JP3334013B2

JP3334013B2 - Electronic cash distribution method

Info

Publication number: JP3334013B2
Application number: JP9339094A
Authority: JP
Inventors: 龍明岡本
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1994-05-02
Filing date: 1994-05-02
Publication date: 2002-10-15
Anticipated expiration: 2017-10-15
Also published as: JPH07302288A

Description

DETAILED DESCRIPTION OF THE INVENTION

【０００１】[0001]

【産業上の利用分野】本発明は、電子現金流通方法に係
り、特に、電子通信システムで電子的な現金を電子紙幣
として、これにより、電子現金支払い、電子現金発行等
を行うことが可能な電子現金流通方法に関する。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to an electronic cash distribution method , and more particularly to an electronic communication system in which electronic cash is used as electronic bills, thereby enabling electronic cash payment, electronic cash issuance, and the like. It relates to an electronic cash distribution method .

【０００２】[0002]

【従来の技術】電気通信システムを用いた電子資金移動
が普及しつつある。一般に換金可能な証書（手形、小切
手等）は、証書の象徴的機能（証書を保持している人に
対して証書に記載してある権利が供与させること）を備
えている。証書を電気通信システムで取り扱う場合に
は、証書の内容をディジタル化したデータとして取り扱
う。また、電子的現金としては、プリペイドカードやク
レジットカードがある。2. Description of the Related Art Electronic funds transfer using telecommunications systems is becoming widespread. Generally, redeemable certificates (bills, checks, etc.) have the symbolic function of the certificate (letting the person holding the certificate be granted the rights described in the certificate). When a certificate is handled in a telecommunications system, the contents of the certificate are handled as digitized data. Electronic cash includes a prepaid card and a credit card.

【０００３】計算機能を備えたカードで換金時にカード
読み取り装置とカードとの間のデータのやりとりを工夫
することで、プライバシを保証し、かつカードの２重使
用を検出する方式が提案されている。例えば、Chaum, F
iat, Naor:'Untraceable Electric Cash', Proc. of CR
YPTO'88 がある。A method has been proposed in which a card having a calculation function is devised to exchange data between the card reader and the card at the time of cashing, thereby guaranteeing privacy and detecting double use of the card. . For example, Chaum, F
iat, Naor: 'Untraceable Electric Cash', Proc. of CR
There is YPTO'88.

【０００４】[0004]

【発明が解決しようとする課題】しかしながら、上記の
証書は、ディジタル化されたデータであり、容易にコピ
ーを作成して複数回の換金が可能となる。同様にプリペ
ードカードのような電子的現金を実現するときにも、こ
の問題が生じる。即ち、プリペードカードをコピーする
ことで、不正に複数回の換金あるいは、商品の購入が可
能となる。一方、クレジットカードでは、このような２
重使用の危険性はほとんどないが、その代わりに、利用
者の利用履歴がすべてカード会社に知られてしまうとい
う欠点がある（つまり、プライバシが保証されていな
い）。However, the above-mentioned certificate is digitized data, and a copy can be easily made and redeemed a plurality of times. Similarly, this problem arises when realizing electronic cash such as a prepaid card. In other words, by copying the prepaid card, it becomes possible to illegally redeem the cash or purchase the product a plurality of times. On the other hand, with credit cards,
There is little danger of heavy use, but instead there is the disadvantage that all of the user's usage history is known to the card company (that is, privacy is not guaranteed).

【０００５】また、Chaum 等の方式では、１回発行され
た電子現金を分割して利用する（例えば、１万円の電子
現金を合計利用額が１万円になるまで何回も利用する）
ことはできない。In the method of Chaum et al., Electronic cash issued once is divided and used (for example, electronic cash of 10,000 yen is used many times until the total usage amount becomes 10,000 yen).
It is not possible.

【０００６】本発明は、上記の点に鑑みなされたもの
で、従来の方式の問題点を解決し、プライバシを保証
し、いかなる結託による不正使用をも防ぐ電子現金方式
において、一回発行された電子現金を発行時に決められ
た額になるまで何回も分割して利用できるような電子現
金流通方法を提供することを目的とする。The present invention has been made in view of the above points, and has been issued once in an electronic cash system which solves the problems of the conventional system, guarantees privacy, and prevents unauthorized use by any collusion. It is an object of the present invention to provide an electronic cash distribution method in which electronic cash can be divided and used many times until it reaches an amount determined at the time of issuance.

【０００７】[0007]

【課題を解決するための手段】図１は、本発明の原理を
説明するための図（その１）である。FIG. 1 is a diagram (part 1) for explaining the principle of the present invention.

【０００８】[0008]

【０００９】本発明は、電子現金を発行する機関の装置
（以下、銀行側装置）と、該電子現金を発行される者の
装置（以下、利用者装置）及び利用者より電子現金を受
領する機関の装置（以下、小売店側装置）より構成され
る電子現金システムにおける電子現金流通方法におい
て、利用者装置は、秘密情報ｕをランダムに生成し、該
秘密情報ｕよりｐ（素数）を法とする剰余演算を用いて
計算した結果Ｉと該結果Ｉに対する利用者の署名情報を
銀行側装置に送信し、銀行側装置は、結果Ｉより剰余演
算結果ｍを算出し、該銀行装置自身の秘密情報ｘを用い
て該剰余演算結果ｍに対する銀行の署名ｍ ^x mod ｐを求
め、該署名ｍ ^x mod ｐの正当性を証明するための情報と
共に、利用者装置に送信し、利用者装置は、剰余演算結
果ｍを銀行側装置には隠匿しておくデータｍ’に変形
し、最終的に該データｍ’の値を該銀行側装置に秘密に
したまま、該データｍ’に対する銀行側の署名ｍ’ ^x mo
d ｐをその正当性を保証する情報と共に取得し、該デー
タｍ’と該データｍ’に対する銀行側署名の対を利用許
可証とし、利用者が、ある金額の電子現金を銀行より引
き出す場合には、利用者装置は、金額に相当する階層を
持つ木構造の全ノード個々に対応する各々の値（ｔ−
値）を計算し、木構造の最上位のノードより認証用情報
を生成して銀行側装置に送信し、銀行側装置は、認証用
情報より引出し金額に対応するブラインド署名を作成し
て、利用者装置に送信し、利用者装置は、銀行側装置か
ら受信したブラインド署名から木構造認証用情報Ｔと利
用許可証に対する銀行の署名を計算して、該木構造認証
用情報Ｔ及び利用許可証と引出し金額に対応する銀行署
名の対である電子現金を取得する。 [0009] The present invention relates to a device of an institution that issues electronic cash.
(Hereinafter referred to as a bank-side device) and the person who is issued the electronic cash.
Device (hereinafter, user device) and electronic cash
Equipment (hereinafter referred to as retail equipment)
Of Electronic Cash Distribution Method in Electronic Cash System
Thus, the user device randomly generates the secret information u,
Using remainder operation modulo p (prime number) from secret information u
The calculated result I and the user's signature information for the result I are
The result is transmitted to the bank-side device , and the bank-side device transmits the remainder
Calculation result m, and using the secret information x of the bank device itself.
To obtain the bank signature m ^x mod p for the remainder operation result m
Information for certifying the validity of the signature m ^x mod p
Are transmitted to the user device, and the user device
The result m is transformed into data m 'which is kept hidden in the bank device.
Finally, the value of the data m ′ is secretly stored in the bank device.
The bank's signature m ' ^x mo for the data m'
dp together with information that guarantees its validity,
Use a pair of data m 'and a bank signature for the data m'
The user will withdraw a certain amount of electronic cash from the bank
When the user device starts, the user device
Each value (t−t) corresponding to each node of the tree structure
Value) and calculate the authentication information from the highest node in the tree structure.
Is generated and transmitted to the bank-side device.
Create a blind signature corresponding to the withdrawal amount from the information
And send it to the user device.
The tree structure authentication information T and the
Calculating the bank's signature for the license
Banking office corresponding to the information T and the license and withdrawal amount
Get the electronic cash that is the name pair.

【００１０】また、本発明は、電子現金の発行を受けた
利用者が、小売店で該電子現金を使用する際に、利用者
装置において、発行金額以内の利用額を定めた後、発行
された該電子現金に対応した木構造のノード中の利用金
額に対応するノードＡを定め、該利用者は、該電子現金
を提示し、利用者装置は、ノードＡの兄弟ノード並び
に、該ノードＡの先祖ノードの兄弟ノードのそれぞれに
対応する値ｔ−値から剰余演算及び一方向性関数演算に
より求められる値を小売店側装置に送信し、小売店側装
置は、送信された値から木構造認証用Ｔを求め、利用者
装置に質問情報αを送信し、利用者装置は、小売店側装
置からの質問情報αに対応した応答文を自分の秘密情報
ｕから計算し、該小売店側装置に送信し、小売店側装置
は、利用者装置からの応答文の正当性を確認し、正しけ
れば、利用金額の電子現金による支払を認める。 [0010] Further, according to the present invention , an electronic cash is issued.
When the user uses the electronic cash at a retail store,
Issuing after setting the usage amount within the issue amount on the device
Money in a tree-structured node corresponding to the given electronic cash
A node A corresponding to the amount is determined, and the user
Is displayed, and the user device displays a sibling node list of the node A.
To each of the sibling nodes of the ancestor node of the node A
From the corresponding value t-value to the remainder operation and one-way function operation
The value obtained from the request is sent to the retail store device,
Calculates the tree structure authentication T from the transmitted value,
The question information α is sent to the device , and the user device
The response sentence corresponding to the question information α from the
u, and sends the calculated value to the retail store device.
Confirms the correctness of the response sentence from the user device,
If accepted, payment by electronic cash for the usage amount is permitted.

【００１１】また、本発明は、電子現金の発行を受けた
利用者装置より、小売店側装置が受領した電子現金を銀
行で決済する際に、後日、小売店側装置は決済のために
銀行側装置に利用者装置と該小売店側装置間の相互通信
文を送信し、銀行側装置は、相互通信文の正当性を検証
して、合格の時には、該相互通信文をメモリに記憶し、
電子現金が不正に使用されると、利用許可証を生成する
時に用いた利用者の秘密情報を算出する。 [0011] Further, the present invention provides a method for receiving electronic cash.
Electronic cash received by the retailer device from the user device
At the time of settlement in the line , the retailer side device will be
Mutual communication between the user device and the retailer device at the bank device
Sends the sentence, and the bank device verifies the validity of the intercommunication sentence
Then, when the result is passed, the mutual communication is stored in the memory,
Generate a license when electronic cash is used fraudulently
The secret information of the user used at the time is calculated.

【００１２】また、本発明は、利用者装置において、秘
密情報ｕをランダムに生成し、該秘密情報ｕより合成数
ｎを法とする剰余演算を用いて計算した結果Ｉと該結果
Ｉに対する利用者の署名情報を銀行側装置に送信し、銀
行側装置は、結果ＩよりＩ’を算出し、該銀行装置自身
の秘密情報ｄを用いて、銀行署名ｚ＝（Ｉ’） ^d mod ｎ
を求め、利用者装置に送信し、利用者装置は、Ｉ’を
該Ｉ’のブラインド値ｍに変更すると共に、該ブライン
ド値ｍを銀行に秘密にしたまま、該ブラインド値ｍに対
する該銀行の署名ｗを該銀行署名ｚから取得し、該ブラ
インド値ｍと該銀行署名ｗの組（ｍ，ｗ）を利用許可証
とし、利用者がある金額の電子現金を銀行から引き出す
場合に、利用者装置は、金額に相当する階層を持つ木構
造の全ノード個々に対応する値（ｔ−値）を計算し、そ
の最上位のノードのｔ−値から素数ｐを法とする剰余演
算により木構造認証用情報Ｔを求め、該木構造認証用情
報Ｔに対して、該利用許可証と秘密の乱数により認証用
情報を生成して、銀行側装置に送信し、銀行側装置は、
認証用情報により、引出し金額に相当するブラインド署
名を作成し、利用者装置に送信し、利用者装置は、銀行
側装置から受信したブラインド署名から木構造認証用情
報Ｔと利用許可証に対する銀行の署名を計算して、該木
構造認証用情報Ｔと該利用許可証と、引出し金額に対応
する銀行署名の対を、電子現金として受け取る。 [0012] The present invention also provides a user device that has a secret
The secret information u is randomly generated, and the composite number is calculated from the secret information u.
the result I and the result calculated using the remainder operation modulo n
Sends the signature information of the user to the I to the bank-side device, silver
The bank device calculates I ′ from the result I, and the bank device itself
Using the secret information d of the bank signature z = (I ′) ^d mod n
Is transmitted to the user device, and the user device transmits I ′
The blind value m of the I ′ is changed to
With the blind value m kept secret to the bank,
To obtain the signature w of the bank from the bank signature z.
The license of the pair (m, w) of the Indian value m and the bank signature w
And the user withdraws a certain amount of electronic cash from the bank
In this case, the user device has a tree structure having a hierarchy corresponding to the amount of money.
Calculate the value (t-value) corresponding to each node of the structure
Remainder modulo the prime number p from the t-value of the highest node of
The tree structure authentication information T is obtained by calculation, and the tree structure authentication information is obtained.
The information T is used for authentication using the license and a secret random number.
Generates information and sends it to the bank device , where the bank device
Blind station equivalent to the withdrawal amount based on the authentication information
Creates a name and sends it to the user device.
Tree authentication information from the blind signature received from the local device.
Calculate the signature of the bank for the report T and the license
Corresponding to the structure authentication information T, the license and the withdrawal amount
You receive a pair of bank signatures as electronic cash.

