処理中

しばらくお待ちください...

設定

設定

出願の表示

1. WO2020188906 - 署名装置、検証装置、署名方法、検証方法、署名プログラム及び検証プログラム

Document

明 細 書

発明の名称 署名装置、検証装置、署名方法、検証方法、署名プログラム及び検証プログラム

技術分野

0001  

背景技術

0002  

先行技術文献

非特許文献

0003  

発明の概要

発明が解決しようとする課題

0004  

課題を解決するための手段

0005  

発明の効果

0006  

図面の簡単な説明

0007  

発明を実施するための形態

0008   0009   0010   0011   0012   0013   0014   0015   0016   0017   0018   0019   0020   0021   0022   0023   0024   0025   0026   0027   0028   0029   0030   0031   0032   0033   0034   0035   0036   0037   0038   0039   0040   0041   0042   0043   0044   0045   0046   0047   0048   0049   0050   0051   0052   0053   0054   0055   0056   0057   0058   0059   0060   0061   0062   0063   0064   0065   0066   0067   0068   0069   0070   0071   0072   0073   0074   0075   0076   0077   0078   0079   0080   0081   0082   0083   0084   0085   0086   0087   0088   0089   0090   0091   0092   0093   0094   0095   0096   0097   0098   0099   0100   0101   0102   0103   0104   0105   0106   0107   0108   0109   0110   0111   0112   0113   0114  

符号の説明

0115  

請求の範囲

1   2   3   4   5   6   7   8   9   10   11   12   13   14   15  

図面

1   2   3   4   5   6   7   8   9   10   11   12   13  

明 細 書

発明の名称 : 署名装置、検証装置、署名方法、検証方法、署名プログラム及び検証プログラム

技術分野

[0001]
 この発明は、ABP(Arithmetic Branching Programs)を用いた署名技術に関する。

背景技術

[0002]
 非特許文献1には、多項式サイズ回路及び多項式時間計算可能チューリングマシン等により決まる一般的な述語に対する属性ベース署名(ABS:Attribute-Based Signature)方式が記載されている。

先行技術文献

非特許文献

[0003]
非特許文献1 : Y. Sakai, S. Katsumata, N. Attrapadung, G. Hanaoka, Attribute-based signatures for unbounded languages from standard assumptions

発明の概要

発明が解決しようとする課題

[0004]
 しかし、非特許文献1に記載された方式は、極めて理論的で実際に使える効率性を達成することは困難であった。
 この発明は、実用的なABE方式を構成可能にすることを目的とする。

課題を解決するための手段

[0005]
 この発明に係る署名装置は、
 双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルが設定された署名鍵を取得する取得部と、
 前記取得部によって取得された前記署名鍵に対して、ABP(Arithmetic Branching Programs)の述語情報を設定して、メッセージに対する署名を生成する署名部と、
 前記署名部によって生成された前記署名と、前記メッセージとを出力する出力部と
を備える。

発明の効果

[0006]
 この発明では、属性ベクトルが設定された署名鍵に対して、ABPの述語ベクトルを設定して署名を生成する。これにより、実用的なABE方式を構成することが可能になる。

図面の簡単な説明

[0007]
[図1] 実施の形態1に係る署名システム1の構成図。
[図2] 実施の形態1に係るセットアップ装置10の構成図。
[図3] 実施の形態1に係る鍵生成装置20の構成図。
[図4] 実施の形態1に係る署名装置30の構成図。
[図5] 実施の形態1に係る検証装置40の構成図。
[図6] 実施の形態1に係るセットアップ装置10の動作を示すフローチャート。
[図7] 実施の形態1に係る鍵生成装置20の動作を示すフローチャート。
[図8] 実施の形態1に係る署名装置30の動作を示すフローチャート。
[図9] 実施の形態1に係る検証装置40の動作を示すフローチャート。
[図10] 変形例2に係るセットアップ装置10の構成図。
[図11] 変形例2に係る鍵生成装置20の構成図。
[図12] 変形例2に係る署名装置30の構成図。
[図13] 変形例2に係る検証装置40の構成図。

発明を実施するための形態

[0008]
 実施の形態1.
 ***表記***
 以下の説明で用いる表記を説明する。
 数101は、セキュリティパラメータを示し、1 λは、単進符号のエンコーディングを表す。
[数101]


[0009]
 数102は、qを法とする有限体を示す。数102は、体F 又は単にF と記載される。
[数102]


[0010]
 数103に対して、数104とする。
[数103]


[数104]


[0011]
 数105は、集合Zから要素zを一様にサンプリングする処理を示す。
[数105]


 #Zは、集合Zのサイズ又は濃度を示す。
[0012]
 確率的アルゴリズムPに対して、数106は、一様なランダムテープを伴う入力ΘにおけるアルゴリズムPの出力分布からΠをサンプリング処理を示す。
[数106]


 確定的アルゴリズムDに対して、Π=D(Θ)は、入力ΘにおけるアルゴリズムDの出力を示す。
[0013]
 アルゴリズムは、内容から明らかな場合には、入力として明示されていない場合であっても、セキュリティパラメータλの単進符号表現1 λが入力として与えられるものとする。
[0014]
 数107に対して、数108は、数109に示すベクトルを示す。また、数108は、v と記載される。
[数107]


[数108]


[数109]


[0015]
 体F における全てが0のベクトルは、数110のように記載される。
[数110]


 また、体F における正規基底ベクトルは、数111のように表される。
[数111]


[0016]
 数112に示す2つのベクトル対して、数113は、ベクトルv とベクトルw との内積を示す。つまり、数113は、数114を示す。
[数112]


[数113]


[数114]


[0017]
 数115は、数116によって張られた体F の部分空間を示す。
[数115]


