JP7273742B2 - 暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラム - Google Patents

Description

本発明の実施形態は暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムに関する。

電子メールを始めとする多くの情報がネットワークを行き交うことにより、人々がコミュニケーションを行なうネットワーク社会において、暗号技術は情報の機密性や真正性を守る手段として広く活用されている。一方で、現在広く利用されているＲＳＡ暗号や楕円曲線暗号であっても量子計算機が出現すれば解読される危険に晒されている。

特開２０１０―２０４４６６号公報

本発明が解決しようとする課題は、量子計算機が出現しても安全性が確保できる暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムを提供することである。

実施形態の暗号化装置は、公開鍵取得部と平文埋め込み部と多項式演算部と第１の多項式生成部と第２の多項式生成部と暗号化部とを備える。公開鍵取得部は、環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得する。平文埋め込み部は、メッセージｍを、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の係数として分散して埋め込む。多項式演算部は、前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）を掛け合わせた平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）を生成する。第１の多項式生成部は、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元を係数に持つランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する。第２の多項式生成部は、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する。暗号化部は、前記平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）に対し、前記識別多項式ｆ（ｔ）と，前記ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）と，前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）と、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理により、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を生成する。

実施形態の暗号化装置の機能構成の例を示す図。 実施形態の暗号化方法の例を示すフローチャート。 実施形態の復号装置の機能構成の例を示す図。 実施形態の復号方法の例を示すフローチャート。 実施形態の鍵生成装置の機能構成の例を示す図。 実施形態の鍵生成方法の例を示すフローチャート。 実施形態の次数削減処理（ステップＳ４５の詳細）の例を示すフローチャート。 実施形態の変形例の暗号化方法の例を示すフローチャート。 実施形態の変形例の復号方法の例を示すフローチャート。 実施形態の変形例の復号方法の例を示すフローチャート。 実施形態の変形例の復号方法の例を示すフローチャート。 線形代数攻撃における変数の個数と式の個数の比較例１を示す図。 線形代数攻撃における変数の個数と式の個数の比較例２を示す図。 実施形態の暗号化装置、復号装置及び鍵生成装置のハードウェア構成の例を示す図。

以下に添付図面を参照して、暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムの実施形態を詳細に説明する。

暗号技術は大きく共通鍵暗号技術と公開鍵暗号技術に分けることができる。共通鍵暗号はデータの攪拌アルゴリズムに基づいた暗号方式で、高速に暗号化／復号ができる一方で、予め共通の鍵を持った２者間でしか秘密通信や認証通信ができない。公開鍵暗号は数学的なアルゴリズムに基づいた暗号方式で、共通鍵暗号ほど暗号化／復号が高速でないが、事前の鍵共有を必要としない。公開鍵暗号は、通信の際は送信相手が公開している公開鍵を利用して秘密通信を実現し、送信者の秘密鍵を利用してデジタル署名を施すことで（成りすましを防ぐ）認証通信が可能となるという特徴がある。

このため共通鍵暗号は主に有料デジタル放送のように受信後リアルタイムで復号されなければならない情報の暗号化に利用され、その復号鍵は別途限定受信システムと呼ばれる鍵配信システムを用いて視聴契約者だけに配信する方法が採用されている。一方、インターネットに開設されているオンラインサイトでは顧客情報（クレジットカード番号や住所など）を盗聴から守るために暗号化を行う必要があるが、その暗号鍵は予め交付しておくことが必ずしも可能でないため、公開鍵暗号が用いられることが多い。

代表的な公開鍵暗号にはＲＳＡ暗号と楕円曲線暗号がある。ＲＳＡ暗号は素因数分解問題の困難性が安全性の根拠となっており、冪乗剰余演算が暗号化演算として用いられている。楕円曲線暗号は楕円曲線上の離散対数問題の困難性が安全性の根拠となっており、楕円曲線上の点演算が暗号化演算に用いられている。これらの公開鍵暗号は特定の鍵（公開鍵）に関する解読法は提案されているものの、一般的な解読法は知られていないため、安全性に関する重大な問題は、後に述べる量子計算機による解読法を除き、現在までのところ見つかっていない。

この他の公開鍵暗号には（ＮＰ問題として知られている）ナップサック問題の困難性に安全性の根拠をおいたナップサック暗号、体の拡大理論を利用して構成され、連立方程式の求解問題に安全性の根拠をおいた多次多変数暗号などがある。しかし、ナップサック暗号に関しては既にほとんど全ての実現形態において解読法が知られており、安全性はかなり疑問であると言わざるを得ない。

多次多変数暗号に関しては有力な攻撃方法が知られている一方で知られている解読法が通用しない実現形態も存在するため、安全性に関してはかなり損なわれているが、決定的なものとはなっていない。しかし、知られている解読法を避けるために必要な鍵サイズが大きくなっており、問題視されはじめている。

一方で、現在広く利用されているＲＳＡ暗号と楕円曲線暗号であっても量子計算機が出現すれば解読される危険に晒されている。量子計算機とは量子力学で知られているエンタングルメントという物理現象を利用して、（現在の計算機とは違った原理に基づいて）超並列計算を行わせることができる計算機である。量子計算機は、現在までのところ実験レベルでしか動作が確認されていない仮想の計算機であるが、実現に向けた研究開発が進められている。この量子計算機を用いて１９９４年にＳｈｏｒは素因数分解や離散対数問題を効率的に解くアルゴリズムが構成できることを示した。即ち、量子計算機が実現すれば素因数分解に基づくＲＳＡ暗号や、（楕円曲線上の）離散対数問題に基づく楕円曲線暗号は解読できることになる。

このような状況の下、量子計算機が実現されてもなお安全である可能性を秘めた公開鍵暗号の研究が近年行われるようになってきた。現時点でも実現可能な公開鍵暗号で量子計算機でも解読が難しいとされているものに格子暗号がある。格子暗号は格子という離散的なｎ次元ベクトル空間（線形空間）の中で原点以外の点の中で最も原点に近い点を求める問題（最短ベクトル問題）を安全性の根拠にしている公開鍵暗号である。

最短ベクトル問題はＮＰ困難な問題ではあるが、線形問題であるため、小さなサイズの問題は容易に解けてしまう。そこで、安全性を実現するための次元数が大きくなり、公開鍵や秘密鍵といった鍵サイズが大きくなり、特にローエンドデバイスへの適用が危ぶまれている。更に、公開鍵暗号は共通鍵暗号と比較して、回路規模が大きく、処理時間も掛かるため、モバイル端末などの小電力環境では実現できないか実現しても処理時間が掛かるという問題があった。このため、小電力環境でも実現できる公開鍵暗号が求められている。

一般に公開鍵暗号は（素因数分解問題や離散対数問題などの）計算困難な問題を見出し、（秘密鍵を知らずに）暗号文を解読しようとする場合、当該計算困難な問題を解くことと同等になるように構成する。しかし、逆に計算困難な問題を１つ定めたとしても、必ずその問題を安全性の根拠とするような公開鍵暗号が容易に構成できる訳ではない。なぜなら、計算が困難すぎる問題に安全性の根拠をおくと鍵を生成する問題も困難になり、構成ができない。一方で問題を鍵生成が可能となる程度に容易とすると、解読も容易になってしまう。

従って、公開鍵暗号を構成するには計算困難な問題を見つけるとともに、鍵生成できる程には容易だが、（生成した秘密鍵を知らずに）解読できる程には容易でないという絶妙なバランスを持つ問題に作り変えるという創造性が必要であり、この部分の構成が難しいために現在まで数えるほどの公開鍵暗号しか提案されてこなかった。そのような中で、量子計算機による計算でも効率的に解読できない可能性があり、小電力環境でも高速に処理できることが期待される公開鍵暗号に代数曲面を用いた公開鍵暗号（特許文献１）が提案されている。

特許文献１の公開鍵暗号は、秘密鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）に対応する２つのセクションとし、公開鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）とし、多項式生成手段と暗号化手段とを備える。多項式生成手段は、平文ｍを平文多項式ｍ（ｘ，ｙ，ｔ）に埋め込む処理と、３変数ｘ，ｙ，ｔのランダムな多項式ｈ（ｘ，ｙ，ｔ），ｓ_１（ｘ，ｙ，ｔ），ｓ_２（ｘ，ｙ，ｔ），ｒ_１（ｘ，ｙ，ｔ），ｒ_２（ｘ，ｙ，ｔ）を生成する処理とを行う。暗号化手段は、各多項式と定義式Ｘ（ｘ，ｙ，ｔ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理により、平文多項式ｍ（ｘ，ｙ，ｔ）から２つの暗号文ｃ_１＝Ｅ_ｐｋ（ｍ，ｓ_１，ｒ_１，ｈ，Ｘ），ｃ_２＝Ｅ_ｐｋ（ｍ，ｓ_２，ｒ_２，ｈ，Ｘ）を生成する。特許文献１の公開鍵暗号は、暗号文に非線形性はあるものの、暗号文が２つあり、かつノイズ項がなかったため、解読された。

以下、実施形態では、このような現状に鑑み、量子計算機が出現しても安全性が確保できる可能性を秘め、脆弱性を解消できる公開鍵暗号について説明する。具体的には、秘密を非線形な多項式に隠すことにより、１つの暗号文に非線形構造を持たせ、かつノイズを付加することにより、脆弱性を解消できる公開鍵暗号を構成する。

［代数の説明］
はじめに実施形態で利用する代数を定義する。まず、整数の集合をＺで表し、自然数ｑでの整数Ｚの剰余類をＺ_ｑと記す。Ｚ_ｑは剰余類なので、通常、
Ｚ_ｑ＝｛［０］，［１］，・・・，［ｑ－１］｝
と記す。ここで、Ｚ_ｑの各元は以下のような性質を満たすことから、加減乗算が定義される。
［ａ］＋［ｂ］＝［ａ＋ｂ］
［ａ］－［ｂ］＝［ａ－ｂ］
［ａ］・［ｂ］＝［ａ・ｂ］
このように加減乗算が定義でき、結合法則が成り立つとともに、加法の単位元０を含み且つ０以外の元ｘに対して足し合わせると０となる逆元［－ｘ］を有する集合を環という。

除算に関しては、［ｂ］・［ｘ］＝［ｘ］・［ｂ］＝［１］を満たす元［ｘ］が存在する［ｂ］についてのみ定義でき、このような元［ｘ］が存在するとき、［ｘ］を［ｂ］の逆元といい［ｂ^－１］とかく。即ち、逆元が存在する［ｂ］について除算［ａ］／［ｂ］は
［ｂ］・［ｂ^－１］＝［１］
を満たす逆元［ｂ^－１］を［ａ］に掛ける（［ａ］・［ｂ^－１］）ことにより計算される。

Ｚ_ｑの元［ｂ］に逆元［ｂ^－１］が存在するための必要十分条件はＧＣＤ（ｂ，ｑ）＝１である。即ち、Ｚ_ｑの元ｂはｂとｑが互いに素となるとき、かつ、その時に限り逆元［ｂ^－１］を持つ。例えば、ｑ＝５としたとき、ｂ＝３は、３と５が互いに素であることから、［３^－１］＝［２］となる。しかし、ｑ＝６とした場合はＧＣＤ（３，６）＝３となり、互いに素にならず、逆元が存在しないことから、除法は実現できない。

