酒井・笠原スキーム

Sakai –Kasahara方式は、Sakai–Kasahara鍵暗号化アルゴリズム（ SAKKE ）としても知られ、2003年に坂井隆一と笠原正雄によって提案されたアイデンティティベース暗号化（IBE）システムです。 ^[1] Boneh–Franklin方式と並んで、これは商業的に実装された数少ないアイデンティティベース暗号化方式の1つです。これは、楕円曲線と有限体上のペアリングの応用です。このアルゴリズムのセキュリティ証明は、2005年にChenとChengによって作成されました。^{[2] SAKKEは、イン​​ターネット技術タスクフォース（} IETF）RFC 6508で説明されています。^[3]

ID ベースの暗号化の具体的な方法として、主な使用例は、送信者がユーザーの公開 ID (電子メール アドレスなど) のみを知っている場合に、誰でもユーザーへのメッセージを暗号化できるようにすることです。このように、このスキームでは、暗号化のためにユーザーが公開証明書を共有する必要がなくなります。

Sakai-Kasahara 方式では、特定の ID を持つ受信者へのメッセージを暗号化できます。IDに関連付けられた秘密鍵 を持つエンティティのみがメッセージを復号化できます。 ${\displaystyle \mathbb {M} }$${\displaystyle \textstyle I_{U}}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle I_{U}}$

スキームの一部として、送信者と受信者の両方が秘密鍵ジェネレーター (PKG) (キー管理サーバー (KMS) とも呼ばれる) を信頼する必要があります。PKG の目的は、受信者の ID に関連付けられた受信者の秘密鍵 を作成することです。PKG は、ID 固有の秘密鍵 を受信者に安全に配信し、PKG 固有の公開パラメーター をすべての関係者に安全に配信する必要があります。これらの配布プロセスは、この暗号化スキームの定義の一部とは見なされません。 ${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle I_{U}}$${\displaystyle \textstyle Z}$

この方式では、2 つの乗法群とを使用します。次のことが前提となります。 ${\displaystyle \textstyle E}$${\displaystyle \textstyle G}$

• Diffie -Hellman 問題は では困難です。つまり、グループの 2 つのメンバーと が与えられた場合、となる を見つけることは困難です。${\displaystyle \textstyle E}$${\displaystyle \textstyle P}$${\displaystyle \textstyle Q}$${\displaystyle \textstyle x}$${\displaystyle \textstyle [x].P=Q}$
• Diffie -Hellman 問題は では困難です。つまり、グループの 2 つのメンバーと が与えられた場合、となる を見つけることは困難です。${\displaystyle \textstyle G}$ ${\displaystyle g}$${\displaystyle t}$${\displaystyle \textstyle x}$${\displaystyle \textstyle g^{x}=t}$
• E から G への双線型写像、Tate-Lichtenbaumペアリングが存在します。これはの元に対して次のことを意味します。${\displaystyle \textstyle e(,)}$${\displaystyle \textstyle P}$${\displaystyle \textstyle E}$

${\displaystyle \textstyle e(P,[x].P)=e([x].P,P)=e(P,P)^{x}}$

多くの場合、は(素数位数の有限体 上)のような超特異楕円曲線です。 では素数位数の生成元が選択されます。 群は、(位数 p の有限体の次数 2 の拡大体内) によって生成された群のペアリングによる像です。${\displaystyle \textstyle E}$${\displaystyle \textstyle E:y^{2}=x^{3}-3x}$${\displaystyle \textstyle p}$${\displaystyle \textstyle P}$${\displaystyle \textstyle q}$${\displaystyle \textstyle E}$${\displaystyle \textstyle G}$${\displaystyle \textstyle P}$

2 つのハッシュ関数も必要であり、 は正の整数 を出力します。はビットを出力します。ここで、 はメッセージの長さです。 ${\displaystyle \textstyle H_{1}}$${\displaystyle \textstyle H_{2}}$${\displaystyle \textstyle H_{1}}$${\displaystyle \textstyle x}$${\displaystyle \textstyle 1<x<q}$${\displaystyle \textstyle H_{2}}$${\displaystyle \textstyle n}$${\displaystyle \textstyle n}$${\displaystyle \mathbb {M} }$

PKG には、のマスター シークレットと、上の点である公開鍵があります。PKG は、次のように ID を持つユーザーの秘密鍵 を生成します。${\displaystyle \textstyle z}$${\displaystyle 1<z<q}$${\displaystyle \textstyle Z=[z].P}$${\displaystyle \textstyle E}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle ID_{U}}$