[数116]


[0018]
 数117は、乗法巡回群を示す。数117は、群G又は単にGと記載される。
[数117]


 群Gと、群Gの生成元gとに対して、vは群要素のd次元ベクトルを示す。つまり、数118である。
[数118]


[0019]
 M=(m k,i)は、成分m k,i∈F を有するd×r行列を示す。M は、行列Mの転置行列を示す。det(M)は、行列Mの行列式を示す。行列の記載において、Iは、単位行列を示し、0は、ゼロ行列を示す。GL(d,F )は、F d×dにおける全てのd×dの可逆行列の集合を示す。
[0020]
 ***準備***
 以下の説明で用いられる用語の定義等を説明する。
[0021]
 実施の形態1では、ABPの述語を用いたABS方式を説明する。また、実施の形態1では、ABPの述語のASP(Arithmetic Span Programs)表現を用いる。そこで、ABP及びASPについて説明する。
[0022]
 <ABP>
 BP(Branching Program)Γは、数119に示す5つの要素によって定義される。
[数119]


 数120は頂点の集合を示し、数121は辺の集合を示す。数120は、単にVと記載され、数121は、単にEと記載される。
[数120]


[数121]


 (V,E)は、有効非巡回グラフである。V ,V ∈Vは、それぞれソースとシンクと呼ばれる特別な頂点である。φは、Eにおける辺に対するラベリング関数である。
[0023]
 有限体F におけるABPΓは、数122に示す関数fを計算する。
[数122]


 ここで、Eにおける各辺に割り当てられるラベリング関数φは、F における係数を伴う1つの変数の1次式、又は、F における定数である。pを、ABPΓにおけるソースV からシンクV への全てのパスの集合とする。ある入力x =(x ,...,x )∈F におけるABPΓによって計算される関数fの出力は、数123に示すように定義される。
[数123]


 数124は、x に対する関数φ(E)の評価値を示す。
[数124]


[0024]
 非特許文献Ishai, Y., Kushilevitz, E.: Perfect constant-round secure computation via perfect randomizing polynomials. In: International Colloquium on Automata, Languages,and Programming-ICALP 2002. pp. 244-256. Springer (2002)には、次の内容が示されている。
 関数fを計算するABPΓ=(V,E,V ,V ,φ)が与えられた場合、入力x ∈F をF における(#V-1)×(#V-1)の行列L(x )にマッピングする関数Lを効率的かつ決定的に計算することが可能である。また、以下の(1)から(3)が成立する。
 (1)det(L(x ))=f(x )である。
 (2)(L(x ))の各成分は、F における係数を伴う1つの変数x (i∈[d])の1次式、又は、F における定数である。
 (3)(L(x ))は、第2対角、つまり主対角のすぐ下の対角には、-1だけを含み、第2対角の下には0だけを含む。
 具体的には、行列Lは、行列A Γ-Iから、V に対応する列と、V に対応する行と
を取り除くことによって得られる。ここで、行列A Γは、Γに対する隣接行列である。Iは単位行列である。
[0025]
 ここで、ブーリアン方式と、ブーリアンブランチングプログラムと、算術方式とをABPに変換する線形時間アルゴリズムが存在する。
[0026]
 <ASP>
 n個の変数におけるアクセスストラクチャS=(U,ρ)は、数125に示すベクトルのペアの集合Uと、数126に示す関数ρとである。
[数125]


[数126]


 数127である場合に限り、数128に示す属性ベクトルx はアクセスストラクチャSを満たす。
[数127]


[数128]


[0027]
 ABPとASPとは、以下のように関連付けられる。
 数129に対して、数130に示す関数fを計算するサイズm+1のABPΓ=(V,E,V ,V ,φ)が与えられた場合に、数131に示すASPのアクセスストラクチャSを構築する効率的なアルゴリズムがあることが、非特許文献Ishai, Y., Wee, H.: Partial garbling schemes and their applications. In: ICALP2014. pp. 650-662. Springerに示されている。
[数129]


[数130]


[数131]


 ここで、数132は、f(x )=0と、アクセスストラクチャSがx を受理することとが同値であることを意味する。
[数132]


[0028]
 実施の形態1では、双対ベクトル空間である双対ペアリングベクトル空間(DPVS:Dual Pairing Vector Spaces)において、ABSを実現する。そこで、DPVSと、DPVSの前提となる双線形群とについて説明する。
[0029]
 <双線形群>
 数133に示す双線形群であるparam は、素数qと、位数qの乗法巡回群G ,G ,G と、群G の生成元g と、群G の生成元g と、数134に示す双線形写像eとを備える。
[数133]


[数134]


[0030]
 双線形写像eは、以下の双線形性と非退化性との2つの性質を有する。
 (双線形性)
 数135が成立する。
[数135]


 (非退化性)
 数136が成立する。ここで、数137は、群G の単位元である。
[数136]


[数137]


[0031]
 以下の説明では、G BPG()を双線形群の生成アルゴリズムとする。つまり、G BP
は、param を生成するアルゴリズムである。
[0032]
 <双対ペアリングベクトル空間(以下、DPVS)>
 数138に示すDPVSであるparam は、双線形群であるparam の直積によって構成される。param は、素数qと、要素毎に定義されたベクトル加算及びスカラー乗法の下での体F 上のd次元ベクトル空間V=G 及びd次元ベクトル空間V =G と、ベクトル空間V及びベクトル空間V の数139に示す標準基底A と、数140に示すペアリング演算eとを備える。
[数138]


[数139]


[数140]


 数139において、数141は単位元である。
[数141]


[0033]
 param における写像eは、以下の双線形性と非退化性との2つの性質を有する。
 (双線形性)
 数142が成立する。
[数142]


