JP3862397B2

JP3862397B2 - Information communication system

Info

Publication number: JP3862397B2
Application number: JP00662998A
Authority: JP
Inventors: 和臣大石
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 1998-01-16
Filing date: 1998-01-16
Publication date: 2006-12-27
Anticipated expiration: 2018-01-16
Also published as: JPH11202766A

Description

【０００１】
【発明の属する技術分野】
本発明は、公開鍵暗号を用いたディジタル署名方式を利用した情報通信システムに関する。
【０００２】
【従来の技術】
例えば、コンピュータと通信ネットワークの発展と広範な普及に伴い、従来は通信ネットワーク上で実現できなかった社会的活動等、多様な機能が実現できるようになった。
しかしながらその反面、誰が、いつ、どこで、何を行ったのかを容易に把握される場合があった。
そこで、これを防ぐために、匿名で通信処理を行うことで、プライバシーを保護し、且つ通信ネットワーク上で多様な機能を実現する方法が提案されている。
【０００３】
このような方法としては、例えば、公開鍵暗号を用いた方法があり、これにより、送信者は、通信内容を意図する受信者のみに送信でき、しかも受信者は、受信した通信内容の送信者が誰であるかを確実に確認することが可能となる。
そして、この方法を適用したものとしては、特願平８−１０８２２５号に開示されているディジタル署名方式及びそれを用いた情報通信システムがある。
【０００４】
ここで、「暗号」及び「匿名公開鍵証明書」について具体的に説明する。
【０００５】
（１）「暗号」
まず、「暗号」とは、情報の意味が当事者以外にには認識できないように情報を変換することをいう。そして、この暗号においては、元の文（変換されていない文）を「平文」といい、その平文を第三者に意味の分からない文（暗号文）に変換することを「暗号化」といい、その変換の手順を「暗号アルゴリズム」という。
平文及び暗号文は、テキストデータに限られるものではなく、音声や画像等、あらゆる情報を想定している。
暗号化は、「暗号化鍵」と呼ばれるパラメータに依存する変換である。そして、その暗号化で得られた暗号文を当事者が元の平文に戻すことを「復号」といい、その復号の際には、「復号鍵」と呼ばれる暗号化鍵に対応するパラメータが用いられる。一方、当事者以外の第三者が暗号文を元の平文に戻すこと、或いは、復号鍵を見いだすことを「解読」という。
【０００６】
上述のような暗号では暗号の安全性を、暗号化に用いる暗号化鍵或いは復号に用いる復号鍵に帰着させており、それらの鍵を知らなければ、たとえ暗号アルゴリズムを知っていても、平文は得られないようになっている。
したがって、所定の暗号化を行う装置（暗号装置）の製造者でも、解読不可能な暗号化を実現することができる。
【０００７】
また、暗号には、多くの暗号アルゴリズムがある。そこで、例えば、暗号化鍵を公開できるか否かの観点から、暗号を、非対称暗号（公開鍵暗号）と対称暗号（共通鍵暗号）の２つに分類して説明する。
【０００８】
（１−１）「非対称暗号（公開鍵暗号）」
「非対称暗号」とは、「公開鍵暗号」とも呼ばれ、暗号化鍵と復号鍵が異なり、暗号化鍵から復号鍵が容易に計算して得られないようになっており、また、暗号化鍵を公開し、復号鍵を秘密に保持して使用される暗号のことをいう。
このような非対称暗号は、以下のような特徴を持っている。
特徴１：暗号化鍵と復号鍵が異なり、暗号化鍵が公開されるため、暗号化鍵を秘密に配送する必要がなく、その鍵の配送が容易である。
特徴２：各利用者の暗号化鍵は公開されるため、各利用者は、各自の復号鍵のみ秘密に保持しておけばよい。
特徴３：送信されてきた通信文の送信者が偽者でないこと、及びその通信文が改ざんされていないことを受信者が確認するための認証（ディジタル署名）機能を実現できる。
【０００９】
ここで、暗号機能と上述の認証機能を実現できる非対称暗号としては、ＲＳＡ暗号（R.L.Rivest,A.Shamir and L.Adleman,"A method of obtaining digital signatures and public key cryptosystems,"Communications of ACM,Vol.21,No.2,pp.120-126,1978 ）や、ＥｌＧａｍａｌ暗号（T.E.ElGamal,"A public key cryptosystem and a signature scheme based on discrete logarithms,"IEEE Transaction on Information Theory,Vol.IT-31,No.4,pp.496-472,1985 ）が知られている。
また、認証機能を実現できる非対称暗号としては、Ｆｉａｔ−Ｓｈａｍｉｒ暗号（A.Fiat,A.Shamir,"How to prove yourself:practical solutions of identification and signature problrms,"Proc.of CRYPTO'86,1987 ）や、Ｓｃｈｎｏｒｒ暗号（C.P.Schnorr,"Efficient signature generation by smart cards,"Journal of Cryptology,vol.4,pp.161-174,1991 ）が知られている。
【００１０】
例えば、ＥｌＧａｍａｌ暗号における暗号化、復号、認証（ディジタル署名）の生成、及びその検証について具体的に説明する。
【００１１】
まず、「Ｚ」を整数全体の集合、「Ｚ_p」を０以上ｐ未満の整数の集合、「Ｚ_p＼｛０｝」をＺ_pから０を除いた集合、「Ｚ_p ^*」をＺ_pの要素且つｐと互いに素である整数の集合として表すものとする。
また、整数Ａ，Ｂ，Ｃに対して、
Ａ＝ＢｍｏｄＣ
なる関係が成り立つとき、ＢをＣで割ったときの余りがＡであること（任意の整数ｋが存在し、「Ｂ＝ｋ・Ｃ＋Ａ」が成り立つこと）を意味し、
Ａ≡Ｂ（ｍｏｄＣ）
なる関係が成り立つとき、ＡをＣで割ったときの余りと、ＢをＣで割ったときの余りとが等しいことを意味するものとする。
さらに、通信相手と共通の公開パラメータとしては、素数ｐ、Ｚ_p ^*の要素であり且つ位数ｐ−１のα、及び一方向性ハッシュ関数Ｈ₀：Ｚ→Ｚ_p＼｛０｝を用いる。また、任意のユーザｉの復号鍵（秘密鍵）を「ｓ_i∈Ｚ_p-1」とし、暗号化鍵（公開鍵）を「ｖ_i＝α^Siｍｏｄｐ」とする。
尚、「一方向性ハッシュ関数」とは、衝突を起こしにくい圧縮関数のことである。すなわち、「一方向性ハッシュ関数」とは、任意の長さのビット列を出力する関数であり、同じ出力となる入力を見つけることが困難である、という特徴を持っている。
【００１２】
▲１▼暗号化
そこで、ユーザｊが平文（メッセージ）ｍ（∈Ｚ_p）を暗号化してユーザｉに対して送信する場合、ユーザｊ用端末装置では、以下のステップ１〜ステップ４の手順でその処理が行われる。
尚、メッセージｍがＺ_pの要素でない場合、すなわちｐ以上の数値の場合には、そのメッセージｍをＺ_pの要素となるようにブロック分割され、各ブロックに対して、以下の手順の暗号化が行われる。
ステップ１：ユーザｊ用端末装置は、乱数ｋを生成する。
ステップ２：ユーザｊ用端末装置は、
Ｃ₁＝α^kｍｏｄｐ
なる計算を行う。
ステップ３：ユーザｊ用端末装置は、
Ｃ₂＝ｍ・ｖ_i ^kｍｏｄｐ
なる計算を行う。
ステップ４：ユーザｊ用端末装置は、ステップ２及び３の計算結果Ｃ₁及びＣ₂を、ユーザｉ用端末装置に対して送信する。
【００１３】
▲２▼復号
上記▲１▼暗号化により、ユーザｊ用端末装置からユーザｉ用端末装置には、Ｃ₁及びＣ₂が送信される。そして、ユーザｉ用端末装置は、ユーザｊ用端末装置から送信されてきたＣ₁及びＣ₂を用いて、メッセージｍを、
ｍ＝Ｃ₂／Ｃ₁ ^Siｍｏｄｐ
なる計算により求める。
【００１４】
▲３▼ディジタル署名の生成
上記▲２▼復号により得られたメッセージｍ（∈Ｚ）に対して、ユーザｉ用端末装置がディジタル署名を生成する場合、ユーザｉ用端末装置では、以下のステップ１〜ステップ４の手順でその処理が行われる。
尚、上記▲１▼暗号化で述べたように、メッセージｍをブロック分割する場合もあるが、ここでは、一方向性ハッシュ関数を用いる場合を説明する。
ステップ１：ユーザｉ用端末装置は、乱数ｋ（∈Ｚ_p-1 ^*）を生成する。
ステップ２：ユーザｉ用端末装置は、
ｒ＝α^kｍｏｄｐ
なる計算を行う。
ステップ３：ユーザｉ用端末装置は、
ｓ＝（Ｈ₀（ｍ）−ｓ_i・ｒ）・ｋ^-1ｍｏｄ（ｐ−１）
なる計算を行う。
ステップ４：ユーザｉ用端末装置は、ステップ２及び３の計算結果ｒ及びｓを、検証者に対して送信する。
【００１５】
▲４▼ディジタル署名の検証
そして、上記▲３▼ディジタル署名の生成により得られたディジタル署名を、ユーザｉ用端末装置が検証する場合、ユーザｉ用端末装置は、
α^H0(m)≡ｖ_i ^r・ｒ^S（ｍｏｄｐ）
なる関係が成り立つか否かを確認する。
【００１６】
（１−２）「対称暗号（共通鍵暗号）」
一方、「対称暗号」とは、「共通鍵暗号」とも呼ばれ、暗号化鍵と復号鍵が同一である暗号のことをいう。また、１９７０年後半に上述した非対称暗号（公開鍵暗号）が現れてから、従来から存在するこの対称暗号は、「慣用暗号」とも呼ばれるようになった。
このような対称暗号は、適当な長さの文字列（ブロック）毎に同じ暗号化鍵で暗号化するブロック暗号と、文字列又はビット毎に暗号化鍵を変えて暗号化するストリーム暗号とに分類される。
ブロック暗号としては、文字の順序を置き換えて暗号化する転置式暗号や、文字を他の文字に換える換字式暗号等があり、ＤＥＳ（Data Encryption Standard）や、ＦＥＡＬ（Fast data Encipherment Algorithm）といった商用暗号として広く用いられている。
ストリーム暗号は、メッセージに乱数をＸＯＲ（排他論理和）して、その内容を攪乱する暗号であり、このストリーム暗号としては、無限周期の乱数列を１回限りの使い捨て鍵として用いるバーナム暗号が知られている。
【００１７】
尚、上述した（１）暗号の更なる詳細は、「暗号理論入門」（岡本栄司著：共立出版）や、「Applied cryptography second edition:protocols,algorithms,and source code in C 」（Schneier著）、「John Wiley&Sons,Inc 」等に述べられている。
【００１８】
（２）「匿名公開鍵証明書」
つぎに、「匿名公開鍵証明書」とは、上述した（１−１）非対称暗号（公開鍵暗号）等において、任意のユーザと、そのユーザの公開鍵（暗号化鍵）との対応を保証するものである。
具体的には、「Certification Authority 」と呼ばれる信頼できる特別なユーザ（以下、ＣＡと言う）が、他のユーザ（以下、ユーザｊとする）の身元を、例えば、パスポートで確認し、ユーザｊの識別情報ＩＤ（氏名、性別、生年月日等の個人識別情報）、その公開鍵及び有効期限等を内容とするメッセージに対するディジタル署名を生成する。このディジタル署名が「匿名公開鍵証明書」である。
ＣＡの公開鍵は、誰でも確実に入手できるようになされており、ＣＡにて生成されたディジタル署名を検証することは容易である。これにより、例えば、ユーザｋがユーザｊと通信する際に、ユーザｊに対応する公開鍵を容易に且つ確実に確認することができると共に、他のユーザがユーザｊになりすますことを防ぎながら、公開鍵暗号による通信を可能とすることができる。
【００１９】
