JP3910529B2

JP3910529B2 - Electronic voting system

Info

Publication number: JP3910529B2
Application number: JP2002355415A
Authority: JP
Inventors: 真一郎松尾; わかは尾形
Original assignee: NTT Data Corp
Current assignee: NTT Data Corp
Priority date: 2002-12-06
Filing date: 2002-12-06
Publication date: 2007-04-25
Anticipated expiration: 2022-12-06
Also published as: JP2004192029A

Description

【０００１】
【発明の属する技術分野】
この発明は、投票及び開票作業を行う電子投票システムに関する。
【０００２】
【従来の技術】
近年、インターネットの普及により、暗号プロトコルを使用した電子投票サービスが提供されつつある。既存の電子投票の方式の多くは、信任投票のような形態の投票、すなわち、「Ｙｅｓ」か「Ｎｏ」かのいずれか一票を投じる形態を扱っている。また、複数の候補から１つだけを選択する投票には、この方式を拡張することにより実現されている。
非特許文献１には、準同型性に基づく電子投票方式が、また、非特許文献２には、準同型性に基づく分割不可能な複数票電子投票方式について記載されている。
なお、準同型性とは、秘密情報s₁をｎ個のシェア｛S_1,1, S_1,2,...., S_1,n｝に、秘密情報s₂をｎ個のシェア｛S_2,1, S_2,2,...., S_2,n｝に分散し、i番目のプレーヤーがS_1,i及びS_2,iを受け取る場合、秘密情報s₁とs₂の和であるs₁+s₂は、各プレーヤーの持つS_1,i+S_2,iを合わせた｛S_1,1+S_2,1, S_1,2+S_2,2,...., S_1,n+S_2,n｝から復元することができる性質をいう。
非特許文献３には、シャッフリングに基づく電子投票方式が記載されている。これは、Ｍｉｘサーバが投票者から暗号化された投票内容を受信すると、この暗号化された投票内容の置換と再暗号化を行って次のＭｉｘサーバへ送信し、投票内容の置換と再暗号化を複数のＭｉｘサーバにより繰り返すことで最終結果を復号する方式である。
また、非特許文献４には、ブラインド署名に基づく電子投票方式が記載されている。これは、暗号化した投票内容に選挙管理人がブラインド署名を付加し、集計サーバは、投票者からこのブラインド署名が付された暗号化した投票内容に基づき集計を行う方式である。
【０００３】
【非特許文献１】
サコ、キリアン（Sako, K. and Kilian, J.），「部分的にコンパチブルな準同型性を使用したセキュアな投票方式（Secure Voting Using Partially Compatible Homomorphisms）」，アドバンス・イン・クリプトロジー：クリプト’９４（Advances in Cryptology: Crypto'94），ドイツ，シュプリンガー・フェアラーク(Springer-Verlag），１９９４年８月，ＬＮＣＳ８３９，ｐ．４１１−４２４
【非特許文献２】
税所哲郎、他４名，「準同型性を利用した１人複数投票可能な電子投票方式」，コンピュータセキュリティシンポジウム２００２論文集，社団法人情報処理学会，平成１４年１０月３０日，情報処理学会シンポジウムシリーズＶｏｌ．２００２，Ｎｏ．１６，ｐ．４６７−４７２
【非特許文献３】
サコ、キリアン（Sako, K. and Kilian, J.），「レシートフリーなミックスタイプ投票方式（Receipt-Free Mix-type Voting Scheme）」，アドバンス・イン・クリプトロジー：ユーロクリプト’９５（Advances in Cryptology: EuroCrypt'95），ドイツ,シュプリンガー・フェアラーク（Springer-Verlag），１９９５年，ＬＮＣＳ９２１，ｐ．３９３−４０３
【非特許文献４】
藤岡淳、他２名，「電子投票方式」，ＮＴＴＲ＆Ｄ，日本電信電話株式会社，１９９５年１０月，Ｖｏｌ．４４，Ｎｏ．１０，ｐ．２４４−２５１
【０００４】
【発明が解決しようとする課題】
一般的な選挙のように、投票者１人が１票を投じる形態のほかに、各投票者がそれぞれ異なる票数を持つ場合がある。また、この各投票者のそれぞれの異なる数の票を、複数の選択肢に任意に分配して投票を行うケースも存在する。
しかし、非特許文献１に記載されるような準同型性を用いた電子投票方式により上述した投票を行う場合、投票者が持ち票数分だけゼロ知識証明を実行しなければならない。これは、効率が悪く、現実的ではないという問題がある。なお、ゼロ知識証明とは、一般に、証明者と検証者の間で何度かやりとりして、証明者が保持している秘密の情報について、証明者がその知識を知っていることを検証者に対して確率的に証明する方法である。
また、非特許文献２に記載される準同型性に基づく分割不可能な電子投票方式では、投票内容の秘匿性を保ちながら、複数票の分割投票を行うことは原理的に不可能である。
また、非特許文献３及び４に記載されるような方式を適用した場合、投票データに票の分割パターンを含めると、持ち票数との照合により匿名性が失われるという問題がある。また、Ｙｅｓ−Ｎｏの票を持ち票数分投票すると、匿名性は確保できるが、匿名通信路の入出力が投票総数となるため、効率が悪く現実的ではないという問題がある。
【０００５】
この発明は、上記のような事情を考慮してなされたもので、その目的は、各投票者の投票内容を秘匿し、さらに、不正な投票を防ぎながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる効率的な電子投票システムを提供することにある。
【０００６】
【課題を解決するための手段】
この発明は、上記の課題を解決すべくなされたもので、請求項１に記載の発明は、投票者の端末装置と、前記投票者が投票を行うための投票データを生成する投票データ生成サーバと、投票を集計する複数の集計サーバとをネットワークを介して接続してなる電子投票システムであって、前記投票データ生成サーバは、各投票者の持ち票を各選択肢に割り当てた全ての投票パターンそれぞれについて、各集計サーバに対応する秘密分散された投票データのシェアを生成し、生成した投票データのシェアそれぞれを、対応する各集計サーバの鍵により暗号化して、当該各投票者の前記端末装置へ送信する投票データ生成手段を備え、前記端末装置は、前記投票データ生成サーバから、全ての投票パターンについて、各集計サーバに対応する秘密分散された投票データのシェアの暗号文を受信し、この投票データのシェアの暗号文中から投票者が投票するパターンに応じた投票データのシェアの暗号文を、対応する各集計サーバへ送信する投票手段を備え、前記集計サーバは、投票数をカウントするための秘密分散されたカウンタと、前記端末装置から投票データのシェアの暗号文を受信し、前記秘密分散されたカウンタを、この暗号文を復号して得た投票データのシェアを加算した値に更新するカウンタ加算手段と、各集計サーバが保有する前記秘密分散されたカウンタを基に投票総数を復号する投票結果算出手段とを備える、ことを特徴とする電子投票システムである。
【０００７】
請求項２に記載の発明は、請求項１に記載の電子投票システムであって、さらに、前記集計サーバへ投票データの正当性を確認するための情報を保持する公開掲示板サーバとネットワークを介して接続され、前記投票データ生成手段は、前記投票データのシェアから生成した正当性確認データを、投票パターンを秘匿して前記公開掲示板サーバへ送信し、
前記公開掲示板サーバは、投票パターンを秘匿した正当性確認データを受信し、内部に記憶するシェア記憶手段を備え、前記カウンタ加算手段は、正当性確認データを前記公開掲示板サーバから読み出し、この正当性確認データを基に前記投票データのシェアが正当であると判断した場合に、前記秘密分散されたカウンタを、当該投票データのシェアを加算した値に更新する、ことを特徴とする。
【０００８】
請求項３に記載の発明は、請求項２に記載の電子投票システムであって、前記投票データ生成手段は、前記投票データのシェアの平文を前記端末装置へ送信し、前記投票手段は、前記投票データ生成サーバから前記投票データのシェアの平文を受信し、この投票データのシェアの平文と、前記公開掲示板サーバから読み出した正当性確認データとを基に、前記投票データのシェアの暗号文が正当であると判断した場合に、投票者が投票するパターンに応じた投票データのシェアの暗号文を対応する各集計サーバへ送信する、ことを特徴とする。
【００１５】
【発明の実施の形態】
以下、図面を参照し、この発明の実施の形態について説明する。
なお、便宜上、
【数１】

をＸ^y _zのように記述する。
【００１６】
１．システムモデル
図１は、この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
本電子投票システムには、ｎ人の投票者Ｖ₁〜Ｖ_n（以下、「投票者Ｖ」と記述）が存在する。i番目（1≦i≦n）の投票者Ｖを投票者Ｖ_i、投票者Ｖ_iの持つ票数をx_i（以下、「持ち票数x_i」と記述）、投票者Ｖ_iがＹｅｓに投じる票数をv⁽ⁱ⁾ _Y（以下、「Ｙｅｓ票数v⁽ⁱ⁾ _Y」と記述）、Ｎｏに投じる票数をv⁽ⁱ⁾ _N（以下、「Ｎｏ票数v⁽ⁱ⁾ _N」と記述）とする。このとき、
【数２】