さて、［０］はｑで割ったときの余りが０となる集合を表している。明示的に書けば
［０］＝｛・・・，－２ｑ，－ｑ，０，ｑ，２ｑ，・・・｝
を意味する。Ｚ_ｑに演算を定義するに際しては、集合［０］の要素のどの元で計算しても答えは一致することから、簡単のために集合［０］に含まれる１つの要素（代表元）で代表させて計算することを考える。この代表元は（その性格から）この集合に含まれている元であれば何でも良いのではあるが、実施形態では簡単のため、０で代表させる。同様に、［１］を１、［２］を２のように最小の正整数で代表させ、Ｚ_ｑを｛０，１，・・・，ｑ－１｝で代表させることとする。

ここで、ｑを素数とすると、０以外の全ての代表元はｑと互いに素となり、除法が定義できる。即ち、ｑを素数とするとＺ_ｑにおいて加減乗除が定義できる。このように可換環であり、０以外の元が乗法に関して逆元を持つ集合を体という。特にｑを素数にしたときのＺ_ｑのように有限個の元からなる体を有限体という。有限体はその元の数が素数か素数の冪となるものしかなく、前者を素体と呼ぶ。ここで述べたＺ_ｑは素体である。

次に、多項式に関わる記法と定義を示す。整数Ｚを係数とする一変数多項式の集合をＺ［ｔ］と記載する。ここでｔは多項式の変数である。また、剰余環Ｚ_ｑを係数とする多項式の集合をＺ_ｑ［ｔ］と記載する。ここで、容易に分かるようにＺ［ｔ］，Ｚ_ｑ［ｔ］はともに加減乗算が可能である。しかし、多項式の除算は定数項のみからなる多項式以外は逆元が存在しないため成立しない。

次に多項式環Ｚ_ｑ［ｔ］を多項式ｔ^ｎ－１で割った剰余類を考える。例えばｎ＝３，ｑ＝５とするとｔ^３が１と合同（剰余類の中では同じ元）になるため、ｔ^３＋２ｔ^２＋４ｔ＋２≡２ｔ^２＋４ｔ＋３のように次数がｎ－１以下の元として表現できる。一般には（ｔ^ｎが１と合同となるため）ｎ－１次以下の項のみで代表される剰余類が出来上がる。ｔ^ｎ－１のような剰余をとる１変数多項式を法多項式という。

即ち、法多項式ｔ^３－１の下での加減算は
（ｔ^２＋３ｔ＋４）＋（３ｔ^２＋３ｔ＋２）＝４ｔ^２＋ｔ＋１
（ｔ^２＋３ｔ＋４）－（３ｔ^２＋３ｔ＋２）＝３ｔ^２＋２
となり、乗算は通常のＺ_ｑ［ｔ］の乗算を実行した上で、ｔ^３と１の合同を反映するため、
（ｔ^２＋３ｔ＋４）・（３ｔ^２＋３ｔ＋２）＝３ｔ^４＋１２ｔ^３＋２３ｔ^２＋１８ｔ＋８
＝３ｔ^４＋２ｔ^３＋３ｔ^２＋３ｔ＋３
＝３ｔ^２＋ｔ
のように計算される。また、乗算と加算（或いは減算）を組み合わせることにより、
（ｔ^２＋３ｔ＋４）・（３ｔ^２＋３ｔ＋２）＋（４ｔ^２＋３ｔ＋１）
＝（３ｔ^２＋ｔ）＋（４ｔ^２＋３ｔ＋１）
＝２ｔ^２＋４ｔ＋１
のように計算ができる。このような集合をＺ_ｑ［ｔ］／（ｔ^ｎ－１）とかき、Ｒ_ｑ，ｎと略記する。Ｒ_ｑ，ｎは環となるが、元によっては除算も定義できる（即ち、Ｒ_ｑ，ｎの元ｆ（ｔ）に逆元が存在する）場合があり、その必要十分条件はＧＣＤ（ｆ（ｔ），ｔ^ｎ－１）＝１である。

例えば、Ｒ_５，３（＝Ｚ_５［ｔ］／（ｔ^３－１））の場合、ｔ^２＋ｔ＋２はｔ^３－１と互いに素になり、拡張ユークリッド互除法により、
（ｔ^２＋２ｔ＋３）^－１＝２ｔ^２＋４
と計算できる。即ち、（ｔ^２＋２ｔ＋３）・（２ｔ^２＋４）＝１により、２ｔ^２＋４がｔ^２＋２ｔ＋３の逆元であることが確認できる。一方で、ｔ^２－１はｔ^３－１と共通因子ｔ－１を持つため、逆元を持たない。

ここで、法多項式ｇ（ｔ）がＦ_ｑ上既約多項式だとすると、Ｒ_ｑ，ｎに含まれる０以外の元に逆元が計算でき、体となる。このような体を有限体Ｆ_ｐの拡大体といい、ｐ^ｎの要素を持つ有限体となる。また、元の有限体Ｆ_ｐはｐの要素を持ち、素体と呼ばれる。

実施形態では、代数として、環Ｒ_ｐ，ｎ及び環Ｒ_ｐ，ｎ上の２変数多項式環Ｒ_ｐ，ｎ［ｘ，ｙ］、有限体Ｆ_ｐ、並びに、Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］を主に利用する。尚、多項式の係数として環Ｒ_ｐ，ｎの部分集合を下記式（１）により定義する。

尚、Ｒ_ｐ，ｄ自体では環とはならないこと、およびＲ_ｐ，ｎは実質、下記式（２）となり、実質的な次数はｎ－１であることには注意を要する。

［２変数多項式の記法］
次に、２変数多項式に関する用語と記号を定義する。まず、環Ｒ上の２変数多項式を下記式（３）により記載する。

ここで、τ_ｉ，ｊは環Ｒの元である。集合Γ_ξは多項式ξ（ｘ，ｙ）に含まれる非零の単項式のｘ及びｙの指数の組（ｉ，ｊ）の集合で、２変数多項式ξ（ｘ，ｙ）の項集合と呼ぶ。

たとえば、下記式（４）のＺ_７上の多項式の項集合は、下記式（５）となる。

ここで、Γ_ξの要素数は２変数多項式ξ（ｘ，ｙ）の単項式の数と一致する。また以下では，２変数多項式であることが明らかな場合、ξ（ｘ，ｙ）を単にξと書くことがある。

２つの項集合Γ_ξ，Γ_ηの積Γ_ξηを下記式（６）のように定義する。

これは、多項式ξ（ｘ，ｙ）η（ｘ，ｙ）の項集合を意味する。項集合Γが与えられたとき、この項集合を持つ環Ｒ上の２変数多項式の集合を下記式（７）により定義し、下記式（７）の左辺の記号により環Ｒ上の２変数多項式の集合を示す。

尚、係数環Ｒが明確な時には、上記式（７）の左辺に記載の／Ｒを省略する。

［不定方程式とその求解問題］
不定方程式は変数の数が（方程式に含まれる）式の数よりも多い方程式と定義できる。不定方程式はその束縛条件が少ない一方で解の自由度が大きいため、解を持てば複数（場合によっては無数）となることが多い（これが「不定」の意味するところである。）。実際、整数係数の不定方程式の実数解（或いは複素数解）は無数に存在し、その幾つかを近似解として求めることは容易である。一方で、整数係数の不定方程式の整数解や有限体上の不定方程式の（有限体上の）解など離散的な集合に解を持つ方程式については、通常このような手法は使えない。そこで、何らかの理論的な絞り込みが必要になるが、そのような絞り込みを行っても、一般的には有限回の手段では解の存在、非存在を判定することができないことが知られている（非可解問題）。

実施形態で提案する不定方程式暗号は１変数多項式環Ｆ［ｔ］上定義された不定方程式Ｘ（ｘ，ｙ）＝０の求解問題も非可解問題の１つであることが証明されており、以下のように定義される。

定義１（一変数多項式環Ｆ_ｐ［ｔ］上の不定方程式の求解問題）
１変数多項式環Ｆ_ｐ［ｔ］上定義された不定方程式Ｘ（ｘ，ｙ）＝０が与えられた時、Ｆ_ｐ［ｔ］上の解ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を求める問題を一変数多項式環Ｆ_ｐ［ｔ］上の不定方程式の求解問題という。

この問題は一般的な解法アルゴリズムが存在しないことが証明されている非可解問題に属する。

以下の実施形態では、不定方程式暗号の鍵生成アルゴリズムと暗復号アルゴリズムを示す。本方式において平文は平文多項式と呼ぶＦ_ｐ［ｔ］上の２変数多項式ｍ（ｘ，ｙ）の因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，ｋ）に分散して埋め込まれる。即ち、本方式においては、平文多項式は下記式（８）の積構造（非線形構造）で構成される。

上記式（８）の積構造（非線形構造）を有することにより、復号においてもｍ（ｘ，ｙ）を復元した後、因数分解を行って、因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，ｋ）を求めない限りは平文が復元できないようになっている。以下では簡単のためにｍ_ｉ（ｘ，ｙ）のｘ，ｙの次数を１とし、ｍ_ｉ（ｘ，ｙ）＝ｍ_ｘ，ｉ（ｔ）ｘ＋ｍ_ｙ，ｉ（ｔ）ｙ＋ｍ_１，ｉ（ｔ）の形に書ける多項式のみを因子とする平文多項式のみを考える。

また、以下に示すアルゴリズムでは、理解を助ける目的で小さなサイズの数値例を添えるが、この数値例では暗号の安全性は保てないことをお断りしておかなければならない。

［システムパラメータ］
システムパラメータとは、各アルゴリズムで利用されるパラメータで、安全性や復号可能性を保証するための下記パラメータ１．～８．である。

１．下記式（９）で表される（非線形）不定方程式Ｘ（ｘ，ｙ）の項集合：Γ_Ｘ

ただし、Γ_Ｘは、（０，０）を含む。
（例）Γ_Ｘ＝｛（２，０），（１，１），（０，２），（１，０），（０，１），（０，０）｝

２．下記式（１０）で表されるランダム多項式の項集合：Γ_ｒ

ただし、Γ_ｒは、（０，０）を含む。
（例）Γ_ｒ＝｛１，０），（０，１），（０，０）｝

また、Γ_Ｘ及びΓ_ｒから導出されるパラメータとして、下記式（１１）～（１３）がある。

本例の場合には、Ｄ_Ｘ＝２，Ｄ_ｒ＝１，Ｄ_ｅ＝３となる。Ｄ_Ｘ，Ｄ_ｒはそれぞれ不定方程式Ｘ、ランダム多項式ｒの総次数を意味し、本例のようにＤ_Ｘ≧２の場合は非線形不定方程式となる。

３．ｐ：素体Ｆ_ｐのサイズを示す素数
（例）ｐ＝７

４．ｄ_ｍ：平文多項式因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，ｋ）に含まれる各係数の次数の最大値
ここでは、前述の通り、平文多項式因子はｍ_ｉ（ｘ，ｙ）＝ｍ_ｘ，ｉ（ｔ）ｘ＋ｍ_ｙ，ｉ（ｔ）ｙ＋ｍ_１，ｉ（ｔ）のように書けるので、ｄ_ｓは下記式（１４）となる。