【００１３】また、本発明は、電子現金の発行を受けた
利用者が、小売店で該電子現金を使用する際には、発行
金額以内の利用額を定めた後に、発行された電子現金に
対応した木構造のノード中の利用金額に対応するノード
を定め、利用者装置は、電子現金を提示すると共に、該
当ノードＡに対応する値のｔ−値からｎを法とする剰余
演算により該当ノードＡの値βを計算し、該βを小売店
側装置に送信すると共に、該ノードＡ、並びに該ノード
Ａの先祖ノードの兄弟ノードのそれぞれに対応する値
（ｔ−値）から剰余演算及び一方向関数演算により求め
られる値を該小売店側装置に送信し、小売店側装置は、
送付された値から木構造認証用情報Ｔを求め、利用者装
置に質問情報αを送り、利用者装置は、小売店側装置か
らの質問情報αに対応した応答文を自分の秘密情報ｕか
ら計算し、該小売店側装置に送信し、小売店側装置は、
応答文の正当性を確認し、該応答文が正しければ該当利
用金額の電子現金による支払を認める。 [0013] Further, the present invention provides a method for receiving electronic cash.
When the user uses the electronic cash at a retail store, it is issued
After deciding the amount of use within the amount, the issued electronic cash
The node corresponding to the usage amount in the node of the corresponding tree structure
And the user device presents the electronic cash and
The remainder modulo n from the t-value of the value corresponding to this node A
Calculate the value β of the corresponding node A by calculation, and calculate the value β at the retail store.
The node A and the node A
A value corresponding to each of the sibling nodes of A's ancestor node
From (t-value) by remainder operation and one-way function operation
To the retail store device , and the retail store device
The tree structure authentication information T is obtained from the transmitted value,
Is sent to the user, and the user device is
The response sentence corresponding to their question information α
And sends it to the retail store device , where the retail store device:
Check the validity of the response statement, and if the response statement is correct,
We accept payment in electronic cash for the payment.

【００１４】また、本発明は、電子現金の発行を受けた
利用者より小売店が受領した電子現金を銀行で決済する
際に、後日、小売店側装置は、決済のための銀行側装置
に、利用者装置と該小売店側装置との間の相互通信文を
送信し、銀行側装置は、相互通信文の正当性を検査し
て、合格のときは、該相互通信文をメモリに記憶し、電
子現金が不正に使用されると、利用許可証を生成する時
に用いた秘密情報を算出する。 [0014] Further, the present invention provides a method for receiving electronic cash.
Settle the electronic cash received by the retailer from the user at the bank
In the meantime, at a later date, the retail store side device will
In the meantime, the communication message between the user device and the retail device is exchanged.
Sending, the bank device checks the validity of the intercommunication message
Te, when the pass, storing the intercommunication statement in memory, electrostatic
When generating a license when child cash is used illegally
Calculate the secret information used for

【００１５】[0015]

【作用】本発明は、電子現金の構造に対応した階層構成
のテーブル（木構造）を構成し、電子現金利用時には、
このテーブルの構造に対応させる形で、一定の額面金額
内の現金を何回かに分割して使用する。According to the present invention, a hierarchically structured table (tree structure) corresponding to the structure of electronic cash is constructed.
In accordance with the structure of this table, cash within a certain denomination is divided and used several times.

【００１６】また、上記の利用形態における不正使用を
検出するため、離散対数問題の人称方式を用いて、不正
使用が行われると離散対数問題における秘密情報を求め
ることができ、それにより不正利用者のＩＤが露見す
る。Further, in order to detect unauthorized use in the above-mentioned usage form, it is possible to obtain confidential information in the discrete logarithm problem when unauthorized use is performed by using a person system of the discrete logarithmic problem, thereby enabling the unauthorized user ID is revealed.

【００１７】さらに、本発明は、上記の利用形態におけ
る不正使用を検出するため、素因数分解に関連する問題
の認証方式を用いて、不正使用が行われると素因数分解
に関連する問題における秘密情報を求めることができ、
それにより不正利用者のＩＤが露見する。Further, the present invention uses an authentication method for a problem related to prime factorization in order to detect unauthorized use in the above-mentioned usage form, and to detect secret information in a problem related to prime factorization when unauthorized use is performed. Can be sought,
This reveals the ID of the unauthorized user.

【００１８】[0018]

【実施例】以下、図面と共に本発明の実施例を詳細に説
明する。Embodiments of the present invention will be described below in detail with reference to the drawings.

【００１９】図２は、本発明の一実施例のシステム構成
図を示す。同図に示すシステムは、銀行装置（以下、銀
行と記す）１００、利用者装置（以下、利用者と記す）
２００、小売店装置（以下、小売店と記す）３００から
構成され、通信回線４００で接続されている。銀行１０
０は、利用者２００に対して利用許可証と電子紙幣から
なる電子現金を発行する。利用者２００は、銀行１００
から発行された電子現金を小売店３００に対する支払い
に使用する。小売店３００は、利用者が使用した金額を
銀行１００に請求し、銀行１００にて決済する。FIG. 2 shows a system configuration diagram of an embodiment of the present invention. The system shown in the figure, the bank device (hereinafter, silver
100), user device (hereinafter referred to as user)
200, a retail store device (hereinafter referred to as a retail store) 300, which is connected by a communication line 400. Bank 10
0 is for user 200 from license and electronic bill
Issue electronic cash . The user 200 is the bank 100
It used to pay for a pair in a retail store 300 issued the electronic cash from. The retail store 300 requests the amount of money used by the user from the bank 100 and makes a payment at the bank 100.

【００２０】［第１の実施例］まず、本発明の第１の実
施例を説明する。本実施例は、不正使用を検出するため
に、離散対数問題の認証方式を用いて、不正者の秘密情
報を取得する例である。[First Embodiment] First, a first embodiment of the present invention will be described. The present embodiment is an example in which in order to detect unauthorized use, secret information of an unauthorized person is acquired by using an authentication method of a discrete logarithm problem.

【００２１】（１）利用許可証の発行処理まず、銀行１００で口座を新たに開設した利用者２００
が、利用許可証を銀行より発行してもらう場合について
説明する。利用許可証は、変更となる事項が少なく利用
者のマスタファイルのイメージで用いられ、電子現金
は、トランザクションのイメージで扱われ、例えば、現
金引き出し処理等に対応する。(1) Processing for issuing a license First, a user 200 who newly opened an account at the bank 100
However, a case in which a usage certificate is issued from a bank will be described. The usage certificate is used in the image of the master file of the user with few items to be changed, and the electronic cash is handled in the image of the transaction, and corresponds to, for example, cash withdrawal processing.

【００２２】ここで、ＩＤ_Pは利用者の識別情報とす
る。銀行１００は、利用許可証に対応する情報として、
ディジタル署名で用いる秘密鍵ｘ及び公開鍵ｈの対を作
成しておき、ｈ（公開鍵），ｐ，ｑ（素数）、ｇ（位数
をｑ（素数）とする（ｐ−１）以下の正整数）を公開し
ておく。但し、公開鍵ｈ＝ｇ^xmod ｐとする。また、素
数ｑは（ｐ−１）とする。また、銀行１００は、位数を
ｑとするｐ−１以下の正の整数ｇ₁，ｇ₂を公開する。Here, ID _P is identification information of the user. The bank 100 stores information corresponding to the license as follows:
A pair of a secret key x and a public key h used in a digital signature is created, and h (public key), p, q (prime), g (order is q (prime)) and (p-1) (Positive integer). However, the public key is assumed to be h = g ^x mod p. The prime q is (p-1). Further, the bank 100 publishes positive integers g ₁ and g ₂ equal to or smaller than p−1 with the order being q.

【００２３】一方、利用者２００は、ディジタル署名で
用いる秘密鍵及び公開鍵の対を作成しておき、公開鍵を
ＩＤ_Pと対にして公開しておく。[0023] On the other hand, the user 200, leave to create a pair of secret key and a public key to be used in the digital signature, made public by the public key to the ID _P and the pair.

【００２４】図３は、本発明の第１の実施例の利用許可
証の発行処理を行う場合の銀行及び利用者の構成を示
す。同図において、銀行１００は、乱数ｗを生成する乱
数発生器１０１、及び２つの剰余演算器１０２₁、１０
２₂より構成される。利用者２００は、２つの乱数発生
器２０１₁、２０１₂と、４つの剰余演算器２０２₁、
２０２₂、２０２₃、２０２₄、署名作成器２０３と一
方向性関数演算器２０４より構成される。FIG. 3 shows a configuration of a bank and a user when a process of issuing a usage certificate according to the first embodiment of the present invention is performed. In the figure, a bank 100 includes a random number generator 101 for generating a random number w, and two remainder arithmetic units 102 ₁ , 10 2
Composed of 2 _2. The user 200 has two random number generators 201 ₁ , 2012 ₂ and four remainder arithmetic units 202 ₁ ,
202 ₂ , 202 ₃ , 202 ₄ , a signature generator 203 and a one-way function calculator 204.

【００２５】利用者２００の第１の乱数発生器２０１₁
は乱数ｕを生成する。第１の剰余演算器２０２は、乱数
ｕと正整数ｇと素数ｐが入力され、剰余演算を行い、演
算結果Ｉを出力する。この演算結果Ｉは、銀行１００に
送出されると共に、署名作成器２０３及び第２の剰余演
算器２０２₂にも出力される。署名作成器２０３は、署
名用秘密鍵が入力され、署名Ｓ（Ｉ）が生成され、利用
者識別情報ＩＤ_pと共に銀行１００に送出される。The first random number generator 201 ₁ of the user 200
Generates a random number u. The first remainder arithmetic unit 202 receives the random number u, the positive integer g, and the prime number p, performs a remainder operation, and outputs an operation result I. The calculation result I, together are sent to the bank 100, is also output to the signature generator 203 and the second remainder calculation unit 202 _2. Signature generator 203, signing secret key is inputted, the signature S (I) is generated and sent to the bank 100 together with the user identification information ID _p.

【００２６】第２の剰余演算器２０２₂は、第１の剰余
演算器２０２₁からの出力Ｉと、乱数発生器２０１で生
成された乱数ｓ，ｔ，ｖ、正整数ｇ₂、素数ｐ，ｇ、銀
行１００の剰余演算器１０２からｚ，ａ，ｂが入力さ
れ、剰余演算を行う。演算結果は、ｍ’，ｚ’，ａ’，
ｂ’が一方向演算器２０４に入力されると共に、銀行１
００に隠蔽されたブラインド値ｍ’とsign（ｍ’）とし
て出力される。The second remainder operation unit 202 ₂ outputs the output I from the _first remainder operation unit 202 ₁ , the random numbers s, t, v generated by the random number generator 201, the positive integer g ₂ , the prime number p, g, z, a, and b are input from the remainder operation unit 102 of the bank 100, and the remainder operation is performed. The calculation results are m ', z', a ',
b ′ is input to the one-way operator 204 and the bank 1
It is output as a blind value m ′ and sign (m ′) hidden in 00.

【００２７】一方向性関数演算器２０４は、出力ｃ’を
第３の剰余演算器２０２に出力する。第３の剰余演算器
２０２₃は、乱数ｔと素数ｑ，一方向性関数演算器２０
４からの出力ｃ’が入力され、剰余演算された結果ｃを
銀行の第１の剰余演算器１０２に送出する。The one-way function calculator 204 outputs the output c ′ to the third remainder calculator 202. The third remainder operation unit 202 ₃ includes a random number t, a prime number q, and a one-way function operation unit 20
4 and outputs the result c of the remainder operation to the first remainder operation unit 102 of the bank.

【００２８】銀行の剰余演算器１０２₂は、秘密鍵ｘ、
乱数ｗ、素数ｑ及び利用者２００の第３の剰余演算器２
０２及び署名作成器２０３からの出力ｒによる剰余演算
を行い、その出力を利用者２００の第４の剰余演算器２
０２₄に入力する。The remainder operation unit 102 ₂ of the bank generates a secret key x,
Random number w, prime number q and third remainder arithmetic unit 2 of user 200
02 and the output r from the signature creator 203, and outputs the result to the fourth remainder operator 2 of the user 200.
Input to 02 _4.