かつ
【数３】

が成り立つ。
そして、ｍ台の集計サーバＳ₁〜Ｓ_m（以下、「集計サーバＳ」と記述）は、投票者Ｖ₁〜Ｖ_nが各々保有する端末装置Ｔ₁〜Ｔ_n（以下、「端末装置Ｔ」と記述）から受信した投票データを基に、
【数４】

（以下、「Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y _」」と記述）及び
【数５】

（以下、「Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N」と記述）を求める。
【００１７】
ここで、以下の健全性、完全性及びプライバシの条件を満たすとき、この電子投票システムで行われる電子投票はセキュアであるという。
（１）健全性
いかなる投票者Ｖ（端末装置Ｔ）も、各々の持ち票数x₁〜x_n（以下、「持ち票数ｘ」と記述）を超える投票はできない。すなわち、以下が成り立つ。
【数６】

また、上記が成立しているときに、（v⁽ⁱ⁾ _Y，v⁽ⁱ⁾ _N）は有効であるという。
（２）完全性
（１）に記載の健全性を満たす全ての投票に対して、集計サーバＳは、Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y及びＮｏの総票数Σ_iv⁽ⁱ⁾ _Nを正しく出力する。
（３）プライバシ
集計サーバＳと端末装置Ｔ（投票者Ｖ）は、Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y及びＮｏの総票数Σ_iv⁽ⁱ⁾ _N以外のいかなる情報も得ない。ただし、各投票者Ｖのそれぞれの持ち票数ｘと、各投票者Ｖが投票に参加したかどうかは公開されても良い。
【００１８】
本実施の形態による電子投票システムにおいては、各投票のプライバシを確保するために、線形性を持った秘密分散を利用して集計機能をｍ台の集計サーバＳへ分散させる。投票者Ｖの保有する端末装置Ｔは、各選択肢に投じる票数を示す投票データを秘密分散したシェア、すなわち、Ｙｅｓ票数v⁽ⁱ⁾ _Y及びＮｏ票数v⁽ⁱ⁾ _N（1≦i≦n）のシェアを各集計サーバＳに送信する。各集計サーバＳは、自身が端末装置Ｔから受信した投票データのシェアの総和を計算し、最終的に各集計サーバＳの保有する投票データのシェアの総和から総投票数を復元する。
【００１９】
２．構成
投票データ生成サーバＳ_Rは、専用線やブロードバンド回線によりインターネットなどのネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。ただし、端末装置Ｔとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
投票データ生成サーバＳ_Rは、全てのi（1≦i≦n）に対する（投票者Ｖ_i，持ち票数x_i）のペアを内部に記憶している。そして、全ての投票者Ｖについて、各集計サーバＳに対応する秘密分散された投票データのシェアを投票パターン毎に生成する機能と、平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を端末装置Ｔへ送信する機能を有する。なお、投票パターンとは、各選択肢に持ち票数をどのように配分するかのパターンを示す。また、端末装置Ｔ及び集計サーバＳが投票の正当性の検証を行うための正当性確認データ、すなわち、投票データのシェアを基にしたハッシュ値を生成し、さらに生成したハッシュ値をシャッフルし投票パターンを秘匿して公開掲示板サーバＢへ書き込む機能を有する。
【００２０】
公開掲示板サーバＢは、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_R、端末装置Ｔ及び集計サーバＳと通信する機能を有する。また、公開掲示板サーバＢは、投票データ生成サーバＳ_Rから投票パターンを秘匿した正当性確認データ、すなわち、全ての可能な投票データのシェアを基に生成され、かつ、シャッフルされたハッシュ値を受信し、内部に記憶する機能を有する。
【００２１】
端末装置Ｔは、各投票者Ｖが保有するパーソナルコンピュータであり、専用線やブロードバンド回線によりネットワークＮと接続され、投票データ生成サーバＳ_R、公開掲示板サーバＢ及び集計サーバＳと通信する機能を有する。ただし、投票データ生成サーバＳ_Rとは、暗号化された通信プロトコルを使用するなどしてセキュアに接続される。
端末装置Ｔは、投票データ生成サーバＳ_Rから、平文の投票データのシェアと、電子署名された投票データのシェアの暗号文を受信し、内部に記憶する機能を有する。また、平文の投票データのシェアからハッシュ値を生成するとともに、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較し、投票データ生成サーバＳ_Rから受信した投票データのシェア及び公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）の正当性を確認する機能を有する。さらに、平文の投票データのシェアから投票データを復号し、投票データの正当性を確認する機能を有する。加えて、平文の投票データのシェアを暗号化し、投票データ生成サーバＳ_Rから受信した投票データのシェアが正しく暗号化されているかどうかを確認する機能を有する。そして、投票者Ｖがキーボードやマウス、ボタンなどから入力した投票パターンを示す情報を受け、この入力された投票パターンに対応する電子署名された投票データのシェアの暗号文を内部から読み出し、各集計サーバＳへ送信する機能を有する。
【００２２】
集計サーバＳは、専用線やブロードバンド回線によりネットワークＮと接続され、公開掲示板サーバＢ及び端末装置Ｔと通信する機能を有する。
各集計サーバＳは、共同でＹｅｓ用のカウンタＣ_Y（以下、「ＹｅｓカウンタＣ_Y」と記述）及びＮｏ用のカウンタＣ_N（以下、「ＮｏカウンタＣ_N」と記述）を求めるため、カウンタのシェアを内部に記憶する。これらのカウンタのシェアは、ｍ台中ｔ台の集計サーバＳが不正な場合でも集計結果を正しく復元可能な、Ｓｈａｍｉｒの（ｔ＋１，ｍ）分散法により分散されている（但し、ｍ＞３ｔ＋１）。
さらに、端末装置Ｔから受信した、電子署名された投票データのシェアの暗号文に付された電子署名をチェックする機能と、この投票データのシェアを復号してハッシュ値を生成し、公開掲示板サーバＢ内のシャッフルされたハッシュ値（正当性確認データ）を読み出して比較することにより、投票データのシェアの正当性を確認する機能を有する。また、各集計サーバＳは、すでに投票を終えた投票者Ｖの識別子からなるリストＬ₁〜Ｌ_m（以下、「既投票者リストＬ」と記述）を内部に記憶し、投票者Ｖが既に投票を行っているか否かを判断する機能を有する。そして、正当性が確認された投票データのシェアをカウンタのシェアに加算する機能と、各集計サーバＳが保有するカウンタのシェアを合わせてカウンタを復元する機能を有する。
【００２３】
３．電子投票システムの動作手順
３．１電子投票の手順の概要
図２は、本実施の形態による電子投票の手順の概要を示す図である。投票手順は、準備フェーズ、投票フェーズ及び集計フェーズの３フェーズからなる。
（１）準備フェーズ
投票データ生成サーバＳ_Rは、各投票者Ｖが投票可能な全投票パターン毎の投票データのシェアを生成する。そして、不正投票を検出するための正当性確認データとして、この投票データのシェアからハッシュ値を算出し、さらに、投票パターンを認識できないように算出したハッシュ値をシャッフルして公開掲示板サーバＢへ書き込む（ステップＳ１１）。その後、投票データ生成サーバＳ_Rは、全投票パターンの平文の投票データのシェア及び電子署名された投票データのシェアの暗号文を各端末装置Ｔへ送信する（ステップＳ１２）。端末装置Ｔは、公開掲示板サーバＢを参照し、投票パターンのシャッフルが正しくなされていること、そして、投票データが正しく生成されていることをチェックする（ステップＳ１３）。
（２）投票フェーズ
各投票者Ｖが投票を行う投票パターンを選択すると、端末装置Ｔは、全ての集計サーバＳへ選択した投票パターンに対応した電子署名された投票データのシェアの暗号文を送信する（ステップＳ２１）。集計サーバＳは、二重投票がないことを確認するとともに、受信した投票データのシェアが正しいことを公開掲示板サーバＢによりチェックする（ステップＳ２２）。このチェックが正しく終了した場合のみ、集計サーバＳは、それぞれが保有するＹｅｓカウンタＣ_Yのシェア及びＮｏカウンタＣ_Nのシェアを更新する。
（３）集計フェーズ
全ての集計サーバＳは、秘密分散の復元プロトコルを使用し、ＹｅｓカウンタＣ_Y（Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y）及びＮｏカウンタＣ_N（Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N）を復元する（ステップＳ３１）。
【００２４】
なお、本電子投票システムにおいては、以下を仮定する。
・投票データ生成サーバＳ_Rは投票データのシェアを生成する準備フェーズのみ動作し、一度端末装置Ｔからの投票が始まると一切の動作を行わない。
・投票データ生成サーバＳ_Rは、任意の集計サーバＳや端末装置Ｔとは結託しない。
・任意の装置から公開掲示板サーバＢの内容を参照できるが、公開掲示板サーバＢ内の情報の追加・変更は、投票データ生成サーバＳ_Rのみが可能である。
・投票データ生成サーバＳ_Rは、一度公開掲示板サーバＢへ全ての情報を入力した後は、公開掲示板サーバＢ内の情報を一切変更しない。
各フェーズの詳細手順を以下に示す。
【００２５】
３．２準備フェーズ
（１）図３は、カウンタ及び既投票者リストの初期化の手順を示す図である。まず、集計サーバＳは、各々が内部に記憶しているカウンタのシェアの初期化を行う。すなわち、集計サーバＳ_j（1≦j≦m）は、各々
ＹｅｓカウンタＣ_YのシェアＣ_Y,j = 0
及び
ＮｏカウンタＣ_NのシェアＣ_N,j = 0
を実行する。
次に、集計サーバＳ_j（1≦j≦m）は、各々が内部に記憶している既投票者リストＬ_jに空集合を書き込む。
【００２６】
（２）図４は、投票データの生成の方式を示す図である。投票データ生成サーバＳ_Rは、全ての投票者Ｖに対して、秘密分散された投票パターン毎の投票データのシェアを生成する。すなわち、投票者Ｖ_i（1≦i≦n）の持ち票数x_iの範囲内のＹｅｓの票数k（0≦k≦x_i）及びＮｏの票数（x_i−k）を、各集計サーバＳ_j（1≦j≦m）に秘密分散するためのシェアを生成し、
【数７】

