JP2007020060A - 追跡機能を有する部分ブラインド署名方法及びシステム - Google Patents

Abstract

【課題】追跡機能を有するブラインド署名（ＦＢＳ）を部分ブラインド署名（ＰＢＳ）に拡張し、ＦＢＳのより柔軟な運用を可能とする。
【解決手段】ブラインド署名の発行及び検証手続きで用いる固定値の一部を署名装置と署名依頼装置の双方に入力されている情報Infoから一意的に生成することで、Infoを含み、かつ追跡機能を有する部分ブラインド署名に拡張する。また、Infoを用いて固定値の一部を構成するかわりに、事前に決定されたInfoを定数として署名発行及び署名検証で該Infoを利用するようにプロトコルを変更する。
【選択図】図１

Description

本発明は電子署名の応用技術であり、特にブラインド署名方式と呼ばれる、署名者に対して署名対象文書の秘匿を目的とする署名方式の機能拡張技術に関する。

署名依頼者のプライバシ保護および不正防止を両立させるための署名技術として、署名依頼者の追跡機能を有するブラインド署名方式が知られている（例えば非特許文献１）。これはＦair Ｂlind Ｓignature（ＦＢＳ）と呼ばれ、署名依頼者が署名者に対して署名依頼文書を伏せたまま署名付与してもらうことができる、ブラインド署名と呼ばれる技術の拡張であり、ある権限者（開示機関）だけは、ブラインド署名によって生成された特定の署名付き文書から署名依頼者を識別する、あるいは特定の署名依頼者に対応する署名付き文書を識別することが可能な技術である。また最近では、ＦＢＳのある種の安全性が証明された方式も提案されている（非特許文献２）。

さらに、署名者をＣＡ（Ｃertificate Ａithority）、署名依頼文書を署名公開鍵とし、署名依頼者はＣＡに対してＦＢＳを用いて該署名公開鍵を知られることなく鍵証明書を発行してもらうことで、ＣＡは開示機関と協力しない限りは、署名依頼者と署名公開鍵との対応関係を知ることができないような方式も提案されている（非特許文献３）。このような権限分散手法を用いることで、ユーザ（＝署名依頼者）からみたサービス提供者（＝ＣＡ、開示機関）に対する信頼性向上、およびサービス提供者の情報漏洩防止といった効果が期待できる。

Ｍ．Ｓtadler，Ｊ．Ｍ．Ｐiveteau，and Ｊ．Ｃamenisch，"Ｆair blind signatures，"ＥＵＲＯＣＲＹＰＴ ’95，ＬＮＣＳ ９２１，pp．２０９−２１９，Ｓpinger Ｖerlag，１９９５ Ｍ．Ａbe and Ｍ．Ｏhkubo，"Ｐrovably secure fair blind signatures with tight revocation，"ＡＳＩＡＣＲＹＯＴ ’０１，ＬＮＣＳ ２２４８，pp．５８３−６０１，Ｓpinger Ｖerlag，２００１ 千田、谷口、塩野入、金井 「代理アクセスを利用した匿名認証方式」 情報処理学会研究報告 Ｖol．２００５，Ｎo．３３，pp．２３５−２４０，２００５

上述のようなＦＢＳを鍵証明書の発行に応用した方式は、該鍵証明書に有効期限やユーザ属性等のオープンな情報を記述できることが望ましいと考えられる。例えばＩＴＵ（国際電気通信連合）が定めた鍵証明書の仕様であるＸ．５０９ｖ３の証明書フォーマットでは、バージョン情報や証明書番号、署名アルゴリズムといった情報が含まれる。以降、この種の鍵証明書に埋め込むオープンな情報をInfoと表記する。しかしながら、署名者、署名依頼者及び検証者に対してオープンな情報を署名依頼文書に埋め込み、かつ追跡機能を有するようなブラインド署名方式は、現在まで提案されていない。

本発明は、このような状況に鑑みてなされたもので、追跡機能を有するブラインド署名（ＦＢＳ）を部分ブラインド署名（ＰＢＳ；Ｐartially Ｂlind Ｓignature）に拡張し、署名者がＩnfoを鍵証明書にオープンな情報として記述することが可能な、追跡機能を有する部分ブラインド署名方法及びシステムを提供することにある。

部分ブラインド署名（ＰＢＳ）は、署名者に対して部分的に伏せた文書を署名依頼することが可能な技術である。これについては、例えば文献「Ｍ．Ａbe and Ｔ．Ｏkamato，“Ｐrovably secure partially blind signatures，“ＣＲＹＰＴＯ，‘００，ＬＮＣＳ １８８０，pp．２７１−２８６，Ｓpringer Ｖerlag，２０００」（以下、非特許文献４）に詳述されている。

本発明は、ＦＢＳをＰＢＳに拡張し、任意のブラインド署名で用いる群の元を、オープンな情報Ｉnfoを用いて生成する。例えば非特許文献４で提案されているＦＢＳでは、ｐ，ｑを素数とし、Ｈ_１（・）を任意のビット列から群Ｚ_ｐ ^＊に写すハッシュ関数とし、ｇ，ｈ，ｙをＺ_ｐ ^＊の元として、署名者はｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）を生成するが（‖はデータの連結を表す）、本発明では、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）とする、あるいはｇ，ｈ，ｙの何れかを同様の操作により生成することで、非特許文献４のＦＢＳをＰＢＳとできる。

また、本発明は、上記のようにInfoを含めて群の元を構成するのではなく、事前に決定されたInfoを定数として署名発行処理及び署名検証処理で該Infoを利用するようにプロトコルを変更することで、ＦＢＳをＰＢＳに拡張する。