 (非退化性)
 数143が成立する。
[数143]


 vとwとを入れ替えても数143は成立する。
[0034]
 数144に示すベクトル空間V(又は、ベクトル空間V )の基底Wと、ベクトルv ∈F とに対して、数145は、基底Wの要素とベクトルv の要素との線形結合によって構成されるベクトル空間V(又は、ベクトル空間V )のベクトルを示す。つまり、数145は、数146を示す。
[数144]


[数145]


[数146]


[0035]
 数147に示すベクトルの集合について、数148は、数147に示すベクトルの集合によって張られたベクトル空間Vの部分空間を表す。
[数147]


[数148]


[0036]
 以下の説明では、G DPVS(1 λ,d)をDPVSの生成アルゴリズムとする。つまり、G DPVSは、単進符号のエンコーディングがされたセキュリティパラメータ1 λと、次元を示す自然数dとを入力として、d次元ベクトル空間V及びd次元ベクトル空間V を伴うparam を生成するアルゴリズムである。
[0037]
 実施の形態1では、衝突困難性ハッシュ関数を用いてABSを実現する。そこで、実施の形態1で用いる衝突困難性ハッシュ関数について説明する。
[0038]
 <衝突困難性ハッシュ関数>
 双線形群の生成関数G BPGと、多項式poly(・)とに関連付けられたハッシュ関数族Hは、KGenアルゴリズムと、H (λ,poly) khアルゴリズムとの2つの多項式時間アルゴリズムから構成される。
[0039]
 KGenアルゴリズムは、ハッシュ鍵生成アルゴリズムである。KGenアルゴリズムは、単進符号のエンコーディングがされたセキュリティパラメータ1 λを入力として、鍵空間HK λからハッシュ鍵hkをサンプリングする確率的アルゴリズムである。鍵空間HK λは、λによってパラメータ化されたビット列上の確率的空間である。
[0040]
 H (λ,poly) khアルゴリズムは、数149に示す写像を行う関数である。
[数149]


 つまり、H (λ,poly) khアルゴリズムは、単進符号のエンコーディングがされたセキュリティパラメータ1 λを入力として、D={0,1} poly(λ)の要素から、0を除く体F の要素への写像を行う確定的関数である。ここで、qは、双線形群の生成関数G BPGの出力であるparams の最初の要素である。
[0041]
 ***構成の説明***
 以下の説明において、数150に示すqをある素数とし、数151を数152に示す全ての関数のクラスを示すものとする。数152において、pは、体F 上の多項式サイズのあるABPによって実現される任意の多項式である。
[数150]


[数151]


[数152]


 実施の形態1では、数153に示す述語族R (q) Z-ABPに対するABS方式を説明する。
[数153]


 ここで、数154である。
[数154]


[0042]
 ASPの説明で述べた通り、数155に示すどんな関数fの入力に対しても、数156
に示すASPのアクセスストラクチャSを生成する多項式時間アルゴリズムが存在する。
[数155]


[数156]


 数156において、数157は、R (q) Z-ABP(f,x )と、f(x )=0と、アクセスストラクチャSがx を受理することとが同値であることを意味する。
[数157]


 以下の説明では、述語R (q) Z-ABP(f,・)∈R (q) Z-ABPは、多項式時間アルゴリズムによって計算された、対応するASP表現であるアクセスストラクチャS=(U,ρ)によって特定されるものとして説明する。
[0043]
 <ABSの構成>
 ABS方式は、数158に示すメッセージ空間Mと、署名空間Σとを含むある述語族R (q) Z-ABPに対する方式である。
[数158]


 なお、数158における*は要素数が任意であることを意味する。
[0044]
 ABS方式は、Setupアルゴリズムと、KeyGenアルゴリズムと、Signアルゴリズムと、Verifyアルゴリズムとを含む。
[0045]
 Setupアルゴリズムは、単進符号のエンコーディングがされたセキュリティパラメータ1 λを入力として、公開パラメータMPKと、マスター秘密鍵MSKとを出力する。
[0046]
 KeyGenアルゴリズムは、公開パラメータMPKと、マスター秘密鍵MSKと、数159に示す属性ベクトルx とを入力として、署名鍵SK(x )を出力する。
[数159]