（以下、「Ｙｅｓ票数のシェアｓ^(i,k) _Y,j」と記述）及び
【数８】

（以下、「Ｎｏ票数のシェアｓ^(i,k) _N,j」と記述）を得る。図においては、i番目の投票者Ｖ_iの投票パターン（Ｙｅｓの票数k，Ｎｏの票数（x_i−k））＝（0,x_i），・・・，（x_i,0）に対して、集計サーバＳ₁に送信すべき
【数９】

が、集計サーバＳ_jに送信すべき
【数１０】

が、集計サーバＳ_mに送信すべき
【数１１】

が生成されることを示している。
【００２７】
次に、投票データ生成サーバＳ_Rは、全てのＹｅｓ票数のシェアｓ^(i,k) _Y,j及びＮｏ票数のシェアｓ^(i,k) _N,jを、ＲＳＡ（Rivest-Shamir-Adleman）暗号等により、対応する各集計サーバＳの公開鍵を用いて暗号化する。すなわち、投票データ生成サーバＳ_Rは、
【数１２】

（「‖」は結合を表す）を基に、
【数１３】

を、各i（1≦i≦n），k（0≦k≦x_i），j（1≦j≦m）について算出する。ただし、PkS_jは、j番目の集計サーバＳ_jの公開鍵であり、Enc<Pk>(w)は、平文wを公開鍵Pkにより暗号化した結果の暗号文を示す。
続いて、投票データ生成サーバＳ_Rは、自身の秘密鍵SkS_Rを用いて、各投票パターン毎の電子署名を作成する。すなわち、
【数１４】

を、各i（1≦i≦n），k（0≦k≦x_i）について計算する。なお、Sig<Sk>(w)は、秘密鍵Skを利用して作成したwの電子署名を表す。
【００２８】
（３）図５は、公開掲示板サーバＢへのハッシュ値の書込みの方式を示す図である。投票データ生成サーバＳ_Rは、各i（1≦i≦n）について、以下のようにＹｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _jのハッシュ値を算出する。
【数１５】

ここで、「H」は衝突困難な一方向性ハッシュ関数とする。さらに、投票データ生成サーバＳ_Rは、ランダム置換πを選ぶ。そして、各j（1≦j≦m）について
【数１６】

を、選択したπを用いてシャッフルし、
【数１７】

を得る。投票データ生成サーバＳ_Rは、シャッフルした投票データのシェアのハッシュ値の集合H(s⁽ⁱ⁾ _j)（1≦i≦n，1≦j≦m）を公開掲示板サーバＢへ送信する。公開掲示板サーバＢは、シャッフルした投票データのシェアのハッシュ値の集合H(s⁽ⁱ⁾ _j)（1≦i≦n，1≦j≦m）を受信し、内部に記憶する。
【００２９】
（４）図６は、投票データの配信の方式を示す図である。投票データ生成サーバＳ_Rは、各端末装置Ｔ_i（1≦i≦n）へ
平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（s^(i,k) ₁，・・・，s^(i,k) _m）(0≦k≦x_i）
及び、
投票パターン毎に電子署名Sig^(i,k)を付した投票データのシェアの暗号文の組（ES^(i,k) ₁，・・・，ES^(i,k) _m）(0≦k≦x_i）
を送信する。
各端末装置Ｔ_i（1≦i≦n）は、平文のＹｅｓ票数及びＮｏ票数のシェアの結合の組（s^(i,k) ₁，・・・，s^(i,k) _m）から、全てのk（0≦k≦x_i），j（1≦j≦m）について、投票データのシェアのハッシュ値h^(i,k) _jを（数１５）と同様の方法により算出する。そして、公開掲示板サーバＢに記録されている自身のiに対応したシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jを読み出し、これが、算出した投票データのシェアのハッシュ値h^(i,k) _jの集合と等価であり、かつ、投票パターンがシャッフルされた内容であることを確認する。
次に、各端末装置Ｔ_i（1≦i≦n）は、Ｙｅｓ票数のシェア（s^(i,k) _Y,1，・・・，s^(i,k) _Y,m）とＮｏ票数のシェア（s^(i,k) _N,1，・・・，s^(i,k) _N,m）（0≦k≦x_i）を復元し、それぞれがＹｅｓの票数kとＮｏの票数（x_i−k）のシェアであることを確認する。
さらに、各端末装置Ｔ_i（1≦i≦n）は、（数１３）と同様の方法により、Ｙｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _jを集計サーバＳ_jの公開鍵PkS_jで暗号化した暗号文ES^(i,k) _jを算出し、投票データ生成サーバＳ_Rから受信した暗号文ES^(i,k) _jと一致するかを全てのk（0≦k≦x_i），j（1≦j≦m）について検証する。
【数１８】

なお、
【数１９】

は、右辺と左辺が等しいか否かの検証を行うことを意味する。
【００３０】
３．３投票フェーズ
本節においては、i番目の端末装置Ｔ_iを用いて動作を説明するが、各端末装置Ｔ₁〜Ｔ_nにおいても同様に動作する。
（１）図７は、投票者からの投票の方式を示す図である。端末装置Ｔ_iは、投票者Ｖ_iから投票パターンの選択の入力を受ける。このとき、投票者Ｖ_iの選択した投票パターンがＹｅｓ票数v⁽ⁱ⁾ _Yであるとすると、各端末装置Ｔ_i（1≦i≦n）は、Ｙｅｓの票数k＝Ｙｅｓ票数v⁽ⁱ⁾ _Yである電子署名付きの投票データのシェアの暗号文の組を全集計サーバＳへ送信する。具体的には、端末装置Ｔは、Ｙｅｓの票数k＝Ｙｅｓ票数v⁽ⁱ⁾ _Yに対応した投票データの暗号文の組（ES^(i,k) ₁，・・・，ES^(i,k) _m）に電子署名Sig^(i,k)を付した投票データを全ての集計サーバＳへ送信する。また、端末装置Ｔ_iは、この投票データと併せて、投票者Ｖ_iの識別子を送信する。
各集計サーバＳ_j（1≦j≦m）は、自身の記憶する既投票者リストＬ_jに端末装置Ｔ_iから受信した投票者Ｖ_iの識別子がすでに登録されているか否かをチェックする。もし、既投票者リストＬ_jに投票者Ｖ_iが既に登録されていたと判断した場合、当該受信データを破棄する。
既投票者リストＬ_jに投票者Ｖ_iが登録されていないことを確認すると、続いて、各集計サーバＳ_j（1≦j≦m）は、電子署名Sig^(i,k)の検証を行う。もし、電子署名Sig^(i,k)が正当ではないと判断した場合、当該受信データを破棄する。
各集計サーバＳ_j（1≦j≦m）は、電子署名Sig^(i,k)が正しいと判断した場合、投票データの暗号文ES^(i,k) _jを自身の秘密鍵SkS_jを利用して復号し、平文のＹｅｓ票数及びＮｏ票数のシェアの結合ｓ^(i,k) _j（k＝v⁽ⁱ⁾ _Y）を得る。
【数２０】

