data, the inspection results obtained by the processing of each program are stored and stored in the data storage area (375) of the external storage device (37).
In the inspection device (3), the program stored in the external storage device (37) and the data necessary for the processing of this program are called as needed by the RAM (35) and sequentially processed by the CPU (34). A predetermined test result can be obtained.

図６は、検査装置（３）のＣＰＵ（３４）において上記所定のプログラムが処理されることにより、機能暗号における暗号文に対応する平文の一致性の検査結果が得られる処理機能を示す機能ブロック図である。
以下、機能暗号における暗号文に対応する平文の一致性の検査結果が得られる処理の流れを順次説明する。 FIG. 6 is a functional block showing a processing function in which a plaintext consistency check result corresponding to a ciphertext in the functional ciphertext is obtained by processing the predetermined program in the CPU (34) of the checker (3). FIG.
In the following, the flow of processing for obtaining the plaintext consistency check result corresponding to the ciphertext in the functional cipher will be described in sequence.

２つの暗号文の各要素、即ち、暗号文ｃ_１の要素Ｇ_１及び要素Ｙ_１、並びに暗号文ｃ_２の要素Ｇ_２及び要素Ｙ_２は、予めデータとして外部記憶装置（３７）のデータ格納領域（３７５）に記憶されているとする。なお、２つの暗号文ｃ_１及び暗号文ｃ_２は、それぞれ別々の暗号化装置で生成されたものでもよいし、あるいは同じ暗号化装置で生成されたものでもよい。また、暗号文ｃ_１と暗号文ｃ_２は異なる内容のものでも同じものでもよい。 Two of each element of the ciphertext, i.e., elements _{G 1} and element _{Y 1} of the ciphertext _{c 1,} as well as elements _{G 2} and element _{Y 2} of the ciphertext _{c 2,} the data stored in the external storage device (37) as data in advance It is assumed that it is stored in the area (375). Note that two ciphertext c ₁ and the ciphertext c ₂ may be one or may be one generated by each separate encryption device, or generated by the same encryption device. Also, the ciphertext c ₁ and the ciphertext c ₂ may have different contents or the same.

また、外部記憶装置（３７）のデータ格納領域（３７５）には、上記鍵生成装置（１）で得られた検査鍵Ｊ及び元Ｐが予め記憶されているとする。さらに、上記鍵生成装置（１）で用いられたＥ［Ｌ］のうち無限遠点Ｏ以外の元Ｓも、外部記憶装置（３７）のデータ格納領域（３７５）に予め記憶されているとする。   Further, it is assumed that the inspection key J and the element P obtained by the key generation device (1) are stored in advance in the data storage area (375) of the external storage device (37). Further, it is assumed that elements S other than the infinity point O among E [L] used in the key generation device (1) are also stored in advance in the data storage area (375) of the external storage device (37). .

まず、検査ペアリング演算部（３４１）において、ＲＡＭ（３５）からＳ及びＰを読み出して、ペアリングの演算ｅ_Ｌ（Ｓ、Ｐ）を行い、この演算結果を検査ペアリング演算結果格納領域（３５６）に格納する。ここで、Ｓ及びＰはそれぞれ、予め外部記憶装置（３７）から読み込まれてＲＡＭ（３５）上の元Ｓ格納領域（３５５）に格納される元Ｓ及び同様に元Ｐ格納領域（３５３）に格納される元Ｐである。 First, in the inspection pairing calculation unit (341), S and P are read from the RAM (35), the pairing calculation e _L (S, P) is performed, and the calculation result is stored in the check pairing calculation result storage area ( 356). Here, S and P are respectively stored in the original S storage area (353) and the original S storage area (353) stored in the original S storage area (355) on the RAM (35) in advance from the external storage device (37). The original P to be stored.

続いて、部分群上元判定部（３４２）において、検査ペアリング演算結果格納領域（３５６）から読み出した検査ペアリング演算結果が単位元１に等しいか否かの判定を行い、この判定結果の論理値をＲＡＭ（３５）上の部分群上元判定結果格納領域（３５８）に格納する。   Subsequently, the subgroup upper element determination unit (342) determines whether or not the inspection pairing calculation result read from the inspection pairing calculation result storage area (356) is equal to the unit element 1, and The logical value is stored in the subgroup upper element determination result storage area (358) on the RAM (35).

さらに、ペアリング演算部（３４３）において、ＲＡＭ（３５）からＧ_１、Ｙ_１、Ｇ_２、Ｙ_２、Ｊ、Ｐを読み出して、２つのペアリングの演算ｅ_Ｌ（Ｇ_１−Ｇ_２、Ｊ）及びｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）を行い、これらの演算結果をペアリング演算結果格納領域（３５７）に格納する。ここで、Ｇ_１、Ｙ_１、Ｇ_２、Ｙ_２、Ｊ、Ｐはそれぞれ、予め外部記憶装置（３７）から読み込まれてＲＡＭ（３５）上の暗号文ｃ_１格納領域（３５１）に格納される暗号文ｃ_１の要素Ｇ_１及び要素Ｙ_１、同様に暗号文ｃ_２格納領域（３５２）に格納される暗号文ｃ_２の要素Ｇ_２及び要素Ｙ_２、同様に検査鍵格納領域（３５４）に格納される検査鍵Ｊ、同様に元Ｐ格納領域（３５３）に格納される元Ｐである。また、本実施形態では、演算ｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）において、上記暗号化装置（２）に対応した検査装置（３）であるためにδを＋１とした。 Further, in the pairing calculation unit (343), G ₁ , Y ₁ , G ₂ , Y ₂ , J, P are read from the RAM (35), and two pairing calculations e _L (G ₁ -G ₂ , J) and e _L (Y ₁ -Y ₂ , P) are performed, and these calculation results are stored in the pairing calculation result storage area (357). Here, G ₁ , Y ₁ , G ₂ , Y ₂ , J, and P are read in advance from the external storage device (37) and stored in the ciphertext c ₁ storage area (351) on the RAM (35). elements _{G 1} and element _{Y 1} of the ciphertext _{c 1} that, similarly elements _{G 2} and element _{Y 2} of ciphertext _{c 2} which is stored in the ciphertext _{c 2} storage area (352), similarly inspected key storage area (354 ) Stored in the original P storage area (353). Further, in the present embodiment, in the calculation e _L (δ (G ₁ −G ₂ ), J), δ is set to +1 because it is the inspection device (3) corresponding to the encryption device (2).