ここで、Ｄ_ｍは平文多項式因子の数を表す。
（例）ｄ_ｍ＝１，Ｄ_ｍ＝２

５．ｄ_ｅ：ノイズ多項式ｅ（ｘ，ｙ）に含まれる各係数の次数の最大値
（例）ｄ_ｅ＝２

６．ｄ_ｓ：不定方程式の解の次数
（例）ｄ_ｓ＝４

ｄ_ｓ＝ｄｅｇｕ_ｘ（ｔ）＝ｄｅｇｕ_ｙ（ｔ）に注意。ここで、復号を可能とするため、下記式（１５）を満たす必要がある。

７．ｄ_ｆ：識別多項式ｆ（ｔ）の次数
ここで、ｄ_ｆは復号を可能とするため、下記式（１６）で表される条件を満たす。

（例）ｄ_ｆ＝１１＞Ｄ_ｍ（ｄ_ｓ＋ｄ_ｅ）＝１０

８．ｎ：Ｒ_ｐ，ｎ（＝Ｆ_ｐ［ｔ］／ｇ（ｔ））における法多項式ｇ（ｔ）の次数
ここで、ｇ（ｔ）はＦ_ｐ上既約でなくても良い。ここで、ｎは復号を可能とするため、下記式（１７）で表される条件を満たす。

（例）ｎ＝２７（＞１１＋（２＋１）・４＋１＝２４）

上述のｐ，Ｄ_Ｘ，Ｄｒ，ｄ_ｍ及びｄ_ｅは独立に設定することができ、残りのｄ_ｓ，ｄ_ｆ及びｎは、ｐ，Ｄ_Ｘ，Ｄｒ，ｄ_ｍ及びｄ_ｅに伴って決めることができる。実際、ｄ_ｓ，ｄ_ｆ及びｎには、上述の式（１５）～（１７）の従属関係があり、ｄ_ｍ＜ｄ_ｓ≪ｄ_ｆ＜ｎとなる。

［秘密鍵］
１．下記式（１８）により表される不定方程式Ｘの最小解：ｕ

（例）ここでｄ_ｓ＝４，ｐ＝７のとき、秘密鍵ｕは下記式（１９）により表される。

［公開鍵］
１．下記式（１９）により表される不定方程式：Ｘ（ｘ，ｙ）

ここで、Ｘ＝０は秘密鍵ｕを解に持つ。即ち、Ｘ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））＝０。

［鍵生成］
システムパラメータｐ，ｄ_ｓ，ｎ，Γ_Ｘ及びΓ_ｒを入力として以下の処理を行う。

［秘密鍵の生成］
Ｆ_ｐ［ｔ］の多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）をｄｅｇｕ_ｘ（ｔ）＝ｄｅｇｕ_ｙ（ｔ）＝ｄ_ｓの条件で、一様ランダムに生成する。
（例）ｐ＝７，ｄ_ｓ＝４の場合、多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）は、例えば上述の式（１９）により表される。

［公開鍵の生成］
１．不定方程式の項集合Γ_Ｘから定数項ａ_００（ｔ）以外の項を一様ランダムに生成する。具体的な生成方法は、以下の通りである。
（ａ）Ｘ＝０（Ｘに初期値０を代入）
（ｂ）Γ_Ｘの各要素（ｉ，ｊ）（但し、（０，０）は除く）に対して以下を実行する。
ｉ．次数ｄ_ｓ以下の多項式ａ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から一様ランダムに生成する。
ｉｉ．Ｘ＝Ｘ＋ａ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（Ｘに右辺の式を代入）
（例）ｄ_ｓ＝４，Γ_Ｘ＝｛（２，０），（１，１），（０，２），（１，０），（０，１），（０，０）｝のとき、生成されるＸ（ｘ，ｙ）は、例えば下記式（２１）により表される。

２．定数項ａ_００（ｔ）を下記式（２２）により計算する。

（例）上述の例の場合には、ａ_００（ｔ）は下記式（２３）により表され、Ｘは下記式（２４）により表される。

３．定数項ａ_００（ｔ）の次数をｄｓ以下に削減する。
ここで不定方程式Ｘ（ｘ，ｙ）は（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を零点に持っているため、同じ零点を持つ別の多項式Ｙ（ｘ，ｙ）と加減算した多項式Ｘ′（ｘ，ｙ）＝Ｘ（ｘ，ｙ）－Ｙ（ｘ，ｙ）もまた同じ零点を持つ。そこで、ａ_００（ｔ）をｕ_ｘ（ｔ）^２で割った商Ｑ（ｔ）、余りをＲ（ｔ）とすると、ａ_００（ｔ）＝Ｑ（ｔ）ｕ_ｘ（ｔ）^２＋Ｒ（ｔ）（ｄｅｇＲ（ｔ）＜２ｄ_ｓ）と書けるので、－Ｑ（ｔ）ｘ^２＋ａ_００（ｔ）－Ｒ（ｔ）＝０は（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））に解を持つ。そこで、Ｙ（ｘ，ｙ）＝－Ｑ（ｔ）ｘ^２＋ａ_００（ｔ）－Ｒ（ｔ）として、Ｘ′（ｘ，ｙ）＝Ｘ（ｘ，ｙ）－Ｙ（ｘ，ｙ）を計算するとＸ′（ｘ，ｙ）＝Ｘ（ｘ，ｙ）＋Ｑ（ｔ）ｘ^２－Ｒ（ｔ）となり、ｄｅｇａ_００（ｔ）＞ｄｅｇＲ（ｔ）であることから、より小さな次数の定数項を持つ多項式となるとともにＸ′（ｘ，ｙ）をあらためてＸ（ｘ，ｙ）とおき、これを繰り返すことで、最終的にｄｅｇａ_００（ｔ）はｄ_ｓより小さくなる。

本例の場合は、Ｘは下記式（２５）となる。

このように係数となる多項式の次数を揃えることで、Ｘ（ｘ，ｙ）をＦ_ｐ［ｔ］／（ｔ^５－１）の元としても考えることができる。

［暗号化］
次に、実施形態の暗号化処理について説明する。

［平文の埋め込み］
実施形態では、平文を埋め込む平文多項式は上述の式（８）のような積構造をしているため、直接埋め込むことができない。そこで、実施形態の暗号化装置は、平文を平文多項式因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，Ｄ_ｍ）に分散して埋め込む。平文多項式の因子ｍ_ｉ（ｘ，ｙ）は前述の通り、ｍ_ｉ（ｘ，ｙ）＝ｍ_ｘ，ｉ（ｔ）ｘ＋ｍ_ｙ，ｉ（ｔ）ｙ＋ｍ_１，ｉ（ｔ）と書ける。係数ｍ_ｘ，ｉ（ｔ），ｍ_ｙ，ｉ（ｔ）及びｍ_１，ｉ（ｔ）はそれぞれｄ_ｍ次である。実施形態の暗号化装置は、平文Ｍをｐ進展開して、下記式（２６）によって表す。

このとき、平文Ｍは下記式（２７）のように埋め込まれる。

即ち、ｐ＝７，ｄ_ｍ＝１とすると、実施形態の暗号化装置は、平文（３，４，２，４，２，４）_（７）を平文多項式の因子として分散して埋め込む。例えば、ここではＤ_ｍ＝２のとき、平文（３，４，２，４，２，４）_（７）は、ｍ_１＝（１，４，２，３，６，４）_（７），ｍ_２＝（３，１，１，６，５，１）_（７）のように分散する。平文は、ベクトルの要素ごとの積ｍ_１・ｍ_２＝（３，４，２，４，２，４）_（７）を取ることで復元される。このように平文を複数の要素に分散するには例えば次のようにすればよい。

実施形態の暗号化装置は、平文ｍをｍ_１，・・・，ｍ_Ｄｍに分散するときｍ_１，・・・，ｍ_Ｄｍ－１を平文ｍと同じサイズのランダムなデータとして生成し、ｍ_Ｄｍをｍ・（ｍ_１・ｍ_２・・・ｍ_Ｄｍ－１）^－１とする。ここで、（ｍ_１・ｍ_２・・・ｍ_Ｄｍ－１）^－１はベクトルｍ_１・ｍ_２・・・ｍ_Ｄｍ－１各要素の逆元を掛け合わせて並べたものと定義する。

［暗号化アルゴリズム］
１．平文を、上述の方法で次数ｄ_ｍ次の平文多項式の因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，Ｄ_ｍ）に分散して埋め込む。ｍ_１＝（１，４，２，３，６，４）_（７），ｍ_２＝（３，１，１，６，５，１）_（７）のように分散する場合、下記のようになる。
ｍ１（ｘ，ｙ）＝（ｔ＋４）ｘ＋（２ｔ＋３）ｙ＋６ｔ＋４
ｍ２（ｘ，ｙ）＝（３ｔ＋１）ｘ＋（ｔ＋６）ｙ＋５ｔ＋１

２．ランダム多項式ｒ（ｘ，ｙ）の生成
２変数ランダム多項式ｒ（ｘ，ｙ）をランダム多項式の項集合Γ_ｒから生成する。具体的な生成方法は、以下の通りである。
（ａ）ｒ＝０（ｒに初期値０を代入）
（ｂ）Γ_ｒの各（ｉ，ｊ）に対して以下を実行する。
ｉ．次数ｎ－１の多項式ｒ_ｉｊ（ｔ）をＲｐ，ｎから一様ランダムに生成する。
ｉｉ．ｒ＝ｒ＋ｒ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（ｒに右辺の式を代入）
（例）ｐ＝７，ｎ＝２７，Ｄ_ｒ＝１のとき、生成されるランダム多項式ｒは、例えば下記式（２８）により表される。

３．ノイズ多項式ｅ（ｘ，ｙ）の生成
ノイズ多項式ｅ（ｘ，ｙ）をノイズ多項式の形式Γ_ｅから生成する。具体的な生成方法は、以下の通りである。
（ａ）ｅ＝０（ｅに初期値０を代入）
（ｂ）Γ_ｅの各（ｉ，ｊ）に対して以下を実行する。
ｉ．次数ｄ_ｅの多項式ｅ_ｉｊ（ｔ）をＲ_ｐ，ｄｅから一様ランダムに生成。
ｉｉ．ｅ＝ｅ＋ｅ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（ｅに右辺の式を代入）
（例）ｐ＝７，ｎ＝２７，Ｄ_ｒ＝１，ｄ_ｅ＝２のとき、生成されるノイズ多項式ｅは、例えば下記式（２９）により表される。

４．暗号文ｃ（ｘ，ｙ）の生成
下記式（３０）によって暗号文ｃ（ｘ，ｙ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を計算する。

（例）本例の場合、暗号文ｃは下記式（３１）によって表される。

［復号］
次に、実施形態の復号処理について説明する。

最小解ｕ：（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を不定方程式Ｘ（ｘ，ｙ）に代入するとＸ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））＝０となる関係があることに注意する。

