JP4560004B2 - 情報証明方法 - Google Patents

Description

この発明は情報証明方法に関するものである。

オークション・セールは、公開の場で、買い手が相互に競ってある品物を入手する方法であり、資本主義社会の経済原則である自由競争の原理にもっとも適合している。近年の計算機通信技術の発達により、このオークション・セールを計算機ネットワークで実現させることが可能になっている。

しかしながら、オークション・セールは、買い手主導の仕組みであるため、対象の値打ちを買い手で判断・決定することができる反面、落札価格を操作するような談合の問題を有している。

電子的にオークション・セールを行うためのシステム（以下、電子入札システムという。なお、電子入札システムは、デジタル署名システムの一例である。）においても、談合の問題を回避する必要がある。
そこで、今村らは匿名通信路を仮定し参加者を明らかにしないような方式（今村幸宏，松本勉，今井秀樹，”電子匿名入札方法，”SCIS94-11B,1994）を提案している。この方式では不特定多数の競争入札において、応札者が参加者リストから談合集団を形成する機会を未然に防ぐことができる。これにより、競争原理を働き易くし、入札の開催を依頼した売り手の利益を保護する（依頼者利益の保護）、また入札の匿名性により、応札者の戦略や入札額の限界といったプライバシに関する情報を漏らさないという条件も満たしている（応札者のプライバシ保護）。

しかし、中西らは、今村らの方式では最高額の入札者が名乗りでないという入札否認によって落札価格を操作する不正を指摘した。そこで、中西らは談合によるこの不正を技術的に防止するため、入札否認が不可能な電子入札方式を提案した（中西透，渡辺創，藤原融，嵩忠雄，”否認不可署名を用いた匿名入札プロトコル，”SCIS95-B1.4,1995）。彼らは否認不可署名を用いて、談合による落札価格の操作を行えないようにしている。これにより、公平な自由競争を実現している。ただし、今村らの方式も中西らの方式も、匿名通信路（匿名放送型ネットワーク）という仮定に基づくものである。

一方、工藤は時間管理機関を設けた入札方式（M.Kudo, "Secure electronic sealed-bid auction protocol with public key cryptography," IEICE Trans,Fundamentals,Vol.E81-A(1),pp,20-27,January 1998）を提案している。この方式では、オークション主催者は入札金額しか知ることができない。しかし、売り手と結託することによって全ての入札者と入札金額との関係を把握することができる。このように入札の匿名性により応札者のプライバシを保護する方式では、匿名通信路や機関の信頼性といった仮定に基づいている。

一方、菊池と中西は秘密分散法を用いて、入札者（応札者）のプライバシを保護する方式（菊池浩明，中西祥八郎，”利用者登録の不要な匿名オークション，”コンピュータセキュリティシンポジウム '98,pp.243-248,1998.）を提案している。彼らの提案は、数論的テクニックを用いて、落札者以外の入札値が一切露呈しない入札方式である。この方式では、入札者の識別情報を秘密分散により複数のオークション主催者に分散して配布する。開示・落札時には、複数の主催者により、最大金額を付けた入札者の識別情報のみが復元される仕組みになっている。ただし、入札者の識別情報の組み合わせを計算することが容易い場合、入札額の秘匿性が失われる危険性がある。

このように、従来の電子入札方法では、匿名通信路を用いることや入札機関が信頼性できるという仮定を考慮しなければ、談合を防止し、また、入札者のプライバシを保護することができない。また、秘密分散法を用いた場合でも必ずしも入札者プライバシ保護は完全ではない。
さらに、匿名通信路や秘密分散法を用いる電子入札システムでは、システム全体が複雑化し、実装を容易にすることが困難である。なお、これらの事情は電子入札システムに限らず、デジタル署名システムでも同様である。

本発明は、このような実情を考慮してなされたもので、その第１の目的は、入札者や署名者のプライバシを保護し談合を防止して依頼者利益を保護することができる電子入札方法、デジタル署名方法及び記録媒体を提供することにある。

また、第２の目的は、プライバシ保護及び談合防止を図りつつ、入札機関並びに第一検証者装置の信頼性や匿名通信路といった仮定には依存せずに、一般的な暗号技術のみでシステム構築可能として実装を容易にすることができる電子入札方法、デジタル署名方法及び記録媒体を提供することにある。

さらに、第３の目的は、複数の選択情報がある場合に、その何れを選択したかを、当該選択内容を開示することなく証明することを可能とした情報証明方法を提供することにある。

上記課題を解決するためになされた第１の発明は、電子的な通信経路を介し、入札者装置とオークション主催者装置との間で情報を送受信することによりオークションを行う電子入札方法についてなされたものである。

本発明にて、まず、入札ステップにおいて、選択的な入札金額のうち何れかを選択し、その選択した入札金額情報を暗号化して入札者装置からオークション主催者装置に送信する。

次に、確認ステップにおいて、すべての入札者装置が暗号化された入札金額情報を送信した後に、選択可能な最高若しくは最低入札金額から金額を指定し、オークション主催者装置から入札者装置に対し指定金額で入札したか否かを確認する。さらに、指定金額で入札したことが何れかの入札者装置から確認されるまで当該指定金額を順次下げ若しくは上げていく。

そして、落札決定ステップにおいて、確認ステップにて、指定金額で入札した入札者装置が確認された場合には当該入札者装置からの入札で落札するよう決定する。

したがって、入札者のプライバシを保護し談合を防止して依頼者利益を保護することができ、入札機関の信頼性や匿名通信路といった仮定には依存せずに、一般的な暗号技術のみでシステム構築可能として実装を容易にすることができる。

次に、課題解決のための第２の発明は、上記第１の発明の電子入札方法において、入札ステップにおいては、暗号化入札金額情報を、非暗号化状態の入札金額を非添付とした否認不可署名として送付するとともに、確認ステップにおいては、否認不可署名に含まれる離散対数の等価・非等価を証明することにより指定金額での入札有無を確認する。

したがって、入札者の発信する情報の秘匿性が強化され、この結果、プライバシ保護や談合防止が一層強化される。

次に、課題解決のための第３の発明は、上記第１の発明の電子入札方法において、前記落札決定ステップにおいては、落札決定した後に、その落札された暗号化入札金額情報を復号して確認可能な状態とする電子入札方法である。
したがって、第三者は、落札後にその落札金額を確認することができる。

次に、課題解決のための第４の発明は、上記第１の発明の電子入札方法において、前記入札ステップにおいては、前記選択した入札金額情報を各々暗号化して互いに異なる第１及び第２の暗号化入札金額情報を作成するステップと、前記第１の暗号化入札金額情報をオークション主催者装置に送信すると共に、入札者装置の属するグループの秘密鍵と前記第２の暗号化入札金額情報とを用いたグループ署名を当該入札者装置からオークション主催者装置に送信するグループ署名送信ステップとを含み、前記選択決定ステップにおいては、落札決定した後に、前記グループ署名内の第２の暗号化入札金額情報に含まれる入札金額情報を他の入札者装置から確認可能な状態とする。

従って、グループ署名を用いたことにより、落札決定した後に、当該入札者装置に関する公開鍵等の情報を漏らさずに、他の入札者装置にその落札金額を確認させることができる。

次に、課題解決のための第５の発明は、上記第４の発明の電子入札方法において、前記入札ステップにおいては、入札者装置が前記オークション主催者装置にとって未知のデータを当該未知のデータ自身を変数に用いた暗号化により暗号化未知データに変換し、この暗号化未知データを用いて前記第１の暗号化入札金額情報を作成する第１の秘匿ステップと、当該入札者装置が前記未知のデータを用いて前記第２の暗号化入札金額情報を作成する第２の秘匿ステップとを含み、前記確認ステップにおいては、前記指定金額での入札を確認する際に、入札者装置が前記未知のデータを前記オークション主催者装置に送信するステップと、この未知のデータを用いて前記オークション主催者装置が第１の暗号化入札金額情報に含まれる入札金額情報を確認するステップと、当該未知データを用いて前記オークション主催者装置が前記グループ署名内の第２の暗号化入札金額情報に含まれる入札金額情報を確認するステップとを含んでいる。

従って、未知のデータによる第１及び第２の秘匿ステップを用いたことにより、悪意のオークション主催者装置による総当り的な攻撃アルゴリズムの適用を阻止することができる。

次に、課題解決のための第６の発明は、上記第１の発明の電子入札方法において、入札者装置が送信した暗号化入札金額情報を公開的な電子掲示板装置に掲示する入札公開ステップを有する。

また、確認ステップにおいては、入札者装置からの当該暗号化入札金額情報が前記電子掲示板装置にすべて掲示された後に、指定金額の指定が開始される。

さらに、落札決定ステップにおいては、落札決定した後に、その落札された暗号化入札金額情報を復号して前記電子掲示板装置に掲示する。

次に、課題解決のための第７の発明は、上記第６の発明の電子入札方法において、入札ステップにおいては、暗号化入札金額情報を、非暗号化状態の入札金額を非添付とした否認不可署名として送付するとともに、確認ステップは、否認不可署名に含まれる離散対数の等価・非等価を証明することにより指定金額での入札有無を確認すると共に、落札決定した後に、その落札された暗号化入札金額情報を否認不可署名からデジタル署名に変換して電子掲示板装置に掲示する。

次に、課題解決のための第８の発明は、上記第７の発明の電子入札方法において、確認ステップ開始前に、電子掲示板装置に掲示された自己の暗号化入札金額情報が正しいか否かを各入札者装置に確認させ、当該情報が正しい場合にはその確認のデジタル署名を入札者装置に送信させる入札情報確認ステップを有する。

次に、課題解決のための第９の発明は、上記第８の発明の電子入札方法において、入札情報確認ステップにおいては、署名に用いる鍵を、オークション主催者装置から与えられ、かつ複数の入札者装置にて共通して使用される鍵とする。

次に、課題解決のための第１０の発明は、電子的な通信経路を介し、入札者装置とオークション主催者装置との間で情報を送受信することによりオークションを行う電子入札システムにおける主催者装置を制御するプログラムを格納する記録媒体についてなされたものである。この記録媒体に格納されたプログラムは、次の手段としてコンピュータを機能させる。

すなわちまず、選択的な入札金額を提示させるとともに、入札者装置が選択しかつ暗号化した入札金額情報を受信する入札手段として機能させる。

また、すべての暗号化入札金額情報を受信した後に、選択可能な最高若しくは最低入札金額から金額を指定させ、入札者装置に対し指定金額で入札したか否かを確認させる。さらに、指定金額で入札したことが何れかの入札者装置から確認されるまで当該指定金額を順次下げさせ若しくは上げさせる。さらに、指定金額で入札した入札者装置が確認された場合には当該入札者装置からの入札で落札させる落札手段としてコンピュータを機能させる。

次に、課題解決のための第１１の発明は、上記第１０の発明の記録媒体において、入札手段は、暗号化入札金額情報を、非暗号化状態の入札金額を非添付とした否認不可署名として受信させるとともに、入札手段は、否認不可署名に含まれる離散対数の等価・非等価を証明させることにより指定金額での入札有無を確認させる。

次に、課題解決のための第１２の発明は、上記第１０の発明の記録媒体において、前記入札手段は、前記入札者装置が選択しかつ各々暗号化した第１及び第２の暗号化入札金額情報のうち、第１の暗号化入札金額情報を受信するとともに、第２の暗号化入札金額情報を含むグループ署名を受信し、前記落札手段は、落札決定した後に、前記グループ署名内の第２の暗号化入札金額情報に含まれる入札金額情報を他の入札者装置から確認可能な状態とする。