続いて、ペアリング演算結果判定部（３４４）において、ペアリング演算結果格納領域（３５７）から読み出した上記２つのペアリング演算結果が等しいか否かの判定を行い、この判定結果の論理値をＲＡＭ（３５）上のペアリング演算結果判定結果格納領域（３５９）に格納する。ここで、判定結果が真であれば、２つの暗号文に対応するそれぞれの平文が一致することを意味する。逆に、判定結果が偽であれば、２つの暗号文に対応するそれぞれの平文が一致しないことを意味する。   Subsequently, in the pairing calculation result determination unit (344), it is determined whether or not the two pairing calculation results read from the pairing calculation result storage area (357) are equal, and the logical value of this determination result is determined. The data is stored in the pairing calculation result determination result storage area (359) on the RAM (35). Here, if the determination result is true, it means that the plaintexts corresponding to the two ciphertexts match. Conversely, if the determination result is false, it means that the plaintexts corresponding to the two ciphertexts do not match.

以上のようにしてＲＡＭ（３５）の所定の格納領域に、部分群上元判定結果及びペアリング演算結果判定結果が格納されるが、さらに、部分群上元判定結果及びペアリング演算結果判定結果を、外部記憶装置（３７）のデータ格納領域（３７５）に書き込みを行って保存記憶する。   As described above, the partial group element determination result and the pairing calculation result determination result are stored in the predetermined storage area of the RAM (35). Is stored in the data storage area (375) of the external storage device (37).

本実施形態では、検査ペアリング演算および部分群上元判定に続き、ペアリング演算及びペアリング演算結果の判定を処理するとして説明したが、この順に限定されるものではない。例えば、ペアリング演算及びペアリング演算結果の判定に続き、検査ペアリング演算および部分群上元判定を処理するとしてもよい。ところで、部分群上元判定結果によって、元ＰがＥ［Ｌ］の元Ｓが生成する巡回群〈Ｓ〉上の元であるかを判定できることになる。もし、元ＰがＥ［Ｌ］の元Ｓが生成する巡回群〈Ｓ〉上の元ではないと判定された場合には、ペアリング演算及びペアリング演算結果の判定が正しいものとはならないため、ペアリング演算及びペアリング演算結果の判定の前処理として、検査ペアリング演算および部分群上元判定を処理しておくことが好ましいといえる。従って、例えば図示しない制御部による制御の下、元ＰがＥ［Ｌ］の元Ｓが生成する巡回群〈Ｓ〉上の元ではないと判定された場合には、後続するペアリング演算及びペアリング演算結果の判定を行わないように処理することも可能である。   Although the present embodiment has been described as processing the pairing calculation and the determination of the pairing calculation result following the inspection pairing calculation and the partial group element determination, the present invention is not limited to this order. For example, after the pairing calculation and the determination of the pairing calculation result, the inspection pairing calculation and the partial group element determination may be processed. By the way, it is possible to determine whether the element P is an element on the cyclic group <S> generated by the element S of E [L] based on the partial group element determination result. If it is determined that the element P is not an element on the cyclic group <S> generated by the element S of E [L], the pairing calculation and the determination of the pairing calculation result are not correct. In addition, it can be said that it is preferable to process the inspection pairing calculation and the subgroup upper element determination as pre-processing of the pairing calculation and the determination of the pairing calculation result. Therefore, for example, when it is determined that the element P is not an element on the cyclic group <S> generated by the element S of E [L] under the control of the control unit (not shown), the subsequent pairing operation and pair It is also possible to perform processing so as not to determine the ring operation result.

検査装置（３）は、通信部（３３）に通信装置（例えば、同軸ケーブルや光ファイバなどの通信ケーブル）を接続することで外部（インターネットなどのネットワーク）と通信可能である。従って、この実施形態では、２つの暗号文の各要素である暗号文ｃ_１の要素Ｇ_１及び要素Ｙ_１、並びに暗号文ｃ_２の要素Ｇ_２及び要素Ｙ_２は、予めデータとして外部記憶装置（３７）のデータ格納領域（３７５）に記憶されているとしたが、より具体的には、例えば検査装置（３）が、ネットワークを介して、同じあるいは異なる暗号化装置（２）から暗号文ｃ_１の要素Ｇ_１及び要素Ｙ_１、並びに暗号文ｃ_２の要素Ｇ_２及び要素Ｙ_２を受信して、これらのデータを外部記憶装置（３７）のデータ格納領域（３７５）に記憶するものとすることができる。また、このような形態に限定されず、同じあるいは異なる暗号化装置（２）で得られた２つの暗号文ｃの各要素をＣＤ−ＲＯＭなどの記憶媒体に記憶して、この記憶媒体から検査装置（３）の外部記憶装置（３７）に記憶させるものとしてもよい。 The inspection device (3) can communicate with the outside (network such as the Internet) by connecting a communication device (for example, a communication cable such as a coaxial cable or an optical fiber) to the communication unit (33). Thus, in this embodiment, elements G ₁ and element Y ₁ of the ciphertext c ₁ a each element of the two _ciphertexts, and elements G ₂ and element Y ₂ of the ciphertext c ₂ is an external storage device in advance as data (37) is stored in the data storage area (375). More specifically, for example, the inspection device (3) transmits the ciphertext from the same or different encryption device (2) via the network. receiving element G ₁ and element Y _{1 of} c ₁ and element G ₂ and element Y ₂ of ciphertext c ₂ and storing these data in the data storage area (375) of the external storage device (37) It can be. Further, the present invention is not limited to such a form, and each element of two ciphertexts c obtained by the same or different encryption device (2) is stored in a storage medium such as a CD-ROM, and an inspection is performed from this storage medium. It may be stored in the external storage device (37) of the device (3).

