JPH1155244A - 鍵回復方法および装置 - Google Patents

鍵回復方法および装置

Info

Publication number
JPH1155244A
JPH1155244A JP10131835A JP13183598A JPH1155244A JP H1155244 A JPH1155244 A JP H1155244A JP 10131835 A JP10131835 A JP 10131835A JP 13183598 A JP13183598 A JP 13183598A JP H1155244 A JPH1155244 A JP H1155244A
Authority
JP
Japan
Prior art keywords
data
public key
converting
key
data obtained
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP10131835A
Other languages
English (en)
Other versions
JP3667988B2 (ja
Inventor
Kazuo Takaragi
和夫 宝木
Hiroyuki Kurumaya
博之 車谷
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP13183598A priority Critical patent/JP3667988B2/ja
Publication of JPH1155244A publication Critical patent/JPH1155244A/ja
Application granted granted Critical
Publication of JP3667988B2 publication Critical patent/JP3667988B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Abstract

(57)【要約】 【課題】自己が所有する秘密鍵を第三者に知らせること
なく鍵回復を行う。 【解決手段】装置Ｓにおいて、暗号文の生成に際しパラ
メータとして用いた公開鍵ＱAのハッシュ値ｈ（ｘA）
と、公開鍵ＱB、ＱCのハッシュ値ｈ（ｘB）、ｈ（ｘC）
との間において、ｈ（ｘB）、ｈ（ｘC）が分かればｈ
（ｘA）を算出可能な関係式を満たすデータ値を生成す
る。そして、暗号文Ｃにこのデータ値を付与して装置Ａ
〜Ｃに送信する。装置Ａは、公開鍵ＱAと対の秘密鍵ｄA
を紛失した場合でも、装置Ｂ、Ｃから得たｈ（ｘB）、
ｈ（ｘC）と暗号文Ｃに付加されたデータ値とを前記関
係式に代入することで、ｈ（ｘA）を生成可能である。
したがって、暗号文Ｃを元のメッセージＭに復号でき
る。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、データ暗号化など
のコンピュータネットワークにおけるセキュリティを確
保する技術に関し、特に、鍵回復（鍵供託）システムに
関する。
【０００２】
【従来の技術】電子メールなどのネットワークを介して
やり取りされるデータのセキュリティを確保する技術と
して、公開鍵と呼ばれる数値データを用いてデータを暗
号化し、当該暗号化したデータを、秘密鍵と呼ばれる数
値データ（公開鍵とは異なる数値を持つ）を用いて復号
化する、いわゆる公開鍵暗号化方式と呼ばれるデータ暗
号化方式がある。
【０００３】ところで、この公開鍵暗号化方式では、何
らかの理由により秘密鍵を紛失してしまった場合、当該
秘密鍵と対になる公開鍵で暗号化されたデータを復号化
することは、実際上不可能となってしまう。たとえば、
暗号化されたデータをファイルなどに保管しておき、後
日、取り出そうとした場合に、秘密鍵がなければ、当該
データを元に戻すことができない。これでは、データが
失われたのと同じことになる。秘密鍵をなくすというこ
とは、実際上あり得る事態であり、この場合の救済策が
ないと困ることがある。
【０００４】このため、過失などにより秘密鍵を紛失し
た場合に、暗号化されたデータを正しく復号できるよう
にすることで、個人や企業の機密情報をバックアップす
る鍵回復（あるいは鍵供託）システムが提案されてい
る。
【０００５】このシステムは、自己の秘密鍵を、機密管
理を行う第三者（鍵保管機関）に供託しておくことで、
自らが秘密鍵を紛失してしまった場合に備えようとする
ものである。たとえば、自己の秘密鍵を分割して複数の
鍵保管機関に供託しておき、自己の秘密鍵を紛失してし
まった場合には、複数の鍵保管機関に供託しておいた秘
密鍵の一部各々について、排他的論理和や加算などの演
算処理を行うことで、自己の秘密鍵を回復する。
【０００６】これ等の技術については、たとえば、満保
雅弘および岡本栄司の両氏が著した「ネットワーク暗号
クリッパーのインパクト：bit, Vol. 28, No. 2, Febru
ary,1996」や、Silvio Micali氏が著した「Fair Crypto
systems :MIT/LCS1TR-579.c, Laboratory for Computer
Science, Massachusette Institute of Technology, 1
994/8」などに開示されている．
【０００７】
【発明が解決しようとする課題】しかしながら、上記説
明した従来の鍵回復システムでは、自己の公開鍵で暗号
化されたデータを復号化する唯一の手段である秘密鍵
を、自己以外の第三者（鍵保管機関）に供託しなければ
ならない。当然、この秘密鍵を鍵保管機関に供託する場
合にも、機密性を確保できる方法で行う必要があり、そ
のための手間がかかる。特に、秘密鍵を分割して、複数
の鍵保管機関に供託するような場合には、ユーザにかか
る負担が大きくなる。
【０００８】本発明は上記事情に鑑みてなされたもので
あり、本発明の目的は、自己が所有する秘密鍵を第三者
に知らせる必要のない鍵回復方法および装置を提供する
ことにある。
【０００９】
【課題を解決するための手段】上記課題を解決するため
に、本発明の第一の態様は、暗号文の生成に際しパラメ
ータとして用いられた、公開鍵を変換することで得られ
たデータを、当該公開鍵と対の秘密鍵を用いることなく
生成する鍵回復方法であって、送信側において、暗号文
の生成に際しパラメータとして用いられた第一の公開鍵
を変換することで得られたデータと、少なくとも１つの
第二の公開鍵を変換することで得られたデータとの間に
おいて、前記第二の公開鍵を変換することで得られたデ
ータが分かれば、前記第一の公開鍵を変換することで得
られたデータを、直接あるいは間接に求めることができ
る関係式を満たすデータ値を生成する第一の処理と、前
記暗号文に、前記第一の処理の結果得られたデータ値を
付与する第二の処理と、を含み、前記第二の公開鍵と対
の秘密鍵を所有する受信側において、前記第二の公開鍵
を変換することで得られたデータを、当該第二の公開鍵
と対の秘密鍵から求める第三の処理と、前記第二の処理
で暗号文に付加されたデータ値および前記第三の処理で
求めたデータを、前記第一の処理で用いた関係式に代入
することにより、当該暗号文の生成に際しパラメータと
して用いられた、前記第一の公開鍵を変換することで得
られたデータを求める第四の処理と、を含んでいること
を特徴とする。
【００１０】ここで、公開鍵を変換することで得られた
データとは、たとえば、生成した乱数と公開鍵とを作用
させることで得られたデータである。
【００１１】本発明の第一の態様では、暗号文の生成に
際しパラメータとして用いられた第一の公開鍵を変換す
ることで得られたデータと、少なくとも１つの第二の公
開鍵を変換することで得られたデータとの間において、
前記第二の公開鍵を変換することで得られたデータが分
かれば、前記第一の公開鍵を変換することで得られたデ
ータを、直接あるいは間接に求めることができる関係式
を満たすデータ値を、暗号文に付与している。
【００１２】ここで、第二の公開鍵を変換することで得
られたデータは、当該第二の公開鍵と対になる秘密鍵か
ら求めることができる。
【００１３】このため、暗号文の生成に際しパラメータ
として用いられた第一の公開鍵を変換することで得られ
たデータは、第二の公開鍵と対になる秘密鍵を所有する
者によって、上記の関係式を満たすデータ値から求める
ことができる。
【００１４】したがって、第一の公開鍵と対になる秘密
鍵を用いることなく、暗号文を復号することができる。
つまり、自己の秘密鍵（第一の公開鍵と対の秘密鍵）を
自己以外の第三者（鍵保管機関）に供託しなくても、第
二の公開鍵と対の秘密鍵を所有する者により、鍵回復を
行うことが可能となる。
【００１５】上述したように、従来の鍵回復システムで
は、自己の秘密鍵を、鍵保管機関に供託しておかなけれ
ばならなかった。当然、この秘密鍵を鍵保管機関に供託
する場合にも、機密性を確保できる方法で行う必要があ
り、そのための手間がかかっていた。特に、秘密鍵を分
割して、複数の鍵保管機関に供託するような場合には、
ユーザにかかる負担が大きかった。これに対し、本発明
の第一の態様では、そのような手間を省くことができ、
ユーザにかかる負担を軽減することができる。
【００１６】なお、本発明の第一の態様において、第二
の公開鍵と対になる秘密鍵は、所定の演算（排他的論理
和や加算など）を行うことで復元可能なように複数に分
割されて、複数の情報処理装置に保持されるようにして
もよい。この場合、当該複数の情報処理装置の少なくと
も１つにおいて、前記複数の情報処理装置各々が所有す
る前記秘密鍵の一部に対して前記所定の演算を行うこと
で、秘密鍵を復元させ、第二の公開鍵を変換することで
得られたデータを、前記復元した秘密鍵から求めるよう
にすることが好ましい。
【００１７】このようにすることで、前記取得手段は、
前記第二の公開鍵を変換することで得られたデータを取
得することが可能となる。
【００１８】また、本発明の第二の態様は、暗号文の生
成に際しパラメータとして用いられたデータを回復する
鍵回復方法であって、送信側において、少なくとも１つ
の第一の公開鍵を変換することで得られたデータと前記
第一の公開鍵と同数の第二の公開鍵を変換することで得
られたデータとに基づいて、暗号文の生成に際しパラメ
ータとして用いるデータを生成する第一の処理と、前記
第一の処理の結果得られたデータをパラメータとして暗
号文を生成する第二の処理と、前記少なくとも１つの第
一の公開鍵を変換することで得られたデータと、前記第
一の公開鍵と同数の第二の公開鍵を変換することで得ら
れたデータとの間において、一方の公開鍵を変換するこ
とで得られたデータが分かれば、他方の公開鍵を変換す
ることで得られたデータを、直接あるいは間接に求める
ことができる関係式を満たすデータ値を生成する第三の
処理と、前記第二の処理で生成した暗号文に、前記第三
の処理で生成したデータ値を付加する第四の処理と、を
含み、前記第二の公開鍵と対の秘密鍵を所有する受信側
において、前記第一の公開鍵と同数の第二の公開鍵を変
換することで得られたデータを、当該第二の公開鍵と対
の秘密鍵から求める第五の処理と、前記第四の処理で暗
号文に付加されたデータ値および前記第五の処理で求め
たデータを、前記第三の処理で用いた関係式に代入する
ことにより、前記少なくとも１つの第一の公開鍵を変換
することで得られたデータを求める第六の処理と、前記
第六の処理で求めた前記少なくとも１つの第一の公開鍵
を変換することで得られたデータと、前記第五の処理で
求めた前記第一の公開鍵と同数の第二の公開鍵を変換す
ることで得られたデータとに基づいて、前記第一の処理
で生成した、前記第二の処理において暗号文生成のため
のパラメータとして用いたデータを求める第七の処理
と、を含んでいることを特徴とする。
【００１９】本発明の第二の態様では、暗号文生成のパ
ラメータとして、第一の公開鍵を変換することで得られ
たデータの代わりに、第一の公開鍵を変換することで得
られたデータと、この第一の公開鍵と同数の第二の公開
鍵を変換することで得られたデータとに基づいて生成さ
れたデータを用いている点で、本発明の第一の態様と異
なる。
【００２０】本発明の第二の態様では、第一の公開鍵を
変換することで得られたデータは、第二の公開鍵と対の
秘密鍵を所有する者によって、暗号文に付加されたデー
タ値から求めることができる。そして、第二の公開鍵と
対の秘密鍵を所有する者は、暗号文に付加されたデータ
値から求めた、第一の公開鍵を変換することで得られた
データと、第二の公開鍵と対の秘密鍵から求めた、第二
の公開鍵を変換することで得られたデータとに基づい
て、暗号文生成のパラメータとして用いたデータを求め
ることができる。
【００２１】したがって、本発明の第一の態様と同様、
第一の公開鍵と対になる秘密鍵を用いることなく、暗号
文を復号することができる。つまり、自己の秘密鍵（第
一の公開鍵と対の秘密鍵）を自己以外の第三者（鍵保管
機関）に供託しなくても、第二の公開鍵と対の秘密鍵を
所有する者により、鍵回復を行うことが可能となる。
【００２２】なお、上述したように、本発明の第二の態
様では、暗号文生成のパラメータとして、第一の公開鍵
を変換することで得られたデータではなく、第一の公開
鍵を変換することで得られたデータと、この第一の公開
鍵と同数の第二の公開鍵を変換することで得られたデー
タとに基づいて生成されたデータを用いている。
【００２３】したがって、第一の公開鍵と対の秘密鍵を
所有する者であっても、暗号文に付加されたデータ値か
ら第二の公開鍵を変換することで得られたデータを求め
なければ、暗号文生成のパラメータとして用いたデータ
を得ることができない。
【００２４】つまり、第一の公開鍵と対の秘密鍵を所有
する者であっても、暗号文に、第一および第二の公開鍵
を変換することで得られたデータ間において、一方の公
開鍵を変換することで得られたデータが分かれば他方の
公開鍵を変換することで得られたデータを求めることが
できる関係式を満たすデータ値が付加されていなけれ
ば、暗号文を復号することができない。一方、当該デー
タ値が暗号文に付加されている場合は、第二の公開鍵と
対の秘密鍵を所有する者も、暗号文を必ず復号すること
ができる。
【００２５】したがって、本発明の第二の態様は、たと
えば、国境を越えてやり取りが行われる暗号化された機
密データなど、防衛上の理由などにより、当該データ取
引者の意志にかかわらず、政府などが当該データを復号
できるようにすることが要求される鍵回復システムに好
適である。
【００２６】
【発明の実施の形態】以下に、本発明の第一実施形態に
ついて説明する。
【００２７】本実施形態の鍵回復システムは、ネットワ
ークを介して接続された複数の情報処理装置（たとえ
ば、パーソナルコンピュータ）間で実現される。
【００２８】図１は、本発明の第一実施形態が適用され
た鍵回復システムの概略構成を示す図である。
【００２９】図１において、装置Ｓ１０１は、暗号デー
タ送信側、すなわち、データ暗号化装置として機能する
情報処理装置（たとえば、パーソナルコンピュータ）で
ある。一方、装置Ａ１０２、Ｂ１０３、Ｃ１０４は、暗
号データ受信側、すなわち、データ復号化装置として機
能する情報処理装置（たとえば、パーソナルコンピュー
タ）である。これらの装置は、ネットワーク１０５を介
して相互に接続されている。
【００３０】なお、装置Ｓ１０１は、装置Ａ１０２が所
有する秘密鍵ｄA１１０と対になる公開鍵ＱA１０７、装
置Ｂ１０３が所有する秘密鍵ｄB１１１と対になる公開
鍵ＱB１０８、そして、装置Ｃ１０４が所有する秘密鍵
ｄC１１２と対になる公開鍵ＱC１０９を、あらかじめ取
得しているものとする。
【００３１】ここで、公開鍵ＱA１０７と秘密鍵ｄA１１
０、公開鍵ＱB１０８と秘密鍵ｄB１１１、そして、公開
鍵ＱC１０９と秘密鍵ｄC１１２は、各々楕円曲線暗号に
おける公開鍵と秘密鍵である。
【００３２】楕円曲線暗号とは、次式、 ｙ2＝ｘ3＋ａｘ＋ｂ で表される楕円曲線上の２点（ｘ1，ｙ1）、（ｘ2，
ｙ2）の加算（ｘ1，ｙ1）＋（ｘ2，ｙ2）や、整数倍倍
演算ｋ（ｘ1，ｙ1）などを定義することにより生成され
る公開鍵暗号のことである。
【００３３】公開鍵ＱA１０７と秘密鍵ｄA１１０、公開
鍵ＱB１０８と秘密鍵ｄB１１１、および、公開鍵ＱC１
０９と秘密鍵ｄC１１２は、各々以下に示す関係にあ
る。