【００２９】利用者２００の第４の剰余演算器２０２₄
は、乱数ｔ、ｖ，銀行１００から出力されたｒが入力さ
れ、剰余演算を行い、ｒ’を出力する。この出力ｒ’に
上記の剰余演算器２０２₂からの出力と合わせてsign
（ｍ’）が出力される。The fourth remainder arithmetic unit 202 ₄ of the user 200
Receives the random numbers t, v, and r output from the bank 100, performs a remainder operation, and outputs r ′. Sign to the output r 'together with the output from the remainder arithmetic unit 202 ₂
(M ') is output.

【００３０】利用者２００は、銀行１００から利用許可
証を発行してもらう手順は、以下の通りである。図４
は、本発明の第１の実施例の銀行と利用者間の交信の例
を示す。The procedure for the user 200 to issue a license from the bank 100 is as follows. FIG.
Shows an example of communication between a bank and a user according to the first embodiment of the present invention.

【００３１】ステップ１）利用者２００は、乱数発生器
２０１を用いて乱数ｕを生成して、乱数ｕ、正整数ｇ
１、素数ｐを剰余演算器２０２に入力し、出力Ｉ＝ｇ₁
^umodｐを署名作成器２０３に入力し、利用者の署名Ｓ
（Ｉ）を作成し、剰余演算器２０２の出力、利用者の署
名Ｓ（Ｉ）、利用者識別情報ＩＤ_Pを銀行１００に送
る。Step 1) The user 200 generates a random number u using the random number generator 201, and generates a random number u and a positive integer g
1. The prime number p is input to the remainder arithmetic unit 202, and the output I = g ₁
^u modp is input to the signature creator 203, and the signature S
Create a (I), the output of the remainder calculator 202, the user signature S (I), and sends the user identity ID _P bank 100.

【００３２】ステップ２）銀行１００は、乱数発生器１
０１を用いて、乱数ｗを生成し、ステップ１の剰余演算
器２０２₁の出力Ｉ、正整数ｇ₂、秘密鍵ｘ、素数ｐ、
正整数ｇ、乱数ｗを剰余演算器１０２に入力し、ｍ＝Ｉｇ₂mod ｐｚ＝ｍ^xmod ｐａ＝ｇ^wmod ｐｂ＝ｍ^wmod ｐが出力される。このうち、剰余演算器１０２の出力ｚ，
ａ，ｂを利用者２００に送る。Step 2) The bank 100 operates the random number generator 1
01, a random number w is generated, the output I of the remainder operation unit 202 _{1 in} step 1, a positive integer g ₂ , a secret key x, a prime number p,
Positive integer g, a random number w and enter the remainder operator _{102, m = Ig 2 mod p} z = m x mod p a = g w mod p b = m w mod p is output. Among them, the outputs z,
a and b are sent to the user 200.

【００３３】ステップ３）利用者２００は、乱数発生器
２０１₂を用いて、乱数ｓ，ｔ，ｖを生成し、剰余演算
器２０２₁の出力結果であるＩ及び、正整数ｇ₂、素数
ｐ，銀行１００から送信されたｚ，ａ，ｂ及び乱数ｓ，
ｔ，ｖを剰余演算器２０２₂に入力し、以下の値を出力
する。[0033] Step 3) The user 200 uses a random number generator 201 _2, a random number s, t, v generate, I and an output result of the modulo operation unit 202 _1, a positive integer g _2, prime number p , Z, a, b and random number s transmitted from the bank 100,
t, v and input to the remainder arithmetic unit 202 _2, and outputs the following values.

【００３４】ｍ’＝ｍ^smod ｐ（つまり、ｍ’＝ｇ₁ ^us
ｇ₂ ^smod ｐ）ｚ’＝ｚ^s modｐａ’＝ａ^t ｇ^vmod ｐｂ’＝ｂ^st（ｍ’）^vmod ｐさらに、ｍ’，ｚ’，ｚ’，ｂ’を一方向正関数演算器
２０４に入力し、その出力ｃ’＝Η（ｍ’，ｚ’，
ａ’，ｂ’）をさらに、ｔ，ｑと共に剰余演算器２０２
₃に入力し、ｃ＝ｃ’／ｔmod ｑを出力する。利用者２
００は、ｃを銀行１００に送る。M '= ^ms mod p (that is, m' = g ₁ ^us
_{^{g 2 s mod p) z '}} = z s modp a' = a t g v mod p b '= b st (m') v mod p In addition, m ', z', z ', b' a one-way positive Input to the function calculator 204 and output c ′ = Η (m ′, z ′,
a ′, b ′) are further added together with t and q to the remainder arithmetic unit 202.
₃ and output c = c '/ tmod q. User 2
00 sends c to the bank 100.

【００３５】ステップ４）銀行１００は、ｘ，ｃ，ｗ，
ｑを剰余演算器１０２₂に入力し、その出力ｒ＝ｘｃ＋
ｗmod ｑを利用者２００に送信する。Step 4) The bank 100 sets x, c, w,
q is input to the remainder operation unit 102 ₂ , and the output r = xc +
Send wmod q to the user 200.

【００３６】ステップ５）利用者２００は、ｒ，ｔ，ｖ
を剰余演算器２０２₄に入力し、ｒ’＝ｒｔ＋ｖmod ｑ
を求める。Step 5) The user 200 determines that r, t, v
Is input to the remainder arithmetic unit 202 ₄ , and r ′ = rt + vmod q
Ask for.

【００３７】以上の手順により、利用者２００は、以下
の情報（利用許可証）を得る。According to the above procedure, the user 200 obtains the following information (license).

【００３８】ｍ’，sign（ｍ’）ここで、ｍ’＝ｇ₁ ^usｇ₂ ^sｍod ｐ， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝となり、一方、銀行１００は、剰余演算器２０２₁から
の出力Ｉとそれに対する利用者２００の署名Ｓ（Ｉ）を
得る。[0038] m ', sign (m'), _{^{where, m '= g 1 us g}} 2 s mod p, sign (m') = {z ', a', b ', r'} . On the other hand, the bank 100 obtains the output I from the remainder arithmetic unit 202 ₁ and the signature S (I) of the user 200 corresponding thereto.

【００３９】（２）電子現金の発行処理次に、利用者が銀行から電子現金を発行してもらう手順
を示す。まず、銀行は、電子現金の金額に対応する情報
として、ＲＳＡディジタル署名で用いる秘密鍵ｄ_n 及び
公開鍵（ｅ_B ，ｎ_B ）の対を作成しておき、公開鍵（ｅ
_B ，ｎ_B ）をその金額と共に公開しておく。ここで、銀
行と利用者の間の交信例を図５に示す。また、図６は、
本発明の第２の実施例の電子現金の発行処理を行う場合
の銀行及び利用者の構成を示す。(2) Electronic Cash Issuing Process Next, a procedure for a user to issue electronic cash from a bank will be described. First, banks, as information corresponding to the amount of electronic cash, RSA digital private key d _n and the public key used in the signature (e _B, n _B) in advance to create a pair, a public key (e
_B , n _B ) are published along with the amount. Here, an example of communication between the bank and the user is shown in FIG. Also, FIG.
7 shows a configuration of a bank and a user in a case where electronic cash issuance processing according to a second embodiment of the present invention is performed.

【００４０】図６に示す利用者２００は、乱数ｅを生成
する乱数発生器２０１、乱数ｅが入力され、一方向性関
数演算を行い、ｔ_0j1...jn,を出力する一方向性関数演
算器２０４₁、ｇ₁，ｇ₂，Ｐとｔ_0j1...jnが入力さ
れ、剰余演算を行う剰余演算器２０２₂、剰余演算器２
０２₁から出力されたｇ₁ ^r0j,...jn,1ｇ₂ ^r0j1...jn,
²mod Ｐが入力され、一方向性関数演算を行い、ｔ
_0j1,...jn-1, …ｔ₀を出力する一方向性関数演算器２
０４₂、ｔ₀及びｇ₁，ｇ₂，Ｐが入力され、木構造認
証用情報Ｔを算出する剰余演算器２０２₂、剰余演算器
２０２₂から出力されたＴと銀行署名ｍ’が入力され、
一方向性関数演算を行い、Ｈ（Ｔ‖ｍ’）を出力する一
方向性関数演算器２０４₃、公開鍵ｎ_B，ｅ_Bと、乱数
発生器２０１₂で生成された乱数Ｒにより剰余演算を行
い、認証用情報Ｘを生成し、銀行１００に送出する。ま
た、公開鍵ｎ_{B ,}ｅ_Bと乱数Ｒ、銀行１００から入力さ
れるＸ’により銀行１００の署名Ｃを出力する剰余演算
器２０２₄を有する。A user 200 shown in FIG. 6 receives a random number generator 201 for generating a random number e, a random number e, performs a one-way function operation _, and outputs t _{0j1... Jn.} Arithmetic units 204 ₁ , g ₁ , g ₂ , P and t _{0j1... Jn} are input, and a remainder arithmetic unit 202 ₂ for performing a remainder operation, a remainder arithmetic unit 2
02 ₁ output from the _{^{g 1 r0j, ... jn, 1}} g 2 r0j1 ... jn,
² mod P is input, a one-way function operation is performed, and t
_{0j1, ... jn-1,} one-way function calculator 2 for outputting a ... t ₀
04 ₂ , t _0, g ₁ , g ₂ , and P are input, the remainder arithmetic unit 202 ₂ for calculating the tree structure authentication information T, the T output from the remainder arithmetic unit 202 ₂ and the bank signature m ′ are input. ,
One-way function calculator 204 ₃ that performs one-way function calculation and outputs H (T‖m ′), modulo calculation using public keys n _B and e _B and random number R generated by random number generator 2012 ₂ To generate the authentication information X and send it to the bank 100. Also it has a public key n _B, e _B and the random number R, remainder operator 202 ₄ for outputting a sign C bank 100 by X 'inputted from the bank 100.

【００４１】銀行１００は、公開鍵ｎ_B，秘密鍵ｄ
_Bと、利用者２００より入力された認証用情報Ｘを用い
て剰余演算を行う剰余演算器１０２を有する。The bank 100 has a public key n _B and a secret key d.
_B, and a remainder calculator 102 that performs remainder calculation using the authentication information X input from the user 200.

【００４２】なお、ここで、用いるディジタル署名は、
ブラインド署名が実行できるものであれば何でもよい。
例えば、Schnorr 法を用いたブラインド署名( 「Okamot
o, T., "Provably Secure and Practical Identificati
on Schemes and Corresponding Signature Schemes", P
roceedings of the Crypto 92, pp. 31-53(1993)」のAp
pendix Bで紹介されている) を用いてもよい。The digital signature used here is:
Anything that can perform a blind signature can be used.
For example, blind signature using the Schnorr method ("Okamot
o, T., "Provably Secure and Practical Identificati
on Schemes and Corresponding Signature Schemes ", P
roceedings of the Crypto 92, pp. 31-53 (1993) ''
pendix B) may be used.

【００４３】ステップ１０１）［準備］Step 101) [Preparation]

【００４４】[0044]

【数１】 (Equation 1)

【００４５】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。The user 200 who wants to issue the electronic cash performs the following pre-processing.

【００４６】まず、乱数発生器２０１₁を用いて、秘密
情報ｅを生成する。次に、（ι＋１）の階層を持つ木構
造を考える。図７は、木構造を示す。今、一方向関数演
算器２０４を用いて、最下位のレベルのノードFirstly, using a random number generator 201 ₁ generates the secret information e. Next, consider a tree structure having a hierarchy of (ι + 1). FIG. 7 shows a tree structure. Now, using the one-way function calculator 204, the lowest level node

【００４７】[0047]

【数２】 (Equation 2)

【００４８】ｎ_0j1,j2,...,jι，ｊ_i∈｛０、１｝に対
応する値（ｔ−値）を以下のように求める。A value (t-value) corresponding to n _{0j1, j2,..., J} ι, j _i {0,1} is obtained as follows.

【００４９】ｔ_oj1,j2...jv＝Ｈ（ｅ‖０ｊ１ｊ２．．．Ｊι）．ここで、Ｈは、一方向関数を示し、‖は結合を意味す
る。各ｔ−値を分解して、２つの値（γ値）を以下のよ
うに定める。T _{oj1, j2...} Jv = H (e‖0j1j2... Jι). Here, H indicates a one-way function, and ‖ indicates a combination. By decomposing each t-value, two values (γ values) are determined as follows.

