JP2000231330A - ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 - Google Patents
ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体Info
- Publication number
- JP2000231330A JP2000231330A JP11033794A JP3379499A JP2000231330A JP 2000231330 A JP2000231330 A JP 2000231330A JP 11033794 A JP11033794 A JP 11033794A JP 3379499 A JP3379499 A JP 3379499A JP 2000231330 A JP2000231330 A JP 2000231330A
- Authority
- JP
- Japan
- Prior art keywords
- signature
- random number
- blind
- document
- unblinder
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Abstract
(57)【要約】
【課題】 署名要求者が署名者から仮の署名を待つ必要
をなくす。 【解決手段】 署名要求者は乱数ｒを生成し、ｒを用い
文書ｍに対し、ブラインド署名前処理を施してブライン
ドメッセージｍ′を得、またｒを暗号化し、その暗号化
乱数ｒ′とｍ′を署名者へ送り、署名者はｍ′に対し署
名を行い仮の署名σ′を生成し、σ′とｒ′をアンブラ
インダーへ送る、アンブラインダーはｒ′を復号してｒ
を得、ｒによりσ′に対しブラインド署名後処理を施
し、本来の署名σとｍを得、ｍとσを検証者へ送る、検
証者はｍとσが検査式に合格するか検査する。
をなくす。 【解決手段】 署名要求者は乱数ｒを生成し、ｒを用い
文書ｍに対し、ブラインド署名前処理を施してブライン
ドメッセージｍ′を得、またｒを暗号化し、その暗号化
乱数ｒ′とｍ′を署名者へ送り、署名者はｍ′に対し署
名を行い仮の署名σ′を生成し、σ′とｒ′をアンブラ
インダーへ送る、アンブラインダーはｒ′を復号してｒ
を得、ｒによりσ′に対しブラインド署名後処理を施
し、本来の署名σとｍを得、ｍとσを検証者へ送る、検
証者はｍとσが検査式に合格するか検査する。
Description
【０００１】
【発明の属する技術分野】この発明は、電気通信システ
ムで無記名投票を実現する場合や、プライバシを重視し
た追跡不可能型のデジタル署名を実現する場合等で利用
されるブラインド署名の効率的な実現方法及びその装置
に関する。
ムで無記名投票を実現する場合や、プライバシを重視し
た追跡不可能型のデジタル署名を実現する場合等で利用
されるブラインド署名の効率的な実現方法及びその装置
に関する。
【０００２】
【従来の技術】デジタル情報が改ざんされていないこと
を保証する技術としてデジタル署名がある。デジタル署
名方式の代表的な例として、ＲＳＡ暗号（R.L. Rivest,
etal.“A Method for Obtaining Digital Signatures
and Public-Key Cryptosystems”，Communications of
the ACM, Vol. 21, No.2, pp.120-126,(1978))を利用し
た方式がある。ＲＳＡ暗号は、以下の通りである。
を保証する技術としてデジタル署名がある。デジタル署
名方式の代表的な例として、ＲＳＡ暗号（R.L. Rivest,
etal.“A Method for Obtaining Digital Signatures
and Public-Key Cryptosystems”，Communications of
the ACM, Vol. 21, No.2, pp.120-126,(1978))を利用し
た方式がある。ＲＳＡ暗号は、以下の通りである。
【０００３】署名者Ａは、署名用鍵（ｄ，ｎ）と検査用
鍵（ｅ，ｎ）を、 ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod LCM ｛（ｐ−１），（ｑ−１）｝） （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。
鍵（ｅ，ｎ）を、 ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod LCM ｛（ｐ−１），（ｑ−１）｝） （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。
【０００４】ＲＳＡ暗号は、ｎが大きいときｎの素因数
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。認証用の鍵を管理するセンタを設けて、
そのセンタが検査用鍵を公開情報管理簿として管理する
ことも多い。
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。認証用の鍵を管理するセンタを設けて、
そのセンタが検査用鍵を公開情報管理簿として管理する
ことも多い。
【０００５】署名関数Ｄと検証関数Ｅを Ｄ（ｘ）＝ｘd mod ｎ （２） Ｅ（ｙ）＝ｙe mod ｎ （３） で定義する。０＜ｘ＜ｎをみたすと整数ｘに対して Ｅ（Ｄ（ｘ））＝ｘ が成り立つことが示せる。ここで、ａmod ｎは、ａをｎ
で割ったときの余りを表す。
で割ったときの余りを表す。
【０００６】ＲＳＡ暗号を利用したデジタル署名方式は
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してσ＝Ｄ（ｆ（ｍ））で署名σを生成し、
個人識別情報（ＩＤ）と文書ｍと署名σの組合せ（Ｉ
Ｄ，ｍ，σ）を署名付通信文として検証者Ｖに送信す
る。検証者Ｖは、ＩＤをキーに検査用鍵の登録された公
開情報管理簿を検索して検証関数Ｅを求めて、署名付通
信文のσ成分からＥ（σ）を求め、これが、ｍから求め
たｆ（ｍ）と一致するか検査する。Ｅ（σ）＝ｆ（ｍ）
が成り立てば、署名関数Ｄを知っているのは真の署名者
Ａだけであるから、送信者（署名者）が本物のＡであ
り、（ＩＤ，ｍ，σ）は改ざんされていないと判断す
る。
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してσ＝Ｄ（ｆ（ｍ））で署名σを生成し、
個人識別情報（ＩＤ）と文書ｍと署名σの組合せ（Ｉ
Ｄ，ｍ，σ）を署名付通信文として検証者Ｖに送信す
る。検証者Ｖは、ＩＤをキーに検査用鍵の登録された公
開情報管理簿を検索して検証関数Ｅを求めて、署名付通
信文のσ成分からＥ（σ）を求め、これが、ｍから求め
たｆ（ｍ）と一致するか検査する。Ｅ（σ）＝ｆ（ｍ）
が成り立てば、署名関数Ｄを知っているのは真の署名者
Ａだけであるから、送信者（署名者）が本物のＡであ
り、（ＩＤ，ｍ，σ）は改ざんされていないと判断す
る。
【０００７】ここで、ｆが一方向性関数とは、ｘからｆ
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Data, Encryption Standard, F
ederal Information Rrocessing Standards Publicatio
n 46, 1977）を用いて構成できる。ここで、利用者のプ
ライバシを保証できるブラインド署名について説明す