[0047]
 Signアルゴリズムは、公開パラメータMPKと、数159に示す属性ベクトルx と、属性ベクトルx に対する署名鍵SK(x )と、署名ポリシーR (q) Z-ABP(f,・):F →{0,1}∈R (q) Z-ABPがASP表現で表されたアクセス
ストラクチャS=(U,ρ)と、メッセージMSG∈Mとを入力として、署名sig又は失敗を示す識別記号⊥を出力する。
[0048]
 Verifyアルゴリズムは、公開パラメータMPKと、署名ポリシーR (q) Z-ABP(f,・):F →{0,1}∈R (q) Z-ABPがASP表現で表されたアクセスストラクチャS=(U,ρ)と、メッセージMSG∈Mと署名sig∈Σのペアとを入力として、1又は0を出力する。
[0049]
 <署名システム1の構成>
 図1を参照して、実施の形態1に係る署名システム1の構成を説明する。
 署名システム1は、セットアップ装置10と、鍵生成装置20と、署名装置30と、検証装置40とを備える。セットアップ装置10と、鍵生成装置20と、署名装置30と、検証装置40とは、コンピュータである。セットアップ装置10と、鍵生成装置20と、署名装置30と、検証装置40とは、通信路を介して接続されている。
[0050]
 図2を参照して、実施の形態1に係るセットアップ装置10の構成を説明する。
 セットアップ装置10は、Setupアルゴリズムを実行するコンピュータである。
 セットアップ装置10は、プロセッサ11と、メモリ12と、ストレージ13と、通信インタフェース14とのハードウェアを備える。プロセッサ11は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
[0051]
 セットアップ装置10は、機能構成要素として、受付部111と、マスター鍵生成部112と、出力部113とを備える。セットアップ装置10の各機能構成要素の機能はソフトウェアにより実現される。
 ストレージ13には、セットアップ装置10の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ11によりメモリ12に読み込まれ、プロセッサ11によって実行される。これにより、セットアップ装置10の各機能構成要素の機能が実現される。
[0052]
 図3を参照して、実施の形態1に係る鍵生成装置20の構成を説明する。
 鍵生成装置20は、KeyGenアルゴリズムを実行するコンピュータである。
 鍵生成装置20は、プロセッサ21と、メモリ22と、ストレージ23と、通信インタフェース24とのハードウェアを備える。プロセッサ21は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
[0053]
 鍵生成装置20は、機能構成要素として、取得部211と、署名鍵生成部212と、出力部213とを備える。鍵生成装置20の各機能構成要素の機能はソフトウェアにより実現される。
 ストレージ23には、鍵生成装置20の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ21によりメモリ22に読み込まれ、プロセッサ21によって実行される。これにより、鍵生成装置20の各機能構成要素の機能が実現される。
[0054]
 図4を参照して、実施の形態1に係る署名装置30の構成を説明する。
 署名装置30は、Sigアルゴリズムを実行するコンピュータである。
 署名装置30は、プロセッサ31と、メモリ32と、ストレージ33と、通信インタフェース34とのハードウェアを備える。プロセッサ31は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
[0055]
 署名装置30は、機能構成要素として、取得部311と、署名部312と、出力部31
3とを備える。署名装置30の各機能構成要素の機能はソフトウェアにより実現される。
 ストレージ33には、署名装置30の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ31によりメモリ32に読み込まれ、プロセッサ31によって実行される。これにより、署名装置30の各機能構成要素の機能が実現される。
[0056]
 図5を参照して、実施の形態1に係る検証装置40の構成を説明する。
 検証装置40は、Verifyアルゴリズムを実行するコンピュータである。
 検証装置40は、プロセッサ41と、メモリ42と、ストレージ43と、通信インタフェース44とのハードウェアを備える。プロセッサ41は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
[0057]
 検証装置40は、機能構成要素として、取得部411と、検証データ生成部412と、検証部413とを備える。検証装置40の各機能構成要素の機能はソフトウェアにより実現される。
 ストレージ43には、検証装置40の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ41によりメモリ42に読み込まれ、プロセッサ41によって実行される。これにより、検証装置40の各機能構成要素の機能が実現される。
[0058]
 プロセッサ11,21,31,41は、プロセッシングを行うIC(Integrated Circuit)である。プロセッサ11,21,31,41は、具体例としては、CPU(Central Processing Unit)、DSP(Digital Signal Processor)、GPU(Graphics Processing Unit)である。
[0059]
 メモリ12,22,32,42は、データを一時的に記憶する記憶装置である。メモリ12,22,32,42は、具体例としては、SRAM(Static Random Access Memory)、DRAM(Dynamic Random Access Memory)である。
[0060]
 ストレージ13,23,33,43は、データを保管する記憶装置である。ストレージ13,23,33,43は、具体例としては、HDD(Hard Disk Drive)である。また、ストレージ13,23,33,43は、SD(登録商標,Secure
 Digital)メモリカード、CF(CompactFlash,登録商標)、NANDフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ(登録商標)ディスク、DVD(Digital Versatile Disk)といった可搬記録媒体であってもよい。
[0061]
 通信インタフェース14,24,34,44は、外部の装置と通信するためのインタフェースである。通信インタフェース14,24,34,44は、具体例としては、Ethernet(登録商標)、USB(Universal Serial Bus)、HDMI(登録商標,High-Definition Multimedia Interface)のポートである。
[0062]
 図2では、プロセッサ11は、1つだけ示されていた。しかし、プロセッサ11は、複数であってもよく、複数のプロセッサ11が、各機能を実現するプログラムを連携して実行してもよい。同様に、プロセッサ21,31,41は、複数であってもよく、複数のプロセッサ21,31,41が、各機能を実現するプログラムを連携して実行してもよい。
[0063]
 ***動作の説明***
 図6から図9を参照して、実施の形態1に係る署名システム1の動作を説明する。
 以下の説明では、ASPの記述における関数ρは、単射である必要はない。そのため、以下に説明するABS方式は、署名ポリシーにおける無制限な属性のマルチユースをサポートする。無制限とは、公開パラメータMPKによって、属性の数が制限されないという意味である。また、マルチユースとは、同じ属性を複数個所で使うことが可能であるという意味である。
[0064]
 図6を参照して、実施の形態1に係るセットアップ装置10の動作を説明する。
 実施の形態1に係るセットアップ装置10の動作は、実施の形態1に係るセットアップ方法に相当する。また、実施の形態1に係るセットアップ装置10の動作は、実施の形態1に係るセットアッププログラムの処理に相当する。
[0065]
 (ステップS11:受付処理)
 受付部111は、単進符号のエンコーディングがされたセキュリティパラメータ1 λの入力を受け付ける。受付部111は、セキュリティパラメータ1 λをメモリ12に書き込む。
[0066]
 (ステップS12:基底生成処理)
 マスター鍵生成部112は、ステップS11で受付されたセキュリティパラメータ1 λを入力として、params及び正規直交な双対基底{B ι,B ιι∈[0,2]を生成する。
 具体的には、マスター鍵生成部112は、セキュリティパラメータλをメモリ12から読み出す。マスター鍵生成部112は、N=2、d =4、d =14、d =8として、数160に示すアルゴリズムG OBを実行して、params及び双対基底{B ι,B ιι∈[0,2]を生成する。マスター鍵生成部112は、params及び双対基底{B ι,B ιι∈[0,2]をメモリ12に書き込む。
[数160]