なお、Dec<Sk>(c)は、暗号文cを秘密鍵Skを用いて復号した結果得られる平文を示す。そして、各集計サーバＳ_jは、公開掲示板サーバＢからシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jを取得し、復号した平文のＹｅｓ票数及びＮｏ票数のシェアの結合s^(i,k) _j（k＝v⁽ⁱ⁾ _Y）のハッシュ値H（s^(i,k) _j）が含まれていることをチェックする。
【数２１】

上記全てのチェックが完了した場合に、各集計サーバＳ_j（1≦j≦m）は、投票者Ｖ_iの識別符号を自身の既投票者リストＬ_jに追加し、内部に記憶する。
【００３１】
（２）図８は、カウンタの加算の方式を示す図である。各集計サーバＳ_j（1≦j≦m）は、以下のように、自身が内部に記憶しているＹｅｓカウンタＣ_YのシェアＣ_Y,jに復号されたＹｅｓ票数のシェアｓ^(i,k) _Y,j（k＝v⁽ⁱ⁾ _Y）を、ＮｏカウンタＣ_NのシェアＣ_N,jに復号されたＮｏ票数のシェアｓ^(i,k) _N,j（k＝v⁽ⁱ⁾ _Y）を加算し、更新する。
【数２２】

【００３２】
３．４集計フェーズ
図９は、投票数の集計の方式を示す図である。集計フェーズにおいて、各集計サーバＳ_j（1≦j≦m）が内部に記憶しているＹｅｓカウンタＣ_YのシェアＣ_Y,j及びＮｏカウンタＣ_NのシェアＣ_N,jを基に、ＹｅｓカウンタＣ_Y（＝Ｙｅｓの総票数Σ_iv⁽ⁱ⁾ _Y）及びＮｏカウンタＣ_N（＝Ｎｏの総票数Σ_iv⁽ⁱ⁾ _N）を復元する。ＹｅｓカウンタＣ_Y及びＮｏカウンタＣ_Nは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳに誤りや不正があった場合であっても、ＹｅｓカウンタＣ_Y及びＮｏカウンタＣ_Nは正しく復元することが可能である。
【００３３】
３．５効果
（１）健全性
投票権のない投票者が投票データを集計サーバＳに送信した場合、公開掲示板サーバＢに存在する（投票者Ｖ_i，シャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _j）のペアの検索によって、この投票を棄却することができる。また、投票データ生成サーバＳ_Rによって作られた投票データのシェアは、各集計サーバＳに対応して暗号化され、有効なＹｅｓ票数v⁽ⁱ⁾ _Yについてまとめた上で電子署名が付されているため、投票データのシェアの正当性を確認することができる。また、シェアの各ペアは、
【数２３】

を満たしており、各投票者Ｖは、
【数２４】

となる不正な投票を行うことができない。
また、各集計サーバＳ内の既投票者リストＬにより投票者Ｖの二重投票をチェックし、破棄することができる。
【００３４】
（２）完全性
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されており、０に初期設定される。そして、投票内容は秘密分散を用いて複数台の集計サーバＳへ分散される。従って、ｍ台中ｔ台の集計サーバＳに不具合や不正があっても、秘密分散の復元と誤り訂正プロトコルにより、正しいカウンタ値（総票数）が復元される。
【００３５】
（３）プライバシ
集計サーバＳのカウンタは、（ｔ＋１，ｍ）分散法により分散されているため、ｔ台以下の集計サーバＳの結託では、カウンタ値（総票数）を知ることはできない。
また、公開掲示板サーバＢが公開するシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jは、投票データ生成サーバＳ_Rによりシャッフルされて投票パターンが秘匿されている。そのため、集計サーバＳは、端末装置Ｔから受信した暗号文ES^(i,k) _jと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jからＹｅｓ票数v⁽ⁱ⁾ _Yを知ることはできない。
また、端末装置Ｔと投票データ生成サーバＳ_Rとの間の通信路がセキュアであるため、他の投票者の投票データを知ることはできない。また、他の端末装置Ｔから送信された暗号文ES^(i,k) _jと公開掲示板サーバＢ内のシャッフルした投票データのシェアのハッシュ値の集合HS⁽ⁱ⁾ _jから他の投票者のＹｅｓ票数v⁽ⁱ⁾ _Yを知ることはできない。
【００３６】
４．一般化と他の形態への応用
４．１一般化
上記電子投票システムは、Ｙｅｓ−Ｎｏのような２つの選択肢だけではなく、３以上の選択肢を持つ一般的な分割可能な投票に拡張することが可能である。ここでは、投票者Ｖ_i（1≦i≦n）が存在するとき、i番目の投票者Ｖ_iが持ち票x_iを持ち、選択肢Ａ₁，…，Ａ_uへ全ての持ち票x_iを分配して投票する場合を想定する。このとき、投票者Ｖ_iは、
【数２５】

及び
【数２６】

を満たす投票を行う。
このような投票を実現するため、各集計サーバＳ₁〜Ｓ_mは、ｕ個のカウンタのシェアを持つ。そして、準備フェーズにおいて投票データ生成サーバＳ_Rは、３章に記載したＹｅｓ票数のシェアｓ^(i,k) _Y,j及びＮｏ票数のシェアｓ^(i,k) _N,jの代わりに、
k₁＋…＋k_u＝x_i
かつ
0≦k₁，…，k_u≦x_i
を満たすような投票数のシェア
【数２７】

を全てのj（1≦j≦m），k₁，... ，k_uに対して生成する。この点を除き、３章に示す電子投票システムの動作手順と同様に構成可能である。すなわち、本節に示す一般化された電子投票システムの動作手順においては、投票データ生成サーバＳ_Rは、各投票者Ｖに対して、
【数２８】

のシェアを作成する。
【００３７】
４．２部分的棄権が可能な投票
棄権票が存在する場合、
【数２９】

となる投票も有効である。この場合、持ち票x_iを持つi番目の投票者Ｖ_i（1≦i≦n）は、Ｙｅｓにv⁽ⁱ⁾ _Y票、Ｎｏにv⁽ⁱ⁾ _N票、棄権にv⁽ⁱ⁾ _A（＝x_i−v⁽ⁱ⁾ _Y−v⁽ⁱ⁾ _N）票を投票する。各集計サーバＳは、ＹｅｓカウンタＣ_Y、ＮｏカウンタＣ_N、棄権票カウンタＣ_Aの各々に対応して、秘密分散したＹｅｓカウンタＣ_YのシェアＣ_Y,j、秘密分散したＮｏカウンタＣ_NのシェアＣ_N,j、秘密分散した棄権票カウンタＣ_AのシェアＣ_A,j（1≦j≦m）を内部に記憶する。そして、投票データ生成サーバＳ_Rは、以下の投票データのシェアを生成する。
【数３０】

その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３８】
４．３分割不可な複数投票
分割不可能な複数電子投票においては、投票者Ｖが、持ち票ｘを全てＹｅｓあるいはＮｏに割り当て、投票する。すなわち、
【数３１】