る。ブラインド署名では、署名者に文書の内容を秘密に
したままで署名を付けてもらうことができる。ＲＳＡ法
に基づいた方式が文献 D.Chaum, “Security withoutId
entification: Transaction Systems to Make Big Brot
her Obsolete ，”Comm. of the ACM, 28, 10, pp.1030
-1044(1985)で、対話証明に基づいたブラインド署名が
文献T.Okamoto etal. “Divertible Zero-Knowledge In
teractive Proofs and Commutative Random Self-Reduc
ible，”The Rroc. of Eurocrypt'89(1989) で示されて
いる。
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Data, Encryption Standard, F
ederal Information Rrocessing Standards Publicatio
n 46, 1977）を用いて構成できる。ここで、利用者のプ
ライバシを保証できるブラインド署名について説明す
る。ブラインド署名では、署名者に文書の内容を秘密に
したままで署名を付けてもらうことができる。ＲＳＡ法
に基づいた方式が文献 D.Chaum, “Security withoutId
entification: Transaction Systems to Make Big Brot
her Obsolete ，”Comm. of the ACM, 28, 10, pp.1030
-1044(1985)で、対話証明に基づいたブラインド署名が
文献T.Okamoto etal. “Divertible Zero-Knowledge In
teractive Proofs and Commutative Random Self-Reduc
ible，”The Rroc. of Eurocrypt'89(1989) で示されて
いる。
【０００８】ブラインド署名の考え方は以下のとおりで
ある。署名の要求者Ｐは、ブラインド署名前処理によっ
て文書（ｍ）を乱数（ｒ）で攪乱してブラインドメッセ
ージ（ｍ′）を生成する。署名者Ａは、秘密の署名用鍵
を用いてｍ′に対応する仮の署名（σ′）を計算する。
このとき、ｍはｒによって攪乱されているので、署名者
は文書（ｍ）を知ることはできない。要求者Ｐは、ブラ
インド署名後処理によってσ′から乱数（ｒ）の影響を
除去して、本来の文書（ｍ）に対する真の署名（σ）を
求めて、ｍとσの組を検証者に送信する。検証者は、署
名者の公開鍵を用いてσがｍの署名であることを確認す
る。ここで、複数の文書が署名者Ａによって署名される
場合、署名者Ａと検証者が、たとえ協力したとしてもあ
るσがいずれのσ′に対応つくかを知ることはできな
い。
ある。署名の要求者Ｐは、ブラインド署名前処理によっ
て文書（ｍ）を乱数（ｒ）で攪乱してブラインドメッセ
ージ（ｍ′）を生成する。署名者Ａは、秘密の署名用鍵
を用いてｍ′に対応する仮の署名（σ′）を計算する。
このとき、ｍはｒによって攪乱されているので、署名者
は文書（ｍ）を知ることはできない。要求者Ｐは、ブラ
インド署名後処理によってσ′から乱数（ｒ）の影響を
除去して、本来の文書（ｍ）に対する真の署名（σ）を
求めて、ｍとσの組を検証者に送信する。検証者は、署
名者の公開鍵を用いてσがｍの署名であることを確認す
る。ここで、複数の文書が署名者Ａによって署名される
場合、署名者Ａと検証者が、たとえ協力したとしてもあ
るσがいずれのσ′に対応つくかを知ることはできな
い。
【０００９】ＲＳＡ法を利用したブラインド署名の実現
法は以下の通り。Ｓｔｅｐ１ 署名要求者Ｐは乱数ｒ∈
（Ｚ／ｎＺ）を生成して、文書ｍから ｍ′＝ｒe ×ｍ mod n （４） でｍ′を生成して、署名者Ａに送信する。Ｓｔｅｐ２
Ａは秘密の署名用鍵ｄを用いて、 σ′＝ｍ′d mod ｎ （５） でσ′を生成して、Ｐに送信する。
法は以下の通り。Ｓｔｅｐ１ 署名要求者Ｐは乱数ｒ∈
（Ｚ／ｎＺ）を生成して、文書ｍから ｍ′＝ｒe ×ｍ mod n （４） でｍ′を生成して、署名者Ａに送信する。Ｓｔｅｐ２
Ａは秘密の署名用鍵ｄを用いて、 σ′＝ｍ′d mod ｎ （５） でσ′を生成して、Ｐに送信する。
【００１０】Ｓｔｅｐ３ Ｐは、ｍに対応したＡの真の
ディジタル署名σを σ＝σ′／ｒmod ｎ （６） で算出して、ｍとσを検証者Ｖに送信する。Ｓｔｅｐ４
Ｖは ｍ＝σe mod ｎ （７） が成立するかを検査する。
ディジタル署名σを σ＝σ′／ｒmod ｎ （６） で算出して、ｍとσを検証者Ｖに送信する。Ｓｔｅｐ４
Ｖは ｍ＝σe mod ｎ （７） が成立するかを検査する。
【００１１】ここで、σe ≡（σ′／ｒ）e ≡σ′e ／
ｒe ≡ｍ′／ｒe ≡（ｒe ・ｍ）／ｒe ≡ｍ（mod ｎ）
が成り立つので、σはｍの署名である。なお、上の例で
０＜ｍ＜ｎの場合にはｍを検証者Ｖが復元可能なのでＶ
にｍを送信する必要がないが、ｍが長い場合にハッシュ
値ｆ（ｍ）を計算してその値を上記のｍとみなして処理
する場合もあるので、その場合には検証者がｆ（ｍ）を
計算するために文書ｍの送信が必要となることに注意。
ｒe ≡ｍ′／ｒe ≡（ｒe ・ｍ）／ｒe ≡ｍ（mod ｎ）
が成り立つので、σはｍの署名である。なお、上の例で
０＜ｍ＜ｎの場合にはｍを検証者Ｖが復元可能なのでＶ
にｍを送信する必要がないが、ｍが長い場合にハッシュ
値ｆ（ｍ）を計算してその値を上記のｍとみなして処理
する場合もあるので、その場合には検証者がｆ（ｍ）を
計算するために文書ｍの送信が必要となることに注意。
【００１２】簡単のため、以下のような記法を用いる。 ｍ′＝Ψ（ｍ，ｒ）：ブラインド署名前処理関数 σ′＝ΣA （ｍ′）：署名者Ａの署名作成関数 ｙ＝Φ（σ′，ｒ）：ブラインド署名後処理関数 合格／不合格＝ＶA （ｍ，ｙ）：署名者Ａの署名検証関
数 上記の例では、ｍ′＝Ψ（ｍ，ｒ）＝ｒe ×ｍ mod n，
σ′＝ΣA （ｍ′）＝ｍ′d mod ｎ，σ＝Φ（σ′，
ｒ）＝σ′／ｒmod ｎ，ＶA は「ｙe ≡ｍ mod nの場
合、かつ、この場合に限って、合格＝ＶA （ｍ，ｙ）」
となっていることに注意。
数 上記の例では、ｍ′＝Ψ（ｍ，ｒ）＝ｒe ×ｍ mod n，
σ′＝ΣA （ｍ′）＝ｍ′d mod ｎ，σ＝Φ（σ′，
ｒ）＝σ′／ｒmod ｎ，ＶA は「ｙe ≡ｍ mod nの場
合、かつ、この場合に限って、合格＝ＶA （ｍ，ｙ）」
となっていることに注意。
【００１３】ディジタル署名を用いた電子投票方式は、
例えば、太田和夫：“単一の選挙管理者を用いた電子投
票方式”，昭和６３年電子情報通信学会春季全国大会，
Ａ−２９４（昭６３−３）で提案されている。ブライン
ド署名は、電子現金方式において利用者のプライバシを
保証するための基本的な技術として用いられており、例
えば、D.Chaum, A.Fiat and M.Naor, “Untraceable El
ectronic Cash ，”Advances iｎ Cryptology-Crypto'8
8 ，Lecture Notes in Computer Science 403，pp.319-
327，Springer-Verlag, Berlin(1988) やT. Okamoto et