本発明によれば、署名者などが指定したオープンな情報を含み、かつ追跡機能を有するようなブラインド署名を生成することができる。これにより、追跡機能を有するブラインド署名を応用した鍵証明書発行方式のより柔軟な運用が可能となる。

以下、本発明の実施の形態について図面を参照して詳述する。なお、本発明は追跡機能を有するブラインド署名（ＦＢＳ）を部分ブラインド署名（ＰＢＳ）に拡張するものであるが、高いセキュリティを有することが望ましいという理由から、以下の第１，２の実施の形態ともに、非特許文献２で提案された（ある種の安全性が保証された）ＦＢＳを元にＰＢＳへ拡張する例について説明する。但し、本発明の拡張は非特許文献２のＦＢＳに限ったものではなく、他のＦＢＳに容易に適用できることは言うまでもない。

［第１の実施の形態］
本実施の形態は、署名者が指定したオープンな情報Ｉnfoを含み、かつ追跡機能を有するようなブラインド署名を生成するもので、以下では、非特許文献２で提案されているＦＢＳに対して、非特許文献４で提案されているＰＢＳの技術を適用することでＰＢＳの機能を追加する方法について、図面を用いて説明する。

図１は本実施の形態のシステム構成を示す図であり、署名依頼装置１０、署名装置２０、検証装置３０、開示装置（管理装置）４０、及びこれら装置を結ぶネットワーク５０からなる。署名依頼装置１０には、パソコン、携帯端末、携帯電話、その他、利用者が操作する任意の機器（利用者端末装置）が含まれる。署名装置２０、検証装置３０、開示装置４０はサーバ装置であり、その具体的構成は所謂コンピュータシステムと同様である。

署名依頼装置１０、署名装置２０、検証装置３０開示装置４０では、ＦＢＳのシステムパラメータｐｒｍ＝（ｐ，ｑ，ｇ，ｈ）が生成、共有されているものとする。ここでｐ，ｑはｑ｜ｐ−１となる素数、ｇ，ｈは乗法群Ｚ_ｐ ^＊の位数ｑの部分群Ｇの元である。

＜鍵生成＞
署名装置２０は秘密鍵ｘを生成・保管し、公開鍵ｙ＝ｇ^ｘmodｐを計算する。また、開示装置４０は秘密鍵ｒｓｋ＝（ｘ_ｔ，ｄｋ）を生成・保管し、公開鍵ｒｐｋ＝（ｙ_ｔ＝ｇ^ｘｔmodｐ，ｅｋ）を計算する。ここで、ｘ_ｔはｑ以下のランダムな自然数、ｅｋ，ｄｋはそれぞれある検証可能暗号（ＶＥ；Ｖerifiable Ｅncryption）の公開鍵および秘密鍵である。なお、ＶＥの説明および具体例は非特許文献２に示されている。全ての装置１０〜４０がｙ，ｒｐｋを共有する。署名依頼装置１０はＲＳＡ署名やＳchnorr署名など、任意の署名方式の秘密鍵、公開鍵の組（Ｓｋ，ＰＫ）を作成する。図１に、ここまでの各装置１０〜４０が保持する情報を示す。

＜ブラインド署名＞
署名依頼装置１０は、署名装置２０にＰＫの鍵証明書生成を依頼する。鍵証明書生成の処理は非特許文献２のＦＢＳとほぼ等しいが、Ｇの元ｚの生成が異なる。非特許文献２ＦＢＳでは、以下のようにしてｚを生成している。
ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）
ここでＨ_１はＧに写す一方向性ハッシュ関数である。本実施の形態では、該ＦＢＳにＰＢＳの機能を追加するために、ｚを以下のようにして生成する。

ここでInfoは署名装置２０が指定したオープンな情報ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）である。なお、Infoの埋め込みについて、基本的には一意的に生成されない元であれば、上記同様の方法によりＺ以外の値に対してもInfoの埋め込みが可能である。

以上を踏まえ、署名依頼装置１０がＰＫの鍵証明書を取得する手順について説明する。図２に、本実施の形態における鍵証明書生成の詳細な処理フローを示す。
署名依頼装置１０は署名装置２０に鍵証明書の生成を依頼する（ステップ１０１）。署名装置２０は特定の文字列Infoを署名依頼装置１０に返す（ステップ１０２）。また、署名装置２０は署名依頼装置１０（または署名依頼者）を識別する情報（ＩＤ）を登録する（ステップ１０３）。

署名依頼装置１０では、以下の処理を行う。
（ａ）ｑ以下のランダムな自然数γをブラインド係数として選ぶ（ステップ１０４）。
（ｂ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info），ｚｕ＝ｚ^１/γ，ξ＝ｇ^γ，Ｅ＝ε_ｅｋ（γ），Ｐ＝Ρ（（ｚ_ｕ，ξ），γ，ｅｋ）を計算する（ステップ１０５）。ここで、εは検証可能暗号（ＶＥ）の暗号化関数であり、Ｅ＝ε_ｅｋ（γ）は該ＶＥの関数を用いて公開鍵ｅｋによりγを暗号化した暗号文である。ΡはＥに対応する平分（＝γ）が１／log_ｚｚ_ｕ（＝γ）およびlog_ｇξ（＝γ）と等しいことを署名装置２０に証明するための関数であり、Ｐは該証明のための述語（predicate）である。
（ｃ）（ｚ_ｕ，ξ，Ｅ，Ｐ）を署名装置２０に送信する（ステップ１０６）。