次に、課題解決のための第１３の発明は、上記第１２の発明の記録媒体において、前記落札手段は、前記指定金額での入札を確認する際に、入札者装置から前記第１及び第２の暗号化入札金額情報の作成に用いた未知のデータを受信すると、この未知のデータを用いて第１の暗号化入札金額情報に含まれる入札金額情報を確認するとともに、当該未知データを用いて前記グループ署名内の第２の暗号化入札金額情報に含まれる入札金額情報を確認する。

次に、課題解決のための第１４の発明は、電子的な通信経路を介し、入札者装置とオークション主催者装置との間で情報を送受信することによりオークションを行う電子入札システムにおける入札者装置を制御するプログラムを格納する記録媒体についてなされたものである。この記録媒体に格納されたプログラムは、次の手段としてコンピュータを機能させる。

まず、提示された選択的な入札金額のうち何れかを選択させ、その選択した入札金額情報を暗号化させてオークション主催者装置に送信させる入札手段として機能させる。

また、オークション主催者装置から指定金額で入札したか否かの確認を求められたときに、その確認に必要な情報を当該主催者装置に送信させる確認手段としてコンピュータを機能させる。

次に、課題解決のための第１５の発明は、上記第１４の発明の記録媒体において、入札ステップは、暗号化入札金額情報を、非暗号化状態の入札金額を非添付とした否認不可署名として送信させるとともに、確認手段は、否認不可署名に含まれる離散対数の等価・非等価を証明させるための情報を送信させる。

次に、課題解決のための第１８の発明は、公開的な電子掲示板装置を備えるとともに、電子的な通信経路を介して暗号化した情報の証明要求装置への送付を行なう証明側装置と、前記電子掲示板装置を参照可能な前記証明要求装置との間で、情報を送受信することにより情報証明を行う情報証明方法についてなされたものである。

この方法では、情報提出ステップにおいては、前記証明側装置が、前記電子掲示板装置に掲示された選択的な情報のうち何れかを選択し、その選択情報を非暗号化状態では添付せずかつ否認不可署名に含めて前記証明要求装置に送信する。

また、情報証明ステップにおいては、前記証明要求装置が、前記証明側装置からの前記否認不可署名を前記電子掲示板装置に掲示して、当該否認不可署名に含まれる離散対数の等価・非等価を証明することにより、選択情報を非開示としつつ、ある情報を選択したか否かを証明する。

したがって、複数の選択情報がある場合に、その何れを選択したかを、当該選択内容を開示することなく証明することができる。

次に、課題解決のための第１９の発明は、電子的な通信経路を介し、入札者装置とオークション主催者装置との間で情報を送受信することによりオークションを行う電子入札方法についてなされたものである。

この方法においては、まず、入札者に入札金額情報の入力を促す。

次に、確認段階においては、所定の金額を指定し、オークション主催者装置から入札者装置に対し当該指定金額で入力したか否かの確認を促し、入札者装置から当該指定金額で入力したとの確認がなされない場合には当該指定金額を変更する。

そして、落札決定段階においては、指定金額で入札した入札者装置が確認された場合には当該入札者装置からの入札で落札するよう決定する。

次に、課題解決のための第２０の発明は、電子的な通信経路を介し、入札者装置とオークション主催者装置との間で情報を送受信することによりオークションを行う電子入札方法についてなされたものである。

この方法においては、まず、入札者に入札金額情報の入力を促す。

次に、確認段階においては、所定の金額を指定し、オークション主催者装置から入札者装置に対し当該指定金額で入力したか否かの確認を促し、入札者装置から当該指定金額で入力したとの確認がなされない場合には当該指定金額を順次上げ又は順次下げていく。

そして、指定金額で入札した入札者装置が確認された場合には当該入札者装置からの入札で落札するよう決定する。

次に、課題解決のための第２１の発明は、第１９又は第２０の発明において、入力を促す段階の後に、暗号化された入札金額情報を受け付ける段階を有する。

次に、課題解決のための第２２の発明は、第２１の発明において、落札決定段階においては、落札決定した後に、その落札された暗号化入札金額情報を復号して確認可能な状態とする。

次に、課題解決のための第２３の発明は、電子的な通信経路を介し、署名者装置と第一検証者装置との間で情報を送受信することにより、前記署名者装置がメッセージを選択してデジタル署名を行ない、この選択内容を前記第一検証者装置が確認するデジタル署名方法についてなされたものである。

まず、受付ステップにおいて、選択的なメッセージのうち何れかを選択し、その選択したメッセージ情報を暗号化して署名者装置から第一検証者装置に送信する。

次に、確認ステップにおいて、署名者装置が暗号化されたメッセージ情報を送信した後に、選択可能な複数のメッセージのうち、いずれかのメッセージを指定し、第一検証者装置から署名者装置に対し指定メッセージを選択したか否かを確認するとともに、指定メッセージを選択したことが何れかの署名者装置から確認されるまで当該指定メッセージを順次、選択可能な他のメッセージに変更していく。

また、前記確認ステップにおける選択決定ステップにおいて、指定メッセージを選択した署名者装置が確認された場合には当該署名者装置からの選択内容を確定するよう決定する。

従って、署名者のプライバシを保護し談合を防止して依頼者利益を保護することができ、第一検証者装置の信頼性や匿名通信路といった仮定には依存せずに、一般的な暗号技術のみでシステム構築可能として実装を容易にすることができる。

次に、課題解決のための第２４の発明は、上記第２３の発明のデジタル署名方法において、前記受付ステップにおいては、暗号化メッセージ情報を、非暗号化状態のメッセージを非添付とした否認不可署名として送付するとともに、前記確認ステップにおいては、前記否認不可署名に含まれる離散対数の等価・非等価を証明することにより指定メッセージの選択有無を確認する。

従って、署名者の発信する情報の秘匿性が強化され、この結果、プライバシ保護や談合防止が一層強化される。

次に、課題解決のための第２５の発明は、上記第２３の発明のデジタル署名方法において、前記選択決定ステップにおいては、選択内容が確定した後に、その確定された暗号化メッセージ情報を復号して確認可能な状態とする。

従って、第三者は、選択内容の確定した後に、その選択されたメッセージを確認することができる。

次に、課題解決のための第２６の発明は、上記第２３の発明のデジタル署名方法において、前記受付ステップにおいては、前記選択したメッセージ情報を各々暗号化して互いに異なる第１及び第２の暗号化メッセージ情報を作成するステップと、前記第１の暗号化メッセージ情報を第一検証者装置に送信すると共に、署名者装置の属するグループの秘密鍵と前記第２の暗号化メッセージ情報とを用いたグループ署名を当該署名者装置から第一検証者装置に送信するグループ署名送信ステップとを含み、前記選択決定ステップにおいては、確定した後に、前記グループ署名内の第２の暗号化メッセージ情報に含まれるメッセージ情報を第二検証者装置から確認可能な状態とする。

従って、グループ署名を用いたことにより、確定した後に、当該署名者装置に関する公開鍵等の情報を漏らさずに、第二検証者装置にそのメッセージ情報を確認させることができる。

次に、課題解決のための第２７の発明は、上記第２３の発明のデジタル署名方法において、前記受付ステップにおいては、署名者装置が前記第一検証者装置にとって未知のデータを当該未知のデータ自身を変数に用いた暗号化により暗号化未知データに変換し、この暗号化未知データを用いて前記第１の暗号化メッセージ情報を作成する第１の秘匿ステップと、当該署名者装置が前記未知のデータを用いて前記第２の暗号化メッセージ情報を作成する第２の秘匿ステップとを含み、前記確認ステップにおいては、前記指定メッセージの選択を確認する際に、署名者装置が前記未知のデータを前記第一検証者装置に送信するステップと、この未知のデータを用いて前記第一検証者装置が第１の暗号化メッセージ情報に含まれるメッセージ情報を確認するステップと、当該未知のデータを用いて前記第一検証者装置が前記グループ署名内の第２の暗号化メッセージ情報に含まれるメッセージ情報を確認するステップとを含んでいる。

従って、未知のデータによる第１及び第２の秘匿ステップを用いたことにより、悪意の第一検証者装置による総当り的な攻撃アルゴリズムの適用を阻止することができる。

次に、課題解決のための第２８の発明は、電子的な通信経路を介し、署名者装置と第一検証者装置との間で情報を送受信することにより、前記署名者装置がメッセージを選択してデジタル署名を行ない、この選択内容を前記第一検証者装置が確認するデジタル署名システムに使用されるコンピュータ読取り可能な記録媒体についてなされたものである。この記録媒体に格納されたプログラムは、次の各手段として第一検証者装置のコンピュータを機能させる。

すなわち、まず、前記第一検証者装置のコンピュータを、選択的なメッセージを提示させるとともに、前記署名者装置が選択しかつ暗号化したメッセージ情報を受信する受付手段として機能させる。

次に、すべての暗号化メッセージ情報を受信した後に、選択可能な複数のメッセージのうち、いずれかのメッセージを指定させ、署名者装置に対し指定メッセージを選択したか否かを確認させるとともに、指定メッセージを選択したことが何れかの署名者装置から確認されるまで当該指定メッセージを順次、選択可能な他のメッセージに変更させ、かつ、前記指定メッセージを選択した署名者装置が確認された場合には当該署名者装置からの選択内容を確定させる確認手段として第一検証者装置のコンピュータを機能させる。

次に、課題解決のための第２９の発明は、上記第２８の発明の記録媒体において、前記受付手段は、前記暗号化メッセージ情報を、非暗号化状態のメッセージを非添付とした否認不可署名として受信させるとともに、前記確認手段は、前記否認不可署名に含まれる離散対数の等価・非等価を証明させることにより指定メッセージの選択有無を確認させる。

次に、課題解決のための第３０の発明は、上記第２８の発明の記録媒体において、前記受付手段は、前記署名者装置が選択しかつ各々暗号化した第１及び第２の暗号化メッセージ情報のうち、第１の暗号化メッセージ情報を受信するとともに、第２の暗号化メッセージ情報を含むグループ署名を受信し、前記確認手段は、確定した後に、前記グループ署名内の第２の暗号化メッセージ情報に含まれるメッセージ情報を第二検証者装置から確認可能な状態とする。

次に、課題解決のための第３１の発明は、上記第３０の発明の記録媒体において、前記確認手段は、前記指定メッセージの選択を確認する際に、署名者装置から前記第１及び第２の暗号化メッセージ情報の作成に用いた未知のデータを受信すると、この未知のデータを用いて第１の暗号化メッセージ情報に含まれるメッセージ情報を確認するとともに、当該未知データを用いて前記グループ署名内の第２の暗号化メッセージ情報に含まれるメッセージ情報を確認する。

次に、課題解決のための第３２の発明は、電子的な通信経路を介し、署名者装置と第一検証者装置との間で情報を送受信することにより、前記署名者装置がメッセージを選択してデジタル署名を行ない、この選択内容を前記第一検証者装置が確認するデジタル署名システムに使用されるコンピュータ読取り可能な記録媒体についてなされたものである。この記録媒体に格納されたプログラムは、次の各手段として署名者装置のコンピュータを機能させる。