al.“Disposable Zero-Knowledge Authentications and
Their Applications to UntraceableElectronic Cash
，”Advances in Cryptology-Crypto'89，Lecture Not
es in Computer Science 435, pp.481-496, Springer-V
erlag, Berlin(1989)などがある。
例えば、太田和夫：“単一の選挙管理者を用いた電子投
票方式”，昭和６３年電子情報通信学会春季全国大会，
Ａ−２９４（昭６３−３）で提案されている。ブライン
ド署名は、電子現金方式において利用者のプライバシを
保証するための基本的な技術として用いられており、例
えば、D.Chaum, A.Fiat and M.Naor, “Untraceable El
ectronic Cash ，”Advances iｎ Cryptology-Crypto'8
8 ，Lecture Notes in Computer Science 403，pp.319-
327，Springer-Verlag, Berlin(1988) やT. Okamoto et
al.“Disposable Zero-Knowledge Authentications and
Their Applications to UntraceableElectronic Cash
，”Advances in Cryptology-Crypto'89，Lecture Not
es in Computer Science 435, pp.481-496, Springer-V
erlag, Berlin(1989)などがある。
【００１４】上記の方式では、署名要求者Ｐは、署名者
から仮の署名σ′が戻されて、Ｓｔｅｐ３を実行するま
で署名の要求処理を完了することができない。例えば、
電子投票にブラインド署名を適用すると、投票者が署名
要求者であり、選挙管理委員会が署名者であり、投票集
計者が署名の検証者となるので、投票者は選挙管理委員
会からの返事を待たなければならない。電子現金にブラ
インド署名を適用すると、利用者が署名要求者であり、
電子現金の発行銀行が署名者であり、小売店が署名の検
証者となるので、利用者は銀行からの返事を待たなけれ
ばならない。待ち時間は、署名者の署名作成時間と署名
要求者と署名者の回線状況等に依存する。
から仮の署名σ′が戻されて、Ｓｔｅｐ３を実行するま
で署名の要求処理を完了することができない。例えば、
電子投票にブラインド署名を適用すると、投票者が署名
要求者であり、選挙管理委員会が署名者であり、投票集
計者が署名の検証者となるので、投票者は選挙管理委員
会からの返事を待たなければならない。電子現金にブラ
インド署名を適用すると、利用者が署名要求者であり、
電子現金の発行銀行が署名者であり、小売店が署名の検
証者となるので、利用者は銀行からの返事を待たなけれ
ばならない。待ち時間は、署名者の署名作成時間と署名
要求者と署名者の回線状況等に依存する。
【００１５】
【発明が解決しようする課題】署名要求者である投票者
や電子現金の利用者の待ち時間を短くするには、署名者
である選挙管理委員会や銀行の署名生成処理を高速にす
ることや、回線を常に使用可能とするようにしなければ
ならない。特に、上記の二つの例で明らかなように、署
名者（選挙管理委員会、銀行）に署名生成の処理が集中
するので、即時に仮の署名（σ′）を返すようにするに
は、署名者に高速にかつ高い信頼性を要求するために、
署名生成処理装置のコストが増加する問題がある。
や電子現金の利用者の待ち時間を短くするには、署名者
である選挙管理委員会や銀行の署名生成処理を高速にす
ることや、回線を常に使用可能とするようにしなければ
ならない。特に、上記の二つの例で明らかなように、署
名者（選挙管理委員会、銀行）に署名生成の処理が集中
するので、即時に仮の署名（σ′）を返すようにするに
は、署名者に高速にかつ高い信頼性を要求するために、
署名生成処理装置のコストが増加する問題がある。
【００１６】この発明の目的は、投票の無記名性や電子
現金のプライバシーを保証したままで、署名要求者が署
名者からの仮の署名σ′を待つ必要がないブラインド署
名を実現することにある。
現金のプライバシーを保証したままで、署名要求者が署
名者からの仮の署名σ′を待つ必要がないブラインド署
名を実現することにある。
【００１７】
【課題を解決するための手段】この発明では、ブライン
ド署名後処理を信頼できる第三者Ｕに委託する。署名要
求者は、ブラインドメッセージ（ｍ′）に加えて、新た
に暗号化された乱数成分ｒ′（＝ＥU （ｒ））を導入し
て、ｍ′とｒ′を署名者に送信する。ここで、暗号化さ
れた乱数成分ｒ′は第三者Ｕが復号化できるように生成
したものであり、Ｕは復号化した乱数ｒを用いて、署名
要求者本人に代わってブラインド署名後処理関数を実行
する。署名者は、仮の署名（σ′）を署名の要求者には
返さずに、ｒ′と共に第三者Ｕに転送する。
ド署名後処理を信頼できる第三者Ｕに委託する。署名要
求者は、ブラインドメッセージ（ｍ′）に加えて、新た
に暗号化された乱数成分ｒ′（＝ＥU （ｒ））を導入し
て、ｍ′とｒ′を署名者に送信する。ここで、暗号化さ
れた乱数成分ｒ′は第三者Ｕが復号化できるように生成
したものであり、Ｕは復号化した乱数ｒを用いて、署名
要求者本人に代わってブラインド署名後処理関数を実行
する。署名者は、仮の署名（σ′）を署名の要求者には
返さずに、ｒ′と共に第三者Ｕに転送する。
【００１８】署名要求者は、ブラインドメッセージと暗
号化された乱数成分を送信した時点で処理を完了でき
る。署名者と第三者が結託しない限り、ブラインドメッ
セージｍ′からもとの文書ｍが求まることはない。署名
者と第三者の結託の可能性を下げるために、第三者を複
数個設けて、ブラインドメッセージｍ′を ｍ′＝Ψ（…Ψ（Ψ（ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （８） で作成し、乱数成分ｒ′を ｒ′＝Ｅ1 （…ＥL-1 （ＥL （ｍ，ｒL ），ｒL-1 ）…，ｒ1 ）（９） で作成する。０＜ｍ＜ｎの場合には検証処理でｍを復元
できるので、ｒ′の生成式でｍを省略しても問題ない。
号化された乱数成分を送信した時点で処理を完了でき
る。署名者と第三者が結託しない限り、ブラインドメッ
セージｍ′からもとの文書ｍが求まることはない。署名
者と第三者の結託の可能性を下げるために、第三者を複
数個設けて、ブラインドメッセージｍ′を ｍ′＝Ψ（…Ψ（Ψ（ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （８） で作成し、乱数成分ｒ′を ｒ′＝Ｅ1 （…ＥL-1 （ＥL （ｍ，ｒL ），ｒL-1 ）…，ｒ1 ）（９） で作成する。０＜ｍ＜ｎの場合には検証処理でｍを復元
できるので、ｒ′の生成式でｍを省略しても問題ない。
【００１９】以下では、ブラインド署名後処理の実行者
をアンブラインダーとよび、Ｌ個のアンブラインダーを
仮定して、署名者に近いものから順番にＵ1 ，Ｕ2 ，
…，Ｕ L と表すことにする。ここで、Ｅi は第ｉ番目の
アンブラインダーＵi が復号化できるような暗号化関数
である。Ｅi は、ＤＥＳ等の秘密鍵暗号、ＲＳＡ等の公
開鍵暗号の、どちらであっても問題ない。
をアンブラインダーとよび、Ｌ個のアンブラインダーを
仮定して、署名者に近いものから順番にＵ1 ，Ｕ2 ，
…，Ｕ L と表すことにする。ここで、Ｅi は第ｉ番目の