［復号アルゴリズム］
復号アルゴリズムは以下の通りである。

１．解の代入
解ｕをｃ（ｘ，ｙ）に代入して下記式（３２）を計算する。

ここで、ｎの取り方の条件（上記式（１７））から、ｄｅｇｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））＜ｎとなる。これは、ｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をＲ_ｐ，ｎの元としてみても、Ｆ_ｐ［ｔ］の元としてみても同じであることを意味している。そこで、以下ではｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をＦ_ｐ［ｔ］の元として扱う。本例では、下記式（３３）となる。

２．平文多項式の積ｍ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））ｍ_２（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））・・・ｍ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）） ｍｏｄ ｆ（ｔ）によって求める。これは、条件（上記式（１６））が下記式（３４）を保証していることに起因する。

本例では、平文多項式の積は、下記式（３５）で表される。

３．ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解
本例の場合は、下記式（３６）となる。

４．ステップ３で得られた因子の組合せから平文多項式を復元する。
本例の場合は、因子（ｔ＋１）（ｔ^４＋ｔ^３＋ｔ^２＋５）から（３ｔ＋５）ｘ＋（６ｔ＋２）ｙ＋４ｔ＋５が復元される。また、因子（ｔ＋４）（ｔ^４＋２ｔ^３＋２ｔ^２＋２ｔ＋６）から（２ｔ＋３）ｘ＋（３ｔ＋４）ｙ＋ｔ＋３が復元される。すなわち、因子の組み合わせが２通りあるため、１つに特定する必要がある。

［平文多項式因子の復元］
次に、因子の組み合わせの特定の仕方と、復元について説明する。上述の復号アルゴリズムのステップ４で得られたｍ_ｉ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から平文多項式の因子ｍ_ｉ（ｘ，ｙ）を復元する方法を示す。ここでは記述を簡略化するため、添え字を付けず、ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から平文多項式の因子ｍ（ｘ，ｙ）を復元するアルゴリズムを示す。

正しい（即ち、正しい平文多項式ｍ（ｘ，ｙ）に対応した）ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））が得られたとする。このとき、平文多項式は下記式（３７）により与えられる。

ここで、ｄｅｇｍ_ｘ（ｔ），ｄｅｇｍ_ｙ（ｔ），ｄｅｇｍ_１（ｔ）≦ｄ_ｍであることから、下記式（３８）と書ける。

そこで、ｍ_ｘ，ｉ，ｍ_ｙ，ｉ，ｍ_１，ｉ（ｉ＝０，・・・，ｄ_ｍ）を変数として、秘密鍵である（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を代入し、得られた式をｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））と比較する（下記式（３９））。

即ち、上記式（３９）は右辺にのみ変数があり、左辺には変数がないことから、右辺と左辺の係数比較により連立方程式が立つ。しかも右辺の変数は相互に乗算されることがないので、連立一次方程式が成立し、これを解くことにより、平文多項式が復元できる。

尚、上記式（３９）から導出される方程式は変数が３（ｄ_ｍ＋１）、式は平文多項式が上記式（３７）の形であることを考えるとｄ_ｓ＋ｄ_ｍ＋１だけ存在することが分かる。ここで、解が１つに定まるためには、式の数が変数の数以上にならなければならないので、ｄ_ｓ≧２（ｄ_ｍ＋１）でなければならない（上記式（１５））。ここで、解が求まらなかったときは、正しいｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））ではなかったことを意味し、その因子は破棄される。

［平文多項式の因子の絞り込み］
次に、Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解したときに得られる因子から、平文多項式の因子に対応する因子ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の候補を抽出して、絞り込む方法について、実施形態で利用している例を利用して詳しく説明する。

まず、因子ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数はｄ_ｓ＋ｄ_ｍで、本例ではｄ_ｓ＝４，ｄ_ｍ＝１なので、５次となる。また、因数分解は下記式（４０）で表されるので、因子のペアは、下記式（４１）又は（４２）となる。

実際、上記式（４１）について平文を復元すると、下記式（４３）が得られる。下記式（４３）は、暗号化で使われた平文多項式因子の４倍と一致する。

一方で、上記式（４２）について平文を復元すると、下記式（４４）が得られる。下記式（４４）は、暗号化で使れれた平文多項式因子の定数倍とは一致しない。

実際、上記式（４３）から平文を復元すると、（４，６，６，１，２，６）・（６，３，５，４，１，３）＝（３，４，２，４，２，４）となり、元の平文と一致する。一方、上記式（４４）から平文を復元すると、（０，３，１，６，３，４）・（１，３，４，２，６，６）＝（０，２，４，５，４，３）となって平文と一致しない。これらを識別するために実施形態では平文の中に認証子を導入する。

認証子は本来メッセージの正当性を確認するために利用するものであるが、ここでは正しい平文を識別するために利用する。認証子にはいろいろな種類があるが、ここでは簡単な例としてＦ_７の元を要素とする平文（ａ_１，ａ_２，ａ_３，ａ_４）に対して、認証子を（ａ_５，ａ_６）＝（ａ_１＋ａ_３＋４，ａ_２＋ａ_４＋３）と定義し、これを平文の一部とし、平文を（ａ_１，ａ_２，ａ_３，ａ_４，ａ_５，ａ_６）とする。

すなわち、実施形態の認証子（（ａ_５，ａ_６））は、元の暗号化対象データ（平文（ａ_１，ａ_２，ａ_３，ａ_４））から所定の演算によって算出される。メッセージｍは、暗号化対象データ（平文（ａ_１，ａ_２，ａ_３，ａ_４））と認証子（（ａ_５，ａ_６））とを含む。

この認証子を本例に適用すると、上記式（４３）から復元された平文（３，４，２，４）の認証子は（２，４）となり、復号結果に含まれる認証子（２，４）と一致する。一方、上記式（４４）から復元された平文（０，２，４，５）の認証子は（１，３）となり、復号結果に含まれる認証子（４，３）と一致しない。よって上記式（４３）から復元された平文（３，４，２，４，２，４）が復号結果となる。

尚、本例においては、ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の因子の次数がそれぞれ（１，１，４，４）であったため、このような比較的単純な組み合わせとなったが、例えば因子の次数が（１，１，２，２，２，２）のような場合は、より複雑となる。このような場合には（ここでは詳しく述べないが）部分和問題を解くアルゴリズムを活用する。部分和問題とは長さｌの自然数の数列ａ_１，ａ_２，・・・，ａ_ｌがあったとき、この要素の中から幾つかを選んで足した結果が特定の数Ｎとなるような部分数列を求める問題である。この例ではＮ＝５として足した結果が５になるような部分数列のうち重なりのないものを求める問題となる。

ここで、数列（１，１，２，２，２，２）の個々の数字に対応する因子があるので、これらを区別するために、それぞれの要素に番号を付けて［１，２，３，４，５，６］と表記する。ここで、例えば［１，３，４］は対応する数列が（１，２，２）であるから、足したら５となる。［２，５，６］も足したら５になり、これらの組み合わせが候補の１つとなる。この他にも［２，３，６］などという組み合わせもあり、これには［１，４，５］が対応するペアとなる。部分和問題は一般にはＮＰ困難な問題となるが、このように小さなサイズの問題は比較的短時間で求められることが知られている。

［バリエーション］
以下では実施形態の幾つかのバリエーションを述べる。

［ノイズ多項式におけるバリエーション］
上述の実施形態ではノイズ多項式は係数となる１変数多項式の係数がｄ_ｅに制限されている以外の制約はないが、これを平文多項式と同じ積の構造に展開するバリエーションが考えられる。即ち、ノイズ多項式を下記式（４５）によって定義する。

本実施形態の場合であれば、ｄ_ｓ≧２（ｄ_ｅ＋１）の条件の下で、平文を復元する手段と同じ手段で復号が可能となる。これにより、ｅ（ｘ，ｙ）が求まるので、求まっている平文多項式因子の積Ｍ（ｘ，ｙ）とから、下記式（４６）によりｒ（ｘ，ｙ）が求まる。

実際、このような構成は数々のメリットを生み出す。まず、平文多項式Ｍ（ｘ，ｙ）に加えてノイズ多項式ｅ（ｘ，ｙ）を復元することにより、それぞれの多項式に曖昧性があっても、上記式（４６）における除算が成立する組合せのみに絞り込むことができる。実際、Ｘ（ｘ，ｙ）は２変数多項式であるため、間違ったＭ（ｘ，ｙ），ｅ（ｘ，ｙ）の組み合わせではこの除算が成立しない（即ち、何らかの剰余が出てしまう）可能性が極めて高いので、復号結果候補の絞り込みが可能となる。そのため、認証子が不要になる。

また、このように構成することで、本実施形態でランダムに生成しているｅ（ｘ，ｙ），ｒ（ｘ，ｙ）にも平文を埋め込むことができ、更に大量のデータを１回で暗号化できるだけでなく、暗号文を改竄すると復号不能になる可能性が高いことから暗号文の改竄検知にも役立つ。

［平文多項式とノイズ多項式の役割の置き換え］
上述の実施形態の暗号文ｃは下記式（４７）の形式となっている。

上記式（４７）の第１項と第３項の役割を変更し、下記式（４８）の形式としてもよい。

上記式（４８）の形式にすることで、平文多項式の次数はノイズ多項式の次数を超えることが可能となり、大きな平文を埋め込みたい場合に平文多項式因子の次数を上げて対応することが可能となる。因みに平文多項式因子が１次の場合は｜３ｐ（ｄ_ｍ＋１）｜ビッ
ト分のデータが埋め込めるのに対して、２次の場合はその約２倍の｜６ｐ（ｄ_ｍ＋１）｜ビット分のデータが埋め込める。

一方で、復号に際しては上述の式（３９）で示したように連立方程式を立てるが、式の数が２ｄ_ｓ＋ｄ_ｍ＋１であり、変数の数が６（ｄ_ｍ＋１）であることから、これを解くにはｄ_ｓ≧５（ｄ_ｍ＋１）／２の条件が必要となる。

［暗号化演算におけるバリエーション］
上述の実施形態の暗号文ｃは上記式（４７）の形式となっているが、下記式（４９）の形式のように、ランダム多項式とノイズ多項式の符号（＋又は－）の組み合わせを考慮することによって、４通りのバリエーションが考えられる。

上述の実施形態では、ランダム多項式とノイズ多項式の符号が両方＋である場合について説明したが、他の３通りのバリエーションで暗号文ｃを生成しても、実施形態の場合と同様にして復号が可能になる。

［変数に関するバリエーション］
本実施形態では一貫しＲ_ｐ，ｎ上の２変数多項式を扱ってきたが、これを一般のｌ変数（多変数）としても本実施形態と同様に暗号化アルゴリズム、復号アルゴリズム、鍵生成アルゴリズムが成り立つ。変数の数が３つより多くなっても不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）が１つであれば不定方程式であることに変わりはなく、その求解問題は計算困難である。それどころか、変数が増えると多くの場合より計算困難な問題となり、安全性が強化される。そのため鍵サイズが削減可能となるだけでなく、変数が多いため、埋め込める平文のサイズは増える。一方で、復元する係数が増えるためシステムパラメータはｄ_ｓ＝ｌ（ｄ_ｍ＋１）に変更しなければならない。