すなわち、まず、前記署名者装置のコンピュータを、提示された選択的なメッセージのうち何れかを選択させ、その選択したメッセージ情報を暗号化させて第一検証者装置に送信させる受付手段として機能させる。

次に、第一検証者装置から指定メッセージを選択したか否かの確認を求められたときに、その確認に必要な情報を当該第一検証者装置に送信させる確認手段として署名者装置のコンピュータを機能させる。

次に、課題解決のための第３３の発明は、上記第３２の発明の記録媒体において、前記受付手段は、暗号化メッセージ情報を、非暗号化状態のメッセージを非添付とした否認不可署名として送信させるとともに、前記確認手段は、前記否認不可署名に含まれる離散対数の等価・非等価を証明させるための情報を送信させる。

次に、課題解決のための第３４の発明は、上記第３２の発明の記録媒体において、前記受付手段は、前記選択させたメッセージ情報を各々暗号化して互いに異なる第１及び第２の暗号化メッセージ情報を作成し、前記第１の暗号化メッセージ情報を第一検証者装置に送信させると共に、自己の署名者装置の属するグループの秘密鍵と前記第２の暗号化メッセージ情報とを用いたグループ署名を第一検証者装置に送信させる機能を含んでいる。

次に、課題解決のための第３５の発明は、上記第３４の発明の記録媒体において、前記受付手段は、前記第一検証者装置にとって未知のデータを当該未知のデータ自身を変数に用いた暗号化により暗号化未知データに変換し、この暗号化未知データを用いて前記第１の暗号化メッセージ情報を作成する第１の秘匿機能と、当該未知のデータを用いて前記第２の暗号化メッセージ情報を作成する第２の秘匿機能とを含み、前記確認手段は、前記指定メッセージを選択した旨を確認させる際に、前記未知のデータを前記第一検証者装置に送信させる機能を含んでいる。

以上詳記したように本発明によれば、入札者や署名者のプライバシを保護し談合を防止して依頼者利益を保護することができる電子入札方法、デジタル署名方法及び記録媒体を提供することができる。

また、本発明によれば、プライバシ保護及び談合防止を図りつつ、入札機関並びに第一検証者装置の信頼性や匿名通信路といった仮定には依存せずに、一般的な暗号技術のみでシステム構築可能として実装を容易にすることができる電子入札方法、デジタル署名方法及び記録媒体を提供することができる。

さらに、本発明によれば、複数の選択情報がある場合に、その何れを選択したかを、当該選択内容を開示することなく証明することができる情報証明方法を提供することができる。

以下、本発明の実施の形態について説明する。

（発明の第１の実施の形態）
まず、本実施形態の電子入札方法の概略を述べる。本発明では、匿名通信路といった仮定を必要とせず、従来の暗号テクニックのみでシステム構築する。また、入札・落札の正当性を全ての応札者が検証できるよう公開掲示板を用いる。この際、落札値以外の入札額は一切露呈しない。このようなシステムを実現するために、技術的にはMichelsとStadlerの否認不可署名方式（M.Michels and M.Stadler, "Efficient convertible undeniable signature schemes," Proc.4th Annual Workshop on Selected Areas in Cryptography,SAC'97,1997.）を応用する。

すなわち本実施形態の電子入札方法では、まず第１の段階において、入札者に暗号化した入札情報を提出させ、この入札情報を公開掲示板に掲載する。また、入札金額はオークション主催者が予め複数提示した金額の中から選択するものとする。このように第１段階において選択的な金額の何れかを入札者に提出させているので、この時点で実質的に落札者が決まっている。かつ、暗号情報ながらもその入札情報が公開されている。また、入札情報が暗号化されているために、この時点ではオークション主催者を含め、誰も真の落札者や落札金額を知ることができない。したがって、入札否認さえ防止できれば、不正が確実に防止されることになる。

第２の段階では、入札否認を防止しつつ、入札及び落札情報開示を行う。この段階では、いわゆるダッチオークションのように最高（最低）金額から順に入札者の有無を確認しながら、金額を順次下げて（上げて）いく。なお、本方法ではダッチオークションと異なり、入札処理に入る前に真の落札者は既に決まっている。本方法の処理は、決定している落札者を入札否認させることなく確実に確認するものである。この第２の段階において、本実施形態では上記したMichels−Stadler法の応用手法が用いられる。

そもそもMichels−Stadler法も含め、従来の否認不可署名方式では、予めメッセージと署名（の一部）をペアにして検証者に明かすものである。すなわち否認不可署名はあくまで電子署名の一種であってメッセージ自体を秘密にしようという観点はない。否認不可署名は、署名者から特定の情報を取得した者のみがメッセージ内容に関する署名確認が行える形式の電子署名である。

これに対し、本実施形態では予めメッセージを明かさず、署名をメッセージのビットコミットメントとみなす。つまり、上記暗号化された入札情報はこのような形式の否認不可署名として提出されている。各入札者は、否認不可署名の技術を用いることにより、入札処理において、その金額で入札していないことを入札金額は明かさずに証明していく。そして、落札時にのみ額を明かして入札の正当性を証明する。落札者としての容認後には、入札情報を誰もが検証可能な通常のディジタル署名に変換する。この否認不可署名技術の応用的手法により、入札額（メッセージ）を秘匿し、同時に否認不可性の条件を同時に満足することができる。

したがって、この電子入札システムにおいては、機関の信頼性や匿名通信路といった仮定には依存せず、従来の暗号テクニックのみでシステム構築できることとなる。

また、本実施形態では二つの種類の入札モデルを考える。一つは、ある商品に対して入札を行い、最も高値をつけた入札者を落札者とする入札で、これを“出品入札”と呼ぶ。一般的なオークションのモデルとして知られているものである。もう一つは、建設工事などの仕事に対し、最も低額をつけた入札者を落札者とする入札で、これを“請負入札”と呼ぶ。

上記説明では、電子入札を２段階に分けて説明したが、この電子入札方法を実現するには、より具体的には三つの段階があり、登録プロトコル、入札プロトコル、開示・落札プロトコルに分かれている。入札プロトコルでは、参加した入札者が額を秘密にして入札を行う（上記第１の段階に対応）。ある時刻をもって入札を終了し、開示・落札プロトコルで最も高値（低値）で入札した落札者を決定する（上記第２の段階に対応）。

以下、本実施形態における具体的な構成及び処理について説明する。
図１は本発明の第１の実施の形態に係る電子入札方法を適用した電子入札システムの一例を示す構成図である。
この電子入札システムは、インターネット等の公衆的なネットワーク１にオークション主催者装置２，公開掲示板装置３，登録機関装置４，複数の入札者装置５（複数のうち何れかを代表して単に入札者装置５又は入札者装置５ｊともいう），依頼人装置６及び監査員装置７が接続されて構成される。ここで、ネットワーク１は公衆的なシステムに限られるものではなく、専用回線を用いるものでもよい。また、各装置２〜７各々は、通信手段を備えた計算機システムであり、その制御プログラムにより以下に説明する機能を実現する。さらに、以下の説明において、装置２〜７を単にオークション主催者２あるいは主催者２，公開掲示板３，登録機関４，入札者５，５ｊ，依頼者６及び監査員７とも呼ぶ。

これらの各装置について説明する。
図２はオークション主催者装置の構成例を示すブロック図である。
オークション主催者装置２は、依頼人６を集め、オークションを主催する。このために、入札プロトコルにおける主催者実行部分を実現する入札処理部１１と開示・落札プロトコルにおける主催者実行部分を実現する開示落札処理部１２とを備える。また、これらの処理部１１，１２により公開掲示板３を管理する。

入札処理部１１は、依頼人６の出品受付を行い、また公開掲示板３に入札者５からの入札情報を書き込む。
また、開示落札処理部１２は、最高（低）値が決定するまで、ある周期で公開掲示板３の金額を更新する。最高（低）値で入札した入札者５の送付情報の正当性を検証し落札者を決定する。検証情報と送付情報全てを公開掲示板３に書き込み、参加者全てにその正当性を公開する。

登録機関装置４は、入札者５の登録業務を行う。実際には入札者５の認証を行い、入札者５から送付された鍵への証明書を発行する。

依頼人は、出品入札において、芸術品やプログラムなどをオークションに出品する売り手であり、一番の高値をつけた落札者に出品物を売る。又は請負入札においては、工事やプログラムなどの仕事をオークションにかけ、一番低い金額をつけた落札者に仕事を依頼する。依頼人装置６は、ネットワーク１を介し、オークション主催者装置２を対して出品依頼を行う。

図３は入札者装置の構成例を示すブロック図である。
入札者装置５は、オークションにかけられた出品物又は仕事に対し、購入・請負の落札を実現させる。このために、ネット情報検索部２１と、入札処理部２２と、落札処理部２３と、登録処理部２４とを備えている。なお、出品入札においては最高値、請負入札においては底値を示した入札者５が落札者となる。

ネット情報検索部２１は、ネットワーク１を介して公開掲示板３にアクセスし、その掲示情報を取得する。入札処理部２２及び落札処理部２３は、主催者装置２と通信し、それぞれ入札プロトコル及び開示・落札プロトコルにおける入札者実行部分の処理を行う。

登録処理部２４は、登録プロトコルにおける入札者実行部分を処理し、オークション参加の際、鍵を生成して登録機関に鍵証明書を発行してもらう。

公開掲示板装置３は、誰もが記載データを参照できるような形式でデータ掲示を行う。ただし、データの書き込み・消去は管理者であるオークション主催者２のみが行える。主催者２は登録機関４の署名を基に登録を正規に行った参加者（入札者５）のデータのみを掲示板３に記載する。なお、公開掲示板装置３は、図１に示すシステムではオークション主催者装置２と別途の装置として示されているが、当該掲示板３は、例えばオークション主催者装置２に組み込むようにしてもよい。

監査員装置７は、図３に示すネット情報検索部２１と同様な処理部を備え、公開掲示板３に記載される情報がオークション主催者２によって、途中で改竄されたり消去されていないかを観察する。オークション主催者２の不正やミスを検査・告知する。掲示板３のデータは誰でも読むことができるので、入札者５各々が監査員７を担うようにしてもよい。

次に、以上のように構成された本実施形態における電子入札システムの動作について説明する。
以下の説明では、まず、本電子入札システムにおける時系列を追った処理について説明し、それから登録、入札、開示・落札の各プロトコルの処理について詳しく説明する。

図４は本実施形態の電子入札方法における処理手順を説明する流れ図である。
まず、依頼人６からオークション出品依頼がオークション主催者２に対して行われ（ｓ１）、この出品依頼を受け付けた主催者２により出品物の情報並びに入札用の金額選択肢が掲示される（ｓ２）。

この掲示は一定期間行われ、その間に、入札候補者の装置（図３の示す入札者装置５の機能を有する装置）によって公開掲示板３の出品情報が検索される（ｓ３）。ここで、入札をしたいと考える候補者により、登録機関４に対して入札者登録が要求され、その登録がなされる。（ｓ４）
次に、入札金額等を含む入札情報にメッセージを公開しない形式の否認不可署名が施され、すなわち入札情報が事実上暗号化され、登録した入札者５からオークション主催者２に送付される。この入札情報は、主催者２により検査され、さらに公開掲示板３に掲示される。主催者２による入札打ち切りまで入札は受け入れられる（ｓ５）。