また、「匿名公開鍵証明書」とは、上述の匿名公開鍵証明書のユーザが、どこの誰であるかを分からないようにしたものでもある。これにより、プライバシー保護を要する用途、例えば、ある特別なサービスを受けることができる資格を有するが、身元を明かすことを防ぎたい場合に用いることができる。これを適用したものとしては、例えば、特願平８−１０８２２６号に開示されているグループ署名と呼ばれる特殊なディジタル署名方式がある。
【００２０】
上述のような匿名公開鍵証明書を適用したものとしては、例えば、特願平８−１０８２２５号に開示されている通信システムがある。
この通信システムでは、図５に示すようなステップＳ５００〜Ｓ５０４の処理が行われる。
以下、ステップＳ５００〜Ｓ５０４について具体的に説明する。
尚、以下の説明における各記号（「Ｚ」や「Ｚ_p」等）は、上述したＥｌＧａｍａｌ暗号の説明での各記号と同様に定義して用いるものとする。
【００２１】
ステップＳ５００：
先ず、システム共通の公開パラメータＰＶ（Public Vaiues ）としては、素数ｐ、位数ｑ（但し、ｑ｜ｐ−１）、Ｚ_p ^*の要素であり且つ位数ｑのα、一方向性ハッシュ関数Ｈ₁：Ｚ_q×Ｚ→｛０，・・・，２^t−１｝を用いる。
すなわち、ｑは、ｐ−１を割り切り、ｘ∈Ｚ_q＼｛０｝に対してα^x≡１（ｍｏｄｐ）ではなく、且つｘ＝ｑに対してα^x≡１（ｍｏｄｐ）であり、Ｈ₁は、Ｚ_qの要素とＺの要素を入力とし２^t−１以下の非負整数を出力する。
そして、これらのパラメータは、この通信システムに参加している全てのユーザがアクセスすることができ、且つ不当な改ざん等が起こらないように適切に管理されている公開データベースＰＤ（Public Database ）に登録されているものとする。
そこで、証明書発行者（authority ）Ｑ用端末装置７０は、復号鍵（秘密鍵）ｓ_Qと、暗号化鍵（公開鍵）ｖ_Q（ｖ_Q＝α^-sQｍｏｄｐ）とを生成し、公開鍵ｖ_Qを公開データベースＰＤに登録する。
また、ユーザ（User）ｊ用端末装置８０は、復号鍵（秘密鍵）ｓ_jと、暗号化鍵（公開鍵）ｖ_j（ｖ_j＝α^-sjｍｏｄｐ）とを生成し、公開鍵ｖ_jを公開データベースＰＤに登録する。
【００２２】
ステップＳ５０１：匿名公開鍵証明書の生成
次に、証明書発行者Ｑ用端末装置７０は、ユーザｊの公開鍵ｖ_jを、乱数（random number ）ｒを用いて変換したｚを求め、このｚに対する署名（Ｓｃｈｎｏｒｒ暗号によるディジタル署名）を生成する。
具体的には、証明書発行者Ｑ用端末装置７０は、乱数（秘密の乱数）ｒ（ｒ∈Ｚ_q＼｛０｝）を選択し、
ｘ＝α^rｍｏｄｐ
ｚ＝ｖ_j ^rｍｏｄｐ
ｅ＝Ｈ₁（ｘ，ｚ_j）
ｙ＝ｒ＋ｅ・ｓ_Qｍｏｄｑ
なる計算を行う。このＳｃｈｎｏｒｒ暗号によるディジタル署名（ｙ，ｅ，ｚ）が匿名公開鍵証明書である。
【００２３】
ステップＳ５０２：匿名公開鍵証明書の配送
次に、証明書発行者Ｑ用端末装置７０は、上述のステップＳ５０１にて生成した匿名公開鍵証明書（ｙ，ｅ，ｚ）を、ユーザｊ用端末装置８０に対して送信する。
これを受けたユーザｊ用端末装置８０は、ｅ及びｚを、
ｅ＝Ｈ₁（α^y・ｖ_Q ^eｍｏｄｐ，ｚ）
ｚ＝（α^y・ｖ_Q ^eｍｏｄｐ）^-Sjｍｏｄｐ
が成り立つことを確認する。
尚、ここでは、ｘ＝α^y・ｖ_Q ^eｍｏｄｐが成り立つことにより、表記の簡略化のためにｘを用いるものとする。
【００２４】
ステップＳ５０３：公開鍵暗号の利用
次に、ユーザｊ用端末装置８０は、αとｖ_jの代わりにｘとｚを用いて、離散対数問題に基づく公開鍵暗号を利用する。
例えば、Ｓｃｈｎｏｒｒ暗号によるディジタル署名を利用する場合、メッセージｍに対して、以下のようにしてディジタル署名を生成する。
すなわち、ユーザｊ用端末装置８０は、秘密の乱数ｒ_j（ｒ_j∈Ｚ_q ^*）を選択し、
ｘ_j＝ｘ^rjｍｏｄｐ
ｅ_j＝ｈ（ｘ_j，ｍ）
ｙ_j＝ｒ_j＋ｅ_j・ｓ_jｍｏｄｑ
なる計算を行う。そして、ユーザｊ用端末装置８０は、メッセージｍと共に、（（ｙ，ｅ，ｚ），ｙ_j，ｅ_j，ｍ）をディジタル署名として、必要な相手に対して送信する。
【００２５】
ステップＳ５０４：署名確認
そして、上述のステップＳ５０３にて送信されたディジタル署名（（ｙ，ｅ，ｚ），ｙ_j，ｅ_j，ｍ）の受信者（通信相手（Verifier））ｉ用端末装置９０は、先ず、上述のステップＳ５０２における
ｅ＝Ｈ₁（α^y・ｖ_Q ^eｍｏｄｐ，ｚ）
なる式を確認し、次に、
ｅ_j＝Ｈ₁（ｘ^yj・ｚ^ejｍｏｄｐ，ｍ）
なる式を確認する。
これらの確認ができた場合に、受信者ｉ用端末装置９０は、メッセージｍに対するディジタル署名は証明書発行者Ｑにより選ばれたユーザによって生成されたディジタル署名である、と認識する。
【００２６】
【発明が解決しようとする課題】
ところで、上記図５の通信システムで説明したような従来の匿名公開鍵証明書では、匿名性が満たされている。すなわち、任意の匿名公開鍵証明書がどのユーザに対応するものであるのかが分からないようになっている。このような匿名性は、以下の２つの仮定に基づくものである。
【００２７】
仮定１：離散対数問題
「Ｇ」を有限群とし、「α」をその生成元とする。また、「ｖ」をＧの元とし、底Ａに対するｖの離散対数を「ｌｏｇ［α］ｖ」とする。
そこで、Ｇの位数（元の個数）が充分大きい場合、離散対数ｌｏｇ［α］ｖを求めることは困難となる。
【００２８】
仮定２：離散対数の比較問題
「ｒ」と「ｓ」をＧのランダムな元とする。
そこで、α、ｖ＝α^s、ｘ＝α^r、ｚ＝α^rsが与えられたとき、Ｇの位数が充分大きく、ｒとｓが未知である場合、ｌｏｇ［α］ｖとｌｏｇ［ｘ］ｚが等しいか否かを判別することはできない。
【００２９】
上述のような仮定１及び仮定２が成り立つことにより、匿名公開鍵証明書は匿名性が満たされる。
【００３０】
しかしながら、従来では、仮定２のみを解くアルゴリズムが見いだされ、仮定１は成り立つが仮定２が成り立たず、匿名公開鍵証明書の匿名性が無くなる場合があった。
【００３１】
具体的にはまず、仮定１の離散対数問題を解くことは、現在までの研究成果によれば非常に難しいとされ、安全性の根拠として用いることは妥当であると考えられている。すなわち、このような離散対数問題が解ければ、仮定２の離散対数の比較問題も解けることになる。これにより、仮定２を解くことは、仮定１を解くことと同じくらい易しい、或いは、仮定１を解くことよりも易しい、ということがわかる。
したがって、この仮定２を解くことが仮定１を解くことよりどの程度易しいかは、現在のところ不明であるが、仮定２のみを解くアルゴリズムが見いだされた場合、仮定１は成り立つが仮定２が成り立たなくなるという事態が考えられる。このような場合に、上述した匿名公開鍵証明書の匿名性が無くなる。
【００３２】
そこで、本発明は、上記の欠点を除去するために成されたもので、如何なる場合でも匿名性を確実に保つことができるディジタル署名方式を用いた情報通信システムを提供することを目的とする。
【００３３】
【課題を解決するための手段】
本発明に係る情報通信システムは、端末装置ｊと証明書発行装置Ｑがネットワークで接続された情報通信システムであって、前記端末装置ｊは、素数ｐと０以上ｐ未満の整数の集合かつ素数ｐと互いに素である整数の集合の要素であり且つ位数（ｐ−１）のαとを含む公開パラメータを用いて、秘密鍵ｓ_j及び公開鍵ｖ_jのペアを生成する生成手段と、前記公開鍵ｖ_jを公開する公開手段とを有し、前記証明書発行装置Ｑは、前記公開パラメータ、前記公開鍵ｖ_j、乱数ｋ、前記証明書発行装置Ｑに対する秘密鍵ｓ_Q、及び式ｒ＝ｖ_j ^kｍｏｄｐを用いて、平文ｍに対する署名ｒ，ｓを生成する生成手段と、前記平文ｍと署名ｒ，ｓを前記端末装置ｊに送信する送信手段とを有し、さらに、前記端末装置ｊは、前記秘密鍵ｓ_jと、式ｓ_j’＝ｓ・ｓ_j ^-1ｍｏｄ（ｐ−１）を用いて、ｓ_j’を計算する計算手段と、前記計算されたｓ_j’、署名ｒ、平文ｍと前記証明書発行装置に対する公開鍵ｖ_Qを用いて、前記平文ｍの署名が正しいかを確認する確認手段と、前記計算されたｓ_j’を秘密鍵として、公開鍵暗号による暗号を行う暗号手段とを有することを特徴とする。
【００４９】
【発明の実施の形態】
以下、本発明の実施の形態について図面を用いて説明する。
【００５０】
まず、第１の実施の形態について説明する。
【００５１】
本発明に係るディジタル署名方式は、例えば、図１に示すような通信システム１００により実施され、この通信システム１００は、本発明に係る情報通信システムを適用したものでもある。
【００５２】
すなわち、通信システム１００では、証明書発行者Ｑ用端末装置２０と、ユーザｊ，ｉ，ｋを含む複数のユーザ用端末装置３０、４０、５０、・・・とがネットワーク１０上で接続されており、各端末装置は、ネットワーク１０を介して互いに通信するようになされている。また、通信システム１００には、各ユーザに共通の公開パラメータＰＶ（Public Values ）が管理されている公開データベースＰＤ（Public Database ）が設けられている。
【００５３】
証明書発行者Ｑ用端末装置２０は、証明書発行者Ｑ固有の秘密鍵ｓ_Q（秘密情報）及び公開鍵ｖ_Q（公開情報）を生成する公開鍵生成部２１と、秘密鍵ｓ_Q及び公開パラメータＰＶを用いて平文ｍに対する署名（匿名公開鍵証明書）を生成する署名生成部２２とを備えている。
【００５４】
一方、ユーザ用端末装置３０、４０、５０、・・・は、各々同様の構成としている。
例えば、ユーザｊ用端末装置３０は、ユーザｊ固有の秘密鍵ｓ_j及び公開鍵ｖ_jを生成する公開鍵生成部３１と、平文ｍと上記署名の対応関係が正しいか否かを判別する判別部３２と、新たな署名を生成する署名生成部３３とを備えている。
また、ユーザｊ用端末装置３０は、新たな署名を確認する確認部３５と、確認部３５で確認された新たな署名を用いて平文を暗号化する暗号化部３６と、確認部３５で確認された新たな署名を用いて暗号文を復号する復号部３４とを備えている。
【００５５】
以下、上述のような通信システム１００の動作を上記図１及び図２を用いて説明する。
尚、上記図２中の記号は、上記図５と同様の表記規則に従うものとする。
【００５６】
ステップＳ２００：
先ず、通信システム１００の共通のデータとして、大きな素数ｐ、Ｚ_p ^*の要素であり且つ位数ｐ−１のα、一方向性ハッシュ関数Ｈ₀：Ｚ→Ｚ_p＼｛０｝を用いる。
尚、ｐは、例えば、「ｐ＞２⁵¹²」とする。
これらのパラメータ（公開パラメータＰＶ（Public Values ））は、通信システム１００に参加している全てのユーザがアクセスすることができ、且つ不当な改ざん等が起こらないように適切に管理されている公開データベースＰＤ（Public Database ）に登録されているものとする。
そこで、証明書発行者（authority ）Ｑ用端末装置２０は、公開鍵生成部２１により、秘密鍵（復号鍵）ｓ_Q（∈Ｚ_p-1 ^*）と、公開鍵（暗号化鍵）ｖ_Q（＝α^sQｍｏｄｐ）とを生成し、公開鍵ｖ_Qを公開データベースＰＤに登録する。
また、任意のユーザ用端末装置（ここではユーザ（User）ｊ用端末装置３０とする）は、公開鍵生成部３１により、秘密鍵（復号鍵）ｓ_j（∈Ｚ_p-1 ^*）と、公開鍵（暗号化鍵）ｖ_j（＝α^sjｍｏｄｐ）とを生成し、公開鍵ｖ_jを公開データベースＰＤに登録する。
【００５７】
ステップＳ２０１：匿名公開鍵証明書の生成
証明書発行者Ｑ用端末装置２０は、署名生成部２２により、ユーザｊの公開鍵ｖ_jを、乱数（random number ）ｋを用いて変換したｒを求め、平文ｍに対する署名（例えば、ＥｌＧａｍａｌ暗号によるディジタル署名）を生成する。
具体的には、署名生成部２２は、乱数（秘密の乱数）ｋ（ｋ∈Ｚ_p-1 ^*）を選択し、
ｒ＝ｖ_j ^kｍｏｄｐ
ｓ＝（Ｈ₀（ｍ）−ｓ_Q・ｒ）・ｋ^-1ｍｏｄ（ｐ−１）
なる計算を行う。この平文ｍに対するＥｌＧａｍａｌ暗号によるディジタル署名ｒ，ｓが匿名公開鍵証明書である。また、平文ｍは、その匿名公開鍵証明書の種類を示すパラメータとして使用できる。
尚、匿名公開鍵証明書の種類を示すパラメータとしては、平文ｍ或いはＨ₀（ｍ）の代わりに、予め決められた固定値を使用してもよい。