多変数の場合、暗号化装置１０では、例えば、公開鍵取得部２が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得する。平文埋め込み部３が、メッセージｍを、環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の係数として分散して埋め込む。多項式演算部８が、平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）を掛け合わせた平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）を生成する。第１の多項式生成部が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元を係数に持つランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成し、第２の多項式生成部が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する。なお、第１及び第２の多項式生成部は、上述の多項式生成部６のように１つの機能ブロックで実現してもよいし、別々に実現してもよい。そして、暗号化部５が、平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）に対し、識別多項式ｆ（ｔ）と，ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）と，ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）と、多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理（上述の式（３０）に相当）により、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を生成する。

また、多変数の場合、復号装置２０では、例えば、鍵取得部２２が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得し、秘密鍵として、多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の零点ｕ（ｘ_１，・・・，ｘ_ｌ）＝（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））を取得する。零点代入部２４が、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）に対し、零点ｕを代入して１変数多項式ｈ（ｔ）を生成する。多項式演算部２５が、１変数多項式ｈ（ｔ）に対し、識別多項式ｆ（ｔ）で割った余りとして、１変数多項式μ（ｔ）を得る。因数分解部６が、１変数多項式μ（ｔ）を有限体Ｆ_ｐ上で因数分解することにより、第１の因子を取得する。組合せ計算部２８が、第１の因子を組み合わせて、環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の積である平文多項式の因子に零点ｕが代入された第２の因子を求める。平文多項式因子復元部２９が、第２の因子と、零点ｕとを用いて連立１次方程式を導き、連立１次方程式を解くことにより平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）を復元する。復号部２３が、平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）から平文ベクトルを抽出し、平文ベクトルの要素の積を計算してメッセージｍを復号する。平文検査部３０が、メッセージｍから認証子を抽出し、認証子を検証する。そして、平文出力部３１が、認証子の検証が成功したメッセージｍを復号結果として出力する。

［不定方程式の係数に関するバリエーション］
本実施形態の公開鍵である不定方程式Ｘ（ｘ，ｙ）の係数は次数をｄ_ｓ（＜ｎ）として多項式集合Ｒ_ｐ，ｄ_ｓから選択している。これは耐量子計算機暗号における課題の１つである公開鍵サイズの削減と、公開鍵各項の係数の次数を合わせるための設定である。しかし、公開鍵サイズに制限を設ける必要がないハイエンドなアプリケーションにおいてはより安全性を重視してＲ_ｐ，ｎを用いることも可能であるし、よりローエンドなアプリケーションに関しては定数項以外の係数をより小さく取ることも可能である。そうすることによって公開鍵サイズが更に削減され、実装され易くなる。

上述のバリエーション（変形例）は、互いに独立に成立するので、幾つか（或いは全部を）併用することができる。

［具体的な構成］
次に本実施形態の公開鍵暗号における暗号化装置、復号装置及び鍵生成装置の具体的な構成とその動作方法を示す。

まず、本実施形態の暗号化装置の構成と処理の流れを図２に示すフローチャートに沿って図１に示す全体構成図を参照しながら示す。

実施形態の暗号化装置１０は、平文取得部１、公開鍵取得部２、平文埋め込み部３、記憶部４、暗号化部５、多項式生成部６、ランダム値生成部７、多項式演算部８及び暗号文出力部９を備える。

まず、平文取得部１が、平文ｍを取得する（ステップＳ１）。平文取得部１は、例えば他のアプリケーション又は他の装置等から取得された暗号化対象データを、平文ｍとして取得する。平文取得部１は、平文ｍを平文埋め込み部３に入力する。

次に、公開鍵取得部２が、２変数不定方程式Ｘ（ｘ，ｙ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得する（ステップＳ２）。公開鍵取得部２は、例えば後述の鍵生成装置等の他の装置から公開鍵を取得する。

次に、平文埋め込み部３が、記憶部４からシステムパラメータｐ，Ｄ_ｍ，ｄ_ｍを取得する（ステップＳ３）。

次に、平文埋め込み部３が、平文取得部１から入力された平文ｍを｜ｐ｜－１ビット（｜ｐ｜はｐのビット長）の３（ｄ_ｍ＋１）個のサブブロックに分割する。次に、平文埋め込み部３が、各サブブロックをＤ_ｍ個の平文断片に分割する（ステップＳ４）。

なお、分割方法は、Ｄ_ｍ個の平文断片が揃ったときに復元できる方法であれば何でも良いが、一例としてベクトルの要素ごとの積を利用した方法が挙げられる。

平文埋め込み部３は、平文断片を順次Ｄ_ｍ個の平文多項式因子に埋め込む（ステップＳ５）。本実施形態では平文多項式因子は１次式としているため、ｍ_ｉ（ｘ，ｙ）＝ｍ_ｘ，ｉ（ｔ）ｘ＋ｍ_ｙ，ｉ（ｔ）ｙ＋ｍ_１，ｉ（ｔ）（ｉ＝１，・・・，Ｄ_ｍ）であり、各係数ｍ_ｘ，ｉ（ｔ），ｍ_ｙ，ｉ（ｔ），ｍ_１，ｉ（ｔ）の次数がｄ_ｍであり、これら多項式の係数はＦ_ｐの元である。平文埋め込み部３は、平文断片を、この１次式の平文多項式因子にそれぞれ埋め込み、平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を生成する。

尚、このように本実施形態の暗号方式のブロックサイズは、３（｜ｐ｜－１）（ｄ_ｍ＋１）であり、これより大きな平文が入力された際には、まずはこのブロックサイズに分割した上で、ブロック毎に暗号化する。

平文埋め込み部３は、生成されたＤ_ｍ個の平文多項式因子を暗号化部５に入力する。

一方、暗号化部５は、公開鍵取得部２から公開鍵を受け付けると、記憶部４から当該公開鍵に適合するシステムパラメータｐ，Γ_ｒ，ｄ_ｅ，ｄ_ｓ，ｎを取得する。暗号化部は、公開鍵Ｘ（ｘ，ｙ）から非零の項を抽出してＸ（ｘ，ｙ）の項集合Γ_Ｘを計算し、Γ_ＸΓ_ｒを計算することによりノイズ多項式ｅ（ｘ，ｙ）の項集合Γ_ｅを導出する。

また、暗号化部５はシステムパラメータｐ，ｎ，Γ_ｒを多項式生成部６に入力し、項集合Γ_ｒに従ってｎ－１次の多項式を係数に持つランダムな多項式ｒ（ｘ，ｙ）の生成を多項式生成部６に指示する。多項式生成部６は、ランダム値生成部７に指示して係数ｒ_ｉｊ（ｔ）の係数となるような０からｐ－１までの整数を必要な数（この場合はｎ＃Γ_ｒ個）だけランダム値生成部７に生成させ、これらの整数に基づいてｒ（ｘ，ｙ）を生成する（ステップＳ６）。なお、＃Γ_ｒは集合Γ_ｒの要素数を示す。

暗号化部５は、引き続きシステムパラメータｐ，ｄ_ｅ、及び、ノイズ多項式の形式Γ_ｅに基づいて、ランダム多項式ｒ（ｘ，ｙ）の生成方法と同じ方法で、ノイズ多項式ｅ（ｘ，ｙ）を生成する（ステップＳ７）。

最後に、暗号化部５は、ランダム多項式ｒ（ｘ，ｙ）、ノイズ多項式ｅ（ｘ，ｙ）、公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））、及び、Ｄ_ｍ個の平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）から暗号文ｃ（ｘ，ｙ）を、下記式（５０）に従って生成する（ステップＳ８）。暗号化部５は、暗号文ｃ（ｘ，ｙ）を暗号文出力部９に入力する。

次に、暗号文出力部９は、暗号化装置１０の出力として、暗号文ｃ（ｘ，ｙ）を（必要ならば予め定められたフォーマットに合わせて変形してから）出力する（ステップＳ９）。

次に本実施形態の復号装置の構成と処理の流れを図４に示すフローチャートに沿って図３に示す全体構成図を参照しながら説明する。

実施形態の復号装置２０は、暗号文取得部２１、鍵取得部２２、復号部２３、零点代入部２４、多項式演算部２５、因数分解部２６、記憶部２７、組合せ計算部２８、平文多項式因子復元部２９、平文検査部３０及び平文出力部３１を備える。

まず、暗号文取得部２１が、暗号文ｃ（ｘ，ｙ）を取得する（ステップＳ２１）。暗号文取得部２１は、例えばネットワークを介して他の装置から暗号文ｃ（ｘ，ｙ）を取得する。

次に、鍵取得部２２が、公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））と、秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））とを取得する（ステップＳ２２）。鍵取得部２２は、例えばネットワークを介して他の装置等から公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））を取得し、復号装置の記憶部２７等から秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を取得する。

次に、復号部２３が、暗号文取得部２１から暗号文ｃ（ｘ，ｙ）を受け付け、鍵取得部２２から公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））と、秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））とを受け付けると、復号処理が開始される。

復号部２３はまず、零点代入部２４に暗号文ｃ（ｘ，ｙ）と零点ｕとを入力する。零点代入部２４は、零点ｕをｃ（ｘ，ｙ）に代入し、ｈ（ｔ）を計算する（ステップＳ２３）。零点代入部２４は、ｈ（ｔ）を復号部２３に入力する。

次に、復号部２３は、零点代入部２４からｈ（ｔ）を受け付けると、ｈ（ｔ）を多項式演算部２５に入力する。多項式演算部２５は、復号部２３からｈ（ｔ）を受け付けると、ｈ（ｔ） ｍｏｄ ｆ（ｔ）を計算し、ｈ（ｔ） ｍｏｄ ｆ（ｔ）の計算結果を復号部２３に入力する（ステップＳ２４）。

次に、復号部２３は、多項式演算部２５からｈ（ｔ） ｍｏｄ ｆ（ｔ）の計算結果を受け付けると、当該計算結果を因数分解部２６に入力する。因数分解部２６は、復号部２３からｈ（ｔ） ｍｏｄ ｆ（ｔ）の計算結果（剰余μ（ｔ））を受け付けると、当該計算結果の因数分解を実行し（ステップＳ２５）、因数分解の結果を、因子の順序付けられた因子配列として復号部２３に入力する。

次に、復号部２３は、記憶部２７から、システムパラメータｄ_ｓ，ｄ_ｍを抽出し、因数分解部２６から入力された因子配列から、それぞれの因子の次数を取り出して対応する次数配列を生成する。更に、復号部２３は、次数配列と平文多項式因子の次数に対応するＮ（＝ｄ_ｓ＋ｄ_ｍ）を組合せ計算部２８に入力する。組合せ計算部２８は、次数が丁度Ｎとなるような因子の組み合わせ（因子系列）を全て抽出し（ステップＳ２６）、当該因子系列のリストを復号部２３に入力する。

復号部２３は、組合せ計算部２８から因子系列のリストを受け付けると、当該リストから因子系列を抽出して、零点ｕ及びシステムパラメータｄ_ｓ，ｄ_ｍとともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９は、復号部２３から入力された因子系列と零点ｕとシステムパラメータｄ_ｍとから上述の方法で平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を復元し（ステップＳ２７）、当該平文多項式因子を復号部２３に入力する。