【００３４】ＱA＝ｄAＰ ＱB＝ｄBＰ ＱC＝ｄCＰ ここで、Ｐは楕円曲線上のベースポイントと呼ばれるも
のであって、楕円曲線暗号を計算するときのパラメータ
として用いられる。
【００３５】次に、図１に示す構成において、本実施形
態の鍵回復システムが実施された場合の処理を簡単にす
る。
【００３６】まず、データ暗号化装置として機能する装
置Ｓ１０１での処理について、簡単に説明する。
【００３７】装置Ｓ１０１は、暗号化すべきメッセージ
Ｍ１０６を、公開鍵ＱA１０７を変換することで得られ
たデータをパラメータとして、暗号化する。また、この
公開鍵ＱA１０７を変換することで得られたデータと、
公開鍵ＱB１０８を変換することで得られたデータと、
公開鍵ＱC１０９を変換することで得られたデータとの
間において、公開鍵ＱB１０８を変換することで得られ
たデータおよび公開鍵ＱC１０９を変換することで得ら
れたデータが分かれば、公開鍵ＱA１０７を変換するこ
とで得られたデータを、直接あるいは間接に求めること
ができる関係式を満たすデータ値を生成する。
【００３８】そして、メッセージＭ１０６の暗号文に、
上記の生成したデータ値を付与して暗号文Ｃ１１３を生
成し、装置Ａ１０２、Ｂ１０３、Ｃ１０４に送信する。
【００３９】次に、データ復号化装置として機能する装
置Ａ１０２、Ｂ１０３、Ｃ１０４での処理について、簡
単に説明する。
【００４０】まず、装置Ａ１０２が単独で暗号文Ｃ１１
３を復号する場合の処理について、説明する。
【００４１】装置Ａ１０２は、装置Ｓ１０１から送られ
てきた暗号文Ｃ１１３を受信すると、この暗号文Ｃ１１
３を、秘密鍵ｄA１１０を変換することで得られたデー
タ（このデータは、公開鍵ＱA１０７を変換することで
得られたデータと同じになる）をパラメータとして、復
号化する。これにより、元のメッセージＭ１０６を得
る。
【００４２】次に、装置Ａ１０２が、装置Ｂ１０３、Ｃ
１０４の協力を得て暗号文Ｃ１１３を復号する場合の処
理について、説明する。
【００４３】まず、装置Ｂ１０３、Ｃ１０４に対して、
これらが各々所有する秘密鍵ｄE１１１、ｄC１１２を変
換することで得られるデータを送信するように要求す
る。
【００４４】これを受けて、装置Ｂ１０３、Ｃ１０４
は、各々自己が所有する秘密鍵ｄB１１１、ｄC１１２を
変換することで得られたデータを装置Ａ１０２に送信す
る。
【００４５】次に、装置Ａ１０２は、装置Ｂ１０３から
送られてきた秘密鍵ｄB１１１を変換することで得られ
たデータと、装置Ｃ１０４から送られてきた秘密鍵ｄC
１１２を変換することで得られたデータと、装置Ｓ１０
１から送られてきた暗号文Ｃ１１３に付与されたデータ
値とを基に、公開鍵ＱA１０７を変換することで得られ
たデータを求める。そして、このデータをパラメータと
して、暗号文Ｃ１１３を復号化する。これにより、元の
メッセージＭ１０６を得る。
【００４６】次に、装置Ｂ１０３が、装置Ｃ１０４の協
力を得て暗号文Ｃ１１３を復号する場合の処理について
説明する。
【００４７】装置Ｂ１０３において、装置Ｓ１０１から
送られてきた暗号文Ｃ１１３を復号しようとする場合、
まず、装置Ｃ１０４に対して、この装置Ｃ１０４が所有
する秘密鍵ｄC１１２を変換することで得られるデータ
を送信するように要求する。
【００４８】これを受けて、装置Ｃ１０４は、自己が所
有する秘密鍵ｄC１１２を変換することで得られたデー
タを、トークンＴ１１４として、装置Ｂ１０３に送信す
る。
【００４９】次に、装置Ｂ１０３は、自己が所有する秘
密鍵ｄB１１１を変換することで得られたデータと、装
置Ｃ１０４から送られてきたトークンＴ１１４（秘密鍵
ｄC１１２を変換することで得られたデータ）と、装置
Ｓ１０１から送られてきた暗号文Ｃ１１３に付与された
データ値とを基に、公開鍵ＱA１０７を変換することで
得られたデータを求める。そして、このデータをパラメ
ータとして、暗号文Ｃ１１３を復号化する。これによ
り、元のメッセージＭ１０６を得る。
【００５０】なお、装置Ｃ１０４が、装置Ｂ１０３の協
力を得て暗号文Ｃ１１３を復号する場合も、同じ要領で
行う。
【００５１】すなわち、装置Ｂ１０３に対して、この装
置Ｂ１０４が所有する秘密鍵ｄB１１１を変換すること
で得られるデータを送信するように要求する。
【００５２】次に、自己が所有する秘密鍵ｄC１１２を
変換することで得られたデータと、装置Ｂ１０３から送
られてきた、秘密鍵ｄB１１１を変換することで得られ
たデータと、装置Ｓ１０１から送られてきた暗号文Ｃ１
１３に付与されたデータ値とを基に、公開鍵ＱA１０７
を変換することで得られたデータを求める。そして、こ
のデータをパラメータとして、暗号文Ｃ１１３を復号化
する。
【００５３】次に、本実施形態の鍵回復システムを構成
する各装置について説明する。
【００５４】まず、データ暗号化装置として機能する装
置Ｓ１０１について説明する。
【００５５】図２は、図１に示す装置Ｓ１０１の機能構
成を示す図である。
【００５６】なお、図２に示す機能構成は、パーソナル
コンピュータなどの情報処理装置が備えるＣＰＵに所定
のプログラムを実行させることで実現可能である。この
プログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライバ
を介してパーソナルコンピュータで読み取り可能な記憶
媒体に格納しておけばよい。また、図２に示す機能構成
は、情報処理装置に装着されたＩＣカード上において、
実現されるように構成してもよい。
【００５７】図２に示す装置Ｓ１０１では、ベースポイ
ント生成部２１０２において、楕円曲線暗号におけるパ
ラメータであるベースポイントＰが生成される。
【００５８】このベースポイントＰは、乱数生成部２１
１３で生成された乱数ｋとともに整数倍演算部２１２３
へ入力される。これを受けて、整数倍演算部２１２３
は、次式で示される処理を実行することで、データＲ２
１０９を生成する。
【００５９】Ｒ＝ｋＰ このデータＲ２１０９は、暗号文Ｃ１１３の最初のデー
タとなる。
【００６０】また、公開鍵ＱA１０７は、乱数生成部２
１１３で生成された乱数ｋとともに、整数倍演算部２１
１４へ入力される。これを受けて、整数倍演算部２１１
４は、次式で示される処理を実行することで、上記の楕
円曲線上の点（ｘA，ｙA）を生成する。
【００６１】（ｘA，ｙA）＝ｋＱA この（ｘA，ｙA）のうち、数値ｘAは、その後、ハッシ
ュ値生成部２１１９に入力されて、ハッシュ値ｈ
（ｘA）に変換される。
【００６２】同様に、公開鍵ＱB１０８は、乱数生成部
２１１３で生成された乱数ｋとともに、整数倍演算部２
１１５へ入力される。これを受けて、整数倍演算部２１
１５は、次式で示される処理を実行することで、上記の
楕円曲線上の点（ｘB，ｙB）を生成する。
【００６３】（ｘB，ｙB）＝ｋＱＢ この（ｘＢ，ｙB）のうち、数値ｘBは、その後、ハッシ
ュ値生成部２１２６に入力されて、ハッシュ値ｈ
（ｘB）に変換される。
【００６４】また、同様に、公開鍵ＱC１０９は、乱数
生成部２１１３で生成された乱数ｋとともに、整数倍演
算部２１１６へ入力される。これを受けて、整数倍演算
部２１１６は、次式で示される処理を実行することで、
上記の楕円曲線上の点（ｘC，ｙC）を生成する。
【００６５】（ｘC，ｙC）＝ｋＱC この（ｘC，ｙC）のうち、数値ｘCは、その後、ハッシ
ュ値生成部２１２７に入力されて、ハッシュ値ｈ
（ｘC）に変換される。
【００６６】しきい値ロジック部２１２５は、ハッシュ
値生成部２１２６、２１２７で生成したハッシュ値ｈ
（ｘB）、ｈ（ｘC）が分かれば、ハッシュ値生成部２１
１９で生成したハッシュ値ｈ（ｘA）を求めることがで
きる条件式を満たす値ｆ1２１１０を生成する。この値
ｆ1２１１０は、暗号文Ｃ１１３の２番目のデータとな
る。
【００６７】なお、このしきい値ロジック部２１２５の
詳細については後述する。
【００６８】メッセージＭ１０６は、まず、最初のＮビ
ットデータ２１０７が圧縮・暗号化部２１２０に入力さ
れる。これを受けて、圧縮・暗号化部２１２０は、ハッ
シュ値生成部２１１９で生成されたハッシュ値ｈ
（ｘA）を鍵２１００として、最初のＮビットデータ２
１０７の圧縮・暗号化処理（これについては後述する）
を行う。これによりデータＣ1２１１２を生成する。こ
のデータＣ1２１１２は、暗号文Ｃ１１３の３番目のデ
ータとなる。また、鍵２１００は、ハッシュ値生成部２
１２１に入力されて、メッセージＭ１０６の２番目のＮ
ビットデータを暗号化するための鍵２１２２に変換され
る。
【００６９】上記の処理を、メッセージＭ１０６を構成
する全てのＮビットデータに対して行うことで、暗号文
Ｃ１１３を生成する。
【００７０】なお、上記の説明において、ハッシュ値と
は、入力データに対して、暗号変換に似た処理を施すこ
とで得られる一定長の短いデータのことである。このハ
ッシュ値を生成するための関数であるハッシュ関数に
は、次のような特性をもつことが要求される。
【００７１】１．一方向性(one−way property)：ある
ハッシュ関数の出力値が与えられたとする。この出力値
と同じ出力値をもたらすような別のメッセージを求める
ことが、計算量的に困難でなければならない。
【００７２】２．衝突回避性(collision free propert
y)：メッセージもハッシュ値も何であるかは問わない。
とにかく同じハッシュ値となる二つの異なるメッセージ
を見つけることが計算量的に困難でなけらばならない。
【００７３】このハッシュ関数には、従来より「ブロッ
ク暗号を利用したハッシュ関数」や「専用ブロック関
数」などが存在する。本実施形態に用いるハッシュ値生
成部は、これ等を利用することで実現可能である。
【００７４】次に、図２に示すしきい値ロジック部２１
２５での処理について説明する。
【００７５】上述したように、しきい値ロジック部２１
２５は、ハッシュ値ｈ（ｘB）、ｈ（ｘC）が分かれば、
ハッシュ値ｈ（ｘA）を求めることができる条件式を満
たす値ｆ1２１１０を生成する。
【００７６】図３は、図２に示すしきい値ロジック部２
１２５の機能構成を示す図である。
【００７７】図３に示すように、しきい値ロジック部２
１２５には、ｑAX２２０２、ｈ（ｘA）２２０３、ｈ
（ｘB）２２０４、ｈ（ｘC）２２０５が入力される。
【００７８】ここで、ｑAX２２０２は、図２において、
公開鍵ＱA１０７のｘ座標値である。また、ｈ（ｘA）２
２０３、ｈ（ｘB）２２０４、ｈ（ｘC）２２０５は、そ
れぞれ、ハッシュ値生成部２１１９、２１２６、２１２
７で生成されたハッシュ値である。
【００７９】演算部２２０８は、次式で示される処理を
実行することで、データｆ1２１１０を生成する。
【００８０】 ｆ1＝ｇ（ｑAX，ｈ（ｘA），ｈ（ｘB），ｈ(ｘC）） ここで、関数ｇは、 ｇ（ｘ，ａ1，ａ2，ａ3）＝ａ1＋ａ2・ｘ＋ａ3・ｘ2(mo
d ｎ） で定義される。
【００８１】したがって、演算部２２０８で生成された
データｆ1は、ｑAXおよびｈ（ｘA）、ｈ（ｘB）、ｈ
（ｘC）との間において、以下に示す方程式が成立す
る。
【００８２】ｆ1＝ｈ（ｘA）＋ｈ（ｘB）・ｑAX＋ｈ
（ｘC）・ｑAX 2（mod n） なお、上記の式において、mod ｎとは、ｎで割った余り
をとるという処理を示す。たとえば、５（mod ２）＝１
である。また、ｎは、ハッシュ値生成部２１１１９、２
１２６、２１２７で用いるハッシュ関数ｈの出力長（す
なわち、ハッシュ値）より長いビット数で表される整数
である。
【００８３】上記の式により、ｆ1、ｑAXの値が既知で
ある場合、ｈ（ｘA），ｈ（ｘB），ｈ（ｘC）のうちの
いずれか二つの値が分かれば、他の一つの値も分かるこ
とになる（未知数３、方程式数１の連立方程式となるた
め）。
【００８４】次に、図２に示す圧縮・暗号化部２１２
０、・・・での処理について、説明する。
【００８５】図４は、図２に示す圧縮・暗号化部２１２
０、・・・の機能構成を示す図である。
【００８６】ここで、Ｎビットデータとは、図２におい
て、メッセージＭ１０６を構成するＮビットデータ２１
０７、・・・に相当する。また、データＣiは、図２に
おいて、圧縮・暗号化部２１２０、・・・が生成するデ
ータＣ1２１１２、・・・を示す。さらに、鍵２３０９
とは、図２において、鍵２１００、２１２２、・・・に
相当する。
【００８７】図４において、鍵２３０９が入力される
と、拡張部２３１０はこの鍵２３０９を受け取ってコピ
ーを複数個生成し、これ等を繋ぎ合わせてワーク鍵２３
１１を生成する。
【００８８】また、Ｎビットデータの最初のデータ区分
である第１区分２３０３は、圧縮処理部２３１２におい
て、ワーク鍵２３１１の一部をパラメータとして、ハフ
マン圧縮などにより圧縮（換字）処理が施される。そし
て、その結果が、１２８ビットの圧縮データ２３１３お
よびその端数データ２３１４として出力される。
【００８９】１２８ビットの圧縮データ２３１３は、π
関数処理部２３１５において、ワーク鍵２３１１の一部
をパラメータとして、ブロック暗号処理が施され、１２
８ビットのデータに変換される。その後、π関数処理部
２３１６において、ワーク鍵２３１１の一部をパラメー
タとして、さらにブロック暗号処理が施されて、１２８
ビットのデータに変換される。このデータが、生成すべ
きデータＣiの最初のデータｇ1２３０６となる。また、
π関数処理部２３１５で生成された１２８ビットのデー
タは、拡張部２３１７に入力され、複数コピーされる。
そして、これ等が繋ぎ合わされて、Ｎビットデータの２
番目のデータ区分である第２区分２３０４を暗号化する
ためのワーク鍵２３１８となる。
【００９０】また、Ｎビットデータの２番目のデータ区
分である第２区分２３０４は、圧縮処理部２３１９にお
いて、ワーク鍵２３１８の一部をパラメータとして、ハ
フマン圧縮などにより圧縮（換字）処理が施される。そ
して、その結果が、圧縮データ２３２０および端数デー
タ２３２１として出力される。ここで、圧縮データ２３
２０は、第１区分２３０３を圧縮（換字）処理した際に
生成された端数データ２３１４との合計ビット長が、１
２８ビットとなるように生成される。
【００９１】圧縮データ２３２０は、第１区分２３０３
を圧縮（換字）処理した際に生成された端数データ２３
１４とを繋ぎ合わされて、１２８ビットのデータにな
る。その後、π関数処理部２３２２において、ワーク鍵
２３１８の一部をパラメータとして、ブロック暗号処理
が施され、１２８ビットのデータに変換される。その
後、π関数処理部２３２４において、ワーク鍵２３１８
の一部をパラメータとして、さらにブロック暗号処理が
施されて、１２８ビットのデータに変換される。このデ
ータが、生成すべきデータＣiの２番目のデータｇ2２３
０７となる。
【００９２】なお、第２区分２３０４を圧縮（換字）処
理した際に生成された端数データ２３２１がｒビット
（ｒ≧１）である場合、ハッシュ値生成部２３２３は、
鍵２３０９に対するハッシュ値を生成する。これを受け
て、演算部２３２５は、ハッシュ値生成部２３２３で生
成されたハッシュ値の上位ｒビットと、端数データ２３
２１との排他的論理的をとり、ｒビットのデータを生成
する。このデータが、生成すべきデータＣiの３番目の
データｇ3２３０８となる。
【００９３】上記の処理により、Ｎビットデータに対す
る暗号データＣiが生成される。
【００９４】本実施形態において、データ暗号化装置と
して機能する装置Ｓ１０１では、メッセージＭ１０６の
暗号化において、初期値として、ハッシュ値ｈ（ｘA）
を用いている。したがって、この装置Ｓ１０１で暗号化
された暗号文Ｃ１１３を復号するためには、ハッシュ値
ｈ（ｘA）求めればよい。
【００９５】ところで、この装置Ｓ１０１では、しきい
値ロジック部２１２５において、ハッシュ値ｈ
（ｘB）、ｈ（ｘC）が分かれば、ハッシュ値ｈ（ｘA）
を求めることができる条件式を満たす値ｆ1を生成し、
このｆ1を暗号文Ｃ１１３に付加している。
【００９６】このため、暗号文Ｃ１１３を受信した者
（すなわち、ｆ1を取得した者）は、ｈ（ｘB）、ｈ（ｘ
C）（ただし、図２に示す例でいえば、さらにｑAXが必
要）が分かれば、暗号化に用いたｈ（ｘA）を求めるこ
とができる。
【００９７】よって、暗号文Ｃ１１３の復号は、公開鍵
ＱAと対になる秘密鍵ｄAを所有する装置Ａ１０２（単独
でハッシュ値ｈ（ｘA）を求めることが可能）のみなら
ず、公開鍵ＱBと対になる秘密鍵ｄBを所有する装置Ｂ１