署名依頼装置１０から（ｚ_ｕ，ξ，Ｅ，Ｐ）を受信した署名装置２０は以下の処理を行う。
（ａ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）を計算し、（ｚ_ｕ，ξ，Ｅ，Ｐ）が正しい結果かどうか検証する（ステップ１０７）。検証ＯＫであれば次に進み、ＮＧであれば署名依頼装置１０の不正として処理を終了する。
（ｂ）ｑ以下のランダムな自然数ｖ，ｕ，ｓ_１，ｓ_２，ｄを選ぶ（ステップ１０８）。
（ｃ）ｚ_ｌ＝ｙ_ｔ ^ｖ，ｚ_２＝ｚ_ｕ／ｚ_ｌ，Ｐ_ｓ＝Ρ（ｚ_ｌ，ｙ_ｔ，ｖ），ａ＝ｇ^ｕ，ｂ_１＝ｇ^ｓ1ｚ_１ ^ｄ，ｂ_２＝ｈ^ｓ２ｚ_２ ^ｄを計算する（ステップ１０９）。ここで、Ｐ_ｓはlog_ｙｔｚ_１（＝ｖ）の値を知っていることを署名依頼装置１０に証明するための述語である。
（ｄ）（Ｐ_ｓ，ｚ_ｌ，ａ，ｂ_１，ｂ_２）を署名依頼装置に送信する（ステップ１１０）。
（ｅ）ξ^ｖを計算する（ステップ１１１）。
（ｆ）ＩＤとξ^ｖの対応を示す（ＩＤ，ξ^ｖ）の組を保存する（ステップ１１２）。

署名装置２０から（Ｐ_ｓ，ｚ_ｌ，ａ，ｂ_１，ｂ_２）を受信した署名依頼装置１０は以下の処理を行う。
（ａ）（ｚ_ｌ，ｂ_１，ｂ_２）がＧの元かどうか、および（ｚ_１，ｙ_ｔ，Ｐ_ｓ）が正しい結果かどうか検証する（ステップ１１３）。両方とも検証ＯＫであれば次に進み、どちらか一方でもＮＧであれば署名装置の不正として処理を終了する。
（ｂ）ｑ以下のランダムな自然数ｔ_１，ｔ_２，ｔ_３，ｔ_４，ｔ_５を選ぶ（ステップ１１４）。
（ｃ）ζ_１＝ｚ_１ ^γ，ζ_２＝ｚ／ζ_１，α＝ａｇ^t１ｙ^ｔ２，β_１＝ｂ_１ ^γｇ^ｔ３ζ_１ ^ｔ５，β_２＝ｂ_２ ^γｈ^ｔ４ζ_２ ^ｔ５，ε＝Ｈ_２（ζ_１‖α‖β_１‖β_２‖ＰＫ），ｅ＝ε−ｔ_２−ｔ_５を計算する（ステップ１１５）。ここでＨ_２は任意の文字列をｑ以下の自然数に写す一方向性ハッシュ関数とする。
（ｄ）ｅを署名装置２０に送信する（ステップ１１６）。

署名依頼装置１０からｅを受信した署名装置１０は以下の処理を行う。
（ａ）ｃ＝ｅ−ｄ，ｒ＝ｕ−ｃｘを計算する（ステップ１１７）。
（ｂ）（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を署名依頼装置１０に送信する（ステップ１１８）。

署名装置２０から（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を受信した署名依頼装置１０は以下の処理を行う。
（ａ）ρ＝ｒ＋ｔ_１，ω＝ｃ＋ｔ_２，σ_ｌ＝γｓ_１＋ｔ_３，σ_２＝γｓ_２＋ｔ_４，δ＝ｄ＋ｔ_５を計算する（ステップ１１９）。
（ｂ）ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2ζ_２ ^δ‖ＰＫ）が成り立つかどうか検証する（ステップ１２０）。検証ＯＫであれば次に進み、ＮＧであれば署名装置２０の不正として処理を終了する。
（ｃ）Σ＝（ζ_１，ρ，ω，σ_ｌ，σ_２，δ）をＰＫの証明書として出力する（ステップ１２１）。

＜署名検証＞
署名装置２０よりＰＫの証明書Σ＝（ζ_１，ρ，ω，σ_ｌ，σ_２，δ）を得た署名依頼装置１０は、（ＳＫ，ＰＫ）を用いてメッセージｍｓｇに対する署名Ｓを生成し、Ｔ＝（Ｓ，ＰＫ，Info，Σ）を鍵証明書を含んだ署名の組とする。

署名検証は、ＰＫの鍵証明書の正当性検証とメッセージｍｓｇの署名Ｓの正当性検証からなるとする。図３に、本実施の形態における署名検証の処理フローを示す。
署名依頼装置１０は、ｍｓｇ，Ｔを検証装置３０へ送信する（ステップ２０１）。ここで、Ｔ＝（Ｓ，ＰＫ，Info，Σ）であり、Σ＝（ζ_１，ρ，ω，σ_ｌ，σ_２，δ）である。

署名依頼装置１０から（ｍｓｇ，Ｔ）を受信した検証装置３０は以下の処理を行う。
（ａ）Infoが所定の条件を満たすものであるか確認する（ステップ２０２）。ＯＫであれば次に進み、ＮＧであれば処理を終了する。
（ｂ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）を計算する（ステップ２０３）。
（ｃ）ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2(ｚ／ζ_１ ^δ)‖ＰＫが成り立つかどうか検証する（ステップ２０４）。検証ＯＫであれば次に進み、ＮＧであれば署名装置２０の不正として処理を終了する。
（ｄ）ＰＫに対応する署名方式の検証アルゴリズムを用いて、Ｓがｍｓｇの正しい署名であるか検証する（ステップ２０５）。検証ＮＧであれば署名装置２０の不正とする。