【００５８】
ステップＳ２０２：匿名公開鍵証明書の配送
次に、証明書発行者Ｑ用端末装置２０は、署名生成部２２で生成したディジタル署名ｒ，ｓと、その種類を示すパラメータｍとを匿名公開鍵証明書（ｍ，ｒ，ｓ）として、ユーザｊ用端末装置３０に対して送信する。
【００５９】
ステップＳ２０３：
これを受けたユーザｊ用端末装置３０は、判別部３２により、
ｓ_j’＝ｓ・ｓ_j ^-1ｍｏｄ（ｐ−１）
を求め、
α^H0(m)≡ｖ_Q ^r・ｒ^sj'（ｍｏｄｐ）
が成り立つことを確認する。
【００６０】
ステップＳ２０４：公開鍵暗号の利用
そして、ユーザｊ用端末装置３０は、
α^H0(m)・ｖ_Q ^-r≡ｒ^sj'（ｍｏｄｐ）
により、「ｒ」を底、「α^H0(m)・ｖ_Q ^-rｍｏｄｐ」を公開鍵、「ｓ_j’」を秘密鍵として、離散対数問題に基づく公開鍵暗号を利用する。
【００６１】
そこで、例えば、ＥｌＧａｍａｌ暗号によるディジタル署名を利用する場合について説明する。
【００６２】
ステップＳ２０４（１）：ディジタル署名の生成
ユーザｊ用端末装置３０は、署名生成部３３により、平文ｍ’に対する署名を以下のようにして生成する。
▲１▼署名生成部３３は、乱数ｋ’（∈Ｚ_p-1 ^*）を生成する。
▲２▼署名生成部３３は、
ｒ’＝α^k'ｍｏｄｐ
を計算する。
▲３▼署名生成部３３は、
ｓ’＝（Ｈ₀（ｍ’）−ｓ_j’・ｒ）・（ｋ’）^-1ｍｏｄ（ｐ−１）
を計算する。
▲４▼そして、ユーザｊ用端末装置３０は、ｍ’と、署名生成部３３で得られたｒ’及びｓ’を、証明書発行者Ｑ用端末装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に通信相手（ここではユーザｉ用端末装置４０とする）に対して送信する。
【００６３】
ステップＳ２０４（２）：署名検証
これを受けたユーザｉ用端末装置４０は、確認部４５により、
ｒ^H0(m')≡（α^H0(m)・ｖ_Q ^-r）^r'・（ｒ’）^s'（ｍｏｄｐ）
なる式が成立するかを確認する。
そして、ユーザｉ用端末装置４０は、この確認ができた場合に、ｍ’に対する署名は証明書発行者Ｑによって選ばれたユーザによって生成された署名であることを認識する。
【００６４】
また、上述のステップＳ２０４：公開鍵暗号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、ＥｌＧａｍａｌ暗号による暗号化を行う場合について説明する。
【００６５】
暗号化：
ユーザｋ用端末装置５０は、暗号化部５６により、平文ｍ”を以下のようにして暗号化する。
▲１▼暗号化部５６は、乱数ｋ”を生成する。
▲２▼暗号化部５６は、
Ｃ₁＝ｒ^k"ｍｏｄｐ
を計算する。
▲３▼暗号化部５６は、
Ｃ₂＝ｍ”・（α^H0(m)・ｖ_Q ^-rｍｏｄｐ）^k"ｍｏｄｐ
を計算する。
▲４▼そして、ユーザｋ用端末装置５０は、暗号化部５６で得られたＣ₁及びＣ₂を、ユーザｊ用端末装置３０に対して送信する。
【００６６】
復号：
これを受けたユーザｊ用端末装置３０は、復号部３４により、
ｍ”＝Ｃ₂／Ｃ₁ ^sj'ｍｏｄｐ
なる計算を行って、平文ｍ”を得る。
【００６７】
尚、上述のステップＳ２０４：公開鍵暗号の利用として、ＥｌＧａｍａｌ暗号を用いたものを説明したが、これに限らず、離散対数問題に基づく公開鍵暗号等を用いたものにも利用することができる。
【００６８】
つぎに、第２の実施の形態について説明する。
【００６９】
この第２の実施の形態では、上述した第１の実施の形態における通信システム１００に、ＥｌＧａｍａｌ暗号のディジタル署名方式の変形版を適用する。
このため、第１の実施の形態では、ＥｌＧａｍａｌ暗号でｐ−１を用いて法演算を行うのに対して、第２の実施の形態では、素数ｑ（ｑはｐ−１を割り切る）を用いて法演算を行うという点が異なる。
【００７０】
尚、この第２の実施の形態を実施する通信システム１００の構成については、上述した第１の実施の形態と同様であるため、その詳細な説明は省略する。
以下、第１の実施の形態と異なる点についてのみ、図３を用いて具体的に説明する。
【００７１】
ステップＳ３００：
先ず、通信システム１００の共通のデータとして、大きな素数ｐ、ｑ（ｑはｐ−１を割り切る）、Ｚ_p ^*の要素であり且つ位数ｑのα、一方向性ハッシュ関数Ｈ₀：Ｚ→Ｚ_q＼｛０｝、Ｈ₁：Ｚ_q×Ｚ→｛０，・・・，２^t−１｝を用いる。
尚、ここでは、例えば、「ｐ＞２⁵¹²」、「ｑ＞２¹⁶⁰」、「ｔ＞７２」とする。
これらのパラメータ（公開パラメータＰＶ）は、通信システム１００に参加している全てのユーザがアクセスすることができ、且つ不当な改ざん等が起こらないように適切に管理されている公開データベースＰＤに登録されているものとする。
そこで、証明書発行者Ｑ用端末装置２０は、公開鍵生成部２１により、秘密鍵ｓ_Q（∈Ｚ_q＼｛０｝）と、公開鍵ｖ_Q（＝α^sQｍｏｄｐ）とを生成し、公開鍵ｖ_Qを公開データベースＰＤに登録する。
また、任意のユーザ用端末装置（ここではユーザ（User）ｊ用端末装置３０とする）は、公開鍵生成部３１により、秘密鍵ｓ_j（∈Ｚ_q＼｛０｝）と、公開鍵ｖ_j（＝α^sjｍｏｄｐ）とを生成し、公開鍵ｖ_jを公開データベースＰＤに登録する。
【００７２】
ステップＳ３０１：匿名公開鍵証明書の生成
証明書発行者Ｑ用端末装置２０は、署名生成部２２により、ユーザｊの公開鍵ｖ_jを、乱数（random number ）ｋを用いて変換したｒを求め、平文ｍに対する署名（例えば、ＥｌＧａｍａｌ暗号によるディジタル署名）を生成する。
具体的には、署名生成部２２は、乱数（秘密の乱数）ｋ（ｋ∈Ｚ_q＼｛０｝）を選択し、
ｒ＝ｖ_j ^kｍｏｄｐ
ｓ＝（Ｈ₀（ｍ）−ｓ_Q・ｒ）・ｋ^-1ｍｏｄｑ
なる計算を行う。この平文ｍに対するＥｌＧａｍａｌ暗号によるディジタル署名ｒ，ｓが匿名公開鍵証明書である。また、平文ｍは、その匿名公開鍵証明書の種類を示すパラメータとして使用できる。
尚、匿名公開鍵証明書の種類を示すパラメータとしては、平文ｍ或いはＨ₀（ｍ）の代わりに、予め決められた固定値を使用してもよい。
【００７３】
ステップＳ３０２：匿名公開鍵証明書の配送
次に、証明書発行者Ｑ用端末装置２０は、署名生成部２２で生成したディジタル署名ｒ，ｓと、その種類を示すパラメータｍとを匿名公開鍵証明書（ｍ，ｒ，ｓ）として、ユーザｊ用端末装置３０に対して送信する。
【００７４】
ステップＳ３０３：
これを受けたユーザｊ用端末装置３０は、判別部３２により、
ｓ_j’＝ｓ・ｓ_j ^-1ｍｏｄｑ
を求め、
α^H0(m)≡ｖ_Q ^r・ｒ^sj'（ｍｏｄｐ）
が成り立つことを確認する。
【００７５】
ステップＳ３０４：公開鍵暗号の利用
そして、ユーザｊ用端末装置３０は、
α^H0(m)・ｖ_Q ^-r≡ｒ^sj'（ｍｏｄｐ）
により、「ｒ」を底、「α^H0(m)・ｖ_Q ^-rｍｏｄｐ」を公開鍵、「ｓ_j’」を秘密鍵として、離散対数問題に基づく公開鍵暗号を利用する。
【００７６】
そこで、例えば、Ｓｃｈｏｎｏｒｒ暗号によるディジタル署名を利用する場合について説明する。
【００７７】
ステップＳ３０４（１）：ディジタル署名の生成
ユーザｊ用端末装置３０は、署名生成部３３により、平文ｍ’に対する署名を以下のようにして生成する。
▲１▼署名生成部３３は、乱数ｋ’（∈Ｚ_q＼｛０｝）を生成する。
▲２▼署名生成部３３は、
ｘ＝ｒ^k'ｍｏｄｐ
を計算する。
▲３▼署名生成部３３は、
ｅ＝Ｈ₁（ｘ，ｍ’）
を計算する。
▲４▼署名生成部３３は、
ｙ＝ｋ’−ｅ・ｓ_j’ｍｏｄｑ
を計算する。
▲５▼そして、ユーザｊ用端末装置３０は、ｍ’と、署名生成部３３で得られたｅ及びｙを、証明書発行者Ｑ用端末装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に通信相手（ここではユーザｉ用端末装置４０とする）に対して送信する。
【００７８】
ステップＳ３０４（２）：署名検証
これを受けたユーザｉ用端末装置４０は、確認部４５により、
ｅ＝Ｈ₁（ｒ^y・（α^H0(m')・ｖ_Q ^-r）^eｍｏｄｐ，ｍ’）
なる式が成立するかを確認する。
そして、ユーザｉ用端末装置４０は、この確認ができた場合に、ｍ’に対する署名は、証明書発行者Ｑによって選ばれたユーザによって生成された署名であることを認識する。
【００７９】
また、上述のステップＳ３０４：公開鍵暗号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、ＥｌＧａｍａｌ暗号による暗号化を行う場合について説明する。
【００８０】
暗号化：
ユーザｋ用端末装置５０は、暗号化部５６により、平文ｍ”を以下のようにして暗号化する。
▲１▼暗号化部５６は、乱数ｋ”を生成する。
▲２▼暗号化部５６は、
Ｃ₁＝ｒ^k"ｍｏｄｐ
を計算する。
▲３▼暗号化部５６は、
Ｃ₂＝ｍ”・（α^H0(m)・ｖ_Q ^-rｍｏｄｐ）^k"ｍｏｄｐ
を計算する。
▲４▼そして、ユーザｋ用端末装置５０は、暗号化部５６で得られたＣ₁及びＣ₂を、ユーザｊ用端末装置３０に対して送信する。
【００８１】
復号：
これを受けたユーザｊ用端末装置３０は、復号部３４により、
ｍ”＝Ｃ₂／Ｃ₁ ^sj'ｍｏｄｐ
なる計算を行って、平文ｍ”を得る。
【００８２】
尚、上述のステップＳ３０４：公開鍵暗号の利用として、Ｓｃｈｎｏｒｒ暗号やＥｌＧａｍａｌ暗号を用いたものを説明したが、これに限らず、離散対数問題に基づく公開鍵暗号等を用いたものにも利用することができる。
【００８３】
つぎに、第３の実施の形態について説明する。
【００８４】
この第３の実施の形態では、上述した第１の実施の形態における通信システム１００に、ＥｌＧａｍａｌ暗号のディジタル署名方式の変形版を適用する。
すなわち、第３の実施の形態では、第１の実施の形態と同様に、匿名公開鍵証明書において平文ｍ（平文ｍを元に計算して得たＨ₀（ｍ））を用いる際に、Ｈ₀（ｍ）＝０とする。
【００８５】
尚、この第３の実施の形態を実施する通信システム１００の構成については、上述した第１の実施の形態と同様であるため、その詳細な説明は省略する。
以下、第１の実施の形態と異なる点についてのみ、図４を用いて具体的に説明する。
【００８６】
ステップＳ４００：
先ず、通信システム１００の共通のデータとして、素数ｐ、Ｚ_p ^*の要素であり且つ位数ｐ−１のα、一方向性ハッシュ関数Ｈ₀：Ｚ→Ｚ_p＼｛０｝を用いる。
尚、ｐは、例えば、「ｐ＞２⁵¹²」とする。
これらのパラメータ（公開パラメータＰＶ）は、通信システム１００に参加している全てのユーザがアクセスすることができ、且つ不当な改ざん等が起こらないように適切に管理されている公開データベースＰＤに登録されているものとする。
そこで、証明書発行者Ｑ用端末装置２０は、公開鍵生成部２１により、秘密鍵ｓ_Q（∈Ｚ_p-1 ^*）と、公開鍵ｖ_Q（＝α^sQｍｏｄｐ）とを生成し、公開鍵ｖ_Qを公開データベースＰＤに登録する。
また、任意のユーザ用端末装置（ここではユーザ（User）ｊ用端末装置３０とする）は、公開鍵生成部３１により、秘密鍵ｓ_j（∈Ｚ_p-1 ^*）と、公開鍵ｖ_j（＝α^sjｍｏｄｐ）とを生成し、公開鍵ｖ_jを公開データベースＰＤに登録する。
【００８７】
ステップＳ４０１：匿名公開鍵証明書の生成
証明書発行者Ｑ用端末装置２０は、署名生成部２２により、ユーザｊの公開鍵ｖ_jを、乱数（random number ）ｋを用いて変換したｒを求め、Ｅｌｇａｍａｌ暗号のディジタル署名の変形版、例えば、平文ｍをハッシュ関数の入力とした結果が「０」となるＥｌＧａｍａｌ暗号の署名を生成する。
具体的には、署名生成部２２は、乱数（秘密の乱数）ｋ（ｋ∈Ｚ_p-1 ^*）を選択し、
ｒ＝ｖ_j ^kｍｏｄｐ
ｓ＝ｓ_Q・ｒ・ｋ^-1ｍｏｄ（ｐ−１）
なる計算を行う。このディジタル署名ｒ，ｓが匿名公開鍵証明書である。
【００８８】
ステップＳ４０２：匿名公開鍵証明書の配送
次に、証明書発行者Ｑ用端末装置２０は、署名生成部２２で生成したディジタル署名ｒ，ｓを匿名公開鍵証明書（ｒ，ｓ）として、ユーザｊ用端末装置３０に対して送信する。