アンブラインダーＵi が復号化できるような暗号化関数
である。Ｅi は、ＤＥＳ等の秘密鍵暗号、ＲＳＡ等の公
開鍵暗号の、どちらであっても問題ない。
【００２０】複数の利用者からの署名要求を一度に処理
し、各アンブラインダーが各処理結果の順序をランダム
に並べ換えることにより、プライバシーを保つことがで
きる。
し、各アンブラインダーが各処理結果の順序をランダム
に並べ換えることにより、プライバシーを保つことがで
きる。
【００２１】
【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。図１はこの発明の全体構成を示す図で
ある。署名の要求者Ｐの装置（要求者装置）１００は記
名通信路５００を介して署名者Ａの装置（署名者装置）
２００と結合し、署名者装置２００はアンブラインダー
Ｕの装置（アンブラインダー装置）３００に通信路６０
０を介して結合しているとする。アンブラインダー装置
は複数個３００−１〜３００−Ｌ存在してもよく、それ
らは通信路７００を介して順次結合しており、アンブラ
インダー装置３００は検証者Ｖの装置（検証者装置）４
００との間に通信路８００がある。
ついて説明する。図１はこの発明の全体構成を示す図で
ある。署名の要求者Ｐの装置（要求者装置）１００は記
名通信路５００を介して署名者Ａの装置（署名者装置）
２００と結合し、署名者装置２００はアンブラインダー
Ｕの装置（アンブラインダー装置）３００に通信路６０
０を介して結合しているとする。アンブラインダー装置
は複数個３００−１〜３００−Ｌ存在してもよく、それ
らは通信路７００を介して順次結合しており、アンブラ
インダー装置３００は検証者Ｖの装置（検証者装置）４
００との間に通信路８００がある。
【００２２】図２にこの発明の通信シーケンス例を、図
３に署名の要求者装置１００の構成例を、図４に署名者
装置２００の構成例を、図５にアンブラインダー装置３
００の構成例を、図６に検証者装置４００の構成例をそ
れぞれ示す。以下、アンブラインダー装置が１個の場合
のこの発明の手順を示す。Ｓｔｅｐ１ 署名の要求者装
置１００（図３）は、文書ｍと、乱数生成器１１０が生
成した乱数ｒをブラインド署名前処理関数計算器１２０
に入力してブラインドメッセージｍ′を ｍ′＝Ψ（ｍ，ｒ） （10） で生成する。
３に署名の要求者装置１００の構成例を、図４に署名者
装置２００の構成例を、図５にアンブラインダー装置３
００の構成例を、図６に検証者装置４００の構成例をそ
れぞれ示す。以下、アンブラインダー装置が１個の場合
のこの発明の手順を示す。Ｓｔｅｐ１ 署名の要求者装
置１００（図３）は、文書ｍと、乱数生成器１１０が生
成した乱数ｒをブラインド署名前処理関数計算器１２０
に入力してブラインドメッセージｍ′を ｍ′＝Ψ（ｍ，ｒ） （10） で生成する。
【００２３】Ｓｔｅｐ２ 要求者装置１００は、前記乱
数ｒ及び文書ｍをアンブラインダーＵが復号可能な暗号
器１３０に入力して暗号化された乱数ｒ′を ｒ′＝ＥU （ｍ，ｒ） （11） で生成する。Ｓｔｅｐ３ 要求者装置１００は、ブライ
ンドメッセージｍ′と暗号化された乱数ｒ′を署名者装
置２００に送信する。
数ｒ及び文書ｍをアンブラインダーＵが復号可能な暗号
器１３０に入力して暗号化された乱数ｒ′を ｒ′＝ＥU （ｍ，ｒ） （11） で生成する。Ｓｔｅｐ３ 要求者装置１００は、ブライ
ンドメッセージｍ′と暗号化された乱数ｒ′を署名者装
置２００に送信する。
【００２４】Ｓｔｅｐ４ 署名者装置２００（図４）
は、受信したブラインドメッセージｍ′を署名作成関数
計算器２１０に入力して、 σ′＝σA （ｍ′） （12） で仮の署名σ′を生成して、受信した暗号化された乱数
ｒ′と共にアンブラインダー装置３００に送信する。
は、受信したブラインドメッセージｍ′を署名作成関数
計算器２１０に入力して、 σ′＝σA （ｍ′） （12） で仮の署名σ′を生成して、受信した暗号化された乱数
ｒ′と共にアンブラインダー装置３００に送信する。
【００２５】Ｓｔｅｐ５ アンブラインダー装置３００
（図５）は、暗号化された乱数ｒ′を復号器３１０に入
力して、 （ｒ′，ｒ）＝ＤU （ｒ′） （13） を得る。Ｓｔｅｐ６ アンブラインダー装置３００は、
上記ｒと受信したσ′をブラインド署名後処理関数計算
器３２０に入力して σ＝Φ（σ′，ｒ） （14） を得る。
（図５）は、暗号化された乱数ｒ′を復号器３１０に入
力して、 （ｒ′，ｒ）＝ＤU （ｒ′） （13） を得る。Ｓｔｅｐ６ アンブラインダー装置３００は、
上記ｒと受信したσ′をブラインド署名後処理関数計算
器３２０に入力して σ＝Φ（σ′，ｒ） （14） を得る。
【００２６】Ｓｔｅｐ７ アンブラインダー装置３００
は、ｒ′とσを検証者装置４００に送信する。Ｓｔｅｐ
８ 検証者装置４００（図６）は、ｒ′とσを署名検証
関数計算器４１０に入力して、ＶA （ｒ′，σ）を計算
して、σがｒ′の正しい署名になっていることを検査す
る。ここで、すべての処理が正常に実行されると、ｒ＝
ｒ、かつｒ′＝ｍとなっていることに注意。
は、ｒ′とσを検証者装置４００に送信する。Ｓｔｅｐ
８ 検証者装置４００（図６）は、ｒ′とσを署名検証
関数計算器４１０に入力して、ＶA （ｒ′，σ）を計算
して、σがｒ′の正しい署名になっていることを検査す
る。ここで、すべての処理が正常に実行されると、ｒ＝
ｒ、かつｒ′＝ｍとなっていることに注意。
【００２７】次に、アンブラインダー装置がＬ個の場合
のこの発明の手順を示す。ここで、署名者装置と検証者
装置はＬ＝１の場合と同一であるから、Ｌに依存して異
なる場合について、署名の要求者装置１００の構成例を
図８に、第ｉ番目のアンブラインダー装置３００−ｉの
構成例を図７に示す。Ｓｔｅｐ１ 署名の要求者装置１
００（図８）は、乱数生成器１１０でＬ個の乱数ｒ
i （ｉ＝１，２，…，Ｌ）を生成し、乱数ｒi とσ′i
（σ′L ＝文書ｍ）をブラインド署名前処理関数計算器
１２０−ｉに入力してσ′i-1 を生成し、この操作をｉ
＝Ｌ，…，１とＬ回繰り返すことで、ブラインドメッセ
ージσ′（σ′＝σ′0 ）を σ′＝ｍ′＝Ψ（…Ψ（Ψ（ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （15） で生成する。ただし、σ′L ＝ｍとする。
のこの発明の手順を示す。ここで、署名者装置と検証者
装置はＬ＝１の場合と同一であるから、Ｌに依存して異
なる場合について、署名の要求者装置１００の構成例を
図８に、第ｉ番目のアンブラインダー装置３００−ｉの
構成例を図７に示す。Ｓｔｅｐ１ 署名の要求者装置１
００（図８）は、乱数生成器１１０でＬ個の乱数ｒ
i （ｉ＝１，２，…，Ｌ）を生成し、乱数ｒi とσ′i
（σ′L ＝文書ｍ）をブラインド署名前処理関数計算器
１２０−ｉに入力してσ′i-1 を生成し、この操作をｉ
＝Ｌ，…，１とＬ回繰り返すことで、ブラインドメッセ
ージσ′（σ′＝σ′0 ）を σ′＝ｍ′＝Ψ（…Ψ（Ψ（ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （15） で生成する。ただし、σ′L ＝ｍとする。
【００２８】Ｓｔｅｐ２ 要求者装置１００は、前記Ｌ
個の乱数ｒi とｒ′i をアンブラインダーＵi が復号可
能な暗号器１３０に入力してｒ′i-1 を生成し、この操
作をｉ＝Ｌ，…，２，１とＬ回繰り返すことで、暗号化