０３（単独でハッシュ値ｈ（ｘB）を求めることが可
能）、および公開鍵ＱCと対になる秘密鍵ｄCを所有する
装置Ｃ１０４（単独でハッシュ値ｈ（ｘC）を求めるこ
とが可能）が協力することでも行うことができる。
【００９８】前者は、１ out of １の復号ロジックであ
り、後者は２ out of ２の復号ロジックである。本実施
形態によれば、このように、復号可能となる受信者数の
しきい値制御が可能となる。
【００９９】すなわち、暗号文Ｃ１１３を秘密鍵ｄA、
ｄB、ｄCの所有者各々に対して同報通信（マルチキャス
ト）することで、秘密鍵ｄAの持ち主が単独で復号でき
るとともに、秘密鍵ｄB、ｄCの持ち主が協力すれば復号
可能なようにすることができる。
【０１００】なお、本実施形態に適用したデータ暗号
は、メッセージＭを公開鍵を用いて、暗号文に変換する
という点で、従来のＲＳＡ（Rivest,Shamir,Adleman）
のような公開鍵暗号と同じである。しかし、図４に示す
ように、ハフマン圧縮等により圧縮が効くような通常の
メッセージに対しては、暗号文の長さがメッセージの長
さより短くなるという点で、従来の公開鍵暗号とは異な
る。
【０１０１】次に、データ復号化装置として機能する装
置Ａ１０２、Ｂ１０３、Ｃ１０４について説明する。
【０１０２】まず、装置Ａ１０２が自己が所有する秘密
鍵ｄA１１０を用いて暗号文Ｃ１１３を復号する場合に
ついて説明する。
【０１０３】図５は、図１に示す装置Ａ１０２が自己が
所有する秘密鍵ｄA１１０を用いて暗号文Ｃ１１３を復
号する場合における、当該装置Ａ１０２の機能構成を示
す図である。
【０１０４】なお、図５に示す機能構成は、パーソナル
コンピュータなどの情報処理装置が備えるＣＰＵに所定
のプログラムを実行させることで実現可能である。この
プログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライバ
を介してパーソナルコンピュータで読み取り可能な記憶
媒体に格納しておけばよい。また、図５に示す機能構成
は、情報処理装置に装着されたＩＣカード上において、
実現されるように構成してもよい。
【０１０５】図５において、装置Ａ１０２に暗号文Ｃ１
１３が入力されると、演算部２６１９は、自己が格納し
ている秘密鍵ｄA１１０（公開鍵ＱA１０７と対）を読み
出す。そして、この秘密鍵ｄA１１０と、暗号文Ｃ１１
３の最初のデータＲ２１０９との間で、次式を満たす楕
円曲線上の点（ｘA，ｙA）を求める。
【０１０６】（ｘA，ｙA）＝ｄAＲ ハッシュ値生成部２６２０は、演算部２６１９で求めた
（ｘA，ｙA）のうちのｘ座標値ｘAのハッシュ値ｈ
（ｘA）を生成する。
【０１０７】ここで、ハッシュ値ｈ（ｘA）は、図２に
示すハッシュ値生成部２１１９で生成されたハッシュ値
ｈ（ｘA）と一致する。この理由を以下に述べる。
【０１０８】図２において、ハッシュ値生成部２１１９
は、乱数生成部２１１３で生成した乱数ｋを用いて（ｘ
A,ｙA）＝ｋＱAを求め、このうちのｘ座標の数値ｘAに
対するハッシュ値をｈ（ｘA）としている。
【０１０９】これに対し、図５に示すハッシュ値生成部
２６２０では、上記と同じ乱数ｋを用いてＲ＝ｋＰによ
り求められたＲを用いて、ｄAＲを求め、このうちのｘ
座標の数値ｘA対するハッシュ値をｈ（ｘA）としてい
る。
【０１１０】ここで、楕円曲線暗号における秘密鍵と公
開鍵との関係から、ＱA＝ｄAＰが成立する。したがっ
て、 ｄAＲ＝ｄAｋＰ＝ｋｄAＰ＝ｋＱA＝（ｘA,ｙA） となる。
【０１１１】したがって、図５に示すハッシュ値生成部
２６２０で生成されたハッシュ値ｈ（ｘA）は、図２に
示すハッシュ値生成部２１１９で生成されたハッシュ値
ｈ（ｘA）と一致する。
【０１１２】復号・伸長化部２６１４は、ハッシュ値生
成部２６２０で生成されたハッシュ値ｈ（ｘA）を鍵２
６１３として、暗号文Ｃ１１３の３番目のデータＣ1２
１１２（すなわち、メッセージＭ１０６の最初のＮビッ
トデータに対する暗号データ）に対して、復号・伸長処
理を行う。これにより、メッセージＭ１０６の最初のＮ
ビットデータ２１０７を生成する。
【０１１３】また、復号・伸長化部２６１７は、ハッシ
ュ値生成部２６１５において、鍵２６１３を基に生成さ
れたハッシュ値を新しい鍵２６１６として、暗号文Ｃ１
１３の４番目のデータ（すなわち、メッセージＭ１０６
の２番目のＮビットデータに対する暗号データ）に対し
て、復号・伸長処理を行う。これにより、メッセージＭ
１０６の２番目のＮビットデータを生成する。
【０１１４】上記の処理を、暗号文Ｃ１１３を構成する
最後のデータまで、順次繰り返すことで、メッセージＭ
１０６を復元する。
【０１１５】ここで、図５に示す復号・伸長化部２６１
４、２６１７、・・・について説明する。
【０１１６】図６は、図５に示す復号・伸長化部２６１
４、２６１７、・・・の機能構成を示す図である。
【０１１７】図中、データＣiは、図５において、暗号
文Ｃ１１３の３番目以降のデータＣ1２１１２、・・・
を示す。また、Ｎビットデータとは、図５において、復
号・伸長化部２６１４、２６１７、・・・が生成したＮ
ビットデータ２１０７、・・・に相当する。さらに、鍵
１９０５とは、図５において、鍵２６１３、２６１６に
相当する。
【０１１８】また、π-1関数処理部１９０７、１９１
０、１９１４、１９１６は、図４に示すπ関数処理部２
３１５、２３１６、２３２２、２３２４でのブロック暗
号処理と逆関数の関係にある処理を行う。すなわち、π
-1関数は、π関数の逆関数である。
【０１１９】同じパラメータをπ関数とπ-1関数に設定
した場合、データｍをπ関数によって変換して得られる
データπ（ｍ）を、さらに、π-1関数によって変換する
と、元のデータｍに戻る。すなわち、π-1関数はπ関数
と次式のような関係にある。
【０１２０】ｍ＝π−１（π（ｍ）） また、伸長処理部１９１１、１９１７は、図４に示す圧
縮処理部２３１２、２３１９での処理と逆変換の関係に
ある処理を行う。
【０１２１】同じパラメータを圧縮処理部と伸長処理部
に設定した場合、データｍを圧縮（換字）処理によって
変換して得られるデータを、さらに、伸長（換字）処理
によって変換すると、元のデータｍに戻る。
【０１２２】図６において、鍵１９０５が入力される
と、拡張部１９０６はこの鍵１９０５を受け取ってコピ
ーを複数個生成し、これ等を繋ぎ合わせてワーク鍵１９
２３を生成する。
【０１２３】また、データＣiの最初の１２８ビットデ
ータｇ1２３０６は、π-1関数処理部１９０７におい
て、ワーク鍵１９２３の一部をパラメータとして、換字
・転置処理が施されて１２８ビットデータ変換された
後、π-1関数処理部１９１０において、ワーク鍵１９２
３の一部をパラメータとして、さらに換字・転置処理が
施されて、１２８ビットデータに変換される。
【０１２４】π-1関数処理部１９１０の出力結果は、伸
長処理部１９１１において、ワーク鍵１９２３の一部を
パラメータとして、伸長（換字）処理が施される。そし
て、その結果が、伸長データ１９１２およびその端数デ
ータ１９１３として出力される。この１２８ビットの伸
長データが、生成すべきＮビットデータのうちの第１区
分のデータ２３０３となる。また、π-1関数処理部１９
０７で生成された１２８ビットのデータは、拡張部１９
０９に入力され、複数コピーされる。そして、これ等が
繋ぎ合わされて、データＣiの２番目の１２８ビットデ
ータｇ2２３０７を復号化するためのワーク鍵１９２４
となる。
【０１２５】データＣiの２番目の１２８ビットデータ
ｇ2２３０７は、π-1関数処理部１９１４において、ワ
ーク鍵１９２４の一部をパラメータとして、換字・転置
処理が施されて１２８ビットデータに変換された後、π
-1関数処理部１９１６において、ワーク鍵１９２４の一
部をパラメータとして、さらに換字・転置処理が施され
て、１２８ビットデータに変換される。
【０１２６】π-1関数処理部１９１６の出力結果は、伸
長処理部１９１７において、ワーク鍵１９２４の一部を
パラメータとして、伸長（換字）処理が施される。そし
て、その結果が、伸長データ１９１８として出力され
る。
【０１２７】データＣiの３番目のデータであるｒビッ
トデータｇ3２３０８は、ハッシュ値生成部２３２３ａ
で生成された鍵１９０５に対するハッシュ値の上位ｒビ
ットと共に、演算部２３２５ａに入力される。これを受
けて、演算部２３２５ａは、ハッシュ値生成部２３２３
aで生成されたハッシュ値の上位ｒビットをｈr、生成す
べきｒビットデータをＤrとした場合に以下の式を満た
すＤrを生成する。
【０１２８】Ｄr eor ｈr＝ｇ2 ：ただし、eorは排他
的論理和演算部２３２５ａで生成されたｒビットデータ
Ｄrは、伸長処理部１９１９において、ワーク鍵１９２
４の一部をパラメータとして、伸長（換字）処理が施さ
れる。そして、その結果は、データｇ1２３０６を伸長
（換字）処理した際に生成された端数データ１９１３、
および、データｇ2２３０７を伸長（換字）処理した際
に生成された伸長データ１９１８と接続される。この接
続されたデータが、生成すべきＮビットデータのうちの
第２区分のデータ２３０４となる。
【０１２９】これにより、Ｎビットデータが生成され
る。
【０１３０】次に、装置Ａ１０１が鍵ｄA１１０を紛失
してしまった場合に、装置Ｂ１０３、Ｃ１０４の協力を
得て、暗号文Ｃ１１３を復号する場合について説明す
る。
【０１３１】図７は、図１に示す装置Ａ１０１が鍵ｄA
１１０を紛失してしまった場合に、装置Ｂ１０３、Ｃ１
０４の協力を得て、暗号文Ｃ１１３を復号する場合にお
ける、装置Ａ１０２、Ｂ１０３、Ｃ１０４の機能構成を
示す図である。ここで、図５に示すものと同じものに
は、同一の符号を付してある。
【０１３２】なお、図７に示す機能構成は、パーソナル
コンピュータなどの情報処理装置が備えるＣＰＵに所定
のプログラムを実行させることで実現可能である。この
プログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライバ
を介してパーソナルコンピュータで読み取り可能な記憶
媒体に格納しておけばよい。また、図７に示す機能構成
は、情報処理装置に装着されたＩＣカード上において、
実現されるように構成してもよい。
【０１３３】まず、装置Ａ１０２は、受け取った暗号文
Ｃ１１３の最初のデータＲ２１０９を、装置Ｂ１０３、
Ｃ１０４へ各々送信する。
【０１３４】これを受けて、装置Ｂ１０３は、自己が格
納している秘密鍵ｄB１１１（公開鍵ＱB１０８と対）を
読み出す。そして、演算部２６１９ａにおいて、装置Ａ
１０２から送られてきた値Ｒとの間で、次式を満たす楕
円曲線上の点（ｘB，ｙB）を求める。
【０１３５】（ｘB，ｙB）＝ｄBＲ その後、ハッシュ値生成部２６２０ａにおいて、演算部
２６１９ａで求めた（ｘB，ｙB）のうちのｘ座標値ｘB
のハッシュ値ｈ（ｘB）を生成し、これを装置Ａ１０２
へ送信する。
【０１３６】同様に、装置Ｃ１０４は、自己が格納して
いる秘密鍵ｄC１１２（公開鍵ＱC１０９と対）を読み出
す。そして、演算部２６２２において、装置Ａ１０２か
ら送られてきた値Ｒとの間で、次式を満たす楕円曲線上
の点（ｘC，ｙC）を求める。
【０１３７】（ｘC，ｙC）＝ｄCＲ その後、ハッシュ値生成部２６２３において、演算部２
６２２で求めた（ｘC，ｙC）のうちのｘ座標値ｘCのハ
ッシュ値ｈ（ｘC）を生成し、これを装置Ａ１０２へ送
信する。
【０１３８】ここで、ハッシュ値ｈ（ｘB）、ｈ（ｘC）
は、図２に示すハッシュ値生成部２１２６、２１２７で
生成されたハッシュ値ｈ（ｘB）、ｈ（ｘC）と、各々一
致する。この理由を以下に述べる。
【０１３９】図２に示すハッシュ値生成部２１２６で
は、乱数生成部２１１３で生成した乱数ｋを用いて（ｘ
B,ｙB）＝ｋＱBを求め、このうちのｘ座標の数値ｘBに
対するハッシュ値をｈ（ｘB）としている。同様に、ハ
ッシュ値生成部２１２７では、乱数ｋを用いて（ｘC,ｙ
C）＝ｋＱCを求め、このうちのｘ座標の数値ｘCに対す
るハッシュ値をｈ（ｘC）としている。
【０１４０】これに対し、図７に示すハッシュ値生成部
２６２０ａでは、上記と同じ乱数ｋを用いてＲ＝ｋＰに
より求められたＲを用いて、ｄBＲを求め、このうちの
ｘ座標の数値ｘB対するハッシュ値をｈ（ｘB）としてい
る。同様に、ハッシュ値生成部２６２３では、Ｒを用い
てｄCＲを求め、このうちのｘ座標の数値ｘC対するハッ
シュ値をｈ（ｘC）としている。
【０１４１】ここで、楕円曲線暗号における秘密鍵と公
開鍵との関係から、ＱB＝ｄBＰ、ＱC＝ｄCＰが成立す
る。したがって、 ｄBＲ＝ｄBｋＰ＝ｋｄBＰ＝ｋＱB＝（ｘB,ｙB） ｄCＲ＝ｄCｋＰ＝ｋｄCＰ＝ｋＱC＝（ｘC,ｙC） となる。
【０１４２】したがって、図７に示すハッシュ値生成部
２６２０ａ、２６２３で各々生成されたハッシュ値ｈ
（ｘB）、ｈ（ｘC）と、図２に示すハッシュ値生成部２
１２６、２１２７で各々生成されたハッシュ値ｈ
（ｘB）、ｈ（ｘC）とは、各々一致する。
【０１４３】次に、装置Ａ１０２は、装置Ｂ１０３、Ｃ
１０４からハッシュ値ｈ（ｘB）、ｈ（ｘC）を受け取る
と、しきい値逆算ロジック部２６１２による処理を開始
する。
【０１４４】しきい値逆算ロジック部２６１２は、ま
ず、装置Ｂ１０３から送られてきたハッシュ値ｈ
（ｘB）と、装置Ｃ１０４から送られてきたハッシュ値
ｈ（ｘC）と、公開鍵ＱA１０７のｘ座標値ｑAXと、暗号
文Ｃ１１３の２番目データｆ1２１１０と、を受け取
る。
【０１４５】そして、以下に示す方程式を満たすｈ（ｘ
A）を生成する。
【０１４６】ｆ1＝ｈ（ｘA）＋ｈ（ｘB）・ｑAX＋ｈ
（ｘC）・ｑAX 2（mod n） ここで、上記の方程式は、図２に示すハッシュ値生成部
２１１９、２１２６、２１２７で各々生成されたハッシ
ュ値ｈ（ｘA）、ｈ（ｘB）、ｈ（ｘC）のうち、ｈ
（ｘB）とｈ（ｘC）とを既知とした場合に相当する。
【０１４７】上述したように、図７に示すハッシュ値生
成部２６２０ａ、２６２３で各々生成されたハッシュ値
ｈ（ｘB）、ｈ（ｘC）は、図２に示すハッシュ値生成部
２１２６、２１２７で各々生成されたハッシュ値ｈ（ｘ
B）、ｈ（ｘC）と一致する。したがって、上記の方程式
より求めたｈ（ｘA）は、図２に示すハッシュ値生成部
２１１９で生成したハッシュ値ｈ（ｘA）と一致するこ
とになる。
【０１４８】復号・伸長化部２６１４は、しきい値逆ブ
ロック部２６１２で生成されたハッシュ値ｈ（ｘA）を
鍵２６１３として、暗号文Ｃ１１３の３番目のデータＣ
1２１１２（すなわち、メッセージＭ１０６の最初のＮ
ビットデータに対する暗号データ）に対して、復号・伸
長処理を行う。これにより、メッセージＭ１０６の最初
のＮビットデータ２１０７を生成する。
【０１４９】また、復号・伸長化部２６１７は、ハッシ
ュ値生成部２６１５において、鍵２６１３を基に生成さ
れたハッシュ値を新しい鍵２６１６として、暗号文Ｃ１
１３の４番目のデータ（すなわち、メッセージＭ１０６
の２番目のＮビットデータに対する暗号データ）に対し
て、復号・伸長処理を行う。これにより、メッセージＭ
１０６の２番目のＮビットデータを生成する。
【０１５０】上記の処理を、暗号文Ｃ１１３を構成する
最後のデータまで、順次繰り返すことで、メッセージＭ
１０６を復元する。
【０１５１】なお、図７では、装置Ａ１０１が鍵ｄA１
１０を紛失してしまった場合に、装置Ｂ１０３、Ｃ１０
４の協力を得て、暗号文Ｃ１１３を復号する場合につい
て説明した。ここで、装置Ｂ１０３、Ｃ１０４は、公開
鍵の供託を受けて保管するよううな機関（鍵保管機関）
であってもよい。
【０１５２】次に、装置Ｂ１０３が、装置Ｃ１０４の協
力を得て、装置Ｓ１０１から送られてきた暗号文Ｃ１１
３を復号化する場合について、説明する。
【０１５３】図８は、図１において、装置Ｂ１０３が装
置Ｃ１０４の協力を得て、装置Ｓ１０１から送られてき
た暗号文Ｃ１１３を復号化する場合における、装置Ｂ１
０３、Ｃ１０４の機能構成を示す図である。ここで、図
７に示すものと同じものには同一の符号を付してある。
【０１５４】なお、図８に示す機能構成は、情報処理装
置などのパーソナルコンピュータが備えるＣＰＵに所定
のプログラムを実行させることで実現可能である。この
プログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライバ
を介してパーソナルコンピュータで読み取り可能な記憶
媒体に格納しておけばよい。また、図８に示す機能構成
は、情報処理装置に装着されたＩＣカード上において、
実現されるように構成してもよい。
【０１５５】図８において、装置Ｂ１０３に、公開鍵Ｑ
A１０７と、暗号文Ｃ１１３とが入力されると、演算部
２６１９ａは、自己が格納している秘密鍵ｄB１１１
（公開鍵ＱB１０８と対）を読み出す。
【０１５６】そして、この秘密鍵ｄB１１１と、暗号文
Ｃ１１３の最初のデータＲ２１０９との間で、次式を満
たす楕円曲線上の点（ｘB，ｙB）を求める。
【０１５７】（ｘB，ｙB）＝ｄBＲ ハッシュ値生成部２６２０ａは、演算部２６１９で求め
た（ｘB，ｙB）のうちのｘ座標値ｘBのハッシュ値ｈ
（ｘB）を生成する。
【０１５８】また、装置Ｂ１０３は、暗号文Ｃ１１３の
最初のデータＲ２１０９を装置Ｃ１０４へ送信する。
【０１５９】これを受けて、装置Ｃ１０４は、自己が格
納している秘密鍵ｄC１１２（公開鍵ＱC１０９と対）を
読み出す。そして、演算部２６２２において、この秘密
鍵ｄC１１２と、暗号文Ｃ１１３の最初のデータＲ２１
０９との間で、次式を満たす楕円曲線上の点（ｘC，
ｙC）を求める。
【０１６０】（ｘC，ｙC）＝ｄCＲ その後、ハッシュ値生成部２６２３において、演算部２
６２２で求めた（ｘC，ｙC）のうちのｘ座標値ｘCのハ
ッシュ値ｈ（ｘC）を生成して、装置Ｂ１０３へ送信す
る。
【０１６１】次に、装置Ｂ１０３は、装置Ｃ１０４から
ハッシュ値ｈ（ｘC）を受け取ると、しきい値逆算ロジ
ック部２６１２による処理を開始する。
【０１６２】しきい値逆算ロジック部２６１２は、ま
ず、ハッシュ値生成部２６２０ａで生成したハッシュ値
ｈ（ｘB）と、装置Ｃ１０４から送られてきたハッシュ
値ｈ（ｘC）と、公開鍵Ｑ1１０７のｘ座標値ｑAXと、暗
号文Ｃ１１３の２番目データｆ1２１１０と、を受け取
る。
【０１６３】そして、以下に示す方程式を満たすｈ（ｘ
A）を生成する。
【０１６４】ｆ1＝ｈ（ｘA）＋ｈ（ｘB）・ｑAX＋ｈ
（ｘC）・ｑAX 2（mod n） 復号・伸長化部２６１４は、しきい値逆ブロック部２６
１２で生成されたハッシュ値ｈ（ｘA）を鍵２６１３と
して、暗号文Ｃ１１３の３番目のデータＣ1２１１２
（すなわち、メッセージＭ１０６の最初のＮビットデー
タに対する暗号データ）に対して、復号・伸長処理を行
う。これにより、メッセージＭ１０６の最初のＮビット
データ２１０７を生成する。
【０１６５】また、復号・伸長化部２６１７は、ハッシ
ュ値生成部２６１５において、鍵２６１３を基に生成さ
れたハッシュ値を新しい鍵２６１６として、暗号文Ｃ１
１３の４番目のデータ（すなわち、メッセージＭ１０６
の２番目のＮビットデータに対する暗号データ）に対し
て、復号・伸長処理を行う。これにより、メッセージＭ
１０６の２番目のＮビットデータを生成する。
【０１６６】上記の処理を、暗号文Ｃ１１３を構成する
最後のデータまで、順次繰り返すことで、メッセージＭ
１０６を復元する。
【０１６７】上記の本実施形態では、公開鍵ＱB１０８
から求めたハッシュ値ｈ（ｘB）と、公開鍵ＱC１０９か
ら求めたハッシュ値ｈ（ｘC）と、メッセージＭ１０６
の暗号化に用いた、公開鍵ＱA１０７から求めたハッシ
ュ値ｈ（ｘA）との間において、ハッシュ値ｈ（ｘB）お
よびハッシュ値ｈ（ｘC）が分かれば、ハッシュ値ｈ
（ｘA）を直接あるいは間接に求めることができる関係
式を満たす値ｆ1２１１０を暗号文Ｃ１１３に付与して
いる。
【０１６８】ここで、装置Ｂ１０３、Ｃ１０４は、各々
自己が所有する秘密鍵ｄB１１１、ｄC１１２からハッシ
ュ値ｈ（ｘB）、ｈ（ｘC）を求めることができる。
【０１６９】したがって、メッセージＭ１０６の暗号化
に用いたハッシュ値ｈ（ｘA）は、装置Ｂ１０３、Ｃ１
０４が協力することで求めることができるので、装置Ａ
１０２は、自己が所有する秘密鍵ｄA１１０を紛失した
場合でも、装置Ｂ１０３、Ｃ１０４の協力を得ること
で、暗号文Ｃ１１３を元のメッセージＭ１０６に復元す
ることができる。
【０１７０】これにより、以下に示す効果を奏する。
【０１７１】自己の秘密鍵を、鍵保管機関に供託して
おく必要がなくなる。
【０１７２】従来の鍵回復システムでは、自己の秘密鍵
を、鍵保管機関に供託しておかなければならなかった。
当然、この秘密鍵を鍵保管機関に供託する場合にも、機
密性を確保できる方法で行う必要があり、そのための手
間がかかっていた。特に、秘密鍵を分割して、複数の鍵
保管機関に供託するような場合には、ユーザにかかる負
担が大きかった。本実施形態では、自己（装置Ａ１０２
に相当）の秘密鍵を鍵保管機関（装置Ｂ１０３、Ｃ１０
４に相当）に供託しなくても、鍵保管機関は、自己の公
開鍵で暗号化したデータを復号することができるので、
上記のような手間を省くことができ、ユーザにかかる負
担を軽減することができる。
【０１７３】自己が所有する秘密鍵が、自己以外の第
三者（鍵保管機関）に知られることがなくなる。
【０１７４】従来の鍵回復システムでは、かりに、鍵保
管機関から、自己の秘密鍵に関する情報が漏洩してしま
った場合、安全なデータ暗号化を行うことができなくな
ってしまうおそれがあった。本実施形態では、自己が所
有する秘密鍵を鍵保管機関に預ける必要がなくなるので
そのような問題は生じない。くわえて、上記の値ｆ1２
１１０は、公開鍵ＱB１０８と公開鍵ＱC１０９との値に
依存するので、協力を得ようとする者（具体的には、そ
の者が所有する秘密鍵と対になる公開鍵）を変えること
で、値ｆ1２１１０の内容を変更することができる。こ
のため、機密性を更に向上させることができる。
【０１７５】なお、本実施形態は、暗号文にｆ1、ｆ2、
・・・、ｆnを含めることで、ｎ人の相手に対してマル
チキャストを行い、そのｎ人のうちの何人かは単独で復
号可能とし、残りの者は少なくとも二人が協力すること
で、復号可能とすることもできる。あるいは、ｎ人各々
が単独で復号可能とすることもできる。
【０１７６】図９は、図２に示すしきい値ロジック部の
変形例の機能構成を示す図である。
【０１７７】図９に示すように、しきい値ロジック部２
１２５ａには、３つのデータｘA２４０２、ｘB２４０
３、ｘC２４０４が入力される。
【０１７８】ここで、ｘA２４０２、ｘB２４０３、ｘC
２４０６は、それぞれ、図２に示す整数倍演算部２１１
４、２１１５、２１１６で生成されたｘ座標値である。
【０１７９】演算部２４０８は、次式で示される処理を
実行することで、データｆ1２４０６を生成する。
【０１８０】ｆ1＝ｘA−ｈ（ｘB） ここで、ｈ（ｘB）は、図２に示すハッシュ値生成部２
１２６で生成されたハッシュ値である。
【０１８１】また、演算部２４１０は、次式で示される
処理を実行することで、データｆ2２４０７を生成す
る。
【０１８２】ｆ2＝ｘA−ｈ（ｘC） ここで、ｈ（ｘC）は、図２に示すハッシュ値生成部２
１２７で生成されたハッシュ値である。
【０１８３】図９に示すしきい値ロジック２１２５ａを
用いることで、図２に示す装置Ｓ１０１は、暗号化処理
途中に生成される乱数kと公開鍵ＱB１０８とを基にデー
タｆ1２４０６を生成することになる。このデータｆ1を
暗号文Ｃ１１３に付与することにより、公開鍵ＱB１０
８と対の関係にある秘密鍵ｄB１１１の持ち主（すなわ
ち、装置Ｂ１０３）も、単独で暗号文Ｃ１１３を復号す
ることができる。
【０１８４】同様に、暗号化処理途中に生成される乱数
ｋと公開鍵ＱC１０９とを基に、データｆ2２４０７を生
成することになる。このデータｆ2を暗号文Ｃ１１３に
付与することにより、公開鍵ＱC１０９と対の関係にあ
る秘密鍵ｄC１１２の持ち主（すなわち、装置Ｃ１０
４）も、単独で暗号文Ｃ１１３を復号することができ
る。
【０１８５】すなわち、暗号文Ｃ１１３を秘密鍵ｄA１
１０、ｄB１１１、ｄC１１２のそれぞれの持ち主に同報
通信（マルチキャスト）することで、これ等の持ち主各
々が単独で復号することが可能となる。また、通信相手
を一人増やすには、単に、ハッシュ値の長さ分（たとえ
ば、８０ビット）のデータを増やせばよいので、同報暗
号通信を効率的に行うことができる。ここで、ハッシュ
関数には一方向性だけが要求され、衝突回避性は要求さ
れない。
【０１８６】また、本実施形態では、暗号文Ｃ１１３の
最初データとして、整数倍演算部２１２３で生成した、
楕円曲線上の点Ｒのｘ座標値、ｙ座標値の両方を含むも
のについて説明した。しかしながら、ｘ座標値、ｙ座標
値のいずれか一方のみを含むようにした場合でも、本発
明の鍵回復システムを実現することができる。
【０１８７】図１０は、図１に示すデータ暗号化装置と
して機能する装置Ｓの変形例の機能構成を示す図であ
る。
【０１８８】ここで、図２に示す装置Ｓ１０１と同じも
のには、同じ符号を付している。
【０１８９】図１０に示す装置Ｓ１０１ａは、整数倍演
算部２１２３に代えて整数倍演算部２５０１を用いた点
で、図２に示す装置Ｓ１０１と異なる。その他の構成
は、図２に示すものと同じである。
【０１９０】整数倍演算部２５０１は、ベースポイント
Ｐ２１０２と、乱数生成部２１１３で生成された乱数ｋ
とを受け取って、Ｒ＝ｋＰで示される処理を実行する点
で、図２に示す整数倍演算部２１２３と同じである。し
かしながら、上記の式で求められるＲのうち、ｘ座標の
値ＲX２５０２のみを出力する点で異なる。
【０１９１】したがって、図１０に示す装置Ｓ１０１ａ
では、このデータＲX２５０２が、暗号文Ｃ１１３ａの
最初のデータとなる。
【０１９２】図１０に示す装置Ｓ１０１ａでは、図２に
示す装置Ｓ１０１に比べて、生成される暗号文の長さが
幾分短くなる。
【０１９３】すなわち、図２に示す装置Ｓ１０１では、
整数倍演算部２１２３において、楕円曲線上の点Ｒ＝ｋ
Ｐを求め、求めたＲのｘ座標値ＲXおよびｙ座標値ＲYを
出力して、暗号文Ｃ１１３の最初のデータＲ２１０９と
していた。
【０１９４】これに対し、図１０に示す装置Ｓ１０１ａ
では、整数倍演算部２５０１において、楕円曲線上の点
Ｒ＝ｋＰを求め、この求めたＲのうちのｘ座標値ＲXの
みを出力して、暗号文Ｃ１１３ａの最初のデータＲX２
５０２としている。
【０１９５】したがって、図１０に示す装置Ｓ１０１ａ
で生成された暗号文Ｃ１１３ａは、図２に示す装置Ｓ１
０１で生成された暗号文Ｃ１１３よりも、ｙ座標値ＲY
のデータ分（たとえば、１６０ビット）だけ短くなる。
【０１９６】図１１は、図１に示すデータ復号化装置と
して機能する装置Ａの変形例であり、装置Ａが鍵ｄA１
１０を紛失してしまった場合に、装置Ｂ、Ｃの協力を得
て、図１０に示す装置Ｓが生成した暗号文Ｃ１１３ａを
復号する場合における機能構成を示す図である。
【０１９７】ここで、図７に示すものと同じものには、
同じ符号を付してある。
【０１９８】図１１に示す装置Ａ１０１ａが図７に示す
装置Ａ１０１と異なる点は、演算部２６１１を設けた点
である。
【０１９９】演算部２６１１は、暗号文Ｃ１１３ａの最
初のデータＲX２５０２との間で、次の楕円曲線方程式
を満足するy座標値ＲYを求める。
【０２００】ＲY 2＝ＲX 3＋ａ・ＲX＋ｂ 通常、この方程式の解ＲYは２つ存在する。一方の解を
ｒとすると、他方は−ｒとなる（ただし、楕円曲線とし
てｙ2＋ｘｙ＝ｘ3＋ａｘ＋ｂを用いる場合には、一方の
解をｒとすると、他方はＲX＋ｒとなる）。演算部２６
１１は、どちらか任意の一方をとり、他方を無視する。
ここでは、ｒの方をとって、Ｒ＝（ＲX，r）を、装置Ｂ
１０３、Ｃ１０４へ送信している。
【０２０１】したがって、装置Ｂ１０３、Ｃ１０４で
は、このＲ＝（ＲX，r）を基にハッシュ値ｈ（ｘB）、
ｈ（ｘC）が生成されることになる。
【０２０２】ここで、ハッシュ値ｈ（ｘB）、ｈ（ｘC）
は、以下に示すような特徴を有する。
【０２０３】かりに、装置Ｂ１０３、Ｃ１０４に各々送
信されるデータが、Ｒ＝（ＲX,ｒ）ではなく、Ｒ´＝
（ＲX,−ｒ）であったとする。
【０２０４】この場合、装置Ｂ１０３の演算部２６１９
ａでは、（ｘB´,ｙB´)＝ｄBＲ´の計算が行われこと
になる。
【０２０５】しかし、楕円曲線上の演算の性質より、
（ｘB´,ｙB´）＝（ｘB,−ｙB）となる。
【０２０６】すなわち、楕円曲線ｙ2＝ｘ3＋ａｘ＋ｂを
用いた演算では、−（ｘ,ｙ）＝（ｘ,−ｙ）が成立す
る。このとき、（ｘB,ｙB）＝ｄB（ＲX、ｒ）であった
とすると、 ｄB（ＲX,−ｒ）＝ｄB（−（ＲX，ｒ））＝−ｄB（ＲX,
ｒ）＝（ｘB,−ｙB） となる。
【０２０７】また、楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ＋ｂ
を用いた演算では、−（ｘ，ｙ）＝（ｘ,ｘ＋ｙ）が成
立する。このとき、（ｘB,ｙB）＝ｄB（ＲX,ｒ）であっ
たとすると、 ｄB（ＲX,ＲX＋ｒ）＝ｄB（−（ＲX,ｒ））＝−ｄB（Ｒ
X,ｒ）＝（ｘB,ｘB＋ｙB） となる。
【０２０８】したがって、ｈ（ｘB´）＝ｈ（ｘB）とな
る。
【０２０９】つまり、Ｒ＝（ＲX，ｒ）を入力しても、
あるいはＲ´＝（ＲX,−r）を入力しても、装置Ｂ１０
３が出力するハッシュ値ｈ（ｘB）は変化しない。
【０２１０】同様に、Ｒ＝（ＲX，ｒ）を入力しても、
あるいはＲ´＝（ＲX,−r）を入力しても、装置Ｃ１０
４が出力するハッシュ値ｈ（ｘC）も変化しない。
【０２１１】したがって、装置Ａ１０２の演算部２６１
１において、方程式の解Ｒｙが２つ存在するにもかかわ
らず、どちらか任意の一方のみを装置Ｂ１０３、Ｃ１０
４に送信した場合でも、本発明の鍵回復システムを実現
できる。
【０２１２】さらに、本実施形態は、図１において、装
置Ｓ１０１で用いた公開鍵ＱA１０７、ＱB１０８、ＱC
１０９と対になる秘密鍵ｄA１１０、ｄB１１１、ｄC１
１２の少なくとも１つを、排他的論理和や加算などの所
定の演算を行うことで復元可能なように複数に分割し、
これ等を複数の情報処理装置に保持させるようにしても
よい。
【０２１３】この場合、当該複数の情報処理装置の少な
くとも１つにおいて、前記複数の情報処理装置各々が所
有する秘密鍵の一部に対して、前記所定の演算を行うこ
とで秘密鍵を復元させることができる。
【０２１４】図１２は、本発明の第一実施形態の変形例
が適用された鍵回復システムの概略構成を示す図であ
る。
【０２１５】ここでは、公開鍵ＱC１０９と対になる秘
密鍵ｄC１１２を、排他的論理和や加算などの所定の演
算を行うことで復元可能なように２つ（ｄC1１１２ａ、
ｄC2１１２ｂ）に分割し、これ等を２つの装置Ｃ1１０
４ａ、Ｃ2１０４ｂに保持させた場合の例を示してい
る。
【０２１６】この場合でも、２つの装置Ｃ1１０４ａ、
Ｃ2１０４ｂが互いに協力して、各々が所有する秘密鍵
ｄC1１１２ａ、ｄC2１１２ｂについて、排他的論理和や
加算などの演算処理を行うことにより、秘密鍵ｄC１１
２を回復することが可能である。
【０２１７】そして、回復した秘密鍵ｄC１１２からハ
ッシュ値ｈ（ｘC）を求めることができる。
【０２１８】さらに、本実施形態では、楕円曲線暗号と
して、 ｙ2＝ｘ3＋ａｘ＋ｂ に基づくものを用いたが、その代わりに、楕円曲線暗号
として、 ｙ2＋ｘｙ＝ｘ3＋ａｘ＋ｂ に基づくものを用いてもよい。
【０２１９】以上、本発明の第一実施形態について説明
した。
【０２２０】次に、本発明の第二実施形態について説明
する。
【０２２１】図１３は、本発明の第二実施形態が適用さ
れた鍵回復システムの概略構成を示す図である。
【０２２２】図１３において、送信装置Ａ５０１は、暗
号データ送信側、すなわち、データ暗号化装置として機
能する装置である。受信装置Ｂ５０２は、暗号データ受
信側、すなわち、データ復号化装置として機能する装置
ある。第１鍵管理装置５０３ａおよび第２鍵管理装置５
０３ｂは、鍵回復機関、すなわち、送信装置Ａ５０１で
暗号化されたデータを必要に応じて回復する機能を有す
る装置である。これらの装置は、ネットワーク５０５を
介して相互に接続されている。
【０２２３】なお、送信装置Ａ５０１は、受信装置Ｂ５
０２が所有する秘密鍵ｄB1５１０ａ、ｄB2５１０ｂと対
になる公開鍵ＱB1５０７ａ、ＱB2５０７ｂと、第１鍵管
理装置５０３ａが所有する秘密鍵ｄE1５１１ａと対にな
る公開鍵ＱE1５０８ａと、第２鍵管理装置５０３ｂが所
有する秘密鍵ｄE2５１１ｂと対になる公開鍵ＱE2５０８
ｂとを、あらかじめ取得しているものとする。
【０２２４】ここで、公開鍵ＱB1５０７ａと秘密鍵ｄB1
