JP2000235342A - 電子無記名投票方法、その装置及びプログラム記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ブラインド署名を用い、かつ投票者は、署名
者（選挙管理人）Ａからの応答を待つことなく投票でき
る。 【解決手段】 投票者Ｐは匿名委員Ｕの数Ｌ個の乱数ｒ
_i （ｉ＝１，２，…，Ｌ）を生成し、これと、投票ｍの
ハッシュ値ｈ（ｍ）とを用いてブラインド署名前処理を
行いＢを求め、多重暗号化Ｃ_L-1 ＝Ｅ_L （ｍ‖ｒ_L ）、
Ｃ_i-1 ＝Ｅ_i （Ｃ _i ‖ｒ_i ）によりＣ₀ を求め、ＢとＣ
₀ をＡへ送り、Ａは署名鍵ｄでＢを署名してσ₀ を求
め、σ₀ ，Ｃ₀ をＵ₁ へ送り、Ｕ_i で復号によりＣ_i ‖
ｒ_i ＝Ｄ_i （Ｃ_i-1 を求め、ブラインド署名後処理σ_i
＝σ_i-1 ／ｒ_i mod n を行い、Ｃ_i ，σ_i をＵ_i+1 へ送
り、Ｕ_L でｍ‖ｒ_L ＝Ｄ_L （Ｃ_L-1 ）を求め、更にσ＝
σ_L-1／ｒ_L mod n を求めｍ，σを集計者Ｖへ送り、Ｖ
はｍ，σに対し署名検証を行い、合格したｍを集計す
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、電気通信システ
ムで無記名投票を実現する方法及び装置に関する。

【０００２】

【従来の技術】デジタル情報が改ざんされていないこと
を保証する技術としてデジタル署名がある。デジタル署
名方式の代表的な例として、ＲＳＡ暗号（R.L. Rivest,
etal.“A Method for Obtaining Digital Signatures
and Public-Key Cryptosystems”，Communications of
the ACM, Vol. 21, No.2, pp.120-126,(1978))を利用し
た方式がある。ＲＳＡ暗号は、以下の通りである。

【０００３】署名者Ａは、署名用鍵（ｄ，ｎ）と検査用
鍵（ｅ，ｎ）を、 ｎ＝ｐ×ｑ ｅ×ｄ≡１（mod LCM ｛（ｐ−１），（ｑ−１）｝） （１） をみたすように生成し、検査用鍵を公開し、署名用鍵を
秘密に管理する。ここで、ＬＣＭ｛ａ，ｂ｝は整数ａと
ｂの最小公倍数を表して、ｐとｑは異なる２つの大きな
素数とする。また、ａ≡ｂ（mod Ｌ）は、ａ−ｂがＬの
倍数であることを表す。

【０００４】ＲＳＡ暗号は、ｎが大きいときｎの素因数
分解が困難なことに安全性の根拠を持つ暗号系であり、
公開された検査用鍵（ｎ，ｅ）から秘密の署名用鍵のｄ
成分を求めることは困難である。検証者Ｂは、署名者Ａ
の検査用鍵（ｅ，ｎ）を個人識別情報（ＩＤ）と組合わ
せて管理する。認証用の鍵を管理するセンタを設けて、
そのセンタが検査用鍵を公開情報管理簿として管理する
ことも多い。

【０００５】署名関数Ｄと検証関数Ｅを Ｄ（ｘ）＝ｘ^d mod ｎ （２） Ｅ（ｙ）＝ｙ^e mod ｎ （３） で定義する。０＜ｘ＜ｎをみたすと整数ｘに対して Ｅ（Ｄ（ｘ））＝ｘ が成り立つことが示せる。ここで、ａmod ｎは、ａをｎ
で割ったときの余りを表す。

【０００６】ＲＳＡ暗号を利用したデジタル署名方式は
以下の通りである。署名者Ａは、一方向性関数ｆを用い
て文書ｍから生成したｆ（ｍ）に対して、秘密の署名関
数Ｄを適用してσ＝Ｄ（ｆ（ｍ））で署名σを生成し、
個人識別情報（ＩＤ）と文書ｍと署名σの組合せ（Ｉ
Ｄ，ｍ，σ）を署名付通信文として検証者Ｖに送信す
る。検証者Ｖは、ＩＤをキーに検査用鍵の登録された公
開情報管理簿を検索して検証関数Ｅを求めて、署名付通
信文のσ成分からＥ（σ）を求め、これが、ｍから求め
たｆ（ｍ）と一致するか検査する。Ｅ（σ）＝ｆ（ｍ）
が成り立てば、署名関数Ｄを知っているのは真の署名者
Ａだけであるから、送信者（署名者）が本物のＡであ
り、（ＩＤ，ｍ，σ）は改ざんされていないと判断す
る。