された乱数ｒ′（ｒ′＝ｒ′ 0 ）を ｒ′＝Ｅ1 （…ＥL-1 （ＥL （ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （16） で生成する。ただし、ｒL ＝ｍとする。
個の乱数ｒi とｒ′i をアンブラインダーＵi が復号可
能な暗号器１３０に入力してｒ′i-1 を生成し、この操
作をｉ＝Ｌ，…，２，１とＬ回繰り返すことで、暗号化
された乱数ｒ′（ｒ′＝ｒ′ 0 ）を ｒ′＝Ｅ1 （…ＥL-1 （ＥL （ｍ，ｒL ），ｒL-1 ）…，ｒ1 ） （16） で生成する。ただし、ｒL ＝ｍとする。
【００２９】Ｓｔｅｐ３ 要求者装置１００は、ブライ
ンドメッセージｍ′と暗号化された乱数ｒ′を署名者装
置２００に送信する。Ｓｔｅｐ４ 署名者装置２００
は、受信したブラインドメッセージｍ′を署名作成関数
計算器２１０に入力して、 σ′＝ΣA （ｍ′） （17） で生成して、受信した暗号化された乱数ｒ′と共にアン
ブラインダー装置３００−１に送信する。
ンドメッセージｍ′と暗号化された乱数ｒ′を署名者装
置２００に送信する。Ｓｔｅｐ４ 署名者装置２００
は、受信したブラインドメッセージｍ′を署名作成関数
計算器２１０に入力して、 σ′＝ΣA （ｍ′） （17） で生成して、受信した暗号化された乱数ｒ′と共にアン
ブラインダー装置３００−１に送信する。
【００３０】Ｓｔｅｐ５ Ｌ個のアンブラインダー装置
３００−ｉは装置３００−１から３００−Ｌまで順番に
Ｌ回以下の処理を繰り返す。ここで、ｒ′0 ＝ｒ′，σ
0 ＝σ′とおく。Ｓｔｅｐ5-1 アンブラインダー３００
−ｉ（図７）は、受信した乱数ｒ′i- 1 を復号器３１０
−１に入力して、 （ｒ′i ，ｒ′i ）＝ＤUi（ｒ′i-1 ） （18） を得る。
３００−ｉは装置３００−１から３００−Ｌまで順番に
Ｌ回以下の処理を繰り返す。ここで、ｒ′0 ＝ｒ′，σ
0 ＝σ′とおく。Ｓｔｅｐ5-1 アンブラインダー３００
−ｉ（図７）は、受信した乱数ｒ′i- 1 を復号器３１０
−１に入力して、 （ｒ′i ，ｒ′i ）＝ＤUi（ｒ′i-1 ） （18） を得る。
【００３１】Ｓｔｅｐ5-2 アンブラインダー装置３００
−ｉは、上記ｒi と受信したσi- 1 をブラインド署名後
処理関数計算器３２０−ｉに入力して σi ＝Φ（σi-1 ，ｒi ） （19） を得る。Ｓｔｅｐ5-3 アンブラインダー装置３００−ｉ
は、ｒ′i とσi をアンブラインダー装置３００−（ｉ
＋１）に送信する。ｉ＝Ｌの場合には検証者装置４００
に送信する。
−ｉは、上記ｒi と受信したσi- 1 をブラインド署名後
処理関数計算器３２０−ｉに入力して σi ＝Φ（σi-1 ，ｒi ） （19） を得る。Ｓｔｅｐ5-3 アンブラインダー装置３００−ｉ
は、ｒ′i とσi をアンブラインダー装置３００−（ｉ
＋１）に送信する。ｉ＝Ｌの場合には検証者装置４００
に送信する。
【００３２】Ｓｔｅｐ６ 検証者装置４００は、ｒ′L
とσL を署名検証関数計算器４１０に入力して、Ｖ
A （ｒ′L ，σL ）を計算して、σL がｒ′L の正しい
署名になっていることを検査する。ここで、すべての処
理が正常に実行されると、ｒ′L＝ｍ，σL ＝σとなっ
ていることに注意。署名要求者は、ｒあるいはｒ′を直
接アンブラインダーＵに送信してもよい。この場合には
ｍ′とｒ′の対応を示すために新たに識別子を付加する
ことになる。
とσL を署名検証関数計算器４１０に入力して、Ｖ
A （ｒ′L ，σL ）を計算して、σL がｒ′L の正しい
署名になっていることを検査する。ここで、すべての処
理が正常に実行されると、ｒ′L＝ｍ，σL ＝σとなっ
ていることに注意。署名要求者は、ｒあるいはｒ′を直
接アンブラインダーＵに送信してもよい。この場合には
ｍ′とｒ′の対応を示すために新たに識別子を付加する
ことになる。
【００３３】上述においては、署名要求者は１人であっ
たが、複数であってもよい。即ち図９に示すようにｋ人
の署名要求者Ｐ１〜Ｐｋの装置１００−１〜１００−ｋ
から乱数ｒj （ｊ＝１，２，…，ｋ）を用いて文書ｍj
対してブラインド署名前処理を施したブラインドメッセ
ージｍ′j を生成し、かつｒj とｍj に対し暗号化した
暗号文ｒ′j を作成してｍ′j とｒ′j の組をそれぞれ
署名者装置２００へ送り、署名者装置２００は各ｍ′j
とｒ′j の組中のｍ′j に対する署名作成関数値を計算
して仮署名σj を生成して、σj とｒ′j の組をアンブ
ラインダー装置３００−１へ送る。
たが、複数であってもよい。即ち図９に示すようにｋ人
の署名要求者Ｐ１〜Ｐｋの装置１００−１〜１００−ｋ
から乱数ｒj （ｊ＝１，２，…，ｋ）を用いて文書ｍj
対してブラインド署名前処理を施したブラインドメッセ
ージｍ′j を生成し、かつｒj とｍj に対し暗号化した
暗号文ｒ′j を作成してｍ′j とｒ′j の組をそれぞれ
署名者装置２００へ送り、署名者装置２００は各ｍ′j
とｒ′j の組中のｍ′j に対する署名作成関数値を計算
して仮署名σj を生成して、σj とｒ′j の組をアンブ
ラインダー装置３００−１へ送る。
【００３４】第ｉ番目のアンブラインダー装置３００−
ｉは図１０に示すように受信した乱数ｒ′i-1,j を復号
してｒ′i,j を得、これにより受信した仮署名σi-1,j
に対し、ブラインド署名後処理を施してσi,j を得る。
各投票要求者よりの仮署名と乱数の組（σi,1 ，ｒ′
i,1 ）〜（σi,k ，ｒ′i,k ）はメモリ３３０−ｉに一
旦格納され、ランダム置換装置３４０−ｉでその順序が
ランダムに置き換えられて次のアンブラインダー装置３
００−（ｉ＋１）へ送られる。このように各アンブライ
ンダー装置で復号と、ブラインド署名後処理とがなさ
れ、その結果に対し、順序がランダムに並び換えられる
ことにより、プライバシーの保護がなされる。
ｉは図１０に示すように受信した乱数ｒ′i-1,j を復号
してｒ′i,j を得、これにより受信した仮署名σi-1,j
に対し、ブラインド署名後処理を施してσi,j を得る。
各投票要求者よりの仮署名と乱数の組（σi,1 ，ｒ′
i,1 ）〜（σi,k ，ｒ′i,k ）はメモリ３３０−ｉに一
旦格納され、ランダム置換装置３４０−ｉでその順序が
ランダムに置き換えられて次のアンブラインダー装置３
００−（ｉ＋１）へ送られる。このように各アンブライ
ンダー装置で復号と、ブラインド署名後処理とがなさ
れ、その結果に対し、順序がランダムに並び換えられる
ことにより、プライバシーの保護がなされる。
【００３５】上述においては、乱数を暗号化する際に、
文書ｍも暗号化し、その暗号文をアンブラインダー装置
へ送ったが、署名者装置における署名として、メッセー
ジ回復形署名方法を用いれば、署名からメッセージを取
出すことができるから、乱数のみを暗号化してアンブラ
インダー装置へ送ればよい。
文書ｍも暗号化し、その暗号文をアンブラインダー装置
へ送ったが、署名者装置における署名として、メッセー
ジ回復形署名方法を用いれば、署名からメッセージを取
出すことができるから、乱数のみを暗号化してアンブラ
インダー装置へ送ればよい。
【００３６】
【発明の効果】この発明では、署名要求者は、ブライン
ドメッセージ（ｍ′）に加えて、新たに暗号化された乱
数成分ｒ′（＝ＥU （ｒ））を導入して、ｍ′とｒ′を
送信した時点で処理が完了する。ここで、暗号化された
乱数成分ｒ′はアンブラインダーＵが復号化できるよう
に生成されたものであり、Ｕが復号化した乱数ｒを用い
て、署名者本人に代わってブラインド署名後処理関数を
実行するので、署名者とアンブラインダーが結託しない