５１０ａ、公開鍵ＱB2５０７ｂと秘密鍵ｄB2５１０ｂ、
公開鍵ＱE1５０８ａと秘密鍵ｄE1５１１ａ、そして、公
開鍵ＱE2５０８ｂと秘密鍵ｄE2５１１ｂは、第一実施形
態と同様、楕円曲線暗号における公開鍵と秘密鍵であ
る。
【０２２５】次に、図１３に示す構成において、本実施
形態の鍵回復システムが実施された場合の処理を簡単に
説明する。
【０２２６】まず、データ暗号化装置として機能する送
信装置Ａ５０１での処理について説明する。
【０２２７】送信装置Ａ５０１は、入力された通信文Ｍ
５０６を暗号化する。この際、暗号に用いる鍵として、
比較的短いビット長（本実施形態では、４０ビットデー
タとする）のものを用いる場合は、公開鍵ＱB1５０７ａ
を変換することで得られた４０ビット長のデータをパラ
メータ（鍵）として、通信文Ｍ５０６を暗号化する。そ
して、生成した暗号文Ｃ５１３を、受信装置Ｂ５０２へ
送信する。
【０２２８】一方、比較的長いビット長（本実施形態で
は、１２８ビットデータとする）のものを用いる場合
は、公開鍵ＱB1５０７ａを変換することで得られたデー
タ、公開鍵ＱB2５０７ｂを変換することで得られたデー
タ、公開鍵ＱE1５０８ａを変換することで得られたデー
タ、および、公開鍵ＱE2５０９を変換することで得られ
たデータを基に、１２８ビット長のデータを生成し、こ
れをパラメータ（鍵）として、通信文Ｍ５０６を暗号化
する。
【０２２９】また、この公開鍵ＱB1５０７ａ、ＱB2５０
７ｂを各々変換することで得られたデータと、公開鍵Ｑ
E1５０８ａ、公開鍵ＱE2５０８ｂを各々変換することで
得られたデータとの間において、一方のデータが分かれ
ば他方のデータを、直接あるいは間接に求めることがで
きる関係式を満たすデータ値ｆ1、ｆ2を生成する。
【０２３０】そして、通信文Ｍ１０６の暗号文に、上記
の生成したデータ値ｆ1、ｆ2を付与して暗号文Ｃ５１３
を生成し、これを受信装置Ｂ５０２へ送信する。
【０２３１】次に、データ復号装置として機能する受信
装置Ｂ５０２での処理について、簡単に説明する。
【０２３２】受信装置Ｂ５０２は、送信装置Ａ５０１か
ら送られてきた暗号文Ｃ５１３を受信すると、この暗号
文にデータ値ｆ1、ｆ2が付与されているか否かを調べ
る。
【０２３３】付与されていない場合は、公開鍵ＱB1５０
７ａと対の秘密鍵ｄB1５１０ａから、暗号文生成にパラ
メータとして用いたデータ、すなわち、公開鍵ＱB1５０
７ａを変換することで得られた４０ビット長のデータを
生成する。そして、このデータを用いて、暗号文Ｃ５１
３を復号化し、通信文Ｍ５０６を得る。
【０２３４】一方、暗号文Ｃ５１３にデータ値ｆ1、ｆ2
が付与されている場合、まず、自己が所有する秘密鍵ｄ
B1５１０ａ、秘密鍵ｄB2５１０ｂを用いて、公開鍵ＱB1
５０７ａ、ＱB2５０７ｂを各々変換することで得られた
データを求める。
【０２３５】次に、公開鍵ＱB1５０７ａ、ＱB2５０７ｂ
を各々変換することで得られたデータと、暗号文Ｃ５１
３に付加されたデータ値ｆ1、ｆ2とを、送信装置Ａ５０
１においてデータ値ｆ1、ｆ2生成のために用いた関係式
に入力することで、公開鍵ＱE1５０８ａ、公開鍵ＱE2５
０８ｂを各々変換することで得られたデータを求める。
【０２３６】それから、公開鍵ＱB1５０７ａ、公開鍵Ｑ
B2５０７ｂ、公開鍵ＱE1５０８ａ、公開鍵ＱE2５０９を
各々変換することで得られたデータを基に、送信装置Ａ
５０１において暗号文生成のために用いた１２８ビット
長のデータを生成する。そして、このデータを用いて、
暗号文Ｃ５１３を復号化し、通信文Ｍ５０６を得る。
【０２３７】次に、鍵回復機関として機能を有する第
１、２鍵保管装置５０３ａ、５０３ｂでの処理につい
て、説明する。
【０２３８】第１、２鍵保管装置５０３ａ、５０３ｂ
は、必要に応じて、送信装置Ａ５０１か生成した、デー
タ値ｆ1、ｆ2が付加された暗号文Ｃ５１３を入手し、互
いに協力して、元の通信文Ｍ５０６を得る。
【０２３９】たとえば、第１鍵保管装置５０３ａが、デ
ータ値ｆ1、ｆ2が付加された暗号文Ｃ５１３を入手した
場合、まず、自己が所有する秘密鍵ｄE1５１１ａを用い
て、公開鍵ＱE1５０８ａを変換することで得られたデー
タを求める。また、第２鍵保管装置５０３ｂに、公開鍵
ＱE2５０８ｂを変換することで得られたデータを送るよ
うに依頼する。
【０２４０】これを受けて、第２鍵保管装置５０３ｂ
は、自己が所有する秘密鍵ｄE2５１１ｂを用いて、公開
鍵ＱE2５０８ｂを変換することで得られたデータを求
め、これを第１鍵保管装置５０３ａに送信する。
【０２４１】次に、第１鍵保管装置５０３ａは、公開鍵
ＱE1５０８ａ、ＱE2５０８ｂを各々変換することで得ら
れたデータと、暗号文Ｃ５１３に付加されたデータ値ｆ
1、ｆ2とを、送信装置Ａ５０１においてデータ値ｆ1、
ｆ2生成のために用いた関係式に入力することで、公開
鍵ＱB1５０７ａ、公開鍵ＱB2５０７ｂを各々変換するこ
とで得られたデータを求める。
【０２４２】それから、公開鍵ＱB1５０７ａ、公開鍵Ｑ
B2５０７ｂ、公開鍵ＱE1５０８ａ、公開鍵ＱE2５０９を
各々変換することで得られたデータを基に、送信装置Ａ
５０１において暗号文生成のために用いた１２８ビット
長のデータを生成する。そして、このデータを用いて、
暗号文Ｃ５１３を復号化し、メッセージＭ５０６を得
る。
【０２４３】次に、本実施形態の鍵回復システムを構成
する各装置について説明する。
【０２４４】まず、データ暗号化装置として機能する送
信装置Ａ５０１について説明する。
【０２４５】図１４は、図１３に示す送信装置Ａ５０１
の機能構成を示す図である。
【０２４６】なお、図１４に示す機能構成は、パーソナ
ルコンピュータなどの情報処理装置が備えるＣＰＵに所
定のプログラムを実行させることで実現可能である。こ
のプログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライ
バを介してパーソナルコンピュータで読み取り可能な記
憶媒体に格納しておけばよい。また、情報処理装置に装
着されたＩＣカード上において、実現されるように構成
してもよい。
【０２４７】図１４において、選択部５００１は、たと
えば、操作者の指示により入力された鍵長選択信号（通
信文Ｍ５０６を暗号するための鍵として、１２８ビット
のものを用いるか、あるいは４０ビットのものを用いる
かを選択するための信号）に応じて、通信文Ｍ５０６を
入力する暗号モジュール５００２、５００３を決定す
る。
【０２４８】鍵選択信号が「長」を示している場合、通
信文Ｍ５０６は、１２８ビット鍵を用いて２ out of ４
の復号ロジックに対応した暗号化を行う暗号モジュール
５００２に入力される。一方、鍵選択信号が「長」を示
していない場合は、４０ビット鍵を用いて１ out of １
の復号ロジックに対応した暗号化を行う暗号モジュール
５００２に入力される。
【０２４９】図１５は、４０ビット鍵を用いて１ out o
f １の復号ロジックに対応した暗号化を行う暗号モジュ
ール５００２の機能構成図である。
【０２５０】図１４に示す暗号モジュール５００２で
は、ベースポイント生成部５６０２において、楕円曲線
暗号におけるパラメータであるベースポイントＰが生成
される。このベースポイントＰは、乱数生成部５６０７
で生成された乱数ｋとともに整数倍演算部５６０８へ入
力される。これを受けて、整数倍演算部５６０８は、次
式で示される処理を実行することで、データＲ５６１７
を生成する。
【０２５１】Ｒ＝ｋＰ このデータＲ５６１７は、暗号文Ｃ５１３の最初のデー
タとなる。
【０２５２】また、公開鍵ＱB1５０７ａは、乱数生成部
２１１３で生成された乱数ｋとともに、整数倍演算部５
６０９へ入力される。これを受けて、整数倍演算部５６
０９は、次式で示される処理を実行することで、上記の
楕円曲線上の点（ｘ，ｙ）を生成する。
【０２５３】（ｘ，ｙ）＝ｋＱB1 共通鍵暗号部５６１２は、整数倍演算部５６０９で生成
された（ｘ，ｙ）のうち、ｘの下位４０ビットをパラメ
ータ（鍵）として、通信文Ｍ５０６を暗号化する。これ
により、通信暗号文５６１８を生成する。そして、この
データをデータＲ５６１７に繋げて、暗号文Ｃ５１３を
作成する。
【０２５４】図１６は、１２８ビット鍵を用いて２ out
of ４の復号ロジックに対応した暗号化を行う暗号モジ
ュール５００２の機能構成図である。
【０２５５】図１６において、ベースポイント生成部５
１０２において、楕円曲線暗号におけるパラメータであ
るベースポイントＰが生成される。
【０２５６】このベースポイントＰは、乱数生成部５１
１３で生成された乱数ｋとともに整数倍演算部５１２３
へ入力される。これを受けて、整数倍演算部５１２３
は、次式で示される処理を実行することで、データＲ５
１０９を生成する。
【０２５７】Ｒ＝ｋＰ このデータＲ５１０９は、暗号文Ｃ５１３の最初のデー
タとなる。
【０２５８】また、公開鍵ＱB1５０７ａは、乱数生成部
５１１３で生成された乱数ｋとともに、整数倍演算部５
１１４へ入力される。これを受けて、整数倍演算部５１
１４は、次式で示される処理を実行することで、上記の
楕円曲線上の点（ｘ1，ｙ1）を生成する。
【０２５９】（ｘ1，ｙ1）＝ｋＱB1 この（ｘ1，ｙ1）のうち、ｘ1は、その後、ハッシュ値
生成部５１１９に入力されて、ハッシュ値ｈ（ｘ1）に
変換される。
【０２６０】同様に、公開鍵ＱB2５０７ｂは、乱数生成
部５１１３で生成された乱数ｋとともに、整数倍演算部
５１１５へ入力される。これを受けて、整数倍演算部５
１１５は、次式で示される処理を実行することで、上記
の楕円曲線上の点（ｘ2，ｙ2）を生成する。
【０２６１】（ｘ2，ｙ2）＝ｋＱB2 この（ｘ2，ｙ2）のうち、ｘ2は、その後、ハッシュ値
生成部５１２６に入力されて、ハッシュ値ｈ（ｘ2）に
変換される。
【０２６２】また、同様に、公開鍵ＱE1５０８ａは、乱
数生成部５１１３で生成された乱数ｋとともに、整数倍
演算部５１１６へ入力される。これを受けて、整数倍演
算部５１１６は、次式で示される処理を実行すること
で、上記の楕円曲線上の点（ｘ3，ｙ3）を生成する。
【０２６３】（ｘ3，ｙ3）＝ｋＱE1 この（ｘ3，ｙ3）のうち、ｘ3は、その後、ハッシュ値
生成部５１２７に入力されて、ハッシュ値ｈ（ｘ3）に
変換される。
【０２６４】さらに、同様に、公開鍵ＱE2５０８ｂは、
乱数生成部５１１３で生成された乱数ｋとともに、整数
倍演算部５１２４へ入力される。これを受けて、整数倍
演算部５１２４は、次式で示される処理を実行すること
で、上記の楕円曲線上の点（ｘ4，ｙ4）を生成する。
【０２６５】（ｘ4，ｙ4）＝ｋＱE2 この（ｘ4，ｙ4）のうち、ｘ4は、その後、ハッシュ値
生成部５１２８に入力されて、ハッシュ値ｈ（ｘ4）に
変換される。
【０２６６】しきい値ロジック部５１２５は、ハッシュ
値生成部５１１９、５１２６、５１２７、５１２８で生
成したハッシュ値ｈ（ｘ1）、ｈ（ｘ2）、ｈ（ｘ3）、
ｈ（ｘ4）のうち、いずれか２つのハッシュ値が分かれ
ば、残り２つのハッシュ値を求めることができる条件式
を満たす値ｆ1５１１０、ｆ2５１１１を生成する。この
値ｆ1５１１０、ｆ2５１１１は、それぞれ、暗号文５１
３の２番目、３番目のデータとなる。なお、このしきい
値ロジック部５１２５の詳細については後述する。
【０２６７】鍵生成部５１２０は、ハッシュ値生成部５
１１９、５１２６、５１２７、５１２８で生成したハッ
シュ値ｈ（ｘ1）、ｈ（ｘ2）、ｈ（ｘ3）、ｈ（ｘ4）の
総和の下位１２８ビットを、通信文Ｍ５０６を暗号化す
るための鍵として生成する。
【０２６８】共通鍵暗号部５１０８は、鍵生成部５１２
０で生成された１２８ビット鍵を用いて通信文Ｍ５０６
を暗号化する。これにより、通信暗号文５１１２を生成
する。そして、このデータをデータｆ2５１１１に繋げ
て、暗号文Ｃ５１３を作成する。
【０２６９】次に、図１６に示すしきい値ロジック部５
１２５について説明する。
【０２７０】上述したように、しきい値ロジック部５１
２５は、ハッシュ値ｈ（ｘ1）、ｈ（ｘ2）、ｈ
（ｘ3）、ｈ（ｘ4）のうち、いずれか２つのハッシュ値
が分かれば、残り２つのハッシュ値を求めることができ
る条件式を満たす値ｆ1５１１０、ｆ2５１１１を生成す
る。
【０２７１】図１７は、図１６に示すしきい値ロジック
部５１２５の機能構成を示す図である。
【０２７２】図１７に示すように、しきい値ロジック部
５１２５には、５つのデータｑ1x５２０２、ｈ（ｘ1）
５２０３、ｈ（ｘ2）５２０４、ｈ（ｘ3）５２０５、ｈ
（ｘ4）５２０６が入力される。
【０２７３】ここで、ｑ1x５２０２は、図１６におい
て、公開鍵ＱB1５０７ａのｘ座標値である。また、ｈ
（ｘ1）５２０３、ｈ（ｘ2）５２０４、ｈ（ｘ3）５２
０５、ｈ（ｘ4）５２０６は、それぞれ、ハッシュ値生
成部５１１９、５１２６、５１２７、５１２８で生成さ
れたハッシュ値である。
【０２７４】演算部５２０８は、次式で示される処理を
実行することで、データｆ1５１１０を生成する。
【０２７５】ｆ1＝ｇ（ｑ1x，ｈ（ｘ1），ｈ（ｘ2），
ｈ（ｘ3），ｈ（ｘ4）） また、演算部５２１０は、次式で示される処理を実行す
ることで、データｆ2５１１１を生成する。
【０２７６】ｆ2＝ｇ（ｈ（ｑ1x），ｈ（ｘ1），ｈ（ｘ
2），ｈ（ｘ3），ｈ（ｘ4）) なお、上記の式ｆ1、ｆ2において、関数ｇは、 ｇ（ｘ，ａ1，ａ2，ａ3，ａ4）＝ａ1＋ａ2・ｘ＋ａ3・
ｘ2＋ａ4・ｘ3(modｎ） で定義されものである。
【０２７７】したがって、演算部５２０８、５２１０で
生成されたデータｆ1、ｆ2は、ｑ１ｘおよびｈ
（ｘ１）、ｈ（ｘ2）、ｈ（ｘ3）、ｈ（ｘ4）との間に
おいて、以下に示す四元連立方程式が成立する。
【０２７８】ｆ1＝ｈ（ｘ1）＋ｈ（ｘ2）・ｑ1x＋ｈ
（ｘ3）・ｑ1x 2＋ｈ（ｘ4）・ｑ1x 3（mod n） ｆ2＝ｈ（ｘ1）＋ｈ（ｘ2）・ｈ（ｑ1x）＋ｈ（ｘ3）・
ｈ（ｑ1x）2＋ｈ（ｘ4）・ｈ（ｑ1x）3（mod n） よって、ｆ1、ｆ2、ｑ1xの値が既知である場合、ｈ（ｘ
1）、ｈ（ｘ2）、ｈ（ｘ3）、ｈ（ｘ4）のうちのいずれ
か二つの値が分かれば、他の二つの値も分かることにな
る（未知数２、方程式数２の連立方程式となるため）。
【０２７９】次に、データ復号化装置として機能する受
信装置Ｂ５０２について説明する。
【０２８０】図１８は、図１３に示す受信装置Ｂ５０２
の機能構成を示す図である。
【０２８１】なお、図１８に示す機能構成は、パーソナ
ルコンピュータなどの情報処理装置が備えるＣＰＵに所
定のプログラムを実行させることで実現可能である。こ
のプログラムは、たとえば、ＣＤ−ＲＯＭなど、ドライ
バを介してパーソナルコンピュータで読み取り可能な記
憶媒体に格納しておけばよい。また、情報処理装置に装
着されたＩＣカード上において、実現されるように構成
してもよい。
【０２８２】図１８において、選択部５９０１は、入力
された暗号文Ｃ５１３にデータｆ1、ｆ2が付加されてい
るか否かに応じて、暗号文Ｃ５１３を入力する復号モジ
ュール５９０２、５９０３を決定する。
【０２８３】暗号文Ｃ５１３にデータｆ1、ｆ2が付加さ
れている場合、暗号文Ｃ５１３は、１２８ビット鍵を用
いて２ out of ４の復号を行う復号モジュール５９０２
に入力される。一方、データｆ1、ｆ2が付加されていな
い場合は、４０ビット鍵を用いて１ out of １の復号を
行う復号モジュール５９０３に入力される。
【０２８４】図１９は、４０ビット鍵を用いて１ out o
f １の復号を行う復号モジュール５９０３機能構成図で
ある。
【０２８５】図１９において、暗号文Ｃ５１３が入力さ
れると、演算部５６１９は、自己が格納している秘密鍵
ｄB1５１０ａ（公開鍵ＱB1５０７ａと対）を読み出す。
そして、この秘密鍵ｄB1５１０ａと、暗号文Ｃ５１３の
最初のデータＲ５６１７との間で、次式を満たす楕円曲
線上の点（ｘ，ｙ）を求める。
【０２８６】（ｘ，ｙ）＝ｄB1Ｒ ここで、上記楕円曲線上の点（ｘ，ｙ）は、図１５に示
す演算部５６０９で求めた楕円曲線上の点（ｘ，ｙ）と
一致する。その理由は、上記第一の実施形態で述べたと
おりである。
【０２８７】共通鍵暗号部５６２２は、整数倍演算部５
６１９で生成された（ｘ，ｙ）のうち、ｘの下位４０ビ
ットをパラメータ（鍵）として、通信暗号文５６１８を
復号する。これにより、元の通信文Ｍ５０６を得る。