復号部２３は、平文多項式因子復元部２９から平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を受け付けると、当該平文多項式因子の係数から分割された平文を抽出し、平文ｍを復元し（ステップＳ２８）、当該平文ｍを平文検査部３０に入力する。

平文検査部３０は、平文ｍに含まれる上述の認証子を検査し、合否を判定する（ステップＳ２９）。平文検査部３０は、合否の判定結果を復号部２３に入力する。

合否の判定結果が合格であった場合（ステップＳ２９，ＯＫ）、平文出力部３１が、ｍを復号結果として出力し（ステップＳ３２）、復号処理を終了する。

一方で、合否の判定結果が不合格であった場合（ステップＳ２９，ＮＧ）、復号部２３は、次の平文多項式因子候補があるか否かを判定する（ステップＳ３０）。次の平文多項式因子候補がある場合（ステップＳ３０，Ｙｅｓ）、復号部２３は、次の平文多項式因子候補を抽出し（ステップＳ３１）、ステップＳ２７の処理に戻る。

尚、次の平文多項式因子候補がない場合（ステップＳ３０，Ｎｏ）、平文出力部３１が、復号失敗を示すエラーを出力し（ステップＳ３３）、復号処理を終了する。復号失敗の原因としては通信路上で暗号文が壊れてしまった、或いは改竄されてしまったことが考えられる。

次に本実施形態の鍵生成装置の構成と処理の流れを図６に示すフローチャートに沿って図５に示す全体構成図を参照しながら示す。

実施形態の鍵生成装置４０は、システムパラメータ取得部４１、制御部４２、多項式生成部４３、ランダム値生成部４４、不定方程式生成部４５、多項式演算部４６及び鍵出力部４７を備える。

まず、システムパラメータ取得部４１が、システムパラメータｐ，Γｘ，ｄ_ｓ，ｄ_ｆを取得する（ステップＳ４１）。システムパラメータｐ，Γｘ，ｄ_ｓ，ｄ_ｆは、例えばユーザからの入力を受け付けることによって取得される。また例えば、システムパラメータｐ，Γｘ，ｄ_ｓ，ｄ_ｆは、システムパラメータｐ，Γｘ，ｄ_ｓ，ｄ_ｆを含む設定データ等を読み込むことにより取得される。

システムパラメータ取得部４１は、システムパラメータを制御部４２に入力する。制御部４２では、システムパラメータ取得部４１から入力されたシステムパラメータに基づいて他の処理部と連携して以下のような処理を行う。

まず、制御部４２は、システムパラメータ取得部４１から入力されたシステムパラメータのうちｐ，ｄ_ｓを多項式生成部４３に入力し、Ｒ_ｐ，ｄｓに含まれる２つの多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）の生成を指示する。次に、多項式生成部４３が、ランダム値生成部４４に２（ｄ_ｓ＋１）個の０からｐ－１までの整数の生成を指示する。ランダム値生成部４４は、疑似乱数生成器などを使って２（ｄ_ｓ＋１）個の０からｐ－１までの乱数を生成し、多項式生成部に入力する。多項式生成部４３は、ランダム値生成部４４から入力された２（ｄ_ｓ＋１）個の乱数を係数として持つ多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成し（ステップＳ４２）、当該多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を制御部４２に入力する。

制御部４２は、多項式生成部４３から受け付けた多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を秘密鍵として保持（格納）する。

また、制御部４２は、公開鍵（下記式（５１）により表される不定方程式Ｘ（ｘ，ｙ））の生成を実施する。

制御部４２は、公開鍵を生成するため、Ｘ（ｘ，ｙ）の定数項以外の係数ａ_ｉｊ（ｔ）をＲ_ｐ，ｄｓから抽出する。具体的には、制御部４２は、上述の多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成したときと同様に、多項式生成部４３にパラメータｐ，ｄ_ｓを入力し、Ｒ_ｐ，ｄｓに含まれる＃Γ_ｘ－１個の多項式の生成を指示する。多項式生成部４３は、ランダム値生成部４４を利用して多項式の係数を生成し、当該係数を有する２（ｄ_ｓ＋１）個の多項式を生成する。多項式生成部４３は、２（ｄ_ｓ＋１）個の多項式を制御部４２に入力する。

制御部４２は、多項式生成部４３により生成された多項式、システムパラメータｐ，Γ_ｘ，ｄ_ｓ及び秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を不定方程式生成部４５に入力する。

不定方程式生成部４５は、多項式演算部４６を利用しながら、まず定数項のない不定
方程式Ｘ′（ｘ，ｙ）を生成する（ステップＳ４３）。次に、不定方程式生成部４５は、秘密鍵（多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をＸ′（ｘ，ｙ）の変数ｘ，ｙにそれぞれ代入することで、定数項ａ_００（ｔ）＝－Ｘ′（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算する（ステップＳ４４）。

次に、不定方程式生成部４５は、定数項ａ_００（ｔ）の次数を削減する処理を行う（ステップＳ４５）。

この次数削減の処理に関しては、その一例を図７に従って詳しく説明する。この次数削減処理は定数項ａ_００（ｔ）と秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を入力とし、同じ零点を持つ不定方程式の中で次数がｄ_ｓ以下の定数項を持つ別の不定方程式に変換する処理である。

基本的な原理は秘密鍵（零点）を利用して、同じ零点を持つ定数項の次数が小さな不定方程式に置き換えていくことにあり、理論的な背景は上述の通りである。

簡単のため、以下の説明ではＸ（ｘ，ｙ）にはｘ^ｉ（ｉ＝１，・・・，ｄｅｇＸ）の項が全て含まれているとする。まず、不定方程式生成部４５は、ｉ＝ｄｅｇＸ（ｘ，ｙ）と設定して（ステップＳ６１）、ａ_００（ｔ） ｍｏｄ ｕ_ｘ（ｔ）^ｉを計算し、ａ_００（ｔ）を置き換えるとともに、ａ_ｉ０′（ｔ）＝ａ_００（ｔ）／ｕ_ｘ（ｔ）^ｉを計算し（ステップＳ６２）、Ｘ′（ｘ，ｙ）をＸ′（ｘ，ｙ）＋ａ_ｉ０′（ｔ）ｘ^ｉに置き換える（ステップＳ６３）。この操作をｉを１つずつデクリメントしながら（ステップＳ６４）、１になるまで続ける（ステップＳ６５）。

さて、図６に戻り、図７の処理をＸ′（ｘ，ｙ）について行うと以下のようになる。ａ_００（ｔ）がａ_００（ｔ）＝－Ｘ′（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））と設定されており、Ｘ′（ｘ，ｙ）の各係数の次数がｄ_ｓであることから、ａ_００（ｔ）の次数はｄ_ｓ（ｄｅｇＸ（ｘ，ｙ）＋１）を超えず、ほぼｄ_ｓ（ｄｅｇＸ（ｘ，ｙ）＋１）となることが期待される。一方で、図７の処理によりａ_００（ｔ）の次数はｄ_ｓｄｅｇＸ（ｘ，ｙ）未満となり、当初のａ_００（ｔ）と比較して概ねｄ_ｓ次だけ削減される。また、ａ_ｉ０′（ｔ）はａ_００（ｔ）をｕ_ｘ（ｔ）ｄｅｇＸ（ｘ，ｙ）で割った商であるため次数はｄ_ｓ以下となり、ａ_ｉ０（ｔ）の次数を超えない。このことを踏まえると、図７の処理により、不定方程式Ｘ′（ｘ，ｙ）は定数項以外の係数の次数を変更せずに定数項の次数をｄ_ｓだけ削減できたことが分かる。この操作をｉが０になるまで続けることで、最終的にＸ′（ｘ，ｙ）の定数項以外の係数の次数を変更せずに定数項のみｄ_ｓ未満とすることができる。

次に、不定方程式生成部４５は、Ｘ（ｘ，ｙ）＝Ｘ′（ｘ，ｙ）＋ａ_００（ｔ）によって不定方程式を生成する（ステップＳ４６）。

ここで生成されたＸ（ｘ，ｙ）が当初の不定方程式Ｘ′（ｘ，ｙ）＋ａ_００（ｔ）と同じ零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つことを示す。そのためには各ステップで得られる不定方程式が零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つことを示せばよい。各ステップで得られる不定方程式はＸ′（ｘ，ｙ）＋ａ_ｉ０′（ｔ）ｘ^ｉ＋（ａ_００（ｔ） ｍｏｄ ｕ_ｘ（ｔ）^ｉ）である。ここに零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を代入すると、下記式（５２）となり、零点となっていることが分かる。

このように生成された不定方程式Ｘ（ｘ，ｙ）は不定方程式生成部から制御部４２に出力される。制御部４２は、Ｒ_ｐ，ｄｆに含まれる識別多項式ｆ（ｔ）を生成するため、多項式生成部４３にシステムパラメータｐ，ｄ_ｆを入力する。多項式生成部４３は、上述のｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成する処理と同様に、ランダム値生成部４４を利用して識別多項式ｆ（ｔ）を生成し（ステップＳ４７）、当該識別多項式を制御部に出力する。

制御部４２は、生成された公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））及び秘密鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を鍵出力部４７に入力する。鍵出力部４７は、制御部４２から入力された公開鍵（Ｘ（ｘ，ｙ），ｆ（ｔ））及び秘密鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を鍵生成装置の外部に出力する（ステップＳ４８）。

最後にバリエーションに関する具体的な構成を述べる。ノイズ多項式におけるバリエーションはノイズ多項式の積の構造（上述の式（４５））を持たせて復号の際に復元可能とするバリエーションである。従って、上述の暗号化アルゴリズムにおいては図８に示すように、ノイズ多項式因子の生成（ステップＳ７７）を、本実施形態の平文多項式の生成と同様に行ない、暗号文を下記式（５３）によって生成するところ（ステップＳ７８）が異なる。なお、ステップＳ７１～ステップＳ７６、及びステップＳ７９の処理は、上述の図２のステップＳ１～ステップＳ６、及びステップＳ９の処理と同様である。

一方、復号アルゴリズムに関してはノイズ多項式ｅ_１（ｘ，ｙ）・・・ｅ_ｋ（ｘ，ｙ）を復元するため、図９Ａ乃至Ｃに示すように、ｈ（ｔ）＝ｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をｆ（ｔ）で割った商を求め（ステップＳ９７）、これを因数分解することにより（ステップＳ９８）、生じた因子のうち次数がｄ_ｓ＋ｄ_ｅとなる因子の組み合わせ（ノイズ因子系列）を求める処理（ステップＳ９９）が必要になる。なお、ステップＳ９１～ステップＳ９６の処理は、上述の図４のステップＳ２１～ステップＳ２６の処理と同様である。

平文多項式因子復元部２９が、平文因子系列とノイズ因子系列からそれぞれ候補を順番に取り出し、それぞれ平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）、ノイズ多項式因子ｅ_１（ｘ，ｙ），・・・，ｅ_ｋ（ｘ，ｙ）に復元し（ステップＳ１００～ステップＳ１０３）、それぞれについてｑ（ｘ，ｙ）＝ｃ（ｘ，ｙ）－ｆ（ｔ）ｅ_１（ｘ，ｙ）・・・ｅ_ｋ（ｘ，ｙ）－ｍ_１（ｘ，ｙ）・・・ｍ_Ｄｍ（ｘ，ｙ）を計算する（ステップＳ１０４）。