[0067]
 (ステップS13:部分基底生成処理)
 マスター鍵生成部112は、ステップS12で生成された双対基底{B ι,B ιι∈[0,2]から、ι∈[0,2]の各整数ιについて、部分基底B^ ι及び部分基底B^ ιを生成する。
 具体的には、マスター鍵生成部112は、params及び双対基底{B ι,B ιι∈[0,2]をメモリ12から読み出す。マスター鍵生成部112は、数161に示すように、ι∈[0,2]の各整数ιについて、部分基底B^ ι及び部分基底B^ ιを生成する。
[数161]


[0068]
 (ステップS14:ハッシュ鍵生成処理)
 マスター鍵生成部112は、数162に示すように、KGenアルゴリズムにより、ハッシュ鍵hkをサンプリングする。
[数162]


 ここで、KGenアルゴリズムは、双線形群の生成関数G BPGと、多項式poly(・)とに関連付けられたハッシュ関数族Hに対するアルゴリズムである。多項式poly(λ)は、メッセージ空間Mに属するメッセージと、述語族R (q) Z-ABPにおける署名ポリシー述語を表すASPの2値表現とを連接することによって形成されたビット列の長さを表す。
[0069]
 (ステップS15:マスター鍵設定処理)
 マスター鍵生成部112は、ステップS12で生成されたparamsと、ステップS13で生成されたι∈[0,2]の各整数ιについての部分基底B^ ι及び部分基底B^ ιと、ステップS14で生成されたハッシュ鍵hkとを公開パラメータMPKとして設定する。また、マスター鍵生成部112は、基底ベクトルb *(0,1)をマスター秘密鍵MSKとして設定する。
 そして、マスター鍵生成部112は、公開パラメータMPK及びマスター秘密鍵MSKをメモリ12に書き込む。
[0070]
 (ステップS16:出力処理)
 出力部113は、ステップS15で設定された公開パラメータMPK及びマスター秘密鍵MSKを出力する。
 具体的には、出力部113は、公開パラメータMPK及びマスター秘密鍵MSKをメモリ12から読み出す。出力部113は、公開パラメータMPKを公開用のサーバに送信するといった方法により、公開する。これにより、鍵生成装置20と署名装置30と検証装置40とは、公開パラメータMPKを取得可能になる。また、出力部113は、マスター秘密鍵MSKを秘密裡に鍵生成装置20に送信する。秘密裡に送信するとは、既存の暗号化方式で暗号化した上で送信するといった意味である。
[0071]
 つまり、セットアップ装置10は、数163に示すSetupアルゴリズムを実行する。
[数163]


[0072]
 図7を参照して、実施の形態1に係る鍵生成装置20の動作を説明する。
 実施の形態1に係る鍵生成装置20の動作は、実施の形態1に係る鍵生成方法に相当する。また、実施の形態1に係る鍵生成装置20の動作は、実施の形態1に係る鍵生成プログラムの処理に相当する。
[0073]
 (ステップS21:取得処理)
 取得部211は、ステップS16で出力された公開パラメータMPK及びマスター秘密鍵MSKを取得する。また、取得部211は、属性ベクトルx ∈F を取得する。ここでは、属性ベクトルx は、生成される署名鍵SK(x )のユーザの属性である。なお、属性ベクトルx ∈F におけるnは、属性ベクトルx の要素数を表している。つまり、属性ベクトルx =(x ,...,x )である。nは1以上の整数である。
 取得部211は、公開パラメータMPK及びマスター秘密鍵MSKと、属性ベクトルx とをメモリ22に書き込む。
[0074]
 (ステップS22:署名鍵生成処理)
 署名鍵生成部212は、数164に示すように、乱数ωと乱数φ とをサンプリングし、要素k *(0)を生成する。
[数164]


[0075]
 署名鍵生成部212は、ι∈[n]の各整数ιについて、数165に示すように、乱数
σ ιと乱数φ →(ι)とをサンプリングし、要素k *(ι)を生成する。
[数165]


[0076]
 ここで、基底B の基底ベクトルb *(1,1)及び基底ベクトル *(1,2)は、インデックス部である。そして、インデックス部に係数として設定されたσ ι(1,ι)は、属性ベクトルx の要素x ιに応じたインデックス情報I である。インデックス情報I は、後述するVerifyアルゴリズムにおいて用いられる、対応するインデックス情報Iとの要素毎の内積の和が0になる。
[0077]
 署名鍵生成部212は、数166に示すように、乱数φ →(n+1,1)及び乱数φ →(n+1,2)をサンプリングし、要素k *(n+1,1)及び要素k *(n+1,2)を生成する。
[数166]


[0078]
 署名鍵生成部212は、要素k *(0)と、ι∈[n]の各整数ιについての要素k *(ι)と、要素k *(n+1,1)及び要素k *(n+1,2)とを署名鍵SK(x )としてメモリ22に書き込む。
[0079]
 (ステップS23:出力処理)
 出力部213は、ステップS22で生成された署名鍵SK(x )を出力する。
 具体的には、出力部213は、署名鍵SK(x )をメモリ22から読み出す。出力部213は、署名鍵SK(x )を秘密裡に署名装置30に送信する。
[0080]
 つまり、鍵生成装置20は、数167に示すKeyGenアルゴリズムを実行する。
[数167]