【０２８８】図２０は、１２８ビット鍵を用いて２ out
of ４の復号を行う復号モジュール５９０２の機能構成
図である。
【０２８９】図２０において、暗号文Ｃ５１３が入力さ
れると、演算部５７１９は、自己が格納している秘密鍵
ｄB1５１０ａ（公開鍵ＱB1５０７ａと対）を読み出す。
そして、この秘密鍵ｄB1５１０ａと、暗号文Ｃ５１３の
最初のデータＲ５１０９との間で、次式を満たす楕円曲
線上の点（ｘ1，ｙ1）を求める。
【０２９０】（ｘ1，ｙ1）＝ｄB1Ｒ その後、ハッシュ値生成部５７２０において、演算部５
７１９で求めた（ｘ1，ｙ1）のうちのｘ座標値ｘ1のハ
ッシュ値ｈ（ｘ1）を生成する。
【０２９１】同様に、演算部５７２２は、自己が格納し
ている秘密鍵ｄB2５１０ｂ（公開鍵ＱB2５０７ｂと対）
を読み出す。そして、この秘密鍵ｄB2５１０ｂと、暗号
文Ｃ５１３の最初のデータＲ５１０９との間で、次式を
満たす楕円曲線上の点（ｘ2，ｙ2）を求める。
【０２９２】（ｘ2，ｙ2）＝ｄB2Ｒ その後、ハッシュ値生成部５７２３において、演算部５
７２２で求めた（ｘ2，ｙ2）のうちのｘ座標値ｘ2のハ
ッシュ値ｈ（ｘ2）を生成する。
【０２９３】ここで、ハッシュ値ｈ（ｘ1）、ｈ（ｘ2）
は、図１６に示すハッシュ値生成部５１１９、５１２６
で生成されたハッシュ値ｈ（ｘ1）、ｈ（ｘ2）と、各々
一致する。その理由は、上記第一の実施形態で述べたと
おりである。
【０２９４】しきい値逆算ロジック部５７１２は、ハッ
シュ値生成部５７２０、５７２３で生成されたハッシュ
値ｈ（ｘ1）、ｈ（ｘ2）と、公開鍵ＱB1５０７ａのｘ座
標値ｑ1Xと、暗号文Ｃ５１３の２番目および３番目のデ
ータｆ1５１１０、ｆ2５１１１と、を受け取る。
【０２９５】そして、以下に示す方程式を満たすｈ（ｘ
3）、ｈ（ｘ4）を生成する。
【０２９６】ｆ1＝ｈ（ｘ1）＋ｈ（ｘ2）・ｑ1x＋ｈ
（ｘ3）・ｑ1x 2＋ｈ（ｘ4）・ｑ1x 3（mod n） ｆ2＝ｈ（ｘ1）＋ｈ（ｘ2）・ｈ（ｑ1x）＋ｈ（ｘ3）・
ｈ（ｑ1x）2＋ｈ（ｘ4）・ｈ（ｑ1x）3（mod n） ここで、上記の方程式は、図１６に示すハッシュ値生成
部５１１９、５１２６、５１２７、５１２８で各々生成
されたハッシュ値ｈ（ｘ1）、ｈ（ｘ2）、ｈ（ｘ3）、
ｈ（ｘ4）のうち、ｈ（ｘ1）およびｈ（ｘ2）を既知と
した場合に相当する。
【０２９７】上述したように、図２０に示すハッシュ値
生成部５７２０、５７２３で各々生成されたハッシュ値
ｈ（ｘ1）、ｈ（ｘ2）は、図１６に示すハッシュ値生成
部５１１９、５１２６で各々生成されたハッシュ値ｈ
（ｘ1）、ｈ（ｘ2）と各々一致する。したがって、上記
の方程式より求めたｈ（ｘ3）、ｈ（ｘ4）は、図１６に
示すハッシュ値生成部５１２７、５１２８で生成したハ
ッシュ値ｈ（ｘ3）、ｈ（ｘ4）と一致することになる。
【０２９８】鍵生成部５７１３は、ハッシュ値生成部５
７２０、５７２３で生成したハッシュ値ｈ（ｘ1）、ｈ
（ｘ2）、および、しきい値逆ロジック部５７１２で求
めたハッシュ値ｈ（ｘ3）、ｈ（ｘ4）の総和の下位１２
８ビットを、通信文暗号文５１１２を復号するための鍵
として生成する。
【０２９９】共通鍵暗号部５７１４は、鍵生成部５７１
３で生成された１２８ビット鍵を用いて通信暗号文５１
１２を復号する。これにより、元の通信文Ｍ５０６を得
る。
【０３００】次に、鍵回復機関として機能する第１、第
２鍵管理装置５０３ａ、５０３ｂについて説明する。
【０３０１】上述したように、第１、第２鍵管理装置５
０３ａ、５０３ｂは、必要に応じて、いずれか一方が送
信装置Ａ５０１において、１２８ビット鍵により暗号化
された暗号文Ｃ５１３を入手し、他方の協力を得て復号
して、元の通信文Ｍ５０６を得る。
【０３０２】ここでは、第１鍵管理装置５０３ａが暗号
文Ｃ５１３を入手した場合を例にとって説明する。
【０３０３】図２１は、第１、第２鍵管理装置５０３
ａ、５０３ｂの機能構成図である。
【０３０４】図２１において、第１鍵管理装置５０３ａ
は、暗号文Ｃ５１３が入力されると、第２鍵管理装置５
０３ｂに、暗号文Ｃ５１３の最初のデータＲ５１０９を
通知する。これを受けて、第２鍵管理装置５０３ｂの演
算部５４２２は、自己が格納している秘密鍵ｄE2５１１
ｂ（公開鍵ＱE2５０８ｂと対）を読み出す。そして、こ
の秘密鍵ｄE2５１１ｂと、暗号文Ｃ５１３の最初のデー
タＲ５１０９との間で、次式を満たす楕円曲線上の点
（ｘ4，ｙ4）を求める。
【０３０５】（ｘ4，ｙ4）＝ｄE2Ｒ その後、ハッシュ値生成部５４２３において、演算部５
４２２で求めた（ｘ3，ｙ4）のうちのｘ座標値ｘ4のハ
ッシュ値ｈ（ｘ4）を生成する。そして、生成したハッ
シュ値ｈ（ｘ4）を、第１鍵管理装置５０３ａに通知す
る。
【０３０６】また、第１鍵管理装置５０３ａにおいて、
演算部５４１９は、自己が格納している秘密鍵ｄE1５１
１ａ（公開鍵ＱE1５０８ａと対）を読み出す。そして、
この秘密鍵ｄE1５１１ａと、暗号文Ｃ５１３の最初のデ
ータＲ５１０９との間で、次式を満たす楕円曲線上の点
（ｘ3，ｙ3）を求める。
【０３０７】（ｘ3，ｙ3）＝ｄE1Ｒ その後、ハッシュ値生成部５４２０において、演算部５
４１９で求めた（ｘ3，ｙ3）のうちのｘ座標値ｘ3のハ
ッシュ値ｈ（ｘ3）を生成する。
【０３０８】ここで、ハッシュ値ｈ（ｘ3）、ｈ（ｘ4）
は、図１６に示すハッシュ値生成部５１２７、５１２８
で生成されたハッシュ値ｈ（ｘ3）、ｈ（ｘ4）と、各々
一致する。その理由は、上記第一の実施形態で述べたと
おりである。
【０３０９】しきい値逆算ロジック部５４１２は、ハッ
シュ値生成部５４２０、および第２鍵管理装置５０３ｂ
のハッシュ値生成部５４２３で各々生成されたハッシュ
値ｈ（ｘ3）、ｈ（ｘ4）と、公開鍵ＱB1５０７ａのｘ座
標値ｑ1Xと、暗号文Ｃ５１３の２番目および３番目のデ
ータｆ1５１１０、ｆ2５１１１と、を受け取る。
【０３１０】そして、以下に示す方程式を満たすｈ（ｘ
1）、ｈ（ｘ2）を生成する。
【０３１１】ｆ1＝ｈ（ｘ1）＋ｈ（ｘ2）・ｑ1x＋ｈ
（ｘ3）・ｑ1x 2＋ｈ（ｘ4）・ｑ1x 3（mod n） ｆ2＝ｈ（ｘ1）＋ｈ（ｘ2）・ｈ（ｑ1x）＋ｈ（ｘ3）・
ｈ（ｑ1x）2＋ｈ（ｘ4）・ｈ（ｑ1x）3（mod n） ここで、上記の方程式は、図１６に示すハッシュ値生成
部５１１９、５１２６、５１２７、５１２８で各々生成
されたハッシュ値ｈ（ｘ1）、ｈ（ｘ2）、ｈ（ｘ3）、
ｈ（ｘ4）のうち、ｈ（ｘ3）およびｈ（ｘ4）を既知と
した場合に相当する。
【０３１２】上述したように、図２１に示すハッシュ値
生成部５４２０、５４２３で各々生成されたハッシュ値
ｈ（ｘ3）、ｈ（ｘ4）は、図１６に示すハッシュ値生成
部５１２７、５１２８で各々生成されたハッシュ値ｈ
（ｘ3）、ｈ（ｘ4）と一致する。したがって、上記の方
程式より求めたｈ（ｘ1）、ｈ（ｘ2）は、図１６に示す
ハッシュ値生成部５１１９、５１２６で生成したハッシ
ュ値ｈ（ｘ1）、ｈ（ｘ2）と一致することになる。
【０３１３】鍵生成部５４１３は、ハッシュ値生成部５
４２０、５４２３で生成したハッシュ値ｈ（ｘ3）、ｈ
（ｘ4）、および、しきい値逆ロジック部５４１２で求
めたハッシュ値ｈ（ｘ1）、ｈ（ｘ2）の総和の下位１２
８ビットを、通信文暗号文５１１２を復号するための鍵
として生成する。
【０３１４】共通鍵暗号部５４１４は、鍵生成部５４１
３で生成された１２８ビット鍵を用いて通信暗号文５１
１２を復号する。これにより、元の通信文Ｍ５０６を得
る。
【０３１５】上記の第二実施形態では、１２８ビット鍵
を用いた暗号処理において、通信暗号文５１１２生成の
パラメータとして、公開鍵ＱB1を変換することで得られ
たデータ（このデータは、受信装置Ｂ５０２が所有する
秘密鍵ｄB1から求めることができる）の代わりに、公開
鍵ＱB1、公開鍵ＱB2、公開鍵ＱE、公開鍵ＱE2を各々変
換することで得られたデータに基づいて生成されたデー
タを用いている点で、本発明の第一実施形態と異なる。
【０３１６】第二実施形態において、公開鍵ＱB1、ＱB2
を各々変換することで得られたデータは、第１、第２の
鍵管理装置５０３ａ、５０３ｂにおいて、暗号文Ｃ５１
３に付加されたデータ値ｆ1、ｆ2から求めることができ
る。そして、第１、第２の鍵管理装置５０３ａ、５０３
ｂは、暗号文Ｃ５１３に付加されたデータ値ｆ1、ｆ2か
らから求めた、公開鍵ＱB1、ＱB2を各々変換することで
得られたデータと、自己が所有する秘密鍵ｄE1、ｄE2と
対の公開鍵ＱE1、ＱE2を各々変換することで得られたデ
ータとに基づいて、通信暗号文５１１２生成のパラメー
タとして用いたデータを求めることができる。
【０３１７】したがって、本発明の第一実施形態と同
様、受信装置Ｂ５０２が所有する秘密鍵ｄB1、ｄB2を用
いることなく、暗号文を復号することができる。
【０３１８】なお、上述したように、第二実施形態で
は、通信暗号文５１１２生成のパラメータ（鍵）とし
て、公開鍵ＱB1を変換することで得られたデータではな
く、公開鍵ＱB1、公開鍵ＱB2、公開鍵ＱE1、公開鍵ＱE2
を各々変換することで得られたデータに基づいて生成さ
れたデータを用いている。
【０３１９】したがって、公開鍵ＱB1、ＱB2と対の
ｄB1、ｄB2を所有する受信装置Ｂ５０２であっても、暗
号文Ｃ５１３に付加されたデータ値ｆ1、ｆ2から、公開
鍵ＱE1、ＱE2を変換することで得られたデータを求めな
ければ、通信暗号文５１１２生成のパラメータとして用
いたデータを得ることができない。
【０３２０】つまり、受信装置Ｂ５０２であっても、暗
号文Ｃ５１３に、公開鍵ＱB1、公開鍵ＱB2、公開鍵
ＱE1、公開鍵ＱE2を各々変換することで得られたデータ
間において、いずれか２つの公開鍵を変換することで得
られたデータが分かれば残りの２つ他方の公開鍵を変換
することで得られたデータを求めることができる関係式
を満たすデータ値ｆ1、ｆ2が付加されていなければ、暗
号文を復号することができない。
【０３２１】一方、当該データ値ｆ1、ｆ2が暗号文に付
加されている場合は、第１、第２鍵管理装置５０３ａ、
５０３ｂも、暗号文を必ず復号することができる。
【０３２２】したがって、本発明の第二実施形態は、た
とえば、国境を越えてやり取りが行われる暗号化された
機密データなど、防衛上の理由などにより、当該データ
取引者の意志にかかわらず、政府などが当該データを復
号できるようにすることが要求される鍵回復システムに
好適である。
【０３２３】なお、上記の第二実施形態では、通信暗号
文５１１２生成のパラメータとして、４つの公開鍵を各
々変換することで得られたデータに基づいて、生成され
たデータを用いているが、本発明はこれに限定されるも
のではない。２以上の公開鍵を各々変換することで得ら
れたデータに基づいて、通信暗号文５１１２生成のパラ
メータを生成するものであればよい。
【０３２４】ただし、受信装置および鍵管理装置におい
て、暗号文に付加されたデータ値（前記パラメータ生成
に用いた２以上の公開鍵を各々変換することで得られた
データにおいて、半分のデータが分かれば残りの半分の
データを求めることができる関係式を満たすデータ値）
から、自己が所有する秘密鍵と対の公開鍵以外の公開鍵
を変換することで得られたデータを求めることができる
ようにするために、受信装置および鍵管理装置が、互い
に同数の秘密鍵を所有するようにする必要がある。
【０３２５】また、本実施形態では、暗号文Ｃ５１３の
最初データとして、整数倍演算部５６０８あるいは５１
２３で生成した、楕円曲線上の点Ｒのｘ座標値、ｙ座標
値の両方を含むものについて説明したが、第一実施形態
と同様、ｘ座標値、ｙ座標値のいずれか一方のみを含む
ようにした場合でも、本発明の鍵回復システムを実現す
ることができる。
【０３２６】さらに、本実施形態では、楕円曲線暗号と
して、 ｙ2＝ｘ3＋ａｘ＋ｂ に基づくものを用いたが、第一実施形態と同様、楕円曲
線暗号として、 ｙ2＋ｘｙ＝ｘ3＋ａｘ＋ｂ に基づくものを用いてもよい。
【０３２７】
【発明の効果】以上説明したように、本発明によれば、
自己が所有する秘密鍵を第三者に知らせる必要のない鍵
回復を行うことができる。
【図面の簡単な説明】
【図１】本発明の第一実施形態が適用された鍵回復シス
テムの概略構成図である。
【図２】図１に示す装置Ｓ１０１の機能構成図である。
【図３】図２に示すしきい値ロジック部２１２５の機能
構成図である。
【図４】図２に示す圧縮・暗号化部２１２０、・・・の
機能構成図である。
【図５】図１に示す装置Ａ１０２が自己が所有する秘密
鍵ｄA１１０を用いて暗号文Ｃ１１３を復号する場合に
おける、当該装置Ａ１０２の機能構成図である。
【図６】図５に示す復号・伸長化部２６１４、２６１
７、・・・の機能構成図である。
【図７】図１に示す装置Ａ１０１が鍵ｄA１１０を紛失
してしまった場合に、装置Ｂ１０３、Ｃ１０４の協力を
得て、暗号文Ｃ１１３を復号する場合における、装置Ａ
１０２、Ｂ１０３、Ｃ１０４の機能構成図である。
【図８】図１において、装置Ｂ１０３が装置Ｃ１０４の
協力を得て、装置Ｓ１０１から送られてきた暗号文Ｃ１
１３を復号化する場合における、装置Ｂ１０３、Ｃ１０
４の機能構成図である。
【図９】図２に示すしきい値ロジック部の変形例の機能
構成図である。
【図１０】図１に示すデータ暗号化装置として機能する
装置Ｓの変形例の機能構成図である。
【図１１】図１に示すデータ復号化装置として機能する
装置Ａの変形例であり、装置Ａが鍵ｄA１１０を紛失し
てしまった場合に、装置Ｂ、Ｃの協力を得て、図１０に
示す装置Ｓが生成した暗号文Ｃ１１３ａを復号する場合
の機能構成図である。
【図１２】本発明の第一実施形態の変形例が適用された
鍵回復システムの概略構成図である。
【図１３】本発明の第二実施形態が適用された鍵回復シ
ステムの概略構成図である。
【図１４】図１３に示す送信装置Ａ５０１の機能構成図
である。
【図１５】４０ビット鍵を用いて１ out of １の復号ロ
ジックに対応した暗号化を行う暗号モジュール５００２
の機能構成図である。
【図１６】２８ビット鍵を用いて２ out of ４の復号ロ
ジックに対応した暗号化を行う暗号モジュール５００２
の機能構成図である。
【図１７】図１６に示すしきい値ロジック部５１２５の
機能構成を示す図である。
【図１８】図１３に示す受信装置Ｂ５０２の機能構成を
示す図である。
【図１９】４０ビット鍵を用いて１ out of １の復号を
行う復号モジュール５９０３機能構成図である。
【図２０】１２８ビット鍵を用いて２ out of ４の復号
を行う復号モジュール５９０２の機能構成図である。
【図２１】第１、第２鍵管理装置５０３ａ、５０３ｂの
機能構成図である。
【符号の説明】
１０１、１０２、１０３、１０４ 情報処理装置 １０５、５０５ ネットワーク １０６、５０６ メッセージ（通信文）Ｍ １０７、１０８、１０９、５０７ａ、５０７ｂ、５０８
ａ、５０８ｂ 公開鍵 １１０、１１１、１１２、５１０ａ、５１０ｂ、５１１
ａ、５１１ｂ 秘密鍵 １１３、５１３ 暗号文Ｃ １９０７、１９１０、１９１４、１９１６ π-1関数処
理部 １９１１、１９１７ 伸長処理部 ２１０２、５６０２、５１０２ ベースポイント生成部 ２１１３、５６０７、５１１３ 乱数生成部 ２１１４、２１１５、２１１６、２１２３、２５０１、
５６０８、５６０９、５１１４、５１１５、５１１６、
５１２３、５１２４ 整数倍演算部 ２１１９、２１２１、２１２６、２１２７、２３２３、
２６１５、２６２０、２６２０ａ、２６２３、５１１
９、５１２６、５１２７、５１２８、５４２０、５４２
３、５７２０、５７２３ ハッシュ値生成部 ２１２０ 圧縮・暗号化部 ２１２５、２１２５ａ、５１２５ しきい値ロジック部 ２２０８、２３２５、２４０８、２４１０、２６１９、
２６１９ａ、２６２２、５２０８、５２１０、５４１
９、５４２２、５６１９、５７１９、５７２２演算部 １９０６、１９０９、２３１０、２３１７ 拡張部 ２３１２、２３１９ 圧縮処理部 ２３１５、２３１６、２３２２、２３２４ π関数処理
部 ２６１２、５４１２、５７１２ しきい値逆ロジック部 ２６１４、２６１７ 復号・伸長化部 ５０１ 装置Ａ ５０２ 装置Ｂ ５０３ａ、５０３ｂ 鍵管理装置 ５００１、５９０１ 選択部 ５００２、５００３ 暗号モジュール ５１２０、５４１３、５７１３ 鍵生成部 ５１０８、５６１２、５６２２、５４１４、５７１４
共通鍵暗号部 ５９０２、５９０３ 復号モジュール