【００５０】ｔ_oj1,j2...jv＝（ｒ_{oj1,j2...jv,1}）‖
（ｒ_{oj1,j2...jv,2}）次に、上記で求めた最下位のノードのｔ−値から順次上
位のノードのｔ−値を、剰余演算器２０２₁及び一方向
演算器２０４₂を用いて、以下の関係を満足するように
求める。つまり、ノードｒ_{0 j1,j2...jv}のｔ−値ｔ
_{0 j1,j2...jv0}は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv0}）は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv1}）から以下のように一意に定まる。ｔ_{0 j1,j2,..jv}＝Η（Η（ｇ₁ ^{r0j1,j2...jv0,1}ｇ２^{r0j1,j2...jv0,2}mod ｐ） ‖Η（ｇ₁ ^{r0j1,j2...jv1,1}ｇ₂ ^{r0j1,j2...jv1,2}mod ｐ）ここで、ｔ_{0 j1j2...jv0}＝（ｒ_{0 j1,j2...jv0,1}‖ｒ_{0 j1,j2...jv0,2}） and ｔ_{0 j1j2...jv1}＝（ｒ_{0 j1,j2...jv1,1}‖ｒ_{0 j1,j2...jv1,2}）この手順を繰り返して行くと、最終的に最上位ノードｎ
₀のｔ−値ｔ₀を求めることができる。（例）３階層の例を示す（図７参照）。ｔ₀＝H(H g₁ ^r00,1ｇ₂ ^r00,2mod ｐ）‖H(g₁ ^r01,1ｇ
₂ ^r01,2mod ｐ)), ｔ₀₀＝（ｒ_00,1‖ｒ_00,2）＝H(H g₁ ^r000,1ｇ₂ ^r000,2 modｐ） ‖H(g₁ ^r001,1ｇ₂ ^r001,2 modｐ)), ｔ₀₁＝（ｒ_01,1‖ｒ_01,2）＝H(H g₁ ^r010,1ｇ₂ ^r010,2 modｐ） ‖H(g₁ ^r011,1ｇ₂ ^R011,2 modｐ)) ステップ１０２）利用者２００は、準備（ステップ１０
１）で求めたｔ₀及びｇ₁，ｇ₂，p を剰余演算器２０
２₂に入力して、Ｔ＝ｇ₁ ^r0,1ｇ₂ ^r0,2mod ｐ（ｔ₀＝（ｒ_0,1‖
ｒ_0,2））を求める。さらに、乱数発生器２０１₂を用いて、乱数
Ｒを生成し、Ｔ，ｍ’を一方向関数演算器２０４³に入
力し、Ｈ（Ｔ‖ｍ’）を求め、その出力Ｈ（Ｔ‖ｍ’）
及びＲ，ｎ_B，ｅ_Bを剰余演算器２０２³に入力し、Ｘ＝Ｈ（Ｔ‖ｍ’）Ｒ^eB modｎ_B を出力し、Ｘを銀行に送る。T _{oj1, j2 ... jv} = ( _{roj1, j2 ... jv, 1} ) ‖
_{(R oj1, j2 ... jv,} 2) then the t- value nodes sequentially higher from t- value of the least significant of the node obtained in the above, residue calculating unit 202 ₁ and the one-way calculator 204 ₂ Is used to satisfy the following relationship. That is, the t-value t of the nodes r _{0 j1, j2.}
_{0 j1, j2 ... jv0} are the t-values (t
_{0 j1, j2 ... jv0} ) are the t-values (t
_{0 j1, j2 ... jv1} ) and is uniquely determined as follows. t _{0 j1, j2, .. jv} = Η (Η (g ₁ ^{r0j1, j2 ... jv0,1} g2 ^{r0j1, j2 ... jv0,2} mod p) ‖Η (g ₁ ^{r0j1, j2 ... jv1 , 1} g ₂ ^{r0j1, j2 ... jv1,2} mod p) where t _{0 j1j2 ... jv0} = (r _{0 j1, j2 ... jv0,1} ‖r _{0 j1, j2 ... jv0, 2} ) and t _{0 j1j2 ... jv1} = (r _{0 j1, j2 ... jv1,1} ‖r _{0 j1, j2 ... jv1,2} ) By repeating this procedure, finally the top node n
T- value t ₀ of ₀ can be obtained. (Example) An example of three layers is shown (see FIG. 7). t ₀ = H (H g ₁ ^r00,1 g ₂ ^r00,2 mod p) ‖H (g ₁ ^r01,1 g
_{^{2 r01,2 mod p)), t}} 00 = (r 00,1 ‖r 00,2) = H (H g 1 r000,1 g 2 r000,2 modp) ‖H (g 1 r001,1 g 2 r001 ^{, 2} modp)), t ₀₁ = (r _01,1 ‖r _01,2 ) = H (H g ₁ ^r010,1 g ₂ ^r010,2 modp) ‖H (g ₁ ^r011,1 g ₂ ^R011,2 modp )) Step 102) The user 200 prepares (step 10)
The t ₀ and g ₁ , g ₂ , p obtained in 1) are converted to the remainder arithmetic unit 20.
Enter the _{_{^{2 2, T = g 1 r0,1}}} g 2 r0,2 mod p (t 0 = (r 0,1 ||
r _0,2 )). Moreover, using a random number generator 201 ₂ generates a random number R, 'enter into the one-way function calculator ^{204 3, H (T‖m' T} , m seeking), the output H (T‖m ')
And R, n _B, and e _B input to the remainder arithmetic unit ^{202 3, X = H (T‖m} ') outputs the R ^eB modn _B, sends the X bank.

【００５１】ステップ１０３）Ｘを受信した銀行１００
は、Ｘと電子現金の金額に対応する秘密鍵（ｄ_B ，ｎ
_B ）とを剰余演算器１０２に入力し、Ｘ’＝Ｘ^dBmod ｎ_B を求め、それを利用者２００に送付する。同時に、利用
者の口座から該当する金額を引き落とすか、利用者から
該当する金額を受領する。Step 103) Bank 100 receiving X
Is, the secret key (d _B corresponding to the amount of X and e-cash, n
_B ) is input to the remainder arithmetic unit 102, X ′ = X ^dB mod n _B is obtained, and is transmitted to the user 200. At the same time, use
Or debit the amount corresponding from's account, to receive an amount corresponding user or et al.

【００５２】ステップ１０４）銀行１００よりＸ’を受
信した利用者２００は、乱数Ｒと銀行１００より受信し
た情報Ｘ’及び公開鍵ｎ_B を剰余演算器２０２₄ に入力
し、銀行の署名Ｃ＝Ｘ’／Ｒmod ｎ_B ＝（Ｈ（Ｔ‖Ｍ’））^dBmod ｎ_B を求める。ここで、（Ｔ，Ｃ）が電子現金に相当する。[0052] Step 104) X from the bank 100 'user 200 that has received the random number R and the information received from the bank 100 X' type a and a public key n _B to the remainder arithmetic unit 202 _4, the signature of the bank C = _{X '/ Rmod n B = (} H (T‖M')) Request ^dB mod n _B. Here, (T, C) corresponds to electronic cash .

【００５３】なお、利用許可証と、電子現金を一体化さ
せる場合は、上記手続でブラインド署名Ｃを発行する代
わりに、利用許可発行手続において、Ｔをｍ’と見なし
てsign（ｍ’）を発行すればよい。In the case where the license and electronic cash are integrated, instead of issuing the blind signature C in the above procedure, in the license issuing procedure, T is regarded as m ′ and the sign (m ′) is changed. Issue it.

【００５４】利用許可証と一体化した電子現金発行処理
は以下に述べる通りである。The electronic cash issuance process integrated with the license is as described below.

【００５５】ステップ８０１）［準備］Step 801) [Preparation]

【００５６】[0056]

【数３】 (Equation 3)

【００５７】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。The user 200 who wants to issue the electronic cash performs the following pre-processing.

【００５８】まず、乱数発生器２０１を用いて、秘密情
報ｅを生成する。次に、（ι＋１）の階層を持つ木構造
を考える。図７は、木構造を示す。今、一方向関数演算
器２０４を用いて、最下位のレベルのノードFirst, using the random number generator 201, secret information e is generated. Next, consider a tree structure having a hierarchy of (ι + 1). FIG. 7 shows a tree structure. Now, using the one-way function calculator 204, the lowest level node

【００５９】[0059]

【数４】 (Equation 4)

【００６０】ｎ_0j1,j2,...,jι，ｊ_i∈｛０、１｝に対
応する値（ｔ−値）を以下のように求める。A value (t-value) corresponding to n _{0j1, j2,..., J} ι, j _i {0,1} is obtained as follows.

【００６１】ｔ_oj1,j2...jv＝Ｈ（ｅ‖０ｊ１ｊ２．．．Ｊι）．ここで、Ｈは、一方向関数を示し、‖は結合を意味す
る。各ｔ−値を分解して、２つの値（γ値）を以下のよ
うに定める。T _{oj1, j2...} Jv = H (e‖0j1j2... Jι). Here, H indicates a one-way function, and ‖ indicates a combination. By decomposing each t-value, two values (γ values) are determined as follows.

【００６２】ｔ_oj1,j2...jv＝（ｒ_{oj1,j2...jv,1}）‖
（ｒ_{oj1,j2...jv,2}）次に、上記で求めた最下位のノードのｔ−値から順次上
位のノードのｔ−値を、剰余演算器２０２₁の及び一方
向演算器２０４を用いて、以下の関係を満足するように
求める。つまり、ノードｒ_{0 j1,j2...jv}のｔ−値ｔ
_{0 j1,j2...jv0}は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv0}）は、その２つの子ノードのｔ−値（ｔ
_{0 j1,j2...jv}1 ）から以下のように一意に定まる。ｔ_{0 j1,j2,..jv}＝Η（Ηｇ₁ ^{r0j1,j2...jv01}ｇ２^{r0j1,j2...jv0,2}mod ｐ） ‖Η（ｇ₁ ^{r0j1,j2...jv1,1}ｇ₂ ^{r0j1,j2...jv1,2}mod ｐ）ここで、ｔ_{0 j1j2...jv0}＝（ｒ_{0 j1,j2...jv0,1}‖ｒ_{0 j1,j2...jv0,2}） and ｔ_{0 j1j2...jv1}＝（ｒ_{0 j1,j2...jv1,1}‖ｒ_{0 j1,j2...jv1,2}）この手順を繰り返して行くと、最終的に最上位ノードｎ
_oのｔ−値ｔ₀を求めることができる。T _{oj1, j2 ... jv} = ( _{roj1, j2 ... jv, 1} ) ‖
_{(R oj1, j2 ... jv,} 2) then the t- value nodes sequentially higher from t- value of the least significant of the node obtained in the above, the remainder calculator 202 ₁ and the one-way operation 204 Is used to satisfy the following relationship. That is, the t-value t of the nodes r _{0 j1, j2.}
_{0 j1, j2 ... jv0} are the t-values (t
_{0 j1, j2 ... jv0} ) are the t-values (t
_{0 j1, j2 ... jv} 1) and is uniquely determined as follows. t _{0 j1, j2, .. jv} = Η (Ηg ₁ ^{r0j1, j2 ... jv01} g2 ^{r0j1, j2 ... jv0,2} mod p) ‖Η (g ₁ ^{r0j1, j2 ... jv1,1} g ₂ ^{r0j1, j2 ... jv1,2} mod p) where _{t0j1j2 ... jv0} = ( _r0j1 _{, j2 ... jv0,11r0} _{j1, j2 ... jv0,2} ) and t _{0 j1j2 ... jv1} = (r _{0 j1, j2 ... jv1,1} ‖r _{0 j1, j2 ... jv1,2} ) By repeating this procedure, finally the top node n
The t-value t _{0 of} _o can be determined.

【００６３】ステップ８０２）利用者２００は、準備
（ステップ８０１）で求めたｔ₀及びｇ₁，ｇ₂，p を
剰余演算器２０２に入力して、Ｔ＝ｇ₁ ^r0,1 ₂ ^r0,2mod ｐ（ｔ₀＝（ｒ_0,1‖
ｒ_0,2））を求める。Step 802) The user 200 inputs t ₀ and g ₁ , g ₂ , p obtained in the preparation (step 801) to the remainder arithmetic unit 202, and T = g ₁ ^r0,1 ₂ ^r0,2 mod p (t ₀ = (r _0,1 ‖
r _0,2 )).

【００６４】ステップ８０３）利用者２００は、乱数発
生器２０１を用いて乱数ｕを生成して、乱数ｕ、正整数
ｇ１、素数ｐを剰余演算器２０２に入力し、出力Ｉ＝ｇ
^u ₁mod ｐを署名作成器２０３に入力し、利用者の署名
Ｓ（Ｉ）を作成し、剰余演算器２０２の出力、利用者の
署名Ｓ（Ｉ）、利用者識別情報ＩＤ_Pを銀行１００に送
る。Step 803) The user 200 generates a random number u using the random number generator 201, inputs the random number u, the positive integer g1, and the prime number p to the remainder calculator 202, and outputs I = g
^{The u} ₁ mod p is input to the signature creator 203 to create the user's signature S (I), and the output of the remainder operation unit 202, the user's signature S (I), and the user identification information ID _P are stored in the bank 100. Send to

【００６５】ステップ８０４）銀行１００は、乱数発生
器１０１を用いて、乱数ｗを生成し、出力Ｉ、正整数ｇ
₂、秘密鍵ｘ、素数ｐ、正整数ｇ、乱数ｗを剰余演算器
１０２に入力し、ｍ＝Ｉｇ₂mod ｐｚ＝ｍ^xmod ｐｚ＝ｍ^xmod ｐａ＝ｇ^wmod ｐｂ＝ｍ^wmod ｐが出力される。このうち、剰余演算器２０２の出力ｚ，
ａ，ｂを利用者２００に送る。Step 804) The bank 100 generates a random number w using the random number generator 101, and outputs the output I and the positive integer g.
_2, private key x, primes p, positive integer g, a random number w and enter the remainder operator _{102, m = Ig 2 mod p} z = m x mod p z = m x mod p a = g w mod p b = m ^w mod p is output. Of these, outputs z,
a and b are sent to the user 200.