また、この実施形態では、上記鍵生成装置（１）で得られた元Ｐは、予めデータとして外部記憶装置（３７）のデータ格納領域（３７５）に記憶されているとしたが、暗号文と同様にして、例えば検査装置（３）が、ネットワークを介して、鍵生成装置（１）から元Ｐのデータを受信して、このデータを外部記憶装置（３７）のデータ格納領域（３７５）に記憶するものとすることができる。また、このような形態に限定されず、上記鍵生成装置（１）で得られた元ＰをＣＤ−ＲＯＭなどの記憶媒体に記憶して、この記憶媒体から検査装置（３）の外部記憶装置（３７）に記憶させるものとしてもよい。   In this embodiment, the element P obtained by the key generation device (1) is stored in advance in the data storage area (375) of the external storage device (37). Similarly, for example, the inspection device (3) receives the original P data from the key generation device (1) via the network, and stores this data in the data storage area (375) of the external storage device (37). It can be memorized. Further, the present invention is not limited to such a form, and the original P obtained by the key generation device (1) is stored in a storage medium such as a CD-ROM, and the external storage device of the inspection device (3) is stored from this storage medium. (37) may be stored.

さらに、この実施形態では、検査鍵Ｊは、予めデータとして外部記憶装置（３７）のデータ格納領域（３７５）に記憶されているとしたが、検査鍵Ｊはその秘匿性が相当程度に要求されるのが通常である（検査鍵が公開鍵と同程度に容易に入手可能であれば、機能暗号が確率暗号としての機能を有することの意味が失われる。）。従って、通信傍受の可能性のあるネットワークを経由して検査装置（３）に送信されるのではなく、別途記憶媒体に記憶して、この記憶媒体を郵送などの手段で検査装置（３）の下に送り、この記憶媒体から検査装置（３）の外部記憶装置（３７）に予め記憶させるのが好ましい。   Furthermore, in this embodiment, the inspection key J is stored in advance in the data storage area (375) of the external storage device (37), but the inspection key J is required to have a considerable degree of confidentiality. (If the inspection key can be obtained as easily as the public key, the meaning that the functional cipher has a function as a stochastic cipher is lost). Therefore, it is not transmitted to the inspection apparatus (3) via a network with the possibility of interception of communication, but is stored separately in a storage medium, and this storage medium is sent to the inspection apparatus (3) by means such as mailing. It is preferable that the data is sent down and stored in advance in the external storage device (37) of the inspection device (3) from this storage medium.

また、この実施形態では、上記鍵生成装置（１）で用いられたＥ［Ｌ］のうち無限遠点Ｏ以外の元Ｓも、外部記憶装置（３７）のデータ格納領域（３７５）に予め記憶されているとした。しかし、このような実施形態に限定されるものではなく、例えば図示しないものの、上記鍵生成装置（１）における元Ｐ選択部と同様の処理を行う元Ｓ選択部を備えてＥ［Ｌ］から１つの元を抽出し、この元が無限遠点であるか否かを判定する判定部を備えることで、検査装置（３）において元Ｓを１つ決定するようにしてもよい。この場合、上記鍵生成装置（１）からＥ［Ｌ］のデータを受信して、これらのデータを外部記憶装置（３７）のデータ格納領域に記憶する。   In this embodiment, the element S other than the infinity point O among E [L] used in the key generation device (1) is also stored in advance in the data storage area (375) of the external storage device (37). It has been said. However, the present invention is not limited to such an embodiment. For example, although not shown, an element S selection unit that performs the same processing as the element P selection unit in the key generation device (1) includes an element S selection unit from E [L]. One element S may be determined in the inspection apparatus (3) by including a determination unit that extracts one element and determines whether or not the element is a point at infinity. In this case, E [L] data is received from the key generation device (1), and these data are stored in the data storage area of the external storage device (37).

＜復号化装置＞
図７は、復号化装置（４）のハードウェア構成を例示した構成ブロック図である。図７に例示するように、復号化装置（４）は、キーボードなどが接続可能な入力部（４１）、液晶ディスプレイなどが接続可能な出力部（４２）、復号化装置（４）外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部（４３）、ＣＰＵ（Central Processing Unit）（４４）、メモリであるＲＡＭ（４５）、ＲＯＭ（４６）やハードディスクである外部記憶装置（４７）並びにこれらの入力部（４１）、出力部（４２）、通信部（４３）、ＣＰＵ（４４）、ＲＡＭ（４５）、ＲＯＭ（４６）、外部記憶装置（４７）間のデータのやり取りが可能なように接続するバス（４８）を有している。また必要に応じて、復号化装置（４）に、ＣＤ−ＲＯＭなどの記憶媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。 <Decryption device>
FIG. 7 is a block diagram illustrating the hardware configuration of the decoding device (4). As illustrated in FIG. 7, the decoding device (4) communicates with an input unit (41) to which a keyboard or the like can be connected, an output unit (42) to which a liquid crystal display or the like can be connected, and the decoding device (4) to the outside. A communication unit (43) to which a connectable communication device (for example, a communication cable) can be connected, a CPU (Central Processing Unit) (44), a RAM (45) as a memory, a ROM (46), and an external storage device (47) as a hard disk ) And the input unit (41), the output unit (42), the communication unit (43), the CPU (44), the RAM (45), the ROM (46), and the external storage device (47). It has the bus (48) which connects like this. If necessary, the decryption device (4) may be provided with a device (drive) that can read and write a storage medium such as a CD-ROM.