限り、ブラインドメッセージからもとの文書ｍが求まる
ことはない。署名者は、仮の署名（σ′）を署名の要求
者には返さずに、ｒ′と共に第三者Ｕに転送するだけで
よいので、従来方式とは異なって、署名作成処理の即時
性は要求されない。
ドメッセージ（ｍ′）に加えて、新たに暗号化された乱
数成分ｒ′（＝ＥU （ｒ））を導入して、ｍ′とｒ′を
送信した時点で処理が完了する。ここで、暗号化された
乱数成分ｒ′はアンブラインダーＵが復号化できるよう
に生成されたものであり、Ｕが復号化した乱数ｒを用い
て、署名者本人に代わってブラインド署名後処理関数を
実行するので、署名者とアンブラインダーが結託しない
限り、ブラインドメッセージからもとの文書ｍが求まる
ことはない。署名者は、仮の署名（σ′）を署名の要求
者には返さずに、ｒ′と共に第三者Ｕに転送するだけで
よいので、従来方式とは異なって、署名作成処理の即時
性は要求されない。
【００３７】アンブラインダーを複数個設けることで、
署名者と第三者の結託に対する安全性を更に高めること
もできる。
署名者と第三者の結託に対する安全性を更に高めること
もできる。
【図１】この発明の全体構成を示すブロック図。
【図２】この発明における通信シーケンス例を示す図。
【図３】署名要求者装置１００の機能構成を示すブロッ
ク図。
ク図。
【図４】署名者装置２００の機能構成を示すブロック
図。
図。
【図５】アンブラインダー装置３００の機能構成を示す
ブロック図。
ブロック図。
【図６】検証者装置４００の機能構成を示すブロック
図。
図。
【図７】第ｉ番目のアンブラインダー装置３００−ｉの
機能構成例を示すブロック図。
機能構成例を示すブロック図。
【図８】署名の要求者装置１００（アンブラインダーが
複数個の場合）の機能構成例を示すブロック図。
複数個の場合）の機能構成例を示すブロック図。
【図９】署名要求者が複数の場合の全体構成を示すブロ
ック図。
ック図。
【図１０】署名要求者が複数の場合の第ｉ番目のアンブ
ラインダー装置３００−ｉの機能構成を示すブロック
図。
ラインダー装置３００−ｉの機能構成を示すブロック
図。
───────────────────────────────────────────────────── フロントページの続き (72)発明者 岡本 龍明 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 藤岡 淳 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5J104 AA09 LA03 LA08 9A001 EE03 LL03
Claims (14)
- 【請求項１】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現する方法において、 署名要求者装置は乱数生成器、ブラインド署名前処理関
数計算器、暗号器を備え、署名者装置は署名作成関数計
算器を備え、アンブラインダー装置は復号器、ブライン
ド署名後処理関数計算器を備え、検証者装置は署名検証
関数計算器を備え、 署名要求者装置は、文書ｍと、乱数生成器が生成した乱
数ｒをブラインド署名前処理関数計算器に入力してブラ
インドメッセージｍ′を生成し、また前記乱数ｒをアン
ブラインダー装置が復号可能な暗号器に入力して暗号化
された乱数ｒ′を生成し、最後にブラインドメッセージ
ｍ′と暗号化された乱数ｒ′を署名者装置に送信し、 署名者装置は、受信したブラインドメッセージｍ′を署
名作成関数計算器に入力して、仮の署名σ′を生成し
て、受信した暗号化された乱数ｒ′と共にアンブライン
ダー装置に送信し、 アンブラインダー装置は、暗号化された乱数ｒ′を復号
器に入力してもとの乱数ｒを得て、上記ｒと受信した
σ′をブラインド署名後処理関数計算器に入力して文書
ｍと本来の署名σを得て、文書ｍと本来の署名σを検証
者装置に送信し、 検証者装置は、文書ｍと本来の署名σを署名検証関数計
算器に入力して、検査式に合格することを検査すること
を特徴とするブラインド署名方法。 - 【請求項２】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現する方法において、 署名要求者装置は乱数生成器、ブラインド署名前処理関
数計算器、暗号器を備え、署名者装置は署名作成関数計
算器を備え、アンブラインダー装置は復号器、ブライン
ド署名後処理関数計算器を備え、検証者装置は署名検証
関数計算器を備え、 署名要求者装置は、文書ｍと、乱数生成器が生成した乱
数ｒをブラインド署名前処理関数計算器に入力してブラ
インドメッセージｍ′を生成し、また前記ｒおよびｍを
アンブラインダー装置が復号可能な暗号器に入力してそ
の出力をｒ′とし、最後にブラインドメッセージｍ′と
暗号化された乱数と文書の対ｒ′を署名者装置に送信
し、 署名者装置は、受信したブラインドメッセージｍ′を署
名作成関数計算器に入力して、仮の署名σ′を生成し
て、受信した暗号化された乱数と文書の対ｒ′と共にア
ンブラインダー装置に送信し、 アンブラインダー装置は、暗号化された乱数と文書の対
ｒ′を復号器に入力してもとの乱数ｒと文書ｍを得て、
上記ｒと受信したσ′をブラインド署名後処理関数計算
器に入力して本来の署名σを得て、文書ｍと本来の署名
σを検証者装置に送信し、 検証者装置は、文書ｍと本来の署名σを署名検証関数計
算器に入力して、検査式に合格することを検査すること
を特徴とするブラインド署名方法。 - 【請求項３】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現する方法において、 署名要求者装置は乱数生成器、複数（Ｌ個）のブライン
ド署名前処理関数計算器、暗号器を備え、署名者装置は
署名作成関数計算器を備え、複数（Ｌ個）のアンブライ
ンダー装置はそれぞれ復号器、ブラインド署名後処理関
数計算器を備え、検証者装置は署名検証関数計算器を備
え、 署名要求者装置は、文書ｍと乱数生成器が生成した複数
の乱数ｒ1 ，…，ｒLをブラインド署名前処理関数計算
器に入力し、σ′i と第ｉ番目のｒi とを第ｉ番目のブ
ラインド署名前処理関数計算器に入力してσ′i-1 を生
成してｍ′＝σ′0 とおき（ただし、ｉ＝Ｌ，Ｌ−１，
…，１，かつσ′L ＝ｍとする）、ブラインドメッセー
ジｍ′を生成し、ｒ′L ＝ｍとして、ｒ′i とｒi とを
第ｉ番目のアンブラインダー装置が復号可能な暗号器へ
入力して、その出力をｒ′i-1 とし、これをｉ＝Ｌから
ｉ＝１まで繰り返し実行し、ｒ′＝ｒ′0 とおき、ブラ
インドメッセージｍ′と暗号文ｒ′を署名者装置に送信
し、 署名者装置は、受信したブラインドメッセージｍ′を署
名作成関数計算器に入力して、仮の署名σ′を生成し
て、受信した暗号文ｒ′と共に第１番目のアンブライン
ダー装置に送信し、 第ｉ番目のアンブラインダー装置は、暗号文ｒ′i-1 を
復号器に入力してもとの乱数ｒi と次のアンブラインダ
ー装置に引き継ぐ暗号文ｒ′i を得て、ｒi と受信した
σi-1 （ただし、σ0 ＝σ′）をブラインド署名後処理
関数計算器に入力してσi を得て、ｒ′i とσi を第
（ｉ＋１）番目のアンブラインダー装置に送信し、 第Ｌ番目のアンブラインダー装置は、復号器から文書ｍ
（＝ｒ′L ）を、ブラインド署名後処理関数計算器から
本来の署名σ（＝σL ）を得て、文書ｍと本来の署名σ
を検証者装置に送信し、 検証者装置は、文書ｍと本来の署名σを署名検証関数計
算器に入力して、検査式に合格することを検査すること