【００６６】ステップ８０５）利用者２００は、乱数発
生器２０１を用いて、乱数ｓ，ｔ，ｖを生成し、剰余演
算器２０２の出力結果であるＩ，正整数ｇ₂、素数ｐ，
銀行１００から送信されたｚ，ａ，ｂ及び乱数ｓ，ｔ，
ｖを剰余演算器２０２に入力し、以下の値を出力する。Step 805) The user 200 generates random numbers s, t, and v using the random number generator 201, and outputs I, a positive integer g ₂ , a prime number p,
Z, a, b and random numbers s, t, transmitted from the bank 100
v is input to the remainder arithmetic unit 202, and the following value is output.

【００６７】ｍ’＝ｍ^smod ｐ（つまり、ｍ’＝ｇ₁ ^us
ｇ₂ ^smod ｐ）ｚ’＝ｚ^s modｐａ’＝ａ^t ｇ^vmod ｐｂ’＝ｂ^st（ｍ’）^vmod ｐさらに、ｍ’，ｚ’，ｚ’，ｂ’を一方向正関数演算器
２０４に入力し、その出力ｃ’＝Η（ｍ’，ｚ’，
ａ’，ｂ’，Ｔ）をさらに、ｔ，ｑと共に剰余演算器２
０２に入力し、ｃ＝ｃ’／ｔmod ｑを出力する。利用者
２００は、ｃを銀行１００に送る。M ′ = ^ms mod p (that is, m ′ = g ₁ ^us
_{^{g 2 s mod p) z '}} = z s modp a' = a t g v mod p b '= b st (m') v mod p In addition, m ', z', z ', b' a one-way positive Input to the function calculator 204 and output c ′ = Η (m ′, z ′,
a ′, b ′, T) together with t, q,
02 and outputs c = c '/ tmod q. The user 200 sends c to the bank 100.

【００６８】ステップ８０６）銀行１００は、ｘ，ｃ，
ｗ，ｇを剰余演算器１０２に入力し、その出力ｒ＝ｘｃ
＋ｗmod ｑを利用者２００に送信する。Step 806) The bank 100 sets x, c,
w and g are input to the remainder arithmetic unit 102, and the output r = xc
+ Wmod q is transmitted to the user 200.

【００６９】ステップ８０７）利用者２００は、ｒ，
ｔ，ｖを剰余演算器２０２に入力し、ｒ’＝ｒｔ＋ｖmo
d ｑを求める。Step 807) The user 200 sets r,
t and v are input to the remainder arithmetic unit 202, and r ′ = rt + vmo
Find dq.

【００７０】以上の手順により、利用者は、以下の情報
（利用許可証）を得る。According to the above procedure, the user obtains the following information (license).

【００７１】ｍ’，sign（ｍ’）ここで、ｍ’＝ｇ₁ ^usｇ₂ ^sod ｐ， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝となり、一方、銀行１００は、剰余演算器２０２からの
出力Ｉとそれに対する利用者２００の署名Ｓ（Ｉ）を得
る。[0071] m ', sign (m'), _{^{where, m '= g 1 us g}} 2 s od p, sign (m') = {z ', a', b ', r'} . On the other hand, the bank 100 obtains the output I from the remainder arithmetic unit 202 and the signature S (I) of the user 200 for it.

【００７２】上記の処理は、口座開設時に特に処理は行
わずに、現金引出し時毎に上記の処理を行う。The above processing is not performed at the time of opening an account, but is performed every time cash is withdrawn.

【００７３】（３）電子現金の支払次に、利用者が銀行より発行された電子現金を用いて小
売店で支払をする場合について説明する。(3) Payment of Electronic Cash Next, a case where a user pays at a retail store using electronic cash issued by a bank will be described.

【００７４】まず、電子現金の金額及びその使用最小単
位（例えば、１０円単位等）に対応して階層的構造テー
ブルが定められる。（ここでは、先程述べたように、First, a hierarchical structure table is determined corresponding to the amount of electronic cash and the minimum unit of use (for example, 10 yen unit). (Here, as mentioned earlier,

【００７５】[0075]

【数５】 (Equation 5)

【００７６】の紙幣とし、使用最小単位が１円とする。
例えば、図８に示す、１円単位で、４円の紙幣を利用す
る場合の階層的構造テーブルにおいて、例えば、３円を
使う場合、ノードｎ₀₀とノードｎ₀₁₀が該当するノード
となる。この該当ノードは、以下のルールで定められ
る。１．あるノードの直下の子ノードの該当金額の合計がそ
のノードの該当金額となる。２．あるノードが一度使われた後は、そのノードと連結
する全ての親（先祖）ノード及び子（子孫）ノードは利
用してはならない。３．各ノードは、１回以上使用してはならない。The minimum usage unit is 1 yen.
For example, it is shown in FIG. 8, at 1 yen, in a hierarchical structure table in the case of using the bill of 4 yen, for example, when using 3 yen, the node node n ₀₀ and the node n ₀₁₀ corresponds. This corresponding node is determined by the following rules. 1. The sum of the applicable amounts of the child nodes immediately below a certain node is the applicable amount of the node. 2. After a node has been used once, all parent (ancestor) nodes and child (descendant) nodes connected to the node must not be used. 3. Each node must not be used more than once.

【００７７】このルールに従うと、先の例では、ノード
ｎ₀₀とノードｎ₀₁₀ が使用された後で、使用できるノー
ドは、ノードｎ₀₁₁ のみである。つまり上記のルールに
従うことにより、使用できる合計金額は、額面通り、４
円となると共に、１円単位でどのような使い方でもでき
る。この階層的構造テーブルは、電子現金の額面金額を
大きくし、さらに、利用単位金額を小さくすれば、その
階層が増えることになる。例えば、額面が１万円で、１
０円単位で利用できる電子現金の場合、その階層は、お
よそ１０となる。According to this rule, in the above example, only the node n ₀₁₁ can be used after the nodes n ₀₀ and n ₀₁₀ are used. In other words, by following the above rules, the total amount that can be used is 4
It becomes a circle, and it can be used in any unit of one yen. In this hierarchical structure table, if the face value of the electronic cash is increased and the usage unit amount is reduced, the hierarchy is increased. For example, if the face value is 10,000 yen and 1
In the case of electronic cash that can be used in units of 0 yen, the hierarchy is about 10.

【００７８】[0078]

【数６】 (Equation 6)

【００７９】図９は、本発明の第１の実施例の利用者と
小売店間の交信例を示し、図１０は、本発明の第１の実
施例の電子現金支払処理を行う場合の利用者と小売店の
構成を示す。FIG. 9 shows an example of communication between a user and a retail store according to the first embodiment of the present invention, and FIG. 10 shows a case where electronic cash payment processing is performed according to the first embodiment of the present invention. Shows the structure of retailers and retailers.

【００８０】図１０に示す利用者２００の構成は、３つ
の剰余演算器２０２₁、２０２₂、２０２₃、一方向性
関数演算器２０４より構成され、小売店３００は、３つ
の剰余演算器３０２₁、３０２₂、３０３₃、一方向関
数演算器３０４、関数演算器３０５、比較器３０６より
構成される。The configuration of the user 200 shown in FIG. 10 is composed of three remainder computing units 202 ₁ , 202 ₂ , 202 ₃ and a one-way function computing unit 204, and the retail store 300 has three remainder computing units 302. _1, 302 _2, 303 _3, the one-way function calculator 304, function calculator 305, composed of a comparator 306.

【００８１】多くの場合、利用金額に相当する階層構造
テーブルの該当ノードは、複数あるが、各ノードに対応
する処理は、基本的に同じアルゴリズムで行われ、それ
ぞれのノードの処理を並列に行うことができるため、以
下では、１つのノードに対する処理のみを説明する。In many cases, there are a plurality of nodes in the hierarchical structure table corresponding to the usage amount, but the processing corresponding to each node is basically performed by the same algorithm, and the processing of each node is performed in parallel. Therefore, only the processing for one node will be described below.

【００８２】この該当ノードをｎ_0j1j2...jkとする。This corresponding node is assumed to be n _0j1j2 .

【００８３】ステップ２０１）利用者２００は、まず、ｍ’（＝ｇ₁ ^usｇ₂mod ｐ）， sign（ｍ’）＝｛ｚ’，ａ’，ｂ’，ｒ’｝及び銀行１００の署名Ｃを小売店３００に送る。Step 201) The user 200 first sets m ′ (= g ₁ ^us g ₂ mod p), sign (m ′) = {z ′, a ′, b ′, r ′} and the signature of the bank 100 C is sent to the retail store 300.

【００８４】さらに、利用者２００は、ｇ₁，ｇ₂，
ｐ，ｒ_0j1j2...jk,1，ｒ_0j1j2....jk, ₂を剰余演算器２
０２₁に入力して以下の値βを求める。Further, the user 200 determines that g ₁ , g ₂ ,
p, r _{0j1j2 ... jk, 1} , r _{0j1j2 .... jk,} ₂ are the remainder arithmetic unit 2
02 ₁ to obtain the following value β.

【００８５】 β＝ｇ₁ ^{r0j1j2...jk,1}ｇ₂ ^{r0j1j2...jk,2}mod ｐ．さらに、ｇ₁、ｇ₂及びノードｎ_0j1j2...jk並びにその
先祖の兄弟のードのｒ−値を剰余演算器２０２₂及び一
方向関数演算器２０４に入力し、以下を出力し、これを
βとともに小売店３００に送る。[0085] _{^{β = g 1 r0j1j2 ... jk,}} 1 g 2 r0j1j2 ... jk, 2 mod p. Further, g _1, g ₂ and node _n 0j1j2 _{... jk} and r- value of over de sibling their fathers input to the remainder arithmetic unit 202 ₂ and the one-way function calculator 204, and outputs the following, this Is sent to the retail store 300 together with β.

【００８６】[0086]

【数７】 (Equation 7)

【００８７】ここで、ｂがビット（０もしくは、１）の
ときは、ｂ’はｂを反転させた値を意味する。Here, when b is a bit (0 or 1), b 'means a value obtained by inverting b.

【００８８】ステップ２０２）小売店３００は、送られ
てきた情報をｇ₁，ｇ₂，ｐと共に剰余演算器３０２₁
及び一方向関数演算器３０４に入力し、ノードｎ
_0j1,j2...j _kの全ての先祖のノードｔ−値を求め、最終
的にｔ₀を求め、さらに、その値をｇ₁, ｇ₂，ｐとと
もに剰余演算器３０２に入力することにより、Ｔが求め
られる。小売店３００は、小売店名、時間等の情報を
関数演算器３０５に入力し、その出力αを利用者２００
に送る。Step 202) The retail store 300 stores the transmitted information together with g ₁ , g ₂ , and p, and calculates a remainder arithmetic unit 302 _1.
And the one-way function calculator 304, the node n
_{0j1, j2 ...} seek node t- values of all ancestral _j _k, ultimately seek t _0, further, by inputting the value with g _1, g _2, p the remainder operator 302 , T are required. The retail store 300 inputs information such as a retail store name and time to the function calculator 305 and outputs the output α to the user 200.
Send to

【００８９】ステップ２０３）利用者２００は、秘密情
報ｕ，ｓ並びにαｒ_0j1j2...jk,1，ｒ_0j1j2...jk,1，ｒ
_0j1j2...jk,2，ｑを剰余演算器２０２₃に入力し、ｙ₁＝ｒ_0j1j2...jk,1＋α（ｕｓ）mod ｑ，（１）ｙ₂＝ｒ_0j1j2...jk,2＋αｓmod ｑ（２）を求め、それらを小売店３００に送る。Step 203) The user 200 sends the secret information u, s and αr _{0j1j2 ... jk, 1} , r _{0j1j2 ... jk, 1} , r
_{0j1j2 ... jk, 2,} and q is input to a modulo calculator _{_{_{202 3, y 1 = r 0j1j2}}} ... jk, 1 + α (us) mod q, (1) y 2 = r 0j1j2 ... jk, ₂ + αsmod q (2) and send them to the retail store 300.