【００８９】
ステップＳ４０３：
これを受けたユーザｊ用端末装置３０は、判別部３２により、
ｓ_j’＝ｓ・ｓ_j ^-1ｍｏｄ（ｐ−１）
を求め、
ｖ_Q ^r≡ｒ^sj'（ｍｏｄｐ）
が成り立つことを確認する。
【００９０】
ステップＳ４０４：公開鍵暗号の利用
そして、ユーザｊ用端末装置３０は、
ｖ_Q ^r≡ｒ^sj'（ｍｏｄｐ）
により、「ｒ」を底、「ｖ_Q ^rｍｏｄｐ」を公開鍵、「ｓ_j’」を秘密鍵として、離散対数問題に基づく公開鍵暗号を利用する。
【００９１】
そこで、例えば、ＥｌＧａｍａｌ暗号によるディジタル署名を利用する場合について説明する。
【００９２】
ステップＳ４０４（１）：ディジタル署名の生成
ユーザｊ用端末装置３０は、署名生成部３３により、平文ｍ’に対する署名を以下のようにして生成する。
▲１▼署名生成部３３は、乱数ｋ’（∈Ｚ_p-1 ^*）を生成する。
▲２▼署名生成部３３は、
ｒ’＝α^k'ｍｏｄｐ
を計算する。
▲３▼署名生成部３３は、
ｓ’＝（Ｈ（ｍ’）−ｓ_j’・ｒ）・（ｋ’）^-1ｍｏｄ（ｐ−１）
を計算する。
▲４▼そして、ユーザｊ用端末装置３０は、ｍ’と、署名生成部３３で得られたｒ’及びｓ’を、証明書発行者Ｑ用端末装置２０からの匿名公開鍵証明書（ｍ，ｒ）と共に通信相手（ここではユーザｉ用端末装置４０とする）に対して送信する。
【００９３】
ステップＳ４０４（２）：署名検証
これを受けたユーザｉ用端末装置４０は、確認部４５により、
ｒ^H0(m')≡（ｖ_Q ^r）^r'・（ｒ’）^s'（ｍｏｄｐ）
なる式が成立するかを確認する。
そして、ユーザｉ用端末装置４０は、この確認ができた場合に、ｍ’に対する署名は、証明書発行者Ｑによって選ばれたユーザによって生成された署名であることを認識する。
【００９４】
また、上述のステップＳ４０４：公開鍵暗号の利用としては、暗号化にも利用することができる。
そこで、例えば、ユーザｋ用端末装置５０において、ＥｌＧａｍａｌ暗号による暗号化を行う場合について説明する。
【００９５】
暗号化：
ユーザｋ用端末装置５０は、暗号化部５６により、平文ｍ”を以下のようにして暗号化する。
▲１▼暗号化部５６は、乱数ｋ”を生成する。
▲２▼暗号化部５６は、
Ｃ₁＝ｒ^k"ｍｏｄｐ
を計算する。
▲３▼暗号化部５６は、
Ｃ₂＝ｍ”・（ｖ_Q ^rｍｏｄｐ）^k"ｍｏｄｐ
を計算する。
▲４▼そして、ユーザｋ用端末装置５０は、暗号化部５６で得られたＣ₁及びＣ₂を、ユーザｊ用端末装置３０に対して送信する。
【００９６】
復号：
これを受けたユーザｊ用端末装置３０は、復号部３４により、
ｍ”＝Ｃ₂／Ｃ₁ ^sj'ｍｏｄｐ
なる計算を行って、平文ｍ”を得る。
【００９７】
尚、上述のステップＳ４０４：公開鍵暗号の利用として、ＥｌＧａｍａｌ暗号を用いたものを説明したが、これに限らず、離散対数問題に基づく公開鍵暗号等を用いたものにも利用することができる。
【００９８】
上述のように、本発明においては、ｐは素数、αの位数はｐ−１、ｒ≡ｖ_j ^k≡α^sjk（ｍａｄｐ）であり、ｓ_j∈Ｚ_p-1 ^*、ｋ∈Ｚ_p-1 ^*である。或いは、ｐとｑが素数で、ｑはｐ−１を割り切り、αの位数がｑ、ｒ≡ｖ_j ^k≡α^sjk（ｍａｄｐ）であり、ｓ_j∈Ｚ_q＼｛０｝、ｋ∈Ｚ_q＼｛０｝である。
したがって、任意のｒが与えられたとき、そのｒは、どのユーザの公開鍵からも計算して得ることができる値であり、実際に使用されたｋの値が分からない限りは、どのユーザの公開鍵から計算して得られたのかは全く特定することができない。換言すれば、匿名公開鍵証明書である署名ｒには、どのユーザの匿名公開鍵証明書であるかを特定するための情報が一切含まれない。これにより、計算量的な上述した仮定２によってではなく、情報量的に匿名性が実現されており、仮定２が成り立たなくなる事態が起きたとしても、匿名性を確実に保つことができる。このため、プライバシー保護に関する安全性を向上させることができる。
【００９９】
また、上述した何れの実施の形態においても、以下のように運用することで、プライバシー保護に関する安全性をさらに向上させることができる。
▲１▼証明書発行者Ｑ用端末装置２０は、任意のユーザ用端末装置（例えば、ユーザｊ用端末装置３０）に対して毎回異なる乱数ｋを用いた匿名公開鍵証明書を生成してユーザｊ用端末装置３０に対して送信する。
▲２▼これを受けたユーザｊ用端末装置３０は、ディジタル署名を生成せずに、１つの匿名公開証明書を異なる平文に対して使用する。
このような、匿名公開鍵証明書を使用する方式（One-time Certificates 、使い捨て証明書方式）により、任意のディジタル署名を生成したユーザと、それとは別のディジタル署名を生成したユーザとが、同一のユーザであるか否かを判別することは、証明書発行者Ｑと、上記任意のディジタル署名を生成したユーザ以外のユーザとにとって、情報量的に非常に困難、すなわち不可能である。したがって、ユーザの匿名性は情報量的に保たれるため、プライバシー保護に関する安全性をさらに向上させることができる。
【０１００】
【発明の効果】
以上説明したように本発明によれば、匿名公開鍵証明書である署名には、どのユーザの匿名公開鍵証明書であるかを特定するための情報が一切含まれない。これにより、計算量的な上述した仮定２によってではなく、情報量的に匿名性が実現されており、仮定２が成り立たなくなる事態が起きたとしても、匿名性を確実に保つことができる。したがって、プライバシー保護に関する安全性を向上させることができる。
【図面の簡単な説明】
【図１】第１の実施の形態において、本発明に係る情報通信システムを適用した通信システムの構成を示すブロック図である。
【図２】上記通信システムにおけるディジタル署名方式を説明するための図である。
【図３】第２の実施の形態において、上記通信システムにおけるディジタル署名方式を説明するための図である。
【図４】第３の実施の形態において、上記通信システムにおけるディジタル署名方式を説明するための図である。
【図５】従来のディジタル署名方式を説明するための図である。
【符号の説明】
１０ネットワーク
２０証明書発行者用端末装置
２１公開鍵生成部
２２署名生成部
３０〜５０ユーザ用端末装置
３１公開鍵生成部
３２判別部
３３署名生成部
３４復号部
３５、４５確認部
３６、５６暗号化部[0001]
BACKGROUND OF THE INVENTION
  The present invention relates to an information communication system using a digital signature scheme using public key cryptography.
[0002]
[Prior art]
For example, with the development and widespread use of computers and communication networks, various functions such as social activities that could not be realized on communication networks can be realized.
However, on the other hand, there are cases where it is easy to know who has done what, when, where and what.
Therefore, in order to prevent this, a method has been proposed in which privacy is protected by performing communication processing anonymously and various functions are realized on a communication network.
[0003]
As such a method, for example, there is a method using public key cryptography, whereby the sender can transmit only to the receiver intended for the communication contents, and the receiver is the sender of the received communication contents. It is possible to reliably check who the person is.
As a method to which this method is applied, there is a digital signature method disclosed in Japanese Patent Application No. 8-108225 and an information communication system using the digital signature method.
[0004]
Here, “cryptography” and “anonymous public key certificate” will be specifically described.
[0005]
(1) "Cryptography"
First, “encryption” refers to converting information so that the meaning of the information cannot be recognized by anyone other than the parties. In this cipher, the original sentence (unconverted sentence) is called “plain text”, and the conversion of the plain text into a sentence (cipher text) whose meaning is unknown to a third party is called “encryption”. The conversion procedure is called “cryptographic algorithm”.
Plaintext and ciphertext are not limited to text data, and assume all kinds of information such as sound and images.
Encryption is a conversion that depends on a parameter called an “encryption key”. Then, returning the ciphertext obtained by the encryption to the original plaintext by the parties is called “decryption”, and a parameter corresponding to the encryption key called “decryption key” is used for the decryption. . On the other hand, when a third party other than the parties restores the ciphertext to the original plaintext or finds the decryption key, it is called “decryption”.
[0006]
In the above encryption, the security of encryption is reduced to the encryption key used for encryption or the decryption key used for decryption. If these keys are not known, even if the encryption algorithm is known, the plaintext is It cannot be obtained.