入札がうち切られると、オークション主催者２による落札処理が開始される（ｓ６）。この落札処理は、最高金額から順次入札者がいないか否かを確認していくことで進行し、落札者が確定するまで続けられる。
最後に、落札者の提示した入札金額等の情報が検証可能な状態で公開掲示板３に掲示され、電子入札が終了する。

次に、電子入札システムにおける登録、入札、開示・落札の各プロトコルの処理について説明する。なお、ここではまず、出品入札について説明し、請負入札については後に述べる。

［初期設定］
まず、（ｐ，ｑ，α）がシステムパラメータとして公開されている。ｐ，ｑは大きな素数で、ｐ＝２ｑ＋１の関係が成り立っている。αは乗法群Ｚp^* での位数がｑとなるような生成器である。Ｈl ：｛０，１｝^* →｛０，１｝^l を一方向性ハッシュ関数とする。

［登録プロトコル］
登録プロトコルの処理は、図４のフロー図におけるステップｓ４と対応する。
これは、各入札者５ｊは作成した鍵Ｐ_j に対し、登録機関から証明書Ｃert_jを発行してもらう処理である。

図５は本実施形態における登録プロトコルの処理を示す図である。
ステップｔ１：このために、各入札者５ｊの登録処理部２４において、秘密鍵Ｓ_j ∈Ｚq^* が生成され、公開鍵Ｐ_j ＝α^Sj（mod p）が定められる。公開鍵Ｐjは、身元を明かした入札者５ｊから登録機関４に送付される。

ステップｔ２：一方、登録機関４においては、入札者５ｊにグループの番号ＧＩＤを割り当てる。一つのグループはｎ人で構成される集合とする。ｎは入札参加人数の見積もりによって決定される。それから、（Ｐ_j ，ＧＩＤ）に対して署名Ｃert_j が入札者５ｊに返送される。なお、グループ分けを行うのは、公開掲示板３を見やすいものとし、また、入札プロトコルにおいて各グループのメンバ（入札者）に掲示板内容についての確認署名をさせることで公開掲示板に掲示された情報の証拠能力を高めるためである。

［入札プロトコル］
入札プロトコルの処理は、図４のフロー図におけるステップｓ１，ｓ２，ｓ３，ｓ５と対応する。

入札プロトコルにおいて、入札者５はオークション主催者２の用意した複数の金額値から一つを選び（ｗ_k とする）。署名σ（ｗ_k ）を計算する。それから一方向性関数fを用いて計算した関数値Ｙ＝ｆ（ｗ_k ‖σ（ｗ_k ））を主催者に送付する。主催者はＹを公開掲示板に書き込む。この手順を図６を用いて説明する。

図６は本実施形態における入札プロトコルの処理を示す図である。
ステップｕ１：まず、オークション主催者２の入札処理部１１によって、入札金額が複数個（ｍ個）用意される。ここでは、（ｗ₁ ，ｗ₂ ，…，ｗ_m ）とする。ただし、表す金額の大小関係はｗ₁ ＜ｗ₂ ＜…＜ｗ_m となっている。

ステップｕ２：一方、入札者５ｊの入札処理部２２により、出品物に対し、入札金額ｗ_k （１＜ｋ＜ｍ）が選択され、さらに、乱数ｘ，ｋ∈Ｚq^* が選ばれ、以下計算がなされる。

ここで、乱数ｘは使い捨ての秘密鍵であり、この秘密鍵ｘに対応するのが使い捨ての公開鍵ｈである。

以上の計算結果のうち、入札者５ｊから

がオークション主催者２に送付される。金額ｗ_k を送らないことに注意する。このときにメッセージである金額ｗ_kを送らないために、否認不可署名とほとんど同じ情報を送付しつつ、署名とはなっていないのである。つまり、この情報送付の仕方により事実上の暗号情報送付となっている。なお、このとき送付される情報は金額ｗ_kが添付されていないことを除けば否認不可署名となっているため、後に秘密鍵ｘが与えられることにより、この時点で送付された否認不可署名形態を通常のデジタル署名に変換させることができる。これにより、金額ｗ_kの検証はその後の時点で可能となる。金額ｗ_kの検証をどのように検証するかは後述する。

ステップｕ３：次に、オークション主催者２により、証明書Ｃert_j の正当性が検証される。正当である場合、主催者２により、入札者５ｊについての

が公開掲示板３の該当するグループの欄に記載される。

ここまでの様子を図７によって模式的に示す。

図７は入札段階の様子を模式的に示す図である。

ステップｕ４：予め定めておいた時刻が来た段階で主催者２によって、入札要求が締め切られる。

ステップｕ５：全ての入札者５により、自分の送信した入札情報が正しく掲示されているかが確認される。正しく掲示されている場合は、各入札者５により、同じグループのｎ個全ての入札情報に対し署名

が施される。すなわち、入札者５ｊは（Ｐ_j ，ＧＩＤ，Ｃert_j ，σ_j ）を主催者３に送る。

ステップｕ６：主催者２により、入札者５からの（Ｐ_j ，ＧＩＤ，Ｃert_j ，σ_j ）の正当性が検証される。正当な場合にのみ、主催者２により入札者５ｊの属すグループ欄に（Ｐ_j ，ＧＩＤ，Ｃert_j ，σ_j ）が記載される。
暗号情報としての入札情報が公開掲示板に公開され、さらに、その掲示情報に対する入札者５自身の確認がなされることになる。

［開示・落札プロトコル］
入札プロトコルの処理は、図４のフロー図におけるステップｓ６，ｓ７と対応する。

開示・落札プロトコルにおいては、オークション主催者２は一番の高値（底値）から始め、入札者５からの通知を受信するまで、金額のカウントダウン（アップ）をある時間周期で行う。ある時点で、自分の入札した額になった時、その入札者５は主催者２にσ（ｗ_k ）を暗号化して送る。主催者２は署名σ（ｗ_k ）の正当性と関数値Ｙとの関連性を検証する。正当である場合のみ、その入札者５を落札者としオークションを終了する。σ（ｗ_k ）は公開掲示板に記載されるため、全ての入札者５が落札者決定手続きの正当性を確認することができる。この手順を図８を用いて説明する。

図８は本実施形態における開示・落札プロトコルの処理を示す図である。
ステップｖ１：まず、オークション主催者２により、公開掲示板３における落札処理用の部分に一番高い金額ｗ_m がセットされる。

ステップｖ２：この金額で入札した入札者５ｊがいれば（ｖ２−１）、当該入札者５ｊからオークション主催者２にその旨通知され、該当者がいない場合は（ｖ２−１）、否認プロトコルによる確認が行われる（ｖ２−２）。例えば金額ｗ_k で入札した入札者５ｊは、金額ｗ_m による入札を否認するため、以下の（ｙ，ｚ，β′）で否認を行う。

なお、否認プロトコルについては後に細述する。

金額ｗ_m に対してすべての入札者５についての入札否認が確認された後、次により小さい金額（ｗ_m-1 ）が主催者２によって公開掲示板３にセットされる（ｖ２−３）。そして、その金額で入札した入札者５が現れるまで、このステップｖ２−１〜ｖ２−３の処理が繰り返される。

ここまでの様子を図９によって模式的に示す。

図９は落札までの様子を模式的に示す図である。

ステップｖ３：ある金額ｗ_k において、入札者５ｊが通知を行った場合（ｖ２−１：ＹＥＳ）には、確証プロトコルにより入札の正当性が検証される（ｖ３−１）。なお、確認プロトコルについては後述する。そして、正当性が検証されたときには、当該入札者５ｊが落札候補者とされる。ここで落札候補者が一人である場合（ｖ３−２）、その入札者５ｊが落札者とされる。この場合には、入札者５ｊから使い捨ての秘密鍵ｘが開示用情報として主催者２に送信される（ｖ３−３）。主催者３においては、

によりその署名の正当性が検証される。さらに主催者２により

が公開掲示板３に記載され（ｖ３−４）、オークションが終了する。なお、このとき公開掲示板３に掲示された情報は、いわゆる通常のデジタル署名となっているので、他の入札者５や監視員７，その他の第３者はその内容を検証することができる。したがって、落札価格である金額ｗ_kを確認できることになる。

ここまでの様子を図１０によって模式的に示す。

図１０は落札及びその検証の様子を模式的に示す図である。

ステップｖ４：ステップｖ３−２において落札候補者が複数いる場合には、以下のように取り扱われる。

（ａ）まず、候補者の人数が少ない場合（ｖ４−１：ＮＯ）には、候補者５ｊはｘを送り、主催者２は

を公開掲示板３に記載し、候補者間で同点決勝が行われる（ｖ４−２）。

（ｂ）また、候補者の人数が多い場合（ｖ４−１：ＹＥＳ）には、ｗ_k ＜ｔ＜ｗ_k+1 の金額が主催者によって複数用意され、これらの金額を用いたオークションを再度行われる（ｖ４−３）。

開示・落札プロトコルにおける処理は以上の通りであるが、上記否認プロトコル、確認プロトコル並びに否認不可署名から通常署名（デジタル署名）への変換について説明する。

すなわち本実施形態の電子入札システムは、否認不可署名方式としてMichels−Stadler法を利用するものであるが、上記したようにその利用の仕方に特徴がある。また、本実施形態では、一方向性関数として離散対数問題に基づく暗号系を選択している。

つまり、従来の否認不可署名方式では、署名の対象となるメッセージが明かされた上で署名の確証・否認を行う。これに対して、本実施形態ではメッセージは署名に添付せず、署名をメッセージ（入札価格）のビットコミットメントとみなす応用的手法を取っている。これは入札価格の秘密性と否認不可を同時に満たすためである。

以下、Michels−Stadler法による否認プロトコル及び確認プロトコル、並びに否認不可署名から通常署名への変換について説明する。

［離散対数の等価・非等価証明］
今、（ｐ，ｑ，α）が公開されており、ｐはｐ＝２ｑ＋１を満たす大きな素数である（ただし、ｑは素数とする）。αは乗法群Ｚp^* での位数がｑとなるような生成器とする。Ｈを一方向性ハッシュ関数とする。

以下、ｚ＝β^x (mod p)とｙ＝α^x を満たすｘ∈Ｚq^* が存在する時、log_βｚ＝log_αyであることを証明するプロトコルを示す。これは、署名の確証プロトコルで用いられる。また逆に、否認プロトコルはlog_βｚ≠log_αyであることの証明である。以下に離散対数の等価性・非等価性を証明するプロトコルを示す。

［署名生成と通常署名への変換］
署名者であるアリスが否認不可署名を生成する。アリスには検証者ボブに対し、その署名の正当性を確証プロトコルと不当な署名を否認する否認プロトコルがある。更に否認不可署名を誰もが検証可能な通常のディジタル署名に変換することができる。

アリスは二つの秘密鍵ｘ₁ ，ｘ₂ ∈Ｚq を選び、ｙ₁ ＝α^x1（mod p)，ｙ₂ ＝α^x2（mod p)を公開鍵とする。メッセージｍ（上記金額ｗ_kに相当する）に対する署名を生成する時、アリスは乱数ｋ∈Ｚq を生成し、ｒ＝α^k （mod p）を計算する。それから以下を計算する。