【０００７】ここで、ｆが一方向性関数とは、ｘからｆ
（ｘ）を求める計算は容易であるが、ｆ（ｘ）からｘを
求めるのが困難な関数である。ｆは高速な慣用暗号化装
置、例えばＤＥＳ暗号（Data, Encryption Standard, F
ederal Information Rrocessing Standards Publicatio
n 46, 1977）を用いて構成できる。ここで、利用者のプ
ライバシを保証できるブラインド署名について説明す
る。ブラインド署名では、署名者に文書の内容を秘密に
したままで署名を付けてもらうことができる。ＲＳＡ法
に基づいた方式が文献 D.Chaum, “Security withoutId
entification: Transaction Systems to Make Big Brot
her Obsolete ，”Comm. of the ACM, 28, 10, pp.1030
-1044(1985)で、対話証明に基づいたブラインド署名が
文献T.Okamoto etal. “Divertible Zero-Knowledge In
teractive Proofs and Commutative Random Self-Reduc
ible，”The Rroc. of Eurocrypt'89(1989) で示されて
いる。

【０００８】ブラインド署名の考え方は以下のとおりで
ある。署名の要求者Ｐは、ブラインド署名前処理によっ
て文書（ｍ）を乱数（ｒ）で攪乱してブラインドメッセ
ージ（ｍ′）を生成する。署名者Ａは、秘密の署名用鍵
を用いてｍ′に対応する仮の署名（σ′）を計算する。
このとき、ｍはｒによって攪乱されているので、署名者
は文書（ｍ）を知ることはできない。要求者Ｐは、ブラ
インド署名後処理によってσ′から乱数（ｒ）の影響を
除去して、本来の文書（ｍ）に対する真の署名（σ）を
求めて、ｍとσの組を検証者に送信する。検証者は、署
名者の公開鍵を用いてσがｍの署名であることを確認す
る。ここで、複数の文書が署名者Ａによって署名される
場合、署名者Ａと検証者が、たとえ協力したとしてもあ
るσがいずれのσ′に対応つくかを知ることはできな
い。

【０００９】ＲＳＡ法を利用したブラインド署名の実現
法は以下の通り。Ｓｔｅｐ１ 署名要求者Ｐは乱数ｒ∈
（Ｚ／ｎＺ）を生成して、文書ｍから ｍ′＝ｒ^e ×ｍ mod n （４） でｍ′を生成して、署名者Ａに送信する。Ｓｔｅｐ２
Ａは秘密の署名用鍵ｄを用いて、 σ′＝ｍ′^d mod ｎ （５） でσ′を生成して、Ｐに送信する。

【００１０】Ｓｔｅｐ３ Ｐは、ｍに対応したＡの真の
ディジタル署名σを σ＝σ′／ｒmod ｎ （６） で算出して、ｍとσを検証者Ｖに送信する。Ｓｔｅｐ４
Ｖは ｍ＝σ^e mod ｎ （７） が成立するかを検査する。

【００１１】ここで、σ^e ≡（σ′／ｒ）^e ≡σ′^e ／
ｒ^e ≡ｍ′／ｒ^e ≡（ｒ^e ・ｍ）／ｒ^e ≡ｍ（mod ｎ）
が成り立つので、σはｍの署名である。なお、上の例で
０＜ｍ＜ｎの場合にはｍを検証者Ｖが復元可能なのでＶ
にｍを送信する必要がないが、ｍが長い場合にハッシュ
値ｆ（ｍ）を計算してその値を上記のｍとみなして処理
する場合もあるので、その場合には検証者がｆ（ｍ）を
計算するために文書ｍの送信が必要となることに注意。

【００１２】簡単のため、以下のような記法を用いる。 ｍ′＝Ψ（ｍ，ｒ）：ブラインド署名前処理関数 σ′＝Σ_A （ｍ′）：署名者Ａの署名作成関数 ｙ＝Φ（σ′，ｒ）：ブラインド署名後処理関数 合格／不合格＝Ｖ_A （ｍ，ｙ）：署名者Ａの署名検証関
数 上記の例では、ｍ′＝Ψ（ｍ，ｒ）＝ｒ^e ×ｍ mod n，
σ′＝Σ_A （ｍ′）＝ｍ′^d mod ｎ，σ＝Φ（σ′，
ｒ）＝σ′／ｒmod ｎ，Ｖ_A は「ｙ^e ≡ｍ mod nの場
合、かつ、この場合に限って、合格＝Ｖ_A （ｍ，ｙ）」
となっていることに注意。