復号化装置（４）の外部記憶装置（４７）には、後述する平文を生成するためのプログラムが保存記憶され、このプログラムの処理において必要となるデータ及びプログラムの処理によって得られた平文などを保存記憶するデータ格納領域が確保されている。より具体的には、平文を生成するためのプログラムは、秘密鍵ｘを用いて暗号文から平文を生成する復号化プログラム（４７１）である。これらのプログラムの処理において必要となるデータとして、秘密鍵ｘおよび暗号文の２つの要素がある。これらのデータに加え、各プログラムの処理によって得られる平文は、外部記憶装置（４７）のデータ格納領域（４７２）に保存記憶される。
復号化装置（４）では、外部記憶装置（４７）に記憶されたプログラムとこのプログラムの処理に必要なデータが必要に応じてＲＡＭ（４５）呼び出されて、順次ＣＰＵ（４４）で処理されることで暗号文が生成される。 The external storage device (47) of the decryption device (4) stores and stores a program for generating plaintext, which will be described later, and stores data necessary for the processing of this program and plaintext obtained by the processing of the program. A data storage area for saving and storing is secured. More specifically, the program for generating plaintext is a decryption program (471) that generates plaintext from ciphertext using the secret key x. As data necessary for the processing of these programs, there are two elements: a secret key x and a ciphertext. In addition to these data, plain text obtained by the processing of each program is stored and stored in the data storage area (472) of the external storage device (47).
In the decryption device (4), the program stored in the external storage device (47) and the data necessary for the processing of this program are called up as needed by the RAM (45) and sequentially processed by the CPU (44). Thus, a ciphertext is generated.

図８は、復号化装置（４）のＣＰＵ（４４）において上記所定のプログラムが処理されることにより、機能暗号における平文が生成される処理機能を示す機能ブロック図である。
以下、機能暗号における平文が生成される処理の流れを順次説明する。 FIG. 8 is a functional block diagram showing processing functions for generating plaintext in the functional encryption by processing the predetermined program in the CPU (44) of the decryption device (4).
Hereinafter, the flow of processing for generating plaintext in the functional encryption will be sequentially described.

復号化される暗号文ｃの要素Ｇ及び要素Ｙは、予めデータとして外部記憶装置（４７）のデータ格納領域（４７２）に記憶されているとする。   It is assumed that the elements G and Y of the ciphertext c to be decrypted are stored in advance in the data storage area (472) of the external storage device (47).

また、外部記憶装置（４７）のデータ格納領域（４７２）には、上記鍵生成装置（１）で得られた鍵である秘密鍵ｘが予め記憶されているとする。   Further, it is assumed that a secret key x, which is a key obtained by the key generation device (1), is stored in advance in the data storage area (472) of the external storage device (47).

復号化部（４４１）において、ＲＡＭ（４５）からＧ、Ｙ、ｘを読み出して、演算ｍ＝Ｙ−ｘＧを行い、この演算結果をＲＡＭ（４５）上の平文格納領域（４５３）に格納する。この演算結果が平文ｍである。なお、Ｇ、Ｙ、ｘはそれぞれ、外部記憶装置（４７）から読み込まれてＲＡＭ（４５）上の暗号文格納格納領域（４５１）に格納される暗号文ｃの要素Ｇ及び要素Ｙと、同様に秘密鍵格納領域（４５２）に格納される秘密鍵ｘである。また、本実施形態では、演算ｍ＝Ｙ−δｘＧにおいて、暗号化装置（２）に対応した復号化装置（４）であるためにδを＋１とした。   In the decryption unit (441), G, Y, and x are read from the RAM (45), the calculation m = Y−xG is performed, and the calculation result is stored in the plaintext storage area (453) on the RAM (45). . The calculation result is plaintext m. G, Y, and x are the same as the elements G and Y of the ciphertext c read from the external storage device (47) and stored in the ciphertext storage area (451) on the RAM (45). Is the secret key x stored in the secret key storage area (452). Further, in the present embodiment, in the calculation m = Y−δxG, δ is set to +1 because it is a decryption device (4) corresponding to the encryption device (2).

以上のようにしてＲＡＭ（４５）の所定の格納領域に、平文ｍが格納されるが、さらに平文ｍを、外部記憶装置（４７）のデータ格納領域（４７２）に書き込みを行って保存記憶する。   As described above, the plaintext m is stored in the predetermined storage area of the RAM (45), and the plaintext m is further written and stored in the data storage area (472) of the external storage device (47). .

復号化装置（４）は、通信部（４３）に通信装置（例えば、同軸ケーブルや光ファイバなどの通信ケーブル）を接続することで外部（インターネットなどのネットワーク）と通信可能である。従って、この実施形態では、暗号文ｃの要素Ｇ及び要素Ｙは、予めデータとして外部記憶装置（４７）のデータ格納領域（４７２）に記憶されているとしたが、より具体的には、例えば復号化装置（４）が、ネットワークを介して、暗号化装置（２）から暗号文ｃの要素Ｇ及び要素Ｙを受信して、これらのデータを外部記憶装置（４７）のデータ格納領域（４７２）に記憶するものとすることができる。また、このような形態に限定されず、暗号化装置（２）で得られた暗号文ｃの要素Ｇ及び要素ＹをＣＤ−ＲＯＭなどの記憶媒体に記憶して、この記憶媒体から復号化装置（４）の外部記憶装置（４７）に記憶させるものとしてもよい。   The decoding device (4) can communicate with the outside (network such as the Internet) by connecting a communication device (for example, a communication cable such as a coaxial cable or an optical fiber) to the communication unit (43). Therefore, in this embodiment, the element G and the element Y of the ciphertext c are stored in advance in the data storage area (472) of the external storage device (47), but more specifically, for example, The decryption device (4) receives the elements G and Y of the ciphertext c from the encryption device (2) via the network, and stores these data in the data storage area (472) of the external storage device (47). ). Further, the present invention is not limited to such a form, and the elements G and Y of the ciphertext c obtained by the encryption apparatus (2) are stored in a storage medium such as a CD-ROM, and the decryption apparatus is stored from this storage medium. It may be stored in the external storage device (47) of (4).