または
【数３２】

となる投票を行う。このとき、投票データ生成サーバＳ_Rは、
（x_i，０）及び（０，x_i）
のシェアを作成し、各端末装置Ｔへ送信する。
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００３９】
４．４多候補者選挙
多候補者選挙は、投票者が、ｕ個の候補の中から１つの候補のみを選択する方式である。この場合、各集計サーバＳは、ｕ番目の候補を選択したときのカウンタの分散である分散カウンタＣ_1,j，．．．，Ｃ_u,j（1≦j≦m）を保有する。そして、投票データ生成サーバＳ_Rは、１つだけが「１」で残りが全て「０」となるような、以下の投票データのシェアを生成し、端末装置Ｔへ送信する。
（1,0,0,...,0），（0,1,0,...,0），．．．，（0,0,0,...,1）
その他の動作については、３章に示す電子投票システムの動作手順と同様である。
【００４０】
５．その他
上記実施の形態によれば、健全性、完全性、プライバシを保持しながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる電子投票を実現することができる。また、ゼロ知識証明などを使用せず、負荷を抑えた電子投票システムを提供することが可能となる。また、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【００４１】
なお、上述の投票データ生成サーバＳ_R、公開掲示板サーバＢ、端末装置Ｔ、及び、集計サーバＳは、内部にコンピュータシステムを有している。そして、上述した動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。
【００４２】
また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００４３】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００４４】
【発明の効果】
この発明によれば、各投票者の投票内容を秘匿しながら、さらに、不正な投票を防ぎながら、各投票者が持つ票を複数の選択肢に任意に分割して投票することができる効率的な電子投票システムを提供することができる。さらに、部分的な棄権、分割不可の複数投票、あるいは、多候補者選挙を行うことができる。
【図面の簡単な説明】
【図１】この発明の一実施の形態による電子投票システムの構成を示すブロック図である。
【図２】同実施の形態による電子投票の手順の概要を示す図である。
【図３】同実施の形態によるカウンタ及び既投票者リストの初期化の手順を示す図である。
【図４】同実施の形態による投票データの生成の方式を示す図である。
【図５】同実施の形態による公開掲示板サーバへのハッシュ値の書込みの方式を示す図である。
【図６】同実施の形態による投票データの配信の方式を示す図である。
【図７】同実施の形態による投票者からの投票の方式を示す図である。
【図８】同実施の形態によるカウンタの加算の方式を示す図である。
【図９】同実施の形態による投票数の集計の方式を示す図である。
【符号の説明】
Ｓ_Ｒ…投票データ生成サーバ
Ｂ…公開掲示板サーバ
Ｔ、Ｔ₁、Ｔ₂、Ｔ_i、Ｔ_n…端末装置
Ｓ₁、Ｓ₂、Ｓ_j、Ｓ_m…集計サーバ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an electronic voting system that performs voting and counting work.
[0002]
[Prior art]
In recent years, with the spread of the Internet, an electronic voting service using an encryption protocol is being provided. Many of the existing electronic voting methods deal with a form of vote like a confidence vote, that is, a form where one of “Yes” and “No” is cast. Further, voting for selecting only one from a plurality of candidates is realized by extending this method.
Non-Patent Document 1 describes an electronic voting system based on homomorphism, and Non-Patent Document 2 describes an indivisible multi-vote electronic voting system based on homomorphism.
Homomorphism means confidential information s₁N shares {S_1,1, S_1,2, ...., S_{1, n}} In the confidential information₂N shares {S_2,1, S_2,2, ...., S_{2, n}} And the i-th player is S_{1, i}And S_{2, i}If you receive the confidential information₁And s₂Is the sum of₁+ s₂S that each player has_{1, i}+ S_{2, i}{S_1,1+ S_2,1, S_1,2+ S_2,2, ...., S_{1, n}+ S_{2, n}} Is a property that can be restored from.
Non-Patent Document 3 describes an electronic voting method based on shuffling. This is because, when the Mix server receives the encrypted vote contents from the voter, the encrypted vote contents are replaced and re-encrypted and transmitted to the next Mix server, and the vote contents are replaced and re-encrypted. This is a method of decoding the final result by repeating the conversion by a plurality of Mix servers.
Non-Patent Document 4 describes an electronic voting method based on a blind signature. In this method, the election manager adds a blind signature to the encrypted voting content, and the counting server performs counting based on the encrypted voting content to which the blind signature is attached by the voter.
[0003]
[Non-Patent Document 1]
Sako, K. and Kilian, J., “Secure Voting Using Partially Compatible Homomorphisms”, Advanced in Cryptology: Crypt ' 94 (Advances in Cryptology: Crypto'94), Germany, Springer-Verlag, August 1994, LNCS 839, p. 411-424
[Non-Patent Document 2]
Tetsuro Tax Office, 4 others, "Electronic voting method that can vote multiple times using homomorphism", Proceedings of Computer Security Symposium 2002, Information Processing Society of Japan, October 30, 2002, Information Processing Society of Japan Symposium Series Vol. 2002, no. 16, p. 467-472
[Non-Patent Document 3]
Sako, K. and Kilian, J. “Receipt-Free Mix-type Voting Scheme”, Advance in Cryptology: Eurocrypt '95 (Advances in Cryptology : EuroCrypt '95), Springer-Verlag, Germany, 1995, LNCS 921, p. 393-403
[Non-Patent Document 4]
Satoshi Fujioka and two others, "Electronic Voting Method", NTT R & D, Nippon Telegraph and Telephone Corporation, October 1995, Vol. 44, no. 10, p. 244-251
[0004]
[Problems to be solved by the invention]
  In addition to the form where one voter casts one vote as in a general election,eachEach voter may have a different number of votes. There is also a case where a vote is performed by arbitrarily distributing a different number of votes of each voter to a plurality of options.
  However, when the above-described voting is performed by an electronic voting method using homomorphism as described in Non-Patent Document 1, the voter must execute zero knowledge proof for the number of votes. This has the problem that it is inefficient and impractical. Zero-knowledge proof generally means that the verifier knows the knowledge of secret information held by the prover after several exchanges between the prover and the verifier. Probabilistic proof for.
  In addition, in the electronic voting method that cannot be divided based on the homomorphism described in Non-Patent Document 2, it is impossible in principle to divide a plurality of votes while keeping the voting contents confidential.
  In addition, when the methods described in Non-Patent Documents 3 and 4 are applied, there is a problem that anonymity is lost due to collation with the number of votes if the vote division pattern is included in the vote data. In addition, anonymity can be ensured by voting the Yes-No vote for the number of votes, but there is a problem that the input / output of the anonymous communication path becomes the total number of votes, which is inefficient and impractical.
[0005]
The present invention has been made in consideration of the circumstances as described above, and its purpose is to conceal the contents of each voter's vote, and to prevent illegal votes while holding multiple votes for each voter. An object of the present invention is to provide an efficient electronic voting system capable of voting by arbitrarily dividing options.
[0006]
[Means for Solving the Problems]
  The present invention has been made to solve the above-described problems. The invention according to claim 1 is a voter terminal device and a vote data generation server for generating vote data for the voter to vote. And an electronic voting system in which a plurality of counting servers for counting votes are connected via a network, wherein the voting data generation server includes:For each voting pattern that assigns each voter's vote to each option,Generate a share of secret-distributed voting data corresponding to each aggregation server,Corresponding to each share of the generated voting dataEncrypted with the key of each aggregation server, Each voter ’sVoting data generation means for transmitting to the terminal device, the terminal device from the voting data generation server,For all voting patternsThe ciphertext of the share of the voting data that is secretly distributed corresponding to each aggregation server is received, and the ciphertext of the share of the voting data corresponding to the pattern that the voter votes from among the ciphertext of the share of the voting data corresponds. Voting means for transmitting to each aggregation server, wherein the aggregation server is a secret-distributed counter for counting the number of votes.And, Receiving the ciphertext of the share of the voting data from the terminal device,The secret-distributed counter,Add share of voting data obtained by decrypting this ciphertextUpdate to the specified valueCounter adding means to perform the above andSecret sharingCounTAn electronic voting system comprising: voting result calculation means for decoding the total number of votes based on the above.
[0007]
  A second aspect of the present invention is the electronic voting system according to the first aspect, further comprising a public bulletin board server that holds information for confirming the validity of the voting data to the tabulation server and a network. Connected, and the voting data generation means transmits the validity confirmation data generated from the share of the voting data to the public bulletin board server while concealing the voting pattern,
  The public bulletin board server includes a share storage unit that receives and stores the validity confirmation data in which the voting pattern is concealed, and the counter addition unit reads out the validity confirmation data from the public bulletin board server. When it is determined that the share of the voting data is valid based on the confirmation data,Secret sharingcounterShare the voting dataAdditionUpdate to the specified valueIt is characterized by.
[0008]
The invention according to claim 3 is the electronic voting system according to claim 2, wherein the voting data generation means transmits a plaintext of the share of the voting data to the terminal device, and the voting means A plaintext of the share of the voting data is received from the voting data generation server, and based on the plaintext of the share of the voting data and the validity confirmation data read from the public bulletin board server, the ciphertext of the share of the voting data is When it is determined to be valid, a ciphertext of share of voting data corresponding to a pattern voted by a voter is transmitted to each corresponding aggregation server.
[0015]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below with reference to the drawings.
For convenience,
[Expression 1]

X^y _zWrite like this.
[0016]
1. System model
FIG. 1 is a block diagram showing a configuration of an electronic voting system according to an embodiment of the present invention.
The electronic voting system includes n voters V₁~ V_n(Hereinafter referred to as “voter V”). i-th (1 ≦ i ≦ n) voter V_i, Voter V_iX is the number of votes_i(Hereafter, “Number of votes x_i”), Voter V_iV is the number of votes⁽ⁱ⁾ _Y(Hereafter, “Yes vote v⁽ⁱ⁾ _Y”), And the number of votes cast in No⁽ⁱ⁾ _N(Hereafter, “No votes v⁽ⁱ⁾ _N”). At this time,
[Expression 2]

And
[Equation 3]

Holds.
And m aggregation servers S₁~ S_m(Hereinafter referred to as “aggregation server S”) is the voter V₁~ V_nEach terminal device T₁~ T_n(Hereinafter referred to as “terminal device T”) based on the voting data received from
[Expression 4]

(Hereafter, “Yes total vote Σ_iv⁽ⁱ⁾ _Y _"”) And
[Equation 5]

(Hereafter, “No total votes Σ_iv⁽ⁱ⁾ _N”).
[0017]
Here, when the following conditions of soundness, integrity and privacy are satisfied, the electronic voting performed by this electronic voting system is said to be secure.
(1) Soundness
Any voter V (terminal device T) has its own number of votes x₁~ X_nVoting exceeding (hereinafter referred to as “the number of votes x”) is not allowed. That is, the following holds.
[Formula 6]