上記処理において、ステップ２０２〜２０４はＰＫの鍵証明書の正当性検証であり、ステップ２０５はメッシセージｍｓｇの署名Ｓの正当性検証である。

＜署名追跡＞
これは、例えば、メッセージｍｓｇが不正なメッセージだとして、メッセージｍｓｇの署名Ｓの生成者を特定したい場合に実施する。図４に、本実施の形態における署名追跡の処理フローを示す。
１．検証装置３０は、ｍｓｇ，Ｔを開示装置４０、署名装置２０に送信する（ステップ３０１）。
２．開示装置４０および署名装置２０は検証装置３０と同様の検証処理（図３）を行い、検証ＯＫとなることを確認する（ステップ３０２）。もしＮＧであれば処理を終了する。

３．開示装置４０は以下の処理を行う。
（ａ）Ｉ＝ζ_１ ^1/ｘtを計算する（ステップ３０３）。
（ｂ）Ｉを署名装置２０に送信する（ステップ３０４）。

４．開示装置４０からＩを受信した署名装置２０は以下の処理を行う。
（ａ）保持してある（ＩＤ，ξ^ｖ）からＩ＝ξ^ｖとなるようなξ^ｖを見つける（ステップ３０５）。
（ｂ）該ξ^ｖに対応するＩＤから、ｍｓｇの署名Ｓを生成した署名依頼装置（または署名依頼者）を特定する（ステップ３０６）。ここでは署名依頼者とする。
（ｃ）特定した署名依頼者を開示装置４０に送信する（ステップ３０７）。
５．開示装置４０は署名装置２０から送られた署名依頼者を検証装置３０に送信する（ステップ３０８）。

これにより、開示装置２０及び署名装置４０が協力した場合に限り、メッセージｍｓｇの署名Ｓを生成した署名依頼装置（又は署名依頼者）を特定することができる。

［第２の実施の形態］
本実施の形態では、非特許文献２で提案されているＦＢＳに対して、署名装置と署名依頼装置が事前に合意して得られる共通情報Infoを、署名発行処理および署名検証処理で定数として用いる必要があるようにすることで、ＰＢＳの機能を追加する方法について説明する。

本実施の形態のシステム構成は、第１の実施の形態と同様であり、図１に示すように、署名依頼装置１０、署名装置２０、検証装置３０、開示装置４０、及びこれら装置を結ぶネットワークからなる。署名依頼装置１０、署名装置２０、検証装置３０、開示装置４０では、第１の実施の形態と同様に、ＦＢＳのシステムパラメータｐｒｍ＝（ｐ，ｑ，ｇ，ｈ）が生成、共有されているものとする。ここでｐ，ｑはｑ｜ｐ−１となる素数、ｇ，ｈは乗法群Ｚ_ｐ ^*の位数ｑの部分群Ｇの元である。

＜鍵生成＞
署名装置２０は秘密鍵ｘを生成・保管し、ｙ＝ｇ^ｘmodｐを計算する。開示装置４０は秘密鍵ｒｓｋ＝（ｘ_ｔ，ｄｋ）を生成・保管し、ｒｐｋ＝（ｙ_ｔ＝ｇ^ｘｔ（modｐ），ｅｋ）を計算する。ここでｘ_ｔはｑ以下のランダムな自然数、ｅｋ，ｄｋはそれぞれある検証可能暗号（ＶＥ；Ｖerifiable Ｅncryption）の公開鍵および秘密鍵である。全ての装置１０〜４０がｙ，ｒｐｋを共有する。署名依頼装置１０はＲＳＡ署名やＳchnorr署名など、任意の署名方式の秘密鍵、公開鍵の組（ＳＫ，ＰＫ）を作成する。ここまでは、第１の実施の形態と同じである。

＜ブラインド署名＞
署名依頼装置１０は、署名装置２０にＰＫの鍵証明書生成を依頼する。鍵証明書生成の処理は、第１の実施の形態と同様であるが、非特許文献２のＦＢＳの署名発行処理において、以下の変更を行えば良い。
ｚ_２＝ｚ_ｕ／ｚ_１ → ｚ_ｕ／ｚ_１ ^Info
ζ_２＝ｚ／ζ_１ → ｚ／ζ_１ ^Info
ω＋δ＝Ｈ（（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2(ｚ／ζ_１)^δ‖ｍｓｇ）
→ Ｈ（（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2(ｚ／ζ_１ ^info)^δ‖ｍｓｇ）

以下では、署名依頼装置１０がＰＫの鍵証明書を取得する手順を上記の変更を踏まえて説明する。処理フローは図２と同様であるので省略する。
署名依頼装置１０は署名装置２０に鍵証明書の生成を依頼する。署名装置２０は特定の文字列Infoを署名依頼装置１０に返す。ここで、Infoはｑ以下の自然数とする。また、署名装置２０は署名依頼装置１０（または署名依頼者）を識別する情報（ＩＤ）を登録する。