【００１３】ディジタル著名を用いた電子投票方式は、
さまざまな方式が提案されているが暗号の専門書（岡本
・山本著「現代暗号」産業図書）に書かれているよう
に、ブラインド署名を用いた方式が最も有力視されてい
る。例えば、太田和夫：“単一の選挙管理者を用いた電
子投票方式”、昭和６３年電子情報通信学会春季全国大
会、Ａ−２９４（昭６３−３）で提案されている。

【００１４】上記の方式では、署名要求者Ｐは、署名者
から仮の署名σ′が戻されて、Ｓｔｅｐ３を実行するま
で署名の要求処理を完了することができない。例えば、
電子投票にブラインド署名を適用すると、投票者が署名
要求者であり、選挙管理委員会が署名者であり、投票集
計者が署名の検証者となるので、投票者は選挙管理委員
会からの返事を待たなければならない。待ち時間は、署
名者の署名作成時間と署名要求者と署名者の回線状況等
に依存する。

【００１５】

【発明が解決しようとする課題】署名要求者である投票
者の待ち時間を短くするには、署名者である選挙管理委
員会の計算機を高速にすることや、回線を常に使用可能
とするようにしなければならない。回線にインターネッ
トなどを用いた場合は、状況に応じて多くの待ち時間が
必要とされ、さらに署名者（選挙管理委員会）に署名生
成の処理が集中するので、しばしば処理速度の制約から
待ち時間が大きくなる。

【００１６】この発明の目的は、ブラインド署名を用い
た電子投票方式において投票者が署名者（選挙管理人）
からの応答を待つことなく投票を行うことができる方法
及び装置を実現することにある。

【００１７】

【課題を解決するための手段】この発明では、ブライン
ド署名後処理を信頼できる第三者Ｕの装置に委託する。
署名要求者装置は、ブラインドメッセージｍ′に加え
て、新たに暗号化された乱数成分ｒ′（＝Ｅ_u （ｒ））
を導入して、ｍ′とｒ′を署名者装置に送信する。ここ
で、暗号化された乱数成分ｒ′は第三者Ｕの装置が復号
化できるように生成したものであり、Ｕは復号化した乱
数ｒを用いて、署名者本人に代わってブラインド署名後
処理関数を実行する。署名者装置は、署名σ′を署名の
要求者装置には返さずに、ｒ′と共に第三者Ｕの装置に
転送する。

【００１８】署名要求者装置は、ブラインドメッセージ
と暗号化された乱数成分を送信した時点で処理を完了で
きる。署名者と第三者が結託しない限り、ブラインドメ
ッセージｍ′からもとの文書ｍが求まることはない。

【００１９】

【発明の実施の形態】以下では、この発明の一実施例に
ついて説明する。匿名委員会が複数の匿名委員から構成
する場合について説明する（匿名委員が単一の場合は、
Ｌ＝１のときである）。また、選挙管理人は単一とする
（複数の場合は、後に示す）。

【００２０】図１はこの発明の全体構成を示す図であ
る。投票者装置１００は通信路５００を介して選挙管理
人装置２００と結合して、選挙管理人装置２００は匿名
委員１装置３００−１に通信路５００を介して結合して
おり、匿名委員ｉの装置３００−ｉは、匿名委員ｉ＋１
の装置３００−（ｉ＋１）に通信路５００を介して結合
しており、匿名委員Ｌの装置３００−Ｌは集計者装置４
００との間に通信路５００がある。

【００２１】図２にこの発明の通信シーケンス例を、図
３に投票者装置１００の機能構成例を、図４に選挙管理
人装置２００の機能構成例を、図５に匿名委員ｉの装置
３００−ｉの機能構成例を、図６に集計者装置４００の
機能構成例を、それぞれ示す。なお、ここに示す実施例
では、ＲＳＡブラインド署名を用いた場合について説明
する。従って、選挙管理人装置２００は、事前にその公
開鍵（ｎ，ｅ）、秘密鍵（ｄ）を生成し、公開鍵を公開
しておくことにする。ＲＳＡブラインド署名について
は、先に紹介した文献Ｄ．Ｃｈａｕｍ，“Ｓｅｃｕｒｉ
ｔｙ ｗｉｔｈｏｕｔ Ｉｄｅｎｔｉｆｉｃａｔｉｏ
ｎ：Ｔｒａｎｓａｃｔｉｏｎ Ｓｙｓｔｅｍｓ ｔｏ
Ｍａｋｅ Ｂｉｇ Ｂｒｏｔｈｅｒ Ｏｂｓｏｌｅｔ
ｅ，”Ｃｏｍｍ．ｏｆ ｔｈｅ ＡＣＭ，２８，１０，
ＰＰ．１０３０−１０４４（１９８５）を参照された
い。