When the above is true, (v⁽ⁱ⁾ _Y, V⁽ⁱ⁾ _N) Is effective.
(2) Completeness
For all votes that satisfy the soundness described in (1), the aggregation server S determines the total number of votes Σ of Yes._iv⁽ⁱ⁾ _YAnd the total number of votes for No_iv⁽ⁱ⁾ _NIs output correctly.
(3) Privacy
Aggregation server S and terminal device T (voter V) have the total number of votes Σ_iv⁽ⁱ⁾ _YAnd the total number of votes for No_iv⁽ⁱ⁾ _NNo other information is available. However, the number of votes x of each voter V and whether each voter V participated in the voting may be disclosed.
[0018]
In the electronic voting system according to the present embodiment, in order to ensure the privacy of each vote, the aggregation function is distributed to m aggregation servers S by using secret sharing with linearity. The terminal device T possessed by the voter V shares the voting data indicating the number of votes cast for each option secretly, that is, the number of Yes votes v⁽ⁱ⁾ _YAnd number of votes v⁽ⁱ⁾ _NThe share of (1 ≦ i ≦ n) is transmitted to each aggregation server S. Each tabulation server S calculates the sum of the share of voting data received from the terminal device T, and finally restores the total number of votes from the sum of the share of voting data held by each tabulation server S.
[0019]
2. Constitution
Voting data generation server S_RIs connected to a network N such as the Internet through a dedicated line or a broadband line, and has a function of communicating with the public bulletin board server B and the terminal device T. However, the terminal device T is securely connected by using an encrypted communication protocol.
Voting data generation server S_RIs (voter V for all i (1 ≦ i ≦ n)_i, Number of votes x_i) Is stored internally. And for all the voters V, a function for generating a share of secret voting data corresponding to each totaling server S for each voting pattern, a share of plain text voting data, and a share of electronically signed voting data It has a function of transmitting a ciphertext to the terminal device T. The voting pattern indicates a pattern for how the number of votes is distributed to each option. In addition, the terminal device T and the aggregation server S generate validity check data for verifying the validity of the vote, that is, a hash value based on the share of the vote data, and further shuffle the generated hash value and vote It has a function of concealing the pattern and writing to the public bulletin board server B.
[0020]
The public bulletin board server B is connected to the network N by a dedicated line or a broadband line, and the voting data generation server S_RAnd a function of communicating with the terminal device T and the aggregation server S. Also, the public bulletin board server B is connected to the voting data generation server S._R2 has a function to receive and store the shuffled hash value generated based on the validity verification data in which the voting pattern is concealed, that is, the share of all possible voting data.
[0021]
The terminal device T is a personal computer owned by each voter V, and is connected to the network N by a dedicated line or a broadband line, and the voting data generation server S_RAnd a function of communicating with the public bulletin board server B and the summary server S. However, the voting data generation server S_RIs securely connected, for example, using an encrypted communication protocol.
The terminal device T includes a voting data generation server S_RFrom the above, it has a function of receiving the plaintext voting data share and the ciphertext of the electronically signed voting data share and storing them inside. In addition, a hash value is generated from the share of plain text voting data, and the shuffled hash value (validity confirmation data) in the public bulletin board server B is read and compared, and the voting data generation server S_RAnd the validity of the shuffled hash value (validity confirmation data) in the public bulletin board server B is confirmed. Furthermore, it has a function of decrypting the voting data from the plaintext voting data share and confirming the validity of the voting data. In addition, the plaintext voting data share is encrypted and the voting data generation server S_RHas a function of confirming whether the share of the voting data received from is correctly encrypted. The voter V receives information indicating the voting pattern input from the keyboard, mouse, button, etc., reads the ciphertext of the share of the electronically signed voting data corresponding to the input voting pattern from the inside, and calculates each total It has a function to transmit to the server S.
[0022]
The aggregation server S is connected to the network N via a dedicated line or a broadband line, and has a function of communicating with the public bulletin board server B and the terminal device T.
Each tally server S jointly counters C for Yes_Y(Hereafter, “Yes Counter C_Y”) And No counter C_N(Hereafter, “No counter C_NThe counter share is stored internally. The shares of these counters are distributed by Shamir's (t + 1, m) distribution method (where m> 3t + 1), which can correctly restore the aggregation results even when t out of the m aggregation servers S are unauthorized.
Furthermore, the function of checking the electronic signature attached to the ciphertext of the share of the voting data that has been electronically signed received from the terminal device T, and the hash value is generated by decrypting the share of the voting data, and the public bulletin board server It has a function of confirming the validity of the share of voting data by reading and comparing the shuffled hash values (validity confirmation data) in B. Each tabulation server S has a list L that includes the identifiers of the voters V who have already voted.₁~ L_m(Hereinafter referred to as “already-listed voter list L”) is stored therein and has a function of determining whether or not the voter V has already voted. And it has a function which adds the share of the vote data by which the legitimacy was confirmed to the share of a counter, and a function which restores a counter combining the share of the counter which each totaling server S holds.
[0023]
3. Operation procedure of electronic voting system
3.1 Overview of electronic voting procedures
FIG. 2 is a diagram showing an outline of the procedure of electronic voting according to the present embodiment. The voting procedure consists of three phases: a preparation phase, a voting phase, and a counting phase.
(1) Preparation phase
Voting data generation server S_RGenerates a share of voting data for every voting pattern that each voter V can vote. Then, a hash value is calculated from the share of the voting data as correctness confirmation data for detecting an illegal vote, and the calculated hash value is shuffled so that the voting pattern cannot be recognized and written to the public bulletin board server B. (Step S11). Thereafter, the voting data generation server S_RTransmits to each terminal device T the ciphertext of the share of the plain voting data of all voting patterns and the share of the voting data that has been digitally signed (step S12). The terminal device T refers to the public bulletin board server B and checks that the voting pattern is correctly shuffled and that the voting data is correctly generated (step S13).
(2) Voting phase
When each voter V selects a voting pattern for voting, the terminal device T transmits a ciphertext of the share of the voting data digitally signed corresponding to the selected voting pattern to all the aggregation servers S (step S21). . The aggregation server S confirms that there is no double voting and checks the public bulletin board server B that the share of the received voting data is correct (step S22). Only when this check is completed correctly, the aggregation server S can determine whether each counter Yes_YShare and No counter C_NUpdate your share.
(3) Counting phase
All the aggregation servers S use the secret sharing restoration protocol, and the Yes counter C_Y(Yes total vote Σ_iv⁽ⁱ⁾ _Y) And No counter C_N(No total votes Σ_iv⁽ⁱ⁾ _N) Is restored (step S31).
[0024]
In the electronic voting system, the following is assumed.
・ Voting data generation server S_ROperates only in the preparation phase for generating a share of voting data, and does not perform any operation once the voting from the terminal device T is started.
・ Voting data generation server S_RDoes not collaborate with any counting server S or terminal device T.
The contents of the public bulletin board server B can be referred from any device, but the addition / change of information in the public bulletin board server B is performed by the voting data generation server S_ROnly possible.
・ Voting data generation server S_ROnce all information is input to the public bulletin board server B, the information in the public bulletin board server B is not changed at all.
The detailed procedure for each phase is shown below.
[0025]
3.2 Preparation phase
(1) FIG. 3 is a diagram illustrating a procedure for initializing a counter and a voter list. First, the aggregation server S initializes the shares of the counters stored therein. That is, the aggregation server S_j(1 ≦ j ≦ m)
Yes counter C_YShare C_{Y, j} = 0
as well as
No counter C_NShare C_{N, j} = 0
Execute.
Next, the aggregation server S_j(1 ≦ j ≦ m) is the already voted voter list L_jWrite an empty set to.
[0026]
(2) FIG. 4 is a diagram showing a voting data generation method. Voting data generation server S_RGenerates a share of the voting data for each voter pattern secretly distributed to all the voters V. That is, voter V_iNumber of votes x (1 ≤ i ≤ n)_iThe number of votes of Yes in the range of k (0 ≦ k ≦ x_i) And No votes (x_i-K) for each aggregation server S_jGenerate a share for secret sharing in (1 ≦ j ≦ m)
[Expression 7]

(Hereafter, “Share of the number of Yes votes”^{(i, k)} _{Y, j}”) And
[Equation 8]

(Hereafter, “No share of votes”^{(i, k)} _{N, j}”). In the figure, the i-th voter V_iVoting pattern (Yes vote number k, No vote number (x_i-K)) = (0, x_i), ..., (x_i, 0) for aggregation server S₁Should be sent to
[Equation 9]

Is the summary server S_jShould be sent to
[Expression 10]

Is the summary server S_mShould be sent to
## EQU11 ##

Is generated.
[0027]
Next, the voting data generation server S_RIs the share of all Yes votes^{(i, k)} _{Y, j}And No. share of votes^{(i, k)} _{N, j}Is encrypted using the public key of each corresponding aggregation server S by RSA (Rivest-Shamir-Adleman) encryption or the like. That is, the voting data generation server S_RIs
[Expression 12]