署名依頼装置１０は以下の処理を行う。
（ａ）ｑ以下のランダムな自然数γ(ブラインド係数)を選ぶ。
（ｂ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ），ｚ_ｕ＝ｚ^１/γ，ξ＝ｇ^γ，Ｅ＝ε_ｅｋ（γ），Ｐ＝ΡＰ（（ｚ_ｕ，ξ），γ，ｅｋ）を計算する。ここでεはＶＥの暗号化関数であり、特にＥ＝ε_ｅｋ（γ）は該ＶＥの関数を用いて公開鍵ｅｋによりγを暗号化した暗号文である。ΡはＥに対応する平文（＝γ）が１／log_ｚｚ_ｕ（＝γ）およびlog_ｇξ（＝γ）と等しいことを署名装置２０に証明するための関数であり、特にＰは該証明のための述語（predicate）である。

（ｃ）（ｚ_ｕ，ξ，Ｅ，Ｐ）を署名装置２０に送信する。

署名依頼装置１０から（ｚ_ｕ，ξ，Ｅ，Ｐ）を受信した署名装置２０は以下の処理を行う。
（ａ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）を計算し、（ｚ_ｕ，ξ，Ｅ，Ｐ）が正しい結果かどうか検証する。検証ＯＫであれば次に進み、ＮＧであれば署名依頼装置１０の不正として処理を終了する。
（ｂ）ｑ以下のランダムな自然数ｖ，ｕ，ｓ_１，ｓ_２，ｄを選ぶ。
（ｃ）ｚ_１＝ｙ_ｔ ^ｖ，ｚ_２＝ｚ_ｕ／ｚ_１ ^Info，Ｐ_ｓ＝Ρ（ｚ_１，ｙ_ｔ，ｖ），ａ＝ｇ^ｕ，ｂ_１＝ｇ^ｓ１ｚ_１ ^ｄ，ｂ_２＝ｈ^ｓ２ｚ_２ ^ｄを計算する。ここでＰはlog_ｙｔｚ_１（＝ｖ）の値を知っていることを署名依頼装置１０に証明するための述語である。
（ｄ）（Ｐ_ｓ，ｚ_１，ａ，ｂ_１，ｂ_２）を署名依頼装置１０に送信する。
（ｅ）ξ^ｖを計算する。
（ｆ）（ＩＤ，ξ^ｖ）の組を保存する。

署名装置２０から（Ｐ_ｓ，ｚ_１，ａ，ｂ_１，ｂ_２）を受信した署名依頼装置１０は以下の処理を行う。
（ａ）（ｚ_１，ｂ_１，ｂ_２）がＧの元かどうか、および（ｚ_１，ｙ_ｔ，Ｐ_ｓ）が正しい結果かどうか検証する。両方とも検証ＯＫであれば次に進み、どちらか一方でもＮＧであれば署名装置２０の不正として処理を終了する。
（ｂ）ｑ以下のランダムな自然数ｔ_１，ｔ_２，ｔ_３，ｔ_４，ｔ_５を選ぶ。
（ｃ）ζ_１＝ｚ_１ ^γ，ζ_２＝ｚ／ζ_１ ^Info，α＝ａｇ^ｔ1ｙ^ｔ2，β_１＝ｂ_１ ^γｇ^ｔ3ζ_１ ^ｔ5，β_２＝ｂ_２ ^γｈ^ｔ4ζ_２ ^ｔ5，ε＝（ζ_１‖α‖β_１‖β_２‖ＰＫ），ｅ＝ε−ｔ_２−ｔ_５を計算する。ここでＨ_２は任意の文字列をｑ以下の自然数に写す一方向性ハッシュ関数とする。
（ｄ）ｅを署名装置２０に送信する。

署名依頼装置１０からｅを受信した署名装置２０は以下の処理を行う。
（ａ）ｃ＝ｅ−ｄ，ｒ＝ｕ−ｃｘを計算する。
（ｂ）（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を署名依頼装置１０に送信する。

署名装置２０から（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を受信した署名依頼装置１０は以下の処理を行う。
（ａ）ρ＝ｒ＋ｔ_１，ω＝ｃ＋ｔ_２，σ_１＝γｓ_１＋ｔ_３，σ_２＝γｓ_２＋ｔ_４，δ＝ｄ＋ｔ_５を計算する。
（ｂ）ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2ζ_２ ^δ‖ＰＫ）が成り立つかどうか検証する。検証ＯＫであれば次に進み、ＮＧであれば署名装置２０の不正として処理を終了する。
（ｃ）Σ＝（ζ_１，ρ，ω，σ_１，σ_２，δ）をＰＫの証明書として出力する。

＜署名検証＞
本実施の形態における署名検証の処理フローを図５に示す。署名装置２０よりＰＫの証明書Σ＝（ζ_１，ρ，ω，σ_１，σ_２，δ）を得た署名依頼装置１０は、次に（ＳＫ，ＰＫ）を用いてメッセージｍｓｇに対する署名Ｓを生成し、Ｔ＝（Ｓ，ＰＫ，Info，Σ）を鍵証明書を含んだ署名の組とする。

署名依頼装置１０は、メッセージｍｓｇ，Ｔ＝（ｓ，ＰＫ，info，Σ）を検証装置３０に送信する（ステップ４０１）。

署名依頼装置１０から，ｍｓｇ，Ｔを受信した検証装置３０は、以下の処理を行う。
（ａ）Infoが所定の条件を満たすものであるか確認する（ステップ４０２）。ＯＫであれば次に進み、ＮＧであれば処理を終了する。
（ｂ）ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）を計算する（ステップ４０３）。
（ｃ）ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2（ｚ／ζ₁ ^Info）^δ‖ＰＫ）が成り立つかどうか検証する（ステップ４０４）。検証ＯＫであれば次に進み、ＮＧであれば署名装置２０の不正として処理を終了する。
（ｄ）ＰＫに対応する署名方式の検証アルゴリズムを用いて、Ｓがｍｓｇの正しい署名であるか検証する（ステップ４０５）。検証ＮＧであれば署名装置２０の不正とする。