[0081]
 図8を参照して、実施の形態1に係る署名装置30の動作を説明する。
 実施の形態1に係る署名装置30の動作は、実施の形態1に係る署名方法に相当する。また、実施の形態1に係る署名装置30の動作は、実施の形態1に係る署名プログラムの処理に相当する。
[0082]
 (ステップS31:取得処理)
 取得部311は、ステップS16で出力された公開パラメータMPKを取得する。また、取得部311は、ステップS23で出力された署名鍵SK(x )を取得する。
 また、取得部311は、ユーザの属性ベクトルx ∈F と、署名ポリシーR (q) Z-ABP(f,・):F →{0,1}∈R (q) Z-ABPがASP表現で表されたアクセスストラクチャSと、メッセージMSG∈Mとを取得する。ここで、アクセスストラクチャSは、数168に示す通りである。
[数168]


 Lは、ベクトルy →(j)及びベクトルz →(j)の要素数であり、1以上の整数である。
 取得部311は、公開パラメータMPKと、署名鍵SK(x )と、ユーザの属性ベクトルx ∈F と、アクセスストラクチャSと、メッセージMSGとをメモリ32に書き込む。
[0083]
 (ステップS32:判定処理)
 署名部312は、アクセスストラクチャSが属性ベクトルx を受理するか否かを判定する。
 署名部312は、受理する場合には、処理をステップS33に進める。一方、署名部3
12は、受理しない場合には、失敗を示す識別記号⊥を出力して、処理を終了する。
[0084]
 (ステップS33:変数計算処理)
 署名部312は、数169に示すスカラー(Ω j∈[m]∈F を計算する。
[数169]


 ここで、数127である場合に限り、数128に示す属性ベクトルx はアクセスストラクチャSを満たす。そのため、数169に示すスカラー(Ω j∈[m]∈F は存在し、計算可能である。
[0085]
 署名部312は、数170に示す乱数ξと、乱数(Ω’ j∈[m]∈F 及び乱数(Ω’’ j∈[m]∈F とをサンプリングする。
[数170]


[0086]
 署名部312は、スカラー(Ω j∈[m]と、乱数ξと、乱数(Ω’ j∈[m]及び乱数(Ω’’ j∈[m]とをメモリ32に書き込む。
[0087]
 (ステップS34:署名要素生成処理)
 署名部312は、数171に示すように、乱数r *(0)をサンプリングし、要素s *(0)を生成する。
[数171]


 乱数ξと乱数r *(0)とにより、署名鍵SK(x )の要素k *(0)に設定された乱数ω及び乱数φ が隠蔽される。
[0088]
 署名部312は、j∈[m]の各整数jについて、数172に示すように、乱数σ’ と、乱数r *(j)とをサンプリングし、要素s *(j)を生成する。
[数172]


 ここで、乱数ξとスカラーΩ とにより、署名鍵SK(x )の要素k *(ι)に設定された属性ベクトルx の要素が隠蔽される。乱数Ω’ によりΩ ρ(j)が隠蔽される。乱数Ω’’ により乱数Ω’ が隠蔽される。
 また、乱数σ’ により、署名鍵SK(x )の要素k *(ι)に設定されたインデックス情報I が隠蔽される。乱数r *(j)により、署名鍵SK(x )の要素k *(ι)に設定された乱数φ →(ι)が隠蔽される。
[0089]
 署名部312は、数173に示すように、乱数r *(m+1)をサンプリングし、要素s *(m+1)を生成する。
[数173]


 ここで、乱数ξと乱数r *(m+1)とにより、署名鍵SK(x )の要素k *(n+1,1)及び要素k *(n+1,2)に設定された乱数ωと乱数φ →(n+1,1)と乱数φ →(n+1,2)とが隠蔽される。
[0090]
 署名部312は、要素s *(0)と、j∈[m]の各整数jについての要素s *(j)と、要素s *(m+1)とを署名sigとしてメモリ32に書き込む。
[0091]
 (ステップS35:出力処理)
 出力部313は、ステップS31で取得されたメッセージMSGと、ステップS34で生成された署名sigとのペアを出力する。
 具体的には、出力部313は、メッセージMSG及び署名sigをメモリ32から読み出す。出力部313は、メッセージMSG及び署名sigを検証装置40に送信する。
[0092]
 つまり、署名装置30は、数174に示すSigアルゴリズムを実行する。
[数174]


[0093]
 図9を参照して、実施の形態1に係る検証装置40の動作を説明する。
 実施の形態1に係る検証装置40の動作は、実施の形態1に係る検証方法に相当する。また、実施の形態1に係る検証装置40の動作は、実施の形態1に係る検証プログラムの処理に相当する。
[0094]
 (ステップS41:取得処理)
 取得部411は、ステップS16で出力された公開パラメータMPKを取得する。また、取得部411は、ステップS35で出力されたメッセージMSG及び署名sigのペアを取得する。また、取得部411は、署名ポリシーR (q) Z-ABP(f,・):F →{0,1}∈R (q) Z-ABPがASP表現で表されたアクセスストラクチャSを
取得する。
 取得部411は、公開パラメータMPKと、メッセージMSG及び署名sigのペアと、アクセスストラクチャSとをメモリ42に書き込む。
[0095]
 (ステップS42:検証データ生成処理)
 検証データ生成部412は、数175に示すように、乱数u をサンプリングし、j∈[m]の各整数jについて検証情報である変数s 及び変数s’ を生成する。
[数175]


[0096]
 検証データ生成部412は、数176に示すように、乱数u及び乱数η をサンプリングし、要素c (0)を生成する。
[数176]


[0097]
 検証データ生成部412は、j∈[m]の各整数jについて以下を実行する。
 まず、検証データ生成部412は、対象の整数jについて、数177が成立するか否かを判定する。
[数177]