【００９０】ステップ２０４）小売店３００は、剰余演
算器３０２₂、３０２₃及び比較器３１１を用いて、ｙ
₁，ｙ₂が以下の関係を満足するかどうかを検証する。[0090] Step 204) retailers 300 uses the remainder calculator 302 _2, 302 _3, and a comparator 311, y
_It is verified whether ₁ and y ₂ satisfy the following relationship.

【００９１】[0091]

【数８】 (Equation 8)

【００９２】この検査が不合格のときは処理を中断す
る。この検査に合格すれば、小売店３００はその電子現
金のノードｎ_j1...jk に該当する金額の支払いを正当な
ものとみなし、それを受け取る。If the inspection fails, the processing is interrupted. If they pass this inspection, a retail store 300 is the electron current
The payment of the amount corresponding to the gold nodes n _{j1... Jk} is regarded as valid and received.

【００９３】（４）決済最後に小売店３００と銀行１００の間の決済方法につい
て説明する。小売店３００は、利用者２００との電子現
金利用時の交信履歴Ｈを銀行１００に提出し、銀行から
該当する金額の支払を受ける。銀行は、Ｈの正当性を検
査し、検査に合格すれば、Ｈを記憶し、小売店の口座へ
該当する金額を払い込む。銀行は、電子現金の不正利用
を見つけると、Ｈを取り出して、それらの情報より不正
者の秘密情報ｕを算出し、それよりＩ，ＩＤ_Pを確定す
る。(4) Settlement Finally, a settlement method between the retail store 300 and the bank 100 will be described. The retail store 300 submits the communication history H at the time of using electronic cash with the user 200 to the bank 100 and receives payment of the corresponding amount from the bank. The bank checks the validity of H, and if the check passes, stores H and pays the corresponding amount to the retailer's account. Bank finds unauthorized use of electronic cash, take out the H, than those of the information to calculate the secret information u of an unauthorized person, to confirm than I, the ID _P it.

【００９４】［第２の実施例］以下に本発明の第２の実
施例を説明する。[Second Embodiment] A second embodiment of the present invention will be described below.

【００９５】本発明の第２の実施例は、不正使用を検出
するために、素因数分解に関連する問題の認証方式を用
いて不正者の秘密情報を取得する例である。この方法
は、素因数分解に関連する問題における秘密情報を求
め、この秘密情報により不正利用者のＩＤが露見すると
いうものである。The second embodiment of the present invention is an example in which in order to detect unauthorized use, secret information of an unauthorized person is acquired by using an authentication method for a problem related to factorization of prime factors. In this method, secret information in a problem related to prime factorization is obtained, and the ID of an unauthorized user is revealed using the secret information.

【００９６】（１）利用許可証の発行処理まず、銀行１００で口座を新しく開設した利用者２００
が、利用許可証を銀行１００より発行してもらう場合に
ついて説明する。ここで、ＩＤ_Pは、利用者２００の識
別情報とする。銀行１００は、利用許可証に対応する情
報として、ＲＳＡディジタル署名で用いる秘密鍵ｄ及び
公開鍵（ｅ，ｎ）の対を作成しておき、公開鍵（ｅ，
ｎ）を公開しておく。ここで、ｎは、素数の積となる合
成数、ｅは、ｎの素因数から１引いた数と互いに素とな
るような整数である。また、秘密鍵ｄは、ｘ＝（ｘ^e）
^dmod ｎとなるような値である。さらに、銀行１００
は、整数ａ，ｂを公開しておく。(1) Issuance of Usage License First, a user 200 who newly opened an account at the bank 100
However, a case where the usage permit is issued from the bank 100 will be described. Here, ID _P is the identification information of the user 200. The bank 100 creates a pair of a private key d and a public key (e, n) used in the RSA digital signature as information corresponding to the license, and
Make n) public. Here, n is a composite number that is a product of prime numbers, and e is an integer that is relatively prime to a number obtained by subtracting one from the prime factor of n. Also, the secret key d is x = (x ^e )
^The value is such that ^d mod n. In addition, bank 100
Publishes integers a and b.

【００９７】一方、利用者２００は、ディジタル署名で
用いる秘密鍵及び公開鍵の対を作成しておき、公開鍵を
ＩＤ_Pと対にして公開しておく。[0097] On the other hand, the user 200, leave to create a pair of secret key and a public key to be used in the digital signature, made public by the public key to the ID _P and the pair.

【００９８】利用者２００が銀行１００から利用許可証
を発行してもらう手順は、以下の通りである。銀行１０
０と利用者２００の間の交信例を図１１に示し、利用許
可証発行に関する処理を行う場合の銀行１００と利用者
２００の構成を図１２に示す。図１２に示す利用者２０
０は、２つの乱数発生器２０１₁、２０１₂、剰余演算
器２０２₁、２０２₂、署名作成器２０３より構成さ
れ、銀行１００は、剰余演算器１０２を有する。The procedure for the user 200 to issue a license from the bank 100 is as follows. Bank 10
FIG. 11 shows an example of communication between the user 0 and the user 200, and FIG. User 20 shown in FIG.
0 includes two random number generators 201 ₁ and 201 ₂ , remainder calculators 202 ₁ and 202 ₂ , and a signature creator 203. The bank 100 has a remainder calculator 102.

【００９９】ステップ３０１）利用者２００は、乱数発
生器２０１₁を用いて乱数ｕを生成して、乱数ｕ、整数
ａ、合成数ｎを剰余演算器２０２₁に入力し、その出力
Ｉ＝ａ^umod ｎを署名作成器２０３に入力して利用者の
署名Ｓ（Ｉ）を作成し、ＩとＳ（Ｉ）、ＩＤ_Pを銀行１
００に送出する。[0099] Step 301) The user 200 generates a random number u by using a random number generator 201 _1, a random number u, an integer a, the composite number n input to the remainder arithmetic unit 202 _1, the output I = a ^u mod n is input to the signature creator 203 to create the user's signature S (I), and I, S (I), and ID _P are _stored in the bank 1
Send to 00.

【０１００】ステップ３０２）利用者２００は、乱数発
生器２０１₂を用いて乱数ｓ，ｔを生成し、Ｉ，ｚ，
ｂ，ｕ，ｓ，ｔ，ｅ，ｎを剰余演算器２０２₂に入力
し、以下の値を出力する。[0100] Step 302) The user 200 generates a random number s, t using a random number generator 201 _2, I, z,
b, type u, s, t, e, n and the residue calculating unit 202 _2, and outputs the following values.

【０１０１】ｗ＝ｚ^tｓmod ｎ，ｍ＝ａ^utｂ^tｓ^emod ｎ以上の手順により、利用者２００は、利用許可証（ｍ，
ｗ）を得る。ここで、ｍ＝ｗ^emod ｎとなる。[0101] ^{w = z t smod n, m} = a ut b t s e by mod n the above procedure, the user 200, the usage permit (m,
w). Here, the m = w ^e mod n.

【０１０２】一方、銀行１００は、利用者２００の署名
作成器２０３の出力Ｉとそれに対する利用者２００の署
名を得る。On the other hand, the bank 100 obtains the output I of the signature creator 203 of the user 200 and the signature of the user 200 corresponding thereto.

【０１０３】（２）電子現金の発行処理次に、利用者２００が銀行１００から電子現金を発行し
てもらう手順を示す。まず、銀行１００は、電子現金の
金額に対応する情報として、ＲＳＡディジタル署名で用
いる秘密鍵ｄ_B 及び公開鍵（ｅ_B ，ｎ_B ）の対を作成し
ておき、公開鍵（ｅ_B ，ｎ_B ）をその金額と共に公開し
ておく。なお、公開鍵のｎ_B は、先に用いたｎと同一で
もよい。ここで、銀行１００と利用者２００の間の交信
例を図１３に示し、この場合の銀行１００と利用者２０
０の構成を図１４に示す。(2) Electronic Cash Issuance Processing Next, a procedure in which the user 200 has the bank 100 issue electronic cash will be described. First, the bank 100, as information corresponding to the amount of electronic cash, the private key d _B and a public key (e _{_B,} n _B) for use in the RSA digital signature previously created a pair, the public key (e _B, n _B ) is published along with the amount. Note that n _B of the public key may be the same as n used previously. Here, an example of communication between the bank 100 and the user 200 is shown in FIG.
0 is shown in FIG.

【０１０４】図１４に示す利用者２００は、２つの乱数
発生器２０１₁、２０１₂、４つの剰余演算器２０
２₁、２０２₂、２０２₃、２０２₄、３つの一方向性
関数演算器２０４₁、２０４₂、２０４₃より構成され
る。また、銀行１００は、剰余計算機１０２を有する。The user 200 shown in FIG. 14 has two random number generators 201 ₁ and 201 ₂ and four remainder arithmetic units 20
21 ₁ , 202 ₂ , 202 ₃ , 202 ₄ and three one-way function calculators 204 ₁ , 204 ₂ , 204 ₃ . The bank 100 has a surplus calculator 102.

【０１０５】なお、ここで用いるディジタル署名は、ブ
ラインド署名が実行できるものであれば何でもよい。例
えば、Schnorr 法を用いたブラインド署名( 「Okamoto,
T.,"Provably Secure and Practical Identification
Schemes and CorrespondingSignature Schemes", Proce
edings of the Crypto 92, pp. 31-53(1993)」のAppend
ix Bで紹介されている) を用いてもよい。The digital signature used here may be any digital signature that can execute a blind signature. For example, blind signature using the Schnorr method ("Okamoto,
T., "Provably Secure and Practical Identification
Schemes and CorrespondingSignature Schemes ", Proce
edings of the Crypto 92, pp. 31-53 (1993) Append
ix B).

【０１０６】ステップ４０１）［準備］Step 401) [Preparation]

【０１０７】[0107]

【数９】 (Equation 9)

【０１０８】の電子現金を発行してもらおうとする利用
者２００は、以下のような事前処理を行う。The user 200 who wants to issue the electronic cash performs the following pre-processing.

【０１０９】まず、乱数発生器２０１₁を用いて秘密情
報ｅを生成する。次に、（ι＋１）段の階層を持つ木構
造（図７）を考える。今、一方向関数演算器２０４₁を
用いて、最下位のレベルのノード[0109] First, to generate secret information e using a random number generator 201 _1. Next, consider a tree structure (FIG. 7) having a hierarchy of (ι + 1) levels. Now, using the one-way function calculator 204 ₁ , the lowest level node

【０１１０】[0110]

【数１０】 (Equation 10)

【０１１１】ｎ_0j1j2....jι_,ji∈｛０，１｝に対応す
る値（ｔ−値）を以下のように求める。 _{.. J j} _{, ji} {0, 1}, the value (t-value) corresponding to {0, 1} is obtained as follows.

【０１１２】ｔ_0j1j2....jι＝Η（ｅ‖０j1j2...jι) ここで、Ηは、一方向関数を、‖は結合を意味する。各
ｔ−値を分解して３つの値（ｒ−値）を以下のように求
める。ｔ_0j1j2...jv＝（ｒ_oj1j2...jv,1‖ｒ_oj1j2...jv,2‖ｒ
_oj1j2...jv,3）次に、上で求めた最下位のノードｔ−値から順次上位の
ノードｔ−値を、剰余演算器２０２₁及び一方向関数演
算器２０４₂を用いて、以下の関係を満足するように求
める。つまり、ノードｎ_0j1j2...jvのｔ−値ｔ
_0j1j2...jv0は、その２つの子ノードのｔ−値（ｔ
_0j1j2...jv0とｔ_0j1j2...jv1）から以下のように一意
に定まる。ｔ_0j1j2...jv＝Η（Η（ａ^{r0j1jw...jv0,1}ｂ^{r0j1j2...jv0,2}ｒ_{0j1j2...jv0,3} ^e mod ｎ）‖ Η（ａ^{r0j1jw...jv1,1}ｂ^{r0j1j2...jv1,2}ｒ_{0j1j2...jv1 3} ^e mod ｎ））ここで、ｔ_0j1j2....jι₀ ＝（ｒ_0j1j2....jι_0,1‖ｒ_0j1j2....jι_0,2‖ｒ
_0j1j2....jι_0,3），ｔ_0j1j2....jι₁ ＝（ｒ_0j1j2....jι_1,1‖ｒ_0j1j2....jι_1,2‖ｒ
_0j1j2....jι_1,3）_. この手順を繰り返していくと、最終的に最上位ノードの
ｎ₀のｔ−値ｔ₀を求めることができる。T _{0j1j2... J} ι = Η (e‖0j1j2 ... jι) where ここ denotes a one-way function and ‖ denotes a combination. Each t-value is decomposed to determine three values (r-values) as follows. t _{0j1j2 ... jv} = ( _{roj1j2 ... jv,} _{1‖roj1j2 ... jv,} 22r
_{oj1j2 ... jv, 3)} then sequentially node t- value of the upper from the lowest node t- value calculated above, with a remainder computing unit 202 ₁ and the one-way function calculator 204 _2, below To satisfy the relationship. That is, the t-value t of the nodes n _0j1j2.
_{0j1j2 ... jv0} are the t-values (t
_{0j1j2 ... jv0} and _{t0j1j2 ... jv1} ) are uniquely determined as follows. t _{0j1j2 ... jv} = Η (Η (a ^{r0j1jw ... jv0,1} b ^{r0j1j2 ... jv0,2} r _{0j1j2 ... jv0,3} ^e mod n)) Η (a ^{r0j1jw ... jv1,1} b ^{r0j1j2 ... jv1,2} r _{0j1j2 ... jv1 3} ^e mod n)) where t _{0j1j2 .... j} ι ₀ = (r _{0j1j2 .... j} ι _0,1 ‖r _{0j1j2 .. ..j} ι _0,2 ‖r
_{_{0j1j2 .... j ι 0,3), t}} 0j1j2 .... j ι 1 = (r 0j1j2 .... j ι 1,1 ‖r 0j1j2 .... j ι 1,2 ‖r
_{0j1j2... J} ι _1,3 ) _. By repeating this procedure, the t-value t ₀ of n ₀ of the highest-order node can be finally obtained.