上記処理において、ステップ４０２〜４０４はＰＫの鍵証明書の正当性検証であり、ステップ４０５はｍｓｇの署名Ｓの正当性検証である。

＜署名追跡＞
メッセージｍｓｇは不正なメッセージだとして、該ｍｓｇの署名Ｓの生成者を特定したい場合、検証装置３０は開示装置４０および署名装置２０にｍｓｇ，Ｔを送付にする。開示装置４０および署名装置２０はｍｓｇ，Ｔを入力して以下の処理を行う。

１．開示装置４０および署名装置２０は検証装置３０と同様の検証の処理（図５）を行い、検証ＯＫとなることを確認する。もしＮＧであれば処理を終了する。
２．開示装置４０は以下の処理を行う。
（ａ）Ｉ＝ζ_１ ^１／ｘｔを計算する。
（ｂ）Ｉを署名装置２０に送信する。
３．開示装置４０からＩを受信した署名装置２０は以下の処理を行う。
（ａ）（ＩＤ，ξ^ｖ）Ｉ＝ξ^ｖとなるようなξ^ｖを見つける。
（ｂ）該ξ^ｖに対応するＩＤから、メッセージｍｓｇの署名Ｓを生成した署名依頼装置（または署名依頼者）を特定する。

上記処理は図４と同様である。これにより、開示装置４０および署名装置３０が協力した場合に限り、メッセージｍｓｇの署名Ｓを生成した署名依頼装置（または署名依頼者）を特定することが出来る。

なお、図１で示したシステム構成における各装置の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、図２〜図５で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の実施の形態のシステム構成を示す図。 第１の実施の形態における鍵証明書生成の処理フロー図。 第１の実施の形態における署名検証の処理フロー図。 第１の実施の形態における署名追跡の処理フロー図。 第２の実施の形態における署名検証の処理フロー図。

符号の説明

１０ 署名依頼装置
２０ 署名装置
３０ 検証装置
４０ 開示装置
５０ ネットワーク

Claims (10)