を特徴とするブラインド署名方法。 - 【請求項４】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現するシステムにおい
て、 署名要求者装置と、署名者装置と、アンブラインダー装
置と、検証者装置と、これらを順次結合する通信路とよ
りなり、 署名要求者装置は、乱数ｒを生成する乱数生成器と、文
書ｍと乱数ｒを入力してブラインドメッセージｍ′を生
成するブラインド署名前処理関数計算器と、乱数ｒを暗
号化した乱数ｒ′を生成する暗号器と、ブラインドメッ
セージｍ′と暗号化された乱数ｒ′を署名者装置に送信
する手段とを備え、 署名者装置は、受信したブラインドメッセージｍ′を入
力して仮の署名σ′を生成する署名作成関数計算器と、
仮の署名σ′と受信した暗号化された乱数ｒ′とをアン
ブラインダー装置へ送信する手段とを備え、 アンブラインダー装置は受信した暗号化された乱数ｒ′
を入力してもとの乱数ｒを得る復号器と、その乱数ｒと
受信した仮の署名σ′を入力して文書ｍと本来の署名σ
を得るブラインド署名後処理関数計算器と、文書ｍと本
来の署名σを検証者装置へ送信する手段とを備え、 検証者装置は受信した文書ｍと本来の署名σを入力して
検査式に合格することを検査する署名検証関数計算器を
備えることを特徴とするブラインド署名システム。 - 【請求項５】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現するシステムにおい
て、 署名要求者装置と、署名者装置と、アンブラインダー装
置と、検証者装置と、これらを順次結合する通信路とよ
りなり、 署名要求者装置は、乱数ｒを生成する乱数生成器と、文
書ｍと乱数ｒを入力してブラインドメッセージｍ′を生
成するブラインド署名前処理関数計算器と、乱数ｒと文
書ｍを暗号化した暗号文ｒ′を生成する暗号器と、ブラ
インドメッセージｍ′と暗号化された乱数ｒ′を署名者
装置に送信する手段とを備え、 署名者装置は、受信したブラインドメッセージｍ′を入
力して仮の署名σ′を生成する署名作成関数計算器と、
仮の署名σ′と受信した暗号文ｒ′とをアンブラインダ
ー装置へ送信する手段とを備え、 アンブラインダー装置は受信した暗号文ｒ′を入力して
もとの乱数ｒおよび文書ｍを得る復号器と、その乱数ｒ
と受信した仮の署名σ′を入力して本来の署名σを得る
ブラインド署名後処理関数計算器と、文書ｍと本来の署
名σを検証者装置へ送信する手段とを備え、 検証者装置は受信した文書ｍと本来の署名σを入力して
検査式に合格することを検査する署名検証関数計算器を
備えることを特徴とするブラインド署名システム。 - 【請求項６】 文書の内容を隠したままで署名をつける
ことができるブラインド署名を実現するシステムにおい
て、 署名要求者装置と、署名者装置と、複数（Ｌ個）のアン
ブラインダー装置と、検証者装置と、これらを順次結合
する通信路とよりなり、 署名要求者装置はＬ個の乱数ｒ1 ，…，ｒL を生成する
乱数生成器と、σ′iと第ｉ番目の乱数ｒi を入力して
σ′i-1 を生成する第ｉ番目のブラインド署名前処理関
数計算器と（ｉ＝Ｌ，Ｌ−１，…，１，σ′L ＝ｍとす
る）、ｒ′i と第ｉ番目の乱数ｒi とから暗号文ｒ′
i-1 を生成する第ｉ番目の暗号器と（ただし、ｒ′L ＝
ｍとする）、ｍ′＝σ′0 としたブラインドメッセージ
ｍ′と、ｒ＝ｒ′0 とした暗号化された乱数ｒ′を署名
者装置へ送信する手段とを備え、 署名者装置は受信したブラインドメッセージｍ′を入力
して仮の署名σ′を生成する署名作成関数計算器と、仮
の署名σ′と受信した暗号化された乱数ｒ′を第１番目
のアンブラインダー装置へ送信する手段とを備え、 第ｉ番目のアンブラインダー装置は受信した暗号化され
た乱数ｒ′i-1 を入力してもとの乱数ｒi と次のアンブ
ラインダー装置に引き継ぐ暗号文ｒ′i を得る復号器
と、そのｒi と受信したσi-1 （σ0 ＝σ′とする）を
入力してσi を得るブラインド署名後処理関数計算器
と、ｒ′i とσi を第ｉ＋１番目のアンブラインダー装
置に送信する手段とを備え、 第Ｌ番目のアンブラインダー装置は受信したｒ′L-1 が
入力され、もとの乱数ｒ′L ＝ｍを得る復号器と、ｍと
受信したσL-1 が入力され、本来の署名σ（＝σL ）を
得るブラインド署名後処理関数計算器と、文書ｍと、本
来の署名σを検証者装置に送信する手段とを備え、 検証者装置は受信したｍとσが入力され、検査式に合格
することを検査する署名検証関数計算器を備えることを
特徴とするブラインド署名システム。 - 【請求項７】 文書の内容を隠したままで署名をつける
ことができるブラインド署名システムにおける署名の要
求者の装置であって、 乱数を発生する乱数生成器と、 上記乱数と署名対象の文書を入力してブラインドメッセ
ージを出力するブラインド署名前処理関数計算器と、 上記乱数を入力して暗号化乱数を出力する暗号器と、 上記ブラインドメッセージ及び暗号化乱数を署名者装置
へ送信する手段と、 を具備することを特徴とする署名要求者装置。 - 【請求項８】 文書の内容を隠したままで署名をつける
ことができるブラインド署名システムにおける署名の要
求者の装置であって、 乱数を発生する乱数生成器と、 上記乱数と署名対象の文書を入力してブラインドメッセ
ージを出力するブラインド署名前処理関数計算器と、 上記乱数と文書を入力して暗号化乱数を出力する暗号器
と、 上記ブラインドメッセージ及び暗号化乱数を署名者装置
へ送信する手段と、 を具備することを特徴とする署名要求者装置。 - 【請求項９】 文書の内容を隠したままで署名をつける
ことができるブラインド署名システムに用いられ、署名
付きブラインドメッセージと暗号化された乱数を入力し
て、復号した乱数及び本来の署名を出力するアンブライ
ンダー装置であって、 上記暗号化された乱数を復号する復号器と、 上記復号された乱数と上記署名付きブラインドメッセー
ジを入力して本来の署名を出力するブラインド署名後処
理計算器と、 を具備することを特徴とするアンブラインダー装置。 - 【請求項１０】 文書の内容を隠したままで署名をつけ
ることができるブラインド署名システムに用いられ、署
名付きブラインドメッセージと乱数と文書を暗号化した
暗号文を入力して、復号した乱数と文書及び本来の署名
を出力するアンブラインダー装置であって、 上記暗号化された乱数と文書を復号する復号器と、 上記復号された乱数と上記署名付きブラインドメッセー
ジを入力して本来の署名を出力するブラインド署名後処
理計算器と、 を具備することを特徴とするアンブラインダー装置。 - 【請求項１１】 文書の内容を隠したまま署名をつける
ことができるブラインド署名システムにおける署名の要
求者の装置のコンピュータに、 乱数を生成する処理と、 上記乱数と、署名対象の文書を入力し、ブラインド署名
前処理関数を計算してブラインドメッセージを出力する
処理と、 上記乱数を入力し、暗号化した乱数を出力する処理と、 上記ブラインドメッセージ及び暗号化した乱数を署名者
装置へ送信する処理とを実行させるプログラムを記録し
た記録媒体。 - 【請求項１２】 文書の内容を隠したまま署名をつける
ことができるブラインド署名システムにおける署名の要
求者の装置のコンピュータに、 乱数を生成する処理と、 上記乱数と、署名対象の文書を入力し、ブラインド署名
前処理関数を計算してブラインドメッセージを出力する
処理と、 上記乱数と文書を入力し、暗号文を出力する処理と、 上記ブラインドメッセージ及び上記暗号文を署名者装置