【００２２】その他のブラインド署名（例えば、Ｓｃｈ
ｎｏｒｒブラインド署名やＦｉａｔ−Ｓｈａｍｉｒブラ
インド署名：岡本・山本著「現代暗号」産業図書などを
参照）を用いても同様に実現できる。さらに、各匿名委
員Ｕ_i （ｉ＝１，…，Ｌ）の公開の暗号関数をＥ_i と
し、Ｕ _i はその秘密の復号関数Ｄ_i を保持するものとす
る。

【００２３】また、署名に用いるハッシュ関数（ＳＨ
Ａ，ＭＤ５など）をｈとする。Ｓｔｅｐ１ 投票者Ｐの
装置１００は、図３に示すように乱数生成器１０１でＬ
個の乱数ｒ_i （ｉ＝１，２，…，Ｌ）を生成する。さら
に、乱数ｒ_i ，…ｒ_Lと投票ｍをハッシュ関数演算器１
０７と剰余乗算器１０２よりなるブラインド署名前処理
関数計算機に入力し以下のようなブラインド署名前処理
を行ってＢを生成する。

【００２４】Ｂ＝ｈ（ｍ）・（ｒ₁ ，…，ｒ_L ）^e mod
n また、暗号器１０３を用いて、ｒ₁ ，…，ｒ_L とｍより
Ｃ₀ を生成する。 Ｃ_L-1 ＝Ｅ_L （ｍ‖ｒ_L ）， Ｃ_i-1 ＝Ｅ_i （Ｃ_i ‖ｒ_i ），（ｉ＝１，…，Ｌ−１） つまり図３Ｂに示すように最初の暗号段１０３−Ｌでｍ
とｒ_L を入力としてＣ _L-1 ＝Ｅ_L （ｍ‖ｒ_L ）と暗号化
され、次の暗号段１０３−（Ｌ−１）でＣ_K-1とｒ_L-1
を入力としてＣ_L-2 ＝Ｅ_L-1 （Ｃ_L-1 ‖ｒ_L-1 ）と暗号
化され、以下同様に順次暗号化され、終段１０３−１で
はＣ₂ とｒ₁ を入力としてＣ₀ ＝Ｅ₁ （Ｃ₂ ‖ｒ₁ ）と
暗号化される。このように初段にｍとｒ_L を入力とし
て、ｒ₁ ，…，ｒ_L-1 を順次１つずつもちいて、ｍが多
重に暗号化される。

【００２５】Ｓｔｅｐ２ Ｐの装置１００は、ＢとＣ₀
を選挙管理人装置２００に自分の身分を証明する情報と
共に送信する。例えば、身分を証明する情報としては、
（Ｂ，Ｃ₀ ）に対するディジタル署名やパスワードなど
がある。 Ｓｔｅｐ３ 選挙管理人装置２００は、Ｐの身分を認証
しさらにＰが選挙管理簿に選挙人として登録されている
かどうかをチェックする。また、既に選挙管理人に署名
の依頼を行っているかどうかもチェックする。身分が証
明され、選挙人として登録されており、既に署名の依頼
を行っていなければ、以下の署名発行処理を行う。さも
なければ、以降の処理を行わない。

【００２６】Ｓｔｅｐ４ 選挙管理人Ａの装置２００
は、秘密の署名鍵ｄと受信したＢを署名作成関数計算
器、つまり剰余乗算器２０２に入力し以下の署名σ₀ を
生成する。 σ₀ ＝Ｂ^d mod n 選挙管理人Ａの装置２００は、受信したＣ₀ と共にσ₀
を匿名委員Ｕ₁ の装置３００−１に送信する。

【００２７】Ｓｔｅｐ５ 匿名委員Ｕ_i の装置３００−
ｉは、（Ｃ_i-1 ，σ_i-1 ）を受け取ると、図５Ａに示す
ようにブラインド署名後処理関数計算器、つまり剰余演
算器３０２と復号器３０４を用いて、以下の（Ｃ_i ，σ
_i ）を生成する。 Ｃ_i ‖ｒ_i ＝Ｄ_i （Ｃ_i-1 ）， σ_i ＝σ_i-1 ／ｒ_i mod n Ｕ_i の装置３００−ｉは、他の投票者装置よりの
（Ｃ_i ，σ_i ）とシャッフルして（順序をまぜて）匿名
委員Ｕ_i+1 の装置３００−（ｉ＋１）に送る。

【００２８】Ｓｔｅｐ６ 匿名委員Ｕ_L の装置３００−
Ｌは、Ｕ_L-1 の装置３００−（Ｌ−１）より受け取った
（Ｃ_L-1 ，σ_L-1 ）を図５Ｂに示すように剰余演算器３
０２と復号器３０４に入力し、以下のｍとσを生成す
る。 ｍ‖ｒ_L ＝Ｄ_L （Ｃ_L-1 ）， σ＝σ_L-1 ／ｒ_L mod n Ｕ_L の装置３００−Ｌは、他の投票者装置よりの（ｍ，
σ）とシャッフルして（ｍ，σ）を集計者装置（４０
０）に送る。