1. 署名依頼装置、署名装置、検証装置および開示装置を備え、開示装置および署名装置が協力する場合に限り署名依頼装置あるいは署名依頼者を特定できる追跡機能を有するブラインド署名を部分ブラインド署名に拡張する方法であって、
   ブラインド署名の発行及び検証手続きで用いられる固定値の一部を、署名装置と署名依頼装置の双方に入力されている情報Infoを含めて一意的に生成することで、追跡機能を有するようなブラインド署名を部分ブラインド署名に拡張することを特徴とする追跡機能を有する部分ブラインド署名方法。
2. 請求項１記載の追跡機能を有する部分ブラインド署名方法において、
   Ｈ（・，・）を任意のビット列からある群の元に写す一方向性ハッシュ関数とし、ｚ＝Ｈ（Info，・）を生成することを特徴とする追跡機能を有する部分ブラインド署名方法。
3. 署名依頼装置、署名装置、検証装置および開示装置を備え、開示装置および署名装置が協力する場合に限り署名依頼装置あるいは署名依頼者を特定できる追跡機能を有するブラインド署名を部分ブラインド署名に拡張する方法であって、
   署名装置と署名依頼装置が事前に合意して得られる共通情報Infoを、署名発行処理および署名発行処理で定数として用いることで、追跡機能を有するようなブラインド署名を部分ブラインド署名に拡張することを特徴とする追跡機能を有する部分ブラインド署名方法。
4. 署名依頼装置、署名装置、検証装置および開示装置を備え、開示装置および署名装置が協力する場合に限り署名依頼装置あるいは署名依頼者を特定できる追跡機能を有するブラインド署名を部分ブラインド署名に拡張する方法であって、
   ｐ，ｑをｑ｜ｐ−１となる素数、ｇ，ｈを群Ｚ_ｐ ^＊の位数ｑの部分群Ｇの元とし、署名依頼装置、署名装置、検証装置および開示装置は、ブラインド署名のシステムパラメータｐｒｍ＝（ｐ，ｑ，ｇ，ｈ）を生成し、共存し、
   署名装置は、秘密鍵ｘを生成・保管し、公開鍵ｙ＝ｇ^ｘmodｐを計算し、開示装置は秘密鍵ｒｓｋ＝（ｘ_ｔ，ｄｋ）を生成・保管し、公開鍵ｒｐｋ＝（ｙ_ｔ＝ｇ^ｘｔmodｐ，ｅｋ）を計算し、署名依頼装置、署名装置、検証装置および開示装置の全てがｙ，ｒｐｋを共有し、
   署名依頼装置は署名のための秘密鍵、公開鍵の組（Ｓｋ，ＰＫ）を作成し、署名装置にＰＫの鍵証明書生成を依頼し、
   署名装置は、特定の文字列Infoを署名依頼装置に返し、署名依頼装置又は署名依頼者を識別する情報（ＩＤ）を登録し、
   署名依頼装置は、ｇ以下の自然数γをランダムに選び、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）（Ｈ_１はＧに写す一方向性ハッシュ関数）、ｚ_ｕ＝ｚ^１/γ，ξ＝ｇ^γ，Ｅ＝ε_ｅｋ（γ）（ε_ｅｋはｅｋでγを暗号化する関数），Ｐ＝Ρ（（ｚ_ｕ，ξ），γ，ｅｋ）（ΡはＥに対応する平分（＝γ）が１／log_ｚｚ_ｕ（＝γ）およびlog_ｇξ（＝γ）と等しいことを署名装置に証明するための関数）を計算し、（ｚ_ｕ，ξ，Ｅ，Ｐ）を署名装置に送信し、
   署名装置は、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）を計算して、（ｚ_ｕ，ξ，Ｅ，Ｐ）が正しいか検証し、検証成功の場合、ｑ以下の自然数ｖ，ｕ，ｓ_１，ｓ_２，ｄをランダムに選び、ｚ_ｌ＝ｙ_ｔ ^ｖ，ｚ_２＝ｚ_ｕ／ｚ_ｌ，Ｐ_ｓ＝Ρ（ｚ_ｌ，ｙ_ｔ，ｖ）（Ｐはlog_ｙｔｚ_１（＝ｖ）の値を知っていることを署名依頼装置に証明するための関数）、ａ＝ｇ^ｕ，ｂ_１＝ｇ^ｓ1ｚ_１ ^ｄ，ｂ_２＝ｈ^ｓ２ｚ_２ ^ｄ，ξ^ｖを計算し、（Ｐ_ｓ，ｚ_ｌ，ａ，ｂ_１，ｂ_２）を署名依頼装置に送信し、（ＩＤ，ξ^ｖ）を保存し、
   署名依頼装置は（ｚ_ｌ，ｂ_１，ｂ_２）がＧの元かどうか、（ｚ_１，ｙ_ｔ，Ｐ_ｓ）が正しいか検証し、両方検証成功の場合、ｑ以下の自然数ｔ_１，ｔ_２，ｔ_３，ｔ_４，ｔ_５をランダムに選び、ζ_１＝ｚ_１ ^γ，ζ_２＝ｚ／ζ_１，α＝ａｇ^t１ｙ^ｔ２，β_１＝ｂ_１ ^γｇ^ｔ３ζ_１ ^ｔ５，β_２＝ｂ_２ ^γｈ^ｔ４ζ_２ ^ｔ５，ε＝Ｈ_２（ζ_１‖α‖β_１‖β_２‖ＰＫ）（Ｈ_２は任意の文字列をｑ以下の自然数に写す一方向性ハッシュ関数）、ｅ＝ε−ｔ_２−ｔ_５を計算し、ｅを署名装置に送信し、
   署名装置は、ｃ＝ｅ−ｄ，ｒ＝ｕ−ｃｘを計算し、（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を署名依頼装置に送信し、
   署名依頼装置は、ρ＝ｒ＋ｔ_１，ω＝ｃ＋ｔ_２，σ_ｌ＝γｓ_１＋ｔ_３，σ_２＝γｓ_２＋ｔ_４，δ＝ｄ＋ｔ_５を計算し、ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2ζ_２ ^δ‖ＰＫ）が成り立つか検証し、検証成功の場合、Σ＝（ζ_１，ρ，ω，σ_ｌ，σ_２，δ）をＰＫの証明書として出力する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
5. 請求項４記載の追跡機能を有する部分ブラインド署名方法において、
   署名依頼装置は、（ＳＫ，ＰＫ）を用いてメッセージｍｓｇに対する署名Ｓを生成し、Ｔ＝（Ｓ，ＰＫ，Info，Σ）を鍵証明書を含んだ署名の組とし、ｍｓｇ，Ｔを出力し、
   検証装置は、ｍｓｇ，Ｔを入力として、Infoが所定の条件を満たすか確認し、満たす場合、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ‖Info）を計算し、ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2(ｚ／ζ_１)^δ‖ＰＫが成り立つか検証し、検証成功の場合、Ｓがｍｓｇの正しい署名であるか検証する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