Therefore, even a manufacturer of a device (encryption device) that performs predetermined encryption can realize encryption that cannot be decrypted.
[0007]
In addition, there are many encryption algorithms for encryption. Therefore, for example, from the viewpoint of whether or not the encryption key can be disclosed, the encryption is classified into two types: asymmetric encryption (public key encryption) and symmetric encryption (common key encryption).
[0008]
(1-1) “Asymmetric encryption (public key encryption)”
“Asymmetric cryptography” is also called “public key cryptography”. The encryption key and the decryption key are different, and the decryption key cannot be easily calculated from the encryption key. This is a cipher that is used with the key disclosed and the decryption key kept secret.
Such an asymmetric cipher has the following characteristics.
Feature 1: Since the encryption key and the decryption key are different and the encryption key is made public, it is not necessary to secretly deliver the encryption key, and the key can be easily delivered.
Feature 2: Since each user's encryption key is made public, each user only needs to keep his or her decryption key secret.
Feature 3: It is possible to realize an authentication (digital signature) function for the receiver to confirm that the sender of the transmitted message is not a fake and that the message has not been tampered with.
[0009]
Here, as an asymmetric cipher capable of realizing the encryption function and the above-described authentication function, the RSA cipher (RLRivest, A. Shamir and L. Adleman, “A method of obtaining digital signatures and public key cryptosystems,” “Communications of ACM, Vol. .21, No.2, pp.120-126,1978) and ElGamal encryption (TEElGamal, "A public key cryptosystem and a signature scheme based on discrete logarithms," IEEE Transaction on Information Theory, Vol.IT-31, No. 4, pp. 496-472, 1985) is known.
Also, as an asymmetric cipher that can realize the authentication function, the Fiat-Shamir cipher (A. Fiat, A. Shamir, “How to prove yourself: practical solutions of identification and signature problrms,” Proc. Of CRYPTO'86, 1987) Schnorr cipher (CP Schnorr, "Efficient signature generation by smart cards," Journal of Cryptology, vol. 4, pp. 161-174, 1991) is known.
[0010]
For example, encryption, decryption, generation of authentication (digital signature) and verification thereof in the ElGamal encryption will be specifically described.
[0011]
First, “Z” is a set of whole integers, “Z_p"Is a set of integers between 0 and p," Z_p\ {0} "to Z_pThe set of zeros removed from "Z_p ^*To Z_pAnd a set of integers that are relatively prime to p.
For integers A, B, and C,
A = BmodC
Means that the remainder when B is divided by C is A (arbitrary integer k exists and “B = k · C + A” holds),
A≡B (modC)
When the following relationship holds, it means that the remainder when A is divided by C is equal to the remainder when B is divided by C.
Furthermore, as public parameters common to the communication partner, prime numbers p, Z_p ^*Of the order p-1 and the one-way hash function H₀: Z → Z_p\ {0} is used. Also, the decryption key (secret key) of any user i is set to “s_i∈Z_p-1"And the encryption key (public key) is" v_i= Α^Simodp ".
The “one-way hash function” is a compression function that does not easily cause a collision. That is, the “one-way hash function” is a function that outputs a bit string having an arbitrary length, and has a feature that it is difficult to find an input that has the same output.
[0012]
(1) Encryption
Therefore, the user j is a plaintext (message) m (∈Z_p) Is encrypted and transmitted to the user i, the terminal device for user j performs the processing in the following steps 1 to 4.
The message m is Z_pIf it is not an element of i.e., a value greater than or equal to p, the message m is set to Z_pThe blocks are divided so as to be elements of the following, and the encryption of the following procedure is performed for each block.
Step 1: The terminal device for user j generates a random number k.
Step 2: The terminal device for user j
C₁= Α^kmodp
Perform the following calculation.
Step 3: The terminal device for user j
C₂= M ・ v_i ^kmodp
Perform the following calculation.
Step 4: The terminal device for user j calculates the calculation result C in steps 2 and 3.₁And C₂Is transmitted to the terminal device for user i.
[0013]
(2) Decryption
From the above (1) encryption, the terminal device for user j to the terminal device for user i₁And C₂Is sent. Then, the terminal device for user i transmits the C transmitted from the terminal device for user j.₁And C₂To use the message m
m = C₂/ C₁ ^Simodp
It is calculated by the following.
[0014]
(3) Digital signature generation
(2) When the user i terminal device generates a digital signature for the message m (εZ) obtained by the decryption, the user i terminal device performs the following steps 1 to 4 in the procedure. Processing is performed.
As described in the above (1) encryption, the message m may be divided into blocks. Here, a case where a one-way hash function is used will be described.