Claims (17)

    【特許請求の範囲】
  1. 【請求項１】暗号文の生成に際しパラメータとして用い
    られた、公開鍵を変換することで得られたデータを、当
    該公開鍵と対の秘密鍵を用いることなく生成する鍵回復
    方法であって、 送信側において、 暗号文の生成に際しパラメータとして用いられた第一の
    公開鍵を変換することで得られたデータと、少なくとも
    １つの第二の公開鍵を変換することで得られたデータと
    の間において、前記第二の公開鍵を変換することで得ら
    れたデータが分かれば、前記第一の公開鍵を変換するこ
    とで得られたデータを、直接あるいは間接に求めること
    ができる関係式を満たすデータ値を生成する第一の処理
    と、 前記暗号文に、前記第一の処理の結果得られたデータ値
    を付加する第二の処理と、を含み、 前記第二の公開鍵と対の秘密鍵を所有する受信側におい
    て、 前記第二の公開鍵を変換することで得られたデータを、
    当該第二の公開鍵と対の秘密鍵から求める第三の処理
    と、 前記第二の処理で暗号文に付加されたデータ値および前
    記第三の処理で求めたデータを、前記第一の処理で用い
    た関係式に代入することにより、当該暗号文の生成に際
    しパラメータとして用いられた、前記第一の公開鍵を変
    換することで得られたデータを求める第四の処理と、を
    含んでいることを特徴とする鍵回復方法。
  2. 【請求項２】請求項１記載の鍵回復方法であって、 前記公開鍵を変換することで得られたデータとは、生成
    した乱数と公開鍵とを作用させることで得られたデータ
    であることを特徴とする鍵回復方法。
  3. 【請求項３】データ暗号化装置にて、暗号文の生成に際
    しパラメータとして用いられた、公開鍵を変換すること
    で得られたデータを、データ復号化装置にて、当該公開
    鍵と対の秘密鍵を用いることなく生成する鍵回復システ
    ムであって、 前記データ暗号化装置は、 暗号文の生成に際しパラメータとして用いた第一の公開
    鍵を変換することで得られたデータと、少なくとも１つ
    の第二の公開鍵を変換することで得られたデータとの間
    において、前記第二の公開鍵を変換することで得られた
    データが分かれば、前記第一の公開鍵を変換することで
    得られたデータを、直接あるいは間接に求めることがで
    きる関係式を満たすデータ値を生成する第一の生成手段
    と、 前記暗号文に、前記第一の生成手段により生成されたデ
    ータ値を付加する付加手段と、を備え、 前記データ復号化装置は、 前記第二の公開鍵を変換することで得られたデータを取
    得する取得手段と、 前記付加手段で暗号文に付加されたデータ値と前記取得
    手段により取得したデータとを、前記第一の生成手段で
    用いた関係式に代入することにより、当該暗号文の生成
    に際しパラメータとして用いられた、前記第一の公開鍵
    を変換することで得られたデータを求める第二の生成手
    段と、を備えていることを特徴とする鍵回復システム。
  4. 【請求項４】請求項３記載の鍵回復システムであって、 前記取得手段は、前記第二の公開鍵を変換することで得
    られたデータを、前記第二の公開鍵と対になる秘密鍵を
    所有する少なくとも１つの情報処理装置から取得するも
    のであり、 当該情報処理装置は、前記第二の公開鍵を変換すること
    で得られたデータを、自己が所有する前記第二の公開鍵
    と対になる秘密鍵から求めるものであることを特徴とす
    る鍵回復システム。
  5. 【請求項５】請求項３記載の鍵回復システムであって、 前記取得手段は、前記第二の公開鍵を変換することで得
    られたデータを、自己が所有する前記第二の公開鍵と対
    になる秘密鍵から求めるものであることを特徴とする鍵
    回復システム。
  6. 【請求項６】請求項３記載の鍵回復システムであって、
    前記第二の公開鍵と対になる秘密鍵は、所定の演算を行
    うことで復元可能なように複数に分割されて、複数の情
    報処理装置に保持されており、 前記複数の情報処理装置の少なくとも１つは、前記複数
    の情報処理装置各々が所有する前記秘密鍵の一部に対し
    て前記所定の演算を行うことで、秘密鍵を復元する手段
    と、第二の公開鍵を変換することで得られたデータを、
    前記復元した秘密鍵から求める手段と、を備え、 前記取得手段は、前記複数の情報処理装置の少なくとも
    １つにおいて求められた、前記第二の公開鍵を変換する
    ことで得られたデータを取得するものであることを特徴
    とする鍵回復システム。
  7. 【請求項７】暗号文の生成に際しパラメータとして用い
    た、第一の公開鍵を変換することで得られたデータを特
    定する情報を生成する情報処理装置であって、 暗号文の生成に際しパラメータとして用いた第一の公開
    鍵を変換することで得られたデータと、少なくとも１つ
    の第二の公開鍵を変換することで得られたデータとの間
    において、前記第二の公開鍵を変換することで得られた
    データが分かれば、前記第一の公開鍵を変換することで
    得られたデータを、直接あるいは間接に求めることがで
    きる関係式を満たすデータ値を生成する生成手段を有す
    ることを特徴とする情報処理装置。
  8. 【請求項８】請求項７記載の情報処理装置で生成された
    データ値から、暗号文の生成に際しパラメータとして用
    いた、第一の公開鍵を変換することで得られたデータを
    回復する情報処理装置であって、 前記第二の公開鍵を変換することで得られたデータを取
    得する取得手段と、 前記生成されたデータ値と、前記取得手段で取得したデ
    ータとを基に、前記第一の公開鍵を変換することで得ら
    れたデータを求める算出手段と、を備えていることを特
    徴とする情報処理装置。
  9. 【請求項９】暗号文生成のためのプログラムが記憶され
    た記憶媒体であって、 当該プログラムは、情報処理装置に、 第一の公開鍵を変換することで得られたデータを用いて
    暗号文を生成する第一の処理と、 前記第一の公開鍵を変換することで得られたデータと、
    少なくとも１つの第二の公開鍵を変換することで得られ
    たデータとの間において、前記第二の公開鍵を変換する
    ことで得られたデータが分かれば、前記第一の公開鍵を
    変換することで得られたデータを、直接あるいは間接に
    求めることができる関係式を満たすデータ値を生成する
    第二の処理と、 生成した暗号文に、前記第二の処理の結果得られたデー
    タ値を付加する第三の処理と、を実行させるものである
    ことを特徴とするプログラムが記憶された記憶媒体。
  10. 【請求項１０】請求項９記載の記憶媒体に記憶されたプ
    ログラムにより生成された暗号文を復号するためのプロ
    グラムが記憶された記憶媒体であって、 当該プログラムは、情報処理装置に、 前記第二の公開鍵を変換することで得られたデータを、
    当該第二の公開鍵と対の秘密鍵から求める第四の処理
    と、 前記暗号文に付加されたデータ値および前記第四の処理
    で求めたデータを、前記データ値生成のために用いた関
    係式に代入することにより、当該暗号文の生成に際しパ
    ラメータとして用いられた、前記第一の公開鍵を変換す
    ることで得られたデータを求める第五の処理と、 前記第五の処理の結果得られた、前記第一の公開鍵を変
    換することで得られたデータを用いて前記暗号文を復号
    する第六の処理と、を実行させるものであることを特徴
    とするプログラムが記憶された記憶媒体。
  11. 【請求項１１】暗号文の生成に際しパラメータとして用
    いられたデータを回復する鍵回復方法であって、 送信側において、 少なくとも１つの第一の公開鍵を変換することで得られ
    たデータと前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、暗号文の生
    成に際しパラメータとして用いるデータを生成する第一
    の処理と、 前記第一の処理の結果得られたデータをパラメータとし
    て暗号文を生成する第二の処理と、 前記少なくとも１つの第一の公開鍵を変換することで得
    られたデータと、前記第一の公開鍵と同数の第二の公開
    鍵を変換することで得られたデータとの間において、一
    方の公開鍵を変換することで得られたデータが分かれ
    ば、他方の公開鍵を変換することで得られたデータを、
    直接あるいは間接に求めることができる関係式を満たす
    データ値を生成する第三の処理と、 前記第二の処理で生成した暗号文に、前記第三の処理で
    生成したデータ値を付加する第四の処理と、を含み、 前記第二の公開鍵と対の秘密鍵を所有する受信側におい
    て、 前記第一の公開鍵と同数の第二の公開鍵を変換すること
    で得られたデータを、当該第二の公開鍵と対の秘密鍵か
    ら求める第五の処理と、 前記第四の処理で暗号文に付加されたデータ値および前
    記第五の処理で求めたデータを、前記第三の処理で用い
    た関係式に代入することにより、前記少なくとも１つの
    第一の公開鍵を変換することで得られたデータを求める
    第六の処理と、 前記第六の処理で求めた前記少なくとも１つの第一の公
    開鍵を変換することで得られたデータと、前記第五の処
    理で求めた前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、前記第一の
    処理で生成した、前記第二の処理において暗号文生成の
    ためのパラメータとして用いたデータを求める第七の処
    理と、を含んでいることを特徴とする鍵回復方法。
  12. 【請求項１２】請求項１１記載の鍵回復方法であって、 前記公開鍵を変換することで得られたデータとは、生成
    した乱数と公開鍵とを作用させることで得られたデータ
    であることを特徴とする鍵回復方法。
  13. 【請求項１３】データ暗号化装置にて、暗号文の生成に
    際しパラメータとして用いられたデータを、データ復号
    化装置にて回復する鍵回復システムであって、 前記データ暗号化装置は、 少なくとも１つの第一の公開鍵を変換することで得られ
    たデータと前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、暗号文の生
    成に際しパラメータとして用いるデータを生成する第一
    の生成手段と、 前記第一の生成手段により生成されたデータをパラメー
    タとして暗号文を生成する暗号化手段と、 前記少なくとも１つの第一の公開鍵を変換することで得
    られたデータと、前記第一の公開鍵と同数の第二の公開
    鍵を変換することで得られたデータとの間において、一
    方の公開鍵を変換することで得られたデータが分かれ
    ば、他方の公開鍵を変換することで得られたデータを、
    直接あるいは間接に求めることができる関係式を満たす
    データ値を生成する第二の生成手段と、 前記暗号化手段で生成した暗号文に、前記第二の生成手
    段で生成したデータ値を付加する付加手段と、を備え、 前記データ復号化装置は、 前記第一の公開鍵と同数の第二の公開鍵を変換すること
    で得られたデータを、当該第二の公開鍵と対の秘密鍵か
    ら求める第一の算出手段と、 前記付加手段により前記暗号化手段で生成した暗号文に
    付加されたデータ値、および前記第一の算出手段で求め
    たデータを、前記第二の生成手段で用いた関係式に代入
    することにより、前記少なくとも１つの第一の公開鍵を
    変換することで得られたデータを求める第二の算出手段
    と、 前記第二の算出手段で求めた前記少なくとも１つの第一
    の公開鍵を変換することで得られたデータと、前記第一
    の算出手段で求めた前記第一の公開鍵と同数の第二の公
    開鍵を変換することで得られたデータとに基づいて、前
    記第二の生成手段で生成した、前記暗号化手段において
    暗号文生成のためのパラメータとして用いたデータを求
    める第三の算出手段と、 前記第三の算出手段で生成したデータをパラメータとし
    て、前記暗号化手段で生成した暗号文を復号する復号手
    段と、を備えていることを特徴とする鍵回復システム。
  14. 【請求項１４】暗号文を生成する情報処理装置であっ
    て、 少なくとも１つの第一の公開鍵を変換することで得られ
    たデータと前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、暗号文の生
    成に際しパラメータとして用いるデータを生成する第一
    の生成手段と、 前記第一の生成手段により生成されたデータをパラメー
    タとして暗号文を生成する暗号化手段と、 少なくとも１つの第一の公開鍵を変換することで得られ
    たデータと、前記第一の公開鍵と同数の第二の公開鍵を
    変換することで得られたデータとの間において、一方の
    公開鍵を変換することで得られたデータが分かれば、他
    方の公開鍵を変換することで得られたデータを、直接あ
    るいは間接に求めることができる関係式を満たすデータ
    値を生成する第二の生成手段と、 前記暗号化手段で生成した暗号文に、前記第二の生成手
    段で生成したデータ値を付加する付加手段と、を備えて
    いることを特徴とする情報処理装置。
  15. 【請求項１５】請求項１４記載の情報処理装置で生成さ
    れた暗号文を復号する情報処理装置であって、 前記第一の公開鍵と同数の第二の公開鍵を変換すること
    で得られたデータを、当該第二の公開鍵と対の秘密鍵か
    ら求める第一の算出手段と、 前記暗号文に付加されたデータ値、および前記第一の算
    出手段で求めたデータを、前記第二の生成手段で用いた
    関係式に代入することで、前記少なくとも１つの第一の
    公開鍵を変換することで得られたデータを求める第二の
    算出手段と、 前記第二の算出手段で求めた前記少なくとも１つの第一
    の公開鍵を変換することで得られたデータと、前記第一
    の算出手段で求めた前記第一の公開鍵と同数の第二の公
    開鍵を変換することで得られたデータとに基づいて、前
    記第二の生成手段で生成した、前記暗号化手段において
    暗号文生成のためのパラメータとして用いたデータを求
    める第三の算出手段と、 前記第三の算出手段で生成したデータをパラメータとし
    て、前記暗号化手段で生成した暗号文を復号する復号手
    段と、を備えていることを特徴とする情報処理装置。
  16. 【請求項１６】暗号文生成のためのプログラムが記憶さ
    れた記憶媒体であって、 当該プログラムは、情報処理装置に、 少なくとも１つの第一の公開鍵を変換することで得られ
    たデータと前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、暗号文の生
    成に際しパラメータとして用いるデータを生成する第一
    の処理と、 前記第一の処理の結果得られたデータをパラメータとし
    て暗号文を生成する第二の処理と、 前記少なくとも１つの第一の公開鍵を変換することで得
    られたデータと、前記第一の公開鍵と同数の第二の公開
    鍵を変換することで得られたデータとの間において、一
    方の公開鍵を変換することで得られたデータが分かれ
    ば、他方の公開鍵を変換することで得られたデータを、
    直接あるいは間接に求めることができる関係式を満たす
    データ値を生成する第三の処理と、 前記第二の処理で生成した暗号文に、前記第三の処理で
    生成したデータ値を付加する第四の処理と、を実行させ
    るものであることを特徴とするプログラムが記憶された
    記憶媒体。
  17. 【請求項１７】請求項１６記載の記憶媒体に記憶された
    プログラムにより生成された暗号文を復号するためのプ
    ログラムが記憶された記憶媒体であって、 当該プログラムは、情報処理装置に、 前記第一の公開鍵と同数の第二の公開鍵を変換すること
    で得られたデータを、当該第二の公開鍵と対の秘密鍵か
    ら求める第五の処理と、 前記暗号文に付加されたデータ値および前記第五の処理
    で求めたデータを、当該データ値生成のために用いた関
    係式に代入することにより、前記少なくとも１つの第一
    の公開鍵を変換することで得られたデータを求める第六
    の処理と、 前記第六の処理で求めた前記少なくとも１つの第一の公
    開鍵を変換することで得られたデータと、前記第五の処
    理で求めた前記第一の公開鍵と同数の第二の公開鍵を変
    換することで得られたデータとに基づいて、前記暗号文
    生成のためのパラメータとして用いたデータを求める第
    七の処理と、 前記第七の処理の結果得られたデータを用いて前記暗号
    文を復号する第八の処理と、を実行させるものであるこ
    とを特徴とするプログラムが記憶された記憶媒体。
JP13183598A 1997-06-06 1998-05-14 鍵回復方法および装置 Expired - Fee Related JP3667988B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP13183598A JP3667988B2 (ja) 1997-06-06 1998-05-14 鍵回復方法および装置