ここで、

をメッセージｍへの署名とする。この署名の正当性を示す際には、上記のように

であることを証明する。不当な署名の否認は、log_βＺ≠log_αｙであることを証明する。

この否認不可署名を誰もが検証可能な通常のディジタル署名を変換するには、アリスが秘密鍵ｘ₂ を公開する。これにより、

を入手した検証者は署名の正当性を次式にて検証することができる。

［請負入札］
次に請け負い入札の場合を説明する。
請負入札プロトコルにおいても、出品入札と同様な処理が行われる。ただし、出品請負入札では最高値をつけた入札者が落札するのに対し、請負入札では最も低い金額をつけた入札者が落札者となる。そこで、開示・落札プロトコルでは一番低い金額から始めてのカウントアップ方式に変更される。つまり、図８のステップｖ１とステップｖ２が以下のように修正される。

ステップｖ１′：オークション主催者２は公開掲示板３を用いて、一番低い金額ｗ₁ をセットする。

ステップｖ２′：この金額で入札した入札者５ｊからオークション主催者２に通知がなされる（ｖ２−１）。誰もいない場合は、ある時刻で次に小さい金額（ｗ₂ ）にセットされる（ｖ２−３′）。その金額で入札した入札者が現れるまで、この処理が繰り返される。その間の否認プロトコルは出品入札と同様に行われる（ｖ２−２）。

上述したように、本発明の実施の形態に係る電子入札方法は、選択的な入札情報を予め暗号化して入札させ、その後に最高額（若しくは最低額）から順に入札有無を入札者に確認して落札を決定するようにしたので、匿名通信路といった仮定を必要とすることなく入札者のプライバシを保護し、かつ談合を防止して依頼者利益を保護することができる。

また、落札値以外の入札額は一切露呈しないようにしつつ落札情報を公開掲示板に掲示するようにしたので、入札・落札の正当性を全ての入札者が検証することができる。

このように、本発明では、入札者プライバシ保護、談合防止、公平性等が実現されるが、入札プロトコルにおいて、一方向性関数として単にハッシュ関数を選んだ場合には、入札の否認において不都合が生じる特殊なケースも考え得る。入札者が開示・落札段階で自分の入札を名乗りでないという行為によるものである。この行為を利用すると以下のような状況が生じ得る。

今、請負入札においてＡ社、Ｂ社が結託している。この２社は最小限の金額で落札しようと考える。この時、Ｂ社は最低と見積もられる金額Ｐ_min で、Ａ社は実際に落札したい金額Ｐ_realで入札する。Ｐ_min とＰ_realとの間に名乗り出る応札者がいない場合には、Ｂ社は入札Ｐ_min が否認してＡ社がＰ_realで落札する。このように応札者が結託することで、落札金額を操作し最小限のコストで仕事を請け負うことができる。

しかしながら、本実施形態では、否認不可署名技術を利用し、予めメッセージ（入札額）を明かさず、署名をメッセージのビットコミットメントとみなして主催者に送信するようにしたので、入札額を明かさずに入札確認を行い、否認プロトコルによる否認不可を行いつつ落札することができ、談合をより確実に防止できる。さらに、この否認不可署名技術を利用していることから、落札時にのみ額を明かして入札の正当性を証明するとともに、落札者としての容認後、誰もが検証可能な通常のディジタル署名に変換することができる。したがって、入札額（メッセージ）を秘匿し、同時に否認不可性の条件を同時に満足することができる。

さらに、本実施形態では、機関の信頼性や匿名通信路といった仮定には依存せず、一般的な暗号技術のみでシステム構築するようにしているので、容易に実装することができ、システム構築を容易かつ低コストのものとすることができる。

また、本実施形態の方法によれば、否認プロトコルを利用した確認を行うので、落札処理に応答しない場合には、主催者は誰が途中で降りようとしているかを特定することができる。また、否認不可署名という入札事実を示す絶対の証拠が残っているので、これを基に罰金請求や入札禁止等の種々の措置を取ることができる。したがって、談合を防止し、ひいては価格操作の不正を防止することができる。

また、落札事実の公開は、すべての入札者についての購入意思や否認証明等の情報がすべて揃った段階で行うようにすれば、意思・証明の送付順序を悪用した落札価格操作を防止することができる。

さらに、本実施形態のシステムは、上記のように構成され動作するので、以下のような特徴を備える。

入札金額の秘匿性：敗者の入札金額はビットコミットメントにより暗号化されているため、本人以外には分からず、誰にも露呈しない。オークション主催者にも露呈しない。

入札金額の健全性：入札当事者以外は正当な入札を行うための秘密鍵を知らないので、入札内容を改竄することはできない。また、開示・落札時における主催者による入札情報の改竄は、掲示板に記載されるグループの入札情報への署名にて防ぐことができる。すなわち第三者は、正規の登録を行った正式な秘密鍵所有者になりすまして入札することができず、正当な入札情報を作成することができない。

落札金額の正当性：入札の否認不可性とカウントダウン（アップ）の性質から満足される。また全ての応札者は、落札額が自分の入札価格よりも高い（低い）ことを検証することができる。すなわち落札金額が全ての入札価格の中での最高（最低）金額であることが確保される。

公平性：入札金額は本人しか知らないことと入札の否認不可性による落札額の操作防止により、他より有利な条件で入札できる応札者はいないことになる。

（発明の第２の実施の形態）
第１の実施形態においては、落札者についても公開される情報に身元を明かす情報を添付する必要がないために、他の入札者や第三者に対する一応の匿名性はある。また、第１実施形態では、仮名の概念を導入することで公開される入札情報に匿名性が持たされている。しかし、入札プロトコルにおいて各入札者は、入札情報確認のために署名を行うことから、公開鍵と応札者の関係を知っている第三者は、誰が入札を行ったか、誰が落札したかを、公開情報より把握することが可能である。

一方、前回の落札者が誰であるか、また、誰が入札を行っているかという情報がわかることを利用して、次のような談合を行うことが考えられる。すなわち談合グループは不当に低い値段で落札を続けていく。これを繰り返し根強く行ってゆくことで、他の参加希望者の応札意欲を失わせる。入札希望者は談合グループのメンバを見つけた時点で応札を諦めてしまう。このような状況を作った上で、徐々にグループ以外の参加人数を減らし、市場を独占することにより、対象物を自分たちの思うがままの値段で落札することができる。この談合方法は、入札時の入札者に関する情報公開をいわば印籠のように扱うことで、参加意欲を操作するものである。

本実施形態では、入札者が誰であるかを匿名にするべき相手を、主催者以外の全てとして、競争原理を円滑に働かせる方法について説明する。具体的には、入札プロトコルにおける入札者による入札情報確認にあたり、個人の公開鍵でなく、主催者が与えるグループ鍵を用いて署名させるものである。

図１１は本発明の第２の実施形態における電子入札方法を説明する概念図である。同図（ａ）は、第１の実施形態の方法において公開掲示板に掲示される情報であり、同図（ｂ）は、本実施形態の方法において公開掲示板に掲示される情報を示している。

同図（ｂ）に示すように本実施形態では、入札プロトコル時の入札情報確認はグループ鍵によって行われ、個人情報を知るきっかけとなる公開鍵は開示されない。

また、本実施形態の電子入札システムは、このようなグループ署名が行われ、これに応じて入札プロトコル及び落札プロトコルが修正される他、第１の実施形態と同様に構成される。但し、グループ分けは任意の箇所で行なえるので、ここでは第１の実施形態での登録機関４によるグループ分けに代えて、主催者２によるグループ分けが行われる場合について述べる。

以下、修正される入札プロトコル及び落札プロトコルについて説明する。

［入札プロトコル］
主催者の処理：
主催者２は入札者５をいくつかのグループに分け、各グループＪの署名用秘密鍵Ｓ_Gjを登録時に秘密吏に送付する。

入札者の処理：
例えばあるグループｊに属す入札者５Ａが入札する場合を考える。このとき、入札者５Ａが属するグループの秘密鍵をＳ_G 、公開鍵をＰ_G ＝α^SG(mod p)とする。また入札者５Ａの常用の秘密鍵をＳ_A 、公開鍵をＰ_A ＝α^SA(mod p)とする。

入札者５Ａは出品物に対し、入札金額ｗ_k （１＜ｋ＜ｍ）を選ぶ。次に、乱数ｘ，ｋ，μ∈Ｚq^* を選び、以下を計算する。

［否認プロトコル］

と現在価格ｗ_i を用いて、第１の実施形態の場合と同様に応札者Ａと主催者は否認フェーズを実行する。ここで、

とし、主催者はβと否認プロトコルでの通信データを公開掲示板に記載する。なお、Michels−Stadler否認不可署名方式では、Ｐ_A を公開せずとも、離散対数の等価・非等価を検証できる。

［落札プロトコル］

主催者による個人署名の検証と否認フェーズの確認には、個人の公開鍵Ｐ_Aが使用され、落札時の署名にはグループの公開鍵Ｐ_G が使用されている。つまり、公開される情報に個人を所定する情報が含まれていないこととなる。すなわち主催者以外はグループ署名である落札情報を検証する。

なお、図１２にオークション主催者に与えられる情報と、公開掲示板に掲示される情報とを示す。

上述したように、本発明の実施の形態に係る電子入札方法は、入札プロトコルで入札者が入札情報を確認するときに、個人の公開鍵でなく、主催者に与えられたグループ鍵を用いて署名を行うようにしたので、各入札者個人に連結した情報が公開されることなく、入札者が誰であるかを利用した談合を防止することができる。すなわち、次回オークションへの影響をなくし市場独占を防止することができる。

例えば、譲り合いで落札している複数業者からなるグループがあるときに、一社談合に加わらない業者が存在すると、この業者が加わる入札では競争原理が働き、落札価格が予想価格を大きく下回るが、参加しない入札ではほぼ予想価格で落札されるという事例がある。この場合、ある業者による寄合からの抜けがけが市場に競争原理を働かせている。

したがって、本実施形態のように、公開情報から入札者を識別する情報がなくなれば、談合グループでの抜けがけが促進され、寄合、譲り合いによる入札形式が崩れる。これにより、自由競争による本来のオークション形態に導くことができる。つまり、本実施形態では、オークションにおける匿名性を強め、入札したことの証拠を残さないような方式としたので、談合により不正な価格操作を防止することができる。

また、本実施形態においては、Mitchels−Stadlerの否認・確証証明プロトコルを利用することで、検証者に応じて与える情報量を段階的に制御することができる。本実施形態では、この手法とグループ署名を適用することで、主催者には落札者情報まで検証できるようにし、第三者は入札者情報や落札者情報を開示せずに落札価格の検証までを行えるようにしている。

また、本実施形態は、次の条件（１）〜（３）を満足することができる。
（１）オークション主催者装置２及び他の入札者装置５は、落札した入札者装置５が落札時新規データを送らない限り、入札者がどの入札金額に署名を施したかを知ることができない。
（２）入札者装置５は、否認プロトコルにおいて、選択した入札金額に署名を施した旨を否認できない。
（３）オークション主催者装置２及び他の入札者装置５は、落札した入札者装置５の秘密鍵を知らないので、落札した入札者装置５の正当な署名及び否認付加署名を計算できない。