【００２９】Ｓｔｅｐ７ 集計者Ｖの装置４００は、図
６に示すようにハッシュ関数演算器４０７、署名検証関
数計算器（剰余演算器）４０２と比較器４０５を用いて
（ｍ，σ）の正当性を以下の検証式が成立するかどうか
で検証することができる。 ｈ（ｍ）＝σ^e mod n 集計者装置は、検証式が成立した投票ｍのみを集計す
る。

【００３０】次に、選挙管理人が複数の場合について説
明する。最も単純な実現法は、上記で説明した手続きを
各選挙管理人毎に平行して実行すればよい。より効率的
な実現方式として、Ｓｃｈｎｏｒｒブラインド署名に基
づき、効率的な多重署名を用いる場合について説明す
る。

【００３１】図７は全体構成を示す図である。投票者装
置１００は通信路５００を介して複数の（Ｋ人の）選挙
管理人装置２００−１，…，２００−Ｋと結合して、そ
れら選挙管理人装置は匿名委員Ｕ₁ の装置３００−１に
通信路５００を介して結合しており、匿名委員Ｕ_i の装
置３００−ｉは、匿名委員Ｕ_i+1 の装置３００−（ｉ＋
１）に通信路５００を介して結合しており、匿名委員Ｕ
_L の装置３００−Ｌは集計者装置４００との間に通信路
５００がある。

【００３２】図８にこの発明の通信シーケンス例を、図
９に投票者装置１００の機能構成例を、図１０に選挙管
理人装置２００の機能構成例を、図１１に匿名委員Ｕ_i
の装置３００−ｉの機能構成例を、図１２に集計者装置
４００の機能構成例をそれぞれ示す。まず、システムの
共通情報（ｐ，ｇ）を公開するとともに、ｇの位数ｑ
（ｇ^t＝１mod p となる整数ｔの最小値が位数ｑであ
る）も同時に公開されるとする。

【００３３】また、選挙管理人Ａ_j の装置２００−ｊ
（ｊ＝１，…，Ｋ）は、事前にその公開鍵ｖ_j ＝ｇ^-sj
mod p ）、秘密鍵（ｓ_j ）を生成し、公開鍵を公開して
おくことにする。Ｓｔｅｐ１ 選挙管理人Ａ_j の装置２
００−ｊは図１０に示すように、乱数生成器２０１を用
いて多数のｒ_j を生成し、それぞれのｒ_j 毎に、剰余演
算器２０２を用いて ｘ_j ＝ｇ^rj mod p を計算し、ｘ_j をそれぞれの投票者装置に事前に公開鍵
と共に配布しておく。

【００３４】Ｓｔｅｐ２ 投票者Ｐの装置１００は、図
９に示すように乱数生成器１０１でＬ組の乱数（ｕ_i ，
ｄ_i ）（ｉ＝１，２，…，Ｌ）を生成する。さらに、
（ｕ₁，ｄ₁ ），…，（ｕ_L ，ｄ_L ）と投票ｍをハッシ
ュ関数演算器１０７と剰余乗算器１０２、１０４よりな
るブラインド署名前処理関数計算器と、暗号器１０３に
入力し、以下のような（ｕ，ｄ，ｘ^* ，ｅ^* ，ｅ，
Ｃ₀ ）を生成する。

【００３５】ｕ＝ｕ₁ ＋…＋ｕ_L mod q ， ｄ＝ｄ₁ ＋…＋ｄ_L mod q ， ｘ^* ＝ｇ^u ｖ^-d（ｘ₁ …ｘ_k ）mod p ， ｅ^* ＝ｈ（ｘ^* ，ｍ）， ｅ＝ｅ^* ＋ｄmod q ， Ｃ_L-1 ＝Ｅ_L （（ｍ，ｅ^* ）‖（ｕ_L ，ｄ_L ））， Ｃ_i-1 ＝Ｅ_i （Ｃ_i ‖（ｕ_i ，ｄ_i ）），（ｉ＝１，
…，Ｌ−１） Ｓｔｅｐ３ Ｐの装置１００は、（ｅ，ｘ_j ）とＣ₀ を
それぞれの選挙管理人ｊの装置２００−ｊ（ｊ＝１，
２，…，Ｋ）に自分の身分を証明する情報と共に送信す
る。例えば、身分を証明する情報としては、（ｅ，
ｘ_j ，Ｃ₀ ）に対するディジタル署名やパスワードなど
がある。