また、この実施形態では、秘密鍵ｘは、予めデータとして外部記憶装置（４７）のデータ格納領域（４７２）に記憶されているとしたが、秘密鍵ｘはその秘匿性が高度に要求されるのが通常である。従って、通信傍受の可能性のあるネットワークを経由して復号化装置（４）に送信されるのではなく、別途記憶媒体に記憶して、この記憶媒体を郵送などの手段で復号化装置（４）の下に送り、この記憶媒体から復号化装置（４）の外部記憶装置（４７）に予め記憶させるのが好ましい。   In this embodiment, the secret key x is stored in advance in the data storage area (472) of the external storage device (47). However, the secret key x is highly required to be confidential. It is normal. Therefore, it is not transmitted to the decryption device (4) via a network with the possibility of communication interception, but is stored in a separate storage medium, and this storage medium is sent by means such as mailing to the decryption device (4 ) And stored in advance in the external storage device (47) of the decryption device (4) from this storage medium.

＜上記各装置全般について＞
本発明である上記各装置は上述の実施の形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記各装置において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。
また、上記各装置における処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における処理機能がコンピュータ上で実現される。
また、上記各装置は、異なるコンピュータとして独立に構成される場合はもちろん、例えば１つのコンピュータにおいて、検査装置の有すべき機能の処理内容が記述されたプログラムと、暗号化装置の有すべき機能の処理内容が記述されたプログラムとを有することによって、１つのコンピュータが暗号化装置としても検査装置としても機能するように、コンピュータを複合的に機能させることもできる。 <About the above devices in general>
Each of the above devices according to the present invention is not limited to the above-described embodiment, and can be appropriately changed without departing from the spirit of the present invention. In addition, the processing described in each of the above devices may be executed not only in time series according to the order of description but also in parallel or individually as required by the processing capability of the device that executes the processing. .
Further, when the processing functions in the above devices are realized by a computer, the processing contents of the functions that each device should have are described by a program. Then, by executing this program on a computer, the processing functions in the above-described devices are realized on the computer.
In addition, each of the above devices may be configured independently as different computers, for example, in one computer, a program in which processing contents of functions that the inspection device should have and a function that the encryption device should have By having a program in which the processing contents of the above are described, the computer can be made to function in a complex manner so that one computer functions as both an encryption device and an inspection device.

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。   The program describing the processing contents can be recorded on a computer-readable recording medium. As the computer-readable recording medium, for example, any recording medium such as a magnetic recording device, an optical disk, a magneto-optical recording medium, and a semiconductor memory may be used. Specifically, for example, as a magnetic recording device, a hard disk device, a flexible disk, a magnetic tape or the like, and as an optical disk, a DVD (Digital Versatile Disc), a DVD-RAM (Random Access Memory), a CD-ROM (Compact Disc Read Only). Memory), CD-R (Recordable) / RW (ReWritable), etc., magneto-optical recording medium, MO (Magneto-Optical disc), etc., semiconductor memory, EEP-ROM (Electronically Erasable and Programmable-Read Only Memory), etc. Can be used.

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。   The program is distributed by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。   A computer that executes such a program first stores, for example, a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, the computer reads a program stored in its own recording medium and executes a process according to the read program. As another execution form of the program, the computer may directly read the program from the portable recording medium and execute processing according to the program, and the program is transferred from the server computer to the computer. Each time, the processing according to the received program may be executed sequentially. Also, the program is not transferred from the server computer to the computer, and the above-described processing is executed by a so-called ASP (Application Service Provider) type service that realizes the processing function only by the execution instruction and result acquisition. It is good. Note that the program in this embodiment includes information that is used for processing by an electronic computer and that conforms to the program (data that is not a direct command to the computer but has a property that defines the processing of the computer).

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。   In this embodiment, the present apparatus is configured by executing a predetermined program on a computer. However, at least a part of these processing contents may be realized by hardware.

＜機能暗号システム＞
続いて、図９を参照して、上記の鍵生成装置（１）、暗号化装置（２）、検査装置（３）、復号化装置（４）を利用した機能暗号システムの一例を説明する。
図９は、鍵生成装置（１）、暗号化装置（２）、検査装置（３）、復号化装置（４）を利用した機能暗号システムの構成例を示す図である。 <Functional cryptographic system>
Next, an example of a functional encryption system using the above key generation device (1), encryption device (2), inspection device (3), and decryption device (4) will be described with reference to FIG.
FIG. 9 is a diagram illustrating a configuration example of a functional encryption system using the key generation device (1), the encryption device (2), the inspection device (3), and the decryption device (4).

鍵生成装置（１）、暗号化装置（２）、検査装置（３）、復号化装置（４）は、それぞれインターネットやＬＡＮ（Local Area Network）などのネットワーク（６）に通信可能に接続される。また、ネットワーク（６）には複数の暗号化装置（２）が接続されている。さらに、ネットワーク（６）には、公開鍵登録サーバ（５）が接続されている。   The key generation device (1), the encryption device (2), the inspection device (3), and the decryption device (4) are communicably connected to a network (6) such as the Internet or a LAN (Local Area Network). . A plurality of encryption devices (2) are connected to the network (6). Furthermore, a public key registration server (5) is connected to the network (6).

鍵生成装置（１）において生成された公開鍵ｇ、公開鍵ｙはいずれも機能暗号システムにおいて公開される。また、この機能暗号システムでは、鍵生成装置（１）において得られた元Ｐ、元Ｐを得るに利用した集合Ｅ［Ｌ］、線形変換Ψの演算係数も公開される。機能暗号システムにおいて公開される公開鍵ｇ、公開鍵ｙ、元Ｐ、集合Ｅ［Ｌ］、線形変換Ψの演算係数は、鍵生成装置（１）の外部記憶装置（１７）に保存記憶されるとし、ネットワーク（６）を経由して暗号化装置（２）などからアクセスされることによって配布されるものとしてもよい。しかし、鍵生成装置（１）では、秘密鍵ｘ及び検査鍵Ｊも生成されるため、不正アクセスによる秘密鍵ｘなどの漏洩に対処するため、公開鍵登録サーバ（５）の外部記憶装置に、機能暗号システムにおいて公開される公開鍵ｇ、公開鍵ｙ、元Ｐ、集合Ｅ［Ｌ］、線形変換Ψの演算係数を保存しておくのがよい。つまり機能暗号システムでは、公開鍵登録サーバ（５）が暗号化装置（２）からのアクセスを受けることで、公開鍵ｇなどの提供がなされる。   Both the public key g and the public key y generated in the key generation device (1) are disclosed in the functional encryption system. In this functional encryption system, the element P obtained in the key generation device (1), the set E [L] used to obtain the element P, and the arithmetic coefficient of the linear transformation Ψ are also disclosed. The public key g, the public key y, the element P, the set E [L], and the arithmetic coefficient of the linear transformation Ψ are publicly stored in the function storage system in the external storage device (17) of the key generation device (1). It may be distributed by being accessed from the encryption device (2) or the like via the network (6). However, since the secret key x and the check key J are also generated in the key generation device (1), in order to deal with leakage of the secret key x and the like due to unauthorized access, the external storage device of the public key registration server (5) The public key g, the public key y, the element P, the set E [L], and the calculation coefficient of the linear transformation Ψ, which are disclosed in the functional encryption system, may be stored. That is, in the functional encryption system, the public key g and the like are provided when the public key registration server (5) receives access from the encryption device (2).