（発明の第３の実施の形態）
第２の実施形態では、選択する入札金額の種類が少ない場合、応札者が開示情報を送付する前に、主催者は応札者がどの入札金額に署名をしたかを所定の攻撃アルゴリズムにより察知する可能性があると、本発明者は考えた。この攻撃アルゴリズムは、入札金額ｗ＝｛ｗ_１，ｗ_２，…，ｗ_ｎ｝の全ての要素を逐次、検証式に入れて一致／不一致を計算する方法である。すなわち、検証式を用いる攻撃アルゴリズムによれば、入札金額の種類が少ない場合、主催者が入札金額の署名の秘匿性を打破する可能性があると、本発明者は考えた。これは、第２の実施形態の効果に記載した条件（１）に反する可能性のあることを意味している。

なお、応札価格の種類が多い場合には攻撃アルゴリズムの計算量的手間が増大し、攻撃アルゴリズムの効率が著しく低下するので、第２の実施形態でも充分な秘匿性を有する。しかしながら、応札価格の種類の多少によらず、署名作成や署名検証時の計算量が多少増えても、入札金額の署名の秘匿性が保たれる方式が望ましい状況もある。

そこで、第３の実施形態は、入札金額の種類の多少に関わらず、上記攻撃アルゴリズムを阻止し、常に上記条件（１）〜（３）を満足させるものとなっている（以下、文字ｒ，λの上に波線“〜”を付した変数データ

を、数式領域［数ｎ］以外の文章領域では各々ｒ^〜，λ^〜のように表記しながら説明する）。
具体的には、第３の実施形態では、入札プロトコル及び落札プロトコルで用いられるデータｒ^〜，σ，ｔが次のように変更されている。
すなわち、第３の実施形態は、第２の実施形態におけるｒ^〜＝ｒ^ｘ（ｍｏｄｐ）、σ＝ｋ−ｃＳ_A（ｍｏｄ ｑ）、ｔの分母内のハッシュ関数Ｈ（Ｗ_k，ｒ^〜，λ）に代えて、攻撃アルゴリズムを阻止する観点から、それぞれｒ^〜＝（ｒ^ｒ）^ｘ（ｍｏｄ ｐ）、σ＝ｋｒ−ｃＳ_A（ｍｏｄ ｑ）、ｔの分母内にてハッシュ関数Ｈ（Ｗ^k，ｒ^〜，ｒ，λ）が使用されている。

本実施形態の電子入札システムは、このような乱数ｒを自己を含む二変数ｒ，ｘにより秘匿する暗号化処理と、秘匿前後の乱数ｒ，ｒ^〜に基づくグループ署名とが行なわれ、これに応じて入札プロトコル、落札プロトコルが修正される他、第２の実施形態と同様に構成される。

以下、修正される入札プロトコル及び落札プロトコルについて説明する。
［入札プロトコル］
登録時における主催者２のグループ分けの処理及び各グループＪの署名用秘密鍵のＳ_Gjの送付処理は前述した通りである。
次に、入札者５Ａは、前述同様に、出品物に対する入札金額Ｗ_k（１＜ｋ＜ｍ）を選択し、次に、乱数ｘ，ｋ，μ∈Ｚq^* を選び、以下を計算する。なお、以下の計算中、ｒ^〜，σ，ｔのＨは、第２の実施形態とは異なり、乱数ｒを用いた暗号化が施されている。また、ｒはオークション主催者装置にとって未知のデータであり、ｒ^〜はその未知のデータｒを当該ｒ自身を用いて暗号化した暗号化未知データである。また、σは第１の暗号化入札金額情報であり、ｔ内のＨ（ｗ_k，ｒ^〜，ｒ，λ）は第２の暗号化入札金額情報である。

更に、グループ署名ｔを計算する。

以下、前述同様に、応札者５Ａは（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を主催者２に送る。主催者２は（ｈ，ｒ^〜，σ，ｔ）を公開掲示板３の該当するグループ欄に記載する。

［否認プロトコル］
否認プロトコルは、第２の実施形態と同様に実行される。

［落札プロトコル］
全体の流れは第２の実施形態と同様であるが、ｒを用いた暗号化に伴い、各検証式がｒを含む内容に変更されている。以下、前述した文脈に沿って説明する。

落札時、応札者５Ａは、ｘ，ｒを主催者２に送付する。主催者２は、（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）とｘ，ｒを用いて以下の検証式により否認不可署名の正当性を検証する。

次に、λ^〜＝λ^ｘ（ｍｏｄ ｐ）の一致性を検証する。これら否認不可署名が正当である時のみ、次式によりグループ署名を検証する。

主催者２は、否認不可署名ｒ^〜，λ^〜と、グループ署名ｔとが正当である時のみ、（ｒ，λ）を公開掲示板３に掲載する。

一般応札者は、前述同様に（ｒ，λ，ｒ^〜，ｔ，Ｗ_k，Ｐ_G）を用いてグループ署名の正当性（落札価格の正当性）を次式より検証する。

なお、図１３にオークション主催者２に与えられる情報と、公開掲示板３に掲示される情報とを示す。本実施形態では、前述した図１２とは異なり、確証時にオークション主催者２に与えられる情報にｒが追加されている。

上述したように本実施形態によれば、入札プロトコル及び落札プロトコルで用いられるデータｒ^〜，σ，ｔを、乱数ｒを用いた暗号化処理により秘匿するので、第２の実施形態の効果に加え、主催者２が攻撃アルゴリズムを用いて総当たりで入札金額の署名の秘匿性を打破しようとしても、乱数ｒが未知のために打破することができない。すなわち、本実施形態によれば、入札金額の種類の多少に関わらず、攻撃アルゴリズムによる攻撃を阻止することができる。

係る作用効果を詳しく述べる。すなわち、第３の実施形態では、第２の実施形態に対し、入札金額を秘匿する乱数ｒを自身で暗号化する第１の秘匿処理と、グループ署名ｔのハッシュ関数Ｈに乱数ｒを用いる第２の秘匿処理とが付加されている。

ここで、第１の秘匿処理は、自身ｒを含めた２つの秘密変数ｒ，ｘで乱数ｒをべき乗して乱数ｒを秘匿するものであり、暗号理論の基盤を築いている離散対数問題の困難性に匹敵する段階まで乱数ｒの秘匿性を高めている。

第２の秘匿処理は、グループ署名ｔの生成の際に、図１４に示すように、主催者２の未知の乱数ｒを一方向性ハッシュ関数Ｈに入力したハッシュ値Ｈ（ｗ_k，ｒ^〜，ｒ，λ）を用いることにより、主催者２がグループ署名ｔを計算することが不可能となる。なお、第２の実施形態では、図１５に示すように、グループ署名ｔにおけるハッシュ関数Ｈの入力値（ｗ_k，ｒ^〜，λ）が全て主催者２に既知であるので、悪意の主催者２により、既知の情報と入札金額の種類とから入札金額が限定される可能性がある。

まとめると、第３の実施形態によれば、第１の秘匿処理でｒ算出の困難性を高め、第２の秘匿処理でｒの算出を必須要件としたことにより、総合的に攻撃アルゴリズムの適用を不可とすることができる。

このような第３の実施形態は、入札金額の署名の完全な秘匿性が求められる環境に適している。一方、第２の実施形態は、第３の実施形態よりも計算の手間が小さいので、入札金額の種類が多い場合や入札金額の署名の秘匿性よりも処理の高速性が求められる場合に適している。このような第２及び第３の実施形態は、適用する環境に応じて、使い分けられることが望ましい。

（発明の第４の実施の形態）
第１及び第２の実施形態では、暗号化されていないメッセージを添付しない否認不可署名（メッセージ無し否認不可署名という）を用いて、入札者の入札情報を開示することなく、ある情報を選択したか否かの検証を行うことができる。また、入札者から開放用の鍵を与えることでメッセージ無し否認不可署名を通常のデジタル署名（以下、単にデジタル署名）に変換することができる。この技術を用いることにより、情報選択者が選択情報を開示することなく選択情報を証明できる情報証明システムを構築することが可能となる。本実施形態では、第１の実施形態の方法を情報証明方法に適用する場合を説明する。

図１６は本発明の第４の実施形態に係る情報証明方法を適用したインターネットゲームシステムの構成例を示す図である。

同図に示すシステムは、情報証明方法をインターネットゲームシステムに適用する場合を示しており、インターネット網５１に出題者装置５２及び解答者装置５３が接続されて構成されている。

出題者装置５２は、第１実施形態における登録機関装置４とオークション主催者装置２と公開掲示板装置３とを組み合わせたものであり、登録部６１、公開掲示板６２、ゲーム進行部６３、解答格納部６４及び問題格納部６５を備える。

登録部６１は、第１実施形態の登録機関装置４と同様に構成され、ゲーム参加者の登録を受け付ける。また、公開掲示板６２は、第１実施形態の公開掲示板装置３と同様に構成され、ゲーム進行上必要でかつ公開してもよい情報が掲示される。

ゲーム進行部６３は、第１実施形態におけるオークション主催者装置２と同様に構成され、署名検証や否認・確認プロトコルを実行するための機能を備え、また、解答者装置５３に対する出題や解答確認処理等を行う。

解答格納部６４は、ゲーム参加者（解答者装置５３）からの解答を格納する。この解答は公開掲示板６２に掲示してもよい。また、問題格納部６５は、ゲームに用いる問題を格納する。

一方、解答者装置５３は、第１実施形態における入札者装置５と同様に構成され、登録部７１、解答作成部７２及び応答処理部７３を備える。登録部７１は、出題者装置５２に対してゲーム参加登録を要求し、解答作成部７２は、メッセージ無し否認不可署名を作成して出題者装置に送信する。

また、応答処理部７３は、署名検証や否認・確認プロトコルを実行するための機能を備え、また、出題者装置５２に対する解答や解答確認処理等を行う。

このように構成を有するインターネットゲームシステムは以下のように動作する。

まず、出題者装置５２がホームページ等を通じてゲーム参加者を募集し、ゲーム参加を希望する解答者装置５３はゲーム参加の登録を行う（ｗ１）。この登録処理は第１実施形態における登録プロトコルと同様である。

ゲームが開始されると、出題者装置５２からは問題が各解答者装置５３に送付され（ｗ２）、又は公開掲示板６２に掲示される。ただし、問題に対する解答の候補は選択的に提示される。

解答者装置５３からは、メッセージ無し否認不可署名の形式で解答が出題者装置５２に送付される（ｗ３）。このとき出題及び解答形式は、１問１答でもよく、まとめて問題を出してまとめて解答するようにしてもよい。

次に、出題者装置５２からは、問題に対する正解が解答者装置５３に通知される（ｗ４）。
これに対して、解答者装置５３から出題者装置５２に対して正答したか否かが通知される（ｗ５）。このとき、通知方法として、解答者がどの選択肢を選んだかをあくまで伏せたい場合には、第１実施形態の確認プロトコル及び否認プロトコルを用いる。また、実際の解答内容そのものを公開したい場合には、解答者装置５３から解答開放キーを送付し、出題者装置５２においてはメッセージ無し否認不可署名をデジタル署名に変換して公開する。何れにするかはゲームの性質に応じて選択できる。

上記処理を繰り返すことにより、リアルタイムでかつ、インターネットを介した不特定多数のゲーム参加希望者を解答者とし、ゲームを進行させていくことができる。

上述したように、本発明の実施の形態に係る情報証明方法は、メッセージ無し否認不可署名を用いて選択的な情報に対して解答を行うようにしたので、解答内容を伏せたままで正解か否かだけを証明することができる。