("‖" Represents a bond)
[Formula 13]

For each i (1 ≤ i ≤ n), k (0 ≤ k ≤ x_i), J (1 ≦ j ≦ m). However, PkS_jIs the jth aggregation server S_jEnc <Pk> (w) indicates a ciphertext obtained as a result of encrypting plaintext w with the public key Pk.
Subsequently, the voting data generation server S_ROwn secret key SkS_RIs used to create an electronic signature for each voting pattern. That is,
[Expression 14]

For each i (1 ≤ i ≤ n), k (0 ≤ k ≤ x_i) Sig <Sk> (w) represents the electronic signature of w created using the secret key Sk.
[0028]
(3) FIG. 5 is a diagram showing a method of writing a hash value to the public bulletin board server B. Voting data generation server S_RFor each i (1 ≤ i ≤ n), the combination of the shares of the number of Yes votes and the number of No votes is as follows:^{(i, k)} _jCalculate the hash value of.
[Expression 15]

Here, “H” is a one-way hash function that is difficult to collide. Further, the voting data generation server S_RChoose a random permutation π. And for each j (1 ≦ j ≦ m)
[Expression 16]

Is shuffled with the selected π,
[Expression 17]

Get. Voting data generation server S_RIs a set of hash values H (s⁽ⁱ⁾ _j) (1 ≦ i ≦ n, 1 ≦ j ≦ m) is transmitted to the public bulletin board server B. Public bulletin board server B collects a set of hash values H (s⁽ⁱ⁾ _j) (1 ≦ i ≦ n, 1 ≦ j ≦ m) is received and stored internally.
[0029]
(4) FIG. 6 is a diagram showing a voting data distribution method. Voting data generation server S_REach terminal device T_i(1 ≦ i ≦ n)
Combined set of shares of plaintext Yes and No votes (s^{(i, k)} ₁, ..., s^{(i, k)} _m) (0 ≦ k ≦ x_i)
as well as,
Electronic signature Sig for each voting pattern^{(i, k)}A set of ciphertexts for share of voting data (ES^{(i, k)} ₁, ..., ES^{(i, k)} _m) (0 ≦ k ≦ x_i)
Send.
Each terminal device T_i(1 ≤ i ≤ n) is the combination of shares of plain text Yes and No votes (s^{(i, k)} ₁, ..., s^{(i, k)} _m) To all k (0 ≦ k ≦ x_i), J (1 ≦ j ≦ m), the hash value h of the share of voting data^{(i, k)} _jIs calculated by the same method as in (Expression 15). Then, a set of hash values HS of shuffled voting data shares corresponding to own i recorded in the public bulletin board server B⁽ⁱ⁾ _jThis is the hash value h of the share of the calculated voting data^{(i, k)} _jAnd that the voting pattern is shuffled content.
Next, each terminal device T_i(1 ≦ i ≦ n) is the share of the number of Yes votes (s^{(i, k)} _{Y, 1}, ..., s^{(i, k)} _{Y, m}) And No. share (s)^{(i, k)} _{N, 1}, ..., s^{(i, k)} _{N, m}) (0 ≦ k ≦ x_i), Each with Yes votes k and No votes (x_iConfirm that the share is -k).
Furthermore, each terminal device T_i(1 ≦ i ≦ n) is the combination of the shares of the number of Yes votes and the number of No votes in the same manner as in (Equation 13).^{(i, k)} _jTally server S_jPublic key of PkS_jCiphertext ES encrypted with^{(i, k)} _jTo calculate the voting data generation server S_RCiphertext ES received from^{(i, k)} _jMatch all k (0 ≦ k ≦ x_i), J (1 ≦ j ≦ m).
[Expression 18]

In addition,
[Equation 19]

Means to verify whether the right side and the left side are equal.
[0030]
3.3 Voting phase
In this section, the i-th terminal device T_iThe operation will be described using each terminal device T.₁~ T_nThe same operation is performed in
(1) FIG. 7 is a diagram showing a voting system from voters. Terminal device T_iVoter V_iReceives an input for selecting a voting pattern. At this time, voter V_iThe selected voting pattern is yes⁽ⁱ⁾ _Y, Each terminal device T_i(1 ≦ i ≦ n) is the number of votes of Yes k = number of votes of Yes⁽ⁱ⁾ _YA set of ciphertexts sharing the voting data with an electronic signature is transmitted to all the aggregation servers S. Specifically, the terminal device T determines that the number of votes for Yes k = the number of votes for Yes v⁽ⁱ⁾ _YA set of ciphertexts of voting data corresponding to^{(i, k)} ₁, ..., ES^{(i, k)} _m) Electronic signature Sig^{(i, k)}The voting data attached with is transmitted to all the aggregation servers S. Also, the terminal device T_iTogether with this voting data,_iSend the identifier.
Each aggregation server S_j(1 ≦ j ≦ m) is the already voted vote list L_jTerminal device T_iVoter V received from_iIt is checked whether the identifier of is already registered. If voter list L_jVoter V_iIf it is determined that has already been registered, the received data is discarded.
Voter list L_jVoter V_iIf it is confirmed that is not registered, then each aggregation server S_j(1 ≦ j ≦ m) is the electronic signature Sig^{(i, k)}Perform verification. If electronic signature Sig^{(i, k)}If it is determined that is not valid, the received data is discarded.
Each aggregation server S_j(1 ≦ j ≦ m) is the electronic signature Sig^{(i, k)}Voted data ciphertext ES^{(i, k)} _jOwn secret key SkS_jDecryption using, combining the shares of plain text Yes and No votes^{(i, k)} _j(K = v⁽ⁱ⁾ _Y)
[Expression 20]

Note that Dec <Sk> (c) indicates a plaintext obtained as a result of decrypting the ciphertext c using the secret key Sk. And each total server S_jIs a set HS of hash values of shares of voting data shuffled from the public bulletin board server B⁽ⁱ⁾ _jCombines the shares of Yes and No votes in plaintext^{(i, k)} _j(K = v⁽ⁱ⁾ _Y) Hash value H (s^{(i, k)} _j) Is included.
[Expression 21]

When all the above checks are completed, each aggregation server S_j(1 ≦ j ≦ m) is the voter V_iThe identification code of the own voter list L_jAdd to and store inside.
[0031]
(2) FIG. 8 is a diagram showing a counter addition method. Each aggregation server S_j(1 ≦ j ≦ m) is the Yes counter C stored in itself as follows:_YShare C_{Y, j}Shares of number of Yes votes decrypted in^{(i, k)} _{Y, j}(K = v⁽ⁱ⁾ _Y), No counter C_NShare C_{N, j}Shares of the number of No votes decrypted in^{(i, k)} _{N, j}(K = v⁽ⁱ⁾ _Y) Is added and updated.
[Expression 22]

[0032]
3.4 Aggregation phase
FIG. 9 is a diagram showing a method of counting the number of votes. In the counting phase, each counting server S_jYes counter C stored in (1 ≦ j ≦ m)_YShare C_{Y, j}And No counter C_NShare C_{N, j}Based on the Yes counter C_Y(= Yes total vote number Σ_iv⁽ⁱ⁾ _Y) And No counter C_N(= No total vote Σ_iv⁽ⁱ⁾ _N). Yes counter C_YAnd No counter C_NIs distributed by the (t + 1, m) distribution method, so even if there are errors or frauds in t or fewer tally servers S, the Yes counter C_YAnd No counter C_NCan be restored correctly.
[0033]
3.5 Effect
(1) Soundness
When a voter without voting rights transmits voting data to the aggregation server S, it exists in the public bulletin board server B (voter V_i, Set HS of shuffled voting data shares⁽ⁱ⁾ _j) Can be rejected by searching for pairs. Also, the voting data generation server S_RThe share of the voting data created by is encrypted corresponding to each aggregation server S, and the number of valid Yes votes v⁽ⁱ⁾ _YSince the electronic signature is attached after summarizing, the validity of the share of the voting data can be confirmed. Each pair of shares
[Expression 23]

And each voter V
[Expression 24]