次に、平文多項式因子復元部２９が、ｑ（ｘ，ｙ）が公開鍵Ｘ（ｘ，ｙ）で割れるか否かを判定する（ステップＳ１０５）。もし、ここで正しい平文多項式因子、ノイズ多項式がえられていれば、暗号文の式からｑ（ｘ，ｙ）／Ｘ（ｘ，ｙ）＝ｒ（ｘ，ｙ）が計算できるはずである。そこでｑ（ｘ，ｙ）が公開鍵Ｘ（ｘ，ｙ）で割れた場合（ステップＳ１０５，Ｙｅｓ）、平文多項式因子復元部２９が、実際にｒ（ｘ，ｙ）を求めるとともに（ステップＳ１０６）、得られた平文多項式因子から平文ｍを復元し（ステップＳ１０７）、当該平文ｍを出力する（ステップＳ１０８）。

一方で、ｑ（ｘ，ｙ）が公開鍵Ｘ（ｘ，ｙ）で割れなかった場合（ステップＳ１０５，Ｎｏ）、平文多項式因子復元部２９が、次の平文多項式因子、ノイズ多項式因子の系列を抽出し（ステップＳ１０９、ステップＳ１１０）、同様のことを繰り返す（ステップＳ１１１，ステップＳ１１２）。最終的にどの組合せでもｑ（ｘ，ｙ）が公開鍵Ｘ（ｘ，ｙ）で割れなかった場合（ステップＳ１１０，Ｎｏ）、暗号文が伝送路中で壊れたか、改竄された可能性があるので、平文出力部３１が、エラーを出力し（ステップＳ１１３）、復号装置２０の処理を終了する。

尚、本バリエーションでは暗号化のときに生成した多項式ｒ（ｘ，ｙ），ｅ_１（ｘ，ｙ），・・・，ｅ_ｋ（ｘ，ｙ）が復元されることで、平文多項式因子の曖昧性を除去している。このため本実施形態で用いた認証子は必要なくなる。

平文多項式とノイズ多項式の役割を置き換えるバリエーションは暗号化装置１０においては暗号文の生成式を変更すれば良く、復号装置２０においてもｈ（ｔ）＝ｃ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算した後、ｈ（ｔ）／ｆ（ｔ）によってｍ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））・・・ｍ_Ｄｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算すれば後は同様に処理できる。

尚、ノイズ多項式におけるバリエーションとの組み合わせにおいても同様の変形で実現可能である。暗号化演算に関するバリエーションについては、変更した部分が暗号文において加法を減法にするだけであることから、これらの変更は本実施形態の暗号化装置１０、復号装置２０に自然に反映可能である。

変数に関するバリエーションについて本実施形態を変更する部分は暗号化アルゴリズム、復号アルゴリズム及び鍵生成アルゴリズムのうちで変数の数に関する部分のみとなる。即ち、変数をｘ，ｙとしている部分を変数ｘ_１，・・・，ｘ_ｌに変更し、それに伴ってこれに代入する秘密鍵を（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））とするなど自明な変更を施すだけで実現可能となる。

不定方程式の係数に関するバリエーションは公開鍵となる不定方程式の係数の次数の取り方をより柔軟に変更するものである。従って、鍵生成アルゴリズムにおける不定方程式の定数項以外の係数を選択する集合をＲ_ｐ，ｄｓからＲ_ｐ，ｎなど他の多項式集合を選択し、これに変更すれば実現可能である。但し、Ｒ_ｐ，ｎとした場合は本実施形態で述べた定数項の次数削減アルゴリズムは法多項式ｇ（ｔ）により全ての係数がｎ－１次以下になるので不要となる。

［安全性の検討］
以下では本実施形態で構成した本発明の公開鍵暗号の安全性に関して考察する。

［線形代数攻撃］
公開鍵Ｘ，ｆと、これに対応したＲ_ｐ，ｎ上の多項式Ｙ（＝ｍ_１ｍ_２・・・ｍ_ｋ＋Ｘ_ｒ＋ｆ・ｅ）が与えられたとき、集合Ｆ_ｍ／Ｒ_ｐ，_ｄｍに属する多項式ｍ_ｉ（ｉ＝１，・・・，ｋ）の積Ｍを求める問題と捉えて検討する。実際、Ｍが正しく求まれば因数分解により、多項式ｍ_ｉ（ｉ＝１，・・・，ｋ）が求まり、解読が可能となる。

ここでは簡単のため、下記式（５４）で示される条件で議論する。

ここで、Ｍ，ｒ，ｅ，Ｙは、下記式（５５）により表すことができる。

暗号文ｃ（ｘ，ｙ）は、下記式（５６）と書ける。

そこで、Ｍ，ｒ，ｅの係数Ｍ_ｉｊ，ｒ_ｉｊ，ｅ_ｉｊを未知数においての右辺を計算し，左辺と各項ｘ^ｉｙ^ｊの係数を比較することによって連立方程式を立てて，Ｍ，ｒ，ｅを求める攻撃を線形代数攻撃という。ここで、下記式（５７）から、下記式（５８）の連立方程式が導出できる。

この連立一次方程式は変数が１５個、式が６個であることから，９次元の解空間を持つ。一般には変数の個数が＃Γ_ｍ＋＃Γ_ｒ＋＃Γ_ｅ、式の個数が＃Γ_ｍであることから，＃Γ_ｒ＋＃Γ_ｅ次元の解空間を持つ。

しかしながら、上記式（５８）はＲ_ｐ，ｎ上の方程式であるが、これをＦ_ｐ上の方程式と考えると６ｎ個の式が存在することになる。一方、これに対する変数はＭ_ｉｊがＲ_{ｐ，Ｄｍｄｍ}に属し、ｒ_ｉｊがＲ_ｐ，ｎに属し、ｅ_ｉｊがＲ_ｐ，ｄｅに属していることから、変数の数は上記式（５４）の条件の下ではそれぞれ１８，３ｎ，１２個となり、合計３ｎ＋３０個となる。本例ではｎ＝２１になるので、式の数が９３個、変数の数が１２６個となり、一般的な意味では解空間は存在しない。しかし、ここでは少なくとも１つ解があることが分かっているため、これを解くことによって、所望の解が求まる可能性が高い。

一般には、ｅ_ｉｊ（ｐ，ｄ_ｅの元）に含まれる変数の数は、下記式（５９）で表される。

また、ｒ_ｉｊ（ｐ，ｎの元）に含まれる変数の数が、ｎ・_Ｄｒ＋２Ｃ_Ｄｒ＝ｎ・（Ｄ_ｒ＋２）（Ｄ_ｒ＋１）／２個、Ｍ_ｉｊ（Ｒ_{ｐ，２ｄｍ}の元）に含まれる変数の数が、３（２ｄ_ｍ＋１）個となる。一方、式の数は、下記式（６０）により表される。

上述の式（１５）～（１７）によるシステムパラメータの制約を考慮に入れると、独立なパラメータＤ_Ｘ，Ｄ_ｒ，ｄ_ｍ，ｄ_ｅのうち、Ｄ_Ｘを固定し、Ｄ_ｒ，ｄ_ｅを増やすことにより、ｒ_ｉｊに含まれる変数の数が式の数に近づき、ｅ_ｉｊに含まれる変数の数が増えることにより、全体的に変数の数が式の数を超えて不定となる。実際、上記式（５４）の条件のうち、下記を固定し、他の条件を変化させた場合の変数の数と式の数の変化の様子を図１０に示す。
ｄｅｇｍ_ｉ（ｘ，ｙ）＝１（ｉ＝１，・・・，ｋ）
Ｄ_Ｘ＝２

図１０によると、ｄ_ｅを十分大きく取ることによって、解空間が存在する連立方程式となり、解が一意に決まらないため、解空間に対して総当たり攻撃を行なってＭ＝ｍ_１・ｍ_２・・・ｍ_ｋと分解できる多項式を選択する必要が生じる。

［局所攻撃］
ここで、上述の式（５８）の連立方程式を部分的に解く攻撃を検討する。例えば、上述の式（５８）の連立方程式のうち最初の式Ｍ_２０＋ａ_１０ｒ_１０＋ｆｅ_２０＝ｄ_２０のみが解けるか検討する。これが解ければ平文多項式の部分情報Ｍ_２０が取得できる。しかし、この方程式は変数の数が２ｄ_ｍ＋ｄ_ｅ＋ｎ＋２個で式の数がｎ個であるから、明らかに不定となる。これは他のどの式でも１つ取り出すだけでは事情は変わらない。

では、複数組み合わせて取り出した場合はどうであろうか。例えば、
Ｍ_２０＋ａ_１０ｒ_１０＋ｆｅ_２０＝ｄ_２０
Ｍ_１０＋ａ_１０ｒ_００＋ａ_００ｒ_１０＋ｆｅ_１０＝ｄ_１０
Ｍ_００＋ａ_００ｒ_００＋ｆｅ_００＝ｄ_００
の場合は、最も多くの変数を含むｒ_１０，ｒ_００が重なっているため、変数の数は２ｎ＋（Ｄ_Ｘ＋Ｄ_ｒ＋１）（ｄ_ｍ＋２ｄ_ｅ＋２）個、式の個数は３ｎ個となるので、線形代数攻撃の分析と同様にＤ_Ｘを固定して、ｄ_ｅを増やすことにより、変数の数が式の数を超えることが期待できる。実際、Ｄ_Ｘ＝２の場合に図１０と同じパラメータで計算すると、局所方程式の場合も、図１１のように不定となることが確認できた。

［鍵復元攻撃］
本暗号方式では係数環をＲ_ｐ，ｎ（＝Ｆ_ｐ／ｇ（ｔ））とする不定方程式Ｘ（ｘ，ｙ）＝０の解のうち、Ｒ_ｐ，ｄｓに含まれる解を秘密鍵としている。このため、この秘密鍵を求めることができれば，本暗号は解読される。

ここで、Ｄ_ｒ，ｄ_ｍ，ｄ_ｅ≧１と、上述の式（１７）の条件からｎ＞（Ｄ_Ｘ＋１）ｄ_ｓであることが分かる。即ち、これは求める解と同じｄ_ｓ次の多項式の対（ｘ，ｙ）＝（ｖ_ｘ（ｔ），ｖ_ｙ（ｔ））をＦ_ｐ［ｔ］上の多項式としてＸ（ｘ，ｙ）に代入したとき、必ずｄｅｇＸ（ｖ_ｘ（ｔ），ｖ_ｙ（ｔ））＜ｎとなることを意味している。即ち、係数環をＲ_ｐ，ｎ（＝Ｆ_ｐ／ｇ（ｔ））とする不定方程式Ｘ（ｘ，ｙ）＝０の解のうち次数ｄ_ｓの解を求める問題と、Ｘ（ｘ，ｙ）＝０のＦ_ｐ［ｔ］上の解を求める問題とは等価となる。実際、前者の解を求めることができれば、後者の解が求まることとなり、その逆も真である。よって、鍵復元攻撃は求セクション問題に帰着する。