また、本実施形態はインターネットゲームに適用する場合を説明したが、この情報証明方法は種々の状況に適用することができる。

（発明の第５の実施の形態）
第２の実施形態では、入札金額の署名を秘匿する電子入札方式を開示している。しかしながら、第２の実施形態は、入札金額ｗ_k（１＜ｋ＜ｍ）及びその種類（ｗ_１，ｗ_２，…，ｗ_ｍ）に代えて、一般的なメッセージｍ_k（１＜ｋ＜ｎ）及びその種類（ｍ_１，ｍ_２，…，ｍ_ｎ）を用いることにより、電子入札に限らず、その上位概念のデジタル署名方式に拡張可能であると考えられる（ここでいう入札金額ｗの個数ｍと、メッセージｍの個数ｎとは互いに等しい）。

そこで、第５の実施形態では、第２の実施形態のプロトコルに基づくデジタル署名方式について説明する。なお、本実施形態では、第１及び第２の実施形態における名称を上位概念を表す名称に変更して用いる。例えば、前述した入札プロトコルは、内容が同じであるが、名称が受付プロトコルに変更され、且つ入札金額ｗは、名称がメッセージｍという名称に変更されている。同様に、開示・落札プロトコルは、内容が同じであるが、名称が公開プロトコルに変更される。さらに、依頼者６によるオークション出品依頼は、名称が依頼、要求、問合せ、懸賞応募、クイズ、択一式試験、選挙、アンケート調査、予約受付、人材派遣のような履歴の登録、のように何らかの選択的なメッセージ応答を伴うものの名称に変更される。

図１７は本発明の第５の実施形態に係るデジタル署名方法を適用したデジタル署名システムの一例を示す構成図であり、図１と同種の部分には同一符号にアルファベットの添字を付してその詳しい説明を省略し、異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。

すなわち、本実施形態は、第２の実施形態を汎用性のあるデジタル署名方法に拡張した変形例であり、具体的には、ネットワーク１を介して複数の第一検証者装置２ｘ、グループ鍵生成機関装置２ｙ、複数の第二検証者装置３ｘ、鍵登録機関装置４ｘ及び署名者装置５ｘが互いに接続されている。

ここで、各第一検証者装置２ｘは、前述した主催者装置２の機能において、グループ鍵生成機能が省略されており、且つ公開掲示板装置３に代えて、第二検証者装置３ｘにデータ（ｈ，ｒ^〜，σ，ｔ），（ｒ，λ）を順次与える機能をもっている。

グループ鍵生成機関装置２ｙは、前述した主催者装置２におけるグループ鍵生成機能を有するものであり、具体的には図１８に示すように、鍵生成部２ｙ_ａを備えている。
鍵生成部２ｙ_ａは、受付プロトコルの実行中、署名者装置５ｘ及び図示しない複数の第三者装置（例、他の署名者装置５ｘ’等）をいくつかのグループに分ける機能と、各グループＪに対する秘密鍵Ｓ_Gj∈Ｚｑ^＊と公開鍵Ｐ_Gj＝α^ＳGj（ｍｏｄ ｐ）を生成する機能と、各グループＪの署名用秘密鍵Ｓ_Gjを秘密裏に当該署名者装置５ｘ及び各第三者装置に送る機能をもっている。

各第二検証者装置３ｘは、第一検証者装置２ｘよりも少ない情報を用いて可能な範囲（＝グループ署名）の検証を行なう低レベルの検証者装置であり、前述した公開掲示板３の情報登録機能（公開機能を除く）及び前述した入札者装置５におけるグループ署名検証機能を有するものである。

鍵登録機関装置４ｘは、前述した登録機関装置４の機能をもつものであり、具体的には、署名者装置５ｘから送られた公開鍵Ｐ_Aを署名者の個人情報と関連付けてデータベース（図示せず）に登録する機能と、この登録後、公開鍵Ｐ_Aに対する鍵証明書Ｃert_Aを発行して署名者装置５ｘに送る機能をもっている。

署名者装置５ｘは、前述した入札者装置５の機能を有するものであり、具体的には図１８に示すように、鍵生成部５ｘ_ａ、署名生成部５ｘ_ｂ、否認処理部５ｘ_ｃ及び確証処理部５ｘ_ｄを備えている。

鍵生成部５ｘ_ａは、署名者の秘密鍵Ｓ_A∈Ｚｑ^＊と公開鍵Ｐ_A＝α^ＳA（ｍｏｄｐ）を生成する機能と、公開鍵Ｐ_Aを鍵登録機関装置４ｘに送る機能をもっている。

署名生成部５ｘ_ｂは、署名者の操作により、メッセージ空間Ｍ＝｛ｍ_１，ｍ_２，…，ｍ_ｎ｝から１つのメッセージｍ_k（ｋ∈Ｍ）を選択する機能と、乱数ｘ，ｋ，μ∈Ｚｑ^＊を選択し、当該乱数ｘ，ｋ，μに基づいて、変数データｈ，ｒ，ｒ^〜，λ，λ^〜，ｃ，σ及びグループ署名ｔを算出する機能と、算出結果のうちのｒを除くデータ（ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）、公開鍵Ｐ_A及び鍵証明書Ｃert_Aを第一検証者装置２ｘに送る機能とをもっている。

なお、署名生成部５ｘ_ｂは、第一検証者装置２ｘが第二検証者装置３ｘに一部のデータ（ｈ，ｒ^〜，σ，ｔ）を送出する機能の無い場合、算出結果のうちの当該データ（ｈ，ｒ^〜，σ，ｔ）を第二検証者装置３ｘに送る機能をもつものとなる。換言すると、データ（ｈ，ｒ^〜，σ，ｔ）は、署名者装置５ｘから第一検証者装置２ｘを経由して第二検証者装置３ｘに送られても良く、あるいは、署名者装置５ｘから直接に第二検証者装置３ｘに送られても良い。

否認処理部５ｘ_ｃは、前述した否認プロトコルを実行する機能を有し、各第一検証者装置２ｘ、各第二検証者装置３ｘ又は各第三者装置のいずれかが選択したメッセージｍ_i∈Ｍ（i≠k）が、署名生成部５ｘ_ｂにて選択されたメッセージｍ_kでないこと（ｍ_i≠ｍ_k）を示す場合、前述同様に、離散対数の非等価性ｌｏｇ_βｚ≠ｌｏｇ_αｙを第一検証者装置２ｘに提示する機能をもっている。

確証処理部５ｘ_ｄは、前述同様の公開プロトコル（例、開示・落札プロトコル）を実行する機能を有し、各第一検証者装置２ｘ、各第二検証者装置３ｘ又は各第三者装置のいずれかが選択したメッセージｍ_i∈Ｍ（i＝k）が、署名生成部５ｘ_ｂにて選択されたメッセージｍkであること（ｍ_i＝ｍ_k）を示す場合、データｘを第一検証者装置２ｘに送る機能をもっている。

次に、以上のように構成されたメッセージ選択システムの動作を説明する。なお、各プロトコルは、第２の実施形態と同様であるが、各プロトコル内の各処理を分担する装置が若干異なっている。以下、前述した文脈に沿って各プロトコル毎に説明する。

［初期設定］
初期設定は、第１及び第２の実施形態と同様である。

［登録プロトコル］
登録プロトコルは、署名者装置５ｘが署名者の公開鍵Ｐ_A に対し、鍵登録機関装置４ｘから鍵証明書Ｃert_A を発行してもらう処理である。

署名者装置５ｘの鍵生成部５ｘ_ａでは、秘密鍵Ｓ_A ∈Ｚq^* が生成され、公開鍵Ｐ_A ＝α^SA（mod p）が定められる。この公開鍵Ｐ_A は、身元を明かした署名者装置５ｘから鍵生成部５ｘ_ａにより、鍵登録機関装置４ｘに送られる。

一方、鍵登録機関装置４ｘは、この公開鍵Ｐ_Aを署名者の個人情報と関連付けてデータベースに登録し、しかる後、公開鍵Ｐ_Aに対する鍵証明書Ｃert_Aを発行して署名者装置５ｘに送る。

［受付プロトコル］
グループ鍵生成機関装置２ｙの鍵生成部２ｙ_ａは、受付プロトコルの実行中、署名者装置５ｘ及び図示しない複数の第三者装置をいくつかのグループに分け、各グループＪに対する秘密鍵Ｓ_Gj∈Ｚｑ^＊と公開鍵Ｐ_Gj＝α^ＳGj（ｍｏｄ ｐ）を生成し、各グループＪの署名用秘密鍵Ｓ_Gjを秘密裏に当該署名者装置５ｘ及び同グループＪの各第三者装置（図示せず）に送る。

次に、署名者装置５ｘは、、何らかの要求等に対し、前述同様に、メッセージ空間Ｍ＝｛ｍ_１，ｍ_２，…，ｍ_ｎ｝から１つのメッセージｍ_k（ｋ∈Ｍ）を選択し、次に、乱数ｘ，ｋ，μ∈Ｚq^* を選び、以下を計算する。

更に、グループ署名ｔを計算する。

以下、前述同様に、署名者装置５ｘは（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を第一検証者装置２ｘに送る。第一検証者装置２ｘは、（ｈ，ｒ^〜，σ，ｔ）を第二検証者装置３ｘに送る。

［否認プロトコル］
否認プロトコルは、第２の実施形態と同様に実行される。すなわち、否認時、署名者装置５ｘの否認処理部５ｘ_ｃは、各第一検証者装置２ｘ等が選択したメッセージｍ_i∈Ｍ（i≠k）が、署名生成部５ｘ_ｂにて選択されたメッセージｍkでないこと（ｍ_i≠ｍ_k）を示す場合、前述同様に、離散対数の非等価性ｌｏｇ_βｚ≠ｌｏｇ_αｙを第一検証者装置２ｘに提示する。

［公開プロトコル］
公開時、署名者装置５ｘの確証処理部５ｘ_ｄは、各第一検証者装置２ｘ等が選択したメッセージｍ_i∈Ｍ（i＝k）が、署名生成部５ｘ_ｂにて選択されたメッセージｍkであること（ｍ_i＝ｍ_k）を示す場合、データｘを第一検証者装置２ｘに送る。

第一検証者装置２ｘは、（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）とｘを用いて以下の検証式により否認不可署名の正当性を検証する。

次に、λ^〜＝λ^ｘ（ｍｏｄ ｐ）の一致性を検証する。これら否認不可署名が正当である時のみ、

を計算し、次式によりグループ署名を検証する。

第一検証者装置２ｘは、否認不可署名ｒ^〜，λ^〜と、グループ署名ｔとが正当である時のみ、データ（ｒ，λ）を第二検証者装置３ｘに送る。

第二検証者装置３ｘは、前述同様に（ｒ，λ，ｒ^〜，ｔ，ｍ_k，Ｐ_G）を用いてグループ署名の正当性を次式より検証する。

なお、図１９に第一検証者装置２ｘに与えられる情報と、第二検証者装置３ｘに与えられる情報とを示す。

上述したように本実施形態によれば、電子入札方法に限らず、その上位概念のデジタル署名方法においても、第２の実施形態と同様の作用効果を得ることができる。

すなわち、署名者のプライバシを保護し談合を防止して依頼者利益を保護することができ、第一検証者装置２ｘの信頼性や匿名通信路といった仮定には依存せずに、一般的な暗号技術のみでシステム構築可能として実装を容易にすることができる。