 検証データ生成部412は、成立する場合には、署名sigの正当性が確認できないことを示す0を出力して処理を終了する。一方、検証データ生成部412は、成立しない場合には、対象の整数jについて、数178に示すように、乱数μ 及び乱数η →(j)をサンプリングし、要素c (j)を生成する。
[数178]


[0098]
 ここで、基底B の基底ベクトルb (1,1)及び基底ベクトルb (1,2)は、インデックス部である。基底B の基底ベクトルb (1,1)及び基底ベクトルb (1,2)は、基底B の基底ベクトルb *(1,1)及び基底ベクトル *(1,2)に対応する基底ベクトルである。対応する基底ベクトルとは、ペアリング演算で内積が計算される基
底ベクトルであるという意味である。
 そして、インデックス部に係数として設定されたμ (ρ(j),-1)は、インデックス情報Iである。インデックス情報Iは、署名鍵SK(x )で用いられた、対応するインデックス情報I との要素毎の内積の和が0になる。インデックス情報が対応するとは、ιとρ(j)とが対応しているという意味であり、ι=ρ(j)という意味である。
 具体的には、インデックス情報I はσ ι(1,ι)であり、インデックス情報Iはμ (ρ(j),-1)である。ι=ρ(j)であるため、σ ιμ (1・ρ(j)-1・ι)=σ ιμ (1・ι-1・ι)=0である。
[0099]
 検証データ生成部412は、数179に示すように、乱数κ及び乱数η →(m+1)をサンプリングし、要素c (m+1)を生成する。
[数179]


[0100]
 (ステップS43:第1検証処理)
 検証部413は、数180が成立するか否かを判定する。
[数180]


 検証部413は、成立する場合には、署名sigの正当性が確認できないことを示す0を出力して処理を終了する。一方、検証部413は、成立しない場合には、処理をステップS44に進める。
[0101]
 (ステップS44:第2検証処理)
 検証部413は、数181が成立するか否かを判定する。
[数181]


 検証部413は、成立する場合には、署名sigの正当性が確認できたことを示す1を出力して処理を終了する。一方、検証部413は、成立しない場合には、署名sigの正当性が確認できないことを示す0を出力して処理を終了する。
[0102]
 数182に示すように、署名sigが正当である場合には、数181が成立する。
[数182]


[0103]
 つまり、検証装置40は、数183に示すVerifyアルゴリズムを実行する。
[数183]


[0104]
 ***実施の形態1の効果***
 以上のように、実施の形態1に係る署名システム1は、ABPの述語ベクトルを用いてABE方式を実現する。これにより、実用的なABE方式が実現される。
[0105]
 実施の形態1に係る署名システム1は、署名鍵SK(x )のインデックス部に係数としてインデックス情報I を設定し、検証データのインデックス部に係数としてインデックス情報Iを設定する。インデックス情報I のιとインデックス情報Iのρ(j)とが対応している場合には、署名sigの要素s *(j)と検証データの要素c (j)とについてペアリング演算を行うと、インデックス部が0になる。インデックス情報I のιとインデックス情報Iのρ(j)とが対応していない場合には、署名sigの要素s *(j)と検証データの要素c (j)とについてペアリング演算を行っても、インデックス部が0にならない。
 これにより、属性ベクトルx の要素毎に別の基底を用いず、属性ベクトルx の全ての要素に共通の基底B 及び基底B を用いても、安全性を確保することが可能になる。その結果、属性ベクトルx の要素数によらず、公開パラメータMPKに基底B^ 及び基底B^ を含めておけばよい。つまり、公開パラメータMPKを変更することなく、使用する属性ベクトルx の要素数を任意に変更可能である。
[0106]
 ***他の構成***
 <変形例1>
 実施の形態1では、インデックス部として2次元分の基底ベクトルが用いられた。しかし、インデックス情報I とインデックス情報Iとの内積の和が0になるのであれば、インデックス部は何次元分の基底ベクトルが用いられてもよい。
[0107]
 <変形例2>
 実施の形態1では、各機能構成要素がソフトウェアで実現された。しかし、変形例2として、各機能構成要素はハードウェアで実現されてもよい。この変形例2について、実施の形態1と異なる点を説明する。
[0108]
 図10を参照して、変形例2に係るセットアップ装置10の構成を説明する。
 各機能構成要素がハードウェアで実現される場合には、セットアップ装置10は、プロセッサ11とメモリ12とストレージ13とに代えて、電子回路15を備える。電子回路15は、各機能構成要素と、メモリ12と、ストレージ13との機能とを実現する専用の回路である。
[0109]
 図11を参照して、変形例2に係る鍵生成装置20の構成を説明する。
 各機能構成要素がハードウェアで実現される場合には、鍵生成装置20は、プロセッサ21とメモリ22とストレージ23とに代えて、電子回路25を備える。電子回路25は、各機能構成要素と、メモリ22と、ストレージ23との機能とを実現する専用の回路である。
[0110]
 図12を参照して、変形例2に係る署名装置30の構成を説明する。
 各機能構成要素がハードウェアで実現される場合には、署名装置30は、プロセッサ31とメモリ32とストレージ33とに代えて、電子回路35を備える。電子回路35は、各機能構成要素と、メモリ32と、ストレージ33との機能とを実現する専用の回路である。
[0111]
 図13を参照して、変形例2に係る検証装置40の構成を説明する。
 各機能構成要素がハードウェアで実現される場合には、検証装置40は、プロセッサ41とメモリ42とストレージ43とに代えて、電子回路45を備える。電子回路45は、各機能構成要素と、メモリ42と、ストレージ43との機能とを実現する専用の回路である。
[0112]
 電子回路15,25,35,45としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックIC、GA(Gate Array)、ASIC(Application Specific Integrated Circuit)、FPGA(Field-Programmable Gate Array)が想定される。
 各機能構成要素を1つの電子回路15,25,35,45で実現してもよいし、各機能構成要素を複数の電子回路15,25,35,45に分散させて実現してもよい。
[0113]
 <変形例3>
 変形例3として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
[0114]
 プロセッサ11,21,31,41とメモリ12,22,32,42とストレージ13,23,33,43と電子回路15,25,35,45とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。