【０１１３】ステップ４０２）利用者２００は、準備で
求めたｔ₀及びａ，ｂ，ｎを剰余演算器２０２₂に入力
してＴ＝ａ^r0,1ｂ^r0,2ｒ_0,3 ^emod ｎ（ｔ₀＝ｒ_0,1‖ｒ
_0,2‖ｒ_0,3）を求める。さらに、乱数発生器２０１₂を用いて、乱数
Ｒをを生成し、Ｔ，ｍを一方向関数演算器２０４₃に入
力し、Η（Ｔ‖ｍ）を求め、その出力及びＲ，ｎ _B，ｅ
_Bを剰余演算器２０２₄に入力し、Ｘ＝Η（Ｔ‖ｍ）Ｒ^eB mod ｎを出力し、銀行１００に送る。Step 402) The user 200 prepares
T found₀And a, b, and n are represented by the remainder arithmetic unit 202._TwoEnter in
Then T = a^r0,1b^r0,2r_0,3 ^emod n (t₀= R_0,1‖R
_0,2‖R_0,3). Further, the random number generator 201_TwoAnd the random number
R is generated, and T and m are calculated by the one-way function calculator 204._ThreeEnter
To obtain ‖ (T‖m), its output and R, n _B, E
_BIs the remainder arithmetic unit 202_FourX = Η (T‖m) R^eB mod n is output and sent to the bank 100.

【０１１４】ステップ４０３）ブラインド情報Ｘを受信
した銀行１００は、Ｘと電子紙幣の金額に対応する秘密
鍵（ｄ_B，ｎ_B）とを剰余演算器１０２に入力し、ブラ
インド署名Ｘ’＝Ｘ^dB mod ｎ_B を求め、それを利用者２００に送付する。同時に、利用
者２００の口座から該当する金額を引き落とすか、利用
者２００から該当する金額を受領する。Step 403) Receiving the blind information X, the bank 100 inputs X and a secret key (d _B , n _B ) corresponding to the amount of the electronic bill to the remainder calculator 102, and the blind signature X ′ = X It asked the ^dB mod n _B, and sends it to the user 200. At the same time, the corresponding amount is debited from the account of the user 200 or the corresponding amount is received from the user 200.

【０１１５】ステップ４０４）銀行１００よりＸ’を受
信した利用者２００は、乱数Ｒと銀行１００より受信し
た情報及び公開鍵ｎ_B を剰余演算器２０２₄ に入力し、
銀行１００の署名Ｃ＝Ｘ’／Ｒ mod ｎ_B ＝（Ｈ（Ｔ‖ｍ））^dBmod ｎ_B を求める。ここで、（Ｔ，Ｃ）が電子現金に相当する。Step 404) The user 200 having received X ′ from the bank 100 inputs the random number R, the information received from the bank 100 and the public key n _B to the remainder arithmetic unit 202 ₄ ,
The signature of the bank 100, C = X ′ / R mod n _B = (H (T‖m)) ^dB mod n _B is obtained. Here, (T, C) corresponds to electronic cash .

【０１１６】（３）電子現金の支払次に、利用者２００が銀行１００より発行された電子現
金を用いて小売店で支払をする場合について説明する。[0116] (3) Payment of electronic cash Next, the electronic current the user 200 has been issued by the bank 100
A case where payment is made at a retail store using money will be described.

【０１１７】現金に対する木構造については、先に説明
したものと同一であるため、説明を省略する。The tree structure for cash is the same as that described above, and a description thereof will be omitted.

【０１１８】次に、利用者２００と小売店３００間で電
子現金の支払時の交信例を図１５に示し、その場合の利
用者２００と小売店３００の構成を図１６に示す。Next, an example of communication between the user 200 and the retail store 300 when paying electronic cash is shown in FIG. 15, and the configuration of the user 200 and the retail store 300 in that case is shown in FIG.

【０１１９】利用者２００は、３つの剰余演算器２０２
₁、２０２₂、２０２₃と、一方向性関数演算器２０４
より構成される。小売店３００は、３つの剰余演算器３
０２ ₁、３０２₂、３０２₃、関数演算器３０５、比較
器３１１より構成される。The user 200 has three remainder arithmetic units 202
₁, 202_Two, 202_ThreeAnd the one-way function calculator 204
It is composed of The retail store 300 has three remainder arithmetic units 3
02 ₁, 302_Two, 302_Three, Function calculator 305, comparison
It is composed of a device 311.

【０１２０】以下では、１つのノード（ｎ_0j1...jk) に
対する処理のみを説明する。ステップ５０１）利用者２
００は、まず、（ｍ，ｗ，Ｃ）を小売店３００に送る。
さらに、利用者２００はａ，ｂ，ｎ，ｒ_0j1j2...jk,1，
ｒ_{0j1j2...jk,2,}ｒ _0j1j2...jk,3を剰余演算器２０２₁
に入力して以下の値βを求める。 β＝ａ^{r0j1j2...jk,1}ｂ^{r0j1j2...jk,2}ｒ_0j1j2...jk,e
^emod ｎ. さらに、ａ，ｂ，及びノードｎ_0j1j2...jk並びにその先
祖の兄弟ノードｒ−値を剰余演算器２０２₂及び一方向
関数演算器２０４に入力し、以下を出力し、これをβと
ともに小売店３００に送る。In the following, one node (n_{0j1 ... jk})
Only the corresponding process will be described. Step 501) User 2
00 first sends (m, w, C) to the retail store 300.
Further, the user 200 has a, b, n, r_{0j1j2 ... jk, 1},
r_{0j1j2 ... jk, 2,}r _{0j1j2 ... jk, 3}Is the remainder arithmetic unit 202₁
To obtain the following value β. β = a^{r0j1j2 ... jk, 1}b^{r0j1j2 ... jk, 2}r_{0j1j2 ... jk, e}
^emod n. a, b, and node n_{0j1j2 ... jk}And beyond
The sibling node r-value of the ancestor_TwoAnd one-way
Input to the function calculator 204 and output the following,
Both are sent to the retail store 300.

【０１２１】[0121]

【数１１】 [Equation 11]

【０１２２】ここで、ｂがビット（０もしくは１）のと
き、ｂ’は、ｂをビット反転させた値を意味する。Here, when b is a bit (0 or 1), b 'means a value obtained by inverting the bit of b.

【０１２３】ステップ５０２）小売店３００は、送られ
てきた情報をａ，ｂ，ｎと共に剰余演算器３０２₁に入
力することにより、木構造認証用情報Ｔが求められる。[0123] Step 502) retailers 300, the information sent a, b, by inputting to the residue calculating unit 302 ₁ with n, the tree structure authentication information T is obtained.

【０１２４】小売店３００は、小売店名、時間等の情報
を関数演算器３０５に入力し、その出力（質問情報）α
を利用者２００に送る。The retail store 300 inputs information such as the retail store name and time to the function calculator 305, and outputs (question information) α.
To the user 200.

【０１２５】ステップ５０３）利用者２００は、秘密情
報ｕ，ｔ，ｓ並びに、α，ｒ_0j1j2. _..jk,1，ｒ
_0j1j2...jk,1，ｅ，ｎを剰余演算器２０２₃に入力し、Step 503) The user 200 transmits the secret information u, t, s and α, r _0j1j2 _{... Jk, 1} , r
_{0j1j2 ... jk,} 1, e, the n type to the residue calculating unit 202 _3,

【０１２６】[0126]

【数１２】 (Equation 12)

【０１２７】を求め、それらを小売店３００に送る。Are sent to the retail store 300.

【０１２８】ステップ５０４）小売店３００は、剰余計
算器３０２₂、３０２₃及び比較器３１１を用いてｙ
１，ｙ２が以下の関係を満足するかどうか検証する。[0128] Step 504) retailers 300, y using the remainder calculation unit 302 _2, 302 ₃ and the comparator 311
It is verified whether 1, y2 satisfies the following relationship.

【０１２９】[0129]

【数１３】 (Equation 13)

【０１３０】この検査が不合格のときは、処理を中断す
る。この検査に合格すれば、小売店３００は、その電子
紙幣のノードｎ_j1...jkに該当する金額の支払いを正当
なものとみなし、それを受け取る。If this inspection fails, the processing is interrupted. If the inspection passes, the retail store 300 regards the payment of the amount corresponding to the nodes n _{j1... Jk} of the electronic bill as valid and receives it.

【０１３１】（４）決済最後に小売店３００と銀行１００の間の決済方法につい
て説明する。小売店３００は、利用者２００との電子現
金利用時の交信履歴Ｈを銀行１００に提出し、銀行１０
０から該当する金額の支払いを受ける。銀行１００は、
Ｈの正当性を検査し、検査に合格すれば、Ｈを記憶し、
小売店３００の口座に該当する金額を払い込む。銀行１
００は、電子現金の不正利用を見つけると、Ｈを取り出
して、それらの情報より不正者の秘密鍵ｕを算出し、そ
れよりＩ，ＩＤ_Pを確定する。(4) Settlement Finally, a settlement method between the retail store 300 and the bank 100 will be described. The retail store 300 submits the communication history H at the time of using electronic cash with the user 200 to the bank 100, and
You will be paid the corresponding amount from 0. Bank 100
Inspect H for legitimacy, and if it passes, remember H,
The corresponding amount is paid into the account of the retail store 300. Bank 1
00, we find the unauthorized use of electronic cash, take out the H, than those of the information to calculate the secret key u of an unauthorized person, to confirm than I, the ID _P it.

【０１３２】最後に、不正使用があった場合の処理につ
いて説明する。Lastly, a description will be given of the processing in the case where there is unauthorized use.

【０１３３】図１７は、不正使用を説明するための図で
ある。不正使用には、以下の２つのパターンがあり、第
１には、木構造の先祖−子孫関係にあるノードを利用し
たとき、図１７において、×印のついている２つのノー
ドＡ，Ｂを利用した場合、第２には、同じノードを２重
に利用した場合とがある。FIG. 17 is a diagram for explaining unauthorized use. There are the following two patterns of illegal use. First, when a node having an ancestor-descendant relationship in a tree structure is used, two nodes A and B marked with a cross in FIG. 17 are used. In the second case, the same node is used twice.

【０１３４】まず、第１のパターンでは、ノードＢを利
用すると、ノードＢに対応するβ−値及び関連δ値（前
述のステップ２０１）が小売店３００に送られる（最終
的には銀行１００）。これにより、ｔ−値（ｒ−値）を
計算できる。First, in the first pattern, when the node B is used, the β-value and the related δ value (step 201 described above) corresponding to the node B are sent to the retail store 300 (finally, the bank 100). . Thus, the t-value (r-value) can be calculated.

【０１３５】一方、ノードＡを利用すると、ノードＡに
対応するｙ₁，ｙ₂（前述のステップ２０３）が送られ
る。ノードＡのｒ−値が計算できるので、（１）、
（２）の式より不正者の秘密情報ｕ，ｓが算出できる。On the other hand, when the node A is used, y ₁ and y ₂ (step 203 described above) corresponding to the node A are sent. Since the r-value of node A can be calculated, (1),
The secret information u, s of the fraudster can be calculated from the equation (2).