また、暗号化メッセージ情報を、非暗号化状態のメッセージを非添付とした否認不可署名として送付するとともに、確認の際には、否認不可署名に含まれる離散対数の等価・非等価を証明することにより指定メッセージの選択有無を確認するので、署名者の発信する情報の秘匿性が強化され、この結果、プライバシ保護や談合防止が一層強化される。

さらに、グループ署名を用いたことにより、指定メッセージを選択した旨が確定した後に、当該署名者装置５に関する公開鍵等の情報を漏らさずに、第二検証者装置３ｘにそのメッセージ情報を確認させることができる。

また、本実施形態は、前述同様の条件（１ｘ）〜（３ｘ）を満足することができる。
（１ｘ）第一検証者装置２ｘ及び他の署名者装置は、署名者装置５ｘが確証時新規データを送らない限り、署名者がどのメッセージに署名を施したかを知ることができない。
（２ｘ）署名者装置５ｘは、否認プロトコルにおいて、選択したメッセージに署名を施した旨を否認できない。
（３ｘ）第一検証者装置２ｘ及び他の署名者装置は、指定メッセージを選択した署名者装置５ｘの秘密鍵を知らないので、当該選択した署名者装置５ｘの正当な署名及び否認付加署名を計算できない。

（発明の第６の実施形態）
第６の実施形態は、第２の実施形態の電子入札システムを上位概念化した第５の実施形態において、主催者２（第一検証者装置２ｘ）の攻撃アルゴリズムを阻止する第３の実施形態を適用させたものである。
以下、前述した図１７及び図１８を用い、第５の実施形態に対する変更部分について第３の実施形態の文脈に沿って説明する。第６の実施形態は、メッセージの種類の多少に関わらず、上記攻撃アルゴリズムを阻止し、常に上記条件（１ｘ）〜（３ｘ）を満足させるものとなっている。

具体的には、第６の実施形態では、受付プロトコル及び公開プロトコルで用いられるデータｒ^〜，σ，ｔが次のように変更されている。
すなわち、第６の実施形態は、第５の実施形態におけるｒ^〜＝ｒ^ｘ（ｍｏｄｐ）、σ＝ｋ−ｃＳ_A（ｍｏｄ ｑ）、ｔの分母内のハッシュ関数Ｈ（Ｗ_k，ｒ^〜，λ）に代えて、攻撃アルゴリズムを阻止する観点から、それぞれｒ^〜＝（ｒ^ｒ）^ｘ（ｍｏｄ ｐ）、σ＝ｋｒ−ｃＳ_A（ｍｏｄ ｑ）、ｔの分母内にてハッシュ関数Ｈ（Ｗ_k，ｒ^〜，ｒ，λ）が使用されている。

本実施形態のデジタル署名システムは、このような乱数ｒを自己を含む二変数ｒ，ｘにより秘匿する暗号化処理と、秘匿前後の乱数ｒ，ｒ^〜に基づくグループ署名とが行なわれ、これに応じて受付プロトコル、公開プロトコルが修正される他、第５の実施形態と同様に構成される。

以下、修正される受付プロトコル及び公開プロトコルについて説明する。

［受付プロトコル］
登録時におけるグループ鍵生成機関装置２ｙのグループ分けの処理及び各グループＪの署名用秘密鍵のＳ_Gjの送付処理は前述した通りである。次に、署名者装置５ｘは、前述同様に、何らかの要求等に対し、メッセージ空間Ｍ＝｛ｍ_１，ｍ_２，…，ｍ_ｎ｝から１つのメッセージｍ_k（ｋ∈Ｍ）を選択し、次に、乱数ｘ，ｋ，μ∈Ｚq^* を選び、以下を計算する。なお、以下の計算中、ｒ^〜，σ，ｔのＨは、第５の実施形態とは異なり、乱数ｒを用いた暗号化が施されている。また、ｒは第一検証者装置２ｘにとって未知のデータであり、ｒ^〜はその未知のデータｒを当該ｒ自身を用いて暗号化した暗号化未知データである。また、σは第１の暗号化メッセージ情報であり、ｔ内のＨ（ｗ_k，ｒ^〜，ｒ，λ）は第２の暗号化メッセージ情報である。

更に、グループ署名ｔを計算する。

以下、前述同様に、署名者装置５ｘは（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）を第一検証者装置２ｘに送る。第一検証者装置２ｘは（ｈ，ｒ^〜，σ，ｔ）を第二検証者装置３ｘに送る。

なお前述同様に、第一検証者装置２ｘが第二検証者装置３ｘにデータ（ｈ，ｒ^〜，σ，ｔ）を送出せず、署名生成部５ｘ_ｂが当該データ（ｈ，ｒ^〜，σ，ｔ）を第二検証者装置３ｘに送るようにしても良い。

［否認プロトコル］
否認プロトコルは、第５の実施形態と同様に実行される。

［公開プロトコル］
全体の流れは第５の実施形態と同様であるが、ｒを用いた暗号化に伴い、各検証式がｒを含む内容に変更されている。以下、前述した文脈に沿って説明する。

落札時、署名者装置５ｘは、ｘ，ｒを第一検証者装置２ｘに送付する。第一検証者装置２ｘは、（Ｐ_A，Cert_A，ｈ，ｒ^〜，λ，λ^〜，σ，ｔ）とｘ，ｒを用いて以下の検証式により否認不可署名の正当性を検証する。

次に、λ^〜＝λ^ｘ（ｍｏｄ ｐ）の一致性を検証する。これら否認不可署名が正当である時のみ、次式によりグループ署名を検証する。

第一検証者装置２ｘは、否認不可署名ｒ^〜，λ^〜と、グループ署名ｔとが正当である時のみ、データ（ｒ，λ）を第二検証者装置３ｘに送る。

第二検証者装置３ｘは、前述同様に（ｒ，λ，ｒ^〜，ｔ，ｍ_k，Ｐ_G）を用いてグループ署名の正当性を次式より検証する。

なお、図２０に第一検証者装置２ｘに与えられる情報と、第二検証者装置３ｘに掲示される情報とを示す。本実施形態では、前述した図１９とは異なり、第一検証者装置２ｘに与えられる情報にｒが追加されている。
上述したように本実施形態によれば、デジタル署名方法における第５の実施形態においても、第３の実施形態と同様の作用効果を付加することができる。すなわち、第６の実施形態は、第５の実施形態の効果に加え、未知のデータによる第１及び第２の秘匿ステップを用いたことにより、悪意の第一検証者装置による総当り的な攻撃アルゴリズムの適用を阻止することができる。

なお、本発明は、上記各実施の形態に限定されるものでなく、その要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わされた効果が得られる。

例えば第１〜第３の実施形態においては、オークション主催者装置から選択的に入札金額が提示され、これを入札者が選択する場合を説明しているが、ここでいう選択的というのは非常に広い意味で用いている。すなわち一円単位での選択であっても選択的なのであって、このような場合にはオークション主催者装置は、最高金額又は最低金額（落札プロトコル開始金額）しか示さない場合もある。この場合は、一円単位で選択される結果となる。また、最高金額又は最低金額（落札プロトコル開始金額）すら提示不要の場合もある。この場合には、オークション主催者装置では、仮の最高金額（若しくは最低金額）を提示し、この金額以上（若しくは以下）で入札したかを否認プロトコルで確認すればよい。否認できない者がいる場合には、仮の最高金額を上げればよい。

このように、選択的な入札金額というのは本明細書では、広い意味を有するが、オークション主催者装置にて具体的に提示された有限個の金額の中から選択させるようにすると、効率的な処理を行うには好ましい。

また、実施形態に記載した手法は、計算機（コンピュータ）に実行させることができるプログラム（ソフトウエア手段）として、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納し、また通信媒体により伝送して頒布することもできる。なお、媒体側に格納されるプログラムには、計算機に実行させるソフトウエア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含むものである。本装置を実現する計算機は、記憶媒体に記録されたプログラムを読み込み、また場合により設定プログラムによりソフトウエア手段を構築し、このソフトウエア手段によって動作が制御されることにより上述した処理を実行する。

なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。

その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。

本発明の第１の実施の形態に係る電子入札方法を適用した電子入札システムの一例を示す構成図。 オークション主催者装置の構成例を示すブロック図。 入札者装置の構成例を示すブロック図。 実施形態の電子入札方法における処理手順を説明する流れ図。 実施形態における登録プロトコルの処理を示す図。 実施形態における入札プロトコルの処理を示す図。 入札段階の様子を模式的に示す図。 実施形態における開示・落札プロトコルの処理を示す図。 落札までの様子を模式的に示す図。 落札及びその検証の様子を模式的に示す図。 本発明の第２の実施形態における電子入札方法を説明する概念図。 同実施形態におけるオークション主催者に与えられる情報と公開掲示板に掲示される情報とを示す図。 同実施形態におけるオークション主催者に与えられる情報と公開掲示板に掲示される情報とを示す図。 同実施形態におけるグループ署名の生成過程を説明するための模式図。 第２の実施形態におけるグループ署名の生成過程を説明するための模式図。 本発明の第４の実施形態に係る情報証明方法を適用したインターネットゲームシステムの構成例を示す図。 本発明の第５の実施形態に係るデジタル署名方法を適用したデジタル署名システムの一例を示す構成図 同実施形態におけるグループ鍵生成機関装置及び署名者装置の構成を示す模式図 同実施形態におけるオークション主催者に与えられる情報と公開掲示板に掲示される情報とを示す図。 本発明の第６の実施形態におけるオークション主催者に与えられる情報と公開掲示板に掲示される情報とを示す図。

符号の説明

１…ネットワーク、２…オークション主催者装置、２ｘ…第一検証者装置、２ｙ…グループ鍵生成機関装置、２ｙ_ａ，５ｘ_ａ…鍵生成部、３…公開掲示板装置、４…登録機関装置、４ｘ…鍵登録機関装置、５…入札者装置、５ｘ…署名者装置、５ｘ_ｂ…署名生成部、５ｘ_ｃ…否認処理部、５ｘ_ｄ…確証処理部、６…依頼人装置、７…監査員装置、１１…入札処理部、１２…開示落札処理部、２１…ネット情報検索部、２２…入札処理部、２３…落札処理部、２４…登録処理部、５１…インターネット網、５２…出題者装置、５３…解答者装置、６１…登録部、６２…公開掲示板、６３…ゲーム進行部、６４…解答格納部、６５…問題格納部、７１…登録部、７２…解答作成部、７３…応答処理部。

Claims (1)

1. 公開的な電子掲示板装置を備えるとともに、電子的な通信経路を介して暗号化した情報の証明要求装置への送付を行なう証明側装置と、前記電子掲示板装置を参照可能な前記証明要求装置との間で、情報を送受信することにより情報証明を行う情報証明方法において、
   前記証明側装置が、前記電子掲示板装置に掲示された選択的な情報のうち何れかを選択し、その選択情報を非暗号化状態では添付せずかつ否認不可署名に含めて前記証明要求装置に送信する情報提出ステップと、
   前記証明要求装置が、前記証明側装置からの前記否認不可署名を前記電子掲示板装置に掲示して、当該否認不可署名に含まれる離散対数の等価・非等価を証明することにより、前記選択情報を非開示としつつある情報を選択したか否かを証明する情報証明ステップと
   を有することを特徴とする情報証明方法。

Images