符号の説明

[0115]
 10 セットアップ装置、11 プロセッサ、12 メモリ、13 ストレージ、14
 通信インタフェース、15 電子回路、111 受付部、112 マスター鍵生成部、113 出力部、20 鍵生成装置、21 プロセッサ、22 メモリ、23 ストレージ、24 通信インタフェース、25 電子回路、211 取得部、212 署名鍵生成部、213 出力部、30 署名装置、31 プロセッサ、32 メモリ、33 ストレージ、34 通信インタフェース、35 電子回路、311 取得部、312 署名部、313 出力部、40 検証装置、41 プロセッサ、42 メモリ、43 ストレージ、44 通信インタフェース、45 電子回路、1 署名システム。

請求の範囲

[請求項1]
 双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルが設定された署名鍵を取得する取得部と、
 前記取得部によって取得された前記署名鍵に対して、ABP(Arithmetic Branching Programs)の述語情報を設定して、メッセージに対する署名を生成する署名部と、
 前記署名部によって生成された前記署名と、前記メッセージとを出力する出力部と
を備える署名装置。
[請求項2]
 前記署名鍵は、前記属性ベクトルの要素毎に対応する要素を含み、前記署名鍵の要素は、前記基底B における一部の基底ベクトルの係数として、前記属性ベクトルの対応する要素に応じたインデックス情報I が設定された
請求項1に記載の署名装置。
[請求項3]
 前記述語情報は、前記ABPに対応するASP(Arithmetic Span Programs)表現から得られた
請求項1又は2に記載の署名装置。
[請求項4]
 前記述語情報は、数1に示す要素Ω を含み、
 前記署名部は、前記要素Ω により前記属性ベクトルの要素を隠蔽する
請求項3に記載の署名装置。
[数1]


[請求項5]
 前記述語情報は、数2に示す要素Ω’ 及び要素Ω’’ を含み、
 前記署名部は、前記要素Ω’ 及び前記要素Ω’’ により前記属性ベクトルの要素と前記要素Ω とを隠蔽する
請求項4に記載の署名装置。
[数2]


[請求項6]
 前記署名は、数3に示すsigである
請求項5に記載の署名装置。
[数3]


[請求項7]
 双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルと、ABP(Arithmetic Branching Programs)の述語情報とが設定された署名を取得する取得部と、
 前記取得部によって取得された前記署名と、前記基底Bに検証情報を設定した検証データとについてペアリング演算を行うことにより、前記署名を検証する検証部と
を備える検証装置。
[請求項8]
 前記署名は、前記属性ベクトルの要素毎に対応する要素を含み、前記署名の要素は、前記基底B における一部の基底ベクトルの係数として、前記属性ベクトルにおける対応する要素に応じたインデックス情報I が設定され、
 前記検証データは、前記属性ベクトルの1つ以上の要素に対応する要素を含み、前記検証データの要素は、前記一部の基底ベクトルに対応する前記基底Bにおける基底ベクトルの係数として、前記インデックス情報I との内積の和が0になるインデックス情報Iが設定された
請求項7に記載の検証装置。
[請求項9]
 前記述語情報及び前記検証情報は、前記ABPに対応するASP(Arithmetic Span Programs)表現から得られた
請求項7又は8に記載の検証装置。
[請求項10]
 述語情報は、数4に示すΩ を含む
請求項9に記載の検証装置。
[数4]


[請求項11]
 前記署名は、数5に示すsigであり、
 前記検証データは、数6に示すcである
請求項10に記載の検証装置。
[数5]


[数6]


[請求項12]
 署名装置における取得部が、双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルが設定された署名鍵を取得し、
 前記署名装置における署名部が、前記署名鍵に対して、ABP(Arithmetic
 Branching Programs)の述語情報を設定して、メッセージに対する署名を生成し、
 前記署名装置における出力部が、前記署名と、前記メッセージとを出力する署名方法。
[請求項13]
 双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルが設定された署名鍵を取得する取得処理と、
 前記取得処理によって取得された前記署名鍵に対して、ABP(Arithmetic
 Branching Programs)の述語情報を設定して、メッセージに対する署名を生成する署名処理と、
 前記署名処理によって生成された前記署名と、前記メッセージとを出力する出力処理とを行う署名装置としてコンピュータを機能させる署名プログラム。
[請求項14]
 検証装置における取得部が、双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルと、ABP(Arithmetic Branching Programs)の述語情報とが設定された署名を取得し、
 前記検証装置における検証部が、前記署名と、前記基底Bに検証情報を設定した検証データとについてペアリング演算を行うことにより、前記署名を検証する検証方法。
[請求項15]
 双対ベクトル空間における双対基底である基底B及び基底B のうちの基底B に、属性ベクトルと、ABP(Arithmetic Branching Programs)の述語情報とが設定された署名を取得する取得処理と、
 前記取得処理によって取得された前記署名と、前記基底Bに検証情報を設定した検証データとについてペアリング演算を行うことにより、前記署名を検証する検証処理と
を行う検証装置としてコンピュータを機能させる検証プログラム。

図面

[ 図 1]

[ 図 2]

[ 図 3]

[ 図 4]

[ 図 5]

[ 図 6]

[ 図 7]

[ 図 8]

[ 図 9]

[ 図 10]

[ 図 11]

[ 図 12]

[ 図 13]