【０１３６】また、第２のパターンでは、同じノードを
２回利用すると、前述のステップ２０３が異なる２つの
値のα（α₁、α₂）に対して実行される。つまり、
（１）、（２）式がα＝α₁、α＝α₂に対して成立す
る。ｙ₁₁＝ｒ_...,1 ＋α₁（ｕｓ）ｙ₂₁＝ｒ_...,2 ＋α₁ｓｙ₁₂＝ｒ_...,1 ＋α₂（ｕｓ）ｙ₂₂＝ｒ_...,2 ＋α₂ｓ以上の４つの連立方程式を４つの未知数ｒ_...,1、ｒ
_...,2、ｕ，ｓについてとけば、これらの未知数を求め
ることができる。従って、秘密情報ｕの値を算出するこ
とができる。In the second pattern, when the same node is used twice, the above-described step 203 is executed for two different values of α (α ₁ , α ₂ ). That is,
Equations (1) and (2) hold for α = α ₁ and α = α ₂ . _{_{y 11 = r ..., 1 +}} α 1 (us) y 21 = r ..., 2 + α 1 s y 12 = r ..., 1 + α 2 (us) y 22 = r ..., 2 + α Four simultaneous equations of ₂ s or more are converted into four unknowns r _{..., 1} , r
_{., 2} , u, s, these unknowns can be obtained. Therefore, the value of the secret information u can be calculated.

【０１３７】[0137]

【発明の効果】上述のように、本発明によれば、Chaum
等の方式と同様に、利用者のプライバシを保証でき、か
つ不正使用を検出できる。さらに、本発明では、従来の
chaumらの方法では不可能であった一回発行された電子
現金を発行時に決められた額になるまで、何回も分割し
て利用できるような電子現金方式を実現することができ
る。決められた額以上の支払いを行うと、その不正使用
者のＩＤ並びにその秘密情報を算出することにより、不
正使用の証拠とすることができる。As described above, according to the present invention, Chaum
As in the above methods, privacy of the user can be guaranteed, and unauthorized use can be detected. Furthermore, in the present invention, the conventional
It is possible to realize an electronic cash system in which electronic cash issued once, which was impossible with the method of chaum et al., can be used by dividing it many times until it reaches the amount determined at the time of issuance. If payment is made over the determined amount, the ID of the unauthorized user and the secret information thereof are calculated, which can be used as evidence of unauthorized use.

[Brief description of the drawings]

【図１】本発明の原理を説明するための図である。FIG. 1 is a diagram for explaining the principle of the present invention.

【図２】本発明の一実施例のシステム構成図である。FIG. 2 is a system configuration diagram of an embodiment of the present invention.

【図３】本発明の第１の実施例の利用許可証の発行処理
を行う場合の銀行及び利用者の構成図である。FIG. 3 is a configuration diagram of a bank and a user when performing a process of issuing a usage certificate according to the first embodiment of this invention.

【図４】本発明の第１の実施例の銀行と利用者間の交信
の例を示す図である。FIG. 4 is a diagram illustrating an example of communication between a bank and a user according to the first embodiment of this invention.

【図５】本発明の第１の実施例の銀行と利用者間の交信
例を示す図である。FIG. 5 is a diagram illustrating an example of communication between a bank and a user according to the first embodiment of this invention.

【図６】本発明の第２の実施例の電子現金の発行処理を
行う場合の銀行及び利用者の構成図である。FIG. 6 is a configuration diagram of a bank and a user when issuing electronic cash according to a second embodiment of the present invention.

【図７】木構造を示す図である。FIG. 7 is a diagram showing a tree structure.

【図８】三階層の電子現金の木構造を示す図である。FIG. 8 is a diagram showing a tree structure of three levels of electronic cash.

【図９】本発明の第１の実施例の利用者と小売店間の交
信例を示す図である。FIG. 9 is a diagram illustrating an example of communication between a user and a retail store according to the first embodiment of this invention.

【図１０】本発明の第１の実施例の電子現金支払処理を
行う場合の利用者と小売店の構成図である。FIG. 10 is a configuration diagram of a user and a retail store when performing electronic cash payment processing according to the first embodiment of this invention.

【図１１】本発明の第２の実施例の利用許可証の発行処
理時の銀行と利用者間の交信例を示す図である。FIG. 11 is a diagram illustrating an example of communication between a bank and a user at the time of processing for issuing a usage certificate according to the second embodiment of this invention.

【図１２】本発明の第２の実施例の利用許可証発行時の
銀行と利用者の構成図である。FIG. 12 is a configuration diagram of a bank and a user at the time of issuing a license according to a second embodiment of the present invention.

【図１３】本発明の第２の実施例の電子現金の発行処理
時の銀行と利用者間の交信例を示す図である。FIG. 13 is a diagram showing an example of communication between a bank and a user during electronic cash issuance processing according to the second embodiment of the present invention.

【図１４】本発明の第２の実施例の電子現金の発行時の
銀行と利用者の構成図である。FIG. 14 is a configuration diagram of a bank and a user at the time of issuing electronic cash according to a second embodiment of the present invention.

【図１５】本発明の第２の実施例の電子現金支払時の利
用者と小売店間の交信例を示す図である。FIG. 15 is a diagram showing an example of communication between a user and a retail store at the time of electronic cash payment according to the second embodiment of the present invention.

【図１６】本発明の第２の実施例の電子現金支払時の利
用者と小売店の構成図である。FIG. 16 is a configuration diagram of a user and a retail store at the time of electronic cash payment according to the second embodiment of the present invention.

【図１７】不正使用を説明するための図である。FIG. 17 is a diagram for explaining unauthorized use.

[Explanation of symbols]

１００銀行１０１乱数発生器１０２剰余演算器２００利用者２０１乱数発生器２０２剰余演算器２０３署名作成器２０４一方向性関数演算器３００小売店３０２剰余演算器３０４一方向性関数演算器３０５関数演算器３１１比較器４００通信回線 REFERENCE SIGNS LIST 100 bank 101 random number generator 102 remainder operator 200 user 201 random number generator 202 remainder operator 203 signature creator 204 one-way function operator 300 retail store 302 remainder operator 304 one-way function operator 305 function operator 311 comparator 400 communication line

フロントページの続き (56)参考文献特開平４−367070（ＪＰ，Ａ) 特開平３−73065（ＪＰ，Ａ) 特開平５−20344（ＪＰ，Ａ) 理想的電子現金方式，電子情報通信学会技術研究報告，1991年７月15日，Ｖｏｌ．91 Ｎｏ．127，ｐ．39−47 ＵｎｔｒａｃｅａｂｌｅＯｆｆ−ＬｉｎｅＣａｓｈｉｎＷａｌｌｅｔｗｉｔｈＯｂｓｅｒｖｅｒｓ，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，Ｖｏｌ. 773，ｐ．302−318 ＳｉｎｇｌｅＴｅｒｍＯｆｆ−ＬｉｎｅＣｏｉｎｓ，ＬｅｃｔｕｒｅＮｏｔｅｓｉｎＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，Ｖｏｌ．765，ｐ．292 −301 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 17/60 410 G09C 1/00 660 ＪＩＣＳＴファイル（ＪＯＩＳ)Continuation of the front page (56) References JP-A-4-367070 (JP, A) JP-A-3-73065 (JP, A) JP-A-5-20344 (JP, A) Ideal electronic cash method, electronic information Technical report of the Communication Society of Japan, July 15, 1991, Vol. 91 No. 127, p. 39-47 Untraceable Off-Line Cash in Wallet with Observers, Lecture Notes in Computer Science, Vol. 773, p. 302-318 Single Term Off-Line Coins, Lecture Notes in Computer Science, Vol. 765, p. 292 −301 (58) Field surveyed (Int. Cl. ⁷ , DB name) G06F 17/60 410 G09C 1/00 660 JICST file (JOIS)

Claims

(57) [Claims]

(1)Institutions that issue electronic cash (hereinafter referred to as
Bank-side device) and the device of the person issuing the electronic cash (hereinafter referred to as the device)
Below, user device) and a machine that receives electronic cash from the user
Electronic devices composed of Seki's equipment (hereinafter referred to as retail equipment)
In the electronic cash distribution method in the gold system, The user device randomly generates secret information u,
Using remainder operation modulo p (prime number) from secret information u
The calculated result I and the user's signature information for the result I are
Sending to the bank-side device, The bank-side device calculates a remainder operation result m from the result I.
And the remainder calculation using the secret information x of the bank device itself.
Bank signature m for result m ^x mod p and the signature m
^x Along with information to prove the validity of the mod p,
To the user device, The user device transmits the remainder calculation result m to the bank-side device.
Is transformed into data m 'to be concealed,
While keeping the value of data m 'secret to the bank-side device,
Bank's signature m 'for tag m' ^x mod p its validity
And the data m ′ and the data
The pair of the bank's signature for m 'is used as a license, The user withdraws a certain amount of electronic cash from the bank
When issuing, the user device has a hierarchy corresponding to the amount of money.
Each value (t−t) corresponding to each individual node of the tree structure having
Value) Generate authentication information from the top node of the tree structure
Sending to the bank-side device, The bank-side device checks the withdrawal amount from the authentication information.
Creates a corresponding blind signature and sends it to the user device.
Believe in The user device is configured to receive the broadcast received from the bank device.
From the lined signature, the tree structure authentication information T and the license
Calculate the bank signature for the tree structure authentication information.
And the bank office corresponding to the license and the withdrawal amount
An electronic device characterized by acquiring electronic cash as a name pair
Cash distribution method.

(2)The user who has received the electronic cash
But at a retail store, When using cash, the user
After determining the usage amount within the issuance amount,
Usage amount in a tree-structured node corresponding to the obtained electronic cash
Is determined, and the user transfers the electronic cash
Presented, The user device includes a sibling node of the node A and
Corresponds to each of the sibling nodes of the ancestor node of the node A
From the value t-value, the remainder operation and the one-way function operation
Transmitting the required value to the retailer side device, The retailer side apparatus performs tree structure authentication from the transmitted value.
Request T, and send question information α to the user device, The user device may receive the question information from the retail store device.
Calculates the response sentence corresponding to the report α from the secret information u of the user
Transmitting to the retailer side device, The retailer-side device may receive the response sentence from the user device.
Is confirmed, and if correct, the electronic value of the
The electronic cash distribution method according to claim 1, wherein payment by money is permitted.
Law.

(3)The user who has received the electronic cash
From the device, the electronic cash received by the retailer device is transferred to a bank.
When paying with At a later date, the retail store device will be
To the user device and the retail store device.
Believe in The bank device verifies the validity of the intercommunication message.
Then, when the result is passed, the mutual communication is stored in the memory, If the electronic cash is used improperly, the license
A request to calculate the secret information of the user used when generating
3. The electronic cash distribution method according to claim 1 or 2.

(4)The user device transmits the secret information u
And the remainder modulo the composite number n from the secret information u
The result I calculated using the operation and the user for the result I
Sending the signature information of The bank-side device calculates I ′ from the result I, and
Using the secret information d of the banking device itself, the bank signature z =
(I ') ^d mod n is obtained and transmitted to the user device; The user device sets the I ′ to a blind value m of the I ′
And the blind value m is kept secret from the bank.
And the bank's signature w for the blind value m
From the bank signature z, the blind value m and the bank
Set of signature w (m , W) as the license, The user withdraws a certain amount of electronic cash from the bank
In this case, the user device has a hierarchy corresponding to the amount of money.
Calculate the value (t-value) corresponding to each node of the tree structure
And modulo the prime number p from the t-value of the highest node
The tree structure authentication information T is obtained by a remainder operation.
For the certificate information T, the license and the secret random number are used.
Generate authentication information and send it to the bank device, The bank-side device determines a withdrawal amount based on the authentication information.
Create a blind signature equivalent to
Send, The user device is configured to receive the broadcast received from the bank device.
From the lined signature, the tree structure authentication information T and the license
Of the tree structure authentication information T
Pair of the license and the bank signature corresponding to the withdrawal amount
Electronic cash flow according to claim 1, wherein the electronic cash flow is received as electronic cash.
Communication method.

Claim 5.The user who has received the electronic cash
However, when using the electronic cash at the retail store,
After determining the amount of use within the amount, you can
The node corresponding to the usage amount in the node of the tree structure
Determined, The user device presents the electronic cash, and
The remainder modulo n from the t-value of the value corresponding to this node A
Calculate the value β of the corresponding node A by calculation, and
The node A and the node A are transmitted to the store side device.
Corresponding to each of the sibling nodes of the ancestor node of node A
From the value (t-value) by remainder operation and one-way function operation
Transmitting the value to the retailer side device, The retailer side apparatus obtains the tree structure authentication from the transmitted value.
For the user information T, send question information α to the user device, The user device may receive the question information from the retail store device.
Calculates the response sentence corresponding to the report α from its own secret information u,
Transmit to the retailer side device, The retail store device checks the validity of the response sentence,
If the response is correct, pay the applicable usage amount by electronic cash
5. The electronic cash distribution method according to claim 4, wherein

6.From the user who received the electronic cash
When the electronic cash received by the retail store is settled at the bank
To At a later date, the retailer-side device may be configured to use the bank-side device for settlement.
The user device Communication between the device and the retail store device
Send a letter, The bank-side device checks the validity of the intercommunication message.
If it passes, the mutual communication is stored in the memory, If the electronic cash is used improperly, the license
Calculating secret information used at the time of generation;
Is the electronic cash distribution method described in 5.