鍵生成装置（１）において生成された秘密鍵ｘは、その秘匿性が高度に要求される。従って、通信傍受の可能性のあるネットワーク（６）を経由して復号化装置（４）に送信されるのではなく、別途記憶媒体に記憶して、この記憶媒体を郵送などの手段で復号化装置（４）の下に送り、この記憶媒体から復号化装置（４）の外部記憶装置（４７）に記憶させるのが好ましい。   The secret key x generated in the key generation device (1) is highly required to be confidential. Therefore, it is not sent to the decryption device (4) via the network (6) with the possibility of intercepting communication, but is stored in a separate storage medium, and this storage medium is decrypted by means such as mailing. It is preferably sent under the device (4) and stored from this storage medium in the external storage device (47) of the decoding device (4).

鍵生成装置（１）において生成された検査鍵Ｊは、その秘匿性が相当程度に要求される。従って、通信傍受の可能性のあるネットワーク（６）を経由して検査装置（３）に送信されるのではなく、別途記憶媒体に記憶して、この記憶媒体を郵送などの手段で検査装置（３）の下に送り、この記憶媒体から検査装置（３）の外部記憶装置（３７）に記憶させるのが好ましい。   The inspection key J generated in the key generation device (1) is required to have a high degree of confidentiality. Therefore, it is not transmitted to the inspection device (3) via the network (6) with the possibility of intercepting communication, but is stored in a separate storage medium, and this storage medium is sent by means such as mailing to the inspection device ( 3), and it is preferable that the storage medium is stored in the external storage device (37) of the inspection device (3).

複数の暗号化装置（２）は、それぞれ公開鍵登録サーバ（５）にアクセスして公開鍵ｇなどを入手し、各暗号化装置（２）において平文ｍから暗号文ｃを生成する。各暗号化装置（２）において生成された暗号文ｃは、ネットワーク（６）を介して復号化装置（４）に送信される。また、検査装置（３）は、暗号化装置（２）で生成された暗号文ｃの受信を行う。   The plurality of encryption devices (2) each access the public key registration server (5) to obtain the public key g and the like, and the encryption device (2) generates the ciphertext c from the plaintext m. The ciphertext c generated in each encryption device (2) is transmitted to the decryption device (4) via the network (6). The inspection device (3) receives the ciphertext c generated by the encryption device (2).

復号化装置（４）では、秘密鍵ｘをもって、ネットワーク（６）経由で受信された、各暗号化装置（２）で生成された暗号文の復号化を行う。また、検査装置（３）では、検査鍵Ｊをもって、ネットワーク経由で受信された、各暗号化装置（２）で生成された２つの暗号文の間で上記のペアリングの演算を行い、平文が一致するかの検査を行う。   The decryption device (4) decrypts the ciphertext generated by each encryption device (2) received via the network (6) with the secret key x. The inspection device (3) performs the above pairing operation between the two ciphertexts generated by each encryption device (2) received via the network with the inspection key J, and the plaintext is Check for a match.

このような機能暗号システムにおいては、例えばネットワーク（６）上における不正アクセス者が、暗号化装置（２）で生成された暗号文を傍受しても、当該暗号文は平文と１対１の関係にないため、傍受された暗号文からそれに対応する平文が何であったかを判別することはできない。つまりこの場合、この機能暗号システムは確率暗号として機能しているといえる。このことは、検査鍵Ｊを持たない正当なアクセス者でも同様である。しかし、検査鍵Ｊを持つ（正当な）アクセス者ならば、検査装置によって受信した２つの暗号文からそれぞれに対応する平文の一致性を検査することができる。つまりこの場合、この機能暗号システムは確定暗号として機能するといえる。   In such a functional encryption system, even if an unauthorized access person on the network (6) intercepts a ciphertext generated by the encryption device (2), the ciphertext has a one-to-one relationship with the plaintext. Therefore, it is impossible to determine what the plaintext corresponding to the intercepted ciphertext was. That is, in this case, it can be said that this functional encryption system functions as a stochastic encryption. The same applies to a legitimate accessor who does not have the inspection key J. However, a (legitimate) accessor having the inspection key J can inspect the matching of the plaintext corresponding to each of the two ciphertexts received by the inspection device. That is, in this case, it can be said that this functional encryption system functions as a definite encryption.

本発明である鍵生成装置、暗号化装置、復号化装置及び検査装置によって機能暗号を実現できるので、例えば、投票者と票との対応関係を不明にし（無記名性）、さらに投票所における不正の有無を検査できること（透明性）などが要求される電子投票などに利用できる。   Since the functional encryption can be realized by the key generation device, the encryption device, the decryption device, and the inspection device according to the present invention, for example, the correspondence relationship between the voter and the vote is unclear (anonymity), and the illegal It can be used for electronic voting that requires inspection (transparency).