【００３６】Ｓｔｅｐ４ 選挙管理人装置２００は、Ｐ
の身分を認証し、さらにＰが選挙管理簿に選挙人として
登録されているかどうかをチェックする。また、既に選
挙管理人に署名の依頼を行っているかどうかもチェック
する。身分が証明され、選挙人として登録されており、
既に署名の依頼を行っていなければ、以下の署名発行処
理を行う。さもなければ、以降の処理を行わない。

【００３７】Ｓｔｅｐ５ 選挙管理人ｊの装置２００−
ｊは、図１０に示すように秘密の署名鍵ｓ_j と、ｘ_j に
対応するｒ_j 、受信したｅを署名作成関数計算器（剰余
乗算器）２０３に入力し以下のｙ_j を生成する。 ｙ_j ＝ｒ_j ＋ｅｓ_j mod q 選挙管理人Ａ_j の装置２００−ｊは、受信した（Ｃ₀ ，
ｘ_j ）と共にｙ_j を匿名委員Ｕ₁ の装置３００−１に送
信する。

【００３８】Ｓｔｅｐ６ 匿名委員Ｕ₁ の装置３００−
１は、Ｋ人の選挙管理人の装置２００ｊから（Ｃ₀ ，ｘ
_j ，ｙ_j ）（ｊ＝１，２，…，Ｋ）を受け取ると、図１
１Ａに示すようにまず、剰余演算器３０２を用いて、 ｙ＝ｙ₁ ＋…＋ｙ_K mod q ， ｘ＝ｘ₁ …ｘ_K mod ｐ を生成する。次に、ブラインド署名後処理関数計算器
（剰余演算器）３０３と復号器３０４を用いて、 Ｃ₁ ‖（ｕ₁ ，ｄ₁ ）＝Ｄ₁ （Ｃ₀ ）， ｘ₍₁₎ ＝ｘｇ^u1ｖ^-d1 mod p ， ｙ₍₁₎ ＝ｙ＋ｕ₁ mod q を計算する。匿名委員Ｕ₁ の装置３００−１は、
（Ｃ₁ ，ｘ₍₁₎ ，ｙ₍₁₎ ）を他の投票者の（Ｃ₁ ，ｘ
₍₁₎ ，ｙ₍₁₎ ）とシャッフルして匿名委員Ｕ₂ の装置３
００−２に送る。

【００３９】Ｓｔｅｐ７ 匿名委員Ｕ_i の装置３００−
ｉは、（Ｃ_i-1 ，ｘ_(i-1) ，ｙ_{(i-1 )} ）を受け取ると、
図１１Ｂに示すようにブラインド署名後処理関数計算器
（剰余演算器）３０２と復号器３０４を用いて、 Ｃ_i ‖（ｕ_i ，ｄ_i ）＝Ｄ_i （Ｃ_i-1 ）， ｘ_(i) ＝ｘ_(i-1) ｇ^uiｖ^-di mod p ， ｙ_(i) ＝ｙ_(i-1) ＋ｕ_i mod q を計算する。匿名委員Ｕ_i の装置３００−ｉは、
（Ｃ_i ，ｘ_(i) ，ｙ_(i) ）を他の投票者の（Ｃ_i ，ｘ
_(i) ，ｙ_(i) ）とシャッフルして匿名委員Ｕ_i+1 の装置
３００−（ｉ＋１）に送る。

【００４０】Ｓｔｅｐ８ 匿名委員Ｕ_L の装置３００−
Ｌは、Ｕ_L-1 の装置３００−（Ｌ−１）より受け取った
（Ｃ_L-1 ，ｘ_(L-1) ，ｙ_(L-1) ）を図１１Ｃに示すよう
にブラインド署名後処理関数計算器（剰余演算器）３０
２と復号器３０４に入力し、 ｍ‖（ｕ_L ，ｄ_L ）＝Ｄ_L （Ｃ_L-1 ）， ｘ^* ＝ｘ_(L) ＝ｘ_(L-1) ｇ^uLｖ^-dL mod p ， ｙ^* ＝ｙ_(L) ＝ｙ_(L-1) ＋ｕ_L mod q を計算する。Ｕ_L の装置３００−Ｌは、（ｍ，ｘ^* ，ｙ
^* ）を他の投票者の（ｍ，ｘ^* ，ｙ^* ）とシャッフルし
て集計者装置４００に送る。

【００４１】Ｓｔｅｐ９ 集計者Ｖの装置４００は、図
１２に示すようにハッシュ関数演算器４０７、署名検証
関数計算器（剰余演算器）４０２と比較器４０５を用い
て（ｍ，ｘ^* ，ｙ^* ）の正当性を以下の検証式が成立す
るかどうかで検証することができる。 ｅ^* ＝ｈ（ｘ^* ，ｍ）， ｘ^* ＝ｇ^y*ｖ^e* mod p 集計者は、検証式が成立した投票ｍのみを集計する。