Step 1: The terminal device for user i uses a random number k (εZ_p-1 ^*) Is generated.
Step 2: The terminal device for user i
r = α^kmodp
Perform the following calculation.
Step 3: The terminal device for user i
s = (H₀(M) -s_i・ R) ・ k^-1mod (p-1)
Perform the following calculation.
Step 4: The terminal device for user i transmits the calculation results r and s of steps 2 and 3 to the verifier.
[0015]
(4) Verification of digital signature
When the user i terminal device verifies the digital signature obtained by generating the digital signature, the user i terminal device
α^{H0 (m)}≡v_i ^r・ R^S(Modp)
Confirm whether or not the following relationship holds.
[0016]
(1-2) “Symmetric encryption (common key encryption)”
On the other hand, “symmetric encryption” is also called “common key encryption” and refers to encryption in which the encryption key and the decryption key are the same. In addition, since the above-described asymmetric encryption (public key encryption) appeared in the latter half of 1970, this existing symmetric encryption has come to be called “conventional encryption”.
Such a symmetric cipher includes a block cipher that encrypts a character string (block) of an appropriate length with the same encryption key, and a stream cipher that encrypts by changing the encryption key for each character string or bit. being classified.
Block ciphers include transposed ciphers that change the order of characters for encryption and substitution ciphers that replace characters with other characters, such as DES (Data Encryption Standard) and FEAL (Fast data Encipherment Algorithm). Widely used as encryption.
A stream cipher is a cipher that disturbs the contents of a message by XOR (exclusive OR) a random number to a message. As this stream cipher, a Burnham cipher that uses a random number sequence of an infinite period as a one-time disposable key is known. It has been.
[0017]
For more details on the above-mentioned (1) cryptography, see "Introduction to cryptography" (Eiji Okamoto: Kyoritsu Shuppan), "Applied cryptography second edition: protocols, algorithms, and source code in C" (Schneier), It is described in "John Wiley & Sons, Inc" etc.
[0018]
(2) "Anonymous public key certificate"
Next, the “anonymous public key certificate” is a guarantee of correspondence between an arbitrary user and the public key (encryption key) of the user in the above-described (1-1) asymmetric encryption (public key encryption) or the like. To do.
Specifically, a trusted special user called “Certification Authority” (hereinafter referred to as “CA”) confirms the identity of another user (hereinafter referred to as “user j”) with a passport, for example. A digital signature is generated for a message whose content includes identification information ID (personal identification information such as name, gender, date of birth, etc.), its public key and expiration date. This digital signature is an “anonymous public key certificate”.
The public key of the CA is surely available to anyone, and it is easy to verify the digital signature generated by the CA. Thus, for example, when the user k communicates with the user j, the public key corresponding to the user j can be easily and reliably confirmed, and the public key can be disclosed while preventing other users from impersonating the user j. Communication by key encryption can be made possible.
[0019]
Further, the “anonymous public key certificate” is also one in which the user of the above-mentioned anonymous public key certificate does not know who the person is. Thus, it can be used for applications requiring privacy protection, for example, when the user has a qualification to receive a special service but wants to prevent revealing his / her identity. As an example to which this is applied, there is a special digital signature method called group signature disclosed in Japanese Patent Application No. 8-108226.
[0020]
As an application of the anonymous public key certificate as described above, for example, there is a communication system disclosed in Japanese Patent Application No. 8-108225.
In this communication system, the processes of steps S500 to S504 as shown in FIG. 5 are performed.
Hereinafter, steps S500 to S504 will be specifically described.
In the following description, each symbol (“Z” or “Z_p”) Is defined and used in the same manner as each symbol in the description of the ElGamal cipher described above.
[0021]
Step S500:
First, public parameters PV (Public Vaiues) common to the system include a prime number p, an order q (where q | p−1), Z_p ^*Of the order q and the one-way hash function H₁: Z_q× Z → {0, ..., 2^t-1} is used.
That is, q is divisible by p−1 and x∈Z_qΑ for \ {0}^xΑ is not ≡1 (modp) and x = q^x≡1 (modp) and H₁Is Z_q2 elements and Z elements as inputs^tOutput a non-negative integer less than -1.
These parameters are registered in a public database PD (Public Database) that can be accessed by all users participating in the communication system and is appropriately managed so as not to cause unauthorized tampering. It is assumed that
Therefore, the certificate issuer (authority) Q terminal device 70 uses the decryption key (secret key) s._QAnd encryption key (public key) v_Q(V_Q= Α^-sQmodp) and the public key v_QIs registered in the public database PD.
Further, the terminal device 80 for the user (User) j has a decryption key (secret key) s._jAnd encryption key (public key) v_j(V_j= Α^-sjmodp) and the public key v_jIs registered in the public database PD.
[0022]
Step S501: Generation of anonymous public key certificate
Next, the certificate issuer Q terminal device 70 uses the public key v of the user j._jZ is converted using a random number r, and a signature for this z (a digital signature by Schnorr encryption) is generated.
Specifically, the certificate issuer Q terminal device 70 uses a random number (secret random number) r (rεZ)._q\ {0}),
x = α^rmodp
z = v_j ^rmodp
e = H₁(X, z_j)
y = r + e · s_Qmodq
Perform the following calculation. The digital signature (y, e, z) by this Schnorr encryption is an anonymous public key certificate.
[0023]
Step S502: Delivery of anonymous public key certificate
Next, the certificate issuer Q terminal device 70 transmits the anonymous public key certificate (y, e, z) generated in step S501 described above to the user j terminal device 80.
Upon receiving this, the terminal device 80 for user j changes e and z to
e = H₁(Α^y・ V_Q ^emodp, z)
z = (α^y・ V_Q ^emodp)^-Sjmodp
Confirm that
Here, x = α^y・ V_Q ^eSince modp holds, x is used to simplify the notation.
[0024]
Step S503: Use of public key cryptography
Next, the terminal device 80 for user j determines that α and v_jThe public key cryptosystem based on the discrete logarithm problem is used by using x and z instead of.
For example, when a digital signature based on Schnorr encryption is used, a digital signature is generated for the message m as follows.
That is, the terminal device 80 for the user j uses the secret random number r_j(R_j∈Z_q ^*)
x_j= X^rjmodp
e_j= H (x_j, M)
y_j= R_j+ E_j・ S_jmodq
Perform the following calculation. Then, the terminal device 80 for user j, together with the message m, ((y, e, z), y_j, E_j, M) is transmitted as a digital signature to a necessary partner.
[0025]
Step S504: Signature confirmation
Then, the digital signature ((y, e, z), y transmitted in step S503 described above is used._j, E_j, M) receiver (verifier) i terminal device 90 first, in step S502 described above
e = H₁(Α^y・ V_Q ^emodp, z)
And then
e_j= H₁(X^yj・ Z^ejmodp, m)
Confirm the following formula.
When these confirmations can be made, the receiver i terminal device 90 recognizes that the digital signature for the message m is a digital signature generated by the user selected by the certificate issuer Q.
[0026]
[Problems to be solved by the invention]
By the way, in the conventional anonymous public key certificate as described in the communication system of FIG. 5 above, anonymity is satisfied. That is, it is difficult to know to which user an arbitrary anonymous public key certificate corresponds. Such anonymity is based on the following two assumptions.
[0027]
Assumption 1: Discrete logarithm problem
Let “G” be a finite group and “α” be its generation source. In addition, “v” is an element of G, and a discrete logarithm of v with respect to the base A is “log [α] v”.
Accordingly, when the order (original number) of G is sufficiently large, it is difficult to obtain the discrete logarithm log [α] v.
[0028]
Assumption 2: Discrete logarithm comparison problem
Let “r” and “s” be random elements of G.
Therefore, α, v = α^s, X = α^r, Z = α^rsWhen the order of G is sufficiently large and r and s are unknown, it is impossible to determine whether log [α] v and log [x] z are equal.
[0029]
By assuming the assumption 1 and the assumption 2 as described above, the anonymous public key certificate satisfies the anonymity.
[0030]
However, conventionally, an algorithm that solves only Assumption 2 has been found, and Assumption 1 is satisfied but Assumption 2 is not satisfied, there is a case where the anonymity of the anonymous public key certificate is lost.
[0031]
Specifically, first, it is considered that it is very difficult to solve the discrete logarithm problem of assumption 1 according to the research results up to now, and it is considered appropriate to use it as a basis for safety. That is, if such a discrete logarithm problem is solved, the discrete logarithm comparison problem of assumption 2 can also be solved. From this, it can be seen that solving assumption 2 is as easy as solving assumption 1, or easier than solving assumption 1.
Therefore, it is currently unknown how much it is easier to solve this assumption 2 than to solve assumption 1. However, if an algorithm that solves only assumption 2 is found, assumption 1 holds but assumption 2 holds. The situation of disappearing can be considered. In such a case, the anonymity of the anonymous public key certificate described above is lost.
[0032]
  Accordingly, the present invention has been made to eliminate the above-described drawbacks, and an object of the present invention is to provide an information communication system using a digital signature scheme that can reliably maintain anonymity in any case.
[0033]
[Means for Solving the Problems]
  The information communication system according to the present invention is an information communication system in which a terminal device j and a certificate issuing device Q are connected via a network, and the terminal device j is a set of prime numbers p and a set of prime numbers greater than 0 and less than p. Using a public parameter that is an element of a set of integers that are relatively prime to p and that has α of order (p−1), the secret key s_jAnd public key v_jGenerating means for generating a pair of the public key v_jThe certificate issuing device Q includes the public parameter, the public key v, and the public key v._j, Random number k, secret key s for the certificate issuing device Q_QAnd the equation r = v_j ^kusing modp, generating means for generating signatures r and s for plaintext m, and transmission means for transmitting the plaintext m and signatures r and s to the terminal device j, and the terminal device j further comprises: The secret key s_jAnd the expression s_j'= S · s_j ^-1using mod (p-1), s_jMeans for calculating ′ and the calculated s_j', Signature r, plaintext m, and public key v for the certificate issuing device_QAnd confirming means for confirming whether the signature of the plaintext m is correct, and the calculated s_jAnd a cryptographic means for performing encryption by public key cryptography using 'as a secret key.
[0049]
DETAILED DESCRIPTION OF THE INVENTION
Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[0050]
First, the first embodiment will be described.
[0051]
The digital signature system according to the present invention is implemented, for example, by a communication system 100 as shown in FIG. 1, and this communication system 100 is also an application of the information communication system according to the present invention.
[0052]
That is, in the communication system 100, the certificate issuer Q terminal device 20 and a plurality of user terminal devices 30, 40, 50,... Including the users j, i, k are connected on the network 10. Each terminal device communicates with each other via the network 10. The communication system 100 is provided with a public database PD (Public Database) in which public parameters PV (Public Values) common to each user are managed.
[0053]
The certificate issuer Q terminal device 20 includes a secret key s unique to the certificate issuer Q._Q(Secret information) and public key v_QA public key generation unit 21 for generating (public information) and a secret key s_QAnd a signature generation unit 22 that generates a signature (anonymous public key certificate) for the plaintext m using the public parameter PV.