鍵生成装置（１）のハードウェア構成を例示した構成ブロック図。The block diagram which illustrated the hardware constitutions of the key generation apparatus (1). 鍵生成装置（１）において機能暗号における鍵が生成される処理機能を示す機能ブロック図。The functional block diagram which shows the processing function by which the key in a functional encryption is produced | generated in a key production | generation apparatus (1). 暗号化装置（２）のハードウェア構成を例示した構成ブロック図。The block diagram which illustrated the hardware constitutions of the encryption apparatus (2). 暗号化装置（２）において機能暗号における暗号文が生成される処理機能を示す機能ブロック図。The functional block diagram which shows the processing function in which the encryption text in a functional encryption is produced | generated in an encryption apparatus (2). 検査装置（３）のハードウェア構成を例示した構成ブロック図。The block diagram which illustrated the hardware constitutions of the inspection apparatus (3). 検査装置（３）において暗号文に対応する平文の一致性の検査結果が得られる処理機能を示す機能ブロック図。The functional block diagram which shows the processing function in which the test | inspection apparatus (3) obtains the test result of the plaintext consistency corresponding to a ciphertext. 復号化装置（４）のハードウェア構成を例示した構成ブロック図。The block diagram which illustrated the hardware constitutions of the decoding apparatus (4). 復号化装置（４）において機能暗号における平文が生成される処理機能を示す機能ブロック図。The functional block diagram which shows the processing function by which the plaintext in a functional encryption is produced | generated in a decryption apparatus (4). 鍵生成装置（１）、暗号化装置（２）、検査装置（３）、復号化装置（４）を利用した機能暗号システムの構成例を示す図。The figure which shows the structural example of the functional encryption system using a key production | generation apparatus (1), an encryption apparatus (2), a test | inspection apparatus (3), and a decryption apparatus (4).

符号の説明Explanation of symbols

１ 鍵生成装置
２ 暗号化装置
３ 検査装置
４ 復号化装置 DESCRIPTION OF SYMBOLS 1 Key generation apparatus 2 Encryption apparatus 3 Inspection apparatus 4 Decryption apparatus

Claims (10)