6. 請求項５記載の追跡機能を有する部分ブラインド署名方法において、
   開示装置および署名装置はｍｓｇ，Ｔを入力し、
   開示装置は、Ｉ＝ζ_１ ^1/ｘtを計算し、Ｉを署名装置に送信し、
   署名装置は、（ＩＤ，ξ^ｖ）の組からＩ＝ξ^ｖとなるようなξ^ｖを見つけ、該ξ^ｖに対応するＩＤから、ｍｓｇの署名Ｓを生成した署名依頼装置または署名依頼者を特定する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
7. 署名依頼装置、署名装置、検証装置および開示装置を備え、開示装置および署名装置が協力する場合に限り署名依頼装置あるいは署名依頼者を特定できる追跡機能を有するブラインド署名を部分ブラインド署名に拡張する方法であって、
   ｐ，ｑをｑ｜ｐ−１となる素数、ｇ，ｈを群Ｚ_ｐ ^＊の位数ｑの部分群Ｇの元とし、署名依頼装置、署名装置、検証装置および開示装置は、ブラインド署名のシステムパラメータｐｒｍ＝（ｐ，ｑ，ｇ，ｈ）を生成し、共存し、
   署名装置は、秘密鍵ｘを生成・保管し、公開鍵ｙ＝ｇ^ｘmodｐを計算し、開示装置は秘密鍵ｒｓｋ＝（ｘ_ｔ，ｄｋ）を生成・保管し、公開鍵ｒｐｋ＝（ｙ_ｔ＝ｇ^ｘｔmodｐ，ｅｋ）を計算し、署名依頼装置、署名装置、検証装置および開示装置の全てがｙ，ｒｐｋを共有し、
   署名依頼装置は署名のための秘密鍵、公開鍵の組（Ｓｋ，ＰＫ）を作成し、署名装置にＰＫの鍵証明書生成を依頼し、
   署名装置は、特定の文字列Info（Infoはｇ以下の自然数）を署名依頼装置に返し、署名依頼装置又は署名依頼者を識別する情報（ＩＤ）を登録し、
   署名依頼装置は、ｇ以下の自然数γをランダムに選び、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）（Ｈ_１はＧに写す一方向性ハッシュ関数）、ｚ_ｕ＝ｚ^１/γ，ξ＝ｇ^γ，Ｅ＝ε_ｅｋ（γ）（ε_ｅｋはｅｋでγを暗号化する関数），Ｐ＝Ρ（（ｚ_ｕ，ξ），γ，ｅｋ）（ΡはＥに対応する平分（＝γ）が１／log_ｚｚ_ｕ（＝γ）およびlog_ｇξ（＝γ）と等しいことを署名装置に証明するための関数）を計算し、（ｚ_ｕ，ξ，Ｅ，Ｐ）を署名装置に送信し、
   署名装置は、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）を計算して、（ｚ_ｕ，ξ，Ｅ，Ｐ）が正しい結果か検証し、検証成功の場合、ｑ以下の自然数ｖ，ｕ，ｓ_１，ｓ_２，ｄをランダムに選び、ｚ_ｌ＝ｙ_ｔ ^ｖ，ｚ_２＝ｚ_ｕ／ｚ_ｌ ^Info，Ｐ_ｓ＝Ρ（ｚ_ｌ，ｙ_ｔ，ｖ）（Ｐはlog_ｙｔｚ_１（＝ｖ）の値を知っていることを署名依頼装置に証明するための関数）、ａ＝ｇ^ｕ，ｂ_１＝ｇ^ｓ1ｚ_１ ^ｄ，ｂ_２＝ｈ^ｓ２ｚ_２ ^ｄ，ξ^ｖを計算し、（Ｐ_ｓ，ｚ_ｌ，ａ，ｂ_１，ｂ_２）を署名依頼装置に送信し、（ＩＤ，ξ^ｖ）を保存し、
   署名依頼装置は（ｚ_ｌ，ｂ_１，ｂ_２）がＧの元かどうか、（ｚ_１，ｙ_ｔ，Ｐ_ｓ）が正しいか検証し、両方検証成功の場合、ｑ以下の自然数ｔ_１，ｔ_２，ｔ_３，ｔ_４，ｔ_５をランダムに選び、ζ_１＝ｚ_１ ^γ，ζ_２＝ｚ／ζ_１ ^Info，α＝ａｇ^t１ｙ^ｔ２，β_１＝ｂ_１ ^γｇ^ｔ３ζ_１ ^ｔ５，β_２＝ｂ_２ ^γｈ^ｔ４ζ_２ ^ｔ５，ε＝Ｈ_２（ζ_１‖α‖β_１‖β_２‖ＰＫ）（Ｈ_２は任意の文字列をｑ以下の自然数に写す一方向性ハッシュ関数）、ｅ＝ε−ｔ_２−ｔ_５を計算し、ｅを署名装置に送信し、
   署名装置は、ｃ＝ｅ−ｄ，ｒ＝ｕ−ｃｘを計算し、（ｒ，ｃ，ｓ_１，ｓ_２，ｄ）を署名依頼装置に送信し、
   署名依頼装置は、ρ＝ｒ＋ｔ_１，ω＝ｃ＋ｔ_２，σ_ｌ＝γｓ_１＋ｔ_３，σ_２＝γｓ_２＋ｔ_４，δ＝ｄ＋ｔ_５を計算し、ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2ζ_２ ^δ‖ＰＫ）が成り立つか検証し、検証成功の場合、Σ＝（ζ_１，ρ，ω，σ_ｌ，σ_２，δ）をＰＫの証明書として出力する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
8. 請求項７記載の追跡機能を有する部分ブラインド署名方法において、
   署名依頼装置は、（ＳＫ，ＰＫ）を用いてメッセージｍｓｇに対する署名Ｓを生成し、Ｔ＝（Ｓ，ＰＫ，Info，Σ）を鍵証明書を含んだ署名の組とし、ｍｓｇ，Ｔを出力し、
   検証装置は、ｍｓｇ，Ｔを入力として、Infoが所定の条件を満たすか確認し、満たす場合、ｚ＝Ｈ_１（ｐ‖ｑ‖ｇ‖ｈ‖ｙ）を計算し、ω＋δ＝Ｈ_２（ζ_１‖ｇ^ρｙ^ω‖ｇ^σ1ζ_１ ^δ‖ｈ^σ2(ｚ／ζ_１ ^Info)^δ‖ＰＫが成り立つか検証し、検証成功の場合、Ｓがｍｓｇの正しい署名であるか検証する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
9. 請求項８記載の追跡機能を有する部分ブラインド署名方法において、
   開示装置および署名装置はｍｓｇ，Ｔを入力し、
   開示装置は、Ｉ＝ζ_１ ^1/ｘtを計算し、Ｉを署名装置に送信し、
   署名装置は、（ＩＤ，ξ^ｖの組からＩ＝ξ^ｖとなるようなξ^ｖを見つけ、該ξ^ｖに対応するＩＤから、ｍｓｇの署名Ｓを生成した署名依頼装置または署名依頼者を特定する、
   ことを特徴とする追跡機能を有する部分ブラインド署名方法。
10. 署名依頼装置、署名装置、検証装置および開示装置を備え、請求項４乃至９のいずれか１項に記載の追跡機能を有する部分ブラインド署名方法を実施することを特徴とす部分ブラインド署名システム。

Images