【００４２】

【発明の効果】この発明では、投票者は、（Ｂ，Ｃ₀ ）
や（ｅ，ｘ_j ，Ｃ₀ ）を選挙管理人に送った時点で投票
者の処理が完了する。従って、電子メールを送信するよ
うに、単に投票情報を選挙管理人に送信した時点で処理
が完了する。また、複数の匿名委員や複数の選挙管理人
を導入することも容易であり、そのことにより安全性を
高めることができる。

【図面の簡単な説明】

【図１】この発明の実施例のシステム構成を示す図。

【図２】この発明の実施例における通信シーケンスを示
す図。

【図３】Ａは図１中の投票者装置１００の機能構成例を
示す図、Ｂは図３Ａ中の暗号器１０３の具体的構成を示
す図である。

【図４】図１中の選挙管理人装置の機能構成を示す図。

【図５】図１中の匿名委員装置３００の機能構成を示す
図。

【図６】図１中の集計者装置４００の機能構成を示す
図。

【図７】この発明の他の実施例のシステム構成を示す
図。

【図８】図７の実施例における通信シーケンスを示す
図。

【図９】図７中の投票者装置１００の機能構成を示す
図。

【図１０】図９中の選挙管理人装置２００ｊの機能構成
を示す図。

【図１１】図７中の匿名委員装置３００の機能構成を示
す図。

【図１２】図７中の集計者装置４００の機能構成を示す
図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 太田 和夫 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 (72)発明者 藤岡 淳 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5B049 AA04 AA05 BB39 GG09 GG10 5J104 AA09 LA03 LA08 MA02 NA02 NA04 NA12 NA17 PA17

Claims (7)