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP14942497 1997-06-06
JP9-149424 1997-06-06
JP13183598A JP3667988B2 (ja) 1997-06-06 1998-05-14 鍵回復方法および装置

Publications (2)

Publication Number Publication Date
JPH1155244A true JPH1155244A (ja) 1999-02-26
JP3667988B2 JP3667988B2 (ja) 2005-07-06

Family

ID=26466557

Family Applications (1)

Application Number Title Priority Date Filing Date
JP13183598A Expired - Fee Related JP3667988B2 (ja) 1997-06-06 1998-05-14 鍵回復方法および装置

Country Status (1)

Country Link
JP (1) JP3667988B2 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010528511A (ja) * 2007-05-23 2010-08-19 シーメンス アクチエンゲゼルシヤフト ソフトウェア暗号化方法およびソフトウェア暗号解読方法およびソフトウェア暗号化装置およびソフトウェア暗号解読装置
US8369518B2 (en) 2007-06-18 2013-02-05 Nec Corporation Electronic data encryption and encrypted data decryption system, and its method
US20200177389A1 (en) * 2016-12-15 2020-06-04 Nec Corporation Access token system, information processing apparatus, information processing method, and information processing program
JP2021118406A (ja) * 2020-01-23 2021-08-10 株式会社リーディングエッジ ユーザ認証方法、ユーザ認証方式

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010528511A (ja) * 2007-05-23 2010-08-19 シーメンス アクチエンゲゼルシヤフト ソフトウェア暗号化方法およびソフトウェア暗号解読方法およびソフトウェア暗号化装置およびソフトウェア暗号解読装置
US8369518B2 (en) 2007-06-18 2013-02-05 Nec Corporation Electronic data encryption and encrypted data decryption system, and its method
US20200177389A1 (en) * 2016-12-15 2020-06-04 Nec Corporation Access token system, information processing apparatus, information processing method, and information processing program
US11895240B2 (en) * 2016-12-15 2024-02-06 Nec Corporation System, apparatus, method and program for preventing illegal distribution of an access token
JP2021118406A (ja) * 2020-01-23 2021-08-10 株式会社リーディングエッジ ユーザ認証方法、ユーザ認証方式

Also Published As

Publication number Publication date
JP3667988B2 (ja) 2005-07-06

Similar Documents

Publication Publication Date Title
Shamir On the generation of cryptographically strong pseudorandom sequences
US6628786B1 (en) Distributed state random number generator and method for utilizing same
JP3560860B2 (ja) 秘密分散システム、装置及び記憶媒体
US7516321B2 (en) Method, system and device for enabling delegation of authority and access control methods based on delegated authority
US6477254B1 (en) Network system using a threshold secret sharing method
EP3871365B1 (en) Computer implemented system and method for distributing shares of digitally signed data
US7894608B2 (en) Secure approach to send data from one system to another
JP3794457B2 (ja) データの暗号化復号化方法
US20240097894A1 (en) Threshold key exchange
JP2001202010A (ja) メッセージの公開型且つ非可換性の符号化方法及び暗号化方法
US6236729B1 (en) Key recovery method and system
Jakobsson et al. Scramble all, encrypt small
TW201630378A (zh) 金鑰***技術
JP2021072593A (ja) 暗号処理システム及び暗号処理方法
JP6294882B2 (ja) 鍵保管装置、鍵保管方法、及びそのプログラム
US20080181397A1 (en) Secure data transmission and storage using limited-domain functions
JP2006227411A (ja) 通信システム、暗号化装置、鍵生成装置、鍵生成方法、復元装置、通信方法、暗号化方法、暗号復元方法
JP2011040932A (ja) 認証付き暗号化装置、認証付き暗号化方法、検証付き復号装置、検証付き復号方法、暗号システム、プログラム、記録媒体
JPH1155244A (ja) 鍵回復方法および装置
JPH10340048A (ja) ハッシュ値生成方法、データ暗号化方法、データ復号化方法、ハッシュ値生成装置、データ暗号化装置およびデータ復号化装置
JP3278790B2 (ja) 公開鍵暗号方法及び公開鍵暗号システム
CN113141249B (zh) 一种门限解密方法、***及可读存储介质
JP2004248330A (ja) 暗号装置、暗号鍵生成方法、暗号鍵管理方法
JP2004184516A (ja) デジタルデータ送信端末
JP2004347885A (ja) 暗号化装置処理方法、暗号復号装置処理方法、これらの装置及びプログラム

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20050105

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20050307

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20050405

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20050407

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20090415

Year of fee payment: 4

LAPS Cancellation because of no payment of annual fees