最後に、実施形態の暗号化装置１０、復号装置２０及び鍵生成装置４０のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図１２は実施形態の暗号化装置１０、復号装置２０及び鍵生成装置４０のハードウェア構成の例を示す図である。

実施形態の暗号化装置１０、復号装置２０及び鍵生成装置４０は、制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６を備える。制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６は、バス３１０を介して接続されている。

制御装置３０１は、補助記憶装置３０３から主記憶装置３０２に読み出されたプログラムを実行する。主記憶装置３０２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及び、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメモリである。補助記憶装置３０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、及び、メモリカード等である。

表示装置３０４は表示情報を表示する。表示装置３０４は、例えば液晶ディスプレイ等である。入力装置３０５は、コンピュータを操作するためのインタフェースである。入力装置３０５は、例えばキーボードやマウス等である。コンピュータがスマートフォン及びタブレット型端末等のスマートデバイスの場合、表示装置３０４及び入力装置３０５は、例えばタッチパネルである。通信装置３０６は、他の装置と通信するためのインタフェースである。

コンピュータで実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

またコンピュータで実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。またコンピュータで実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

またコンピュータで実行されるプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

コンピュータで実行されるプログラムは、実施形態の暗号化装置１０、復号装置２０及び鍵生成装置４０の機能構成（機能ブロック）のうち、プログラムによっても実現可能な機能ブロックを含むモジュール構成となっている。当該各機能ブロックは、実際のハードウェアとしては、制御装置３０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置３０２上にロードされる。すなわち上記各機能ブロックは主記憶装置３０２上に生成される。

なお上述した各機能ブロックの一部又は全部をソフトウェアにより実現せずに、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能を実現する場合、各プロセッサは、各機能のうち１つを実現してもよいし、各機能のうち２つ以上を実現してもよい。

また実施形態の暗号化装置１０、復号装置２０及び鍵生成装置４０を実現するコンピュータの動作形態は任意でよい。例えば、暗号化装置１０（復号装置２０、鍵生成装置４０）を１台のコンピュータにより実現してもよい。また例えば、暗号化装置１０、復号装置２０及び鍵生成装置４０を、ネットワーク上のクラウドシステムとして動作させてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 平文取得部
２ 公開鍵取得部
３ 平文埋め込み部
４ 記憶部
５ 暗号化部
６ 多項式生成部
７ ランダム値生成部
８ 多項式演算部
９ 暗号文出力部
１０ 暗号化装置
２０ 復号装置
２１ 暗号文取得部
２２ 鍵取得部
２３ 復号部
２４ 零点代入部
２５ 多項式演算部
２６ 因数分解部
２７ 記憶部
２８ 組合せ計算部
２９ 平文多項式因子復元部
３０ 平文検査部
３１ 平文出力部
４０ 鍵生成装置
４１ システムパラメータ取得部
４２ 制御部
４３ 多項式生成部
４４ ランダム値生成部
４５ 不定方程式生成部
４６ 多項式演算部
４７ 鍵出力部
３０１ 制御装置
３０２ 主記憶装置
３０３ 補助記憶装置
３０４ 表示装置
３０５ 入力装置
３０６ 通信装置
３１０ バス

Claims (10)

1. 環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得する公開鍵取得部と、
   メッセージｍを、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の係数として分散して埋め込む平文埋め込み部と、
   前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）を掛け合わせた平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）を生成する多項式演算部と、
   前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元を係数に持つランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する第１の多項式生成部と、
   前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する第２の多項式生成部と、
   前記平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）に対し、前記識別多項式ｆ（ｔ）と，前記ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）と，前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）と、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）とを用いて、
   

   

   による演算を行う暗号化処理により、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を生成する暗号化部と、
   を備える暗号化装置。
2. 前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の解の次数ｄ_ｓ、及び、前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）に含まれる各係数の次数の最大値ｄ_ｍは、ｄ_ｓ≧ｌ（ｄ_ｍ＋１）を満たす、
   請求項１に記載の暗号化装置。
3. 前記識別多項式ｆ（ｔ）の次数ｄ_ｆ、前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）の数Ｄ_ｍ、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の解の次数ｄ_ｓ、及び、前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）に含まれる各係数の次数の最大値ｄ_ｅは、ｄ_ｆ＞Ｄ_ｍ（ｄ_ｓ＋ｄ_ｅ）を満たす、
   請求項１に記載の暗号化装置。
4. 前記法多項式ｇ（ｔ）の次数ｎ、前記識別多項式ｆ（ｔ）の次数ｄ_ｆ、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の総次数Ｄ_ｘ、前記ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）の総次数Ｄ_ｒ、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の解の次数ｄ_ｓ、及び、前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）に含まれる各係数の次数の最大値ｄ_ｅは、ｎ＞ｄ_ｆ＋（Ｄ_ｘ＋Ｄ_ｒ）ｄ_ｓ＋ｄ_ｅを満たす、
   請求項１に記載の暗号化装置。
5. 環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得し、秘密鍵として、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の零点ｕ（ｘ_１，・・・，ｘ_ｌ）＝（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））を取得する鍵取得部と、
   暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）に対し、前記零点ｕを代入して１変数多項式ｈ（ｔ）を生成する零点代入部と、
   前記１変数多項式ｈ（ｔ）に対し、前記識別多項式ｆ（ｔ）で割った余りとして、１変数多項式μ（ｔ）を得る多項式演算部と、
   前記１変数多項式μ（ｔ）を前記有限体Ｆ_ｐ上で因数分解することにより、第１の因子を取得する因数分解部と、
   前記第１の因子を組み合わせて、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の積である平文多項式の因子に前記零点ｕが代入された第２の因子を求める組合せ計算部と、
   前記第２の因子と、前記零点ｕとを用いて連立１次方程式を導き、前記連立１次方程式を解くことにより前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）を復元する平文多項式因子復元部と、
   前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）から平文ベクトルを抽出し、前記平文ベクトルの要素の積を計算してメッセージｍを復号する復号部と、
   前記メッセージｍから認証子を抽出し、前記認証子を検証する平文検査部と、
   前記認証子の検証が成功したメッセージｍを復号結果として出力する平文出力部と、
   を備える復号装置。
6. 前記認証子は、暗号化対象データから所定の演算によって算出され、
   前記メッセージｍは、前記暗号化対象データと前記認証子とを含む、
   請求項５に記載の復号装置。
7. 暗号化装置が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得するステップと、
   前記暗号化装置が、メッセージｍを、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の係数として分散して埋め込むステップと、
   前記暗号化装置が、前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）を掛け合わせた平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）を生成するステップと、
   前記暗号化装置が、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元を係数に持つランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成するステップと、
   前記暗号化装置が、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成するステップと、
   前記暗号化装置が、前記平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）に対し、前記識別多項式ｆ（ｔ）と，前記ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）と，前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）と、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）とを用いて、
   

   

   による演算を行う暗号化処理により、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を生成するステップと、
   を含む暗号化方法。
8. 復号装置が、環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得し、秘密鍵として、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の零点ｕ（ｘ_１，・・・，ｘ_ｌ）＝（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））を取得するステップと、
   前記復号装置が、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）に対し、前記零点ｕを代入して１変数多項式ｈ（ｔ）を生成するステップと、
   前記復号装置が、前記１変数多項式ｈ（ｔ）に対し、前記識別多項式ｆ（ｔ）で割った余りとして、１変数多項式μ（ｔ）を得るステップと、
   前記復号装置が、前記１変数多項式μ（ｔ）を前記有限体Ｆ_ｐ上で因数分解することにより、第１の因子を取得するステップと、
   前記復号装置が、前記第１の因子を組み合わせて、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の積である平文多項式の因子に前記零点ｕが代入された第２の因子を求めるステップと、
   前記復号装置が、前記第２の因子と、前記零点ｕとを用いて連立１次方程式を導き、前記連立１次方程式を解くことにより前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）を復元するステップと、
   前記復号装置が、前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）から平文ベクトルを抽出し、前記平文ベクトルの要素の積を計算してメッセージｍを復号するステップと、
   前記復号装置が、前記メッセージｍから認証子を抽出し、前記認証子を検証するステップと、
   前記復号装置が、前記認証子の検証が成功したメッセージｍを復号結果として出力するステップと、
   を含む復号方法。
9. コンピュータを、
   環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得する公開鍵取得部と、
   メッセージｍを、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の係数として分散して埋め込む平文埋め込み部と、
   前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）を掛け合わせた平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）を生成する多項式演算部と、
   前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元を係数に持つランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する第１の多項式生成部と、
   前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）をランダムに生成する第２の多項式生成部と、
   前記平文多項式Ｍ（ｘ_１，・・・，ｘ_ｌ）に対し、前記識別多項式ｆ（ｔ）と，前記ランダム多項式ｒ（ｘ_１，・・・，ｘ_ｌ）と，前記ノイズ多項式ｅ（ｘ_１，・・・，ｘ_ｌ）と、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）とを用いて、
   

   

   による演算を行う暗号化処理により、暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）＝Ｅ_ｐｋ（Ｍ，ｆ，ｒ，ｅ；Ｘ）を生成する暗号化部、
   として機能させるための暗号化プログラム。
10. コンピュータを、
    環Ｆ_ｐ［ｔ］／ｇ（ｔ）（Ｆ_ｐ［ｔ］は、有限体Ｆ_ｐ上の１変数多項式環、ｇ（ｔ）は法多項式）の元を係数に持つ多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）と、識別多項式ｆ（ｔ）とを含む公開鍵を取得し、秘密鍵として、前記多変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｌ）の零点ｕ（ｘ_１，・・・，ｘ_ｌ）＝（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））を取得する取得部と、
    暗号文ｃ（ｘ_１，・・・，ｘ_ｌ）に対し、前記零点ｕを代入して１変数多項式ｈ（ｔ）を生成する零点代入部と、
    前記１変数多項式ｈ（ｔ）に対し、前記識別多項式ｆ（ｔ）で割った余りとして、１変数多項式μ（ｔ）を得る多項式演算部と、
    前記１変数多項式μ（ｔ）を前記有限体Ｆ_ｐ上で因数分解することにより、第１の因子を取得する因数分解部と、
    前記第１の因子を組み合わせて、前記環Ｆ_ｐ［ｔ］／ｇ（ｔ）の元のうち次数が制限された多項式を係数に持つ複数個の平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）（ｉ＝１，・・・，ｋ）の積である平文多項式の因子に前記零点ｕが代入された第２の因子を求める組合せ計算部と、
    前記第２の因子と、前記零点ｕとを用いて連立１次方程式を導き、前記連立１次方程式を解くことにより前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）を復元する平文多項式因子復元部と、
    前記平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｌ）から平文ベクトルを抽出し、前記平文ベクトルの要素の積を計算してメッセージｍを復号する復号部と、
    前記メッセージｍから認証子を抽出し、前記認証子を検証する平文検査部と、
    前記認証子の検証が成功したメッセージｍを復号結果として出力する平文出力部、
    として機能させるための復号プログラム。

Images