I cannot make an illegal vote.
In addition, the double vote of the voter V can be checked and discarded by the already voted vote list L in each aggregation server S.
[0034]
(2) Completeness
The counters of the aggregation server S are distributed by the (t + 1, m) distribution method and are initialized to 0. The contents of the vote are distributed to a plurality of aggregation servers S using secret sharing. Therefore, even if t out of the m total servers S are defective or illegal, the correct counter value (total number of votes) is restored by the restoration of secret sharing and the error correction protocol.
[0035]
(3) Privacy
Since the counters of the aggregation server S are distributed by the (t + 1, m) distribution method, the counter value (the total number of votes) cannot be known by collusion of t or less aggregation servers S.
Also, a set HS of hash values of shares of shuffled voting data published by the public bulletin board server B⁽ⁱ⁾ _jIs the voting data generation server S_RIs shuffled and the voting pattern is kept secret. Therefore, the aggregation server S receives the ciphertext ES received from the terminal device T.^{(i, k)} _jAnd hash value set HS of the share of shuffled voting data in the public bulletin board server B⁽ⁱ⁾ _jTo Yes votes v⁽ⁱ⁾ _YI can't know.
Further, the terminal device T and the voting data generation server S_RSince the communication path between the two voters is secure, it is not possible to know the vote data of other voters. In addition, the ciphertext ES transmitted from another terminal device T^{(i, k)} _jAnd hash value set HS of the share of shuffled voting data in the public bulletin board server B⁽ⁱ⁾ _jYes vote for other voters⁽ⁱ⁾ _YI can't know.
[0036]
4). Generalization and application to other forms
4.1 Generalization
The above electronic voting system can be extended to not only two options such as Yes-No but also a general divisible vote having three or more options. Here, voter V_iWhen (1 ≦ i ≦ n) exists, the i-th voter V_iVoting x_iWith choice A₁, ..., A_uTo all votes x_iIs assumed to be distributed and voted. At this time, voter V_iIs
[Expression 25]

as well as
[Equation 26]

Vote to satisfy.
In order to realize such voting, each aggregation server S₁~ S_mHas a share of u counters. In the preparation phase, the voting data generation server S_RThe share of the number of Yes votes described in Chapter 3^{(i, k)} _{Y, j}And No. share of votes^{(i, k)} _{N, j}Instead of,
k₁+ ... + k_u= X_i
And
0 ≦ k₁, ..., k_u≦ x_i
Share of votes to satisfy
[Expression 27]

To all j (1 ≤ j ≤ m), k₁, ..., k_uGenerate for. Except for this point, it can be configured in the same manner as the operation procedure of the electronic voting system shown in Chapter 3. That is, in the operation procedure of the generalized electronic voting system shown in this section, the voting data generation server S_RFor each voter V
[Expression 28]

Create a share of
[0037]
4.2 Voting with partial abstention
If an abstention vote exists,
[Expression 29]

The vote becomes effective. In this case, vote x_iI-th voter V_i(1 ≦ i ≦ n)⁽ⁱ⁾ _YVote, No to v⁽ⁱ⁾ _NVote, abstention⁽ⁱ⁾ _A(= X_i−v⁽ⁱ⁾ _Y−v⁽ⁱ⁾ _N) Vote the vote. Each tally server S has a Yes counter C_Y, No counter C_NAbstention counter C_ACorresponding to each of the secret counter Yes counter C_YShare C_{Y, j}, Secret counter No. C_NShare C_{N, j}, Secret abstention counter C_AShare C_{A, j}(1 ≦ j ≦ m) is stored internally. And the voting data generation server S_RGenerates a share of the following voting data:
[30]

Other operations are the same as the operation procedure of the electronic voting system shown in Chapter 3.
[0038]
4.3 Multiple votes that cannot be divided
In the multiple electronic voting that cannot be divided, the voter V assigns all votes x to Yes or No and votes. That is,
[31]

Or
[Expression 32]

To vote. At this time, the voting data generation server S_RIs
(X_i, 0) and (0, x_i)
Is generated and transmitted to each terminal device T.
Other operations are the same as the operation procedure of the electronic voting system shown in Chapter 3.
[0039]
4.4 Multi-candidate election
In the multi-candidate election, a voter selects only one candidate from u candidates. In this case, each aggregation server S uses a distribution counter C that is a distribution of counters when the u th candidate is selected._{1, j},. . . , C_{u, j}(1 ≦ j ≦ m). And the voting data generation server S_RGenerates a share of the following voting data such that only one is “1” and the rest are all “0”, and transmits the share to the terminal device T.
(1,0,0, ..., 0), (0,1,0, ..., 0),. . . , (0,0,0, ..., 1)
Other operations are the same as the operation procedure of the electronic voting system shown in Chapter 3.
[0040]
5. Other
According to the above-described embodiment, it is possible to realize an electronic voting capable of voting by arbitrarily dividing a vote held by each voter into a plurality of options while maintaining soundness, integrity, and privacy. In addition, it is possible to provide an electronic voting system with reduced load without using zero knowledge proof. In addition, partial abstentions, multiple votes that cannot be divided, or multi-candidate elections can be held.
[0041]
The voting data generation server S described above_RThe public bulletin board server B, the terminal device T, and the tabulation server S have a computer system therein. The above-described operation process is stored in a computer-readable recording medium in the form of a program, and the computer system reads and executes this program to perform the above processing. The computer system here includes an OS and hardware such as peripheral devices.
[0042]
In addition to ROM, “computer-readable recording medium” refers to a portable medium such as a magnetic disk, a magneto-optical disk, a CD-ROM, a DVD-ROM, or a storage device such as a hard disk built in a computer system. That means. Furthermore, the “computer-readable recording medium” refers to a volatile memory (RAM) inside a computer system that becomes a client or a system when a program is transmitted via a network such as the Internet or a communication line such as a telephone line. In addition, those holding programs for a certain period of time are also included.
[0043]
The program may be transmitted from a computer system storing the program in a storage device or the like to another computer system via a transmission medium or by a transmission wave in the transmission medium. Here, the “transmission medium” for transmitting the program refers to a medium having a function of transmitting information, such as a network (communication network) such as the Internet or a communication line (communication line) such as a telephone line.
The program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.
[0044]
【The invention's effect】
According to the present invention, it is possible to efficiently divide a vote held by each voter into a plurality of options and to vote while concealing the vote contents of each voter and further preventing illegal voting. An electronic voting system can be provided. In addition, partial abstentions, multiple votes that cannot be divided, or multi-candidate elections can be held.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a configuration of an electronic voting system according to an embodiment of the present invention.
FIG. 2 is a diagram showing an outline of a procedure for electronic voting according to the embodiment;
FIG. 3 is a diagram showing a procedure for initializing a counter and a voter list according to the embodiment;
FIG. 4 is a diagram showing a voting data generation method according to the embodiment;
FIG. 5 is a diagram showing a method of writing a hash value to a public bulletin board server according to the embodiment.
FIG. 6 is a diagram showing a voting data distribution method according to the embodiment;
FIG. 7 is a diagram showing a voting method from a voter according to the embodiment;
FIG. 8 is a diagram showing a counter addition method according to the embodiment;
FIG. 9 is a diagram showing a vote counting method according to the embodiment;
[Explanation of symbols]
S_R… Voting data generation server
B ... Public bulletin board server
T, T₁, T₂, T_i, T_n... Terminal equipment
S₁, S₂, S_j, S_m... Aggregation server

Claims

An electronic voting system in which a terminal device of a voter, a vote data generation server that generates vote data for the voter to vote, and a plurality of counting servers that count votes are connected via a network. And
The voting data generation server
For each voting pattern in which each voter's vote is assigned to each option, a share of secret voting data corresponding to each aggregation server is generated , and each share of the generated voting data is corresponding to each aggregation Voting data generating means for encrypting with a server key and transmitting to the terminal device of each voter ,
The terminal device
From the voting data generation server, for all the voting patterns, the secret-distributed voting data share ciphertext corresponding to each aggregation server is received, and the voter votes from the ciphertext of the voting data share. A voting means for transmitting the ciphertext of the share of the corresponding voting data to each corresponding aggregation server,
The aggregation server is
And a counter that has been secret sharing for counting the number of votes,
Counter addition means for receiving a ciphertext of share of voting data from the terminal device, and updating the secret-distributed counter to a value obtained by adding a share of voting data obtained by decrypting the ciphertext;
Wherein and a voting result calculating means for decoding the votes based on the secret distributed counter each accounting server's,
An electronic voting system characterized by that.

Furthermore, connected to a public bulletin board server holding information for confirming the validity of the voting data to the aggregation server via a network,
The voting data generation means transmits the validity confirmation data generated from the share of the voting data to the public bulletin board server while concealing the voting pattern,
The public bulletin board server is provided with share storage means for receiving the validity confirmation data concealing the voting pattern and storing it inside,
Said counter adding means reads the validation data from the public bulletin board server, when the share of the voting data based on the validation data is found valid, the are secret sharing counter, the Update the vote data share to the added value ,
The electronic voting system according to claim 1.

The voting data generation means transmits a plaintext of the share of the voting data to the terminal device,
The voting means receives the plaintext of the share of the voting data from the voting data generation server, and based on the plaintext of the share of the voting data and the validity confirmation data read from the public bulletin board server, the voting data When it is determined that the ciphertext of the share is valid, the ciphertext of the share of the voting data corresponding to the pattern that the voter votes is sent to each corresponding aggregation server.
The electronic voting system according to claim 2.