${\displaystyle \textstyle K_{U}=[{\frac {1}{z+H_{1}(ID_{U})}}].P}$

非繰り返しメッセージを暗号化するには、送信者は受信者の IDと公開 PGK 値を必要とします。送信者は次の操作を実行します。 ${\displaystyle \mathbb {M} }$${\displaystyle \textstyle ID_{U}}$${\displaystyle \textstyle Z}$

1. 作成する：${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. 送信者は以下を使用して生成します${\displaystyle \textstyle r}$${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$
3. 点を生成します: ${\displaystyle \textstyle R}$${\displaystyle \textstyle E}$

   ${\displaystyle \textstyle R=[r].([id].P+Z)}$

4. マスクされたメッセージを作成します。

   ${\displaystyle \textstyle S=\mathbb {M} \oplus H_{2}(g^{r})}$

5. 暗号化された出力は次のとおりです。${\displaystyle \textstyle (R,S)}$

同じ ID にメッセージが繰り返されると暗号文も繰り返されるため、メッセージが繰り返されないことに注意してください。メッセージが繰り返される可能性がある場合に備えて、プロトコルを拡張できます。

に暗号化されたメッセージを復号化するには、受信者は PKG の秘密鍵と公開値 を必要とします。復号化の手順は次のとおりです。 ${\displaystyle \textstyle ID_{U}}$${\displaystyle \textstyle K_{U}}$${\displaystyle \textstyle Z}$

1. 計算${\displaystyle \textstyle id=H_{1}(ID_{U})}$
2. 暗号化されたメッセージを受信します: 。${\displaystyle \textstyle (R,S)}$
3. コンピューティング:

   ${\displaystyle \textstyle w=e(R,K_{U})}$

4. メッセージを抽出します:

   ${\displaystyle \textstyle \mathbb {M} =S\oplus H_{2}(w)}$

5. メッセージを検証するには、 を計算し、次の場合にのみメッセージを受け入れます。 ${\displaystyle \textstyle r=H_{1}(\mathbb {M} ||id)}$

   ${\displaystyle \textstyle [r].([id].P+Z)\equiv R}$

次の式はアルゴリズムの正しさを示しています。

${\displaystyle \textstyle w=e(R,K_{U})=e([r].([id].P+Z),K_{U})=e([r].([id]. P+[z].P),K_{U})=e([r(id+z)].P,K_{U})}$

マップの双線型性質により:

${\displaystyle \textstyle w=e([r(id+z)].P,K_{U})=e([r(id+z)].P,[{\frac {1}{(id+ z)}}].P)=e(P,P)^{\frac {r(id+z)}{(id+z)}}=g^{r}}$

結果として：

${\displaystyle \textstyle S\oplus H_{2}(w)=(\mathbb {M} \oplus H_{2}(g^{r}))\oplus H_{2}(w)=\mathbb {M} }$

このプロトコルに関連する標準は 4 つあります。

• この方式の最初の標準化は2006年にIEEEによって開始されました。^[4]
• この方式は、2012 年に IETF によって RFC 6508 内で標準化されました。
• この方式に基づく鍵交換アルゴリズムは、英国の国家情報安全保障機関であるGCHQによって開発され、RFC 6509 で定義されているMIKEY -SAKKE プロトコルです。
• MIKEY-SAKKEで規定されているSakai-Kasaharaは、Secure Chorus暗号化Voice over IP標準の中核となる鍵交換アルゴリズムです。^[5]

他のアイデンティティベースの暗号化方式と同様に、Sakai-Kasaharaでは、すべてのユーザーの秘密鍵を生成できるマスターシークレットをキー管理サーバー（KMS）に保存する必要があります。Steven Murdochは、 MIKEY-SAKKEがKMSにすべてのユーザーの通信を復号化できるようにすることでセキュリティ上の脆弱性を生み出していると批判しました。^{[6] [7] [8] Murdochはまた、MIKEY-SAKKEに}前方秘匿性がないことにより、マスターシークレットが侵害されたときに発生する可能性のある損害が増加すると指摘しました。MIKEY-SAKKEの作成者であるGCHQはこの分析に異議を唱え、一部の組織は調査や規制上の理由でそのような監視機能を望ましいと考える可能性があることを指摘し、^[9] KMSはエアギャップで保護される必要があると述べました。^[10]

このスキームは、MIRACL 暗号化ライブラリの一部です。

• IDベースの暗号化
• wolfSSL  : MIKEY SAKKEと統合されたSSL/TLSライブラリ