少なくともＥ［Ｌ］（有限体上定義された楕円曲線Ｅ上の点Ｒであって、ＬＲ＝Ｏ〔Ｌは素数とし、Ｏは無限遠点とする。〕を満たす点Ｒの集合）の元Ｐ（但し元Ｐは、Ｅ［Ｌ］のフロベニウス写像φ^ｎ〔ｎは正整数〕の非固有空間上における位数Ｌの巡回群の元とする。）を記憶する元記憶手段と、
乱数（０以上Ｌ未満の整数）を秘密鍵ｘとして出力する秘密鍵生成手段と、
秘密鍵生成手段において出力された秘密鍵ｘと、元記憶手段において記憶された元Ｐとで楕円スカラー倍演算Ｊ＝ｘＰを行い、この演算結果を検査鍵Ｊとして出力する検査鍵生成手段と、
元記憶手段において記憶された元Ｐに対して線形変換Ψ（但し線形変換Ψは、Ｅ［Ｌ］から、フロベニウス写像φ^ｎの固有値λ^ｎに関する固有空間Ψ（Ｅ［Ｌ］）への準同型写像であって、Ψ＝const×（φ^ｎ−λ^ｎ）〔constは定数〕で定義される。）の演算を行い、この演算結果を公開鍵ｇとして出力する第１公開鍵生成手段と、
検査鍵生成手段において出力された検査鍵Ｊに対して線形変換Ψの演算を行い、この演算結果を公開鍵ｙとして出力する第２公開鍵生成手段と、
を備えることを特徴とする鍵生成装置。 Element of at least E [L] (a set of points R satisfying LR = O [L is a prime number and O is a point at infinity] on an elliptic curve E defined on a finite field) P (where the original P is [n is a positive integer] Frobenius mapping phi ⁿ of E [L]. to position the original number of cyclic groups L on the non-specific space) and the original storage means for storing,
Secret key generation means for outputting a random number (an integer of 0 or more and less than L) as a secret key x;
A check key generating means for performing an elliptic scalar multiplication J = xP on the secret key x output in the secret key generating means and the element P stored in the original storage means, and outputting the calculation result as the check key J;
Linear transformation Ψ (where linear transformation Ψ is the homomorphism from E [L] to eigenspace Ψ (E [L]) for eigenvalue λ ⁿ of Frobenius map φ ⁿ with respect to element P stored in the original storage means. A first public key generating means that performs an operation of Ψ = const × (φ ⁿ −λ ⁿ ) (const is a constant) and outputs the operation result as a public key g.
A second public key generating means for performing a linear transformation Ψ on the check key J output in the check key generating means, and outputting the calculation result as a public key y;
A key generation device comprising: Ｅ［Ｌ］上の元Ｐに対して、演算φ^ｎＰ−λ_ｉ ^ｎＰ（但しｉ＝１、２とし、λ_１ ^ｎ、λ_２ ^ｎは、それぞれＥ［Ｌ］のフロベニウス写像φ^ｎの固有値とする。）を行い、各演算結果を出力する元演算手段と、
元演算手段によって出力された各演算結果の少なくとも１つが無限遠点であるかを判定する元演算結果判定手段とを備え、
元記憶手段が、元演算結果判定手段において、元演算手段によって出力された各演算結果がともに無限遠点Ｏにならないと判定された上記元Ｐを記憶するものである
ことを特徴とする請求項１記載の鍵生成装置。 E the original P on [L], and calculating _{^{φ n P-λ i n P}} ( where ^{_{i = 1,2, λ 1 n,}} λ 2 n is the Frobenius mapping phi ⁿ each E [L] An original value calculating unit), and outputting each calculation result;
Original calculation result determination means for determining whether at least one of the calculation results output by the original calculation means is a point at infinity,
The original storage means stores the element P determined by the original calculation result determination means that both of the calculation results output by the original calculation means are not the infinity point O. The key generation device according to 1. 少なくとも平文ｍ（但し平文ｍは、Ｅ［Ｌ］のフロベニウス写像φ^ｎの固有空間上の元とする。）と、請求項１または請求項２に記載の鍵生成装置で出力された公開鍵ｇ及び公開鍵ｙとを記憶する暗号化要素記憶手段と、
乱数ｔ（但し、０以上Ｌ未満の整数とする。）を出力する乱数生成手段と、
暗号化要素記憶手段に記憶された公開鍵ｇと、乱数生成手段において出力された乱数ｔとで楕円スカラー倍演算Ｇ＝ｔｇを行い、
暗号化要素記憶手段に記憶された公開鍵ｙと、乱数生成手段において出力された乱数ｔと、暗号化要素記憶手段に記憶された平文ｍとで楕円加算及び楕円スカラー倍による演算Ｙ＝ｍ＋δｔｙ（但しδは、１または−１とする。）を行い、
これらの演算結果Ｇと演算結果Ｙとを暗号文ｃ＝（Ｇ、Ｙ）として出力する暗号化手段と、
を備えることを特徴とする暗号化装置。 At least the plaintext m (where plaintext m is, E and Frobenius mapping phi ⁿ original eigenspace of [L].) And the public key g output by the key generation device according to claim 1 or claim 2 And an encryption element storage means for storing the public key y,
Random number generation means for outputting a random number t (provided that the integer is 0 or more and less than L);
An elliptic scalar multiplication G = tg is performed on the public key g stored in the encryption element storage unit and the random number t output from the random number generation unit,
An operation Y = m + δty (with elliptic addition and elliptic scalar multiplication) using the public key y stored in the encryption element storage means, the random number t output from the random number generation means, and the plaintext m stored in the encryption element storage means Where δ is 1 or -1.)
Encryption means for outputting these calculation result G and calculation result Y as ciphertext c = (G, Y);
An encryption device comprising: 少なくとも請求項３記載の同一または別個の暗号化装置で出力された２つの暗号文ｃ_１＝（Ｇ_１、Ｙ_１）及びｃ_２＝（Ｇ_２、Ｙ_２）と、請求項１または請求項２に記載の鍵生成装置において記憶された元Ｐ及び請求項１または請求項２に記載の鍵生成装置において出力された検査鍵Ｊとを記憶する検査要素記憶手段と、
検査要素記憶手段に記憶された暗号文ｃ_１、ｃ_２との間において、検査要素記憶手段に記憶された元Ｐ、検査鍵Ｊを用いて、ペアリングｅ_Ｌ（δ（Ｇ_１−Ｇ_２）、Ｊ）及びペアリングｅ_Ｌ（Ｙ_１−Ｙ_２、Ｐ）を演算し、各演算結果をそれぞれ出力するペアリング演算手段と、
ペアリング演算手段によって出力された各演算結果の一致を判定し、この判定結果を出力するペアリング演算結果判定手段と、
を備えることを特徴とする検査装置。 At least two ciphertexts c ₁ = (G ₁ , Y ₁ ) and c ₂ = (G ₂ , Y ₂ ) output by the same or separate encryption device according to claim 3, and claim 1 or claim Check element storage means for storing the element P stored in the key generation device according to claim 2 and the check key J output in the key generation device according to claim 1 or claim 2;
A pairing e _L (δ (G ₁ -G ₂₎ is used between the ciphertexts c ₁ and c ₂ stored in the test element storage unit and the source P and the test key J stored in the test element storage unit. ), J) and pairing e _L (Y ₁ -Y ₂ , P), and pairing calculation means for outputting each calculation result,
A pairing calculation result determining means for determining a match between the calculation results output by the pairing calculating means and outputting the determination result;
An inspection apparatus comprising: 検査要素記憶手段が、Ｅ［Ｌ］の無限遠点Ｏ以外の元Ｓを記憶し、
検査要素記憶手段に記憶された元Ｓと検査要素記憶手段に記憶された元Ｐとの間のペアリングｅ_Ｌ（Ｓ、Ｐ）を演算し、この演算結果を出力する検査ペアリング演算手段と、
検査ペアリング演算手段で演算されたペアリングｅ_Ｌ（Ｓ、Ｐ）の値が単位元１であるかを判定し、この判定結果を出力する部分群上元判定手段と、
を備えたことを特徴とする請求項４記載の検査装置。 The inspection element storage means stores an element S other than the infinity point O of E [L],
A check pairing calculating means for calculating a pairing e _L (S, P) between the element S stored in the test element storage means and the element P stored in the check element storage means, and outputting the calculation result; ,
Determining whether the value of the pairing e _L (S, P) calculated by the inspection pairing calculation means is the unit element 1, and outputting the determination result;
The inspection apparatus according to claim 4, further comprising: 少なくとも請求項１または請求項２に記載の鍵生成装置において出力された秘密鍵ｘと、請求項２に記載の暗号化装置において出力された暗号文ｃ＝（Ｇ、Ｙ）とを記憶する復号化要素記憶手段と、
復号化要素記憶手段に記憶された秘密鍵ｘ及び暗号文ｃ＝（Ｇ、Ｙ）の間で楕円スカラー倍及び楕円減算による演算ｍ＝Ｙ−δｘＧを行い、この演算結果を平文ｍとして出力する復号化手段と、
を備えることを特徴とする復号化装置。 A decryption that stores at least the secret key x output by the key generation device according to claim 1 or 2 and the ciphertext c = (G, Y) output by the encryption device according to claim 2 Element storage means;
An operation m = Y−δxG by elliptic scalar multiplication and ellipse subtraction is performed between the secret key x and the ciphertext c = (G, Y) stored in the decryption element storage means, and the operation result is output as plaintext m. Decryption means;
A decoding device comprising: 請求項１または請求項２に記載された鍵生成装置としてコンピュータを機能させるための鍵生成プログラム。   A key generation program for causing a computer to function as the key generation apparatus according to claim 1. 請求項３に記載された暗号化装置としてコンピュータを機能させるための暗号化プログラム。   An encryption program for causing a computer to function as the encryption device according to claim 3. 請求項４または請求項５に記載された検査装置としてコンピュータを機能させるための検査プログラム。   An inspection program for causing a computer to function as the inspection device according to claim 4. 請求項６に記載された復号化装置としてコンピュータを機能させるための復号化プログラム。   A decoding program for causing a computer to function as the decoding device according to claim 6.

Images