[0054]
On the other hand, the user terminal devices 30, 40, 50,... Have the same configuration.
For example, the terminal device 30 for user j has a secret key s unique to user j._jAnd public key v_jA public key generation unit 31, a determination unit 32 for determining whether the correspondence between the plaintext m and the signature is correct, and a signature generation unit 33 for generating a new signature.
In addition, the user j terminal device 30 confirms the confirmation unit 35 that confirms the new signature, the encryption unit 36 that encrypts the plaintext using the new signature confirmed by the confirmation unit 35, and the confirmation unit 35. And a decrypting unit 34 for decrypting the ciphertext using the new signature.
[0055]
Hereinafter, the operation of the communication system 100 will be described with reference to FIGS.
It should be noted that the symbols in FIG. 2 follow the same notation rules as in FIG.
[0056]
Step S200:
First, as common data of the communication system 100, large prime numbers p, Z_p ^*And a one-way hash function H of order p-1₀: Z → Z_p\ {0} is used.
P is, for example, “p> 2⁵¹²"
These parameters (public parameters PV (Public Values)) can be accessed by all users participating in the communication system 100 and are appropriately managed so as to prevent unauthorized tampering. It is assumed that it is registered in PD (Public Database).
Therefore, the certificate issuer (authority) Q terminal device 20 uses the public key generation unit 21 to execute a secret key (decryption key) s._Q(∈Z_p-1 ^*) And public key (encryption key) v_Q(= Α^sQmodp) and the public key v_QIs registered in the public database PD.
Also, an arbitrary user terminal device (here, referred to as a user j user terminal device 30) is transmitted by the public key generation unit 31 to a secret key (decryption key) s._j(∈Z_p-1 ^*) And public key (encryption key) v_j(= Α^sjmodp) and the public key v_jIs registered in the public database PD.
[0057]
Step S201: Generate anonymous public key certificate
The certificate issuer Q terminal device 20 uses the signature generation unit 22 to make public key v of user j_jR is converted using a random number k, and a signature for the plaintext m (for example, a digital signature by ElGamal encryption) is generated.
Specifically, the signature generation unit 22 generates a random number (secret random number) k (kεZ_p-1 ^*)
r = v_j ^kmodp
s = (H₀(M) -s_Q・ R) ・ k^-1mod (p-1)
Perform the following calculation. The digital signature r, s by ElGamal encryption for this plaintext m is an anonymous public key certificate. The plain text m can be used as a parameter indicating the type of the anonymous public key certificate.
The parameter indicating the type of anonymous public key certificate is plaintext m or H₀A predetermined fixed value may be used instead of (m).
[0058]
Step S202: Delivery of anonymous public key certificate
Next, the certificate issuer Q terminal device 20 uses the digital signature r, s generated by the signature generation unit 22 and the parameter m indicating the type as an anonymous public key certificate (m, r, s). It transmits to the terminal device 30 for user j.
[0059]
Step S203:
Upon receiving this, the terminal device 30 for user j uses the determination unit 32 to
s_j'= S · s_j ^-1mod (p-1)
Seeking
α^{H0 (m)}≡v_Q ^r・ R^{sj '}(Modp)
Confirm that
[0060]
Step S204: Use of public key cryptography
And the terminal device 30 for user j is
α^{H0 (m)}・ V_Q ^-r≡r^{sj '}(Modp)
To the bottom of “r” and “α^{H0 (m)}・ V_Q ^-rmodp "is the public key," s_jPublic key cryptography based on the discrete logarithm problem is used with '' "as a secret key.
[0061]
Thus, for example, a case where a digital signature based on ElGamal encryption is used will be described.
[0062]
Step S204 (1): Generation of a digital signature
The terminal device 30 for user j uses the signature generation unit 33 to generate a signature for the plaintext m ′ as follows.
(1) The signature generation unit 33 generates a random number k ′ (∈Z_p-1 ^*) Is generated.
(2) The signature generation unit 33
r '= α^{k '}modp
Calculate
(3) The signature generation unit 33
s' = (H₀(M ')-s_j‘・ R) ・ (k’)^-1mod (p-1)
Calculate
(4) Then, the user j terminal device 30 uses m ′ and r ′ and s ′ obtained by the signature generation unit 33 as the anonymous public key certificate (m , R) and a communication partner (here, terminal device 40 for user i).
[0063]
Step S204 (2): signature verification
Receiving this, the terminal device for user i 40 uses the confirmation unit 45 to
r^{H0 (m ')}≡ (α^{H0 (m)}・ V_Q ^-r)^{r '}・ (R ’)^s'(Modp)
Confirm that the following formula holds.
Then, when the user i terminal device 40 has confirmed this, it recognizes that the signature for m ′ is a signature generated by the user selected by the certificate issuer Q.
[0064]
Further, the above-described step S204: Public key encryption can be used for encryption.
Thus, for example, a case where the terminal device 50 for user k performs encryption using ElGamal encryption will be described.
[0065]
encryption:
The terminal device 50 for the user k encrypts the plaintext m ″ by the encryption unit 56 as follows.
(1) The encryption unit 56 generates a random number k ″.
(2) The encryption unit 56
C₁= R^{k "}modp
Calculate
(3) The encryption unit 56
C₂= M "・ (α^{H0 (m)}・ V_Q ^-rmodp)^{k "}modp
Calculate
{Circle over (4)} Then, the terminal device 50 for the user k obtains the C obtained by the encryption unit 56.₁And C₂Is transmitted to the terminal device 30 for user j.
[0066]
Decryption:
Upon receiving this, the terminal device 30 for user j uses the decoding unit 34 to
m ″ = C₂/ C₁ ^{sj '}modp
To obtain plain text m ″.
[0067]
Note that the use of ElGamal encryption has been described as the use of public key cryptography in step S204 described above. However, the present invention is not limited to this, and it can also be used for public key cryptography based on the discrete logarithm problem. .
[0068]
Next, a second embodiment will be described.
[0069]
In the second embodiment, a modified version of the digital signature scheme of ElGamal encryption is applied to the communication system 100 in the first embodiment described above.
For this reason, in the first embodiment, the ElGamal cipher uses p-1 to perform a legal operation, whereas in the second embodiment, a prime number q (q is divisible by p-1) is used. The difference is that it performs legal operations.
[0070]
Note that the configuration of the communication system 100 that implements the second embodiment is the same as that of the first embodiment described above, and a detailed description thereof will be omitted.
Hereinafter, only differences from the first embodiment will be specifically described with reference to FIG.
[0071]
Step S300:
First, as common data of the communication system 100, large prime numbers p and q (q is divisible by p−1), Z_p ^*Of the order q and the one-way hash function H₀: Z → Z_q\ {0}, H₁: Z_q× Z → {0, ..., 2^t-1} is used.
Here, for example, “p> 2⁵¹²", Q> 2¹⁶⁰”,“ T> 72 ”.
These parameters (public parameters PV) are registered in a public database PD that can be accessed by all users participating in the communication system 100 and appropriately managed so as not to cause unauthorized tampering. It shall be.
Therefore, the certificate issuer Q terminal device 20 uses the public key generation unit 21 to execute the secret key s._Q(∈Z_q\ {0}) and public key v_Q(= Α^sQmodp) and the public key v_QIs registered in the public database PD.
Also, an arbitrary user terminal device (here, referred to as a user j terminal device 30) is transmitted by the public key generation unit 31 to the secret key s._j(∈Z_q\ {0}) and public key v_j(= Α^sjmodp) and the public key v_jIs registered in the public database PD.
[0072]
Step S301: Generation of anonymous public key certificate
The certificate issuer Q terminal device 20 uses the signature generation unit 22 to make public key v of user j_jR is converted using a random number k, and a signature for the plaintext m (for example, a digital signature by ElGamal encryption) is generated.
Specifically, the signature generation unit 22 generates a random number (secret random number) k (kεZ_q\ {0}),
r = v_j ^kmodp
s = (H₀(M) -s_Q・ R) ・ k^-1modq
Perform the following calculation. The digital signature r, s by ElGamal encryption for this plaintext m is an anonymous public key certificate. The plain text m can be used as a parameter indicating the type of the anonymous public key certificate.
The parameter indicating the type of anonymous public key certificate is plaintext m or H₀A predetermined fixed value may be used instead of (m).
[0073]
Step S302: Delivery of anonymous public key certificate
Next, the certificate issuer Q terminal device 20 uses the digital signature r, s generated by the signature generation unit 22 and the parameter m indicating the type as an anonymous public key certificate (m, r, s). It transmits to the terminal device 30 for user j.
[0074]
Step S303:
Upon receiving this, the terminal device 30 for user j uses the determination unit 32 to
s_j'= S · s_j ^-1modq
Seeking
α^{H0 (m)}≡v_Q ^r・ R^{sj '}(Modp)
Confirm that
[0075]
Step S304: Use of public key cryptography
And the terminal device 30 for user j is
α^{H0 (m)}・ V_Q ^-r≡r^{sj '}(Modp)
To the bottom of “r” and “α^{H0 (m)}・ V_Q ^-rmodp "is the public key," s_jPublic key cryptography based on the discrete logarithm problem is used with '' "as a secret key.
[0076]
Thus, for example, a case where a digital signature based on Schonor encryption is used will be described.
[0077]
Step S304 (1): Generation of a digital signature
The terminal device 30 for user j uses the signature generation unit 33 to generate a signature for the plaintext m ′ as follows.
(1) The signature generation unit 33 generates a random number k ′ (∈Z_q\ {0}).
(2) The signature generation unit 33
x = r^{k '}modp
Calculate
(3) The signature generation unit 33
e = H₁(X, m ')
Calculate
(4) The signature generation unit 33
y = k'-e.s_j‘Modq
Calculate
(5) Then, the terminal device 30 for user j uses m ′ and e and y obtained by the signature generation unit 33 as the anonymous public key certificate (m, r) from the terminal device 20 for certificate issuer Q. ) And a communication partner (here, referred to as terminal device 40 for user i).
[0078]
Step S304 (2): signature verification
Receiving this, the terminal device for user i 40 uses the confirmation unit 45 to
e = H₁(R^y・ (Α^{H0 (m ')}・ V_Q ^-r)^emodp, m ')
Confirm that the following formula holds.
When the user i terminal device 40 has confirmed this, it recognizes that the signature for m ′ is a signature generated by the user selected by the certificate issuer Q.
[0079]
Further, the above-described step S304: Public key encryption can be used for encryption.
Thus, for example, a case where the terminal device 50 for user k performs encryption using ElGamal encryption will be described.
[0080]
encryption:
The terminal device 50 for the user k encrypts the plaintext m ″ by the encryption unit 56 as follows.
(1) The encryption unit 56 generates a random number k ″.