【特許請求の範囲】
1. 【請求項１】 ネットワークを介して電子的に選挙を行
   う電子無記名投票方法において、 投票者装置は乱数生成器、ブラインド署名前処理関数計
   算器、暗号器を備え、選挙管理人装置は選挙人名簿と選
   挙人を認証する機能ならびに署名作成関数計算器を備
   え、匿名委員装置は復号器、ブラインド署名後処理関数
   計算器を備え、集計者装置は署名検証関数計算器を備
   え、 投票者装置は、投票ｍと乱数生成器が生成した乱数ｒを
   ブラインド署名前処理関数計算器に入力してＢを生成
   し、さらに前記乱数ｒを含む情報を匿名委員装置が復号
   可能な暗号器に入力してＣを生成し、投票者装置は、Ｂ
   とＣを選挙管理人装置に送信し、 選挙管理人装置は、受信したＢを署名作成関数計算器に
   入力して、その署名σ′を生成して、（σ′，Ｃ）を匿
   名委員装置に送信し、 匿名委員装置は、受信したＣを復号器に入力してｒを得
   て、上記ｒと受信したσ′をブラインド署名後処理関数
   計算器に入力して投票ｍの署名σを得て、 その他の投票者の投票と署名の対（ｍ，σ）と順序をシ
   ャッフルしてシャッフルされた多数の投票・署名対
   （ｍ，σ）を集計者装置Ｖに送信し、 集計者装置は、それぞれの投票・署名対（ｍ，σ）を署
   名検証関数計算器に入力して検証し、検証に合格した投
   票を集計することを特徴とする電子無記名投票方法。
2. 【請求項２】 請求項１記載の電子無記名投票方法にお
   いて、 匿名委員が複数の（Ｌ人の）委員（Ｕ₁ ，…，Ｕ_L ）か
   ら構成され、 投票者装置は、投票ｍと乱数生成器が生成した乱数
   ｒ₁ ，…，ｒ_L をブラインド署名前処理関数計算器に入
   力してＢを生成し、さらに各匿名委員が復号可能な暗号
   器により初段入力をｍ，ｒ_L とし、前記乱数ｒ₁ ，…，
   ｒ_L を順次に入力して多段に暗号化して、Ｃ₀ を生成
   し、投票者装置は、ＢとＣ₀ を選挙管理人装置に送信
   し、 選挙管理人装置は、受信したＢを署名作成関数計算器に
   入力して、その署名σ ₀ を生成して、（σ₀ ，Ｃ₀ ）を
   匿名委員（Ｕ₁ ）の装置に送信し、 匿名委員Ｕ₁ の装置は、Ｃ₀ を復号器に入力してｒ₁ を
   得るとともにＣ₁ を取り出し、上記ｒ₁ と受信したσ₀
   をブラインド署名後処理関数計算器に入力してσ₁ を計
   算し、 他の投票者装置からの（Ｃ₁ ，σ₁ ）と順序をシャッフ
   ルし、 攪乱した多数の（Ｃ₁ ，σ₁ ）を次の匿名委員Ｕ₂ の装
   置に送付し、 （Ｃ_i-1 ，σ_i-1 ）を受け取った匿名委員Ｕ_i の装置
   （ｉ＝２，３，…，Ｌ）は、Ｃ_i-1 を復号器に入力して
   ｒ_i を得るとともにＣ_i を取り出し、上記ｒ_i と受信し
   たσ_i-1 をブラインド署名後処理関数計算器に入力して
   σ_i を計算し、 他の投票者装置からの（Ｃ_i ，σ_i ）と順序をシャッフ
   ルし、 シャッフルした多数の（Ｃ_i ，σ_i ）を次の匿名委員Ｕ
   _i+1 の装置に送付し、 最後の匿名委員Ｕ_L 装置は、投票ｍとその署名σを得
   て、 その他の投票者装置からの投票と署名の対（ｍ，σ）と
   順序をシャッフルしてシャッフルされた多数の投票・署
   名対（ｍ，σ）を集計者装置Ｖに送信することを特徴と
   する電子無記名投票方法。
3. 【請求項３】 請求項１又は２記載の電子無記名投票方
   法において、 選挙管理人が複数の（Ｋ人の）管理人（Ａ₁ ，…，
   Ａ_K ）から構成され、 投票者装置は、複数の選挙管理人用の情報（Ｂ，Ｃ）を
   作成しそれを選挙管理人装置に送り、それぞれの選挙管
   理人装置は受信情報（Ｂ，Ｃ）中のＢに対し署名処理を
   行いその結果および情報（Ｃ）を匿名委員装置に送り、 匿名委員装置は、最終的に投票ｍと複数の選挙管理人装
   置による多重署名σを得て、その他の投票者装置からの
   投票と多重署名の対（ｍ，σ）と順序を攪乱して攪乱さ
   れた多数の投票・多重署名対（ｍ，σ）を集計者装置Ｖ
   に送信し、 集計者装置は、それぞれの投票・多重署名対（ｍ，σ）
   を署名検証関数計算器に入力して検証し、検証に合格し
   た投票を集計することを特徴とする電子無記名投票方
   法。
4. 【請求項４】 Ｌ個の乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を生成
   する手段と、 投票ｍと乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を入力してブライン
   ド署名前処理を行ってＢを求める手段と、 投票ｍを入力し、乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を結合させ
   て投票ｍに対し多重暗号化してＣ₀ を求める手段と、 上記Ｂと上記Ｃ₀ を選挙管理人装置へ送信する手段と、
   を具備する投票者装置。
5. 【請求項５】 選挙管理人装置と集計者装置との間に複
   数個が直列に結合されたｉ番目の匿名委員装置であっ
   て、 （ｉ−１）番目の匿名委員装置から暗号Ｃ_i-1 と署名σ
   _i-1 を受信する手段と、 暗号Ｃ_i-1 を復号して暗号Ｃ_i と乱数ｒ_i を求める手段
   と、 上記乱数ｒ_i を用いて上記署名σ_i-1 に対して、ブライ
   ンド署名後処理を施して署名σ_i を求める手段と、 上記署名σ_i 、上記暗号Ｃ_i を（ｉ＋１）番目の匿名委
   員装置へ送信する手段と、を具備する匿名委員装置。
6. 【請求項６】 投票者装置のコンピュータに、 Ｌ個の乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を生成する処理と、 投票ｍと乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を入力してブライン
   ド署名前処理を行ってＢを求める処理と、 投票ｍを入力し、乱数ｒ₁ ，ｒ₂ ，…，ｒ_L を順次結合
   させて投票ｍに対し多重暗号化してＣ₀ を求める処理
   と、 上記Ｂと上記Ｃ₀ を選挙管理人装置へ送信する処理と、 実行させるプログラムを記録した記録媒体。
7. 【請求項７】 選挙管理人装置と集計者装置との間に複
   数個が直列に結合されたｉ番目の匿名委員装置のコンピ
   ュータに、 （ｉ−１）番目の匿名委員装置から暗号Ｃ_i-1 と署名σ
   _i-1 を受信する処理と、 暗号Ｃ_i-1 を復号して暗号Ｃ_i と乱数ｒ_i を求める処理
   と、 上記乱数ｒ_i を用いて上記署名σ_i-1 に対して、ブライ
   ンド署名後処理を施して署名σ_i を求める処理と、 上記署名σ_i 、上記暗号Ｃ_i を（ｉ＋１）番目の匿名委
   員装置へ送信する処理と、を実行させるプログラムを記
   録した記録媒体。