へ送信する処理とを実行させるプログラムを記録した記
録媒体。 - 【請求項１３】 文書の内容を隠したまま署名をつける
ことができるブラインド署名システムに用いられ、署名
付ブラインドメッセージと暗号化された乱数を入力して
復号した乱数及び本来の署名を出力するアンブラインダ
ー装置のコンピュータに、 上記入力された暗号化された乱数を復号する処理と、 上記復号化された乱数と上記署名付ブラインドメッセー
ジを入力し、ブラインド署名後処理関数を計算して本来
の署名を出力する処理と、 を実行させるプログラムを記録した記録媒体。 - 【請求項１４】 文書の内容を隠したまま署名をつける
ことができるブラインド署名システムに用いられ、署名
付ブラインドメッセージと乱数と文書を暗号化した暗号
文を入力して復号した乱数と文書及び本来の署名を出力
するアンブラインダー装置のコンピュータに、 上記入力された暗号文を復号する処理と、 上記復号化された乱数と上記署名付ブラインドメッセー
ジを入力し、ブラインド署名後処理関数を計算して本来
の署名を出力する処理と、 を実行させるプログラムを記録した記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11033794A JP2000231330A (ja) | 1999-02-12 | 1999-02-12 | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11033794A JP2000231330A (ja) | 1999-02-12 | 1999-02-12 | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2000231330A true JP2000231330A (ja) | 2000-08-22 |
Family
ID=12396389
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP11033794A Pending JP2000231330A (ja) | 1999-02-12 | 1999-02-12 | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2000231330A (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20030062401A (ko) * | 2003-07-04 | 2003-07-25 | 학교법인 한국정보통신학원 | 겹선형쌍을 이용한 개인식별정보 기반의 은닉서명 장치 및방법 |
| CN111740833A (zh) * | 2019-04-16 | 2020-10-02 | 北京沃东天骏信息技术有限公司 | 一种区块链网络的签名方法、节点、系统及存储介质 |
| CN114389808A (zh) * | 2022-01-26 | 2022-04-22 | 南京邮电大学 | 一种基于SM9盲签名的OpenID协议设计方法 |
-
1999
- 1999-02-12 JP JP11033794A patent/JP2000231330A/ja active Pending
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20030062401A (ko) * | 2003-07-04 | 2003-07-25 | 학교법인 한국정보통신학원 | 겹선형쌍을 이용한 개인식별정보 기반의 은닉서명 장치 및방법 |
| CN111740833A (zh) * | 2019-04-16 | 2020-10-02 | 北京沃东天骏信息技术有限公司 | 一种区块链网络的签名方法、节点、系统及存储介质 |
| CN111740833B (zh) * | 2019-04-16 | 2023-09-05 | 北京沃东天骏信息技术有限公司 | 一种区块链网络的签名方法、节点、系统及存储介质 |
| CN114389808A (zh) * | 2022-01-26 | 2022-04-22 | 南京邮电大学 | 一种基于SM9盲签名的OpenID协议设计方法 |
| CN114389808B (zh) * | 2022-01-26 | 2023-07-21 | 南京邮电大学 | 一种基于SM9盲签名的OpenID协议设计方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5201136B2 (ja) | 匿名認証システムおよび匿名認証方法 | |
| US8108678B1 (en) | Identity-based signcryption system | |
| EP0786178B1 (en) | Secret-key certificates | |
| US7730319B2 (en) | Provisional signature schemes | |
| JP4692284B2 (ja) | グループ署名システム、方法、装置、およびプログラム | |
| US8654975B2 (en) | Joint encryption of data | |
| CN110545279A (zh) | 兼具隐私和监管功能的区块链交易方法、装置及系统 | |
| EP2792098B1 (en) | Group encryption methods and devices | |
| US8015398B2 (en) | Set membership proofs in data processing systems | |
| US9088419B2 (en) | Keyed PV signatures | |
| US20140082361A1 (en) | Data encryption | |
| TW202318833A (zh) | 臨界簽章方案 | |
| US20040153652A1 (en) | Method, apparatus, system, and program for creating ring signature | |
| JP3513324B2 (ja) | ディジタル署名処理方法 | |
| JP2000231330A (ja) | ブラインド署名方法、そのシステム、その装置およびプログラム記録媒体 | |
| JP3331329B2 (ja) | 公開検証可依頼復元ブラインド署名方法、その装置及びプログラム記録媒体 | |
| JPH06112935A (ja) | 暗号通信方法 | |
| JP3316466B2 (ja) | 電子無記名投票方法、その装置及びプログラム記録媒体 | |
| JP3689292B2 (ja) | 匿名電子投票装置および匿名電子投票処理方法 | |
| JPH09200198A (ja) | メッセージ認証システム | |
| JP3862397B2 (ja) | 情報通信システム | |
| Haböck et al. | Breaking and Fixing Anonymous Credentials for the Cloud (Full Version). | |
| EP4385169A1 (en) | Generating digital signatures | |
| JPH11202767A (ja) | ディジタル署名方式、それを用いた通信装置及び情報通信システム | |
| JP2000242171A (ja) | ブラインド署名方法、その装置およびそのプログラム記録媒体 |