(2) The encryption unit 56
C₁= R^{k "}modp
Calculate
(3) The encryption unit 56
C₂= M "・ (α^{H0 (m)}・ V_Q ^-rmodp)^{k "}modp
Calculate
{Circle over (4)} Then, the terminal device 50 for the user k obtains the C obtained by the encryption unit 56.₁And C₂Is transmitted to the terminal device 30 for user j.
[0081]
Decryption:
Upon receiving this, the terminal device 30 for user j uses the decoding unit 34 to
m ″ = C₂/ C₁ ^{sj '}modp
To obtain plain text m ″.
[0082]
Step S304 described above has been described as using the public key cipher using the Schnorr cipher or the ElGamal cipher. However, the present invention is not limited to this. be able to.
[0083]
Next, a third embodiment will be described.
[0084]
In the third embodiment, a modified version of the digital signature scheme of ElGamal encryption is applied to the communication system 100 in the first embodiment described above.
That is, in the third embodiment, similarly to the first embodiment, the plaintext m (the H obtained by calculating based on the plaintext m is used in the anonymous public key certificate).₀When using (m)), H₀(M) = 0.
[0085]
Note that the configuration of the communication system 100 that implements the third embodiment is the same as that of the first embodiment described above, and a detailed description thereof will be omitted.
Hereinafter, only differences from the first embodiment will be specifically described with reference to FIG.
[0086]
Step S400:
First, as common data of the communication system 100, prime numbers p, Z_p ^*And a one-way hash function H of order p-1₀: Z → Z_p\ {0} is used.
P is, for example, “p> 2⁵¹²"
These parameters (public parameters PV) are registered in a public database PD that can be accessed by all users participating in the communication system 100 and appropriately managed so as not to cause unauthorized tampering. It shall be.
Therefore, the certificate issuer Q terminal device 20 uses the public key generation unit 21 to execute the secret key s._Q(∈Z_p-1 ^*) And public key v_Q(= Α^sQmodp) and the public key v_QIs registered in the public database PD.
Also, an arbitrary user terminal device (here, referred to as a user j terminal device 30) is transmitted by the public key generation unit 31 to the secret key s._j(∈Z_p-1 ^*) And public key v_j(= Α^sjmodp) and the public key v_jIs registered in the public database PD.
[0087]
Step S401: Generation of anonymous public key certificate
The certificate issuer Q terminal device 20 uses the signature generation unit 22 to make public key v of user j_jR is converted by using a random number k, and a modified version of the digital signature of Elgamal cipher, for example, an ElGamal cipher signature whose result is “0” when plaintext m is input to the hash function is generated. To do.
Specifically, the signature generation unit 22 generates a random number (secret random number) k (kεZ_p-1 ^*)
r = v_j ^kmodp
s = s_Q・ R ・ k^-1mod (p-1)
Perform the following calculation. The digital signatures r and s are anonymous public key certificates.
[0088]
Step S402: Delivery of anonymous public key certificate
Next, the certificate issuer Q terminal device 20 transmits the digital signature r, s generated by the signature generation unit 22 to the terminal device 30 for user j as an anonymous public key certificate (r, s). .
[0089]
Step S403:
Upon receiving this, the terminal device 30 for user j uses the determination unit 32 to
s_j'= S · s_j ^-1mod (p-1)
Seeking
v_Q ^r≡r^{sj '}(Modp)
Confirm that
[0090]
Step S404: Use of public key cryptography
And the terminal device 30 for user j is
v_Q ^r≡r^{sj '}(Modp)
"R" to the bottom, "v"_Q ^rmodp "is the public key," s_jPublic key cryptography based on the discrete logarithm problem is used with '' "as a secret key.
[0091]
Thus, for example, a case where a digital signature based on ElGamal encryption is used will be described.
[0092]
Step S404 (1): Generation of a digital signature
The terminal device 30 for user j uses the signature generation unit 33 to generate a signature for the plaintext m ′ as follows.
(1) The signature generation unit 33 generates a random number k ′ (∈Z_p-1 ^*) Is generated.
(2) The signature generation unit 33
r '= α^{k '}modp
Calculate
(3) The signature generation unit 33
s '= (H (m')-s_j‘・ R) ・ (k’)^-1mod (p-1)
Calculate
(4) Then, the user j terminal device 30 uses m ′ and r ′ and s ′ obtained by the signature generation unit 33 as the anonymous public key certificate (m , R) and a communication partner (here, terminal device 40 for user i).
[0093]
Step S404 (2): Signature verification
Receiving this, the terminal device for user i 40 uses the confirmation unit 45 to
r^{H0 (m ')}≡ (v_Q ^r)^{r '}・ (R ’)^s'(Modp)
Confirm that the following formula holds.
When the user i terminal device 40 has confirmed this, it recognizes that the signature for m ′ is a signature generated by the user selected by the certificate issuer Q.
[0094]
Further, the above-described step S404: Public key encryption can be used for encryption.
Thus, for example, a case where the terminal device 50 for user k performs encryption using ElGamal encryption will be described.
[0095]
encryption:
The terminal device 50 for the user k encrypts the plaintext m ″ by the encryption unit 56 as follows.
(1) The encryption unit 56 generates a random number k ″.
(2) The encryption unit 56
C₁= R^{k "}modp
Calculate
(3) The encryption unit 56
C₂= M "・ (v_Q ^rmodp)^{k "}modp
Calculate
{Circle over (4)} Then, the terminal device 50 for the user k obtains the C obtained by the encryption unit 56.₁And C₂Is transmitted to the terminal device 30 for user j.
[0096]
Decryption:
Upon receiving this, the terminal device 30 for user j uses the decoding unit 34 to
m ″ = C₂/ C₁ ^{sj '}modp
To obtain plain text m ″.
[0097]
Note that the use of ElGamal encryption has been described as the use of public key cryptography in step S404 described above. However, the present invention is not limited to this, and it can also be used for public key cryptography based on the discrete logarithm problem. .
[0098]
As described above, in the present invention, p is a prime number, the order of α is p−1, and r≡v._j ^k≡α^sjk(Madp) and s_j∈Z_p-1 ^*, K∈Z_p-1 ^*It is. Or, p and q are prime numbers, q divides p-1 and the order of α is q, r≡v_j ^k≡α^sjk(Madp) and s_j∈Z_q\ {0}, k∈Z_q\ {0}.
Therefore, when an arbitrary r is given, the r is a value that can be obtained from any user's public key, and as long as the value of k actually used is not known, It cannot be specified at all whether it was obtained from the public key. In other words, the signature r, which is an anonymous public key certificate, does not include any information for specifying which user's anonymous public key certificate. Thereby, anonymity is realized in terms of information amount, not by the above-described assumption 2 in terms of calculation amount, and anonymity can be reliably maintained even if a situation where assumption 2 does not hold true. For this reason, the safety regarding privacy protection can be improved.
[0099]
In any of the above-described embodiments, safety relating to privacy protection can be further improved by operating as follows.
(1) The certificate issuer Q terminal device 20 generates an anonymous public key certificate using a different random number k each time for an arbitrary user terminal device (for example, the user j terminal device 30). It transmits to the terminal device 30 for j.
(2) Upon receiving this, the terminal device 30 for user j uses one anonymous public certificate for different plaintexts without generating a digital signature.
The user who generates an arbitrary digital signature and the user who generates a different digital signature by the method using an anonymous public key certificate (One-time Certificates, disposable certificate method) are the same. It is very difficult, that is, impossible for the certificate issuer Q and a user other than the user who generated the arbitrary digital signature. Therefore, since the anonymity of the user is maintained in terms of the amount of information, safety regarding privacy protection can be further improved.
[0100]
【The invention's effect】
As described above, according to the present invention, the signature, which is an anonymous public key certificate, does not include any information for identifying which user's anonymous public key certificate. Thereby, anonymity is realized in terms of information amount, not by the above-described assumption 2 in terms of calculation amount, and anonymity can be reliably maintained even if a situation where assumption 2 does not hold true. Therefore, the safety regarding privacy protection can be improved.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of a communication system to which an information communication system according to the present invention is applied in a first embodiment.
FIG. 2 is a diagram for explaining a digital signature scheme in the communication system.
FIG. 3 is a diagram for explaining a digital signature scheme in the communication system in the second embodiment.
FIG. 4 is a diagram for explaining a digital signature scheme in the communication system in the third embodiment.
FIG. 5 is a diagram for explaining a conventional digital signature scheme;
[Explanation of symbols]
10 network
20 Certificate issuer terminal device
21 Public key generator
22 Signature generator
30 to 50 user terminal device
31 Public key generator
32 Discriminator
33 Signature generator
34 Decoding unit
35, 45 Confirmation part
36, 56 Encryption section

Claims

An information communication system in which a terminal device j and a certificate issuing device Q are connected via a network,
The terminal device j is
A secret key s _j and a public key that is an element of a set of prime numbers p and integers greater than or equal to 0 and less than p and that is an element of a set of prime numbers p and primes that are mutually prime and includes α of order (p−1) Generating means for generating a public key v _j pair;
A public means for publishing the public key v _j ,
The certificate issuing device Q
Generating means for generating a signature r, s for plaintext m using the public parameter, the public key v _j , a random number k, a secret key s _Q for the certificate issuing device _Q , and an expression r = v _j ^k modp; ,
Transmission means for transmitting the plaintext m and the signatures r and s to the terminal device j,
Further, the terminal device j
Calculation means for calculating s _j ′ using the secret key s _j and the formula s _j ′ = s · s _j ⁻¹ mod (p−1);
Confirmation means for confirming whether the signature of the plaintext m is correct, using the calculated s _j ′, the signature r, the plaintext m, and the public key v _Q for the certificate issuing device;
An information communication system comprising: encryption means for performing encryption by public key encryption using the calculated s _j 'as a secret key.

The information communication system according to claim 1, wherein the public parameter further includes a hash function H ₀ .

2. The information communication system according to claim 1, wherein the encryption means of the terminal device j is signature generation means for generating a signature for digital information using s _j ′ calculated by the calculation means as a secret key.

The encryption means of the terminal device j decrypts the ciphertext encrypted using α ^{H0 (m)} · v _Q ^−r modp as a public key, using s _j ′ calculated by the calculation means as a secret key. 3. The information communication system according to claim 2, wherein the information communication system is a decoding means.

A terminal device k is connected to the network;
3. The information communication according to claim 2, wherein the terminal device k has encryption means for performing encryption by public key encryption using α ^{H0 (m)} · v _Q ^−r modp as a public key of the terminal device j. system.

The generating means of the certificate issuing device Q further generates a signature s using the formula s = (H ₀ (m) −s _Q · r) · k ⁻¹ mod (p−1). The information communication system according to any one of claims 2 to 5.

The public parameter further includes a prime number q that divides (p−1), and the generation unit of the certificate issuing device Q further includes an expression s = (H ₀ (m) −s _Q · r) · k ^−1. The information communication system according to any one of claims 2 to 5, wherein the signature s is generated using modq.

Wherein said generating means of the certificate issuing device Q furthermore using the equation _{s = s Q · r · k} -1 mod (p-1), of claim 1, wherein generating a signature s The information communication system according to any one of the above.